第一篇：信息安全復習題總結

第一章概論

1.1.信息的定義、性質和分類

人們常常將信息論、控制論、和系統論合稱為“三論”，或稱為“系統科學”或“信息科學”。

信息定義為：信息是事物運動的狀態和狀態變化的方式。

信息的性質：①普遍性②無限性③相對性④傳遞性⑤變換性⑥有序性⑦動態性⑧轉化性。信息的分類：①從信息的性質出發，信息可以分為語法信息、語義信息和語用信息②從信息的過程出發，信息可以分為實在信息，先驗信息和實得信息③從信息源的性質出發，信息可以分為語音信息、圖像信息、文字信息、數據信息、計算信息等④從信息的載體性質出發，信息可以分為電子信息、光學信息和生物信息等⑤從攜帶信息的信號的形式出發，信息可以分為連續信息、離散信息、半連續信息等。

1.2 歷史回顧

1928年，哈特萊在《貝爾系統技術雜志》上發表了一篇題為“信息傳輸”的論文，在這篇論文中，他把信息理解為選擇符號的方式，且用選擇的自由度來計量這種信息的大小；1948年，美國數學家仙農在《貝爾系統雜志》上發表了一篇題為“通信的數學理論”的論文，在對信息的認識方面取得了重大突破，堪稱信息論的創始人，他對信息的理解：信息是用來減少隨機不定性的東西；

1948年，維納出版了專著《控制論：動物和機器中的通信與控制問題》，創建了控制論；1975年，意大利學著朗高在《信息論：新的趨勢和未決問題》一書的序言中認為“信息是反映事物的形式、關系和差別的東西，它包括在事物的差異之中，而不在事物本身”；1988年，我國信息論專家鐘義信教授在《信息科學原理》一書中把信息定義為：事物運動的狀態和狀態變化的方式。

1.3信息安全威脅

所謂信息安全威脅就是指某個人、物、事件或概念對信息資源的保密性、完整性、可用性或合法使用所造成的危險。

常見的安全威脅：①信息泄漏②破壞信息的完整性③拒絕服務④非法使用⑤竊聽⑥業務流分析⑦假冒⑧旁路控制⑨授權侵犯⑩特洛伊木馬11陷阱門12抵賴13重放14計算機病毒15人員不慎16媒體廢棄17物理侵入18竊取19業務欺騙。

常見的網絡攻擊工具有安全掃描工具、監聽工具、口令破解工具等。

第二章 信息保密技術

2.1 DES算法和AES算法

DES（Data Encryption Stardard）算法，是密碼體制中的對稱密碼體制，又被稱為，美國數據加密標準。是1972年美國IBM公司研制的對稱密碼體制加密算法，其密鑰長度為6位，明文按64位進行分組，將分組后的明文和56位的密鑰按位替代或者交換的方式形成密文組的加密方式；

AES（Advanced Encryption Standard）高級加密標準，是用來取代DES算法的，其采用對稱分組密碼體制，密鑰長度的最少支持為128、192、256，分組長度128位，算法應易于各種硬件和軟件實現。

2.2你認為AES比DES有哪些優點？

答：

（1）AES的密鑰長度可以根據需要而增加，而DES是不變的；

（2）Rijndael加解密算法中，每輪常數的不同消除了密鑰的對稱性，密鑰擴展的非線性消除了相同密鑰的可能性；加解密使用不同的變換，消除了在DES里出現的弱密鑰和半弱密鑰存在的可能性；總之，在Rijndael的加解密算法中，對密鑰的選擇沒有任何限制。

（3）依靠有限域/有限環的有關性質給加密解密提供了良好的理論基礎，使算法設計者可

以既高強度地隱藏信息，又同時保證了算法可逆，又因為Rijndael算法在一些關鍵常數（例如：在m(x)）的選擇上非常巧妙，使得該算法可以在整數指令和邏輯指令的支持下高速完成加解密。

（4）AES安全性比DES要明顯高

（5）其中DES采用Feistel網絡結構，AES算法采用SP網絡結構。

2.3公鑰加密技術

第一個比較完善的公鑰密碼體制算法，是著名的RSA算法。

公鑰密碼體制指一個加密系統的加密密鑰和解密密鑰是不一樣的，或者說不能由一個推導出另一個。

公鑰密鑰加密算法的核心是運用一種特殊的數學函數——單向陷門函數。

RSA是一種比較典型的公開密鑰加密算法，其安全性建立在“大數分解和素性檢測”這一已知的著名數論難題的基礎上。

ElGamal算法的安全性是建立在有限域上求離散對數這一難題基礎上的。

橢圓曲線算法安全性是建立在橢圓曲線離散對數問題求解之上。

公鑰密碼算法有：RSA算法、ElGamal算法、橢圓曲線算法。

2.4橢圓曲線算法

橢圓曲線指的是由韋爾斯特拉斯（Weierstrass）方程 y2+a1xy+a3y＝x3+a2x2+a4x+a6 所確定的平面曲線。若F是一個域，ai ∈F,i=1,2,?,6。滿足式1的數偶(x,y)稱為F域上的橢圓曲線E的點。F域可以式有理數域，還可以式有限域GF(Pr)。橢圓曲線通常用E表示。除了曲線E的所有點外，尚需加上一個叫做無窮遠點的特殊O。

在橢圓曲線加密（ECC）中，利用了某種特殊形式的橢圓曲線，即定義在有限域上的橢圓曲線。其方程如下：y2=x3+ax+b(mod p)這里p是素數，a和b為兩個小于p的非負整數，它們滿足：4a3+27b2(mod p)≠0 其中，x,y,a,b ∈Fp,則滿足式（2）的點（x,y）和一個無窮點O就組成了橢圓曲線E

2.5流密碼技術

流密碼：將待加密的明文分成連續的字符或比特，然后用相應的密鑰流對之進行加密。目前應用最多的流密碼是在GF（2）域上的二元加法流密碼。

二元流密碼算法的安全強度完全決定于它所產生的密鑰流的特性。

幾種常見的流密碼算法：A5算法、Rambutan算法、RC4算法、SEAL

2.6信息隱藏技術

信息隱藏又稱信息偽裝，就是通過減少載體的某種冗余，如空間冗余、數據冗余等，來隱藏敏感信息。達到某種特殊的目的。

信息隱藏的方法主要分兩類：空間域算法和變換域算法。

第三章 信息認證技術

認證的目的有兩個方面：1.實體認證，包括信源、信宿的認證和識別2.驗證消息的完整性，驗證數據在傳輸存儲過程中是否被篡改、重放或延遲等。

3.1 Hash函數和消息完整性

Hash函數也稱為雜湊函數或散列函數：其輸入為一個可變長度X，返回一固定長度串，該串被稱為輸入X的Hash值。

Hash函數滿足以下需求：

1.輸入X可以為任意長度

2.輸出數據長度固定

3.容易計算

4.單向函數

5.唯一性

Hash函數可以按照其是否有密鑰控制分為兩類：有密鑰控制、無密鑰控制。

攻擊Hash函數的典型方法有窮舉攻擊、生日攻擊、中途相遇攻擊。

能抗擊生日攻擊的HASH值至少要達到128BIT。

Hash函數的安全性設計的理論主要有兩點：1.函數的單向性2.函數影射的隨機性。常用的Hash算法有MD-

4、MD-

5、SHA等。

一個沒有仲裁的認證碼由3方組成：發送方、接收方和入侵者。

消息認證碼（MAC）是與密鑰相關的單向Hash函數，也稱為消息鑒別碼或消息校驗和，它可在用戶之間鑒別文件，也可以被單個用戶用來確定他的文件是否已改動，或是感染了病毒。

