信息安全技术实验报告

实验报告

学院:信息学院专业：信息管理与信息系统专业班级：信息13-1姓名刘斌彬学号130814102 实验组实验时间2016年指导教师蓝海洋成绩

实验项目名称Windows操作系统安全，Linux操作系统安全

实验目的1.掌握windows账户与密码的设置方法

2.掌握文件系统的保护和加密方法

3.掌握windows操作系统安全策略与安全模板的使用，审核和日志的启用方法

4.掌握windows操作系统漏洞检测软件MBSA的使用方法，建立一个windows操作

系统基本安全框架

5.通过实验掌握linux操作系统（以下简称linux）环境下的用户管理，进程管理以及

文件管理的相关操作命令，掌握linux中的相关安全配置方法，建立起linux的基本安全框架

实

验要求

通过这次的实验学习，学生要学会windows操作系统和linux操作系统的基本基本安全配置。

实验原理一.Windows操作系统的安全原理

1.账户和密码

账户和密码是登录系统的基础，同时也是众多黑客程序攻击和窃取的对象。因此，系统账户和密码的安全是极其重要的，必须通过配置来实现账户和密码的安全。普通用户常常在安装系统后长期使用系统的默认设置，忽视了windows系统默认设置的不安全性，而这些不安全性常常被攻击者利用，通过各种手段获得合法的账户，进一步破解密码，从而达到非法登录系统的目的。所以，首先需要保障账户和密码的安全。

2.文件系统

磁盘数据被攻击者或本地的其他用户破坏和窃取是经常困扰用户的问题，文件系统的安装问题也是非常重要的。Windows系统提供的磁盘格式有FAT，FAT32以及NTFS。其中，FAT，FAT32没有考虑安全到安全性方面的更高需求，例如无法设置用

户访问权限等。NTFA文件系统是Windows操作系统的一种安全的文件系统，管理员或者用户可以设置每个文件夹及每个文件的访问权限，从而限制一些用户和用户组的访问，以保障数据安全。

3.数据加密软件EFS

EFS（encrypting file system，加密文件系统）是windows2000以上的版本操作系统所特有的一个实用功能，NTFS卷上的文件和数据，都可以直接被操作系统加密和保存，在很大程度上提高了数据的安全性。采用加密文件系统（EFS）加密的数据，能防止计算机，磁盘被窃取或者被拆换后数据失窃的隐患。

EFS加密是基于公钥策略的。在实验EFS加密一个文件或者文件夹时，系统首先会生成一个伪随机数组成的FEK（file encrypting key，文件加密秘钥），然后利用EFK 和数据扩展标准X算法创建加密后的文件，并把它存储在磁盘上，同时删除未加密的原始文件。随后系统利用用户公钥加密FEK，并把加密后的FEK存储在同一个加密文件中。而在访问被加密的文件时，系统首先利用当前用户的私钥解密FEK，然后利用FEK解密文件。在首次使用FEK时，如果用户还没有公钥/私钥对，则会首先生成秘钥，然后加密数据。如果用户登录到了域环境中，秘钥的生成依赖于域控制器，否则他就依赖于本地机器。

EFS和加密机制和操作系统的紧密结合，用户不必为了加密数据而安装额外的软件，从而节省了用户的使用成本。EFS加密系统对用户是透明的。如果用户加密了一些数据，那么用户对这些数据的访问将是完全允许的，并不会受到任何限制。而其他非授权用户试图访问加密后的数据时，就会收到“拒绝访问”的错误提示。EFS加密的用户验证过程是在登录windows系统进行的，只要登录到windows系统，就可以打开任何一个被授权的加密文件。

4.审核与日志

Windows系统从安全的角度提供了审核与日志功能，让用户便于检测当前的系统运行状况。审核与日志是windows系统中最基本的入侵检测方法，当有攻击者尝试对系统进行某些方式的攻击时，都会被安全审核功能记录下来并写到日志文件中。一些windows系统下的应用程序也有相似的功能。

5.安全模板

Windows系统中的安全项目设置繁多，包括账户策略，本地策略，事件日志，受

限制的组，系统服务，注册表和文件系统。每个项目都进行设置是相当复杂的，为了提高系统安全性设置的简易性，微软在windows系统中提供了不同安全级别的安全模板，不同安全级别的模板包含了不同安全性要求的配置。用户只要简单地根据需要选择启用相应的安全模板，即可自动按照模板配置各项安全属性。对部分的模板的意义做如下的说明：

Setup security.inf:全新安装系统的默认安全设置

Basic ws.inf:基本的安全级别

Compatws.inf:将系统的NTFS和ACL设置成安全层次较低的NT4.0设置

Securews.inf：提供较高安全性的安全级别

Hisecws.inf：提供高度安全性的安全级别

除了以上系统的默认的安全模板，windows操作系统还支持用户自己构建安全模板。

6.MBSA（Microsoft baseline security analyzer）

要检查当前系统是否符合一定的安全标准，手动逐项检查的过程是非常繁杂的。微软提供了自动检查windows系统漏洞的安全审计工具MBSA。它将从微软的升级服务器中下载最新的补丁包文件，检查windows系统中是否安装了最新的安全补丁。此外，还可以对系统漏洞，IIS漏洞，SQL Server 以及IE，Office等应用程序的漏洞进行扫描，以检查系统的各项配置是否符合安全性要求。出来微软的MBSA工具，其他的一些软件如瑞星杀毒软件，金山毒霸，360安全卫士等都提供了windows操作系统漏洞的扫描并从微软服务器下载补丁的功能。

二.Linux操作系统的安全原理

1.用户管理

Linux支持以命令行或者窗口方式管理用户和用户组。它提供了安全的用户和口令文件保护以及强大的口令设置规划，并对用户和用户组的权限进行细粒度的划分。Linux用户组合用户的信息分别保存在/etc/shadow，/etc/passwd，/etc/group，

/etc/gshadow等几个文件中，为这些文件设置较高的安全权限是必要的。在较高安全要求的系统中，可以将这些文件设置成不可以更改。Linux中也带有一些常用的口令字典，以便在用户设置的口令不安全时及时提醒用户

