國際注冊內(nèi)部審計師

• 第1頁：Web基礎(chǔ)設(shè)施

• 第2頁：典型試題

E18　Web基礎(chǔ)設(shè)施

18.1 About Internet
因特網(wǎng)概述
因特網(wǎng)是計算機(jī)網(wǎng)絡(luò)發(fā)展的劃時代結(jié)果，利用因特網(wǎng)，任何人均可以使用網(wǎng)絡(luò)瀏覽器（web browser）來瀏覽互聯(lián)網(wǎng)上的超文本文件等各種信息。因特網(wǎng)為人們提供了幾乎是無窮無盡的信息資源，但與此同時，如何在如此眾多的信息中找到最好的信息源也成了使用因特網(wǎng)的最大困難
因特網(wǎng)除了能提供各類信息外，還為人們的交流提供了各種手段和場所，如電子郵件（E-mail）、遠(yuǎn)程登錄（telnet）、文件傳輸（FtP）、萬維網(wǎng)（WWW）、專題論壇（usenet）、電子公告牌（BBS）等。
專題論壇（usenet）是用戶可以張貼問題，并由其他專家用戶回答問題的專題小組。
電子公告牌（BBS）是一種計算機(jī)系統(tǒng)，具有特殊興趣的小組可以在BBS上發(fā)布和閱讀信息，進(jìn)行交流。
內(nèi)聯(lián)網(wǎng)（Intranet）和外聯(lián)網(wǎng)（Extranet）：內(nèi)聯(lián)網(wǎng)是企業(yè)基于因特網(wǎng)技術(shù)建立的面向其內(nèi)部職員的網(wǎng)絡(luò)，企業(yè)職員可以通過內(nèi)聯(lián)網(wǎng)遠(yuǎn)程訪問公司內(nèi)部網(wǎng)絡(luò)；外聯(lián)網(wǎng)則將服務(wù)對象擴(kuò)展到了企業(yè)的合作伙伴（客戶、供應(yīng)商、各類機(jī)構(gòu)）。顯然，無論是內(nèi)聯(lián)網(wǎng)還是外聯(lián)網(wǎng)都需有設(shè)置適當(dāng)?shù)脑L問控制措施以防止用戶濫用網(wǎng)絡(luò)資源。
18.2 Internet Basics
因特網(wǎng)基礎(chǔ)
因特網(wǎng)的網(wǎng)絡(luò)架構(gòu)
因特網(wǎng)的基礎(chǔ)是一個由主干網(wǎng)、次級網(wǎng)和園區(qū)網(wǎng)構(gòu)成的覆蓋全球的通信網(wǎng)絡(luò)。
主干網(wǎng)：由代表國家或者行業(yè)的有限個中心結(jié)點通過專線連接形成，覆蓋到國家一級；連接各個國家的因特網(wǎng)互聯(lián)中心（如中國互聯(lián)網(wǎng)信息中心CNNIC）。主干網(wǎng)節(jié)點之間通過主干線路連接，主干線路通常由長途電話公司或政府管理。
次級網(wǎng)（區(qū)域網(wǎng)）：若干個作為中心結(jié)點代理的次中心結(jié)點組成。次中心節(jié)點之間通過區(qū)域性線路連接，通常由區(qū)域電話或電信公司經(jīng)營，這些通信公司將其信道帶寬租給因特網(wǎng)服務(wù)提供商（ISP）經(jīng)營。次級網(wǎng)和主干網(wǎng)之間的連接點稱為網(wǎng)絡(luò)接入點（NAPs）。
園區(qū)網(wǎng)（校園網(wǎng)、企業(yè)網(wǎng)）：直接面向用戶的網(wǎng)絡(luò)（最后一公里），常見的連接手段有入戶光纖、有線電視、DSL及電話撥號等。
