当前位置：91考试网 -> 考试题库

信息安全师考试：信息安全师考试考试题库（考试必看）
2021-02-16 06:19:57 来源:91考试网 作者:www.91exam.org 【大 中 小】
题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。

1、多项选择题  能够起到访问控制功能的设备有（）。

A、网闸
B、三层交换机
C、入侵检测系统
D、防火墙


点击查看答案


2、填空题  确定信息安全保护等级的步骤是（）、确定两个指标等级、确定业务子系统等级。


点击查看答案


3、单项选择题  （）默认情况下，所有用户对新创建的文件共享有什么权限？

A、读取
B、完全控制
C、写入
D、修改


点击查看答案


4、单项选择题  密码出口政策最严格的是以下哪个国家？（）

A.法国
B.美国
C.爱尔兰
D.新加坡


点击查看答案


5、单项选择题  在软件开发的需求定义阶段，在软件测试方面，以下哪一个选项被制定？（）

A.覆盖关键应用的测试数据
B.详细的安全测试计划
C.质量保证测试标准
D.用户验收测试标准


点击查看答案


6、单项选择题  以下哪种访问控制策略需要安全标签？（）

A.基于角色的策略
B.基于标识的策略
C.用户指向的策略
D.强制访问控制策略


点击查看答案


7、单项选择题  ()在访问控制中，文件系统权限被默认地赋予了什么组？

A、Users
B、Guests
C、Administrators
D、Replicator


点击查看答案


8、单项选择题  P2DR模型通过传统的静态安全技术和方法提高网络的防护能力，这些技术包括？（）

A.实时监控技术。
B.访问控制技术。
C.信息加密技术。
D.身份认证技术。


点击查看答案


9、单项选择题  黑客造成的主要危害是（）

A.破坏系统、窃取信息及伪造信息
B.攻击系统、获取信息及假冒信息
C.进入系统、损毁信息及谣传信息
D.进入系统，获取信息及伪造信息


点击查看答案


10、单项选择题  以下哪个不可以作为ISMS管理评审的输入（）

A.ISMS审计和评审的结果
B.来自利益伙伴的反馈
C.某个信息安全项目的技术方案
D.预防和纠正措施的状态


点击查看答案


11、单项选择题  基本的计算机安全需求不包括下列哪一条：（）

A.安全策略和标识
B.绝对的保证和持续的保护
C.身份鉴别和落实责任
D.合理的保证和连续的保护


点击查看答案


12、单项选择题  在WindowsNT/2K中，哪些成员可以修改新建文件或文件夹的默认共享设置？（）

A.域管理员
B.域用户
C.所有人
D.管理员


点击查看答案


13、填空题  涉密信息系统的建设使用单位应对系统设计方案进行审查论证，保密行政管理部门应参与方案审查论证，在（）方面加强指导。


点击查看答案


14、单项选择题  在准备灾难恢复计划时下列哪项应该首先实施？（）

A.做出恢复策略
B.执行业务影响分析
C.明确软件系统、硬件和网络组件结构
D.委任具有明确的雇员、角色和层级的恢复团队


点击查看答案


15、问答题  多边安全模型有哪两种？


点击查看答案


16、单项选择题  在部署风险管理程序的时候，哪项应该最先考虑到：（）

A.组织威胁，弱点和风险概括的理解
B.揭露风险的理解和妥协的潜在后果
C.基于潜在结果的风险管理优先级的决心
D.风险缓解战略足够在一个可以接受的水平上保持风险的结果


