中級(jí)信息系統(tǒng)管理工程師-安全管理-1.概述

中級(jí)信息系統(tǒng)管理工程師-安全管理-1.概述[單選題]1.現(xiàn)在計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證方式主要有以下四種，其中__()__是一種讓用戶密碼按照時(shí)間或使用次數(shù)不斷變化，每個(gè)密碼只能使用一次的技術(shù).A.I（江南博哥）C卡認(rèn)證B.動(dòng)態(tài)密碼C.USBKey認(rèn)證D.用戶名／密碼方式正確答案：B參考解析：用戶名/密碼，是要用戶輸入一些保密的信息；IC卡認(rèn)證、USBKEY認(rèn)證，是采用物理識(shí)別設(shè)備；動(dòng)態(tài)密碼是要用戶根據(jù)使用時(shí)間和次數(shù)而不斷變化的。[單選題]2.中間人攻擊就是在通信雙方毫無(wú)察覺(jué)的情況下，通過(guò)攔截正常的網(wǎng)絡(luò)通信數(shù)據(jù)，進(jìn)而對(duì)數(shù)據(jù)進(jìn)行嗅探或篡改。以下屬于中間人攻擊的是()。A.DNS欺騙B.社會(huì)工程攻擊C.網(wǎng)絡(luò)釣魚(yú)D.旁注攻擊正確答案：A參考解析：DNS欺騙屬于中間人攻擊。[單選題]3.現(xiàn)在計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證的方式主要有以下四種，其中()是最簡(jiǎn)單也是最常用的身份認(rèn)證方法。A.IC卡認(rèn)證B.動(dòng)態(tài)密碼C.USBKey認(rèn)證D.用戶名/密碼方式正確答案：D參考解析：用戶名/密碼方式是最簡(jiǎn)單最常用的身份認(rèn)證方法，安全性不太好，密碼容易被猜側(cè)，或者被駐留在計(jì)算機(jī)內(nèi)存中的木馬程序或網(wǎng)絡(luò)中的監(jiān)聽(tīng)設(shè)備截獲。IC卡認(rèn)證是通過(guò)一種內(nèi)置集成電路的芯片，芯片中存有和用戶身份相關(guān)的數(shù)據(jù)，且芯片是不可復(fù)制的芯片，但每次讀取的數(shù)據(jù)都是靜態(tài)的，通過(guò)內(nèi)存掃描或者網(wǎng)絡(luò)監(jiān)聽(tīng)還是可以截取到用戶的身份驗(yàn)證信息。動(dòng)態(tài)密碼是一種讓用戶密碼按照時(shí)間或者使用次數(shù)不斷變化，根據(jù)當(dāng)前時(shí)間或者使用次數(shù)生成當(dāng)前密碼并顯示在顯示屏上。USBKey認(rèn)證采用軟硬件結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了安全性和易用性之間的矛盾，它可以內(nèi)置單片機(jī)或者智能芯片，可以存儲(chǔ)用戶的密碼或者數(shù)字證書(shū)，利用內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。[單選題]4.現(xiàn)在計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份驗(yàn)證方式哪種最為安全實(shí)用：()A.用戶名+密碼方式B.IC卡認(rèn)證C.動(dòng)態(tài)密碼D.USBkey認(rèn)證正確答案：D參考解析：用戶名/密碼方式：是最簡(jiǎn)單也最常用的身份認(rèn)證方式，是基于“Whatyouknow”的驗(yàn)證手段。只有能夠正確輸入密碼，計(jì)算機(jī)就認(rèn)為操作者是合法用戶。但由于用戶設(shè)置密碼時(shí)出現(xiàn)簡(jiǎn)單密碼，或者密碼泄露，所以用戶名/密碼方式是一種極不安全的身份認(rèn)證方式。I/C卡認(rèn)證：I/C是一種那只集成的電路芯片，由專門(mén)的廠商通過(guò)專門(mén)的設(shè)備生產(chǎn)，是不可復(fù)制的硬件。當(dāng)用戶登錄時(shí)需要將I/C卡插入專用的讀卡器讀取其中的信息，以驗(yàn)證身份。是基于“Whatyouhave”的驗(yàn)證手段。