必修二 第五章 信息系统的安全风险防范-普通高中春招考试备考教材 信息技术（第六版）

9. 在 E­R 图中，（　　）表示实体间的联系。 A. 矩形 B. 菱形 C. 椭圆 D. 平行四边形 10. 下列关于信息系统在社会应用中的优势，描述错误的是（　　）。 A. 实现了信息资源的利用 B. 有助于管理和决策的科学化 C. 进行辅助管理控制 D. 增加了企业的人力和信息成本 二、判断题 11.P2P 网络结构取消了服务器的中心位置，网络中的计算机可以通过数据交换直接共 享资源和服务。 （　　） 12. 浏览器/服务器结构对资源的需求较大，所以增加了系统维护与升级的成本和工作 量，提高了用户的总体成本。 （　　） 13. 信息系统的体系结构只影响系统的工作过程，不影响系统的性能。 （　　） 14. 信息系统的实施阶段是信息系统开发的最后阶段。 （　　） 15. 中间件是指网络环境下处于操作系统、数据库等系统软件和应用软件之间的一种起 连接作用的分布式软件。 （　　） 16. 数据库是长期储存在计算机中、有组织的，但是不可共享的数据集合。 （　　） 17. 数据库管理系统属于应用软件。 （　　） 18. 具有近距离无线通信功能的手机，只要安装特定的手机程序，就可以实现公交卡的 功能。 （　　） 19. 随着信息系统覆盖社会生活的方方面面，我们足不出户，就可以在手机 App 上完成 诸如手机话费、宽带费、电费、水费、气费等各项生活缴费。这体现了信息系统在社会应用中 的优势。 （　　） 20. 信息系统的数据往往采用分布数据管理，所以数据的安全性很高，不会影响到信息 系统的正常运作。 （　　） 三、应用题 21. 什么是系统软件和应用软件？分别写出一种软件的名称。 第五章　信息系统的安全风险防范 一、信息系统应用中的安全风险 （1）　　　　　　　　：“人”是信息系统的使用者和管理者，是信息系统安全的薄弱 58 必修二　信息系统与社会　 环节。 （2）　　　　　　　　：信息系统中的硬件可能会受到危害和窃取，硬件物理安全的破 坏可直接导致信息的丢失；软件是信息系统中最难实施安全保护的部分，主要反映在软件开 发过程中的错误，如漏洞、故障、缺陷等问题。 （3）　　　　　　　　：信息资源在网络环境中共享、传播，一些重要的信息极有可能被 网络黑客窃取、篡改，也可能因为攻击行为导致网络崩溃而出现信息丢失，严重时可能波及 信息产业正常发展，甚至会造成人类社会动荡。通常网络发生危害信息安全的诱因包括以 下几个方面： ①网络系统管理的复杂性。 ②网络信息的重要性。 ③网络系统本身的脆弱性。 ④低风险诱惑。 （4）　　　　　　　　　　　　：通过信息采集、存储、处理和传输的数据，是具有很高 价值的资产，其安全性格外重要。 二、信息系统安全风险防范的技术和方法 1.信息系统安全风险的重要术语 ①　　　　：指经常存在的，对信息或信息资产具有潜在危险的人、实体或其他对象，也 称为威胁主体，即针对信息系统的潜在危险。 ②　　　　：不断对资产进行蓄意或无意地破坏或损害信息、或损害信息系统的一种行 为。它分为主动攻击和被动攻击、蓄意攻击和无意攻击、直接攻击或间接攻击等类型。 ③　　　　：对手通过攻克系统的访问控制保护，得到对第三方数据的非授权访问。 ④　　　　：它是信息系统自身存在的弱点或错误，使信息暴露在被攻击或被破坏的风 险中。 ⑤　　　　：一种软件、硬件、过程或认为缺陷，它的存在说明了缺少应该使用的安全措 施或者安全措施有了缺陷。 ⑥　　　　：威胁主体利用脆弱性的可能性以及相应的业务影响。 2.信息安全模型及安全策略 （1）信息系统安全性、便利性与成本的关系 信息系统不存在绝对的安全，因为安全性和便利性及成本之间有着矛盾的关系。提高 了安全性，相应地就会降低便利性；提高安全性，势必会增大成本；应用性越好，安全性可能 就越低。 （2）P2DR 安全模型 P2DR 安全模型包括　　　　、　　　　、　　　　和　　　　四个部分。 ①策略：根据风险分析产生的安全策略描述了系统中哪些资源要得到保护，以及如何实 现对它们的保护等。策略是模型的核心，所有的防护、检测、响应都是依据安全策略实施的。 59 网络安全策略一般包括访问控制策略、身份认证策略和备份恢复策略等。 ②防护：通过修护系统漏洞、正确设计开发和安装系统来预防安全事件的发生；通过定 期检查来发现可能存在的系统脆弱性；通过教育等手段，让用户和操作员正确使用系统，防 止意外威胁；通过访问控制、监视手段来防止恶意威胁。采用的技术一般包括数据加密、身 份认证、访问控制、授权和虚拟专用网（VPN）技术、防火墙、安全扫描和数据备份等。 ③检测：动态响应和加强防护的依据，通过不断地检测和监控网络系统，来发现新的威 胁和弱点，并通过循环反馈来及时做出有效的响应。采用的技术一般有实时监控和 IT 审计。 ④响应：在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调 整到风险最低的状态。评估系统受到的危害与损失，恢复系统功能和数据，启动备份系统 等，主要方法包括关闭服务、跟踪、反击、消除影响。 （3）信息系统安全策略分析 对于以计算机及网络为主体的信息系统，其安全策略可以从非技术和技术两个方面来 考虑。其中非技术策略方面主要包括　　　　、　　　　、　　　　三个层面；技术策略分 为　　　　和　　　　两大方面，主要包括　　　　、　　　　、　　　　、　　　　和　　 　　五个层面。 3.信息系统安全防范的常用技术 信息系统安全问题主要是确保信息在存储、处理和传输过程中免受偶然或恶意的非法 泄密、转移和破坏。信息系统安全风险防范的常用技术方法总是伴随着问题的不断变化而 逐步完善的，主要包括以下几个方面。 （1）加密技术 信息加密的目的是　　　　　　。加密的基本原理是：在发送端将数据变换成某种难 以理解的形式，把信息隐藏起来，在接收端通过反变换恢复数据的原样。信息加密和密码分 析是一对矛盾的两个方面。加密是研究如何生成高保密性的有效算法，使受保护的数据处 于安全状态。密码分析是研究高效算法破译密码以获取机密信息。 （2）认证技术 认证有两个目的：一是　　　　　　　　，以防止有可能冒充发送者身份信息的情况出 现；二是　　　　　　　　。在用户身份认证中，口令字（即密码）是当前最简单的方法，但 安全性不够，在安全性要求较高的系统中，可以采用物理手段甚至生物手段来识别。 （3）主机系统安全技术 主机系统安全技术是指用于保护计算机操作系统和运行于其上的信息系统的技术，具 体包括操作系统安全技术、数据库安全技术和可信计算技术等。 ①操作系统安全技术：操作系统安全机制包括用户账号控制机制、强制完整性控制机 制、用户界面特权隔离机制、网络访问保护机制等措施。 ②数据库安全技术：数据库安全是涉及信息安全技术领域与数据库技术领域的一个典 型交叉学科，其中较有代表性的是安全数据库管理系统、外包数据库安全、云数据库/云存储 安全等技术。 60 必修二　信息系统与社会　 ③可信计算技术：在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算 平台，以提高系统整体安全性的技术。 （4）网络与系统安全应急响应技术 ①防火墙技术：防火墙是位于不可信的外部网络和被保护的内部网络之间的一个网络 安全设备或由多个硬件设备和相应软件组成的系统。防火墙的基本类型可分为包过滤防火 墙、代理网关、包检查型防火墙和混合型防火墙。 ②入侵检测技术：用于检测损害或企图损害系统的机密性、完整性及可用性等行为的一 类安全技术。一个入侵检测系统（IDS）需要解决三方面问题：首先，充分并可靠地采集网络 和系统中的数据、提供描述网络和系统行为的特征；其次，它必须根据以上数据和特征，高效 并准确地判断网络和系统行为的性质；最后，为防范网络和系统入侵提供手段。 ③应急响应技术：在网络被破坏的前后采取相应的预防、应对措施。一般分为前期响 应、中期响应与后期响应三个阶段，它们跨越紧急安全事件发生和应急响应的前后。 （5）恶意代码检测与防范技术 恶意代码的防治包括预防、机理分析、检测和清除等环节。预防主要通过切断传播和感 染的途径或破坏实施条件等手段提高预防实施效果。机理分析是指通过一定的方法确定感 染目标中存在的恶意代码种类。清除是指在尽量保存被感染程序功能的情况下移出恶意代 码或使其失效。 （6）人工智能技术在反病毒中的应用 计算机病毒是指编制的或者在计算机程序中插入的，可以破坏计算机功能或者毁坏数 据，影响计算机使用，并能自我复制的一组计算机指令。采用人工智能方法编制检测病毒软 件，建立以知识库和推理机为核心的计算机病毒专家系统，在运行过程中不断学习和总结 经验。 三、合理使用信息系统 1.树立信息安全意识 （1）信息安全管理 在所有的计算机安全风险中，人为因素占据比例超过一半，其中管理方面造成风险的比 重高达 70%，因此，管理因素是信息系统安全保障体系的重要组成部分，涉及信息系统安全 的各个方面，包括制订信息安全的政策法规，制订各类规范的操作程序，加强人员安全与法 律意识，各类风险评估等。 （2）知识产权保护及其意义 网络与计算机环境中的知识产权保护与网络及计算机的安全直接相关，做好信息资源 的知识产权保护有利于信息系统安全保障。受保护的信息资源主要包括以下内容。 ①软件：包括由商业软件开发商开发的程序及共享软件、专用软件和个人软件。 ②数据：包括因为具有潜在商业价值而收集并组织的数据。 ③数字内容：能够用计算机或其他数字设备以某种方式展示出来的，包括音频文件、课 件、网站等数字作品。 61 ④算法：已经获得专利的算法。 2.信息系统安全操作规范 （1）信息系统规范操作的必要性 ①人为因素是信息系统安全问题产生的主要原因。 ②规范操作是消除过程因素造成的潜在安全威胁的必要策略。 （2）信息系统规范操作及其意义 信息系统规范操作就是要按照信息系统既定标准、规范的要求进行操作。信息系统规 范操作是加强信息系统的运行管理、提高工作质量和管理有效性，实现计算机系统维护、操 作规范化，确保计算机系统安全、可靠运作的保障。 3.信息社会的道德准则与法律法规 （1）网上道德规范 为了维护信息安全，网上活动的参与者要加强网络道德自律和提升网络素养，自觉遵守 网络道德规范，切实做到以下几点： 　 ● 未经允许，不进入他人计算机信息网络或者使用他人计算机网络信息资源。 　 ● 未经允许，不对计算机信息网络功能进行删除、修改或者增加。 　 ● 未经允许，不对计算机信息网络中存储、处理或传输的数据和应用程序进行删除、修 改或者增加。 　 ● 不故意制作、传播计算机病毒等破坏性程序。 　 ● 不做危害计算机信息网络安全的其他事情。 （2）信息安全法律法规 信息安全的法律法规是国家安全体系的重要内容，是安全保障体系建设中的必要环节。 其明确信息安全的基本原则和基本制度、信息安全相关行为的规范、信息安全中各方的权利 与义务、违反信息安全行为及相应的处罚。 随堂练习 一、单项选择题 1. 以下哪项操作是为了数据安全？（　　） A. 定时备份数据 B. 经常恢复数据 C. 减少数据库运行时间 D. 把数据存储在数据库中 2. 下列关于信息系统安全风险的说法，错误的是（　　）。 A. 风险是客观存在的 B. 风险是指一种可能性 C. 人为因素造成的风险，随机性太强，没法管控 D. 技术和设计的不完善导致信息系统存在脆弱性 3. 下列不属于信息系统安全风险术语的是（　　）。 62 必修二　信息系统与社会　 A. 威胁 B. 脆弱性 C. 漏洞 D. 检测 4. 输入用户名和密码登录 Web 系统，关闭系统页面后，短时间内不用重新登录依然可进 入系统，这是因为用户名和密码的信息被临时保存在（　　）。 A.Cookie B. 数据库 C.Web 服务器 D. 日志文件 5.2019 年，我国铁路实行电子客票，不再需要提前取纸质车票，通过人脸识别闸机验票 后，刷身份证或手机二维码，即可快速验票进站乘车。该案例采用了信息系统安全风险防范 技术中的（　　）。 A. 数据备份 B. 身份认证 C. 数据加密 D. 设置防火墙 6. 以下关于防火墙技术的说法不正确的是（　　）。 A. 可以在用户的计算机和因特网之间建立起一道屏障 B. 分为硬件防火墙和软件防火墙 C. 可以预防火灾的发生 D. 防火墙是一个或一组网络设备，用来加强访问控制，避免受到攻击 7. 下列选项中，不属于信息系统物理安全措施的是（　　）。 A. 防雷击 B. 防电磁泄漏 C. 环境维护 D. 信息加密 8. 密码的设置，应该（　　）。 A. 方便记忆，使用个人的出生年月 B. 