《2023年计算机三级信息安全试题四.pdf》由会员分享，可在线阅读，更多相关《2023年计算机三级信息安全试题四.pdf（8页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息安全三级试题四一、选择题1.计算机系统安全评估的第一个正式标准是（A）TCSEC B）COMPUSECC）CTCPEC D）CC：ISO 154082.IATF将信息系统的信息保障技术层面划分为四个技术框架焦点域。下列选项中，不包含在该四个焦点域中的是（）。A）本地计算环境 B）资产 C）域边界 D）支撑性基础设施3.下列关于访问控制技术的说法中，错误的是（）。A）TACACS+使用传输控制协议（TCP）,而RADIUS使用用户数据报协议（UDP）B）RADIUS从用户角度结合了认证和授权，而TACACS+分离了这两个操作0 TACACS使用固定的密码进行认证，而TACACS+允许用户使用
2、动态密码，这样可以提供更强大的保护D）RADIUS将加密客户端和服务器之间的所有数据，而TACACS+仅需要加密传送的密码4.下列选项中，不能用于数字署名的算法是（）oA）RSA B）Diffie-Hellman C）EIGamal D）ECC5.假如密钥丢失或其它因素在密钥未过期之前，需要将它从正常运营使用的集合中除去，称为密钥的（）。A）销毁 B）撤消 C）过期 D）更新6.下列关于消息认证的说法中，错误的是（）。A）对称密码既可提供保密性又可提供认证B）公钥密码既可提供认证又可提供署名0 消息认证码是一种认证技术，它运用密钥来生成一个固定长度的数据块，并将该数据块附加在消息之后D）消息认
3、证码既可提供认证又可提供保密性7.防范计算机系统和资源被未授权访问，采用的第一道防线是（）。A）访问控制 B）授权 0审计 D）加密8.下列关于强制访问控制的说法中，错误的是（）A）Bell-LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露B）Biba模型则具有不允许向下读、向上写的特点，可以有效地保护数据的完整性0强制访问控制通过度级的安全标签实现了信息的单向流通D）Biba模型作为BLP模型的补充而提出，运用不上读/不下写的原则来保证数据的完整性9.下列选项中，进行简朴的用户名/密码认证，且用户只需要一个接受或拒绝即可进行访问（如在互联网服务提供商I S
4、 P中）的 是（A）R A D I U S B）T A C A C S 0 D i a m e t e r D）R B A C1 0.下列关于线程的说法中，对的的是（）.A）线程是程序运营的一个实例，是运营着的程序B）线程是为了节省资源而可以在同一个进程中共享资源的一个执行单位0 线程是用于组织资源的最小单位，线程将相关的资源组织在一起，这些资源涉及：内存地址空间、程序、数据等D）线程是在计算机上运营的一组指令及指令参数的集合，指令按照既定的逻辑控制计算机运营1 1.下列关于保护环的说法中，错误的是（）.A）3环中的主体不能直接访问1环中的客体，1环中的主体同样不能直接访问3环中的客体B）保护
5、环对工作在环内的进程可以访问什么、可以执行什么命令提出了严格的界线和定义0 保护环在主体和客体之间提供了一个中间层，当一个主体试图访问一个客体时，可以用它来进行访问控制D）在内环中执行的进程往往处在内核模式，在外环中工作的进程则处在用户模式1 2.在U n i x系统中，改变文献拥有权的命令是（）。A）c h m o d B）c h o w n C）c h g r p D）w h o1 3.在U n i x系统中，查看最后一次登录文献的命令是（A）s y s l o g d B）L a s t c o m m C）l a s t D）l a s t l o g1 4 .假如所有外键参考现有的主
