网络信息安全测试模拟试题 归类

第一篇：网络信息安全测试模拟试题 归类

判断题

信息安全定义

3.只要投资充足，技术措施完备，就能够保证百分之百的信息安全。27.信息在使用中不仅不会被消耗掉，还可以加以复制。

43.防止静态信息被非授权访问和防止动态信息被截取解密是____。A:数据完整性

B:数据可用性

C:数据可靠性

D:数据保密性

69.在ISO／IEC 17799中，防止恶意软件的目的就是为了保护软件和信息的____。

A:安全性

B:完整性

C:稳定性

D:有效性 78.关于信息安全，下列说法中正确的是____。

A:信息安全等同于网络安全

B:信息安全由技术措施实现 C:信息安全应当技术与管理并重

D:管理措施在信息安全中不重要 41.信息安全在通信保密阶段中主要应用于____领域。

A:军事

B: 商业

C:科研

D:教育

69.确保信息在存储、使用、传输过程中不会泄露给非授权的用户或者实体的特性是____。A:完整性

B:可用性

C:可靠性

D:保密性

管理学

14.实现信息安全的途径要借助两方面的控制措施、技术措施和管理措施，从这里就能看出技术和管理并重的基本思想，重技术轻管理，或者重管理轻技术，都是不科学，并且有局限性的错误观点。

36.网络和信息系统的关节岗位人选不得出现在其他关键岗位兼职的情况。66.下述关于安全扫描和安全扫描系统的描述错误的是____。A:安全扫描在企业部署安全策略中处于非常重要的地位

B:安全扫描系统可用于管理和维护信息安全设备的安全

C:安全扫描系统对防火墙在某些安全功能上的不足不具有弥补性 D:安全扫描系统是把双刃剑

71.策略应该清晰，无须借助过多的特殊一通用需求文档描述，并且还要有具体的____。A:管理支持

B:技术细节

C:补充内容

D:实施计划 47.在PDR安全模型中最核心的组件是____。

A:策略

B:保护措施

C:检测措施

D:响应措施

79.在PPDRR安全模型中，____是属于安全事件发生后的补救措施。

A:保护

B:恢复

C:响应

D:检测 44.信息安全领域内最关键和最薄弱的环节是____。A:技术

B:策略

C:管理制度

D:人

58.下列关于信息安全策略维护的说法，____是错误的。A:安全策略的维护应当由专门的部门完成

B:安全策略制定完成并发布之后，不需要再对其进行修改

C:应当定期对安全策略进行审查和修订

D:维护工作应当周期性进行

66.对日志数据进行审计检查，属于____类控制措施。

A:预防

B:检测

C:威慑

D:修正 74.信息安全中的木桶原理，是指____。

A:整体安全水平由安全级别最低的部分所决定 B:整体安全水平由安全级别最高的部分所决定 C:整体安全水平由各组成部分的安全级别平均值所决定 D:以上都不对

76.根据权限管理的原则，—个计算机操作员不应当具备访问____的权限。

A:操作指南文档

B:计算机控制台

C:应用程序源代码

D:安全指南

物理

37.二类故障：包括电源等系统故障。

38.二类故障：空调、通风、发电机、门禁、照明等系统故障。45.设备放置应考虑到便于维护和相对的安全区域内。70.环境安全策略应该____。

网络

13.信息安全的层次化特点决定了应用系统的安全不仅取决于应用层安全机制，同样依赖于底层的物理、网络和系统等层面的安全状况。

19.网络边界保护中主要采用防火墙系统，在内网和外网之间存在不经过防火墙控制的其他通信连接，不会影响到防火墙的有效保护作用。

20.防火墙虽然是网络层重要的安全机制，但是它对于计算机病毒缺乏保护能力。

A:详细而具体

B:复杂而专业

C:深入而清晰

D:简单而全面

24.防火墙在静态包过滤技术的基础上，通过会话状态检测技术将数据包的过滤处理效率大幅提高。

29.防火墙属于网络安全的范畴，是网络安全保护中最基本的安全机制，只能在内部网络的边界处提供动态包过滤、应用安全代理等安全服务。57.IPSec协议中涉及到密钥管理的重要协议是____。A:IKE

B:AH

C:ESP

D:SSL 58.入侵检测技术可以分为误用检测和____两大类。

A:病毒检测

B:详细检测

C:异常检测

D: 漏洞检测

72.在一个企业网中，防火墙应该是____的一部分，构建防火墙时首先要考虑其保护的范围。A:安全技术

B:安全设置

C:局部安全策略

D:全局安全策略 59.防火墙最主要被部署在____位置。

A:网络边界

B:骨干线路

C:重要服务器

D:桌面终端

主机

31.主机和系统是信息系统威胁的主要目标之一。

33.强制执行策略：没有强制性的用户安全策略就没有任何价值。

应用

39.定时清理IE浏览器的临时文件夹，并不能防止部分敏感内容的泄露。41.应用和业务安全管理不属于信息安全管理制度。

数据

1.根据ISO 13335标准，信息是通过在数据上施加某些约定而赋予这些数据的特殊含义。44.网络数据备份的实现主要需要考虑的问题不包括____。

A:架设高速局域网

B:分析应用环境

C:选择备份硬件设备

D:选择备份管理软件

70.系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应用程序、数据库系统、用户设置、系统参数等信息，以便迅速____。

