CISP试题及答案-二套题

1、1. 中国信息安全测评中心对 CISP注册信息安全专业人员有保持认证要求，在证书有效期内,应完成至少6 次完整的信息安全服务经历，以下哪项不是信息安全服务：A、为政府单位信息系统进行安全方案设计日在信息安全公司从事保安工作C在公开场合宣讲安全知识D在学校讲解信息安全课程2. 确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其所用，是指（） ：A完整性日可用性C保密性D抗抵赖性3. 下列信息系统安全说法正确的是：A、加固所有的服务器和网络设备就可以保证网络的安全日只要资金允许就可以实现绝对的安全C断开所有的服务可以保证信息系统的安全D信息系统安全状态会随着业务的变化而变化

2、，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略开放系统互联安全体系构架中的安全服务分为鉴别服务、访问控制、机密性服务、完整服务、抗抵赖服务，其中机密性服务描述正确的是：A、包括原发方抗抵赖和接受方抗抵赖日包括连接机密性、无连接机密性、选择字段机密性和业务流保密C包括对等实体鉴别和数据源鉴别D包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性5. 电子商务交易必须具备抗抵赖性，目的在于防止_。A、一个实体假装另一个实体日参与此交易的一方否认曾经发生过此次交易C他人对数据进行非授权的修改、破坏D信息从被监视的通信过程中泄露出

3、去6. 下列哪一项准确地描述了可信计算基（TCB）A TCB只作用于固件（Firmware ）日TCB描述了一个系统提供的安全级别C TCB描述了一个系统内部的保护机制D TCB通过安全标签来表示数据的敏感性7. 下面关于访问控制模型的说法不正确的是：A DAC模型中主体对它所属的对象和运行的程序有全部的控制权B> DAC现提供了一个基于 “need-to-know ”的访问授权的方法， 默认拒绝任何人的访问。访问许可必须被显示地赋予访问者C在MAC种模型里，管理员管理访问控制。管理员制定策略，策略定义了哪个主体能访问哪个对象。但用户可以改变它。D、 RBAC 模型中管理员定义一系列角色

4、（roles ）并把它们赋予主体。系统进程和普通用户可能有不同的角色。设置对象为某个类型，主体具有相应的角色就可以访问它。8. 安全模型明确了安全策略所需的数据结构和技术，下列哪项最好描述了安全模型中的 “简单安全规则”A、 Biba 模型中的不允许向上写B、 Biba 模型中的不允许向下读C、 Bell-Lapadula 模型中的不允许向下写D、 Bell-Lapadula 模型中的不允许向上读9. 以下关于访问控制模型错误的是A、访问控制模型主要有 3种：自主访问控制、强制访问控制和基于角色的访问控制。日自主访问控制模型允许主体显示地制定其他主体对该主体所拥有的信息资源是否可以访问。C基于

5、角色的访问控制 RBAOK “角色”通常是根据行政级别来定义的。D强制访问控制 MAO “强加”给访问主体的，即系统强制主体服从访问控制政策10. 下面对于CC的“评估保证级” （EAL）的说法最准确的是：A、代表着不同的访问控制强度以描述了对抗安全威胁的能力级别C是信息技术产品或信息技术系统对安全行为和安全功能的不同要求D由一系列保证组件构成的包，可以代表预先定义的保证尺度11. 某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分A、 Bell-Lapadula 模型B、 Biba 模型C信息流模型D、

6、Clark-Wilson 模型12. 以下哪一项关于Bell-Lapadula 模型特点的描述是错误的A、强调对信息保密性的保护，受到对信息保密要求较高的军政机关和企业的喜爱 以 既定义了主体对客体的访问，也说明了主体对主体的访问。因此。它适用于网络系统C它是一种强制访问控制模型，与自主访问控制模型相比具有强耦合，集中式授权的特点D比起那些较新白模型而言，Bell-Lapadula定义的公理很简单，更易于理解，与所使用的实际系统具有直观的联系13. 下面对于基于角色的访问控制的说法错误的是A、它将若干特定的用户集合与权限联系在一起以角色一般可以按照部门、岗位、工程等与实际业务紧密相关的类别来划

