第一篇：《信息與網絡安全管理案例分析》實踐考核指南

《信息與網絡安全管理案例分析》實踐考核指南

第一部分考核說明

一、課程地位和目標

《信息與網絡安全管理案例分析》實踐課是我省高等教育自學考試電子政務專業的一門專業必修課程。本課程旨在培養應考者系統地學習網絡信息安全方面的案例，具體了解和掌握世界信息和網絡安全的發展概況，剖析和總結信息與網絡安全防護的成功案例，通過對不同案例中信息與網絡安全技術和理論應用的分析,著重探討有益于我國網絡安全建設的經驗和啟迪，從而指導我國信息化建設健康、快速和有序地發展。

二、課程的基本要求

通過本課程的學習，應考者應達到以下要求：

1．了解世界及我國信息和網絡安全的背景和現狀；

2．理解并掌握信息與網絡安全的技術發展、體系構建和實際應用等。

3．掌握電子政務和電子商務領域的信息與網絡安全防護措施。

4．綜合分析評價信息與網絡安全案例。

三、教材

《信息與網絡安全管理》，鄭連清主編，北京交通大學出版社、清華大學出版社2004年版。

第二部分考核內容

一、考核方式

寫一篇3000字左右的信息與網絡安全案例分析或調查報告。

二、典型案例

以下共有六個信息與網絡安全相關案例，考生可從中選擇其中一個案例，按照后面的問題進行分析回答，字數3000字左右。

一、中國電子政務網絡安全隱患案例

2004年舉行的中國政府采購電子政務與網絡安全論壇上指出，我國電子政務網絡安全方面暴露問題比較突出的有五個方面：計算機病毒泛濫；木馬程序帶來安全保密方面的隱患；易受黑客攻擊特別是洪流攻擊；垃圾郵件阻塞網絡；網絡安全的威脅開始蔓延到應用的環節，其中windows占70%，lunix占30%。

國家信息安全評測中心主任吳世忠指出，80%的電子政務網絡都有木馬程序，電子政務信息安全保障不單是技術問題，更是業務問題，要和業務緊密結合。電子政務信息安全保障是一個綜合的復雜的問題，不能脫離部門的工作，脫離部門對安全的需求。要保證電子政務正常運行的信息網絡安全，建設以內網安全為核心的新型網絡就顯得至關重要。

針對目前電子政務信息安全保障問題，威視科技總經理江明家提出“網絡安全整體解決方案”的概念，他認為：從技術上，網絡安全取決于：網絡設備的硬件和軟件，網絡安全由網絡設備的軟件和硬件互相配合來實現。電子政務安全的關鍵是要有自主的知識產權和關鍵技術，從根本上擺脫對外國技術的依賴。在安全技術不斷發展的同時，全面加強安全技術的應用也是網絡安全發展的一個重要內容。作為網絡安全廠商，不應當簡單為用戶提供產品，而應當有能力根據用戶需求，有針對性地為用戶設計、提供網絡安全整體解決方案。

問題：試論中國電子政務系統網絡安全的現狀。

二、網絡信息安全調查案例

近年來，關于網上銀行、網絡游戲密碼賬號被盜的案例不勝枚舉，網上密碼安全問題已經成為目前最大的網絡安全隱患。日前一項關于網絡密碼信息安全狀況的調查結果顯示，四成網民有過密碼被盜的經歷。

調查數據顯示，39.43%的網民有過密碼被盜的經歷，60.57%的網民沒有密碼被盜經歷。“網銀大盜”“證券大盜”“傳奇竊賊”“天堂殺手”等專門盜號的木馬、黑客正是給網民帶來損失的網上“殺手”。

目前網上盜竊犯罪現象屢屢發生，與網民的防范意識不強有關。調查顯示，近五成網民對于網絡密碼信息沒有采取有效保護措施。數據顯示，34.50%的網民沒有采取任何密碼保護措施，13.61%網民表示采取過密碼保護措施但仍然被盜，51.89%網民表示采取過密碼保護措施。

在密碼被盜后，有近六成網民認為主要原因是中了木馬病毒，24.19%的網民認為主要是因為自我保護意識差，14.27%的網民認為主要原因是密碼太簡單被暴力破解。

網民對于殺毒軟件仍然期待很高，數據顯示，九成以上的網民認為殺毒軟件應該具有密碼保護功能，只有9.05%的網民認為殺毒軟件應該專注殺毒，不應該去做密碼保護。

問題：試論網絡信息安全的保護。

三、計算機網絡安全規劃案例

計算機網絡安全規劃可以幫助你決定哪些東西需要保護，在保護時愿意投資多少，由誰來負責執行該保護等。威脅評估：制定一個有效的網絡安全規劃，第一步是評估系統連接中所表現出的各種威脅。與網絡相關的主要有：非授權訪問、信息泄露、拒絕服務；分布式控

制：實現網絡安全的一種方法，是將一個大型網絡中的各段責任和控制權分配給單位內部的一些小組。這種責任的層次結構從高到低包括網絡管理員、子網管理員、系統管理員和用戶，在該層次結構的每一點都有人負責和具體執行；編寫網絡安全策略：編寫一個網絡安全策略文件，明確地闡明要求達到什么目的和要求誰來執行是很重要的。一個網絡安全策略文件包括如下內容：系統管理員的安全責任、正確地利用網絡資源、檢測到安全問題時的對策、網絡用戶的安全責任等。

