摘要：对于【信息安全工程师】软考考试而言，试题无疑是最重要的学习资料之一。在软考备考过程中，吃透试题、掌握试题所考知识点、熟悉试题的出题思路，对我们提升分数的效果是最明显的，通过对试题的反复练习，还可以查漏补缺。今天，给大家带来【2022年11月信息安全工程师 下午试卷】部分试题的详解，一起来看看吧~



1、【问题4】(6分)图1-1中防火墙1和防火墙2都采用Ubuntu系统自带的iptables防火墙，其默认的过滤规则如图1-2所示。(1)请说明上述防火墙采取的是白名单还是黑名单安全策略。(2)图1-2显示的是iptables哪个表的信息，请写出表名。(3)如果要设置iptables防火墙默认不允许任何数据包进入，请写出相应命令。
答案:

（1）黑名单

（2）Filter

（3）iptables -P FORWARD DROP或者iptables -t filter -P FORWARD DROP

（DROP更改为REJECT也符合题意）

答题解析:

（1）黑名单安全策略：当链的默认策略为ACCEPT时，链中的规则对应的动作应该为DROP或者REJECT，表示只有匹配到规则的报文才会被拒绝，没有被规则匹配到的报文都会被默认接受。

白名单安全策略：当链的默认策略为DROP时，链中的规则对应的动作应该为ACCEPT，表示只有匹配到规则的报文才会被放行，没有被规则匹配到的报文都会被默认拒绝。

图1-2中链的默认策略是ACCEPT，防火墙采取的是黑名单策略。

（2）在iptables中内建的规则表有三个：nat、mangle和filter。这三个规则表的功能如下：

●nat：此规则表拥有prerouting和postrouting两个规则链，主要功能是进行一对一、一对多、多对多等地址转换工作（snat、dnat），这个规则表在网络工程中使用得非常频繁。

●mangle：此规则表拥有prerouting、forward和postrouting三个规则链。除了进行网络地址转换外，还在某些特殊应用中改写数据包的ttl、tos的值等，这个规则表使用得很少，因此在这里不做过多讨论。

●filter：这个规则表是默认规则表，拥有input、forward和output三个规则链，它是用来进行数据包过滤的处理动作（如drop、accept或reject等），通常的基本规则都建立在此规则表中。

图1-2中的iptables的默认规则链是INPUT、FORWARD和OUTPUT，所以显示的是filter表的相关信息。

（3）防火墙1和防火墙2都需要经过路由判断后进行转发，即目的地不是本机的数据包执行的规则。所以需要修改FORWARD规则链的默认策略为DROP或者REJECT。题干要求的是默认不允许任何数据包进入，命令如下：

iptables -P FORWARD DROP或者iptables -t filter -P FORWARD DROP

（DROP更改为REJECT也符合题意）

查看完整试题>>>