2022年职业考证-软考-信息安全工程师考试名师押题精选卷I（带答案详解）试卷号18

住在富人区的她2022年职业考证-软考-信息安全工程师考试名师押题精选卷I（带答案详解）（图片可根据实际调整大小）题型12345总分得分一.综合题(共50题)1.单选题

网页木马是一种通过攻击浏览器或浏览器外挂程序的漏洞，向目标用户机器植入木马、病毒、密码盗取等恶意程序的手段，为了要安全浏览网页，不应该（

）。

问题1选项

A.定期清理浏览器缓存和上网历史记录

B.禁止使用ActiveX控件和Java脚本

C.在他人计算机上使用“自动登录”和“记住密码”功能

D.定期清理浏览器Cookies

【答案】C

【解析】本题考查网页木马的防范。

网页木马是一种通过攻击浏览器或浏览器外挂程序的漏洞，向目标用户机器植入木马、病毒、密码盗取等恶意程序的手段。为了安全浏览网页，需要定期清理浏览器缓存和上网历史记录，禁止使用ActiveX控件和Java脚本，并定期清理浏览器Cookies。在非本人的计算机上可能有用户不知道的病毒或木马，当用户将账户的密码保存在本地后，很可能就会被不法分子盗取，造成严重损失。故本题选C。

点播：要实现安全浏览网页，最重要的是养成良好的上网习惯，这需要系统地学习信息安全相关知识，了解并学习病毒的原理、养成良好的防范意识。

2.单选题

含有两个密钥的3重DES加密：，其中K1≠K2，则其有效的密钥长度为（

）。

问题1选项

A.56位

B.112位

C.128位

D.168位

【答案】B

【解析】本题考查DES算法。

DES算法是使用最为广泛的一种分组密码算法，能够支持64比特的明文块加密，其密钥长度为56比特。题中三重DES含有两个相同密钥，则其有效的密钥长度为112比特。故本题选B。

点播：三重DES算法也叫TDEA算法，TDEA算法的工作机制是使用DES对明文进行“加密→解密→加密”操作，即对DES加密后的密文进行解密再加密，解密则相反。一般认为其中加密为Ek，解密为Dk。

3.单选题

研究密码破译的科学称为密码分析学。密码分析学中，根据密码分析者可利用的数据资源，可将攻击密码的类型分为四种，其中适于攻击公开密钥密码体制，特别是攻击其数字签名的是（

）。

问题1选项

A.仅知密文攻击

B.已知明文攻击

C.选择密文攻击

D.选择明文攻击

【答案】C

【解析】本题考查公钥密码体制和数字签名相关知识。

已知明文攻击：攻击者不仅可以得到一些消息的密文，而且也知道对应的明文。

仅知密文攻击：攻击者有一些消息的密文，这些密文都是用相同的加密算法进行加密得到。

选择明文攻击：攻击者不仅可以得到一些消息的密文和相应的明文，而且还可以选择被加密的明文。

选择密文攻击：攻击者能够选择一些不同的被加密的密文并得到与其对应的明文信息，攻击者的任务是推算出加密密钥。

使用选择密文攻击的攻击者掌握对解密机的访问权限，可构造任意密文所对应的明文。在此种攻击模型中，密码分析者事先任意搜集一定数量的密文，让这些密文透过被攻击的加密算法解密，透过未知的密钥获得解密后的明文。故本题选C。

点播：数字签名是指签名者使用私钥对待签名数据的杂凑值做密码运算得到的结果。该结果只能用签名者的公钥进行验证，用于确认待签名数据的完整性、签名者身份的真实性和签名行为的抗抵赖性。数字签名具有手写签名一样的特点，是可信的、不可伪造的、不可重用的、不可抵赖的以及不可修改的。

4.单选题

移动终端设备常见的数据存储方式包括：①SharedPreferences；②文件存储；③SQLite数据库；④ContentProvider；⑤网络存储。Android系统支持的数据存储方式包括（

）。

问题1选项

A.①②③④⑤

B.①③⑤

C.①②④⑤

D.②③⑤

【答案】A

【解析】本题考查Android系统数据存储方面的基础知识。

Android平台进行数据存储的方式包括：

(1)使用SharedPreferences存储数据；

(2)文件存储数据；

(3)sQLite数据库存储数据；

(4)使用ContentProvider存储数据；

(5)网络存储数据。

答案选A。

5.单选题

Windows系统的用户管理配置中，有多项安全设置，其中密码和账户锁定安全选项设置属于（）。

问题1选项

A.本地策略

B.公钥策略

C.软件限制策略

D.账户策略

【答案】D

【解析】点播：在Windows操作系统中，账户策略包含三个子集：

（1）密码策略：对于域或本地用户账户，决定密码的设置，如强制性和期限。

（2）账户锁定策略：对于域或本地用户账户，决定系统锁定账户的时间，以及锁定谁的账户。

（3）Kerberos策略：对于域用户账户，决定与Kerberos有关的设置，如账户有效期和强制性。

6.单选题

分组密码常用的工作模式包括：电码本模式（ECB模式）、密码反馈模式（CFB模式），密码分组链接模式（CBC模式），输出反馈模式（OFB模式）。下图描述的是（

）模式（图中Pi表示明文分组，Ci表示密文分组）

问题1选项

A.ECB模式

B.CFB模式

C.CBC模式

D.OFB模式

【答案】B

【解析】本题考查分组密码操作模式相关知识。

分组加密算法中，有ECB，CBC，CFB，OFB这几种算法模式。

ECB（电子密本方式）其实非常简单，就是将数据按照8个字节一段进行DES加密或解密得到一段8个字节的密文或者明文，最后一段不足8个字节，按照需求补足8个字节进行计算，之后按照顺序将计算所得的数据连在一起即可，各段数据之间互不影响。

CBC（密文分组链接方式）有点麻烦，它的实现机制使加密的各段数据之间有了联系。不容易主动攻击，安全性好于ECB。

CFB（密文反馈模式）类似于CBC，可以将块密码变为自同步的流密码；工作过程亦非常相似，CFB的解密过程几乎就是颠倒的CBC的加密过程。

OFB（输出反馈模式）可以将块密码变成同步的流密码。它产生密钥流的块，然后将其与平文块进行异或，得到密文。与其他流密码一样，密文中一个位的翻转会使平文中同样位置的位也产生翻转。这种特性使得许多错误校正码，例如奇偶校验位，即使在加密前计算而在加密后进行校验也可以得出正确结果。（详见《信息安全工程师教程》第一版P108）

故本题选B。

7.单选题

以下关于虚拟专用网VPN描述错误的是（

）。

问题1选项

A.VPN不能在防火墙上实现

B.链路加密可以用来实现VPN

C.IP层加密可以用来实现VPN

D.VPN提供机密性保护

【答案】A

【解析】本题考查VPN相关知识。

VPN中文翻译为虚拟专用网，其基本技术原理是把需要经过公共网传递的报文加密处理后，再由公共网络发送到目的地。利用VPN技术能够在不信任的公共网络上构建一条专用的安全通道，经过VPN传输的数据在公共网上具有保密性。VPN和防火墙有3方面的关系：VPN和防火墙都是属于网络安全设备；VPN设备可集成在防火墙设备内；VPN和防火墙的功能不同。故本题选A。

