2025年CISP注册信息安全专业人员核心备考题库（含典型题、重点题）

PAGEPAGE1一、单选题1.某单位发生的管理员小张在繁忙的工作中接到了一个电话，来电者：小张吗？我是科技处李强，我的邮箱密码忘记了，现在打不开邮件，我着急收个邮件，麻烦你先帮我把密码改成123，我收完邮件自己修改掉密码。热心的小张很快的满足了来电者的要求。随后，李强发现有向系统登录异常。请问以下说法哪个是正确的（）A、小张服务态度不好，如果把李强的邮件收下来亲自教给李强就不会发生这个问题B、事件属于服务器故障，是偶然事件，影响单位领导申请购买新的服务器C、单位缺乏良好的密码修改操作流程或者小张没按操作流程工作D、事件属于邮件系统故障，是偶然事件，应向单位领导申请升级邮件服务软件答案：C2.（）通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。A、AccessVPNB、IntranetVPNC、ExtranetVPND、InternetVPN答案：B3.关于信息安全管理体系（InformationSecurityManagementSystems,ISMS）,下面描述错误的是（）A、信息安全管理体系是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系，包括组织架构、方针、活动、职责及相关实践要素B、管理体系（ManagementSystems）是为达到组织目标的策略、程序、指南和相关资源的框架，信息安全管理体系是管理体系思想和方法在信息安全领域的应用C、概念上，信息安全管理体系有广义和狭义之分，狭义的信息安全管理体系是指按照ISO27001标准定义的管理体系，它是一个组织整体管理体系的组成部分D、同其他管理体系一样，信息安全管理体系也要建立信息安全管理组织机构，健全信息安全管理制度、构建信息安全技术防护体系和加强人员的安全意识等内容答案：A4.与浏览器兼容性测试不需要考虑的问题是（）A、软件是否可以在不同的J2EE中运行B、不同的浏览器是否可以提供合适的安全设置C、脚本和插件是否适用于不同的浏览器D、符合最新HTML版本的页面能否在浏览器中正确显示答案：B5.关于信息安全策略文件的评审以下说法不正确的是哪个？A、信息安全策略应由专人负责制定、评审。B、信息安全策略评审每年应进行两次，上半年、下半年各进行一次。C、在信息安全策略文件的评审过程中应考虑组织业务的重大变化。D、在信息安全策略文件的评审过程中应考虑相关法律法规及技术环境的重大变化。答案：B6.规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。某单位在实施风险评估时，形成了《待评估信息系统相关设备及资产清单》。在风险评估实施的各个阶段中，该《待评估信息系统相关设备及资产清单》应是如下（）中的输出结果。A、风险评估准备阶段B、风险要素识别阶段C、风险分析D、风险结果判定阶段答案：B7.某IT公司针对信息安全事件已经建立了完善的预案，在年度企业信息安全总结会上，信息安全管理员对今年应急预案工作做出了四个总结，其中有一项总结工作是错误，作为企业的CSO，请你指出存在问题的是哪个总结？（）A、公司自身拥有优秀的技术人员，系统也是自己开发的，无需进行应急演练工作，因此今年的仅制定了应急演练相关流程及文档，为了不影响业务，应急演练工作不举行B、公司制定的应急演练流程包括应急事件通报、确定应急事件优先级应急响应启动实施、应急响应时间后期运维、更新现在应急预案五个阶段，流程完善可用C、公司应急预案包括了基本环境类、业务系统、安全事件类、安全事件类和其他类，基本覆盖了各类应急事件类型D、公司应急预案对事件分类依据GB/Z20986-2007《信息安全技术信息安全事件分类分级指南》，分为7个基本类别，预案符合国家相关标准答案：A解析：“无需进行应急演练工作”错误8.下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络？A、虚拟专用网B、专线C、租用线路D、综合服务数字网.答案：A9.应急响应是信息安全事件管理的重要内容。基于应急响应工作的特点和事件的不规则性，事先制定出事件应急响应方法和过程，有助于一个组织在事件发生时阻止混乱的发生或是在混乱状态中迅速恢复控制，将损失和负面影响降到最低。应急响应方法和过程并不是唯一的。一种被广为接受的应急响应方法是将应急响应管理过程分为6个阶段，为准备－>检测－〉遏制－〉根除－〉恢复－〉跟踪总结。请问下列说法有关于信息安全应急响应管理过程错误的是（）。A、应按照应急响应计划中事先制定的业务恢复优先顺序和恢复步骤，顺次恢复相关的系统B、在检测阶段，首先要进行监测、报告及信息收集C、遏制措施可能会因为事件的类别和级别不同而完全不同。常见的遏制措施有：完全关闭所有系统、拔掉网线等D、确定重要资产和风险，实施针对风险的防护措施是信息安全应急响应规划过程中最关键的步骤答案：C解析：关闭相关系统而不是关闭所有系统。P153页。10.以下对Kerberos协议过程说法正确的是：A、协议可以分为两个步骤：一是用户身份鉴别；二是获取请求服务B、协助可以分为两个步骤：一是获得票据许可票据；二是获取请求服务C、协议可以分为三个步骤：一是用户身份鉴别；二是获得票据许可票据；三是获得服务许可票据D、协议可以分为三个步骤：一是获得票据许可票据；二是获得服务许可票据；三是获得服务答案：D11.GB/T18336＜＜信息技术安全性评估准则>>（CC）是测评标准类中的重要标准,该标准定义了保护轮廓（ProtectionProfile,PP）和安全目标（SecurityTarget,ST）的评估准则,提出了评估保证级（EvaluationAssuranceLevel,EAL）,其评估保证级共分为（）个递增的评估保证等级A、4B、5C、6D、7答案：D12.某公司正在进行IT系统灾难恢复测试，下列问题中哪个最应该引起关注（）A、由于有限的测试时间窗，仅仅测试了最必须的系统，其他系统在今年的剩余时间里陆续单独测试B、在测试的过程中，有些备份系统有缺陷或者不能正常工作，从而导致这些系统的测试失败C、在开启备份站点之前关闭和保护原生产站点的过程比计划需要多得多的时间D、每年都是由相同的员工执行此测试，由于所有的参与者都很熟悉每一个恢复步骤，因而没有使用灾难恢复计划（DRP）文档答案：D13.设计信息系统安全保障方案时,以下哪个做法是错误的:A、要充分切合信息安全需求并且实际可行B、要充分考虑成本效益,在满足合规性要求和风险处置要求的前提下,尽量控制成本C、要充分采取新技术,在使用过程中不断完善成熟,精益求精,实现技术投入保值要求D、要充分考虑用户管理和文化的可接受性,减少系统方案实施障碍答案：C解析：安全领域一般选择经过检验的、成熟、安全的技术方案,一般不选最新的。14.关于软件安全开发生命周期（SDL），下面说法错误的是：A、在软件开发的各个周期都要考虑安全因素B、软件安全开发生命周期要综合采用技术、管理和工程等手段C、测试阶段是发现并改正软件安全漏洞的最佳环节，过早或过晚检测修改漏洞都将增大软件开发成本D、在设计阶段就尽可能发现并改正安全隐患，将极大减少整个软件开发成本答案：C15.（）第23条规定存储、处理国家机秘密的计算机信息系统（以下简称涉密信息系统）,按照（）实行分级保护,（）应当按照国家保密标准配备保密设施、设备。（）、设备应当与涉密信息系统同步规划、同步建设、同步运行（三同步）。涉密信息系统应当按照规定,经（）后方可投入使用。A、《保密法》;涉密程度;涉密信息系统;保密设施;检查合格B、《国家保密法》;涉密程度;涉密系统;保密设施;检查合格C、《网络保密法》;涉密程度;涉密系统;保密设施;检查合格D、《安全保密法》;涉密程度,涉密信息系统;保密设施;检查合格答案：A16.了数据传输时不发生数据截获和信息泄密，采取了加密机制。这种做法体现了信息安全的____属性。A、保密性B、完整性C、可靠性D、可用性答案：A17.