CISP考試認證(習題卷7)

試卷科目：CISP考試認證CISP考試認證(習題卷7)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISP考試認證第1部分：單項選擇題，共250題，每題只有一個正確答案,多選或少選均不得分。[單選題]1.打電話詐騙密碼屬于________攻擊方式。A)木馬B)社會工程學C)電話系統(tǒng)漏洞D)拒絕服務[單選題]2.屬于操作系統(tǒng)自身的安全漏洞的是：（）。A)操作系統(tǒng)自身存在的?后門?B)QQ木馬病毒C)管理員賬戶設置弱口令D)電腦中防火墻未作任何訪問限制[單選題]3.隨著?互聯(lián)網?概念的普及,越來越多的新興住宅小區(qū)引入了?智能樓宇?的理念,某物業(yè)為提供高檔次的服務,防止網絡主線路出現(xiàn)故障,保證小區(qū)內網絡服務的可用,穩(wěn)定、高效,計劃通過網絡冗余配置的是()。A)接入互聯(lián)網時,同時采用不同電信運營商線路,相互備份且互不影響。B)核心層、匯聚層的設備和重要的接入層設備均應雙機設備。C)規(guī)劃網絡IP地址,制定網絡IP地址分配策略D)保證網絡帶寬和網絡設備的業(yè)務處理能力具務冗余空間,滿足業(yè)務高峰期和業(yè)務發(fā)展需求[單選題]4.關于加密算法的應用范圍，說話正確的有A)DSS用于數(shù)字簽名，RSA用于加密和簽名B)DSS用于密鑰交換，IDEA用于加密和簽名C)DSS用于數(shù)字簽名，MD5用于加密和簽名D)DSS用于加密和簽名，MD5用于完整性效驗[單選題]5.87.關于微軟的SDL原則，禁用不安全的函數(shù)屬于哪個階段?（）A)規(guī)劃B)設計C)實現(xiàn)D)測試[單選題]6.Windows操作系統(tǒng)的注冊表運行命令是A)Regsvr32B)RegeditC)Regedit.mscD)Regedit.mmc[單選題]7.以下哪個選項是目前利用大數(shù)據分析技術無法進行有效支持的？A)新型病毒的分析判斷B)天氣情況預測C)個人消費習慣分析及預測D)精確預測股票價格[單選題]8.信息系統(tǒng)安全保障要求包括哪些內容？（）A)信息系統(tǒng)安全技術架構能力成熟度要求、信息系統(tǒng)安全管理能力成熟度要求、信息系統(tǒng)安全工程能力成熟度要求B)信息系統(tǒng)技術安全保障要求、信息系統(tǒng)管理安全保障要求、信息系統(tǒng)安全工程安全保障要求C)信息系統(tǒng)技術保障技術需求、信息系統(tǒng)管理保障控制需求、信息系統(tǒng)工程保障控制需求D)系統(tǒng)安全保障目的、環(huán)境安全保障目的[單選題]9.一個密碼系統(tǒng)至少由明文、密文、加密算法、解密算法和秘鑰9部分組成，其安全性是由下列那個選項決定的A)加密算法B)解密算法C)加密和解密算法D)密鑰[單選題]10.下面哪類設備常用于風險分析過程中，識別系統(tǒng)中存在的脆弱性？A)防火墻B)IDSC)漏洞掃描器D)UTM[單選題]11.對電磁兼容性(ElectromagneticCompatibility，簡稱EMC)標準的描述正確的是____。A)A同一個國家的是恒定不變的B)B不是強制的C)C各個國家不相同D)D以上均錯誤[單選題]12.即使最好的安全產品也存在（）。結果，在任何的系統(tǒng)中敵手最終都能夠找出一個被開發(fā)出的漏洞。一種有效的對策是在敵手和它的目標之間配備多種（）。每一種機制都應包括（）兩種手段A)安全機制；安全缺陷；保護和檢測B)安全缺陷；安全機制；保護和檢測C)安全缺陷；保護和檢測；安全機制D)安全缺陷；安全機制；外邊和內部[單選題]13.UDP需要使用地址，來給相應的應用程序發(fā)送用戶數(shù)據報。A)端口B)應用程序C)因特網D)物理[單選題]14.OSI模型的哪兩項功能在第2層實現(xiàn)A)物理編址B)編碼C)路由D)介質訪問控制[單選題]15.計算機漏洞是在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷,從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統(tǒng)。在病毒肆意的信息不安全時代,某公司為減少計算機系統(tǒng)漏洞,對公司計算機系統(tǒng)進行了如下措施,其中錯誤的是()A)減少系統(tǒng)日志的系統(tǒng)開銷B)禁用或刪除不需要的服務,降低服務運行權限C)設置策略避免系統(tǒng)出現(xiàn)弱口令并對口令猜測進行防護D)對系統(tǒng)連續(xù)進行限制,通過軟件防火墻等技術實現(xiàn)對系統(tǒng)的端口連續(xù)進行控制[單選題]16.下面哪一項組成了CIA三元組?A)保密性,完整性,保障B)保密性,完整性,可用性C)保密性,綜合性,保障D)保密性,綜合性,可用性[單選題]17.橋接或透明模式是目前比較流行的防火墻部署方式，這種方式的優(yōu)點不包括：A)不需要對原有的網絡配置進行修改B)性能比較高C)防火墻本身不容易受到攻擊D)易于在防火墻上實現(xiàn)NAT[單選題]18.使用漏洞庫匹配的掃描方法，能發(fā)現(xiàn)什么問、？A)未知的漏洞B)已知的漏洞C)自行設計的軟件中的漏洞D)所有的漏洞[單選題]19.網絡關鍵設備和網絡安全專用產品應當按照相關國家標準的強制性要求，由具備資格的機構______合格或者_______符合要求后，方可銷售或者提供。A)產品認證、安全認證B)產品檢測、安全檢測C)安全認證、安全檢測D)技術檢測、安全認證[單選題]20.隨著時代的發(fā)展,有根多偉人都為通信亊業(yè)的發(fā)展貢獻出自己力量,根據常識可知以下哪項是正確的?()A)19世紀中葉以后,隨著電磁技術的發(fā)展,誕生了筆記本電腦,通信領域產生了根本性的飛躍,開始了人類通信新時代B)1837年,美國人費曼發(fā)明了電報機,可將信息轉換成電脈沖傳向目的地,再轉換為原來的信息,從而實現(xiàn)了長途電報通信C)1875年,貝爾(Bell)發(fā)明了電話機1878年在相距300公里的波士頓和紐約之間進行了首次長途電話實驗D)1906年美國物理學家摩斯發(fā)明出無線電廣播法國人克拉維爾建立了英法第一條商用無線電線路,推動了無線電技術的進一步發(fā)展[單選題]21.保護-檢測-響應(Protection-Detection-Response,PDR)模型是()工作中常用的模型,其思想是承認()漏洞的存在,正視系統(tǒng)面臨的(),通過采取適度防護、加強()、落實對安全事件的響應、建立對威脅的防護來保障系統(tǒng)的安全。A)信息系統(tǒng);信息安全保障;威脅;檢測工作B)信息安全保障;威脅;信息系統(tǒng);檢測工作C)信息安全保障;信息系統(tǒng);威脅;檢測工作D)信息安全保障;信息系統(tǒng);檢測工作;威脅[單選題]22.作為信息安全從業(yè)人員,以下哪種行為違反了CISP職業(yè)道德準則()A)不在計算機網絡系統(tǒng)中進行造謠、欺詐、誹謗等活動B)通過公眾網絡傳播非法軟件C)幫助和指導信息安全同行提升信息安全保障知識和能力D)抵制通過網絡系統(tǒng)侵犯公眾合法權益[單選題]23.71.風險管理各要素關系如圖所示。由此圖得出，使命依賴于資產去完成。（）擁有價值，（）的程度越高，單位的使命越重要，對資產的依賴度越高，資產的價值則就越大。資產的價值越大則風險越大。風險是由威脅引發(fā)，威脅越大則風險越大，并可能演變成（）。A)資產；時間；信息化B)信息化；資產；事件C)資產；信息化；事件D)事件；資產；信息化[單選題]24.注重安全管理體系建設，人員意識的培訓和教育，是信息安全發(fā)展哪一個階段的特點？A)通信安全B)計算機安全C)信息安全D)信息安全保障[單選題]25.以下哪項不屬于PDCA循環(huán)的特點?A)按順序進行,它靠組織的力量來推動,像車輪一樣向前進,周而復始,不斷循環(huán)B)組織中的每個部分,甚至個人,均可以PDCA循環(huán),大環(huán)套小環(huán),一層一層地解決問題C)每通過一次PDCA循環(huán),都要進行總結,提出新目標,再進行第二次PDCA循環(huán)D)組織中的每個部分,不包括個人,均可以PDCA循環(huán),大環(huán)套小環(huán),一層一層地解決問題[單選題]26.自ISO27001:2006標準發(fā)布以來，此標準在國際上獲得了空前的認可，相當數(shù)量的組織采納并進行了（）的認證，在我國，自從2008年將ISO27001:2006轉化為國家標準CB/T22080:2008以來，信息安全管理（）在國內進一步獲得了全面推廣。