点击查看答案


17、单项选择题  在计算可接受的关键业务流程恢复时间时（）

A.只需考虑停机时间的成本
B.需要分析恢复操作的成本
C.停机时间成本和恢复操作成本都需要考虑
D.可以忽略间接的停机成本


点击查看答案


18、单项选择题  下面哪一项是恢复非关键系统的最合理方案？（）

A.温站
B.移动站
C.热站
D.冷站


点击查看答案


19、多项选择题  期刊发表的周期有（）。

A.日刊
B、周刊
C、半月刊
D、月刊
E、旬刊


点击查看答案


20、单项选择题  拒绝服务攻击损害了信息系统的哪一项性能？（）

A.完整性
B.可用性
C.保密性
D.可靠性


点击查看答案


21、单项选择题  组织回顾信息系统灾难恢复计划时应：（）

A.每半年演练一次
B.周期性回顾并更新
C.经首席执行官（CEO）认可
D.与组织的所有部门负责人沟通


点击查看答案


22、单项选择题  以下哪项行为可能使用嗅探泄露系统的管理员密码？（）

A.使用root用户访问FTP程序
B.使用root用户连接SSH服务
C.使用root进行SCP文件传输
D.在本地使用root用户登录


点击查看答案


23、单项选择题  下列对跨站脚本攻击（XSS）的解释最准确的一项是：（）

A.引诱用户点击虚假网络链接的一种攻击方法
B.构造精妙的关系数据库的结构化查询语言对数据库进行非法的访问
C.一种很强大的木马攻击手段
D.将恶意代码嵌入到用户浏览的web网页中，从而达到恶意的目的


点击查看答案


24、填空题  （）是未来网络安全产品发展方向。


点击查看答案


25、单项选择题  年度损失值（ALE）的计算方法是什么（）

A.ALE=ARO*AV
B.ALE=AV*SLE
C.“ALE=ARO*SLE"
D.ALE=AV*EF


点击查看答案


26、判断题  互联网不良信息泛滥的原因有多种，网络道德观念的缺乏属其中一种。


点击查看答案


27、单项选择题  要很好的评估信息安全风险，可以通过：（）

A.评估IT资产和IT项目的威胁
B.用公司的以前的真的损失经验来决定现在的弱点和威胁
C.审查可比较的组织公开的损失统计
D.审查在审计报告中的可识别的IT控制缺陷


点击查看答案


28、单项选择题  下列哪一项不是安全编程的原则：（）

A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法


点击查看答案


29、单项选择题  以下哪一个协议是用于电子邮件系统的？（）

A.X.25
B.X.75
C.X.400
D.X.500


点击查看答案


30、填空题  数据库管理员拥有（）的一切权限


点击查看答案


31、单项选择题  以下关于“最小特权”安全管理原则理解正确的是：（）

A.组织机构内的敏感岗位不能由一个人长期负责
B.对重要的工作进行分解，分配给不同人员完成
C.一个人有且仅有其执行岗位所足够的许可和权限
D.防止员工由一个岗位变动到另一个岗位，累积越来越多的权限


