信息安全技术初赛题库.docx

1、信息安全技术初赛题库信息安全技术初赛题库一、判断题1.OSI 安全框架是对 OSI 安全体系结构的扩展。 （对）2.OSI 安全框架目标是解决“开放系统”中的安全服务。 （对）3.OSI 安全框架中的安全审计框架目的在于测试系统控制是否充分 （对）4.OSI 安全框架中的安全审计框架描述了如何通过访问控制等方法来保护敏感数据，提出 了机密性机制的分类方法，并阐述了与其他安全服务和机制的相互关系。 （错）5.访问控制的一个作用是保护敏感信息不经过有风险的环境传送 （对）6.数据机密性就是保护信息不被泄漏或者不暴露给那些XX的实体 （对）7.数据机密性服务可分为两种：数据的机密性服务和业务流机密性

2、服务。前者使得攻击者法通过观察网络中的业务流获得有用的敏感信息；后者使得攻击者无法从获得的数据中获有用的敏感信息。 （错）8.密码技术是信息安全的核心技术和支撑性基础技术，是保护信息安全的主要手段之一 （对）9.密码技术是信息安全的核心技术和支撑性基础技术，是保护信息安全的唯一手段（错）10.在实践中，访问控制功能只能由某一特定模块完成 （错）11.访问控制机制介于用户 （或者用户的某个进程 ）与系统资源 （包括应用程序、操作系统、防 火墙、路由器、文件以及数据库等 ）之间。 （对）12.访问控制的作用只能防止部分实体以任何形式对任何资源进行非授权的访问 （错）13.侧信道技术指利用密码设备在

3、密码算法执行过程中产生的其他信息，如能量消耗变化、 电磁辐射变化等非通信信道物理信息分析的硬件安全技术，主要分为能量分析、计时分析、 错误注入和电磁泄漏等几大类攻击技术 （对）14.物理与硬件安全是相对于物理破坏而言的 （对）15.对）网络安全技术主要包括网络攻击技术和网络防御技术17.网络安全技术为网络提供了安全，同时实现了对网络中操作的监管。 （对）18.任何信息网络存在的目的都是为某些对象提供服务，我们常常把这些服务称为应用。 （对）19.应用安全技术是指以保护特定应用为目的的安全技术 （对）20.鉴别提供了关于某个实体 （如人、机器、程序、进程等 ）身份的保证，为通信中的对等实 体和数

4、据来源提供证明。 （对）21.数据完整性，是指保证数据在传输过程中没有被修改、插入或者删除。数据完整性服务 就是通过技术手段保证数据的完整性可验证、可发现。 （对）22.数据完整性是指保证数据在传输过程中没有被修改、插入或者删除。 （对）23.安全服务必须依赖安全机制来实现， OSI 安全体系结构中提出的安全机制中，数字签名 和非否认服务无关 （错）24.OSI 安全体系结构中提出的安全服务中，非否认服务的目的是在一定程度上杜绝通信各 方之间存在相互欺骗行为，通过提供证据来防止这样的行为 （对）25.OSI 安全体系结构中提出的安全机制中，加密能够实现数据机密性服务，同时也能提供 对业务流的保

5、密，并且还能作为其他安全机制的补充。 （对）26.OSI 安全体系结构中提出的八大安全机制之一的认证交换没有利用密码技术 （错）27.数据机密性就是保护信息不被泄漏或者不暴露给那些XX的实体。 （对）28.OSI 安全体系结构中提出的安全机制中，认证服务的核心不是密码技术 （错）29.除了 OSI 安全体系结构中提出的安全机制之外，还有五种普遍采用的安全机制，它们是 信功能模块 （可信软硬件系统部件 ）、安全标记、事件检测、安全审计跟踪以及安全恢复。（对）30.不可以使用数字签名机制来实现对等实体认证安全服务 （错）31.OSI 安全体系结构的一个非常重要的贡献是实现了安全服务与网络层次之间的

