信息安全師考試（強化練習）1、單選

在BS779-2：2002版中，下列對P-D-C-A過程的描述錯誤的是？（）A.P代表PLAN，即建立ISMS環境&風險評估B.D代表DO，即實現并運行ISMSC（江南博哥）.C代表CHECK，即監控和審查ISMSD.A代表ACT，即執行ISMS正確答案：D2、單選

下面對于強制訪問控制的說法錯誤的是？（）A.它可以用來實現完整性保護，也可以用來實現機密性保護B.在強制訪問控制的系統中，用戶只能定義客體的安全屬性C.它在軍方和政府等安全要求很高的地方應用較多D.它的缺點是使用中的便利性比較低正確答案：B3、單選

在一個局域網的環境中，其內在的安全威脅包括主動威脅和被動威脅。以下哪一項屬于被動威脅？（）A.報文服務拒絕B.假冒C.數據流分析D.報文服務更改正確答案：C4、單選

下列幾個OSI層中，哪一層能夠提供訪問控制服務？（）A.傳輸層B.表示層C.會話層D.數據鏈路層正確答案：A5、單選

在實施風險分析期間，識別出威脅和潛在影響后應該（）A.識別和評定管理層使用的風險評估方法B.識別信息資產和基本系統C.揭示對管理的威脅和影響D.識別和評價現有控制正確答案：D6、填空題

（）是密碼學發展史上唯一一次真正的革命。正確答案：公鑰密碼體制7、填空題

互聯網安全管理法律法規的適用范圍是（）、提供互聯網數據中心服務的單位和聯網使用單位。正確答案：互聯網服務提供者8、多選

下列符合我國網絡輿論特點的是（）。A、參與主體的廣泛化與復雜化B、互動參與性C、時效性D、監督性正確答案：A,B,C,D9、單選

數字證書在InternationalTelecommunicationsUnion（ITU）的哪個標準中定義的？（）A.X.400B.X.25C.X.12D.X.509正確答案：D10、單選

信息的存在及傳播方式（）A.存在于計算機、磁帶、紙張等介質中B.記憶在人的大腦里C.通過網絡打印機復印機等方式進行傳播D.通過投影儀顯示正確答案：D11、單選

下面選項中不屬于數據庫安全模型的是：（）A.自主型安全模型B.強制型安全模型C.基于角色的模型D.訪問控制矩陣正確答案：C12、單選

下列哪種方法能夠滿足雙因子認證的需求？（）A.智能卡和用戶PINB.用戶ID與密碼C.虹膜掃描和指紋掃描D.用戶名和PIN正確答案：A13、單選

CC中的評估保證級4級（EAL3）對應TCSEC和ITSEC的哪個級別？（）A."對應TCSECB1級，對應ITSECE4級"B."對應TCSECC2級，對應ITSECE4級"C."對應TCSECB1級，對應ITSECE3級"D."對應TCSECC2級，對應ITSECE2級"正確答案：D14、單選

構成風險的關鍵因素有哪些？（）A.人，財，物B.技術，管理和操作C.資產，威脅和弱點D.資產，可能性和嚴重性正確答案：C15、單選

非對稱密碼算法具有很多優點，其中不包括：（）A.可提供數字簽名、零知識證明等額外服務B.加密/解密速度快，不需占用較多資源C.通信雙方事先不需要通過保密信道交換密鑰D.密鑰持有量大大減少正確答案：B16、單選

在Windows操作系統下，由于（）端口探測沒有限制，能夠讓別人探測到一些數據庫信息，因此IPSec過濾拒絕掉該端口的UDP通信，可以盡可能地隱藏你的SQLServer。A、1434B、1433C、3305D、3306正確答案：A17、單選

（）WindowsNT/XP的安全性達到了橘皮書的第幾級？A.C1級B.B、C2級C.C、B1級D.D、B2級正確答案：B18、單選

如果數據中心發生災難，下列那一項完整恢復一個關鍵數據庫的策略是最適合的？（）A.每日備份到磁帶并存儲到異地B.實時復制到異地C.硬盤鏡像到本地服務器D.實時數據備份到本地網格存儲正確答案：B19、單選

（）關于組策略的描述哪些是錯誤的？A、首先應用的是本地組策略B、除非沖突，組策略的應用應該是累積的C、如果存在沖突，最先應用的組策略將獲勝D、策略在策略容器上的順序決定應用的順序正確答案：C20、判斷題

網絡道德問題產生的客觀原因是網絡社會的社會背景。正確答案：對21、單選

在數據鏈路層中MAC子層主要實現的功能是（）A.介質訪問控制B.物理地址識別C.通信協議產生D.數據編碼正確答案：A22、單選

當選擇的控制措施成本高于風險帶來的損失時，應考慮（）A.降低風險B.轉移風險C.避免風險D.接受風險正確答案：D23、單選

在對Linux系統中dir目錄及其子目錄進行權限權限統一調整時所使用的命令是什么？（）A.rm-fr-755/dirB.ls-755/dirC.chmod755/dir/*D.chmod-R755/dir正確答案：D24、單選