A:恢复整个系统

B:恢复所有数据

C:恢复全部程序

D:恢复网络设置 78.____能够有效降低磁盘机械损坏给关键数据造成的损失。A:热插拔

B:SCSI

C:RAID

D:FAST-ATA

病毒和木马

45.针对操作系统安全漏洞的蠕虫病毒根治的技术措施是____。

A:防火墙隔离

B:安装安全补丁程序

C:专用病毒查杀工具

D:部署网络入侵检测系统

46.计算机病毒最本质的特性是____。

A:寄生性

B:潜伏性

C:破坏性

D:攻击性

48.《计算机病毒防治管理办法》规定，____主管全国的计算机病毒防治管理工作。A:信息产业部

B:国家病毒防范管理中心

C:公安部公共信息网络安全监察

D:国务院信息化建设领导小组 49 计算机病毒的实时监控属于____类的技术措施。A:保护

B:检测

C:响应

D:恢复

50.下列能够有效地防御未知的新病毒对信息系统造成破坏的安全措施是____。A:防火墙隔离

B:安装安全补丁程序

C:专用病毒查杀工具

D:部署网络入侵检测系统 51.下列不属于网络蠕虫病毒的是____。

业务连续性和应急响应

46.凡信息网络发生的事件、事故和案件，均应按规定由有关使用单位在48小时内向当地县级以上公安局观报告。

46.关于灾难恢复计划错误的说法是____。

A:应考虑各种意外情况

B:制定详细的应对处理办法

C:建立框架性指导原则，不必关注于细节

D:正式发布前，要进行讨论和评审 74.灾难恢复计划或者业务连续性计划关注的是信息资产的____属性。

A:可用性

B:真实性

C:完整性

D:保密性

信息安全保障体系

4.我国在2006年提出的《2006～2020年国家信息化发展战略》将“建设国家信息安全保障体系”作为9大战略发展方向之一。

5.2003年7月国家信息化领导小组第三次会议发布的27号文件，是指导我国信息安全保障工作和加快推进信息化的纲领性文献。

15.按照BS 7799标准，信息安全管理应当是一个持续改进的周期性过程。

30.方针和策略是信息安全保证工作的整体性指导和要求。安全方针和策略不需要有相应的A:冲击波

B:SQLSLAMMER

C:CIH

D:振荡波

制定、审核和改进过程。

42.IS0 17799／IS0 27001最初是由____提出的国家标准。

A:美国

B:澳大利亚

C:英国

D:中国

59.根据BS 7799的规定，建立的信息安全管理体系ISMS的最重要特征是____ A:全面性

B:文档化

C:先进性

D:制度化 67.关于安全审计目的描述错误的是____。

A:识别和分析未经授权的动作或攻击

B:记录用户活动和系统管理 C:将动作归结到为其负责的实体

D:实现对安全事件的应急响应

60.安全审计是一种很常见的安全控制措施，它在信息安全保障体系中，属于____措施

A:保护

B:检测

C:响应

D:恢复 80.信息安全评测标准CC是____标准。

A:美国

B:国际

C:英国

D:澳大利亚

42.下面所列的____安全机制不属于信息安全保障体系中的事先保护环节。

A:杀毒软件

B:数字证书认证

C:防火墙

D:数据库加密

79.相对于现有杀毒软件在终端系统中提供保护不同，____在内外网络边界处提供更加主动和积极的病毒保护。

等级保护

8.GB 17859与目前等级保护所规定的安全等级的含义不同，GB 17859中等级划分为现在的等级保护奠定了基础。

34.信息系统的安全保护等级由各业务子系统的最高等级决定。47.信息系统安全等级划分第五级为自主保护级。

48.我国在1999年发布的国家标准____为信息安全等级保护奠定了基础。

A:GB 17799

B:GB 15408

C:GB 17859

D:GB 14430 49.信息安全等级保护的5个级别中，____是最高级别，属于关系到国计民生的最关键信息系统的保护。

A:强制保护级

B:专控保护级

C:监督保护级

D:指导保护级

E:自主保护级 50.____是进行等级确定和等级保护管理的最终对象。

A:业务系统

B:功能模块

C:信息系统

D:网络系统

51.当信息系统中包含多个业务子系统时，对每个业务子系统进行安全等级确定，最终信息系统的安全等级应当由____所确定。

A:业务子系统的安全等级平均值

B:业务子系统的最高安全等级

C:业务子系统的最低安全等级

D:以上说法都错误

60.根据BS 7799的规定，对信息系统的安全管理不能只局限于对其运行期间的管理维护，而要将管理措施扩展到信息系统生命周期的其他阶段，BS7799中与此有关的一个重要方面就

A:防火墙

B:病毒网关

C:IPS

D:IDS 是____。

A:访问控制

B:业务连续性

C:信息系统获取、开发与维护

D:组织与人员 61.如果一个信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对社会秩序和公共利益造成一定损害，但不损害国家安全；本级系统依照国家管理规范和技术标准进行自主保护，必要时，信息安全监管职能部门对其进行指导。那么该信息系统属于等级保护中的____。

A:强制保护级

B:监督保护级

C:指导保护级

D:自主保护级

63.如果一个信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对公民法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益；本级系统依照国家管理规范和技术标准进行自主保护。那么其在等级保护中属于____。

A:强制保护级

B:监督保护级

C:指导保护级

D:自主保护级

80.《信息系统安全等级保护基本要求》中，对不同级别的信息系统应具备的基本安全保护能力进行了要求，共划分为____级。

风险管理

16.虽然在安全评估过程中采取定量评估能获得准确的分析结果，但是由于参数确定较为困难，往往实际评估多采取定性评估，或者定性和定量评估相结合的方法。

18.定性安全风险评估结果中，级别较高的安全风险应当优先采取控制措施予以应对。25.通常在风险评估的实践中，综合利用基线评估和详细评估的优点，将二者结合起来。26.脆弱性分析技术，也被通俗地称为漏洞扫描技术。该技术是检测远程或本地系统安全脆弱性的一种安全技术。

52.下列关于风险的说法，____是错误的。

A:风险是客观存在的B:导致风险的外因是普遍存在的安全威胁 C:导致风险的外因是普遍存在的安全脆弱性

D:风险是指一种可能性 53.风险管理的首要任务是____。

A:风险识别和评估

B:风险转嫁

C:风险控制

D:接受风险 54.安全威胁是产生安全事件的____。

A:内因

B:外因

C:根本原因

D:不相关因素 55.安全脆弱性是产生安全事件的____。

A:内因

B:外因

C:根本原因

D:不相关因素 54.关于资产价值的评估，____说法是正确的。

A:资产的价值指采购费用

B:资产的价值无法估计

C:资产价值的定量评估要比定性评估简单容易

D:资产的价值与其重要性密切相关 67.根据风险管理的看法，资产具有价值，存在脆弱性，被安全威胁____，____风险。

A:4

B:5

C:6

D:7 A:存在 利用

B:利用 导致

C:导致 存在 D:存在 具有

合规

6.在我国，严重的网络犯罪行为也不需要接受刑法的相关处罚。

12.一个完整的信息安全保障体系，应当包括安全策略(Policy)、保护(Protection)、检测(Detection)、响应(Reaction)、恢复(Restoration)五个主要环节。

17.一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。N 21.我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型。

22.信息技术基础设施库(ITIL)，是由英国发布的关于IT服务管理最佳实践的建议和指导方针，旨在解决IT服务质量不佳的情况。

23.美国国家标准技术协会NIST发布的《SP 800-30》中详细阐述了IT系统风险管理内容。42.安全管理的合规性，主要是指在有章可循的基础之上，确保信息安全工作符合国家法律、法规、行业标准、机构内部的方针和规定。

68.根据《计算机信息系统国际联网保密管理规定》的规定，凡向国际联网的站点提供或发布信息，必须经过____。

A:内容过滤处理

B:单位领导同意

C:备案制度

D:保密审查批准 45.《计算机信息系统安全保护条例》是由中华人民共和国____第147号发布的。

A:国务院令

B:全国人民代表大会令

C:公安部令

D:国家安全部令

61.根据《计算机信息系统国际联网保密管理规定》，涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行____。A:逻辑隔离

