國際注冊內部審計師

• 第1頁：Web基礎設施

• 第2頁：典型試題

E18　Web基礎設施

18.1 About Internet
因特網概述
因特網是計算機網絡發(fā)展的劃時代結果，利用因特網，任何人均可以使用網絡瀏覽器（web browser）來瀏覽互聯網上的超文本文件等各種信息。因特網為人們提供了幾乎是無窮無盡的信息資源，但與此同時，如何在如此眾多的信息中找到最好的信息源也成了使用因特網的最大困難
因特網除了能提供各類信息外，還為人們的交流提供了各種手段和場所，如電子郵件（E-mail）、遠程登錄（telnet）、文件傳輸（FtP）、萬維網（WWW）、專題論壇（usenet）、電子公告牌（BBS）等。
專題論壇（usenet）是用戶可以張貼問題，并由其他專家用戶回答問題的專題小組。
電子公告牌（BBS）是一種計算機系統，具有特殊興趣的小組可以在BBS上發(fā)布和閱讀信息，進行交流。
內聯網（Intranet）和外聯網（Extranet）：內聯網是企業(yè)基于因特網技術建立的面向其內部職員的網絡，企業(yè)職員可以通過內聯網遠程訪問公司內部網絡；外聯網則將服務對象擴展到了企業(yè)的合作伙伴（客戶、供應商、各類機構）。顯然，無論是內聯網還是外聯網都需有設置適當的訪問控制措施以防止用戶濫用網絡資源。
18.2 Internet Basics
因特網基礎
因特網的網絡架構
因特網的基礎是一個由主干網、次級網和園區(qū)網構成的覆蓋全球的通信網絡。
主干網：由代表國家或者行業(yè)的有限個中心結點通過專線連接形成，覆蓋到國家一級；連接各個國家的因特網互聯中心（如中國互聯網信息中心CNNIC）。主干網節(jié)點之間通過主干線路連接，主干線路通常由長途電話公司或政府管理。
次級網（區(qū)域網）：若干個作為中心結點代理的次中心結點組成。次中心節(jié)點之間通過區(qū)域性線路連接，通常由區(qū)域電話或電信公司經營，這些通信公司將其信道帶寬租給因特網服務提供商（ISP）經營。次級網和主干網之間的連接點稱為網絡接入點（NAPs）。
園區(qū)網（校園網、企業(yè)網）：直接面向用戶的網絡（最后一公里），常見的連接手段有入戶光纖、有線電視、DSL及電話撥號等。
與因特網的基礎通信網絡不同，因特網（資源網）本身是一個松散的網絡，它既不屬于任何組織，也不被任何機構所管理。正因為如此，有些國家嚴格控制甚至完全禁止其國民使用因特網。
因特網的工作原理：
因特網采用TCP/IP協議簇作為其通信協議。 TCP（傳輸控制協議）和IP（網間傳輸協議）是其中的兩個核心協議。
TCP/IP協議中用于唯一確定網絡節(jié)點地址的是IP地址，IP V4（版本4）地址由32位二進制（4個字節(jié)）組成，通常用4個十進制來表示，如：202.119.2.199
由于IP地址難于理解和記憶，采用了一套有助于記憶的符號化“域名地址”來表示網絡節(jié)點，域名也采用層次命名結構：域.子域（.子域（.子域）），體現了一種隸屬關系.如：
seu.edu.cn中國.教育科研網.東南大學
域名管理系統（DNS）負責域名和IP地址之間的轉換。
因特網上的節(jié)點可分為服務節(jié)點（服務器）和訪問節(jié)點（終端），訪問節(jié)點也稱為網絡終端或瀏覽器終端，服務節(jié)點則可能是運行各種操作系統和應用服務的設備。
一個服務節(jié)點可以提供多種服務，通過服務端口號來區(qū)分，可以為每個服務端口號賦予一個名稱，多數著名的服務均有默認的端口號和名稱，如：WWW（萬維網）的默認端口號為80。
因特網術語：
HTTP／HTTPS（超文本傳輸協議／安全的超文本傳輸協議）：實現因特網消息格式化和傳輸的標準協議，其中HTTPS是其加密版本。
IP地址/域名：唯一標識因特網上設備的數字似符號化地址。
域名管理系統（DNS）：負責域名和IP地址之間轉換的層次化服務系統。
URL（統一資源定位符）：唯一地表示因特網上的任一資源，由傳輸協議、域名、服務名、目錄路徑、文件名和參數構成。例如：http://www..sina.com：80/finance/index.php?id=29 &id=30
FTP（文件傳輸協議）：TCP／IP協議簇中包含的一種應用層協議，用于通過網絡傳輸各種文件。
Telnet（遠程登錄協議）：TCP／IP協議簇中包含的一種應用層協議，用于通過網絡遠程登錄主機。
IM（即時消息傳遞）：一種服務，可通過網絡實現文本消息的實時傳遞。
CGI（通用網關腳本語言）：一種標準的編程語言，服務例程可通過調用它們動態(tài)訪問服務器上的資源。其它常用的類似語言還有：perl，php，asp
