1、软件水平考试初级网络管理员下午应用技术（网络安全设置）模拟试卷 2及答案与解析 一、试题三（ 15分） 0 阅读以下说明，回答问题 1问题 5，将解答填入答题纸对应的解答栏内。 (2007年 5月下午试题四 ) 【说明】 某企业的网络安装防火墙后，其拓扑结构如图 3一 18所示。1 为图 3-18中的 (1)处选择合适的名称。 A服务区 B DMZ C堡垒区 D安全区 2 为图 318中的 (2) 处选择合适的设备。 A远程访问服务器 B以太网交换机 C调制解调器 3 以下哪一项属于配置该防火墙的目的 ? (3) 。 A防止未授权的通信进出内部网络 B进行域名解析 C对 IP包进行协议转换 D
2、对进出内部网络的数据包进行加密 4 参照图 3 18所示的界面，添加以下访问控制规则，以禁止 PC3访问地址为210 156 169 8的 Web服务器。(4)A允许 B禁止 (5)A 192 168 0 1 B 192 168 0 5 C 210 156 169 6 D 210 156 169 8 (6)A 192 168 0 1 B 192 168 0 5 C 210 156 169 6 D 210 156 169 8 (7)A TCP B UDP 5 参照图 3 18所示的界面，添加以下配置记录，使得 Lan中的主机访问 Internet Web服务时，能够隐藏内部主机的源地址。(8)A
3、 192 168 0 5 B 210 156 169 6 C 202 117 12 37 D ANY (9)A 192 168 0 5 B 210 156 169 6 C 202 117 12 37 D ANY 5 阅读以下说明，回答问题 1问题 4，将解答填入答题纸对应的解答栏内。 (2008年 11月下午试题四 ) 【说明】 IE浏览器支持 HTTP、 HTTPS、 FlT等多种协议。 6 如果在 IE地址栏中输入 192 168 0 1，如图 3 19所示，则默认的通信协议是 (1)；如果要访问 FIT服务器 (地址为 192 168 0 2)，应该在地址栏中输入(2) 。 7 IE浏览
4、器的安全区设置可以对被访问的网站设置信任度， IE浏览器包含了四个安全区域： Internet、本地 Internet、可信站点和受限站点，如图 320所示，其中受限站点默认的安全级别为 (3) 。对于公网上某个有害站点，可以通过将该站点加入到 (4) 的方法来禁止访问；对于公网上某个确认安全的站点，可以通过将该站点加入到 (5) 或 (6) 的方法来确保对该站点的正常访问，同时不降低安全性。 8 IE浏览器提供的 “自动完成表单和 Web地址 ”功能方便了操作，同时可能造成用户名和密码被泄露，因此在输入用户名和密码之前就应该关闭该功能，方法是在如图 3 21所示的复选框中取消选中 (2)选项
5、，如果在此操作之前已经输入了用户名和密码，则应该通过执行图 3-22中的 (8)和 (9)选项来避免用户名和密码泄露。9 IE浏览器支持用于 Internet内容分级的 PICS(Platform for Internet Content Selection)标准。通过设置分级审查功能，可帮助用户控制计算机访问的 Internet信息的类型(见图 323)。例如要限定 IE只能访问 www abc com网站，设置步骤如下。 在 IE浏览器的 (10)菜单中打开【 Internet选项】对话框。 切换至【内容】选项卡，在分级审查区域中单击【启用】按钮。 在弹出的【内容审查程序】对话框中，将 【
6、分级】选项卡中的滑块调到 0。 切换到【许可站点】选项卡，在【允许该站点】文本框中填入(1)，单击【始终】按钮后单击【确定】按钮创建监护人密码。 9 阅读以下说明，回答问题 1问题 5，将解答填入答题纸对应的解答栏内。 (2008年 5月下午试题四 ) 【说明】 某公司在 Windows 2003中安装 IIS 6 0作为 Web服务器， IP地址为 211 120 114 3，端口号为 8080，并在 IIS中配置 HTTPS实现安全的 Web通信，如图 3 24所示。10 IIS 6 0安装的硬盘分区最好选用 NTFS格 式，是因为 (1) 和 (2) 。 A可以防止网页中的 Applet