B:物理隔离

C:安装防火墙

D:VLAN划分 64.GB l7859借鉴了TCSEC标准，这个TCSEC是____国家标准。

A:英国

B:意大利

C:美国

D:俄罗斯

73.《确保网络空间安全的国家战略》是____发布的国家战略。A:英国

B:法国

C:德国

D:美国

认证

7.windows2000／XP系统提供了口令安全策略，以对帐户口令安全进行保护。

9.口令认证机制的安全性弱点，可以使得攻击者破解合法用户帐户信息，进而非法获得系统和资源访问权限。

10.PKI系统所有的安全操作都是通过数字证书来实现的。

11.PKI系统使用了非对称算法、对称算法和散列算法。

28.口令管理方式、口令设置规则、口令适应规则等属于口令管理策略。

56.在使用复杂度不高的口令时，容易产生弱口令的安全脆弱性，被攻击者利用，从而破解

用户帐户，下列____具有最好的口令复杂度。

A:morrison

B:Wm.$*F2m5@

C:27776394

D:wangjingl977 62.关于口令认证机制，下列说法正确的是____。

A:实现代价最低，安全性最高

B:实现代价最低，安全性最低 C:实现代价最高，安全性最高

D:实现代价最高，安全性最低 63.身份认证的含义是____。

A:注册一个用户

B:标识一个用户

C:验证一个用户

D:授权一个用户 64.口令机制通常用于____。

A:认证

B:标识

C:注册

D:授权

73.基于密码技术的访问控制是防止____的主要防护手段。

A:数据传输泄密

B:数据传输丢失

C:数据交换失败

D:数据备份失败 75.____是最常用的公钥密码算法。

A:RSA

B:DSA

C:椭圆曲线

D:量子密码 76.PKI的主要理论基础是____。56.PKI是____。

A:对称密码算法

B:公钥密码算法

C:量子密码

D:摘要算法 A:Private Key lnfrastructure

B:Public Key lnstitute C:Public Key lnfrastructure

D:Private Key lnstitute 57.PKI所管理的基本元素是____。

A:密钥

B:用户身份

C:数字证书

D:数字签名 77.PKI中进行数字证书管理的核心组成模块是____。

A:注册中心RA

B:证书中心CA

C:目录服务器

D:证书作废列表 77.我国正式公布了电子签名法，数字签名机制用于实现____需求。A:抗否认

B:保密性

C:完整性

D:可用性

多选题

81.在互联网上的计算机病毒呈现出的特点是____。B:所有的病毒都具有混合型特征，破坏性大大增强

C:因为其扩散极快，不再追求隐蔽性，而更加注重欺骗性 D:利用系统漏洞传播病毒E:利用软件复制传播病毒

82.在刑法中，____规定了与信息安全有关的违法行为和处罚依据。A:第285条

B:第286条

C:第280条

D:第287条

83.____可能给网络和信息系统带来风险，导致安全事件。

A:与因特网更加紧密地结合，利用一切可以利用的方式进行传播

A:计算机病毒

B:网络入侵

C:软硬件故障

D:人员误操作

E:不可抗灾难事件

84.____安全措施可以有效降低软硬件故障给网络和信息系统所造成的风险。

85.目前，我国在对信息系统进行安全等级保护时，划分了5个级别，包括____。

A:专控保护级

B:强制保护级

C:监督保护级

D:指导保护级

E:自主保护级

86.下列____因素，会对最终的风险评估结果产生影响。

87.下列____因素与资产价值评估有关。

A:购买资产发生的费用

B:软硬件费用

C:运行维护资产所需成本 D:资产被破坏所造成的损失

E:人工费用

A,C,D

88.安全控制措施可以分为____。

A:管理类

B:技术类

C:人员类

D:操作类

E:检测类

89.信息安全技术根据信息系统自身的层次化特点，也被划分了不同的层次，这些层次包括____。

A:物理层安全

B:人员安全

C:网络层安全

D:系统层安全

E:应用层安全

90.在BS 7799中，访问控制涉及到信息系统的各个层面，其中主要包括____。

A:物理访问控制

B:网络访问控制

C:人员访问控制

D:系统访问控制

E:应用访问控制

91.关于入侵检测和入侵检测系统，下述正确的选项是____。A:入侵检测收集信息应在网络的不同关键点进行 B:入侵检测的信息分析具有实时性

C:基于网络的入侵检测系统的精确性不及基于主机的入侵检测系统的精确性高 D:分布式入侵检测系统既能检测网络的入侵行为又能检测主机的入侵行为 E:入侵检测系统的主要功能是对发生的入侵事件进行应急响应处理

92.《计算机信息网络国际联网安全保护管理办法》规定，任何单位和个人不得制作、复制、发布、传播的信息内容有____。A:损害国家荣誉和利益的信息

A:管理制度

B:资产价值

C:威胁

D:脆弱性

E:安全措施

A:双机热备

B:多机集群

C:磁盘阵列

D:系统和数据备份

E:安全审计 B:个人通信地址 C:个人文学作品 D:淫秽、色情信息

E:侮辱或者诽谤他人，侵害他人合法权益的信息

93.基于角色对用户组进行访问控制的方式有以下作用：____。A:使用户分类化

B:用户的可管理性得到加强

C:简化了权限管理，避免直接在用户和数据之间进行授权和取消 D:有利于合理划分职责 E:防止权力滥用

C,D,E

94.有多种情况能够泄漏口令，这些途径包括____。A:猜测和发现口令 B:口令设置过于复杂 C:将口令告诉别人 D:电子监控

E:访问口令文件

95.在局域网中计算机病毒的防范策略有____。A:仅保护工作站 B:保护通信系统 C:保护打印机 D:仅保护服务器

E:完全保护工作站和服务器

A,D,E

96.根据IS0定义，信息安全的保护对象是信息资产，典型的信息资产包括____。

A:硬件

B:软件

C:人员

D:数据

E:环境

B,C

97.治安管理处罚法规定，____行为，处5日以下拘留；情节较重的，处5日以上10日以下拘留。

A:违反国家规定，侵入计算机信息系统，造成危害的

B:违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的

C:违反国家规定，对计算机信息系统中存储、处理、传输的数据和应用程序进行删除、修改、增加的

D:故意制作、传播计算机病毒等破坏性程序，影口向计算机信息系统正常运行的 A,B,C,D

98.网络入侵检测系统，既可以对外部黑客的攻击行为进行检测，也可以发现内部攻击者的操作行为，通常部署在____。

A:关键服务器主机

B:网络交换机的监听端口

C:内网和外网的边界

D:桌面系统

E:以上都正确

B,C

99.IPSec是网络层典型的安全协议，能够为IP数据包提供____安全服务。

A:保密性

B:完整性

C:不可否认性

D:可审计性

E:真实性

A,B,E

100.信息安全策略必须具备____属性。

A:确定性

B:正确性

C:全面性

D:细致性

E:有效性

83.与计算机有关的违法案件，要____，以界定是属于行政违法案件，还是刑事违法案件。A:根据违法行为的情节和所造成的后果进行界定 B:根据违法行为的类别进行界定 C:根据违法行为人的身份进行界定 D:根据违法行为所违反的法律规范来界定

