注冊信息安全專業(yè)人員考試D卷中測試題

1、注冊信息安全專業(yè)人員考試D卷中復制1. 某單位系統(tǒng)管理員對組織內(nèi)核心資源的訪問制定訪問策略，針對每個用戶指明能夠訪問的資源，對于不在指定資源列表中的對象不允許訪問。該訪問控制策略屬于以下哪一種：（） 單選題 *A.強制訪問控制B.基于角色的訪問控制C.自主訪問控制(正確答案)D.基于任務的訪問控制2. 由于 Internet 的安全問題日益突出，基于 TCP/IP 協(xié)議，相關(guān)組織和專家在協(xié)議的不同層次設(shè)計了相應的安全通信協(xié)議，用來保障網(wǎng)絡(luò)各層次的安全。其中，屬于或依附于傳輸層的安全協(xié)議是（） 單選題 *A.PP2PB.L2TPC.SSL(正確答案)D.IPSec3. 根據(jù) Bell-LaPed

2、ula 模型安全策略，下圖(參見D試卷33題)中寫和讀操作正確的是（） 單選題 *A.可讀可寫B(tài).可讀不可寫(正確答案)C.可寫不可讀D.不可讀不可寫4. 防火墻是網(wǎng)絡(luò)信息系統(tǒng)建設(shè)中常采用的一類產(chǎn)品，它在內(nèi)外網(wǎng)隔離方面的作用是（） 單選題 *A.既能物理隔離，又能邏輯隔離B.能物理隔離，但不能邏輯隔離C.不能物理隔離，但是能邏輯隔離(正確答案)D.不能物理隔離，也不能邏輯隔離5. 張主任的計算機使用 Windows7 操作系統(tǒng)，他常登陸的用戶名為 zhang，張主任給他個人文件夾設(shè)置了權(quán)限為只有 zhang 這個用戶有權(quán)訪問這個目錄，管理員在某次維護中無意將 zhang 這個用戶刪除了，隨后又

3、重新建了一個用戶名為 zhang，張主任使用 zhang 這個用戶登錄系統(tǒng)后，發(fā)現(xiàn)無法訪問他原來的個人文件夾，原因是：（） 單選題 *A.任何一個新建用戶都需要經(jīng)過授權(quán)才能訪問系統(tǒng)中的文件(正確答案)B.Windows7 不認為新建立的用戶 zhang 與原來用戶 zhang 是同一個用戶，因此無權(quán)訪問C.用戶被刪除后，該用戶創(chuàng)建的文件夾也會自動刪除，新建用戶找不到原來用戶的文件夾，因此無法訪問D.新建的用戶 zhang 會繼承原來用戶的權(quán)限，之所以無權(quán)訪問是因為文件夾經(jīng)過了加密6. 以下關(guān)于 Windows 系統(tǒng)的賬號存儲管理機制(Security Accounts Manager)的說法哪

4、個是正確的：（） 單選題 *A.存儲在注冊表中的賬號數(shù)據(jù)是管理員組用戶都可以訪問，具有較高的安全性B.存儲在注冊表中的賬號數(shù)據(jù)只有 administrator 賬戶才有權(quán)訪問，具有較高的安全性C.存儲在注冊表中的賬號數(shù)據(jù)任何用戶都可以直接訪問，靈活方便D.存儲在注冊表中的賬號數(shù)據(jù)有只有 System 賬戶才能訪問，具有較高的安全性(正確答案)7. ISO9001-2000 標準在制定、實施質(zhì)量管理體系以及改進其有效性時采用過程方法，通過滿足顧客要求增進顧客滿意。下圖(參見D試卷37題)是關(guān)于過程方法的示意圖，圖中括號空白處應填寫（） 單選題 *A.策略B.管理者C.組織D.活動(正確答案)8.

