网络安全技术知识竞赛考试题库500题（含答案）

PAGEPAGE1网络安全技术知识竞赛考试题库500题（含答案）一、单选题1.关于信息安全保障技术框架（InformationAssuranceTechnicalFramework,IATF）,下面描述错误的是（）。A、IATF最初由美国国家安全局（NSA）发布，后来由国际标准化组织（ISO）转化为国际标准，供各个国家信息系统建设参考使用B、IATF是一个通用框架，可以用到多种应用场景中，通过对复杂信息系统进行解构和描述，然后再以此框架讨论信息系统的安全保护问题C、IATF提出了深度防御的战略思想，并提供一个框架进行多层保护，以此防范信息系统面临的各种威胁D、强调人.技术和操作是深度预防的三个主要层面，也就是说讨论人在技术支持下运行维护的信息安全保障问题答案：A2.列保护系统账户安全的措施中，哪个措施对解决口令暴力破解无帮助？A、设置系统的账户锁定策略，在用户登录输入错误次数达到一定数量时对账户进行锁定B、更改系统内置管理员的用户名C、给管理员账户一个安全的口令D、使用屏幕保护并设置返回时需要提供口令答案：D3.一个数据仓库中发生了安全性破坏。以下哪一项有助于安全调查的进行？A、访问路径B、时间戳C、数据定义D、数据分类答案：B4.如下哪一种情况下，网络数据管理协议（NDMP）可用于备份？A、需要使用网络附加存储设备（NAS）时B、不能使用TCP/IP的环境中C、需要备份旧的备份系统不能处理的文件许可时D、要保证跨多个数据卷的备份连续、一致时答案：A5.下列网络协议中，通信双方的数据没有加密，明文传输是()。A、SFTPB、SMTPC、SSHD、HTTPS答案：B6.静态包过滤技术是防火墙早期采用的技术，请指出下列哪一项不属于包过滤技术的操作对象？A、IP头B、TCP头C、ICMP报文D、http头答案：D7.由于频繁出现软件运行时被黑客远程攻击获取数据的现象，某软件公司装备加强软件安全开发管理，在下面做法中，对于解决问题没有直接帮助的是（）。A、要求开发人员采用敏捷开发模型进行开发B、要求所有的开发人员参加软件安全意识培训C、要求规范软件编码，并制定公司的安全编码准则D、要求增加软件安全测试环节，尽早发现软件安全问题答案：A8.文档体系建设是信息安全体系（ISMS）建设的直观体现。下列说法不正确的是：(B)A、组织内的信息安全方针文件.信息安全规章制度文件.信息安全相关操作规范文件等文档是组织的工作标准，也是ISMS审核的依据B、组织内的业务系统日志文件.风险评估报告等文档是对上一级文件的执行和记录，对这些记录不需要保护和控制C、组织在每份文件的首页，加上文件修订跟踪表，以显示每一版本的版本号.发布日期.编写人.审批人.主要修订等内容D、层次化的文档是ISMS建设的直观体现，文档体系应当依据风险评估的结果建立答案：B9.MySQL5注入可以使用什么系统表来暴库、暴表、表字段？（）A、SysdatabasesB、SysobjectsC、InformationD、Mysysobjects答案：C10.以下哪种无线加密标准的安全性最弱？（）A、WepB、WpaC、Wpa2D、Wapi答案：A11.关于Kerberos认证协议，以下说法错误的是：A、只要用户拿到了认证服务器（AS）发送的票据许可票据（TGT）并且该TGT没有过期，就可以使用该TGT通过票据授权服务器（TGS）完成到任一个服务器的认证而不必重新输入密码B、认证服务器(AS)和票据授权服务器(TGS)是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全C、该协议通过用户获得票据许可票据、用户获得服务许可票据、用户获得服务三个阶段，仅支持服务器对用户的单向认证D、该协议是一种基于对称密码算法的网络认证协议，随用户数量增加，密钥管理较复杂答案：C12.如下图所示，针对该DNS服务器的配置，下列说法错误的（D）。A、DNS服务器监听的端口是53B、该DNS服务器只接受来自localhost的DNS查询请求C、该DNS服务器允许所有的客户端提交递归查询D、NS客户端提交一个递归查询，如果服务器不知道答案，将会返回一个推荐响应答案：D13.以下Windows注册表中，常常包含病毒或者后门启动项的是A、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ICMB、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunC、HKEY_CURRENT_SUER\Software\Microsoft\SharedD、HKEY_CURRENT_USER\Software\Microsoft\Cydoor答案：B14.ApacheHTTPServer（简称Apache）是一个开放源码的Web服务运行平台，在使用过程中，该软件默认会将自己的软件名和版本号发送给客户端。从安全角度出发，为隐藏这些信息，应当采取以下哪种措施（）A、不选择Windows平台，应选择在Linux平台下安装使用B、安装后，修改配置文件httpd.conf中的有关参数C、安装后，删除ApacheHTTPServer源码D、从正确的官网下载ApacheHTTPserver，并安装使用答案：B15.我国新下内圈保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面，以下关于信息安全保障建设主要工作内容说法不正确的是：A、健全国家信息安全组织与管理体制机制，加强信息安全工作的组织保障B、建设信息安全基础设施，提供国家信息安全保障能力支撑C、建立信息安全技术体系，实现国家信息化发展的自助创新D、建立信息安全人才培养体系，加快信息安全学科建设和信息安全人才培养答案：C16.关于MD5的说法不正确的是（）A、MD5是单向hash函数B、增加web安全账户的一个常用手段就是将管理员的用户密码信息，经过md5运算后，在数据库中存储密码的hash值C、web数据库中存储的密码经过hash之后，攻击者即使看到hash的密码也无法用该信息直接登录，还需要进一步破解D、目前攻击者在得到经过hash的用户名密码之后，最常用的破解手段是暴力破解答案：D17.以下关于可信计算说法错误的是：A、可信的主要目的是要建立起主动防御的信息安全保障体系B、可信计算机安全评价标准(TCSEC)中第一次提出了可信计算和可信计算机的概念C、可信的整体框架包含终端可信.终端应用可信.操作系统可信.网络互联可信.互联网交易等应用系统可信D、可信计算平台出现后会取代传统的安全防护体系和方法答案：D18.关于网页中的恶意代码，下列说法错误的是：A、网页中的恶意代码只能通过IE浏览器发挥作用B、网页中的恶意代码可以修改系统注册表C、网页中的恶意代码可以修改系统文件D、可以修改系统可以窃取用户的机密文件答案：A19.小华最近在学习SQL注入绕过技术，发现SqlMap的ter目录下面的脚本很有研究价值，比如下面这个注入绕过脚本，请问这个脚本是用于什么数据库的绕过？（）A、MySQLB、MsSQLC、OracleD、Access答案：A20.IS审计师参与应用系统开发,他们从事以下哪项可以导致独立性的减弱.A、对系统开发进行了复核B、对控制和系统的其他改进提出了建议C、对完成后的系统进行了独立评价D、积极参与了系统的设计和完成答案：D21.数据保密性安全服务的基础是（）。A、数据完整性机制B、数字签名机制C、访问控制机制D、加密机制答案：D22.以下哪一种人给公司带来了最大的安全风险？A、临时工B、咨询人员C、以前的员工D、当前的员工答案：D23.一般情况下，操作系统输入法漏洞，通过（）端口实现。A、135B、139C、445D、3389答案：D24.下面哪类设备常用于识别系统中存在的脆弱性？A、防火墙B、IDSC、漏洞扫描器D、UTM答案：C25.以下哪一项不应被看做防火墙的主要功能?A、协议过滤B、包交换C、访问控制规则的实现D、审计能力的扩展答案：B26..