7、程序访问硬件中的文件 B可以针对某个文件或文件夹给不同的用户分配不同的权限 C可以使用系统自带的文件加密系统对文件或文件夹进行加密 D可以在硬盘分区中建立虚拟目录 11 HTTPS工作在 (3) 层，为浏览器和 Web服务器提供安全信息交换，它运行在安全 (4) 之上。 (3)A网络层 B传输层 C应用层 D会话层 (4)A网关 B套 接口 C密钥 D物理连接 12 在配置 IIS 6 0时，需首先向 (5) 申请并安装数字证书，然后 Web服务器才能支持 SSL会话。 在 IIS中安装 SSL分 5个步骤， (6) 提交数字证书申请 (7) 在 IIS服务器上导入并安装证书 (8) 。 A下
8、载证书文件 B生成证书请求文件 C配置身份验证方式和 SSL安全通道 13 如果希望 Web服务器只接受 HTTPS请求，而不接受未加密的 HTTP请求，加密密钥为 128位，并且无需为客户端提供数字证 书，在图 325中该如何配置 ? 14 如果用户需要通过 SSL安全通道访问该 Web网站，可在 IE地址栏中输入 (8) 。 14 阅读以下说明，回答问题 1问题 3。 【说明】 某公司对外提供 Web服务及 E-mail和 DNS服务等，同时对所有员工提供 Internet服务。其拓扑结构如图 3 44所示。具体网络情况如下。 外网 (即外部网 )接口 S1，地址为 211 156 169
9、 6 30(子网掩码表示由 30个 1组成，下同 )，因特网接口端地址为 211 256 169 5 30。 内网 (即内部网 )接口 E0，地址为 210 45 12 1 24(可用地址空间为210 45 12 0 210 45 12 255这个网段，广播地址为 210 45 12 255)。 对外服务器默认网关为 210 45 12 1。 内网用户利用代理服务上网 (代理服务器 IP地址为 210 45 12 31 24)。 内网用户 IP地址为 210 45 12 0网段，子网掩码为 255 255 255 0，网关为 210 45 12 1，代理服务器地址为 210 45 12 31。
10、 随着用户的增多， IP地址紧缺的矛盾日益突出，同时内部网用户 及服务器常遭受黑客的攻击。为解决上述问题，公司决定购置一台方正防火墙。 15 请给出具体方案 (拓扑图 )。 16 简述防火墙的硬件连接。 17 简述防火墙的配置策略。 18 图 3 45所示为某一公司的网络拓扑结构，请在图中标出公共网络、内部网络、 DMZ区、内部关键服务器群的位置。18 阅读以下说明，回答问题 1问题 4。 【说明】 某学校的拓扑结构如图 347所示，为加强网络安全，学校决定购置一台三端口的防火墙保护内部网络；购置了入侵检测产品对重点网段和服务器进行监控；购置一套网络版杀毒软件 (Server版 )并安装于一台
11、服务器上，客户端、服务器通过防病毒服务器提供的 Web页面自动下载安装并具有自动跟踪防病毒服务器更新病毒库的功能。19 什么是防火墙 ?简述其功能及优点。 20 什么是入侵检测 ?简述其功能。 21 什么是网络病毒 ?简述其特点。对防病毒服务有什么要求 ? 22 请给出该网络的安全方案 (拓扑结构图 )，并在图中标出相应设备的名称。 软件水平考试初级网络管理员下午应用技术（网络安全设置）模拟试卷 2答案与解析 一、试题三（ 15分） 【知识模块】 网络安全设置 1 【正确答案】 (1)B 【试题解析】 在防火墙的设计和实施中，目前使用最多的是屏蔽子网类防火墙。屏蔽子网系统是在内部网络与外部网络
12、之间建立一个被隔离的子网，也称为非军事区 (dinz)，用两台分组过滤路由器将这一子网分别与内部和外部网络分开。该系统进一步实现内部主机的安全性，内部网络和外部网络均可访问被屏蔽子网，但禁止它们穿过被屏蔽子网通信。因此， Www和 FTP等服务器一般放置于 dmz中。 【知识模块】 网络安全设置 2 【正确答案】 (2)B 【试题解析】 在屏蔽子网防火墙系统中需 要配置三个网络： Internet、 dmz和受保护网络。由于 Internet很难与内部网络进行通信，因此防火墙管理员不需要指定内部网络到 Internet之间的路由。内部网络如果是一个小型局域网，那么可以使用局域网交换机连接多台
13、PC。 【知识模块】 网络安全设置 3 【正确答案】 (3)A 【试题解析】 一般来说，防火墙通常有以下几大功能。 防止非法用户进入内部网络。 利用 NAT功能将私网地址转换为公网地址，提高内部网络的安全性。 实施安全策略的确认和授 权。 方便对网络的安全性进行监控，产生日志和报警。 防火墙可以对进出网络的所有通信进行审计和记录。 可以对网络设备的访问权限进行监督。 【知识模块】 网络安全设置 4 【正确答案】 (4)B (5)B (6)D (7)A 【试题解析】 通过配置访问控制策略可以使得防火墙能够对进出网络的通信进行控制，过滤规则一般放置在连接内部和外部网络的路由器上。 【知识模块】 网
