CISP相关试题及答案集

1.人们对信息安全认识从信息技术安全发展到信息安全保障，重要是出于：AA.为了更好完毕组织机构使命B.针对信息系统袭击方式发生重大变化C.风险控制技术得到革命性发展D.除了保密性，信息完整性和可用性也引起了人们关注2.《GB/T20274信息系统安全保障评估框架》中信息系统安全保障级中级别是指：CA.对抗级B.防护级C.能力级D.监管级3.下面对信息安全特性和范围说法错误是：CA.信息安全是一种系统性问题，不仅要考虑信息系统自身技术文献，尚有考虑人员、管理、政策等众多原因B.信息安全是一种动态问题，他伴随信息技术发展普及，以及产业基础，顾客认识、投入产出而发展C.信息安全是无边界安全，互联网使得网络边界越来越模糊，因此确定一种组织信息安全责任是没故意义D.信息安全是非老式安全，多种信息网络互联互通和资源共享，决定了信息安全具有不一样于老式安全特点4.美国国防部提出《信息保障技术框架》（IATF）在描述信息系统安全需求时，将信息技术系统分为：BA.内网和外网两个部分B.当地计算机环境、区域边界、网络和基础设施、支撑性基础设施四个部分C.顾客终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分D.信顾客终端、服务器、系统软件、网络设备和通信线路、应用软件，安全防护措施六个部分5.有关信息安全方略说法中，下面说法对是：CA.信息安全方略制定是以信息系统规模为基础B.信息安全方略制定是以信息系统网络？？？C.信息安全方略是以信息系统风险管理为基础D.在信息系统尚未建设完毕之前，无法确定信息安全方略6.下列对于信息安全保障深度防御模型说法错误是：CA.信息安全外部环境：信息安全保障是组织机构安全、国家安全一种重要构成部分，因此对信息安全讨论必须放在国家政策、法律法规和原则外部环境制约下。B.信息安全管理和工程：信息安全保障需要在整个组织机构内建立和完善信息安全管理体系，将信息安全管理综合至信息系统整个生命周期，在这个过程中，我们需要采用信息系统工程措施来建设信息系统。C.信息安全人才体系：在组织机构中应建立完善安全意识，培训体系无关紧要D.信息安全技术方案：“从外而内、自下而上、形成端到端防护能力”7.全面构建我国信息安全人才体系是国家政策、组织机构信息安全保障建设和信息安全有关人员自身职业发展三方面共同规定。“加紧信息安全人才培训，增强全民信息安全意识”指导精神，是如下哪一种国家政策文献提出？AA.《国家信息化领导小组有关加强信息安全保障工作意见》B.《信息安全等级保护管理措施》C.《中华人民共和国计算机信息系统安全保护条例》D.《有关加强政府信息系统安全和保密管理工作告知》8.一家商业企业网站发生黑客非法入侵和袭击事件后，应及时向哪一种部门报案？AA.公安部公共信息网络安全监察局及其各地对应部门B.国家计算机网络与信息安全管理中心C.互联网安全协会D.信息安全产业商会9.下列哪个不是《商用密码管理条例》规定内容：DA.国家密码管理委员会及其办公室（简称密码管理机构）主管全国商用密码管理工作B.商用密码技术属于国家秘密，国家对商用密码产品科研、生产、销售和使用实行专控管理C.商用密码产品由国家密码管理机构许可单位销售D.个人可以使用经国家密码管理机构承认之外商用密码产品10.对涉密系统进行安全保密测评应当根据如下哪个原则？BA.BMB20-《波及国家秘密计算机信息系统分级保护管理规范》B.BMB22-《波及国家秘密计算机信息系统分级保护测评指南》C.GB17859-1999《计算机信息系统安全保护等级划分准则》D.GB/T20271-《信息安全技术信息系统统用安全技术规定》11.下面对于CC“保护轮廓”（PP）说法最精确是：CA.对系统防护强度描述B.对评估对象系统进行规范化描述C.对一类TOE安全需求，进行与技术实现无关描述D.由一系列保证组件构成包，可以代表预先定义保证尺度12.有关ISO/IEC21827:(SSE-CMM)描述不对是：DA.SSE-CMM是有关信息安全建设工程实行方面原则B.SSE-CMM目是建立和完善一套成熟、可度量安全工程过程C.SSE-CMM模型定义了一种安全工程应有特性，这些特性是完善安全工程主线保证D.SSE-CMM是用于对信息系统安全等级进行评估原则13.下面哪个不是ISO27000系列包括原则DA.《信息安全管理体系规定》B.《信息安全风险管理》C.《信息安全度量》D.《信息安全评估规范》14.如下哪一种有关信息安全评估原则首先明确提出了保密性、完整性和可用性三项信息安全特性？AA.ITSECB.TCSECC.GB/T9387.2D.彩虹系列橙皮书15.下面哪项不是《信息安全等级保护管理措施》（公通字【】43号）规定内容DA.国家信息安全等级保护坚持自主定级、自主保护原则B.国家指定专门部门对信息系统安全等级保护工作进行专门监督和检查C.跨省或全国统一联网运行信息系统可由主管部门统一确定安全保护等级D.第二级信息系统应当每年至少进行一次等级测评，第三级信息系统应当每？？？少进行一次等级测评16.触犯新刑法285条规定非法侵入计算机系统罪可判处___A__。A.三年如下有期徒刑或拘役B.1000元罚款C.三年以上五年如下有期徒刑D.10000元罚款17.常见密码系统包括元素是：CA.明文，密文，信道，加密算法，解密算法B.明文，摘要，信道，加密算法，解密算法C.明文，密文，密钥，加密算法，解密算法D.消息，密文，信道，加密算法，解密算法18.公钥密码算法和对称密码算法相比，在应用上优势是：DA.密钥长度更长B.加密速度更快C.安全性更高D.密钥管理更以便19.如下哪一种密码学手段不需要共享密钥？BA.消息认证B.消息摘要C.加密解密D.数字签名20.下列哪种算法一般不被顾客保证保密性？DA.AESB.RC4C.RSAD.MD521.数字签名应具有性质不包括：CA.可以验证签名者B.可以认证被签名消息C.可以保护被签名数据机密性D.签名必须可以由第三方验证22.认证中心（CA）关键职责是__A___。A.签发和管理数字证书B.验证信息C.公布黑名单D.撤销顾客证书23.如下对于安全套接层（SSL）说法对是：CA.重要是使用对称密钥体制和X.509数字证书技术保护信息传播机密性和完整性B.可以在网络层建立VPNC.重要使用于点对点之间信息传播，常用Webserver方式D.包括三个重要协议：AH,ESP,IKE24.