软件水平考试（中级）软件评测师下午（应用技术）试题模拟试卷6
试题一
某企业最近上线了ERP系统，该系统运行的网络环境如图所示。企业信息中心目前拟对该系统相关安全防护体系进行全面的安全性测试，以提供全面的安全测评报告。
1.企业ERP系统上线后，企业主要业务的日常运作都高度依赖该系统的正常运行，因此ERP系统的稳定性与可靠性对企业至关重要。故障恢复与容灾备份措施是提高系统稳定性与可靠性的重要因素。对于故障恢复与容灾备份措施，参与测试的王工认为应从故障恢复、数据备份和容灾备份等三个方面进行测试。请用300字以内文字，对这三方面的测试内容进行简要说明。
对于故障恢复与容灾备份措施，应从以下三个方面进行测试：
①故障恢复：测试整个ERP系统是否存在单点故障；任何一台设备失效时，能否按照预定义的规则实现快速切换；是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接。
②数据备份：ERP系统关键业务是否具备必要的双机热备或磁盘镜像等热备份机制；对于整个ERP业务，是否提供外部存储器备份和恢复机制，保证系统能够根据备份策略恢复到指定时间的状态。
③容灾备份：ERP系统是否建立异地容灾备份中心，当主中心发生灾难性事件时，可由备份中心接管所有业务；备份中心是否有足够的带宽确保与主中心的数据同步，是否有足够处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。
敏感数据加密保护和数据库访问方式的测试内容为：
①敏感数据的加密保护：由于ERP系统的用户权限和口令存储在数据库中，因此需要测试相应敏感数据是否采用加密算法进行加率保护。
②数据库访问方式测试：是否为不同应用系统或业务设置不同的专门用户用于数据库访问，应杜绝在代码中使用超级用户及默认密码对数据库进行访问。
解析：本问题考查故障恢复与容灾备份措施测试内容。
针对故障恢复与容灾备份措施的安全性测试一般包括故障恢复、数据备份与容灾备份三个测试点，其包含的基本测试内容为：
①故障恢复：整个系统是否存在单点故障；对于关键应用系统，当任何一台设备失效时，能否按照预定义的规则实现快速切换；是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接；
②数据备份：对于关键业务，是否具备必要的双机热备或磁盘镜像等热备份机制；对于所有业务，是否提供外部存储器备份和恢复机制，保证系统能够根据备份策略恢复到指定时间的状态；
③容灾备份：是否建立异地容灾备份中心，当主中心发生灾难性事件时，可由备份中心接管所有业务；备份中心是否有足够的带宽确保与主中心的数据同步，是否有足够处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。
2.数据库服务器中目前主要存储ERP系统业务数据，后续还需要存储企业网站相关数据，当前ERP系统的用户认证方式包含口令认证方式，相应的用户权限和口令也存储在数据库二维表中。针对上述实际情况，参与测试的李工认为在对数据库权限进行测试时，除数据库账号保护及权限设置相关的常规测试外，还必须对敏感数据加密保护及对数据库访问方式进行相应测试。请用200字以内文字，对敏感数据加密保护和数据库访问方式两个方面的测试内容进行简要说明。
安全防护策略是软件系统对抗攻击的主要手段，常见的安全防护策略有以下四种：
①安全日志：安全日志用于记录非法用户的登录名称、操作时间及内容等信息，以便发现问题并提出解决措施；安全日志仅记录相关信息，不对非法行为做出主动反应，属于被动防护的策略；
②入侵检测系统：入侵检测系统是一种主动的网络安全防护措施，从系统内部或各种网络资源中主动采集信息，从中分析可能的网络入侵或攻击，通常入侵检测系统还应对入侵行为做出紧急响应；
