2023年CISP、NISP题库精简版
信息安全专业人员知识测试试题 ( 一)
1. 依据国家标准/T20274《信息系统安全保障评估框架》,信息系统安全目标(ISST)中,安全保障目的指的是:
A、信息系统安全保障目的
B、环境安全保障目的
C、信息系统安全保障目的和环境安全保障目的
D、信息系统整体安全保障目的、管理安全保障目的、技术安全保障目的和工程安全保障目的
解释:GB/T 20274 信息系统保障评估框架从管理、技术、工程和总体方面进行评估。
2. 以下哪一项是数据完整性得到保护的例子?
A.某网站在访问量突然增加时对用户连接数量进行了限制,保证已经登录的用户可以完成操作 B.在提款过程中ATM 终端发生故障,银行业务系统及时对该用户的账户余额进行了冲正操作
C.某网管系统具有严格的审计功能,可以确定哪个管理员在何时对核心交换机进行了什么操作
D.李先生在每天下班前将重要文件锁在档案室的保密柜中,使伪装成清洁工的商业间谍无法查看
解释:A为可用性,B 为完整性,C是抗抵赖,D 是保密性。冲正是完整性纠正措施,是 Clark-Wilson模型的应用,解 决数据变化过程的完整性。
3. 进入 21 世纪以来,信息安全成为世界各国安全战略关注的重点,纷纷制定并颁布网络空间安全战略,但各国历史、国 情和文化不同,网络空间安全战略的内容也各不相同,以下说法不正确的是:
A.与国家安全、社会稳定和民生密切相关的关键基础设施是各国安全保障的重点
B.美国未设立中央政府级的专门机构处理网络信息安全问题,信息安全管理职能由不同政府部门的多个机构共同承担
C.各国普遍重视信息安全事件的应急响应和处理
D.在网络安全战略中,各国均强调加强政府管理力度,充分利用社会资源,发挥政府与企业之间的合作关系 解释:美国已经设立中央政府级的专门机构。
4. 与 PDR 模型相比,P2DR (PPDR) 模型多了哪一个环节?
解释:PPDR 是指策略、保护、检测和反应 (或响应) 。PPDR 比 PDR 多策略。
5. 以下关于项目的含义,理解错误的是:
A.项目是为达到特定的目的、使用一定资源、在确定的期间内、为特定发起人而提供独特的产品、服务或成果而进行 的一次性努力。
B. 项目有明确的开始日期,结束日期由项目的领导者根据项目进度来随机确定。
C.项目资源指完成项目所需要的人、财、物等。
D.项目目标要遵守SMART原则,即项目的目标要求具体(Specific)、可测量(Measurable)、需相关方的一致同意(Agreto)、 现实(Realistic)、有一定的时限(Timeoriented)
解释:据项目进度不能随机确定,需要根据项目预算、特性、质量等要求进行确定。
6. 2008 年 1 月 2 日,美目发布第 54 号总统令,建立国家网络安全综合计划 (Comprehensive National Cyber security Initiative,CNCI)。CNCI 计划建立三道防线:第一道防线,减少漏洞和隐患,预防入侵;第二道防线,全面应对各类 威胁;第三道防线,强化未来安全环境.从以上内容,我们可以看出以下哪种分析是正确的:
A.CNCI 是以风险为核心,三道防线首要的任务是降低其网络所面临的风险
B. 从 CNCI 可以看出,威胁主要是来自外部的,而漏洞和隐患主要是存在于内部的
C.CNCI 的目的是尽快研发并部署新技术彻底改变其糟糕的网络安全现状,而不是在现在的网络基础上修修补补
D.CNCI 彻底改变了以往的美国信息安全战略,不再把关键基础设施视为信息安全保障重点,而是追求所有网络和系统 的全面安全保障
解释:CNCI 第一个防线针对漏洞进行风险控制,第二个防线针对威胁进行风险控制,总体的目标是降低网络风险。B、C、 D 答案均无法从题干反应。
7. 下列对于信息安全保障深度防御模型的说法错误的是:
A.信息安全外部环境:信息安全保障是组织机构安全、国家安全的一个重要组成部分,因此对信息安全的讨论必须放 在国家政策、法律法规和标准的外部环境制约下。
B.信息安全管理和工程:信息安全保障需要在整个组织机构内建立和完善信息安全管理体系,将信息安全管理综合至 信息系统的整个生命周期,在这个过程中,我们需要采用信息系统工程的方法来建设信息系统。
C.信息安全人才体系:在组织机构中应建立完善的安全意识,培训体系也是信息安全保障的重要组成部分。
D.信息安全技术方案:“从外而内、 自下而上、形成边界到端的防护能力”。
解释:D 的正确描述是从内而外, 自上而下,从端到边界的防护能力。
8. 某用户通过账号、密码和验证码成功登录某银行的个人网银系统,此过程属于以下哪一类: 1 / 12
A.个人网银系统和用户之间的双向鉴别 C.个人网银系统对用户身份的单向鉴别
B. 由可信第三方完成的用户身份鉴别 D.用户对个人网银系统合法性的单向鉴别
解释:题干为网银系统对用户的鉴别。
9. Alice 用 Bob 的密钥加密明文,将密文发送给Bob。Bob 再用自己的私钥解密,恢复出明文。以下说法正确的是:
A.此密码体制为对称密码体制 C.此密码体制为单钥密码体制
B.此密码体制为私钥密码体制 D.此密码体制为公钥密码体制
解释:题干中使用到了私钥解密,私钥是公钥密码体制中用户持有的密钥,相对于公钥而言,则为非对称密码体制,非 对称密码体制又称为公钥密码体制。
10. 下列哪一种方法属于基于实体“所有”鉴别方法:
A.用户通过自己设置的口令登录系统,完成身份鉴别
B.用户使用个人指纹,通过指纹识别系统的身份鉴别
C.用户利用和系统协商的秘密函数,对系统发送挑战进行正确应答,通过身份鉴别
D.用户使用集成电路卡(如智能卡)完成身份鉴别
解释:实体所有鉴别包括身份证、IC 卡、钥匙、USB-Key 等。
11. 为防范网络欺诈确保交易安全,网银系统首先要求用户安全登录,然后使用“智能卡+短信认证”模式进行网上转账等 交易,在此场景中用到下列哪些鉴别方法?
A.实体“所知” 以及实体“所有” 的鉴别方法 C.实体“所知”以及实体“特征”的鉴别方法
B.实体“所有”以及实体“特征”的鉴别方法 D.实体“所有”以及实体“行为”的鉴别方法 解释:题目中安全登录会涉及到账号密码为实体所知,智能卡和短信是实体所有。
12. 某单位开发了一个面向互联网提供服务的应用网站,该单位委托软件测评机构对软件进行了源代码分析、模糊测试等软 件安全性测试,在应用上线前,项目经理提出了还需要对应用网站进行一次渗透性测试,作为安全主管,你需要提出渗 透性测试相比源代码测试、模糊测试的优势给领导做决策,以下哪条是渗透性测试的优势?
A. 渗透测试以攻击者的思维模拟真实攻击,能发现如配置错误等运行维护期产生的漏洞
B.渗透测试是用软件代替人工的一种测试方法,因此测试效率更高
C.渗透测试使用人工进行测试,不依赖软件,因此测试更准确
D.渗透测试中必须要查看软件源代码,因此测试中发现的漏洞更多 解释:渗透测试是模拟攻击的黑盒测试,有利于发现系统明显的问题。
13. 软件安全设计和开发中应考虑用户稳私包,以下关于用户隐私保护的说法哪个是错误的?
A.告诉用户需要收集什么数据及搜集到的数据会如何披使用
B.当用户的数据由于某种原因要被使用时,给用户选择是否允许
C.用户提交的用户名和密码属于稳私数据,其它都不是
D.确保数据的使用符合国家、地方、行业的相关法律法规
解释:个人隐私包括但不限于用户名密码、位置、行为习惯等信息。
14. 软件安全保障的思想是在软件的全生命周期中贯彻风险管理的思想,在有限资源前提下实现软件安全最优防护,避免防 范不足带来的直接损失,也需要关注过度防范造成的间接损失。在以下软件安全开发策略中,不符合软件安全保障思想 的是:
A.在软件立项时考虑到软件安全相关费用,经费中预留了安全测试、安全评审相关费用,确保安全经费得到落实
B.在软件安全设计时,邀请软件安全开发专家对软件架构设计进行评审,及时发现架构设计中存在的安全不足
C.确保对软编码人员进行安全培训,使开发人员了解安全编码基本原则和方法,确保开发人员编写出安全的代码
D.软件上线前对软件全面安全性测试,包括源代码分析、模糊测试、渗透测试,未经以上测试的软件不允许上线运行 解释:软件的安全测试根据实际情况进行测试措施的选择和组合。
15. 以下哪一项不是工作在网络第二层的隧道协议:
A.VTP B.L2F C.PPTP D.L2TP
解释:L2F、PPTP、L2TP 均为二层隧道协议。
16. 主体 S 对客体 01 有读(R)权限,对客体 02 有读(R)、写(W)、拥有(Own)权限,该访问控制实现方法是:
A.访问控制表(ACL) B.访问控制矩阵 C.能力表(CL) D.前缀表(Profiles) 解释:定义主体访问客体的权限叫作 CL。定义客体被主体访问的权限叫 ACL。
于 RBAC 模型,下列说法错误的是:
A.当用户请求访问某资源时,如果其操作权限不在用户当前被激活角色的授权范围内,访问请求将被拒绝
B.业务系统中的岗位、职位或者分工,可对应 RBAC 模型中的角色
C.通过角色,可实现对信息资源访问的控制
D.RBAC 模型不能实现多级安全中的访问控制
解释:RBAC1 模型能实现多级安全中的访问控制。
18. 下面哪一项不是虚拟专用网络(VPN)协议标准:
A.第二层隧道协议(L2TP)
B.Internet 安全性(IPSEC)
解释:TACACS+是 AAA 权限控制系统,不属于 VPN。
C.终端访问控制器访问控制系统(TACACS+)
D.点对点隧道协议(PPTP)
19. 下列对网络认证协议Kerberos描述正确的是:
A.该协议使用非对称密钥加密机制
B.密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成
C.该协议完成身份鉴别后将获取用户票据许可票据
D.使用该协议不需要时钟基本同步的环境
解释:A 错误,因为使用对称密码;B 错误,因为密钥分发中心不包括客户机;D 错误,因为协议需要时钟同步。三个 步骤:1) 身份认证后获得票据许可票据;2) 获得服务许可票据;3) 获得服务。
20. 鉴别的基本途径有三种:所知、所有和个人特征,以下哪一项不是基于你所知道的:
A. 口令 B.令牌 C.知识 D.密码
解释:令牌是基于实体所有的鉴别方式。
21. 在 ISO 的 OSI 安全体系结构中,以下哪一个安全机制可以提供抗抵赖安全服务?
解释:数字签名可以提供抗抵赖、鉴别和完整性。
22. 某公司已有漏洞扫描和入侵检测系统(IntrusionDetectionSystem,IDS)产品,需要购买防火墙,以下做法应当优先 考虑的是:
A.选购当前技术最先进的防火墙即可 C.任意选购一款价格合适的防火墙产品
B.选购任意一款品牌防火墙 D.选购一款同已有安全产品联动的防火墙
解释:在技术条件允许情况下,可以实现 IDS 和FW 的联动。
23. 在 OSI 参考模型中有 7 个层次,提供了相应的安全服务来加强信息系统的安全性,以下哪一层提供了保密性、身份鉴别、 数据完整性服务?
A.网络层 B.表示层 C.会话层 D.物理层
解释:网络层和应用层可以提供保密性、身份鉴别、完整性、抗抵赖、访问控制服务。
24. 某单位人员管理系统在人员离职时进行账号删除,需要离职员工所在部门主管经理和人事部门人员同时进行确认才能在 系统上执行,该设计是遵循了软件安全哪项原则
A.最小权限 B.权限分离 C.不信任 D.纵深防御
解释:权限分离是将一个较大的权限分离为多个子权限组合操作来实现。
25. 以下关于互联网协议安全(Internet Protocol Security,IPSec)协议说法错误的是:
A.在传送模式中,保护的是 IP 负载。
B.验证头协议(Authentication Header,AH)和 IP 封装安全载荷协议(Encapsulating Security Payload,ESP)都能以 传输模式和隧道模式工作。
C.在隧道模式中,保护的是整个互联网协议 IP 包,包括 IP 头。
D.IPSec仅能保证传输数据的可认证性和保密性。
解释:IPSEC 可以提供身份鉴别、保密性、完整性、抗抵赖、访问控制服务。
26. 某电子商务网站在开发设计时,使用了威胁建模方法来分折电子商务网站所面临的威胁,STRIDE 是微软 SDL 中提出的 威胁建模方法,将威胁分为六类,为每一类威胁提供了标准的消减措施,Spofing是 STRIDE 中欺骗类的威胁,以下威 胁中哪个可以归入此类威胁?
A.网站竞争对手可能雇佣攻击者实施 DDoS 攻击,降低网站访问速度 B.网站使用http 协议进行浏览等操作,未对数据进行加密,可能导致用户传输信息泄露,例如购买的商品金额等 C.网站使用http 协议进行浏览等操作,无法确认数据与用户发出的是否一致,可能数据被中途篡改
D.网站使用用户名、密码进行登录验证,攻击者可能会利用弱口令或其他方式获得用户密码,以该用户身份登录修改
用户订单等信息
解释:A 属于可用性;B 保密性;C 属于完整性。
27. 以下关于 PGP(Pretty Good Privacy)软件叙述错误的是:
A.PGP 可以实现对邮件的加密、签名和认证
B.PGP 可以实现数据压缩
解释:SHA 不提供加密,SHA 是摘要算法提供数据完整性校验。
C.PGP 可以对邮件进行分段和重组
D.PGP 采用 SHA 算法加密邮件
28. 入侵防御系统(IPS)是继入侵检测系统(IDS)后发展期出来的一项新的安全技术,它与 IDS 有着许多不同点,请指出下列 哪一项描述不符合 IPS的特点?
