安全管理复习重点yb

安全管理复习重点yb（6篇）

1.安全管理复习重点yb 篇一

信息安全概论期末复习提纲

１、试从密码哈希函数、密钥交换、数字签名和证书等几方面论述加密技术在信息安全方面的应用。

（1）密码哈希函数

主要用于保证数据的完整性，该函数必须依赖于被密封文件或数据的所有位，这样，文件或数据的每一位的变化都会影响到校验和的结果。

（2）密钥交换

公钥加密体制可以在两个主体建立加密通道以前，安全地交换相应的对称会话密钥。假设S和R(发送者和接受者)想得到一个共享的对称密钥，假定S和R都已经拥有了用于普通加密算法的公钥，S和R的私钥、公钥分别为kPRIV_S、kPUB_S和kPRIV_R、kPUB_R，S任意选出一个对称密钥K，想把它安全地发给R，并且让R确认该密钥是S所发，则S可以发送E(kPUB_R ,E(kPRIV_S,K))给R。

（3）数字签名

数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要，并通过与自己用收到的原始数据产生的哈希哈希摘要对照，便可确信原始信息是否被篡改。这样就保证了数据传输的不可否认性。

（4）证书

数字证书是各类实体(持卡人/个人、商户/企业、网关/银行等)在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方证书的有效性，从而解决相互间的信任问题。证书是一个经证书认证中心（CA）数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

从证书的用途来看，数字证书可分为签名证书和加密证书。签名证书主要用于对用户信息进行签名，以保证信息的不可否认性；加密证书主要用于对用户传送信息进行加密，以保证信息的真实性和完整性。

简单的说，数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。认证中心（CA）的数字签名可以确保证书信息的真实性。

２、消息认证有哪些方式？试分析其实现过程。

３、常见的古典密码（替换密码、置换密码）以及现代密码的原理与实现过程。４、何为缓冲区溢出漏洞？其可能产生的危害是什么？（回答要点）

缓冲区是用来存放数据的空间，缓冲区大小是有限的，一旦存放的数据超过了缓冲区的容量就会产生缓冲区溢出，其主要可能的危害有：

（１）（２）（３）（４）

当数据溢出到用户代码区域时，就会使应用程序执行错误代码而运行错误； 当数据溢出到用户的数据空间时，可能覆盖已存在的变量值，使计算结果错误； 当数据溢出到系统的代码区域时，会使系统执行错误指令异常而停机； 当数据溢出到系统的数据空间时，也会导致计算结果错误；

（５）攻击者可能利用缓冲区溢出修改系统代码；

（６）攻击者可能修改旧堆栈指针或改变返回地址，当程序定位到他希望的地方，造成更严重的安全问题。

５、举例说明何为“检查时刻到使用时刻(TOCTTOU)”漏洞？简述其解决方案。（回答要点）（1）选择一个实例说明时关键要讲清楚检查时刻与使用时刻的主体是不同的。（2）可以通过在检查后对主体进行数字签字的方式来防止检查后主体被修改。６、计算机病毒的特点以及运行机制。（传统计算机病毒、宏病毒以及蠕虫病毒）

计算机病毒可分初始化驻留、病毒的传染与传播、病毒表现、反跟踪调试四个部分来讨论其运行机制。

（１）初始化驻留

计算机病毒一般都要加载到系统，驻留于内存，并截取相关的中断，以便进行病毒的传染与传播，控制病毒的潜伏与表现，为此很多病毒还会通过修改系统系统注册表等方法，把自己设置成能够自动加载的程序，当然系统引导性病毒附着于系统引导程序，自然可以保证在系统启动加载。

（２）病毒的传染与传播

传统计算机病毒可通过存储介质间的拷贝和网络进行主动传播，主要是通过截取磁盘读写等一些常用的中断，以便在系统进行磁盘读写或可执行文件加载到内存时对其进行传染，有较强的隐蔽性；而蠕虫病毒主要是利用系统或应用程序的一些漏洞，入侵系统并获取控制权来进行蠕虫病毒在网络上的传播或安装，当然也有通过Email、伪装成常用的工具或游戏软件方法进行间接的传播，蠕虫病毒也可以利用Java、ActiveX等技术“潜伏”在网页中，用户浏览该网页时就有机会进行传播；而宏病毒是利用word等文档中采用的宏，将病毒代码插入这些文档的自动宏、标准宏以及常用的一些模板文件中。

（３）病毒表现

很多病毒进行系统后并不马上表现出一些相关的病毒特征，而是处于潜伏状态，静静地进行病毒的复制与传播，只有在满足一定条件的情况下才会发作，表现出相应的干扰或破坏。很多病毒都有专门的代码时刻检测病毒表现的条件是否满足，通常是把这些代码插入或替换跟时钟有关的一些中断服务程序。

（４）反跟踪调试

很多病毒有专门对付跟踪调试的代码，使得对病毒的分析难以进行，通常是把这部分代码插入或替换单步中断、断点中断等跟程序调试有关的中断服务程序。

而蠕虫病毒主要是利用系统或应用程序的一些漏洞，入侵系统并获取控制权来进行蠕虫病毒在网络上的传播或安装，当然也有通过Email、伪装成常用的工具或游戏软件方法进行间接的传播，蠕虫病毒也可以利用Java、ActiveX等技术“潜伏”在网页中，用户浏览该网页时就有机会进行病毒传播。

蠕虫病毒的主要危害是进行病毒复制传播时，大量激增的数据通信会使网络阻塞，有些蠕虫病毒还会攻击系统的一些安全漏洞使被入侵的系统无法正常工作（如反复启动、死机等），以上这些实际上成了一种拒绝服务攻击。有些蠕虫病毒还跟一些黑客手段结合，如在被入侵的系统中

安装木马，以此达到对被入侵目标的更完全的控制。

宏病毒主要是利用了Office软件提供的宏功能，是一种寄存在Word文档或模板的宏中的计算机病毒。一旦打开这样的文档，宏病毒就会被激活，转移到计算机上，并驻留在 Normal 模板上。从此以后，所有自动保存的文档都会感染上这种宏病毒，如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。为了确保自己有机会运行进驻系统，宏病毒通常感染标准宏、自动宏以及一些通用模板。

７、木马程序的特点、功能以及运行机制。（从程序结构、植入方式、控制等几方面阐述）特洛伊木马程序往往采用的是C/S结构，其Server端程序要先植入被入侵的主机，攻击者使用其Client端程序通过Server程序达到控制被入侵主机的目的。

木马Server端程序采用直接入侵和间接入侵两种植入方法。直接入侵就是通过探测扫描大量主机以寻找入侵主机目标，入侵有安全漏洞的主机并获得控制权，即可在这些主机上安装木马Server端程序，并可利用已入侵主机继续进行扫描和入侵。而间接入侵主要通过伪装软件法、Email法和网页法欺骗用户安装木马Server端程序。木马程序往往通过修改系统注册表等方法，把自己设置成能够自动加载的程序。

木马程序一般具有一下功能：

（１）远程主机的Windows资源浏览(上下载、远程执行)。（２）远程屏幕显示以及键盘、鼠标控制。

（３）Email飞鸽传书功能。通过这一功能一旦被入侵者上网，木马Server端程序就可以及时通过Email通知攻击者，并提供被入侵主机IP地址的和木马Server端程序的端口等重要信息。

８、何为间谍程序(Spyware)、Salami攻击？试分析其运行机制以及主要危害。

Salami是指一种意大利香肠，Salami攻击类似于香肠制作过程，是一种积少成多的非法获取利益的攻击过程。比如每次都将交易的零星小数从总额中扣下，存入自设的账户，日积月累往往可以达到可观的数目，而每次扣掉的金额很小，一般很难被发现，有较好的隐蔽性。

９、何为隐蔽通道？

１０、试简述操作系统对一般对象常用的访问控制方法，分析这些方法的特点并比较之。操作系统中，对一般对象的访问控制采用访问目录、访问控制列表和访问控制矩阵三种控制方法。

采用访问目录的控制方法，每个用户都需要一张访问目录表，该列表指定了该用户可以访问的对象以及访问权限，该方法易于实现。但主要有三个问题，首先，如果所有用户都可访问的共享对象太多，将造成列表太大；另一个问题是如果要撤消某一个共享对象的访问权限，要更新的列表可能很多，开销很大。第三个问题跟文件别名有关。

采用访问控制列表的控制方法，每个对象都有一个列表，列表中包含可以访问该对象的所有主体，以及主体具有的访问权限。这一控制方法可以在列表包含默认用户以及相应的访问权限，这样，特殊用户可以在列表的前面说明其访问权限，而其他用户则是默认的访问权限，这一方法可以大大地减小控制列表，使维护更加方便。

访问控制矩阵是一张表格，每一行代表一个主体，每一列代表一个对象，表中的每个元素都表示一个主体对某一个对象的访问权限。总的说来，访问控制矩阵是一个稀疏矩阵，因为许多主

体对大多数对象没有访问权。访问控制矩阵可以用一个形式为<主体，对象，权限>的三元组表示。但是查找大量的三元组效率太低，故很少使用。

１１、试简述unix系统中Suid访问许可的特点以及应用。

在unix系统中，可以通过对一个可执行文件设置Suid位，使其他用户在运行该程序时获得文件主的访问权限，可以对该文件主的其他文件也有完全的访问权限，而一旦退出该程序，用户恢复其原来的权限。

可以利用Suid访问许可的特点做很多有关系统安全方面的工作，unix系统的口令修改程序就是一个很好的例子，任何用户都可以且只能通过运行该程序来修改自己的口令，而用户自己则不能直接修改口令文件，保证了系统的安全。

１２、何为salt口令？其作用是什么？采用salt口令时的用户鉴别过程。

salt口令的作用是防止在密文口令系统中通过查找相同的口令密文来猜测口令，具体的做法是在原来的口令中加上扩展信息(即salt)，这样即使口令相同，由于每个口令的salt不同，最后口令的密文也不同，避免了从相同的口令密文推测口令的可能性。salt可以是用户的ID+口令创建时间，创建用户的同时，在口令表中要登记相应的salt，这样在用户登录时，根据用户输入的用户名，可以找到口令表中相应的表目，再根据用户输入的口令附加上对应的salt，按照相应的单向加密算法，求得相应的口令密文，跟口令表中的口令密文做比对，以此来确定用户身份的合法性。

１３、试简述数据库的两阶段更新方案。

如果在修改数据的途中计算系统出现故障，则数据库的完整性有可能被破坏，为了解决此问题，数据库系统通常采用两阶段更新方案。

第一阶段称为意向阶段，在这个阶段计算结果，并将其保存于一些临时变量中，这个阶段不会对数据库做任何修改，所以如果在期间系统出现故障，所有的操作可以等系统恢复时重做。

