CISP考試認證(習題卷18)

試卷科目：CISP考試認證CISP考試認證(習題卷18)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISP考試認證第1部分：單項選擇題，共92題，每題只有一個正確答案,多選或少選均不得分。[單選題]1.下面哪一項是對IDS的正確描述？A)基于特征（Signature-based）的系統(tǒng)可以檢測新的攻擊類型B)基于特征（Signature-based）的系統(tǒng)化基于行為（behavior-based）的系統(tǒng)產(chǎn)生更多的誤報C)基于行為（behavior-based）的系統(tǒng)維護狀態(tài)數(shù)據(jù)庫來與數(shù)據(jù)包和攻擊相匹配D)基于行為（behavior-based）的系統(tǒng)比基于特征（Signature-based）的系統(tǒng)有更高的誤報答案:D解析:[單選題]2.某網(wǎng)盤被發(fā)現(xiàn)泄露了大量私人信息,通過第三方網(wǎng)盤搜索引擎可查詢到該網(wǎng)盤用戶的大量照片、通訊錄。盤建議用戶使用?加密分享?功能,以避免消息泄露,?加密分享?可以采用以下哪些算法()。A)MD5算法,SHA-1算法B)DSA算法,RSA算法C)SHA-1算法,SM2算法D)RSA算法,SM2算法答案:D解析:加密分享是通過加密手段進行文件數(shù)據(jù)的分享,可以加密并解密,MD5、SHA-1是單項函數(shù)用于數(shù)據(jù)完整性保護,DSA是一種數(shù)字簽名的算法,RSA和SM2是公鑰加密算法。[單選題]3.18.針對軟件的拒絕服務攻擊是通過消耗系統(tǒng)資源是軟件無法響應正常請求的一種攻擊方式，在軟件開發(fā)時分析拒絕服務攻擊的威脅，以下哪個不是需要考慮的攻擊方式：A)攻擊者利用軟件存在邏輯錯誤，通過發(fā)送某種類型數(shù)據(jù)導致運算進入死循環(huán)，CPU資源占用始終100%B)攻擊者利用軟件腳本使用多重嵌套查詢，在數(shù)據(jù)最大時會導致查詢效率低，通過發(fā)送大量的查詢導致數(shù)據(jù)庫響應緩慢C)攻擊者利用軟件不自動釋放連接的問題，通過發(fā)送大量連接消耗軟件并發(fā)連接數(shù)，導致并發(fā)連接數(shù)耗盡而無法訪問D)攻擊者買通了IDC人員，將某軟件運行服務器的網(wǎng)線撥掉導致無法訪問答案:D解析:[單選題]4.用戶暫時離開時，鎖定WinD.ows系統(tǒng)以免其他人非法使用。鎖定系統(tǒng)的快捷方式為同時按住()。A)WIN鍵和Z鍵B)F1鍵和L鍵C)WIN鍵和L鍵D)F1鍵和Z鍵答案:C解析:[單選題]5.以下發(fā)現(xiàn)屬于Linux系統(tǒng)嚴重威脅的是什么?A)發(fā)現(xiàn)不明的SUID可執(zhí)行文件B)發(fā)現(xiàn)應用的配置文件被管理員變更C)發(fā)現(xiàn)有惡意程序在實時的攻擊系統(tǒng)D)發(fā)現(xiàn)防護程序收集了很多黑客攻擊的源地址答案:A解析:[單選題]6.關于源代碼審核，描述正確的是A)源代碼審核過程遵循信息安全保障技術框架模型，在執(zhí)行時應一步一步嚴格執(zhí)行B)源代碼審核有利于發(fā)現(xiàn)軟件編碼中存在的安全問題，相關的審核工具既有商業(yè)開源工具C)源代碼審核如果想要有效率高，則主要依賴人工審核而不是工具審核，因為人工智能的，需要人的腦袋來判斷D)源代碼審核能起到很好的安全保證作用，如果執(zhí)行了源代碼審核，則不需要安全測試答案:B解析:[單選題]7.RSA算法基于的數(shù)學難題時？A)橢圓曲線問題B)大質(zhì)數(shù)分解的困難性C)費馬大定理D)離散對數(shù)問題答案:B解析:[單選題]8.隨著即時通訊軟件的普及使用,即時通訊軟件也被惡意代碼利用進行傳播,以下哪項功能不是惡意代碼利用即時通訊進行傳播的方式A)利用即時通訊軟件的文件傳送功能發(fā)送帶惡意代碼的可執(zhí)行文件B)利用即時通訊軟件發(fā)送指向惡意網(wǎng)頁的URLC)利用即時通訊軟件發(fā)送指向惡意地址的二維碼D)利用即時通訊發(fā)送攜帶惡意代碼的JPG圖片答案:C解析:[單選題]9.89.社會工程學定位在計算機信息安全工作鏈的一個最脆弱的環(huán)節(jié)，即?人?這個環(huán)節(jié)上。這些社會工程黑客在某黑客大會上成功攻入世界五百強公司，其中一名自稱是CSO雜志做安全調(diào)查，半小時內(nèi)，攻擊者選擇了在公司工作兩個月安全工程部門的合約雇員，在詢問關于工作滿意度以及食堂食物質(zhì)量問題后，雇員開始透露其他信息，包括：操作系統(tǒng)、服務包、殺毒軟件、電子郵件及瀏覽器。為對抗此類信息收集和分析，公司需要做的是（）A)通過信息安全培訓，使相關信息發(fā)布人員了解信息收集風險，發(fā)布信息采取最小化原則B)減少系統(tǒng)對外服務的端口數(shù)量，修改服務旗標C)關閉不必要的服務，部署防火墻、IDS等措施D)系統(tǒng)安全管理員使用漏洞掃描軟件對系統(tǒng)進行安全審計答案:A解析:[單選題]10.2016年12月27日,經(jīng)中央網(wǎng)路安全和信息化領導小組批準,國家互聯(lián)網(wǎng)信息辦公室發(fā)布《國家網(wǎng)絡空間安全戰(zhàn)略》(以下簡稱:?戰(zhàn)略?)。全文共計()部分,6000余字。其中主要對我國當前面臨的網(wǎng)絡空間安全7大機遇思想,闡明了中國關于網(wǎng)絡空間發(fā)展和安全的重大立場和主張,明確了戰(zhàn)略方針和主要任務,切實維護國家在網(wǎng)絡空間的主權、安全、發(fā)展利益,是指導國家網(wǎng)絡安全工作的綱領性文件?！