一个备份站点包括电线、空调和地板，但不包括计算机和通讯设备，那么它属于A、冷站B、温站C、直线站点D、镜像站点答案：A18.关于标准，下面哪项理解是错误的？A、标准是在一定范围内为了获得最佳秩序，经协商一直制定并由公认机构批准，共同重复使用的一种规范性文件。标准是标准化活动的重要成果B、国际标准是由国际标准组织通过并公开发布的标准。同样是强制性标准，当国家标准和国际标准的条款发生冲突时，应以国际标准条款为准C、行业标准是针对没有国家标准而又需要在全国某个行业范围内统一的技术要求而制定的标准。同样是强制性标准，当行业标准和国家标准的条款发生冲突时，应以国家标准条款为准D、行业标准由省、自治区、直辖市标准化行政主管部门制定，并报国务院标准化行政主管部门和国务院有关行政主管部门备案，在公布国家标准之后，该地方标准即应废止答案：B19.由于病毒攻击、非法入侵等原因,校园网整体瘫痪,或者校园网络中心全部DNS主WEB服务器不能正常工作;由于病毒攻击、非法入侵、人为破坏或不可抗力等原因,造成校园网出口中断,属于以下哪种级别事件（）A、特别重大事件B、重大事件C、较大事件D、一般事件答案：D解析：参考P147页安全事件定级。20.公钥密码的应用不包括：A、数字签名B、非安全信道的密钥交换C、消息认证码D、身份认证答案：C21.在人力资源审计期间，安全管理体系内审员被告知在IT部门和人力资源部门中有一个关于期望的IT服务水平的口头协议。安全管理体系内审员首先应该做什么？A、为两部门起草一份服务水平协议B、向高级管理层报告存在未被书面签订的协议C、向两部门确认协议的内容D、推迟审计直到协议成为书面文档答案：C22.如果恢复时间目标增加，则A、灾难容忍度增加B、恢复成本增加C、不能使用冷备援计算机中心D、数据备份频率增加答案：A23.某银行信息系统为了满足业务发展的需要准备进行升级改造，以下哪一项不是此次改造中信息系统安全需求分析过程需要考虑的主要因素A、信息系统安全必须遵循的相关法律法规，国家以及金融行业安全标B、信息系统所承载该银行业务正常运行的安全需求C、消除或降低该银行信息系统面临的所有安全风险D.该银行整体安全策略答案：C24.下面各种方法,哪个是制定灾难恢复策略必须最先评估的A、所有的威胁可以被完全移除B、一个可以实现的成本效益,内置的复原C、恢复时间可以优化D、恢复成本可以最小化答案：B25.以下哪些是可能存在的威胁因素？A、设备老化故障B、病毒和蠕虫C、系统设计缺陷D、保安工作不得力答案：B26.84.规范的实施流程和文档管理，是信息安全风险评估能否取得成果的重要基础，某单位在实施风险评估时，形成了《待评估信息系统相关设备及资产清单》。在风险评估实施的各个阶段中，该《待评估信息系统相关设备及资产清单》应是如下（）中的输出结果。A、风险评估准备B、风险要素识别C、风险分析D、风险结果判定答案：B27.以下哪一种备份方式再恢复时间上最快？A、增量备份B、差异备份C、完全备份D、磁盘备份答案：B28.二十世纪二十年代，德国发明家亚瑟·谢尔比乌斯（ArthurScherbius）发明了Engmia密码机。按照密码学发展历史阶段划分，这个阶段属于（）A、现代密码学的早期发展阶段。这一阶段以香农的论文“保密系统的通信理论”（“TheCommunicationTheoryofSecretSystems”）为理论基础，开始了对密码学的科学探索B、古典密码阶段。这一阶段的密码专家常常靠直觉和技巧来设计密码，而不是凭借推理和证明，常用的密码运算方法包括替代方法和置换方法C、现代密码学的近期发展阶段。这一阶段以公钥密码思想为标志，引发了密码学历史上的革命性的变革，同时，众多的密码算法开始应用于非机密单位和商业场合D、近代密码发展阶段。这一阶段开始使用机械代替手工计算，形成了机械式密码设备和更进一步的机电密码设备答案：D29.关于信息安全策略的说法中，下面说法正确的是:A、信息安全策略的制定是以信息系统的规模为基础B、信息安全策略的制定是以信息系统的网络拓扑结构为基础C、信息安全策略是以信息系统风险管理为基础D、在信息系统尚未建设完成之前，无法确定信息安全策略答案：C30.加密文件系统（EncryptingFileSystem,EFS）是Windows操作系统的一个组件。以下说法错误的是？A、EFS采用加密算法实现透明的文件加密和解密，任何不拥有合适密钥的个人或者程序都不能解密数据B、EFS以公钥加密为基础，并利用了Windows系统中的CryptoAPI体系结构C、EFS加密系统适用于NTFS文件系统和FAT32文件系统（Window7环境下）D、EFS加密过程对用户透明，EFS加密的用户验证过程是在登录Windows时进行的答案：C31.功能测试不能实现以下哪个功能（）A、漏洞B、补丁C、口令策略D、全网访问控制策略答案：D32.目前，信息系统面临外部攻击者的恶意攻击威胁，从或胁能力和掌握资源分，这些威胁可以按照个人威胁、组织威胁和国家威胁三个层面划分，则下面选项中属于组织威胁的是A、喜欢恶作剧、实现自我挑战的娱乐型黑客B、实施犯罪、获取非法经济利益网络犯罪团伙C、搜集政治、军事、经济等情报信息的情报机构D、巩固战略优势，执行军事任务、进行目标破坏的信息作战部队答案：B33.下列安全控制措施的分类中,哪个分类是正确的（P-预防性的,D-检测性的以及,C-纠正性的控制）:网络防火墙;RAID级别3;银行账单的监督复审;分配计算机用户标识;交易日志;A、P,P,C,D,andC;B、D,C,C,D,andD;C、P,C,D,P,andDD、P,D,P,P,andC;答案：C34.从系统工程的角度来处理信息安全问题，以下说法错误的是:A、系统安全工程旨在了解企业存在的安全风险，建立一组平衡的安全需求，融合各种工程学科的努力将此安全需求转换为贯穿系统整个生存期的工程实施指南B、系统安全工程需对安全机制的正确性和有效性做出诠释，证明安全系统的信任度能够达到企业的要求，或系统遗留的安全薄弱性在可容许范围之内C、系统安全工程能力成熟度模型（SSECM）是种衡量安全工程实践能力的方法，是一种使用面向开发的方法D、系统安全工程能力成熟度模型（SSECM）是在原有能力成熟度模型（CM）的基础上。通过对安全工作过程进行管理的途径，将系统安全工程转变为一个完好定义的.成熟的.可测量的先进学科答案：D35.以下谁具有批准应急响应计划的权利A、应急委员会B、各部门C、管理层D、外部专家答案：C36.关于linux下的用户和组，以下描述不正确的是。A、在linux中，每一个文件和程序都归属于一个特定的“用户”B、系统中的每一个用户都必须至少属于一个用户组C、用户和组的关系可以是多对一，一个组可以有多个用户，一个用户不能属于多个组D、root是系统的超级用户，无论是否文件和程序的所有者都具有访问权限答案：C37.下面哪一个机构不属于美国信息安全保障管理部门？A、国土安全部。B、国防部。C、国家基础设施顾问委员会。D、国家标准技术研究所。答案：C38.关于数据库恢复技术，下列说法不正确的是：A、数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决，当数据库中数据被破坏时，可以利用冗余数据来进行修复B、数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来，是数据库恢复中采用的基本技术C、日志文件在数据库恢复中起着非常重要的作用，可以用来进行事物故障恢复和系统故障恢复，并协助后备副本进行介质故障恢复D、计算机系统发生故障导致数据未存储到固定存储器上，利用日志文件中故障发生前数据的值，将数据库恢复到故障发生前的完整状态，这一对事务的操作称为提交答案：D39.