12. 从系统结构上来看，入侵检测系统可以不包括 A. 数据源 B. 分析引擎 C. 审计 D. 响应 13. 通用入侵检测框架 (CIDF) 模型中，一一一的目的是从整个计算环境中获得事件 ,并向系统的其他部分提供此事件。 A. 事件产生器 B.事件分析器 C. 事件数据库 D.响应单元 14. 基于网络的入侵检测系统的信息源是 A. 系统的审计日志 B. 系统的行为数据 C. 应用程序的事务日志文件 D. 网络中的数据包 15. 误用入侵检测技术的核心问题是一一一的建立以及后期的维护和更新。 A. 异常模型 B. 规则集处理引擎去 C. 网络攻击特征库 D. 审计日志 16. 一一一是在蜜罐技术上逐步发展起来的一个新的概念，在其中可以部署一个或者多个蜜罐，来构成一个黑客诱捕网络体系架构。 A. 蜜网 B. 鸟饵 C.鸟巢 D.玻璃鱼缸 17. 下面关于响应的说法正确的是
A. 主动响应和被动响应是相互对立的，不能同时采用 B. 被动响应是入侵检测系统中的唯一响应方式
C. 入侵检测系统提供的警报方式只能是显示在屏幕上的警告信息或窗口
D. 主动响应的方式可以是自动发送邮件给入侵发起方的系统管理员请求协助以识别问题和处理问题
18. 下面说法错误的是 A. 由于基于主机的入侵检测系统可以监视一个主机上发生的全部事件，它们能够检 测基于网络的入侵检测系统不能检测的攻击 B. 基于主机的入侵检测可以运行在交换网络中
C. 基于主机的入侵检测系统可以检测针对网络中所有主机的网络扫描
D. 基于应用的入侵检测系统比起基于主机的入侵检测系统更容易受到攻击，因为应 用程序日志并不像操作系统审计追踪日志那样被很好地保护 19. 使用漏洞库匹配的扫描方法，能发现 A. 未知的漏洞 B. 已知的漏洞 C. 自行设计的软件中的漏洞 D. 所有漏洞 20. 下面不可能存在于基于网络的漏洞扫描器中。 A. 漏洞数据库模块 B. 扫描引擎模块 C. 当前活功的扫描知识库模块 D. 阻断规则设置模块
21. 网络隔离技术，根据公认的说法，迄今已经发展了个阶段。 A. 六 B. 五 C. 四 D.三 22. 下面关于隔离网闸的说法，正确的是 A. 能够发现已知的数据库漏洞
B. 可以通过协议代理的方法，穿透网闸的安全控制 C. 任何时刻，网闸两端的网络之间不存在物理连接 D. 在 OSI 的二层以上发挥作用
23. 关于网闸的工作原理，下面说法错误的是 A. 切断网络之间的通用协议连接
B. 将数据包进行分解或重组为静态数据 ; 对静态数据进行安全审查，包括网络协议检查和代码扫描等
C. 网闸工作在 OSI 模型的二层以上
D. 任何时刻，网闸两端的网络之间不存在物理连接品
24. 当您收到您认识的人发来的电子邮件并发现其中有意外附件，您应该 A. 打开附件，然后将它保存到硬盘
B. 打开附件，但是如果它有病毒，立即关闭它 C. 用防病毒软件扫描以后再打开附件 D. 直接删除该邮件
25. 下面病毒出现的时间最晚的类型是 A. 携带特洛伊术马的病毒 B. 以网络钓鱼为目的的病毒 C. 通过网络传播的蠕虫病毒 D.OEice 文档携带的宏病毒
26. 某病毒利用 RPCDCOM 缓冲区溢出漏洞选行传播，病毒运行后，在 %System% 文件 夹下生成自身的拷贝 nvcl 呻牛 .exe, 添加注册表项，使得自身能够在系统启动时自动运行。通 过以上描述可以判断这种病毒的类型为 O S A. 文件型病毒 B. 宏病毒
C. 网络蠕虫病毒 D. 特洛伊木马病毒 27. 采用 \进程注入 \可以 A. 隐藏进程 B. 隐藏网络端口 C. 以其他程序的名义连接网络 D. 以上都正确 28. 下列关于启发式病毒扫描技术的描述中错误的是
A. 启发式病毒扫描技术是基于人工智能领域的启发式搜索技术 B. 启发式病毒扫描技术不依赖于特征代码来识别计算机病毒 C. 启发式病毒扫描技术不会产生误报，但可能会产生漏报
D. 启发式病毒扫描技术能够发现一些应用了已有机制或行为方式的病毒 29. 不能防止计算飞机感染病毒的措施是 u A. 定时备份重要文件 B. 经常更新操作系统
