2019年信息安全工程师下午真题及答案解析

Posted 任铄

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了2019年信息安全工程师下午真题及答案解析相关的知识,希望对你有一定的参考价值。

试题一(14分)

访问控制是保障信息系统安全的主要策略之一,其主要任务是保证系统资源不被非法使用和非常规访问。访问控制规定了主体对客体访问的限制,并在身份认证的基础上,对用户提出的资源访问请求加以控制。当前,主要的访问控制模型包括:自主访问控制(DAC)模型和强制访问控制(MAC)模型。

问题1(6分)

针对信息系统的访问控制包含哪三个基本要素?

问题2(4分)

BLP模型是一种强制访问控制模型,请问:

(1) BLP模型保证了信息的机密性还是完整性?

(2) BLP模型采用的访问控制策略是上读下写还是下读上写?

问题3(4分)

Linux系统中可以通过Is命令查看文件的权限,例如:文件net.txt的权限属性如下所示:

-rwx-------1 root root  5025  May 25 2019  /home/abc/net.txt

(1) 文件net.txt属于系统的哪个用户?

(2) 文件net.txt权限的数字表示是什么?

试题二(13分)

密码学作为信息安全的关键技术,在信息安全领域有着广泛的应用。密码学中,根据加密和解密过程所采用密钥的特点可以将密码算法分为两类:对称密码算法和非对称密码算法。此外,密码技术还用于信息鉴别、数据完整性检验、数字签名等。

问题1(6分)

信息安全的基本目标包括:真实性、保密性、完整性、不可否认性、可控性、可用性、可审查性等。密码学的三大安全目标C.I.A分别表示什么?

 

 

问题3(2分)

根据表2.1的对应关系,仿射密码中,如果已知明文“E”对应密文“C",明文“T”对应密文“F”,则相应的key=(k1,k2)等于多少?

试题三(12分)

假设用户A和用户B为了互相验证对方的身份,设计了如下通信协议:

1. A→B: RA

2. B→A: f(PAB||RA) ||RB

3. A→B: f(PAB||   )

其中:RA、RB是随机数,PAB是双方事先约定并共享的口令,“||”表示连接操作。f是哈希函数。

问题1(2分)

身份认证可以通过用户知道什么、用户拥有什么和用户的生理特征等方法来验证。请问上述通信协议是采用哪种方法实现的?

问题2(2分)

根据身份的互相验证需求,补充协议第3步的空白内容。

问题3(2分)

通常哈希函数f需要满足下列性质:单向性、抗弱碰撞性、抗强碰撞性。如果某哈希函数f具备:找到任何满足f(x)=f(y)的偶对(x,y)在计算上是不可行的,请说明其满足哪条性质。

小任老师Q2105639303,免费获取资料,问题解答。

问题4(2分)

上述协议不能防止重放攻击,以下哪种改进方式能使其防止重放攻击?

(1)在发送消息加上时间参量。

(2)在发送消息加上随机数。

问题5(4分)

如果将哈希函数替换成对称加密函数,是否可以提高该协议的安全性?为什么?

试题四(19分)

防火墙类似于我国古代的护城河,可以阻挡敌人的进攻。在网络安全中,防火墙主要用于逻辑隔离外部网络与受保护的内部网络。防火墙通过使用各种安全规则来实现网络的安全策略。

防火墙的安全规则由匹配条件和处理方式两个部分共同构成。网络流量通过防火墙时,根据数据包中的某些特定字段进行计算以后如果满足匹配条件,就必须采用规则中的处理方式进行处理。小任老师Q2105639303,免费获取资料,问题解答。

问题1(5分)

假设某企业内部网(202.114.63.0/24)需要通过防火墙与外部网络互连,其防火墙的过滤规则实例如表4.1所示。

表中“*”表示通配符,任意服务端口都有两条规则。

请补充表4.1中的内容(1)和(2),并根据上述规则表给出该企业对应的安全需求。

问题2(4分)

一般来说,安全规则无法覆盖所有的网络流量。因此防火墙都有一条缺省(默认)规则,该规则能覆盖事先无法预料的网络流量。请问缺省规则的两种选择是什么?

问题3(6分)

请给出防火墙规则中的三种数据包处理方式。

问题4(4分)

防火墙的目的是实施访问控制和加强站点安全策略,其访问控制包含四个方面的内容:服务控制、方向控制、用户控制和行为控制。请问表4.1中,规则A涉及访问控制的哪几个方面的内容?