越來越多的行業(yè)和組織認識到（）的重要性，并把它作為（）工作之一開展起來。依據慣例，ISO組織每5年左右會對標準進行一次升級。2013年10月19日，ISO組織正式發(fā)布了新版的信息安全管理（）（ISO27001：2013）A)體系認證；信息安全管理體系；信息安全；基礎管理；體系標準B)信息安全管理體系；體系認證；信息安全；基礎管理；體系標準C)信息安全管理體系；信息安全；基礎管理；體系認證；體系標準D)信息安全管理體系；基礎管理；體系認證；信息安全；體系標準[單選題]27.在使用系統(tǒng)安全工程-能力成熟度模型（SSE-CMM）對一個組織的安全工程能力成熟度進行測量時，正確的理解是：A)測量單位是基本實施（BasePractices，BP）B)測量單位是通用實施（GenericPractices，GP）C)測量單位是過程區(qū)域（ProcessAreas，PA）D)測量單位是公共特征（CommonFeatures，CF）[單選題]28.恢復時間目標:RecoveryTimeObjective,RTO和恢復點目標:RecoveryPointObjective,RPO是業(yè)務連續(xù)性和災難恢復工作中的兩個重要指標,隨著信息系統(tǒng)越來越重要和信息技術越來越先進,這兩個指標的數(shù)值越來越小.小華準備為其工作的信息系統(tǒng)擬定RTO和RPO指標,則以下描述中,正確的是:.A)RTO不可以為0,RPO也不可以為0B)RTO可以為0,RPO也可以為0C)RTO可以為0,RPO不可以為0D)RTO不可以為0,RPO可以為0[單選題]29.主體和客體是訪問控制模型中常用的概念。下面描述種錯誤的是？A)主體是訪問的發(fā)起者，是一個主動的實體，可以操作被動實體的相關信息或數(shù)據B)客體也是一種實體，是操作的對象，是被規(guī)定需要保護的資源C)主體是動作的實施者，比如人、進程或設備等均是主體，這些對象不能被當作客體使用D)一個主體為了完成任務，可以創(chuàng)建另外的主體，這些主體可以獨立運行[單選題]30.美國國防部發(fā)布的可信計算機系統(tǒng)評估標準(TCSEC)定義了____個等級。A)A五B)B六C)C七D)D八[單選題]31.信息發(fā)送者使用（）進行數(shù)字簽名。A)己方的私鑰B)己方的公鑰C)對方的私鑰D)對方的公鑰[單選題]32.防御文件包含漏洞的方法不包括什么A)禁止文件名中包含字母和數(shù)字之外的字符B)禁止自定義文件名C)文件名中禁止出現(xiàn)目錄名D)禁止文件上傳[單選題]33.下列關于密碼安全的描述，不正確的是（）A)容易被記住的密碼不一定不安全B)超過12位的密碼很安全C)密碼定期更換D)密碼中使用的字符種類越多越不易被猜中[單選題]34.主機A向主機B發(fā)出的數(shù)據采用AH或ESP的傳輸模式對經過互聯(lián)網的數(shù)據流量進行保護時,主機A和主機B的IP地址在應該在下列哪個范圍?A)~55B)~55C)~55D)不在上述范圍內[單選題]35.69.軟件工程方法提出起源于軟件危機，而其目的應該是最終解決軟件的問題的是()A)質量保證B)生產危機C)生產工程化D)開發(fā)效率[單選題]36.Myers在1979年提出了一個重要觀點,使用人工和自動化的手段來運行或者測試某個系統(tǒng)的過程,其目的在于是否滿足規(guī)定的需求或是弄清預期結果與實際結果之間的差異,那么他認為軟件測試目的是A)證明程序正確B)驗證程序無錯誤C)改正程序錯誤D)查找程序錯誤[單選題]37."統(tǒng)一威脅管理"是將防病毒，入侵檢測和防火墻等安全需求統(tǒng)一管理，目前市場上已經出現(xiàn)了多種此類安全設備，這里"統(tǒng)一威脅管理"常常被簡稱為（）A)UTMB)FWC)IDSD)SOC[單選題]38.對稱密鑰的密碼技術具有很多優(yōu)點，其中不包括A)可提供數(shù)字簽名、零知識證明等額外服務B)加密/解密速度快，不需占用較多在資源C)通信方事先不需要通過保密信道交換密鑰D)密鑰持有量大大減少[單選題]39.某單位在一次信息安全風險管理活動中,風險評估報告提出服務器A的FTP服務存在高風險漏洞。隨后該單位在風險處理時選擇了安裝FTP服務漏洞補丁程序并加固FTP服務安全措施,請問該措施屬于哪種風險處理方式()A)風險轉移B)風險接受C)風險規(guī)避D)風險降低[單選題]40.下列哪個工具不能用于信息搜集（）A)sqlmapB)digC)dnsenumD)nslookup[單選題]41.保障UNIX／Linux系統(tǒng)帳號安全最為關鍵的措施是____。A)A文件／etc／passwd和／etc／group必須有寫保護B)B刪除／etc／passwd、／etc／groupC)C設置足夠強度的帳號密碼D)D使用shadow密碼[單選題]42.34.安全多用途互聯(lián)網郵件擴展（SecureNultipurposeInternetMailPxtension,S/MIME）是指一種保障郵件安全的技術，下面描述錯誤的是（）A)S/MIME采用了非對稱密碼學機制B)S/MIME支持數(shù)字證書C)S/MIME采用了郵件防火墻技術D)S/MIME支持用戶身份認證和郵件加密[單選題]43.以下場景描述了基于角色的訪問控制模型(Role-basedAccessControl.RBAC):根據組織的業(yè)務要求或管理要求,在業(yè)務系統(tǒng)中設置若干崗位、職位或分工,管理員負責將權限(不同類別和級別的)分別賦予承擔不同工作職責的用戶。關于RBAC模型,下列說法錯誤的是:A)當用戶請求訪問某資源時,如果其操作權限不在用戶當前被激活角色的授權范圍內,訪問將被拒絕B)業(yè)務系統(tǒng)中的崗位、職位或者分工,可對應RBAC模型中的角色C)通過角色,可實現(xiàn)對信息資源訪問的控制D)RBAC模型不能實現(xiàn)多級安全中的訪問控制[單選題]44.9.以下關于SMTP和POP3協(xié)議的說法那個是錯誤的：A)SMTP和POP3協(xié)議是一種基于ASCII編碼的請求/響應模式的協(xié)議B)SMTP和POP3協(xié)議明文傳輸數(shù)據，因此存在數(shù)據泄露的可能C)SMTP和POP3協(xié)議缺乏嚴格的用戶認證，因此導致了垃圾郵件問題D)SMTP和POP3協(xié)議由于協(xié)議簡單，易用性更高，更容易實現(xiàn)遠程管理郵件[單選題]45.在GB／T18336《信息技術安全性評估準則》中，有關保護輪廓（ProtectionProfile，PP）和安全目標（SecurityTarget，ST），錯誤的是：A)PP是描述一類產品或系統(tǒng)的安全要求B)PP描述的安全要求與具體實現(xiàn)無關C)兩份不同的ST不可能滿足同一份PP的要求D)ST與具體的實現(xiàn)有關[單選題]46.以下哪一種環(huán)境控制適用于保護短期內電力環(huán)境不穩(wěn)定條件下的計算機設備?A)電路調整器PowerlineConDitionersB)電流浪涌防護裝置AsurgeproteCtiveDeviCeC)替代電源D)不間斷供電[單選題]47.51.GB/T18336《信息技術安全性評估準則》是測評標準類中的重要標準，該標準定義了保護輪廊（ProtectionProfile，PP）和安全目標（SecurityTarget，ST）的評估準則，提出了評估保證級（EvaluationAssuranceLevel，EAL），其評估保證級共分為（）個遞增的評估保證等級A)4B)5C)6D)7[單選題]48.由于密碼技術都依賴于密鑰，因此密鑰的安全管理是密碼技術應用中非常重要的環(huán)節(jié)，下面錯誤的是（）A)科克霍夫在《軍事密碼學》指出系統(tǒng)的保密性不依賴于加密體制或算法的保密，而依賴密鑰B)保密通信過程中，通信方使用之前用過的會話密鑰建立會話，不影響通信安全C)密鑰管理需要在安全策略的指導下處理密鑰生命周期的整個過程，包括產生、存儲、備份、分配、更新、撤銷D)在保密通信過程中，通信雙方可利用Diffie-Hellman協(xié)議協(xié)商出會話密[單選題]49.91.2016年9月，一位安全研究人員在GoogleCloudIP上通過掃描，發(fā)現(xiàn)了完整的美國路易斯安邦州290萬選民數(shù)據庫。這套數(shù)據庫中囊括了諸如完整姓名、電子郵箱地址、性別與種族、選民狀態(tài)、注冊日期與編號、政黨、代名和密碼，以防止攻擊者利用以上信息進行（）攻擊。A)默認口令B)字典C)暴力D)XSS[單選題]50.74./etc/passwd文件是UNIX/Linux安全的關鍵文件之一。