电子商务师考证试题2Word格式文档下载.docx

1、A.计算机本地安全 B.商务平台安全C.商务交易安全 D.商务服务安全商务的安全性研究从整体上可分为两大部分：计算机安全和商务交易安全。计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。4网络安全攻击事件中大部分是来自（）的侵犯。A.城域网 B.内部网络C.广域网 D.外部

2、网络内部局域网的安全威胁据调查在已有的网络安全攻击事件中约70%是来自内部网络的侵犯。比如内部人员故意泄漏内部网络的网络结构；安全管理员有意透露其用户名及口令；内部不怀好意员工编些破坏程序在内部网上传播或者内部人员通过各种方式盗取他人涉密信息传播出去。种种因素都将网络安全构成很的威胁。5电子商务的安全风险，主要包括（），A.信息传输风险、信用风险和管理风险B.信息存储风险、信用风险和管理风险C.信息传输风险、信用风险和运行风险D.信息传输风险、信用风险和运行风险电子商务的安全风险来源从交易双方分析了电子商务交易的安全威胁。如果从整个电子商务系统着手分析，可以将电子商务的安全问题，归类为下面四类

3、风险，即信息传输风险、信用风险、管理风险以及法律方面风险。 1、信息传输风险信息传输风险是指进行网上交易时，因传输的信息失真或者信息被非法的窃取、篡改和丢失，而导致网上交易的不必要损失。从技术上看，网上交易的信息传输风险主要来自三方面：（1）冒名偷窃。如黑客为了获取重要的商业秘密、资源和信息，常常采用源IP地址欺骗攻击。（2）篡改数据。攻击者XX进入网络交易系统，使用非法手段，删除、修改、重发某些重要信息，破坏数据的完整性，损害他人的经济利益，或干扰对方的正确决策，造成网上交易的信息传输风险。 （3）信息丢失。交易信息的丢失，可能有三种情况：一是因为线路问题造成信息丢失；二是因为安全措施不当而

4、丢失信息；三是在不同的操作平台上转换操作不当而丢失信息。（4）信息传递过程中的破坏。信息在网络上传递时，要经过多个环节和渠道。由于计算机技术发展迅速，原有的病毒防范技术、加密技术、防火墙技术等始终存在着被新技术攻击的可能性。计算机病毒的侵袭、非法侵入、线路窃听等很容易使重要数据在传递过程中泄露，威胁电子商务交易的安全。此外，各种外界的物理性干扰，如通信线路质量较差、地理位置复杂、自然灾害等，都可能影响到数据的真实性和完整性。（5）虚假信息。从买卖双方自身的角度观察，网上交易中的信息传输风险还可能来源于用户以合法身份进入系统后，买卖双方都可能在网上发布虚假的供求信息，或以过期的信息冒充现在的信息

5、，以骗取对方的钱款或货物。现在还没有很好的解决信息鉴别的办法。与传统交易不同的是，网上交易的信息传输风险更为严重。传统交易中的信息传递和保存主要通过有形的单证进行的，信息接触面比较窄，容易受到保护和控制。即使在信息传递过程出现丢失、篡改等情况时，也可以通过留下的痕迹查找出现偏差原因。而在网上传递的信息，是在开放的网络上进行的，与信息的接触面比较多，而且信息被篡改时可以不留下痕迹，因此网上交易时面临的信息传输风险比传统交易更为严重。2、信用风险信用风险主要来自三个方面：（1）来自买方的信用风险。对于个人消费者来说，可能在网络上使用信用卡进行支付时恶意透支，或使用伪造的信用卡骗取卖方的货物行为；对