2.文件管理

在linux中，文件盒目录的权限根据其所属的用户或用户组来话、划分：

①文件所属的用户，即文件的创建者

②文件所属用户组的用户，即文件创建者所在的用户组中的其他用户

③其他用户，即文件所属用户组之外的其他用户

每个文件或者目录的拥有者以及管理员root用户，可为以上三种用户或者用户组设置读、写或者可执行的权限。用户也可以通过改变文件所属的用户或者用户组改变3类用户的权限。

对文件夹设置SGID权限，任何在该文件所属的用户和子目录都将与其父目录属于同样的用户组。这种管理有时是必要的，有时会带来一些安全的问题，因此在建立文件时要特别小心文件夹的SGID权限。

另一个容易带来安全问题的文件是/home/*/.bash_history（*表示某用户名）。为了便于重复输入很长的命令，该文件保存了此用户经常使用的一组参数（默认为500或1000）的命令。这样就保留了一些重要的信息，例如文件的路径，一些与用户有关的密码等，为攻击的黑客留下了可乘之机。可以通过/etc/profile文件中的参数设置，减少保留的，命名数目。

3.插入身份认证模块PAM

PAM（pluggable authentication modules）是插入式身份认证模块，它提供身份认证功能防止未授权的用户访问，其身份认证功能高度模块化，可以通过配置文件进行灵活的配置。在高版本的linux中自动启用了PAM，用户也可以自行配置PAM文件。但是，任何很小的错误改动都可能导致所以用户被阻塞，所以在进行相关的文件改动之前，应当先备份系统内核。

4.记录系统syslogd

Linux使用了一系列的日志文件，为管理提供了很多关于系统安全状态的信息。Syslogd是一种系统日子守护进程，它接受系统和应用程序，守护进程以及内核提供的信息，并根据在/etc/syslog.conf文件中的配置，对这些信息在不同日志文件中进行记录和处理。绝大部分内部系统工具都会通过呼叫syslogd接口来提供这些记录到日志中的消息。

系统管理员可以通过设置/etc/syslogd.conf文件来设置希望记录的信息的类型或者希望监视的设备。

实验

仪器

1. 一台安装windows xp/2003操作系统的计算机，磁盘格式配置为NTFS ，并预装

MBSA （Microsoft banseline security analyzer ）

实验步骤和实验数据

一、Windows 部分

1. 账户和密码的安全设置，检查和删除多余的账户

2. 禁用Guest 账户

3.启用账户策略，进入本地安全设置，点击开始，点击运行，输入gpedit.msc，点击

确定；

4.密码必须符合复杂性要求

5.密码长度最小值

6.密码最长使用期限

7.密码最短使用期限

8.账户锁定阀值

9.账户锁定时间

10.开机时设置为不自动显示上次登录账户

11.禁止枚举账户名

12.删除Everyone组的操作权限

13.对同一磁盘进行不同用户组权限的分配

14.用加密软件EFS加密硬盘数据创建新用户

15.加密一个文件夹

16.切换用户到MyUser将拒绝访问

17.在Administrator中将证书导出

信息安全技术概论期末总结

信息安全技术概论期末总结百度《信息安全技术概论期末总结》，好的范文应该跟大家分享，这里给大家转摘到百度。篇一：信息安全学习心得《信息安全》姓名：彭阳学号：班级：——课程论文信息安全学习心得体会通过学习《信息安全》，我了解到信息化是社会发展的趋势。随着我国信息化的不断推进，信息技术的应用已经渗透到工作与生活的各个方面。尤其是密码学，在我们的生活中无处不在。例如银行卡，现在几乎人手一张，那么所对应的密码数量，可想而知，是个多么庞大的数字。还有在这个网络发达的信息社会中，我们注册的各类账号，其对应的密码数量也是个巨大的数字。信息技术是新型的科学教育技术，能弥补过去工作方法的不足，只有在实践中充分利用现代化信息技术，才能在应用中发现问题、分析问题、解决问题，才能在不断总结经验、吸取教训中学习并提高自身工作能力。只有充分把现代化信息技术应用于各类工作中，才能有助于整合资源以及提高工作效能。信息安全，顾名思义，是指所掌握的信息不被他人窃取的安全属性。

由于现代社会科技高速发展，信息的数量以指数级别增加，而科技的进步也催生出很大窃取信息的技术方法，给我们信息安全带来了极大的威胁，不光说我们的个人隐私我发得到合理的保障，甚至一些商业机密乃至国家机密也都收到了潜在盗窃者的威胁。因此，如何防范信息的窃取正确的有效的保护自己信息隐私的安全性，如何处理信息被盗所造成的损失，如何亡羊补牢都是亟待解决的问题。信息安全概论这门课正是给我们了这样一个学习交流的平台，给了我们应对新时期信息安全问题一条出路。思想汇报专题现在的上网环境可谓是布满荆棘，例如一项实验，不开杀毒就算不上网也有信息被盗取的可能性。首先，是最常见的盘盗取，有的时候电脑不上网但是需要用盘或者移动硬盘拷贝一些资料伊莱克斯经理照就是别人破解了相册空间把照片窃取出来的，我们姑且不从伦理道德的角度对照片上的人做什么评论，单单就这个事情已经让我们毛骨悚然了，不知道以后还有谁敢发一些比较私密的照片到互联网上去。另外一个例子就是最近时常出现于报端的网络暴民，这些人通过在互联网上发布通缉令之类的方法，对他人展开人身攻击，我知道的最出名的就是的人肉搜索，也就是根据暴民的一些个人信息，搜到被通缉人的各类私人信息诸如住址、身份证号、电话号码、真实姓名、家属姓名、工作单位等等，最著名的例子就是上的虐猫事件直接找到

