安全测试模拟题中级卷附有答案

WEB安全测试模拟题-中级-A卷[复制]一、单选题[填空题]_________________________________1.以下哪一种DataBackup方式在时间上最快?[单选题]*A.增量DataBackup(正确答案)B.差异DataBackupC.完全DataBackupD.磁盘镜像2.下面哪项不是Electromagneticradiationleakage防护手段?[单选题]*A.红黑电源B.屏蔽机房C.视频干扰器D.防静电服(正确答案)3.下面哪类恶意程序可以不接触任何介质，自主传播?[单选题]*A.木马B.病毒C.蠕虫(正确答案)D.钓鱼程序4.下面那类设备常用于风险分析?[单选题]*A.FirewallB.IDSC.漏洞扫描器(正确答案)D.UTM5.Windows操作系统的注册表运行命令是:[单选题]*A.Regsvr32B.Regegit(正确答案)C.Regedit.mscD.Regedit.mmc6.安装活动目录时会同时创建DNS的主要区域，区域记录不全会导致目录服务异常，可通过重启Windows的（）来重写DNS区域?[单选题]*A.Server服务B.NetLogon服务(正确答案)C.Messenger服务D.NetworkDDE服务7.关闭Windows网络共享功能需要关闭（）服务?[单选题]*A.Server(正确答案)B.WorkstationC.ServiceLayerD.TerminalServices8.AD中的组策略不可以应用到[单选题]*A.域B.OUC.站点D.组(正确答案)9.EFSencryption文件系统使用的encryption技术是（）。[单选题]*A.DESB.3DESC.IDEAD.RSA(正确答案)10.下列哪种IDS将最有可能对正常网络活动产生错误警报?[单选题]*A.基于统计(正确答案)B.基于数字SignatureC.神经网络D.基于主机11.一个长期的雇员具有很强的技术背景和管理经验，申请审计部门的一个职位。是否聘用他，应基于个人的经验和____?[单选题]*A.服务年限的长短，因为这将有助于确保技术能力。B.年龄，（年纪太大的话）在审计技术培训时可能不切实际。C.信息系统知识，因为这将加强审计的可信度D.能力，作为信息系统审计师，将独立于现有的信息系统(正确答案)12.一个组织使用ERP，下列哪个是有效的访问控制?[单选题]*A.用户级权限B.基于角色(正确答案)C.细粒度D.自主访问控制13.下列哪一项是预防CC攻击的有效手段?[单选题]*A、删除可能存在CC攻击的页面B、提高服务器性能C、限制单个IP地址每秒访问服务器的次数(正确答案)D、使用IDS设备14.18.下列针对Windows主机安全说法最准确的是[单选题]*A、系统重新安装后最安全B、系统安装了防病毒和Firewall就安全了C、把管理员密码长度修改的比较复杂安全D、经过专业的安全服务人员根据业务系统的需要进行评估，然后根据评估结果进行安全加固后比较安全(正确答案)15.下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为?[单选题]*A．安全核心B．可信计算基C．引用监视器(正确答案)D．安全域16.下列对安全审计涉及的基本要素说法正确的是[单选题]*A、安全审计可分为实时入侵安全审计和事后审计检测两种B、安全审的基本要素是控制目标、安全漏洞、控制措施和控制测试(正确答案)C、安全审的基本要素是控制目标、安全漏洞、控制措施和检测D、安全审计可分为控制措施和检测控制17.下列对安全审计描述最完整的是[单选题]*A、安全审计系统可以对所有明文数据进行审计(正确答案)B、安全审计只能审计网站系统C、安全审计可以审计数据库D、安全审计可以审计网站论坛18.某公司在执行灾难恢复测试时，Informationsecurityprofessionals注意到灾难恢复站点的服务器的运行速度缓慢，为了找到根本原因，他应该首先检查:[单选题]*A．灾难恢复站点的错误事件报告B．灾难恢复测试计划C．灾难恢复计划(DRP)D．主站点和灾难恢复站点的配置文件(正确答案)19.为了达到组织灾难恢复的要求，备份时间间隔不能超过:[单选题]*A．服务水平目标(SLO)B．恢复时间目标(RTO)C．恢复点目标(RPO)(正确答案)D．