搜索
第一章信息安全工程1、什么是信息安全工程？答：信息安全工程是采用工程的概念、原理、技术和方法，来研究、开发、实施与维护信息系统安全的过程，是将经过实践考验证明是正确的工程实施流程、管理技术和当前能够得到的最好的技术方法相结合的过程。2、信息安全工程建设的流程主要包括哪几个过程？答：建设的流程主要包括信息安全工程建设包括风险分析评估、安全需求分析、制定安全策略、安全体系设计、安全工程实施、安全工程监理等过程。3、信息安全工程的生命周期包括哪几个主要环节？答：信息安全工程的生命周期包括：发掘信息保护需求；定义系统安全要求；设计系统安全体系结构；开展详细的安全设计；实现系统安全；评估信息保护的有效性。4、信息安全工程的特点主要有哪6点？答：信息安全工程的特点主要有全面性、过程性及周期性、动态性、层次性、相对性、继承性。第二章信息风险评估1、简述风险分析的原理答：风险分析中要涉及资产、威胁、脆弱性等基本要素。通过6步进行风险分析。（1）对资产进行识别，并对资产的价值进行赋值；（2）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；（3）对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（4）根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性；（5）根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失；（6）根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对组织的影响，即风险值。2、信息安全风险评估包括哪几操作步骤？答：第一步：风险评估准备(1)确定评估目标(2)确定评估范围(3)选择评估工具和方法(4)建立评估团队第二步：风险因素识别；(1)信息资产评估；(2)威胁评估(3)脆弱性评估第三步：风险确定；(1)确定已有的控制措施(2)计算风险值第四步：风险评价；(1)与风险准则做比较(2)建立风险等级第五步：风险控制。3、资产评估中，如何识别关键资产，如何赋值?答：通过对组织内部的高层管理人员、中层管理人员、普通员工三个层次的调查，获取组织信息资产状况，并将结果依据安全标准进行分类汇总，以上步骤来识别关键资产。资产赋值可以为机密性、完整性和可用性这三个安全特性分别赋予不同的价值等级，也可以用相对信息价值的货币来衡量。根据不同客户的行业特点、应用特性和安全目标，资产三个安全特性的价值会有所不同。4、威胁发生的可能性受哪些因素影响？如何识别威胁源？答：一、威胁发生的可能性受以下两个方面因素影响：1）资产的吸引力和曝光程度、组织的知名度；2）资产转化成利润的容易程度。包括财务的利益、黑客获得运算能力很强和带宽很大的主机使用权等利益；这主要在考虑人为故意威胁时使用。二、如何识别威胁源？最好的方法是建立威胁列表，其中建立威胁列表的方法有建立一个检查列表、对历史记录进行检查和头脑风暴法。5、在选择风险评估方法时应考虑哪些内容？答：应该考虑的内容：1、评估结果只是一个参考值，不可能是一个绝对正确的数学答案，不可能与未来的实际情况完全一致。2、风险评估结果是动态变化的；3、风险评估方法通常是根据风险动态变化的一般规律或数理统计定理而设计的，在风险评4、估过程中应避免以简单的逻辑推理替代辩正的逻辑思维；风险评估方法具有多样性，评估方法的选用取决于评估的意图、对象和条件，风险分析人员应根据具体情况做出选择，风险评估过程中可以多种评估方法综合运用。6、比较定性风险评估和定量风险评估的优缺点。答：定性风险评估由于一般采用描述性语言来描述风险评估结果。优点是所需的时间、费用和人力资源较少，缺点是评估不够精确。定量风险评估由于通常以数学形式进行表达，所以优点是比较精确的风险评估方法，缺点是成本一般比较高。7、如何看待残留风险这个问题？答：在实施了风险应对措施之后，对残留的风险，单位应该选择接受，没有绝对的安全。