等级保护复习题

复习题

1. 《信息安全技术信息系统安全等级保护基本要求》(GB/T 22239-2008)是针对不同安全保护等级信息系统应该具有的基本安全保护能力提出的安全要求，根据实现方式的不同，基本安全要求分为（基本技术要求）和（基本管理要求）两大类，用于指导不同安全保护等级信息系统的（安全建设）和（监督管理）。

2. 技术类安全要求与信息系统提供的技术安全机制有关，主要通过在信息系统中（部署软硬件）并（正确地配置其安全功能）来实现；管理类安全要求与信息系统中（各种角色参与的活动）有关，主要通过控制各种角色的活动，从（政策、制度、规范、流程以及记录）等方面做出规定来实现。

3. 基本技术要求从（物理安全、网络安全、主机安全、应用安全和数据安全）几个层面提出；基本管理要求从（安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理）几个方面提出，（基本技术要求）和（基本管理要求）是确保信息系统安全不可分割的两个部分。

4. 《信息安全技术信息系统等级保护安全设计技术要求》(GB/T 25070-2010)是进行等级保护建设的直接指导，在《基本要求》的基础之上，采用了（系统化）的设计方法，引入了（深度防御）的保护理念，提出了（“一个中心，三重防护”）的保障框架，形成了在（安全管理中心）统一管理下（安全计算环境、安全区域边界、安全通信网络）层层防护的综合保障技术体系，规范了信息系统等级保护安全设计技术要求。

5. 《设计要求》中明确指出信息系统等级保护安全技术设计包括（各级系统安全保护环境）的设计及其（安全互联）的设计，各级系统安全保护环境由相应级别的（安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心）组成。定级系统互联由（安全互联部件和跨定级系统安全管理中心）组成。

6. 将等级保护的相关要求结合公司系统特色及要求落地的指导思想主要通过以下四个方面来实现：符合国家等级保护基本要求；（借鉴等级保护安全设计技术要求）；将等级保护基本要求给出具体的实施、配置措施；适用于公司行业特色的等级保护实施指引。

7.《信息保障技术框架》和《信息安全技术信息系统等级保护安全设计技术要求》都是以技术层面，提供（一个框架）进行多层保护，以此防范计算机威胁。该方法能够（使攻破一层或一类的保护的攻击行为）无法破坏整个信息系统基础设施。

8.（《基本要求》）是等级保护建设的要求，（《设计要求》）是等级保护建设的方法，《设计要求》提出的“一个中心，三重防护”的体系架构从系统化的角度、工程化的思想实现了（《基本要求》）这样一个基线要求，为等级保护的实施提供了科学、有效的方法。因此将《基本要求》和《设计要求》进行有机结合保障整个体系的安全才是将等级保护的要求（由点到面）的落实和执行。

9. 通过以下三个阶段保证将等级保护的要求由点到面的落实和执行：单个系统的安全；（多个系统的安全）；整个体系的安全。

10.结合总部的网络拓扑图，可将工作区、（管理区）、内联网接入区、（外联区）划入接入子域，将核心区化为交换域，将生产区化为（服务域）。

11．计算环境域防护主要针对信息系统（主机安全、应用安全及数据安全），区域边界防护和通信网络防护主要针对信息系统（网络安全）。支撑设施实施对计算环境、区域边界和通信网络（统一的安全策略）管理，确保（系统配置）完整

可信，确定用户（操作权限），实施（全程审计追踪）。

12．信息安全的三个基本属性是：保密性、（完整性）、可用性。

13．常用的保密技术包括：防侦收、防辐射、信息加密、（物理保密）、（信息隐形）。

14．保护信息完整性的主要办法有：协议、（检错和纠错编码方法）、（密码校验和方法）、公证。

15．信息安全的非传统安全特点包括：威胁的多元性、（攻防的非对称性）、影响的广泛性、（后果的严重性）、事件的突发性。

16．我国信息安全保障工作的总体要求是，坚持（积极防御、综合防范）的方针，全面提高信息安全防护能力，重点保障（基础信息网络和重要信息系统安全），创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。

17．积极防御就是要充分认识（信息安全风险和威胁），立足安全防护，加强预警和应急处置，重点保护（基础信息网络）和关系国家安全、经济命脉、社会稳定的重要信息系统；从更深层次和长远考虑，积极防御还包括国家要有一定的信息（对抗能力和反制手段），从而对信息网络犯罪和信息恐怖主义等形成威慑。18．综合防范就是要从（预防、监控、应急处理和打击犯罪）等环节，法律、管理、技术、人才等各个方面，采取多种技术和管理措施，通过全社会的共同努力，全面提升信息安全防护能力。

