第一篇：信息安全管理基礎

第二章 信息安全管理基礎

一、判斷題

1.Windows2000/xp系統提供了口令安全策略，以對帳戶口令安全進行保護。

2.口令認證機制的安全性弱點，可以使得攻擊者破解合法用戶帳戶信息，進而非法獲得系統和資源訪問權限。

3.PKI系統所有的安全操作都是通過數字證書來實現的。

4.PKI系統使用了非對稱算法、對稱算法和散列算法。

5.信息安全的層次化特點決定了應用系統的安全不僅取決于應用層安全機制，同樣依賴于底層的物理、網絡和系統等層面的安全狀況。

6.按照BS 7799標準，信息安全管理應當是一個持續改進的周期性過程。

7.網絡邊界保護中主要采用防火墻系統，為了保證其有效發揮作用，應當避免在內網和外網之間存在不經過防火墻控制的其他通信連接。

8.網絡邊界保護中主要采用防火墻系統，在內網和外網之間存在不經過防火墻控制的其他通信連接，不會影響到防火墻的有效保護作用。

9.信息技術基礎設施庫（ITIL），是由英國發布的關于IT服務管理最佳實踐的建議和指導方針，旨在解決IT服務質量不佳的情況。

10.美國國家標準技術協會NIST發布的《SP 800-30》中詳細闡述了IT系統風險管理內容。

11.防火墻在靜態包過濾技術的基礎上，通過會話狀態檢測技術將數據包的過濾處理效率大幅提高。

12.脆弱性分析技術，也被通俗地稱為漏洞掃描技術。該技術是檢測遠程或本地系統安全脆弱性的一種安全技術。

二、單選題

1.下面所列的 安全機制不屬于信息安全保障體系中的事先保護環節。A.殺毒軟件 B.數字證書認證 C.防火墻 D.數據庫加密

2.信息安全管理領域權威的標準是。A.ISO 15408

B.ISO 17799/ISO 27001 C.ISO 9001 D.ISO 1400

13.ISO 17799/ISO 27001最初是由 提出的國家標準。A.美國 B.澳大利亞 C.英國 D.中國

4.ISO 17799的內容結構按照 進行組織。A.管理原則 B.管理框架

C.管理域—控制目標—控制措施 D.管理制度

5.對于信息安全管理負有責任。A.高級管理層 B.安全管理員 C.IT管理員

D.所有與信息系統有關人員

6.對于提高人員安全意識和安全操作技能來說，以下所列的安全管理最有效的是。A.安全檢查 B.教育與培訓 C.責任追究 D.制度約束

7.安全策略是得到大部分需求的支持并同時能夠保護企業的利益。A.有效的 B.合法的 C.實際的 D.成熟的8.制定災難恢復策略，最重要的是要知道哪些是商務工作中最重要的設施，在發生災難后，這些設施的。A.恢復預算是多少 B.恢復時間是多長 C.恢復人員有幾個 D.恢復設備有多少

9.防止靜態信息被非授權訪問和防止動態信息被截取解密是。A.數據完整性 B.數據可用性 C.數據可靠性 D.數據保密性

10.用戶身份鑒別是通過 完成的。A.口令驗證

B.審計策略

C.存取控制 D.查詢功能

11.網絡數據備份的實現主要需要考慮的問題不包括。A.架設高速局域網

B.分析應用環境 C.選擇備份硬件設備 D.選擇備份管理軟件

12.對網絡層數據包進行過濾和控制的信息安全技術機制是。A.防火墻 B.IDS C.Sniffer D.IPSec

13.下列不屬于防火墻核心技術的是。A.（靜態/動態）包過濾技術

B.NAT技術 C.應用代理技術 D.日志審計

14.應用代理防火墻的主要優點是。A.加密強度更高

B.安全控制更細化、更靈活 C.安全服務的透明性更好 D.服務對象更廣泛

15.下列關于用戶口令說法錯誤的是。A.口令不能設置為空

B.口令長度越長，安全性越高

C.復雜口令安全性足夠高，不需要定期修改 D.口令認證是最常見的認證機制

16.在使用復雜度不高的口令時，容易產生弱口令的安全脆弱性，被攻擊者利用，從而破解用戶帳戶，下列 具有最好的口令復雜度。A.morrison B.Wm.$*F2m5 C.27776394 D.wangjing1977

