2024年安防生产行业技能考试-注册信息安全专业人员笔试参考题库含答案

“人人文库”水印下载源文件后可一键去除，请放心下载！（图片大小可任意调节）2024年安防生产行业技能考试-注册信息安全专业人员笔试参考题库含答案“人人文库”水印下载源文件后可一键去除，请放心下载！第1卷一.参考题库(共75题)1.当对符合性进行测试时，以下哪种抽样方法是最有用的？（）A、属性抽样B、变量抽样C、分层单位均值抽样D、差异估计2.一家组织提出要建立无线局域网（WLAN）管理层要求IS审计师为WLAN推荐安全控制措施。以下哪项最适合的建议（）A、保证无线接入点的物理安全，以防篡改B、使用能明确识别组织的服务集标识符（SSID）C、使用有线等效加密（WEP）机制加密流量D、实施简单网络管理协议（SNMP）以允许主动监控3.2005年4月1日正式施行的《电子签名法》，被称为“中国首部真正意义上的信息化法律”，自此电子签名与传统手写签名和盖章具有同等的法律效力。以下关于电子签名说法错误的是（）A、电子签名——是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据B、电子签名适用于民事活动中的合同或者其他文件、单证等文书C、电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务D、电子签名制作数据用于电子签名时，属于电子签名人和电子认证服务提供者共有4.USB端口（）。A、连接网络，无需网卡B、连接具有以太网适配器的网络C、替换所有连接D、连接显示器5.信息安全风险评估是信息安全管理体系建立的基础，以下说法错误的是（）A、信息安全管理体系的建立需要确定信息安全需求，而信息安全需求获取的主要手段就是信息安全风险评估B、风险评估可以对信息资产进行鉴定和评估，然后对信息资产面对的各种威胁和脆弱性进行评估C、风险评估可以确定需要实施的具体安全控制措施D、风险评估的结果应进行相应的风险处置，本质上，风险处置的最佳集合就是信息安全管理体系的控制措施集合6.按照我国信息安全等级保护有关政策和标准，有些信息系统只需要自主定级，自主保护，按照要求向公安机关备案即可，可以不需要上级或主管部门来测评和检查，此类信息系统应属于：（）A、零级系统B、一级系统C、二级系统D、三级系统7.某IS审计人员参与了某应用开发项目并被指定帮助进行数据安全方面的设计工作。当该应用即将投入运行时，以下哪一项可以为公司资产的保护提供最合理的保证（）。 A、由内部审计人员进行一次审核B、由指定的IS审计人员进行一次审查C、由用户规定审核的深度和内容D、由另一个同等资历的IS审计人员进行一次独立的审查8.IPSEC密钥协商方式有（）A、一种，手工方式B、两种，手工方式，IKE自动协商C、一种，IKE自动协商D、两种，IKE自动协商，隧道协商9.以下哪些不属于敏感性标识？（）A、不干贴方式B、印章方式C、电子标签D、个人签名10.规范的实施流程和文档管理，是信息安全风险评估结能否取得成果的重要基础，某单位在实施风险评估时，按照规范形成了若干文档，其中，下面（）中的文档应属于风险评估中“风险要素识别”阶段输出的文档。A、《风险评估方案》，主要包括本次风险评估的目的、范围、目标、评估步骤、经费预算和进度安排等内容B、《风险评估方法和工具列表》，主要包括拟用的风险评估方法和测试评估工具等内容C、《风险评估准则要求》，主要包括风险评估参考标准、采用的风险分析方法、资产分类标准等内容D、《已有安全措施列表》，主要包括经检查确认后的已有技术和管理各方面安全措施等内容11.安全评估人员正为某个医疗机构的生产和测试环境进行评估。在访谈中，注意到生产数据被用于测试环境测试，这种情况下存在哪种最有可能的潜在风险？（）A、测试环境可能没有充足的控制确保数据的精确性B、测试环境可能由于使用生产数据而产生不精确的结果C、测试环境的硬件可能与生产环境的不同D、测试环境可能没有充分的访问控制以确保数据机密性12.当员工服务终止时，最重要的行动是？（）A、交出员工的所有文件到另一个指定雇员B、完成对员工的工作备份C、通知其他雇员他已经终止服务D、禁用该员工的逻辑访问13.信息安全保障技术框架（InformationAssuranceTechnicalFramework，IATF）由美国国家安全局（NSA）发布，最初目的是为保障美国政府和工业的信息基础设施安全提供技术指南，其中，提出需要防护的三类“焦点区域”是（）A、网络和基础设施区域边界重要服务器B、网络和基础设施区域边界计算环境C、网络机房环境网络接口计算环境D、网络机房环境网络接口重要服务器14.为保护语音lP(VoIP)基础设施免受拒绝服务(DoS)攻击，最重要的是保护:（）A、访问控制服务器B、会话边界控制器C、主干网关D、入侵检测系统（IDS）15.下面各种方法，哪个是制定灾难恢复策略必须最先评估的？