3.2 身份認證技術

身份認證是指定用戶向系統出示自己身份的證明過程，通常是獲得系統服務所必需的第一道管卡。

常見的身份認證技術可以分為兩類：一類是基于密碼技術的各種電子ID身份認證技術、另一類是基于生物特征識別的認證技術。

用于身份認證的生物識別技術主要有6種：手寫簽名識別技術、指紋識別技術、語音識別技術、視網膜圖樣識別技術、虹膜圖樣識別技術、臉型識別。

3.3 Keberos認證系統

Keberos是為TCP/IP網絡系統設計的可信的第三方認證協議。網絡上的Keberos服務基于DES對稱加密算法，但也可以用其他算法替代。認證過程：

（1）請求票據——許可票據：客戶C向kerberos認證中心（KDC）申請可以訪問票據中心TGS

（2）票據——票據許可

（3）請求服務器票據

（4）服務器票據

（5）請求服務

在FreeBSD中設置Kerveros包括6個步驟：①建立初始資料庫②運行Kerberos③創建新的服務器文件④定位數據庫⑤完整測試數據庫⑥設置su權限。

第四章 PKI與PMI認證技術

4.1數字證書

公鑰基礎設施（PKI）是一個采用非對稱密碼算法原理和技術來實現并提供安全服務的、具有通用性的安全基礎設施。

CRL:即證書撤銷列表，里面列出了所有未到期卻被撤銷的證書。

認證中心所頒發的數字證書均遵循X.509V3標準。

證書更新：當證書持有者的證書過期，證書被竊取、丟失時通過更新證書的方法，使其使用新的證書繼續參與網上認證。證書的更新包括證書的更換和證書的延期兩種情況。

證書廢除：證書持有者可以向CA申請廢除證書。CA通過認證核實，即可履行廢除證書的職責，通知有關組織和個人，并寫入黑名單CRL。

4.2 PKI系統一個完整的PKI系統對于數字證書的操作通常包括證書頒發、證書更新、證書廢除、證書和CRL得公布、證書狀態的在線查詢、證書認證等。

PKI主要包括4個部分：X.509格式的證書和證書撤銷列表CRL；CA/RA操作協議；CA管理協議；CA政策制定。

PKI應用系統包括：認證機構、根CA、注冊機構、證書目錄、管理協議、操作協議、個人安全環境

PKI相關標準：國際電信聯盟ITU X.509協議、PKCS系列標準、PKIX系列標準。

4.3常用信任模型

基于X.509證書的信任模型主要有：1.通用層次結構 2.下屬層次信任模型 3.網狀模型 4.混合信任模型 5.橋CA模型 6.信任鏈模型。

信任模型中涉及一個重要概念：交叉認證。

交叉認證：是一種把以前無關的CA連接在一起的有用機制，從而使得在它們各自主體群體之間的安全成為可能。

第五章 密鑰管理技術

5.1密鑰管理概述

密鑰管理包括：①產生與所要求安全級別相稱的合適密鑰②根據訪問控制的要求，對于每個密鑰決定哪個實體應該接受密鑰的拷貝③用可靠辦法使這些密鑰對開放系統中的實體是可用的，即安全地將這些密鑰分配給用戶④某些密鑰管理功能將在網絡應用實現環境之外執行，包括用可靠手段對密鑰進行物理的分配。

5.2對稱密鑰的管理

加密密鑰交換協議：1.加密密鑰交換協議 2.Internet密鑰交換協議 3.基于Kerberos的Internet密鑰協商協議

5.3 非對稱密鑰的管理

非對稱密鑰的管理主要在于密鑰的集中式管理。

非對稱密鑰的技術優勢：每次信息交換都對應生成了唯一的一把密鑰，因此各通信方就不再需要對密鑰進行維護和擔心密鑰的泄露或過期；即使泄露了對稱密鑰也將只影響一次通信，而不會影響到通信雙方之間的所有通信。

對稱密鑰和公鑰密碼技術（非對稱）的比較：

對稱公鑰

密鑰同不同

速度快慢

密鑰分配大問題沒問題

伸縮性不好好

功能保密通訊密鑰分配，數字簽名和認證

5.6密鑰托管

密鑰的托管：提供強密碼算法實現用戶的保密通信，并使獲得合法授權的法律執行機構利用密鑰托管機構提供的信息，恢復出會話密鑰從而對通信實施監聽。

密鑰托管的重要功能：1.防抵賴 2.政府監聽 3.密鑰恢復

密鑰托管加密系統的組成：用戶安全部分、密鑰托管部分、政府監聽部分、法律授權部分、外部攻擊部分。

第六章訪問控制技術

6.1訪問控制的模型

訪問控制模型是一種從訪問控制的角度出發，描述安全系統，建立安全模型的方法。訪問控制包括3個要素：主體、客體、控制策略。

訪問控制的3個內容：認證、控制策略實現和審計。

訪問控制是指主體依據某些控制策略或權限對客體本身或是其資源進行的不同授權訪問。

訪問控制模型有：自主訪問控制模型、強制訪問控制模型、基于角色的訪問控制模型、基于任務的訪問控制模型、基于對象的訪問控制模型。

自主訪問控制模型:是根據自主訪問控制策略建立的一種模型，允許合法用戶以用戶或用戶組的身份訪問策略規定的客體，同時阻止非授權用戶訪問客體，某些用戶還可以自主地把自己所擁有的客體的訪問權限授予其他用戶。

強制訪問控制模型（MAC）：系統事先給訪問主體和受控對象分配不同的安全級別屬性，在實施訪問控制時，系統先對訪問主體和受控對象的安全級別屬性進行比較，再決定訪問主體能否訪問該受控對象。

基于角色的訪問控制模型：將訪問許可權分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權。

基于任務的訪問控制模型：以面向任務的觀點，從任務的角度來建立安全模型和實現安全機制，在任務處理的過程中提供動態實時的安全管理。TBAC模型由：工作流、授權結構體、受托人集、許可集4個部分組成。

6.2訪問控制策略

訪問控制的安全策略有以下兩種實現方式：基于身份的安全策略和基于規則的安全策略。安全策略的實施原則：1.最小特權原則 2.最小泄露原則 3.多級安全策略

基于身份的安全策略包括：基于個人的策略和基于組的策略。

基于個人的策略：是指以用戶為中心建立的一種策略，策略由一些列表組成，列表限定了針對特定的客體，哪些用戶可以實現何種策略操作行為。

基于身份的安全策略有兩種基本的實現方法：能力表和訪問控制列表。

6.3訪問控制與審計

審計跟蹤可以實現多種安全相關目標包括：個人只能、事件重建、入侵檢測、故障分析

第七章 網絡的攻擊與防范

7.1網絡的攻擊

網絡攻擊技術和攻擊技術的發展趨勢：1.攻擊技術手段在快速改變 2.安全漏洞被利用的速度越來越快 3.有組織的攻擊越來越多 4.攻擊的目的和目標在改變 5.攻擊行為越來越隱蔽 6.攻擊者的數量不斷增加，破壞效果越來越大

網絡攻擊模型將攻擊過程劃分為以下階段：1.攻擊身份和位置隱藏 2.目標系統信息收集

3.弱點信息挖掘分析 4.目標使用權限獲取 5.攻擊行為隱藏 6.攻擊實施 7.開辟后門 8.攻擊痕跡清除

7.2網絡攻擊實施和技術分析

網絡攻擊是指任何非授權而進入或試圖進入他人計算機網絡的行為。

權限獲取的幾種方式：1.通過網絡監聽獲取權限 2.基于網絡賬號口令破解獲取權限 3.通過網絡欺騙獲取權限

常用的破解口令的方法有：強制口令破解、獲取口令文件。

強制口令破解： 通過破解獲得系統管理員口令，進而掌握服務器的控制權。

網絡釣魚： 通過欺騙手段獲取敏感的個人信息的攻擊方法。

網絡監聽程序一般包括以下步驟：數據包捕獲、數據包過濾與分解、數據分析

DoS攻擊：攻擊者過多地占用系統資源直到系統繁忙、超載而無法處理正常的工作，甚至系統崩潰。

DDoS攻擊：基于TCP/IP協議本身的漏洞和缺陷，利用成百上千個被控制點發動的大規模協同攻擊，通過消耗資源，使被攻擊主機癱瘓和死機，從而造成合法用戶無法訪問。DoS攻擊分3類：1.消耗稀少的、有限的并且無法再生的系統資源 2.破壞或者更改系統的配置信息 3.對網絡部件和設備進行物理破壞和修改