稇?zhàn)略》指出,網(wǎng)絡空間機遇和挑戰(zhàn)并存,機遇大于挑戰(zhàn)。必須堅持積極利用、科學發(fā)展、依法管理、確保安全,堅決維護網(wǎng)絡安全,最大限度利用網(wǎng)絡空間發(fā)展?jié)摿?更好惠及13億多中國人民,造福全人類,()?！稇?zhàn)略》要求,要以(),貫徹落實創(chuàng)新、協(xié)調(diào)、綠色、開放、共享的發(fā)展理念,增強風險意識和危機意識,統(tǒng)籌國內(nèi)國際兩個大局,統(tǒng)籌發(fā)展安全兩件大事,積極防御、有效應對,推進網(wǎng)絡空間和平、安全、開放、合作、有序,維護國家主權、安全、發(fā)展利益,實現(xiàn)建設網(wǎng)絡強國的()。A)4個;總體目標;堅定維護世界和平;總體國家安全觀為指導;戰(zhàn)略目標B)5個;基本目標;堅定維護世界和平;總體國家安全觀為指導;戰(zhàn)略目標C)6個;總體目標;堅定維護世界和平;總體國家安全觀為指導;戰(zhàn)略目標D)7個;基本目標;堅定維護世界和平;總體國家安全觀為指導;戰(zhàn)略目標答案:A解析:[單選題]11.Windows操作系統(tǒng)中可顯示或修改任意訪問控制列表的命令是()A)ipconfigB)caclsC)tasklistD)systeminfo答案:B解析:[單選題]12.某個新成立的互聯(lián)網(wǎng)金融公司擁有10個與互聯(lián)網(wǎng)直接連接的IP地址,但是該網(wǎng)絡內(nèi)有15臺個人計算機,這些個人計算機不會同時開機并連接互聯(lián)網(wǎng)。為解決公司員工的上網(wǎng)問題,公司決定將這10個互聯(lián)網(wǎng)地址集中起來使用,當任意一臺個人計算機開機并連接網(wǎng)絡時,管理中心從這10個地址中任意取出一個尚未分配的IP地址分配給這個人的計算機。他關機時,管理中心將該地址收回,并重新設置為未分配?？梢?只要同時打開的個人計算機數(shù)量少于或等于可供分配的IP地址,那么,每臺個人計算機可以獲取一個IP地址,并實現(xiàn)與互聯(lián)網(wǎng)的連接。該公司使用的IP地址規(guī)劃方式是()。A)靜態(tài)NAT分配地址B)端口NAT分配地址C)靜態(tài)分配地址D)動態(tài)分配地址答案:D解析:動態(tài)IP地址(DynamicIP)指的是在需要的時候才進行IP地址分配的方式,?只要同時打開的個人計算機數(shù)量少于或等于可供分配的IP地址,那么,每臺個人計算機可以獲取一個IP地址?顯然屬于動態(tài)分配地址。[單選題]13.SQL注入攻擊是黑客對數(shù)據(jù)庫進行攻擊的常用手段之一，隨著B/S模式應用開發(fā)的發(fā)展，使用這種模式編寫應用程序的程序員也越來越多。但是由于程序員的水平及經(jīng)驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數(shù)據(jù)的合法性進行判斷，使用應用程序存在安全隱患，小李在對某asp網(wǎng)站進行測試時，采用經(jīng)典的1=1，1=2測試法，測試發(fā)現(xiàn)1=1時網(wǎng)頁顯示正常，1=2時報錯，于是小李得出了四條猜測，則下列說法錯誤的是（）A)該網(wǎng)站可能存在漏洞B)攻擊者可以根據(jù)報錯信息獲得的信息，從而進一步實施攻擊C)如果在網(wǎng)站前布署一臺H3C的IPS設備阻斷，攻擊者得不到任何有效信息D)該網(wǎng)站不可以進行SQL注入攻擊答案:D解析:[單選題]14.對于數(shù)字證書而言,一般采用的是哪個標準?A)ISO/IEC1540BB)802.11C)GB/T20984D)X.509答案:D解析:[單選題]15.視窗操作系統(tǒng)(Windows)從哪個版本開始引入安全中心的概念?A)WinNTSP6B)Win2000SP4C)WinXPSP2D)Win2003SP1答案:C解析:[單選題]16.以下哪項是ISMS文件的作用?A)是指導組織有關信息安全工作方面的內(nèi)部?法規(guī)?一使工作有章可循。B)是控制措施(controls)的重要部分C)提供客觀證據(jù)一為滿足相關方要求,以及持續(xù)改進提供依據(jù)D)以上所有答案:D解析:[單選題]17.以下哪項的行為不屬于違反國家保密規(guī)定的行為()A)以不正當手段獲取商業(yè)秘密B)在私人交往中涉及國家秘密C)將涉密計算機、涉密存儲設備接入互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡D)通過普通郵政等無保密措施的渠道傳遞國家秘密載體答案:A解析:A屬于商業(yè)秘密,不屬于國家秘密。[單選題]18.以下關于項目的含義,理解錯誤的是()。A)項目有明確的開始日期,結束日期由項目的領導者根據(jù)項目進度來隨機確定B)項目目標要遵守SMART原則,即項目的目標要求具體(Specific)、可測量(Measurable)、需相關方的一致同意(Agreeto)、現(xiàn)實(Realistic)、有一定的時限(Time-oriented)C)項目資源指完成項目所需要的人、財、物等D)項目是為達到特定的目的、使用一定資源、在確定的期間內(nèi)、為特定發(fā)起人而提供獨特的產(chǎn)品、服務或成果而進行的一次性努力答案:A解析:結束日期并非由領導者隨機確定,項目上習慣把驗收報告日期視為結束日期,另有約定的以約定為準。[單選題]19.根據(jù)Bell-LaPadula模型安全策略，下圖中寫和讀操作正確的是（）A)可讀可寫B(tài))可讀不可寫C)可寫不可讀D)不可讀不可寫答案:D解析:[單選題]20.下面對?零日（ｚｅｒｏ－ｄａｙ）漏洞?