信息安全技术教程pdf

第二章 物理安全 本章学习目的

了解基本的环境安全、设备安全、物理安全管理 了解防静电、电磁防护的基本要求

本章概览 本章对物理安全的基本概念进行了阐述，并将物理

安全分为环境安全和设备安全，前者强调一个系统 所处的外界环境，后者则强调了构成系统本身的各 种部件。本章重点阐述了计算机机房的场地安全要 求，各种防静电、防雷击措施、防电磁泄漏以及防 电磁干扰标准及防范，物理安全的管理。

第一节 物理安全概述 一、物理安全威胁

信息网络的作用越来越大，已经成为人们生活、工作 中必不可少的一部分。信息网络要求运行在稳定的环境之中， 但是实际运行中总会有各种意想不到的情况出现。比如，不可 抗拒的自然灾害：地震、洪水、海啸等；或者一些意外情况： 火灾、停电等；或者一些人为的破坏：战争、恐怖分子爆炸活 动、窃贼偷盗行为等；都有可能导致信息网络不能正常使用。 还有一些攻击者可能采用一些物理手段来窃取信息网 络的信息，比如，在线路上进行电磁窃听；从报废硬盘进行磁 信息恢复等方式来获取一些机密信息。这种情况下，信息网络 虽然还可以使用，却已经是在别人的监视之下，变得极其不安 全了。 综上所述，我们必须采取一些措施来保障我们的网络 在面临这些威胁的时候，仍然能达到某种

作者：孙军科

信息安全技术教程习题及答案 第一章 概述 一、判断题

1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 2. 计算机场地可以选择在公共区域人流量比较大的地方。× 3. 计算机场地可以选择在化工厂生产车间附近。× 4. 计算机场地在正常情况下温度保持在 18~28 摄氏度。√ 5. 机房供电线路和动力、照明用电可以用同一线路。×

6. 只要手干净就可以直接触摸或者擦拔电路组件，不必有进一步的措施。×

7. 备用电路板或者元器件、图纸文件必须存放在防静电屏蔽袋内，使用时要远离静电敏感器件。√

8. 屏蔽室是一个导电的金属材料制成的大型六面体，能够抑制和阻挡电磁波在空气中传播。

√

9. 屏蔽室的拼接、焊接工艺对电磁防护没有影响。× 10. 由于传输的内容不同，电力线可以与网络线同槽铺设。×

11. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通. √

12. 新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记 ,以防更换和方便查找赃物。√

13.TEMPEST 技术，是指在设计和生产计算机设备时，就对可能产生电磁辐射的元器 件、集成电路、连接线、显示器等采取防

Pdf拼版教程

首先打开文件看纸张大小

此文件是306.2x216.2此文件0.2mm就不要了 第1步骤：点击增效工具裁切及拓宽——选择统一所有页面尺寸——（306x216）——下一步

第2步骤：完成后在选择裁切及拓宽——裁切某一边——选择左边（153）下一步完成

第3步骤：完成后在选择裁切及拓宽——裁切某一边——选择右边（153）下一步完成

第4步骤：点击增效工具 奇/偶数操作（奇数页选择3 偶数页选择2 先三后四）

第5步骤选择 增效工具 装订册 下一步选择自定义纸张大小 （306x216） 下一步选择 骑马钉 下一步完成

此骑马钉就做好了

后续

306x216的文档2张文档可以放在一张大A3的纸上 打印奇数份数的时候操作如下

选择文档旋转页面——逆时针90度——所有——仅偶数页确定

选择文档旋转页面——顺时针90度——所有——仅奇数页确定

最后 增效工具 装订册 下一步选择自定义纸张大小

（432x306） 下一步选择 骑马钉 下一步完成

打印偶数份数的时候操作如下

当你做到第5步骤的时候文档保存到桌面 ——ctrl+c ctrl+v复制你保存的文档（新建小册和复件新建小册）

1. （）作为安全保护策略有两方面的含义：一是让事物简单便于理解；二是复杂化会为所有的安全带来隐藏的漏洞，直接威胁网络安全。 (单选 )

A动态化

B普遍参与

C纵深防御

D简单化

2. （）是指内部人员为了掩盖攻击者的身份，从本地获取目标的一些必要信息后，攻击过程从外部远程发起，造成外部入侵的现象，从而使追查者误以为攻击者是来自外单位。 (单选 )

A被动攻击

B伪远程攻击

C远程攻击

D本地攻击

3. 为了实现（），所有的对数组的读写操作都应当被检查以确保对数组的操作在正确的范围内。 (单选 )

A编写正确的代码

B非执行的缓冲区技术

C程序指针完整性检查

D数组边界检查

4. 现代密码中的公共密钥密码属于（）。 (单选 )

