1、系統安全和信息安全考試試卷（宋強同學提供，僅供參考，如果有不同或錯誤，請及時告知并上傳標準答案） 一、不定項選擇題（從下列各題有一個或一個以上正確答案，請選出所有正確答案，并將其代號寫在答題紙相應位置處。答案選錯或未選全者，該題不得分。每小題2分，共10分。）1. 下列操作系統可達到b2安全級別的是 d 。ados和 windows98 bwindows3.x和windows98 c unix d以上都不是2. ip安全屬于網絡協議哪一層的安全協議？ c a. 應用層b. 傳輸層c. 網絡層d. 鏈路層3. 企業防火墻設備可以是下列哪種設備？ b、c a.雙網卡的pc機 b.路由器c.交換機

2、d.集線器4. 網絡安全漏洞掃描常用的技術有哪些？ a、b、c、d a.基于主機的檢測技術b.基于目標的檢測技術c.基于應用的堅持技術d.基于網絡的檢測技術5. 黑客攻擊系統的手法主要有哪幾種？ a、b、c、d a. 口令破解 b. 漏洞利用c. 拒絕服務 d. 嗅探監聽三、名詞解釋(每題5分，共40分)1、破壞數據完整性破壞數據完整性是指以非法手段竊得對數據的使用權，刪除、修改、插入或重發某些重要信息，以取得有益于攻擊者的響應；惡意添加，修改數據，以干擾用戶的正常使用。2、首席安全官首席安全官（cso）負責整個機構的安全運行狀態，既包括物理安全又包括數字信息安全。cso負責監控、協調公司內部

3、的安全工作，包括信息技術、人力資源、通信、合規性、設備管理以及其他組織，cso還要負責制訂安全措施和安全標準。cso需要經常舉辦或參加相關領域的活動，如參與跟業務連續性、損失預防、詐騙預防和保護隱私等相關議題的活動。 3、保密性保密性(confidentiality)是指網絡信息不被泄露給非授權的用戶、實體或過程。即信息只為授權用戶使用。保密性是在可靠性和可用性基礎之上，保障網絡信息安全的重要手段。4、程序炸彈程序炸彈是嵌入某些合法程序的一段代碼，沒有自我復制功能，在某些條件下會執行一個有害程序，對程序或運行程序的硬件設備造成類似炸彈爆炸的巨大破壞。5、不可否認性不可否認性又稱抗抵賴性，即由于

4、某種機制的存在，人們不能否認自己發送信息的行為和信息的內容。傳統的方法是靠手寫簽名和加蓋印章來實現信息的不可否認性。在互聯網電子環境下，可以通過數字證書機制進行的數字簽名和時間戳，保證信息的抗抵賴。6、程序后門繞過安全性控制而獲取對程序或系統訪問權的方法。在軟件的開發階段，程序員常會在軟件內創建后門以便可以修改程序中的缺陷。如果后門被其他人知道，或是在發布軟件之前沒有刪除后門，那么它就成了安全風險。7、被動攻擊被動攻擊主要是收集信息而不是進行訪問，數據的合法用戶對這種活動一點也不會覺察到。被動攻擊包括嗅探、信息收集等攻擊方法。8、拒絕服務拒絕服務即攻擊者想辦法讓目標機器停止提供服務或資源訪問，

5、是黑客常用的攻擊手段之一。這些資源包括磁盤空間、內存、進程甚至網絡帶寬，從而阻止正常用戶的訪問。其實對網絡帶寬進行的消耗性攻擊只是拒絕服務攻擊的一小部分，只要能夠對目標造成麻煩，使某些服務被暫停甚至主機死機，都屬于拒絕服務攻擊。拒絕服務攻擊問題也一直得不到合理的解決，究其原因是因為這是由于網絡協議本身的安全缺陷造成的，從而拒絕服務攻擊也成為了攻擊者的終極手法。攻擊者進行拒絕服務攻擊，實際上讓服務器實現兩種效果：一是迫使服務器的緩沖區滿，不接收新的請求；二是使用ip欺騙，迫使服務器把合法用戶的連接復位，影響合法用戶的連接。四、簡答題（每題10分，共20分）1、網絡信息系統主要面臨的安全威脅包括那

6、些內容？信息安全包括信息數據的存儲、處理、傳輸的安全，包括信息的保密性、完整性和可用性。信息保密性目的是為了防止非授權者獲取、破壞信息系統中的秘密信息；信息完整性是解決信息的精確、有效，防止信息數據被篡改和破壞；信息可用性是保證網絡資源在需要時即可使用，不因為系統的故障或誤操作而使資源丟失或不能被使用，還包括具有某些不正常情況下系統的繼續運行的能力?，F在的計算機信息網絡系統安全威脅也主要來自外部因素和內部原因。外部威脅一是無組織的黑客攻擊，二是有組織的網絡攻擊。前者是個人行為，后者則發展為信息戰。兩者都是憑借計算機技術和通信技術侵入到計算機網絡信息系統中，但黑客攻擊相對獨立無組織，而網絡攻擊是

7、有組織的軍事斗爭手段，是信息戰的一種形態。外部攻擊有兩種目的：一是以刺探、破壞信息為目的，另一是獲取信息內的秘密文件，進而為篡改文件命令，即獲取情報為目的。前著主要表現為各種計算機病毒，后者則是秘密地竊取情報，和前者相比，更不容易被發現，所造成的危害也就更深遠一些。內部人員的威脅行為分為違規操作和惡意報復。其中違規操作是造成外部威脅得逞的主要原因。如內部人員擅自通過實名計算機直接進入因特網，造成計算機內存儲的秘密文件被竊；又如不經病毒過濾擅自從互聯網上下載多媒體影音數據，造成計算機的感染。另外，內部人員的惡意報復在企業也時有發生，如對企業不滿的計算機工作人員惡意破壞數據庫軟件，造成數據丟失和系

