第8章 系统安全性

1.一个未经授权的用户访问了某种信息，则破坏了信息的可控性。

2.通讯的双方必须承认其接受信息或发送信息的事实，是指信息的不可抵赖性。

3.信息不暴露给未经授权的实体是指信息的保密性。

4.要求系统在规定的时间内和规定的条件下完成规定的功能，是指信息的可靠性。

5.下列情况中，破坏了数据的完整性的攻击是数据在传输中途被篡改。

6.下列情况中，破坏了数据的保密性的攻击是数据在传输中途被窃听。

7.使用大量垃圾信息，占用带宽（拒绝服务）的攻击破坏的是可用性。

8.数据备份主要的目的是提高数据的可用性。

9.计算机安全属性不包括及时性。

10.如果信息接收者已接收到信息，但不承认已接收，则破坏了信息的不可抵赖性。

11.向某个网站发送大量垃圾邮件，则破坏了信息的可用性。

12.如果信息在传输过程中被篡改，则破坏了信息的完整性。

13.密码技术不是用来实现信息的可控性。

14.网络安全的基本目标不包括实现信息的正确性。

15.数据备份保护信息系统的安全属性是可用性。

16.计算机安全的属性不包括数据的合理性。

17.保密数据的保密程度不包含私密。

18.密码技术主要保证信息的保密性和完整性。

19.计算机安全属性不包括语义正确性。

20.信息不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏的属性指的是完整性。

21.确保信息不暴露给未经授权的实体的属性指的是保密性。

22.通信双方对其收、发过的信息均不可抵赖的特性指的是不可抵赖性。

23.下面不属于可控性的技术是文件加密。

24.得到授权的实体需要时就能得到资源和获得相应的服务，这一属性指的是可用性。

26.计算机安全不包括操作安全。

27.在计算机安全所涉及的领域中，由硬件安全不完备所造成的信息泄露、丢失是指实体安全。

28.下列选项中，属于计算机病毒特征的是潜伏性。

29.下列选项中，不属于计算机病毒特征的是偶发性。

30.下列选项中，不属于计算机病毒特征的是周期性。

31.计算机病毒最主要的特征是传染性和破坏性。

第八章安全性评价8.1 安全性评价概述8.1.1 安全性评价的概念1. 安全性评价安全性评价是以实现系统安全为目的，对系统内存在的危险性及其严重程度以既定指数、等级或概率值进行分析和评估，并针对危险有害因素制定相应的控制措施，使系统危险性降到社会公众可以接受的水平的一种方法体系。

安全性评价(Safety Assessment) 也称风险评价（Risk Assessment）, 采用定性和定量分析法对系统的安全性进行评价，以回答系统的安全程度如何、会产生怎样的严重后果、采取安全措施后危险性能降到什么程度、还应进一步采取哪些安全措施等问题。

