1、系统架构设计师-系统安全性与保密性设计及答案解析(总分：15.00，做题时间：90 分钟)一、单项选择题(总题数：12，分数：15.00)1.常用对称加密算法不包括_。ADES BRC-5 CIDEA DRSA（分数：1.00）A.B.C.D.2.数字签名的功能不包括_。A防止发送方和接收方的抵赖行为 B发送方身份确认C接收方身份确认 D保证数据的完整性（分数：1.00）A.B.C.D.3.采用 Kexberos 系统进行认证时，可以在报文中加入_来防止重放攻击。A会话密钥 B时间戳 C用户 ID D私有密钥（分数：1.00）A.B.C.D.4.包过滤型防火墙通过_来确定数据包是否能通过。A路
2、由表 BARP 表 CNAT 表 D过滤规则（分数：1.00）A.B.C.D.ISO7498-2 标准涉及的 5 种安全服务是 (5) 。可信赖计算机系统评价准则(TCSEC)把计算机系统的安全性分为 4 大类 7 个等级，其中的 C2 级是指 (6) 。（分数：2.00）(1).A身份认证，访问控制，数据加密，数据完整，安全审计B身份认证，访问控制，数据加密，数据完整，防止否认C身份认证，安全管理，数据加密，数据完整，防止否认D身份认证，访问控制，数据加密，安全标记，防止否认（分数：1.00）A.B.C.D.(2).A安全标记保护 B自主式安全保护C结构化安全策略模型 D受控的访问保护（分数
3、：1.00）A.B.C.D.5.网络隔离技术的目标是确保把有害的攻击隔离在可信网络之外，在保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。下列隔离方式中，安全性最好的是_。A多重安全网关 B防火墙 CVLAN 隔离 D人工方式（分数：1.00）A.B.C.D.6.安全审计系统是保障计算机系统安全的重要手段之一，其作用不包括_。A检测对系统的入侵B发现计算机的滥用情况C提供系统运行的日志，从而能发现系统入侵行为和潜在的漏洞D保证可信网络内部信息不外泄（分数：1.00）A.B.C.D.实现 VPN 的关键技术主要有隧道技术、加/解密技术、 (9) 和身份认证技术。如果需要在传输层实现v
4、PN，可选的协议是 (10) 。（分数：2.00）(1).A入侵检测技术 B病毒防治技术C安全审计技术 D密钥管理技术（分数：1.00）A.B.C.D.(2).AL2TP BPPTP CTLS DIPSec（分数：1.00）A.B.C.D.目前在网络上流行的“熊猫烧香”病毒属于 (11) 类型的病毒，感染该病毒后的计算机不会出现 (12) 的情况。（分数：2.00）(1).A目录 B引导区 C蠕虫 DDOS（分数：1.00）A.B.C.D.(2).A执行文件图标变成熊猫烧香 B用户信息被泄露C系统运行变慢 D破坏计算机主板（分数：1.00）A.B.C.D.7.所谓网络安全漏洞是指_。A用户的误
5、操作引起的系统故障B网络结点的系统软件或应用软件在逻辑设计上的缺陷C网络硬件性能下降产生的缺陷D网络协议运行中出现的错误（分数：1.00）A.B.C.D.8.ARP 攻击造成网络无法跨网段通信的原因是_。A发送大量 ARP 报文造成网络拥塞B伪造网关 ARP 报文使得数据包无法发送到网关CARP 攻击破坏了网络的物理连通性DARP 攻击破坏了网关设备（分数：1.00）A.B.C.D.9.下列安全协议中，用来实现安全电子邮件的协议是_。AIPSec BL2TP CPGP DPPTP（分数：1.00）A.B.C.D.系统架构设计师-系统安全性与保密性设计答案解析(总分：15.00，做题时间：90
6、分钟)一、单项选择题(总题数：12，分数：15.00)1.常用对称加密算法不包括_。ADES BRC-5 CIDEA DRSA（分数：1.00）A.B.C.D. 解析：常见的对称加密算法包括：DES、3DES、RC-5、IDEA。常见的非对称加密算法包括：RSA、ECC。关于对称加密算法与非对称加密算法的详细情况请参看“5.1.2 安全基础技术”。2.数字签名的功能不包括_。A防止发送方和接收方的抵赖行为 B发送方身份确认C接收方身份确认 D保证数据的完整性（分数：1.00）A.B.C. D.解析：数字签名技术是将摘要信息用发送者的私钥加密与原文一起传送给接收者。接收者只有用发送的公钥才能解密