7、分C因为角色的变动往往低于个体的变动，所以基于角色的访问控制维护起来比较便利D对于数据库系统的适应性不强，是其在实际使用中的主要弱点14. 下面哪类访问控制模型是基于安全标签实现的A自主访问控制日强制访问控制C基于规则的访问控制D基于身份的访问控制15. 根据PPDR莫型：A、一个信息系统的安全保障体系应当以人为核心、防护、检测和恢复组成一个完整的、动 态的循环日判断一个系统的安全保障能力，主要是安全策略的科学性与合理性，以及安全策略的落 实情况C如果安全防护时间小于检测时间加响应时间，则该系统一定是不安全的D如果一个系统的安全防护时间为0,则系统的安全性取决于暴露时间16. 有关密码学分支的

8、定义，下列说法中错误的是：A、 密码学是研究信息系统安全保密的科学，由两个相互对立、相互斗争、而且又相辅相成、相互渗透的分支科学所组成的、分别称为密码编码学和密码分析学日密码编码学是对密码体制、密码体制的输入输出关系进行分析、以便推出机密变量、包 括明文在内的敏感数据C密码分析学主要研究加密信息的破译或信息的伪造D密码编码学主要研究对信息进行编码，实现信息的隐藏17. 非对称密钥的密码技术具有很多优点，其中不包括：A、可提供数字签名、零知识证明等额外服务日 加密/解密速度快，不需占用较多资源C通信双方事先不需要通过保密信道交换密钥DK密钥持有量大大减少18. 下列哪一项最好地描述了哈希算法、数

9、字签名和对称密钥算法分别提供的功能A、身份鉴别和完整性，完整性，机密性和完整性以完整性，身份鉴别和完整性，机密性和可用性C完整性，身份鉴别和完整性，机密性D完整性和机密性，完整性，机密性19. 以下哪一项是基于一个大的整数很难分解成两个素数因数A、 ECCB、 RSAC、 DESD、 D-H 20、电子邮件的机密性与真实性是通过下列哪一项实现的A、用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密日用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密 C用接受者的私钥对消息进行签名，用发送者的公钥对消息进行加密 D用接受者的公钥对消息进行签名，用发送者的私钥对消息进行加密21、一

10、名攻击者试图通过暴力攻击来获取A加密密钥日加密算法C公钥DX密文22、在标准GBXXXX-X却对机房安全等级划分正确的是A划分为A B两级日划分为A B、C三级C划分为A B、C D四级DX划分为A B、C D E五级23、指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：A、你是什么B你有什么C你知道什么D你做了什么传输同步以及活动管理等24、在OSI 模型中，主要针对远程终端访问，任务包括会话管理、以下是哪一层A应用层以物理层C会话层D网络层25、下列哪个协议可以防止局域网的数据链路层的桥接环路A、 HSRPB、 STPC、 VRRPD、 OSPF26、以下哪个不是应用层防火墙的特点A、

11、更有效地阻止应用层攻击日 工彳在OSI模型的第七层C速度快且对用户透明DK比较容易进行审计27、以下哪项不是IDS可以解决的问题：A弥补网络协议的弱点日识别和报告对数据文件的改动C统计分析系统中异常活动模式D提升系统监控能力 28、私网地址用于配置本地网络、下列地址中属私网地址的是A、B、C、D、29、下面哪类设备常用于风险分析过程中，识别系统中存在的脆弱性A防火墙B、 IDSC漏洞扫描器D、 UTM30、 当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员不需查看：A访问控制列表日系统服务配置情况C审计记录D用户帐户和权限的设置31、 网络隔离

