基于角色的访问控制在信息安全管理中的应用(五)

网络安全风险管理与合规性考试（答案见尾页）一、选择题1. 在网络安全风险管理中，以下哪个选项是风险评估的三个阶段之一？A. 风险识别B. 风险评估C. 风险监控D. 风险处理2. 以下哪个因素通常不是由网络安全事件导致的结果？A. 数据泄露B. 法律责任C. 财产损失D. 业务中断3. 以下哪个网络安全模型描述了如何在不影响安全性的情况下，尽可能地提供网络服务？A. 安全设计原则B. 安全政策C. 安全架构D. 安全控制4. 以下哪个选项是信息安全管理体系（ISMS）的标准ISO/IEC 中的核心要素之一？A. 信息安全政策B. 信息安全组织C. 信息安全风险评估D. 信息安全控制实施5. 在网络安全中，以下哪个术语指的是对数据的保护，以防止未经授权的访问、修改或破坏？A. 防火墙B. 入侵检测系统C. 数据加密D. 身份认证6. 以下哪个网络安全服务旨在防止数据泄露？A. 入侵检测系统B. 防病毒软件C. 数据丢失预防（DLP）系统D. 安全审计7. 在网络安全合规性检查中，以下哪个标准通常用于评估组织的合规性？A. ISO/IEC 27001B. PCI DSSC. HIPAAD. GDPR8. 以下哪个选项是网络安全风险评估的一部分？A. 分析资产价值B. 确定威胁的可能性C. 评估漏洞的影响D. 实施风险处理策略9. 在网络安全中，以下哪个选项通常被认为是最严重的安全威胁？A. 恶意软件B. 黑客攻击C. 自然灾害D. 负载均衡问题10. 在网络安全风险管理中，以下哪个因素通常不是优先考虑的？A. 数据泄露的可能性和影响B. 法规遵从性和法律要求C. 安全团队的资源和能力D. 网络安全基础设施的建设11. 以下哪个选项是信息安全风险评估中常用的概率评估方法？A. 概率模型B. 风险矩阵C. 常规漏洞扫描D. 基于角色的访问控制（RBAC）12. 以下哪个因素通常不是导致网络安全事件的因素？A. 人为错误B. 不完善的安全策略C. 恶意软件D. 自然灾害13. 以下哪个选项是网络安全事故响应计划中通常包含的内容？A. 事故响应流程图B. 定义角色和责任C. 审计和监控机制D. 物理安全措施14. 在网络安全风险评估过程中，以下哪个步骤通常首先进行？A. 识别资产和威胁B. 评估资产的脆弱性C. 分析潜在的风险D. 制定风险处理计划15. 以下哪个网络安全工具通常用于监控和分析网络流量？A. 入侵检测系统（IDS）B. 防火墙C. 蜜罐D. 漏洞扫描器16. 在网络安全法规遵从性检查中，以下哪个标准通常是强制性的？A. ISO 27001B. COBIT 5C. ITILD. PCI DSS17. 以下哪个选项是网络安全意识培训中通常包含的主题？A. 密码管理B. 社交工程C. 操作系统安全D. 应用程序安全18. 在网络安全风险管理中，以下哪个选项是首要任务？A. 识别潜在威胁B. 风险评估C. 实施风险缓解措施D. 监控和审计19. 以下哪个因素通常不是导致网络安全事件的原因？A. 操作错误B. 不安全的配置C. 恶意软件D. 自然灾害20. 以下哪个选项是信息安全管理体系（ISMS）的核心要素？A. 访问控制B. 事件管理C. 安全政策D. 沟通21. 在ISO 标准中，以下哪个领域通常不需要内部审核？A. 信息安全控制实施B. 信息安全策略C. 信息安全风险评估D. 信息安全培训22. 在进行渗透测试时，以下哪个选项是最佳的实践？A. 利用系统的已知漏洞B. 保持测试的低调性C. 不要破坏任何系统文件D. 尽量避免触发警报23. 在网络安全等级保护制度中，以下哪个级别代表了最高的安全保护？A. 一级：自主保护B. 二级：监督保护C. 三级：强制保护D. 四级：专控保护24. 以下哪个选项是防止数据泄露的最佳实践？A. 加密敏感数据B. 使用强密码C. 定期备份数据D. 实施最小权限原则25. 在创建安全策略时，以下哪个步骤是首要任务？A. 确定组织的使命和风险接受水平B. 