A.串接到网络线路中
C.有可能造成单点故障
B.对异常的进出流量可以直接进行阻断
D.不会影响网络性能
解释:IPS 在串联情况下,会影响网络性能。
29. 相比文件配置表(FAT)文件系统,以下哪个不是新技术文件系统(NTFS)所具有的优势?
A.NTFS 使用事务日志自动记录所有文件夹和文件更新,当出现系统损坏和电源故障等问题,而引起操作失败后,系统 能利用日志文件重做或恢复未成功的操作
B.NTFS 的分区上,可以为每个文件或文件夹设置单独的许可权限
C.对于大磁盘,NTFS 文件系统比 FAT 有更高的磁盘利用率
D.相比 FAT 文件系统,NTFS 文件系统能有效的兼容 linux 下 EXT2 文件格式
解释:NTFS 不能兼容 EXT 文件系统。
30. 某公司系统管理员最近正在部署一台 Web 服务器,使用的操作系统是windows,在进行日志安全管理设置时,系统管理 员拟定四条日志安全策略给领导进行参考,其中能有效应对攻击者获得系统权限后对日志进行修改的策略是:
A.网络中单独部署 syslog服务器,将 Web 服务器的日志自动发送并存储到该 syslog 日志服务器中
B.严格设置Web 日志权限,只有系统权限才能进行读和写等操作
C.对日志属性进行调整,加大日志文件大小、延长覆盖时间、设置记录更多信息等
D.使用独立的分区用于存储日志,并且保留足够大的日志空间
解释:在多重备份存储情况下,可以防护日志被篡改的攻击 (前提非实时同步)。
31. 关于 linux 下的用户和组,以下描述不正确的是 。
A.在 linux 中,每一个文件和程序都归属于一个特定的“用户”
B.系统中的每一个用户都必须至少属于一个用户组
C. 用户和组的关系可是多对一,一个组可以有多个用户,一个用户不能属于多个组
D.root 是系统的超级用户,无论是否文件和程序的所有者都具有访问权限 解释:一个用户可以属于多个组。
32. 安全的运行环境是软件安全的基础,操作系统安全配置是确保运行环境安全必不可少的工作,某管理员对即将上线的 Windows 操作系统进行了以下四项安全部署工作,其中哪项设置不利于提高运行环境安全?
A.操作系统安装完成后安装最新的安全补丁,确保操作系统不存在可被利用的安全漏洞
B.为了方便进行数据备份,安装Windows操作系统时只使用一个分区 C,所有数据和操作系统都存放在 C 盘
C.操作系统上部署防病毒软件,以对抗病毒的威胁
D.将默认的管理员账号Administrator 改名,降低口令暴力破解攻击的发生可能 解释:操作系统和应用安全装应分开不同磁盘部署。
33. 在数据库安全性控制中,授权的数据对象,授权子系统就越灵活?
A.粒度越小 B.约束越细致 C.范围越大 D.约束范围大
解释:数据粒度越细则授权策略越灵活便利。
34. 下列哪一些对信息安全漏洞的描述是错误的?
A.漏洞是存在于信息系统的某种缺陷。
B.漏洞存在于一定的环境中,寄生在一定的客体上(如 TOE 中、过程中等)。
C.具有可利用性和违规性,它本身的存在虽不会造成破坏,但是可以被攻击者利用,从而给信息系统安全带来威胁和 损失。
D.漏洞都是人为故意引入的一种信息系统的弱点 解释:漏洞是人为故意或非故意引入的弱点。
35. 账号锁定策略中对超过一定次数的错误登录账号进行锁定是为了对抗以下哪种攻击?
A.分布式拒绝服务攻击(DDoS) B.病毒传染
C. 口令暴力破解 D.缓冲区溢出攻击 解释:账号锁定是为了解决暴力破解攻击的。
36. 以下哪个不是导致地址解析协议(ARP)欺骗的根源之一?
A.ARP 协议是一个无状态的协议 C.ARP 缓存是动态的,可被改写
B.为提高效率,ARP 信息在系统中会缓存 D.ARP 协议是用于寻址的一个重要协议
解释:D 不是导致欺骗的根源。
37. 张三将微信个人头像换成微信群中某好友头像,并将昵称改为该好友的昵称,然后向该好友的其他好友发送一些欺骗消 息。该攻击行为属于以下哪类攻击?
A. 口令攻击 B.暴力破解 C.拒绝服务攻击 D.社会工程学攻击 解释:D 属于社会工程学攻击。
38. 关于软件安全开发生命周期(SDL),下面说法错误的是:
A.在软件开发的各个周期都要考虑安全因素
B.软件安全开发生命周期要综合采用技术、管理和工程等手段
C.测试阶段是发现并改正软件安全漏洞的最佳环节,过早或过晚检测修改漏洞都将增大软件开发成本
D.在设计阶段就尽可能发现并改正安全隐患,将极大减少整个软件开发成本
解释:设计阶段是发现和改正问题的最佳阶段。
39. 在软件保障成熟度模型(Software Assurance Maturity Mode,SAMM)中,规定了软件开发过程中的核心业务功能,下列 哪个选项不属于核心业务功能:
A.治理,主要是管理软件开发的过程和活动
B. 构造,主要是在开发项目中确定目标并开发软件的过程与活动
C.验证,主要是测试和验证软件的过程与活动
D. 购置,主要是购买第三方商业软件或者采用开源组件的相关管理过程与活动 解释:SAMM 模型四个部分是治理、构造、验证和部署。
40. 从系统工程的角度来处理信息安全问题,以下说法错误的是:
A.系统安全工程旨在了解企业存在的安全风险,建立一组平衡的安全需求,融合各种工程学科的努力将此安全需求转 换为贯穿系统整个生存期的工程实施指南。
B.系统安全工程需对安全机制的正确性和有效性做出诠释,证明安全系统的信任度能够达到企业的要求,或系统遗留 的安全薄弱性在可容许范围之内。
C.系统安全工程能力成熟度模型(SSE-CMM)是一种衡量安全工程实践能力的方法,是一种使用面向开发的方法。
D.系统安全工程能力成熟度模型(SSE-CMM)是在原有能力成熟度模型(CMM)的基础上,通过对安全工作过程进行管理的 途径,将系统安全工程转变为一个完好定义的、成熟的、可测量的先进学科。
解释:SSE-CMM 是面向工程过程质量控制的一套方法,CC 标准面向开发、评估、交付的标准。
41. 有关系统安全工程-能力成熟度模型(SSE-CMM)中的基本实施(Base Practices,BP),正确的理解是:
A.BP 是基于最新技术而制定的安全参数基本配置
B.大部分 BP 是没有经过测试的
C. 一项 BP 适用于组织的生存周期而非仅适用于工程的某一特定阶段
D.一项 BP 可以和其他 BP 有重叠
解释:A 错误,BP 是基于最佳的工程过程实践;B 错误,BP 是经过测试的;D 错误,一项 BP 和其他的 BP 是不重复。
42. 以下哪一种判断信息系统是否安全的方式是最合理的?
A.是否己经通过部署安全控制措施消灭了风险 C.是否建立了具有自适应能力的信息安全模型
B.是否可以抵抗大部分风险
解释:判断风险控制的标准是风险是否控制在接受范围内。
43. 以下关于信息安全法治建设的意义,说法错误的是:
A.信息安全法律环境是信息安全保障体系中的必要环节
B.明确违反信息安全的行为,并对行为进行相应的处罚,以打击信息安全犯罪活动
C.信息安全主要是技术问题,技术漏洞是信息犯罪的根源
D.信息安全产业的逐渐形成,需要成熟的技术标准和完善的技术体系
解释:信息安全问题是多方面存在的,不能认为主要为技术问题,同时技术漏洞不是犯罪的根源所在。
44. 小张是信息安全风险管理方面的专家,被某单位邀请过去对其核心机房经受某种灾害的风险进行评估,已知:核心机房 的总价价值一百万,灾害将导致资产总价值损失二成四(24%),历史数据统计告知该灾害发生的可能性为八年发生三次,
请问小张最后得到的年度预期损失为多少:
A.24 万 B.0.09 万 C.37.5 万 D.9 万
解释:计算公式为 100 万*24%* (3/8) =9 万
45. 2005 年 4 月 1 日正式施行的《 电子签名法》,被称为“***首部真正意义上的信息化法律”,自此电子签名与传统手写 签名和盖章具有同等的法律效力。以下关于电子签名说法错误的是:
A. 电子签名——是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据
B. 电子签名适用于民事活动中的合同或者其他文件、单证等文书
C. 电子签名需要第三方认证的, 由依法设立的电子认证服务提供者提供认证服务
D. 电子签名制作数据用于电子签名时,属于电子签名人和电子认证服务提供者共有 解释: 电子签名不可以与认证服务提供者共有。
46. 风险管理的监控与审查不包含:
A.过程质量管理 C.跟踪系统自身或所处环境的变化
B.成本效益管理 D.协调内外部组织机构风险管理活动
解释:D 答案属于沟通咨询工作,ABC 属于风险管理的监控审查工作。风险管理过程包括背景建立、风险评估、风险处 理、批准监督,以及沟通咨询和监控审查。
47. 信息安全等级保护要求中,第三级适用的正确的是:
A.适用于一般的信息和信息系统,其受到破坏后,会对公民、法人和其他组织的权益有一定影响,但不危害国家安全、 社会秩序、经济建设和公共利益
B.适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统,其受到破坏后,会对国 家安全、社会秩序、经济建设和公共利益造成一般损害
C.适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统,其受到破坏后,会对国家安全、社会秩 序、经济建设和公共利益造成严重损害
D.适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统。其受到破坏后,会对 国家安全、社会秩序,经济建设和公共利益造成特别严重损害
解释:定级原理 122-234-345,题目中B 为等级保护三级,该考点为等级保护定级指南。
A 一级,B 三级,C 四级,D 五级。
48. 下面哪一项安全控制措施不是用来检测未经授权的信息处理活动的:
A.设置网络连接时限 C.记录并分析用户和管理员操作日志
B.记录并分析系统错误日志 D.启用时钟同步
解释:A 属于防护措施;BCD 属于检测措施,可以用来检测未经授权的信息处理活动。
49. 有关危害国家秘密安全的行为的法律责任,正确的是:
A.严重违反保密规定行为只要发生,无论产生泄密实际后果,都要依法追究责任
B.非法获取国家秘密,不会构成刑事犯罪,不需承担刑事责任
C.过失泄露国家秘密,不会构成刑事犯罪,不需承担刑事责任
D.承担了刑事责任,无需再承担行政责任和/或其他处分 解释:略
50. 以下对于信息安全事件理解错误的是:
A.信息安全事件,是指由于自然或者人为以及软硬件本身缺陷或故障的原因,对信息系统造成危害,或在信息系统内 发生对社会造成负面影响的事件
B.对信息安全事件进行有效管理和响应,最小化事件所造成的损失和负面影响,是组织信息安全战略的一部分
C.应急响应是信息安全事件管理的重要内容
D. 通过部署信息安全策略并配合部署防护措施,能够对信息及信息系统提供保护,杜绝信息安全事件的发生 解释:安全事件无法杜绝。
51. 假设一个系统已经包含了充分的预防控制措施,那么安装监测控制设备:
A.是多余的,因为它们完成了同样的功能,但要求更多的开销
B.是必须的,可以为预防控制的功效提供检测
C.是可选的,可以实现深度防御
D.在一个人工系统中是需要的,但在一个计算机系统中则是不需要的,因为预防控制功能已经足够 解释:略
52. 关于我国加强信息安全保障工作的主要原则,以下说法错误的是:
A.立足国情,以我为主,坚持技术与管理并重
B.正确处理安全和发展的关系,以安全保发展,在发展中求安全
C.统筹规划,突出重点,强化基础工作
D.全面提高信息安全防护能力,保护公众利益,维护国家安全
解释:D 描述的是信息安全保障工作目标;ABC 描述的是信息安全保障的原则。
53. 以下哪一项不是信息安全管理工作必须遵循的原则?
