软考 · 高级 · 复习笔记

信息系统基础与
信息安全技术基础知识

对应教程第三章与第四章内容,以单项选择题为主考点。覆盖信息系统的分类、生命周期、典型架构,以及信息安全要素、加解密技术、访问控制、抗攻击与评估体系等核心知识点。

考点章节第三章 / 第四章

题型单项选择题

第四章分值约 5 分

复习重点概念辨析 · 算法参数 · 协议作用

第四小时 · Chapter 03

信息系统基础知识

第三章内容,讲了各类信息系统的案例,主要涉及单选题。

3.1

信息系统概述

3.1.1信息系统的定义

五大功能

输入 · 存储 · 处理 · 输出 · 控制

发展道路(六阶段)

初始 → 传播 → 控制 → 集成 → 数据管理 → 成熟

3.1.2信息系统的分类

业务处理系统 TPS / DPS
管理信息系统 MIS
决策支持系统 DSS
专家系统 ES
办公自动化系统 OAS
综合性信息系统

              综合性信息系统包含:

              ERP(企业资源管理) · WMS(仓储资源管理) · MES(制造过程管理) · PDM(产品数据管理)

3.1.3信息系统的生命周期

产生 ▸ 开发 ▸ 运行 ▸ 消亡

3.1.4信息系统建设原则

高层管理人员介入原则
用户参与开发原则
自顶向下规划原则
工程化原则

3.1.5信息系统的开发方法

结构化方法
原型法
面向对象方法
面向服务方法
敏捷方法
构件化开发方法

3.2

信息化的典型应用

TPS / EDPS业务处理系统

对数据进行输入、处理和输出。

处理周期

数据输入 → 数据处理 → 数据库的维护 → 文件报表生成 → 查询处理

数据处理方式

批处理 · 联机事务处理

MIS管理信息系统

管理信息系统(Management Information System),为管理决策提供信息支撑。

DSS决策支持系统

系统结构

两库结构 · 基于知识的结构

九项基本功能

多层决策
收集、存储、提供外部信息
收集和提供活动的反馈信息
具有决策模型的存储和管理能力
对常用的各种数学方法、统计方法的存储和管理
对各种数据、模型、方法进行管理
数据加工
具有人机接口、图形加工输出能力
支持分布使用方式

关键特征

面向决策者 · 支持半结构化问题 · 辅助支持 · 过程动态 · 交互

ES专家系统

基于知识的专家系统属于人工智能,用于求解半结构化或非结构化问题。

技术范畴

机器人技术、视觉系统、自然语言处理、学习系统、神经网络

六大特点

超越时间限制
操作成本低廉
易于传递和复制
处理手段一致
善于克服难题
适用于特定领域

OAS办公自动化系统

三大主要功能:

事务处理 · 信息管理 · 辅助决策

ERP企业资源规划

三流合一

物流 · 资金流 · 信息流

包含模块

生产预测、销售管理、经营计划、主生产计划、物料需求计划、能力需求计划、车间作业计划、采购与库存管理、质量与设备管理、财务管理

核心价值

支持决策
不同行业针对性 IT 解决方案
提供全行业和跨行业的供应链

3.3

典型信息系统架构模型(案例)

案例 1电子政务

主体为政府、企业单位、居民。

模式	含义
`G2G`	政府对政府
`G2B`	政府对企业
`G2C`	政府对居民
`B2G`	企业对政府
`C2G`	居民对政府

EI企业信息化

从三个维度推动企业升级:

企业战略
业务运作
管理运作

EC电子商务

利用 Web 提供的通信手段在网上购买产品或提供服务。

第五小时 · Chapter 04

信息安全技术基础知识

对应第四章的内容,主要涉及单项选择题,约 5 分分值。

4.1

信息安全基础知识

4.1.1信息安全

为数据处理系统而采取的技术的和管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭受破坏、更改和泄漏。

基本要素(五项)

机密性 · 完整性 · 可用性 · 可控性 · 可审查性

信息安全的范围

设备安全 · 数据安全 · 内容安全 · 行为安全

数据安全(子要素): 秘密性 · 完整性 · 可用性

4.1.2信息存储安全

范围包括:

信息使用的安全
系统安全健康
计算机病毒防治
数据的加密
防治非法攻击

4.1.3网络安全

网络安全的隐患

物理安全性 · 软件安全漏洞 · 不兼容使用安全漏洞

网络安全威胁

非授权访问 · 信息泄露或丢失 · 破坏数据完整性 · 拒绝服务攻击 · 利用网络传播病毒

安全措施的目标

访问控制 · 认证 · 完整性 · 审计 · 保密

4.2

信息安全系统的组成框架

体系 ①技术体系

基础安全设备
计算机网络安全
操作系统安全
数据库安全
终端设备安全

体系 ②组织管理体系

决策层
管理层
执行层

体系 ③管理体系

法律管理
制度管理
培训管理

4.3

信息加解密技术

数据加密分两大类: 对称加密算法 · 非对称加密算法

类别 ①对称密钥加密算法

加密与解密使用同一个密钥,速度快,适用于大量数据。

算法	密钥长度	说明
`DES`	56 位	经典对称加密算法
`三重 DES`	112 位	DES 加强版
`IDEA`	128 位	全球通用
`AES`	128 / 192 / 256 位	高级加密标准
`SM4`	128 位	国密算法

