系统规划与管理师-信息安全核心知识体系与应试指南

一、引言

信息安全是软考高级系统规划与管理工程师考试的核心知识点，属于信息安全管理知识域，历年考试占比 3-5 分，题型以客观选择题为主，重点考察基础概念辨析、技术措施适用场景、新兴安全技术原理三大方向。

从管理理论演进来看，信息安全的发展历经三个阶段：第一阶段为 20 世纪 70-90 年代的通信安全阶段，核心目标是保障数据传输的保密性；第二阶段为 20 世纪 90 年代 - 2010 年的信息系统安全阶段，覆盖硬件、软件、数据的全维度保护；第三阶段为 2010 年至今的网络空间安全阶段，强调动态感知、行为追溯、主动防御的综合安全能力，当前主流标准包括 ISO/IEC 27001《信息安全管理体系 要求》、GB/T 22239《信息安全技术 网络安全等级保护基本要求》等。

本文将系统梳理信息安全基础属性、核心技术措施、UEBA 技术、网络安全态势感知四大考点内容，结合考试命题规律提供应试与实践应用指导。

二、信息安全核心基础原理

（一）信息安全定义与核心属性

1. 信息安全定义
   信息安全是指为数据处理系统建立和采用技术、管理层面的安全保护机制，保护计算机硬件、软件、数据不因偶然或恶意原因遭到破坏、更改、泄露，同时保障信息的保密性、完整性、可用性、可控性、不可否认性五大属性。该定义包含两个核心维度：一是技术保护维度，覆盖信息的存储、传输、处理全生命周期；二是管理保护维度，包含组织的安全策略、流程规范、人员意识等非技术要素。
2. 五大基本属性
   （1）保密性：指保证信息仅为授权者享用，不泄露给未经授权的主体，核心目标是防止泄密。实现技术包括数据加密、访问控制、防泄漏系统（DLP）等，典型应用场景为企业核心研发文档仅对研发部门授权人员开放。
   （2）完整性：指保证信息从真实发信者传送到真实收信者的过程中，未被非法用户添加、删除、替换，核心目标是防止篡改。实现技术包括数字签名、哈希校验、传输层安全协议（TLS）等，典型应用场景为电子合同签署后可验证内容未被修改。
   （3）可用性：指保证信息和信息系统随时为授权者提供服务，合法用户的使用请求不会被不合理拒绝，核心目标是保证服务连续。实现技术包括冗余备份、容灾切换、负载均衡等，典型应用场景为银行核心系统全年可用性不低于 99.99%。
   （4）可控性：指出于国家、机构利益及社会管理需要，管理者能够对信息的传播、内容、使用实施必要的控制管理，核心目标是实现管理可控。实现技术包括内容过滤、访问审计、数据脱敏等，典型应用场景为企业对员工外发的文档进行敏感内容审核。
   （5）不可否认性：指信息主体需为自身的信息行为负责，可提供公证、仲裁所需的信息证据，核心目标是实现行为追溯。实现技术包括数字证书、操作日志存证、区块链存证等，典型应用场景为电子交易完成后交易双方无法否认交易行为。

（二）信息安全四层防护体系

信息安全防护需覆盖信息载体的全层级，从下到上分为四个层次：

1. 设备安全：保护计算机、服务器、网络设备等硬件实体的物理安全及运行安全，包括防盗窃、防破坏、硬件冗余、固件安全等内容，是信息安全的基础载体保障。
2. 数据安全：保护数据的保密性、完整性、可用性，覆盖数据采集、传输、存储、处理、销毁全生命周期，是信息安全的核心保护对象。
3. 内容安全：保护信息内容的合法性、合规性，防止敏感信息、违法信息的传播，是监管层面的核心安全要求。
4. 行为安全：保护用户、实体的操作行为符合安全规范，识别异常操作、恶意行为，实现全行为过程的可审计、可追溯，是动态安全的核心保障。