DDoS攻擊過程分為以下步驟：1.探測掃描尋找可以入侵的主機 2.入侵有安全漏洞的主機并且獲取控制權 3.在每臺被入侵主機中安裝攻擊程序

第八章 系統安全

8.1操作系統安全

操作系統安全機制有：身份認證機制、訪問控制機制、安全審計機制

8.2數據庫安全

數據庫的攻擊手段包括：弱口令入侵、SQL注入攻擊、利用數據庫漏洞進行攻擊數據庫安全的基本技術：數據庫的完整性、存取控制機制、視圖機制、數據庫加密數據庫的完整性包括：實體完整性、域完整性、參照完整性、用戶自定義完整性、分布式數據完整性。

8.3數據備份和恢復

數據備份和恢復技術有：高可用性系統、網絡備份、SAN備份、歸檔和分級存儲管理、數據容災系統。

第九章網絡安全技術

9.1防火墻技術

網絡防火墻：是一種用來加強網絡之間訪問控制、防止外部網絡用戶以非法手段通過外部網絡進入內部網絡、訪問內部網絡資源、保護內部網絡操作環境的特殊網絡互聯設備。防火墻的作用是能有效地控制內部網絡與外部網絡之間的訪問及數據傳送，從而達到保護內部網絡的信息不受外部非授權用戶的訪問，并過濾不良信息的目的。

防火墻的技術包括：包過濾技術、代理技術、狀態檢測技術、網絡地址翻譯技術

防火墻和網絡配置上的4種典型結構：雙宿/多宿主機模式、屏蔽主機模式、屏蔽子網模式、混合結構模式

VPN：即虛擬專用網——是通過私有的隧道技術在公共數據網絡上仿真一條點到點的專線技術

9.4內外網隔離技術

物理隔離：是指內部網絡與外部網絡在物理上沒有相互連接的通道，兩個系統在物理上完全對立。

物理隔離技術分為：用戶級物理隔離、網絡級物理隔離。

用戶級物理隔離經歷3個階段,第一個階段采用雙機物理隔離系統；第二階段采用雙硬盤物理隔離系統；第三階段采用單硬盤物理隔離系統。

網絡級物理隔離有3種：隔離集線器、Internet信息轉播服務器、隔離服務器。

單硬盤物理隔離系統：就是在一塊硬盤上，將硬盤分成兩個獨立的分區，同時通過對硬盤讀寫地址的監視及控制，使兩個分區的內容完全獨立，不能夠相互訪問。

9.5反病毒技術

病毒是一段具有自我復制能力的代理程序，它將自己的代碼寫入宿主程序的代碼中，以感染宿主程序。

病毒產生的過程：程序設計—傳播—潛伏—觸發—運行—實行攻擊。

病毒的特征：1.傳染性 2.非法性 3.隱蔽性 4.潛伏性 5.破壞性

病毒按感染對象不同分為：引導型病毒、文件型病毒、混合型病毒

反病毒技術基本方法有：外觀檢測法、特征代碼法、虛擬機技術、啟發式掃描技術 郵件病毒特點：感染速度快、擴散面廣、傳播的形式復雜多樣、難以徹底清除、破壞性大。

第二篇：公文寫作、信息安全復習題

公文寫作、信息安全復習題

一、單選題

1、宋蘭副局長部署信息系統安全隱患排除工作指示要（A）

A、本著標本兼治、遠近結合的方法B、加強安全意識、落實安全制度

C、加大工作力度、采取相應措施D、加強安全審核、排除安全隱患

2、消息分類為：綜合新聞、（A）

A、動態新聞B、及時報道C、客觀敘述D、簡明扼要

3、通訊的主題：（B）

A、客觀、公正、實事B、集中、新鮮、深刻

C、新意、及時、論事D、形象、故事、細致

4、通訊的標題：（D）

A、聯想想像，恰當引語B、重要情節，鮮明對比

C、精辟議論，優美故事D、緊扣主題，吸引眼球

二、多選題

1、綜合征管系統包括：（ABCDE）

A、管理服務B、征收監控C、稅務稽查D、稅收法制E、稅務執行

2、我國信息安全重要法規有（ABCD）：

A、《中華人民共和國保守國家秘密法》B、《刑法》有關規定

C、《人大常委會關于維護互聯網安全的決定》D、《互聯網安全保護技術措施規定》

3、消息的基本構成：（ABCDE）

A、標題B、消息頭C、導語D、正文E、結尾

4、通訊的結構：（ABC）

A、縱式B、橫式C、縱橫結合D、特式

三、判斷題

1、肖捷局長對信息系統安全檢查工作做出重要指示，著力從增強安全意識、制度建設、系統保障、落實責任等方面加大工作力度。（√）

2、工作通訊是指問題性、論述性、經驗性的通訊。（√）

3、消息標題的要求是點題、簡短。（√）

第三篇：信息安全期末復習題

一、選擇題（教材習題所有題+平時積累）第一章

(B)1.由于來自于系統外部或內部的攻擊者冒充為網絡的合法用戶獲得訪問權限的攻擊方法是下列哪一項？

A.黑客攻擊 B.社會工程學攻擊

C.操作系統攻擊 D.惡意代碼攻擊

（A）2.在信息安全性中，用于提供追溯服務信息或服務源頭的是哪一項？

A.不可否認性 B.認證性

C.可用性 D.完整性 第二章

（A）1.密碼技術的哪一個目標不能被對稱密碼技術實現？

A.完整性 B.保密性

C.不可否認性 D.認證性（C）2.A想要使用非對稱密碼系統向B發送秘密消息。A應該使用哪個密鑰來加密消息？

A.A的公鑰 B.A的私鑰

C.B的公鑰 D.B的私鑰（A）3.DES的有效密鑰長度是多少？

A.56比特 B.112比特

C.128比特 D.168比特（C）4.下面哪種情況最適合使用非對稱密碼系統？

A.公司電子郵件系統 B.點到點的VPN系統

C.證書認證機構 D.Web站點認證

（D）5.下面哪個哈希函數最適合8位處理器？

A.SHA-256 B.SHA-512 C.MD4 D.MD2（C）6.Grace想要使用數字簽名技術向Joe發送一則消息，為了獲得數字簽名，她應該對哪種信息進行簽名？

