精华内容
下载资源
问答
  • 说起考security+这个认证考试还是比较尴尬的,因为根本没想过要考这个认证,但是现在想混安全界必须有几本证在手,没有证书很难找到高薪资的工作。而且相比CISP、CISSP而言,Security+的性价比还是很高的。很值得...

    前言

    说起考security+这个认证考试还是比较尴尬的,因为根本没想过要考这个认证,但是现在想混安全界必须有几本证在手,没有证书很难找到高薪资的工作。而且相比CISP、CISSP而言,Security+的性价比还是很高的。很值得入门安全的小白去考这个认证。我从报名培训班到考出证书历时大约20天左右,其实难度不怎么高,毕竟还是偏理论的。只要你稳扎稳打,认真得学习了解每个知识概念,通过基本上没什么问题。

    入坑经历

    某天无意间加入了谷安一个security+认证的公开课微信群,听老师扯了一个小时的关于security+考试认证的事情,然后就有老师加了我,我就顺利入坑学习了。报了名之后就顺便上网百度或者google下security+的知识体系及考试中占的百分比。Security+知识体系分为网络安全(Network Security)、合规与操作安全(Compliance and Operational Security)、威胁与脆弱性(Threats and Vulnerabilities)、应用数据与主机安全(Application,data and Host Security)、访问控制与身份管理(Access Control and Identity Management)、密码学(Cryptography)。具体的分值分布大家可以看下图:

    这些知识就算大家是小白也不用担心,毕竟你是报了培训班的,定期都会安排讲课的,并且还有答疑的课,还有谷安再安全牛网校上开的往期的security+培训录播视频,你也会收到谷安发过来的三本书(一本讲义、一本sy401书、一本习题册),所以资源这么丰富,只要你认真去学习,你还过不了就太对不起自己了。

           备考经历

           我基本按时的去上直播课,每天花个一小时或者半小时的时间做点习题或者看书(sy-401),随便说一句我觉得看sy-401这本书还是很有必要的,对小白来说,可以帮你建立起整个security+知识体系架构,里面的知识点也很详细,只要你熟读牢记里面的每个知识点,题海战术这个完全没有必要了,还有就是要多google、百度,因为有些知识点搜索出来的会更详细。直播课结束后,我就立马去报名了,才知道这个考试是要预约的(所以大家要报名考试的时候记得要安排好时间),我大约是等了一周后,才去考试的,所以这一周比较关键,我需要时不时的温习下知识点,毕竟知识是很容易遗忘的。我就经常翻个墙去做security+的英文题,个人比较喜欢装逼。(提醒一下其实考试的题目是英文翻译成中文的,所以不懂英文没关系,翻译得还蛮准确的)。这就是碎片记忆的魔力。当然你也可以做谷安网校发得习题集及每节直播课后发得电子习题(都有中文翻译哦),这些题目跟我去翻个墙做的题目都是一样的。

           考试经历

           考试的时候需要带上身份证、信用卡、驾驶证(其中两个),主要是为了做身份确认。这个概念就是访问控制与身份管理其中的单因素认证(what you have)。一定要提前一点到达考场,熟悉一下考场周围的环境。这样才不会慌慌张张的进考场考试,还有考试的时候一定要把握好心态,心态很关键,我就比较衰,一进考场。手握鼠标,看着显示屏,一脸闷逼,都不知道怎么操作,摸索了半天才顺利进入考试,考试的时候一定要遵循一个原则(就是尽量以第一印象为主,这是谷安老师的建议),没有特大把握不要去改做过的题目,我就是这样改了好几道,拿到成绩单,才发现都改错了。考试设计的还是蛮人性化,有标记可以设置,就是你做的时候,做不到不确定的题目时可以标记下,等都做完之后就可以回来检查了。考试时间其实有120分钟,其中90分钟是真正的考试时间,还有30分钟是在看考试守则之类的东西,当然你也可以跳过直接考试,做完题目提交之后,还会有一个问卷调查,做完调查之后你就可以知道成绩了,然后就出来高高兴兴领成绩单吧。我现在就在默默等待着证书的到来。

    附:我经常去的国外题库:

    https://www.exam-labs.com/

    还有一个是同期的微信群里小伙伴发的

    http://comptiaexamtest.com/Security+SY0-401/

    大家对security+认证感兴趣可以一起交流沟通,WX:HFQ300

    展开全文
  • 作为一名从事多年信息安全的工作者,深深感觉到信息安全无小事,事事需尽心。安全防护不应该只防护外部攻击,更多的防护工作应该从内部出发,制定完善的安全管理制度,循序渐进的推进安全防护工作。企业信息安全建设...

    前言

    作为一名从事多年信息安全的工作者,深深感觉到信息安全无小事,事事需尽心。安全防护不应该只防护外部攻击,更多的防护工作应该从内部出发,制定完善的安全管理制度,循序渐进的推进安全防护工作。企业信息安全建设工作可以从多个方面来建设与完善,我在这里就介绍信息安全等级保护的基本要求加上自己从事多年的安全工作经验,与各位共勉,干货在后面。

    等级保护包含哪些方面

    根据GB/T22239-2008 《信息安全技术 信息系统安全等级保护基本要求》、GBT 22240-2008 《信息安全技术 信息系统安全等级保护定级指南》、GB/T 28448-2012 《信息安全技术 信息系统安全等级保护测评要求》等相关标准,将等级保护分为 ‘技术’ 和 ‘管理’ 两大模块,其中技术部分包含:物理安全网络安全主机安全应用安全数据安全备份恢复共五个方面;管理部分包含:安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理共五个方面,如下图所示:

    本篇文章具体介绍在信息安全等级保护三级要求中—安全管理机构测评过程中的经验分享,安全管理机构有5个测评指标,分别是岗位设置、人员配备、授权和审批、沟通和合作、审核和检查。

    如选图所示:


    我将以测评方的角度来看待安全问题,下面开始干活。

    安全管理机构具体测评

    1、岗位设置

    a:应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责。

    测评经验: 此条测评项主要是检查客户有没有设立安全管理部门来具体负责信息安全工作,一般来说,政府单位会设立信息中心负责,并且会设置信息中心主任(一般就默认为安全主管),而在测评过程中发现,企业在这方面做的工作就不够,很多企业就只是有个兼职的部门来做这个事,而且没有相应的安全主管或安全负责人。我们在对这项进行测评的时候,要询问并记录安全管理责任部门、责任人、安全主管的具体名称,并要查看具体的岗位职责文件(有可能在任命文件中会提到)。

    b:应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责。

    测评经验 :这条就比较容易测评了,就访谈客户看看有没有设立安全管理员、网络管理员、系统管理员、数据库管理员、机房管理员等职位,并且应提供专门的任职职责文件。一般来说,既然标准都着重提出安全、系统、网络这三个管理员,所以我们也要着重看。值得注意的是,一是安全管理员必须是专职的,不能由任何其他管理员兼任;二是系统管理员和数据库管理员不能为同一自然人,这两点要特别注意。但在很多真实环境中,客户方往往都没有专门设立相应的管理员,特别是安全管理员,并且根本不会出什么文件来明确各管理员的职责,本人遇到过的一个单位,整个安全部门就两个人,这种情况就是需要整改了。

    c:应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权。

    测评经验 :在这一条测评项中,我们要询问客户方是否成立了信息安全委员会或者领导小组,不能客户说成立了就成立了,我们应该要查看领导小组成立的正式文件,要查看这个文件中的组长和组员,要求文件中应有每个人的联系方式以及工作职责。值得注意的是:领导小组的组长应由企业一把手担任,虽然标准中没说必须,但在我国国情下(自行脑补国家信息安全领导小组组长),都应该由一把手来担任。
    可以分享个真实的案例,我们当地的一家高校门户网站被入侵,首页发布了一些影响较大的言论,造成了一些影响,这种情况下,一把手当时是首当其冲的,所以我们测评过程中都是要求客户要由一把手来负责安全工作。

    d:应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。

    测评经验:这一条中,我们要检查部门、岗位职责文件,查看部门职责是否覆盖物理、网络、系统安全等各个方面。岗位职责文件其实也可以查看招聘要求,招聘的时候一般就会说明此岗位的职责和需要的技能要求。一般我建议客户的整改方案是制作一份部门的职责的文件,里面全面描述部门职责、人员划分及职责的情况。

    2、人员配备

    a:应配备一定数量的系统管理员、网络管理员、安全管理员等。

    测评经验: 这一条的测评方法就是询问客户系统管理员、网络管理员、安全管理员的配备数量,要求是至少1人及以上。但很多客户是达不到这种要求的,而我的建议整改是用兼职来代替,但兼职的注意事项就要参考b来实施了。

    b:应配备专职安全管理员,不可兼任。

    测评经验: 这一条就是要求客户的安全管理员是专岗专职的,不能由其他职位人员来兼任。如何验证是专岗专职呢,就查看岗位人员情况表。不过话说回来,很多单位都没有安全管理员…

    c:关键事务岗位应配备多人共同管理。

    测评经验: 这一条的测评难点是在关键事务岗位的认定,很多客户是根本不会想到还有关键事务岗位这个条件的,所以我一般会给客户解释哪些可以认定为关键事务岗位,一般就是安全管理员、系统管理员、网络管理员、数据库管理员、机房管理员等,也可以包含其他的岗位,比如处理金钱的职位(和分为出纳与财务是一个道理)、前台敏感操作权限的职位等。关键事务岗位就要求必须是2人及以上了,或者互设为AB角。

    3、授权和审批

    a:应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。

    测评经验:这条测评项的测评方法就是访谈安全主管,询问对哪些信息系统活动进行审批,审批的部门是何部门,审批人是何人。一般情况下客户都会有这些东西,但是不会很全面,这个时候我一般就建议客户先把一些重要的活动进行审批就行,包含但不限于物理访问、远程控制、权限授予与变更、系统接入、需求变更等。

    b:应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度。

    测评经验:这一条说的比较清楚了,测评过程中至少要查看四份审批单:系统变更(包括权限变更、结构变更等)、重要操作(数据删除、权限变更、数据备份等)、物理访问(访问物理机房、访问办公环境中的敏感区域等)、系统接入(网络接入、远程控制、wifi接入等)。要查看这个审批流程中是否包含申请人、审核人、批准人,某些审批单也要查看授权的有效时间,因为遇到过授权日期已过,但授权账号还存在的情况,这是需要特别注意的。

    c:应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息。

    测评经验:这条的测评方式是检查审批事项的记录,查看是否对审批事项、审批部门、审批人的变更进行评审;询问安全主管是否定期审查、更新审批项目,审查周期多长。为什么会有这一项测评,因为在实际环境中,特别是在大型企业中,往往部门很多,人员复杂,业务流程复杂,审批流程涉及人员多。存在某一人员离岗后还在使用以前的审批流程,就会导致越权操作,所以要定期审查审批事项。

    d: 应记录审批过程并保存审批文档。

    测评经验:这条就不用说了,随机抽查几份审批文档,看看是否与当时及当前的情况一致。

    4、沟通和合作

    a:应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通,定期或不定期召开协调会议,共同协作处理信息安全问题。

