2. 计算机
  3. 以下针对信息系统安全的说法中，( )是错误的。

以下针对信息系统安全的说法中，( )是错误的。

admin2018-04-19  52
问题 以下针对信息系统安全的说法中，(    )是错误的。
选项 A、信息系统安全的侧重点随着信息系统使用者的需求不同而发生变化
B、信息系统安全属性包含：保密性、完整性、可用性与不可抵赖性
C、应用系统常用的保密技术有：最小授权原则、防暴露、信息加密、数字签名与公证
D、完整性是一种面向信息的安全性能，可用性是面向用户的安全性能
答案C
解析 信息系统安全是计算机信息系统运行保障机制的重要内容。它的不安全因素主要来自：①物理部分，主要有机房不达标、设备缺乏保护措施和存在管理漏洞等。②软件部分，安全因素主要有操作系统安全和数据库系统安全。③网络部分，包括内部网安全和内、外部网连接安全两方面。④信息部分，安全的因素有信息传输线路不安全、存储保护技术有弱点及使用管理不严格等。
    信息系统安全的侧重点会随着信息系统使用者的需求不同而发生变化。
    个人用户最为关心的信息系统安全问题是如何保证涉及个人隐私的问题。企业用户看重的是如何保证涉及商业利益的数据的安全。这些个人数据或企业的信息在传输过程中要保证其受到保密性、完整性和可用性的保护，如何避免其他人，特别是竞争对手利用窃听、冒充、篡改和抵赖等手段，对其利益和隐私造成损害和侵犯，同时用户也希望其保存在某个网络信息系统中的数据，不会受其他非授权用户的访问和破坏。
    从网络运行和管理者角度说，最为关心的信息系统安全问题是如何保护和控制其他人对本地网络信息的访问、读写等操作。例如，避免出现漏洞陷阱、病毒、非法存取、拒绝服务及网络资源被非法占用和非法控制等现象，制止和防御网络黑客的攻击。
    对安全保密部门和国家行政部门来说，最为关心的信息系统安全问题是如何对非法的、有害的或涉及国家机密的信息进行有效过滤和防堵，避免非法泄露。机密敏感的信息被泄密后将会对社会的安定产生危害，给国家造成巨大的经济损失和政治损失。
    从社会教育和意识形态角度来说，最为关心的信息系统安全问题则是如何杜绝和控制网络上的不健康内容。有害的黄色内容会对社会的稳定和人类的发展造成不良影响。
    信息系统工程在企业和政府组织中得到了真正的广泛应用。许多组织对其信息系统的依赖性不断增长，使得信息和信息安全也越来越受到重视。由于信息化成本的限制，用户应该根据自己信息化的具体应用，制定相应的安全策略和安全管理措施。
    目前比较成熟的安全技术主要有以下几类：身份识别技术、访问控制技术、数据加密技术、防火墙技术和数字签名技术。
    身份识别技术：计算机系统安全机制的主要目标是控制对信息的访问。当前用于身份识别的技术方法主要有4种：①利用用户身份、口令、密钥等技术措施进行身份识别。②利用用户的体貌特征、指纹、签字等技术措施进行身份识别。③利用用户持有的证件，如光卡、磁卡等进行身份识别。④多种方法交互使用进行身份识别。
    其中，口令识别是目前广泛采用的技术措施，这种身份识别机制在技术上需要进行两步处理：第一步是给予身份标识；第二步是鉴别。口令识别这种控制机制的优点是简单易掌握、能减缓受到攻击的速度。
目前对其攻击主要有尝试猜测、假冒登录和搜索系统口令表等3种方法。
    (1)访问控制技术。身份识别的目的是防止入侵者非法侵入系统，但其对系统内部的合法用户的破坏却无能为力。目前对系统内部用户非授权的访问控制主要有两种类型，即任意访问控制和强制访问控制。
    任意访问控制指用户可以随意在系统中规定访问对象，通常包括目录式访问控制、访问控制表、访问控制矩阵和面向过程的访问控制等。强制访问控制指用户和文件都有固定的安全属性，由系统管理员按照严格程序设置，不允许用户修改。如果系统设置的用户安全属性不允许用户访问某个文件，那么不论用户是否是该文件的拥有者都不能进行访问。
    任意访问控制的优点是方便用户，强制访问控制则通过无法回避的访问限制来防止对系统的非法入侵。对安全性要求较高的系统通常采用任意访问控制和强制访问控制相结合的方法；安全要求较低的部分强制访问控制。
    (2)数据加密技术。加密是目前解决身份认证、系统鉴别和信息交换的重要技术措施。目前使用的加密算法很多，如基于Web浏览器的SSL，S-HTTP密码安全协议，基于Intemet网络的PTC保密通信协议，基于IP层的S／WAN安全协议，用于开放网络进行电子支付的SET安全协议，国际数据加密算法(IDEA)和一些混合算法等。这些算法的基础是对称密钥密码体制(DES)和公开密钥密码体制(RAS)。对称密钥密码体制在计算机信息系统中已经运用多年，比较简便可靠；非对称密钥密码体制在信息系统中运用时间不长，但前景广阔。
    (3)防火墙技术。防火墙是网络与网络之间的安全接口。目前基于这方面产品主要有2大类，一类是安全路由器，另一类是防火墙路由器和软件系统。安全路由器的功能主要是对通过路由器的信息包(如基于下列信息组的IP包：IP原地址、IP目的地址、TCP或UDP原端口、TCP或UDP目的端口等)进行过滤，以滤去不需要或有害的信息包。
    (4)数字签名技术。数字签名技术是解决网络通信中发生否认、伪造、冒充、篡改等问题的安全技术，它主要包括接收者能够核实发送者对报文的签名、发送者事后不能抵赖对报文的签名、接收者不能伪造对报文的签名等方面。
    信息系统的安全属性包括保密性、完整性、可用性和不可抵赖性。
    完整性是网络信息未经授权不能进行改变的特性。即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成和正确存储和传输。
    完整性与保密性不同，保密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。影响网络信息完整性的主要因素有：设备故障、误码(传输、处理和存储过程中产生的误码，定时的稳定度和精度降低造成的误码，各种干扰源造成的误码)、人为攻击、计算机病毒等。
    可用性是网络信息可被授权实体访问并按需求使用的特性。即网络信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。可用性是网络信息系统面向用户的安全性能。网络信息系统最基本的功能是向用户提供服务，而用户的需求是随机的、多方面的、有时还有时间要求。可用性一般用系统正常使用时间和整个工作时间之比来度量。
    可用性还应该满足以下要求：身份识别与确认、访问控制(对用户的权限进行控制，只能访问相应权限的资源，防止或限制经隐蔽通道的非法访问。它包括自主访问控制和强制访问控制)、业务流控制(利用均分负荷方法，防止业务流量过度集中而引起网络阻塞)、路由选择控制(选择那些稳定可靠的子网，中继线或链路等)、审计跟踪(把网络信息系统中发生的所有安全事件情况存储在安全审计跟踪之中，以便分析原因，分清责任，及时采取相应的措施。审计跟踪的信息主要包括：事件类型、被管客体等级、事件时间、事件信息、事件回答以及事件统计等方面的信息)。
    完整性是一种面向信息的安全性能，可用性是面向用户的安全性能。
转载请注明原文地址:https://www.kaotiyun.com/show/u8FZ777K
本试题收录于： 信息系统项目管理师上午综合知识考试题库软考高级分类
0

信息系统项目管理师上午综合知识考试

软考高级

相关试题推荐
随机试题
最新回复(0)