下面对访问控制技术描述最精确是：CA.保证系统资源可靠性B.实现系统资源可追查性C.防止对系统资源非授权访问D.保证系统资源可信性25.如下有关访问控制表和访问能力表说法对是：DA.访问能力表表达每个客体可以被访问主体及其权限B.访问控制表阐明了每个主体可以访问客体及权限C.访问控制表一般随主体一起保留D.访问能力表更轻易实现访问权限传递，但回收访问权限较困难26.下面哪一项访问控制模型使用安全标签（securitylabels）CA.自主访问控制B.非自主访问控制C.强制访问控制D.基于角色访问控制27.某个客户网络限制可以正常访问internet互联网，共有200台终端PC但此客户从ISP（互联网络服务提供商）里只获得了16个公有IPv4地址，最多也只有16台PC可以访问互联网，要想让所有200台终端PC访问internet互联网最佳采用什么措施或技术：BA.花更多钱向ISP申请更多IP地址B.在网络出口路由器上做源NATC.在网络出口路由器上做目NATD.在网络出口处增长一定数量路由器28.WAPI采用是什么加密算法？AA.我国自主研发公开密钥体制椭圆曲线密码算法B.国际上通行商用加密原则C.国家密码管理委员会办公室同意流加密原则D.国际通行哈希算法29.如下哪种无线加密原则安全性最弱？AA.wepB.wpaC.wpa2D.wapi30.如下哪个不是防火墙具有功能？DA.防火墙是指设置在不一样网络或网络安全域（公共网和企业内部网）之间一系列部件组合B.它是不一样网络（安全域）之间唯一出入口C.能根据企业安全政策控制（容许、拒绝、监测）出入网络信息流D.防止来源于内部威胁和袭击31.桥接或透明模式是目前比较流行防火墙布署方式，这种方式长处不包括：DA.不需要对原有网络配置进行修改B.性能比较高C.防火墙自身不轻易受到袭击D.易于在防火墙上实现NAT32.有一类IDS系统将所观测到活动同认为正常活动进行比较并识别重要偏差来发现入侵事件，这种机制称作：AA.异常检测B.特性检测C.差距分析D.对比分析33.在Unix系统中，/etc/service文献记录了什么内容？AA.记录某些常用接口及其所提供服务对应关系B.决定inetd启动网络服务时，启动哪些服务C.定义了系统缺省运行级别，系统进入新运行级别需要做什么D.包括了系统某些启动脚本34.如下哪个对windows系统日志描述是错误？DA.windows系统默认有三个日志，系统日志、应用程序日志、安全日志B.系统日志跟踪多种各样系统事件，例如跟踪系统启动过程中事件或者硬件和控制器故障C.应用日志跟踪应用程序关联事件，例如应用程序产生装载DLL（动态链接库）失败信息D.安全日志跟踪各类网络入侵事件，例如拒绝服务袭击、口令暴力破解等35.在关系型数据库系统中通过“视图（view）”技术，可以实现如下哪一种安全原则？AA.纵深防御原则B.最小权限原则C.职责分离原则D.安全性与便利性平衡原则36.数据库事务日志用途是什么？BA.事务处理B.数据恢复C.完整性约束D.保密性控制37.下面对于cookie说法错误是：DA.cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包括信息B.cookie可以存储某些敏感顾客信息，从而导致一定安全风险C.通过cookie提交精妙构造移动代码，绕过身份验证袭击叫做cookie欺骗D.防备cookie欺骗一种有效措施是不使用cookie验证措施，而使用session验证措施38.袭击者在远程WEB页面HTML代码中插入具有恶意目数据，顾客认为该页面是可信赖，不过当浏览器下载该页面，嵌入其中脚本将被解释执行，这是哪种类型漏洞？DA.缓冲区溢出B.SQL注入C.设计错误D.跨站脚本39.一般在网站数据库中，顾客信息中密码一项，是以哪种形式存在？CA.明文形式存在B.服务器加密后密文形式存在C.hash运算后消息摘要值存在D.顾客自己加密后密文形式存在40.下列属于DDOS袭击是：BA.Men-in-Middle袭击B.SYN洪水袭击C.TCP连接袭击D.SQL注入袭击41.假如一名袭击者截获了一种公钥，然后他将这个公钥替代为自己公钥并发送给接受者，这种状况属于哪一种袭击？DA.重放袭击B.Smurf袭击C.字典袭击D.中间人袭击42.渗透性测试第一步是：A.信息搜集B.漏洞分析与目选定C.拒绝服务袭击D.尝试漏洞运用43.通过网页上钓鱼袭击来获取密码方式，实质上是一种：A.社会工程学袭击B.密码分析学C.旁路袭击D.暴力破解袭击44.如下哪个不是减少软件自身安全漏洞和缓和软件自身安全漏洞危害措施？A.加强软件安全需求分析，精确定义安全需求B.设计符合安全准则功能、安全功能与安全方略C.规范开发代码，符合安全编码规范D.编制详细软件安全使用手册，协助设置良好安全使用习惯45.根据SSE-CMM信息安全工程过程可以划分为三个阶段，其中____确立安全处理方案置信度并且把这样置信度传递给客户。A.保证过程B.风险过程C.工程和保证过程D.安全工程过程46.下列哪项不是SSE-CMM模型中工程过程过程区？A.明确安全需求B.评估影响C.提供安全输入D.协调安全47.SSE-CMM工程过程区域中风险过程包括哪些过程区域？A.评估威胁、评估脆弱性、评估影响B.评估威胁、评估脆弱性、评估安全风险C.评估威胁、评估脆弱性、评估影响、评估安全风险D.评估威胁、评估脆弱性、评估影响、验证和证明安全48.在IT项目管理中为了保证系统安全性，应当充足考虑对数据对处理，如下哪一项不是对数据输入进行校验可以实现安全目：A.防止出现数据范围以外值B.防止出现错误数据处理次序C.防止缓冲区溢出袭击D.防止代码注入袭击49.信息安全工程监理工程师不需要做工作是：A.编写验收测试方案B.审核验收测试方案C.监督验收测试过程D.审核验收测试汇报50.下面哪一项是监理单位在招标阶段质量控制内容？A.协助建设单位提出工程需求，确定工程整体质量目B.根据监理单位信息安全保障知识和项目经验完毕招标文献中技术需求部分C.进行风险评估和需求分析完毕招标文献中技术需求部分D.对标书应答技术部分进行审核，修改其中不满足安全需求内容51.信息安全保障强调安全是动态安全，意味着：A.信息安全是一种不确定性概念B.信息安全是一种主观概念C.信息安全必须覆盖信息系统整个生命周期，伴随安全风险变化有针对性进行调整D.信息安全只能是保证信息系统在有限物理范围内安全，无法保证整个信息系统安全52.