與因特網(wǎng)的基礎(chǔ)通信網(wǎng)絡(luò)不同，因特網(wǎng)（資源網(wǎng)）本身是一個松散的網(wǎng)絡(luò)，它既不屬于任何組織，也不被任何機(jī)構(gòu)所管理。正因為如此，有些國家嚴(yán)格控制甚至完全禁止其國民使用因特網(wǎng)。
因特網(wǎng)的工作原理：
因特網(wǎng)采用TCP/IP協(xié)議簇作為其通信協(xié)議。 TCP（傳輸控制協(xié)議）和IP（網(wǎng)間傳輸協(xié)議）是其中的兩個核心協(xié)議。
TCP/IP協(xié)議中用于唯一確定網(wǎng)絡(luò)節(jié)點地址的是IP地址，IP V4（版本4）地址由32位二進(jìn)制（4個字節(jié)）組成，通常用4個十進(jìn)制來表示，如：202.119.2.199
由于IP地址難于理解和記憶，采用了一套有助于記憶的符號化“域名地址”來表示網(wǎng)絡(luò)節(jié)點，域名也采用層次命名結(jié)構(gòu)：域.子域（.子域（.子域）），體現(xiàn)了一種隸屬關(guān)系.如：
seu.edu.cn中國.教育科研網(wǎng).東南大學(xué)
域名管理系統(tǒng)（DNS）負(fù)責(zé)域名和IP地址之間的轉(zhuǎn)換。
因特網(wǎng)上的節(jié)點可分為服務(wù)節(jié)點（服務(wù)器）和訪問節(jié)點（終端），訪問節(jié)點也稱為網(wǎng)絡(luò)終端或瀏覽器終端，服務(wù)節(jié)點則可能是運行各種操作系統(tǒng)和應(yīng)用服務(wù)的設(shè)備。
一個服務(wù)節(jié)點可以提供多種服務(wù)，通過服務(wù)端口號來區(qū)分，可以為每個服務(wù)端口號賦予一個名稱，多數(shù)著名的服務(wù)均有默認(rèn)的端口號和名稱，如：WWW（萬維網(wǎng)）的默認(rèn)端口號為80。
因特網(wǎng)術(shù)語：
HTTP／HTTPS（超文本傳輸協(xié)議／安全的超文本傳輸協(xié)議）：實現(xiàn)因特網(wǎng)消息格式化和傳輸?shù)臉?biāo)準(zhǔn)協(xié)議，其中HTTPS是其加密版本。
IP地址/域名：唯一標(biāo)識因特網(wǎng)上設(shè)備的數(shù)字似符號化地址。
域名管理系統(tǒng)（DNS）：負(fù)責(zé)域名和IP地址之間轉(zhuǎn)換的層次化服務(wù)系統(tǒng)。
URL（統(tǒng)一資源定位符）：唯一地表示因特網(wǎng)上的任一資源，由傳輸協(xié)議、域名、服務(wù)名、目錄路徑、文件名和參數(shù)構(gòu)成。例如：http://www..sina.com：80/finance/index.php?id=29 &id=30
FTP（文件傳輸協(xié)議）：TCP／IP協(xié)議簇中包含的一種應(yīng)用層協(xié)議，用于通過網(wǎng)絡(luò)傳輸各種文件。
Telnet（遠(yuǎn)程登錄協(xié)議）：TCP／IP協(xié)議簇中包含的一種應(yīng)用層協(xié)議，用于通過網(wǎng)絡(luò)遠(yuǎn)程登錄主機(jī)。