的理解中，正確的是（）A)指一個特定的漏洞，該漏洞每年１月１日零點發(fā)作，可以被攻擊者用來遠程攻擊，獲取主機權限B)指一個特定的漏洞，特指在２０１０年被發(fā)現(xiàn)出來的一種漏洞，該漏洞被?震網(wǎng)?病毒所利用，用來攻擊伊朗布什爾核電站基礎設施C)指一類漏洞，即特別好被利用，一旦成功利用該類漏洞，可以在１天內(nèi)文完成攻擊，且成功達到攻擊目標D)指一類漏洞，即剛被發(fā)現(xiàn)后立即被惡意利用的安全漏洞，一般來說，那些已經(jīng)被小部分人發(fā)現(xiàn)，但是還未公開、還不存在安全補丁的漏洞都是零日漏洞答案:D解析:[單選題]21.在Windows文件系統(tǒng)中,_______支持文件加密。A)FAT16B)NTFSC)FAT32D)EXT3答案:B解析:[單選題]22.網(wǎng)站的安全協(xié)議是https時，該網(wǎng)站瀏覽時會進行________處理。A)口令驗證B)增加訪問標記C)身份驗證D)加密答案:D解析:[單選題]23.社會工程學是一種特殊的(),與其他利用()等網(wǎng)絡攻擊和入侵不同,()充分利用了人性中的?弱點?,包括本能反應、好奇心、信任、貪婪等,通過偽裝、期騙、恐嚇、威逼等種種方式以達到目的。()的管理者和使用者都是人,無論信息系統(tǒng)部署了多少安全產(chǎn)品,采取了多少有效的(),如果系統(tǒng)的管理者或者使用者被利用,這些防護技術和措施都將成為擺設。A)系統(tǒng)漏洞;攻擊方式;社會工程學;信息系統(tǒng);安全技術B)攻擊方式;社會工程學;系統(tǒng)漏洞;信息系統(tǒng);安全技術C)攻擊方式;系統(tǒng)漏洞;社會工程學;信息系統(tǒng);安全技術D)攻擊方式;社會工程學;信息系統(tǒng);系統(tǒng)漏洞;安全技術答案:C解析:[單選題]24.下面對?零日（zero-day）漏洞?的理解中，正確的是A)指一個特定的漏洞，該漏洞每年1月1日零點發(fā)作，可以被攻擊者用來遠程攻擊，獲取主機權限B)指一個特定的漏洞，特指在2010年被發(fā)現(xiàn)出來的一種漏洞，該漏洞被?震網(wǎng)?病毒所利用，用來攻擊伊朗布什爾核電站基礎設施C)指一類漏洞，即特別好被利用，一旦成功利用該漏洞，可以在1天內(nèi)完成攻擊，且成功達到攻擊目標D)指一類漏洞，即剛被發(fā)現(xiàn)后立即被惡意利用的安全漏洞。一般來說，那些已經(jīng)被小部分人發(fā)現(xiàn)，但是還未公布、還不存在安全補丁的漏洞都是零日漏洞答案:D解析:零日漏洞：剛被發(fā)現(xiàn)還未打補丁就被利用的漏洞[單選題]25.()第二十三條規(guī)定存儲、處理國家秘密的就計算機信息系統(tǒng)(以下簡稱泄密信息系統(tǒng))按照()實行分級保護。()應當按照國家保密標準配備保密設施、設備。()、設備應當與涉密信息系統(tǒng)同步規(guī)劃、同步建設、同步運行(三同步)。涉密信息系統(tǒng)應當按照規(guī)定，經(jīng)()后，方可投入使用。A)《保密法》：涉密程度；涉密信息系統(tǒng)；保密設施；檢查合格B)《國家保密法》涉密程度；涉密系統(tǒng)；保密設施；檢查合格C)《網(wǎng)絡保密度；涉密系統(tǒng)；查合格D)《安全保密度；涉密信息系施；檢查合格答案:A解析:[單選題]26.自學了信息安全風險評估的相關國家標準后,將風險計算的有關公式使用圖形來表示。下面四個圖中F1、F2、F3、F4分別代表某種計算函數(shù)。四張圖中,計算關系表達正確的是A)威脅出現(xiàn)的頻率F1安全事件發(fā)生的可能性資產(chǎn)價值F1安全事件發(fā)生的可能性B)威脅出現(xiàn)的頻率F2安全事件發(fā)生的可能性安全事件的數(shù)量F2安全事件發(fā)生的可能性C)脆弱性嚴重程度F3安全事件造成的損失資產(chǎn)價值F3安全事件造成的損失D)脆弱性嚴重程度F4安全事件造成的損失威脅出現(xiàn)的頻率F4全事件造成的損失答案:C解析:[單選題]27.部署互聯(lián)網(wǎng)協(xié)議安全虛擬專用網(wǎng)（InternetprotocolSecurityVirtualPrivateNetwork，IPsecVPN）時，以下說法正確的是？A)配置MD5安全算法可以提供可靠地數(shù)據(jù)加密B)配置AES算法可以提供可靠的數(shù)據(jù)完整性驗證C)部署IPsecVPN網(wǎng)絡時，需要考慮IP地址的規(guī)劃，盡量在分支節(jié)點使用可以聚合的IP地址段，來減少IPsec安全關聯(lián)（SecurityAuthentication，SA）資源的消耗D)報文驗證頭協(xié)議（AuthenticationHeader，AH）可以提供數(shù)據(jù)機密性答案:C解析:[單選題]28.在網(wǎng)絡交易發(fā)達的今天,貿(mào)易雙方可以通過簽署電子合同來保障自己的合法權益。某中心推出電子簽名服務,按照如圖方式提供電子簽名,不屬于電子簽名的基本特性的是()。1415A)不可偽造性B)不可否認性C)保證消息完整性D)機密性答案:D解析:[單選題]29.模糊測試，也稱Fuzz測試，是一種通過提供非預期的輸入并監(jiān)視異常結果來發(fā)現(xiàn)軟件故障的方法。下面描述正確的是（）A)模糊測試本質(zhì)上屬于黑盒測試B)模糊測試本質(zhì)上屬于白盒測試C)模糊測試有時屬于黑盒測試，有時屬于白盒測試，取決于其使用的測試方法D)模糊測試既不屬于黑盒測試，也不屬于白盒測試答案:A解析:[單選題]30.下面沒有利用猜測密碼口令方式進行傳播的病毒是：A)高波變種3TB)迅猛姆馬C)震蕩波D)口令蠕蟲答案:C解析:[單選題]31.