风险评价是因保险业要计算承保风险和保费价格而最早提出和发展起来的。

后来被推广到其他行业。

例如，美国道化学公司根据化工生产特点，于1964年首次开发了火灾爆炸危险指数评价法，用于化工装置的安全性评价。

随着各国对安全生产的重视，安全性评价方法得到了快速发展，安全性评价也逐渐发展成为一种职业。

2.风险（1）风险要同时考虑损害大小和造成损害的难易程度。

风险= 不可靠性×损害上式说明，没有损害的地方就没有风险；没有不可靠性的地方也没有风险。

（2）风险与危险源的性质和是否采取防护措施有关。

风险= 危险源／安全防护上式说明，只要危险源不为零，风险就客观存在；风险与危险源的危险性高低成正比，与安全防护强弱成反比。

8.1.2 安全性评价的内容安全性评价是在危险性分析基础上进行的。

其内容有：1、危险性辨识充分地找出系统内的危险有害因素，包括固有的潜在的危险性以及系统在运行中可能产生的新的危险性。

2、危险的数量化对危险因素进行量化处理，用数量的大小表示。

其数量可以是指数、等级或概率及损失等。

3、危险的排除对危险因素要制定措施给予控制和消除，使系统的危险性下降。

4、安全指标危险性下降到什么程度系统才算安全，必须要有一个标准，这个标准通常称为安全指标。

当危险性处于安全指标以下即认为是安全的。

信息安全技术实践作业指导书第1章信息安全基础 (4)1.1 信息安全概念与体系结构 (4)1.1.1 信息安全定义 (4)1.1.2 信息安全体系结构 (4)1.2 常见信息安全威胁与防护措施 (4)1.2.1 常见信息安全威胁 (4)1.2.2 防护措施 (4)第2章密码学基础 (5)2.1 对称加密算法 (5)2.1.1 常见对称加密算法 (5)2.1.2 对称加密算法的应用 (5)2.2 非对称加密算法 (5)2.2.1 常见非对称加密算法 (5)2.2.2 非对称加密算法的应用 (6)2.3 哈希算法与数字签名 (6)2.3.1 哈希算法 (6)2.3.1.1 常见哈希算法 (6)2.3.2 数字签名 (6)2.3.2.1 数字签名的实现过程 (6)2.3.3 数字签名的作用 (6)第3章认证与访问控制 (6)3.1 认证技术 (6)3.1.1 生物认证 (6)3.1.2 密码认证 (7)3.1.3 令牌认证 (7)3.1.4 双因素认证 (7)3.2 访问控制模型 (7)3.2.1 自主访问控制模型 (7)3.2.2 强制访问控制模型 (7)3.2.3 基于角色的访问控制模型 (7)3.2.4 基于属性的访问控制模型 (7)3.3 身份认证与权限管理 (7)3.3.1 身份认证 (7)3.3.2 权限管理 (7)3.3.3 访问控制策略 (8)第4章网络安全协议 (8)4.1 SSL/TLS协议 (8)4.1.1 SSL/TLS协议原理 (8)4.1.2 SSL/TLS协议功能 (8)4.1.3 SSL/TLS协议应用 (8)4.2 IPsec协议 (8)4.2.2 IPsec协议工作原理 (9)4.2.3 IPsec协议应用 (9)4.3 无线网络安全协议 (9)4.3.1 无线网络安全协议原理 (9)4.3.2 无线网络安全协议关键技术 (9)4.3.3 无线网络安全协议应用 (9)第5章网络攻击与防范 (9)5.1 网络扫描与枚举 (9)5.1.1 网络扫描技术 (9)5.1.2 枚举技术 (10)5.2 漏洞利用与攻击方法 (10)5.2.1 漏洞利用概述 (10)5.2.2 攻击方法 (10)5.3 防火墙与入侵检测系统 (11)5.3.1 防火墙技术 (11)5.3.2 入侵检测系统（IDS） (11)第6章恶意代码与防护 (11)6.1 计算机病毒 (11)6.1.1 病毒的定义与特征 (11)6.1.2 病毒的分类 (12)6.1.3 病毒的传播与感染 (12)6.1.4 病毒的防护措施 (12)6.2 木马与后门 (12)6.2.1 木马的定义与特征 (12)6.2.2 木马的分类 (12)6.2.3 木马的传播与感染 (12)6.2.4 木马的防护措施 (12)6.3 蠕虫与僵尸网络 (12)6.3.1 蠕虫的定义与特征 (13)6.3.2 蠕虫的传播与感染 (13)6.3.3 僵尸网络的定义与特征 (13)6.3.4 蠕虫与僵尸网络的防护措施 (13)第7章应用层安全 (13)7.1 Web安全 (13)7.1.1 基本概念 (13)7.1.2 常见Web攻击类型 (13)7.1.3 Web安全防范措施 (13)7.2 数据库安全 (14)7.2.1 数据库安全概述 (14)7.2.2 数据库安全威胁 (14)7.2.3 数据库安全防范措施 (14)7.3 邮件安全与防护 (14)7.3.1 邮件安全概述 (14)7.3.3 邮件安全防护措施 (14)第8章系统安全 (15)8.1 操作系统安全 (15)8.1.1 操作系统安全概述 (15)8.1.2 操作系统安全机制 (15)8.1.3 操作系统安全实践 (15)8.2 安全配置与基线加固 (15)8.2.1 安全配置概述 (15)8.2.2 安全配置实践 (15)8.2.3 基线加固概述 (15)8.2.4 基线加固实践 (15)8.3 虚拟化与云安全 (15)8.3.1 虚拟化安全概述 (16)8.3.2 虚拟化安全实践 (16)8.3.3 云安全概述 (16)8.3.4 云安全实践 (16)第9章物理安全与应急响应 (16)9.1 物理安全设施 (16)9.1.1 安全区域规划 (16)9.1.2 机房设施安全 (16)9.1.3 网络设备安全 (16)9.2 安全审计与监控 (16)9.2.1 安全审计 (16)9.2.2 安全监控 (16)9.2.3 安全审计与监控的协同作用 (17)9.3 应急响应与处理 (17)9.3.1 应急响应计划 (17)9.3.2 应急响应团队 (17)9.3.3 信息安全事件处理 (17)9.3.4 事后总结与改进 (17)第10章信息安全管理体系 (17)10.1 信息安全策略与法律法规 (17)10.1.1 信息安全策略概述 (17)10.1.2 信息安全策略的制定与实施 (17)10.1.3 我国信息安全法律法规体系 (17)10.1.4 企业信息安全法律法规遵循 (17)10.2 信息安全风险评估与管理 (17)10.2.1 信息安全风险评估概述 (18)10.2.2 信息安全风险评估方法 (18)10.2.3 信息安全风险评估流程 (18)10.2.4 信息安全风险管理策略与措施 (18)10.3 信息安全培训与意识提升 (18)10.3.1 信息安全培训的意义与目标 (18)10.3.2 信息安全培训内容与方法 (18)10.3.3 信息安全意识提升策略 (18)10.3.4 信息安全培训的实施与评估 (18)第1章信息安全基础1.1 信息安全概念与体系结构1.1.1 信息安全定义信息安全是指保护信息资产，保证信息的保密性、完整性和可用性，避免由于非法访问、泄露、篡改、破坏等造成的信息丢失、损害和不可用的一系列措施和过程。