哪一項不是管理層承諾完成的？（）A.確定組織的總體安全目標B.購買性能良好的信息安全產品C.推動安全意識教育D.評審安全策略的有效性正確答案：B25、單選

從業務角度出發，最大的風險可能發生在那個階段（）A.立項可行性分析階段B.系統需求分析階段C.架構設計和編碼階段D.投產上線階段正確答案：A26、單選

關于SSE-CMM的描述錯誤的是：（）A.1993年4月美國國家安全局資助，有安全工業界、美國國防部辦公室和加拿大通信安全機構共同組成SSE-CMM項目組。B.SSE-CMM的能力級別分為6個級別。C.SSE-CMM將安全工程過程劃分為三類：風險、工程和保證。D.SSE的最高能力級別是量化控制。正確答案：D27、單選

下列哪項不是信息系統安全工程能力成熟度模型（SSE-CMM）的主要過程：（）A.風險過程B.保證過程C.工程過程D.評估過程正確答案：D28、判斷題

減速器的潤滑方式，一般都采用油池潤滑。（）正確答案：對29、單選

為了預防邏輯炸彈，項目經理采取的最有效的措施應該是（）A.對每日提交的新代碼進行人工審計B.代碼安全掃描C.安全意識教育D.安全編碼培訓教育正確答案：A30、單選

依據信息系統安全保障模型，以下那個不是安全保證對象（）A.機密性B.管理C.過程D.人員正確答案：A31、單選

內部審計部門，從組織結構上向財務總監而不是審計委員會報告，最有可能：（）A.導致對其審計獨立性的質疑B.報告較多業務細節和相關發現C.加強了審計建議的執行D.在建議中采取更對有效行動正確答案：A32、單選

下列哪一種行為通常不是在信息系統生存周期中的運行維護階段中發生的？（）A.進行系統備份B.管理加密密鑰C.認可安全控制措施D.升級安全軟件正確答案：C33、單選

DNS查詢（queries）工具中的DNS服務使用哪個端口？（）A.UDP53B.TCP23C.UDP23D.TCP53正確答案：A34、單選

程序設計和編碼的問題引入的風險為：（）A."網絡釣魚"B."緩沖區溢出"C."SYN攻擊"D.暴力破解正確答案：B35、單選

下面哪一種物理訪問控制能夠對非授權訪問提供最高級別的安全？（）A.bolting門鎖B.Cipher密碼鎖C.電子門鎖D.指紋掃描器正確答案：D36、單選

以下哪些不是無形資產（）A.客戶關系B.電子數據C.商業信譽D.企業品牌正確答案：B37、單選

審核在實施審核時，所使用的檢查表不包括的內容有？（）A.審核依據B.審核證據記錄C.審核發現D.數據收集方法和工具正確答案：C38、單選

根據SSE-CMM以下哪一項不是在安全工程過程中實施安全控制時需要做的？（）A.獲得用戶對安全需求的理解B.建立安全控制的職責C.管理安全控制的配置D.進行針對安全控制的教育培訓正確答案：A39、單選

下列對于基于角色的訪問控制模型的說法錯誤的是？（）A.它將若干特定的用戶集合與權限聯系在一起B.角色一般可以按照部門、崗位、工種等與實際業務緊密相關的類別來劃分C.因為角色的變動往往遠遠低于個體的變動，所以基于角色的訪問控制維護起來比較便利D.對于數據庫系統的適應性不強，是其在實際使用中的主要弱點正確答案：D40、填空題

APT攻擊是一種“（）”的攻擊。正確答案：惡意商業間諜威脅41、單選

拒絕式服務攻擊會影響信息系統的哪個特性？（）A.完整性B.可用性C.機密性D.可控性正確答案：B42、單選

以下不是信息資產是哪一項？（）A.服務器B.機房空調C.鼠標墊D.U盤正確答案：C43、單選

可信計算機安全評估準則（TCSEC）與什么有關：（）A.桔皮書B.ISO15408C.RFC1700D.BS7799正確答案：A44、單選

2011年，（）成為全球年度獲得專利最多的公司。A、百度B、微軟C、蘋果D、谷歌正確答案：D45、單選

ISMS的內部審核員（非審核組長）的責任不包括？（）A.熟悉必要的文件和程序；B.根據要求編制檢查列表；C.配合支持審核組長的工作，有效完成審核任務；D.負責實施整改內審中發現的問題正確答案：D46、判斷題

兩種經濟形態并存的局面將成為未來世界競爭的主要格局。正確答案：對47、單選

ISO27004是指以下哪個標準（）A.《信息安全管理體系要求》B.《信息安全管理實用規則》C.《信息安全管理度量》D.《ISMS實施指南》正確答案：C48、單選

廣義的網絡信息保密性是指（）A、利用密碼技術對信息進行加密處理，以防止信息泄漏和保護信息不為非授權用戶掌握B、保證數據在傳輸、存儲等過程中不被非法修改C、對數據的截獲、篡改采取完整性標識的生成與檢驗技術D、保守國家機密，或是未經信息擁有者的許可，不得非法泄漏該保密信息給非授權人員正確答案：A49、問答題