停用的最大可接受程度(MAO)20.某公司正在进行IT系统灾难恢复测试，下列问题中的哪个最应该引起关注:[单选题]*A．由于有限的测试时间窗，仅仅测试了最必须的系统，其他系统在今年的剩余时间里陆续单独测试B．在测试过程中，有些备份系统有缺陷或者不能正常工作，从而导致这些系统的测试失败C．在开启备份站点之前关闭和保护原生产站点的过程比计划需要多得多的时间D．每年都是由相同的员工执行此测试，由于所有的参与者都很熟悉每一个恢复步骤，因而没有使用灾难恢复计划（DRP）文档(正确答案)二、多选题[填空题]_________________________________1.Computerinformationsystemsecurity的目标包括（）*A.信息机密性(正确答案)B.信息完整性(正确答案)C.服务可用性(正确答案)D.可审查性(正确答案)2.Computerinformationsystemsecurity保护的目标是要保护计算机信息系统的（）*A.实体安全(正确答案)B.运行安全(正确答案)C.Informationsecurity(正确答案)D.人员安全(正确答案)3.Computerinformationsystemsecurity包括（）*A.系统风险管理(正确答案)B.审计跟踪(正确答案)C.备份与恢复(正确答案)D.电磁信息泄漏4.Computerinformationsystemsecurityprotection的措施包括（）*A.安全法规(正确答案)B.安全管理(正确答案)C.组织建设D.制度建设5.Computerinformationsystemsecuritymanagement包括（）*A.组织建设(正确答案)B.事前检查C.制度建设(正确答案)D.人员意识(正确答案)6.Publicinformationnetworksecuritysupervision工作的性质（）*A.是公安工作的一个重要组成部分(正确答案)B.是预防各种危害的重要手段(正确答案)C.是行政管理的重要手段(正确答案)D.是打击犯罪的重要手段(正确答案)7.Publicinformationnetworksecuritysupervision工作的一般原则（）*A.预防与打击相结合的原则(正确答案)B.专门机关监管与社会力量相结合的原则(正确答案)C.纠正与制裁相结合的原则(正确答案)D.教育和处罚相结合的原则(正确答案)8.Informationsecurityofficer应具备的条件:（）*A.具有一定的计算机网络专业技术知识(正确答案)B.经过计算机安全员培训，并考试合格(正确答案)C.具有大本以上学历D.无违法犯罪记录(正确答案)9.OS应当提供哪些安全保障（）*A.验证(Authentication)(正确答案)B.授权(Authorization)(正确答案)C.数据保密性(DataConfidentiality)(正确答案)D.数据一致性(DataIntegrity)(正确答案)E.数据的不可否认性(DataNonrepudiation)(正确答案)10.WindowsOS的"域"控制机制具备哪些安全特性（）*A.用户身份验证(正确答案)B.访问控制(正确答案)C.审计(Log)(正确答案)D.数据通讯的加密11.从系统整体看，Securityvulnerabilities包括哪些方面（）*A.技术因素(正确答案)B.人的因素(正确答案)C.规划，策略和执行过程(正确答案)12.从系统整体看，下述那些问题属于系统Securityvulnerabilities（）*A.产品缺少安全功能(正确答案)B.产品有Bugs(正确答案)C.缺少足够的安全知识(正确答案)D.人为错误(正确答案)E.缺少针对安全的系统设计(正确答案)13.应对操作系统Securityvulnerabilities的基本方法是什么（）*A.对默认安装进行必要的调整(正确答案)B.给所有用户设置严格的口令(正确答案)C.及时安装最新的安全补丁(正确答案)D.更换到另一种操作系统14.造成操作系统Securityvulnerabilities的原因（）*A.不安全的编程语言(正确答案)B.不安全的编程习惯(正确答案)C.考虑不周的架构设计(正确答案)15.严格的Passwordpolicy应当包含哪些要素（）*A.满足一定的长度，比如4位以上B.同时包含数字，字母和特殊字符(正确答案)C.