由于I/C的數(shù)據(jù)是靜態(tài)的，可以通過(guò)內(nèi)存掃描或者網(wǎng)絡(luò)監(jiān)聽(tīng)等技術(shù)竊取用戶的驗(yàn)證信息，因此存在安全隱患，同時(shí)由于需要專門(mén)的硬件設(shè)備，使用起來(lái)比較麻煩。動(dòng)態(tài)密碼技術(shù)：是一種讓用戶密碼按時(shí)間或使用次數(shù)不斷變化、每個(gè)密碼只能使用一次的技術(shù)。動(dòng)密碼技術(shù)采用動(dòng)態(tài)令牌的專用硬件——內(nèi)置電源、密碼生成芯片和顯示屏，密碼有芯片采用專門(mén)的算法生成，并顯示在顯示屏上。動(dòng)態(tài)密碼技術(shù)采用一次一密的方式，有效保證了用戶身份的安全性。但如果客戶端與服務(wù)器端的時(shí)間或次數(shù)不能保持良好的同步，就可能導(dǎo)致用戶身份驗(yàn)證出現(xiàn)問(wèn)題。另外每次用戶登錄需要輸入一長(zhǎng)串無(wú)規(guī)律的密碼，使用不不方便。USBKey認(rèn)證是一種方便、安全的身份認(rèn)證技術(shù)，其采用軟硬件相結(jié)合、一次一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了安全性與易用性之間的矛盾。USBKey是一種USB接口的硬件設(shè)備，其內(nèi)置單片機(jī)或職能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書(shū)，利用USBKey內(nèi)置的密碼算法實(shí)現(xiàn)了對(duì)用戶身份的認(rèn)證。[單選題]5.通過(guò)代理服務(wù)器(ProxyServer)訪問(wèn)Internet的主要功能不包括()。A.突破對(duì)某些網(wǎng)站的訪問(wèn)限制B.提高訪問(wèn)某些網(wǎng)站的速度C.避免來(lái)自Internet上病毒的入侵D.隱藏本地主機(jī)的IP地址正確答案：C參考解析：代理服務(wù)器英文全稱是（ProxyServer），其功能就是代理網(wǎng)絡(luò)用戶去取得網(wǎng)絡(luò)信息。形象的說(shuō)：它是網(wǎng)絡(luò)信息的中轉(zhuǎn)站。代理服務(wù)器就好象一個(gè)大的Cache，這樣就能顯著提高瀏覽速度和效率。更重要的是：ProxyServer（代理服務(wù)器）是Internet鏈路級(jí)網(wǎng)關(guān)所提供的一種重要的安全功能，主要的功能有：突破自身IP訪問(wèn)限制，訪問(wèn)國(guó)外站點(diǎn)。教育網(wǎng)、過(guò)去的169網(wǎng)等網(wǎng)絡(luò)用戶可以通過(guò)代理訪問(wèn)國(guó)外網(wǎng)站。訪問(wèn)一些單位或團(tuán)體內(nèi)部資源，如某大學(xué)FTP（前提是該代理地址在該資源的允許訪問(wèn)范圍之內(nèi)），使用教育網(wǎng)內(nèi)地址段免費(fèi)代理服務(wù)器，就可以用于對(duì)教育網(wǎng)開(kāi)放的各類FTP下載上傳，以及各類資料查詢共享等服務(wù)。突破中國(guó)電信的IP封鎖：中國(guó)電信用戶有很多網(wǎng)站是被限制訪問(wèn)的，這種限制是人為的，不同Server對(duì)地址的封鎖是不同的。所以不能訪問(wèn)時(shí)可以換一個(gè)國(guó)外的代理服務(wù)器試試。提高訪問(wèn)速度：通常代理服務(wù)器都設(shè)置一個(gè)較大的硬盤(pán)緩沖區(qū)，當(dāng)有外界的信息通過(guò)時(shí)，同時(shí)也將其保存到緩沖區(qū)中，當(dāng)其他用戶再訪問(wèn)相同的信息時(shí)，則直接由緩沖區(qū)中取出信息，傳給用戶，以提高訪問(wèn)速度。隱藏真實(shí)IP：上網(wǎng)者也可以通過(guò)這種方法隱藏自己的IP，免受攻擊。[單選題]6.信息系統(tǒng)的安全保障能力取決于信息系統(tǒng)所采取安全管理措施的強(qiáng)度和有效性。這些措施中，__()__是信息安全的核心。A.安全策略B.安全組織C.安全人員D.