密碼的研究、生產、銷售時哪個部門負責的？正確答案：商用密碼技術屬于國家秘密；國家密碼管理機構主管全國的商用密碼管理工作。50、單選

作為信息安全治理的成果，戰略方針提供了：（）A.企業所需的安全要求B.遵從最佳實務的安全基準C.日常化制度化的解決方案D.風險暴露的理解正確答案：A51、多選

網絡安全審計系統一般包括（）。A.網絡探測引擎B.數據管理中心C.審計中心D.聲光報警系統正確答案：A,B,C52、單選

下列崗位哪個在招聘前最需要進行背景調查？（）A.采購人員B.銷售人員C.財務總監D.行政人員正確答案：C53、單選

計算機安全事故發生時，下列哪些人不被通知或者最后才被通知：（）A.系統管理員B.律師C.恢復協調員D.硬件和軟件廠商正確答案：B54、單選

下列哪一項是DOS攻擊的一個實例？（）A.SQL注入B.IPSpoofC.Smurf攻擊D.字典破解正確答案：C55、單選

組織回顧信息系統災難恢復計劃時應：（）A.每半年演練一次B.周期性回顧并更新C.經首席執行官（CEO）認可D.與組織的所有部門負責人溝通正確答案：B56、填空題

涉密信息系統的建設使用單位應對系統設計方案進行審查論證，保密行政管理部門應參與方案審查論證，在（）方面加強指導。正確答案：系統總體安全保密性57、單選

在執行風險分析的時候，預期年度損失（ALE）的計算是：（）A.全部損失乘以發生頻率B.全部損失費用+實際替代費用C.單次預期損失乘以發生頻率D.資產價值乘以發生頻率正確答案：C58、單選

恢復階段的行動一般包括（）A.建立臨時業務處理能力B.修復原系統損害C.在原系統或新設施中恢復運行業務能力D.避免造成更大損失正確答案：D59、單選

TCP/IP的通信過程是？（）A.——SYN/ACK——>，<——ACK，——SYN/ACK——>B.——SYN/ACK——>，<——SYN/ACK——，——ACK——>C.——SYN——>，<——ACK，——SYN——>，<——ACK——D.——SYN——>，<——SYN/ACK——，——ACK——>正確答案：D60、單選

ISMS審核時，首次會議的目的不包括以下哪個？（）A.明確審核目的、審核準則和審核范圍B.明確審核員的分工C.明確接受審核方責任，為配合審核提供必要資源和授權D.明確審核進度和審核方法，且在整個審核過程中不可調整正確答案：D61、單選

在一個使用ChineseWall模型建立訪問控制的信息系統中，數據W和數據X在一個興趣沖突域中，數據Y和數據Z在另一個興趣沖突域中，那么可以確定一個新注冊的用戶：（）A.只有訪問了W之后，才可以訪問XB.只有訪問了W之后，才可以訪問Y和Z中的一個C.無論是否訪問W，都只能訪問Y和Z中的一個D.無論是否訪問W，都不能訪問Y或Z正確答案：C62、單選

測試人員與開發人員交互測試發現的過程中，開發人員最關注的什么？（）A.bug的數量B.bug的嚴重程度C.bug的復現過程D.bug修復的可行性正確答案：C63、單選

通常情況下，怎樣計算風險？（）A.將威脅可能性等級乘以威脅影響就得出了風險。B.將威脅可能性等級加上威脅影響就得出了風險。C.用威脅影響除以威脅的發生概率就得出了風險。D.用威脅概率作為指數對威脅影響進行乘方運算就得出了風險。正確答案：A64、單選

以下對信息安全問題產生的根源描述最準確的是：（）A.信息安全問題是由于信息技術的不斷發展造成的B.信息安全問題是由于黑客組織和犯罪集團追求名和利造成的C.信息安全問題是由于信息系統的設計和開發過程中的疏忽造成的D.信息安全問題產生的內因是信息系統的復雜性，外因是對手的威脅與破壞正確答案：D65、單選

在邏輯訪問控制中如果用戶賬戶被共享，這種局面可能造成的最大風險是：（）A.非授權用戶可以使用ID擅自進入B.用戶訪問管理費時C.很容易猜測密碼D.無法確定用戶責任正確答案：D66、單選

Apache服務器對目錄的默認訪問控制是什么？（）A.“Deny”from“All”B.OrderDeny，“All”C.OrderDeny，AllowD.“Allow”from“All”正確答案：A67、單選

（）關于Windows2000中的身份驗證過程，下面哪種說法是錯誤的？A、如果用戶登錄一個域，則Windows2000將把這些登錄信息轉交給域控制器處理。B、如果用戶登錄本機，則Windows2000將把這些登錄信息轉交給域控制器處理。C、如果用戶登錄一個域，則Windows2000利用域控制器含有的目錄副本，驗證用戶的登錄信息。D、如果用戶登錄本機，則Windows2000利用本機的安全子系統含有的本機安全數據庫，驗證用戶的登錄信息。正確答案：B68、單選

以下哪一個關于信息安全評估的標準首先明確提出了保密性、完整性和可用性三項信息安全特性（）A.ITSECB.TCSECC.GB/T9387.2D.彩虹系列的橙皮書正確答案：A69、單選

