1、第一章一、填空題1. 信息保障的三大要素是、2. 在bs7799信息安全管理體系中，信息安全的主要目標(biāo)是信息的 :、的保持3信息安全一般包括 >>信息安全和四個方面的內(nèi)容。4信息安全管理是通過維護(hù)信息的 、等，來管理和保護(hù)信息資產(chǎn)的一項體制二、名詞解釋1信息安全2信息安全管理四、論述1. 我國信息安全管理現(xiàn)狀如何？第二章一、填空題1. BS7799信息安全管理領(lǐng)域的一個權(quán)威標(biāo)準(zhǔn)，其最大意義就在于它給整套可“”的信息安全管理要領(lǐng)。2.SSE-CMM將安全工程劃分為三個基本的安全區(qū)域，即、:3.SSE-CMM包含了 級別，我國的信息和信息系統(tǒng)的安全保護(hù)等級共分為級二、名詞解釋1信息安全

2、管理體系ISMS2.信息安全等級保護(hù)3.信息安全管理體系認(rèn)證三、簡答1 .建立ISMS有什么作用？2. 可以采用哪些模式引入 BS7799 ?3. 我國對于信息和信息系統(tǒng)的安全保護(hù)等級是如何劃分的？4. SSE-CMM將安全工程劃分為哪些基本的過程區(qū)域？每一個區(qū)域的含 義是什么？5. 建立信息安全管理體系一般要經(jīng)過哪些基本步驟？四、論述1. PDCA分為哪幾個階段？每一個階段的主要任務(wù)是什么？2. 等級保護(hù)的實施分為哪幾個階段？每一個階段的主要步驟是什么？3. 試述BS7799的主要內(nèi)容。第三章一、填空題1. 資產(chǎn)管理的主要任務(wù)是 、等2. 脆弱性分為、3. 風(fēng)險評估方法分為、4.0CTAVE

3、是一種信息安全風(fēng)險評估方法，它指的是 :5. 組織根據(jù)與的原則識別并選擇安全控制措施6. 風(fēng)險接受是一個對殘留風(fēng)險進(jìn)行和的過程二、名詞解釋（1）資產(chǎn)的價值（2）威脅 （3）脆弱性（4 ）安全風(fēng)險（5）風(fēng)險評估（6）風(fēng)險管理（7 ）安全控制（8）適用性聲明三、簡答1. 敘述風(fēng)險評估的基本步驟。2. 資產(chǎn)、威脅與脆弱性之間的關(guān)系如何？3信息系統(tǒng)的脆弱性一般包括哪幾類？4. 比較基本風(fēng)險評估與詳細(xì)風(fēng)險評估的優(yōu)缺點。第四章一、填空題1. 人員安全管理包括 、2. 對人員的安全審查一般從人員的 、等幾個方面進(jìn)行審查。三、簡答1 在我國，信息安全管理組織包含哪些層次？2 信息安全組織的基本任務(wù)是什么？3

4、信息安全教育包括哪些方面的內(nèi)容？第五章一、填空題1為防止未經(jīng)授權(quán)的，預(yù)防對信息系統(tǒng)的和的破壞和干擾，應(yīng)當(dāng)對信息系統(tǒng)所處的環(huán)境進(jìn)行區(qū)域劃分2. 機房安全就是對旋轉(zhuǎn)信息系統(tǒng)的行細(xì)致周密的計劃，對信息系統(tǒng)加以的嚴(yán)密保護(hù)3. 計算機系統(tǒng)的電磁泄漏途徑有： 和4. 影響計算機電磁輻射強度的因素有 、5. 媒介保護(hù)和管理的目的是保護(hù)存儲在媒介上的 ，確保信息不被、篡改、破壞或6. 基于移動存儲介質(zhì)的安全威脅傳播快、危害大，而且有很強的 和7. 信息的存儲與處理應(yīng)當(dāng) ，以便保護(hù)這些信息免于未經(jīng)授權(quán)的和8. 根據(jù)GB9361-88，計算機機房的安全等級分為 >和<9保證電子文檔安全的技術(shù)措施有加密

5、技術(shù)、 、和。二、名詞解釋1. 物理安全邊界三、簡答1 信息系統(tǒng)安全界線的劃分和執(zhí)行應(yīng)考慮哪些原則和管理措施？2 為了保證信息系統(tǒng)安全，應(yīng)當(dāng)從哪些方面來保證環(huán)境條件？3 信息系統(tǒng)在實際應(yīng)用中采用的防泄露措施主要有哪些？4 設(shè)備安全管理包括哪些方面？5 對于移動存儲介質(zhì)的管理應(yīng)當(dāng)考慮哪些策略？四、論述1 對于信息的存儲與處理應(yīng)當(dāng)考慮哪些管理措施？第六章一、填空題1. 系統(tǒng)可靠性分為和2. 和中最大的安全弱點是用戶賬號3. 針對用戶賬號安全，可采用 、 保護(hù)4. 系統(tǒng)選購?fù)ㄟ^、等，保證所選購安全性5. 程序測試的目的有兩個：一是 ，二是6. 系統(tǒng)安全驗證的方法有 、二、名詞解釋1. 系統(tǒng)安全性驗證