安全技術(shù)正確答案：C參考解析：信息系統(tǒng)的安全保障能力取決于信息系統(tǒng)所采取安全管理措施的強(qiáng)度和有效性，這些措施可分為如下幾個(gè)層面。1、安全策略。信息安全策略用于描述一個(gè)組織高層的安全目標(biāo)，它描述應(yīng)該做什么而不是怎么去做。確定組織的安全策略是一個(gè)組織實(shí)現(xiàn)安全管理和技術(shù)措施的前題，否則所有的安全措施都將無(wú)的放矢。2、安全組織。安全組織作為安全工作的管理、實(shí)施和運(yùn)行維護(hù)體系，主要負(fù)責(zé)安全策略制度、規(guī)劃的制訂和實(shí)施，確定各種安全管理崗位和相應(yīng)的安全職責(zé)，并負(fù)責(zé)選用合適的人員來(lái)完成相應(yīng)崗位的安全管理工作、監(jiān)督各種安全工作的開(kāi)展、協(xié)調(diào)各種不同部門(mén)在安全實(shí)施中的分工和合作，以保證安全目標(biāo)的實(shí)現(xiàn)。3、安全人員。人是信息安全的核心，信息的建立和使用者都是人。不同級(jí)別的保障能力的信息系統(tǒng)對(duì)人員的可信度要求也不一樣，信息系統(tǒng)的安全保障能力越高，對(duì)信息處理設(shè)施的維護(hù)人員、信息建立和使用人員的可信度要求就越高。4、安全技術(shù)。安全技術(shù)是信息系統(tǒng)里面部署的各類安全產(chǎn)品，它屬于技術(shù)類安全控制措施，不同保障能力級(jí)別的信息系統(tǒng)應(yīng)該選擇具備不同安全保障能力級(jí)別的安全技術(shù)與產(chǎn)品。5、安全運(yùn)作。包括安全生命周期中各個(gè)安全環(huán)節(jié)的要求，包括安全服務(wù)的響應(yīng)時(shí)間、安全工程的質(zhì)量保證、安全培訓(xùn)的力度等。[單選題]7.數(shù)據(jù)管理中的安全性管理是數(shù)據(jù)生命周期中的一個(gè)比較重要的環(huán)節(jié)。要保證數(shù)據(jù)的安全性，須保證數(shù)據(jù)的保密性和完整性。下列選項(xiàng)中，()不屬于數(shù)據(jù)安全性管理的特性。A.用戶登錄時(shí)的安全性B.數(shù)據(jù)加工處理的算法C.網(wǎng)絡(luò)數(shù)據(jù)的保護(hù)D.存貯數(shù)據(jù)以及介質(zhì)的保護(hù)正確答案：B參考解析：數(shù)據(jù)的安全性管理包括：用戶登錄時(shí)的安全性；網(wǎng)絡(luò)數(shù)據(jù)的保護(hù)；存儲(chǔ)數(shù)據(jù)以及介質(zhì)的保護(hù)；通信的安全；企業(yè)和Internet網(wǎng)的單點(diǎn)安全登錄。[單選題]8.()屬于對(duì)稱加密算法。A.ELGantalB.DESC.MDSD.RSA正確答案：B參考解析：DES綜合運(yùn)用了置換、代替、代數(shù)等多種密碼技術(shù)。它設(shè)計(jì)精巧、實(shí)現(xiàn)容易、使用方便，堪稱是適應(yīng)計(jì)算機(jī)環(huán)境的近代傳統(tǒng)密碼的一個(gè)典范。DES的設(shè)計(jì)充分體現(xiàn)了Shannon信息保密理論所闡述的設(shè)計(jì)密碼的思想，標(biāo)志著密碼的設(shè)計(jì)與分析達(dá)到了新的水平。DES是一種分組密碼。費(fèi)文、密文和密鑰的分組長(zhǎng)度都是64位。DES是面向二進(jìn)制的密碼算法。因而能夠加解密任何形式的計(jì)算機(jī)數(shù)據(jù)。DES是對(duì)合運(yùn)算，因南加密和解密共用自一算法，從而使工程實(shí)現(xiàn)的工作量減半。[單選題]9.系統(tǒng)安全性保護(hù)措施包括物理安全控制、人員及管理控制和()A.存取控制B.密碼控制C.用戶控制D.網(wǎng)絡(luò)控制正確答案：A參考解析：系統(tǒng)安全性保護(hù)措施為保證系統(tǒng)安全，除加強(qiáng)行政管理外，并采取下列措施：（1）物理安全控制。物理安全控制是指為保證系統(tǒng)各種設(shè)備和環(huán)境設(shè)施的安全而采取的措施。（2）人員及管理控制。