点播：VPN的安全服务有三种：保密性服务、完整性服务、认证服务。VPN多种实现技术可分为三种：链路层VPN、网络层VPN、传输层VPN。

8.单选题

安全电子交易协议SET是由VISA和MasterCard两大信用卡组织联合开发的电子商务安全协议。以下关于SET的叙述中，不正确的是（

）。

问题1选项

A.SET协议中定义了参与者之间的消息协议

B.SET协议能够解决多方认证问题

C.SET协议规定交易双方通过问答机制获取对方的公开密钥

D.在SET中使用的密码技术包括对称加密、数字签名、数字信封技术等

【答案】C

【解析】本题考查电子交易协议SET。

网上交易的买卖双方在进行每一笔交易时，为了保证交易的可靠性，买方和卖方都要鉴别对方的身份。交易的双方可以通过Internet，在一些网站上获取对方的公开密钥，这种办法虽然有效可行，但这种方式获取的公开密钥不可靠必须要对这些密钥进行认证。因此需要一个可靠的第三方来验证公钥确实属于乙方，这样的第三方就被称为认证机构（简称CA）。通过认证机构来确认交易双方身份的合法性，是保证电子支付系统安全的重要措施。官方教材（第一版）P535。故本题选C。

点播：SET是一种电子支付系统的安全协议，因此它涉及加密、认证等多种技术。为了满足在Internet和其他网络上用信用卡安全支付的要求，SET协议主要是通过使用密码技术和数字证书方式来保证信息的机密性和安全性，它实现了电子交易的机密性、数据完整性、身份的合法性和不可否认性。

9.单选题

在我国，依据《中华人民共和国标准化法》可以将标准划分为：国家标准、行业标准、地方标准和企业标准4个层次。《信息安全技术

信息系统安全等级保护基本要求》（GB/T22239-2008）属于（

）。

问题1选项

A.国家标准

B.行业标准

C.地方标准

D.企业标准

【答案】A

【解析】本题考查我国的标准体系相关知识。

GB属于国家标准。

我国标准体制目前分为四级：国家标准、行业标准、地方标准和企业标准。国家标准的代号是GB，国家推荐性标准为GB/T，其他级别的推荐性标准类似。行业标准有70个左右，代号都是两个（拼音）字母。地方标准的代号是DBXX，如DB44是广东地方标准，DB35/T是福建推荐性标准等。企业标准代号的标准格式是Q/XX，XX也可以是三位，一般不超过四位，由企业自己定。故本题选A。

点播：

国家强制标准：GB

国家推荐标准：GB/T

国家指导标准：GB/Z

国家实物标准：GSB

10.单选题

操作系统的安全机制是指在操作系统中利用某种技术、某些软件来实施一个或多个安全服务的过程。操作系统的安全机制不包括（

）。

问题1选项

A.标识与鉴别机制

B.访问控制机制

C.密钥管理机制

D.安全审计机制

【答案】C

【解析】本题考查操作系统安全机制方面的基础知识。

操作系统的安全机制包括安全审计机制、可信路径机制、标识与鉴别机制、客体重用机制、访问控制机制。

答案选C。

11.单选题

智能卡的片内操作系统COS一般由通信管理模块、安全管理模块、应用管理模块和文件管理模块四个部分组成。其中数据单元或记录的存储属于（

）。

问题1选项

A.通信管理模块

B.安全管理模块

C.应用管理模块

D.文件管理模块

【答案】D

【解析】本题考查智能卡片内操作系统COS。

通信管理模块：该模块是COS与外界的半双工通信通道，接收读写器命令，并对接收信息进行正确性判断，有误则请求重发或添加标记，无误则将命令发送至安全管理模块。

安全管理模块：安全机制可按对象分为针对动态信息的安全性传输控制和针对卡内静态信息的内部安全控制管理两部分。安全管理模块是COS极重要组成部分，该模块提供高安全性保证。

应用管理模块：该模块主要是对接受命令进行可执行性判断。因智能卡的特性，它常常融于安全管理和文件管理之中。

文件管理模块：COS通过给每种应用建立对应文件的办法，实现对各项应用的存储及管理。用户通常不能创建或删除文件，但可酌情修改文件内容，对文件的记录和数据单元进行增加或删除。官方教材（第一版）P504。

故本题选D。

点播：智能卡是一种带有存储器和微处理器的集成电路卡，能够安全存储认证信息，并具有一定的计算能力。智能卡的片内操作系统（COS）一般由四部分组成：通信管理模块和安全管理模块、应用管理模块和文件管理模块。

12.单选题

信息安全产品通用评测标准ISO/IEC15408--1999《信息技术、安全技术、信息技术安全性评估准则》（简称CC

），该标准分为三个部分：第1部分“简介和一般模型”、第2部分“安全功能需求”和第3部分“安全保证要求”，其中（

）属于第2部分的内容。

问题1选项

A.评估保证级别

B.基本原理

C.保护轮廓

D.技术要求

【答案】D

【解析】本题考查国际安全标准ISO/IEC15408方面的基础知识。

评估保证级别属于第3部分的内容，基本原理和保护轮廓属于第1部分的内容，技术要求属于第2部分的内容。

答案选D。

13.单选题

2016年11月7日，十二届全国人大常委会第二十四次会议以154票赞成、1票弃权，表决通过了《中华人民共和国网络安全法》。该法律第五十八条明确规定，因维护国家安全和社会公共秩序，处置重大突发社会安全事件的需要，经（

）决定或者批准，可以在特定区域对网络通信采取限制等临时措施。

问题1选项

A.国务院

B.国家网信部门

C.省级以上人民政府

D.网络服务提供商

【答案】A

【解析】本题考查《中华人民共和国网络安全法》。

《中华人民共和国网络安全法》第五十八条：因维护国家安全和社会公共秩序，处置重大突发社会安全事件的需要，经国务院决定或者批准，可以在特定区域对网络通信采取限制等临时措施。故本题选A。

点播：《中华人民共和国网络安全法》已于2017年6月1日起实施。为加强网络安全教育，网络空间安全已被增设为一级学科。

14.单选题

不属于物理安全威胁的是（

）。

问题1选项

A.电源故障

B.物理攻击

C.自然灾害

D.字典攻击

【答案】D

【解析】本题考查物理攻击相关知识。

物理安全是指在物理媒介层次上对存储和传输的信息加以保护，它是保护计算机网络设备、设施免遭地震、水灾、火灾等环境事故以及人为操作错误或各种计算机犯罪行为而导致破坏的过程。字典攻击属于网络服务的暴力破解，不属于物理安全威胁。故本题选D。