6、对应关对）系，传输层可提供认证、访问控制和部分数据机密性及完整性安全服务。32.在各个网络层次中，应用层不可以提供安全服务 （错）33.物理层之上能提供完整的业务流机密性安全服务 （错）34.系统安全是对于各种软件系统而言的，一个只有硬件的计算机是不能直接使用的，它需要各种软件系统来支持。 （对）35.信息网络还有一个共有的特性数据，数据可以是信息处理的对象、信息处理的结果，36.系统安全技术是信息安全技术体系结构之一，系统安全技术就是数据库系统安全技 术（错）37.密码体制是密码技术中最为核心的一个概念 （对）38.密码体制被定义为两对数据变换 （错）39.公钥密码体制有两种基本的模型：一种

7、是加密模型；另一种是认证模型 （对）40.现有的加密体制分成对称密码体制是和非对称密码体制 （对）41.对称密码体制的特征是加密密钥和解密密钥完全相同 （对）42.为了安全，对称密码体制完全依赖于以下事实：在信息传送之前，信息的发送者和授权接受者共享一些秘密信息 （密钥 ）。 （对）43.密码学新方向一文中首次提出了非对称密码体制的假想 （对）44.RSA 系统是当前最著名、应用最广泛的公钥系统，大多数使用公钥密码进行加密和数字签名的产品及标准使用的都是 RSA 算法 （对）45.公钥密码体制算法用一个密钥进行加密，而用另一个不同但是有关的密钥进行解密（对）46.加密模型中，通过一个包含各通信

8、方的公钥的公开目录，任何一方都可以使用这些密钥向另一方发送机密信息。 （对）47.对称密码的优势包括未知实体间通信容易和保密服务较强。 （错）48.公钥密码体制的密钥管理方便，密钥分发没有安全信道的限制，可以实现数字签名和认证 （对）49.密码算法是用于加密和解密的数学函数，是密码协议安全的基础 （对）50.主流的对称密码算法主要有 DES（Data Encryption Standard） 算法， 3DES（Triple DES）算法 和 AES（Advanced Encryption Standard） 算法 （对）51.非对称密码算法有 RSA 算法， DSA 算法和 ECC 算法 （对

9、）52.密钥封装 （Key Wrap） 是一种密钥存储技术 （错）53.1975 年发布的 Diffie Hellman 密钥交换协议，可以在不安全的通信信道中进行密钥交换 （对）54.如果密钥进行了更新，旧的密钥可以保留 （错）55.实现数据完整性必须满足两个要求：一是数据完整性应该能被消息的接收者所验证；二是数据完整性应该与消息相关，即消息不同，所产生的附件数据也应该不同。 （对）56.基于 Hash 函数的 HMAC 方法可以用于数据完整性校验（对）57.利用带密钥的 Hash 函数实现数据完整性保护的方法称为 MD5 算法 （错）58.基于 Hash 的数字签名方法是目前常用的数字签名

10、方法 （对）59.对称密码体制和公钥密码体制都可以用来实现数字签名。 （对）60.密码模块是硬件、软件、固件或其组合，它们实现了经过验证的安全功能，包括密码算 法和密钥生成等过程，并且在一定的密码系统边界之内实现。 （对）61.我国密码行业标准 GM/T 0028 2014 标准规定了三个要求递增的安全等级 （错）62.我国密码行业标准 GM/T 0028 2014 标准规定的安全要求涵盖了有关密码模块的安全设计、实现、运行与废弃的安全元素 （域 ）。 （对）63.密码模块包括密码算法和密钥生成等过程 （对）64.量子密码学使用量子力学属性来执行加密任务。 （对）65.国内提出的被动式监控方法

11、，是对信源安全性方面的研究 （信源安全性属于量子密钥分配安全性 ），采用真随机数技术和信源监控技术，已经使用初步原理实验进行了实现。（对）66.量子密码学将数据编码到量子的状态中，复制数据编码的量子态和读取数据的编码将会改变量子的状态，使得通信双方可以发现数据被窃听 （对）67.量子密钥分配使得通信双方生成一个其他方不可获取的共享随机密钥，该密钥可用于双方通信加密。 （对）68.访问控制是计算机安全的核心元素。69.访问控制机制介于用户 （或者用户的某个进程火墙、路由器、文件以及数据库等 ）之间。70. 访问控制实现了一个安全策略，该策略规定某个实例问哪些特定的系统资源，以及每个实例的权限类型