③漏洞扫描：漏洞扫描是对软件系统及网络系统进行与安全相关的检测，以找出安全隐患和可被黑客利用的漏洞；
④隔离防护：隔离防护是将系统中的安全部分与非安全部分进行隔离的措施，主要的技术手段有防火墙和隔离网闸等，其中防火墙主要用于内网和外网的逻辑隔离，而网闸则主要用于实现内网和外网的物理隔离。
解析：本问题考查考生对数据库权限测试内容的理解。
根据本题说明，ERP系统的用户权限和口令信息存储在数据库中，因此需要测试相应敏感数据是否采用加密算法进行加密保护：而数据库中还需要存储ERP系统之外的其他系统业务数据，因此应为不同应用系统或业务设置不同的专门用户用于数据库访问，且应杜绝在代码中使用超级用户及默认密码对数据库进行访问。
3.为对抗来自外网或内网的主动攻击，系统通常会采用多种安全防护策略，请给出四种常见的安全防护策略并进行简要解释。结合一种在图中明确标识出的安全防护策略机制，说明针对该机制的安全测试应包含哪些基本测试点。
图中明确标识出的安全防护策略机制为防火墙和入侵检测系统。(可选择防火墙或入侵检测系统中的任一机制描述相应安全测试的测试点)
针对防火墙的测试点：
(1)是否支持交换和路由两种工作模式；
(2)是否支持对FTP、HTTP、SMTP等服务类型的访问控制；
(3)是否考虑防火墙的冗余设计；
(4)是否支持对日志的统计分析功能，日志是否可存储在本地或网络数据库中；
(5)对防火墙或受保护内网的非法攻击，是否提供多种告警方式和多种级别的告警。
针对入侵检测系统的测试点：
①能否在检测到入侵事件时，自动执行切断服务、记录入侵过程、报警等动作；
②是否支持攻击特征信息的集中式发布和攻击取证信息的分布式上载；
③能否提供多种方式对监视引擎和检测特征进行定期更新；
④内置的网络能否使用状态监控工具或网络监听工具。
解析：本问题考查基本的安全防护策略的相关知识。
安全防护策略是软件系统对抗来自外网或内网的主动攻击的主要手段，常见的安全防护策略包括安全日志、入侵检测、隔离防护与漏洞扫描等，本题首先要求考生对常见安全防护策略的有基本的理解，了解其基本原理与主要措施。图中明确标识出的安全防护策略机制为防火墙和入侵检测系统，考生可自主选择其中一种，描述对其进行安全性测试时需要完成的测试点。
试题二
【说明】某药房为迎接20周年店庆，举行了大型的促销活动，根据顾客购物的价位采取了不同等级的优惠活动，其规则如下表所示：
(1)10元以下可以享受九五折优惠；
(2)购买满10元(10元及以上才可享受)可以享受九折优惠；
(3)购买满100(100元及以上才可享受)元可以享受八五折优惠。
(4)购买满1000(1000元及以上才可享受)元可以享受八折优惠。
现在该商家开发一个软件，输入为商品总价：Money(1＜=X＜=10000，X取正整数，最大值为10000)。
4.请采用等价类划分法为该软件设计测试用例(不考虑负数、特殊符号和其他小数的情况)
用例1：0(写X＜1也可以)
用例2：1～9中任意一个数
用例3：10～99中任意一个数
用例4：100～999中任意一个数
用例5：1000—10000中的任意一个数
用例6：10001(写X＞10000也可以)
解析：本题考査黑盒测试用例设计中的等价类划分法。等价类划分法：把程序的输入域划分成若干部分(子集)，然后从每个部分中选取少数代表性数据作为测试用例。每一类的代表性数据在测试中的作用等价于这一类中的其他值。本题中主要范围限制为1＜=X＜=100，即可以划分为两个无效和一个有效等价，但由于每一个小的等价类是单独处理的，因此需要再进一步的划分。划分等价类的6条原则：
本文档预览：3600字符，共9360字符，源文件无水印，下载后包含无答案版和有答案版，查看完整word版点下载