以下哪項行為可能使用嗅探泄露系統的管理員密碼？（）A.使用root用戶訪問FTP程序B.使用root用戶連接SSH服務C.使用root進行SCP文件傳輸D.在本地使用root用戶登錄正確答案：A70、單選

以下哪一個協議是用于電子郵件系統的？（）A.X.25B.X.75C.X.400D.X.500正確答案：C71、單選

在數據中心使用穩壓電源，以保證：（）A.硬件免受電源浪涌B.主電源被破壞后的完整性維護C.主電源失效后可以立即使用D.針對長期電力波動的硬件包含正確答案：A72、單選

系統上線前應當對系統安全配置進行檢查，不包括下列哪種安全檢查（）A.主機操作系統安全配置檢查B.網絡設備安全配置檢查C.系統軟件安全漏洞檢查D.數據庫安全配置檢查正確答案：C73、單選

當更新一個正在運行的在線訂購系統時，更新都記錄在一個交易磁帶和交易日志副本。在一天業務結束后，訂單文件備份在磁帶上。在備份過程中，驅動器故障和訂單文件丟失。以下哪項對于恢復文件是必須的？（）A.前一天的備份文件和當前的交易磁帶B.前一天的交易文件和當前的交易磁帶C.當前的交易磁帶和當前的交易日志副本D.當前的交易日志副本和前一天的交易交易文件正確答案：A74、單選

組織機構應根據事故類型建立揭制策略，需要考慮以下幾個因素，除了：（）A、實施策略需要的時間和資源B、攻擊者的動機C、服務可用性D、證據保留的時間正確答案：D75、單選

以下哪一項是已經被確認了的具有一定合理性的風險？（）A.總風險B.最小化風險C.可接受風險D.殘余風險正確答案：C76、單選

下列角色誰應該承擔決定信息系統資源所需的保護級別的主要責任？（）A.信息系統安全專家B.業務主管C.安全主管D.系統審查員正確答案：B77、單選

在自主訪問環境中，以下哪個實體可以將信息訪問權授予給其他人？（）A.經理B.集團負責人C.安全經理D.數據所有者正確答案：D78、單選

有關人員安全的描述不正確的是（）A.人員的安全管理是企業信息安全管理活動中最難的環節B.重要或敏感崗位的人員入職之前，需要做好人員的背景檢查C.企業人員預算受限的情況下，職責分離難以實施，企業對此無能為力，也無需做任何工作D.人員離職之后，必須清除離職員工所有的邏輯訪問帳號正確答案：C79、單選

（）除了哪種特性之外，其他安全特性在Windows2000種都可以通過系統本身的工具來進行設置和控制？A、物理安全性B、用戶安全性C、文件安全性D、入侵安全性正確答案：A80、單選

在確定威脅的可能性時，可以不考慮以下哪個？（）A.威脅源B.潛在弱點C.現有控制措施D.攻擊所產生的負面影響正確答案：D81、填空題

信息安全人員管理中崗位安全考核主要是從（）、（）方面進行。正確答案：思想政治；業務表現82、單選

企業由于人力資源短缺，IT支持一直以來由一位最終用戶兼職，最恰當的補償性控制是：（）A.限制物理訪問計算設備B.檢查事務和應用日志C.雇用新IT員工之前進行背景調查D.在雙休日鎖定用戶會話正確答案：B83、單選

企業從獲得良好的信息安全管控水平的角度出發，以下哪些行為是適當的（）A.只關注外來的威脅，忽視企業內部人員的問題B.相信來自陌生人的郵件，好奇打開郵件附件C.開著電腦離開，就像離開家卻忘記關燈那樣D.及時更新系統和安裝系統和應用的補丁正確答案：D84、填空題

在兩個具有IrDA端口的設備之間（），中間不能有阻擋物。正確答案：傳輸數據85、單選

射頻識別（RFID）標簽容易受到以下哪種風險？（）A.進程劫持B.竊聽C.惡意代碼D.Phishing正確答案：B86、單選

單位中下面幾種人員中哪種安全風險最大？（）A.臨時員工B.外部咨詢人員C.現在對公司不滿的員工D.離職的員工正確答案：C87、單選

下列關于互惠原則說法不正確的是（）。A、互惠原則是網絡道德的主要原則之一B、網絡信息交流和網絡服務具有雙向性C、網絡主體只承擔義務D、互惠原則本質上體現的是賦予網絡主體平等與公正正確答案：C88、單選

回顧組織的風險評估流程時應首先（）A.鑒別對于信息資產威脅的合理性B.分析技術和組織弱點C.鑒別并對信息資產進行分級D.對潛在的安全漏洞效果進行評價正確答案：C89、單選

不受限制的訪問生產系統程序的權限將授予以下哪些人？（）A.審計師B.不可授予任何人C.系統的屬主。D.只有維護程序員正確答案：B90、單選

如果只能使用口令遠程認證，以下哪種方案安全性最好？（）A.高質量靜態口令，散列保護傳輸B.高質量靜態口令，固定密鑰加密保護傳輸C.動態隨機口令，明文傳輸D.高質量靜態口令，增加隨機值，明文傳輸正確答案：C91、單選