Cookies（小甜餅）：是由Internet站點創(chuàng)建的并存儲在本地計算機上的一段文本信息，例如訪問站點時的首選項和個人可識別信息等，其作用是簡化網頁訪問過程。
Applets（小應用程序）：瀏覽器在訪問網頁時動態(tài)從服務器下載并執(zhí)行的一段小程序，通常由JAVA編寫。
SMTP（簡單郵件傳輸協議）：規(guī)定怎樣將個人計算機連接到Internet的郵件服務器和發(fā)送電子郵件的協議。
POP3（郵局協議版本3）：規(guī)定怎樣將個人計算機連接到Internet的郵件服務器和下載電子郵件的協議。
18.3 E-MAIL Security
電子郵件安全
電子郵件是因特網上應用最廣泛的功能之一，隨著電子郵件的廣泛使用，其安全控制也變得越來越重要。常見的控制措施包括：
公司應該規(guī)定雇員不能用電子郵件發(fā)送高度敏感或機密的信息。
對敏感電子郵件要進行加密。
限制使用電子郵件軟件的種類。
在工作終端上的一些商務電子郵件需要保存以備公司查閱。
保密性電子郵件不能儲存在郵件服務器中。
雇員離職后，應保留其電子郵件以備查閱。
在較大的公司，可以在安全程度不等的不同地點由幾人同時負責管理電子郵件的安全性。
電子郵件系統的密碼可以有效防止電子郵件被其他人隨便接觸，包括防止有人企圖以用戶的名義隨意訪問用戶的個人數據。但電子郵件不可能比它賴以運行的計算機環(huán)境更安全，當計算機操作系統的安全得不到保障時，電子郵件的密碼很容易被繞過。
18.4 Navigator Security
瀏覽器安全控制
瀏覽器的安全缺陷是很多攻擊的根源。與其它應用程序一樣，即使是最新版本的瀏覽器也會存在各種程序故障，需要通過 補丁包進行升級。一般來說，管理員應該關閉所有不需要的瀏覽器特性，如動態(tài)頁面和插件。雖然實現這些特性的編程語言（Active X或JAVA）是在一個受控的環(huán)境中運行，不能直接訪問系統的其它部分，但這種保護很可能被黑客攻破，因此很多企業(yè)規(guī)定只允許瀏覽靜態(tài)頁面。Cookies（小甜餅）是瀏覽器的另一個特性，它是Web站點在用戶計算機中生成的，存放用戶登錄信息等參數，以便用戶再次訪問時無需重復輸入相關信息。但這也會帶來安全隱患，通常應該禁用cookies或只允許在訪問可信站點時使用。
彈出窗口（如廣告）有可能引入惡意代碼，因此也應該阻斷。對于外部站點，管理員應該將其安全控制屬性設為“高”，在該設置下，管理員需要定義“可信”站點，即允許正常訪問的站點，而其它站點則只能在受控方式下瀏覽或根本禁止訪問。
18.5 Service-Oriented Architecture（SOA）
面向服務的體系結構
SOA是目前非常有發(fā)展?jié)摿Φ囊环NIT體系結構樣式，它將應用程序的不同功能單元（稱為服務）通過這些服務之間定義良好的接口和契約聯系起來。接口是采用中立的方式進行定義的，它獨立于實現服務的硬件平臺、操作系統和編程語言。這使得構建在這樣的系統中的各種服務可以以一種統一和通用的方式進行交互。
這種具有中立的接口定義（沒有強制綁定到特定的實現上）的特征稱為服務之間的松耦合。松耦合系統的好處有兩點，一點是它的靈活性，另一點是，當組成整個應用程序的每個服務的內部結構和實現逐漸地發(fā)生改變時，它能夠繼續(xù)存在。而另一方面，緊耦合意味著應用程序的不同組件之間的接口與其功能和結構是緊密相連的，因而當需要對部分或整個應用程序進行某種形式的更改時，它們就顯得非常脆弱。
對松耦合的系統的需要來源于業(yè)務應用程序要根據業(yè)務的需要變得更加靈活，以適應不斷變化的環(huán)境，比如經常改變的政策、業(yè)務級別、業(yè)務重點、合作伙伴關系、行業(yè)地位以及其他與業(yè)務有關的因素，這些因素甚至會影響業(yè)務的性質。這種能夠靈活地適應環(huán)境變化的業(yè)務被稱為按需（On demand）業(yè)務，在按需業(yè)務中，一旦需要，就可以對完成或執(zhí)行任務的方式進行必要的更改。
SOA可以說是更傳統的面向對象的模型的替代模型。面向對象的模型是緊耦合的，而基于SOA的系統雖然并不排除使用面向對象的設計來構建單個服務，但是其整體設計卻是面向服務的。
18.6 Web infrastructure
環(huán)球網基礎設施
WEB基礎設施是指構成當今電子商務應用中間層的基礎資源——運行在操作系統平臺上的網絡服務器和應用服務器。如IBM的Websphere Application Server、Oracle的Application Server、BEA的WebLogic等。因為這些資源經常是面向客戶的應用，所以它是所有要求具有高性能和可用性的網絡應用的公共基礎。不良的性能不僅會影響到終端用戶的工作效率，也會影響到提供應用的組織的形象。網絡基礎設施必須得到有效的管理。

