阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某企业为防止自身信息资源的非授权访问，建立了如图4-1所示的访问控制系统。该系统提供的主要安全机制包括： (1)认证：管理企业的合法用户，验证用户

admin2013-01-19 76

问题阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。
【说明】
某企业为防止自身信息资源的非授权访问，建立了如图4-1所示的访问控制系统。

该系统提供的主要安全机制包括：
(1)认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制；
(2)授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策：
(3)安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷，提出安全改进建议。
测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。

选项

答案冒充攻击：攻击者控制企业某台主机，发现其中系统服务中可利用的用户账号，进行口令猜测，从而假装成特定用户，对企业资源进行非法访问。重演攻击(或重放攻击)：攻击者通过截获含有身份鉴别信息或授权请求的有效消息，将该消息进行重演，以达到鉴别自身或获得授权的目的，实现对氽业资源的访问。服务拒绝攻击：攻击者通过向认证服务或授权服务发送大量虚假请求，占用系统带宽并造成系统关键服务繁忙，从而使得认证授权服务功能不能正常执行，产生服务拒绝。内部攻击：不具有相应权限的系统合法用户以非授权方式进行动作，如截获并存储其他业务部门的网络数据流，或对系统访问控制管理信息进行攻击以获得他人权限等。以上攻击，任给出3种即可。

解析本问题考查针对特定系统的模拟攻击实验设计。模拟攻击试验是一组特殊的墨盒测试安全，相关模拟攻击实验的设计应结合应用具体的安全机制及特点。针对系统的身份认证机制，可设计冒充攻击试验；针对系统用于认证及授权决策的网络消息，可设计重演攻击试验；针对系统关键核心安全模块，可设计服务拒绝攻击试验；由于系统运行时涉及各种内部用户，因此安全测试需验证系统防范内部用户的安全攻击，因此可设计内部攻击实验。

转载请注明原文地址:https://kaotiyun.com/show/37WZ777K

本试题收录于：软件评测师下午应用技术考试题库软考中级分类

软件评测师下午应用技术考试

软考中级

相关试题推荐

随机试题

最新回复(0)

软件评测师下午应用技术考试

软考中级

机房是计算机网络系统的中枢，机房建设直接影响整个系统的安全稳定运行。主机房内的空气含尘浓度，在静态条件下测试，每升空气中大于或等于0．5μm的尘粒数，应少于()粒。

()不属于网络基础平台的组成部分。

()是继IP技术之后的广域网传输技术，利用数据标签引导数据包在开放的通信网络上进行高速、高效传输，在一个无连接的网络中引入连接模式，减少了网络复杂性。

信息系统项目实施过程中往往会出现进度滞后、投资超预算等情况，这说明该项目需加强()。

在()阶段不仅包括系统分析、系统设计、系统实施，还包括系统验收等工作。

项目管理是信息系统项目三方(建设单位、承建单位、监理单位)均采用的方法。在信息系统项目管理要素中，由建设单位重点实施的是()。

监理工程师必须具备的条件有______。①具有高级职称②取得监理工程师培训证书③通过信息系统监理师考试④参加全国或地方信息监理协会⑤取得主管部门颁发的《信息系统工程监理工程师证书》并从事监理工作。

入侵检测系统一般由数据收集器、检测器、(1)构成。_(2)不属于入侵检测系统的功能。(2)

当采用S曲线比较法时，如果实际进度点位于计划S曲线的右侧，则该点与计划S曲线的垂直距离表示实际进度比计划进度(50)。

网络集成面临互连异质、异构网络等问题，网络互连设备既可用软件实现，也可用硬件实现。以下_____________不属于网络互连设备。

物权和债权的区别在于()。

甲公司经过资产重组分立为乙、丙两家公司，乙公司与丙公司协商后将某合同的履行归于乙公司。对此，以下说法正确的是(　　)。

银行对一年未发生收付活动且未欠开户银行债务的单位银行结算账户，应通知单位自发出通知之日起()日内办理销户手续，逾期视同自愿销户，未划转款项列入久悬未取专户管理。

设计概算批准后，应以批准的设计概算控制()。

投资组合的基本步骤不包括()。

某中外合资经营企业合营合同中约定了经营期限于2009年9月1日届满，如果合营各方同意延长合营期限的，根据《中外合资经营企业法》的规定，合营各方应当在()前向审批机关提出申请。

下列各项中,反映法的本质的是()。

欧洲中世纪的宗教神学课程和工业革命后的以自然科学为基础的课程属于课程类别中的()。

A.helpmaintainenvironmentalqualityB.aspeopleclearlandsC.dependsoncountlessinteractionsD.byoverfishingandbypo

A、40多岁B、50多岁C、60多岁D、70多岁C

软件评测师下午应用技术考试

软考中级

机房是计算机网络系统的中枢，机房建设直接影响整个系统的安全稳定运行。主机房内的空气含尘浓度，在静态条件下测试，每升空气中大于或等于0．5μm的尘粒数，应少于()粒。

()不属于网络基础平台的组成部分。

()是继IP技术之后的广域网传输技术，利用数据标签引导数据包在开放的通信网络上进行高速、高效传输，在一个无连接的网络中引入连接模式，减少了网络复杂性。

信息系统项目实施过程中往往会出现进度滞后、投资超预算等情况，这说明该项目需加强()。

在()阶段不仅包括系统分析、系统设计、系统实施，还包括系统验收等工作。

项目管理是信息系统项目三方(建设单位、承建单位、监理单位)均采用的方法。在信息系统项目管理要素中，由建设单位重点实施的是()。

监理工程师必须具备的条件有______。①具有高级职称②取得监理工程师培训证书③通过信息系统监理师考试④参加全国或地方信息监理协会⑤取得主管部门颁发的《信息系统工程监理工程师证书》并从事监理工作。

入侵检测系统一般由数据收集器、检测器、________(1)构成。_________(2)不属于入侵检测系统的功能。(2)

当采用S曲线比较法时，如果实际进度点位于计划S曲线的右侧，则该点与计划S曲线的垂直距离表示实际进度比计划进度(50)。

网络集成面临互连异质、异构网络等问题，网络互连设备既可用软件实现，也可用硬件实现。以下_____________不属于网络互连设备。

物权和债权的区别在于()。

甲公司经过资产重组分立为乙、丙两家公司，乙公司与丙公司协商后将某合同的履行归于乙公司。对此，以下说法正确的是( )。

银行对一年未发生收付活动且未欠开户银行债务的单位银行结算账户，应通知单位自发出通知之日起()日内办理销户手续，逾期视同自愿销户，未划转款项列入久悬未取专户管理。

设计概算批准后，应以批准的设计概算控制()。

投资组合的基本步骤不包括()。

某中外合资经营企业合营合同中约定了经营期限于2009年9月1日届满，如果合营各方同意延长合营期限的，根据《中外合资经营企业法》的规定，合营各方应当在()前向审批机关提出申请。

下列各项中,反映法的本质的是()。

欧洲中世纪的宗教神学课程和工业革命后的以自然科学为基础的课程属于课程类别中的()。

A.helpmaintainenvironmentalqualityB.aspeopleclearlandsC.dependsoncountlessinteractionsD.byoverfishingandbypo

A、40多岁B、50多岁C、60多岁D、70多岁C

入侵检测系统一般由数据收集器、检测器、(1)构成。_(2)不属于入侵检测系统的功能。(2)

甲公司经过资产重组分立为乙、丙两家公司，乙公司与丙公司协商后将某合同的履行归于乙公司。对此，以下说法正确的是(　　)。