CISP官方信息安全技術(shù)章節(jié)練習(xí)一

1、CISP信息安全技術(shù)章節(jié)練習(xí)一一、單選題。(共100題,共100分,每題1分)1. 安全的運行環(huán)境是軟件安全的基礎(chǔ)，操作系統(tǒng)安全配置是確保運行環(huán)境安全必不可少的工作，某管理員對即將上線的Windows操作系統(tǒng)進行了以下四項安全部署工作，其中哪項設(shè)置不利于提高運行環(huán)境安全? a、操作系統(tǒng)安裝完成后安裝最新的安全補丁，確保操作系統(tǒng)不存在可被利用的安全漏洞 b、為了方便進行數(shù)據(jù)備份，安裝Windows操作系統(tǒng)時只使用一個分區(qū)所有數(shù)據(jù)和操作系統(tǒng)都存放在C盤 c、操作系統(tǒng)上部署防病毒軟件，以對抗病毒的威脅 d、將默認(rèn)的管理員賬號Administrator改名，降低口令暴力破解攻擊的發(fā)生可能 最佳答案是:

2、b2. 對于抽樣而言,以下哪項是正確的? a、抽樣一般運用于與不成文或無形的控制相關(guān)聯(lián)的總體 b、如果內(nèi)部控制健全,置信系統(tǒng)可以取的較低 c、通過盡早停止審計測試,屬性抽樣有助于減少對某個屬性的過量抽樣 d、變量抽樣是估計給定控制或相關(guān)控制集合發(fā)生率的技術(shù) 最佳答案是:b3. 以下關(guān)于賬戶策略中密碼策略中各項作用說明，哪個是錯誤的： a、“密碼必須符合復(fù)雜性要求”是用于避免用戶產(chǎn)生諸如1234,1111這樣的弱口令 b、“密碼長度最小值”是強制用戶使用一定長度以上的密碼 c、“強制密碼歷史”是強制用戶不能再使用曾經(jīng)使用過的任何密碼 d、“密碼最長存留期”是為了避免用戶使用密碼時間過長而不更換

3、最佳答案是:c4.如圖所示，主體S對客體01有讀（R）權(quán)限，對客體O2有讀（R）、寫（W）、擁有（Own）權(quán)限。該圖所表示的訪問控制實現(xiàn)方法是： a、訪問控制表（ACL) b、訪問控制矩陣 c、能力表（CL） d、前綴表（Profiles） 最佳答案是:c5. 關(guān)于數(shù)據(jù)庫恢復(fù)技術(shù)，下列說法不正確的是： a、數(shù)據(jù)庫恢復(fù)技術(shù)的實現(xiàn)主要依靠各種數(shù)據(jù)的冗余和恢復(fù)機制技術(shù)來解決，當(dāng)數(shù)據(jù)庫中數(shù)據(jù)被破壞時，可以利用冗余數(shù)據(jù)來進行修復(fù) b、數(shù)據(jù)庫管理員定期地將整個數(shù)據(jù)庫或部分?jǐn)?shù)據(jù)庫文件備份到磁帶或另一個磁盤上保存起來，是數(shù)據(jù)庫恢復(fù)中采用的基本技術(shù) c、日志文件在數(shù)據(jù)庫恢復(fù)中起著非常重要的作用，可以用來進行事務(wù)

4、故障恢復(fù)和系統(tǒng)故障恢復(fù)，并協(xié)助后備副本進行介質(zhì)故障恢復(fù) d、計算機系統(tǒng)發(fā)生故障導(dǎo)致數(shù)據(jù)未儲存到固定存儲器上，利用日志文件中故障發(fā)生的數(shù)據(jù)值，將數(shù)據(jù)庫恢復(fù)到故障發(fā)生前的完整狀態(tài)，這一對事務(wù)的操作稱為提交 最佳答案是:d6. 以下關(guān)于WIndows系統(tǒng)賬號存儲管理機制SAM(Security Accounts Manager）的說法哪個是正確的： a、存儲在注冊中的賬號數(shù)據(jù)是管理員組用戶都可以訪問，具有較高的安全性 b、存儲在注冊表中的賬號數(shù)據(jù)只有administrator賬戶才有權(quán)訪問，具有較高的安全性 c、存續(xù)在冊表中的賬號數(shù)據(jù)任何用戶都可以直接訪問，靈活方便 d、存儲在注冊表中的賬號數(shù)據(jù)有只

5、有System賬戶才能訪問，具有較高的安全性 最佳答案是:d7. 以下關(guān)于安全套接層（Security Sockets Layer，SSL)說法錯誤的是： a、受到SSL防護的web服務(wù)器比沒有SSL的web服務(wù)器要安全 b、當(dāng)瀏覽器上的統(tǒng)一資源定位符（Uniform Resource Locator,URL)出現(xiàn)https時，說明用戶正使用配置了SSL協(xié)議的Web服務(wù)器 c、SSL可以看到瀏覽器與服務(wù)器之間的安全通道 d、SSL提供了一種可靠地端到端的安全服務(wù) 最佳答案是:a8. 以下哪一項不是常見威脅對應(yīng)的消減措施： a、假冒攻擊可以采用身份認(rèn)證機制來防范 b、為了防止傳輸?shù)男畔⒈淮鄹?，?/p>

6、發(fā)雙方可以使用單向Hash函數(shù)來驗證數(shù)據(jù)的完整性 c、為了防止發(fā)送方否認(rèn)曾經(jīng)發(fā)送過的消息，收發(fā)雙方可以使用消息驗證碼來防止抵賴 d、為了防止用戶提升權(quán)限，可以采用訪問控制表的方式來管理權(quán)限 最佳答案是:c9. 某購物網(wǎng)站開發(fā)項目經(jīng)過需求分析進入系統(tǒng)設(shè)計階段，為了保證用戶賬戶的安全，項目開發(fā)人員決定用戶登陸時如果用戶名或口令輸入錯誤，給用戶返回“用戶名或口令輸入錯誤”信息，輸入錯誤達到三次，將暫時禁止登錄該賬戶，請問以上安全設(shè)計遵循的是哪項安全設(shè)計原則： a、最少共享機制原則 b、經(jīng)濟機制原則 c、不信任原則 d、默認(rèn)故障處理保護原則 最佳答案是:c10. 某網(wǎng)站管理員小鄧在流量監(jiān)測中發(fā)現(xiàn)近期網(wǎng)

7、站的入站ICMP流量上升了250%，盡管網(wǎng)站沒有發(fā)現(xiàn)任何的性能下降或其他問題，但為了安全起見，他仍然向主管領(lǐng)導(dǎo)提出了應(yīng)對措施，作為主管負(fù)責(zé)人，請選擇有效的針對此問題的應(yīng)對措施： a、在防火墻上設(shè)置策略，阻止所有的ICMP流量進入（關(guān)掉ping） b、刪除服務(wù)器上的ping.exe程序 c、增加帶寬以應(yīng)對可能的拒絕服務(wù)攻擊 d、增加網(wǎng)站服務(wù)器以應(yīng)對即將來臨的拒絕服務(wù)攻擊 最佳答案是:a11. 由于發(fā)生了一起針對服務(wù)器的口令暴力破解攻擊，管理員決定對設(shè)置賬戶鎖定策略以對抗口令暴力破解。他設(shè)置了以下賬戶鎖定策略如下：復(fù)位賬戶鎖定計數(shù)器5分鐘，賬戶鎖定時間10分鐘，賬戶鎖定閥值3次無效登錄，以下關(guān)于以