信息安全五大属性与四层防护体系框架图

三、信息安全核心技术措施与实施要点

（一）七类核心安全技术详解

1. 身份认证
   身份认证是网络中确认操作者身份的过程，是访问控制的前提。常见实现方式包括：静态密码、智能卡、短信密码、动态口令、USBKey、公钥基础设施（PKI）、生物识别（指纹、虹膜、人脸）等。其中多因素认证（MFA）需结合两种及以上认证方式，安全强度显著高于单因素认证，当前已成为等保 2.0 的强制要求。
2. 访问控制
   访问控制用于防止对任何资源的未授权访问，确保系统仅在合法范围内使用，主流分类包括：
   （1）自主访问控制（DAC）：由资源所有者自主决定其他主体的访问权限，配置灵活但安全强度较低，适用于小型组织内部文件共享场景。
   （2）基于角色的访问控制（RBAC）：根据用户角色分配权限，权限与角色绑定、用户与角色关联，简化权限管理复杂度，是当前企业应用最广泛的访问控制模型，适用于中大型组织的内部系统权限管理。
   （3）基于规则的访问控制（RuBAC）：根据预设规则决定访问权限，规则可基于时间、IP、设备类型等维度，安全强度高，适用于高安全等级的系统访问场景，如仅允许办公网 IP 访问财务系统。
   （4）强制访问控制（MAC）：由系统强制为主体和客体分配安全标签，访问决策基于标签的匹配关系，安全等级最高，适用于军工、政府等涉密信息系统。
3. 入侵检测系统（IDS）
   入侵检测系统依照安全策略，通过软硬件对网络、系统的运行状况进行监视，主动发现攻击企图、攻击行为或攻击结果。按检测时机分为实时入侵检测和事后入侵检测；按部署位置分为网络型 IDS（NIDS）和主机型 IDS（HIDS）。IDS 属于旁路检测设备，不影响正常网络流量，但仅具备检测告警能力，不具备主动阻断能力。
4. 防火墙
   防火墙是部署在不同安全域边界的安全设备，通过服务访问规则、验证工具、包过滤、应用网关四大核心组件，对跨域流量进行访问控制，及时发现并处理潜在的安全风险，同时记录所有访问日志。主流类型包括包过滤防火墙、应用层网关防火墙、下一代防火墙（NGFW），其中 NGFW 集成了入侵防御、应用识别、病毒过滤等功能，是当前企业边界部署的主流设备。
5. 网闸
   网闸是使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备，通过物理层的分时读写机制，从逻辑上隔离、阻断外部网对内部专用网的潜在攻击连接，攻击者无法直接入侵内网。网闸适用于政务内网与外网、工业控制网与办公网等需高度隔离的场景，仅允许可控的、无连接的摆渡式数据传输，安全等级高于防火墙。
6. 防病毒
   防病毒技术通过病毒特征匹配、行为分析等机制，主动防范电子设备不受病毒、木马、蠕虫等恶意代码入侵，避免用户资料泄露、设备程序被破坏。病毒防护策略需具备六大核心能力：拒绝访问能力、病毒检测能力、控制病毒传播能力、清除病毒能力、系统恢复能力、替代操作能力。当前企业级防病毒系统已演进为终端检测与响应系统（EDR），具备主动威胁狩猎、异常行为分析能力。
7. 数据加密
   数据加密采用信息加密技术对信息进行伪装，使得非法窃取者无法理解信息的真实含义，合法拥有者可通过密钥解密获取原始信息，同时可利用哈希算法校验信息完整性。加密技术分为两类：
   （1）对称加密：加密密钥和解密密钥相同，代表算法为 DES、3DES、AES，加密速度快、效率高，但密钥分发难度大，适用于大量数据的加密传输场景。
   （2）非对称加密：加密密钥（公钥）和解密密钥（私钥）不同，公钥可公开，私钥需严格保密，代表算法为 RSA、SM2，加密速度慢但安全性高、密钥分发简单，适用于身份认证、数字签名、密钥交换场景。

（二）安全技术对比与适用场景

技术类型	核心作用	部署位置	优势	局限性	适用场景
防火墙	边界访问控制	不同安全域边界	配置简单、阻断能力强	无法识别加密流量攻击、无法检测内部威胁	企业网络边界防护
IDS	入侵行为检测	网络旁路或主机侧	不影响业务、检测范围广	仅告警不阻断、误报率较高	全网络威胁检测与审计
网闸	跨网物理隔离	高低安全域之间	安全等级极高、阻断所有网络连接	传输效率低、仅支持特定数据格式	涉密网络与非涉密网络之间的数据摆渡
UEBA	内部异常行为检测	安全分析平台	可检测未知威胁、适配动态环境	需大量行为数据训练、初期误报率高	内部人员违规操作、账号盗用检测

