《2023年计算机三级信息安全试题四.docx》由会员分享，可在线阅读，更多相关《2023年计算机三级信息安全试题四.docx（8页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息安全三级试题四一、选择题.计算机系统安全评估的第一个正式标准是（）0A） TCSECB） COMPUSECCTCPECD） CC： ISO 154082 . IATF将信息系统的信息保障技术层面划分为四个技术框架焦点域。下列选项中，不包含在该四个焦点域 中的是（）。A）本地计算环境B）资产C）域边界D）支撑性基础设施.下列关于访问控制技术的说法中，错误的是（A） TACACS+使用传输控制协议（TCP）,而RADIUS使用用户数据报协议（UDP）RADIUS从用户角度结合了认证和授权，而TACACS+分离了这两个操作O TACACS使用固定的密码进行认证，而TACACS+允许用户使用动态密
2、码，这样可以提供更强大的保护RADIUS将加密客户端和服务器之间的所有数据，而TACACS+仅需要加密传送的密码4.下列选项中，不能用F数字著名的算法是（）.A） RSAB） Diffie-Hellman0 日 GamalD） ECC.假如密钥丢失或其它因素在密钥未过期之前，需要将它从正常运营使用的集合中除去，称为密钥的 （）。A）销毁 B）撤消0过期D）更新.下列关于消息认证的说法中，错误的是（）。A）对称密码既可提供保密性又可提供认证B）公钥密码既可提供认证又可提供署名0消息认证码是一种认证技术，它运用密钥来生成一个固定长度的数据块，并将该数据块附加在消息之I D）消息认证码既可提供认证又
3、可提供保密性.防范计算机系统和资源被未授权访问，采用的第一道防线是（）。A）访问控制B）授权C）审计D）加密.下列关于强制访问控制的说法中，错误的是（）。A） Bell-LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露Biba模型则具有不允许向下读、向上写的特点，可以有效地保护数据的完整性0强制访问控制通过度级的安全标签实现了信息的单向流通D） Biba模型作为BLP模型的补充而提出，运用不上读/不下写”的原则来保证数据的完整性9 .下列选项中，进行简朴的用户名/密码认证，且用户只需要一个接受或拒绝即可进行访问（如在互联网 服务提供商ISP中）的是（）。A）
4、 RADIUSB） TACACSC） DiameterD） RBAC.下列关于线程的说法中，对的的是（）。A）线程是程序运营的一个实例，是运营着的程序B）线程是为了节省资源而可以在同一个进程中共享资源的一个执行单位0 线程是用于组织资源的最小单位，线程将相关的资源组织在一起，这些资源涉及：内存地址空间、程序、数据等D）线程是在计算机上运营的一组指令及指令参数的集合，指令按照既定的逻辑控制计算机运营.下列关于保护环的说法中，错误的是（）oA） 3环中的主体不能直接访问1环中的客体，1环中的主体同样不能直接访问3环中的客体B）保护环对工作在环内的进程可以访问什么、可以执行什么命令提出了严格的界线和
5、定义0 保护环在主体和客体之间提供了一个中间层，当一个主体试图访问一个客体时，可以用它来进行访问 控制D）在内环中执行的进程往往处在内核模式，在外环中工作的进程则处在用户模式10 .在Unix系统中，改变文献拥有权的命令是（）。A） chmodB） chownC） chgrpD） who.在Unix系统中，查看最后一次登录文献的命令是（）。A） syslogd B） LastcommC） lastD） lastlog.假如所有外键参考现有的主键，则说明一个数据库具有（）。A）参照完整性 B）语义完整性0实体完整性D）关系完整性.进一步数据库之内，对数据库内部的安全相关对象进行完整的扫描和检测，
