2024年浙江省网络安全行业网络安全运维工程师项目职业技能竞赛试题库（含答案）

2024年浙江省网络安全行业网络安全运维工程师项目职业

技能竞赛试题库（含答案）

一、单选题

1.黑客造成的主耍安全隐患包括

A、破坏系统、窃取信息及伪造信息

B、攻击系统、获取信息及假冒信息

C、进入系统、损毁信息及谣传信息

答案：A

2.排列组合式暴力破解需要什么作为支持？

A、高性能的破解算法

B、CPU支持

C、其他选项均正确。

D、GPU支持

答案：C

3.S0C网络管理本身需要为业务应用提供怎样的安全保障（）

A、身份认证

B、授权系统

C、以上均是

答案：C

4.具有行政法律责任强制力的安全管理规定和安全规范制度包括

A、安全事件（包括安全事故）报告制度

B、安全等级保护制度

C、信息体统安全监控

D、安全专用产品销售许可证制度

答案：A

5.PoP3s连接服务器使用端口是

A、995

B、110

C、465

D、25

答案：A

6.“进不来一”拿不走一”看不懂一“改不了”"走不脱”是网络信息安全建设

的目的。其中，“看不懂”是指下面哪种安全服务：

A、数据加密

B、身份认证

C、数据完整性

D、访问控制

答案：A

7.字典式暴力破解需要什么？

A、高性能的破解算法

B、CPU/GPU支持

C、其他选项均正确。

D、破译字典

答案：D

8.1996年上海某寻呼台发生的逻辑炸弹事件，造事者被判”情节轻微，无罪释放

”是因为

A、证据不足

B、没有造成破坏

C、法律不健全

答案：C

9.大数据传统的检测是基于_和_进行的实时匹配检测

A、单个时间点和具体威胁特征

B、多个时间点和单点威胁特征

C、具体威胁特征和来源IP

D、来源IP和单个时间点

答案：A

10.边界防范的根本作用是0

A、对系统工作情况进行检验与控制，防止外部非法入侵

B、对网络运行状况进行检验与控制，防止外部非法入侵

C、对访问合法性进行检验与控制，防止外部非法入侵

答案：C

11.“XDATA项目”主要做什么

A、开发传感器和其他资源管理系统

B、开发分析大数据和软件工具

C、开发检测军事计算机间谍活动技术和工具

D、以上都正确

答案：B

12.新业务新技术安全评估的实施流程不包括下列哪一个？

A、评估实施阶段

B、评价总结阶段

C、风险分析阶段

D、组织实施阶段

答案:C

13.CDMA数字蜂窝移动通信系统中的AAAServer从功能上可以分成（）

A、PAAA、HAAA、BAAA

B、FAAA、PAAA、BAAA

C、FAAAxHAAA、PAAA

D、FAAAxHAAA、BAAA

答案：D

14.计算机系统是由哪两部分组成？（）

A、硬件系统、软件系统

B、操作系统、网络系统

C、软件系统、网络系统

D、系统软件、软件系统

答案:A

15.下列网络协议中，通信双方的数据没有加密,明文传输是

A、SFTP

B、SMTP

C、SSH

D、HTTPS

答案：B

16.“撞库”是什么意思？

A、“撞库”就是黑客通过收集网络上已泄露的用户名及密码信息，生成对应的

“字典表”，到其他网站尝试批量登录，得到一批可以登录的用户账号及密码。

B、“撞库”就是黑客通过攻击一个数据库，用得到的数据与另一个数据库的数

据比对，从而得到用户完整信息的过程。

C、其他选项均正确。

D、“撞库”就是黑客通过不间断的暴力破解一个数据库，进行撞大运的方法。

答案：A

17.防止客户信息泄露的一种有效方式是

A、数据模糊化

B、金库模式

C、授权操作

D、授权不操作

答案：A

18.现代主动安全防御的主要手段是（）

A、探测、预警、监视、警报

B、噫望、烟火、巡更、敲梆

C、调查、报告、分析、警报

答案：A

19.对信息安全风险评估要素理解正确的是：

A、资产识别的粒度随着评估范围、评估目的的不同而不同，既可以是硬件设备,

也可以是业务系统,也可以是组织机构

B、应针对构成信息系统的每个资产做风险评价

C、脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而

找出的差距项

D、信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁

答案：A

20.网络安全法的发展随着网络建设经历了几个阶段（）

A、1

B、2

C、3

D、4

答案：C

21.公钥基础设施，也魂公开密钥基础设施，其中RA说法正确的是

A、主要负责证书注册,审核和发证

B、是负责发放和管理数字证书的权威机构

C、证书吊销列表

D、是在线证书状态协议，是对证书有效性的一种在线查询机制

答案:A

22.4G（第四代移动通信技术）以（）为标志

A、CDMA2000

B、WCDMA

C、TD-SCDMA

D、LIE

答案：D

23.以下哪个不属于ISMS范围文件包含的信息？

A、业务特性

B、人员信息

C、组织结构文件

D、网络拓扑

答案：B

24.计算机网络最早出现在哪个年代

A、20世纪50年代

B、20世纪60年代

C、20世纪80年代

D、20世纪90年代

答案：B

25.钓鱼网站通过什么手段骗取客户信息（）

A、中奖信息

B、中奖到游戏皮肤，装扮

C、免费送话费

D、以上均是

答案：D

26.数据泄露涉及到的威胁因素包括

A、人为主观意识

B、黑客病毒

C、信息窃取

D、以上全部都是

答案：D

27.云计算”服务方式有几种

A、1种

B、2种

C、3种

D、4种

答案：C

28.下列关于风险评估的理解中，正确的是？

A、根据威胁，从技术单方面识别重要资产信息所存在的薄弱点

B、根据业务要求及信息的密级划分，对信息资产的重要程度进行判断，识别对

关键核心业务具有关键作用的信息资产清单

C、根基风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险

在保密性、完整性两方面的影响进行评价。

D、针对不可接受的高风险，应拒绝进行风险处理。

答案:B

29.SQL杀手蠕虫病毒发作的特征是什么

A、大量消耗网络带宽

B、攻击个人PC终端

C、破坏PC游戏程序

D、攻击手机网络

答案：A

30.通常所说的移动VPN是指（）。

A、ccessVPN

B、IntranetVPN

C、ExtranetVPN

D、以上皆不是

答案：A

31.PKI的主要组成不包括

A、证书授权CA

B、SSL

C、注册授权RA

D、证书存储库CR

答案：B

32.针对网络系统中存在安全威胁严重这一现状，我们应当在计算机中。.

