【導(dǎo)讀】9大戰(zhàn)略發(fā)展方向之一。快推進(jìn)信息化的綱領(lǐng)性文獻(xiàn)。業(yè)標(biāo)準(zhǔn)、機(jī)構(gòu)內(nèi)部的方針和規(guī)定。理、網(wǎng)絡(luò)和系統(tǒng)等層面的安全狀況。實(shí)際評(píng)估多采取定性評(píng)估，或者定性和定量評(píng)估相結(jié)合的方法。公安機(jī)關(guān)的取證和調(diào)查。接，不會(huì)影響到防火墻的有效保護(hù)作用。

　　

【正文】 。 (BC) 52. 根據(jù) ISO 定義，信息安全的目標(biāo)就是保證信息資產(chǎn)的三個(gè)基本安全屬性，包括 __。 (BCD) 53. 治安管理處罰法規(guī)定， ______行為，處 5日以下拘留；情節(jié)較重的，處 5 日以上 10 日以下拘留。(ABCD) A. 違反國(guó)家規(guī)定，侵入計(jì)算機(jī)信息系統(tǒng)，造成危害的 B. 違反國(guó)家規(guī)定，對(duì)計(jì)算機(jī)信息系統(tǒng)功能進(jìn)行刪除、修改、增加、干擾，造成計(jì)算機(jī)信息系統(tǒng)不能正常運(yùn)行的 C. 違反國(guó)家規(guī)定，對(duì)計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)、處理、傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進(jìn)行刪除、修改、增加DJGFJKHF DKFH SKHF LHAK DHFHAKLH DJKHF JHFJK JKDHFKLH FKDH KFHDSKH FKLDSFL。H KFKL DHFDKH FKDS 的 D. 故意制作、傳播計(jì)算機(jī)病毒等破壞性程序，影響計(jì)算機(jī)信息系統(tǒng)正常運(yùn)行的 54. 網(wǎng)絡(luò)蠕 蟲(chóng)病毒越來(lái)越多地借助網(wǎng)絡(luò)作為傳播途徑，包括 ______。 (ABCDE) 55. 在信息安全管理中進(jìn)行安全教育與培訓(xùn)，應(yīng)當(dāng)區(qū)分培訓(xùn)對(duì)象的層次和培訓(xùn)內(nèi)容，主要包括 __(ABE) 56. 網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，既可以對(duì)外部黑客的攻擊行為進(jìn)行檢測(cè)，也可以發(fā)現(xiàn)內(nèi)部攻擊者的操作行為，通常部署在 ______。 (BC) A. 關(guān)鍵服務(wù)器 主機(jī) B. 網(wǎng)絡(luò)交換機(jī)的監(jiān)聽(tīng)端口 C. 內(nèi)網(wǎng)和外網(wǎng)的邊界 D. 桌面系統(tǒng) E. 以上都正確 57. IPSec 是網(wǎng)絡(luò)層典型的安全協(xié)議，能夠?yàn)?IP 數(shù)據(jù)包提供 ______安全服務(wù)。 (ABE) 58. 信息安全策略必須具備 ______屬性。 (ACE) 59. 涉密安全管理包括 ______。 (BCDE) 管理 四、解答題 1. 簡(jiǎn)述如何確定一個(gè)信息系統(tǒng)的安全保護(hù)等級(jí)。 