3.4 练习题解析

试题1分析

路由器是一种典型的网络层设备。它在两个局域网之间按帧的方式传输数据，在OSI/RM（开放系统互连参考模型，Open System Interconnection/Reference Model）中被称为中介系统，完成网络层的帧中继或者叫做第3层中继的任务。路由器负责在两个局域网的网络层间按帧格式的方式传输数据，转发帧时需要改变帧中继的地址。

路由器用于连接多个逻辑上分开的网络。所谓逻辑网络代表一个单独的网络或者一个子网。当数据从一个子网传输到另一个子网时，可通过路由器来实现。可见，路由器具有判断网络地址和选择路径的功能，它能在多网络互连环境中建立灵活有效的连接，可完成用不同的数据分组和介质访问方法去连接各种子网。路由器只接受本地路由器或其他路由器的信息，属于网络层的一种互联设备。它不关心各子网使用的硬件设备，但要求运行与网络层协议相一致的软件。

路由器分本地路由器和远程路由器。本地路由器是用来连接网络传输介质的，如光纤、同轴电缆、双绞线；远程路由器是用来连接远程传输介质的，并要求相应的设备，如电话线要配调制解调器，无线要通过无线接收机、发射机。一般说来，异种网络互联与多个子网互联都应采用路由器来完成。

路由器的主要工作就是为经过路由器的每个数据帧寻找一条最佳传输路径，并将该数据帧有效地传送到目的站点。由此可见，选择最佳路径的策略即路内算法是路由器的关键所在。为了完成这项工作，在路由器中保存着各种传输路径的相关数据--路由表（Routing Table），供路由选择时使用。路由表中保存着各子网的标志信息、网上路由器的个数和下一个路由器的名字等内容。路由表可以是由系统管理员固定设置好的，也可以由系统动态修改，可以由路由器自动调整，也可以由主机控制。

在一个局域网中，MAC地址是彼此可见的，如果一个主机发送广播帧，就会扩散到整个网络，这种现象被称为广播风暴。路由器根据第3层地址转发分组，各个子网之间不再有广播帧传送，隔离了广播风暴，节约了网络带宽。但是在子网内部仍然有广播帧传送，同时由于路由器还要传送IP广播分组，所以说网络中不再有广播通信是不对的。另外，由于一般存储-转发路由器的效率很低，使得传输延迟增大，已经成为网络通信的瓶颈，所以选项B和D也是错误的。

试题1答案

（1）C

试题2分析

VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。

VLAN在交换机上的实现方法，可以大致划分为4类。

（1）基于端口划分的VLAN.这种划分VLAN的方法是根据以太网交换机的端口来划分，比如，Quidway S3526的1~4端口为VLAN 10,5~17为VLAN 20,18~24为VLAN 30,当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机1的1~6端口和交换机2的1~4端口为同一VLAN,即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最广泛的方法，IEEE 802.1Q规定了依据以太网交换机的端口来划分VLAN的国际标准。这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义一下就可以了。它的缺点是如果VLAN的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。

（2）基于MAC地址划分VLAN.这种划分VLAN的方法是根据每个主机的MAC地址来划分的，即对每个MAC地址的主机都配置它属于哪个组。由于这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN,这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。

（3）基于网络层划分VLAN.这种划分VLAN的方法是根据每个主机的网络层地址或协议类型（如果支持多协议）划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的IP地址，但由于不是路由，所以，没有RIP,OSPF等路由协议，而是根据生成树算法进行桥交换。这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN,而且可以根据协议类型来划分VLAN,这对网络管理者来说很重要，另外，这种方法不需要附加的帧标签来识别VLAN,这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的（相对于前面两种方法），一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。

（4）根据IP组播划分VLAN.IP组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN,这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。

另外，VLAN还可以基于策略划分、按用户定义划分。

试题2答案

（2）C

试题3分析

典型的距离矢量路由协议有RIP.而RIP使用三种方法来避免计值到无穷循环问题，分别是水平分裂法、带抑制逆转位的分割水平线和触发更新。

水平分裂法是指在距离矢量路由协议中，从一个端口进来的路由信息不再向该端口通告出去，目的是为了防止出现路由循环。

生成树协议用于防止链路循环的，而非用来防止路由循环。链路状态公告用来交换各自的链路状态信息，一般用于OSPF中。

最短通路优先算法用于计算拓扑，而非防止路由循环。

试题3答案

（3）C

试题4分析

OSI/RM最初是用来作为开发网络通信协议族的一个工业参考标准，作为各个层上使用的协议国际标准化的第一步而发展来的。严格遵守OSI参考模型，不同的网络技术之间可以轻而易举地实现互操作。整个OSI/RM模型共分7层，从下往上分别是：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。当接收数据时，数据是自下而上传输；当发送数据时，数据是自上而下传输。

在网络数据通信的过程中，每一层要完成特定的任务。当传输数据的时候，每一层接收上一层格式化后的数据，对数据进行操作，然后把它传给下一层。当接收数据的时候，每一层接收下一层传过来的数据，对数据进行解包，然后把它传给上一层。从而实现对等层之间的逻辑通信。OSI参考模型并未确切描述用于各层的协议和服务，它仅仅告诉我们每一层该做些什么。

试题4答案

（4）C

试题5分析

由于数据压缩属于数据表示的范畴，所以应归入表示层。

试题5答案

（5）B

试题6分析

根据试题1的分析，我们知道，路由器工作于网络层。下面，我们把试题中涉及到的其他设备进行简单的介绍。

调制解调器工作于物理层，它的主要作用是信号变换，即把模拟信号变换成数字信号，或把数字信号变换成模拟信号。

以太网交换机工作于数据链路层，根据以太帧中的地址转发数据帧。交换机按每一个包中的MAC地址相对简单地决策信息转发。而这种转发决策一般不考虑包中隐藏的更深的其他信息。交换技术允许共享型和专用型的局域网段进行带宽调整，以缓解局域网之间信息流通出现的瓶颈问题。现在已有以太网、快速以太网、FDDI和ATM技术的交换产品。

集线器也是工作于数据链路层，它收集多个端口来的数据帧并广播出去。集线器也具有中继器的功能，区别在于集线器能够提供多端口服务，故也称为多口中继器。局域网集线器通常分为5种不同的类型。

（1）单中继器网段集线器。单中继器网段集线器是一种简单的中继LAN网段，典型例子是叠加式以太网集线器或令牌环网多站访问部件。

（2）多网段集线器。多网段集线器是从单中继器网段集线器直接派生出来的，采用集线器背板，带有多个中继网段。多网段集线器通常有多个接口卡槽位。然而一些非模块化叠加式集线器现在也支持多个中继网段。多网段集线器的主要优点是可以分载用户的信息流量。网段之间的信息流量一般要求独立的网桥或路由器。

