2023年通信電子計(jì)算機(jī)技能考試-信息安全等級(jí)測(cè)評(píng)師考試歷年真摘選題含答案

2023年通信電子計(jì)算機(jī)技能考試-信息安全等級(jí)測(cè)評(píng)師考試歷年真摘選題含答案（圖片大小可自由調(diào)整）第1卷一.參考題庫(kù)(共100題)1.等級(jí)保護(hù)對(duì)象受到破壞后對(duì)客體造成侵害的程度歸結(jié)為哪三種（）。A、造成輕微損害B、造成一般損害C、造成嚴(yán)重?fù)p害D、造成特別嚴(yán)重?fù)p害2.安全建設(shè)整改無論是安全管理建設(shè)整改還是安全技術(shù)建設(shè)整改，使用的核心標(biāo)準(zhǔn)是（）。A、《計(jì)算機(jī)信息安全保護(hù)等級(jí)劃分準(zhǔn)則》B、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》C、《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》D、《信息安全等級(jí)保護(hù)管理辦法》3.信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依照相關(guān)規(guī)定和標(biāo)準(zhǔn)和行業(yè)指導(dǎo)意見自主確定信息系統(tǒng)的安全保護(hù)等級(jí)。即使有主管部門的，也不必經(jīng)主管部門審核批準(zhǔn)。4.網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采用（）協(xié)議的方式以防被竊聽。A、SSHB、HTTPC、HTTPSD、TelnetE、FTP5.基于角色的訪問控制是如何實(shí)現(xiàn)的？?jī)?yōu)點(diǎn)是什么？6.現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)任務(wù)包含有（）A、現(xiàn)場(chǎng)測(cè)評(píng)準(zhǔn)備B、現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄C、結(jié)果確認(rèn)和資料歸還D、確認(rèn)測(cè)評(píng)對(duì)象、測(cè)評(píng)內(nèi)容及方法7.哪項(xiàng)不是開展主機(jī)工具測(cè)試所必須了解的信息（）。A、操作系統(tǒng)B、應(yīng)用C、ipD、物理位置8.信息收集一般要包括（）。A、網(wǎng)絡(luò)設(shè)備B、安全設(shè)備C、主機(jī)D、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)9.作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)具有如下基本特征（）。A、具有唯一確定的安全責(zé)任單位B、具有信息系統(tǒng)的基本要素C、承載單一或相對(duì)獨(dú)立的業(yè)務(wù)應(yīng)用D、單位具有獨(dú)立的法人10.訪問控制機(jī)制有哪幾類？有何區(qū)別？11.試解釋SQL注入攻擊的原理，以及它產(chǎn)生的不利影響。12.試述零知識(shí)證明的原理。13.以下哪些客體不可能是國(guó)家安全的客體對(duì)象（）A、重要的國(guó)家事務(wù)處理系統(tǒng)B、國(guó)防工業(yè)生產(chǎn)系統(tǒng)和國(guó)防設(shè)施的控制系統(tǒng)C、廣播、電視、網(wǎng)絡(luò)等重要新聞媒體的發(fā)布或播出系統(tǒng)D、環(huán)境、生產(chǎn)及農(nóng)牧相關(guān)的管理控制系統(tǒng)E、處理國(guó)家對(duì)外活動(dòng)信息的信息系統(tǒng)F、處理國(guó)家重要安全保衛(wèi)工作信息的信息系統(tǒng)和重大刑事案件的偵查系統(tǒng)G、尖端科技領(lǐng)域的研發(fā)、生產(chǎn)系統(tǒng)等影響國(guó)家經(jīng)濟(jì)競(jìng)爭(zhēng)力和科技實(shí)力的信息系統(tǒng)H、電力、通信、能源、交通運(yùn)輸、金融等國(guó)家重要基礎(chǔ)設(shè)施的生產(chǎn)、控制、管理系統(tǒng)等14.