5、 設(shè)計信息系統(tǒng)安全保障方案時，以下哪個做法是錯誤的：（） 單選題 *A.要充分切合信息安全需求并且實際可行B.要充分考慮成本效益，在滿足合規(guī)性要求和風險處置要求的前提下，盡量控制成本C.要充分采取新技術(shù)，在使用過程中不斷完善成熟，精益求精，實現(xiàn)技術(shù)投入保值要求(正確答案)D.要充分考慮用戶管理和文化的可接受性，減少系統(tǒng)方案實施障礙9. Windows 文件系統(tǒng)權(quán)限管理訪問控制列表(Access Control List，ACL)機制，以下哪個說法是錯誤的：（） 單選題 *A.安裝 Windows 系統(tǒng)時要確保文件格式使用的是 NTFS，因為 Windows 的 ACL 機制需要 NTFS 文件

6、格式的支持B.由于 Windows 操作系統(tǒng)自身有大量的文件和目錄，因此很難對每個文件和目錄設(shè)置嚴格的訪問權(quán)限，為了使用上的便利，Windows 上的 ACL 存在默認設(shè)置安全性不高的問題C.Windows 的 ACL 機制中，文件和文件夾的權(quán)限是與主體進行關(guān)聯(lián)的，即文件夾和文件的訪問權(quán)限信息是寫在用戶數(shù)據(jù)庫中(正確答案)D.由于 ACL 具有很好的靈活性，在實際使用中可以為每一個文件設(shè)定獨立用戶的權(quán)限10. ISO27002(Information technology-Security techniques0Codeofpratice for inforeation security ma

7、nagcacnt)是重要的信息安全管理標準之一，下圖(參見D試卷40題)是關(guān)于其演進變化示意圖，圖中括號空白處應填寫（） 單選題 *A.BS 7799.1.3B.ISO 17799(正確答案)C.AS/NZS 4630D.NIST SP 800-3711. 自主訪問控制模型（ACL）的訪問控制關(guān)系可以用訪問控制(ACL)來表示，該 ACL 利用在客體上附加一個主體明細表的方法來表示訪問控制矩陣，通常使用由客體指向的鏈表來存儲相關(guān)數(shù)據(jù)。下面選項中說法正確的是() 單選題 *A.ACL 是 Bell-LaPadula 模型的一種具體實現(xiàn)B.ACL 在刪除用戶時，去除該用戶所有的訪問權(quán)限比較方便C.

8、ACL 對于統(tǒng)計某個主體能訪問哪些客體比較方便D.ACL 在增加客體時，增加相關(guān)的訪問控制權(quán)限較為簡單(正確答案)12. 數(shù)據(jù)庫的安全很復雜，往往需要考慮多種安全策略，才可以更好地保護數(shù)據(jù)庫的安全。以下關(guān)于數(shù)據(jù)庫常用的安全策略理解不正確的是：（） 單選題 *A.最小特權(quán)原則，是讓用戶可以合法的存取或修改數(shù)據(jù)庫的前提下，分配最小的特權(quán)，使得這些信息恰好能夠完成用戶的工作B.最大共享策略，在保證數(shù)據(jù)庫的完整性、保密性和可用性的前提下，最大程度也共享數(shù)據(jù)庫中的信息(正確答案)C.粒度最小策略，將數(shù)據(jù)庫中的數(shù)據(jù)項進行劃分，粒度越小，安全級別越高，在實際中需要選擇最小粒度D.按內(nèi)容存取控制策略，不同權(quán)限

9、的用戶訪問數(shù)據(jù)庫的不同部分13. 我國標準信息安全風險管理指南(GB/Z24364)給出了信息安全風險管理的內(nèi)容和過程，可以用下圖(參見D試卷43題)來表示。圖中空白處應該填寫（） 單選題 *A.風險計算B.風險評價C.風險預測D.風險處理(正確答案)14. 以下哪一項不是信息系統(tǒng)集成項目的特點：（） 單選題 *A.信息系統(tǒng)集成項目要以滿足客戶和用戶的需求為根本出發(fā)點B.系統(tǒng)集成就是選擇最好的產(chǎn)品和技術(shù)，開發(fā)相應的軟件和硬件，將其集成到信息系統(tǒng)的過程(正確答案)C.信息系統(tǒng)集成項目的指導方法是“總體規(guī)劃、分步實施”D.信息系統(tǒng)集成包含技術(shù)，管理和商務等方面，是一項綜合性的系統(tǒng)工程15. 某單位