17.按照通常的口令使用策略，口令修改操作的周期應為 天。A.60 B.90 C.30 D.120

18.對口令進行安全性管理和使用，最終是為了。A.口令不被攻擊者非法獲得

B.防止攻擊者非法獲得訪問和操作權限 C.保證用戶帳戶的安全性 D.規范用戶操作行為

19.人們設計了，以改善口令認證自身安全性不足的問題。A.統一身份管理 B.指紋認證 C.數字證書認證 D.動態口令認證機制

20.PKI是。

A.Private Key Infrastructure B.Public Key Institute C.Public Key Infrastructure D.Private Key Institute

21.公鑰密碼基礎設施PKI解決了信息系統中的 問題。A.身份信任 B.權限管理 C.安全審計 D.加密

22.PKI所管理的基本元素是。A.密鑰 B.用戶身份 C.數字證書

D.數字簽名

23.最終提交給普通終端用戶，并且要求其簽署和遵守的安全策略是。A.口令策略 B.保密協議 C.可接受使用策略 D.責任追究制度

24.下列關于信息安全策略維護的說法，是錯誤的。A.安全策略的維護應當由專門的部門完成

B.安全策略制定完成并發布之后，不需要再對其進行修改 C.應當定期對安全策略進行審查和修訂 D.維護工作應當周期性進行

25.鏈路加密技術是在OSI協議層次的第二層，數據鏈路層對數據進行加密保護，其處理的對象是。A.比特流 B.IP數據包 C.數據幀 D.應用數據

26.入侵檢測技術可以分為誤用檢測和 兩大類。

A.病毒檢測 B.詳細檢測 C.異常檢測 D.漏洞檢測

27.安全評估技術采用 這一工具，它是一種能夠自動檢測遠程或本地主機和網絡安全性弱點的程序。A.安全掃描器 B.安全掃描儀 C.自動掃描器 D.自動掃描儀

28.最好地描述了數字證書。

A.等同于在網絡上證明個人和公司身份的身份證

B.瀏覽器的一標準特性，它使得黑客不能得知用戶的身份 C.網站要求用戶使用用戶名和密碼登陸的安全機制 D.伴隨在線交易證明購買的收據

29.根據BS 7799的規定，建立的信息安全管理體系ISMS的最重要特征是。A.全面性 B.文檔化 C.先進性 D.制度化

30.根據BS 7799的規定，對信息系統的安全管理不能只局限于對其運行期間的管理維護，而要將管理措施擴展到信息系統生命周期的其他階段，BS 7799中與此有關的一個重要方面就是。A.訪問控制 B.業務連續性

C.信息系統獲取、開發與維護 D.組織與人員

31.關于口令認證機制，下列說法正確的是。A.實現代價最低，安全性最高 B.實現代價最低，安全性最低 C.實現代價最高，安全性最高 D.實現代價最高，安全性最低

32.根據BS 7799的規定，訪問控制機制在信息安全保障體系中屬于 環節。A.保護 B.檢測 C.響應 D.恢復

33.身份認證的含義是。A.注冊一個用戶 B.標識一個用戶 C.驗證一個用戶 D.授權一個用戶

34.口令機制通常用于。A.認證 B.標識 C.注冊 D.授權

35.對日志數據進行審計檢查，屬于 類控制措施。A.預防 B.檢測 C.威懾 D.修正

36.關于入侵檢測技術，下列描述錯誤的是。A.入侵檢測系統不對系統或網絡造成任何影響

B.審計數據或系統日志信息是入侵檢測系統的一項主要信息來源 C.入侵檢測信息的統計分析有利于檢測到未知的入侵和更為復雜的入侵 D.基于網絡的入侵檢測系統無法檢查加密的數據流

37.安全掃描可以。

A.彌補由于認證機制薄弱帶來的問題 B.彌補由于協議本身而產生的問題

C.彌補防火墻對內網安全威脅檢測不足的問題 D.掃描檢測所有的數據包攻擊，分析所有的數據流

38.下述關于安全掃描和安全掃描系統的描述錯誤的是。A.安全掃描在企業部署安全策略中處于非常重要的地位 B.安全掃描系統可用于管理和維護信息安全設備的安全

C.安全掃描系統對防火墻在某些安全功能上的不足不具有彌補性 D.安全掃描系統是把雙刃劍

39.在ISO/IEC 17799中，防止惡意軟件的目的就是為了保護軟件和信息的。A.安全性

B.完整性

C.穩定性

D.有效性

40.在生成系統帳號時，系統管理員應該分配給合法用戶一個，用戶在第一次登錄時應更改口令。A.唯一的口令

B.登錄的位置

C.使用的說明

D.系統的規則

41.關于防火墻和VPN的使用，下面說法不正確的是。A.配置VPN網關防火墻的一種方法是把它們并行放置，兩者獨立 B.配置VPN網關防火墻的一種方法是把它們串行放置，防火墻在廣域網一側，VPN在局域網一側