由于病毒攻擊、非法入侵等原因，校園網部分樓宇出現網絡癱瘓，或者FTP及部分網站服務器不能響應用戶請求，屬于以下哪種級別事件（）A.特別重大事件B.重大事件C.較大事件D.一般事件正確答案：C92、單選

以下哪種為丟棄廢舊磁帶前的最佳處理方式？（）A.復寫磁帶B.初始化磁帶卷標C.對磁帶進行消磁D.刪除磁帶正確答案：C93、單選

除以下哪項可作為ISMS審核（包括內審和外審）的依據，文件審核、現場審核的依據？（）A.機房登記記錄B.信息安全管理體系C.權限申請記錄D.離職人員的口述正確答案：D94、單選

評估IT風險被很好的達到，可以通過：（）A.評估IT資產和IT項目總共的威脅B.用公司的以前的真的損失經驗來決定現在的弱點和威脅C.審查可比較的組織出版的損失數據D.一句審計拔高審查IT控制弱點正確答案：A95、單選

下列哪一個是PKI體系中用以對證書進行訪問的協議？（）A.SSLB.LDAPC.CAD.IKE正確答案：B96、單選

下述攻擊手段中不屬于DOS攻擊的是：（）A.Smurf攻擊B.Land攻擊C.Teardrop攻擊D.CGI溢出攻擊正確答案：D97、單選

變更控制是信息系統運行管理的重要的內容，在變更控制的過程中：（）A.應該盡量追求效率，而沒有任何的程序和核查的阻礙。B.應該將重點放在風險發生后的糾正措施上。C.應該很好的定義和實施風險規避的措施。D.如果是公司領導要求的，對變更過程不需要追蹤和審查正確答案：C98、單選

下列哪一項是一個適當的測試方法適用于業務連續性計劃（BCP）？（）A.試運行B.紙面測試C.單元D.系統正確答案：B99、單選

TCP三次握手協議的第一步是發送一個：（）A.SYN包B.ACK包C.UDP包D.null包正確答案：A100、單選

一個組織將制定一項策略以定義了禁止用戶訪問的WEB站點類型。為強制執行這一策略，最有效的技術是什么？（）A.狀態檢測防火墻B.WE內容過濾器C.WEB緩存服務器D.應該代理服務器正確答案：B101、單選

下列哪一項是首席安全官的正常職責？（）A.定期審查和評價安全策略B.執行用戶應用系統和軟件測試與評價C.授予或廢除用戶對IT資源的訪問權限D.批準對數據和應用系統的訪問權限正確答案：B102、多選

網絡設備進行遠程管理時，應采用（）協議的方式以防被竊聽。A.SSHB.HTTPC.HTTPSD.TelnetE.FTP正確答案：A,C103、單選

防火墻通過（）控制來阻塞郵件附件中的病毒。A.數據控制B.連接控制C.ACL控制D.協議控制正確答案：A104、單選

以下哪個選項是缺乏適當的安全控制的表現（）A.威脅B.脆弱性C.資產D.影響正確答案：B105、單選

在橙皮書的概念中，信任是存在于以下哪一項中的？（）A.操作系統B.網絡C.數據庫D.應用程序系統正確答案：A106、單選

信安標委中哪個小組負責信息安全管理工作？（）A、WG1B、WG5C、WG7正確答案：C107、單選

我國信息安全事件分級不考慮下列哪一個要素？（）A.信息系統的重要程度B.系統損失C.社會影響D.業務損失正確答案：D108、單選

下列哪一種模型運用在JAVA安全模型中：（）A.白盒模型B.黑盒模型C.沙箱模型D.灰盒模型正確答案：C109、單選

管理體系審計員進行通信訪問控制審查，首先應該關注：（）A.維護使用各種系統資源的訪問日志B.在用戶訪問系統資源之前的授權和認證C.通過加密或其他方式對存儲在服務器上數據的充分保護D.確定是否可以利用終端系統資源的責任制和能力.正確答案：D110、單選

信息資產分級的最關鍵要素是（）A.價值B.時間C.安全性D.所有者正確答案：A111、單選

“如果一條鏈路發生故障，那么只有和該鏈路相連的終端才會受到影響”，這一說法是適合于以下哪一種拓撲結構的網絡的？（）A.星型B.樹型C.環型D.復合型正確答案：A112、單選

如果雙方使用的密鑰不同，從其中的一個密鑰很難推出另外一個密鑰，這樣的系統稱為（）A.常規加密系統B.單密鑰加密系統C.公鑰加密系統D.對稱加密系統正確答案：C113、單選

以下描述中不屬于SSH用途的為？（）A.用于遠程的安全管理，使用SSH客戶端連接遠程SSH服務器，建立安全的Shell交互環境B.用于本地到遠程隧道的建立，進而提供安全通道，保證某些業務安全傳輸C.進行對本地數據使用SSH的秘鑰進行加密報錯，以提高其業務的可靠性D.SCP遠程安全數據復制借助SSH協議進行傳輸，SSH提供其安全隧道保障正確答案：C114、單選