6、即（）。A）端口扫描 B）渗透测试 0 内部安全检测D）服务发现.下列关于SQL注入的说法中，错误的是（）.A）防火墙能对SQL注入漏洞进行有效防范SQL注入袭击运用的是SQL语法0 未限制输入的字符数，未对输入数据做潜在指令的检查，都将增长SQL注入的风险D） SQL注入袭击重要是通过构建特殊的输入，这些输入往往是SQL语法中的一些组合17 .下列数据包内容选项中，ESP协议在传输模式下不进行加密的是（）.A）源IP和目的IPB）源端口和目的端口 0 应用层协议数据D） ESP报尾. IPSec协议属于（）。A）第二层隧道协议B）介于二、三层之间的隧道协议.证书的验证需要对证书的三个信息进行
7、确认。下列选项不涉及在其中的是（）oA)验证有效性,即证书是否在证书的有效使用期之内B)验证可用性,即证书是否已废除验证真实性,即证书是否为可信任的CA认证中心签发D)验证保密性,即证书是否由CA进行了数字署名20.下列关于防火墙的描述中，错误的是（）。A)不能防范内网之间的恶意袭击B)不能防范针对面向连接协议的袭击不能防范病毒和内部驱动的木马D)不能防备针对防火墙开放端口的袭击21.市要在操作系统的内核层实现的木马隐藏技术是()。A）线程插入技术B）DLL动态劫持技术O端口反弹技术D) Rootkit 技术22.震荡波”病毒进行扩散和传播所运用的漏洞是（A）操作系统服务程序漏洞B)文献解决软
8、件漏洞0浏览器软件漏洞D)ActiveX控件漏洞23.下列技术中,不能有效防范网络嗅探的是（A) VPNB) SSLTELNETD) SSH24.下列选项中,不属于软件安全开发技术的是().A）安全设计B）安全发布安全测试D）建立安全威胁模型25.下列选项中,基于硬件介质的软件安全保护技术不涉及（)A）专用接口卡B）加密狗0数字证书D）加密光盘26.下列关于栈（stack）的描述中，对的的是（A)栈是一个先进先出的数据结构,在内存中的增长方向是从低地址向高地址增长B)栈是一个后进后出的数据结构,在内存中的增长方向是从高地址向低地址增长栈是一个先进后出的数据结构,在内存中的增长方向是从低地址向高
9、地址增长D)栈是一个后进先出的数据结构,在内存中的增长方向是从高地址向低地址增长27.下列选项中，不属于防火墙体系结构的是（）。A）双重宿主主机体系结构B）屏蔽主机体系结构0屏蔽子网体系结构D）屏蔽中间网络体系结构28.下列功能中，综合漏洞扫描不包含的是（A） IP地址扫描B）网络端口扫描0恶意程序扫描D）漏洞扫描29.整数溢出有三种因素。下列选项中，不属于整数溢出因素的是（）。A）符号问题B）条件未判断0运算溢出D）存储溢出30.袭击者运用栈溢出发起袭击时，向存在漏洞的软件程序输入的数据，一般不涉及（）A）随机填充数据B） NOP填充字段0 HeapD）新的返回地址31.为了保证整个组织机构
10、的信息系统安全，卜列措施中错误的是（）。A）应当增长系统的输入输出操作、减少信息的共享B）必须保证系统开发过程的安全0必须保证所开发系统的安全D）应当保证安全开发人员的安全保密意识32 .在制定一套好的安全管理策略时，制定者一方面必须（A）与技术员进行有效沟通B）与监管者进行有效沟通0与用户进行有效沟通D）与决策层进行有效沟通.在风险管理中，应采用适当的环节，以保证机构信息系统具有三个安全特性。下列选项不涉及在其中 的是（）A）机密性B）完整性0有效性D）坚固性.重要安全管理过程不涉及（）,.A）系统获取、开发和维护B）信息安全事件管理与应急响应0业务连续性管理与劫难恢复D）安全资质评审33
11、.下列关于系统维护注意事项的描述中，错误的是（）。A）在系统维护过程中，要注意对维护过程进行记录B）维护人员接受到一个更改规定，必须纳入这个更改0保存所有源文献的最近版本是极其重要的，应建立备份和清理档案D） 一旦系统投入使用，维护人员就应及时修正收到的错误，并提供维护报告36.BS 7799是依据英国的工业、政府和商业共同需求而制定的一个标准，它分为两部分：第一部分为信息 安全管理事务准则”，第二部分为（）.A）信息安全管理系统的规范B）信息安全管理系统的法律0信息安全管理系统的技术D）信息安全管理系统的设备37 .计算机信息系统安全保护等级划分准则将信息系统安全分为五个等级。卜列选项中，不