设置复杂的密码，并且定期更换 C. 在所有场合都使用相同的密码 D. 可以不设置 9. 以下字符作为密码最安全的是（　　）。 A.20050315 B.XIAOmi C.12345678 D.ZS9527# 10. 现在的大部分网站，在用户注册时，会使用密文的方式将用户信息保存在数据库中， 这样即使数据库泄露，用户的信息也不会轻易被别人掌握。这是安全防范措施中的（　　）。 A. 身份认证 B. 设置防火墙 C. 数据备份 D. 数据加密 二、判断题 11. 影响信息系统安全风险的因素包括人为因素、软硬件因素、网络因素、数据因素。 （　　） 12. 信息系统安全措施主要从物理安全和逻辑安全两方面进行考虑。 （　　） 13. 随着人工智能和大数据的发展应用，信息系统不会有安全隐患。 （　　） 14. 为克服密码容易遗忘、被盗的缺点，适合鉴定用户身份的方式是使用指纹。 （　　） 15. 未经允许进入信息系统后台，只要没有窃取数据和进行破坏，就不违法。 （　　） 16. 解密的过程就是通过密码本，把明文变成密文。 （　　） 17. 网络是病毒传播的主要途径，不联网的计算机就不会感染计算机病毒。 （　　） 18. 宏病毒可感染 Word 或 Excel 文件。 （　　） 19. 在自己的作品中引用他人的作品，应注明引用信息的来源、作者。 （　　） 20.2021 年我国颁布了《个人信息保护法》，进一步规范了网络行为，保障了个人信息权 益。 （　　） 63 三、应用题 21. 简述 P2DR 安全模型。 22. 某计算机感染病毒后，使用过的 U 盘、移动硬盘，办公室局域网内的其他计算机也感 染了该病毒，一周后中午十二点，病毒发作，程序图标被篡改，重要文件被删除。请试着分析 一下计算机病毒的特征。 23. 现如今，朋友圈和自媒体成为主流的信息传播媒介，随手转发和随手拍已成常态，时 常有片面、虚假信息在网上传播，甚至扰乱了社会秩序还造成严重后果，对此，请谈谈你的 看法。 64 第五章 信息系统的安全风险防范 一、信息系统应用中的安全风险 1、人为因素造成的信息安全风险 2、软硬件因素造成的信息安全风险 3、网络因素造成的信息安全风险 4、数据因素造成的信息安全风险 二、信息系统安全风险防范的技术和方法 1、信息系统安全风险的重要术语 （1）威胁 （2）攻击 （3）入侵 （4）漏洞 （5）脆弱性 （6）风险 2、信息安全模型及安全策略 （2）P2DR安全模型：策略（Policy）、防护(Protection)、检测（Detection）和响应（Response） （3）信息系统安全策略分析 预防意识、管理保障措施、应急响应机制 物理和逻辑 物理系统、操作系统、数据库系统、应用系统和网络系统 3、信息系统安全防范的常用技术 （1）加密技术：防止信息被窃取 （2）认证技术：一是验证信息发送者的身份，以防止有可能冒充发送者身份信息的情况出现；二是验证信息的完整性。 四、随堂练习 （一）单项选择题 1-5ACDAB 6-10CDBDD （二）判断题 11-15✔✔✖✔✖ 16-20✖✖✔✔✔ （三）应用题 21.答：PPDR模型是一种常用的信息系统安全模型，包含四个主要部分：策略（Policy）、防护（Protection）、检测（Detection）和响应（Response）。是指在安全策略的控制和指导下，运用防火墙、操作系统身份认证、加密等防护手段，利用检测工具监管和评估系统的安全状态，通过适当的响应，将系统保持在"风险最低"的状态。 22.答：结合材料分析可得病毒有以下五个特征： 破坏性:破坏计算机功能或者毁坏数据 传染性:移动存储设备，网络传播 隐蔽性:不易察觉 潜伏性:定点发作 可触发性：病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特征 23.答：在信息时代的今天，网络中充满各种真假难辨的信息，我们要掌握鉴别信息真伪的方法，学习相关法律法规，转发经过验证的真实消息，发布完整且保护他人隐私的信息，如果转发虚假信息、发布掐头去尾误导性消息，就有可能受到行政处罚，扰乱社会秩序或造成一定后果的，还有可能涉嫌刑事犯罪。 学科网（北京）股份有限公司 $$