6、于集团购买者来说，存在拖延货款的可能，卖方需要为此承担风险。（2）来自卖方的信用风险。卖方不能按质、按量、按时寄送消费者购买的货物，或者不能完全履行与集团购买者签定的合同，造成买方的风险。（3）买卖双方都存在抵赖的情况。传统交易时，交易双方可以直接面对面进行，信用风险比较容易控制。由于网上交易时，物流与资金流在空间上和时间上是分离的，因此如果没有信用保证网上交易是很难进行的。再加上网上交易一般是跨越时空的，交易双方很难面对面交流，信用的风险就很难控制。这就要求网上交易双方必须有良好的信用，而且有一套有效的信用机制降低信用风险。3、管理方面的风险网上交易管理风险是指由于交易流程管理、人员管理、交

7、易技术管理的不完善所带来的风险。（1） 交易流程管理风险。在网络商品中介交易的过程中，客户进入交易中心，买卖双方签定合同，交易中心不仅要监督买方按时付款，还要监督卖方按时提供符合合同要求的货物。在这些环节上，都存在着大量的管理问题，如果管理不善势必造成巨大的潜在风险。为防止此类问题的风险需要有完善的制度设计，形成一套相互关联、相互制约的制度群。（2）人员管理风险。人员管理常常是网上交易安全管理上的最薄弱的环节，近年来我国计算机犯罪大都呈现内部犯罪的趋势，其原因主要是因工作人员职业道德修养不高，安全教育和管理松懈所致。一些竞争对手还利用企业招募新人的方式潜入该企业，或利用不正当的方式收买企业网络

8、交易管理人员，窃取企业的用户识别码、密码、传递方式以及相关的机密文件资料。（3）网络交易技术管理的漏洞也带来较大的交易风险。有些操作系统中的某些用户是无口令的，如匿名 FTP，利用远程登陆（Telnet）命令登陆这些无口令用户，允许被信任用户不需要口令就可以进入系统，然后把自己升级为超级用户。传统交易经过多年发展，在交易时有比较完善的控制机制，而且管理比较规范。而网上交易还只经历了很短时间，还存在许多漏洞，这就要求加强对其进行管理和规范交易。6信用风险主要来自（）三个方面。A. 买方的信用风险、监管机构的信用风险、买卖双方信用度都低B. 监管机构的信用风险、卖方的信用风险、买卖双方信用度都低C

9、. 买方的信用风险、卖方的信用风险、监管机构的信用风险D. 买方的信用风险、卖方的信用风险、买卖双方信用度都低详情请参考第5题。7网上交易管理风险包括（）。A. 交易流程管理风险、监督风险、交易技术管理风险B. 交易流程管理风险、人员管理风险、交易技术管理风险C. 监督风险、人员管理风险、交易技术管理风险D. 交易技术管理风险、人员管理风险、监督风险电子商务中的风险：（1）信息传输风险。信息传输风险是指进行网上交易时, 因传输的信息失真或者信息被非法窃取、篡改和丢失, 而导致网上交易的不必要损失。（2）信用风险。信用风险主要来自三个方面: 来自买方的信用风险。对于个人消费者来说, 可能在网络上

10、使用信用卡进行支付时恶意透支, 或使用伪造的信用卡骗取卖方的货物行为; 对于集团购买者来说, 存在拖延货款的可能, 卖方需要为此承担风险。来自卖方的信用风险。卖方不能按质、按量、按时寄送消费者购买的货物, 或者不能完全履行与集团购买者签订的合同, 造成买方的风险。买卖双方都存在抵赖的情况。（3）管理风险。网上交易管理风险是指由于交易流程管理、人员管理、交易技术管理的不完善所带来的风险。这些风险主要表现在：交易流程管理风险。在网络商品中介交易的过程中, 客户进入交易中心, 买卖双方签订合同, 交易中心不仅要监督买方按时付款, 还要监督卖方按时提供符合合同要求的货物。在这些环节上, 都存在着大量的