某公司現(xiàn)有35臺(tái)計(jì)算機(jī)，把子網(wǎng)掩碼設(shè)計(jì)成多少最合適（）A、24B、92C、28D、5515.結(jié)構(gòu)安全、訪問控制、安全審計(jì)是（）層面的要求。A、網(wǎng)絡(luò)B、主機(jī)C、系統(tǒng)D、物理16.網(wǎng)絡(luò)安全是指對(duì)信息系統(tǒng)所涉及的下列哪幾方面進(jìn)行進(jìn)行安全保護(hù)。（）A、通信網(wǎng)絡(luò)B、網(wǎng)絡(luò)邊界C、網(wǎng)絡(luò)區(qū)域D、網(wǎng)絡(luò)設(shè)備17.以下關(guān)于信息系統(tǒng)安全建設(shè)整改工作工作方法說法中不正確的是（）。A、突出重要系統(tǒng)，涉及所有等級(jí)，試點(diǎn)示范，行業(yè)推廣，國(guó)家強(qiáng)制執(zhí)行。B、利用信息安全等級(jí)保護(hù)綜合工作平臺(tái)使等級(jí)保護(hù)工作常態(tài)化。C、管理制度建設(shè)和技術(shù)措施建設(shè)同步或分步實(shí)施。D、加固改造缺什么補(bǔ)什么也可以進(jìn)行總體安全建設(shè)整改規(guī)劃。18.訪問控制的三要素是什么？按訪問控制策略劃分，可分為哪幾類？按層面劃分，可分為哪幾類？19.防火墻通過（）控制來阻塞郵件附件中的病毒。A、數(shù)據(jù)控制B、連接控制C、ACL控制D、協(xié)議控制20.信息安全是非傳統(tǒng)安全，信息安全本質(zhì)是信息對(duì)抗、技術(shù)對(duì)抗、國(guó)家綜合實(shí)力的對(duì)抗。21.以下哪項(xiàng)不是現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)需要準(zhǔn)備的內(nèi)容（）A、現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書B、測(cè)評(píng)方案C、保密協(xié)議D、測(cè)評(píng)指導(dǎo)書22.數(shù)字簽名是指（）。A、用戶用自己的私鑰對(duì)原始數(shù)據(jù)的哈希摘要進(jìn)行加密所得的數(shù)據(jù)B、用戶用公鑰對(duì)原始數(shù)據(jù)的哈希摘要進(jìn)行加密所得的數(shù)據(jù)C、用戶用自己的私鑰對(duì)已加密信息進(jìn)行再加密所得的數(shù)據(jù)D、用戶用公鑰對(duì)已加密信息進(jìn)行再加密所得的數(shù)據(jù)23.在信息安全等級(jí)保護(hù)的ASG組合中沒有S1A4G4這個(gè)組合。24.在主機(jī)評(píng)測(cè)前期調(diào)研活動(dòng)中，收集信息的內(nèi)容？在選擇主機(jī)測(cè)評(píng)對(duì)象時(shí)應(yīng)注意哪些要點(diǎn)？25.公安部網(wǎng)絡(luò)違法案件舉報(bào)網(wǎng)站的網(wǎng)址是（）。A、B、C、http：//D、26.動(dòng)態(tài)路由是網(wǎng)絡(luò)管理員手工配置的路由信息，也可由路器自動(dòng)地建立并且能夠根據(jù)實(shí)際情況的變化適時(shí)地進(jìn)行調(diào)整。27.對(duì)公民、法人和其他組織的合法權(quán)益造成一般損害，定義為幾級(jí)（）。A、第一級(jí)B、第二級(jí)C、第三級(jí)D、第四級(jí)E、第五級(jí)28.等級(jí)測(cè)評(píng)的主要對(duì)象是關(guān)系（）、（）、（）等方面的重要信息系統(tǒng)。29.網(wǎng)絡(luò)安全是指對(duì)信息系統(tǒng)所涉及的通信網(wǎng)絡(luò)、網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)區(qū)域和網(wǎng)絡(luò)設(shè)備等進(jìn)行安全保護(hù)。30.安全技術(shù)要求主要包括身份鑒別、訪問控制、安全審計(jì)、完整性、保密性、惡意代碼防范、密碼技術(shù)應(yīng)用等技術(shù)，以及物理環(huán)境和設(shè)施安全保護(hù)要求。31.屬于通信安全的威脅中被動(dòng)攻擊的主要手段的是（）。A、截獲B、竊聽C、分析D、冒充32.信息系統(tǒng)應(yīng)當(dāng)按照信息安全等級(jí)保護(hù)的要求，實(shí)行（）、（）的原則。