A.明文消息 B.密文消息

C.明文消息摘要 D.密文消息摘要

（C）7.Joe收由Grace簽了名的信息，請問Joe該使用哪個密鑰來驗證簽名？

A.Joe的公鑰 B.Joe的私鑰

C.Grace的公鑰 D.Grace的私鑰

第三章

（C）1.下面哪項不屬于口令認證？

A.可重用口令認證 B.一次性口令認證

C.安全套接層認證 D.挑戰應答口令認證（C）2.公鑰認證不包括下列哪一項？

A.SSL認證 B.Kerberos認證

C.安全RPC認證 D.MD5認證 第四章

（C）1.在TCP/IP協議安全中，下列哪一項屬于應用層安全？

A.VPNs B.PPP

C.Kerberos D.SSL

（C）2.IPSec中有三個主要的協議用來對傳輸中的系統提供安全服務，不包括下列哪一項？

A.SA B.AH

C.CA D.ESP 第五章

（C）1.以下哪一項不屬于惡意代碼？

A.病毒 B.特洛伊木馬

C.系統漏洞 D.蠕蟲

（D）2.使授權用戶泄露安全數據或允許非授權訪問的攻擊方式稱作

A.拒絕服務攻擊 B.中間人攻擊

C.社會工程學 D.后門攻擊 第六章

（B）1.以下哪一項不是通過實施訪問控制來阻止對敏感客體進行未授權訪問攻擊？

A.欺騙攻擊 B.暴力攻擊

C.窮舉攻擊 D.字典攻擊

（A）2.以下哪個模型通常用來模擬現實的實體以及實體之間狀態的轉移？

A.狀態機模型 B.Bell-LaPadula模型

C.Clark-Wilson 模型 D.Noninterference 模型 第七章

（B）1.以下哪一項不是通過實施訪問控制來阻止對敏感客體進行未授權訪問攻擊？

A.欺騙攻擊 B.暴力攻擊

C.窮舉攻擊 D.字典攻擊（D）2.常見類型的防火墻拓撲結構以下哪一項？

A.屏蔽主機防火墻 B.屏蔽子網防火墻

C.雙重防火墻 D.硬件防火墻 第八章

（B）1.對于一個入侵，下列最合適的描述是：

A.與安全事故類似 B.各種試圖超越權限設置的惡意使用

C.任何侵犯或試圖侵犯你的安全策略的行為 D.任何使用或試圖使用系統 資源用于犯罪目的的行為

（A）2.下列哪種安全策略可用于最小特權原則的理念：

A.白名單 B.嚴格禁止

C.寬松的控制 D.黑名單

(A)3.如果一個IDS上報了一個異常行為，但該行為是正常的，那么IDS犯了什么錯誤

A.誤報 B.漏報

C.混合式錯誤 D.版本出錯(B)4.哪種入侵者是最危險的，為什么？

A.外部入侵者，因為他們在攻擊之前會大量的收集目標系統的信息。

B.內部入侵者，因為他們掌握更多關于系統的信息。

C.外部入侵者，因為大部分入侵者都在外部。

D.內部入侵者，因為很多外部入侵者都是新手。

(A)5.對于有特征的入侵行為，哪種類型的入侵檢測更適用：

A.誤用檢測 B.異常檢測

C.惡意檢測 D.外部檢測

(C)6.IDS規則的目的是什么：

A.告訴IDS檢測那些端口

B.限制系統行為，如果違反了，就觸發警報

C.告訴IDS那些包需要被監測，并在包中檢測什么內容

D.告訴防火墻哪些數據包可以穿過IDS(C)7.什么軟件可以閱讀其所在網絡的數據：

A.特征數據庫 B.包嗅探器

C.數據包分析引擎 D.網絡掃描(A)8.哪種IDS可以檢測特定網段的所有流量：

A.基于網絡的IDS B.基于特征的IDS C.基于主機的IDS D.基于知識的IDS(C)9.哪種類型的IDS可以用來標識外來攻擊的？

A.在DMZ區的HIDS B.在防火墻與內部網絡之間的NIDS C.在外部網絡與防火墻之間的NIDS D.在DMZ區的NIDS(ABCD)10.當選擇IDS時，哪些因素是你要考慮的（多選）：

A.價格 B.配置與維護IDS所需要的知 識與人力

C.互聯網類型 D.你所在的組織的安全策略 第九章

(D)1.Telnet命令的默認端口號是什么？

A.80 B.8080 C.21 D.23(B)2.在Windows操作系統中，端口號9提供什么服務？

A.給出當前日期 B.丟棄收到的所有東西

C.對受到的所有通信進行響應 D.提供系統日期和時間 第十章

(C)1.內容過濾發生在哪兩個層次？

A.應用層和物理層 B.應用層和鏈路層

C.應用層和網絡層 D.鏈路層和網絡層

(D)2.病毒感染計算機系統并進行傳播的方式有多種，下列哪項不屬于？

A.引導扇區 B.宏滲透

C.寄生蟲 D.移動磁盤 第十一章

(B)1.可以導致軟件運行故障的因素不包括下列哪一項？

A.復雜性 B.健壯性

C.測試困難 D.軟件升級

(B)2.信息安全威脅分析法中，通過使用一種什么樣的模型來進行風險分析的計算？

A.MD5 B.Schneier C.Hash D.Security Assessment 第十二章

(C)1.下列哪一項不屬于發生在本地的中級別災難？

A.病毒攻擊 B.長時間的停電

C.服務出錯 D.服務器故障(A)2.以下哪一項不屬于系統災難恢復的準備工作？

A.Internet信息服務 B.風險評估

C.備份介質數據 D.應付災難準備 第十三章

(C)1.犯罪偵查三個核心元素中不包括下列哪一項？

A.與案件有關的材料 B.案件材料的合法性

C.案件材料的邏輯性 D.線索材料

(D)2.通過對校驗和進行加密來判斷數據是否有更改的檢驗方法叫做？

A.AHSH算法 B.SHAH算法

C.SHHA算法 D.HASH算法 第十四章

(C)1.操作系統管理的主要系統資源不包括下列哪一項？

A.主存儲器 B.二級存儲器

C.三級存儲器 D.處理器(A)2.一個系統使用擊鍵監視器的原因不包括下列哪一項？

A.系統備份 B.惡意攻擊

C.證據收集 D.測試和質量保證 第十五章

(A)1.注冊表中，阻止訪問特定驅動器內容的鍵值是下列哪一項？

A.NoViewOnDrive B.RestrictRun C.DisableRegistryTools D.NoClose(D)2.以下Windows用戶系統常見服務中，哪項是不能關閉的？

A.Internet信息服務 B.遠程登錄

C.遠程注冊 D.注冊表訪問 第十六章

(B)1.目前Web 服務安全的關鍵技術有WS-Security規范、XML簽名規范、XML加密規范以及下列哪一項？

A.SAML B.SOAP C.XKMS D.OASIS(A)2.以下哪個方面不是檢驗表的主要用途？

A.遠程檢驗表 B.漏洞檢驗表

C.設置檢驗表 D.審計檢驗表 第十七章

(B)1.目前Web 服務安全的關鍵技術有WS-Security規范、XML簽名規范、XML加密規范以及下列哪一項？

A.SAML B.SOAP C.XKMS D.OASIS(C)2.Web服務架構的3 個基本操作不包括下列哪一項？

A.發布(publish)B.綁定(bind)C.請求(request)D.查找(find)第十八章

(D)1.常見的通用安全原則為特權分離原則，最小特權原則，深度防御原則以 及下列哪一項？

A.物理安全策略 B.人員安全策略

C.區域安全策略 D.模糊安全策略(C)2.數據管理策略不包括下列哪一項？

A.最長保管時間 B.最短保管時間

C.數據安全 D.數據類型 第十九章

(B)1.常見的DRP檢測類型有清單檢查，軟件測試，硬件測試以及下列哪一 項？

A.前期培訓 B.桌面練習

C.初始訓練 D.復習訓練(C)2.災難恢復的三種主要替換處理設施不包括下列哪一項？

A.熱門地點 B.冷門地點

C.安全地點 D.一般地點

二、判斷（平時積累）

三、概念 1.信息安全

2.入侵檢測、誤用檢測、誤用檢測 入侵檢測就是對入侵行為的發覺。他通過對計算機網絡或計算機系統中若干關鍵點收集信息并對其進行分析，從中發現網絡或系統中是否有違反安全策略的行為和被攻擊的跡象。3.過濾、計算機病毒

過濾：就是根據系統事先設定的規則（例如IP地址）對用戶從網絡上獲取的資源或網頁內容進行檢測，防止惡意代碼或程序到達用戶電腦，達到保護用戶系統安全的目的。計算機病毒：指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用并能自我復制的一組計算機指令或者程序代碼。4.社會工程學攻擊

是一種利用受害者心理弱點，本能反應，好奇心，信任，貪婪等心理缺陷進行諸如欺騙、傷害等危害手段取得自身利益的手法，近年來已成迅速上升甚至泛濫的趨勢。社會工程學是通過搜集大量的信息，針對對方的實際情況進行心理戰術的一種手法。社會工程學 5.后門