A.风险管理在系统开发之初就应该予以充分考虑,并要贯穿于整个系统开发过程之中
B.风险管理活动应成为系统开发、运行、维护、直至废弃的整个生命周期内的持续性工作
C. 由于在系统投入使用后部署和应用风险控制措施针对性会更强,实施成本会相对较低
D.在系统正式运行后,应注重残余风险的管理,以提高快速反应能力 解释:安全措施投入应越早则成本越低,C 答案则成本会上升。
54. 《信息安全技术 信息安全风险评估规范》(GB/T 20984-2007) 信息系统生命周期各阶段的风险评估描述不正确的是: A.规划阶段风险评估的目的是识别系统的业务战略,以支撑系统安全需求及安全战略等
B.设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性,提出安全功能需求
C.实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别,并对系统建成后的安 全功能进行验证
D.运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险,是一种全面的风险评估。评估内容包括对真实运 行的信息系统、资产、脆弱性等各方面
解释:来源于《信息安全技术 信息安全风险评估规范》(GB/T 20984-2007),原文描述 D 为“是一种较全面的风险评 估”。
55. 对信息安全风险评估要素理解正确的是:
A. 资产识别的粒度随着评估范围、评估目的的不同而不同,可以是硬件设备,也可以是业务系统,也可以是组织机构
B.应针对构成信息系统的每个资产做风险评价
C.脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而找出的差距项
D.信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁
解释:B 错误,应该是抽样评估;C 错误,应该其描述的是差距分析;D 错误,应该是威胁包括人为威胁和环境威胁。
56. 以下哪些是需要在信息安全策略中进行描述的:
A.组织信息系统安全架构 C.组织信息安全技术参数
B. 信息安全工作的基本原则 D.组织信息安全实施手段 解释:安全策略是宏观的原则性要求,不包括具体的架构、参数和实施手段。
57. 根据《关于开展信息安全风险评估工作的意见》的规定,错误的是:
A.信息安全风险评估分自评估、检查评估两形式。应以检查评估为主, 自评估和检查评估相互结合、互为补充
B.信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效”的原则开展
C.信息安全风险评估应贯穿于网络和信息系统建设运行的全过程
D.开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导 解释:信息安全风险评估应以自评估 (自查) 为主。
58. 下面的角色对应的信息安全职责不合理的是:
A.高级管理层——最终责任
B. 信息安全部门主管——提供各种信息安全工作必须的资源
C.系统的普通使用者——遵守日常操作规范
D.审计人员——检查安全策略是否被遵从
解释:通常由管理层提供各种信息安全工作必须的资源。
59. 自 2004 年 1 月起,国内各有关部门在申报信息安全国家标准计划项目时,必须经由以下哪个组织提出工作意见,协调
一致后由该组织申报。
A.全国通信标准化技术委员会(TC485)
C.***通信标准化协会(CCSA)
D.网络与信息安全技术工作委员会
解释:答案为 B。
60. 风险计算原理可以用下面的范式形式化地加以说明:风险值=R (A,T,V)=R(L(T,V),F(Ia,Va))以下关于上式各项说 明错误的是:
A.R 表示安全风险计算函数,A 表示资产,T 表示威胁,V 表示脆弱性
B.L 表示威胁利资产脆弱性导致安全事件的可能性
C.F 表示安全事件发生后造成的损失
D.Ia,Va 分别表示安全事件作用全部资产的价值与其对应资产的严重程度
解释:Ia 资产 A 的价值;Va 是资产 A 的脆弱性严重程度。
61. 以下哪一项在防止数据介质被滥用时是不推荐使用的方法:
A.禁用主机的 CD 驱动、USB 接口等 I/O 设备
C.将不再使用的纸质文件用碎纸机粉碎
B.对不再使用的硬盘进行严格的数据清除
解释:快速格式化删除存储介质中的保密文件不能防止信息泄露。
62. 在进行应用系统的测试时,应尽可能避免使用包含个人稳私和其它敏感信息的实际生产系统中的数据,如果需要使用时, 以下哪一项不是必须做的:
A.测试系统应使用不低于生产系统的访问控制措施 C.在测试完成后立即清除测试系统中的所有敏感数据
B.为测试系统中的数据部署完善的备份与恢复措施 D.部署审计措施,记录生产数据的拷贝和使用
解释: 由于备份会造成个人稳私和其它敏感信息的扩散。
63. 为了保证系统日志可靠有效,以下哪一项不是日志必需具备的特征。
A.统一而精确地的时间 C.包括访问源、访问目标和访问活动等重要信息
B.全面覆盖系统资产 D. 可以让系统的所有用户方便的读取
解释: 日志只有授权用户可以读取。
64. 关于信息安全事件管理和应急响应,以下说法错误的是:
A.应急响应是指组织为了应对突发/重大信息安全事件的发生所做的准备,以及在事件发生后所采取的措施
B. 应急响应方法,将应急响应管理过程分为遏制、根除、处置、恢复、报告和跟踪 6 个阶段
C.对信息安全事件的分级主要参考信息系统的重要程度、系统损失和社会影响三方面因素
D.根据信息安全事件的分级参考要素,可将信息安全事件划分为 4 个级别:特别重大事件( Ⅰ级)、重大事件(Ⅱ级)、 较大事件(Ⅲ级)和一般事件(Ⅳ级)
解释:应急响应的六个阶段是准备、检测、遏制、根除、恢复、跟踪总结。
65. 以下哪一项不属于信息安全工程监理模型的组成部分:
A.监理咨询支撑要素 B.控制和管理手段
解释:监理模型组成包括监理咨询支撑要素、监理咨询阶段过程、控制和管理手段。
66. 以下关于灾难恢复和数据备份的理解,说法正确的是:
A.增量备份是备份从上次完全备份后更新的全部数据文件
B.依据具备的灾难恢复资源程度的不同,灾难恢复能力分为 7 个等级 C.数据备份按数据类型划分可以划分为系统数据备份和用户数据备份
D.如果系统在一段时间内没有出现问题,就可以不用再进行容灾演练了
解释:A 错误,因为差分备份是上次全备后的更新数据;增量备份是任何上一次备份后的更新数据。全备份周期最长、 次之差分备份,更新周期最短是增量备份。B 错误,我国灾备能力级别一共分为 6 级。D 是明显的错误。
67. 某公司拟建设面向内部员工的办公自动化系统和面向外部客户的营销系统,通过公开招标选择 M 公司为承建单位,并选 择了H 监理公司承担该项目的全程监理工作, 目前,各个应用系统均已完成开发,M 公司已经提交了验收申请,监理公 司需要对 A 公司提交的软件配置文件进行审查,在以下所提交的文档中,哪一项属于开发类文档:
A.项目计划书 B.质量控制计划 C.评审报告 D.需求说明书
解释:ABC 其均属于项目管理文档。需求说明书、设计说明书、测试方案、测试用例等属于开发类文档。
68. 在某网络机房建设项目中,在施工前,以下哪一项不属于监理需要审核的内容:
A.审核实施投资计划 B.审核实施进度计划 C.审核工程实施人员 D. 企业资质
解释:监理从项目招标开始到项目的验收结束,在投资计划阶段没有监理。
69. 以下关于直接附加存储(Direct Attached Storage,DAS)说法错误的是:
A.DAS 能够在服务器物理位置比较分散的情况下实现大容量存储.是一种常用的数据存储方法
B.DAS 实现了操作系统与数据的分离,存取性能较高并且实施简单
C.DAS 的缺点在于对服务器依赖性强,当服务器发生故障时,连接在服务器上的存储设备中的数据不能被存取
D.较网络附加存储(Network Attached Storage,NAS),DAS节省硬盘空间,数据集中,便于对数据进行管理和备份 解释:NAS 优点数据集中、节约空间,缺点是占用网络带宽、存储中心存在单点故障。
DAS 优点数据分散、风险分散,缺点是存储空间利用率低、不便于统一管理。SAN 基于 NAS 的进一步实现,基于高速网 络、多备份中心来进行实现。
70. 某公司在执行灾难恢复测试时.信息安全专业人员注意到灾难恢复站点的服务器的运行速度缓慢,为了找到根本愿因, 他应该首先检查:
A.灾难恢复站点的错误事件报告
B.灾难恢复测试计划
解释:答案为 A。
C.灾难恢复计划(DRP)
D.主站点和灾难恢复站点的配置文件
71. 以下对异地备份中心的理解最准确的是:
A.与生产中心不在同一城市
C.与生产中心距离 200 公里以上
B.与生产中心距离 100 公里以上
D.与生产中心面临相同区域性风险的机率很小
解释:答案为 D,备份中心的综合风险小于主中心。
72. 作为业务持续性计划的一部分,在进行业务影响分析(BIA)时的步骤是:
1.标识关键的业务过程;2.开发恢复优先级;3.标识关键的 IT 资源;4.表示中断影响和允许的中断时间
A. 1 -3-4-2 B. 1 -3-2-4 C.1-2-3-4 D. 1 -4-3-2 解释:根据 BCM 的分析过程顺序为 A。
73. 有关系统安全工程-能力成熟度模型(SSE-CMM),错误的理解是:
A.SSE-CMM 要求实施组织与其他组织相互作用,如开发方、产品供应商、集成商和咨询服务商等
B.SSE-CMM 可以使安全工程成为一个确定的、成熟的和可度量的科目
C.基手 SSE-CMM 的工程是独立工程,与软件工程、硬件工程、通信工程等分别规划实施
D. SSE-CMM 覆盖整个组织的活动,包括管理、组织和工程活动等,而不仅仅是系统安全的工程活动 解释:SSE-CMM 是系统工程,不可以独立实施。
74. 下面关于信息系统安全保障的说法不正确的是:
A.信息系统安全保障与信息系统的规划组织、开发采购、实施交付、运行维护和废弃等生命周期密切相关
B. 信息系统安全保障要素包括信息的完整性、可用性和保密性
C.信息系统安全需要从技术、工程、管理和人员四个领域进行综合保障
D.信息系统安全保障需要将信息系统面临的风险降低到可接受的程度,从而实现其业务使命
解释:信息系统安全保障要素为技术工程管理和人员四个领域。信息系统安全保障的安全特征是完整、保密和可用性。
75. 在使用系统安全工程-能力成熟度模型(SSECMM)对一个组织的安全工程能力成熟度进行测量时,正确的理解是:
A.测量单位是基本实施(Base Practices,BP) B.测量单位是通用实践(Generic Practices,GP) 解释:公共特征是衡量能力的标志。
C.测量单位是过程区域(Process Areas,PA)
D.测量单位是公共特征(Common Features,CF)
76. 下面关于信息系统安全保障模型的说法不正确的是:
A.国家标准《信息系统安全保障评估框架第一部分:简介和一般模型》 (GB/T20274.1-2006)中的信息系统安全保障 模型将风险和策略作为基础和核心
B.模型中的信息系统生命周期模型是抽象的概念性说明模型,在信息系统安全保障具体操作时,可根据具体环境和要 求进行改动和细化
C.信息系统安全保障强调的是动态持续性的长效安全,而不仅是某时间点下的安全
D.信息系统安全保障主要是确保信息系统的保密性、完整性和可用性,单位对信息系统运行维护和使用的人员在能力 和培训方面不需要投入
解释:单位对信息系统运行维护和使用的人员在能力和培训方面需要投入。
77. 信息系统安全工程(ISSE)的一个重要目标就是在 IT 项目的各个阶段充分考虑安全因素,在 IT 项目的立项阶段,以下哪 一项不是必须进行的工作:
A.明确业务对信息安全的要求 C.论证安全要求是否正确完整
解释:D 属于项目的验收阶段,不属于 IT 项目的立项阶段,题干属于立项阶段。
78. 关于信息安全保障技术框架(IATF),以下说法不正确的是:
A. 分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本
B.IATF 从人、技术和操作三个层面提供一个框架实施多层保护,使攻击者即使攻破一层也无法破坏整个信息基础设施
C.允许在关键区域(例如区域边界)使用高安全级保障解决方案,确保系统安全性
D.IATF 深度防御战略要求在网络体系结构各个可能位置实现所有信息安全保障机制
解释:IATF 是在网络的各位置实现所需的安全机制。
79. 某单位开发一个面向互联网提供服务的应用网站,该单位委托软件测评机构对软件进行了源代码分析,模糊测试等软件
9 / 12
测试,在应用上线前,项目经理提出了还需要对应用网站进行一次渗透性测试,作为安全主管,你需要提出渗透性测试 相比源代码测试,模糊测试的优势给领导做决策,以下哪条是渗透性的优势?
A.渗透测试使用人工进行测试,不依赖软件,因此测试更准确
B.渗透测试是用软件代替人工的一种测试方法。因此测试效率更高
C.渗透测试以攻击者思维模拟真实攻击,能发现如配置错误等运行维护期产生的漏洞
D.渗透测试中必须要查看软件源代码,因此测试中发现的漏洞更多
解释:C 是渗透测试的优点。
80. 以下关于软件安全测试说法正确的是 ()
A.软件安全测试就是黑盒测试
B.FUZZ模糊测试是经常采用的安全测试方法之一
解释:B 是正确答案。
C.软件安全测试关注的是软件的功能
D.软件安全测试可以发现软件中产生的所有安全问题
81. 信息安全工程作为信息安全保障的重要组成部门,主要是为了解决:
A.信息系统的技术架构安全问题 C.信息系统生命周期的过程安全问题
B.信息系统组成部门的组件安全问题 D.信息系统运行维护的安全管理问题
解释:正确的答案为 C。
82. 有关系统安全工程-能力成熟度模型 (SSE-CMM)中基本实施 (Base Practice) 正确的理解是:
A.BP 不限定于特定的方法工具,不同业务背景中可以使用不同的方法
B.BP 不是根据广泛的现有资料,实施和专家意见综合得出的
C.BP 不代表信息安全工程领域的最佳实践
D.BP 不是过程区域 (Process Areas,PA )的强制项
解释:BP 属于安全工程的最小单元,其不限定于特定的方法工具,不同业务背景中可以使用不同的方法;是根据广泛 的现有资料,实施和专家意见综合得出的;代表着信息安全工程领域的最佳实践;并且是过程区域 (Process Areas,PA ) 的强制项。
83. 层次化的文档是信息安全管理体系《Information Security Management System.ISMS》建设的直接体系,也 ISMS 建设 的成果之一,通常将 ISMS 的文档结构规划为 4 层金字塔结构,那么,以下选项 () 应放入到一级文件中.