一個全方位的計算機網絡安全體系結構包含網絡的物理安全、訪問控制安全、系統安全、用戶安全、信息加密、安全傳輸和管理安全等。充分利用各種先進的主機安全技術、身份認證技術、訪問控制技術、密碼技術、防火墻技術、網絡反病毒技術、安全審計技術、安全管理技術、系統漏洞檢測技術、黑客跟蹤技術，在攻擊者和受保護的資源間建立多道嚴密的安全防線，極大地增加了惡意攻擊的難度，并增加了審核信息的數量，利用這些審核信息可以跟蹤入侵者。在實施網絡安全防范措施時要考慮以下幾點：要加強主機本身的安全，做好安全配置，及時安裝安全補丁程序，減少漏洞；要用各種系統漏洞檢測軟件定期對網絡系統進行掃描分析，找出可能存在的安全隱患，并及時加以修補；從路由器到用戶各級建立完善的訪問控制措施，安裝防火墻，加強授權管理和認證；利用數據存儲技術加強數據備份和恢復措施；對敏感的設備和數據要建立必要的物理或邏輯隔離措施；對在公共網絡上傳輸的敏感信息要進行數據加密；安裝防病毒軟件，加強內部網的整體防病毒措施；建立詳細的安全審計日志，以便檢測并跟蹤入侵攻擊等。

問題：試論計算機網絡安全體系的構建。

四、防火墻的選擇案例

網絡安全產品主要細分產品包括防火墻、入侵檢測系統、信息加密以及安全認證等。據賽迪網統計，2004年上半年，中國網絡安全產品市場的銷售總額達13.34億元，比2003年上半年增長43.3%，其中防火墻軟件以46.20%的份額，成為2004年上半年中國網絡安全產品市場中主力軍。

如何選擇一個好的防火墻呢？

一、自身的安全性。防火墻自身的安全性主要體現在自身設計和管理兩個方面。設計的安全性關鍵在于操作系統，而應用系統的安全是以操作系統的安全為基礎的，同時防火墻自身的安全實現也直接影響整體系統的安全性。

二、系統的穩定性。由于種種原因，有些系統尚未最后定型或經過嚴格的大量測試就被推向了市場，其穩定性可想而知。可以通過權威的測評認證機構、實際調查、試用、廠商實力等多個方面加以判斷；

三、是否高效。一般來說，防火墻加載上百條規則，其性能下降不應超過 5~10 ％（指包過濾防火墻）；

四、是否可靠。有較高的生產標準和設計冗余度能提高系統可靠性的；

五、是否功能靈活、強大。例如對普通用戶，只要對 IP 地址進行過濾即可；如果是內部有不同安全級別的子網，有時則必須允許高級別子網對低級別子網進行單向訪問。

六、是否配置方便。

七、是否可以抵抗拒絕服務攻擊。在當前的網絡攻擊中，拒絕服務攻擊是使用頻率最高的方法。目前有很多防火墻號稱可以抵御拒絕服務攻擊，但嚴格地說，它應該是可以降低拒絕服務攻擊的危害而不是抵御這種攻擊；

八、是否可擴展、可升級。

問題：試論防火墻在網絡信息安全中的應用。

五、電子商務安全要素分析

電子商務主要的安全要素有以下幾個：

1、有效性。EC以電子形式取代了紙張,那么如何保證這種電子形式的貿易信息的有效性則是開展E的前提。EC作為貿易的一種形式,其信息的有效性將直接關系到個人、企業或國家的經濟利益和聲譽。因此,要對網絡故障、操作錯誤、應用程序錯誤、硬件故障、系統軟件錯誤及計算機病毒所產生的潛在威脅加以控制和預防,以保證貿易數據在確定的時刻、確定的地點是有效的。

2、機密性。EC作為貿易的一種手段,其信息直接代表著個人、企業或國家的商業機密。傳統的紙面貿易都是通過郵寄封裝的信件或通過可靠的通信渠道發送商業報文來達到保守機密的目的。EC是建立在一個較為開放的網絡環境上的(尤其Internet是更為開放的網絡),維護商業機密是EC全面推廣應用的重要保障。因此,要預防非法的信息存取和信息在傳輸過程中被非法竊取。

3、完整性。EC簡化了貿易過程,減少了人為的干預,同時也帶來維護貿易各方商業信息的完整、統一的問題。由于數據輸入時的意外差錯或欺詐行為,可能導致貿易各方信息的差異。此外,數據傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿易各方信息的不同。貿易各方信息的完整性將影響到貿易各方的交易和經營策略,保持貿易各方信息的完整性是EC應用的基礎。因此,要預防對信息的隨意生成、修改和刪除,同時要防止數據傳送過程中信息的丟失和重復并保證信息傳送次序的統一。

4、可靠性、不可抵賴性、鑒別。EC可能直接關系到貿易雙方的商業交易,如何確定要進行交易的貿易方正是進行交易所期望的貿易方這一問題則是保證EC順利進行的關鍵。在傳統的紙面貿易中,貿易雙方通過在交易合同、契約或貿易單據等書面文件上手寫簽名或印章來鑒別貿易伙伴,確定合同、契約、單據的可靠性并預防抵賴行為的發生。這也就是人們常說的“白紙黑字”。在無紙化的EC方式下,通過手寫簽名和印章進行貿易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個人、企業或國家提供可靠的標識。