IM（即時消息傳遞）：一種服務(wù)，可通過網(wǎng)絡(luò)實現(xiàn)文本消息的實時傳遞。
CGI（通用網(wǎng)關(guān)腳本語言）：一種標(biāo)準(zhǔn)的編程語言，服務(wù)例程可通過調(diào)用它們動態(tài)訪問服務(wù)器上的資源。其它常用的類似語言還有：perl，php，asp
Cookies（小甜餅）：是由Internet站點創(chuàng)建的并存儲在本地計算機(jī)上的一段文本信息，例如訪問站點時的首選項和個人可識別信息等，其作用是簡化網(wǎng)頁訪問過程。
Applets（小應(yīng)用程序）：瀏覽器在訪問網(wǎng)頁時動態(tài)從服務(wù)器下載并執(zhí)行的一段小程序，通常由JAVA編寫。
SMTP（簡單郵件傳輸協(xié)議）：規(guī)定怎樣將個人計算機(jī)連接到Internet的郵件服務(wù)器和發(fā)送電子郵件的協(xié)議。
POP3（郵局協(xié)議版本3）：規(guī)定怎樣將個人計算機(jī)連接到Internet的郵件服務(wù)器和下載電子郵件的協(xié)議。
18.3 E-MAIL Security
電子郵件安全
電子郵件是因特網(wǎng)上應(yīng)用最廣泛的功能之一，隨著電子郵件的廣泛使用，其安全控制也變得越來越重要。常見的控制措施包括：
公司應(yīng)該規(guī)定雇員不能用電子郵件發(fā)送高度敏感或機(jī)密的信息。
對敏感電子郵件要進(jìn)行加密。
限制使用電子郵件軟件的種類。
在工作終端上的一些商務(wù)電子郵件需要保存以備公司查閱。
保密性電子郵件不能儲存在郵件服務(wù)器中。
雇員離職后，應(yīng)保留其電子郵件以備查閱。
在較大的公司，可以在安全程度不等的不同地點由幾人同時負(fù)責(zé)管理電子郵件的安全性。
電子郵件系統(tǒng)的密碼可以有效防止電子郵件被其他人隨便接觸，包括防止有人企圖以用戶的名義隨意訪問用戶的個人數(shù)據(jù)。但電子郵件不可能比它賴以運行的計算機(jī)環(huán)境更安全，當(dāng)計算機(jī)操作系統(tǒng)的安全得不到保障時，電子郵件的密碼很容易被繞過。
18.4 Navigator Security
瀏覽器安全控制
瀏覽器的安全缺陷是很多攻擊的根源。與其它應(yīng)用程序一樣，即使是最新版本的瀏覽器也會存在各種程序故障，需要通過 補(bǔ)丁包進(jìn)行升級。一般來說，管理員應(yīng)該關(guān)閉所有不需要的瀏覽器特性，如動態(tài)頁面和插件。雖然實現(xiàn)這些特性的編程語言（Active X或JAVA）是在一個受控的環(huán)境中運行，不能直接訪問系統(tǒng)的其它部分，但這種保護(hù)很可能被黑客攻破，因此很多企業(yè)規(guī)定只允許瀏覽靜態(tài)頁面。Cookies（小甜餅）是瀏覽器的另一個特性，它是Web站點在用戶計算機(jī)中生成的，存放用戶登錄信息等參數(shù)，以便用戶再次訪問時無需重復(fù)輸入相關(guān)信息。但這也會帶來安全隱患，通常應(yīng)該禁用cookies或只允許在訪問可信站點時使用。
彈出窗口（如廣告）有可能引入惡意代碼，因此也應(yīng)該阻斷。對于外部站點，管理員應(yīng)該將其安全控制屬性設(shè)為“高”，在該設(shè)置下，管理員需要定義“可信”站點，即允許正常訪問的站點，而其它站點則只能在受控方式下瀏覽或根本禁止訪問。
