14 信息安全

选 A（完整性）。题干关键词是"未经授权不能进行改变"——完整性保障的是信息不被未授权方篡改、删除或伪造，只有授权方才能以授权方式修改数据。它是五个安全要素中最常考的一个，看到"修改、篡改"直接对号完整性。

B 可用性错：可用性说的是"得到授权的实体在需要时能访问到数据"，管的是"能不能用"，不是"能不能改"，对应的是 DoS 攻击破坏的对象。

C 保密性错：保密性管的是"不泄露给未授权的实体或进程"，关键词是"看、窃听"，与"修改"无关。

D 不可抵赖性错：不可抵赖性靠数字签名实现，保证发送方事后不能否认发过信息，关键词是"抵赖、否认"，跟篡改数据是两回事。

速记口诀：防偷看＝机密性，防篡改＝完整性，防瘫痪＝可用性，防赖账＝不可抵赖。这四句对应关系在 2009—2021 年反复出题，必须形成条件反射。

问"不包括"，选 A（审计）。访问控制的职责链条是"先定权、再授权、后执行"三步：授权决定哪些主体可以访问哪些客体；确定存取权限把权限具体化成读、写、执行、删除等存取方式的组合；实施存取权限由系统在访问发生时强制执行这些规则。三者都发生在"访问被允许之前"，是访问控制的直接任务。

而审计是对主体访问客体的情况进行记录和事后审查，用来保证安全规则被正确执行、帮助分析安全事故原因——它发生在访问之后，属于安全监控与追责机制，与"决定谁能访问"这条控制链没有直接关系，所以不属于访问控制的任务。

B、C、D 都是访问控制链条上的环节，均为它的本职工作。本题的陷阱在于：审计和访问控制关系密切、常常配套出现（例如数据库系统既有权限管理又有操作日志），但"关系密切"不等于"任务之内"。

记忆方法：访问控制管"进门前的门禁"，审计是"进门后的监控录像"——录像再全也不能拦人，所以不是门禁的任务。

选 D（系统安全和应用安全）。网络安全体系设计是网络逻辑设计的重要内容，分四个层面：物理线路安全管线缆、机房；网络安全管网络设备与传输；系统安全管操作系统与数据库系统本身；应用安全管业务应用层的安全。数据库容灾是当应用系统和数据库遭遇地震、火灾等不可抗力时，通过异地实时在线的备用系统与备用数据库接管业务，保证交易连续——保护对象是"数据库系统＋跑在其上的应用"，属于系统安全和应用安全的考虑范畴。

A 错：物理线路安全和网络安全管的是传输介质、路由器、交换机这些网络基础设施，数据库容灾与其无关。

B 错：网络安全与容灾无关；容灾也不只涉及应用层，还要涉及数据库系统本身。

C 错：网络安全层面同样与容灾无关，干扰性强在于"系统安全"一词确实沾边，但组合里混入了网络安全。

记住结论：容灾＝备用系统＋备用数据库接管，落在系统安全＋应用安全。这道题四个选项都是两两组合，只要排除含"网络安全"的组合即可锁定答案。

选 C（MAC 地址）。包过滤防火墙工作在网络层，依据访问控制表（ACL）逐个检查数据包头部信息并决定放行与否，检查依据就是 IP 头和传输层头中的四个字段：源 IP 地址、目的 IP 地址、源端口号、目的端口号（有时还包括协议类型）。A、B、D 都在这张清单里，C 不在。

MAC 地址是数据链路层（第二层）的物理地址，包过滤防火墙不基于它做过滤判断——虽然网卡收发包必然经过 MAC 层，但防火墙的过滤规则不读 MAC 地址。这是本题唯一的考点：层次决定检查对象，网络层设备看 IP 和端口，链路层设备才看 MAC。

把这道题和"包过滤防火墙对网络层的数据报文进行检查"（2021 下）连起来记：一题问"在哪一层"，一题问"查什么字段"，答案互相印证——网络层 → 查 IP 和端口 → 不查 MAC、不看应用内容。

选 D（内网、DMZ 和外网）。三区域受保护程度从高到低：内网 ＞ DMZ ＞ 外网。内网是完全信任区，存放内部服务器和办公终端，外部访问被严格禁止；DMZ（非军事区）是半信任区，放置必须对外提供服务的设备（Web、邮件、DNS 服务器），允许外网按需访问其特定端口；外网是不可信任区，毫无保护可言。2021 下半年的同型题（本卷真题 13）把方向反过来问"从低到高"，答案就是外网、DMZ 和内网——两个方向都要会。

A 错：把外网排在 DMZ 之前，等于说外网比 DMZ 受保护程度高，方向完全颠倒。

B 错：内网排中间、DMZ 排最后，与事实相反——DMZ 恰恰是为了避免"外网直接访问内网"而设计的缓冲带，其保护程度介于两者之间。

C 错：DMZ 排第一、内网排第二，同样颠倒了内网与 DMZ 的关系；且外网垫底才对。

记忆方法：DMZ 直译"非军事区"——交战双方（内网与外网）之间设立的缓冲地带，最信任的藏在内，最不信任的露在外，半信任的搁中间。

选 D。这是本章最经典的对偶关系题，结论必须背死：工作层次越低，工作效率越高，安全性越低；工作层次越高，工作效率越低，安全性越高。

原理分两头说。效率一头：低层次（网络层）的包过滤防火墙只读包头几个字段就做放行判断，处理路径短、速度快；高层次（应用层）的代理防火墙要完整解析应用协议内容，逐条检查数据，处理开销大，所以效率随层次升高而下降。安全一头：层次越高，防火墙对数据的"理解"越深——包过滤只看 IP 和端口，分不清"合法端口里藏着什么内容"；应用级网关能看懂具体的协议命令和数据内容，可以拦截藏在应用层的攻击，还能隐藏内部网络结构，所以安全性随层次升高而上升。

A 错在"安全性越高"：层次低效率确实高，但安全性反而低，两个结论方向相反。B 把效率也说反了。C 错在"效率越高"：层次高安全性确实高，但效率反而低。

四个选项是两两配对的两句话正反排列，做题时先定一个自己有把握的半句（比如"层次高安全性高"），再选包含它的选项即可。

选 B。包过滤防火墙在网络层按规则检查 IP、端口，不要求客户与服务器程序做任何修改，用户感觉不到它的存在——这就是"对应用和用户透明"的含义。透明性高、实现简单、成本低、速度快，是包过滤的核心优点。

A 错：因果关系和结论都反了——包过滤技术实现成本低，正因为只查包头，安全性也相对低（看不懂应用层数据）。

C 错：代理服务安全性较高没错，但它要对每个连接做完整的协议解析和转发，处理开销大，会降低网络整体性能，而不是提高。"安全性高"与"性能高"在这题里是互斥特征，不能同时占。

D 错："只能"两个字太绝对。代理服务可以配置成要求用户认证后才建立连接（这正是它的安全优势之一），但并非只有这一种工作方式，匿名代理、直接放行的场景同样存在。

本题为两类防火墙的对比定了调子，后面反复复用：包过滤＝透明、快、便宜、不安全；代理＝不透明、慢、贵、安全、可认证。

选 B（Web 服务器）。判断设备放内网还是 DMZ 只有一条标准：是否需要被外网访问。DMZ 的设计目的就是安置那些"必须对外提供服务、但又不能直接放进内网"的服务器——外网用户要浏览网站，Web 服务器必须能被外部访问到，把它放 DMZ，即使被攻破，内网仍有防火墙隔离，损失可控。邮件服务器、DNS 服务器同理，都放 DMZ。

