中国大学mooc网络安全——应用技术与工程实践作业答案查询-k8凯发

k8凯发-凯发官网入口优学院题库 正文

网络安全应用技术与工程实践基础

1.1 走进网络空间安全随堂测验

1、网络空间安全可以简单地等同于信息安全问题。

2、网络空间其实就是物理空间，不存在虚拟空间的因素。

1.2 信息、信息系统与网络空间随堂测验

1、网络空间就是一个纯粹的虚拟空间。

2、从数据、信息、知识再到智能，抽象程度依次递减。

1.3 网络空间视角下的信息安全随堂测验

1、在网络空间形成的背景下，信息系统和信息的安全问题有了新的表现形式。

2、云计算作为一种新的信息系统形态和应用，存在着与传统信息系统所不同的特殊安全问题。

1.4 信息安全属性及信息安全定义随堂测验

1、信息安全的基本属性（基本要求）包括：a、机密性(保密性)；b、完整性；c、可用性；d、可控性
    a、机密性(保密性)
    b、完整性
    c、可用性
    d、可控性

1.4 信息安全属性及信息安全定义随堂测验

1、信息安全的cia基本属性包括：机密性（保密性）、（ ）、可用性。
    a、完整性
    b、不可否认性
    c、抗抵赖性
    d、可控性

2、信息安全的基本属性（要求）非常重要，扩展属性作用不大、可以忽略。

1.5 有关网络空间安全的若干基本观点随堂测验

1、网络信息系统绝对安全，既无可能，也无必要。

《走进网络空间安全》单元测验

1、香农认为，信息是消除（ ）的东西。
    a、随机不确定性的东西
    b、概率分布
    c、模糊性
    d、未知性
    e、随机过程

2、（）被称为全球第五维空间。
    a、陆地
    b、海洋
    c、空域
    d、天域（太空）
    e、网络空间

3、网络空间（cyberspace）由（）和space（空间）组合而得名。
    a、cybernetics（控制论）
    b、data
    c、information
    d、knowledge

4、计算模式是信息系统计算要素所呈现的（）。
    a、结构因素
    b、结构模式
    c、分析模式
    d、处理模式

5、网络空间的活动对象是从物理设施扩展到（）。
    a、人的活动
    b、人类思维
    c、网络对抗
    d、信息系统新形态
    e、物联网

6、网络空间的典型特征有（）
    a、无所不在
    b、无所不控
    c、虚实结合
    d、多域融合
    e、边界清晰

7、信息安全性的基本要求有
    a、机密性（完整性）
    b、完整性
    c、可用性
    d、不可否认性

8、信息系统是（）信息的载体。
    a、获取（采集或收集）
    b、存储
    c、传输
    d、处理
    e、输出

9、信息安全的扩展属性（要求）包括：（）。
    a、不可否认性（抗抵赖性）
    b、可认证性
    c、可控性
    d、保密性

10、马路上的交通监控摄像头（电子眼）不属于网络空间的范畴。

11、某个网络服务虽然崩溃了，但是其数据没有丢失或泄露，因此该网络系统仍然处于安全状态。

12、电力控制系统网络属于关键信息基础设施，因此它也是网络空间信息系统的重要形态之一。

13、网络安全事关国家主权和国家安全。

14、信息安全就是网络安全。

15、北京理工大学校园网属于内部网络，因此是有可能采取措施保证其绝对安全的。

16、与完整性不同，不可否认性除了关注信息内容认证本身之外，还可以涵盖收发双方的（ ）。

17、信息的（）是指信息未经授权不能进行改变。

18、网络空间是人类、自然与社会以及国家的公域空间，具有（）的性质，构成了人类全球五大空间的新认知。

19、供应链安全控制属于信息（）的范畴。

《走进网络空间安全》单元作业

1、网络空间信息系统的新形态和新应用有哪些？

网络安全技术体系

2.1 网络安全技术体系概述随堂测验

1、网络安全技术体系和管理体系都非常重要。

2.2 网络安全风险及其技术防范随堂测验

1、网络信息系统的安全风险，除了跟其业务密切相关之外，还有资产、脆弱性和威胁密切相关。

2.3 网络安全系统科学思想与系统工程方法随堂测验

1、网络安全防御体系的构建，可以说是一项系统工程。

2.4 网络安全防御体系能力的形成随堂测验

1、网络安全滑动标尺模型包括（ ）和攻击反制。
    a、基础架构安全
    b、被动防御
    c、主动防御
    d、智能分析

2、网络信息系统的安全能力，是一种安全体系能力。

2.5 网络安全法律法规及标准规范随堂测验

1、在网络安全领域，国内外都制定了一系列法律法规，比如我国颁布实施了《中华人民共和国网络安全法》。

2、我国实行的网络安全等级保护制度，将网络安全等保保护分为3个级别。

《网络安全技术体系》单元测验

1、网络安全风险涉及信息系统的业务使命、资产的价值、脆弱性及其面临的（）。
    a、威胁
    b、恶意破坏
    c、人为攻击
    d、系统崩溃
    e、数据丢失