12、技术的目标是确保把有害的攻击隔离，在保证可信网络内部信息不外泄的前提下，完成网络间数据的安全交换，下列隔离技术中，安全性最好的是A多重安全网关以防火墙C VLAN隔离DX物理隔离32、在windowsXP 中用事件查看器查看日志文件，可看到的日志包括A、用户访问日志、安全性日志、系统日志和 IE日志B应用程序日志、安全性日志、系统日志和 IE日志C网络攻击日志、安全性日志、记账日志和 IE日志DX网络链接日志、安全性日志、服务日志和 IE日志33、 windows 操作系统的注册表运行命令是A、 regswr32B、 regeditC、D、34、以下windows 服务的说法错误的是A、为了提

13、升系统的安全性管理员应尽量关闭不需要的服务日可以作为独立的进程运行或以DLL的形式依附在C、 windows 服务只有在用户成功登陆系统后才能运行D、 windows 服务通常是以管理员的身份运行的35、 Linux 系统格式化分区用哪个命令：A、 fdiskB、 mvC、 mountD、 df36、下面一行是某个 UNIX文件的详情，关于该文件权限的描述不正确的是A这是一个目录，名称是“ file ”B文件属性是groupC、 “其他人”对该文件具有读、写、执行权限D、 user 的成员对此文件没有写权限37、LINUX系统的/etc目录从功能上看相当于windows的哪个目录A、 prog

14、ram filesB、 windowsC、 system volume informationD、 TEMP38、 如果想用windows 的网上邻居方式和linux 系统进行文件共享，那么在 linux 系统中要开启哪个服务：A、 DHCPB、 NFSC、 SAMBAD、 SSH39、 数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范性(denormanization )操作来提高数据库性能，这样做将增加下列哪项风险A、访问的不一致日死锁C对数据的非授权访问D数据完整性的损害40、下面关于IIS 报错信息含义的描述正确的是A、 401- 找不到文件B、 4

15、03- 禁止访问C、 404- 权限问题D、 500- 系统错误41、宏病毒是一种专门感染微软office 格式文件的病毒，下列()文件不可能感染该病毒。A、 *.exeB、 *.docC、 *.xlsD、 *.ppt42、以下对于蠕虫病毒的描述错误的是：A、蠕虫的传播无需用户操作日蠕虫会消耗内存或网络带宽，导致 DOSC蠕虫的传播需要通过“宿主”程序或文件D蠕虫程序一般由“传播模块”、“隐藏模块”、“目的功能模块”构成43、为了防止电子邮件中的恶意代码，应该由方式阅读电子邮件A纯文本日网页C程序DK会话44、以下哪一项不是流氓软件的特征A、通常通过诱骗或和其他软件捆绑在用户不知情的情况下安装

16、日 通常添加驱动保护使用户难以卸载C通常会启动无用的程序浪费计算机的资源D通常会显示下流的言论45、在典型的web 应用站点的层次结构中，“中间件”是在哪里运行的A浏览器客户端B、 web 服务器C应用服务器D数据库服务器46、 为了应对日益严重的垃圾邮件问题，人们设计和应用了各种垃圾邮件过滤机制，以下哪一项是耗费计算资源最多的一种垃圾邮件过滤机制A SMTPt份认证日逆向名字解析C黑名单过滤D内容过滤47、无论是哪一种 web服务器，都会受到 HTTP议本身安全问题的困扰，这样的信息系统 安全漏洞属于：A设计型漏洞日开发型漏洞C运行型漏洞D以上都不是48、基于攻击方式可以将黑客攻击分为主动攻

17、击和被动攻击，以下哪一项不属于主动攻击A中断日篡改C侦听D伪造49、关于黑客注入攻击说法错误的是：A、它的主要原因是程序对用户的输入缺乏过滤日一般情况下防火墙对它无法防范C对它进行防范时要关注操作系统的版本和安全补丁D注入成功后可以获取部分权限50、下面对于Rootkit 技术的解释不准确的是：A、 Rootkit 是攻击者用来隐藏自己和保留对系统的访问权限的一组工具B、 Rootkit 是一种危害大、传播范围广的蠕虫C、 Rootkit 和系统底层技术结合十分紧密D、 Rootkit 的工作机制是定位和修改系统的特定数据改变系统的正常操作流程51、以下对跨站脚本攻击（XSS的解释最准确的一项