有关信息保障技术框架（IATF），下列说法错误是：A.IATF强调深度防御，关注当地计算环境，区域边界，网络和基础设施，支撑性基础设施等多种领域安全保障；B．IATF强调深度防御，即对信息系统采用多层防护，实现组织业务安全运作C.IATF强调从技术、管理和人等多种角度来保障信息系统安全D.IATF强调是以安全监测、漏洞监测和自合用填充“安全间隙”为循环来提高网络安全53.下面哪一项表达了信息不被非法篡改属性？A.可生存性B.完整性C.精确性D.参照完整性54.如下有关信息系统安全保障是主观和客观结合说法最精确是：A．信息系统安全保障不仅波及安全技术，还应综合考虑安全管理，安全工程和人员安全等，以全面保障信息系统安全B.通过在技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统所有者提供其既有安全保障工作与否满足其安全保障目信心。C.是一种通过客观证据向信息系统评估者提供主观信心活动D.是主观和客观综合评估成果55.公钥密码算法和对称密码算法相比，在应用上优势是：A.密钥长度更长B.加密速度更快C.安全性更高D.密钥管理更以便56.如下哪种公钥密码算法既可以用于数据加密又可以用于密钥互换？A.DSSB.Diffse-HellmanC.RSADAES57.目前对MD5，SHA1算法袭击是指：A.可以构造出两个不一样消息，这两个消息产生了相似消息摘要B.对于一种已知消息摘要，可以构造出一种不一样消息，这两个消息产生了相似消息摘要。C．对于一种已知消息摘要，可以恢复其原始消息D.对于一种已知消息，可以构造一种不一样消息摘要，也能通过验证。58、DSA算法不提供如下哪种服务？A.数据完整性B.加密C.数字签名D.认证59.有关PKI/CA证书，下面哪一种说法是错误：A.证书上具有证书授权中心数字签名B.证书上列有证书拥有者基本信息C.证书上列有证书拥有者公开密钥D.证书上列有证书拥有者秘密密钥60认证中心（CA）关键职责是_________?A.签发和管理数字证书B.验证信息C.公布黑名单D.撤销顾客证书61下列哪一项是虚拟专用网络（VPN）安全功能?A.验证，访问控制和密码B.隧道，防火墙和拨号C.加密，鉴别和密钥管理D.压缩，解密和密码62如下对Kerberos协议过程说法对是:A.协议可以分为两个环节：一是顾客身份鉴别：二是获取祈求服务B.协议可以分为两个环节：一是获得票据许可票据；二是获取祈求服务C.协议可以分为三个环节：一是顾客身份鉴别；二是获得票据许可票据；三是获得服务许可票据D.协议可以分为三个环节：一是获得票据许可票据；二是获得服务许可票据；三是获得服务63在OSI参照模型中有7个层次，提供了对应安全服务来加强信息系统安全性。如下哪一层提供了保密性、身份鉴别、数据完整性服务？A.网络层B.表达层C.会话层D.物理层64如下哪种无线加密原则安全性最弱？A.WepBWpaCWpa2DWapi65.Linux系统顾客信息保留在passwd中，某顾客条目backup:*:34:34:backup:/var/backups:/bin/sh,如下有关该账号描述不对是：A.backup账号没有设置登录密码B.backup账号默认主目录是/var/backupsC.Backup账号登录后使用shell是bin/shD.Backup账号是无法进行登录66如下有关linux超级权限阐明，不对是：A.一般状况下，为了系统安全，对于一般常规级别应用，不需要root顾客来操作完毕B.一般顾客可以通过su和sudo来获得系统超级权限C.对系统日志管理，添加和删除顾客等管理工作，必须以root顾客登录才能进行D.Root是系统超级顾客，无论与否为文献和程序所有者都具有访问权限67在WINDOWS操作系统中，欲限制顾客无效登录次数，应当怎么做？A.在“当地安全设置”中对“密码方略”进行设置B.在“当地安全设置”中对“账户锁定方略”进行设置C.在“当地安全设置”中对“审核方略”进行设置D.在“当地安全设置”中对“顾客权利指派”进行设置68.如下对WINDOWS系统日志描述错误是：A.windows系统默认由三个日志，系统日志，应用程序日志，安全日志B．系统日志跟踪多种各样系统事件，例如跟踪系统启动过程中事件或者硬件和控制器故障。C．应用日志跟踪应用程序关联事件，例如应用程序产生装载DLL（动态链接库）失败信息D.安全日志跟踪各类网络入侵事件，例如拒绝服务袭击、口令暴力破解等69如下有关windowsSAM（安全账户管理器）说法错误是：A.安全账户管理器（SAM）详细体现就是%SystemRoot%\system32\config\samB.安全账户管理器（SAM）存储账号信息是存储在注册表中C.安全账户管理器（SAM）存储账号信息对administrator和system是可读和可写D.安全账户管理器（SAM）是windows顾客数据库，系统进程通过SecurityAccountsManager服务进行访问和操作70在关系型数据库系统中通过“视图（view）”技术，可以实现如下哪一种安全原则？A.纵深防御原则B.最小权限原则C.职责分离原则D.安全性与便利性平衡原则71、下列哪项不是安全管理方面原则？AISO27001BISO13335CGB/T22080DGB/T1833672、目前，我国信息安全管理格局是一种多方“齐抓共管”体制，多头管理现实状况决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定规章制度?A.公安部B.国家密码局C.信息产业部D.国家密码管理委员会办公室73、下列哪项不是《信息安全等级保护管理措施》（公通字[]43号）规定内容：A．国家信息安全等级保护坚持自主定级，自主保护原则。B．国家指定专门部门对信息系统安全等级保护工作进行专门监督和检查。C．跨省或全国统一联网运行信息系统可由主管部门统一确定安全保护等级D．第二级信息系统应当每年至少进行一次等级测评，第三级信息系统应当每六个月至少进行一次等级测评。74、《刑法》第六章第285、286、287条对计算机犯罪内容和量刑进行了明确规定，下列哪一项不是其中规定罪行？A.非法入侵计算机信息系统罪B.破坏计算机信息系统罪C.运用计算机实行犯罪D.国家重要信息系统管理者玩忽职守罪75、一家商业企业网站发生黑客非法入侵和袭击事件后，应及时向哪一种部门报案？A.

