基礎知識
1、計算機系統的安全需求是什么？
答：為了保證系統資源的安全性、完整性、可靠性、保密性、可用性、有效性和合法性，為了維護正當的信息活動，以及與應用發展相適應的社會公共道德和權利，而建立和采取的組織技術措施和方法的總和。
安全性：標志防止非法使用和訪問的程度。
完整性：標志程序和數據能滿足預定要求的完整程度。
可靠性：計算機在規定條件下和規定時間內完成規定功能的概率。
保密性：利用密碼技術對信息進行加密處理，以防止信息泄漏。
可用性：對符合權限的實體提供服務的程度。
有效性和合法性：接受方應能證實它所受到的信息內容和順序都是真實的，應能檢驗受到的信息是否是過時或重播的消息。
2、計算機安全措施包括哪三個方面？
答：1、安全立法：包括社會規范和技術規范。
2、安全管理：包括社會規范人員培訓與教育和健全機構、崗位設置和規章制度。
3、安全技術。
3、系統安全對策的一般原則是什么？
答：1、綜合平衡代價原則、
2、整體綜合分析和分級授權原則；
3、方便用戶原則；
4、靈活適應性原則；
風險評估
1、什么是風險？風險的特性是什么？如何解決系統中遇到的風險
答：風險是傷害和損失的可能性；特性（核心因素）是不確定性，而且任何生意都有風險；
實施方法：1、清除風險：采取某種措施徹底消除一個威脅；
2、減輕風險：通過某些安防措施減輕威脅的危害；
3、轉移風險：把風險后果從自己的企業轉移到第三方去。
2、計算機安全需要保護的資產包括哪些？
答：硬件：各種服務器，路由器、郵件服務器、web服務器。
軟件：網絡服務和協議，傳遞的信息，訪問權限。
3、風險評估分為哪幾個步驟？那幾部最關鍵？
答：第一布：資產清單、定義和要求；第二步：脆弱性和威脅評估；第三步：安防控制措施評估；第四步：分析決策和文檔；第五步：溝通與交流；第六步：監督實施；
關鍵步驟：第一步、第二步、第五步
4、風險評估需要解決什么問題？
答：1、什么東西會出現問題？2、如果它發生，最壞的情況是什么？3、出現的頻率4、前三個問題的答案有多肯定？5、可以采取什么措施消除、減輕和轉移風險？6、它需要劃分多少錢？7、它多有效？
身份驗證
1、身份驗證主要解決什么問題？
答：1、你是誰？2、你是屬于這里的么？3、你有什么樣的權限？4、怎么才能知道你就是你聲稱的那個人？
2、身份認證的方法有哪些？最常用的方法有哪些？
答：1、用戶ID和口令字；2、數字證書；3、SecurID；4、生物測定學；5、Kerberos協議（網絡身份驗證協議）；6、智能卡；7、iButton(電子紐扣)；
最常用的有：1、2
3、怎樣的口令是強口令？
答：（1）它至少要有七個字符長 （2）大小寫字母混用
（3）至少包含一個數字 （4）至少包含一個特殊字符
（5）不是字典單詞、不是人或物品的名稱、也不是用戶的“珍貴”資料
4、什么是單站式簽到技術？采用單站式簽到技術會存在哪些問題？
答：用戶表明一次自己的身份并得到驗證，再進入自己有權訪問的其他系統或軟件時不用再次表明自己身份。問題有：1、單站式簽到技術是否安全；2、黑客的單站式攻擊點；3、遇到系統故障或拒絕服務怎么辦；4、如何跨平臺支持；
網絡體系結構和物理安防措施
1、VLAN按地址類型劃分可以分四種方式
包括：1、根據（端口）地址劃分；
2、根據（MAC）地址劃分；
3、根據（IP）地址劃分；
4、通過（IP）廣播地址劃分；
2、舉出計算機安全3個物理安防的措施？
答：1、安裝聲像監控；2、門鎖；3、安一扇堅固的門；4、災難預防；5、雇用優秀的接待人員；6、選擇房間位置；7、工作站的安防措施；8、注意天花板；9、使用不間斷電源（UPS）；