18、是：A、引诱用户点击虚假网络链接的一种攻击方法以构造精妙的关系数据库的结构化查询语言对数据库进行非法的访问C 一种很强大的木马攻击手段D将恶意代码嵌入到用户浏览的WEM页中，从而达到恶意的目的52、以下哪一项是常见WEB占点脆弱性扫描工具：A、 AppScanB、 NmapC、 SnifferD、 LC53、下面哪一项是黑客用来实施DDO敛击的工具：A、 LC5B、 RootkitC、 IceswordD、 Trinoo 54、对于信息系统访问控制说法错误的是A、应该根据业务需求和安全要求置顶清晰地访问控制策略，并根据需要进行评审和改进 日网络访问控制是访问控制的重中之重，网络访问控制做好了操

19、作系统和应用层次的访问 控制问题就可以得到解决C做好访问控制工作不仅要对用户的访问活动进行严格管理，还要明确用户在访问控制中的有关责任D移动计算和远程工作技术在广泛应用给访问控制带来了新的问题，因此在访问控制工作 中要重点考虑对移动计算设备和远程工作用户的控制措施55、下面哪一项最好地描述了组织机构的安全策略A、定义了访问控制需求的总体指导方针日建议了如何符合标准C表明管理者意图的高层陈述D表明所使用的技术控制措施的高层陈述56、 资产管理是信息安全管理的重要内容，而清楚的识别信息系统相关的财产，并编制资产清单是资产管理的重要步骤。下面关于资产清单的说法错误的是：A、资产清单的编制是风险管理的

20、一个重要的先决条件日信息安全管理中所涉及的信息资产，即业务数据、合同协议、培训材料等C在制定资产清单的时候应根据资产的重要性、业务价值和安全分类，确定与资产重要性 相对应的保护级别D资产清单中应当包括将资产从灾难中恢复而需要的信息，如资产类型、格式、位置、备 份信息、许可信息等57、为什么一个公司内部的风险评估团队应该由来自不同部门的人员组成A、确保风险评估过程是公平的日因为风险正是由于这些来自不同部门的人员所引起的，因此他们应该承担风险评估的职 责C因为不同部门的人员对本部门所面临的风险最清楚，由此进行的风险评估也最接近于实 际情况D风险评估团队不应该由来自不同部门的人员组成，而应该由一个来

21、自公司外部的小型团队组成58、 信息分类是信息安全管理工作的重要环节，下面那一项不是对信息进行分类时需要重点考虑的A、信息的价值日信息的时效性C信息的存储方式DX法律法规的规定59、下面哪一项关于对违反安全规定的员工进行惩戒的说法是错误的A、对安全违规的发现和验证是进行惩戒的重要前提以惩戒措施的一个重要意义在于它的威慑性C出于公平，进行惩戒时不应考虑员工是否是初犯，是否接受过培训D尽管法律诉讼是一种严厉有效的惩戒手段，但使用它时一定要十分慎重60、风险分析的目标是达到：A、风险影响和保护性措施之间的价值平衡日风险影响和保护性措施之间的操作平衡C风险影响和保护性措施之间的技术平衡D风险影响和保护

22、性措施之间的逻辑平衡 61、以下对“信息安全风险”的描述正确的是A、是来自外部的威胁利用了系统自身存在脆弱性作用于资产形成风险日是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险C是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险D是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险62、在ISO27001-2005中，制定风险处置计划应该在PDCA勺哪个阶段进行A、 PlanB、 DoC、 CheckD、 Act63、在冗余磁盘陈列中，以下不具有容错技术的是A、 RAID 0B、 RAID 1C、 RAID 3D、 RAID 564、为了达到组织灾难恢复的要求，备

