下载文档原格式
（三）云计算风险指标体系建立过程云计算风险指标的建立通过以下三个步骤：第一步：从知网上检索2008年至2018年研究云计算的风险因素的论文、文献等资料，提取出影响云计算风险因素的关键词，形成一个云计算风险影响因素的集合，作为最初的理论依据。
第二步：对云计算影响因素的集合进行数理统计，列出各个不同的影响因素，并统计出现的频数。
选择出现频数较多的风险因素，剔除出现频数较低的风险因素。
第三步：最后把出现次数较多的风险因素列为影响云计算的风险指标。
（四）云计算风险因素分类根据上面的方法，用知网输入关键词检索2008年至2018年关于云计算风险的论文，并择优选择了15篇，并对15篇论文里的风险因素进行归纳汇总，得出影响云计算的风险因素及对应的频数，设置筛选条件为大于等于5次，最终得到了22个风险因素。
为了便于后面的分析评估，根据风险因素的性质，把22个风险因素划分为4大类风险。
最后把影响云计算风险的因素分为4个一级指标22个二级指标。
分别是技术类风险、管理类风险、法律类风险、其他类风险。
其中技术类风险又包括数据加密风险、数据隔离风险、数据删除风险、虚拟化漏洞风险、网络监管风险、身份验证风险、访问控制风险、传输过程中数据保护风险、黑客攻击风险；管理类风险包括密钥管理风险、数据备份风险、审查支持风险、操作失误风险、内部人员风险、云服务被迫中止风险；法律类风险包括法律遵从风险、法律差异风险、法律责任风险、强迫披露风险；其它类风险包括云服务锁定风险、数据迁移风险、软件升级风险。
建立了风险指标体系如见图1:图1云计算风险指标体系三、云计算风险评估（一）云计算风险因素指标打分模型对于已经构建好的指标体系，如何通过评估指标来衡量云计算整体的风险大小，这需要一个量化的风险指标。
下面我们就构建一个打分模型来计算云计算真实的风险。
上面构建的指标体系一共分为4个一级指标和22个二级指标。
首先我们对每个一级指标从三个方面进行打分，分别是资产重要程度、对象的脆弱性和外部威胁等三个方面。
等级保护2.0和密评要求-概述说明以及解释1.引言1.1 概述概述部分的内容可以包括以下内容：概述部分旨在介绍文章的背景和主要内容，为读者提供一个整体的了解和把握。
本文将重点介绍等级保护2.0和密评要求这两个话题。
在当今信息安全的背景下，等级保护2.0成为了一种重要手段，可以有效保护信息系统的安全性。
等级保护2.0的出现是对传统等级保护的升级和完善，它不仅具备更高的安全性能，还可以适应当前多样化的安全需求。
本文将介绍等级保护2.0的基本概念、特点以及它在不同领域的应用。
与等级保护2.0密切相关的还有密评要求，它是对信息系统安全保护的一种具体要求和规范。
密评要求的重要性在于它为实施等级保护2.0提供了具体的指导和标准，保证了安全防护措施的有效性和合理性。
本文将详细介绍密评要求的定义、重要性、内容以及实施过程。
通过对等级保护2.0和密评要求的深入研究，我们可以更好地了解如何保护信息系统的安全，提高系统对各种威胁的抵御能力。
同时，我们也要认识到等级保护2.0和密评要求的局限性，不断探索未来的发展方向，并为信息系统的安全提供更好的保障。
在本文的结论部分，我们将对等级保护2.0和密评要求进行评价和总结，并展望未来的发展方向。
通过本文的阅读，读者将能够更全面地了解等级保护2.0和密评要求，为信息安全保护提供有益的参考和指导。
1.2 文章结构本文按照以下结构进行撰写:引言部分首先概述了本文的主要内容，然后给出了文章的结构和目的。
最后总结了整篇文章的要点。
接下来的第2节将详细介绍等级保护2.0。
首先会对等级保护2.0进行一个简单的介绍，包括其定义和基本概念。
然后会详细讨论等级保护2.0的特点，包括其在安全领域的应用和发展趋势。
接着会分析等级保护2.0的优势，与传统的等级保护相比进行对比。
最后会介绍等级保护2.0在各个应用领域中的具体应用案例。
第3节将专门讨论密评要求。
首先会给出对密评的定义，解释密评的含义和作用。
