B

C

[解析] 由题干关键信息“对外提供访问本机构网站(包括动态网页)、电子邮件服务及本机构的域名解析服务”可知，在DMZ中至少需要部署Web服务器、E-mail服务器和DNS服务器。同时，在DMZ与内网之间应部署一台内部防火墙，实行“除非允许，都被禁止”此类严格的访问限制。请参见第23.1.1节和第23.1.2节例题1的相关介绍。

C

B

[解析] 由于该机构内部网络使用地址段10.x.x.x/24进行IP地址规划设计，因此有可能为处于DMZ区域的服务器各配置一个内部私有IP地址。例如，WWW服务器分配的IP地址为10.99.1.1/24，E-mail服务器分配的IP地址为10.99.1.2/24，FTP服务器分配的IP地址为10.99.1.3/24等。此类私有IP地址不能直接出现在Internet中，对此需要在外部防火墙上设置网络地址转换(NAT)，即建立起对外合法的服务器IP地址与相关内部IP地址之间的映射关系，然后配置允许HTTP、SMTP、POP3、FTP等协议的数据包通过外部防火墙。
   安全套接层(SSL)可以为HTTP等协议的数据通信提供数据封装、压缩、加密、身份认证、协商加密算法、交换加密密钥等安全支持。它使用的端口号是TCP 443。因此，依题意，需要在防火墙上增加允许SSL端口号443访问WWW服务器的安全访问规则。

C

D

[解析] 如果将入侵检测系统(IDS)部署在防火墙的非军事区(DMZ)中，就可以查看受保护区域(DMZ)内主机被攻击的状态，从而间接了解黑客对DMZ区域攻击的重点内容是什么，以及间接检查防火墙系统的策略配置是否合理。如果将IDS系统部署在防火墙的DMZ外，那么它就不能访问DMZ区域的主机，也无法审计来自Internet上对受保护网络的攻击。
   通常，NIPS部署于网络进/出口处，例如串联在边界路由器与防火墙之间，网络进出的数据流都必须通过它，从而保护整个网络的安全。而HIPS安装在受保护的主机系统中，检测并阻挡针对该主机的威胁和攻击。AIPS由HIPS发展而来，通常部署于应用服务器前端。

D

B

[解析] TLS是SSL的后继协议，由TLS记录协议和TLS握手协议构成。TLS记录协议是否使用加密技术是可选的。如果使用加密技术(如数据加密标准DES)，则可以保证连接安全。TLS握手协议使服务器和客户机在数据交换之前进行相互鉴定，并协商加密算法和密钥。
   依题意，客户机与FTP服务器之间采用TLS协议，可在传输层对数据进行加密以保证数据通信的安全性。该客户机与FTP服务器在密码交换阶段协商相互认可的密码。

C

D

C

A

[解析] 在电子商务交易中，SET协议主要是解决银行卡的安全网络支付问题。SET支付系统的参与对象中，支付网关是银行内部网与因特网的接口，负责将网上商城的付款信息转送到银行内部网络进行处理。买家在网上购物时发出的支付指令，在由商家送达银行支付网关之前，是在Internet上传送的。
   在支付请求阶段，利用双重数字签名技术可以保证商家能看到买家的购物信息，但不能看到买家的账户信息。买家在电子商务网站选购物品后，生成订货信息和支付信息。买家利用哈希算法生成订货信息数字摘要和支付信息数字摘要，然后将订货信息数字摘要和支付信息数字摘要连接起来，再利用哈希算法生成双重数字摘要。买家利用自身的私钥对双重数字摘要加密生成双重数字签名，然后将其和订货信息摘要、支付信息摘要一起发送给商家，商家收到信息后，将接收到的双重数字签名利用买家的公钥解密，再利用同样的哈希算法将订货信息生成新的订货信息摘要，再将新的订货信息摘要与支付信息数字摘要生成新的双重数字摘要，并与买家发送的双重数字摘要比较，以确保信息的完整性和真实性。

B

A

[解析] SET中公钥密码算法通常采用RSA，默认使用的哈希函数是SHA，对称密码算法一般采用DES。在用RSA加密时，如果直接对明文加密，那么对密文进行分析，从而得到明文的一些比特是可能的，而且这样的技术确实存在。因此SET在数字信封中使用RSA加密会话密钥(或持卡人账号)时，首先用OAEP(最优非对称加密填充)算法对明文编码。OAEP算法的作用是使消息的各比特之间相互联系在一起，从而使得根据密文来求解明文的任意比特的难度增大。