类别 ②非对称密钥加密算法

加密与解密使用不同密钥(公钥/私钥),安全性高但速度较慢。

算法	密钥长度	特点
`RSA`	最长可达 2048 位	密钥长度可选,计算速度慢
`SM2`	较短	国密算法,基于椭圆曲线离散对数问题;相同安全程度下,密钥长度和计算规模比 RSA 小

4.4

密钥管理技术

4.4.1密钥的使用控制 · 分配发送方式

物理方式
加密方式
第三方加密方式 KDC

4.4.2公钥加密的管理方式

直接公开发布
公用目录表
公钥管理结构
公钥证书(证书管理机构为 CA)

4.5

访问控制及数字签名技术

4.5.1基本模型

三要素

主体 · 客体 · 控制策略

访问控制的内容

认证 · 控制策略 · 审计

4.5.2实现技术

访问控制矩阵 ACM
访问控制表 ACL
能力表
授权关系表

4.5.3数字签名

数字签名是公钥加密技术与数字摘要技术的应用。

五大条件

可信
不可伪造
不可重用
不可改变
不可抵赖

4.6

信息安全的抗攻击技术

4.6.1密钥的选择

密钥两大类

数据加密密钥 DK · 密钥加密密钥 KK

对抗攻击需考虑

增加密钥空间
选择强钥
密钥的随机性

4.6.2拒绝服务攻击 DoS

DoS 是使系统不可访问、并拒绝合法用户的服务要求的行为,侵犯系统的可用性要素。

变种

分布式拒绝服务攻击 DDoS

DoS 的防御

特征识别
防火墙
通信数据量的统计
修正问题和漏洞

4.6.3欺骗攻击和防御

ARP 欺骗

ARP 协议解析 IP 地址为 MAC 网卡物理地址,欺骗该协议可阻断正常网络访问。

防范: 固化 ARP 表 · 使用 ARP 服务器 · 双向绑定 · 安装防护软件

DNS 欺骗

DNS 解析域名为 IP 地址,欺骗该协议可使用户访问错误的服务器地址。

防范: 被动监听检测 · 虚假报文探测 · 交叉检查查询

IP 欺骗

攻击者修改 IP 数据报的报头,修改为另一个 IP。

防范: 常用防火墙防范

4.6.4端口扫描

入侵者搜集信息的几种常用手法:

全 TCP 连接
半打开式扫描(SYN 扫描)
FIN 扫描
第三方扫描

4.6.5针对 TCP/IP 堆栈的攻击

同步包风暴 ── 攻击 TCP 协议建立连接的三次握手,让目标主机等待连接完成而耗尽资源
ICMP 攻击
SNMP 攻击 ── 早期 SNMP 缺乏认证,可能被攻击者入侵

4.6.6系统漏洞扫描

① 基于网络的漏洞扫描

从网络侧探测目标主机漏洞。

② 基于主机的漏洞扫描

通过在目标上安装代理,可以扫描到更多漏洞。

优点: 扫描漏洞的数量多 · 集中化管理 · 网络流量负载小

4.7

信息安全的保障体系与评估方法

⒈ 安全保护等级(五级)

第一级 · 用户自主保护级对应 TCSEC C1 通过隔离用户和数据,使用户具备自主安全的能力。

第二级 · 系统审计保护级对应 TCSEC C1 实施了粒度更细的自主访问控制。

第三级 · 安全标记保护级对应 TCSEC C1 提供了安全模型、数据标记,主体对客体的强制访问控制的非形式化描述。

第四级 · 结构化保护级对应 TCSEC C1 将第三级中的自主和强制访问控制扩展到了所有主体和客体,具有相当的抗渗透能力。

第五级 · 访问验证保护级对应 TCSEC C1 访问监控器仲裁主体对客体的全部访问;访问监控器本身是抗篡改的;支持系统恢复机制。

⒉ 安全保密技术 / 安全协议 / 风险评估

2.安全保密技术

数据泄露防护 DLP
数字水印

3.安全协议

SSL 协议

服务类型:保密性通信 · 点对点身份认证 · 可靠性通信

PGP

PGP 是一种加密软件,用于电子邮件安全。

互联网安全协议 IPSec

网络层安全协议。

SET 协议

解决用户、商家、银行之间通过信用卡支付的交易问题。

HTTPS 协议

基于 SSL/TLS 的安全超文本传输协议。

4.信息系统的安全风险与评估

风险评估的基本要素:

脆弱性
资产
威胁
风险
安全措施