6、2.破壞性分析 四、論述1. 系統(tǒng)安全原則包括哪些？分別簡述。第七章一、填空題1信息安全策略分為和個層次。2. 信息安全管理程序包括兩部分：一是實施控制目標(biāo)與控制方式的 另一部分是覆蓋信息安全管理體系的 的程序3. 系統(tǒng)安全監(jiān)控與審計是指對系統(tǒng)的 和系統(tǒng)中用戶的 進(jìn)行監(jiān)視、控制和記錄4. 安全監(jiān)控分為和 大類5. 從實現(xiàn)技術(shù)上看，安全審計分為和部分6. 審計分析的基本方法有 、7. 網(wǎng)絡(luò)故障管理的基本步驟包括 、和8. 目前網(wǎng)絡(luò)測量方法有： 、和二、名詞解釋1.信息安全策略2.系統(tǒng)安全審計3.操作權(quán)限管理4.操作監(jiān)控三、簡答1.信息安全策略有哪些相關(guān)技術(shù)2. 敘述系統(tǒng)安全審計的工作原理3. 操

7、作權(quán)限管理有哪些方式？4. 操作監(jiān)控管理的主要內(nèi)容有哪些？5. 故障管理包括哪些內(nèi)容？故障管理的基本步驟是什么？四、論述1. 試述信息安全策略的制定過程第八章一、填空題1.目前入侵檢測技術(shù)可分為和二、名詞解釋1.應(yīng)急響應(yīng)2.安全緊急事件三、簡答1. 如何理解應(yīng)急響應(yīng)在信息安全中的地位和作用？2. 應(yīng)急響應(yīng)組織分為哪幾類？分別簡述。四、論述應(yīng)急響應(yīng)處置流程通常被劃分為哪些階段？各個階段的主要任務(wù)是什 么？案例應(yīng)用題1.結(jié)合你所學(xué)過的知識，談一談降低風(fēng)險的主要途徑有哪些？2. 系統(tǒng)安全監(jiān)控的主要內(nèi)容有哪些？請舉例說明系統(tǒng)安全監(jiān)控有哪些實現(xiàn)方式？3. 某設(shè)計院有工作人員25人，每人一臺計算機，Win

8、dows 98對等網(wǎng)絡(luò)通過一臺集線器連接起來，公司沒有專門的IT管理員。公司辦公室都在二樓， 同一樓房內(nèi)還有多家公司，在一樓入口處趙大爺負(fù)責(zé)外來人員的登記，但是他經(jīng)常分辨不清楚是不是外來人員。設(shè)計院由市內(nèi)一家保潔公司負(fù)責(zé)樓道和辦公 室的清潔工作。總經(jīng)理陳博士是位老設(shè)計師， 他經(jīng)常撥號到In ternet訪問一些 設(shè)計方面的信息，他的計算機上還安裝了代理軟件，其他人員可以通過這個代 理軟件訪問In ternet。下列情況都是有可能的：1）小偷順著一樓的防護(hù)欄潛入辦公室偷走了2）保潔公司人員不小心弄臟了準(zhǔn)備發(fā)給客戶的設(shè)計方案；錯把掉在地上 的合同稿當(dāng)廢紙收走了；不小心碰掉了墻角的電源插銷3）某設(shè)計

9、師張先生是公司的骨干，他嫌公司提供的設(shè)計軟件版本太舊，自己安裝了盜版的新版本設(shè)計程序。盡管這個盜版程序使用一段時間就會發(fā)生 莫名其妙的錯誤導(dǎo)致程序關(guān)閉，可是張先生還是喜歡新版本的設(shè)計程序， 并找 到一些辦法避免錯誤發(fā)生時丟失文件。4）后來張先生離開設(shè)計院，新員工小李使用原來張先生的計算機。小李 抱怨了多次計算機不正常，沒有人理會，最后決定自己重新安裝操作系統(tǒng)和應(yīng) 用程序5) 小李把自己感覺重要的文件備份到陳博士的計算機上，聽說Windows2000比較穩(wěn)定，他決定安裝 Windows2000，于是他就重新給硬盤分 區(qū)，成功完成了安裝。6) 大家通過陳博士的計算機訪問In ternet，收集了很

10、多有用的資料?？墒亲罱脦着_計算機在啟動的時候就自動連接上In ternet，陳博士收到幾封主題不同的電子郵件，內(nèi)容竟然包括幾個還沒有提交的設(shè)計稿，可是員工都說沒有發(fā)過這樣的信。針對上述情況，請從下面所列的安全策略中選擇你認(rèn)為適合的放在相應(yīng) 的位置。物理安全策略網(wǎng)絡(luò)安全策略數(shù)據(jù)加密策略數(shù)據(jù)備份策略病毒 防護(hù)策略系統(tǒng)安全策略身份認(rèn)證及授權(quán)策略災(zāi)難恢復(fù)策略事故處理 與緊急響應(yīng)策略安全教育策略(11)口令管理策略(12)補丁管理策略(13)系統(tǒng)變更 控制策略(14)商業(yè)伙伴與客戶關(guān)系策略(15)復(fù)查審計策略(例：1)(5)4.某高校信息安全應(yīng)對策略某大學(xué)師生人數(shù)眾多，擁有兩萬多臺主機，上網(wǎng)用戶也在2