5、審查能力。根據機密性和完整性的要求,應對數據審查的結果進行記錄。

問題：試論電子商務安全問題。

六、吉林省社保網絡安全防范案例

一、背景

近年來，隨著我國的互聯網絡迅猛發展，互聯網絡已經深入到各行各業當中，在我國的經濟生活中發揮著日益重要的作用。吉林省社保網絡我國最龐大的網絡系統之一，關系著吉林省全省人民的切身利益，網絡安全就成了首要的問題。一直以來，吉林省社保公司都在不斷的加強全省的社保網絡安全保護設施，以保證整個網絡的信息安全。2003年是病毒頻發的一年，安全問題尤其突出，吉林省社保網絡多次面臨各種病毒和惡意程序的襲擊。為了徹底杜絕網絡病毒的侵害，保證全省社保事業的正常健康運行，吉林省社保總公司決定采用交大銘泰的網路病毒解決方案。

二、方案實施過程

1、安裝東方衛士管理員

在東方衛士中小企業版中，包含了允許網絡管理員從一個單獨的工作站上管理整個網絡的東方衛士病毒保護程序。該工具名為東方衛士網絡管理員。通過東方網絡管理員，可進行安裝、卸載、設置、掃描及更新工作站或服務器上的任何殺毒軟件。

2、安裝東方衛士服務器端

服務器端是專門為網絡服務器設計的防病毒子系統。它承擔著對當前服務器上病毒的實時監控、檢測和清除任務。服務器還是整個衛士中小企業版網絡防病毒系統的信息管理和病毒防護的自動控制核心。它實時地記錄防護體系內每臺計算機上的病毒監控、檢測和清除信息。同時，根據控制臺的設置，實現對整個防護系統的自動控制。其他子系統只有在服務器工作后，才可實現各自的網絡防護功能。它必須先于其它子系統安裝到符合條件的服務器上。服務器支持多級子服務器，分層管理，這樣方便了大中型網絡和擴展性強的網絡結構。

3、安裝東方衛士客戶端（WEB方式）

客戶端是專門為網絡工作站（客戶機）設計的防病毒子系統。它承擔著對當前工作站上病毒的實時監控、檢測和清除任務，同時自動向衛士中小企業版系統中心報告病毒監測情況。

本次客戶端分發給技術人員留下了很深的印象，在無網段限制十分簡潔和安全東發衛士所提供的這項服務以及成功實施的事實成為選型時非常重要的一條參考標準。

三、應用效果

整個系統的在實施過程中保持了流暢和平穩，基本上沒有影響到既有網絡系統的正常運行。安裝的防病毒產品穩定性非常好，沒有影響到其它應用的功能。防病毒系統的升級和功能應全自動化，整個系統具有及時更新的能力，能對整個防毒系統進行監控，并能集中生成報告。

問題：吉林省社保網絡實現網絡安全的成功經驗有哪些？

三、論文、調查報告參考選題

考生也可在以下選題中任選一題作答，字數3000字左右。

1．試論我國網絡安全中存在的問題

2．試論廣州電子政務網絡安全體系

3．電子政務與電子商務網絡安全的比較分析

4．淺析網絡信息傳遞中的安全防護

5．試論防火墻技術在網絡安全中的作用

6．試析我國信息與網絡安全立法的完善

7．信息加密及其在網絡安全中的實際應用

8．試論我國網絡信息安全制度建設

9．國外網絡安全防范措施及其對我國的借鑒意義

10．試論網絡攻擊及其應對

第二篇：《網站建設與管理》實踐考核指南

《網站建設與管理》實踐考核指南

第一部分考核說明

一、課程地位和目標

《網站建設與管理》實踐課是我省高等教育自學考試電子政務專業的一門專業必修課程。本課程旨在培養應考者系統地學習網站建設與管理的基本知識，初步掌握建立和管理網站的基本方法，培養和提高正確分析和解決實際問題的能力，提高網站建設和管理的水平。

二、課程的基本要求

通過本課程的學習，應考者應達到以下要求：

1．了解電子政務網站的建站方案；

2．理解并掌握電子政務網站的維護和推廣方法；

3．掌握電子政務網站安全管理的基本方法。

4．綜合分析評價電子政務網站的作用。

三、教材

《網站建設與管理》，吳振峰主編，高等教育出版社2005年版。

第二部分考核內容

一、考核方式

從實踐環節參考選題中任選一題，根據題目要求完成論文或設計。

二、實踐環節參考選題

請大家從給出的十道題中選擇1道，按要求作答。

題一：結合實際，給出一個電子政務網站的建站方案

要求：按網站建設的方法設計電子政務網站，給出詳細的設計步驟，字數在5000字左右。題二：結合實例，給出電子政務網站的維護計劃

要求：按照網站維護的方法和步驟，結合實際的電子政務網站，為該網站制定出一個詳細的維護計劃，字數在5000字左右。

題三：網站推廣計劃的設計

網站的推廣方式可以分成四類，即注冊搜索引擎、基于互連網的在線推廣、離線推廣以及整和推廣。注冊搜索引擎作為一種特有的、使用最多的基于互連網的在線推廣方法，在Internet上利用搜索引擎可以有效地進行查詢，查詢結果排在前面的網站被訪問的概率較大。網站的離線推廣包括口頭宣傳、流動宣傳、戶外廣告、通過傳統媒體推廣等方式。

要求：能試結合實際應用，寫出一個網站推廣計劃，字數在5000字左右。

題四：結合實際建立電子政務網站

要求：利用一種網站建設工具，為某政府機構建設一個政務網站，給出簡要的設計思路，并附上設計出的網站（可刻錄為光盤）。

題五：結合電子政務網站設計的實例，給出網站標志的設計方案

要求：按照實際電子政務網站的設計要求給出其標志設計的方法和理由。

題六：試設計一個電子政務網站中的留言板

要求：選擇適當的網站建設工具和數據庫系統，在電子政務網中實現留言板功能：留言可以保存、新建、刪除和被回復，寫出簡要的實現方案，并附上設計出的留言板（可刻錄為光盤）。