15.单选题

下列关于数字签名说法中，正确的是（

）。

问题1选项

A.验证和解密过程相同

B.数字签名不可改变

C.验证过程需要用户私钥

D.数字签名不可信

【答案】B

【解析】本题考查数字签名方面的基础知识。

数字签名是可信的、不容易被伪造的、不容抵赖的，而且是不可改变的。数字签名的验证与解密过程不同，验证过程需要用户的公钥。答案选B。

16.单选题

IP地址分为全球地址（公有地址）和专用地址（私有地址），在文档RFC1918中，不属于专用地址的是（

）。

问题1选项

A.到55

B.到55

C.到55

D.到55

【答案】B

【解析】本题考查IP地址分类的相关知识。

专用地址范围：A类：-55；B类：-55；C类：-55。根据IP地址的分类来看，255开头的IP地址不属于私有专用地址。故本题选B。

点播：公有IP地址分为：

A：--55&--55；

B：--55&--55；

C：--55&--55。

17.单选题

虚拟专用网VPN是一种新型的网络安全传输技术，为数据传输和网络服务提供安全通道。VPN架构采用的多种安全机制中，不包括（

）。

问题1选项

A.隧道技术

B.信息隐藏技术

C.密钥管理技术

D.身份认证技术

【答案】B

【解析】本题考查VPN采用的多种安全机制。

目前VPN主要采用如下四项技术保证安全：隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。

隧道技术：隧道技术是VPN的基本技术，类似于点对点连接技术，它在公用建立一条数据通道（隧道），让数据包通过这条隧道传输。隧道是由隧道协议形成的，分为第二、三层隧道协议。第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中，这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等；第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有VTP、IPSec等。

密钥管理技术：密钥管理技术的主要任务是如何在公用数据上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。

身份认证技术：身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。在真实世界，对用户的身份认证基本方法可以分为：基于信息秘密的身份认证、基于信任物体的身份认证、基于生物特征的身份认证。

加解密技术：加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术实现加解密。故本题选B。

点播：VPN类型包括链路层VPN、网络层VPN、传输层VPN。

18.单选题

SM4算法是国家密码管理局于2012年3月21日发布的一种分组密码算法，在我国商用密码体系中，SM4主要用于数据加密。SM4算法的分组长度和密钥长度分别为（

）。

问题1选项

A.128位和64位

B.128位和128位

C.256位和128位

D.256位和256位

【答案】B

【解析】本题考查我国国密算法方面的基础知识。

SM4算法的分组长度为128位，密钥长度为128位。加密算法与密钥扩展算法都采用32轮非线性迭代结构。解密算法与加密算法的结构相同，只是轮密钥的使用顺序相反，解密轮密钥是加密轮密钥的逆序。

19.单选题

僵尸网络是指采用一种或多种传播手段，将大量主机感染bot程序，从而在控制者和被感染主机之间形成的一个可以一对多控制的网络。以下不属于僵尸网络传播过程常见方式的是（

）。

问题1选项

A.主动攻击漏洞

B.恶意网站脚本

C.字典攻击

D.邮件病毒

【答案】C

【解析】本题考查僵尸网络方面的基础知识。

僵尸网络在传播过程中有如下几种手段：主动攻击漏洞、邮件病毒、即时通信软件、恶意网站脚本、特洛伊木马。

答案选C。

20.单选题

IPSec协议可以为数据传输提供数据源验证、无连接数据完整性、数据机密性、抗重播等安全服务。其实现用户认证采用的协议是（

）。

问题1选项

A.IKE协议

B.ESP协议

C.AH协议

D.SKIP协议

【答案】C

【解析】

IPSec提供了两种安全机制：认证（采用ipsec的AH）和加密（采用ipsec的ESP）。

AH是一种安全协议，又称为认证头协议。其安全目的是保证IP包的完整性和提供数据源认证，为IP数据报文提供无连接的完整性、数据源鉴别和抗重放攻击服务。

ESP也是一种安全协议，其用途在于保证IP包的保密性，而IPAH不能提供IP包的保密性服务。

IKE：密钥交换协议IKE是用于交换和管理在VPN中使用的加密密钥的协议。

SKIP：SKIP协议是一种简单的重点互联网协议。（此协议无需记忆）

故本题选C。

点播：IPSec是InternetProtocolSecurity的缩写。IPSec工作组制定了相关的IP安全系列规范：认证头AH、封装安全有效负荷ESP以及密钥交换协议IKE。AH和ESP都有两种工作模式，即透明模式和隧道模式。透明模式只保护IP包中的数据域，而隧道模式则保护IP包的包头和数据域。

21.单选题

等级保护2.0强化了对外部人员的管理要求，包括外部人员的访问权限、保密协议的管理要求，以下表述中，错误的是（

）。

问题1选项

A.应确保在外部人员接入网络访问系统前先提出书面申请，批准后由专人开设账号、分配权限，并登记备案

B.外部人员离场后应及时清除其所有的访问权限

C.获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息

D.获得系统访问授权的外部人员，离场后可保留远程访问权限

【答案】D

【解析】本题考查等级保护中的外部人员管理方面的基础知识。

在外部人员访问管理方面，应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案;外部人员离场后应及时清除其所有访问权限；获得系统访问授权的外部人员应当签署保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息，离场后不得保留远程访问权限。

答案选D。

22.单选题

以下关于IPSec协议的叙述中，正确的是（

）。

问题1选项

A.IPSec协议是IP协议安全问题的一种解决方案

B.IPSec协议不提供机密性保护机制

C.IPSec协议不提供认证功能

D.IPSec协议不提供完整性验证机制

【答案】A

【解析】本题考查IPSec协议相关知识。

IPSec协议是一种开放标准的框架结构，通过使用加密的安全服务以确保在Internet协议网络上进行保密而安全的通讯，是解决IP协议安全问题的一种方案，它能提供完整性、保密性、反重播性、不可否认性、认证等功能。

IPSec工作组制定了IP安全系列规范：认证头（AH）、封装安全有效负荷（ESP）以及密钥交换协议。

IPAH是一种安全协议，又称为认证头协议。其目的是保证IP包的完整性和提供数据源认证，为IP数据报文提供无连接的完整性、数据源鉴别和抗重放攻击服务。

IPESP也是一种安全协议，其用途在于保证IP包的保密性，而IPAH不能提供IP包的保密性服务。

故本题选A。

23.单选题

在PKI体系中，注册机构RA的功能不包括（

）。

问题1选项

A.签发证书

B.认证注册信息的合法性

C.批准证书的申请

D.批准撤销证书的申请

【答案】A

【解析】本题考查PKI的注册机构方面的基础知识。

签发证书是证书机构CA的功能，不属于注册机构RA的功能。像认证注册信息的合法性、批准证书的申请和批准撤销证书的申请都属于RA的功能。答案选A。

24.单选题

关于祖冲之算法的安全性分析不正确的是（

）。

问题1选项

A.祖冲之算法输出序列的随机性好，周期足够大

B.祖冲之算法的输出具有良好的线性、混淆特性和扩散特性

C.祖冲之算法可以抵抗已知的序列密码分析方法

D.祖冲之算法可以抵抗弱密分析

【答案】B

【解析】本题考查祖冲之密码相关知识。

祖冲之算法是我国学者自主设计的加密和完整性算法，是一种流密码。算法由三个基本部分组成，依次为比特重组、非线性函数F、线性反馈位移寄存器（LFSR）。

ZUC算法在逻辑上采用三层结构设计，具有非常高的安全强度，能够抵抗目前常见的各种流密码攻击方法。ZUC算法本质上是一种非线性序列产生器。由此，在种子密钥的作用下，可以产生足够长的安全密钥序列。把与密钥序列明文数据模2相加，便完成了数据加密。同样，把密钥序列与密文数据模2相加，便完成了数据解密。故本题选B。

