《信息与网络安全管理案例分析》实践考核指南

第一篇：《信息与网络安全管理案例分析》实践考核指南

《信息与网络安全管理案例分析》实践考核指南

第一部分考核说明

一、课程地位和目标

《信息与网络安全管理案例分析》实践课是我省高等教育自学考试电子政务专业的一门专业必修课程。本课程旨在培养应考者系统地学习网络信息安全方面的案例，具体了解和掌握世界信息和网络安全的发展概况，剖析和总结信息与网络安全防护的成功案例，通过对不同案例中信息与网络安全技术和理论应用的分析,着重探讨有益于我国网络安全建设的经验和启迪，从而指导我国信息化建设健康、快速和有序地发展。

二、课程的基本要求

通过本课程的学习，应考者应达到以下要求：

1．了解世界及我国信息和网络安全的背景和现状；

2．理解并掌握信息与网络安全的技术发展、体系构建和实际应用等。

3．掌握电子政务和电子商务领域的信息与网络安全防护措施。

4．综合分析评价信息与网络安全案例。

三、教材

《信息与网络安全管理》，郑连清主编，北京交通大学出版社、清华大学出版社2004年版。

第二部分考核内容

一、考核方式

写一篇3000字左右的信息与网络安全案例分析或调查报告。

二、典型案例

以下共有六个信息与网络安全相关案例，考生可从中选择其中一个案例，按照后面的问题进行分析回答，字数3000字左右。

一、中国电子政务网络安全隐患案例

2004年举行的中国政府采购电子政务与网络安全论坛上指出，我国电子政务网络安全方面暴露问题比较突出的有五个方面：计算机病毒泛滥；木马程序带来安全保密方面的隐患；易受黑客攻击特别是洪流攻击；垃圾邮件阻塞网络；网络安全的威胁开始蔓延到应用的环节，其中windows占70%，lunix占30%。

国家信息安全评测中心主任吴世忠指出，80%的电子政务网络都有木马程序，电子政务信息安全保障不单是技术问题，更是业务问题，要和业务紧密结合。电子政务信息安全保障是一个综合的复杂的问题，不能脱离部门的工作，脱离部门对安全的需求。要保证电子政务正常运行的信息网络安全，建设以内网安全为核心的新型网络就显得至关重要。

针对目前电子政务信息安全保障问题，威视科技总经理江明家提出“网络安全整体解决方案”的概念，他认为：从技术上，网络安全取决于：网络设备的硬件和软件，网络安全由网络设备的软件和硬件互相配合来实现。电子政务安全的关键是要有自主的知识产权和关键技术，从根本上摆脱对外国技术的依赖。在安全技术不断发展的同时，全面加强安全技术的应用也是网络安全发展的一个重要内容。作为网络安全厂商，不应当简单为用户提供产品，而应当有能力根据用户需求，有针对性地为用户设计、提供网络安全整体解决方案。

问题：试论中国电子政务系统网络安全的现状。

二、网络信息安全调查案例

近年来，关于网上银行、网络游戏密码账号被盗的案例不胜枚举，网上密码安全问题已经成为目前最大的网络安全隐患。日前一项关于网络密码信息安全状况的调查结果显示，四成网民有过密码被盗的经历。

调查数据显示，39.43%的网民有过密码被盗的经历，60.57%的网民没有密码被盗经历。“网银大盗”“证券大盗”“传奇窃贼”“天堂杀手”等专门盗号的木马、黑客正是给网民带来损失的网上“杀手”。

目前网上盗窃犯罪现象屡屡发生，与网民的防范意识不强有关。调查显示，近五成网民对于网络密码信息没有采取有效保护措施。数据显示，34.50%的网民没有采取任何密码保护措施，13.61%网民表示采取过密码保护措施但仍然被盗，51.89%网民表示采取过密码保护措施。

在密码被盗后，有近六成网民认为主要原因是中了木马病毒，24.19%的网民认为主要是因为自我保护意识差，14.27%的网民认为主要原因是密码太简单被暴力破解。

网民对于杀毒软件仍然期待很高，数据显示，九成以上的网民认为杀毒软件应该具有密码保护功能，只有9.05%的网民认为杀毒软件应该专注杀毒，不应该去做密码保护。

问题：试论网络信息安全的保护。

三、计算机网络安全规划案例

计算机网络安全规划可以帮助你决定哪些东西需要保护，在保护时愿意投资多少，由谁来负责执行该保护等。威胁评估：制定一个有效的网络安全规划，第一步是评估系统连接中所表现出的各种威胁。与网络相关的主要有：非授权访问、信息泄露、拒绝服务；分布式控

制：实现网络安全的一种方法，是将一个大型网络中的各段责任和控制权分配给单位内部的一些小组。这种责任的层次结构从高到低包括网络管理员、子网管理员、系统管理员和用户，在该层次结构的每一点都有人负责和具体执行；编写网络安全策略：编写一个网络安全策略文件，明确地阐明要求达到什么目的和要求谁来执行是很重要的。一个网络安全策略文件包括如下内容：系统管理员的安全责任、正确地利用网络资源、检测到安全问题时的对策、网络用户的安全责任等。