A.《风险评估报告》 B.《人力资源安全管理规定》 C.《ISMS 内部审核计划》 D.《单位信息安全方针》
解释:正确答案为 D。一级文件中一般为安全方针、策略文件;二级文件中一般为管理规范制度;三级文件一般为操作 手册和流程;四级文件一般表单和管理记录。
84. 信息安全管理体系 (information Security Management System.简称 ISMS) 的实施和运行 ISMS 阶段,是 ISMS 过程模 型的实施阶段 (Do),下面给出了一些备①制定风险处理计划②实施风险处理计划③开发有效性测量程序④实施培训和 意识教育计划⑤管理 ISMS 的运行⑥管理 ISMS 的资源⑦执行检测事态和响应事件的程序⑧实施内部审核⑨实施风险再评 估选的活动,选项 () 描述了在此阶段组织应进行的活动。
A.①②③④⑤⑥ B.①②③④⑤⑥⑦ C.①②③④⑤⑥⑦⑧ D.①②③④⑤⑥⑦⑧⑨
解释:管理体系包括 PDCA (Plan-Do-Check-Act) 四个阶段,题干中 1-7 的工作都属于管理体系的实施阶段 (D-Do), 而 8 和 9 属于检查阶段 (C-Check)。
85. 在实施信息安全风险评估时,需要对资产的价值进行识别、分类和赋值,关于资产价值的评估,以下选项中正确的是 () A.资产的价值指采购费用 B.资产的价值指维护费用 C.资产的价值与其重要性密切相关 D.资产的价值无法估计 解释:答案为 C。
86. 某软件公司准备提高其开发软件的安全性,在公司内部发起了有关软件开发生命周期的讨论,在下面的发言观点中,正 确的是 ()
A.软件安全开发生命周期较长,而其中最重要的是要在软件的编码安全措施,就可以解决 90%以上的安全问题。
B.应当尽早在软件开发需求和设计阶段增加一定安全措施,这样可以比在软件发布以后进行漏洞修复所花的代价少得多。 C.和传统的软件开发阶段相比,微软提出的安全开发生命周期 (SDL)最大特点是增加了一个专门的安全编码阶段。
D.软件的安全测试也很重要,考试到程序员的专业性,如果该开发人员已经对软件进行了安全性测试,就没有必要再组 织第三方进行安全性测试。
解释:答案为 B。A-现代软件工程体系中软件最重要的阶段为设计阶段。C-SDL 最大的特点是增加了安全培训和应急响 应。D-第三方测试是必要的软件安全测试类型。
87. 某网站在设计对经过了威胁建模和攻击面分析,在开发时要求程序员编写安全的代码,但是在部署时由于管理员将备份 存放在 WEB 目录下导致了攻击者可直接下载备份,为了发现系统中是否存在其他类拟问题,一下那种测试方式是最佳的 测试方法。
A.模糊测试 B.源代码测试 C.渗透测试 D.软件功能测试
解释:答案为 C。
88. 下面哪项属于软件开发安全方面的问题 ()
A.软件部署时所需选用服务性能不高,导致软件执行效率低。
B.应用软件来考虑多线程技术,在对用户服务时按序排队提供服务
解释:C 有关,ABD 与软件安全开发无关。
89. 为增强 Web 应用程序的安全性,某软件开发经理决定加强 Web 软件安全开发培训,下面哪项内容不在考虑范围内 () A.关于网站身份签别技术方面安全知识的培训 C.针对 SQL 注入漏洞的安全编程培训
B.针对 OpenSSL 心脏出血漏洞方面安全知识的培训 D.关于 ARM 系统漏洞挖掘方面安全知识的培训
解释:D 属于 ARM 系统,不属于 WEB 安全领域。
90. 以下关于 https 协议 http 协议相比的优势说明,那个是正确的:
A.Https协议对传输的数据进行加密,可以避免嗅探等攻击行为
B.Https 使用的端口http 不同,让攻击者不容易找到端口,具有较高的安全性
C.Https 协议是 http 协议的补充,不能独立运行,因此需要更高的系统性能
D.Https 协议使用了挑战机制,在会话过程中不传输用户名和密码,因此具有较高的
解释:HTTPS 具有数据加密机制。
91. 不同的信息安全风险评估方法可能得到不同的风险评估结果,所以组织机构应当根据各自的实际情况选择适当的风险评 估方法。下面的描述中错误的是 ()。
A.定量风险分析试图从财务数字上对安全风险进行评估,得出可以量化的风险分析结果,以度量风险的可能性和缺失量 B.定量风险分析相比定性风险分析能得到准确的数值,所以在实际工作中应使用定量风险分析,而不应用定性风险分析 C.定性风险分析过程中,往往需要凭借分析者的经验和直接进行,所以分析结果和风险评估团队的素质、经验和知识技 能密切相关
D.定性风险分析更具主观性,而定量风险分析更具客观性
解释:实际工作中根据情况选择定量、定性或定量与定性相结合。
92. 小李去参加单位组织的信息安全管理体系 (Information Security Management System.ISMS) 的理解画了一下一张图(图 中包括了规划建立、实施运行、( )、保持和改进),但是他还存在一个空白处未填写,请帮他选择一个最合适的选项 ()。 A.监控和反馈 ISMS B.批准和监督 ISMS C.监视和评审 ISMS D.沟通和咨询 ISMS
解释:管理体系 PDCA 分别指的阶段是:P-规划建立、D-实施运行、C-监视和评审、A-保持和改进。
93. 为推动和规范我国信息安全等级保护工作,我国制定和发布了信息安全等级保护工作所需要的一系列标准,这些标准可 以按照等级保护工作的工作阶段大致分类。下面四个标准中,() 规定了等级保护定级阶段的依据、对象、流程、方法 及等级变更等内容。
A.GB/T 20271-2006《信息系统通用安全技术要求》
B.GB/T22240-2008《信息系统安全保护等级定级指南》
C.GB/T 25070-2010《信息系统等级保护安全设计技术要求》
D.GB/T 20269-2006《信息系统安全管理要求》
解释:答案为 B。
94. 某移动智能终端支持通过指纹识别解锁系统的功能,与传统的基于口令的鉴别技术相比,关于此种鉴别技术说法不正确 的是:
A.所选择的特征 (指纹) 便于收集、测量和比较
B.每个人所拥有的指纹都是独一无二的
C.指纹信息是每个人独有的,指纹识别系统不存在安全威胁问题
D.此类系统一般由用户指纹信息采集和指纹信息识别两部分组成
解释:指纹识别系统存在安全威胁问题,同时存在着错误拒绝率和错误接受率的问题。
95. 下列我国哪一个政策性文件明确了我国信息安全保障工作的方针和总体要求以及加强信息安全工作的主要原则? A.《关于加强政府信息系统安全和保密管理工作的通知》
B.《***人民共和国计算机信息系统安全保护条例》
C.《国家信息化领导小组关于加强信息安全保障工作的意见》
D.《关于开展信息安全风险评估工作的意见》
解释:《国家信息化领导小组关于加强信息安全保障工作的意见》(中办 2003 年 27 号文件) 规定了信息安全工作的原则, 例如立足国情、以我为主、坚持技管并重等。
96. 在以下标准中,属于推荐性国家标准的是?
A.GB/TXXXX.X-200X B.GB XXXX-200X
C.DBXX/T XXX-200X D.GB/Z XXX-XXX-200X
解释:A 为国标推荐标准;B 为国标强制标准;C 为地方标准;D 为国标指导标准。
97. 微软 SDL 将软件开发生命周期制分为七个阶段,并列出了十七项重要的安全活动。其中“弃用不安全的函数”属于 () 的安全活动
A.要求阶段 B.设计阶段 C.实施阶段 D.验证阶段
解释:弃用不安全的函数为编码实施阶段。
98. 由于频繁出现计算机运行时被黑客远程攻击获取数据的现象,某软件公司准备加强软件安全开发管理,在下面做法中, 对于解决问题没有直接帮助的是 ()
A.要求所有的开发人员参加软件安全开发知识培训
B.要求增加软件源代码审核环节,加强对软件代码的安全性审查
D.要求邀请专业队伍进行第三方安全性测试,尽量从多角度发现软件安全问题
解释:统一采用Windows8 系统对软件安全无帮助。
99. 关于源代码审核,描述正确的是 ()
A.源代码审核过程遵循信息安全保障技术框架模型(IATF),在执行时应一步一步严格执行
B.源代码审核有利于发现软件编码中存在的安全问题,相关的审核工具既有商业、开源工具
C.源代码审核如果想要有效率高,则主要依赖人工审核而不是工具审核,因为人工智能的,需要人的脑袋来判断 D.源代码审核能起到很好的安全保证作用,如果执行了源代码审核,则不需要安全测试
解释:A 错误,因为 IATF 不用于代码审核;C 错误,因为人工和攻击相结合;D 错误,安全测试由需求确定。
100. 微软提出了 STRIDE 模型,其中 R 是 Repudiation(抵赖)的缩写,此项错误的是 () A.某用户在登录系统并下载数据后,却声称“我没有下载过数据"软件 R 威胁
B.某用户在网络通信中传输完数据后,却声称“这些数据不是我传输的”威胁也属于 R 威胁。
C.对于 R 威胁,可以选择使用如强认证、数字签名、安全审计等技术
D.对于 R 威胁,可以选择使用如隐私保护、过滤、流量控制等技术
解释:R-抵赖是无法通过过滤、流控和隐私保护实现的,R-抵赖的实现方式包括数字签名、安全审计、第三方公证。
信息安全专业人员知识测试试题 (二)
1. 我国信息安全保障工作先后经历启动、逐步展开和积极推进,以及深化落实三个阶段,以下关于我国信息安全保障各 阶段说法不正确的是:
A. 2001 国家信息化领导小组重组,网络与信息安全协调小组成立,我国信息安全保障工作正式启动
B. 2003 年 7 月,国家信息化领导小组制定出台了《关于加强信息安全保障工作的意见》(中办发 27 号文),明确了“积 极防御、综合防范“的国家信息安全保障方针
C.2003 年中办发 27 号文件的发布标志着我国信息安全保障进入深化落实阶段
D .在深化落实阶段,信息安全法律法规、标准化,信息安全基础设施建设,以及信息安全等级保护和风险评估取得 了新进展。
解释:2006 年进入到深化落实阶段。
2. 金女士经常通过计算机在互联网上购物,从安全角度看,下面哪项是不好的习惯:
A使用专用上网购物用计算机,安装好软件后不要对该计算机上的系统软件,应用软件进行升级 B 为计算机安装具有良好声誉的安全防护软件,包括病毒查杀,安全检查和安全加固方面的软件
C 在 IE 的配置中,设置只能下载和安装经过签名的,安全的 ActiveX 控件
D 在使用网络浏览器时,设置不在计算机中保留网络历史纪录和表单数据
解释:A 为正确答案。
3. 我国信息安全保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面,以下关于安全保障建设主要工作 内容说法不正确的是:
A. 建全国家信息安全组织与管理体制机制,加强信息安全工作的组织保障
B. 建设信息安全基础设施,提供国家信息安全保障能力支撑
D. 建立信息安全人才培养体系,加快信息安全学科建设和信息安全人才培养 解释:实现自主创新在过去的的保障中为自主可控。
4. 某银行信息系统为了满足业务的需要准备进行升级改造,以下哪一项不是此次改造中信息系统安全需求分析过程需要 考虑的主要因素
A. 信息系统安全必须遵循的相关法律法规,国家以及金融行业安全标准
B. 信息系统所承载该银行业务正常运行的安全需求
C. 消除或降低该银行信息系统面临的所有安全风险
D. 该银行整体安全策略
解释:无法消除或降低该银行信息系统面临的所有安全风险。
5. 信息安全测评是指依据相关标准,从安全功能等角度对信息技术产品、信息系统、服务提供商以及人员进行测试和评 估,以下关于信息安全测评说法不正确的是:
A. 信息产品安全评估是测评机构的产品的安全性做出的独立评价,增强用户对已评估产品安全的信任 B.目前我国常见的信息系统安全测评包括信息系统风险评估和信息系统安全保障测评两种类型
C. 信息安全工程能力评估是对信息安全服务提供者的资格状况、技术实力和实施服务过程质量保证能力的具体衡量 和评价。
D. 信息系统风险评估是系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件可能造成的危害 程度,提出游针对性的安全防护策略和整改措施
解释:测评包括产品测评、风险评估、保障测评和等级保护测评。
6. 美国的关键信息基础设施 (Critical Information Infrastructure,CII) 包括商用核设施、政策设施、交通系统、饮用水和 废水处理系统、公共健康和医疗、能源、银行和金融、国防工业基地等等,美国政府强调重点保障这些基础设施信息 安全,其主要原因不包括:
A. 这些行业都关系到国计民生,对经济运行和国家安全影响深远
B. 这些行业都是信息化应用广泛的领域 C.这些行业信息系统普遍存在安全隐患,而且信息安全专业人才缺乏的现象比其他行业更突出
D. 这些行业发生信息安全事件,会造成广泛而严重的损失。 解释:从题目中不能反映 C 的结论。
7. 在设计信息系统安全保障方案时,以下哪个做法是错误的: A.要充分切合信息安全需求并且实际可行
B.要充分考虑成本效益,在满足合规性要求和风险处置要求的前提下,尽量控制成本
C.要充分采取新技术,使用过程中不断完善成熟,精益求精,实现技术投入保值要求
D.要充分考虑用户管理和文化的可接受性,减少系统方案障碍
1 / 13
解释:设计信息系统安全保障方案应采用合适的技术。
8. 分组密码算法是一类十分重要的密码算法,下面描述中,错误的是 ()
A.分组密码算法要求输入明文按组分成固定长度的块 B.分组密码的算法每次计算得到固定长度的密文输出块
C.分组密码算法也称作序列密码算法 D.常见的 DES 、IDEA 算法都属于分组密码算法
解释:分组密码算法和序列算法是两种算法。
9. 密码学是网络安全的基础,但网络安全不能单纯依靠安全的密码算法、密码协议也是网络安全的一个重要组成部分。 下面描述中,错误的是 ()
A.在实际应用中,密码协议应按照灵活性好、可扩展性高的方式制定,不要限制和框住的执行步骤,有些复杂的步 骤可以不明确处理方式。
B.密码协议定义了两方或多方之间为完成某项任务而指定的一系列步骤,协议中的每个参与方都必须了解协议,且 按步骤执行。
C.根据密码协议应用目的的不同,参与该协议的双方可能是朋友和完全信息的人,也可能是敌人和互相完全不信任 的人。
D.密码协议(Crypto graphic protocol) ,有时也称安全协议(security protocol), 是使用密码学完成某项特定的任务并满足 安全需求的协议,其末的是提供安全服务。
解释:密码协议应限制和框住的执行步骤,有些复杂的步骤必须要明确处理方式。
10. 部署互联网协议安全虚拟专用网 (Internet protocol Security Virtual Private Network,IPsec VPN) 时,以下说法正确的是:
A. 配置 MD5 安全算法可以提供可靠的数据加密
B.配置 AES 算法可以提供可靠的数据完整性验证 C.部署 IPsecVPN网络时,需要考虑 IP地址的规划,尽量在分支节点使用可以聚合的 IP 地址段,来减少 IPsec 安 全关联 ( SecurityAuthentication,SA) 资源的消耗
D.报文验证头协议 (Authentication Header,AH) 可以提供数据机密性
解释:A 错误,MD5 提供完整性;B 错误,AES 提供的保密性;D 错误,AH 协议提供完整性、验证及抗重放攻击。
11. 虚拟专用网络 (VPN) 通常是指在公共网路中利用隧道技术,建立一个临时的,安全的网络。这里的字母 P 的正确 解释是 ()
A.Special-purpose. 特定、专用用途的 C.Private私有的、专有的
B.Proprietary 专有的、专卖的 D.Specific 特种的、具体的
解释:C 为正确答案。
12. 以下 Windows 系统的账号存储管理机制 SAM (Security Accounts Manager) 的说法哪个是正确的: A.存储在注册表中的账号数据是管理员组用户都可以访问,具有较高的安全性
B.存储在注册表中的账号数据 administrator 账户才有权访问,具有较高的安全性
C.存储在注册表中的账号数据任何用户都可以直接访问,灵活方便
D.存储在注册表中的账号数据只有 System 账号才能访问,具有较高的安全性
解释:D 为正确答案。
13. 某公司的对外公开网站主页经常被黑客攻击后修改主页内容,该公司应当购买并部署下面哪个设备 ()
A.安全路由器
B. 网络审计系统
解释:网页防篡改系统用来防范 WEB 篡改。
14. 关于恶意代码,以下说法错误的是:
A.从传播范围来看,恶意代码呈现多平台传播的特征。
C. 网页防篡改系统
D.虚拟专用网 (Virtual Private Network ,VPN) 系统
B.按照运行平台,恶意代码可以分为网络传播型病毒、文件传播型病毒。
C.不感染的依附性恶意代码无法单独执行
D.为了对目标系统实施攻击和破坏,传播途径是恶意代码赖以生存和繁殖的基本条件
解释:按照运行平台,恶意代码可以分为 Windows 平台、Linux 平台、工业控制系统等。
15. 某单位对其主网站的一天访问流量监测图,图显示该网站在当天 17:00 到 20:00 间受到了攻击,则从数据分析,这 种攻击类型最可能属于下面什么攻击 ()。
A.跨站脚本 (Cross Site Scripting ,XSS) 攻击 B.TCP 会话劫持 (TCP Hijack) 攻击
C.IP 欺骗攻击
D.拒绝服务 (DenialofService,DoS) 攻击
解释:答案为 D。
16. 当前,应用软件安全已经日益引起人们的重视,每年新发现的应用软件漏洞已经占新发现漏洞总数一半以上。下列选 项中,哪个与应用软件漏洞成因无关:
A.传统的软件开发工程未能充分考虑安全因素
B.开发人员对信息安全知识掌握不足
C.相比操作系统而言,应用软件编码所采用的高级语言更容易出现漏洞
D.应用软件的功能越来越多,软件越来越复杂,更容易出现漏洞
解释:无论高级和低级语言都存在漏洞。
17. 下面哪个模型和软件安全开发无关 () ?