C.配置VPN網關防火墻的一種方法是把它們串行放置，防火墻在局域網一側，VPN在廣域網一側 D.配置VPN網關防火墻的一種方法是把它們并行放置，兩者要互相依賴

42.環境安全策略應該。A.詳細而具體 B.復雜而專業 C.深入而清晰 D.簡單而全面

43.是一種架構在公用通信基礎設施上的專用數據通信網絡，利用IPSec等網絡層安全協議和建立在PKI上的加密與簽名技術來獲得私有性。A.SET B.DDN C.VPN D.PKIX

44.策略應該清晰，無須借助過多的特殊—通用需求文檔描述，并且還要有具體的。

A.管理支持

B.技術細節

C.實施計劃

D.被充內容

45.在一個企業網中，防火墻應該是 的一部分，構建防火墻時首先要考慮其保護的范圍。A.安全技術 B.安全設置 C.局部安全策略 D.全局安全策略

46.信息安全策略的制定和維護中，最重要是要保證其 和相對穩定性。A.明確性 B.細致性 C.標準性 D.開放性

47.是企業信息安全的核心。A.安全教育 B.安全措施 C.安全管理 D.安全設施

48.許多與PKI相關的協議標準（如PKIX、S/MIME、SSL、TLS、IPSec）等都是在 基礎上發展起來的。

A.X.500 B.X.509 C.X.519 D.X.505

49.是PKI體系中最基本的元素，PKI系統所有的安全操作都是通過該機制來實現的。

A.SSL B.IARA C.RA D.數字證書

50.基于密碼技術的訪問控制是防止 的主要防護手段。A.數據傳輸泄密 B.數據傳輸丟失 C.數據交換失敗 D.數據備份失敗

51.避免對系統非法訪問的主要方法是。A.加強管理 B.身份認證 C.訪問控制 D.訪問分配權限

52.在一個信息安全保障體系中，最重要的核心組成部分為。A.技術體系 B.安全策略 C.管理體系 D.教育與培訓

53.下列 不屬于物理安全控制措施。A.門鎖 B.警衛 C.口令 D.圍墻

54.VPN是 的簡稱。A.Visual Private Network B.Virtual Private Network C.Virtual Public Network D.Visual Public Network

55.部署VPN產品，不能實現對 屬性的需求。A.完整性 B.真實性 C.可用性 D.保密性

56.是最常用的公鑰密碼算法。A.RSA B.DSA C.橢圓曲線 D.量子密碼

57.PKI的主要理論基礎是。A.對稱密碼算法 B.公鑰密碼算法 C.量子密碼 D.摘要算法

58.PKI中進行數字證書管理的核心組成模塊是。A.注冊中心RA B.證書中心CA C.目錄服務器 D.證書作廢列表

59.手段，可以有效應對較大范圍的安全事件的不良影響，保證關鍵服務和數據的可用性。A.定期備份 B.異地備份

C.人工備份 D.本地備份

60.信息安全評測標準CC是 標準。A.美國 B.國際 C.英國 D.澳大利亞

三、多選題

1.用于實時的入侵檢測信息分析的技術手段有。

A.模式匹配 B.完整性分析

C.可靠性分析

D.統計分析

E.可用性分析

2.典型的數據備份策略包括。A.完全備份 B.增量備份 C.選擇性備份 D.差異備份 E.手工備份

3.安全脆弱性，是指安全性漏洞，廣泛存在于。A.協議設計過程 B.系統實現過程 C.運行維護過程 D.安全評估過程 E.審計檢查過程

4.信息安全技術根據信息系統自身的層次化特點，也被劃分了不同的層次，這些層次包括。A.物理層安全 B.人員安全 C.網絡層安全 D.系統層安全 E.應用層安全

5.物理層安全的主要內容包括。A.環境安全 B.設備安全 C.線路安全 D.介質安全 E.人員安全

6.根據BS 7799的規定，信息安全管理體系ISMS的建立和維護，也要按照PDCA的管理模型周期性進行，主要包含 環節。A.策略Policy B.建立Plan C.實施Do D.檢查Check E.維護改進Act

7.在BS 7799中，訪問控制涉及到信息系統的各個層面，其中主要包括。A.物理訪問控制 B.網絡訪問控制 C.人員訪問控制 D.系統訪問控制 E.應用訪問控制

8.英國國家標準BS 7799，經國際標準化組織采納為國家標準。A.ISO 17799 B.ISO 15408 C.ISO 13335 D.ISO 27001 E.ISO 24088