3、安防網絡體系結構的配置有哪三種常見的配置方案？
答：1、中央型公司；2、使用了托管服務的中央型公司；3、分公司；
防火墻和網絡邊防
1、什么是防火墻？防火墻應具備什么功能？
答：防火墻是監視和控制可信任網絡和不可信任網絡之間的訪問通道。
功能：1、過濾進出網絡的數據包；2、管理進出網絡的行為；3、封堵某些禁止的訪問行為；4、記錄通過防火墻的信息內容和活動；5、對網絡攻擊進行檢測和告警；
2、防火墻實現技術有（數據包過濾器）、（代理）和（狀態分析）三種方式。
3、防火墻基本設置方針是什么？一般設計防火墻用那種方針？
答：1、拒絕一切未賦予特許的東西（安全性高）；2、允許一切未被特別拒絕的東西（靈活性好）；第一種方針好，一般采用第一種方針設計防火墻。
4、過濾控制點主要設置在哪三層？
答：（1）源IP和目的IP，以及IP Options
（2）在TCP頭中的源端口和目的端口號以及TCP標志上
（3）基于特定協議分別設定
5、什么是NAT？
答：NAT就是網絡地址翻譯。
6、防護墻體系結構如何選擇？
答：1、根據自己公司的情況選擇技術合適的防火墻；
2、是使用硬件防火墻還是使用軟件防護墻；
3、防火墻的管理和配置是由企業自己來完成還是把這些任務交給一家受控服務提供商。
入侵檢測
1、入侵檢測系統分為哪幾中類別？最常見的有哪些？
答：（1）應用軟件入侵監測 （2）主機入侵監測 （3）網絡入侵監測 （4）集成化入侵監測
2、入侵檢測系統應該具備哪些特點？
答：1、自動運行；2、可以容錯；3、無序占用大量的系統資源；4、能發現異常行為；5、能夠]適應系統行為的長期變化；6、判斷準確；7、可以靈活定制；8、保持領先。
3、入侵行為的誤判分為（正誤判）、（負誤判）和（失控誤判）三種類型。
正誤判：把一個合法操作判斷為異常行為；
負誤判：把一個攻擊行為判斷為非攻擊行為并允許它通過檢測；
失控誤判：是攻擊者修改了IDS系統的操作，使他總是出現負誤判；
4、入侵檢測系統的分析技術最常用的方法是哪三類？
答：1、簽名分析法；2、統計分析法；3、數據完整性分析法；
“簽名分析法”主要用來監測有無對系統的已知弱點進行的攻擊行為。
“統計分析法”以系統正常使用情況下觀測到的動作模式為基礎，如果某個操作偏離了正常的軌道，這個操作就值得懷疑。
“數據完整性分析法”可以查證文件或者對象是否被別人修改過。
遠程訪問
1、使用遠程訪問的人員有哪些？
答：1使用電信線路上網
2旅行中的員工
3網絡管理員
4商務伙伴和供應商
2、遠程解決方案的基本要求包括哪些？
答：1安全防護
2成本
3可擴展性
4服務質量
5實施、管理和使用方面的易用性
6用戶的身份驗證
主機的安全保護
1、什么是操作系統的硬化？包括那幾步？
答：在細致分析的基礎上盡可能的減少它與外界的交流渠道，盡可能的減少在它上面運行的不必要的服務項目。
步驟1：把供應商推薦的安防補丁都打好。
步驟2：取消不必要的服務
步驟3：緊固子目錄/文件的訪問權限。
步驟4：明晰用戶權限，嚴禁控制用戶的訪問權限。
2 、實施主機安防步驟包括那些：
答：1 分析計算機將要執行的功能
2 把供應商推薦的安防補丁都打好
3 安裝安防監控程序
4 對系統的配置情況進行審查
5 制定的備份和恢復流程
3、 windows 2000 pro 操作系統的硬化主要包括(20選10)
1)禁用登陸信息緩沖功能
2)禁用”guest”賬戶激活
3)禁用不必要的服務
4)禁用空白口令字
5)保護注冊表，不允許匿名訪問
6)保證Administrator口令的安全性
7)”syskey”保護功能