2、（）是指信息系统客观存在的某种固有特性或威胁。
    a、脆弱性
    b、可用性
    c、风险
    d、攻击

3、（）揭示了信息的获取、度量、变换、储存以及传递等问题的基本规律。
    a、信息论
    b、控制论
    c、现代系统科学理论
    d、系统论
    e、整体论

4、（）模型将安全防御分为逻辑递进的五类。
    a、滑动标尺
    b、pdca
    c、ooda
    d、p2dr

5、（）是中国颁布的指导中国网络空间安全建设的第一部专门法律。
    a、《网络安全法》
    b、《密码法》
    c、《保守国家秘密法》
    d、《国家安全法》

6、常用的网络安全模型有（）。
    a、滑动标尺模型
    b、p2dr模型
    c、pdca模型
    d、ooda模型

7、以下属于滑动标尺模型的典型阶段的有（）。
    a、基础架构安全
    b、被动防御
    c、主动防御
    d、智能分析
    e、攻击反制（或反制攻击）

8、以下属于系统论的基本原理的有（）。
    a、整体性原理
    b、关联性原理
    c、层次性原理
    d、统一性原理
    e、开放性原理
    f、还原性原理

9、典型的系统工程方法论有（）。
    a、霍尔三维结构方法论
    b、切克兰德方法论
    c、从定性到定量的系统综合方法
    d、基于模型的系统工程（mbse）

10、基于安全防御体系，融合各种安全要素、防御设施（单元、组件和系统），以一体化综合防御为主要形式，以分布式防御为基本方式，在攻防双方体系对抗中表现出来的态势感知、纵深防御、快速响应、全维保障等整体安全能力。

11、主动防御、智能分析以及反制攻击等层面也是动态进行的。

12、网络安全系统的各个层次和各个要素，必须考虑其层次性、动态平衡性等。

13、关键信息基础设施与网络安全应保持三同步：同步规划、同步测试、同步使用。

14、自然灾难等非人为因素也是网络信息系统的重要安全风险源。

15、安全防御系统的建设应从滑动标尺（）依次实施和完善。（提示：回答由左向右还是由右向左）

16、网络安全技术体系技术防范的目的是，围绕业务使命，保护资产价值、减少（）、有效应对面临的威胁。

17、信息系统实行网络安全等级保护，分为（）个等级。

18、按照可操作程度，策略文件体系分为（）级。

网络基础架构安全技术

3.1 基础架构安全概述随堂测验

1、网络基础架构安全是网络安全防御体系构建中的最基础阶段。

3.2 物理与环境安全随堂测验

1、物理环境安全，对于网络安全防御体系构建来说非常重要。

3.3 网络与主机安全随堂测验

1、从安全、可控的角度，中国应大力发展国产操作系统和数据库。

3.4 加密与认证技术（3.4.1 密码学基础知识）随堂测验

1、严格来讲，用户名/密码之密码和密码学之密码并不是同一个概念。

3.4 加密与认证技术（3.4.2 对称密码与非对称密码技术）随堂测验

1、分组密码需要特定的工作模式来配合使用，而工作模式则有多种。

3.4 加密与认证技术（3.4.3 摘要算法与加密算法的认证应用）随堂测验

1、pgp是一套经典的消息加密、验证的应用程序，广泛应用于电子邮件等多个领域。

3.4 加密与认证技术（3.4.4 密码学领域的中国智慧和中国贡献）随堂测验

1、中国科学家和工程师在量子密码等领域为人类科学的进步做出了若干贡献。

3.5 协议安全与安全协议随堂测验

1、在工业控制领域，工控网络使用了很多工业控制协议，其中很多协议与tcp/ip显著不同，需要特别关注。

3.6 应用软件（系统）安全实现（上）随堂测验

1、要保证应用软件安全，需要从软件全生命周期来统筹考虑。

3.6 应用软件（系统）安全实现（下）随堂测验

1、安全编码和安全测试，是保障应用软件安全的重要环节。

3.7 备份与灾难恢复技术随堂测验

1、恢复时间目标(rto)与恢复点目标(rpo)是系统恢复的重要指标。

网络基础架构安全技术测验与作业

《网络基础架构安全技术》单元测验

1、物理和环境安全中，物理位置的选择以下说法正确的是（）
    a、机房场地应选择在具有防震、防风和防雨等能力的建筑内。
    b、在建筑物的顶层或地下室，不需要加强防水和防潮措施。
    c、物理位置选择只要能放下设备就行。
    d、我国北方地区很少降雨，因此不需要考虑防水防潮。