C. 除非确切知道附件内容，否则不要打开电子邮件附件 D. 重要部门的计算机尽量专机专用与外界隔绝
30. 企业在选择防病毒产品时不应该考虑的指标为 I A. 产品能够从一个中央位置进行远程安装、升级 ' B. 产品的误报、漏报率较低 C. 产品提供详细的病毒活动记录
D. 产品能够防止企业机密信息通过邮件被传出 三、多选题
1. 防火墙通常阻止的数据包包括 A. 来自未授权的源地址且目的地址为防火墙地址的所有入站数据包 { 除 Email 传递等特殊用处的端口外 )
B. 源地址是内部网络地址的所有人站数据包 C. 所有 ICMP 类型的入站数据包如
D. 来自未授权的源地址，包含 SNMP 的所有入站数据包 E. 包含源路由的所有入站和出站数据包 2. 目前市场上主流防火墙提供的功能包括 A. 数据包状态检测过滤 B. 应用代理 C.NAT D.VPN E. 日志分析和流量统计分析
3. 防火墙的局限性包括
A. 防火墙不能防御绕过了它的攻击 B. 防火墙不能消除来自内部的威胁 C. 防火墙不能对用户进行强身份认证
D. 防火墙不能阻止病毒感染过的程序和文件迸出网络 4. 防火墙的性能的评价方面包括 A. 并发会话数 B. 吞吐量 C. 延时 D. 平均无故障时间
5. 下面关于防火墙的维护和策略制定说法正确的是
A. 所有防火墙管理功能应该发生在使用了强认证和加密的安全链路上
B.Web 界面可以通过 SSL 加密用户名和密码。非 Web 的图形界面如果既没有内部加 密，也没有 SSL, 可以使用隧道解决方案，如 SSH C. 对防火墙策略进行验证的最简单的方法是，获得防火墙配置的拷贝，然后把这些 拷贝和根据已定义的策略产生的期望配置进行比较 D. 对防火墙策略进行验证的另一种方式通过使用软件对防火墙配置进行实际测试 E. 渗墙分析可以取代传统的审计程序 6. 蜜罐技术的主要优点有一一一 A. 蜜罐技术属于被动响应，使用者没有成为刑事诉讼或民事诉讼对象的危险 B. 收集数据的真实性，蜜罐不提供任何实际的业务服务，所以搜集到的信息很大可 能性都是由于黑客攻击造成的，漏报率和误报率都比较低 c. 可以收集新的攻击工具和攻击方法，不像目前的大部分防火墙和入授检测系统只 能根据特征匹配方法来检测已知的攻击 D. 不需要强大的资金投入，可以用一些低成本的设备 E. 可以及时地阻断网络入侵行为
7. 通用入侵检测框架 (CIDF) 模型的组件包括 A. 事件产生器 B. 活动轮廓 C. 事件分析器 D. 事件数据库 E. 响应单元 8. 主动响应，是指基于一个检测到的入侵所采取的措施。对于主动响应来说，其选择 的措施可以归入的类别有 A. 针对入侵者采取措施 B. 修正系统 C. 收集更详细的信息 D. 入侵追踪
9. 随着交换机的大量使用，基于网络的入侵检测系统面临着无法接收数据的问题。由 于交换机不支持共享媒质的模式，传统的采用一个嗅探器 (snibr) 来监听整个子网的办法 不再可行。可选择解决的办法有
A. 不需要修改，交换网络和以前共享媒质模式的网络没有任何区别 B. 使用交换机的核心芯片上的一个调试的端口
C. 把入侵检测系统放在交换机内部或防火墙等数据流的关键入口、出口处 D. 采用分接器 (tap)
E. 使用以透明网桥模式接入的入侵检测系统 10. 入侵防御技术面临的挑战主要包括一一一
A. 不能对入侵活动和攻击性网络通信进行拦截 B.单点故障 C. 性能 \瓶颈 \ D.误报和漏报 11. 网络安全扫描能够一一一。
A. 发现目标主机或网络 B.判断操作系统类型 C. 确认开放的端口 D.识别网络和拓扑结构 E. 测试系统是否存在安全漏洞
12. 主机型漏洞扫描器可能具备的功能有一一一。
A. 重要资料锁定 : 利用安全的校验和机制来监控重要的主机资料或程序的完整性 B. 弱口令检查 : 采用结合系统信息、字典和词汇组合等的规则来检查弱口令