10、的信息安全主管部門在學習我國有關(guān)信息安全的政策和文件后，認識到信息安全風險評估分為自評估和檢查評估兩種形式。該部門將有關(guān)檢查評估的特點和要求整理成如下四條報告給單位領(lǐng)導，其中描述錯誤的是（） 單選題 *A.檢查評估可依據(jù)相關(guān)標準的要求，實施完整的風險評估過程；也可在自評估的基礎(chǔ)上，對關(guān)鍵環(huán)節(jié)或重點內(nèi)容實施抽樣評估B.檢查評估可以由上級管理部門組織，也可以由本級單位發(fā)起，其重點是針對存在的問題進行檢查和評測(正確答案)C.檢查評估可以由上級管理部門組織，并委托有資質(zhì)的第三方技術(shù)機構(gòu)實施D.檢查評估是通過行政手段加強信息安全管理的重要措施，具有強制性的特點16. 為了能夠合理、有序地處理安全事件，

11、應事件制定出事件應急響應方法和過程，有助于一個組織在事件發(fā)生時阻止混亂的發(fā)生或是在混亂狀態(tài)中迅速恢復控制，將損失和負面影響降至最低。PDCERF 方法論是一種防范使用的方法，其將應急響應分成六個階段，如下圖所示(參見D試卷46題)，請為圖中括號空白處選擇合適的內(nèi)容（） 單選題 *A.培訓階段B.文檔階段C.報告階段D.檢測階段(正確答案)17. 關(guān)于信息安全管理，下面理解片面的是（） 單選題 *A.信息安全管理是組織整體管理的重要、固有組成部分，它是組織實現(xiàn)其業(yè)務目標的重要保障B.信息安全管理是一個不斷演進、循環(huán)發(fā)展的動態(tài)過程，不是一成不變的C.在信息安全建設(shè)中，技術(shù)是基礎(chǔ)，管理是拔高，有效的

12、管理依賴于良好的技術(shù)基礎(chǔ)(正確答案)D.堅持管理與技術(shù)并重的原則，是我國加強信息安全保障工作的主要原則之一18. 關(guān)于風險要素識別階段工作內(nèi)容敘述錯誤的是：（） 單選題 *A.資產(chǎn)識別是指對需要保護的資產(chǎn)和系統(tǒng)等進行識別和分類B.威脅識別是指識別與每項資產(chǎn)相關(guān)的可能威脅和漏洞及其發(fā)生的可能性C.脆弱性識別以資產(chǎn)為核心，針對每一項需要保護的資產(chǎn)，識別可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估D.確認已有的安全措施僅屬于技術(shù)層面的工作，牽涉到具體方面包括：物理平臺、系統(tǒng)平臺、網(wǎng)絡(luò)平臺和應用平臺(正確答案)19. 某學員在學習國家標準信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型(GB/T

13、 20274.1-2006)后，繪制了一張簡化的信息系統(tǒng)安全保障模型圖，如下所示(參見D試卷49題)。請為圖中括號空白處選擇合適的選項（） 單選題 *A.安全保障(方針和組織)B.安全防護(技術(shù)和管理)C.深度防御(策略、防護、檢測、響應)D.保障要素(管理、工程、技術(shù)、人員)(正確答案)20. 為了進一步提供信息安全的保障能力和防護水平，保障和促進信息化建設(shè)的健康發(fā)展，公安部等四部門聯(lián)合發(fā)布關(guān)于信息安全等級保護工作的實施意見(公通字200466 號)，對等級保護工作的開展提供宏觀指導和約束，明確了等級保護工作喲的基本內(nèi)容、工作要求和實施計劃，以及各部門工作職責分工等。關(guān)于該文件，下面理解正確

14、的是（） 單選題 *A.該文件是一個由部委發(fā)布的政策性文件，不屬于法律文件(正確答案)B.該文件適用于 2004 年的等級保護工作，其內(nèi)容不能約束到 2005 年及之后的工作C.該文件是一個總體性指導文件，規(guī)定所有信息系統(tǒng)都要納入等級保護定級范圍D.該文件適用范圍為發(fā)文的這四個部門，不適用于其他部門和企業(yè)等單位21. 在某次信息安全應急響應過程中，小王正在實施如下措施：消除或阻斷攻擊源、找到并消除系統(tǒng)的脆弱性/漏洞、修改安全策略、加強防范措施、格式化被感染惡意程序的介質(zhì)等。請問，按照 PDCERF 應急響應方法，這些工作應處于以下哪個階段（） 單選題 *A.準備階段B.檢測階段C.遏制階段D.