答：為確定信息系統(tǒng)的安全保護(hù)等級(jí)，首先要確定信息系統(tǒng)內(nèi)各業(yè)務(wù)子系統(tǒng)在 “信息系統(tǒng)所屬類(lèi)型 ”、 “業(yè)務(wù)信息類(lèi)型 ”、 “業(yè)務(wù)系統(tǒng)服務(wù)范圍 ”和 “業(yè)務(wù)依賴程度 ”四個(gè)定級(jí)要素方面的復(fù)制，然后分別由四個(gè)定級(jí)要素確定業(yè)務(wù)信息安全性和業(yè)務(wù)服務(wù)保證性兩個(gè)定級(jí)指標(biāo)的等級(jí)，再根據(jù)業(yè)務(wù)信息安全性等級(jí)和業(yè)務(wù)服務(wù)保證性等級(jí)確定業(yè)務(wù)子系統(tǒng)安全寶華等級(jí)，最后由信息系統(tǒng)內(nèi)各業(yè)務(wù)子系統(tǒng)的最高等級(jí)確定信息系統(tǒng)的安全保護(hù)等級(jí)。 2. 信息安 全技術(shù)機(jī)制通常被劃分為幾個(gè)層次。試在每個(gè)層次中列舉兩種主要的安全機(jī)制。 答：信息安全技術(shù)機(jī)制通?？梢詣澐譃樗膫€(gè)層次，每一層次中典型的安全機(jī)制如下所示： （ 1）物理層安全，如視頻監(jiān)控、門(mén)禁系統(tǒng)； （ 2）網(wǎng)絡(luò)等安全，如防火墻、 IPSecVPN； （ 3）系統(tǒng)層安全，如殺毒軟件，主機(jī)入侵檢測(cè)系統(tǒng)； （ 4）應(yīng)用層安全，如用戶身份認(rèn)證、應(yīng)用層加密。 3. 簡(jiǎn)述信息安全發(fā)展所歷經(jīng)的三個(gè)主要階段以及它們各自的特點(diǎn)。 答：信息安全發(fā)展歷經(jīng)了三個(gè)主要階段： （ 1）通信保密階段，在這個(gè)階段中，關(guān)注的是通信內(nèi)容的保密性 屬性，保密等同于信息安全。 （ 2）信息安全階段，人們發(fā)現(xiàn)，在原來(lái)所關(guān)注的保密性屬性之外，還有其他方面的屬性也應(yīng)當(dāng)是信息安全所關(guān)注的，這其中最主要的是完整性和可用性屬性，由此構(gòu)成了支撐信息安全體系的三要素。 （ 3）安全保障階段，所謂安全保障，就是在統(tǒng)一安全策略的指導(dǎo)下，安全事件的事先預(yù)防（保護(hù)），事發(fā)處理（檢測(cè) Delection 和響應(yīng) Restoration）四個(gè)主要環(huán)節(jié)相互配合，構(gòu)成一個(gè)完整的保障體系。 4. 簡(jiǎn)述 PDR 安全模型的原理。 答： PDR 模型之所以著名，是因?yàn)樗堑谝粋€(gè)從時(shí)間關(guān)系描述一個(gè)信息系 統(tǒng)是否安全的模型， PDR模型中的 P 代表保護(hù)， R 代表響應(yīng)，該模型中使用了三個(gè)時(shí)間參數(shù)； （ 1） Pt,有效保護(hù)時(shí)間，是指信息系統(tǒng)的安全控制措施所能發(fā)揮保護(hù)作用的時(shí)間； （ 2） Dt，檢測(cè)時(shí)間，是指安全檢測(cè)機(jī)制能夠有效發(fā)現(xiàn)攻擊、破壞行為所需的時(shí)間； DJGFJKHF DKFH SKHF LHAK DHFHAKLH DJKHF JHFJK JKDHFKLH FKDH KFHDSKH FKLDSFL。H KFKL DHFDKH FKDS （ 3） Rt，響應(yīng)時(shí)間，是指安全響應(yīng)機(jī)制作出反應(yīng)和處理所需的時(shí)間。 PDR 模型用下列時(shí)間關(guān)系表達(dá)式來(lái)說(shuō)明信息系統(tǒng)是否安全： （ 1） Pt＞ Dt+Rt，系統(tǒng)安全，即在安全機(jī)制針對(duì)攻擊、破壞行為作出了成功的檢測(cè)和響應(yīng)時(shí)，安全控制措施依然在發(fā)揮有效的保護(hù)作用，攻擊和破壞 行為未給信息系統(tǒng)造成損失。 （ 2） Pt＜ Dt+Rt，系統(tǒng)部安全，即信息系統(tǒng)的安全控制措施的有效保護(hù)作用，在正確的檢測(cè)和響應(yīng)作出之前就已經(jīng)失效，破壞和攻擊行為已經(jīng)給信息系統(tǒng)造成了實(shí)質(zhì)性破壞和影響。 5. 簡(jiǎn)述 ISO 信息安全模型定義及其含義。 答： ISO 信息安全定義：信息安全是為數(shù)據(jù)處理系統(tǒng)建立和采用的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因遭到破壞、更改和泄露。它包括三方面含義： （ 1）信息安全的保護(hù)對(duì)象是信息資產(chǎn)，典型的信息資產(chǎn)包括了計(jì)算機(jī)硬件、軟件和數(shù)據(jù)。 （ 2）信息安 全的目標(biāo)就是保證信息資產(chǎn)的三個(gè)基本安全屬性，保密性、完整性和可用性三個(gè)基本屬性是信息安全的最終目標(biāo)。 （ 3）事先信息安全目標(biāo)的途徑要借助兩方面的控制措施，即技術(shù)措施和管理措施。 6. 簡(jiǎn)述信息安全的三個(gè)基本屬性。 答：信息安全包括了保密性、完整性和可用性三個(gè)基本屬性： （ 1）保密性 ——Confidentiality,確保星系在存儲(chǔ)、使用、傳輸過(guò)程中不會(huì)泄露給非授權(quán)的用戶或者實(shí)體。 （ 2）完整性 ——Integrity,確保信息在存儲(chǔ)、使用、傳輸過(guò)程中不被非授權(quán)用戶篡改；防止授權(quán)用戶對(duì)信息進(jìn)行不恰當(dāng)?shù)拇?改；保證信息的內(nèi)外一致性。 （ 3）可用性 ——Availability，確保授權(quán)用戶或者實(shí)體對(duì)于信息及資源的正確使用不會(huì)被異常拒絕，允許其可能而且及時(shí)地訪問(wèn)信息及資源。 7. 簡(jiǎn)述我國(guó)刑法對(duì)網(wǎng)絡(luò)犯罪的相關(guān)規(guī)定。 答：我國(guó)刑法關(guān)于網(wǎng)絡(luò)犯罪的三個(gè)專門(mén)條款，分別規(guī)定了非法侵入計(jì)算機(jī)信息系統(tǒng)罪（第 285 條）；破壞計(jì)算機(jī)信息系統(tǒng)罪（第 286 條）；利用計(jì)算機(jī)實(shí)施金融詐騙、盜竊、貪污、挪用公款、竊取國(guó)家秘密或者其他犯罪（第 287條），并將其一并歸入分則第六章 “妨害社會(huì)管理秩序罪 ”第一節(jié) “擾亂公共秩序罪 ”。 8. 簡(jiǎn)述 BS 7799 的內(nèi)容構(gòu)成以及與 ISO 國(guó)際標(biāo)準(zhǔn)的關(guān)系。 答： BS 7799分兩個(gè)部分，第一部分，被 ISO 國(guó)際標(biāo)準(zhǔn)化組織采納成為 ISO/IEC 17799:2020 標(biāo)準(zhǔn)的部分，是信息安全管理實(shí)施細(xì)則（ Code of Practice for Information Security Management），主要供負(fù)責(zé)信息安全系統(tǒng)開(kāi)發(fā)的人員參考使用，其主要內(nèi)容分為 11 個(gè)方面，定義了 133 項(xiàng)安全控制措施（最佳實(shí)踐）。第二部分，被 ISO 國(guó)際標(biāo)準(zhǔn)化組織采納成為 ISO/IEC 27001:2020，是建立信息安全管 理體系（ ISMS）的一套規(guī)范（ Specification for Information Security Management Systems） ,其中詳細(xì)說(shuō)明了建立、實(shí)施和維護(hù)信息安全管理體系的要求，可用來(lái)指導(dǎo)相關(guān)人員運(yùn)用 ISO/IEC 17799:2020，其最終目的在于建立適合企業(yè)需要的信息安全管理體系（ ISMS）。 