2、物理和环境安全中，有关电磁防护以下说法正确的是（）
    a、电源线和通信线缆应隔离铺设，避免互相干扰。
    b、应对所有设备实施电磁屏蔽。
    c、现代的网络设备设计都考虑了电磁防护，因此机房再考虑电磁防护，纯属多此一举。
    d、电磁防护是机房建设运行的事情，跟网络安全体系构建无关。

3、对于云计算、移动互联、物联网、工业控制系统等网络空间信息系统新形态新应用，在通用要求的基础上，（）。
    a、还需要提出特殊的保护要求
    b、不需要提出特殊的保护要求
    c、通用要求已经够完善了。
    d、提出特殊的保护要求，会增加投资，得不偿失。

4、对于云计算系统来说，以下说法正确的是（）。
    a、还要求保证云计算基础设施位于中国境内，确保云服务客户数据、用户个人信息等存储于中国境内
    b、只要境外的安全保障措施完备，云计算基础设施可以部署在中国境外
    c、只要境外的安全保障措施完备，云服务客户数据可以存储在中国境外
    d、只要境外的安全保障措施完备，用户个人信息可以存储在中国境外

5、应按照不同区域的不同功能和安全要求，合理划分网络安全区域。以下做法错误的是（）。
    a、将网络划分为不同的安全域
    b、确定网络边界
    c、实施不同的安全策略
    d、安全域的划分，只要方便管理即可，无需考虑业务类别及其重要程度

6、操作系统安全问题，以下说法错误的是（）。
    a、操作系统通常自带安全机制，不需要进行相关安全配置和防护。
    b、操作系统安全是指操作系统自身及其所存储、传输和处理的信息的保密性、完整性和可用性。
    c、操作系统的安全由操作系统安全子系统来保障，包括硬件、固件、软件和负责执行安全策略的组合体。
    d、操作系统面临的安全威胁来自许多方面，包括操作系统的安全功能不足、自身安全可能存在缺陷、安全保障不够等。

7、以下关于密码学的说法错误的是（）。
    a、现代信息技术飞速发展，出现了很多安全新技术和新应用。虽然密码学的历史很悠久，但现在正逐步退出网络信息安全的历史舞台。
    b、加密与认证技术的基础是密码学（cryptology）
    c、密码学堪称网络空间安全保障的关键技术和重要基石
    d、在信息安全属性（保密性、完整性、可用性以及不可否认性等）保障方面应用广泛。没有密码技术的应用，网络空间安全保障就无从谈起

8、以下不属于新密码体制的是（）
    a、对称密码
    b、dna密码
    c、量子密码
    d、混沌密码

9、判断一种密码体制是否“良好”的条件，以下说法不正确的是（）。
    a、给定加密算法、加密密钥与明文，易得密文。反之亦然
    b、解密算法和解密密钥未知，则不可能由密文推知明文消息
    c、密文不应使别人看起来觉得异样或产生怀疑
    d、必须要寻求一种绝对安全的密码

10、常用对称密码算法有（ ）等。
    a、des、3des、aes
    b、des、3des、rsa
    c、des、rsa、aes
    d、rsa、3des、aes

11、关于对称密码算法，以下说法正确的是（）。
    a、安全性依赖于密钥，密钥一旦泄露就会造成严重的安全隐患
    b、对称密码比非对称密码更为复杂
    c、分组密码不需要工作模式的配合
    d、对称密码太过简单，现在已经逐渐被淘汰了

12、关于非对称密码体制，以下说法正确的是（）。
    a、公钥，是指公钥密码体制使用的一对加密密钥与解密密钥中的公开密钥（public key，即公钥），与之相对的是需要保密的私有密钥（private key，即私钥）
    b、应用非对称密码体制只有加密模式
    c、公钥密码体制的基本原理是通过一类正向难于计算、反向易于计算的函数来实现公钥密码的构造
    d、rsa非对称密码算法的核心思想是利用大整数的因数分解难题

13、以下有关网络安全协议说法正确的是（）。
    a、常用的网络安全协议有链路层扩展协议l2tp、ip层安全ipsec、传输层安全ssl和tls、会话安全ssh、代理安全socks、网管安全snmpv3、认证协议kerberos以及应用安全协议pgp和https等
    b、tcp/ip协议久经考验，非常成熟，几乎没有安全问题
    c、工业控制系统不会面临特殊的协议安全问题
    d、有了ipv6之后，网络协议的安全问题迎刃而解

