CISP考试认证(习题卷26)

试卷科目：CISP考试认证CISP考试认证(习题卷26)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISP考试认证第1部分：单项选择题，共92题，每题只有一个正确答案,多选或少选均不得分。[单选题]1.以下关于互联网协议安全（InternetProtocolSecurity，IPsec）协议说法错误的是？A)在传送模式中，保护的是IP负载B)验证头协议（AuthenticationHead，AH）和IP封装安全载荷协议（EncapsulatingSecurityPayload，ESP）都能以传输模式和隧道模式工作C)在隧道模式中，保护的是整个互联网协议（InternetProtocol，IP）包，包括IP头D)IPsec仅能保证传输数据的可认证性和保密性答案:D解析:不是仅能[单选题]2.灾难恢复SHARE78的第三层是指A)卡车运送B)电子链接C)活动状态的备份中心D)0数据丢失答案:B解析:[单选题]3.关于恶意代码，以下说法错误的是：A)从传播范围来看，恶意代码呈现多平台传播的特征。B)按照运行平台，恶意代码可以分为网络传播型病毒、文件传播型病毒。C)不感染的依附性恶意代码无法单独执行D)为了对目标系统实施攻击和破坏，传播途径是恶意代码赖以生存和繁殖的基本条件答案:B解析:[单选题]4.入侵防御系统（IPS）是继入侵检测系统（IDS）后发展起来的一项新的安全技术，它与IDS有着许多不同点，请指出下列哪一项描述不符合IPS的特点？A)串接到网络线路中B)对异常的进出流量可以直接进行阻断C)有可能造成单点故障D)不会影响网络性能答案:D解析:[单选题]5.13.某单位发生的管理员小张在繁忙的工作中接到了一个电话，来电者：小张吗？我是科技处李强，我的邮箱密码忘记了，现在打不开邮件，我着急收个邮件，麻烦你先帮我把密码改成123，我收完邮件自己修改掉密码。热心的小张很快的满足了来电者的要求。随后，李强发现有向系统登录异常。请问以下说法哪个是正确的？A)小张服务态度不好，如果把李强的邮件收下来亲自交给李强就不会发生这个问题B)事件属于服务器故障，是偶然事件，影响单位领导申请购买新的服务器C)单位缺乏良好的密码修改操作流程或者小张没按操作流程工作D)事件属于邮件系统故障，是偶然事件，应向单位领导申请升级邮件服务软件答案:C解析:[单选题]6.下⾯面关于SUID权限的描述错误的是A)SUID权限仅对任意文件有效B)执行者对于该文件具有x的权限C)本权限仅在执行该文件的过程中有效D)执行者将具有该文件拥有者的权限答案:A解析:[单选题]7.PKI的主要理论基础是()。A)摘要算法B)对称密码算法C)量子密码D)公钥密码算法答案:D解析:PKI(公钥基础设施),也称公开密钥基础设施。P286页。[单选题]8.关于禁止一机两用不正确的说法是:A)不准将计算机在连入公安网络的同时，又通过专线、代理服务器或拨号入网等方式连入国际互联网或其它网络。B)不准将未经杀毒处理过的、保存有从国际互联网或其他网络下载数据资料的软盘、光盘、活动硬盘、硬盘等存储设备在连入公安信息网的计算机上使用。C)不准将运行公安应用系统的服务器连入国际互联网或其它网络,但普通PC.机不受限制。D)不准将公安信息网直接连入国际互联网及其他网络或将公安信息数据传输到国际互联网或其他网络。答案:C解析:[单选题]9.111.网络与信息安全应急预案是在分析网络与信息系统突发事件后果和应针对可能发生的重大网络与信息系统突发事件，预先制定的行动计划或应急对策。应急预案的实施需要各子系统的相互配合与协调，下面应急响应工作流程图中，空白方框中从右到左依次填入的是（）A)应急响应专家小组、应急响应技术保障小组、应急响应实施小组、应急响应日常运行小组B)应急响应专家小组、应急响应实施小组、应急响应技术保障小组、应急响应日常运行小组C)应急响应技术保障小组、应急响应专家小组、应急响应实施小组。应急响应日常运行小组D)应急响应技术保障小组、应急响应专家小组、应急响应日常运行小组、应急响应实施小组答案:A解析:[单选题]10.建立并完善()是有效应对社会工程攻击的方法,通过()的建立,使得信息系统用户需要遵循()来实施某些操作,从而在一定程度上降低社会工程学的影响。