一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、网络反病毒技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，极大地增加了恶意攻击的难度，并增加了审核信息的数量，利用这些审核信息可以跟踪入侵者。在实施网络安全防范措施时要考虑以下几点：要加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；要用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；利用数据存储技术加强数据备份和恢复措施；对敏感的设备和数据要建立必要的物理或逻辑隔离措施；对在公共网络上传输的敏感信息要进行数据加密；安装防病毒软件，加强内部网的整体防病毒措施；建立详细的安全审计日志，以便检测并跟踪入侵攻击等。

问题：试论计算机网络安全体系的构建。

四、防火墙的选择案例

网络安全产品主要细分产品包括防火墙、入侵检测系统、信息加密以及安全认证等。据赛迪网统计，2004年上半年，中国网络安全产品市场的销售总额达13.34亿元，比2003年上半年增长43.3%，其中防火墙软件以46.20%的份额，成为2004年上半年中国网络安全产品市场中主力军。

如何选择一个好的防火墙呢？

一、自身的安全性。防火墙自身的安全性主要体现在自身设计和管理两个方面。设计的安全性关键在于操作系统，而应用系统的安全是以操作系统的安全为基础的，同时防火墙自身的安全实现也直接影响整体系统的安全性。

二、系统的稳定性。由于种种原因，有些系统尚未最后定型或经过严格的大量测试就被推向了市场，其稳定性可想而知。可以通过权威的测评认证机构、实际调查、试用、厂商实力等多个方面加以判断；

三、是否高效。一般来说，防火墙加载上百条规则，其性能下降不应超过 5~10 ％（指包过滤防火墙）；

四、是否可靠。有较高的生产标准和设计冗余度能提高系统可靠性的；

五、是否功能灵活、强大。例如对普通用户，只要对 IP 地址进行过滤即可；如果是内部有不同安全级别的子网，有时则必须允许高级别子网对低级别子网进行单向访问。

六、是否配置方便。

七、是否可以抵抗拒绝服务攻击。在当前的网络攻击中，拒绝服务攻击是使用频率最高的方法。目前有很多防火墙号称可以抵御拒绝服务攻击，但严格地说，它应该是可以降低拒绝服务攻击的危害而不是抵御这种攻击；

八、是否可扩展、可升级。

问题：试论防火墙在网络信息安全中的应用。

五、电子商务安全要素分析

电子商务主要的安全要素有以下几个：

1、有效性。EC以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展E的前提。EC作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。

2、机密性。EC作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。EC是建立在一个较为开放的网络环境上的(尤其Internet是更为开放的网络),维护商业机密是EC全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。

3、完整性。EC简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是EC应用的基础。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。

4、可靠性、不可抵赖性、鉴别。EC可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证EC顺利进行的关键。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也就是人们常说的“白纸黑字”。在无纸化的EC方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。

5、审查能力。根据机密性和完整性的要求,应对数据审查的结果进行记录。

问题：试论电子商务安全问题。

六、吉林省社保网络安全防范案例

一、背景

近年来，随着我国的互联网络迅猛发展，互联网络已经深入到各行各业当中，在我国的经济生活中发挥着日益重要的作用。吉林省社保网络我国最庞大的网络系统之一，关系着吉林省全省人民的切身利益，网络安全就成了首要的问题。一直以来，吉林省社保公司都在不断的加强全省的社保网络安全保护设施，以保证整个网络的信息安全。2003年是病毒频发的一年，安全问题尤其突出，吉林省社保网络多次面临各种病毒和恶意程序的袭击。为了彻底杜绝网络病毒的侵害，保证全省社保事业的正常健康运行，吉林省社保总公司决定采用交大铭泰的网路病毒解决方案。

二、方案实施过程

1、安装东方卫士管理员

在东方卫士中小企业版中，包含了允许网络管理员从一个单独的工作站上管理整个网络的东方卫士病毒保护程序。该工具名为东方卫士网络管理员。通过东方网络管理员，可进行安装、卸载、设置、扫描及更新工作站或服务器上的任何杀毒软件。

2、安装东方卫士服务器端

服务器端是专门为网络服务器设计的防病毒子系统。它承担着对当前服务器上病毒的实时监控、检测和清除任务。服务器还是整个卫士中小企业版网络防病毒系统的信息管理和病毒防护的自动控制核心。它实时地记录防护体系内每台计算机上的病毒监控、检测和清除信息。同时，根据控制台的设置，实现对整个防护系统的自动控制。其他子系统只有在服务器工作后，才可实现各自的网络防护功能。它必须先于其它子系统安装到符合条件的服务器上。服务器支持多级子服务器，分层管理，这样方便了大中型网络和扩展性强的网络结构。