84.互联网服务提供者和联网使用单位应当落实的互联网安全保护技术措施包括____。

A:防范计算机病毒、网络入侵和攻击破坏等危害网络安全事项或者行为的技术措施 B:重要数据库和系统主要设备的冗灾备份措施

C:记录并留存用户登录和退出时间、主叫号码、帐号、互联网地址或域名、系统维护日志的技术措施

D:法律、法规和规章规定应当落实的其他安全保护技术措施

A,B,C,D

85.典型的数据备份策略包括____。

86.我国信息安全等级保护的内容包括____。些信息的信息系统分等级实行安全保护

A:对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输和处理这

A:完全备份

B:增量备份

C:选择性备份

D:差异备份

E:手工备份

A,B,D

A,B,D

A,C,E B:对信息系统中使用的信息安全产品实行按等级管理 C:对信息安全从业人员实行按等级管理

D:对信息系统中发生的信息安全事件按照等级进行响应和处置E:对信息安全违反行为实行按等级惩处

89.物理层安全的主要内容包括____。

A:环境安全

B:设备安全

C:线路安全

D:介质安全

E:人员安全

A,B,D

90.计算机信息系统安全的三个相辅相成、互补互通的有机组成部分是____。A:安全策略

B:安全法规

C:安全技术

D:安全管理

A,B,D

93.PKI是生成、管理、存储、分发和吊销基于公钥密码学的公钥证书所需要的____的总和。A:硬件

B:软件

C:人员

D:策略

E:规程

A,B,C,D,E

94.全国人民代表大会常务委员会《关于维护互联网安全的决定》规定，为了维护社会主义市场经济秩序和社会管理秩序，____行为，构成犯罪的，依照刑法有关规定追究刑事责任。A:利用互联网销售伪劣产品或者对商品、服务作虚假宣传 B:利用互联网侵犯他人知识产权

C:利用互联网编造并传播影响证券、期货交易或者其他扰乱金融秩序的虚假信息

D:利用互联网损害他人商业信誉和商品声誉

E:在互联网上建立淫秽网站、网页，提供淫秽站点链接服务，或者传播淫秽书刊、影片、音像、图片

96.____是建立有效的计算机病毒防御体系所需要的技术措施。

A:杀毒软件

B:补丁管理系统

C:防火墙

D:网络入侵检测

E:漏洞扫描 A,B,C,D,E

97.在安全评估过程中，安全威胁的来源包括____。

98.在信息安全管理中进行安全教育与培训，应当区分培训对象的层次和培训内容，主要包括____。

A:高级管理层

B:关键技术岗位人员

C:第三方人员

D:外部人员

E:普通计算机用户

A,B,E

100.涉密安全管理包括____。

A:外部黑客

B:内部人员

C:信息技术本身

D:物理环境

E:自然界

A,B,C,D,E A,B,C,D,E

A,B,D A:涉密设备管理

B:涉密信息管理

C:涉密人员管理

D:涉密场所管理

E:涉密媒体管理 B,C,D,E

第二篇：网络信息安全 渗透测试

网络信息安全--课程结业报告

重庆交通大学

课程结业报告

班 级：

学 号：

姓 名：

实验项目名称：

实验项目性质：

实验所属课程：

实验室(中心)：

指 导 教 师 ：

实验完成时间：

渗透测试

设计性

网络信息安全

软件实验室

2016 年 6 月 30 日

一、概述

网络渗透测试就是利用所有的手段进行测试，发现和挖掘系统中存在的漏洞，然后撰写渗透测试报告，将其提供给客户;客户根据渗透人员提供的渗透测试报告对系统存在漏洞和问题的地方进行修复和修补。渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。渗透测试与其它评估方法不同，通常的评估方法是根据已知信息资源或其它被评估对象，去发现所有相关的安全问题。渗透测试是根据已知可利用的安全漏洞，去发现是否存在相应的信息资源。

应网络信息安全课程结课要求，于2016年5月至2016年7月期间，在MobaXterm和kail平台进行了活动主机和活动端口扫描以及漏洞扫描，最后汇总得到了该分析报告。

二、实验目的

①熟悉kali平台和MobaXterm； ②熟悉信息收集的基本方法和技巧；

③了解kali平台下活动主机和端口扫描的方法； ④了解漏洞扫描的过程；

三、渗透测试范围

此次渗透测试的对象为：10.1.74.114---Metasploitable2 Linux。

四、本次分析工具介绍

本次测试主要用到了MobaXterm、Nmap、Nessus和kali.MobaXterm是远程计算的终极工具箱。本次在MobaXterm上运行了10.1.74.111（用户名和密码是root:toor）和10.1.74.114（渗透对象，用户名和密码：msfadmin:msfadmin）。

如果在虚拟机里运行kali,首先需要安装好虚拟机，然后下载安装好渗透环境kail,然后下载安装渗透对象（Metasploitable2 Linux）。

Kali Linux预装了许多渗透测试软件，包括nmap(端口扫描器)、Wireshark(数据

包分析器)、John the Ripper(密码破解器),以及Aircrack-ng(一套用于对无线局域网进行渗透测试的软件).本次测试尝试了Metasploit，但技术不成熟，不知道哪里出错，没有成功。

图1运行Metasploit结果图

图2 运行Metasploit结果图

图3 运行Metasploit结果图3 在漏洞扫描时，因为教学网上说Kali中内置了OpenVAS的，所以打算用这个工具

作为扫描工具的，可是在我使用的kali平台里并没有这个内置的工具。

图4 没有内置OpenVAS的kali

本次实验还是使用了nmap的图形化扫描工具zenmap。Nmap是目前为止使用最广的端口扫描工具之一，软件提供一些非常实用的功能。比如通过tcp/ip来甄别操作系统类型、秘密扫描、动态延迟和重发、平行扫描、通过并行的PING侦测下属的主机、欺骗扫描、端口过滤探测、直接的RPC扫描、分布扫描、灵活的目标选择以及端口的描述。