9.為了正確獲得口令并對其進行妥善保護，應認真考慮的原則和方法有。A.口令/帳號加密 B.定期更換口令

C.限制對口令文件的訪問

D.設置復雜的、具有一定位數的口令

10.關于入侵檢測和入侵檢測系統，下述正確的選項是。A.入侵檢測收集信息應在網絡的不同關鍵點進行 B.入侵檢測的信息分析具有實時性

C.基于網絡的入侵檢測系統的精確性不及基于主機的入侵檢測系統的精確性高

D.分布式入侵檢測系統既能檢測網絡的入侵行為，又能檢測主機的入侵行為

E.入侵檢測系統的主要功能是對發生的入侵事件進行應急響應處理

11.目前廣泛使用的主要安全技術包括。A.防火墻 B.入侵檢測 C.PKI D.VPN E.病毒查殺

12.基于角色對用戶組進行訪問控制的方式有以下作用：。A.使用戶分類化 B.用戶的可管理性得到加強

C.簡化了權限管理，避免直接在用戶和數據之間進行授權和取消 D.有利于合理劃分職責 E.防止權力濫用

13.在網絡中身份認證時可以采用的鑒別方法有。A.采用用戶本身特征進行鑒別 B.采用用戶所知道的事進行鑒別 C.采用第三方介紹方法進行鑒別 D.使用用戶擁有的物品進行鑒別 E.使用第三方擁有的物品進行鑒別

14.在ISO/IEC 17799標準中，信息安全特指保護。A.信息的保密性 B.信息的完整性 C.信息的流動性 D.信息的可用性

15.PKI是生成、管理、存儲、分發和吊銷基于公鑰密碼學的公鑰證書所需要的 的總和。A.硬件 B.軟件 C.人員 D.策略 E.規程

16.SSL主要提供三方面的服務，即。

A.數字簽名

B.認證用戶和服務器 C.網絡傳輸 D.加密數據以隱藏被傳送的數據

E.維護數據的完整性

17.經典密碼學主要包括兩個既對立又統一的分支，即。

A.密碼編碼學

B.密鑰密碼學

C.密碼分析學

D.序列密碼

E.古典密碼

18.有多種情況能夠泄漏口令，這些途徑包括。A.猜測和發現口令

B.口令設置過于復雜 C.將口令告訴別人 D.電子監控 E.訪問口令文件

19.一個安全的網絡系統具有的特點是。A.保持各種數據的機密

B.保持所有信息、數據及系統中各種程序的完整性和準確性 C.保證合法訪問者的訪問和接受正常的服務 D.保證網絡在任何時刻都有很高的傳輸速度

E.保證各方面的工作符合法律、規則、許可證、合同等標準

20.任何信息安全系統中都存在脆弱點，它可以存在于。A.使用過程中 B.網絡中 C.管理過程中 D.計算機系統中 E.計算機操作系統中

21.根據采用的技術，入侵檢測系統有以下分類：。A.正常檢測 B.異常檢測 C.特征檢測 D.固定檢測 E.重點檢測

22.在安全評估過程中，安全威脅的來源包括。A.外部黑客 B.內部人員 C.信息技術本身 D.物理環境 E.自然界

23.安全評估過程中，經常采用的評估方法包括。A.調查問卷 B.人員訪談

C.工具檢測 D.手工審核 E.滲透性測試

24.網絡入侵檢測系統，既可以對外部黑客的攻擊行為進行檢測，也可以發現內部攻擊者的操作行為，通常部署在。A.關鍵服務器主機 B.網絡交換機的監聽端口 C.內網和外網的邊界 D.桌面系統 E.以上都正確