A 网络管理服务器错：管理着全网设备的配置与口令，是攻击者梦寐以求的"总钥匙"，必须放保护程度最高的内网，绝不能暴露在半信任区。

C 入侵检测服务器错：IDS 需要监控内部流量、汇总各处告警，属于内部安全设施，放在内网（或以镜像流量方式部署）更合适。

D 财务管理服务器错：财务数据是企业最敏感的内部数据之一，只允许内部授权访问，应放内网。

顺带记牢真题 5 的结论：三区受保护程度是外网 ＜ DMZ ＜ 内网，正好与"是否对外服务、是否敏感"两个维度对应——对外服务的去 DMZ，敏感又对内的留内网。

选 B（查毒）。防火墙的本职工作是控制进出网络的数据流：包过滤（按规则检查 IP、端口后放行或丢弃）、记录访问过程（对连接与流量做日志和审计，供事后追溯）、代理（代替内网主机与外网通信，隔离内外网）。这三项 A、C、D 都是防火墙具备的功能。

查毒（检测和清除计算机病毒）是防病毒软件的职责。防火墙工作在网络边界，看到的是一个个数据包；病毒藏在文件内容、宏代码或可执行程序里，要识别病毒必须对文件做特征码扫描和行为分析，这超出了防火墙的工作范围。同理，防火墙也不能做漏洞扫描、不能主动发现入侵者——这两件事分别属于漏洞扫描系统和入侵检测系统（IDS）。

软考在这个点上有一套固定搭配，务必分清四个"设备/系统"各自的能力边界：防火墙管过滤与隔离，防病毒软件管查毒，漏洞扫描系统管主动找弱点，入侵检测系统管发现攻击并报警。凡是把别家能力安到防火墙头上的选项，都是干扰项。

问"不正确的"，选 D（提供漏洞扫描功能）。这是"防火墙不具备什么"系列题的又一变体：漏洞扫描是主动探测目标主机开放端口、服务版本和安全弱点的技术，由专门的漏洞扫描系统完成（管理员用它自查，黑客用它踩点）。防火墙是被动部署在网络边界的隔离设备，只对经过它的流量做控制，不会主动扫描任何主机，D 与事实不符。

A 正确：控制进出网络的数据包和数据流向是防火墙的立身之本——包过滤决定包的去留，NAT 和代理机制还能改变连接的方向与路径。

B 正确：防火墙可以对经过它的流量做日志记录，提供流量信息的日志和审计能力，方便管理员分析异常连接、追溯安全事件。

C 正确：防火墙（尤其配合 NAT、代理机制）能对外隐藏内部 IP 地址和网络拓扑细节，让外网攻击者摸不清内网结构，这是它重要的防护价值。

把真题 9 和本题对照记忆：查毒、漏洞扫描、发现入侵者，这三样都不是防火墙的活——分别归防病毒软件、漏洞扫描系统、入侵检测系统。这个"三不是"在 2015、2017 两年的题里连续出现，命题人显然很喜欢它。

选 B（应用级网关）。题干有两个判断依据，都指向应用级网关：其一，"对应用层的通信数据流进行监控和过滤"——只有工作在应用层的防火墙才看得懂应用协议内容；其二，它是内外网的隔离点——应用级网关（代理防火墙）在内外网之间充当中间人，内网主机与外网的通信被完全隔断，由代理代为转发，两端不建立直接连接，这正是"隔离"的含义。

A 包过滤错：包过滤防火墙工作在网络层，只检查 IP 头和端口，看不到应用层数据，无法对应用层的通信内容做监控和过滤。它是隔离点没错，但题干后半句不满足。

C、D 明显凑数：数据库和 Web 是服务器类型，不是防火墙的分类，直接排除。

两类防火墙的识别关键词要固化：看到"应用层、监控过滤数据流、代理、隔离点"选应用级网关；看到"网络层、IP、端口、包检查、透明、效率"选包过滤。这组对照在 2009—2021 年至少考了五次，是防火墙板块的第一高频考点。

选 C（网络层）。包过滤防火墙读取的是 IP 数据报的头部字段（源 IP、目的 IP）和传输层端口，其规则引擎建立在网络层的寻址与转发概念之上，所以标准答案定位为网络层。结合真题 4（过滤依据是 IP 和端口、不含 MAC）一起记，这道题就形成了完整闭环：层次——网络层；字段——IP＋端口；不看——MAC（链路层）、不解析——应用内容（应用层）。

A 应用层错：能检查应用层数据的是代理服务防火墙／应用级网关，它们才需要完整解析协议内容。若题目问"应用级网关对哪一层的报文检查"，答案才是应用层。

B 物理层错：物理层只管比特流的电气传输（网线、光纤、信号），没有任何报文结构可供检查。

D 链路层错：链路层的地址是 MAC 地址，真题 4 已确认 MAC 不是过滤依据，链路层自然也不是包过滤的工作层次。

软考常把"包过滤—网络层"与"应用级网关—应用层"成对出题，一表记死：包过滤＝网络层＝IP/端口＝快而不安全；应用级网关＝应用层＝内容级检查＝慢而安全。

选 B（外网、DMZ 和内网）。受保护程度从低到高：外网（完全不可信、无保护）→ DMZ（半信任、缓冲区，只放行特定服务端口）→ 内网（完全信任、受最严格保护）。本题是 2013 上半年同型题（本卷真题 5）的反向问法：那题从高到低选"内网、DMZ 和外网"，这题从低到高选"外网、DMZ 和内网"——两个方向互为镜像，核心结论只有一条：内网最安全，DMZ 居中，外网最裸奔。

A 错：内网排第一等于说内网受保护程度最低，方向全反。

C 错：DMZ 排第一、外网排最后，把不可信的外网说成了最安全区域。

D 错：这是"从高到低"的正确序列，题目问的是"从低到高"，属于典型的方向陷阱——四个选项中经常把反向正确序列混进来，读题时务必先圈出方向词。

做题技巧：先在草稿纸写下"外＜DMZ＜内"或"内＞DMZ＞外"，再对选项比对，不要凭语感直接选，两年两题都靠这一条公式拿分。

选 A（拒绝服务）。题干描述的就是拒绝服务（DoS，Denial of Service）的定义式场景：用大量连接请求把系统资源（连接数、内存、CPU、带宽）消耗殆尽，让服务器无法再响应合法用户的正常请求。它的攻击目标不是偷数据、不是拿权限，而是"让你没法用"——这正是真题 17（2021 上"以被攻击对象不能继续提供服务为首要目标"）的另一个问法，两题互为印证。

B 口令入侵错：口令入侵是尝试猜测或破解用户口令以获得账户访问权，目标是"进得去"，与耗尽资源无关。

C 网络监听错：监听是被动攻击，偷偷截获观察网络上的数据包，不发送任何攻击流量，更不会消耗对方资源。

D IP 欺骗错：IP 欺骗是伪造源 IP 地址冒充可信主机骗取信任，目标是"冒充别人"，不是瘫痪服务。

延伸记一个高频衍生概念：分布式拒绝服务（DDoS）是 DoS 的升级版——攻击者控制大量肉鸡（傀儡机）同时向目标发起请求，规模更大、更难防御。判断 DoS 类攻击的钥匙就一句话：首要目标是让服务不可用。

选 B（SYN Flooding）。SYN Flooding 是 DoS 的招牌实现方式：攻击者向服务器发送大量伪造源地址的 TCP 连接请求（SYN 报文），服务器回以 SYN+ACK 后等待第三次握手的 ACK，但伪造的源地址永远不会应答。服务器为每个半开连接分配资源并超时等待，半开连接队列迅速被占满，合法用户的连接请求再也进不来——正是"用大量连接请求耗尽资源"的标准实现。