3、安装东方卫士客户端（WEB方式）

客户端是专门为网络工作站（客户机）设计的防病毒子系统。它承担着对当前工作站上病毒的实时监控、检测和清除任务，同时自动向卫士中小企业版系统中心报告病毒监测情况。

本次客户端分发给技术人员留下了很深的印象，在无网段限制十分简洁和安全东发卫士所提供的这项服务以及成功实施的事实成为选型时非常重要的一条参考标准。

三、应用效果

整个系统的在实施过程中保持了流畅和平稳，基本上没有影响到既有网络系统的正常运行。安装的防病毒产品稳定性非常好，没有影响到其它应用的功能。防病毒系统的升级和功能应全自动化，整个系统具有及时更新的能力，能对整个防毒系统进行监控，并能集中生成报告。

问题：吉林省社保网络实现网络安全的成功经验有哪些？

三、论文、调查报告参考选题

考生也可在以下选题中任选一题作答，字数3000字左右。

1．试论我国网络安全中存在的问题

2．试论广州电子政务网络安全体系

3．电子政务与电子商务网络安全的比较分析

4．浅析网络信息传递中的安全防护

5．试论防火墙技术在网络安全中的作用

6．试析我国信息与网络安全立法的完善

7．信息加密及其在网络安全中的实际应用

8．试论我国网络信息安全制度建设

9．国外网络安全防范措施及其对我国的借鉴意义

10．试论网络攻击及其应对

第二篇：《网站建设与管理》实践考核指南

《网站建设与管理》实践考核指南

第一部分考核说明

一、课程地位和目标

《网站建设与管理》实践课是我省高等教育自学考试电子政务专业的一门专业必修课程。本课程旨在培养应考者系统地学习网站建设与管理的基本知识，初步掌握建立和管理网站的基本方法，培养和提高正确分析和解决实际问题的能力，提高网站建设和管理的水平。

二、课程的基本要求

通过本课程的学习，应考者应达到以下要求：

1．了解电子政务网站的建站方案；

2．理解并掌握电子政务网站的维护和推广方法；

3．掌握电子政务网站安全管理的基本方法。

4．综合分析评价电子政务网站的作用。

三、教材

《网站建设与管理》，吴振峰主编，高等教育出版社2005年版。

第二部分考核内容

一、考核方式

从实践环节参考选题中任选一题，根据题目要求完成论文或设计。

二、实践环节参考选题

请大家从给出的十道题中选择1道，按要求作答。

题一：结合实际，给出一个电子政务网站的建站方案

要求：按网站建设的方法设计电子政务网站，给出详细的设计步骤，字数在5000字左右。题二：结合实例，给出电子政务网站的维护计划

要求：按照网站维护的方法和步骤，结合实际的电子政务网站，为该网站制定出一个详细的维护计划，字数在5000字左右。

题三：网站推广计划的设计

网站的推广方式可以分成四类，即注册搜索引擎、基于互连网的在线推广、离线推广以及整和推广。注册搜索引擎作为一种特有的、使用最多的基于互连网的在线推广方法，在Internet上利用搜索引擎可以有效地进行查询，查询结果排在前面的网站被访问的概率较大。网站的离线推广包括口头宣传、流动宣传、户外广告、通过传统媒体推广等方式。

要求：能试结合实际应用，写出一个网站推广计划，字数在5000字左右。

题四：结合实际建立电子政务网站

要求：利用一种网站建设工具，为某政府机构建设一个政务网站，给出简要的设计思路，并附上设计出的网站（可刻录为光盘）。

题五：结合电子政务网站设计的实例，给出网站标志的设计方案

要求：按照实际电子政务网站的设计要求给出其标志设计的方法和理由。

题六：试设计一个电子政务网站中的留言板

要求：选择适当的网站建设工具和数据库系统，在电子政务网中实现留言板功能：留言可以保存、新建、删除和被回复，写出简要的实现方案，并附上设计出的留言板（可刻录为光盘）。

题七：结合本部门或地区实际，政府部门如何应对电子政务时代的到来

要求：能结合实际应用，论述政府应采取哪些措施应对电子政务时代的到来，字数在5000字左右。

题八：结合本部门或地区实际，分析电子政务对政府改革的作用

要求：能试结合实际应用展开论述，言之成理、思路清晰，字数在5000字左右。

题九：试论电子政务网站的安全管理

要求：能结合实际应用论述电子政务网站安全管理内容和应采取的措施，言之成理、思路清晰，字数在5000字左右。

题十：电子政务对本地区经济和社会发展的影响研究

要求：能结合实际应用论述电子政务对本地区经济和社会发展的影响，言之成理、思路清晰，字数在5000字左右。

上交要求：

打印出来装订好交班主任。于10月19日之前交。过期当缺考处理。

装订时申请表放在首页。

第三篇：信息与网络安全管理规定

计算机与网络信息安全管理规定（试行）

为了加强中心计算机及网络信息安全的管理，确保计算机与网络信息安全稳定的运行，促进医院信息化建设和信息共享利用，现结合实际情况，制定本管理规定。

第一章 总则

第一条

本办法适用于中心范围内的计算机使用、信息采集、管理、利用、安全和隐私保护、网络安全管理等工作。本规定中的“信息”，是指依据国家法律法规和工作职责，中心在医疗服务和管理过程中产生的基本信息、医疗卫生服务信息等。本规定中的“网络”是指计算机及其它终端设备的联网和接入互联网等。

