下载文档原格式
国内外信息安全标准姓名杨直霖信息安全标准是解决有关信息安全的产品和系统在设计、研发、生产、建设、使用、检测认证中的一致性、可靠性、可控性，先进性和符合性的技术规范和技术依据。
因此，世界各国越来越重视信息安全产品认证标准的制修订工作。
国外信息安全标准发展现状:CC标准(Common Criteria for Information Technology Security Evaluation)是信息技术安全性评估标准，用来评估信息系统和信息产品的安全性。
CC标准源于世界多个国家的信息安全准则规范，包括欧洲ITSEC、美国TCSEC（桔皮书）、加拿大CTCPEC 以及美国的联邦准则(Federal Criteria)等，由6个国家（美国国家安全局和国家技术标准研究所、加拿大、英国、法国、德国、荷兰）共同提出制定。
国际上，很多国家根据CC标准实施信息技术产品的安全性评估与认证。
1999年被转化为国际标准ISO/IEC15408-1999《Information technology-Security techniques-Evaluation criteria for IT security》，目前，最新版本ISO/IEC15408-2008采用了。
用于CC评估的配套文档CEM标准(Common Methodology for Information Technology Security Evaluation)提供了通用的评估方法，并且跟随CC标准版本的发展而更新。
CEM标准主要描述了保护轮廓(PP-Protection Profile)、安全目标(ST-Security Target)和不同安全保证级产品的评估要求和评估方法。
CEM标准于2005年成为国际标准ISO/IEC18045《Information technology-Security techniques-Methodology for ITsecurity evaluation》。
一、选择题1、B 【解析】机密性是保证机密信息不被泄露，不可否认性是保证信息行为人不能否认自己的行为，可用性是保证合法用户对信息和资源的使用不会被不正当地拒绝，故B选项为正确答案。
2、D 【解析】随着信息技术应用的普及,人们对信息体系的依赖性越来越强,信息安全在人们的工作和生活中扮演着十分重要的角色，故选项D错误。
3、C 【解析】密码体制的安全仅依赖于对秘钥的保密，不依赖于对算法的保密，故C选项错误。
4、B 【解析】消息摘要是一个唯一对应一个消息或文本的固定长度的值，它是由一个单向hash加密函数对消息进行作用产生的，哈希算法实际上将明文压缩成消息摘要，是一定会有碰撞产生，也就是两个不同的明文生成相同的哈希值(即消息摘要)，因为明文和消息摘要的信息量不同。
故答案选B选项。
5、C 【解析】DES算法的加密密钥是根据用户输入的密码生成的,该算法把64位密码中的第8位、第16位、第24位、第32位、第40位、第48位、第56位、第64位作为奇偶校验位,在计算密钥时要忽略这8位.因此秘钥的有效位数是56，选C。
6、C 【解析】生物特征识别技术是通过计算机与各种传感器和生物统计学原理等高科技手段密切结合，利用人体固有的生理特性和行为特征，来进行个人身份的鉴定。
由于人的生物特征具有稳定性和唯一性，目前最安全的身份认证技术是生物特征识别，传统的身份识别手段将被生物特征识别技术替代。
所以生物特征识别技术并不是目前身份认证技术中最常见的技术，故C选项错误。
7、A 【解析】传统加密算法除了提供保密性外，也可进行消息认证。
故A选项错误。
8、D 【解析】Kerberos协议主要用于计算机网络的身份鉴别，其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据访问多个服务，即SSO。
由于协议中的消息无法穿透防火墙，导致Kerberos协议往往用于一个组织的内部，故正确答案为D选项。
9、B 【解析】BLP（Bell-LaPadula模型）安全模型是最著名的多级安全策略模型，它实质上也是一种强制访问控制，BLP安全模型的两个访问规则：一、简单安全规则：主体只能从下读，而不能从上读。
