全部科目 > 网络工程师 >
2015年上半年 上午试卷 综合知识
第 67 题
知识点 安全需求   网络安全   物理安全   系统安全   应用安全  
关键词 安全需求   网络安全   物理安全   系统安全   应用安全   安全   网络   需求  
章/节 网络技术  
 
 
安全需求可划分为物理安全网络安全系统安全应用安全,下面的安全需求中属于系统安全的是(67),属于应用安全的是(68)。
 
  A.  机房安全
 
  B.  入侵检测
 
  C.  漏洞补丁管理
 
  D.  数据库安全
 
 




 
 
相关试题     主要的网络服务 

  第39题    2009年上半年  
以下关于网络安全设计原则的说法,错误的是(39)。

  第34题    2009年上半年  
Linux操作系统中,网络管理员可以通过修改(34)文件对Web服务器的端口进行配置。

  第49题    2011年下半年  
在网络管理中要防止各种安全威胁。在SNMP中,无法预防的安全威胁是(49)。

 
知识点讲解
· 安全需求
· 网络安全
· 物理安全
· 系统安全
· 应用安全
 
        安全需求
        1)安全需求概述
        网络安全性包括对物理产品的布局和对过程的操作,合理的物理产品布局与安全设置可以保护网络和系统的完整性、可行性及可靠性。现代的网络安全性是把基本的网络安全性概念运用在分布式网络环境中。网络安全性的目的是对资源的保护,目前还没有彻底的解决方法。
        安全设计包括安全服务和实施两方面。原则上讲,每一个网络系统都具有独立和通用的安全协议,而基于安全服务的安全信息则是存放在管理信息库(MIB)中的,只有授权人员或系统才可访问、修改或删除这些机密信息。通过对网络易损点的识别,可使这些易损点得到保护和监控,要确保安全,应采取一种分层管理策略。
        安全性策略的3个属性定义为保密性、完整性和可信性。信息损失通常由以下原因引起:更改、破坏和泄露。对网络安全构成威胁的形式有很多,而且它们经常导致网络失常和重要信息的毁坏。
        采取何种安全措施需要视用户需要而定,不同单位或一个单位的不同部门要求的安全等级往往是有差异的,并不是安全等级越高越好,较高的安全等级意味着额外的系统开销和高昂的费用。
        2)安全性标准
        网络系统是否达到一定的安全性主要依照相关的安全性标准来判断,最早的信息系统安全性标准由美国国防部颁布的黄皮书(TC-SEC-NCSC,可信计算机系统)规定。该手册将IT系统划分为A(A1)、B(B1、B2、B3)、C(C1、C2)、D(D1)4类,共7个安全等级。
        (1)D类安全等级。D类安全等级只包括D1一个级别,D1的安全等级最低,它只为文件和用户提供安全保护。D1系统最常见的形式是本地操作系统,或者是一个完全没有保护的网络。
        (2)C类安全等级。C类安全等级能够提供审慎的保护,并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。
        (3)B类安全等级。B类安全等级可划分为Bl、B2和B3三类。B类系统具有强制性保护功能,这就意味着如果用户没有与安全等级相连,系统就不会让用户存取对象。
        (4)A类安全等级。A类系统的安全级别最高。目前,A类安全等级只包含A1一个安全类别。A1类与B3类相似,对系统的结构和策略不作特别要求。A1系统的显著特征是:系统的设计者必须按照一个正式的设计规范来分析系统。对系统进行分析后,设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求:系统管理员必须从开发者那里接收一个安全策略的正式模型;所有的安装操作都必须由系统管理员进行;系统管理员进行的每一步安装操作都必须有正式文档。
        欧洲等价的分类手册是ITSEC(信息技术安全评估标准)。与美国的黄皮书类似,ITSEC标准目录将IT系统划分为7个安全等级(E0~E6),这些等级与黄皮书中的各个等级大致对应。
 
        网络安全
        网络安全系统是网络逻辑设计的固有部分,可以采用以下步骤进行安全设计。
        (1)明确需要安全保护的系统。
        (2)确定潜在的网络弱点和漏洞。
        (3)尽量简化、安全。
        (4)制定安全制度。
 
