CISP考试练习题及答案2-2023练习版

试题说明

本套试题共包括1套试卷

答案和解析在每套试卷后

ClSP考试练习题及答案2（500题）

ClSP考试练习题及答案2

1.［单选题］当审核一个组织的业务连续性计划时，某IS审计师观察到这个被

审计组织的数据和软件文件被周期性的进行了备份。有效性计划哪一个

特性在这里被证明？

A）防止

B）减轻

C）恢复

D）响应

2.［单选题］从数据来源看，入侵检测系统主要分为哪两类

A）网络型、控制型

B）主机型、混合型

C）网络型、主机型

D）主机型、诱捕型

3.［单选题］5∙以下对于非集中访问控制中“域”说法正确的是：

A）每个域的访问控制与其它域的访问控制相互关联

B）跨域访问不一定需要建立信任关系

C）域中的信必须是双向的

D）域是一个共享同一安全策略的主体和客体的集合

4.［单选题］小张是信息安全风险管理方面的专家，被某单位邀请过去对其核心机房经受某种灾害的

风险进行评估，已知：核心机房的总价价值一百万，灾害将导致资产总价值损失二成四（24%）,历

史数据统计告知该灾害发生的可能性为八年发生三次，请问小张最后得到的年度预期损失为多少：

A）24万

B）0.09万

037.5万

D）9万

5.［单选题］主体和客体是访问控制模型中常用的概念。下面描述中错误的是

A）主体是动作的实施者，比如人、进程或设备等均是主体，这些对象不能被当作客体使用

B）客体也是一种实体，是操作的对象，是被规定需要保护的资源

C）主体是访问的发起者，是一个主动的实体，可以操作被动实体的相关信息或数据

D）一个主体为了完成任务，可以创建另外的主体，这些主体可以独立运行

6.［单选题］自主访问控制（DAC）是应用很广泛的访问控制方法，常用于多种商业系统中，以下对

DAC模型的理解中，存在错误的是O

A）在DAC模型中，资源所有者可以确定谁有权访问它们的资源

B）DΛC是一种对单位单个用户执行访问控制的过程和措施

ODAC可为用户提供灵活调整的安全策略，具有较好的易用性和可扩展性，可以抵御特洛伊木马的

攻击

D）在DAC中，具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体

7.［单选题］以下说法正确的是：

A）验收测试是由承建方和用户按照用户使用手册执行软件验收

B）软件测试的目的是为了验证软件功能是否正确

C）监理工程师应按照有关标准审查提交的测试计划，并提出审查意见

D）软件测试计划开始于软件设计阶段，完成于软件开发阶段

8.［单选题］在风险管理中，残余风险是指在实施了新的或增强的安全措施后还剩下的风险，关于残

余风险，下面描述错误的是？

A）风险处理措施确定以后，应编制详细的残余风险清单，并获得管理层对残余风险的书面批准，这

也是风险管理中的一个重要过程

B）管理层确认接受残余风险，是对风险评估工作的一种肯定，表示管理层已经全面了解了组织所面

临的风险，并理解在风险一旦变为现实后，组织能够且必须承担引发的后果

C）接受残余风险，则表明没有必要防范和加固所有的安全漏洞，也没有必要无限制地提高安全保护

措施的强度，对安全保护措施的选择要考虑到成本和技术的等因素的限制

D）如果残余风险没有降低到可接受的级别，则只能被动地选择接受风险，即对风险不采取进一步的

处理措施，接受风险可能带来的结果

9.［单选题］管理层应该表现对（），程序和控制措施的支持，并以身作则。管理职责要确保雇员和承

包方人员都了解其（）角色和职责，并遵守相应的条款和条件。组织要建立信息安全意识计划，并定

期组织信息安全。.组织要建立正式的（），确保正确和公平的对待被怀疑安全违规的雇员。纪律处

理过程要规定（），考虑例如违规的性质、重要性及对于业务的影响等因素，以及相关法律、业务合

同和其他因素。

A）信息安全:信息安全政策：教育和培训，纪律处理过程：分级的响应

B）信息安全政策:信息安全；教育和培训：纪律处理过程；分级的响应

C）信息安全政策：教育和培训：信息安全：纪律处理过程；分级的响应

D）信息安全政策；纪律处理过程；信息安全：教育和培训：分级的响应

10.［单选题］下面不属于PKl组成部分的是（）。

A）证书主体

B）使用证书的应用和系统

C）证书权威机构

D）AS

11.［单选题］私网地址用于配置本地网络、下列地址中属私网地址的是？

A）100.0.0.0

B）172.15.0.0

C）192.168.0.0

D）244.0.0.0

12.［单选题］在一个网络中，当拥有的网络地址容量不够多，或普通终端计算机没有必要分配静态

IP地址时，可以采用通过在计算机连接到网络时，每次为其临时在IP地址池中选择一个IP地址

并分配的方式为（）

A）动态分配IP地址

B）静态分配IP地址

C）网络地址转换分配地址

D）手动分配

13.［单选题］对于LinUX的安全加固项说法错误的选项是哪项？

A）使用UnanIe-a确认其内核是否有漏洞

B）检查系统是否有重复的UlD用户

C）查看文件对于密码的限制

D）查看hosts文件确保TCPWaPPer生效

14.［单选题］关于信息安全管理体系，国际上有标准《InformationtechnologySecurity

techniquesInformationSecuritymanagementsystemsRequirements》

（IS0∕IEC27001:2013）,而我国发布了《信息技术安全技术信息安全管理体系要求》（GB/T

22080-2008）0请问，这两个标准的关系是？。

A）1DT（等同采用）。此国家标准等同于该国际标准，仅有或没有编辑性修改

B）EQV（等效采用），此国家标准等效于该国际标准，技术上只有很小差异

ONEQ（非等效采用），此国家标准不等效于该国际标准

D）没有采用与否的关系，两者之间版本不同，不应直接比较

15.［单选题］下面关于定性风险评估方法的说法不正确的选项是

A）易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识

B）主观性强，分析结果的质量取决于风险评估小组成员的经验和素质

C）"耗时短、成本低、可控性高"

