末网络与安全考试参考(全).doc

概述 1.信息的安全属性？ 保密性、完整性、可用性、可控性、不可否认性。 2.信息安全定义？ 是对信息和信息系统的安全属性、功能、效率进行保障的动态行为过程。运用源于人，技术，管理等因素形成的保护能力，检测能力，反应能力和恢复能力，在信息和信息系统的生命周期全过程的各个状态下，保证信息内容、计算环境、边界与连接、网络基础设施额保密性，完整性，可用性，可控性，不可否认性等安全属性，从而保障应用服务的效率和效益，促进信息化的可持续健康发展。 3.信息安全的三个发展阶段？ 通信安全阶段、计算机安全与信息安全阶段、信息保障阶段。 4.PDRR模型的4个阶段？ 保护protection、检测detection、响应react、恢复restore。 5.信息安全体系结构定义？ 信息安全体系结构是针对信息系统而言的，即信息系统的安全体系结构，是实现安全组件和相关组件之间逻辑关系的总和。 6.开放系统互连(osi)安全体系结构中提供的5类安全服务是什么？8种安全机制是什么？ 五类服务：鉴别、访问控制、数据完整性、数据机密性、抗抵赖。 八种机制：加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制、公证。 7.我国的信息安全对策：《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号文件），其总体要求是什么？主要原则是什么？ 总体要求：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统；从更深层次和长远考虑，积极防御还要求国家要有一定的信息对抗能力和反制手段，从而对信息网络犯罪和信息恐怖主义等形成威慑。 主要原则: 立足国情，以我为主，坚持管理与技术并重；正确处理安全与发展的关系，以安全保发展，在发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全安全保障体系。 第2章 信息安全体系结构设计 1.常用的网络参考模型？ OSI/ISO、TCP\IP。 2.威胁可分为哪几类？ 自然威胁；人为威胁：敌意的威胁、非敌意的威胁。（有无目的、动机、企图） 3.《信息保障技术框架》中对攻击的分类是什么？ 被动攻击、主动攻击、邻近攻击、内部人员攻击、分发攻击。 4.什么是风险？衡量风险的两个指标是什么？ 由于信息系统存在的脆弱性，人为或者自然威胁导致信息安全事件发生的可能性及其造成的影响。 指标：信息安全事件发生的可能性、信息安全事件造成的影响 5.从哪些方面进行信息安全需求分析？主要安全需求有哪些？ 物理安全：保障信息系统（环境安全）、信息系统设备（设备安全）和数据存储介质等免受物理环境、自然灾害以及人为失误和恶意操作等各种威胁所产生的攻击。 系统安全：提供安全的操作系统和安全的数据库管理系统，以实现二者的安全运行。 网络安全：确保网络系统安全运行，提供有效的网络服务，确保在网上传输数据的安全。 应用安全：保证信息系统的各种业务应用安全运行。 安全管理：通过维护信息的保密性、完整性和可用性等来管理和保护信息资产的一项体制，是对信息 安全保障进行指导、规范和管理的一系列活动和过程。 6.安全体系结构的设计原则？（论述） 木桶原则：对信息均衡、全面地进行保护。 整体性原则：采用多种安全措施，分层次有重点地对系统进行防护，防内与防外并重。 安全与代价平衡原则：在确保将信息系统安全风险控制在可接受范围前提下，将信息安全体系结构成本控制在合理范围内。 标准优先原则：安全体系结构设计需遵循一定标准，确保信息系统各个部分的一致性，实现信息共享。管理与技术并重原则：将各种安全技术与运行管理机制、安全规章制度人员思想教育与技术培训结合动态发展原则：随着网络环境和应用的改变，新攻击方式出现，会不断提出新要求，是动态发展过程。 第3章 物理安全 1.什么是物理安全？ 是保护计算机设备、设施免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施和过程。 2.为了确保信息系统的物理安全，应该从哪几方面去考虑？ 环境安全、设备安全、通信线路安全、电源系统安全 第4章系统安全 1.什么是访问控制？ 按用户身份及其所归属的定义组来限制用户对某些信息项的访问，或对某些控制功能的使用。 2.什么是访问控制矩阵？根据条件写出访问控制矩阵。 行表示主体拥有的所有权限； 列表示客体开放的所有权限； 矩阵中的元素是所在行对应的主体对其所在列对应的客体的访问权限。 3.访问能力表、访问控制列表的适用场合？ 访问能力表：从主体角度出发。 访问控制表：从客体角度出发。 能力表适用于： 当客体很少时；对于撤销主体访问权时；在访问控制由主体一方实施管理的情况下；在有