（）A、所有的威胁可以被完全移除B、一个可以实现的成本效益，内置的复原C、恢复时间可以优化D、恢复成本可以最小化16.以下哪个是数据库管理员（DBA）可以行使的职责？（）A、计算机的操作B、应用程序开发C、系统容量规划D、应用程序维护17.以下哪项代表了在电子数据交换环境最大的潜在危险？（）A、交易授权B、损失或重复的电子数据交换传输C、传输延迟D、交易的删除或操作在应用控制的创立以后之前18.在控制应用程序维护时，下面哪一项最有效（）。A、通知用户变化的情况B、确定程序变化的优先权C、关于程序变更获得用户批准D、要求记录用户关于变化的说明19.下面对于cookie的说法错误的是：（）。A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息B、cookie可以存储一些敏感的用户信息，从而造成一定的安全风险C、通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗D、防范cookie欺骗的一个有效方法是不使用cookie验证方法，而使用session验证方法20.某IS审计师参与了优化IT基础设施的重建过程。下面哪一项最适合用于识别需要解决的问题？（）A、自我评估B、逆向工程C、原型设计D、差距分析21.数字签名应具有的性质不包括（）。A、能够验证签名者B、能够认证被签名消息C、能够保护被签名的数据机密性D、签名必须能够由第三方验证22.以下哪项提供了对平衡计分卡的最好的解释（）。A、被用于标杆到目标服务水平。B、被用于度量提供给客户的IT服务的效果。C、验证组织的战略和IT服务的匹配。D、度量帮助台职员的绩效。23.以下哪一项是常见WEB站点脆弱性扫描工具？（）A、AppScanB、NmapC、SnifferD、LC24.审计章程的主要目的是（）A、把组织需要的审计流程记录下来B、正式记录审计部门的行动计划C、为审计师制定职业行为规范D、描述审计部门的权力与责任25.在多供应商网络环境中共享数据，关键是实施程序到程序的通讯。考虑到程序到程序通讯的特点，可以在环境中实施，下面哪一个是实施和维护的困难（）。A、用户隔离B、远程存取控制C、透明的远程访问D、网络环境26.下列情况中的哪种将增加发生舞弊的可能性？（）A、应用程序员正实施生产程序的变更B、应用程序员正实施测试程序的变更C、操作支持人员正在运行批变更日程表D、数据库管理员正在变更数据结构27.一个IS审计师被分配去执行一项测试：比较计算机作业运行日志与作业计划表。下面哪一条是IS审计师最需要关注的？（）A、有越来越多的紧急变更B、存在某些作业没有按时完成的情况C、存在某些作业被计算机使用者否决的情况D、证据显示仅仅运行了预先计划的作业28.跨国公司的IS管理部门考虑更新公司现有的虚拟专用网络（VPN），以通过隧道支持IP语音（VOLP）通信。应首先考虑以下哪个注意事项？（）A、可靠性和服务质量（QOS）B、身份认证方法C、声音传输的隐私性D、数据传输的机密性29.IS审计师在审查IT设备的外包合同的时候，希望合同确定的是（）。A、硬件配置B、访问控制软件C、知识产权的所有权D、开发应用方法30.下面关于ISO27002的说法错误的是（）。A、ISO27002的前身是ISO17799-1B、ISO27002给出了通常意义的信息安全管理最佳实践供组织机构选用，但不是全部C、ISO27002对于每个控制措施的表述分“控制措施”、“实施指南”和“其它信息”三个部分来进行描述D、ISO27002提出了十一大类的安全管理措施，其中风险评估和处置是出于核心地位的一类安全措施31.使用闪存存储器（例如，USB可移动磁盘）时最大的安全问题是：（）A、内容极易丢失B、数据无法备份C、数据可被复制D、设备可能与其他外围设备不兼容32.在数字信封中，综合使用对称加密算法和公钥加密算法的主要原因是（）。A、混合使用两种加密方法可以增加破译者的难度，使其更加难以破译原文，从而保障信息的保密性B、综合考虑对称密钥算法的密钥分发难题和公钥算法加解密效率较低的难题而采取的一种折中做法C、两种加密算法的混用，可以提高加密的质量，这是我国密码政策所规定的要求D、数字信封综合采用这两种算法为的是为了防止收到信息的一方否认他收到了该信息，即抗接受方抵赖33.Individualaccountabilitydoesnotincludewhichofthefollowing?个人问责不包括下列哪一项？（）A、audittrails.审计跟踪B、policies&procedures.政策与程序C、uniqueidentifiers.唯一识别符D、accessrules.访问规则34.功能性是评估软件产品质量整个生命周期的一个特征，最好的描述作为一系列特征（）。