12、。71. 所有操作系统都应至少有一个基本的访问控制组件对）与系统资源 （包括应用程序、操作系统、防 对）（如一个用户或者一个进程 ）可以访 对）（对）72.访问控制的基本要素包括主体、客体和控制策略错）73.访问控制策略一般分为自主访问控制和强制访问控制 （对）74.在访问控制的基本要素中，主体是指能够访问对象的实体。 （对）75.在访问控制的基本要素中，主体是指被访问的资源 （错）76.对）在访问控制的基本要素中，客体是一类实体，即被访问的资源。77.在访问控制的基本要素中，客体是指能够访问对象的实体 （错）78.访问控制策略决定在哪些情况下、由什么主体发起、什么类型的访问是被允许的，一般

13、可以用一个授权数据库来实现。 （对）79.访问控制策略一般无法用一个授权数据库来实现。 （错）80.自主访问控制是基于请求者的身份以及访问规则来进行访问控制的。 （对）81.强制访问控制是基于对客体安全级别 （该级别标明客体的敏感度和关键性 ）与主体安全级别 （该级别标明主体有资格访问哪些客体 ）的比较来进行访问控制的。 （对）82.自主访问控制是基于请求者的身份以及访问规则来进行访问控制的。自主访问控制的安 全性相对较低 （对）83.自主访问控制是基于请求者的身份以及访问规则来进行访问控制的。自主访问控制的安 全性相对较高 （错）84.在自主访问控制中，主体有权对自身创建的客体 （文件、数据

14、表等访问对象 ）进行访问， 并可将对这些客体的访问权限授予其他用户， 还可收回授予其他 用户的访问权限。（对）85.在自主访问控制中，每个主体对自己拥有的对客体的访问权限可以使用一维矩阵或者权 限列表来表示。 （对）86.使用一维矩阵表示访问控制时，会产生比较大的空间浪费 （对）87.在自主访问控制中，使用权限列表表示访问控制时，会产生比较大的空间浪费 , 因此一维矩阵成为访问控制的另一种表示方式 （错）88.基于角色的访问控制是基于主体在系统中承担的角色进行的访问控制 （对）89.基于角色的访问控制从控制主体的角度出发，根据管理中相对稳定的职权和责任划分来 分配不同的角色 （对）90.在基于

15、角色的访问控制中，大多数情况下一个系统里的角色集合是相对静态的（对）91.TCSEC 中 ,类 D 中的级别 D1 是最高安全级别，类 A 中的级别 A1 是最低安全级别错）92.TCSEC 定义了七个等级 （D1、C1、C2 、B1、 B2 、 B3 、 A1） （对）93.TCSEC 主要针对的是分时多用户操作系统 （对）94.对）TCSEC 定义的七个等级 （D1 、C1、C2、B1、B2、B3 、 A1）可分为四个类别95.物理与硬件安全是运行于物理设备之上的系统安全的基础，分为环境安全和设备安全。前者强调构成系统本身的各种部件，后者强调一个系统所处的外界环境 （错）96.对）信息网络

16、的物理安全要从环境安全和设备安全两个角度来考虑。97.保障物理运行环境中设备的安全称为信息网络安全的最后一道防线。 （错）98.物理安全，是指在物理介质层次上对存储和传输的网络信息的安全保护，也就是保护计 算 机网络设备、设施、其他媒体免遭地震、水灾、火灾等事故以及人为导致的破坏的过程。（对）99.计算机场地可以选择在公共区域人流量比较大的地方。 （错）100.计算机场地可以选择在化工厂生产车间附近。 （错）101.计算机机房供电线路和动力、照明用电可以用同一线路。 （错）102.备用电路板或者元器件、图纸文件必须存放在防静电屏蔽袋内，使用时要远离静电敏感器件。 （对） 103. 屏蔽室是一个

