計(jì)算機(jī)三級(jí)信息安全第4套答案解析

1、一、選擇題1. A 【解析】TCSEC標(biāo)準(zhǔn)是計(jì)算機(jī)系統(tǒng)安全評(píng)估的第一個(gè)正式標(biāo)準(zhǔn)，具有劃時(shí)代的意義。該準(zhǔn)則于1970年由美國國防科學(xué)委員會(huì)提出，并于1985年12月由美國國防部公布。TCSEC最初只是軍用標(biāo)準(zhǔn)，后來延至民用領(lǐng)域。TCSEC將計(jì)算機(jī)系統(tǒng)的安全劃分為4個(gè)等級(jí)、7個(gè)級(jí)別。故選擇A選項(xiàng)。2. B 【解析】IATF將信息系統(tǒng)的信息保障技術(shù)層面劃分成了四個(gè)技術(shù)框架焦點(diǎn)域：網(wǎng)絡(luò)和基礎(chǔ)設(shè)施，區(qū)域邊界、計(jì)算環(huán)境和支撐性基礎(chǔ)設(shè)施。在每個(gè)焦點(diǎn)領(lǐng)域范圍內(nèi)，IATF都描述了其特有的安全需求和相應(yīng)的可供選擇的技術(shù)措施。因此資產(chǎn)不在四個(gè)技術(shù)框架焦點(diǎn)域之內(nèi)。故選擇B選項(xiàng)。3. D 【解析】TACACS+與Rad

2、ius協(xié)議相近。不過TACACS+用的是TCP協(xié)議，Radius用的是UDP。RADIUS 從用戶角度結(jié)合了認(rèn)證和授權(quán)，而 TACACS+ 分離了這兩個(gè)操作。TACACS使用固定的密碼進(jìn)行認(rèn)證，而TACACS+允許用戶使用動(dòng)態(tài)密碼，這樣可以提供更強(qiáng)大的保護(hù)。故選擇D選項(xiàng)。4B【解析】 RSA加密算法是一種非對(duì)稱加密算法。在公鑰加密標(biāo)準(zhǔn)和電子商業(yè)中RSA被廣泛使用。RSA是1977年由羅納德·李維斯特、阿迪·薩莫爾和倫納德·阿德曼一起提出的。當(dāng)時(shí)他們?nèi)硕荚诼槭±砉ご髮W(xué)工作。A正確。ElGamal算法，是一種較為常見的加密算法，它是基于1984年提出的公鑰密碼體制和

3、橢圓曲線加密體系。故C正確。ECC是“Error Checking and Correcting”的簡寫，中文名稱是“錯(cuò)誤檢查和糾正”。ECC是一種能夠?qū)崿F(xiàn)“錯(cuò)誤檢查和糾正”的技術(shù)，故D 正確。Diffie-Hellman:一種確保共享KEY安全穿越不安全網(wǎng)絡(luò)的方法，這個(gè)密鑰交換協(xié)議/算法只能用于密鑰的交換，而不能進(jìn)行消息的加密和解密。故選擇B選項(xiàng)。5. B【解析】 放棄這個(gè)密鑰為密鑰的銷毀。密鑰期限到后，我們將更新密鑰，稱為舊密鑰的過期。整個(gè)過程稱為密鑰的更新。懷疑一個(gè)特定的密鑰已受到威脅或者密鑰的使用目的已經(jīng)改變，我們稱之為密鑰撤銷。故選擇B選項(xiàng)。6. D【解

4、析】消息認(rèn)證碼是一種認(rèn)證技術(shù)，它利用密鑰來生成一個(gè)固定長度的數(shù)據(jù)塊，并將該數(shù)據(jù)塊附加在消息之后。消息認(rèn)證碼只提供認(rèn)證，D選項(xiàng)錯(cuò)誤。故選擇D選項(xiàng)。7. A【解析】對(duì)網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問的第一道防線。用戶注冊(cè)時(shí)首先輸入用戶名和口令，服務(wù)器將驗(yàn)證所輸入的用戶名是否合法。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。故選擇A選項(xiàng)。8D【解析】Biba模型是和BLP模型相對(duì)立的模型，Biba模型改正了被BLP模型所忽略的信息完整性問題，但在一定程度上卻忽視了保密性。利用“下讀/上寫”的原則來保證數(shù)據(jù)的完整性，D選項(xiàng)錯(cuò)誤。故選擇D選項(xiàng)。9. A【解析】 RAD