8、上策略設(shè)置后的說法哪個是正確的： a、設(shè)置賬戶鎖定策略后，攻擊者無法再進行口令暴力破解，所有輸錯了密碼的用戶就會被鎖住 b、如果正常用戶不小心輸錯了3次密碼，那么該用戶就會被鎖定10分鐘，10分鐘內(nèi)即使輸入正確的密碼，也無法登錄系統(tǒng) c、如果正常用戶不小心連續(xù)輸入錯誤密碼3次，那么該用戶賬號就被鎖定5分鐘，5分鐘內(nèi)即使提交了正確的密碼也無法登錄系統(tǒng) d、攻擊者在進行口令破解時，只要連續(xù)輸錯3次密碼，該用戶就被鎖定10分鐘，而正常用戶登錄不受影響 最佳答案是:b12. 某單位系統(tǒng)管理員對組織內(nèi)核心資源的訪問制定訪問策略，針對每個用戶指明能夠訪問的資源，對于不在指定資源列表中的對象不允許訪問，該訪

9、問控制策略屬于以下哪一種： a、強制訪問控制 b、基于角色的訪問控制 c、自主訪問控制 d、基于任務(wù)的訪問控制 最佳答案是:c13. 關(guān)于源代碼審核，描述錯誤的是（） a、源代碼審核有利于發(fā)現(xiàn)軟件編碼中存在的安全問題 b、源代碼審核工程遵循PDCA 模型 c、源代碼審核方式包括人工審核工具審核 d、源代碼審核工具包括商業(yè)工具和開源工具 最佳答案是:b14. 由于頻繁出現(xiàn)軟件運行時被黑客遠程攻擊獲取數(shù)據(jù)的現(xiàn)象，某軟件公司準(zhǔn)備加強軟件安全開發(fā)管理，在下面做法中，對于解決問題沒有直接幫助的是（） a、要求開發(fā)人員采用敏捷開發(fā)模型進行開發(fā) b、要求所有的開發(fā)人員參加軟件安全意識培訓(xùn) c、要求規(guī)范軟件編

10、碼，并制定公司的安全編碼準(zhǔn)則 d、要求增加軟件安全測試環(huán)節(jié)，盡早發(fā)現(xiàn)軟件安全問題 最佳答案是:a15. 關(guān)于軟件安全的問題，下面描述錯誤的是（） a、軟件的安全問題可能造成軟件運行不穩(wěn)定，得不到正確結(jié)果甚至崩潰 b、軟件問題安全問題應(yīng)依賴于軟件開發(fā)的設(shè)、編程、測試以及部署等各個階段措施來解決 c、軟件的安全問題可能被攻擊者利用后影響人身體健康安全 d、軟件的安全問題是由程序開發(fā)者遺留的，和軟件的部署運行環(huán)境無關(guān) 最佳答案是:c16. 以下可能存在sql注入攻擊的部分是： a、get請求參數(shù) b、post請求參數(shù) c、cookie值 d、以上均有可能 最佳答案是:d17. 在2014年巴西世界杯

11、舉行期間，一些黑客組織攻擊了世界杯贊助商及政府網(wǎng)站，制造了大量網(wǎng)絡(luò)流量，阻塞正常用戶訪問網(wǎng)站。這種攻擊類型屬于下面什么攻擊（） a、跨站腳本（ cross site scripting,XSS)攻擊 b、TCP 會話劫持（ TCP HIJACK)攻擊 c、ip欺騙攻擊 d、拒絕服務(wù)（denialservice.dos）攻擊 最佳答案是:d18. 小陳在某電器城購買了一臺冰箱，并留下了個人姓名、電話在和電子郵件地址等信，第二天他收到了一封來自電器城提示他中獎的郵件上，查看該后他按照提示操作，納中獎稅款后并沒有得到中獎獎金，再打電話詢問電器城才得知電器城并沒有開的活動，根據(jù)上面的描述，由此可以推斷

12、的是（） a、小陳在電器城登記個人信息時，應(yīng)當(dāng)使用加密手段 b、小陳遭受了釣魚攻擊，錢被騙走了 c、小陳的計算機中了木馬，被遠程控制 d、小陳購買的凌波微步是智能凌波微步 ，能夠自己上網(wǎng) 最佳答案是:b19. 某公司在互聯(lián)網(wǎng)區(qū)域新建了一個WEB網(wǎng)站，為了保護該網(wǎng)站主頁安全性，尤其是不能讓攻擊者修改主頁內(nèi)容，該公司應(yīng)當(dāng)購買并部署下面哪個設(shè)備（） a、負(fù)載均衡設(shè)備 b、網(wǎng)頁防篡改系統(tǒng) c、網(wǎng)絡(luò)防病毒系統(tǒng) d、網(wǎng)絡(luò)審計系統(tǒng) 最佳答案是:b20. 某政府機構(gòu)委托開發(fā)商開發(fā)了一個OA系統(tǒng)，其中有一個公文分發(fā)，公文通知等為WORD文檔，廠商在進行系統(tǒng)設(shè)計時使用了 FTP來對公文進行分發(fā)，以下說法不正確的是

13、 a、FTP協(xié)議明文傳輸數(shù)據(jù)，包括用戶名和密碼，攻擊者可能通過會話過程嗅探獲得FTP密碼，從而威脅 OA系統(tǒng) b、FTP協(xié)議需要進行驗證才能訪問在，攻擊者可以利用FTP進行口令的暴力破解 c、FTP協(xié)議已經(jīng)是不太使用的協(xié)議，可能與新版本的瀏覽器存在兼容性問題 d、FTP應(yīng)用需要安裝服務(wù)器端軟件，軟件存在漏洞可能會影響到OA系統(tǒng)的安全 最佳答案是:c21. 以下SQL語句建立的數(shù)據(jù)庫對象是：CREATE VIEW PatientsForDoctors ASSWLWCT PatientFROM Patient*WHERE doctorlD=123 a、表 b、視圖 c、存儲過程 d、觸發(fā)器 最佳答

14、案是:b22. 以下關(guān)于賬戶密碼策略中各項策略的作用說明，哪個是錯誤的： a、“密碼必須符合復(fù)雜性要求”是用于避免用戶產(chǎn)生諸如1234、1111這樣的弱口令 b、“密碼長度最小值”是強制用戶使用一定長度以上的密碼 c、“強制密碼歷史”是強制用戶不能再使用曾經(jīng)使用過的任何密碼 d、“密碼最長存留期”是為了避免用戶使用密碼時間過長而不更改 最佳答案是:c23. 口令破解是針對系統(tǒng)進行攻擊的常用方法，Windows系統(tǒng)安全策略應(yīng)對口令破解的策略主要是賬戶策略中的賬戶鎖定策略和密碼策略，關(guān)于兩個策略說明錯誤的是 a、密碼策略的主要作用是通過策略避免用戶生成弱口令及對用戶的口令使用進行管控 b、密碼策略