第一阶段的最后事件是设置提交标记，意味着系统进入第二阶段，即永久更新阶段，在这个阶段数据库将前一个阶段保存于临时变量的计算结果复制到相应的数据库字段中，如果在这个阶段系统出现故障，则等系统恢复后只需重复第二阶段的操作即可。提交标记为０或１是区分系统在哪个更新阶段出现故障的依据，数据库系统可以根据不同的情况做不同的处理。

１４、举例说明数据库统计推理攻击的原理以及常用的对策。

数据库统计推理攻击是一种通过非敏感数据(如一些敏感数据的统计结果)推断或推导敏感数据的方法。例如可以综合利用一些敏感数据的“和”和“计数”的统计结果，揭露某个计数为１的分类的个体敏感数据。推理问题是数据库安全中的一个很微妙的弱点，常用的对策有查询控制和数据项控制，其中数据项控制包括有限响应禁止、组合结果、随即样本和随机数据扰乱几种方法。

１５、钓鱼网站攻击原理以及预防方法

钓鱼网站的攻击原理是伪装，通过将黑客控制的网站伪装成另一网站，并发布在互联网上，吸引用户点击链接并输入私密信息，然后进行网络欺诈，严重危害互联网用户的利益，这种诱捕式的攻击类似钓鱼活动，故叫钓鱼网站攻击。常用方式有混淆域名和覆盖受害者主页。

预防方法：

（１）准确记忆常用网址，输入时进入小心校对，以免疏忽大意进入此类网站。（２）不要轻易打开陌生人给的网址，或不熟悉网址，谨防受骗。

（３）安装个人防火墙进行保护，并及时升级病毒库和补丁更新。也可以有安装专门拦截钓鱼网站的安全软件，一旦发现此类网站便将其过滤掉。

１６、对称和非对称加密体制下的中间人（MITM）攻击的原理以及实施过程。

中间人攻击就是一个恶意的中间人可以通过截取加密通信的密钥，偷听甚至修改某些通信内容。假如用户A和用户B要通过公钥体制进行加密通信，则中间人攻击的实施过程如下：

（1）截取用户A发往密钥服务器的要求用户B的公钥的请求，代之以其对用户B的公钥请求，传送给服务器。

（2）当服务器用用户B的公钥进行响应的时候，他又将它截取下来，并将他自己的公钥发送给用户A。

（3）用户A用获取的公钥（实际上是中间人的公钥）对数据进行加密，中间人将截取并解密，读取甚至修改其中的内容，而后重新用用户B的公钥进行加密后，发送给用户B。而以上这些情况用户A和用户B都很难有所察觉。

１７、常见的拒绝服务(DoS)攻击有哪些？试分析各自的特点以及原理；何为分布式拒绝服务(DDoS)攻击？试分析其特点以及运行机制。

DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。

（１）连接洪泛是利用ICMP(Internet Control Message Protocol, 网间控制报文协议)的一种网络攻击，而同步洪泛则是利用使用面向会话的TCP协议组的缺陷来实施攻击，它们的本质都是拒绝服务攻击。

（２）以常见的连接洪泛攻击为例，如响应索取、死亡之Ping和Smurf攻击等，说明其原理以及拒绝服务攻击的本质。

（３）同步洪泛攻击则要着重说明三次连接握手的过程，要解释被攻击利用的面向会话TCP协议组的缺陷。

分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者利用系统或应用程序的一些漏洞，入侵系统并获取控制权,将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经通过与主控程序类似的入侵方法被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

拒绝服务攻击是通过一定方式干扰或淹没服务器或个人通信系统，使其无法向用户提供正常

服务的攻击方式。

实例：

(1)同步洪泛：基于TCP/IP协议的对等层次间三次握手，建立对话的机制，攻击者发送大量SYN请求，而不以ACK进行响应，以占满受害者的SYN-RECV连接队列，这样当有真正请求发过来时，其请求将会被丢失。

(2)流量重定向：路由器工作在网络层，负责路由寻址，假设有一个路由器向附近路由器报告它到所有目标地址都有最佳路径，那么其他路由器将会把信息发到该路由器上，该路由器会因被淹没而丢失信息，或直接将所有信息一丢了之，这样就造成了拒绝服务。

DNS攻击是通过系统的漏洞控制一个DNS服务器，修改其中的地址转换表表目，使相应的域名不能转换到正确的IP地址，进而不能访问到相应的网页，这样就造成了拒绝服务。

１８、何为通信流推理威胁？简述对付通信流推理威胁的常用方法。

所谓通信流推理攻击是指通过分析网络通信流量变化和通信的源地址和目标地址，来推理一些敏感的信息。通常采用维护节点间流量平衡来抵御流量分析，还可以洋葱式路由的通信控制方式来隐匿源节点和目标节点的地址，，１９、SSL（Secure Sockets Layer）建立安全通信通道的过程。SSL加密的实施过程如下：（１）客户请求一个SSL会话。

（２）服务器用它的公钥证书响应，以便客户可以确认服务器的真实性（３）客户返回用服务器公钥加密的对称会话密钥，服务器用它的私钥解开。（４）双方用共享的会话密钥进行加密通信。２０、签名代码的机制以及实现过程

签名代码是让一个值得信赖的第三方对代码进行签名，言外之意，使代码更值得信赖，通过数字签名来证实软件来源及发布者的真实身份，签名后代码将不能被恶意修改，这也保证了代码完整性，用户下载到软件包时，也可以验证代码的可信度。

实现过程：

（1）可信任的第三方对代码计算哈希值，并用其私钥进行数字签名。

（2）用户下载代码后，用该第三方的公钥对其进行解密并得到该代码原来的哈希值。

（3）重新求代码哈希值并与原来的哈希值对比，若相同，则说明该代码的真实性由第三方保证，并且该代码没有被恶意修改过。

２１、何为链路加密和端对端加密？试分析它们各自的特点以及利弊。

２２、试简述口令攻击的一般方法，并讨论一个安全的口令选择要注意什么？如何构造一个安全的鉴别系统？

口令攻击有在线口令攻击和离线口令两种。

在线口令攻击是通过截取口令，如果口令是加密的，还要采用暴力攻击、字典攻击或猜测用户可能的口令等方法对口令进行解密。

离线口令攻击则通过分析系统中的口令文件来获得相关的口令。如果口令文件是加密的，则可以采用暴力攻击、字典攻击或猜测用户可能的口令等方法对相关的口令进行解密；如果口令文

件是明文，则系统一般是通过设置访问权限的方法控制对口令文件的访问，攻击者可以通过利用操作系统缺陷来获取对口令文件的访问权限、分析口令可能存放的内存区或利用系统备份来获取相关的口令。

可以通过以下方法来构造一个安全的鉴别系统：（１）帐户封锁。多次登陆错误，就封锁相关的帐户。

（２）鉴别程序响应延时。发生一次登陆错误后，延时显示登陆界面。（３）采用一次性口令。（４）采用质询响应系统。

（５）采用组合健保证安全鉴别。（６）采用生物特征鉴别方式。

２３、一次性口令（包括口令列表、口令令牌）、质询响应系统的实施方案（原理、用户鉴别过程）以及特点比较。

在一次性口令系统中，每个口令就只使用一次，每次鉴别采用不同的口令。可以采用口令列表或口令令牌的方式来管理一次性口令。口令列表中存放着可用的口令，每次鉴别使用一个口令，用户和主机使用相同的口令列表，口令列表方式中对于口令列表的维护是个难题；口令令牌方式使用硬件设备来产生不可预测的口令序列，采用的是同步令牌，这种设备能定时地（如每分钟）产生一个随机数，用户读取设备显示的数据，将它作为一个一次性口令输入，接收端主机执行算法产生适合于当前时刻的口令，如与用户输入的口令相符，则用户可通过鉴别。采用口令令牌方式要解决设备间的时间偏差问题，另外两个口令之间的一个时间间隔内，原来这个口令是可以重用的，截取者有可能会利用这一弱点。

质询响应中，质询和响应设备看起来更象一个简单的计算器，用户先到设备上进行鉴别（通常使用PIN），远程系统就会发送一个称为“质询”的随机数，用户将它输入到设备中，然后将该设备的响应数字传递给系统。这种方式消除了用户重用一个时间敏感的口令的弱点，而且没有PIN，响应生成器即使落到其他人手中也是安全的。

２４、以请求访问文件服务器中的一个文件F为例，试从用户身份鉴别、访问请求授权、访问请求的实现三方面来阐述Kerberos系统的运行机制以及特点。

在Kerberos系统中，该过程分以下三步实现：（１）启动一个Kerberos会话

在用户登陆时，用户工作站将用户的身份发送给Kerberos服务器，在验证该用户是已授权的合法用户后，Kerberos服务器发送给用户工作站一个会话密钥SG和票据授权服务器(G)的一个票据TG，其中用于与票据授权服务器的通信，使用用户的口令进行加密：E(SG+TG, pw);同时给票据授权服务器一个会话密钥SG的拷贝和用户的身份，用Kerberos服务器与票据授权服务器之间共享的KS-TGS密钥加密。

如果用户可以使用它的口令pw成功解密E(SG+TG, pw)，则该用户通过了鉴别，事实上也认证了Kerberos服务器的真实性。用户的口令存放于Kerberos服务器中，没有在网络上传送，保证了系统的基本安全。

（２）获得访问文件的票据

用户U向票据授权服务器发送一个用SG加密的访问文件F的请求，票据授权服务器对U的访问许可进行验证后，它会返回一个票据和一个会话密钥SF，其中SF将用于与文件服务器的通信，返回的票据包含了U的已鉴别身份、F的说明、允许的访问权限、会话密钥SF以及该票据的有效日期等，票据使用一个票据授权服务器与文件服务器之间共享的TGS-F密钥加密，用户以及其他人不能读取、修改或伪造它，其中的时间戳也在一定程度上保证了该票据不能被重用。

已加密的票据和会话密钥SF通过SG加密后返回给用户U，用户解密后即可获得SF，以上这一个过程事实上也认证了票据授权服务器的真实性。

（３）向文件服务器请求访问文件F

用户U向文件服务器发送已用TGS-F密钥加密的服务票据，文件服务器用TGS-F密钥解密后，分析允许的访问权限、票据的时间戳等后，根据要求提供服务，随后的文件传送数据是用会话密钥SF加密的。

文件服务器能用TGS-F解密相应的服务票据，也就认证了其身份的真实性。

２５、试从邮件（电子支票）的机密性、完整性、发送者身份的鉴别和加密密钥的交换四个方面阐述安全邮件系统（电子支票系统）的实现方案。

安全邮件系统通常结合了公钥（非对称）加密体制、密钥（对称）加密体制和数字签名技术，来保证邮件系统的安全性和效率。

邮件系统的机密性通过对邮件的加密来实现，考虑加密解密的效率，通常采用密钥（对称）加密体制，发送者用系统随机产生的对称密钥对邮件进行加密后，再用接受者的公钥对该对称蜜钥进行加密，并将其附在加密后的邮件中，这样接受者收到加密的邮件后，可以先用其私钥解密发送者事先用接受者公钥加密的对称加密密钥，取得该对称密钥，就能够解密邮件，取得邮件明文。

