网络空间安全导论-西北工业大学中国大学mooc课后章节答案期末考试题库2023年

网络空间安全导论_西北工业大学中国大学mooc课后章节答案期末考试题库2023年以下不属于我国的信息安全保障基本原则是：

参考答案:

强化未来安全环境，增强研究、开发和教育以及投资先进的技术来构建将来的环境。

下列对于信息安全保障深度防御模型的说法错误的是：

参考答案:

信息安全技术方案：“从外而内、自下而上、形成边界到端的防护能力”。

DNS域名服务器体系中具有（）台根服务器，其中1台主根域名服务器放置在（）。

参考答案:

13，美国

什么事核心技术，可以从三方面把握：一是基础、通用技术；二是（）、杀手锏技术；三是前沿、（）技术。

参考答案:

非对称颠覆性

当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一道防线是下列哪一项？

参考答案:

入侵检测系统

以下哪一项对安全风险的描述是准确的？

参考答案:

安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性

以下哪种不属于脆弱性范畴？

参考答案:

黑客攻击

在信息系统安全中，风险由哪两种因素共同构成的？

参考答案:

威胁和脆弱性

以下信息安全原则，哪一项是错误的？

参考答案:

消除所有级别的信息安全风险

关于控制措施选择描述不正确的是：

参考答案:

只要控制措施有效，不管成本都应该首先选择

管理者何时可以根据风险分析结果对已识别风险不采取措施?

参考答案:

当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时

对于信息安全发展历史描述正确的是：

参考答案:

目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程和人员同样是促进系统安全性的重要因素

CA的核心职责是：

参考答案:

签发和管理证书

数字签名总是和散列函数联合使用，以下哪一条是最正确的描述？

参考答案:

数字签名应保护整个原始消息，散列函数能将原始消息转换成唯一的摘要，两者结合使用保护了消息的完整性和真实性

某用户通过账号、密码和验证码成功登录某银行的个人网银系统，此过程属于以下哪一类：

参考答案:

个人网银系统对用户身份的单向鉴别

关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？

参考答案:

对称加密算法更快，因为使用了替换密码和置换密码

数字签名不能提供下列哪种功能？

参考答案:

机密性

电子信封的机密性与真实性是通过下列哪一项实现的？

参考答案:

用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密

我国等级保护政策发展的正确顺序是：①等级保护相关政策文件颁布；②计算机系统安全保护等级划分思想提出；③等级保护相关标准发布；④网络安全法将等级保护制度作为基本策略；⑤等级保护工作试点；

参考答案:

②⑤①③④

不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。下列哪一种非对称加密算法因需要最少的资源而具有最高效率？

参考答案:

ECC

如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？

参考答案:

中间人攻击

一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？（1）接收者解密并获取会话密钥；（2）发送者请求接收者的公钥；（3）公钥从公钥目录中被发送出去；（4）发送者发送一个接收储的公钥密过的会话密钥；

参考答案:

2，3，4，1

对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络，下面哪一种是最安全和最经济的方法？

参考答案:

虚拟专用网

TCP/IP协议的4层概念模型是：

参考答案:

应用层、传输层、网络层和网络接口层

以下哪种访问控制策略需要安全标签？

参考答案:

强制访问控制策略

下面哪一个描术错误的？

参考答案:

TCP/IP协议本身具有安全特性

以下场景描述了基于角色的访问控制模型(RBAC)：根据组织的业务要求或管理要求，在业务系统中设置若干岗位、职位或分工，管理员负责将不同类别和级别的权限分别赋予承担不同工作职责的用户。关于RBAC模型，下列说法错误的是：

参考答案:

RBAC模型不能实现多级安全中的访问控制

Linux操作系统与WindowsNT、NetWare、UNIX等传统网络操作系统最大的区别是：

参考答案:

开放源代码

下面对于强制访问控制的说法错误的是?