14、以下有关应用软件安全的说法，正确的是（）。
    a、软件工程有一套软件质量的开发方法、过程与工具，据此有可能开发出高质量的软件代码，不需要考虑安全问题。
    b、软件质量的衡量标准主要是易用性、可重用性和可维护性，而软件安全的衡量标准则主要是我们常说的保密性、完整性和可用性。
    c、应用软件安全工程涉及安全需求获取、安全分析设计、安全编码、安全测试等开发生命周期，但不受应用软件自身、软件开发者、开发环境、运行环境等环境因素影响
    d、安全编码实现是保障应用软件安全的重要环节，绝对要完全取决于编程者的水平和经验

15、以下有关应用软件安全测试的说法，不正确的是（）。
    a、应用软件安全测试是指有关验证软件安全功能与识别潜在安全缺陷的过程。
    b、应用软件安全测试分为安全功能测试和安全漏洞测试。
    c、应用软件安全测试方法很多，从测试策略、测试对象和测试流程上来说，又分为正向测试和逆向测试两大类
    d、应用软件安全工程，从安全需求、安全编码等方面已经做了充足的安全保障，安全测试其实可有可无

16、有关备份与灾难恢复技术，以下说法错误的是（）。
    a、只要制定并实施了完备的备份与灾难恢复技术措施，其余安全防范措施并无太大必要。
    b、需要对系统进行必要、充分的备份和应急准备工作，以便保证系统安全（特别是数据安全），并在出现灾难时在备份基础上进行灾难恢复
    c、存储是备份的实现方式，是备份和灾难恢复的物理基础
    d、系统备份是灾难恢复的前提，旨在系统和信息数据的重新利用。灾难恢复是基于存储和备份，将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，实现信息系统和数据的恢复

17、关于直接连接存储（direct-attached storage，das），以下说法错误的是（）。
    a、直接连接存储属于封闭系统的存储技术
    b、直接连接存储（direct-attached storage，das）多通过scsi、fc等接口实现存储设备与一台以上的主机/服务器直接相连，主机/服务器的i/o请求直接发送到存储设备，无需通过局域网交换设备
    c、这种存储方式依赖与其连接的主机/服务器来实现存储管理，存储设备本身不带有任何存储操作系统
    d、直接连接存储的数据存储、备份和恢复需要占用所连接的主机/服务器资源

18、根据传输接口协议的不同，网络存储又分为（）。
    a、网络接入存储（network-attached storage，nas）和存储区域网络（storage area network，san）
    b、网络接入存储（network-attached storage，nas）和直接连接存储（direct-attached storage，das）
    c、直接连接存储（direct-attached storage，das）和存储区域网络（storage area network，san）
    d、网络接入存储（network-attached storage，nas）、存储区域网络（storage area network，san）和直接连接存储（direct-attached storage，das）

19、关于备份的作用与对象，以下说法正确的是（）。
    a、备份是网络基础架构安全的重要组成部分，旨在保障业务数据安全和系统服务连续性，具体包括数据备份和应用备份。
    b、备份其实就是数据备份。
    c、备份其实就是应用备份。
    d、现代信息网络高度发达，备份会加大系统建设成本，完全劳民伤财、杞人忧天。

20、数据备份策略通常（）。
    a、包括完全备份（full backup）、差异备份（differential backup）和增量备份（incremental backup）
    b、仅有完全备份（full backup）和增量备份（incremental backup）
    c、仅有完全备份（full backup）和差异备份（differential backup）
    d、仅有差异备份（differential backup）和增量备份（incremental backup）

21、关于容灾与灾难恢复系统的设计指标，以下说法正确的是（）
    a、rto是指灾难发生后系统和数据必须恢复到的时间点要求，表征业务系统所能容忍的数据丢失量，当业务恢复后，可以达到灾难发生前那个时间点相同的工作状态
    b、容灾和灾难恢复系统的设计能力目标与层次，需要用一些定量指标来衡量，常用指标有rto（recovery time objective，恢复时间目标）、rpo（recovery point objective，恢复点目标）、nro（network recovery objective，网络恢复目标）和doo（degraded operations objective，降级运行指标）
    c、rpo是指灾难发生后信息系统或业务功能从停顿到必须恢复的时间要求，它是业务停止服务所能容忍的最长时间，规定了业务恢复的时间约束。
    d、确定rto、rpo、nro和doo等恢复能力指标要求，可以不计成本追求恢复能力指标越高越好。

22、基础架构安全在整个安全防御体系中具有极为重要的基础性地位，没有安全的基础架构，整个安全防御体系将成为无本之木和空中楼阁，难以真正发挥安全防御作用。

23、要想构建安全的基础架构，必须解决系统环境、系统结构和系统实现的安全问题，涉及到物理和环境、网络与主机、加密与认证、安全协议（ipv4、ipv6、工控专有协议等）与协议安全、应用软件、备份与灾难恢复等诸多方面。

