信息安全等级测评师( ( 初级技术) ) 简答题
1、《基本要求》，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些,
答:三级比二级增加的要求项有:
应提供对重要信息资源设置敏感标记的功能;
应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。
2、在主机测试前期调研活动中，收集信息的 测评对象选择时应该注意 重要性、代表性、完整性、安全性、共享性五大原则。
3、《基本要求》中，对于三级信息系统，网络安全层面应采取哪些安全技术措施,画出图并进行描述(不考虑安全加固)。
答:网络层面需要考虑结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码防范、网络设备防护、数据备份与恢复。
4、主机按照其规模或系统功能来区分为哪些类,主机安全在测评时会遇到哪些类型操作系统,网络安全三级信息系统的安全子类是什么,三级网络安全的安全审计 b、审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他
与审计相关的信息。
c、应能够根据记录数据进行分析，并生成审计报表。
d、应对审计记录进行保护、避免受到未预期的删除、修改或覆盖等。
5、数据库常见威胁有哪些,针对于工具测试需要注意哪些 对于测试过程中出现的异常情况(服务器出现故障、网络中断等等)要及时记录。
测试结束后，需要被测方人员确认被测系统状态正常并签字后离场。
6、回答工具测试接入点的原则，及注意事项,
答:工具测试接入点的原则:
首要原则是不影响目标系统正常运行的前提下严格按照方案选定范围进行测试。
1)由低级别系统向高级别系统探测;
2)同一系统同等重要程度功能区域之间要相互探测;
3)有较低重要程度区域向较高重要程度区域探测;
4)由外链接口向系统内部探测;
5)跨网络隔离设备(包括网络设备和安全设备)要分段探测。
注意事项:
1)工具测试介入测试设备之前，首先要有被测系统人员确定测试条件是否具备。测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段，等等。
2)接入系统的设备、工具的 ip 地址等配置要经过被测系统相关人员确认。
3)对于测试过程中可能造成的对目标系统的网络流量及主机性能方面的影响(例如口令探测可能会造成的账号锁定等情况)，要事先告知被测系统相关人员。
4)对于测试过程中的关键步骤、重要证据，要及时利用抓图等取证。
5)对于测试过程中出现的异常情况(服务器出现故障、网络中断)要及时记录。
6)测试结束后，需要被测方人员确认被测系统状态正常并签字后退场。
7、采取什么措施可以帮助检测到入侵行为,
答:部署 IDS/IPS，使用主机防火墙(软件)、硬件防火墙、在路由交换设备上设置策略、采用审计设备等。
8、请根据《基本要求》中对于主机的相关要求，按照你的理解，写出由问题可能导致的安全风险，并给出相应的解决方案。
或给出一张(主机测评)检查表，有 8 条不符合项目，请结合等级保护要求，及你的理解，描述存在的风险，并给出解决建议。
解决方案及分析略。
答:主机常见测评的问题
1、检测用户的安全防范意识，检查主机的管理文档(弱口令、安全配置文档)
2、网络服务的配置(不能有过多的网络服务，防 ping)
3、安装有漏洞的软件包(安装过时的软件包)
4、缺省配置(口令缺省配置，可能被人录用)
5、不打补丁或补丁不全(以没有通过测试等为由拒绝补丁的安装)
6、网络安全敏感信息的泄露(.net 服务、database 命令，最小原则下，这
些命令是禁用的)
7、缺乏安全防范体系(防病毒体系不健全、linux 没有成熟的软件，按要求
也是要有的记录)
8、信息资产的不明，缺乏分类的处理(如一台服务器不知道干什么用的，上 面有很多服务)
9、安全管理信息单一、缺乏统一的分析和管理平台(安全管理平台，补丁
升级平台，防病毒平台等)
10、重技术，轻管理。
9、1.信息安全等级保护的五个标准步骤是什么,信息安全等级保护的定义是什么,信息安全等级保护五个等级是怎样定义的,(10 分)