韓同學收到一封郵件，說自己的QQ號碼存在異常，需要緊急處理，點開網(wǎng)站后需要輸入QQ號、密碼，以下最合理的做法是？A)QQ號碼存在異常，應立即按郵件要求處理B)QQ密碼設置復雜，沒有安全問題，不予理睬C)檢查郵件標題是否為藍色，如果不是藍色標題，則可確定這封郵件為仿冒官方的盜號郵件，可直接舉報D)凍結此QQ，不再使用答案:C解析:[單選題]32.在2014年巴西世界杯舉行期間，一些黑客組織攻擊了世界杯贊助商及政府網(wǎng)站，制了大量網(wǎng)絡流量，阻塞正常用戶訪問網(wǎng)站。這種攻擊類型屬于下面什么攻擊（）A)跨站腳本（crosssitescripting,XSS)攻擊B)TCP會話劫持（TCPHIJACK)攻擊C)ip欺騙攻擊D)拒絕服務（denialservice.dos）攻擊答案:D解析:[單選題]33.ZSARSA模型包括（），它是一個()，它在第一層從安全的危度定義了（），模型的每一層在我少，細節(jié)逐層增加，因此，它的層級都是建在其他層之上的，從策略逐漸到技術和解決方案的（），其上提出了一個包括戰(zhàn)略、概念、設計、實施、度量和審計層次的()A)五層:業(yè)務需求；分層模型:實施實踐:安全鏈條B)六層:分層模型:業(yè)務需求:實施實踐：安全鏈條五層:分層模型；業(yè)務需求:實施實踐:安全鏈條C)五層:分層模型；業(yè)務需求:實施實踐:安全鏈條D)六層：分層模型:實施實踐:業(yè)務需求:安全鏈條答案:B解析:[單選題]34.關于源代碼審核，下列說法正確的是：A)人工審核源代碼審校的效率低，但采用多人并行分析可以完全彌補這個缺點B)源代碼審核通過提供非預期的輸入并監(jiān)視異常結果來發(fā)現(xiàn)軟件故障，從而定位可能導致安全弱點的薄弱之處C)使用工具進行源代碼審核，速度快，準確率高，已經(jīng)取代了傳統(tǒng)的人工審核D)源代碼審核是對源代碼檢查分析，檢測并報告源代碼中可能導致安全弱點的薄弱之處答案:D解析:[單選題]35.訪問控制的實施一般包括兩個步驟,首先要鑒別主體的合法身份,接著根據(jù)當前系統(tǒng)的訪問控制規(guī)則授予相應用戶的訪問權限。在此過程中,涉及主體、客體、訪問控制實施部件和訪問控制決策部件之間的交互。下圖所示的訪問控制實施步驟中,你認為那個是正確的:()A)1是主體,2是客體,3是實施,4是決策B)1是客體,2是主體3是決策,4是實施C)1實施,2是客體3是主題,4是決策D)1是主體,2是實施3是客體,4是決策答案:D解析:P306[單選題]36.以下哪些不是《國家網(wǎng)絡空間安全戰(zhàn)略》中闡述的我國網(wǎng)絡空間當前任務?（）A)捍衛(wèi)網(wǎng)絡空間主權B)保護關鍵信息基礎設施C)提升網(wǎng)絡空間防護能力D)阻斷與國外網(wǎng)絡連接答案:D解析:常識問題[單選題]37.某單位在一次風險安全風險管理活動中，風險評估報告提出服務器A的FTP服務存在高風險漏洞。隨后該單位在風險處理時選擇了關閉FTP服務的處理措施，請問該措施屬于哪種風險處理方式（）A)風險降低B)風險規(guī)避C)風險轉(zhuǎn)移D)風險接受答案:B解析:[單選題]38.37.GB/T18336的最低級別是（）A)EAL1B)EAL3C)EAL5D)EAL7答案:A解析:[單選題]39.下面哪一項不是虛擬專用網(wǎng)絡（VPN）協(xié)議標準：A)第二層隧道協(xié)議（L2TP）B)Internet安全性（IPSEC）C)終端訪問控制器訪問控制系統(tǒng)（TACACS+）D)點對點隧道協(xié)議（PPTP）答案:C解析:[單選題]40.67.恢復時間目標（RecoveryTimeObjective,RTO）和恢復點目標（RECOVERYPointObjective,RPO）是業(yè)務連續(xù)性和災難恢復工作中的兩個重要指標，隨著信息系統(tǒng)越來越重要和信息技術越來越先進，這兩個指標的數(shù)值越來越小。小華準備為其工作的信息系統(tǒng)擬定RTO和RPO指標，則以下描述中，正確的是（）A)RTO可以為0，RPO也可以為0B)RTO可以為0，RPO不可以為0C)RTO不可以為0，RPO可以為0D)RTO不可以為0，RPO也不可以為0答案:A解析:[單選題]41.某軟件開發(fā)團隊負責某新型火箭控制系統(tǒng)軟件的開發(fā)工作,該團隊成員均為8年以上開發(fā)經(jīng)驗的軟件開發(fā)工程師,并且數(shù)學功底深厚,在該火箭控制系統(tǒng)開發(fā)之前,團隊需要確定選擇該項目的開發(fā)模型,作為該團隊的項目經(jīng)理,你認為應該選擇哪一個模型最為合適A)瀑布模型B)凈空模型C)原型模型D)迭代模型答案:B解析:[單選題]42.系統(tǒng)安全工程-能力成熟度模型（SystemsSecurityEngineering-Capabilitymaturitymodel，SSE-CMM）定義的包含評估威脅、評估脆弱性、評估影響和評估安全風險的基本過程領域是？A)風險過程B)工程過程C)保證過程D)評估過程答案:A解析:[單選題]43.在一家企業(yè)的業(yè)務持續(xù)性計劃中,什么情況被宣布為一個危機沒有被定義。這一點關系到的主要風險是:A)對這種情況的評估可能會延遲B)災難恢復計劃的執(zhí)行可能會被影響C)團隊通知可能不會發(fā)生D)對潛在危機的識別可能會無效答案:B解析:[單選題]44.在一份業(yè)務持續(xù)計劃,下列發(fā)現(xiàn)中哪一項是最重要的?A)不可用的交互PBX系統(tǒng)B)骨干網(wǎng)備份的缺失C)用戶PC機缺乏備份機制D)門禁系統(tǒng)的失效答案:B解析:[單選題]45.