我的NISP二級之路-02

一.數據庫? ?

二.TCP/IP協議

分層結構

三.STRIDE模型

四.檢查評估與自評估

檢查評估

自評估

五.信息安全應急響應過程

六.系統工程

七.SSE-CMM

八.CC標準

九.九項重點工作

記背:

一.數據庫? ?

關于數據庫恢復技術，下列說法不正確的是：

A.數據庫恢復技術的實現主要依靠各種數據的冗余和恢復機制技術來解決，當數據庫中數據被破壞時，可以利用冗余數據來進行修復

B.數據庫管理員定期地將整個數據庫或部分數據庫文件備份到磁帶或另一個磁盤上保存起來，是數據庫恢復中采用的基本技術

C.日志文件在數據庫恢復中起著非常重要的作用，可以用來進行事務故障恢復和系統故障恢復，并協助后備副本進行介質故障恢復

D.計算機系統發生故障導致數據未存儲到固定存儲器上，利用日志文件中故障發生前數據的循環，將數據庫恢復到故障發生前的完整狀態，這一對事務的操作稱為提交

答案：D

解釋：利用日志文件中故障發生前數據的循環，將數據庫恢復到故障發生前的完整狀態，這一對事務的操作稱為回滾。

? ? ? ? 2.數據庫的安全很復雜，往往需要考慮多種安全策略，才可以更好地保護數據庫的安全。以下關于數據庫常用的安全策略理解不正確的是：

A.最小特權原則，是讓用戶可以合法的存取或修改數據庫的前提下，分配最小的特權，使得這些信息恰好能夠完成用戶的工作

B.最大共享策略，在保證數據庫的完整性、保密性和可用性的前提下，最大程度地共享數據庫中的信息

C.粒度最小的策略，將數據庫中數據項進行劃分，粒度越小，安全級別越高，在實際中需要選擇最小粒度

D.按內容存取控制策略，不同權限的用戶訪問數據庫的不同部分

答案：B

解釋：數據庫安全策略應為最小共享

????????3.某網站為了開發的便利，使用SA鏈接數據庫，由于網站腳本中被發現存在SQL注入漏洞，導致攻擊者利用內置存儲過程XP.cmctstell刪除了系統中的一個重要文件，在進行問題分析時，作為安全專家，你應該指出該網站設計違反了以下哪項原則：

A.權限分離原則

B.最小特權原則

C.保護最薄弱環節的原則

D.縱深防御的原則

答案：B

解釋：SA是數據庫最大用戶權限，違反了最小特權原則。

二.TCP/IP協議

TCP/IP 協議（Transmission Control Protocol/Internet Protocol）即傳輸控制協議 / 網際協議，是指能夠在多個不同網絡間實現信息傳輸的協議簇，它定義了電子設備如何連入因特網以及數據如何在它們之間傳輸的標準。

分層結構

應用層：為用戶提供各種網絡應用服務，如 HTTP（超文本傳輸協議）用于網頁瀏覽、SMTP（簡單郵件傳輸協議）用于電子郵件發送、DNS（域名系統）用于域名解析等。
傳輸層：主要負責在不同主機的應用程序之間提供端到端的通信服務。其中 TCP 協議提供可靠的面向連接的傳輸服務，保證數據的無差錯、按序到達；UDP 協議提供不可靠的無連接傳輸服務，適用于對實時性要求高但允許一定數據丟失的應用，如視頻流、音頻流傳輸。
網絡層：負責將數據包從源主機傳輸到目標主機，主要協議是 IP 協議，它為數據包分配 IP 地址，并根據路由表進行路由選擇。此外，還有 ICMP（互聯網控制報文協議）用于網絡故障診斷和控制信息傳遞，ARP（地址解析協議）用于將 IP 地址轉換為物理地址。
數據鏈路層：將網絡層傳來的數據包封裝成幀，通過物理網絡進行傳輸，并負責處理物理介質上的信號傳輸和錯誤檢測。常見的協議有以太網協議、PPP（點到點協議）等。

三.STRIDE模型

假冒（Spoofing）：攻擊者偽裝成合法用戶或組件，如竊取用戶憑證登錄系統。可通過強身份驗證機制防范。
篡改（Tampering）：非法修改數據或系統配置，像篡改數據庫記錄。可通過數據完整性校驗和訪問控制來防范。
抵賴（Repudiation）：用戶否認執行過的操作，如交易后否認下單。可通過審計日志和數字簽名技術防范。
信息泄露（Information Disclosure）：敏感信息被未授權人員獲取，如網絡嗅探獲取用戶信息。可通過加密和訪問控制來保護。
拒絕服務（Denial of Service）：攻擊者使系統資源耗盡或服務中斷，如發送大量請求使服務器崩潰。可通過資源限制和流量過濾來防范。
特權提升（Elevation of Privilege）：攻擊者獲取更高權限，如利用系統漏洞從普通用戶提升為管理員。可通過權限管理和漏洞修復來防范。