(1) 信息系统定级、备案、安全建设整改、等级测评、监督检查。
(2)对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处
理这些信息的系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。(答出三个分等级即可)
(3)第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但
不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
10、网络安全的网络设备防护的 别;
?、身份鉴别信息应具有不易被冒用的特点，口令应有复杂度的要求并定期更换; ?、应具有登录失败处理功能，可采取结束回话、限制非法登录次数和当网络登陆连 接超时自动退出等措施;
?、当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中 被窃听;
?、应实现设备特权用户的权限分离。
11、入侵检测系统分为哪几种，各有什么特点,(10 分) 答:主机型入侵检测系统(HIDS)，网络型入侵检测系统(NIDS)。
HIDS 一般部署在下述四种情况下:
1 )网络带宽高太高无法进行网络监控
2 )网络带宽太低不能承受网络 IDS 的开销
3 )网络环境是高度交换且交换机上没有镜像端口
4 )不需要广泛的入侵检测
HIDS 往往以系统日志、应用程序日志作为数据源;检测主机上的命令序列比检测网络流更简单，系统的复杂性也少得多，所以主机检测系统误报率比网络入侵检测系统的误报率要低;他除了检测自身的主机以外，根本不检测网络上的情况，而且对入侵行为分析的工作量将随着主机数量的增加而增加，因此全面部署主机入侵检测系统代价比较大，企业很难将所有主机用主机入侵检测系统保护，只能选择部分主机进行保护，那些未安装主机入侵检测系统的机器将成为保护的忙点，入侵者可利用这些机器达到攻击的目标。依赖于服务器固有的日志和监视能力，。如果服务器上没有配置日志功能，则必须重新配置，这将给运行中的业 务系统带来不可预见的性能影响。
NIDS 一般部署在比较重要的网段 按层面划分分可分为:
1)自主访问控制 1)网络访问控制
2)强制访问控制 2)主机访问控制
3)基于角色的访问控制。
3)应用访问控制
4)物理访问控制
13、安全审计按对象不同，可分为哪些类,各类审计的 身份信息的一系列数据，用来在网络通信中识别通信各方的身份。
2)从证书的用途来看，数字证书可分为签名证书和加密证书。
3)签名证书主要用于对用户信息进行签名，以保证信息的不可否认性; 加密证书主要用于对用户传送信息进行加密，以保证信息的真实性和 完整性。
4)数字证书采用非对称密钥体制。即利用一对互相匹配的私钥/公钥进行 加密、解密。其中私钥用于进行解密和签名;公钥用于加密和验证签名。
16、试解释 SQL 注入攻击的原理，以及它产生的不利影响。
答:SQL 注入攻击的原理是从客户端提交特殊的代码，Web 应用程序如果没做严格的 检查就将其形
成 SQL 命令发送给数据库，从数据库返回的信息中，攻击者可以获得程 序及服务器的信息，从而进一步获得其他资料。
SQL 注入攻击可以获取 Web 应用程序和数据库系统的信息，还可以通过 SQL 注入 攻击窃取敏感数据，篡改数据，破坏数据，甚至以数据库系统为桥梁进一步入侵服务器 操作系统，从而带来更为巨大的破坏。
17、入侵威胁有哪几种,入侵行为有哪几种,造成入侵威胁的入侵行为主要是哪两种，各自的含义是什么,
答:1、入侵威胁可分为: 2、入侵行为可分为: 3、主要入侵行为:
1)外部渗透 1)物理入侵 1)系统入侵
2) 2)系统入侵 2)远程入侵
3)不法行为 3)远程入侵
4、1)系统入侵是指入侵者在拥有系统的一个低级帐号权限下进行的破坏活动;
2)远程入侵是指入侵者通过网络渗透到一个系统中。
18、系统定级的一般流程是什么,
答:1、确定作为定级对象的信息系统;
2、确定业务信息安全受到破坏时所侵害的客体;根据不同的受害客体， 从各个方面综合评定业务信息安全被破坏对课题的侵害程度。根据业 务信息的重要性和受到破坏后的危害性确定业务信息安全等级。
