信息安全管理基礎(chǔ)

第二章信息安全管理基礎(chǔ)一、判斷題.Windows2000/xp系統(tǒng)提供了口令安全策略，以對(duì)帳戶口令安全進(jìn)行保護(hù)。.口令認(rèn)證機(jī)制的安全性弱點(diǎn)，可以使得攻擊者破解合法用戶帳戶信息，進(jìn)而非法獲得系統(tǒng)和資源訪問權(quán)限。.PKI系統(tǒng)所有的安全操作都是通過數(shù)字證書來實(shí)現(xiàn)的。.PKI系統(tǒng)使用了非對(duì)稱算法、對(duì)稱算法和散列算法。.信息安全的層次化特點(diǎn)決定了應(yīng)用系統(tǒng)的安全不僅取決于應(yīng)用層安全機(jī)制，同樣依賴于底層的物理、網(wǎng)絡(luò)和系統(tǒng)等層面的安全狀況。.按照BS7799標(biāo)準(zhǔn)，信息安全管理應(yīng)當(dāng)是一個(gè)持續(xù)改進(jìn)的周期性過程。.網(wǎng)絡(luò)邊界保護(hù)中主要采用防火墻系統(tǒng)，為了保證其有效發(fā)揮作用，應(yīng)當(dāng)避免在內(nèi)網(wǎng)和外網(wǎng)之間存在不經(jīng)過防火墻控制的其他通信連接。.網(wǎng)絡(luò)邊界保護(hù)中主要采用防火墻系統(tǒng)，在內(nèi)網(wǎng)和外網(wǎng)之間存在不經(jīng)過防火墻控制的其他通信連接，不會(huì)影響到防火墻的有效保護(hù)作用。.信息技術(shù)基礎(chǔ)設(shè)施庫（ITIL）,是由英國(guó)發(fā)布的關(guān)于IT服務(wù)管理最佳實(shí)踐的建議和指導(dǎo)方針，旨在解決IT服務(wù)質(zhì)量不佳的情況。.1I―-”：?、:”■—.美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)協(xié)會(huì)NIST發(fā)布的《SP800-30?中詳細(xì)闡述了IT系統(tǒng)風(fēng)險(xiǎn)管理內(nèi)容。.防火墻在靜態(tài)包過濾技術(shù)的基礎(chǔ)上，通過會(huì)話狀態(tài)檢測(cè)技術(shù)將數(shù)據(jù)包的過濾處理效率大幅提高。.脆弱性分析技術(shù)，也被通俗地稱為漏洞掃描技術(shù)。該技術(shù)是檢測(cè)遠(yuǎn)程或本地系統(tǒng)安全脆弱性的一種安全技術(shù)。二、單選題.下面所列的安全機(jī)制不屬于信息安全保障體系中的事先保護(hù)環(huán)節(jié)。A.殺毒軟件B.數(shù)字證書認(rèn)證C.防火墻D.數(shù)據(jù)庫加密.信息安全管理領(lǐng)域權(quán)威的標(biāo)準(zhǔn)是。A.ISO15408B.ISO17799/ISO27001C.ISO9001D.ISO14001.ISO17799/ISO27001最初是由提出的國(guó)家標(biāo)準(zhǔn)。A.美國(guó)B.澳大利亞C.英國(guó)D.中國(guó).ISO17799的內(nèi)容結(jié)構(gòu)按照進(jìn)行組織。A.管理原則B.管理框架C.管理域一控制目標(biāo)一控制措施D.管理制度.對(duì)于信息安全管理負(fù)有責(zé)任。A.高級(jí)管理層B.安全管理員C.IT管理員D.所有與信息系統(tǒng)有關(guān)人員.對(duì)于提高人員安全意識(shí)和安全操作技能來說，以下所列的安全管理最有效的是。A.安全檢查B.教育與培訓(xùn)C.責(zé)任追究D.制度約束.安全策略是得到大部分需求的支持并同時(shí)能夠保護(hù)企業(yè)的利益。A.有效的.合法的C.實(shí)際的D.成熟的8.制定災(zāi)難恢復(fù)策略，最重要的是要知道哪些是商務(wù)工作中最重要的設(shè)施，在發(fā)生災(zāi)難后，這些設(shè)施的。A.恢復(fù)預(yù)算是多少B.