niusouti.com

访问控制包括对一个系统中各种资源的存取控制,既包括对硬件资源如设备的存取控制,也包括对软件资源如文件、数据的存取控制,但不包括对使用系统的用户的合法性进行实体访问控制。()此题为判断题(对，错)。

题目
访问控制包括对一个系统中各种资源的存取控制,既包括对硬件资源如设备的存取控制,也包括对软件资源如文件、数据的存取控制,但不包括对使用系统的用户的合法性进行实体访问控制。()

此题为判断题(对，错)。

相似考题

1.访问控制是指对主体访问客体的权限或能力的限制，以及限制进入物理区域(出入控制)和限制使用计算机系统和计算机存储数据的过程(存取控制)。()

2.数据库信息安全包括用户口令鉴别、用户存取权限控制、数据存取方式控制、数据加密和()A.数据备份B.身份识别C.访问权限D.审计跟踪

3.通过___可以阻止非法用户访问系统,或控制用户访问哪些资源,对资源有哪些使用权限.A.数据加密B.数据签名C.访问控制D.杀毒软件

4.访问控制通常用于系统管理员控制用户对资源的访问,改资源不包括以下哪个选项()。A.服务器B.目录C.文件D.书本

参考答案和解析
正确答案：错误
更多“访问控制包括对一个系统中各种资源的存取控制,既包括对硬件资源如设备的存取控制,也包括对软件资源如文件、数据的存取控制,但不包括对使用系统的用户的合法性进行实体访问控制。() ”相关问题

  • 第1题：

    计算机信息存取系统仅包含软件资源,不包括硬件资源。()

    此题为判断题(对，错)。


    参考答案：×

  • 第2题：

    访问控制是对信息系统资源进行保护的重要措施,适当的访问控制能够阻止未经授权的用户有意或者无意地获取资源。信息系统访问控制的基本要素不包括( )。

    A.主体

    B.客体

    C.授权访问

    D.身份认证


    参考答案：D

  • 第3题：

    [说明] 某企业为防止自身信息资源的非授权访问，建立了如图4－1所示的访问控制系统。



    企业访问控制系统
    该系统提供的主要安全机制包括：
    12认证：管理企业的合法用户，验证用户所宣称身份的合法性，该系统中的认证机制集成了基于口令的认证机制和基于PKI的数字证书认证机制；
    13授权：赋予用户访问系统资源的权限，对企业资源的访问请求进行授权决策；
    14安全审计：对系统记录与活动进行独立审查，发现访问控制机制中的安全缺陷，提出安全改进建议。
    12、[问题1] 对该访问控制系统进行测试时，用户权限控制是其中的一个测试重点。对用户权限控制的测试应包含哪两个主要方面？每个方面具体的测试内容又有哪些？（6分）
    13、[问题2] 测试过程中需对该访问控制系统进行模拟攻击试验，以验证其对企业资源非授权访问的防范能力。请给出三种针对该系统的可能攻击，并简要说明模拟攻击的基本原理。（3分）
    14、[问题3] 对该系统安全审计功能设计的测试点应包括哪些？（3分）


    答案：
    解析：
    12、两个方面:
    ①评价用户权限控制的体系合理性，是否采用三层的管理模式即系统管理员、业务领导和操作人员三级分离；
    ②用户名称基本采用中文和英文两种，对于测试来说，对于用户名称的测试关键在于测试用户名称的唯一性。
    用户名称的唯一性体现有哪些方面？
    ●同时存在的用户名称在不考虑大小的状态下，不能够同名；
    ●对于关键领域的软件产品和安全要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与之同名。
    13、模拟攻击试验：对于安全测试来说，模拟攻击试验是一组特殊的黑盒测试案例，我们以模拟攻击验证软件或信息的安全防护能力。可采用冒充、重演、消息篡改、服务拒绝、内部攻击、外部攻击、陷阱门、特洛伊木马方法进行测试。
    泪滴(teardrop)。泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括service pack 4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。防御措施有服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。
    口令猜测。一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户账号，然后因为使用简单的密码或者没有设密码，导致黑客能很快的将口令猜出。当然事实上用蛮力是可以破解任何密码的，关键是是否迅速，设置的密码是否能导致黑客花很大的时间和效率成本。防御措施有要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。
    伪造电子邮件。由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的链接。防御措施有使用PGP等安全工具并安装电子邮件证书。 14、对该系统安全审计功能设计的测试点应包括:
    ①能否进行系统数据收集，统一存储，集中进行安全审计；
    ②是否支持基于PKI的应用审计；
    ③是否支持基于XML的审计数据采集协议；
    ④是否提供灵活的自定义审计规则。

  • 第4题：

    信息系统中信息资源的访问控制是保证信息系统安全的措施之一。下面关于访问控制的叙述错误的是( )。

    A、访问控制可以保证对信息的访问进行有序的控制

    B、访问控制是在用户身份鉴别的基础上进行的

    C、访问控制就是对系统内每个文件或资源规定各个(类)用户对它的操作权限

    D、访问控制使得所有用户的权限都各不相同


    正确答案：D

  • 第5题：

    审计师被要求对所在机构的在线计算机系统的安全性进行审计。一个内部的用户数据库存取控制程序保护着该系统。审计师确定该数据存取程序的安装和运行都是恰当的。下列( )有关审计师对系统的数据安全性的表述是最为准确的。

    A.将特定的应用程序限制到特定的文件控制存取数据
    B.将特定的终端限制到特定的应用控制存取数据
    C.安全性取决于对用户身份和用户鉴定的控制
    D.利用这种存取控制软件将消除重大的控制薄弱环节

    答案：C
    解析：
    C这种对用户身份和鉴定程序的有效管理，是强化个人问责性的关键，是用户-数据鉴定技术的依据。选项A不正确，这是作业-数据授权技术。选项B不正确，这是终端-数据授权技术。选项D不正确，单独运用存取软件不能解决所有的存取安全风险。

相关内容