? ? ? ? 微軟提出了STRIDE模型，其中Repudation（抵賴）的縮寫，關于此項安全要求，下面描述錯誤的是（）

A.某用戶在登陸系統并下載數據后，卻聲稱“我沒有下載過數據”，軟件系統中的這種威脅就屬于R威脅

B.解決R威脅，可以選擇使用抗抵賴性服務技術來解決，如強認證、數字簽名、安全審計等技術措施

C.R威脅是STRIDE六種威脅中第三嚴重的威脅，比D威脅和E威脅的嚴重程度更高

D.解決R威脅，也應按照確定建模對象、識別威脅、評估威脅以及消減威脅等四個步驟來進行

答案：C

解釋：STRIDE代表6種威脅的簡稱，無嚴重程度之分。S-欺騙，T-篡改，R-抵賴，I-信息泄露，D-拒絕服務，E-權限提升（攻擊）。

四.檢查評估與自評估

檢查評估

由外部專業安全團隊或機構執行，對軟件系統進行全面客觀的安全檢查。
優勢在于專業性強、客觀性高、全面性好，能運用專業工具和方法深入分析，依據行業標準給出公正結果，全面檢查系統各方面。
局限性是成本較高、時間較長，且外部團隊可能對業務了解有限，影響對與業務相關安全問題的處理。

自評估

由軟件系統的開發或運營團隊自行組織開展。
優勢是成本低，內部人員了解業務，能更好地結合業務特點發現和解決安全問題，可隨時根據需要進行評估，及時處理發現的問題。
不足是可能缺乏專業的安全知識和技能，評估的客觀性和全面性相對較弱，受內部利益關系和主觀因素影響，可能對問題的判斷不夠準確。

? ? ? ? 1.某單位的信息安全主管部門在學習我國有關信息安全的政策和文件后，認識到信息安全風險評估分為自評估和檢查評估兩種形式，該部門將有檢查評估的特點和要求整理成如下四條報告給單位領導，其中描述錯誤的是

A.檢查評估可依據相關標準的要求，實施完整的風險評估過程；也可在自評估的基礎上，對關鍵環節或重點內容實施抽樣評估

B.檢查評估可以由上級管理部門組織，也可以由本級單位發起，其重點是針對存在的問題進行檢查和評測

C.檢查評估可以由上級管理部門組織，并委托有資質的第三方技術機構實施

D.檢查評估是通過行政手段加強信息安全管理的重要措施，具有強制性的特點

答案：B

解釋：檢查評估由上級管理部門組織發起；本級單位發起的為自評估。

五.信息安全應急響應過程

準備階段：組建應急響應團隊，制定應急預案，儲備應急資源，開展培訓與演練。
檢測與預警階段：建立監測體系，設定預警指標，實時監測與分析系統狀態。
事件響應階段：對事件分類分級，啟動應急流程，抑制事件發展，開展事件調查。
恢復階段：制定恢復計劃，恢復系統與數據，并驗證恢復效果。
總結與改進階段：總結事件處理過程，提出改進措施，完善應急預案和安全防護體系。

? ? ? ? 1.在某次信息安全應急響應過程中，小王正在實施如下措施：消除或阻斷攻擊源，找到并消除系統的脆弱性/漏洞、修改安全策略，加強防范措施、格式化被感染而已程序的介質等，請問，按照應急響應方法，這些工作應處于以下哪個階段（）