2022年职业考证-软考-信息安全工程师考试全真模拟易错、难点剖析B卷（带答案）一.综合题(共15题)1.单选题一个密码系统至少由明文、密文、加密算法、解密算法和密钥五个部分组成，而其安全性是由（）决定的。
问题1选项A.加密算法B.解密算法C.加解密算法D.密钥【答案】D【解析】本题考查密码系统组成原则的基础知识。
一个密码系统至少由明文、密文、加密算法、解密算法和密钥五个部分组成，而在密码系统的设计中，有一条很重要的原则就是Kerckhoff原则，也就是密码系统的安全性只依赖于密钥。
答案选D。
2.单选题安全电子交易协议SET中采用的公钥密码算法是RSA，采用的私钥密码算法是DES，其所使用的DES有效密钥长度是（）。
问题1选项A.48 位B.56 位C.64 位D.128 位【答案】B【解析】本题考查DES算法DES是一个分组密码算法，能够支持64比特的明文块加密，其密钥长度为56比特，即56位。
故本题选B。
点播：DES是世界上应用最广泛的密码，但是随着计算机系统运算速度的增加和网络计算的进行，在有限的时间内进行大量的运算将变得更可行，因此DES56比特的密钥长度已不足以保证密码系统的安全。
NIST 于1999年10月25日采用三重DES（TDEA）作为过渡期间的国家标准，以增强DES的安全性。
3.单选题在Windows操作系统下，要获取某个网络开放端口所对应的应用程序信息，可以使用命令（）。
问题1选项A.ipconfigB.traceroutestatD.nslookup【答案】C【解析】本题考查Windows操作系统命令的基础知识。
netstat命令是一一个监控TCP/IP网络的非常有用的工具，它叮以显示路由表、实际的网络连接以及每一个网络接口设备的状态信息。
netstat 命令的-p选项可以显示正在使用Socket的程序识别码和程序名称。
答案选C。
4.单选题PKI中撤销证书是通过维护一个证书撤销列表CRL来实现的。
信息安全技术填空题100道1.信息安全保障工作的内容包括：确定安全需求、设计和实施安全方案、进行信息安全测评和实施信息安全监控与维护;2蜜罐技术是一种网络监测技术，它将未使用地址空间伪装成活动网络空间，通过与入侵者的主动交互获取入侵详细信息。
3.信任根和信任链是可信计算平台的最主要的关键技术之一。
4.密码设计应遵循一个公开涉及的原则，即密钥体制的安全应依赖于对密钥的保密，而不应该依赖于对算法的保密。
5.主要适用于有严格的级别划分的大型组织机构和行业领域的信任模型是层次信任模型。
6.安全散列算法SHA所产生的摘要(160位)比消息摘要算法MD5 (128位)长32位。
7.在数据库中，用户权限是由两个要素组成:数据库对象和操作类型。
8.在create table语句中使用子句，default是定义默认值首选的方法。
9.当用户身份被确认合法后，赋予用户进行文件和数据等操作权限的过程称为授权(authorization)。
10.当用户代码需要请求操作系统提供的服务时，通常采用系统调用的方法来完成这一过程。
11.两台配置了IPsec协议的Windows计算机进行IPsec初始连接时，通过wireshark嗅探的前面10个数据包是ISAKMP协议的数据包。
12.支持多种不同类型的CA系统相互传递新任关系的是桥CA信任模型。
13根据软件漏洞具体条件，构造相应输入参数和shellcode代码，最终实现获得程序控制权的过程，是漏洞利用。
14.会话劫持就是攻击者窃取用户sessionID后，使用该sessionID 登录进入目标账户的攻击方法。
15.软件源代码的静态安全检测技术包括词法分析、数据流分析、污点传播分析等。
16污点传播技术是通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常。
17.栈指针寄存器esp( extended stack pointer)始终存放栈顶指针。
18.攻击者通过精心构造出数组范围的索引值，就能够对任意内存地址进行读写操作，这种漏洞被称为数组越界漏洞。