A 特洛伊木马错：木马是伪装成正常程序的恶意代码，对外建立连接供攻击者远程控制、窃取信息，目标是控制而非瘫痪，属于完全不同的攻击形态。

C 端口欺骗错：端口欺骗是伪装服务端口误导连接，与资源耗尽无关。

D IP 欺骗错：伪造源 IP 骗取信任，用于冒充身份，虽然 SYN Flooding 技术上借用了伪造源地址的手法，但 IP 欺骗作为一种攻击类别指的是"冒充可信主机"。

记住对应关系：问"属于 DoS 的具体手段"，答案就从 SYN Flooding、Smurf、Teardrop、DDoS 这些名字里挑；木马、欺骗类、窃听类都 DoS 不了。

问"不正确的"，选 C。拒绝服务攻击的武器是"海量请求"，效果是"资源耗尽、服务瘫痪"，它只破坏可用性，不窃取数据。用户密码泄漏是窃听、口令破解、木马窃取这类以获取信息为目的的攻击造成的结果，DoS 既不截获报文内容也不破解口令，说它"造成用户密码的泄漏"与攻击性质完全不符，C 错误。

A 正确：使计算机或网络无法提供正常的服务，正是拒绝服务攻击的定义和首要目标（与 2021 上"以被攻击对象不能继续提供服务为首要目标"同义）。

B 正确：DoS 的典型实现就是不断向目标发起请求——TCP 连接请求、ICMP 请求等——把资源耗光（SYN Flooding 即典型）。

D 正确：DDoS（分布式拒绝服务）是 DoS 的主要形式之一，攻击者操纵分布在不同位置的傀儡机同时发起请求，威力更大、来源更分散、更难溯源和防御。

本题的价值在于划清一条界线："让服务瘫痪"和"偷信息"是两类攻击的分水岭——DoS 属于前者，监听、窃听、口令破解、SQL 注入属于后者。

选 B（拒绝服务）。四个选项正好代表四类攻击目标，逐个对号：拒绝服务（DoS）攻击的首要目标是让被攻击对象无法继续提供服务——用海量请求耗尽系统资源（连接数、带宽、CPU），破坏的是可用性。这与 2010 下"大量连接请求消耗资源"、2014 下"使计算机无法提供正常的服务"是同一个考点的三种问法。

A 跨站脚本（XSS）错：XSS 是把恶意脚本注入网页，在用户浏览器里执行，用来窃取 Cookie、会话令牌或伪造页面内容，攻击对象是浏览网页的用户，目标是窃取信息而非瘫痪服务。

C 信息篡改错：篡改是擅自修改传输中或存储中的数据，破坏的是完整性，目的是让信息失真，不是让服务停摆。

D 口令猜测错：口令猜测的目标是获得账户访问权限，破译或猜出用户口令后冒充合法用户进入系统。

把这题当作攻击类型分类题的总纲：瘫痪服务＝DoS，偷信息＝XSS/监听，改数据＝篡改，要账号＝口令猜测——题干问什么目标，就对哪个名字。

选 B。先补机制原理：ARP 的作用是把 IP 地址解析成 MAC 地址，主机要与另一网段通信时，必须先把数据包交给默认网关（路由器），因此要维护一条"网关 IP → 网关 MAC"的 ARP 缓存记录。ARP 攻击的手法是伪造网关的 ARP 报文（ARP 响应没有校验机制），把假的 MAC 地址塞进受害主机的 ARP 缓存，主机发出的跨网段数据包全部被引到错误地址、到不了真正的网关——跨网段通信自然中断，这是典型的"中间人"式欺骗。

A 错：发送大量 ARP 报文造成的是广播风暴式的拥塞，那是另一种故障形态；本题强调的是"无法跨网段通信"这一精准后果，根因是缓存被伪造，不是流量太大。

C 错：物理连通性指线缆、端口等物理层设施，ARP 是逻辑层的地址解析欺骗，网线好好的，物理层毫发无损。

D 错：网关设备本身没有被破坏，被篡改的是各主机缓存里的映射记录，网关照常工作。

记忆抓手：ARP 欺骗＝骗"IP→MAC"对照表＝劫持发往网关的流量，属于伪造类主动攻击。

选 A（重放攻击）。重放（Replay）攻击又称重播、回放攻击：攻击者截获并保存目的主机已接收过的合法报文，之后原样或延迟重新发送，冒充合法用户欺骗系统。它主要用于身份认证过程——比如把别人登录时的认证报文录下来再"播放"一遍，骗过服务器，破坏认证的正确性。题干"发送一个目的主机已经接受过的报文"就是重放的定义句。

B 拒绝服务错：DoS 是海量请求耗尽资源让服务瘫痪，不涉及"重发旧报文"。

C 数据截获错：截获只是偷听到数据，属于被动攻击，攻击者拿到数据但不再发出去；重放的关键是"再发送"这一步，这是两者的本质区别。

D 数据流分析错：流量分析是通过长期观察流量的变化规律（谁和谁通信、频率多少）推断信息，同样是被动攻击，也不重发报文。

必考衍生点——防御手段：在报文中加入时间戳或一次性的会话序号，服务器对"过时报文"直接丢弃，旧报文重放就失效了。下一题（2019 下 Kerberos）就是这个知识点的直接应用。

选 B（时间戳）。Kerberos 是经典的网络身份认证协议，防重放的思路是给报文打上时间标记、让旧报文"过期作废"：认证方校验报文中的时间戳与当前时间的偏差，超出允许窗口（Kerberos 默认 5 分钟）的报文一律拒绝。攻击者即便截获了完整报文，稍后重放时时间戳早已"过期"，无法再次通过认证。

A 会话密钥错：会话密钥用于加密会话数据、保证机密性，它对重放者同样可用（原样重发的报文里连密文一起带过去），加不加密都拦不住重放。

C 用户 ID 错：用户 ID 只是身份标识，攻击者重放时原样携带即可，没有任何时效性判断依据。

D 私有密钥错：私有密钥用于签名或解密，属于加密体系的一部分；重放攻击中攻击者并不需要理解报文内容，只要原样重发，加密再强也防不住"播放旧录音"。

解题的普适规律必须记住：防重放＝时间戳（或一次性随机数/序号），选项里出现"时间戳"基本就是它。机密性靠加密、完整性靠摘要、防抵赖靠签名、防重放靠时间戳——四个"防什么用什么"各自独立成题。

选 D（获得数据库的权限）。SQL 注入的机制：把精心构造的 SQL 命令插入到 Web 表单提交或页面请求的查询字符串中，欺骗服务器把它当成合法查询执行，从而绕过登录验证、非法读取或篡改数据库中的数据。攻击发生在 Web 前端，但矛头始终指向后端数据库——首要目的是获取数据库的访问权限，这一点是官方解析的明确表述，也是本题的唯一考点。

A 破坏 Web 服务错：那是拒绝服务攻击的目标；SQL 注入可以造成数据泄露，首要目标不是让 Web 服务瘫痪。

B 窃取用户口令等机密信息错：这是注入成功之后可能带来的后果之一（从库里捞数据），但"首要目标"是拿到数据库的操作权限，因果顺序不能倒置。

C 攻击用户浏览器错：攻击浏览器的是跨站脚本（XSS）——注入恶意脚本在用户端执行；SQL 注入攻击的是服务器端的数据库，两者别混。

防注入的手段也常考：参数化查询、ORM 框架、存储过程、最小权限原则、Web 应用防火墙（WAF）。

选 B（端口扫描）。攻击前的标准动作是"踩点"：端口扫描向目标主机的各端口逐一发起探测连接，根据响应判断哪些端口开放、运行着什么服务、操作系统是什么类型。知道了开放的端口和服务（如 80 有 Web、21 有 FTP、3389 有远程桌面），攻击者才能选择对应的攻击手法——所以端口扫描是攻击远程主机前的第一步侦察技术。