信息安全技术试题答案全面

信息安全技术试题及答案信息安全网络基础：一、判断题 1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 4. 计算机场地在正常情况下温度保持在 18~28 摄氏度。√ 8. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√ 9. 新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记 ,以防更换和方便查找赃物。√ 11. 有很高使用价值或很高机密程度的重要数据应采用加密等方法进行保护。√ 12. 纸介质资料废弃应用碎纸机粉碎或焚毁。√ 容灾与数据备份一、判断题 2. 数据备份按数据类型划分可以分成系统数据备份和用户数据备份。√ 3. 对目前大量的数据备份来说，磁带是应用得最广的介质。√ 7. 数据越重要，容灾等级越高。√ 8. 容灾项目的实施过程是周而复始的。√ 二、单选题 1. 代表了当灾难发生后，数据的恢复程度的指标是 2. 代表了当灾难发生后，数据的恢复时间的指标是 3. 容灾的目的和实质是 A. 数据备份 B.心理安慰 C. 保持信息系统的业务持续性 D.系统的有益补充 4. 容灾项目实施过程的分析阶段，需要进行 A. 灾难分析 B. 业务环境分析 C. 当前业务状况分析 D. 以上均正确 5. 目前对于大量数据存储来说，容量大、成本低、技术成熟、广泛使用的介质是一一一。 A.磁盘 B. 磁带 c. 光盘 D. 自软盘 6. 下列叙述不属于完全备份机制特点描述的是一一一。 A. 每次备份的数据量较大 B. 每次备份所需的时间也就校长 C. 不能进行得太频繁 D. 需要存储空间小

A. 灾难预测 B.灾难演习 C. 风险分析 D.业务影响分析 8、IBM TSM Fastback 是一款什么软件（） A、防病毒产品； B、入侵防护产品； C、上网行为管理产品； D、数据存储备份产品 9、IBM TSM Fastback产品使用的什么技术（ ) A、磁盘快照； B、文件拷贝； C、ISCSI技术； D、磁盘共享 12、IBM TSM Fastback产品DR（远程容灾）功能备份的是什么（） A、应用系统； B、本地备份的数据； C、文件系统； D、数据库三、多选题 1. 信息系统的容灾方案通常要考虑的要点有一一。 A. 灾难的类型 B. 恢复时间 C. 恢复程度 D. 实用技术 E 成本 2. 系统数据备份包括的对象有一一一。 A. 配置文件 B.日志文件 C. 用户文档 D.系统设备文件 3. 容灾等级越高，则一一一。 A. 业务恢复时间越短 C. 所需要成本越高 B. 所需人员越多 D. 保护的数据越重要 4、数据安全备份有几种策略（） A、全备份； B、增量备份； C、差异备份； D、手工备份 5、建立Disaster Recovery（容灾系统）的前提是什么（）多选 A、自然灾害（地震、火灾，水灾...)； B、人为灾害（错误操作、黑客攻击、病毒发作...) C、技术风险（设备失效、软件错误、电力失效...） 6、IBM TSM Fastback 可以支持数据库系统包括（）多选 A、M S SQL； B、Oracle； C、DB2； D、MY SQL 7、IBM TSM Fastback 可以支持的存储介质包括（） A、磁带介质； B、磁盘介质； C、磁带库； D、磁盘柜基础安全技术系统安全一、判断题防火墙能帮助阻止计算机病毒和蠕虫进入用户的计算机，但该防火墙不能检测或清除已经感染计算机的病毒和蠕虫√ 8. 数据库管理员拥有数据库的一切权限。√ 9. 完全备份就是对全部数据库数据进行备份。√ 二、单选题系统的用户帐号有两种基本类型，分别是全局帐号和

《信息安全技术》习题及答案

精心整理连云港专业技术继续教育—网络信息安全总题库及答案信息安全技术试题及答案 1. 2. 3. 4. 5. 6. 7. 8. 9., 10. 11. 12. 1. 2. 3.对目前大量的数据备份来说，磁带是应用得最广的介质。√ 4.增量备份是备份从上次完全备份后更新的全部数据文件。× 5.容灾等级通用的国际标准SHARE78将容灾分成了六级。× 6.容灾就是数据备份。× 7.数据越重要，容灾等级越高。√ 8.容灾项目的实施过程是周而复始的。√ 9.如果系统在一段时间内没有出现问题，就可以不用再进行容灾了。×

二、单选题 1.代表了当灾难发生后，数据的恢复程度的指标是 A.RPO B.RTO C.NRO D.SDO 2.代表了当灾难发生后，数据的恢复时间的指标是 A.RPO B.RTO C.NRO D.SD0 3.容灾的目的和实质是 A.数据备份 B.心理安慰 C.保持信息系统的业务持续性 D.系统的有益补充 4.容灾项目实施过程的分析阶段，需要进行 A. C. 5. 一。 A. 6. A. C. 7. A. 8、 A 9、 A 12、 A 1. A. C. E成本 2.系统数据备份包括的对象有一一一。 A.配置文件 B.日志文件 C.用户文档 D.系统设备文件 3.容灾等级越高，则一一一。 A.业务恢复时间越短C.所需要成本越高 B.所需人员越多D.保护的数据越重要 4、数据安全备份有几种策略（） A、全备份； B、增量备份； C、差异备份； D、手工备份 5、建立DisasterRecovery（容灾系统）的前提是什么（）多选

A、自然灾害（地震、火灾，水灾...)； B、人为灾害（错误操作、黑客攻击、病毒发作...) C、技术风险（设备失效、软件错误、电力失效...） 6、IBMTSMFastback可以支持数据库系统包括（）多选 A、MSSQL； B、Oracle； C、DB2； D、MYSQL 7、IBMTSMFastback可以支持的存储介质包括（） A、磁带介质； B、磁盘介质； C、磁带库； D、磁盘柜基础安全技术系统安全 1.× 2. (如 3. 5. 6. 7. A.本地帐号 B.域帐号 C.来宾帐号 D.局部帐号 3.计算机网络组织结构中有两种基本结构，分别是域和 A.用户组 B.工作组 C.本地组 D.全局组 4.某公司的工作时间是上午8点半至12点，下午1点至5点半，每次系统备份需要一个半小时，下列适合作为系统数据备份的时间是一一一。 A.上午8点 B.中午12点 C.下午3点 D.凌晨1点 5、.FTP(文件传输协议,FileTransferProtocol,简称HP)服务、SMTP(简单邮件传输协议,SimpleMailTransferProtocol,简称SMTP)服务、HTTP(超文本传输协