18.5 Service-Oriented Architecture（SOA）
面向服務(wù)的體系結(jié)構(gòu)
SOA是目前非常有發(fā)展?jié)摿Φ囊环NIT體系結(jié)構(gòu)樣式，它將應(yīng)用程序的不同功能單元（稱為服務(wù)）通過這些服務(wù)之間定義良好的接口和契約聯(lián)系起來。接口是采用中立的方式進(jìn)行定義的，它獨立于實現(xiàn)服務(wù)的硬件平臺、操作系統(tǒng)和編程語言。這使得構(gòu)建在這樣的系統(tǒng)中的各種服務(wù)可以以一種統(tǒng)一和通用的方式進(jìn)行交互。
這種具有中立的接口定義（沒有強(qiáng)制綁定到特定的實現(xiàn)上）的特征稱為服務(wù)之間的松耦合。松耦合系統(tǒng)的好處有兩點，一點是它的靈活性，另一點是，當(dāng)組成整個應(yīng)用程序的每個服務(wù)的內(nèi)部結(jié)構(gòu)和實現(xiàn)逐漸地發(fā)生改變時，它能夠繼續(xù)存在。而另一方面，緊耦合意味著應(yīng)用程序的不同組件之間的接口與其功能和結(jié)構(gòu)是緊密相連的，因而當(dāng)需要對部分或整個應(yīng)用程序進(jìn)行某種形式的更改時，它們就顯得非常脆弱。
對松耦合的系統(tǒng)的需要來源于業(yè)務(wù)應(yīng)用程序要根據(jù)業(yè)務(wù)的需要變得更加靈活，以適應(yīng)不斷變化的環(huán)境，比如經(jīng)常改變的政策、業(yè)務(wù)級別、業(yè)務(wù)重點、合作伙伴關(guān)系、行業(yè)地位以及其他與業(yè)務(wù)有關(guān)的因素，這些因素甚至?xí)绊憳I(yè)務(wù)的性質(zhì)。這種能夠靈活地適應(yīng)環(huán)境變化的業(yè)務(wù)被稱為按需（On demand）業(yè)務(wù)，在按需業(yè)務(wù)中，一旦需要，就可以對完成或執(zhí)行任務(wù)的方式進(jìn)行必要的更改。
SOA可以說是更傳統(tǒng)的面向?qū)ο蟮哪Ｐ偷奶娲Ｐ?。面向?qū)ο蟮哪Ｐ褪蔷o耦合的，而基于SOA的系統(tǒng)雖然并不排除使用面向?qū)ο蟮脑O(shè)計來構(gòu)建單個服務(wù)，但是其整體設(shè)計卻是面向服務(wù)的。
18.6 Web infrastructure
環(huán)球網(wǎng)基礎(chǔ)設(shè)施
WEB基礎(chǔ)設(shè)施是指構(gòu)成當(dāng)今電子商務(wù)應(yīng)用中間層的基礎(chǔ)資源——運行在操作系統(tǒng)平臺上的網(wǎng)絡(luò)服務(wù)器和應(yīng)用服務(wù)器。如IBM的Websphere Application Server、Oracle的Application Server、BEA的WebLogic等。因為這些資源經(jīng)常是面向客戶的應(yīng)用，所以它是所有要求具有高性能和可用性的網(wǎng)絡(luò)應(yīng)用的公共基礎(chǔ)。不良的性能不僅會影響到終端用戶的工作效率，也會影響到提供應(yīng)用的組織的形象。網(wǎng)絡(luò)基礎(chǔ)設(shè)施必須得到有效的管理。