某网站管理员小邓在流量监测中发现近期网站的入站ICMP流量上升了250%，尽管网站没有发现任何的性能下降或其他问题，但为了安全起见，他仍然向主管领导提出了应对措施，作为主管负责人，请选择有效的针对此问题的应对措施A、在防火墙上设置策略，阻止所有的ICMP流量进入（关掉ping）B、删除服务器上的ping.exe程序C、增加带宽以应对可能的拒绝服务攻击D、增加网站服务器以应对即将来临的拒绝服务攻击答案：A27.在Linux系统中，以下描述错误的是A、使用命令awk-F：'($2==""){print$1}'/etc/shadow可以查看空口令用户B、使用命令awk-F：'($2==0){print$1}'/etc/passwd可以查看具有root权限的用户C、使用命令awk-F：'($3==0){print$1}'/etc/passwd可以查看具有root权限的用户D、使用命令userdel-rusername可以删除不需要的或可疑的用户。答案：B28.路由器的扩展访问控制列表能够检查流量的哪些基本信息？A、协议，VLANID，源地址，目标地址B、协议，VLANID，源端口，目标端口C、源地址，目标地址，源端口，目标端口，协议D、源地址，目标地址，源端口，目标端口，交换机端口号答案：C29.为了方便，我们会将一些账号的密码设置的很简单，这种可以被猜解的密码或者可以用工具猜解出来的口令叫做弱口令，下面给出的选项，正确的是（）。A、用很长的身份证号码设置，别人不容易知道B、用自己的生日或者家人的生日，黑客也不容易猜解C、定期的更换密码，但是有规律性D、用数字、字符和字母的组合，没有规律性的更换答案：D30.管理员在检测服务器的时候发现自己的系统可能被远程木马控制，在没有第三方工具的情况下，可以用下面哪个命令配合查找？A、systeminfo/ipocnfigB、netstat–ano/tasklist/svcC、netstat–ano/ipcnfig/allD、Tasklist/svc/ipconfig/all答案：B31.关于恶意代码，以下说法错误的是A、从传播范围来看，恶意代码呈现多平台传播的特征。B、按照运行平台，恶意代码可以分为网络传播型病毒.文件传播型病毒C、不感染的依附性恶意代码无法单独执行D、为了对目标系统实施攻击和破坏活动，传播途径是恶意代码赖以生存和繁殖的基本条件答案：B32.为推动和规范我国信息安全等级保护工作，我国制定和发布了信息安全等级保护工作所需要的一系列标准，这些标准可以按照等级保护工作的工作阶段大致分类，下面四个标准中，（）提出和规定了不同安全保护等级信息系统的最低保护要求，并按照技术和管理两个方面提出了相关基本安全要求。A、GB/T22239-2008《信息系统安全等级保护基本要求》B、GB/T22240-2008《信息系统安全保护等级定级指南》C、GB/T25070-2010《信息系统等级保护安全设计技术要求》D、GB/T28449-2012《信息系统安全等级保护测评过程指南》答案：A33.公共密钥体系（PKI）的某一组成要素的主要功能是管理证书生命周期，包括证书目录维护，证书废止列表维护和证书发布这个要素是：A、证书机构（CA）B、数字签名C、证书实践声明D、注册机构（RA）答案：D34.以下哪个选项不是防火墙提供的安全功能?A、IP地址欺骗防护B、NATC、访问控制D、SQL注入攻击防护答案：D35.关于RSA密码体制的描述中，正确的是哪一项？（）A、安全性基于椭圆曲线问题B、是一种对称的密码体制C、加密速度很快D、常用于数字签名答案：D36.在window系统中用于显示本机各网络端口详细情况的命令是A、netshowB、netstatC、ipconfigD、netview答案：B37.数据库事务日志的用途是什么？A、事务处理B、数据恢复C、完整性约束D、保密性控制答案：B38.一家B2C电子商务网站的信息安全程序要求能够监测和预防黑客的活动，一时有可疑行为即警示系统管理员。下面的哪个系统组件可以实现这个目标？A、入侵监测系统（IDS）B、防火墙C、路由器D、不对称加密答案：A39.Windows为了实现局域网内部资源的共享而默认打开了445端口，但它却给我们的系统安全带来了隐患。我们可以采取的防范措施不包括A、利用防火墙过滤445端口B、使用IP安全策略阻止访问本地445端口C、禁用server服务D、安装杀毒软件，防止黑客通过445端口猜解系统用户名和密码答案：D40.为了让Windows系统为我们记录更多的系统日志信息，我们可以修改相关的设置，但不包括()A、启用相关的审核策略B、将“日志最大大小”的值设置的更大一些C、修改日志文件的存放路径D、日志满时将其存档，不覆盖事件答案：C41.下面ISO/OSI参考模型的说法正确的是？A、它是目前应用最广泛的互联网通信协议B、它的一个主要竞争对手是TCP/IP协议，由于ISO/OSI更加全面细致，所以更受欢迎C、它的基本思想之一是在网络上发送数据时，由物理层开始对数据进行封装，至应用层时数据已经配套上了多层“外衣”D、以上都不对答案：D42.网络窃听可以捕获网络中流过的敏感信息，下列说法错误的是（）A、密码加密后不会被窃听B、Cookie可以被窃听C、报文和帧可以窃听D、窃听者可以进行ARPSpoof答案：A43.系统工程霍尔三维结构模型从时间维、逻辑维、（）三个坐标对系统工程进行程序化。A、阶段维B、进程维C、知识维D、工作步骤维答案：C44.某银行网上交易系统开发项目在设计阶段分析系统运行过程中可能存在的攻击，请问以下拟采取的安全措施中，哪一项不能降低该系统的受攻击面：()A、远程用户访问需进行身份认证B、远程用户访问时具有管理员权限C、关闭服务器端不必要的系统服务D、当用户访问其账户信息时使用严格的身份认证机制答案：B45.计算机信息系统中发生的案件，有关使用单位应当在（）内向当地县级以上人民政府公安机关报告。A、12小时B、24小时C、36小时D、48小时答案：B46.密码的暴力破解是黑客惯用的入侵手段。为了防止密码猜测、密码破解，可以设置帐户锁定登录失败锁定次数、锁定时间。为此，应修改下列哪个文件？A、/etc/pam.d/authconfigB、/etc/pam.d/password-auth-acC、/etc/pam.d/system-authD、/etc/pam.d/passwd答案：C47.某网站在设计时经过了威胁建模和攻击面分析，在开发时要求程序员编写安全的代码，但是在部署时由于管理员将备份存放在WEb目录下导致了攻击者可直接下载备份，为了发现系统中是否存在其他类拟问题，以下哪种测试方式是最佳的测试方法?A、模糊测试B、源代码测试C、渗透测试D、软件功能测试答案：C48.为了方便管理员的远程管理，Windows系统默认将硬盘的逻辑驱动器设为了共享，但它却给我们的系统安全带来了隐患，我们可以采取的防范措施包括A、修改注册表禁用默认共享B、关闭系统445端口C、禁用server服务D、以上全是答案：D49.下列哪种技术不是恶意代码的生存技术？A、反跟踪技术B、加密技术C、模糊变换技术D、自动解压缩技术答案：D50.下面哪一种攻击方式最常用于破解口令？A、哄骗（spoofing）B、字典攻击（dictionaryattack）C、拒绝服务（DoS）D、WinNuk答案：B51.以下哪项不属于防止口令猜测的措施？()A、严格限定从一个给定的终端进行非法认证的次数B、确保口令不在终端上再现C、防止用户使用太短的口令D、使用机器产生的口令答案：B52.微软SDL将软件开发生命周期制分为七个阶段，并列出了十七项重要的安全活动。其中“弃用不安全的函数”属于（）的安全活动A、要求（Rapuiroments）阶段B、设计（Design）阶段C、实施（Implenpentation）阶段D、验证（Verifcation）阶段答案：C53.以下哪一项属于基于主机的入侵检测方式的优势：（）A、监视整个网段的通信B、不要求在大量的主机上安装和管理软件C、适应交换和加密D、具有更好的实时性答案：C54.