公安部公共信息网络安全监察局及其各地对应部门B.

国家计算机网络与信息安全管理中心C.

互联网安全协会D.

信息安全产业商会76、下列哪个不是《商用密码管理条例》规定内容？A.

国家密码管理委员会及其办公室（简称密码管理机构）主管全国商用密码管理工作B.

商用密码技术属于国家秘密，国家对商用密码产品科研、生产、销售和使用实行专控管理C.

商用密码产品由国家密码管理机构许可单位销售D.

个人可以使用经国家密码管理机构承认之外商用密码产品77、下面有关《中华人民共和国保守国家秘密法》说法错误是：A.

秘密均有时间性，永久保密是没有B.

《保密法》规定一切公民均有保守国家秘密义务C.

国家秘密级别分为“绝密”“机密”“秘密”三级D.

在给文献确定密级时，从保密目出发，应将密级尽量定高78.数据库事务日志用途是:A.事务处理B.数据恢复C.完整性约束D．保密性控制79.下面对于cookie说法错误是：A.cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包括信息。B.cookie可以存储某些敏感顾客信息，从而导致一定安全风险C.通过cookie提交精妙构造移动代码，绕过身份验证袭击叫做cookie欺骗D.防备cookie欺骗一种有效措施是不使用cookie验证措施，而使用session验证措施。80.袭击者在远程WEB页面HTML代码中插入具有恶意目数据，顾客认为该页面是可信赖，不过当浏览器下载该页面，嵌入其中脚步将被解释执行，这是哪种类型漏洞？A.缓冲区溢出B.sql注入C.设计错误D.跨站脚本81.一般在网站数据库中，顾客信息中密码一项，是以哪种形式存在？A.明文形式存在B.服务器加密后密文形式存在C.hash运算后消息摘要值存在D.顾客自己加密后密文形式存在82.下列对跨站脚本袭击（XSS）描述对是：A.XSS袭击指是恶意袭击者往WED页面里插入恶意代码，当顾客浏览浏览该页之时，嵌入其中WEB里面代码会执行，从而到达恶意袭击顾客特殊目B.XSS袭击时DDOS袭击一种变种C.XSS袭击就是CC袭击D.XSS袭击就是运用被控制机器不停地向被袭击网站发送访问祈求，迫使IIS连接数超过限制，当CPU资源或者带宽资源耗尽，那么网站也就被袭击垮了，从而到达袭击目83下列哪种技术不是恶意代码生产技术？A.反跟踪技术、B.加密技术C.模糊变换技术D.自动解压缩技术84当顾客输入数据被一种解释器当做命令或查询语句一部分执行时，就会产生哪种类型漏洞？A.缓冲区溢出B.设计错误C.信息泄露D.代码注入85Smurf运用下列哪种协议进行袭击？A.ICMPB.IGMPC.TCPD.UDP86.假如一名袭击者截获了一种公钥，然后他将这个公钥替代为自己公钥并发送给接受者，这种状况属于哪一种袭击？A.重放袭击B.Smurf袭击C.字典袭击D.中间人袭击87渗透性测试第一步是:A.信息搜集B.漏洞分析与目选定C.拒绝服务袭击D.尝试漏洞运用88软件安全开发中软件安全需求分析阶段重要目是：A.确定软件袭击面，根据袭击面制定软件安全防护方略B.确定软件在计划运行环境中运行最低安全规定C.确定安全质量原则，实行安全和隐私风险评估D.确定开发团体关键里程碑和交付成果89.管理者何时可以根据风险分析成果对已识别风险不采用措施？A．当必须安全对策成本高出实际风险也许导致潜在费用时B．当风险减轻措施提高业务生产力时C．当引起风险发生状况不在部门控制范围之内时D．不可接受90如下有关风险管理描述不对是：A风险4种控制措施有：减少风险/转嫁风险/规避风险/接受风险B信息安全风险管理与否成功在于风险与否被切实消除了C组织应根据信息安全方针和组织规定安全保证程度来确定需要处理信息安全风险D信息安全风险管理是基于可接受成本，对影响信息系统安全风险进行识别、控制、减少或转移过程91假如你作为甲方负责监管一种信息安全工程项目实行，当乙方提出一项工程变更时你最应当关注是：A.变更流程与否符合预先规定B.变更与否项目进度导致迟延C.变更原因和导致影响D.变更后与否进行了精确记录92应当如可理解信息安全管理体系中“信息安全方略”？A为了到达怎样保护原则而提出一系列提议B为了定义访问控制需求而产生出来某些通用性指导C组织高层对信息安全工作意图正式体现D一种分阶段安全处理成果93如下有关“最小特权”安全管理原则理解对是：A.组织机构内敏感岗位不能由一种人长期负责B.对重要工作进行分解，分派给不一样人员完毕C.一种人有且仅有其执行岗位所足够许可和权限D.防止员工由一种岗位变动到另一种岗位，累积越来越多权限94作为一种组织中信息系统一般顾客，如下哪一项不是必须理解？A.谁负责信息安全管理制度制度和公布B.谁负责监督信息安全制度执行C.信息系统发生劫难后，进行恢复整体工作流程D.假如违反了安全制度也许会受到惩戒措施95职责分离是信息安全管理一种基本概念，其关键是权力不能过度集中在某一种人手中。职责分离目是保证没有单独人员（单独进行操作）可以对应用程序系统特性或控制功能进行破坏。当如下哪一类人员访问安全系统软件时候，会导致对“职责分离”原则违反？A．数据安全管理员B．数据安全分析员C．系统审核员D．系统程序员96在国标《信息系统恢复规范》中，根据----要素，将劫难恢复等级划分为_____级A．7，6B．6，7C．7，7D．6，697在业务持续性计划中，RTO指是：A．劫难备份和恢复B．恢复技术项目C．业务恢复时间目D．业务恢复点目98应急措施学定义了安全事件处理流程，这个流程次序是：A.准备-克制-检测-根除-恢复-跟进B.准备-检测-克制-恢复-根除-跟进C.准备-检测-克制-根除-恢复-跟进D.准备-克制-根除-检测-恢复-跟进99.下面有关能力成熟度模型说法错误是：A.能力成熟度模型可以分为过程能力方案（Continuous）和组织能力方案（Staged）两类B.使用过程能力方案时，可以灵活选择评估和改善哪个或哪些过程域C.使用组织机构成熟度方案时，每一种能力级别都对应于一组已经定义好过程域DSSE-CMM是一种属于组织能力方案（Staged）针对系统安全工程能力成熟度模型100.下面哪一项为系统安全工程成熟度模型提供了评估措施：A.ISSEB.SSAMC.SSRD.CEM101、下面有关信息安全保障说法错误是：A.信息安全保障概念是与信息安全概念同步产生B.信息系统安全保障要素包括信息完整性，可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全两大重要手段D.信息安全保障是以业务目实现为最终目，从风险和方略出发，实行多种保障要素，在系统生命周期内保证信息安全属性。102、如下哪一项是数据完整性得到保护例子？A.某网站在访问量忽然增长时对顾客连接数量进行了限制，保证已登录顾客可以完毕操作B.在提款过程中ATM终端发生故障，银行业务系统及时对该顾客账户余额进行了冲正操作C.某网管系统具有严格审计功能，可以确定哪个管理员在何时对关键互换机进行了什么操作D.李先生在每天下班前将重要文献锁在档案室保密柜中，使伪装成清洁工商业间谍无法查看103、重视安全管理体系建设，人员意识培训和教育，是信息安全发展哪一种阶段特点？A.通信安全B.计算机安全C.信息安全D.信息安全保障104、如下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出九项重点工作内容之一？A.提高信息技术产品国产化率B.保证信息安全资金注入C.加紧信息安全人才培养D.重视信息安全应急处理工作105、如下有关置换密码说法对是：A.明文根据密钥被不一样密文字母替代B.明文字母不变，仅仅是位置根据密钥发生变化C.明文和密钥每个bit异或D.明文根据密钥作了移位106、如下有关替代密码说法对是：A.明文根据密钥被不一样密文字母替代B.明文字母不变，仅仅是位置根据密钥发生变化C.明文和密钥每个bit异或D.明文根据密钥作了移位107、常见密码系统包括元素是：A.明文、密文、信道、加密算法、解密算法B.明文、摘要、信道、加密算法、解密算C.明文、密文、密钥、加密算法、解密算法D.消息、密文、信道、加密算法、解密算法108、在密码学Kerchhoff假设中，密码系统安全性仅依赖于____________________