在发送者对邮件进行加密以前，可以先取得该邮件的消息摘要，并用其私钥对该消息摘要进行数字签名，并将数字签名后的邮件消息摘要附在加密邮件中，这样接受者可以用发送者的公钥解密加密的消息摘要，并计算邮件当前的消息摘要，如果与原来保存的一致，就证明邮件没有被篡改，同时也确认了发送者的身份。

试卷组成（１）（２）（３）（４）

单选题 判断题 简答题 综合题

30分 22分

28分 20分

2.建设用地管理复习重点 篇二

1、建设用地：建设用地是指通过工程措施和资源开发，为人类的生产、生活等方面和物质建设所提供的土地。

2、建设用地的特性：

1、建设用地的扩展性；

2、建设用地的非生态利用性；

3、建设用地的可逆行差；

4、建设用地的土地利用价值高；

5、建设用地的区域选择性强；

6、建设用地的空间利用性；

3、建设用地的取得方式：

1、征收集体土地；

2、划拨国有土地使用权；

3、出让国有土地使用权；

4、国有土地使用权租赁；

5、国有土地使用权作价（出资）入股；

6、国有土地使用权转让；

7、集体土地使用权的转移。

4、建设用地管理：建设用地管理，是指国家为维护社会主义公有制，调整建设用地关系，合理组织建设用地利用而采取的行政、法律、经济和工程技术相结合的综合性措施。

第二章

1、建设用地计划管理：是对建设用地计划的编制、执行、监察、修改和总结等各个工作环节所进行的管理活动。

2、建设用地计划的编制级别：我国建设用地计划的编制分为四级:国家级、省级（自治区、直辖市、计划单列市）、省辖市级（地区、自治区州）、县级（县级市、区）。县级为基层计划单位。

3、建设项目用地定额指标管理：以科学为依据，依靠行政权力、采用行政命令，对建设项目用地实行定额指标控制的方法称为建设项目用地的指标管理。

4、建设项目用地定额指标的分类：

1、有用地定额指标的用地项目；

2、无定额指标，有同类工厂用地对照的用地项目；

3、无定额指标，又无同类工厂用地对照的用地项目。

第三章

1、土地用途管制制度：指国家为保证土地资源的合理利用，经济、社会和环境的协调发展，通过编制土地利用总体规划，划定土地用途区，确定土地使用限制条件，并要求土地的所有者、使用者严格按照国家确定的用途利用土地的制度。

2、土地用途管制的基本要素：

1、土地用途管制的主体：国家，表现形式是政府，中央和省级政府。

2、土地用途管制的客体：已确定用途、数量、质量和位置的土地，由土总规提供。

3、土地用途管制的目标：严格限制农用地转为建设用地，控制建设用地总量，对耕地实行特殊保护，确保耕地总量不减少。

4、土地用途管制的手段：编制土地利用总体规划，规定土地用途，划分土地利用区，实行分区管制。

3、农用地转用应符合的条件：

1、符合土地利用总体规划 是否符合，主要依据县、乡级土地利用总体规划。

2、符合土地利用年度计划、新增建设用地计划指标、土地开发整理计划指标、耕地保有量计划指标。

3、符合建设用地供应政策。

4、农用地转用的批准权限：

1、国务院的批准权限：（1）国务院批准的建设项目占用农用地的。包括按照国家基本建设程序规定，由国务院及国务院有关部门批准可行性研究报告的项目，并且是在城市建设用地区之外需要单独选址的项目。同时包括国务院和国务院有关部门批准的能源、交通、水利、矿山等项目，也包括中央军委批准建设的军事项目用地。（2）省、自治区、直辖市人民政府批准可行性研究报告的铁路、公路、各种管线及大型的能源、交通、水利等基础设施需要在城市建设用地区外单独选址的项目用地。（3）省、自治区、直辖市人民政府所在地城市，城区人口在100万以上的其他城市，以及国务院指定的其他城市的城市扩展用地。（4）涉及到基本农田的。根据《基本农田保护条例》第15条规定，农用地转用需要报国务院批准。

2、省级人民政府的批准权限：（1）除了报国务院审批之外的其他城市的市区扩展占用农用地的。（2）县和县级市所在的城镇及其他建制镇建设扩展占用农用地的。（3）地、市以下政府批准可行性研究报告的建设项目需要占用农用地的。

3、省级人民政府授权设区的市、自治州的批准权限：（1）土地利用总体规划确定的村庄、集镇建设用地区内，为实施村镇规划而需要农用地转用的。（2）已批准的农用地转用范围内，具体建设项目用地安排可由市、县人民政府批准。

5、农用地转用方案的编制：由实施规划的县、市人民政府土地行政主管部门负责编制。

第四章

1、征地区片综合地价：是指在城镇行政区土地利用总体规划确定的建设用地范围内，依据地类、产值、土地区位、农用地等级、人均耕地数量、土地供求关系、当地经济发展水平和城镇居民最低生活保障水平等因素，划分区片并测算的征地综合补偿标准（原则上不含地上附着物和青苗的补偿费）。（4~6个级别）。

2、划分要求：（1）征地区片价作为征地补偿实施过程中的执行标准，一般情况下不设定宗地补偿费修正体系；确需设定修正体系的，要严格限定修正因素并控制修正系数，修正体系应一并公布。

（2）一个市（县）的征地区片价原则上控制在4～6个级别。

（3）征地区片价应设定对应的基准时点，一般3～5年更新一次。

第五章

1、国有建设用地供应：是指土地行政主管部门依据国家法律与政策，将国有建设用地使用权提供给建设用地单位使用的过程。（一般简称为“供地”）

2、国有土地有偿使用费：是指以出让、租赁、作价出资（入股）等方式有偿使用国有土地的单位或个人，按照国家规定的标准和方法，向国家缴纳的土地资源性收益，包括土地出让金、土地租金、股金、土地收益金、新增建设用地土地有偿使用费等。

3、新增建设用地土地有偿使用费：是指国务院或省级人民政府在批准农用地转用、征收土地时，向取得出让等有偿使用方式的新增建设用地的市、县人民政府收取的平均土地纯收益。

4、新增建设用地土地有偿使用费分成管理：实行中央与地方3：7分成体制，30％上缴中央财政，70％上缴地方财政。

第六章

1、协议出让国有土地使用权范围：

1、供应商业、旅游、娱乐和商品住宅等各类经营性用地以外用途的土地，其供地计划公布后同一宗地只有一个意向用地者的;如公共福利事业用地，非营利性的社会团体、机关单位，某些特殊用地；

2、原划拨、承租土地使用权人申请办理协议出让，经依法批准，可以采取协议方式，但《国有土地划拨决定书》、《国有土地租赁合同》、法律、法规、行政规定等明确应当收回土地使用权重新公开出让的除外；

3、划拨土地使用权转让申请办理协议出让，经依法批准，可以采取协议方式，但《国有土地划拨决定书》、法律、法规、行政规定等明确应当收回土地使用权重新公开出让的除外；

4、出让土地使用权人申请续期，经审查准予续期的，可以采用协议方式；

5、法律、法规、行政规定明确可以协议出让的其他情形。

2、土地使用规则：出让方即市、县土地行政主管部门在出让行为之前，事先同有关部门共同协商，拟订出的有关出让地块使用权的具体行为规则。

第七章

1、国有土地使用权出租与出让、转让、抵押的区别：

1、出租与出让的区别：①所处土地市场级别不同，土地使用权出让是一级土地市场，土地使用权出租是二、三级土地市场；②主体不同，土地使用权出让的主题是国家，有国家垄断性的特点，土地使用权出租的主题是通过出让或转让方式取得土地使用权的土地使用权人。

2、出租与转让的区别：①土地使用权出租的土地使用权不转移，而土地使用权转让的土地使用权发生转移（是否发生作为物权的土地使用权的转移）；②土地使用权出租地上建筑物及附属物所有权不发生变化，只是使用权的变化，而土地使用权转让会使地上建筑物及附属物的所有权变化（地上建筑物及附属物所有权是否发生变化）；③出租是有偿的，转让无偿、有偿都存在（赠与、继承）（有偿性与无偿性）。

3、出租与抵押的区别：①土地使用权出租时，土地使用者必须转移土地的占用权，土地使用权抵押的土地使用者仍然占有土地（土地的占用权）；②土地使用权的出租市一种独立的主合同，不依附于其他合同行为，而土地使用权抵押是一种从合同，不能独立存在（主合同与从合同）；③在土地使用权出租结束后，承租人必须返还土地，而对于土地使用权抵押，在合同结束时，如果抵押人不能按时偿还债务，抵押权人可以行使抵押权，将土地进行拍卖，并将所得价款用于偿还债务（土地使用权的处理）。

第八章

1、可以使用农民集体所有建设用地的范围：

1、兴办乡镇企业使用本集体经济组织农民集体所有的土地

不允许乡镇办企业使用村或村民组所有的土地，村办企业也不能使用村民组或其他村集体所有的土地。但是集体经济组织可用本集体所有土地与其他单位和个人以土地使用权入股、联营等形式共同举办企业。

2、农村村民建设住宅使用本集体所有的土地

城镇居民使用集体土地，或农村村民建住宅使用其他集体经济组织所有的土地是不允许的。

3、乡（镇）村公共设施和公益事业建设使用农民集体所有的土地 乡（镇）村公共设施和公益事业包括农村道路、水利设施、学校、通讯、医疗卫生、敬老院、幼儿园、村民委员会办公室，不管是使用本集体所有的土地，还是其他集体所有的土地都是允许的。

2、农村集体建设用地使用的收回：

1、为乡（镇）村公共设施和公益事业建设，需要使用土地的，经过批准，农村集体经济组织可以收回集体建设用地使用权，但对土地使用权人造成损失的应当赔偿，原土地使用者及地上建筑物需要搬迁的，农村集体经济组织应当给予负责搬迁。

2、不按照批准的用途使用土地的，不给予补偿。

3、因撤销、迁移等原因而停止使用土地的。

3、使用农村宅基地的要求：

1、农村居民一户只能拥有一处宅基地；

2、宅基地的面积不得超过省、自治区、直辖市规定的标准；江苏宅基地面积标准：（1）城市郊区和人均耕地在十五分之一公顷以下的县，每户宅基地不得超过一百三十五平方米；（2）人均耕地在十五分之一公顷以上的县，每户宅基地不得超过二百平方米。