進入21世紀以來，信息安全成為世界各國安全戰(zhàn)略關注的重點，紛紛制定并頒布網(wǎng)絡空間安全戰(zhàn)略，但各國歷史、國情和文化不同，網(wǎng)絡空間安全戰(zhàn)略的內(nèi)容也各不相同，以下說法不正確的是（）A)與國家安全、社會穩(wěn)定和民生密切相關的關鍵基礎設施是各國安全保障的重點B)美國尚未設立中央政府級的專門機構處理網(wǎng)絡信息安全問題，信息安全管理職能由不同政府部門的多個機構共同承擔C)各國普遍重視信息安全事件的應急響應和處理D)在網(wǎng)絡安全戰(zhàn)略中，各國均強調(diào)加強政府管理力度，充分利用社會資源，發(fā)揮政府與企業(yè)之間的合作關系答案:B解析:美國已經(jīng)設立中央政府級的專門機構。[單選題]46.數(shù)位物件識別號（DigltalCbjectIdentifier簡稱DOI）是一套是被數(shù)位資源的機制，涵括對象有視頻，告誡書籍等等，它既有一套為資源命名的機制，也有一套將識別號解析為具體位置的協(xié)定。DOI碼由前綴和后綴兩部分組成，之間用?/?分開，并且前綴以?-?再分為兩部分。以下是一個典型DOI識別號10.1006/jmbi.1998.2354，下列選項錯誤的是（）A)?10.1006?是前綴，由國際數(shù)位物件識別號基金會確定B)?10?為DOI目前唯一的特定代碼，用以將DOL與其他采用同樣技術的系統(tǒng)區(qū)分開C)?1006?是注冊代理機構的代碼，或出版社代碼，用于區(qū)分不同的注冊機構D)后綴部分為jmbi.1998.2354，由資源發(fā)行者自行制定，用于區(qū)分一個單獨的數(shù)字資料，不具有唯一性答案:D解析:[單選題]47.國際標準化組織(InternationalOrganizationforStandardization,ISO)對信息安全的定義為()A)保護信息和信息系統(tǒng)不被未經(jīng)授權的訪問、使用、泄露、修改和破壞，為信息和信息系統(tǒng)提供保密性、完整性、可用性、可控性和不可否認性B)信息安全，有時縮寫為InfoSec，是防止未經(jīng)授權訪問、使用、披露、中斷、修改、檢查、記錄或破壞信息做法。它是一個用于任何形式數(shù)據(jù)(如電子、物理)通用術語C)在既定的密級條件下，網(wǎng)絡與信息系統(tǒng)抵御意外事件或惡意行為的能力，這些事件和行為將威脅所存儲或傳輸?shù)臄?shù)據(jù)以及經(jīng)由這些網(wǎng)絡和系統(tǒng)所提供的服務的可用性、真實性、完整性和機密性D)為數(shù)據(jù)處理系統(tǒng)建立和采取技術、管理的安全保護，保護計算機硬件、軟件、數(shù)據(jù)不因偶然的或惡意的原因而受到破壞、更改、泄露答案:D解析:[單選題]48.458.信息安全保障技術框架（InformetionAssuranceTechnicalFromwork,IATF）,目的是為保障政府和工業(yè)的（）提供了（），信息安全保障技術框架的一個核心思想是（），深度防御戰(zhàn)略的三個核心要素：（）、技術和運行（亦稱為操作）A)信息基礎設施：技術指南：深度防御：人員B)技術指南：信息基礎設施：深度防御：技術指南：人員C)信息基礎設施：深度防御：技術指南：人員D)信息基礎設施：技術指南：人員：深度防御答案:A解析:[單選題]49.組織回顧信息系統(tǒng)災難恢復計劃時應:A)每半年演練一次B)周期性回顧并更新C)經(jīng)首席執(zhí)行官(CEO)認可D)與組織的所有部門負責人溝通答案:B解析:[單選題]50.Windows上，想要查看進程在打開那些文件，可以使用哪個命令或工具A)openfilesB)dirC)listD)filelist答案:A解析:[單選題]51.16.下面對零日(zero-day)漏洞的理解中,正確的是A)指一個特定的漏洞,該漏洞每年1月1日零點發(fā)作,可以被攻擊者用來遠程攻擊,獲取主機權限B)指一個特定的漏洞在2010年被發(fā)現(xiàn)出來的一種洞,該漏洞被震網(wǎng)病毒所利用,用來攻擊伊朗布什爾核電站基礎設施C)指一類漏洞,特別好被利用,一旦成功利用該類漏洞可以在1天內(nèi)完成攻擊且成功達到攻擊目標D)一類漏洞,剛被發(fā)現(xiàn)后立即被惡意利用的安全漏洞一般來說,那些已經(jīng)被人發(fā)現(xiàn),但是還未公開、還不存在安全補丁的漏洞都是零日漏洞答案:D解析:[單選題]52.14.為了防止授權用戶不會對數(shù)據(jù)進行未經(jīng)授權的修改，需要實施對數(shù)據(jù)的完整性保護，下列哪一項最好地描述了星或（﹡-）完整性原則？A)Bell-LaPadula模型中的不允許向下寫B(tài))Bell-LaPadula模型中的不允許向上讀C)Biba模型中的不允許向上寫D)Biba模型中的不允許向下讀答案:C解析:[單選題]53.一個組織的災難恢復(DR,DisAsterreCovery)策略的變更時將公司的關鍵任務應用的恢復點目標(RPO)被縮短了,下述哪個是該變更的最顯著風險?A)現(xiàn)有的DR計劃沒有更新以符合新的RPOB)DR小組沒有基于新的RPO進行培訓C)備份沒有以足夠的頻率進行以實現(xiàn)新的RPOD)該計劃沒有基于新的RPO進行測試答案:C解析:[單選題]54.某IT公司針對信息安全事件已經(jīng)建立了完善的預案，在年度企業(yè)信息安全總結會上，信息安全管理員對今年應急預案工作做出了四個總結，其中有一項總結工作是錯誤，作為企業(yè)的CSO，請你指出存在問題的是哪個總結？