題七：結合本部門或地區實際，政府部門如何應對電子政務時代的到來

要求：能結合實際應用，論述政府應采取哪些措施應對電子政務時代的到來，字數在5000字左右。

題八：結合本部門或地區實際，分析電子政務對政府改革的作用

要求：能試結合實際應用展開論述，言之成理、思路清晰，字數在5000字左右。

題九：試論電子政務網站的安全管理

要求：能結合實際應用論述電子政務網站安全管理內容和應采取的措施，言之成理、思路清晰，字數在5000字左右。

題十：電子政務對本地區經濟和社會發展的影響研究

要求：能結合實際應用論述電子政務對本地區經濟和社會發展的影響，言之成理、思路清晰，字數在5000字左右。

上交要求：

打印出來裝訂好交班主任。于10月19日之前交。過期當缺考處理。

裝訂時申請表放在首頁。

第三篇：信息與網絡安全管理規定

計算機與網絡信息安全管理規定（試行）

為了加強中心計算機及網絡信息安全的管理，確保計算機與網絡信息安全穩定的運行，促進醫院信息化建設和信息共享利用，現結合實際情況，制定本管理規定。

第一章 總則

第一條

本辦法適用于中心范圍內的計算機使用、信息采集、管理、利用、安全和隱私保護、網絡安全管理等工作。本規定中的“信息”，是指依據國家法律法規和工作職責，中心在醫療服務和管理過程中產生的基本信息、醫療衛生服務信息等。本規定中的“網絡”是指計算機及其它終端設備的聯網和接入互聯網等。

第二條 任何處（科）室和個人利用計算機以及網絡設備時，應自覺遵守國家相關法規。不得利用計算機以及網絡設備從事危害國家和中心利益的活動,不得危害中心網絡信息系統的安全。任何處（科）室和個人利用計算機以及網絡信息系統制作、復制、傳播和查閱信息時，須遵守國家的《互聯網信息服務管理辦法》。若有違反，將由國家相關部門按規定進行處罰，構成犯罪的，依法追究刑事責任。

第三條 中心信息化建設小組是中心計算機與網絡信息安全的管理機構，負責審議和組織制定醫院計算機與網絡信息安全等方面的發展規劃。

第四條 信息科是中心信息與網絡安全的職能管理部門，負責信息與網絡安全的建設、應用組織和日常管理。第五條

信息科發現影響計算機與網絡信息安全的隱患時，可立即采取各種有效措施予以制止。在緊急情況下，可以就涉及計算機與網絡信息安全的特定事項采取特殊措施進行防范和處理，并視情況予以通報和提出處理建議。

第二章 計算機使用管理

第一條 各處（科）室所使用的計算機及其軟硬件設施，享有日常使用的權利，負有保管的義務。

第二條 計算機開啟關閉應按規定步驟進行，工作人員應規范使用計算機設備。如因操作不當等原因導致設備損壞，將視情節處理。

第三條 各處（科）室計算機實行專人專用，若出現異常和故障情況須及時向信息科報告,不得擅自修改計算機的IP地址和網絡設置參數。

第四條 各處（科）室確需增加計算機設備或網絡終端接口，應向信息科提出申請，經批準后，由信息科人員負責接入和調試。

第五條 禁止私自拆卸和擅自修理計算機，禁止私自更換計算機硬件設備。如需修理或更換，應先向信息科或采購管理部門提出申請，經審批后由相關專業人員負責修理或更換。

第三章 網絡信息安全管理

第一條 網絡信息系統的賬號、密碼等嚴禁外借、外泄，并應定期修改。若因賬號和密碼泄露造成網絡信息系統被更改或造成損失的，由泄密者承擔全部責任。第二條 對網絡信息系統的軟件、設備、設施的安裝、調試以及故障排除等操作由信息科統籌安排相應的技術人員負責。其他任何科室或個人不得自行拆卸、安裝任何軟、硬件設施。

第三條 任何處（科）室和個人不得從事下列（包括但不限于）危害中心網絡信息安全的活動：

1.未經允許，進入醫院網絡信息系統或者使用網絡信息系統資源的；

2.未經允許，對網絡信息系統功能進行刪除、修改或者增加的； 3.未經允許，不得擅自在內網業務系統的設備上裝載其他軟件和移動存儲設備等。

4.未經允許，不得私自架設無線網絡設備和基站

5.未經允許，對網絡信息系統中存儲、處理或者傳輸的數據和應用程序進行刪除、修改或者增加的；

6.禁止將內網業務系統的計算機連接Internet網或其他公共網絡

7.故意制作、傳播計算機病毒等破壞性程序的； 8.其他危害網絡信息系統安全的。

第四條 任何個人不得隨意向外單位或個人提供紙質或電子版的數據庫信息，如確須提供的，需經相關業務分管領導審核、審批同意，并經相關業務科室負責人簽字確認后方可提供。

第五條 信息科要定期檢查各計算機終端運行情況，發現問題，及時排除。第六條 未經允許，禁止開設文件服務器、共享服務器、下載服務器、FTP服務器、WEB服務器、E-MAIL服務器、游戲服務器、媒體服務器、網絡磁盤、聊天服務器等各種對外服務器。