核心信息安全技术对比与适用场景矩阵表

四、用户和实体行为分析（UEBA）技术应用

（一）传统安全检测的局限性

传统安全检测技术基于已知攻击特征与规则匹配，存在三大核心局限：

1. 安全盲区：仅能检测已知特征的攻击，无法应对 0day 漏洞攻击、新型 APT 攻击等未知威胁，据 Verizon《2024 年数据泄露调查报告》显示，34% 的攻击事件无法被传统规则检测识别。
2. 滞后效应：攻击发生后才能更新特征规则，响应滞后，攻击者可利用规则更新的时间窗口完成入侵。
3. 适应性差：难以适配云原生、远程办公、混合 IT 等动态变化的网络环境，规则更新速度跟不上环境变化。

（二）UEBA 技术原理与架构

UEBA（用户和实体行为分析）是通过构建用户、实体（终端、服务器、应用等）的正常行为基线，结合统计分析、机器学习、关联分析等方法，检测偏离基线的异常活动，发现潜在的安全事件。其系统架构分为三层：

1. 数据获取层：采集日志数据（终端日志、网络日志、应用日志）、业务数据（人事数据、权限数据）、外部威胁情报等多源数据，完成数据清洗、归一化处理。
2. 算法分析层：基于无监督学习、有监督学习、深度学习算法构建用户画像、实体画像，计算行为偏离度，识别异常行为。
3. 场景应用层：覆盖内部数据泄露、账号盗用、权限滥用、恶意内部人员等典型安全场景，输出告警并提供处置建议。
   某金融企业部署 UEBA 系统后，通过对比用户日常访问基线，识别出某运维人员在非工作时段高频访问客户核心数据库的异常行为，及时阻断操作，避免了约 500 万条客户信息泄露，内部威胁检测效率提升 70%。

UEBA 技术架构与工作流程图

五、网络安全态势感知体系建设

（一）态势感知核心概念与前提

网络安全态势感知是在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示，并预测未来网络安全发展趋势的技术，是一种基于环境、动态、整体的安全风险洞悉能力。其核心前提是安全大数据，需汇聚全维度的安全数据，通过整合、特征提取、算法分析，实现从被动响应到主动预测的安全能力升级。

（二）四大关键技术

1. 海量多元异构数据汇聚融合技术：实现 PB 量级多元异构数据的采集、清洗、归一化存储，通过属性融合、关系拓展挖掘数据相关性，完成多维度深度融合，支撑后续的分析与评估。
2. 多类型网络安全威胁评估技术：基于流量、域名、终端行为等多元数据检测异常行为，结合大数据分析方法跟踪恶意代码、APT 攻击等威胁项，对多种网络安全威胁数据统计建模，量化威胁等级。
3. 网络安全态势评估与决策支撑技术：以安全事件监测为驱动，汇聚网络空间安全信息，构建多维安全事件知识图谱，从 "人、物、地、事" 角度综合评估网络安全状况，输出可落地的处置决策建议。
4. 网络安全态势可视化技术：通过 "数据转化→图像映射→视图变换" 的递进流程，将分析数据转化为关系表，映射为图像结构属性，最终创建热力图、攻击路径图、态势趋势图等可视化视图，支撑安全人员快速决策。

（三）典型实施流程

某省级政务云网络安全态势感知平台实施流程如下：

1. 数据汇聚融合：整合防火墙、IDS、终端 EDR、WAF 等 12 类安全设备日志，以及外部威胁情报数据，每日处理约 5TB 日志数据，关联用户 IP、访问时间、操作行为等属性，识别出 23 个异常访问 IP。
2. 威胁评估：检测到某境外 IP 对政务云服务器的加密 POST 请求激增，匹配已知 APT 组织的木马特征，建模攻击路径为 "钓鱼邮件→政务人员终端→跳板服务器→政务数据库"，判定为高等级威胁。
3. 态势评估与决策：构建攻击知识图谱，覆盖攻击者 IP、跳板服务器、受影响系统、涉及用户等维度，评估受影响政务服务 17 个，涉及用户数据 120 万条，决策建议为立即隔离跳板服务器、重置所有受影响用户密码、升级邮件网关过滤规则。
4. 可视化展示：通过热力图展示高风险流量分布，节点图展示攻击传播路径，动态监控面板实时展示攻击处置进度，安全人员响应时间从平均 4 小时缩短至 15 分钟。

