CISP考试练习题及答案5-2023背题版

试题说明

本套试题共包括1套试卷

每题均显示答案和解析

ClSP考试练习题及答案5(500题)

ClSP考试练习题及答案5

L［单选题］以下标准内容为“信息安全管理体系要求”的是哪个？

A)IS027000

B)ISO27001

C)ISO27002

D)ISO27003

答案:B

解析：

2.［单选题］建立计算机及其网络设备的物理环境，必须要满足《建筑与建筑群综合布线系统

工程设计规范》的要求，计算机机房的室温应保持在

A)10°C至25℃之间

B)15°C至30℃之间

C)8°C至20℃之间

D)Io℃至28℃之间

答案:A

解析：

3.［单选题］86∙以下哪个是ARP欺骗攻击可能导致的后果？

A)ARP欺骗可直接获得目标主机的控制权

B)ARP欺骗可导致目标主机的系统崩溃，蓝屏重启

C)ARP欺骗可导致目标主机无法访问网络

D)ARP欺骗可导致目标主机死机

答案:D

解析：

4.［单选题］中国信息安全测评中心对ClSP注册信息安全专业人员有保持认证要求，在证书有效期内

,应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：

A)为政府单位信息系统进行安全方案设计

B)在信息安全公司从事保安工作

C)在公开场合宣讲安全知识

D)在学校讲解信息安全课程

答案：B

解析：

5.［单选题］对戴明环(PDCA)方法的描述不正确的是：

A)"PDCAw的含义是P计划，D实施，C检查，A改进；

B)“PDCA”循环又叫“戴明”环；

C)''PDCA”循环是只能用于信息安全管理体系有效改进的工作程序；

D)“PDCA”循环是可用于任何一项活动有效进行的工作程序；

答案：C

解析：

6.［单选题］信息保障技术框架(IATF)是美国国家安全局(NSA)制定的，为

保护美国政府和工业界的信息与信息技术设施提供技术指南，关于IATF

的说法错误的是？

A)IATF的代表理论为“深度防御”。

B)IATF强调人、技术、操作这三个核心要素，从多种不同的角度对信息

系统进行防护。

OIATF关注本地计算环境、区域边界、网络和基础设施三个信息安全保

障领域。

D)IATF论述了系统工程、系统采购、风险管理、认证和鉴定以及生命周

期支持等过程。

答案：C

解析：

7.［单选题］自自42004年年11月起，国内各有关部门在申报信息安全国家标准计划项目时

,必须经由以下哪个组织提出工作情况，协调一致后由该组织申报。

A)全国通信标准化技术委员会(TC485)

B)全国信息安全标准化技术委员会(TTCC226600)

C)中国通信标准化协会(CCCA)

D)网络与信息安全技术工作委员会

答案：B

解析：

8.［单选题］在可信计算机系统评估准则(TCSE

C)中，下列哪一项是满足强制保护要求的最低级别？

A)C2

B)C1

OB2

D)B1

答案:D

解析：

9.［单选题］以下哪个拒绝服务攻击方式不是流量型拒绝服务攻击？

A)Land

B）UDPFlood

C）Smurf

D）teardrop

答案:D

解析：

10.［单选题］作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。由于该公

司的人员流动较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限

,最应该采用下列哪一种访问控制模型？

A）自主访问控制（DAC）

B）强制访问控制（MAC）

C）基于角色访问控制（RBAC）

D）最小特权（LEASTPrivilege）

答案：C

解析：

IL［单选题］基于密码技术的访问控制是防止—的主要防护手段。（）

A）数据传输泄密

B）数据传输丢失

C）数据交换失败

D）数据备份失败

答案：A

解析：

12.［单选题］下面关于信息系统安全保障模型的说法不正确的是：

A）国家标准《信息系统安全保障评估框架第一部分：简介和一般模型》（GB/T20274.1-2006）中的信

息系统安全保障模型将风险和策略作为基础和核心

B）模型中的信息系统生命周期模型是抽象的概念性说明模型，在信息系统安全保障具体操作时，可

根据具体环境和要求进行改动和细化

C）信息系统安全保障强调的是动态持续性的长效安全，而不仅是某时间点下的安全

D）信息系统安全保障主要是确保信息系统的保密性.完整性和可用性，单位对信息系统运行维护和使

用的人员在能力和培训方面不需要投入

答案:D

解析：

13.［单选题］张主任的计算机使用WindoWS7操作系统，他常登陆的用户名为Zhang.张主任给他个

人文件夹设置了权限为只有zhang这个用户有权访问这个目录，管理员在某次维护中无意将

ZHANG这个用户删除了，随后又重新建了一个用户名为ZHANG张主任使用ZHANG这个用户登录系

统后，发现无法访问他原来文件夹，原因是：

A）任何一个新建用户都需要经过授权才能访问系统中的文件

B）windows7不认为新建立的用户zhang与原来的用户zhang是同一个用户，因此无权访问

C）用户被删除后，该用户创建的文件夹也会自动删除，新建用户找不到原来用户的文件夹，因此无

法访问

D）新建的用户zhang会继承原来用户的权限，之所以无权访问是因为文件夹经过了加密

答案：B

解析：

14.［单选题］攻击者通过向网络或目标主机发送伪造的ARP应答报文，修改目标计算机上ARP缓存

,形成一个错误的IP地L>MAC地址映射，这个错误的映射在目标主机在需要发送数据时封装错误

的MAC地址。欺骗攻击过程如下图示，其属于欺骗攻击中的哪一种欺骗攻击的过程（）

aa:aa:aa:aa:aa

192.168.1.

ee:eeæ:æ:ee

A）ARP

B）IP

ODNS

D）SN

答案:A

解析：

15.［单选题］在制定一个正式的企业安全计划时，最关键的成功因素将是?

