免费智能真题库 > 历年试卷 > 信息系统管理工程师 > 2020年下半年 信息系统管理工程师 下午试卷 案例
  第4题      
  知识点：   安全管理   Oracle   防火墙   角色   培训   权限管理   数据库   系统的安全   信息安全   用户管理

 
信息安全是一个动态的变化过程，需要从管理和技术上不断地完善。
案例：某企业的IT部门通过年度自查发现了一些问题和不足，为此提出了安全方面的改进计划。改进计划的部分内容描述如下所示。
1.对新进技术人员开展Oracle技术培训，培训内容主要是用户管理、权限管理、角色管理、概要文件（profile)管理、审计等内容。
2.通过对现有的管理制度、操作规范进行梳理，发现在软件文档、资料交接方而存在一定漏洞，一些系统档案由于人员更迭偶有遗失；一些系统、数据库密码长期不更换等问题，需要对制度进行完善。
3.在重要系统已经安装防火墙的情况下，申请购买IDS设备并要求购买国产品牌的 IDS。
结合信息系统的安全管理知识，回答与企业安全管理相关的问题。
 
问题：4.1   （4分）
(1)案例中所述内容是否都属于信息安全管理的范围？
(2)安全管理都包括哪些内容。
 
问题：4.2   （3分）
(1)案例中提到的Oracle是什么软件？
(2)案例中提到的“概要文件”的含义是什么。
 
问题：4.3   （4分）
(1)案例中提到的资料遗失问题，可以采取哪些措施进行完善。
(2)案例中提到的系统、数据库密码长期不更换情况可以采取哪些技术措施。
 
问题：4.4   （4分）
(1)案例中提到的IDS设备的主要功能是什么，其功能防火墙是否可以替代。
(2)案例中提到购买国产品牌的IDS设备是否适当并说明理由。
 
 
 

   知识点讲解    
   · 安全管理    · Oracle    · 防火墙    · 角色    · 培训    · 权限管理    · 数据库    · 系统的安全    · 信息安全    · 用户管理
 