3、确定系统服务安全受到破坏时所侵害的客体;根据不同的受害客体， 从各个方面综合评定系统服务安全被破坏对课题的侵害程度。根据系 统服务的重要性和受到破坏后的危害性确定业务信息安全等级。
4、定级对象的等级由业务信息安全等级和系统服务安全等级的较高者
决定。
19、简述单位、组织的信息安全管理工作如何与公安机关公共信息网络安全检查部门(公安网监部门)相配合。(10)
答: 单位、组织的信息安全管理工作与公安机关公共信息网络安全监察部门之间的配合主要体现在以下方面:
(1)单位、组织的信息安全管理，必须遵循信息安全法律、法规对于安全管理职责、
备案、禁止行为、安全管理制度和安全技术机制要求等方面的内容规定。
(2)法律、法规赋予公安机关公共信息网络安全监察部门对信息安全的监管职责，各
单位、组织必须接受和配合公安机关公共信息网络安全监察部门的监督和检查。
(3)在发生信息安全案件后，单位、组织应当及时向公安机关公共信息网络安全监察
部门报案，并在取证和调查等环节给予密切配合。
20、国家为什么要实施信息安全等级保护制度
答:1、信息安全形势严峻
1)来自境内外敌对势力的入侵、攻击、破坏越来越严重。
2)针对基础信息网络和重要信息系统的违法犯罪持续上升。
3)基础信息网络和重要信息系统安全隐患严重。
2、维护国家安全的需要
1)基础信息网络与重要信息系统已成为国家关键基础设施。
2)信息安全是国家安全的重要组成部分。
3)信息安全是非传统安全，信息安全本质是信息对抗、技术对抗。
4)我国的信息安全保障工作基础还很薄弱。
21、三级信息系统中网络安全的结构安全有哪些小项,(10 分) a)
b)
c)
d)
e)
f)
g)
应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要; 应保证网络各个部分的带宽满足业务高峰期需要; 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径; 应绘制与当前运行情况相符的网络拓扑结构图; 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段; 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段; 应按照对业务服务的重要次序来指 定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。
22、简单介绍可采取哪些措施进行有效地控制攻击事件和恶意代码,(20 分)
答:1、安装并合理配置主机防火墙
2、安装并合理配置网络防火墙
3、安装并合理配置 IDS/IPS
4、严格控制外来介质的使用
5、防御和查杀结合、整体防御、防管结合、多层防御
6、设置安全管理平台，补丁升级平台，防病毒平台等对防病的系统进行升级、漏洞进行及时安装补丁，病毒库定期更新
7、定期检查网络设备和安全设备的日志审计，发现可疑现象可及时进行做出相应处理。
8、为了有效防止地址攻击和拒绝服务攻击可采取，在会话处于非活跃一定时间或会话结束后终止网络连接。
9、为了有效防止黑客入侵，可对网络设备的管理员登录地址进行限制和对具有拨号功能用户的数量进行限制，远程拨号的用户也许他就是一个黑客。
10、采取双因子认证和信息加密可增强系统的安全性。
23、ARP 地址欺骗的分类、原理是什么,可采取什么措施进行有效控制,(10 分)
答:一种是对网络设备 ARP 表的欺骗，其原理是截获网关数据。它通知网络设备一系
列错误的内网 MAC 地址，并按照一定的的频率不断进行，使真实的的地址信息无法通过更新保存在网络设备中，结果网络设备的所有的数据只能发给错误的 MAC地址，造成正常 PC 无法收到信息。
另一种是对内网 PC 的网关欺骗。其原理是建立假网关，让被它欺骗的 PC 向假网关发数据，而不是通过正常的途径上网。
措施:一、在网络设备中把所有 pc 的 ip-mac 输入到一个静态表中，这叫 ip-mac 绑定;
二、在内网所有 pc 上设置网关的静态 arp 信息，这叫 pc ip-mac 绑定。一般要
求两个工作都要做，称为 ip-mac 双向绑定。