17、导电的金属材料制成的大型六面体，能够抑制和阻挡电磁 波在空气中传播。（对）104.计算机场地在正常情况下温度保持在 18 28 摄氏度。 （对）105.信息网络所使用的电子设备，往往对水、潮气比较敏感，当湿度超过一定标准后，可能 会造成电子设备生锈短路而无法使用，合适状态是将场地湿度控制在 40% 65% 。 （对）106.信息系统场地应该保持比较稳定的适合电子设备运行的温度，温度过高有可能引起局部 短路或者燃烧，所以应有相对的温度控制系统，最好是完备的中央空调系统。 （对）107.由于传输的内容不同，电力线可以与网络线同槽铺设。 （错）108.接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金

18、属的保护套管，钢管应与接地线 做电气连通。 （对）109.静电对电子设备的危害是不容忽视的，大量的静电积聚可能会导致磁盘读写错误，磁头 损坏，计算机误操作等现象。 （对）110.现代的整个电子通信都是建立在电磁信号的基础上，而电磁场的开放性决定了对电磁信 号进行检测和防护的必要。否则，攻击者有可能通过电磁信号截获、分析来进行破坏和取得 机密信息。 （对）111.辐射泄漏以电磁波的形式由空中辐射出去，由计算机内部的各种传输线、信号处理电路、 时钟电路、显示器、开关电路及接地系统、印刷电路板线路等产生。 （对）112.传导泄漏以电磁波的形式由空中辐射出去，由计算机内部的各种传输线、信号处理电路、时

19、钟电路、显示器、开关电路及接地系统、印刷电路板线路等产生。 （错）113.传导泄漏通过各种线路传导出去，可以通过计算机系统的电源线，机房内的电话线、地线等都可以作为媒介。对）114.接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线 做电气连通。 （对）115.在信息网络中设备本身的价值比较高，有些不法分子可能会为了经济利益而对设备进行 偷盗、毁坏。机房外部的网络设备，应采取加固防护等措施，必要时安排专人看管，以防止 盗窃和破坏。 （对）116.为了信息网络的运行，设备本身需要具有一定的防潮能力，一些电子设备在出厂前就由 厂家进行了专门的防潮处理，能够在较高的湿度环境

20、下工作。 （对）117.设备防静电主要是从环境上进行防护，操作人员也要有防静电意识，按照规范操作。在 设备上尽量采用防静电材料。 （对）118.为了信息网络运行的设备安全，新添设备时应该先给设备或者部件做上明显标记，最好 是明显的无法除去的标记，以防更换和方便查找赃物。 （对）119.在现代社会，信息往往具有很高的价值，一些恶意竞争者可能会对存储信息的设备进行 恶意的偷盗或者毁坏。对于一些重要设备可以考虑使用一些加锁或者特制的机箱，进一步加 强防盗保护。 （对）120.TEMPEST 技术（ Transient Electro Magnetic Pulse Emanation Standard

21、 ，瞬态电磁辐射标 准），是指在设计和生产计算机设备时，就对可能产生电磁辐射的元器件、集成电路、 连接 线、显示器等采取防辐射措施，从而达到减少计算机信息泄漏的最终目的。 （对）121.防电磁泄漏的另一项技术是干扰技术，是指在设计和生产计算机设备时，就对可能产生 电磁辐射的元器件、集成电路、连接线、显示器等采取防辐射措施，从而达到减少计算机信 息泄漏的最终目的。 （错）122.计算机电磁辐射干扰器大致可以分为两种：白噪声干扰器和相关干扰器。 （对）123.防电磁辐射的干扰技术，是指把干扰器发射出来的电磁波和计算机辐射出来的电磁波混 合在一起，以掩盖原泄漏信息的内容和特征等，使窃密者即使截获这一