       安全管理
        安全管理的目标是将信息资源和信息安全资源管理好。安全管理是信息系统安全能动性的组成部分。大多数事故的发生，与其说是技术原因，还不如说是由管理不善导致的。安全管理要贯穿于信息系统规划、设计、建设、运行和维护各阶段。
               安全管理政策法规
               信息安全管理政策法规包括国家法律和政府政策法规和机构和部门的安全管理原则。信息系统法律的主要内容有：信息网络的规划与建设、信息系统的管理与经营、信息系统的安全、信息系统的知识产权保护、个人数据保护、电子商务、计算机犯罪、计算机证据与诉讼。信息安全管理涉及的方面有：人事管理、设备管理、场地管理、存储媒体管理、软件管理、网络管理、密码和密钥管理、审计管理。
               信息安全管理的总原则有：规范化、系统化、综合保障、以人为本、主要负责人负责、预防、风险评估、动态发展、注重实效、均衡防护。安全管理的具体原则有：分权制衡、最小特权、标准化、选用成熟的先进技术、失效保护、普遍参与、职责分离、审计独立、控制社会影响、保护资源和效率。
               我国的信息安全管理的基本方针是：兴利除弊，集中监控，分级管理，保障国家安全。
               安全机构和人员管理
               国家信息安全机构是国家最上层安全机构的组成部分。国家信息安全强调的是国家整体上的信息安全性，而不仅是某一个部门或地区的信息安全。而各部门、各地区又确实存在个体差异，对于不同行业领域来说，信息安全具有不同的涵义和特征，国家的信息安全保障体系的战略性必须涵盖部门和地区信息安全保障体系的相关内容。
               为保证信息系统的安全，各信息系统使用单位也应建立信息系统安全管理机构。建立信息系统安全管理机构的第一步是确定系统安全管理员的角色，并组成安全管理小组。安全管理小组制定出符合本单位需要的信息安全管理策略，具体包括：安全管理人员的义务和职责、安全配置管理策略、系统连接安全策略、传输安全策略、审计与入侵安全策略、标签策略、病毒防护策略、安全备份策略、物理安全策略、系统安全评估原则等内容。并尽量把各种安全策略要求文档化和规范化，以保证安全管理工作具有明确的依据或参照。
               信息系统的运行是依靠各级机构的工作人员来具体实施的，安全人员既是信息系统安全的主体，也是系统安全管理的对象。要加强人员管理，才能增强人们的安全意识，增强他们对安全管理重视的程度和执行的力度。首先要加强人员的审查、培训和考核工作，并与安全人员签订保密合同，调离不合格的人员，并做好人员调离的后续工作，承诺调离后的保密任务，收回其权限、钥匙、证件、相关资料等。安全人员管理的原则有：从不单独一个人、限制使用期限、责任分散、最小权限。
               技术安全管理
               技术安全管理包括如下内容。
               （1）软件管理：包括对操作系统、应用软件、数据库、安全软件和工具软件的采购、安装、使用、更新、维护和防病毒的管理等。
               （2）设备管理：对设备的全方位管理是保证信息系统建设的重要条件。设备管理包括设备的购置、使用、维修和存储管理。
               （3）介质管理：介质在信息系统安全中对系统的恢复、信息的保密和防止病毒方面起着关键作用。介质管理包括将介质分类、介质库的管理、介质登记和借用、介质的复制和销毁以及涉密介质的管理。
               （4）涉密信息管理：包括涉密信息等级的划分、密钥管理和密码管理。
               （5）技术文档管理：包括技术文档的密级管理和使用管理。
               （6）传输线路管理：包括传输线路管理和网路互连管理。传输线路上传送敏感信息时，必须按敏感信息的密级进行加密处理。重要单位的计算机网络于其他网络的连接与计算机的互连需要经过国家有关单位的批准。
               （7）安全审计跟踪：为了能够实时监测、记录和分析网络上和用户系统中发生的各类与安全有关的事件（如网络入侵、内部资料窃取、泄密行为等），并阻断严重的违规行为，就需要安全审计跟踪机制的来实现在跟踪中记录有关安全的信息。已知安全审计的存在可对某些潜在的侵犯安全的攻击源起到威慑作用。
               （8）公共网络连接管理：是指对单位或部门通过公共网络向公众发布信息和提供有关服务的管理，和对单位或部门从网上获得有用信息的管理。
               （9）灾难恢复：灾难恢复是对偶然事故的预防计划，包括制定灾难恢复策略和计划和灾难恢复计划的测试与维护。
               网络管理
               网络管理是指通过某种规程和技术对网络进行管理，从而实现：①协调和组织网络资源以使网络的资源得到更有效的利用；②维护网络正常运行；③帮助网络管理人员完成网络规划和通信活动的组织。网络管理涉及网络资源和活动的规划、组织、监视、计费和控制。国际标准化组织（ISO）在相关标准和建议中定义了网络管理的五种功能，即：
               （1）故障管理：对计算机网络中的问题或故障进行定位，主要的活动是检测故障、诊断故障和修复故障。
               （2）配置管理：对网络的各种配置参数进行确定、设置、修改、存储和统计，以增强网络管理者对网络配置的控制。
               （3）安全管理：网络安全包括信息数据安全和网络通信安全。安全管理可以控制对计算机网络中的信息的访问。
               （4）性能管理：性能管理可以测量网络中硬件、软件和媒体的性能，包括整体吞吐量、利用率、错误率和响应时间，帮助管理者了解网络的性能现状。
               （5）计费管理：跟踪每个个人和团体用户对网络资源的使用情况，并收取合理的费用。
               场地设施安全管理
               信息系统的场地与设施安全管理要满足机房场地的选择、防火、火灾报警及消防措施、防水、防静电、防雷击、防辐射、防盗窃、防鼠害，以及对内部装修、供配电系统等的技术要求。并完成出入控制、电磁辐射防护和磁辐射防护工作。
 