A、安装好网络安全防井软件

B、关闭防火墙

C、允许任何机器远程访问

D、使用简单好记的密码

答案：A

33.我国党和政府一直重视信息安全工作,我国信息安全保障工作也取得了明显

成效,关于我国信息安全实践工作,下面说法错误的是

A、加强信息安全标准化建设,成立了“全国信息安全标准化技术委员会”制订和

发布了大批信息安全技术,管理等方面的标准

B、重视信息安全应急处理工作,确定由国家密码管理局牵头成立“国家网络应急

中心”推动了应急处理和信息通报技术合作工作进展

C、推进信息安全等级保护工作，研究制定了多个有关信息安全等级保护的规范和

标准,重点保障了关系国定安全,经济命脉和社会稳定等方面重要信息系统的安

全性

D、实施了信息安全风险评估工作,探索了风险评估工作的基本规律和方法,检验

并修改完善了有关标准，培养和锻炼了人才队伍

答案：B

34.微软提出了STRIDE模型,其中R是Repudiation（抵赖）的缩写，关于此项错误

的事是0

A、某用户在登录系统并下载数据后,却声称“我没有下载过数据”软件R威胁

B、某用户在网络通信中传输完数据后，却声称“这些数据不是我传输的”威胁也

属于R威胁

C、对于R威胁，可以选择使用如强认证、数字签名、安全审计等技术

D、对于R威胁,可以选择使用如隐私保护、过滤、流量控制等技术

答案：D

35.某公司拟建设面向内部员工的办公自动化系统和面向外部客户的营销系统，

通过公开招标选择M公司为承建单位,并选择了H监理公司承担该项目的全程监

理工作，目前，各个应用系统均已完成开发,M公司已经提交了验收申请,监理公

司需要对A公司提交的软件配置文件进行审查,在以下所提交的文档中，哪一项

属于开发类文档：

A、项目计划书

B、质量控制计划

C、评审报告

D、需求说明书

答案：D

36.参数操作应注意什么事项？

Ax对敏感的cookie状态加密。

B、不要信任客户端可以操作的字段（如查询字符串、表单字段、cookie或HTT

P头）

C、其他选项均正确。

D、。验证从客户端发送的所有数据。

答案：C

37.以下哪项是业务监控经常采用？

A、阻断机器从而杜绝攻击者批量攻击的风险

B、其他选项均正确。

C、异常流量分析识别部分漏网的机器行为及行为轨迹异常的不良用户

D、征信模型基于用户的信誉评分拒绝不良用户

答案：B

38.计算机刑事案件可由___受理

A、案发地市级公安机关公共信息网络安全监察部门

B、案发地市级公安机关治安部门

C、案发地当地县级（区、市）公安机关公共信息网络安全监察部门

D、案发地当地公安派出所

答案：A

39.以下哪项是数据篡改的内容？

A、数据被修改

B、数据被增加

C、数据被删除

D、其他选项均正确。

答案：D

40.下面关于构建信息安全管理文件体系的叙述中正确的是？

A、整合信息安全管理体系手册明确各管理过程的顺序及相互关系

B、整合所要求的程序文件，从体系维护管理、资产管理、人力资源管理、访问

控制、通信和运作管理、业务连续性管理、信息安全事件管理、符合性等方面对

各类管理活动记作业指导文件化

C、制定各类安全策略，如电子邮件策略、互联网访问策略、访问控制策略

D、ABC

答案：D

41.对于数字证书而言，一般采用的是哪个标准?