第二条 任何处（科）室和个人利用计算机以及网络设备时，应自觉遵守国家相关法规。不得利用计算机以及网络设备从事危害国家和中心利益的活动,不得危害中心网络信息系统的安全。任何处（科）室和个人利用计算机以及网络信息系统制作、复制、传播和查阅信息时，须遵守国家的《互联网信息服务管理办法》。若有违反，将由国家相关部门按规定进行处罚，构成犯罪的，依法追究刑事责任。

第三条 中心信息化建设小组是中心计算机与网络信息安全的管理机构，负责审议和组织制定医院计算机与网络信息安全等方面的发展规划。

第四条 信息科是中心信息与网络安全的职能管理部门，负责信息与网络安全的建设、应用组织和日常管理。第五条

信息科发现影响计算机与网络信息安全的隐患时，可立即采取各种有效措施予以制止。在紧急情况下，可以就涉及计算机与网络信息安全的特定事项采取特殊措施进行防范和处理，并视情况予以通报和提出处理建议。

第二章 计算机使用管理

第一条 各处（科）室所使用的计算机及其软硬件设施，享有日常使用的权利，负有保管的义务。

第二条 计算机开启关闭应按规定步骤进行，工作人员应规范使用计算机设备。如因操作不当等原因导致设备损坏，将视情节处理。

第三条 各处（科）室计算机实行专人专用，若出现异常和故障情况须及时向信息科报告,不得擅自修改计算机的IP地址和网络设置参数。

第四条 各处（科）室确需增加计算机设备或网络终端接口，应向信息科提出申请，经批准后，由信息科人员负责接入和调试。

第五条 禁止私自拆卸和擅自修理计算机，禁止私自更换计算机硬件设备。如需修理或更换，应先向信息科或采购管理部门提出申请，经审批后由相关专业人员负责修理或更换。

第三章 网络信息安全管理

第一条 网络信息系统的账号、密码等严禁外借、外泄，并应定期修改。若因账号和密码泄露造成网络信息系统被更改或造成损失的，由泄密者承担全部责任。第二条 对网络信息系统的软件、设备、设施的安装、调试以及故障排除等操作由信息科统筹安排相应的技术人员负责。其他任何科室或个人不得自行拆卸、安装任何软、硬件设施。

第三条 任何处（科）室和个人不得从事下列（包括但不限于）危害中心网络信息安全的活动：

1.未经允许，进入医院网络信息系统或者使用网络信息系统资源的；

2.未经允许，对网络信息系统功能进行删除、修改或者增加的； 3.未经允许，不得擅自在内网业务系统的设备上装载其他软件和移动存储设备等。

4.未经允许，不得私自架设无线网络设备和基站

5.未经允许，对网络信息系统中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的；

6.禁止将内网业务系统的计算机连接Internet网或其他公共网络

7.故意制作、传播计算机病毒等破坏性程序的； 8.其他危害网络信息系统安全的。

第四条 任何个人不得随意向外单位或个人提供纸质或电子版的数据库信息，如确须提供的，需经相关业务分管领导审核、审批同意，并经相关业务科室负责人签字确认后方可提供。

第五条 信息科要定期检查各计算机终端运行情况，发现问题，及时排除。第六条 未经允许，禁止开设文件服务器、共享服务器、下载服务器、FTP服务器、WEB服务器、E-MAIL服务器、游戏服务器、媒体服务器、网络磁盘、聊天服务器等各种对外服务器。

第七条 信息科要加强数据库系统和机房的管理，确保数据库系统的安全和机房的正常运行。

第八条 在网络信息系统设施附近进行房屋维修、工程改造及其他活动，不得危害网络信息系统（含弱电井内设施）的安全和管理，不得影响网络信息系统设备的使用。如无法避免而影响信息网络系统设施安全和运行的作业和工程，须事先通知信息科，经信息科负责人同意并采取保护措施和方案后，方可实施作业。

第九条 违反本规定，视情况予以处理和通报，造成损失的，追究当事人责任。

第四章 附 则

本规定由信息科负责解释，信息科可根据本规定制订具体的实施细则和工作制度。

本办法自发文之日起实行。

第四篇：03344信息与网络安全管理1004

计算机网络定义：凡将地理位置不同的具有独立功能的计算机系统通过信息设备和通信线路连接起来，在网络软件支持下进行数据通信，资源共享和协同工作的系统。

网络安全的五个属性：可用性，机密性，完整性，可靠性，不可抵赖性，1、网络安全威胁定义：指某个实体对某一网络资源的机密性，完整性，可用性，及可靠性，等可能造成的危害，安全威胁分为故意的和偶然的。