国家标准《信息安全技术网络安全等级保护安全设计技术要求第1部分：通用设计要求》（征求意见稿）编制说明一、工作简况1.1任务来源《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》是国家标准化管理委员会 2014年下达的信息安全国家标准制定项目，国标计划号为：GB/T 25070.1-2010，由公安部第一研究所承担，参与单位包括北京工业大学、北京中软华泰信息技术有限责任公司、中国电子信息产业集团有限公司第六研究所、工业和信息化部电信研究院、阿里云计算技术有限公司、公安部第三研究所、中国信息安全测评中心、国家信息技术安全研究中心、浙江中烟工业有限责任公司、中央电视台、北京江南天安科技有限公司、华为技术有限公司、浪潮电子信息产业股份有限公司、浪潮集团、北京启明星辰信息安全技术有限公司。
1.2主要工作过程1)准备阶段2014年3月，在公安部11局的统一领导下，公安部第一研究所同协作单位共同成立标准编写项目组。
2）调研阶段标准起草组成立以后，项目组收集了大量国内外相关标准，进行了研讨，对信息安全的模型、威胁和脆弱性进行了充分讨论。
同时项目组参考了国内等级保护相关标准，为了真实了解行业内的安全要求，项目组也对行业内的企事业单位进行了调研。
3）编写阶段2014年4月，标准起草组组织了多次内部研讨会议，邀请了来自国内相关领域著名的专家、学者开展交流与研讨，确定了标准的总体技术框架、核心内容。
标准起草组按照分工，对标准各部分进行了编写，形成了《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》（草案）。
4）首次征求专家意见2014年4月，公安部11局组织业内专家对标准初稿进行了研讨，专家对标准范围、内容、格式等进行了详细讨论，提出了很多宝贵意见。
项目组根据专家意见，对标准进行了修改。
5）第二次征求专家意见2014年9、10月，公安部11局组织业内专家对标准初稿再次进行了研讨，专家再次对标准范围、内容、格式等进行了详细讨论，提出了宝贵意见。
等级保护2.0——云计算安全扩展要求（上）概述云计算安全扩展要求是在安全通⽤要求的基础上针对云计算的特点提出特殊保护要求。
也就是说，在云计算环境中为了满⾜等保2.0的保准要求，既要满⾜安全通⽤要求，也要满⾜针对云计算提出的特殊保护要求。
云计算安全扩展要求也分为技术要求和管理要求两⼤类。
安全物理环境云计算安全扩展要求安全物理环境中的基础设施位置要求云计算基础设施位于中国境内。
这是对提供云计算服务的云服务商提出的要求，由于在云计算环境中，数据的实际存储位置往往是不受客户控制的，客户的数据可能存储在境外数据中⼼，这就改变了数据和业务的司法管辖关系，需要注意的是，有些国家的政府可能依据本国法律要求云服务商提供可以访问这些数据中⼼的途径，甚⾄要求云服务商提供位于他国数据中⼼的数据。
这使得客户的业务和数据隐私安全不能得到有效的保障。
安全通信⽹络——⽹络架构应保证云计算平台不承载⾼于其安全保护等级的业务应⽤系统】解读：云计算环境中云服务商提供的云平台与客户的业务系统是需要分别单独定级的，那么云计算平台的等级保护等级必然不能低于其承载的客户业务系统的安全保护等级。
【应实现不同云客户虚拟⽹络之间的隔离】解读：除私有云外，整个云计算平台是由多个客户共享的，因此云服务商提供的云计算平台应具备隔离不同客户系统的能⼒，使得客户的虚拟⽹络在逻辑上实现独享。
【应具有根据云服务客户业务需求提供通信传输、边界防护、⼊侵防范等安全机制的能⼒】解读：云服务商在保证云计算平台达到相应等级的安全防护⽔平外，还应将相应的安全防护机制提供给客户。
【应具有根据云服务客户业务需求⾃主设置安全策略的能⼒，包括定义访问路径、选择安全组件、配置安全策略】解读：客户的业务系统也是根据其对应的安全保护级别来部署安全防护措施，因此云计算平台应将相应的安全能⼒提供给客户，使⽤户可以根据需求进⾏⾃主选择、部署、配置。
【应提供开放接⼝或开放性安全服务，允许云服务客户接⼊第三⽅安全产品或在云计算平台选择第三⽅安全服务】解读：这⾥是对云计算平台的兼容性提出的要求，有些客户可能根据其特殊的安全需求，需要引⼊云平台提供的安全防护之外的安全技术或产品，云计算平台应提供相应的开放接⼝供产品或服务的接⼊。
云计算安全扩展要求一．安全物理环境基础设施位置应保证云计算基础设施位千中国境内。