22、混合信号也无法提取 其中的信息。 （对）124.防止电子设备产生传导干扰和辐射干扰最好的方法是采用金属机壳对电磁场进行屏蔽， 以及对电源输入电路用变压器进行隔离，并且对变压器也进行静电感应和磁感应屏蔽。（对）125.传导干扰，主要是电子设备产生的干扰信号通过导电介质或公共电源线互相产生干扰。（对）126.辐射干扰，是指电子设备产生的干扰信号通过空间把干扰信号传给另一个电子网络或电 子设备。 （对）127.为了避免造成信息泄漏，纸介质资料废弃应用碎纸机粉碎或焚毁。 （对）128.保存重要数据和关键数据的各类介质在废弃后要进行正确处理，比如纸介质用碎纸机粉 碎或焚毁，删除磁介质上的数据。 （错）1

23、29.在安全性要求比较高的地方，要安装各种监视设备。在重要场所的进出口安装监视器， 并对进出情况进行录像，对录像资料妥善存储保管，以备事后追查取证。 （对）130.为了分析密码模块能量消耗的变化，二阶 /高阶 DPA（Differential Power Analysis ，差分能 量分析 ）使用了统计方法 （如均值差、相关系数 ）对能量消耗进行统计分析，从而获取密钥值。（错）131.能量分析攻击可以分为两大类，即简单能量分析 （Simple Power Analysis ，简称 SPA） 和差 分 能量分析 （Differential Power Analysis ，简称 DPA） 。 （对

24、）132.计时分析攻击依赖于密码模块执行时间的精确测量与密码算法或过程有关的特殊数学 操作之间的关系。 （对）133.计时分析攻击不依赖于密码模块执行时间的精确测量，但依赖于密码算法或过程有关的 特殊数学操作之间的关系。 （错）134.计时分析攻击假定攻击者具有有关密码模块的设计知识。 （对）135.错误注入攻击使用外部力量，如对微波、极端温度和电压的控制，引发密码模块内部运 行错误。 （对）136.错误注入攻击使用内部力量，如对微波、极端温度和电压的控制，引发密码模块内部运 行错误。 （错）137.电磁泄漏攻击，是指对正在运行的密码模块和辅助设备发出的电磁信号进行远程或外部 探测和接收。 （

25、对）138.针对侧信道攻击（利用非通信信道物理信息如能量消耗变化、电磁辐射变化进行分析攻 击），尽管学术界和工业界提出了很多防御技术，但是目前尚无能够抵抗所有攻击方法的防 御技术。 （对）139.电磁泄漏攻击可以获得敲击键盘的信息、显示屏上显示的消息，以及其他形式的关键安 全信息。 （对）140.固件是一种密码模块的可执行代码，它存储于硬件并在密码边界内，在执行期间能动态 地写或修改。 （错）141.在电子系统和计算机系统中，固件一般指持久化的内存、代码和数据的结合体。（对）142.存储固件的硬件可以包括但不限于 PROM 、 EEPROM 、FLASH 、固态存储器、硬盘 驱动 等。 （对）

26、143.固件的数据和代码一般是在密码产品出厂之前就写入硬件中的，而当写入固件的代码中 存在恶意代码时，硬件固件攻击也将发生。 （对）144.无线传感器网络是由大量静止或移动的传感器节点以自组织和单跳的方式组成的一种 监测网络。 （错）145.经过近几年学术界对无线传感器网络的深入研究，当前无线传感器网络面临多种攻击技 术，其中路由攻击是指攻击节点依照路由算法伪造或重放一个路由声明，声称攻击节点和基 站之间有高质量的单跳路由，然后阻止或篡改被攻击区域中任一节点发出的数据包。（错）146.当前无线传感器网络仍然面临面临着多种攻击技术。其中选择性数据转发攻击，是指攻 击者截取并控制某个节点后，为了避

27、免被发现该节点已被攻破，故仅丢弃应转发报文中的一 部分。 （对）147.当前无线传感器网络仍然面临面临着多种攻击技术。其中槽洞攻击是指向无线传感器网 络中通过发送大量错误路由报文的方式，非法拦截篡改路由信息，使得各个节点接收到大量 的错误路由信息，从而降低整个网络的有效传输速度。 （错）148.当前无线传感器网络仍然面临面临着多种攻击技术。其中虫洞攻击，是指两个或多个攻 击节点进行的一种合谋攻击，通过压缩攻击节点间的路由，使得彼此成为邻居节点，从而将 不同分区的节点距离拉近，破坏整个网络的正常分区。 （对）149.当前无线传感器网络仍然面临面临着多种攻击技术。其中女巫攻击，是指攻击节点伪装 成