25.案例题

阅读下列说明和表，回答问题1至问题4，将解答填入答题纸的对应栏内。

【说明】

防火墙类似于我国古代的护城河，可以阻挡敌人的进攻。在网络安全中，防火墙主要用于逻辑隔离外部网络与受保护的内部网络。防火墙通过使用各种安全规则来实现网络的安全策略。

防火墙的安全规则由匹配条件和处理方式两个部分共同构成。网络流量通过防火墙时，根据数据包中的某些特定字段进行计算以后如果满足匹配条件，就必须采用规则中的处理方式进行处理。

【问题1】（5分）

假设某企业内部网（/24）需要通过防火墙与外部网络互连，其防火墙的过滤规则实例如表4.1所示。

表中“*”表示通配符，任意服务端口都有两条规则。

请补充表4.1中的内容（1）和（2），并根据上述规则表给出该企业对应的安全需求。

【问题2】（4分）

一般来说，安全规则无法覆盖所有的网络流量。因此防火墙都有一条默认（缺省）规则，该规则能覆盖事先无法预料的网络流量。请问缺省规则的两种选择是什么？

【问题3】（6分）

请给出防火墙规则中的三种数据包处理方式。

【问题4】（4分）

防火墙的目的是实施访问控制和加强站点安全策略，其访问控制包含四个方面的内容：服务控制、方向控制、用户控制和行为控制。请问表4.1中，规则A涉及访问控制的哪几个方面的内容？

【答案】【问题1】

（1）53（2）丢弃或Drop

其安全需求为：（1）允许内部用户访问外部网络的网页服务器；（2）允许外部用户访问内部网络的网页服务器（25）；（3）除1和2外，禁止其他任何网络流量通过该防火墙。

【问题2】

（1）默认拒绝：一切没有被允许的就是禁止的；

（2）默认允许：一切没有被禁止的就是允许的。

【问题3】

（1）Accept：允许数据包或信息通过；

（2）Reject：拒绝数据包或信息通过，并且通知信息源该信息被禁止；

（3）Drop：直接将数据包或信息丢弃，并且不通知信息源。

【问题4】

服务控制和方向控制。

【解析】【问题1】

规则A和B允许内部用户访问外部网络的网页服务器。规则C和D允许外部用户访问内部网络的网页服务器。规则E和F允许内部用户访问域名服务器。规则G是缺省拒绝的规则。规则E中目的端口为53；规则G中动作为Drop。

其安全需求为：①允许内部用户访问外部网络的网页服务器；②允许外部用户访问内部网络的网页服务器（25）；③除1和2外，禁止其他任何网络流量通过该防火墙。

【问题2】

缺省规则有两种选择：默认拒绝或者默认允许。默认拒绝是指一切未被允许的就是禁止的，其安全规则的处理方式一般为Accept；默认允许是指一切未被禁止的就是允许的。其安全规则的处理方式一般为Reject或Drop。

【问题3】

防火墙规则中的处理方式主要包括以下几种：

（1）Accept：允许数据包或信息通过。

（2）Reject：拒绝数据包或信息通过，并且通知信息源该信息被禁止。

（3）Drop：直接将数据包或信息丢弃，并且不通知信息源。

【问题4】

防火墙的目的是实施访问控制和加强站点安全策略，其访问控制包含四个方面或层次的内容：

（1）服务控制：决定哪些服务可以被访问，无论这些服务是在内部网络还是在外部网络。常见的网络服务有邮件服务、网页服务、代理服务、文件服务等，这些服务往往是系统对外的功能。在计算机网络中，服务往往就是指TCP/IP协议中的端口值，如25是指SMTP服务，110是指POP3服务，80是指网页服务等。当然，服务控制也包括服务的位置控制，如E地址。

（2）方向控制：决定在哪些特定的方向上服务请求可以被发起并通过防火墙，也就是服务是位于内部网络还是外部网络。通过规则控制，可以限定一个方向的服务，也可以同时限定两个方向的服务。

（3）用户控制：决定哪些用户可以访问特定服务。该技术既可以应用于防火墙网络内部的用户（本地用户），也可以被应用到来自外部用户的访问。可以采用用户名、主机的IP、主机的MAC等标识用户。

（4）行为控制：决定哪些具体的服务内容是否符合安全策略。如防火墙可以通过过滤邮件来清除垃圾邮件，以及网络流量中是否含有计算机病毒、木马等恶意代码。

规则A只规定了内部网访问外部网络的80端口的特定服务的过滤规则，设计服务控制和方向控制。

26.单选题

对于定义在GF(p)上的椭圆曲线，取素数P=11，椭圆曲线y2=x3+x+6mod11，则以下是椭圆曲线11平方剩余的是（

）。

问题1选项

A.x=1

B.x=3

C.x=6

D.x=9

【答案】B

【解析】本题考查椭圆曲线密码。

首先应了解平方剩余；假设p是素数，a是整数。如果存在一个整数y使得y²≡a(modp)（即y²-a可以被p整除），那么就称a在p的剩余类中是平方剩余的。

根据这个定义，将选项值进行代入运算可知，当x=3，y²≡36（mod11），此时y的值可为5或6；其余选项都是不满足平方剩余条件的。故本题选B。

27.单选题

基于公开密钥的数字签名算法对消息进行签名和验证时，正确的签名和验证方式是（

）。

问题1选项

A.发送方用自己的公开密钥签名，接收方用发送方的公开密钥验证

B.发送方用自己的私有密钥签名，接收方用自己的私有密钥验证

C.发送方用接收方的公开密钥签名，接收方用自己的私有密钥验证

D.发送方用自己的私有密钥签名，接收方用发送方的公开密钥验证

【答案】D

【解析】本题考查数字签名相关知识。

根据数字签名工作的基本流程，假设Alice需要签名发送一份电子合同文件给Bob。Alice的签名步骤如下：

第一步，Alice使用Hash函数将电子合同文件生成一个消息摘要；

第二步，Alice使用自己的私钥，把消息摘要加密处理，形成一个数字签名；

第三步，Alice把电子文件合同和数字签名一同发送给Bob。

Bob收到Alice发送的电子合同文件及数字签名后，为确信电子合同文件是Alice所认可的，验证步骤如下：

第一步，Bob使用与Alice相同的Hash算法，计算所收到的电子合同文件的消息摘要；

第二步，Bob使用Alice的公钥，解密来自Alice的加密消息摘要，恢复Alice原来的消息摘要；

第三步，Bob比较自己产生的消息摘要和恢复出来的消息摘要之间的异同。若两个消息摘要相同，则表明电子合同文件来自Alice。如果两个消息摘要的比较结果不一致，则表明电子合同文件已被篡改。