5、IUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS服務(wù)器，任何運(yùn)行RADIUS客戶端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶端。RADIUS協(xié)議認(rèn)證機(jī)制靈活，可以采用PAP、CHAP或者Unix登錄認(rèn)證等多種方式。由于RADIUS協(xié)議簡單明確，可擴(kuò)充，因此得到了廣泛應(yīng)用，包括普通電話上網(wǎng)、ADSL上網(wǎng)、小區(qū)寬帶上網(wǎng)、IP電話、VPDN（Virtual Private Dialup Networks，基于撥號(hào)用戶的虛擬專用撥號(hào)網(wǎng)業(yè)務(wù)）、移動(dòng)電話預(yù)付費(fèi)等業(yè)務(wù)。故選擇A選項(xiàng)。10. B【解析】進(jìn)程是資源分配的基本單位。所有與該進(jìn)程有關(guān)的資源，都被記錄在進(jìn)程控制塊PCB中。以表示該進(jìn)程擁有這些資源

6、或正在使用它們。與進(jìn)程相對(duì)應(yīng)，線程與資源分配無關(guān)，它屬于某一個(gè)進(jìn)程，并與進(jìn)程內(nèi)的其他線程一起共享進(jìn)程的資源。通常在一個(gè)進(jìn)程中可以包含若干個(gè)線程，它們可以利用進(jìn)程所擁有的資源。在引入線程的操作系統(tǒng)中，通常都是把進(jìn)程作為分配資源的基本單位，而把線程作為獨(dú)立運(yùn)行和獨(dú)立調(diào)度的基本單位。故選擇B選項(xiàng)。11. A【解析】保護(hù)環(huán)對(duì)工作在環(huán)內(nèi)的進(jìn)程能夠訪問什么、能夠執(zhí)行什么命令提出了嚴(yán)格的界線和定義。保護(hù)環(huán)在主體和客體之間提供了一個(gè)中間層，當(dāng)一個(gè)主體試圖訪問一個(gè)客體時(shí)，可以用它來進(jìn)行訪問控制。在內(nèi)環(huán)中執(zhí)行的進(jìn)程往往處于內(nèi)核模式，在外環(huán)中工作的進(jìn)程則處于用戶模式。故選擇A選項(xiàng)。12. B【解析】chmod用于改

7、變文件或目錄的訪問權(quán)限。chown將指定文件的擁有者改為指定的用戶或組。在lunix系統(tǒng)里，文件或目錄的權(quán)限的掌控以擁有者及所訴群組來管理。可以使用chgrp指令取變更文件與目錄所屬群組。who命令主要用于查看當(dāng)前在線上的用戶情況。故選擇B選項(xiàng)。13. D【解析】syslogd可以負(fù)責(zé)記錄系統(tǒng)運(yùn)作中，kernel或應(yīng)用程式產(chǎn)生的各種訊息。這些訊息被寫入到系統(tǒng)的紀(jì)錄檔中，讓管理人員，進(jìn)行故障排除、追蹤嘗試非法入侵的使用者、進(jìn)行使用者的分析等等。lastlog 列出用戶最后登錄的時(shí)間和登錄終端的地址。last 列出用戶所有的登錄時(shí)間和登錄終端的地址。lastcomm：顯示以前使用過的命令的信息。故

8、選擇D選項(xiàng)。14A【解析】數(shù)據(jù)庫的參照完整性屬于表間規(guī)則，對(duì)于永久關(guān)系的相關(guān)表，在更新、插入或刪除記錄時(shí)，如果只改其一，就會(huì)影響數(shù)據(jù)的完整性，對(duì)于更新、插入或刪除表間數(shù)據(jù)的完整性，統(tǒng)稱為參照完整性。數(shù)據(jù)庫的實(shí)體完整性指表中行的完整性，主要用于保證操作的數(shù)據(jù)（記錄）非空、唯一且不重復(fù)。在本題中，由于所有外鍵參考現(xiàn)有的主鍵，我們可以判斷屬于數(shù)據(jù)庫的參照完整性。故選擇A選項(xiàng)。15 C【解析】由題意知對(duì)數(shù)據(jù)庫內(nèi)部的安全相關(guān)對(duì)象進(jìn)行完整的掃描和檢測(cè)屬于內(nèi)部安全檢測(cè)。滲透測(cè)試是軟件測(cè)試中的方案，包括信息收集、端口掃描、權(quán)限提升、溢出測(cè)試等等。故選擇C選項(xiàng)。16 A【解析】所謂SQL注入，就是通過把SQL命