相關(guān)推薦：國際注冊內(nèi)審師考試《經(jīng)營分析和信息技術(shù)》講義匯總
新添考試應(yīng)用：
①資訊訂閱，查詢最新考試信息②章節(jié)習(xí)題 海量套題全免費體驗??！ 

• 第1頁：Web基礎(chǔ)設(shè)施

• 第2頁：典型試題

典型試題
1.能提交專題問題并使其他知情人可以看到和答復(fù)的地方是
a.文件搜索程序，如Archie。
b.廣域信息服務(wù)器。
c.互聯(lián)網(wǎng)專題論壇，如Usenet group。
d.開放系統(tǒng)互聯(lián)組織。
『正確答案』C
『解題思路』
a.不正確。文件搜索程序用于在因特網(wǎng)上搜索所需的文件資料。
b.不正確。廣域信息服務(wù)器可以在因特網(wǎng)上發(fā)布信息。
c.正確?；ヂ?lián)網(wǎng)專題論壇是一個供人們通過互聯(lián)網(wǎng)直接交流的場所，在這里可以提出問題，也可回復(fù)問題。
d.不正確。開放系統(tǒng)互聯(lián)組織是旨在推動開放系統(tǒng)發(fā)展的國際組織。
2.內(nèi)部審計師正在復(fù)核一項有關(guān)電子郵件的新政策，這個政策應(yīng)包括除了以下哪項以外的所有因素?
a.立即刪除已解除雇傭員工的所有電子郵件。
b.通過電話線傳輸?shù)碾娮余]件信息應(yīng)該加密。
C.限制公司采用的電子郵件軟件包的種類。
d.規(guī)定職員不能用電子郵件發(fā)送高度敏感或機(jī)密的信息。
『正確答案』a
『解題思路』
a.正確。已解除雇傭員工的電子郵件中很可能包含有用的客戶和業(yè)務(wù)信息，而且這些電子郵件的存在通常不對組織構(gòu)成風(fēng)險，因此沒有必要立即刪除，而應(yīng)安排專人接手并檢查這些郵件。
b.不正確。電話線路很容易被竊聽，因此對通過電話線傳輸電子郵件信息進(jìn)行加密應(yīng)包括在政策之內(nèi)。
C.不正確。限制公司采用的電子郵件軟件包的種類有利于郵件的安全管理和互通，應(yīng)包括在政策之內(nèi)。
d.不正確。電子郵件在通過公網(wǎng)傳送時，很可能受到各種攻擊，因此規(guī)定職員不能用電子郵件發(fā)送高度敏感或機(jī)密的信息應(yīng)包括在政策之內(nèi)。
3.以下哪種關(guān)于電子郵件安全性的說法是正確的?
I.電子郵件不可能比它賴以運行的計算機(jī)系統(tǒng)更安全。
II.機(jī)密的電子郵件信息應(yīng)該儲存在郵件服務(wù)器中，儲存時間和紙質(zhì)文件相等。
III.在大型組織中，可能有若干個不同安全級別的郵件管理員和地點。
a.只有I是對的。
b.只有I和II是對的。
C.只有I和III是對的。
d.只有II和III是對的。
『正確答案』C
『解題思路』
I.正確。如果電子郵件賴以運行的計算機(jī)系統(tǒng)不安全，就可以通過系統(tǒng)工具獲得電子郵件的內(nèi)容。
II.不正確。一旦用戶將機(jī)密的郵件信息下載到PC機(jī)后，就不應(yīng)該再在郵件服務(wù)器上保留。
III.正確。在大型組織中，通常會對不同安全級別的郵件分設(shè)不同的管理員和地點。
4.以下哪項關(guān)于電子郵件安全性的說法是正確的?
a.互聯(lián)網(wǎng)上的所有信息都被加密，因此能夠提供增強(qiáng)的安全性。
b.密碼在防止偶然訪問其他人的電子郵件時很有效。
c.如果沒有事先對安全控制記錄解密，那么即使具有訪問包含電子郵件信息的文件服務(wù)器的管理級權(quán)限的人員也不能接觸包含電子郵件信息的文件。
d.自主訪問控制策略不需要密碼。
『正確答案』b
『解題思路』
a.不正確?；ヂ?lián)網(wǎng)上的信息并未自動加密，包括電子郵件信息。
b.正確。對設(shè)置了密碼的電子郵件，必須輸入正確的密碼信息才能閱讀郵件，因此可以防止對郵件的偶然訪問。
c.不正確。具有文件服務(wù)器管理權(quán)限（一般控制）的人員完全有可能繞過電子郵件的安全控制（應(yīng)用控制），通過直接閱讀郵件文件的方式來獲得郵件內(nèi)容。
d.不正確。自主訪問控制策略需要對用戶身份進(jìn)行鑒別，而口令是身份鑒別的主要手段
利用一下信息回答5—8題：