2、哪种威胁是被动威胁“截获，纂改，伪造，主动的是：中断

3、安全威胁的主要表现形式：授权侵犯，旁路控制，拒绝服务，窃听，电磁泄漏，非法使用，信息泄漏，完整性破坏，假冒，物理浸入，重放，否认，资源耗尽，业务流分析，特洛伊木马，陷门，人员疏忽，4、什么是重放：出于非法目的而重新发送截获的合法通信数据的拷贝，5、什么是陷门：在某个系统或文件中预先设置的“机关”特定的输入时，允许违反安全计策。，使得当提供

6、网络安全策略包括哪4方面：物理安全策略，访问控制策略，信息加

密策略，安全管理策略。

7、安全访问策略就是一组用于确认主体是否对客体具有访问权限的规

则。

8、P2DR一的安全策略的控制和指导下，模型的4部分，它的基本思想：一个系统的安全应该在一个统

综合应用各种安全技术对系统进行保护，同时利用检测工具来监视和评估系统的安全状态，并通过适当的响应机制来将系统调整到相对“最安全”和“风险最低”的状态。

9、PDRR模型的4部分：防护，检查，响应，恢复。

10、常用网络服务有哪些，它们的作用。：Telnet.FTPE—Mailwww11、DNS

安全访问策略就是一组用于确认主体是否对客体具有访问权限的规

则。

12、IP分段偏移，生命期，头部检验和，源头结构:：版本，头长度，服务类型，风包总长度，标示，标志，IP地址。

13、TCP头结构：源端口，目的端口，顺序号，确认号，头长度，1415、、ping ftp命令中上传和下载指令分别是什么。指令的功能：是用来检测当前主机与目的主机之间的连同情况。Put和get16、怎么利用Tracert指令来确定从一个主机到其他主机的路由。：通过向

目标发送不同IP 生存时间（TTL）值的ICMP数据包，Tracert诊断程序确定到目标所采取的路由。

17、什么是基于密钥的算法：密码体制的加密，解密算法是公开的，算法的可变参数是保密的，密码系统的安全性仅依赖于密钥的安全性，这样的算法称为基于密钥的算法，分为两种：对称加密算法和非对称算法。1819、、什么是对称加密算法、非对称加密算法：加密密钥和解密密钥相同对DES、三重DES进行穷举攻击，各需要多少次。：2 112和2 64。20、给定p、q、e、M，设计一个RSA算法，求公钥、私钥，并利用RSA

进行加密和解密：公钥：n=P*q（p-1）（q-1）))加密c=m ee=（p-1）（q-1）(mod n)解密m=c d

私钥 d ： e-1(mod n)

((mod21、使用对称加密和仲裁者实现数字签名的步骤A用Kac加密准备发给

B吧这个解密的消息及自己的证明的消息M，并将之发给仲裁者，仲裁者用S用Kac加密，仲裁者吧加密的消Kac解密消息，仲裁者息发给B，B用与仲裁者共享的密钥Kac解密收到的消息，就可以看到来自于A的消息M和来自仲裁者的证明S。

22、使用公开密钥体制进行数字签名的步骤：A 用他的私人密钥加密消

息，从而对文件签名。A将签名的消息发送给B，B用A 的公开密钥解消息，从而验证签名。

23、使用公开密钥体制与单向散列函数进行数字签名的步骤A使消息M

通过单向散列函数H，产生散列值，几消息的指纹或称消息验证码，A字签名一起发给使用私人密钥对散列值进行加密，形成数字签名B，B 收到消息和签名后，用A的公开密钥解密数S，A吧消息与数字签名S，再用同样的算法对消息运算生成算列值，B吧自己生成的算列值域解密的数字签名想比较，看是否匹配，从而验证签名。

24、Kerberos定义。：是为了TCP/IP网络设计的基于对称密码体系的可信

第三方鉴别协议，负责在网络上进行可信仲裁及会发密钥的分配。

25、PKI它能够为所有网络应用提供加密和数字签名等密码服务及所必需的定义：又称公钥基础设施，是一种遵循既定标准的密钥管理平台，密钥和证书管理体系。2627、、Windows 2000 Windows 2000中用户证书主要用于验证消息发送者的身份认证的两个过程是：交互式登录，网络身份认证。SID28、Windows 2000安全系统支持Kerberos V5、安全套接字层/传输层安全

（SSL/TLS）和NTLM三种身份认证机制

29、Windows 2000提供哪些功能确保设备驱动程序和系统文件保持数字

签名状态：Windows文件保护，系统文件检查程序，文件签名验证。3031、、WINDOWS使用文件加密系统对文件进行解密的步骤。主机推荐使用的文件系统格式是：要解密一个文件，首先

NTFS 哟啊对文件加密密钥进行解密，当用户的私钥与这个公钥匹配时，文件加密密钥进行解密，用户并不是唯一能对文件加密密钥进行解密的人，当文件加密密钥被解密后，可以被用户或恢复代理用于文件资料的解密。