除了以上工具，本次还用了Nessus，这个工具是目前全世界最多人使用的系统漏洞扫描与分析软件。

五、实验主要内容及原理

1、信息收集—扫描活动主机

可以使用一些命令来进行局域网内的活动主机的扫描。常用的命令有 fping、nping、netenum、netdiscover 等。

本次渗透测试选用了netdiscover来获取LAN 中活动主机及其MAC。

2、信息收集—扫描目标主机活动端口

信息收集有两种方式，一种是命令行方式，一种是图形化界面方式。常用的命令是 namp，使用语法：nmap 参数 目标主机IP 地址。图形界面工具是zenmap。

3、信息收集—扫描漏洞

Nessus是使用比较多的系统漏洞扫描与分析软件。

六、实验过程简述

1、信息收集-扫描活动主机

实验步骤：在MobaXterm下进行命令行形式进行活动主机的扫描：

fping：扫描指定范围内的活动主机（fping-s-r 1-g 202.202.240.1 202.202.240.254）；

nping：对防火墙过滤ICMP或主机不对ICMP响应的情况，则可不使用ICMP，直接定制TCP包发出运行nping-c1--tcp-p 80--flags syn 202.202.240.6；

netenum：速度超快的活动主机扫描器（运行netenum 202.202.240.0/24 10）（10代表超时时间，越长越准确）

netdiscover：获取LAN中活动主机及其MAC等信息（运行netdiscover即可）； 也在虚拟机里进行了netdiscover扫描。

2、信息收集—扫描目标主机活动端口

实验步骤：在MobaXterm中输入下列的命令即可完成目标主机活动端口的扫描： TCP连接扫描： nmap-sT-p--PN 202.202.240.6 SYN 扫描： nmap-sS-p--PN 202.202.240.6 Xmas 扫描：nmap-sX-p--PN 202.202.240.6 Null 扫描：nmap-sN-p--PN 202.202.240.6

3、信息收集—扫描漏洞

实验步骤：Nessus是目前全世界最多人使用的系统漏洞扫描与分析软件。以下为安装及配置步骤：

下载Nessus软件进行注册，选择家庭版，注册号将发送到邮箱 使用命令dpkg-i Nessus-6.3.7-debian6_amd64.deb 命令进行安装

运行命令 /opt/nessus/bin/nessus-fetch--register（你得到的注册号）进行注册及更新模块

运行命令/opt/nessus/sbin/nessus-adduser添加用户并设为管理员（需记住，后面登录要使用）

运行命令/etc/init.d/nessusdsta启动nessus服务

打开浏览器，输入https://127.0.0.1:8834登录Nessus即可（先定策略，再扫描）

七、实验结果及分析

1、信息收集-扫描活动主机

图5使用fping扫描活动主机结果1

图6使用fping扫描活动主机结果2

通过运行fping-s-r 1-g 202.202.240.1 202.202.240.254来扫描IP地址从

202.202.240.1 到202.202.240.254的活动主机，(-s)打印出最后的结果；（-r 1）重复次数为1，默认情况下为3；（-g）生成目标列表,指定目标列表的起始和结束IP，此次起始IP为202.202.240.1，结束IP为202.202.240.254。共扫描254个目标，其中74个存活，176个不可达，没有不知的IP地址。

图7使用nping扫描活动主机结果

图8使用netenum扫描结果

使用来进行netenum扫描，显示的是202.202.240.0/24这个网段的活动主机，显示的结果。

图9netdiscover扫描结果

从上面的图中可以看出，netdiscover会显示出活动主机的IP地址、MAC地址等信息。

2、信息收集—扫描目标主机活动端口

图10 nmap扫描结果1

图11 nmap扫描结果2

图12 nmap扫描结果3

图13 nmap扫描结果4 上图是使用nmap扫描目标主机活动端口的结果，本次实验是扫描202.202.240.6的活动端口，从结果中可以看出使用TCP连接扫描和SYN扫描结果80端口是开启的，Xmas和Null扫描运行不出结果，可能是扫描的时间不够，活动端口扫描不是快速完成的。扫描结果会显示活动的端口号以及提供的服务。

下面是在虚拟机的kali平台里使用zenmap对10.1.74.114进行端口扫描的结果。由于扫描结果太多，所以只对部分进行了截图分析。

图14zenmap扫描结果

使用zenmap对活动端口进行扫描比使用命令行简单，得到的结果比输入命令得到的结果更加详细。

3、信息收集—扫描漏洞

图15Nessus扫描漏洞结果1 从扫描结果看出10.1.74.111有3个高危漏洞，18个中危漏洞，5个低危漏洞。下图为扫描10.1.74.111的部分具体漏洞图。

图16Nessus扫描结果2

八、心得体会

通过本次网络信息安全课程的学习，对渗透过程有了一定的了解，其基本步骤可总结为首先进行信息收集，可以收集的信息有活动主机、端口等等，然后扫描主机的漏洞，并对漏洞加以利用，从而达到攻击的目的。

这次设计对各个模块有了浅显的认识，深入程度还有待提高。

第三篇：2015年税务系统网络信息安全知识测试试题

一、判断对错(每题2分，答错不扣分，共计30分)1.违反法律、违反道德、破坏信息安全的可严重侵犯公民隐私和影响中国社会稳定的信息，均可称为不良信息。

2.在我国凡是违背社会主义精神文明建设的要求，违背中华民族优良文化传统习惯以及违背社会公德的各类信息就是网络不良信息。3.网上的安全审计主要是对系统中的各类活动进行跟踪记录，为以后安全事件的追踪、漏洞的分析提供一些原始证据。

4.随着国际信息安全领域的事件频繁发生，无论是高层领导或是专家或是普通民众对信息安全问题都高度重视。

5.对于信息安全危险的分类，从危险的来源来分，可分为内部的危险和外部的危险。

6.以云计算、物联网等为代表的新一轮信息技术革命，正在成为全球后金融时代社会和经济发展共同关注的重点。

7.“安全”一词是指将服务与资源的脆弱性降到最低限度。8.目前我国重要的信息系统和工业控制系统是自主生产的，不会产生对外依赖。

9.对于从美国出口到我国的设备，美国安全局会提前有意植入一些后门或者植入一些微软件。

10.我国信息技术产品的国产化程度非常低，很多重要信息系统还是由外国厂家提供，网络防护十分薄弱。

11.用户在处理废弃硬盘时，只要将电脑硬盘内的数据格式化就可以了，数据就不可能被恢复了。12.浏览器缓存和上网历史记录能完整还原用户访问互联网的详细信息，并反映用户的使用习惯、隐私等。因此应当定期清理这些信息以避免他人获得并造成隐私泄密。