（3）端口交换式集线器。端口交换式集线器是在多网段集线器的基础上发展而来的，它将用户端口和背板网段之间的连接自动化，并增加了端口矩阵交换机（PSM）。PSM提供一种自动工具，用于将外来用户端口连接到集线器背板上的中继网段上。矩阵交换机是一种电缆交换机，它不能自动操作，要求用户介入。它也不能代替网桥或路由器，不提供不同LAN网段之间的连接。其主要优点是实现移动、增加和修改自动化。

（4）网络互连集线器。端口交换式集线器注重端口交换，而网络互连集线器在背板的多个网段之间提供一些类型的集成连接。这可以通过一台综合网桥、路由器或LAN交换机来完成。目前，这类集线器通常都采用机箱形式。

（5）交换式集线器。目前，集线器和交换机之间的界限已变得越来越模糊。交换式集线器有一个核心交换式背板，采用一个纯粹的交换系统代替传统的共享介质中继网段。

试题6答案

（6）D

试题7分析

随着计算机技术的不断发展，10Mb/s的网络传输速度实在无法满足日益增大的需求，人们就开始寻求更高的网络传输速度。但是由于802.3已被广泛应用于实际中去，为了能够在它的基础上进行轻松升级，802.3u充分考虑到了向下兼容性：它采用了非屏蔽双绞线（或屏蔽双绞线、光纤）作为传输媒介，采用与802.3一样的介质访问控制层--CSMA/CD.802.3u常被称为快速以太网。

根据实现的介质不同，快速以太网可以分为100Base-TX、100Base-FX和100Base-T4,它们的有关参数如表3-5所示。

表3-5 IEEE 802.3u规范一览表

试题7答案

（7）B

试题8~9分析

WWW服务提供了浏览网络新闻、下载软件、网上购物、聊天、在线学习等服务，FTP是文件传输服务，BBS是电子公告板（论坛）的缩写。

Telnet是进行远程登录的标准协议和主要方式，它为用户提供了在本地计算机上完成远程主机工作的能力，通过它可以访问所有的数据库、联机游戏、对话服务，以及电子公告牌，如同与被访问的计算机在同一房间中工作一样，但只能进行些字符类操作和会话。在远程计算机上登录，必须事先成为该计算机系统的合法用户并拥有相应的账号和口令。登录时要给出远程计算机的域名或IP地址，并按照系统提示，输入用户名及口令。登录成功后，用户便可以实时使用该系统对外开放的功能和资源。在UNIX系统中，要建立一个到远程主机的对话，只需在系统提示符下输入命令：Telnet远程主机名，用户就会看到远程主机的欢迎信息或登录标志。在Windows系统中，用户将以具有图形界面的Telnet客户端程序与远程主机建立Telnet连接。

远程登录服务的工作原理如下：当用Telnet登录进入远程计算机系统时，事实上启动了两个程序，一个叫Telnet客户程序，它运行在本地计算机上，另一个叫Telnet服务器程序，它运行在要登录的远程计算机上。本地计算机上的客户程序要完成建立与服务器的TCP连接，从键盘上接收用户输入的字符并把输入的字符串变成标准格式送给远程服务器，然后从远程服务器接收输出的信息并把该信息显示在用户的屏幕上。远程计算机的"服务"程序，在接到请求后，等候用户输入命令。当接收到用户的命令后对命令做出反应（如显示目录内容，或执行某个程序等）并把执行命令的结果送回给用户的计算机。

FTP是Internet传统的服务之一，是用于从一台主机到另一台主机传输文件的协议。起初，FTP并不是应用于IP网络上的协议，而是用于ARPANET网络中计算机间的文件传输协议。在那时，FTP的主要功能是在主机间高速可靠地传输文件。目前FTP仍然保持其可靠性，即使在今天，它还允许文件远程存取。这使得用户可以在某个系统上工作，而将文件存储在别的系统中。例如，如果某用户运行Web服务器，需要从远程主机上取得HTML文件和CGI程序在本机上工作，他需要从远程存储站点获取文件（远程站点也需安装Web服务器）。当用户完成工作后，可使用FTP将文件传回到Web服务器。采用这种方法，用户无需使用Telnet登录到远程主机进行工作，这样就使Web服务器的更新工作变得如此地轻松。FTP的主要功能包括：浏览Internet上其他远程主机的文件系统；在Internet上的主机之间进行文件传输；使用FTP提供的内部使命可以实现一些特殊功能，例如，改变文件传输模式、实现多文件传输。

Internet通信软件要求在发送和接收数据报时必须使用数字表示的IP地址。因此，一个应用程序在与用字母表示名字的计算机上的应用程序通信之前，必须将名字翻译成IP地址。Internet提供了一种自动将名字翻译成IP地址的服务。这就是域名系统的主要功能。

域名系统与IP地址有映射关系，它也实行层次型管理。在访问一台计算机时，既可用IP地址表示，也可用域名表示。Internet上有很多负责将主机地址转为IP地址的服务系统--域名服务器（Domain Name System,DNS），这个服务系统会自动将域名翻译为IP地址。

一般情况下，一个域名对应一个IP地址，但并不是每个IP地址都有一个域名和它对应，网络上有些计算机只有IP地址，而没有域名。还有一个IP地址对应几个域名的情况。

对于用户来说，使用域名比直接使用IP地址方便多了，但对于Internet内部数据传输来说，使用的还是IP地址。域名到IP地址的转换就要用DNS来解决。

每个组织都有一个域名服务器，在其上面存有该组织所有上网计算机的名字及其对应的IP地址。当某个应用程序需要将一个计算机名字翻译成IP地址时，这个应用程序就与域名服务器建立连接，将计算机名字发送给域名服务器，域名服务器检索并把正确的IP地址送回给应用程序。当然，计算机名字和相应的IP地址的检索都是自动的。

DNS实际上是一个服务器软件，运行在指定的计算机上，完成域名-IP地址的转换。它把网络中的主机按树形结构分成域和子域，子域名或主机名在上级域名结构中必须是。每一个子域都有域名服务器，它管理着本域的域名转换，各级服务器构成一棵树。这样，当用户使用域名时，应用程序先向本地域名服务器请求，本地服务器先查找自己的域名库，如果找到该域名，则返回IP地址；如果未找到，则分析域名，然后向相关的上级域名服务器发出申请；这样传递下去，直至有一个域名服务器找到该域名，返回IP地址。如果没有域名服务器能识别该域名，则认为该域名不可知。