后門是指對系統的一個特殊訪問通道，后門攻擊是指通過后門繞過軟件的安全性控制從而獲取程序或系統訪問權的方法。6.訪問控制

訪問控制是一系列用于保護系統資源的方法和組件，依據一定的規則來決定不同用戶對不同資源的操作權限，可以限制對關鍵資源的訪問，避免非法用戶的入侵及合法用戶誤操作對系統資源的破壞。7.防火墻

防火墻負責過濾計入或離開計算機網絡的通信數據，通過對接收到的數據包或防火墻內部過濾規則庫中的安全規則進行比較，決定是否把數據包轉發到她的目的地的設備。8.差異備份 P372

四、簡答

1.試述數字簽名的工作原理(P22-23 數字簽名生成與驗證)要產生數字簽名，首先要使用一個哈希函數產生明文消息的摘要，哈希函數是一種單向函數，并且能保證消息和消息摘要之間的一對一的映射，也就是說，沒有任何兩個不同的消息能夠產生相同的哈希值。

消息摘要產生后，用戶需要使用私鑰對其進行加密從而產生數字簽名。之后，發送方使用和接收方共享的密鑰將消息和數字簽名加密后一同發給接收方，從而實現不可否認性和完

整性保護。

密碼系統收到經過數字簽名的消息后，可以通過以下步驟對這個簽名進行認證。首先解密消息，提取出明文消息和數字簽名。然后使用和發送方相同的哈希函數對明文進行計算，得到消息的消息摘要。同時，使用發送方的公鑰解密數字簽名。最后將發送方計算出的明文消息的消息摘要和由發送方解密出來的消息摘要進行比較。如果兩個摘要是一樣的，則能夠認定消息在傳遞過程中未受到第三方更改，通信完整性得到了保護。同時，實現了不可否認性，證明消息確實來自于發送者。

2.基于網絡和基于主機制入侵檢測系統的區別。3.自主訪問控制與強制訪問控制的區別 P126-126 4.常見防火墻拓撲結構及其原理P142 第4題 屏蔽主機：防火墻是連接內網和外部網絡的唯一鏈路。所有進入或離開內網的數據包都必須經過這個防火墻。這種拓撲是最容易應用的，也是最便宜的。然而，如果內網向外網提供某種服務，這種結構同樣面臨著巨大的安全風險。

屏蔽子網防火墻：屏蔽子網（通常被稱為非軍事區或DMZ）防火墻拓撲結構同樣是使用一個防火墻，但是，有三個網絡接口。對于堡壘主機防火墻，一塊網卡連接因特網（或其它外部網絡），另一個連接內網。對于屏蔽子網防火墻，第三塊網卡連接屏蔽子網。雙重防火墻：像屏蔽子網防火墻一樣，雙重防火墻同樣提供一個DMZ網絡用來設置公共服務。然而，雙重防火墻并沒有使用一個帶有三塊網卡的防火墻來實現這個目標，而是使用兩個帶有兩塊網卡的防火墻來創建一個中間區域。

5.入侵檢測有哪些機制？其原理是什么？P160 第1題

入侵檢測系統的檢測機制一般可以分為三種：基于異常的檢測機制，基于特征的檢測機制，以及兩者混合的檢測機制。

(1)異常檢測

基于異常的檢測，通過將系統或用戶行為與正常行為進行比較來判別是否為入侵行為，通常會首先給出一個系統正常行為的特征列表，即“白名單”列表。然后將系統或用戶行為特征和“白名單”中的行為特征進行比較，如果匹配，則判定系統或用戶的行為是正常行為，否則，判定系統或用戶的行為是入侵行為。

(2)誤用檢測

不同于異常檢測，誤用檢測假定每個入侵行為都能夠用一個獨特的模式或特征所代表，因此在系統中建立異常行為的特征庫，然后將系統或用戶的行為與特征庫進行比較。若特征相互匹配，則判定系統或用戶的行為是入侵行為，若不能匹配，則判定系統或用戶行為是正常行為。

6.為什么要對系統進行安全評估，其基本過程是什么？P227 第1題

答：每一個系統都有可能被入侵。系統被入侵后，系統數據可能被破壞或被竊取，因此，必須對網絡上的系統進行安全評估。一般評估過程由以下幾個部分組成：對系統進行完整的風險、威脅分析；制定合適的安全策略；對系統進行強制性的補丁安裝和安全升級。同時，系統在與無安全措施的終端進行資源共享時，還需要一個標準化的規程使風險降到最低。7.災難備份有哪些技術，其原理是什么？P250第3題

答：現有的災難備份技術主要有三種，(1)基于磁盤系統的災難備份技術，基于磁盤系統的遠程數據備份技術是以磁盤系統為基礎，采用硬件數據復制技術，借助磁盤控制器提供的功能，通過專線實現物理存儲器之間的數據交換。這種方式的優點是，它獨立于主機和主機操作系統，不占用主機的CPU、主機通道和網絡資源，對主機透明，也不需要對現有應用系統作任何改動。

(2)基于軟件方式的災難備份技術，軟件方式的災難備份技術是基于操作系統級的災難

備份解決方案。其特點是與操作系統平臺相關，而對應用程序是透明的。此方式通過通信網絡，實現數據在兩個不同地點之間的實時備份。

(3)其它災難備份技術的解決方案，目前，各大知名數據業務公司都相繼推出自己的災難備份技術解決方案，如通過磁帶庫技術實現數據遠程備份解決方案，Sybase、ORACLE的數據庫鏡像技術解決方案等。

8.簡述操作系統備份的好處和危險 P278 第2題

答：系統備份可以向用戶正在使用的系統提供一個副本，在原版本丟失的情況下可以使用。可能會有很多種原因導致系統原版本的丟失，服務器遭到攻擊導致失效，惡意攻擊破壞重要數據，或是硬件失靈。在任何一種情況下，都需要依靠系統的備份來恢復系統的運行。

系統備份的危險在于系統備份通常被創建在可移動的介質上。而介質能夠被傳輸到很遠的地方。除非對用戶備份的傳輸途徑和存儲地點進行嚴格的物理控制，否則這些備份可能會落入惡意第三方手中。相比較而言，在數據中心得到數據肯定比通過數據備份得到數據要更困難。即使保密性并不是用戶最初關心的重點，可是一個完整的系統備份通常包含了足夠信息用于攻擊者向運行中的系統攻擊。

9.說明白名單與黑名單過濾的區別 P211 第1題

答：白名單過濾是根據白名單列表進行的。這個白名單列表是一個允許訪問列表，由第三方審查和編譯。列表上的所有內容都是允許訪問的，可以是一個允許訪問的網頁的URL列表，一個合法關鍵詞列表，或是一個合法通信數據包的包簽名列表。

黑名單過濾是基于有害內容的名單進行的。這個名單可能包含網站的URL，關鍵詞，以及通信數據包的簽名等內容。由于黑名單規模的有限性以及易管理性，這種方法比白名單過濾更常見。

五、應用題

1.舉例說明如何應用防御多樣化原則 2.舉例說明如何應用縱深防御原則

信息安全的8條基本原則如下：

（1）最小特權原則：最小特權原則是指一個對象(或實體)應該只擁有為執行其分配的任務所必要的最小特權，并絕對不超越此限。

（2）縱深防御原則：縱深防御是另一個重要的原則，是指不能只依靠單一的安全機制，而應該通過多種機制互相支撐以實現安全的目的。例如，通常企業都使用多道防線來實現信息安全，第一道防線是防火墻，第二道防線是入侵檢測系統。此外，還需要使用在每臺計算機中安裝防病毒軟件等技術或產品。這就是縱深防御原則的體現。