网络安全态势感知平台技术架构与实施流程图

六、信息安全技术发展趋势与考试命题方向

（一）技术发展趋势

信息安全技术正从传统的静态、被动防护向动态、主动、智能防御演进，三大核心发展方向：

1. 可信计算 3.0：以密码技术为核心，构建主动免疫的计算架构，实现计算与防护并行，从底层保障系统安全，当前已纳入等保 2.0 的核心要求。
2. 零信任架构：以 "永不信任、始终验证" 为核心理念，打破传统网络边界信任模型，基于身份进行动态访问控制，适配混合 IT、远程办公等新型场景，是当前企业安全架构转型的主流方向。
3. 人工智能与安全融合：AI 技术广泛应用于威胁检测、异常行为分析、响应处置等环节，大幅提升威胁检测效率与准确率，同时 AI 自身的安全风险（如 prompt 注入、模型投毒）也成为新的研究热点。

（二）考试命题趋势

近年软考对信息安全的考察逐渐从基础概念向应用场景、新兴技术延伸，命题三大趋势：

1. 基础属性考察：侧重五大属性的场景辨析，给出具体安全事件描述，要求判断违反了哪项安全属性，属于高频送分题。
2. 技术适用场景考察：给出具体的企业安全需求，要求选择最合适的安全技术，重点考察防火墙、网闸、IDS、加密技术的适用场景差异。
3. 新兴技术考察：UEBA、态势感知、零信任等新兴技术的基本原理、核心优势考察占比逐年提升，需重点关注技术的核心定位与传统技术的差异。

信息安全技术演进路线与考试命题趋势图

七、总结与应试建议

（一）核心知识点提炼

1. 信息安全五大核心属性：保密性（防泄密）、完整性（防篡改）、可用性（保服务）、可控性（可管理）、不可否认性（可追溯）。
2. 七类核心安全技术：身份认证是访问前提，四类访问控制模型适用不同安全等级场景，防火墙、IDS、网闸三类边界防护技术的适用场景存在明确差异，对称与非对称加密技术各有优劣。
3. UEBA 技术核心是用户画像 + 异常行为检测，弥补传统安全检测的未知威胁识别盲区。
4. 网络安全态势感知以安全大数据为基础，四大关键技术实现 "监测 - 分析 - 决策 - 预测" 的全流程安全能力。

（二）应试与实践建议

1. 考试备考：重点记忆五大属性的核心特征、四类访问控制的差异、对称与非对称加密的代表算法与适用场景，UEBA 与态势感知重点掌握核心定位与传统技术的区别，该部分考点均为客观题，无需死记硬背，重点理解概念的核心差异。
2. 实践应用：企业信息安全建设需遵循 "分层防护、纵深防御" 的原则，覆盖设备、数据、内容、行为四个层级，结合边界防护技术与 UEBA、态势感知等动态检测技术，构建主动防御体系，优先满足等保 2.0 的合规要求。
3. 学习路径：进阶学习可参考 ISO27001、等保 2.0 系列标准、《网络安全态势感知技术规范》等官方文件，结合软考真题巩固考点记忆。

八、典型真题演练

1. 信息安全的基本属性中，保证信息为授权者享用而不泄漏给未经授权者的是？

A. 完整性

B. 保密性

C. 可用性

D. 可控性

答案：B

2. 网络安全态势感知的前提是？

A. 安全人员的经验

B. 安全策略

C. 安全大数据

D. 网络设备性能

答案：C

3. 以下属于对称加密算法的是？

A. RSA

B. DES

C. MD5

D. SHA-1

答案：B

4. 网闸的主要作用是？

A. 加速网络传输

B. 隔离内外网，防止外部攻击直接入侵内网

C. 提供文件共享服务

D. 进行数据加密

答案：B