A对称式密码

B非对称式密码

C静态的密码

D不确定的密码

5. 通常的拒绝服务源于以下几个原因（）。 (多选 )

A资源毁坏

B资源耗尽和资源过载

C配置错误

D软件弱点

6. 防火墙的主要功能有（）。 (多选 )

A访问控制

B防御功能

C用户认证

D安全管理

7. 目前针对数据库的攻击主要有（）。 (多选 )

A密码攻击

B物理攻击

C溢出攻击

DSQL注入攻击

8. 定级是一项专业性较强的基础性

1. （）作为安全保护策略有两方面的含义：一是让事物简单便于理解；二是复杂化会为所有的安全带来隐藏的漏洞，直接威胁网络安全。 (单选 )

A动态化

B普遍参与

C纵深防御

D简单化

2. （）是指内部人员为了掩盖攻击者的身份，从本地获取目标的一些必要信息后，攻击过程从外部远程发起，造成外部入侵的现象，从而使追查者误以为攻击者是来自外单位。 (单选 )

A被动攻击

B伪远程攻击

C远程攻击

D本地攻击

3. 为了实现（），所有的对数组的读写操作都应当被检查以确保对数组的操作在正确的范围内。 (单选 )

A编写正确的代码

B非执行的缓冲区技术

C程序指针完整性检查

D数组边界检查

4. 现代密码中的公共密钥密码属于（）。 (单选 )

A对称式密码

B非对称式密码

C静态的密码

D不确定的密码

5. 通常的拒绝服务源于以下几个原因（）。 (多选 )

A资源毁坏

B资源耗尽和资源过载

C配置错误

D软件弱点

6. 防火墙的主要功能有（）。 (多选 )

A访问控制

B防御功能

C用户认证

D安全管理

7. 目前针对数据库的攻击主要有（）。 (多选 )

A密码攻击

B物理攻击

C溢出攻击

DSQL注入攻击

8. 定级是一项专业性较强的基础性

信息安全风险评估技术手段综述

王英梅1

（北京科技大学信息工程学院 北京 100101）

摘要：信息安全成为国家安全的重要组成部分，因此为保证信息安全，建立信息安全管理体系已成为目前安全建设的首要任务。风险评估作为信息安全管理体系建设的基础，在体系建设的各个阶段发挥着重要的作用。风险评估的进行离不开风险评估工具，本文在对风险评估工具进行分类的基础上，探讨了目前主要的风险评估工具的研究现状及发展方向。

关键词：风险评估 综合风险评估 信息基础设施 工具 引言

当今时代，信息是一个国家最重要的资源之一，信息与网络的运用亦是二十一世纪国力的象征，以网络为载体、信息资源为核心的新经济改变了传统的资产运营模式，没有各种信息的支持，企业的生存和发展空间就会受到限制。信息的重要性使得他不但面临着来自各方面的层出不穷的挑战，因此，需要对信息资产加以妥善保护。正如中国工程院院长徐匡迪所说：“没有安全的工程就是豆腐渣工程”。信息同样需要安全工程。而人们在实践中逐渐认识到科学的管理是解决信息安全问题的关键。信息安全的内涵也在不断的延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（

信息安全风险评估技术手段综述

王英梅1

（北京科技大学信息工程学院 北京 100101）

摘要：信息安全成为国家安全的重要组成部分，因此为保证信息安全，建立信息安全管理体系已成为目前安全建设的首要任务。风险评估作为信息安全管理体系建设的基础，在体系建设的各个阶段发挥着重要的作用。风险评估的进行离不开风险评估工具，本文在对风险评估工具进行分类的基础上，探讨了目前主要的风险评估工具的研究现状及发展方向。

关键词：风险评估 综合风险评估 信息基础设施 工具 引言

当今时代，信息是一个国家最重要的资源之一，信息与网络的运用亦是二十一世纪国力的象征，以网络为载体、信息资源为核心的新经济改变了传统的资产运营模式，没有各种信息的支持，企业的生存和发展空间就会受到限制。信息的重要性使得他不但面临着来自各方面的层出不穷的挑战，因此，需要对信息资产加以妥善保护。正如中国工程院院长徐匡迪所说：“没有安全的工程就是豆腐渣工程”。信息同样需要安全工程。而人们在实践中逐渐认识到科学的管理是解决信息安全问题的关键。信息安全的内涵也在不断的延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，

信息安全技术保障措施

网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我公司将认真开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全。

—、网站运行安全保障措施

1、网站服务器和其他计算机之间设置经公安部认证的防火墙,并与专业网络安全公司合作，做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。

2、在网站的服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息.对网站系统的干扰和破坏。

3、做好日志的留存。网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、邮箱使用者和对应的IP地址情况等。

4、交互式栏目具备有IP地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告服务立即关闭。

5、网站信息服务系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系

统提供服务。

6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。