11、萬人左右，而 且用戶數(shù)量一直成上升趨勢。校園網(wǎng)在為廣大師生提供便捷、高效的學(xué)習(xí)、 工 作環(huán)境的同時，也在寬帶管理、計費和安全等方面存在許多問題。具體如下：(1) IP地址及用戶賬號的盜用(2) 多人使用同一賬號(3) 網(wǎng)絡(luò)計費管理功能的單一。(4) 對帶寬資源的大量占用導(dǎo)致重要應(yīng)用無法進(jìn)行(5) 訪問權(quán)限難以控制。(6) 安全問題日益突出。(7 )異常網(wǎng)絡(luò)事件的審計和追查。(8)多個校區(qū)的管理和維護(hù)。針對這些問題，相應(yīng)的應(yīng)對策略。第一章一、填空題1.人員技術(shù)管理2.機密性完整性可用性3.實體安全運行安全管理安全4.機密性完整性可用性二、名詞解釋1信息安全是保護(hù)信息系統(tǒng)的硬件、軟件及相關(guān)數(shù)據(jù)，使

12、之不因為偶然或者惡 意侵犯而遭受破壞、更改及泄露，保證信息系統(tǒng)能夠連續(xù)、可靠、正常地運行 2信息安全管理是通過維護(hù)信息的機密性、完整性和可用性等，來管理和保護(hù)信息資產(chǎn)的一項體制，是對信息安全保障進(jìn)行指導(dǎo)、規(guī)范和管理的一系列活動 和過程。四、論述1. 在國家宏觀信息安全管理方面，主要有以下幾個方面的問題：（1 ）法律法規(guī)問題（2）管理問題（3）國家信息基礎(chǔ)設(shè)施建設(shè)問題在微觀信息安全管理方面的問題主要有以下幾方面：缺乏信息安全意識與明確的信息安全方針（2）重視安全技術(shù)，輕視安全管理（3 ）安全管理缺乏系 統(tǒng)管理的思想。第二章一、填空題1. 管理層量體裁衣2. 風(fēng)險 工程 保證3. 六 五二、名詞解

13、釋1信息安全管理體系（ISMS ）是組織在整體或特定范圍內(nèi)建立的信息安全方針和目標(biāo)，以及完整這些目標(biāo)所用的方法和手段所構(gòu)成的體系；信息安全管理體系是信息安全管理活動的直接結(jié)果，表示為方針、原則、目標(biāo)、方法、 計劃、活動、程序、過程和資源的集合。2信息安全等級保護(hù)是指根據(jù)信息系統(tǒng)在國家安全、 經(jīng)濟安全、社會穩(wěn)定、和保護(hù)公共利益等方面的重要程度， 結(jié)合系統(tǒng)面臨的風(fēng)險、應(yīng)對風(fēng)險的安全保 護(hù)要求和成本開銷等因素，將其劃分成不同的安全保護(hù)等級，采取相應(yīng)的安全 保護(hù)措施，以保障信息和信息系統(tǒng)的安全。3信息安全管理體系認(rèn)證，是第三方依據(jù)程序?qū)Ξa(chǎn)品、過程和服務(wù)等符合 規(guī)定的要求給予書面保證（如合格證書）。認(rèn)證

14、的基礎(chǔ)是標(biāo)準(zhǔn)，認(rèn)證的方法包 括對產(chǎn)品特性的抽樣檢驗和對組織體系的審核與評定，認(rèn)證的證明方式是認(rèn)證證書與認(rèn)證標(biāo)志。目前，世界上普遍采用的信息安全管理體系認(rèn)證的標(biāo)準(zhǔn)是在 英國標(biāo)準(zhǔn)協(xié)會的信息安全管理委員會指導(dǎo)下制定的B57799-2:信息安全管理體系規(guī)范。三、簡答1.1 SMS的作用1）強化員工的信息安全意識，規(guī)范組織信息安全行為；2）促使管理層貫徹信息安全保障體系；3）對組織的關(guān)鍵信息資產(chǎn)進(jìn)行全面系統(tǒng)的保護(hù)，維持競爭優(yōu)勢；4）在信息系統(tǒng)受到侵襲時，確保業(yè)務(wù)持續(xù)開展并將損失降到最低程度；5）使組織的生意伙伴和客戶對組織充滿信心；6）如果通過體系認(rèn)證，表明體系符合標(biāo)準(zhǔn)，證明組織有能力保障重要信 息，可