A.明文B.密文C.密钥D.信道109、PKI在验证一种数字证书时需要查看_________来确认该证书与否已经作废A.ARL

B.CSS

C.KMS

D.CRL

110、一项功能可以不由认证中心CA完毕？A.撤销和中断顾客证书B.产生并分布CA公钥C.在祈求实体和它公钥间建立链接D.发放并分发顾客证书111、一项是虚拟专用网络（VPN）安全功能？A.验证，访问控制盒密码B.隧道，防火墙和拨号C.加密，鉴别和密钥管理D.压缩，解密和密码112、为了防止授权顾客不会对数据进行未经授权修改，需要实行对数据完整性保护，列哪一项最佳地描述了星或（*-）完整性原则？A.Bell-LaPadula模型中不容许向下写B.Bell-LaPadula模型中不容许向上度C.Biba模型中不容许向上写D.Biba模型中不容许向下读113、下面哪一种情景属于身份鉴别（Authentication）过程？A.顾客根据系统提醒输入顾客名和口令B.顾客在网络上共享了自己编写一份Office文档，并设定哪些顾客可以阅读，哪些顾客可以修改C.顾客使用加密软件对自己编写office文档进行加密，以制止其他人得到这份拷贝后看到文档中内容D.某个人尝试登录到你计算机中，不过口令输入不对，系统提醒口令错误，并将这次失败登录过程记录在系统日志中114、下列对Kerberos协议特点描述不对是：A.协议采用单点登录技术，无法实现分布式网络环境下认证B.协议与授权机制相结合，支持双向身份认证C.只要顾客拿到了TGT并且该TGT没有过期，就可以使用该TGT通过TGS完毕到任一种服务器认证而不必重新输入密码D.AS和TGS是集中式管理，轻易形成瓶颈，系统性能和安全也严重依赖于AS和TGS性能和安全115、TACACS+协议提供了下列哪一种访问控制机制？A.强制访问控制B.自主访问控制C.分布式访问控制D.集中式访问控制116、下列对蜜网功能描述不对是：A.可以吸引或转移袭击者注意力，延缓他们对真正目袭击B.吸引入侵者来嗅探、袭击，同步不被察觉地将入侵者活动记录下来C.可以进行袭击检测和实时报警D.可以对袭击活动进行监视、检测和分析117、下列对审计系统基本构成描述对是：A.审计系统一般包括三个部分：日志记录、日志分析和日志处理B.审计系统一般包括两个部分：日志记录和日志处理C.审计系统一般包括两个部分：日志记录和日志分析D.审计系统一般包括三个部分：日志记录、日志分析和日志汇报118、在ISOOSI安全体系构造中，如下哪一种安全机制可以提供抗抵赖安全服务？A.加密B.数字签名C.访问控制D.路由控制119、在OSI参照模型中有7个层次，提供了对应安全服务来加强信息系统安全性，如下哪一层提供了保密性、身份鉴别、数据完整性服务？A.网络层B.表达层C会话层D.物理层120、WAPI采用是什么加密算法？A.我国自主研发公开密钥体制椭圆曲线密码算法B.国际上通行商用加密原则C.国家密码管理委员会办公室同意流加密原则D.国际通行哈希算法121、一般在VLAN时，如下哪一项不是VLAN规划措施？A.基于互换机端口B.基于网络层协议C.基于MAC地址D.基于数字证书122、某个客户网络目前可以正常访问Internet互联网，共有200台终端PC但此客户从ISP（互联网络服务提供商）里只获得了16个公有IPv4地址，最多也只有16台PC可以访问互联网，要想让所有200台终端PC访问Internet互联网最佳采用什么措施或技术：A、花更多钱向ISP申请更多IP地址B、在网络出口路由器上做源NAT

