信息安全论述题

1、假如你是单位WEB服务器管理员，试述你会采取哪些主要措施来保障WEB服务器安全。
参考答案
访问控制（IP地址限制、Windows帐户、请求资源的Web权限、资源的NTFS权限）
用虚拟目录隐藏真实的网站结构；
设置基于SSL的加密和证书服务，以保证传输安全；
完善定期审核机制；
安装防火墙及杀毒软件；
及时安装操作系统补丁，减少操作系统漏洞等等。
2.试述你是如何理解信息安全领域"三分技术，七分管理”这名话的
参考答案
虽然目前有众多的安全产品，但没有任何一种能提供全方位的解决方案。
1)防病毒软件:不能保护机构免受使用合法程序对系统进行访问的入侵者进行的恶意破坏，也不能保护机构免受另一类合法用户的破坏。
2)访问控制:不会阻止人们利用系统脆弱点以管理员身份获得对系统的访问并查看系统文件
3)防火墙:不会阻止攻击者使用一个允许的连接进行攻击。也不能防止内部攻击。
4)入侵检测:不能检测出合法用户对信息的非正常访问。支持自动保护功能的入侵检测系统还可以带来附加的安全问题。如系统配置为阻止某个攻击地址的访问，之后会发现某用户的通信被错误识别为攻击通信，则其再无法与你通信了。
5)策略管理:可能没有考虑系统的薄弱点或应用软件中的错误配置。这有可能导致侵入。计算机上的策略管理也不能保证用户不写下他们的密码或将密码提供给未经授权的人。
6)薄弱点扫描:本身并不会保护计算机系统，需在找出薄弱点后采取安全措施。该方法也不会发现合法用户进行的不正当访问，也不能发现已经进入系统、查找配置文件或补丁程序的弱点的入侵者。
7)加密:加密系统并不能分辨提交了同样加密算法密钥的用户是合法还是非法用户。加密本身不能提供安全保障，还必须对加密密钥和系统有一个整体控制。
8)物理安全机制:不能保护系统不受到合法访问进行的攻击或通过网络实施的攻击。
所以安全技术和产品只是安全实践活动的一部分，是实现安全需求的手段，还应包括：
制定完备的安全策略，
通过风险评估来确定需求，
根据需求选择安全技术和产品，
按照既定安全策略和流程规范来实施、维护和审查安全措施。
信息安全并不