33.SSL協(xié)議的目標(biāo)是什么？34.安全標(biāo)記有什么作用？如何實(shí)現(xiàn)？35.簡(jiǎn)述入侵檢測(cè)的目標(biāo)和分類。36.C級(jí)安全和B級(jí)安全的主要區(qū)別是什么？37.環(huán)境管理、資產(chǎn)管理、介質(zhì)管理都屬于安全管理部分的（）管理。A、人員管理B、安全管理機(jī)構(gòu)C、安全管理制度D、系統(tǒng)運(yùn)維管理38.在信息安全等級(jí)保護(hù)的網(wǎng)絡(luò)安全三級(jí)基本要求中要求應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶。39.應(yīng)用網(wǎng)關(guān)防火墻是如何實(shí)現(xiàn)的？與包過濾防火墻比較有什么優(yōu)缺點(diǎn)？40.鑒別的定義是（）。A、將兩個(gè)不同的主體區(qū)別開來B、將一個(gè)身份綁定到一個(gè)主體上C、防止非法用戶使用系統(tǒng)及合法用戶對(duì)系統(tǒng)資源的非法使用D、對(duì)計(jì)算機(jī)系統(tǒng)實(shí)體進(jìn)行訪問控制41.測(cè)評(píng)單位開展工作的政策依據(jù)是（）。A、公通字[2004]66號(hào)B、公信安[2008]736C、公信安[2010]303號(hào)42.根據(jù)《廣東省計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》，計(jì)算機(jī)信息系統(tǒng)（）應(yīng)當(dāng)同步落實(shí)相應(yīng)的安全措施。A、規(guī)劃B、設(shè)計(jì)C、建設(shè)D、維護(hù)43.安全建設(shè)整改以（）為驅(qū)動(dòng)，采用的安全技術(shù)措施、以及配套的安全管理措施等均應(yīng)滿足信息系統(tǒng)的基本安全需求為目的。44.《管理辦法》規(guī)定，第（）級(jí)以上信息系統(tǒng)應(yīng)當(dāng)選擇使用我國(guó)自主研發(fā)的信息安全產(chǎn)品。A、一B、二C、三D、四45.根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，信息系統(tǒng)的運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依照本辦法及其相關(guān)標(biāo)準(zhǔn)規(guī)范，履行信息安全等級(jí)保護(hù)的義務(wù)和責(zé)任。46.簡(jiǎn)述什么是數(shù)字簽名。47.入侵威脅有哪幾種？入侵行為有哪幾種？造成入侵威脅的入侵行為主要是哪兩種，各自的含義是什么？入侵48.三級(jí)系統(tǒng)的配置文件權(quán)限值不能大于644，可執(zhí)行文件不能大于75549.《基本要求》是針對(duì)一至（）級(jí)的信息系統(tǒng)給出基本的安全保護(hù)要求。（注意《基本要求》第9章為空白）A、2B、3C、4D、550.Windows系統(tǒng)中的審計(jì)日志包括（）。A、系統(tǒng)日志B、安全日志C、應(yīng)用程序日志D、用戶日志51.防火墻和VPN屬于（）A、網(wǎng)絡(luò)安全硬件B、網(wǎng)絡(luò)安全軟件C、網(wǎng)絡(luò)安全服務(wù)D、網(wǎng)絡(luò)安全管理52.對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害，定義為幾級(jí)（）。A、第一級(jí)B、第二級(jí)C、第三級(jí)D、第四級(jí)E、第五級(jí)53.訪問控制表和訪問能力表有何區(qū)別？54.物理層面安全要求包括物理位置、物理訪問控制、防盜竊和防破壞等，其中不是物理安全范圍的是什么？（）A、防靜電B、防火C、防水和防潮D、防攻擊55.口令認(rèn)證機(jī)制的安全性弱點(diǎn)，可以使得攻擊者破解合法用戶帳戶信息，進(jìn)而非法獲得系統(tǒng)和資源訪問權(quán)限。56.在互聯(lián)網(wǎng)上的計(jì)算機(jī)病毒呈現(xiàn)出的特點(diǎn)是（）。A、與互聯(lián)網(wǎng)更加緊密地結(jié)合，利用一切可以利用的方式進(jìn)行傳播B、有的計(jì)算機(jī)病毒不具有破壞性。