25.IPSec是網絡層典型的安全協議，能夠為IP數據包提供 安全服務。A.保密性 B.完整性 C.不可否認性 D.可審計性 E.真實性

26.信息安全策略必須具備 屬性。A.確定性 B.正確性 C.全面性 D.細致性 E.有效性

四、問答題

1.信息安全技術機制通常被劃分為幾個層次。試在每個層次中列舉兩種主要的安全機制。

2.簡述BS 7799的內容構成以及與ISO國際標準的關系。

3.簡述ISO/IEC 17799∶2005中關于控制措施的11項分類內容。

4.簡述安全策略體系所包含的內容。

5.簡述至少六種安全問題的策略。

6.試編寫一個簡單的口令管理策略。

7.簡述可接受使用策略AUP的內容。

8.簡述入侵檢測系統IDS所采取的兩種主要方法。

9.簡述防火墻所具有的局限性。

10.簡述物理安全的技術層面的主要內容。

答案

一、判 斷 題

1.對 2.對 3.對 4.對 5.對 6.對

7.對 8.錯 9.對 10.對 11.對 12.對

二、單 選 題

1.A 2.B 3.C 4.C 5.D 6.B 7.A 8.B 9.D 10.A 11.A 12.A 13.D 14.B 15.C 16.B 17.A 18.B 19.D 20.C 21.A 22.C 23.C 24.B 25.C 26.C 27.A 28.A 29.B 30.C 31.B 32.A 33.C 33.A 35.B 36.A 37.C 38.B 39.B 40.A 41.B 42.D 43.C 44.C 45.D 46.A 47.C 48.B 49.D 50.A 51.C 52.B 53.C 54.B 55.C 56.A 57.B 58.B 59.B 60.B

三、多 選 題

1.AD 2.ABD 3.ABC 4.ACDE 5.ABD 6.BCDE 7.ABDE 8.AD 9.ABCD 10.ABCE 11.ABCDE 12.CDE 13.ABD 14.ABD 15.ABCDE 16.BDE 17.AC 18.ACDE 19.ABCE 20.ABCDE 21.BC 22.ABCDE 23.ABCDE 24.BC 25.ABE 26.ACE

四、問 答 題

1.信息安全技術機制通常被劃分為幾個層次。試在每個層次中列舉兩種主要的安全機制。

答：信息安全技術機制通常可以劃分為四個層次，每一層次中典型的安全機制如下所示：

（1）物理層安全，如視頻監控、門禁系統；（2）網絡層安全，如防火墻、IPSecVPN；

（4）系統層安全，如殺毒軟件，主機入侵檢測系統；（5）應用層安全，如用戶身份認證、應用層加密。

2.簡述BS 7799的內容構成以及與ISO國際標準的關系。

答：BS 7799分兩個部分，第一部分，被ISO國際標準化組織采納成為ISO/IEC 17799∶2005標準的部分，是信息安全管理實施細則（Code of Practice for Information Security Management），主要供負責信息安全系統開發的人員參考使用，其主要內容分為11個方面，定義了133 項安全控制措施（最佳實踐）。第二部分，被ISO國際標準化組織采納成為ISO/IEC 27001∶2005，是建立信息安全管理體系（ISMS）的一套規范（Specification for Information Security Management Systems），其中詳細說明了建立、實施和維護信息安全管理體系的要求，可用來指導相關人員應用ISO/IEC 17799∶2005，其最終目的在于建立適合企業需要的信息安全管理體系（ISMS）。

3.簡述ISO/IEC 17799∶2005中關于控制措施的11項分類內容。答：BS 7799-1信息安全管理實施細則（ISO/IEC 17799∶2005）將信息安全管理的內容劃分為11個主要方面，這11 個方面包括：（1）安全策略（Security Policy）；

（2）組織信息安全（Organizing Information Security）；（3）資產管理（Asset Management）；

（4）人力資源安全（Human Resources Security）；

（5）物理與環境安全（Physical and Environmental Security）；（6）通信與操作管理（Communication and Operation Management）；（7）訪問控制（Access Control）；

（8）信息系統獲取、開發與維護（Information Systems Acquisition, Development and Maintenance）；

（9）信息安全事件管理（Information Security Incident Management）；（10）業務連續性管理（Business Continuity Management）；（11）符合性（Compliance）。

4.簡述安全策略體系所包含的內容。

答：一個合理的信息安全策略體系可以包括三個不同層次的策略文檔：（1）總體安全策略，闡述指導性的戰略綱領性文件，闡明了企業對于信息安全的看法和立場、信息安全的目標和戰略、信息安全所涉及的范圍、管理組織構架和責任認定以及對于信息資產的管理辦法等內容；

（2）針對特定問題的具體策略，闡述了企業對于特定安全問題的聲明、立場、適用辦法、強制要求、角色、責任認定等內容，例如，針對Internet訪問操作、計算機和網絡病毒防治、口令的使用和管理等特定問題，制定有針對性的安全策略；

（3）針對特定系統的具體策略，更為具體和細化，闡明了特定系統與信息安全有關的使用和維護規則等內容，如防火墻配置策略、電子郵件安全策略等。

5.簡述至少六種安全問題的策略。答：（1）物理安全策略；（2）網絡安全策略；（3）數據加密策略；（4）數據備份策略；（5）病毒防護策略；（6）系統安全策略；（7）身份認證及授權策略；（8）災難恢復策略；