11、管理问题, 如果管理不善势必造成巨大的潜在风险。人员管理风险。人员管理常常是网上交易安全管理上的最薄弱的环节, 近年来我国计算机犯罪大都呈现内部犯罪的趋势, 其原因主要是因工作人员职业道德修养不高, 安全教育和管理松懈所致。一些竞争对手还利用企业招募新人的方式潜入该企业, 或利用不正当的方式收买企业网络交易管理人员, 窃取企业的用户识别码、密码、传递方式以及相关的机密文件资料。网络交易技术管理的漏洞的交易风险。有些操作系统中的某些用户是无口令的, 如匿名盯P, 利用远程登陆（Teinet） 命令登陆这些无口令用户, 允许被信任用户不需要口令就可以进入系统, 然后把自己升级为超级用户。8信息安全

12、涉及到（）。A. 信息的保密性、完整性、可用性、可控性B. 信息的保密性、准确性、可用性、可控性C. 信息的保密性、准确性、复用性、可控性D. 信息的保密性、准确性、可用性、可观察性信息安全是指防止信息财产被故意的或偶然的方法授权泄露、更改、破坏或使信息被非法辨识、控制。即确保信息的保密性、可用性、完整性、可控性，综上所述，选项AB正确。安全的基本特征如下：1 保密性：信息不泄露给非授权访问的用户、实体或被非法利用。2完整性：数据XX不能被改变的特性，保证计算机信息数据不会受外界事件的干扰而被改变或丢失。3可用性：可授权访问实体的特性，通常指当需要时能否正常存取和访问信息。4可控性：指对信息的

13、传播和内容具有可以控制的能力。【答案】AB9.保密性是建立在可靠性和（）基础之上。A.可用性 B.准确性C.复用性 D.可控性认证、不可否认性、授权和访问控制。所以从技术角度来讲，网络信息安全的技术特征主要表现在系统的可用性、可靠性、保密性、完整性、确认性、可控性等方面。1可用性可用性是网络信息可被授权实体访问并按需使用的特性。可用性一般用系统正常使用时间和整个工作时间之比来度量。2可靠性可靠性是指网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。可靠性是系统安全的最基本要求之一，是所有网络信息系统建设和运行的基本目标。3保密性保密性是指网络信息不被泄露给非授权的个人或实体，信息只供

14、授权用户使用的特性。保密性是建立在可用性和可靠性基础之上的保障网络信息安全的重要手段。4完整性完整性是指网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。5确认性确认性是指在网络信息系统的信息交互过程中，所有参与者都不能否认或抵赖曾经完成的操作和承诺。通常可利用信息源证据来防止发送方否认发送过信息，利用递交接收证据可防止接收方否认接收到信息。6可控性可控性是指对网络信息的传播及内容具有控制能力的特性。网络信息安全的核心是通过计算机、网络、密码技术和安全技术，保护在

15、公用网络信息系统中传输、交换和存储消息的可用性、可靠性、保密性、完整性、确认性、可控性等。10完整性用来保持信息的（）。A.正确生成、正确存储和处理 B.正确生成、正确存储和传输C.正确检测、正确存储和传输 D.正确生成、正确处理和传输详情请参考第9题。11可控性是针对（）的特性A.网络信息的传播 B.网络信息的内容C.网络信息的传播及内容 D.网络信息的传播的方式12网络信息安全的标准可分成（）三类。A.互操作标准、技术与工程标准、网络与信息安全管理标准B.传输标准、技术与工程标准、网络与信息安全管理标准C.互操作标准、存储标准、网络与信息安全管理标准D.互操作标准、技术与工程标准、互联网标

16、准目前国际上通行的与网络和信息安全有关的标准，大致可分成三类：互操作标准 比如， 对称加密标准DES、3DES、 IDEA以及被普遍看好的AES； 非对称加密标准RSA； VPN标准IPSec；传输层加密标准SSL；安全电子邮件标准S-MIME； 安全电子交易标准SET；通用脆弱性描述标准CVE。这些都是经过一个自发的选择过程后被普遍采用的算法和协议，也就是所谓的“事实标准”。技术与工程标准 比如，信息产品通用测评准则（CC/ISO 15408）； 安全系统工程能力成熟度模型（SSE-CMM）。网络与信息安全管理标准 比如，信息安全管理体系标准（BS 7799）；信息安全管理标准（ISO 13