故本题选D。

点播：数字签名的目的是通过网络信息安全技术手段实现传统的纸面签字或者盖章的功能，以确定交易当事人的真实身份，保证交易的安全性、真实性和不可抵赖性。数字签名具有手写签名一样的特点，是可信的、不可伪造的、不可重用的、不可抵赖的以及不可修改的。

28.单选题

雪崩效应指明文或密钥的少量变化会引起密文的很大变化。下列密码算法中不具有雪崩效应的是（

）。

问题1选项

A.AES

B.MD5

C.RC4

D.RSA

【答案】D

【解析】本题考查密码设计雪崩效应方面的基础知识。

雪崩效应是指当输入发生最微小的改变（例如，反转一个二进制位）时，也会导致输出的不可区分性改变（输出中每个二进制位有50%的概率发生反转）；雪崩效应通常发生在块密码和加密散列函数中，RSA为公钥密码。

答案选D。

29.案例题

阅读下列说明，回答问题1至问题5，将解答填入答题纸的对应栏内。

【说明】

防火墙作为网络安全防护的第一道屏障，通常用一系列的规则来实现网络攻击数据包的过滤。

【问题1】(3分)

图3-1给出了某用户Windows系统下的防火墙操作界面，请写出Windows下打开以下界面的操作步骤。

【问题2】(4分)

Smurf拒绝服务攻击结合IP欺骗和ICMP回复方法使大量网络数据包充斥目标系统，引起目标系统拒绝为正常请求提供服务。请根据图3-2回答下列问题。

（1）上述攻击针对的目标IP地址是多少?

（2）在上述攻击中，受害者将会收到ICMP协议的哪一种数据包?

【问题3】(2分)

如果要在Windows系统中对上述Smurf攻击进行过滤设置，应该在图3-1中“允许应用或功能通过WindowsDefender防火墙”下面的选项中选择哪一项?

【问题4】(2分)

要对入站的ICMP协议数据包设置过滤规则，应选择图3-3的哪个选项?

【问题5】(4分)

在图3-4的端口和协议设置界面中，请分别给出“协议类型（P）”“协议号（U）”“本地端口（L）”“远程端口（R）”的具体设置值。

【答案】【问题1】

[开始]→[控制面板]→[系统和安全]→[WindowsDefender防火墙]

或

运行“control[.exe]”→[系统和安全]→[WindowsDefender防火墙]

【问题2】

（1）

（2）Echoreply（回响应答

）

【问题3】

高级设置。

【问题4】

自定义。

【问题5】

协议类型（p）：ICMPv4

协议号（U）：自动填1

本地端口（L）：不用填或空白

远程端口（R）：不用填或空白

【解析】本题考查Windows系统下的防火墙以及网络攻击的过滤防护知识及应用。

此类题目要求考生熟悉常见的网络攻击手段及其相应的网络数据分组，并具备Wireshark工具的基本使用方法，能针对不同的网络攻击方法配置对应的防护措施。

【问题1】

要求掌握Windows系统的基本操作。根据图中显示的窗口标题名字或者路径信息【系统和安全】-【WindowsDefender防火墙】，可知从控制面板是可以访问到图中界面的。打开控制面板可以从命令行进入，也可以从开始菜单进入。

【问题2】

从图中可以发现攻击数据包的规律:源地址都是，目的地址是一个广播地址55，采用ICMP协议。由于它是广播地址，对应的同网内的所有地址都可以收到，因此上述同网的大量机器会向源地址发送应答分组，从而造成大量数据包发往源地址，所以在此源地址才是受害（被攻击）地址。发送的分组是Echorequest，对应的应答分组是Echoreply。

【问题3】

Windows防火墙要定制过滤规则需要从“高级设置”进入。

【问题4】

针对ICMP协议，既不是程序，也没有端口，更不是预先定义的规则，只能通过“自定义”进行设置。

【问题5】

ICMP协议工作在网络层，没有传输层的端口信息。因此端口信息是不需要填写的。对于协议类型选择ICMPv4，协议号会自动填1。

30.单选题

一台连接在以太网内的计算机为了能和其他主机进行通信，需要有网卡支持。网卡接收数据帧的状态有：unicast、broadcast、multicast、promiscuous等，其中能接收所有类型数据帧的状态是（

）。

问题1选项

A.unicast

B.broadcast

C.multicast

D.promiscuous

【答案】D

【解析】本题考查网卡接收数据帧状态方面的基础知识。

unicast是指网卡在工作时接收目的地址是本机硬件地址的数据帧,broadcast是指接收所有类型为广播报文的数据帧，multicast是指接收特定的组播报文，promiscuous则是通常说的混杂模式，是指对报文中的目的硬件地址不加任何检查而全部接收的工作模式。

答案选D。

31.单选题

在安全评估过程中，采取（

）手段，可以模拟黑客入侵过程，检测系统安全脆弱性。

问题1选项

A.问卷调查

B.人员访谈

C.渗透测试

D.手工检查

【答案】C

【解析】本题考查安全评估方面的基础知识。

渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。在安全评估过程中，一般采取渗透测试手段，可以模拟黑客入侵过程，检测系统安全脆弱性。

答案选C。

32.案例题

阅读下列说明和图，回答问题1至问题3，将解答填入答题纸的对应栏内。

【说明】

代码安全漏洞往往是系统或者网络被攻破的头号杀手。在C语言程序开发中，由于C语言自身语法的一些特性，很容易出现各种安全漏洞。因此，应该在C程序开发中充分利用现有开发工具提供的各种安全编译选项，减少出现漏洞的可能性。

【问题1】(4分)

图5-1给出了一段有漏洞的C语言代码（注：行首数字是代码行号），请问，上述代码存在哪种类型的安全漏洞？该漏洞和C语言数组的哪一个特性有关？

【问题2】(4分)

图5-2给出了C程序的典型内存布局，请回答如下问题。

（1）请问图5-1的代码中第9行的变量authenticated保存在图5-2所示的哪个区域中?

（2）请问stack的两个典型操作是什么?

（3）在图5-2中的stack区域保存数据时，其地址增长方向是往高地址还是往低地址增加?

（4）对于图5-1代码中的第9行和第10行代码的两个变量，哪个变量对应的内存地址更高?

【问题3】(6分)

微软的VisualStudio提供了很多安全相关的编译选项，图5-3给出了图5-1中代码相关的工程属性页面的截图。请回答以下问题。

（1）请问图5-3中哪项配置可以有效缓解上述代码存在的安全漏洞?

（2）如果把图5-1中第10行代码改为charbuffer[4];图5-3的安全编译选项是否还起作用?

（3）模糊测试是否可以检测出上述代码的安全漏洞?