24、物理和环境安全对于信息系统的保密性、完整性、可用性等各方面的能力供给至关重要。

25、物理和环境安全的重点是针对物理机房的安全控制，关注的对象包括物理环境、物理设备和物理设施等，因此，物理和环境安全无关紧要。

26、物理和环境安全，涉及到的大多是“传统的”安全风险防范措施，这些技术措施通常技术含量不高，在工程实践中，难以发挥至关重要的基础保障作用。

27、移动互联网络的无线接入点（access point，ap）应选择合适的物理位置，以避免过度覆盖和电磁干扰。

28、物联网应特别注意感知节点设备物理防护，应保证感知节点设备物理环境不对其造成物理破坏，因此，可以适当牺牲其正确反映环境状态的能力，对其正常工作造成影响也可以接受。

29、很多网络架构存在脆弱性，无法有效应对安全隐患、安全风险，无法有效抵御网络攻击。

30、网络架构的构建，首先是要适当选择网络设备。建设计划的初始阶段，适当选择网络设备；根据服务系统的实际需要，确定设备的基本技术参数；网络设备服务的处理能力必须满足最大的业务需求。

31、以迪菲和赫尔曼《密码学的新方向》论文发表为标志，非对称加密体制思想得以传播并广泛应用。在此后的发展过程中，以计算机和网络为代表的现代信息技术在发挥了重要的支撑、推动和引领作用。而dna密码、量子密码、混沌密码等新密码体制的出现及应用，更是证明了密码学的强大生命力。

32、密码理论及应用堪称是网络空间安全的最重要基础之一，在保障信息安全的保密性、完整性、可用性、不可否认性、可认证性等方面具有极为重要的作用。

33、序列密码是对明文逐字符（或逐位）加密，加密变换随时间而变，处理速度快、误差传播少，但其扩散（混淆及扰乱）不足、对插入及修改不敏感，常用算法有rc4、a5等。

34、分组密码则是将明文分成若干个包含多个字符的组，逐组加密，加密变换固定不随时间而变，扩散性好、对插入敏感，但其处理速度慢、错误易传播，常用算法有des、3des、aes等。

35、在工程实践中，需要选择合适的分组加密算法与工作模式组合，用于实际加解密。

36、分组密码工作模式主要有ebc（electronic code book，电子密码本）、cbc（cipher block chaining，密文链接）、cfb（cipher block feedback，密文反馈）、ofb（output feedback，输出反馈）与ctr（counter，计数器）等模式

37、在实际应用中，通常综合利用对称密码体制和公钥密码体制二者的优点，采用对称密码体制进行数据加密，而对其加密密钥采用公钥密码体制加密，这种混合加密较好地实现了加密强度、运算效率与密钥分配管理之间的平衡。

38、数字签名采用电子形式实现鉴别，用于鉴定签名人的身份及数据内容的认可，防止源点或终点抵赖或欺骗。具体来说，是信息通信的发送方在发送的数据单元上附加特定的数据或对该数据单元作密码变换。

39、一个数字签名及验证的基本过程分为系统初始化、签名生成和签名验证三步，签名过程涉及加密操作，而签名验证则涉及解密操作。

40、密钥密钥管理至关重要，涵盖密钥产生到密钥销毁的全生命周期，具体包括密钥生成、密钥分发、密钥验证、密钥更新、密钥存储、密钥备份、密钥销毁等各个环节。

41、国家对密码实行分类管理，密码分为核心密码（核密）、普通密码（普密）和商用密码（商密）。核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级。核心密码、普通密码属于国家秘密。

42、商用密码用于保护不属于国家秘密的信息。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。

43、构建网络安全协议的基本方法是，以osi网络层次及tcp/ip协议族为基础，通过加密、认证及相关协议进行密码学安全加固。根据在osi模型上的作用层次不同，网络安全协议也分为多种类型。

44、kerberos是一种基于可信第三方—密钥分配中心（key distribution center，kdc）的高效网络认证协议（network authentication protocol），通过密钥系统为客户机 / 服务器应用程序提供认证服务。

45、pgp加密由一系列散列、数据压缩、对称密钥加密，以及公钥加密的算法组合而成。

46、https（hyper text transfer protocol over securesocket layer，超文本传输安全协议）旨在建立安全的http通道，在http的基础上通过传输加密和身份认证保证了传输过程的安全性。https 在http 的基础下加入tls/ssl 层。

47、计算机软件通常分为系统软件（system software）和应用软件（application software）两大类，而应用软件旨在满足用户不同领域、不同问题的应用需求，在信息系统中占用重要地位，因此需要保证应用软件的安全性，而这种安全性的实现又必须通过软件安全工程来保障。

48、在实施软件安全工程的时候，需要以软件开发者和攻击者的双重视角来考虑其安全问题。应用软件安全工程是网络安全系统科学思想与工程方法在应用软件安全实现领域的具体应用，是软件工程与安全工程的融合，旨在以安全开发和安全攻击对立统一的角度，来构建应用软件安全的最佳实践。