C. 系统日志和文本文件分析 : 针对系统日志档案，如 UNIX 的 syslogs 及 NT 的事件 日志 (Event Log), 以及其他文本文件的内容做分析 D. 动态报警 : 当遇到违反扫描策略或发现已知安全漏洞时，提供及时的告警。告警 可以采取多种方式，可以是声音、弹出窗口、电子邮件甚至手机短信等 E. 分析报告 : 产生分析报告，并告诉管理员如何弥补漏洞 13. 下面对于 x-scan 扫描器的说法，正确的有一一 -O A. 可以进行端目扫描 B. 含有攻击模块，可以针对识别到的漏洞自动发起攻击
C. 对于一些已知的 CGI 和 RPC 漏洞 ,x-scan 给出了相应的漏洞描述以及已有的通过此漏洞进行攻击的工具 D. 需要网络中每个主机的管理员权限也 E. 可以多线程扫描
14. 下面软件产品中，一一一是漏洞扫描器。
A.X-scan B.nmap C.Internet Scanner D.norton AntiVirus E.Snort 15. 隔离网闸的三个组成部分是一一一。 A. 漏洞扫描单元 B.入侵检测单元 C. 内网处理单元 D.外网处理单元 E. 专用隔离硬件交换单元 16. 网闸可能应用在一一一 -
A. 涉密网与非涉密网之间 B.办公网与业务网之间 C. 电子政务的内网与专网之间 D.业务网与互联网之间 E. 局域网与互联网之间
17. 下面不是网络端口扫描技术的是 A. 全连接扫描 B.半连接扫描 C. 插件扫描 D.特征匹配扫描 E. 源码扫描 18. 按照 2000 年 3 月公布的《计算机病毒防治管理办法》对计算机病毒的定义，下列属于计算机病毒的有 A. 某 Word 文档携带的宏代码，当打开此文档时宏代码会搜索并感染计算机上所有 的 Word 文档 B. 某用户收到来自朋友的一封电子邮件，当打开邮件附件时，邮件附件将自身发送 给该用户地址簿中前五个邮件地址 C. 某员工在公司内部使用的系统中加入一个逻辑炸弹，如果该员工在一年内被解雇 则逻辑炸弹就会破坏系统 D. 黑客人侵了某服务器，并在其上安装了一个后门程序 E. 某 QQ 用户打开了朋友发送来的一个链接后，发现每次有好友上线 QQ 都会自动 发送一个携带该链接的消息 19. 病毒传播的途径有
A. 移动硬盘 B. 内存条 C. 电子邮件 D. 聊天程序 E 网络浏览
20. 可能和计算机病毒有关的现象有 A. 可执行文件大小改变了
B. 在向写保护的 U 盘复制文件时屏幕上出现 U 盘写保护的提示 C. 系统频繁死机
D. 内存中有来历不明的进程 E. 计算机主板损坏 四、问答题
1. 简述防火墙策略的创建步骤。
2. 简述内部网络、外部网络和 DMZ 之间的关系。 3. 简述防火墙环境构建准则。
4. 入侵检测技术可分为哪两类 ? 各自的优缺点分别是什么 ?
5. 基于网络的入侵检测系统在网络中的部署位置有哪些 ? 各自的优点是什么 ? 6. 简述 IDS 和 IPS 的关系。
7. 简述基于网络的漏洞扫描器原理。
8. 简述基于网络的漏洞扫描器的不足之处。 9. 简述网络隔离技术原理。 10. 计算机病毒有哪些特征 ?
11. 简述文件型病毒和网络蠕虫病毒的区别。 271
12. 请比较计算机病毒扫描技术中的特征代码技术和校验和技术。 第七章 应用安全 一、判断题 1. 基于规则的方法就是在邮件标题和邮件内容中寻找特定的模式，其优点是规则可以共享，因此它的推广性很强。√
2. 反向查询方法可以让接收邮件的互联网服务商确认邮件发送者是否就是如其所言的
真实地址。√
3.SenderID 可以判断出电子邮件的确切来源￠因此，可以降低垃圾邮件以及域名欺骗
等行为发生的可能。√
4.DKIM(Domainkeys Identified Mail) 技术以和 Domainkeys 相同的方式用 DNS 发布
的 公开密钥验证签名，并且利用思科的标题签名技术确保一致 J 性。√
5. 运行防病毒软件可以帮助防止遭受网页仿冒欺诈。√
6. 由于网络钓鱼通常利用垃圾邮件进行传播，因此，各种反垃圾邮件的技术也都可以
用来反网络钓鱼。√