D）能够提供量化的数据支持，易被管理层所理解和接受

16.［单选题］安全开发制度中，QA最关注的的制度是

A）系统后评价规定

B）可行性分析与需求分析规定

C）安全开发流程的定义、交付物和交付物衡量标准

D）需求变更规定

17.［单选题］以下对IS027001标准的描述不正确的选项是

A）企业通过IS027001认证则必须符合IS027001信息安全管理体系标准的所有要求

B）ISO27001标准与信息系统等级保护等国家标准相冲突

C）是源自于英国的国家标准BS7799

D）ISO27001是当前国际上最被认可的信息安全管理标准

18.［单选题］下列对KerberoS协议特点描述不正确的是：

A）协议采用单点登录技术，无法实现分布式网络环境下的认证

B）协议与授权机制相结合，支持双向的身份认证

C）只要用户拿到了TGT并且该TGT没有过期，就可以使用该TGT通过TGS完成到任一个服务器的认证而

不必重新输入密码

D）AS和TGS是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全

19.［单选题］信息安全管理体系（InformationSecurityManagementSystem,ISMS）的内部审核和

管理审核是两项重要的管理活动，关于这两者，下面描述错误的是

ʌ）内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理

评审会议的形式进行

B）内部审核和管理评审都很重要，都是促进ISMS持续改进的重要动力，也都应当按照一定的周期实

施

C）内部审核的实施主体由组织内部的ISMS内审小组，而管理评审的实施主体是由国家政策指定的第

三方技术服务机构

D）组织的信息安全方针、信息安全目标和有关ISMS文件等，在内部审核中作为审核准使用，但在管

理评审中，这些文件是被审对象

20.［单选题］在软件保障成熟度模型（SoftWareAssuranceMaturityMode,SAMM）中，规定了软件开

发过程中的核心业务功能，下列哪个选项不属于核心业务功能：

A）治理，主要是管理软件开发的过程和活动

B）构造，主要是在开发项目中确定目标并开发软件的过程与活动

C）验证，主要是测试和验证软件的过程与活动

D）购置，主要是购买第三方商业软件或者采用开源组件的相关管理过程与活动

21.［单选题］以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作

内容之一？

A）提高信息技术产品的国产化率

B）保证信息安全资金投入

C）加快信息安全人才培养

D）重视信息安全应急处理工作

22.［单选题］2008年1月2日，美国发布第54号总统令，建立国家网络安全综合计划（COmPrehenSiVe

NationalCybersecurityInitiative,CNCI）oCNel计划建立三道防线：第一道防线，减少漏洞和

隐患，预防入侵；第二道防线，全面应对各类威胁；第三道防线，强化未来安全环境。从以上内容

,我们可以看出以下哪种分析是正确的：

A）CNCl的目的是尽快研发并部署新技术彻底改变其糟糕的网络安全现状，而不是在现在的网络基础

上修修补补

B）从CNCl可以看出，威胁主要是来自外部的，而漏洞和隐患主要是存在于内部的

C）CNCl是以风险为核心，三道防线首要的任务是降低其网络所面临的风险

D）CNCl彻底改变了以往的美国信息安全战略，不再把关键基础设施视为信息安全保障重点，而是追

求所有网络和系统的全面安全保障

23.［单选题］LINUX中，什么命令可以控制口令的存活时间？（）

A）chage

B）PaSSWd

C)chmod

D)umask

24.［单选题］过滤王连接公安中心端的地址是（）

A）221.136.69.81

B）221.136.69.82

0221.136.69.137

D）221.136.69.137

25.［单选题］防火墙能够—o（）

A）防范恶意的知情者

B）防范通过它的恶意连接

C）防备新的网络安全问题

D）完全防止传送已被病毒感染的软件和文件

26.［单选题］与PDR模型相比，P2DR模型多了哪一个环节？

A）防护

B）检测

C）反应

D）策略

27.［单选题］若一个组织声称自己的ISMS符合ISO/IEC27001或GB/T22080标准要求，其信息安全控制

措施通常在以下方面实施常规控制，不包括哪一项

A）规划与建立ISMS

B）信息安全方针、信息安全组织、资产管理

C）访问控制、信息系统获取、开发和维护、符合性

D）人力资源安全、物理和环境安全、通信和操作管理

28.［单选题］一个信息管理系统通常会对用户进行分组并实施访问控制。例如，在一个学校的教务系

统中，教师能够录入学生的考试成绩，学生只能查看自己的分数，而学校教务部门的管理人员能够

对课程信息、学生的选课信息等内容进行修改。下列选项中，对访问控制的作用的理解错误的是

A）防止对信息的非授权篡改和滥用

B）在用户对系统资源提供最大限度共享的基础上，对用户的访问权进行管理

C）拒绝非法用户的非授权访问请求

D）对经过身份鉴别后的合法用户提供所有服务

29.［单选题］关于网页中的恶意代码，下列说法错误的是：

A）网页中的恶意代码只能通过IE浏览器发挥作用

B）网页中的恶意代码可以修改系统注册表

C）网页中的恶意代码可以修改系统文件

D）网页中的恶意代码可以窃取用户的机密文件

30.［单选题］有关能力成熟度模型（CMM）错误的理解是

A）CMM的基本思想是，因为问题是由技术落后引起的，所以新技术的运用会在一定程度上提高质量

、生产率和利润率

B）CMM的思想来源于项目管理和质量管理

OCW是一种衡量工程实施能力的方法，是一种面向工程过程的方法

D）CMM是建立在统计过程控制理论基础上的，它基于这样一个假设，即“生产过程的高质量和在

过程中

31.［单选题］传统软件开发方法无法有效解决软件安全缺陷问题的原因是：

A）传统软件开发方法将软件开发分为需求分析、架构设计、代码编写、测试和运行维护五个阶段

B）传统的软件开发方法，注重软件功能实现和保证，缺乏对安全问题进行处理的任务、里程碑与方

法论，也缺乏定义对安全问题的控制与检查环节

C）传统的软件开发方法，将软件安全定义为编码安全，力图通过规范编码解决安全问题，缺乏全面

性

D）传统的软件开发方法仅从流程上规范软件开发过程，缺乏对人员的培训要求，开发人员是软件安

全缺陷产生的根源

32.［单选题］89.小王在对某公司的信息系统进风风险评估后，因考虑到该业务系统中部分涉及金融

交易的功能模块风险太高，他建议该公司以放弃这个功能模块的方式来处理该风险。请问这种风险

处置的方法是

A）转移风险

B）降低风险

C）放弃风险

D）规避风险

33.［单选题］某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安

全风险评估分为自评估和检查评估两种形式。该部门将有关检查评估的特点和要求整理成如下四条

报告给单位领导，其中描述错误的是（）。

A）检查评估可依据相关标准的要求，实施完整的风险评估过程；也可在自评估的基础上，对关键环

节或重点内容实施抽样评估

B）检查评估可以由上级管理部门组织，也可以由本级单位发起，其重点是针对存在的问题进行检查

和评测

C）检查评估可以由上级管理部门组织，并委托有资质的第三方技术机构实施

D）检查评估是通过行政手段加强信息安全管理的重要措施，具有强制性的特点

34.［单选题］风险评估的基本过程是怎样的？

A）识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最

终确定风险

B）通过以往发生的信息安全事件，找到风险所在

C）风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位

D）风险评估并没有规律可循，完全取决于评估者的经验所在

35.［单选题］面向对象的开发方法中，以下哪些机制对安全有帮助

A）封装

B）多态

C）继承

D）重载