信息安全技术试题答案A

信息安全技术教程习题及答案第一章概述一、判断题 1。信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 2。计算机场地可以选择在公共区域人流量比较大的地方。× 3。计算机场地可以选择在化工厂生产车间附近.× 4。计算机场地在正常情况下温度保持在 18~28 摄氏度。√ 5. 机房供电线路和动力、照明用电可以用同一线路。× 6。只要手干净就可以直接触摸或者擦拔电路组件，不必有进一步的措施。× 7. 备用电路板或者元器件、图纸文件必须存放在防静电屏蔽袋内,使用时要远离静电敏感器件。√ 8. 屏蔽室是一个导电的金属材料制成的大型六面体，能够抑制和阻挡电磁波在空气中传播.√ 9。屏蔽室的拼接、焊接工艺对电磁防护没有影响.× 10. 由于传输的内容不同，电力线可以与网络线同槽铺设。× 11. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√ 12。新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记 ,以防更换和方便查找赃物。√ 13.TEMPEST 技术，是指在设计和生产计算机设备时，就对可能产生电磁辐射的元器件、集成电路、连接线、显示器等采取防辐射措施于从而达到减少计算机信息泄露的最终目的。√ 14. 机房内的环境对粉尘含量没有要求.× 15. 防电磁辐射的干扰技术,是指把干扰器发射出来的电磁波和计算机辐射出来的电磁波混合在一起，以掩盖原泄露信息的内容和特征等,使窃密者即使截获这一混合信号也无法提取其中的信息。√ 16。有很高使用价值或很高机密程度的重要数据应采用加密等方法进行保护。√ 17. 纸介质资料废弃应用碎纸机粉碎或焚毁。√ 二、单选题 1. 以下不符合防静电要求的是 A。穿合适的防静电衣服和防静电鞋 B. 在机房内直接更衣梳理 C。用表面光滑平整的办公家具 D. 经常用湿拖布拖地 2。布置电子信息系统信号线缆的路由走向时,以下做法错误的是 A. 可以随意弯折 B. 转弯时,弯曲半径应大于导线直径的 10 倍 C。尽量直线、平整 D. 尽量减小由线缆自身形成的感应环路面积 3。对电磁兼容性 (Electromagnetic Compatibility，简称 EMC）标准的描述正确的是 A. 同一个国家的是恒定不变的 B. 不是强制的 C。各个国家不相同 D. 以上均错误 4。物理安全的管理应做到 A. 所有相关人员都必须进行相应的培训，明确个人工作职责 B。制定严格的值班和考勤制度，安排人员定期检查各种设备的运行情况 C。在重要场所的迸出口安装监视器，并对进出情况进行录像

信息安全技术与云运维专业国内培训方案

信息安全技术与云运维专业国内培训方案为了贯彻《教育部财政部关于实施职业院校教师素质提高计划的意见》要求，根据《关于做好2014年度高等职业学校专业骨干教师国家级培训项目申报工作的通知》（教职成司函〔2013〕228号）精神，南京富士通南大软件技术有限公司等3家企业与南京工业职业技术学院协商研讨，共同制订本培训方案。一、机构背景与培训能力南京工业职业技术学院是一所具有九十多年办学历程的全日制公办普通高校，为我国首批国家示范性高等职业院校。学院的基本情况可以用“五个一”概括：一是我国第一所专门从事职业教育并以“职业”冠名的学校；二是江苏省第一所获得教育部高职高专人才培养工作水平评估“优秀”的学校；三是“国家示范性高职院校建设计划”首批立项建设和首批通过验收的学校；四是高中后招生录取分数线连续3年江苏省同类院校最高；五是江苏省首批人才强校试点单位。计算机与软件学院信息安全管理专业是我院重点建设专业，代表江苏省参加两届全国职业院校技能大赛“信息安全管理”赛项获二等奖、一等奖，为江苏省最好成绩。南京工业职业技术学院在师资顶岗培训、学生订单培养、顶岗实习、就业等方面与南京神州数码网络技术有限公司进行了多层面的深度合作，签署了校企合作框架协议、师资培养协议以及学生顶岗实习就业协议等一系列合作协议。学院2位教师具有信息安全管理与评估的工程经验，评估与加固许多企业安全项目。二、培训能力南京工业职业技术学院网络信息安全管理专业现有师资队伍中有教授1人，副教授4人，92%研究生以上学历，均为“双师型”教师，教师累计在信息安全领域对企业服务次数达数十次，涉及信息安全评估、信息安全加固等方向，累计到账金额约5万元。另聘请了网监处2名行业专家，及信息安全相关企业的技术人员7人为本专业兼职教师。本专业拥有150平方米校内“网络与信息安全实训中心”，拥有信息安全技术工作室一个，积累行业知识与案例达5G容量。校外有神州数码等十家大中型信息安全服务企业作为实训基地。2012年承担信息安全专业教师培训，完成省级以上高校教师培训50余人次。2012年南京工业职业技术学院与南京富士通南大软件技术有限公司合作，共建南工院云计算中心，中心占地面积130平米。具备了提供云计算技术培训、云计算教学环境构建与运行的能力。三、培训专业范围依据南京工业职业技术在信息安全技术领域的专业积累，结合神州数码网络技术有限公司、南京富士通南大软件技术有限公司企业研发与生产领域，本次培训涉及网络安全管理、信息安全监查、安全评估、等级保护评测、云计算平台的构建与运维等知识与实践领域，对引导各职业进行信息安全专业建设、云计算技术普及与推广有促进作用。四、培训目标信息安全技术与云运维骨干教师培训班，旨在实现对职业院校信息安全专业骨干教师职业能力的一次强化，通过培训学习，使学员了解信息安全知识与技能体系，用现代职业教育理念与方法承载信息安全领域实战能力；掌握信息安全管理与评估行业主轴；了解和掌握当前云计算技术的主流技术、平台构建和运维管理。通过学习培训，掌握相关专业建设和课程开发能力、教学方法设计能力和实践教学能力；共同探讨新形势下信息安全与云计算技术应用与管理相关专业人才培养模式的创新以及“双师结构”专业教学团队的建设问题。同时扩大职业院校间的交流与合作，发挥国家示范性院校引领和辐射作用。五、培训内容本培训内容突出专业领域新理论、前沿技术及关键技能的培养，基于信息安全管理与评估职业领域的发展及对人才技能的需求，以“项目教学、实境训练”为特征的理论、实践相融合作为切入点，引导教学内容和教学方法改革。主要培训内容如下：