二．安全通信网络网络架构本项要求包括：a) 应保证云计算平台不承载高千其安全保护等级的业务应用系统；b) 应实现不同云服务客户虚拟网络之间的隔离；c) 应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力；d) 应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访间路径、选择安全组件、配置安全策略；e) 应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。
三．安全区域边界1 访问控制本项要求包括：a) 应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；b) 应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。
2 入侵防范本项要求包括：a) 应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；b) 应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；c) 应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流最；d) 应在检测到网络攻击行为、异常流量情况时进行告警。
3 安全审计本项要求包括：a) 应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；b) 应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。
四．安全计算环境1 身份鉴别当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
2 访问控制本项要求包括：a) 应保证当虚拟机迁移时，访问控制策略随其迁移；b) 应允许云服务客户设置不同虚拟机之间的访问控制策略。
3 入侵防范本项要求包括：a) 应能检测虚拟机之间的资源隔离失效，并进行告警；b) 应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；c) 应能够检测恶意代码感染及在虚拟机间蔓延的情况，并进行告警。
绿盟考试题1、国家支持网络运营者之间在网安全信息( )( )( )和( )等方面进行合作，提高网络运营者的安全保障能力。
（）A发布收集分析事故处理B审计转发处置事故处理C收集分析通报应急处置D收集分析管理应急处置2、网络运营者违反《网络安全法》第二十四条第一款规定，未要求用户提供真实身份信息，或者对不提供真实身份信息的用户提供相关服务的，由有关主管部门责令改正；拒不改正或则情节严重的，处()以上，()以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他责任人员处一万以上十万以下罚款。
（）A五万十万B二十万五十万C三万十万D五万五十万3、某个安全管理员正在为他所在的组织选择密码算法，他想选择支持数字签名的算法。
以下哪个满足他的要求？（）A :RSA( 非对称加密算法)B ：DES分组对称加密算法C:MD5(在大多应用环境早已经过时)D:AES：区块加密标准4、绿盟运维安全管理系统OSMS支持审计的图形化远程操作协议不包含以下哪一项？（）A：SecureCRTB:VNCC:X11D:RDP5、有《网络安全法》规定的违法行为的，依照有关法律、行政法规规定计入()，并公示。
（）A个人信用库B人事档案C征信系统D信用档案6、网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或则传输的信息的，应当立即停止传输该信息，采取()等处置措施，防止信息扩散，保存有感记录，并向有关主管部分报告。
（）A撤回B更改C消除D删除7、业务信息安全和系统服务安全收到破坏后，可能产生的危害后果中不包括()（）A:影响行使工作职能B:导致个人财产损失C:导致业务能力下降D:引起法律纠纷8、对发现的漏洞，分析漏洞如何被利用、漏洞被利用后的影响以及修复难度，应该使用什么评分系统来比较这些漏洞指标？（）A:VSSB:NVDC:CVSSD:CVS9、以下哪一个不是散列算法的属性？（）A:他们采取可变长的输入B：很难找到同一散列值的两条信息C:他们需要加密密钥D:他们是不可撤销的解析：知识点：产生一些数据片段(例如消息或会话项)的散列值的算法。