A、IS0/IEC15408

B、802.11

C、GB/T20984

D、X.509

答案:D

42.以下对windows系统日志的描述错误的是：

A、windows系统默认的由三个日志,系统日志,应用程序日志,安全日志

B、系统日志跟踪各种各样的系统事件，例如跟踪系统启动过程中的事件或者硬件

和控制器的故障。

C、应用日志跟踪应用程序关联的事件，例如应用程序产生的装载dLL（动态链接

库）失败的信息

D、安全日志跟踪各类网络入侵事件,例如拒绝服务攻击、口令暴力破解等

答案：C

43.支撑网络组成包括（）

A、网管支撑系统、业务支撑系统和管理支撑系统

B、数据支撑系统、业务支撑系统和管理支撑系统

C、网管支撑系统、数据支撑系统和管理支撑系统

D、网管支撑系统、业务支撑系统和数据支撑系统

答案：A

44.防火墙是一个（A）

A、分离器、限制器、分析器

B、隔离器、控制器、分析器

C、分离器、控制器、解析器

答案：A

45.某项目的主要内容为建造A类机房,监理单位需要根据《电子信息系统机房设

计规范》(GB50174-2008)的相关要求,对承建单位的施工设计方案进行审核，以下

关于监理单位给出的审核意见错误的是

A、在异地建立备份机房时，设计时应与主用机房等级相同

B、由于高端小型机发热量大，因此采用活动地板上送风，下回风的方式《电子信

息系统机房设计规范》(GB50174-2008)第9页送风方式有3种:下送上回，上送上

回，侧送侧回

C、因机房属于A级主机房,因此设计方案中应考虑配备柴油发电机,当市电发生

故障时,所配备的柴油发电机应能承担全部负荷的需要

D、A级主机房应设置洁净气体灭火系统

答案：B

46.暴力破解可能发生在哪种场景？

A、攻击前尝试破解一下用户是否存在不安全的认证方式

B、攻击时发现用户账号过于简单

C、攻击后实在找不出用户网络系统中的漏洞或薄弱环节

D、其他选项均正确。

答案：C

47.下列哪一种迷糊化处理是最基础、最直接的保证信息不被泄露

A、前台展示模糊化

B、身份信息模糊化

C、隐藏域模糊化

D、数据接口模糊化

答案：A

48.安全里程碑和出口标准是由什么决定的？

A、项目的规模、风险决定

B、项目的规模、复杂程度、风险决定

C、复杂程度、风险决定

D、以上均不正确

答案:B

49.不属于计算机病毒防治的策略的是

A、确认您手头常备一张真正“干净”的引导盘

B、及时、可靠升级反病毒产品

C、新购置的计算机软件也要进行病毒检测

D、整理磁盘

答案：D

50.某单位发生的管理员小张在繁忙的工作中接到了一个电话,来电者:小张吗？

我是科技处李强,我的邮箱密码忘记了,现在打不开邮件,我着急收个邮件,麻烦

你先帮我把密码改成123,我收完邮件自己修改掉密码。热心的小张很快的满足

了来电考的要求。后来李强发现邮箱系统登录异常。请问以下说法哪个是正确

的

A、小张服务态度不好,如果把李强的邮件收下来亲自交给李强就不会发生这个问

题

B、事件属于服务器故障,是偶然事件,应向单位领导申请购买新的服务器

C、单位缺乏良好的密码修改操作流程或者小张没有按操作流程工作

D、事件属于邮件系统故障,是偶然事件,应向单位领导申请升级邮件服务软件

答案:C

51.文档体系建设是信息安全管理体系(ISMS)建设的直接体现,下列说法不正确

的是

A、组织内的信息安全方针文件、信息安全规章制度文件、信息安全相关操作规

范文件等文档是组织的工作标准,也是ISMS审核的依据

B、组织内的业务系统日志文件、风险评估报告等文档是对上一级文件的执行和

记录

C、组织在每份文件的首页，加上文件修订跟踪表,以显示每一版本的版本号,发

布日期、编写人、审批人、主要修订等内容

D、层次化的文档是ISMS建设的直接体现，文档体系应当依据风险评估的结果建

立

答案：B

52.某单位在实施风险评估时,按照规范形成了若干文档,其中，()中的文档应属

于风险评估中“风险要素识别”阶段输出的文档

A、《风险评估方法》，主要包括本次风险评估的目的、范围、目标，评估步谏，

经费预算和进度安排等内容

B、《风险评估方法和工具列表》，主要包括拟用的风险评估方法和测试评估工具

等内容

C、《风险评估准则要求》，主要包括现有风险评估参考标准、采用的风险分析方

法,资产分类标准等内容

D、《已有安全措施列表》，主要经验检查确认后的已有技术和管理方面安全措施

等内容

答案：D

53.为保障信息系统的安全,某经营公众服务系统的公司准备并编制一份针对性

的信息安全保障方案,并严格编制任务交给了小王,为此，小王决定首先编制出一

份信息安全需求描述报告,关于此项工作,下面说法错误的是0

A、信息安全需求是安全方案设计和安全措施实施的依据

B、信息安全需求应当是从信息系统所有者（用户）的角度出发，使用规范化，结构

化的语言来描述信息系统安全保障需求

C、信息安全需求应当基于信息安全风险评估结果业务需求和有关政策法规和标

准的合规性要求得到

D、信息安全需求来自于该公众服务信息系统的功能设计方案现有需求，再有功能。

答案：D

54.钓鱼网站最为常见的防护技术是（）

A、IP信誉度

B、Web实时防护

C、建立URL数据库

D、与云计算结合

答案：C

55.准备、检测、抑制、根除、恢复、跟踪以下哪一项不属于信息安全工程监理

模型的组成部分

A、监理咨询支撑要素

B、控制和管理手段

C、监理咨询阶段过程

D、监理组织安全实施

答案：D

56.局域网内如果一个计算机的IP地址与另外一台计算机的IP地址一样，则

A、两台计算机都正常

B、两台计算机都无法通讯

C、一台正常通讯一台无法通讯

答案：C

57.在1inux系统中，一个文件的属主和属组都是root,它的权限是-rwxrwxr-,

那么下面的描述中哪项是不正确的？

A、root用户具有读取的权限

B、root用户具有修改的权限

C、其他用户具有读取的权限

D、其他用户具有修改的权限

答案：D

58.防火墙主要可以分为(A)

A、包过滤型、代理性、混合型

B、包过滤型、系统代理型、应用代理型

C、包过滤型、系统代理型、应用代理型

答案：A

59.安全管理平台4A系统指的是()

A、认证、账号、授权,评估

B、认证、账号、评估、审计

C、认证、账号、授权、审计

D、认证、评估、授权,审计

答案:C

60.以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正

确描述？

A、应基于法律法规和用户需求,进行需求分析和风险评估,从信息系统建设的开

始就综合信息系统安全保障的考虑

B、应充分调研信息安全技术发展情况和信息安全产品市场,选择最先进的安全解

决方案和技术产品

C、应在将信息安全作为实施和开发人员的一项重要工作内容,提出安全开发的规

范并切实落实

D、应详细规定系统验收测试中有关系统安全性测试的内容

答案：A

61.在国家信息安全等级保护制度中,信息系统的安全等级被分为()等级.

A、2个

B、3个

C、4个

D、5个

答案：D

62.什么原因导致电话诈骗越来越多（）

A、成本低

B、风险小

C、回报信）

D、以上均是

答案:D

63.电子商务的发展需要企业网路具有（）

A、可拓展性

B、安全性

C、稳定性

D、共享性

答案：D

64.实施SDL开发的软件可以完全避免安全漏洞吗？

A、不能完全避免

B、可以完全避免

C、部分完全避免

D、以上均不正确

答案:A

65.信息安全风险缺口是指

A、IT的发展与安全投入，安全意识和安全手段的不平衡

B、信息化中，信息不足产生的漏洞

C、计算机网络运行，维护的漏洞

D、计算中心的火灾隐患

答案：A

66.《计算机病毒防治管理办法》是在哪一年颁布的

A、1994

B、1997

C、2000

D、1998

答案：C

67.以下哪一种判断信息系统是否安全的方式是最合理的?

A、是否己经通过部署安全控制措施消灭了风险

B、是否可以抵抗大部分风险

C、是否建立了具有自适应能力的信息安全模型

D、是否已经将风险控制在可接受的范围内

答案:D

68.要能够进行远程注册表攻击必须

A、开启目标机的service的服务。

B、开启目标机的RemoteRegistyService服务

C、开启目标机的server服务

D、开启目标机的RemoteRoutig服务

答案：B

69.以下对模块作用说法正确的是

A、数据准备：首先从各类来源采集数据，包括文本等结构化数据

B、数据分析：是大数据技术的核心阶段，主要包括建模、挖掘等

C、存储管理：为了提高大数据处理速度，降低成本，采用一体式架构进行存储

答案：B

70.手机中的各种消息都是数据项的形式供应用程序操作。数据项的操作一股主

要包括哪些？

A、索引、定位、查找、更改和打开

B、索引、定位、查找、删除和打开

C、索引、定位、查找、更改、删除和打开

D、以上答案均不正确

答案：A

71.访问控制涉及到三个基本概念，其中不包括哪个

A、主体

B、客体

C、个体

D、访问授权

答案：C

72.代码审核的作用是什么？

A、将检查源代码的完整性

B、将检查源代码的可用性

C、检查源代码并检测和消除潜在的安全漏洞。

D、以上答案均正确

答案：C

73.下列描述中，属于SNMP、Telnet、FTP共性的安全问题的是哪一个()