6、键，则说明一个数据库具有（）.A）参照完整性 B）语义完整性 C）实体完整性 D）关系完整性1 5.进步数据库之内，对数据库内部的安全相关对象进行完整的扫描和检测，即（）。A）端口扫描 B）渗透测试 C）内部安全检测 D）服务发现1 6.下列关于S Q L注入的说法中，错误的是（）A）防火墙能对S Q L注入漏洞进行有效防范B）S Q L注入袭击运用的是S Q L语法0 未限制输入的字符数，未对输入数据做潜在指令的检查，都将增长S Q L注入的风险D）S Q L注入袭击重要是通过构建特殊的输入，这些输入往往是S Q L语法中的一些组合1 7.下列数据包内容选项中，E S P协议在传输模式下不进
7、行加密的是（）。A）源I P和目的I P B）源端口和目的端口 0 应用层协议数据 D）E S P报尾1 8 .I P S e c协议属于（）A）第二层隧道协议 B）介于二、三层之间的隧道协议0第三层隧道协议 D）传输层的V P N协议1 9.证书的验证需要对证书的三个信息进行确认。下列选项不涉及在其中的是（）.A）验证有效性，即证书是否在证书的有效使用期之内B）验证可用性，即证书是否已废除0验证真实性，即证书是否为可信任的C A认证中心签发D）验证保密性，即证书是否由C A进行了数字署名2 0.下列关于防火墙的描述中，错误的是（）。A）不能防范内网之间的恶意袭击B）不能防范针对面向连接协议的
8、袭击0不能防范病毒和内部驱动的木马D）不能防备针对防火墙开放端口的袭击2 1.重要在操作系统的内核层实现的木马隐藏技术是（）。A）线程插入技术 B）D L L动态劫持技术C）端口反弹技术 D）R o o t k i t技术2 2 .“震荡波”病毒进行犷散和传播所运用的漏洞是（A）操作系统服务程序漏洞B)文献解决软件漏洞0浏览器软件漏洞D)A c t i v e X控件漏洞2 3.下列技术中,不能有效防范网络嗅探的是（A)V P NB)S S LT E L N E TD)S S H2 4.下列选项中,不属于软件安全开发技术的是()A）安全设计B）安全发布安全测试D）建立安全威胁模型2 5.下列选
9、项中,基于硬件介质的软件安全保护技术不涉及（A）专用接口卡B）加密狗0数字证书D）加密光盘00).2 6.下列关于栈（s t a c k）的描述中，对的的是（）。A）栈是一个先进先出的数据结构，在内存中的增长方向是从低地址向高地址增长B）栈是个后进后出的数据结构，在内存中的增长方向是从高地址向低地址增长0栈是一个先进后出的数据结构，在内存中的增长方向是从低地址向高地址增长D）栈是一个后进先出的数据结构，在内存中的增长方向是从高地址向低地址增长2 7.下列选项中，不属于防火墙体系结构的是（）。A）双重宿主主机体系结构0屏蔽子网体系结构2 8.下列功能中，综合漏洞扫描不包含的是（）。A）I P地址
10、扫描 B）网络端口扫描B）屏蔽主机体系结构D）屏蔽中间网络体系结构0恶意程序扫描 D）漏洞扫描2 9.整数溢出有三种因素。下列选项中，不属于整数溢出因素的是（）。A）符号问题B）条件未判断0运算溢出D）存储溢出3 0 .袭击者运用栈溢出发起袭击时，向存在漏洞的软件程序输入的数据，一般不涉及（）。A）随机填充数据B)N O P填充字段 0 H e a pD）新的返回地址3 1 .为了保证整个组织机构的信息系统安全，下列措施中错误的是（）A）应当增长系统的输入输出操作、减少信息的共享B）必须保证系统开发过程的安全0必须保证所开发系统的安全D）应当保证安全开发人员的安全保密意识3 2 .在制定一套好
11、的安全管理策略时，制定者一方面必须（）。A）与技术员进行有效沟通 B）与监管者进行有效沟通0与用户进行有效沟通 D）与决策层进行有效沟通3 3.在风险管理中，应采用适当的环节，以保证机构信息系统具有三个安全特性。下列选项不涉及在其中的 是（）.A）机密性 B）完整性 0有效性 D）坚固性3 4.重要安全管理过程不涉及（）。A）系统获取、开发和维护 B）信息安全事件管理与应急响应0业务连续性管理与劫难恢复 D）安全资质评审3 5.下列关于系统维护注意事项的描述中，错误的是（A）在系统维护过程中，要注意对维护过程进行记录B）维护人员接受到一个更改规定，必须纳入这个更改0保存所有源文献的最近版本是极
