信息安全等级测评师初级考试问答题20

1、网络安全的网络设备防护的内容是什么？（其他要点也要背）答：①应对登录网络设备的用户进行身份鉴别②应对网络设备管理员的登陆地址进行限制③网络设备用户的标识应唯一④主要网络设备应对同一用户选择两种或者两种以上组合的鉴别技术来进行身份鉴别⑤身份鉴别信息应具有不易被冒用的特点，口令应有复杂度的要求并定期更换⑥应具有登录失败处理功能，可采取结束会话、限制非法登陆次数和当网络登陆连接超时自动退出等措施⑦当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听⑧应实现设备特权用户的权限分离2、入侵检测系统分为哪几种，各有什么特点？答：主机型入侵检测系统（HIDS），网络型入侵检测系统（NIDS）。

HI DS往往以系统日志、应用程序日志作为数据源；检测主机上的命令序列比检测网络流更简单，系统的复杂性也少得多，所以主机检测系统误报率比网络入侵检测系统的误报率低；它除了检测自身的主机以外，根本不检测网络上的情况，而且对入侵行为分析的工作量将随着主机数量的增加而增加，因此全面部署主机入侵检测系统代价比较大，企业很难将所有主机用主机入侵检测系统保护，只能选择部分主机进行保护，那么未安装主机入侵检测系统的机器将成为保护的盲点，入侵者可利用这些机器达到攻击的目标。

依赖于服务器固有的日志和监视能力。

如果服务器上没有配置日志功能，则必须重新配置，这将给运行中的业务系统带来不可预见的性能影响。

（需要在主机进行软件安装，消耗资源）NIDS一般部署在比较重要的网段内，它不需要改变服务器等主机的配置，由于它不会在业务系统的主机中安装额外的软件，从而不会影响这些机器的CP U、I/O与磁盘等资源的使用，不会影响业务系统的性能。

NIDS的数据源是网络上的数据包。

通过线路窃听的手段对捕获的网络分组进行处理，从中获取有用的信息。

一个网段上只需要安装一个或几个这样的系统，便可以检测整个网络的情况，比较容易实现。

由于现在网络的日趋复杂和高速网络的普及，这种结构正接受越来越大的挑战。

（不需要在主机进行软件安装、容易实现）3、访问控制的三要素是什么？按访问控制策略划分，可分为哪几类？按层面划分，可分为哪几类？答：访问控制的三要素是：主体、客体、操作按访问控制策略划分可分为：①自主访问控制②强制访问控制③基于角色的访问控制按层面划分可分为：①网络访问控制②主机访问控制③应用访问控制④物理访问控制4、安全审计按对象不同，可分为哪些类？各类审计的内容又是什么？答：系统级审计、应用级审计、用户级审计①系统级审计：要求至少能够记录登陆结果、登陆标识、登陆尝试的日期和时间、退出的日期和时间、所使用的设备、登陆后运行的内容、修改配置文件的请求等。

②应用级审计：跟踪监控和记录诸如打开和关闭数据文件，读取、编辑和删除记录或字段的特定操作以及打印报告之类的用户活动。

③用户级审计：跟踪通常记录用户直接启动所有命令、所有的标识和鉴别尝试的所有访问的文件和资源。

5、身份认证的信息主要有哪几类？并每项列举不少于2个的事例。

答：身份认证的信息可分为以下几类：①用户知道的信息，如个人标识、口令等。

②用户所持有的证件，如门卡、智能卡、硬件令牌等。

③用户所特有的特征，指纹、虹膜、视网膜扫描结果等。

6、数字证书的含义、分类和主要用途，所采用的密码体制？答：①数字证书是由认证中心生成并经认证中心数字签名的，标志网络用户身份信息的一系列数据，用来在网络通信中识别通信各方的身份。

②从证书用途来看，数字证书可分为签名证书和加密证书。

③签名证书主要用于对用户信息进行签名，以保证信息的不可否认性；加密证书主要用于对用户传送信息进行加密，以保证信息的真实性和完整性。

⑤数字证书采用非对称秘钥体制，即利用一对互相匹配的私钥/公钥进行加密、解密。

其中私钥用于进行解密和签名，公钥用于加密和验证签名。

7、试解释SQL注入攻击的原理，以及它产生的不利影响。

答：SQL注入攻击的原理是从客户端提交特殊的代码，WEB应用程序如果没有做严格的检查就将其形成SQL命令发送给数据库，从数据库返回的信息中，攻击者可以获得程序及服务器的信息，从而进一步获得其他资料。

SQL注入攻击可以获取WEB应用程序和数据库系统的信息，还可以通过S QL注入攻击窃取敏感数据，篡改数据，破坏数据，甚至以数据库系统为桥梁进一步入侵服务器操作系统，从而带来更为巨大的破坏。

8、入侵威胁有哪几种？入侵行为有哪几种？造成入侵威胁的入侵行为主要是哪两种，各自的含义是什么？答：入侵威胁可分为：①外部渗透。

②内部渗透。

③不法行为。

入侵行为可分为：①物理入侵。

②系统入侵。

③远程入侵。

主要入侵行为：①系统入侵。

②远程入侵。

系统入侵是指入侵者在拥有系统的一个低级账号权限下进行的破坏活动。

远程入侵是指入侵者通过网络渗透到一个系统中。

9、系统定级的一般流程是什么？答：①确定作为定级对象的信息系统②确定业务信息安全受到破坏时所侵害的客体，根据不同的受害客体，从各个方面综合评定业务信息安全被破坏对客体的侵害程度，根据业务信息的重要性和受到破坏后的危害性确定业务信息安全等级。