A）成立一个审查委员会

B）建立一个安全部门

C）向执行层发起人提供有效支持

D）选择一个安全流程的所有者

答案：C

解析：

16.［单选题］网络安全协议包括（）。

A）SSL、TLS,IPSec.Telnet、SSH、SET等

B）POP3和IMAP4

C）SMTP

D）TCP/IP

答案:A

解析：

17.［单选题］在典型的Web应用站点的层次结构中，“中间件”是在哪里运行的？

A）浏览器客户端

B）Web服务器

C）应用服务器

D）数据库服务器

答案：C

解析：

18.［单选题］了解社会工程学攻击是应对和防御（）的关键，对于信息系统的管理人员和用户

,都应该了解社会工程学攻击的概念和攻击的（）。组织机构可采取对相关人员实施社会工程学

培训来帮助员工了解什么是社会工程学攻击，如何判断是否存在社会工程学攻击，这样才能更好地

保护信息系统和（）。因为如果对攻击方式有所了解，那么识破攻击者的伪装就（）。因此组织

应持续不断的向员工提供安全意识的培训和教育，向员工灌输（），从而降低社会工程学攻击的

风险。

A）社会工程学攻击；越容易；原理；个人数据；安全意识

B）社会工程学攻击；原理；越容易；个人数据；安全意识

C）原理；社会工程学攻击；个人数据；越容易；安全意识

D）社会工程学攻击；原理；个人数据；越容易；安全意识

答案:D

解析：

19.［单选题］黑客造成的主要危害是

A）破坏系统、窃取信息及伪造信息

B）攻击系统、获取信息及假冒信息

C）进入系统、损毁信息及谣传信息

D）进入系统,获取信息及伪造信息

答案:A

解析：

20.［单选题］王工是某某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，跟据任务

安排，他依据已有的资产列表，逐个分析可能危害这些资产的主体，动机，途径等多种因素，分析

这些因素出现及造成损失的可能性大小，并为其赋值，请问，他这个工作属于下列哪一个阶段的工

作？

A）资产识别并贬值

B）脆弱性识别并贬值

C）威胁识别并贬值

D）确认已有的安全措施并贬值

答案：C

解析:

21.［单选题］关于向DNS服务器提交动态DNS更新，针对下列配置，描述正确的说法为：

/etc/named.conf

options{

directory”∕var∕named”；

allow-update202.96.44,0/24；

）;

A）允许向本DNS服务器进行区域传输的主机IP列表为“/24”

B）允许向本DNS服务器进行域名递归查询的主机IP列表“/24”

C）允许向本DNS服务器提交动态DNS更新的主机IP列表“202.96.44.0/24,,

D）缺省时为拒绝所有主机的动态DNS更新提交。

答案：C

解析：

22.［单选题］IS027002中描述的11个信息安全管理控制领域不包括：

A）信息安全组织

B）资产管理

C）内容安全

D）人力资源安全

答案：C

解析：

23.［单选题］对操作系统软件安装方面应建立安装0,运行系统要仅安装经过批准的可执行代码，不

安装开发代码和（），应用和操作系统软件要在大范围的、成功的测试之后才能实施。而且要仅由受

过培训的管理员，根据合适的（），进行运行软件、应用和程序库的更新；必要时在管理者批准的情

况下，仅为了支持目的，才授予供应商物理或运辑访问权。并且要监督供应商的活动。对于用户能

安装何种类型的软件，组织宜定义井强制执行严格的方针，宜使用OO不受控制的计算机设备上

的软件安装可能导政胞弱性，进而导致信息泄露；整体性损失或其他信息安全事件或违反（）。

A）控制规程；编译程序；管理授权；最小特权方针；知识产权

B）编译程序；控制规程；管理授权；最小特权方针；知识产权

C）控制规程；管理授权；编译程序；最小特权方针，知识产权

D）控制规程；最小特权方针；编译程序；管理授权；知识产权

答案:A

解析：

24.［单选题］以下哪些是可能存在的威胁因素？

A）设备老化故障

B）病毒和蠕虫

C）系统设计缺陷

D）保安工作不得力

答案:B

解析:

25.［单选题］从历史演进来看，信息安全的发展经历了多个阶段，其中，有一个阶段的特点是：网络

信息系统逐步形成，信息安全注重保护信息在存储、处理和传输过程中免受非授权的访问，开始使

用防火墙、防病毒、PKI和VPN等安全茶产品。这个阶段是？

A）通信安全阶段

B）计算机安全阶段

C）信息系统安全阶段

D）信息安全保障阶段

答案：C

解析：

26.［单选题］下面对“零日（Zero-day）漏洞”的理解中，正确的是？

A）指一个特定的漏洞，该漏洞每年1月1日零点发作，可以被攻击者用来远程攻击，获取主机权

限

B）指一个特定的漏洞，特指在2010年被发现出来的一种漏洞，该漏洞被“震网”病毒所利用，用

来攻击伊朗布什尔核电站基础设施

C）指一类漏洞，即特别好被利用，一旦成功利用该漏洞，可以在1天内完成攻击，且成功达到攻

击目的

D）指一类漏洞，即刚被发现后立即被恶意利用的安全漏洞，一般来说，那些已经被小部分人发现

,但是还未被公开、还不存在安全补丁的漏洞都是零日漏洞

答案:D

解析：

27.［单选题］随着高校业务资源逐渐向数据中心高度集中，bWeb成为一种普适平台，上面承载了越

来越多的核心业务。bWeb的开放性带来丰富资源、高效率、新工作方式的同时，也使机构的重要

要信息息暴露在在越来越多的的威威胁中。去年，某个本科生院网站站遭

遭遇遇LSQL群注入（MassLSQLInjection）攻击，网站发布的重要信息被篡改成为大量签

名，所以该校在某信息安全公司的建议下配置了状态检测防火墙，其原因不包括：：

A）状态检测防火墙可以应用会话信息决定过滤规则

B）状态检测防火墙具有记录通过每个包的详细信息能力

C）状态检测防火墙过滤规则与应用层无关，相比于包过滤防火墙更易安装和使用

D）状态检测防火墙结合网络配置和安全规定做出接纳、拒绝、身份认证或报警等处理动作

答案：C

解析：

28.［单选题］有关系统安全工程-能力成熟度模型（SSE-CMM）,错误的理解是？

A）SSE-CMM要求实践组织与其他组织相互作用，如开发、产品供应商、集成商和咨询服务商等

B）SSE-CMM可以使安全工程成为一个确定的、成熟的可度量的科目

C）基于SSE-CMM的工程是独立工程，与软件工程、硬件工程、通信工程等分别规划实施

D）SSE-CMM覆盖整个组织的活动，包括管理、组织和工程活动等，而不仅仅是系统安全的工程活动

答案：C

解析：

29.［单选题］国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述？

A）能够局部反应国家防御和治安实力的

B）国际领先，并且对国防建设或者经济建设具有特别重大影响的

C）处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的

D）我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的

传统工艺

答案：B

解析：

30.［单选题］某公司在执行灾难恢复测试时.信息安全专业人员注意到灾难恢复站点的服务器的运行

速度缓慢，为了找到根本愿因，他应该首先检查：

A）灾难恢复站点的错误事件报告

B）灾难恢复测试计划

C）灾难恢复计划（DRP）

D）主站点和灾难恢复站点的配置文件

答案:A

解析：

3L［单选题］下列哪一个日志文件的大小是正常的（）

A）1KB

B）20KB

C）7,023KB

D）123,158KB

答案:D

解析：

32.［单选题］某软件公司准备提高其开发软件的安全性，在公司内部发起了有关软件开发生命周期的

讨论，在下面的发言观点中，正确的是

A）软件的安全测试也很重要，考虑到程序员的专业性，如果该开发人员已经对软件进行了安全性测

试，就没有必要再组织第三方进行安全性测试

B）应当尽早在软件开发的需求和设计阶段就增加一定的安全措施，这样可以比在软件发布以后进行

漏洞修复所花的代价少得多

C）软件安全开发生命周期较长、阶段较多，而其中最重要的是要在软件的编码阶段做好安全措施

,就可以解决90%以上的安全问题

D）和传统的软件开发阶段相比，微软提出的安全开发生命周期（SeCUrityDevelopment

Lifecycle,SDD的最大特点是增加了一个专门的安全编码阶段

答案:B

解析：

33.［单选题］实体身份鉴别一般依据以下三种基本情况或这三种情况的组合：实体所知的鉴别方法

、实体所有的鉴别方法和基于实体特征的鉴别方法。下面选项中属于实体特征的鉴别方法是（）

A）将登录口令设置为出生日期

B）通过询问和核对用户的个人隐私信息来鉴别

C）使用系统定制的、在本系统专用的IC卡进行鉴别

D）通过扫墙和识别用户的脸部信息来鉴别

答案:D

解析：

34.［单选题］以下哪一项不是HS服务器支持的访问控制过滤类型？

A）网络地址访问控制

B）Web服务器许可

C）NTFS许可

D）异常行为过滤

答案:D

解析：

35.［单选题］文件型病毒传染的对象主要是（）类文件。

A）EXE和.WPS

B）CoM和.EXE

OWPS

D）DBF

答案:B

解析：

36.［单选题］由于发生了一起针对服务器口令暴力破解事件，管理员决定对设置账户锁定策略进行配

置，他的策略如下：复位账户锁定计数器5分钟：账户锁定时间10分钟账户锁定策略3次无效

登录：以下关于以上策略说法正确的是？

A）设置账户锁定策略，无法再进行口令暴力量破解，所有验证密码的用户安全较强

B）如果正确用户错误验证3次密码，那么该账户被锁定10分钟，10分钟内输入正确的密码，也

无法登录

C）如果正常用户连续输入密码猜解3次，那么该账户被锁定5分钟，5分钟内。。。也无法登录

D）攻击者进行口令猜解时，只要连续输错3次，该账户就被锁定10分钟，而正常用户登录不受

影响

答案：B

解析：

37.［单选题］windows文件系统权限管理作用访问控制列表（AccessControlList.ΛCL）机制,以

下哪个说法是错误的：

A）安装WindoWS系统时要确保文件格式使用的是NTFS,因为WindoWS的ACL机制需要NTFS文件格式

的支持

B）由于WindOWS操作系统自身有大量的文件和目录，因此很难对每个文件和目录设置严格的访问权

限，为了作用上的便利，Windows上的AeL存在默认设置安全性不高的问题

Owindows的ACL机制中，文件和文件夹的权限是与主体进行关联的，即文件夹和文件的访问权限

信息是写在用户数据库中

D）由于AeL具有很好的灵活性，在实际使用中可以为每一个文件设定独立的用户的权限

答案：C

解析：

38.［单选题］为保障信息系统的安全，某经营公共服务系统的公司准备并编制一份针对性的信息安全

保障方案，并将编制任务交给了小王，为此，小王决定首先编制出份信息安全需求报告。关于此项

工作，下面说法错误的是

A）信息安全需求是安全方案设计和安全措施的依据

B）信息安全需求应当是从信息系统所有者（用户）的角度出发，使用规范化.结构化的语言来描述信息

系统安全保障需求

C）信息安全需求应当基于信息安全风险评估结果.业务需求和有关政策法规和标准的合规性要求得到

D）信息安全需求来自于该公众服务信息系统的功能设计方案

答案:D

解析：

39.［单选题］对磁介质的最有效好销毁方法是？

A）格式化

B）物理破坏

C）消磁

D）删除

答案:B

解析：

40.［单选题］108∙为保障信息系统的安全，某经营公众服务系统的公司准备编制一份针对性的信息

安全保障方案，并将编制任务交给了小王，为此,小王决定首先编制出一份信息安全需求描述报告

,关于此项工作，下面说法错误的是（）

A）信息安全需求报告应依据该公众服务信息系统的功能设计方案为主要内容来撰写

B）信息安全需求描述报告是设计和撰写信息安全保障方案的前提和依据

C）信息安全需求描述报告应当基于信息安全风险评估报告结果和有关政策法规和标准的合规性要求

得到

D）信息安全需求描述报告的主体内容可以按照技术、管理和工程等方面需求展开编写

答案:A

解析：

41.［单选题］以下哪些不是可能存在的弱点问题？

A）保安工作不得力

B）应用系统存在BUg

C）内部人员故意泄密

D）物理隔离不足

答案：C

解析：

42.［单选题］OSI开放系统互联安全体系构架中的安全服务分为鉴别服务、访问控制、机密性服务、