8)把內存頁面設置為關機時清楚狀態
9)修改權限成員
10)隱藏最后一個登錄上機的用戶名字
11)讓用戶選用難以破解的口令字
12)FAT轉換成NTFS
13)取消用不著的協議
14)刪除OS/2和POSIX子系統
15)限制使用“Lanmanager Authentication”的功能
16)限制訪問公共的“Local Security Authority”
17)部署一個域結構
18)保護文件和子目錄
19)制定出適當的注冊表訪問控制列表
20)制定賬戶封鎖及撤銷制度，嚴肅處理違反安防制度的行為
服務器的安全保護
1 .windows 2000 服務器 操作系統的硬化主要包括
1)斷開網絡
2)安裝windows server
3)使用NTFS格式
4)在安裝的GUI部分，選用”stand alone”
5)不要安裝communication 、accessories、Multimedia減少不必要的服務
6)刪除IPX協議
7)在缺省的administrator account 使用7個字符的安全口令
8)重新啟動機器
9)安裝hot fixes 和 service packs
2 、安裝 windows 2000 服務器后再完成以下步驟
1)從網絡配置里去掉 netbios interface, rpc configuration, server, workstation, computer browser
2)在連接因特網的網卡上禁用wins功能
3)在services 菜單里禁用 tcp\ip netbios helps
4)修改注冊表
a)系統不顯示最后一個登錄上機的用戶 hkey-local-machine\sofeware\microsoft\windowNT\CurrenVersion\winlogon=1
b)在hkey-local-machine\system\currentcontrolset\control\lsa\ 下創建 restrictanonymouse 新主鍵，鍵值=1
5)激活syskey功能
3、數據庫的安全主要進行那些方面的工作
1)刪除缺省賬戶和樣本數據庫
2)控制數據庫名稱和存放位置的傳播范圍
3)合理使用審計功能
4)隔離并保護業務數據庫
客戶端的安全防護
1、什么是計算機病毒，特征？
計算機病毒是一個程序，一段可執行碼，
1)是通過磁盤、磁帶和網絡等作為媒介傳播擴散，能傳播其他程序的程序。
2)能夠實現自身復制且借助一定的載體存在的具有潛伏性、傳染性和破壞性的程序。
3)一種人為制造的程序，使計算機的資源受到不同程序的破壞。
特征：傳染性，破壞性、隱蔽性、觸發性、寄生性。
2、計算機病毒常用的分類方法，按照病毒本身的特征分類？
1)按照病毒傳染文件的類型分類：文件型病毒、引導型病毒和綜合型病毒。
2)按照病毒本身的特征：木馬類病毒、蠕蟲類病毒、黑客類病毒、宏病毒和腳本病毒。
3)按照病毒依賴的操作系統分：DOS ,window 3.x ,windows 9.x ,windows NT病毒和其他操作系統病毒。
3、從微觀角度來看計算機病毒有什么危害？
1)影響計算機正常使用
2)造成數據丟失
3)影響聲譽，帶來不良影響
4)個人信息泄漏
5)造成嚴重的泄密事件
4、常見病毒的傳播方式：
1)宏病毒：依靠OFFICE的模板文檔傳染
2)蠕蟲病毒：大部分依靠E-mail傳播
3)腳本病毒：依靠網頁傳播
4)木馬程序：依靠服務器端程序進行破壞
5、從客戶端的安全考慮，應該采取哪些措施
1)預防電腦的失竊和盜用
a)物理安防措施
b)訪問控制軟件和身份驗證軟件