安全模型明確了安全策略所需的數據結構和技術，下列哪一項最好地描述了安全模型中的“簡單安全規則”？（）A.Biba模型中的不允許向上寫B.Biba模型中的不允許向下讀C.Bell-LaPadula模型中的不允許向下寫D.Bell-LaPadula模型中的不允許向上讀正確答案：D115、單選

系統要達到什么樣的（），取決于系統所處理信息地重要程度、價值和敏感性。A、可行性B、系統靈活性C、用戶地方便性D、完整性正確答案：D116、單選

BS7799這個標準是由下面哪個機構研發出來的？（）A.美國標準協會B.英國標準協會C.中國標準協會D.國際標準協會正確答案：B117、單選

“可信計算基（TCB）”不包括：（）A.執行安全策略的所有硬件B.執行安全策略的軟件C.執行安全策略的程序組件D.執行安全策略的人正確答案：D118、填空題

露天開采的原礦成本由（）和（）兩部分組成。正確答案：純采礦成本；剝離成本119、單選

滲透測試作為網絡安全評估的一部分（）A.提供保證所有弱點都被發現B.在不需要警告所有組織的管理層的情況下執行C.找到存在的能夠獲得未授權訪問的漏洞D.在網絡邊界上執行不會破壞信息資產正確答案：C120、單選

應急響應計劃文檔不應該（）A.分發給公司所有人員B.分發給參與應急響應工作的所有人員C.具有多份拷貝在不同的地點保存D.由專人負責保存與分發正確答案：A121、單選

在數據庫的安全評估過程中，下面那項是指系統能夠對付各種可能地攻擊的能力。（）A、可行性B、系統靈活性C、用戶地方便性D、完整性正確答案：A122、單選

恢復策略的選擇最可能取決于（）A.基礎設施和系統的恢復成本B.恢復站點的可用性C.關鍵性業務流程D.事件響應流程正確答案：C123、單選

在信息系統安全中，風險由以下哪兩種因素共同構成的？（）A.攻擊和脆弱性B.威脅和攻擊C.威脅和脆弱性D.威脅和破壞正確答案：C124、單選

網絡“抄襲”糾紛頻發反映了（）A、互聯網產業創新活力不足B、互聯網誠信缺失C、互聯網市場行為亟待規范D、互聯網立法工作的滯后正確答案：A125、單選

信息資產敏感性指的是：（）A.機密性B.完整性C.可用性D.安全性正確答案：A126、單選

某個計算機系統遭到了38000次攻擊，其中有65％成功，而這中間又有96％沒有被檢測到，檢測到的則有74％沒有上報，那么總共上報了多少次攻擊（）A.144B.388C.267D.721正確答案：C127、單選

當客戶需要訪問組織信息資產時，下面正確的做法是？（）A.應向其傳達信息安全要求及應注意的信息安全問題。B.盡量配合客戶訪問信息資產。C.不允許客戶訪問組織信息資產。D.不加干涉，由客戶自己訪問信息資產。正確答案：A128、單選

（）下列哪個版本的Windows自帶了防火墻，該防火墻能夠監控和限制用戶計算機的網絡通信。A.Windows98B.WindowsMEC.Windows2000D.WindowsXP正確答案：D129、填空題

企業與消費者之間的電子商務是企業透過（）銷售產品或服務個人消費者。正確答案：網絡130、單選

（）如果有大量計算機需要頻繁的分析，則可利用哪個命令工具進行批處理分析？A、dumpelB、showprivC、Secedit.exeD、gpolmig.exe正確答案：C131、單選

SSE-CMM中第4級的名稱是什么？（）A.充分定義級B.計劃和跟蹤級C.連續改進級D.量化控制級正確答案：D132、判斷題

為特權用戶設置口令時，應當使用enablepassword命令，該命令用于設定具有管理權限的口令。正確答案：錯133、單選

以下哪項不是信息安全的主要目標（）A.確保業務連續性B.保護信息免受各種威脅的損害C.防止黑客竊取員工個人信息D.投資回報和商業機遇最大化正確答案：C134、單選

應急響應流程一般順序是（）A.信息安全事件通告、信息安全事件評估、應急啟動、應急處置和后期處置B.信息安全事件評估、信息安全事件通告、應急啟動、應急處置和后期處置C.應急啟動、應急處置、信息安全事件評估、信息安全事件通告、后期處置D.信息安全事件評估、應急啟動、信息安全事件通告、應急處置和后期處置正確答案：A135、填空題

對目前大量的數據備份來說，（）是應用得最廣的介質。正確答案：磁帶136、單選

以下哪一個是包過濾防火墻的優點？（）A.可以與認證、授權等安全手段方便的集成。B.與應用層無關，無須改動任何客戶機和主機的應用程序，易于安裝和使用。C.提供透明的加密機制D.可以給單個用戶授權正確答案：C137、單選

評估應急響應計劃時，下列哪一項應當最被關注：（）A.災難等級基于受損功能的范圍，而不是持續時間B.低級別災難和軟件事件之間的區別不清晰C.總體應急響應計劃被文檔化，但詳細恢復步驟沒有規定D.事件通告的職責沒有被識別正確答案：D138、單選