A、主要的服务守护进程存在严重的系统漏洞

B、明文传输特性

C、在建立速接过程中,缺少认证手段

D、加密强度低

答案:B

74.“可信保护技术”包括哪个技术

A、数字水印技术

B、数据朔源技术

C、数字水印技术和数据朔源技术

D、以上说法不正确

答案：C

75.审核和记录应注意什么事项？

A、记录所有的用户活动行为。

B、确保日志文件访问的安全。

C、定期备份和分析日志文件。

D、其他选项均正确。

答案：D

76.网络信息安全主要涉及数据的完整性、可用性、机密性等问题。保证数据的

机密性就是

A、保证传送的数据信息不被第三方监视和窃取

B、保证发送方的真实身份

C、保证传送的数据信息不被篡改

D、保证发送方不能抵赖曾经发送过某数据信息

答案：A

77.为了保障系统安全,某单位需要对其跨地区大型网络实时应用系统进行渗透

测试,以下关于渗透测试过程的说法不正确的是

A、由于在实际渗透测试过程中存在不可预知的风险,所以测试前要提醒用户进行

系统和数据备份，以便出现问题时可以及时恢复系统和数据

B、渗透测试从“逆向”的角度出发，测试软件系统的安全性，其价值在于可以测

试软件在实际系统中运行时的安全状况

C、渗透测试应当经过方案制定、信息收集、漏洞利用、完成渗透测试报告等步

骤

D、为了深入发掘该系统存在的安全威胁,应该在系统正常业务运行高峰期进行渗

透测试

答案:D

78.街头的算命先生、推销员、乃至是一些店面的店员会对你进行何种攻击？

A、其他选项均正确。

B、社会工程学

C、心理学攻击

D、欺骗性攻击

答案：B

79.以下哪一项属于信息资产分类？

A、数据、软件

B、硬件、服务

C、文档、人员、设备

D、以上都是

答案：D

80.L2Tp隧道在两端的VPN服务器之间采用。夹验证对方的身份。

A、口令握手协议CHAP

B、SSL

C、Kerberos

D、数字证书

答案：A

81.以下选项有哪些是不属于无法预知的危险的0

A、加密技术本身存在的一些不足

B、内部用户对系统的攻击和破坏

C、安全系统本身的安全策略存在的问题

D、以上均不是

答案：D

82.现代病毒木马融合了（）新技术

A、进程注入

B、注册表隐藏

C、漏洞扫描

D、都是

答案：D

83.传统的基本信息安全的三个原则是

A、保密性、可控性、真实性

B、可用性、抗抵赖性、真实性

C、保密性、可用性、完整性

D、可控性、抗抵赖性、真实性

答案:C

84.下面哪个不是安全评估方法中定量方法的优点？

A、分配给风险的影响值以参与者的主观意见为基础

B、按财务影响确定风险优先级

C、结果可用货币值和具体数据（如百分比）来表达

D、按财务加至确定资产优先级

答案：A

85.攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据,用户认为该

页面是可信赖的,但是当浏览器下载该页面,嵌入其中的脚本将被解释执行,这是

哪种类型的漏洞

A、缓冲区溢出

B、SQL注入

C、设计错误

D、跨站脚本

答案：D

86..Linux中，什么命令可以控制口令的存活时间？

A、Passwd

B、chage

C、hmQd_

D、Umask

答案：B

87.数据保密性指的是

A、保护网络中各系统之间交换的数据,防止因数据被截获而造成泄密

B、提供连接实体身份的鉴别

C、防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的

信息完全一致

D、确保数据是由合法实体发出的

答案：A

88.IS0/IBC27001《信息技术安全技术信息安全管理体系要求》的内容是基于。

A、BS7799-1《信息安全实施细则》

B、S7799-2《信息安全管理体系规范》

C、信息技术安全评估准则（简称ITSEC）

D、信息技术安全评估通用标准（简称CC）

答案：B

89.移动通信网络由。组成

A、接入网、传输网、承载网、骨干网和支撑网

B、接入网、传输网、承载网、核心网和支撑网

C、接入网、信令网、承载网、核心网和支撑网

D、接入网、传输网、承载网、核心网和同步网

答案：B

90.在IIS中，造成任意用户可使用HTTPPUT方法上传恶意程序到WEB目录的原因

是

A、WEB程序目录对users组用户具有可写权限,且安装了FrontPage扩展

B、WEB程序目录对users组用户具有可写权限，且在Ils上设置了写入

C、WEB程序目录对users组用户具有可写权限，且在IIs上设置了目录洒在测览

D、WEB程序目录对users组用户具有可写权限，且在IIs上设置了脚本资源访问

答案：B

91.CA指的是

A、认证授权中心

B、加密认证

C、虚拟专用网

D、安全套接层

答案：A

92.()不是基于用户特征的身份标识与鉴别。

A、指纹

B、虹膜

C、视网膜

D、门卡

答案：D

93.网络中常见的攻击手段()

A、假冒、中间人攻击;直接攻击、Dos/Ddos

B、假冒、中间人攻击:非授权访问、Dos/Ddos

C、假冒、直接攻击、非授权访问、Dos/Ddos

D、直接攻击、中间人攻击、非授权访问、Dos/Ddos

答案：B

94.以下关于检查评估说法不正确的是？

A、检查评估是指信息系统上级部门组织的或国家有关职能部门已发展开的风险

评估。

B、检查评估可依据相关标准的要求，试试完整的风险评估过程。但不可在自评

估实施的基础上进行评估。

C、检查评估可委托风险评估服务技术支持方实施。

D、检查评估是上级管理部门通过行政手电加强信息安全的重要措施。

答案：B

95.交换系统中心NSS中的各个功能模块之间的信令传输符合CCITT的()号信

令

A、5

B、6

C、7

D、8

答案：C

96.我国的计算机年犯罪率的增长是

A、10%

B、160%

C、60%

D、300%

答案：C

97.三重DES是一种加强了的DES加密算法,它的有效密钥长度是DES算法的倍

A、2

B、3

C、4

D、5

答案：C

98.信息安全保障是网络时代各国维护国家安全和利益的首要任务,以下哪个国

家最早将网络安全上长升为国家安全战略，并制定相关战略计划

Av中国

B、俄罗斯

C、美国

D、英国

答案：C

99..PK1的全称是0。

A、PrivateKeyIntrusion

B、PubIicKeyIntrusion

C、PrivateKeyInfrastructure

D、PubIicKeyInfrastructure

答案：D

100.以下信息安全体系建立的顺序正确的是？①现状调查②体系推广与落实③

审核认证④监督检查与评价⑤风险评估及风险处置⑥构建信息安全管理文件体

系

A、①②④⑥③⑤

B、①②④③⑤⑥

C、①⑤⑥②④③

D、①②③④⑤⑥

答案：C

101.杀毒软件的修复技术是对什么进行修复？

A、对被病毒损坏的文件进行修复的技术

B、对被病毒删除的文件进行修复的技术

C、对被木马控制的程序进行修复的技术

D、对被木马删除的文件进行恢复的技术

答案：A

102.对于“大数据”面临的威胁有哪些

A、用户隐私泄露

B、内容的可信性

C、非授权访问

D、以上说法都正确

答案：D

103.目前世界上有近300个国际和区域性组织制定标准或技术规则，以下不与信

息安全标准有关的国际化组织是哪个。

A、IS0C（国际互联网协会）

B、IEC（国际电工委员会）

C、ITU（国际电信联盟）

D、ISO（国际标准化组织）

答案：A

104.全国首例计算机入侵银行系统是通过

A、安装无限MODEM进行攻击

B、通过内部系统进行攻击

C、通过搭线进行攻击

答案：A

105.网络安全法经历了哪三个阶段（）

A、初期阶段，安全建设阶段，安全管理阶段

B、初期阶段，中期阶段，后期阶段

C、早期安全阶段，中期安全阶段，后期安全阶段

D、早期管理阶段，中期安全阶段，后期维护阶段

答案：A

106.关于ssL的描述,不正确的是

A、SSL协议分为SSL握手协议和记录协议

B、SSL协议中的数据压缩功能是可选的

C、大部分测览器都内置支持ssL功能

D、SSL协议要求通信双方提供证书

答案：D

107.下列关于cookie的说法正确的是

AvCookie是存储在客户端上的一小段文本信息。

B、Cookie是一段密码

C、ookie是储存在服务器端的一小段文本信息

D、Cookie是用户的账户名和密码

答案：A

108.下列哪一项不属于数据共享安全方面应该研究的问题

A、资源丢失

B、共享安全

C、隐私保护

D、安全访问控制

答案：A

109.以下关于数字证书的叙述中，错误的是

A、证书通常由CA安全认证中心发放

B、证书携带持有者的公开密钥

C、证书的有效性可以通过验证持有者的签名

D、证书通常携带CA的公开密钥

答案：D

110.输入验证应注意什么事项？

A、注意标准化问题。

B、限制、拒绝和净化输入。

C、验证类型、长度、格式和范围。

D、其他选项均正确。

答案：D

111.DARPA是什么

A、美国国防部高级研究计划局

B、美国国土安全部

C、美国国家安全局

D、美国国防部研发院

答案：A

112.ssL产生会话密钥的方式是

A、从密钥管理数据库中请求获得。

B、一个客户机分配一个密钥。

C、有服务器产生并分配给客户机。

D、随机由客户机产生并加密后通知服务器

答案:D

113.公司USB接口控制标准：院中心研发部门（A）,一般职能部门（A）。

A、2%5%

B、4%10%

C、5%10%

D、2%4%.

