CISM0202终端及数据安全_V3.0(2016年)

《信息安全技术移动智能终端操作系统安全测试评价方法》编制说明1 工作简况1.1任务来源2012年，经中国国家标准化管理委员会批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究制定移动智能终端操作系统安全测试评价方法的国家标准。

该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由公安部计算机信息系统安全产品质量监督检验中心（公安部第三研究所）负责主办。

1.2协作单位在接到《信息安全技术移动智能终端操作系统安全测试评价方法》标准的任务后，公安部计算机信息系统安全产品质量监督检验中心立即与移动智能终端安全技术相关厂商、科研单位等进行沟通，并得到了多家业内知名厂商和研究机构的积极参与和反馈，最终选定由上海交通大学、北京元心科技有限公司、上海辰锐信息科技公司、阿里巴巴网络技术有限公司、中国信息通信研究院泰尔终端实验室作为标准编制协作单位。

1.3主要工作过程1.3.1成立编制组2012年12月接到标准编制任务后随即组建标准编制组，编制组成员均具有丰富的移动智能终端安全测评经验、操作系统安全加固相关产品检测经验，以及标准编制经验；人员包括张艳、陆臻、俞优、陈妍、邹春明、赵婷、顾玮、胡亚兰、赵戈、李曦等；标准编制协作单位相关技术领域的研发负责人及主要研发人员参与标准的调研与内容研讨。

1.3.2制定工作计划编制组首先制定了编制工作计划，并确定了编制组人员例会安排以便及时沟通交流工作情况。

1.3.3参考资料该标准编制过程中，主要参考了：•GB 17859-1999 计算机信息系统安全保护划分准则•GB/T 18336.3－2015 信息技术安全技术信息技术安全性评估准则第3部分：安全保障组件•GB/T 20271-2006 信息安全技术信息系统通用安全技术要求•GB/T 25069－2010 信息安全技术术语•移动智能终端、操作系统安全加固相关产品及其技术资料1.3.4确定编制内容经标准编制组研究决定，以发改委专项测试要求为理论基础，以现有移动智能终端操作系统的发展动向为研究目标，以GB 17859-1999《计算机信息系统安全保护等级划分准则》和GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》为主要参考依据，完成《信息安全技术移动智能终端操作系统安全测试评价方法》标准的编制工作。

2.1. 数据中心 ........................................................................................................................................................... 3 2.2. 管理中心(manager) ........................................................................................................................................... 3 2.3. 业务中心(bus) ................................................................................................................................................... 4 2.4. 升级中心(ruc).................................................................................................................................................... 5 2.5. 补丁下载中心(rua)............................................................................................................................................ 6 2.6. Windows 客户端(ep) .......................................................................................................................................... 7 2.7. Linux 客户端...................................................................................................................................................... 7 2.8. 远程管理控制台................................................................................................................................................ 9

H3C SecPath M9000系列全面支持攻击防范、抗DDoS、 访问控制、安全域划分、黑名单、流量监控、邮件过滤、网 页过滤、应用层过滤等功能，能够有效的保证网络的安全； 采用ASPF（Application Specific Packet Filter）应用状态 检测技术，可对连接状态过程和异常命令进行检测；支持多种 VPN业务，如L2TP VPN、GRE VPN 、IPSec VPN、SSL VPN、MPLS VPN等，满足多种高性能VPN接入的需求；支 持业界最丰富的NAT特性，满足各大运营商的NAT需求；提 供丰富的路由能力，支持静态路由、RIP/OSPF/BGP/ISIS路 由策略及策略路由；全面支持IPv4/IPv6双协议栈。
●支持安全ONE平台（SOP）。采用 创新的基于容器的虚拟化技术实现了真 正意义上的虚拟防火墙：
◎SOP之间实现了基于进程的真正相互 隔离；
◎SOP通过统一的OS内核可以对系统的 静态及动态的资源进行细粒度的划分；
◎SOP数量可以按照系统需求的变化动 态调整；
◎SOP能力可以根据用户需求动态的进 行调整。
电信级设备高可靠性
●采用H3C公司拥有自主知识产权的软、硬件平台。产品应用 从大中型企业用户到各大电信运营商，经历了多年的市场考验；
●支持状态1:1热备功能，支持Active/Active和Active/ Backup两种工作模式，实现负载分担和业务备份；
●支持状态N:N热备功能，实现负载分担和业务备份，大幅提 高系统可靠性。
H3C Blue Valley网络内容缓存系统
103
104
安全管理平台
H3C SecPath云网站安全监测中心
104
H3C iMC SSM安全业务管理