23、份时间间隔不能超过；A服务水平目标（SLO日恢复时间目标（RTO）C恢复点目标（RPO）DK停用的最大可接受程度 （MAO）65、以下对信息安全应急响应说法错误的是A明确处理安全事件的工作职责和工作流程是应急响应工作中非常重要的 日仅仅处理好紧急事件不是应急工作的的全部，通过信息安全事件进行总结和学习是很重要 C对安全事件的报告和对安全弱点的报告都是信息安全事件管理的重要内容D作为一个单位的信息安全主管，在安全事件中主要任务 完全是执法机构的事66、 目前数据大集中是我国重要的大型分布式信息系统建设和发展的趋势，数据大集中就是将数据集中存储和管理，为业务信息系统的运行搭建了统一的数据平台，对这

24、种做法的认识正确的是A.数据库系统庞大会提高管理成本B.数据库系统庞大会降低管理效率C.数据的集中会降低风险的可控性D. 数据的集中会造成风险的集中67、对程序源代码进行访问控制管理时，以下那种做法是错误的A.若有可能，在实际生产系统中不保留源程序库。B.对源程序库的访问进行严格的审计C.技术支持人员应可以不受限制的访问源程序D.对源程序库的拷贝应受到严格的控制规程的制约 68、以下对系统日志信息的操作中哪项是最不应当发生的A对日志内容进行编辑日只抽取部分条目进行保存和查看C用新的日志覆盖旧的日志D使用专用工具对日志进行分析69、以下哪一项是对信息系统经常不能满足用户需求的最好解释：A、没有适

25、当的质量管理工具日经常变化的用户需求C用户参与需求挖掘不够D项目管理能力不强70、 许多安全管理工作在信息系统生存周期中的运行维护阶段发生。以下哪一种行为通常是不是在这一阶段中发生的A进行系统备份日管理加密密钥C认可安全控制措施D升级安全软件71、在信息安全管理工作中“符合性”的含义不包括哪一项A对法律法规的符合日对安全策略和标准的符合C对用户预期服务效果的符合D通过审计措施来验证符合情况72、下面哪一项最准确的阐述了安全监测措施和安全审计措施之间的区别A、审计措施不能自动执行，而检测措施可以自动执行日监视措施不能自动执行，而审计措施可以自动执行C审计措施是一次性地或周期性地进行，而监测措施是

26、实时地进行D监测措施一次性地或周期性地进行，而审计措施是实时地进行73、口令是验证用户身份的最常用手段，以下哪一种口令的潜在风险影响范围最大A长期没有修改的口令日过短的口令C两个人公用的口令D设备供应商提供的默认口令74、系统工程是信息安全工程的基础学科，钱学森说：“系统工程时组织管理系统规划，研究、制造、实验，科学的管理方法，使一种对所有系统都具有普遍意义的科学方法，以下哪项对系统工程的理解是正确的A、系统工程是一种方法论日系统工程是一种技术实现C系统工程是一种基本理论D系统工程不以人参与系统为研究对象75、项目管理是信息安全工程的基本理论，以下哪项对项目管理的理解是正确的：A、项目管理的基

27、本要素是质量，进度和成本日项目管理的基本要素是范围，人力和沟通C项目管理是从项目的执行开始到项目结束的全过程进行计划、组织D项目管理是项目的管理者，在有限的资源约束下，运用系统的观点，方法和理论。对项 目涉及的技术工作进行有效地管理76、在信息系统的设计阶段必须做以下工作除了：A、决定使用哪些安全控制措施日 对设计方案的安全性进行评估C开发信息系统的运行维护手册D开发测试、验收和认可方案77、 进行信息安全管理体系的建设是一个涉及企业文化，信息系统特点，法律法规等多方面因素的负杂过程，人们在这样的过程中总结了许多经验，下面哪一项是最不值得赞同的A、成功的信息安全管理体系建设必须得到组织的高级管