恢復(fù)時(shí)間是多長(zhǎng)C.恢復(fù)人員有幾個(gè)D.恢復(fù)設(shè)備有多少9.防止靜態(tài)信息被非授權(quán)訪問和防止動(dòng)態(tài)信息被截取解密A.數(shù)據(jù)完整性B.數(shù)據(jù)可用性C.數(shù)據(jù)可靠性D.數(shù)據(jù)保密性10.用戶身份鑒別是通過10.用戶身份鑒別是通過完成的A.口令驗(yàn)證B.審計(jì)策略C.存取控制D.查詢功能11.網(wǎng)絡(luò)數(shù)據(jù)備份的實(shí)現(xiàn)主要需要考慮的問題不包括A.架設(shè)高速局域網(wǎng)B.分析應(yīng)用環(huán)境C.選擇備份硬件設(shè)備D.選擇備份管理軟件12.對(duì)網(wǎng)絡(luò)層數(shù)據(jù)包進(jìn)行過濾和控制的信12.對(duì)網(wǎng)絡(luò)層數(shù)據(jù)包進(jìn)行過濾和控制的信息安全技術(shù)機(jī)制A.防火墻B.IDSC.SnifferD.IPSec.下列不屬于防火墻核心技術(shù)的是A.（靜態(tài)/動(dòng)態(tài)）包過濾技術(shù)B.NAT技術(shù)C.應(yīng)用代理技術(shù)D.日志審計(jì).應(yīng)用代理防火墻的主要優(yōu)點(diǎn)是A.加密強(qiáng)度更高B.安全控制更細(xì)化、更靈活C.安全服務(wù)的透明性更好D.服務(wù)對(duì)象更廣泛.下列關(guān)于用戶口令說法錯(cuò)誤的是口令不能設(shè)置為空口令長(zhǎng)度越長(zhǎng)，安全性越高C.復(fù)雜口令安全性足夠高，不需要定期修改D.口令認(rèn)證是最常見的認(rèn)證機(jī)制16.在使用復(fù)雜度不高的口令時(shí)，容易產(chǎn)生弱口令的安全脆弱性，被攻擊者利用，從而破解用戶帳戶，下列具有最好的口令復(fù)雜度。A.morrisonB.Wm.$*F2m5C.D.wangjing197717.按照通常的口令使用策略，口令修改操作的周期應(yīng)A.60B.90C.30D.120、18.對(duì)口令進(jìn)行安全性管理和使用，最終是為了?？诹畈槐还粽叻欠ǐ@得B.防止攻擊者非法獲得訪問和操作權(quán)限C.保證用戶帳戶的安全性D.規(guī)范用戶操作行為.人們?cè)O(shè)計(jì)了,以改善口令認(rèn)證自身安全性不足的問題。A.統(tǒng)一身份管理B.指紋認(rèn)證C.數(shù)字證書認(rèn)證D.動(dòng)態(tài)口令認(rèn)證機(jī)制.PKI是。A.PrivateKeyInfrastructureB.PublicKeyInstituteC.PublicKeyInfrastructureD.PrivateKeyInstitute.公鑰密碼基礎(chǔ)設(shè)施PKI解決了信息系統(tǒng)中的問題。A.身份信任B.權(quán)限管理C.安全審計(jì)D.加密.PKI所管理的基本元素是。A.密鑰B.用戶身份C.數(shù)字證書D.數(shù)字簽名.最終提交給普通終端用戶，并且要求其簽署和遵守的安全策略A.口令策略B.保密協(xié)議C.可接受使用策略D.責(zé)任追究制度.下列關(guān)于信息安全策略維護(hù)的說法，是錯(cuò)誤的。A.安全策略的維護(hù)應(yīng)當(dāng)由專門的部門完成B.安全策略制定完成并發(fā)布之后，不需要再對(duì)其進(jìn)行修改C.應(yīng)當(dāng)定期對(duì)安全策略進(jìn)行審查和修訂D.維護(hù)工作應(yīng)當(dāng)周期性進(jìn)行.鏈路加密技術(shù)是在OSI協(xié)議層次的第二層，數(shù)據(jù)鏈路層對(duì)數(shù)據(jù)進(jìn)行加密保護(hù)，其處理的對(duì)象是。A.比特流IP數(shù)據(jù)包C.