C、擴(kuò)散性極強(qiáng)，也更注重隱蔽性和欺騙性D、針對(duì)系統(tǒng)漏洞進(jìn)行傳播和破壞57.交換機(jī)收到未知源地址的幀時(shí)，做什么處理（）A、廣播所有相連的設(shè)備B、丟棄C、修改源地址轉(zhuǎn)發(fā)58.公安部、國(guó)家保密局、國(guó)家密碼管理局、原國(guó)務(wù)院信息辦共同印發(fā)的《信息安全等級(jí)保護(hù)管理辦法》即43號(hào)文。59.特權(quán)用戶設(shè)置口令時(shí)，應(yīng)當(dāng)使用enablepassword命令設(shè)定具有管理員權(quán)限的口令。60.在信息系統(tǒng)的運(yùn)行過程中，安全保護(hù)等級(jí)是否需要隨著信息系統(tǒng)所處理的信息和業(yè)務(wù)狀態(tài)的變化進(jìn)行適當(dāng)?shù)淖兏＃ǎ〢、需要B、不需要61.Windows安裝完成后，默認(rèn)情況下會(huì)產(chǎn)生兩個(gè)賬號(hào)，分別是管理員賬號(hào)和（）。A、本地賬號(hào)B、域賬號(hào)C、來賓賬號(hào)D、局部賬號(hào)62.對(duì)稱加密算法最安全。63.核心交換機(jī)的設(shè)備選型應(yīng)該考慮（）。A、高速數(shù)據(jù)交換B、高可靠性C、可管理性D、可以進(jìn)行訪問控制策略設(shè)置64.第二級(jí)信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依據(jù)國(guó)家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國(guó)家信息安全監(jiān)管部門對(duì)該級(jí)信息系統(tǒng)信息安全等級(jí)保護(hù)工作進(jìn)行監(jiān)督、檢查。屬于監(jiān)督保護(hù)級(jí)。65.為什么要引進(jìn)密鑰管理技術(shù)？66.三級(jí)系統(tǒng)網(wǎng)絡(luò)安全的設(shè)備防護(hù)有（）個(gè)檢查項(xiàng)。A、6B、7C、8D、967.信息安全等級(jí)保護(hù)體現(xiàn)了“誰主管、誰負(fù)責(zé)，誰使用、誰負(fù)責(zé)，誰運(yùn)營(yíng)、誰負(fù)責(zé)”的信息安全責(zé)任制。68.對(duì)信息安全的軟件產(chǎn)生威脅的是（）。A、病毒攻擊B、災(zāi)害C、人為破壞D、硬件故障69.從安全保護(hù)能力角度，根據(jù)安全功能的實(shí)現(xiàn)情況，將計(jì)算機(jī)信息系統(tǒng)安全保護(hù)能力劃分為五個(gè)級(jí)別，即：用戶自主保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和（）。A、密碼驗(yàn)證保護(hù)級(jí)B、訪問驗(yàn)證保護(hù)級(jí)C、系統(tǒng)驗(yàn)證保護(hù)級(jí)D、安全驗(yàn)證保護(hù)級(jí)70.定期給操作系統(tǒng)打補(bǔ)丁，可以免除很多漏洞攻擊。71.經(jīng)過安全建設(shè)整改工作后，三級(jí)信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御大規(guī)模、較強(qiáng)惡意攻擊的能力，抵抗較為嚴(yán)重的自然災(zāi)害的能力，防范計(jì)算機(jī)病毒和惡意代碼危害的能力。72.網(wǎng)絡(luò)蠕蟲病毒越來越多地借助網(wǎng)絡(luò)作為傳播途徑，包括（）。A、互聯(lián)網(wǎng)瀏覽B、文件下載C、電子郵件D、實(shí)時(shí)聊天工具E、局域網(wǎng)文件共享73.防火墻提供的接入模式中包括（）A、路由模式B、透明模式C、混合模式D、旁路接入模式74.ARP地址欺騙分為對(duì)網(wǎng)絡(luò)設(shè)備ARP表的欺騙和對(duì)內(nèi)網(wǎng)PC的網(wǎng)關(guān)欺騙75.從安全的角度來說，存在絕對(duì)安全的通信線路。76.Windows操作系統(tǒng)可以通過配置（）來對(duì)登錄進(jìn)行限制。A、系統(tǒng)環(huán)境變量B、通過ip地址C、賬戶鎖定策略D、讀寫保護(hù)77.信息安全的目標(biāo)是什么？