13.大数据的特点是数据量巨大，是指数据存储量已经从TB级别升至PB级别。

14.信息系统建设完成后，运营、使用单位或者其主管部门应当选择具有信息系统安全等级保护测评资质的测评机构，定期对信息系统安全等级状况开展等级测评。

15.机密性、完整性和可用性是评价信息资产的三个安全属性。

二、单项选择（每题3分，共计30分）

1.内部人员对系统产生误操作，滥用权力，个别系统里的人内外勾结，这是属于安全威胁来源的（）方面。

A.内部方面

B．外部方面

C．人为方面

D．意外方面

2.2014年，中央成立网络安全与信息化领导小组，并由（）同志亲自担任组长。

A.李克强

B.刘云山

C.习近平 D.张德江

3.计算机水平高超的电脑专家，他们可以侵入到你正常的系统，不经授权修改你的程序，修改你的系统，这类统称为（）。

A.漏洞

B.病毒

C.黑客

D.间谍

4.（）被广泛认为是继报纸、电台、电视之后的第四媒体。

A.互联网

B.电话

C.广播

D.手机

5.最近，国务院下发的5号文件明确提出加快推进（）的应用，给我们的安全问题提出了新的严峻挑战。

A.云计算

B.大数据

C.物联网

D.互联网

6.中央网络安全和信息化领导小组要求把我国建设成为（）。

A.技术强国

B.信息强国

C.科技强国 D.网络强国

7.下列属于网络诈骗的方式的是（）。

A.中奖诈骗

B.钓鱼诈骗

C.QQ视频诈骗

D.以上都是

8.网络社会的本质变化是（）。

A.信息碎片化

B.网络碎片化

C.跨越时空的碎片化

D.生活的碎片化

9.由于遭遇（）的入侵，伊朗的核计划至少推迟了两年多。

A.特洛伊木马

B.蠕虫病毒

C.震网病毒

D.逻辑炸弹

10.计算机病毒是（）A.一种芯片

B.具有远程控制计算机功能的一段程序 C.一种生物病毒

D.具有破坏计算机功能或毁坏数据的一组程序代码

三、多项选择题（每题4分，共计40分）1.信息安全面临哪些威胁？（）A.信息间谍 B.网络黑客 C.信息系统的脆弱性 D.计算机病毒

2.安全使用邮箱应该做到的有（）

A.对于隐私或重要的文件可以加密之后再发送 B.为邮箱的用户账号设置高强度的口令 C.区分工作邮箱和生活邮箱

D.不要查看来源不明和内容不明的邮件，应直接删除 3.以下关于盗版软件的说法，错误的是（）。A.若出现问题可以找开发商负责赔偿损失 B.使用盗版软件不违反法律

C.成为计算机病毒的重要来源和传播途径之一 D.可能会包含不健康的内容

4.信息安全是一个不断攻防演练的过程，一个不断发展的过程，遵循PDCA模型，其中，PDCA是指（）。

A.Plan B.Act C.Check D.Aim E.Do 5.根据涉密网络系统的分级保护原则，涉密网络的分级有哪些？（）A.秘密 B.内部 C.机密 D.绝密

6.税务系统信息安全体系建设的主要内容有（）A.建设统一、完善的网络安全防护系统

B.建立全网统一的基于PKI的网络信任系统及其安全基础设施。C.基于网络安全防护系统和安全基础设施，构建统一的安全支撑平台和应用支撑平台。

D.基于安全支撑平台和应用支撑平台，建设涵盖各类税收业务的安全应用系统。

E.建设一体化的信息安全管理系统和服务于安全管理系统的安全管理平台。

7．税务系统信息安全体系的构成()A.一个决策领导层

B.四个安全系统（安全管理系统、网络防护系统、安全基础设施系统、安全应用系统）

C.三个安全平台（安全支撑平台、应用支撑平台、安全管理平台）D.金税三期核心征管系统

8．税务系统信息安全体系的实施原则（）A.统筹规划、分步实施 B.联合共建、互联互通 C.安全保密、先进可靠 D.经济实用、灵活方便 E.统一标准、统一规范

9．税务系统网络与信息安全防护体系建设经历过以下（）阶段 A.首期 B.二期 C.三期 D.四期

10.税务系统网络与信息安全建设第三期的内容有（）

A．采用网络准入控制系统阻止不符合安全要求的计算机终端接入数据中心局域网

B．在网络中部署安全性检查与补丁分发系统，对接入数据中心局域网的计算机终端进行安全检查和修复，提高接入终端的安全性 C．采用数据库安全审计系统对数据库应用的所有操作实施安全性审计

D．在因特网接口部署上网行为监控系统，对访问互联网的行为安全进行监控，对网络流量和带宽实施管理。

2015网络和信息安全宣传考试答案

一、判断对错30

√×√√√

√√×√√

×√√√√

二、单项选择30 ACCAA DDCCD

三、多项选择题40 1ABCD 2ABCD 3AB 4ABCE 5ACD 6ABCDE 7ABC 8ABCDE 9ABC 10ABCD

第四篇：2016年税务系统网络信息安全知识测试

一、判断对错(每题2分，答错不扣分，共计30分)1.违反法律、违反道德、破坏信息安全的可严重侵犯公民隐私和影响中国社会稳定的信息，均可称为不良信息。

2.在我国凡是违背社会主义精神文明建设的要求，违背中华民族优良文化传统习惯以及违背社会公德的各类信息就是网络不良信息。3.网上的安全审计主要是对系统中的各类活动进行跟踪记录，为以后安全事件的追踪、漏洞的分析提供一些原始证据。

4.随着国际信息安全领域的事件频繁发生，无论是高层领导或是专家或是普通民众对信息安全问题都高度重视。

5.对于信息安全危险的分类，从危险的来源来分，可分为内部的危险和外部的危险。

6.以云计算、物联网等为代表的新一轮信息技术革命，正在成为全球后金融时代社会和经济发展共同关注的重点。

7.“安全”一词是指将服务与资源的脆弱性降到最低限度。8.目前我国重要的信息系统和工业控制系统是自主生产的，不会产生对外依赖。

9.对于从美国出口到我国的设备，美国安全局会提前有意植入一些后门或者植入一些微软件。

10.我国信息技术产品的国产化程度非常低，很多重要信息系统还是由外国厂家提供，网络防护十分薄弱。

11.用户在处理废弃硬盘时，只要将电脑硬盘内的数据格式化就可以了，数据就不可能被恢复了。12.浏览器缓存和上网历史记录能完整还原用户访问互联网的详细信息，并反映用户的使用习惯、隐私等。因此应当定期清理这些信息以避免他人获得并造成隐私泄密。