（9）事故處理、緊急響應策略；（10）安全教育策略；（11）口令管理策略；（12）補丁管理策略；（13）系統變更控制策略；（14）商業伙伴、客戶關系策略；（15）復查審計策略。

6.試編寫一個簡單的口令管理策略。答：（1）所有活動帳號都必須有口令保護。

（2）生成帳號時，系統管理員應分配給合法用戶一個唯一的口令，用戶在第一次登錄時應更改口令。

（3）口令必須至少要含有8個字符。（4）口令必須同時含有字母和非字母字符。

（5）必須定期用監控工具檢查口令的強度和長度是否合格。（6）口令不能和用戶名或者登錄名相同。（7）口令必須至少60天更改一次。（8）禁止重用口令。

（9）必須保存至少12個歷史口令。（10）口令不能通過明文電子郵件傳輸。（11）所有供應商的默認口令必須更改。（12）用戶應在不同的系統中使用不同的口令。（13）當懷疑口令泄漏時必須予以更改。（14）應該控制登錄嘗試的頻率。

7.簡述可接受使用策略AUP的內容。答：AUP通常包含以下主要內容：

（1）概述，描述什么是AUP，企業、組織發布AUP的目的，制定AUP的原則以及一些必要的法律聲明等。

（2）安全策略說明，說明制定AUP所依據的信息安全策略，提示用戶信息安全策略的更改會影響到AUP的修訂，并且告訴用戶從哪里可以獲得詳細的信息安全策略文檔。

（3）術語說明，將AUP中涉及的術語名詞，以及AUP簽署生效的有效時間進行說明。

（4）用戶責任，對信息安全策略中所有涉及到用戶的信息安全責任內容，應當進行總結和提煉，以簡單明了的語言進行闡述，使得用戶充分了解自己對于企業、組織信息安全所承擔的責任和義務。

8.簡述入侵檢測系統IDS所采取的兩種主要方法。

答:（1）誤用檢測：通過對比已知攻擊手段及系統漏洞的簽名特征來判斷系統中是否有入侵行為發生。具體地說，根據靜態的、預先定好的簽名集合來過濾網絡中的數據流(主要是IP層)，一旦發現數據包特征與某個簽名相匹配，則認為是一次入侵。

（2）異常檢測：指根據使用者的行為或資源使用狀況來判斷是否入侵，而不依賴于具體行為是否出現來檢測，所以也被稱為基于行為的檢測。異常檢測利用統計或特征分析的方法來檢測系統的異常行為。首先定義檢測假設，任何對系統的入侵和誤操作都會導致系統異常，這樣對入侵的檢測就可以歸結到對系統異常的檢測。

9.簡述防火墻所具有的局限性。

答：防火墻產品雖然是網絡安全的主要機制，但是也存在一定的局限性：例如，無法阻止內部主機之間的攻擊行為；無法防止“旁路”通道的出現及其引起的安全隱患；無法阻止病毒侵襲；可能構成內、外網之間潛在的信息處理瓶頸。

10.簡述物理安全的技術層面的主要內容。

答：物理安全的技術層面主要包括三個方面：環境安全、設備安全和媒體安全。

（1）環境安全：對系統所在環境的安全保護，如區域保護和災難保護；（2）設備安全：主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等；