17、335）。13数字签名技术是将（）加密与原文一起传送。A.摘要 B.大纲C.目录 D.引言数字签名（digital signature）技术是将摘要用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中都要用到数字签名技术。14对密钥进行管理的机构就称为（）。A.IEEE B.认证机构（Certificate Authority,CA）C.信息产业部 D.数字认证中心电子商务认证授权机构（CA, Certificate Authority），也称

18、为电子商务认证中心，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。15数字证书又叫数字凭证或（）。A.电子签名 B.数字签名C.电子标识 D.数字标识数字证书（ DigitalID ）定义及内容数字证书又叫数字凭证、数字标识,它包含了证书持有者的有关信息,以标识他们的身份。数字证书包括的内容有证书持有者的姓名、持有者的公钥、密钥的有效期。16数字证书包括的内容包括（）。A.证书持有者的姓名、证书持有者的密钥、公钥的有效期B.证书持有者的姓名、证书持有者的公钥、密钥的有效期C.证书持有者的姓名、证书持有者的密钥、密钥的有效期D.证书

19、持有者的姓名、证书持有者的公钥、公钥的有效期数字证书是由权威身份认证机构发放、用来标志和证明持有者身份的数字信息。数字证书中包含证书持有者的姓名、证书持有者的公钥、公钥的有效期、颁发数字证书的机构、数字证书的序列号等信息。数字证书一般由数字证书颁发机构（Certificate Authority，CA）制作颁发。获得数字证书后，可以将其保存在计算机、IC卡或USB Key中。数字证书在电子商务、电子邮件等领域的作用包括：保证信息除发送方和接收方之外，不被其他人读识；保证信息在传输过程中不被篡改；发送方对自己所发信息不能抵赖等。数字证书的另一个好处是在证认使用者身份时，使用者的敏感个人资料不会被

20、过度泄露。我国各省、自治区、直辖市都设有权威的数字证书颁发机构。国际上权威的数字证书颁发认证机构包括VeriSign、GeoTrust等。17认证机构发放的证书中的安全套接层证书简写为（）证书。A.SSL B.SETC.DLL D.IIS安全套接SSL（Secure Sockets Layer）协议最初是由Netscape Communication公司设计开发的，又叫“安全套接层（Secure Sockets Layer）协议”主要用于提高应用程序之间数据的安全系数。SSL安全协议工作在网络传输层，使用与HTTP, Telent， FTP和NNTP等服务，SSL最广泛的应用是Web安全访问，

21、如网上交易，政府办公等。18认证机构发放的证书中安全电子交易证书简写为（）证书。A.SSL B.SETC.CA D.ID安全电子交易协议 （Secure Electronic Transaction,简称SET协议）是基于信用卡在线支付的电于商务安全协议，它是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范。SET通过制定标准和采用各种密码技术手段，解决了当时困扰电子商务发展的安全问题。目前它已经获得IETF标准的认可，已经成为事实上的工业标准。19（）证书的作用是通过公开密钥来证明持证人的身份。C.CA D.SQL认证机构发放的证书分为两类：SSL证书和SET证书

22、。一般地说，SSL（安全套接层）证书是服务于银行对企业或企业对企业的电子商务活动的；而SET（安全电子交易）证书则服务于持卡消费、网上购物。虽然它们都是用于识别身份和数字签名的证书，但它们的信任体系完全不同，而且符合的标准也不一样。简单地说，SSL证书的作用是通过公开密钥证明持证人的身份。而SET证书的作用则是，通过公开密钥证明持证人在指定银行确实拥有该信用卡账号，同时也证明了持证人的身份。20（）证书的作用是通过公开密钥来证明持证人在指定银行拥有该信用卡账户详情请参考21题。21（）是指一种逻辑装置，保护内部的网络不受外界侵害。A.防火墙 B.杀毒软件C.防电墙 D.路由器在计算机领域, 防