A 病毒查杀错：查杀病毒是对本机文件的防护动作，与探测远程主机毫无关系。

C 错：QQ 是聊天软件，干扰项，与主机探测无关，用来凑数。

D 身份认证错：身份认证是防御方验证用户合法性的机制（口令、证书、生物特征），不是攻击者的侦察手段。

注意与另一道题（2011 下真题 25）区分角度：那题问"利用什么可以获取 FTP 服务器是否存在可写目录"，答案是漏洞扫描系统——查"有没有弱点"用漏洞扫描；本题问"检测远程主机状态（端口开放情况）"，用端口扫描。两个名字的分工：端口扫描看门开没开，漏洞扫描看屋漏不漏。

问"不属于"，选 D（漏洞扫描）。先把边界说清楚：入侵检测系统（IDS）的职责是实时监视网络流量和主机行为，发现正在发生的攻击或异常并报警，它的检测技术包括——简单匹配（把流量特征与攻击特征库逐条比对）、专家系统（把安全知识编码成推理规则判断入侵）、模型检测（对正常/异常行为建模，偏离模型即告警）。A、B、C 都是 IDS 的技术手段。

而漏洞扫描是另一套系统：它主动向目标主机发送探测请求，检查是否存在已知的配置缺陷和补丁缺失，输出的是"这台机器有哪些弱点"的报告。它是静态的、周期性的评估工具，不监视实时流量，自然不构成"入侵检测技术"。

两者的功能分工可以这样记：漏洞扫描管"进门之前查门锁"，入侵检测管"进门之后盯行为"。2009 上半年还有一道姊妹题（真题 24）："漏洞扫描系统可以用于发现网络入侵者"是错误说法——同一组概念正反两面考了十几年，务必绑定记忆：扫描系统找弱点，检测系统抓现行。

问"错误的"，选 C。漏洞扫描是静态的弱点评估工具：它对目标主机做一轮主动探测，对照漏洞库报告"有哪些已知弱点"，是一次性的"体检"，不监视实时流量、不感知正在发生的攻击，所以它不能用来发现网络入侵者——发现入侵是入侵检测系统（IDS）的工作，这一句就是本题的考点，也与真题 23 互为镜像。

A 正确：自动检测目标主机安全弱点正是漏洞扫描系统的定义，管理员定期扫描自查，赶在被攻破前补上短板。

B 正确：扫描技术是双刃剑——管理员用它自查，黑客在攻击前用它踩点收集目标弱点信息，工具中立，用法两分。

D 正确：扫描器判断"是不是漏洞"的依据就是内置的漏洞特征库，漏洞库不全，扫描就漏报，所以其实现依赖于系统漏洞库的完善。

记忆组合拳：漏洞扫描＝事前查弱点（靠漏洞库）；入侵检测＝事中抓攻击（靠特征匹配/专家系统/模型检测）。凡把两者的职责互换的选项，必错。

选 B（漏洞扫描系统）。"FTP 服务器中是否存在可写目录"是一种典型的安全弱点/配置缺陷——匿名 FTP 目录权限配置不当会变成任意用户可上传的公开仓库，常被滥用作存储违法文件的中转站。要"获取这类信息"，就要对 FTP 服务器做主动探测、核对配置与权限，这正是漏洞扫描系统的功能：自动检测目标主机的安全弱点并输出报告。

A 防火墙错：防火墙在网络边界做访问控制，管"哪些流量能过"，不会去检查 FTP 服务器内部的目录权限设置。

C 入侵检测系统错：IDS 监视正在发生的攻击行为并报警，是流量监视器，不做静态弱点评估。

D 病毒防御系统错：防病毒软件管文件里的恶意代码，与 FTP 目录权限这种配置弱点无关。

与真题 22 合并记忆：端口扫描查"远程主机状态"（哪些端口开着），漏洞扫描查"有没有弱点"（如可写目录、缺补丁）；一个看门，一个查屋。防火墙、IDS、杀毒各自守土有责，别把"查弱点"的活派给它们。

选 C（数据加密）。网络监听是被动攻击：攻击者把网卡置为混杂模式，截获流经链路的数据包窥探内容。对付"偷听"最有效的手段就是让偷到的内容看不懂——对传输数据加密后，即使报文被完整截获，没有密钥也只能拿到密文，信息不泄露。这是"威胁—对策"的直接匹配：机密性威胁用加密来挡。

A 安装防火墙错：防火墙在边界按规则过滤数据流，控制"谁能进出"，但监听发生在传输路径上（同一网段、镜像口、无线空间），报文根本不经过防火墙的规则判断，防不了链路上的偷听。

B 采用无线网络传输错：方向完全反了——无线信号在空气中传播，比有线更容易被截获，采用无线反而加重监听风险。

D 漏洞扫描错：扫描查的是主机自身的配置弱点，监听是传输链路上的威胁，两者维度不同；再说扫描是静态评估，防不了实时窃听。

举一反三：网页防窃听用 SSL/HTTPS（真题 37—40 一组），都是"加密保机密性"这一个原理在不同场景的应用。

问"不包括"，选 D（自毁性）。计算机病毒是"编制者在计算机程序中插入的、破坏计算机功能或数据、能自我复制的一组计算机指令或程序代码"，教材归纳的特征包括：传染性（自我复制并感染其他文件，这是病毒区别于普通恶意程序的根本特征）、隐蔽性（伪装、潜伏，不让用户察觉）、潜伏性（感染后可能长期蛰伏）、触发性（满足特定条件如日期、操作才发作，如 CIH 在 4 月 26 日爆发）、破坏性／寄生性。A、B、C 都在清单里，"自毁性"不在——病毒的目标是传播和破坏别人，没有"运行后自我销毁"的特征。

这个知识点的记忆模板固定为六项：传染、隐蔽、潜伏、触发、破坏、寄生。考题的干扰项基本都是自造词——除了"自毁性"，还出现过"免疫性""遗传性"等，凡不在六项清单里的都选它。

顺带区分：病毒有传染性（自我复制），木马无传染性（只伪装潜伏等控制），这是两类恶意代码的第一判据。

（8）选 D（宏病毒）。病毒命名规则里，前缀"Macro"就是宏病毒的标识——Melissa（梅丽莎）病毒正是 1999 年肆虐的著名 Word 宏病毒，能感染使用 MS Word 97 和 MS Office 2000 的计算机，并通过邮件通讯录自动转发迅速传播。杀毒软件报出的名字本身就是"类型.家族名"结构，看前缀即可分类，不需要记住病毒的具体历史。

（9）选 B（Word 或 Excel 文件）。宏病毒的寄生宿主是带宏功能的 Office 文档：宏代码藏在文档或模板里，文档被打开时宏自动执行、病毒随之传播，所以感染目标锁定 Word、Excel 这类文档文件。

（9）A 错：EXE/COM 可执行文件是文件型病毒的感染对象，宏病毒寄生在文档宏里而非可执行程序中。（9）C 错：DLL 是系统动态库，同样属于程序文件，不是宏宿主。（9）D 错：磁盘引导区是引导型病毒的地盘，开机时先于系统运行。

判断流程固化三步：看名字前缀（Macro→宏）→ 匹配宿主（宏→文档）→ 排除程序类选项。2011 上"宏病毒一般感染以 DOC 为扩展名的文件"（真题 29）是本题第二空的同义再现。