15、對系統(tǒng)中所有的用戶都有效 c、賬戶鎖定策略的主要作用是應(yīng)對口令暴力破解攻擊，能有效的保護所有系統(tǒng)用戶應(yīng)對口令暴力破解攻擊 d、賬戶鎖定策略只適用于普通用戶，無法保護管理員administrator賬戶應(yīng)對口令暴力破解攻擊 最佳答案是:d24. IS審計師參與應(yīng)用系統(tǒng)開發(fā),他們從事以下哪項可以導(dǎo)致獨立性的減弱. a、對系統(tǒng)開發(fā)進行了復(fù)核 b、對控制和系統(tǒng)的其他改進提出了建議 c、對完成后的系統(tǒng)進行了獨立評價 d、積極參與了系統(tǒng)的設(shè)計和完成 最佳答案是:d25. Linux/Unix關(guān)鍵的日志文件設(shè)置的權(quán)限應(yīng)該為： a、-rw-r-r- b、-rw- c、-rw-rw-rw- d、-r- 最佳答案

16、是:d26. 關(guān)于Kerberos認(rèn)證協(xié)議，以下說法錯誤的是： a、只要用戶拿到了認(rèn)證服務(wù)器（AS）發(fā)送的票據(jù)許可票據(jù)（TGT）并且該TGT沒有過期，就可以使用該TGT通過票據(jù)授權(quán)服務(wù)器（TGS）完成到任一個服務(wù)器的認(rèn)證而不必重新輸入密碼 b、認(rèn)證服務(wù)器(AS)和票據(jù)授權(quán)服務(wù)器(TGS)是集中式管理，容易形成瓶頸，系統(tǒng)的性能和安全也嚴(yán)重依賴于AS和TGS的性能和安全 c、該協(xié)議通過用戶獲得票據(jù)許可票據(jù)、用戶獲得服務(wù)許可票據(jù)、用戶獲得服務(wù)三個階段，僅支持服務(wù)器對用戶的單向認(rèn)證 d、該協(xié)議是一種基于對稱密碼算法的網(wǎng)絡(luò)認(rèn)證協(xié)議，隨用戶數(shù)量增加，密鑰管理較復(fù)雜 最佳答案是:c27. 以下關(guān)于安全套接層

17、協(xié)議（Secure Sockets Layer,SSL）說法錯誤的是： a、SSL協(xié)議位于TCP/IP協(xié)議層和應(yīng)用協(xié)議之間 b、SSL協(xié)議廣泛應(yīng)用于web瀏覽器與服務(wù)器之間的身份認(rèn)證和加密數(shù)據(jù)傳輸 c、SSL是一種可靠的端到端的安全服務(wù)協(xié)議 d、SSL是設(shè)計用來保護操作系統(tǒng)的 最佳答案是:d28. 以下哪個選項不是防火墻技術(shù)？ a、IP地址欺騙防護 b、NAT c、訪問控制 d、SQL注入攻擊防護 最佳答案是:d29. 某移動智能終端支持通過指紋識別解鎖系統(tǒng)的功能，與傳統(tǒng)的基于口令的鑒別技術(shù)相比，關(guān)于此種鑒別技術(shù)說法不正確的是： a、所選擇的特征（指紋）便于收集、測量和比較 b、每個人所擁有的

18、指紋都是獨一無二的 c、指紋信息是每個人獨有的，指紋識別系統(tǒng)不存在安全威脅問題 d、此類系統(tǒng)一般由用戶指紋信息采集和指紋信息識別兩部分組成 最佳答案是:c30. 消息在發(fā)送前，用發(fā)送者的私鑰加密消息內(nèi)容和它的哈希（hash,或譯作：雜選、摘要）值，能夠保證： a、消息的真實性和完整性 b、消息的真實性和保密性 c、消息的完整性和保密性 d、保密性和防抵賴性 最佳答案是:a31. 為增強Web應(yīng)用程序的安全性，某軟件開發(fā)經(jīng)理決定加強Web軟件安全開發(fā)培訓(xùn)，下面哪項內(nèi)容要在他的考慮范圍內(nèi)? a、關(guān)于網(wǎng)站身份簽別技術(shù)方面安全知識的培訓(xùn) b、針對OpenSSL心臟出血漏洞方面安全知識的培訓(xùn) c、針對S

19、QL注入漏洞的安全編程培訓(xùn) d、關(guān)于ARM系統(tǒng)漏洞挖掘方面安全知識的培訓(xùn) 最佳答案是:c32. 下面哪項屬于軟件開發(fā)安全方面的問題? a、軟件部署時所需選用服務(wù)性能不高，導(dǎo)致軟件執(zhí)行效率低 b、應(yīng)用軟件來考慮多線程技術(shù)，在對用戶服務(wù)時按序排隊提供服務(wù) c、應(yīng)用軟件存在sol注入漏洞，若被黑客利用能竊取數(shù)據(jù)庫所用數(shù)據(jù) d、軟件受許可證（license）限制，不能在多臺電腦上安裝 最佳答案是:c33. 某網(wǎng)站在設(shè)計時經(jīng)過了威脅建模和攻擊面分析，在開發(fā)時要求程序員編寫安全的代碼，但是在部署時由于管理員將備份存放在WED目錄下導(dǎo)致了攻擊者可直接下載備份，為了發(fā)現(xiàn)系統(tǒng)中是否存在其他類擬問題，以下哪種測試

20、方式是最佳的測試方法? a、模糊測試 b、源代碼測試 c、滲透測試 d、軟件功能測試 最佳答案是:c34. 微軟提出了STRIDE模型，其中R是Repudiation(抵賴)的縮寫，關(guān)于此項錯誤的是: a、某用戶在登錄系統(tǒng)并下載數(shù)據(jù)后，卻聲稱“我沒有下載過數(shù)據(jù)軟件R威脅 b、某用戶在網(wǎng)絡(luò)通信中傳輸完數(shù)據(jù)后，卻聲稱“這些數(shù)據(jù)不是我傳輸?shù)摹蓖{也屬于R威脅。 c、對于R威脅，可以選擇使用如強認(rèn)證、數(shù)字簽名、安全審計等技術(shù) d、對于R威脅，可以選擇使用如隱私保護、過濾、流量控制等技術(shù) 最佳答案是:d35. 關(guān)于源代碼審核，描述正確的是（ ） a、源代碼審核過程遵循信息安全保障技術(shù)框架模型，在執(zhí)行時應(yīng)

21、一步一步嚴(yán)格執(zhí)行 b、源代碼審核有利于發(fā)現(xiàn)軟件編碼中存在的安全問題，相關(guān)的審核工具既有商業(yè)開源工具 c、源代碼審核如果想要有效率高，則主要要依賴人工審核而不是工具審核，因為人工智能的，需要人的腦袋來判斷 d、源代碼審核能起到很好的安全保證作用，如果執(zhí)行了源代碼審核，則不需要安全測試 最佳答案是:b36. 金女士經(jīng)常通過計算機網(wǎng)絡(luò)購物，從安全角度看，下面哪項是不好的操作習(xí)慣（ ）？ a、使用專用上網(wǎng)購物用計算機，安裝好軟件后不要對該計算機上的系統(tǒng)軟件.應(yīng)用軟件進行升級 b、為計算機安裝具有良好聲譽的安全防范軟件，包括病毒查殺.安安全檢查和安全加固方面的軟件 c、在IE的配置中，設(shè)置只能下載和安裝

