2026年CISP模拟考试试题及答案

2026年CISP模拟考试试题及答案一、单项选择题（每题1分，共30分）1.根据我国《网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。其中，网络运营者是指（）。A.网络的所有者、管理者和网络服务提供者B.仅指互联网信息服务提供者C.仅指关键信息基础设施的运营者D.所有使用互联网的个人和组织答案：A2.在信息安全保障工作中，以下哪一项通常被认为是技术、管理和人员三大要素中的核心？（）A.技术B.管理C.人员D.流程答案：C3.关于数字签名，以下描述正确的是（）。A.数字签名能保证数据的机密性B.数字签名采用接收方的公钥进行签名验证C.数字签名可以防止发送方抵赖D.数字签名算法中，签名和验证使用相同的密钥答案：C4.以下哪种攻击属于被动攻击？（）A.拒绝服务攻击B.中间人攻击C.流量分析D.缓冲区溢出攻击答案：C5.在信息安全风险评估中，资产价值、威胁和脆弱性三个基本要素之间的关系通常用以下哪个公式表示？（）A.风险=资产价值×威胁×脆弱性B.风险=威胁×脆弱性/资产价值C.风险=资产价值×(威胁+脆弱性)D.风险=(威胁×脆弱性)/资产价值答案：A6.关于SSL/TLS协议，以下说法错误的是（）。A.SSL/TLS协议位于传输层和应用层之间B.TLS1.0是SSL3.0的升级版C.SSL/TLS协议可以提供身份认证、数据加密和完整性保护D.SSL/TLS握手过程中，服务器总是需要向客户端发送自己的证书答案：D7.以下哪一项不是《中华人民共和国密码法》中规定的核心密码、普通密码的管理原则？（）A.统一领导B.分级负责C.市场调节D.依法管理答案：C8.在访问控制模型中，基于角色的访问控制（RBAC）的核心思想是（）。A.将权限直接分配给用户B.在用户和权限之间引入角色的概念C.通过安全标签来控制访问D.由数据所有者决定访问权限答案：B9.一个组织的信息安全管理体系（ISMS）的建立、实施、监视、评审、保持和改进，应遵循以下哪个标准？（）A.ISO/IEC27001B.ISO/IEC27002C.ISO/IEC15408D.ISO/IEC20000答案：A10.关于防火墙，以下说法正确的是（）。A.包过滤防火墙可以检查数据包的应用层内容B.状态检测防火墙需要为每一个连接维护一个状态表C.应用代理防火墙对用户是透明的D.下一代防火墙（NGFW）不具备入侵防御系统（IPS）功能答案：B11.以下哪种算法属于非对称加密算法？（）A.AESB.DESC.RSAD.RC4答案：C12.在Windows操作系统中，用于存储本地用户账户安全信息的文件是（）。A./etc/passwdB.SAMC.systemD.security答案：B13.关于社会工程学攻击，以下描述不正确的是（）。A.利用人的心理弱点进行攻击B.通常需要复杂的技术手段C.钓鱼邮件是常见的社会工程学攻击方式D.安全意识培训是防范此类攻击的有效手段答案：B14.根据我国《网络安全法》，关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过（）。A.第三方安全测评B.国家网信部门会同国务院有关部门组织的国家安全审查C.行业主管部门的审批D.运营者内部安全评估答案：B15.在信息安全事件分类中，造成系统中断、影响系统效率，使系统业务处理能力受到影响的事件属于（）。A.特别重大事件B.重大事件C.较大事件D.一般事件答案：C16.以下哪项技术主要用于防止网站遭受跨站脚本（XSS）攻击？（）A.对用户输入进行过滤和转义B.使用HTTPS协议C.设置复杂的会话标识符D.启用操作系统的DEP（数据执行保护）答案：A17.关于数字证书，以下描述错误的是（）。A.数字证书由权威的第三方机构（CA）签发B.数字证书中包含证书持有者的公钥C.数字证书可以证明证书持有者私钥的合法性D.