例如对于用户密码的修改,由于相应管理制度的要求,()需要对用户身份进行电话回拨确认才能执行,那么来自外部的攻击就可能很难伪装成为内部工作人员进行(),因为他还需要想办法拥有一个组织机构内部电话才能实施。A)信息安全管理体系;安全管理制度;规范;网络管理员;社会工程学攻击B)信息安全管理体系;安全管理制度;网络管理员;规范;社会工程学攻击C)安全管理制度;信息安全管理体系;规范;网络管理员;社会工程学攻击D)信息安全管理体系;网络管理员;安全管理制度;规范;社会工程学攻击答案:A解析:[单选题]11.下面____不包含在MySQL数据库系统中。A)A数据库管理系统，即DBMSB)B密钥管理系统C)C关系型数据库管理系统，即RDBMSD)D开放源码数据库答案:B解析:[单选题]12.为保障信息系统的安全,某经营公众服务系统的公司准备并编制一份针对性的信息安全保障方案,并将编制任务交给了小王,为此,小王决定首先编制出一份信息安全需求描述报告。关于此项工作,下面说法错误的是()。A)信息安全需求描述报告是设计和撰写信息安全保障方案的前提和依据B)信息安全需求描述报告的主体内容可以按照技术、管理和工程等方面需求展开编写C)信息安全需求描述报告应当基于信息安全风险评估结果和有关政策法规和标准的合规性要求得到D)信息安全需求报告应依据该公众服务信息系统的功能设计方案为主要内容来撰写答案:D解析:信息安全需求报告不应依据该公众服务信息系统的功能设计方案为主要内容来撰写,而应该依据现有安全现状,痛点以及客户需求来写。[单选题]13.83.某市环卫局网络建设是当地政府投资的重点项目。总体目标就是用交换式水平布线，由大型的交换机和路由器连通几个主要的工作区域，在各个区域建立通过网络传输到各监控中心。其中对交换机和路由器进行配置是网络安全中的一，和路由器的安全配置，操作错误的是A)保持当前版本的操作系统，不定期更新交换机操作系统补丁B)控制交换机的物理访问端口，关闭空闲的物理端口C)带外管理交换机，如果不能实现的话，就可以利用单独的VLAN号进行带内管理D)安全配置必要的网络服务，关闭不必要的网络服务答案:A解析:[单选题]14.17.有关项目管理,错误的理解是A)项目管理是一门关于项目资金、时间、人力等资源控制的管理科学B)项目管理是运用系统的观点、方法、理论,对项目涉及的全部工作进行有效地管理,不受项目资源的约束C)项目管理包括对项目范围、时间成本、质量人力资源、沟通、风险、采购、集成的管理D)项目管理是系统工程思想针对具体项目的实践应用答案:B解析:[单选题]15.自2004年1月起，国内各有关部门在申报信息安全国家标准计划项目时，必须经由以下哪个组织提出工作意见，协调一致后由该组织申报。A)全国通信标准化技术委员会(TC485)B)全国信息安全标准化技术委员会(TC260)C)中国通信标准化协会(CCSA)D)网络与信息安全技术工作委员会答案:B解析:[单选题]16.企业按照ISO27001标准建立信息安全管理体系的过程中,对关键成功因素的描述不正确的是A)不需要全体员工的参入,只要IT部门的人员参入即可B)来自高级管理层的明确的支持和承诺C)对企业员工提供必要的安全意识和技能的培训和教育D)所有管理者、员工能够理解企业信息安全策略、指南和标准,并遵照执行答案:A解析:[单选题]17.73.在TCSEC中，美国国防部按处理信息的等级和应采用的响应措施，将计算机安全从低到高分为（）A)A;C1;C2;B1;B2;B3;DB)D;B1;B2;C1;C2;C3;AC)D;C1;C2;B1;B2;B3;AD)A;B1;B2;C1;C2;C3;D答案:C解析:[单选题]18.PKI的主要理论基础是().A)摘要算法B)对称密码算法C)量子密码D)公钥密码算法答案:D解析:PKI(公钥基础设施),也称公开密钥基础设施.PKI是一种遵循标准,利用公钥加密技术提供安全基础平台技术和规范,是能够为网络应用提供信任、加密以及密码服务的一种基本解决方案.PKI的本质是实现了大规模网络中的公钥分发问题,为大规模网络中的信任建立基础.[单选题]19.以下对企业信息安全活动的组织描述不正确的是A)企业应该在组织内建立发起和控制信息安全实施的管理框架。