19．我国信息安全主要基础性工作包括：实行信息安全等级保护；（开展信息安全风险评估）；加强密码技术应用，建设（网络信任）体系；高度重视应急处理工作；加强技术研发，推进产业发展；加强法制建设和标准化建设；加快人才培养，增强全民意识。

20．信息安全保障体系中的一个确保：（确保基础信息网络和重要信息系统的安全，创建安全健康的网络环境）。四个层面包括：信息安全法制体系、（信息安全组织管理体系）、信息安全技术保障体系和（信息安全平台及安全基础设施）。两个支撑是：信息安全经费保障体系、信息安全人才保障体系。

21．试论信息安全等级保护如何实现信息安全保障体系？

22．密码攻击方法有三种：穷举攻击、（统计分析攻击）、数字分析攻击。23．对密码攻击分类有四种：唯密文攻击、已知明文攻击、（选择明文攻击）、选择密文攻击。

24．流密码又称为（序列）密码，是密码学的一个重要分支，目前对它的研究比较成熟。由于它具有（速度快）、（实现简单）等特点，广泛应用于军事等各个领域。

25．试对MD5算法进行简单描述。

对md5算法简要的叙述可以为：md5以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成一个128位散列值。

26．一个标准的X.509包含哪些内容？

X.509 标准规定了证书可以包含什么信息，并说明了记录信息的方法（数据格式）。除签名外，X.509证书还包括：1、用于识别该证书的X.509标准的版本，还可以影响证书中所能指定的信息。2、序列号发放证书的实体有责任为证书指定序列号，以使其区别于该实体发放的其它证书。3、签名算法标识符用于识别CA签写证书时所用的算法。4、签发人姓名签写证书的实体的X.500名称。它通常为一个CA。使用该证书意味着信任签写该证

书的实体。5、有效期每个证书均只能在一个有限时间段内有效。有效期以起始日期及终止日期和时间表示，可以短至几秒长至一世纪。6、实体名证书可以识别其公钥的实体名7、主体公钥信息这是被命名实体的公钥，同时包括指定该密钥所属公钥密码系统的算法标识符及所有相关的密钥参数。

27.BLP模型的强制访问控制遵循哪两个基本安全条件？

自主访问控制和强制访问控制

28．Biba模型用线性的完整性等级标示主体和客体，其访问规则是什么？29．试画出二维安全策略模型的信息流向。

30．试简述安全操作系统主要安全技术。

31. 数据库包括哪些主要安全技术？

32. 试简述网络安全要求。

33．试简述可信计算组织对可信的定义。

34. 根据信息系统在国家安全、经济建设、社会生活中的重要程度，其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成危害程度等，其安全保护等级（由低到高）划分成（五）级。

35．在安全管理上，第三级安全系统需要遵循（）、安全管理员和（）三权分立。

36．为什么一个安全策略配置良好的高安全级别的信息系统对黑客、病毒具有免疫能力，不需要使用防病毒、防火墙或入侵检测等技术？

37．试述第三级系统安全保护环境主要产品类型及功能。

38．简述计算环境中的工作流程，并画出流程图。

39．通信网络子系统负责保证安全系统在通过网络进行访问时的安全，这里的网络传输安全包括（数据的保密性、完整性和抗抵赖性，以及数据源身份认证和防重放攻击）。

40．简述区域边界子系统的跨域信息访问流程。

41．简述安全管理中心的授权管理流程。

42．试解释以下术语：1）敏感数据； 2）风险； 3）安全策略；

敏感数据：指一旦泄露可能会对用户或公司造成损失的数据

风险：某种威胁会利用一种资产或若干资产的脆弱性使这些资产损失或破坏的可能性。

安全策略：主要指为信息系统安全管理制定的行动方针、路线、工作方式、指导原则或程序。

43．三级要求中的物理安全对防盗和防破坏提出了哪些具体要求？

具体要求：

1、应将主要设备放置在机房内；

2、应将设备或主要部件放入机柜中进行固定放置，并设置明显的标签，标注不易除去的标记；

3、应将通信线路设在隐蔽处，可架空铺设在地板下或置于管道中，强弱电需隔离铺设并进行统一标识；

4、应对磁带、光盘等介质风雷表示，存储在介质库或档案室的金属防火柜中；

5.应对机房核心区，生产区重点不为应该安装视频监控摄像头进行24小时连续监视，并对监视录像进行记录；

6、机房主要设备工作间安装红外线探测设备等光电防盗设备，一旦发现有破坏性入侵即时显示入侵部位，并驱动声光报警装置；