若一个组织声称自己的ISMS符合ISO/IEC27001或GB/T22080标准要求，其信息安全控制措施通常需要在符合性方面实施常规控制。符合性常规控制这一领域不包括以下哪项控制目标（）A、符合法律要求B、符合安全策略和标准以及技术符合性C、信息系统审核考虑D、访问控制的业务要求.用户访问管理答案：D55.无论是哪一种web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息系统安全漏洞属于：（）A、设计型漏洞B、开发型漏洞C、运行型漏洞D、以上都不是答案：A56.数据保密性指的是（）A、保护网络中各系统之间交换的数据，防止因数据被截获而造成泄密B、提供连接实体身份的鉴别C、防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致D、确保数据数据是由合法实体发出的答案：A57.黑客进行攻击的最后一个步骤是:A、侦查与信息收集B、漏洞分析与目标选定C、获取系统权限D、清除证据，打扫战场答案：D58.下列关于防火墙说法不正确的是（）A、防火墙一般过滤所有的外网访问B、防火墙可以由代理服务器实现C、所有进出网络的通信流量都应该通过防火墙D、防火墙可以防止所有病毒通过网络传播答案：D59.cron后台常驻程序(daemon)用于A、负责文件在网络中的共享B、管理打印子系统C、跟踪管理系统信息和错误D、管理系统日常任务的调度答案：D60.在信息系统中，访问控制是重要的安全功能之一。它得任务是在用户对系统资源提供最大达限度共享的基础上，对用户的访问权限进行管理，防止对信息的非授权篡改和滥用。访问控制模型将实体划分为主体和客体两类，通过对主体身份的识别来限制其对客体的访问权限。下列选项中，对主体、客体和访问权限的描述错误的是（）A、对文件进行操作的用户是一种主体B、主体可以接受客体的信息和数据，也可能改变客体相关的信息C、访问权限是指主体对客体所允许的操作D、对目录的访问权限可分为读、写和拒绝访问答案：D61.实体A应该使用（）加密数据来向实体B发送机密数据。A、的公钥B、A的私钥C、B的公钥D、B的私钥答案：C62.下面对信息安全漏洞的理解中，错误的是（）A、讨论漏洞应该从生命周期的角度出发。信息产品和信息系统在需求，设计，实现，配置，维护和使用等阶段中均有可能产生漏洞B、信息安全漏洞是由于信息产品和信息系统在需求，设计，开发，部署活维护阶段，由于设计，开发等相关人员无意中产生的缺陷所造成的C、信息安全漏洞如果被而已攻击者成功利用，可能会给信息产品和信息系统带来安全损害，甚至带来较大的经济损失D、由于人类思维能力、计算机计算能力的局限性等因素，所以在信息产品和信息系统中产生信息安全漏洞是不可避免的答案：B63.下面哪一项内容更准确地描述了网络接口层(即数据链路层)可能存在的安全攻击?A、RP欺骗，分片攻击，synflood（tcp）等B、ARP欺骗，macfloodin，嗅探等C、死亡之ping，macf1ooding，嗅探等（网络层）D、IP源地址欺骗，ARP欺骗，嗅探等（网络层）答案：B64.从Linux内核2.1版本开始，实现了基于权能的特权管理机制，实现了对超级用户的特权分割，打破了UNIX/LINUX操作系统中超级用户/普通用户的概念，提高了操作系统的安全性。下列选项中，对特权管理机制的理解错误的是（）。A、普通用户及其Shell没有任何权能，而超级用户及其shell在系统启动之初拥有全部权能B、系统管理员可以剥夺和恢复超级用户的某些权能C、进程可以放弃自己的某些权能D、当普通用户的某些操作涉及特权操作时，仍然通过setuid实现答案：A65.SMTP连接服务器使用端口是（）A、21B、25C、80D、110答案：B66.数字签名是使用__________。A、己方的私钥B、己方的公钥C、对方的私钥D、对方的公钥答案：A67.公钥基础设施中不包括以下哪一项？A、CRLB、RAC、IKED、CA答案：C68.关于数据库注入攻击的说法错误的是（）A、它的主要原因是程序对用户的输入缺乏过滤B、一般情况下防火墙对它无法防范C、对它进行防范时要关注操作系统的版本和安全补丁D、注入成功后可以获取部分权限答案：C69.美国国家标准与技术研究院（NationalInstituteofStandardsandTechnology，NIST）隶属美国商务部，NIST发布的很多关于计算机安全的指南文档。下面哪个文档是由NIST发布的（）A、ISO27001《Informationtechnology--Securitytechniques–Informationsecuritymanagementsystems--Requirements》B、X.509《InformationTechnology–OpenSystemsInterconnection–TheDirectory:AuthenticationFramework》C、SP800-37《GuideforApplyingtheRiskManagementFrameworktoFederalInformationSystems》D、RFC2402《IPAuthenticaionHeader》答案：C70.大数据处理中最常使用的计算框架为MapRedcue，它能够有效的解决很多问题，下列例子中不适宜使用该框架解决的问题为A、处理网站搜集的用户信息，分析用户喜好B、搜索引擎的PageRank计算C、处理大型在线零售商的web请求D、进行关系代数运算答案：C71.在linux系统中拥有最高级别权限的用户是：A、rootB、administratorC、mailD、nobody答案：A72.根据Bell-lapadula模型安全策略，下图中写和读操作正确的是（)A、可读可写B、可读不可写C、可写不可读D、不可读不可写答案：D73.关闭系统中不需要的服务主要目的是：A、避免由于服务自身的不稳定影响系统的安全B、避免攻击者利用服务实现非法操作从而危害系统安全C、避免服务由于自动运行消耗大量系统资源从而影响效率D、以上都是答案：B74.某网站为了开发的便利，使用SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程XP_cmdshell删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：（）A、权限分离原则B、最小特权原则C、保护最薄弱环节的原则D、纵深防御的原则答案：C75.以下哪一项不是工作在网络第二层的隧道协议？A、VTP（思科的私有协议）B、L2FC、PPTPD、L2TP答案：A76.以下关于EFS和Bitlocker的说法错误的是（）。A、EFS是从Windows2000/xp系统开始，系统所特有的一个实用的加密功能B、itlocker能够同时支持FAT和NTFS两种文件系统的加密。C、启用EFS加密之后需要将用户的证书（包括私钥）导出备份，如果证书丢失，则所有被加密的文件都将无权访问D、EFS和Bitlocker加密的对象都可以是文件和磁盘驱动器。答案：D77.Linux系统文件的访问权限属性通过9个字符来表示，分别表示文件属主.文件所属组用户和其他用户对文件的读（r）.写（w）及执行（x）的权限。文件usr/bin/passwd的属性信息如下图所示，在文件权限中还出现了以为s，下列选项中对这一位s的理解正确的是（）。-r-s—x—x1rootroot10704Apr2011:55A、文件权限出现了错误，出现S的位应该改成XB、S表示sticky位，设置sticky位后，就算用户对目录具有写权限，也不能删除该文件C、s表示SGID位，文件在执行阶段具有文件所在组的权限D、s表示SUID位，文件在执行阶段具有文件所有者的权限答案：D78.在Linux系统中，telnet服务认证是A、单向认证B、智能卡认证C、双向认证D、第三方认证答案：A79.