22、經(jīng)過簽名的.安全的ActiveX控件 d、在使用網(wǎng)絡(luò)瀏覽器時，設(shè)置不在計算機中保留網(wǎng)絡(luò)歷史記錄和表單數(shù)據(jù) 最佳答案是:a37. 由于頻繁出現(xiàn)軟件運行時被黑客遠程攻擊獲取數(shù)據(jù)的現(xiàn)象，某軟件公司準(zhǔn)備加強軟件安全開發(fā)管理，在下面做法中，對于解決問題沒有直接幫助的是（ ） a、要求所有的開發(fā)人員參加軟件安全開發(fā)知識培訓(xùn) b、要求增加軟件源代碼審核環(huán)節(jié)，加強對軟件代碼的安全性審查 c、要求統(tǒng)一采用Windows8系統(tǒng)進行開發(fā)，不能采用之前的Windows版本 d、要求邀請專業(yè)隊伍進行第三方安全性測試，盡量從多角度發(fā)現(xiàn)軟件安全問題 最佳答案是:c38. 微軟SDL將軟件開發(fā)生命周期制分為七個階段，并列出了

23、十七項重要的安全活動。其中“棄用不安全的函數(shù)”屬于（ ）的安全活動 a、要求（Rapuiroments）階段 b、設(shè)計（Design）階段 c、實施（Implenpentation）階段 d、驗證（Verifcation）階段 最佳答案是:c39. 某公司開發(fā)了一個游戲網(wǎng)站，但是由于網(wǎng)站軟件存在漏洞，在網(wǎng)絡(luò)中傳輸大數(shù)據(jù)包時總是會丟失一些數(shù)據(jù)，如一次性傳輸大于2000個字節(jié)數(shù)據(jù)時，總是會有3到5個字節(jié)不能傳送到對方，關(guān)于此案例，可以推斷的是（ ） a、該網(wǎng)站軟件存在保密性方面安全問題 b、該網(wǎng)站軟件存在完整性方面安全問題 c、該網(wǎng)站軟件存在可用性方面安全問題 d、該網(wǎng)站軟件存在不可否認(rèn)性方面安全

24、問題 最佳答案是:b40. 在提高阿帕奇系統(tǒng)(Apache HTTP Server)系統(tǒng)安全性時，下面哪項措施不屬于安全配置內(nèi)容( )? a、不在Windows下安裝Apache，只在Linux和Unix下安裝 b、安裝Apache時，只安裝需要的組件模塊 c、不使用操作系統(tǒng)管理員用戶身份運行Apache，而是采用權(quán)限受限的專用用戶賬號來運行 d、積極了解Apache的安全通告，并及時下載和更新 最佳答案是:a41. 為了保障系統(tǒng)安全，某單位需要對其跨地區(qū)大型網(wǎng)絡(luò)實時應(yīng)用系統(tǒng)進行滲透測試，以下關(guān)于滲透測試過程的說法不正確的是 a、由于在實際滲透測試過程中存在不可預(yù)知的風(fēng)險，所以測試前要提醒用戶

25、進行系統(tǒng)和數(shù)據(jù)備份，以便出現(xiàn)問題時可以及時恢復(fù)系統(tǒng)和數(shù)據(jù) b、滲透測試從“逆向”的角度出發(fā)，測試軟件系統(tǒng)的安全性，其價值在于可以測試軟件在實際系統(tǒng)中運行時的安全狀況 c、滲透測試應(yīng)當(dāng)經(jīng)過方案制定.信息收集.漏洞利用.完成滲透測試報告等步驟 d、為了深入發(fā)掘該系統(tǒng)存在的安全威脅，應(yīng)該在系統(tǒng)正常業(yè)務(wù)運行高峰期進行滲透測試 最佳答案是:d42. 能涵蓋損失的最好的保險單類型是： a、基本保險單 b、擴展保險單 c、特殊的涵蓋所有風(fēng)險的保險單 d、與風(fēng)險類型相稱的保險 最佳答案是:d43. 下面哪一種關(guān)于安全的說法是不對的？ a、加密技術(shù)的安全性不應(yīng)大于使用該技術(shù)的人的安全性 b、任何電子郵件程序的安

26、全性不應(yīng)大于實施加密的計算機的安全性 c、加密算法的安全性與密鑰的安全性一致 d、每個電子郵件消息的安全性是通過用標(biāo)準(zhǔn)的非隨機的密鑰加密來實現(xiàn) 最佳答案是:d44. 微軟提出了STRIDE模型，其中R是Repudiation(抵賴)的縮寫，關(guān)于此項安全要求，下面描述錯誤的是（）？ a、某用戶在登錄系統(tǒng)并下載數(shù)據(jù)后，卻聲稱“我沒有下載過數(shù)據(jù)”軟件系統(tǒng)中的這種威脅就屬于R威脅 b、解決R威脅，可以選擇使用抗抵賴性服務(wù)技術(shù)來解決，如強認(rèn)證、數(shù)字簽名、安全審計等技術(shù)措施 c、R威脅是STRIDE六種威脅中第三嚴(yán)重的威脅，比D威脅和E威脅的嚴(yán)重程度更高 d、解決R威脅，也應(yīng)按照確定建模對象、識別威脅、評

27、估威脅以及消減威脅等四個步驟來進行 最佳答案是:c45. 某網(wǎng)站為了更好向用戶提供服務(wù)，在新版本設(shè)計時提供了用戶快捷登錄功能，用戶如果使用上次的IP地址進行訪問，就可以無需驗證直接登錄，該功能推出后，導(dǎo)致大量用戶賬號被盜用，關(guān)于以上問題的說法正確的是: a、網(wǎng)站問題是由于開發(fā)人員不熟悉安全編碼，編寫了不安全的代碼，導(dǎo)致攻擊面增大，產(chǎn)生此安全問題 b、網(wǎng)站問題是由于用戶缺乏安全意識導(dǎo)致，使用了不安全的功能，導(dǎo)致網(wǎng)站攻擊面增大，產(chǎn)生此問題 c、網(wǎng)站問題是由于使用便利性提高，帶來網(wǎng)站用戶數(shù)增加，導(dǎo)致網(wǎng)站攻擊面增大，產(chǎn)生此安全問題 d、網(wǎng)站問題是設(shè)計人員不了解安全設(shè)計關(guān)鍵要素，設(shè)計了不安全的功能，導(dǎo)致

28、網(wǎng)站攻擊面增大，產(chǎn)生此問題 最佳答案是:d46. 某linux系統(tǒng)由于root口令過于簡單，被攻擊者猜解后獲得了root口令，發(fā)現(xiàn)被攻擊后，管理員更改了root口令，并請安全專家對系統(tǒng)進行檢測，在系統(tǒng)中發(fā)現(xiàn)有一個文件的權(quán)限如下-r-s-x-x 1 test tdst 10704 apr 15 2002/home/test/sh請問以下描述哪個是正確的： a、該文件是一個正常文件，test用戶使用的shell,test不能讀該文件，只能執(zhí)行 b、該文件是一個正常文件，是test用戶使用的shell,但test用戶無權(quán)執(zhí)行該文件 c、該文件是一個后門程序，該文件被執(zhí)行時，運行身份是root,tes