9. 簡(jiǎn)述 ISO/IEC 17799:2020 中關(guān)于控制措施的 11 項(xiàng)分類(lèi)內(nèi)容。 答： BS77991 信息安全管理實(shí)施細(xì)則（ ISO/IEC 17799:2020）將信息安全管理的內(nèi)容劃 分為 11 個(gè)主要方面，這 11 個(gè)方面包括： （ 1）安全策略（ Security Policy）； （ 2）組織信息安全（ Organizing Information Security）； （ 3）資產(chǎn)管理（ Asset Management）； （ 4）人力資源安全（ Human Resoruces Security）； （ 5）物理與環(huán)境安全（ Physical and Environmental Security）； （ 6）通信與操作管理（ Communication and Operation Management）； （ 7）訪問(wèn)控制（ Access Control）； （ 8）信息系統(tǒng)獲取、開(kāi)發(fā)與維護(hù)（ Information Systems Acquisition,Development and Maintenance）； （ 9）信息安全事件管理（ Information Security Incident Management）； （ 10）業(yè)務(wù)連續(xù)性管理（ Business Continuity Management）； DJGFJKHF DKFH SKHF LHAK DHFHAKLH DJKHF JHFJK JKDHFKLH FKDH KFHDSKH FKLDSFL。H KFKL DHFDKH FKDS （ 11）符合性（ Compliance）。 10. 簡(jiǎn)述安全策劃體系所包含的內(nèi)容。 答 ：一個(gè)合理的信息安全策略體系可以包括三個(gè)不同層次的策略文檔： （ 1）總體安全策略，闡述了指導(dǎo)性的戰(zhàn)略綱領(lǐng)性文件，闡明了企業(yè)對(duì)于信息安全的看法和立場(chǎng)、信息安全的目標(biāo)和戰(zhàn)略、信息安全所涉及的范圍、管理組織構(gòu)架和責(zé)任認(rèn)定以及對(duì)于信息資產(chǎn)的管理辦法等內(nèi)容； （ 2）針對(duì)特定問(wèn)題的具體策略，闡述了企業(yè)對(duì)于特定安全問(wèn)題的聲明、立場(chǎng)、使用辦法、強(qiáng)制要求、角色、責(zé)任認(rèn)定等內(nèi)容，例如，針對(duì) Inter 訪問(wèn)操作、計(jì)算機(jī)和網(wǎng)絡(luò)病毒 防治、口令的使用和管理等特定問(wèn)題，制定有針對(duì)性的安全策略； （ 3）針對(duì)特定系統(tǒng)的具體策略 ，更為具體和細(xì)化，闡明了特定系統(tǒng)與信息安全有關(guān)的使用和維護(hù)規(guī)則等內(nèi)容，如防火墻配置策略、電子郵件安全策略等。 11. 簡(jiǎn)述至少六種安全問(wèn)題的策略。 答：（ 1）物理安全策略；（ 2）網(wǎng)絡(luò)安全策略；（ 3）數(shù)據(jù)加密策略；（ 4）數(shù)據(jù)備份策略；（ 5）病毒防護(hù)策略；（ 6）系統(tǒng)安全策略；（ 7）身份認(rèn)證及授權(quán)策略；（ 8）災(zāi)難恢復(fù)策略；（ 9）事故處理、緊急響應(yīng)策略； （ 10）安全教育策略；（ 11）口令安全策略；（ 12）補(bǔ)丁管理策略；（ 13）系統(tǒng)變更控制策略；（ 14）商業(yè)伙伴、客戶關(guān)系策略；（ 15）復(fù)查審計(jì)策略。 