（3）媒體安全：包括媒體數據的安全及媒體本身的安全。

第二篇：安全基礎管理

安全基礎管理

一、安全管理制度

（一）安全文化建設

1、安全文化實施方案及情況；

2、安全文化組織建設及理念建設；

3、安全活動；

4、安全文化手冊及學習活動記錄；

（二）安監隊伍建設

1、加強安監隊伍建設實施意見；

2、安全管理制度；

3、安全管理機構；

4、安全工作計劃，5、安全考核制度，考核記錄。

（三）安全基礎管理考核

3、安全基礎管理檢查考核；

4、獎懲記錄

（四）報表及材料報送

1、事故隱患排查情況；

2、材料報送；

3、月安全培訓統計表；

4、安全工作總結；

（五）班組安全建設

1、組織領導機構，研究、指導工作；

2、班組安全文化建設；

3、班組建設實施方案，職責、任務、制度完善；

4、班組激勵機制，安全建設會議；

5、班組培訓，“三違”統計情況；

（六）技術管理及事故應急

1、管理崗位責任制，技術資料管理制度；

2、技術例會制度及執行情況；

3、技術人員培訓制度；

4、應急救援器材配置和管理情況；

5、事故應急預案和演練情況；

6、事故管理制度和事故臺帳；

二、安全標準化

三、安全生產重點工作

（一）專項治理工作；

（二）安全工作落實控制；

（三）主要機組、特種設備、聯鎖裝置管理情況；

（四）規范作業票證制度；

（五）安全標準化；

（六）職業衛生健康臺賬、污水處理運行情況；

（七）重大危險源的預警監控情況；

（八）工程建設“三同時”制度、執行情況；

1、安全基礎管理及考核制度；

2、考核體系完善情況；

第三篇：信息安全管理

概述

1、信息安全定義：在技術上和管理上為數據處理系統建立的安全保護，保護計算機硬件、軟件和數據不因偶然和惡意的原因而遭至破壞、更改和泄露

2、分類：實體安全、運行安全、信息安全、管理安全

3、信息安全保障：人員、技術、管理

4、管理活動的五個基本要素：

誰來管：管理主體，回答由誰管的問題；

管什么：管理客體，回答管什么的問題；

怎么管：組織的目的要求，回答如何管的問題；

靠什么管：組織環境或條件，回答在什么情況下管的問題。

管得怎么樣：管理能力和效果，回答管理成效問題。

5、信息安全管理是通過維護信息的機密性、完整性和可用性等，來管理和保護信息資產的一項體制，是對信息安全保障進行指導、規范和管理的一系列活動和過程。

6、信息安全管理是信息安全保障體系建設的重要組成部分

7、信息安全管理的內容：安全方針和策略；組織安全；資產分類與控制；人員安全；物理與環境安全；通信、運行與操作安全；訪問控制；

第四篇：信息安全管理協議書

現依據《互聯網信息服務管理辦法》（國務院令第292號）、《非經營性互聯網信息服務管理辦法》（信息產業部令第33號）、《互聯網站管理工作細則》（信部電[XX]501號）、《信息產業部關于依法打擊網絡淫穢色情專項行動工作方案的通知》（信部電[XX]231號）、《工業和信息化部關于進一步深入整治手機淫穢色情專項行動工作方案》（工信部電管〔XX〕672號文件）、《工為和信息化部關于進一步落實網站備案信息真實性檢驗工作方案》（工信部電管局函[XX]64號）等有關規定，為配合省通信管理局維護互聯網正常運營秩序、創造良好的互聯網環境。金萬邦所有接入服務的網站主辦者與金萬邦公司簽署本項協議，遵守如下條款：