該文件用于用戶登錄時校驗用戶的登錄名、加密的口令數(shù)據項、用戶ID（UID）、默認的用戶分組ID（GID）、用戶信息、用戶登錄目錄以及登錄后使用的shell程序。某黑客設法竊取了銀行賬戶管理系統(tǒng)的passwd文件后，發(fā)現(xiàn)每個用戶的加密的口令數(shù)據項都顯示為?x?。下列選項中，對此現(xiàn)象的解釋正確的是（）A)A．黑客竊取的passwd文件是假的B)用戶的登錄口令經過不可逆的加密算法加密結果為?X?C)C．加密口令被轉移到了另一個文件里D)D．這些賬戶都被禁用了[單選題]51.當使用移動設備時,應特別注意確保()不外泄。移動設備方針應考慮與非保護環(huán)境移動設備同時工作時的風險。當在公共場所、會議室和其他不受保護的區(qū)域使用移動計算設施時,要加以小心。應采取保護措施以避免通過這些設備存儲和處理的信息未授權的訪問或泄露,如使用()、強制使用秘鑰身份驗證信息。要對移動計算設施進行物理保護,以防被偷竊,例如,特別是遺留在汽車和其他形式的交通工具上、旅館房間、會議中心和會議室。要為移動計算機設施的被竊或丟失等情況建立一個符號法律、保險和組織的其他安全要求的()。攜帶重要、敏感和或關鍵業(yè)務信息的設備不宜無人值守,若有可能,要以物理的方式鎖起來,或使用()來保護設備。對于使用移動計算設施的人員要安排培訓,以提高他們對這種工作方式導致的附加風險的意識,并且要實施控制措施。A)加密技術;業(yè)務信息;特定規(guī)程;專用鎖B)業(yè)務信息;特定規(guī)程;加密技術;專用鎖C)業(yè)務信息;加密技術;特定規(guī)程;專用鎖D)業(yè)務信息;專用鎖;加密技術;特定規(guī)程[單選題]52.組織的災難恢復計劃應該:A)減少恢復時間,降低恢復費用B)增加恢復時間,提高恢復費用C)減少恢復的持續(xù)時間,提高恢復費用D)對恢復時間和費用都不影響[單選題]53.2014年2月，我國成立了（），習近平總書記擔任領導小組組長。A)中央網絡技術和信息化領導小組B)中央網絡安全和信息化領導小組C)中央網絡安全和信息技術領導小組D)中央網絡信息和安全領導小組[單選題]54.99.在極限測試過程中，貫穿始終的是()，A)單元測試和集成測試B)單元測試和系統(tǒng)測試C)集成測試和驗收制試D)集成測試和系統(tǒng)測試[單選題]55.企業(yè)按照ＩＳＯ２７００１標準建立信息安全管理體系的過程中，對關鍵成功因素的描述不正確的是A)不需要全體員工的參入，只要ＩＴ部門的人員參入即可B)來自高級管理層的明確的支持和承諾C)對企業(yè)員工提供必要的安全意識和技能的培訓和教育D)所有管理者、員工及其他伙伴方理解企業(yè)信息安全策略、指南和標準，并遵照執(zhí)行[單選題]56.60.在工程實施階段，監(jiān)理機構依據承建合同、安全設計方案、實施方案、實施記錄、國家或地方相關標準和技術指導文件，對信息化工程進行（）安全檢查，以驗證項目是否實現(xiàn)了項目設計目標和安全等級要求。A)功能性B)可用性C)保障性D)符合性[單選題]57.54.小李在某單位是負責信息安全風險管理方面工作的部門領導，主要負責對所在行業(yè)的新人進行基本業(yè)務素質培訓，一次培訓的時候，小李主要負責講解風險評估方法。請問小李的所述論點中錯誤的是哪項：A)風險評估方法包括：定性風險分析、定量風險分析以及半定量風險分析B)定性風險分析需要憑借分析者的經驗和直覺或者業(yè)界的標準和慣例，因此具有隨意性C)定量風險分析試圖在計算風險評估與成本效益分析期間收集的各個組成部分的具體數(shù)字值因此更具有客觀性D)半定量風險分析技術主要指在風險分析過程中綜合使用定性和定量風險分析技術對風險要素的賦值方式，實現(xiàn)對風險各要素的度量數(shù)值化[單選題]58.SSE-CMM工程過程區(qū)域中的風險過程包含哪些過程區(qū)域：A)評估威脅、評估脆弱性、評估影響B(tài))評估威脅、評估脆弱性、評估安全風險C)評估威脅、評估脆弱性、評估影響、評估安全風險D)評估威脅、評估脆弱性、評估影響、驗證和證實安全[單選題]59.以下對蠕蟲病毒的描述錯誤的是A)蠕蟲的傳播無需用戶操作B)蠕蟲會消耗內存或網絡寬帶，導致DOSC)蠕蟲的傳播需要通過?宿主?程序或文件D)蠕蟲程序一般由?傳播模塊?、?隱藏模塊[單選題]60.416.下列選項中,對物理與環(huán)境安全的描述出現(xiàn)錯誤的是()A)物理安全確保了系統(tǒng)在對信息進行采集、傳輸、存儲、處理等過程中的安全B)物理安全面對的是環(huán)境風險及不可預知的人類活動,是一個非常關鍵的領域C)物理安全包括環(huán)境安全、系統(tǒng)安全、設施安全等D)影響物理安全的因素不僅包含自然因素、還包括人為因素[單選題]61.哪個鍵唯一地標識表組A)外鍵B)本地鍵C)主鍵D)超鍵[單選題]62.下圖是某單位對其主網站一天流量的監(jiān)測圖,如果該網站當天17:00到20:00之間受到攻擊,則從圖中數(shù)據分析,這種攻擊可能屬于下面什么攻擊。()class="fr-ficfr-filfr-dibcursor-hover"A)跨站腳本攻擊B)TCP會話劫持C)IP欺騙攻擊D)拒絕服務攻擊[單選題]63.對于關鍵信息基礎設施的外延范圍,以下哪項是正確的?A)關鍵信息基礎設施的認定由國家網信部門確定,網絡運營者自身及上級主管部門不能認定B)關鍵信息基礎設施與等級保護三級以上系統(tǒng)的范圍一致.對于等級保護三級以上系統(tǒng)就應納入關鍵信息基礎設施保護范圍C)關鍵信息基礎設施的具體范圍由國務院制定,鼓勵網絡運營者自愿參照關鍵信息基礎沒施保護標準要求開展保護D)關鍵信息基礎設施只限于公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務這七個行業(yè),除此以外行業(yè)的網絡不能認定為關鍵信息基礎設施[單選題]64.事件響應六個階段定義了安全事件處理的流程,這個流程的順序是A)準備-遏制-確認-根除-恢復-跟蹤B)準備-確認-遏制-恢復-根除-跟蹤C)準備-確認-遏制-根除-恢復-跟蹤D)準備-遏制-根除-確認-恢復-跟蹤[單選題]65.分布式拒絕服務（DistributedDenialofService，DDoS）攻擊指借助于客戶/服務器技術，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標發(fā)動DDoS攻擊，從而成倍地提高拒絕服務攻擊的威力，一般來說，DDoS攻擊的主要的是破壞目標系統(tǒng)的A)保密性B)完整性C)可用性D)真實性[單選題]66.某項目組進行風險評估時由于時間有限,決定采用基于知識的分析方法,使用基于知識的分析方法進行風險評估,最重要的在于評估信息的采集,該項目組對信息源進行了討論,以下說法中不可行的是()A)可以通過對當前的信息安全策略和相關文檔進行復查采集評估信息B)可以通過進行實施考察的方式采集評估信息C)可以通過建立模型的方法采集評估信息D)可以制作問卷,進行調查[單選題]67.下面對WAPI描述不正確的是：A)安全機制由WAI和WPI兩部分組成B)WAI實現(xiàn)對用戶身份的鑒別C)WPI實現(xiàn)對傳輸?shù)臄?shù)據加密D)WAI實現(xiàn)對傳輸?shù)臄?shù)據加密[單選題]68.某linux系統(tǒng)由于root口令過于簡單，被攻擊者猜解后獲得了root口令，發(fā)現(xiàn)被攻擊后，管理員更改了root口令，并請安全專家對系統(tǒng)進行檢測，在系統(tǒng)中發(fā)現(xiàn)有一個文件的權限如下-r-s--x--x1testtdst10704apr152002/home/test/sh請問以下描述哪個是正確的：A)該文件是一個正常文件，test用戶使用的shell,test不能讀該文件，只能執(zhí)行B)該文件是一個正常文件，是test用戶使用的shell,但test用戶無權執(zhí)行該文件C)該文件是一個后門程序，該文件被執(zhí)行時，運行身份是root,test用戶間接獲得了root權限D)該文件是一個后門程序，由于所有者是test，因此運行這個文件時文件執(zhí)行權限為test答案：[單選題]69.2008年1月2日,美國發(fā)布第54號總統(tǒng)令,建立國家網絡安全綜合計劃(ComprehensiveNationalCybersecurityInitiative,CNCI)。CNCI計劃建立三道防線:第一道防線,減少漏洞和隱患,預防入侵;第二道防線,全面應對各類威脅;第三道防線,強化未來安全環(huán)境.