78.SSL是（）的協(xié)議A、傳輸層B、應(yīng)用層C、會(huì)話層D、網(wǎng)絡(luò)層79.身份認(rèn)證的信息主要有哪幾類？并每項(xiàng)列舉不少于2個(gè)的事例。80.根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，國(guó)家保密工作部門負(fù)責(zé)等級(jí)保護(hù)工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)。81.在windows系統(tǒng)中，重要目錄不對(duì)everyone用戶開放。82.下面哪個(gè)不是生成樹的優(yōu)點(diǎn)（）。A、生成樹可以管理冗余鏈路，在鏈路發(fā)生故障時(shí)可以恢復(fù)網(wǎng)絡(luò)連接B、生成樹可以防止環(huán)路的產(chǎn)生C、生成樹可以防止廣播風(fēng)暴D、生成樹能夠節(jié)省網(wǎng)絡(luò)帶寬83.簡(jiǎn)述SSL協(xié)議建立安全連接的過程。84.unix/linux系統(tǒng)中的密碼信息保存在/etc/passwd或/etc/shadow文件中，信息包含的內(nèi)容有（）。A、最近使用過的密碼B、用戶可以再次改變密碼必須經(jīng)過的最小周期C、密碼最近的改變時(shí)間D、密碼有效的最大天數(shù)----這三條都是在shadow文件里記錄的。85.安全技術(shù)要求中的網(wǎng)絡(luò)安全是指什么？86.根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，（）應(yīng)當(dāng)依照相關(guān)規(guī)范和標(biāo)準(zhǔn)督促、檢查、指導(dǎo)本行業(yè)、本部門或本地區(qū)信息系統(tǒng)運(yùn)營(yíng)、使用單位的信息安全等級(jí)保護(hù)工作。A、公安機(jī)關(guān)B、國(guó)家保密工作部門C、國(guó)家密碼管理部門D、信息系統(tǒng)的主管部門87.通過組織開展信息安全等級(jí)保護(hù)的哪三項(xiàng)重點(diǎn)工作，落實(shí)等級(jí)保護(hù)制度的各項(xiàng)要求。（）A、安全管理制度建設(shè)B、安全評(píng)估工作C、技術(shù)措施建設(shè)D、等級(jí)測(cè)評(píng)88.軟件加密的主要要求是（）。A、防反匯編、反跟蹤B、防拷貝、反跟蹤C(jī)、防拷貝、反匯編D、防盜版、反跟蹤89.三級(jí)應(yīng)用系統(tǒng)中，要求“應(yīng)采用驗(yàn)證碼技術(shù)保證通信中數(shù)據(jù)的完整性”。90.定級(jí)指南》從（）、（）等方面提出了確定信息系統(tǒng)安全保護(hù)等級(jí)的要素和方法。91.病毒、木馬、蠕蟲都屬于惡意代碼。92.下列屬于安全產(chǎn)品的有（）。A、網(wǎng)閘B、交換機(jī)C、防火墻D、ids、ips93.在信息安全等級(jí)保護(hù)的網(wǎng)絡(luò)安全三級(jí)基本要求中要求審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。94.安全管理制度包括管理制度、制定和發(fā)布和（）。A、審核B、評(píng)審和修訂C、修訂D、評(píng)審95.進(jìn)行等級(jí)保護(hù)定義的最后一個(gè)環(huán)節(jié)是（）。A、信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)的較低者決定B、信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)的較高者決定C、信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全保護(hù)等級(jí)決定D、信息系統(tǒng)的安全保護(hù)等級(jí)由系統(tǒng)服務(wù)安全保護(hù)等級(jí)決定96.根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，第十五條已運(yùn)營(yíng)（運(yùn)行）的第二級(jí)以上信息系統(tǒng)，應(yīng)當(dāng)在安全保護(hù)等級(jí)確定后30日內(nèi)，由其運(yùn)營(yíng)、使用單位到所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦理備案手續(xù)。