B)企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。C)在没有采取必要控制措施,包括签署相关协议之前,不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。D)企业在开展业务活动的过程中,应该完全相信员工,不应该对内部员工采取安全管控措施答案:D解析:[单选题]20.在数据中心使用稳压电源,以保证:A)n硬件免受电源浪涌B)n主电源被破坏后的完整性维护C)主电源失效后可以立即使用D)针对长期电力波动的硬件包含答案:A解析:[单选题]21.在一个软件开发的过程中，团队内部需要进行恰当合适的交流与沟通，那么开发人员和测试人员交流的()A)软件设计报告B)软件缺陷报告C)测试说明文档D)测试执行报告答案:C解析:[单选题]22.有关认证和认可的描述,以下不正确的是A)认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证(合格证书)B)根据对象的不同,认证通常分为产品认证和体系认证C)认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认D)企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求答案:D解析:[单选题]23.以下关于linux超级权限的说明，不正确的是：A)一般情况下，为了系统安全，对于一般常规级别的应用，不需要ROOT用户来操作完成B)普通用户可以通过SU和SUD.O来获取系统的超级权限C)对系统日志的管理，添加和删除用户等管理工作，必须以ROOT用户登录才能进行D)ROOT是系统的超级用户，无论是否为文件和程序的所有者都具有访问权限答案:C解析:[单选题]24.在Unix系统中输入命令?is一altest?显示如下"-rwxr-xr-x3rootroot1024Sep1311:58test?对它的含义解释错误的是:A)这是一个文件，而不是目录B)的拥有者可以对这个文件进行读、写和执行的操作C)文件所属组的成员有可以读它，也可以执行它D)其它所有用户只可以执行它答案:D解析:[单选题]25.以下哪些说法是不正确的？（）A)IOS系统从IOS6开始引入kernelASLR安全措施B)主流的Iphone手机内置了AES及RSA硬件加速解密引擎C)安卓系统采用了安全引导链（securebootchain），而IOS系统则未采用D)Android4.1系统默认启用了内存ASLR答案:C解析:AIOS系统从IOS6开始引入kernelASLR安全措施。情况属实。因此是正确的。B主流的Iphone手机内置了AES及RSA硬件加速解密引擎。情况属实。因此是正确的。C安卓系统采用了安全引导链（securebootchain），而IOS系统则未采用。情况不属实，原因是IOS系统也采用了安全引导链。因此是不正确的。DAndroid4.1系统默认启用了内存ASLR。情况属实。因此是正确的。[单选题]26.如下图所示,Alice用Bob的密钥加密明文,将密文发送给Bob,Bob再用自己的私钥解密,恢复出明文以下说法正确的是:A)此密码体制为对称密码体制B)此密码体制为私钥密码体制C)此密码体制为单钥密码体制D)此密码体制为公钥密码体制答案:D解析:[单选题]27.67.以下关于模糊测试过程的说法正确的是：A)A．模糊测试的效果与覆盖能力，与输入样本选择不相关B)B．为保障安全测试的效果和自动化过程，关键是将发现异常进行现场保护记录，系统可能无法恢复异常状态进行后续的测试C)C．通过异常样本重视异常，人工分析异常原因，判断是否为潜在的安全漏洞，如果是安全漏洞，就需要进一步分析其危害性、影响范围和修复建议D)对于可能产生的大量异常报告，需要人工全部分析异常报告答案:C解析:[单选题]28.20.某网站为了开发的便利，使用SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程xp_cmdshell删除了系统中一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：A)权限分离原则B)最小特权原则C)保护最薄弱环节的原则D)纵深防御的原则答案:B解析:[单选题]29.