参考答案:

在强制访问控制的系统中，用户只能定义客体的安全属性

下面对于标识和鉴别的解释最准确的是：

参考答案:

标识用于区别不同的用户，而鉴别用于验证用户身份的真实性

（）是事后认定违反安全规则行为的分析技术，是基于日志进行的。

参考答案:

审计

可信计算是指在计算运算的同时进行安全防护，计算全程（），不被干扰，只有这样方能使计算结果总是与预期一样，从而改变只讲求（），而不讲安全防护的片面计算模式

参考答案:

可测可控计算效率

网络化军事设施、云计算、大数据、工业控制、物联网等新型计算环境必须进行可信度量、识别和控制，确保体系结构可信、（）可信、操作行为可信、数据存储可信、和（）可信。

参考答案:

资源配置策略管理

在可信计算支撑下，将信息系统安全防护体系划分为（）、安全边界、（）三部分，从技术和管理两个方面进行安全设计，建立可信安全管理中心支持下的主动免疫三重防护框架。

参考答案:

安全计算环境安全通信网络

密码技术为可信计算平台实现三大功能：（）、平台身份可信和平台数据安全保护提供密码支持。

参考答案:

平台完整性度量与报告

基本信任基包括（）基本信任基模块和（）基本信任基模块两部分。

参考答案:

引导层内核层

1993年6月，在（）（英国、加拿大、法国、德国、荷兰、美国的国家安全局及国家标准与技术研究院）的合作下，形成了《（）》，简称CC。

参考答案:

六国七方信息技术安全通用评估准则##%_YZPRLFH_%##六国七方通用评估准则

强制性标准是国家通过（）的形式明确要求对于一些标准所规定的技术内容和要求必须执行，不允许以任何理由或方式加以违法、变更，包括强制性国家标准、（）标准和（）标准。

参考答案:

法律行业地方

国家标准中，属于强制性标准的是？

参考答案:

GBXXCK-200K

在通用准则（CC）中，是按照下列哪一类评测等级对产品进行评测的？

参考答案:

EAL

下列关于ISO15408信息技术安全评估准则(CC)通用性的特点，即给出通用的表达方式，描述不正确的是：

参考答案:

通用性的特点使得CC也适用于对信息安全建设工程实施的成熟度进行评估

以下关于安全标准的描述，那一项是正确的？

参考答案:

安全标准用来描述组织内安全策略如何实施的

工业控制系统是几种类型控制系统的总称，包括监控和数据采集系统、分布式控制系统、（），以及确保各组件的接口技术等，目的是确保工业基础设施自动化运行、业务流程的监控和管理等。

参考答案:

可编程逻辑控制器##%_YZPRLFH_%##PLC

M2M通过实现（）、（）、（）的通信，让机器、设备和应用与后台信息系统共享信息，对设备和资产实现有效地监督和管理。

参考答案:

人与人人与机器机器与机器

（）是一种用来感知环境参数的检测装置，如声、光、电、热等信息，并能将检测到的信息按一定规律编程（）或所需形式输出，以满足信息的传输、处理、存储和控制等要求。

参考答案:

传感器电信号

云计算的一个核心理念就是通过不断提高云的处理能力，进而减少用户终端的（），最终使用户终端简化成一个单纯的（），并能按需享受“云”的强大计算处理能力。

参考答案:

处理负担输入输出

云计算是通过网络访问可扩展的、灵活的物理或虚拟（），并按需自助获取和管理资源的模式。

参考答案:

共享资源池

《关于信息安全等级保护的实施意见》中信息和信息系统安全保护等级的第三级的定义是：

参考答案:

监督保护级

为推动和规范我国信息安全等级保护工作，我国制定和发布了信息安全等级保护工作所需要的一系列标准，这些标准可以按照等级保护工作的工作阶段大致分类。下面四个标准中，()提出和规定了不同安全保护等级信息系统的最低保护要求，并按照技术和管理两个方面提出了相关基本安全要求。