       Oracle
        Oracle的结构包括数据库的内部结构、外存储结构、内存储结构和进程结构。在Oracle中，数据库不仅指物理上的数据，还包括处理这些数据的程序，即DBMS本身。Oracle提供了PL/SQL、Designer/2000、Forms等开发和设计工具。
        除了以关系格式存储数据外，Oracle 8以上的版本支持面向对象的结构（如抽象数据类型）。一个对象可以与其他对象建立联系，也可以包含其他对象，还可以用一个对象视图支持面向对象的接口数据而无须对表做任何修改。
        无论是面向对象的结构还是关系结构，Oracle数据库都将其数据存储在物理的数据文件中。数据库结构提供数据存储到文件的逻辑图，允许不同类型的数据分开存储，这些逻辑划分即是表空间。在Oracle中，除了存储数据的文件外，还有DBMS的代码文件、日志文件和其他一些控制文件、跟踪文件等。外存储结构主要包括表空间和文件结构。
        Oracle数据库在运行中使用两种类型的内存结构，分别是系统全局区和程序全局区。系统全局区是数据库运行时存放系统数据的内存区域，它由所有服务器进程和客户进程共享；程序全局区是单个存放Oracle进程工作时需要的数据和控制信息的，程序全局区不能共享。
 
       防火墙
               防火墙的基本概念
               防火墙的概念源于早期为防止火灾蔓延在房屋周围修建的矮墙。在网络安全中，防火墙是在内部网与外部网之间构筑的一道保护屏障，是执行访问控制策略的一个或一组系统。通过执行访问控制策略，提供授权通信，保护内部网不受外部非法用户的入侵，控制内部网与外部网之间数据流量。
               防火墙可以是硬件，也可以是软件，或是二者结合。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部服务，哪些外部服务可以被内部人员访问等。防火墙必须只允许授权的数据通过，其本身也必须能够免于渗透，但防火墙不是对网络内的每台计算机分别进行保护，而是让所有外部对内部网计算机的信息访问都通过某个点，防火墙就是保护这个点。防火墙技术是实现网络安全的主要手段之一。目前，企业内部网络与因特网之间的有效隔离方式大都采用的是防火墙技术。
               防火墙的功能
               防火墙主要用于实现网络路由的安全性。网络路由的安全性包括两个方面：限制外部网对内部网的访问，从而保护内部网特定资源免受非法侵犯；限制内部网对外部网的访问，主要是针对一些不健康信息及敏感信息的访问。
               防火墙具有以下优点：
               （1）保护那些易受攻击的服务。防火墙能过滤那些不安全的服务（如NFS等）。只有预先被允许的服务才能通过防火墙，这样就降低了受到攻击的风险性，大大地提高了网络的安全性。
               （2）控制对特殊站点的访问。防火墙能控制对特殊站点的访问。如有些主机能被外部网络访问，而有些则要被保护起来，防止不必要的访问。通常会有这样一种情况，在内部网中只有Mail服务器、FTP服务器和WWW服务器能被外部网访问，而其他访问则被主机禁止。
               （3）集中化的安全管理。对于一个企业而言，使用防火墙比不使用防火墙可能更加经济一些。这是因为如果使用了防火墙，就可以将所有修改过的软件和附加的安全软件都放在防火墙上集中管理；而不使用防火墙，就必须将所有软件分散到各个主机上。
               （4）对网络访问进行记录和统计。如果所有对Internet的访问都经过防火墙，那么防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能够报警，并提供网络是否受到监测和攻击的详细信息。
               防火墙也有一些不能实现的功能：
               （1）限制有用的网络服务。防火墙为了提高被保护网络的安全性，限制或关闭了很多有用但存在安全缺陷的网络服务。
               （2）不能防范内部网络用户的攻击。目前防火墙只提供了对外部网络用户攻击的防护，对来自内部网络用户的攻击只能依靠内部网络主机系统的安全性。
               （3）不能完全防范病毒。因为病毒的类型很多，操作系统各异，编码与压缩二进制文件的方法也各不相同，因此防火墙不能完全防止传送已感染病毒的软件或文件，不能期望防火墙对每一个文件进行扫描，查出潜在的病毒。
               防火墙的分类
               从技术角度分类，防火墙可以分为包过滤防火墙、代理服务防火墙和复合型防火墙。
                      包过滤防火墙
                      网络传输数据是以“包”为单位进行的，数据被分割成一定大小的数据包，每个数据包中都会含有一些特定的信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙可通过对数据包的源地址、目的地址及端口等的检查，判断数据包是否来自可信任的安全站点。如果发现来自危险站点的数据包，防火墙将会拒绝其通过。
                      包过滤防火墙是最简单的防火墙，使用方便，实现成本低。分组过滤在网络层实现，不要求改动应用程序，也不要求用户学习任何新的东西，对用户来讲是透明的，用户基本感觉不到分组过滤器的存在。但也存在一个问题，就是过滤器不能在用户层次上进行安全过滤，即在同一台机器上，过滤器分辨不出是哪个用户的报文。
                      包过滤防火墙的工作原理如下图所示。
                      