A.微软提出的“安全开发生命周期 (Security Development Lifecycle,SDL) ”
B.Gray McGraw 等提出的“使安全成为软件开发必须的部分 (Building Security IN ,BSI) ”
C.OWASP 维护的“软件保证成熟度模型 (Software Assurance Maturity Mode,SAMM) ”
D.“信息安全保障技术框架 (Information Assurance Technical Framework ,IATF) ”
解释:D 与软件安全开发无关,ABC 均是软件安全开发模型。
18. 某单位门户网站开发完成后,测试人员使用模糊测试进行安全性测试,以下关于模糊测试过程的说法正确的是: A.模拟正常用户输入行为,生成大量数据包作为测试用例
B.数据处理点、数据通道的入口点和可信边界点往往不是测试对象
C.监测和记录输入数据后程序正常运行的情况
D.深入分析测试过程中产生崩溃或异常的原因,必要时需要测试人员手工重现并分析
解释:A 错,模糊测试是模拟异常输入;B 错,入口与边界点是测试对象;C 模糊测试记录和检测异常运行情况。
19. 以下关于模糊测试过程的说法正确的是:
A.模糊测试的效果与覆盖能力,与输入样本选择不相关
B.为保障安全测试的效果和自动化过程,关键是将发现的异常进行现场保护记录,系统可能无法恢复异常状态进行 后续的测试
C.通过异常样本重现异常,人工分析异常原因,判断是否为潜在的安全漏洞,如果是安全漏洞,就需要进一步分析 其危害性、影响范围和修复建议
D.对于可能产生的大量异常报告,需要人工全部分析异常报告
解释:C 为模糊测试的涵义解释。
20. 关于 WI-FI 联盟提出的安全协议 WPA 和 WPA2 的区别。下面描述正确的是 () A.WPA 是有线局域安全协议,而 WPA2 是无线局域网协议
B.WPA 是适用于***的无线局域安全协议,WPA2 是使用于全世界的无线局域网协议
C.WPA 没有使用密码算法对接入进行认证,而 WPA2 使用了密码算法对接入进行认证
D.WPA 是依照 802.11i 标准草案制定的,而 WPA2 是按照 802.11i 正式标准制定的
解释:答案为 D。
21. 防火墙是网络信息系统建设中常常采用的一类产品,它在内外网隔离方面的作用是
A. 既能物理隔离,又能逻辑隔离
B.能物理隔离,但不能逻辑隔离
解释:答案为 C。
C.不能物理隔离,但是能逻辑隔离
D.不能物理隔离,也不能逻辑隔离
22. 异常入侵检测是入侵检测系统常用的一种技术,它是识别系统或用户的非正常行为或者对于计算机资源的非正常使用, 从而检测出入侵行为。下面说法错误的是
A.在异常入侵检测中,观察的不是已知的入侵行为,而是系统运行过程中的异常现象
B.实施异常入侵检测,是将当前获取行为数据和已知入侵攻击行为特征相比较,若匹配则认为有攻击发生
C.异常入侵检测可以通过获得的网络运行状态数据,判断其中是否含有攻击的企图,并通过多种手段向管理员报警 D.异常入侵检测不但可以发现从外部的攻击,也可以发现内部的恶意行为
解释:实施误用入侵检测 (或特征检测),是将当前获取行为数据和已知入侵攻击行为特征相比较,若匹配则认为有 攻击发生。
23. S 公司在全国有 20 个分支机构,总部由 10 台服务器、200 个用户终端,每个分支机构都有一台服务器、100 个左右 用户终端,通过专网进行互联互通。公司招标的网络设计方案中,四家集成商给出了各自的 IP 地址规划和分配的方 法,作为评标专家,请给 5 公司选出设计最合理的一个:
A.总部使用服务器、用户终端统一使用 10.0. 1.x 、各分支机构服务器和用户终端使用 192. 168.2.x--- 192. 168.20.x B.总部服务器使用 10.0. 1. 1— 11、用户终端使用 10.0. 1. 12—212 ,分支机构 IP 地址随意确定即可
C.总部服务器使用 10.0. 1.x 、用户端根据部门划分使用 10.0.2.x ,每个分支机构分配两个 A 类地址段,一个用做服
务器地址段、另外一个做用户终端地址段
D. 因为通过互联网连接,访问的是互联网地址, 内部地址经 NAT 映射,因此 IP 地址无需特别规划,各机构自行决 定即可。
解释:答案为 C ,考核的是 IP 地址规划的体系化。
24. 私有 IP 地址是一段保留的IP 地址。只适用在局域网中,无法在 Internet 上使用。私有地址,下面描述正确的是 ()。 A.A 类和 B 类地址中没有私有地址,C 类地址中可以设置私有地址
B.A 类地址中没有私有地址,B 类 和 C 类地址中可以设置私有地址
C.A 类、B 类和 C 类地址中都可以设置私有地址
D.A 类、B 类和 C 类地址中都没有私有地址
解释:答案为 C。
25. 口令破解是针对系统进行攻击的常用方法,windows 系统安全策略中应对口令破解的策略主要是帐户策略中的帐户锁 定策略和密码策略,关于这两个策略说明错误的是
A.密码策略主要作用是通过策略避免拥护生成弱口令及对用户的口令使用进行管控
B.密码策略对系统中所有的用户都有效
C.账户锁定策略的主要作用是应对口令暴力破解攻击,能有效地保护所有系统用户应对口令暴力破解攻击
D.账户锁定策略只适用于普通用户,无法保护管理员 administrator账户应对口令暴力破解攻击
解释:.账户锁定策略也适用于 administrator 账户。
26. windows 文件系统权限管理使用访问控制列表 (Access Control List.ACL) 机制,以下哪个说法是错误的:
A.安装 Windows 系统时要确保文件格式适用的是 NTFS. 因为 Windows 的 ACL 机制需要 NTFS 文件格式的支持 B. 由于 Windows 操作系统自身有大量文件和目录,因此很难对每个文件和目录设置严格的访问权限,为了使用上的 便利,Windows 上的 ACL 存在默认设置安全性不高的问题
C.Windows 的 ACL 机制中,文件和文件夹的权限是主体进行关联的,即文件夹和文件的访问权限信息是写在用户数 据库中的
D. 由于 ACL 具有很好灵活性,在实际使用中可以为每一个文件设定独立拥护的权限
解释:Windows 的 ACL 机制中,文件和文件夹的权限是客体关联的,即文件夹和文件的访问权限信息是写在客体文 件和文件夹属性数据库中。
27. 由于发生了一起针对服务器的口令暴力破解攻击,管理员决定对设置帐户锁定策略以对抗口令暴力破解。他设置了以 下账户锁定策略如下:
以下关于以上策略设置后的说法哪个是正确的
A.设置账户锁定策略后,攻击者无法再进行口令暴力破解,所有输错的密码的拥护就会被锁住
B.如果正常用户部小心输错了 3 次密码,那么该账户就会被锁定 10 分钟,10 分钟内即使输入正确的密码,也无法登
录系统
C.如果正常用户不小心连续输入错误密码 3 次,那么该拥护帐号被锁定 5 分钟,5 分钟内即使交了正确的密码,也无 法登录系统
D.攻击者在进行口令破解时,只要连续输错 3 次密码,该账户就被锁定 10 分钟,而正常拥护登陆不受影响 解释:答案为 B ,全部解释为 5 分钟计数器时间内错误 3 次则锁定 10 分钟。
28. 加密文件系统 (Encrypting File System, EFS) 是 Windows 操作系统的一个组件,以下说法错误的是 () A.EFS 采用加密算法实现透明的文件加密和解密,任何不拥有合适密钥的个人或者程序都不能解密数据
B.EFS 以公钥加密为基础,并利用了 widows 系统中的 CryptoAPI 体系结构
C.EFS 加密系统适用于 NTFS 文件系统合 FAT32 文件系统 (Windows 环境下)
D.EFS 加密过程对用户透明,EFS 加密的用户验证过程是在登陆 windows 时进行的
解释:答案为 C ,FAT32 不支持 EFS 加密。
29. 关于数据库恢复技术,下列说法不正确的是:
A.数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决,当数据库中数据被破坏时,可以利用冗 余数据来进行修复
B.数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来,是数据库恢复中采用 的基本技术
C. 日志文件在数据库恢复中起着非常重要的作用,可以用来进行事务故障恢复和系统故障恢复,并协助后备副本进 行介质故障恢复
D.计算机系统发生故障导致数据未存储到固定存储器上,利用日志文件中故障发生前数据的循环,将数据库恢复到 故障发生前的完整状态,这一对事务的操作称为提交
解释:利用日志文件中故障发生前数据的循环,将数据库恢复到故障发生前完整状态,这一对事务的操作称为回滚。
30. 数据库的安全很复杂,往往需要考虑多种安全策略,才可以更好地保护数据库的安全。以下关于数据库常用的安全策 略理解不正确的是:
A.最小特权原则,是让用户可以合法的存取或修改数据库的前提下,分配最小的特权,使得这些信息恰好能够完成 用户的工作
B.最大共享策略,在保证数据库的完整性、保密性和可用性的前提下,最大程度地共享数据库中的信息 C.粒度最小的策略,将数据库中数据项进行划分,粒度越小,安全级别越高,在实际中需要选择最小粒度 D.按内容存取控制策略,不同权限的用户访问数据库的不同部分
解释:数据库安全策略应为最小共享。
31. 数据在进行传输前,需要由协议自上而下对数据进行封装。TCP/IP 协议中,数据封装的顺序是:
A.传输层、网络接口层、互联网络层
B.传输层、互联网络层、网络接口层
解释:答案为 B。
C.互联网络层、传输层、网络接口层
D.互联网络层、网络接口层、传输层
32. 以下关于 SMTP 和 POP3 协议的说法哪个是错误的
A.SMTP 和 POP3 协议是一种基于 ASCII 编码的请求/响应模式的协议
B.SMTP 和 POP3 协议铭文传输数据,因此存在数据泄露的可能
C SMTP 和 POP3 协议缺乏严格的用户认证,因此导致了垃圾邮件问题
D.SMTP 和 POP3 协议由于协议简单,易用性更高,更容易实现远程管理邮件
解释:基于 HTTP 协议或 C/S 客户端实现邮件的远程管理。
33. 安全多用途互联网邮件扩展(Secure Multipurpose Internet Mail Extension, S/MIME )是指一种保障邮件安全的技术,下 面描述错误的是 ()
A.S/MIME 采用了非对称密码学机制 C.S/MIME 采用了邮件防火墙技术
B.S/MIME 支持数字证书 D.S/MIME 支持用户身份认证和邮件加密
解释:S/MIME 是邮件安全协议,不是防火墙技术。
34. 应用安全,一般是指保障应用程序使用过程和结果的安全。以下内容中不属于应用安全防护考虑的是 ()
A.身份鉴别,应用系统应对登陆的用户进行身份鉴别,只有通过验证的用户才能访问应用系统资源
B.安全标记,在应用系统层面对主体和客体进行标记,主体不能随意更改权限,增加访问
C.剩余信息保护,应用系统应加强硬盘、 内存或缓冲区中剩余信息的保护,防止存储在硬盘、 内存或缓冲区的信息 被非授权的访问
D.机房与设施安全,保证应用系统处于有一个安全的环境条件,包括机房环境、机房安全等级、机房的建造和机房 的装修等
解释:机房与设施安全属于物理安全,不属于应用安全。
35. A p a c h e H t t p S e r v e r (简称 A p a c h e ) 是一个开放源码的W E B服务运行平台,在使用过 程中,该软件默认会将自己的软件名和版本号发送给客户端。从安全角度出发,为隐藏这些信息,应当采取以下那种 措施 ()
A.安装后,修改访问控制配置文件
B.安装后,修改配置文件 Httpd.Conf 中的有关参数
C.安装后,删除A p a c h e H t t p S e r v e r源码
D.从正确的官方网站下载A p a c h e H t t p S e r v e r ,并安装使用
解释:答案为 B。
36. 下面信息安全漏洞理解错误的是:
A.讨论漏洞应该从生命周期的角度出发,信息产品和信息系统在需求、设计、实现、配置、维护和使用等阶段中均 有可能产生漏洞
B.信息安全漏洞是由于信息产品和信息系统在需求、设计、开发、部署或维护阶段, 由于设计、开发等相关人员无 意中产生的缺陷所造成的
C.信息安全漏洞如果被恶意攻击者成功利用,可能会给信息产品和信息系统带来安全损害,甚至带来大的经济损失 D. 由于人类思维能力、计算机计算能力的局限性等因素,所以在信息产品和信息系统中产生新的漏洞是不可避免的 解释:安全漏洞可以有意产生,也会无意产生。
37. 下面对“零日 ( z e r o - d a y ) 漏洞”的理解中,正确的是 ()