充分利用机器的高速缓存，暂存解析后的IP地址，可以提高DNS的查询效率；用户有时会连续访问相同的因特网地址，DNS在第一次解析该地址后，将其存放在高速缓存中，当用户再次请求时，DNS可直接从缓存中获得IP地址。

试题8~9答案

（8）D（9）A

试题10分析

TCP/IP是一个协议族，它包含了多种协议。TCP/IP采用了4层的层级结构，每一层都呼叫它的下一层所提供的服务来完成自己的需求，从最低层到较高层分别为网络接口层、互联网络层、传输层和应用层。TCP和UDP都是传输层协议，它们都使用了互联网络层的IP协议提供的服务。

TCP协议是一个可靠的面向连接的传输层协议，它将某结点的数据以字节流形式无差错投递到互联网的任何一台机器上。发送方的TCP将用户交来的字节流划分成独立的提出报文并交给互联网络层进行发送，而接收方的TCP将接收的报文重新装配交给接收用户。TCP同时处理有关流量控制的问题，以防止快速地发送方淹没慢速的接收方。

用户数据包协议UDP是一个不可靠的、无连接的传输层协议，UDP协议将可靠性问题交给应用层的应用程序来解决。UDP协议主要面向请求/应答式的交易应用，一次交易往往只有一来一回两次报文交换。另外，UDP协议也应用于那些对可靠性要求不高，但要求网络的延迟较小的场合，如话音和视频数据的传输。

试题10答案

（10）C

试题11分析

NetBEUI是一种传输层协议，不是网络接入技术。

试题11答案

（11）C

试题12分析

中继器工作在物理层，用于把网络中的设备物理连接起来。

网桥工作在数据链路层，网桥能连接不同的传输介质的网络，采用不同高层协议的网络不能通过网桥相互通信。

路由器工作在网络层，是用于选择数据传输路径的网络设备。

以上三者都不能实现不同协议的网络互联。

网关是互联两个协议差别很大的网络时使用的设备，网关可以对两个不同的网络进行协议的转换，主要用于连接网络层之上执行不同协议的网络。

试题12答案

（12）C

试题13分析

iSCSI（internet SCSI）是IETF制定的一项标准，用于将SCSI数据块映射成以太网数据包。iSCSI使用以太网技术来构建IP存储局域网。它克服了直接连接存储的局限性，可以共享不同服务器的存储资源，并可在不停机状态下扩充存储容量。iSCSI使用TCP/IP协议。

SAN（Storage Area Network）存储区域网络是一个由存储设备和系统部件构成的网络，所有的通信都在一个与应用网络相对独立的网络上完成，可以被用来集中和共享存储资源，目前主要使用于以太网和光纤通道两类环境中。SAN主要包括FC SAN和IP SAN两种，FC SAN使用数据传输协议中的Fiber Channel（FC）。IP SAN使用TCP/IP协议。

试题13答案

（13）B

试题14分析

IEEE 802.11b运作模式基本分为两种：点对点模式（Ad Hoc）和基本模式（Infrastructure）。点对点模式是指无线网卡和无线网卡之间的通信方式。基本模式是指无线网络规模扩充或无线和有线网络并存时的通信方式，这是IEEE 802.11b最常用的方式。

IEEE 802.11在物理层定义了数据传输的信号特征和调制方法，定义了两个扩频（RF）传输方法和一个红外线传输方法。RF传输标准是直接序列扩频（DSSS）和跳频扩频（FHSS），工作在2.4000 GHz~2.4835 GHz范围内。

基本服务群（BSS）是无线局域网的基本单元，它的功能包括分布式协调功能（DCF）和点协调功能（PCF）。DCF是802.11MAC协议的基本媒体访问方法，作用于基本服务群和基本网络结构中，可在所有站实现，它支持竞争型异步业务。DCF是一种竞争式共享信道技术，PCF则是以协调点轮询的方式共享信道。

试题14答案

（14）C

试题15分析

路由协议作为TCP/IP协议族中的重要成员之一，其选路过程实现的好坏会影响整个Internet效率。按应用范围的不同，路由协议可分为两类：在一个AS（Autonomous System,自治系统，指有权自主地决定在本系统中应采用何种路由选择协议的网络）内的路由协议称为内部网关协议（Interior Gateway Protocol,IGP），AS之间的路由协议称为外部网关协议（Exterior Gateway Protocol,EGP）。

试题15答案

（15）D

试题16分析

层次式网络设计在互联网组件的通信中引入了3个关键层的概念，分别是核心层、汇聚层和接入层。

核心层为网络提供了骨干组件或高速交换组件，在纯粹的分层设计中，核心层只完成数据交换的特殊任务。

汇聚层是核心层和终端用户接入层的分界面，汇聚层完成了网络访问策略控制、数据包处理、过滤、寻址，以及其他数据处理的任务。

接入层向本地网段提供用户接入。

试题16答案

（16）C

试题17分析

建设城域网的目的是要满足几十公里范围内的大量企业、机关、公司的多个局域网互联的需求。

试题17答案

（17）B

试题18分析

先进性、开放性、经济性、高可用性这些原则，都是在进行网络设计时需要考虑的。根据金融业务系统的特点，在进行网络设计时，应该优先考虑高可用性原则。

试题18答案

（18）D

试题19分析

交换机也称为交换器。一台具有基本功能的以太网交换机的工作原理相当于一个具有很多个端口的多端口网桥，即是一种在LAN中互连多个网段，并可进行数据链路层和物理层协议转换的网络互联设备。当一个以太网的信息帧到达交换机的一个端口时，交换机根据在该帧内的目的地址，采用快速技术把该帧迅速地转发到另一个相应的端口（相应的主机或网段）。目前在以太网交换机中最常用的高速切换技术有直通式和存储转发式两类。交换机可以分位二层交换机、三层交换机和多层交换机。二层交换机工作在数据链路层，起到多端口网桥的作用，主要用于局域网互连；三层交换机工作在网络层，相当于带路由功能的二层交换机；多层交换机工作在高层（传输层以上），这是带协议转换的交换机。

试题19答案

（19）C

试题20分析

FTP是网络上两台计算机传送文件的协议，是通过Internet把文件从客户机复制到服务器上的一种途径。

TFTP是用来在客户机与服务器之间进行简单文件传输的协议，提供不复杂、开销不大的文件传输服务。 TFTP协议设计的时候是进行小文件传输的。因此它不具备通常的FTP的许多功能，它只能从文件服务器上获得或写入文件，不能列出目录，不进行认证，它传输8位数据。