36.［单选题］信息系统安全保护等级为3级的系统，应当在O年进行一次等级测评？

A）0.5

B）l

02

D）3

37.［单选题］237.信息安全工程作为信息安全保障的重要支撑部分，主要是为了保障？

A）信息系统的技术架构安全问题

B）信息系统的部分组件安全问题

C）信息系统生命周期的过程安全问题

D）信息系统运行维护的安全管理问题

38.［单选题］企业按照ISO27001标准建立信息安全管理体系的过程中，对关

键成功因素的描述不正确的是

A）不需要全体员工的参入，只要IT部门的人员参入即可

B）来自高级管理层的明确的支持和承诺

C）对企业员工提供必要的安全意识和技能的培训和教育

D）所有管理者、员工能够理解企业信息安全策略、指南和标准，并遵照

执行

39.［单选题］以下关于信息系统安全保障是主观和客观的结合说法错误的是：

A）通过在技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有

安全保障工作是否满足其安全保障目标的信心。

B）信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面

保障信息系统安全

C）是一种通过客观证据向信息系统所有者提供主观信心的活动

D）是主观和客观综合评估的结果；

40.［单选题］攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信

赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行，这是哪种类型的漏洞？

A）缓冲区溢出

B）SQL注入

C）设计错误

D）跨站脚本

41.［单选题］我国卫星导航系统的名字叫（）。

A）天宫

B）玉兔

C）神州

D）北斗

42.［单选题］以下哪一个不是网络隐藏技术？

A）端口复用

B）无端口技术

C）反弹端口技术

D）DLL注入

43.［单选题］CA属于ISO安全体系结构中定义的（）。

A）认证交换机制

B）通信业务填充机制

C）路由控制机制

D）公证机制

44.［单选题］P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？

A）检测。

B）报警。

C）记录。

D）实时监控。

45.［单选题］对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改

进措施并进行跟踪和评价，以下描述不正确的是？

A）改进措施包括纠正和预防措施

B）改进措施可由受审单位提出并实施

C）不可以对体系文件进行更新或修改

D）对改进措施的评价应该包括措施的有效性的分析

46.［单选题］以下关于信息安全工程说法正确的是：

A）信息化建设中系统功能的实现是最重要的

B）信息化建设可以先实施系统，而后对系统进行安全加固

C）信息化建设中在规划阶段合理规划信息安全，在建设阶段要同步实施信息安全建设

D）信息化建设没有必要涉及信息安全建设

47.［单选题］在对安全控制进行分析时，下面哪个描述是错误的？

A）对每一项安全控制都应该进行成本收益分析，以确定哪一项安全控制是必须的和有效的

B）应选择对业务效率影响最小的安全措施

C）选择好实施安全控制的时机和位置，提高安全控制的有效性

D）仔细评价引入的安全控制对正常业务带来的影响，采取适当措施，尽可能减少负面效应

48.［单选题］如果数据中心发生灾难，下列那一项完整恢复一个关键数据库的

策略是最适合的？

A）每日备份到磁带并存储到异地

B）实时复制到异地

C）硬盘镜像到本地服务器

D）实时数据备份到本地网格存储

49.［单选题］某系统的/.rhosts文件中，存在一行的内容为“++”，并且开放了rlogin服务,

则有可能意味着：

A）任意主机上，只有root用户可以不提供口令就能登录该系统

B）任意主机上，任意用户都可以不提供口令就能登录该系统

C）只有本网段的任意用户可以不提供口令就能登录该系统

D）任意主机上，任意用户，都可以登录，但是需要提供用户名和口令

50.［单选题L—是目前国际通行的信息技术产品安全性评估标准？

A）TCSEC

B）ITSEC

OCC

D）IATF

51.［单选题］下列叙述不属于完全备份机制特点描述的是o

A）每次备份的数据量较大

B）每次备份所需的时间也就较大

C）不能进行得太频繁

D）需要存储空间小

52.［单选题］某组织的信息系统策略规定，终端用户的ID在该用户终止后90天

内失效。组织的信息安全内审核员应：

A）报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时

间段的

B）核实用户的访问权限是基于用所必需原则的

C）建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致

D）建议终止用户的活动日志能被定期审查

53.［单选题］当用户输入的数据被一个解释器当作命令或查询语句的一部分执行时，就会产生哪种类

型的漏洞？

A）缓冲区溢出

B）设计错误

C）信息泄露

D）代码注入

54.［单选题］我国信息安全保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面，以

下关于信息安全保障建设主要工作内容说法不正确的是：

A）健全国家信息安全组织与管理体制机制，加强信息安全工作组织保障

B）建设信息安全基础设施，提供国家信息安全保障能力支撑

C）建立信息安全技术体系，实现国家信息化发展的自主创新

D）建立信息安全人才培养体系，加快信息安全学科建设和信息安全人才培养

55.［单选题］以下哪一种备份方式在恢复时间上最快

A）增量备份

B）差异备份

C）完全备份

D）磁盘备份

56.［单选题］下列哪一项最好地描述了哈希算法、数字签名和对称密钥算法分别提供的功能？

A）身份鉴别和完整性，完整性，机密性和完整性

B）完整性，身份鉴别和完整性，机密性和可用性

C）完整性，身份鉴别和完整性，机密性

D）完整性和机密性，完整性，机密性

57.［单选题］下面对IS027001的说法最准确的是：

A）该标准的题目是信息安全管理体系实施指南

B）该标准为度量信息安全管理体系的开发和实施提供的一套标准

C）该标准提供了一组信息安全管理相关的控制和最佳实践

D）该标准为建立、实施、运行、监控、审核、维护和改进信息安全体系提供了一个模型

58.［单选题］假设使用一种加密算法，它的加密方法很简单：将每一个字母加5,即a加密成f。这种

算法的密钥就是5,那么它属于（）。

A）对称加密技术

B）分组密码技术

C）公钥加密技术

D）单向函数密码技术

59.［单选题］以下哪一个不是OSI安全体系结构中的安全机制

A）数字签名

B)路由控制

C)数据交换

D)抗抵赖

60.［单选题］Linux系统的用户信息保存在PaSSWd中，某用户条目

backup：*：34:34：backup：/var/backups：/bin/sh,以下关于该账号的描述不正确的是：

A)backup账号没有设置登录密码

B)backup账号的默认主目录是/var/backups

C)backup账号登陆后使用的Shell是∕bin∕sh

D)backup账号是无法进行登录

61.［单选题］超文本传输协议(HyperText1TransferProtocolHTTP)是互联网上广泛使用的一种网

络协议，下面哪种协议基于HTTP并结合SSL协议，具备用户鉴别和通信数据加密等功能？

A)HTTP1.0协议

B)HTTP1.1协议

OHTTPS协议

D)HTTPD协议

62.［单选题］负责授权访问业务系统的职责应该属于：

A)数据拥有者

B)安全管理员

OiT安全经理

D)请求者的直接上司

63.［单选题］以下哪项不属于造成信息安全问题的自然环境因素？

A)纵火。

B)地震。

C)极端天气。

D)洪水。

64.［单选题］如圈所示，主体S对客体Ol有读(R)权限，对客体02有读(R)、写(W)、拥有(OWn)权限

,该图所示的访问控制实现方法是：

A)访问控制表(ACL)