12、其重要的，应建立备份和清理档案D）一旦系统投入使用，维护人员就应及时修正收到的错误，并提供维护报告3 6.B S 779 9是依据英国的工业、政府和商业共同需求而制定的一个标准，它分为两部分：第一部分为 信息安全管理事务准则”，第二部分为（）A）信息安全管理系统的规范 B）信息安全管理系统的法律0信息安全管理系统的技术 D）信息安全管理系统的设备3 7.计算机信息系统安全保护等级划分准则将信息系统安全分为五个等级。下列选项中，不涉及的是（）。A）访问验证保护级 B）系统审计保护级0安全标记保护级 D）协议保护级3 8 .刑法中有关信息安全犯罪的规定涉及（A）1条 B）2条 C）3条 D）5条3
13、 9 .计算机信息系统安全保护等级划分准则的安全考核对象，不包含（）.A）身份认证 B）数据信道传输速率 0数据完整性 D）审计4 0.电子认证服务提供者被依法吊销电子认证许可证书的，其业务承接事项的解决按照下列哪个机构的规定执行（A）国务院信息产业主管部门 B）公安部信息安所有门0国家安全局 D）所在辖区最高行政机关二、填空题1.信息技术也许带来的一些负面影响涉及、信息污染和信息犯罪。2.I A T F提出了三个重要核心要素：人员、和操作。3 .R S A密码建立在大整数因式分解的困难性之上，而E I G a m a l密码建立在离散 的困难性之上。4.对称密钥体制，根据对明文的加密方式的不
14、同而分为两类：分组密码和 密码。5.产生认证码的函数类型，通常有三类：消息加密、消息认证码和 函数。6.基于矩阵的列的访问控制信息表达的是访问 表，即每个客体附加一个它可以访问的主体的明细表。7.一个审计系统通常由三部分组成：日记记录器、通告器，分别用于收集数据、分析数据及通报结果。8.用户接口是为方便用户使用计算机费源所建立的用户和计算机之间的联系，重要有两类接口：接口和程序级接口。9 .T C G可信计算系统结构可划分为三个层次，分别为可信平台模块、和可信平台应用软件。10.数据库软件执行三种类型的完整性服务：完整性、参照完整性和实体完整性。1 1 .数 据 库 都 是 通 过 开 放 一
15、 定 的，来完毕与客户端的通信和数据传输。1 2.模拟黑客也许使用的袭击技术和漏洞发现技术，对目的系统的安全做进一步的探测，发现系统坡脆弱的环节的技术是。1 3 .S S L协议中，客户端通过对服务器端发来的 进行验证，以完毕对服务器端的身份认证。1 4 .两台配置了I PS ec协议的W in do ws计算机进行I PS ec初始连接时，通过W ir es har k嗅探的前面1 0个数据包是协议的数据包。1 5 .支持多种不同类型的C A系统互相传递信任关系的是 信任模型。1 6.根据I D S检测入侵行为的方式和原理的不同，可以分为基于误用检测的I D S和基于 检测的I D S。1
16、7 .W ebs hel l与被控制的服务器通过 端口传递交互的数据。1 8 .从属于中国信息安全测评中心的中国国家信息安全漏洞库，其英文缩写为.1 9.由大量NO P空指令0 x 9 0填充组成的指令序列是 指令。2 0 .软件安全开发技术，重要涉及建立_ _ _ _ _ _ _ _模型、安全设计、安全编码和安全测试等几个方面。2 1 .微软S D L模型的中文全称为软件 模型。2 2.通过度析软件代码中变量的取值变化和语句的执行情况，来分析数据解决逻辑和程序的控制流关系，从而分析软件代码的潜在安全缺陷的技术是 分析技术。2 3.风险分析重要分为 风险分析和定性风险分析。2虫信息安全技术通过
17、采用涉及建设安全的 系统和安全的网络系统，并配备适当的安全产品的方法来实现。2 5.信息安全管理体系（I S M S）是一个系统化、程序化和文献化的管理体系，属于风险管理的范畴，体系的建立基于系统、全 面 和 科 学 的 安 全。26.为了管理的需要，一本方针手册还是必要的。手册一般涉及如下内容：信息安全 的阐述；控制目的与控制方式描述；程序或其引用。27.计算机信息系统安全保护等级划分准则重要的安全考核指标有身份认证、自主访问控制、数据性、审计。28.CC将评估过程划分为功能和 两部分。29.ISO 13335标准初次给出了关于IT安全的保密性、可用性、审计性、认证性、可靠性六个方面含义。3
