Lesson 18 · 约 20 分钟 · 里程碑
第一阶段总结：把 17 课串成一张地图
开场：你已经走完大半条「防护链」
从 第 1 课 CIA 到 第 17 课网站安全，你覆盖了教程 26 章中的约 15 章核心内容。 本课不做新知识，而是把散落的考点串成地图——上午卷靠「认概念 + 判属性」，下午卷靠「写流程 + 威胁对策成对」。 学完本课，再进入 云计算、工控、物联网、物理安全、法律法规 等后半程专题。
结业测成绩回顾（对话逐题）：17 课平均约 6.9/7；历史易错点「私钥签名、公钥验签」近几课已稳定答对。
本课重点复习：密钥方向、CRL 术语、DMZ 部署、木马英文关键词、设备分工。
一、六块知识地图（点链接可回课复习）
| 模块 | 对应课程 | 上午卷考什么 | 下午卷考什么 |
|---|---|---|---|
| ① 基础与攻击 | L1 · L2 | CIA 判属性；攻击八步；DDoS→可用性 | 事件类型 + 破坏属性 + 建议 |
| ② 密码与证书 | L3 · L4 | 对称/非对称；哈希不可逆；CRL/OCSP；HTTPS 443 | SSL 握手思路；证书验签流程 |
| ③ 边界与监测 | L5 · L6 · L7 | 防火墙三类；DMZ；VPN 三种；IDS 旁路 / IPS 串联 | 拓扑里标设备位置；VPN 选型 |
| ④ 威胁与主动防御 | L8 · L9 · L10 | 零日定义；病毒/蠕虫/木马；蜜罐四种配置 | 补丁流程；恶意代码处置 |
| ⑤ 管理与合规 | L11 · L12 · L13 | 风险七步；等保五环节；应急六阶段 PDCERF | 风险评估写法；等保流程；事件处置顺序 |
| ⑥ 系统与应用 | L14 · L15 · L16 · L17 | DAC/MAC/RBAC；SQL 注入；SSH 管设备；XSS/CSRF | 加固清单；Web 威胁对策成对写 |
口诀（第一阶段知识地图）：基础攻击打地基，密码证书保通信，边界监测守网络，漏洞恶意加蜜罐，风险等保应应急，系统网站全加固（六字对六模块）。
二、跨课必背：安全设备「谁干什么」
上午卷最爱混：防火墙、IDS、IPS、WAF、审计、SIEM、蜜罐——先判「管访问 / 管检测 / 管应用 / 管日志」。
| 设备/机制 | 核心职责 | 部署/特点 | 不能替代什么 |
|---|---|---|---|
| 防火墙 | 访问控制、隔离内外网 | 串联边界；包过滤→状态→代理 | 不防 SQL 注入、不杀毒 |
| IDS | 检测 + 告警 | 旁路，不阻断流量 | 不做内外网隔离 |
| IPS | 检测 + 阻断 | 串联在线路中 | 误拦可能影响业务 |
| WAF | 拦 Web 攻击（注入/XSS） | 串联 Web 入口 | ≠ 普通防火墙 |
| 审计 / 日志 | 留痕、追溯五问 | 采集→规范→存储→关联→告警 | ≠ IPS 直接阻断 |
| SIEM | 多源日志集中关联告警 | 跨设备需时间同步 | ≠ 单点 IDS |
| 蜜罐 | 诱捕、取证、威胁情报 | 必须隔离，无真实业务 | ≠ 防火墙 / 补丁 |
口诀（安全设备分工）：防火墙管访问，IDS 旁路只告警，IPS 串联能阻断，WAF 守 Web 入口，审计留痕 SIEM 关联，蜜罐诱捕要隔离。
三、流程类考点：四个「步骤题」别混
| 流程 | 步数 / 口诀 | 易混点 |
|---|---|---|
| 风险评估（L11） | 七步：准资威脆措析处 | ≠ 等保测评；忽略 ≠ 接受风险 |
| 等保工作（L12） | 五环节：定备建测监 | 测评找有资质第三方；备案找公安 |
| 应急响应（L13） | 六阶段：备检抑根恢总（PDCERF） | 先抑制后根除；未隔离就清杀易扩散 |
| 网站安全工程（L17） | 五阶段：分设实测评运 | 威胁 + 对策成对写 |
四、历史易错点速刷（考前再过一遍）
| 易错点 | 正确口径 | 来源课 |
|---|---|---|
| 非对称密钥方向 | 公钥加密→私钥解；私钥签名→公钥验 | L3–4 |
| 证书作废 | 吊销 CRL / OCSP ≠ 自然过期 | L4 |
| DMZ 部署 | 对外服务放 DMZ；内网数据库不放 DMZ；只有屏蔽子网才有 DMZ | L5 |
| 木马英文题 | disguise + remote control + no replication → 木马 | L9 |
| 零日漏洞 | 零补丁（厂商尚无补丁），不是零危害 | L8 |
| XSS vs CSRF | XSS 能读 Cookie；CSRF 只借 Cookie 发请求 | L17 |
| 隐藏报错 | ≠ 防 SQL 注入；参数化查询才可靠 | L15–17 |
五、混练测验（跨 1–17 课 · 点击选项立刻反馈）
Q1 · 某电商遭 DDoS 后用户无法下单。主要破坏的信息安全属性是？
答案 C。DDoS 导致服务瘫痪 → 可用性（L1–2）。
Q2 · 发送方用私钥对报文做数字签名，接收方验签应使用？
答案 B。私钥签名 → 公钥验签（历史易错点，L3–4）。
Q3 · 对外提供服务的 Web 服务器，在屏蔽子网架构中应部署在？
答案 B。对外开门放 DMZ；OA/数据库放内网（L5）。
Q4 · 需要在检测到攻击时自动阻断流量，应选用并串联部署？
答案 C。IPS 串联能阻断；IDS 旁路只告警；SIEM 做关联不直接拦包（L6–7）。
Q5 · Malware disguises as useful software, allows remote control, without self-replication. It is a?