数字证书的有效期是有限的答案：C18.在OSI参考模型中，提供端到端连接、流量控制、差错恢复的是（）。A.网络层B.传输层C.会话层D.表示层答案：B19.以下哪种备份策略在恢复时只需要最近一次的全备份和最后一次的差异备份？（）A.完全备份B.增量备份C.差异备份D.合成备份答案：C20.关于入侵检测系统（IDS），以下说法正确的是（）。A.基于网络的IDS（NIDS）可以检测加密流量中的攻击B.基于主机的IDS（HIDS）部署在网络关键节点，监控网络流量C.误用检测（特征检测）可以检测未知攻击D.异常检测需要建立正常行为模型答案：D21.在软件开发安全生命周期（SDL）中，哪个阶段的主要目标是识别和定义软件的安全要求？（）A.需求分析B.设计C.编码D.测试答案：A22.以下哪项是《个人信息保护法》中规定的处理个人信息应遵循的核心原则？（）A.自由使用原则B.公开透明原则C.强制同意原则D.无需告知原则答案：B23.下列协议中，默认使用TCP端口443的是（）。A.HTTPB.FTPC.HTTPSD.SSH答案：C24.关于灾难恢复计划（DRP），以下描述错误的是（）。A.RTO（恢复时间目标）是指灾难发生后，系统或业务必须恢复的时间要求B.RPO（恢复点目标）是指灾难发生后，数据可以丢失的时间长度C.热站（HotSite）是配备齐全的备用站点，恢复时间最短D.冷站（ColdSite）仅提供基本环境，不包含任何IT设备答案：D25.在Linux系统中，用于查看当前系统进程信息的命令是（）。A.ipconfigB.netstatC.psD.ifconfig答案：C26.以下哪种漏洞利用方式是通过向程序缓冲区写入超出其长度的内容，从而破坏程序运行或获取控制权？（）A.SQL注入B.跨站脚本C.缓冲区溢出D.目录遍历答案：C27.关于VPN技术，以下说法不正确的是（）。A.IPsecVPN工作在网络层B.SSLVPN通常基于应用层工作C.PPTP是一种链路层VPN协议D.L2TP协议本身不提供加密功能答案：B28.在等级保护2.0标准中，安全通信网络层面的安全要求不包括（）。A.网络架构B.通信传输C.边界防护D.可信验证答案：D29.以下哪项是防止ARP欺骗攻击的有效措施？（）A.在网络中部署防火墙B.在主机上配置静态ARP表项C.对所有网络流量进行加密D.禁用ICMP协议答案：B30.我国《数据安全法》中所称数据，是指任何以电子或者其他方式对（）的记录。A.信息B.知识C.情报D.事实答案：A二、多项选择题（每题2分，共20分，多选、少选、错选均不得分）1.根据《信息安全技术个人信息安全规范》（GB/T35273），个人敏感信息包括（）。A.身份证号码B.银行账户C.行踪轨迹D.网站浏览记录E.个人电话号码答案：ABCE2.以下哪些属于典型的渗透测试阶段？（）A.前期交互B.情报收集C.威胁建模D.漏洞分析E.后渗透攻击F.报告编写答案：ABCDEF3.对称加密算法的特点包括（）。A.加密和解密使用相同的密钥B.加密速度快，适合大量数据加密C.密钥分发和管理困难D.能实现数字签名功能E.常见的算法有AES、DES、RSA答案：ABC4.关于操作系统的安全机制，以下描述正确的有（）。A.强制访问控制（MAC）中，用户不能改变客体的安全级别B.自主访问控制（DAC）中，客体的所有者可以自主决定其他用户对该客体的访问权限C.最小特权原则要求系统只授予用户完成任务所必需的最小权限D.Windows的UAC（用户账户控制）机制体现了最小特权原则E.Linux系统的SELinux实现了基于角色的访问控制（RBAC）答案：ABCD5.以下哪些是常见的Web应用安全漏洞？（）A.注入漏洞（如SQL注入）B.跨站脚本（XSS）C.不安全的直接对象引用（IDOR）D.安全配置错误E.传输层保护不足答案：ABCDE6.信息安全风险管理过程主要包括以下哪些步骤？