A、存在一系列功能和特殊属性B、软件能力能够从一种环境转换到另一个C、软件能力在一定的条件下能够维持一定的性能D、在软件性能和所用资源的数量之间的关系35.下面哪一个为组织的灾难恢复计划准备就绪提供了最好的证据？（）A、灾难恢复计划B、提供备用站点的客户参考C、维护灾难恢复计划的程序D、测试和演练的结果36.IS审计师使用数据流程图是用来？（）A、定义数据层次B、标明高级别数据定义C、用图表概述数据路径和存储D、描绘写数据生成的详细步骤信息37.下列哪个确保在互联网上传送的信息的保密性？（）A、数字签名B、数字证书C、在线证书状态协议D、私钥密码系统38.分散式环境中，服务器失效带来的影响最小的是（）。A、冗余路由B、集群C、备用电话线D、备用电源39.IPSEC使用的认证算法是哪两种（）A、MD5、AESB、SHA-1、MD5C、3DES、MD5D、MD5、SHA-140.什么类型的软件应用测试被认为是测试的最后阶段，并且通常包括开发团队之外的用户？（）A、Alpha测试（Alpha测试由用户在开发者的场所进行，并且在开发者对用户的“指导”下进行测试）B、白盒测试（白盒测试也称结构测试或逻辑驱动测试，它是按照程序内部的结构测试程序，通过测试来检测产品内部动作是否按照设计规格说明书的规定正常运行，检验程序中的每条通路是否都能按预定要求正确工作。这一方法是把测试对象看做一个打开的盒子，测试人员依据程序内部逻辑结构相关信息，设计或选择测试用例，对程序所有逻辑路径进行测试，通过在不同点检查程序的状态，确定实际的状态是否与预期的状态一致）C、回归测试（回归测试是指修改了旧代码后，重新进行测试以确认修改没有引入新的错误或导致其他代码产生错误。自动回归测试将大幅降低系统测试、维护升级等阶段的成本）D、Beta测试（贝塔测试）41.当评估由某IT组织的CRO（首席风险官）完成的控制自我评估（CSA）时，审计师最应该关注以下哪一个选项：（）A、CRO直接向CIO（首席信息官）报告B、某些IT经理指出CSA培训是不能满足要求C、CRO直接向董事会报告D、CSA流程最近刚刚被组织采用42.执行一个Smurf攻击需要下列哪些组件？（）A、攻击者，受害者，放大网络B、攻击者，受害者，数据包碎片，放大网络C、攻击者，受害者，数据包碎片D、攻击者，受害者，带外数据43.从内存角度看，修复漏洞的安全补丁可以分为文件补丁和内存补丁，关于文件补丁理解错误的是：（）A、文件补丁又称为热补丁B、安装文件补丁时，应该停止运行原有软件C、文件补丁的优点是直接对待修补的文件进行修改，一步到位D、安装文件补丁前应该经过测试，确保能够正常运行44.IS审计师应该最关注下面哪一种情况（）。A、缺少对成功攻击网络的报告B、缺少对于入侵企图的通报政策C、缺少对于访问权限的定期审查D、没有通告公众有关入侵的情况45.以下不属于Linux安全加固的内容是什么？（）A、配置iptablesB、配置TcpwapperC、启用SelinuxD、修改root的UID46.以下哪一种加密算法或机制是绝对无法破解的（）。A、数据加密标准（DES）B、一次性乱码填充C、C.国际数据加密技术（IDED、RC2和RC447.为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，以下关于渗透测试过程的说法不正确的是（）A、由于在实际渗透测试过程中存在不可预知的风险，所以测试前要提醒用户进行系统和数据备份，以便出现问题时可以及时恢复系统和数据B、渗透测试从“逆向”的角度出发，测试软件系统的安全性，其价值在于可以测试软件在实际系统中运行时的安全状况C、渗透测试应当经过方案制定、信息收集、漏洞利用、完成渗透测试报告等步骤D、为了深入发掘该系统存在的安全威胁，应该在系统正常业务运行高峰期进行渗透测试48.审计中发现的证据表明，有一种欺诈舞弊行为与经理的帐号有关。经理把管理员分配给他的密码写在纸上后，存放在书桌抽屉里。IS审计师可以推测的结论是（）。A、经理助理有舞弊行为B、不能肯定无疑是谁做的C、肯定是经理进行舞弊D、系统管理员进行舞弊49.对磁介质的最有效好销毁方法是（）？A、格式化B、物理破坏C、消磁D、删除50.（）是目前国际通行的信息技术产品安全性评估标准？A、TCSECB、ITSECC、CCD、IATF51.企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的？（）A、只关注外来的威胁，忽视企业内部人员的问题B、相信来自陌生人的邮件，好奇打开邮件附件C、开着电脑离开，就像离开家却忘记关灯那样D、及时更新系统和安装系统和应用的补丁52.windows文件系统权限管理作用访问控制列表（AccessControlList.ACL）机制，以下哪个说法是错误的（）A、安装Windows系统时要确保文件格式使用的是NTFS，因为Windows的ACL机制需要NTFS文件格式的支持B、由于windows操作系统自身有大量的文件和目录，因此很难对每个文件和目录设置严格的访问权限，为了作用上的便利，Windows上的ACL存在默认设置安全性不高的问题C、windows的ACL机制中，文件和文件夹的权限是与主体进行关联的，即文件夹和文件的访问权限信息是写在用户数据库中D、由于ACL具有很好的灵活性，在实际使用中可以为每一个文件设定独立的用户的权限53.