第一章 總則

第一條 為規范互聯網信息安全，促進互聯網服務有序發展，制定本協議。

第二條 本協議所稱互聯網信息安全，是指新一代數據中心提供給網站主辦者的互聯網接入服務，包括主機托管、虛擬主機等。

第三條 此協議遵循文明守法、誠信自律、自覺維護國家利益和公共利益的原則。

第四條 金萬邦負責本公約的組織實施。

第二章　協議內容

（一）網站主辦者保證自覺遵守國家有關互聯網信息服務的法律、法規，文明使用網絡，不傳播色情淫穢信息以及其他違法和不良信息；

（二）網站主辦者保證不危害國家安全，泄露國家秘密，顛覆國家政權，破壞國家統一的；

（三）網站主辦者保證不損害國家榮譽和利益的；

（四）網站主辦者保證不煽動民族仇恨、民族歧視，破壞民族團結的；

（五）網站主辦者保證不破壞國家宗教政策，宣揚xx和封建迷信的；

（六）網站主辦者保證不散布謠言，擾亂社會秩序，破壞社會穩定的；

（七）網站主辦者保證不散布淫穢、色情、賭博、暴力、兇殺、恐怖或者教唆犯罪的；

（八）網站主辦者保證對網站內容進行有效監督和管理，及時刪除違法和不良跟貼信息；

（九）網站主辦者保證不利用互聯網傳播計算機病毒等惡意程序，不危害他人計算機信息安全。

第五條 違反服務協議的，金萬邦應及時予以督促改正，有權直接關閉相關違法和不良信息內容的網站或停止為其提供服務，如停止服務后需行開通，收取開通費100元/次。

第六條 金萬邦要求網站網站主辦者實行實名注冊備案，注冊信息應當包括網站主辦者真實姓名、有關證件、通信地址、聯系電話、郵箱等。

第三章 附則

第七條 雙方確認在簽署本協議前已仔細審閱過合同的內容，并完全了解本協議各條款的法律含義。

第八條 作為金萬邦的接入服務網站主辦者同意遵守上述條款,違反本協議,承擔相關責任.本協議由網站主辦者簽字蓋章即生效。

第九條 本協議由金萬邦負責解釋。

甲方單位名稱(蓋章)： 乙方單位名稱（蓋章）：

日 期： 日 期：

第一章　總則

第一條 為保障網絡信息資源的安全，促進idc接入服務有序發展，制定本協議。

第二條 本協議所稱服務器，是乙方向甲方租賃使用或托管的服務器資源、自主網絡空間等。

第三條 此協議遵循文明守法、誠信自律、自覺維護國家利益和公共利益的原則。

第二章　協議內容

（一）乙方保證自覺遵守國家有關互聯網信息服務的法律、法規，文明使用網絡，不傳播色情淫穢信息以及其他違法和不良信息；

（二）乙方保證不傳播侮辱或貶損其他民族、種族、不同宗教信仰和文化傳統的信息；

（三）乙方保證不傳播造謠、誹謗信息以及其他虛假信息，不傳播侵害他人合法權益的信息；

（四）乙方保證不傳播侵害他人知識產權的信息；

（五）乙方保證對跟貼內容進行有效監督和管理，及時刪除違法和不良跟貼信息；

（六）乙方保證不利網絡資源傳播計算機病毒等惡意程序，不危害他人計算機信息安全。

第三條 乙方申請的信息資源只能供自己使用，不得轉讓或出租。由于轉讓或出租造成的不良后果，乙方將承擔直接和連帶責任；

第四條 依據《非經營性互聯網備案管理辦法》第二十三條規定，所有網站需先備案后接入，如備案信息不真實，將關閉網站并注銷備案。乙方承諾并確認：提交的所有備案信息真實有效，當備案信息發生變化時請及時到備案系統中提交更新信息，如因未及時更新而導致備案信息不準確，甲方有權依法對接入網站進行關閉處理。

第五條 甲方應保護乙方資料。未經乙方充許，不得向第三方提供乙方的相關資料，法律、法規另有規定的除外。

第三章 附則

第六條 雙方確認在簽署本協議前已仔細審閱過本協議的內容，并完全了解本協議各條款的法律含義。

第七條 本協議雙方簽字、蓋章后即生效。

甲 方： 乙 方：

日 期： 日 期：

第五篇：《信息安全基礎》考試復習提綱

《信息安全基礎》考試復習提綱

一、考試題型：名詞解釋(15-20分)、填空題(20分)、選擇題(45-50分)、簡答題(15-20分)

二、復習內容：1.仔細閱讀全書，掌握書中的相關知識的概念與原理。

2.認真完成書中的課后練習。

3.名詞解釋和簡答題應掌握的內容如下：（劃線的和加“☆”的是重點）

=======================

名詞解釋： 信息安全、計算機外部安全、計算機內部安全、計算機網絡安全、信息安全威脅、密碼學、被動攻擊、主動攻擊、序列算法、分組算法、對稱密鑰算法、公開密鑰算法、哈希函數、消息摘要、數字簽名、身份識別技術、零知識身份識別協議、密鑰的分散管理、信息隱藏、PKI、數字證書、交互證書對、證書鏈、CA根證書、防火墻、入侵檢測系統、IPSec協議、SA、SPD、SAD、IKE協議、虛擬專用網VPN、SSL協議、操作系統安全、活動目錄、惡意代碼、網絡蠕蟲

簡答題：

1.信息安全的基本特性有哪些？☆

2.信息安全威脅的種類及含義。☆

3.常見的信息安全技術及作用。☆

4.信息安全問題根源有哪些？

5.個人特征的身份證明技術主要包括哪些？

6.請簡述在基于中心的密鑰分發中，拉模式工作原理。

7.kerbero認證與密鑰分發的基本思想。

8.信息隱藏的主要研究分支。

9.請簡述CPU卡對讀寫設備的密鑰認證過程。

10.請簡述對較長報文的數字簽名過程。☆

11.請簡述CA證書的撤消過程。☆

12.請簡述CA證書的申請和頒發過程。☆

13.請簡述CA證書的作用與分類。☆

14.請簡述CA證書的驗證過程。☆

15.請簡述CA認證中心的基本功能（9點）。☆

16.防火墻的分類以及常見防火墻系統模型。☆

17.請簡述創建防火墻的步驟。

18.入侵檢測的工作步驟。

19.IPSec策略下節點（主機和路由器）對流出/流入數據包的處理過程。

20．請簡述VPN常見的隧道協議有哪些？其分別封裝的對象是什么？☆

21.緩沖區溢出攻擊的防范方法☆

22.拒絕服務攻擊的一般防范方法。☆

23.簡述window NT操作系統的安全機制。☆

24.了解操作系統的安全評價標準：（TCSEC）。

25.請簡述惡意代碼的大體攻擊過程。☆