    测评经验:这个测评比较简单,就查看下内部有没有在一起开过会,有没有一起处理过安全问题,这个只需要客户提供会议纪要或者处理安全问题的过程表就行了,时间上面不需要特别的要求。

    b:应加强与兄弟单位、公安机关、电信公司的合作与沟通。

    测评经验:这一条就不多说,默认符合,原因不好说,就自行理解吧。

    c:应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通。

    测评经验:这条测评项其实也没什么好说的,如何算是符合呢,只要客户能提供与安全服务商签订的合作合同就行,像我们自身是测评单位,肯定也会与客户签订关于等保测评的合同,所以这条默认符合。

    d:应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息。

    测评经验:这一条就查看客户能否提供外联单位的联系列表,为什么会要求这项内容呢,个人理解就是甲方人员变动的时候,方便下一位接手人员能够更快的接手工作。

    e:应聘请信息安全专家作为常年的安全顾问,指导信息安全建设,参与安全规划和安全评审等。

    测评经验:这一条就要看合同的内容了,一般只要与安全公司签订安全服务合同,像什么安全运维的、应急的、评估的、规划的内容等等都是可以的。这一条主要测评是在理解“常年”二字,就是要查看合同的期限,一般来说有连续三年以上的才算符合。

    5、审核和检查

    a:安全管理员应负责定期进行安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况。

    测评经验:这一条的测评主要是看“定期”与“检查内容”两词,要查看客户有没有提供安全检查的报告。查看报告的时间就可以看出是不是定期的;查看检查项就可以看出检查了哪些方面。这一项的测评其实很大意义上来说是系统管理员的工作,但很多系统管理员对漏洞这块内容不太熟,所以如果是系统管理员和安全管理员一起执行此项工作是很好的。一般来说,客户不会做的细则,很多情况就是把相应的系统或者设备加到监控系统里面去,比如Zabbix等,但系统漏洞这块的内容很多监控系统就没法完成,所以这一项很多都得不了满分,给个3分算高的。

    b:应由内部人员或上级单位定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等。

    测评经验:这一项得满分的就基本没有了,首先要理解全面的安全检查,仅这一块,就很多客户头大了,因为根本不知道要检查些什么。我到客户现场的一般做法是就是先把客户的各种权限授予单拿出来对比,一般就直接扣分了,再看安全管理制度的执行情况,那就基本确认0分了。这一项其实很多客户都是做了相应的工作的,只是没有形成完善的流程体系,所以失分比较多,我会建议客户在以后的安全工作都要做好记录,凸显工作量,也好给领导看。

    c:应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报。

    测评经验 :这项测评要求看起来字不多,但是要查看的资料其实是蛮多的,一是首先要有个安全检查表,二是要实施了安全检查工作,三是要汇总安全检查的数据,四是要查看是否有安全检查报告,五是要进行结果通报。很多企业其实在第一点上面就直接OVER了,这种情况太多了。。同理,基本都是零分。一般给客户建议的就是定期做个安全检查,如果不会,就请第三方来做。

    d:应制定安全审核和安全检查制度规范安全审核和安全检查工作,定期按照程序进行安全审核和安全检查活动。

    测评经验:这一条测评项就是一个具体的制度了,客户一般都没有,这项的测评打分就看有没有这个制度,只要有就得了4分,如果内容也比较全的话,就可以得5分了(一般内容都不全,4分算是比较合理的)。我一般就建议客户在取制度名称的时候就直接取“安全审核和安全检查制度”。这个制度主要拿来规范和支持安全审核和安全检查工作的,一般内容包括但不限于规定检查内容、检查程序、检查周期、检查人员资格、检查对象、检查方式、检查工具、检查结果处理等内容。

    总结

    以上就是等保三级里面安全管理机构的全部测评内容,别看内容不多,但要测评起来还是很麻烦的。曾经给一个金融行业的客户做评估,使用标准是通用标准+行业标准,就这么点内容,给他们测了一下午的时间。

    心得:

    测评过程中,往往会遇到各种各样的问题,客户的技术能力也参差不齐,讲解的详细程度也不一样,我的感觉是每一次做测评,都像是免费送了一次安全培训。由此可见,打铁还需自身硬,企业想要做好安全工作,仅仅靠外部力量是不行的,还需要企业自身有相关的安全人才。

     

    转自FreeBuf   URL: https://mp.weixin.qq.com/s/MYbazxsaib7I_gkkNTjiTA

    展开全文
  • 1.美国海军计算机网络防御体系体现了信息安全防护的()原则(1.0分)1.0 分 A、整体性 B、分层性 C、集成性 D、目标性 我的答案:B 2.以下对信息安全风险评估描述不正确的是()。(1.0分)1.0 分 A、风险评估是等级...