选 C（DOC）。宏病毒的生存前提是宿主环境支持"宏"——Office 文档的宏代码在文档打开时自动执行，病毒借这段脚本寄生和传播。DOC 是 Word 文档（XLS 电子表格同理），是宏病毒的标准宿主；Melissa、Taiwan NO.1 等经典宏病毒都以 Word 文档为载体。即使题干不出现"Macro"前缀，只要问宏病毒感染什么文件，就往 Office 文档上想。

A EXE 错：可执行文件是文件型病毒的感染对象，它寄生在程序体内、随程序运行激活，与"宏"机制无关。

B COM 错：同样是可执行程序文件（DOS 时代的程序格式），属于文件型病毒的地盘。

D DLL 错：动态链接库是系统程序文件，也是文件型病毒的潜在目标，不是宏宿主。

四个选项正好构成一道"文件类型—病毒类型"对照题：DOC/XLS/PPT → 宏病毒；EXE/COM/DLL → 文件型病毒；引导区 → 引导型病毒。记住扩展名与病毒类型的这张映射表，宏病毒类题目（本卷真题 28、29）通吃。

选 B（有未知程序试图建立网络连接）。木马的工作模型决定了它的典型现象：木马服务端植入受害主机后潜伏后台，主动向攻击者（客户端）发起连接、汇报上线，攻击者再通过这个通道远程控制主机、窃取文件和口令。所以"防火墙或安全软件提示有未知程序试图建立网络连接"是感染木马最典型的迹象——由内向外主动外联，是木马区别于其他恶意代码的行为指纹。

A 程序异常退出错：程序崩溃可能是软件缺陷、内存故障等原因，木马恰恰以"安静潜伏、不被察觉"为原则，一般不会让程序异常退出来暴露自己。

C 邮箱被垃圾邮件填满错：垃圾邮件泛滥是邮箱地址泄露或邮件服务器问题，属于垃圾邮件发送者的行为，与木马无必然联系。

D Windows 系统黑屏错：黑屏多由显示驱动、硬件或系统故障引起；病毒破坏（如 CIH 覆盖 BIOS）倒可能造成无法开机，但那不是木马的典型行为——木马要的是控制权，不是破坏机器。

判断口诀：木马爱外联，病毒爱复制——"未知程序建立网络连接"＝木马，看到必选。

选 A（特洛伊木马）。题干把木马的三大行为特征说全了："由内部发起连接"——木马服务端从受害主机内部主动向外联，穿出防火墙的入站防线（所以防火墙拦不住出站连接，这是经典考点）；"由外部主机控制"——攻击者通过客户端远程指挥；"盗取用户信息"——窃取口令、文件等敏感数据。三个特征合起来就是特洛伊木马的标准画像。木马的名字来自"特洛伊木马计"：伪装成有用或有趣的程序骗用户主动运行。

B 蠕虫病毒错：蠕虫的核心特征是自我复制并主动传播感染其他主机，它不需要"由外部主机控制"，也不以盗取信息为主要目的。

C 宏病毒错：宏病毒寄生在 Office 文档宏里，随文档打开传播，同样没有远程控制机制。

D CIH 病毒错：CIH 是著名的文件型病毒（1998 年，感染 EXE、覆盖 BIOS 导致无法开机），传播和破坏都发生在本机，不建立远程控制通道。

一票定音的关键词："由外部主机控制"＋"盗取信息"＝木马，与真题 30 的"未知程序试图建立网络连接"互相印证。

选 B。木马采用客户端／服务端（C/S）结构：服务端（Server）植入目标机器，监听端口等待连接；客户端（Client）运行在攻击者的机器上，用来连接和控制目标。方向别记反——"被控制的在受害者那里，发号施令的在攻击者这里"，B 正是这一结构的准确表述。

A 错：木马主要通过网络传播——伪装的邮件附件、网页下载、捆绑软件等；移动磁盘只是传播途径之一，且谈不上"主要"。

C 错："使计算机或网络无法提供正常的服务"是拒绝服务攻击的目的；木马的目的是远程控制并窃取信息，要的是"悄悄地进村"，把机器搞瘫反而暴露自己。

D 错：Sniffer（嗅探器）是被动侦听网络流量、监视数据传输的网络分析工具，属于监听类工具，不建立控制通道，不是木马。国内典型的木马是冰河、广外女生、灰鸽子等。

把"目的"三个选项对齐记：木马要控制权（B 对），DoS 要瘫痪服务（C 错），Sniffer 只听不说（D 错）。

问"不是蠕虫"，选 C（冰河）。蠕虫与木马的判据只有一条：蠕虫能自我复制并主动传播，木马不能复制、只伪装潜伏等待远程控制。冰河（2001 年）是国产木马的代表作——它伪装成友好程序诱使用户运行，然后在受害主机上开后门，供攻击者远程控制、窃取文件，完全不具备自我复制传播的能力，是木马不是蠕虫。

A 熊猫烧香是蠕虫：2006—2007 年肆虐网络，自动复制感染、通过网络下载文件植入系统，感染后图标变成"烧香的熊猫"。

B 红色代码是蠕虫：2001 年利用 IIS 漏洞通过网络直接传播，集蠕虫、病毒、木马技术于一体，开创了网络病毒传播的新路。

D 爱虫病毒是蠕虫：2000 年通过 Outlook 邮件以"ILOVEYOU"主题自动群发传播，改写本地及网络硬盘文件。

蠕虫名单背熟：熊猫烧香、红色代码、爱虫、欢乐时光、震网；木马名单：冰河、灰鸽子、广外女生、X 卧底。名单互斥，见题对号。

选 D（蠕虫病毒）。震网（Stuxnet，2010 年曝光）是史上著名的工业破坏型蠕虫：它利用 Windows 系统的多个漏洞（U 盘自动播放、打印服务漏洞等）自主复制、主动传播，能不依赖网络、仅通过 U 盘"摆渡"进入与互联网隔离的内网，最终感染西门子工控系统、篡改 PLC 程序破坏离心机。"利用漏洞自主传播＋自我复制"正是蠕虫的定义特征，D 正确。

A 引导区病毒错：引导区病毒感染磁盘主引导记录，开机时先于系统运行，CIH 之前的老一代病毒常见此形态，与震网的传播方式完全不同。

B 宏病毒错：宏病毒寄生在 Office 文档的宏里，靠文档打开触发，震网与宏机制无关。

C 木马病毒错：木马不自我复制，靠伪装诱骗运行并等待远程控制；震网的核心能力是利用漏洞自动扩散，这是蠕虫的本能。

把震网加进蠕虫名单（熊猫烧香、红色代码、爱虫、欢乐时光、震网）后，本卷蠕虫题（真题 33、34）的答案就全部锁定了——名单记忆法在本章的回报极高。

选 C（X 卧底）。X 卧底是针对智能手机的木马类恶意软件：安装后潜伏在手机中，秘密窃取短信、通话记录、通话内容、定位信息等隐私，并上传到指定服务器供监视者查看——完全符合"伪装潜伏＋远程控制＋窃取信息"的木马定义，是移动端木马的代表案例。

A 欢乐时光错：欢乐时光（Happy Time）是 2001 年出现的蠕虫病毒，通过邮件和网页脚本传播、感染计算机，与智能手机无关。

B 熊猫烧香错：熊猫烧香是感染 PC 的蠕虫，靠自我复制和网络下载传播，攻击对象是 Windows 计算机，不是手机。

D CIH 错：CIH 是感染 PC 的文件型病毒（破坏 BIOS 和硬盘数据），2000 年前后的产物，同样针对计算机而非手机。

本题的考点结构是"病毒名单＋平台匹配"：四个选项里只有 X 卧底是手机端且是木马形式，两个条件同时满足的只有它。记住这条对应：手机木马查 X 卧底，PC 蠕虫查熊猫烧香。