完整服务、抗抵赖服务，其中机密性服务描述正确的是：

ʌ）包括原发方抗抵赖和接受方抗抵赖

B）包括连接机密性、无连接机密性、选择字段机密性和业务流保密

0包括对等实体鉴别和数据源鉴别

D）包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完

整性和选择字段无连接完整性

答案:B

解析：

43.［单选题］关于对信息安全事件进行分类分级管理的原因描述不正确的是

A）信息安全事件的种类很多，严重程度也不尽相同，其响应和处理方式也应各不相同。

B）对信息安全事件进行分类和分级管理，是有效防范和响应信息安全事件的基础。

C）能够使事前准备，事中应对和事后处理的各项相关工作更具针对性和有效性。

D）我国早期的计算机安全事件的应急响应工作主要包括计算机病毒防范和“千年虫”问题的解决

,关于网络安全应急响应的起步最早。

答案:D

解析：

44.［单选题］一上组织财务系统灾难恢复计划声明恢复点目标（RPO）是没有数据损失，恢复时间目

标（RTO）是72小时。以下哪一技术方案是满足需求且最经济的？

A）一个可以在8小时内用异步事务的备份日志运行起来的热站

B）多区域异步更新的分布式数据库系统

C）一个同步更新数据和主备系统的热站

D）一个同步过程数据拷备、可以48小时内运行起来的混站

答案:D

解析：

45.［单选题］在LinUX操作系统中，为了授权用户具有管理员的某些个性需求

的权限所采取的措施是什么？

A）告诉其他用户root密码

B）将普通用户加入到管理员组

C）使用ViSUdO命令授权用户的个性需求

D）创建单独的虚拟账户

答案：C

解析：

46.［单选题］最新的研究和统计表明，安全攻击主要来自（）。

A）接入网

B）企业内部网

C）公用IP网

D）个人网

答案：B

解析：

47.［单选题］开发人员认为系统架构设计不合理，需要讨论调整后，再次进入编码阶段。开发团队可

能采取的开发方法为

A）瀑布模型

B）净室模型

C）模型

D）迭代模型

答案:A

解析：

48.［单选题］关系数据库的完整性规划是数据库设计的重要内容，下面关于“实体完整性”的描述

正确的是

A）指数据表中列的完整性，主要用于保证操作的数据（记录）完整、不丢项

B）指数据表中行的完整性，主要用于保证操作的数据（记录）非空、唯一且不重复

C）指数据表中列必须满足某种特定的数据类型或约束，比如取值范围、数值精度等约束

D）指数据表行必须满足某种特定的数据类型或约束，比如在更新、插入或删除记录时，将关联有关

的记录一并处理才可以

答案:B

解析：

49.［单选题］及时审查系统访问审计记录是以下哪种基本安全功能？

A）威慑。

B）规避。

C）预防。

D）检测。

答案:D

解析：

50.［单选题］以下哪一个是在所有的WINDOWS2000和WINDOWS系统中都存在的

日志是？

A）目录服务日志

B）文件复制日志

C）应用服务日志

D）DNS服务日志

答案：C

解析：

51.［单选题］使用加密软件加密数据时，往往使用数据库系统自带的加密方法加密数据，实施

A）DAC

B）DCA

OMAC

D）CAM

答案:A

解析：

52.［单选题］对于违反信息安全法律、法规行为的行政处罚中，_是较轻的处罚方式。（）

A）警告

B）罚款

C）没收违法所得

D）吊销许可证

答案:A

解析：

53.［单选题］给EXCeI文件设置保护密码，可以设置的密码种类有（）。

A）删除权限密码

B）修改权限密码

C）创建权限密码

D）添加权限密码

答案:B

解析：

54.［单选题］以下有关访问控制的描述不正确的是

A）口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护

和管理

B）系统管理员在给用户分配访问权限时，应该遵循“最小特权原

则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的

权限一律不能分配

C）单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提

升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；

D）双因子认证（又称强认证）就是一个系统需要两道密码才能进入；

答案:D

解析：

55.［单选题］部署互联网协议安全虚拟专用网（InternetprotocolSecurityvirtualPrivate

NetworkIPsecVPN）时。以下说法正确的是：

A）配置MD5安全算法可以提供可靠地数据加密

B）配置AES算法可以提供可靠的数据完整性验证

C）部署IPSeCVIPN网络时，需要考虑IP地址的规划，尽量在分支节点使用可以聚合的IP地址段

,来减少IPSeC安全关联（SeCUrityAuthentication,SA）资源的消耗

D）报文验证头协议（AuthenticationHeader,AH）可以提供数据机密性

答案：C

解析：

56.［单选题］下面关于定性风险评估方法的说法正确的选项是

A）通过将资产价值和风险等量化为财务价值和方式来进行计算的一种方法

B）采用文字形式或表达性的数值范围来描述潜在后果的大小程度及这些后果发生的可能性

C）在后果和可能性分析中采用数值，并采用从各种各样的来源中得到的数据

D）定性风险分析提供了较好的成本效益分析

答案:B

解析：

57.［单选题］防火墙提供的接入模式不包括

A）网关模式

B）透明模式

C）混合模式

D）旁路接入模式

答案:D

解析：

58.［单选题］以下对信息安全描述不正确的是

A）信息安全的基本要素包括保密性、完整性和可用性

B）信息安全就是保障企业信息系统能够连续、可靠、正常地运行

C）信息安全就是不出安全事故/事件

D）信息安全风险是科技风险的一部分

答案：C

解析：

59.［单选题］下面说法错误的是o

A）由于基于主机的入侵检测系统可以监视一个主机上发生的全部事件，它们能够检测

基于网络的入侵检测系统不能检测的攻击

B）基于主机的入侵检测系统可以运行在交换网络中

C）基于主机的入侵检测系统可以检测针对网络中所有主机的网络扫描

D）基于应用的入侵检测系统比起基于主机的入侵检测系统更容易受到攻击，因为应用

程序日志并不像操作系统审计追踪日志那样被很好地保护

答案：C

解析：

60.［单选题］通过以下哪个命令可以查看本机端口和外部连接状况（）

A）netstat-an

B）netconn-an

C）netport-a

D)netstat-all

答案:A

解析：

61.［单选题］管理CiSCo路由器时，应限制具备管理员权限的用户远程登录。远程执行管

理员权限操作，应先以普通权限用户远程登录后，再切换到管理员权限账号

后执行相应操作。要做到这点，正确的操作顺序应该是()。

a、使用ROUter(Config)#usernamenormaluserpassword3d-zirc0nia创建登录账号

b、使用RoUter(Config)#usernamenormaluserprivilege1给创建账号赋以低的权

限

c、使用ROUter(Config)#linevtyO4和ROUter(ConfigTine)#loginlocal启用远程

登录的本地验证

d、使用RoUter(Config)#servicePaSSWOrd-encryption对存储密码进行加密

A)abed

B)bcda

C)adcb

D)dabc

答案:D

解析：

62.［单选题］关于标准、指南、程序的描述，哪一项是最准确的？

A)标准是建议性的策略，指南是强制执行的策略

B)程序为符合强制性指南的一般性建议

C)程序是为符合强制性指南的一般性建议

D)程序是为符合强制性标准的的说明

答案:D

解析：

63.［单选题］在ISO/IEC17799中，防止恶意软件的目的就是为了保护软件和信息的—。()

A)安全性

B)完整性

C)稳定性

D)有效性

答案:B

解析：

64.［单选题］《互联网上网服务营业场所管理条例》规定，—负责互联网上网服务营业场所安全

审

核和对违反网络安全管理规定行为的查处。()