C、在网络出口路由器上做目NAT

D、在网络出口处增长一定数量路由器123、如下哪一种数据传播方式难以通过网络窃听获取信息？A.FTP传播文献B.TELNET进行远程管理C.URL以HTTPS开头网页内容D.通过TACACS+认证和授权后建立连接124、桥接或透明模式是目前比较流行防火墙布署方式，这种方式长处不包括：A.不需要对原有网络配置进行修改B.性能比较高C.防火墙自身不轻易受到袭击D.易于在防火墙上实现NAT

125、下面哪一项是对IDS对描述？A、基于特性（Signature-based）系统可以检测新袭击类型B、基于特性（Signature-based）系统化基于行为（behavior-based）系统产生更多误报C、基于行为（behavior-based）系统维护状态数据库来与数据包和袭击相匹配D、基于行为（behavior-based）系统比基于特性（Signature-based）系统有更高误报126、下列哪些选项不属于NIDS常见技术？A.协议分析B.零拷贝C.SYN

Cookie

D.IP碎片重组127、在UNIX系统中输入命令“IS-AL

TEST”显示如下：“-rwxr-xr-x

3

root

root

1024

Sep

13

11：58

test”对它含义解释错误是：A.这是一种文献，而不是目录B.文献拥有者可以对这个文献进行读、写和执行操作C.文献所属组组员有可以读它，也可以执行它D.其他所有顾客只可以执行它128、在Unix系统中，/etc/service文献记录了什么内容？A、记录某些常用接口及其所提供服务对应关系B、决定inetd启动网络服务时，启动那些服务C、定义了系统缺省运行级别，系统进入新运行级别需要做什么

D、包括了系统某些启动脚本129、如下对windows账号描述，对是：A、windows系统是采用SID（安全标识符）来标识顾客对文献或文献夹权限B、windows系统是采用顾客名来标识顾客对文献或文献夹权限C、windows系统默认会生成administration和guest两个账号，两个账号都不容许更名和删除D、windows系统默认生成administration和guest两个账号，两个账号都可以更名和删除130、如下对于Windows系统服务描述，对是：A、windows服务必须是一种独立可执行程序B、windows服务运行不需要顾客交互登录C、windows服务都是随系统启动而启动，无需顾客进行干预D、windows服务都需要顾客进行登录后，以登录顾客权限进行启动131、如下哪一项不是IIS服务器支持访问控制过滤类型？A.网络地址访问控制B.WEB服务器许可C.NTFS许可D.异常行为过滤132、为了实现数据库完整性控制，数据库管理员应向DBMS提出一组完整性规则来检查数据库中数据，完整性规则重要由3部分构成，如下哪一种不是完整性规则内容？A.完整性约束条件B.完整性检查机制C.完整性修复机制D.违约处理机制133、数据库事务日志用途是什么？A.事务处理B.数据恢复C.完整性约束D.保密性控制134、下列哪一项与数据库安全有直接关系？A.访问控制粒度B.数据库大小C.关系表中属性数量D.关系表中元组数量135、下面对于cookie说法错误是：A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包括信息B、cookie可以存储某些敏感顾客信息，从而导致一定安全风险C、通过cookie提交精妙构造移动代码，绕过身份验证袭击叫做cookie欺骗D、防备cookie欺骗一种有效措施是不使用cookie验证措施，而使用session验证措施136、如下哪一项是和电子邮件系统无关？A、PEM

B、PGP

C、X500

D、X400

137、Apache

Web

服务器配置文献一般位于/usr/local/apache/conf目录，其中用来控制顾客访问Apache目录配置文献是：A、httpd.conf

B、srm.conf

C、access.conf

D、inetd.conf

138、Java安全模型（JSM）是在设计虚拟机（JVN）时，引入沙箱（sandbox）机制，其重要目是：A、为服务器提供针对恶意客户端代码保护B、为客户端程序提供针对顾客输入恶意代码保护C、为顾客提供针对恶意网络移动代码保护D、提供事件可追查性139、恶意代码采用加密技术目是：A.加密技术是恶意代码自身保护重要机制B.加密技术可以保证恶意代码不被发现C.加密技术可以保证恶意代码不被破坏D.以上都不对140、恶意代码反跟踪技术描述对是：A反跟踪技术可以减少被发现也许性B.反跟踪技术可以防止所有杀毒软件查杀C.反跟踪技术可以防止恶意代码被消除D.以上都不是141、下列有关计算机病毒感染能力说法不对是：A.能将自身代码注入到引导区B.能将自身代码注入到扇区中文献镜像C.能将自身代码注入文本文献中并执行D.能将自身代码注入到文档或模板宏中代码142、当顾客输入数据被一种解释器当作命令或查询语句一部分执行时，就会产生哪种类型漏洞？A.缓冲区溢出B.设计错误C.信息泄露D.代码注入143、完整性检查和控制防备对象是________,防止它们进入数据库。A.不合语义数据、不对数据B.非法顾客C.非法数据D.非法授权144、存储过程是SQL语句一种集合，在一种名称下储存，按独立单元方式执行，如下哪一项不是使用存储过程长处：A.提高性能，应用程序不用反复编译此过程B.减少顾客查询数量，减轻网络拥塞C.语句执行过程中假如中断，可以进行数据回滚，保证数据完整性和一致性D.可以控制顾客使用存储过程权限，以增强数据库安全性145、下列哪项内容描述是缓冲区溢出漏洞？A、通过把SQL命令插入到Web表单递交或输入域名或页面祈求查询字符串，最终到达欺骗服务器执行恶意SQL命令B、袭击者在远程WEB页面HTML代码中插入具有恶意目数据，顾客认为该页面是可信赖，不过当浏览器下载该页面，嵌入其中脚本将被解释执行C、当计算机向缓冲区内填充数据位数时超过了缓冲区自身容量溢出数据覆盖在合法数据上