参考答案:

GB/T22240-2008《信息系统安全保护等级定级指南》

管理层应该表现对（）、程序和控制措施的支持，并以身作则。管理职责要确保雇员和承包方人员都了解其（）角色和职责，并遵守相应的条款和条件。组织要建立信息安全意识计划，并定期组织信息安全（）。组织要建立正式的（），确保正确和公平的对待被怀疑安全违规的成员。纪律处理过程要规定（），考虑例如违规的性质、重要性及对于业务的影响等因素，以及相关法律、业务合同和其他因素。

参考答案:

信息安全政策；信息安全；教育和培训；纪律处理过程；分级的响应

最早提及等级保护的法规是1994年国务院颁布的《（）》，其中明确要求“计算机信息系统实行安全等级保护”。

参考答案:

中华人民共和国计算机信息系统安全保护条例

以下对于蠕虫病毒的错误说法是：

参考答案:

蠕虫病毒的主要危害体现在对数据保密的破坏

黑客进行攻击的最后一个步骤是：

参考答案:

扫战场、清除证据

特洛伊木马攻击的危胁类型属于：

参考答案:

植入威胁

我国信息安全事件分级分为以下哪些级别？

参考答案:

特别重大事件-重大事件-较大事件-一般事件

建立应急响应计划最重要的是：

参考答案:

管理层的支持

应急响应计划应该多久测试一次？

参考答案:

当组织内业务发生重大的变更时

以下哪项描述是错误的？

参考答案:

应急响应必须完全依照应急响应计划执行

企业信息安全事件的恢复过程中，以下哪个是最关键的？

参考答案:

数据

有关信息安全事件的描述不正确的是？

参考答案:

某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小

判断威胁（）是威胁幅值的基本内容，评估者应根据经验和有关统计数据来进行判断。

参考答案:

出现的频率

除业务需求外，有关政策、法规和（）也对信息系统的开发和运行构成约束，这往往成为信息系统必须遵循的强制条件。

参考答案:

标准

进行信息安全管理体系的建设是一个涉及企业文化，信息系统特点、法律法规限制等多方面因素的复杂过程，人们在这样的过程中总结了许多经验，下面哪一项是最不值得被赞同的?

参考答案:

应该对IS027002国际标准批判的参考，不能完全照搬

资产清单可包括：

参考答案:

以上所有

有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是：

参考答案:

信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理

企业信息资产的管理和控制的描述不正确的是：

参考答案:

企业的信息资产不应该分类分级，所有的信息系统要统一对待

以下对企业信息安全活动的组织描述不正确的是：

参考答案:

企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施

风险分析的目的是？

参考答案:

在实施保护所需的成本与风险可能造成的影响之间进行经济平衡

风险评估的过程中，首先要识别信息资产。以下哪个不是资产识别时需要遵循的原则？

参考答案:

所有公司资产都要识别

以下对信息安全管理的描述错误的是：

参考答案:

增值性

由于病毒攻击、非法入侵等原因，校园网部分楼宇出现网络瘫痪，或者FTP及部分网站服务器不能响应用户请求，属于以下哪种级别事件？

参考答案:

较大事件

工业控制系统是几种类型控制系统的总称，包括（）系统、（）系统、（），以及确保各组件的接口技术等，目的是确保工业基础设施自动化运行、业务流程的监控和管理等。

参考答案:

监控和数据采集分布式控制可编程逻辑控制器##%_YZPRLFH_%##SCADADCSPLC

从技术架构上看，物联网可分为三层：（）层、（）层和（）层。

参考答案:

感知网络应用

根据云计算服务提供的资源类型不同，云计算的服务模式主要可分为三类：（）即服务、（）即服务、（）即服务。

参考答案:

基础设施平台软件

信息系统应与信息化工程同步（）、同步（）、同步（）。

参考答案:

设计施工投入使用

信息系统设计越（），可被攻击者利用的漏洞可能就越（），其管理的成本也越（）。

参考答案:

复杂多高

网络安全等级保护对象主要包括：（）、信息系统、大数据、（）、物联网、（）等。

参考答案:

网络基础设施云计算平台工控系统

（）是负责TSB可信策略制定、下发、维护和存储等的统一管理平台。

参考答案:

可信策略管理中心

密码技术为可信计算平台实现三大功能：（）、（）和（）提供密码支持。

参考答案:

平台完整性度量与报告平台身份可信平台数据安全保护

软件层面的基于运算和防护并存的双系统即（）和（）。

参考答案:

宿主基础软件可信软件基##%_YZPRLFH_%##宿主基础软件TSB

中国联合上合组织成员国积极行动，先后于2011年和2015年两次向联合国提交了《（）》草案，成为网络空间国际规则制定进程中的重要事件，引起了国际社会的广泛关注。

参考答案:

信息安全国际行为准则

以下对于标准化特点的描述哪项是错误的？

参考答案:

标准化必须是静态的，相对科技的进步和社会的发展不能发现变化

以下行为不属于违反国家保密规定的行为？

参考答案:

以不正当手段获取商业秘密

可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别？

参考答案:

B1

下面对于CC的“保护轮廓”(PP)的说法最准确的是

参考答案:

对一类TOE的安全需求，进行与技术实现无关的描述

以下哪个标准是ISO27001的前身标准？

参考答案:

BS7799

下列哪一个是国家推荐标准？

参考答案:

GB/T18020-1999

程序设计和编码的问题引入的风险为

参考答案:

缓冲区溢出

一个公司解雇了一个数据库管理员,并且解雇时立刻取消了数据库管理员对公司所有系统的访问权,但是数据管理员威胁说数据库在两个月内将被删除，除非公司付他一大笔钱。数据管理员最有可能采用下面哪种手段删除数据库？

参考答案:

逻辑炸弹攻击

我国信息安全事件分级不考虑下列哪一个要素？

参考答案:

业务损失

如果可能最应该得到第一个应急事件通知的小组是

参考答案:

应急响应日常运行小组

应急响应哪一个阶段用来降低事件再次发生的风险？

参考答案:

跟踪

.如果你作为甲方负责监管一个信息安全工程项目的实施，当乙方提出一项工程变更时你最应当关注的是

参考答案:

变更的原因和造成的影响

资产清单可包括

参考答案:

以上所有

有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是

参考答案:

信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理

企业信息资产的管理和控制的描述不正确的是

参考答案:

企业的信息资产不应该分类分级，所有的信息系统要统一对待

以下对信息安全管理的描述错误的是

参考答案:

信息安全管理工作的重点是信息系统，而不是人

我国等级保护政策发展的正确顺序是（）①等级保护相关政策文件颁布②计算机系统安全保护等级划分思想提出③等级保护相关标准发布④网络安全法将等级保护制度作为基本政策⑤等级保护工作试点

参考答案:

②⑤①③④

你是单位安全主管，由于微软刚发布了数个系统漏洞补丁，安全运维人员给出了针对此漏洞修补的四个建议方案，请选择其中一个最优先方案执行。

参考答案:

对于重要的服务，应在测试环境中安装并确认补丁兼容性问题后再正式生产环境中部署

以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息网络和重要信息系统的安全。

参考答案:

信息安全等级保护

安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的？

参考答案:

及时阻断违反安全策略的访问

在ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务?