c)失竊追蹤系統
2)計算機病毒的防護
3)惡意代碼的防護
4)軟件防護（微軟公司軟件）
a)安防補丁
b)動態內容的安全防護
c)個人防火墻
5)即時消息（的安防）
應用軟件的開發
1、應用軟件面臨哪些威脅？解決辦法是什么？
答：偽造身份；解決方案：雙重身份驗證
破壞數據；解決方案：數據完整性檢查性
否認事實；解決方案：對操作行為進行日志紀錄
泄漏信息；解決方案：身份驗證和加密
拒絕服務；解決方案：網絡流量分析；防火墻
私自提升優先級；解決方案：緊跟最新的安防補丁、優化OS
2、WEB應用軟件的脆弱點有哪幾大類？
答：1、不可見數據域：指暗藏著的HTML表單數據域。
2、后門和調試選項：給軟件開發人員提供非正式的且不受限制的訪問權限。
3、跨站點腳本：是把代碼插到從其他源地址發來的頁面中去這樣一個過程。
4、篡改參數：指對URL字符串進行精心策劃，使之能檢驗出原本不應該讓這名用戶看到的信息資料
5、COOKIE中毒：指對保存在COOKIE里的數據進行篡改的行為。
6、操縱輸入信息：在HTML表單里，攻擊者利用在CGI腳本程序名的后面輸入一些精心安排的“非法”數據來運行系統命令。
3、什么是COOKIE中毒？
答：COOKIE中毒是指對保存在COOKIE里的數據進行篡改的行為。
在隨后的3個月當中我們將逐步推出：信息安防、密碼學基礎、網絡體系架構、入侵檢測、主機與服務器的安防、等專題文章供大家學習討論，敬請大家關注。

、單項選擇題（共70題，每題1分。每題的備選項中，只有1個符合題意）
　　1.能夠反映項目管理班子內部項目經理。各工作部門和各式作崗位在各項管理工作中所應承擔的策劃、執行、控制等職責的組織工具是（ ）。
　　A.管理職能分工表
　　B.組織結構圖
　　C.工作任務分工表
　　D.工作流程圖
　　【答案】A
　　【解析】管理職能分工表是用表的形式反映項目管理班子內部項目經理、各工作部門和各工作崗位對各項工作任務的項目管理職能分工。表中用拉丁字母表示管理職能。
　　2.某工作項目施工采用施工總承包模式，其中電氣設備由業主指定的分包單位采購和安裝，則在施工中分包單位必須接受（）工作指令，服從其總體項目管理。
　　A.業主
　　B.設計方
　　C.施工總承包方
　　D.項目監理方
　　【答案】C
　　【解析】施工總承包方對所承包的建設工程承擔施工任務的執行和組織的總的責任，分包施工方承擔合同所規定的分包施工任務，以及相應的項目管理任務。若采用施工總承包或施工總承包管理模式，分包方（不論是一般的分包方，或由業主指定的分包方）必須熱愛施工總承包方或施工總承包管理方的工作指令，服從其總體的項目管理。
　　3.對項目的結構進行逐層分角所采用的組織工具是（）。
　　A.項目結構圖
　　B.組織結構
　　C.合同結構圖
　　D.工作流程圖
　　【答案】A
　　【解析】項目結構圖是一個組織工具，它通過樹狀圖的方式對一個項目的結構進行逐層分解，以反映組成該項目的所有工作任務。項目結構圖中，矩形框表示工作任務（或第一層、第二層子項目等），矩形框之間的連接用連線表示。
　　4.線性組織結構模式的特點之一是（）。
　　A.組織內每個工作部門可能有多個矛盾的指令源
　　B.組織內每個工作部門有橫向和縱向兩個指令源
　　C.能促進組織內管理專業化分工
　　D.組織內每個工作部門只接受一個上級的直接領導
　　【答案】D
　　【解析】在純情組織結構中，每一個工作部門只能對其直接的下屬部門下達工作指令，每一個工作部門也只有一個直接的上級部門，因此，每一個工作部門只有惟一個指令源，避免了由于矛盾的指令而影響組織系統的運行。
