为大家整理了2022年信息安全工程师考试知识点：Web安全，希望对大家备考信息安全工程师考试会有帮助。

Web安全

【考法分析】

本知识点主要是对Web安全相关内容的考查。

【要点分析】

1．Web 安全威胁：从其来源说Web 威胁还可以分为内部攻击和外部攻击两类。前者主要来自信任网络，可能是用户执行了未授权访问或是无意中定制了恶意攻击；后者主要是由于网络漏洞被利用或者用户受到恶意程序制定者的专一攻击。

2．最具危险性的Web 威胁：① 可信任站点的漏洞；② 浏览器和浏览器插件的漏洞；③终端用户；④ 可移动的存储设备；⑤ 网络钓鱼；⑥ 僵尸网络；⑦ 键盘记录程序；⑧ 多重攻击；以上这些威胁并不代表全部。

3．Web 访问控制技术：访问控制是Web 站点安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法访问者访问。访问Web 站点要进行用户名、用户口令的识别与验证、用户账号的缺省限制检查。只要其中任何一关未过，该用户便不能进人某站点进行访问。

4．Web 服务器一般提供了如下三种类型的访问控制方法。

① 通过IP地址、子网或域名来进行控制；

② 通过用户名/口令来进行访问控制；

③ 通过公钥加密体系PKI-智能认证卡来进行访问控制。

5．单点登录技术：单点登录系统的目的就是为这样的应用系统提供集中统一的身份认证，实现"一点登录、多点漫游"的目标，方便用户使用。

6．单点登录系统采用基于数字证书的加密和数字签名技术，基于统一的策略的用户身份认证和授权控制功能，从而实现"一点登录、多点漫游"。但是在实际应用中，一些理论上不错的方案却在实际中无法实现，这里总结三个主要的方面：计算环境相关的问题；组织结构的问题和电子身份认证方法的问题。

7．几种常用的单点登录模型：

① 基于网关的SSO 模型；

② 基于验证代理的SSO 模型；

③ 基于Kerberos 的sso 模型。

8．常见的网页防篡改技术有以下三种:

① 时间轮询技术：时间轮询技术是利用一个两页检测程序，以轮询方式读出要监控的网页，与真实网页相比较，来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。

② 核心内嵌技术+事件触发技术：所谓事件触发技术就是利用操作系统的文件系统或驱动程序接口，在网页文件的被修改时进行合法性检查，对于非法操作进仔报警和恢复。

所谓核心内嵌技术即密码水印技术。该技术将篡改检测模块内嵌在Web 服务器软件里，它在每一个网页流出时都进行完整性检查，对于篡改网页进行实时访问阻断，井予以报警和恢复。

③ 文件过滤驱动技术十事件触发技术：其原理是将篡改监测的核心程序通过微软文件底层驱动技术应用到Web 服务器中，通过事件触发方式进行自动监测，对文件夹的所有文件内容，对照其底层文件属性，经过内置散列快速算法，实时进行监测，若发现属性变更，通过非协议方式，纯文件安全拷贝方式将备份路径文件夹内容拷贝到监测文件夹相应文件位置，通过底层文件驱动技术，整个文件复制过程毫秒级，使得公众无法看到被篡改页面，其运行性能和检测实时性都达到较高的水准。

9．内容安全管理技术可以细分为电子邮件过滤、网页过滤、反间谍软件三大技术。针对反间谍软件危害性，应从三方面加以防范。一是预防，二是设置障碍，三是杀毒。

新形势下，数据安全治理如何贯穿业务发展

2 月15日，中国互联网信息办公室等十三部门联合修订发布的《网络安全审查办法》正式实施，要求企业赴国外上市融资应守住国家安全底线。

  3月5日，十三届全国人大五次会议在京开幕。政府工作报告中提到，要强化网络安全、数据安全和个人信息保护。

  3月7日，工信部网站发布消息显示，工业和信息化部近日印发《车联网网络安全和数据安全标准体系建设指南》(以下简称“《建设指南》”)，提出到2023年底，初步构建起车联网网络安全和数据安全标准体系。

  今年，毫无疑问，数据安全仍是关乎组织战略制定与发展的重要命题……

  数据价值在各行业领域所发挥的作用与日俱增，数据驱动着发展，同时也暗藏着风险，构建与之相适应的数据安全保障体系显得尤为关键，即系统性降低数据安全风险，以合理的安全成本保障数字化转型，适应新的数据应用技术和应用场景等。平衡数字化业务发展与数据安全综合治理的思路，是数据安全治理的精髓所在，即“安全贯穿发展”。

