2019年信息安全工程师下午真题及答案解析

Posted 2021-10-15 任铄

试题一(14分)

访问控制是保障信息系统安全的主要策略之一，其主要任务是保证系统资源不被非法使用和非常规访问。访问控制规定了主体对客体访问的限制，并在身份认证的基础上，对用户提出的资源访问请求加以控制。当前，主要的访问控制模型包括：自主访问控制(DAC)模型和强制访问控制(MAC)模型。

问题1(6分)

针对信息系统的访问控制包含哪三个基本要素？

问题2(4分)

BLP模型是一种强制访问控制模型，请问：

(1) BLP模型保证了信息的机密性还是完整性？

(2) BLP模型采用的访问控制策略是上读下写还是下读上写？

问题3(4分)

Linux系统中可以通过Is命令查看文件的权限，例如：文件net.txt的权限属性如下所示：

-rwx-------1 root root  5025  May 25 2019  /home/abc/net.txt

(1) 文件net.txt属于系统的哪个用户？

(2) 文件net.txt权限的数字表示是什么？

试题二(13分)

密码学作为信息安全的关键技术，在信息安全领域有着广泛的应用。密码学中，根据加密和解密过程所采用密钥的特点可以将密码算法分为两类：对称密码算法和非对称密码算法。此外，密码技术还用于信息鉴别、数据完整性检验、数字签名等。

问题1(6分)

信息安全的基本目标包括：真实性、保密性、完整性、不可否认性、可控性、可用性、可审查性等。密码学的三大安全目标C.I.A分别表示什么？

 

 

问题3(2分)

根据表2.1的对应关系，仿射密码中，如果已知明文“E”对应密文“C"，明文“T”对应密文“F”，则相应的key=(k1,k2)等于多少？

试题三(12分)

假设用户A和用户B为了互相验证对方的身份，设计了如下通信协议：

1. A→B: RA

2. B→A: f(PAB||RA) ||RB

3. A→B: f(PAB||   )

其中：RA、RB是随机数，PAB是双方事先约定并共享的口令，“||”表示连接操作。f是哈希函数。

问题1(2分)

身份认证可以通过用户知道什么、用户拥有什么和用户的生理特征等方法来验证。请问上述通信协议是采用哪种方法实现的？

问题2(2分)

根据身份的互相验证需求，补充协议第3步的空白内容。

问题3(2分)

通常哈希函数f需要满足下列性质：单向性、抗弱碰撞性、抗强碰撞性。如果某哈希函数f具备：找到任何满足f(x)=f(y)的偶对(x，y)在计算上是不可行的，请说明其满足哪条性质。

小任老师Q2105639303，免费获取资料，问题解答。

问题4(2分)

上述协议不能防止重放攻击，以下哪种改进方式能使其防止重放攻击？

(1)在发送消息加上时间参量。

(2)在发送消息加上随机数。

问题5(4分)

如果将哈希函数替换成对称加密函数，是否可以提高该协议的安全性？为什么？

试题四(19分)

防火墙类似于我国古代的护城河，可以阻挡敌人的进攻。在网络安全中，防火墙主要用于逻辑隔离外部网络与受保护的内部网络。防火墙通过使用各种安全规则来实现网络的安全策略。

防火墙的安全规则由匹配条件和处理方式两个部分共同构成。网络流量通过防火墙时，根据数据包中的某些特定字段进行计算以后如果满足匹配条件，就必须采用规则中的处理方式进行处理。小任老师Q2105639303，免费获取资料，问题解答。

问题1(5分)

假设某企业内部网（202.114.63.0/24）需要通过防火墙与外部网络互连，其防火墙的过滤规则实例如表4.1所示。

表中“*”表示通配符，任意服务端口都有两条规则。

请补充表4.1中的内容（1）和（2），并根据上述规则表给出该企业对应的安全需求。

问题2(4分)

一般来说，安全规则无法覆盖所有的网络流量。因此防火墙都有一条缺省（默认）规则，该规则能覆盖事先无法预料的网络流量。请问缺省规则的两种选择是什么？

问题3(6分)

请给出防火墙规则中的三种数据包处理方式。

问题4(4分)