7、被加密的摘要信息，然后用 Hash 函数对收到的原文产生一个摘要信息，与解密的摘要信息对比。如果相同，则说明收到的信息是完整的，在传输过程中没有被修改，否则说明信息被修改过，因此数字签名能够验证信息的完整性。数字签名是个加密的过程，数字签名验证是个解密的过程。数字签名技术是在网络系统虚拟环境中确认身份的重要技术，完全可以代替现实过程中的“亲笔签字”，在技术和法律上有保证。数字签名主要的功能是：保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生。3.采用 Kexberos 系统进行认证时，可以在报文中加入_来防止重放攻击。A会话密钥 B时间戳 C用户 ID D私有密钥（分数：1.00）
8、A.B. C.D.解析：Kerberos 认证是一种使用对称密钥加密算法来实现通过可信第三方密钥分发中心的身份认证系统。客户方需要向服务器方递交自己的凭据来证明自己的身份，该凭据是由 KDC 专门为客户和服务器方在某一阶段内通信而生成的。凭据中包括客户和服务器方的身份信息和在下一阶段双方使用的临时加密密钥，还有证明客户方拥有会话密钥的身份认证者信息。身份认证信息的作用是防止攻击者在将来将同样的凭据再次使用。时间标记是检测重放攻击。4.包过滤型防火墙通过_来确定数据包是否能通过。A路由表 BARP 表 CNAT 表 D过滤规则（分数：1.00）A.B.C.D. 解析：包过滤型防火墙工作在 OSI
9、 网络参考模型的网络层和传输层，它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。第一代静态包过滤类型防火墙。这类
10、防火墙几乎是与路由器同时产生的，它是根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。过滤规则基于数据包的报头信息进行制订。报头信息中包括 IP 源地址、IP 目标地址、传输协议(TCP、UDP、ICMP 等)、TCP/UDP 目标端口、ICMP 消息类型等。第二代动态包过滤类型防火墙。这类防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。这种技术后来发展成为包状态监测(StatefulInspection)技术。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更新条目。包过滤方式的优点是不用改动客户机和主机
11、上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大影响；由于缺少上下文关联信息，不能有效地过滤如 UDP、RPC 一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。ISO7498-2 标
12、准涉及的 5 种安全服务是 (5) 。可信赖计算机系统评价准则(TCSEC)把计算机系统的安全性分为 4 大类 7 个等级，其中的 C2 级是指 (6) 。（分数：2.00）(1).A身份认证，访问控制，数据加密，数据完整，安全审计B身份认证，访问控制，数据加密，数据完整，防止否认C身份认证，安全管理，数据加密，数据完整，防止否认D身份认证，访问控制，数据加密，安全标记，防止否认（分数：1.00）A.B. C.D.解析：(2).A安全标记保护 B自主式安全保护C结构化安全策略模型 D受控的访问保护（分数：1.00）A.B.C.D. 解析：在 ISO 74982 中描述了开放系统互联安全的体系结
13、构，提出设计安全的信息系统的基础架构中应该包含 5 种安全服务(安全功能)、能够对这 5 种安全服务提供支持的 8 类安全机制和普遍安全机制，以及需要进行的 5 种 OSI 安全管理方式。其结构如图 5-5 所示。5.网络隔离技术的目标是确保把有害的攻击隔离在可信网络之外，在保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。下列隔离方式中，安全性最好的是_。A多重安全网关 B防火墙 CVLAN 隔离 D人工方式（分数：1.00）A.B.C.D. 解析：无论采用什么形式的网络隔离，其实质都是数据或信息的隔离。网络隔离的重点是物理隔离。人工方式隔离的一个特征，就是内网与外网永不连接，内网
14、和外网在同一时间最多只有一个同隔离设备建立非TCP/IP 的数据连接。6.安全审计系统是保障计算机系统安全的重要手段之一，其作用不包括_。A检测对系统的入侵B发现计算机的滥用情况C提供系统运行的日志，从而能发现系统入侵行为和潜在的漏洞D保证可信网络内部信息不外泄（分数：1.00）A.B.C.D. 解析：安全审计包括识别、记录、存储、分析与安全相关行为的信息，审计记录用于检查与安全相关的活动和负责人。安全审计系统就是根据一定的安全策略记录和分析历史操作事件及数据，发现能够改进系统运行性能和系统安全的地方。安全审计的作用包括：对潜在的攻击者起到震慑或警告的作用、检测和制止对安全系统的入侵、发现计算