15、以提高組織的知名度與信任度。.2. 答：組織在實施BS7799時，可以根據(jù)需求和實際情況，采用以下幾種模式：（1）按照BS7799標(biāo)準(zhǔn)的要求，自我建立和實施組織的安全管理體系，以 達(dá)到保證信息安全的目的；按照BS7799標(biāo)準(zhǔn)的要求，自我建立和實施組織的安全管理體系，以 達(dá)到保證信息安全的目的，并且通過 BS7799體系認(rèn)證；通過安全咨詢顧問，來建立和實施組織的安全管理體系，以達(dá)到保證 信息安全的目的；（4）通過安全咨詢顧問，來建立和實施組織的安全管理體系，以達(dá)到保證 信息安全的目的，并且通過 BS7799體系認(rèn)證。3信息和信息系統(tǒng)的安全保護(hù)等級共分為五級：（1）第一級：自主保護(hù)級（2）第二級：

16、指導(dǎo)保護(hù)級（3）第三級：監(jiān)督保護(hù)級（4）第四級：強制保護(hù)級（5）第五級：專控保護(hù)級4.SSE-CMM將安全工程劃分為3個基本的過程區(qū)域，即風(fēng)險、工程和保 證。風(fēng)險：安全工程的主要目標(biāo)是降低風(fēng)險。風(fēng)險就是有害事件發(fā)生的可能性， 個不確定因素發(fā)生的可能性依賴于具體情況，這就意味著這種可能性僅能在 某種限制下預(yù)測。工程：安全工程與其他項目一樣，是一個包括概念、設(shè)計、實現(xiàn)、測試、部署、運行、維護(hù)和退出的完整過程保證：是指安全需求得到滿足的信任程度，它是安全工程非常重要的產(chǎn)品,SSE-CMM的信任程度來自于安全工程過程可重復(fù)性的結(jié)果質(zhì)量，這種信任的基礎(chǔ)是成熟組織比不成熟組織更可能產(chǎn)生出重復(fù)結(jié)果的事實。5

17、.建立信息安全管理體系一般要經(jīng)過下列五個基本步驟：信息安全管理體系的策劃與準(zhǔn)備；信息安全管理體系文件的編制； 建立信息安全管理框架；信息安全管理體系的運行；信息安全管理體系的 審核與評審四、論述1答:PDCA循環(huán)的四個階段的具體任務(wù)和內(nèi)容如下。（1 ）計劃階段：制定具體工作計劃，提出總的目標(biāo)。具體來講又分為以 下4個步驟：分析目前現(xiàn)狀，找出存在的問題；分析產(chǎn)生問題的各種原因以及 影響因素；分析并找出管理中的主要問題；制定管理計劃，確定管理要點。本階段的任務(wù)是根據(jù)管理中出現(xiàn)的主要問題， 制定管理的措施和方案，明 確管理的重點。（2）實施階段：按照制定的方案去執(zhí)行。本階段的任務(wù)是在管理工作中 全面

18、執(zhí)行制定的方案。（3）檢查階段：檢查實施計劃的結(jié)果。本階段的任務(wù)是檢查工作，調(diào)查 效果。（4）行動階段：根據(jù)調(diào)查效果進(jìn)行處理。對已解決的問題，加以標(biāo)準(zhǔn)化；找出尚未解決的問題，轉(zhuǎn)入下一個循環(huán)中去，以便解決。2信息安全等級保護(hù)的實施過程包括定級階段、規(guī)劃與設(shè)計階段和實施、 等級評估與改進(jìn)階段。（1 ）定級階段，包括兩個步驟：系統(tǒng)識別與描述；等級確定（2 ）規(guī)劃與設(shè)計階段，包括三個步驟：a）系統(tǒng)分域保護(hù)框架建立b）選 擇和調(diào)整安全措施c）安全規(guī)劃和方案設(shè)計（3）實施、等級評估與改進(jìn)階段，包括三個步驟：a）安全措施的實施b） 評估與驗收c）運行監(jiān)控與改進(jìn)3. BS7799基本內(nèi)容包括信息安全政策、信息

19、安全組織、信息資產(chǎn)分類與管理、人員信息安全、物理和環(huán)境安全、通信和運營管理、訪問控制、信息系統(tǒng)的開發(fā)與維護(hù)、業(yè)務(wù)持續(xù)性管理、信息安全事件管理和符合性管理十一個方面。ATy * 第三早、填空題1.資產(chǎn)責(zé)任劃分分類標(biāo)識2.技術(shù)脆弱性操作脆弱性管理脆弱性3.基本風(fēng)險評估詳細(xì)風(fēng)險評估 聯(lián)合風(fēng)險評估4. 可操作的關(guān)鍵威脅 資產(chǎn)漏洞評估5. 控制費用風(fēng)險平衡6. 確認(rèn) 評價二、名詞解釋（1 ）資產(chǎn)的價值：為了明確對資產(chǎn)的保護(hù)，所對資產(chǎn)進(jìn)行的估價。（2 ）威脅：威脅是指可能對資產(chǎn)或組織造成損害的事故的潛在原因。（3）脆弱性：所謂脆弱性就是資產(chǎn)的弱點或薄弱點，這些弱點可能被威 脅利用造成安全事件的發(fā)生，從而對