系统强制要求定期更改口令(正确答案)D.用户可以设置空口令(正确答案)16.Computersecuritycases包括以下几个方面（）*A.重要安全技术的采用(正确答案)B.安全标准的贯彻(正确答案)C.安全制度措施的建设与实施(正确答案)D.重大安全隐患、违法违规的发现，事故的发生(正确答案)17.Computersecuritycases包括以下几个内容（）*A.违反国家法律的行为(正确答案)B.违反国家法规的行为(正确答案)C.危及、危害计算机信息系统安全的事件(正确答案)D.计算机硬件常见机械故障18.重大Computersecurityaccident可由_____受理（）*A.案发地市级公安机关公共信息网络安全监察部门(正确答案)B.案发地当地县级（区、市）公安机关治安部门C.案发地当地县级（区、市）公安机关公共信息网络安全监察部门(正确答案)D.案发地当地公安派出所19.Siteinvestigation主要包括以下几个环节_____（）*A.对遭受破坏的计算机信息系统的软硬件的描述及被破坏程度(正确答案)B.现场现有电子数据的复制和修复(正确答案)C.电子痕迹的发现和提取，证据的固定与保全(正确答案)D.现场采集和扣押与事故或案件有关的物品(正确答案)20.Computersecurityaccident原因的认定和计算机案件的数据鉴定,____（）*A.是一项专业性较强的技术工作(正确答案)B.必要时可进行相关的验证或侦查实验(正确答案)C.可聘请有关方面的专家，组成专家鉴定组进行分析鉴定(正确答案)D.可以由发生事故或计算机案件的单位出具鉴定报告三、判断题[填空题]_________________________________1.一个用户忘记了自己的rootpassword，正常情况下，那就只有重装系统后重设password的方法了[单选题]*答案:错误(正确答案)2.BufferOverflow只会引起栈错误，不会造成太严重的后果。[单选题]*答案:错误(正确答案)3.堆溢出和栈溢出在本质上是一样的，都是由于执行拷贝操作时没有对拷贝长度做限制[单选题]*答案:正确(正确答案)4.BufferOverflow只会出现在Windows平台，Linux平台不会出现[单选题]*答案:错误(正确答案)5.Formatstringvulnerability是一种可以写内存的loophole[单选题]*答案:正确(正确答案)6.Singlebyteoverflow，由于仅溢出了一个字节，所以不算是安全loophole[单选题]*答案:错误(正确答案)7.禁止使用Activityscript可以防范IE执行本地任意程序。[单选题]*答案:正确(正确答案)8.WindowsOS中用户登录域的口令是以明文方式传输的。[单选题]*答案:错误(正确答案)9.计算机信息系统的安全威胁同时来自内、外两个方面。[单选题]*答案:正确(正确答案)10.只要将strcpy函数替换为strncpy函数，就不会引起缓冲区溢出loophole了[单选题]*答案:错误(正确答案)11.置换PasswordEncryption方法重新对字母进行排序，但是并不伪装明文。[单选题]*答案:错误(正确答案)12.MS01-033是一种远程溢出型Attackloophole[单选题]*答案:正确(正确答案)13.TCPFIN扫描可以扫描WindowOS、UNIXOS等操作系统[单选题]*答案:错误(正确答案)14.TCPSYN是半连接扫描，优点是不需要超级用户进行系统调用，缺点是扫描中留下的日志比较多[单选题]*答案:错误(正确答案)15.可以通过Banner获得服务版本信息或操作系统类型[单选题]*答案:正确(正确答案)16.转置PasswordEncryption方法保留了明文符号的顺序，但是将明文伪装起来。[单选题]*答案:错误(正确答案)17.现代Password体制把Algorithm和Key分开，只需要保证密钥的保密性就行了，Algorithm是可以公开的。[单选题]*答案:正确(正确答案)18.Securityaudit与Safetyassessment的两大重要课题，也是计算机网络安全的核心内容，securityaudit侧重于场景再现、取证分析，Safetyassessment侧重于位于绸缪、防患未然。[单选题]*答案:正确(正确答案)19.Loophole是指任何可以造成破坏系统或信息的弱点。