32、常见的漏，拒绝服务，特权升级，Web服务安全威胁有哪些：电子欺骗，纂改，否认，信息泄

33、CGI提供了动态服务，可以在用户和Web服务器之间交互式通信

34、JavaScript将用户的本地硬盘上的文件上载到网络上的任何主机，存在的5个主要的安全漏洞。：JavaScript可以欺骗用户，JavaScript能获得用户本地硬盘的目录列表，JavaScript能监视用户某段时间没访问的所有网页，JavaScript能够触发Netscape Navigator送出电子邮件行星而不需要经过用户允许，嵌入网页的JavaScript代码是公开的，缺乏安全性

35、什么是发的一种机制，用来改善Cookies，使用CookiesHTTP有什么安全隐患。是协议的无状态性，Netscape公司开

36、IIS的安全配置主要包括哪几个内容：删除不必要的虚拟目录，删除

危险的IIS组件，为IIS 中的文件分类设置权限，删除不必要的应用程序映射，保护日志安全，37、SSL结构，包括SSL协议的层次，主要特征：利用认证技术识别身

份，利用加密技术保证通道的保密性，利用数字签名技术保证信息传送的完整性，包括三个结构：SSL握手协议，SSL改变密码规格协议，SSL报警协议。3839、、SSL什么是会话通过握手协议来创建SET，它主要提供哪三种服务： SET是为了保护用户使用信用

卡在互联网上进行安全的交易支付而设计的加密与安全规范，三种服务：在参与交易的各方之间提供安全的通信通道，使用X。509V3证书为用户提供一种信任机制，保护隐私信息。

40、SET的参与者：持卡人，商家，发卡机构，代理商，支付网关，证书

权威，4142、、SETSET协议使用协议使用SHA-1X.509v3散列码和和RSA数字签名来提供持卡人账户认证RSA数字签名来提供消息完整性

43、双重签名机制的主要特点：双重签名机制可以巧妙的把发送给不同接

受者的两条消息联系起来，而又很好的保护了消费者的隐私

44、电子邮件不是一种“端到端”的服务，而是被称为“存储转发”服务。

45、邮件网关的功能：预防功能，监控功能，跟踪功能，邮件功能，46、根据用途，邮件网关可分为哪三种：普通邮件网关，邮件过滤网关，发垃圾邮件网关，47、SMTP协议与POP3协议的区别：SMTP协议用于邮件服务器之间传

送邮件，POP3协议用于用户从邮件服务器上把邮件存储到本地主机。

48、什么是电子邮件“欺骗”：是在电子邮件中改变名字，使之看起来是从

某地或某发来的行为，有三个目的：隐藏自己的身份，冒充比人，电子邮件欺骗能被看做是社会工程的一种表现形式，49、进行电子邮件欺骗的三种基本方法：相似的电子邮件地址，修改邮件

客户，远程登录到25端口。5051、、PGPPGP通过使用加密签字实现安全的三个主要功能：使用强大的E-maiIDEA：加密算法对存储在计算机上的文件加密，使用公开密钥加密技术队电子邮件进行加密，使用公开密钥加密技术对文件或电子邮件做数字签名。

52、防火墙定义：指隔离在内部网和外部网络之间的一道防御系统，它能

挡住来自外部网络的攻击和入侵，保障内部网络的安全。

53、什么是数据驱动攻击：据中传输到因特网主机上，入侵者把一些具有破坏性的数据藏匿在普通数

当这些数据被激活时就会发生数据驱动攻击。

54、防火墙的功能：务和非法用户，可以限制未授权用户进入内部网络，防止入侵者接近内部网络的防御设施，过滤掉不安全服

对网络攻击进行检查和警告，限制内部用户访问特殊站点，记录通过防火墙的信息内容和活动，为监视因特网安全提供方便。

55、防火墙应的特性：所有在内部网络和外部网络之间传输的数据都必须

通过防火墙，只有被授权的合法数据，即防火墙安全策略允许的数据，可以通过防火墙，防火墙本身具有预防入侵的功能，不受各种攻击的影响，人机界面好，用户配置使用方便，易管理。

56、防火墙的缺点：不能防范恶意的内部用户，不能防范不通过防火墙的链接，不能防范全部的威胁，防火墙不能防范病毒。

57、防火墙技术主要有包过滤防火墙和代理服务器

58、包过滤防火墙的定义：又称网络层防火墙，它对进出内部网络的所有

信息进行分析，并按照一定的信息过滤规则对信息进行限制，允许授权信息通过，拒绝非授权信息通过，59、包过滤的定义：在网络层中对数据包实施有选择的通过，依据系统事

先设定好的过滤规则，检查数据流中的每个包，根据包头信息来确定是否允许数据包通过，拒绝发送可疑 的包。60、包过滤防火墙的优点：一个屏蔽路由器能保护整个网络，包过滤对用