点击查看答案


32、单项选择题  数据库的（）是指如何组织、管理、保护和处理敏感信息的指导思想。它包括安全管理策略、访问控制策略和信息控制策略。

A、安全策略
B、管理策略
C、控制策略
D、访问策略


点击查看答案


33、单项选择题  以下哪一个是数据保护的最重要的目标？（）

A.确定需要访问信息的人员
B.确保信息的完整性
C.拒绝或授权对系统的访问
D.监控逻辑访问


点击查看答案


34、单项选择题  通常最好由谁来确定系统和数据的敏感性级别？（）

A.审计师
B.终端用户
C.拥有者
D.系统分析员


点击查看答案


35、单项选择题  在零传输（Zone transfers）中DNS服务使用哪个端口？（）

A.TCP 53
B.UDP 53
C.UDP 23
D.TCP 23


点击查看答案


36、单项选择题  在软件程序测试的哪个阶段一个组织应该进行体系结构设计测试？（）

A.可接受性测试
B.系统测试
C.集成测试
D.单元测试


点击查看答案


37、单项选择题  下面哪一个不是系统规划阶段风险管理的工作内容（）

A.明确安全总体方针
B.明确系统安全架构
C.风险评价准则达成一致
D.安全需求分析


点击查看答案


38、单项选择题  评估业务连续计划效果最好的方法是：（）

A.使用适当的标准进行规划和比较
B.之前的测试结果
C.紧急预案和员工培训
D.环境控制和存储站点


点击查看答案


39、单项选择题  信息安全政策声明：“每个人必须在进入每一个控制门时，都必须读取自己的证件”，防范的是哪一种攻击方式？（）

A.尾随Piggybacking
B.肩窥Shoulder surfing
C.Dumpster diving
D.冒充Impersonation


点击查看答案


40、单项选择题  下面关于定性风险评估方法的说法不正确的是（）

A.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识
B.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质
C."耗时短、成本低、可控性高"
D.能够提供量化的数据支持，易被管理层所理解和接受


点击查看答案


41、填空题  《计算机信息系统安全保护条例》规定，（）主管全国计算机信息安全保护工作。


点击查看答案


42、单项选择题  “如果一条链路发生故障，那么只有和该链路相连的终端才会受到影响”，这一说法是适合于以下哪一种拓扑结构的网络的？（）

A.星型
B.树型
C.环型
D.复合型


点击查看答案


43、单项选择题  以下哪一项是和电子邮件系统无关的？（）

A.PEM（Privacy enhanced mail）
B.PGP（Pretty good privacy）
C.X.500
D.X.400


点击查看答案


44、单项选择题  以下哪种情形下最适合使用数据镜像来作为恢复策略？（）

A.高的灾难容忍度
B.高的恢复时间目标（RTO）
C.低的恢复点目标（RPO）
D.高的恢复点目标（RPO）


点击查看答案


45、单项选择题  下面哪一项不是安全编程的原则（）

A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法


点击查看答案


46、单项选择题  监视恶意代码主体程序是否正常的技术是？（）

A.进程守护
B.备份文件
C.超级权限
D.HOOK技术


点击查看答案


47、单项选择题  下列几个OSI层中，哪一层能够提供访问控制服务？（）

A.传输层
B.表示层
C.会话层
D.数据链路层


点击查看答案


48、多项选择题  防火墙管理中（）具有设定规则的权限。

A.用户
B.审计员
C.超级管理员
D.普通管理员


点击查看答案


49、单项选择题  覆盖和消磁不用在对以下哪一种计算机存储器或存储媒介进行清空 91eXaM.org的过程？（）

A.随机访问存储器（RAM）
B.只读存储器（ROM）
C.磁性核心存储器
D.磁性硬盘


点击查看答案


50、单项选择题  以下哪个命令可以查看端口对应的PID（）

A.netstat-ano
B.ipconfig/all
C.tracert
D.netsh


点击查看答案


51、单项选择题  评估应急响应计划时，下列哪一项应当最被关注：（）

A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体应急响应计划被文档化，但详细恢复步骤没有规定
D.事件通告的职责没有被识别


点击查看答案


52、单项选择题  下面哪一个不是对点击劫持的描述（）

A.是一种恶意攻击技术，用于跟踪网络用户并获取私密信息
B.通过让用户来点击看似正常的网页来远程控制其电脑
C.可以用嵌入代码或文本的形式出现，在用户毫不知情的情况下完成攻击
D.可以对方网络瘫痪


点击查看答案


53、单项选择题  恶意代码的第一个雏形是？（）

A.磁芯大战
B.爬行者
C.清除者
D.BRAIN


点击查看答案


54、单项选择题  下面对ISO27001的说法最准确的是：（）

A.该标准的题目是信息安全管理体系实施指南
B.该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C.该标准提供了一组信息安全管理相关的控制措施和最佳实践
D.该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型


