免费智能真题库 > 历年试卷 > 网络规划设计师 > 2021年下半年 网络规划设计师 下午试卷 案例
  第3题      
  知识点：   Web安全   安全渗透测试   软件中间件   网络管理   中间件

 
案例一
安全测评工程师小张对某单位的信息系统进行安全渗透测试时，首先获取A系统部署的WebServer版本信息然后利用A系统的软件中间件漏洞，发现可以远程在A系统服务器上执行命令。小张控制A服务器后，尝试并成功修改网页。通过向服务器区域横向扫描，发现B和C服务器的root密码均为123456,利用该密码成功登录到服务器并获取root权限。
案例二
网络管理员小王在巡查时发现网站访问日志中有多条非正常记录。
其中，日志1访问记录为:
www.xx.com/ param=1'and updatexml(1, concat(0x7e (SEL ECT MD5(1234),0x7e), 1)
日志2访问记录为：
www.xx.com/js/url. substring(0, indexN2)}/ alert(url);url+=
小王立即采取措施,加强Web安全防范。
案例三
某信息系统在2018年上线时，在公安机关备案为等级保护第三级,单位主管认为系统已经定级,此后无须再做等保安全评测。
 
问题：3.1   (6分)
信息安全管理机构是行使单位信息安全管理职能的重要机构，各个单位应设立(1)领导小组,作为本单位信息安全工作的最高领导决策机构。设立信息安全管理岗位并明确职责，至少应包含安全主管和“三员”岗位，其中“三员”岗位中:(2)岗位职责包括信息系统安全监督和网络安全管理沟通、协调和组织处信息安全事件等;系统管理员岗位职责包括网络安全设备和服务器的配置、部署、运行维护和日常管理等工作;(3)岗位职责包括对安全、网络、系统、应用、数据库等管理人员的操作行为进行审计,监督信息安全制度执行情况。
 
问题：3.2   (9分)
1.请分析案例一信息系统存在的安全隐患和问题(至少回答5点);
2.针对案例一存在的安全隐患和问题，提出相应的整改措施(至少回答4点)
 
问题：3.3   (6分)
1. 案例二中，日志1所示访问记录是(4)攻击，日志2所示访问记录是(5)攻击
2. 案例二中，小王应采取哪些措施加强web安全防范?
 
问题：3.4   (4分)
案例三中，单位主管的做法明显不符合网络安全等级保护制度要求，请问，该信息系统应该至少(6)年进行一次等保安全评测，该信息系统的网.络日志至少应保存(7)个月。
 
 
 

   知识点讲解    
   · Web安全    · 安全渗透测试    · 软件中间件    · 网络管理    · 中间件
 
       Web安全
        浏览Web网页是最常用的访问Internet的方式，如果通过Web进行交易，其安全如何保证呢？为了透明地解决Web的安全问题，安全套接层协议基于TCP/IP的客户／服务器提供了客户端和服务器的身份鉴别、数据机密性和数据完整性保护。通过应用程序在进行数据交换前交换初始握手信息以实现有关的安全特性，并实现对应用层透明的安全通信。结合SSL协议和数字证书，PKI技术可以保证Web交易多方面的安全需求，使Web上的交易和面对面交易一样安全。
 
       安全渗透测试
        安全渗透测试通过模拟攻击者对测评对象进行安全攻击，以验证安全防护机制的有效性。根据对测评对象掌握的信息状况，安全渗透测试可以分为三种类型。
               黑盒模型
               只需要提供测试目标地址，授权测试团队从指定的测试点进行测试。
               白盒模型
               需要提供尽可能详细的测试对象信息，测试团队根据所获取的信息，制订特殊的渗透方案，对系统进行高级别的安全测试。该方式适合高级持续威胁者模拟。
               灰盒模型
               需要提供部分测试对象信息，测试团队根据所获取的信息，模拟不同级别的威胁者进行渗透。该方式适合手机银行和代码安全测试。
               安全渗透测试常用的工具有Metasploit、字典生成器、GDB、Backtrack 4、Burpsuit、OllyDbg、IDA Pro等。
 