數(shù)據(jù)幀D.應(yīng)用數(shù)據(jù).入侵檢測(cè)技術(shù)可以分為誤用檢測(cè)和兩大類。A.病毒檢測(cè)B.詳細(xì)檢測(cè)C.異常檢測(cè)D.漏洞檢測(cè).安全評(píng)估技術(shù)采用這一工具，它是一種能夠自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)和網(wǎng)絡(luò)安全性弱點(diǎn)的程序。A.安全掃描器B.安全掃描儀C.自動(dòng)掃描器D.自動(dòng)掃描儀28.最好地描述了數(shù)字證書。A.等同于在網(wǎng)絡(luò)上證明個(gè)人和公司身份的身份證B.瀏覽器的一標(biāo)準(zhǔn)特性，它使得黑客不能得知用戶的身份C.網(wǎng)站要求用戶使用用戶名和密碼登陸的安全機(jī)制D.伴隨在線交易證明購(gòu)買的收據(jù).根據(jù)BS7799的規(guī)定，建立的信息安全管理體系ISMS的最重要特征A.全面性B.文檔化C.先進(jìn)性D.制度化.根據(jù)BS7799的規(guī)定，對(duì)信息系統(tǒng)的安全管理不能只局限于對(duì)其運(yùn)行期間的管理維護(hù)，而要將管理措施擴(kuò)展到信息系統(tǒng)生命周期的其他階段，BS7799中與此有關(guān)的一個(gè)重要方面就是。A.訪問控制B.業(yè)務(wù)連續(xù)性C.信息系統(tǒng)獲取、開發(fā)與維護(hù)D.組織與人員31.關(guān)于口令認(rèn)證機(jī)制，下列說法正確的是。A.實(shí)現(xiàn)代價(jià)最低，安全性最高B.實(shí)現(xiàn)代價(jià)最低，安全性最低C.實(shí)現(xiàn)代價(jià)最高，安全性最高D.實(shí)現(xiàn)代價(jià)最高，安全性最低.根據(jù)BS7799的規(guī)定，訪問控制機(jī)制在信息安全保障體系中屬于環(huán)節(jié)。A.保護(hù)B.檢測(cè)C.響應(yīng)D.恢復(fù).身份認(rèn)證的含義是。A.注冊(cè)一個(gè)用戶B.標(biāo)識(shí)一個(gè)用戶C.驗(yàn)證一個(gè)用戶D.授權(quán)一個(gè)用戶.口令機(jī)制通常用于。A.認(rèn)證B.標(biāo)識(shí)C.注冊(cè)D.授權(quán).對(duì)日志數(shù)據(jù)進(jìn)行審計(jì)檢查，屬于類控制措施。A.預(yù)防B.檢測(cè)C.威懾D.修正.關(guān)于入侵檢測(cè)技術(shù)，下列描述錯(cuò)誤的是A.入侵檢測(cè)系統(tǒng)不對(duì)系統(tǒng)或網(wǎng)絡(luò)造成任何影響B(tài).審計(jì)數(shù)據(jù)或系統(tǒng)日志信息是入侵檢測(cè)系統(tǒng)的一項(xiàng)主要信息來源C.入侵檢測(cè)信息的統(tǒng)計(jì)分析有利于檢測(cè)到未知的入侵和更為復(fù)雜的入侵D.基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)無法檢查加密的數(shù)據(jù)流37.安全掃描可以。A.彌補(bǔ)由于認(rèn)證機(jī)制薄弱帶來的問題B.彌補(bǔ)由于協(xié)議本身而產(chǎn)生的問題C.彌補(bǔ)防火墻對(duì)內(nèi)網(wǎng)安全威脅檢測(cè)不足的問題D.掃描檢測(cè)所有的數(shù)據(jù)包攻擊，分析所有的數(shù)據(jù)流.下述關(guān)于安全掃描和安全掃描系統(tǒng)的描述錯(cuò)誤的是A.安全掃描在企業(yè)部署安全策略中處于非常重要的地位B.安全掃描系統(tǒng)可用于管理和維護(hù)信息安全設(shè)備的安全C.安全掃描系統(tǒng)對(duì)防火墻在某些安全功能上的不足不具有彌補(bǔ)性D.安全掃描系統(tǒng)是把雙刃劍.