    分享给有需要的人。

    一、单选题 (题数:40,共 40.0 分)

    1.美国海军计算机网络防御体系体现了信息安全防护的()原则(1.0分)1.0 分

    A、整体性
    B、分层性
    C、集成性
    D、目标性
    我的答案:B

    2.以下对信息安全风险评估描述不正确的是()。(1.0分)1.0 分

    A、风险评估是等级保护的出发点
    B、风险评估是信息安全动态管理、持续改进的手段和依据
    C、评估安全事件一旦发生,给组织和个人各个方面造成的影响和损失程度
    D、通常人们也将潜在风险事件发生前进行的评估称为安全测评
    我的答案:D

    3.下面关于内容安全网关叙述错误的是()。(1.0分)1.0 分

    A、是一种能提供端到端宽带连接的网络接入设备,通常位于骨干网的边缘
    B、能够通过对于网络传输内容的全面提取与协议恢复
    C、在内容理解的基础上进行必要的过滤、封堵等访问控制
    D、能够发现入侵并阻止入侵
    我的答案:D

    4.影响计算机设备安全的诸多因素中,影响最大的是()(1.0分)1.0 分

    A、主机故障
    B、电源故障
    C、存储故障
    D、外部攻击
    我的答案:A

    5.包过滤型防火墙检查的是数据包的()。(1.0分)1.0 分

    A、包头部分
    B、负载数据
    C、包头和负载数据
    D、包标志位
    我的答案:A

    6.一种自动检测远程或本地主机安全性弱点的程序是()。(1.0分)1.0 分

    A、入侵检测系统
    B、防火墙
    C、漏洞扫描软件
    D、入侵防护软件
    我的答案:C

    7.12306网站的证书颁发机构是()。(1.0分)1.0 分

    A、DPCA
    B、ZTCA
    C、UECA
    D、SRCA
    我的答案:D

    8.信息安全管理的重要性不包括()。(1.0分)1.0 分

    A、三分技术、七分管理
    B、仅通过技术手段实现的安全能力是有限的,只有有效的安全管理,才能确保技术发挥其应有的安全作用
    C、信息安全技术是保障,信息安全管理是手段
    D、信息安全管理是信息安全不可分割的重要内容
    我的答案:C

    9.以下哪一项不属于保护个人信息的法律法规()。(1.0分)1.0 分

    A、《刑法》及刑法修正案
    B、《消费者权益保护法》
    C、《侵权责任法》
    D、《信息安全技术——公共及商用服务信息系统个人信息保护指南》
    我的答案:D

    10.下列被伊朗广泛使用于国防基础工业设施中的系统是()(1.0分)1.0 分

    A、Windows
    B、SIMATIC WinCC
    C、IOS
    D、Android
    我的答案:B

    11.以下关于网络欺凌的概念理解不正确的是()。(1.0分)1.0 分

    A、通过网络雇佣打手欺凌他人
    B、通过网络谩骂、嘲讽、侮辱、威胁他人
    C、通过网络披露他人隐私
    D、通过网络骚扰他人
    我的答案:A

    12.下列关于哈希函数说法正确的是()(1.0分)1.0 分

    A、又被称为散列函数
    B、只有加密过程,没有解密过程
    C、哈希函数只接受固定长度输入
    D、是一种单项密码体制
    我的答案:A

    13.以下对于社会工程学攻击的叙述错误的是()。(1.0分)1.0 分

    A、运用社会上的一些犯罪手段进行的攻击
    B、利用人的弱点,如人的本能反应、好奇心、信任、贪便宜等进行的欺骗等攻击
    C、免费下载软件中捆绑流氓软件、免费音乐中包含病毒、网络钓鱼、垃圾电子邮件中包括间谍软件等,都是近来社会工程学的代表应用
    D、传统的安全防御技术很难防范社会工程学攻击
    我的答案:A

    14.不属于计算机病毒特点的是()。(1.0分)1.0 分

    A、传染性
    B、可移植性
    C、破坏性
    D、可触发性
    我的答案:B

    15.黑客在攻击过程中通常进行端口扫描,这是为了()。(1.0分)1.0 分

    A、检测黑客自己计算机已开放哪些端口
    B、口令破解
    C、截获网络流量
    D、获知目标主机开放了哪些端口服务
    我的答案:D

    16.以下哪一项不属于隐私泄露的途径?()(1.0分)1.0 分

    A、通过微信等社交网络平台
    B、通过手机应用软件
    C、恶意代码窃取
    D、谨慎处置手机、硬盘等存有个人信息的设备
    我的答案:D

    17.提高个人信息安全意识的途径中,能够及时给听众反馈,并调整课程内容的是()。(1.0分)1.0 分

    A、以纸质材料和电子资料为媒介来教育并影响用户,主要包括海报、传单和简讯
    B、专家面向大众授课的方式
    C、培训资料以Web页面的方式呈现给用户
    D、宣传视频、动画或游戏的方式
    我的答案:B

    18.以下对于APT攻击的叙述错误的是()。(1.0分)1.0 分

    A、是一种新型威胁攻击的统称
    B、通常是有背景的黑客组织,能够综合多种先进的攻击技术实施攻击
    C、通常不具有明确的攻击目标和攻击目的,长期不断地进行信息搜集、信息监控、渗透入侵
    D、传统的安全防御技术很难防范
    我的答案:C

    19.APT攻击中的字母“A”是指()。(1.0分)1.0 分

    A、技术高级
    B、持续时间长
    C、威胁
    D、攻击
    我的答案:A

    20.()年美国国家标准技术局公布正式实施一种数据加密标准叫DES(1.0分)1.0 分

    A、1978
    B、1977
    C、1987
    D、1979
    我的答案:B

    21.之所以认为黑客是信息安全问题的源头,这是因为黑客是()。(1.0分)1.0 分

    A、计算机编程高手
    B、攻防技术的研究者
    C、信息网络的攻击者
    D、信息垃圾的制造者
    我的答案:C

    22.信息隐私权保护的客体包括()。(1.0分)1.0 分

    A、个人属性的隐私权,以及个人属性被抽象成文字的描述或记录。
    B、通信内容的隐私权。
    C、匿名的隐私权。
    D、以上都正确
    我的答案:D