應用軟件測試的正確順序是：（）A.集成測試、單元測試、系統測試、驗收測試B.單元測試、系統測試、集成測試、驗收測試C.驗收測試、單元測試、集成測試、系統測試D.單元測試、集成測試、系統測試、驗收測試正確答案：D139、單選

下面哪一項不是黑客攻擊在信息收集階段使用的工具或命令。（）A.NMAPB.NLSOOKUPC.ICESWordD.Xscan正確答案：C140、單選

安全審計是對系統活動和記錄的獨立檢查和驗證，以下哪一項不是審計系統的（）A.輔助辨識和分析未經授權的活動或攻擊B.對與己建立的安全策略的一致性進行核查C.及時阻斷違反安全策略的訪問D.幫助發現需要改進的安全控制措施正確答案：C141、單選

評估BCP時，下列哪一項應當最被關注：（）A.災難等級基于受損功能的范圍，而不是持續時間B.低級別災難和軟件事件之間的區別不清晰C.總體BCP被文檔化，但詳細恢復步驟沒有規定D.宣布災難的職責沒有被識別正確答案：D142、單選

外部組織使用組織敏感信息資產時，以下正確的做法是？（）A.確保使用者得到正確的信息資產。B.與信息資產使用者簽署保密協議。C.告知信息資產使用的時間限制。D.告知信息資產的重要性。正確答案：B143、判斷題

國際標準化組織將“計算機安全”定義為：“為數據處理系統建立和采取的技術和管理的安全保護，保護計算機硬件、軟件數據不因偶然和惡意的原因而遭到破壞、更改和泄漏。”正確答案：對144、單選

以下哪種情形下最適合使用數據鏡像來作為恢復策略？（）A.高的災難容忍度B.高的恢復時間目標（RTO）C.低的恢復點目標（RPO）D.高的恢復點目標（RPO）正確答案：C145、問答題

多邊安全模型有哪兩種？正確答案：Chinesewall模型；BMA模型146、多選

防火墻管理中（）具有設定規則的權限。A.用戶B.審計員C.超級管理員D.普通管理員正確答案：C,D147、單選

實施ISMS內審時，確定ISMS的控制目標、控制措施、過程和程序應該要符合相關要求，以下哪個不是？（）A.約定的標準及相關法律的要求B.已識別的安全需求C.控制措施有效實施和維護D.ISO13335風險評估方法正確答案：D148、單選

有關定性風險評估和定量風險評估的區別，以下描述不正確的是（）A.定性風險評估比較主觀，而定量風險評估更客觀B.定性風險評估容易實施，定量風險評估往往數據準確性很難保證C.定性風險評估更成熟，定量風險評估還停留在理論階段D.定性風險評估和定量風險評估沒有本質區別，可以通用正確答案：D149、單選

下列不屬于網絡安全測試范疇的是（）。A.結構安全B.邊界完整性檢查C.剩余信息保護D.網絡設備防護正確答案：C150、填空題

我國的信息化發展不平衡，總的來說，（）信息化指數高，從東部到西部信息化指數逐漸降低。正確答案：東部沿海地區151、單選

下面哪一項組成了CIA三元組？（）A.保密性，完整性，保障B.保密性，完整性，可用性C.保密性，綜合性，保障D.保密性，綜合性，可用性正確答案：B152、單選

在正常情況下，應急響應計劃培訓應該至少多久一次（）A.1年B.2年C.半年D.5年正確答案：A153、單選

以下哪個選項不是信息中心（IC）工作職能的一部分？（）A.準備最終用戶的預算B.選擇PC的硬件和軟件C.保持所有PC的硬件和軟件的清單D.提供被認可的硬件和軟件的技術支持正確答案：A154、單選

對于外部組織訪問企業信息資產的過程中相關說法不正確的是？（）A.為了信息資產更加安全，禁止外部組織人員訪問信息資產。B.應確保相關信息處理設施和信息資產得到可靠的安全保護。C.訪問前應得到信息資產所有者或管理者的批準。D.應告知其所應當遵守的信息安全要求。正確答案：A155、填空題

在企業推進信息化的過程中應（）風險。正確答案：認真防范156、單選

拒絕服務攻擊損害了信息系統的哪一項性能？（）A.完整性B.可用性C.保密性D.可靠性正確答案：B157、填空題

醫藥學（）社會科學。正確答案：不屬于158、單選

以下哪一種環境控制適用于保護短期內電力環境不穩定條件下的計算機設備？（）A.電路調整器PowerlineconditionersB.電流浪涌防護裝置AsurgeprotectivedeviceC.替代電源D.不間斷供電正確答案：B159、單選

下列有關密碼學的說法中錯誤的是：（）A.密碼學是研究信息系統安全保密的科學。由兩個相互對立、相互斗爭，而且又相輔相成、相互促進的分支科學所組成的，分別稱為密碼編碼學和密碼分析學。B.密碼編碼學是對密碼體制、密碼體制的輸入輸出關系進行分析，以便推出機密變量、包括明文在內的敏感數據。C.密碼分析學主要研究加密消息的破譯或消息的偽造。D.密碼編碼學主要研究對信息進行編碼，實現對信息的隱蔽。正確答案：B160、單選