8、对于评估过程所发现的风险问题，主要的应对策略有哪些?答：几种常用的应对策略是：1、避免风险比如将重要的计算机系统与因特网进行物理隔离。2、转移风险比如将重要的数据进行异地网络备份。3、减少威胁比如组织具有恶意的软件的执行，避免遭到攻击。4、减少薄弱点比如对员工进行信息安全教育，提高员工的安全意识。5、进行安全监控比如及时探测对信息处理设施有害的行为，并及时作出响应。9、在制定风险控制措施时，因考虑哪些主要因素？（答案有疑问）答：在制定风险控制措施时应根据组织的安全需求以及风险分析结论，为组织推荐可供使用的安全保护策略。第三章信息安全策略1、信息安全策略是什么？它有什么特点？答：信息安全策略是一组规则，它定义了一个组织要实现的安全目标和实现这些安全目标的途径。信息安全策略可以划分为两个部分：问题策略和功能策略。其特点有如下四个方面：信息安全策略必须制定成书面形式；信息安全策略的内容应有别于技术方案；信息安全策略可以被审核；信息安全策略的描述语言应该是简洁的、非技术性的和具有指导性的。2、如何进行信息安全策略的规划与实施？答：信息安全策略的制定原则：先进的网络安全技术是网络安全的根本保证；严格的安全管理是确保安全策略落实的基础；严格的法律、法规是网络安全保障的坚强后盾。制定过程：1、在编写策略文档之前，应当先确定策略的总体目标，必须保证已经把所有可能需要策略的地方都考虑到；2、接着就需要确定策略的结构，定义每个策略负责的区域，并确定安全风险量化和估价方法，明确要保护什么和需要付出多大的代价去保护；3、信息安全策略草稿完成后，应该将它放到业务部门去征求意见，弄清楚信息安全策略会如何影响各部门的业务活动。3、信息安全策略使用哪些主要技术？答：1、防火墙技术；2、入侵检测技术；3、备份技术；4、加密技术；5、其他技术。4、什么是环境安全策略？它包括了哪些方面的内容？答：主要目的是为了在日常工作中保障信息安全与系统操作安全。主要包括服务策略、数据库系统安全策略、邮件系统安全策略、应用服务器系统安全策略、个人桌面系统安全策略及其他业务相关系统安全策略等。5、什么是安全教育策略？答：安全教育是指对所有人员进行安全培训，培训内容包括所有其他技术安全策略所涉及的操作规范与技术知识。通过培训，会使包括信息系统的管理人员与所有的系统最终用户都能充分理解到信息系统安全的重要性，并且对于日常的安全规范操作也会逐渐形成自定的模式。\第四章信息安全体系设计1、什么是萨尔哲原则？答：萨尔哲原则是保护机制的经济性、使用的最小特权、开放系统设计、全面的审查控制机制、基于“允许”的设计原则、权限分离、最小化公共机制和用户心理上愿意接受原则。2、信息保障（纵深防御）的原则有哪些？答：信息保障（纵深防御）的原则是在保护能力、费用、性能和运行考虑之间进行平衡。当在信息系统范围内，整个安全服务应用过程能够抵抗攻击，达到可用性、完整性、鉴别、保密性和抗抵赖性时，就可以认为已达到信息保障的目的。3、信息保障的三要素是什么？答：信息保障的三要素是人、技术以及操作。4、保护局域计算环境的主要措施有哪些？答：保护局域计算环境的措施主要有1）、防止未授权使用客户机、服务器和应用；2）、对客户机、服务器和应用实施充分的保护，防止拒绝服务、数据未授权的泄露和对数据的篡改；3）、无论客户机、服务器或应用是位于某区域之内或之外，都应确保由其所处理的数据具有保密性和完整性；4）、确保各类应用都能容易集成并不会对安全性带来损失；5）、保证客户机和服务器遵守安全配置指南并安装了所有正确的补丁；6）、对所有的客户机和服务器的配置进行管理、维护，跟踪补丁和系统配置更改信息；7）、对于内部和外部的可信任人员或系统所做的攻击活动和违规行为具有充足的防范能力。5、保护区域边界的主要措施有哪些？答：保护区域边界的主要措施有：1）、保证物理和逻辑的区域边界受到妥当的保护；2）、为区域内由于技术或配置问题无法自行实施保护的系统提供边界保护；3）、保护区域内的系统和数据，使其免受外部系统或攻击的破坏；4）、对从区域外边接受（或发送）信息的用户进行强身份鉴别；5）、在受保护的区域内，网络和系统能保持可接受的可用性并且受到适当的保护以对抗拒绝服务攻击；6）、保证在区域之间或通过远程访问所交换的数据受到保护，避免数据被泄露；7）、提供风险管理办法，有选择地允许重要信息跨区域边界流动。