12. 試 編寫(xiě)一個(gè)簡(jiǎn)單的口令管理策略。 答：（ 1）所有活動(dòng)賬號(hào)都必須有口令保護(hù)。 （ 2）生成賬號(hào)時(shí)，系統(tǒng)管理員應(yīng)分配給合法用戶一個(gè)唯一的口令，用戶在第一次登錄時(shí)應(yīng)該更改口令。 （ 3）口令必須至少要含有 8 個(gè)字符。 （ 4）口令必須同時(shí)含有字母和非字母字符。 （ 5）必須定期用監(jiān)控工具檢查口令的強(qiáng)度和長(zhǎng)度是否合格。 （ 6）口令不能和用戶名或者登錄名相同。 （ 7）口令必須至少 60 天更改一次。 （ 8）禁止重用口令。 （ 9）必須保存至少 12 個(gè)歷史口令。 （ 10）口令不能通過(guò)明文電子郵件傳輸。 （ 11）所有供應(yīng)商 的默認(rèn)口令必須更改。 （ 12）用戶應(yīng)在不同的系統(tǒng)中使用不同的口令。 （ 13）當(dāng)懷疑口令泄露時(shí)必須予以更改。 （ 14）應(yīng)該控制登錄嘗試的頻率。 13. 簡(jiǎn)述可接受使用策略 AUP 的內(nèi)容。 答： AUP 通常包含以下主要內(nèi)容： (1)概述，描述什么是 AUP，企業(yè)、組織發(fā)布 AUP 的目的，制定 AUP 的原則以及一些必要的法律聲明等。 (2)安全策略說(shuō)明，說(shuō)明制定 AUP 所依據(jù)的信息安全策略，提示用戶信息安全策略的更改會(huì)影響到AUP 的修訂，并且告訴用戶從哪里可以獲得詳細(xì)的信息安全策略文檔。 (3)術(shù)語(yǔ)說(shuō)明， 將 AUP 中涉及的術(shù)語(yǔ)名詞，以及 AUP 簽署生效的有效時(shí)間進(jìn)行說(shuō)明。 (4)用戶責(zé)任，對(duì)信息安全策略中所涉及到用戶的信息安全責(zé)任內(nèi)容，應(yīng)當(dāng)進(jìn)行總結(jié)和提煉，以簡(jiǎn)單明了的語(yǔ)言進(jìn)行闡述，使得用戶充分了解自己對(duì)于企業(yè)、組織信息安全所承擔(dān)的責(zé)任和義務(wù)。 14. 簡(jiǎn)述入侵檢測(cè)系統(tǒng) IDS 所采取的兩種主要方法。 答： (1)誤用檢測(cè)：通過(guò)對(duì)比已知攻擊手段及系統(tǒng)漏洞的簽名特征來(lái)判斷系統(tǒng)中是否有入侵行為發(fā)生。具體地說(shuō)，根據(jù)靜態(tài)的、預(yù)先定好的簽名集合來(lái)過(guò)濾網(wǎng)絡(luò)中的數(shù)據(jù)流 (主要是 IP 層 )，一旦發(fā)現(xiàn)數(shù)據(jù)包特征與某個(gè)簽名相匹配，則認(rèn) 為是一次入侵。 (2)異常檢測(cè)：指根據(jù)使用者的行為或資源使用狀況來(lái)判斷是否入侵，而不以來(lái)具體行為是否出想來(lái)DJGFJKHF DKFH SKHF LHAK DHFHAKLH DJKHF JHFJK JKDHFKLH FKDH KFHDSKH FKLDSFL。H KFKL DHFDKH FKDS 檢測(cè)，所以也被稱為基于行為的檢測(cè)。異常檢測(cè)利用統(tǒng)計(jì)或特征分析的方法來(lái)檢測(cè)系統(tǒng)的異常行為。首先定義檢測(cè)假設(shè)，任何對(duì)系統(tǒng)的入侵和誤操作都會(huì)導(dǎo)致系統(tǒng)異常，這樣對(duì)入侵的檢測(cè)就可以歸結(jié)到對(duì)系統(tǒng)異常的檢測(cè)。 15. 簡(jiǎn)述我們信息安全保護(hù)等級(jí)的含義。 答：信息安全等級(jí)保護(hù)是指： (1)對(duì)國(guó)