8、統故障；企業的工業間諜還通過信息系統獲取工業秘密，造成企業的重大損失；銀行內部的計算機員工利用計算機對銀行業務的識別進行計算機犯罪等。2、簡單敘述des加密算法des算法為密碼體制中的對稱密碼體制，又被成為美國數據加密標準，是1972年美國ibm公司研制的對稱密碼體制加密算法。其密鑰長度為56位，明文按64位進行分組，將分組后的明文組和56位的密鑰按位替代或交換的方法形成密文組的加密方法。des加密算法特點：分組比較短、密鑰太短、密碼生命周期短、運算速度較慢。des工作的基本原理是，其入口參數有三個:key、data、mode。 key為加密解密使用的密鑰，data為加密解密的數據，mode為

9、其工作模式。當模式為加密模式時，明文按照64位進行分組，形成明文組，key用于對數據加密，當模式為解密模式時，key用于對數據解密。實際運用中，密鑰只用到了64位中的56位，這樣才具有高的安全性。des( data encryption standard)算法，于1977年得到美國政府的正式許可，是一種用56位密鑰來加密64位數據的方法。雖然56位密鑰的des算法已經風光不在,而且常有用des加密的明文被破譯的報道,但是了解一下昔日美國的標準加密算法總是有益的,而且目前des算法得到了廣泛的應用,在某些場合,仍然發揮著余熱。五、論述題（30分）結合自己工作情況，詳細闡述維護網絡安全的技術。保障

10、計算機網絡信息系統安全網絡安全有兩個支柱，一個是技術、一個是管理。而我們日常提及網絡安全時，多是在技術相關的領域，例如ids入侵檢測技術、firewall防火墻技術、anti-virus防病毒技術、加密技術、ca認證技術等等。但正如“木桶原理”所示，你的能力是由你最弱的那個環節決定的，我們在保護網絡安全時，也應該從上述二個方面全面考量，而不能只偏重其中的某一個部分。一、計算機網絡信息系統安全技術方面1、網絡安全應用結構優化談到網絡安全，很多人會直接想到反病毒軟件、防火墻等產品。實際上，網絡優化也是。以業務效能和應用連續性為目標，整體性的網絡和應用安全與優化是it網絡安全價值提升的重要途徑。網絡

11、優化所涉及的技術與架構的更新，包括全網流量監測、應用流量管理、安全威脅管理。 網絡安全應用結構：如今幾乎所有的cio都把關鍵應用的保障，或者說網絡的可用性列為頭等大事。 一般來說，網絡體系結構包括六個方面：應用性能管理；安全內容管理；安全事件管理；用戶接入管理；網絡資源管理；端點安全管理。2、全網流量監測。眾所周知，網絡安全問題80%發生在網絡的內部。對于較大規模的網絡而言，網絡內部的不良流量也可能非常嚴重地影響到網絡關鍵應用的運行。因此，進行全網的流量監測是非常重要而且是必要的。通過全網流量檢測，能夠了解網絡當中的數據流狀況，包括流量大小、來源和目的、由何種應用產生、數據量的大小等。二、計算

12、機網絡信息系統安全管理隨著信息化建設的展開，網絡安全成為不得不面臨的嚴峻問題。安全體系的建立其實涉及到了管理和技術兩個層面，而管理層面的體系建設是首當其沖的。技術上的建設和加強只是網絡安全的一方面，而且單純的實現技術不是目的，技術只是圍繞企業具體的工作業務來開展應用。保障業務流程的網絡安全，從而進一步促進it在企業應用層面的拓展，這才我們應用安全技術最根本的目的。因此，“抓管理還是上技術”的最終定格為“三分技術、七分管理”，構建一個健全的網絡安全管理體系是擺在我們面前的重要一環。“三分技術七分管理”，一直是安全領域的至理名言。三分技術，防治的更多的是已知的各種安全威脅;七分管理，則主要針對人，

13、無論是通過各種安全制度約束，還是利用各項技術對人進行管理，目的都是約束“人”的行為，不給安全威脅可乘之機。1、安全意識最重要面對不斷襲來的安全威脅，除了購買安全產品以外，我們還應該做些什么呢？這里需要指出：“安全意識最重要！”。安全設施的建立只是企業信息安全的第一步，如何在安全體系中有效徹底的貫徹安全制度，以及不斷深化全員安全意識才是關鍵所在。光依靠技術不能完全解決安全問題，因為過了一段時間，一些先進的技術可能就過時了，應該積極培養計算機網絡信息安全意識。加強安全意識的培訓，首先領導、決策者認識到網絡信息安全問題，另外也要對廣大的一般操作人員加強培訓，統一認識。培養員工的安全意識，養成良好的上

14、網習慣，比如及時打好系統補丁、使用殺毒軟件進行計算機病毒查殺、不得使用各類移動存儲設備在互聯網和內網之間傳播不安全程序、文件等等；對相關的技術管理人員進行技能培訓，對于重要數據一定要做好數據備份，否則會導致災難性的后果。2、網絡行為規范化管理網絡行為的根本立足點，不是對設備的保護，也不是對數據的看守，而是規范企業員工網絡行為，這已經上升到了對人的管理的階段。要實現網絡行為規范化管理，可考慮使用網絡操作行為管理軟件產品，通過計算機軟件管理，可以對內部“人”的行為進行細致、有效的管理，為員工劃清安全的道路，封閉可能帶來安全隱患的渠道，讓人的行為可控，從而實現更加安全的目標。3、要在網絡信息安全上投入足夠資金要確保足夠資金投資