答案:A

114.为什么获得最新的ARP表是很重要的。

A、为了测试网络的连通

B、为了限制广播的数量

C、为了减少网络管理员的维护时间

D、为了解决地址冲突

答案：B

115.信息系统全生命周期安全管控规范不包括

A、安全管控框架

B、安全需求分析

C、安全测试规范

D、安全编程规范

答案：C

116.()年，国际网安界最早提出4A概念？

A、1997

B、1998

C、1996

D、1995

答案：D

117.基于密码技术的是防止数据传输泄密的主要防护手段

A、连接控制

B、访问控制

C、传输控制

D、保护控制

答案：C

118.僵尸网络是什么？

A、可被攻击者通过命令控制的终端群

B、是控制信道远程控制的终端群

C、是被攻击者控制信道远程控制的终端群

D、是可被攻击者通过命令与控制信道控制的可优同的终端群

答案:D

119.非对称算法是公开的，保密的只是

A、数据

B、密钥

C、密码

D、口令

答案：B

120.身份验证应注意什么事项？

A、支持密码有效期和格户禁用。

B、其他选项均正确。

C、加密通信通道。

D、仅通过HTTPS连接传递表单身份验证cookie。

答案：B

121.什么是业务监控？

A、针对业务系统的认证和交易

B、分辩非法交易

C、阻止非法交易进行

D、其他选项均正确。

答案：D

122.软件安全开发的阶段中需要哪些步骤？

A、需求分析、设计、测试和维护

B、需求分析、设计、编码、维护

C、需求分析、设计、编码、测试和维护

D、以上答案均正确

答案：C

123.VPN的加密手段为（）。

A、具有加密功能的防火墙

B、具有加密功能的路由器

C、VPN内的各台主机对各自的信息进行相应的加密

D、单独的加密设备

答案:C

124.软件开发者在开发时应特别注意什么？

A、代码的正确性

B、软件的功能性

C、软件的稳定性

D、软件的可用性

答案：A

125.计算机软件系统是由哪两部分组成？（）

A、网络软件、应用软件

B、操作系统、网络系统

C、系统软件、应用软件

D、服务器端系统软件、客户端应用软件

答案：C

126.下列选项中，不属于用户卡的组成层面的是（）

A、硬件层

B、应用基础能力层

C、IDS层

D、COS层

答案：C

127.以下属于病毒的是？

A、熊猫烧香

B、360安全卫士

C、腾讯安全管家

D、金山毒霸

答案：A

128.2003年上半年发生的较有影响的计算机及网络病毒是什么

A、SARS

B、SQL杀手蠕虫

C、手机病毒

D、小球病毒

答案：B

129.木马病毒具有哪些特征？()

A、开放性、自动运行性、欺骗性、自动恢复性

B、隐蔽性、自动繁殖性、欺骗性、自动恢复性

C、开放性、自动繁殖性、欺骗性、自动恢复性

D、隐蔽性、自动运行性、欺骗性、自动恢复性

答案：D

130.以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的

九项重点工作内容之一？

A、提高信息技术产品的国产化率

B、保证信息安全资金投入

C、加快信息安全人才培养

D、重视信息安全应急处理工作

答案：A

131.安全验收管理阶段有哪几个步骤？

A、提交安全验收申请、执行安全验收测试、安全整改、验收结果确认归档

B、提交安全验收申请、安全整改、验收结果确认归档

C、审核安全、安全整改、验收结果确认归档

D、提交安全验收申请、审核安全验收申请、执行安全验收测试、安全整改、验

收结果确认归档

答案：D

132.以下答案中属于不良信息传播的趋势有()

A、网络舆论在现实中的地位越来越突出

B、网络欺诈和色情信息泛滥

C、网络政治话趋势明显

D、以上均是

答案：D

133.下列哪一项不属于Web浏览器的安全配置要点。

A、设置适当的浏览器安全级别

B、设置Cookie安全

C、启用自动完成和口令记忆功能

D、以上全都

答案：C

134.防范病毒的说法错误的是

A、计算机必须部署指定的防病毒软件并持续更新

B、禁止所有未知安全性的U盘或其他外接设备插入

C、感染病毒的计算机必须从局域网中隔离直至病毒被清除

D、以上都正确

答案：D

135.大数据应用类型是正确的

A、公共服务类，个性定制类，技术研发类，安全分析类

B、公共服务类，技术研发类，产品通用类，安全研发类

C、公共服务类，个性定制类，产品通用类，产品研发类

答案：A

136.平台上传企业发布的应用是否能从其他路径下载、安装、使用吗？

A、可以从其他路径

B、可以直接

C、不可以从其他路径

D、不可以直接

答案：B

137.网络安全在多网合一时代的脆弱性体现在

A、网络的脆弱性

B、软件的脆弱性

C、管理的脆弱性

D、应用的脆弱性

答案：C

138.严禁任何。在信息内网设立与工作无关的娱乐、论坛、视频等网站,

A、单位、个人

B、单位

C、个人

D、用户

答案：A

139.为什么需要安全加固（）

A、windows系统不安全

B、windows系统一旦发生错误操作就很容易被攻击

C、为了保护数据

D、能够彻底断绝黑客攻击

答案：C

140.计算机病毒是___

A、计算机程序

B、数据

C、临时文件

D、应用软件

答案：A

141.以下哪一项功能不属于WAF常见功能

A、访问控制

B、审计功能

C、Web应用加固

D、使用错误机制保护出错页面

答案：D

142.要确保信息系统合作单位开发测试环境与互联网()，严禁信息系统合作单位

在对互联网提供服务的网络和信息系统中存储和运行公司相关业务系统

A、物理隔离

B、逻辑隔高

C、分割开

D、连通

答案：A

143.敏感数据暴露主要有哪些分类？

A、明文传输敏感信息,不安全本地存储

B、后台服务器信息地址泄露

C、和边信道信息泄露。

D、以上均正确

答案：D

144.登录验证是业务安全的第几个环节？

A、第一个

B、第二个

C、第三个

D、第四个

答案：A

145.下列中，哪个不是A5算法加密（）

A、5/0

B、A5/1

C、A5/2

D、A5/3

答案：D

146.在window系统中用于显示本机各网络端口详细情;兄的命令是:

A、netshow

B、netstat

C、Ipconfig

D、Netview

答案：B

147.实施阶段产品小组对软件进行什么操作？

A、编码

B、测试

C、集成

D、编码、测试、集成

答案:D

148.手机僵尸网络必须借助什么？

A、传统服务器的构建与维护

B、传统服务器的系统

C、传统服务器的网络

D、传统服务器的资源

答案：A

149.对计算机安全事故的原因的认定或确定由作出

A、人民法院

B、公安机关

C、发案单位

D、以上都可以

答案：C

150..HTTPS采用什么协议实现安全网站访问

A、SSL

B、IPSec

C、PGP

D、SET

答案：A

151.下列对于SQL注入攻击说法正确的是

A、SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，从而

攻击被攻击者的Web网站

B、SQL注入攻击是指的是通过构建特殊的输入作为参数传入数据库系统，从而

攻击被攻击者的数据库系统

C、SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，从而

攻击被攻击者的数据库系统

D、SQL注入攻击是指的是通过构建特殊的输入作为参数传入数据库系统，从而

攻击被攻击者的web网站

答案：C

152.以下哪一项是防范sQL注入攻击最有效的手段？

A、删除存在注入点的网页

B、对数据库系统的管理权限进行严格的控制

C、对web用户愉入的数据进行严格的过滤

D、通过网络防火墙严格限制Internet用户对web服务器的访问

答案：C

153.在应用于大数据场景时还需要解决_和_等特殊问题

A、数据集动态变更和质量不高

B、数据集静态变更和质量不高

C、数据收集动态和静态变更

D、以上都正确

答案：A

154.手机僵尸网络必须借助什么？

A、传统服务器的构建与维护

B、传统服务器的系统

C、传统服务器的网络

D、传统服务器的资源

答案：A

155.以下区域不属于IE浏览器中的安全区域

A、Internet

B、本地Internet

C、受信任的站点

D、隐私保护

答案:D

156.下列哪项不属于弱口令

A、dmin

B、admin123

C、passwOd

D、AdMin143!