防火墙的目的是实施访问控制和加强站点安全策略，其访问控制包含四个方面的内容：服务控制、方向控制、用户控制和行为控制。请问表4.1中，规则A涉及访问控制的哪几个方面的内容？

试题五(17分)

信息系统安全开发生命周期(Security Development Life Cycle(SDLC))是微软提出的从安全角度指导软件开发过程的管理模式，它将安全纳入信息系统开发生命周期的所有阶段，各阶段的安全措施与步骤如下图5.1所示。

问题1(4分)

在培训阶段，需要对员工进行安全意识培训，要求员工向弱口令说不。针对弱口令最有效的攻击方式是什么？以下口令中，密码强度最高的是（  ）。

A. security2019

B. 2019Security

C. Security@2019

D. Security2019

问题2(6分)

在大数据时代，个人数据正被动地被企业搜集并利用。在需求分析阶段，需要考虑采用隐私保护技术防止隐私泄露。从数据挖掘的角度，隐私保护技术主要有：基于数据失真的隐私保护技术、基于数据加密的隐私保护技术、基于数据匿名隐私保护技术。小任老师Q2105639303，免费获取资料，问题解答。

请问以下隐私保护技术分别属于上述三种隐私保护技术的哪一种?

（1）随机化过程修改敏感数据

（2）基于泛化的隐私保护技术

（3）安全多方计算隐私保护技术

问题3(4分)

有下述口令验证代码：

#ddfine PASSWORD "1234567"

int verify_password(char *password)

{

   int authenticated;

   char buffer[8];

   authenticated=strcmp(password, PASSWORD);

   strcpy(buffer, password);

   return authenticated;

}

int main(int argc, char *argv[])

{

   int valid_flag=0;

   char password[1024];

   while(1)

其中main函数在调用verify_password 函数进行口令验证时，堆栈的布局如图5.2所示。

 

请问调用verify_password()函数的参数满足什么条件，就可以在不知道真实口令的情况下绕过口令验证功能？

问题4(3分)

SDLC安全开发模型的实现阶段给出了 3种可以采取的安全措施，请结合问题3的代码举例说明？

2019年信息安全工程师下午真题及答案解析

试题一(14分)    单击此链接查看真题解析视频 https://ke.qq.com/course/272067

问题1(6分)

访问控制的三个基本要素：主体、客体、授权访问。

解析：

问题2(4分)

(1) 机密性

(2) 下读上写

问题3(4分)

(1) root    (2)700

试题二(13分)

问题1(6分)

C.I.A即：Confidentiality保密性、Integrity完整性、Availability可用性

问题2(5分)

(1) 19      (2)TVZ  

问题3(2分)

k1=21 , k2=22

试题三(12分)

问题1(2分)

通过用户知道什么实现的。

问题2(2分)

RB

问题3(2分)

满足抗强碰撞性。

问题4(2分)

(1)和(2)都可以。

问题5(4分)

不可以。对称加密算法密钥存在分发和管理困难问题；同时不具备哈希函数的单向性、抗弱碰撞性、抗强碰撞性。单击此链接查看真题解析视频 https://ke.qq.com/course/272067

试题四(19分)

问题1(5分)

(1) 53  

(2) drop

安全需求：

AB.允许内部用户访问外部网络的Web服务器（80端口）；

CD.许外部用户访问内部网络的Web服务器（202.114.64.125）；

EF.允许内部用户访问DNS服务器（53端口）；

G.除上述流量外，禁止其他任何网络流量通过防火墙。

问题2(4分)

两种缺省选择是：默认拒绝或者默认允许。

问题3(6分)

Accept、Reject、Drop

问题4(4分)

服务控制、方向控制和用户控制。

试题五(17分)

问题1(4分)

针对弱口令最有效的攻击方式是穷举攻击。密码强度最高的是C

问题2(6分)

(1)随机化过程修改敏感数据属于基于数据失真的隐私保护技术

(2)基于泛化的隐私保护技术基于数据失真匿名化的隐私保护技术

(3)安全多方计算隐私保护技术基于数据加密的隐私保护技术

问题3(4分)

password数组长度等于12个字符，其中后4个字符均为空字符。

问题4(3分)

1.使用批准工具：编写安全代码。

2.禁用不安全函数：禁用C语言中有隐患的函数。

3.静态分析：检测程序指针的完整性。