户透明，屏蔽路由器速度快，效率高，61、包过滤型防火墙工作在网络层

62、三种常见的防火墙体系结构：双重宿主主机结构，屏蔽主机结构，屏

蔽子网结构，63、屏蔽主机结构由什么组成：一台堡垒主机和过滤功能屏蔽路由器。64、分布式防火墙的优点：增强的系统安全性，提高了系统性能，系统的扩展性，应用更为广泛，支持VPN通信。

65、病毒的定义：实际是一种计算机程序，是一段可执行的指令代码。66、病毒的生命周期：包括隐藏阶段，传播阶段，触发阶段，执行阶段

四个阶段。

67、病毒的特征：传染性，破坏性，潜伏性，可执行性，可触发性，隐蔽

性，6869、、病毒的分类，蠕虫病毒属于一种网络病毒，病毒的主要传播途径：通过移动存储设备来传播，CIH属于文件型病毒网络传播，无线传

播，70、蠕虫病毒的基本程序结构包括哪些模块：功能模块。

传播模块，隐藏模块，目的71、获取口令的常用方法：通过网络监听非法得到用户口令，口令的穷举

攻击，利用系统管理员的失误。

72、端口扫描器通常分为哪三类：数据库安全扫描器，操作系统安全扫描

器和网络安全扫描器。

73、端口扫描技术包括：扫描 ,IP段扫描,TCPTCP 反向connectident扫描（）扫描,FTP返回攻击 ,TCP SYN,UDP ICMP扫描,TCP 端口不FIN

能到达扫描,ICMP echo扫描。

74、如何发现怀疑运行监听程序的主机，用正确的Sniffer：网络通信掉包率特别高，IP地址和错误的物理地址去网络带宽出现异常，对于

PING，往网上发送大量 包含不存在的物理地址的包，由于监听程序哟啊处理这些包，将导致性能下降，通过比较前后盖机器的性能加以判断。许多探测Sniffer的应用程序可以用来帮助探测Sniffer。75、防御网络监听的方法：从逻辑或物理上对网络分段，以交换式集线器

代替共享式集线器，使用加密技术，划分VLAN。76、什么是拒绝服务攻击：指一个用户占据了大量的共享资源，是系统没

有剩余的资源给其他用户提供服务的一种攻击方式，7778、、分布式拒绝服务攻击体系包括哪三层：攻击者，主控者，代理端，木马入侵原理：配置木马，传播木马，运行木马，信息泄漏，建立连

接，远程控制。

79、入侵检测定义：统中的若干关键点收集信息，即是对入侵行为的发觉，通过对这些信息的分析来发现网络或系它在计算机网络或计算机系

统中是否有违反安全策略的行为和被攻击的迹象。8081、、入侵检测过程包括信息收集和信号分析入侵检测过程中的三种信号分析方法：模式匹配，统计分析，完整性

分析。

82、按照数据来源，统，基于网络的入侵检测系统，采用上述两种数据来源入侵检测系统可分为哪三种：基于主机的入侵检测系的分布式的入侵检测系统。

83、什么是模式匹配方法：误用模式数据库进行比较，从而发现违背安全策略的行为。就是将收集到得信息与已知的网络入侵和系统

84、基于网络的入侵检测系统的组成：网络安全数据库，安全配置机构器，探测器，分析引擎，85、网络管理有哪五大功能：配置管理，性能管理，故障管理，计费管理，安全管理。

86、OSI管对象资源的感念性存储称为管理信息库（系统的管理结构：管理系统中的代理实现对被管对象的访问，MIB），管理者和代理之被

间使用OSI通信协议栈进行通信，其中，CMIP是网络管理的应用层协议，在OSI 网络管理中起关键作用。

87、TCP/IP网络中应用最为广泛的网络管理协议是SNMP。

88、网络管理体系结构的三种模型：集中式体系结构，分层式体系结构，分布式体系结构。

第五篇：信息网络安全管理规定

信息网络安全管理规定

第一章总则

第一条为了加强我院院网网络安全与信息安全以及计算机信息保密工作,依照《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《中华人民共和国计算机信息网络国际联网安全保护管理办法》、《计算机信息系统国际联网保密管理规定》、制定本管理规定。

第二条本管理规定所引用的术语的含义按第一条所引用的国家法规解析。

第三条本规定的适用对象院网的用户。

第四条院网的所有工作人员和用户都有义务和责任认真执行本管理规定，必须遵守国家有关法律、法规，严格执行安全保密制度，并对所使用的计算机的管理、使用行为与所提供的网上信息负责。

第五条将根据国家有关计算机信息网络安全的法律与法规的变动情况，适时修改本规定的内容。

第六条各个部门应积极采取各种技术和行政手段来保证我院信息安全。

第七条 院网信息网络安全接受并配合国家有关部门依法进行监督检查。

第二章管理机构与职能

第八条信息网络安全实行统一领导、统一规划、分级管理制度。

第九条医院设立计算机信息网络安全领导小组，由医院领导、各科室主要负责人组成。领导小组下设网络安全组与信息安全组。网络安全日常管理工作由技术服务中心负责，信息安全的日常工作由信息安全组负责。