A)人民法院

B)公安机关

C)工商行政管理部门

D）国家安全部门

答案:B

解析：

65.［单选题］为了简化管理，通常对访问者（）,以避免访问控制表过于庞大。

A）分类组织成组

B）严格限制数量

C）按访问时间排序，删除长期没有访问的用户

D）不作任何限制

答案:A

解析：

66.［单选题］一般来说，路由器工作在OSl七层模式的哪层？

A）三层，网络层

B）二层，数据链路层

C）四层，传输层

D）七层，应用层

答案:A

解析：

67.［单选题］下面不属于SET交易成员的是

A）持卡人

B）电子钱包

C）支付网关

D）发卡银行

答案:B

解析：

68.［单选题］用于跟踪路由的命令是

A）nestat

B）regedit

C）systeminfo

D）tracert

答案:D

解析：

69.［单选题］3L安全管理体系，国际上有标准（InfOrmationtechnologySecuritytechniques

Informationsystems）（ISO/IEC27001：2013）,而我国发布了《信息技术信息安全管理体系要求

》（GB/T22080-2008）.请问，这两个标准的关系是？

A）IDT（等同采用），此国家标准等同于该国际标准，仅有或没有编辑性修改

B）EQV（等效采用），此国家标准等效于该国家标准，技术上只有很小差异

OAEQ（等效采用），此国家标准不等效于该国家标准

D）没有采用与否的关系，两者之间版本不同，不应直接比较

答案:A

解析：

70.［单选题］下面技术中不能防止网络钓鱼攻击的是：

A）在主页的底部设有一个明显链接，以提醒用户注意有关电子邮件诈骗的问题

B）利用数字证书（如USBKEY）进行登录

C）根据互联网内容分级联盟（ICRA）提供的内容分级标准对网站内容进行分级

D）安装杀毒软件和防火墙、及时升级、打补丁、加强员工安全意识

答案：C

解析：

71.［单选题］以下关于威胁建模流程步骤说法不正确的是

A）威胁建模主要流程包括四步：确定建模对象、识别威胁、评估威胁和消减威胁

B）评估威胁是对威胁进行分析，评估被利用和攻击发生的概率，了解被攻击后资产的受损后果，并

计算风险

C）消减威胁是根据威胁的评估结果，确定是否要消除该威胁以及消减的技术措施，可以通过重新设

计直接消除威胁，或设计采用技术手段来消减威胁。

D）识别威胁是发现组件或进程存在的威胁，它可能是恶意的，威胁就是漏洞。

答案:D

解析：

72.［单选题］UNIX中，默认的共享文件系统在哪个位置（）

A）/sbin∕

B）∕use∕local∕

C）/export/

D）∕usr∕

答案：C

解析：

73.［单选题］ISO17799/ISO27001最初是由__提出的国家标准。（）

A）美国

B）澳大利亚

C）英国

D）中国

答案：C

解析：

74.［单选题］在风险处置过程中，应当考虑的风险处置措施，通常在哪种情况下采用？

A）负面影响损失小于安全投入

B）负面影响损失和安全投入持平

C）负面影响损失和安全投入都很小

D）安全投入小于负面影响损失

答案:D

解析：

75.［单选题］在招聘过程中，如果在岗位人员的背景调查中出现问题时，以下做法正确的选项是?