[单选题]*答案:正确(正确答案)20.解决Sharedfolder的安全隐患应该卸载Microsoft网络的文件和打印机共享。[单选题]*答案:正确(正确答案)WEB安全测试模拟题-中级-B卷[填空题]_________________________________一、单选题[填空题]_________________________________21.为了优化组织的业务持续计划（BCP），信息安全专业人员应该建议执行业务影响分析（）来确定:*A．能为组织产生最大财务价值，因而需要最先恢复的业务流程(正确答案)B.为保证与组织业务战略相一致，业务流程恢复的优先级和顺序(正确答案)C.在灾难中能保证组织生存而必须恢复的业务流程D.能够在最短的时间内恢复最多系统的业务流程恢复顺序答案:C22.当一个关键文件服务器的存储增长没有被合理管理时，以下哪一项是最大的风险?[单选题]*A．备份时间会稳定增长B．备份成本会快速增长C．存储成本会快速增长D．服务器恢复工作不能满足恢复时间目标（RTO）的要求(正确答案)23.在CMM标准中，哪一个等级表明组织在软件开发过程中已经建立了定量的质量指标?[单选题]*A．可重复级B．已定义级C．已管理级(正确答案)D．优化级24.在软件开发过程中，为了让程序内部接口错误能够被尽早发现，下列哪一种测试方法是最有效的?[单选题]*A．自底向上测试B．白盒测试C．自顶向下测试(正确答案)D．黑盒测试25.在ISO27001:2013中，制定风险处置计划应该在PDCA的哪个阶段进行?[单选题]*A．PlanB．Do(正确答案)C．CheckD．Act26.在通用准则（）中，是按照下列哪一类评测等级对产品进行评测的?*A．PPB．EPLC．EAL(正确答案)D．TCB答案:C27.在可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别?[单选题]*A．C2B．C1C．B2D．B1(正确答案)28.Clark-Wilson模型可以满足所有三个完整性安全目标，哪一个是错误的:[单选题]*A．防止授权用户不适当的修改B．防止非授权用户进行篡改C．维持内部和外部的一致性D．保障数据和程序安全(正确答案)29.下列信息系统安全说法正确的是:[单选题]*A．加固所有的服务器和网络设备就可以保证网络的安全B．只要资金允许就可以实现绝对的安全C．断开所有的服务可以保证信息系统的安全D．信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略(正确答案)30.在linux系统中用哪个命令可以查看文件和目录，显示文件的属性:[单选题]*A.catB.mkdirC.lsD.ls–l(正确答案)31.在linux系统中磁盘分区用哪个命令:[单选题]*A.fdisk(正确答案)B.mvC.mountD.df32.Linux系统的/etc目录从功能上看相当于windows系统的哪个文件夹:[单选题]*A.ProgramFilesB.Windows(正确答案)C.SystemvolumeinformationD.TEMP33.在linux系统中拥有最高级别权限的用户是:[单选题]*A.root(正确答案)B.administratorC.mailD.nobody34.如果想用windows的网上邻居方式和linux系统进行文件共享，那么在linux系统中要开启哪个服务:[单选题]*A.DHCPB.NFSC.SAMBA(正确答案)D.SSH35.下面关于IIS错误的描述正确的是?[单选题]*A.401—找不到文件B.403—禁止访问(正确答案)C.404—权限问题D.500—系统错误36.以下哪一种入侵检测系统监控网络中流量和事件的整体模式，并建立一个数据库?[单选题]*A.基于特征库的B.基于神经网络的(正确答案)C.基于统计(信息)的D.基于主机的37.当实施IT治理时，决定实施对象的优先级时,下列哪一项是最重要的考虑因素?[单选题]*A.过程成熟度B.性能指标C.商业风险(正确答案)D.保证报告38.可用性和IT服务的可持续性的最佳实践应该是:[单选题]*A.使费用减到最小与灾难恢复相结合B.提供足够的能力满足业务需求C.提供合理的担保满足对客户的责任(正确答案)D.及时地生成性能报告39.下列措施中哪项不是登录访问控制措施?