以下哪些不是設備資產：（）A.機房設施B.周邊設施C.管理終端D.操作系統正確答案：D161、單選

在Linux操作系統中，為了授權用戶具有管理員的某些個性需求的權限所采取的措施是什么？（）A.告訴其他用戶root密碼B.將普通用戶加入到管理員組C.使用visudo命令授權用戶的個性需求D.創建單獨的虛擬賬戶正確答案：C162、單選

在一份業務持續計劃，下列發現中哪一項是最重要的？（）A.不可用的交互PBX系統B.骨干網備份的缺失C.用戶PC機缺乏備份機制D.門禁系統的失效正確答案：B163、單選

以下哪項不屬于信息安全管理的工作內容（）A.信息安全培訓B.信息安全考核C.信息安全規劃D.安全漏洞掃描正確答案：D164、單選

當建立一個業務持續性計劃時，使用下面哪一個工具用來理解組織業務流程？（）A.業務持續性自我評估B.資源的恢復分析C.風險評估和業務影響評估D.差異分析正確答案：C165、單選

Windows組策略適用于（）A.SB.DC.OD.S、D、OU正確答案：D166、單選

在國家標準中，屬于強制性標準的是？（）A.GB/TXXXX.X-200XB.GBXXXX-200XC.DBXX/TXXX-200XD.QXXX-XXX-200X正確答案：B167、單選

（）下列哪個標準本身由兩個部分組成，一部分是一組信息技術產品的安全功能需要定義，另一部分是對安全保證需求的定義？A、可信任計算機系統評估標準（TCSEC）B、信息技術安全評價準則（ITSEC）C、信息技術安全評價聯邦準則（FC）D、CC標準正確答案：D168、單選

以下關于安全控制措施的選擇，哪一個選項是錯誤的？（）A.維護成本需要被考慮在總體控制成本之內B.最好的控制措施應被不計成本的實施C.應考慮控制措施的成本效益D.在計算整體控制成本的時候，應考慮多方面的因素正確答案：B169、填空題

安全威脅中安全風險最高的是（）.正確答案：病毒170、單選

特洛伊木馬攻擊的危脅類型屬于（）A.授權侵犯威脅B.植入威脅C.滲入威脅D.破壞威脅正確答案：B171、單選

在評估邏輯訪問控制時，應該首先做什么（）A.把應用在潛在訪問路徑上的控制項記錄下來B.在訪問路徑上測試控制來檢測是否他們具功能化C.按照寫明的策略和實踐評估安全環境D.對信息流程的安全風險進行了解正確答案：D172、單選

以下哪項是正確的信息安全保障發展歷史順序？（）A.通信安全→計算機安全→信息系統安全→信息安全保障→網絡空間安全/信息安全保障B.通信安全→信息安全保障→計算機安全→信息系統安全→網絡空間安全/信息安全保障C.計算機安全→通信安全→信息系統安全→信息安全保障→網絡空間安全/信息安全保障D.通信安全→信息系統安全→計算機安全→信息安全保障→網絡空間安全/信息安全保障正確答案：A173、單選

以下只用于密鑰交換的算法是（）A.RSAB.ECCC.DHD.RC4正確答案：C174、單選

在計算可接受的關鍵業務流程恢復時間時（）A.只需考慮停機時間的成本B.需要分析恢復操作的成本C.停機時間成本和恢復操作成本都需要考慮D.可以忽略間接的停機成本正確答案：C175、單選

下列對“信息安全風險”的描述正確的是：（）A.是來自外部的威脅利用了系統自身存在的脆弱性作用于資產形成風險B.是系統自身存在的威脅利用了來自外部的脆弱性作用于資產形成風險C.是來自外部的威脅利用了系統自身存在的脆弱性作用于網絡形成風險D.是系統自身存在的威脅利用了來自外部的脆弱性作用于網絡形成風險正確答案：A176、單選

以下哪些不屬于敏感性標識（）A.不干貼方式B.印章方式C.電子標簽D.個人簽名正確答案：D177、單選

安全技術評估工具通常不包括（）A.漏洞掃描工具B.入侵檢測系統C.調查問卷D.滲透測試工具正確答案：C178、單選

ISMS審核時，對審核發現中，以下哪個是屬于嚴重不符合項？（）A.關鍵的控制程序沒有得到貫徹，缺乏標準規定的要求可構成嚴重不符合項B.風險評估方法沒有按照ISO27005（信息安全風險管理）標準進行C.孤立的偶發性的且對信息安全管理體系無直接影響的問題；D.審核員識別的可能改進項正確答案：D179、單選

從部署結構來看，下列哪一種類型的防火墻提供了最高安全性？（）A.屏蔽路由器B.雙宿堡壘主機C.屏蔽主機防火墻D.屏蔽子網防火墻正確答案：D180、單選

以下關于軟件安全測試說法正確的是？（）A.軟件安全測試就是黑盒測試。B.Fuzz測試是經常采用的安全測試方法之一。C.軟件安全測試關注的是軟件的功能。D.軟件安全測試可以發現軟件中產生的所有安全問題。正