13.大数据的特点是数据量巨大，是指数据存储量已经从TB级别升至PB级别。

14.信息系统建设完成后，运营、使用单位或者其主管部门应当选择具有信息系统安全等级保护测评资质的测评机构，定期对信息系统安全等级状况开展等级测评。

15.机密性、完整性和可用性是评价信息资产的三个安全属性。

二、单项选择（每题3分，共计30分）

1.内部人员对系统产生误操作，滥用权力，个别系统里的人内外勾结，这是属于安全威胁来源的（）方面。

A.内部方面

B．外部方面

C．人为方面

D．意外方面

2.2014年，中央成立网络安全与信息化领导小组，并由（）同志亲自担任组长。

A.李克强

B.刘云山

C.习近平 D.张德江

3.计算机水平高超的电脑专家，他们可以侵入到你正常的系统，不经授权修改你的程序，修改你的系统，这类统称为（）。

A.漏洞

B.病毒

C.黑客

D.间谍

4.（）被广泛认为是继报纸、电台、电视之后的第四媒体。

A.互联网

B.电话

C.广播

D.手机

5.最近，国务院下发的5号文件明确提出加快推进（）的应用，给我们的安全问题提出了新的严峻挑战。

A.云计算

B.大数据

C.物联网

D.互联网

6.中央网络安全和信息化领导小组要求把我国建设成为（）。

A.技术强国

B.信息强国

C.科技强国 D.网络强国

7.下列属于网络诈骗的方式的是（）。

A.中奖诈骗

B.钓鱼诈骗

C.QQ视频诈骗

D.以上都是

8.网络社会的本质变化是（）。

A.信息碎片化

B.网络碎片化

C.跨越时空的碎片化

D.生活的碎片化

9.由于遭遇（）的入侵，伊朗的核计划至少推迟了两年多。

A.特洛伊木马

B.蠕虫病毒

C.震网病毒

D.逻辑炸弹

10.计算机病毒是（）A.一种芯片

B.具有远程控制计算机功能的一段程序 C.一种生物病毒

D.具有破坏计算机功能或毁坏数据的一组程序代码

三、多项选择题（每题4分，共计40分）2.安全使用邮箱应该做到的有（）

A.对于隐私或重要的文件可以加密之后再发送 B.为邮箱的用户账号设置高强度的口令 C.区分工作邮箱和生活邮箱

D.不要查看来源不明和内容不明的邮件，应直接删除 3.以下关于盗版软件的说法，错误的是（）。A.若出现问题可以找开发商负责赔偿损失 B.使用盗版软件不违反法律

C.成为计算机病毒的重要来源和传播途径之一 D.可能会包含不健康的内容

4.信息安全是一个不断攻防演练的过程，一个不断发展的过程，遵循PDCA模型，其中，PDCA是指（）。

A.Plan B.Act C.Check D.Aim E.Do 5.根据涉密网络系统的分级保护原则，涉密网络的分级有哪些？（）A.秘密 B.内部 C.机密 D.绝密

6.税务系统信息安全体系建设的主要内容有（）A.建设统一、完善的网络安全防护系统

B.建立全网统一的基于PKI的网络信任系统及其安全基础设施。C.基于网络安全防护系统和安全基础设施，构建统一的安全支撑平台和应用支撑平台。

D.基于安全支撑平台和应用支撑平台，建设涵盖各类税收业务的安全应用系统。

E.建设一体化的信息安全管理系统和服务于安全管理系统的安全管理平台。

7．税务系统信息安全体系的构成()A.一个决策领导层

B.四个安全系统（安全管理系统、网络防护系统、安全基础设施系统、安全应用系统）

C.三个安全平台（安全支撑平台、应用支撑平台、安全管理平台）D.金税三期核心征管系统

8．税务系统信息安全体系的实施原则（）A.统筹规划、分步实施 B.联合共建、互联互通 C.安全保密、先进可靠 D.经济实用、灵活方便 E.统一标准、统一规范 9．税务系统网络与信息安全防护体系建设经历过以下（）阶段 A.首期 B.二期 C.三期 D.四期

10.税务系统网络与信息安全建设第三期的内容有（）

A．采用网络准入控制系统阻止不符合安全要求的计算机终端接入数据中心局域网

B．在网络中部署安全性检查与补丁分发系统，对接入数据中心局域网的计算机终端进行安全检查和修复，提高接入终端的安全性 C．采用数据库安全审计系统对数据库应用的所有操作实施安全性审计

D．在因特网接口部署上网行为监控系统，对访问互联网的行为安全进行监控，对网络流量和带宽实施管理。

2015网络和信息安全宣传考试答案

一、判断对错30

√×√√√

√√×√√

×√√√√

二、单项选择30 ACCAA DDCCD

三、多项选择题40 1ABCD 2ABCD 3AB 4ABCE 5ACD 6ABCDE 7ABC 8ABCDE 9ABC 10ABCD

第五篇：网络信息安全

网络信息安全

信息安全是指为建立信息处理系统而采取的技术上和管理上的安全保护，以实现电子信息的保密性、完整性、可用性和可控性。当今信息时代，计算机网络已经成为一种不可缺少的信息交换工具。然而，由于计算机网络具有开放性、互联性、连接方式的多样性及终端分布的不均匀性，再加上本身存在的技术弱点和人为的疏忽，致使网络易受计算机病毒、黑客或恶意软件的侵害。面对侵袭网络安全的种种威胁，必须考虑信息的安全这个至关重要的问题。

网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件;运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。

1．硬件安全。即网络硬件和存储媒体的安全。要保护这些硬设施不受损害，能够正常工作。

2.软件安全。即计算机及其网络中各种软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。

3.运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全状态，保障网络系统正常运行。

4.数据安全。即网络中存储及流通数据的女全。要保护网络中的数据不被篡改、非法增删、复制、解密、显示、使用等。它是保障网络安全最根本的目的。

1.防火墙技术。防火墙（Firewall）是近年来发展的最重要的安全技术，它的主要功能是加强网络之间的访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络（被保护网络）。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许，并监视网络运行状态。简单防火墙技术可以在路由器上实现，而专用防火墙提供更加可靠的网络安全控制方法。

防火墙的安全策略有两条。一是“凡是未被准许的就是禁止的”。防火墙先是封闭所有信息流，然后审查要求通过的信息，符合条件的就让通过；二是“凡是未被禁止的就是允许的”，防火墙先是转发所有的信息，然后再逐项剔除有害的内容，被禁止的内容越多，防火墙的作用就越大。网络是动态发展的，安全策略的制定不应建立在静态的基础之上。在制定防火墙安全规则时，应符合“可适应性的安全管理”模型的原则，即：安全=风险分析+执行策略+系统实施+漏洞监测+实时响应。防火墙技术主要有以下三类：

●包过滤技术（Packct Filtering）。它一般用在网络层，主要根据防火墙系统所收到的每个数据包的源IP地址、目的IP地址、TCP/UDP源端口号、TCP/UDP目的端口号及数据包中的各种标志位来进行判定，根据系统设定的安全策略来决定是否让数据包通过，其核心就是安全策略，即过滤算法的设计。

●代理（Proxy）服务技术。它用来提供应用层服务的控制，起到外部网络向内部网络申请服务时的中间转接作用。内部网络只接受代理提出的服务请求，拒绝外部网络其它节点的直接请求。运行代理服务的主机被称为应用机关。代理服务还可以用于实施较强的数据流监控、过滤、记录等功能。

●状态监控（Statc Innspection）技术。它是一种新的防火墙技术。在网络层完成所有必要的防火墙功能——包过滤与网络服务代理。目前最有效的实现方法是采用 Check Point）提出的虚拟机方式（Inspect Virtual Machine）。

防火墙技术的优点很多，一是通过过滤不安全的服务，极大地提高网络安全和减少子网中主机的风险；二是可以提供对系统的访问控制；三是可以阻击攻击者获取攻击网络系统的有用信息；四是防火墙还可以记录与统计通过它的网络通信，提供关于网络使用的统计数据，根据统计数据来判断可能的攻击和探测；五是防火墙提供制定与执行网络安全策略的手段，它可以对企业内部网实现集中的安全管理。

