14.3　全真模拟题解析

【试题1分析】答案：A。PGP协议在Internet上广泛使用，特别是在E-mail保护上应用更广，用于支持电子邮件加密服务。

PKI即“公钥基础设施”，是一种遵循既定标准的密钥管理平台，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

SET协议是Visa与MasterCard共同制定的一套安全、方便的交易模式，旨在用于支持各种信用卡的交易。SET协议的参与者有卡用户（网上交易发起方）、商人（网上交易服务商）、发行人银行（信用卡发卡人）、获得者（处理交易的金融机构）、支付网关、CA中心（证书发放者）。

Kerberos可用于在分布式网络环境中保证安全性。Kerberos是由一台中心认证服务器提供用户到服务器以及服务器到用户的认证服务，其核心是使用DES加密技术实现最基本的认证服务。

【试题2分析】答案：A。加密算法中主要分为对称加密（共享密钥）算法和非对称加密（公共密钥）算法。DES、3DES、IDEA属于对称加密算法，RSA是非对称加密算法。

【试题3分析】答案：A。HTTPS是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

【试题4分析】答案：A。数字签名技术是不对称加密算法的典型应用。数字签名的应用过程是，数据源发送方使用自己的私钥对数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性。

【试题5分析】答案：B。DES算法为美国数据加密标准，是1972年美国IBM公司研制的对称密码体制加密算法。Diffie-Hellman为密钥交换算法。高级加密标准AES，是美国联邦政府采用的一种区块加密标准。这个标准用来替代原先的DES加密算法。报文摘要是指单向哈希函数算法将任意长度的输入报文经计算得出固定位的输出称为报文摘要。所谓单向是指该算法是不可逆的，找出具有同一报文摘要的两个不同报文是很困难的，常见的报文摘要算法有MD5、SHA。

【试题6分析】答案：C。IPSec是网络层安全协议，L2TP和PPTP是链路层安全协议，TLS是传输层安全协议。

【试题7分析】答案：C。DDoS（分布式拒绝服务）是一种特殊的拒绝服务攻击形式，它的主要特点是分布、协作的大规模攻击，主要瞄准比较大的站点。DDoS攻击是利用一批受控制的机器向一台机器发起攻击，这样会使得攻击更为猛烈，因此具有较大的破坏性。

【试题8分析】答案：C。缓冲区溢出漏洞是一种软件中缓冲区出现溢出的漏洞。为了解决这种软件漏洞最好的方法是安装补丁软件，修补软件中的这一漏洞。

【试题9分析】答案：B。从所采用的技术上看，防火墙有几种基本类型：包过滤型、状态检测型、代理服务器型、电路级网关、应用级网关等。

【试题10分析】答案：B。一个完整的特洛伊木马套装程序包含服务端（服务器部分）和客户端（控制器部分）两部分。植入对方电脑的是服务端，而黑客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送数据（如网络游戏的密码，即时通信软件密码和用户上网密码等），黑客甚至可以利用这些打开的端口进入电脑系统。

【试题11分析】答案：1）保密性。数据保密性是保证只有授权用户可以访问数据，而限制其他用户对数据访问。2）完整性。数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。3）可用性。可被授权实体访问并按需求使用的特性，即当需要时能否存取和访问所需的信息，如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。4）不可否认性。不可否认性也称不可抵赖性，在信息交互过程中，确信参与者的真实同一性。5）可控性。可控性是人们对信息的传播路径、范围及其内容所具有的控制能力，即不容许不良内容通过公共网络进行传输。

分析：1）保密性。数据保密性是保证只有授权用户可以访问数据，而限制其他用户对数据访问。数据保密性分为网络传输保密性和数据存储保密性两方面。网络传输也可以被窃听，解决的办法是对传输数据进行加密处理。数据存储保密性主要通过访问控制来实现的，管理员对数据进行分类，有敏感性、机密型、私有型和公用型等几类，对这些数据的访问加以不同的访问控制。