3、农村居民建住宅，应当符合乡（镇）土地利用总体规划，并尽量使用原有的宅基地和村内空闲地；

4、宅基地涉及占用农用地，应先依法办理农用地转用审批；

5、出租、出卖房屋和非法转让房屋的，再申请宅基地不予批准。

第九章

1、外商成片开发：是指在外商取得国有土地使用权后，依照规划对土地进行综合性的开发建设，平整场地、建设供排水、供电、供热、道路交通、通信等公用设施，形成工业用地和其他建设用地条件，然后进行转让土地使用权，经营公用事业；或者进而建设能用工业厂房以及相配套的生产和生活服务设施等地面建筑物，并对这些地面建筑物从事转让或出租的经营活动。

2、外商成片开发土地法律特征：

1、成片开发应设立开发企业

开发企业依法自主经营管理，负责实施成片开发规划，可以自行招商，也可以经营公用设施等。但它在开发区域内没有行政管理权，它与其他企业的关系是商务关系。

2、开发企业必须取得土地使用权

通常开发企业取得土地使用权的方式主要是两种：一是通过土地使用权的出让取得；二是通过中方以土地使用权作为投资或合作条件取得。

3、开发企业应依法对土地进行开发建设、利用与经营

开发企业必须在实施成片开发规划，并达到土地出让合同规定的条件后，才能转让国有土地使用权。

4、成片开发必须在特定地区进行

根据《成片开发管理办法》，外商投资开发区范围内进行。在这些地区一般划有特定的区域作为开发区，外商投资开发经营成片土地，限定在开发区内进行。

第十章

1、建设用地审查报批程序：

2、建设项目用地预审概念：是指国土资源管理部门在建设项目审批、核准、备案阶段，依法对建设项目涉及的土地利用事项进行的审查。

3、建设项目预审的作用：预审意见是有关部门审批项目可行性研究报告、核准项目申请报告的必备文件。

4、建设项目用地审批与农用地转用、土地征收三大审批权限的关系：

1）农用地转用批准权限属于国务院，而土地征收属于国务院或者省级人民政府的，国务院批准农用地转用时，同时批准土地征收和建设项目用地，不再另行办理征地和建设项目用地审批。

2）农用地转用和土地征收审批都在省级人民政府权限内的，省级人民政府批准农用地转用时，同时批准土地征收和建设项目用地。

3）农用地转用在省级人民政府批准权限内而土地征收在国务院批准权限内的，先由省级人民政府办理农用地转用审批，再报国务院批准土地征收和建设项目用地。

4）项目用地供地方案由批准土地征收的人民政府在批准土地征收方案时一并批准。

5）项目用地只使用国有农用地的，供地方案由批准农用地转用的人民政府在批准农用地转用方案时批准。

6）农用地转用方案、补充耕地方案、土地征收方案的实施和办理国有土地建设项目用地使用权的出让或划拨的具体手续，由当地县、市人民政府土地行政主管部门负责。

案例分析：

国有土地使用权出让合同内容：

1、合同双方当事人。出让方必定是市、县级人民政府土地管理部门，而受让方则可以是国内外的公司、企业、其他组织和个人。

2、出让土地使用权的土地使用期限（合同期限）。

3、出让土地的用途、位置和面积。

地下资源、埋藏物和市政公用设施均不属于土地使用权出让范围。

同时，《招标拍卖挂牌出让国有建设用地使用权规定》第二条也作出了相应的规定“ 在中华人民共和国境内以招标、拍卖或者挂牌出让方式在土地的地表、地上或者地下设立国有建设用地使用权的，适用本规定”。

《物权法》第一百三十六条规定：“建设用地使用权可以在土地的地表、地上或者地下分别设立。新设立的建设用地使用权，不得损害已设立的用益物权。”

4、合同标的。

5、土地使用权出让金支付方式。签订合同后60日内支付全部

6、在法律规定的范围内协商确定出让人的转让、出租、抵押条件。

7、违约处罚规定。

8、出让合同的生效和终止条件。（正常、非正常、协议终止）

9、合同适用的法律。出让合同应适用于中华人民共和国的法律。

10、合同争议的解决方式。友好协商或通过调解解决，也可以用仲裁方式或诉讼方式解决争议。

11、合同使用的文字及其有效文体。

12、合同签署人的身份、签署时间、签署地点。

13、土地使用条件

也称土地使用规则，出让方即市、县土地行政主管部门在出让行为之前，事先同有关部门共同协商，拟订出的有关出让地块使用权的具体行为规则。

按照土地规划、开发建设要求、投资速度、建筑要求、环保、绿化、交通、卫生防疫等发展规划要求使用土地。

某市国土资源局以拍卖方式将宗地号为0089的建设用地使用权出让给A公司，用作大型商贸城的建设。双方在拍卖后签订了《国有建设用地使用权出让合同》。合同约定：该宗地的用途为商业用地。以地上60米为上限，以地下30米为下限，高差为90米。合同签订后，A公司支付了全部价款，国土资源局为其办理了土地使用权证书。一个月后，国土资源局挂牌出让0089号宗地。以地下30米为上限，以地下70米为下限，高差为40米的建设用地使用权，并将此块土地的建设用地使用权出让给了B公司，同时签订了《国有建设用地使用权出让合同》。A公司得知后，认为国土资源局侵犯了自己的权益，向国土资源局提出异议，要求国土资源局收回B公司的建设用地使用权。国土资源局解释说，他们的做法是将建设用地使用权进行立体分割后，分别进行出让，不存在违法违规行为。A公司不服，欲向上级主管部门提起行政复议。疑惑：

国土资源局能否将同一宗地的建设用地使用权分层出让? 解析：

本案主要涉及建设用地使用权分层出让的问题。

建设用地使用权分层出让，是指将国有建设用地使用权，立体分割成多个不同高度且不相重叠的部分，再分别进行出让的行为。其前提是将土地看成作一个空间，享有“空间权”。所谓“空间权”是指于空中或地中横切一断层而享有的权利，或对土地地表上下之一定范围内的空间的权利。自19世纪以来，随着交通拥挤、住宅紧缺等各种社会问题的出现，土地所有的个人独占性与社会公共性之间的矛盾激化，国家开始限制土地所有者对空间享有的绝对权利。

在我国，随着经济发展速度不断加快，人地矛盾也日益突出，合理利用空间成为城市科学可持续发展的迫切需要。《物权法》就此引进了“空间权”，其第一百三十六条规定：“建设用地使用权可以在土地的地表、地上或者地下分别设立。新设立的建设用地使用权，不得损害已设立的用益物权。”

同时，《招标拍卖挂牌出让国有建设用地使用权规定》第二条也作出了相应的规定“ 在中华人民共和国境内以招标、拍卖或者挂牌出让方式在土地的地表、地上或者地下设立国有建设用地使用权的，适用本规定”。依据这些规定，国家可将土地进行立体的纵向分割，即将土地分成不同高度的空间，既可以在同一宗土地上为一个人设立一个建设用地使用权，也可以为两个以上的人分别设立若干个相互之间不冲突的建设用地使用权。

在本案中，国土资源局分别与A公司和B公司签订了《国有建设用地使用权出让合同》，在合同中明确了各自建设用地使用权的上下界限，并且上下界限并不冲突，根据《物权法》和《招标拍卖挂牌出让国有建设用地使用权规定》的有关规定，国土资源局的出让行为是合法的。

3.管理学概论复习重点 篇三

特征：

1、管理是人类有意识有目的的活动。

2、管理应当是有效的。

3、管理的本质是协调。

4、协调是运用各种管理职能的过程。

2、（选择填空）管理原理的特征：客观性、概括性、稳定性、系统性

基本原理：系统原理、人本原理、责任原理、效益原理

3、（选择填空）管理的基本方法有哪几个：

法律方法、行政方法、经济方法、教育方法、技术方法

4、决策的定义：管理者识别并解决问题以及利用机会过程。

决策的原则：满意原则而不是最优原则。

决策的依据：信息，信息的数量和质量直接影响决策水平

5、决策的类型：

1、长期决策和短期决策

2、战略决策、战术决策与业务决策

3、从决策主体看，集体决策与个人决策

4、从起点看，初始决策与追踪决策

5、从涉及的问题看，程序化决策与非程序化决策

6、从环境可控程度看，确定型决策、风险型决策与不确定型决策

6、决策的特点：目标性、可行性、选择性、满意性、过程性、动态性

7、决策的过程：

1、诊断问题，识别问题

2、识别目标

3、拟定备选方案

4、评估备选方案

5、做出决定

6、选择实施战略

7、监督和评估

影响因素：环境、过去决策、对风险态度、伦理、组织文化、时间

8、（选择填空）决策的方法：

（一）集体决策方法:

1、头脑风暴法

2、名义小组技术

3、德尔菲技术

（二）有关活动方向的决策方法：

1、经营单位组合分析法

2、政策指导矩阵

（三）有关活动方案的决策方法：

1、确定型决策方法

2、风险型决策方法

3、非确定型决策方法

9、计划的概念： 名词上：计划是指用文字和指标等形式所表述的，组织以及组织内不同部门和不同成员，在未来一定时期内，关于行动方向、内容和方式安排的管理文件。

动词上：计划是指为了实现决策所确定的目标，预先进行的行动安排。

内容：(5W1H)what—做什么？目标与内容

why—为什么做？原因

who—谁去做？人员

where—何地做？地点

when—何时做？时间 how—怎样做？方式、手段

10、计划与决策的关系：

1、决策是计划的前提，计划是决策的逻辑延续。

2、在实际工作中，决策与计划是相互渗透，有时候甚至是不可交织在一起的。

11、计划的层次体系图会画

12、计划的编制过程：

1、确定目标：是决策工作的主要任务

2、认清现在：认识现在的目的在于寻求合理有效的路径，也即实现目标的途径

3、研究过去

4、预测并有效地确定计划的重要前提条件

5、拟定和选择可行性行动计划：拟定、评估、选定

6、制订主要计划：将计划用文字形式正式的表达出来

7、制订派生计划

8、制订预算，用预算使计划数字化

13、目标管理的基本思想：

1、企业的任务必须转化为目标，企业管理人员必须通过这些目标对下级进行领导并以此来保证企业总目标的实现。

2、目标管理是一种程序，使一个组织中的上下各级管理人员会共同起来制订共同的目标，确定彼此的成果责任，并以此项责任来指导业务和衡量各自的贡献的准则。

3、每个企业管理人员或工人的分目标就是上企业总目标对他的要求，同时也是这个企业管理人员或工人对企业总目标的贡献

4、管理人员和工人是靠目标来管理，由所要达到的目标为依据，进行自我指挥、自我控制，而不是由他的上级来指挥和控制。

5、企业管理人员对下级进行考核和奖惩也是依据这些分目标。

14、目标的性质：层次性、目标网络、多样性、可考核性、可接受性、挑战性、伴随信息反馈性

15、目标管理的过程：

1、制定目标

2、明确组织的作用

3、执行目标

4、成果评价

5、实行奖惩

6、制定新目标并开始新的目标管理循环

16、滚动计划法概念：即根据计划的执行情况和环境变化情况定期修改未来的计划，并逐期向前推移，使短期计划、中期计划有机地结合起来。

17、网络计划技术：即把一项工作或项目分成各种作业，然后根据作业顺序进行排列，通过网络图对整个工作或项目进行统筹规划和控制，以便用最少的人力、物力、财力资源，用最高的速度完成工作。