木马程序的常见特征不包括？A)隐蔽性B)文件寄生C)自动运行D)自动恢复答案:D解析:[单选题]30.以下哪个进程不属于NFS服务器端的进程?A)stAtDB)mountDC)nfsDD)Automounter答案:A解析:[单选题]31.许多web应用程序存在大量敏感数据，包括信用卡、杜保卡号码、身份认证证书等，Web应用这些敏感信息存储到数据库或者文件系统中，但是并使用适当的加密措施来保护。小李不想自己的银行卡密码被泄露，他一直极力避免不安全的密码存储，他总结出几种不安全的密码存储问题，其中有一项应该归为措施，请问是哪一项（）A)使用弱算法B)使用适当的加密措施或Hash算法C)不安全的密钥生成和储存D)不轮换密钥答案:B解析:[单选题]32.在国家标准GB/T20274.1-2006《信息安全技术信息系统安全保障评估框架第一部分:简介和一般模型》中,信息系统安全保障模型包含哪几个方面?()A)保障要素、生命周期和运行维护B)保障要素、生命周期和安全特征C)规划组织、生命周期和安全特征D)规划组织、生命周期和运行维护答案:B解析:在国家标准GB/T20274.1-2006《信息安全技术信息系统安全保障评估框架第一部分:简介和一般模型》中,信息系统安全保障模型包含保障要素、生命周期和安全特征3方面。P35页。[单选题]33.如果数据中心发生灾难,下列那一项完整恢复一个关键数据库的策略是最适合的?A)每日备份到磁带并存储到异地B)实时复制到异地C)硬盘镜像到本地服务器D)实时数据备份到本地网格存储答案:B解析:[单选题]34.人员入职过程中,以下做法不正确的是?A)入职中签署劳动合同及保密协议。B)分配工作需要的最低权限。C)允许访问企业所有的信息资产。D)进行安全意思培训。答案:C解析:[单选题]35.418.软件安全设计和开发中应考虑用户隐私保护,以下关于用户隐私保护的说法错误的是?A)告诉用户需要收集什么数据及搜集到的数据会如何被使用B)当用户的数据由于某种原因要被使用时,给客户选择是否允许C)用户提交的用户名和密码属于隐私数据,其他都不是D)确保数据的使用符合国家、地方、行业的相关法律法规答案:C解析:[单选题]36.439.一个密码系统至少由明文、密文、加密算法、解密算法和密钥5部分组成，而其安全性质是由（）决定的A)加密算法B)解密算法C)加密和解密算法D)密钥答案:D解析:[单选题]37.____是在蜜罐技术上逐步发展起来的一个新的概念，在其中可以部署一个或者多个蜜罐，来构成一个黑客诱捕网络体系架构。A)A蜜网B)B鸟饵C)C鸟巢D)D玻璃鱼缸答案:A解析:[单选题]38.风险评估主要包括风险分析准备、风险要素识别、风险分析和风险结果判定四个主要过程，关于这些过程，以下的说法哪一个是正确的？A)风险分析准备的内容是识别风险的影响和可能性B)风险要素识别的内容是识别可能发生的安全事件对信息系统的影响程度C)风险分析的内容是识别风险的影响和可能性D)风险结果判定的内容是发现系统存在的威胁、脆弱性和控制措施答案:C解析:[单选题]39.以下对审核发现描述正确的是A)用作依据的一组方针、程序或要求B)与审核准则有关的并且能够证实的记录、事实陈述或其他信息C)将收集到的审核证据依照审核准则进行评价的结果,可以是合格/符合项,也可以是不合格/不符合项D)对审核对象的物理位置、组织结构、活动和过程以及时限的描述答案:C解析:[单选题]40.某网站为了开发的便利，使用SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程xp_cmdshell删除了系统中一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：A)权限分离原则B)最小特权原则C)保护最薄弱环节的原则D)纵深防御的原则答案:B解析:[单选题]41.在一份热站、温站或冷站协议中,协议条款应包含以下哪一项需考虑的事项A)具体的保证设施B)订户的总数C)同时允许使用设施的订户数量D)涉及的其他用户答案:C解析:[单选题]42.?配置管理?是系统工程的重要概念，他在软件工程和信息安全工程中得到广泛应用下面对?配置管理?解释最准确的是？