答案 B。伪装 + 远控 + 不自传 = 木马 Trojan（L9 英文易错点）。
Q6 · 等保 2.0 中，定级备案后的第三方有资质测评，与下列哪项不是同一概念？
答案 C。等保测评 ≠ 风险评估；前者合规达标，后者算 R=f(Ep,Ev)（L11–12）。
Q7 · 攻击者在受害网站页面注入脚本窃取 Cookie，属于？
答案 A。页面跑脚本偷 Cookie = XSS；CSRF 是借 Cookie 发请求不能读响应（L17）。
附加题（下午卷综合）· 点击展开参考写法
某单位 Web 系统遭 SQL 注入与 DDoS，日志显示攻击源 IP 已确认。请写出：① 事件破坏的属性；② 应急响应前四步；③ 三条 Web 加固措施。
① 属性：SQL 注入 → 机密性/完整性；DDoS → 可用性。
② 应急（PDCERF 前段）：准备（预案/团队）→ 检测（确认事件）→ 抑制（限流/封 IP/ WAF 规则）→ 根除（修漏洞/清 Webshell）——先抑制后根除。
③ Web 加固：参数化查询防注入；部署 WAF 于 Web 入口；全站 HTTPS + HttpOnly Cookie；后台改弱口令 + 审计（任写三条即可，威胁对策成对）。
得分技巧：每点一行，原因 + 措施配对写，别只列名词。
② 应急（PDCERF 前段）：准备（预案/团队）→ 检测（确认事件）→ 抑制（限流/封 IP/ WAF 规则）→ 根除（修漏洞/清 Webshell）——先抑制后根除。
③ Web 加固：参数化查询防注入；部署 WAF 于 Web 入口；全站 HTTPS + HttpOnly Cookie；后台改弱口令 + 审计（任写三条即可，威胁对策成对）。
得分技巧：每点一行，原因 + 措施配对写，别只列名词。
六、后半程还要学什么
对照 教材 26 章目录 与 2023–2025 机考考点，你已覆盖前半程主干；后半程重点包括：
- 云计算安全（教材第 23 章）——下一课正式开讲
- 工控 / 物联网 / 移动互联网 / 大数据（第 24–26 章及专题）
- 物理与环境安全、法律法规（网安法、数据安全法等）
- 国密参数表、网闸、访问控制细节——机考后爱考的原句与数字
- 下午卷写法专项——iptables 命令、拓扑填设备、案例模板多练
七、今日任务（约 40 分钟）
- 口诀总复习（15 分钟）：通读 口诀速查卡，重点过 L3 密钥方向、L5 DMZ、L6 IDS/IPS、L11–13 三个流程、L17 XSS/CSRF。
- 设备分工口述（10 分钟）：闭眼说：防火墙 / IDS / IPS / WAF / 蜜罐 各干什么、怎么部署。
- 薄弱章精读（10 分钟）：回看你结业测曾扣分的课——若第 9 课英文题曾错，重读 恶意代码速查 木马三关键词。
- 睡前回忆（5 分钟）：① 六模块地图口诀；② 设备分工口诀；③ 私钥签名公钥验签；④ 等保五环节定备建测监；⑤ 应急六阶段备检抑根恢总。
八、本课知识从哪来
- 第 1–17 课内容与 口诀速查汇总
- 《信息安全工程师教程（第 2 版）》第 1–22 章（已学部分）
- 机考考点校准：2023–2025 考点分布
- 学习记录：密钥方向 · 木马英文题