D、信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中，故意或无意产生缺陷146、如下工作哪个不是计算机取证准备阶段工作A.获得授权B.准备工具C.介质准备D.保护数据147、如下哪个问题不是导致DNS欺骗原因之一？A.DNS是一种分布式系统B.为提高效率，DNS查询信息在系统中会缓存C.DNS协议传播没有通过加密数据D.DNS协议是缺乏严格认证148、如下哪个是ARP欺骗袭击也许导致后果？A.ARP欺骗可直接获得目主机控制权B.ARP欺骗可导致目主机系统瓦解，蓝屏重启C.ARP欺骗可导致目主机无法访问网络D.ARP欺骗可导致目主机149、如下哪个袭击环节是IP欺骗（IP

Spoof）系列袭击中最关键和难度最高？A.对被冒充主机进行拒绝服务袭击，使其无法对目主机进行响应B.与目主机进行会话，猜测目主机序号规则C.冒充受信主机向目主机发送数据包，欺骗目主机D.向目主机发送指令，进行会话操作150、如下哪个拒绝服务袭击方式不是流量型拒绝服务袭击A.Land

B.UDP

Flood

C.Smurf

DTeardrop

151、假如一名袭击者截获了一种公钥，然后他将这个公钥替代为自己公钥并发送给接受者，这种状况属于哪一种袭击？A.重放袭击B.Smurf袭击C.字典袭击D.中间人袭击152、域名注册信息可在哪里找到？A.路由器B.DNS记录C.Whois数据库D.MIBs库153、网络管理员定义“no

ip

directed

broadcast”以减轻下面哪种袭击？A.DIECAST

B.SMURF

C.BATCAST

D.COKE

154、下面哪一项不是黑客袭击在信息搜集阶段使用工具或命令：A.Nmap

B.Nslookup

C.LC

D.Xscan

155、下面有关软件测试说法错误是：A、所谓“黑盒”测试就是测试过程不测试汇报中进行描述，切对外严格保密B、出于安全考虑，在测试过程中尽量不要使用真实生产数据C、测试方案和测试成果应当成为软件开发项目文档重要部分被妥善保留D、软件测试不仅应关注需要功能与否可以被实现，还要注意与否有不需要功能被实现了156、下列哪一项不属于Fuzz测试特性？A、重要针对软件漏洞或可靠性错误进行测试B、采用大量测试用例进行鼓励、响应测试C、一种试探性测试措施，没有任何理论根据D、运用构造畸形输入数据引起被测试目产生异常157、Shellcode是什么？A.是用C语言编写一段完毕特殊功能代码B.是用汇编语言编写一段完毕特殊功能代码C.是用机器码构成一段完毕特殊功能代码D.命令行下代码编写158、通过向被袭击者发送大量ICMP回应祈求，消耗被袭击者资源来进行响应，直至被袭击者再也无法处理有效网络信息流时，这种袭击被称之为：A.LAND袭击B.Smurf袭击C.Ping

of

Death

袭击D.ICMP

Flood

159、如下哪种措施不能有效提高WLAN安全性：A.修改默认服务区标识符（SSID）B.严禁SSID广播C.启用终端与AP间双向认证D.启用无线AP开放认证模式160、如下哪项是对抗ARP欺骗有效手段？A.使用静态ARP缓存B.在网络上制止ARP报文发送C.安装杀毒软件并更新到最新病毒库D.使用linux系统提高安全性161、下面有关ISO27002说法错误是：A.ISO27002前身是ISO17799-1

B.ISO27002给出了一般意义下信息安全管理最佳实践供组织机构选用，但不是所有C.ISO27002对于每个控制措施表述分“控制措施”、“实行指南”、和“其他信息”三个部分来进行描述D.ISO27002提出了十一大类安全管理措施，其中风险评估和处置是处在关键地位一类安全措施162、下面哪一项安全控制措施不是用来检测未经授权信息处理活动：A.设置网络连接时限B.记录并分析系统错误日志C.记录并分析顾客和管理员操作日志D.启用时钟同步163、下列安全控制措施分类中，哪个分类是对（p-防止性，D-检测性以及C-纠正性控制）1、网络防火墙2、RAID级别3