B)访问控制矩阵

C)能力表(CL)

D)前缀表(Profiles)

65.［单选题］在Windos7中，通过控制面板(管理工具一本地安全策略一安全设置一账户策略)可

以进入操作系统的密码策略设置界面，下面哪项内容不能在该界面进行设置

A)密码必须符合复杂性要求

B)密码长度最小值

C)强制密码历史

D）账号锁定时间

66.［单选题］某网站为了开发的便利，使用SA连接数据库，由于网站脚本中被发现存在SQL注入

漏洞，导致攻击者利用内置存储过程XP_cmdshell删除了系统中的一个重要文件，在进行问题分

析时，作为安全专家，你应该指出该网站涉及违反了以下哪些原则：

A）权限分离原则

B）最小特权原则

C）保护最薄弱环节的原则

D）纵深防御的原则

67.［单选题］以下哪一项不属于Web应用软件表示层测试关注的范畴（）

A）排版结构的测试

B）数据完整性测试

C）客户端兼容性的测试

D）链接结构的测试

68.［单选题］下面关于定量风险评估方法的说法正确的是

A）易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进

行标识

B）能够通过成本效益分析控制成本

C）耗时短、成本低、可控性高

D）主观性强，分析结果的质量取决于风险评估小组成员的经验和素质

69.［单选题］在信息安全管理体系的实施过程中，管理者的作用对于信息安全管理体系能否成功实

施非常重要，但是以下选项中不属于管理者应有职责的是？

A）制定并颁布信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体

要求

B）确保组织的信息安全管理体系目标河相拥的计划得以制定，目标应明确、可度量，计划应具体、

可实施

C）向组织传达满足信息安全的重要性，传达满足信息安全要求、达成信息安全目标、符合信息安全

方针、履行法律责任和持续改进的重要性

D）建立健全信息安全制度，明确安全风险管理作用，实施信息安全风险评估过程，确保信息安全风

险评估技术选择合理、计算正确

70.［单选题］2008年1月2日，美目发布第54号总统令，建立国家网络安全综合计划

（ComprehensiveNationalCybersecurityInitiative,CNCI）oCNCI计划建立三道防线:第一道

防线，减少漏洞和隐患，预防入侵；第二道防线，全面应对各类威胁；第三道防线，强化未来安全

环境.从以上内容，我们可以看出以下哪种分析是正确的：

A）CNCl是以风险为核心，三道防线首要的任务是降低其网络所面临的风险

B）从CNCl可以看出，威胁主要是来自外部的，而漏洞和隐患主要是存在于内部的

C）CNCl的目的是尽快研发并部署新技术彻底改变其糟糕的网络安全现状，而不是在现在的网络基础

上修修补补

D）CNCl彻底改变了以往的美国信息安全战略，不再把关键基础设施视为信息安全保障重点，而是追

求所有网络和系统的全面安全保障

71.［单选题］公司要为机房配备灭火器材，你认为应该选择下面哪

一组最---？

A）干粉灭火器、卤代烷灭火器、二氧化的灭火器

B）水型灭火器、泡沫灭火器、卤代烷灭火器卤代烷灭火器

C）粉状石墨灭火器、铸铁屑灭火器

D）Halon灭火器、卤代烷灭火器

72.［单选题］73.社会工程学定位在计算机信息安全工作链的一个最脆弱的环节，即''人"这个环节

上。这些社会工程黑客在某黑客大会上成功攻入世界五百强公司，其中一名自称是为CSO杂志做安全

调查。半时内，攻击者选择了在公司工作两个月安全工程部门的合约雇员，在询问关于工作满意度

以及食堂食物质量问题后，雇员开始透露其他信息。包括：操作系统、服务包、杀毒软件、电子邮

件及浏览器。为对抗此类信息收集和分析，公司需要做的是

A）关闭不必要的服务，部署防火墙、IDS等措施

B）系统安全管理员使用漏洞扫描软件对系统进行安全审计

C）减少系统对外服务的端又数量，修改服务旗标

D）通过信息安全培训，使相关信息发布人员了解信息收集风险，发布信息采取最小化原则

73.［单选题］应用安全，一般是指保障应用程序使用过程中和结果的安全。以下内容中不属于应用安

全防护考虑的是？

A）身份鉴别，应用系统应对登录的用户进行身份鉴别，只有通过验证的用户才能访问应用系统资源

B）安全标记，在应用系统层面对主体和客体进行标记，主体不能随便更改权限，增加访问控制的力

度，限制非法访问

C）剩余信息保护，应用系统应加强硬盘、内存或缓存区中剩余信息的保护，防止存储在硬盘、内存

或缓存区中的信息被非授权的访问

D）机房与设施安全，保证应用系统处于有一个安全的环境条件。包括机房环境，机房安全等级、机

房的建造和机房的装修等

74.［单选题］某集团公司根据业务需要，在各地分支机构部署前置机，为了保证安全，集团总部要求

前置机开放日志共享，由总部服务器采集进行集中分析，在运行过程中发现攻击者也可通过共享从

前置机中提取日志，从而导致部分敏感信息泄露，根据降低攻击面的原则，应采取以下哪项处理措

施？

A）由于共享导致了安全问题，应直接关闭日志共享，禁止总部提取日志进行分析

B）为配合总部的安全策略，会带来一定的安全问题，但不影响系统使用，因此接受此风险

C）日志的存在就是安全风险，最好的办法就是取消日志，通过设置让前置机不记录日志

D）只允许特定的IP地址从前置机提取日志，对日志共享设置访问密码且限定访问的时间

75.［单选题］在加固数据库时，以下哪个是数据库加固最需要考虑的？

A）修改默认配置

B）规范数据库所有的表空间

C）存储数据被加密

D）修改数据库服务的服务端口

76.［单选题］随着计算机在商业和民用领域的应用，安全需求变得越来越多样化，自主访问控制和

强制访问控制难以适应需求，基于角色的访问控制（RBAC）逐渐成为安全领域的一个研究热点。

RBAC模型可以分为RBACO、RBACkRBAC2和RBAC3四种类型，他们之间存在相互包含的关系。

下列选项中，对这四种类型之间的关系描述错误的是

A）RBACO是基本模型，RBACkRBAC2和RBAC3都包含RBACO

B）RBACl在RBACO的基础上，加入了角色等级的概念

C）RBAC2在RBACl的基础上，加入了约束的概念

D）RBΛC3结合了RBACl和RBΛC2,同事具备角色等级和约束

77.［单选题］信息安全等级保护分级要求，第三级适用正确的是

A）适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响

,但不危害国家安全、社会秩序、经济建设和公共利益

B）适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受

到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害

C）适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对

国家安全、社会秩序、经济建设和公共利益造成较大损害

D）适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其

受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害