点击查看答案


55、单项选择题  以下哪种鉴别方法最好？（）

A.鉴别用户是什么
B.鉴别用户有什么
C.鉴别用户知道什么
D.鉴别用户有什么和知道什么


点击查看答案


56、多项选择题  IPSec通过（）实现密钥交换、管理及安全协商。

A.AH
B.ESP
C.ISAKMP/Oakley
D.SKIP


点击查看答案


57、单项选择题  给计算机系统的资产分配的记号被称为什么（）

A.安全属性
B.安全特征
C.安全标记
D.安全级别


点击查看答案


58、单项选择题  （）以下哪个策略不属于本地计算机策略？

A、审核策略
B、Kerberos身份验证策略
C、用户权利指派
D、安全选项


点击查看答案


59、单项选择题  2008年1月8日，布什以第54号国家安全总统令和第23号国土安全总统令的形式签署的文件是？（）

A.国家网络安全战略。
B.国家网络安全综合计划。
C.信息基础设施保护计划。
D.强化信息系统安全国家计划。


点击查看答案


60、单项选择题  减少与钓鱼相关的风险的最有效控制是：（）

A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训


点击查看答案


61、单项选择题  网络安全一般是指网络系统的硬件、软件及其（）受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。

A、系统中的文件
B、系统中的图片
C、系统中的数据
D、系统中的视频


点击查看答案


62、判断题  在SSL握手信息中，采用了RSA、MD5等加密技术来实现机密性和数据完整性。


点击查看答案


63、单项选择题  以下对于IATF信息安全保障技术框架的说法错误的是：（）

A、它由美国国家安全局公开发布
B、它的核心思想是信息安全深度防御（Defense-in-Depth）
C、它认为深度防御应当从策略、技术和运行维护三个层面来进行
D、它将信息系统保障的技术层面分为计算环境、区域边界、网络和基础设置和支撑性技术设施4个部分