9、令插入到Web表單提交或輸入域名或頁面請(qǐng)求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。防火墻為了使合法用戶運(yùn)行網(wǎng)絡(luò)應(yīng)用程序訪問服務(wù)器端數(shù)據(jù)，必須允許從Internet到Web服務(wù)器的正向連接，因此一旦網(wǎng)絡(luò)應(yīng)用程序有注入漏洞，攻擊者就可以直接訪問數(shù)據(jù)庫進(jìn)而甚至能夠獲得數(shù)據(jù)庫所在的服務(wù)器的訪問權(quán)，因此在某些情況下，SQL注入攻擊的風(fēng)險(xiǎn)要高于所有其他漏洞。由此可見防火墻對(duì)SQL注入沒有有效的防范。故選擇A選項(xiàng)。17A【解析】封裝式安全措施負(fù)載 (ESP) 不僅為 IP 負(fù)載提供身份驗(yàn)證、完整性和抗重播保護(hù)，還提供機(jī)密性。傳輸模式中的 ESP 不對(duì)整個(gè)數(shù)據(jù)包進(jìn)行簽名。只對(duì) IP 負(fù)載（而不對(duì)

10、 IP 報(bào)頭）進(jìn)行保護(hù)。ESP 報(bào)頭置于 IP 負(fù)載之前，ESP 尾端與 ESP 驗(yàn)證尾端置于 IP 負(fù)載之后。因此源IP和目標(biāo)IP不在范圍之內(nèi)。故選擇A選項(xiàng)。18C【解析】IPsec是透過對(duì)IP協(xié)議（互聯(lián)網(wǎng)協(xié)議）的分組進(jìn)行加密和認(rèn)證來保護(hù)IP協(xié)議的網(wǎng)絡(luò)傳輸協(xié)議族（一些相互關(guān)聯(lián)的協(xié)議的集合）。IPsec協(xié)議工作在OSI 模型的第三層，使其在單獨(dú)使用時(shí)適于保護(hù)基于TCP或UDP的協(xié)議。故選擇C選項(xiàng)。19 D【解析】證書的驗(yàn)證需要驗(yàn)證有效性，即證書是否在證書的有效使用期之內(nèi)；驗(yàn)證可用性，即證書是否已廢除；驗(yàn)證真實(shí)性，即證書是否為可信任的CA認(rèn)證中心簽發(fā)。故選擇D選項(xiàng)。20B【解析】防火墻指的是一個(gè)

11、由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障.是一種獲取安全性方法的形象說法，它是一種計(jì)算機(jī)硬件和軟件的結(jié)合，使Internet與Intranet之間建立起一個(gè)安全網(wǎng)關(guān)（Security Gateway），從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入。因此不能防范內(nèi)網(wǎng)之間的惡意攻擊，不能防范病毒和內(nèi)部驅(qū)動(dòng)的木馬，不能防備針對(duì)防火墻開放端口的攻擊。但是對(duì)面向連接協(xié)議的攻擊，防火墻還是能夠防范的。故選擇B選項(xiàng)。21. D【解析】Rootkit是一種特殊的惡意軟件，它的功能是在安裝目標(biāo)上隱藏自身及指定的文件、進(jìn)程和網(wǎng)絡(luò)鏈接等信息，Rootkit通過加載特殊的驅(qū)動(dòng)，修改

12、系統(tǒng)內(nèi)核，進(jìn)而達(dá)到隱藏信息的目的。線程插入技術(shù)也叫遠(yuǎn)程線程技術(shù)，指的是將自己的代碼插入正在運(yùn)行的進(jìn)程中的技術(shù)。DLL動(dòng)態(tài)劫持技術(shù)和端口反彈技術(shù)也都不在內(nèi)核處實(shí)現(xiàn)的。故選擇D選項(xiàng)。22. A【解析】“震蕩波”病毒利用windows操作系統(tǒng)的安全漏洞進(jìn)行傳播，用戶不需要接收電子郵件或者打開文件就可以被感染。故選擇A選項(xiàng)。23. C【解析】HTTP協(xié)議、FTP協(xié)議、Telnet協(xié)議、POP協(xié)議、SMTP協(xié)議都屬于明文報(bào)文傳輸協(xié)議，他們不能有效的防范網(wǎng)絡(luò)嗅探。 TELNET采用密文報(bào)文傳輸協(xié)議，故選擇C選項(xiàng)。24. B【解析】安全設(shè)計(jì)、安全測(cè)試、建立安全威脅模型都屬于軟件安全開發(fā)技術(shù)。故選擇B選項(xiàng)。