试题20答案

（20）C

试题21分析

TCP/IP不是一个简单的协议，而是一组小的、专业化协议。TCP/IP最大的优势之一是其可路由性，也就意味着它可以携带被路由器解释的网络编址信息。TCP/IP还具有灵活性，可在多个网络操作系统或网络介质的联合系统中运行。然而由于它的灵活性，TCP/IP需要更多的配置。TCP/IP协议族可被大致分为应用层、传输层、网际层和网络接口层四层。在试题给出的4个选项中的协议都是网际层协议。

ARP（Address Resolution Protocol,地址解析协议）用于动态地完成IP地址向物理地址的转换。物理地址通常是指主机的网卡地址（MAC地址），每一网卡都有惟一的地址。

RARP（Reverse address resolution protocol,反向地址解析协议）用于动态完成物理地址向IP地址的转换。

ICMP（Internet Control Message Protocol,网际控制报文协议）是一个专门用于发送差错报文的协议，由于IP协议是一种尽力传送的通信协议，即传送的数据可能丢失、重复、延迟或乱序传递，所以IP协议需要一种避免差错并在发生差错时报告的机制。

IGMP（Internet Group Management Protocol,网际组管理协议）允许Internet主机参加多播，也即是IP主机用作向相邻多目路由器报告多目组成员的协议。多目路由器是支持组播的路由器，向本地网络发送IGMP查询。主机通过发送IGMP报告来应答查询。组播路由器负责将组播包转发到所有网络中组播成员。

试题21答案

（21）B

试题22~26分析

通常将网络中直接面向用户连接或访问网络的部分称为接入层，将位于接入层和核心层之间的部分称为分布层或汇聚层。接入层的目的是允许终端用户连接到网络，因此接入层交换机具有低成本和高端口密度特性；汇聚层交换层是多台接入层交换机的汇聚点，它必须能够处理来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚层交换机与接入层交换机比较，需要更高的性能，更少的接口和更高的交换速率。而将网络主干部分称为核心层，核心层的主要目的在于通过高速转发通信，提供优化、可靠的骨干传输结构，因此核心层交换机应拥有更高的可靠性，性能和吞吐量。

因为Web服务器是通过Internet供公众访问的，所以，它应该放在防火墙后面，即部署在位置①。流量监控服务器用来监视整个网络的流量情况，根据流量来更好地管理服务器，所以应部署在位置②。

因为VOD是视频点播，从用户端流入的只是简单的指令数据，而流出的是以G单位的视频数据，所以VOD服务器的流出流量是最大的。同样，Web服务器的流入也只是一些请求命令和交互命令数据。邮件服务器流入的是是邮件数据，就单个单位而言，这个流量也比较小。流量监控服务器即要监控流入流量，也要监控流出流量，所以，它的流入流量是最大的。

试题22~26答案

（22）C（23）A（24）B（25）A（26）C

试题27分析

《电子计算机机房设计规范（GB50174-1993）》对于接地方面的规定如下：

电子计算机机房接地装置的设置应满足人身的安全及电子计算机正常运行和系统设备的安全要求。电子计算机机房应采用下列四种接地方式：

（1）交流工作接地：该接地系统把交流电源的地线与电动机、发电机等交流电动设备的接地点连接在一起，然后，再将它们与大地相连接。交流电接地电阻要求小于4Ω。

（2）安全工作接地：为了屏蔽外界的干扰、漏电以及电火花等，所有计算机网络设备的机箱、机柜、机壳、面板等都需接地，该接地系统称为安全地。安全地接地电阻要求小于4Ω。

（3）直流工作接地：这种接地系统事将电源的输出零电位端与地网连接在一起，使其成为稳定的零电位。要求地线与大地直接相通，并具有很小的接地电阻。直流电接地电阻要求小于1Ω。

（4）防雷接地，执行标准《建筑防雷设计规范》。

交流工作接地、安全工作接地、直流工作接地都必须单独与大地连接，互相的间距不能小于15m.地线也不要与其他电力系统的传输线绕在一起并行走线，以防电力线上的电磁信号干扰地线。

交流工作接地、安全保护接地、直流工作接地、防防雷接地等四种接地宜共用一组接地装置，其接地电阻按其中最小值确定；若防雷接地单独设置接地装置时，其余三种接地宜共用一组接地装置，其接地电阻不应大于其中最小值，并应按现行国标准《建筑防雷设计规范》要求采取防止反击措施。

对直流工作接地有特殊要求需单独设置接地装置的电子计算机系统，其接地电阻值及与其它接地装置的接地体之间的距离，应按计算机系统及有关规定的要求确定。

电子计算机系统的接地应采取单点接地并宜采取等电位措施。当多个电子计算机系统共用一组接地装置时，宜将各电子计算机系统分别采用接地线与接地体连接。

试题27答案

（27）C

试题28分析

显然，UDDI（通用发现、描述和集成）不属于网络接入技术，它是Web Service中的一个协议。

试题28答案

（28）C

试题29~30分析

这里指明了"在传输层对数据进行加密",因此，应该选择SSL协议。

SSL（Security Socket Layer）协议是Netscape Communication开发的传输层安全协议，用于在Internet上传送机密文件。SSL协议由SSL记录协议、SSL握手协议和SSL警报协议组成。

SSL握手协议被用来在客户机与服务器真正传输应用层数据之前建立安全机制，当客户机与服务器第一次通信时，双方通过握手协议在版本号、密钥交换算法、数据加密算法和Hash算法上达成一致，然后互相验证对方身份，最后使用协商好的密钥交换算法产生一个只有双方知道的秘密信息，客户机和服务器各自根据该秘密信息产生数据加密算法和Hash算法参数。

SSL记录协议根据SSL握手协议协商的参数，对应用层送来的数据进行加密、压缩、计算消息鉴别码，然后经网络传输层发送给对方。

SSL警报协议用来在客户机和服务器之间传递SSL出错信息。

SSL协议主要提供三方面的服务。

（1）用户和服务器的合法性认证。认证用户和服务器的合法性，使它们能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都是有各自的识别号，这些识别号由公开密钥进行编号，为了验证用户是否合法，SSL协议要求在握手交换数据时进行数字认证，以此来确保用户的合法性。

（2）加密数据以隐藏被传送的数据。SSL协议所采用的加密技术既有对称密钥技术，也有公开密钥技术。在客户机与服务器进行数据交换之前，交换SSL初始握手信息，在SSL握手信息中采用了各种加密技术对其进行加密，以保证其机密性和数据的完整性，并且用数字证书进行鉴别，这样就可以防止非法用户进行破译。