主要指用戶合法身份的確認(rèn)和檢驗(yàn)。用戶合法身份檢驗(yàn)是防止有意或無(wú)意的非法進(jìn)入系統(tǒng)的最常用的措施。（3）存取控制。通過(guò)用戶鑒別，獲得使用計(jì)算機(jī)權(quán)的用戶，應(yīng)根據(jù)預(yù)先定義好的用戶權(quán)限進(jìn)行存取，稱為存取控制。（4）數(shù)據(jù)加密。數(shù)據(jù)加密由加密（編碼）和解密（解碼）兩部分組成。加密是將明文信息進(jìn)行編碼，使它轉(zhuǎn)換成一種不可理解的內(nèi)容。這種不可理解的內(nèi)容稱為密文。解密是加密的逆過(guò)程，即將密文還原成原來(lái)可理解的形式。[單選題]10.安全管理中的介質(zhì)安全屬于()。A.技術(shù)安全B.物理安全C.環(huán)境安全D.管理安全正確答案：B參考解析：一種物質(zhì)存在于另一種物質(zhì)的內(nèi)部時(shí)，后者就是前者的介質(zhì)。信息存儲(chǔ)于例如硬盤(pán)、光盤(pán)等物理存儲(chǔ)設(shè)備中，它們是信息的介質(zhì)，要對(duì)信息進(jìn)行介質(zhì)的安全管理，即對(duì)物理存儲(chǔ)設(shè)備安全的管理。[單選題]11.在網(wǎng)絡(luò)安全管理中，加強(qiáng)內(nèi)防內(nèi)控可采取的策略有()。①控制終端接入數(shù)量②終端訪問(wèn)授權(quán)，防止合法終端越權(quán)訪問(wèn)③加強(qiáng)終端的安全檢查與策略管理④加強(qiáng)員工上網(wǎng)行為管理與違規(guī)審計(jì)A.②③B.②④C.①②③④D.②③④正確答案：D參考解析：網(wǎng)絡(luò)安全管理肯定要保證合法的用戶能夠正常訪問(wèn)，1項(xiàng)很明顯會(huì)限制部分合法用戶的網(wǎng)絡(luò)使用權(quán)限。[單選題]12.下列關(guān)于數(shù)字簽名說(shuō)法正確的是()。A.數(shù)字簽名不可信B.數(shù)字簽名不可改變C.數(shù)字簽名可以否認(rèn)D.數(shù)字簽名易被偽造正確答案：B參考解析：簽名不可改變。[單選題]13.在許多企業(yè)里，某個(gè)員工離開(kāi)原公司后，仍然還能通過(guò)原來(lái)的賬戶訪問(wèn)企業(yè)內(nèi)部信息和資源，原來(lái)的電子信箱仍然可以使用。解決這些安全問(wèn)題的途徑是整個(gè)企業(yè)內(nèi)部實(shí)施__()__解決方案。A.用戶權(quán)限管理B.企業(yè)外部用戶管理C.統(tǒng)一用戶管理系統(tǒng)D.用戶安全審計(jì)正確答案：C參考解析：在許多企業(yè)里，某個(gè)員工離開(kāi)原公司后，仍然還能通過(guò)原來(lái)的賬戶訪問(wèn)企業(yè)內(nèi)部信息和資源，原來(lái)的電子信箱仍然可以使用。發(fā)生這種現(xiàn)象的原因在于，當(dāng)員工離開(kāi)公司后，盡管人事部門(mén)將其除名，但在IT系統(tǒng)照中相應(yīng)的多個(gè)用戶授權(quán)卻沒(méi)有被及時(shí)刪除。對(duì)于一個(gè)內(nèi)部用戶而言，身份識(shí)別管理的時(shí)間跨度從員工加入公司開(kāi)始直到這名員工離開(kāi)公司。要解決這種問(wèn)題最好的方法是使用統(tǒng)一用戶管理系統(tǒng)，這樣可以時(shí)用戶使用更加方便；安全控制力度得到加強(qiáng)；減輕管理人員負(fù)擔(dān)，提高工作效率；安全性得到提高。[單選題]14.數(shù)據(jù)備份通?？煞譃橥耆珎浞?、增量備份、差分備份和漸進(jìn)式備份幾種方式。其中將系統(tǒng)中所有選擇的數(shù)據(jù)對(duì)象進(jìn)行一次全面的備份，而不管數(shù)據(jù)對(duì)象自上次備份之后是否修改過(guò)的備份方式是()。A.完全備份B.增量備份C.差分備份D.漸進(jìn)式備份正確答案：A參考解析：將系統(tǒng)中所有的數(shù)據(jù)信息全部備份。差分備份：每次備份的數(shù)據(jù)是相對(duì)于上一次全備份之后新增加的和修改過(guò)的數(shù)據(jù)。