信息安全技术试题答案E.docx

信息安全技术试题答案E 信息安全试题（1/共3）一、单项选择题（每小题2分，共20分） 1._________________________ 信息安全的基木属性是o A.保密性 B.完整性 C.可用性、可控性、可靠性 D. A, B, C都是 2?假设使用一种加密算法，它的加密方法很简单：将每一个字母加5,即a加密成f。这种算法的密钥就是5,那么它属于 ________ o A.对称加密技术 B.分组密码技术 C.公钥加密技术 D.单向函数密码技术 3.密码学的目的是 ____ o A.研究数据加密 B.研究数据解密 C.研究数据保密 D.研究信息安全 4.A方有—?对密钥（KA公开，KA秘密），B方有-?对密钥（KB公开，KB秘密），A方向B方发送数字签名M,对信息M加密为：W = KB公开（KA秘密（M））。B方收到密文的解密方案是_______ o A. KB公开（KA秘密（M' ）） B. KA公开（KA公开（M'）） C. KA公开（KB秘密（M‘ ）） D. KB秘密（KA秘密（M'）） 5.数字签名要预先使用单向Hash函数进行处理的原因是______ o A.多一道加密工序使密文更难破译 B.提高密文的计算速度 C.缩小签名密文的长度，加快数字签名和验证签名的运算速度 D.保证密文能正确还原成明文 6.身份鉴别是安全服务小的重要一环，以下关于身份鉴别叙述不正确的是—o

A.身份鉴别是授权控制的基础 B.身份鉴别一般不用提供双向的认证 C.目前-?般采用基于对称密钥加密或公开密钥加密的方法 D.数字签名机制是实现身份鉴别的重要机制 7.防火墙用于将Internet和内部网络隔离______ 。 A.是防止Internet火灾的硬件设施 B.是网络安全和信息安全的软件和駛件设施 C.是保护线路不受破坏的软件和硬件设施 D.是起抗电磁干扰作川的硬件设施 8.PKI支持的服务不包括_____ 。 A.非对称密钥技术及证书管理 B.日录服务 C.对称密钥的产生和分发 D.访问控制服务9.设哈希函数H 128个可能的输出（即输出长度为128位）,如果II的k个随机输入屮至少有两个产生相同输岀的概率人于0. 5, 则k约等于—。 A. 2128 B. 264 C. 2 D. 2 10. Bell-LaPadula模型的出发点是维护系统的______ ,而Bibd模型与 Bell-LaPadula模型完全对立，它修正了Bell-LaPadula模型所忽略的信息的_______ 问题。它们存在共同的缺点：直接绑定主体与客体，授权工作困难。 A.保密性可用性 B.可用性保密性 C.保密性完整性 D.完整性保密性二、填空题（每空1分，共20分） 1.ISO 7498-2确定了五大类安全服务，即鉴别、访问控制、数据保密性、数据完整性和不可否认。同吋，ISO 7498-2也确定了八类安全机制，即加密机制、数据签名机制、访问控制机制、数据完整性机制、认证交换、业务填充机制、路由控制机制和公证机制。

信息安全技术 IPSec VPN安全接入基本要求与实施指南(标准状态：现行)

I C S35.040 L80 中华人民共和国国家标准 G B/T32922 2016 信息安全技术I P S e cV P N安全接入基本要求与实施指南 I n f o r m a t i o n s e c u r i t y t e c h n o l o g y B a s e l i n e a n d i m p l e m e n t a t i o n g u i d e o f I P S e cV P Ns e c u r i n g a c c e s s 2016-08-29发布2017-03-01实施中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会发布

目次前言Ⅰ 引言Ⅱ 1 范围1 2 规范性引用文件1 3 术语和定义1 4 缩略语2 5 I P S e cV P N 安全接入场景3 5.1 网关到网关的安全接入场景3 5.2 终端到网关的安全接入场景3 6 I P S e cV P N 安全接入基本要求3 6.1 I P S e cV P N 网关技术要求3 6.2 I P S e cV P N 客户端技术要求5 6.3 安全管理要求5 7 实施指南6 7.1 概述6 7.2 需求分析7 7.3 方案设计7 7.4 配置实施7 7.5 测试与备案8 7.6 运行管理8 附录A (资料性附录) 典型应用案例9 附录B (资料性附录) I P v 6过渡技术12 参考文献14 G B /T 32922 2016

G B/T32922 2016 前言本标准按照G B/T1.1 2009给出的规则起草三本标准由全国信息安全标准化技术委员会(S A C/T C260)提出并归口三本标准起草单位:国家信息中心二华为技术有限公司二中安网脉(北京)技术股份有限公司二网神信息技术(北京)股份有限公司二北京天融信科技股份有限公司二迈普通信技术股份有限公司三本标准主要起草人:罗海宁二周民二吕品二冷默二黄敏二徐浩二张锐卿二任献永二徐惠清二邵国安三 Ⅰ

信息安全技术理论总结

第一章信息安全基础知识 1.信息安全的内涵与特征内涵：定义：（一个国家的）信息化状态和信息技术体系不受外来的威胁与侵害；（1）信息安全首先应该是一个国家宏观的社会信息化状态是否处于自控之下，是否稳定的问题；其次才是信息技术的安全问题；（2）客观上不存在威胁，主观上不存在恐惧；特征：保密性，完整性，可用性，可控性，可审查性，可靠性；面向数据的安全和面向用户的安全这两者的结合，即是现代信息安全体系结构；信息安全包含的三层含义： [1] 系统安全（实体安全），即系统运行的安全 [2] 系统中信息的安全，即通过对用户权限的控制、数据加密等确保信息不被非授权者获取和篡改。 [3] 管理安全，即综合运用各种手段对信息资源和系统运行安全进行有效的管理。 2、网络安全的内涵与特征内涵：凡是涉及到网络上信息的保密性、完整性、可用性和可控性等的相关技术和理论，都是网络安全所要研究的领域。网络安全包含的四层含义： [1] 运行系统安全 [2] 网络上系统信息的安全 [3] 网络上信息传播的安全 [4] 网络上信息内容的安全网络安全的主要特征：保密性，完整性，可用性，可控性；因此，网络安全、信息安全研究的内容是紧密相关的，其发展是相辅相成的。但是信息安全研究领域包括网络安全的研究领域。 3、信息安全服务与目标信息安全服务与目标主要指保护信息系统，使其没有危险、不受威胁、不出事故。从技术角度来说，信息安全服务与目标主要表现在系统的可靠性、可用性、可控性、保密性、完整性、不可抵赖性等方面。（1）可靠性：是网络信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。可靠性是所有网络信息系统的建设和运行目标。网络信息系统的可靠性测度主要有三种：抗毁性、生存性和有