③确定系统服务安全受到破坏时所侵害的客体，根据不同的受害客体，从各个方面综合评定系统服务安全被破坏对客体的侵害程度，根据系统服务的重要性和受到破坏后的危害性确定系统服务安全等级。

④定级对象的等级由业务信息安全等级和系统服务安全等级的较高者决定。

10、简述单位、组织的信息安全管理工作如何与公安机关公共信息网络安全检查部门相配合？答：单位、组织的信息安全管理工作与公安机关公共信息网络安全监察部门之间的配合主要体现在以下方面：①单位、组织的信息安全管理必须遵循信息安全法律、法规对于安全管理职责、备案、禁止行为、安全管理制度和安全技术机制要求等方面的内容规定。

②法律、法规赋予公安机关公共信息网络安全监察部门对信息安全的监管职责，各单位、组织必须接受和配合公安机关；③在发生信息安全案件后，单位、组织应当及时向公安机关公共信息网络安全监察部门报案，并在取证和调查等环节给予密切配合。

11、国家为什么要实施安全等级保护制度？答：信息安全形势严峻：①来自境内外敌对势力的入侵、攻击、破坏越来越严重。

②针对基础信息网络和重要信息系统的违法犯罪持续上升。

③基础信息网络和重要信息系统安全隐患严重。

维护国家安全的需要：①基础信息网络与重要信息系统已成为国家关键基础设施。

②信息安全是国家安全的重要组成部分。

③信息安全是非传统安全，信息安全本质是信息对抗、技术对抗。

④我国的信息安全保证工作基础还很薄弱。

12、主机常见评测的问题？答：①检测用户的安全防范意识，检查主机的管理文档。

②网络服务的配置。

③安装有漏洞的软件包。

④缺省配置。

⑤不打补丁或补丁不全。

⑥网络安全敏感信息的泄露。

⑦缺乏安全防范体系。

⑧信息资产不明，缺乏分类的处理。

⑨安全管理信息单一，缺乏统一的分析和管理平台。

13、简单介绍可采取哪些措施进行有效地控制攻击事件和恶意代码？答：①安装并合理配置主机防火墙。

②安装并合理配置网络防火墙。

③安装并合理配置IDS/IPS。

④严格控制外来介质的使用。

⑤防御和查杀结合、整体防御、防管结合、多层防御。

⑥设置安全管理平台、补丁升级平台、防病毒平台等对防毒的系统进行升级、漏洞进行及时安装补丁，病毒库定时更新。

⑦定期检查网络设备和安全设备的日志审计，发现可疑对象可及时进行做出相应处理。

⑧为了有效防止地址攻击和拒绝服务攻击可采取在会话处于非活跃一定时间或会话结束后终止网络连接。

⑨为了有效防止黑客入侵，可对网络设备的管理员登陆地址进行限制和对其具有拨号功能用户的数量进行限制，远程拨号的用户也许它就是一个黑客。

⑩采取双因子认证和信息加密可增强系统的安全性。

14、信息安全等级保护的五个标准步骤是什么？信息安全等级保护的定义是什么？信息安全等级保护五个等级是怎么样定义的？答：①定级、备案、建设整改、等级测评、监督和检查。

②分等级实行安全保护、对安全产品实行按等级管理、对安全事件按等级响应、处置。

一级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，但不损害国家安全、社会秩序和公共利益。

二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序和公共利益造成损害，但不损害国家利益。

三级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或对国家利益造成损害。

四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或对国家造成严重损害。

五级：信息系统受到破坏后，会对国家利造成特别严重损害。

15、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计的内容是什么？答：①巨型、大型、中型、小型、微型计算机和单片机。

②目前运行在主机上的主流操作系统有：windows、linux、sunsolaris、ibm aix、hp-ux等等。

③结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护。

④应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。

审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其它与审计相关的信息。

应能够根据记录数据进行分析，并生成审计报表。

应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

16：数据库常见威胁有哪些？针对于工具测试需要注意哪些内容？答：①非授权访问、特权提升、SQL注入针对漏洞进行攻击、绕过访问控制进行非授权访问等。

②工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。

测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段等等。

接入系统的设备、工具和IP地址等配置要经过被测系统相关人员确认。

对于测试过程可能造成的对目标系统的网络流量及主机性能等方面的影响，要事先告知被测系统相关人员。

对于测试过程中的关键步骤、重要证据要及时利用抓图工具取证。

对于测试过程中出现的异常情况要及时记录，需要被测方人员确认被测系统状态正常并签字后离场。

17、ARP地址欺骗的分类、原理是什么？可采取什么措施进行有效控制？答：一种是对网络设备ARP表的欺骗，其原理是截获网关数据。

它通知网络设备一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在网络设备中，结果网络设备的所有数据只能发给错误的MAC地址，造成正常PC无法收到信息。

另一种是对内网PC的网关欺骗。

其原理是建立假网关，让被它欺骗的PC 向假网关发数据，而不是通过正常的途径上网。

措施：一、在网络设备中把所有PC的IP-MAC输入到一个静态表中，这叫IP-MAC绑定；二、在内网所有PC上设置网关的静态ARP信息，这叫PC IP-MAC绑定。