3、银行账单监督复审4、分派计算机顾客标识5、交易日志A、p,p,

c,d,and

C

B、d,

c,c,d,and

D

C、p,

c,d,p,and

D

D、p,d,

p,p,and

C

164、风险评估重要包括风险分析准备、风险要素识别、风险分析和风险成果鉴定四个重要过程，有关这些过程，如下说法哪一种是对？A.风险分析准备内容是识别风险影响和也许性B.风险要素识别内容是识别也许发生安全事件对信息系统影响程度C.风险分析内容是识别风险影响和也许性D.风险成果鉴定内容是发现系统存在威胁、脆弱性和控制措施165、你来到服务器机房股比一间办公室，发现窗户坏了，由于这不是你办公室，你规定在这里办公员工请维修工来把窗户修好，你离开后，没有再过问这扇窗户事情。这件事情成果对与特定脆弱性有关威胁真正出现也许性会有什么影响？A.假如窗户被修好，威胁真正出现问题性会增长B.假如窗户被修好，威胁真正出现也许性会保持不变C.假如窗户没有被修好，威胁真正出现也许性会下降D.假如窗户没有被修好，威胁真正出现也许性会增长166、在对安全控制进行分析时，下面哪个描述是不精确？A.对每一项安全控制都应当进行成本收益分析，以确定哪一项安全控制是必须和有效B.应保证选择对业务效率影响最小安全措施C.选择好实行安全控制时机和位置，提高安全控制有效性D.仔细评价引入安全控制对正常业务影响，采用合适措施，尽量减少负面效应167、如下哪一项不是信息安全管理工作必须遵照原则？A.风险管理在系统开发之处就应当予以充足考虑，并要贯穿于整个系统开发过程之中B.风险管理活动应成为系统开发、运行、维护、直至废弃整个生命周期内持续性工作C.由于在系统投入使用后布署和应用风险控制措施针对性会更强，实行成本会相对较低D.在系统正式运行后，应重视残存风险管理，以提高迅速反应能力168、对信息安全风险评估要素理解对是：A.资产识别粒度伴随评估范围、评估目不一样而不一样，既可以是硬件设备，也可以是业务系统，也可以是组织机构B.应针对构成信息系统每个资产做风险评价C.脆弱性识别是将信息系统安全现实状况与国家或行业安全规定做符合性比对而找出差距项D.信息系统面临安全威胁仅包括人为故意威胁、人为非故意威胁169、如下哪一项不是建筑物自动化访问审计系统记录日志内容：A.出入原因B.出入时间C.出入口位置D.与否成功进入170、信息安全方略是管理层对信息安全工作意图和方向正式表述，如下哪一项不是信息安全方略文档中必须包括内容：A.阐明信息安全对组织重要程度B.简介需要符合法律法规规定C.信息安全技术产品选型范围D.信息安全管理责任定义171、作为信息中心主任，你发现没有足够人力资源保证将数据库管理员和网络管理员岗位分派给两个不一样人担任，这种状况导致了一定安全风险。这时你应当怎么做？A.埋怨且无能为力B.向上级汇报该状况，等待增派人手C.通过布署审计措施和定期审查来减少风险D.由于增长人力会导致新人力成本，因此接受该风险172、如下人员中，谁负有决定信息分类级别责任？A.顾客B.数据所有者C.审计员D.安全官173、某企业正在对一台关键业务服务器进行风险评估，该服务器价值138000元，针对某个特定威胁暴露因子（EF）是45%，该威胁年度发生率（ARO）为每发生一次，根据以上信息，该服务器年度预期损失值（ALE）是多少？A、1800元B、62100元C、140000元D、6210元174、下列哪些内容应包括在信息系统战略计划中？A.已规划硬件采购规范B.未来业务目分析C.开发项目目日期D.信息系统不一样年度预算目175、ISO27002中描述11个信息安全管理控制领域不包括：A.信息安全组织B.资产管理C.内容安全D.人力资源安全176、根据国标《信息安全技术信息系统劫难恢复规范》（GB/T20988），需要备用场地但不规定布署备用数据处理设备是劫难恢复等级第几级？A.2

B.3

C.4

D.5

177、如下哪一种备份方式在恢复时间上最快A.增量备份B.差异备份C.完全备份D.磁盘备份178、计算机应急响应小组简称是：A.CERT

B.FIRST

C.SANA

D.CEAT

179、有某些信息安全事件是由于信息系统中多种部分共同作用导致，人们称此类事件为“多组件事故”，应对此类安全事件最有效措施是：A.配置网络入侵检测系统以检测某些类型违法或误用行为B.使用防病毒软件，并且保持更新为最新病毒特性码C.将所有公共访问服务放在网络非军事区（DMZ）D.使用集中日志审计工具和事件关联分析软件180、根据国标《信息安全技术信息系统劫难恢复规范》（GB/T

20988），劫难恢复管理过程重要环节是劫难恢复需求分析、劫难恢复方略制定、劫难恢复方略实现、劫难恢复预制定和管理；其中劫难恢复方略实现不包括如下哪一项？A.分析业务功能B.选择和建设劫难备份中心C.实现灾备系统技术方案D.实现灾备系统技术支持和维护能力181、在进行应用系统测试时，应尽量防止使用包括个人隐私和其他敏感信息实际生产系统中数据，假如需要使用时，如下哪一项不是必须作：A.测试系统应使用不低于生产系统访问控制措施B.为测试系统中数据布署完善备份与恢复措施C.在测试完毕后立即清除测试系统中所有敏感数据D.布署审计措施，记录生产数据拷贝和使用182、下面有关能力成熟度模型说法错误是：A.能力成熟度模型可以分为过程能力方案（Continuous）和组织能力方案（Staged）两类B.使用过程能力方案时，可以灵活选择评估和改善哪个或那些过程域C.使用组织机构成熟度方案时，每一种能力级别都对应于一组已经定义好过程域D.SSE-CMM是一种属于组织能力方案（Staged）针对系统安全工程能力成熟度模型183、一种组织系统安全能力成熟度到达哪个级别后来，就可以对组织层面过程进行规范定义？A.2级——计划和跟踪B.3级-——充足定义C.4级——量化控制D.5级——持续改善184、下列哪项不是信息系统安全工程能力成熟度模型（SSE-CMM）重要过程：A、风险评估B、保证过程C、工程过程

D、评估过程185、SSE-CMM工程过程区域中风险过程包括哪些过程区域：A.评估威胁、评估脆弱性、评估影响B.评估威胁、评估脆弱性、评估安全风险C.评估威胁、评估脆弱性、评估影响、评估安全风险D.评估威胁、评估脆弱性、评估影响、验证和证明安全186、信息系统安全工程（ISSE）一种重要目就是在IT项目各个阶段充足考虑安全原因，在IT项目立项阶段，如下哪一项不是必须进行工作：A.明确业务对信息安全规定B.识别来自法律法规安全规定C.论证安全规定与否对完整D.通过测试证明系统功能和性能可以满足安全规定187、信息化建设和信息安全建设关系应当是：A.信息化建设结束就是信息安全建设开始B.信息化建设和信息安全建设应同步规划、同步实行C.信息化建设和信息安全建设是交替进行，无法辨别谁先谁后D.以上说法都对188、假如你作为甲方负责监管一种信息安全工程项目实行，当乙方提出一项工程变更时你最应当关注是：A.变更流程与否符合预先规定B.变更与否会对项目进度导致迟延C.变更原因和导致影响D.变更后与否进行了精确记录189、如下哪项是对系统工程过程中“概念与需求定义”阶段信息安全工作对描述？A.应基于法律法规和顾客需求，进行需求分析和风险评估，从信息系统建设开始就综合信息系统安全保障考虑B.应充足调研信息安全技术发展状况和信息安全产品市场，选择最先进安全处理方案和技术产品C.应在将信息安全作为实行和开发人员一项重要工作内容，提出安全开发规范并切实贯彻D.应详细规定系统验收测试中有关系统安全性测试内容190、在进行应用系统测试时，应尽量防止使用包括个人隐私和其他敏感信息实际生产系统中数据，假如需要使用时，如下哪一项不是必须做：A.测试系统应使用不低于生产关系访问控制措