28、具有多个身份标识的节点，当通过该节点的一条路由遭到破坏时，网络会选择另一条路由， 但由于其具有多重身份标识，实际上还是通过了该攻击节点。 （对）150.Hello 洪泛攻击，是指攻击当前无线传感器网络仍然面临面临着多种攻击技术。其中节 点向全网广播 Hello 报文，网络中的节点收到 Hello 报文之后，使得每一个节点误以为 攻击 节点是自己的邻居节点。 （对）151.网络攻击类型多种多样，且出现频繁、规模较大，如何有效阻止网络攻击，保护网络安全，成为网络安全技术的研究内容。网络安全技术是解决如何有效进行介入控制、如何保证数据传输的安全性等安全问题。 （对）152.随着计算机技术的不断革新，

29、网络攻击手段持续翻新，网络攻击备受攻击者青睐。因此 网络安全成为个人用户、企事业单位乃至国家机关都非常重视的安全领域。网络安全技术， 是指由网络管理者采用的安全规则和策略，用以防止和监控非授权的访问、误用、窃听、篡 改计算机网络和对可访问资源的拒绝服务等行为 （对）153.网络攻击方式多种多样，从单一方式向多方位、多手段、多方法结合化发展。网络攻击 根据攻击效果的不同可以分为四大类型。其中常见的拒绝服务攻击是对网络系统可用性的破 坏 （对）154.通常，网络安全与网络攻击是紧密联系在一起的，网络攻击是网络安全研究中的重要内 容，在进行网络安全研究的同时，也需要对网络攻击有所了解。常见的网络攻击

30、多是攻击者 利用网络通信协议 （如 TCP/IP 、HTTP 等 ）自身存在或因配置不当而产生的漏洞而发生 的（对）155.网络攻击方式多种多样，从单一方式向多方位、多手段、多方法结合化发展。网络攻击 根据攻击效果的不同，基本可抽象划分为信息泄漏攻击、完整性破坏攻击、拒绝服务攻击和 非法使用攻击四大类型。 （对）156.网络攻击根据攻击效果的不同可以分为四大类型。其中拒绝服务攻击是指攻击者在非授 权的情况下，使用计算机或网络系统服务，从而使得网络系统提供错误的服务。 （错）157.网络攻击根据攻击效果的不同可以分为四大类型。其中非法使用攻击，是指攻击者通过 强制占用有限的资源，如信道 /带宽、

31、存储空间等资源，使得服务器崩溃或资源耗尽而无法 对外继续提供服务。 （错）158.网络攻击根据攻击效果的不同可以分为四大类型。其中完整性破坏攻击，是指攻击者在 非授权的情况下，对用户的信息进行修改，如修改电子交易的金额。 （对）159.网络攻击根据攻击效果的不同可以分为四大类型。其中信息泄漏攻击，是指攻击者在非 授权的情况下，非法获取用户的敏感信息 （对）160.网络攻击实施过程中涉及了多种元素。其中安全漏洞一般是程序漏洞，不可能是设计缺陷 （错）161.网络攻击实施过程中涉及了多种元素。其中攻击访问，是指攻击者对目标网络和系统进 行合法、非法的访问，以达到针对目标网络和系统的非法访问与使用 （对）162.网络攻击实施过程中涉及了多种元素。其中攻击效果包括对网络系统和信息的机密性、 完整性、可用性、可靠性和不可否认性的破坏 （对）163.网络攻击实施过程中涉及了多种元素。其中攻击意图包括挑战、获取情报、发动恐怖事164.网络防御技术，是指为了确保网络系统的抗攻击能力，保证信息的机密性、完整性、可 用性、可靠性和不可否认性而采取的一系列的安全技术 （对）165.防火墙是网络防御技术中一个重要组成部分。它是一个只由计算机软件组成的系统，部 署于网