12、涉及的是 （）。A）访问验证保护级B）系统审计保护级0安全标记保护级D）协议保护级38 .刑法中有关信息安全犯罪的规定涉及（）。A） 1条B） 2条0 3条D） 5条.计算机信息系统安全保护等级划分准则的安全考核对象，不包含（）。A）身份认证B）数据信道传输速率0数据完整性D）审计.电子认证服务提供者被依法吊销电子认证许可证书的，其业务承接事项的解决按照下列哪个机构的规 定执行（）。A）国务院信息产业主管部门B）公安部信息安所有门二、填空题1.信息技术也许带来的一些负面影响涉及、信息污染和信息犯罪。1.1 ATF提出了三个重要核心要素：人员、和操作。3 . RSA密码建立在大整数因式分解的困难
13、性之上，而日Gamal密码建立在离散 的困难性之上。4 .对称密钥体制，根据对明文的加密方式的不同而分为两类：分组密码和 密码。5 .产生认证码的函数类型，通常有三类：消息加密、消息认证码和 函数。6 .基于矩阵的列的访问控制信息表达的是访问 表，即每个客体附加一个它可以访问的主体的明细表。7 .一个审计系统通常由三部分组成：日记记录器、通告器，分别用于收集数据、分析数据 及通报结果。8 .用户接口是为方便用户使用计算机资源所建立的用户和计算机之间的联系，重要有两类接口： 接口和程序级接口 o. TCG可信计算系统结构可划分为三个层次，分别为可信平台模块、和可信平台应用软件。9 .数据库软件执
14、行三种类型的完整性服务：完整性、参照完整性和实体完整性。10 .数据库都是通过开放一定的，来完毕与客户端的通信和数据传输。11 .模拟黑客也许使用的袭击技术和漏洞发现技术，对目的系统的安全做进一步的探测，发现系统最脆弱 的环节的技术是 0. SSL协议中，客户端通过对服务器端发来的 进行验证，以完毕对服务器端的身份认证。12 .两台配置了IPSec协议的Windows计算机进行IPSec初始连接时，通过Wireshark嗅探的前面10个数据包是 协议的数据包。13 .支持多种不同类型的CA系统互相传递信任关系的是 信任模型。14 .根据IDS检测入侵行为的方式和原理的不同，可以分为基于误用检测
15、的IDS和基于 检测的IDS。15 . Webshell与被控制的服务器通过 端口传递交互的数据。16 .从属于中国信息安全测评中心的中国国家信息安全漏洞库，其英文缩写为.17 .由大量NOP空指令0x90填充组成的指令序列是 指令。18 .软件安全开发技术，重要涉及建立 模型、安全设计、安全编码和安全测试等几个方面。19 .微软SDL模型的中文全称为软件 模型。20 .通过度析软件代码中变量的取值变化和语句的执行情况，来分析数据解决逻辑和程序的控制流关系， 从而分析软件代码的潜在安全缺陷的技术是 分析技术。21 .风险分析重要分为 风险分析和定性风险分析。22 .信息安全技术通过采用涉及建设
16、安全的 系统和安全的网络系统，并配备适当的安全产品的方法来实现。23 .信息安全管理体系（ISMS）是个系统化、程序化和文献化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全 024 .为了管理的需要，一本方针手册还是必要的。手册一般涉及如下内容：信息安全的阐述；控制目的与控制方式描述：程序或其引用。25 .饥|算机信息系统安全保护等级划分准则币.要的安全考核指标有身份认证、自主访问控制、数据 性、审计。26 . CC将评估过程划分为功能和 两部分。27 .ISO 13335标准初次给出了关于IT安全的保密性、可用性、审计性、认证性、可靠性六个 方面含义。30.信息系统安全