制定安全政策C. 实施安全控制措施D. 监控和评估安全措施26. 在发生安全事故时，以下哪个因素对响应团队的有效性影响最大？A. 响应团队的规模B. 响应团队的经验C. 响应团队的沟通能力D. 响应团队的协调能力27. 以下哪个选项是网络安全规划中的关键考虑因素？A. 技术投资B. 人员培训C. 法规遵从D. 风险评估28. 在网络安全风险管理中，以下哪个选项是风险评估的三个阶段之一？A. 识别风险B. 评估风险C. 控制风险D. 治理风险29. 风险评估的目的是什么？A. 了解系统的安全性B. 识别潜在威胁C. 量化风险D. 提出改进措施30. 以下哪个选项不是网络安全合规性的三个层次？A. 法律法规合规B. 行业标准合规C. 公司政策合规D. 个人行为合规31. 在网络安全管理中，以下哪个选项是“避免不必要的风险”的最佳实践？A. 定期更新软件和系统B. 实施严格的访问控制策略C. 进行定期的安全审计D. 建立应急响应计划32. 以下哪个选项不是风险处理策略？A. 避免风险B. 转移风险C. 接受风险D. 缓减风险33. 在网络安全合规性检查中，以下哪个选项是检查的关键要素？A. 系统安全性B. 用户行为合规性C. 网络架构合规性D. 安全培训合规性34. 以下哪个选项是网络安全风险评估的五个步骤之一？A. 识别资产和威胁B. 分析和评估影响C. 制定风险管理计划D. 实施风险处理计划35. 在网络安全管理中，以下哪个选项是“控制风险”的三种方法之一？A. 防火墙配置B. 定期更新密码策略C. 实施多因素认证D. 建立安全审计机制36. 以下哪个选项不是网络安全合规性检查的内容？A. 网络设备配置B. 用户权限设置C. 安全策略文档D. 系统备份和恢复计划37. 以下哪个选项是网络安全风险评估的四个维度之一？A. 资产价值B. 威胁可能性C. 影响程度D. 风险概率38. 在网络安全风险管理中，以下哪个选项是风险评估的三个阶段？A. 识别风险、评估风险、实施风险控制措施B. 识别风险、评估风险、监控风险C. 识别风险、评估风险、报告风险D. 识别风险、评估风险、修复风险39. 以下哪个因素不是导致网络安全事件发生的常见原因？A. 操作错误B. 恶意软件C. 自然灾害D. 不安全的配置40. 在网络安全合规性检查中，以下哪个选项是检查的关键要素？A. 网络架构的复杂性B. 安全策略和标准的遵循程度C. 用户行为的合规性D. 系统的可靠性41. 以下哪个选项是网络安全意识培训的目标？A. 提高员工对网络安全的认识B. 防止数据泄露C. 提升系统的安全性D. 减少安全事件的损失42. 在网络安全风险评估方法中，以下哪个是定性风险评估的方法？A. 概率分布法B. 故障树分析法（FTA）C. 风险矩阵法D. 问卷调查法43. 以下哪个选项是网络安全合规性审计的目的？A. 评估系统的安全性B. 发现潜在的安全漏洞C. 确保符合法律法规的要求D. 提升用户的安全行为44. 在网络安全管理中，以下哪个选项是访问控制列表（ACL）的作用？A. 控制进入网络的流量B. 限制特定用户的权限C. 防御拒绝服务攻击（DoS）D. 监控网络活动45. 以下哪个选项是网络安全风险评估的五个过程？A. 识别资产、识别威胁、评估影响、选择风险处理方法、实施风险处理方法B. 识别资产、识别威胁、评估影响、评估风险、实施风险处理方法C. 识别资产、识别威胁、评估影响、选择风险处理方法、监控风险D. 识别资产、识别威胁、评估影响、实施风险处理方法、报告风险46. 以下哪个选项是网络安全合规性检查的内容？A. 网络设备的安全配置B. 系统的备份和恢复能力C. 安全策略的实施情况D. 用户的操作习惯47. 以下哪个选项是网络安全风险评估的三个步骤？A. 收集信息、评估风险、制定风险处理计划B. 识别资产、识别威胁、评估影响C. 识别资产、评估风险、实施风险控制措施D. 识别资产、评估风险、监控风险二、问答题1. 什么是网络安全风险管理？请简要介绍其目的和流程。