在ISO/IEC17799中，防止惡意軟件的目的就是為了保護(hù)軟件和信息的。A.安全性B.完整性C.穩(wěn)定性D.有效性.在生成系統(tǒng)帳號(hào)時(shí)，系統(tǒng)管理員應(yīng)該分配給合法用戶個(gè),用戶在第一次登錄時(shí)應(yīng)更改口令。A.唯一的口令B.登錄的位置C.使用的說明D.系統(tǒng)的規(guī)則.關(guān)于防火墻和VPN的使用，下面說法不正確的是。A.配置VPN網(wǎng)關(guān)防火墻的一種方法是把它們并行放置，兩者獨(dú)立B.配置VPN網(wǎng)關(guān)防火墻的一種方法是把它們串行放置，防火墻在廣域網(wǎng)一側(cè)，VPN在局域網(wǎng)一側(cè)C.配置VPN網(wǎng)關(guān)防火墻的一種方法是把它們串行放置，防火墻在局域網(wǎng)一側(cè)，VPN在廣域網(wǎng)一側(cè)D.配置VPN網(wǎng)關(guān)防火墻的一種方法是把它們并行放置，兩者要互相依賴42.環(huán)境安全策略應(yīng)該。A.詳細(xì)而具體B.復(fù)雜而專業(yè)C.深入而清晰D.簡(jiǎn)單而全面.是一種架構(gòu)在公用通信基礎(chǔ)設(shè)施上的專用數(shù)據(jù)通信網(wǎng)絡(luò)，利用IPSec等網(wǎng)絡(luò)層安全協(xié)議和建立在PKI上的加密與簽名技術(shù)來獲得私有性。SETDDNVPNPKIX.策略應(yīng)該清晰，無須借助過多的特殊一通用需求文檔描述，并且還要有具體的。A.管理支持B.技術(shù)細(xì)節(jié)C.實(shí)施計(jì)劃D.被充內(nèi)容.在一個(gè)企業(yè)網(wǎng)中，防火墻應(yīng)該是的一部分，構(gòu)建防火墻時(shí)首先要考慮其保護(hù)的范圍A.安全技術(shù)B.安全設(shè)置C.局部安全策略D.全局安全策略.信息安全策略的制定和維護(hù)中，最重要是要保證其和相對(duì)穩(wěn)定性。A.明確性B.細(xì)致性C.標(biāo)準(zhǔn)性D.開放性.是企業(yè)信息安全的核心。A.安全教育B.安全措施C.安全管理D.安全設(shè)施.許多與PKI相關(guān)的協(xié)議標(biāo)準(zhǔn)（如PKIX、S/MIMESSL、TLS、IPSec）等都是在基礎(chǔ)上發(fā)展起來的。A.X.500B.X.509C.X.519D.X.505.是PKI體系中最基本的元素，PKI系統(tǒng)所有的安全操作都是通過該機(jī)制來實(shí)現(xiàn)的。A.SSLB.IARAC.RAD.數(shù)字證書.基于密碼技術(shù)的訪問控制是防止的主要防護(hù)手段。A.數(shù)據(jù)傳輸泄密B.數(shù)據(jù)傳輸丟失C.數(shù)據(jù)交換失敗D.數(shù)據(jù)備份失敗.避免對(duì)系統(tǒng)非法訪問的主要方法是。A.加強(qiáng)管理B.身份認(rèn)證C.訪問控制D.訪問分配權(quán)限.在一個(gè)信息安全保障體系中，最重要的核心組成部分為。A.技術(shù)體系B.安全策略C.管理體系D.教育與培訓(xùn).下列不屬于物理安全控制措施。A.門鎖B.警衛(wèi)C.口令D.圍墻.VPN是的簡(jiǎn)稱。A.VisualPrivateNetworkB.VirtualPrivateNetworkC.VirtualPublicNetworkD.VisualPublicNetwork55.部署55.部署VPN^品，不能實(shí)現(xiàn)對(duì)屬性的需求。A.完整性B.真實(shí)性C.可用性D.保密性56是最常用的公鑰密碼算法。56是最常用的公鑰密碼算法。A.RSAB.DSAC.橢圓曲線D.量子密碼57.PKI的主要理論基礎(chǔ)是A.對(duì)稱密碼算法B.公鑰密碼算法C.量子密碼D.