第十条领导小组负责院的信息网络安全的领导工作，制定各项管理政策和整体规划，讨论解决安全管理中的重大问题。

第十一条网络安全组由技术服务中心，各科室的工作人员组成，参加人员称为网络安全人员。

第十二条信息安全组由各个业务部门负责网上信息的发布、监督与保卫部门的工作人员组成，参加人员称为信息安全人员。

第十三条各部门的网络安全员受权负责本部门计算机网络设备、计算机系统与业务应用系统的安全与保密工作。

第十四条信息安全员受权负责本部门的计算机信息、网上信息的检查、监督与监控等安全工作。

第十五条设立院级网络安全员、信息安全员各一名，分别负责、协调全孟的网络安全与信息安全的日常工作以及对外联系的工作。人员分别由负责日常工作的技术服务中心与保卫科人员担任。

第十六条院信息网络安全实行责任人制度，各科室主要领导为部门第一责任人。

第三章信息网络安全工作制度

第十七条 院信息网络安全领导小组定期检查全校的计算机信息网络安全工作。

第十八条 技术服务中心定期举行计算机系统安全的技术培训与政策教育的学习活动。

第十九条 技术服务中心实行值班制度，负责院网络安全与信息安全的值班工作。

第二十条 各个部门的系统管理员、安全员做好本部门的计算机系统与网络系统的信息保密工作，对系统的结构、设备、系统密码、用户信息、系统的重要数据做好备案工作，备案信息由部门保管。系统管理员、安全员在调离本部门工作时，应移交上述材料，并对上述信息负有保密责任。

第二十一条 各部门的服务器未经部门领导批准，不得安装其它与业务系统无关的软件与设备。

第二十二条 各部门应制定本部门的计算机信息数据备份策略，定期做好数据备份，对使用的系统（硬件、软件）做好系统安全的升级工作。

第二十三条 医院各部门与计算机用户应做好计算机的病毒防范工作，定期查毒。各部门应设专人负责病毒软件保管、定期升级的安全工作。

第二十四条 使用计算机网络进行文件与数据传输时，应该做好病毒的清查工作。在计算机软件与硬件使用前，应做好病毒与其它有害数据的检测工作。

第二十五条 如发现不能清除的病毒，应对文件数据采取保护措施，追查病毒的来源；并在24小时内通知技术服务中心与保卫部门，由院部门向上级汇报。

第二十六条 院网络发布的信息分为综合信息与专栏信息两大类。综合信息指院的政策、法规、对外宣传与报道、院内部文件、新闻信息等；专栏信息指经院领导同意专门发布的其他信息信息。

第二十七条各部门管理和发布的信息应具有真实性、完整性和可靠性。第二十八条上网信息实行责任签发制度。网络信息安全组长负责院综合信息的安全审核、签发。综合信息需有文字材料备案，并实行年终归档。专栏信息由校领导签发后由技术服务中心负责发布。

第二十九条BBS系统的信息由技术服务中心总审核，对这些系统中出现的反动、黄色等有害信息应及时删除和过滤。

第三十条BBS实行栏目与版主专人负责制，并对其栏目内容的安全负责，版主负责人由技术服务中心审批设立、并备案。

第三十一条各部门对出现的计算机安全事故，应及时上报保卫部门与技术服务中心，不得隐瞒。

第三十二条院保卫、保密部门做好院网、特别是重点部门、要害部门的计算机信息的保密监督检查工作。

第四章用户安全责任制度

第三十三条 我院网用户均要对其使用计算机的管理、安全与网络行为负责。第三十四条院各科室执行登记制度。

第三十五条任何单位和个人，不得从事下列活动：

（1）利用计算机信息网络制作、传播、复制反动与黄色等有害信息；

（2）非法侵入网络系统与信息系统；

（3）非法窃取计算机与网络系统中信息资源；

（4）违反国家规定，对计算机信息系统功能进行增加、删除、修改、干扰，影响计算机信息系统正常运行；

（5）违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行增加、删除、修改、复制等；

（6）未经授权查阅他人电子邮箱；

（7）未经批准，私设网站与发布信息。

（8）冒用他人名义发送电子邮件；

（9）故意干扰计算机信息网络畅通；

（10）浏览反动、黄色的网站。

（11）从事其它危害网络与信息系统安全的活动。

第三十六条院所有的计算机用户有义务向网络安全员、技术服务中心与保卫部门举报违法犯罪行为与有害信息。

第五章奖励与处罚

第三十七条我院对出现的计算机安全事故实行事故责任追究制度，按院的有关规定执行。

第三十八条我院把信息网络安全工作纳入日常工作，并由有关部门进行年终考评，对工作完成好的部门与个人进行表扬奖励，对工作制度落实不好的部门提出整改、批评、警告等。

第六章附则

第三十九条本管理规定由院就计算机信息网络安全领导小组解释。第四十条本规定自公布之日起施行。

义乌市皮肤病医院

稠江中心卫生院