如果一个数据库采用前映像转存储数据，在中断发生后程序应该从哪开始（恢复）？（）A、最后一次交易之前B、最后一次交易之后C、最后一次检查点后的第一次交易D、最后一次检查点后的最后一次交易54.（）是目前国际通行的信息技术产品安全性评估标准？A、TCSECB、ITSECC、CCD、IATF55.选择恢复策略与方案时要考虑的因素（）。A、防范灾难的类型、灾备中心的距离B、数据完整性、处理性能C、投入的成本与灾难中断的损失D、以上所有56.定义ISMS范围时，下列哪项不是考虑的重点？（）A、组织现有的部门B、信息资产的数量与分布C、信息技术的应用区域D、IT人员数量57.关于不恰当的职责分离，审计师的主要责任是（）。A、确保恰当的职责分离的执行。B、为管理层提供不恰当的职责分离相关风险的建议。C、参与组织内角色和责任的定义以预防不恰当的职责分离。D、把违反恰当的职责分离的情况记录在案58.IS审计师在审查应用软件获取申请，应该确保（）。A、正在使用的操作系统符合现有的硬件平台B、计划的操作系统更新已经排定，并尽可能减少对公司需求的负面影响。C、操作系统是最新的版本并经过升级D、产品与当前或计划中的操作系统是符合的59.在制定控制前，管理层首先应该保证控制（）。A、满足控制一个风险问题的要求B、不减少生产力C、基于成本效益的分析D、检测行或改正性的60.下列哪些选项不属于NIDS的常见技术？（）A、协议分析B、零拷贝C、SYNCookieD、IP碎片从重组61.无论是哪一种web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息系统安全漏洞属于（）。A、设计型漏洞B、开发型漏洞C、运行型漏洞D、以上都不是62.用于监听和记录网络信息的网络诊断工具是（）A、在线监视器B、故障时间报告C、帮助平台报告D、协议分析仪63.有关信息安全事件的描述不正确的是（）。A、信息安全事件的处理应该分类、分级B、信息安全事件的数量可以反映企业的信息安全管控水平C、某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小D、信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生64.出现以下哪种情况，信息系统审计师最需要对第三方托管的云计算机进行审查：（）A、组织无权评估供应商网站的控制B、服务水平协议（SLA）没有规定供应商对于出现安全漏洞时的责任C、组织和供应商所在国家应用不同的法律和法规D、组织使用的浏览器旧版本存在安全风险65.以下哪一项是采用原型法作为系统开发方法学的主要缺点？（）A、用户对项目进度的期望可能过于乐观B、有效的变更控制和管理不可能实施C、用户参与日常项目管理可能过于广泛D、用户通常不具备足够的知识来帮助系统开发66.Whichisthelastlineofdefenseinaphysicalsecuritysense?下列哪一项是物理安全感知的最后一道防线？（）A、perimeterbarriers边界围墙67.如图所示，主体S对客体01有读（R）权限，对客体02有读（R）、写（）权限。该图所示的访问控制实现方法是（） A、访问控制表（ACL）B、访问控制矩阵C、能力表（CL）D、前缀表（Profiles）68.WEB服务器最好使用以下哪一种方式进行验证（）。A、安全套接字层协议（SSL）B、传输控制协议（TCP）C、网际协议（IP）D、超文本传输协议（HTTP）69.下图是某单位对其主网站的一天访问流量监测图，如果说该网站在当天17：00到20：00间受到了攻击，则从图中数据分析，这种攻击类型最可能属于下面什么攻击（）。 A、跨站脚本（CrossSiteScripting，XSS）攻击B、TCP会话劫持（TCPHijack）攻击C、IP欺骗攻击D、拒绝服务（DenialofService，DoS）攻击70.软件开发中的瀑布生命周期模型最适合用于的环境是？（）A、在系统拟运行的商业环境中，需求能被很好的理解并预期能保持稳定B、需求能被很好的理解同时项目时间紧C、项目打算应用面向对象的设计和开发技术D、项目将使用新技术71.下面哪一项不是通用IDS模型的组成部分（）A、传感器B、过滤器C、分析器D、管理器72.哪一个最能保证来自互联网internet的交易事务的保密性（）。A、数字签名B、数字加密标准（DES）C、虚拟专用网（VPN）D、公钥加密（PublicKeyencryption）73.ISO9000标准系列着重于以下哪一个方面？