15、根除階段(正確答案)22. Linux 系統(tǒng)的安全設(shè)置中，對文件的權(quán)限操作是一項關(guān)鍵操作。通過對文件權(quán)限的設(shè)置，能夠保障不同用戶的個人隱私和系統(tǒng)安全。文件 fib.c 的文件屬性信息如下圖(參見D試卷52題)所示，小張想要修改其文件權(quán)限，為文件主增加執(zhí)行權(quán)限，并刪除組外其他用戶的寫權(quán)限，那么以下操作中正確的是（） 單選題 *A.#chmod u+x, a-w fib.cB.#chmod ug+x, o-w fib.cC.#chmod 764 fib.c(正確答案)D.#chmod 467 fib.c23. 關(guān)于信息安全事件管理和應急響應，以下說法錯誤的是：（） 單選題 *A.應急響應是指組織為

16、了應對突發(fā)重大信息安全事件的所做的準備，以及在事件發(fā)生后所采取的措施B.應急響應方法，將應急響應管理過程分為遏制、根除、處置、恢復、報告和跟蹤 6 個階段(正確答案)C.對信息安全事件的分級主要參考信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響三方面因素D.根據(jù)信息安全事件的分級參考要素，可將信息安全事件劃分為 4 個級別：特別重大事件(I 級)、重大事件(II 級)、較大事件(III 級)和一般事件(IV 級)24. 恢復時間目標(RTO)和恢復點目標(RPO)是信息系統(tǒng)災難恢復中的重要概念，關(guān)于這兩個值能否為零，正確的選項是（） 單選題 *A.RTO 可以為 0，RPO 也可以為 0(正確答案)B

17、.RTO 可以為 0，RPO 不可以為 0C.RTO 不可以為 0，但 RPO 可以為 0D.RTO 不可以為 0，RPO 也不可以為 025. 下面有關(guān)軟件安全問題的描述中，哪項應是由于軟件設(shè)計缺陷引起的（） 單選題 *A.設(shè)計了三層 WEB 架構(gòu)，但是軟件存在 SQL 注入漏洞，導致被黑客攻擊后直接訪問數(shù)據(jù)庫B.使用 C 語言開發(fā)時，采用了一些存在安全問題的字符串處理函數(shù)，導致存在緩沖區(qū)溢出漏洞C.設(shè)計了緩存用戶隱私數(shù)據(jù)機制以加快系統(tǒng)處理性能，導致軟件在發(fā)布運行后，被黑客攻擊獲取到用戶隱私數(shù)據(jù)(正確答案)D.使用了符合要求的密碼算法，但在使用算法接口時，沒有按照要求生成密鑰，導致黑客攻擊后

18、能破解并得到明文數(shù)據(jù)26. 通過對稱密碼算法進行安全消息傳輸?shù)谋匾獥l件是：（） 單選題 *A.在安全的傳輸信道上進行通信B.通訊雙方通過某種方式，安全且秘密地共享密鑰(正確答案)C.通訊雙方使用不公開的加密算法D.通訊雙方將傳輸?shù)男畔A雜在無用信息中傳輸并提取27. 某銀行有 5 臺交換機連接了大量交易機構(gòu)的網(wǎng)路(參見D試卷57題)，在基于以太網(wǎng)的通信中，計算機 A 需要與計算機 B 通信，A 必須先廣播“ARP 請求信息”，獲取計算機 B 的物理地址。沒到月底時用戶發(fā)現(xiàn)該銀行網(wǎng)絡(luò)服務速度極其緩慢。銀行經(jīng)調(diào)查后發(fā)現(xiàn)為了當其中一臺交換機收到 ARP 請求后，會轉(zhuǎn)發(fā)給接收端口以外的其他所有端口，ARP 請求會被轉(zhuǎn)發(fā)到網(wǎng)絡(luò)中的所有客戶機上。為降低網(wǎng)絡(luò)的帶寬消耗，將廣播流限制在固定區(qū)域內(nèi)，可以采用的技術(shù)是（） 單選題 *A.VLAN 劃分(正確