14、络安全设置 5 【正确答案】 (8)D (9)C 【试题解析】 NAT是 防火墙的一大功能，通过这个功能可以对内部网络地址进行隐蔽，从而防止对网络地址的跟踪。 【知识模块】 网络安全设置 【知识模块】 网络安全设置 6 【正确答案】 (1)HTTP (2)ftp： 192 168 0 2 【试题解析】 IE浏览器支持 HTTP、 FTP、 Telnet、 Gopher等多种协议，其中默认支持的是 HTTP协议。如果在 IE地址栏中直接输入 IP地址，则 IE浏览器会采用 HTTP协议与该 IP地址所属的 Web服务器通信。如果要用其他协议通信，则在地址栏中必须指明协议类型，当要 访问 IP地址
15、为 192 168 0 2的 FTP服务器时，应该在地址栏中输入 ftp： 192 168 0 2。 【知识模块】 网络安全设置 7 【正确答案】 (3)高 (4)受限站点 (5)本地 Internet (6)可信站点 【试题解析】 IE浏览器包含了四个安全区域： Internet、本地 Intranet、可信站点和受限站点。 Internet区域的默认安全级别为 “中 ”，本地 Intranet区域的默认安全级别为 “中低 ”，可信站点区域的默认安全级别为 “低 ”，受限站点区域的默认安全级别为 “高 ”。可 见受限站点的安全级别为高。 受限站点区域适用于包含可能损坏计算机或文件的网站，对于
16、有害站点可分配到该区域，以禁止或限制对该网站的访问。 Internet区域包含了所有未放在其他区域的 Web站点，可信站点区域包含信任的站点，相信这些站点不会损坏计算机或文件。可以将公网上某个确认安全的站点加入 Internet区域或可信站点区域，以降低对该站点的安全限制，从而确保对该站点的正常访问。 【知识模块】 网络安全设置 8 【正确答案】 (7)表单上的用户名和密码 (8)删除表单 (9)删除密码 【 试题解析】 自动完成功能是指在网页上填写一些表单时，让 IE浏览器自动记下所填写的内容，下次填写同样的表单时可以自动调出以前的内容，但这也带来了安全隐患。为了避免用户名和密码泄露，可在【
17、自动完成设置】对话框中取消对【表单上的用户名和密码】复选框的选中，以禁止对用户名和密码使用自动完成功能。如果在此操作之前已经输入了用户名和密码，则应该在【删除浏览的历史记录】对话框中执行删除表单和删除密码操作，以删除保存过的表单内容和登录网站时填写的密码。 【知识模块】 网络安全设置 9 【正确答案】 (10)工具 (11)www abc com 【试题解析】 在 IE中设置分级审查功能，可对 IE进行信息限制，屏蔽掉一些不想让上网用户浏览的站点。限定 IE只能访问 www abc com网站的设置步骤如下。 在 IE浏览器的【工具】菜单中选择【 Internet选型】命令，打开【 Inter
18、net选项】对话框。 在 IE浏览器的【工具】菜单中选择【 Internet选型】命令，打开【 Internet选项】对话框。 切换至【内容】选项卡，在【内容审查程序】区域中单击【启用】按钮。 在弹出的【 内容审查程序】对话框中，将【分级】选项卡中的滑块调到 0。 切换到【许可站点】选项卡，在【允许该站点】文本框中填入www abc com，单击【始终】按钮后单击【确定】按钮，创建监护人密码。 【知识模块】 网络安全设置 【知识模块】 网络安全设置 10 【正确答案】 (1)B (2)C 【试题解析】 NTFS文件系统有很好的安全性和稳定性，有以下显著特点。 NTFS分区为用户权限作出了非常严
19、格的限制，每个用户都能按照系统赋予的权限进行操作。并且每个文件或文件夹都可 以单独地分配一个许可，可以防止未授权用户访问文件或文件夹。 NTFS支持对单个文件的压缩和加密。 NTFS可以支持的文件大小可达 64GB，支持更大的分区大小，最小磁盘分区为 100MB，推荐最大分区为 2TB。 对于超过 4GB以上的硬盘，使用 NTFS分区，可以减少磁盘碎片的数量。 NTFS事物日志自动记录所有文件夹或文件更新，当出现系统损坏或电源故障等 问题而引起操作失败后，系统能够利用日志文件重做或回复未成功的操作。 【知识模块】 网络安全 设置 11 【正确答案】 (3)C (4)B 【试题解析】 安全套接层