[单选题]*A.审计登录者信息(正确答案)B.密码失效时间C.密码长度D.登录失败次数限制40.下列项目中，哪个是专门用于用户身份识别的?[单选题]*A.PIN.(正确答案)B.电话号码C.IP地址D.MAC地址二、多选题[填空题]_________________________________21.在Emergencyresponse方面,政府有关部门的职责是（）。*A.网络安全事件发生的风险增大时,采取信息报送、网络安全风险信息评估、向社会预警等措施(正确答案)B.按照规定程序及权限对网络运营者法定代表人进行约谈(正确答案)C.建立健全本行业、本领域的网络安全监测预警和信息通报制度D.制定网络安全事件应急预案,定期组织演练22.Password破解Securitydefensemeasures包括（）。*A.设置“好”的Password(正确答案)B.系统及应用安全策略(正确答案)C.随机验证码(正确答案)D.Password管理策略(正确答案)23.socialengineering利用的人性弱点包括（）。*A.信任权威(正确答案)B.信任共同爱好(正确答案)C.期望守信(正确答案)D.期望社会认可(正确答案)24.socialengineering直接用于攻击的表现有（）。*A.利用同情、内疚和胁迫(正确答案)B.口令破解中的socialengineering利用C.正面攻击(直接索取)(正确答案)D.网络攻击中的socialengineering利用25.下列选项中,属于socialengineering在安全意识培训方面进行防御的措施是（）。*A.构建完善的技术防御体系B.知道什么是socialengineering攻击(正确答案)C.知道socialengineering攻击利用什么(正确答案)D.有效的安全管理体系和操作26.关于Stack,下列表述正确的是（）。*A.一段连续分配的内存空间(正确答案)B.特点是FIFOC.Stack生长方向与内存地址方向相反(正确答案)D.Stack生长方向与内存地址方向相同27.OS安全配置对抗DNSSpoofing的措施包括（）。*A.关闭DNS服务递归功能(正确答案)B.限制域名服务器作出响应的地址(正确答案)C.限制发出请求的地址(正确答案)D.限制域名服务器作出响应的递归请求地址(正确答案)28.BackDoor的作用包括（）。*A.方便下次直接进入(正确答案)B.监视用户所有隐私(正确答案)C.监视用户所有行为(正确答案)D.完全控制用户主机(正确答案)29.BackDoorTrojanhorse种类包括（）。*A.特洛伊Trojanhorse(正确答案)B.RootKit(正确答案)C.脚本BackDoor(正确答案)D.隐藏账号(正确答案)30.Logging分析重点包括（）。*A.源IP(正确答案)B.请求方法(正确答案)C.请求链接(正确答案)D.状态代码(正确答案)31.目标系统的信息系统相关资料包括（）。*A.域名(正确答案)B.网络拓扑(正确答案)C.操作系统(正确答案)D.应用软件(正确答案)32.Whois可以查询到的信息包括（）。*A.域名所有者(正确答案)B.域名及IP地址对应信息(正确答案)C.域名注册、到期日期D(正确答案).域名所使用的DNSServers33.PortScanning的扫描方式主要包括（）。*A.全扫描(正确答案)B.半打开扫描(正确答案)C.隐秘扫描(正确答案)D.NESSUS34.Securityvulnerabilities信息及攻击工具获取的途径包括（）。*A.NESSUSB.Securityvulnerabilities库(正确答案)C.QQ群(正确答案)D.论坛等交互应用(正确答案)35.informationgathering与分析工具包括（）。*A.网络设备Securityvulnerabilities扫描器(正确答案)B.集成化的Securityvulnerabilities扫描器(正确答案)C.专业web扫描软件(正确答案)D.DBSecurityvulnerabilities扫描器(正确答案)36.informationgathering与分析的过程包括（）。*A.informationgathering(正确答案)B.目标分析(正确答案)C.实施攻击(正确答案)D.打扫战场(正确答案)37.计算机时代的Securitythreats包括（）。