　　5.下列關于項目管理工作任務分工表的說法，正確的是（）。
　　A.工作任務分工表反映組織系統的動態關系
　　B.一個工程項目只能編制一張工作任務分工表
　　C.工作任務分工表中的具體任務不能改變
　　D.工作任務分工表是項目的組織設計文件之一
　　【答案】D
　　【解析】每一個建設項目都應編制項目管理任務分工表，這是一個項目的組織設計文件的一部分。A項，組織結構模式和組織分工都是一種相對靜態的組織關系；B項，業主方和項目各參與方都有各自的項目管理的任務，各方都應該編制各自的項目管理任務分工表；C項，在工作任務分工表中應明確程式工作任務由哪個工作部門（或個人）負責、由哪些工作部門（或個人）配合或參與，無疑，在項目的進展過程中，應視必要性對工作任務分工表進行調整。
　　6.項目管理的核心任務是項目的（ ）。
　　A.組織協調
　　B.目標控制
　　C.合同管理
　　D.風險管理
　　【答案】B
　　【解析】項目管理的核心任務是項目目標控制，按項目管理學的基本理論，沒有明確目標的建設工程不是項目管理的對象。
　　7.能反映項目組織系統中各項工作之間邏輯關系的組織工作是（ ）。
　　A.項目結構圖
　　B.工作流程圖
　　C.工作任務分工表
　　D.組織結構圖
　　【答案】B
　　【解析】工作流程圖用圖的形式反映一個組織系統中各項工作之間的邏輯關系，它可用以描述工作流程組織。工作流程圖矩形框表示工作，箭線表示工作之間的邏輯關系，菱形框表示判別條件。也可用兩個矩形框分別表示工作和工作的執行者。
　　8.某施工企業在編制施工組織總設計時，已完成的工作有：收集和熟悉有關資料和圖紙、調查項目特點和施工條件、計算主要工種的工程量、確定施工的總體部署和施工方案，則接下來應該進行的工作是（ ）。
　　A.主要技術經濟指標
　　B.編制施工總進度計劃
　　C.編制資源需求量計劃
　　D.施工總平面圖設計
　　【答案】B
　　【解析】施工組織設計的編制通常采用的程序包括：①收集和熟悉編制施工組織總設計所需的有關資料和圖紙，進行項目特點和施工條件的調查研究；②計算主要工種工程的工程量；③確定施工的總體部署；④擬訂施工方案；⑤編制施工總進度計劃；⑥編制資源需求量計劃；⑦編制施工準備工作計劃；⑧施工總平面圖設計；⑨計算主要技術經濟指標。
　　9.下列項目目標控制工作中，屬于主支控制的是（）。
　　A.事前分析可能導致目標偏離的各種影響因素
　　B.目標出現偏離時采取糾偏措施
　　C.進行目標的實際值與計劃值的比較
　　D.分析目標的實際值與計劃值之間存在偏差的原因
　　【答案】A
　　【解析】項目目標動態控制過程，為避免目標偏離的發生，應重視事前的主動控制。即事前分析可能導致項目目標偏離的各種影響因素，并針對這些影響因素采取有效的措施。
　　10.運用動態控制原理控制施工進，質量目標除各分部分項工程的施工外，還包括（）。
　　A.建筑材料和有關設備的質量
　　B.設計文件的質量
　　C.施工環境的質量
　　D.建設單位的決策質量　　【答案】A
　　【解析】運用動態控制原理控制施工質量時，質量目標不公是各分部分項的施工質量，它還包括材料、半成品、成品和有關設備等的質量。在施工活動展前，首先應對質量目標進行分解，也即對上述組成工程質量的各元素的質量目標作出明確的定義，它就是質量的計劃值。在施工過程中則應收集上述組成工程的各元素質量的實際值，并定期地對施工質量的計劃值和實際值進行跟蹤和控制。
11.對建設工程項目管理而言，風險是指可以出現的影響項目目標實現的（? ）。
　　A.不確定因素
　　B.錯誤決策
　　C.不合理指令