13、而安全發(fā)布則是技術(shù)成果的一個(gè)展示過程。25C【解析】加密鎖也稱加密狗，一種插在計(jì)算機(jī)并行口上的軟硬件結(jié)合的加密產(chǎn)品。數(shù)字證書就是互聯(lián)網(wǎng)通訊中標(biāo)志通訊各方身份信息的一串?dāng)?shù)字，提供了一種在Internet上驗(yàn)證通信實(shí)體身份的方式，其作用類似于司機(jī)的駕駛執(zhí)照或日常生活中的身份證。故選擇C選項(xiàng)。26. D【解析】棧是一個(gè)后進(jìn)先出的數(shù)據(jù)結(jié)構(gòu)，在內(nèi)存中的增長方向是從高地址向低地址增長。故選擇D選項(xiàng)。27. D【解析】防火墻的體系結(jié)構(gòu)包括屏蔽路由器、雙重宿主主機(jī)體系結(jié)構(gòu)、屏蔽主機(jī)體系結(jié)構(gòu)、屏蔽子網(wǎng)體系結(jié)構(gòu)等。不包括屏蔽中間網(wǎng)絡(luò)體系結(jié)構(gòu)。故選擇D選項(xiàng)。28. C 【解析】綜合漏洞掃描主要有IP地址掃描、網(wǎng)絡(luò)端

14、口掃描、漏洞掃描。 而惡意程序掃描屬于專項(xiàng)定向掃描。故選擇C選項(xiàng)。29B 【解析】符號(hào)問題、運(yùn)算溢出、存儲(chǔ)溢出都會(huì)產(chǎn)生整數(shù)溢出。而條件未判斷顯然不對(duì)。故選擇B選項(xiàng)。30. C【解析】棧溢出（Stack Overflow）是在網(wǎng)絡(luò)與分布式系統(tǒng)中被廣泛利用的一種漏洞類型。在匯編中，以線程為線索的指令執(zhí)行對(duì)函數(shù)的調(diào)用及局部變量的存取是依靠棧來實(shí)現(xiàn)的，黑客可以使用特定的腳本語言，通過網(wǎng)絡(luò)遠(yuǎn)程向?qū)ν馓峁I(yè)務(wù)的服務(wù)器進(jìn)行攻擊，利用對(duì)棧中數(shù)據(jù)的填充越界，實(shí)現(xiàn)有效的漏洞攻擊。在本題中的A、B、D選項(xiàng)均可以作為數(shù)據(jù)進(jìn)行填充，而Heap為堆內(nèi)存，與本題沒有關(guān)系。故選擇C選項(xiàng)。31. A【解析】該題中系統(tǒng)

15、開發(fā)過程的安全、開發(fā)系統(tǒng)的安全、開發(fā)人員的安全保密意識(shí)都會(huì)增加信息系統(tǒng)的安全，然而增加系統(tǒng)的輸入輸出操作并不會(huì)增加安全，反而會(huì)引來麻煩。故選擇A選項(xiàng)。32. D【解析】由于是要制定安全管理策略，制定者與決策層進(jìn)行有效溝通是必要條件。（決策者擁有資源分配權(quán)，資金分配權(quán)，人員調(diào)換權(quán)等）故選擇D選項(xiàng)。33. D【解析】計(jì)算機(jī)信息系統(tǒng)安全的三個(gè)特性：機(jī)密性、完整性、有效性。 堅(jiān)固性屬于硬件設(shè)施安全特性，例如機(jī)房的堅(jiān)固，監(jiān)控器的配置等等。故選擇D選項(xiàng)。34. D【解析】重要安全管理過程包括系統(tǒng)獲取、開發(fā)和維護(hù)、信息安全事件管理與應(yīng)急響應(yīng)、業(yè)務(wù)連續(xù)性管理與災(zāi)難恢復(fù)。 安全資質(zhì)評(píng)審屬于后續(xù)業(yè)務(wù)。故選擇D選項(xiàng)