第七條 信息科要加強數據庫系統和機房的管理，確保數據庫系統的安全和機房的正常運行。

第八條 在網絡信息系統設施附近進行房屋維修、工程改造及其他活動，不得危害網絡信息系統（含弱電井內設施）的安全和管理，不得影響網絡信息系統設備的使用。如無法避免而影響信息網絡系統設施安全和運行的作業和工程，須事先通知信息科，經信息科負責人同意并采取保護措施和方案后，方可實施作業。

第九條 違反本規定，視情況予以處理和通報，造成損失的，追究當事人責任。

第四章 附 則

本規定由信息科負責解釋，信息科可根據本規定制訂具體的實施細則和工作制度。

本辦法自發文之日起實行。

第四篇：03344信息與網絡安全管理1004

計算機網絡定義：凡將地理位置不同的具有獨立功能的計算機系統通過信息設備和通信線路連接起來，在網絡軟件支持下進行數據通信，資源共享和協同工作的系統。

網絡安全的五個屬性：可用性，機密性，完整性，可靠性，不可抵賴性，1、網絡安全威脅定義：指某個實體對某一網絡資源的機密性，完整性，可用性，及可靠性，等可能造成的危害，安全威脅分為故意的和偶然的。

2、哪種威脅是被動威脅“截獲，纂改，偽造，主動的是：中斷

3、安全威脅的主要表現形式：授權侵犯，旁路控制，拒絕服務，竊聽，電磁泄漏，非法使用，信息泄漏，完整性破壞，假冒，物理浸入，重放，否認，資源耗盡，業務流分析，特洛伊木馬，陷門，人員疏忽，4、什么是重放：出于非法目的而重新發送截獲的合法通信數據的拷貝，5、什么是陷門：在某個系統或文件中預先設置的“機關”特定的輸入時，允許違反安全計策。，使得當提供

6、網絡安全策略包括哪4方面：物理安全策略，訪問控制策略，信息加

密策略，安全管理策略。

7、安全訪問策略就是一組用于確認主體是否對客體具有訪問權限的規

則。

8、P2DR一的安全策略的控制和指導下，模型的4部分，它的基本思想：一個系統的安全應該在一個統

綜合應用各種安全技術對系統進行保護，同時利用檢測工具來監視和評估系統的安全狀態，并通過適當的響應機制來將系統調整到相對“最安全”和“風險最低”的狀態。

9、PDRR模型的4部分：防護，檢查，響應，恢復。

10、常用網絡服務有哪些，它們的作用。：Telnet.FTPE—Mailwww11、DNS

安全訪問策略就是一組用于確認主體是否對客體具有訪問權限的規

則。

12、IP分段偏移，生命期，頭部檢驗和，源頭結構:：版本，頭長度，服務類型，風包總長度，標示，標志，IP地址。

13、TCP頭結構：源端口，目的端口，順序號，確認號，頭長度，1415、、ping ftp命令中上傳和下載指令分別是什么。指令的功能：是用來檢測當前主機與目的主機之間的連同情況。Put和get16、怎么利用Tracert指令來確定從一個主機到其他主機的路由。：通過向

目標發送不同IP 生存時間（TTL）值的ICMP數據包，Tracert診斷程序確定到目標所采取的路由。

17、什么是基于密鑰的算法：密碼體制的加密，解密算法是公開的，算法的可變參數是保密的，密碼系統的安全性僅依賴于密鑰的安全性，這樣的算法稱為基于密鑰的算法，分為兩種：對稱加密算法和非對稱算法。1819、、什么是對稱加密算法、非對稱加密算法：加密密鑰和解密密鑰相同對DES、三重DES進行窮舉攻擊，各需要多少次。：2 112和2 64。20、給定p、q、e、M，設計一個RSA算法，求公鑰、私鑰，并利用RSA

進行加密和解密：公鑰：n=P*q（p-1）（q-1）))加密c=m ee=（p-1）（q-1）(mod n)解密m=c d

私鑰 d ： e-1(mod n)

((mod21、使用對稱加密和仲裁者實現數字簽名的步驟A用Kac加密準備發給

B吧這個解密的消息及自己的證明的消息M，并將之發給仲裁者，仲裁者用S用Kac加密，仲裁者吧加密的消Kac解密消息，仲裁者息發給B，B用與仲裁者共享的密鑰Kac解密收到的消息，就可以看到來自于A的消息M和來自仲裁者的證明S。

22、使用公開密鑰體制進行數字簽名的步驟：A 用他的私人密鑰加密消

息，從而對文件簽名。A將簽名的消息發送給B，B用A 的公開密鑰解消息，從而驗證簽名。

23、使用公開密鑰體制與單向散列函數進行數字簽名的步驟A使消息M

通過單向散列函數H，產生散列值，幾消息的指紋或稱消息驗證碼，A字簽名一起發給使用私人密鑰對散列值進行加密，形成數字簽名B，B 收到消息和簽名后，用A的公開密鑰解密數S，A吧消息與數字簽名S，再用同樣的算法對消息運算生成算列值，B吧自己生成的算列值域解密的數字簽名想比較，看是否匹配，從而驗證簽名。

24、Kerberos定義。：是為了TCP/IP網絡設計的基于對稱密碼體系的可信

第三方鑒別協議，負責在網絡上進行可信仲裁及會發密鑰的分配。

25、PKI它能夠為所有網絡應用提供加密和數字簽名等密碼服務及所必需的定義：又稱公鑰基礎設施，是一種遵循既定標準的密鑰管理平臺，密鑰和證書管理體系。2627、、Windows 2000 Windows 2000中用戶證書主要用于驗證消息發送者的身份認證的兩個過程是：交互式登錄，網絡身份認證。SID28、Windows 2000安全系統支持Kerberos V5、安全套接字層/傳輸層安全