15、机的滥用情况、为系统管理员提供系统运行的日志，从而能发现系统入侵行为和潜在的漏洞及对已经发生的系统攻击行为提供有效的追究证据。安全审计系统通常有一个统一的集中管理平台，支持集中管理，并支持对日志代理、安全审计中心、日志、数据库的集中管理，并具有事件响应机制和联动机制。实现 VPN 的关键技术主要有隧道技术、加/解密技术、 (9) 和身份认证技术。如果需要在传输层实现vPN，可选的协议是 (10) 。（分数：2.00）(1).A入侵检测技术 B病毒防治技术C安全审计技术 D密钥管理技术（分数：1.00）A.B.C.D. 解析：(2).AL2TP BPPTP CTLS DIPSec（分数：1.00
16、）A.B.C. D.解析：隧道技术可以分别以第 2、3 层隧道协议为基础。第 2 层隧道协议对应 OSI 模型中的数据链路层，使用帧作为数据交换单位。PPTP，L2TP 和 L2F(第 2 层转发)都属于第 2 层隧道协议，都是将数据封装在PPP 帧中通过互联网络发送。第 3 层隧道协议对应 OSI 模型中的网络层，使用包作为数据交换单位。IPoverIP 及 IPSec 隧道模式都属于第 3 层隧道协议，都是将 IP 包封装在附加的 IP 包头中通过 IP 网络传送。TLS(Transport Layer Security，传输层安全性)协议是 IETF 标准草案，它基于 SSL 并与之相似
17、。它的主要目标是在两个正在通信的应用程序之间提供保密性和数据完整性。与 SSL 一样，TLS 是独立于应用程序协议的，其使用的加密算法的种类与 SSL 使用的相似。然而，TLS 标准把如何启动 TLS 握手和如何解释认证证书的决定权留给运行于其上层的协议的设计者和实现者来判断。TLS 协议的目标，按其优先级顺序来说，是密码安全性、互操作性和可扩展性。目前在网络上流行的“熊猫烧香”病毒属于 (11) 类型的病毒，感染该病毒后的计算机不会出现 (12) 的情况。（分数：2.00）(1).A目录 B引导区 C蠕虫 DDOS（分数：1.00）A.B.C. D.解析：(2).A执行文件图标变成熊猫烧香
18、B用户信息被泄露C系统运行变慢 D破坏计算机主板（分数：1.00）A.B.C.D. 解析：熊猫烧香是一种感染型的蠕虫病毒，它能感染系统中 exe、com、pif、src、html、asp 等文件，还能中止大量的反病毒软件进程并且会删除扩展名为 gho 的文件，该文件是系统备份工具 GHOST 的备份文件，使用户的系统备份文件丢失。7.所谓网络安全漏洞是指_。A用户的误操作引起的系统故障B网络结点的系统软件或应用软件在逻辑设计上的缺陷C网络硬件性能下降产生的缺陷D网络协议运行中出现的错误（分数：1.00）A.B. C.D.解析：本题主要考查网络安全漏洞的基本概念，网络安全漏洞通常是指网络结点的系
19、统软件或应用软件在逻辑上的缺陷，因此本题应该选择 B。8.ARP 攻击造成网络无法跨网段通信的原因是_。A发送大量 ARP 报文造成网络拥塞B伪造网关 ARP 报文使得数据包无法发送到网关CARP 攻击破坏了网络的物理连通性DARP 攻击破坏了网关设备（分数：1.00）A.B. C.D.解析：本题主要考查 ARP 攻击的定义和特点。ARP 攻击是针对以太网地址解析协议(ARP)的一种攻击技术，这种攻击可让攻击者取得局域网上的数据封包甚至可篡改封包，且可让网络上特定计算机或所有计算机无法正常连接。ARP 攻击造成网络无法跨网段通信的原因是伪造网关 ARP 报文使得数据包无法发送到网关。9.下列安全协议中，用来实现安全电子邮件的协议是_。AIPSec BL2TP CPGP DPPTP（分数：1.00）A.B.C. D.解析：PGP(Pretty Good Priracy)，是一个基于 RSA 公钥加密体系的邮件加密软件。可以用它对邮件保密以防止非授权者阅读，它还能对邮件加上数字签名从而使收信人可以确认邮件的发送者，并能确信邮件不被篡改。它可以提供一种安全的通信方式，而事先并不需要任何保密的渠道用来传递密匙。它采用了一种RSA 和传统加密的杂合算法，用于数字签名的邮件文摘算法、加密前压缩等，还有一个良好的人机工程设计。它的功能强大，有很快的速度。