【答案】【问题1】

缓冲区（栈

）

溢出。

不对数组越界进行检查。

【问题2】

（1）stack

（2）push和pop或者压栈和弹栈

（3）高地址

（4）第9行或者authenticated变量

【问题3】

（1）EnableSecurityCheck(/GS)

（2）不起作用

（3）可以检测出漏洞

【解析】本题考查软件安全的漏洞类型以及安全开发的知识，是关于代码安全的问题。

【问题1】

这类漏洞是由于函数内的本地变量溢出造成的，而本地变量都位于堆栈区域，因此这类漏洞一般称为栈溢出漏洞。主要是因为C语言编译器对数组越界没有进行检查导致的。

【问题2】

第9行的变量authenticated同样是本地变量，因此位于堆栈(stack)区域。堆栈结构常见的操作就是push和pop。在数据往堆栈区域写时，都是往高地址写的。在入栈时，则是第9行的变量先入栈在高地址，后续的第10行代码对应的变量buffer后入栈在低地址，因此第9行的变量在高地址。只有这样在往buffer数组拷贝过多的数据时，才会覆盖掉后续的authenticated变量。

【问题3】

微软的VisualStudio编译器提供了很多的安全编译选项，可以对代码进行安全编译，例如图中EnableSecurityCheck(/GS)可以在栈中添加特殊值，使得一旦被覆盖就会导致异常，从而增加漏洞利用难度。该编译选项针对小于等于4个字节的数组不起保护作用。模糊测试通过发送不同长度的数据给buffer,可能导致覆盖后续变量和指针值，导致程序异常从而触发监测，因此采用模糊测试的方法是可以检测出此类漏洞的。

33.单选题

SM2算法是国家密码管理局于2010年12月17日发布的椭圆曲线公钥密码算法，在我们国家商用密码体系中被用来替换（

）算法。

问题1选项

A.DES

B.MD5

C.RSA

D.IDEA

【答案】C

【解析】本题考查我国商用密码管理方面的知识。

DES算法、IDEA算法都属于分组密码算法；MD5算法是一种Hash算法，也叫杂凑算法；SM2算法和RSA算法都属于非对称加密算法。SM2算法是一种更先进更安全的算法，随着密码技术和计算机技术的发展，目前常用的1024位RSA算法面临严重的安全威胁，我们国家密码管理部门经过研究，决定采用SM2椭圆曲线算法替换RSA算法。故本题选C。

点播：

SM1：对称加密分组长度和密钥长度都为128比特；

SM2：非对称加密，用于公钥加密算法、密钥交换协议、数字签名算法，国家标准推荐使用素数域256位椭圆曲线；

SM3：杂凑算法，杂凑值长度为256比特；

SM4：对称加密，分组长度和密钥长度都为128比特；

SM9：标识密码算法。

34.单选题

PKI中撤销证书是通过维护一个证书撤销列表CRL来实现的。以下不会导致证书被撤销的是（

）。

问题1选项

A.密钥泄漏

B.系统升级

C.证书到期

D.从属变更

【答案】B

【解析】本题考查PKI相关知识。

每个证书都有一个有效使用期限，有效使用期限的长短由CA的政策决定。有效使用期限到期的证书应当撤销。证书的公钥所对应的私钥泄露，或证书的持证人死亡，证书的持证人严重违反证书管理的规章制度等情况下也要撤销证书。故本题选B。

点播：公钥基础设施（PKI）是一种遵循既定标准的密钥管理平台，它提供了一种系统化的、可扩展的、统一的、可控制的公钥分发方法。和证书的签发一样，证书的撤销也是一个复杂的过程。证书的撤销要经过申请、批准、撤销三个过程。

35.单选题

Symmetric-keycryptosystemsusethe（1）keyforencryptionanddecryptionofamessage,thoughamessageorgroupofmessagesmayhaveadifentkeythanothers.Asignificantdisadvantageofsymmetricciphersisthekeymanagementnecessarytousethemsecurely.Eachditinctpairofcommunicatingpartiesmust,ideally,shareadiferentkey,andperhapseachciphertextexchangedaswell.Thenumberofkeysrequiredincreasesasthesquareofthenumberofnetworkmembers,whichveryquicklyrequirescomplexkeymanagementschemestokeepthemallstraightandsecret.Thedificultyofsecurelyestablishingasecret（2）betweentwocommunicatingparties,whenasecurechanneldoesn'talreadyexistbetweenthem,alsopresentsachicken-and-eggproblemwhichisaconsiderablepracticalobstacleforcryptographyusersintherealworld.

WhitfieldDiffeandMartinHellman,authorsofthefrstpaperonpublic-keycryptography.

Inagroundbreaking1976paper,WhitfieldDifleandMartinHellmanproposedthenotionofpublic-key(also,moregenerally,calledasymmetrickey)cryptographyinwhichtwodifferentbutmathematicallyrelatedkeysareused-apublickeyandaprivatekey.Apublickeysystemissoconstructedthatcalculationofonekey(heprivatekey)iscomputationallyinfeasible（3）theother(thepubickey),eventhoughtheyarenecessarilyrelated.Instead,bothkeysaregeneratedsecretly,asaninterrelatedpair.ThehistorianDavidKahndescribedpublic-keycryptographyas"themostrevolutionarynewconceptinthefieldsincepoly-alphabeticsubstitutionemergedintheRenaissance".

Inpublic-keycryptosystems,the（4）keymaybefeelydistributed,whileitspairedprivatekeymustremainsecret.Thepublickeyistypicallyusedforencryption,whiletheprivateorsecretkeyisusedfordecryption.DifeandHllmanshowedthatpublic-keycryptographywaspossiblebypresentingtheDifit-Hellmankeyexchangeprotocol.

In1978,RonaldRivest,AdiShamir,andLenAdlemaninvented（5）,anotherpublic-keysystem.

In1997,itfinallybecamepubliclyknownthatasymmetrickeycryptographyhadbeeninventedbyJamesH.EllisatGCHQ,aBritishitelligenceorganization,andthat,intheearly1970s,boththeDiffie-HellmanandRSAalgorithmshadbeenpreviouslydeveloped(byMalcolmJ.WilliamsonandCliffordCocks,respectively).