    23.Web攻击事件频繁发生的原因不包括()。(1.0分)1.0 分

    A、Web应用程序存在漏洞,被黑客发现后利用来实施攻击
    B、Web站点安全管理不善
    C、Web站点的安全防护措施不到位
    D、Web站点无法引起黑客的兴趣,导致自身漏洞难以及时发现
    我的答案:D

    24.以下说法错误的是()。(1.0分)1.0 分

    A、信息泄露的基础是因为有了大数据,尽管我们不能否认大数据带来的变革。
    B、当前的个性化服务模式无形中将个人信息泄露从概率到规模都无数倍放大。
    C、移动互联网时代大数据环境下的隐私保护已经成为一个重要的课题。
    D、要保护隐私就要牺牲安全和便利。
    我的答案:D

    25.为了破坏伊朗的和核项目,美国和()合作研制出一种糯虫病毒(1.0分)1.0 分

    A、俄罗斯
    B、韩国
    C、以色列
    D、德国
    我的答案:C

    26.中国最大的开发者技术社区CSDN网站,有大约()用户资料被泄露(1.0分)1.0 分

    A、700万
    B、500万
    C、400万
    D、600万
    我的答案:D

    27.以下设备可以部署在DMZ中的是()。(1.0分)1.0 分

    A、客户的账户数据库
    B、员工使用的工作站
    C、Web服务器
    D、SQL数据库服务器
    我的答案:C

    28.下列不属于AES算法密钥长度的是()(1.0分)1.0 分

    A、128位
    B、192位
    C、208位
    D、256位
    我的答案:C

    29.以下哪家数据恢复中心成功的将“哥伦比亚”号航天飞机上找回的一块损毁严重的硬盘上恢复出99%的数据()(1.0分)1.0 分

    A、Easy Recovery
    B、Recuva
    C、Ontrack
    D、Suoer Recovery
    我的答案:C

    30.以下不属于家用无线路由器安全设置措施的是()。(1.0分)1.0 分

    A、设置IP限制、MAC限制等防火墙功能
    B、登录口令采用WPA/WPA2-PSK加密
    C、设置自己的SSID(网络名称)
    D、启用初始的路由器管理用户名和密码
    我的答案:C

    31.信息安全防护手段的第二个发展阶段是()(1.0分)0.0 分

    A、信息保障阶段
    B、信息保密阶段
    C、网络信息安全阶段
    D、空间信息防护阶段
    我的答案:A

    32.Windows XP的支持服务正式停止的时间是()。(1.0分)1.0 分

    A、2014年4月1日
    B、2014年4月5日
    C、2014年4月8日
    D、2014年4月10日
    我的答案:C

    33.一张快递单上不是隐私信息的是()。(1.0分)1.0 分

    A、快递公司名称
    B、收件人姓名、地址
    C、收件人电话
    D、快递货品内容
    我的答案:A

    34.代码签名是为了()。(1.0分)1.0 分

    A、表明软件开发商的信息
    B、实现对软件来源真实性的验证
    C、说明软件的功能
    D、说明软件的版本
    我的答案:B

    35.计算机病毒与蠕虫的区别是()。(1.0分)1.0 分

    A、病毒具有传染性和再生性,而蠕虫没有
    B、病毒具有寄生机制,而蠕虫则借助于网络的运行
    C、蠕虫能自我复制而病毒不能
    D、以上都不对
    我的答案:B

    36.IDS和IPS的主要区别在于()。(1.0分)1.0 分

    A、IDS偏重于检测,IPS偏重于防御
    B、IPS不仅要具有IDS的入侵发现能力还要具有一定的防御能力
    C、IDS具有与防火墙的联动能力
    D、IDS防护系统内部,IPS防御系统边界
    我的答案:B

    37.身份认证的实体对象是()(1.0分)

    A、个体和企业
    B、个体和单位
    C、主机系统和用户
    D、用户和单位
    我的答案:C

    38.按实现原理不同可以将防火墙总体上分为()。(1.0分)1.0 分

    A、包过滤型防火墙和应用代理型防火墙
    B、包过滤防火墙和状态包过滤防火墙
    C、包过滤防火墙、代理防火墙和软件防火墙
    D、硬件防火墙和软件防火墙
    我的答案:A

    39.以下不属于家用无线路由器安全设置措施的是()。(1.0分)0.0 分

    A、设置IP限制、MAC限制等防火墙功能
    B、登录口令采用WPA/WPA2-PSK加密
    C、启用初始的路由器管理用户名和密码
    D、设置自己的SSID(网络名称)
    我的答案:D

    40.黑客群体大致可以划分成三类,其中白帽是指()。(1.0分)1.0 分

    A、具有爱国热情和明显政治倾向、非官方的、使用技术来“维护国家和民族尊严”的人
    B、主观上没有破坏企图的黑客,热衷于发现漏洞和分享漏洞的人
    C、非法侵入计算机网络或实施计算机犯罪的人
    D、不为恶意或个人利益攻击计算机或网络,但是为了达到更高的安全性,可能会在发现漏洞的过程中打破法律界限的人
    我的答案:B

    二、多选题 (题数:15,共 30.0 分)