中国信息安全测评中心CISM认证模拟试题中电运行信息安全网络技术测评中心 编辑1．信息安全保障要素不包括以下哪一项？A．技术B．工程C．组织D．管理2．以下对信息安全问题产生的根源描述最准确的是：A．信息安全问题是由于信息技术的不断发展造成的B．信息安全问题是由于黑客组织和犯罪集团追求名和利造成的C．信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的D．信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏3．完整性机制可以防范以下哪种攻击？A．假冒源地址或用户的地址的欺骗攻击B．抵赖做过信息的递交行为C．数据传输中被窃听获取D．数据传输中被篡改或破坏4．PPDR模型不包括：A．策略B．检测C．响应D．加密5．关于信息安全策略的说法中，下面说法正确的是：A．信息安全策略的制定是以信息系统的规模为基础B．信息安全策略的制定是以信息系统的网络拓扑结构为基础C．信息安全策略是以信息系统风险管理为基础D．在信息系统尚未建设完成之前，无法确定信息安全策略6．“进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。

其中，“看不懂”是指下面哪种安全服务：A．数据加密B．身份认证C．数据完整性D．访问控制7．下面对ISO27001的说法最准确的是：A．该标准的题目是信息安全管理体系实施指南B．该标准为度量信息安全管理体系的开发和实施过程提供的一套标准C．该标准提供了一组信息安全管理相关的控制措施和最佳实践D．该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型8．拒绝服务攻击损害了信息系统的哪一项性能？A．完整性B．可用性C．保密性D．可靠性9．根据《信息系统安全等级保护定级指南》，信息系统的安全保护等级由哪两个定级要素决定？A．威胁、脆弱性B．系统价值、风险C．信息安全、系统服务安全D．受侵害的客体、对客体造成侵害的程度业务10．IAFE深度防御战略的三个层面不包括：A．人员B．法律C．技术D．运行11．“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为： A．“普密”、“商密”两个级别B．“低级”和“高级”两个级别C．“绝密”、“机密”、“秘密”三个级别D．“一密”、“二密”、“三密”、“四密”四个级别12．触犯新刑法285条规定的非法侵入计算机系统罪可判处________A．三年以下有期徒刑或拘役B．1000元罚款C．三年以上五年以下有期徒刑D．10000元罚款13．以下关于我国信息安全政策和法律法规的说法错误的是：A．中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识”B．2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》C．2007年我国四部委联合发布了《信息安全等级保护管理办法》D．2006年5月全国人大常委会审议通过了《中国人民共和国信息安全法》14．目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？A．公安部B．国家保密局C．信息产业部D．国家密码管理委员会办公室15．VPN系统主要用来________A．进行用户身份的鉴别B．进行用户行为的审计C．建立安全的网络通信D．对网络边界进行访问控制16．VPN技术无法实现以下哪个服务？A．身份验证B．传输加密C．完整性校验D．可用性校验17．组成IPSec的主要安全协议不包括以下哪一项？A．ESPB．DSSC．IKED．AH18．SSL协议比IPSEC协议的优势在于：A．实现简单、易于配置B．能有效的工作在网络层C．能支撑更多的应用层协议D．能实现更高强度的加密19．下面对于“电子邮件炸弹”的解释最准确的是：A．邮件正文中包含的恶意网站链接B．邮件附件中具有破坏性的病毒C．社会工程的一种方式，具有恐吓内容的邮件D．在短时间内发送大量邮件的软件，可以造成目标邮箱爆满20．电子邮件客户端通常需要用________协议来发送邮件。