基于角色的访问控制技术研究与应用角色是一个人或实体在一定范围内所扮演的角色或身份，而基于角色的访问控制技术则是指利用这些角色所包含的权限来限制用户或实体对特定资源的访问。

这类技术被广泛应用于企业、政府、医疗以及金融等各个领域，可以提高资源的安全性和管理效率，如今也成为信息安全领域中的一个重要研究议题。

一、基于角色的访问控制技术的原理与模型基于角色的访问控制技术的基本原理是以角色为中心，将用户分配到不同的角色，通过角色与权限之间的映射关系，控制用户对资源的访问。

该技术基于一个分层模型——“组织、角色、权限”，其中角色是核心。

在该模型中，不同的用户被分配到不同的角色，不同的角色对应不同的权限。

同时，在该模型中，还可以设置各种不同的访问控制策略，来对特定的资源进行访问控制。

这些策略可以是针对角色的，也可以是针对特定用户组合的。

二、基于角色的访问控制技术的发展与进展基于角色的访问控制技术最初是在20世纪90年代末期提出的。

当时，主要针对企业级应用进行研究和开发，旨在提高企业级系统的安全性。

随着时间的推移，其被逐渐应用于政府、金融、医疗等领域。

同时，随着互联网的快速发展，基于角色的访问控制技术也随之得到了加强和改进。

目前，一些国际性的企业所研究和开发的角色管理系统，都在不断地完善和更新，以适应不断变化的互联网应用环境。

三、基于角色的访问控制技术的应用案例1.金融领域：在金融领域，基于角色的访问控制技术被广泛应用，以保护金融交易的安全性，包括控制内部用户对敏感数据的访问。

在某些金融机构，针对不同职责的员工进行了分层的访问控制设置，并使用基于角色的访问控制技术来实现。

2.政府部门：政府机构也是使用基于角色的访问控制技术以确保政府数据的安全和保密性。

在政府级别的系统或数据库中，该系统通常设置了多个访问权限和审批流程，以确保在不同的访问层次中，可以与整个系统的安全性保持一致。

3.教育领域：在教育领域，角色管理技术被广泛应用于学生、教师和工作人员之间的管理，以确保整个教育系统的安全和管理效率。

信息安^简笞题第一章1.简述信息安全的含义。

简述计算机网络安全的定义。

答：从狭义的保护角度来看，计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害因素的威胁和危害，从广义来说，凡是涉及到计算机网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是计算机网络安全的研究领域。

2.目前互联网上各种严重的信息安全问题大致是由哪几个方面的问题引起的？3.从系统上说，信息要全主要包括哪几个方面的问题？4.数据安全的机密性、完整性、认证性、不可否认性分别指什么？5.什么是行为安全？行为的秘密性、完整性、可控性分别指什么？6.简述信息安全所包含的技术。