答案：D

157.PKI在验证一个数字证书时需要查看什么来确认该证书是否已经作废

A、RL

B、CSS

C、KMS

D、CRL

答案：D

158.最小特权是软件安全设计的基本原则,某应用程序在设计时，设计人员给出

了以下四种策略,其中有一个违反了最小特权的原则，作为评审专家,请指出是哪

一个？

A、软件在Linux下按照时，设定运行时使用nobody用户运行实例

B、软件的日志备份模块由于需要备份所有数据库数据,在备份模块运行时,以数

据库备份操作员账号连接数据库

C、软件的日志模块由于要向数据库中的日志表中写入日志信息，使用了一个日志

用户账号连接数据库，该账号仅对日志表拥有权限

D、为了保证软件在Windows下能稳定的运行,设定运行权限为system,确保系统

运行正常,不会因为权限不足产生运行错误

答案：D

159.信息网络安全的第三个时代

A、主机时代,专网时代，多网合一时代

B、主机时代,PC机时代，网络时代

CxPC机时代,网络时代，信息时代

D、2001年,2002年,2003年

答案：A

160.业务系统数据传输加密一般通过什么方法来实现？

A、VPN

B、加密算法

C、其他选项均正确。

D、cookie

答案：A

161.严禁外部技术支持单位与互联网相连的。上存储涉公司商业秘密文件.

A、服务器

B、终端

C、服务器和终端

D、网络

答案：C

162.DD0S攻击是分布式拒绝服务攻击，那么这种攻击会造成什么。

A、网络过载

B、使服务器负荷

C、阻断某一用户访问服务器

D、以上全是

答案：D

163.数据的非授权访问主要有以下那些形式：1假冒2身份攻击3非法用户进入

网络系统进行违法操作4合法用户未授权操作

A、12

B、123

C、24

D、1234

答案:D

164.()是整个移动网的运营支撑管理系统

A、设备识别寄存器(EIR)

B、移动业务交换(MSC)

C、操作维护中心(OMC)

D、鉴权中心(AUC)

答案：C

165.()加密算法属于公钥密码算法。

A、ES

B、DES

C、IDEA

D、RSA

答案:D

166.S公司在全国有20个分支机构,总部有10台服务器、200个用户终端,每个

分支机构都有一台服务器、100个左右用户终端，通过专网进行互联互通。公司

招标的网络设计方案中，四家集成商给出了各自的IP地址规划和分配的方法，作

为评标专家,请给S公司选出设计最合理的一个

A、总部使用服务器、用户终端统一作用10.0.1.X、各分支机构服务器和用户终

端使用192.168.2.X~192.168.20.X

B、总部使用服务器使用10.0.1.广11、用户终端使用2~212,分支机构

IP地址随意确定即可

C、总部服务器使用100.1.X,用户终端根据部门划分使用10.0.2.X、每个分支

机构分配两个A类地址段,一个用做服务器地址段、另外一个做用户终端地址段

D、因为通过互联网连接,访问的是互联网地址，内部地址经NAT映射，因此IP地

址无需特别规划,各机陶自行决定即可

答案：A

167.数据泄露防护系统所进行的数据安全防护是对以下那些信息展开的

A、设计图纸、源代码

B、合同文本

C、财务报表

D、以上都是

答案：D

168.角色挖掘技术提供什么行为

A、不同用户同样的服务和实时监控行为

B、不同用户不同服务行为

C、不同用户不同服务行为和监控用户行为

D、监控用户行为

答案：C

169.广义地说，信息战是指敌对双方为达成各自的国家战略目标，为夺取

_在等各个领域的信息优势，运用信息和信息技术手段而展开的信息斗争

A、政治、经济、国防、领土、文化、外交

B、政治、经济、军事、科技、文化、外交

C、网络、经济、信息、科技、文化、外交

答案：B

170.口令攻击的主要目的是

A、获取口令破坏系统

B、获取口令进入系统

C、仅获取口令没有用途

答案:B

171.手机平台具有不同于桌面系统的独特属性吗？

A、具有

B、不具有

C、部分具有

D、以上答案均正确

答案：A

172.下列哪项不属于对数据进行加密的主要方式()

A、系统中加密

B、浏览器加密

C、服务器端加密

D、客户端加密

答案：B

173.以下关于特格伊木马的描述,正确的是

A、大多数特洛伊木马包括客户端和服务器端两个部分,通常攻击者利用某种手段

将木马客户端部分绑定到某个合法软件上，诱使用户运行合法软件

B、大多数特洛伊木马都模仿一些正规的远程控制软件的功能,如Symantec的pc

anywhere

C、特洛伊木马经常是因为用户在非正规的网站下载和运行了带恶意代码的软件

造成,一般不会通过由邮件附件传播

D、通常来讲,木马的服务器部分的功能是固定的，一般不可以根据需要定制

答案:B

174.溢出攻击的核心是()

A、修改堆栈记录中进程的返回地址

B、利用SheIIcode

C、提升用户进程权限

D、捕捉程序漏洞

答案：A

175.PKI支持的服务不包括0。

A、非对称密钥技术及证书管理

B、目录服务

C、对称密钥的产生和分发

D、访问控制服务答案：

答案：D

176.安全分级是指自有APP根据用户数量、网络方式、传播方式、支持多种信息

格式、涉及敏感数据、涉及交易等维度按哪几个等级进行综合安全等级划分

A、1

B、2

C、3

D、4

答案:C

177.有哪些措施能够让自己的设备更加安全？

A、下载安装防护程序

B、及时备份重要数据

C、对重要数据进行加密处理

D、以上答案均正确

答案：D

178.当用户输入的数据被一个解释器当做命令或查询语句的一部分执行时，就会

产生哪种类型的漏洞？

A、缓冲区溢出

B、设计错误

C、信息泄露

D、代码注入

答案：D

179.信息安全风险评估包括资产评估、（）、脆弱性评估、现有安全措施评估、风

险计算和分析、风险决策和安全建议等评估内容.

A、安全评估

B、威胁评估

C、漏洞评估

D、攻击评估

答案：B

180.僵尸网络是什么？

A、可被攻击者通过命令控制的终端群

B、是控制信道远程控制的终端群

C、是被攻击者控制信道远程控制的终端群

D、是可被攻击者通过命令与控制信道控制的可协同的终端群

答案：D

181.关于我国信息安全保障工作发展的几个阶段，下列哪个说法不正确：

A、2001-2002年是启动阶段,标志性事件是成立了网络与信息安全协调小组,该

机构是我国信息安全保障工作的最高领导机构信息化领导小组（27号文）网络安

全委员会

B、2003-2005年是逐步展开和积极推进阶段,标志性事件是发布了指导性文件

《关于加强信息安全保障工作的意见》（中办发27号文件）并颁布了国家信息安

全战略

C、2005-至今是深化落实阶段,标志性事件是奥运会和世博会信息安全保障取得

圆满成功

D、2005-至今是深化落实阶段,信息安全保障体系建设取得实质性进展,各项信息

安全保障工作迈出了坚实步伐

答案:A

182.业务审计可以利用业务系统的哪些日志进行审计分析?