97.在新技術(shù)應(yīng)用中新增加的定級(jí)對(duì)象不包括（）A、云計(jì)算系統(tǒng)定級(jí)對(duì)象B、系統(tǒng)平臺(tái)定級(jí)對(duì)象C、移動(dòng)互聯(lián)系統(tǒng)定級(jí)對(duì)象D、工業(yè)控制系統(tǒng)定級(jí)對(duì)象98.數(shù)據(jù)庫(kù)常見威脅有哪些？針對(duì)于工具測(cè)試需要注意哪些內(nèi)容？99.只要投資充足，技術(shù)措施完備，就能夠保證百分之百的信息安全。100.以下哪個(gè)信息系統(tǒng)安全建設(shè)整改工作實(shí)現(xiàn)目標(biāo)是錯(cuò)誤的（）A、信息系統(tǒng)安全管理水平明顯提高B、信息系統(tǒng)安全建設(shè)能力明顯增強(qiáng)C、信息系統(tǒng)安全隱患和安全事故明顯減少D、有效保障信息化健康發(fā)展E、有效維護(hù)國(guó)家安全、社會(huì)秩序和公共利益第1卷參考答案一.參考題庫(kù)1.正確答案:B,C,D2.正確答案:B3.正確答案:錯(cuò)誤4.正確答案:A,C5.正確答案: 基于角色的訪問控制是通過定義角色的權(quán)限，為系統(tǒng)中的主體分配角色來實(shí)現(xiàn)訪問控制的。用戶先經(jīng)認(rèn)證后獲得一定角色，該角色被分配了一定的權(quán)限，用戶以特定角色訪問系統(tǒng)資源，訪問控制機(jī)制檢查角色的權(quán)限，并決定是否允許訪問。其特點(diǎn)為： ①提供了三種授權(quán)管理的控制途徑： a.改變客體的訪問權(quán)限； b.改變角色的訪問權(quán)限； c.改變主體所擔(dān)任的角色。 ②系統(tǒng)中所有角色的關(guān)系結(jié)構(gòu)可以是層次化的，便于管理。 ③具有較好的提供最小權(quán)利的能力，從而提高了安全性。 ④具有責(zé)任分離的能力。6.正確答案:A,B,C7.正確答案:D8.正確答案:A,B,C,D9.正確答案:A,B,C10.正確答案: 訪問控制機(jī)制有三種分別為：自主訪問控制、強(qiáng)制訪問控制以及基于角色的訪問控制。自主訪問控制是一種常用的訪問控制也是三個(gè)中控制比較寬松的一個(gè)。它基于對(duì)主體或主題所屬的主體組的識(shí)別來限制對(duì)客體的訪問，這種控制是自主的。自主是指主體能夠自主地將訪問權(quán)或訪問權(quán)的某個(gè)子集授予其它主體。在這種訪問控制中，一個(gè)主題的訪問權(quán)限具有傳遞性。強(qiáng)制訪問控制具有更加強(qiáng)硬的控制手段，它為所用的主體和客體制定安全級(jí)別，不同級(jí)別的主體對(duì)不同級(jí)別的客體的訪問是在強(qiáng)制的安全策略下實(shí)現(xiàn)的。在基于角色的訪問控制中，用戶不是自始至終以同樣的注冊(cè)身份和權(quán)限訪問系統(tǒng)，而是以一定的角色訪問，不同的角色被賦予不同的訪問權(quán)限，系統(tǒng)的訪問控制機(jī)制只看到角色，而看不到用戶。11.正確答案: SQL注入攻擊的原理是從客戶端提交特殊的代碼，WEB應(yīng)用程序如果沒有做嚴(yán)格的檢查就將其形成SQL命令發(fā)送給數(shù)據(jù)庫(kù)，從數(shù)據(jù)庫(kù)返回的信息中，攻擊者可以獲得程序及服務(wù)器的信息，從而進(jìn)一步獲得其他資料。SQL注入攻擊可以獲取WEB應(yīng)用程序和數(shù)據(jù)庫(kù)系統(tǒng)的信息，還可以通過SQL注入攻擊竊取敏感數(shù)據(jù)，篡改數(shù)據(jù)，破壞數(shù)據(jù)，甚至以數(shù)據(jù)庫(kù)系統(tǒng)為橋梁進(jìn)一步入侵服務(wù)器操作系統(tǒng)，從而帶來更為巨大的破壞。12.正確答案: P是示證者，V表示驗(yàn)證者，P試圖向V證明自己知道某信息。則使用某種有效的數(shù)學(xué)方法，使得V相信P掌握這一信息，卻不泄漏任何有用的信息，這種方法被稱為零知識(shí)證明問題。零知識(shí)證明可以分為兩大類：最小泄漏證明和零知識(shí)證明。最小泄漏證明需要滿足： 1）P幾乎不可能欺騙V：如果P知道證明，他可以使V以極大的概率相信他知道證明；如果P不知道證明，則他使得V相信他知道證明的概率幾乎為零。 