相關推薦：國際注冊內審師考試《經營分析和信息技術》講義匯總
新添考試應用：
①資訊訂閱，查詢最新考試信息②章節(jié)習題 海量套題全免費體驗??！ 

• 第1頁：Web基礎設施

• 第2頁：典型試題

典型試題
1.能提交專題問題并使其他知情人可以看到和答復的地方是
a.文件搜索程序，如Archie。
b.廣域信息服務器。
c.互聯網專題論壇，如Usenet group。
d.開放系統互聯組織。
『正確答案』C
『解題思路』
a.不正確。文件搜索程序用于在因特網上搜索所需的文件資料。
b.不正確。廣域信息服務器可以在因特網上發(fā)布信息。
c.正確。互聯網專題論壇是一個供人們通過互聯網直接交流的場所，在這里可以提出問題，也可回復問題。
d.不正確。開放系統互聯組織是旨在推動開放系統發(fā)展的國際組織。
2.內部審計師正在復核一項有關電子郵件的新政策，這個政策應包括除了以下哪項以外的所有因素?
a.立即刪除已解除雇傭員工的所有電子郵件。
b.通過電話線傳輸的電子郵件信息應該加密。
C.限制公司采用的電子郵件軟件包的種類。
d.規(guī)定職員不能用電子郵件發(fā)送高度敏感或機密的信息。
『正確答案』a
『解題思路』
a.正確。已解除雇傭員工的電子郵件中很可能包含有用的客戶和業(yè)務信息，而且這些電子郵件的存在通常不對組織構成風險，因此沒有必要立即刪除，而應安排專人接手并檢查這些郵件。
b.不正確。電話線路很容易被竊聽，因此對通過電話線傳輸電子郵件信息進行加密應包括在政策之內。
C.不正確。限制公司采用的電子郵件軟件包的種類有利于郵件的安全管理和互通，應包括在政策之內。
d.不正確。電子郵件在通過公網傳送時，很可能受到各種攻擊，因此規(guī)定職員不能用電子郵件發(fā)送高度敏感或機密的信息應包括在政策之內。
3.以下哪種關于電子郵件安全性的說法是正確的?
I.電子郵件不可能比它賴以運行的計算機系統更安全。
II.機密的電子郵件信息應該儲存在郵件服務器中，儲存時間和紙質文件相等。
III.在大型組織中，可能有若干個不同安全級別的郵件管理員和地點。
a.只有I是對的。
b.只有I和II是對的。
C.只有I和III是對的。
d.只有II和III是對的。
『正確答案』C
『解題思路』
I.正確。如果電子郵件賴以運行的計算機系統不安全，就可以通過系統工具獲得電子郵件的內容。
II.不正確。一旦用戶將機密的郵件信息下載到PC機后，就不應該再在郵件服務器上保留。
III.正確。在大型組織中，通常會對不同安全級別的郵件分設不同的管理員和地點。
4.以下哪項關于電子郵件安全性的說法是正確的?
a.互聯網上的所有信息都被加密，因此能夠提供增強的安全性。
b.密碼在防止偶然訪問其他人的電子郵件時很有效。
c.如果沒有事先對安全控制記錄解密，那么即使具有訪問包含電子郵件信息的文件服務器的管理級權限的人員也不能接觸包含電子郵件信息的文件。
d.自主訪問控制策略不需要密碼。
『正確答案』b
『解題思路』
a.不正確。互聯網上的信息并未自動加密，包括電子郵件信息。
b.正確。對設置了密碼的電子郵件，必須輸入正確的密碼信息才能閱讀郵件，因此可以防止對郵件的偶然訪問。
c.不正確。具有文件服務器管理權限（一般控制）的人員完全有可能繞過電子郵件的安全控制（應用控制），通過直接閱讀郵件文件的方式來獲得郵件內容。
d.不正確。自主訪問控制策略需要對用戶身份進行鑒別，而口令是身份鑒別的主要手段