78.［单选题］安全域是由一组具有相同安全保护需求并相互信任的系统组成的逻辑区域，下面哪项描

述是错误的？

A）安全域划分主要以业务需求、功能需求和安全需求为依据，和网络、设备的物理部署位置无关

B）安全域划分能把一个大规模复杂系统的安全问题，化解为更小区域的安全保护问题

C）以安全域为基础，可以确定该区域的信息系统安全保护等级和防护手段.从而使同一安全域内的

资产实施统一的保护

D）安全域边界是安全事件发生时的抑制点，以安全域为基础，可以对网络和系统进行安全检查和评

估，因此安全域划分和保护也是网络防攻击的有效防护方式

79.［单选题］《信息安全技术信息安全风险评估规范GB/T20984-2007»中关于信息系统生命周期各

阶段的风险评估描述不正确的是：

A）规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等

B）设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求

C）实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别

,并对系统建成后的安全功能进行验证

D）运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种全面的风险评估。评

估内容包括对真实运行的信息系统、资产、脆弱性等各方面

80.［单选题］关于防火墙和VPN的使用，下面说法不正确的是—o（）

A）配置VPN网关防火墙的一种方法是把它们并行放置，两者独立

B）配置VPN网关防火墙一种方法是把它们串行放置，防火墙广域网一侧，VPN在局域

网一侧

C）配置VPN网关防火墙的一种方法是把它们串行放置，防火墙局域网一侧，VPN在广

域网一侧

D）配置VPN网关防火墙的一种方法是把它们并行放置，两者要互相依赖

81.［单选题］有关人员安全管理的描述不正确的是？

A）人员的安全管理是企业信息安全管理活动中最难的环节。

B）重要或敏感岗位的人员入职之前，需要做好人员的背景检查。

C）如职责分离难以实施，企业对此无能为力，也无需做任何工作。

D）人员离职之后，必须清除离职员工所有的逻辑访问帐号。

82.［单选题］小李在某单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新

人进行基本业务素质培训，一次培训的时候，小李主要负责讲解风险评估方法。请问小李的所述论

点中错误的是哪项：

A）风险评估方法包括：定性风险分析、定量风险分析以及半定量风险分析

B）定性风险分析需要凭借分析者的经验和直觉或者业界的标准和惯例，因此具有随意性

C）定量风险分析试图在计算风险评估与成本效益分析期间收集的各个组成部分的具体数字值，因

此更具客观性

D）半定量风险分析技术主要指在风险分析过程中综合使用定性和定量风险分析技术对风险要素的赋

值方式，实现对风险各要素的度量数值化

83.［单选题］小红和小明在讨论有关于现在世界上的IP地址数量有限的问题，小红说他看到有新

闻说在2011年2月3日，全球互联网IP地址相关管理组织宣布现有的互联网IP地址已于当

天划分给所有的区城互联网注册管理机构，IP地址总库已经枯竭，小明吓了一跳觉得以后上网会

成问题，小红安慰道，不用担心，现在IPv6已经被试用它有好多优点呢，以下小红说的优点中错

误的是（）

A）网络地址空间的得到极大扩展

B）IPv6对多播进行了改进，使得具有更大的多播地址空间

C）繁杂报头格式

D）良好的扩展性

84.［单选题］超文本传输协议（HyperText1TransferProtocolHTTP）是互联网上广泛使用的一种网

络协议，下面哪种协议基于HTTP并结合SSL协议，具备用户鉴别和通信数据加密等功能

A）HTTP1.0协议

B）HTTP1.1协议

OHTTPS协议

D）HTTPD协议

85.［单选题］部署互联网协议安全虚拟专用网（InternetprotocolSecurityvirtualPrivate

NetworkIPsecVPN）时。以下说法正确的是：

A）配置MD5安全算法可以提供可靠地数据加密

B）配置AES算法可以提供可靠的数据完整性验证

C）部署IPSeCVPN网络时，需要考虑IP地址的规划，尽量在分支节点使用可以聚合的IP地址段，来

减少IPSeC安全关联（SecurityAuthentication,S

A）资源的消耗

D）报文验证头协议（AuthenticationHeader,AH）可以提供数据机密性

86.［单选题］信息安全标准化工作是我国信息安全保障工作的重要组成部分之一，也是政府进行宏观

管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一。关于我国信息安全标准

化工作，下面选项中描述错误的是（）。

A）因事关国家安全利益，信息安全因此不能和国际标准相同，而是要通过本国组织和专家制订标准

,切实有效地保护国家利益和安全

B）信息安全标准化工作是解决信息安全问题的重要技术支撑，其主要作用突出地体现在能够确保有

关产品、设施的技术先进性、可靠性和一致性

C）我国是在国家质量监督检验检疫总局管理下，由国家标准化管理委员会统一管理全国标准化工作

,下设有专业技术委员会

D）我国归口信息安全方面标准的是“全国信息安全标准化技术委员会”，为加强有关工作，2016在

其下设立“大数据安全特别工作组”

87.［单选题］过滤王日志是存放在Winfgate目录下的哪个文件夹下的O

A）sys

B）log

C）date

D）日志

88.［单选题］组织内数据安全官的最为重要的职责是：

A）推荐并监督数据安全策略

B）在组织内推广安全意识

C）制定IT安全策略下的安全程序/流程

D）管理物理和逻辑访问控制

89.［单选题］小王在自己的学工系统中提交了自己的贫困申请，提交完成后发现自己的身份证号写错

T,想要修改发现点击修改页面显示只有教师及以上职称者才有权修改。小王只好去求助班主任

,才将信息修改正确。这种安全机制属于OSl安全体系结构的八种安全机制中的哪一个（）

A）加密

B）数据完整性

C）业务流填充

D）访问控制

90.［单选题］关于恶意代码的守护进程的功能，以下说法正确的是。

A）加大检测难度

B）隐藏恶意代码

C）监视恶意代码主体程序是否正常

确定业务关健功能∙确定支持关键功

能的资源和系统*

测试和修订计划.工施牺・

D）传播恶意代码

91.［单选题］以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正确描述？

A）应基于法律法规和用户需求，进行需求分析和风险评估，从信息系统建设的开始就综合信息系统

安全保障的考虑

B）应充分调研信息安全技术发展情况和信息安全产品市场，选择最先进的安全解决方案和技术产品

C）应在将信息安全作为实施和开发人员的一项重要工作内容，提出安全开发的规范并切实落实

D）应详细规定系统验收测试中有关系统安全性测试的内容

92.［单选题］下列关于信息系统生命周期中安全需求说法不准确的是:

A）明确安全总体方针，确保安全总体方针源自业务期望

B）描述所涉及系统的安全现状，提交明确的安全需求文档

C）向相关组织和领导人宣贯风险评估准则

D）对系统规划中安全实现的可能性进行充分分析和论证

93.［单选题］在冗余磁盘陈列中，以下不具有容错技术的是一

A)RAID0

B)RAID1

C)RAID3

D)RAID5

94.［单选题］以下有关服务协议的介绍哪一个是错误的？

A）SMTP简单邮件传输协议使用TCP协议，端口号是25

B）FTP文件传输协议（数据连接服务）使用TCP,端口号是20

ODNS域名解析服务协议使用TCP协议，端口号53

D）TFTP简单文件传输协议使用UDP协议，端口号69

95.［单选题］信息安全保障技术框架（InformationAssuranceTechnicalFramework,IATF）由美

国国家安全局（NSA）发布最初目的是为保障美国政府和工业的信息基础设施安全提供技术指南，其

中，提出需要防护的三类“焦点区域”是：

A）网络和基础设施区域边界重要服务器

B）网络和基础设施、区域边界、计算环境

C）网络机房环境网络接口计算环境

D）网络机房环境网络接口重要服务器

96.［单选题］以下等级保护建设工程中，需要强调的原则？

A）自主定级、自主保护

B）同步实施、定级备案

C）借鉴其它安全建设的机构的方案来设计方案

D）不需要测评，。。。。

97.［单选题］172.异常入侵检测是入侵检测系统常用的一种技术，它是识别系统或用户的非正常行

为或者对于计算机资源的非正常使用，从而检测出入侵行为，下面说法错误的是：（）

A）在异常入侵检测中，观察到的不是已知的入侵行为，而是系统运行过程中的异常现象

B）实施异常入侵检测，是将当前获取行为数据和已知入侵攻击行为特征相比较，若匹配则认为有攻

击发生

C）异常入侵检测可以通过获得的网络运行状态数据，判断其中是否含有攻击的企图，并通过多种手

段向管理员报警

D）异常入侵检测不但可以发现从外部的攻击，也可以发现内部的恶意行为

98.［单选题］若系统在运行过程中，由于某种硬件故障，使存储在外存上的数据部分损失或全部损

失，这种情况称为（）。

A）事务故障

B）系统故障

C）介质故障

D）人为错

误

99.［单选题］下列对于访向控制模型分类说法正确的是：

A）BLP模型和biba模型都是强制访问控制模型

B）biba模型和ChineseWall模型都是完整性模型

C）访问控制矩阵不属于自主访问控制模型

D）基于角色的访问控制属于强制访问控制

IOO.［单选题］Hadop是目前广泛应用的大数据处理分析平台。在Hadoopl.0.0版本之前，

Hadoop并不存在安全认证一说。认集群内所有的节点都是可靠的，值得信赖的。用户与服务器进

行交互时并不需要进行验证。导致存在恶意用户伪装成真正的用户或者服务器入侵到Hadoop集群

上，恶意的提交作业，篡改分布式存储的数据，伪装成NameNo或者TaskTracker接受任务等。

在Hadoop2.0中引入了Kerberos机制来解决用户到服务器的认证问题，Kerber的认证过程不包

括（）

A）获得票据许可票据

B）获得服务许可票据

C）获得密钥分配中心的管理权限

D）获得服务

IOl.［单选题］系统工程霍尔三维结构模型从时间维、逻辑维、（）三个坐标对系统工程进行程序化

?

A）阶段维

B）进程维

C）知识维

D）工作步骤维

102.［单选题］身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是（）。

A）身份鉴别是授权控制的基础

B）身份鉴别一般不用提供双向的认证

C）目前一般采用基于对称密钥加密或公开密钥加密的方法

D）数字签名机制是实现身份鉴别的重要机制

103.［单选题］策略应该清晰，无须借助过多的特殊一通用需求文档描述，并且还要有具体的

O（）

A）管理支持

C）实施计划

D）补充内容

B）技术细节

104.［单选题］内部审计部门，从组织结构上向财务总监而不是审计委员会报告，

最有可能：

A）导致对其审计独立性的质疑

B）报告较多业务细节和相关发现

C）加强了审计建议的执行

D）在建议中采取更对有效行动

105.［单选题］会让一个用户的“删除”操作去警告其他许多用户的垃圾邮件过滤技术是：

A）黑名单

B）白名单

C）实时黑名单

D）分布式适应性黑名单

106.［单选题］在《信息系统灾难恢复规范》中，根据—要素，X灾难恢复等级划分为—X.