某公司在测试灾难恢复计划时是发现恢复业务运营所必要的关键数据没有被保留,可能由于什么没有明确导致的?A、服务中断的时间间隔B、目标恢复时间（RTO）C、服务交付目标D、目标恢复点（RPO）答案：D40.Linux系统对文件的权限是以模式位的形式来表示,对于文件名为test的一个文件,属于admin组中user用户,以下哪个是该文件正确的模式表示?A、-rwxr-xr-x3useradmin1024Sep1311:58testB、drwxr-xr-x3useradmin1024Sep1311:58testC、-rwxr-xr-x3adminuser1024Sep1311:58testD、drwxr-xr-x3adminuser1024Sep1311:58test答案：A解析：题目考核的是linux系统的权限表达格式。41.对于人员管理的描述错误的是____。（）A、人员管理是安全管理的重要环节B、安全授权不是人员管理的手段C、安全教育是人员管理的有力手段D、人员管理时，安全审查是必须的答案：B42.规范的实施流程和文档管理，是信息安全风险评估能否取得成果的重要基础。某单位在实施风险评估时，按照规范形成了若干文档，其中，下面（）中的文档应属于风险评估中风险要素识别阶段输出的文档A、《风险评估方案》，主要包括本次风险评估的目的、范围、目标、评估步骤、经费预算和进度安排等内容B、《风险评估方法和工具列表》，主要包括拟用的风险评估方法和测试评估工具等内容C、《风险评估准则要求》，主要包括风险评估参考标准、采用的风险分析方法、资产分类标准等内容D、《已有安全措施列表》，主要包括经检查确认后的已有技术和管理各方面安全措施等内容答案：D43.Linux系统中常用数字来表示文件的访问权限，假设某文件的访问限制使用了755来表示，则下面哪项是正确的？A、这个文件可以被任何用户读和写B、这个可以被任何用户读和执行C、这个文件可以被任何用户写和执行D、这个文件不可以被所有用户写和执行答案：B44.信息安全风险管理是基于（）的信息安全管理,也就是,始终以（）为主线进行信息安全的管理。应根据实际（）的不同来理解信息安全风险管理的侧重点,即（）选择的范围和对象重点应有所不同。A、风险;风险;信息系统:风险管理B、风险;风险;风险管理;信息系统C、风险管理;信息系统;风险;风险D、风险管理;风险;风险;信息系统答案：A45.金女士经常通过计算机在互联网上购物,从安全角度看,下面哪项是不好的操作习惯:A、使用专用上网购物用计算机,安装好软件后不要对该计算机上的系统软件、应用软件进行升级B、为计算机安装具有良好声誉的安全防护软件,包括病毒查杀、安全检查和安全加固方面的软件C、在IE的配置中,设置只能下载和安装经过签名的、安全的ActiveX控件D、在使用网络浏览器时,设置不在计算机中保留网络历史记录和表单数据答案：A解析：安装好软件后应及时对该计算机上的系统软件、应用软件进行升级,以增加操作系统的安全性46.信息安全风险管理的对象不包括如下哪项A、信息自身B、信息载体C、信息网络D、信息环境答案：C47.部署互联网协议安全虚拟专用网（InternetprotocolSecurityVirtualPrivateNetwork，IPsecVPN）时，以下说法正确的是（）A、配置MD5安全算法可以提供可靠地数据加密B、配置AES算法可以提供可靠的数据完整性验证C、部署IPsecVPN网络时，需要考虑IP地址的规划，尽量在分支节点使用可以聚合的IP地址段，来减少IPsec安全关联（SecurityAuthentication，SA）资源的消耗D、报文验证头协议（AuthenticationHeader，AH）可以提供数据机密性答案：C48.108.为保障信息系统的安全,某经营公众服务系统的公司准备编制一份针对性的信息安全保障方案,并将编制任务交给了小王,为此,小王决定首先编制出一份信息安全需求描述报告,关于此项工作,下面说法错误的是（）A、信息安全需求报告应依据该公众服务信息系统的功能设计方案为主要内容来撰写B、信息安全需求描述报告是设计和撰写信息安全保障方案的前提和依据C、信息安全需求描述报告应当基于信息安全风险评估报告结果和有关政策法规和标准的合规性要求得到D、信息安全需求描述报告的主体内容可以按照技术、管理和工程等方面需求展开编写答案：A49.下面哪个组合不是是信息资产A、硬件、软件、文档资料B、关键人员C、组织提供的信息服务D、桌子、椅子答案：D50.一个公司解雇了一个数据库管理员,并且解雇时立刻取消了数据库管理员对公司所有系统的访问权,但是数据管理员威胁说数据库在两个月内将被删除，除非公司付他一大笔钱。数据管理员最有可能采用下面哪种手段删除数据库？A、放置病毒B、蠕虫感染C、DoS攻击D、逻辑炸弹攻击答案：D51.我国正式公布了电子签名法，数字签名机制用于实现____需求。（）A、抗否认B、保密性C、完整性D、可用性答案：A52.下面对自由访问控制〔DAC〕描述正确的选项是A、比较强制访问控制而言不太灵活B、基于安全标签C、关注信息流D、在商业环境中广泛使用答案：D53.TCP/IP协议的4层概念模型是（）A、应用层、传输层、网络层和网络接口层B、应用层、传输层、网络层和物理层C、应用层、数据链路层、网络层和网络接口层D、会话层、数据链路层、网络层和网络接口层答案：A54.某单位在实施信息安全风险评估后，形成了若干文挡，下面（）中的文挡不应属于风险评估中“风险评估准备”阶段输出的文档。A、《风险评估工作计划》，主要包括本次风险评估的目的、意义、范围、目标、组织结构、角色及职责、经费预算和进度安排等内容B、《风险评估方法和工具列表》。主要包括拟用的风险评估方法和测试评估工具等内容C、《已有安全措施列表》，主要包括经检查确认后的已有技术和管理各方面安全措施等内容D、《风险评估准则要求》，主要包括风险评估参考标准、采用的风险分析方法、风险计算方法、资产分类标准、资产分类准则等内容答案：C解析：《已有安全措施列表》属于风险要素识别阶段。55.通过以下哪个命令可以查看本机端口和外部连接状况（）A、netstat-anB、netconn-anC、netport-aD、netstat-all答案：A56.身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是（）。A、身份鉴别是授权控制的基础B、身份鉴别一般不用提供双向的认证C、目前一般采用基于对称密钥加密或公开密钥加密的方法D、数字签名机制是实现身份鉴别的重要机制答案：B57.若一个组织声称自己的ISMS符合ISO/IEC27001或GB/T22080标准要求，其信息安全控制措施通常在以下方面实施常规控制，不包括哪一项？A、信息安全方针、信息安全组织、资产管理B、人力资源安全、物力和环境安全、通信和操作管理C、访问控制、信息系统获取、开发和维护、符合性D、规划与建立ISMS答案：D58.信息安全是国家安全的重要组成部分,综合研究当前世界各国信息安全保障工作,总结错误的是（）A、各国普遍将与国家安全、社会稳定和民生密切相关的关键基础设施作为信息安全保障的重点B、各国普遍重视战略规划工作,逐步发布网络安全战略、政策评估报告、推进计划等文件C、各国普遍加强国际交流与对话,均同意建立一致的安全保障系统,强化各国安全系统互通D、各国普遍积极推动信息安全立法和标准规范建设,重视应急响应、安全监管和安全测评答案：C59.管理体系审计员进行通信访问控制审查，首先应该关注：A、维护使用各种系统资源的访问日志B、在用户访问系统资源之前的授权和认证C、通过加密或其他方式对存储在服务器上数据的充分保护D、确定是否可以利用终端系统资源的责任制和能力.答案：D60.chmod744test命令执行的结果是：A、test文件的所有者具有执行读写权限，文件所属的组合其它用户有读的权限B、test文件的所有者具有执行读写和执行权限，文件所属的组和其它用户有读的权限C、test文件的所有者具有执行读和执行权限，文件所属的组和其它用户有读的权限D、test文件的所有者具有执行读写和执行权限，文件所属的组和其它用户有读和写的权限答案：B61.某单位系统管理员对组织内核心资源的访问制定访问策略，针对每个用户指明能够访问的资源，对于不在指定资源列表中的对象不允许访问。该访问控制策略属于以下哪一种A、强制访问控制B、基于角色的访问控制C、自主访问控制D、基于任务的访问控制答案：C62.