（）A、产品B、加工处理过程C、原材料D、生产厂家74.以下那一个角色一般不能对安全日志文件实施检查（）。A、安全管理员B、安全主管C、系统主管D、系统管理员75.Thetypicalcomputerfraudstersareusuallypersonswithwhichofthefollowingcharacteristics?典型的计算机诈骗者通常具有哪一项特性？（）A、Theyholdapositionoftrust他们具有被信任的职位B、Theyconspirewithothers他们有同谋C、Theyhavehadpreviouscontactwithlawenforcement他们早先与执法部门有过接触D、Theydeviatefromtheacceptednormsofsociety他们偏离社会可接受的规范第2卷一.参考题库(共75题)1.对称密钥加密的下列哪一方面因素会对非对称加密的发展起作用？（）A、处理能力B、数据量C、密钥分配D、算法的复杂度2.分布式拒绝服务（DDoS）攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力，一般来说，DDoS攻击的主要目的是破坏目标系统的（）A、保密性B、完整性C、可用性D、真实性3.某网站为了开发的便利，SA连接数据库，由于网站脚本中被发现存在SOL注入漏洞，导致攻击者利用内置存储过程xp_cmdshell删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则（）A、权限分离原则B、最小特权原则C、保护最薄弱环节的原则D、纵深防御的原则4.依据国家标准GB/T20274《信息系统安全保障评估框架》.在信息系统安全目标中，评估对象包括哪些内容？（）A、信息系统管理体系、技术体系、业务体系B、信息系统整体、信息系统安全管理、信息系统安全技术和信息系统安全工程C、信息系统安全管理、信息系统安全技术和信息系统安全工程D、信息系统组织机构、管理制度、资产5.当实施一应用软件包，以下哪项存在最大的风险？（）A、未控制的多个软件版本B、与目标代码不一致的源程序C、不正确的参数设置D、编程错误6.为了解决操作人员执行日常备份的失误，管理层要求系统管理员签字日常备份，这是一个风险（）例子。A、防止B、转移C、缓解D、接受7.在计划软件开发项目时，以下哪一项最难以确定（）。A、项目延迟时间B、项目的关键路线C、个人任务需要的时间和资源D、不包括动态活动的，在其他结束之前的关系8.CC中的评估保证级（EAL）分为（）级A、6级B、7级C、5级D、4级9.拒绝式服务攻击会影响信息系统的哪个特性？（）A、完整性B、可用性C、机密性D、可控性10.面向数据的系统开发11.下面哪一个applet入侵事件暴露了组织的最大风险（）。A、程序在客户机上引入病毒B、Applet记录了键盘操作和密码C、下载的代码读取客户机上的数据D、Applet开放了客户机连接12.风险评估不包括以下哪个活动（）A、中断引入风险的活动B、识别资产C、识别威胁D、分析风险13.建立ISMS的步骤正确的是（）？A、明确ISMS范围-确定ISMS策略-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）B、定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）-确定ISMS策略C、确定ISMS策略-明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）D、明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-确定ISMS策略-设计ISMS文件-进行管理者承诺（审批）14.信息系统审计师在一个客户/服务器环境下评审访问控制时，发现用户能接触所有打印选项，在这种情况下，信息系统审计师最可能归纳出（）。A、信息被非授权用户使用，信息泄漏很严重。B、任何人在任何时候都可以打印任何报告，运行效率得到提高。C、信息容易被使用，使工作方法更加有效。D、用户中信息流动通畅，促进了用户的友好性和灵活性。15.全面构建我国信息安全人才体系是国家政策、组织机构信息安全保障建设和信息安全有关人员自身职业发展三方面的共同要求，“加快信息安全人才培养，增强全民信息安全意识”的指导精神，是以下哪一个国家政策文件提出的？（）A、《国家信息化领导小组关于加强信息安全保障工作的意见》B、《信息安全等级保护管理办法》C、《中华人民共和国计算机信息系统安全保护条例》D、《关于加强政府信息系统安全和保密管理工作的通知》16.在实际应用中，下面哪种加密形式既安全又方便？