2）完整性。数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。数据的完整性的目的是保证计算机系统上的数据和信息处于一种完整和未受损害的状态，这就是说数据不会因有意或无意的事件而被改变或丢失，数据完整性的丧失直接影响到数据的可用性。

影响数据完整性的因素很多，有人为的蓄意破坏、人为的无意破坏、软硬件设备的失效、自然灾害等。但要可以通过访问控制、数据备份和冗余设置来实现数据的完整性。

3）可用性。可被授权实体访问并按需求使用的特性，即当需要时能否存取和访问所需的信息，如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。

4）不可否认性。不可否认性也称不可抵赖性，在信息交互过程中，确信参与者的真实同一性。即所有参与者都不能否认和抵赖曾经完成的操作和承诺，利用信息源证据可以防止发信方不真实地否认已发信息，利用提交接收证据可以防止收信方事后否认已经接收的信息。数字签名技术是解决不可否认性的重要手段之一。

5）可控性。可控性是人们对信息的传播路径、范围及其内容所具有的控制能力，即不容许不良内容通过公共网络进行传输。

【试题12分析】答案：OSI安全体系结构采用的安全机制主要有加密机制、数据签名机制、访问控制机制、数据完整性机制、认证机制、信息流填充机制、路由控制机制和公正机制。

【试题13分析】答案：自主访问控制模型DAC允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体。

强制访问控制模型MAC是一种多级访问控制策略，通过分级的安全标签实现信息的单向流通。

基于角色的访问控制模型RBAC将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。

基于任务的访问控制模型TBAC从应用和企业层角度来解决安全问题，以面向任务的观点，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。

基于对象的访问控制模型OBAC从受控对象的角度出发，将访问主体的访问权限直接与受控对象相关联，定义了对象的访问控制列表，增、删、修改访问控制项等。

分析：自主访问控制模型DAC是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体访问权限授予其他用户。

强制访问控制模型MAC是一种比DAC更为严格的访问控制模型，是一种多级访问控制策略，通过分级的安全标签实现信息的单向流通。

基于角色的访问控制模型RBAC的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。

基于任务的访问控制模型TBAC从应用和企业层角度来解决安全问题，以面向任务的观点，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。

基于对象的访问控制模型OBAC针对数据差异变化和用户需求变化，从受控对象的角度出发，将访问主体的访问权限直接与受控对象相关联，定义了对象的访问控制列表，增、删、修改访问控制项等。当受控对象的属性发生改变，或者受控对象发生继承和派生行为时，无需更新访问主体的权限，只需要修改受控对象的相应访问控制项即可，从而减少访问主体的权限管理，降低了授权数据管理的复杂性。

【试题14分析】答案：安全策略的制定实施围绕主体、客体和安全控制规则集三者之间展开，遵循如下基本原则。（1）最小特权原则。（2）经济性原则。（3）完全中介性。（4）开放性原则。（5）特权分离原则。（6）公共机制最小化。（7）便利性原则。

【试题15分析】答案：①公钥密码技术；②密钥分发；③数字签名；④不依赖；⑤密钥；⑥单钥（对称）；⑦双钥（非对称，公钥）；⑧测不准。

【试题16分析】答案：按照网络层次的不同，数据加密方式划分，主要有链路加密、节点加密和端端加密3种。

分析：按照网络层次的不同，数据加密方式划分，主要有链路加密、节点加密和端端加密3种。

链路加密是最常用的加密方法之一，通常用硬件在物理层实现，用于保护通信节点间传输的数据。这种加密方式比较简单，实现也比较容易，只要将一对密码设备安装在两个节点间的线路上，使用相同的密钥即可。