17、保护等级划分准则中提出了定级的四个要素：信息系统所屈类型、业务数据类型、信息系统 范围和业务自动化解决限度。三、综合题1 .在一个基于公钥密码机制的安全应用系统中，假设用户Alice和1、在一个基于公钥密码机制的安全应用 系统中，假设用户Alice和Bob分别拥有自己的公钥和私钥。请回答下述问题。（共10分）（1）在产生Alice和Bob的密钥时，假如采用RSA算法，选取的模数n至少要有1 位，假如采 用椭恻曲线密码，选取的参数p的规模应大于 2 位。（每空1分）（2）基于公钥证书的密钥分发方法是目前广泛流行的密钥分发机制，用户可将自己的公钥通过证书发给 另用户，接受方可用证书管理机构的 3
18、对证书加以验证。（1分）（3）为了防止Alice抵赖，Bob规定Alice对其发送的消息进行署名。Alice将使用自己的4对 消息署名；假如规定对消息保密传输，Alice将使用Bob的一5 对消息加密。（每空1分）4）实际应用中为了缩短著名的长度、提高署名的速度，并且为了更安全，常对信息的（6 进行署名。（1分）（5）实际应用中，通常需要进行身份认证。基于口令的认证协议非常简朴，但是很不安全，两种改善的 口令验证机制是：运用（7 加密口令和一次性口令。（1分）（6）基于公钥密码也可以实现身份认证，假定Alice和Bob已经知道对方的公钥，Alice为了认证Bob的身 份：一方面，Alice发送
19、给Bob一个随机数a,即Alice Bob： a；然后，Bob产生个随机数b,并将b及通过其私钥所产生的著名信息发送给Alice,假设用SignB表达用Bob 的私钥产生数字署名的算法，即Bob-Alice： b | SignB（a|b）：最后，为了认证Bob的身份，Alice得到随机数b和署名信息之后，只需要使用Bob的 8 对 著名信息进行解密，验证解密的结果是否等于9 即可。（空1分，空2分）2,请补全下列有关Windows的安全实践：（每空1分，共5分）（1） Winlogon调用-10 DLL,并监视安全认证序列，所调用的DLL将提供一个交互式的界面为用户登陆提供认证请求。(2)为了
20、防止网络黑客在网络上猜出用户的密码，可以在连续多次无效登录之后对用户账号实行一11策略。(3)在Windows系统中，任何涉及安全对象的活动都应当受到审核，审核报告将被写入安全H记中，可 以使用(12 查看器来查看。(4)为了增强对H记的保护，可以编辑注册表来改变H记的存储目录。点击开始一运营，在对话框中 输入命令131 ,回车后将用出注册表编辑器。(5)通过修改H记文献的访问权限，可以防止H记文献被清空，前提是Windows系统要采用 14 文献系统格式。3、下图为一个单位的网络拓扑图。根据防火墙不同网络接口连接的网络区域，将防火墙控制的区域分为 内网、外网和DMZ二个网络区域。为了实现不同
21、区域间计算机的安全访问，根据此单位的访问需求和防火 墙的默认安全策略，为防火墙配置了下面三条访问控制规则。请根据访问控制规则表的规定，填写防火墙 的访问控制规则(表1)。其中，访问控制中Y代表允许访问，N代表严禁访问。(每空1分，共10分)表1防火墙访问控制规则表访问规则源区域目的区域目的IP协议名称访问控制内网可访问Web服务器一15) _ 18_Y外网可访问Mail服务器_ (19 _ (20 21_ 22 _或Y11_ (23任意地址访问任意地址1任意1任意任意任意_ (24 _4、根据规定，请完毕下列题目。（每空1分，共5分）（1）根据软件漏洞在破坏性、危害性和严重性方面导致的潜在威胁限度，以及漏洞被运用的也许性， 可对各种软件漏洞进行分级，所分为的四个危险等级是：第一级：（25 :第二级：（26 ；第三级：27 ：第四级：28 o（2）为了对软件漏洞进行统一的命名和管理，多个机构和国家建立了漏洞数据库。其中，很少的漏洞 库提供检测、测试漏洞的样本验证代码。我们往往用漏洞样本验证代码的英文缩写一（29 来称呼漏洞样本验证代码。