「CISP题库精讲」CISP题库习题解析精讲4道

第一题

以下关于互联网协议安全(InternetProtocolSecurity，IPSec)协议，说法错误的是？（）

A.在传送模式中，保护的是IP负载。
B.验证头协议(AuthenticationHeader，AH)和IP封装安全负载协议(EncapsulatingSecurityPayload，ESP)都能以传输模式和隧道模式工作。
C.在隧道模式中，保护的是整个互联网协议IP包，包括IP包头。
D.IPSec仅能保证传输数据的可认证性和保密性。✅

💖 解析💖

IPSec是一种用来保护网络通信安全的协议。它主要有两个模式：传送模式和隧道模式。这两种模式就像是两种不同的保护方式，用来确保数据在传输过程中的安全。

A选项说的是传送模式。在这种模式下，IPSec只保护IP数据包里的“货物”部分，也就是负载（也就是数据）。它不保护数据包的“外包装”（也就是源和目的IP地址等信息）。这就像是你寄一个包裹，传送模式只保护包裹里面的东西，不保护包裹上的地址标签。

B选项提到的是两种具体的保护技术：验证头协议（AH）和IP封装安全负载协议（ESP）。这两种技术都可以在传送模式和隧道模式下工作。AH主要用来确保数据的完整性和可认证性，而ESP则是用来加密数据，保护数据的保密性。这就像是你可以选择用普通的包装纸（AH）来确保包裹的内容不被篡改，或者用更高级的锁箱（ESP）来确保包裹的内容不被偷看。

C选项描述的是隧道模式。在这种模式下，IPSec保护的是整个IP数据包，包括数据包的“外包装”和“货物”。这就像是你把整个包裹放进一个安全的保险箱里，这样无论包裹的地址标签还是里面的东西都得到了保护。

最后是D选项，它说IPSec只能保证传输数据的可认证性和保密性。实际上，IPSec不仅可以保护数据不被篡改（可认证性）和不被偷看（保密性），还可以防止数据包被重放（即确保数据的新鲜性），并且可以在通信双方之间建立安全的通信通道（也就是隧道模式）。IPSec不仅能确保包裹的内容安全，还能确保包裹在传递过程中不会被人截走或者被复制。

第二题

以下关于UDP协议的说法，哪个是错误的？

A.UDP具有简单高效的特点，常被攻击者用来实施流量型拒绝服务攻击
B.UDP协议包头中包含了源端口号和目的端口号，因此UDP可通过端口号将数据包送达正确的程序
C.相比TCP协议，UDP协议的系统开销更小，因此常用来传送如视频这一类高流量需求的应用数据
D.UDP协议不仅具有流量控制，超时重发机制，还能提供加密等服务，因此常用来传输如视频会话这类需要隐私保护的数据✅

💖 解析💖

首先，UDP（User Datagram Protocol，用户数据报协议）是一种网络通信协议。它的特点就是简单、快速，但不保证数据的可靠传输。这就像是你把一封信扔进一个没有门的邮筒，你不知道信会不会被别人拿走，也不知道它什么时候能到，但你确实很快地就把信扔进去了。

A选项说的是UDP因为简单高效，所以常被用来做攻击，比如流量型拒绝服务攻击（DDoS）。这种攻击就是通过发送大量的数据包，让对方的服务器忙不过来，从而让正常的用户无法访问服务。UDP因为简单，所以制造大量的数据包也容易，这就像是有人不停地往邮筒里扔垃圾邮件，让邮筒里的信件无法正常处理。

B选项说UDP通过端口号把数据包送到正确的程序。这就像是邮筒上贴了个小标签，告诉你这封信应该给哪个部门。在网络通信中，端口号就是用来告诉操作系统，这个数据包应该给哪个应用程序。

C选项提到UDP因为开销小，所以常用来传送视频这类需要快速传输大量数据的应用。这就像是你用UDP发送视频，就好比是在一条没有红绿灯的高速公路上开车，你可以很快地把车开到目的地，但路上可能会有一些颠簸，或者有些东西会掉出车外。

D选项说UDP有流量控制、超时重发机制，还能提供加密等服务。这个说法是错误的。UDP本身是没有这些功能的。它就像是邮筒，只负责把信扔进去，不管信的内容，也不保证信的安全。如果你需要这些服务，你得自己额外加上，比如用其他协议或者工具来实现。这就像是如果你想让你的信安全送达，你可能需要用一个带锁的信封，或者找一个信得过的快递公司。

第三题

S公司在全国有20个分支机构，总部有10台服务器、200个用户终端，每个分支机构都有一台服务器、100个左右用户终端，通过专网进行互联互通。公司招标的网络设计方案中，四家集成商给出了各自的IP地址规划和分配的方法，作为评标专家，请给S公司选出设计最合理的一个：（）