信息安全三级试题四一、选择题1。
计算机系统安全评估的第一个正式标准是(）。
A) TCSEC B) COMPUSECC）CTCPEC D）CC：ISO 154082.IATF将信息系统的信息保障技术层面划分为四个技术框架焦点域。
下列选项中，不包含在该四个焦点域中的是（）。
A）本地计算环境B）资产C）域边界D) 支撑性基础设施3.下列关于访问控制技术的说法中,错误的是(）.A) TACACS+使用传输控制协议(TCP），而RADIUS使用用户数据报协议（UDP)B) RADIUS从用户角度结合了认证和授权，而 TACACS+分离了这两个操作C) TACACS使用固定的密码进行认证，而TACACS+允许用户使用动态密码，这样可以提供更强大的保护D）RADIUS将加密客户端和服务器之间的所有数据,而TACACS+仅需要加密传送的密码4。
下列选项中，不能用于数字签名的算法是（）.A) RSA B) Diffie-Hellman C）ElGamal D) ECC5.如果密钥丢失或其它原因在密钥未过期之前,需要将它从正常运行使用的集合中除去，称为密钥的（)。
A) 销毁B) 撤销C) 过期D) 更新6.下列关于消息认证的说法中，错误的是（）.A）对称密码既可提供保密性又可提供认证B) 公钥密码既可提供认证又可提供签名C）消息认证码是一种认证技术，它利用密钥来生成一个固定长度的数据块，并将该数据块附加在消息之后D) 消息认证码既可提供认证又可提供保密性7.防范计算机系统和资源被未授权访问，采取的第一道防线是（）。
A) 访问控制B）授权C）审计D）加密8。
下列关于强制访问控制的说法中，错误的是()。
A）Bell—LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露B) Biba模型则具有不允许向下读、向上写的特点,可以有效地保护数据的完整性C) 强制访问控制通过分级的安全标签实现了信息的单向流通D) Biba模型作为BLP模型的补充而提出，利用"不上读/不下写"的原则来保证数据的完整性9。
信息安全标准简介信息安全在二十世纪九十年代步入了标准化与系统化的时代，国际上众多组织和国家根据以往的信息安全管理经验制定了一系列的信息安全标准。
本节对在信息安全领域有重大影响的标准予以介绍。
1.信息安全管理指南ISO组织从上个世纪九十年代初逐步开发出了信息安全管理指南系列标准（标准号：ISO/IEC TR 13335）。
当前，信息安全管理指南包含了五个标准：1)ISO/IEC TR 13335-1：信息安全概念与模型ISO/IEC TR 13335-1主要定义和描述了信息安全管理的基本概念，确立了常规意义上信息管理和信息安全管理之间的关系，提出了信息安全管理通用指南，并阐述了几个用于解释信息安全的模型。
相较于ISO/IEC 17799中对信息安全的定义，ISO/IEC TR 13335-1对信息安全的定义进行了扩充，引入了责任性、真实性、可靠性和不可否认性的定义。
ISO/IEC TR 13335-1中的另一个重要内容是对风险管理的模型和风险管理的内容进行了定义，这已成为当前信息安全工作的基石。
2)ISO/IEC TR 13335-2：信息安全管理与计划ISO/IEC TR 13335-2中对信息安全管理的过程和内容，以及这些内容间的相互关系进行了阐述。
这一标准将信息安全管理的重点引到了风险管理过程中，使得信息安全管理成为主要围绕风险管理展开的企业管理活动。
并且，ISO/IEC TR 13335-2中提出了风险管理的基本方法。
有关信息安全管理方法的内容参见1.1.3节中的介绍。
3)ISO/IEC TR 13335-3：信息安全技术管理ISO/IEC TR 13335-3对与信息安全技术相关的管理活动进行了详细的阐述，从策略的制定、风险管理到安全计划与执行都进行了说明，并且提出了详细的信息安全管理过程，使得信息安全管理成为一个动态和循环的过程，参见图三。
需要指出的是，ISO/IEC TR 13335-3中对风险管理的过程和步骤进行了详细的阐述，根据风险要素间的相互关系对评估的方法、实践提出了具体的要求和参考意见。