                      包过滤防火墙
                      代理服务防火墙
                      代理服务防火墙使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接。代理服务防火墙使内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。
                      代理服务防火墙工作原理如下图所示。
                      
                      代理服务防火墙
                      代理服务防火墙也被称为应用网关防火墙，其核心技术就是代理服务器技术。它采用为每种所需服务在网关上安装特殊代码（代理服务）的方式来管理Internet服务。其应用原理是：当代理服务器收到客户对自己代理的某Web站点的访问请求后，就检查该请求是否符合规定；如果规则允许用户访问该站点时，代理服务器代理客户在该站点取回所需信息，再转发给客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接的作用，体现了“应用代理”的角色。
                      使用代理服务器技术，所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的TCP连接，彻底隔断了内网与外网的直接通信，从外部网只能看到代理服务器而不能了解内部网的资源信息，如用户的真实IP地址等。代理服务器提供详细的日志和审计功能，应用层的协议会话过程必须符合代理的安全策略要求，访问业务都由“守规矩”的代理服务器代劳。因此，代理服务防火墙的安全性大大提高。
                      代理服务器基于特定的应用，因此需要对每个应用服务（如Telnet、FTP）安装相应的代理服务软件，未被服务器支持的网络服务用户不能使用，因此代理服务防火墙维护量大，使用具有一定的局限性。由于需要代理服务，造成了网络性能下降，网络访问速度变慢。此外，每类应用服务需要使用特殊的客户端软件，并进行一些相关设置，使得代理服务防火墙的透明性较差。
                      复合型防火墙
                      复合型防火墙将前两类防火墙结合起来，形成新的产品，以发挥各自优势，克服各自缺点，满足更高安全性要求。
               防火墙的安全控制模型
               防火墙通常有两种安全模型可以选择：没有被列为允许访问的服务都是被禁止的；没有被列为禁止访问的服务都是被允许的。
               为网络建立防火墙，首先需要决定防火墙采取何种安全控制模型。采取第一种安全控制模型，需要确定所有可以被提供的服务以及它们的安全特性，开放这些服务；将所有其他未被列入的服务排除在外，禁止访问。采取第二种安全控制模型，正好相反，需要确定那些被认为是不安全的服务，禁止其访问；而其他服务则被认为是安全的，允许访问。找出网络所有的漏洞，排除所有的非法服务，一般是很难的。从安全性角度考虑，第一种模型更可取一些，而从灵活性和使用方便性的角度考虑，则第二种模型更合适。
               防火墙与Web服务器的配置方式
               根据需要，防火墙与Web服务器的配置会有所不同，主要有三种：
               （1）Web服务器置于防火墙之内。这种方式Web服务器可以得到安全保护，不易被外界攻击，但Web服务器本身也不易被外界所用。
               （2）Web服务器置于防火墙之外。这种方式主要保证了内部网安全，Web服务器不受到保护。需要注意的是，有些防火墙结构不允许将Web服务器设置在防火墙之外。
               （3）Web服务器置于防火墙之上。这种方式增强了Web服务器的安全性，但是如果Web服务器出现问题，整个Web站点和内部网都会处于危险之中。
 