（）A、选择性记录加密B、选择性字段加密C、数据表加密D、系统表加密17.令牌（Tokens），智能卡及生物检测设备同时用于识别和鉴别，依据的是以下哪个原则？（）A、多因素鉴别原则B、双因素鉴别原则C、强制性鉴别原则D、自主性鉴别原则18.制订基于风险的审计程序时，IS审计师最可能关注的是（）A、业务程序/流程B、关键的IT应用C、运营控制D、业务战略19.为满足预定义的标准，下面哪一种连续审计技术，对于查找要审计的事务是最佳的工具（）。A、系统控制审计检查文件和嵌入式审计模块（SCARF/EAM）B、持续和间歇性模拟（CIS）C、整体测试（ITF.D、审计钩（Audithooks）20.KerBeros算法是一个（）。A、面向访问的保护系统B、面向票据的保护系统C、面向列表的保护系统D、面向门与锁的保护系统21.依据国家标准《信息安全技术信息系统灾难恢复范围》（GB/T20988），灾难恢复管理过程的主要步骤是灾难恢复需求分析、灾难恢复策略制定、灾难恢复策略实现、灾难恢复预案制定和管理；其中灾难恢复策略实现不包括以下哪一项？（）A、分析业务功能B、选择和建设灾难备份中心C、实现灾备系统技术方案D、实现灾备系统技术支持和维护能力22.依据国家标准《信息安全技术信息系统灾难恢复规范》（GB/T20988），需要备用场地但不要求部署备用数据处理设备的是灾难恢复等级的第几级？（）A、2B、3C、4D、523.校园网内由于病毒攻击、非法入侵等原因，200台以内的用户主机不能正常工作，属于以下哪种级别事件？（）A、特别重大事件B、重大事件C、较大事件D、一般事件24.IS审计师审查对于应用程序的访问，以确定最近的10个"新用户"是否被争取的授权，这个例子是关于（）。A、变量抽芽B、实质性测试C、符合性测试D、停-走抽样.25.根据《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》的规定，以下正确的是（）A、涉密信息系统的风险评估应按照《信息安全等级保护管理办法》等国家有关保密规定和标准进行B、非涉密信息系统的风险评估应按照《非涉及国家秘密的信息系统分级保护管理办法》等有关要求进行C、可委托同一专业测评机构完成等级测评和风险评估工作，并形成等级测评报告和风险评估报告D、此通知不要求将“信息安全风险评估”作为电子政务项目验收的重要内容26.当信息系统审计师评估一个高可用性网络的恢复能力时，如发生下列情况应最为关注（）。A、设备在地理位置上分散B、网络服务器位于同一地点C、热站就绪可以被激活D、网络执行了不同行程27.开发一个风险管理程序时进行的第一项活动是（）A、威胁评估B、资料分类C、资产盘点D、并行模拟28.公司与外部咨询公司签署合同实施商业的金融系统以取代现有的内部开发的系统。在审查提出的开发目标时，应该最关注的是下面哪一项（）。A、由用户管理验收测试B、质量计划不是合同交付的一部分C、并非所有业务功能都将在初步实施时实现D、使用原型法保证系统满足业务需要29.时间流逝对停工成本和替换恢复策略成本有什么影响？（）A、两个成本增加B、停工成本增加，替代恢复策略的成本随时间的流逝而减少C、两个成本都随时间的流逝而减少D、没有影响30.Whichtunnelingprotocolcanbedescribedbythesecharacteristics:1)Handlesmultipleconnectionsatthesametime,2)Providessecureauthtenticationandencryption,3)SupportsonlyIPnetworks,4)UsedtobefocusedmostlyonLAN-to-LANcommunicationratherthandial-upprotocol,5)WorksatthenetworklayerandprovidessecurityontopofIP.以下选项中，那个隧道协议可以被描述为以下特点1.同一时间处理多个连接2.提供安全认证和加密3.仅支持IP网络4.主要用于局域网到局域网的通信5.工作在网络层以及提供IP安全（）A、HybridL2PPB、IPSecC、L2FD、L2TP31.信息系统审计师出具审计报告指出边界网关缺少防火墙保护，并推荐了一个外部产品来解决这一缺陷。信息系统审计师违反了（）。A、专业独立性B、组织独立性C、技术能力D、专业能力32.椭圆曲线密码方案是指（）。A、基于椭圆曲线上的大整数分解问题构建的密码方案B、通过椭圆曲线方程求解的困难性构建的密码方案C、基于椭圆曲线上有限域离散对数问题构建的密码方案D、通过寻找是单向陷门函数的椭圆曲线函数构建的密码方案33.以下哪一项是针对部件通讯故障/错误的控制（）。A、限制操作员访问和维护审计轨迹B、监视并评审系统工程活动C、配备网络冗余D、建立接触网络传输数据的物理屏障34.在信息系统审计时，对于需要收集的数据的程序是基于以下哪项而决定的？