（SSL/TLS）和NTLM三種身份認證機制

29、Windows 2000提供哪些功能確保設備驅動程序和系統文件保持數字

簽名狀態：Windows文件保護，系統文件檢查程序，文件簽名驗證。3031、、WINDOWS使用文件加密系統對文件進行解密的步驟。主機推薦使用的文件系統格式是：要解密一個文件，首先

NTFS 喲啊對文件加密密鑰進行解密，當用戶的私鑰與這個公鑰匹配時，文件加密密鑰進行解密，用戶并不是唯一能對文件加密密鑰進行解密的人，當文件加密密鑰被解密后，可以被用戶或恢復代理用于文件資料的解密。

32、常見的漏，拒絕服務，特權升級，Web服務安全威脅有哪些：電子欺騙，纂改，否認，信息泄

33、CGI提供了動態服務，可以在用戶和Web服務器之間交互式通信

34、JavaScript將用戶的本地硬盤上的文件上載到網絡上的任何主機，存在的5個主要的安全漏洞。：JavaScript可以欺騙用戶，JavaScript能獲得用戶本地硬盤的目錄列表，JavaScript能監視用戶某段時間沒訪問的所有網頁，JavaScript能夠觸發Netscape Navigator送出電子郵件行星而不需要經過用戶允許，嵌入網頁的JavaScript代碼是公開的，缺乏安全性

35、什么是發的一種機制，用來改善Cookies，使用CookiesHTTP有什么安全隱患。是協議的無狀態性，Netscape公司開

36、IIS的安全配置主要包括哪幾個內容：刪除不必要的虛擬目錄，刪除

危險的IIS組件，為IIS 中的文件分類設置權限，刪除不必要的應用程序映射，保護日志安全，37、SSL結構，包括SSL協議的層次，主要特征：利用認證技術識別身

份，利用加密技術保證通道的保密性，利用數字簽名技術保證信息傳送的完整性，包括三個結構：SSL握手協議，SSL改變密碼規格協議，SSL報警協議。3839、、SSL什么是會話通過握手協議來創建SET，它主要提供哪三種服務： SET是為了保護用戶使用信用

卡在互聯網上進行安全的交易支付而設計的加密與安全規范，三種服務：在參與交易的各方之間提供安全的通信通道，使用X。509V3證書為用戶提供一種信任機制，保護隱私信息。

40、SET的參與者：持卡人，商家，發卡機構，代理商，支付網關，證書

權威，4142、、SETSET協議使用協議使用SHA-1X.509v3散列碼和和RSA數字簽名來提供持卡人賬戶認證RSA數字簽名來提供消息完整性

43、雙重簽名機制的主要特點：雙重簽名機制可以巧妙的把發送給不同接

受者的兩條消息聯系起來，而又很好的保護了消費者的隱私

44、電子郵件不是一種“端到端”的服務，而是被稱為“存儲轉發”服務。

45、郵件網關的功能：預防功能，監控功能，跟蹤功能，郵件功能，46、根據用途，郵件網關可分為哪三種：普通郵件網關，郵件過濾網關，發垃圾郵件網關，47、SMTP協議與POP3協議的區別：SMTP協議用于郵件服務器之間傳

送郵件，POP3協議用于用戶從郵件服務器上把郵件存儲到本地主機。

48、什么是電子郵件“欺騙”：是在電子郵件中改變名字，使之看起來是從

某地或某發來的行為，有三個目的：隱藏自己的身份，冒充比人，電子郵件欺騙能被看做是社會工程的一種表現形式，49、進行電子郵件欺騙的三種基本方法：相似的電子郵件地址，修改郵件

客戶，遠程登錄到25端口。5051、、PGPPGP通過使用加密簽字實現安全的三個主要功能：使用強大的E-maiIDEA：加密算法對存儲在計算機上的文件加密，使用公開密鑰加密技術隊電子郵件進行加密，使用公開密鑰加密技術對文件或電子郵件做數字簽名。

52、防火墻定義：指隔離在內部網和外部網絡之間的一道防御系統，它能

擋住來自外部網絡的攻擊和入侵，保障內部網絡的安全。

53、什么是數據驅動攻擊：據中傳輸到因特網主機上，入侵者把一些具有破壞性的數據藏匿在普通數

當這些數據被激活時就會發生數據驅動攻擊。

54、防火墻的功能：務和非法用戶，可以限制未授權用戶進入內部網絡，防止入侵者接近內部網絡的防御設施，過濾掉不安全服

對網絡攻擊進行檢查和警告，限制內部用戶訪問特殊站點，記錄通過防火墻的信息內容和活動，為監視因特網安全提供方便。

55、防火墻應的特性：所有在內部網絡和外部網絡之間傳輸的數據都必須

通過防火墻，只有被授權的合法數據，即防火墻安全策略允許的數據，可以通過防火墻，防火墻本身具有預防入侵的功能，不受各種攻擊的影響，人機界面好，用戶配置使用方便，易管理。

56、防火墻的缺點：不能防范惡意的內部用戶，不能防范不通過防火墻的鏈接，不能防范全部的威脅，防火墻不能防范病毒。

57、防火墻技術主要有包過濾防火墻和代理服務器

58、包過濾防火墻的定義：又稱網絡層防火墻，它對進出內部網絡的所有

信息進行分析，并按照一定的信息過濾規則對信息進行限制，允許授權信息通過，拒絕非授權信息通過，59、包過濾的定義：在網絡層中對數據包實施有選擇的通過，依據系統事

先設定好的過濾規則，檢查數據流中的每個包，根據包頭信息來確定是否允許數據包通過，拒絕發送可疑 的包。60、包過濾防火墻的優點：一個屏蔽路由器能保護整個網絡，包過濾對用