       角色
        考虑一个有很多出纳的银行。每一个出纳必须对同一组关系具有同种类型的权限。无论何时指定一个新的出纳，他都必须被单独授予所有这些授权。
        一个更好的机制是指明所有出纳应该有的授权，并单独标示出哪些数据库用户是出纳。系统可以用这两条信息来确定每一个有出纳身份的人的权限。当一个人被新雇佣为出纳时，必须给他分配一个用户标识符，并且必须将他标示为一个出纳，而不需要重新单独给予出纳权限。
        角色（role）的概念可用于该机制。在数据库中建立一个角色集，和授予每一个单个用户一样，可将权限授予角色。分配给每个数据库用户一些他（或她）有权扮演的角色（也可能是空的）。
        事实上，在银行的数据库里，角色的例子可以包括system-administrator、branch-manager、teller和auditor。一个不是很合适的方法是建立一个teller用户号，允许每一个出纳用这个出纳用户号来连接数据库。该机制的问题是它无法鉴别出到底哪个出纳执行了事务，从而导致安全隐患。应用角色的好处是需要每个用户用自己的用户号连接数据库。
        任何可以授予一个用户的权限都可以授予一个角色。给用户分配角色就跟给用户授权一样。与其他授权一样，一个用户也可以被授予给他人分配角色的权限。这样，可以授予支行经理（branch-manager）分配出纳角色的权限。
 
       培训
        培训包括旨在提高项目团队成员能力的全部活动。
        培训可以是正式或非正式的。培训方式包括课堂培训、在线培训、计算机辅助培训、在岗培训（由其他项目团队成员提供）、辅导及训练。
        应按人力资源管理计划中的安排来实施预定的培训。也应根据管理项目团队过程中的观察、交谈和项目绩效评估的结果，来开展必要的计划外培训，培训成本通常应该包括在项目预算中，或者由执行组织承担（如果增加的技能有利于未来的项目）。培训可以由内部或外部培训师来执行。
 
       权限管理
        权限管理为整体平台及后续管理提供统一的账户管理和授权管理等功能，支持地域、权限、角色和组织的管理。
        支持部门管理：支持多级部门（如处、科）。分配给部门的角色，将被该部门下的所有用户所继承，如下图所示。
        
        业务单位管理
        支持账户管理：对账户能够进行管理维护，包括增加、删除、修改、查询账户信息，如下图所示。
        
        账户管理
        支持角色管理：角色表示一类特定的权限的集合，包括可以进行的操作和可以管理的资源，通过角色管理可以动态地创建、删除和修改角色，形成新的权限集合，以便分配给账户，达到控制账户权限的目的，如下图所示。
        
        角色管理
        支持授权管理：实现细粒度的权限控制，将权限分为操作权限和资源权限两种。操作权限如对表单数据的增加、删除、修改、查询、审核等，资源权限包括被管设备或资源分组、监控视图分组、报表分组等。通过操作权限和资源权限的有机组合及授权，可以实现对用户权限的细颗粒度的控制。
               用户管理
               用户管理包括组织架构管理、账户角色管理，能够根据用户实际管理架构设定整个平台的管理架构。
               授权管理
               
               细粒度的权限控制
               系统将权限分为操作权限和资源权限两种。操作权限如对表单数据的增加、删除、修改、查询、审核等，资源权限包括被管设备或资源分组、监控视图分组、报表分组等。通过操作权限和资源权限的有机组合及授权，可以实现对用户权限的细颗粒度的控制，如上图和下图所示。
               
               对资产资源（操作对象）的操作授权管理
 
       数据库
        数据库（DataBase，DB）是指长期存储在计算机内的、有组织的、可共享的数据集合。数据库中的数据按一定的数据模型组织、描述和存储，具有较小的冗余度、较高的数据独立性和易扩展性，并可为各种用户共享。
        系统使用的所有数据存储在一个或几个数据库中。
 