摘要算法58.PKI中進(jìn)行數(shù)字證書管理的核心組成模塊58.PKI中進(jìn)行數(shù)字證書管理的核心組成模塊：7EA.注冊(cè)中心RAB.證書中心CAC.目錄服務(wù)器D.證書作廢列表59.手段，可以有效應(yīng)對(duì)較大范圍的安全事件的不良影響59.手段，可以有效應(yīng)對(duì)較大范圍的安全事件的不良影響保證關(guān)鍵服務(wù)和數(shù)據(jù)的可用性。A.定期備份B.異地備份C.人工備份D.本地備份60.信息安全評(píng)測(cè)標(biāo)準(zhǔn)CC是標(biāo)準(zhǔn)。A.美國(guó)B.國(guó)際C.英國(guó)D.澳大利亞三、多選題.用于實(shí)時(shí)的入侵檢測(cè)信息分析的技術(shù)手段有。A.模式匹配B.完整性分析C.可靠性分析D.統(tǒng)計(jì)分析E.可用性分析.典型的數(shù)據(jù)備份策略包括A.完全備份B.增量備份C.選擇性備份D.差異備份E.手工備份3.安全脆弱性，是指安全性漏洞3.安全脆弱性，是指安全性漏洞廣泛存在于A.協(xié)議設(shè)計(jì)過程B.系統(tǒng)實(shí)現(xiàn)過程C.運(yùn)行維護(hù)過程D.安全評(píng)估過程*：?、:”■—E.審計(jì)檢查過程.信息安全技術(shù)根據(jù)信息系統(tǒng)自身的層次化特點(diǎn)，也被劃分了不同的層次,這些層次包括。A.物理層安全B.人員安全C.網(wǎng)絡(luò)層安全D.系統(tǒng)層安全E.應(yīng)用層安全.物理層安全的主要內(nèi)容包括。A.環(huán)境安全B.設(shè)備安全C.線路安全D.介質(zhì)安全E.人員安全.根據(jù)BS7799的規(guī)定，信息安全管理體系ISMS的建立和維護(hù)，也要按照PDCA勺管理模型周期性進(jìn)行，主要包含環(huán)節(jié)。A.策略PolicyB.建立PlanC.實(shí)施DoD.檢查CheckE.維護(hù)改進(jìn)Act.在BS7799中，訪問控制涉及到信息系統(tǒng)的各個(gè)層面，其中主要包括。A.物理訪問控制.網(wǎng)絡(luò)訪問控制C.人員訪問控制D.系統(tǒng)訪問控制E.應(yīng)用訪問控制.英國(guó)國(guó)家標(biāo)準(zhǔn)BS7799,經(jīng)國(guó)際標(biāo)準(zhǔn)化組織采納為國(guó)家標(biāo)準(zhǔn)。A.ISO17799B.ISO15408C.ISO13335D.ISO27001E.ISO24088.為了正確獲得口令并對(duì)其進(jìn)行妥善保護(hù)，應(yīng)認(rèn)真考慮的原則和方法有。A.口令/帳號(hào)加密B.定期更換口令C.限制對(duì)口令文件的訪問D.設(shè)置復(fù)雜的、具有一定位數(shù)的口令.關(guān)于入侵檢測(cè)和入侵檢測(cè)系統(tǒng)，下述正確的選項(xiàng)是。A.入侵檢測(cè)收集信息應(yīng)在網(wǎng)絡(luò)的不同關(guān)鍵點(diǎn)進(jìn)行B.入侵檢測(cè)的信息分析具有實(shí)時(shí)性C.基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)的精確性不及基于主機(jī)的入侵檢測(cè)系統(tǒng)的精確性高D.分布式入侵檢測(cè)系統(tǒng)既能檢測(cè)網(wǎng)絡(luò)的入侵行為，又能檢測(cè)主機(jī)的入侵行為E.入侵檢測(cè)系統(tǒng)的主要功能是對(duì)發(fā)生的入侵事件進(jìn)行應(yīng)急響應(yīng)處理.目前廣泛使用的主要安全技術(shù)包括。A.防火墻B.入侵檢測(cè)C.PKID.VPNE.病毒查殺12.基于角色對(duì)用戶組進(jìn)行訪問控制的方式有以下作用：A.使用戶分類化B.用戶的可管理性得到加強(qiáng)C.