选 C（安装并及时升级防病毒软件）。防病毒的本质是用病毒特征码匹配来识别和清除病毒——病毒天天更新变种，所以防病毒软件必须"及时升级"病毒库才有效，"安装＋升级"是公认有效的防毒策略。这与真题 9 的"防火墙不能查毒"一脉相承：专业的事归专业的工具。

A 部署防火墙错：防火墙在网络边界按规则过滤流量，控制访问路径，不识别文件内的病毒代码，病毒可以从邮件附件、U 盘、下载文件进来。

B 部署入侵监测系统错：IDS 负责发现网络中的攻击行为并报警，同样不做病毒查杀，何况它只报警不处置。

D 定期备份数据文件错：备份是数据恢复手段，不是防毒手段——中毒后能把数据找回来，但既挡不住病毒进入，也清除不了病毒。

四个选项正好构成一张"安全工具分工表"：防病毒→杀软，防入侵→IDS，控访问→防火墙，保恢复→备份。看到"防止病毒"直接锁定防病毒软件，这是本章工具分工题的收尾题。

选 B（SSL）。先明确 TLS 的身世：TLS（传输层安全协议）是 SSL（安全套接层）的继任者——Netscape 提出 SSL 3.0 后，IETF 在其基础上标准化出 TLS 1.0，此后逐步演进到 TLS 1.2/1.3。两者同样位于传输层之上、为上层应用通信提供加密与完整性保护，握手协商、证书验证的机制一脉相承，所以与 TLS 最接近的协议是 SSL。

A PGP 错：PGP（Pretty Good Privacy）是电子邮件加密软件，对邮件正文和文件做加解密与签名，工作层次和用途都与 TLS 不同。

C HTTPS 错：HTTPS 是应用——"HTTP over SSL/TLS"，它是 TLS/SSL 服务的使用者而非同类协议；HTTPS 与 TLS 的关系是"用"而不是"接近"。

D IPSec 错：IPSec 工作在网络层，为 IP 数据报加密认证，用于 VPN 等场景；TLS/SSL 工作在传输层与应用层之间，层次不同。

一张层次图记四个协议：网络层 IPSec；传输层 SSL/TLS；应用层服务 HTTPS（HTTP+SSL）、PGP（邮件）。

选 B（HTTPS）。经过 SSL 加密的网页传输协议就是 HTTPS＝HTTP over SSL：先由 SSL/TLS 在浏览器与 Web 服务器之间建立加密通道（协商加密算法、验证服务器证书、生成会话密钥），再在这条加密隧道里跑 HTTP 报文。网页内容、URL 参数、Cookie 全程密文传输，默认端口 443。它防的正是"信息被窃听、被篡改"。

A HTTP 错：HTTP 是明文传输协议，报文内容抓包即可读，恰恰是 HTTPS 要改造的对象。

C S-HTTP 错：S-HTTP（Secure HTTP）是另一种应用层的 HTTP 安全化方案，对单个报文做加密签名，与"HTTP over SSL"的 HTTPS 是两个东西；实际大规模应用的是 HTTPS，S-HTTP 已被淘汰，属于经典干扰项。

D HTTP-S 错：无此协议，纯粹利用命名相似性凑数的干扰项。

命名记忆点：写法是"HTTPS"，S 在后表示"SSL 加持的 HTTP"；同理下一题（2017 上）问"HTTPS 使用什么协议对报文封装"，答案是 SSL——两题互为表里。

选 B（SSL）。HTTPS 的定义就是"HTTP over SSL"：HTTP 报文先交给 SSL 协议封装——建立会话时完成握手（协商加密套件、用 CA 证书验证服务器身份、交换生成会话密钥的素材），之后所有 HTTP 报文都被 SSL 加密、完整性保护后再经 TCP 传输。所以对报文进行"封装"的是 SSL，这也是 2017 下真题 40 第一空的同一考点，两题背一次即可。

A SSH 错：SSH（Secure Shell）是远程登录加密协议，替代 Telnet 用，管的是终端会话不是网页传输，与 HTTPS 无关。

C SHA-1 错：SHA-1 是摘要算法（散列函数），只算"指纹"不做加密封装；它参与 SSL 握手中的签名校验环节，但不是封装协议本身。

D SET 错：SET（安全电子交易）是银行卡网上支付的安全协议，涉及持卡人、商户、银行多方认证，与网页传输加密是两码事。

干扰项设置有规律：SSH（名字像）、SHA-1（同属安全体系）、SET（同是电商语境），认清"HTTPS 的 S＝SSL"就不会被带偏。

（7）选 C（SSL）。HTTPS＝HTTP＋SSL：SSL（及其继任者 TLS）负责握手认证和加密隧道，HTTP 负责网页内容，两层拼起来才是 HTTPS。2016 上、2017 上、2017 下连续三年从不同角度问这件事，结论统一：HTTPS 基于的安全协议是 SSL。（7）A RSA、B DES 错：它们分别是非对称加密算法和对称加密算法，是 SSL 握手与数据传输中可能用到的组件，但不是"安全协议"层次上的答案；（7）D SSH 错：SSH 是远程登录协议，名字相像但与 HTTPS 无关。

（8）选 B（443）。端口对照表必须背熟：HTTPS 默认 443，HTTP 默认 80。（8）A 1023 错：1023 是公共端口段的上界（0—1023 为公共端口），不是某个服务的默认端口。（8）C 80 错：80 是 HTTP 的默认端口，明文网页。（8）D 8080 错：8080 是常见的 HTTP 备用端口（Tomcat 等中间件默认），不是 HTTPS 默认端口。

速记："HTTPS＝SSL＋443"三位一体，看到其一写其二，本组题（真题 38—40、41）全部覆盖。

选 C。netstat -n 以数字形式显示本机的 TCP 连接（协议、本地地址：端口、远端地址：端口、状态）。判断链分三步：看端口号识服务——443 是 HTTPS 服务端口、80 是 HTTP 端口、110 是 POP3 端口；看状态识连接——ESTABLISHED 表示连接已建立、正在通信，TIME_WAIT 表示连接已结束、正在等待收尾；再组合下结论——本地主机与 202.100.112.12 的 443 端口连接处于 ESTABLISHED，443 端口提供 HTTPS（基于 SSL 加密），所以"建立了安全连接"成立。

A 错：本地主机使用的端口号 2011、2038、2052 都大于 1023，是客户端的临时（动态）端口；公共端口（0—1023）是服务端监听端口（如 80、443、110），本地这三个不是公共端口。

B 错：与 128.105.129.30 的连接走 80 端口，是普通 HTTP 连接，且状态 ESTABLISHED 表示"已建立"而非"正在建立"。

D 错：与 100.29.200.110（110 端口 POP3）的状态是 TIME_WAIT，连接已经结束，根本不是"正在建立连接"。

本题把端口号表（80/443/110）、TCP 状态（ESTABLISHED/TIME_WAIT）、端口分类（公共/临时）三张表压在一道题里，是 2015 下含图题，属于本章综合度最高的一题。

选 A（IPSec）。IPSec（IP Security）是工作在网络层的安全协议体系，直接对 IP 数据报文提供加密（ESP 封装安全载荷）和认证（AH 鉴别头）保护，是 VPN（虚拟专用网）隧道的主流实现。关键词对应关系要固定："IP 数据报文"→网络层→IPSec，题干点名 IP 层对象，答案只有 IPSec。