49、国际上提出了很多应用软件安全编码标准与指南，以促进安全编码最佳实践。较著名的有：cert常用编程语言安全编码标准；msdn安全社区和编写安全代码实践；美国卡内基梅隆大学c、c 、java等语言安全编码标准；国际汽车工业软件可靠性联会（misra）工业标准级c编程规范等。

50、根据存储数据i/o与控制信息是否使用同一通道，虚拟化存储可分为带内虚拟化（in-band，对称虚拟化）和带外虚拟化（out-band，非对称虚拟化）。

51、虚拟化存储又可分为基于主机的虚拟化存储（逻辑卷管理软件安装在应用服务器上）、基于网络的虚拟化存储（通过存储网络san的专用装置）以及基于存储设备的虚拟化存储（通过存储于系统的控制器）。而这三种虚拟化，又可以分为块虚拟化、磁盘虚拟化、磁带库虚拟化、文件系统虚拟化、文件/记录虚拟化等。

52、数据备份是容灾系统的基础，也是容灾系统可正常工作的保障。应用备份则是容灾系统的建设目标，须建立在可靠的数据备份的基础上，通过应用系统、网络系统等各种资源之间的良好协调来实现。

53、rto与rpo是容灾和灾难恢复系统的最重要指标，rto针对的是服务丢失，而rpo针对的则是数据丢失，其值越小，容灾系统的可用性就越高，所需投资也越大。

54、灾难恢复目标的确定是灾备系统规划建设的核心环节，以风险分析和业务影响分析结果为基本前提和决策依据。首先是确定业务系统的关键业务功能及恢复的优先顺序，然后再根据各个业务功能的具体情况，分别确定rto、rpo、nro和doo等恢复能力指标要求，再综合考虑成本因素，进而选出可满足上述能力指标的容灾备份技术

55、谓数字证书，是一种经ca数字签名的包括公钥所有者信息以及公钥在内的权威性电子文档，包含了证书所有者公钥等标志各方身份信息的一系列数据。该证书由权威公正的第三方机构ca来签发，具有一定的有效期，用来证明某实体的身份及其公钥的匹配绑定关系及合法性。

《网络基础架构安全技术》单元作业

1、请分别说出两种以上的常用对称加密算法、两种以上的常用非对称加密算法、两种以上的常用摘要算法。

网络安全被动防御技术体系

4.1 网络安全被动防御技术体系概述随堂测验

1、数据过滤是防火墙最基本的功能之一。具体实现可分为包过滤、应用代理以及状态检测等，区别在于数据流语义理解以及包解析深度的差异。

2、应用代理过滤机制因主要工作于应用层而得名。应用代理（proxy）是采用代理设备实现外网（不受信任网络）和内网（受信任网络）隔离，代理设备被设计成针对http、ftp、smtp或telnet等应用层协议的单一机器。

4.2 防火墙技术（上，概念、分类及实现技术）随堂测验

1、网络空间的信息系统由网络设备、服务器及主机、子网、协议集合及应用软件等组件组成的综合系统，其中存在的脆弱性和漏洞是网络攻击能够得逞的基本前提和根源。

2、从根本上来说，脆弱性现象是信息系统的一种客观存在，脆弱性的发现、利用和防御是网络攻防的焦点，在某种程度上，信息安全脆弱性已经成为攻防双方博弈的核心要素之一。

4.2 防火墙技术（下，性能指标与应用部署）随堂测验

1、脆弱性攻击防范的最终目的是实现脆弱性消减，而脆弱性消减则需要用到脆弱性预防、补丁修复、安全加固等技术。

2、注入攻击是将不受信任的数据作为命令或查询的一部分发送给解析器，可产生sql、nosql、os和ldap等注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。

4.3 脆弱性与漏洞检测及防范技术（上，漏洞分类及检测分析）随堂测验

1、恶意代码通常是指故意编制或设置的、经由存储介质和网络传播、安装或运行于信息系统之中、在信息系统所有者不知情的情况下对网络或系统会产生现实威胁或潜在威胁的代码

2、实际网络环境中的一种恶意代码自身会兼具多种恶意代码特征，而且多种恶意代码会通过一定的方式实现组合化、复杂化，不仅破坏威力大增，更加大了检测和防护难度。

4.3 脆弱性与漏洞检测及防范技术（下，脆弱性攻击防范技术）随堂测验

1、在进行恶意代码防范时，需要综合考虑恶意代码的生成机理、传播机制、隐藏机制、触发机制和破坏机制。

2、为了实现对恶意代码的综合防范，从恶意代码的全生命周期出发，制定相应的恶意代码防范策略，采用入侵检测、防入侵可信系统、防病毒、虚拟技术、诱骗系统等各种工具和手段，实施恶意代码预防、检测、分析、响应，尽量在生命周期早期切断其生命链，从而达到抑制、遏制的目的。