（3）保护数据的完整性。SSL协议采用Hash函数和机密共享的方法来提供信息的完整性服务，建立客户机与服务器之间的安全通道，使所有经过SSL协议处理的业务在传输过程中能全部完整准确无误地到达目的地。

SSL协议是一个保证计算机通信安全的协议，对通信对话过程进行安全保护，其实现过程主要经过如下几个阶段。

（1）接通阶段：客户机通过网络向服务器打招呼，服务器回应；

（2）密码交换阶段：客户机与服务器之间交换双方认可的密码，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法；

（3）会谈密码阶段：客户机与服务器间产生彼此交谈的会谈密码；

（4）检验阶段：客户机检验服务器取得的密码；

（5）客户认证阶段：服务器验证客户机的可信度；

（6）结束阶段：客户机与服务器之间相互交换结束的信息。

当上述动作完成之后，两者间的资料传送就会加密，另外一方收到资料后，再将编码资料还原。即使盗窃者在网络上取得编码后的资料，如果没有原先编制的密码算法，也不能获得可读的有用资料。

发送时信息用对称密钥加密，对称密钥用不对称算法加密，再把两个包绑在一起传送过去。接收的过程与发送正好相反，先打开有对称密钥的加密包，再用对称密钥解密。因此，SSL协议也可用于安全电子邮件。

在电子商务交易过程中，由于有银行参与，按照SSL协议，客户的购买信息首先发往商家，商家再将信息转发银行，银行验证客户信息的合法性后，通知商家付款成功，商家再通知客户购买成功，并将商品寄送客户。

试题29~30答案

（29）A（30）B

试题31分析

3DES（Triple DES）是DES向AES过渡的加密算法（1999年NIST将3DES指定为过渡的加密标准），是DES的一个更安全的变形。它以DES为基本模块，通过组合分组方法设计出分组加密算法，其密钥的有效长度为112位，即相当于DES密钥长度加密效果的2倍。

试题31答案

（31）B

试题32分析

应用网关型防火墙是通过代理技术参与到一个TCP连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。这种类型的防火墙被网络安全希赛网和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器技术。

显然，拥有了应用网关F后，计算机A不能够与计算机X建立直接的TCP连接，而是必须通过应用网关F.

试题32答案

（32）D

试题33~34分析

Kerberos是由MIT发明的，为分布式计算环境提供一种对用户双方进行验证的认证方法。它的安全机制在于首先对发出请求的用户进行身份验证，确认其是否是合法的用户；如果是合法的用户，再审核该用户是否有权对他所请求的服务或主机进行访问。从加密算法上来讲，其验证是建立在对称加密的基础上的。它采用可信任的第三方，密钥分配中心（KDC）保存与所有密钥持有者通信的保密密钥，其认证过程颇为复杂，下面简化叙述之。

首先客户（C）向KDC发送初始票据TGT,申请访问服务器（S）的许可证。KDC确认合法客户后，临时生成一个C与S通信时用的保密密钥Kcs,并用C的密钥Kc加密Kcs后传给C,并附上用S的密钥Ks加密的"访问S的许可证Ts,内含Kcs".当C收到上述两信件后，用他的Kc解密获得Kcs,而把Ts原封不动地传给S,并附上用Kcs加密的客户身份和时间。当S收到这两信件后，先用他的Ks解密Ts获得其中的Kcs,然后用这Kcs解密获得客户身份和时间，告之客户成功。之后C和S用Kcs加密通信信息。

Kerberos系统在分布式计算环境中得到了广泛的应用是因为它具有以下的特点。

（1）安全性高：Kerberos系统对用户的口令进行加密后作为用户的私钥，从而避免了用户的口令在网络上显示传输，使得窃听者难以在网络上取得相应的口令信息；

（2）透明性高：用户在使用过程中，仅在登录时要求输入口令，与平常的操作完全一样，Kerberos的存在对于合法用户来说是透明的；

（3）可扩展性好：Kerberos为每一个服务提供认证，确保应用的安全。

Kerberos系统和看电影的过程有些相似，不同的是只有事先在Kerberos系统中登录的客户才可以申请服务，并且Kerberos要求申请到入场券的客户就是到TGS（入场券分配服务器）去要求得到最终服务的客户。

Kerberos有其优点，同时也有其缺点，主要是：

（1）Kerberos服务器与用户共享的秘密是用户的口令字，服务器在回应时不验证用户的真实性，假设只有合法用户拥有口令字。如攻击者记录申请回答报文，就易形成代码本攻击。

（2）AS和TGS是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全。在AS和TGS前应该有访问控制，以增强AS和TGS的安全；

（3）随用户数增加，密钥管理较复杂。Kerberos拥有每个用户的口令字的散列值，AS与TGS负责用户间通信密钥的分配。当N个用户想同时通信时，仍需要N（N?1）/2个密钥。

试题33~34答案

（33）C（34）B

试题35~36分析

数据加密即是对明文（未经加密的数据）按照某种加密算法（数据的变换算法）进行处理，而形成难以理解的密文（经加密后的数据）。即使是密文被截获，截获方也无法或难以解码，从而防止泄露信息。

在对称密码体制中，加密和解密采用相同的密钥。因为其加密速度快，通常用来加密大批量的数据。典型的方法有IDEA和DES.一般DES算法的密钥长度为56位。为了加速DES算法和RSA算法的执行过程，可以用硬件电路来实现加密和解密。IDEA算法的密钥长度为128位。

在非对称密码体制中，其加密和解密使用不同的密钥；其中一个密钥是公开的，另一个密钥是保密的。由于加密速度较慢，所在往往用在少量数据的通信中。典型的方法有RSA、ECC（Elliptic Curve Cryptography,椭圆曲线密码）等。RSA算法的密钥长度为512位。RSA算法的保密性取决于数学上将一个大数分解为两个素数的问题的难度，根据已有的数学方法，其计算量极大，破解很难。但是加密/解密时要进行大指数模运算，因此加密/解密速度很慢，主要用在数字签名中。

试题35~36答案

（35）C（36）C

试题37分析

VPN是在公共Internet之上为政府、企业构筑安全可靠、方便快捷的私有网络，并可节省资金。VPN技术是广域网建设的最佳解决方案，它不仅会大大节省广域网的建设和运行维护费用，而且增强了网络的可靠性和安全性，同时会加快网络的建设步伐，使得政府、企业不仅仅只是建设内部局域网，而且能够很快地把各分支机构的局域网连起来，从而真正发挥整个网络的作用。

VPN具体实现是采用隧道技术，将内部网的数据封装在隧道中，通过Internet进行传输。因此，VPN技术的复杂性首先建立在隧道协议复杂性的基础之上。现有的隧道协议中最为典型的有GRE,IPSec,L2TP,PPTP,L2F等。其中，GRE,IPSec属于第三层隧道协议，L2TP,PPTP,L2F属于第二层隧道协议。第二层隧道和第三层隧道的本质区别在于用户的IP数据包是被封装在何种数据包中在隧道中传输的。在众多VPN相关协议中，最引人注目的是L2TP与IPSEC.其中IPSEC已完成了标准化的工作。

VPN系统使分布在不同地方的专用网络，在不可信任的公共网络上安全地进行通信。它采用复杂的算法来加密传输信息，使得敏感的数据不会被窃取。

VPN网络的特性使一些专用的私有网络的建设者可以完全不依赖ISP而通过公网来实现VPN.正是因为VPN技术根据需要为特定安全需求的用户提供保障，所以VPN技术应该有相当广阔的前景。

考生对试题中的UDP和Telnet应该都比较熟悉，下面我们简单介绍一下RC-5和PPTP.

