网友您好， 请在下方输入框内输入要搜索的题目：
题目内容
（请给出正确答案）
[说明] 某企业为防止自身信息资源的非授权访问，建立了如图4－1所示的访问控制系统。
企业访问控制系统
该系统提供的主要安全机制包括：
12认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制；
13授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策；
14安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷，提出安全改进建议。
12、[问题1] 对该访问控制系统进行测试时，用户权限控制是其中的一个测试重点。对用户权限控制的测试应包含哪两个主要方面？每个方面具体的测试内容又有哪些？（6分）
13、[问题2] 测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。（3分）
14、[问题3] 对该系统安全审计功能设计的测试点应包括哪些？（3分）
企业访问控制系统
该系统提供的主要安全机制包括：
12认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制；
13授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策；
14安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷，提出安全改进建议。
12、[问题1] 对该访问控制系统进行测试时，用户权限控制是其中的一个测试重点。对用户权限控制的测试应包含哪两个主要方面？每个方面具体的测试内容又有哪些？（6分）
13、[问题2] 测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。（3分）
14、[问题3] 对该系统安全审计功能设计的测试点应包括哪些？（3分）
参考答案
参考解析
解析：12、两个方面:
①评价用户权限控制的体系合理性，是否采用三层的管理模式即系统管理员、业务领导和操作人员三级分离；
②用户名称基本采用中文和英文两种，对于测试来说，对于用户名称的测试关键在于测试用户名称的唯一性。
用户名称的唯一性体现有哪些方面？
●同时存在的用户名称在不考虑大小的状态下，不能够同名；
●对于关键领域的软件产品和安全要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与之同名。
13、模拟攻击试验：对于安全测试来说，模拟攻击试验是一组特殊的黑盒测试案例，我们以模拟攻击验证软件或信息的安全防护能力。可采用冒充、重演、消息篡改、服务拒绝、内部攻击、外部攻击、陷阱门、特洛伊木马方法进行测试。
泪滴(teardrop)。泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括service pack 4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。防御措施有服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。
口令猜测。一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户账号，然后因为使用简单的密码或者没有设密码，导致黑客能很快的将口令猜出。当然事实上用蛮力是可以破解任何密码的，关键是是否迅速，设置的密码是否能导致黑客花很大的时间和效率成本。防御措施有要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。
伪造电子邮件。由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的链接。防御措施有使用PGP等安全工具并安装电子邮件证书。 14、对该系统安全审计功能设计的测试点应包括:
①能否进行系统数据收集，统一存储，集中进行安全审计；
②是否支持基于PKI的应用审计；
③是否支持基于XML的审计数据采集协议；
④是否提供灵活的自定义审计规则。
①评价用户权限控制的体系合理性，是否采用三层的管理模式即系统管理员、业务领导和操作人员三级分离；
②用户名称基本采用中文和英文两种，对于测试来说，对于用户名称的测试关键在于测试用户名称的唯一性。
用户名称的唯一性体现有哪些方面？
●同时存在的用户名称在不考虑大小的状态下，不能够同名；
●对于关键领域的软件产品和安全要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与之同名。
13、模拟攻击试验：对于安全测试来说，模拟攻击试验是一组特殊的黑盒测试案例，我们以模拟攻击验证软件或信息的安全防护能力。可采用冒充、重演、消息篡改、服务拒绝、内部攻击、外部攻击、陷阱门、特洛伊木马方法进行测试。
泪滴(teardrop)。泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括service pack 4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。防御措施有服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。
口令猜测。一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户账号，然后因为使用简单的密码或者没有设密码，导致黑客能很快的将口令猜出。当然事实上用蛮力是可以破解任何密码的，关键是是否迅速，设置的密码是否能导致黑客花很大的时间和效率成本。防御措施有要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。