從以上內容,我們可以看出以下哪種分析是正確的:A)CNCI是以風險為核心,三道防線首要的任務是降低其網絡所面臨的風險B)從CNCI可以看出,威脅主要是來自外部的,而漏洞和隱患主要是存在于內部的C)CNCI的目的是盡快研發(fā)并部署新技術徹底改變其糟糕的網絡安全現(xiàn)狀,而不是在現(xiàn)在的網絡基礎上修修補補D)CNCI徹底改變了以往的美國信息安全戰(zhàn)略,不再把關鍵基礎設施視為信息安全保障重點,而是追求所有網絡和系統(tǒng)的全面安全保障[單選題]70.以下哪個標準是ISO27001的前身標準?A)BS5750B)BS7750C)BS7799D)BS15000[單選題]71.審核在實施審核時，所使用的檢查表不包括的內容有A)審核依據B)審核證據記錄C)審核發(fā)現(xiàn)D)數(shù)據收集方法和工具[單選題]72.／etc/passwd文件是UNIX／Linux安全的關鍵是文件之一，該文件用于用戶登錄時校驗用戶的登錄名、加密的口令數(shù)據項、用戶ID（UID）、默認的用戶分組ID（GID）、用戶信息、用戶登錄目錄以及登錄后使用的shell程序。某黑客設法竊取了銀行賬戶管理系統(tǒng)的passwd文件后，發(fā)現(xiàn)每個用戶的加密口令數(shù)據項都是顯示為X，下列選項中，對此現(xiàn)象的解釋正確的是（）A)黑客竊取的passwd文件是假的B)用戶的登錄口令經過不可逆轉的加密算法加密結果為XC)加密口令被轉移到了另一個文件里D)這些賬戶都被禁用了[單選題]73.數(shù)據庫的安全很復雜,往往需要考慮多種安全策略,才可以更好地保護數(shù)據庫的安全。以下關于數(shù)據庫常用的安全策略理解不正確的是()。A)粒度最小策略,將數(shù)據庫中的數(shù)據項進行劃分,粒度越小,安全級別越高,在實際中需要選擇最小粒度B)最小特權原則,是讓用戶可以合法的存取或修改數(shù)據庫的前提下,分配最小的特權,使得這些信息恰好能夠完成用戶的工作C)按內容存取控制策略,不同權限的用戶訪問數(shù)據庫的不同部分D)最大共享策略,在保證數(shù)據庫的完整性、保密性和可用性的前提下,最大程度地共享數(shù)據庫中的信息[單選題]74.企業(yè)ISMS(信息安全管理體系)建設的原則不包括以下哪個A)管理層足夠重視B)需要全員參與C)不必遵循過程的方法D)需要持續(xù)改進[單選題]75.下面關于IIS報錯信息含義的描述正確的是？A)401-找不到文件B)403-禁止訪問C)404-權限問題D)500-系統(tǒng)錯誤[單選題]76.以下關于Web傳輸協(xié)議、服務端和客戶端軟件的安全問題說法不正確的是（）。A)HTTP協(xié)議主要存在明文傳輸數(shù)據、弱驗證和缺乏狀態(tài)跟蹤等方面的安全問題B)Cookie是為了辨別用戶身份，進行會話跟蹤而存儲在用戶本地終端上的數(shù)據，用戶可以隨意查看存儲在Cookie中的數(shù)據，但其中的內容不能被修改C)HTTP協(xié)議缺乏有效的安全機制，易導致拒絕服務、電子欺騙、嗅探等攻擊D)針對HTTP協(xié)議存在的安全問題，使用HTTPS具有較高的安全性，可以通過證書來驗證服務器的身份，并為瀏覽器和服務器之間的通信加密[單選題]77.棱鏡門事件的發(fā)起者是誰？A)俄羅斯克格勃;B)美國國家安全局;C)英國軍情六處;D)斯諾登；[單選題]78.關于標準、指南、程序的描述,哪一項是最準確的?A)標準是建議性的策略,指南是強制執(zhí)行的策略B)程序為符合強制性指南的一般性建議C)程序是為符合強制性指南的一般性建議D)程序是為符合強制性標準的的說明[單選題]79.存儲過程是SQL語句的一個集合，在一個名稱下存儲，按獨立單元方式執(zhí)行。以下哪一項不是使用存儲過程的優(yōu)點：A)提高性能，應用程序不用重復編譯此過程B)降低用戶查詢數(shù)量，減輕網絡擁塞C)語句執(zhí)行過程中如果中斷，可以進行數(shù)據回滾，保證數(shù)據的完整性和一致性D)可以控制用戶使用存儲過程的權限，以增強數(shù)據庫的安全性[單選題]80.某項目的主要內容為建造A類機房，監(jiān)理單位需要根據《電子信息系統(tǒng)機房設計規(guī)范》（GB50174-2008）的相關要求，對承建單位的施工設計方案進行審核，以下關于監(jiān)理單位給出的審核意見錯誤的是：A)在異地建立備份機房時，設計時應與主用機房等級相同B)由于高端小型機發(fā)熱量大，因此采用活動地板上送風，下回風的方式C)因機房屬于A級主機房，因此設計方案中應考慮配備柴油發(fā)電機，當市電發(fā)生故障時，所配備的柴油發(fā)電機應能承擔全部負荷的需要D)A級主機房應設置潔凈氣體滅火系統(tǒng)[單選題]81.以下哪個不屬于日志Web分析程序？A)goaccessB)AWStatsC)logparseD)tcpdump[單選題]82.信息安全風險管理過程的模型如圖所示。按照流程,請問,信息安全風險管理包括()六個方面的內容。()是信息安全風險管理的四個基本步驟,()則貫穿于這四個基本步驟中.:class="fr-ficfr-filfr-dibcursor-hover"A)背景建立、風險評估、風險外理、批準監(jiān)督、監(jiān)控審查和溝通咨詢:背景建立、風險評估、風險處理和批準監(jiān)督:監(jiān)控審查和溝通咨詢:B)背景建立、風險評估、風險外理、批準監(jiān)督、監(jiān)控審查和溝通咨詢:背景建立、風險評估、風險處理和監(jiān)控審查:批準監(jiān)督和溝通咨詢:C)背景建立、風險評估、風險外理、批準監(jiān)督、監(jiān)控審查和溝通咨詢:背景建立、風險評估、風險處理和溝通咨詢:監(jiān)控審查和批準監(jiān)督:D)背景建立、風險評估、風險外理、批準監(jiān)督、監(jiān)控審查和溝通咨詢:背景建立、風險評估、監(jiān)控審查和批準監(jiān)督:風險處理和溝通咨詢。[單選題]83.關于"WannaCry"勒索病毒軟件描述正確的是A)利用RDP協(xié)議漏洞傳播B)利用SMB協(xié)議漏洞傳播C)利用HTTP協(xié)議漏洞傳播D)利用FTP協(xié)議傳播[單選題]84.14.建立并完善()是有效應對社會工程學攻擊的方法，通過()的建立，使得信息系統(tǒng)用戶需要遵循()來實現(xiàn)某些操作，從而在一定程度上降低社會工程學的影響。例如對于用戶密碼的修改，由于相應管理制度的要求，（）需要對用戶身份進行電話回撥確認才能執(zhí)行，那么來自外部的攻擊者就可能很難偽裝成為內部工作人員來進行()，因為他還需要想辦法擁有一個組織機構內部電話才能實施。A)信息安全管理體系；安全管理制度；規(guī)范；網絡管理員；社會工程學攻擊B)信息安全管理體系；安全管理制度；網絡管理員；規(guī)范；社會工程學攻擊C)安全管理制度；信息安全管理體系；規(guī)范；網絡管理員；社會工程學攻擊D)信息安全管理體系；網絡管理員；安全管理制度；規(guī)范；社會工程學攻擊[單選題]85.某銀行有5臺交換機連接了大量交易機構的網路（如圖所示），在基于以太網的通信中，計算機A需要與計算機B通信，A必須先廣播?ARP請求信息?，獲取計算機B的物理地址。沒到月底時用戶發(fā)現(xiàn)該銀行網絡服務速度極其緩慢。銀行經調查后發(fā)現(xiàn)為了當其中一臺交換機收到ARP請求后，會轉發(fā)給接收端口以外的其他所有端口，ARP請求會被轉發(fā)到網絡中的所有客戶機上。為降低網絡的帶寬消耗，將廣播流限制在固定區(qū)域內，可以采用的技術是A)VLAN劃分B)動態(tài)分配地址C)設立入侵防御系統(tǒng)D)為路由交換設備修改默認口令[單選題]86.注入語句：http：//xxx.xxx.xxx/abc.asp?p=YYanduser>0不僅可以判斷服務器的后臺數(shù)據庫是否為SQL-SERVER，還可以得到（）A)當前連接數(shù)據庫的用戶數(shù)據B)當前連接數(shù)據庫的用戶名C)當前連接數(shù)據庫的用戶口令D)當前連接的數(shù)據庫名[單選題]87.黑客通常實施攻擊的步驟是什么？()A)遠程攻擊、本地攻擊、物理攻擊B)踩點、掃描、獲取訪問權、提升權限、安裝后門、清除痕跡C)拒絕服務攻擊、掃描、獲取控制器、清除痕跡D)掃描、拒絕服務攻擊、獲取控制權、安裝后門、嗅探[單選題]88.?規(guī)劃(plan)-實施(Do)-檢查(Check)-處置(Act)?(PDCA過程)又叫(),是管理學中的一個通用模型,最早由()于1930年構想,后來被美國質量管理專家()博士在1950年再度挖掘出來,并加以廣泛宜傳和運用于持續(xù)改善產品質量的過程。PDCA循環(huán)就是按照?