（3）阻塞點原則：所謂阻塞點就是設置一個窄道，目的是強迫攻擊者使用這個窄道，以對其進行監視和控制。

（4）最薄弱鏈接原則：最薄弱鏈接原則是指鏈的強度取決于它的最薄弱鏈接，墻的堅固程度取決于它的最薄弱處，即網絡信息安全中的“短板原理”。

（5）失效保護狀態原則：失效保護原則是指當系統失效以后應該自動處于安全保護狀態，能夠拒絕入侵者的入侵。網絡中的許多應用都是以保護失效原則設計的。

（6）普遍參與原則：為了使安全機制更有效，應該要求包括官員、管理者、普通職工和用戶等每一成員都能有意識地普遍參與。

（7）防御多樣化原則：防御多樣化是指通過使用大量不同類型的安全技術（或產品）使信息系統得到額外的安全保護。例如某企業使用n道防線實現信息安全，雖然體現了防御的原則，但是，如果n道防線都使用同一種安全技術，則其它n-1道防線形成的縱深就形同虛設了。相反，如果n個縱深使用不同的技術（或產品），既體現防御多樣化原則，又體現了縱深防御的原則。

（8）簡單化原則：隨著企業規模的擴大，信息系統的功能也變得越來越復雜，其安全需求也越來越難以充分滿足；又由于攻擊和防御技術在矛盾中不斷發展，安全產品會變得越來越專業，安全策略也會變得晦澀難懂，影響安全方案的實施。3.舉例說明如何應用數字簽名技術檢驗數據的完整性（沒被篡改）。（例子自己舉）

首先發送方要使用哈希函數產生明文消息的摘要。消息摘要產生后，用戶需要使用私鑰對其進行加密從而產生數字簽名。之后，發送方使用和接收方共享的密鑰將消息和數字簽名加密后一同發給接收方。

接收方收到經過數字簽名的消息后，首先解密消息，提取出明文消息和數字簽名。然后使用和發送方相同的哈希函數對明文進行計算，得到消息的消息摘要。同時，使用發送方的公鑰解密數字簽名。最后將發送方計算出的明文消息的消息摘要和由發送方解密出來的消息摘要進行比較。如果兩個摘要是一樣的，則能夠認定消息在傳遞過程中未受到第三方更改。

4.舉例說明如何應用數字簽名技術檢驗數據的不可否認性。（例子自己舉）

用發送方私鑰加密的信息能用發送方的公鑰解密（因為私鑰只有發送者自己掌握），則發送方不能否認。5.電子商務安全技術有哪些

（1）防火墻技術：負責過濾進入或離開計算機網絡的通信數據，通過對接收到的數據包和防火墻內部過濾規則庫中的安全規則進行比較，決定是否把一個數據包轉發到它的目的地。

（2）數字加密技術：通過加密算法對敏感信息進行加密，然后把加密好的數據和密鑰在線路上傳送給接收方，接收方只有通過解密算法對密文進行解密才能獲取敏感信息。

（3）認證技術：是保證電子商務活動中的交易雙方身份及其所用文件真實性的必要手段。

（4）協議層技術：最常見的安全機制有SSL及SET兩種協議。SSL旨在為網絡通信提供安全及數據完整性的一種安全協議。SET協議應用于互聯網上的以銀行卡為基礎進行在線交易的安全標準，主要應用于保障網上購物信息的安全性。6.自主訪問控制與強制訪問控制的區別

強制訪問控制是基于規則進行的。依據主體和客體的安全級別來制定訪問控制規則，決定一個訪問請求是被接受還是被拒絕。組織的實際情況不同，因此設置的訪問控制規則也不相同，例如在有些組織的訪問控制規則中，標記為“秘密”等級的主題只能訪問同樣標記為“秘密”的客體。而另一種情況可能是，標記為“秘密”等級的主體除了可以訪問標記為“秘密”的客體之外，還可以訪問安全等級更低的客體。7． 為什么要對系統進行安全評估，評估的基本過程是什么？

每一個系統都有可能被入侵。系統被入侵后，系統數據可能被破壞或被竊取，因此，必須對網絡上的系統進行安全評估。一般評估過程由以下幾個部分組成：對系統進行完整的風險、威脅分析；制定合適的安全策略；對系統進行強制性的補丁安裝和安全升級。同時，系統在與無安全措施的終端進行資源共享時，還需要一個標準化的規程使風險降到最低。

六、設計題

1.假如你是某企業的網管，請你思考如何實現Windows Server 2003最基本的安全設計？ 初級安全方案設計：

（1）物理安全

（2）停掉Guest 賬號

（3）限制不必要的用戶數量（4）創建2個管理員用賬號

（5）把系統administrator賬號改名

（6）創建一個陷阱賬號

（7）把共享文件的權限從”everyone”組改成“授權用戶”

（8）使用安全密碼

（9）設置屏幕保護密碼（10）使用NTFS格式分區（11）運行防毒軟件

（12）保障備份盤的安全 中級安全方案設計：

（1）利用win2000的安全配置工具來配置策略

（2）關閉不必要的服務（3）關閉不必要的端口

（4）打開審核策略 高級安全方案設計：

（1）關閉DirectDraw、關閉默認共享（2）禁用Dump File、文件加密系統

（3）加密Temp文件夾、鎖住注冊表、關機時清除文件（4）禁止軟盤光盤啟動、使用智能卡、使用IPSec（5）禁止判斷主機類型、抵抗DDOS（6）禁止Guest訪問日志和數據恢復軟件 2.某企業正在遭受黑客的威脅，假如你是某企業的網絡管理員，請你設計一個雙重防火墻系統，并說明設計的理由。P139 需要畫圖

3.請你為某企業設計一個災難恢復方案 P370 說明企業業務的情況，根據數據的特點設計（可以查閱網絡資源，答案是開放的，合理即可，每個人的方案應該是不同的，考試時相同則不給分）

4.假如你是某企業的網管，請根據信息與網絡安全知識，設計一個安全的網絡方案？

（1）畫出拓撲圖，并標明所有的安全設備（軟、硬件）在P150圖的基礎上改，增加防毒、備份等內容。

（2）說明設計的依據（體現的原則、應用的原理等）

第四篇：信息管理學復習題

一、名詞解釋 1.信息

2.信息資源 3.信息管理

4.信息戰略規劃 5.信息資源計劃 6.信息系統 7.學習型組織 8.虛擬企業 9.業務流程再造 10.信息化 11.信息化管理 12.CIO

二、問答題

1.數據、信息、知識有何異同？ 2.什么是信息管理？有什么特征？

3.信息管理學研究的對象。4.信息戰略規劃的目的。

5.組織為什么要制定信息資源計劃？主要涉及哪些內容？ 6.簡述信息管理組織的職責。

7.畫出基本型的信息管理組織的結構。8.簡述信息管理控制的內涵。9.業務流程再造包括哪些內容？ 10.分析CIO應具備的基本素質。

11.分析CIO在組織管理中的地位和職能。

12.請談談當前在我國大型企業中設立CIO的必要性。13.簡述企業信息化發展階段模型。

14.信息化引發了管理變革。請列舉出與信息化相關的新型管理思想和方法（至少5個），選擇其中一種進行說明。

15.結合本課程學習內容，請談談你對信息管理職能的認識。16.請仔細閱讀如下的案例材料，并完成案例材料后所附的問題。

案例：江南化工廠王明國廠長對企業信息化非常重視，他對剛進廠的企業信息系統開發技術人員說，我相信你們的能力和技術水平，放手讓你們做，你們需要多少資金盡管說。系統初步設計結束時，請他審查，他說廠里工作太忙，實在沒有時間，再說計算機那玩藝我也不懂，你們看著辦就行了，我相信你們。在系統詳細設計期間，參加系統開發的本廠三個技術人員向他請示，我們三個都是學化工的，不懂計算機，他們說的話我們都聽不懂，也幫不上忙，還不如回本崗位工作，我們每個人都還有一大攤子事吶。王廠長不假思索地說：也好，留在那里也是浪費勞動力，回去吧。當系統詳細設計結束時，開發人員問他：“要不要組織專家論證審查？”王廠長說：“你們就是專家，還請誰來審查？”