答：信息加密技术，防火墙技术，入侵检测技术，系统容灾技术7.谈谈你对信息加密技术的认识。

答：信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。

数据加密技术主要分为数据传输加密和数据存储加密。

数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。

8.网络控制技术主要包括哪几项技术？答：（1）身份验证技术（2）访问控制（3）防火墙技术（4）数据加密（5）一次性口令（6）主机认证（7）网际协议安全（8）安全服务器网络（9）网络安全漏洞扫描技术（10）网络反病毒技术（11）安全审计9.防火墙可分为外部防火端和内部防火墙，它们分别有什么作用？10.讨论信息安全立法现状。

第三章1.在WindowsNT安全模模型中，最重要的三个组件是什么？它们的任务分别是什么？2.简述LANManager 口令和WindowsNT 口令，并说明它们之间的区别。

3.在WindowsNT中，对象可被设定的属性有哪些？4.注册表是什么？注册表的数据结构由哪几个部分组成？5. WindowsNT交全子系统由哪5个关键部分组成？6.如何操作可以保护注册表的安全？7.在Windows2000安装完成之后，哪些服务是可以关闭的？8.如何对Windows系统进行网络安全管理？9.作为Windows2000新增的安全机制之一的加密文件系统(EFS)具有什么特性？10.在Windows2000中安全审核是指什么？应该被审核的最普通的事件类型包括哪些？11.如何在Windows2000中备份文件、还原文件？12. Windows2000提供哪些选项可帮助识别计算机故障并进行恢复？13.简述Windows7中增加或改进的十大安全功能。

信息安全模型概念及其应用实践探究随着大数据、云计算、物联网等新时代技术的发展，信息安全问题已经成为亟待解决的难题。

信息安全模型作为解决信息安全的一种方法，它的概念和应用实践逐渐引起人们的关注。

本文将会探究信息安全模型的概念和应用实践。

一、信息安全模型概念信息安全模型是指为防止信息泄露或受到非法侵入而制定的安全策略模型，它主要是用来确定安全措施和实现信息系统的安全性保障。

根据信息安全模型的不同特点和实现策略，可以将它们分为以下几类：1.强制访问控制（Mandarin Access Control，MAC）模型该模型的主要特点是严格控制用户访问对象、访问权限和访问方式。

这种模型适用于政府、银行等一些安全要求较高的环境，可以实现对敏感信息的高效管理。

2.自主访问控制模型（Discretionary Access Control，DAC）模型自主访问控制模型是在强制访问控制模型的基础上扩展出来的一种模型，该模型实现了访问权限由资源拥有者自行控制的功能，这对一些存在风险的组织和企业来说非常必要。

3.基于角色的访问控制（Role-Based Access Control，RBAC）模型基于角色的访问控制模型是基于一个中心控制元素，规定了哪些用户可以访问哪些资源（或数据）的访问控制模型。

该模型可以有效地降低管理的复杂度和授权访问的管理成本。

4.标签模型（Label Model）和总结模型（Summary Model）这种模型主要是用于统一安全信息管理模式。

它将各种安全信息标记，然后按照一定的顺序进行安排以审核并确定合适的访问控制权限，以保障信息的安全。

5.基于UBI-SET模型的安全授权控制“UBI-SET”是一种基于身份和属性进行访问控制的安全授权控制框架。

它可以帮助企业针对自身业务需要制定详细的安全授权控制策略。

这种模型可以用来管理企业和机构内部的资源。

二、信息安全模型应用实践信息安全模型可以应用于各个行业和领域，比如金融、军事、医疗等。

rbac岗位角色关系解释说明以及概述1. 引言1.1 概述RBAC（Role-Based Access Control）指的是一种基于角色的访问控制模型，它将权限分配给特定的角色，并将用户与这些角色关联起来。