信息安全技术试题答案(全)

信息安全技术教程习题及答案信息安全试题（1/共3）一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘密），A方向B方发送数字签名M，对信息M加密为：M’= K B公开（K A秘密（M））。B方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密（M’）） B. K A公开（K A公开（M’）） C. K A公开（K B秘密（M’）） D. K B秘密（K A秘密（M’）） 5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施 8．PKI支持的服务不包括＿＿＿。 A. 非对称密钥技术及证书管理 B. 目录服务 C. 对称密钥的产生和分发 D. 访问控制服务

全国计算机等级考试三级信息安全技术知识点总结71766

第一章信息安全保障概述 1.1信息安全保障背景 1.什么是信息？事物运行的状态和状态变化的方式。 2.信息技术发展的各个阶段？ a.电讯技术的发明 b.计算机技术发展 c.互联网的使用 3.信息技术的消极影响？信息泛滥、信息污染、信息犯罪。 4.信息安全发展阶段？ a.信息保密 b.计算机安全 c.信息安全保障 5.信息安全保障的含义？运行系统的安全、系统信息的安全6.信息安全的基本属性？

机密性、完整性、可用性、可控性、不可否认性 7信息安全保障体系框架？保障因素：技术、管理、工程、人员安全特征：保密性、完整性、可用性生命周期：规划组织、开发采购、实施交付、运行维护、废弃8.P2DR模型？策略(核心)、防护、监测、响应 9.IATF信息保障的指导性文件？核心要素：人员、技术(重点)、操作 10.IATF中4个技术框架焦点域？ a.保护本地计算环境 b.保护区域边界 c.保护网络及基础设施 d.保护支持性基础设施 11.信息安全保障工作的内容？ a.确定安全需要 b.设计实施安全方案

d.实施信息安全监控和维护 12.信息安全评测的流程？见课本p19图1.4 受理申请、静态评测、现场评测、风险分析 13.信息监控的流程？见课本p20图1.5 受理申请、非现场准备、现场准备、现场监控、综合分析 1.1.1信息技术及其发展阶段信息技术两个方面：生产：信息技术产业；应用：信息技术扩散信息技术核心：微电子技术，通信技术，计算机技术，网络技术第一阶段，电讯技术的发明；第二阶段，计算机技术的发展；第三阶段，互联网的使用 1.1.2信息技术的影响积极：社会发展，科技进步，人类生活消极：信息泛滥，信息污染，信息犯罪 1.2信息安全保障基础

信息安全技术使用教程第二版课后习题

信息安全技术使用教程（第版）课后习题第一章（信息安全概述）习题一、 1、填空题（1）信息安全是指秘密信息在产生、传输、使用、和存储的过程中不被泄露或破坏（2）信息安全的4个方面是;保密性、完整性、可用性、和不可否认性。（3）信息安全主要包括系统安全和数据安全俩个方面。（4）一个完整的信息安全技术体系结构由物理安全技术、基础安全技术、系统安全技术、网络完全技术及应用安全技术组成。（5）一个常见的网络安全模型是PDRR模型。（6）木桶原则是指对信息均衡、全面的进行保护。木桶的最大容积取决于最短的一块木板。 2、思考与解答题：（1）简述信息安全技术面临的威胁。（2）简述PDRR网络安全模型的工作过程。第二章（物理安全技术）习题二 1、填空题（1）物理安全又称为实体安全、是保护计算机设备、设施（网络及通信线路）免遭地震、火灾、水灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。（2）物理安全包括环境安全、设备安全电源系统安全和通信线路安全、（3）计算机的电子元器件、芯片都密封在机箱中，有的芯片工作时表面温非常高，一般电子元器件的工作温度在0---45摄氏度。（4）在放置计算机的房间内，湿度最好保持在40%--60% 之间，湿度过高或过低对计算机的可靠性与安全性都有影响。 2、思考与解答：（1）为计算机系统提供合适的安全环境的目的是什么。（2）简述计算机机房的外部环境要求、内部环境要求。第三章（基础安全技术）习题三、 1、填空题（1）一般来说，信息安全主要包括系统安全和数据安全俩个方面。（2）面膜技术是保障信息安全的核心技术、它以很小的代价，对信息提供一种强有力的安全保护。（3）加密使用某种方法将文字转换成不能直接阅读的形式的过程。（4）加密一般分为3类，是对称加密、非对称加密和单向散列函数。（5）从密码学的发展历程来看，共经历了古典密码、对称密钥密码和公开密钥密码。（6）对称加密算法又称为传统密码算法或单密钥算法，它采用了对称密码编码技术，其特点是文件加密和加密使用相同的密钥。（7）对称加密算法的安全性依赖于密钥的安全性。

2019信息网络安全专业技术人员继续教育(信息安全技术)习题及答案

信息安全技术第一章概述第二章基础技术一、判断题 1.加密技术和数字签名技术是实现所有安全服务的重要基础。（对） 2.对称密码体制的特征是:加密密钥和解密密钥完全相同,或者一个密钥很容易从另ー个密钥中导出。（对） 3.对称密钥体制的对称中心服务结构解决了体制中未知实体通信困难的问题。（错） 4.公钥密码体制算法用一个密钥进行加密,!而用另一个不同但是有关的密钥进行解密。（对） 5.公钥密码体制有两种基本的模型:一种是加密模型,另一种是解密模型（错） 6.Rabin体制是基于大整数因子分解问题的,是公钥系统最具典型意义的方法。（错） 7.对称密码体制较之于公钥密码体制具有密钥分发役有安全信道的限制,可实现数字签名和认证的优点。（错） 8.国密算法包括 SM2,SM3和SM4. （对）

9.信息的防篡改、防删除、防插入的特性称为数据完整性保护。（对） 10.Hash函数的输人可以是任意大小的消息，其输出是一个长度随输入变化的消息摘要。（错） 11.数字签名要求签名只能由签名者自己产生。（对） 12、自主访问控制(DAC)是基于对客体安全级别与主体安全级别的比较来进行访问控制的。（错） 13.基于角色的访问控制(RBAC)是基于主体在系统中承担的角色进行访问控制，而不是基于主体的身份。（对）二、多选题 1.公钥密码体制与以前方法的区别在于()。 A.基于数学函数而不是替代和置换B、基于替代和置换 C.是非对称的，有两个不同密钥 D.是对称的，使用一个密钥 2.公钥密码的优势体现在()方面。 A.密钥交换 B.未知实体间通信 C.保密服务 D.认证服务 3.以下属于非对称算法的是()。 A.RSA B.DSA C.AES D.ECC 4.密钥生命周期过程包括( )