增量備份：備份自上一次備份（包含完全備份、差異備份、增量備份）之后所有變化的數(shù)據(jù)（含刪除文件信息）。漸進(jìn)式備份（又稱只有增量備份、連續(xù)增量備份）：漸進(jìn)式備份只在初始時(shí)做全備份，以后只備份變化（新建、改動(dòng)）的文件，比上述三種備份方式具有更少的數(shù)據(jù)移動(dòng)，更好的性能。[問(wèn)答題]1.閱讀下列說(shuō)明和圖，回答問(wèn)題1至問(wèn)題3，將解答填入對(duì)應(yīng)欄內(nèi)。【說(shuō)明】研究密碼編碼的科學(xué)稱為密碼編碼學(xué)，研究密碼破譯的科學(xué)稱為密碼分析學(xué)，密碼編碼學(xué)和密碼分析學(xué)共同組成密碼學(xué)。密碼學(xué)作為信息安全的關(guān)鍵技術(shù)，在信息安全領(lǐng)域有著廣泛的應(yīng)用。試題1：【問(wèn)題1】密碼學(xué)的安全目標(biāo)至少包括哪三個(gè)方面？具體內(nèi)涵是什么？【問(wèn)題2】對(duì)下列違規(guī)安全事件，指出各個(gè)事件分別違反了安全目標(biāo)中的哪些項(xiàng)？(1)小明抄襲了小麗的家庭作業(yè)。(2)小明私自修改了自己的成績(jī)。(3)小李竊取了小劉的學(xué)位證號(hào)碼、登陸口令信息，并通過(guò)學(xué)位信息系統(tǒng)更改了小劉的學(xué)位信息記錄和登陸口令，將系統(tǒng)中小劉的學(xué)位信息用一份偽造的信息替代，造成小劉無(wú)法訪問(wèn)學(xué)位信息系統(tǒng)?！締?wèn)題3】現(xiàn)代密碼體制的安全性通常取決于密鑰的安全，為了保證密鑰的安全，密鑰管理包括哪些技術(shù)問(wèn)題？正確答案：詳見(jiàn)解析參考解析：【問(wèn)題1】（1）保密性保密性是確保信息僅被合法用戶訪問(wèn)，而不被泄露給非授權(quán)的用戶、實(shí)體或過(guò)程，或供其利用的特性。即防止信息泄漏給非授權(quán)個(gè)人或?qū)嶓w，信息只為授權(quán)用戶使用的特性。這里的"訪問(wèn)"是指不僅可以讀，還能瀏覽、打印或簡(jiǎn)單了解一些特殊資源是否存在。常用的保密技術(shù)包括:防偵收(使對(duì)手偵收不到有用的信息)、防輻射(防止有用信息以各種途徑輻射出去)、數(shù)據(jù)加密(在密鑰的控制下，用加密算法對(duì)信息進(jìn)行加密處理。即使對(duì)手得到了加密后的信息也會(huì)因?yàn)闆](méi)有密鑰而無(wú)法讀懂有效信息)、物理保密(利用各種物理方法，如限制、隔離、掩蔽、控制等措施，保護(hù)信息不被地露)等。（2）完整性完整性是指所有資源只能由授權(quán)方或以授權(quán)的方式進(jìn)行修改，即信息未經(jīng)授權(quán)不能進(jìn)行改變的特性。信息在存儲(chǔ)或傳輸過(guò)程中保持不被偶然或蓄意地刪除、修改、偽造、亂序、重放、插入等破壞和丟失的特性。完整性是一種面向信患的安全性，它要求保持信息的原樣，即信息的正確生成和正確存儲(chǔ)和傳輸。完整性與保密性不同，保密性要求信息不被泄露給未授權(quán)的人，而完整性則要求信息不致受到各種原因的破壞。影響網(wǎng)絡(luò)信息完整性的主要因素有:設(shè)備故障、誤碼(傳輸、處理和存儲(chǔ)過(guò)程中產(chǎn)生的誤碼，定時(shí)的穩(wěn)定度和精度降低造成的誤碼，各種干擾源造成的誤碼"/>、人為攻擊、計(jì)算機(jī)病毒等。（3）可用性可用性是指所有資源在適當(dāng)?shù)臅r(shí)候可以由授權(quán)方訪問(wèn)，即信息可被授權(quán)實(shí)體訪問(wèn)并按需求使用的特性。信息服務(wù)在需要時(shí)，允許授權(quán)用戶或?qū)嶓w使用的特性，或者是網(wǎng)絡(luò)部分受損或需要降級(jí)使用時(shí)，仍能為授權(quán)用戶提供有效服務(wù)的特性?？捎眯允切畔⑾到y(tǒng)面向用戶的安全性能。信息系統(tǒng)最基本的功能是向用戶提供服務(wù)，而用戶的需求是隨機(jī)的、多方面的、有時(shí)還有時(shí)間要求?？捎眯砸话阌?/p>