16、。35. B【解析】B選項(xiàng)之后維護(hù)人員接收到一個(gè)更改要求，應(yīng)該交給相關(guān)人員評(píng)估可行性，然后根據(jù)評(píng)估結(jié)果再制定相應(yīng)措施。故選擇B選項(xiàng)。36. A【解析】BS7799標(biāo)準(zhǔn)于1993年由英國貿(mào)易工業(yè)部立項(xiàng)，于1995年英國首次出版BS 7799-1：1995信息安全管理實(shí)施細(xì)則，它提供了一套綜合的、由信息安全最佳慣例組成的實(shí)施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的參考基準(zhǔn)，并且適用于大、中、小組織。它分為兩部分：第一部分為“信息安全管理事務(wù)準(zhǔn)則”，第二部分為信息安全管理系統(tǒng)的規(guī)范。故選擇A選項(xiàng)。37. D【解析】協(xié)議保護(hù)級(jí)不在信息系統(tǒng)安全的五個(gè)等級(jí)中。五個(gè)等級(jí)分為：用戶自主保

17、護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)、訪問驗(yàn)證保護(hù)級(jí)。故選擇D選項(xiàng)。38C【解析】刑法中有關(guān)信息安全犯罪包括3條。故選擇C選項(xiàng)。39. B【解析】數(shù)據(jù)信道傳輸速率不在計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則的安全考核對(duì)象之內(nèi)。故選擇B選項(xiàng)。40A 【解析】電子認(rèn)證服務(wù)提供者被依法吊銷電子認(rèn)證許可證書的其業(yè)務(wù)承接事項(xiàng)的處理按照國務(wù)院信息產(chǎn)業(yè)主管部門規(guī)定執(zhí)行。故選A選項(xiàng)。二、 填空題1. 信息泛濫 【解析】信息技術(shù)可能帶來的一些負(fù)面影響包括信息泛濫、信息污染和信息犯罪。故此空填信息泛濫。2. 技術(shù)【解析】IATF(International Automotive Task Force)國際

18、汽車工作組 是由世界上主要的汽車制造商及協(xié)會(huì)于1996年成立了一個(gè)專門機(jī)構(gòu)。它提出了三個(gè)主要核心要素：人、技術(shù)和操作。故此空填技術(shù)。3. 對(duì)數(shù)【解析】RSA密碼建立在大整數(shù)因式分解的困難性之上，ElGamal密碼建立在離散對(duì)數(shù)的困難性之上。4. 序列【解析】對(duì)稱密鑰體制，根據(jù)對(duì)明文的加密方式的不同可分為分組密碼和序列密碼。分組密碼以一定大小作為每次處理的基本單元，而序列密碼則是以一個(gè)元素（一個(gè)字母或一個(gè)比特）作為基本的處理單元。5. 哈?！窘馕觥慨a(chǎn)生認(rèn)證碼的函數(shù)類型有消息加密、消息認(rèn)證碼和哈希函數(shù)。消息加密以整個(gè)報(bào)文的密文為認(rèn)證碼；消息認(rèn)證碼是報(bào)文和密鑰的公共函數(shù)，產(chǎn)生一個(gè)定長值作為認(rèn)證碼；H

19、ash函數(shù)是一個(gè)將任意長度的報(bào)文映射為定長的Hash值得公共函數(shù)，以Hash值作為認(rèn)證碼。6. 控制【解析】訪問控制的類型分為強(qiáng)制型訪問控制、自主型訪問控制、基于角色的訪問控制。自主型訪問控制的訪問矩陣比較大，有以下實(shí)現(xiàn)方法:l 訪問控制表（ACL）：以客體為索引，每個(gè)客體對(duì)應(yīng)一個(gè)ACL，定義每個(gè)主體對(duì)其實(shí)施的操作。l 容量表（CL）：以主體為索引，每個(gè)主體對(duì)應(yīng)一個(gè)CL，定義對(duì)每個(gè)客體的訪問權(quán)限。l 授權(quán)關(guān)系：是前兩者的結(jié)合，利用關(guān)系表示訪問矩陣，每個(gè)關(guān)系一個(gè)主體對(duì)一個(gè)客體的訪問權(quán)限，并用RDB存放該訪問矩陣。故本空填控制。 7. 分析器【解析】一個(gè)審計(jì)系統(tǒng)通常由三部分組成：日志記錄器、分析器

