11956569_60期中级简答题.docx

一、数据库常见的威胁有哪些？数据库测评属于哪个安全层面的？数据库测评有哪些控制点。（15分）

答：数据库常见威胁包括非授权访问、特权提升、SQL注入针对漏洞进行攻击、绕过访问控制进行非授权访问等。

数据库测评属于安全计算环境这个安全层面。

数据库测评控制点涉及到5个方面的内容分别为：身份鉴别、访问控制、安全审计、入侵防范以及数据备份恢复。

身份鉴别要求项：a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访问控制要求项：a)应对登录的用户分配账户和权限；b)应重命名或删除默认账户，修改默认账户的默认口令；c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；d)应授予管理用户所需的最小权限，实现管理用户的权限分离；e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

安全审计要求项：a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；d)应对审计进程进行保护，防止未经授权的中断。

入侵防范要求项：a)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；b)应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；

数据备份恢复要求项：a)应提供重要数据的本地数据备份与恢复功能；b)应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

二、依据《基本要求》（GB/T22239-2019）,针对第三级信息系统而言，在安全计算环境中适用于服务器设备对应哪些安全子类？安全计算环境中安全审计的内容是什么？相比于第二级信息系统，三级信息系统安全审计内容增加的是那一条？（10分）

答：三级信息系统在安全计算环境中对于服务器设备，安全子类主要包括：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据备份恢复。

安全计算环境中安全审计内容包括：1、应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。2、审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。3、应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。4、应对审计进程进行保护，防止未经授权的中断。

相比于第二级信息系统，三级信息系统安全审计内容增加了“应对审计进程进行保护，防止未经授权的中断”这一条

三、在等级测评2.0中，三级系统网络架构是从哪些方面描述的，请具体说明网络架构所包括的测评点？（15分）

答：网络架构是满足业务运行的重要组成部分，如何根据业务系统的特点构建网络是非常关键的。首先应关注整个网络的资源分布、架构是否合理。只有架构安全了,才能在其上实现各种技术功能，达到通信网络保护的目的。本层面重点针对网络设备的性能要求；业务系统对网络带宽的需求;网络区域的合理划分;区城间的有效防护；网络通信线路以及设备的冗余等要求进行解读说明。

测评点包括：

1、应保证网络设备的业务处理能力满足业务高峰期需要。

2、应保证网络各个部分的带宽满足业务高峰期需要。

3、应划分不同的网络区域并按照方便管理和控制的原则为各网络区域分配地址。

4、应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。

5、应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。

四、云数据存放在云平台中可能存在的问题以及处理措施？（10）

答：云数据存放在云平台中也需保障数据的三大安全性：必威体育官网网址性、完整性和可用性。

云数据存放在云平台中存在的安全问题有：

1、云数据在云平台中的必威体育官网网址性所存在的问题主要有：云数据的泄露包括数据存储位置造成的泄露，管理对数据使用不当所造成的泄露，云平台遭受黑客攻击所造成的数据泄露等；2、云数据在云平台中的完整性和可用性所存在的问题主要有：数据在迁移过程中所造成的数据丢失或破坏，因对数据的管理不当所造成的数据丢失等。

主要的处理措施：

1.应与具有合法资质的中国大陆的云服务商合作，使用其云平台；

2.应对云平台的管理员进行严格的管理，实