4.4 恶意代码检测及防范技术（上，概念、分类及特征）随堂测验

1、入侵是指对信息系统的未授权访问，这种访问可能会破坏信息系统及信息的保密性、完整性或可用性。

2、入侵行为的实施，通常不会利用信息系统的各种脆弱性（包括漏洞、配置错误和实施缺陷等）。

4.4 恶意代码检测及防范技术（下，分析检测与防范治理）随堂测验

1、ids的核心功能模块包括安全数据采集、入侵分析、入侵响应等。

2、入侵分析技术有异常检测（anomaly detection）和误用检测（misuse detection）之分。

4.5 入侵检测技术（上）随堂测验

1、ids性能指标通常有准确性、效率、可用性以及自身安全性等类别。

2、在网络安全工程实践中，ids产品形态、结构、功能及性能各异，选择合用的ids需要综合考虑多方面因素，具体包括整体安全策略、应用环境、已有安全机制、ids性能、管理配置特性以及成本等。

研究型学习材料：工业防火墙的设计随堂测验

1、应用工业防火墙，主要考虑工业环境适应性、网络隔离、工业通信协议识别、过滤及解析、实时性与可靠性以及自身防护等方面。

2、工业防火墙还应遵循不同应用场景的工业控制标准规范，比如，在发电厂和变电站环境中应遵循iec 61850-3和ieee 1613标准。

研究型讨论：病毒导致手机爆炸，是确有可能，还是耸人听闻？随堂测验

1、全面治理手机病毒，净化网络空间，只需在手机中装上杀毒软件即可。

2、手机挖矿类型病毒的防范，应该从多方面来考虑，要打好防毒组合拳。

研究型学习材料：慎点！来历不明的疫情邮件或是黑客陷阱随堂测验

1、“白利用”手法具体有两种实现途径，一是通过正常程序自身的漏洞使该程序可被远程控制，二是木马制作者利用社会工程学等方法，让木马躲过恶意代码查杀工具和沙箱（一种网络编程虚拟执行环境）等主动防御机制，从而鱼目混珠，混入白名单之中。

2、“水坑攻击”无需专门制作钓鱼网站，而是利用了合法网站的脆弱性，因而具有更高的隐蔽性。

单元测验

1、最初，防火墙被用于实现网络访问控制，部署在不同网络或不同安全域之间。随着计算机网络技术的发展和安全形势的日益加剧，防火墙技术也在不断演进，形态和技术特征发生了显著的变化。

2、防火墙作用于网络攻防对抗环境，承受较强的网络通信监测及自身抗攻击压力，自身必须具备较高的安全性和可靠性，方可有效实现其功能。

3、工程实践所用的防火墙通常兼具不同分类的特征。

4、防火墙的实现技术决定了其性能指标，各种实现机理各不相同，对性能指标的影响也不一样。

5、包过滤（亦称分组过滤）防火墙采用静态包过滤方式，过滤规则作用于osi的网络层（ip层）和传输层（tcp层），检查数据包的ip头、tcp/udp头，根据该规则来判定数据包的丢弃或接受，而且屏蔽特定的tcp/udp端口即可禁止相应的服务。

6、应用代理过滤机制因主要工作于网络层。

7、防火墙只能通过软件方式来实现。

8、拟防火墙主要采用了虚拟化的实现方式。这种实现方式是在逻辑上将物理实体防火墙虚拟划分为多个防火墙，每个虚拟防火墙系统均可视为拥有独立系统资源、安全策略的独立防火墙。

9、网络空间的信息系统由网络设备、服务器及主机、子网、协议集合及应用软件等组件组成的综合系统，其中存在的脆弱性和漏洞是网络攻击能够得逞的基本前提和根源。

10、漏洞是存在于信息系统之中的、作用于一定环境的、可能被利用且会对系统中的组成、运行和数据造成损害的一切因素。

11、国内较知名的漏洞库有通用漏洞与披露（common vulnerabilities and exposures，cve）、通用漏洞列表（common weakness enumeration，cwe）、中国国家信息安全漏洞库（china national vulnerability database of information security，cnnvd）、国家信息安全漏洞共享平台”（china national vulnerability database，cnvd）等。

12、系统安全漏洞可根据访问路径、对其系统造成的影响程度（破坏性、危害性、严重性）以及漏洞被利用的复杂程度为依据对各种系统安全漏洞进行分级。

13、脆弱性攻击防范的最终目的是实现脆弱性消减，而脆弱性消减则需要用到脆弱性预防、补丁修复、安全加固等技术。

14、恶意代码的具体形态很多，但大致可以分为病毒（virus）、蠕虫（worm）、木马（trojan）、间谍软件（spyware）、僵尸程序（bot）、恶意脚本（malicious script）、流氓软件（badware）、逻辑炸弹（logic bomb）、后门（backdoor）、网络钓鱼工具（phishing）等类别。