RC-5是一种对称密码算法，使用可变参数的分组迭代密码体制，其中可变的参数为分组长（为2倍字长w位），密钥长（按字节数计b）和迭代轮数r（以RC-5-w/r/b）。它面向字结构，便于软件和硬件的快速实现，适用于不同字长的微处理器。通过字长、密钥长和迭代轮数三个参数的配合，可以在安全性和速度上进行灵活的折中选择。RC-5加密效率高，适合于加密大量的数据。

RC-5由R.Rivest设计，是RSA实验室的一个产品。RC-5还引入了一种新的密码基本变换数据相依旋转（Data-Dependent Rotations）方法，即一个中间的字是另一个中间的低位所决定的循环移位结果，以提高密码强度，这也是RC-5的新颖之处。

PPTP是由多家公司专门为支持VPN而开发的一种技术。PPTP是一种通过现有的TCP/IP连接（称为隧道）来传送网络数据包的方法。VPN要求客户端和服务器之间存在有效的互连网连接。一般服务器需要与互连网建立一直性连接，而客户端则通过ISP连接互连网，并且通过拨号网（Dial-Up Networking,DUN）入口与PPTP服务器建立服从PPTP协议的连接。这种连接需要访问身份证明（如用户名，口令和域名等）和遵从的验证协议。RRAS为在服务器之间建立基于PPTP的连接及一直性连接提供了可能。

只有当PPTP服务器验证客户身份之后，服务器和客户端的连接才算建立起来了。PPTP会话的作用就如同服务器和客户端之间的一条隧道，网络数据包由一端流向另一边。数据包在起点处（服务器或客户端）被加密为密文，在隧道内传送，在终点将数据解密还原。因为网络通信是在隧道内进行，所以数据对外而言是不可见的。隧道中的加密形式更增加了通信的安全级别。一旦建立了VPN连接，远程的用户可以浏览公司局域网LAN,连接共享资源，收发电子邮件，就像本地用户一样。

试题37答案

（37）A

试题38分析

病毒是指一段可执行的程序代码，通过对其他程序进行修改，可以感染这些程序使其含有该病毒的一个复制，并且可以在特定的条件下进行破坏行为。因此在其整个生命周期中包括潜伏、繁殖（也就是复制、感染阶段）、触发、执行四个阶段。对于病毒的防护而言，最彻底的是不允许其进入系统，但这是很困难的，因此大多数情况下，采用的是"检测-标识-清除"的策略来应对。使用防病毒软件可以防止病毒程序在内部网络的复制和破坏，保障网络和计算机的安全。

日志文件是包含关于系统消息的文件，这些消息通常来自于操作系统内核、运行的服务，以及在系统上运行的应用程序。它包括系统日志、安全日志、应用日志等不同类别。现在不管是Windows还是UNIX（包括Linux）都提供了较完善的日志系统。而日志审计系统则是通过一些特定的、预先定义的规则来发现日志中潜在的问题，它可以用来事后亡羊补牢，也可以用来对网络安全攻击进行取证。显然这是一种被动式、事后的防护或事中跟踪的手段，很难在事前发挥作用。

入侵检测是指监视或者在可能的情况下，阻止入侵者试图控制自己的系统或者网络资源的那种努力。它是用于检测任何损害或企业损害系统的机密性、完整性或可用性行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

防火墙是指建立在内外网络边界上的过滤封锁机制。内部网络被认为是安全和可信赖的，而外部网络（通常是Internet）被认为是不安全和不可信赖的。防火墙的作用是防止不希望的、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全政策。由于防火墙是一种被动技术，它假设了网络边界和服务，因此，对内部的非法访问难以有效的进行控制。

试题38答案

（38）D

试题39分析

中华人民共和国标准《计算机信息系统安全保护等级划分准则》中规定了计算机系统安全保护能力的五个等级，从低到别是用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。

试题39答案

（39）C

试题40分析

在非对称密码体制中，发送者利用非对称加密算法向接收者传送信息时，发送者要用接收者的公钥加密，接收者收到信息后，用自己的私钥解密读出信息。

试题40答案

（40）A

试题41分析

CA是一个受信任的机构，为了当前和以后的事务处理，CA给个人、计算机设备和组织机构颁发证书，以证实其身份，并为其使用证书的一切行为提供信誉的担保。而CA本身并不涉及商务数据加密、订单认证过程以及线路安全。

试题41答案

（41）A

试题42分析

RSA算法是非对称密钥算法，非对称密钥算法中公钥是公开的，任何人都可以使用，而私钥是绝对不能公开的。发送方用公钥加密的信息，接收方可以使用私钥来解密。

试题42答案

（42）A

试题43分析

对于串联系统，单个器件失效则意味着整个系统失效，所以整个系统的失效率等于所有元器件的失效率之和。

假设系统的平均故障时间间隔为T小时，那么系统的平均失效率等于T的倒数。因此，该计算机系统的平均故障间隔时间为1/（1000×10-7）=1×104.

试题43答案

（43）A

试题44分析

在实施信息系统的安全保障系统时，应严格区分信息安全保障系统的三种不同架构，分别是MIS+S、S-MIS和S2-MIS.