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于哪一种攻击？（）A、重放攻击B、Smurf攻击C、字典攻击D、中间人攻击答案：D80.SSL是保障WEB数据传输安全性的主要技术，它工作在（）A、链路层B、网络层C、传输层D、应用层答案：C81.下列哪一项能够提高网络的可用性？（网络传输）A、系统冗余B、数据冗余C、软件冗余D、电源冗余答案：B82.某文件的权限为drw-r--r--，用数值形式表示该权限，则该八进制数为A、755B、642C、644D、641答案：C83.DES算法属于加密技术中的（）。A、对称加密B、不对称加密C、不可逆加密D、以上都是答案：A84.以下哪些内容是路由信息中所不包含的（)A、源地址B、下一跳C、目标网络D、路由权值答案：A85.PKI支持的服务不包括（）。A、非对称密钥技术及证书管理B、目录服务C、对称密钥的产生和分发D、访问控制服务答案：D86.在搭建MySQL数据库时，避免从互联网访问MySQL数据库，限制主机权限可以保障数据库的安全。直接通过本地网络之外的计算机改变生产环境中的数据库是异常危险的。有时，管理员会打开主机对数据库的访问、>GRANTALLON*.*TO'root''%';这其实是完全放开了对root的访问。所以，把重要的操作限制给特定主机非常重要、>GRANTALLON*.*TO'root''localhost';>GRANTALLON*.*TO'root''myip.athome'>FLUSHPRIVILEGES此时，关于访问权限，以下正确的是（）A、特定主机可以完全的访问，但只有指定的IP可以访问。B、特定主机只可以部分的访问，不能完全的访问C、特定主机完全不可以访问D、特定主机可以访问，但是只有特定的静态IP可以访问答案：A87.随着高校业务资源逐渐向数据中心高度集中，Web成为一种普遍平台，上面承载了越来越多的核心业务。Web的开放性带来丰富资源.高效性.新工作方式的同时，也是机构的重要信息暴露在越来越多的威胁中。去年，某高校本科生院校网站遭遇SQL群注入（MassSQLInjection）攻击，网站发布的重要信息被篡改成为大量签名，所以该校在某信息安全公司的建议下配置了状态检测防火墙，其原因不包括（）A、状态检测防火墙可以应用会话信息决定过滤规则B、状态检测防火墙具有记录通过每个包的详细信息能力C、状态检测防火墙过滤规则与应用层无关，相比于包过滤防火墙更易安装和使用D、状态检测防火墙结合网络配置和安全规定作出接纳.拒绝.身份认证或报警灯处理动作答案：C88.某网站为了开发的便利，SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程xp_cmdshell删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：A、权限分离原则B、最小特权原则C、保护最薄弱环节的原则D、纵深防御的原则答案：B89.SQLServer安装程序创建4个系统数据库，下列哪个不是系统数据库:()A、masterB、modelC、pubD、msdb答案：C90.信息安全等级保护分级要求，第三级适用正确的是：()A、适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益B、适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害C、适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害D、适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害答案：B91.随着（）的增加，信息系统的安全风险降低。A、威胁B、脆弱性C、资产的重要度D、控制措施答案：D92.微软提出了STRIDE模型，其中R是Repudiation(抵赖)的缩写，关于此项错误的是:A、某用户在登录系统并下载数据后，却声称“我没有下载过数据"软件R威胁B、某用户在网络通信中传输完数据后，却声称“这些数据不是我传输的”威胁也属于R威胁。C、对于R威胁，可以选择使用如强认证、数字签名、安全审计等技术D、对于R威胁，可以选择使用如隐私保护、过滤、流量控制等技术答案：D93.在以下哪种情况下，组织应当对公众和媒体告知其信息系统中发生的信息安全事件？A、当信息安全事件的负面影响扩展到本组织以外时B、只要发生了安全事件就应当公告C、只有公众的生命财产安全受到巨大危害时才公告D、当信息安全事件平息后答案：A94.ChineseWall模型的设计宗旨是：A、用户只能访问那些与已经拥有的信息不冲突的信息B、用户可以访问所有信息C、用户可以访问所有已经选择的信息D、用户不可以访问那些没有选择的信息答案：A95.某公司在互联网区域新建了一个WEB网站，为了保护该网站主页安全性，尤其是不能让攻击者修改主页内容，该公司应当购买并部署下面哪个设备（）A、负载均衡设备B、网页防篡改系统C、网络防病毒系统D、网络审计系统答案：B96.CA属于ISO安全体系结构中定义的（）。A、认证交换机制B、通信业务填充机制C、路由控制机制D、公证机制答案：D97.收集用户个人电子信息前应采用用户能够知悉的方式，应向用户明确告知的内容不包括（）。A、其他用户提供的信息B、收集用户个人电子信息的目的、方式、类别和留存时限C、用户个人电子信息的使用范围，包括披露或向其他组织和机构提供其用户个人电子信息的范围D、提供用户个人电子信息后可能存在的风险答案：A98.软件的供应商或是制造商可以在他们自己的产品中或是客户的计算机系统上安装一个“后门”程序。以下哪一项是这种情况面临的最主要风险？A、软件中止和黑客入侵B、远程监控和远程维护C、软件中止和远程监控D、远程维护和黑客入侵答案：A99.微软SDL将软件开发生命周期划分为七个阶段，并提出了十七项重要的安全活动，其中“威胁建模”属于（）的安全活动。A、要求（Requirements）阶段B、设计（Design）阶段C、实施（Implementation）D、验证（Verification）阶段答案：B100.在linux中存放用户密码信息的文件是A、/etc/passwdB、/etc/login.defC、/etc/shadowD、/etc/group答案：C101.下列哪个不是软件缺陷（漏洞）的来源？A、对软件需求分析中缺乏对安全需求.安全质量的定义，导致软件设计中缺乏与安全需求对应的安全功能与安全策略。B、对软件设计中缺乏安全方面的考虑，设计了不安全或没有很好的权限与能力限制的功能，或者缺乏对应安全需求的安全功能.安全策略设计。C、软件的代码编制过程中，由于开发人员对安全缺乏理解及相关知识，或者失误，导致了错误的逻辑或者为对数据进行过滤和检查，或者对自身权限的限制。D、在软件的测试过程中，由于开发测试人员缺乏对安全使用软件的理解，使用了非常规的操作方法，导致了错误的逻辑或突破了权限的限制。答案：D102.按照我国信息安全等级保护的有关政策和标准，有些信息系统只需要自主定级.自主保护，按照要求向公安机关备案即可，可以不需要上级或主管部门来测评和检查。此类信息系统应属于（）。A、零级系统B、一级系统C、二级系统D、三级系统答案：B103.关于数据库恢复技术，下列说法不正确的是：A、数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决，当数据库中数据被破坏时，可以利用冗余数据来进行修复B、数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来，是数据库恢复中采用的基本技术C、日志文件在数据库恢复中起着非常重要的作用，可以用来进行事务故障恢复和系统故障恢复，并协助后备副本进行介质故障恢复D、计算机系统发生故障导致数据未储存到固定存储器上，利用日志文件中故障发生的数据值，将数据库恢复到故障发生前的完整状态，这一对事务的操作称为提交答案：D104.