29、t用戶間接獲得了root權(quán)限 d、該文件是一個后門程序，由于所有者是test，因此運行這個文件時文件執(zhí)行權(quán)限為test 最佳答案是:c47. windows文件系統(tǒng)權(quán)限管理作用訪問控制列表（Access Control List.ACL）機制，以下哪個說法是錯誤的： a、安裝Windows 系統(tǒng)時要確保文件格式使用的是NTFS ,因為Windows 的ACL機制需要 NTFS 文件格式的支持 b、由于windows 操作系統(tǒng)自身有大量的文件和目錄，因此很難對每個文件和目錄設(shè)置嚴(yán)格的訪問權(quán)限 ，為了作用上的便利，Windows 上的ACL存在默認(rèn)設(shè)置安全性不高的問題 c、windows 的ACL

30、機制中，文件和文件夾的權(quán)限是與主體進行關(guān)聯(lián)的，即文件夾和文件的訪問權(quán)限信息是寫在用戶數(shù)據(jù)庫中 d、由于ACL 具有很好的靈活性，在實際使用中可以為每一個文件設(shè)定獨立的用戶的權(quán)限 最佳答案是:c48. S公司在全國有20個分支機構(gòu)，總部有10臺服務(wù)器.200個用戶終端，每個分支機構(gòu)都有一臺服務(wù)器.100個左右用戶終端，通過專網(wǎng)進行互聯(lián)互通。公司招標(biāo)的網(wǎng)絡(luò)設(shè)計方案中，四家集成商給出了各自的IP地址規(guī)劃和分配的方法，作為評標(biāo)專家，請給S公司選出設(shè)計最合理的一個： a、總部使用服務(wù)器.用戶終端統(tǒng)一作用10.0.1.X.各分支機構(gòu)服務(wù)器和用戶終端使用192.168.2.X192.168.20.X b、總

31、部使用服務(wù)器使用11.用戶終端使用2212，分支機構(gòu)IP地址隨意確定即可 c、總部服務(wù)器使用10.0.1.X. 用戶終端根據(jù)部門劃分使用10.0.2.X.每個分支機構(gòu)分配兩個A類地址段，一個用做服務(wù)器地址段.另外一個做用戶終端地址段 d、因為通過互聯(lián)網(wǎng)連接，訪問的是互聯(lián)網(wǎng)地址，內(nèi)部地址經(jīng)NAT映射，因此IP地址無需特別規(guī)劃，各機構(gòu)自行決定即可 最佳答案是:c49. 某單位發(fā)生的管理員小張在繁忙的工作中接到了一個電話，來電者：小張嗎？我是科技處李強，我的郵箱密碼忘記了，現(xiàn)在打不開郵件，我著急收個郵件，麻煩你先幫我把密碼改成123，我收完郵件自己修改掉密碼。熱心的小

32、張很快的滿足了來電考的要求。后來，李強發(fā)現(xiàn)郵箱系統(tǒng)登錄異常。請問以下說法哪個是正確的？ a、小張服務(wù)態(tài)度不好，如果把李強的郵件收下來親自交給李強就不會發(fā)生這個問題 b、事件屬于服務(wù)器故障，是偶然事件，應(yīng)向單位領(lǐng)導(dǎo)申請購買新的服務(wù)器。 c、單位缺乏良好的密碼修改操作流程或者小張沒有按操作流程工作 d、事件屬于郵件系統(tǒng)故障，是偶然事件，應(yīng)向單位領(lǐng)導(dǎo)申請升級郵件服務(wù)軟件 最佳答案是:c50. 在對某面向互聯(lián)網(wǎng)提供服務(wù)的某應(yīng)用服務(wù)器的安全檢測中發(fā)現(xiàn)，服務(wù)器上開放了以下幾個應(yīng)用，除了一個應(yīng)用外其他應(yīng)用都存在明文傳輸信息的安全問題，作為一名檢測人員，你需要告訴用戶對應(yīng)用進行安全整改以外解決明文傳輸數(shù)據(jù)的問

33、題，以下哪個應(yīng)用已經(jīng)解決了明文傳輸數(shù)據(jù)問題： a、SSH b、HTTP c、FTP d、SMTP 最佳答案是:a51. 部署互聯(lián)網(wǎng)協(xié)議安全虛擬專用網(wǎng)（Internet Protocol Security Virtual Private Network, IPsec VPN)時,以下說法正確的是： a、配置MD5安全算法可以提供可靠地數(shù)據(jù)加密 b、配置AES算法可以提供可靠的數(shù)據(jù)完整性驗證 c、部署Ipsec VPN 網(wǎng)絡(luò)時，需要考慮 IP地址的規(guī)劃，盡量在分支節(jié)點使用可以聚合的IP地址段，來減少IPsec安全關(guān)聯(lián)（Security Authentication，SA)資源的消耗 d、報文驗證頭

34、協(xié)議（Authentication Header，AH)可以提供數(shù)據(jù)機密性 最佳答案是:c52. 以下屬于哪一種認(rèn)證實現(xiàn)方式：用戶登錄時，認(rèn)證服務(wù)器（Authentication Server， AS)產(chǎn)生一個隨機數(shù)發(fā)送給用戶，用戶用某種單向算法將自己的口令.種子秘鑰和隨機數(shù)混合計算后作為一次性口令，并發(fā)送給AS,AS用同樣的防腐計算后，驗證比較兩個口令即可驗證用戶身份。 a、口令序列 b、時間同步 c、挑戰(zhàn)/應(yīng)答 d、靜態(tài)口令 最佳答案是:c53. 關(guān)于秘鑰管理，下列說法錯誤的是： a、科克霍夫原則指出算法的安全性不應(yīng)基于算法的保密，而應(yīng)基于秘鑰的安全性 b、 保密通信過程中，通信方使用之前

35、用過的會話秘鑰建立會話，不影響通信安全 c、秘鑰管理需要考慮秘鑰產(chǎn)生.存儲.備份.分配.更新.撤銷等生命周期過程的每一個環(huán)節(jié) d、在網(wǎng)絡(luò)通信中。通信雙方可利用Diffie-He11man協(xié)議協(xié)商出會話密鑰 最佳答案是:b54. 下面哪一種安全技術(shù)是鑒別用戶身份的最好的方法？ a、智能卡 b、生物測量技術(shù) c、挑戰(zhàn)-響應(yīng)令牌 d、用戶身份識別碼和口令 最佳答案是:b55. 近年來利用DNS劫持攻擊大型網(wǎng)站惡性攻擊事件時有發(fā)生，防范這種攻擊比較有效的方法是? a、加強網(wǎng)站源代碼的安全性 b、對網(wǎng)絡(luò)客戶端進行安全評估 c、協(xié)調(diào)運營商對域名解析服務(wù)器進行加固 d、在網(wǎng)站的網(wǎng)絡(luò)出口部署應(yīng)用級防火墻 最佳