防火墙技术的不足有三。一是防火墙不能防止绕过防火墙的攻击；二是防火墙经不起人为因素的攻击。由于防火墙对网络安全实施单点控制，因此可能受到黑客的攻击；三是防火墙不能保证数据的秘密性，不能对数据进行鉴别，也不能保证网络不受病毒的攻击。

2.加密技术。数据加密被认为是最可靠的安全保障形式，它可以从根本上满足信息完整性的要求，是一种主动安全防范策略。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据。通过使用不同的密钥，可用同一加密算法，将同一明文加密成不同的密文。当需要时可使用密钥将密文数据还原成明文数据，称为解密。

密钥加密技术分为对称密钥加密和非对称密钥加密两类。对称加密技术是在加密与解密过程中使用相同的密钥加以控制，它的保密度主要取决于对密钥的保密。它的特点是数字运算量小，加密速度快，弱点是密钥管理困难，一旦密钥泄露，将直接影响到信息的安全。非对称密钥加密法是在加密和解密过程中使用不同的密钥加以控制，加密密钥是公开的，解密密钥是保密的。它的保密度依赖于从公开的加密密钥或密文与明文的对照推算解密密钥在计算上的不可能性。算法的核心是运用一种特殊的数学函数——单向陷门函数，即从一个方向求值是容易的，但其逆向计算却很困难，从而在实际上成为不可能。

除了密钥加密技术外，还有数据加密技术。一是链路加密技术。链路加密是对通信线路加密；二是节点加密技术。节点加密是指对存储在节点内的文件和数据库信息进行的加密保护。

3.数字签名技术。数字签名（Digital Signature）技术是将摘要用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中都要用到数字签名技术。

在书面文件上签名是确认文件的一种手段，其作用有两点，一是因为自己的签名难以否认，从而确认文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。数字签名与书面签名有相同相通之处，也能确认两点，一是信息是由签名者发送的，二是信息自签发后到收到为止未曾做过任何修改。这样，数字签名就可用来防止：电子信息因易于修改而有人作伪；冒用别人名义发送信息；发出（收到）信件后又加以否认。

广泛应用的数字签名方法有RSA签名、DSS签名和 Hash签名三种。RSA的最大方便是没有密钥分配问题。公开密钥加密使用两个不同的密钥，其中一个是公开的，另一个是保密的。公开密钥可以保存在系统目录内、未加密的电子邮件信息中、电话黄页上或公告牌里，网上的任何用户都可获得公开密钥。保密密钥是用户专用的，由用户本身持有，它可以对公开密钥加密的信息解密。DSS数字签名是由美国政府颁布实施的，主要用于跟美国做生意的公司。它只是一个签名系统，而且美国不提倡使用任何削弱政府窃听能力的加密软件。Hash签名是最主要的数字签名方法，跟单独签名的RSA数字签名不同，它是将数字签名和要发送的信息捆在一起，所以更适合电子商务。

4.数字时间戳技术。在电子商务交易的文件中，时间是十分重要的信息，是证明文件有效性的主要内容。在签名时加上一个时间标记，即有数字时间戳（Digita Timestamp）的数字签名方案：验证签名的人或以确认签名是来自该小组，却不知道是小组中的哪一个人签署的。指定批准人签名的真实性，其他任何人除了得到该指定人或签名者本人的帮助，否则不能验证签名

（二）网络信忽安全的目标

1.保密性。保密性是指信息不泄露给非授权人、实休和过程，或供其使用的特性。

2.完整性。完整性是指信息未经授权不能被修改、不被破坏、不被插人、不迟延、不乱序和不丢失的特性。对网络信息安全进行攻击的最终目的就是破坏信息的完整性。

3.可用性。可用性是指合法用户访问并能按要求顺序使用信息的特性，即保证合法用户在需要时可以访问到信息

4.可控性。可控性是指授权机构对信息的内容及传播具有控制的能力的特性，可以控制授权范围内的信息流向以及方式。

5.可审查性。在信息交流过程结束后，通信双方不能抵赖曾经做出的行为，也不能否认曾经接收到对方的信息。

网络信息安全面临的问题

1.网络协议和软件的安全缺陷

因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的。很容易被窃听和欺骗：大多数因特网上的流量是没有加密的，电子邮件口令、文件传输很容易被监听和劫持。很多基于TCP/IP的应用服务都在不同程度上存在着安全问题，这很容易被一些对TCP/IP十分了解的人所利用，一些新的处于测试阶级的服务有更多的安全缺陷。缺乏安全策略：许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被内部人员滥用，黑客从一些服务中可以获得有用的信息，而网络维护人员却不知道应该禁止这种服务。配置的复杂性：访问控制的配置一般十分复杂，所以很容易被错误配置，从而给黑客以可乘之机。TCP/IP是被公布于世的，了解它的人越多被人破坏的可能性越大。现在，银行之间在专用网上传输数据所用的协议都是保密的，这样就可以有效地防止入侵。当然，人们不能把TCP/IP和其实现代码保密，这样不利于TCP/IP网络的发展。2.黑客攻击手段多样

进人2006年以来，网络罪犯采用翻新分散式阻断服务(DDOS)攻击的手法，用形同互联网黄页的域名系统服务器来发动攻击，扰乱在线商务。宽带网络条件下，常见的拒绝服务攻击方式主要有两种，一是网络黑客蓄意发动的针对服务和网络设备的DDOS攻击;二是用蠕虫病毒等新的攻击方式，造成网络流量急速提高，导致网络设备崩溃，或者造成网络链路的不堪负重。

调查资料显示，2006年初发现企业的系统承受的攻击规模甚于以往，而且来源不是被绑架的“僵尸”电脑，而是出自于域名系统(DNS)服务器。一旦成为DDOS攻击的目标，目标系统不论是网页服务器、域名服务器，还是电子邮件服务器，都会被网络上四面八方的系统传来的巨量信息给淹没。黑客的用意是借人量垃圾信息妨碍系统正常的信息处理，借以切断攻击目标对外的连线。黑客常用“僵尸”电脑连成网络，把大量的查询要求传至开放的DNS服务器，这些查询信息会假装成被巨量信息攻击的目标所传出的，因此DNS服务器会把回应信息传到那个网址。

美国司法部的一项调查资料显示，1998年3月到2005年2月期间，82%的人侵者掌握授权用户或设备的数据。在传统的用户身份认证环境下，外来攻击者仅凭盗取的相关用户身份凭证就能以任何台设备进人网络，即使最严密的用户认证保护系统也很难保护网络安全。另外，由于企业员工可以通过任何一台未经确认和处理的设备，以有效合法的个人身份凭证进入网络，使间谍软件、广告软件、木马程序及其它恶意程序有机可乘，严重威胁网络系统的安全。

有资料显示，最近拉美国家的网络诈骗活动增多，作案手段先进。犯罪活动已经从“现实生活转入虚拟世界”，网上诈骗活动日益增多。3.计算机病毒