试题五(17分)

信息系统安全开发生命周期(Security Development Life Cycle(SDLC))是微软提出的从安全角度指导软件开发过程的管理模式,它将安全纳入信息系统开发生命周期的所有阶段,各阶段的安全措施与步骤如下图5.1所示。

问题1(4分)

在培训阶段,需要对员工进行安全意识培训,要求员工向弱口令说不。针对弱口令最有效的攻击方式是什么?以下口令中,密码强度最高的是(  )。

A. security2019

B. 2019Security

C. Security@2019

D. Security2019

问题2(6分)

在大数据时代,个人数据正被动地被企业搜集并利用。在需求分析阶段,需要考虑采用隐私保护技术防止隐私泄露。从数据挖掘的角度,隐私保护技术主要有:基于数据失真的隐私保护技术、基于数据加密的隐私保护技术、基于数据匿名隐私保护技术。小任老师Q2105639303,免费获取资料,问题解答。

请问以下隐私保护技术分别属于上述三种隐私保护技术的哪一种?

(1)随机化过程修改敏感数据

(2)基于泛化的隐私保护技术

(3)安全多方计算隐私保护技术

问题3(4分)

有下述口令验证代码:

#ddfine PASSWORD "1234567"

int verify_password(char *password)

{

   int authenticated;

   char buffer[8];

   authenticated=strcmp(password, PASSWORD);

   strcpy(buffer, password);

   return authenticated;

}

int main(int argc, char *argv[])

{

   int valid_flag=0;

   char password[1024];

   while(1)

其中main函数在调用verify_password 函数进行口令验证时,堆栈的布局如图5.2所示。

 

请问调用verify_password()函数的参数满足什么条件,就可以在不知道真实口令的情况下绕过口令验证功能?

问题4(3分)

SDLC安全开发模型的实现阶段给出了 3种可以采取的安全措施,请结合问题3的代码举例说明?

2019年信息安全工程师下午真题及答案解析

试题一(14分)    单击此链接查看真题解析视频 https://ke.qq.com/course/272067

问题1(6分)

访问控制的三个基本要素:主体、客体、授权访问。

解析:

问题2(4分)

(1) 机密性

(2) 下读上写

问题3(4分)

(1) root    (2)700

试题二(13分)

问题1(6分)

C.I.A即:Confidentiality保密性、Integrity完整性、Availability可用性

问题2(5分)

(1) 19      (2)TVZ  

问题3(2分)

k1=21 , k2=22

试题三(12分)

问题1(2分)

通过用户知道什么实现的。

问题2(2分)

RB

问题3(2分)

满足抗强碰撞性。

问题4(2分)

(1)和(2)都可以。

问题5(4分)

不可以。对称加密算法密钥存在分发和管理困难问题;同时不具备哈希函数的单向性、抗弱碰撞性、抗强碰撞性。单击此链接查看真题解析视频 https://ke.qq.com/course/272067

试题四(19分)

问题1(5分)

(1) 53  

(2) drop

安全需求:

AB.允许内部用户访问外部网络的Web服务器(80端口);

CD.许外部用户访问内部网络的Web服务器(202.114.64.125);

EF.允许内部用户访问DNS服务器(53端口);

G.除上述流量外,禁止其他任何网络流量通过防火墙。

问题2(4分)

两种缺省选择是:默认拒绝或者默认允许。

问题3(6分)

Accept、Reject、Drop

问题4(4分)

服务控制、方向控制和用户控制。

试题五(17分)

问题1(4分)

针对弱口令最有效的攻击方式是穷举攻击。密码强度最高的是C

问题2(6分)

(1)随机化过程修改敏感数据属于基于数据失真的隐私保护技术

(2)基于泛化的隐私保护技术基于数据失真匿名化的隐私保护技术

(3)安全多方计算隐私保护技术基于数据加密的隐私保护技术

问题3(4分)

password数组长度等于12个字符,其中后4个字符均为空字符。

问题4(3分)

1.使用批准工具:编写安全代码。

2.禁用不安全函数:禁用C语言中有隐患的函数。

3.静态分析:检测程序指针的完整性。

以上是关于2019年信息安全工程师下午真题及答案解析的主要内容,如果未能解决你的问题,请参考以下文章

2021年下半年信息安全工程师下午真题及答案解析

2021年下半年信息安全工程师下午真题及答案解析

2019年信息安全工程师上午真题及答案解析

2020年下半年信息安全工程师上午真题及答案解析

2017年上半年信息安全工程师考试真题含答案(下午题)

2021年下半年信息安全工程师上午真题及答案解析