问题1选项

A.different

B.same

C.public

D.private

问题2选项

A.plaintext

B.stream

C.ciphertext

D.key

问题3选项

A.from

B.in

C.to

D.of

问题4选项

A.public

B.private

C.symmetric

D.asymmetric

问题5选项

A.DES

B.AES

C.RSA

D.IDEA

【答案】第1题:B

第2题:D

第3题:A

第4题:A

第5题:C

【解析】第1题:

第2题:

第3题:

第4题:

第5题:对称密钥密码系统使用相同(same)的密钥对消息进行加密和解密，尽管一条消息或一组消息可能使用与其他消息不同的密钥。对称密码的一个显著缺点是为了安全使用必须进行密钥管理。理想情况下，每对不同的通信双方必须共享不同的密钥，或许每个密文也需要交换。随着网络成员的增加，需要的密钥数量以网络成员的平方倍增加，这很快就需要复杂的密钥管理方案来保持密钥的透明性和保密性。当通信双方之间不存在安全信道时，很难在它们之间安全地建立密钥(key)，这是一个先有鸡还是先有蛋的问题，对于现实世界中的密码学用户来说是一个相当大的实际困难。

WhitfieldDiffie和MartinHellman是公钥密码学方面第一篇论文的作者，在1976年的一篇开创性论文中，WhitfieldDifie和MartinHellman提出了公钥(也更普遍地称为非对称密钥)密码学的概念，其中使用了两个不同但数学上相关的密钥一公钥和私钥。在公钥系统中，虽然两个密钥是必须相关的，但从(from)公钥却无法计算出私钥。相反，这两个密钥都是秘密生成的，它们是相互关联的一对。历史学家DavidKahn将公钥密码学描述为“自文艺复兴时期多表代换出现以来，该领域最具有革命性的新概念”。

在公钥密码系统中，公钥(public)可自由分发，但与其对应的私钥必须保密。公钥常用于加密，而私钥或秘密密钥用于解密。Diffie和Hellman通过提出Difie-Hellman密钥交换协议证明了公钥密码学的可能性。

1978年，RonaldRivest、AdiShamir和LenAdleman创建了另一种公钥系统(RSA)。英国情报机构GCHQ的JamesH.Ellis早已发明非对称密钥密码学，并且在20世纪70年代初，Diffe-Hellman和RSA算法也已被发明(分别由MalcolmJ.Williamson和CliffordCocks发明)，但这些事件直到1997年才被大众所知。

36.单选题

域名系统DNS的功能是把Internet中的主机域名解析为对应的IP地址，目前顶级域名（TLD

）有国家顶级域名、国际顶级域名、通用顶级域名三大类。最早的顶级域名中，表示非营利组织域名的是（

）。

问题1选项

A.net

B.org

C.mil

D.biz

【答案】B

【解析】本题考查域名系统方面的基础知识。

COM：商业性的机构或公司

ORG：非盈利的组织、团体

GOV：政府部门

MIL：军事部门

EDU：教育机构

NET：从事Internet相关的的机构或公司

BIZ：网络商务向导，适用于商业公司

答案选B。

37.单选题

无线传感器网络（WSN

）是由部署在监测区域内大量的廉价微型传感器节点组成，通过无线通信方式形成的一个多跳的自组织网络系统。以下WSN标准中，不属于工业标准的是（

）。

问题1选项

A.ISA100.11a

B.WIA-PA

C.Zigbee

D.WirelessHART

【答案】C

【解析】本题考查无线传感器网络方面的基本知识。

工业无线标准ISA100.11a、面向工业过程自动化的工业无线网络标准技术WIA-PA和WirelessHART无线通信标准均属于工业标准，紫峰协议Zigbee不属于工业标准。

38.单选题

基于MD4和MD5设计的S/Key口令是一种一次性口令生成方案，它可以对访问者的身份与设备进行综合验证，该方案可以对抗（

）。

问题1选项

A.网络钓鱼

B.数学分析攻击

C.重放攻击

D.穷举攻击

【答案】C

【解析】本题考查Hash算法中的MD4、MD5算法。

网络钓鱼：是一种通过假冒可信方（知名银行、信用卡公司等）提供网上服务，以欺骗手段获取敏感个人信息（如口令、银行卡信息等）的攻击方式。

数学分析攻击：是指密码分析者针对加解密算法的数学基础和某些密码学特性，通过数学求解的方法来破译密码。数学分析攻击是对基于数学难题的各种密码的主要威胁。为了对抗这种数学分析攻击，应当选用具有坚实数学基础和足够复杂的加解密算法。

重放攻击：也被叫做是重播攻击、回放攻击或者是新鲜性攻击，具体是指攻击者发送一个目的主机已经接收过的包来达到欺骗系统的目的。重放攻击主要是在身份认证的过程时使用，它可以把认证的正确性破坏掉。

穷举攻击：亦称“暴力破解”。对密码进行逐个推算，直到找出真正的密码为止的一种攻击方式。理论上可破解任何一种密码，问题在于如何缩短破解时间。

S/key口令是一种一次性口令生成方案，可以有效对抗重放攻击。故本题选C。

点播：此类题目不需要完全了解MD4、MD5等算法原理，只需抓住题干中关键字——“一次性口令”，再结合选项的理解分析，即可快速找到答案。

39.单选题

移位密码的加密对象为英文字母，移位密码采用对明文消息的每一个英文字母向前推移固定key位的方式实现加密。设key=6，则明文“SEC"对应的密文为（

）。

问题1选项

A.YKI

B.ZLI

C.XJG

D.MYW

【答案】A

【解析】本题考查移位密码方面的基础知识。

英文字母S.E、C向前推移6位后分别为Y、K、I,所以明文“SEC"对应的密文为“YKI”"。

答案选A。

40.单选题

Snort是一款开源的网络入侵检测系统，它能够执行实时流量分析和IP协议网络的数据包记录。以下不属于Snort配置模式的是（

）。

问题1选项

A.嗅探

B.包记录

C.分布式入侵检测

D.网络入侵检测

【答案】C

【解析】本题考查网络入侵检测系统Snort。

Snort是一款开源的网络入侵检测系统，它能够执行实时流量分析和IP协议网络的数据包记录。Snort可以执行协议分析和内容查询/匹配使你能够探测各种攻击和探查，比如缓冲区溢出，隐蔽端口扫描，通用网关接口（CGI）攻击，服务器信息块协议（SMB）探测，操作系统指纹攻击等。

主要模式有：

嗅探（Sniffer）：主要是读取网络上的数据包并在控制台上用数据流不断地显示出来。

包记录（PacketLogger）：把数据包记录在磁盘上。

网络入侵检测（NetworkIntrusionDetection）：是最复杂最难配置的；它可以分析网络流量与用户定义的规则设置进行匹配然后根据结果执行相应的操作。

故本题选C。

点播：UNIX/Linux系统的安全是动态的，对运行的系统进行实时监控有利于及时发现安全问题，做出安全应急响应。针对UNIX/Linux系统的安全监测，常用的安全工具有Netstat、lsof、Snort等。

41.单选题

恶意代码是指为达到恶意目的而专门设计的程序或代码。恶意代码的一般命名格式为：..。以下恶意代码中，属于脚本病毒的是（

）。

问题1选项

A.Worm.Sasser.f

B.Trojan.Huigezi.a

C.Harm.formatC.f

D.Script.Redlof

【答案】D

【解析】本题考查恶意代码相关知识。

恶意代码的英文是MaliciousCode，它是一种违背目标系统安全策略的程序代码，会造成目标系统信息泄露、资源滥用，破坏系统的完整性及可用性。根据恶意代码的命名规则，脚本病毒的共有特性是脚本病毒的前缀是：Script，则属于脚本病毒的是Script.Redlof。