（）A)公司自身擁有優(yōu)秀的技術人員，系統(tǒng)也是自己開發(fā)的，無需進行應急演練工作，因此今年的僅制定了應急演練相關流程及文檔，為了不影響業(yè)務，應急演練工作不舉行B)公司制定的應急演練流程包括應急事件通報、確定應急事件優(yōu)先級應急響應啟動實施、應急響應時間后期運維、更新現(xiàn)在應急預案五個階段，流程完善可用C)公司應急預案包括了基本環(huán)境類、業(yè)務系統(tǒng)、安全事件類、安全事件類和其他類，基本覆蓋了各類應急事件類型D)公司應急預案對事件分類依據(jù)GB/Z20986-2007《信息安全技術信息安全事件分類分級指南》，分為7個基本類別，預案符合國家相關標準答案:A解析:?無需進行應急演練工作?錯誤[單選題]55.78.許多web應用程序存在大量敏感數(shù)據(jù)，包括信用卡、杜?？ㄌ柎a、身份認證證書等，Web應用這些敏感信息存儲到數(shù)據(jù)庫或者文件系統(tǒng)中，但是并使用適當?shù)募用艽胧﹣肀Ｗo。小李不想自己的銀行卡密碼被泄露，他一直極力避免不安全的密碼存儲，他總結出幾種不安全的密碼存儲問題，其中有一項應該歸為措施，請問是哪一項（）A)使用弱算法B)使用適當?shù)募用艽胧┗騂ash算法C)不安全的密鑰生成和儲存D)不輪換密鑰答案:B解析:[單選題]56.以下哪個命令可以查看端口對應的PIDA)netstAt-AnoB)ipConfig/AllC)trACertD)netsh答案:A解析:[單選題]57.計算機網(wǎng)絡組織結構中有兩種基本結構，分別是域和____。A)A用戶組B)B工作組C)C本地組D)D全局組答案:B解析:[單選題]58.下面哪種VPN技術工作的網(wǎng)絡協(xié)議層次最高A)IPSECVPNB)SSLVPNC)L2TPVPND)GREVPN答案:B解析:[單選題]59.92.以下場景描述了基于角色的訪問控制模型（Role-basedAccessControl，RBAC）：根據(jù)組織的業(yè)務要求或管理要求，在業(yè)務系統(tǒng)中設置若干崗位、職位或分工。管理員負責將權限（不同類別和級別的）分別賦予承擔不同工作職責的用戶。關于RBAC模型，下列說法錯誤的是：A)當用戶請求訪問某資源時，如果其操作權限不再用戶當前被激活角色的授權范圍內(nèi)，訪問請求將被拒絕B)業(yè)務系統(tǒng)中的崗位、職位或者分工，可對應RBAC模型中的角色C)通過角色，可實現(xiàn)對信息資源訪問的控制D)RBAC模型不能實現(xiàn)多級安全中的訪問控制答案:D解析:[單選題]60.公鑰基礎設施（PublicKeyInfrastructure,PKI）引入數(shù)字證書的概念，用來表示用戶的身份。下圖簡要地描述了終端實體（用戶）從認證權威機構CA申請、撤銷和更新數(shù)字證書的流程。請為中間框空白處選擇合適的選項A)證書庫B)RAC)OCSPD)CRL庫答案:B解析:[單選題]61.主要用于通信加密機制的協(xié)議是()A)HTTPB)FTPC)TELNETD)SSL答案:D解析:[單選題]62.下列哪一種方法屬于基于實體?所有?鑒別方法：A)用戶通過自己設置的口令登錄系統(tǒng)，完成身份鑒別B)用戶使用個人指紋，通過指紋識別系統(tǒng)的身份鑒別C)用戶利用和系統(tǒng)協(xié)商的秘密函數(shù)，對系統(tǒng)發(fā)送的挑戰(zhàn)進行正確應答，通過身份鑒別D)用戶使用集成電路卡（如智能卡）完成身份鑒別答案:D解析:[單選題]63.UNIX工具(實用程序，utilities)在新建文件的時候，通常使用____作為缺省許可位，而在新建程序的時候，通常使用____作為缺省許可位。A)A?555-666?B)B?666-777?C)C?777-888?D)D?888-999?答案:B解析:[單選題]64.自助訪問控制（DAC）是應用很廣泛的訪問控制方法，常用于多種商業(yè)系統(tǒng)中，以下對DAC模型的理解中，存在錯誤的是（）A)在DAC模型中，資源的所有者可以規(guī)定誰有權訪問他們的資源B)DAC是一種對單個用戶執(zhí)行訪問控制的過程和措施C)DAC可為用戶提供靈活調(diào)整的安全策略，具有較好的易用性和可擴展性，可以抵御特洛伊木馬的攻擊D)在DAC中，具有某種訪問能力的主體能夠自主地將訪問權的某個子集授予其它主體答案:C解析:一個持洛伊木馬可以攻破任何形式的自主訪問控制，由于自主控制方式允許用戶程序來修改他擁有文件的存取控制表，因而為非法者帶來可乘之機。[單選題]65.以下哪一個是包過濾防火墻的優(yōu)點?A)可以與認證、授權等安全手段方便的集成。B)與應用層無關,無須改動任何客戶機和主機的應用程序,易于安裝和使用。C)提供透明的加密機制D)可以給單個用戶授權答案:C解析:[單選題]66.傳統(tǒng)密碼學的理論基礎是A)數(shù)學B)物理學C)計算機學科D)力學答案:A解析:[單選題]67.如圖一所示:主機A和主機B需要通過IPSec隧道模式保護二者之間的通信流量,這種情況下IPSec的處理通常發(fā)生在哪二個設備中?()class="fr-ficfr-filfr-dibcursor-hover"A)主機A和安全網(wǎng)關1;B)主機B和安全網(wǎng)關2;C)主機A和主機B中;D)安全網(wǎng)關1和安全網(wǎng)關2中;答案:D解析:[單選題]68.某電子商務網(wǎng)站最近發(fā)生了一起安全事件，出現(xiàn)了一個價值1000元的商品用1元被買走的情況，經(jīng)分析是由于設計時出于性能考慮，在瀏覽時使用Http協(xié)議，攻擊者通過偽造數(shù)據(jù)包使得向購物車添加商品的價格被修改。利用此漏洞，攻擊者將價值1000元的商品以1元添加到購物車中，而付款時又沒有驗證的環(huán)節(jié)，導致以上問題。對于網(wǎng)站的這個問題原因分析及解決措施，最正確的說法應該是？