2）V幾乎不可能不知道證明的知識(shí)，特別是他不可能向別人重復(fù)證明的過程。零知識(shí)證明除了要滿足以上兩個(gè)條件之外，還要滿足第三個(gè)條件： 3）V無法從P那里得到任何有關(guān)證明的知識(shí)。13.正確答案:D14.正確答案:B15.正確答案:A16.正確答案:A,B,C,D17.正確答案:A18.正確答案: 訪問控制的三要素是：主體、客體、操作。 按訪問控制策略劃分可分為： ①自主訪問控制 ②強(qiáng)制訪問控制 ③基于角色的訪問控制 按層面劃分可分為： ①網(wǎng)絡(luò)訪問控制 ②主機(jī)訪問控制 ③應(yīng)用訪問控制 ④物理訪問控制19.正確答案:A20.正確答案:錯(cuò)誤21.正確答案:C22.正確答案:A23.正確答案:錯(cuò)誤24.正確答案: 至少需要收集服務(wù)器主機(jī)的設(shè)備名稱、型號(hào)、操作系統(tǒng)、IP地址、安裝的應(yīng)用軟件情況、主要的業(yè)務(wù)情況、重要程度、是否熱備等信息。測(cè)評(píng)對(duì)象選擇時(shí)應(yīng)注意重要性、代表性、完整性、安全性、共享性五大原則。25.正確答案:C26.正確答案:錯(cuò)誤27.正確答案:A28.正確答案:國(guó)家安全；經(jīng)濟(jì)命脈；社會(huì)穩(wěn)定29.正確答案:正確30.正確答案:正確31.正確答案:B32.正確答案:同步建設(shè)；動(dòng)態(tài)調(diào)整、誰運(yùn)行誰負(fù)責(zé)33.正確答案: SSL是由Netscape公司開發(fā)的一套Internet數(shù)據(jù)安全協(xié)議，目前已廣泛適用于Web瀏覽器與服務(wù)器之間的身份認(rèn)證和加密數(shù)據(jù)傳輸，它位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間，為數(shù)據(jù)通信提供安全支持。34.正確答案: 安全級(jí)別由敏感標(biāo)記來表示。敏感標(biāo)記簡(jiǎn)稱標(biāo)記，是表示實(shí)體安全級(jí)別的一組信息，在安全機(jī)制中把敏感標(biāo)記作為強(qiáng)制訪問控制決策的依據(jù)。當(dāng)輸入未加安全級(jí)別的數(shù)據(jù)時(shí)，系統(tǒng)應(yīng)該享受全用戶要求這些數(shù)據(jù)的安全級(jí)別，并對(duì)收到的安全級(jí)別進(jìn)行審計(jì)。35.正確答案: 入侵檢測(cè)是對(duì)入侵行為的發(fā)覺.它從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)的關(guān)鍵點(diǎn)收集信息并進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的對(duì)象.經(jīng)入侵檢測(cè)發(fā)現(xiàn)入侵行為后，可以采取相應(yīng)的安全措施，如報(bào)警、記錄、切斷攔截等，從而提高網(wǎng)絡(luò)系統(tǒng)的安全應(yīng)變能力。根據(jù)入侵檢測(cè)系統(tǒng)所檢測(cè)對(duì)象的區(qū)別可分為基于主機(jī)的入侵檢測(cè)系統(tǒng)和基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)。36.正確答案:C等為自主保護(hù)級(jí)，B等為強(qiáng)制保護(hù)級(jí)，這一級(jí)比C級(jí)的安全功能有大幅提高。37.正確答案:D38.正確答案:正確39.正確答案: 應(yīng)用級(jí)網(wǎng)關(guān)型防火墻：應(yīng)用級(jí)網(wǎng)關(guān)是在網(wǎng)絡(luò)應(yīng)用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能。它針對(duì)特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯，并在過濾的同時(shí)，對(duì)數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告。實(shí)際中的應(yīng)用網(wǎng)關(guān)通常安裝在專用工作站系統(tǒng)上。