信息安全管理体系（InformationSecurityManagementSystem，ISMS）的内部审核和管理审核是两项重要的管理活动，关于这两者，下面描述错误的是A、内部审核的实施主体由组织内部的ISMS内审小组，而管理评审的实施主体是由国家政策指定的第三方技术服务机构B、内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理评审会议的形式进行C、内部审核和管理评审都很重要，都是促进ISMS持续改进的重要动力，也都应当按照一定的周期实施D、组织的信息安全方针、信息安全目标和有关ISMS文件等，在内部审核中作为审核准使用，但在管理评审中，这些文件是被审对象答案：A63.在密码学的Kerchhof假设中,密码系统的安全性仅依赖于_______。A、明文B、密文C、密钥D、信道答案：C64.以下关于直接附加存储（DirectAttachedStorage，DAS）说法错误的是A、DAS能够在服务器物理位置比较分散的情况下实现大容量存储．是一种常用的数据存储方法B、DAS实现了操作系统与数据的分离，存取性能较高并且实施简单C、DAS的缺点在于对服务器依赖性强，当服务器发生故障时，连接在服务器上的存储设备中的数据不能被存取D、较网络附加存储（NetworkAttachedStorage，NAS），DAS节省硬盘空间，数据非常集中，便于对数据进行管理和备份答案：D65.下列关于防火墙的错误说法是____。（）A、防火墙工作在网络层B、对IP数据包进行分析和过滤C、重要的边界保护机制D、部署防火墙，就解决了网络安全问题答案：D66.下列哪项是系统问责时不需要的？A、认证B、鉴定C、授权D、审计答案：C67.关于信息安全的说法错误的是____。（）A、包括技术和管理两个主要方面B、策略是信息安全的基础C、采取充分措施，可以实现绝对安全D、保密性、完整性和可用性是信息安全的目标答案：C68.为保障信息系统的安全，某经营公众服务系统的公司准备并编制一份针对性的信息安全保障方案，并将编制任务交给了小王，为此，小王决定首先编制出一份信息安全需求描述报告。关于此项工作，下面说法错误的是（）。A、信息安全需求描述报告是设计和撰写信息安全保障方案的前提和依据B、信息安全需求描述报告的主体内容可以按照技术、管理和工程等方面需求展开编写C、信息安全需求描述报告应当基于信息安全风险评估结果和有关政策法规和标准的合规性要求得到D、信息安全需求报告应依据该公众服务信息系统的功能设计方案为主要内容来撰写答案：D解析：信息安全需求报告不应依据该公众服务信息系统的功能设计方案为主要内容来撰写，而应该依据现有安全现状，痛点以及客户需求来写。69.关于Wi-Fi联盟提出的安全协议WPA和WPA2的区别，下面描述正确的是？A、WPA是有线局域安全协议，而WPA2是无线局域网协议B、WPA是适用于中国的无线局域安全协议，而WPA2适用于全世界的无线局域网协议C、WPA没有使用密码算法对接入进行认证，而WPA2使用了密码算法对接入进行认证D、WPA是依照802.111标准草案制定的，而WPA2是依照802.111正式标准制定的答案：D70.主体和客体是访问控制模型中常用的概念，下面描述错误的是？A、主体是访问的发起者，是一个主动的实体，可以操作被动实体的相关信息或数据B、客体也是一种实体，是操作的对象，是被规定需要保护的资源C、主体是动作的实施者，比如人、进程或设备等均是主体，这些对象不能被当作客体使用D、一个主体为了完成任务，可以创建另外的主体，这些主体可以独立运行答案：C71.如下图所示,两份文件包含了不同的内容,却拥有相同的SHA-1数字签名A,这违背了安全的哈希函数（）性质。A、单向性;B、弱抗碰撞性;C、强抗碰撞性;D、机密性;答案：C解析：该题目是违背了强抗碰撞性,P282页。72.灾备指标是指信息安全系统的容灾抗毁能力，主要包括四个具体指标：恢复时间目标（RecoveryTimeOhjective,RTO）.恢复点目标（RecoveryPointObjective,RPO）降级操作目标（DegradedOperationsObjective-DOO）和网络恢复目标（NeLworkRecoveryObjective-NRO），小华准备为其工作的信息系统拟定恢复点目标RPO-O，以下描述中，正确的是（）。A、RPO-O，相当于没有任何数据丢失，但需要进行业务恢复处理，覆盖原有信息B、RPO-O,相当于所有数据全部丢失，需要进行业务恢复处理。修复数据丢失C、RPO-O，相当于部分数据丢失，需要进行业务恢复处理，修复数据丢失D、RPO-O，相当于没有任何数据丢失，且不需要进行业务恢复处理答案：A73.企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的A、只关注外来的威胁，无视企业内部人员的问题B、相信来自陌生人的邮件，好奇打开邮件附件C、开着电脑离开，就像离开家却忘记关灯那样D、及时更新系统和安装系统和应用的补丁答案：D74.数据备份常用的方式主要有：完全备份、增量备份和（）。A、逻辑备份B、按需备份C、差分备份D、物理备份答案：C75.以下属于哪一种认证实现方式：用户登录时，认证服务器（AuthenticationServer，AS）产生一个随机数发送给用户，用户用某种单向算法将自己的口令、种子秘钥和随机数混合计算后作为一次性口令，并发送给AS,AS用同样的防腐计算后，验证比较两个口令即可验证用户身份。A、口令序列B、时间同步C、挑战/应答D、静态口令答案：C76.要安全浏览网页，不应该（）。A、定期清理浏览器缓存和上网历史记录B、禁止使用ActiveX控件和Java脚本C、定期清理浏览器CookiesD、在他人计算机上使用“自动登录”和“记住密码”功能答案：D77.在现实的异构网络环境中，越来越多的信息需要实现安全的互操作。即进行跨域信息交换和处理。Kerberos协议不仅能在域内进行认证，也支持跨域认证，下图显示的是Kerberos协议实现跨域认证的7个步骤，其中有几个步骤出现错误，图中错误的描述正确的是A、步骤1和步骤2发生错误，应该向本地AS请求并获得远程TGTB、步骤3和步骤4发生错误，应该向本地TGS请求并获得远程TGTC、步骤5和步骤6发生错误，应该向远程AS请求并获得远程TGTD、步骤5和步骤6发生错误，应该向远程TGS请求并获得远程TGT答案：B78.下面哪类命令是CISCO限制接口流量的？A、RATE-LIMITB、privilegeC、AAAD、LOOPBACK答案：A79.以下哪个选项不是信息安全需求较为常见的来源？A、法律法规与合同条约的要求B、组织的原则、目标和规定C、风险评估的结果D、安全架构和安全厂商发布的病毒、漏洞的预警答案：D80.某网站为了开发的便利，使用SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程XP_cmdshe11删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站涉及违反了以下哪些原则：A、权限分离原则B、最小特权原则C、保护最薄弱环节的原则D、纵深防御的原则答案：B81.某网站为了开发的便利,使用SA链接数据库,由于网站脚本中被发现存在SQL注入漏洞,导致攻击者利用内置存储过程XP.cmctstell删除了系统中的一个重要文件,在进行问题分析时,作为安全专家,你应该指出该网站设计违反了以下哪项原则:A、权限分离原则B、最小特权原则C、保护最薄弱环节的原则D、纵深防御的原则答案：B82.信息安全管理体系（informationSecurityManagementSystem.ISMS）的内部审核和管理审核是两项重要的管理活动，关于这两者，下面描述错误的是（）A、内部审核和管理评审都很重要，都是促进ISMS持续改进的重要动力，也都应当按照一定的周期实施B、内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理评审会议的形式进行C、内部审核的实施主体由组织内部的ISMS内审小组，而管理评审的实施主体是由国家政策指定的第三方技术服务机构D、组织的信息安全方针，信息目标和有关ISMS文件等，在内部审核中作为审核准则使用，但在管理评审中，这些文件是被审对象答案：C83.