网络与信息安全技术小结,(7000字)

网络与信息安全技术小结,(7000字) 本页是精品最新发布的《网络与信息安全技术小结,(7000字)》的详细文章，这里给大家。网络与信息安全技术小结 (7000字) 网络与信息安全技术网络信息安全是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快越来越重要。网络信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。它主要是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。随着计算机网络技术的普及和越来越广泛地应用于工业、农业、交通等国民经济各个领域和国防建设和军事领域,计算机网络时常出现的安全问题日益增多。存在的安全隐患,促使人们采取各种方案保护计算机网络的安全。下面介绍了计算机安全技术的解决方案。 1、物理隔离网络所谓“物理隔离”是指内部网不直接或间接地连接公共网。思想汇报专题实现物理隔离的方法有:

（1）一人双机:在资金充足的情况下,给需要的人员配备2台电脑,1台接入互联网,1台只接入内部网。（2）网络安全隔离卡:在电脑上加装1块网络安全隔离卡,并再配备1块硬盘,随时根据使用者的要求,在内外网之间进行切换。（3）隔离计算机:例如:国内首创的神郁3000隔离计算机,使用者可以在网络之间实时在线、自由地切换,无需重新启动计算机。 2、防火墙目前,常见的防火墙主要有三类: （1）分组过滤型防火墙:数据分组过滤或包过滤,包过滤原理和技术可以认为是各种网络防火墙的基础构件。（2）应用代理型防火墙:应用代理型防火墙是内部网与外部网的隔离点,起着监视和隔绝应用层通信流的作用。（3）复合型防火墙:复合型防火墙将数据包过滤和代理服务结合在一起使用。目前出现的新技术类型主要有以下几种状态监视技术、安全操作系统、自适应代理技术、实时侵入检测系统等。混合使用数据包过滤技术、代理服务技术和其他一些新技术是未来防火墙的趋势。 3、抗攻击网关

信息安全技术试题答案C

信息安全技术试题答案C 1、通常为保证信息处理对象的认证性采用的手段是___C_______ A、信息加密和解密 B、信息隐匿 C、数字签名和身份认证技术 D、数字水印 2、关于Diffie-Hellman算法描述正确的是____B______ A、它是一个安全的接入控制协议 B、它是一个安全的密钥分配协议 C、中间人看不到任何交换的信息 D、它是由第三方来保证安全的 3、以下哪一项不在证书数据的组成中? _____D_____ A、版本信息 B、有效使用期限 C、签名算法 D、版权信息 4、关于双联签名描述正确的是____D______ A、一个用户对同一消息做两次签名 B、两个用户分别对同一消息签名 C、对两个有联系的消息分别签名 D、对两个有联系的消息同时签名 5、Kerberos中最重要的问题是它严重依赖于____C______ A、服务器 B、口令 C、时钟 D、密钥 6、网络安全的最后一道防线是____A______ A、数据加密 B、访问控制

C、接入控制 D、身份识别 7、关于加密桥技术实现的描述正确的是____A______ A、与密码设备无关，与密码算法无关 B、与密码设备有关，与密码算法无关 C、与密码设备无关，与密码算法有关 D、与密码设备有关，与密码算法有关 8、身份认证中的证书由____A______ A、政府机构发行 B、银行发行 C、企业团体或行业协会发行 D、认证授权机构发行 9、称为访问控制保护级别的是____C______ A、C1 B、B1 C、C2 D、B2 10、DES的解密和加密使用相同的算法，只是将什么的使用次序反过来? ____C______ A、密码 B、密文 C、子密钥 D、密钥 11、PKI的性能中，信息通信安全通信的关键是_____C_____ A、透明性 B、易用性 C、互操作性 D、跨平台性

全国计算机等级考试三级信息安全技术知识点总结

第一章信息安全保障概述 1、1信息安全保障背景 1.什么就是信息？事物运行的状态与状态变化的方式。 2.信息技术发展的各个阶段？ a、电讯技术的发明 b、计算机技术发展 c、互联网的使用 3.信息技术的消极影响？信息泛滥、信息污染、信息犯罪。 4.信息安全发展阶段？ a、信息保密 b、计算机安全 c、信息安全保障 5.信息安全保障的含义？运行系统的安全、系统信息的安全 6.信息安全的基本属性？机密性、完整性、可用性、可控性、不可否认性 7信息安全保障体系框架？保障因素:技术、管理、工程、人员安全特征:保密性、完整性、可用性生命周期:规划组织、开发采购、实施交付、运行维护、废弃8.P2DR模型？策略(核心)、防护、监测、响应 9.IATF信息保障的指导性文件？

核心要素:人员、技术(重点)、操作 10、IATF中4个技术框架焦点域？ a、保护本地计算环境 b、保护区域边界 c、保护网络及基础设施 d、保护支持性基础设施 11.信息安全保障工作的内容？ a、确定安全需要 b、设计实施安全方案 c、进行信息安全评测 d、实施信息安全监控与维护 12.信息安全评测的流程？见课本p19图1、4 受理申请、静态评测、现场评测、风险分析 13.信息监控的流程？见课本p20图1、5 受理申请、非现场准备、现场准备、现场监控、综合分析 1、1、1信息技术及其发展阶段信息技术两个方面:生产:信息技术产业;应用:信息技术扩散信息技术核心:微电子技术,通信技术,计算机技术,网络技术第一阶段,电讯技术的发明;第二阶段,计算机技术的发展;第三阶段,互联网的使用1、1、2信息技术的影响积极:社会发展,科技进步,人类生活消极:信息泛滥,信息污染,信息犯罪 1、2信息安全保障基础

网络与信息安全技术考试试题及答案

网络与信息安全技术A卷一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘密），A方向B方发送数字签名M，对信息M加密为：M’= K B公开（K A秘密（M））。B 方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密（M’）） B. K A公开（K A公开（M’）） C. K A公开（K B秘密（M’）） D. K B秘密（K A秘密（M’））5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施