　　D.設計變更
　　【答案】A
　　【解析】風險指的是損失的不確定性，對建設工程項目管理而言，風險是指可能出現的項目目標實現的不確定因素。
　　12.建設工程施工過程，可能會出現不利的地質條件（如地勘未探明的軟弱層）而使施工進度延誤、成本增加，這種風險屬于（? ）。
　　A.經濟與管理風險
　　B.組織風險
　　C.工程環境風險在
　　D.技術風險
　　【答案】C
　　【解析】工程環境風險包括：①自然災害；②巖土地質條件和水文地質條件；③氣象條件；④引起火災和爆炸的因素等。
　　13.下列防范土方開挖過程中塌方風險而采取的措施，屬于風險轉移對策的是（? ）。
　　A.投保建筑工程一切險
　　B.設置警示牌
　　C.進行專題安全教育
　　D.設置邊坡護壁
　　【答案】A
　　【解析】常用的風險對策包括風險規避、減輕、自留、轉移及其組合等策略。對難以控制的風險向保險公司投保是風險轉移的一種措施。防范土方開挖過程中塌方風險屬于難以控制的風險。
　　14.項目監理機構處理業主和承包方的利益沖突或矛盾時，應堅持的原則是（? ）。
　　A.無條件維護業主的權益
　　B.無條件維護承包方的權益
　　C.在不損害業主合法的前提下，維護承包方的權益
　　D.在維護業主的權益時，不損害承包方的合法公益
　　【答案】D
　　【解析】工程監理機構受業主的委托進行下程建設的監理活動，當業主方和承包商發生利益沖突或矛盾時，工程機構應以事實為依據，以法律和有關合同為準繩，在維護業主的合法權益時，不損害承包商的合法權益，這體現了建設工程監理的公正性。
　　15.對于需要施旁站監理的施工關鍵部位、關鍵工序、施工企業應在進行施工前（? ）小時，書面通知項目監理機構。
　　A.12
　　B.24
　　C.36
　　D.48
　　【答案】B
　　【解析】施工企業根據監理企業制定的旁站監理方案，在需要實施旁站監理的關鍵部位、關鍵工序進行施工前24小時，應當書面通知監理企業派駐工地的項目監理機構。項目監理機構應當安排旁站監理人員按照旁站監理方案實施旁站監理。
　　16.根據《建筑安裝工程費用項目組成》（建標[2003]206號）施工中手忙腳亂建筑材料的一般鑒定、檢查費用應計入建筑安裝工程（? ）。
　　A.材料費
　　B.經費
　　C.措施費
　　D.企業管理費
　　【答案】A
　　【解析】材料費是指施工過程中耗用的構成工程實體的原材料、輔助材料、構配件、零件、半成品的費用、包括：①材料原價（或借應價格）；②材料運雜費；③運輸損耗費；④采購及保管費；⑤檢驗試驗費，是指對建筑材料、構件和建筑安裝物進行一般鑒定、檢查所發生的費用，包括自設試驗室進行試驗所耗用的材料和化淡定藥品等費用。
　　17.根據《建筑安裝費用項目組成》（建標[2003]206號），施工企業為保障安全施工搭訕的防護網的費用應計入建筑安裝工程（? ）。
　　A.直接工程費
　　B.措施費
　　C.經費
　　D.企業管理費
　　【答案】B
　　【解析】措施費是指為完成工程項目施工，發生于該工程施工前和施工過程中非工程實體項目的費用，一般包括①環境保護費；②文明施工費；③安全施工費；④臨時設施費；⑤夜間施工增加費；⑥二次搬運費；⑦大型機械設備進出場及安拆費；⑧混凝土、鋼盤混凝土模板及支架費；⑨腳手架費；⑩已完工程及設備保護費；⑾施工排水、降水費。
　　18. 根據《建筑安裝費用項目組成》（建標[2003]206號），施工企業生產工人的勞動保護費應計入建筑安裝工程工（? ）。
　　A.直接工程費中的人工費
　　B.措施費
　　C.企業管理費中的勞動保險費
　　D.社會保障費
　　【答案】A