A）7；6

B）8；7

07；7

D）8;6

107.［单选题］及时审查系统访问审计记录是以下哪种基本安全功能？

A）威慑。

B）躲避。

C）预防。

D）检测。

108.［单选题］防火墙最主要被部署在—位置。（）

A）网络边界

B）骨干线路

C）重要服务器

D）桌面终端

109.［单选题］以下关于BLP模型规则说法不正确的是：

A）BLP模型主要包括简单安全规则和*-规则

B）*-规则可以简单表述为下写

C）主体可以读客体，当且仅当主体的安全级可以支配客体的安全级，且主体对该客体具有自主型读

权限

D）主体可以读客体，当且仅当客体的安全级可以支配主体的安全级，且主体对该客体具有自主型读

权限

110.［单选题］数据库事务日志的用途是什么？

A）事务处理

B）数据恢复

C）完整性约束

D）保密性控制

IlL［单选题］根据《关于开展信息安全风险评估工作的意见》的规定，错误的是：

A）信息安全风险评估分自评估、检查评估两形式。应以检查评估为主，自评估和检查评估相互结合

、互为补充

B）信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效”的原则开展

C）信息安全风险评估应贯穿于网络和信息系统建设运行的全过程

D）开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导

112.［单选题］宏病毒是一种专门感染微软OffiCe格式文件的病毒，下列（）文件不可能感染该病

毒。

A)*.exe

B)*.doc

C)*.xls

D)*.ppt

113.［单选题］关于我国信息安全保障的基本原则，下列说法中不正确的是：

A）要与国际接轨，积极吸收国外先进经验并加强合作，遵循国际标准和通行做法，坚持管理与技术

并重

B）信息化发展和信息安全不是矛盾的关系，不能牺牲一方以保证另一方

C）在信息安全保障建设的各项工作中，既要统筹规划，又要突出重点

D）在国家信息安全保障工作中，要充分发挥国家、企业和个人的积极性，不能忽视任何一方的作用

114.［单选题］SSH使用的端口号是多少？

Λ）21

B）22

023

D）4899

115.［单选题］风险处理是依据（），选择和实施合适的安全措施，风险处理的目的是为了（）始

终控制在可接受的范围内，风险处理的方式主要有（）、（）、（）、和（）四种方式

A）风险；风险评估的结果；降低；规避；转移；接受

B）风险评估的结果；风险；降低；规避；转移；接受

C）风险评估；风险；降低；规避；转移；接受

D）风险；风险评估；降低；规避；转移；接受

116.［单选题］某项目的主要内容为建造A类机房，监理单位需要根据《电子信息系统机房设计规范

》（GB50174-2008）的相关要求，对承建单位的施工设计方案进行审核，以下关于监理单位给出的

审核意见错误的是？

A）在异地建立备份机房，设计时应与主要机房等级相同

B）由于高端小型机发热量大，因此采用活动地板下送风，上回风的方式

C）因机房属于A级主机房，因此设计方案中应考虑配备柴油发电机，当市电发生故障时，所配备

的柴油发电机应能承担全部负荷的需要

D）A级主机房应设置自动喷水灭火系统

117.［单选题］在信息安全管理体系的实施过程中，管理者的作用对于信息安全管理体系能否成功实

施非常重要，但是以下选项中不属于管理者应有职责的是？

A）制定并颁布信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体

要求。

B）确保组织的信息安全管理体系目标和相应的计划得以制定，目标应明确、可度量，计划应具体

,可实施

C）向组织传达满足信息安全的重要性，传达满足信息安全要求，达成信息安全目标，符合信息安全

方针、履行法律责任和持续改进的重要性

D）建立健全信息安全制度，明确安全风险管理作用，实施信息安全风险评估过程，确保信息安全风

险评估技术选择合理、计算正确

118.［单选题］信息安全需求获取的主要手段

A）信息安全风险评估

B）领导的指示

C）信息安全技术

D）信息安全产品

119.［单选题］在极限测试过程中，贯穿始终的是（），

A）单元测试和集成测试

B）单元测试和系统测试

C）集成测试和验收制试

D）集成测试和系统测试

120.［单选题］电子公告服务提供者应当记录在电子公告服务系统中发布的信息内容及其发布时

间、互联网地址或者域名。记录备份应当保存（）日。

A）90

B）60

C）30

D）10

121.［单选题］下列哪个选项是公钥基础设施（PKI）的密钥交换处理流程？

（1）接收者解密并获取会话密钥

（2）发送者请求接收者的公钥

（3）公钥从公钥目录中被发送出去

（4）发送者发送一个由接收者的公钥加密过的会话密钥

A）4,3,2,l

B）2,l,3,4

02,3,4,1

D）2,4,3,1

122.［单选题］Linux系统的安全设置只要从磁盘分区、账户安全设置、禁用危险服务、远程登录安

全、用户鉴别安全、审计策略、保护root账户、使用网络防火墙和文件权限操作共10个方面来

完成。小张在学习了LinUX系统安全的相关知识后，尝试为自己计算机上的LinUX系统进行安全

配置。下列选项是他的部分操作，其中不合理的是（）

A）编辑文件∕etc∕passwd,检查文件中用户ID,禁用所以ID=O的用户

B）编辑文件/etc/ssh/sshd_config,将PermitRootLogin设置为no

C）编辑文件∕etc∕pam.d/SyStem-auth,设置authrequiredpamtally,soonerr=faildeny=6

unlock_time=300

D）编辑文件∕etc∕profile,设置TMOUT=600

123.［单选题］下面对于信息安全特征和范畴的说法错误的是：

A）信息安全是一个系统性的问题，不仅要考虑信息系统本身的技术问题，还要考虑人员、管理、政

策等众多因素

B）信息安全是一个动态的问题，它随着信息技术的发展普及，以及产业基础、用户认识、投入产出

而发展

C）信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任

是没有意义的

D）信息安全是非传统的安全，各种信息网络的互联互通和资源共享，决定了信息安全具有不同于传

统安全的特点

124.［单选题］在一个使用ChineSeWaH模型建立访问控制的消息系统中，——

A）只有访问了W之后，才可以访问X

B）只有访问了W之后，才可以访问Y和Z中的一个

C）无论是否访问肌都只能访问Y和Z中的一个

D）无论是否访问W,都不能访问Y或Z

125.［单选题］某政府机构委托开发商开发了一个OA系统，其中公文分发功能使用了FTP协议，该系

统运行过程中被攻击者通过FTP对OA系统中的脚本文件进行了纂改，安全专家提出使用HttP下载

代替FTP功能以解决以上问题，该安全问题的产生主要是在哪个阶段产生的

A）程序员在进行安全需求分析时，没有分析出OA系统开发的安全需求

B）程序员在软件设计时，没遵循降低攻击面的原则，设计了不安全的功能

C）程序员在软件编码时，缺乏足够的经验，编写了不安全的代码

D）程序员在进行软件测试时，没有针对软件安全需求进行安全测试

126.［单选题］信息系统安全工程（ISSE）的一个重要目标就是在IT项目的各个阶段充分考虑安全因

素，在IT项目的立项阶段，以下哪一项不是必须进行的工作：

A）明确业务对信息安全的要求

B）识别来自法律法规的安全要求

C）论证安全要求是否正确完整

D）通过测试证明系统的功能和性能可以满足安全要求

127.［单选题］内容安全是我国信息安全保障工作中的一个重要环节，互联网所带来的数字资源大爆

发是使得内容安全越来受到重视，以下哪个描述不属于内容安全的范畴（）。