A）继续执行招聘流程。

B）停止招聘流程，取消应聘人员资格。

C）与应聘人员沟通出现的问题。

D）再进行一次背景调查。

答案:B

解析：

76.［单选题］某台路由器上配置了如下一条访问列表

access-list4deny202.38.0.00.0.255.255

access-list4permit202.38.160.155

表示：（）

A）只禁止源地址为202.38.0.0网段的所有访问；

B）只允许目的地址为202.38.0.0网段的所有访问；

C）检查源IP地址，禁止202.38.0.0大网段的主机，但允许其中的202.38.160.0

小网段上的主机；

D）检查目的IP地址，禁止202.38.0.0大网段的主机，但允许其中的202.38.160.0

小网段的主机；

答案：C

解析：

77.［单选题］信息安全政策声明：”每个人必须在进入每一个控制门时，都必须

读取自己的证件”，防范的是哪一种攻击方式？

A）尾随PiggybaCking

B）肩窥ShOUldersurfing

C）Dumpsterdiving

D）冒充Impersonation

答案:A

解析：

78.［单选题］有关数字签名的作用，哪一点不正确。（）

A）唯一地确定签名人的身份

B）对签名后信件的内容是否又发生变化进行验证

C）发信人无法对信件的内容进行抵赖

D）权威性

答案：D

解析：

79.［单选题］下列对于信息安全保障深度防御模型的说法错误的是：

A）信息安全外部环境：信息安全保障是组织机构安全、国家安全的一个重要组成部分，因此对信息

安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下。

B）信息安全管理和工程：信息安全保障需要在整个组织机构内建立和完善信息安全管理体系，将信

息安全管理综合至信息系统的整个生命周期，在这个过程中，我们需要采用信息系统工程的方法来

建设信息系统。

C）信息安全人才体系：在组织机构中应建立完善的安全意识，培训体系也是信息安全保障的重要组

成部分。

D）信息安全技术方案：“从外而内、自下而上、形成边界到端的防护能力”。

答案:D

解析：

80.［单选题］以下信息安全原则，哪一项是错误的？

A）实施最小授权原则

B）假设外部系统是不安全的

C）消除所有级别的信息安全风险

D）最小化可信任的系统组件

答案：C

解析：

81.［单选题］微软提出了STRlDE模型，其中R是RePUdiatiOn（抵赖）的缩写，关于此项错误的事是。

A）某用户在登录系统并下载数据后，却声称“我没有下载过数据“软件R威胁

B）某用户在网络通信中传输完数据后，却声称“这些数据不是我传输的”威胁也属于R威胁。

C）对于R威胁，可以选择使用如强认证、数字签名、安全审计等技术

D）对于R威胁，可以选择使用如隐私保护、过滤、流量控制等技术

答案:D

解析:针对抵赖攻击措施是安全审计和数字签名。

82.［单选题］下列对审计系统基本组成描述正确的是：

A）审计系统一般包括三个部分：日志记录、日志分析和日志处理

B）审计系统一般包含两个部分：日志记录和日志处理

C）审计系统一般包含两个部分：日志记录和日志分析

D）审计系统一般包含三个部分：日志记录、日志分析和日志报告

答案:D

解析：

83.［单选题］制定应急响应策略主要需要考虑

A）系统恢复能力等级划分

B）系统恢复资源的要求

C）费用考虑

D）人员考虑

答案:D

解析：

84.［单选题］企业信息安全事件的恢复过程中，以下哪个是最关键的？

A）数据

B）应用系统

C）通信链路

D）硬件/软件

答案:A

解析：

85.［单选题］下列哪一种方法属于基于实体“所有”鉴别方法：

A）用户通过自己设置的口令登录系统，完成身份鉴别

B）用户使用个人指纹，通过指纹识别系统的身份鉴别

C）用户利用和系统协商的秘密函数，对系统发送的挑战进行正确应答，通过身份鉴别

D）用户使用集成电路卡（如智能卡）完成身份鉴别

答案:D

解析：

86.［单选题］随着高校业务资源逐渐向数据中心高度集中，Web成为一种普适平台，上面承载了越来

越多的核心业务。Web的开放性带来丰富资源、高效率、新工作方式的同时，也使机构的重要信息暴

露在越来越多的威胁中。去年，某高校本科生院网站遭遇SQL群注入（MaSSSQLInjeCtiOn）攻击，网

站发布的重要信息被篡改成为大量签名，所以该校在某信息安全公司的建议下配置了状态检测防火

墙，其原因不包括O

A）状态监测防火墙具有记录通过每个包的详细信息能力

B）状态监测防火墙过滤规则与应用层无关，相比于包过滤防火墙更易安装和使用

C）状态监测防火墙结合网络配置和安全规定做出接纳、拒绝、身份认证或报警等处理动作

D）状态监测防火墙可以应用会话信息决定过滤规则

答案:B

解析：

87.［单选题］信息安全管理体系ISMS要求建立过程体系，该过程体系是如下。基础上构建的

A）IATF

B）P2DR

0PDCERF

D）PDCA

答案:D

解析：

88.［单选题］以下对RADIUS协议说法正确的是：

A）它是一种B/S结构的协议

B）它是一项通用的认证计费协议

C）它使用TCP通信

D）它的基本组件包括认证、授权和加密

答案:B

解析：

89.［单选题］目前发展很快的安全电子邮件协议是,这是一个允许发送加密和有签名邮

件的协议。______

A）IPSec

B）SMTP

C）S/MIME

D）TCP/IP

答案：C

解析：

90.［单选题］以下对信息安全描述不正确的是

A）信息安全的基本要素包括保密性、完整性和可用性

B）信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安

全事件对业务造成的影响减到最小，确保组织业务运行的连续性

C）信息安全就是不出安全事故/事件

D）信息安全不仅仅只考虑防止信息泄密就可以了

答案：C

解析：

91.［单选题］有关质量管理，错误的是：

A）质量管理是与指挥和控制组织质量相关的一系相互协调的活动，是为了实现质量目标，而进行的

所有管理性质的活动

B）规范质量管理体系相关活动的标准是IS09000系列标准

C）质量管理体系将资源与结果结合，以结果管理方法进行系统的管理

D）质量管理体系从机构、程序、过程和总结四个方面进行规范来提升质量

答案：C

解析：

92.［单选题］关于源代码审核，下列说法正确的是：

A）人工审核源代码审校的效率低，但采用多人并行分析可以完全弥补这个缺点

B）源代码审核通过提供非预期的输入并监视异常结果来发现软件故障，从而定位可能导致安全弱点

的薄弱之处

C）使用工具进行源代码审核，速度快，准确率高，已经取代了传统的人工审核

D）源代码审核是对源代码检查分析，检测并报告源代码中可能导致安全弱点的薄弱之处

答案:D

解析：

93.［单选题］通过社会工程的方法进行非授权访问的风险可以通过以下方法防止:

A）安全意识程序

B）非对称加密

C）入侵侦测系统

D）非军事区

答案:A

解析：

94.［单选题］由于病毒攻击、非法入侵等原因，校园网整体瘫痪，或者校园网络中心全部DNS、主

WEB服务器不能正常工作；由于病毒攻击、非法入侵、人为破坏或不可抗力等原因，造成校园网出口

中断，属于以下哪种级别事件

A）特别重大事件

B）重大事件

C）较大事件

D）一般事件

答案:A

解析：

95.［单选题］在信息系统安全中，风险由以下哪两种因素共同构成的？

A）攻击和脆弱性

B）威胁和攻击

C）威胁和脆弱性

D）威胁和破坏

答案：C

解析：

96.［单选题］目前发展很快的基于PKl的安全电子邮件协议是

A）S/MIME

B）POP

C）SMTP

D）IMAP

答案:A

解析：

97.［单选题］相比文件配置表（FAT）文件系统，以下哪个不是新技术文件系统（NTFS）所具有的优势？

A）NTFS使用事务日志自动记录所有文件夹和文件更新，当出现系统损坏和电源故障等问题而引起

操作失败后，系统能利用日志文件重做或恢复未成功的操作

B）NTFS的分区上，可以为每个文件或文件夹设置单独的许可权限

C）对于大磁盘，NTFS文件系统比FAT有更高的磁盘利用率

D）相比FAT文件系统，NTFS文件系统能有效的兼容IinUX下EXT2文件格式

答案:D

解析：

98.［单选题］以下对PPDR模型的解释错误的是:

A）该模型提出以安全策略为核心，防护、检测和恢复组成一个完整的，

B）该模型的一个重要贡献是加进了时间因素，而且对如何实现系统安全状态给出了操作的描述

C）该模型提出的公式1：Pt>Dt+Rt,代表防护时间大于检测时间加响应时间

D）该模型提出的公式1：Pt=Dt+Rt,代表防护时间为O时，系统检测时间等于检测时间加响应时间

答案:D

解析：

99.［单选题］在风险管理工作中“监控审查”的目的，一是;二是

A）保证风险管理过程的有效性,保证风险管理成本的有效性

B）保证风险管理结果的有效性,保证风险管理成本的有效性

C）保证风险管理过程的有效性,保证风险管理活动的决定得到认可

D）保证风险管理结果的有效性,保证风险管理活动的决定得到认可

答案：C

解析：

100.［单选题］87.小李在学习信息安全管理体系（ISMS）的有关知识后，按照自己的理解画了一张图

来描述安全管理过程，但是他还存在一个空白处未填写，请帮他选择一个最合适的选项：

A）实施和运行ISMS

B）执行和检查ISMS

C）监控和反馈ISMS

D）沟通和咨询ISMS

答案：A

解析：

IOL［单选题］以下哪个选项不是信息安全需求的来源

A）法律法规与合同条约的要求

B）组织的原则、目标和规定

C）风险评估的结果

D）安全架构和安全厂商发布的病毒、漏洞预警

答案:D

解析：

102.［单选题］下列软件开发模型中，支持需求不明确，特别是大型软件系统的开发，并支持多种软

件开发方法的模型是（）。

A）原型模型

B）瀑布模型

C）喷泉模型

D）螺旋模型

答案:D

解析：

103.［单选题］用于实现身份鉴别的安全机制是（）。

≡l

()an

A）加密机制和数字签名机制

B）加密机制和访问控制机制

C）数字签名机制和路由控制机制

D）访问控制机制和路由控制机制

答案:A

解析：

104.［单选题］IinuX中关于登陆程序的配置文件默认的为（B）

A）∕etc∕pam.d/system-auth

B）∕etc∕login.defs

C）∕etc∕shadow

D）∕etc∕passwd

答案：B

解析：

105.［单选题］与浏览器兼容性测试不需要考虑的问题是（）

A）软件是否可以在不同的J2EE中运行

B）不同的浏览器是否可以提供合适的安全设置

O脚本和插件是否适用于不同的浏览器

D）符合最新HIML版本的页面能否在浏览器中正确显示

答案:A

解析：

106.［单选题］某公司开发了一个游戏网站，但由于网站软件存在漏洞，在网络中传输中传输大量数

据包时总会丢失一些数据，如一次性传输大于2000个字节数据时，总是会有3到5个字节不

能传输到对方。关于此案例可推？

A）该网站软件存在保密性方面安全问题

B）该网站软件存在完整性方面安全问题

C）该网站软件存在可用性方面安全问题

D）该网站软件存在不可否认性方面安全问题

答案:B

解析：

107.［单选题］为了防止电子邮件中的恶意代码，应该由—方式阅读电子邮件

A）纯文本

B）网页

C）程序

D）会话

答案:A

解析：

108.［单选题］以下哪些问题、概念不是公钥密码体制中经常使用到的困难问题？

A）大整数分解

B）离散对数问题

C）背包问题

D）伪随机数发生器

答案:D

解析：

109.［单选题］以下哪一个不是VLAN的划分方式

A）根据TCP端口来划分

B）根据MAC地址来划分

C）根据IP组播划分

D）根据网络层划分

答案:A

解析：

110.［单选题］使用漏洞库匹配的扫描方法，能发现_

A）未知的漏洞

B）已知的漏洞

C）自行设计的软件中的漏洞

D）所有的漏洞

答案:B

解析：

Ill.［单选题］安全审计跟踪是—O（）

A）安全审计系统检测并追踪安全事件的过程

B）安全审计系统收集易于安全审计的数据

C）人利用日志信息进行安全事件分析和追溯的过程

D）对计算机系统中的某种行为的详尽跟踪和观察

答案:A

解析：

112.［单选题］以下关于风险评估的描述不正确的选项是？

A）作为风险评估的要素之一，威胁发生的可能需要被评估

B）作为风险评估的要素之一，威胁发生后产生的影响需要被评估

C）风险评估是风险管理的第一步

D）风险评估是风险管理的最终结果

答案:D

解析：

113.［单选题］下列属于良性病毒的是

A）黑色星期五病毒

B）火炬病毒

C）米开朗基罗病毒

D）扬基病毒

答案:D

解析：

∏4.［单选题］信息安全事件的分类方法有多种，依据GB/Z20986-2007《信息安全技术信息安全事件

分类分级指南》，信息安全事件分为7个基本类别，描述正确的

A）网络攻击事件、网络扫描窃听事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性

事件和其他信息安全事件。

B）有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件

和其他信息安全事件。

C）网络攻击事件、拒绝服务攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性

事件和其他信息安全事件。

D）网络攻击事件、网络钓鱼事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件

和其他信息安全事件。

答案:B

解析：

115.［单选题］假设使用一种加密算法，它的加密方法很简单：将每一个字母加5,即a加密成f。这

种算法的密钥就是5,那么它属于（）。

A）对称加密技术

B）分组密码技术

C）公钥加密技术

D）单向函数密码技术

答案:A

解析：

116.［单选题］维持对于信息资产的适当的安全措施的责任在于

A）安全管理员

B）系统管理员

C）数据和系统的所有者

D）系统作业人员

答案:A

解析：

117.［单选题］小王在某web软件公司工作，她在工作中主要负责对互联网信息服务（IlS）软件进

行安全配置，这是属于（）方面的安全工作。

A）web服务支撑软件

B）web应用程序

C）web浏览器

D）通信协议

答案:A

解析：

118.［单选题］关于口令认证机制，下列说法正确的是—o（）

A）实现代价最低，安全性最高

B）实现代价最低，安全性最低

C）实现代价最高，安全性最高

D）实现代价最高，安全性最低

答案:B

解析：

119.［单选题］下列事项是我国在2009年下发的关于政府信息系统安全保障工作的政策文件：

A）《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高校

B）《关于加强政府信息系统安全和保密管理工作的通知》（国发办17号）

C）《国务院办公厅关于印发＜政府信息系统安全检查办法〉的通知》（国办发28号）

D）《国务院办公厅关于印发〈国家网络与信息安全事件应急预案〉的通知》（国办函168

答案：C

解析：

120.［单选题］作为信息安全从业人员，以下哪种行为违反了ClSP职业道德准则

A）抵制通过网络系统侵犯公众合法权益

B）通过公众网络传播非法软件

C）不在计算机网络系统中进行欺诈，诽谤等活动

D）帮助和指导信息安全同行提升信息安全保障知识和能力

答案:B

解析：

121.［单选题］关于信息安全策略文件以下说法不正确的是哪个？

A）信息安全策略文件应由管理者批准、发布。

B）信息安全策略文件并传达给所有员工和外部相关方。

C）信息安全策略文件必须打印成纸质文件进行分发。

D）信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方

法。

答案：C

解析：

122.［单选题］为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，以

下关于渗透测试过程的说法不正确的是？

A）由于在实际渗透测试过程中存在不可预知的风险，所以测试前要提醒用户进行系统和数据备份

,以便出现问题时可以及时恢复系统和数据

B）渗透测试从“逆向”的角度出发，测试软件系统的安全性，其价值在于可以测试软件在实际系统

中运行时的安全状况

C）渗透测试应当经过方案制定、信息收集、漏洞利用、完成渗透测试报告等步骤

D）为了深入发掘该系统存在的安全威胁，应该在系统正常业务运行高峰期进行渗透测试

答案:D

解析：

123.［单选题］以下哪些不属于脆弱性范畴？

A）黑客攻击

B）操作系统漏洞

C）应用程序BUG

D）人员的不良操作习惯

答案:A

解析：

124.［单选题］加密文件系统（EncryptingFileSystem,EFS）是Windows操作系统的一个组件。以

下说法错误的是？

A）EFS采用加密算法实现透明的文件加密和解密，任何不拥有合适密钥的个人或者程序都不能解密