規(guī)劃實施、檢查、處置的順序進行質量管理,并且循環(huán)不止地進行下去的(),建立符合國際標準IS09001的質量管理體系即是一個典型的PDCA過程,建立IS014001環(huán)境管理體系,IS020000IT服務()也是一個類似的過程,答()A)質量環(huán)、休哈特、戴明、管理體系、科學程序B)質量環(huán)、戴明、休哈特、管理體系、科學程序C)質量環(huán)、戴明、休哈特、科學程序、管理體系D)質量環(huán)、休哈特、戴明、科學程序、管理體系[單選題]89.TCP/IP協(xié)議族是為實現(xiàn)異構網互聯(lián)推出的協(xié)議規(guī)范，具有較好的開放性，internet是在TCP/TP協(xié)議族的基礎上構建的。但由于TCP/IP協(xié)議族在設計初期過于關注其開放性和便利性，對安全性考慮較少，因此其中很多協(xié)議存在安全隱患，例如，攻擊者可以利用TCP協(xié)議的三次握手機制實現(xiàn)DS攻擊，也可以通過猜測TCP會話中的序號來偽造數(shù)據包那么上述例子中的情況可能發(fā)生在()A)應用層B)傳輸層C)網絡層D)鏈路層[單選題]90.在入侵檢測（IDS）的運行中，最常見的問題是：（）A)誤報檢測B)接收陷阱消息C)誤拒絕率D)拒絕服務攻擊[單選題]91.系統(tǒng)安全工程能力成熟度模型(SSE-CMM）錯誤的理解是（）A)SSE-CMM要求實施組織與其他組織相互作用，如開發(fā)方、產品供應商、集成商和咨詢服務商等B)SSE-CMM可以使安全工程成為一個確定的、成熟的和可度量的科目C)基手SSE-CMM的工程是獨立工程，與軟件工程、硬件工程、通信工程等分別規(guī)劃實施D)SSE-CMM覆蓋整個組織的活動，包括管理、組織和工程活動等，而不僅僅是系統(tǒng)安全的工程活動[單選題]92.73.目前，很多行業(yè)用戶在進行信息安全產品選項時，均要求產品高通過安全測評。關于信息安全產品測評的意義，下列說法中不正確的是：A)有助于建立和實施信息安全產品的市場準入制度B)對用戶采購信息安全產品，設計、建設、使用和管理安全的信息系統(tǒng)提供科學公正的專業(yè)指導C)對信息安全產品的研究、開發(fā)、生產以及信息安全服務的組織提供嚴格的規(guī)范引導和質量監(jiān)督D)打破市場壟斷，為信息安全產業(yè)發(fā)展創(chuàng)造一個良好的競爭環(huán)境[單選題]93.以下不屬于TCP端口掃描方式的是A)Xmas掃描B)ICMP掃描C)ACK掃描D)NULL掃描[單選題]94.組織回顧信息系統(tǒng)災難恢復計劃時應:A)每半年演練一次B)周期性回顧并更新C)經首席執(zhí)行官(CEO)認可D)與組織的所有部門負責人溝通[單選題]95.為推動和規(guī)范我國信息安全等級保護，我國制定和發(fā)布了信息安全等級保護工作所需要的一系列標準，這些標準可以按照等級保護工作的工作階段大致分類。下面四個標準中，（）提出和規(guī)定了不同安全保護等級信息系統(tǒng)的最低保護要求，并按照技術和管理兩個方面提出了相關基本安全要求A)GB/T22239-2019《信息系統(tǒng)等級保護基本要求》B)GB/T22240-2008《信息系統(tǒng)安全保護等級定級指南》C)GB/T25070-2010《信息系統(tǒng)等級保護安全設計技術要求》D)GB/T28449-2012《信息系統(tǒng)安全等級保護測評過程指南》[單選題]96.在極限測試過程中，貫穿始終的是()，A)單元測試和集成測試B)單元測試和系統(tǒng)測試C)集成測試和系統(tǒng)測試D)集成測試和驗收制試[單選題]97.下面一行是某個UNIX文件的詳情，關于該文件權限的描述不正確的是A)這是一個目錄，名稱是?file?B)文件屬性是groupC)?其他人?對該文件具有讀、寫、執(zhí)行權限D)user的成員對此文件沒有寫權限[單選題]98.用于查看/var/log/wtmp日志的命令是A)lastB)lastlogC)lastwtmpD)lastmp[單選題]99.在一份熱站、溫站或冷站協(xié)議中,協(xié)議條款應包含以下哪一項需考慮的事項A)具體的保證設施B)訂戶的總數(shù)C)同時允許使用設施的訂戶數(shù)量D)涉及的其他用戶[單選題]100.443.信息系統(tǒng)安全保障評估概念和關系如圖所示(參見G試卷18題)。信息系統(tǒng)安全保障評估，就是在信息系統(tǒng)所處的運行環(huán)境中對信息系統(tǒng)安全保障的具體工作和活動進行客觀的評估。通過信息系統(tǒng)安全保障評估所搜集的()，向信息系統(tǒng)的所有相關方提供信息系統(tǒng)的()能夠實現(xiàn)其安全保障策略，能夠將其所面臨的風險降低到其可接受的程度的主觀信心。信息系統(tǒng)安全保障評估的評估對象是()，信息系統(tǒng)不僅包含了僅討論技術的信息技術系統(tǒng)，還包括同信息系統(tǒng)所處的運行環(huán)境相關的人和管理等領域。信息系統(tǒng)安全保障是一個動態(tài)持續(xù)的過程，涉及信息系統(tǒng)整個()，因此信息系統(tǒng)安全保障的評估也應該提供一種()的信心。（）A)安全保障工作；客觀證據；信息系統(tǒng)；生命周期；動態(tài)持續(xù)B)客觀證據；安全保障工作；信息系統(tǒng)；生命周期；動態(tài)持續(xù)C)客觀證據；安全保障工作；生命周期；信息系統(tǒng)；動態(tài)持續(xù)D)客觀證據；安全保障工作；動態(tài)持續(xù)；信息系統(tǒng)；生命周期[單選題]101.37.以下哪一項不是信息系統(tǒng)集成項目的特點：A)信息系統(tǒng)集成項目要以滿足客戶和用戶的需求為根本出發(fā)點B)系統(tǒng)集成就是選擇最好的產品和技術，開發(fā)相應的軟件和硬件，將其集成到信息系統(tǒng)的過程C)信息系統(tǒng)集成項目的指導方法是?總體規(guī)劃、分步實施?D)信息系統(tǒng)集成包含技術，管理和商務等方面，是一項綜合性的系統(tǒng)工程[單選題]102.公鑰基礎設施(PublicKeyinfrastructure,PKI)引入數(shù)字證書的概念,用來表示用戶的身份。下圖簡要地描述了終端實體(用戶)從認證權威機構CA申請、撤銷和更新數(shù)字證書的流程。請為中間框空白處選擇合適當選項:A)證書庫B)RAC)OCSPD)CRL庫[單選題]103.指導和規(guī)范信息安全管理的所有活動的文件叫做?A)過程B)安全目標C)安全策略D)安全范圍[單選題]104.以下哪個是常用WEB漏洞掃描工具（）A)AcunetixWVSB)hydraC)中國菜刀D)NMAP[單選題]105.55.以下說法正確的是：A)A．驗收測試是同承建方和用戶按照用戶使用手冊執(zhí)行軟件驗收B)B．軟件測試的目的是為了驗證軟件功能是否正確C)C．監(jiān)理工程師應按照有關標準審查提交的測試計劃，并提出審查意見D)D．軟件測試計劃開始于軟件設計階段，完成于軟件開發(fā)階段[單選題]106.加密文件系統(tǒng)(EncryptingFileSystem,EFS)是Windows操作系統(tǒng)的一個組件,以下說法錯誤的是()A)EFS采用加密算法實現(xiàn)透明的文件加密和解密,任何不擁有合適密鑰的個人或者程序都不能解密數(shù)據B)EFS以公鑰加密為基礎,并利用了widows系統(tǒng)中的CryptoAPI體系結構C)EFS加密系統(tǒng)適用于NTFS文件系統(tǒng)合FAT32文件系統(tǒng)(Windows環(huán)境下)D)EFS加密過程對用戶透明,EFS加密的用戶驗證過程是在登陸windows時進行的[單選題]107.設施、網絡、平臺、介質、應用類信息資產的保密期限為A)3年B)長期C)4月D)短期[單選題]108.以下不可以防范口令攻擊的是:A)設置的口令要盡量復雜些，最好由字母、數(shù)字、特殊字符混合組成;B)在輸入口令時應確認無他人在身邊;C)定期改變口令;D)選擇一個安全性強復雜度高的口令，所有系統(tǒng)都使用其作為認證手段[單選題]109.重要數(shù)據要及時進行（），以防出現(xiàn)意外情況導致數(shù)據丟失。A)殺毒B)加密C)備份D)格式化[單選題]110.以下關于模糊測試過程的說法正確的是？A)模糊測試的效果與覆蓋能力，與輸入樣本選擇不相關B)為保障安全測試的效果和自動化過程，關鍵是將發(fā)現(xiàn)異常進行現(xiàn)場保護記錄，系統(tǒng)可能無法恢復異常狀態(tài)進行后續(xù)的測試C)通過異常樣本重視異常，人工分析異常原因，判斷是否為潛在的安全漏洞，如果是安全漏洞，就需要進一步分析其危害性、影響范圍和修復建議D)對于可能產生的大量異常報告，需要人工全部分析異常報告[單選題]111.55.