20、、通告器，分別用于收集數(shù)據(jù)、分析數(shù)據(jù)及通報(bào)結(jié)果。 8. 作業(yè)級(jí)【解析】用戶接口是為方便用戶使用計(jì)算機(jī)資源所建立的用戶和計(jì)算機(jī)之間的聯(lián)系，包括作業(yè)級(jí)接口和程序級(jí)接口。9. 可信軟件棧 【解析】TCG可信計(jì)算系統(tǒng)結(jié)構(gòu)可劃分為三個(gè)層次，分別為可信平臺(tái)模塊、可信軟件棧和可信平臺(tái)應(yīng)用軟件。10. 語義 【解析】數(shù)據(jù)庫的三種完整性服務(wù)包括語義完整性、參照完整性和實(shí)體完整性。11. 端口 【解析】在數(shù)據(jù)庫中，它是通過端口與客戶端的通信和數(shù)據(jù)傳輸。12滲透測(cè)試 【解析】滲透測(cè)試是通過模擬惡意黑客的攻擊方法，來評(píng)估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全的一種評(píng)估方法。13證書【解析】SSL是一種在客戶端和服務(wù)器端之間建立安全通道的

21、協(xié)議?？蛻舳送ㄟ^對(duì)服務(wù)器端發(fā)來的證書進(jìn)行驗(yàn)證，以完成對(duì)服務(wù)器端的身份認(rèn)證。14. ISAKMP【解析】IPSec中的有三個(gè)主要協(xié)議，其中Internet密鑰交換協(xié)議IKE是實(shí)現(xiàn)兩臺(tái)計(jì)算機(jī)之間的約定，IKE是一個(gè)混合協(xié)議，它使用到了三個(gè)不同協(xié)議的相關(guān)部分：安全關(guān)聯(lián)和密鑰交換協(xié)議ISAKMP，密鑰確定協(xié)議Oakley和SKEME。所以通過Wireshark嗅探的前面10個(gè)數(shù)據(jù)包是ISAKMP協(xié)議的數(shù)據(jù)包。15. 橋CA 【解析】支持多種不同類型的CA系統(tǒng)相互傳遞信任關(guān)系的是橋CA信任模型。16. 異常 【解析】IDS入侵檢測(cè)可根據(jù)入侵行為的方式和原理分為基于統(tǒng)計(jì)分析原理的異常檢測(cè)和基于模式匹配原理

22、的誤用檢測(cè)。17. 80【解析】WebShell就是以asp、php、jsp或者cgi等網(wǎng)頁文件形式存在的一種命令執(zhí)行環(huán)境，也可以將其稱做為一種網(wǎng)頁后門。因此與被控制的服務(wù)器通過80端口傳遞交互的數(shù)據(jù)。18. CNNVD【解析】略19滑板【解析】由大量NOP空指令0x90填充組成的指令序列是滑板指令。20. 安全威脅【解析】軟件安全開發(fā)技術(shù)，主要包括建立安全威脅模型、安全設(shè)計(jì)、安全編碼和安全測(cè)試等幾個(gè)方面。21. 安全開發(fā)生命周期 【解析】軟件安全開發(fā)周期(Security Development Lifecycle) 是微軟提出的從安全角度指導(dǎo)軟件開發(fā)過程的管理模式。SDL不是一個(gè)空想的理論

23、模型。它是微軟為了面對(duì)現(xiàn)實(shí)世界中安全挑戰(zhàn)，在實(shí)踐中的一步步發(fā)展起來的模型。22. 數(shù)據(jù)流測(cè)試技術(shù)【解析】數(shù)據(jù)流測(cè)試技術(shù)是一種基于代碼的白盒測(cè)試技術(shù)，它能提供充分的代碼覆蓋，通過分析軟件代碼中變量的取值變化和語句的執(zhí)行情況，來分析數(shù)據(jù)處理邏輯和程序的控制流關(guān)系，從而分析軟件代碼的潛在安全缺陷。23. 定量【解析】風(fēng)險(xiǎn)分析主要分為定量風(fēng)險(xiǎn)分析和定性風(fēng)險(xiǎn)分析。24. 主機(jī)【解析】信息安全技術(shù)通過采用包括建設(shè)安全的主機(jī)系統(tǒng)和安全的網(wǎng)絡(luò)系統(tǒng)，并配備適當(dāng)?shù)陌踩a(chǎn)品的方法來實(shí)現(xiàn)。25. 風(fēng)險(xiǎn)評(píng)估 【解析】信息安全管理體系ISMS是建立和維持信息安全管理體系的標(biāo)準(zhǔn)，標(biāo)準(zhǔn)要求組織通過確定信息安全管理體系范圍、制