20、資產(chǎn)造成損害。（4）安全風(fēng)險：所謂安全風(fēng)險，就是特定的威脅利用資產(chǎn)的一種或多種脆弱性，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性， 即特定威脅事件發(fā)生的可能性 與后果的結(jié)合。（5） 風(fēng)險評估：即對信息和信息處理設(shè)施的威脅、影響（Impact，指安 全事件所帶來的直接和間接損失）和脆弱性及三者發(fā)生的可能性的評估。（6 ）風(fēng)險管理：所謂風(fēng)險管理就是以可接受的費用識別、控制、降低或消除可能影響信息系統(tǒng)的安全風(fēng)險的過程。（7）安全控制：安全控制就是保護(hù)組織資產(chǎn)、防止威脅、減少脆弱性、 限制安全事件影響的一系列安全實踐、過程和機制。（8 ）適用性聲明：所謂適用性聲明，是指對適用于組織需要的目標(biāo)和控 制的評述。三、

21、簡答1. （ 1 ）按照組織業(yè)務(wù)運作流程進(jìn)行資產(chǎn)識別，并根據(jù)估價原則對資產(chǎn)進(jìn)行估價;(2 )根據(jù)資產(chǎn)所處的環(huán)境進(jìn)行威脅評估;(3) 對應(yīng)每一威脅，對資產(chǎn)或組織存在的脆弱性進(jìn)行評估；(4) 對已采取的安全機制進(jìn)行識別和確認(rèn)；(5) 建立風(fēng)險測量的方法及風(fēng)險等級評價原則，確定風(fēng)險的大小與等 級。2. 資產(chǎn)、威脅與脆弱性之間的對應(yīng)關(guān)系包括：一項資產(chǎn)可能存在多個威脅；威脅的來源可能不只一個，應(yīng)從人員、環(huán)境、資產(chǎn)本身等方面加以 考慮；每一威脅可能利用一個或數(shù)個脆弱性。3. 大體可以分為以下幾類。技術(shù)脆弱性：系統(tǒng)、程序和設(shè)備中存在的漏洞或缺陷，如結(jié)構(gòu)設(shè)計問題和 編程漏洞等；操作脆弱性：軟件和系統(tǒng)在配置、操

22、作及使用中的缺陷，包括人員日常工 作中的不良習(xí)慣、審計或備份的缺乏等；管理脆弱性：策略、程序和規(guī)章制度等方面的弱點。4. 基本風(fēng)險評估有許多優(yōu)點，主要是：風(fēng)險評估所需資源最少，簡便易實施；同樣或類似的控制能被許多信息安全管理體系所采用?；撅L(fēng)險評估的缺點包括：安全基線水平難以設(shè)置；管理與安全相關(guān)的變更可能有困難。詳細(xì)風(fēng)險評估的優(yōu)點主要包括：可以獲得一個更精確的對安全風(fēng)險的認(rèn)識，從而可以更為精確地識 別出反映組織安全要求的安全水平；可以從詳細(xì)的風(fēng)險評估中獲得額外信息，使與組織變革相關(guān)的安全 管理受益。詳細(xì)風(fēng)險評估的缺點主要是，需要花費相當(dāng)?shù)臅r間、精力和技術(shù)去獲得可 行的結(jié)果。第四章一、填空題1.

23、 人員安全審查人員安全教育人員安全保密管理2. 安全意識法律意識安全技能三、簡答1. 在我國，信息安全管理組織有4個層次：各部委信息安全管理部門、各 省信息安全管理部門、各基層信息安全管理部門以及經(jīng)營單位。其中，直接負(fù)責(zé)信息系統(tǒng)應(yīng)用和系統(tǒng)運行業(yè)務(wù)的單位為系統(tǒng)經(jīng)營單位，其上級單位為系統(tǒng)管理部門2信息安全組織的基本任務(wù)是在政府主管部門的管理指導(dǎo)下，由與系統(tǒng)有關(guān)的各方面專家，定期或適時進(jìn)行風(fēng)險評估，根據(jù)本單位的實際情況和需要， 確定信息系統(tǒng)的安全等級和管理總體目標(biāo)， 提出相應(yīng)的對策并監(jiān)督實施，使得 本單位信息系統(tǒng)的安全保護(hù)工作能夠與信息系統(tǒng)的建設(shè)、應(yīng)用和發(fā)展同步前 進(jìn)。3. 教育和培訓(xùn)的具體內(nèi)容和要

24、求會因培訓(xùn)對象的不同而不同， 主要包括法 規(guī)教育、安全技術(shù)教育和安全意識教育等。 除了以上教育和培訓(xùn)，組織管理者 應(yīng)根據(jù)工作人員所從事的安全崗位不同，提供必要的專業(yè)技能培訓(xùn)第五章、填空題1.訪問基礎(chǔ)設(shè)施（設(shè)備）業(yè)務(wù)信息2.空間物理3.輻射泄漏傳導(dǎo)泄漏4.功率和頻率距離因素屏蔽狀況5信息非法竊取非法使用6.隱蔽性欺騙性7.規(guī)范化泄漏誤用8.A BC9.簽名技術(shù)身份認(rèn)證 防火墻。二、名詞解釋1. 所謂物理安全邊界是指在信息系統(tǒng)的實體和環(huán)境這一層次上建立某種屏障，例如門禁系統(tǒng)等。三、簡答1答：信息系統(tǒng)安全界線的劃分和執(zhí)行應(yīng)考慮如下的原則和管理措施：（1）必須明確界定安全范圍；（2）信息處理設(shè)施所在的