*A.非法访问(正确答案)B.恶意代码(正确答案)C.脆弱口令(正确答案)D.破解38.VonNeumann模式的计算机包括（）。*A.显示器(正确答案)B.输入与输出设备(正确答案)C.FPUD.存储器(正确答案)39.Informationsecurity的安全措施包括（）。*A.Firewall(正确答案)B.防Networkvirus(正确答案)C.NESSUSD.入侵检测(正确答案)40.Informationsecurity包括（）。*A.技术保障(正确答案)B.管理保障(正确答案)C.人员培训保障(正确答案)D.法律法规保障(正确答案)三、判断题[填空题]_________________________________21.只要选择一种最安全的操作系统，整个系统就可以保障安全。[单选题]*答案:错误(正确答案)22.Screensaver的Password是需要分大小写的。[单选题]*答案:正确(正确答案)23.Password学的基本规则是，你必须让Password分析者知道Encryption和解密所使用的方法。[单选题]*答案:正确(正确答案)24.Socialengineering，冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令和其他信息;垃圾搜索:Attacker通过搜索被攻击者的废弃物，得到与系统有关的信息，如果用户将口令写在纸上又随便丢弃，则很容易成为垃圾搜索的Attack对象。[单选题]*答案:正确(正确答案)25.安全管理从范畴上讲，涉及物理安全策略、访问控制策略、信息Encryption策略和Networksecuritymanagement策略。[单选题]*答案:正确(正确答案)26.Securityaudit就是日志的记录。[单选题]*答案:错误(正确答案)27.Windows域(Domain)中的用户帐号和口令信息存储在"域控制器"中[单选题]*答案:正确(正确答案)28.在设计系统安全策略时要首先评估可能受到的安全威胁[单选题]*答案:正确(正确答案)29.为提高工作效率，外单位人员可以随意接入公司内网。[单选题]*答案:错误(正确答案)30.指令和数据均以八进制形式存储于同一个安全存储器中。[单选题]*答案:错误(正确答案)31.安全数据库是一种将数据库看作是一张二维表的形式存入数据库。[单选题]*答案:错误(正确答案)32.数据安全管理是指对数据的分类、组织、编码、存储、检索和维护。[单选题]*答案:错误(正确答案)33.用于网管的安全OS是一个与各专业网管垂直（平行）的OS。[单选题]*答案:错误(正确答案)34.Securitydomain是具有相同或接近的安全需求，相互信任的区域或网络实体的结合，一个Securitydomain可以被划分为安全子域。[单选题]*答案:正确(正确答案)35.根据信息系统等级保护的要求，信息系统的保护等级分为6级。[单选题]*答案:错误(正确答案)36.Informationsafety研究所涉及的领域相当广泛。从信息的层次来看，包括信息的来源、去向，内容的真实无误及保证信息的完整性，信息不会被非法泄漏扩算保证新的保密性，信息的发送和接收者无法否认自己所做过的操作行为而保证信息的不可否认性。[单选题]*答案:正确(正确答案)37.安全管理从范畴上讲，涉及物理安全策略、访问控制策略、信息Encryption策略和网络安全管理策略。[单选题]*答案:正确(正确答案)38.系统安全的责任在于IT技术人员，最终用户不需要了解安全问题[单选题]*答案:错误(正确答案)39.路由协议如果没有Authentication功能，就可以伪造路由信息，导致路由表混乱，从而使网络瘫痪。[单选题]*答案:正确(正确答案)40.主动Attack包括分析通信流，监视未被保护的通信，解密弱Encryption通道，获取鉴别信息（如口令）。[单选题]*答案:错误(正确答案)WEB安全测试模拟题-中级-C卷[填空题]_________________________________一、单选题[填空题]_________________________________41.Bell-LaPadula安全模型主要关注安全的哪个方面?[单选题]*A.可审计B.完整性C.机密性(正确答案)D.可用性42.下面哪类控制模型是基于安全标签实现的?