A.準備階段????? B.檢測階段?????? C.遏制階段?????? D.根除階段

答案：D

解釋：消除或阻斷攻擊源等措施為根除階段。

? ? ? ? 2.關于信息安全事件管理和應急響應，以下說法錯誤的是：

A.應急響應是指組織為了應急突發/重大信息安全事件的發生所做的準備，以及在事件發生后所采取的措施

B.應急響應方法，將應急響應管理過程分為遏制、根除、處置、恢復、報告和跟蹤6個階段

C.對信息安全事件的分級主要參考信息系統的重要過程、系統損失和社會影響三方面。

D.根據信息安全事件的分級參考要素，可將信息安全事件劃分為4個級別，特別重大事件（I級）、重大事件（II級）、較大事件（III級）和一般事件（IV級）

答案：B

解釋：應急響應包括六個階段，為準備、檢測、遏制、根除、恢復、跟蹤總結。

六.系統工程

SE 即系統工程，是一門將系統的觀點、方法和理論應用于系統的規劃、研究、設計、制造、試驗和使用等過程，以實現系統最優目標的跨學科綜合性科學。以下是其簡述：

性質與特點：它是一種方法論，偏重于對工程的組織與經營管理進行研究。具有綜合性、系統性、科學性等特點，強調從整體出發，綜合考慮系統各要素之間的相互關系，運用科學的方法和技術手段進行分析、設計和優化。
應用范圍：具有普遍意義，可應用于軍事、工業、交通、能源、信息等眾多領域，用于解決各種復雜系統的問題，如大型工程項目的組織實施、復雜產品的研發生產、城市交通系統的規劃優化等。
作用與價值：通過系統工程的方法，可以有效提高系統的性能、可靠性、安全性和經濟性，降低成本，縮短開發周期，提高資源利用效率，幫助人們更好地組織和管理系統，實現系統的整體最優。

? ? ? ? 1.對系統工程（Systems? Engineering ，SE ）的理解，以下錯誤的是：

A.系統工程偏重于對工程的組織與經營管理進行研究

B.系統工程不屬于技術實現，而是一種方法論

C.系統工程不是一種對所有系統都具有普遍意義的科學方法

D.系統工程是組織管理系統規劃、研究、制造、實驗、使用的科學方法

答案：C

解釋：系統工程是一種對所有系統都具有普遍意義的科學方法

? ? ? ? 2.系統工程的模型之一霍爾三維結構模型由時間維、邏輯維和知識維組成。有關此模型，錯誤的是：

A.霍爾三維機構體系形成地描述了系統工程研究的框架

B.時間維表示系統工程活動從開始到結束按照時間順序排列的全過程

C.邏輯維的七個步驟與時間維的七個階段嚴格對應，即時間維第一階段應執行邏輯維第一步驟的活動，時間維第二階段應執行邏輯維第二步驟的活動

D.知識維列舉可能需要運用的工程、醫學、建筑、商業、法律、管理、社會科學和藝術等各種知識和技能

答案：C

解釋：霍爾三維模型是一種系統思想，無法實現嚴格的對應。

七.SSE-CMM

? ? ? ? 1.有關系統安全工程-能力成熟度模型（SSE-CMM)中基本實施（Base Practice）正確的理解是：

A.BP不限定于特定的方法工具，不同業務背景中可以使用不同的方法

B.BP不是根據廣泛的現有資料，實施和專家意見綜合得出的

C.BP不代表信息安全工程領域的最佳實踐

D.BP不是過程區域（Process Areas，PA )的強制項

答案：A

解釋：BP屬于安全工程的最小單元，其不限定于特定的方法工具，不同業務背景中可以使用不同的方法；是根據廣泛的現有資料，實施和專家意見綜合得出的；代表著信息安全工程領域的最佳實踐；并且是過程區域（Process Areas，PA )的強制項。

? ? ? ? 2.在使用系統安全工程-能力成熟度模型（SSE-CCM）對一個組織的安全工程能力成熟度進行測量時，有關測量結果，錯誤的理解是：

A.如果該組織在執行某個特定的過程區域時具備了一個特定級別的部分公共特征時，則這個組織在這個過程區域的能力成熟度未達到此級

B.如果該組織某個過程區域（Process? Areas，PA）具備了“定義標準過程”、“執行已定義的過程”兩個公共特征，則此過程區域的能力成熟度級別達到3級“充分定義級”

C.如果某個過程區域（Process? Areas，PA)包含4個基本實施（Base? Practices，BP），執行此PA時執行了3個BP，則此過程區域的能力成熟度級別為0

D.組織在不同的過程區域的能力成熟度可能處于不同的級別上

答案：B

解釋：SSE-CMM充分定義級包括三個特征，為“定義標準過程”、“執行已定義的過程”、“安全協調實施”。B答案中只描述了兩個公共特征。

八.CC標準

CC 標準，即《信息技術安全評估通用準則》（Common Criteria for Information Technology Security Evaluation），是國際上公認的系統安全認證方面的權威標準。