25、建筑物或場所的周邊應(yīng)當(dāng)?shù)玫酵咨频谋Ｗo(hù)，所有 入口都應(yīng)該實施適當(dāng)?shù)谋Ｗo(hù)，以防止未經(jīng)授權(quán)者進(jìn)入；（3）實體和環(huán)境保護(hù)的范圍應(yīng)當(dāng)盡可能涵蓋信息系統(tǒng)所在的整個環(huán)境空間；（4）應(yīng)按照地方、國內(nèi)和國際標(biāo)準(zhǔn)建立適當(dāng)?shù)娜肭謾z測系統(tǒng)，并定期檢測；（5）組織管理的信息處理設(shè)施應(yīng)在物理上與第三方管理的設(shè)施分開。2答：保障信息系統(tǒng)安全的環(huán)境條件有：（1）溫度和濕度；（2）空氣含塵濃度；（3）噪聲；電磁干擾；（5）振動；靜電；（7）接地。3答：信息系統(tǒng)在實際應(yīng)用中采用的防電磁泄露措施主要有：（1 ）選用低輻射設(shè)備（2 ）利用噪聲干擾源（3）采取屏蔽措施（4）距離防護(hù)（5）采用微波吸收材料4答：設(shè)備安全管理包括（1）設(shè)備

26、選型；（2）設(shè)備檢測；（3）設(shè)備購置與安裝；（4）設(shè)備登記；（5）設(shè)備使用管理；（6）設(shè)備維修管理；（7）設(shè)備儲存管理5答：對于移動存儲介質(zhì)的管理應(yīng)當(dāng)考慮的策略有：（1 ）對從組織取走的任何可重用的介質(zhì)中的內(nèi)容，如果不再需要，應(yīng)使 其不可重用；（2 ）如果需要并可行，對于從組織取走的所有介質(zhì)應(yīng)要求授權(quán)，所有這 種移動的記錄應(yīng)加以保持，以保持審核蹤跡；（3）要將所有介質(zhì)存儲在符合制造商說明的安全和保密的環(huán)境中；（4）如果存儲在介質(zhì)中的信息使用時間比介質(zhì)生命周期長，則要將信息 存儲在別的地方，以避免由于介質(zhì)老化而導(dǎo)致信息丟失；（5 ）應(yīng)考慮對移動存儲介質(zhì)的登記和移動存儲使用監(jiān)控，以減少數(shù)據(jù)丟 失的

27、機會；（6）只應(yīng)在有業(yè)務(wù)要求時，才使用移動存儲介質(zhì)。四、論述1答：對于信息的存儲與處理應(yīng)當(dāng)考慮以下管理措施：（1 ）按照所顯示的分類級別，處理和標(biāo)識所有存儲介質(zhì)；（2）對未經(jīng)授權(quán)的人員進(jìn)行訪問限制；（3）維護(hù)一份對得到授權(quán)的數(shù)據(jù)接收者的正式記錄；（4 ）確保輸入數(shù)據(jù)的完整性，并確認(rèn)出入的數(shù)據(jù)的有效性；（5）敏感數(shù)據(jù)應(yīng)輸出到具有相應(yīng)安全級別的存儲介質(zhì)上；(6) 存儲介質(zhì)應(yīng)存放在符合制造商要求的環(huán)境中;(7) 數(shù)據(jù)分發(fā)量及范圍應(yīng)盡可能小；(8) 清晰地標(biāo)識數(shù)據(jù)的所有拷貝，以引起授權(quán)接收者的關(guān)注；(9) 定期復(fù)查信息發(fā)送表和得到授權(quán)的信息接受者的列表。第六章一、填空題1. 軟件可靠性硬件可靠性2.

28、系統(tǒng)網(wǎng)絡(luò)3. 用戶分組管理單點登錄用戶認(rèn)證4版本控制安全檢測與驗收5. 確定程序的正確性排除程序中的安全隱患6. 系統(tǒng)鑒定破壞性分析二、名詞解釋1. 系統(tǒng)安全性驗證就是對系統(tǒng)的安全性進(jìn)行測試驗證，并評價其安全性所達(dá)到的程度的過程。2. 破壞性分析是把一些在系統(tǒng)使用方面具有豐富經(jīng)驗的專家和一些富有 設(shè)計經(jīng)驗的專家組織起來，對被測試的系統(tǒng)進(jìn)行安全脆弱性分析， 專門查找可 能的弱點和缺點。四、論述1. （ 1）保護(hù)最薄弱的環(huán)節(jié)：系統(tǒng)最薄弱部分往往就是最易受攻擊影響的部分, 在進(jìn)行系統(tǒng)規(guī)劃時必須重點考慮可能存在的薄弱環(huán)節(jié)以及對薄弱環(huán)節(jié)的保護(hù)。（2）縱深防御：使用多重防御策略來管理風(fēng)險，以便在一層防御不