点击查看答案


64、单项选择题  用于跟踪路由的命令是（）

A.nestat
B.regedit
C.systeminfo
D.tracert


点击查看答案


65、填空题  利用（）已经成为了计算机病毒传播的一个发展趋势。


点击查看答案


66、单项选择题  下列哪项不是信息系统安全工程能力成熟度模型（SSE-CMM）的主要过程：（）

A.风险过程
B.保证过程
C.工程过程
D.评估过程


点击查看答案


67、判断题  制定完备的法律体系是有效治理互联网不良信息的法律前提与制度保障。


点击查看答案


68、单项选择题  在国家标准中，属于强制性标准的是？（）

A.GB/TXXXX.X-200X
B.GBXXXX-200X
C.DBXX/TXXX-200X
D.QXXX-XXX-200X


点击查看答案


69、填空题  信息安全策略的基本原则是（）


点击查看答案


70、判断题  电子商务是成长潜力大，综合效益好的产业。


点击查看答案


71、单项选择题  风险评估和管理工具通常是指什么工具（）

A.漏洞扫描工具
B.入侵检测系统
C.安全审计工具
D.安全评估流程管理工具


点击查看答案


72、单项选择题  下列哪一项不是IDS可以解决的问题？（）

A.弥补网络协议的弱点
B.识别和报告对数据文件的改动
C.统计分析系统中异常活动模式
D.提升系统监控能力


点击查看答案


73、单项选择题  防火墙通过（）控制来阻塞邮件附件中的病毒。

A.数据控制
B.连接控制
C.ACL控制
D.协议控制


点击查看答案


74、填空题  物流是电子商务（）的基础。


点击查看答案


75、单项选择题  Windows组策略适用于（）

A.S
B.D
C.O
D.S、D、OU


点击查看答案


76、单项选择题  负责制定、执行和维护内部安全控制制度的责任在于：（）

A.IS审计员
B.管理层
C.外部审计师
D.程序开发人员


点击查看答案


77、单项选择题  FTP使用哪个TCP端口？（）

A.21
B.23
C.110
D.5


点击查看答案


78、单项选择题  在对业务持续性计划进行验证时，以下哪项最为重要（）

A.数据备份准时执行
B.备份站点已签订合约，并且在需要时可以使用
C.人员安全计划部署适当
D.保险


点击查看答案


79、单项选择题  （）的主要任务是指对数据库系统应用程序或用户使用资源的情况进行记录和审计，用以保证数据的安全。

A、数据库备份
B、数据库恢复
C、数据库审计
D、数据库转储


点击查看答案


80、判断题  VPN与防火墙的部署关系通常分为串联和并联两种模式。


点击查看答案


81、单项选择题  下列对于蠕虫病毒的描述错误的是：（）

A.蠕虫的传播无需用户操作
B.蠕虫会消耗内存或网络带宽，导致DOS
C.蠕虫的传播需要通过“宿主”程序或文件
D.蠕虫程序一般由“传播模块”、“隐藏模块”和“目的功能模块”构成


点击查看答案


82、单项选择题  信息安全管理组织说法以下说法不正确的是？（）

A.信息安全管理组织人员应来自不同的部门。
B.信息安全管理组织的所有人员应该为专职人员。
C.信息安全管理组织应考虑聘请外部专家。
D.信息安全管理组织应建立沟通、协调机制。


点击查看答案


83、填空题  计算机病毒可能在用户打开（）文件时被启动。


点击查看答案


84、单项选择题  在制定一个正式的企业安全计划时，最关键的成功因素将是？（）

A.成立一个审查委员会
B.建立一个安全部门
C.向执行层发起人提供有效支持
D.选择一个安全流程的所有者


点击查看答案


85、单项选择题  P2DR模型中的“反应”是在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态，这些措施包括？（）

A.关闭服务
B.向上级汇报
C.跟踪
D.消除影响


点击查看答案


86、单项选择题  以下哪一个是ITU的数字证书标准（）

A.SSL
B.SHTTP
C.x.509
D.SOCKS


点击查看答案


87、单项选择题  一组将输入转化为输出的相互关联或相互作用的什么叫做过程？（）

A.数据
B.信息流
C.活动
D.模块


点击查看答案


88、判断题  OSI安全体系结构标准不是一个实现的标准，而是描述如何设计标准的标准。


点击查看答案


89、单项选择题  关于数据库注入攻击的说法错误的是：（）

A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火墙对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限


点击查看答案


90、单项选择题  在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么做？（）

A.外部代理商的处理应该接受一个来自独立代理进行的IS审计。
B.外部代理商的员工必须接受该组织的安全程序的培训。
C.来自外部代理商的任何访问必须限制在停火区（DMZ）
D.该组织应该进行风险评估，并制定和实施适当的控制。