B PP2P 错：PPTP/PP2P 类协议工作在数据链路层，用于链路级加密（如点对点拨号隧道），层次对不上，且名称是干扰性写法。

C HTTPS 错：HTTPS 是 HTTP 与 SSL 的结合体，加密传输层以上的网页应用数据，处理对象是 HTTP 报文，不是 IP 数据报。

D TLS 错：TLS（SSL 的继任者）工作在传输层，为两个应用程序之间的通信提供保密性和完整性，同样不直接加密 IP 报文。

层次记忆表收尾本组题：链路层 PP2P/PPTP，网络层 IPSec，传输层 SSL/TLS，应用层 HTTPS、PGP、SET——问哪一层的对象，就选哪一层的协议。

选 C（SSH）。SSH（Secure Shell，安全外壳协议）专为不安全的网络环境中的远程登录和远程管理设计：它在终端设备与远程站点之间建立加密的安全连接，对包括口令在内的全部会话数据加密，还能防止中间人欺骗与连接劫持，是 Telnet 的安全替代品。"安全连接＋远程站点"两个关键词都指向 SSH，它与 2018 上"路由器管理保密性"（真题 44）、2021 上"安全远程登录协议"（真题 45）、2021 下"可用于远程登录"（真题 46）构成一组四连题。

A ARP 错：ARP 是地址解析协议，把 IP 地址解析成 MAC 地址，是基础网络协议，既不"远程"也不"安全"。

B Telnet 错：Telnet 虽然是远程登录协议，但明文传输一切内容（包括口令），抓包即泄露，正是被 SSH 替代的对象；题干强调"安全连接"，Telnet 恰好不合格。

D WEP 错：WEP 是早期 WiFi 无线局域网的加密协议，用于无线链路数据加密，且因密钥流复用等缺陷早已被 WPA 取代，不用于远程登录。

辨析技巧：选项里"远程登录"相关的是 Telnet 和 SSH——带"安全"字样的选 SSH，不带安全的选 Telnet。

选 D（SSH）。题干的要求是"确保 ID、口令和会话内容的保密性"——即管理数据全程加密。SSH（Secure Shell）是加密的远程管理协议，认证信息与会话内容都以密文传输，能满足保密性要求，是网络设备命令行远程管理的标准安全方式。

A 控制台（Console）错：通过串口线直连设备，虽不经过网络传输，但那是"物理在场"的本地管理方式；作为"访问方式"讨论保密性时，它不提供网络传输加密能力，且无法远程使用。

B AUX 错：AUX 是通过调制解调器走电话线路的辅助远程管理端口，速度慢、无加密机制，安全性差，早已边缘化。

C TELNET 错：Telnet 虽然能远程执行命令行管理，但全部内容明文传输，ID 和口令在网络中"裸奔"，抓包即可获得，恰恰是保密性的反面教材。

记住对比组：要保密选 SSH，Telnet 是明文反例。本题与真题 43、45、46 是同一知识点的四种问法，答案清一色 SSH。

选 C（SSH）。"安全远程登录协议"这九个字就是 SSH 的官方定义：Secure Shell——安全的（Secure）外壳（Shell），为远程登录会话和其他网络服务提供安全性，对认证和传输数据全程加密。SSH 的全称展开就是答案的说明书，这类"协议名即定义"的题在软考里最好拿分。它与真题 43（2015 上）、44（2018 上）、46（2021 下）构成 SSH 四连考，跨度七年反复出现，可见命题人偏爱。

A TLS 错：TLS 是传输层安全协议，为各种应用通信提供加密通道，但它是"安全传输"组件，不是"远程登录"协议——登录这件事它不做。

B TCP 错：TCP 是传输层的可靠传输协议，是众多应用的地基，与"安全"和"远程登录"都无直接关系。

D TFTP 错：TFTP 是简单文件传输协议（基于 UDP、无认证、明文），管传文件不管登录，而且恰恰很不安全，双重不符。

排除思路：管登录的只有 SSH 和 Telnet，再按"安全"筛掉 Telnet；本题 Telnet 没出现，就往 TLS/TCP/TFTP 里排非登录协议。

问"不能用于远程登录或控制"，选 A（IGMP）。IGMP（Internet 组管理协议）是组播管理协议——主机告诉本地路由器"我要加入/退出某个组播组"，路由器据此维护组成员关系，用于 IPTV、视频会议等一对多分发场景。它与登录、控制毫不相干，是四个选项中唯一不碰终端会话的协议。

B SSH 错（属于）：加密远程登录，管命令行会话，本章已四度出场。

C Telnet 错（属于）：经典远程登录协议，虽明文不安全，但"能登录"是事实——注意题干只问"能不能"，不问"安不安全"，别把安全性强加进判断。

D RFB 错（属于）：RFB（Remote Framebuffer）是 VNC 远程桌面使用的协议，通过传输帧缓冲实现图形化远程控制，属于"远程控制"范畴。

本题的坑在于混入了 RFB 这个冷门协议：很多考生认识 SSH、Telnet，但不认识 RFB，容易在 B、C、D 里瞎猜。补充记忆：RFB＝VNC 远程桌面的协议名，与 RDP（微软远程桌面）同列图形化远程控制协议。

选 D（受限站点）。IE 把访问的网站分为四个安全区域，对区域施加的安全级别越高，限制越严：受限站点区域的安全级别最高——放进该区域的网站被禁止运行脚本、ActiveX 控件等一切可疑内容，基本"只可远观"，用于不可信、有风险的网站。题干问"安全级别最高的区域设置"，就是限制最狠的受限站点。

A Internet 区域错：默认中高级别，针对未分类的一般互联网网站，限制程度中等——注意它是"默认级别较高"，但不是"最高"。

B 本地 Intranet 区域错：针对企业内部网资源，默认信任程度较高、安全级别较低，因为内网被认为是可信环境。

C 可信站点区域错：该区域放的是用户明确信任的网站，限制最少、级别最低，与"最高"恰好相反。

四个区域的信任关系一句话记牢：可信站点最放心，受限站点最提防；级别排序为 受限站点 ＞ Internet ＞ 本地 Intranet ＞ 可信站点。本题纯属记忆题，考场直接对号。

选 A（everyone）。Windows 默认用户组权限从高到低：administrators → power users → users → everyone。everyone 组字面意思"所有人"——它把包括匿名访客在内的所有用户都囊括进来，代表"不设门槛的访问"，其默认权限最低，通常只保留最基本的读取能力（默认甚至最低），凡是"人人可访问"的场合都体现在它身上。

B administrators 错：管理员组拥有最高默认权限，可对整个系统完全控制，恰好是权限的另一端。

C power users 错：高级用户组权限仅次于 administrators，可执行除管理员专属任务外的绝大多数操作，比如安装程序、创建用户。

D users 错：普通用户组权限中等偏低，能运行经过验证的应用程序、不能修改系统设置，但仍然高于 everyone。

顺带记住这个排序本身的考点价值：2012 年上午卷把 everyone 和 IIS 身份验证（真题 49）连着出，一卷两题考"默认权限"。口诀：管事的（administrators）最大，帮管的（power users）次之，干活的（users）第三，所有人（everyone）垫底。

选 B（集成 Windows 身份验证）。四种验证方式的安全级别排位必须背熟：匿名 ＜ 基本 ＜ 摘要式 ＜ 集成 Windows。集成 Windows 身份验证使用 Kerberos 票证（或 NTLM 挑战/响应）机制，用户凭据以哈希或票证形式参与验证，密码不直接出现在网络上，无法被简单还原，因此安全级别最高。