A.指一个特定的漏洞,该漏洞每年 1 月 1 日零点发作,可以被攻击者用来远程攻击,获取主机权限
B.指一个特定的漏洞,特指在 2 0 1 0 年被发现出来的一种漏洞,该漏洞被“震网”病毒所利用,用来攻击伊朗布什 尔核电站基础设施
C.指一类漏洞,即特别好被利用,一旦成功利用该类漏洞,可以在 1 天内文完成攻击,且成功达到攻击目标 D.指一类漏洞,即刚被发现后立即被恶意利用的安全漏洞,一般来说,那些已经被小部分人发现,但是还未公开、
还不存在安全补丁的漏洞都是零日漏洞
解释:D 是零日漏洞的解释。
38. 某单位发生的管理员小张在繁忙的工作中接到了一个电话,来电者:小张吗?我是科技处的李强,我的邮箱密码忘记 了,现在打不开邮件,我着急收割邮件,麻烦你先帮我把密码改成 1 2 3 ,我收完邮件自己修改掉密码。热心的小张 很快的满足了来电者的要求,随后,李强发现邮箱系统登陆异常,请问下说法哪个是正确的
A.小张服务态度不好,如果把李强的邮件收下来亲自交给李强就不会发生这个问题
B.事件属于服务器故障,是偶然事件,应向单位领导申请购买新的服务器
C.单位缺乏良好的密码修改操作流程或小张没按照操作流程工作
D.事件属于邮件系统故障,是偶然事件,应向单位领导申请邮件服务软件
解释:该题目考点为信息安全措施的操作安全,要求一切操作均有流程。
39. 某网站管理员小邓在流量监测中发现近期网站的入站 I CMP流量上升了 2 5 0 %,尽管网站没有发现任何的性能下 降或其他问题。但为了安全起见,他仍然向主管领导提出了应对策略,作为主管负责人,请选择有效的针对此问题的 应对措施:
A.在防火墙上设置策略,阻止所有的 I CMP流量进入 B.删除服务器上的p i n g . e x e程序
C.增加带宽以应对可能的拒绝服务攻击 D.增加网站服务器以应对即将来临的拒绝服务攻击
解释:A 是应对措施。
40. 下面四款安全测试软件中,主要用于 WEB 安全扫描的是 ()
A.CIsco Auditing Tools B.Acunetix Web VulnerabilityScanner C.NMAP D.ISS Database Scanner
解释:B 为 WEB 扫描工具。
41. 某单位计划在今年开发一套办公自动化 ( O A) 系统,将集团公司各地的机构通过互联网进行协同办公,在O A系统 的设计方案评审会上,提出了不少安全开发的建设,作为安全专家,请指出大家提的建议中不太合适的一条:
A.对软件开发商提出安全相关要求,确保软件开发商对安全足够的重视,投入资源解决软件安全问题 B. 要求软件开发人员进行安全开发培训,使开发人员掌握基本软件安全开发知识
C.要求软件开发商使用J a v a而不是A S P作为开发语言,避免 S Q L注入漏洞
D.要求软件开发商对软件进行模块化设计,各模块明确输入和输出数据格式,并在使用前对数据进行校验 解释:SQL 注入与编码 SQL 语法应用和过滤有关,与开发语言不是必然关系。
42. 在软件保障成熟度模型 ( S AMM) 中,规定了软件开发过程中的核心业务功能,下列哪个选项不属于核心业务功能 A.治理,主要是管理软件开发的过程和活动
B.构造,主要是在开发项目中确定目标并开发软件的过程与活动
C.验证,主要是测试和验证软件的过程和活动
D.购置,主要是购买第三方商业软件或者采用开源组件的相关管理过程与活动 解释: S AMM包括治理、构造、验证、部署。
43. 某软件公司准备提高其开发软件的安全性,在公司内部发起了有关软件开发生命周期的讨论,在下面的发言观点中, 正确的是 ()
A.软件安全开发生命周期较长,阶段较多,而其中最重要的是要在软件的编码阶段做好安全措施,就可以解决 9 0 % 以上的安全问题
B.应当尽早在软件开发的需求和设计阶段就增加一定的安全措施,这样可以比在软件发布以后进行漏洞修复所花的
代价少的多。
C.和传统的软件开发阶段相比,微软提出的安全开发生命周期的最大特点是增加了一个抓们的安全编码阶段
D.软件的安全测试也很重要,考虑到程序员的专业性,如果该开发人员已经对软件进行了安全性测试,就没有必要 再组织第三方进行安全性测试
解释:正确答案为 B。
44. 下面有关软件安全问题的描述中,哪项是由于软件设计缺陷引起的 ()
A.设计了三层W e b架构,但是软件存在 S Q L注入漏洞,导致被黑客攻击后能直接访问数据库 B.使用C语言开发时,采用了一些存在安全问题的字符串处理函数,导致存在缓冲区溢出漏洞
C.设计了缓存用户隐私数据机制以加快系统处理性能,导致软件在发布运行后,被黑客攻击获取到用户隐私数据
D.使用了符合要求的密码算法,但在使用算法接口时,没有按照要求生成密钥,导致黑客攻击后能破解并得到明文 数据
解释:答案为 C。
45. 软件存在漏洞和缺陷是不可避免的,实践中常使用软件缺陷密度( D e f e c t s / K L O C)来衡量软件的安全性, 假设某个软件共有 2 9 . 6 万行源代码,总共被检测出 1 4 5个缺陷,则可以计算出其软件缺陷密度值是
A. 0 . 0 0 0 4 9 B. 0 . 0 4 9 C. 0 . 4 9 D. 4 9
解释:千行代码缺陷率计算公式,145/(29.5*10)=0.49。
46. 某集团公司根据业务需求,在各地分支机构部属前置机,为了保证安全,集团总部要求前置机开放日志共享,由总部 服务器采集进行集中分析,在运行过程中发现攻击者也可通过共享从前置机种提取日志,从而导致部分敏感信息泄露, 根据降低攻击面的原则,应采取以下哪项处理措施?
A. 由于共享导致了安全问题,应直接关闭日志共享,禁止总部提取日志进行分析
B.为配合总部的安全策略,会带来一定安全问题,但不影响系统使用,因此接受此风险
C. 日志的存在就是安全风险,最好的办法就是取消日志,通过设置前置机不记录日志
D. 只允许特定 I P 地址从前置机提取日志,对日志共享设置访问密码且限定访问的时间
解释:D 的特定 I P地址从前置机提取降低了开放日志共享的攻击面。
47.针对软件的拒绝服务攻击是通过消耗系统资源使软件无法响应正常请求的一种攻击方式,在软件开发时分析拒绝服务 攻击的威胁,以下哪个不是需求考虑的攻击方式
A.攻击者利用软件存在的逻辑错误,通过发送某种类型数据导致运算进入死循环, C P U资源占用始终 1 0 0 % B.攻击者利用软件脚本使用多重嵌套咨询,在数据量大时会导致查询效率低,通过发送大量的查询导致数据库响应 缓慢
C.攻击者利用软件不自动释放连接的问题,通过发送大量连接消耗软件并发连接数,导致并发连接数耗尽而无法访 问
D.攻击者买通 I D C 人员,将某软件运行服务器的网线拔掉导致无法访问
解释:D 为社会工程学攻击。
48. 某网站为了开发的便利,使用 SA 链接数据库, 由于网站脚本中被发现存在 SQL 注入漏洞,导致攻击者利用内置存 储过程 XP.cmctstell 删除了系统中的一个重要文件,在进行问题分析时,作为安全专家,你应该指出该网站设计违反 了以下哪项原则:
A.权限分离原则 B.最小特权原则 C.保护最薄弱环节的原则 D.纵深防御的原则
解释:SA 是数据库最大用户权限,违反了最小特权原则。
49. 微软提出了 STRIDE 模型,其中Repudation (抵赖) 的缩写,关于此项安全要求,下面描述错误的是 () A.某用户在登陆系统并下载数据后,却声称“我没有下载过数据” ,软件系统中的这种威胁就属于 R 威胁 B.解决 R 威胁,可以选择使用抗抵赖性服务技术来解决,如强认证、数字签名、安全审计等技术措施
C.R 威胁是STRIDE 六种威胁中第三严重的威胁,比D 威胁和E 威胁的严重程度更高
D.解决 R 威胁,也应按照确定建模对象、识别威胁、评估威胁以及消减威胁等四个步骤来进行
解释:STRIDE 代表 6 种威胁的简称,无严重程度之分。S-欺骗,T-篡改,R-抵赖,I-信息泄露,D-拒绝服务,E-权 限提升 (攻击)。
50. 关于信息安全管理,下面理解片面的是 ()
A.信息安全管理是组织整体管理的重要、固有组成部分,它是组织实现其业务目标的重要保障 B.信息安全管理是一个不断演进、循环发展的动态过程,不是一成不变的 C.信息安全建设中,技术是基础,管理是拔高,既有效的管理依赖于良好的技术基础
D.坚持管理与技术并重的原则,是我国加强信息安全保障工作的主要原则之一
解释:C 是片面的,应为技管并重。
51. 以下哪项制度或标准被作为我国的一项基础制度加以推行,并且有一定强制性,其实施的主要目标是有效地提高我国 信息和信息系统安全建设的整体水平,重点保障基础信息网络和重要信息系统的安全 ()
A.信息安全管理体系 (ISMS) B.信息安全等级保护 C.NIST SP800 D.ISO 270000 系统
解释:信息安全等级保护制度重点保障基础信息网络和重要信息系统的安全。
52. 小明是某大学计算科学与技术专业的毕业生,大四上学期开始找工作,期望谋求一份技术管理的职位,一次面试中, 某公司的技术经理让小王谈一谈信息安全风险管理中的背景建立的几本概念与认识,小明的主要观点包括:
(1) 背景建立的目的是为了明确信息安全风险管理的范围和对象,以及对象的特性和安全要求,完成信息安全风险管理 项目的规划和准备;(2) 背景建立根据组织机构相关的行业经验执行,雄厚的经验有助于达到事半功倍的效果 (3)背景建 立包括:风险管理准备、信息系统调查、信息系统分析和信息安全分析 (4. ) 背景建立的阶段性成果包括:风险管理计划 书、信息系统的描述报告、信息系统的分析报告、信息系统的安全要求报告
请问小明的论点中错误的是哪项:
A.第一个观点 B.第二个观点 C.第三个观点 D.第四个观点
解释:背景建立是根据政策、法律、标准、业务、系统、组织等现状来开展。
53. 降低风险 (或减低风险) 指通过对面的风险的资产采取保护措施的方式来降低风险,下面那个措施不属于降低风险的 措施 ()
A.减少威胁源,采用法律的手段制裁计算机的犯罪,发挥法律的威慑作用,从而有效遏制威胁源的动机
B.签订外包服务合同,将有计算难点,存在实现风险的任务通过签订外部合同的方式交予第三方公司完成,通过合
C.减低威胁能力,采取身份认证措施,从而抵制身份假冒这种威胁行为的能力
D.减少脆弱性,及时给系统打补丁,关闭无用的网络服务端口,从而减少系统的脆弱性,降低被利用的可能性 解释:B 属于转移风险。
54. 关于风险要素识别阶段工作内容叙述错误的是:
A.资产识别是指对需求保护的资产和系统等进行识别和分类
B.威胁识别是指识别与每项资产相关的可能威胁和漏洞及其发生的可能性
C.脆弱性识别以资产为核心,针对每一项需求保护的资产,识别可能被威胁利用的弱点,并对脆弱性的严重程度进 行评估
D.确认已有的安全措施仅属于技术层面的工作,牵涉到具体方面包括:物理平台、系统平台、网络平台和应用平台 解释:安全措施既包括技术层面,也包括管理层面。
55. 某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后,认识到信息安全风险评估分为自评估和检查评 估两种形式,该部门将有检查评估的特点和要求整理成如下四条报告给单位领导,其中描述错误的是
A.检查评估可依据相关标准的要求,实施完整的风险评估过程;也可在自评估的基础上,对关键环节或重点内容实 施抽样评估
B.检查评估可以由上级管理部门组织,也可以由本级单位发起,其重点是针对存在的问题进行检查和评测
C.检查评估可以由上级管理部门组织,并委托有资质的第三方技术机构实施
D.检查评估是通过行政手段加强信息安全管理的重要措施,具有强制性的特点
解释:检查评估由上级管理部门组织发起;本级单位发起的为自评估。
56. 规范的实施流程和文档管理,是信息安全风险评估结能否取得成果的重要基础,按照规范的风险评估实施流程,下面 哪个文档应当是风险要素识别阶段的输出成果 ()
A,《风险评估方案》 B.《需要保护的资产清单》 C.《风险计算报告》 D.《风险程度等级列表》
解释:风险要素包括资产、威胁、脆弱性、安全措施。
57. 在信息安全管理的实施过程中,管理者的作用于信息安全管理体系能否成功实施非常重要,但是一下选项中不属于管 理者应有职责的是 ()
A.制定并颁发信息安全方针,为组织的信息安全管理体系建设指明方向并提供总体纲领,明确总体要求 B.确保组织的信息安全管理体系目标和相应的计划得以制定, 目标应明确、可度量,计划应具体、可事实
C. 向组织传达满足信息安全的重要性,传达满足信息安全要求、达成信息安全目标、符合信息安全方针、履行法律 责任和持续改进的重要性
D.建立健全信息安全制度,明确安全风险管理作用,实施信息安全风险评估过程、确保信息安全风险评估技术选择 合理、计算正确
解释:D 不属于管理者的职责。
58. 信息安全管理体系 (Information Security Management System ,ISMS) 的内部审核和管理审核是两项重要的管理活 动,关于这两者,下面描述的错误是
