高级软件人才培训专家-CISP-4练习题四卷

### 高级软件人才培训专家-CISP-4练习题四卷知识点详解 #### 1. Windows 系统管理权限 **知识点**: 在 Windows 系统中，管理权限最高的组是 **administrator** 组。 - **解析**: 在 Windows 操作系统中，**administrator** 组拥有最高级别的权限，能够执行几乎所有的系统管理任务。这意味着该组成员可以进行系统配置更改、安装软件、修改安全策略等操作。相比之下，其他组如 **Everyone**、**PowerUsers** 和 **Users** 等具有较低级别的权限。 #### 2. Kerckhoffs 准则 **知识点**: Kerckhoffs 准则指出密码系统的安全性应该基于密钥而非算法的秘密性。 - **解析**: Kerckhoffs 准则强调，即使密码算法被广泛知晓，只要密钥保持秘密，密码系统仍然是安全的。这意味着： - **选项 C**: “在一个密码系统中，密码算法是可以公开的，密钥应保证安全” 正确。 - **解释**: 密码算法的公开能够让更多的安全专家对其进行审查，从而发现潜在的漏洞，提高整体的安全性。 #### 3. Windows XP 日志文件 **知识点**: 在 Windows XP 中，可以通过事件查看器查看四种主要的日志文件。 - **解析**: 这些日志文件包括： - **应用程序日志**: 记录应用程序的错误和警告信息。 - **安全性日志**: 记录与系统安全相关的事件，例如登录尝试。 - **系统日志**: 记录操作系统本身的错误和警告。 - **IE 日志**: 记录 Internet Explorer 浏览器的活动情况。 #### 4. 操作系统安全基础 **知识点**: 操作系统安全的基础在于安全安装、安全配置和安全管理三个方面。 - **解析**: 操作系统安全涉及多个层面： - **安全安装**: 包括选择安全的安装选项、更新最新的安全补丁等。 - **安全配置**: 如关闭不必要的服务、限制用户的权限等。 - **安全管理**: 包括定期审计系统状态、监控异常活动等。 #### 5. 数字签名 **知识点**: 信息发送者使用自己的私钥进行数字签名。 - **解析**: 在数字签名的过程中，发送者使用自己的私钥对消息进行加密，接收者则使用发送者的公钥来验证签名的真实性。这确保了消息的完整性和来源的真实性。 #### 6. MAC 与散列函数的区别 **知识点**: MAC 和散列函数虽然都有消息验证的功能，但它们之间存在显著差异。 - **解析**: - **MAC** (消息认证码) 需要密钥参与运算，输出长度不固定。 - **散列函数** 的输出长度是固定的，并且不需要密钥。 - **选项 C**: “MAC 和散列函数都不需要密钥” 是错误的，因为 MAC 需要密钥。 #### 7. 密码复杂度 **知识点**: 随机生成的字母组合是最难记忆的密码类型。 - **解析**: 与其他几种方法（如基于生日或配偶名字的密码）相比，完全随机生成的字母组合由于缺乏任何逻辑或意义，因此记忆起来更加困难。 #### 8. HTTPS 与 HTTP 的对比 **知识点**: HTTPS 相对于 HTTP 的优势在于其提供了数据加密功能，提高了通信的安全性。 - **解析**: HTTPS 通过 SSL/TLS 协议对传输的数据进行加密，防止中间人攻击或数据监听等安全威胁。此外，HTTPS 使用的是 443 端口，而 HTTP 使用的是 80 端口。 #### 9. 信息系统安全保障方案设计 **知识点**: 设计信息系统安全保障方案时，不应盲目采用最新技术。 - **解析**: 安全领域倾向于使用经过时间考验和广泛验证的技术方案，而不是追求最新技术。这是因为新技术可能存在未被发现的安全漏洞。 #### 10. Windows 文件系统权限管理 **知识点**: Windows 文件系统的权限管理通过 ACL 实现，但这些权限信息并非存储在用户数据库中。 - **解析**: 在 Windows 中，文件和文件夹的权限信息实际上存储在文件或文件夹的元数据中，而非用户数据库中。这意味着每当你创建一个新文件或文件夹时，都可以独立地为其分配权限。 #### 11. 我国信息安全保障基本原则 **知识点**: 在制定我国信息安全保障政策时，首先应遵循国家标准。 - **解析**: 尽管国际标准和技术经验值得借鉴，但在具体实践中应优先考虑符合我国国情和法律法规的要求。 #### 12. 信息安全风险评估形式 **知识点**: 在信息安全风险评估中，检查评估不同于自评估。 - **解析**: 检查评估通常由第三方机构或监管机构执行，以确保评估结果的客观性和准确性。而自评估则是组织内部自行完成的风险评估过程。