MIS+S是一个初步的、低级的信息安全保障系统，因为它是在已有的业务应用信息系统基本不变的情况之下，为防止病毒、黑客等而增加一些安全措施和安全防范设备，例如，防火墙、防病毒、物理隔离卡、网闸、漏洞扫描、黑客防范、动态口令卡、VPN等。这些只能在局部或某一个方面提高业务应用信息系统的安全强度，但不能从根本上解决业务应用信息系统的安全问题，尤其不能胜任电子商务、电子政务等实际应用所需要解决的安全问题。

S-MIS系统将业务应用信息系统直接建立在PKI/CA的安全基础设施上，并且主要的硬件和系统软件需要PKI/CA认证。因此借助PKI/CA安全基础设施，业务应用信息系统真正"以我为主"、"以安全为主"掌控计算机的硬件、系统软件、人员、数据和应用系统的方方面面。再加上与MIS+S同样的外围的安全措施和安全防范设备，获得"从里到外"的安全保护，因此成为"标准的"业务应用信息系统的信息安全保障系统。

S2-MIS基本与S-MIS一样，只是系统硬件和系统软件都是专用的，从而增加了整个系统的安全强度。

试题44答案

（44）B

试题45分析

威胁可以看成从系统外部对系统产生的作用，而导致系统功能及目标受阻的所有现象。而脆弱性则可以看成是系统内部的薄弱点。脆弱性是客观存在的，脆弱性本身没有实际的伤害，但威胁可以利用脆弱性发挥作用。而且，系统本身的脆弱性仍然会带来一些风险。

试题45答案

（45）D

试题46分析

比较先进的电子政务网站提供基于数字证书的用户认证机制用于保障网上办公的信息安全和不可抵赖性。数字证书可以对用户进行认证、保证数据的机密性和完整性，抗抵赖性。

试题46答案

（46）A

试题47分析

五大网络安全服务如下：

（1）鉴别服务（Authentication）：对对方实体的合法性、真实性进行确认，以防假冒。这里的实体可以是用户或进程。

（2）访问控制服务（Access Control）：用于防止未授权用户非法使用系统资源。它包括用户身份认证，用户的权限确认。这种保护服务可提供给用户组。

（3）数据完整性服务（Integrity）：阻止非法实体对交换数据的修改、插入、删除。

（4）数据保密服务（Confidentiality）：为了防止网络中各个系统之间交换的数据被截获或被非法存取而造成泄密，提供密码加密保护。

（5）抗抵赖性服务：防止发送方在发送数据后否认自己发送过此数据，接收方在收到数据后否认自己收到过此数据或伪造接收数据。由两种服务组成：一是不得否认发送：二是不得否认接收（通过签名确认）。

试题47答案

（47）A

试题48分析

根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM（系统安全工程能力成熟模型）和ISO17799（信息安全管理标准）等国际标准，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，网络安全防范体系在整体设计过程中应遵循以下9项原则：

（1）网络信息安全的木桶原则。网络信息安全的木桶原则是指对信息均衡、全面的进行保护。"木桶的最大容积取决于最短的一块木板".网络信息系统是一个复杂的计算机系统，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，尤其是多用户网络系统自身的复杂性、资源共享性使单纯的技术保护防不胜防。攻击者使用的"最易渗透原则",必然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析，评估和检测（包括模拟攻击）是设计信息安全系统的必要前提条件。安全机制和安全服务设计的首要目的是防止最常用的攻击手段，根本目的是提高整个系统的"安全最低点"的安全性能。

（2）网络信息安全的整体性原则。要求在网络发生被攻击、破坏事件的情况下，必须尽可能地快速恢复网络信息中心的服务，减少损失。因此，信息安全系统应该包括安全防护机制、安全检测机制和安全恢复机制。安全防护机制是根据具体系统存在的各种安全威胁采取的相应的防护措施，避免非法攻击的进行。安全检测机制是检测系统的运行情况，及时发现和制止对系统进行的各种攻击。安全恢复机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，减少供给的破坏程度。

（3）安全性评价与平衡原则。对任何网络，绝对安全难以达到，也不一定是必要的，所以需要建立合理的实用安全性与用户需求评价与平衡体系。安全体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到组织上可执行。评价信息是否安全，没有绝对的评判标准和衡量指标，只能决定于系统的用户需求和具体的应用环境，具体取决于系统的规模和范围，系统的性质和信息的重要程度。

（4）标准化与一致性原则。系统是一个庞大的系统工程，其安全体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。

（5）技术与管理相结合原则。安全体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。

（6）统筹规划，分步实施原则。由于政策规定、服务需求的不明朗，环境、条件、时间的变化，攻击手段的进步，安全防护不可能一步到位，可在一个比较全面的安全规划下，根据网络的实际需要，先建立基本的安全体系，保证基本的、必须的安全性。随着今后随着网络规模的扩大及应用的增加，网络应用和复杂程度的变化，网络脆弱性也会不断增加，调整或增强安全防护力度，保证整个网络最根本的安全需求。

（7）等级性原则。等级性原则是指安全层次和安全级别。良好的信息安全系统必然是分为不同等级的，包括对信息保密程度分级，对用户操作权限分级，对网络安全程度分级（安全子网和安全区域），对系统实现结构的分级（应用层、网络层、链路层等），从而针对不同级别的安全对象，提供全面、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。

（8）动态发展原则。要根据网络安全的变化不断调整安全措施，适应新的网络环境，满足新的网络安全需求。

（9）易操作性原则。首先，安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。

试题48答案

（48）C

试题49分析

风险是在考虑事件发生的可能性及其可能造成的影响下，脆弱性被威胁所利用后所产生的实际负面影响。风险是可能性和影响的函数，前者指威胁源利用一个潜在脆弱性的可能性，后者指不利事件对组织机构产生的影响。残余风险是指采取了安全防护措施，提高了防护能力后，仍然可能存在的风险。

为了对计算机信息系统的安全威胁有更全面、更深刻的认识，信息应用系统安全威胁的分类方法一般用按风险性质、按风险结果、按风险源三种"综合分类"方法。

试题49答案

（49）C

试题50分析

"消息"是我们所关心的实际数据，经常也称为"明文",用"M"表示。经过加密的消息是"密文",用"C"表示。如果用C=E（M）表示加密，M=D（C）表示解密。那么从数学角度讲，加密只是一种从 M定义域到C值域的函数变换，解密正好是对加密的反函数变换。

试题50答案

（50）D

试题51分析

当今最著名的美国计算机安全标准是可信计算机系统评估标准（TCSEC）。其中一个内容就是要阻止未被授权而浏览机密信息。TCSEC规定了两个访问控制类型：自主访问控制（DAC）和强制访问控制（MAC）。DAC是指主体可以自主地将访问权限或者访问权限的某个子集授予其他主体。主要是某些用户（特定客体的用户或具有指定特权的用户）规定别的用户能以怎样的方式访问客体。它主要满足商业和政府的安全需要，以及单级军事应用。但是由于它的控制是自主的，所以也可能会因为权限的传递而泄漏信息。另外，如果合法用户可以任意运行一个程序来修改他拥有的文件存取控制信息，而操作系统无法区分这种修改是用户自己的操作，还是恶意程序的非法操作，解决办法就是通过强加一些不可逾越的访问限制。因此，又提出了一种更强有力的访问控制手段，即强制访问控制（MAC），但是它主要用于多级安全军事应用，很少用于其他方面。现今人们在MAC基础上提出基于角色的访问控制（RBAC），它是一种强制访问控制形式，但它不是基于多级安全需求。其策略是根据用户在组织内部的角色制定的。用户不能任意的将访问权限传递给其他用户。这是RBAC和DAC之间最基本的不同。