A. 内部审核和管理评审都很重要,都是促进 ISMS 持续改进的重要动力,也都应当按照一定的周期实施
B. 内部审核实施方式多采用文件审核和现场审核的形式,而管理评审的实施方式多采用召开管理评审会议形式进行 C. 内部审核实施主体组织内部的 ISMS 内审小组,而管理评审的实施主体是由国家政策指定的第三方技术服务机构 D.组织的信息安全方针、信息安全目标和有关 ISMS 文件等,在内部审核中作为审核标准使用,但在管理评审总, 这些文件时被审对象
解释:管理评审的实施主体由用户的管理者来进行选择。
59. 在风险管理中,残余风险是指实施了新的或增强的安全措施后还剩下的风险,关于残余风险,下面描述错误的是 () A.风险处理措施确定以后,应编制详细的残余风险清单,并获得管理层对残余风险的书面批准,这也是风险管理中 的一个重要过程
B.管理层确认接收残余风险,是对风险评估工作的一种肯定,表示管理层已经全面了解了组织所面临的风险,并理 解在风险一旦变为现实后,组织能够且承担引发的后果
C.接收残余风险,则表明没有必要防范和加固所有的安全漏洞,也没有必要无限制的提高安全保护措施的强度,对 安全保护措施的选择要考虑到成本和技术等因素的限制
D.如果残余风险没有降低到可接受的级别,则只能被动的选择接受风险,即对风险不进行下一步的处理措施,接受 风险可能带来的结果。
解释:如果残余风险没有降低到可接受的级别,则会被动的选择接受残余风险,但需要对残余风险进行进一步的关 注、监测和跟踪。
60. 关于业务连续性计划 (BCP) 以下说法最恰当的是:
A.组织为避免所有业务功能因重大事件而中断,减少业务风此案而建立的一个控制过程。
B.组织为避免关键业务功能因重大事件而中断,减少业务风险而建立的一个控制过程。
C.组织为避免所有业务功能因各种事件而中断,减少业务风此案而建立的一个控制过程
D.组织为避免信息系统功能因各种事件而中断,减少信息系统风险建立的一个控制过程
解释:业务连续性计划 (BCP) 是解决关键业务不中断。
61. 在某次信息安全应急响应过程中,小王正在实施如下措施:消除或阻断攻击源,找到并消除系统的脆弱性/漏洞、修 改安全策略,加强防范措施、格式化被感染而已程序的介质等,请问,按照应急响应方法,这些工作应处于以下哪 个阶段 ()
A.准备阶段 B.检测阶段 C.遏制阶段 D.根除阶段
解释:消除或阻断攻击源等措施为根除阶段。
62. 关于信息安全事件管理和应急响应,以下说法错误的是:
A.应急响应是指组织为了应急突发/重大信息安全事件的发生所做的准备,以及在事件发生后所采取的措施
B.应急响应方法,将应急响应管理过程分为遏制、根除、处置、恢复、报告和跟踪6 个阶段 C.对信息安全事件的分级主要参考信息系统的重要过程、系统损失和社会影响三方面。
D.根据信息安全事件的分级参考要素,可将信息安全事件划分为 4 个级别,特别重大事件 (I 级)、重大事件 (II 级)、 较大事件 (III 级) 和一般事件 (IV 级)
解释:应急响应包括六个阶段,为准备、检测、遏制、根除、恢复、跟踪总结。
63. 对信息安全事件的分级参考下列三个要素:信息系统的重要程度、系统损失和社会影响,依据信息系统的重要程度对 信息进行划分,不属于正确划分级别的是:
A.特别重要信息系统 B.重要信息系统 C.一般信息系统 D.关键信息系统
解释:我国标准中未定义关键信息系统。
64. 恢复时间目标 (RTO) 和恢复点目标 (RPO) 是信息系统灾难恢复中的重要概念,关于这两个值能否为零,正确的选 项是 ()
A.RTO 可以为 0,RPO 也可以为 0 C.RTO 不可以为 0 ,但 RPO 可以为 0
B.RTO 可以为 0 ,RPO 不可以为 0 D.RTO 不可以为 0 ,RPO 也不可以为 0
解释:RTO 可以为 0 ,RPO 也可以为 0。
65. 某政府机构拟建设一机房,在工程安全监理单位参与下制定了招标文件,项目分二期,一期目标为年内实现系统上线 运营,二期目标为次年上半年完成运行系统风险的处理:招标文件经营管理层审批后发布,就此工程项目而言,以下 正确的是:
A.此项目将项目目标分解为系统上线运营和运行系统风险处理分期实施,具有合理性和可行性 B.在工程安全监理的参与下,确保了此招标文件的合理性
C.工程规划不符合信息安全工程的基本原则
D.招标文件经营管理层审批,表明工程目标符合业务发展规划
解释:题目描述不符合信息安全工程的“同步规划、同步实施”的基本原则。
66. 对系统工程 (Systems Engineering ,SE ) 的理解,以下错误的是: A.系统工程偏重于对工程的组织与经营管理进行研究
B.系统工程不属于技术实现,而是一种方法论
C.系统工程不是一种对所有系统都具有普遍意义的科学方法
D.系统工程是组织管理系统规划、研究、制造、实验、使用的科学方法
解释:系统工程是一种对所有系统都具有普遍意义的科学方法
67. 系统工程的模型之一霍尔三维结构模型由时间维、逻辑维和知识维组成。 有关此模型,错误的是:
A.霍尔三维机构体系形成地描述了系统工程研究的框架
B.时间维表示系统工程活动从开始到结束按照时间顺序排列的全过程
C.逻辑维的七个步骤与时间维的七个阶段严格对应,即时间维第一阶段应执行逻辑维第一步骤的活动,时间维第二
阶段应执行逻辑维第二步骤的活动
D.知识维列举可能需要运用的工程、医学、建筑、商业、法律、管理、社会科学和艺术等各种知识和技能 解释:霍尔三维模型是一种系统思想,无法实现严格的对应。
68. 北京某公司利用 SSE-CMM 对其自身工程队伍能力进行自我改善,其理解正确的是:
A.系统安全工程能力成熟度模型(SSE-CMM) 定义了6 个能力级别,当工程队不能执行一个过程域中的基本实践时, 该过程域的过程能力为 0 级
B.达到 SSE-CMM 最高级以后,工程队伍执行同一个过程,每次执行结果质量必须相同。
C.系统安全工程能力成熟度模型 (SSE-CMM) 定义了 3 个风险过程:评价威胁,评价脆弱性,评价影响。 D.SSE-CMM 强调系统安全工程与其他工程科学的区别和独立性。
解释:A 当工程队不能执行一个过程域中的基本实践时,该过程域的过程能力为 0 级
B 错误,每次质量结果难以相同。C 错误,SSE-CMM 定义了一个风险过程,包括四个部分,评估影响、评估威胁、 评估脆弱性、评估安全风险。D 错误,SSE-CMM 强调的是关联性而非独立性。
69. 以下哪一项不是信息系统集成项目的特点:
A.信息系统集成项目要以满足客户和用户的需求为根本出发点。
B.系统集成就是选择最好的产品和技术,开发响应的软件和硬件,将其集成到信息系统的过程。 C.信息系统集成项目的指导方法是“总体规划、分步实施”。
D.信息系统集成包含技术,管理和商务等方面,是一项综合性的系统工程
解释:系统集成就是选择最适合的产品和技术。
70. 信息安全工程监理是信息系统工程监理的重要组成部分,信息安全工程监理适用的信息化工程中,以下选择最合适的 是:
A.通用布缆系统工程 B. 电子设备机房系统工程 C.计算机网络系统工程 D. 以上都适用
解释:答案为 D。
71. 以下关于信息安全工程说法正确的是:
A.信息化建设中系统功能的实现是最重要的
B.信息化建设可以实施系统,而后对系统进行安全加固
C.信息化建设中在规划阶段合理规划信息安全,在建设阶段要同步实施信息安全建设
D.信息化建设没有必要涉及信息安全建设
解释:C 为安全工程的同步规划、同步实施原则。
72. 有关系统安全工程-能力成熟度模型 ( sse-cmm ) 中的基本实施 (Base Practices ,BP),正确的理解是:
A. BP 是基于最新技术而制定的安全参数基本配置
B. 大部分 BP 是没有进过测试的
C. 一项 BP 适用于组织的生存周期而非仅适用于工程的某一特定阶段
D. 一项 BP 可以和其他 BP 有重叠
解释:A 答案中BP 是基于工程实践总结的工程单元。B 答案中BP 是经过测试和实践验证的。C 答案中一项 BP 适 用于组织的生存周期是正确的。D 一项 BP 不能和其他 BP 重叠。
73. 有关系统安全工程-能力成熟度模型 (SSE-CMM) 中的通用实施 (Generic Practices ,GP) 错误理解是: A.GP 是涉及过程的管理、测量和制度化方面的活动
B.GP 适用于域维中部分过程区域 (Process Aractices ,PA) 活动而非所有 PA 的活动
C.在工程实施时,GP 应该作为基本实施 ( Base Practices ,BP) 的一部分加以执行
D.在评估时,GP 用于判定工程组织执行某个 PA 的能力
解释:GP 适用于域维中所有 PA 活动。
74. 在使用系统安全工程-能力成熟度模型 (SSE-CCM) 对一个组织的安全工程能力成熟度进行测量时,有关测量结果, 错误的理解是:
A.如果该组织在执行某个特定的过程区域时具备了一个特定级别的部分公共特征时,则这个组织在这个过程区域的 能力成熟度未达到此级
此过程区域的能力成熟度级别达到 3 级“充分定义级”
C.如果某个过程区域 (Process Areas,PA)包含 4 个基本实施 (Base Practices,BP),执行此 PA 时执行了 3 个 BP, 则此过程区域的能力成熟度级别为 0
D.组织在不同的过程区域的能力成熟度可能处于不同的级别上
解释:SSE-CMM 充分定义级包括三个特征,为“定义标准过程” 、“执行已定义的过程” 、“安全协调实施”。B 答案中 只描述了两个公共特征。
75. 系统安全工程-能力成熟度模型(SSE-CMM) 定义的包含评估威胁、评估脆弱性、评估影响和评估安全风险的基本过 程领域是:
A.风险过程 B.工程过程 C.保证过程 D.评估过程
解释:风险过程包括评估影响、评估威胁、评估脆弱性和评估安全风险。
76. . 以下行为不属于违反国家涉密规定的行为:
A.将涉密计算机、涉密存储设备接入互联网及其他公共信息网络 B.通过普通邮政等无保密及措施的渠道传递国家秘密载体
解释:D 为商业秘密,不属于涉密规定的行为。
77. 具有行政法律责任强制的安全管理规定和安全制度包括
10 / 13
C.在私人交往中涉及国家秘密
1) 安全事件 (包括安全事故) 报告制度
2) 安全等级保护制度
3) 信息系统安全监控
4) 安全专用产品销售许可证制度
A. 1 ,2 ,4 B. 2 ,3 C. 2 ,3, 4 D. 1 ,2, 3 解释:1\2\4 均为管理规定和安全制度。
78. 信息系统建设完成后,( ) 的信息系统的而运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入 使用
A.二级以上 B.三级以上 C. 四级以上 D.五级以上
79. 为了保障网络安全,维护网络安全空间主权和国家安全、社会公共利益,保护公民、法人和其他组织的合法权益,促 进经济社会信息化健康发展,加强在***人民共和国境内建设、运营、维护和使用网络,以及网络安全的监督管理,
2015 年 6 月,第十二届全国人大常委会第十五次会议初次审议了一部法律草案,并与 7 月 6 日起在网上全文公布,
向社会公开征求意见,这部法律草案是 ()
A.《***人民共和国保守国家秘密法 (草案)》
B.《***人民共和国网络安全法 (草案)》
解释:答案为 B。
C.《***人民共和国国家安全法 (草案)》 D.《***人民共和国互联网安全法 (草案)》
80. 为了进一步提高信息安全的保障能力和防护水平,保障和促进信息化建设的健康发展,公安部等 4 部分联合发布《关 于信息安全等级保护工作的实施意见》(公通字[2004]66 号) ,对等级保护工作的开展提供宏观指导和约束,明确了等 级保护工作的基本内容、工作要求和实施计划,以及各部门工作职责分工等,关于该文件,下面理解正确的是
A.该文件时一个由部委发布的政策性文件,不属于法律文件
B.该文件适用于 2004 年的等级保护工作,其内容不能越苏到 2005 年及之后的工作
C.该文件时一个总体性知道文件,规定了所有信息系统都要纳入等级保护定级范围
D.该文件使用范围为发文的这四个部门,不适用于其他部门和企业等单位
解释:答案为 A。
81. CC 标准是目前系统安全认证方面最权威的而标准,那一项不是体现 CC 标准的先进性?
A.结构开放性,即功能和保证要求可以“保护轮廓”和“安全目标”中进行一步细化和扩展
B.表达方式的通用性,即给出通用的表达方式
C.独立性,它强调将安全的功能和保证分离
D.实用性,将 CC 的安全性要求具体应用到 IT 产品的开发、生产、测试和评估过程中
解释:ITSEC 最早强调功能和保证的分离,不是 CC 的先进性。
82. 对于数字证书而言,一般采用的是哪个标准?