18、企业资源计划（ERP）：是指建立在信息技术基础上，以系统化的管理原理，为企业决策层及员工提供决策运行手段的管理平台。

四个阶段：1960年开环的物料需求计划（MRP）—1970年闭环的物料需求计划（MRP）—1980年制造资源计划（MRPⅡ）—1990年企业资源计划（ERP）

19、管理幅度：任何主管能够直接有效地指挥和监督的下属数量总是有限的，这个有限的直接领导的下属数量被称作管理幅度。

管理层次（自己了解，与组织规模成正比，与管理幅度成反比）

形态：扁平结构形态和锥形结构形态（太多 p285）20、组织设计原则：

1、因事设职与因人设职相结合的原则。

2、全责对等的原则。

3、命令统一的原则。

基本任务：

1、职务设计与分析

2、部门划分

3、机构的形成

21、职能部门化：

依据：根据业务活动的相似性来设立管理部门

优点：

1、专业化分工，使各部门管理人员专心研究产品的开发和制造，或积极努力地探索和开发市场，或分析和评估资金的运作。

2、有利于维护最高行政指挥的权威，有利于维护组织的统一性。

3、有利于工作人员的培训、相互交流、从而技术水平的提高。

缺点：

1、不利于指导企业产品结构的调整。

2、缺乏总体的眼光，不利于高级管理人才的培养。

3、可能使本来相互依存的部门之间的活动的不协调，影响组织整体目标的实现。

22、产品部门化：职能部门内部，不同的工作人员按产品的类别来划分工作任务，然后随着产品需求和生产量的发展再采取产品部门化的形式。

优势：

1、能使企业将多元化经营和专业化经营结合起来。

2、有利于企业及时调整生产方向。

3、有利于促进企业内部竞争。

4、有利于高层管理人才的培养。

缺点：

1、需要较多具有总经理那样能力的人去管理各部门。

2、各部门主管可能过分强调本单位利益，从而影响企业的统一指挥。

3、产品部门某些职能管理机构与企业总部的重叠会导致管理费用的增加，从而提高了待摊成本，影响企业竞争能力。

23、区域部门化：是根据地理因素来设立管理部门，把不同地区的经营业务和职责划分给不同部门的经理。

优点：可以更好的针对各地区的劳动者和消费者的行为特点来组织生产和经营活动。

24、矩阵组织：是一种由横纵两套系统交叉形成的复合结构组织。横向是只能系统，纵向是专门为完成某项专门任务的而组成的项目系统。

优点：

1、有很大的弹性和适应性，可以根据工作的需要集中各种专门知识和技能，短期内迅速完成重要的任务

2、项目小组集中各种人才，便于知识和意见的交流，能促进新的观念和设想的产生。

3、可以促进各个部门间的协调和沟通。

缺点：项目组织的成员是根据工作的进展情况临时从各部门抽调，其隶属关系不变，从而不仅可以使他们产生临时观念，影响工作责任心，而且由于要接受并不总是保持一致的双重领导，在工作中可能无所适从。

25、权力的性质和特征：p310 绝对集权：意味着组织中的全部权力集中在一个主管手中，组织活动的所以决策均由主管作出，主管直接面对所有执行者，没有任何中间管理人员，没有任何中层管理机构。

绝对分权：意味着全部权力分散在各个管理部门，甚至分散在各个执行、操作者手中，没有任何集中的权力，因此主管的职位显然是多余的，一个统一的组织也不复存在。

第十章 人员配备

1.人员配备：人员配备是为每个岗位配备适当的人，也就是说，首先要满足组织的需要；同时，人员配备也是为每个人安排适当的工作，因此要考虑满足组织成员个人的特点、爱好和需要。

2.人员配备的任务：

人员配备的任务可以从组织和个人这两个不同的角度去考察。（1）从组织需要的角度去考察：

①要通过人员配备使组织系统开动运转。②为组织发展准备干部力量。③维持成员对组织的忠诚。

（2）从组织成员配备的角度去考察：

①通过人员配备，使每个人的知识和能力得到公正的评价、承认和运用。②通过人员配备，使每个人的知识和能力不断发展，素质不断提高。

3.人员配备的工作内容和程序：（1）确定人员需要量。（2）选配人员。

（3）制定和实施人员培训计划。

4.人员配备的原则：（1）因事择人原则。（2）因材器使的原则。（3）人事动态平衡的原则。

5.管理人员选聘的标准：（1）管理的欲望。

（2）正直、诚信的品质。（3）冒险的精神。（4）决策的能力。（5）沟通的技巧。

6.管理人员的选聘程序和方法：（1）公开招聘。（2）粗选。

（3）对粗选合格者进行知识与能力的考核：

①智力与知识测验。②竞聘演讲与答辩。③案例分析与候选人实际能力考核：“处理公文测验”，“无领导小组讨论”。④民意测验。⑤选定管理人员。

7.外部招聘的优缺点： 优点：

①被聘干部具有“外来优势”。

②有利于平息和缓和内部竞争者之间的紧张关系。③能够为组织带来新鲜空气。缺点：

①外聘干部不熟悉组织的内部情况，同时也缺乏一定的人事基础，因此需要一段时期的适应才能进行有效的工作。

②组织对应聘者的情况不能深入了解。

③外聘干部的最大局限性莫过于对内部员工的打击。

8.内部提升的优缺点： 优点：

①利于鼓舞士气，提高工作热情，调动组织成员的积极性。②有利于吸引外部人才。

③有利于保证选聘工作的正确性。④有利于使被聘者迅速展开工作。缺点：

①引起同事的不满。

②可能造成“近亲繁殖”的现象。

第十一章 组织力量的整合

1.正式组织和非正式组织的区别：

正式组织的活动以成本和效率为主要标准，要求组织成员为了提高活动效率和降低成本而确保形式上的合作，并通过对他们在活动中的表现予以正式的物质与精神的奖励或惩罚来引导他们的行为。因此，维系正式组织的，主要是理性的原则。而非正式组织则主要以感情和融洽的关系为标准。它要求其成员遵守共同的、不成文的行为规则。因此，维系非正式组织的，主要是接受与欢迎或孤立与排斥等感情上的因素。

2.非正式组织的积极作用及不利影响： 积极作用：

①可以满足职工的需要。

②人们在非正式组织中的频繁接触会使相互之间的关系更加和谐、融洽，从而易于产生和加强合作的精神。

③非正式组织虽然主要是发展一种工作之余的、非工作性的关系，但是它们对其成员在正式组织中的工作情况也往往是非常重视的。

④非正式组织也是在某种社会环境中存在的。就像对环境的评价会影响个人的行为一样，社会的认可或拒绝也会左右非正式组织的行为。不利影响：

①非正式组织的目标如果与正式组织冲突，则可能对正式组织的工作产生极为不利的影响。

②非正式组织要求成员一致性的压力，往往也会束缚成员的个人发展。③非正式组织的压力还会影响正式组织的变革，发展组织的惰性。

3.直线关系与参谋关系：

直线关系是一种指挥和命令的关系，授予直线人员的是决策和行动的权力；而参谋关系则是一种服务和协助的关系，授予参谋人员的是思考、筹划和建议的权力。

4.委员会的存在理由：

（1）综合各种意见，提高决策的正确性。

①集体讨论可以产生数量更多的方案。

②委员会工作可以综合各种不同的专门知识。

③集体讨论，可以互相启发，从而可以完善各种设想以及决策的质量。（2）协调各种智能，加强部门间的合作。（3）代表各方利益，诱导成员的贡献。（4）组织参与管理，调动执行者的积极性。

第十二章 组织变革与组织文化

1.组织变革：

组织变革就是组织根据内外环境的变化，及时对组织中的要素进行结构性变革，以适应未来组织发展的要求。

2.组织变革的动因：（1）外部环境因素：

①整个宏观社会经济环境的变化。②科技进步的影响。③资源变化的影响。④竞争观念的改变。（2）内部环境因素：

①组织机构适时调整的要求。②保障信息畅通的要求。③克服组织低效率的要求。④快速决策的要求。

⑤提高组织整体管理水平的要求。

3.组织文化：

组织文化是被组织成员广泛认同、普遍接受的价值观念，思维方式、行为准则等群体意识的总称。

组织文化是组织在长期的实践活动中所形成的并且为组织成员普遍认可和遵循的具有本组织特色的价值观念、团体意识、工作作风、行为规范和思维方式的总和。

4.组织文化的特征：（1）超个体的独特性。（2）相对稳定性。（3）融合继承性。（4）发展性。

第十三章 领导与领导者 1.领导：

领导就是指指挥、带领、引导和鼓励部下为实现目标而努力的过程。

2.领导的三要素：

（1）领导者必须有部下或追随者。

（2）领导者拥有影响追随者的能力或力量。

（3）领导的目的是通过影响部下来达到企业的目标。

3.领导的作用：（1）指挥作用。（2）协调作用。（3）激励作用。

4.领导者的素质：（1）思想素质

（2）业务素质：应具有管理现代企业的知识和技能。

业务知识：

①应懂得市场经济的基本原理。

②应懂得管理的基本原理、方法和各项专业管理的基本知识。③应懂得生产技术和有关自然科学、技术科学的基本知识。

④应懂得政治思想工作、心理学、人才学、行为科学、社会科学等方面的知识。⑤应能熟练应用计算机、信息管理系统和网络，及时了解和处理有关信息。业务技能：

①较强的分析、判断和概括能力。②决策能力。

③组织、指挥和控制的能力。

④沟通、协调企业内外各种关系的能力。⑤不断探索和创新的能力。⑥知人善任的能力。

5.领导方式的连续统一体理论（坦南鲍姆和施密特）：

七种典型的领导方式： ①经理作出并宣布决策。②经理“销售”决策。

③经理提出计划并允许提出问题。④经理提出可以修改的暂定计划。

⑤经理提出问题，征求建议，作出决策。⑥经理决定界限，让团体作出决策。

⑦经理允许下属在规定的界限内行使职权。坦南鲍姆和施密特认为，上述方式孰优孰劣没有绝对的标准，成功的经理不一定是专权的人，也不一定是放任的人，而是在具体情况下采取恰当行动的人。当需要果断指挥时，他善于指挥；当需要职工参与决策时，他能提供这种可能。

