首页
外语
计算机
考研
公务员
职业资格
财经
工程
司法
医学
专升本
自考
实用职业技能
登录
计算机
阅读以下关于信息系统安全性的叙述。 某企业根据业务扩张的要求,需要将原有的业务系统扩展到互联网上,建立自己的B2C业务系统,此时系统的安全性成为一个非常重要的设计需求。为此,该企业向软件开发商提出如下要求: (1) 合法用户可以安全地使用该系
阅读以下关于信息系统安全性的叙述。 某企业根据业务扩张的要求,需要将原有的业务系统扩展到互联网上,建立自己的B2C业务系统,此时系统的安全性成为一个非常重要的设计需求。为此,该企业向软件开发商提出如下要求: (1) 合法用户可以安全地使用该系
admin
2010-03-08
58
问题
阅读以下关于信息系统安全性的叙述。
某企业根据业务扩张的要求,需要将原有的业务系统扩展到互联网上,建立自己的B2C业务系统,此时系统的安全性成为一个非常重要的设计需求。为此,该企业向软件开发商提出如下要求:
(1) 合法用户可以安全地使用该系统完成业务;
(2) 灵活的用户权限管理;
(3) 保护系统数据的安全,不会发生信息泄漏和数据损坏;
(4) 防止来自于互联网上各种恶意攻击;
(5) 业务系统涉及到各种订单和资金的管理,需要防止授权侵犯;
(6) 业务系统直接面向最终用户,需要在系统中保留用户使用痕迹,以应对可能的商业诉讼。
该软件开发商接受任务后,成立方案设计小组,提出的设计方案是:在原有业务系统的基础上,保留了原业务系统中的认证和访问控制模块;为了防止来自互联网的威胁,增加了防火墙和入侵检测系统。
企业和软件开发商共同组成方案评审会,对该方案进行了评审,各位专家对该方案提出了多点不同意见。李工认为,原业务系统只针对企业内部员工,采用了用户名/密码方式是可以的,但扩展为基于互联网的B2C业务系统后,认证方式过于简单,很可能造成用户身份被盗取;王工认为,防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为,即使是在原有业务系统上的扩展与改造,也必须全面考虑信息系统面临的各种威胁,设计完整的系统安全架构,而不是修修补补。
[问题1]
信息系统面临的安全威胁多种多样,来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别予以简要描述。
[问题2]
认证是安全系统中不可缺少的环节,请简要描述主要的认证方式,并说明该企业应采用哪种认证方式。
[问题3]
请解释授权侵犯的具体含义;针对王工的意见给出相应的解决方案,说明该解决方案的名称、内容和目标。
选项
答案
[问题1] 信息系统面临的安全威胁来自于物理环境、通信链路、网络系统、操作系统、应用系统以及管理等多个方面。 物理安全威胁是指对系统所用设备的威胁,如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。 通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。 网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性,对内部网络形成的严重安全威胁。 操作系统安全威胁指的是操作系统本身的后门或安全缺陷,如“木马”和“陷阱门”等。 应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁,包括应用系统自身漏洞,也受到“木马”的威胁。 管理系统安全威胁指的是人员管理和各种安全管理制度。 [问题2] 目前主要的认证方式有三类: (1) 用户名和口令认证:主要是通过一个客户端与服务器共知的口令(或与口令相关的数据)进行验证。根据处理形式的不同,分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。 (2) 使用令牌认证:该方式中,进行验证的密钥存储于令牌中,目前的令牌包括安全证书和智能卡等方式。 (3) 生物识别认证:主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业的业务特征,采用令牌认证较为合适。 [问题3] 授权侵犯指的是被授权以某一目的使用某一系统或资源的某个人,将此权限用于其他非授权的目的,也称作“内部攻击”。 针对王工的建议,从系统安全架构设计的角度需要提供抗抵赖框架。 抗抵赖服务包括证据的生成、验证和记录,以及在解决纠纷时随即进行的证据恢复和再次验证。 框架中抗抵赖服务的目的是提供有关特定事件或行为的证据。例如,必须确认数据原发者和接收者的身份和数据完整性,在某些情况下,可能需要涉及上下文关系(如日期、时间、原发者/接收者的地点等)的证据,等等。
解析
本题考查信息系统的安全威胁以及采用的常用方案。
信息系统面临的安全主要包括信息系统所依赖环境的安全、信息系统自身安全和使用信息系统的人员管理和相关规章制度。