（）A、重要信息及需求信息的可用性B、审计师对环境的熟悉程度C、被审计机构找到相关证据的能力D、审计项目的目的和范围35.对信息安全事件的分级参考下列三个要素：信息系统的重要程度、系统损失和社会影响。依据信息系统的重要程度对信息系统进行划分，不属于正确划分级别的是（）。A、特别重要信息系统B、重要信息系统C、一般信息系统D、关键信息系统36.有关项目管理，错误的理解是：（）A、项目管理是一门关于项目资金、时间、人力等资源控制的管理科学B、项目管理是运用系统的观点、方法和理论，对项目涉及的全部工作进行有效地管理，不受项目资源的约束C、项目管理，包括对项目范围、时间成本、质量、人力、资源沟通、风险、采购、集成的管理D、项目管理是系统工程思想针对具体项目的实践应用37.下面哪一个短语能用来描述包含在一个应用程序中一系列指令中的恶意代码，例如一个字处理程序或表格制作软件？（）A、主引导区病毒B、宏病毒C、木马D、脚本病毒38.在审计一家专注于电子商务的企业时，信息系统经理表明当从客户获取信息时使用了数字签名。要证实此说法，信息系统审计师应证实以下哪项被应用？（）A、使用生物，数字，加密参数的客户公钥B、使用客户私钥加密并传输的哈希值C、使用客户公钥加密并传输的哈希值D、扫描的用户签名已使用客户公钥加密39.假脱机系统（外围同时联机操作）40.为确保业务应用能成功地的离岸开发，下面哪项是最好的？（）A、严格的履行合同管理B、详细并且正确使用的说明书C、有文化和政策差异的意识D、部署后再检查41.通常在网站数据库中，用户信息中的密码一项，是以哪种形式存在？（）A、明文形式存在B、服务器加密后的密文形式存在C、hash运算后的消息摘要值存在D、用户自己加密后的密文形式存在42.在对远程办公的安全规划中，应首先回答以下哪一个问题（）。A、什么数据是机密的B、员工需要访问哪些系统和数据C、需要何种访问方式D、系统和数据的敏感性如何43.IP欺骗（IPSpoof）是利用TCP/IP协议中（）的漏洞进行攻击的。A、对源IP地址的鉴别方式B、结束会话时的四次握手过程C、IP协议寻址机制D、TCP寻址机制44.下面对ISO27001的说法最准确的是（）。A、该标准的题目是信息安全管理体系实施指南B、该标准为度量信息安全管理体系的开发和实施提供的一套标准C、该标准提供了一组信息安全管理相关的控制和最佳实践D、该标准为建立、实施、运行、监控、审核、维护和改进信息安全体系提供了一个模型45.小李在某单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训。一次培训的时候，小李主要负责讲解风险评估方法。请问小李的所述论点中错误的是哪项（）。A、风险评估方法包括：定性风险分析、定量风险分析以及半定量风险分析B、定性风险分析需要凭借分析者的经验和直觉或者业界的标准和惯例，因此具有随意性C、定量风险分析试图在计算风险评估与成本效益分析期间收集的各个组成部分的具体数字值，因此更具客观性D、半定量风险分析技术主要指在风险分析过程中综合使用定性和定量风险分析技术对风险要素的赋值方式，实现对风险各要素的度量数值化46.生物测量系统的精确度指标是（）。A、系统响应时间B、注册时间C、输入文件的大小D、误接受率47.关于信息安全保障的概念，下面说法错误的是（）A、信息系统面临的风险和威胁是动态变化的，信息安全保障强调动态的安全理念B、信息安全保障已从单纯的保护和防御阶段发展为集保护、检测和响应为一体的综合阶段C、在全球互联互通的网络空间环境下，可单纯依靠技术措施来保障信息安全D、信息安全保障把信息安全从技术扩展到管理，通过技术、管理和工程等措施的综合融合，形成对信息、信息系统及业务使命的保障48.在进行业务持续审计的时候，审计师发现业务持续计划仅仅覆盖到了关键流程，那么审计师应该（）。A、建议业务持续计划涵盖所有业务流程B、评估未包含业务流程的影响C、将发现报告给IT经理D、重新定义关键流程49.私网地址用于配置本地网络，下面的地址中，属于私网的是（）。A、100B、C、D、50.下列不属于SQLServer2000中的数据库对象的是（）A、表B、表空间C、存储过程D、触发器51.下列有关救件问题生命周期模型状态定义的说法中，错误的是（）。A、"新建"表示测试中发现开报告了新的软件问题B、"打开"表示软件问题已经被确认并分配测试工程师处理C、"关闭"表示软件问题已被已被确认为无效的软件问题D、"解决"表示软件问题己被确认修复52.在Internet应用中使用applets，最可能的解释是：（）A、它由服务器通过网络传输B、服务器没有运行程序，输出也没有经过网络传输C、改进了web服务和网络的性能D、它是一个通过网络浏览器下载的JAVA程序，由客户机web服务器执行53.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知？