A、业务逻辑日志

B、其他选项均正确。

C、内部交易日志

D、外部交易日志

答案：C

183.下列哪一种特点不是固态硬盘的优点

A、延迟低

B、吞吐量大

C、能耗低

D、造价昂贵

答案：D

184.当今IT的发展与安全投入，安全意识和安全手段之间形成

A、安全风险屏障

B、安全风险缺口

C、管理方式的变革

D、管理方式的缺口

答案：B

185.访问控制保护方法可以采用—的访问控制

A、加密和隐藏

B、角色挖掘和风险自适应

C、标识和加密

D、隐藏和标识

答案：B

186.鉴别访问请求是通过什么进行验证

A、用户身份认证和权限鉴别访问行为认证

B、用户身份认证和设备认证

C、用户身份认证和加密认证

D、加密认证和设备认证

答案：A

187.关于源代码审核,描述正确的是()

A、源代码审核过程遵循信息安全保障技术框架模型,在执行时应一步一步严格执

行

B、源代码审核有利于发现软件编码中存在的安全问题,相关的审核工具既有商业

开源工具

C、源代码审核如果想要有效率高,则主要要依赖人工审核而不是工具审核,因为

人工智能的,需要人的脑袋来判断

D、源代码审核能起到很好的安全保证作用，如果执行了源代码审核，则不需要安

全测试

答案：B

188.GRE协议的乘客协议是。

A、IP

B、IPX

C、AppleTaIk

D、上述皆可

答案：D

189.攻击者会如何暴力破解？

A、攻击者会经常手动组合出正确的用户名和密码。

B、其他选项均正确。

C、攻击者会经常使用逆向分析组合出正确的用户名和密码。

D、攻击者会经常使用自动化脚本组合出正确的用户名和密码。

答案：D

190.下面关于信息安全管理体系叙述正确的是？

A、信息安全管理体系简称ISMS是1989年前后从英国发展起来的信息安全领域

中的一个新概念

B、信息安全管理体系是一个组织委员保护信息资产、实现其业务目标而建立、

实施、运行、监视、评审、保持和改进的管理架陶

C、信息安全管理体系是向社会证明安全水平和能力的一种证明

D、信息安全管理体系不同于管理体系，是独自产生的一个新的概念。

答案：B

191.访问控制通常有三种策略：自主访问控制，强制访问控制，基于角色的访问

控制，其中自主访问控制是

A、MAC

B、DAC

C、RBAC

D、ACL

答案:B

192.以下哪一种属于当前对于磁盘存储安全的工作的研究

A、防磁盘数据篡改

B、防数据泄露失窃

C、网络安全硬盘

D、以上全都是

答案：D

193..HTTPS是一种安全的HTTP协议，它使用来保证信息安全

AvIPSec

B、SSL

C、SET

D、SSH

答案：B

194.数字签名是使用

A、自己的私钥签名

B、自己的公钥签名

C、对方的私州签名

D、对方的公王月签名

答案：A

195.安全分级是指自有APP根据用户数量、网络方式、传播方式、支持多种信息

格式、涉及敏感数据、涉及交易等维度按哪几个等级进行综合安全等级划分

A、1

B、2

C、3

D、4

答案：C

196.数据的一种典型载体就是电子文档，下列哪一种不属于电子文档

A、报纸书刊

B、电子报表

C、电子图纸

D、电子信件

答案：A

197.传统的软件开发流程的局限性有哪些？

A、需求分析、软件设计

B、软件的编码和评估

C、软件测试

D、以上均正确

答案：D

198.如果一份机密电子文档泄露，你可以采取的追踪技术有：。1电话追踪02

报警追踪03通过加水印方式进行泄密追踪04通过审计技术追踪监控追踪

A、12

B、23

C、34

D、14

答案：C

199.3G系统的三大主流标准中属于时分双工方式的是()

A、WCDMA

B、CDMA2000

C、LTE

D、TD-SCDMA

答案：D

200.应用的开发、调试、打包和上架等过程都涉及证书的使用吗？

A\都涉及

B、不涉及

C、部分涉及

D、以上答案均不正确

答案：A

201.不良信息的治理手段有哪些()

A、基于路由黑洞及ACL的封堵

B、DNS封堵

C、基于DPI技术的边缘路由器封堵

D、以上均是

答案：D

202.中安全级别中的强制性修复是对什么进行修复？

A、功能漏洞

B、模块漏洞

C、协议漏洞

D、安全漏洞

答案：D

203.信息系统安全保护等级中信息系统的重要性由以下要素决定：信息系统的影

响深度，信息系统的影响广度，信息的安全性，包括信息的

A、机密性、完整性和可用性

B、重要性、完整性和必要性

C、重要性、机密性和必要性

D、机密性、完整性和必要性

答案：A

204.下面那个密码技术实现信息的不可抵赖安全属性

A、对称加密

B、公钥加密

C、数字签名

D、消息摘要答案

答案：C

205.美国的关键信息基础设施设riticaIInformationInfrastructure,ClI）包括

商用核设施、政府设施、交通系统、饮用水和废水处理系统、公共健康和医疗、

能源、银行和金融、国防工业基地等等，美国政府强调重点保障这些基础设施信

息安全，其主要原因不包括：

A、这些行业都关系到国计民生,对经济运行和国家安全影响深远

B、这些行业都是信息化应用广泛的领域

C、这些行业信息系统普遍存在安全隐患,而且信息安全专业人才缺乏的现象比其

他行业更突出

D、这些行业发生信息安全事件,会造成广泛而严重的损失

答案:C

206.下面对访问控制技术描述最准确的是：

A、保证系统资源的可靠性

B、实现系统资源的可追查性

C、防止对系统资源的非授权访问

D、保证系统资源的可信性

答案：C

207.对物联网组成说法正确的是

A、应用层和网络层

B、感知层，网络层，应用层

C、感知层，网络层，应用层，数据链路层

D、以上都正确

答案:B

208.某电子商务网站在开发设计时，使用了威胁建模方法来分折电子商务网站所

面临的威胁,STRIDE是微软SDL中提出的威胁建模方法，将威胁分为六类，为每一

类威胁提供了标准的消减措施,Spoofing是STRIDE中欺骗类的威胁，以下威胁中

哪个可以归入此类威胁？

A、网站竞争对手可能雇佣攻击者实施DDoS攻击，降低网站访问速度

B、网站使用http协议进行浏览等操作,未对数据进行加密,可能导致用户传输信

息泄露，例如购买的商品金额等

C、网站使用http协议进行浏览等操作,无法确认数据与用户发出的是否一致，

可能数据被中途篡改

D、网站使用用户名、密码进行登录验证，攻击者可能会利用弱口令或其他方式获

得用户密码，以该用户身份登录修改用户订单等信息

答案：D

209.SD3+C的原则有几类？

A、3

B、4

C、5

D、6

答案：B

210.下列哪个属于后门的来源（）。

A、感染木马，木马程序建立后门

B、主机被攻陷，攻击者主动留后门以便下次攻击

C、开发人员在程序开发之初，为了测试、修改程序方便而开了后门

D、以上都是

答案：D

211.关于手机安全防护工具说法正确的是？

A、一般是指保护用户手机设备安全、内容安全、系统设置安全，避免发生或协

助处理手机安全事件的软件。

B、一般指保护手机外表不被损坏

C、一般指保护手机外表不被锁定

D、以上答案均不正确

答案：A

212.网络信息安全主要涉及数据的完整性、可用性、机密性等问题。保证数据的

不可抵赖性就是

A、保证传送的数据信息不被第三方监视和窃取

B、保证发送方的真实身份

C、保证传送的数据信息不被篡改

D、保证发送方不能抵赖曾经发送过某数据信息

答案：D

213.对用户的身份认证方法不包括哪些

A、常用的口令认证

B、令牌

C、生物特征识别功能

D、无认证

答案：D

214.日前安全认证系统主要采用基于的数字证书来实现。

A、PKI

B、KMI

C、VPN

D、IDS

答案：A

215.目前的防火墙防范主要是(B)

A、主动防范

B、被动防范

C、不一定

答案：B

216.2008年1月2日，美目发布第54号总统令,建立国家网络安全综合计划(Com

prehensiveNationaICybersecurityInitiative,CNCI)°CNCI计划建立三道防线:

第一道防线,减少漏洞和隐患,预防入侵;第二道防线,全面应对各类威胁;第三道

防线,强化未来安全环境.从以上内容,我们可以看出以下哪种分析是正确的：

A、CNCI是以风险为核心,三道防线首要的任务是降低其网络所面临的风险

B、从CNCI可以看出，威胁主要是来自外部的,而漏洞和隐患主要是存在于内部的

CxNCI的目的是尽快研发并部署新技术彻底改变其糟糕的网络安全现状,而不是

在现在的网络基础上修修补补

D、CNCI彻底改变了以往的美国信息安全战略，不再把关键基础设施视为信息安

全保障重点,而是追求所有网络和系统的全面安全保障

答案：A

217.数据泄露防护可以全面保障以下哪些内容：O1数据与内容安全02终端安

全03存储安全04网络安全05应用安全

A、1235

B、1234

C、2345

D、12345

答案：D

218.大数据有几种类型

Ax1种

B、2种

C、3种

D、4种

答案:C

219.虚拟化软件可以让几个主体电脑建立并执行虚拟化环境

Ax1个

B、2个

C、3个

D、4个

答案：A

220.以下关于混合加密方式说法正确的是。

A、采用非对称密t男体制进行通信过程中的加解密处理

B、采用非对称密钥体制对对称密钥体制的密钥进行加密后的通信

C、采用对称密钥体制对对称密钥体制的密钥进行加密后的通信

D、采用混合加密方式,利用了对称密钥体制的密钥容易管理和非对称密钥体制的

加解密处理速度快的双重优点

答案:B

221.安全的监控与应急响应，对于可以预知的危险可以防护属于第几个阶段()

A、第一阶段

B、第二阶段

C、第三阶段

D、第四阶段

答案：B

222.PKI作为一种安全基础设施，主要功能不包括

A、保证信息除发送方和接收方外不被其它人窃取

B、信息在传输过程中会被修改

C、信息在传输过程中不被篡改

D、接收方能够通过数字证书来确认发送方的身份

答案：B

223.业务信息系统上线前应组织对统一开发的业务信息系统进行安全测评,测评

合格后・

A、可通过验收

B、方可上线

C、可建转送

D、进行升级

答案：B

224.会话管理应注意什么事项？

A、其他选项均正确。

B、保护会话状态，以防止未经授权的访问。

C、对身份验证cookie的内容进行加密。

D、限制会话寿命。

答案：A

225.世界各国把网络不良信息一般分为()类

A、1

B、2

C、3

D、4

答案:B

226.安全的运行环境是软件安全的基础,操作系统安全配置是确保运行环境安全

必不可少的工作,某管理员对即将上线的Windows操作系统进行了以下四项安全

部署工作,其中哪项设置不利于提高运行环境安全？

A、操作系统安装完成后安装最新的安全补丁,确保操作系统不存在可被利用的安

全漏洞

B、为了方便进行数据备份,安装Windows操作系统时只使用一个分区C,所有数

据和操作系统都存放在C盘

C、操作系统上部署防病毒软件,以对抗病毒的威胁

D、将默认的管理员账号Administrator改名，降低口令暴力破解攻击的发生可能

答案：B

227.端对端加密只需要保证消息都在哪里进行加密？

A、经过的每一个节点

B、源点和目的地节点

C、源点和中间经过的每一个节地

D、所有节点

答案：B

228.以下场景描述了基于角色的访问控制模型(Role-basedAccessControl.RBA

C):根据组织的业务要求或管理要求，在业务系统中设置若干岗位、职位或分工，

管理员负责将权限(不同类别和级别的)分别赋予承担不同工作职责的用户。关于

RBAC模型,下列说法错误的是：

A、当用户请求访问某资源时,如果其操作权限不在用户当前被激活角色的授权范

围内，访问请求将被拒绝

B、业务系统中的岗位,职位或者分工，可对应RBAC模型中的角色

C、通过角色，可实现对信息资源访问的控制

D、RBAC模型不能实现多级安全中的访问控制

答案：D

229.系统不使用的时候应该怎么做

A、存放库房

B、继续供电闲用

C、做好信息资产的识别、对重要信息进行销毁工作

D、以上答案均不正确

答案：C

230.下列关于0GNL表达式的叙述，不正确的是：

A、0GNL的全称为Object-GraphNavigationLanguage。一种功能强大的表达式语

B、它可以通过简单的语法，存取对象的任意属性。

C、不能调用对象的方法，但是能遍历整个对象结构图。

D、用户可以通过URL提交的内容拼接到OGNL表达式中，从而造成攻击者可以执

行任意代码。

答案:C

231.目前DNS所面临的的主要威胁有()

A、拒绝服务攻击、缓冲区中毒、XSS攻击、域名劫持

B、拒绝服务攻击、XSS攻击、区域信息泄露、域名劫持

C、XSS攻击、缓冲区中毒、区域信息泄露、域名劫持

D、拒绝服务攻击、缓冲区中毒、区域信息泄露、域名劫持

答案：D

232.某购物网站开发项目经过需求分析进入系统设计阶段，为了保证用户账户的

安全，项目开发人员决定用户登陆时除了用户名口令认证方式外,还加入基于数

字证书的身份认证功能同时用户口令使用SHA-1算法加密后存放在后台数据库

中,请问以上安全设计遵循的是哪项安全设计原则

A、最小特权原则

B、职责分离原则

C、纵深防御原则

D、最少共享机制原则

答案：C

233.业务系统运行中异常错误处理合理的方法是

A、让系统自己处理异常

B、调试方便，应该让更多的错误更详细的显示出来

C、捕获错误，并抛出前台显示

D、捕获错误,只显示简单的提示信息,或不显示任何信息

答案：D

234.下列常规的安全配置手段有？

A、安装手机安全防护软件、管理软件权限、备份手机重要信息

B、安装手机安全防护软件、设置屏幕解锁密码、设定其他加密密码

C、备份手机重要信息、设置屏幕解锁密码、设定其他加密密码

D、以上答案均正确

答案：D

235.对于风险分析的实施步骤，下列排序正确的是？①确定使用哪种风险分析方

法②了解风险计算原理③确定具体的风险计算方法

A、②③①

B、①②③

C、③②①

D、②①③

答案:B

236.安全评估主要包括哪几个

A、评估准备、风险分析以及结果判定

B、评估准备、要素识别、风险分析，配置核查，结果判定

C、评估准备、要素识别、风险分析以及结果判定

D、评估准备、风险分析

答案：C

237.金女士经常通过计算机网络购物,从安全角度看,下面哪项是不好的操作

A、在使用网络浏览器时设置不在计算机中保留网络历史记录和表

B、为计算机安装具有良好声誉的安全防范软件包括病毒查杀

C、在ie的配置中，设置只能下载和安装经过签名的、安全的acti

D、使用专用上网购物用计算机,安装好软件后不要对该计算机上的

答案：D

238.关于信息安全管理,说法错误的是：

A、信息安全管理是管理者为实现信息安全目标（信息资产的CIA等特性，以及业

务运作的持续）而进行的计划、组织、指挥、协调和控制的一系列活动

B、信息安全管理是一个多层面、多因素的过程，依赖于建立信息安全组织、明确

信息安全角色及职责、制定信息安全方针策略标准规范、建立有效的监督审计机

制等多方面非技术性的努力

C、实现信息安全，技术和产品是基础，管理是关键

D、信息安全管理是人员、技术、操作三者紧密结合的系统工程，是一个静态过程

答案：D

239.在一个局域网的环境中,其内在的安全威胁包括主动威胁和被动威胁。以下

哪一项属于被动成胁

A