18、 0.信息系统安全保护等级划分准则中提出了定级的四个要素：信息系统所属类型、业务数据类型、信息系统 范围和业务自动化解决限度。三、综合题L在一个基于公钥密码机制的安全应用系统中，假设用户Alice和1、在一个基于公钥密码机制的安全应用系统中，假设用户Alice和Bob分别拥有自己的公钥和私钥。请回答下述问题。（共10分）（1）在产生Alice和Bob的密钥时，假如采用RSA算法，选取的模数n至少要有1 位，假如采用椭圆曲线密码，选取的参数p的 规 模 应 大 于 2 位。（每空1分）（2）基于公钥证书的密钥分发方法是口前广泛流行的密钥分发机制，用户可将自己的公钥通过证书发给另一用户，接 受 方
19、 可 用 证 书 管 理 机 构 的【3】对证书加以验证。（1分）（3）为了防止Alice抵赖，Bob规定Alice对其发送的消息进行署名。Alice将 使 用 自 己 的 4 对消息署名；假如规定对消息保密传输，Alice将使用Bob的5 对消息加密。（每空1分）（4）实际应用中为了缩短署名的长度、提高署名的速度，并且为了更安全，常 对 信 息 的 6 进行署名。（1分）（5）实际应用中，通常需要进行身份认证。基于口令的认证协议非常简朴，但是很不安全，两种改善的口令验证机制是：运用 7 加密口令和一次性口令。（1分）（6）基于公钥密码也可以实现身份认证，假定Alice和Bob已经知道对方的公
20、钥，Alice为了认证Bob的身份：一方面，Alice发送给Bob个随机数a,即Alice Bob：a；然后，Bob产生一个随机数b,并将b及通过其私钥所产生的署名信息发送给Alice,假设用SignB表达用Bob的私钥产生数字署名的算法,即Bob f Alice：b 11 SignB（a|b）；最后，为了认证Bob的身份，Alice得到随机数b和署名信息之后，只需要使用Bob的 8 对署名信息进行解密，验证解密的结果是否等于9 即可。（空1分，空2分）2、请补全下列有关Windows的安全实践：（每空1分，共5分）（1）Winlogon调用10 D L L,并监视安全认证序列，所调用的DLL
21、将提供一个交互式的界面为用户登陆提供认证请求。2）为了防止网络黑客在网络上猜出用户的密码，可以在连续多次无效登录之后对用户账号实行1 1 策略。（3）在Windows系统中，任何涉及安全对象的活动都应当受到审核，审核报告将被写入安全日记中，可以使用 12 _查看器 来查看。（4）为了增强对日记的保护，可以编辑注册表来改变日记的存储目录。点击 开始 一“运营，在对话框中输入命令（13 ,回车后将弹出注册表编辑器。（5）通过修改日记文献的访问权限，可以防止日记文献被清空，前提是Windows系统要采用14文献系统格式。3、下图为一个单位的网络拓扑图。根据防火墙不同网络接口连接的网络区域，将防火墙控
22、制的区域分为内网、外网和DMZ三个网络区域。为了实现不同区域间计算机的安全访问，根据此单位的访问需求和防火墙的默认安全策略，为防火墙配置了下面三条访问控制规则。请根据访问控制规则表的规定，填写防火墙的访问控制规则（表1）。其中，访问控制 中Y代表允许访问，N代表严禁访问。（每空1分，共10分）表1防火墙访问控制规则表访问规则源区域目的区域口的IP协议名称访问控制内网可访问Web服务器151 _ 16 _ 17 _ 18 _Y外网可访问Mail服务器_ 19 _ 120 _(21 _ 22 _ 或Y_ 23 _任意地址访问任意地址任意任意任意任意_ _ 124-4、根据规定，请完毕下列题目。（每空1分，共5分）（1）根据软件漏洞在破坏性、危害性和严重性方面导致的潜在威胁限度，以及漏洞被运用的也许性，可对各种软件漏洞进行分级，所分为的四个危险等级是：第一级：25；第二级：_ _ _ _126；第三级：27;第四级：28 o（2）为了对软件漏洞进行统一的命名和管理，多个机构和国家建立了漏洞数据库。其中，很少的漏洞库提供了检测、测试漏洞的样本验证代码。我们往往用漏洞样本验证代码的英文缩写 一29来称呼漏洞样本验证代码。