36、答案是:c56. 以下關(guān)于UDP協(xié)議的說法，哪個是錯誤的? a、UDP具有簡單高效的特點，常被攻擊者用來實施流量型拒絕服務(wù)攻擊 b、UDP協(xié)議包頭中包含了源端口號和目的端口號，因此UDP可通過端口號將數(shù)據(jù)包送達正確的程序 c、相比TCP協(xié)議，UDP協(xié)議的系統(tǒng)開銷更小，因此常用來傳送如視頻這一類高流量需求的應(yīng)用數(shù)據(jù) d、UDP協(xié)議不僅具有流量控制，超時重發(fā)等機制，還能提供加密等服務(wù)，因此常用來傳輸如視頻會話這類需要隱私保護的數(shù)據(jù) 最佳答案是:d57. 傳輸控制協(xié)議(TCP)是傳輸層協(xié)議，以下關(guān)于TCP協(xié)議的說法，哪個是正確的? a、相比傳輸層的另外一個協(xié)議UDP，TCP既提供傳輸可靠性，還同時具

37、有更高的效率，因此具有廣泛的用途 b、TCP協(xié)議包頭中包含了源IP地址和目的IP地址，因此TCP協(xié)議負(fù)責(zé)將數(shù)據(jù)傳送到正確的主機 c、TCP協(xié)議具有流量控制.數(shù)據(jù)校驗.超時重發(fā).接收確認(rèn)等機制，因此TCP協(xié)議能完全替代IP協(xié)議 d、TCP協(xié)議雖然高可靠，但是相比UDP協(xié)議機制過于復(fù)雜，傳輸效率要比UDP低 最佳答案是:d58. 安全專家在對某網(wǎng)站進行安全部署時，調(diào)整了Apache的運行權(quán)限，從root權(quán)限降低為nobody用戶，以下操作的主要目的是： a、為了提高Apache軟件運行效率 b、為了提高Apache軟件的可靠性 c、為了避免攻擊者通過Apache獲得root權(quán)限 d、為了減少Apa

38、che上存在的漏洞 最佳答案是:c59. 對惡意代碼的預(yù)防，需要采取增強安全防范策略與意識等措施，關(guān)于以下預(yù)防措施或意識，說法錯誤的是： a、在使用來自外部的移動介質(zhì)前，需要進行安全掃描 b、限制用戶對管理員權(quán)限的使用 c、開放所有端口和服務(wù)，充分使用系統(tǒng)資源 d、不要從不可信來源下載或執(zhí)行應(yīng)用程序 最佳答案是:c60. 應(yīng)用軟件的數(shù)據(jù)存儲在數(shù)據(jù)庫中，為了保證數(shù)據(jù)安全，應(yīng)設(shè)置良好的數(shù)據(jù)庫防護策略，以下不屬于數(shù)據(jù)庫防護策略的是? a、安裝最新的數(shù)據(jù)庫軟件安全補丁 b、對存儲的敏感數(shù)據(jù)進行安全加密 c、不使用管理員權(quán)限直接連接數(shù)據(jù)庫系統(tǒng) d、定期對數(shù)據(jù)庫服務(wù)器進行重啟以確保數(shù)據(jù)庫運行良好 最佳答案

39、是:d61. 以下關(guān)于可信計算說法錯誤的是： a、可信的主要目的是要建立起主動防御的信息安全保障體系 b、可信計算機安全評價標(biāo)準(zhǔn)(TCSEC)中第一次提出了可信計算機和可信計算機的概念 c、可信的整體框架包含終端可信.終端應(yīng)用可信.操作系統(tǒng)可信.網(wǎng)絡(luò)互聯(lián)可信.互聯(lián)網(wǎng)交易等應(yīng)用系統(tǒng)可信 d、可信計算平臺出現(xiàn)后會取代傳統(tǒng)的安全防護體系和方法 最佳答案是:d62. 以下哪個選項不是防火墻提供的安全功能? a、IP地址欺騙防護 b、NAT c、訪問控制 d、SQL注入攻擊防護 最佳答案是:d63. 針對軟件的拒絕服務(wù)攻擊是通過消耗系統(tǒng)資源使軟件無法響應(yīng)正常請求的一種攻擊方式，在軟件開發(fā)時分析拒絕服務(wù)攻

40、擊的威脅，以下哪個不是需要考慮的攻擊方式： a、攻擊者利用軟件存在邏輯錯誤，通過發(fā)送某種類型數(shù)據(jù)導(dǎo)致運算進入死循環(huán)，CPU資源占用始終100 b、攻擊者利用軟件腳本使用多重嵌套查詢，在數(shù)據(jù)量大時會導(dǎo)致查詢效率低，通過發(fā)送大量的查詢導(dǎo)致數(shù)據(jù)庫響應(yīng)緩慢 c、攻擊者利用軟件不自動釋放連接的問題，通過發(fā)送大量連接消耗軟件并發(fā)連接數(shù)，導(dǎo)致并發(fā)連接數(shù)耗盡而無法訪問 d、攻擊者買通了IDC人員，將某軟件運行服務(wù)器的網(wǎng)線拔掉導(dǎo)致無法訪問 最佳答案是:d64. 某電子商務(wù)網(wǎng)站最近發(fā)生了一起安全事件，出現(xiàn)了一個價值1000元的商品用1元被買走的情況，經(jīng)分析是由于設(shè)計時出于性能考慮，在瀏覽時使用Http協(xié)議，攻擊者

41、通過偽造數(shù)據(jù)包使得向購物車添加商品的價格被修改利用此漏洞，攻擊者將價值1000元的商品以1元添加到購物車中，而付款時又沒有驗證的環(huán)節(jié)，導(dǎo)致以上問題，對于網(wǎng)站的這個問題原因分析及解決措施。最正確的說法應(yīng)該是_? a、該問題的產(chǎn)生是由于使用了不安全的協(xié)議導(dǎo)致的，為了避免再發(fā)生類似的闖題，應(yīng)對全網(wǎng)站進行安全改造，所有的訪問都強制要求使用https b、該問題的產(chǎn)生是由于網(wǎng)站開發(fā)前沒有進行如威脅建模等相關(guān)工作或工作不到位，沒有找到該威脅并采取相應(yīng)的消減措施 c、該問題的產(chǎn)生是由于編碼缺陷，通過對網(wǎng)站進行修改，在進行訂單付款時進行商品價格驗證就可以解決 d、該問題的產(chǎn)生不是網(wǎng)站的問題，應(yīng)報警要求尋求警察

42、介入，嚴(yán)懲攻擊者即可 最佳答案是:b65. 以下關(guān)于直接附加存儲(Direct Attached Storage，DAS)說法錯誤的是： a、DAS能夠在服務(wù)器物理位置比較分散的情況下實現(xiàn)大容量存儲，是一種常用的數(shù)據(jù)存儲方法 b、DAS實現(xiàn)了操作系統(tǒng)與數(shù)據(jù)的分離，存取性能較高并且實施簡單 c、DAS的缺點在于對服務(wù)器依賴性強，當(dāng)服務(wù)器發(fā)生故障時，連接在服務(wù)器上的存儲設(shè)備中的數(shù)據(jù)不能被存取 d、較網(wǎng)絡(luò)附加存儲(Network Attached Storage，NAS)，DAS節(jié)省硬盤空間，數(shù)據(jù)非常集中，便于對數(shù)據(jù)進行管理和備份 最佳答案是:d66. 數(shù)據(jù)庫的安全很復(fù)雜，往往需要考慮多種安全策略，