某擁有數(shù)百家百貨商店的企業(yè)有一個網(wǎng)絡(luò)，各商店利用該網(wǎng)絡(luò)將銷售數(shù)據(jù)傳送給總部。該網(wǎng)絡(luò)同時也被用于：
供應(yīng)商提交再訂貨單。
商店向總部傳達(dá)專項訂單。
區(qū)域銷售中心向商店傳送發(fā)貨和貨物脫銷信息。
總公司辦公室分發(fā)培訓(xùn)資料。
商店、區(qū)域銷售中心和總公司員工共享所有他們認(rèn)為有用的信息。
為了適應(yīng)大量數(shù)據(jù)傳送，大型商店擁有他們自己的衛(wèi)星收發(fā)站。小型商店則使用租用線路。
5.信息系統(tǒng)和審計主管均認(rèn)為需要確保傳輸信息和數(shù)據(jù)的安全性和完整性，那么確保衛(wèi)星傳輸保密性的最佳手段是
a.加密。
b.訪問控制。
c.監(jiān)控軟件。
d.循環(huán)冗余檢驗。
『正確答案』a
『解題思路』
a.正確。對傳輸信息進(jìn)行加密可以確保其在傳輸過程中不能被非法竊取。
b.不正確。訪問控制可防止對系統(tǒng)資源的非授權(quán)訪問。
c.不正確。監(jiān)控軟件用于檢測系統(tǒng)的運行狀態(tài)。
d.不正確。循環(huán)冗余檢驗可用于保證傳輸數(shù)據(jù)的完整性，但不能保證其保密性。
6.將紙質(zhì)文件轉(zhuǎn)換成計算機(jī)文件需要何種技術(shù)?
a.光學(xué)字符識別（OCR）。
b.電子數(shù)據(jù)交換（EDI）。
c.條碼掃描。
d.連接和合并。
『正確答案』a
『解題思路』
a.正確。光電字符識別（OCR）軟件在掃描設(shè)備讀取紙質(zhì)文檔的圖像時，將其轉(zhuǎn)換成文本格式的計算機(jī)文件。
b.不正確。電子數(shù)據(jù)交換（EDI）只能用來交換電子數(shù)據(jù)。
c.不正確。條碼掃描只能閱讀符合標(biāo)準(zhǔn)的條形碼。
d.不正確。連接和合并是一種數(shù)據(jù)庫的數(shù)據(jù)檢索技術(shù)。
7.信息系統(tǒng)和審計主管同時認(rèn)為，維護(hù)存放庫存數(shù)據(jù)的系統(tǒng)的完整性對于向商店分發(fā)準(zhǔn)確的產(chǎn)品數(shù)量至關(guān)重要。確保其應(yīng)用軟件完整性的最佳方法是通過
a.在接收部門的終端實施訪問控制。
b.貨物收發(fā)的審計線索。
c.存貨軟件的變動控制。
d.網(wǎng)絡(luò)監(jiān)控軟件。
『正確答案』c
『解題思路』
a。不正確。在接收部門的終端實施訪問控制可以防止對終端的非授權(quán)訪問，但不能保證應(yīng)用軟件的完整性。
b.不正確。存貨收發(fā)的審計線索可以保留貨物收發(fā)的歷史記錄，但不能保證應(yīng)用軟件的完整性。
c.正確。變動控制程序用于保證應(yīng)用程序不能被非授權(quán)修改，對確保應(yīng)用軟件完整性有很大作用。
d.不正確。網(wǎng)路監(jiān)控軟件檢測網(wǎng)絡(luò)的運行狀況，對應(yīng)用軟件的完整性沒有任何幫助。
8.為了增強(qiáng)應(yīng)用軟件的安全性，內(nèi)部審計主管建議程序員應(yīng)該配置無盤工作站。無盤工作站可以增強(qiáng)安全性是因為
a.使盜竊應(yīng)用程序更加困難。
B減少工作站的維護(hù)費用。
C可以實施更為嚴(yán)格的訪問控制。
d.促進(jìn)程序員更緊密地協(xié)同工作。
『正確答案』a
『解題思路』
a.正確。無盤工作站運行從服務(wù)器上下載的程序，本地不保存任何程序，因此想通過無盤工作站非法拷貝應(yīng)用程序會更困難。
b.不正確，減少工作站的維護(hù)費用與安全性無關(guān)。
c.不正確。對程序員而言，通過有盤或者是無盤工作站可實現(xiàn)的訪問控制手段是相同的。
d.不正確。無盤工作站確實可以促進(jìn)程序員更加緊密地協(xié)同工作，但這不一定導(dǎo)致應(yīng)用軟件安全性的增強(qiáng)。

相關(guān)推薦：國際注冊內(nèi)審師考試《經(jīng)營分析和信息技術(shù)》講義匯總
新添考試應(yīng)用：
①資訊訂閱，查詢最新考試信息②章節(jié)習(xí)題 海量套題全免費體驗??！ 

（責(zé)任編輯：中大編輯）

共2頁,當(dāng)前第1頁  第一頁  前一頁  下一頁