6.管理方格理论（布莱克和穆顿）：

五种典型的领导方式： ①9.1型方式（任务型）。②1.9型（乡村俱乐部型）。③5.5型（中庸之道型）。④1.1型（贫乏型）。⑤9.9型（团队型）。

作为一个领导者，既要发扬民主，又要善于集中；既要关心企业任务的完成，又要关心职工的正当利益。只有这样，才能使领导工作卓有成效。

7.权变理论（菲德勒）：

权变理论认为不存在一种“普适”的领导方式，领导工作强烈地受到领导者所处的客观环境的影响。换句话说，领导和领导者是某种既定环境的产物。

8.领导艺术：

（1）做领导的本职工作。

（2）善于同下属交谈，倾听下属的意见。

①即使你不相信对方的话，或者对谈的问题毫无兴趣，在对方说话时，也必须悉心倾听，善加分析。

②要仔细观察对方说话时的神态，捉摸对方没有说出的意思。

③谈话一经开始，就要让对方把话说完，不要随意插话，打断对方的思路，岔开对方的话题，也不要迫不及待地解释、质问和申辩。

④如果你希望对某一点多了解一些，可以将对方的意见改成疑问句简单重复一遍，“是这样吗？”“为什么？”这一问将鼓励对方作进一步的解释和说明。

⑤如果对方诚恳地希望听到你的意见，你必须抓住要领，态度诚恳地就实质性问题作出简明扼要的回答，帮助他拨开心灵上的云雾，解开思想上的疙瘩。

⑥领导者必须控制自己的情绪，不能感情用事。（3）争取众人的信任和合作。

①平易近人。②信任对方。③关心他人。④一视同仁。

（4）做自己时间的主人。

①记录自己的时间消耗。②学会合理地使用时间。③提高开会的效率。

第十四章 激励

1.激励的过程：P425

2.力场理论（卢因）： 把人看作是在一个力场上活动的，力场内并存着驱动力和遏制力，人的行为便是场内诸力作用的产物。

领导者对在“力场”中活动的职工行为的引导，就是要借助各种激励方式，减少遏制力，增强驱动力，提高职工的工作效率，从而改善企业经营的效率。

3.需要层次理论（马斯洛）： 基本论点：

（1）人是有需要的动物，其需要取决于它已经得到了什么，还缺少什么，只有尚未满足的需要能够影响行为。换言之，已经得到满足的需要不再能起激励作用。

（2）人的需要都有轻重层次，某一层需要得到满足后，另一层需要才会出现。马斯洛将需要划分为五级：

（1）生理的需要。（2）安全的需要。（3）社交的需要。（4）尊重的需要。（5）自我实现的需要。

4.期望理论（V·弗鲁姆）：

只有当人们预期到某一行为能给个人带来有吸引力的结果时，个人才会采取这一特定行为。

5.公平理论（亚当斯）：

主要讨论报酬的公平性对人们工作积极性的影响。人们将通过两个方面的比较来判断其所获报酬的公平性，即横向比较和纵向比较。

6.强化理论（斯金纳）：

人的行为是其所获刺激的函数。如果这种刺激对他有利，这种行为会重复出现；若对他不利，这种行为会减弱直至消失。因此管理者要采取各种强化方式，以使人们的行为符合组织的目标。

7.激励模式（波特和劳勒）：

（1）个人是否努力以及努力的程度不仅仅取决于奖励的价值，还受到个人觉察出来的努力和受到奖励的概率的影响。

（2）个人实际能达到的绩效不仅仅取决于其努力的程度，还受到个人能力的大小以及对任务的了解和理解程度的影响。

（3）个人所应得到的奖励应当以其实际达到的工作绩效为价指标准，尽量剔除主观评估因素。

（4）个人对于所受到的奖励是否满意以及满意的程度如何，取决于受激励者对所获报酬公平性的感觉。

（5）个人是否满意以及满意的程度将会反馈到其完成下一个任务的努力过程中。

8.激励的方法：

（1）委以恰当工作，激发职工内在的工作热情。

①工作的分配要能考虑到职工的特长和爱好。②工作的分配要能激发职工内在的工作热情。

（2）正确评价工作成果，合理给予报酬，形成良性循环。（3）掌握批评武器，化消极为积极。

①明确批评目的。②了解错误的事实。③注意批评方法。④注意批评的效果。

4.工程造价管理复习重点 篇四

我国项目建设程序划分为以下几个阶段：1.项目建设书阶段。2.可行性研究报告阶段。3.编制计划任务书和选择建设地点。4.设计工作阶段。5.建设准备阶段。

6.建设施工阶段。7.竣工验收阶段。8.建设项目后评价阶段。

建设项目的组成：一个建设项目由若干个单项工程、单位工程、分部工程、分项工程组成。

单项工程：是指具有独立的设计文件，竣工后能独立发挥生产能力或效益的工程。

单位工程：是单项工程的组成部分。单位工程是单项工程中具有独立的设计图纸和施工条件，可以独立组织施工，但完工后不能独立发挥生产能力或效益的工程。

分部工程：是按照单位工程的不同部位、不同施工方式、不同材料和设备种类，从单位工程中划分出来的中间产品。

分项工程：是指通过较为简单的施工过程就能产生出来的，并可以利用某种计量单位计算的最基本的中间产品。

工程造价特点：1.工程造价的大额性2.工程造价的个别性和差异性3.工程造价的动态性4.工程造价的广泛性和复杂性5.工程造价的阶段性

工程造价计价的特点：1.单体性计价2.分部组合计价3.多次性计价4.方法多样性

工程造价管理特点：1.时效性2.公正性3.规范性4.准确性

进口设备原价的构成和计算：进口设备原价是指进口设备的抵岸价，即抵达买方国家的边境港口或边境车站，且交完关税后形成的价格。1.进口设备的交货方式（1）内陆交货类（2）目的地交货类（3）装运港交货类

我国现行建设安装工程费由直接费、间接费、利润和税金组成。

直接工程费：（1）人工费（2）材料费（3）施工机械使用费

间接费是由施工管理费、规费组成。

规费：（1）工程排污费（2）工程定额测定费（3）养老保险统筹基金（4）失业保险费（5）医疗保险费

税金：是指国家税法规定的应计入建筑安装工程费用的营业税、城乡维护建设税及教育费附加。1.营业税（是按营业额乘以营业税税率确定。其中，建筑安装企业营业税税率为3%。计算公式为：应纳营业税=营业额×3%）2.城乡维护建设税（城乡维护建设税是指国家为了加强城乡的维护建设，稳定和扩大城市、乡镇维护建设的资金来源，对有经营收入的单位和个人征收的一种税。计算公式为：应纳税率=应纳营业税额×适用税率。其中，城乡维护建设税的纳税人所在地方市区的，其适用税率为7%；所在地为县镇的，其适用税率为5%；所在地为农村的，其适用税率为1%）3.教育费附加（教育费附加是按应纳营业税额乘以3%确定，计算公式为：应纳税额=应纳营业税额×3%）

我国现行规定，预备费包括基本预备费和涨价预备费。

工程造价的确定方法：1.定额计价法2.工程量清单计价法

工程建设定额是指在合理的劳动组织和合理地使用材料和机械的条件下，完成单位质量合格产品所需消耗的资源的数量标准。

工程建设定额的特征：1.真实性和科学性2.系统性和统一性3.稳定性和时效性

工程建设定额的分类：1.按定额反映的物质消耗内容分类：（1）劳动消耗定额

（2）机械消耗定额（3）材料消耗定额。2.按定额的编制程序和用途分类：（1）施工定额（2）预算定额（3）概算定额（4）概算指标（5）投资估算指标。3.按投资的费用性质分类：（1）建筑工程定额（2）设备安装工程定额（3）建筑安装工程费用定额（4）工器具定额（5）工程建设其他费用定额。4.按专业性质分类：（1）全国通用定额（2）行业通用定额（3）专业专用定额

施工定额的概念：是指具有合理劳动组织的建筑安装工人或工作小组在正常施工条件下，为完成单位合格工程建设产品所需人工、机械台班、材料消耗的数量标准。

劳动定额：是指在合理的劳动组织和正常的施工条件下，生产单位质量合格产品所需消耗的工作时间，或在一定的工作时间中生产的合格产品数量。

劳动定额可用时间定额和产量定额来表示。（1）时间定额是指在一定生产技术和生产组织条件下，某工种、某技术等级的工人小组或工人，完成单位合格产品所消耗的工作时间。（2）产量定额是指在一定生产技术和生产组织条件下，某工种、某技术等级的工人小组或工人，在单位时间内（工日）所应完成合格产品的数量。

时间定额与产量定额之间互为倒数

预算定额的概念：是指规定消耗在合格质量的单位工程基本构造要素上的人工、材料和机械台班的数量标准。

工程量清单：是指表现拟建工程的分部分项工程项目、措施项目、其他项目名称和相应数量的明细清单。

工程量清单计价法的特点：1.真实性2.实用性3.竞争性4.通用性

工程量清单应由分部分项工程量清单、措施项目清单、其他项目清单、规费项目清单、税金项目清单组成。

可行性研究是指对某工程项目在做出是否投资的决策之前，先对与该项目有关的技术、经济、社会、环境等所有方面进行调查研究，对项目各种可能的拟建方案认真地进行技术经济分析论证，研究项目在技术上得先进适用性，在经济上的合理性和建设上的可能性，对项目建成投产后的经济效益、社会效益、环境效益等进行科学的预测和评价，据此提出项目是否应该投资建设以及选定最佳投资建设方案等结论性意见，为项目投资决策部门提供决策的依据。可行性研究的作用：

1.可行性研究是建设项目投资决策的依据2.可行性研究是项目筹集资金和向银行申请贷款的依据3.可行性研究是项目科研试验、机构设置、职工培训、生产组织的依据4.可行性研究是向当地政府、规划部门、环境保护部门申请建设执照的依据5.可行性研究是项目建设的基础材料6.可行性研究是项目考核的依据 建设项目的经济评价是可行性研究的核心，经济评价又可以分为国民经济评价和财务评价两个层次。

限额设计就是按照批准的投资估算控制初步设计，按批准的初步设计总概算控制施工图设计，即将上阶段设计审定的投资额和工程量先行分解到各专业，然后再分解到各单位工程和分部工程。

价值工程是通过各相关领域的协作，对所研究对象的功能与成本进行系统分析，不断创新，旨在提高所研究对象价值的思想方法和管理技术。

价值工程的特点：1.以使用者的功能需求为出发点2.研究对象进行功能分析并

系统研究功能与成本之间的关系3.致力于提高价值的创造性活动4.有组织、有计划、有步骤地开展工作

设计概算分为单位工程概算、单项工程综合概算、建设工程总概算三级。施工图预算的编制依据：1.经批准和会审的施工图设计文件及有关标准图集2.施工组织设计3.工程预算定额4.经批准的设计概算文件5.单位计价表 施工图预算的编制方法：1.单价法2.实物法

建筑工程的招标就是指招标人（或招标单位）在发包工程项目前，按照公布的招标条件，公开或书面邀请投标人（或投标单位）在接受招标文件要求的前提下前来投标，以便招标人从中择优选定的一种交易行为。