（）A、系统管理员B、律师C、恢复协调员D、硬件和软件厂商54.在制定组织间的保密协议，以下哪一个不是需要考虑的内容？（）A、需要保护的信息B、协议期望持续时间C、合同双方的人员数量要求D、违反协议后采取的措施55.以下关于RBAC模型说法正确的是（）。A、该模型根据用户所担任的角色和安全级来决定用户在系统中的访问权限B、一个用户必须扮演并激活某种角色，才能对一个象进行访问或执行某种操作C、在该模型中，每个用户只能有一个角色D、在该模型中，权限与用户关联，用户与角色关联56.当进行程序变更测试时，以下哪一项是最好的进行抽样的总体列表？（）A、测试库清单B、源程序清单C、程序变更申请D、生产库清单57.以下哪一个是数据保护的最重要的目标？（）A、确定需要访问信息的人员B、确保信息的完整性C、拒绝或授权对系统的访问D、监控逻辑访问58.为了保护企业的知识产权和其它资产，当终止与员工的聘用关系时下面哪一项是最好的方法？（）A、进行离职谈话，让员工签署保密协议，禁止员工账号，更改密码B、进行离职谈话，禁止员工账号，更改密码C、让员工签署跨边界协议D、列出员工在解聘前需要注意的所有责任59.以下哪一个代表EDI环境中潜在的最大风险（）。A、交易授权B、遗失或重复EDI传输C、传输延迟D、在确定应用控制之前删除或操纵交易60.以下哪项可最大程度地保证消息真实性？（）A、哈希摘要根据要发送的消息计算得出B、哈希摘要使用发送者私钥进行加密C、哈希摘要和消息使用密钥进行加密D、发送者获取接受者公钥，并通过认证颁发机构来验证其数字认证的真实性61.下列针对windows主机安全说法最准确的是（）A、系统重新安装后最安全B、系统安装了防病毒和防火墙就安全了C、把管理员密码长度修改的比较复杂安全D、经过专业的安全服务人员根据业务系统的需要进行评估，然后根据评估结果进行安全加固后比较安全62.Kerberos协议是常用的集中访问控制协议，通过可信第三方的认证服务，减轻应用服务器的负担。Kerberos的运行环境由秘钥分发中心（KDC）、应用服务器和客户端三个部分组成。其中，KDC分为认证服务AS和票据授权服务TGS两部分。下图展示了Kerberos协议的三个阶段，分别为（1）kerberos获得服务许可票据，（2），kerberos获得服务，（3）kerberos获得票据许可票据。下列选项中，对这三个阶段的排序正确的是（） A、（1）→（2）→（3）B、（3）→（2）→（1）C、（2）→（1）→（3）D、（3）→（1）→（2）63.由于独立的信息系统增加，一个国有房产公司要求在发生重大故障后，必须保证能够继续提供IT服务。需要实施哪个流程才能提供这种保证性？（）A、可用性管理B、IT服务连续性管理C、服务级别管理D、服务管理64.下面哪一个情景属于身份鉴别（Authentication）过程？（）A、用户依照系统提示输入用户名和口令B、用户在网络上共享了自己编写的一份Office文档，并设定哪些用户可以阅读，哪些用户可以修改C、用户使用加密软件对自己编写的office文档进行加密，以阻止其他人得到这份拷贝后看到文档中的内容D、某个人尝试登录到你的计算机中，但是口令输入的不对，系统提示口令错误，并将这次失败的登录过程记录在系统日志中65.在linux系统中拥有最高级别权限的用户是：（）A、rootB、administratorC、mailD、nobody66.下列哪一项能保证发送者的真实性和e-mail的机密性？（）A、用发送者的私钥加密消息散列（hash），然后用接收者的公钥加密消息散列（hash）B、发送者对消息进行数字签名然后用发送者的私钥加密消息散列（hash）C、用发送者的私钥加密消息散列（hash），然后用接收者的公钥加密消息。D、用发送者的私钥加密消息，然后用接收者的公钥加密消息散列（hash）67.下列关于Kerberos的描述，哪一项是正确的？（）A、埃及神话中的有三个头的狗B、安全模型C、远程身份验证拨入用户服务器D、一个值得信赖的第三方认证协议68.以下哪项是CSA的目标（）。A、专注于高风险领域B、代替审计责任C、完善控制问卷D、协助推进交流69.以下哪一项对安全风险的描述是准确的（）。A、安全风险是指一种特定脆弱性利用一种或一组威胁造成组织的资产损失或损害的可能性B、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失事实C、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性D、安全风险是指资产的脆弱性被威胁利用的情形70.你来到服务器机房隔壁的一间办公室，发现窗户坏了。由于这不是你的办公室，你要求在这办公的员工请维修工来把窗户修好。你离开后，没有再过问这事。这件事的结果对与持定脆弱性相关的威胁真正出现