應(yīng)用網(wǎng)關(guān)對(duì)某些易于登錄和控制所有輸出輸入的通信的環(huán)境給予嚴(yán)格的控制，以防有價(jià)值的程序和數(shù)據(jù)被竊取。在實(shí)際工作中，應(yīng)用網(wǎng)關(guān)一般由專用工作站系統(tǒng)來完成。但每一種協(xié)議需要相應(yīng)的代理軟件，使用時(shí)工作量大，效率不如網(wǎng)絡(luò)級(jí)防火墻。應(yīng)用級(jí)網(wǎng)關(guān)有較好的訪問控制，是目前最安全的防火墻技術(shù)，但實(shí)現(xiàn)困難，而且有的應(yīng)用級(jí)網(wǎng)關(guān)缺乏“透明度”40.正確答案:C41.正確答案:C42.正確答案:A,B,C,D43.正確答案:安全需求44.正確答案:C45.正確答案:正確46.正確答案: 數(shù)字簽名就是通過一個(gè)單向函數(shù)對(duì)要傳送的報(bào)文進(jìn)行處理得到的用以認(rèn)證報(bào)文來源并核實(shí)報(bào)文是否發(fā)生變化的一個(gè)字母數(shù)字串，該字母數(shù)字串被成為該消息的消息鑒別碼或消息摘要，這就是通過單向哈希函數(shù)實(shí)現(xiàn)的數(shù)字簽名；在公鑰體制簽名的時(shí)候用戶用自己的私鑰對(duì)原始數(shù)據(jù)的哈希摘要進(jìn)行加密所得的數(shù)據(jù)，然后信息接收者使用信息發(fā)送者的公鑰對(duì)附在原始信息后的數(shù)字簽名進(jìn)行解密后獲得哈希摘要，并通過與用自己收到的原始數(shù)據(jù)產(chǎn)生的哈希摘要對(duì)照，便可確信原始信息是否被篡改，這樣就保證了數(shù)據(jù)傳輸?shù)牟豢煞裾J(rèn)性。這是公鑰簽名技術(shù)。47.正確答案: 威脅可分為：①外部滲透。②內(nèi)部滲透。③不法行為。 入侵行為可分為：①物理入侵。②系統(tǒng)入侵。③遠(yuǎn)程入侵。 主要入侵行為：①系統(tǒng)入侵。②遠(yuǎn)程入侵。系統(tǒng)入侵是指入侵者在擁有系統(tǒng)的一個(gè)低級(jí)賬號(hào)權(quán)限下進(jìn)行的破壞活動(dòng)。遠(yuǎn)程入侵是指入侵者通過網(wǎng)絡(luò)滲透到一個(gè)系統(tǒng)中。48.正確答案:正確49.正確答案:C50.正確答案:A,B,C51.正確答案:A,B52.正確答案:E53.正確答案: 訪問控制表是基于訪問控制矩陣中列的自主訪問控制，它在一個(gè)客體上附加一個(gè)主體明晰表，來表示各個(gè)主體對(duì)這個(gè)客體的訪問權(quán)限。而訪問能力表是基于行的自主訪問控制。訪問能力表不能實(shí)現(xiàn)完備的自主訪問控制，而訪問控制表是可以實(shí)現(xiàn)的。54.正確答案:D55.正確答案:正確56.正確答案:A,C,D57.正確答案:B58.正確答案:正確59.正確答案:錯(cuò)誤60.正確答案:A61.正確答案:C62.正確答案:錯(cuò)誤63.正確答案:A,B,C,D64.正確答案:錯(cuò)誤65.正確答案: （1）理論因素：通信雙方在進(jìn)行通信時(shí)，必須要解決兩個(gè)問題：A.必須經(jīng)常更新或改變密鑰；B.如何能安全地更新或是改變密鑰。 （2）人為因素：破解好的密文非常的困難，困難到即便是專業(yè)的密碼分析員有時(shí)候也束手無策，但由于人員不慎可能造成密鑰泄露、丟失等，人為的情況往往比加密系統(tǒng)的設(shè) 計(jì)者所能夠想象的還要復(fù)雜的多，所以需要有一個(gè)專門的機(jī)構(gòu)和系統(tǒng)防止上述情形的發(fā)生。 （3）技術(shù)因素A.用戶產(chǎn)生的密鑰有可能是脆弱的；B.密鑰是安全的，但是密鑰保護(hù)有可能是失敗的。66.正確答案:C67.正確答案:正確68.正確答案:A69.正確答案:B70.正確答案:正確71.正確答案:正確72.正確答案:A,B,C,D,E73.正確答案:A,B,C74.正確答案:正確75.正確答案:錯(cuò)誤76.正確答案:C77.正確答案: 信息安全的目標(biāo)是保護(hù)信息的機(jī)密性、完整性、抗否認(rèn)性和可用性。機(jī)密性是指保證信息不被非授權(quán)訪問；即使非授權(quán)用戶得到信息也無法知曉信息內(nèi)容，因而不能使用。完整性是指維護(hù)信息的一致性，即信息在生成、傳輸、存儲(chǔ)和使