29、夠時，另 一層防御將會阻止完全的破壞。（3 ）保護(hù)故障：故障的發(fā)生是很難避免的，可以避免的是與故障有關(guān)的安全 性問題。因此必須通過有效的故障管理，確保及時發(fā)現(xiàn)故障、分離故障，找出 失效的原因，并在可能的情況下解決故障，避免因系統(tǒng)故障而導(dǎo)致系統(tǒng)安全問 題的產(chǎn)生。（4 ）最小特權(quán)：指只授予主體執(zhí)行操作所必需的最小訪問權(quán)限，同時該訪問 權(quán)限只準(zhǔn)許使用所需的最少時間。 其目的是防止權(quán)限濫用，是保護(hù)系統(tǒng)安全最 簡單和最有效的策略。（5）分隔：將系統(tǒng)分成盡可能多的獨立單元，以便將對系統(tǒng)可能造成損害的 量降到最低。第七章一、填空題1. 信息安全方針具體的信息安全策略2. 安全控制程序管理與動作3. 運行狀況

30、行為4. 網(wǎng)絡(luò)安全監(jiān)控主機安全監(jiān)控5審計數(shù)據(jù)收集審計分析6. 基于規(guī)則庫基于數(shù)理統(tǒng)計基于模式匹配7. 發(fā)現(xiàn)問題分析問題解決問題8. 主動測量被動測量控制信息監(jiān)視二、名詞解釋1. 信息安全策略從本質(zhì)上來說是描述組織具有哪些重要信息資產(chǎn)，并說明 這些信息資產(chǎn)如何被保護(hù)的一個計劃。2. 安全審計是指對安全活動進(jìn)行識別、記錄、存儲和分析，以查證是否發(fā) 生安全事件的一種信息安全技術(shù)，它能夠為管理人員提供有關(guān)追蹤安全事件和 入侵行為的有效證據(jù)，提高信息系統(tǒng)的安全管理能力。3. 操作權(quán)限管理是計算機及信息系統(tǒng)安全的重要環(huán)節(jié)，合理規(guī)劃和設(shè)定信 息系統(tǒng)管理和操作權(quán)限在很大程度上能夠決定整個信息系統(tǒng)的安全系數(shù)。4

31、. 操作監(jiān)控就是通過某種方式對信息系統(tǒng)狀態(tài)進(jìn)行監(jiān)控和調(diào)整，使信息系統(tǒng)能正常、高效地運行。三、簡答1. 安全策略統(tǒng)一描述技術(shù)、安全策略自動翻譯技術(shù)、安全策略一致性驗證 技術(shù)、安全策略發(fā)布與分發(fā)技術(shù)、安全策略狀態(tài)監(jiān)控技術(shù)2. 系統(tǒng)安全審計的工作原理典型的網(wǎng)絡(luò)安全審計系統(tǒng)結(jié)構(gòu)主要由審計服務(wù)器、審計代理和數(shù)據(jù)庫組成。其中，審計代理實現(xiàn)對被審計主機的數(shù)據(jù)采集和過濾處理，將最終數(shù)據(jù)提 交給本審計域內(nèi)的審計服務(wù)器，數(shù)據(jù)存儲于后臺數(shù)據(jù)庫。每個審計域內(nèi)的服務(wù) 器對各個代理進(jìn)行統(tǒng)一管理。審計服務(wù)器通過協(xié)調(diào)各審計代理實現(xiàn)協(xié)同工作， 實現(xiàn)網(wǎng)絡(luò)安全審計功能。3. 操作權(quán)限管理可以采用集中式和分布式兩種管理方式。所謂集中

32、式管理就是在整個信息系統(tǒng)中，由統(tǒng)一的認(rèn)證中心和專門的管理 人員對信息系統(tǒng)資源和系統(tǒng)使用權(quán)限進(jìn)行計劃和分配。分布式管理就是將信息系統(tǒng)的資源按照不同的類別進(jìn)行劃分，然后根據(jù)資 源類型的不同，由負(fù)責(zé)此類資源管理的部門或人員為不同的用戶劃分不同的操 作權(quán)限。4. 操作監(jiān)控管理的主要內(nèi)容如下：（1）拓?fù)涔芾?；?）故障管理；（3）配 置管理；（4）性能管理。（5 ）服務(wù)級別管理；（6 ）幫助臺。5. 故障管理是對信息系統(tǒng)和信息網(wǎng)絡(luò)中的問題或故障進(jìn)行定位的過程，它 包含以下三個內(nèi)容：一是發(fā)現(xiàn)問題；二是分離問題，找出失效的原因；三是解 決問題（如有可能）。故障管理的基本步驟是：（1）故障診斷（2）故障重現(xiàn)（

33、3）故障排除四、論述1. （ 1）理解組織業(yè)務(wù)特征 （2）得到管理層的明確支持與承諾（3）組建安全策略制定小組 （4）確定信息安全整體目標(biāo) （5）確定安全策略范圍（6）風(fēng)險評估與選擇安全控制（7）起草擬定安全策略 （8）評估安全策略 （9）實施安全策略 （10 ）政策的持續(xù)改進(jìn)第八章一、填空題1.誤用檢測異常檢測二、名詞解釋1. 應(yīng)急響應(yīng)通常是指人們?yōu)榱藨?yīng)對各種緊急事件的發(fā)生所做的準(zhǔn)備以及 在事件發(fā)生后所采取的措施。2. 安全緊急事件一定屬于安全事件范疇。安全事件是破壞或企圖破壞信息 或信息系統(tǒng)CIA屬性的行為事件?！鞍踩o急事件”更側(cè)重指那些發(fā)生很突然且 會造成巨大損失的安全事件，如果不盡快