A)配置管理的本质是变更流程管理B)配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发\维护设备）所有变化进行控制的过程C)配置管理是对信息系统的技术参数进行管理D)管理配置是对系统基线和源代码的版本进行管理答案:B解析:[单选题]43.信息安全工程作为信息安全保障的重要组成部分，主要是为了解决？A)信息系统的技术架构安全问题B)信息系统组成部门的组件安全问题C)信息系统生命周期的过程安全问题D)信息系统运行维护的安全管理问题答案:C解析:[单选题]44.在什么情况下,热站会作为一个恢复策略被执行?A)低灾难容忍度B)高恢复点目标(RPO)C)高恢复时间目标(RTO)D)高灾难容忍度答案:A解析:[单选题]45.当交换机收到一个目的mac为68-A3-C4-29-82-F2的数据包，但此MAC地址不在交换机的MAC地址表中，交换机会怎么处理这个数据？A)交换机将数据报发送给默认网关B)交换机将会把数据包丢弃，因为它并没有这个MAC地址C)交换机将发送一个ARP请求给它的全部接口（除去接收接口）D)交换机把数据包从所有接口复制发送一遍（除去接收接口）答案:D解析:[单选题]46.20世纪70-90年代,信息安全所面临的威胁主要是非法访问、恶意代码和脆弱口令等,请问这是信息安全发展的什么阶段?A)通信安全。B)计算机安全。C)信息系统安全。D)信息安全保障。答案:B解析:[单选题]47.在工程实验阶段，机构依据承建合同，安全设计方案，实施方案，实施国家或地方相关标准和技术指导文件，对信息化工程进行安全_______检查，以验证是否实现了项目设计、目标和安全等级要求A)功能性B)可用性C)保障性D)符合性答案:D解析:[单选题]48.P2DR模型强调了落实反应和系统安全的动态性,其中的?检测?使用的主要方法是?A)检测。B)报警。C)记录。D)实时监控。答案:C解析:[单选题]49.GaryMcGraw博土及其合作者提出软件安全应由三根支柱来支撑，这三个支柱是（）A)源代码审核、风险分析和渗透测试B)应用风险管理、软件安全接触点和安全知识C)威胁建模、渗透测试和软件安全接触点D)威胁建模、源代码审核和模糊测试答案:B解析:[单选题]50.我们常提到的在WinD.ows操作系统中安装VMwA.re，运行Linux虚拟机属于（）。A)存储虚拟化B)内存虚拟化C)系统虚拟化D)网络虚拟化答案:C解析:[单选题]51.在Windows文件系统中,_______支持文件加密。A)FAT16B)NTFSC)FAT32D)EXT3答案:B解析:[单选题]52.以下哪种方法不能有效提高WLAN的安全性：A)修改默认的服务区标识符（SSID）B)禁止SSID广播C)启用终端与AP间的双向认证D)启用无线AP的开放认证模式答案:A解析:[单选题]53.58.下列选项中，对风险评估文档的描述中正确的是()A)评估结果文档包括描述资产识别和赋值的结果，形成重要资产列表项B)描述评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价以确定所选择安全措施的有效性的《风险评估程序》C)在文档分发过程中作废文档可以不用添加标识进行保留人D)对于风险评估过程中形成的相关文档行，还应规定其标识、储存、保护、检索、保存期限以及处置所需的控制答案:D解析:[单选题]54.以下对于STRIDE模型得描述哪个说法是错误的？A)某用户在登录系统并下载数据后，却声称?我没有下载过数据?，软件系统中的这种威胁属于R威胁B)某用户在网络通信中传输完数据后，却声称?这些数据不是我传输的?，软件系统中的这种威胁属于R威胁C)对于R威胁，可以选择使用如强认证、数字签名，安全审计等技术措施来解决D)对于R威胁，可以选择使用如隐私保护、过滤、流量控制等技术措施来解决答案:D解析:[单选题]55.D.ES算法密钥是64位，因为其中一些位是用作校验的，密钥的实际有效位是________位。A)、60B)、56C)、54D)、48答案:B解析:[单选题]56.某个机构的网络遭受多次入侵攻击,下面那一种技术可以提前检测到这种行为?A)杀毒软件B)包过滤路由器C)蜜罐D)服务器加固答案:C解析:[单选题]57.在ISO的OSI安全体系结构中,以下哪一个安全机制可以提供抗抵赖安全服务?