       软件中间件
        中间件概述
        概念：
        中间件是位于硬件、操作系统等平台和应用之间的通用服务。中间件是一种独立的系统软件或服务程序，可以帮助分布式应用软件在不同的技术之间共享资源，它位于客户端／服务器的操作系统之上，管理计算机资源和网络通信。
        目的：
        实现应用与平台的无关性。
        特点：
        满足大量应用的需要、运行于多种硬件和操作系统平台、支持分布计算、提供跨网络／硬件／操作系统平台的应用或服务的透明交互、支持标准的协议、支持标准的接口。
        现状：
        中间件为应用程序提供了一个相对稳定的高层应用环境，但是，中间件服务所应遵循的原则离实际还有很大距离。多数流行的中间件使用专有的API和专有的协议，使应用只能构建在单一厂家的产品之上，来自不同厂家的实现很难互操作。有些中间件只提供某些平台的实现，限制了应用在异构系统之间的移植。
        中间件分类：
        1．数据库访问中间件
        数据库访问中间件通过一个抽象层访问数据库，从而允许使用相同的或相似的代码访问不同的数据库资源。如Windows平台的ODBC和Java平台的JDBC等。
        2．远程过程调用
        远程过程调用（Remote Procedure Call，RPC）是一种广泛使用的分布式应用程序处理方法。一个RPC应用分为两个部分：服务器和客户端。服务器提供一个或多个远程过程，客户端向服务器发出远程调用。
        客户端和服务器之间的网络通信和数据转换通过代理程序（stub与skeleton）完成，从而屏蔽了不同操作系统和网络协议。RPC为客户端／服务器的分布计算提供了有力的支持，但它所提供的是基于过程的服务访问，客户端和服务器进行直接连接，没有中间机构来处理请求，具有一定的局限性。
        3．面向消息中间件
        概念：
        面向消息中间件（Message-Oriented Middleware，MOM）利用高效可靠的消息传递机制进行平台无关的数据交流，并可基于数据通信进行分布系统的集成。典型的产品如IBM的MQSeries。通过使用MOM，通信双方程序（称为消息客户程序）可以在不同的时间运行，程序不在网络上直接通话，而是间接地将消息放入MOM服务器的消息机制中。
        特点：
        消息客户程序之间通过将消息放入消息队列或从消息队列中取出消息来进行通信。客户程序不直接与其他程序通信，避免了网络通信的复杂性。消息队列和网络通信的维护由MOM完成。
        4．分布式对象中间件
        随着对象技术与分布式计算技术的发展，两者相互结合形成了分布式对象技术，发展成为当今软件技术的主流方向。典型的分布式对象中间件如OMG的CORBA、Sun的RMI/EJB和Microsoft的DCOM等。这三种中间件的介绍见23.3.3节。
        5．事务中间件
        事务中间件，也称事务处理监控器（Transaction Processing Monitor，TPM）程序位于客户端和服务器之间，完成事务管理与协调、负载平衡、失效恢复等任务，以提高系统的整体性能。典型产品如BEA的Tuxedo。
        随着对象技术与事务技术的结合，还出现了一类新产品，即对象事务监控器（Object Transaction Monitor，OTM），可以保证分布式对象的事务完整性。如支持EJB的J2EE应用服务器。
 
       网络管理
        网络管理主要包含4个方面的工作：
        1．网络设备的管理
        网络系统由特定类型的传输介质和网络适配器（也称网卡）互连在一起，并由网络操作系统监控和管理。网络管理员对网络设备的管理主要是对路由器、交换机及线路的管理。
        2．服务器的管理
        一般来说，在一个网络中需要建立多个服务器方能提供不同的服务需求。一般网络需要的服务器主要有下面几种：Web服务器、E-mail服务器、FTP服务器、DNS服务器、Proxy（代理服务）服务器和数据库服务器等。
        3．资源的管理
        网络中的资源很多，如IP地址资源、域名资源和磁盘资源等，只有管理好这些资源才能够让网络为用户提供更好的服务。
        4．用户的管理
        对用户的管理包括添加或删除用户，授予用户一定的访问权限，分配不限级别的资源给不同的用户，并保证网络的安全。
        OSI网络管理标准中定义了网络管理的5大功能，另外比较流行的还有桌面管理：
        .配置管理：自动发现网络拓扑结构，构造和维护网络系统的配置。
        .故障管理：过滤、归并网络事件，有效地发现、定位网络故障，给出排错建议与排错工具，形成整套的故障发现、告警与处理机制。
        .性能管理：采集、分析网络对象的性能数据，监测网络对象的性能，对网络线路质量进行分析。
        .安全管理：结合使用用户认证、访问控制、数据传输、存储的保密与完整性机制，以保障网络管理系统本身的安全。
        .计费管理：对网际互联设备按IP地址的双向流量统计，产生多种信息统计报告及流量对比，并提供网络计费工具，以便用户根据自定义的要求实施网络计费。
        .桌面管理：包括桌面资产统计；根据桌面安全漏洞下载最新补丁包，进行补丁分发、安装；可自动分发、安装商用程序；可自动对客户端进行操作系统部署，客户端无须手工安装；服务器监控软件的使用频率，统计软件资产利用率；对客户端的故障问题进行远程故障排除；可定制报表开发。
 