投标就是具有合法资格和能力的投标人（或投标单位）在同意招标人拟定的招标文件的前提下，对招标项目提出自己的报价和相应的条件，通过竞争企图为招标人选中的一种交易方式。

公开招标。它又称竞争性招标，是指由招标人在报刊、电子网络或其他媒体上刊登招标公告，吸引众多投标人参加投标竞争，招标人从中择优选择中标单位的招标方式。

邀请招标。它也称有限竞争性招标或选择性招标，是指由招标单位选择一定数目的企业，向其发出投标邀请书，邀请它们参加招标竞争。

建设工程招标投标的基本原则有：公开原则、公平原则、公正原则、诚实信用原则。

我国建设市场中的承发包方式：1.按承包内容和范围划分承包方式：（1）建设全过程承包（2）阶段承包（3）专项承包。2.按承包者所处地位划分承包方式：

（1）总承包（2）分承包（3）独立承包（4）联合承包。3.按获得承包任务的途径划分承包方式：（1）投标竞争（2）委托承包（3）指令承包

建设工程项目施工招标的条件：1.概算已经批准2.建设工程项目已正式列入国家、部门或地方的年度固定资产投资计划3.建设用地的征用工作已经完成4.有能够满足施工需要的施工图纸及技术资料5.建设资金和主要建筑材料、设备的来源已经落实6.已经建设工程项目所在地规划部门批准，施工现场的“三通一平”已经完成或一并列入施工招标范围

资格审查的基本程序是：1.发布资格预审通告。2.发出资格预审文件。3.对潜在投标人资格的审查和评定（1）投标人的组织与机构（2）施工经历，包括以往承担类似项目的业绩，履行合同的情况等（3）为履行合同任务而配备的机械、设备以及施工方案等情况（4）财务状况，包括申请人已审计的资产负债表、现金流量表等（5）为承担本项目所配备的人员状况，包括技术人员和管理人员的名单和简历（6）各种奖励或处罚。4.发出审查合格通知书

工程合同价款的确定有如下三种：总价合同、单价合同和成本加酬金合同。工程变更的概念：由于工程建设的周期长，涉及的经济关系和法律关系复杂，受客观因素的影响大，工程实际施工情况与招标投标时的工程情况相比往往会发生一些变化，这些变化称为工程变更。

不可抗力是指在合同成立以后所发生的，不是由于当事人一方故意或过失所造成的，对其发生以及造成的后果是当事人不能预见、不能控制、不能避免并不能克服的异常事件或情况。

不可抗力承担：因不可抗力的事件导致的费用及延误的工期由双方按以下方法分别承担：（1）因工程损害导致第三方人员伤亡及财产损失，运至施工场地待安

装材料由发包人承担（2）承、发包双方人员伤亡由其所在单位负责并承担相应费用（3）承包人机械设备损坏及停工损失由承包人负责（4）停工期间因工程师要求所留人员费用由发包人承担（5）工程所需清理修复费用由发包人承担（6）延误工期相应顺延※因合同一方迟延履行合同后发生不可抗力，不可免除执行方的责任。

工程索赔主要包括工期索赔和费用索赔两大类。

费用的索赔计算方法：1.总费用法2.修正的总费用法3.实际费用法

工期索赔的计算主要有网络图分析法和比例分析法。

工程价款的主要结算方式：1.按月结算2.分段结算3.竣工后一次结算4.目标结款方式

动态调整主要方法有以下几种：1.实际价格结算发2.工程造价指数调整法3.调价文件计算法4.调值公式法

偏差分析方法有横道图法、表格法、曲线法。

纠正偏差的措施：1.组织措施2.经济措施3.技术措施4.合同措施

竣工结算的概念：是指一个单位工程或单项工程完工后，经业主及工程质量监督部门验收合格，在交付使用前由施工单位根据合同价格和实际发生的增加或减少费用的变化等情况进行编制，并经业主或其委托方签字确认的，以表达该工程最终造价为主要内容，作为结算工程价款依据的经济文件。

5.2013现代管理学复习重点 篇五

简述题与论述题

1、简述管理的普遍性和重要性？

2、组织的一般环境和任务环境包含哪些因素？

3、泰勒的科学管理理论主要包括哪几个方面？

4、简述霍桑试验经过及其成果。

5、在沟通中，信息有时不能准确地传达，你认为可能在哪些地方出现了问题？

6、企业外部环境是如何影响企业内部管理的？

7、举例说明决策主体的认知错觉对决策行为的影响。

8、简述古典决策理论的主要内容。

9、简述行为决策理论的主要内容。

10、三种决策理论的区别是什么？

11、简述目标管理的过程。

12、目标管理遵循的原则有哪些？

13、解释SWOT分析法。

14、企业文化的作用是什么？

15、什么是组织的柔性经济原则？

16、解释说明何为管理方格论？

17、人力资源管理有哪些职能？

18、职业生涯规划划分的阶段？

19、有人认为领导者就是管理者，他们之间没有区别。你认为呢？

20、领导者应具备何种特质？

21、评价马斯洛的需要层次理论。

22、如何利用期望理论和公平理论进行薪酬设计？

23、简述控制在管理中的作用。

6.信息安全导论期末重点复习资料 篇六

1：信息安全威胁的基本类型：信息泄露，信息伪造，完整性破坏，业务否决或拒绝服务，未经授权访问。

2：信息的安全属性主要包括：机密性，完整性，可用性，可控性，不可否认行。3：信息安全威胁的主要表现形式：攻击原始资料（人员泄露，废弃的介质，窃取），破坏基础设施（电力系统，通信网络，信息系统场所），攻击信息系统（物理侵入，木马，恶意访问，服务干扰，旁路控制，计算机病毒），攻击信息传输（窃听，业务流分析，重放），恶意伪造（业务欺骗，假冒，抵赖），自身失误，内部攻击，社会工程学攻击。

4：面向应用的层次型技术体系结构：物理安全，运行安全，数据安全，内容安全，管理安全。

5：面向目标的知识体系结构：机密性，完整性，可用性。6：面向过程的信息安全保障体系：保护，检测，反应，恢复。

7：OSI开放系统互联安全体系结构：安全服务（鉴别，访问控制，数据机密性，数据完整性，抗抵赖性），安全机制（加密，数字签名，访问控制，数据完整性，鉴别交换，业务流填充，路由控制，公证机制）。第三章

1:设备安全防护:防盗，防火，防静电，防雷击。

2:防信息泄露:电磁泄露(屏蔽法，频域法，时域法)，窃听。

3:物理隔离:意为通过制造物理的豁口来达到物理隔离的目的。他是不安全就不联网，绝对保证安全。

4:逻辑隔离也是一种不同网络间的隔离部件，被隔离的两端仍然存在物理上数据通道连线，但通过技术手段保证被隔离的两端没有数据通道，即逻辑上隔离。在保证网络正常使用的情况下，尽可能安全。

5:物理安全:指为了保证计算机系统安全、可靠地运行，确保系统在对信息进行采集、传输、存储、处理、显示、分发和利用的过程中不会受到人为或自然因素的危害而使信息丢失、泄漏和破坏，对计算机系统设备、通信与网络设备、存储媒体设备和人员所采取的安全技术措施。主要包括实体安全和环境安全，涉及到网络与信息系统的机密性，可用性，完整性等属性。

6:电磁泄露:就是说你用的电脑，显示器，手机等，都是能产生电子辐射的，而且都有固定的特征，通过技术手段可以分析你电脑的使用内容，或者还原画面，造成秘密泄露！

7:物理隔离与逻辑隔离的区别:物理隔离部件的安全功能应保证被隔离的计算机资源不被访问，计算机数据不能被重用。

逻辑隔离应保证被隔离的计算机资源不被访问，只能进行隔离器内，外的原始应用数据交换，保证在进行数据交换时的数据完整性，以及保证隔离措施的可控性。第四章

1:身份认证:是证实用户的真实身份与其所声称的身份是否相符的过程。实现身份认证的技术主要包括基于口令的认证技术，基于密码学的认证技术和生物特征的认证技术。

2:数字证书:是一种权威性的电子文档。它提供了一种在Internet上验证您身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构----CA证书授权(Certificate Authority)中心发行的，人们可以在互联网交往中用它来识别对方的身份。当然在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。数字证书也必须具有唯一性和可靠性。它采用公钥体制。

3:重放攻击:指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。它是一种攻击类型，这种攻击会不断恶意或欺诈性地重复一个有效的数据传输，重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。攻击者利用网络监听或者其他方式盗取认证凭据，之后再把它重新发给认证服务器。

4:Kerberos:他的设计目标是通过对称密钥系统为客户机服务器应用程序提供强大的第三方认证服务。包括一个AS和一个票据授予服务器。AS负责签发访问TGS服务器的票据，TGS负责签发访问其他应用服务器的票据。

5:CA:是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。CA是证书的签发机构,它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。

6:PKI:是公钥基础设施，是一种遵循一定标准的密钥管理基础平台，它能够为所以网络应用提供加密和数字签名等密码服务所必须的密钥和证书管理。就是利用公钥理论和技术建立的提供安全服务的基础设施。

7:PKI的构成及每部分功能:认证机构CA(是PKI的核心执行机构，功能包括数字证书的申请注册，证书签发和管理)，证书库(是CA颁发证书和撤销证书的集中存放地，是网上的公共信息库，可提供公众进行开放式查询)，密钥备份及恢复(是密钥管理的主要内容)，证书撤销处理(撤销原CA证书，然后放入黑名单，用于公众核实证书的有效性)，PKI应用接口(使用者与PKI交互的唯一途径)。

8:RA服务器:主要面向业务受理操作员，负责登机，审核用户申请信息，包括注册申请和证书撤销申请，并将相关信息传给CA服务器和LDAP。第五章

1:访问控制:是针对越权使用资源的防御措施，从而使系统资源在合法范围内使用。主要包括:主体，客体和控制策略。

2:访问控制模型:自主访问控制，强制访问控制，基于角色的访问控制。3:自主访问控制:(DAC)是根据自主访问控制建立的一种模型，允许合法用户以用户或用户组的身份来访问控制策略许可的客体，同时阻止非授权用户访问客体。

4:强制访问控制:(MAC)是为了实现比DAC更为严峻的访问控制策略。它是一种多级访问控制策略，系统事先给访问主体和受控客体分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控客体的安全级别属性进行比较，再决定访问主体能否访问该受控客体。

5:基于角色的访问控制:(RBAC)实施面向企业安全策略的一种有效的访问控制方式。其基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。结构上有很多优势，更加灵活，方便和安全。6:访问控制的基本原则:最小特权原则，最小泄露原则，多级安全策略。

7:MAC和DAC的区别:MAC的授权形式相对简单，工作量较小，但根据其特点不适合访问控制规则比较复杂的系统。DAC支持用户自主地把自己所拥有的客体的访问权限授予其他用户，但当企业的组织结构或是系统的安全需求发生较大变化时，就需要进行大量繁琐的授权工作，这样容易发生错误造成一些意想不到的安全漏洞。