定義與性質：CC 標準是國際公認的信息技術安全評估通用準則，為信息技術產品和系統的安全性評估提供了統一的框架和方法，是一種科學性、規范性的標準體系。
核心要素：由安全功能要求和安全保證要求構成。安全功能要求明確了產品或系統需具備的具體安全功能，如用戶身份認證、數據完整性保護等；安全保證要求規定了為確保這些安全功能有效實現所應遵循的措施和流程，包括開發過程的規范、安全測試的要求等。
優勢特點：具有結構開放性，能根據不同需求對安全要求進行靈活擴展和細化；表達方式具有通用性，方便不同國家和組織理解與應用；強調實用性，緊密結合 IT 產品和系統的實際開發、應用場景，使安全評估更具可操作性和現實意義。
應用價值：在 IT 產業中，CC 標準為產品開發者提供了明確的安全設計指南，有助于提高產品的安全性和質量；為用戶提供了客觀的安全評估依據，使其能準確了解產品或系統的安全性能，做出合理選擇；在國際信息安全領域，促進了各國之間在信息安全評估方面的互認與合作，推動了全球信息安全產業的發展。

? ? ? ? 1.CC標準是目前系統安全認證方面最權威的而標準，那一項不是體現CC標準的先進性？

A.結構開放性，即功能和保證要求可以“保護輪廓”和“安全目標”中進行一步細化和擴展

B.表達方式的通用性，即給出通用的表達方式

C.獨立性，它強調將安全的功能和保證分離

D.實用性，將CC的安全性要求具體應用到IT產品的開發、生產、測試和評估過程中

答案：C

解釋：ITSEC最早強調功能和保證的分離，不是CC的先進性。

? ? ? ? 2.GB/T18336<<信息技術安全性評估準則>>（CC）是測評標準類中的重要標準，該標準定義了保護輪廓（Protection? Profile ，PP ）和安全目標（Security? Target? ，ST）的評估準則，提出了評估保證級（Evaluation Assurance? Level，EAL）,其評估保證級共分為（）個遞增的評估保證等級

A.4????? B.5?????? C.6????? D.7

答案：D

解釋：CC標準EAL1-EAL7級。

? ? ? ? 3.下列關于ISO15408信息技術安全評估準則(簡稱CC)通用性的特點，即給出通用的表達方式，描述不正確的是______。

A.如果用戶、開發者、評估者和認可者都使用CC語言，互相就容易理解溝通

B.通用性的特點對規范實用方案的編寫和安全測試評估都具有重要意義

C.通用性的特點是在經濟全球化發展、全球信息化發展的趨勢下，進行合格評定和評估結果國際互認的需要

D.通用性的特點使得CC也適用于對信息安全建設工程實施的成熟度進行評估

答案：D

解釋：SSE-CMM用于對安全建設工程的成熟度進行評估。CC是信息技術產品或系統的規劃、設計、研發、測試、EAL級別評估進行使用。

? ? ? ? 4.ISO／IEC27001《信息技術安全技術信息安全管理體系要求》的內容是基于（）

A.BS7799-1《信息安全實施細則》

B.BS7799-2《信息安全管理體系規范》

C. 信息技術安全評估準則(簡稱ITSEC)

D. 信息技術安全評估通用標準(簡稱CC)

答案：B

解釋：BS7799-1發展為ISO27002；BS7799-2發展為ISO27001；TCSEC發展為ITSEC；ITSEC發展為CC。

? ? ? ? 5.在GB／T18336《信息技術安全性評估準則》（CC標準）中，有關保護輪廓(Protection Profile，PP)和安全目標(Security Target，ST)，錯誤的是：

A.PP是描述一類產品或系統的安全要求

B.PP描述的安全要求與具體實現無關

C.兩份不同的ST不可能滿足同一份PP 的要求

D.ST與具體的實現有關

答案：C

解釋：兩份不同的ST可以同時滿足同一份PP 的要求。

九.九項重點工作

國務院信息化辦公室為加強信息安全保障提出的九項重點工作如下：

保障重要信息系統和基礎信息網絡安全，強化安全防護與管理。
加強政府和涉密信息系統安全管理，規范信息技術服務外包。
確保工業控制系統安全，開展檢查與評估，加強重點領域監管。
保護信息資源和個人信息，試點個人信息保護工作。
強化應急處置工作，完善應急預案，建設災備設施。
提升監管能力，完善基礎設施，建設專業隊伍，倡導行業自律。
加快技術攻關和產業發展，加大研發力度，支持產業發展。
加大資金投入，支持技術研發、設施建設和人才培養等。
加快人才培養，加強學科建設，提高全民信息安全意識和技能。

? ? ? ? 1.以下哪一項不是我國國務院信息化辦公室為加強信息安全保障明確提出的九項重點工作內容之一?