下面哪个功能属于操作系统中的安全功能A、控制用户的作业排序和运行B、对计算机用户访问系统和资源情况进行记录C、保护系统程序和作业，禁止不合要求的对程序和数据的访问D、实现主机和外设的并行处理以及异常情况的处理答案：C84.如果出现IT人员和最终用户职责分工的问题，下面哪个选项是合适的补偿性控制？A、限制物理访问计算机设备B、检查应用及事务处理日志C、在聘请IT人员之前进行背景检查D、在不活动的特定时间后，锁定用户会话答案：B85.信息安全管理体系ISMS要求建立过程体系，该过程体系是如下（）基础上构建的A、IATFB、P2DRC、PDCERFD、PDCA答案：D86.在进行应用系统的测试时，应尽可能避免使用包含个人稳私和其它敏感信息的实际生产系统中的数据，如果需要使用时，以下哪一项不是必须做的：A、测试系统应使用不低于生产系统的访问控制措施B、为测试系统中的数据部署完善的备份与恢复措施C、在测试完成后立即清除测试系统中的所有敏感数据D、部署审计措施，记录生产数据的拷贝和使用答案：B87.国家对信息安全建设非常重视，如国家信息化领导小组在（）中确定要求，“信息安全建设是信息化的有机组成部分，必须与信息化同步规划、同步建设。各地区各部门在信息化建设中，要同步考虑信息安全建设，保证信息安全设施的运行维护费用。”国家发展改革委所下发的（）要求；电子政务工程建设项目必须同步考虑安全问题，提供安全专项资金，信息安全风险评估结论是项目验收的重要依据。在我国2017年正式发布的（）中规定“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。”信息安全工程就是要解决信息系统生命周期的“过程安全”问题。A、《关于加强信息安全保障工作的意见》；《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》；《网络安全法》B、《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》；《关于加强信息安全保障工作的意见》；《网络安全法》C、《网络安全法》；《关于加强信息安全保障工作的意见>>;＜＜关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》D、《网络安全法》；《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》；《关于加强信息安全保障工作的意见》答案：A88.以下哪一项对安全风险的描述是准确的？A、安全风险是指一种特定脆弱性利用一种或一组威胁造成组织的资产损失或损害的可能性。B、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失事实。C、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性D、安全风险是指资产的脆弱性被威胁利用的情形。答案：C89.以下无线加密标准中哪一种安全性最弱？A、WEPB、WPA.C、WPA.2D、WA.P答案：A90.网络与信息安全应急预案是在分析网络与信息系统突发事件后果和应针对可能发生的重大网络与信息系统突发事件,预先制定的行动计划或应急对策。应急预案的实施需要各子系统的相互配合与协调,下面应急响应工作流程图中,空白方框中从右到左依次填入的是（）A、应急响应专家小组、应急响应技术保障小组、应急响应实施小组、应急响应日常运行小组B、应急响应专家小组、应急响应实施小组、应急响应技术保障小组、应急响应日常运行小组C、应急响应技术保障小组、应急响应专家小组、应急响应实施小组。应急响应日常运行小组D、应急响应技术保障小组、应急响应专家小组、应急响应日常运行小组、应急响应实施小组答案：A91.哪一项不是管理层承诺完成的？A、确定组织的总体安全目标B、购买性能良好的信息安全产品C、推动安全意识教育D、评审安全策略的有效性答案：B92.域名注册信息可在哪里找到？A、路由器B、DNS记录C、Whois数据库D、MIBs库答案：C93.在信息系统的设计阶段必须做以下工作除了：A、决定使用哪些安全控制措施B、对设计方案的安全性进行评估C、开发信息系统的运行维护手册D、开发测试、验收和认可方案答案：C94.关于Wi-Fi联盟提出的安全协议AWPA和2WPA2的区别，下面描述正确的是（）A、WPA是有线局域安全协议，而WPA2是无线局域网协议B、WPA是适用于中国的无线局域安全协议，而WPA2适用于全世界的无线局域网协议C、WPA没有使用密码算法对接入进行认证，而WPA2使用了密码算法对接入进行认证DD、WPPAA照是依照i802.11i标准草案制定的，而WWPPAA22照是依照i802.11i正式标准制定的答案：D95.规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。某单41位在实施风险评估时，形成了《待评估信息系统相关设备及资产清单》。在风险评估实施的各个阶段中，该《待评估信息系统相关设备及资产清单》应是如下（）A、风险评估准备B、风险要素识别C、风险分析D、风险结果判定答案：B解析：风险评估包括四个阶段：风险评估准备阶段、风险要素识别阶段、风险分析阶段和风险结果判定阶段。其中评估方案、工具、团队、人员、计划、准则都属于准备阶段；资产识别、威胁识别、脆弱性识别、安全措施识别都属于要素识别阶段。96.在安全人员的帮助下，对数据提供访问权的责任在于：A、数据所有者.B、程序员C、系统分析师.D、库管员答案：A97.以下哪项是正确的信息安全保障发展历史顺序？A、通信安全→电脑安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障B、通信安全→信息安全保障→电脑安全→信息系统安全→网络空间安全/信息安全保障C、电脑安全→通信安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障D、通信安全→信息系统安全→电脑安全→信息安全保障→网络空间安全/信息安全保障答案：A98.关于我国信息安全保障的基本原则，下列说法中不正确的是：A、要与过接轨，积极吸收国外先进经验并加强合作，遵循国际标准和通行做法，坚持管理与技术并重B、信息化发展和信息安全不是矛盾的关系，不能牺牲一方以保证另一方C、在信息化安全保障建设的各项工作中，既要统筹规划，又要突出重点D、在国家信息安全保障中，要充分发挥国家、企业和个人的积极性，不能忽视任何一方的作用答案：A99.在Windos7中，通过控制面板（管理工具--本地安全策略--安全设置--账户策略）可以进入操作系统的密码策略设置界面，下面哪项内容不能在该界面进行设置A、密码必须符合复杂性要求B、密码长度最小值C、强制密码历史D、账号锁定时间答案：D100.信息系统安全保护等级为3级的系统,应当（）年进行一次等级测评?A、0.5B、1C、2D、3答案：B101.从安全属性对各种网络攻击进行分类，截获攻击是针对（）的攻击。A、机密性B、可用性C、完整性D、真实性答案：A102.《计算机信息系统安全保护条例》规定，计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的____的安全。（）A、计算机B、计算机软件系统C、计算机信息系统D、计算机操作人员答案：C103.为保障信息系统的安全,某经营公众服务系统的公司准备编制一份针对性的信息安全保障方案,并将编制任务交给了小王,为此,小王决定首先编制出一份信息安全需求描述报告,关于此项工作,下面说法错误的是（）A、信息安全需求报告应依据该公众服务信息系统的功能设计方案为主要内容来撰写B、信息安全需求描述报告是设计和撰写信息安全保障方案的前提和依据C、信息安全需求描述报告应当基于信息安全风险评估报告结果和有关政策法规和标准的合规性要求得到D、信息安全需求描述报告的主体内容可以按照技术、管理和工程等方面需求展开编写答案：A104.