参考答案:

数字签名

以下场景描述了基于角色的访问控制模型(RBAC)：根据组织的业务要求或管理要求，在业务系统中设置若干岗位、职位或分工，管理员负责将不同类别和级别的权限分别赋予承担不同工作职责的用户。关于RBAC模型，下列说法错误的是

参考答案:

RBAC模型不能实现多级安全中的访问控制

以下哪一个不是OSI安全体系结构中的安全机制？

参考答案:

抗抵赖

下列哪个选项是描述*-完整性公理的？

参考答案:

Biba模型中不能向上写

BLP模型基于两种规则来保障数据的机秘度与敏感度，它们是

参考答案:

下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级别低于它的数据

终端的电磁泄露风险可以

参考答案:

被捕获并还原

拒绝式服务攻击会影响信息系统的哪个特性？

参考答案:

可用性

一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？（1）接收者解密并获取会话密钥（2）发送者请求接收者的公钥（3）公钥从公钥目录中被发送出去（4）发送者发送一个接收储的公钥密过的会话密钥

参考答案:

2，3，4，1

下面关于密码算法的说法错误的是?

参考答案:

DES算法采用的是流密码

一名安全顾问在分析DLP（数字防泄漏系统）产品的加密技术前，在密码学认识上以下哪条是错误的？

参考答案:

当前流行公钥密码技术，DLP应选择公钥算法

下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为？

参考答案:

引用监视器

指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例？

参考答案:

你是什么

2008年1月2日，美目发布第54号总统令，建立国家网络安全综合计划CNCI。CNCI计划建立三道防线：第一道防线，减少漏洞和隐患，预防入侵；第二道防线，全面应对各类威胁；第三道防线，强化未来安全环境。从以上内容，我们可以看出以下哪种分析是正确的：

参考答案:

CNCI是以风险为核心，三道防线首要的任务是降低其网络所面临的风险

20世纪70－90年代，信息安全所面临的威胁主要是非法访问、恶意代码和脆弱口令等，请问这是信息安全发展的什么阶段？

参考答案:

计算机安全

风险分析的目的是

参考答案:

在实施保护所需的成本与风险可能造成的影响之间进行经济平衡

以下哪一项是已经被确认了的具有一定合理性的风险？

参考答案:

可接受风险

对信息安全的理解，正确的是

参考答案:

信息资产的保密性、完整性和可用性不受损害的能力，是通过信息安全保障措施实现的

信息化建设和信息安全建设的关系应当是

参考答案:

信息化建设和信息安全建设应同步规划、同步实施

进入21世纪以来，信息安全成为世界各国安全战略关注的重点，纷纷制定并颁布网络空间安全战略，但各国历史、国情和文化不同，网络空间安全战略的内容也各不相同.以下说法不正确的是

参考答案:

美国尚未设立中央政府级的专门机构处理网络信息安全问题，信息安全管理职能由不同政府部门的多个机构共同承担

以下哪项不属于造成信息安全问题的自然环境因素？

参考答案:

纵火

以下对于标准化特点的描述哪项是错误的?

参考答案:

标准化必须是静态的，相对科技的进步和社会的发展不能发现变化

信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是：

参考答案:

ISMS应该是一步到位的，应该解决所有的信息安全问题

对于信息安全风险的描述不正确的是？

参考答案:

企业信息安全风险管理就是要做到零风险

对安全策略的描述不正确的是：

参考答案:

安全策略一旦建立和发布，则不可变更

引用监视器需要一个有效的验证机制，应当是独立的、（）的和被设计的足够小。

参考答案:

不可旁路

以下哪组全部是完整性模型？

参考答案:

BIBA模型和Clark－Wilson模型

信息安全标准化工作是我国信息安全保障工作的重要组成部分之一，也是政府进行宏观管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一。关于我国信息安全标准化工作，下面选项中描述错误的是：

参考答案:

因事关国家安全利益，信息安全因此不能和国际标准相同，而是要通过本国组织和专家制订标准，切实有效地保护国家利益和安全

信息安全评估保障分为七级，其中描述不正确的是：

参考答案:

EAL4半形式化设计和测试级

下面对于CC的“保护轮廓”的说法最准确的是：

参考答案:

对一类TOE的安全需求，进行与技术实现无关的描述

下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间的关系？

参考答案:

威胁利用脆弱性并产生影响的可能性称为风险，暴露是威胁已造成损害的实例

在一个安全操作系统中，与安全相关的部分的全体被定义为（）。它是由计算机系统中所有安全保护机制构成的。

参考答案:

可信计算基##%_YZPRLFH_%##TCB

一名攻击者试图通过暴力攻击来获取下列哪一项信息？

参考答案:

加密密钥

纵观以往发生的典型安全事件，工控系统面临着来自（）、人为错误或疏忽大意、设备故障、病毒等恶意软件，以及（）等安全风险。

参考答案:

自然环境敌对威胁

根据云计算服务范围的不同，可以分为（）云、（）云、（）云和混合云4中部署模式。

参考答案:

私有公有社区

等级测评的实施过程由（）和（）两部分组成。

参考答案:

单元测评整体测评

方法指导类标准主要包括GB/T25058-2010《信息安全技术信息系统安全等级保护实施指南》GB/T25070-2010《信息系统等级保护安全设计技术要求》等。其中《等级保护实施指南》原以（）政策文件方式发布，后修改后以标准发布。这些标准主要对如何开展（）做了详细规定。状况分析类标准主要包括GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》和GB/T28449-2012《信息安全技术信息系统安全等级保护测评过程指南》等。其中在（）工作期间还发布过《等级保护测评准则》等文件，后经过修改以《等级保护测评要求》发布。这些标准主要对如何开展（）工作做出了（）。

参考答案:

公安部；等级保护工作；等级保护试点；等级保护测评；详细规定

根据《信息安全等级保护管理办法》、《关于开展信息安全等级保护测评体系建设试点工作的通知》（公信安【2009】812号）、《关于推动信息安全等级保护（）建设和开展（）工作的通知》（公信安【2010】303号）等文件，由公安部（）对等级保护测评机构管理，接受测评机构的申请、考核和定期（），对不具备能力的测评机构则（）。

参考答案:

测评体系，等级测评，等级保护评估中心，能力验证，取消授权

网络安全协议普遍使用公钥密码技术和对称密码技术，这么设计的一般原理是以下哪一条？

参考答案:

公钥和对称密码的结合，一方面利用公钥便于密钥分配、保护数据完整性的优点，另一方面利用对称密钥加密强、速度快的优点

Alice用Bob的密钥加密明文，将密文发送给Bob。Bob再用自己的私钥解密，恢复出明文针对这一过程，以下说法正确的是：

参考答案:

此密码体制为公钥密码体制

网络安全等级保护对象主要包括：（）、信息系统、大数据、云计算平台、物联网、（）等。

参考答案:

网络基础设施工控系统

以下哪项不是数字签名的作用？

参考答案:

可验证接收者合法性

组织的灾难恢复计划应该：

参考答案:

减少恢复时间，降低恢复费用

事件响应六个阶段定义了安全事件处理的流程，这个流程的顺序是：

参考答案:

准备－确认－遏制－恢复－根除－跟踪

以下对信息安全描述不正确的是：

参考答案:

信息安全就是不出安全事故/事件

下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的：

参考答案:

病毒库及时更新

如果可能最应该得到第一个应急事件通知的小组是：

参考答案:

应急响应日常运行小组

网络空间安全威胁与（）安全、经济安全、（）安全、社会安全、军事安全等领域相互交融、相互影响，已称为当期面临的最复杂、最现实、最严峻的非传统安全问题之一。

参考答案:

政治文化

以下不属于信息的存在及传播方式的是：

参考答案:

通过投影仪显示

（）就是从风险管理的角度，运用科学的方法和手段，系统地分析信息系统所面临的的威胁及其存在的脆弱性，评估（）一旦发生可能造成的危害程度，提出有针对性的、抵御威胁的防护对策和整改措施，为防范和化解网络安全风险，将风险控制在可接受的水平，从而为最大限度地保障网络安全提供科学依据。

参考答案:

网络安全风险评估安全事件

下面哪一项最好地描述了风险分析的目的？

参考答案:

识别资产、脆弱性并计算潜在的风险

信息化建设和信息安全建设的关系应当是：

参考答案:

信息化建设和信息安全建设应同步规划、同步实施

所有进入物理安全区域的人员都需经过：

参考答案:

授权

BLP模型基于两种规则来保障数据的机秘度与敏感度，它们是：

参考答案:

下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级别低于它的数据

下面哪个功能属于操作系统中的安全功能？

参考答案:

保护系统程序和作业，禁止不合要求的对程序和数据的访问

进入21世纪以来，信息安全成为世界各国安全战略关注的重点，纷纷制定并颁布网络空间安全战略，但各国历史、国情和文化不同，网络空间安全战略的内容也各不相同。以下说法不正确的是：

参考答案:

美国尚未设立中央政府级的专门机构处理网络信息安全问题，信息安全管理职能由不同政府部门的多个机构共同承担

DDoS攻击的主要目的是：

参考答案:

破坏可用性

下列哪项是多级安全策略的必要组成部分？

参考答案:

主体的安全凭证、客体的安全标签和强制访问控制

所谓（），是指对某个客体具有拥有权的主体能够将对该客体的访问权自主地授予其他主体，并在随后的任何时刻收回权限。

参考答案:

自主访问控制

法是由一定社会（）条件所决定的，由国家制定和认可的，并由（）保证实施的具有普遍约束力的行为规范的总和。

参考答案:

物质生活国家强制力

以下哪些是可能存在的威胁因素？

参考答案:

病毒和蠕虫

对信息安全的理解，正确的是：

参考答案:

信息资产的保密性、完整性和可用性不受损害的能力，是通过信息安全保障措施实现的

CC中的评估保证级4级（EAL3）对应TCSEC和ITSEC的哪个级别？

参考答案:

"对应TCSECC2级，对应ITSECE2级"

下面哪一个不是脆弱性识别的手段？

参考答案:

信息资产核查

如果你作为甲方负责监管一个信息安全工程项目的实施，当乙方提出一项工程变更时你最应当关注的是：

参考答案:

变更的原因和造成的影响

信息系统生命周期包括5个阶段，即规划、设计、实施、运维和废弃。在每个阶段完成时，都需要对该阶段的（）进行评估。

参考答案:

有效性

系统集成所要达到的目标是实现整体性能最优，即所有组件整合在一起后不但能够工作，而且全系统的性价比最高，系统具有充分的（）和（）。

参考答案:

可扩充性可维护性

在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性；以下哪一层提供了保密性、身份鉴别、数据完整性服务?

参考答案:

网络层

下面对自主访问控制（DAC）描述正确的是：

参考答案:

在商业环境中广泛使用

终端的电磁泄露风险可以：

参考答案:

被捕获并还原

在数据中心使用稳压电源，以保证：

参考答案:

硬件免受电源浪涌

风险分析的目的是：

参考答案:

在实施保护所需的成本与风险可能造成的影响之间进行经济平衡

物联网就是把所有物品通过（）等信息传感设备与互联网连接起来，形成的一个巨大网络，其目的是实现智能化识别、管理和控制。

参考答案:

射频识别

软件层面的基于运算和防护并存的双系统即（）和可信软件基。

参考答案:

宿主基础软件

某公司已有漏洞扫描和入侵检测系统(IDS)产品，需要购买防火墙，以下做法应当优先考虑的是：

参考答案:

选购一款同已有安全产品联动的防火墙

以下有关访问控制的描述不正确的是？

参考答案:

双因子认证（又称强认证）就是一个系统需要两道密码才能进入

下列哪一项最准确地描述了灾难恢复计划（DRP）应该包括的内容？

参考答案:

硬件，软件，人员，应急流程，恢复流程

以下对于信息安全事件理解错误的是：

参考答案:

通过部署信息安全策略并配合部署防护措施，能够对信息及信息系统提供保护，杜绝信息安全事件的发生

下面关于计算机恶意代码发展趋势的说法错误的是：

参考答案:

复合型病毒减少，而自我保护功能增加

关于网页中的恶意代码，下列说法错误的是：

参考答案:

网页中的恶意代码只能通过IE浏览器发挥作用

校园网内由于病毒攻击、非法入侵等原因，200台以内的用户主机不能正常工作，属于以下哪种级别事件？

参考答案:

一般事件

按照我国信息安全等级保护的有关政策和标准，有些信息系统只需自主定级、自主保护，按照要求向公安机关备案即可，可以不需要上级或主管部门来测评和检查。此类信息系统应属于（）。

参考答案:

二级系统

信息系统审计考虑的含义是，使信息系统审计的（）最大化，（）最小化。

参考答案:

有效性干扰

信息系统设计越复杂，可被攻击者利用的漏洞可能就越（），其管理的成本也越（）。

参考答案:

多高

在确定威胁的可能性时，可以不考虑以下哪个？

参考答案:

攻击所产生的负面影响

以下哪些模型可以用来保护分级信息的机密性？

参考答案:

Bell－Lapadula模型和信息流模型

标准是对（）失误和概念所作的统一规定，它以科学、技术和实践经验的综合成果为基础，经有关方面协商一致，由主管机构批准，以特定形式发布，作为（）的准则和依据。

参考答案:

重复性共同遵守

从风险管理的角度，以下哪种方法不可取？

参考答案:

拖延风险

以下哪个不属于信息安全的三要素之一？

参考答案:

抗抵赖性

降低风险的控制措施有很多，下面哪一个不属于降低风险的措施？

参考答案:

购买物理场所的财产保险

当选择的控制措施成本高于风险带来的损失时，应考虑：

参考答案:

接受风险

《（）》是我国网络安全领域的基本法，已于2016年11月审议通过，2017年6月1日起实施。

参考答案:

中华人民共和国网络安全法##%_YZPRLFH_%##网络安全法

在信息处理设施（IPF）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动？

参考答案:

更新信息资产清单

由于病毒攻击、非法入侵等原因，校园网整体瘫痪，或者校园网络中心全部DNS、主WEB服务器不能正常工作；由于病毒攻击、非法入侵、人为破坏或不可抗力等原因，造成校园网出口中断，属于以下哪种级别事件？

参考答案:

特别重大事件

由于病毒攻击、非法入侵等原因，校园网部分园区瘫痪，或者邮件、计费服务器不能正常工作，属于以下哪种级别事件？

参考答案:

重大事件

应急响应流程一般顺序是：

参考答案:

信息安全事件通告、信息安全事件评估、应急启动、应急处置和后期处置

如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为：

参考答案:

公钥加密系统

密码学产品涉及的密钥管理非常重要，以下哪一个不是密钥管理的正确理念？

参考答案:

密钥需要保密，不能有2个以上的备份，增加泄露风险

信任链从开机到操作系统内核装载之间的建立过程应满足如下要求：TPCM作为信任链的信任根，EMM作为度量代理节点，通过（），实现信任传递与扩展。

参考答案:

完整性度量

构成风险的关键因素有哪些？

参考答案:

资产，威胁和弱点

（）/策略在安全操作系统设计中具有重要地位，是操作系统一系列安全需求的规范性说明。

参考答案:

安全模型

贯彻落实总体国家安全观，必须既重视外部安全，又重视内部安全；既重视（）安全，又重视（）安全；既重视传统安全，又重视非传统安全。

参考答案:

国土国民

SWG-BDS是（）特别工作组，主要任务有：负责（）和（）相关的安全标准化研制工作。

参考答案:

大数据安全标准大数据云计算

在采购现货产品时，应重点关注产品的功能、互操作性、（）、易替代性等。

参考答案:

易获得性

GB17859-1999《计算机信息系统安全保护等级划分准