15、实际网络环境中的一种恶意代码自身会兼具多种恶意代码特征，而且多种恶意代码会通过一定的方式实现组合化、复杂化，虽然破坏威力大增，但也降低了检测和防护难度。

16、恶意代码的特征只能提取自恶意代码的结构自身。

17、在进行恶意代码防范时，只需要考虑恶意代码的传播机制和破坏机制。

18、恶意代码被检测之后的处理技术，只能进行恶意代码清除。

19、入侵是指对信息系统的未授权访问，但这种访问不可能会破坏信息系统及信息的保密性、完整性或可用性等。

20、入侵行为的实施，通常不会利用信息系统的各种脆弱性（包括漏洞、配置错误和实施缺陷等）。

21、入侵检测技术发展至今，已经形成了庞大的ids产品家族。这些ids，在安全数据来源、检测原理、系统管理架构、网络协议以及应用领域等方面均相同。

22、实际的ids可能会兼具多种分类标准的组合特征，某些ids甚至会兼具同一分类下的多种特征。例如，有的ids兼具了ipv4和ipv6的检测规则，而有的ids则兼用了异常检测和误用检测方法，以增强适用性或提升检测能力。

23、ids的核心功能模块包括安全数据采集、入侵分析、入侵响应等。

24、误用检测假设入侵行为与网络正常行为存在较大差异，预先定义表征正常主体行为的一组属性特征，采集主体的大量正常活动信息，通过统计方法来构建主体正常活动的“行为轮廓（profile）”。一旦网络行为超出给定的轮廓阈值，即判定为“入侵”行为。

25、异常检测假设已知攻击行为可采用特定模型或规则来表示，从而可用网络行为特征来检测入侵行为。将各入侵事件的模式定义为一个违背安全策略事件的独立特征，构建攻击特征集，如果网络行为与上述特征集中的已知攻击特征相匹配，就判定为“入侵”行为。

26、异常检测通用性较强，对未知模式的新攻击具有一定检测能力，但其无法准确判别出攻击类型。

27、误用检测需要实现构建并维护较为完备的入侵检测特征知识库，能够有效检测已知类型攻击，但对未知模式的新攻击检测能力不足，而且其检测能力高度依赖于入侵检测特征知识库的完备性。

28、ids的检测率、误报率与准确性具有一定的相关性。提高检测率通常会导致误报率相应提高；反之，降低误报率，检测率也会相应降低。

29、硬件防火墙是指将软件运算硬件化，将主要的运算程序通过x86、专用集成电路（application specific integrated circuit，asic）、网络处理器（network processing，np）、现场可编程门阵列（field-programmable gate array，fpga）以及多核（multicore）处理器等专用硬件架构来实现。

30、随着信息系统新形态新应用的发展，防火墙的形态和功能也在不断发展变化，出现了下一代防火墙、工业防火墙、虚拟防火墙、web应用防火墙等新的形式。

31、被动防御是构建网络空间安全保障体系不可或缺的基础性技术之一，虽然应用广泛，但基础防御效果较差。

32、被动防御技术的主要特点是，通过预先设计的规则对已知的攻击手段和威胁方式进行防御。

33、被动防御技术的安全能力依赖于其在接入系统时的系统配置，在检测、识别和处理已知攻击方式的威胁方面，具有针对性强、检测率高的显著优势。

34、一个有效的安全防御体系，需要构筑多道安全防线，形成立体化综合防护体系。

35、工业网络应用环境与传统网络环境存在较大区别，因此工业防火墙技术也有其自身的鲜明特点。

36、实现被动防御可采用的技术主要有：（）；脆弱性与漏洞检测及防范技术；恶意代码检测及防范技术；入侵检测技术等。

37、防火墙堪称最常用的网络空间安全防御手段之一，它是()机制的一种具体实现，用于不同信任域之间的安全隔离。

38、国际知名的安全组织开放式web应用程序安全项目组织，该组织定期发布web应用安全风险及其防范措施，为漏洞攻击防范提供了重要的参考指南。该组织的英文简称是（）。

39、恶意代码的处理技术，主要分为恶意代码清除、恶意代码删除以及恶意代码（）等。

40、入侵检测系统的英文简称是（）。

41、ids的核心功能模块包括安全数据采集、（）、入侵响应等。

42、入侵分析技术有（）和误用检测（或称为滥用检测）之分。

《网络安全被动防御技术体系》单元作业

1、请谈谈如何来进行web应用防火墙（waf）的设计。 根据防火墙的基本原理，考虑web应用防护的具体特点来进行。相关的解题思路，我们已经在本章《工业防火墙设计》辅助材料和讨论时进行了预演。