关于监理过程中成本控制,下列说法中正确的是?A、成本只要不超过预计的收益即可B、成本应控制得越低越好C、成本控制由承建单位实现,监理单位只能记录实际开销D、成本控制的主要目的是在批准的预算条件下确保项目保质按期完成答案：D105.微软提出了STRIDE模型，其中Repudation（抵赖）的缩写，关于此项安全要求，下面描述错误的是（）A、某用户在登陆系统并下载数据后，却声称“我没有下载过数据”，软件系统中的这种威胁就属于R威胁B、解决R威胁，可以选择使用抗抵赖性服务技术来解决，如强认证、数字签名、安全审计等技术措施C、R威胁是STRIDE六种威胁中第三严重的威胁，比D威胁和E威胁的严重程度更高D、解决R威胁，也应按照确定建模对象、识别威胁、评估威胁以及消减威胁等四个步骤来进行答案：C106.以下关于互联网协议安全（InternetProtocolSecurity,IPsec）协议说法错误的是:A、在传送模式中,保护的是IP负载B、验证头协议（AuthenticationHead,AH）和IP封装安全载荷协议（EncapsulatingSecurityPayload,ESP）都能以传输模式和隧道模式工作C、在隧道模式中,保护的是整个互联网协议（InternetProtocol,IP）包,包括IP头D、IPsec仅能保证传输数据的可认证性和保密性答案：D107.下列对网络认证协议（Kerberos）描述正确的是:A、该协议使用非对称密钥加密机制B、密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成C、该协议完成身份鉴别后将获取用户票据许可票据D、使用该协议不需要时钟基本同步的环境答案：B108.传输线路是信息发送设备和接受设备之间的物理通路，针对传输线路的攻击是攻击者常用的方式，不同传输介质具有不同的安全特性。同轴电缆、双绞线和光纤是广泛使用的有线传输介质.下列选项中，对有线传输介质的描述正确的是（）。A、同轴电缆显著的特征是频带较宽，其中高端的频带最大可达到100GHzB、在双经线外包裹一层金属屏蔽层，可解决抗干扰能力差的问题C、由于光在塑料的保护套中传输损耗非常低，因此光纤可用于长距离的信息传递D、光纤通信传输具有高带宽、信号衰减小、无电磁干扰、不易被窃听、成本低康等特点答案：B109.降低企业所面临的信息安全风险的手段，以下说法不正确的是？A、通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷B、通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；C、建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击D、通过业务外包的方式，转嫁所有的安全风险责任答案：D110.为防范网络欺诈确保交易安全,网银系统首先要求用户安全登录,然后使用“智能卡+短信认证”模式进行网上转账等交易。在此场景中用到下列哪些鉴别方法?A、实体“所知”以及实体“所有”的鉴别方法B、实体“所有”以及实体“特征”的鉴别方法C、实体“所知”以及实体“特征”的鉴别方法D、实体“所有”以及实体“行为”的鉴别方法答案：A111.下列____不属于物理安全控制措施。（）A、门锁B、警卫C、口令D、围墙答案：C112.以下哪个模型主要用于医疗资料的保护？A、Chinesewall模型B、BIBA模型C、Clark－Wilson模型D、BMA模型答案：D113.信息安全是通过实施一组合适的（）而达到的,包括策略、过程、规程、（）以及软件和硬件功能。在必要时需建立、实施、监视、评审和改进包含这些控制措施的（）过程,以确保满足该组织的特定安全和（）。这个过程宜与其他业务（）联合进行。A、信息安全管理;控制措施;组织结构;业务目标;管理过程B、组织结构;控制措施;信息安全管理;业务目标;管理过程C、控制措施;组织结构;信息安全管理;业务目标;管理过程D、控制措施;组织结构;业务目标;信息安全管理;管理过程答案：C解析：P103页114.发现个人电脑感染病毒，断开网络的目的是（）A、影响上网速度B、担心数据被泄露电脑被损坏C、控制病毒向外传播D、防止计算机被病毒进一步感染答案：B115.下面哪个命令可以打印Linux下的所有进程信息A、ls-dB、ls-lC、suD、ps-ef答案：D116.若一个组织声称自己的ISMS符合ISO/IEC27001或GB/T22080标准要求，其信息安全控制措施通常需要在资产管理方面安施常规控制，资产管理包含对资产负责和信息分类两个控制目标。信息分类控制的目标是为了确保信息受到适当级别的保护，通常采取以下哪项控制措施（）A、资产清单B、资产责任人C、资产的可接受使用D、分类指南，信息的标记和处理答案：D117.某电子商务网站在开发设计时,使用了威胁建模方法来分析电子商务网站所面临的威胁.STRIDE是微软SDL中提出的威胁建模方法,将威胁分为六类,为每一类威胁提供了标准的消减措施,Spoofing是STRIDE中欺骗类的威胁,以下威胁中哪个可以归入此类威胁（）.A、网站竞争对手可能雇佣攻击者实施DDoS攻击,降低网站访问速度B、网站使用用户名、密码进行登录验证,攻击者可能会利用弱口令或其他方式获得用户密码,以该用户身份登录修改用户订单等信息C、网站使用使用http协议进行浏览等操作,无法确认数据与用户发出的是否一致,可能数据被中途篡改D、网站使用使用http协议进行浏览等操作,未对数据进行加密,可能导致用户传输信息泄露,例如购买的商品金额等答案：B解析：A属于拒绝服务威胁；C属于篡改威胁；D属于信息泄露威胁.P405页118.黑客通常实施攻击的步骤是什么？（）A、远程攻击、本地攻击、物理攻击B、踩点、扫描、获取访问权、提升权限、安装后门、清除痕迹C、拒绝服务攻击、扫描、获取控制器、清除痕迹D、扫描、拒绝服务攻击、获取控制权、安装后门、嗅探答案：B119.某集团公司根据业务需要，在各地分支机构部署前置机，为了保证安全，集团总部要求前置机开放日志共享，由总部服务器采集进行集中分析，在运行过程中发现攻击者也可通过共享从前置机中提取日志，从而导致部分敏感信息泄露，根据降低攻击面的原则，应采取以下哪项处理措施?A、由于共享导致了安全问题，应直接关闭日志共享，禁止总部提取日志进行分析B、为配合总部的安全策略，会带来一定的安全问题，但不影响系统使用，因此接受此风险C、日志的存在就是安全风险，最好的办法就是取消日志，通过设置让前置机不记录日志D、只允许特定的IP地址从前置机提取日志，对日志共享设置访问密码且限定访问的时间答案：D120.国务院信息化工作办公室于2004年9月份下发了《关于做好重要信息系统灾难备份工作的通知》，该文件中指出了我国在灾备工作原则，下面哪项不属于该工作原则？A、统筹规划B、分级建设C、资源共享D、平战结合答案：B121.在设计信息系统安全保障方案时，以下哪个做法是错误的（）A、要充分符合信息安全需求并且实际可行B、要充分考虑成本收益，在满足合规性要求和风险处置要求的前提下，尽量控制成本C、要使用当前最新的技术和成本最高的设备，从而保障信息系统的绝对安全D、要充分考虑用户管理和文化的可接受性，减少系统方案实施障碍答案：C122.公安部网络违法案件举报网站的网址是____。（）A、B、C、D、答案：C123.以下哪一项不是应用层防火墙的特点？A、更有效的阻止应用层攻击B、工作在OSI模型的第七层C、速度快且对用户透明D、比较容易进行审计答案：C124.授权访问信息资产的责任人应该是A、资产保管员B、安全管理员C、资产所有人D、安全主管答案：C125.关于防火墙和VPN的使用，下面说法不正确的是____。