8:角色和组的区别:组是具有某些相同特质的用户集合，而一个角色是一个与特定工作活动想关联的行为与责任的集合，角色不是用户的集合，也就与组不同了。组和用户都可以看成是角色分配的单位和载体，而一个角色可以看成是具有某种能力或某些属性的主体的一个抽象。

9:访问令牌:访问令牌说简单了就是个访问权限的数据集合,令牌中包含用户所有的权限,校验令牌可以识别用户是否有权限访问他要访问的位置 第六章

1:蠕虫病毒:一种常见的计算机病毒。它是利用网络进行复制和传播，传染途径是通过网络和电子邮件。是自包含的程序(或是一套程序),它能传播它自身功能的拷贝或它的某些部分到其他的计算机系统中。

2:蠕虫病毒与传统病毒的区别:蠕虫具有病毒的共同特征，但与传统病毒有一定的区别。传统病毒是需要寄生的，通过感染其他文件进行传播。蠕虫病毒一般不需要寄生在宿主文件中。蠕虫病毒往往能够利用漏洞进行攻击和传播。蠕虫病毒具有传染性，他是通过在互联网环境下复制自身进行传播，它的传染目标是互联网内的所以计算机。

3:木马:是一种伪装潜伏的网络病毒。木马是具有隐藏性，传播性的，可被用来进行恶意行为的程序。它一般不会直接对计算机产生危害，主要以控制计算机为目的。它的传播方式主要通过电子邮件，被挂载木马的网页以及捆绑了木马程序的应用软件。4:病毒防治:检测，清除，预防，免疫。

5:拒绝服务攻击:是一种最悠久也是最常见的攻击形式，也称为业务否决攻击。严格说它不是一种具体的攻击方式，而是攻击所表现出来的结果最终使得目标系统因遭受某种程度的破坏而不能继续提供正常的服务。有两种攻击类型:一是利用网络协议的缺陷，通过发送一些非法数据包致使主机系统瘫痪。二是通过构造大量网络流量致使主机通信或网络堵塞，使系统或网络不能响应正常的服务。

6:Smurf攻击的原理:是以最初发动这种攻击的程序来命名的，这种攻击方法结合使用了IP地址欺骗和ICMP协议。它构造并发送源地址为受害主机地址，目的地址为广播地址的ICMP ECHO请求包，收到请求包的网络主机会同时响应并发送大量的信息给受害主机，致使受害主机崩溃。如果它攻击将回复地址设置成受害网络的广播地址，则网络中会充斥大量的ICMP ECHO响应包，导致网络阻塞。

7:嗅探攻击:也称为网络嗅探，是指利用计算机的网络接口截获目的地为其他计算机中的数据包的一种手段。黑客利用嗅探器获取网络传输中的重要数据。

8:IP欺骗:就是一台主机设备冒充另外一台主机的IP地址，与其他设备通信。主要是基于远程过程调用RPC的命令，这些命令仅仅根据信源IP地址进行用户身份确认，以便允许或拒绝用户RPC，获得远程主机的信任及访问特权。

9:DNS欺骗:DNS是一个可以将域名和IP地址相互映射的分布式数据库，DNS欺骗的目的是冒充域名服务器，把受害者要查询的域名对应的IP地址伪造成欺骗着希望的IP地址，这样受害者就只能看到攻击者希望的网站页面。有两种形式，即监听式主机欺骗和DNS服务器污染。

10:僵尸病毒:也称为僵尸程序，是通过特定协议的信道连接僵尸网络服务器的客户端程序，被安装了僵尸程序的机器称为僵尸主机，而僵尸网络是由这些受控的僵尸主机依据特定协议所组成的网络。

僵尸病毒的程序结构与木马程序基本一致，主要区别在于多数木马程序是被控制端连接的服务器端程序，而僵尸程序是向控制服务器发起连接的客户端程序。传播与木马相似，主要途径包括电子邮件，含有病毒的web网页，捆绑了僵尸程序的应用软件以及利用系统漏洞攻击加载等。

11:缓冲区溢出:是指当计算机向缓冲区内填充数据位数是超过了缓冲区本身的容量，溢出的数据覆盖了合法数据。它是一种非常普遍，非常危险的程序漏洞，在各种操作系统，应用软件中广泛存在。一般是由程序员写程序时的马虎所致。

12:网络钓鱼:是指攻击者通过伪造以假乱真的网站和发送诱惑受害者按攻击者意图执行某些操作的电子邮件等方法，使得受害者自愿交出重要信息的手段。第七章

1:防火墙:是一个软件和硬件设备组合而成的，在内部网络和外部网络之间构造的安全保护屏障，从而保护内部网络免受外部非法用户的侵入。是位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称。

2:防火墙的作用:网络流量过滤，网络监控审计，支持NAT部署，支持DMZ，支持VPN。3:包过滤防火墙:面向网络底层数据流进行审计和控管，因此其安全策略主要根据数据包头的源地址，目的地址，端口号和协议类型等标志来制定，可见其主要工作在网络层和传输层。4:VPN:虚拟专用网，它是通过一个公用网络建立一个临时的，安全的选择，也可以理解为一条穿过公用网络的安全，稳定的隧道。VPN的实现主要依赖于隧道技术(一种协议完成对另一种协议的数据报文封装，传输和解封三个过程)。

5:入侵检测系统:以数据源为标准分为主机入侵检测系统和网络型入侵检测系统。以检测技术分为基于误用检测的IDS和基于异常检测的IDS。

6:Snort系统:是一个开放源代码的轻量级网络入侵检测系统，高效稳定，在全世界范围内被广泛安装和使用，它遵循CIDF模型，使用误用检测的方法来识别发现违反系统的网络安全策略的网络行为。第八章

1:SSL:是一种用于保护客户端与服务器之间数据传输安全的加密协议，其目的是确保数据在网络传输过程中不被窃听及泄密，维护数据的完整性。SSL协议族是由四个协议组成的，分别是SSL记录协议，SSL握手协议，SSL转换密码规范协议和SSL报警协议。其中，SSL记录协议被定义为在传输层与应用层之间，其他协议为应用层协议。

2:HTTPS:是Web服务数据的主要传输规范。HTTPS是以安全为目标的HTTP通道，即在HTTP下加入SSL协议。

3:HTTPS的安全实现:他的思想很简单，就是客户端向服务器发送一个连接请求，然后双方协商一个SSL回话，并启动SSL连接，接着就可以在SSL的应用通道上传送HTTPS数据。4:SET:是国际上最早应用于电子商务的一种网络协议，它依据网络电子交易的特点，专门用于解决交易的安全问题。SET的六组件分别是持卡人，商家，发卡机构，清算机构，支付网关和认证中心。SET协议安全性主要依靠其采用的多种安全机制，包括对称密钥密码，公开密钥密码，数字签名，消息摘要，电子信封，数字证书以及双重签名等。5:CA证书:就是一份文档，它记录了用户的公开密钥和其他身份信息。第二章

1:密码学:包括密码编码学和密码分析学。一个完整的密码体制包括五个要素:M,C,K,E,D。M是可能明文的有限集，称为明文空间。S是可能密文的有限集，称为密文空间。K是一切可能密钥构成的有限集，称为密钥空间。E是加密算法。D是解密算法。密码学的目的就是发送者和接收者两个人在不安全的信道上进行通信，而破译者不能理解他们信道的内容。2:古典替换密码:它的加密方法一般是文字替换。使用手工或机械变换的方式实现基于文字替换的密码。主要包括单表代替密码，多表代替密码以及转轮密码等。

3:常见的密码分析攻击形式:唯密文攻击，已知明文攻击，选择明文攻击，自适应选择明文攻击，选择密文攻击，选择密钥攻击。

4:简单代替密码:是指将明文字母表M中的每个字母用密文字母表C中的相应字母来代替，包括移位密码，乘数密码，仿射密码。

5:多表代替密码:是以一系列代替表依次对明文消息的字母进行代替的加密方法。这类密码，对每个明文字母都采用不同的代替表进行加密，称作一次一密密码。经典的多表代替密码:维吉尼亚密码和轮转机等密码。

6:对称密钥密码:又称为单密钥密码，建立在通信双方共享密钥的基础上，是加密密钥和解密密钥为同一个密钥的密码系统。

7:DES算法:是一种对二进制数据进行分组加密的算法，它以64位为分组对数据加密，DES的密钥也是长度为64位的二进制数，其中有效位数为56位。

8:分组密码:是将明文消息编码表示后的数字（简称明文数字）序列，划分成长度为n的组（可看成长度为n的矢量），每组分别在密钥的控制下变换成等长的输出数字（简称密文数字）序列。

9:流密码:它是对称密码算法的一种。序列密码具有实现简单、便于硬件实施、加解密处理速度快、没有或只有有限的错误传播等特点，因此在实际应用中，特别是专用或机密机构中保持着优势，典型的应用领域包括无线通信、外交通信。

10:公开密钥密码:又称为非对称密钥密码或双密钥密码，是加密密钥和解密密钥为两个独立密钥的密码系统。

11:单向陷门函数:是有一个陷门的一类特殊单向函数。它首先是一个单向函数，在一个方向上易于计算而反方向却难于计算。但是，如果知道那个秘密陷门，则也能很容易在另一个方向计算这个函数。即已知x，易于计算f（x），而已知f（x），却难于计算x。然而，一旦给出f（x）和一些秘密信息y，就很容易计算x。在公开密钥密码中，计算f（x）相当于加密，陷门y相当于私有密钥，而利用陷门y求f（x）中的x则相当于解密

12:消息认证:作为信息安全的三个基本目标之一，信息完整性的目的是确保信息在存储，使用，传输过程中不会被非授权用户篡改或防止授权用户对信息进行不恰当的修改。违反安全规则的行为主要是:伪造，内容修改，顺序修改，时间修改，否认。

13:MAC:是一种重要的认证技术，基本思想是利用事先约定的密码，加密生成一个固定长度的短数据块MAC，并将MAC附加到消息后，一起发送给接收者，接收者使用相同密码对消息原文进行加密得到新的MAC，比较新的MAC和随消息一同发来的MAC，如果相同则未受到篡改。生成消息认证码的方法主要包括基于加密函数的认证码和消息摘要。(基于加密函数的认证码是指使用加密函数生成固定长度的认证码)14:消息摘要:是以单向散列计算为核心，将任意长度的消息全文作为单向散列函数的输入，进行散列计算，得到的被压缩到某一固定长度的散列值作为认证符。

15:散列函数:是把任意长的输入消息串变化成固定长的输出串的一种函数。这个输出串称为该消息的杂凑值。一般用于产生消息摘要，密钥加密等.作用是:文件校验，数字签名，鉴权协议。