（）A)加密B)数字签名C)访问控制D)路由控制答案:B解析:数字签名可以提供抗抵赖、鉴别和完整性。[单选题]58.Kerberos协议是一种集中访问控制协议，他能在复杂的网络环境中，为用户提供安全的单点登录服务。单点登录是指用户在网络中进行一次身份认证，便可以访问其授权的所有网络资源，而不在需要其他的认证过程，实质是消息M在多个应用系统之间的传递或共享。其中消息M是指以下选项中的（）A)安全凭证B)用户名C)加密密钥D)会话密钥答案:A解析:[单选题]59.干管灭火器系统使用A)n水,但是只有在发现火警以后水才进入管道B)n水,但是水管中有特殊的防水剂C)nCO2代替水D)n哈龙代替水答案:A解析:[单选题]60.文档体系建设是信息安全管理体系(ISMS)建设的直接体现,下列说法不正确的是:A)组织内的信息安全方针文件、信息安全规章制度文件、信息安全相关操作规范文件等文档是组织的工作标准,也是ISMS审核的依据B)组织内的业务系统日志文件、风险评估报告等文档是对上一级文件的执行和记录,对这些记录不需要保护和控制C)组织在每份文件的首页,加上文件修订跟踪表,以显示每一版本的版本号、发布日期、编写人、审批人、主要修订等内容D)层次化的文档是ISMS建设的直接体现,文档体系应当依据风险评估的结果建立答案:B解析:信息安全管理体系运行记录需要保护和控制。[单选题]61.InternetExplorer，简称IE，是微软公司推出的一款Web浏览器，IE中有很多安全设置选项，用来设置安全上网环境和保护用户隐私数据。以下哪项不是IE中的安全配置项目？A)设置Cookie安全，允许用户根据自己安全策略要求者、设置Cookie策略，包括从阻止所有Cookie到接受所有Cookie，用户也可以选择删除已经保存过的CookieB)禁用自动完成和密码记忆功能，通过设置禁止IE自动记忆用户输入过的Web地址和表单，也禁止IE自动记忆表单中的用户名和口令信息C)设置每个连接的最大请求数，修改MuKeepAliveRequests，如果同时请求数达到阈值就不再响应新的请求，从而保证了系统资源不会被某个链接大量占用D)为网站设置适当的浏览器安全级别，用户可以将各个不同的网站划分到Internet、本地Internet、受信任的站点、受限制的站点等不同安全区域中，以采取不同的安全访问策略答案:C解析:[单选题]62.下列哪一项功能可以不由认证中心CA完成？A)撤销和中止用户的证书B)产生并分发CA的公钥C)在请求实体和它的公钥间建立链接D)发放并分发用户的证书答案:C解析:[单选题]63.主体S对客体01有读:R权限，对客体02有读:R、写:W、拥有:Own权限，该访问控制实现方法是：A)访问控制表:ACLB)访问控制矩阵C)能力表:CLD)前缀表:Profiles答案:A解析:定义主体访问客体的权限叫作CL。定义客体被主体访问的权限叫ACL。[单选题]64.我国信息系统安全等级保护工作环节依次是（）A)定级-检查-建设整改-等级测评-备案B)等级测评-建设整改-监督检查C)定级-备案-建设整改-等级测评-监督检查D)定级--等级测评-备案-建设整改-监督检查答案:C解析:[单选题]65.467.根据《关于开展信息安全风险评估工作的意见》的规定，错误的是（）A)信息安全风险评估分自评估、检查评估两形式，应以检查评估为主，自评估和检查评估相互结合、互为补充B)信息安全风险评估工作要按照?严密组织、规范操作、讲求科学、注重实效?的原则开展C)信息安全风险评估应管贯穿于网络和信息系统建设运行的全过程D)开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导答案:A解析:[单选题]66.关于信息安全策略文件以下说法不正确的是哪个?A)信息安全策略文件应由管理者批准、发布。B)信息安全策略文件并传达给所有员工和外部相关方。C)信息安全策略文件必须打印成纸质文件进行分发。D)信息安全策略文件应说明管理承诺,并提出组织的管理信息安全的方法。答案:C解析:[单选题]67.以下哪项不是信息系统集成项目的特点:()A)信息系统集成成项止要以满足客户和用户的需求的根本出发点B)系统集成就是选择最好的产品和技术,开发相应的软件和硬件,奖其集成到信息系统的过程C)信息系统集成项目的指导方法:总体规划,分步实施D)信息系统集成包含技术,管理和商务等方面,是一项综合性质的系统工程答案:B解析:[单选题]68.