（）A、配置VPN网关防火墙的一种方法是把它们并行放置，两者独立B、配置VPN网关防火墙一种方法是把它们串行放置，防火墙广域网一侧，VPN在局域网一侧C、配置VPN网关防火墙的一种方法是把它们串行放置，防火墙局域网一侧，VPN在广域网一侧D、配置VPN网关防火墙的一种方法是把它们并行放置，两者要互相依赖答案：B126.组织应依照已确定的访问控制策略限制对信息和（）功能的访问。对访问的限制要基于各个业务应用要求,访问控制策略还要与组织访问策略一致。应建立安全登录规程控制实现对系统和应用的访问。宜选择合适的身份验证技术以验证用户身份。在需要强认证和（）时,宜使用加密、智能卡、令牌或生物手段等替代密码的身份验证方法。应建立交互式口令管理系统,并确保使用优质的口令。对于可能覆盖系统和应用的控制措施的实用工具和程序的使用,应加以限制并（）。对程序源代码和相关事项（例如设计、说明书、验证计划和确认计划）的访问宜严格控制,以防引入非授权功能、避免无意识的变更和维持有价值的知识产权的（）。对于程序源代码的保存,可以通过这种代码的中央存储控制来实现,更好的是放在（）中。A、应用系统;身份验证;严格控制;保密性;源程序库B、身份验证;应用系统;严格控制;保密性;源程序库C、应用系统;严格控制;身份验证;保密性;源程序库D、应用系统;保密性;身份验证;严格控制;源程序库答案：A解析：教材第112页9.4.5表格之下的所有部分,到118页的最上面一段127.“统一威胁管理”是将防病毒,入侵检测和防火墙等安全需求统一管理,目前市场上已经出现了多种此类安全设备,这里“统一威胁管理”常常被简称为（）A、UTMB、FWC、IDSD、SOC答案：A128.随着高校业务资源逐渐向数据中心高度集中，Web成为一种普适平台，上面承载了越来越多的核心业务。Web的开放性带来丰富资源、高效率、新工作方式的同时，也使机构的重要信息暴露在越来越多的威胁中。去年，某高校本科生院网站遭遇SQL群注入（MassSQLInjection）攻击，网站发布的重要信息被篡改成为大量签名，所以该校在某信息安全公司的建议下配置了状态检测防火墙，其原因不包括（）A、状态监测防火墙具有记录通过每个包的详细信息能力B、状态监测防火墙过滤规则与应用层无关，相比于包过滤防火墙更易安装和使用C、状态监测防火墙结合网络配置和安全规定做出接纳、拒绝、身份认证或报警等处理动作D、状态监测防火墙可以应用会话信息决定过滤规则答案：B129.在加固数据库时,以下哪个是数据库加固最需要考虑的？A、修改默认配置B、标准数据库所有的表空间C、存储数据被加密D、修改数据库服务的服务端口答案：A130.以下关于安全控制措施的选择，哪一个选项是错误的?A、维护成本需要被考虑在总体控制成本之内B、最好的控制措施应被不计成本的实施C、应考虑控制措施的成本效益D、在计算整体控制成本的时候，应考虑多方面的因素答案：B131.安全扫描可以____。（）A、弥补由于认证机制薄弱带来的问题B、弥补由于协议本身而产生的问题C、弥补防火墙对内网安全威胁检测不足的问题D、扫描检测所有的数据包攻击，分析所有的数据流答案：C132.关于信息安全管理体系的作用，下面理解错误的是？A、对内而言，有助于建立起文档化的信息安全管理规范，实现有“法”可依，有章可循，有据可查B、对内而言，是一个光花钱不挣钱的事情，需要组织通过其他方面收入来弥补投入C、对外而言，有助于使各利益相关方对组织充满信心D、对外而言，能起到规范外包工作流程和要求，帮助界定双方各自信息安全责任答案：B133.目前，很多行业用户在进行信息安全产品选项时，均要求产品需通过安全测评，关于信息安全产品测评的意义，下列说法中不正确的是A、有助于建立和实施信息安全产品的市场准入制度B、对用户采购信息安全产品，设计、建设、使用和管理安全的信息系统提供科学公正的专业指导C、对信息安全产品的研究、开发、生产以及信息安全服务的组织提供严格的规范引导和质量监督D、打破市场垄断，为信息安全产业发展创造一个良好的竞争环境答案：D134.社会工程学是（）与（）结合的学科，准确来说，它不是一门科学，因为它不能总是重复合成功，并且在信息充分多的情况下它会失效。基于系统、体系、协议等技术体系缺陷的（），随着时间流逝最终都会失效，因为系统的漏洞可以弥补，体系的缺陷可能随着技术的发展完善或替代，社会工程学利用的是人性的“弱点”，而人性是（）,这使得它几乎是永远有效的（）A、网络安全；心理学；攻击方式；永恒存在的；攻击方式B、网络安全；攻击方式；心理学；永恒存在的；攻击方式C、网络安全；心理学；永恒存在的；攻击方式D、网络安全；攻击方式；心理学；攻击方式；永恒存在的答案：A135.以下哪种无线加密标准中哪一项的安全性最弱？A、WepB、wpaC、wpa2D、wapi答案：A136.应急响应时信息安全事件管理的重要内容之一。关于应急响应工作，下面描述错误的是？A、信息安全应急响应，通常是指一个组织为了应对各种安全意外事件的发生所采取的防范措施，既包括预防性措施，也包括事业发生后的应对措施B、应急响应工作有其鲜明的特点：具体高技术复杂性与专业性、强突发性、对知识经验的高依赖性，以及需要广泛的协调与合作C、应急响应时组织在处置应对突发/重大信息安全事件时的工作，其主要包括两部分工作：安全事件发生时正确指挥、事件发生后全面总结D、应急响应工作的起源和相关机构的成立和1988年11月发生的莫里斯蠕虫病毒事件有关，基于该事件，人们更加重视安全事件的应急处理和整体协调的重要性答案：D137.信息保障技术框架（IATF）是美国国家安全局（NSA）制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南，关于IATF的说法错误的是？A、IATF的代表理论为“深度防御”。B、IATF强调人、技术、操作这三个核心要素，从多种不同的角度对信息系统进行防护。C、IATF关注本地计算环境、区域边界、网络和基础设施三个信息安全保障领域。D、IATF论述了系统工程、系统采购、风险管理、认证和鉴定以及生命周期支持等过程。答案：C138.在一家企业的业务持续性计划中,什么情况被宣布为一个危机没有被定义。这一点关系到的主要风险是:A、对这种情况的评估可能会延迟B、灾难恢复计划的执行可能会被影响C、团队通知可能不会发生D、对潜在危机的识别可能会无效答案：B139.数据在进行传输前，需要由协议栈自上而下对数据进行封装，TCP／IP协议中，数据封装的顺序是：A、传输层、网络接口层、互联网络层B、传输层、互联网络层、网络接口层C、互联网络层、传输层、网络接口层D、互联网络层、网络接口层、传输层答案：B140.68.关于信息安全保障技术框架（InformationAssuranceTehnicalFramework,IATF），下面描述错误的是（）A、IATF最初由美国国家安全局（NSA）发布，后来由国际标准化组织（ISO）转化为国际标准，供各个国家信息系统建设参考使用B、B.IATF是一个通用框架，可以用到多种应用场景中，通过对复杂信息系统进行解构和描述，然后再以此框架讨论信息系统的安全保护问题C、C.IATF提出了深度防御的战略思想，并提供一个框架进行多层保护，以此防范信息系统面临的各种威胁D、强调人、技术和操作是深度防御的三个主要层面，也就是说讨论人在技术支持下运行维护的信息安全保障问题答案：A141.以下哪一个数据传输方式难以通过网络窃听获取信息？A、FTP传输文件B、TELNET进行远程管理C、URL以HTTPS开头的网页内容D、经过TACACS+认证和授权后建立的连接答案：C142.下面WAPI描述不正确的是:A、安全机制由WAI和WPI两部分组成B、WAl实现对用户身份的鉴别C、WPI实现对传输的数据加密D、WAI实现对传输的数据加密答案：D143.风险评估实施过程中资产识别的依据是什么A、依据资产分类分级的标准B、依据资产调查的结果C、依据人员访谈的结果D、依据技术人员提供的资产清单答案：A144.随着信息安全涉及的范围越来越广，各个组织对信息安全管理的需求越来越迫切，越来越多的组织开始尝试使用参考ISO27001介绍的ISMS来实施信息安全管理体系，提高组织的信息安全管理能力。