A)該問題的產(chǎn)生是由于使用了不安全的協(xié)議導致的，為了避免再發(fā)生類似的問題，應對全網(wǎng)站進行安全改造，所有的訪問都強制要求使用httpsB)該問題的產(chǎn)生是由于網(wǎng)站開發(fā)前沒有進行如威脅建模等相關工作或工作不到位，沒有找到該威脅并采取相應的消減措施C)該問題的產(chǎn)生是由于編碼缺陷，通過對網(wǎng)站進行修改，在進行訂單付款時進行商品價格驗證就可以解決D)該問題的產(chǎn)生不是網(wǎng)站的問題，應報警要求尋求警察介入，嚴懲攻擊者即可答案:C解析:[單選題]69.6.?CC?標準是測評標準類的重要標準，從該標準的內(nèi)容來看，下面哪項內(nèi)容是針對具體的被測評對象，描述了該對象的安全要求及其相關安全功能和安全措施，相當于從廠商角度制定的產(chǎn)品或系統(tǒng)實現(xiàn)方案（）A)評估對象（TOE）B)保護輪廓（PP）C)安全目標（ST）D)評估保證級（EAL）答案:C解析:馬鈴薯是是蔬菜。[單選題]70.隨著互聯(lián)網(wǎng)的迅速發(fā)展、web信息的增加，用戶要在信息海洋里查找自己所需的信息。就像大海撈針一樣，搜索引擎技術很好解決了這一難題。以下關于搜索引擎技術特點的描述中錯誤的是（）A)搜索引擎以一定的策略在web系統(tǒng)中搜索和發(fā)現(xiàn)信息B)搜索引擎可以分為目錄導航式與網(wǎng)頁索引式C)搜索器在Internet上逐個訪問web站點，并建立一個網(wǎng)站的關鍵字列表索引器功能是理解搜索器獲取的信息，向用戶顯示查詢結果D)索引器功能是理解搜索器獲取的信息，向用戶顯示查詢結果答案:B解析:[單選題]71.65.數(shù)位物件識別號(Digital0bjectIdentifier,簡稱DOI)是一套識別數(shù)位資源的機制，涵括的對象有視頻、報告或書籍等等。它既有一套為資源命名的機制，也有一套將識別號解析為具體位址的協(xié)定。DOI碼由前綴和后綴兩部分組成，之間用?/?分開，并且前級以?.?再分為兩部分。以下是一個典型的DOI識別號，10.1006/jmbi.1998.2354，下列選項錯誤的是()A)?10.1006?是前級，由國際數(shù)位物件識別號基金會確定B)?10?為DOI目前唯的特定代碼，用以將DOI與其他采用同樣技術的系統(tǒng)區(qū)分開C)?1006是注冊代理機構的代碼，或出版社代碼，用于區(qū)分不同的注冊機構D)后綴部分為:jmbi.1998.2354，由資源發(fā)行者自行指定，用于區(qū)分一個單獨的數(shù)字資料，不具有唯一性答案:D解析:[單選題]72.某公司中標了某項軟件開發(fā)項目后，在公司內(nèi)部研討項目任務時，項目組認為之前在VPN技術方面積累不夠，導致在該項目中難以及時完成VPN功能模塊，為解決該問題，公司高層決定接受該項目任務，同時將該VPN功能模塊以合同形式委托另外一家安全公司完成，要求其在指定時間內(nèi)按照任務需求書完成工作，否則承擔相應責任。在該案例中公司高層采用哪種風險處理方式A)風險降低B)風險規(guī)避C)風險轉(zhuǎn)移D)風險接受答案:C解析:[單選題]73.1998年英國公布標準的第二部分《信安全管理體系規(guī)范》,規(guī)定()管理體系要求與()要求,它是一個組織的全面或部分信息安全管理體系評估的(),它可以作為一個正式認證方案的()。BS7799-1與BS7799-2經(jīng)過修訂于1999年重新予以發(fā)布,1999版考慮了信息處理技術,尤其是在網(wǎng)絡和通信領域應用的近期發(fā)展,同時還非常強調(diào)了商務涉及的信息安全及()的責任。A)信息安全;信息安全控制;根據(jù);基礎;信息安全B)信息安全控制;信息安全;根據(jù);基礎;信息安全C)信息安全控制;信息安全;基礎;根據(jù);信息安全D)信息安全;信息安全控制;基礎;根據(jù);信息安全答案:D解析:[單選題]74.Linux系統(tǒng)對文件的權限是以模式位的形式來表示,對于文件名為test的一個文件,屬于admin組中user用戶,以下哪個是該文件正確的模式表示?A)-rwxr-xr-x3useradmin1024Sep1311:58testB)drwxr-xr-x3useradmin1024Sep1311:58testC)-rwxr-xr-x3adminuser1024Sep1311:58testD)drwxr-xr-x3adminuser1024Sep1311:58test答案:A解析:[單選題]75.2016年9月，一位安全研究人員在GoogleCloudIP上通過掃描，發(fā)現(xiàn)了完整的美國路易斯安邦州290萬選民數(shù)據(jù)庫。這套數(shù)據(jù)庫中囊括了諸如完整姓名、電子郵箱地址、性別與種族、選民狀態(tài)、注冊日期與編號、正黨代名和密碼，以防止攻擊者利用以上信息進行（）攻擊。A)默認口令B)宇典C)暴力D)XSS答案:B解析:[單選題]76.以下哪一種判斷信息系統(tǒng)是否安全的方式是最合理的？A)是否己經(jīng)通過部署安全控制措施消滅了風險B)是否可以抵抗大部分風險C)是否建立了具有自適應能力的信息安全模型D)是否已經(jīng)將風險控制在可接受的范圍內(nèi)答案:D解析:[單選題]77.較低的恢復時間目標(恢復時間目標)的會有如下結果:A)更高的容災B)成本較高C)更長的中斷時間D)更多許可的數(shù)據(jù)丟失答案:B解析:[單選題]78.企業(yè)由于人力資源短缺,IT支持一直以來由一位最終用戶兼職,最恰當?shù)难a償性控制是:A)限制物理訪問計算設備B)檢查事務和應用日志C)雇用新IT員工之前進行背景調(diào)查D)在雙休日鎖定用戶會話答案:B解析:[單選題]79.401.以下哪一項不屬于Web應用軟件表示層測試關注的范疇()A)排版結構的測試B)數(shù)據(jù)完整性測試C)客戶端兼容性的測試D)鏈接結構的測試答案:B解析:[單選題]80.