以下关于SMTP和POP3协议的说法哪个是错误的A)SMTP和POP3协议是一种基于ASCII编码的请求/响应模式的协议B)SMTP和POP3协议铭文传输数据,因此存在数据泄露的可能C)SMTP和POP3协议缺乏严格的用户认证,因此导致了垃圾邮件问题D)SMTP和POP3协议由于协议简单,易用性更高,更容易实现远程管理邮件答案:A解析:[单选题]69.入侵检测系统(IntrusionDetectionSysytem,IDS)是用于发现并报告系统中未授权或违反安全策略行为的设备。在入侵检测中有这样一种方法,任何的正常行为都是有一定的规律的并且可以通过分析这些行为产生的日志信息(假定日志信息足够安全)总结出这些规律。而入侵和滥用行为则通常和正常的行为存在严重的差异,通过检查这些差异就可以检测这些入侵,请问该入侵检测方法为()A)基于异常的入侵检测B)基于误用的入侵检测C)基于自治代理技术D)自适应模型生成特性的入侵检测答案:A解析:[单选题]70.472.以下关于数字签名说法正确的是（）A)数字签名是在所传输的数据后附加上一段和传输数据毫无关系的数字信息B)数字签名能够解决数据的加密传输，即安全传输问题C)数字签名一般采用对称加密机制D)数字签名能够解决篡改、伪造等安全性问题答案:D解析:[单选题]71.78.以下哪种风险被认为是合理的风险（）A)最小的风险B)残余的风险C)未识别的风险D)可接受的风险答案:D解析:[单选题]72.linux中关于登陆程序的配置文件默认的为()A)/etc/pam.d/system-authB)/etc/login.defsC)/etc/shadowD)/etc/passwd答案:B解析:[单选题]73.下列关于软件需求管理与需求开发的论述正确的是()A)所谓需求管理,是指对需求开发的管理B)需求管理包括:需求获取、需求分析、需求定义各需求验证C)需求开发是将用户需求转换为应用系统成果的过程D)在需求管理中要求维持对原有需求和所有的产品需求的双向跟踪答案:D解析:[单选题]74.以下关于风险评估的描述不正确的是?A)作为风险评估的要素之一,威胁发生的可能需要被评估B)作为风险评估的要素之一,威胁发生后产生的影响需要被评估C)风险评估是风险管理的第一步D)风险评估是风险管理的最终结果答案:D解析:[单选题]75.38.某网站管理员小邓在流量监测中发现近期网站的入站ICMP流量上升250%尽管网站没有发现任何的性能下降或其他问题，但为了安全起见，他仍然向主管领导提出了应对措施，作为主管负责人，请选择有效的针对此问题的应对措施：A)在防火墙上设置策略，阻止所有的ICMP流量进入（关掉ping）B)删除服务器上的ping.exe程序C)增加带宽以应对可能的拒绝服务攻击D)增加网站服务以应对即将来临的拒绝服务攻击答案:A解析:[单选题]76.配置帧中继连接时，在下列哪种情况下应使用frame-relaymap命令A)当远程路由器的品牌不是Cisco时B)当本地路由器配置有子接口时C)当使用全局有效的而非本地有效的DLCI时D)当本地路由器与远程路由器使用不同的LMI协议时答案:B解析:[单选题]77.企业信息安全事件的恢复过程中,以下哪个是最关键的?A)数据B)应用系统C)通信链路D)硬件/软件答案:A解析:[单选题]78.某组织的信息系统策略规定,终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应:A)报告该控制是有效的,因为用户ID失效是符合信息系统策略规定的时间段的B)核实用户的访问权限是基于用所必需原则的C)建议改变这个信息系统策略,以保证用户ID的失效与用户终止一致D)建议终止用户的活动日志能被定期审查答案:C解析:[单选题]79.以下关于Linux超级权限的说明，不正确的是A)一般情况下，为了系统安全，对于一般常规级别的应用，不需要root用户来操作完成B)普通用户可以通过su和sudo来获得系统的超级权限C)对系统日志的管理，添加和删除用户等管理工作，必须以root用户登录才能进行D)root是系统的超级用户，无论是否为文件和程序的所有者都具有访问权限答案:C解析:[单选题]80.37.