信息安全風險評估是信息安全風險管理工作中的重要環(huán)節(jié)。在國家網絡與信息安全協(xié)調小組發(fā)布的《關于開展信息安全風險評估工作的意見》（國信辦[2006]5號）中，風險評估分為自評估和檢查評估兩種形式，并對兩種工作形勢提出了有關工作原則和要求。下面選項中描述正確的是（）A)信息安全風險評估應以自評估為主，自評估和檢查評估相互結合、互為補充B)信息安全風險評估應以檢查評估為主，自評估和檢查評估相互結合、互為補充C)自評估和檢查評估時相互排斥的，單位應慎重地從兩種工作形式選擇一個，并長期使用D)自評估和檢查評估是相互排斥的，無特殊理由的單位均應選擇檢查評估，以保證安全效果[單選題]112.某公司建設面向內部員工的辦公自動化系統(tǒng)和面向外部客戶的營銷系統(tǒng)，通過公開招標選擇M公司為實施單位，并選擇了H監(jiān)理公司承擔該項目的全程監(jiān)理工作。目前，各個應用系統(tǒng)均已完成開發(fā)，M公司已經提交了驗收申請。監(jiān)理公司需要對M公司提交的軟件配置文件進行審查，在以下所提交的文檔中，哪一項屬于開發(fā)類文檔？A)項目計劃書B)質量控制計劃C)評審報告D)需求說明書[單選題]113.2016年國家網絡安全宣傳周主題是（）A)網絡安全為人民，網絡安全靠人民B)共建網絡安全，共享網絡文明C)網絡安全同擔，網絡生活共享D)我身邊的網絡安全[單選題]114.33.惡意代碼經過20多年的發(fā)展，破壞性、種類和感染性都得到增強。隨著計算機的網絡化程度逐步提高，網絡傳播的惡意代碼對人們日常生活影響越來越大。小李發(fā)現(xiàn)在自己的電腦查出病毒的過程中，防病毒軟件通過對有毒軟件的檢測，將軟件行為與惡意代碼行為模型進行匹配，判斷出該軟件存在惡意代碼，這種方式屬于()A)簡單運行B)行為檢測C)是特征數(shù)據匹配D)特征碼掃描[單選題]115.為保障信息系統(tǒng)安全，某經營公眾服務系統(tǒng)的公司準備并編制一份針對性的信息安全保障方案，并將編制任務交給了小王，為此，小王決定首先編制出一份信息安全需求描述報告，關于此項工作，下面說法錯誤的是（）A)信息安全需求報告應依據該公眾服務信息系統(tǒng)的功能設計方案為主要內容來撰寫B(tài))信息安全需求描述報告是設計和撰寫信息安全保障方案的前提和依據C)信息安全需求描述報告應當基于信息安全風險評估結果和有關政策法規(guī)和標準的合規(guī)性要求得到D)信息安全需求描述報告的主體內容可以按照技術、管理和工程等方面需求械開編寫[單選題]116.數(shù)據在進行傳輸前，需要由協(xié)議棧自上而下對數(shù)據進行封裝。TCP/IP協(xié)議中，數(shù)據封裝的順序是？A)傳輸層、網絡接口層、互聯(lián)網絡層B)傳輸層、互聯(lián)網絡層、網絡接口層C)互聯(lián)網絡層、傳輸層、網絡接口層D)互聯(lián)網絡層、網絡接口層、傳輸層[單選題]117.根據組織業(yè)務連續(xù)性計劃(BCP)的復雜程度,可以建立多個計劃來滿足業(yè)務連續(xù)和和災難恢復的各方面。在這種情況下,有必要:A)每個計劃和其它計劃保持協(xié)調一致B)所有的計劃要整合到一個計劃中C)每個計劃和其他計劃相互依賴D)指定所有計劃實施的順序[單選題]118.對信息技術保障框架的內涵和特點（IATF）理解不正確的是：（）。A)基于PDCA思想構建攻防一體化安全體系B)對信息系統(tǒng)進行多層防護C)IATF描述了保護領域的安全需求和相應的可選擇措施D)它體現(xiàn)了分層、深度、強健性的防御特點[單選題]119.信息安全應急響應,是指一個組織為了應對各種安全意外事件的發(fā)生所采取的防范措施,既包括預防性措施也包括事件發(fā)生后的應對措施。應急響應方法和過程并不是唯一的,在下面的應急響應管理流程圖中,空白方填寫正確的選項是()A)培訓階段B)文檔階段C)報告階段D)檢測階段[單選題]120.瀏覽某些網站時，網站為了辨別用戶身份進行session跟蹤，而儲存在本地終端上的數(shù)據是（）A)收藏夾B)書簽C)OOKIED)HTTPS[單選題]121.以下對Windows賬號的描述,正確的是:A)Windows系統(tǒng)是采用SID(安全標識符)來標識用戶對文件或文件夾的權限B)Windows系統(tǒng)是采用用戶名來標識用戶對文件或文件夾的權限C)Windows系統(tǒng)默認會生成administrator和guest兩個賬號,兩個賬號都不允許改名和刪除D)Windows系統(tǒng)默認生成administrator和guest兩個賬號,兩個賬號都可以改名和刪除[單選題]122.某公司正在進行IT系統(tǒng)災難恢復測試,下列問題中哪個最應該引起關注()A)由于有限的測試時間窗,僅僅測試了最必的系統(tǒng),其他系統(tǒng)在今年的剩余時間里陸續(xù)獨測試B)在測試的過程中,有些備份系統(tǒng)有缺陷或者不能正常工作,從面導致這些系統(tǒng)的測試失敗C)在開啟備份站點之前關閉和保護原生產站點的過程比計劃需要多得多的時間D)每年都是同相同的員工執(zhí)行此測試由于所有的參與者都很熟悉每一個恢復步驟,因而沒有使用災難毆打推薦計劃(DRP)文檔[單選題]123.目前,信息系統(tǒng)面臨外部攻擊者的惡意攻擊威脅,從威脅能力和掌握資源分,這些威脅可以按照個人威脅、組織威脅和國家威脅三個層面劃分,則下面選項中屬于組織威脅的是()。A)喜歡惡作劇、實現(xiàn)自我挑戰(zhàn)的娛樂型黑客B)鞏固戰(zhàn)略優(yōu)勢,執(zhí)行軍事任務、進行目標破壞的信息作戰(zhàn)部隊C)實施犯罪、獲取非法經濟利益網絡犯罪團伙D)搜集政治、軍事、經濟等情報信息的情報機構[單選題]124.如果交換機的vty線路配置有transportinputssh命令，則在該交換機上輸入cryptokeyzeroizersa命令后會發(fā)生什么情況A)會創(chuàng)建一個新的RSA密鑰對B)交換機默認為僅允許Telnet連接C)交換機不再能作為SSH客戶端進行SSH連接D)交換機僅在生成新的RSA密鑰對后允許遠程連接[單選題]125.自2004年1月起,國內各有關部門在申報信息安全國家標準計劃項目時,必須經由以下哪個組織提出工作意見,協(xié)調一致后由該組織申報。A)全國通信標準化技術委員會(TC485)B)全國信息安全標準化技術委員會(TC260)C)中國通信標準化協(xié)會(CCSA)D)網絡與信息安全技術工作委員會[單選題]126.以下關于PGP:PrettyGoodPrivacy軟件敘述錯誤的是A)PGP可以實現(xiàn)對郵件的加密、簽名和認證B)PGP可以實現(xiàn)數(shù)據壓縮C)PGP可以對郵件進行分段和重組D)PGP采用SHA算法加密郵件[單選題]127.入侵檢測系統(tǒng)(IntrusionDetectionSysytem,IDS)是用于發(fā)現(xiàn)并報告系統(tǒng)中未授權或違反安全策略行為的設備。在入侵檢測中有這樣一種方法,任何的正常行為都是有一定的規(guī)律的并且可以通過分析這些行為產生的日志信息(假定日志信息足夠安全)總結出這些規(guī)律。而入侵和濫用行為則通常和正常的行為存在嚴重的差異,通過檢查這些差異就可以檢測這些入侵,請問該入侵檢測方法為()A)基于異常的入侵檢測B)基于誤用的入侵檢測C)基于自治代理技術D)自適應模型生成特性的入侵檢測[單選題]128.提高Apache系統(tǒng)(ApacheHTTPServer)系統(tǒng)安全性時，下面哪項措施不屬于安全配置()?A)不在Windows下安裝Apache，只在Linux和Unix下安裝B)安裝Apache時，只安裝需要的組件模塊C)不使用操作系統(tǒng)管理員用戶身份運行Apache，而是采用權限受限的專用用戶賬號來運行D)積極了解Apache的安全通告，并及時下載和更新[單選題]129.以下哪種做法是正確的?職責分離?做法?A)程序員不允許訪問產品數(shù)據文件B)程序員可以使用系統(tǒng)控制臺C)控制臺操作員可以操作磁帶和硬盤D)磁帶操作員可以使用系統(tǒng)控制臺[單選題]130.具有行政法律責任強制力的安全管理規(guī)定和安全制度包括()(1)安全事件(包括安全事故)報告制度(2)安全等級保護制度(3)信息系統(tǒng)安全監(jiān)控(4)安全專用產品銷售許可證制度A)2,3B)1,2,3C)2,3,4D)1,2,4[單選題]131.