    1.数据的安全需求包括()(2.0分)2.0 分

    A、保密性
    B、不可认证性
    C、不可否认性
    D、完整性
    我的答案:ACD

    2.以下哪些属于信息系统中的脆弱点(2.0分)2.0 分

    A、物理安全
    B、操作系统
    C、篡改威胁
    D、应用软件安全
    我的答案:ABD

    3.创建和发布身份信息必须具备哪几个特性()(2.0分)2.0 分

    A、唯一性
    B、描述性
    C、权威签发
    D、非诱惑性
    我的答案:AC

    4.下列参与“棱镜计划”的互联网服务商有()(2.0分)2.0 分

    A、谷歌
    B、雅虎
    C、苹果
    D、脸书
    我的答案:ABCD

    5.下列关于网络政治运动说法正确的是()(2.0分)2.0 分

    A、在一定社会环境和政治局势下产生的
    B、利用互联网在网络虚拟空间有意图地传播针对性信息
    C、诱发意见倾向性,获得人们的支持和认同
    D、只会负面效果
    我的答案:ABC

    6.数字签名的特性包括()(2.0分)2.0 分

    A、便捷性
    B、不可伪造性
    C、可认证性
    D、具有不可否认性
    我的答案:BCD

    7.容灾备份系统组成包括()(2.0分)2.0 分

    A、灾难恢复系统
    B、数据备份系统
    C、备份数据处理系统
    D、备份通信网络系统
    我的答案:BCD

    8.信息隐藏的原理包括()(2.0分)2.0 分

    A、人生理学弱点
    B、载体中存在冗余
    C、信息漏洞
    D、传输过程的遗漏
    我的答案:ABCD

    9.哈希函数可以应用于()(2.0分)2.0 分

    A、消息认证
    B、数字签名
    C、保护用户口令
    D、文件校验
    我的答案:ABCD

    10.属于常用文档安全防护的是()(2.0分)2.0 分

    A、口令认证
    B、修改权限保护
    C、粉碎文件
    D、文档加密
    我的答案:ABD

    11.对抗统计分析的方法包括()(2.0分)2.0 分

    A、混乱性
    B、多样性
    C、重组性
    D、扩散性
    我的答案:AD

    12.下列属于互联网时代安全问题的是()(2.0分)2.0 分

    A、设备与环境安全
    B、身份与访问安全
    C、系统软件安全
    D、应用软件安全
    我的答案:ABCD

    13.造成计算机系统不安全因素有()(2.0分)2.0 分

    A、系统不及时打补丁
    B、使用弱口令
    C、频繁开关机
    D、连接家中的无线网络
    我的答案:AD

    14.应对数据库崩溃的方法包括()(2.0分)2.0 分

    A、高度重视
    B、不依赖数据
    C、确保数据可用性
    D、确保数据保密性
    我的答案:ABD

    15.对于用户来说,提高口令质量的方法包括()(2.0分)2.0 分

    A、增大口令空间
    B、选择无规律的口令
    C、限制登陆次数
    D、增加认证的信息量
    我的答案:ABD

    三、判断题 (题数:30,共 30.0 分)