A为蠕虫病毒、B为木马病毒、C为破坏性病毒。

故本题选D。

点播：恶意代码是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件，也包括故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。在访问因特网时，可以采取将要访问的Web站点按其可信度分配到浏览器不同安全区域的方式防止Web页面中恶意代码对自己计算机的损害。

42.单选题

为确保关键信息基础设施供应链安全，维护国家安全，依据（

），2020年4月27日，国家互联网信息办公室等12个部门联合发布了《网络安全审查办法》，该办法自2020年6月1日实施，将重点评估采购网络产品和服务可能带来的国家安全风险。

问题1选项

A.《中华人民共和国国家安全法》和《中华人民共和国网络安全法》

B.《中华人民共和国国家保密法》和《中华人民共和国网络安全法》

C.《中华人民共和国国家安全法》和《网络安全等级保护条例》

D.《中华人民共和国国家安全法》和《中华人民共和国国家保密法》

【答案】A

【解析】本题考查网络安全相关法律法规的知识。

在《中华人民共和国国家安全法》和《中华人民共和国网络安全法》中，有相关条款对网络产品和服务的采购有相应要求。

答案选A。

43.单选题

安全套接字层超文本传输协议HTTPS在HTTP的基础上加入了SSL协议，网站的安全协议是HTTPS时，该网站浏览时会进行（

）处理。

问题1选项

A.增加访问标记

B.身份隐藏

C.口令验证

D.加密

【答案】D

【解析】本题考查HTTPS安全协议的基础知识。

HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信数据提供加密功能。

答案选D。

44.单选题

PDR模型是一种体现主动防御思想的网络安全模型，该模型中D表示（

）。

问题1选项

A.Design（设计）

B.Detection（检测）

C.Defense（防御）

D.Defend（保护）

【答案】B

【解析】本题考查信息保障模型中的PDR模型。

PDR模型是最早体现主动防御思想的网络安全模型。PDR模型包括了Protection（保护）、Detection（检测）、Response（响应）3个部分。故本题选B。

点播：美国国防部提出了PDRR模型，其中PDRR是Protection（保护）、Detection（检测）、Recovery（恢复）、Response（响应）英文单词的缩写。PDRR改进了传统的只注重保护的单一安全防御思想，该模型强调的是自动故障恢复能力。

45.单选题

防火墙的安全规则由匹配条件和处理方式两部分组成。当网络流量与当前的规则匹配时，就必须采用规则中的处理方式进行处理。其中，拒绝数据包或信息通过，并且通知信息源该信息被禁止的处理方式是（

）。

问题1选项

A.Accept

B.Reject

C.Refuse

D.Drop

【答案】B

【解析】本题考查防火墙相关知识。

防火墙的规则处理方式如下：

Accept：允许数据包或信息通过；

Reject：拒绝数据包或信息通过，并且通知信息源该信息被禁止；

Drop：直接将数据包或信息丢弃，并且不通知信息源。

故本题选B。

点播：防火墙是一种控制隔离技术，在某机构的网络和不安全的网络之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止重要信息从企业的网络上被非法输出。

46.案例题

阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。

【说明】在Linux系统中，用户账号是用户的身份标志，它由用户名和用户口令组成。

【问题1】（4分）

Linux系统将用户名和口令分别保存在哪些文件中？

【问题2】（7分）

Linux系统的用户名文件通常包含如下形式的内容：

root:x:0:0:root:root:/bin/bash

bin:x:1:1:bin:/bin:/sbin/nologin

hujw:x:500:500:hujianwei:/home/hujw:/bin/bash

文件中的一行记录对应着一个用户，每行记录用冒号（：）分隔为7个字段，请问第1个冒号（第二列）和第二个冒号（第三列）的含义是什么？上述用户名文件中，第三列的数字分别代表什么含义？

【问题3】（4分）

Linux系统中用户名文件和口令字文件的默认访问权限分别是什么？

【答案】【问题1】

用户名是存放在/etc/passwd文件中，口令是以加密的形式存放在/etc/shadow文件中。

【问题2】用户名:口令:用户标识号:组标识号:注释性描述:主目录:登录Shell。

第一个冒号的第二列代表口令；第二个冒号的第三列代表用户标识号。

root用户id为0；bin用户id为1到99；hujw用户id为500。【解析】【问题1】

在Linux系统中，系统用户名是存放在/etc/passwd文件中，口令是以加密的形式存放在/etc/shadow文件中。

【问题2】

在Linux系统中，系统用户名是存放在/etc/passwd文件中，口令是以加密的形式存放在/etc/shadow文件中。

/etc/passwd文件介绍：

一般/etc/passwd中一行记录对应着一个用户，每行记录又被冒号（:）分隔为7个字段，其格式和具体含义如下：

用户名:口令:用户标识号:组标识号:注释性描述:主目录:登录Shell

用户名(login_name):是代表用户账号的字符串。通常长度不超过8个字符，并且由大小写字母和/或数字组成。登录名中不能有冒号（:），因为冒号在这里是分隔符。为了兼容起见，登录名中最好不要包含点字符（.），并且不使用连字符（-）和加号（+）打头。

口令（passwd）：一些系统中，存放着加密后的用户口令字。虽然这个字段存放的只是用户口令的加密串，不是明文，但是由于/etc/passwd文件对所有用户都可读，所以这仍是一个安全隐患。因此，现在许多Linux系统（如SVR4）都使用了shadow技术，把真正的加密后的用户口令字存放到/etc/shadow文件中，而在/etc/passwd文件的口令字段中只存放一个特殊的字符，例如“x”或者“*”。

用户标识号（UID）：是一个整数，系统内部用它来标识用户。一般情况下它与用户名是一一对应的。如果几个用户名对应的用户标识号是一样的，系统内部将把它们视为同一个用户，但是它们可以有不同的口令、不同的主目录以及不同的登录Shell等。取值范围是0-65535。0是超级用户root的标识号，1-99由系统保留，作为管理账号，普通用户的标识号从100开始。在Linux系统中，这个界限是500。

组标识号（GID）：字段记录的是用户所属的用户组。它对应着/etc/group文件中的一条记录。

注释性描述（users）：字段记录着用户的一些个人情况，例如用户的真实姓名、电话、地址等，这个字段并没有什么实际的用途。在不同的Linux系统中，这个字段的格式并没有统一。在许多Linux系统中，这个字段存放的是一段任意的注释性描述文字，用作finger命令的输出。

主目录（home_directory）：也就是用户的起始工作目录，它是用户在登录到系统之后所处的目录。在大多数系统中，各用户的主目录都被组织在同一个特定的目录下，而用户主目录的名称就是该用户的登录名。各用户对自己的主目录有读、写、执行（搜索）权限，其他用户对此目录的访问权限则根据具体情况设置。

登录Shell（Shell）：用户登录后，要启动一个进程，负责将用户的操作传给内核，这个进程是用户登录到系统后运行的命令解释器或某个特定的程序，即Shell。Shell是用户与Linux系统之间的接口。Linux的Shell有许多种，每种都有不同的特点。常用的有sh（BourneShell），csh