通过RBAC，企业可以实现更加细粒度的权限管理，确保只有合适的人员可以访问特定的资源和执行特定的操作。

岗位角色关系是RBAC中非常重要且核心的概念，它描述了不同岗位与其所担任角色之间的对应关系。

1.2 文章结构本文将首先解释和说明RBAC的基本概念，并详细介绍岗位和角色之间的定义与区别。

然后，我们将探讨岗位角色关系在RBAC中扮演的作用以及其重要性。

接下来，文章将概述RBAC在企业中的应用背景，并介绍基本RBAC模型及其组成要素。

随后，我们将深入讨论岗位角色关系具体案例分析，并分享公司内部人力资源系统、银行系统和政府机构信息系统中涉及到RBAC岗位角色关系管理方面的经验和实践。

最后，在文章结尾处，我们会总结并强调RBAC岗位角色关系对于企业信息安全管理的意义和价值，同时展望未来RBAC岗位角色关系的发展趋势并提出相关建议。

1.3 目的本文的目的是通过对RBAC岗位角色关系进行解释说明和概述，帮助读者深入理解RBAC模型中岗位和角色之间的关联，并认识到合理管理这种关系对于企业信息安全管理的重要性。

通过案例分析的介绍，我们将为读者提供实践经验和灵感，并为未来RBAC岗位角色关系的发展提供建议。

2. RBAC岗位角色关系解释说明2.1 什么是RBACRBAC（Role-Based Access Control），即基于角色的访问控制，是一种常用的访问控制机制。

它通过在系统中定义角色，并将权限与这些角色关联起来，实现对用户进行权限管理和访问控制。

在RBAC中，用户通过被分配一个或多个角色来获取相应的权限，而不是直接赋予用户单独的权限。

2.2 岗位和角色的定义与区别在RBAC中，岗位和角色都是组织结构中的概念。

基于角色的访问控制在网络安全中的应用在当前时代，随着互联网技术的发展与普及，信息安全问题逐渐受到人们的关注。

为了保护对个人、公司甚至国家的信息安全，访问控制技术已经逐渐成为了网络安全领域中的重要技术之一。

基于角色的访问控制则是访问控制技术中的一种实现方式。

本文将从基于角色的访问控制的定义、特点及其在网络安全中的应用等方面详细介绍。

一、基于角色的访问控制的定义基于角色的访问控制是指在授权过程中，根据用户的职责和权限将用户分配到不同的角色中，每个角色再赋予一些相应的权限；当用户访问系统资源时，系统根据不同角色的权限来控制其访问对应的系统资源。

具体而言，将用户分配到角色中后，系统管理员可以根据角色的特定权限，来控制该角色能够访问的系统资源。

二、基于角色的访问控制的特点与其他访问控制技术相比，基于角色的访问控制具有以下几个特点：1. 管理方便：基于角色的访问控制将用户分配到角色中，用户的职责与权限与所在角色相对应，系统管理员可以通过管理角色来管理相应的用户。