    1.现代密码技术涵盖了涵盖了数据处理过程的各个环节(1.0分)1.0 分

    我的答案: √

    2.IDS中,能够监控整个网络的是基于网络的IDS。()(1.0分)1.0 分

    我的答案: √

    3.如果一个攻击者仅仅取得一个设备的物理控制,那么还不能轻易地控制这个设备的行为(1.0分)1.0 分

    我的答案: ×

    4.在当今移动互联网时代无网不在的环境下,网络成为整个社会运作的基础,由网络引发的信息担忧是一个全球性、全民性的问题(1.0分)1.0 分

    我的答案: √

    5.通过现代密码学,通过加密把可读的信息转变成不可理解的乱码,数字签名都可以保护数据安全(1.0分)1.0 分

    我的答案: √

    6.伪造威胁是一个非授权方将伪造的客体插入系统中,破坏信息的可认证性(1.0分)1.0 分

    我的答案: √

    7.隐私就是个人见不得人的事情或信息。()(1.0分)1.0 分

    我的答案: ×

    8.3-DES密码是DES的一个升级,通过两个或三个密钥来执行一次DES(1.0分)1.0 分

    我的答案: ×

    9.蠕虫的破坏性更多的体现在耗费系统资源的拒绝服务攻击上,而木马更多体现在秘密窃取用户信息上。()(1.0分)1.0 分

    我的答案: √

    10.My Book Live兼具公共云与个人云的优势,它可以帮助用户将媒体和文件安全地保存在家中的硬盘中(1.0分)1.0 分

    我的答案: √

    11.在移动互联网盛行的时代,一定要加强修养,谨言慎行,敬畏技术(1.0分)1.0 分

    我的答案: √

    12.机箱锁扣这种方式制作成本低,安全系数高(1.0分)1.0 分

    我的答案: ×

    13.实行信息安全等级保护制度,重点保护基础信息网络和重要信息系统,是国家法律和政策的要求。()(1.0分)1.0 分

    我的答案: √

    14.哈希函数可以处理任意大小的信息,并将其摘要生成固定大小的数据块(1.0分)1.0 分

    我的答案: √

    15.PGP综合安全防护是世界上最广泛使用的电子邮箱的数字签名和加密标准(1.0分)1.0 分

    我的答案: √

    16.信息隐藏是指将机密信息藏于隐秘信息中,通过特殊通道来传递(1.0分)1.0 分

    我的答案: ×

    17.安全管理是一个不断改进的持续发展过程。()(1.0分)1.0 分

    我的答案: √

    18.U盘中的主控芯片就是U盘内存大小(1.0分)1.0 分

    我的答案: ×

    19.网络的人肉搜索、隐私侵害属于应用软件安全问题。(1.0分)1.0 分

    我的答案: ×

    20.信息内容安全主要在于确保信息的可控性、可追溯性、保密性以及可用性等。()(1.0分)1.0 分

    我的答案: √

    21.防火墙可以检查进出内部网的通信量。()(1.0分)1.0 分

    我的答案: √

    22.我国刑法中有“出售、非法提供公民个人信息罪”、“非法获取公民个人信息罪”等罪名。(1.0分)1.0 分

    我的答案: √

    23.即使计算机在网络防火墙之内,也不能保证其他用户不对该计算机造成威胁。()(1.0分)1.0 分

    我的答案: √

    24.利用防火墙可以实现对网络内部和外部的安全防护。()(1.0分)1.0 分

    我的答案: ×

    25.安全控件一般是由各个网站依据需要自行编写,它通过对关键数据进行加密防止账号密码被病毒窃取(1.0分)1.0 分

    我的答案: √

    26.如果业务面可以允许系统停顿一段时间,这种情况通常考虑规划“热备份中心”(1.0分)1.0 分

    我的答案: ×

    27.网络空间的安篡改威胁全威胁中,最常见的是篡改威胁(1.0分)1.0 分

    我的答案: ×

    28.保密的内部网络通常都是局域网,它和互联网有着加密的物理联系(1.0分)1.0 分

    我的答案: ×

    29.网络谣言具有突发性和传播较慢的特点,会对正常的社会秩序造成不良影响(1.0分)1.0 分

    我的答案: ×

    30.没有一个安全系统能够做到百分之百的安全(1.0分)1.0 分

    我的答案: √

    展开全文
  • 欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。 备考交流QQ群:39460595 https://www.moondream.cn/?p=521 一.大纲要求 1.3.1 信息安全管理制度与政策 * 熟悉我国计算机信息系统等级...

    1.3 信息安全管理基础

    欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。

    备考交流QQ群:39460595

    https://www.moondream.cn/?p=521

    一.大纲要求

    1.3.1 信息安全管理制度与政策
    * 熟悉我国计算机信息系统等级保护制度
    * 了解我国涉及国家秘密的信息系统分级保护制度
    * 了解我国密码管理政策
    * 了解我国信息安全产品管理政策
    * 了解我国互联网信息服务管理政策

    1.3.2 信息安全风险评估与管理
    * 了解风险分析、评估和风险管理的基本知识

    二.思维导图

    展开全文
  • 欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。 备考交流QQ群:39460595 https://www.moondream.cn/?p=517 一.大纲要求 1.1 了解网络空间的概念、网络空间安全学科的内涵、网络空间安全...
  • 信息安全与网络安全的区别

    万次阅读 2019-10-16 08:55:23
    信息安全包括网络安全,信息安全还包括操作系统安全,数据库安全,硬件设备和设施安全,物理安全,人员安全,软件开发,应用安全等。 二、针对的设备不同 网络安全侧重于研究网络环境下的计算机安全,信息安全侧重于...
  • 前面的话: 曾经看到过这样一段话,让我印象深刻:“没有衰败的行业,只有衰败的个人。如果一个行业的专家都去要饭了,那才说明这个行业没有...自2016年开始学习软考信息安全工程师这门课程,截止到通过2019年上半...
  • 信息安全事件分类分级解读

    万次阅读 2018-03-08 13:39:52
    信息安全事件分类分级解读 ...依据《中华人民共和国网络安全法》 、《GBT 24363-2009 信息安全信息安全应急响应计划规范》、《GB\T 20984-2007 信息安全技术 信息安全风险评估规范》 《GB\Z 20...
  • 浅谈物联网中的信息安全

    千次阅读 2019-04-19 15:34:27
    近段时间我们刚刚开始了物联网信息安全的学习,算是稍微对这方面有了一点点认识。下面简单分享一下。 信息安全,意为保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁,需保证信息...
  • 信息安全概论习题

    千次阅读 2021-01-02 22:13:18
    主要功能:攻击者获取活动主机、开放服务、操作系统、安全漏洞等关键信息 扫描技术:Ping 扫描(确定哪些主机正在活动)、端口扫描(确定有哪些开放服务)、操作系统辨识(确定目标主机的操作系统类型)和安全漏洞...
  • ISO27001信息安全管理体系

    万次阅读 2018-11-05 18:59:00
    初入甲方,刚开始接触的应该就是ISO27001信息安全管理体系,你拿到的应该就是一整套安全管理类的文档。在甲方,稍微有点规模的公司很注重制度和流程,岗位职责分工明细,那么这些安全管理制度,就是你所能掌控的...
  • 信息安全等级保护

    千次阅读 2019-07-05 15:43:48
    等保简单理解就是,对网络安全的一个整体评估。 位于哪一个环节呢?往下看。 先了解下集成项目的实施流程: 招投标书制定——总体设计规划(ip地址,网络拓扑)——项目实施制定——开始实施——业务运行测试——...
  • 信息安全相关链接收藏

    千次阅读 2020-06-15 15:10:03
    我的整理 接码号 隐私短信 在线短信接收 Z-SMS 云接码 云短信 REALLYSMS Receive SMS Online for FREE and with NO Registration 他人整理 推荐几个在线收发短信免费...分享一波国外接码平台,亲测有效(收藏) ...
  • 企业信息安全模型(成熟度模型)