信息通信INFORMATION & COMMUNICATIONS2020年第02期(总第206期)2020(Sum. No 206)基于等保2.0咼校网络安全主动防御体系建设探析裴建廷，于 谦，孙 斌,王金民(潍坊医学院网络信息中心，山东潍坊261053)摘要:文章根据等保2.0的新要求和高校网络现状,从制度体系建设、三级安全防护、主动防御联动、可信计算、安全运维和攻防演练等方面，对高校网络安全主动防御体系建设进行了探析。
关键词：等保2.0;高校网络安全;主动防御体系中图分类号:TP393.08文献标识码:A文章编号：1673-1131(2020)02-0166-02随着《教育信息化2.0行动计划》等相关国家文件的出台，高校顺应信息化发展形势，分别在智慧教学、智慧后勤、智慧管理等方面取得了阶段性成果，但是在建设、管理和使用过程中，仍然存在不同程度校园网安全问题，因此，在高校信息化建设过程中,需要结合网络安全法、等保2.0等法律法规，对校 园网安全同步规划、同步设计、同步建设，才能有效保障高校网络安全、稳定运行。
1新形势下等保2.0特点1994年2月，国务院147号令出台《中华人民共和国计算机信息系统安全保护条例》，从国家层面首次提出“等保”这个概念。
随着近几年来一些新技术如云计算、移动互联、大数据、 物联网、人工智能不断提出和实现，信息技术的业务目标、应 用技术、应用场景等都发生了变化，为顺应新技术的发展，等级保护的相关标准也需要跟上新技术的发M.2019年5月，在 等保1.0的基础上，公安部发布《网络安全等级保护基本要求》(简称“等保2.0”)。
相对于等保1.0,等保2.0主要具有以下新的特点。
1.1基本要求的变化等保2.0,提出由传统的分层防护，向综合防控和集中防护 转变，并提出构建“一个中心，三重防护”的体系框架。
一个中心是指安全管理中心，是将系统管理、审计管理、安全管理和集中管理等进行融合集中管控;三重防护是指安全通信环境、安全区域边界和安全计算环境。
网络安全等级保护测评高风险判定指引1术语和定义1.1可用性要求较高的系统指可用性级别大于等于99.9%，年度停机时间小于等于8.8小时的系统（例如银行、证券、非银行支付机构、互联网金融等交易类系统，提供公共服务的民生类系统，工业控制类系统，云计算平台等）。
1.2关键网络设备指部署在关键网络节点的核心设备（包括但不限于核心交换机、核心路由器、边界防火墙等），一旦该设备遭受攻击或出现故障将影响整个系统网络。
1.3数据传输完整性要求较高的系统指一旦数据在传输过程中遭受恶意破坏或篡改，可能造成较大的财产损失，或造成严重破坏的系统（例如银行、证券、非银行支付机构、互联网金融等交易类系统等）。
1.4不可控网络环境指互联网、公共网络环境、开放性办公环境等缺少网络安全管控措施，可能存在恶意攻击、数据窃听等安全隐患的网络环境。
1.5可被利用的高危漏洞指可被攻击者用来进行网络攻击从而导致严重后果的漏洞（包括但不限于缓冲区溢出、提权漏洞、远程代码执行、严重逻辑缺陷、敏感数据泄露等）。
1.6云管理平台指云服务商或云服务客户用来对云计算资源进行管理的系统平台。
2安全物理环境2.1物理访问控制2.1.1机房出入口无控制措施对应要求：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
判例内容：机房出入口无任何访问控制措施，机房大门未安装电子或机械门锁（包括机房大门处于未上锁状态），机房入口处也无专人值守；非授权人员可随意进出机房，无任何管控、监控措施，存在较大安全隐患，可判定为高风险。
适用范围：2级及以上系统。
满足条件：机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态）、专人值守等，可导致非授权人员可随意进出机房。
补偿措施：机房所在位置处于受控区域，仅授权人员可进入该区域，可酌情降低风险等级。
整改建议：机房出入口配备电子门禁系统，通过电子门禁系统控制、鉴别、和记录进入的人员信息。
2.2防盗窃和防破坏2.2.1机房无防盗措施对应要求：应设置机房防盗报警系统或设置有专人值守的视频监控系统。