（）A.背景建立B.风险评估C.风险处理D.批准监督E.监控审查F.沟通咨询答案：ABCDEF7.关于云计算安全，以下说法正确的有（）。A.云服务模型包括IaaS、PaaS、SaaSB.云安全的责任完全由云服务提供商承担C.在IaaS模型中，客户需要负责操作系统的安全D.数据残留是云计算中需要关注的安全问题之一E.云访问安全代理（CASB）是一种部署在云服务消费者和提供商之间的安全策略执行点答案：ACDE8.以下哪些技术或协议可以用于保障电子邮件安全？（）A.S/MIMEB.PGPC.SMTPD.POP3E.DKIM答案：ABE9.我国网络安全等级保护制度的主要环节包括（）。A.定级B.备案C.安全建设整改D.等级测评E.监督检查答案：ABCDE10.无线网络（Wi-Fi）常见的安全威胁有（）。A.无线窃听B.中间人攻击C.拒绝服务攻击D.无线钓鱼（EvilTwin）E.WEP/WPA破解答案：ABCDE三、填空题（每空1分，共10分）1.在信息安全三要素CIA中，C代表________，I代表________，A代表________。答案：机密性、完整性、可用性2.我国《网络安全法》规定，国家实行网络安全________保护制度。答案：等级3.在PKI体系中，负责签发和管理数字证书的机构是________。答案：CA或证书认证机构4.哈希函数具有单向性和抗碰撞性，常见的哈希算法有MD5和________。答案：SHA-1或SHA-256等（答出一个常见哈希算法即可，如SHA系列）5.在TCP/IP协议栈中，IP协议位于________层。答案：网络层或网际层6.信息安全事件应急响应通常包括准备、检测与抑制、根除、________、总结等阶段。答案：恢复7.防火墙的默认策略通常有两种：“________”和“禁止除非明确允许”。答案：允许除非明确禁止8.SQL注入攻击的本质是攻击者将恶意的________代码插入到Web表单的输入域或页面请求中，欺骗服务器执行。答案：SQL四、简答题（每题5分，共20分）1.简述什么是“零信任”安全模型及其核心思想。答案：“零信任”安全模型是一种网络安全架构理念，其核心思想是“从不信任，始终验证”。它认为网络边界内外都不应默认信任任何主体（用户、设备、应用、流量），必须基于身份认证、设备状态、上下文信息等多重因素进行动态、细粒度的访问控制授权。零信任模型强调最小权限原则，并假设网络内部和外部一样充满威胁，旨在通过持续验证和动态访问控制来保护资源。2.简述对称加密与非对称加密的主要区别，并各举一个典型算法。答案：主要区别：（1）密钥使用：对称加密使用相同的密钥进行加密和解密；非对称加密使用一对数学上相关的密钥，即公钥和私钥，公钥用于加密或验证签名，私钥用于解密或生成签名。（2）性能：对称加密算法计算速度快，适合大量数据加密；非对称加密算法计算复杂，速度慢，通常用于加密少量关键信息（如会话密钥）或实现数字签名。（3）密钥管理：对称加密的密钥分发和管理困难；非对称加密的公钥可以公开分发，私钥由持有者秘密保管，简化了密钥分发问题。典型算法：对称加密如AES；非对称加密如RSA。3.简述在等级保护2.0中，安全计算环境对身份鉴别的要求（至少三点）。答案：（1）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。（2）应具有登录失败处理功能，如结束会话、限制非法登录次数和自动退出等。（3）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。（4）应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别（三级及以上系统要求）。4.什么是业务连续性管理（BCM）？其与灾难恢复计划（DRP）的主要联系与区别是什么？