       系统的安全
        系统的安全涉及两类不同的问题，一类涉及技术、管理、法律、道德和政治等问题，另一类涉及操作系统的安全机制。随着计算机应用范围扩大，在所有稍具规模的系统中都从多个级别上来保证系统的安全性。一般从4个级别上对文件进行安全性管理：系统级、用户级、目录级和文件级。
        （1）系统级。系统级安全管理的主要任务是不允许未经授权的用户进入系统，从而也防止了他人非法使用系统中各类资源（包括文件）。系统级管理的主要措施有注册与登录。
        （2）用户级。用户级安全管理是通过对所有用户分类和对指定用户分配访问权，不同的用户对不同文件设置不同的存取权限来实现。例如，在UNIX系统中将用户分为文件主、同组用户和其他用户。有的系统将用户分为超级用户、系统操作员和一般用户。
        （3）目录级。目录级安全管理是为了保护系统中各种目录而设计的，它与用户权限无关。为了保证目录的安全，规定只有系统核心才具有写目录的权利。
        （4）文件级。文件级安全管理是通过系统管理员或文件主对文件属性的设置来控制用户对文件的访问。通常可设置以下几种属性：只执行、隐含、只读、读／写、共享、系统。用户对文件的访问，将由用户访问权、目录访问权限及文件属性三者的权限所确定，或者说是有效权限和文件属性的交集。例如对于只读文件，尽管用户的有效权限是读／写，但都不能对只读文件进行修改、更名和删除。对于一个非共享文件，将禁止在同一时间内由多个用户对它们进行访问。
 
       信息安全
        信息安全的5个基本要素为机密性、完整性、可用性、可控性和可审查性。
        （1）机密性。确保信息不暴露给未受权的实体或进程。
        （2）完整性。只有得到允许的人才能修改数据，并能够判别出数据是否已被篡改。
        （3）可用性。得到授权的实体在需要时可访问数据。
        （4）可控性。可以控制授权范围内的信息流向及行为方式。
        （5）可审查性。对出现的安全问题提供调查的依据和手段。
        随着信息交换的激增，安全威胁所造成的危害越来越受到重视，因此对信息保密的需求也从军事、政治和外交等领域迅速扩展到民用和商用领域。所谓安全威胁，是指某个人、物、事件对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是威胁的具体实现。安全威胁分为两类：故意（如黑客渗透）和偶然（如信息发往错误的地址）。
        典型的安全威胁举例如下表所示。
        
        典型的安全威胁
 
       用户管理
        用户（User）是网络系统的主要使用者，使用网络的单位和个人都属于用户范畴。用户的身份决定其在网络系统中的权限，不同身份的用户在网络系统中担任着不同的角色（Role）。
        在网络中必须有严格的用户管理措施，以保证网络的正常使用和运转。系统管理员是网络系统的维护人员，他的重要任务之一就是管理用户，他本人也是用户，但拥有比其他用户更高的权限。
        用户在使用网络系统之前需要注册，即将用户信息提交给网络管理员审阅，通过后即可开通服务。用户在使用网络资源的过程中必须接受管理员的管理和网络管理程序的控制，用户的行为必须遵守既定网络管理规则。
        网络用户管理包括以下内容。
        （1）局域网用户管理：局域网用户的创建、注销和访问权限管理，主域用户资料数据库的维护和管理。
        （2）电子邮件用户管理：电子邮件用户开户审核，用户创建、注销和权限管理，电子邮件用户数据库的维护。
        （3）用户入网设备IP地址管理：局域网用户的IP网络地址分配和技术支持，用户IP地址分配数据库的维护。
        （4）用户Internet访问管理：Internet访问权限管理、传输内容监控和费用分配控制管理，用户流量数据库管理和维护。
        在局域网环境中存在多种网络应用和管理系统，每个系统都含有一套独立的用户身份认证管理系统。为了有效地管理用户信息并利用这些信息提高网络管理效率，需要建立统一的身份认证系统，目前用户信息管理系统大都建立在轻量目录访问协议（Lightweight Directory Access Protocol, LDAP）的基础之上。
   题号导航      2020年下半年 信息系统管理工程师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
 
第4题    在手机中做本题