28、理的直接支持日制定的信息安全管理措施应当与组织的文化环境相匹配C应t对ISO27002等国际标注批判地参考，不能完全照搬D借助有经验的大型国际咨询公司，往往可以提高管理体系的执行效78、 信息系统安全保障工程是一门跨学科的工程管理过程，他是基于对信息系统安全保障需求的发掘和对的理解，以经济，科学的方法来设计、开发、和建设信息系统，以便他能满足用户安全保障需求的科学和艺术。A安全风险日安全保障C安全技术D安全管理79、关于SSE-CMM勺描述错误的是：A、 1993 年 4 月美国国家安全局资助，有安全工业界，英国国防部办公室和加拿大通信安全机构共同组成SSE-CMMR目组。日SSE-CMM勺能

29、力级别分为6个级别。C SSE-CM解安全工程过程划分为三类：风险、工程和保证。D SSE的最高能力级别是量化控制80、下面对SSE-CM城法错误的是A、它通过域维和能力维共同形成对安全工程能力的评价日域维定义了工程能力的所有实施活动C能力维定义了工程能力的判断标注D、 “公共特征”是域维中对获得过程区目标的必要步骤的定义81在SSE-CM忡对工程过程能力的评价分为三个层次，由宏观到微观依次是A能力级别-公共特征（CF）-通用实践（GPB 能力级别- 通用实践-（ GP） -公共特征（CF）C 通用实践- （ GP） -能力级别-公共特征（CF）D公共特征（CF）-能力级别-通用实践-（GB、

30、82、 如果可以在组织范围定义文档化的标准过程，在所有的项目规划、执行和跟踪已定义的过程，并且可以很好地协调项目活动和组织活动，则组织的安全能力成熟度可以达到A规划跟踪定义以充分定义级C量化控制级D持续改进级83、 “配置管理”是系统工程的重要概念，他在软件工程和信息安全工程中得到广泛应用下面对“配置管理”解释最准确的是A、配置管理的本质是变更流程管理以配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发维护设备）所有变化进行控制的过程C配置管理是对信息系统的技术参数进行管理D管理配置是对系统基线和源代码的版本进行管理84、根据SSE-CMMU下哪项不是在安全工程过程中实施安全控制时需要

31、做的A、获得用户对安全需求的理解日建立安全控制的职责C管理安全控制的配置D进行针对安全控制的教育培训85、下面哪条不属于 SSE-CM忡能力级别3 "充分定义”级的基本内容：A改进组织能力日定义标准过程C协调安全实施D执行已定义的过程86、下面哪项不是工程实施阶段信息安全工程监理的主要目标A、明确工程实施计划、对于计划的调整必须合理、受控以促使工程中所适用的产品和服务符合承建合同及国家相关法律、法规和标准C促使业务单位与承建单位充分沟通，形成深化的安全需求D促使工程实施过程满足承建合同的要求，并与工程设计方案、工程计划相符87、在国家标准中，属于强制性标准的是：A、 GB/T XXX

32、X-X-200XB、 GB XXXX-200XC、 DBXX/T XXX-200XD、 QXXX-XXX-200X88、在何种情况下，一个组织应对公众和媒体公告其信息系统中发生的信息安全事件A、当信息安全事件的负面影响扩展到本组织意外时日只要发生了安全事件就应当公告C只有公众的什么财产安全受到巨大危害时才公告D当信息安全事件平息之后89、下面对ISO27001 的说法最准确的是：A、该标准的题目是信息安全管理体系实施指南以该标准为度量信息安全管理体系的开发和实施提供的一套标准C该标准提供了一组信息安全管理相关的控制和最佳实践D该标准为建立、实施、运行、监控、审核、维护和改进信息安全体系提供了一个模型90、ISO27002、ITIL和COBIT在IT管理内容上各有优势、但侧重点不同，其各自重点分别在于：A、 IT 安全控制、IT 过程管理和IT 控制和度量评价B、 IT 过程管理、IT 安全控制和IT 控制和度量评价C、 IT 控制和度量评价、IT 安全控制和IT 安全控制D、 IT 过程管理、IT 控制和度量评价、IT 安全控制91、以下对于IATF 信息安全保障技术框架的说法错误的是：A、它由美国国家安全局公开发布以它的核心思想是信息安全