[单选题]*A.自主访问控制B.强制访问控制(正确答案)C.基于规则的访问控制D.基于身份的访问控制43.下面哪个角色对数据的安全负责?[单选题]*A.数据拥有者B.数据监管人员(正确答案)C.用户D.安全管理员44.系统本身的，可以被黑客利用的安全弱点，被称为[单选题]*A.脆弱性(正确答案)B.风险C.威胁D.弱点45.系统的弱点被黑客利用的可能性，被称为[单选题]*A.风险(正确答案)B.残留风险C.暴露D.几率46.下列哪一项准确地描述了可信计算基（TCB）?[单选题]*A．TCB只作用于固件（Firmware）B．TCB描述了一个系统提供的安全级别C．TCB描述了一个系统内部的保护机制(正确答案)D．TCB通过安全标签来表示数据的敏感性47.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”?[单选题]*A．Biba模型中的不允许向上写B．Biba模型中的不允许向下读C．Bell-LaPadula模型中的不允许向下写D．Bell-LaPadula模型中的不允许向上读(正确答案)48.为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则?[单选题]*A．Bell-LaPadula模型中的不允许向下写B．Bell-LaPadula模型中的不允许向上读C．Biba模型中的不允许向上写(正确答案)D．Biba模型中的不允许向下读49.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分?[单选题]*A．Bell-LaPadula模型B．Biba模型C．信息流模型D．Clark-Wilson模型(正确答案)50.作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型?[单选题]*A．自主访问控制（DAC）B．强制访问控制（MAC）C．基于角色访问控制（RBAC）(正确答案)D．最小特权（LeastPrivilege）51.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互?[单选题]*A．强制访问控制（MAC）B．集中式访问控制（DecentralizedAccessControl）C．分布式访问控制（DistributedAccessControl）D．自主访问控制（DAC）(正确答案)52.下列哪种类型的IDS能够监控网络流量中的行为特征，并能够创建新的数据库?[单选题]*A．基于特征的IDSB．基于神经网络的IDS(正确答案)C．基于统计的IDSD．基于主机的IDS53.访问控制模型应遵循下列哪一项逻辑流程?[单选题]*A．识别，授权，认证B．授权，识别，认证C．识别，认证，授权(正确答案)D．认证，识别，授权54.在对生物识别技术中的错误拒绝率（FRR）和错误接收率（FAR）的定义中，下列哪一项的描述是最准确的?[单选题]*A．FAR属于类型I错误，FRR属于类型II错误B．FAR是指授权用户被错误拒绝的比率，FRR属于类型I错误C．FRR属于类型I错误，FAR是指冒充者被拒绝的次数D．FRR是指授权用户被错误拒绝的比率，FAR属于类型II错误(正确答案)55.某单位在评估生物识别系统时，对安全性提出了非常高的要求。据此判断，下列哪一项技术指标对于该单位来说是最重要的?[单选题]*A．错误接收率（FAR）(正确答案)B．平均错误率（EER）C．错误拒绝率（FRR）D．错误识别率（FIR）56.下列哪种方法最能够满足双因子认证的需求?[单选题]*A．智能卡和用户PIN(正确答案)B．用户ID与密码C．虹膜扫描和指纹扫描D．磁卡和用户PIN57.在Kerberos结构中，下列哪一项会引起单点故障?[单选题]*A．E-Mail服务器B．客户工作站C．应用服务器D．密钥分发中心（KDC）(正确答案)58.在下列哪一项访问控制技术中，数据库是基于数据的敏感性来决定谁能够访问数据?[单选题]*A．基于角色访问控制B．基于内容访问控制(正确答案)C．基于上下文访问控制D．自主访问控制59.数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范化（denormanization）操作来提高数据库性能，这样做将增加下列哪项风险?