        物理安全
        网络安全的层次可以分为物理安全、控制安全、服务安全、协议安全。其中物理安全措施包括环境安全、设施和设备安全(设备管理包括设备的采购、使用、维修和存储管理,并建立详细资产清单;设备安全主要包括设备防盗、防毁、防电磁泄漏、防线路截获、抗电磁干扰及电源保护)、介质安全(对介质及其数据进行安全保护,防止损坏、泄漏和意外失误)。
        计算机系统的物理安全主要采用分层的防御体制和多方面的防御体制相结合。
        一个分层的防御体制通过提供冗余以及扩展的保护等手段在访问控制方面提高了机密性的级别。设计一个分层防御体制需要遵循的3个基本原则是广度、深度和阻碍度。
        (1)广度:单独一种类型的控制往往很难解决所有的脆弱点。
        (2)深度:深度是最重要的因素。
        (3)阻碍度:实施保护时,所控制的花费应该要比所保护对象的价值要低,否则就没有必要。
        物理安全的实施通常包括以下几个方面:
        (1)确认。确定什么需要保护,从而根据如何对其进行识别来制定指导方针。
        (2)标注。使用橡皮印章或其他手段来对敏感文件进行标识。
        (3)安全。基于存在的风险构造物理防御层,通常需要考虑的因素包括周边设施、建筑入口、建筑楼层、办公室装置等。
        (4)跟踪。使用访问列表、列表检查、目录控制、审计日志等方式对访问进行跟踪控制。
        (5)技能。保证人员知道如何进行保护以及保护原因,并制定策略来实施这些保护措施,保护措施应该明确所需要的访问控制以及处理手续。
        当实施物理安全时,必须认识到一些普遍存在的局限性和缺点:
        (1)社会工程学。从社会工程学的角度考虑,绕过一个物理安全控制是可能的。
        (2)密码的泄漏。为了方便经常把密码写在某个地方或者进行邮寄。
        (3)尾随。尾随授权的人进入一所设施。
        (4)环境因素。空气的污染、强烈的阳光、反射以及雾气等都能够影响摄像机的性能或者使传感器产生错误的警报。
        (5)装置可靠性。过冷或者过热可能会影响到装置的可靠性。
        (6)信任度。当虚假的警报或错误的警报过多时,警报系统的信任度就会降低,从而忽略警报。
        (7)用户接受度。当用户感觉安全措施过于困难或者并不安全时,甚至对其造成干扰时,可能会妨碍安全措施的实施,而不管其干涉正确与否。
 
        系统安全
        华为EulerOS通过了公安部信息安全技术操作系统安全技术要求四级认证。EulerOS能够提供可配置的加固策略、内核级OS安全能力等各种安全技术以防止入侵,保障客户的系统安全。
 
        应用安全
        . 腾讯云Web应用防火墙。解决腾讯云内及云外用户应对Web攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫、域名劫持等网站及Web业务安全防护问题。通过部署腾讯云网站管家服务,将Web攻击威胁压力转移到腾讯云网站管家防护集群节点,分钟级获取腾讯Web业务防护能力,保护组织网站及Web业务安全运营。
        . 腾讯应用级智能网关。基于零信任策略,对企业应用和服务提供集中管控,统一防控和统一审计,保障企业应用和服务更安全、更可靠。
        . 漏洞扫描服务。用于监测网站漏洞的安全服务,提供7×24小时准确、全面的漏洞监测服务,并提供专业的修复建议,从而避免漏洞被黑客利用,影响资产安全。
        . 移动应用安全。涵盖应用加固、安全测评、兼容性测试、盗版监控、崩溃监测、安全组件等服务。
        . 手游安全。具备24小时安全保障能力,支持手游厂商快速应对手游作弊、手游篡改破解等常见的游戏安全问题。



更多复习资料
请登录电脑版软考在线 www.rkpass.cn

京B2-20210865 | 京ICP备2020040059号-5
京公网安备 11010502032051号 | 营业执照
 Copyright ©2000-2023 All Rights Reserved
软考在线版权所有