20、 SSL是传输层安全协议，用于实现 Web安全通信。SSL在 Web安全通信中被称为 HTTPS。 【知识模块】 网络安全设置 12 【正确答案】 (5)证书认证 (颁发 )机构或 CA (6)B (7)A (8)C 【试题解析】 安装的步骤如下。 第一步：安装证书服务。 在【控制面板】中，打开【添加或删除程序】窗口，单击【添加或删除 Windows组件】选项，打开【 Windows组件向导】对话框。 在【组件】列表框中选中【证书 服务】复选框，单击【下一步】按钮。 打开【 CA类型】界面，选择 CA类型，如选中【独立根 CA】单选按钮，单击【下一步】按钮，如图 326所示。 打开【 CA识别
21、信息】界面，在【此 CA的公用名称】文本框中为 CA服务器取个名字，并设置证书的有效期，如图 327所示。 打开【证书数据库设置】对话框，指定证书数据库和证书日志的位置，单击【下一步】按钮。 系统开始配置组件，完成安装。 第二步：生成证书请求文件。安装证书服务之后，就可以创建请求证书文件了。 在【开始】菜单中选择【管理工具】【 Internet信息服务 (IIS)管理器】命令，打开【 Internet信息服务 (IIS)管理器】窗口。 右击要使用 SSL的网站，在弹出的快捷菜单中选择【属性】命令，打开【属性】对话框。切换到【目录安全性】选项卡，在【安全通信】选项组中单击【服务器证书】按钮，如图
22、 328所示。 打开【 Web服务器证书向导】对话框，单击【下一步】按钮。 打开【 IIS证书向导】对话框，选择为网站分配证书的方法。这里选中【新建证书】单选按钮，单击【下一步】按钮，如图 329所示。 打开【延迟或立即请求】界面，选中【现在准备证 书请求，但稍后发送】单选按钮，单击【下一步】按钮。 打开【名称和安全性设置】界面，在【名称】文本框中输入新证书的名称，在【位长】下拉列表框中选择密钥的位长，如图 3 30所示。 打开【单位信息】界面，输入单位和部门的名称，单击【下一步】按钮。 打开【站点公用名称】界面，输入站点的公用名称，单击【下一步】按钮。 打开【地理信息】界面，输入的地理信息包
23、括国家、省自治区、市县，单击【下一步】按钮。 打开【证书请求文件名】界面，输入证书请求的文件名，以指定的文件名将证书请求保存为文本文件，单击【 下一步】按钮。 打开【请求文件摘要】界面，显示请求文件包含的信息。单击【下一步】按钮，证书请求创建完毕。 第三步：提交数字证书申请。 在服务器的 IE浏览器中输入地址： http： localhostCertSrv default asp，打开 Microsoft证书服务】欢迎页面，如图 331所示。单击【申请一个证书】超链接。 打开【申请一个证书】页面，如图 332所示，选择证书申请类型，这里单击【高级证书申请】超链接。 打开【高级证书申请】页面，如
24、图 3 33所示，选择 CA策略，这里单击 【使用base64编码的 CMC或 PKCS#10文件提交一个证书申请，或使用 base64编码的PKCS#7文件续订证书申请】超链接。 打开【提交一个证书申请或续订申请】页面，如图 3 34所示。然后打开步骤 (2)中生成的 certreq txt文件，复制其中的内容到【保护的申请】文本区域，单击【提交】按钮。 打开【证书挂起】页面，提示证书申请收到，如图 3 35所示。第四步：导出证书文件。 在【开始】菜单中选择【管理工具】【证书颁发机构】命令，打开【证书颁发机构】窗口。在左侧窗格中展开树状目录，单击 【挂起的申请】选项，在右侧窗格中找到并右击步
25、骤 (3)中申请的证书，在弹出的快捷菜单中选择【所有任务】【颁发】命令，如图 3 36所示。 颁发成功后，单击左侧窗格中的【颁发的证书】选项，可以看到刚刚颁发的证书。双击该证书，弹出【证书】对话框。切换到【详细信息】选项卡，单击【复制到文件】按钮，如图 3 37所示。 弹出【证书导出向导】对话框，如图 3 38所示。单击【下一步】按钮，打开【导出文件格式】对话框，选择导出证书要使用的格式。单击【下一步】按钮，打开【要导出的文件】对话框，指定要导出的文件名。单 击【下一步】按钮，证书导出完成，如图 339所示。第五步：在 IIS服务器上安装证书。 返回【 Internet信息服务 (IIS)管理