（1）問：王廠長這樣進行企業計算機信息系統的建設，他能夠成功嗎？為什么？請說明理由。

（2）談談企業在進行信息化建設時高層領導的作用。17.成為CIO的主要障礙。作為企業的高級業務管理人員，CIO是企業管理與IT技術的全才，成為CIO的主要障礙都是什么？

技術和管理的不同點有許多，比如：管理是針對人的，技術是針對事的；管理似水，技術如鋼；管理重感情，技術重理性；管理貴在均衡，技術追求完美；管理是宏觀的，技術是微觀的。IT技術人員，即使可以做好研發管理、項目管理，甚至IT部門經理，要想成為企業的高級管理人員，必須改變思維和言行舉止，摒棄個性，隱藏鋒芒，提高情商，甚至經歷地獄般的摧殘磨練。

IT專家、IT經理、部門IT技術主管等在向高層管理的成長過程中四個主要的、必須逾越的障礙。

障礙1：全面的溝通藝術 交流與溝通對技術人員本不是件困難的事，做學術報告、參加研討會、撰寫文章等是技術專家的看家本領。但是，作為CIO的溝通與交流就不能僅僅是這么乏味、簡潔、單純。CIO要學會說話，要學會根據不同的場合、時間、對象和問題，說不同的話。比如，在與企業高管溝通時，CIO要了解企業的發展戰略、企業最關心的問題、高管對IT技術與應用的認識和期望，要學習戰略層次的企業管理。同時CIO還要用大白話宣傳企業信息化的基本知識和當前最新的技術進展，忌諱穿插英文三字經，消除高管人員對IT的神秘感:實實在在地解釋IT可以干什么，不能干什么。

障礙2：對企業的膚淺認識 參加企業的經營和管理活動、與企業的各類人員進行充分的溝通——上至決策者、中到部門主管、下到普通員工，這是了解企業的一條最佳途徑。這些人員實際上就是企業信息化的最終用戶，與他們的溝通就是與最終客戶在溝通，就可以從各個側面了解企業的歷史、發展、當前的問題、未來的愿景，了解企業的組織和各種關系，了解企業的生產、經營和管理模式以及核心業務流程。表面上看，這些都與IT技術無關，但是，這些都與IT應用息息相關，是IT人員成為CIO必須渡過的難關。

障礙3：蘭博式的個人英雄主義 CIO要引領企業的IT方向、制定戰略和規劃，要揚鞭吶喊、鼓舞士氣，而不僅僅事事親躬、埋頭沖鋒；CIO應該利用組織的力量，而不僅僅是個人的才華，這是科學家與經理人的重大區別。在企業信息化建設的工作當中，CIO自己不能成為、也不應該使用蘭博式的個體，而應該充分、合理地運用組織的力量。障礙4：技術精英的清高與孤傲要想成為合格的CIO，你一定努力成為企業需要的技術專家、管理專家。做專家的事，一絲不茍、踏踏實實、精益求精，但決不要自認為是專家，更不能有意無意地表現出技勝一籌。IT技術人員要將中國的傳統美德——謙虛銘刻在心。不要以為應用了歐美的先進技術與管理，就把爭強好勝、坦蕩直爽的文化也引入到中國，特別是帶入到歷史悠久的國企中。有志于加入CIO行列的IT人員，必須學會與企業的各類人員交朋友，與你的最終用戶交朋友。

案例分析：

1、企業IT技術人員如何才能成為真正的CIO？

2、企業信息化該由誰來牽頭？CIO在企業信息化中應該發揮什么作用？ 18.“耐克”不倒之謎和虛擬經營

網絡經濟時代，計算機技術和網絡技術的迅猛發展位虛擬經營提供了良好的技術支持，使其蓬蓬勃勃的發展起來。但事實上,虛擬經營并非是網絡經濟時代的新生兒，在工業經濟時代,有些企業家已經開始有意無意地使用了虛擬經營這種經營方式。就拿“耐克”來說,它作為國際知名品牌,不僅在歐美極負盛名，在發展中國家也盡人皆知。這全靠極具現代商業意識的總裁菲爾·耐克的精心策劃,奮力開拓,選擇了適當靈活的“借雞下蛋”的生產方式。

創業初期，由于菲爾·耐克準確預測到彈性好又能防潮的運動鞋的市場前景，耐克鞋憑借獨特的設計、新穎的造型迅速在美國打開了市場。隨著公司的壯大，菲爾·耐克把眼光投向了國際市場。但是，耐克鞋價格較高，如果依靠出口進入其他國家市場，本身的高價位再加上各國，尤其是發展中國家的高關稅，是很難被這些國家的顧客所接受的。

那么，如何解決這一難題呢？這便是耐克公司生產上的“借雞下蛋”法。耐克公司通過在愛爾蘭設廠進入了歐洲市場并以次躲過高關稅，又在日本聯合設廠打入了日本市場，在70年代末能有這種巧妙構思，不能不令人欽佩。所以，如果向公眾說明耐克公司是一家沒有廠房的美國公司，它是依靠別的企業為它生產的，人們就會明白“借雞”的含義了。耐克公司的經理們只是集中公司的資源，專攻附加值最高的設計和行銷，然后坐著飛機來往于世界各地，把設計好的樣品和圖紙交給勞動力成本較低的國家的企業，最后驗收產品，貼上“耐克”的商標，銷售到每個喜愛“耐克”的人手中。隨著各地區生產成本的變化，耐克公司的合作對象從日本、西歐轉移到了韓國、臺灣，進而轉移到中國、印度等勞動力價格更為低廉的發展中國家，到90年代，耐克更為看好越南等東南亞國家。由于耐克公司在生產上采取了“借雞下蛋”法，從而本部人員相當精簡而又有活力，這樣避免了很多生產問題的拖累，使公司能集中精力關注產品設計和市場營銷等方面的問題，及時收集市場信息，及時將它反映在產品設計上，然后快速由世界各地的簽約廠商生產出來滿足需求。

案例分析：

1、耐克公司的這種策略，從理論上可以劃歸為哪種現代企業經營模式？

2、結合案例簡述虛擬經營的實質及其為企業和客戶各帶來什么好處？

19.專賣管理提升與信息化。

隨著市場化的進程，煙草行業正在進行組織機構調整、業務流程再造等影響深遠的改革，對煙草專賣管理工作提出了更高的要求，專賣已經不僅僅體現在“管制”、“查處”、“打假”等方面，煙草專賣工作逐漸從“管理服務型”向“服務管理型”轉變，誠信等級全國推廣工作順利開展，服務意識深入人心。

近幾年，為規范自身的執法辦案行為，全面推進依法行政，各地煙草專賣管理部門做了大量工作，出臺了一系列的規章和制度，采取了積極措施，取得了明顯的成效，監管執法由過去簡單的粗放式逐步向系統化、規范化、科學化和法制化。為了適應規范化辦案的要求，加大管理力度，提升辦案水平，強化辦案規范，在原來的基礎上，重新開發新的智能化案件管理系統。新的智能化案件管理系統主要是通過軟件控制辦案程序，規范辦案流程，提高辦案效率，力求達到在案件定性后自動檢索適用條款、自動計算罰沒金額、自動生成辦案文書，從而達到統一處罰標準、嚴格辦案程序、規范罰沒煙管理的目的，逐步減少自由裁量權使用不當現象。信息系統應該成為專賣規范執法、文明執法的有力工具。

為建設數字煙草，煙草專賣管理部門提出“用信息化帶動煙草現代化建設”的指導思想，各地專賣管理工作依托信息化建設，信息化范圍現已涵蓋專賣管理工作的方方面面，不同層次的專賣人員均充分意識到專賣信息工作的重要性，進一步規范了專賣程序，創新了管理模式，提高了管理水平，為市場信息動態化、考核評價數字化、管理服務規范化提供了有力的支撐。在專賣管理工作提升后，我們的信息化建設也要與時俱進，做好服務和業務支撐工作，以軟件反映管理、規范管理、提升管理。