（1）数据安全的定义是什么？数据的安全是计算机系统安全的核心部分之一，数据安全的定义一方面是指其自身的安全，包括采用现代加密技术对数据进行主动保护，另一方面是数据防护的安全，指的是采用现代信息存储手段对数据进行主动防护。

（2）数据安全的特点有哪些？数据安全有下面几个方面的特点（1）保密性保密性指的是个人或者企事业单位的信息数据不能被其他未经许可的人员取得。

无论是我们在计算机或者手机等移动设备中保存的信息数据都需要有相关的保密性设定，例如文件夹的访问权限，浏览器的浏览历史记录，手机中的通信录等数据都有保密性设定，防止非法用户的获取。

（2）完整性完整性是指在信息数据传输和存储过程中，不被未经授权的篡改。

计算机的数据和传统印刷或者书写的信息数据有很大的区别，其信息数据的篡改通过传统鉴别方法是很难识别的，在实际应用中通常是使用数字签名等方式进行完整性保护。

（3）可用性可用性也称有效性，主要是指信息数据能够被授权的人员正常访问、使用。

例如可以在系统正常运行过程中正确读取和保存信息，其主要是面向用户的一种安全性能，保障可以为用户提供可靠的服务。

（3）个人隐私信息包含哪些内容？个人隐私指的是我们个人生活中不愿意被公开或者让其他人知晓的个人信息。

例如我们的手机号码、家庭住址、家庭成员相关信息、个人身份信息等内容。

个人隐私的窃取和滥用会给我们生活和工作带来各种各样的烦恼和危险。

比如现今十分普遍的网络购物行为，在我们完成网络购物交易的过程中会将我们的家庭住址和电话号码告知交易方，同时快递公司也会获取相应信息，如果任何一个环节出现信息泄露并且被恶意人士获取，都有可能给我们自身的生活造成困扰甚至危险。

下面我们从以下几个方面了解在大数据时代个人隐私所面临的威胁。

（1）个人智能终端设备在移动互联网普及的当下，个人智能终端设备的使用也变得非常普遍。

例如智能手机、平板电脑、智能手表、智能眼镜等设备，一方面人们越来越依赖这些设备带给我们的方便，而另一方面这些设备也记录了大量的个人隐私信息。

电⼦商务安全与管理第⼆版课后习题答案关键术语第⼀章电⼦商务安全导论1)电⼦商务安全问题：主要涉及信息的安全、信⽤的安全、安全的管理问题以及安全的法律法规保障问题。

2)完整性：防⽌信息在传输过程中丢失、重复及⾮法⽤户对信息的恶意篡改。

3)电⼦商务系统安全：从计算机信息系统的⾓度来阐述电⼦商务系统的安全，认为电⼦商务系统的安全是由系统实体安全、系统运⾏安全和系统信息安全这三个部分组成。

4)认证性：确保交易信息的真实性和交易双⽅⾝份的合法性。

5)电⼦商务安全保障：电⼦商务安全需要⼀个完整的保障体系，应当采⽤综合防范的思路，从技术、管理、法律等⽅⾯去认识、去思考，并根据我国的实际和国外的经验，提出⾏之有效的综合解决的办法和措施。

6)可控性：保证系统、数据和服务能由合法⼈员访问，保证数据的合法使⽤。

7)保密性：保护机密信息不被⾮法取存以及信息在传输过程中不被⾮法窃取8)不可否认性：有效防⽌通信或交易双⽅对已进⾏的业务的否认。

第⼆章：1.链路——链路加密链路加密(⼜称在线加密)是传输数据仅在物理层前的数据链路层进⾏加密。

接收⽅是传送路径上的各台节点机，信息在每台节点机内都要被解密和再加密，依次进⾏，直⾄到达⽬的地。

2.对称加密称加密⼜叫秘密密钥加密，其特点是数据的发送⽅和接收⽅使⽤的是同⼀把密钥，即把明⽂加密成密⽂和把密⽂解密成明⽂⽤的是同⼀把密钥。

3、节点加密节点加密是指每对节点共⽤⼀个密钥，对相邻两节点间（包括节点本⾝）传送的数据进⾏加密保护。

尽管节点加密能给⽹络数据提供较⾼的安全性，但它在操作⽅式上与链路加密是类似的：两者均在通信链路上为信息提供安全性；都在中间节点先对信息进⾏解密，然后进⾏加密。

4、公开密钥加密不对称加密⼜叫做公开密钥加密，需要采⽤两个在数学上相关的密钥对——公开密钥和私有密钥来对信息进⾏加解密。

5、端——端加密端—端加密允许数据在从源点到终点的传输过程中始终以密⽂形式存在。

采⽤端到端加密(⼜称脱线加密或包加密),消息在被传输时到达终点之前不进⾏解密,因为消息在整个传输过程中均受到保护,所以即使有节点被损坏也不会使消息泄露。