答案：业务连续性管理（BCM）是一个整体的管理过程，它通过识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运行带来的影响，提供一个管理框架来建立组织的有效恢复能力，保护关键利益相关方的利益、声誉、品牌和价值创造活动。联系：灾难恢复计划（DRP）是业务连续性管理（BCM）的重要组成部分，主要关注IT系统和数据的恢复，是支撑业务恢复的技术基础。区别：BCM的范围更广，涵盖整个组织，关注所有关键业务功能的恢复和持续，包括人员、流程、场所、供应链等非IT因素；而DRP更专注于信息技术服务和数据在灾难事件后的恢复，是BCM在IT层面的具体实施。五、应用题（共20分）场景：某中型电子商务公司“易购网”近期计划对其在线商城系统（一个典型的Web应用，包含用户前端、后台管理、数据库等）进行一次全面的安全风险评估，并希望基于评估结果改进其安全防护措施。你是该公司聘请的信息安全专家。问题1：请为“易购网”设计一个简要的风险评估实施流程。（5分）答案：简要风险评估实施流程如下：（1）准备与规划：明确评估范围（如在线商城系统的所有组件、相关网络和主机）、目标、组建评估团队、确定评估方法（如工具扫描、人工检查、访谈等）和依据的标准（如等级保护要求、ISO27001等），并获得管理层支持。（2）资产识别与赋值：识别评估范围内的所有信息资产（如服务器硬件、系统软件、应用代码、数据库、客户数据、订单数据等），并根据其机密性、完整性和可用性对业务的重要性进行赋值。（3）威胁识别与评价：识别可能对资产造成损害的潜在威胁源（如黑客、恶意员工、自然灾害）和威胁行为（如SQL注入、DDoS、内部数据窃取），并评估其发生的可能性。（4）脆弱性识别与评价：通过技术扫描、配置检查、代码审计、渗透测试、管理审计等手段，识别资产存在的技术和管理上的脆弱性（如系统未打补丁、弱口令、不安全的直接对象引用漏洞、缺乏安全培训），并评估其被利用的难易程度。（5）风险分析：结合资产价值、威胁可能性和脆弱性严重程度，使用定性或定量方法，计算风险值，确定风险等级（如高、中、低）。（6）风险评价与报告：将分析出的风险与公司可接受的风险准则进行比较，确定哪些风险需要处理，形成风险评估报告，内容包括评估过程、发现的风险、风险等级及处理建议。问题2：假设在评估中发现系统存在“用户密码采用明文方式在数据库中存储”的高风险脆弱性。请分析该脆弱性可能带来的具体危害，并提出至少三条具体的技术或管理改进建议。（8分）答案：可能带来的具体危害：（1）数据泄露后果严重：一旦数据库被拖库或内部人员违规访问，所有用户密码将直接暴露，攻击者可以登录任意用户账户。（2）撞库攻击：许多用户在多个网站使用相同密码，泄露的明文密码可被用于尝试登录用户在其他网站（如邮箱、支付平台）的账户，造成更大范围的损失。（3）用户隐私与财产损失：攻击者登录用户账户后，可查看个人隐私信息（如地址、电话）、盗用账户内余额、冒用身份进行消费或诈骗。（4）法律与声誉风险：违反《网络安全法》《个人信息保护法》中关于个人信息保护的要求，可能导致监管处罚、用户诉讼，严重损害公司声誉和用户信任。改进建议：（1）技术措施：立即修改密码存储机制，采用加盐（Salt）哈希（Hash）的方式存储密码。例如，使用bcrypt、scrypt或PBKDF2等抗破解的哈希算法，为每个密码生成一个随机的盐值（Salt），将盐值与密码组合后进行哈希运算，将盐值和哈希值一同存入数据库。验证时，使用相同的盐值和用户输入的密码进行哈希运算，与库中哈希值比对。（2）管理措施：制定并强制执行《用户密码安全策略》，明确规定密码的复杂度要求（长度、字符类型）、定期更换周期（如有需要）、存储和传输的加密要求。（3）应急与补救：强制要求所有用户在下次登录时修改密码，并向用户发送安全通知，说明情况并建议其修改在其他网站使用的相同或类似密码。同时，检查日志，排查是否有因密码泄露导致的异常登录或操作。问题3：为进一步加强