簡(jiǎn)化了權(quán)限管理，避免直接在用戶和數(shù)據(jù)之間進(jìn)行授權(quán)和取消D.有利于合理劃分職責(zé)E.防止權(quán)力濫用13.在網(wǎng)絡(luò)中身份認(rèn)證時(shí)可以采用的鑒別方法有。A.采用用戶本身特征進(jìn)行鑒別B.采用用戶所知道的事進(jìn)行鑒別C.采用第三方介紹方法進(jìn)行鑒別D.使用用戶擁有的物品進(jìn)行鑒別E.使用第三方擁有的物品進(jìn)行鑒別.在ISO/IEC17799標(biāo)準(zhǔn)中，信息安全特指保護(hù)。A.信息的保密性B.信息的完整性C.信息的流動(dòng)性D.信息的可用性.PKI是生成、管理、存儲(chǔ)、分發(fā)和吊銷基于公鑰密碼學(xué)的公鑰證書所需要的的總和。A.硬件B.軟件C.人員D.策略E.規(guī)程16.SSL主要提供三方面的服務(wù)，即A.數(shù)字簽名B.認(rèn)證用戶和服務(wù)器C.網(wǎng)絡(luò)傳輸D.加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)E.維護(hù)數(shù)據(jù)的完整性.經(jīng)典密碼學(xué)主要包括兩個(gè)既對(duì)立又統(tǒng)一的分支，即A.密碼編碼學(xué)B.密鑰密碼學(xué)C.密碼分析學(xué)D.序列密碼E.古典密碼.有多種情況能夠泄漏口令，這些途徑包括A.猜測(cè)和發(fā)現(xiàn)口令B.口令設(shè)置過于復(fù)雜C.將口令告訴別人D.電子監(jiān)控E.訪問口令文件19.一個(gè)安全的網(wǎng)絡(luò)系統(tǒng)具有的特點(diǎn)是。A.保持各種數(shù)據(jù)的機(jī)密B.保持所有信息、數(shù)據(jù)及系統(tǒng)中各種程序的完整性和準(zhǔn)確性C.保證合法訪問者的訪問和接受正常的服務(wù)D.保證網(wǎng)絡(luò)在任何時(shí)刻都有很高的傳輸速度E.保證各方面的工作符合法律、規(guī)則、許可證、合同等標(biāo)準(zhǔn).任何信息安全系統(tǒng)中都存在脆弱點(diǎn)，它可以存在于。A,使用過程中B.網(wǎng)絡(luò)中C.管理過程中D.計(jì)算機(jī)系統(tǒng)中E.計(jì)算機(jī)操作系統(tǒng)中.根據(jù)采用的技術(shù)，入侵檢測(cè)系統(tǒng)有以下分類：。A.正常檢測(cè)B.異常檢測(cè)C.特征檢測(cè)D.固定檢測(cè)E.重點(diǎn)檢測(cè).在安全評(píng)估過程中，安全威脅的來源包括。A.外部黑客B.內(nèi)部人員C.信息技術(shù)本身D.物理環(huán)境E.自然界.安全評(píng)估過程中，經(jīng)常采用的評(píng)估方法包括。A.調(diào)查問卷B.人員訪談C.工具檢測(cè)D.手工審核E.滲透性測(cè)試.網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，既可以對(duì)外部黑客的攻擊行為進(jìn)行檢測(cè)，也可以發(fā)現(xiàn)內(nèi)部攻擊者的操作行為，通常部署在。A.關(guān)鍵服務(wù)器主機(jī)B.網(wǎng)絡(luò)交換機(jī)的監(jiān)聽端口C.內(nèi)網(wǎng)和外網(wǎng)的邊界D.桌面系統(tǒng)E.以上都正確25.IPSec是網(wǎng)絡(luò)層典型的安全協(xié)議，能夠?yàn)镮P數(shù)據(jù)包提供安全服務(wù)A.保密性B.完整性C.不可否認(rèn)性D.可審計(jì)性E.真實(shí)性26.信息安全策略必須具備屬性A.確定性B.正確性C.全面性D.細(xì)致性E.有效性四、問答題.信息安全技術(shù)機(jī)制通常被劃分為幾個(gè)層次。試在每個(gè)層次中列舉兩種主要的安全機(jī)制。.