34、速采取相應(yīng)補救措施，造成的損失會 進(jìn)一步加重。三、簡答1信息安全可以被看作一個動態(tài)的過程，它包括風(fēng)險分析、安全防護(hù)、安 全檢測以及響應(yīng)等四個階段，通常被稱為以安全策略為中心的安全生命周期 P-RPDR安全模型。應(yīng)急響應(yīng)在 P-RPDR安全模型中屬于響應(yīng)范疇，它不僅 僅是防護(hù)和檢測措施的必要補充，而且可以發(fā)現(xiàn)安全策略的漏洞，重新進(jìn)行安 全風(fēng)險評估，進(jìn)一步指導(dǎo)修訂安全策略，加強防護(hù)、檢測和響應(yīng)措施，將系統(tǒng) 調(diào)整到“最安全”的狀態(tài)2. 應(yīng)急響應(yīng)組織是應(yīng)急響應(yīng)工作的主體，目前國內(nèi)外安全事件應(yīng)急響應(yīng)組 織大概可被劃分為國內(nèi)或國際間的應(yīng)急協(xié)調(diào)組織、 企業(yè)或政府組織的應(yīng)急響應(yīng) 組織、計算機軟件廠商提供的應(yīng)急

35、響應(yīng)組織和商業(yè)化的應(yīng)急響應(yīng)組織等四大 類。（1）國內(nèi)或國際間的應(yīng)急響應(yīng)協(xié)調(diào)組織。通常屬于公益性應(yīng)急響應(yīng)組織， 一般由政府或社會公益性組織資助，對社會所有用戶提供公益性的應(yīng)急響應(yīng)協(xié) 調(diào)服務(wù)。女口，CERT/CC由美國國防部資助，中國的CCERT和CNCERT/CC。（2）企業(yè)或政府組織的應(yīng)急響應(yīng)組織。 其服務(wù)對象僅限于本組織內(nèi)部的客戶群，可以提供現(xiàn)場的事件處理，分發(fā)安全軟件和漏洞補丁，培訓(xùn)和技術(shù)支持等，另外還可以參與組織安全政策的制定和審查等。如美國聯(lián)邦的FedCIRC，及 CERNET 的 CCERT 等。（3）計算機軟件廠商提供的應(yīng)急響應(yīng)組織。 主要為本公司產(chǎn)品的安全問題 提供應(yīng)急響應(yīng)服務(wù)，

36、同時也為公司內(nèi)部的雇員提供安全事件處理和技術(shù)支持。 例如SUN、CISCO等公司的應(yīng)急響應(yīng)組織。（4）商業(yè)化的應(yīng)急響應(yīng)組織。面向全社會提供商業(yè)化的安全救援服務(wù)， 其 特點在于一般具有高質(zhì)量的服務(wù)保障，在突發(fā)安全事件發(fā)生時能夠及時響應(yīng)，甚至提供7 X24的服務(wù)和現(xiàn)場事件處理等。四、論述應(yīng)急響應(yīng)處置流程通常被劃分為準(zhǔn)備、檢測、抑制、根除、恢復(fù)、報告與總結(jié)等六個階段（1）準(zhǔn)備階段。主要工作包括建立合理的防御和控制措施、建立適當(dāng)?shù)牟呗院统绦?、獲得必要的資源和組建響應(yīng)隊伍等。（2 ）檢測階段。要做出初步的動作和響應(yīng)，根據(jù)獲得的初步材料和分析 結(jié)果，估計事件的范圍，制訂進(jìn)一步的響應(yīng)戰(zhàn)略， 并且保留可能用于司法程序 的證據(jù)。（3 ）抑制階段。目的是限制攻擊的范圍。抑制策略一般包括關(guān)閉所有的 系統(tǒng)、從網(wǎng)絡(luò)上斷開相關(guān)系統(tǒng)、修改防火墻和路由器的過濾規(guī)則、封鎖或刪除被攻破的登錄賬號、提高系統(tǒng)或網(wǎng)絡(luò)行為的監(jiān)控級別、 設(shè)置陷阱、關(guān)閉服務(wù)以 及反擊攻擊者的系統(tǒng)等。（4 ）根除階段。在事件被抑制之后，通過對有關(guān)惡意代碼或行為的分析 結(jié)果，找出事件根源并徹底清除。（5 ）恢復(fù)階段。把所有被攻破的系統(tǒng)和網(wǎng)絡(luò)設(shè)備徹底還原到它們正常的 任務(wù)狀態(tài)。（6 ）報告與總結(jié)階段。目標(biāo)是回顧并整理發(fā)生事件的各種相關(guān)信息，盡 可能地把所有