A）某杂志在线网站建立内容正版化审核团队、对向网站投稿的内容进行版权审核，确保无侵犯版权

行为后才能在站上进行发布

B）某网站采取了技术措施，限制对同一IP地址对网站的并发连接，避免爬虫通过大量的访问采集

网站发布数据

C）某论坛根据相关法律要求，进行了大量的关键词过滤，使用户无法发布包含被过滤关键词的相关

内容

D）某论坛根据国家相关法律要求，为了保证用户信息泄露，对所有用户信息，包括用户名、密码、

身份证号等都进行了加密的存储

128.［单选题］有关定性风险评估和定量风险评估的区别，以下描述不正确的是

A）定性风险评估比较主观，而定量风险评估更客观

B）定性风险评估容易实施，定量风险评估往往数据准确性很难保

证

C）定性风险评估更成熟，定量风险评估还停留在理论阶段

D）定性风险评估和定量风险评估没有本质区别，可以通用

129.［单选题］ISO27OO4是指以下哪个标准

A）《信息安全管理体系要求》

B）《信息安全管理实用规则》

C）《信息安全管理度量》

D）《ISMS实施指南》

130.［单选题］以下对单点登录技术描述不正确的是：

A）单点登录技术实质是安全凭证在多个用户之间的传递或共享

B）使用单点登录技术用户只需在登录时进行一次注册，就可以访问多个应用

C）单点登录不仅方便用户使用，而且也便于管理

D）使用单点登录技术能简化应用系统的开发

131.［单选题］风险评估方法的选定在PDCA循环中的那个阶段完成？

A）实施和运行

B）保持和改进

C）建立

D）监视和评审

132.［单选题］关于以下配置

Routerospf100

Iprouterauthentication

Ipospfmessage-digest-key1md5XXXXXX（认证码）

以下说法不正确的是（）

A）OSPF认证分为明文认证和密文认证两种方式。

B）OSPF协议是一种典型的链路状态路由协议，它通过路由器之间通过网络接口

的状态来建立链路状态数据库，生成最短路径树。

C）OSPF的认证可以在链路上进行，也可以在整个区域内进行认证。但是在虚链

路上不可以进行认证。

D）该配置可以应用在业务终端与业务服务器之间进行路由控制来建立安全的访

问路径

133.［单选题］在以下OSl七层模型中，Synflooding攻击发生在哪层：

A）数据链路层

B）网络层

C）传输层

D）应用层

134.［单选题］信息安全应急响应计划的制定是一个周而复始、持续改进的过程，以下哪个阶段不在

其中？

A）应急响应需求分析和应急响应策略的确定；

B）编制应急响应计划文档；

C）应急响应计划的测试、部训、演练和维护

D）应急响应计划的废弃与存档

135.［单选题］在选择外部供货生产商时，评价标准按照重要性的排列顺序是：

供货商与信息系统部门的接近程度

2.供货商雇员的态度

3.供货商的信誉、专业知识、技术

4.供货商的财政状况和管理情况

A)4,3,1,2

B)3,4,2,1

03,2,4,1

D)l,2,3,4

136.［单选题］在对某面向互联网提供服务的某应用服务器的安全检测中发现，服务器上开放了以下

几个应用，除了一个应用外其他应用都存在明文传输信息的安全问题，作为一名检测人员，你需

要告诉用户对应用进行安全整改以外解决明文传输数据的问题，以下哪个应用已经解决了明文传输

数据问题

A)SSH

B)HTTP

OFTP

D)SMTP

137.［单选题］按照通常的口令使用策略，口令修改操作的周期应为—天。()

A)60

B)90

C)30

D)120

138.［单选题］部署互联网协议安全虚拟专用网(InternetPrOtoeoISeCUrityVirtUalPriVate

NetWOrklPSeeVPN)时。以下说法正确的是：

A)配置MD5安全算法可以提供可靠地数据加密

B)配置AES算法可以提供可靠的数据完整性验证

C)部署IPsecVIPN网络时，需要考虑IP地址的规划，尽量在分支节点使用可以聚合的IP地址段

,来减少IPsec安全关联(SeCUrityAUthentiCation,SA)资源的消耗

D)报文验证头协议(AuthenticationHeader,ΛH)可以提供数据机密性

139.［单选题］—不属于必需的灾前预防性措施。()

A)防火设施

B)数据备份

C)配置冗余设备

D)不间断电源，至少应给服务器等关键设备配备

140.［单选题］关于信息安全工程说法正确的是

A)信息安全建设规划时就应该引入信息安全工程的概念yaa

B）信息安全建设实施后引入信息安全工程。。。

C）信息安全建设完成后引入

D）信息安全建设不需要。。。

141.［单选题］作为信息安全治理的成果，战略方针提供了：

A）企业所需的安全要求

B）遵从最佳实务的安全基准

C）日常化制度化的解决方案

D）风险暴露的理解

142.［单选题］某IinUX系统由于root口令过于简单，被攻击者猜解后获得了root口令，发现被攻

击后，管理员更改了root口令，并请安全专家对系统进行检测，在系统中发现有一个文件的权限

如下-LS―X—X1testtdst10704apr152002∕home∕test/sh请问以下描述哪个是正确的：

A）该文件是一个正常文件，test用户使用的shell,test不能读该文件，只能执行

B）该文件是一个正常文件，是test用户使用的ShelI,但test用户无权执行该文件

C）该文件是一个后门程序，该文件被执行时，运行身份是root,test用户间接获得了root权限

D）该文件是一个后门程序，由于所有者是test,因此运行这个文件时文件执行权限为TeSt

143.［单选题］以下哪一项是和电子邮件系统无关的？

A）PEM

B）PGP

0X500

D）X400

144.［单选题］软件安全设计和开发中应考虑用户隐私包，以下关于用户隐私保护的说法错误的是？

A）告诉用户需要收集什么数据及搜集到的数据会如何被使用

B）当用户的数据由于某种原因要被使用时，给客户选择是否允许

C）用户提交的用户名和密码属于隐私数据，其他都不是

D）确保数据的使用符合国家、地方、行业的相关法律法规

145.［单选题］由于病毒攻击、非法入侵等原因，校园网部分楼宇出现网络瘫痪，或者FTP及部分网站

服务器不能响应用户请求，属于以下哪种级别事件

A）特别重大事件

B）重大事件

C）较大事件

D）一般事件

146.［单选题］国际联网采用（）制定的技术标准、安全标准、资费政策，以利于提高服务质量

和水平。

A）企业统一

B）单位统一

C）国家统一

D)省统一

147.［单选题］根据ISO的信息安全定义，下列选项中—是信息安全三个基本属性之一。

A)真实性

B)可用性

C)可审计性

D)可靠性

148.［单选题］关于数据库恢复技术，下列说法不正确的是：

A)数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决，当数据库中数据被破坏

时，可以利用冗余数据来进行修复

B)数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来，是数

据库恢复中采用的基本技术

C)日志文件在数据库恢复中起着非常重要的作用，可以用来进行事物故障恢复和系统故障恢复，并

协助后备副本进行介质故障恢复

D)计算机系统发生故障导致数据未存储到固定存储器上，利用日志文件中故障发生前数据的值，将

数据库恢复到故障发生前的完整状态，这一对事务的操作称为提交

149.［单选题］有关系统安全工程-能力成熟度模型(SSE-CMM)中的基本实施(BaSe

Practices,BP),正确的理解是：

Λ)BP是基于最新技术而制定的安全参数基本配置

B)大部分BP是没有经过测试的

C)一项BP适用于组织的生存周期而非仅适用于工程的某一特定阶段

D)一项BP可以和其他BP有重叠

150.［单选题］下列哪些选项不属于NlD