信息安全管理制度总结

信息安全管理总结

————————————————————————————————作者：————————————————————————————————日期： 2

信息安全管理基本理论 1、管理：孔茨（美管理过程学派）强调效率、法约尔（法管理学先驱）活动过程、彼得·F·德鲁克（奥地利现代管理学之父）重视结果。针对特定对象，遵循确定原则，按照规定规定程序，运用恰当方法，为了完成某项任务以及实现既定目标而进行的计划、组织、指导、协调和控制等活动。三个阶段：通信保密阶段信息的保密性信息安全阶段保密性、完整性和可用性信息安全保障阶段信息安全技术与信息安全管理：信息安全技术是实现信息安全要求的方法保障，信息安全技术是实现信息安全产品的技术基础，信息安全产品是实现组织安全的工具平台，信息安全管理是实现信息安全技术应用的途径，信息安全管理是完成信息安全产品部署的规范，信息安全管理是从事信息安全人员组织的方法。信息安全管理课程作用：单纯只考虑技术，只能做出功能强大的信息安全产品，并不能对组织机构内部信息的安全保障提供直接支持。单纯只考虑管理，缺少技术产品的支撑，就不能保证信息安全规章制度的实施信息安全研制者十分技术。信息安全执行者三分管理七分技术。信息安全管理者五分管理五分技术。信息安全决策者七分管理三分技术信息安全管理：是通过维护信息的机密性，完整性和可用性等，组织为实现信息安全目标而进行的管理活动，管理和保护信息资产的一项体制，是对安全保障进行指导、规范和指导组织的一系列活动的过程 1.内容：安全方针和策略组织安全资产分类与控制人员安全物理与环境安全通信、运行与操作安全访问控制系统获取、开发与维护安全事故管理业务挂线性管理符合性做什么明确目标和指导原则如何做做得怎样多方面发扬需求整体规划长远考虑建立安全管理体系课程内容讲解说明各类安全管理过程——如何运用各类信息安全产品和信息安全知识理论来保证组织机构内信息的安全讲解说明各类信息安全管理技术——以管理角度讲述，包括谁、风险伍佰、策略管理、审计、监控、容灾等。全面了解信息安全管理体系掌握信息安全管理的内涵、体系、内容和实施过程。掌握信息安全管理的基本理论和手段，体系的构建过程。信息安全管理发展：零星追加时期，标准化时期，九十年代中期可看作社两个阶段的分界。国外现状：制订信息安全发展战略和计划，加强信息安全立法实现统一和规范和规范管理步入标准化与系统化管理时代国内现状：存在问题客观方面：法律法规不健全，管理方面政出多门，国家信息基础设施建设外国依赖微观方面：缺乏安全意识与方针，重技术，轻管理岗位不清，职责不分，缺乏系统管理的思想技术与工程标准信息安全管理与控制标准：美国信息安全桔皮书TCSEC、信息产品通过测评准则CC、BS7799：控制目标，控制措施、信息基础设施库ITIL、信息有相关技术控制目标COBIT、ISO/IKE 27000系列国际标准信息安全管理体系：管理体系是组织用来保证其完成任务，实现目标的过程集框架信息安全管理体系是基于业务风险方法建立，实施，运行监视，评审，保持和改进信息安全的管理体系，即一套过程集框架。对象范畴：组织的所有系统、组织部分信息系统、特定的信息系统特点：信息安全系统是一个系统化，程序化和文件化管理体系，应具有以下特点：体系建立——预防控制为主、体系的规划——遵守法律法规与要求、体系的建设——动态控制，控制费用与平衡风险、体系的运维——保护关键性信息资产。建设步骤：信息安全管理体系的策划与准备、信息安全管理体系文件的编制、建立信息安全管理框架、信息安全管理体系的运行、信息安全管理体系的审核与评审。二、ISO／ＩＥＣ２７００Ｘ信息安全管理体系：信息安全管理体系（ｉｓｍｓ）系列标准（即２７０００系列）、２７０００－２７００９：ｉｓｍｓ基本标准、２７０１０－２７０１９：ｉｓｍｓ标准族的解释性指南与文档、２７０２０－２７０３１：预留各个行业、ｉｓｏ／ｉｅｃ２７００１信息技术－安全技术－信息安全管理体系－要求、ｉｓｏ／ｉｅｃ２７００２信息技术－安全技术－信息安全管理实践规划信息安全管理实用规则：该标准给了一个信息安全管理范围的划分方法，其将信息安全管理范围划分为１１个管理方面，３９个安全控制目标和１３３条控制措施。管理方面明确管理的范畴控制目标要实现什么控制措施用于实现控制目标控制措施实施控制目标的控制措施介绍说明实施指南为扶持控制措施的实现和满足控制目标而提供的详细信息其它信息提供需要进一步考虑的信息例:管理方面：访问控制。控制目标１。访问控制的业务要求２．用户访问管理３．用户职责４．网络访问控制５．操作系统６．应用和信息７．移动和过程管理目标解读：确保授权用户访问信息系统，并防止未制空权的访问控制措施：１。用户注册２．特殊权限管理３．用户口令管理４．用户访问权的复查控制措施通过卡式的管理过程控制口令的分配实施指南: (１).要求用户签署一份声明，以保证个人口令的保密性和组口令仅在该组成员范围内使用(２)．若需要助记词维护秘书的口令，要在初始时提供给他们一个安全的临时口令，并强制其立即改变(３)．提供一个新的，代替的或临时口令之前，要建立验证用户身份的规程(４)．要以安全的方式将临时口令给予用户(５)．临时口令要对个人而言是唯一的不可猜测用(６)．口令不要以未保护的形式存储在计算机系统内(７)．要在系统或在软件安装后改变提供商的默认口令ｉｓｏ／ｉｅｃ２７００１：２００５信息安全管理体系要求:该标准为建立、实施、运行监视、评审和改进信息安全管理体系（ｉｓｍｓ）提供了模型。ｉｓｍｓ建立的总的要求和思路:ｉｓｍｓ建立要基于组织的业务、风险评估结果及相关要求，应形成文件；ISMS中的过程基于PDCA PDCA模型（戴明环）：含义与实施过程（作业）老书P18 PDCA循环螺旋式上升和发展的。老书P22