  数字时代，如何处理发展和安全的关系

  01

  对数据要素的利用必须以安全为前提

  数据要素的利用，在于提升数据的可访问性、可解释性和可索引性，同样一份数据，经过不同使用者的处理，能够发挥出不同的数据价值，这是数据要素利用的关键。数据中的信息涉及商业机密、个人隐私和国家安全，所以对数据要素的利用需要以安全为前提。

  0 2

  数据安全的中长期规划和短期目标的平衡

  构建数据安全保障体系的目标是降低数据所面临的风险，而风险贯穿于数据的全生命周期之中。企业开展数字业务，构建数据安全体系，首先要明确自身的行业属性和业务数据的属性。其次，数据安全不是一蹴而就的工作，具有长期性。另一方面，通过实现短期目标，可以解决企业所面临数据安全风险中最为突出的问题。因此，企业的数据安全治理需要在体系化的中长期规划建设，与迅速启动取得效果之间进行平衡。去标识化、审计、分类分级是当前作为数据安全治理比较好的启动点。

  0 3

  数据安全治理成本与收益的平衡

  数据安全治理工作需要考虑成本与收益的平衡，才能取得企业需要的治理效果。

  数据安全治理工作的各项成本

  经济成本。很多企业通过项目实施建立数据安全治理体系，后期还需要对治理体系进行优化、技术迭代等。当前数据安全建设成本大体占整体信息安全建设的10%-39%，并在逐渐加大，大型客户的投资从几百万到几千万不等。

  管理成本。首先，数据安全需要长期的管理和运营，需要建设专门的组织结构推动数据安全建设，并将数据安全的管理要求贯彻到日常的数据处理和维护工作中，以及业务开展和企业风控管理中。影响管理成本的因素，主要分为外部和内部两方面。外部因素包括企业经营的法律、监管环境，不仅要考虑国内环境，还要根据业务的情况，对国外的相关环境加以考量。

  此外还包括数据安全市场环境，即数据安全发展趋势、产业结构、能够协调的资源配置等，以及技术革新对企业经营环境的影响。内部因素包括企业制定数据安全管理的组织架构及决策链，是否能够及时、全面的发现企业数据安全所面临的风险，从而做出正确的决策。其次，企业制定的数据安全管理制度、规范、操作标准等，是否能够有效落实。第三，企业内部环境变化，相关数据安全措施，是否能够适时调整。

  人力成本。数据安全建设需要配置专业的技术人员，如果企业数据包含个人信息，按照规定还应配置个人信息保护的专门职位。当前，数据安全领域非常需要“跨界”人才，例如同时具备法律、数据安全技术的混合型人才。

  数据安全治理的收益

  数据安全合规。防止法律诉讼和监管处罚。数据安全治理体系是否已经建设、完善，在面临诉讼和处罚时都是自证的重要依据。例如在数据出境中，必须要识别出境数据的类型、数量，以及评估接收方的数据保护能力等。

  降低企业商业风险。开展数据相关业务时，会有大量的重要数据和个人信息被收集、存储、处理、交互，客户信息、个人资料的泄露不仅面临监管的处罚，还会面临企业商业信誉的损失。同时，数据安全的合规甚至会影响企业业务经营的合法性。通过数据安全治理，体系化地对数据安全风险进行规避，能够确保企业开展业务时数据安全风险可控，保障持续化经营。

  协助企业数据资产有效利用。数据安全治理是为了“数据使用自由而安全”，需要对数据和生命周期有清晰的认识和技术管控，能为数据资产的利用起到推动作用。但对企业内部数据资源的挖掘利用，以及数据对外的共享与协同利用，需要在合法合规以及有效技术手段下。

  协会总结

  协会总结：数据安全治理要辅助数字经济发展，数据安全要贯穿在数字经济的发展过程中，为数字经济夯实前行道路。同时，数据安全要求日趋规范与严格、数据环境复杂变幻，对企业来说，做好数据安全治理迫在眉睫。企业要从加强自身安全防护能力入手，建立起数据安全的重重防护墙，在数据安全的基础上，更好地发挥数据价值。