为了使系统的关键文件免受破坏，管理员可以使用下列哪个命令将指定的文件设置为不可修改、不可删除、不可移动A、chattr+i文件名B、chmod755文件名C、hownroot.root文件名D、setuid文件名0答案：A105.在Linux系统中，对/etc/pam.d/su文件做了如下图所示修改。以下说法中正确的是A、如果用户输入密码错误达到上限，账户则会被锁定。B、普通用户都将无法使用su命令切换到root账户C、将普通用户admin添加到wheel组之后，admin使用su命令可以切换到root账户D、root账户将无法使用su命令切换到其他用户答案：C106.应用系统将帐号设置为几次错误登录后锁定帐号，这可以防止A、木马B、暴力攻击C、IP欺骗D、缓存溢出攻击答案：B107.WPA2包含下列哪个协议标准的所有安全特性?A、IEEE802.11bB、IEEE802.11cC、IEEE802.11gD、IEEE802.11i答案：D108.国务院信息化办公室于2004年9月份下发了《关于做好重要信息系统灾难备份工作的通知》，该文件中指出了我国在灾备工作原则，下面哪项不属于该工作原则（）。A、统筹规划B、分级建设C、资源共享D、平战结合答案：B109.利用TCP连接三次握手弱点进行攻击的方式是A、SYNFloodB、嗅探C、会话劫持D、以上都是答案：A110.在计算机中清除ARP缓存记录的命令是A、rp-aB、arp-dC、netstat-anD、ipconfig/release答案：B111.Windows2003，windows7默认同一用户同时最多有几个连接？A、2,3B、3,1C、2,4D、4,1答案：B112.NTScan是一款暴力破解NT主机账号密码的工具，他可以破解WindowsNT/2000/XP/2003的主机密码，但是在破解的时候需要目标主机开放（）端口A、3389B、1433C、135D、80答案：C113.数据在进行传输前，需要由协议栈自上而下对数据进行封装，TCP／IP协议中，数据封装的顺序是：A、传输层、网络接口层、互联网络层B、传输层、互联网络层、网络接口层C、互联网络层、传输层、网络接口层D、互联网络层、网络接口层、传输层答案：B114.计算机病毒会对下列计算机服务造成威胁，除了：A、完整性B、有效性C、保密性D、可用性答案：C115.下列不属于系统安全的技术是（）。A、防火墙B、加密狗C、认证D、防病毒答案：B116.信息安全事件的分类方法有很多种，依据GB/Z20986-2007《信息安全技术信息安全事件分类分级指南》。信息安全事件分为7个基本类别，描述正确的是（A）A、有害程序事件.网络攻击事件.信息破坏事件.信息内容安全事件.设备设施故障.灾害性事件和其他信息安全事件B、网络攻击事件.拒绝服务攻击事件.信息破坏事件.信息内容安全事件.设备设施故障.灾害性事件和其他信息安全事件C、网络攻击事件.网络钓鱼事件.信息破坏事件.信息内容安全事件.设备设施故障.灾害性事件和其他信息安全事件D、网络攻击事件.网络扫描窃听事件.信息破坏事件.信息内容安全事件.设备设施故障.灾害性事件和其他信息安全事件答案：A117.根据《中华人民共和国网络安全法》网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处（）罚款，对直接负责的主管人员处五千元以上五万元以下罚款。A、一万元以上十万元以下B、五千元以上五万元以下C、一万元以上二十万元以下D、五万元以上五十万元以下答案：A118.在信息安全保障工作中，人才是非常重要的因素，今年来，我国一直高度重视我国信息安全人才队伍的培养和建设。在以下关于我国关于人才培养工作的描述中，错误的是A、在《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发{2003}27号）中。针对信息安全人才建设与培养工作提出了“加快信息安全人才培养，增强全民信息安全意识”的指导精神B、2015年，为加快网络空间安全高层次人才培养，经报国务院学位委员会批准，国务院学位委员会、教育部决定在“工学”门类下增设“网络空间安全”一级学科，这对于我国网络信息安全人才成体系化、规模化、系统化培养起到积极的推动作用C、经过十余年的发展，我国信息安全人才培养已经成熟和体系化，每年培养的信息安全从业人员的数量较多，基本能同社会实际需求相匹配；同时，高校信息安全专业毕业人才的综合能力要求高、知识更全面，因而社会化培养应重点放在非安全专业人才培养上D、除正规大学教育外，我国信息安全非学历教育已基本形成了以各种认证为核心，辅以各种职业技能培训的信心安全人才培训体系，包括“注册信息安全专业人员（CISP）”资质认证和一些大型企业的信息安全资质认证答案：C119.以下几种无线加密标准中那一项的安全性最弱？A、wepB、wpaC、wpa2D、wapi答案：A120.小华是一个黑客爱好者，某一天他拿到某台Windows+PHP服务器的WEBSHELL后，发现是内网服务器，无法连接服务器远程桌面，并且服务器只能在图片目录上传php文件和图片，为了连接服务器远程桌面，他可以选择什么工具？A、LcxB、HtranC、ReDuhD、Hd答案：C121.通过网页上的钓鱼攻击来获取密码的方式，实质上是一种：（）A、社会工程学攻击B、密码分析学C、旁路攻击D、暴力破解攻击答案：A122.防止静态信息被非授权访问和防止动态信息被截取解密是（）A、数据完整性B、数据可用性C、数据可靠性D、数据保密性答案：D123.从安全的角度来看，运行哪一项起到第一道防线的作用A、远端服务器B、Web服务器C、防火墙D、使用安全shell程序答案：C124.以下对windows系统账号的描述，正确的是A、windows系统默认不允许修改administrator管理员账号为其他名称B、windows系统默认生成administrator和guest两个账号，两个账号都不可以改名C、windows系统默认生成administrator和guest两个账号，不允许修改guest账号名称D、windows系统默认生成administrator和guest两个账号，两个账号都可以改名答案：D125.Kerberos协议是用来作为（）的方法A、传送数据B、加密数据C、身份鉴别D、访问控制答案：C126.以下对于远程用户拨号认证系统（RADIUS)协议说法正确的是：A、它是一种B/S结构的协议B、它是一项通用的认证计费协议C、它使用TCP通信D、它的基本组件包括认证、授权和加密答案：B127.利用"缓冲区溢出"漏洞进行渗透测试模拟攻击过程中，利用WEB服务器的漏洞取得了一台远程主机的Root权限。为了防止WEB服务器的漏洞被弥补后，失去对该服务器的控制，应首先攻击下列中的（）文件。A、etc/.htaccessB、/etc/passwdC、/etc/secureD、/etc/shadow答案：D128.一些网站后台为了方便管理，集成了SQL数据库语句执行功能，而这也给攻击者提供了获取Webshell的方法。现在一网站后台存在SQL语句执行功能，且网站绝对路径为F、/root/，按下列哪种顺序执行SQL语句可以成功导出webshellshell.php（）。①、CreateTABLEtemp（cmdtextNOTNULL）;②、SelectcmdfromtempintooutfileF、/root/shell.php;③、DropTABLEIFEXISTStemp;④、InsertINTOtemp（cmd）VALUES（<?phpeval（$_POST[cmd]）;?>）;A、②③①④B、③①②④C、①④②③D、③①④②答案：C129.以下哪种鉴别技术是利用密钥生成一个固定长度的短数据块，并将该数据块附加到消息之后以便接收方对消息进行验证？A、消息鉴别码（摘要算法）B、数字签名C、身份认证码D、散列码答案：A130.小王在使用superscan对目标网络进行扫描时发现，某一个主机开放了53和5631端口，此主机最有可能是什么？