A.提高信息技術產品的國產化率???????????? B.保證信息安全資金投入

C.加快信息安全人才培養?????????????????? D.重視信息安全應急處理工作

答案：A

解釋：提高信息技術產品的國產化率不屬于九項重點工作內容之一。

記背:

????????1.由于發生了一起針對服務器的口令暴力破解攻擊，管理員決定對設置帳戶鎖定策略以對抗口令暴力破解。他設置了以下賬戶鎖定策略如下：

賬戶鎖定閥值3次無效登陸；
賬戶鎖定時間10分鐘；
復位賬戶鎖定計數器5分鐘；?

以下關于以上策略設置后的說法哪個是正確的

A.設置賬戶鎖定策略后，攻擊者無法再進行口令暴力破解，所有輸錯的密碼的擁護就會被鎖住

B.如果正常用戶部小心輸錯了3次密碼，那么該賬戶就會被鎖定10分鐘，10分鐘內即使輸入正確的密碼，也無法登錄系統

C.如果正常用戶不小心連續輸入錯誤密碼3次，那么該擁護帳號被鎖定5分鐘，5分鐘內即使交了正確的密碼，也無法登錄系統

D.攻擊者在進行口令破解時，只要連續輸錯3次密碼，該賬戶就被鎖定10分鐘，而正常擁護登陸不受影響

答案：B

解釋：答案為B，全部解釋為5分鐘計數器時間內錯誤3次則鎖定10分鐘。

2.加密文件系統（Encrypting File System, EFS）是Windows操作系統的一個組件，以下說法錯誤的是（）

A.EFS采用加密算法實現透明的文件加密和解密，任何不擁有合適密鑰的個人或者程序都不能解密數據

B.EFS 以公鑰加密為基礎，并利用了widows系統中的CryptoAPI 體系結構

C.EFS加密系統適用于NTFS文件系統合FAT32文件系統（Windows環境下）

D.EFS加密過程對用戶透明，EFS加密的用戶驗證過程是在登陸windows 時進行的

答案：C

解釋：答案為C，FAT32不支持EFS加密。

3.下面有關軟件安全問題的描述中，哪項是由于軟件設計缺陷引起的（C）

A.設計了三層Ｗｅｂ架構，但是軟件存在ＳＱＬ注入漏洞，導致被黑客攻擊后能直接訪問數據庫

B.使用Ｃ語言開發時，采用了一些存在安全問題的字符串處理函數，導致存在緩沖區溢出漏洞

C.設計了緩存用戶隱私數據機制以加快系統處理性能，導致軟件在發布運行后，被黑客攻擊獲取到用戶隱私數據

D.使用了符合要求的密碼算法，但在使用算法接口時，沒有按照要求生成密鑰，導致黑客攻擊后能破解并得到明文數據

解析

A 選項：軟件存在 SQL 注入漏洞，是由于在代碼編寫過程中，對用戶輸入的數據沒有進行有效的驗證和過濾，這屬于編碼實現上的問題，而不是軟件設計缺陷。例如，沒有對用戶輸入的 SQL 語句進行轉義處理，導致黑客可以構造惡意的 SQL 語句來直接訪問數據庫，所以 A 選項錯誤。
B 選項：使用 C 語言開發時采用了存在安全問題的字符串處理函數，導致緩沖區溢出漏洞，這是編碼時選擇函數不當以及對函數使用方式不正確造成的，是編碼層面的安全問題，并非設計缺陷。例如，使用strcpy函數時沒有對目標緩沖區的大小進行檢查，容易導致緩沖區溢出，所以 B 選項錯誤。
C 選項：設計緩存用戶隱私數據機制來加快系統處理性能，這一設計本身存在安全隱患，因為沒有充分考慮到緩存數據的安全性，導致黑客能夠獲取到用戶隱私數據。這是在軟件設計階段對安全因素考慮不足，屬于軟件設計缺陷，所以 C 選項正確。
D 選項：在使用符合要求的密碼算法接口時，沒有按照要求生成密鑰，導致黑客能夠破解得到明文數據，這是在使用密碼算法接口時的操作不當，屬于編碼實現問題，而不是軟件設計上的缺陷，所以 D 選項錯誤。

? ? ? ? 4.恢復時間目標（RTO）和恢復點目標（RPO）是信息系統災難恢復中的重要概念，關于這兩個值能否為零，正確的選項是（）

A.RTO可以為0，RPO也可以為0

B.RTO可以為0，RPO不可以為0

C.RTO不可以為0，但RPO可以為0

D.RTO不可以為0，RPO也不可以為0

答案：A

解釋：RTO可以為0，RPO也可以為0。