[单选题]*A．访问的不一致B．死锁C．对数据的非授权访问D．数据完整性的损害(正确答案)60.下列哪一项不是一种预防性物理控制?[单选题]*A．安全警卫B．警犬C．访问登记表(正确答案)D．围栏二、多选题[填空题]_________________________________41.对于Informationsecurity特征,下列说法正确的有（）。*A.Informationsecurity是一个系统的安全(正确答案)B.Informationsecurity是一个动态的安全(正确答案)C.Informationsecurity是一个无边界的安全(正确答案)D.Informationsecurity是一个非传统的安全(正确答案)42.Informationsecurity的对象包括有（）。*A.目标(正确答案)B.规则(正确答案)C.组织(正确答案)D.人员(正确答案)43.实施Informationsecurity,需要保证（）反映业务目标。*A.安全策略(正确答案)B.目标(正确答案)C.活动(正确答案)D.安全执行44.实施Informationsecurity,需要有一种与组织文化保持一致的（）Informationsecurity的途径。*A.实施(正确答案)B.维护(正确答案)C.监督(正确答案)D.改进(正确答案)45.实施Informationsecurity的关键成功因素包括（）。*A.向所有管理者和员工有效地推广安全意识(正确答案)B.向所有管理者、员工及其他伙伴方分发Informationsecurity策略、指南和标准(正确答案)C.为Informationsecurity管理活动提供资金支持(正确答案)D.提供适当的培训和教育(正确答案)46.Nationalsecurity组成要素包括（）。*A.Informationsecurity(正确答案)B.政治安全(正确答案)C.经济安全(正确答案)D.文化安全(正确答案)47.下列属于assets的有（）。*A.信息(正确答案)B.信息载体(正确答案)C.人员(正确答案)D.公司的形象与名誉(正确答案)48.Securitythreats的特征包括（）。*A.不确定性(正确答案)B.确定性C.客观性(正确答案)D.主观性49.Managerisk的方法,具体包括（）。*A.行政方法(正确答案)B.技术方法(正确答案)C.管理方法(正确答案)D.法律方法(正确答案)50.Managerisk的基本概念包括（）。*A.资产(正确答案)B.脆弱性(正确答案)C.Securitythreats(正确答案)D.控制措施(正确答案)51.PDCA循环的内容包括（）。*A.计划(正确答案)B.实施(正确答案)C.检查(正确答案)D.行动(正确答案)52.Informationsecurity实施细则中,安全方针的具体内容包括（）。*A.分派责任(正确答案)B.约定Informationsecurity管理的范围(正确答案)C.对特定的原则、标准和遵守要求进行说明(正确答案)D.对报告可疑安全事件的过程进行说明(正确答案)53.Informationsecurity实施细则中,Informationsecurity内部组织的具体工作包括（）。*A.Informationsecurity的管理承诺(正确答案)B.Informationsecurity协调(正确答案)C.Informationsecurity职责的分配(正确答案)D.信息处理设备的授权过程(正确答案)54.Informationsecurity事件分类包括（）。*A.一般事件(正确答案)B.较大事件(正确答案)C.重大事件(正确答案)D.特别重大事件(正确答案)55.Informationsecurity灾难恢复建设流程包括（）。*A.目标及需求(正确答案)B.策略及方案(正确答案)C.演练与测评(正确答案)D.维护、审核、更新(正确答案)56.重要Informationsecurity管理过程中的技术管理要素包括（）。*A.灾难恢复预案(正确答案)B.运行维护管理能力(正确答案)C.技术支持能力(正确答案)D.备用网络系统(正确答案)57.Sitesafety要考虑的因素有（）*A.场地选址(正确答案)B.场地防火(正确答案)C.场地防水防潮(正确答案)D.场地温度控制(正确答案)E.场地电源供应(正确答案)58.6