簡(jiǎn)述BS7799的內(nèi)容構(gòu)成以及與ISO國(guó)際標(biāo)準(zhǔn)的關(guān)系.簡(jiǎn)述ISO/IEC17799:2005中關(guān)于控制措施的11項(xiàng)分類內(nèi)容。.簡(jiǎn)述安全策略體系所包含的內(nèi)容。.簡(jiǎn)述至少六種安全問題的策略.試編寫一個(gè)簡(jiǎn)單的口令管理策略。.簡(jiǎn)述可接受使用策略AUP的內(nèi)容。.簡(jiǎn)述入侵檢測(cè)系統(tǒng)IDS所采取的兩種主要方法。.簡(jiǎn)述防火墻所具有的局限性。.簡(jiǎn)述物理安全的技術(shù)層面的主要內(nèi)容。答案、判斷題1.對(duì)2.對(duì)3.對(duì)4.對(duì)5對(duì)6.對(duì)7.對(duì)8.錯(cuò)9.對(duì)10.對(duì)11對(duì)12.對(duì)二、單選題1.A2.B3.C4.C5.D6.B7.A8.B9.D10.A11.A12.A13.D14.BI：：.■15.C16.B17.A18.B19.D20.C21.A22.C23.C24.B25.C26.C27.A28.A29.B30.C31.B32.A33.C33.A35.B36.A37.C38.B39.B40.A41.B42.D43.C44.C45.D46.A47.C48.B49.D50.A51.C52.B53.C54.B55.C56.A57.B58.B59.B60.B三、多選題1.AD2.ABD3.ABC4.ACDE5.ABD6.BCDE7.ABDE8.AD9.ABCD10.ABCE11.ABCDE12.CDE13.ABD14.ABD15.ABCDE16.BDE17.AC18.ACDE19.ABCE20.ABCDE21.BC22.ABCDE23.ABCDE24.BC1一、lasual,andvi—nitt

25.ABE26.ACE四、問答題1.信息安全技術(shù)機(jī)制通常被劃分為幾個(gè)層次。1.信息安全技術(shù)機(jī)制通常被劃分為幾個(gè)層次。試在每個(gè)層次中列舉兩種主要的安全機(jī)制、.:*，;答：信息安全技術(shù)機(jī)制通常可以劃分為四個(gè)層次，每一層次中典型的安全機(jī)制如下所示：(1)物理層安全，如視頻監(jiān)控、門禁系統(tǒng)；(2)網(wǎng)絡(luò)層安全，如防火墻、IPSecVPN(4)系統(tǒng)層安全，如殺毒軟件，主機(jī)入侵檢測(cè)系統(tǒng)；(5)應(yīng)用層安全，如用戶身份認(rèn)證、應(yīng)用層加密。.簡(jiǎn)述BS7799的內(nèi)容構(gòu)成以及與ISO國(guó)際標(biāo)準(zhǔn)的關(guān)系。答:BS7799分兩個(gè)部分，第一部分，被ISO國(guó)際標(biāo)準(zhǔn)化組織采納成為ISO/IEC17799：2005標(biāo)準(zhǔn)的部分，是信息安全管理實(shí)施細(xì)則(CodeofPracticeforInformationSecurityManagement),主要供負(fù)責(zé)信息安全系統(tǒng)開發(fā)的人員參考使用，其主要內(nèi)容分為11個(gè)方面，定義了133項(xiàng)安全控制措施(最佳實(shí)踐)。第二部分，被ISO國(guó)際標(biāo)準(zhǔn)化組織采納成為ISO/IEC27001:2005,是建立信息安全管理體系(ISMS)的一套規(guī)范(SpecificationforInformationSecurityManagementSystems),其中詳細(xì)說明了建立、實(shí)施和維護(hù)信息安全管理體系的要求，可用來指導(dǎo)相關(guān)人員應(yīng)用ISO/IEC17799:2005,其最終目的在于建立適合企業(yè)需要的信息安全管理體系(ISMS).簡(jiǎn)述ISO/IEC17799:2005中關(guān)于控制措施的11項(xiàng)分類內(nèi)容。