26、器】窗口，右击要使用 SSL的网站，在弹出的快捷菜单中选择【属性】命令，打开【属性】对话框。切换到【目录安全性】选项卡，在【安全通信】选项组中单击【服务器证书】按钮，打开【 Web服务器证书向导】对话框。单击【下一步】按钮，打开【挂起的证书请求】界面，选中【处理挂起的请求并安装证书】单选按钮，单击【下一步】按钮，如图 340所示。 打开【处理挂起的请求】界面，设置服务器 证书文件的位置和文件名，单击【下一步】按钮，如图 3 41所示。 打开【 SSL端口】界面，为网站指定 SSL端口，单击【下一步】按钮，如图 3 42所示。 打开【证书摘要】对话框，显示证书详细信息，单击【下一步】按钮完成安装
27、。 第六步：配置身份验证方式和 SSL安全通道。 在【安全通信】选项组中单击【编辑】按钮，打开【安全通信】对话框。选中【要求安全通信 (SSL)】复选框，单击【确定】按钮即可启用 SSL，如图 343所示。 【知识模块】 网络安全设置 13 【正确答案】 选中【要求安全通道 (SSL)】复选框，选中【要求 128位加密】复选框，选中【忽略客户端证书】单选按钮。 【试题解析】 在【安全通信】对话框中，选中【要求安全通道 (SSL)】和【要求128位加密】复选框，选中【忽略客户端证书】单选按钮。 【知识模块】 网络安全设置 14 【正确答案】 (9)https： 211 120 114 3： 80
28、80 【试题解析】 用户只要在 IE浏览器中输入 https： N站地址就可以访问该网站。本题中的 IP地址为 211 120 114 3，端口号为 8080，因此输入 https： 211 120 114 3： 8080就可以通过 SSL安全通道访问该 Web网站。 【知识模块】 网络安全设置 【知识模块】 网络安全设置 15 【正确答案】 其连接拓扑结构如图 3 46所示。【知识模块】 网络安全设置 16 【正确答案】 硬件连接如下。 用网线将路由器 E0端口与 FireGate的外部接口相连。 用网线将内部交换机端口与 FireGate的内部接口相连。 用网线将 DMZ接口与 DMZ区交
29、换机相连。 用电源线将 FireGate接上电源，硬件安装完成。 【知识模块】 网络安全设置 17 【正确答案】 其配置策略如下。 基本配置。 防火墙内部接口设为防火墙内部网络接口和管理口，地址为 192 168 1 1 24，设置好相应的子网掩码后将其选为控制口，然后提交系统，使设备配置生效。 将 DMZ区域和外网区域设置为桥，同时在桥上绑定 IP地址 210 45 12 31 24(为原代理服务器地址 )，配置完成后提交系统，使设备配置生效。 添加内部网、 DMZ区域以及外部网各设 备别名。 规则配置。 按照实际情况配置各种安全措施，如内部网访问 DMZ 【知识模块】 网络安全设置 18
30、【正确答案】 公共网络或 Internet 内部关键服务器群区 DMZ区 一般用户区 内部网络 【知识模块】 网络安全设置 【知识模块】 网络安全设置 19 【正确答案】 防火墙是位于两个信任程度不同的网络之间的软件或硬件设备的组合，它对两个或多个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资 源的非法存取和访问，以达到保护系统安全的目的。其功能与特点如下。 对进出的数据包进行过滤，过滤掉不安全的服务和非法用户。 监视 Internet安全，对网络攻击行为进行检测和报警。 记录通过防火墙的信息内容和活动。 控制对特殊站点的访问，封堵某些禁止的访问行为。 防火墙能强化安全策
31、略。 【知识模块】 网络安全设置 20 【正确答案】 入侵检测系统 (IDS)通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现 网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统可以说是防火墙系统的合理补充和延伸，如果说防火墙是第一道安全闸门，入侵检测系统则可以说是第二道安全闸门。入侵检测系统在不影响网络性能的前提下，可实时、动态地保护来自内部和外部的各种攻击，同时有效地弥补了防火墙所能达到的防护极限。入侵检测系统的主要功能如下。 监测并分析用户和系统的活动。 核查系统配置和漏洞。 评估系统 【知识模块】 网络安全设置 21 【正确答案】 网络病毒是指在网络上传播的计 算机病毒，可能会给网络带来灾难性后果，被称为 “第二代病毒 ”。网络病毒的特点及危害性主要表现在：破坏性强、传播性强、具有潜伏性和可激发性、针对性更强、扩展面广、传播速度快、难以彻底清除的特点。 要求防病毒服务器每天下载并更新病毒定义库。 【知识模块】 网络安全设置