案例分析：

1、結合案例簡述煙草專賣管理部門如何實施其信息化建設？

2、各地煙草專賣實現信息化為其帶來什么好處？

第五篇：信息檢索復習題

信息檢索復習題

1．檢索技術 布爾邏輯檢索 三種運算符：

邏輯“與”（用AND或“*”表示），可以縮小檢索范圍； 邏輯“或”（用OR或“+”表示），可以擴大檢索范圍； 邏輯“非”（用NOT或“—”表示），可以縮小檢索范圍。

（1）布爾邏輯表達式：在職人員NOT（青年AND教師）的檢索結果是（A）。A．檢索出除了青年教師以外的在職人員的數據 B.青年教師的數據

C.青年教師和在職人員的數據 D.在職人員的數據

（2）檢索“唐宋詩歌”的有關信息，正確的檢索表達式是（A）。A．（唐OR宋）AND詩歌 B.唐AND宋AND詩歌 C.唐OR宋OR詩歌 D.唐AND宋OR詩歌

（3）為了提高查全率，往往通過采用（B）。A．提高檢索詞的專指度 B.多用截詞符 C.增加使用邏輯“與” D.減少邏輯“或”

寫出檢索表達式：

（１）檢索錢偉長在清華大學時發表的文章；

作者＝錢偉長and單位＝清華大學；

（２）檢索錢偉長在清華大學時發表的題名或摘要中包含＂物理＂的文章。

作者＝錢偉長and單位＝清華大學and(題名＝物理or摘要＝物理)。

? 位置檢索

掌握DIALOG檢索系統的位置算符的用法意義。

（1）對end(w)laster哪個執行結果是正確的（B）。

A．end AND laster B.end laster C.laster end D.laster AND end

（2）美國DIALOG檢索系統的位置算符中，（C）表示其兩側的檢索詞必須是在文獻記錄的同一個字段中，而它們在該字段中的相對次序和相對位置的距離不限。

A．(S)B.(W)C.(F)D.(N)

? 截詞檢索：掌握幾種截詞方式。截詞符具有“OR”運算符的功能，能夠擴大檢索范圍。? 字段檢索

基本索引字段：篇名、文摘、敘詞、自由標引詞四個字段。輔助索引字段：除基本索引字段以外的所有字段。

（1）下列字段屬于基本索引字段的是（C）。

A．著者字段 B.文獻類型字段 C.文摘字段 D.語種字段

? 常用的檢索方法有：工具法、追溯法和循環法。（1）針對研究課題處于興旺時期的一段時間文獻信息進行查找文獻的方法是（C）。

A．順查法 B.倒查法 C.抽查法 D.追溯法

（2）利用已知文獻的引用文獻或參考文獻為線索，由近及遠，進行逐一追蹤的查找文獻的方法是（D）。

A．順查法 B.倒查法 C.抽查法 D.追溯法

? 檢索步驟：

（１）分析研究課題；（２）選定檢索工具；（３）確定檢索方案；（４）進行具體查找；

（５）提供文獻線索、查閱原始文獻。

? 檢索效果：查全率和查準率。?（1）（A）是檢出的相關文獻與檢出的全部文獻的百分比。A．查準率 B.查全率 C.誤檢率 D.漏檢率

? 檢索語言是根據信息檢索的需要而創制的人工語言。? 檢索語言由詞匯和語法組成。

? 檢索語言按其結構原理，可分為體系分類檢索語言和主題檢索語言。

（1）利用分類途徑進行檢索，其檢索標識為（C）。A．主題詞 B.關鍵詞 C.分類號 D.分子式

?（D）是按照文獻內容的學科體系，根據圖書館采用的分類法組織而成的目錄。

A．主題目錄 B.題名目錄 C.責任者目錄 D.分類目錄

（2）分類號位數每增加一位，則（B）。

A．分類級別更高一級 B.分類級別更低一級 C.分類級別不受到影響 D.以上不對（3）（D）屬于表述文獻內容特征的檢索語言。A．篇名 B.文獻代碼 C.引文 D.關鍵詞

? 信息、知識、情報和文獻的定義以及四者之間的關系。

? 信息的特點包括：普遍性、傳遞性、多樣性、時效性和共享性。? 文獻的主要作用是存儲、傳播、交流知識和信息。? 文獻由四個要素組成：所記錄的知識、記錄知識的符號、用于記錄知識的物質載體、記錄的方式或手段。

? 文獻的半衰期：是指某學科領域目前尚在使用的全部文獻中，較新的一半所出版的年限。

? 文獻的載體類型：印刷型、縮微型、聲像型、機讀型。

? 檢索工具在檢索過程中有兩個方面的作用，一是存儲，二是查找。? 一次文獻、二次文獻、三次文獻的含義、特征以及相互關系。

（1）三次文獻是一次文獻的濃縮，是對眾多文獻分析、綜合歸納、整理而形成的。

? 下列哪種文獻屬于一次文獻（A）

A、期刊論文 B、百科全書 C、綜述 D、文摘

（2）下列的文獻信息的劃分是按其加工程度劃分的是（C）。A．圖書 B.網絡文本 C.二次文獻 D.報刊

? 專利審查方式：形式審查制、實質審查制、延遲審查制。

（1）在對發明專利申請的審查方式上，目前我國采用（C）。A．形式審查制 B.實質審查制 C.延遲審查制 D.以上三種制度交叉使用

（2）無論是國際標準還是各國標準，在編號方式上均遵循各自規定的一種固定格式，通常為（D）。

A．年代號＋流水號＋標準代號

B.流水號＋標準代號＋年代號 C.流水號＋年代號＋標準代號 D.標準代號＋流水號＋年代號

? 如何縮小檢索范圍：（1）增加其他關鍵詞進行二次檢索；（2）增加其他檢索入口進行組合檢索；（3）運用邏輯非排除一些無用的結果；（4）運用位置算符修飾檢索詞。

? 圣典E-BOOK電子圖書的檢索方式。

（１）分類導航。根據學科分類和中圖法分類將電子圖書分成兩種不同的排列順序，讀者可根據個人的閱讀習慣選擇不同的分類法查找所需的圖書。（２）簡單檢索。簡單檢索提供了書名、作者、出版社、出版日期、關鍵詞、ISBN等多種單項模糊查詢。

（３）高級檢索。高級檢索提供了書名、作者、出版社、出版日期、ISBN等多項復合查詢。

? 在萬方數據資源系統的《中國學位論文全文數據庫》中，檢索標題含有“電機”并且全文含有“汽車”的記錄，請寫出檢索步驟。

?（１）選擇數據庫：進入相應欄目資源總覽區，選取《中國學位論文全文數據庫》（２）確定第一個關鍵詞的檢索方式，在數據庫檢索提問表單的第一個字段選擇下拉列表框右側單擊下三角按鈕，選擇“論文標題”選項（３）輸入第一個檢索關鍵詞，在數據庫檢索提問表單的第一個查詢關鍵字文本框中輸入關鍵詞“電機”（４）確定詞間關系，在邏輯運算選擇下拉列表框中選擇“與”（５）確定第二個關鍵詞的檢索方式，在第二個檢索字段選擇下拉列表框中選擇“關鍵詞”選項（６）輸入第二個檢索關鍵詞：在數據庫檢索提問表單的第二個查詢關鍵字文本框中輸入關鍵詞“汽車”（７）執行檢索，單擊“檢索”按鈕。

? 參考工具書與一般圖書的區別。? 參考工具書與檢索工具書的區別。? 參考工具書按收錄內容和功用可分為：百科全書、年鑒、字典、詞典名錄、手冊、圖表冊等。

? 搜索引擎的工作過程可分為：信息搜集、信息處理、信息查詢。

（1）在使用google搜索引擎時,輸入：諾基亞N73評測site:www.tmdps.cn 或張軍生 filetype:doc site:www.tmdps.cn。