A 匿名身份验证错：不要求用户提供任何凭据，服务器统一用 IUSR_computername 账户处理访问，是默认方式也是最低级别的验证，谈不上安全。

C 基本身份验证错：虽然要求输入用户名和口令，但凭据仅做 Base64 编码（编码≠加密）后明文传输，抓包即可还原，安全级别很低。

D 摘要式身份验证错：它传输的是口令的 MD5 散列值而非明文，比基本验证安全（这是它常被误选的原因），但仍需域环境支持且保护强度不及 Kerberos/NTLM 的协议级保障，屈居第二。

排序记忆锚点：匿名"无凭据"、基本"明文"、摘要"散列"、集成"票证"——凭据保护越强，级别越高。

选 D（②③④）。"内防内控"的对象是内部人员与合法终端，目标是防越权、防违规、可审计：②终端访问授权——管住"合法终端能访问什么"，防越权，属于；③终端安全检查与策略管理——保证接入终端合规（打补丁、装杀软），属于；④上网行为管理与违规审计——管住人的行为并留下可追溯记录，属于。三项都紧扣"授权、检查、审计"三个内控关键词。

①控制终端接入数量不属于：它限制的是"接入多少台"，影响的是网络规模、交换性能和出口带宽——本质是容量规划，与防越权、防违规的安全内控目标无关，甚至可能限制合法用户正常使用。①是本题唯一的排除点，也是命题人精心设计的混淆项：看到"终端"二字容易全选 C。

判断准则一句话：看策略是"安全约束"还是"资源限制"——授权、检查、审计属于前者（内控），数量、带宽、性能属于后者（容量）。这道题官方答案历来是 D（②③④），主流解析一致，个别资料写成 C（①②③④）属于错误流传，以"①与安全无关"为辨析准绳。

选 C（BGP）。先厘清概念：自治系统（AS）内部使用的路由协议叫内部网关协议（IGP），AS 之间交换路由信息的协议叫外部网关协议（EGP）。BGP（边界网关协议）是唯一运行在 AS 之间的路由协议，基于 TCP 传递路由信息，负责互联网骨干上各大自治系统间的路由通告——"边界"二字点明其位置：管的是系统边界之间的事。

A RIP 错：路由信息协议，基于跳数的距离向量算法，是典型的内部网关协议，用于小规模 AS 内部。

B OSPF 错：开放最短路径优先，链路状态算法，同样是 AS 内部的内部网关协议。

D UDP 错：UDP 是传输层的数据报协议，根本不是路由协议，纯凑数干扰项。

一组对照背下：内部网关协议——RIP、OSPF、IS-IS；外部网关协议——BGP（唯一常考成员）。判断时先看名字：带"边界/Border/外部"的直接选，其余路由协议默认归 IGP。

选 C（netstat）。netstat（network statistics）用于显示本机的网络连接、路由表和网络接口等信息：加 -o 参数可在 Windows 下显示每条连接对应的进程 PID，配合任务管理器即可查出"哪个端口被哪个应用程序占用"；加 -n 则以数字形式显示地址和端口（2015 下真题 41 的输出题用的正是它）。查端口与程序的对应关系，非 netstat 莫属。

A ipconfig 错：显示本机 TCP/IP 配置（IP 地址、子网掩码、网关、DNS），管的是"我是谁"，看不到端口与进程。

B traceroute 错：用于追踪 IP 数据包到达目标经过的路径（Windows 下对应命令是 tracert），定位网络在哪一跳出问题，与端口无关。

D nslookup 错：域名解析查询工具，查域名对应的 IP 或 DNS 记录，也不涉及端口。

四个命令的功能口诀：ipconfig 查配置，traceroute 查路径，nslookup 查解析，netstat 查连接。本章与网络基础章共用这张命令表，一处记忆两章得分。

问"与安全邮箱无关"，选 C（MIME）。MIME（多用途互联网邮件扩展）的作用是扩展邮件的内容格式——让邮件能携带图片、音频、视频、多附件、非 ASCII 字符等富内容，它解决的是"邮件能装什么"的问题，不提供任何加密或认证功能，与"安全"二字无关。能提供应用层安全的是 S-HTTP、PGP、SET、S/MIME 这一组（注意带 S/带安全前缀的才有安全功能）。

A SSL 有关：邮件客户端可通过 SSL 加密与邮件服务器的收发连接（如 SMTPS、POP3S、IMAPS），保护传输中的邮件。

B HTTPS 有关：WebMail（网页版邮箱）的登录与收发页面走 HTTPS，防止账号口令和邮件内容被窃听。

D PGP 有关：PGP 是邮件加密的代表作，对邮件正文加密并数字签名，实现端到端的机密性与发件人认证，是"安全电子邮箱"的经典方案。

辨析抓手：MIME 管"装得下"，S/MIME 才管"装得安全"——一字之差，安全属性完全不同，千万别把 MIME 当安全协议。

选 C（MIME）。本题是 2019 上半年同款题（真题 53）的原样重考——题干从"安全电子邮箱服务"改成"电子邮箱服务的安全性"，选项、答案一字未动，间隔半年再度出现，足见命题人对这个考点的固执。结论不变：MIME 只负责扩展邮件内容格式（附件、多媒体、非 ASCII 字符），不提供加密、签名等任何安全机制，与邮箱安全性无关；SSL（加密收发连接）、HTTPS（保护 WebMail 页面）、PGP（邮件正文加密加签）都与邮箱安全相关。

从命题规律看这道题的价值：上午题有明显的"隔年重考、隔半年重考"特征，本章 56 题里至少有六组题干高度雷同（MIME 两题、DMZ 两题、SSH 四题、HTTPS 三题）。复习策略就是把往年真题当题库背，考场上大概率能遇到"故人"。

A、B、D 的作用机理详见真题 53 的解析，此处不再展开。看到"邮箱＋安全无关"，条件反射填 MIME。

问"错误的"，选 D。Outlook Express 作为微软的邮件客户端，支持发送和接收安全邮件——它集成了 S/MIME 能力，可以对邮件做数字签名和加密（配合数字证书实现），也能对加密邮件解密验签。"不能"二字与事实相反，D 错误。

A 正确：OE 支持脱机处理——连线时收取邮件到本地，断线后可从容阅读、撰写、回复，再次连线时统一收发，这是桌面邮件客户端的基本优点。

B 正确：OE 支持多账号管理，可在同一界面配置多个邮箱账户，统一收发、分类存放。

C 正确：OE 内置通讯簿，可存储、检索联系人邮件地址，并在撰写邮件时直接调用。

本题的知识内核与真题 53、54 呼应：邮件客户端的安全能力由 S/MIME、PGP 这类安全机制提供，主流客户端（OE、Outlook、Foxmail）都支持，命题人反着说"不能"来考你知不知道这件事。看到绝对化的"不能"，先想想是不是答案。

问"错误的"，选 B。WebMail（网页版邮箱）再方便也要凭账号密码登录——身份认证是邮箱服务的底线，没有账号密码任何人都能读你的邮件，账号体系是邮箱安全的根基。"可以不设置账号密码登录"与基本安全常识相悖，明显错误。

A 正确：Web 方式下用户通过浏览器操作，收发动作由邮件服务商的 Web 服务器在后台代为完成（服务器之间才走 SMTP/POP3/IMAP），用户端无须自己配置 SMTP 等协议参数——这正是 WebMail 相对客户端方式（Outlook、Foxmail 要手动填服务器地址）的便利之处。

C 正确：WebMail 的写信页面支持添加多个附件，与客户端方式能力一致。

D 正确：WebMail 提供草稿箱功能，未写完或未发送的邮件可暂存草稿箱，下次登录继续编辑。

本题看似考邮件常识，实际辨析点是 A：很多人以为"收发邮件＝要配 SMTP"，而 WebMail 恰好免去了这一步——理解了 B 荒谬、A 合理，答案自现。