23、火墙是指一种逻辑装置, 用来保护内部的网络不受来自外界的侵害。在逻辑上, 防火墙是一个分离器, 一个限制器, 也是一个分析器, 有效地监控了内部网和Internet 之间的任何活动, 保证了内部网络的安全。防火墙是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术, 越来越多地应用于专用网络与公用网络地互联环境中, 尤其以接入Internet 网络最甚。防火墙是指设置在不同网络（ 如可信任的企业内部网和不可信的公共网） 或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口, 能根据企业的安全政策控制（ 允许、拒绝、监测） 出入网络的信息流, 且本身具有较强的

24、抗攻击能力。它主要用于实现网络路由的安全, 这主要包括两个方面：限制外部网对内部网的访问, 从而保护内部网特定资源免受非法侵害；限制内部网的访问, 主要是针对内部一些不健康信息及敏感信息的访问。22防火墙大体上可以划分为两类，基于包过滤（Packet Filter）和（）。A.基于TCP/IP B.基于代理服务（Proxy Service）C.基于特定病毒 D.基于特定服务防火墙还可以划分以下几类：前两类的区别是：基于包过滤的防火墙通常直接转发报文，它对用户完全透明，速度较快；而代理服务型防火墙是通过代理服务器建立连接，它可以有更可强的身份验证和日志功能。1. 过滤防火墙，过滤防火墙是最简单的

25、防火墙，通常只包括对源和目的的IP地址及端口的检查。2. 代理服务型防火墙，代理服务型防火墙使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器连接。3. 结合型防火墙，这种防火墙是把前两类防火墙结合，发挥各自的优势，满足更高安全性的要求。23（）防火墙对用户完全透明。A.通过代理服务器建立连接的 B.基于Telnet的C.基于包过滤的 D.基于数据流的防火墙大体上可以分为两类：一类基于Packet Filter（包过滤型），另一类基于Proxy Service（代理服务）。二者的区别在于：基于Packet Filter的防火墙通常直接转发报文，它对用户完全透明，速度较快；而基

26、于Proxy的防火墙则不是如此，它通过Proxy Server来建立连接，它可以有更强的身份验证（Authentication）和日志（log）功能。24（）防火墙拥有很强的身份验证和日记功能。详情请参考23题。25（）通常只对源和目的IP地址及端口进行检查。A. 基于TCP/IP协议 B.基于特定服务详情请参考22题。26入侵检测系统通常由（）基本组件构成。A. 事件产生器、事件分析器、事件数据库、响应单元B. 故障产生器、事件分析器、事件数据库、响应单元C. 事件产生器、事件分析器、事件数据库、反馈单元D. 事件产生器、事件分析器、关系数据库、响应单元IETF将一个入侵检测系统分为四个组件

27、：事件产生器（Event generators）；事件分析器（Event analyzers）；响应单元（Response units ）；事件数据库（Event databases ）。事件产生器的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。事件分析器分析得到的数据，并产生分析结果。响应单元则是对分析结果作出作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。27根据原始数据的来源，入侵检测系统可分（）A. 基于主机的入侵检测系统、基于应用的入侵检

28、测系统和基于服务器端的入侵检测系统B. 基于服务器的入侵检测系统、基于应用的入侵检测系统和基于网络的入侵检测系统C. 基于主机的入侵检测系统、基于软件的入侵检测系统和基于服务器端的入侵检测系统D. 基于主机的入侵检测系统、基于应用的入侵检测系统和基于网络的入侵检测系统入侵检测系统要对其所监控的网络或主机的当前状态做出判断，并不是凭空臆测，它需要以原始数据中包含的信息为基础，做出判断。按照原始数据的来源，可以将入侵检测系统分为基于主机的入侵检测系统、基于网络的入侵检测系统和基于应用的入侵检测系统。28入侵检测系统的检测分析技术主要分为（）和异常检测。A. 主要检测 B. 网络检测C. 滥用检测 D. 应用检测入侵检测系统IDS（intrusiON detection system）是用户计算机主动安全防护的一种措施，它用于检测未经用户授权直接进行计算机