在密碼學的kerckhoff假設中，密碼系統(tǒng)的安全性僅依賴于（）A)明文B)密文C)密鑰D)信道答案:C解析:[單選題]81.2005年4月1日正式施行的《電子簽名法》，被稱為?中國首部真正意義上的信息化法律?，自此電子簽名與傳統(tǒng)手寫簽名和蓋章具有同等的法律效力。以下關于電子簽名說法錯誤的是A)電子簽名--是指數(shù)據(jù)電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內(nèi)容的數(shù)據(jù)B)電子簽名適用于民事活動中的合同或者其他文件、單證等文書C)電子簽名需要第三方認證的，由依法設立的電子認證服務提供者提供認證服務D)電子簽名制作數(shù)據(jù)用于電子簽名時，屬于電子簽名人和電子認證服務提供者共有答案:D解析:電子簽名不可以與認證服務提供者共有。[單選題]82.在Windows系統(tǒng)中，存在默認共享功能，方便了局域網(wǎng)用戶使用，但對個人用戶來說存在安全風險。如果電腦聯(lián)網(wǎng)，網(wǎng)絡上的任何人都可以通過共享使用或修改文件。小劉在裝有WindowsXP系統(tǒng)的計算機上進行安全設置時，需要關閉默認共享。下列選項中，不能關閉默認共享的操作是？A)將?HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lenmanserver\parameters?項中的?Autodisconnect?項鍵值改為0B)將?HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lenmanserver\parameters?項中的?AutoShareServer?項鍵值改為0C)將?HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lenmanserver\parameters?項中的?AutoShareWks?項鍵值改為0D)在命令窗口中輸入命令，刪除C盤默認共享：netshareC$/del答案:A解析:[單選題]83.信息化建設和信息安全建設的關系應當是：A)信息化建設的結束就是信息安全建設的開始B)信息化建設和信息安全建設應同步規(guī)劃、同步實施C)信息化建設和信息安全建設是交替進行的，無法區(qū)分誰先誰后D)以上說法都正確答案:B解析:[單選題]84.老王是一名企業(yè)信息化負責人,由于企業(yè)員工在瀏覽網(wǎng)頁時總導致病毒感染系統(tǒng),為了解決這一問題,老王要求信息安全員給出解決措施,信息安全員給出了四條措施建議,老王根據(jù)多年的信息安全管理經(jīng)驗,認為其中一條不太適合推廣,你認為是哪條措施()A)采購防病毒網(wǎng)關并部署在企業(yè)互聯(lián)網(wǎng)出口中,實現(xiàn)對所有瀏覽網(wǎng)頁進行檢測,阻止網(wǎng)頁中的病毒進入內(nèi)網(wǎng)B)組織對員工進行一次上網(wǎng)行為安全培訓,提高企業(yè)員工在互聯(lián)網(wǎng)瀏覽時的安全意識C)采購并統(tǒng)一部署企業(yè)防病毒軟件,信息化管理部門統(tǒng)一進行病毒庫升級,確保每臺計算機都具備有效的病毒檢測和查殺能力D)制定制度禁止使用微軟的IE瀏覽器上網(wǎng),統(tǒng)一要求使用Chrome瀏覽器答案:D解析:更換瀏覽器并不能防范病毒感染系統(tǒng),而且很多軟件和應用與微軟IE瀏覽器做了適配,強制更換Chrome瀏覽器不適合推廣。[單選題]85.近幾年,無線通信技術迅猛發(fā)展,廣泛應用于各個領域。而無線信道是一個開放性信道,它在賦予無線用戶通信自由的同時也給無線通信網(wǎng)絡帶來一些不安全因素,下列選項中,對無線通信技術的安全特點描述正確的是()A)無線信道是一個開放信道,任何具有適當無線設備的人均可以通過搭線竊聽而獲得網(wǎng)絡通信內(nèi)容B)通過傳輸流分析,攻擊者可以掌握精確的通信內(nèi)容C)對于無線局域網(wǎng)絡和無線個人區(qū)域網(wǎng)絡來說,它們的通信內(nèi)容更容易被竊聽D)群通信方式可以防止網(wǎng)絡外部人員獲取網(wǎng)絡內(nèi)部通信內(nèi)容答案:C解析:A項,搭線竊聽錯誤一般使用無線嗅探獲得別人的網(wǎng)絡通信內(nèi)容,B?掌握精確的通信內(nèi)容?有點夸張,一般獲得大概的內(nèi)容就夠用了,D群通信很容易導致外部人員獲取網(wǎng)內(nèi)通信內(nèi)容。[單選題]86.以下對于安全套接層（SSL）的說法正確的是：A)主要是使用對稱密鑰體制和X509數(shù)字證書技術保護信息傳輸?shù)臋C密性和完整性B)可以在網(wǎng)絡層建立VPNC)主要適用于點對點之間的信息傳輸，常用WebServer方式D)包含三個主要協(xié)議：AH、ESP、IKE答案:C解析:[單選題]87.關于信息安全事件管理和應急響應,以下說法錯誤的是()。A)應急響應是指組織為了應對突發(fā)/重大信息安全事件的發(fā)生所做的準備,以及在事件發(fā)生后所采取的措施B)根據(jù)信息安全事件的分級參考要素,可將信息安全事件劃分為4個級別:特別重大事件(I級)、重大事件(II級)、較大事件(III級)和一般事件(IV級)C)應急響應方法,將應急響應管理過程分為遏制、根除、處置、恢復、報告和跟蹤6個階段D)對信息安全事件的分級主要參考信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響三方面因素答案:C解析:應急響應方法是將應急響應管理過程分為6個階段,為準備->檢測->遏制->根除->恢復->跟蹤總結。P152頁。[單選題]88.Windows系統(tǒng)下，哪項不是有效進行共享安全的防護措施？A)使用netsh