       中间件
        随着计算机技术的飞速发展，各种各样的应用软件需要在各种平台之间进行移植，或者一个平台需要支持多种应用软件和管理多种应用系统，软、硬件平台和应用系统之间需要可靠和高效的数据传递或转换，使系统的协同性得以保证。这些，都需要一种构筑于软、硬件平台之上，同时对更上层的应用软件提供支持的软件系统，而中间件正是在这个环境下应运而生。
               中间件的定义
               由于中间件技术正处于发展过程之中，因此目前尚不能对它进行精确的定义。
               普遍被接受的是IDC对中间件定义的描述：中间件是一种独立的系统软件或服务程序，分布式应用软件借助这种软件在不同的技术之间共享资源，中间件位于客户机服务器的操作系统之上，管理计算资源和网络通信。
               IDC对中间件的定义表明：中间件是一类软件，而非一种软件；中间件不仅仅实现互连，还要实现应用之间的互操作；中间件是基于分布式处理的软件，最突出的特点是其网络通信功能。
               人们在使用中间件时，往往是一组中间件集成在一起，构成一个平台（包括开发平台和运行平台），但在这组中间件中必须有一个通信中间件，即：中间件=平台+通信，这个定义也限定了只有用于分布式系统中才能称为中间件，同时还可以把它与支撑软件和应用软件区分开来。
               中间件的主要作用是：
               ①缩短应用的开发周期。
               ②节约应用的开发成本。
               ③减少系统初期的建设成本。
               ④降低应用开发的失败率。
               ⑤保护已有的投资。
               ⑥简化应用集成。
               ⑦减少维护费用。
               ⑧提高应用的开发质量。
               ⑨保证技术进步的连续性。
               ⑩增强应用的生命力。
               中间件与电子商务
               中间件是电子商务应用集成的关键之一，不管电子商务应用分布在什么硬件平台上，使用了什么数据库系统，透过了什么复杂的网络，电子商务应用的互连和互操作是电子商务中间件首先要解决的问题。
               在通信方面，电子商务中间件要支持各种通信协议和通信服务模式，传输各种数据内容，数据格式翻译、流量控制、数据加密、数据压缩等；电子商务中间件还要解决名字服务、安全控制、并发控制、可靠性和效率保证等；在电子商务应用开发方面，要能提供基于不同平台的丰富的开发接口，支持流行的开发工具和异构互连接口标准等；在管理方面，解决电子商务中间件本身的配置、监控、调谐，为电子商务应用的易用易管理提供保证。针对不同的Web应用环境，对电子商务中间件有各种不同的要求。对工作流应用，需要根据条件以及条件满足状态，将信息、响应状态从一个应用传递到另一个应用；对联机事务处理，需要保证分布式的数据一致性、不停机作业、大量并发的高效率；对于一个数据采集系统需要保证可靠传输等。
               在这种情况下，电子商务应用应包含以下层次：
               ①浏览器。这是进入电子商务的通道。
               ②电子商务应用平台。提供电子商务不同应用类型的生成工具软件，如网上商店、网络支付、虚拟社区等。
               ③电子商务交换平台。对内集成企业内部的各种与电子商务相关的业务系统，对外连接商业合作伙伴，如银行、供应商、客户、配送结构，完成各种不同业务系统之间数据转换和整合。
               ④电子商务基础平台。用来支持大量Internet客户的并发访问，使应用开发商快速开发出灵活多变的电子商务应用，尽快把信息系统和商务活动放到Internet中。
               在电子商务交换平台和电子商务基础平台中都不能没有中间件的存在。可以说，没有中间件就不能支撑今天的网络应用。
   题号导航      2021年下半年 网络规划设计师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
 
第3题    在手机中做本题