数据

B）EFS以公钥加密为基础，并利用了Windows系统中的CryptoAPI体系结构

OEFS加密系统适用于NTFS文件系统和FAT32文件系统（Window7环境下）

D）EFS加密过程对用户透明，EFS加密的用户验证过程是在登录Windows时进行的

答案：C

解析：

125.［单选题］下列关于密钥交换协议（IKE）描述不正确的是

A）IKE可以为IPSeC协商安全关联

B）IKE可以为RIPv2.OSPFYL等要求保密的协议协商安全参数

OIKE可以为L2TP协商安全关联

D）IKE可以为SNMPv3等要求保密的协议协商安全参数

答案：C

解析：

126.［单选题］以下关于LlNUX超级权限的说明，不正确的是

A）一般情况下，为了系统安全，对于一般常规级别的应用，不需要ROOT用户来操作完成

B）普通用户可以通过SU和SUDO来获得系统的超级权限

C）对系统日志的管理，添加和删除用户等管理工作，必须以ROOT用户登录才能进行

D）ROOT是系统的超级用户，无论是否为文件和程序的所有者都具有访问权限

答案：C

解析：

127.［单选题］所有进入物理安全区域的人员都需经过

A）考核

B）授权

C）批准

D）认可

答案：B

解析：

128.［单选题］某公司的对外公开网站主页经常被黑客攻击后修改主页内容，该公司应当购买并部署

下面哪个设备（）,可以提高对此类威胁的防护能力。

A）安全路由器

B）网络审计系统

C）网页防篡改系统

D）虚拟专用网系统

答案：C

解析：

129.［单选题］对于信息安全策略的描述错误的选项是？

A）信息安全策略是以风险管理为基础，需要做到面面俱到，杜绝风险的存在。

B）信息安全策略是在有限资源的前提下选择最优的风险管理对策。

C）防范不足会造成直接的损失；防范过多又会造成间接的损失。

D）信息安全保障需要从经济、技术、管理的可行性和有效性上做出权衡和取舍。

答案:A

解析：

130.［单选题］有效减少偶然或故意的未授权访问、误用和滥用的有效方法是如下

哪项？

A）访问控制

B）职责分离

C）加密

D）认证

答案:B

解析：

131.［单选题］以下哪一种防病毒软件的实施策略在内部公司网络中是最有效的：

A）服务器防毒软件

B）病毒墙

C）工作站防病毒软件

D）病毒库及时更新

答案:D

解析：

132.［单选题］近几年，无线通信技术迅猛发展，广泛应用于各个领域。而无线信道是一个开放性信

道，它在赋予无线用户通信自由的同时也给无线通信网络带来一些不安全因素。下列选项中，对无

线通信技术的安全特点描述正确的是

A）无线信道是一个开放性信道，任何具有适当无线设备的人均可以通过搭线窃听而获得网络通信内

容

B）通过传输流分析，攻击者可以掌握精确的通信内容

C）对于无线局城网络和无线个人区城网络来说，它们的通信内容更容易被窃听

D）群通信方式可以防止网络外部人员获取网络内部通信内容

答案：C

解析：

133.［单选题］Kerberos依赖什么加密方式？

A）E1Gamal密码加密

B）秘密密钥加密。

C）Blowfish加密。

D）公钥加密。

答案：B

解析：

134.［单选题］在信息安全管理体系的实施过程，管理者的作用对于信息安全管理体系能否成功实施非

常重要，但是以下选项中不属于管理者应有职责的是（）。

A）制定并颁布信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体要

求

B）确保组织的信息安全管理体系目标和相应的计划得以制定，目标应明确、可度量、计划应具体、

可实施

C）想组织传达满足信息安全的重要性，传达满足信息安全要求,达成信息安全目标、符合信息安全方

针、旅行法律责任和持续改进的重要性

D）建立健全信息安全制度，明确风险管理作用，实话信息安全风险评估过程，确保信息安全风险评

估技术选择合理、计算正确

答案:D

解析：

135.［单选题］从系统工程的角度来处理信息安全问题，以下说法错误的是：

A）系统安全工程旨在了解企业存在的安全风险，建立一组平衡的安全需求，融合各种工程学科的努

力将此安全需求转换为贯穿系统整个生存期的工程实施指南。

B）系统安全工程需对安全机制的正确性和有效性做出诠释，证明安全系统的信任度能够达到企业的

要求，或系统遗留的安全薄弱性在可容许范围之内。

C）系统安全工程能力成熟度模型（SSE-CMM）是一种衡量安全工程实践能力的方法，是一种使用面向开

发的方法。

D）系统安全工程能力成熟度模型（SSE-CMM）是在原有能力成熟度模型（CMM）的基础上，通过对安全工

作过程进行管理的途径，将系统安全工程转变为一个完好定义的、成熟的、可测量的先进学科。

答案:B

解析:SSE-CMM是面向工程过程的方法。

136.［单选题］ISO27OO1认证项目一般有哪几个阶段？

A）管理评估，技术评估，操作流程评估

B）确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证

C）产品方案需求分析，解决方案提供，实施解决方案

D）基础培训，RA培训，文件编写培训，内部审核培训

答案:B

解析：

137.［单选题］63.操作系统用于管理计算机资源，控制整个系统运行，是计算机软件的基础。操作

系统安全是计算、网络及信息系统安全的基础。一般操作系统都提供了相应的安全配置接口。小

王新买了一台计算机，开机后首先对自带的WindOWS操作系统进行配置。他的主要操作有

：（1）关闭不必要的服务和端口；（2）在“在本地安全策略”重配置账号策略、本地策略、公钥

策略和IP安全策略；（3）备份敏感文件，禁止建立空连接，下载最新补丁；（4）关闭审核策略

,开启口令策略，开启账号策略。这些操作中错误的是？

A）操作（1）,应该关闭不必要的服务和所有端口

B）操作（2）,在“本地安全策略”中不应该配置公钥策略，而应该配置私钥策略

C）操作（3）,备份敏感文件会导致这些文件遭到窃取的几率增加

D）操作（4）,应该开始审核策略

答案:D

解析：

138.［单选题］覆盖全省乃至全国的党政机关、商业银行的计算机网络属于（）。

A）广域网

B）局域网

C）城域网

D）国际互联网

答案:A

解析：

139.［单选题］PKI的主要组成不包括（）o

A）证书授权CA

B）SSL

C）注册授权RA

D）证书存储库CR

答案:B

解析：

140.［单选题］以下对KerberoS协议过程说法正确的是:

A）协议可以分为两个步骤一是用户身份鉴别；二是获取请求服务

B）协助可以分为两个步骤一是获得票据许可票据；二是获取请求服务

C）协议可以分为三个步骤一是用户身份鉴别；二是获得票据许可票据；三是获得服务许可票据

D）协议可以分为三个步骤一是获得票据许可票据；二是获得服务许可票据；三是获得服务

答案:D

解析:

141.［单选题］组织建立业务连续性计划（BCP）的作用包括：

A）在遭遇灾难事件时，能够最大限度地保护组织数据的实时性，完整性和一致性；

B）提供各种恢复策略选择，尽量减小数据损失和恢复时间，快速恢复操作系统、应用和数据；

C）保证发生各种不可预料的故障、破坏性事故或灾难情况时，能够持续服务，确保业务系统的不间

断运行，降低损失；

D）以上都是。

答案：D

解析：

142.［单选题］在设计某公司技术性的恢复策略时，以下哪个方面是安全人员最

为关注的？

ʌ）目标恢复时间RTO

B）业务影响分析

C）从严重灾难中恢复的能力

D）目标恢复点RPO

答案:B

解析：

143.［单选题］下面对国家秘密定级和范围的描述中，哪项不符合《保守国家秘密法》要求

A）国家秘密及其密级的具体范围，由国家保密工作部门分别会同外交、公安、国家安全和其他中央

有关机关规定。

B）各级国家机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级具体范围的规定确定

密级。

C）对是否属于国家秘密和属于何种密级不明确的事项，可由各单位自行参考国家要求确定和定级

,然后报国家保密工作部门确定。

D）对是否属于国家秘密和属于何种密级不明确的事项，由国家保密工作部门，省、自治区、直辖市

的保密工作部门，省、自治区政府所在地的市和经国务院批准的较大的市的保密工作部门或者国家

保密工作部门审定的机关确定。

答案：C

解析：

144.［单选题］某电子商务网站在开发设计时，使用了威胁建模方法来分析电子商务网站所面临的威

胁。STRIDE是微软SDL中提出的威胁建模方法，将威胁分为六类，为每一类威胁提供了标准的消

减措施，Spoofing是STRIDE中欺骗类的威胁，以下威胁中哪个可以归入此类威胁？

A）网站竞争对手可能雇佣攻击者实施DDoS攻击，降低网站访问速度

B）网站使用http协议进行浏览等操作