戶透明，屏蔽路由器速度快，效率高，61、包過濾型防火墻工作在網絡層

62、三種常見的防火墻體系結構：雙重宿主主機結構，屏蔽主機結構，屏

蔽子網結構，63、屏蔽主機結構由什么組成：一臺堡壘主機和過濾功能屏蔽路由器。64、分布式防火墻的優點：增強的系統安全性，提高了系統性能，系統的擴展性，應用更為廣泛，支持VPN通信。

65、病毒的定義：實際是一種計算機程序，是一段可執行的指令代碼。66、病毒的生命周期：包括隱藏階段，傳播階段，觸發階段，執行階段

四個階段。

67、病毒的特征：傳染性，破壞性，潛伏性，可執行性，可觸發性，隱蔽

性，6869、、病毒的分類，蠕蟲病毒屬于一種網絡病毒，病毒的主要傳播途徑：通過移動存儲設備來傳播，CIH屬于文件型病毒網絡傳播，無線傳

播，70、蠕蟲病毒的基本程序結構包括哪些模塊：功能模塊。

傳播模塊，隱藏模塊，目的71、獲取口令的常用方法：通過網絡監聽非法得到用戶口令，口令的窮舉

攻擊，利用系統管理員的失誤。

72、端口掃描器通常分為哪三類：數據庫安全掃描器，操作系統安全掃描

器和網絡安全掃描器。

73、端口掃描技術包括：掃描 ,IP段掃描,TCPTCP 反向connectident掃描（）掃描,FTP返回攻擊 ,TCP SYN,UDP ICMP掃描,TCP 端口不FIN

能到達掃描,ICMP echo掃描。

74、如何發現懷疑運行監聽程序的主機，用正確的Sniffer：網絡通信掉包率特別高，IP地址和錯誤的物理地址去網絡帶寬出現異常，對于

PING，往網上發送大量 包含不存在的物理地址的包，由于監聽程序喲啊處理這些包，將導致性能下降，通過比較前后蓋機器的性能加以判斷。許多探測Sniffer的應用程序可以用來幫助探測Sniffer。75、防御網絡監聽的方法：從邏輯或物理上對網絡分段，以交換式集線器

代替共享式集線器，使用加密技術，劃分VLAN。76、什么是拒絕服務攻擊：指一個用戶占據了大量的共享資源，是系統沒

有剩余的資源給其他用戶提供服務的一種攻擊方式，7778、、分布式拒絕服務攻擊體系包括哪三層：攻擊者，主控者，代理端，木馬入侵原理：配置木馬，傳播木馬，運行木馬，信息泄漏，建立連

接，遠程控制。

79、入侵檢測定義：統中的若干關鍵點收集信息，即是對入侵行為的發覺，通過對這些信息的分析來發現網絡或系它在計算機網絡或計算機系

統中是否有違反安全策略的行為和被攻擊的跡象。8081、、入侵檢測過程包括信息收集和信號分析入侵檢測過程中的三種信號分析方法：模式匹配，統計分析，完整性

分析。

82、按照數據來源，統，基于網絡的入侵檢測系統，采用上述兩種數據來源入侵檢測系統可分為哪三種：基于主機的入侵檢測系的分布式的入侵檢測系統。

83、什么是模式匹配方法：誤用模式數據庫進行比較，從而發現違背安全策略的行為。就是將收集到得信息與已知的網絡入侵和系統

84、基于網絡的入侵檢測系統的組成：網絡安全數據庫，安全配置機構器，探測器，分析引擎，85、網絡管理有哪五大功能：配置管理，性能管理，故障管理，計費管理，安全管理。

86、OSI管對象資源的感念性存儲稱為管理信息庫（系統的管理結構：管理系統中的代理實現對被管對象的訪問，MIB），管理者和代理之被

間使用OSI通信協議棧進行通信，其中，CMIP是網絡管理的應用層協議，在OSI 網絡管理中起關鍵作用。

87、TCP/IP網絡中應用最為廣泛的網絡管理協議是SNMP。

88、網絡管理體系結構的三種模型：集中式體系結構，分層式體系結構，分布式體系結構。

第五篇：信息網絡安全管理規定

信息網絡安全管理規定

第一章總則

第一條為了加強我院院網網絡安全與信息安全以及計算機信息保密工作,依照《中華人民共和國計算機信息系統安全保護條例》、《中華人民共和國計算機信息網絡國際聯網管理暫行規定》、《中華人民共和國計算機信息網絡國際聯網安全保護管理辦法》、《計算機信息系統國際聯網保密管理規定》、制定本管理規定。

第二條本管理規定所引用的術語的含義按第一條所引用的國家法規解析。

第三條本規定的適用對象院網的用戶。

第四條院網的所有工作人員和用戶都有義務和責任認真執行本管理規定，必須遵守國家有關法律、法規，嚴格執行安全保密制度，并對所使用的計算機的管理、使用行為與所提供的網上信息負責。