A．总部使用服务器、用户终端统一作用10.0.1.X、各分支机构服务器和用户终端使用192.168.2.X~192.168.20.X
B．总部使用服务器使用10.0.1.1_{11、用户终端使用10.0.1.12}212，分支机构IP地址随意确定即可
C．总部服务器使用10.0.1.X、用户终端根据部门划分使用10.0.2.X、每个分支机构分配两个A类地址段，一个用做服务器地址段、另外一个做用户终端地址段✅
D．因为通过互联网连接，访问的是互联网地址，内部地址经NAT映射，因此IP地址无需特别规划，各机构自行决定即可

💖 解析💖

首先，我们要明白一个公司的网络设计需要考虑几个关键点：地址分配的合理性、网络的扩展性、管理的便捷性以及安全性。

A选项的设计方案是让总部的服务器和用户终端都使用同一个网段10.0.1.X，而分支机构的服务器和用户终端则使用另一个网段192.168.2.X到192.168.20.X。这个方案的问题在于，总部的地址空间可能不够用，因为只有256个地址（从0到255），如果有更多设备加入怎么办？而且分支机构的地址范围跳跃，管理起来可能会有点混乱。

B选项的设计方案是总部的服务器使用一个非常小的地址范围（只有10个地址），用户终端使用另一个范围（从12到212），而分支机构的IP地址则是随意确定。这个方案的问题在于，总部服务器的地址范围太小，显然不够用；用户终端的地址范围虽然大一些，但是没有考虑到未来可能的扩展；分支机构的地址随意确定，可能会导致管理上的混乱。

C选项的设计方案是总部的服务器使用一个网段10.0.1.X，用户终端根据部门划分使用另一个网段10.0.2.X，每个分支机构分配两个A类地址段，一个用于服务器，另一个用于用户终端。这个方案的好处是，地址分配合理，总部和分支机构的地址空间都足够大，可以根据需要进行扩展，而且通过部门划分用户终端的地址，也便于管理和维护。

D选项的设计方案是认为因为通过互联网连接，所以内部地址不需要特别规划，各机构自行决定即可。这个方案的问题在于，虽然内部地址会通过NAT（网络地址转换）映射到互联网上，但是没有合理的内部地址规划会导致管理混乱，而且如果内部网络出现问题，没有规划的地址也会给故障排查带来困难。

第四题

关于Https协议与Http协议相比的优势说明，下列正确的是（）

A.Https协议对传输的数据进行了加密，可以避免嗅探等攻击行为✅
B.Https使用的端口与Http不同，让攻击者不容易找到端口，具有较高的安全性
C.Https协议是Http协议的补充，不能独立运行，因此需要更高的系统性能
D.Https协议使用了挑战机制，在会话过程中不传输用户名和密码，因此具有较高的安全性

💖 解析💖

Http就像是你在互联网上的一封信，这封信是公开的，任何人都可以看。如果你在网上用Http协议浏览网页，就像你在大街上大声说话，旁边的人（黑客）可以听到你说什么，甚至可以假装是你，给你的朋友发信息。

现在，Https就像是给这封信加了锁，只有收信人（网站服务器）有钥匙能打开这把锁。这样，即使有人（黑客）拿到了这封信，他们也看不懂信里的内容，因为他们没有钥匙。Https协议就是在Http的基础上，通过加密技术给数据加上了“锁”，这样你的信息在传输过程中就安全多了。

A选项说Https协议对传输的数据进行了加密，可以避免嗅探等攻击行为。这个说法是正确的。就像前面说的，Https给你的数据加上了“锁”，这样即使有人想偷看你的信息，他们也看不懂，因为他们没有“钥匙”。

B选项提到Https使用的端口与Http不同，这个说法也是对的，但这不是Https安全的主要原因。Https默认使用443端口，而Http默认使用80端口。虽然端口号的不同可以让攻击者不那么轻易找到正确的端口，但这不是Https安全性的核心。

C选项说Https是Http的补充，不能独立运行，需要更高的系统性能。这个说法是错误的。Https完全可以独立于Http运行，它不是Http的补充。Https使用的是SSL/TLS协议来加密数据，这并不需要特别高的系统性能，现代的计算机和服务器处理这些加密和解密的工作都很轻松。

D选项说Https协议使用了挑战机制，在会话过程中不传输用户名和密码。这个说法也是错误的。Https确实使用了SSL/TLS协议中的一些安全机制，但这并不意味着不传输用户名和密码。当你通过Https登录一个网站时，你的用户名和密码会被加密后安全传输，而不是不传输。