伪造电子邮件。由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的链接。防御措施有使用PGP等安全工具并安装电子邮件证书。 14、对该系统安全审计功能设计的测试点应包括:
①能否进行系统数据收集，统一存储，集中进行安全审计；
②是否支持基于PKI的应用审计；
③是否支持基于XML的审计数据采集协议；
④是否提供灵活的自定义审计规则。
更多 “[说明] 某企业为防止自身信息资源的非授权访问，建立了如图4－1所示的访问控制系统。 企业访问控制系统 该系统提供的主要安全机制包括： 12认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制； 13授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策； 14安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷，提出安全改进建议。 12、[问题1] 对该访问控制系统进行测试时，用户权限控制是其中的一个测试重点。对用户权限控制的测试应包含哪两个主要方面？每个方面具体的测试内容又有哪些？（6分） 13、[问题2] 测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。（3分） 14、[问题3] 对该系统安全审计功能设计的测试点应包括哪些？（3分）” 相关考题
考题
如图4-1所示，要求在防火墙上配置ACL允许所有Internet主机访问DMZ中的 Web服务器，请补充完成ACL规则300。access-list 300 permit tcp (11) host 10.0.0.10 eq (12)
考题
访问控制是信息安全管理的重要内容之一，以下关于访问控制规则的叙述中，（） 是不正确的。A.应确保授权用户对信息系统的正常访问B.防止对操作系统的未授权访问C.防止对外部网络未经授权进行访问，对内部网络的访问则没有限制D.防止对应用系统中的信息未经授权进行访问
考题
阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某企业为防止自身信息资源的非授权访问，建立了如下图所示的访问控制系统。
该系统提供的主要安全机制包括：(1)认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制；(2)授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策；(3)安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷， 提出安全改进建议。【问题1】(6分)对该访问控制系统进行测试时，用户权限控制是其中的一个测试重点。对用户权限控制的测试应包含哪两个主要方面？每个方面具体的测试内容又有哪些？
【问题2】(3分) 测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。
【问题3】(6分)对该系统安全审计功能设计的测试点应包括哪些？
考题
试题四 (共 2S 分)阅读以下关于数据库设计的叙述，在答题纸上回答问题 1 至问题 3。【说明】某制造企业为拓展网上销售业务，委托某软件企业开发一套电子商务网站。初期仅解决基本的网上销售、订单等功能需求。该软件企业很快决定基于.NET 平台和 SQL Server 数据库进行开发，但在数据库访问方式上出现了争议。王工认为应该采用程序在线访问的方式访问数据库:而李工认为本企业内部程序员缺乏数据库开发经验，而且应用筒单，应该采用 ORM方式。最终经过综合考虑，该软件企业采用了李工的建议。随着业务的发展，该电子商务网站逐渐发展成一个通用的电子商务平台，销售多家制造企业的产品，电子商务平台的功能也日益复杂。目前急需对该电子商务网站进行改造，以支持对多种异构数据库平台的数据访问，同时满足复杂的数据管理需求。该软件企业针对上述需求，对电子商务网站的架构进行了重新设计，新增加了数据访问层，同时采用工厂设计模式解决异构数据库访问的问题。新设计的系统架构如图 4-1 所示。
【问题 1】 (9 分)请用 300 字以内的文字分别说明数据库程序在线访问方式和 ORM 方式的优缺点，说明该软件企业采用 ORM 的原因。
【问题 2】 (9 分)请用 100 宇以内的文字说明新体系架构中增加数据访问层的原因。请根据图 4-1 所示，填写图中空白处(1) - (3)。【问题 3】 (7 分) -应用程序设计中，数据库访问需要良好的封装性和可维护性，因此经常使用工厂设计模式来实现对数据库访问的封装。请解释工厂设计模式，并说明其优点和应用场景: 请解释说明工厂模式在数据访问层中的应用。请用 100 宇以内的文字说明新体系架构中增加数据访问层的原因。请根据图 4-1 所示，填写图中空白处(1) - (3)。
考题
OSI安全体系结构定义了五种安全服务，（）用于防止对资源的非授权访问，确保只有经过授权的实体才能访问受保护的资源A、安全认证服务B、访问控制安全服务C、数据保密性安全服务D、数据完整性安全服务
考题
单选题数据信息资源的访问控制指（）A
允许访问者访问即访问者可获取、拷贝或其他访问者需要的操作B
允许访问者访问即访问者按访问权规定的的方式访问数据信息资源C
编制一份授权实体清单并保持不变D
如果访问时间足够短则不须提请批准
考题
单选题OSI安全体系结构定义了五种安全服务，（）用于防止对资源的非授权访问，确保只有经过授权的实体才能访问受保护的资源A
安全认证服务B
访问控制安全服务C
数据保密性安全服务D
数据完整性安全服务
考题
判断题访问控制的作用只能防止部分实体以任何形式对任何资源进行非授权的访问A
对B
错
热门标签
最新试卷