利用一下信息回答5—8題：
某擁有數百家百貨商店的企業(yè)有一個網絡，各商店利用該網絡將銷售數據傳送給總部。該網絡同時也被用于：
供應商提交再訂貨單。
商店向總部傳達專項訂單。
區(qū)域銷售中心向商店傳送發(fā)貨和貨物脫銷信息。
總公司辦公室分發(fā)培訓資料。
商店、區(qū)域銷售中心和總公司員工共享所有他們認為有用的信息。
為了適應大量數據傳送，大型商店擁有他們自己的衛(wèi)星收發(fā)站。小型商店則使用租用線路。
5.信息系統和審計主管均認為需要確保傳輸信息和數據的安全性和完整性，那么確保衛(wèi)星傳輸保密性的最佳手段是
a.加密。
b.訪問控制。
c.監(jiān)控軟件。
d.循環(huán)冗余檢驗。
『正確答案』a
『解題思路』
a.正確。對傳輸信息進行加密可以確保其在傳輸過程中不能被非法竊取。
b.不正確。訪問控制可防止對系統資源的非授權訪問。
c.不正確。監(jiān)控軟件用于檢測系統的運行狀態(tài)。
d.不正確。循環(huán)冗余檢驗可用于保證傳輸數據的完整性，但不能保證其保密性。
6.將紙質文件轉換成計算機文件需要何種技術?
a.光學字符識別（OCR）。
b.電子數據交換（EDI）。
c.條碼掃描。
d.連接和合并。
『正確答案』a
『解題思路』
a.正確。光電字符識別（OCR）軟件在掃描設備讀取紙質文檔的圖像時，將其轉換成文本格式的計算機文件。
b.不正確。電子數據交換（EDI）只能用來交換電子數據。
c.不正確。條碼掃描只能閱讀符合標準的條形碼。
d.不正確。連接和合并是一種數據庫的數據檢索技術。
7.信息系統和審計主管同時認為，維護存放庫存數據的系統的完整性對于向商店分發(fā)準確的產品數量至關重要。確保其應用軟件完整性的最佳方法是通過
a.在接收部門的終端實施訪問控制。
b.貨物收發(fā)的審計線索。
c.存貨軟件的變動控制。
d.網絡監(jiān)控軟件。
『正確答案』c
『解題思路』
a。不正確。在接收部門的終端實施訪問控制可以防止對終端的非授權訪問，但不能保證應用軟件的完整性。
b.不正確。存貨收發(fā)的審計線索可以保留貨物收發(fā)的歷史記錄，但不能保證應用軟件的完整性。
c.正確。變動控制程序用于保證應用程序不能被非授權修改，對確保應用軟件完整性有很大作用。
d.不正確。網路監(jiān)控軟件檢測網絡的運行狀況，對應用軟件的完整性沒有任何幫助。
8.為了增強應用軟件的安全性，內部審計主管建議程序員應該配置無盤工作站。無盤工作站可以增強安全性是因為
a.使盜竊應用程序更加困難。
B減少工作站的維護費用。
C可以實施更為嚴格的訪問控制。
d.促進程序員更緊密地協同工作。
『正確答案』a
『解題思路』
a.正確。無盤工作站運行從服務器上下載的程序，本地不保存任何程序，因此想通過無盤工作站非法拷貝應用程序會更困難。
b.不正確，減少工作站的維護費用與安全性無關。
c.不正確。對程序員而言，通過有盤或者是無盤工作站可實現的訪問控制手段是相同的。
d.不正確。無盤工作站確實可以促進程序員更加緊密地協同工作，但這不一定導致應用軟件安全性的增強。

相關推薦：國際注冊內審師考試《經營分析和信息技術》講義匯總
新添考試應用：
①資訊訂閱，查詢最新考試信息②章節(jié)習題 海量套題全免費體驗??！ 

（責任編輯：中大編輯）

共2頁,當前第1頁  第一頁  前一頁  下一頁