以下哪一项不是信息系统集成项目的特点：A)信息系统集成项目要以满足客户和用户的需求为根本出发点B)系统集成就是选择最好的产品和技术，开发相应的软件和硬件，将其集成到信息系统的过程C)信息系统集成项目的指导方法是?总体规划、分步实施?D)信息系统集成包含技术，管理和商务等方面，是一项综合性的系统工程答案:B解析:[单选题]81.用来为网络中的主机自动分配IP地址、子网掩码、默认网关、WINS服务器地址的网络协议是：A)RPB)IGMPC)IC.MPD)HC.P答案:D解析:[单选题]82.38.鉴别是用户进入系统的第一道安全防线。用户登录系统时，和密码就是对用户身份进行鉴别。鉴别通过，即可以实现两的连接。例如，一个用户被服务器鉴别通过后，则被服务器用户，才可以进行后续访问。鉴别是对信息的一项安全属性该属性属于下列选项中的（）A)保密性B)可用性C)真实性D)完整性答案:C解析:[单选题]83.IS0/IEC27001《信息技术安全技术信息安全管理体系要求》的内容是基于A)BS7799-1《信息安全实施细则》B)BS7799-2《信息安全管理体系规范》C)信息技术安全评估准则(简称ITSEC)D)信息技术安全评估通用标准(简称CC)答案:B解析:[单选题]84.某公司升级安全芯片时采用了我国的SM2椭圆曲线算法,替换面临严重的安全威胁RSA算法。SM2算法是公钥算法,不可以完成的功能是A)style="width:auto;"class="fr-ficfr-filfr-dib">B)style="width:auto;"class="fr-ficfr-filfr-dib">C)style="width:auto;"class="fr-ficfr-filfr-dib">D)style="width:auto;"class="fr-ficfr-filfr-dib">答案:D解析:[单选题]85.54.小李在某单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训，一次培训的时候，小李主要负责讲解风险评估方法。请问小李的所述论点中错误的是哪项：A)风险评估方法包括：定性风险分析、定量风险分析以及半定量风险分析B)定性风险分析需要凭借分析者的经验和直觉或者业界的标准和惯例，因此具有随意性C)定量风险分析试图在计算风险评估与成本效益分析期间收集的各个组成部分的具体数字值因此更具有客观性D)半定量风险分析技术主要指在风险分析过程中综合使用定性和定量风险分析技术对风险要素的赋值方式，实现对风险各要素的度量数值化答案:B解析:[单选题]86.TCP会话劫持出了SYNFlood攻击，还需要()A)SYN扫描B)序列号预测C)扫描TCPD)扫描SYN/ACK答案:B解析:[单选题]87.下面信息安全漏洞理解错误的是:A)讨论漏洞应该从生命周期的角度出发,信息产品和信息系统在需求、设计、实现、配置、维护和使用等阶段中均有可能产生漏洞B)信息安全漏洞是由于信息产品和信息系统在需求、设计、开发、部署或维护阶段,由于设计、开发等相关人员无意中产生的缺陷所造成的C)信息安全漏洞如果被恶意攻击者成功利用,可能会给信息产品和信息系统带来安全损害,甚至带来很大的经济损失D)由于人类思维能力、计算机计算能力的局限性等因素,所以在信息产品和信息系统中产生新的漏洞是不可避免的答案:B解析:[单选题]88.基线要求类标准主要包括GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》、GB/T20271-2006《信息系统通用安全技术要求》、GB/T21052-2007《信息系统物理安全技术要求》、GB/T20269-2006《信息系统安全管理要求》＞GB/T20272-2006《操作系统安全技术要求》等数十份。其中，以《等级保护基本要求》微（）在其下可以细分为（）、管理类和（）等标准，分别对某些专门技术、管理和产品的进行要求。这些标准主要对开展（）中涉及到具体技术、管理进行要求，并根据等级保护每个等级的要求，进行（）。A)核心、技术类、产品类、等级保护工作、细化B)核心、产品类、等级保护工作、技术类、细化C)核心、细化、技术类、产品类、等级保