信息系统所依赖的环境带来的安全威胁有物理环境、通信链路和操作系统。物理安全威胁是指对系统所用设备的威胁,如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性,对内部网络形成的严重安全威胁。操作系统安全威胁指的是操作系统本身的后门或安全缺陷,如“木马”和“陷阱门”等。
应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁,包括应用系统自身漏洞,也受到“木马”的威胁。
管理系统安全威胁指的是人员管理和各种安全管理制度。所谓的安全措施,是指“三分技术,七分管理”。
在信息系统安全中,认证是必不可少的环节。常见的认证方式有三种:(1) 用户名和口令认证:主要是通过一个客户端与服务器共知的口令(或与口令相关的数据)进行验证。根据处理形式的不同,分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。(2) 使用令牌认证:该方式中,进行验证的密钥存储于令牌中,目前的令牌包括安全证书和智能卡等方式。(3) 生物识别认证:主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业原有信息系统中的认证方式,并考虑到接入因特网后的用户特征,采用令牌认证的方式较为适合。
目前威胁信息系统安全中,有相当一部分是由于内部人员犯罪所引起的,即授权侵犯。授权侵犯指的是被授权以某一目的使用某一系统或资源的某个人,将此权限用于其他非授权的目的,也称作“内部攻击”。防止授权侵犯的主要手段是提供类似于审计的功能,从系统安全架构设计的角度来讲,即提供抗抵赖框架。抗抵赖服务包括证据的生成、验证和记录,以及在解决纠纷时随即进行的证据恢复和再次验证。框架中抗抵赖服务的目的是提供有关特定事件或行为的证据。例如,必须确认数据原发者和接收者的身份和数据完整性,在某些情况下,可能需要涉及上下文关系(如日期、时间、原发者/接收者的地点等)的证据,等等。
转载请注明原文地址:https://kaotiyun.com/show/BNQZ777K
本试题收录于:
系统架构师下午案例分析考试题库软考高级分类
0
系统架构师下午案例分析考试
软考高级
相关试题推荐
求1+2+…+n,要求不能使用乘除法、for、while、if、else、switch、case等关键字以及条件判断语句(A?B:C)。
输入一个整数和一棵二元树。从树的根结点开始往下访问一直到叶结点所经过的所有结点形成一条路径。打印出和与输入整数相等的所有路径。例如输入整数22和如下二元树则打印出两条路径:10,12和10,5,7。二元树结点的数据结构定义为:struct
实现strstr功能(寻找子串在父串中首次出现的位置)
输入一个链表的头结点,反转该链表,并返回反转后链表的头结点。链表结点定义如下:{intm_nKey;ListNode*m_pNext;};
删除字符串中的数字并压缩字符串(神州数码以前笔试题),如字符串”abc123de4fg56”处理后变为”abcdefg”。注意空间和效率。(下面的算法只需要一次遍历,不需要开辟新空间,时间复杂度为O(N))
在一个ASPX文件中是否可以使用一种以上的语言?
.net中读写数据库需要用到哪些类?他们的作用
什么是ASP.net中的用户控件
利用我的电脑窗口,将已经放在“剪贴板”上的名为“系统”的文件夹粘贴到C盘窗口。
wood2000是()A.可用于财务处理,数据分析的电子表格软件B.功能强大,使用方便的文字处理软件C.功能强大的演示文稿创作软件D.基于图形界面的多任务操作系统
随机试题
确诊为过期妊娠,肛查宫颈评8分,B超示AFI7cm,无产科指征,胎心监护正常,处理原则为初产妇确诊为过期妊娠,头浮,肛查宫颈评4分,胎心监护频发晚减,处理原则为
A.放射性切口B.梭形切口C.“Z”形切口D.弧形切口E.“十"形切口乳晕下乳房脓肿需切开引流时,选择的手术切口
A、乙醇提取,正丁醇萃取法B、碱水提取法C、吉拉尔试剂法D、中性醋酸铅沉淀法E、碱性醋酸铅沉淀法甘草皂苷的提取制备可采用
下列关于开放式基金的说法错误的是()。
某公司2016年3月通过挂牌取得一宗土地,土地出让合同约定2016年4月交付,土地使用证记载占地面积为6000平方米。该土地年税额4元/平方米,该公司应缴纳城镇土地使用税()元。(2017年)
杰克想买一辆和玛丽一样的轿车。
A、 B、 C、 D、 A将第一项改写为,根号的指数分别为2、3、(4)、5、6,根号下面的数字分别为4、10、(16)、22、28,构成公差为6的等差数列。故应填入=2。
实体完整性的规则是若属性A是基本关系R的主属性,则属性A【】。
ScienceWithoutBordersScienceandtechnologyisamongthefactorsthathavetakenthehumancivilizationtotheleveliten
ForcenturiesinSpainandLatinAmerica,beadinghomeforlunchandasnoozewiththefamilywassomethinglikeanationalrigh
最新回复
(
0
)