以下算法中屬于非對稱算法的是A)DESB)RSA算法C)IDEAD)三重DES[單選題]132.信息系統(tǒng)安全保障評估概念和關系如圖所示。信息系統(tǒng)安全保障評估，就是在信息系統(tǒng)所處的運行環(huán)境中對信息系統(tǒng)安全保障的具體工作和活動進行客觀的評估。通過信息系統(tǒng)安全保障評估所搜集的（），向信息系統(tǒng)的所有相關方提供信息系統(tǒng)的（）能夠實現(xiàn)其安全保障策略，能夠將其所面臨的風險降低到其可接受的程度的主觀信心。信息系統(tǒng)安全保障評估的評估對象是（），信息系統(tǒng)不僅包含了僅討論技術的信息技術系統(tǒng)，還包括同信息系統(tǒng)所處的運行環(huán)境相關的人和管理等領域。信息系統(tǒng)安全保障是一個動態(tài)持續(xù)的過程，涉及信息系統(tǒng)整個（），因此信息系統(tǒng)安全保障的評估也應該提供一種（）的信心。=DISPIMG("ID_BD17633C0AF44F9EAD93C376458D35A7",1)A)安全保障工作：客觀證據；信息系統(tǒng)；生命周期；動態(tài)持續(xù)B)客觀證據；安全保障工作；信息系統(tǒng)；生命周期；動態(tài)持續(xù)C)客觀證據；安全保障工作；生命周期；信息系統(tǒng)；動態(tài)持續(xù)D)客觀證據；安全保障工作；動態(tài)持續(xù)；信息系統(tǒng)；生命周期[單選題]133.在Linux操作系統(tǒng)中,為了授權用戶具有管理員的某些個性需求的權限所采取的措施是什么?A)告訴其他用戶root密碼B)將普通用戶加入到管理員組C)使用visuDo命令授權用戶的個性需求D)創(chuàng)建單獨的虛擬賬戶[單選題]134.以下哪些問、或概念不是公鑰密碼體制中經常使用到的困難問、?（）A)大整數(shù)分解B)離散對數(shù)問、C)背包問、D)偽隨機數(shù)發(fā)生器[單選題]135.下列對于信息安全保障深度防御模型的說法錯誤的是:A)信息安全外部環(huán)境:信息安全保障是組織機構安全、國家安全的一個重要組成部分,因此對信息安全的討論必須放在國家政策、法律法規(guī)和標準的外部環(huán)境制約下。B)信息安全管理和工程:信息安全保障需要在整個組織機構內建立和完善信息安全管理體系,將信息安全管理綜合至信息系統(tǒng)的整個生命周期,在這個過程中,我們需要采用信息系統(tǒng)工程的方法來建設信息系統(tǒng)。C)信息安全人才體系:在組織機構中應建立完善的安全意識,培訓體系也是信息安全保障的重要組成部分。D)信息安全技術方案:?從外而內、自下而上、形成邊界到端的防護能力?。[單選題]136.44.某商貿公司信息安全管理員考慮到信息系統(tǒng)對業(yè)務影響越來越重要，計劃編制本單位信息安全應急響應預案，在向主管領導寫報告時，他列舉了編制信息安全應急響應預案的好處和重要性，在他羅列的四條理由中，其中不適合作為理由的一條是()A)應急預案是明確關鍵業(yè)務系統(tǒng)信息安全應急響應指揮體系和工作機制的重要方式B)應急預案是提高應對網絡和信息系統(tǒng)突發(fā)事件能力，減少突發(fā)事件造成的損失和危害，保障信息系統(tǒng)運行平穩(wěn)、安全、有序、高效的手段C)編制應急預案是國家網絡安全法對所有單位的強制要求，因此必須建設D)應急預案是保障單位業(yè)務系統(tǒng)信息安全的重要措施[單選題]137.以下哪項不是信息系統(tǒng)集成項目的特點:()A)信息系統(tǒng)集成成項止要以滿足客戶和用戶的需求的根本出發(fā)點B)系統(tǒng)集成就是選擇最好的產品和技術,開發(fā)相應的軟件和硬件,獎其集成到信息系統(tǒng)的過程C)信息系統(tǒng)集成項目的指導方法:總體規(guī)劃,分步實施D)信息系統(tǒng)集成包含技術,管理和商務等方面,是一項綜合性質的系統(tǒng)工程[單選題]138.根據《信息安全等級保護管理辦法》、《關于開展信息安全等級保護測評體系建設試點工作的通知》(公信安[2009]812號)、關于推動信息安全等級保護()建設和開展()工作的通知(公信安[2010]303號)等文件,由公安部()對等級保護測評機構管理,接受測評機構的申請、考核和定期(),對不具備能力的測評機構則()。A)測評體系;等級測評;等級保護評估中心;能力驗證;取消授權B)等級測評;測評體系;等級保護評估中心;能力驗證;取消授權C)測評體系;等級保護評估中心;能力驗證;等級測評;取消授權D)測評體系;等級保護評估中心;等級測評;能力驗證;取消授權[單選題]139.CC標準是目前系統(tǒng)安全認證方面最權威的標準,以下哪一項沒有體現(xiàn)CC標準的先進性().A)實用性,將CC的安全性要求具體應用到IT產品的開發(fā)、生產、測試和評估過程中B)結構的開放性,即功能和保證要求都可以在具體的?保護輪廓?和?安全目標?中進一步細化和擴展C)表達方式的通用性,即給出通用的表達方式D)獨立性,它強調將安全的功能和保證分離[單選題]140.下列哪一項最好地支持了24/7可用性?A)日常備份B)離線存儲C)鏡像D)定期測試[單選題]141.網絡服務包括()、私有網絡服務、增值網絡和受控的網絡安全解決方案,例如防火墻和入侵檢測系統(tǒng)。這些服務既包括簡單的未受控的帶寬也包括復雜的()。組織宜識別特殊服務的安全安排,例如()、服務級別和管理要求。網絡服務提供商以安全方式管理商定服務的能力宜予以確定并(),還宜商定()。組織宜確保網絡服務提供商實施了這些措施。A)接入服務;定期監(jiān)視;增值的提供;安全特性;審核的權利B)接入服務;安全特性;增值的提供;定期監(jiān)視:審核的權利C)增值的提供;接入服務;安全特性:定期監(jiān)視:審核的權利D)接入服務;增值的提供;安全特性;定期監(jiān)視;審核的權利[單選題]142.某信息安全公司的團隊對某款名為?紅包快搶"的外掛進行分析發(fā)現(xiàn)此外掛是一個典型的木馬后門，使黑客能夠獲得受害者電腦的訪問權，該后門程序為了達到長期駐留在受害者的計算機中，通過修改注冊表啟動項來達到后門程序隨受害者計算機系統(tǒng)啟動而啟動為防范此類木馬的攻擊，以下做法無用的是()A)不下載、不執(zhí)行、不接收來歷不明的軟件和文件B)修改用戶名和口令C)不隨意打開來歷不明的郵件，不瀏覽不健康不正規(guī)的網站D)安裝反病毒軟件和防火墻，安裝專門的木馬防范軟件[單選題]143.網絡與信息安全應急預案是在分析網絡與信息系統(tǒng)突發(fā)事件后果和應急能力的基礎上,針對可能發(fā)生的重大網絡與信息系統(tǒng)突發(fā)事件,預先制定的行動計劃或應急對策。應急預案的實施需要各子系統(tǒng)相互與協(xié)調,下面應急響應工作流程圖中,空白方框中從右到左依次填入的是()。class="fr-ficfr-dibcursor-hover"A)應急響應專家小組、應急響應技術保障小組、應急響應實施小組、應急響應日常運行小組;B)應急響應專家小組、應急響應實施小組、應急響應技術保障小組、應急響應日常運行小組;C)應急響應技術保障小組、應急響應專家小組、應急響應實施小組、應急響應日常運行小組;D)應急響應技術保障小組、應急響應專家小組、應急響應日常運行小組、應急響應實施小組;[單選題]144.在國家標準GB／T20274.1-2006《信息安全技術信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型》中，信息系統(tǒng)安全保障模型包含哪幾個方面？（）A)保障要素、生命周期和運行維護B)保障要素、生命周期和安全特征C)規(guī)劃組織、生命周期和安全特征D)規(guī)劃組織、生命周期和運行維護[單選題]145.《網絡安全法》共計(),(),主要內容包括:網絡空間主權原則、網絡運行安全制度、()、網絡信息保護制度、()、等級保護制度、()等。A)9章;49條;關鍵信息基礎設施保護制度;應急和監(jiān)測預警制度;網絡安全審查制度B)8章;79條;關鍵信息基礎設施保護制度;應急和監(jiān)測預警制度;網絡安全審查制度C)8章;49條;關鍵信息基礎設施保護制度;應急和監(jiān)測預警制度;網絡安全審查制度D)7章:79條;關鍵信息基礎設施保護制度:應急和監(jiān)測預騎制度,網絡安全審查制度[單選題]146.為增強Web應用程序的安全性，某軟件開發(fā)經理決定加強Web軟件安全開發(fā)培訓，下面哪項內容不在考慮范圍內A)關于網站身份鑒別技術方面安全知識的培訓B)針對OpenSSL心臟出血漏洞方面安全知識的培訓C)針對SQL注入漏洞的安全編程培訓D)關于ARM系統(tǒng)漏洞挖掘方面安全知識的培訓[單選題]147.