关于ISMS，下面描述错误的是（）A、在组织中，应有信息技术责任部门（如信息中心）制定并颁布信息安全方针，为组织的ISMS建设指明方向并提供总体纲领，明确总体要求B、组织的管理层应确保ISMS目标和相应的计划得以制定，信息安全管理目标应明确、可度量，风险管理计划应具体、具备可行性C、组织的信息安全目标、信息安全方针和要求应传达到全组织范围内，应包括全体员工，同时，也应传达客户、合作伙伴和供应商等外部各方D、组织的管理层应全面了解组织所面临的信息安全风险，决定风险可接受级别和风险可接受准则，并确认接受和相关残余风险答案：A145.某软件在设计时,有三种用户访问模式,分别是仅管理员可访问、所有合法用户可访问和允许匿名访问）采用这三种访问模式时,攻击面最高的是（）。A、仅管理员可访问B、所有合法用户可访问C、允许匿名D、三种方式一样答案：C146.对信息安全风险评估要素理解正确的是A、资产识别的粒度随着评估范围、评估目的的不同而不同，既可以是硬件设备，也可以是业务系统，也可以是组织机构B、应针对构成信息系统的每个资产做风险评价C、脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而找出的差距项D、信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁答案：A解析：B错误，应该是抽样评估；C错误，应该其描述的是差距分析；D错误，应该是威胁包括人为威胁和环境威胁。147.安全模型是用于精确和形式地描述信息系统的安全特征，解释系统安全相关行为。关于它的作用描述不正确的选项是？A、准确的描述安全的重要方面与系统行为的关系。B、开发出一套安全性评估准则，和关键的描述变量。C、提高对成功实现关键安全需求的理解层次。D、强调了风险评估的重要性。答案：D148.以下关于直接附加存储（DirectAttachedStorage,DAS）说法错误的是:A、DAS能够在服务器物理位置比较分散的情况下实现大容量存储.是一种常用的数据存储方法B、DAS实现了操作系统与数据的分离,存取性能较高并且实施简单C、DAS的缺点在于对服务器依赖性强,当服务器发生故障时,连接在服务器上的存储设备中的数据不能被存取D、较网络附加存储（NetworkAttachedStorage,NAS）,DAS节省硬盘空间,数据非常集中,便于对数据进行管理和备份答案：D149.某项目组进行风险评估时由于时间有限，决定采用基于知识的分析方法，使用基于知识的分析方法进行风险评估，最重要的在于评估信息的采集，该项目组对信息源进行了讨论，以下说法中不可行的是（）A、可以通过对当前的信息安全策略和相关文档进行复查采集评估信息B、可以通过进行实施考察的方式采集评估信息C、可以通过建立模型的方法采集评估信息D、可以制作问卷，进行调查答案：C解析：基于知识的风险评估方法和基于模型的风险评估方法是并列关系150.在信息安全管理日常工作中，需要与哪些机构保持联系？A、政府部门B、监管部门C、外部专家D、以上都是答案：D151.SQLServer支持两种身份验证模式,即Windows身份验证模式和混合模式。SQLServer的混全模式是指:当网络用户尝试接到SQLServer数据库时,（）A、Windows获取用户输入的用户和密码,并提交给SQLServe进行身份验证,并决定用户的数据库访权限B、SQLServe根据用户输入的用户和密码,并提交给Windows进行身份验证,并决定用户的数据库访权限C、SQLServe根据已在Windows网络中登录的用户的网络安全属性,对用户进行身份验证,并决定用户的数据库访权限D、登录到本地Windows的用户均可无限制访问SQLServe数据库答案：C152.下面对“零日（zero-day）漏洞”的理解中，正确的是A、指一个特定的漏洞，该漏洞每年1月1日零点发作，可以被攻击者用来远程攻击，获取主机权限B、指一个特定的漏洞，特指在2010年被发现出来的一种漏洞，该漏洞被“震网”病毒所利用，用来攻击伊朗布什尔核电站基础设施C、指一类漏洞，即特别好被利用，一旦成功利用该漏洞，可以在1天内完成攻击，且成功达到攻击目标D、指一类漏洞，即刚被发现后立即被恶意利用的安全漏洞。一般来说，那些已经被小部分人发现，但是还未公布、还不存在安全补丁的漏洞都是零日漏洞答案：D解析：零日漏洞：刚被发现还未打补丁就被利用的漏洞153.ISO／IBC27001《信息技术安全技术信息安全管理体系要求》的内容是基于A、BS7799-1《信息安全实施细则》B、BS7799-2《信息安全管理体系规范》C、信息技术安全评估准则（简称ITSEC、D、信息技术安全评估通用标准（简称CC）答案：B154.某公司已有漏洞扫描和入侵检测系统（IntrusienDetectionSystem，IDS）产品，需要购买防火墙，以下做法应当优先考虑的是：A、选购当前技术最先进的防火墙即可B、选购任意一款品牌防火墙C、任意选购一款价格合适的防火墙产品D、选购一款同已有安全产品联动的防火墙答案：D155.电子邮件客户端通常需要用协议来发送邮件。A、仅SMTPB、仅POPC、SMTP和POPD、以上都不正确答案：A156.下面对国家秘密定级和范围的描述中，哪项不符合《保守国家秘密法》要求A、国家秘密及其密级的具体范围，由国家保密工作部门分别会同外交、公安、国家安全和其他中央有关机关规定。B、各级国家机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级具体范围的规定确定密级。C、对是否属于国家秘密和属于何种密级不明确的事项，可由各单位自行参考国家要求确定和定级，然后报国家保密工作部门确定。D、对是否属于国家秘密和属于何种密级不明确的事项，由国家保密工作部门，省、自治区、直辖市的保密工作部门，省、自治区政府所在地的市和经国务院批准的较大的市的保密工作部门或者国家保密工作部门审定的机关确定。答案：C157.基于生物特征的鉴别系统一般使用哪个参数来判断系统的准确度？A、错误拒绝率B、错误监测率C、交叉错判率D、错误接受率答案：C158.下列关于信息系统生命周期中安全需求说法不准确的是A、明确安全总体方针，确保安全总体方针源自业务期望B、描述所涉及系统的安全现状，提交明确的安全需求文档C、向相关组织和领导人宣贯风险评估准则D、对系统规划中安全实现的可能性进行充分分析和论证答案：C159.《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003]27号明确了我国信息安全保障工作的（）、加强信息安全保障工作的（）、需要重点加强的信息安全保障工作。27号文的重大意义是，它标志着我国信息安全保障工作有了（）、我国最近十余年的信息安全保障工作都是围绕此政策性文件来（）的、促进了我国（）的各项工作。A、方针和总体要求；主要原则；总体纲领；展开和推进；信息安全保障建设B、总体要求；总体纲领；主要原则；展开；信息安全保障建设C、方针；主要原则；总体纲领；展开和推进；信息安全保障建设D、总体要求；主要原则；总体纲领；展开；信息安全保障建设答案：A解析：27号文标志着我国信息安全保障工作有了总体纲领。160.WINDOWS系统，下列哪个命令可以列举本地所有用户列表A、netuserB、netviewC、netnameD、netaccounts答案：A161.某银行有5台交换机连接了大量交易机构的网络（如图所示）。在基于以太网的通信中，计算机A需要与计算机B通信，A必须先广播ARP请求信息。获取计算机B的物理地址，每到月底时用户发现该银行网络服务速度极其缓慢，银行经调查后发现为了当其中一台交换机收到ARP请求后，会转发给接收端口以外的其他所有端口，ARP请求会被发到网络中的所有客户上，为降低网络的带宽消耗，将广播流限制在固定区域内，可以采用的技术是（）A、VLAN划分B、动态分配地址C、为路由交换设备修改默认令D、设立入侵防御系统答案：A162.以下有关访问控制矩阵中行和列中元素的描述正确的是：A、行中放用户名，列中放对象名B、行中放程序名，列中放用户名C、列中放用户名，行