24、定信息安全方針、明確管理職責(zé)、以風(fēng)險(xiǎn)評(píng)估為基礎(chǔ)選擇控制目標(biāo)與控制方式等活動(dòng)建立信息安全管理體系；體系一旦建立組織應(yīng)按體系規(guī)定的要求進(jìn)行運(yùn)作，保持體系運(yùn)作的有效性。26方針【解析】手冊(cè)一般包括信息安全方針的闡述、控制目標(biāo)與控制方式描述、程序或其引用。27. 完整【解析】 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則主要的安全考核指標(biāo)有身份認(rèn)證、自主訪問控制、數(shù)據(jù)完整性、審計(jì)。28. 保證【解析】CC將評(píng)估過程劃分為功能和保證兩部分。29. 完整性【解析】ISO 13335標(biāo)準(zhǔn)首次給出了關(guān)于IT安全的保密性、完整性、可用性、審計(jì)性、認(rèn)證性、可靠性六個(gè)方面含義。30. 服務(wù)【解析】信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則

25、中提出了定級(jí)的四個(gè)要素：信息系統(tǒng)所屬類型、業(yè)務(wù)數(shù)據(jù)類型、信息系統(tǒng)服務(wù)范圍和業(yè)務(wù)自動(dòng)化處理程度。三、綜合應(yīng)用題1、【解題思路】本題涉及到“RSA算法”、“ECC橢圓曲線算法”、“密鑰分發(fā)機(jī)制”、“身份認(rèn)證”等知識(shí)點(diǎn)?！緟⒖即鸢浮俊?】【解析】RSA是一種分組密碼，其明文和密文均是0至某n-1之間的整數(shù)，通常n的大小為1024位二進(jìn)制數(shù)或309位十進(jìn)制數(shù)。因此【1】處應(yīng)填入：1024?！?】【解析】在橢圓曲線密碼中，當(dāng)選取的參數(shù)p的規(guī)模等于160時(shí)，它的安全性與RSA的1024位大致相當(dāng)。因此【2】處應(yīng)填入：160?！?】【解析】基于公鑰證書的密鑰分發(fā)方法是用戶將自己的公鑰通過證書發(fā)給另一用戶，接

26、收方可用證書管理機(jī)構(gòu)的公有密鑰對(duì)證書加以驗(yàn)證。因此【3】處應(yīng)填入：公有密鑰、公共密鑰、公開密鑰、公鑰?！?】【5】【解析】公鑰密碼體制在數(shù)字簽名上的具體做法：發(fā)送方用其私鑰對(duì)消息“簽名”。加密方式則是用接收方的公鑰對(duì)消息加密。因此【4】【5】處應(yīng)填入：私鑰、公鑰。【6】【解析】對(duì)信息的摘要信息進(jìn)行簽名，由于摘要比較短，因此可以提高效率，此外，對(duì)摘要進(jìn)行簽名，安全性并沒有降低。因此【6】處填寫摘要?！?】【解析】實(shí)際應(yīng)用中進(jìn)行身份認(rèn)證的口令驗(yàn)證機(jī)制有利用單向函數(shù)加密口令和一次性口令。因此【7】處應(yīng)填入：單向函數(shù)?！?】【9】【解析】在公鑰密碼實(shí)現(xiàn)身份認(rèn)證過程中，Alice在接收到Bob發(fā)送來的信息后，應(yīng)該使用Bob的公鑰進(jìn)行解密。由于Bob使用自己的私鑰進(jìn)行加密，所以Alice只要驗(yàn)證解密之后的結(jié)果是否是a|b。因此【8】【9】處應(yīng)填入：公鑰、a|b。2、【解題思路】本題主要涉及的知識(shí)點(diǎn)是windows系統(tǒng)安全。了解Winlogon對(duì)windows系統(tǒng)安全的工作原理和作用，以及了解windows的安全日志的相關(guān)知識(shí)。【1】【解析】GINADLL被設(shè)計(jì)成一個(gè)獨(dú)立的模塊，它被Winlogon調(diào)用，并監(jiān)視安全認(rèn)證序列。GINADLL提供一個(gè)交互式的界面為用戶登陸提供認(rèn)證請(qǐng)求。因此【1】處應(yīng)填入：GINAD