A、文件服务器B、邮件服务器C、WEb服务器D、NS服务器答案：D131.以下哪一项鉴别机制不属于强鉴别机制？（）A、令牌+口令B、PIN码+口令C、签名+指纹D、签名+口令答案：B132.下列属于分布式拒绝服务(DDOS)攻击的是：A、Men-in-Middle攻击（中间人攻击）B、SYN洪水攻击C、TCP连接攻击D、SQL注入攻击答案：B133.在Linux系统中，下列哪项内容不包含在/etc/passwd文件中（）A、用户名B、用户口令明文C、用户主目录D、用户登录后使用的SHELL答案：B134.在一个URL形如http、//.x./x.asp?id=284处使用手工探测注入点，出现如下提示，请问最有可能绕过注入限制的是下面哪种方法？（）A、Get注入B、POST注入C、ookie注入D、盲注答案：C135.以下关于信息安全工程说法正确的是：（）A、信息化建设中系统功能的实现是最重要的B、信息化建设可以先实施系统，而后对系统进行安全加固C、信息化建设中在规划阶段合理规划信息安全，在建设阶段要同步实施信息安全建设D、信息化建设没有必要涉及信息安全建设答案：C136.IS审计人员在应用开发项目的系统设计阶段的首要任务是：A、商定明确详尽的控制程序B、确保设计准确地反映了需求C、确保初始设计中包含了所有必要的控制D、劝告开发经理要遵守进度表答案：C137.关于信息安全管理体系，国际上有标准《InformationtechnologySecuritytechniquesInformationsecuritymanagementsystemsRequirements》（ISO/IEC27001：2013）,而我国发布了《信息技术安全技术信息安全管理体系要求》（GB/T22080-2008）。请问，这两个标准的关系是（）。A、IDT（等同采用），此国家标准等同于该国际标准，仅有或没有编辑性修改B、NEQ（等效采用），此国家标准等效于该国际标准，技术上只有很小差异C、NEQ（非等效采用），此国家标准不等效于该国际标准D、没有采用与否的关系，两者之间版本不同，不应之间比较答案：A138.在linux中，常常存在不需要的服务，使用什么命令禁用这些服务？（）A、chkconfig–F[服务名]B、chkconfig[服务名]offC、hkconfig–B[服务名]D、chkconfig[服务名]down答案：B139.在实施信息安全风险评估时，需要对资产的价值进行识别、分类和赋值，关于资产价值的评估，以下选项中正确的是（）A、资产的价值指采购费用B、资产的价值指维护费用C、资产的价值与其重要性密切相关D、资产的价值无法估计答案：C140.以下那个现象较好的印证了信息安全特征中的动态性（）A、经过数十年的发展，互联网已经接入了数亿台各种电子设备B、刚刚经过风险评估并针对风险采取处理措施后仅一周，新的系统漏洞使得信息系统面临新的风险C、某公司的信息系统面临了来自美国的“匿名者”黑客组织的反击D、某公司尽管部署了防火墙、防病毒等安全产品，但服务器中数据仍然产生了泄露答案：B141.下面哪项属于软件开发安全方面的问题?A、软件部署时所需选用服务性能不高，导致软件执行效率低B、应用软件来考虑多线程技术，在对用户服务时按序排队提供服务C、应用软件存在sql注入漏洞，若被黑客利用能窃取数据库所用数据D、软件受许可证（license）限制，不能在多台电脑上安装答案：C142.以下场景描述了基于角色的访问控制模型(Role-basedAccessControl．RBAC)：根据组织的业务要求或管理要求，在业务系统中设置若干岗位.职位或分工，管理员负责将权限(不同类别和级别的)分别赋予承担不同工作职责的用户。关于RBAC模型，下列说法错误的是：A、当用户请求访问某资源时，如果其操作权限不在用户当前被激活角色的授权范围内，访问请求将被拒绝B、业务系统中的岗位.职位或者分工，可对应RBAC模型中的角色C、通过角色，可实现对信息资源访问的控制D、RBAC模型不能实现多级安全中的访问控制答案：D143.关于信息安全保障技术框架（IATF），以下说法不正确的是：()A、分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本B、IATF从人.技术和操作三个层面提供一个框架实施多层保护，使攻击者即使攻破一层也无法破坏整个信息基础设施C、允许在关键区域（例如区域边界）使用高安全级保障解决方案，确保系统安全性D、IATF深度防御战略要求在网络体系结构的各个可能位置实现所有信息安全保障机制答案：D144.NAT技术不能实现以下哪个功能？A、对应用层协议进行代理（只能在传输层代理）B、隐藏内部地址C、增加私有组织的地址空间D、增加私有组织的地址空间答案：A145.以下关于互联网协议安全（InternetProtocolSecurity,IPsec）协议说法错误的是：（）A、在传送模式中，保护的是IP负载B、验证头协议（AuthenticationHead，AH）和IP封装安全载荷协议（Encapsulatingsecuritypayload，ESP）都能以传输模式和隧道模式工作C、在隧道模式中，保护的是整个互联网协议（InternetProtocol,IP）包，包括IP头D、IPsec仅能保证传输数据的可认证性和保密性答案：D146.无线网络一般采用WEP/WPa/WPa2三种安全加密方式，哪种方式在不使用字典的情况下，可被抓包破解。（）A、WEP安全加密B、WPa安全加密C、WPa2安全加密D、以上三种都可以答案：A147.在设计信息系统安全保障方案时，以下哪个做法是错误的：（）A、要充分切合信息安全需求并且实际可行B、要充分考虑成本效益，在满足合规性要求和风险处理要求的前提下，尽量控制成本C、要充分采取新技术，在使用过程中不断完善成熟，精益求精，实现技术投入保值要求D、要充分考虑用户管理和文化的可接受性，减少系统方案实施障碍答案：C148.某公司开发了一个游戏网站，但是由于网站软件存在漏洞，在网络中传输大数据包时总是会丢失一些数据，如一次性传输大于2000个字节数据时，总是会有3到5个字节不能传送到对方，关于此案例，可以推断的是（）A、该网站软件存在保密性方面安全问题B、该网站软件存在完整性方面安全问题C、该网站软件存在可用性方面安全问题D、该网站软件存在不可否认性方面安全问题答案：B149.在SSE-CMM中对工程过程能力的评价分为三个层次，由宏观到微观依次是（）A、能力级别-公共特征（CF）-通用实践（GP）B、能力级别-通用实践-（GP）-公共特征（CF）C、通用实践-（GP）-能力级别-公共特征（CF）D、公共特征（CF）-能力级别-通用实践-（GP）答案：A150.DSA指的是（）。A、数字签名算法B、数字系统算法C、数字签名协议D、数字鉴别算法答案：A151.数字签名不能实现的安全特性为（）A、防抵赖B、防伪造C、防冒充D、保密通信答案：D152.某单位计划在今年开发一套办公自动化（OA）系统，将集团公司各地的机构通过互联网进行协同办公。在OA系统的设计方案评审会上，提出了不少安全开发的建议，作为安全专家，请指出大家提的建议中不太合适的一条？A、对软件开发商提出安全相关要求，确保软件开发商对安全足够的重视，投入资源解决软件安全问题B、要求软件开发人员进行安全开发培训，使开发人员掌握基本软件安全开发知识C、要求软件开发商使用Java而不是ASP作为开发语言，避免产生SQL注入漏洞D、要求软件开发商对软件进行模块化设计，各模块明确输入和输出数据格式，并在使用前对输入数据进行校验答案：C153.某系统被攻击者入侵，初步怀疑为管理员存在弱口令，攻击者从远程终端以管理员身份登录进行系统进行了相应的破坏，验证此事应查看：A、系统日志B、应用程序日志C、安全日志D、IIS日志答案：C154.以下几种VPN技术使用数据加密技术的是哪一个？()A、MPLSVPNB、SSLVPNC、L2TPVPND、GREVPN答案：B155.