基于角色访问控制（RBAC）模型是目前国际上流行的先进的安全访问控制方法。它通过分配和取消角色来完成用户权限的授予和取消，并且提供角色分配规则。安全管理人员根据需要定义各种角色，并设置合适的访问权限，而用户根据其责任和资历再被指派为不同的角色。这样，整个访问控制过程就分成两个部分，即访问权限与角色相关联，角色再与用户关联，从而实现了用户与访问权限的逻辑分离。

由于实现了用户与访问权限的逻辑分离，基于角色的策略极大的方便了权限管理。例如，如果一个用户的职位发生变化，只要将用户当前的角色去掉，加入代表新职务或新任务的角色即可。研究表明，角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，并且给用户分配角色不需要很多技术，可以由行政管理人员来执行，而给角色配置权限的工作比较复杂，需要一定的技术，可以由专门的技术人员来承担，但是不给他们给用户分配角色的权限，这与现实中的情况正好一致。

基于角色访问控制可以很好的描述角色层次关系，实现最小特权原则和职责分离原则。

试题51答案

（51）D

试题52分析

入侵检测是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

入侵检测系统要解决的最基本的两个问题是：如何充分并可靠地提取描述行为特征的数据，以及如何根据特征数据，高效并准确地判断行为的性质。由系统的构成来说，通常包括数据源（原始数据）、分析引擎（通过异常检测或误用检测进行分析）、响应（对分析结果采用必要和适当的措施）三个模块。

试题52答案

（52）D

试题53分析

信息安全策略的设计与实施步骤如下：

（1）确定安全需求：包括确定安全需求的范围、评估面临的风险。

（2）制订可实现的安全目标。

（3）制订安全规划：包括本地网络、远程网络、Internet.

（4）制订系统的日常维护计划。

试题53答案

（53）C

试题54分析

加密技术是利用数学或物理手段，对电子信息在传输过程中和存储体内进行保护，以防止泄漏（信息被窃取）的技术。通信过程中的加密主要是采用密码，在数字通信中可利用计算机采用加密法，改变负载信息的数码结构。

数字签名利用一套规则和一个参数集对数据计算所得的结果，用此结果能够确认签名者的身份和数据的完整性。简单地说，所谓数字签名就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据，防止被人（例如接收者）进行伪造。

完整性技术指发送者对传送的信息报文，根据某种算法生成一个信息报文的摘要值，并将此摘要值与原始报文一起通过网络传送给接收者，接收者用此摘要值来检验信息报文在网络传送过程中有没有发生变化，以此来判断信息报文的真实与否。

身份认证是指采用各种认证技术，确认信息的来源和身份，以防假冒。

试题54答案

（54）D

试题55分析

通过使用SSH（Secure Shell,安全外壳），可以把所有传输的数据进行加密，这样"中间人"这种攻击方式就不可能实现了，而且也能够防止DNS欺骗和IP欺骗。使用SSH,还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet,又可以为FTP、POP、甚至为PPP提供一个安全的通道。

试题55答案

（55）B

试题56分析

TLS（Transport Layer Security,传输层安全协议）是确保互联网上通信应用和其用户隐私的协议。当服务器和客户机进行通信，TLS确保没有第三方能窃听或盗取信息。TLS是安全套接字层（Security Socket Layer,SSL）的后继协议。TLS由两层构成，分别是TLS记录协议和TLS握手协议。TLS记录协议使用机密方法，如数据加密标准（DES），来保证连接安全。TLS记录协议也可以不使用加密技术。TLS握手协议使服务器和客户机在数据交换之前进行相互鉴定，并协商加密算法和密钥。

试题56答案

（56）C

试题57分析

RSA 算法是一种非对称密码加密算法，RSA算法的密钥长度为512位。RSA算法的保密性取决于数学上将一个大数分解为两个素数的问题的难度，根据已有的数学方法，其计算量极大，破解很难。但是加密/解密时要进行大指数模运算，因此加密/解密速度很慢，影响推广使用。但是，RSA可以用于加密数据量比较少的场合，例如数字签名。

试题57答案

（57）A

试题58分析

信息安全管理体系是指通过计划、组织、领导、控制等措施以实现组织信息安全目标的相互关联或相互作用的一组要素，是组织建立信息安全方针和目标并实现这些目标的体系。这些要素通常包括信息安全组织机构、信息安全管理体系文件、控制措施、操作过程和程序以及相关资源等。信息安全管理体系中的要素通常包括信息安全的组织机构；信息安全方针和策略；人力、物力、财力等相应资源；各种活动和过程。

信息安全管理体系通过不断地识别组织和相关方的信息安全要求，不断地识别外界环境和组织自身的变化，不断地学习采用新的管理理念和技术手段，不断地调整自己的目标、方针、程序和过程等，才可以实现持续的安全。

试题58答案

（58）D

试题59分析

在试题所给出的选项中，只有D属于安全保障信息系统中的一种，其他三个选项都是干扰项。

试题59答案

（59）D

试题60分析

安全审计是指对主体访问和使用客体的情况进行记录和审查，以保证安全规则被正确执行，并帮助分析安全事故产生的原因。安全审计是落实系统安全策略的重要机制和手段，通过安全审计识别与防止计算机网络系统内的攻击行为、追查计算机网络系统内的泄密行为。它是信息安全保障系统中的一个重要组成部分。具体包括2个方面的内容：

（1）采用网络监控与入侵防范系统，识别网络中各种违规操作与攻击行为，即时响应并进行阻断。

（2）对信息内容和业务流程的审计，可以防止内部机密或敏感信息的非法泄漏和单位资产的流式。

试题60答案

（60）D

试题61分析

网络安全的层次可以分为物理安全、控制安全、服务安全、协议安全。其中物理安全措施包括环境安全、设施和设备安全（设备管理包括设备的采购、使用、维修和存储管理，并建立详细资产清单；设备安全主要包括设备防盗、防毁、防电磁泄漏、防线路截获、抗电磁干扰及电源保护）、介质安全（对介质及其数据进行安全保护，防止损坏、泄漏和意外失误）。

试题61答案

（61）C