沒有自拍，也沒有視頻聊天，但電腦攝像頭的燈總是亮著，這是什么原因（）A)可能中了木馬，正在被黑客偷窺B)電腦壞了C)本來就該亮著D)攝像頭壞了[單選題]148.以下對單點登錄技術描述不正確的是:()。A)單點登錄技術實質是安全憑證在多個用戶之間的傳遞或共享B)使用單點登錄技術用戶只需在登錄時進行一次注冊,就可以訪問多個應用C)單點登錄不僅方便用戶使用,而且也便于管理D)使用單點登錄技術能簡化應用系統(tǒng)的開發(fā)[單選題]149.小李在使用web掃描器對目標網絡進行掃描時發(fā)現(xiàn)，某一個主機開放了25和110端口，此主機最有可能是什么？A)文件服務器B)郵件服務器C)WEB服務器D)DNS服務器[單選題]150.風險，在GB/T22081中定義為事態(tài)的概率及其結果的組合。風險的目標可能有很多不同的方面，如財務目標、健康和人身安全目標，信息安全目標和環(huán)境目標等目標也可能有不同的級別，如戰(zhàn)略目標、組織目標、項目目標、產品目標和過程目標等．ISO/IEC13335-1中揭示了風險各要素關系模型，如圖所示。請結合此圖，怎么才能降低風險對組織產生的影響？A)組織應該根據風險建立響應的保護要求，通過構架防護措施降低風險對組織產生的影響B(tài))加強防護措施，降低風險C)減少威脅和脆弱點降低風險D)減少資產降低風險[單選題]151.（）第二十條規(guī)定存儲、處理國家秘密的計算機信息系統(tǒng)（以下簡稱涉密信息系統(tǒng)）按照（）實行分級保護，（）應當按照國家保密標準配備保密設施、設備、（）設備應當與涉密信息系統(tǒng)同步規(guī)劃、同步建設、同步運行(三同步），涉密信息系統(tǒng)應當按照規(guī)定，經（）后，方可投入使用。A)《保密法》；涉密程度；涉密信息系統(tǒng)保密設施；檢查合格B)《國家保密法》；涉密程度；涉密系統(tǒng)；保密設施；檢查合格C)《國家保密法》；涉密程度；涉密系統(tǒng)；保密設施；檢查合格D)《安全保密法》；涉密程度；涉密信息系統(tǒng)；保密設施；檢查合格[單選題]152.依據國家GB/T20274《信息系統(tǒng)安全保障評估框架》，信息系統(tǒng)安全目標(ISST)中，安全保障目的指的是：A)信息系統(tǒng)安全保障目的B)環(huán)境安全保障目的C)信息系統(tǒng)安全保障目的和環(huán)境安全保障目的D)信息系統(tǒng)整體安全保障目的、管理安全保障目的、技術安全保障目的和工程安全保障目的[單選題]153.DSA（數(shù)字簽名算法）不提供以下哪種服務?A)數(shù)據完整性B)加密C)數(shù)字簽名D)認證[單選題]154.77.下列選項中，哪個不是我國信息安全保障工作的主要內容：A)A．加強信息安全標準化工作，積極采用?等同采用、修改采用、制定?等多種方式，盡快建立標準體系B)B．建立國家信息安全研究中心，加快建立國家急需的信息安全技術體系，實現(xiàn)國家信息安全自主可控目標C)C．建設和完善信息安全基礎設施，提供國家信息安全保障能力支撐D)D．加快信息安全學科建設和信息安全人才培養(yǎng)[單選題]155.當一個HTTPS站點的證書存在問題時，瀏覽器就會出現(xiàn)警告信息已提醒瀏覽者注意，下列描述中哪一條不是導致出現(xiàn)提示的必然原因？A)瀏覽器找不到對應的證書頒發(fā)機構B)證書過期C)證書的CN與實際站點不符D)證書沒有被瀏覽器信任[單選題]156.以下哪個問題不是導致DNS欺騙的原因之一？A)DNS是一個分布式的系統(tǒng)B)為提高效率，DNS查詢信息在系統(tǒng)中會緩存C)DNS協(xié)議傳輸沒有經過加密的數(shù)據D)DNS協(xié)議是缺乏嚴格的認證[單選題]157.關于《網絡安全法》域外適用效力的理解,以下哪項是錯誤的()A)對于來自境外的違法信息我國可以加以阻斷傳播B)對于來自境外的網絡安全威脅我國可以組織技術力量進行監(jiān)測、防御和處置C)對于來自境外的網絡攻擊我國可以追究其法律責任D)當前對于境外的網絡攻擊,我國只能通過向來源國采取抗議[單選題]158.65.應急響應時信息安全事件管理的重要內容之一。關于應急響應工作，下面描述錯誤的是（）A)信息安全應急響應，通常是指一個組織為了應對各種安全意外事件的發(fā)生所采取的防范措施，既包括預防性措施，也包括事業(yè)發(fā)生后的應對措施B)應急響應工作有其鮮明的特點：具體高技術復雜性與專業(yè)性、強突發(fā)性、對知識經驗的高依賴性，以及需要廣泛的協(xié)調與合作C)應急響應時組織在處置應對突發(fā)/重大信息安全事件時的工作，其主要包括兩部分工作：安全事件發(fā)生時正確指揮、事件發(fā)生后全面總結D)應急響應工作的起源和相關機構的成立和1988年11月發(fā)生的莫里斯蠕蟲病毒事件有關，基于該事件，人們更加重視安全事件的應急處理和整體協(xié)調的重要性[單選題]159.以下哪些不是應該識別的信息資產?A)網絡設備B)客戶資料C)辦公桌椅D)系統(tǒng)管理員[單選題]160.風險管理各要素關系如圖所示。由此圖得出，使命依賴于資產去完成。（）擁有價值，（）的程度越高，單位的使命越重要，對資產的依賴度越高，資產的價值則就越大。資產的價值越大則風險越大。風險是由威脅引發(fā)，威脅越大則風險越大，并可能演變成（）。A)資產；時間；信息化B)信息化；資產；事件C)資產；信息化；事件D)事件；資產；信息化[單選題]161.計劃是組織根據環(huán)境的需要和自身的特點，確定組織在一定時期內的目標，并通過計劃的編制、執(zhí)行、和監(jiān)督來協(xié)調，組織各類資源以順利達到預期目標的過程。計劃編制的步驟流程如下圖所示，則空白方框處應該填寫的步驟為（）A)估計潛在的災難事件、選擇計劃策略B)估計潛在的災難事件、制定計劃策略C)選擇計劃策略、估計潛在的災難事件D)制定計劃策略、估計潛在的災難事件[單選題]162.隨著互聯(lián)網的迅猛發(fā)展、WEB信息的增加,用戶要在信息海洋里查找自己所需的信息,就像大海撈針一樣,搜索引擎技術恰好解決了這一難題,以下關于搜索引擎技術特點的描述中錯誤的是()A)搜索引擎以一定的策略在Web系統(tǒng)中搜索和發(fā)現(xiàn)信息B)搜索引擎可以分為目錄導航式與網頁索引式C)搜索器在Internet上逐個訪問Web站點。并建立一個網站的關鍵字列表索引器,功能是理解搜索器獲取的向用戶顯示查詢結果D)索引器功能是理解搜索器獲取的信息,向用戶顯示查詢結果[單選題]163.下面信息安全漏洞理解錯誤的是:A)討論漏洞應該從生命周期的角度出發(fā),信息產品和信息系統(tǒng)在需求、設計、實現(xiàn)、配置、維護和使用等階段中均有可能產生漏洞B)信息安全漏洞是由于信息產品和信息系統(tǒng)在需求、設計、開發(fā)、部署或維護階段,由于設計、開發(fā)等相關人員無意中產生的缺陷所造成的C)信息安全漏洞如果被惡意攻擊者成功利用,可能會給信息產品和信息系統(tǒng)帶來安全損害,甚至帶來很大的經濟損失D)由于人類思維能力、計算機計算能力的局限性等因素,所以在信息產品和信息系統(tǒng)中產生新的漏洞是不可避免的[單選題]164.474.若一個組織聲稱自己的ISMS符合ISO/IEC27001或GB/T22080標準要求，其信息安全措施通常需要在資產管理方面實施常規(guī)控制，資產管理包含對資產負責和信息分類兩個控制目標。信息分類控制的目標是為了確保信息受到適當級別的保護，通常采取以下哪項控制措施（）A)資產清單B)資產責任人C)資產的可接受使用D)分類指南、信息的標記和處理[單選題]165.關于信息內網網絡邊界安全防護說法不準確的一項是____。A)要按照公司總體防護方案要求進行B)應加強信息內網網絡橫向邊界的安全防護C)縱向邊界的網絡訪問可以不進行控制D)網絡，是指由計算機或者其他信息終端及相關設備組成的按照一定的規(guī)則和程序對信息進行收集、存儲、傳輸、交換、處理的系統(tǒng)[單選題]166.命令注入的危害不包括下列哪項？A)獲取服務器信息B)構造一句話木馬C)盜取當前用戶C.OOKIED)更改網站主頁[單選題]167.在信息系統(tǒng)安全中,風險由以下哪兩種因素共同構成的?A)攻擊和脆弱性B)威脅和攻擊C)威脅和脆弱性D)威脅和破壞[單選題]168.容災項目實施過程的分析階段，需要進行____。A)A災難分析B)B業(yè)務環(huán)境分析C)C當前業(yè)務狀況分析D)D以上均正確[單選題]169.Windows操作系統(tǒng)中可顯示或修改任意訪問控制列表的命令是()A)ipconf