2. 灵活可扩展：当系统中新增加一个角色时，只需在系统中增加该角色及其对应的权限，就可以在不中断系统正常运行的情况下进行扩展。

3. 安全性更高：基于角色的访问控制在用户层面上操作，使得系统管理者可以更好地控制用户对不同资源的访问权限，从而提高系统的安全性。

三、基于角色的访问控制在网络安全中的应用基于角色的访问控制技术已经在计算机网络中广泛应用。

在网络安全中，基于角色的访问控制可以有效地保护网络的安全性，减小网络风险。

1. 数据库安全管理基于角色的访问控制在数据库中的运用较为广泛。

访问控制的核心是对数据库中的安全性进行管理，不同的角色具有不同的访问权限。

对于敏感数据，可以设置更高的级别限制其访问。

2. 网络资源共享访问控制网络资源共享是当前网上操作中不可或缺的环节，而共享访问控制则成为实现共享的前提。

通过对不同角色用户资源的控制可以避免一些未授权的访问和安全问题。

基于角色的访问控制模型在网络信息安全中的应用第一章：引言网络信息安全日益成为人们关注的焦点，许多企业和个人都面临着网络信息泄露的风险。

其中，访问控制作为信息保护的基础之一，扮演着至关重要的角色。

基于角色的访问控制模型，作为一种现代化的访问控制理论，被广泛运用。

本文将针对基于角色的访问控制模型在网络信息安全中的应用，进行深入的研究和分析。

第二章：基于角色的访问控制模型基于角色的访问控制模型是一种注重权限控制、管理角色的访问能力的一种访问控制模型。

其核心思想在于，将系统用户划分为不同的角色，每个角色具有一定的访问权限，角色中包含了用户所需的所有权限，避免了对单个用户授权的错误和弱点。

基于角色的访问控制模型由对象集、主体集、角色和操作权限集四个部分构成，其体系结构如下图所示。

图一：基于角色的访问控制模型其中，主体集包括用户组和单个用户，角色对于用户的权限控制作用，操作权限集决定了每个角色可以完成的操作，对象并不是权限集的一部分，但其与操作之间存在关联。

基于角色的访问控制模型的重要特征在于，它可以通过添加、修改和删除角色来实现用户权限的修改和设置，而无需分别对每个用户进行设置，更好地保证了系统的稳定性和安全性。

第三章：基于角色的访问控制模型在网络安全中的应用基于角色的访问控制模型可以在网络信息安全中发挥重要的作用。

它可以提高系统的安全性和稳定性，减少对敏感信息的访问，提高管理的效率和控制，增强用户的合理访问权限并防止非法访问。

主要应用在以下几方面：3.1 用户账号权限管理在网络信息安全中，不同的用户组和角色需要具有不同的访问权限以保护敏感信息。

基于角色的访问控制模型可以为每个用户组和角色指定可访问的资源和权限。

例如，公司财务部门的用户权限可以访问财务信息系统，但不能访问人事信息系统。

3.2 访问控制系统管理员可以通过基于角色的访问控制模型控制用户的访问范围、访问时间、访问方式等，确保系统的安全。

3.3 强化系统安全基于角色的访问控制模型可以对未获得特定权限的用户进行拒绝访问，从而有效防止非法访问、信息泄露等网络安全事件的发生。

信息安全技术复习单选题15*1=15填空题15*1=15问答计算7*10=70卷一一、单选题：1、包过滤防火墙工作在哪一层？网络层例题：包过滤型防火墙原理上是基于（C）进行分析的技术。

A、物理层B、数据链路层C、网络层D、应用层2、例题：不能防止计算机感染病毒的措施是（A）A、定时备份重要文件B、经常更新操作系统C、除非确切知道附件内容，否则不要打开电子邮件附件D、重要部门的计算机尽量专机专用，与外界隔绝3、DES算法的加密跟解密基本一致，只是把哪个倒过来用？DA、密文B、密码C、密钥D、子密钥4、信息安全的基本目标和基本属性包含哪些？完整性、可用性、机密性、可控性、抗抵赖性例题：信息安全的基本属性是＿D＿。

A、保密性B、完整性C、可用性、可控性、可靠性D、 A，B，C都是5、A、B都有自己的公钥和私钥，A到B实现数字签名和消息加密，A向B 发送消息分析如下:K R私钥，K U公钥，E加密，D解密加密过程:A——>B需要A签名，所以使用A的私钥，传给B，再用B的公钥加密，E KB-U[E KA-R(M)]解密过程:B先用B的私钥，再用A的公钥，即D KA-U[D KB-R(M’)]例题：A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘），A方向B方发送数字签名M，对信息M加密为：M’= K B公开（K A秘密密（M））。

B方收到密文的解密方案是＿C＿。

A、 K B公开（K A秘密（M’））B、 K A公开（K A公开（M’））C、 K A公开（K B秘密（M’））D、 K B秘密（K A秘密（M’））6、给你四个古典密码，判断哪个是置换密码（常见的置换密码有哪些）置换只是明文重新排序，位置变化，如：栅栏密码、多步置换例题：在以下古典密码体制中，属于置换密码的是（B）。