网络安全等级保护及安全评估管理办法第一章总则第一条为进一步落实国家和电力行业网络安全等级保护及安全评估要求，规范中国某集团有限公司（以下简称集团公司）相关工作，确保依法合规，依据《中华人民共和国网络安全法》、《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》、《电力监控系统安全防护规定》、《电力行业信息安全等级保护管理办法》等法规和相关要求，结合集团公司实际，制定本办法。
第二条按照“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，将网络安全等级保护与安全防护评估工作纳入日常安全生产管理体系，确保等级保护及安全防护评估责任层层落实，具体到人。
第三条本办法适用于集团公司总部，各分子公司、直属机构、基层企业（以下简称为各级企业）。
第四条集团公司信息中心是集团公司网络安全等级保护与安全防护评估工作的归口管理部门。
第五条各级企业是网络安全等级保护与安全防护评估工作的责任主体，要按照国家等级保护制度要求，将信息系统、基础设施网络、云计算平台、大数据平台、物联网系统、工业控制系统（电力监控系统）纳入保护范围，深化网络安全等级保护定级备案、安全建设、等级测评、安全整改、监督检查全过程工作。
第二章等级保护第六条各级企业应当依据《网络安全等级保护定级指南》国家标准和《电力行业信息系统安全等级保护定级工作指导意见》的要求，规范开展信息系统的定级备案工作。
按照“确定定级对象、初步确定等级、专家评审、集团公司审核、公安机关备案审查”流程确定安全保护等级，各级企业不再自主定级。
第七条各级企业应按照国家及行业要求及时到公安机关办理备案手续，并向集团公司报备。
对新建系统，应在可行性研究报告报批前确定网络安全保护等级，并严格按照安全保护等级编制安全方案。
对退役系统，应按照国家及行业要求及时办理备案撤销手续。
第八条各级企业应依据国家及行业相关标准规范要求，对已定级备案系统的安全性进行检测评估。
第三级及以上系统应委托符合国家有关规定的等级测评机构，每年开展一次网络安全等级测评，并及时将等级测评报告提交受理备案的公安机关和集团公司。
科普：关基、等保与密评的关系导语“没有网络安全就没有国家安全，没有信息化就没有现代化，网络安全和信息化是一体之两翼、驱动之双轮”。
随着5G、大数据、云计算、人工智能、工业互联网、物联网等新一代信息技术的发展，网络空间与物理空间被彻底打通，网络空间成为继“陆海空天”之后的第五大战略空间，愈演愈烈的网络攻击已经成为国家安全的新挑战。
为保障网络空间安全，我国网络安全法治建设持续推进，《网络安全法》、《密码法》等多部法律已颁布实施，《个人信息保护法》《数据安全法》加速制定中，网络空间不再是“法外之地”。
在《网络安全法》中明确规定国家实行网络安全等级保护制度，落实网络安全责任制，依据相关规定开展等级保护工作，通过等级测评来检验网络系统的安全防护能力，识别系统可能存在的安全风险；同时《网络安全法》中规定关键信息基础设施运营者通过安全检测评估的方式识别可能存在的风险；在《密码法》中规定使用商用密码进行保护的关键基础设施，其运营者应履行开展商用密码应用安全评估的工作，同时指出商用密码应用安全评估、关键信息基础设施安全检测评估与网络安全等级测评进行衔接，避免重复评估、测评。
商用密码应用安全评估、关键信息基础设施安全检测评估与网络安全等级测评三者间该如何衔接，三者间又存在什么样的联系与区别呢？本文对其进行简要分析。
一、基本概念1、网络安全等级测评：（简称“等级测评”）是测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动，是信息系统安全等级保护工作的重要环节。
2、关键信息基础设施安全检测评估：（简称“关基安全检测评估”）对关键信息基础设施安全性和可能存在的风险进行检测评估的活动。
检测评估内容包括但不限于网络安全制度（国家和行业相关法律法规政策文件及运营者制定的制度）落实情况、组织机构建设情况、人员和经费投入情况、教育培训情况、网络安全等级保护工作落实情况、密码应用安全性评估情况、技术防护情况、云服务安全评估情况、风险评估情况、应急演练情况、攻防演练情况等，尤其。