43、才可以更好地保護數(shù)據(jù)庫的安全，以下關(guān)于數(shù)據(jù)庫常用的安全策略理解不正確的是： a、最小特權(quán)原則，是讓用戶可以合法的存取或修改數(shù)據(jù)庫的前提下，分配最小的特權(quán)，使得這些信息恰好能夠完成用戶的工作 b、最大共享策略，在保證數(shù)據(jù)庫的完整性.保密性和可用性的前提下，最大程度地共享數(shù)據(jù)庫中的信息 c、粒度最小策略，將數(shù)據(jù)庫中的數(shù)據(jù)項進行劃分，粒度越小，安全級別越高，在實際中需要選擇最小粒度 d、按內(nèi)容存取控制策略，不同權(quán)限的用戶訪問數(shù)據(jù)庫的不同部分 最佳答案是:b67. 2005年4月1日正式施行的電子簽名法，被稱為“中國首部真正意義上的信息化法律”，自此電子簽名與傳統(tǒng)手寫簽名和蓋章具有同等的法律效力。以下

44、關(guān)于電子簽名說法錯誤的是： a、電子簽名是指數(shù)據(jù)電文中以電子形式所含.所附用于識別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù) b、電子簽名適用于民事活動中的合同或者其他文件.單證等文書 c、電子簽名需要第三方認(rèn)證的，由依法設(shè)立的電子認(rèn)證服務(wù)提供者提供認(rèn)證服務(wù) d、電子簽名制作數(shù)據(jù)用于電子簽名時，屬于電子簽名人和電子認(rèn)證服務(wù)提供者共有 最佳答案是:d68. 在軟件保障成熟度模型(Software Assurance Maturity Mode，SAMM)中，規(guī)定了軟件開發(fā)過程中的核心業(yè)務(wù)功能，下列哪個選項不屬于核心業(yè)務(wù)功能： a、治理，主要是管理軟件開發(fā)的過程和活動 b、構(gòu)造，主要是在開發(fā)項目中確

45、定目標(biāo)并開發(fā)軟件的過程與活動 c、驗證，主要是測試和驗證軟件的過程與活動 d、購置，主要是購買第三方商業(yè)軟件或者采用開源組件的相關(guān)管理過程與活動 最佳答案是:d69. 關(guān)于軟件安全開發(fā)生命周期(SDL)，下面說法錯誤的是： a、在軟件開發(fā)的各個周期都要考慮安全因素 b、軟件安全開發(fā)生命周期要綜合采用技術(shù).管理和工程等手段 c、測試階段是發(fā)現(xiàn)并改正軟件安全漏洞的最佳環(huán)節(jié)，過早或過晚檢測修改漏洞都將增大軟件開發(fā)成本 d、在設(shè)計階段就盡可能發(fā)現(xiàn)并改正安全隱患，將極大減少整個軟件開發(fā)成本 最佳答案是:c70. 數(shù)據(jù)在進行傳輸前，需要由協(xié)議棧自上而下對數(shù)據(jù)進行封裝，TCPIP協(xié)議中，數(shù)據(jù)封裝的順序是：

46、a、傳輸層、網(wǎng)絡(luò)接口層、互聯(lián)網(wǎng)絡(luò)層 b、傳輸層、互聯(lián)網(wǎng)絡(luò)層、網(wǎng)絡(luò)接口層 c、互聯(lián)網(wǎng)絡(luò)層、傳輸層、網(wǎng)絡(luò)接口層 d、互聯(lián)網(wǎng)絡(luò)層、網(wǎng)絡(luò)接口層、傳輸層 最佳答案是:b71. 賬號鎖定策略中對超過一定次數(shù)的錯誤登錄賬號進行鎖定是為了對抗以下哪種攻擊? a、分布式拒絕服務(wù)攻擊(DDoS) b、病毒傳染 c、口令暴力破解 d、緩沖區(qū)溢出攻擊 最佳答案是:c72. 某公司系統(tǒng)管理員最近正在部署一臺Web服務(wù)器，使用的操作系統(tǒng)是Windows，在進行日志安全管理設(shè)置時，系統(tǒng)管理員擬定四條日志安全策略給領(lǐng)導(dǎo)進行參考，其中能有效應(yīng)對攻擊者獲得系統(tǒng)權(quán)限后對日志進行修改的策略是： a、在網(wǎng)絡(luò)中單獨部署syslog服務(wù)器

47、，將Web服務(wù)器的日志自動發(fā)送并存儲到該syslog日志服務(wù)器中 b、嚴(yán)格設(shè)置Web日志權(quán)限，只有系統(tǒng)權(quán)限才能進行讀和寫等操作 c、對日志屬性進行調(diào)整，加大日志文件大小，延長日志覆蓋時間，設(shè)置記錄更多信息等 d、使用獨立的分區(qū)用于存儲日志，并且保留足夠大的日志空間 最佳答案是:a73. 相比文件配置表(FAT)文件系統(tǒng)，以下哪個不是新技術(shù)文件系統(tǒng)(NTFS)所具有的優(yōu)勢? a、NTFS使用事務(wù)日志自動記錄所有文件夾和文件更新，當(dāng)出現(xiàn)系統(tǒng)損壞和電源故障等闖題而引起操作失敗后，系統(tǒng)能利用日志文件重做或恢復(fù)未成功的操作 b、NTFS的分區(qū)上，可以為每個文件或文件夾設(shè)置單獨的許可權(quán)限 c、對于大磁盤，

48、NTFS文件系統(tǒng)比FAT有更高的磁盤利用率 d、相比FAT文件系統(tǒng)，NTFS文件系統(tǒng)能有效的兼容Linux下EXT2文件格式 最佳答案是:d74. 以下關(guān)于PGP(Pretty Good Privacy)軟件敘述錯誤的是： a、PGP可以實現(xiàn)對郵件的加密.簽名和認(rèn)證 b、PGP可以實現(xiàn)數(shù)據(jù)壓縮 c、PGP可以對郵件進行分段和重組 d、PGP采用SHA算法加密郵件 最佳答案是:d75. 某電子商務(wù)網(wǎng)站在開發(fā)設(shè)計時，使用了威脅建模方法來分折電子商務(wù)網(wǎng)站所面臨的威脅，STRIDE是微軟SDL中提出的威脅建模方法，將威脅分為六類，為每一類威脅提供了標(biāo)準(zhǔn)的消減措施，Spoofing是STRIDE中欺騙類