A、移位密码B、倒序密码C、仿射密码D、PlayFair密码7、实现网络安全除了考虑安全和代价，还要考虑哪些因素？DA、方便性B、管理的复杂性C、应用性D、兼容性例题：网络安全最终是一个折衷的方案，即安全强度和安全操作代价的折衷，除增加安全设施投资外，还应考虑（D）A、用户的方便性B、管理的复杂性C、对现有系统的影响及对不同平台的支持D、上面3项都是8、PKI体系结构（公钥基础设施）的组成部分包括哪些？认证机构（CA）、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口例题：下面不属于PKI组成部分的是（D）A、证书主体B、使用证书的应用和系统C、证书权威机构D、AS9、密码体制包括哪些要素?（5个）明文、密文、密钥、加密算法、解密算法例题：一个完整的密码体制，不包括以下（C ）要素。

1、信息安全的概念，信息安全理念的三个阶段（信息保护 -5 特性，信息保障-PDRR ，综合应用 -PDRR+ 管理）概念：信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。

三个阶段：（1）信息保护阶段：信息安全的基本目标应该是保护信息的机密性、完整性、可用性、可控性和不可抵赖性。

（2）信息综合保障阶段 --PDRR 模型保护（Protect ）、检测（ Detect ）、响应（React ）、恢复（Restore ）（3）信息安全整体解决方案：在PDRR 技术保障模型的前提下，综合信息安全管理措施，实施立体化的信息安全防护。

即整体解决方案＝PDRR 模型+ 安全管理。

2、ISC2 的五重保护体系，信息安全体系-三个方面，信息安全技术体系国际信息系统安全认证组织（ International Information Systems Security Certification Consortium，简称 ISC2）将信息安全划分为 5 重屏障共 10 大领域。

（1）．物理屏障层（2）．技术屏障层（3）．管理屏障层（4）．法律屏障层（5）．心理屏障层信息安全体系 -三个方面：信息安全技术体系、信息安全组织机构体系、信息安全管理体系信息安全技术体系：划分为物理层安全、系统层安全、网络层安全、应用层安全和管理层安全等五个层次。

1）物理安全技术（物理层安全）。

该层次的安全包括通信线路的安全、物理设备的安全、机房的安全等。

2）系统安全技术（操作系统的安全性）。

该层次的安全问题来自网络内使用的操作系统的安全，主要表现在三个方面：一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁。

3）网络安全技术（网络层安全）。

主要体现在网络方面的安全性，包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入的安全、域名系统的安全、路由系统的安全、入侵检测的手段、网络设施防病毒等。

信息安全等级测评师(初级技术)简答题+答案1、《基本要求》，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些？答：三级比二级增加的要求项有：应提供对重要信息资源设置敏感标记的功能；应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。

2、在主机测试前期调研活动中，收集信息的内容（至少写出六项）？在选择主机测评对象时应该注意哪些要点？答：至少需要收集服务器主机的设备名称、型号、所属网络区域、操作系统版本、IP地址、安装的应用软件名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门。

测评对象选择时应该注意重要性、代表性、完整性、安全性、共享性五大原则。

3、《基本要求》中，对于三级信息系统，网络安全层面应采取哪些安全技术措施？画出图并进行描述（不考虑安全加固）。

答：网络层面需要考虑结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码防范、网络设备防护、数据备份与恢复。

4、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计内容是什么？答：1、巨型、大型、中型、小型、微型计算机及单片机。

2、Windows，Linux,Sun Solaris,IBM AIX,HP-UX等等。

3、结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护。

4、a、应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。

b、审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

c、应能够根据记录数据进行分析，并生成审计报表。

d、应对审计记录进行保护、避免受到未预期的删除、修改或覆盖等。

5、数据库常见威胁有哪些？答：（1）非授权访问、特权提升、SQL注入、针对漏洞进行攻击、绕过访问控制进行非授权访问等。

7、采取什么措施可以帮助检测到入侵行为？答：部署IDS/IPS，使用主机防火墙（软件）、硬件防火墙、在路由交换设备上设置策略、采用审计设备等。