A.ISO/IEC 1540B B.802. 11 C.GB/T 20984 D.X.509
解释:答案为 D。
83. 在可信计算机系统评估准则 (TCSEC) 中,下列哪一项是满足强制保护要求的最低级别? A.C2 B.C1 C.B2 D.B1
解释:答案为 B1。
84. 关于标准,下面哪项理解是错误的 ()
A.标准是在一定范围内为了获得最佳秩序,经协协商一致制定并由公认机构批准,共同重复使用的一种规范性文件, 标准是标准化活动的重要成果
B. 国际标准是由国际标准化组织通过并公布的标准,同样是强制性标准,当国家标准和国际标准的条款发生冲突,
应以国际标准条款为准。
C.行业标准是针对没有国家标准而又才需要在全国某个行业范围统一的技术要求而制定的标准,同样是强制性标准, 当行业标准和国家标准的条款发生冲突时,应以国家标准条款为准。
D.地方标准由省、 自治区、直辖市标准化行政主管部门制度,冰报国务院标准化行政主管部门和国务院有关行政主 管培训部门备案,在公布国家标准后,该地方标准即应废止。
解释:当国家标准和国际标准的条款发生冲突,应以国家标准条款为准。
85. 2005 年,RFC4301 (Request for Comments 4301:Security Architecture for the Intermet Protocol) 发布,用以取 代原先的 RFC2401 ,该标准建议规定了 IPsec 系统基础架构,描述如何在 IP 层 (IPv4/IPv6) 为流量提供安全业务, 请问此类 RFC 系列标准建设是由哪个组织发布的 ()
A. 国际标准化组织 B. 国际电工委员会
C. 国际电信联盟远程通信标准化组织 D.Internet 工程任务组 (IETF)
解释:D 为正确答案。
86. 关于信息安全管理体系,国际上有标准 (ISO/IEC27001:2013) 而我国发布了《信息技术安全技术信息安全管理体系 要求》(GB/T 22080-2008) 请问,这两个标准的关系是:
A.IDT (等同采用) ,此国家标准等同于该国际标准,仅有或没有编辑性修改
B.EQV(等效采用) ,此国家标准不等效于该国际标准
C.NEQ (非等效采用),此国家标准不等效于该国际标准
D.没有采用与否的关系,两者之间版本不同,不应该直接比较
解释:ISO/IEC 27001:2013 和 GB/T 22080-2008 是两个不同的版本。
87. GB/T18336<<信息技术安全性评估准则>> (CC) 是测评标准类中的重要标准,该标准定义了保护轮廓 (Protection Profile ,PP ) 和安全目标 (Security Target ,ST) 的评估准则,提出了评估保证级 (Evaluation Assurance Level, EAL) ,其评估保证级共分为 () 个递增的评估保证等级
解释:CC 标准 EAL1-EAL7 级。
88. 信息安全工程监理的职责包括:
A.质量控制、进度控制、成本控制、合同管理、信息管理和协调 B.质量控制、进度控制、成本控制、合同管理和协调
C.确定安全要求、认可设计方案、监视安全态势、建立保障证据和协调
D.确定安全要求、认可设计方案、监视安全态势和协调
解释:A 为监理的内容。
89. 关于信息安全保障的概念,下面说法错误的是:
A.信息系统面临的风险和威胁是动态变化的,信息安全保障强调动态的安全理念
B.信息安全保障已从单纯保护和防御阶段发展为集保护、检测和响应为一体的综合阶段
C.在全球互联互通的网络空间环境下,可单纯依靠技术措施来保障信息安全
D.信息安全保障把信息安全从技术扩展到管理,通过技术、管理和工程等措施的综合融合,形成对信息、信息系统 及业务使命的保障
解释:网络空间安全不能单纯依靠技术措施来保障。
90. 关于监理过程中成本控制,下列说法中正确的是?
A.成本只要不超过预计的收益即可 C.成本控制由承建单位实现,监理单位只能记录实际开销
B.成本应控制得越低越好 D.成本控制的主要目的是在批准的预算条件下确保项目保质按期完成
解释:D 为正确答案。
91. 下列关于 ISO15408 信息技术安全评估准则(简称 CC)通用性的特点,即给出通用的表达方式,描述不正确的是______。 A.如果用户、开发者、评估者和认可者都使用CC 语言,互相就容易理解沟通
B.通用性的特点对规范实用方案的编写和安全测试评估都具有重要意义
C.通用性的特点是在经济全球化发展、全球信息化发展的趋势下,进行合格评定和评估结果国际互认的需要 D.通用性的特点使得 CC 也适用于对信息安全建设工程实施的成熟度进行评估
解释:SSE-CMM 用于对安全建设工程的成熟度进行评估。CC 是信息技术产品或系统的规划、设计、研发、测试、 EAL 级别评估进行使用。
92. 对涉密系统进行安全保密测评应当依据以下哪个标准?
A.BMB20-2007《涉及国家秘密的计算机信息系统分级保护管理规范》
B.BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》
C.GB17859- 1999《计算机信息系统安全保护等级划分准则》
D.GB/T20271-2006《信息安全技术信息系统统用安全技术要求》
解释:B 为正确答案。
93. ISO/IEC27001《信息技术 安全技术 信息安全管理体系要求》的内容是基于 ()
A. BS7799- 1《信息安全实施细则》
C. 信息技术安全评估准则(简称 ITSEC)
D. 信息技术安全评估通用标准(简称 CC)
解释:BS7799- 1 发展为 ISO27002;BS7799-2 发展为 ISO27001;TCSEC 发展为 ITSEC;ITSEC 发展为 CC。
94. 在 GB/T18336《信息技术安全性评估准则》(CC 标准) 中,有关保护轮廓(Protection Profile,PP)和安全目标(Security
Target ,ST) ,错误的是:
A.PP 是描述一类产品或系统的安全要求
B.PP 描述的安全要求与具体实现无关
D.ST 与具体的实现有关
解释:两份不同的 ST 可以同时满足同一份 PP 的要求。
95. 以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一? A.提高信息技术产品的国产化率 B.保证信息安全资金投入
C.加快信息安全人才培养 D.重视信息安全应急处理工作
解释:提高信息技术产品的国产化率不属于九项重点工作内容之一。
96. 以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正确描述?
A.应基于法律法规和用户需求,进行需求分析和风险评估,从信息系统建设的开始就综合信息系统安全保障的考虑 B.应充分调研信息安全技术发展情况和信息安全产品市场,选择最先进的安全解决方案和技术产品
C.应在将信息安全作为实施和开发人员的一项重要工作内容,提出安全开发的规范并切实落实 D.应详细规定系统验收测试中有关系统安全性测试的内容
解释:A 为概念与需求定义的工作内容。B 是安全规划设计阶段内容。C 是实施阶段。D 是验收测试阶段的内容。
97. 以下关于法律的说法错误的是 ()
A.法律是国家意志的统一体现,有严密的逻辑体系和效力
B.法律可以是公开的,也可以是“ 内部” 的
C.一旦制定,就比较稳定,长期有效,不允许经常更改
D.法律对违法犯罪的后果由明确规定,是一种“硬约束”
解释:法律是公开的, 内部的规定不能作为法律。
98. 由于频繁出现软件运行时被黑客远程攻击获取数据的现象,某软件公司准备加强软件安全开发管理,在下面做法中, 对于解决问题没有直接帮助的是 ()
A.要求开发人员采用敏捷开发模型进行开发
B.要求所有的开发人员参加软件安全意识培训
C.要求规范软件编码,并制定公司的安全编码准则
D.要求增加软件安全测试环节,今早发现软件安全问题
解释:开发人员采用敏捷开发模型进行软件开发,但未包括安全的开发方法和措施。
99. 根据信息安全风险要素之间的关系,下图中空白处应该填写 ()
解释:风险的原理是威胁利用脆弱性,造成对资产的风险。
100. 信息安全标准化工作是我国信息安全保障工作的重要组成部分之一,也是政府进行宏观管理的重要依据,同时也是保 护国家利益,促进产业发展的重要手段之一,关于我国标准化工作,下面选项中描述错误的是 ()
A 、我国是在国家质量监督检验疫总局管理下,由国家标准化管理委员会统一管理全国标准化工作,下设专业技术委 员会
B 、事关国家安全利益,信息安全因此不能和国际标准相同,而是要通过本国组织和专家制定标准,切实有效地保护 国家利益和安全
C 、我国归口信息安全方面标准是“全国信息安全标准化技术委员会”,为加强有关工作,2016 在其下设立“大数据 安全特别工作组”
D 、信息安全标准化工作是解决信息安全问题的重要技术支撑,其主要作业突出体现在能够确保有关产品、设施的 技术先进性、可靠性和一致性
解释:信息安全的标准可以和国际标准相同,也可以不相同。包括同等采用方式和等效采用方式等。
信息安全专业人员知识测试试题 (三)
1. 最小特权是软件安全设计的基本原则,某应用程序在设计时,设计人员给出了以下四种策略,其中有一个违反了最小特权 的原则,作为评审专家,请指出是哪一个?
A.软件在 Linux 下按照时,设定运行时使用nobody 用户运行实例
B.软件的日志备份模块由于需要备份所有数据库数据,在备份模块运行时,以数据库备份操作员账号连接数据库
C.软件的日志模块由于要向数据库中的日志表中写入日志信息,使用了一个日志用户账号连接数据库,该账号仅对日志 表拥有权限
D.为了保证软件在Windows 下能稳定的运行,设定运行权限为 system,确保系统运行正常,不会因为权限不足产生运行 错误
解释:SYSTEM 权限是最大权限,答案为 D。
2. 主机 A 向主机 B 发出的数据采用 AH 或 ESP 的传输模式对经过互联网的数据流量进行保护时,主机 A 和主机 B 的 IP 地址 在应该在下列哪个范围?
A.10.0.0.0~10.255.255.255 C、192.168.0.0~192.168.255.255
B.172.16.0.0~172.31.255.255 D.不在上述范围内 解释:采用传输模式则没有地址转换,那么 A、B 主机应为公有地址。
3. 某电子商务网站最近发生了一起安全事件,出现了一个价值 1000 元的商品用 1 元被买走的情况,经分析是由于设计时出 于性能考虑,在浏览时使用Http协议,攻击者通过伪造数据包使得向购物车添加商品的价格被修改.利用此漏洞,攻击 者将价值 1000 元的商品以 1 元添加到购物车中,而付款时又没有验证的环节,导致以上问题,对于网站的这个问题原因 分析及解决措施。最正确的说法应该是?
A.该问题的产生是由于使用了不安全的协议导致的,为了避免再发生类似的闯题,应对全网站进行安全改造,所有的访 问都强制要求使用https
B.该问题产生是由于网站开发前没有进行如威胁建模等相关工作或工作不到位,没有找到该威胁并采取相应的消减措施
C.该问题的产生是由于编码缺陷,通过对网站进行修改,在进行订单付款时进行商品价格验证就可以解决
D.该问题的产生不是网站的问题,应报警要求寻求警察介入,严惩攻击者即可
解释:根据题干是采用 HTTP 的协议导致的,则答案为 A。
4. 以下哪个选项不是防火墙提供的安全功能?
A.IP 地址欺骗防护 B.NAT C.访问控制 D.SQL 注入攻击防护 解释:题干中针对的是传统防火墙,而 SQL 注入防护是 WAF 的主要功能。
5. 以下关于可信计算说法错误的是:
A.可信的主要目的是要建立起主动防御的信息安全保障体系
B.可信计算机安全评价标准(TCSEC)中第一次提出了可信计算机和可信计算基的概念
C.可信的整体框架包含终端可信、终端应用可信、操作系统可信、网络互联可信、互联网交易等应用系统可信
D.可信计算平台出现后会取代传统的安全防护体系和方法
解释:可信计算平台出现后不会取代传统的安全防护体系和方法。
6. Linux 系统对文件的权限是以模式位的形式来表示,对于文件名为 test 的一个文件,属于admin 组中user用户,以下哪 个是该文件正确的模式表示?
A. - rwx r-x r-x 3 user admin 1024 Sep 13 11:58 test C.- rwx r-x r-x 3 admin user 1024 Sep 13 11:58 test
B. d rwx r-x r-x 3 user admin 1024 Sep 13 11:58 test D.d rwx r-x r-x 3 admin user1024 Sep 13 11:58 test
解释:根据题干本题选 A。
7. Apache Web 服务器的配置文件一般位于/usr/local/apache/conf 目录,其中用来控制用户访问 Apache 目录的配置文 件是:
A. httpd.conf B.srL conf C.access.Conf D.Inet.conf 解释:根据题干本题选择 A。
8. 应用软件的数据存储在数据库中,为了保证数据安全,应设置良好的数据库防护策略,以下不属于数据库防护策略的是?
A.安装最新的数据库软件安全补丁 C.不使用管理员权限直接连接数据库系统
B.对存储的敏感数据进行安全加密 D.定期对数据库服务器进行重启以确保数据库运行良好
解释:D 属于运行安全操作,不属于安全防护策略。
9. 下列哪项内容描述的是缓冲区溢出漏洞?
A. 通过把 SQL 命令插入到 web 表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL 命令
B.攻击者在远程 WEB 页面的 HTML 代码中插入具有恶意目的的数据,用户认为该页面是可信赖的,但是当浏览器下载该页 1 / 12
面,嵌入其中的脚本将被解释执行。
C.当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上
D.信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中,有意或无意产生的缺陷 解释:A 是 SQL 注入;B 是脚本攻击;C 为缓冲区溢出;D 漏洞解释。
10. 对恶意代码的预防,需要采取增强安全防范策略与意识等措施,关于以下预防措施或意识,说法错误的是:
A.在使用来自外部的移动介质前,需要进行安全扫描 C. 开放所有端口和服务,充分使用系统资源
B.限制用户对管理员权限的使用 D.不要从不可信来源下载或执行应用程序
解释:C 是错误的,应该是最小化端口和服务。
11. 安全专家在对某网站进行安全部署时,调整了Apache 的运行权限,从 root 权限降低为 nobody 用户,以下操作的主要目 的是:
A.为了提高