信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求1 范围本部分规定了对不同等级的等级保护对象是否符合GB/T 22239.2-20XX所进行的测试评估活动的要求，包括对第二级等级保护对象、第三级等级保护对象和第四级等级保护对象进行安全测试评估的要求。
本部分略去对第一级等级保护对象、第五级等级保护对象进行安全测评评估的要求。
本部分规定了不同等级的保护对象的云计算安全扩展测评要求，除使用本部分外，还需参考通用测评要求。
本部分适用于信息安全测评服务机构、等级保护对象的主管部门及运营使用单位对等级保护对象安全等级保护状况进行的安全测试评估。
信息安全监管职能部门依法进行的信息系统安全等级保护监督检查可以参考使用。
2 规范性引用文件下列文件对于本部分的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本部分。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本部分。
GB/T 25069-2010 信息安全技术术语GB17859-1999 计算机信息系统安全保护等级划分准则GB/T 22239.1-20XX 信息安全技术网络安全等级保护基本要求第1部分：安全通用要求GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南GB/T 28448.1-20XX 信息安全技术网络安全等级保护测评要求第1部分：通用测评要求GB/T 28449-20XX 信息安全技术信息系统安全等级保护测评过程指南GB/T 22239.2-20XX 信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求GB/T 25070.2-20XX 信息安全技术网络安全等级保护安全设计技术要求第2部分：云计算信息安全等级保护安全设计技术要求3 术语与定义GB/T 25069-2010、GB/T 28448.1-20XX和GB/T 22239.2-20XX界定的以及下列术语和定义适用于本部分。
信息安全工程师100题1.网页木马是一种通过攻击浏览器或浏览器外挂程序的漏洞，向目标用户机器植入木马、病毒、密码盗取等恶意程序的手段，为了要安全浏览网页，不应该( )。
A.定期清理浏览器缓存和上网历史记录B.禁止使用ActiveX控件和Java脚本C.在他人计算机上使用“自动登录”和“记住密码”功能D.定期清理浏览器Cookies2.包过滤技术防火墙在过滤数据包时，一般不关心( )。
A.数据包的源地址B.数据包的目的地址C.数据包的协议类型D.数据包的内容3.信息安全风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量，是对威胁、脆弱点以及由此带来的风险大小的评估。
在信息安全风险评估中，以下说法正确的是( )。
A.安全需求可通过安全措施得以满足，不需要结合资产价值考虑实施成本B.风险评估要识别资产相关要素的关系，从而判断资产面临的风险大小。
在对这些要素的评估过程中，不需要充分考虑与这些基本要素相关的各类属性C.风险评估要识别资产相关要素的关系，从而判断资产面临的风险大小。
在对这些要素的评估过程中，需要充分考虑与这些基本要素相关的各类属性D.信息系统的风险在实施了安全措施后可以降为零4.入侵检测技术包括异常入侵检测和误用入侵检测。
以下关于误用检测技术的描述中，正确的是( )。
A.误用检测根据对用户正常行为的了解和掌握来识别入侵行为B.误用检测根据掌握的关于入侵或攻击的知识来识别入侵行为C.误用检测不需要建立入侵或攻击的行为特征库D.误用检测需要建立用户的正常行为特征轮廓5.身份认证是证实客户的真实身份与其所声称的身份是否相符的验证过程。
目前，计算机及网络系统中常用的身份认证技术主要有：用户名/密码方式、智能卡认证、动态口令、生物特征认证等。
其中能用于身份认证的生物特征必须具有( )。
A.唯一性和稳定性B.唯一性和保密性C.保密性和完整性D.稳定性和完整性6.无论是哪一种Web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息系统安全漏洞属于( )。