    千次阅读 2019-12-02 09:13:18
    对于今天高度依赖信息竞争力的企业来说,信息安全的重要性已经无需多言但是,随着信息安全市场技术创新的不断加速,新的威胁、技术和方法不断涌现,信息安全人才和专业服务相对匮乏,这些都为企业的信息安全策略...
  • CTF工业信息安全大赛实践与分析

    千次阅读 2020-03-17 13:41:02
    首先对上周团队参与的2019工业信息安全大赛CTF线上比赛部分题目进行解析与总结,接着对CTF相关知识及平台进行介绍,最后对CTF收集的相关资源进行分享。我也是从今年开始接触CTF,所以写这篇文章的目的是希望能跟大家...
  • 软考信息安全工程师学习笔记目录

    千次阅读 2019-03-27 17:13:35
    欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。 备考交流QQ群:39460595 2019年软考信息安全工程师备考学习资料包 1.《信息安全工程师教程》重点标记版 2.《信息安全工程师考试大纲》...
  • 信息安全工程师自2016年11月首次开考,目前已开考了四次,即2016年11月,2017年5月,...欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。 备考交流QQ群:39460595 信安备考VIP群:737518105 ...
  • 信息安全意识培训非常重要

    千次阅读 2017-11-03 11:49:35
    安全意识就是人们头脑中建立起来的信息化工作必须安全的观念,也就是人们在信息化工作中对各种各样有可能对...员工由于缺少足够的信息安全意识和防范观念,往往因为自己的便利或失误而违反信息安全规章,或成为网络犯
  • 信息安全工程师 学习笔记 完结

    千次阅读 多人点赞 2017-05-17 11:19:53
    周六考试,分享的一系列学习笔记也要暂时告别一个段落了,如果大家感兴趣的话可以去下载所有的学习笔记 下载及书籍资料链接祝大家考个好成绩。 PS:下午去年挂了,大家还是多看看书比较靠谱,都是细碎知识点。 ...
  • 计算机三级 信息安全技术 题纲

    千次阅读 2019-01-30 22:17:59
    ## 转至 中国教育考试网 最新消息详见 这里 全国计算机等级考试三级信息 安全技术考试大纲( 2018年版) <<<<<<< 本人有一些题库分享呀 点一点左边的个人分类
  • 信息安全工程师是信息产业部和人事部举办的软考中新增开的一门考试。软考全称全国计算机技术与软件专业技术资格(水平)考试,这门新开的信息安全工程师分属该考试“信息系统”专业,位处中级资格,是信息产业部和...
  • SAEJ3061汽车信息安全指南文档

    千次阅读 多人点赞 2018-04-09 15:27:58
    基本原理更多智能汽车信息安全信息,请关注博大汽车信息安全 公众号BodaSecurity。网络物理车载系统在整个开发生命周期进程中,需要提供一个网络安全进程框架和指导,帮助企业识别和评估网络安全威胁和设计网络安全...
  • 十八、信息安全管理制度 (一)定义 指医疗机构按照信息安全管理相关法律法规和技术标准要求,对医疗机构患者诊疗信息的收集、存储、使用、传输、处理、发布等进行全流程系统性保障的制度。 (二)基本要求 1....
  • 此次中信银行客户信息泄漏事件,再次将银行和信息安全推到风口浪尖。如何保护好个人金融信息安全,已然成为金融行业必须重视的问题! 这里我们收集了2020年以来国内外金融行业出现的网络信息安全事件: 1、2020...
  • 软考信息安全工程师考试历年真题汇总 2018年上半年信息安全工程师考试真题与答案(上午题) 2018年上半年信息安全工程师考试真题与答案(下午题) 2017年上半年信息安全工程师考试真题含答案(上午题) 2017...
  • 企业信息安全之社工学审计

    千次阅读 2016-07-09 07:47:22
    在现代的信息安全中,数据泄露已成为常态。在日常的生活中,各种社交软件和各种网络平台的盛行强烈地吸引着众多的网民去注册。其中社交软件和各种跨平台账号登录基本上都会涉及到邮箱、账号、QQ号码、手机号码、...
  • 5G安全,5G防御,5G网络安全,5G信息安全

    万次阅读 多人点赞 2019-03-20 18:12:29
    简介 从最初的“人人都能上网”,到移动互联网时代的“随时能够上网”,再到5G时代的“万物互联”,这些变革都极大的改变了...安全一直是移动通信系统关注的问题,在5G时代,安全会面 一、5G面临的安全需求与挑战 ...
  • 信息安全工程师 学习笔记 (一)

    千次阅读 2017-05-07 19:24:19
    陆续给大家分享我的笔记
  • 广东省信息安全测评中心实习面试

    千次阅读 2016-02-01 12:42:45
     实习处女面献给了广东省信息安全测评中心,此处应有一堆介绍hhhh,劳驾自行百度hhhh。主要是一家有关信息安全的事业单位。那时第一次收到面试的短信,心里还是挺激动小开心的,因为这首先对我个人简历有了一个认可...
  • 欢迎加入最棒的信息安全工程师社群,分享信息安全工程师备考干货资料。 备考交流QQ群:39460595 试题一(共20分) 阅读下列说明和图,回答问题1至问题3,将解答填入答题纸的对应栏内。 【说明】 研究密码编码...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 217,249
精华内容 86,899
关键字:

信息安全分享