2. 从业资格
  3. 某企业最近上线了 ERP系统，该系统运行的网络环境如图4-1所示。企业信息中心目

某企业最近上线了 ERP系统，该系统运行的网络环境如图4-1所示。企业信息中心目

admin2022-08-02  71
问题 某企业最近上线了 ERP系统，该系统运行的网络环境如图4-1所示。企业信息中心目前拟对该系统相关安全防护体系进行全面的安全性测试，以提供全面的安全测评报。【问题1】（6分）企业ERP系统上线后，企业主要业务的日常运作都高度依赖该系统的正常运行，因此ERP系统的稳定性与可靠性对企业至关重要。故障恢复与容灾备份措施是提高系统稳定性与可靠性的重要因素。对于故障恢复与容灾备份措施，参与测试的王工认为应从故障恢复、数据备份和容灾备份等三个方面进行测试。请用300字以内文字，对这三方面的测试内容进行简要说明。【问题2】（4分）数据库服务器中目前主要存储ERP系统业务数据，后续还需要存储企业网站相关数据，当前ERP系统的用户认证方式包含口令认证方式，相应的用户权限和口令也存储在数据库二维表中。针对上述实际情况，参与测试的李工认为在对数据库权限进行测试时，除数据库账号保护及权限设置相关的常规测试外，还必须对敏感数据加密保护及对数据库访问方式进行相应测试。请用200字以内文字，对敏感数据加密保护和数据库访问方式两个方面的测试内容进行简要说明。【问题3】（10分）为对抗来自外网或内网的主动攻击，系统通常会采用多种安全防护策略，请给出四种常见的安全防护策略并进行简要解释。结合一种图4-1中明确标识出的安全防护策略机制，说明针对该机制的安全测试应包含哪些基本测试点。
选项
答案
解析 【问题1】
应用系统的稳定性与可靠性，在一定程度上取决于故障恢复和容灾备份措施。一般有以下三个测试点：
故障恢复：整个系统是否存在单点故障；对于关键性应用系统，当任何一台设备失效时，按照预先定义的规则是否能够快速切换；是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接。
数据备份：对于关键的业务，是否具备必要的热备份机制，例如双机热备份、磁盘镜像等；对于所有业务，是否提供磁带备份和恢复机制，保证系统能根据备份策略恢复到指定时间的状态。

容灾备份：可否建立异地容灾备份中心，当主中心发生灾难事件时，由备份中心接管所有的业务；备份中心是否有足够的带宽确保与主中心的数据同步，有足够的处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。
【问题2】
加密机制是保护数据安全的重要手段，加密的基本过程就是对原来明文的文件或数据，按某种算法进行处理，使其成为不可读的一段代码——密文，使其只能在输入相应的密钥之后才能显示出明文内容，通过这样的途径来达到保护数据不被非法窃取、阅读的目的。不同加密机制或密码函数的用途、强度是不相同的，一个软件或系统中的加密机制使用得是否合理，强度是否满足当前需求，是需要通过测试来完成的，通常模拟揭秘是测试的一个重要手段。
数据库权限管理的测试有如下三个方面：
应用软件部署后，数据库管理用户的设置应当注意对账号的保护，超级用户的口令不得为空或默认口令。对数据库的账号和组的权限作相应设置，如锁定一些默认的数据库用户；撤销不必要的权限。
数据库中关于应用软件用户权限和口令存储的相关表格，尽量采用加密算法进行加密。
软件企业在进行软件产品开发时，开发人员通常为了开发方便，在客户端与数据库通信时，均使用超级用户及默认密码访问数据库，这种方式将会带来严重的安全隐患，测试人员可以通过网络侦听的技术，或使用白盒测试方法进行测试，并且应当建议开发者，根据不同程序访问数据库的功能，使用不同的数据库用户进行连接，且必须设置复杂的密码。
【问题3】
安全防护策略是软件系统对抗攻击的主要手段，安全防护策略主要有安全日志、入侵检测、隔离防护、漏洞扫描等。
安全日志是记录非法用户的登录名称、操作时间及内容等信息，以便于发现问题并提出解决措施。安全日志仅记录相关信息，不对非法行为作出主动反应，属于被动防护的策略。
入侵检测系统是一种主动的网络安全防护措施，从系统内部和各种网络资源中主动采集信息，从中分析可能的网络入侵或攻击。一般来说，入侵检测系统还应对入侵行为作出紧急响应。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行检测，从而提供对内部攻击，外部攻击和误操作的实时保护。
漏洞扫描就是对软件系统及网络系统进行与安全相关的检测，以找出安全隐患和可被黑客利用的漏洞，同时漏洞扫描技术也是安全性测试的一项必要手段。
隔离防护是将系统中的安全部分与非安全部分进行隔离的措施，目前采用的技术主要有两种，即隔离网闸和防火墙，隔离网闸主要目的在于实现内网和外面的物理隔离，防火墙主要用于内网和外网的逻辑隔离。
防火墙
1、是否支持交换和路由两种工作模式。
2、是否支持对HTTP、FTP、SMTP等服务类型的访问控制。
3、是否考虑到防火墙的冗余设计。
4、是否支持对日志的统计分析功能，同时，日志是否可以存储在本地和网络数据库上。
5、对防火墙本身或受保护网段的非法攻击系统，是否提供多种告警方式以及多种级别的告警。
入侵检测系统
1、能否在检测到入侵事件时，自动执行切断服务、记录入侵过程、邮件报警等动作。
2、是否支持攻击特征信息的集中式发布和攻击取证信息的分布式上载。
3、能否提供多种方式对监视引擎和检测特征的定期更新服务。
4、内置的网络能否使用状况监控工具和网络监听工具。
转载请注明原文地址:https://tihaiku.com/congyezige/2417905.html
本试题收录于： 中级 软件评测师题库软件水平考试初中高级分类

中级 软件评测师

软件水平考试初中高级

相关试题推荐
随机试题
最新回复(0)