第五條將根據國家有關計算機信息網絡安全的法律與法規的變動情況，適時修改本規定的內容。

第六條各個部門應積極采取各種技術和行政手段來保證我院信息安全。

第七條 院網信息網絡安全接受并配合國家有關部門依法進行監督檢查。

第二章管理機構與職能

第八條信息網絡安全實行統一領導、統一規劃、分級管理制度。

第九條醫院設立計算機信息網絡安全領導小組，由醫院領導、各科室主要負責人組成。領導小組下設網絡安全組與信息安全組。網絡安全日常管理工作由技術服務中心負責，信息安全的日常工作由信息安全組負責。

第十條領導小組負責院的信息網絡安全的領導工作，制定各項管理政策和整體規劃，討論解決安全管理中的重大問題。

第十一條網絡安全組由技術服務中心，各科室的工作人員組成，參加人員稱為網絡安全人員。

第十二條信息安全組由各個業務部門負責網上信息的發布、監督與保衛部門的工作人員組成，參加人員稱為信息安全人員。

第十三條各部門的網絡安全員受權負責本部門計算機網絡設備、計算機系統與業務應用系統的安全與保密工作。

第十四條信息安全員受權負責本部門的計算機信息、網上信息的檢查、監督與監控等安全工作。

第十五條設立院級網絡安全員、信息安全員各一名，分別負責、協調全孟的網絡安全與信息安全的日常工作以及對外聯系的工作。人員分別由負責日常工作的技術服務中心與保衛科人員擔任。

第十六條院信息網絡安全實行責任人制度，各科室主要領導為部門第一責任人。

第三章信息網絡安全工作制度

第十七條 院信息網絡安全領導小組定期檢查全校的計算機信息網絡安全工作。

第十八條 技術服務中心定期舉行計算機系統安全的技術培訓與政策教育的學習活動。

第十九條 技術服務中心實行值班制度，負責院網絡安全與信息安全的值班工作。

第二十條 各個部門的系統管理員、安全員做好本部門的計算機系統與網絡系統的信息保密工作，對系統的結構、設備、系統密碼、用戶信息、系統的重要數據做好備案工作，備案信息由部門保管。系統管理員、安全員在調離本部門工作時，應移交上述材料，并對上述信息負有保密責任。

第二十一條 各部門的服務器未經部門領導批準，不得安裝其它與業務系統無關的軟件與設備。

第二十二條 各部門應制定本部門的計算機信息數據備份策略，定期做好數據備份，對使用的系統（硬件、軟件）做好系統安全的升級工作。

第二十三條 醫院各部門與計算機用戶應做好計算機的病毒防范工作，定期查毒。各部門應設專人負責病毒軟件保管、定期升級的安全工作。

第二十四條 使用計算機網絡進行文件與數據傳輸時，應該做好病毒的清查工作。在計算機軟件與硬件使用前，應做好病毒與其它有害數據的檢測工作。

第二十五條 如發現不能清除的病毒，應對文件數據采取保護措施，追查病毒的來源；并在24小時內通知技術服務中心與保衛部門，由院部門向上級匯報。

第二十六條 院網絡發布的信息分為綜合信息與專欄信息兩大類。綜合信息指院的政策、法規、對外宣傳與報道、院內部文件、新聞信息等；專欄信息指經院領導同意專門發布的其他信息信息。

第二十七條各部門管理和發布的信息應具有真實性、完整性和可靠性。第二十八條上網信息實行責任簽發制度。網絡信息安全組長負責院綜合信息的安全審核、簽發。綜合信息需有文字材料備案，并實行年終歸檔。專欄信息由校領導簽發后由技術服務中心負責發布。

第二十九條BBS系統的信息由技術服務中心總審核，對這些系統中出現的反動、黃色等有害信息應及時刪除和過濾。

第三十條BBS實行欄目與版主專人負責制，并對其欄目內容的安全負責，版主負責人由技術服務中心審批設立、并備案。

第三十一條各部門對出現的計算機安全事故，應及時上報保衛部門與技術服務中心，不得隱瞞。

第三十二條院保衛、保密部門做好院網、特別是重點部門、要害部門的計算機信息的保密監督檢查工作。

第四章用戶安全責任制度

第三十三條 我院網用戶均要對其使用計算機的管理、安全與網絡行為負責。第三十四條院各科室執行登記制度。

第三十五條任何單位和個人，不得從事下列活動：

（1）利用計算機信息網絡制作、傳播、復制反動與黃色等有害信息；

（2）非法侵入網絡系統與信息系統；

（3）非法竊取計算機與網絡系統中信息資源；

（4）違反國家規定，對計算機信息系統功能進行增加、刪除、修改、干擾，影響計算機信息系統正常運行；

（5）違反國家規定，對計算機信息系統中存儲、處理或者傳輸的數據和應用程序進行增加、刪除、修改、復制等；

（6）未經授權查閱他人電子郵箱；

（7）未經批準，私設網站與發布信息。

（8）冒用他人名義發送電子郵件；

（9）故意干擾計算機信息網絡暢通；

（10）瀏覽反動、黃色的網站。

（11）從事其它危害網絡與信息系統安全的活動。

第三十六條院所有的計算機用戶有義務向網絡安全員、技術服務中心與保衛部門舉報違法犯罪行為與有害信息。

第五章獎勵與處罰

第三十七條我院對出現的計算機安全事故實行事故責任追究制度，按院的有關規定執行。

第三十八條我院把信息網絡安全工作納入日常工作，并由有關部門進行年終考評，對工作完成好的部門與個人進行表揚獎勵，對工作制度落實不好的部門提出整改、批評、警告等。

第六章附則

第三十九條本管理規定由院就計算機信息網絡安全領導小組解釋。第四十條本規定自公布之日起施行。

義烏市皮膚病醫院

稠江中心衛生院