节点加密是链路加密的改进，其目的是为了克服链路加密在节点处易遭非法存取的缺点。在协议栈的运输层上进行加密，是对源点和目的点之间的数据信息进行加密保护。

传输层以上的加密统称为端端加密。端端加密是面向协议栈高层主体进行加密，一般在表示层以上实现。协议信息以明文形式传输，用户数据在中间节点不需要加密。

【试题17分析】答案：数字签名的含义是通过一个单向函数对要传送的报文进行处理得到的，用以认证报文来源并核实报文是否发生变化的一个字母数字串。

数字签名的作用就是为了鉴别文件或书信的真伪，传输的做法是相关人员在文件或书信上亲笔签名或印章。签名起到认证、核准、生效的作用。数字签名用来保证信息传输过程中信息的完整和提供信息发送者的身份是谁的认证。

【试题18分析】答案：数字签名的基本原理如下。

①被发送文件采用哈希算法对原始消息进行运算，得到一个固定长度的消息摘要。

②发送方生成消息摘要，用私钥对摘要加密进行数字签名。

③这个数字签名将作为消息报文的附件和消息报文一起发送给接收方。

④接收方先从接收到的原始报文中用同样的算法计算出新的报文摘要，再用发送方的公钥对报文附件的数字签名进行解密，比较两个报文摘要，如果值相同，接收方就能确认该数字签名是发送方的。

【试题19分析】答案：从所采用的技术上看，防火墙有包过滤型、状态检测型、代理服务器型、电路级网关、应用级网关等基本类型。

包过滤防火墙也叫网络级防火墙，一般是基于源地址和目的地址、应用、协议以及每个IP包的端口来作出通过与否的判断。

状态检测防火墙试图跟踪通过防火墙的网络连接和包，这样防火墙就可以使用一组附加的标准，以确定是否允许和拒绝通信。

电路级网关工作在会话层，用来监控受信任端与不受信任端的主机间的TCP握手信息。它作为服务器接受外来的请求并转发请求，在TCP握手过程中，检查双方的SYN、ACK和序列数据是否合理逻辑，来判断该请求的会话是否合法。

应用级网关可以工作在OSI七层模型的任一层上来检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。

代理服务器作用在应用层，它用来提供应用层服务的控制，在内部网络向外部网络申请服务时起到中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他节点的直接请求。

分析：从所采用的技术上看，防火墙有包过滤型、状态检测型、代理服务器型、电路级网关、应用级网关等基本类型。

包过滤防火墙也叫网络级防火墙，一般是基于源地址和目的地址、应用、协议以及每个IP包的端口来作出通过与否的判断。通常用一台路由器实现。它的基本思想很简单：对所接受的每个数据包进行检查，根据过滤规则，然后决定转发或者丢弃该包，对进出两个方向上都要进行配置。

状态检测防火墙试图跟踪通过防火墙的网络连接和包，这样防火墙就可以使用一组附加的标准，以确定是否允许和拒绝通信。它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的，因此状态检测防火墙也称动态包过滤防火墙。

电路级网关工作在会话层，用来监控受信任端与不受信任端的主机间的TCP握手信息。它作为服务器接受外来的请求并转发请求，在TCP握手过程中，检查双方的SYN、ACK和序列数据是否合理逻辑，来判断该请求的会话是否合法。一旦该网关认为会话是合法的，就会为双方建立连接，自此网关仅复制、传递数据，而不进行过滤。

应用级网关可以工作在OSI七层模型的任一层上来检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册。

代理服务器作用在应用层，它用来提供应用层服务的控制，在内部网络向外部网络申请服务时起到中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他节点的直接请求。

【试题20分析】答案：入侵检测系统的常用检测方法有特征检测、统计检测和专家系统。

分析：入侵检测系统的常用检测方法有特征检测、统计检测和专家系统。

（1）特征检测对已知的攻击或入侵的方式作出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件相匹配时，即报警。

（2）统计检测统计模型常用异常检测，在统计模型中常用的测量参数包括审计事件的数量、间隔时间、资源消耗情况等。

（3）专家系统对入侵进行检测针对有特征的入侵行为，即规则或知识。它的建立依赖于知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。