以下关于特洛伊木马的描述，正确的是A、大多数特洛伊木马包括客户端和服务器端两个部分，通常攻击者利用某种手段将木马客户端部分绑定到某个合法软件上，诱使用户运行合法软件B、大多数特洛伊木马都模仿一些正规的远程控制软件的功能，如Symantec的pcanywhereC、特洛伊木马经常是因为用户在非正规的网站下载和运行了带恶意代码的软件造成，一般不会通过邮件附件传播D、通常来讲，木马的服务器部分的功能是固定的，一般不可以根据需要定制答案：B156.具有行政法律责任强制力的安全管理规定和安全制度包括：()1.安全事件（包括安全事故）报告制度2.安全等级保护制度3.信息系统安全监控4.安全专用产品销售许可证制度A、1,2,4B、2,3C、2,3,4D、1,2,3答案：A157.在访问Internet过程中，为了防止Web页面中恶意代码对自己计算机的损害，可以采取以下哪种防范措施（）。A、利用SSL访问Web站点B、将要访问的Web站点按其可信度分配到浏览器的不同安全区域C、在浏览器中安装数字证书D、要求Web站点安装数字证书答案：B158.网络运营者为用户办理网络接入等服务，在与用户签订协议或者确定提供服务时，应当要求用户提供（）A、真实身份信息B、信用记录C、消费记录D、身份证答案：A159.划分VLAN主要解决什么问题？（）A、隔离广播B、解决安全性C、隔离故障域D、解决带宽问题答案：A160.在软件保障成熟度模型（SoftwareAssuranceMaturityMode，SAMM）中，规定了软件开发过程中的核心业务功能，下列哪个选项不属于核心业务功能：（）A、治理，主要是管理软件开发的过程和活动B、构造，主要是在开发项目中确定目标并开发软件的过程与活动C、验证，主要是测试和验证软件的过程与活动D、购置，主要是购买第三方商业软件或者采用开源组件的相关管理过程与活动答案：D161.某攻击端发送大量欺骗性包，每个数据包可能被几百个主机收到，成倍的响应涌向攻击目标系统，占据系统所有资源导致系统崩溃，这么攻击属于以下哪种拒绝服务攻击A、SYNfloodB、PingofDeathC、TearDropD、Smurf答案：D162.IPSECVPN中，以下哪个算法可以实现对消息源进行认证？A、IDEAB、AESC、3DESD、SHA1答案：D163.下列哪一种方法属于基于实体“所有”鉴别方法：A、用户通过自己设置的口令登录系统，完成身份鉴别B、用户使用个人指纹，通过指纹识别系统的身份鉴别C、用户利用和系统协商的秘密函数，对系统发送的挑战进行正确应答，通过身份鉴别D、用户使用集成电路卡(如智能卡)完成身份鉴别答案：D164.数据完整性指的是（）A、对数据进行处理，防止因数据被截获而造成泄密B、对通信双方的实体身份进行鉴别C、确保数据数据是由合法实体发出的D、防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致答案：D165.某公司系统管理员最近正在部署一台Web服务器，使用的操作系统是Windows，在进行日志安全管理设置时，系统管理员拟定四条日志安全策略给领导进行参考，其中能有效应对攻击者获得系统权限后对日志进行修改的策略是：A、在网络中单独部署syslog服务器，将Web服务器的日志自动发送并存储到该syslog日志服务器中B、严格设置Web日志权限，只有系统权限才能进行读和写等操作C、对日志属性进行调整，加大日志文件大小，延长日志覆盖时间，设置记录更多信息等D、使用独立的分区用于存储日志，并且保留足够大的日志空间答案：A166.某单位人员管理系统在人员离职时进行账号删除，需要离职员工所在部门主管经理和人事部门人员同时进行确认才能在系统上执行，该设计是遵循了软件安全设计中的哪项原则?A、最小权限B、权限分离C、不信任D、纵深防御答案：B167.数据加密标准DES是一种分组密码，将明文分成大小（）位的块进行加密，密钥长度为（）位。A、128、32B、128、56C、64、32D、64、56答案：D168.当浏览器用户输入：https://.exle./home.html,向服务器方发出访问请求，请问支持这种访问至少要求具备下列哪一个条件？A、浏览器和web服务器都必须支持SSL/TSL协议B、浏览器单方支持SSL/TSL协议C、web服务器单方支持SSL/TSL协议D、浏览器和web服务器都不必支持SSL协议答案：A169.对信息安全事件的分类参考下列三个要素：信息系统的重要程度.系统损失和社会影响。依据信息系统的重要程度对信息系统进行划分，不属于正确划分级别的是：（）A、特别重要信息系统B、重要信息系统C、一般信息系统D、关键信息系统答案：D170.以下可能存在sql注入攻击的部分是：A、get请求参数B、post请求参数C、ookie值D、以上均有可能答案：D171.如下图所示，下列说法错误的是（）A、dmin对file目录拥有读写执行权限B、project组用户无法进入file目录C、其他用户对file目录拥有读写执行权限D、project组的用户可以读取file目录下的文件内容答案：D172.下面对于cookie的说法错误的是（）A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息B、cookie可以存储一些敏感的用户信息，从而造成一定的安全风险C、通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗D、防范cookie欺骗的一个有效方法是不使用cookie验证方法，而使用session验证方法答案：D173.以下代码所展示的网页挂马方式属于（）A、框架挂马B、js挂马C、网络钓鱼挂马D、伪装挂马答案：D174.某软件公司准备提高其开发软件的安全性，在公司内部发起了有关软件开发生命周期的讨论，在下面的发言观点中，不正确的是（）A、软件安全开发应当涉及软件开发整个生命周期，即要在软件开发生命周期的各个阶段都要采取一些措施来确保软件的安全性B、应当尽早在软件开发的需求和设计阶段就增加一定的安全措施，这样可以比在软件发布以后进行漏洞修复所话的代价少得多C、和传统的软件开发阶段相比，应当增加一个专门的安全编码阶段D、安全测试阶段非常重要，有必要采取一些安全测试方法学和测试手段来确保软件的安全性答案：C175.三重DES是一种加强了的DES加密算法，它的有效密钥长度是DES算法的（）倍。A、2B、3C、4D、5答案：B176.在Linux系统中，普通用户test1希望使用su命令切换为test2用户身份，需要提供（）用户的密码。A、rootB、test1C、test2D、不需要密码答案：C177.很多时候可以使用ping命令，根据目标响应信息的TTL值来确定目标主机的操作系统类型。如linux机器的扫描结果如下、那FreeBSD的TTL值一般为A、32B、64C、128D、256答案：C178.通常在网站数据库中，用户信息中的密码一项，是以哪种形式存在？（）A、明文形式存在B、服务器加密后的密文形式存在C、hash运算后的消息摘要值存在D、用户自己加密后的密文形式存在答案：C179./etc/Passwd文件是UNIX/Linux安全的关键文件之一。该文件用于用户登录是校对用户登录名、加密的口令数据项、用户ID（UID）、默认的用户分组ID（GID）、用户信息、用户登录目录以及登录后使用的shell程序。某黑客设法窃取了银行账户管理系统的passwd文件后，发现每个用户的加密的口令数据项都显示为’x’。下列选项中，对此现象的解释正确的是A、黑客窃取的passwd文件是假的B、用户的登录口令经过不可逆的加密算法加密结果为“x”C、加密口令被转移到了另一个文件里D、这些账户都被禁用了答案：C180.以下关于SNMPv1和SNMPv2的安全性问题说法正确的是（）A、SNMPv1不能阻止未授权方伪装管理器执行Get和Set操作B、SNMPv1能提供有效的方法阻止第三者观察管理器和代理程序之间的消息交换C、SNMPv2解决不了篡改消息内容的安全性问题D、SNMPv2解决不了伪装的安全性问题答案：A181.