49、的威脅，以下威脅中哪個可以歸入此類威脅? a、網(wǎng)站競爭對手可能雇傭攻擊者實施DDoS攻擊，降低網(wǎng)站訪問速度 b、網(wǎng)站使用http協(xié)議進行瀏覽等操作，未對數(shù)據(jù)進行加密，可能導(dǎo)致用戶傳輸信息泄露，例如購買的商品金額等 c、網(wǎng)站使用http協(xié)議進行瀏覽等操作，無法確認(rèn)數(shù)據(jù)與用戶發(fā)出的是否一致，可能數(shù)據(jù)被中途篡改 d、網(wǎng)站使用用戶名.密碼進行登錄驗證，攻擊者可能會利用弱口令或其他方式獲得用戶密碼，以該用戶身份登錄修改用戶訂單等信息 最佳答案是:d76. 以下關(guān)于互聯(lián)網(wǎng)協(xié)議安全(Internet Protocol Security，IPsec)協(xié)議說法錯誤的是： a、在傳送模式中，保護的是IP負(fù)載 b、

50、驗證頭協(xié)議(Authentication Head，AH)和IP封裝安全載荷協(xié)議(Encapsulating Security Payload，ESP)都能以傳輸模式和隧道模式工作 c、在隧道模式中，保護的是整個互聯(lián)網(wǎng)協(xié)議(Internet Protocol，IP)包，包括IP頭 d、IPsec僅能保證傳輸數(shù)據(jù)的可認(rèn)證性和保密性 最佳答案是:d77. 某單位人員管理系統(tǒng)在人員離職時進行賬號刪除，需要離職員工所在部門主管經(jīng)理和人事部門人員同時進行確認(rèn)才能在系統(tǒng)上執(zhí)行，該設(shè)計是遵循了軟件安全設(shè)計中的哪項原則? a、最小權(quán)限 b、權(quán)限分離 c、不信任 d、縱深防御 最佳答案是:b78. 某公司已有漏

51、洞掃描和入侵檢測系統(tǒng)(Intrusien Detection System，IDS)產(chǎn)品，需要購買防火墻，以下做法應(yīng)當(dāng)優(yōu)先考慮的是： a、選購當(dāng)前技術(shù)最先進的防火墻即可 b、選購任意一款品牌防火墻 c、任意選購一款價格合適的防火墻產(chǎn)品 d、選購一款同已有安全產(chǎn)品聯(lián)動的防火墻 最佳答案是:d79. IS審計師發(fā)現(xiàn)企業(yè)的業(yè)務(wù)連續(xù)性計劃中選定的備用處理設(shè)施的處理能力只能達到現(xiàn)有系統(tǒng)的一半。那么，他/她該怎么做？ a、無需做什么。因為只有處理能力低于正常的25%，才會嚴(yán)重影響企業(yè)的生存和備份能力 b、找出可以在備用設(shè)施使用的應(yīng)用，其它業(yè)務(wù)處理采用手工操作，制訂手工流程以備不測 c、找出所有主要的應(yīng)用，

52、確保備用設(shè)施可以運行這些應(yīng)用 d、建議相關(guān)部門增加備用設(shè)施投入，使其能夠處理75%的正常業(yè)務(wù) 最佳答案是:c80. 下面哪一項不是虛擬專用網(wǎng)絡(luò)(VPN)協(xié)議標(biāo)準(zhǔn)： a、第二層隧道協(xié)議(L2TP) b、Internet安全性(IPSEC) c、終端訪問控制器訪問控制系統(tǒng)(TACACS+) d、點對點隧道協(xié)議(PPTP) 最佳答案是:c81. 以下場景描述了基于角色的訪問控制模型(Role-based Access ControlRBAC)：根據(jù)組織的業(yè)務(wù)要求或管理要求，在業(yè)務(wù)系統(tǒng)中設(shè)置若干崗位.職位或分工，管理員負(fù)責(zé)將權(quán)限(不同類別和級別的)分別賦予承擔(dān)不同工作職責(zé)的用戶。關(guān)于RBAC模型，下列

53、說法錯誤的是： a、當(dāng)用戶請求訪問某資源時，如果其操作權(quán)限不在用戶當(dāng)前被激活角色的授權(quán)范圍內(nèi)，訪問請求將被拒絕 b、業(yè)務(wù)系統(tǒng)中的崗位.職位或者分工，可對應(yīng)RBAC模型中的角色 c、通過角色，可實現(xiàn)對信息資源訪問的控制 d、RBAC模型不能實現(xiàn)多級安全中的訪問控制 最佳答案是:d82. 在檢查廣域網(wǎng)（WAN）的使用情況時，發(fā)現(xiàn)連接主服務(wù)器和備用數(shù)據(jù)庫服務(wù)器之間線路通訊異常，流量峰值達到了這條線路容量的96%。IS審計師應(yīng)該決定后續(xù)的行動是： a、 實施分析，以確定該事件是否為暫時的服務(wù)實效所引起 b、 由于廣域網(wǎng)（WAN）的通訊流量尚未飽和，96%的流量還在正常范圍內(nèi)，不必理會 c、 這條線路應(yīng)

54、該立即更換以提升其通訊容量，使通訊峰值不超過總?cè)萘康?5% d、 通知相關(guān)員工降低其通訊流量，或把網(wǎng)絡(luò)流量大的任務(wù)安排到下班后或清晨執(zhí)行，使WAN的流量保持相對穩(wěn)定 最佳答案是:a83. 某單位開發(fā)了一個面向互聯(lián)網(wǎng)提供服務(wù)的應(yīng)用網(wǎng)站，該單位委托軟件測評機構(gòu)對軟件進行了源代碼分析.模糊測試等軟件安全性測試，在應(yīng)用上線前，項目經(jīng)理提出了還需要對應(yīng)用網(wǎng)站進行一次滲透性測試，作為安全主管，你需要提出滲透性測試相比源代碼測試.模糊測試的優(yōu)勢給領(lǐng)導(dǎo)做決策，以下哪條是滲透性測試的優(yōu)勢? a、滲透測試以攻擊者的思維模擬真實攻擊，能發(fā)現(xiàn)如配置錯誤等運行維護期產(chǎn)生的漏洞 b、滲透測試是用軟件代替人工的一種測試方法

55、，因此測試效率更高 c、滲透測試使用人工進行測試，不依賴軟件，因此測試更準(zhǔn)確 d、滲透測試中必須要查看軟件源代碼，因此測試中發(fā)現(xiàn)的漏洞更多 最佳答案是:a84. 為防范網(wǎng)絡(luò)欺詐確保交易安全，網(wǎng)銀系統(tǒng)首先要求用戶安全登錄，然后使用“智能卡+短信認(rèn)證”模式進行網(wǎng)上轉(zhuǎn)賬等交易，在此場景中用到下列哪些鑒別方法? a、實體“所知”以及實體“所有”的鑒別方法 b、實體“所有”以及實體“特征”的鑒別方法 c、實體“所知”以及實體“特征”的鑒別方法 d、實體“所有”以及實體“行為”的鑒別方法 最佳答案是:a85. 下列哪一種方法屬于基于實體“所有”鑒別方法： a、用戶通過自己設(shè)置的口令登錄系統(tǒng)，完成身份鑒別 b、用戶使用個人指紋，通過指紋識別系統(tǒng)的身份鑒別 c、用戶利用和系統(tǒng)協(xié)商的秘密函數(shù)，對系統(tǒng)發(fā)送的挑戰(zhàn)進行正確應(yīng)答，通過