6、保护网络和基础设施的主要措施有哪些？答：保护网络和基础设施的主要措施有：1）、保护本地或广域通信网（防止拒绝服务攻击）；2）、对所保护网络上传送的数据提供保密性和完整性保护；3）、保证整个广域网上交换的数据不会泄露给任何未获授权的网络访问者；4）、保证支持关键任务和辅助任务数据的广域网提供相应的保护以抵抗拒绝服务；5）、适当保护信息的网络传输，以防止延时、交付错误或不交付等问题发生；6）、防止数据流分析包括用户数据流和网络基础设施控制信息；7）、保证不干扰其他认可的骨干网和区域网络的运行。7、什么是区域（飞地）边界？答：通过局域网互联，采用一个单一的安全策略并且不考虑物理位置的本地计算设备的集合，被认为是一个“区域”或“飞地边界”。8、什么是安全域？请简述安全域的划分的原则和划分方法？答：安全域是指在同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络。每个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系而且相同的网络安全域共享同样的安全策略。安全域的划分原则是业务保障原则、结构简化原则和立体防御原则。安全域的划分方法是根据业务和功能特性、安全特性的要求以及业务和技术管理现状，通过分析确定访问关系，然后划分安全计算域，划分安全用户域，划分安全网络域。第五章信息安全等级保护1、信息安全等级保护制度的原则是什么？答：信息安全等级保护制度的原则是自主保护原则、重点保护原则、同步建设原则和动态调整原则。2、信息系统的安全保护等级由哪两个定级要素决定？请分析定级要素与安全保护等级的关系。答：信息系统的安全保护等级由等级保护对象受到破坏时所侵害的客体及对客体造成侵害的程度两个定级要素决定。定级要素与安全保护等级的关系如图5-1。受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第三级社会秩序和公共利益第二级第三级第四级国家安全第三级第四级第五级图5-13、请描述确定等级的一般流程。答：确定等级的一般流程是图5-2图5-24、作为定级对象的信息系统应具有哪些基本特征？答：作为定级对象的信息系统应具有的基本特征：1）、具有唯一确定的安全责任单位；2）、具有信息系统的基本要素；3）、承载单一或相对独立的业务应用。5、确定作为定级对象的信息系统受到破坏后所侵害的客体时，其评定的顺序如何？答：其评定顺序应为首先判断是否侵害国家安全，然后判断是否侵害社会秩序或公众利益，最后判断是否侵害公民、法人和其他组织的合法权益。6、根据国标GB17859-1999，信息系统总共分为哪几个等级？答：根据国标GB17859-1999，信息系统总共分为：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。7、请简述安全标记保护级的特点和要求?答：安全标记保护级的特点是：1）、有提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出信息的能力；2）、能够消除通过测试发现的任何错误；3）、能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害；4）、能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。安全标记保护级的要求是：1）、自主访问控制2）、强制访问控制3）、标记4）、身份鉴别5）、客体重用6）、审计7）、数据的完整性8、信息系统应如何满足各级等保要求？答：信息系统应具有基本安全保护能力提出的安全要求，其中包括基本技术要求和基本管理要求。基本技术要求和基本管理要求是确保信息系统安全不可分