数字签名要预先使用单向Hash函数进行处理的原因是（）。A、多一道加密工序使密文更难破译B、提高密文的计算速度C、缩小签名密文的长度，加快数字签名和验证签名的运算速度D、保证密文能正确还原成明文答案：C182.网管人员常用的各种网络工具包括远程桌面、网络共享、telnet、ftp、ssh等，分别使用的默认TCP端口号是A、3389，139或445，21，25，22B、3389，139或445，23，21，22C、3389，137或445，21，22，25D、3389，138或445，22，22，21答案：B183.以下关于宏病毒的认识，哪个是错误的。A、宏病毒是一种跨平台式的计算机病毒B、“台湾1号”是一种宏病毒C、宏病毒是用Wordbasic语言编写的D、在不同的Word版本格式中的宏病毒是互相兼容的，可以相互传播答案：D184.我国依照信息系统的重要程度.安全事件造成的系统损失以及带来的社会影响等因素，将信息安全事件分为若干个级别，其中，能够导致特别严重影响破坏的信息安全事件，如使特别重要信息系统遭受特别重大的系统损失，如造成系统大面积瘫痪，使其丧失业务处理能力，或系统关键数据的保密性.完整性.可用性遭到严重破坏的，应属于哪一级信息安全事件（）。A、I级B、III级C、IV级D、特别级答案：A185.Windows用户口令加固的方法有A、更改密码复杂度设置B、定期对口令进行修改C、登录失败次数限制D、以上都是答案：D186.以下关于账户策略中密码策略中各项作用说明，哪个是错误的A、“密码必须符合复杂性要求”是用于避免用户产生诸如1234,1111这样的弱口令B、“密码长度最小值”是强制用户使用一定长度以上的密码C、“强制密码历史”是强制用户不能再使用曾经使用过的任何密码D、“密码最长存留期”是为了避免用户使用密码时间过长而不更换答案：C187.已知某个链接存在SQL注入漏洞，网址是http、//./product.asp?id=20，以下哪个URL访问之后，页面不会报错（）。A、http、//./product_more.asp?id=20’B、http、//./product_more.asp?id=20and1=1C、http、//./product_more.asp?id=20and1=2D、http、//./product_more.asp?id=20and99*9<100答案：B188.WAPI采用的是什么加密算法？A、我国自主研发的公开密钥体制的椭圆曲线密码算法B、国际上通用的商用加密标准C、国家密码管理委员会办公室批准的流加密标准D、国际通行的哈希算法答案：A189.软件开发者对要发布的软件进行数字签名，并不能保证（）。A、软件的完整性B、软件的来源可靠可信C、软件的代码安全D、软件的发布日期可信答案：C190.Windows中强制终止进程的命令是A、tashlistB、netstatC、taskkillD、netshare答案：C191.在某次信息安全应急响应过程中，小王正在实施如下措施：消除或阻断攻击源、找到并消除系统的脆弱性/漏洞、修改安全策略、加强防范措施、格式化被感染而已程序的介质等。请问，按照PDCERF应急响应方法，这些工作应处于以下哪个阶段（）A、准备阶段B、检测阶段C、遏制阶段D、根除阶段答案：D192.主动型木马是一种基于远程控制的黑客工具，黑客使用的程序和在你电脑上安装的程序分别是A、木马程序/驱动程序B、控制程序/服务程序C、驱动程序/木马程序D、服务程序/控制程序答案：B193.使用PGP安全邮件系统，不能保证发送信息的（）A、私密性B、完整性C、真实性D、免抵赖性答案：C194.以下哪项不是Oracle8i/9i数据库的默认帐户和口令。()A、SYS/MaNaGERB、SYSTEM/MaNaGERC、ScOTT/TIGERD、bSNMP/dbSNMP答案：A195.在Windows系统下，以下哪个命令可以显示进程信息包含进程所对应的程序路径A、tasklistB、netstatC、processD、wmicprocess答案：D196.以下哪项不是网络入侵检测系统的优点：A、不影响现有网络和数据源B、与操作系统无关C、实时监视和检测网络攻击或者滥用D、可以分析加密数据答案：D197.信息安全的基本属性是（）。A、机密性B、可用性C、完整性D、上面3项都是答案：D198.密码分析的目的是什么？A、确定加密算法的强度B、增加加密算法的代替功能C、减少加密算法的换位功能D、确定所使用的换位答案：A199.PDCA循环又叫戴明环，是管理学常用的一种模型。关于PDCA四个字母，下面理解错误的是（）A、P是Plan，指分析问题、发现问题、确定方针、目标和活动计划B、D是Do，指实施、具体运作，实现计划中的内容C、是Check，指检查、总结执行计划的结果，明确效果，找出问题D、A是Aim，指瞄准问题，抓住安全事件的核心，确定责任答案：D200.在网络上监听别人口令通常采用（）A、拒绝服务B、IP欺骗C、嗅探技术D、蜜罐技术答案：C201.在针对microsoftsqlserver安全检查时，使用什么命令检查存在空口令？A、selectname,passwordfromsysloginwherepasswordisnullB、selectname,passwordfromsysloginswherepasswordisnullC、selectname,passwordfromsysuserwherepasswordisnullD、selectname,passwordfromsysuserswherepasswordisnull答案：B202.信息收集一般是入侵者进行入侵的第一步，现在要收集A网站（ab）上可能存在的关于OA系统的doc文件，以下googlehack方式中，哪种是最适合的？（）A、site、abfiletype、docOAB、site、abtype、docOAC、site、abfile、docOAD、site、abinurl、docOA答案：A203.小王是某大学计算科学与技术专业的毕业生，大四上学期开始找工作，期望谋求一份技术管理的职位。一次面试中，某公司的技术经理让小王谈一谈信息安全风险管理中的“背景建立”的基本概念与认识。小王的主要观点包括：（1）背景建立的目的是为了明确信息安全风险管理的范围和对象，以及对象的特性和安全要求，完成信息安全风险管理项目的规划和准备；（2）背景建立根据组织机构相关的行业经验执行，雄厚的经验有利于有助于达到事半功倍的效果；（3）背景建立包括：风险管理准备、信息系统调查、信息系统分析和信息安全分析；（4）背景建立的阶段性成果包括：风险管理计划书、信息系统的描述报告、信息系统的分析报告、信息系统的安全要求报告。请问小王的论点中错误的是哪项：（）A、第一个观点，背景建立的目的只是为了明确信息安全风险管理的范围和对象B、第二个观点，背景建立的依据是国家、地区或行业的相关政策、法律、法规和标准C、第三个观点，背景建立中的信息系统调查与信息系统分析师同一件事的两个不同名字D、第四个观点，背景建立的阶段性成果中不包括有风险管理计划书答案：D204.风险分析是风险评估工作中的一个重要内容，下面描述了信息安全风险分析的过程，请为图中括号空白处选择合适的内容（）。A、需要保护的资产清单B、已有安全措施列表C、安全风险等级列表D、信息安全风险评估策略答案：A205.下面哪一种是社会工程？A、缓冲器溢出B、SQL注入攻击C、电话联系组织机构的接线员询问用户名和口令D、利用PKI/ca构建可信网络答案：C206.下列哪一项与数据库的安全有直接关系？A、访问控制的粒度B、数据库的大小C、关系表中属性的数量D、关系表中元组的数量答案：A207.下列哪项不是网络设备AAA的含义（）。A、udition(审计)B、Authentication(认证)C、Authorization(授权)D、Accounting(计费)答案：A208.账号锁定策略中对