答：BS7799-1信息安全管理實(shí)施細(xì)則(ISO/IEC17799：2005)將信息安全管理的內(nèi)容劃分為11個(gè)主要方面，這11個(gè)方面包括：(1)安全策略(SecurityPolicy);(2)組織信息安全(OrganizingInformationSecurity);(3)資產(chǎn)管理(AssetManagement);(4)人力資源安全(HumanResourcesSecurity);(5)物理與環(huán)境安全(PhysicalandEnvironmentalSecurity);(6)通信與操作管理(CommunicationandOperationManagement);(7)訪問控制(AccessControl);(8)信息系統(tǒng)獲取、開發(fā)與維護(hù)(InformationSystemsAcquisition,DevelopmentandMaintenance);(9)信息安全事件管理(InformationSecurityIncidentManagement；(10)業(yè)務(wù)連續(xù)性管理(BusinessContinuityManagement);(11)符合性(Compliance)。.簡(jiǎn)述安全策略體系所包含的內(nèi)容。答：一個(gè)合理的信息安全策略體系可以包括三個(gè)不同層次的策略文檔：(1)總體安全策略，闡述指導(dǎo)性的戰(zhàn)略綱領(lǐng)性文件，闡明了企業(yè)對(duì)于信息安全的看法和立場(chǎng)、信息安全的目標(biāo)和戰(zhàn)略、信息安全所涉及的范圍、管理組織構(gòu)架和責(zé)任認(rèn)定以及對(duì)于信息資產(chǎn)的管理辦法等內(nèi)容；(2)針對(duì)特定問題的具體策略，闡述了企業(yè)對(duì)于特定安全問題的聲明、立場(chǎng)、適用辦法、強(qiáng)制要求、角色、責(zé)任認(rèn)定等內(nèi)容，例如，針對(duì)Internet訪問操作、計(jì)算機(jī)和網(wǎng)絡(luò)病毒防治、口令的使用和管理等特定問題，制定有針對(duì)性的安全策略；(3)針對(duì)特定系統(tǒng)的具體策略，更為具體和細(xì)化，闡明了特定系統(tǒng)與信息安全有關(guān)的使用和維護(hù)規(guī)則等內(nèi)容，如防火墻配置策略、電子郵件安全策略等。.簡(jiǎn)述至少六種安全問題的策略。答：(1)物理安全策略；(2)網(wǎng)絡(luò)安全策略；(3)數(shù)據(jù)加密策略；(4)數(shù)據(jù)備份策略；(5)病毒防護(hù)策略；(6)系統(tǒng)安全策略；(7)身份認(rèn)證及授權(quán)策略；(8)災(zāi)難恢復(fù)策略；(9)事故處理、緊急響應(yīng)策略；(10)安全教育策略；(11)口令管理策略;(12)補(bǔ)丁管理策略;(13)系統(tǒng)變更控制策略;(14)商業(yè)伙伴、客戶關(guān)系策略;(15)復(fù)查審計(jì)策略.試編寫一個(gè)簡(jiǎn)單的口令管理策略。答:(1)答:(1)所有活動(dòng)帳號(hào)都必須有口令保護(hù)。(2)生成帳號(hào)時(shí)，系統(tǒng)管理員應(yīng)分配給合法用戶一個(gè)唯一的口令，用戶在第一次登錄時(shí)應(yīng)更改口令?？诹畋仨氈辽僖?個(gè)字符(4)口令必須同時(shí)含有字母和非字母字符(4)口令必須同時(shí)含有字母和非字母字符必須定期用監(jiān)控工具檢查口令的強(qiáng)度和長(zhǎng)度是否合格。(6)口令不能和用戶名或者登錄名相同(6)口令不能和用戶名或者登錄名相同口令必須至少60天更改一次。禁止重用口令。必須保存至少12個(gè)歷史口令?？诹畈荒芡ㄟ^明文電子郵件傳輸所有供應(yīng)商的默認(rèn)口令必須更改用戶應(yīng)