点击查看答案


91、单项选择题  机构应该把信息系统安全看作：（）

A.业务中心
B.风险中心
C.业务促进因素
D.业务抑制因素


点击查看答案


92、单项选择题  以下哪个模型主要用于医疗资料的保护？（）

A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型


点击查看答案


93、单项选择题  下面哪一项组成了CIA三元组？（）

A.保密性，完整性，保障
B.保密性，完整性，可用性
C.保密性，综合性，保障
D.保密性，综合性，可用性


点击查看答案


94、填空题  科研方法包括（）；（）；（）；（）；（）。


点击查看答案


95、单项选择题  以下哪个模型主要用于金融机构信息系统的保护？（）

A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型


点击查看答案


96、单项选择题  可信计算机安全评估准则（TCSEC）与什么有关：（）

A.桔皮书
B.ISO15408
C.RFC1700
D.BS7799


点击查看答案


97、单项选择题  由于独立的信息系统增加，一个国有房产公司要求在发生重大故障后，必须保证能够继续提供IT服务。需要实施哪个流程才能提供这种保证性？（）

A.可用性管理
B.IT服务连续性管理
C.服务级别管理
D.服务管理


点击查看答案


98、单项选择题  数据库管理员执行以下那个动作可能会产生风险？（）

A.根据变更流程执行数据库变更
B.安装操作系统的补丁和更新
C.排列表空间并考虑表合并的限制
D.执行备份和恢复流程


点击查看答案


99、单项选择题  一个组织将制定一项策略以定义了禁止用户访问的WEB站点类型。为强制执行这一策略，最有效的技术是什么？（）

A.状态检测防火墙
B.WE内容过滤器
C.WEB缓存服务器
D.应该代理服务器


点击查看答案


100、单项选择题  对一项应用的控制进行了检查，将会评估（）

A.该应用在满足业务流程上的效率
B.任何被发现风险影响
C.业务流程服务的应用
D.应用程序的优化


点击查看答案


101、单项选择题  “可信计算基（TCB）”不包括：（）

A.执行安全策略的所有硬件
B.执行安全策略的软件
C.执行安全策略的程序组件
D.执行安全策略的人


点击查看答案


102、单项选择题  内部审计部门，从组织结构上向财务总监而不是审计委员会报告，最有可能：（）

A.导致对其审计独立性的质疑
B.报告较多业务细节和相关发现
C.加强了审计建议的执行
D.在建议中采取更对有效行动


点击查看答案


103、判断题  对钱财的贪婪也是网络违法犯罪行为的原始动力。


点击查看答案


104、单项选择题  TCP/IP的通信过程是？（）

A.——SYN/ACK——>，<——ACK，——SYN/ACK——>
B.——SYN/ACK——>，<——SYN/ACK——，——ACK——>
C.——SYN——>，<——ACK，——SYN——>，<——ACK——
D.——SYN——>，<——SYN/ACK——，——ACK——>


点击查看答案


105、单项选择题  我国信息安全事件分级不考虑下列哪一个要素？（）

A.信息系统的重要程度
B.系统损失
C.社会影响
D.业务损失


点击查看答案


106、填空题  物流（）电子商务规划框架


点击查看答案


107、单项选择题  根据组织业务连续性计划（BCP）的复杂程度，可以建立多个计划来满足业务连续和和灾难恢复的各方面。在这种情况下，有必要：（）

A.每个计划和其它计划保持协调一致
B.所有的计划要整合到一个计划中
C.每个计划和其他计划相互依赖
D.指定所有计划实施的顺序


点击查看答案


108、单项选择题  对于信息安全风险的描述不正确的是？（）

A.企业信息安全风险管理就是要做到零风险
B.在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性
C.风险管理（RiskManagement）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
D.风险评估（RiskAssessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。


点击查看答案


109、单项选择题  以下哪一项不是跨站脚本攻击？（）

A.给网站挂马
B.盗取COOKIE
C.伪造页面信息
D.暴力破解密码


点击查看答案


110、单项选择题  CC中安全功能/保证要求的三层结构是（按照由大到小的顺序）：（）

A.类、子类、组件
B.组件、子类、元素
C.类、子类、元素
D.子类、组件、元素


点击查看答案


111、单项选择题  （）如果有大量计算机需要频繁的分析，则可利用哪个命令工具进行批处理分析？

A、dumpel
B、showpriv
C、Secedit.exe
D、gpolmig.exe


点击查看答案


112、单项选择题  企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的（）

A.只关注外来的威胁，忽视企业内部人员的问题
B.相信来自陌生人的邮件，好奇打开邮件附件
C.开着电脑离开，就像离开家却忘记关灯那样
D.及时更新系统和安装系统和应用的补丁


点击查看答案


113、单项选择题  下面哪一项不是ISMS Check阶段的工作？（）

A.安全事件响应
B.安全内部审核
C.管理评审
D.更新安全计划


点击查看答案


114、单项选择题  255.0.0.0是哪类网址的默认MASK？（）

A.A类
B.B类
C.C类
D.D类


点击查看答案


115、多项选择题  交换机可根据（）来限制应用数据流的最大流量。

A.IP地址
B.网络连接数
C.协议
D.端口


点击查看答案


116、判断题  互惠原则的核心内容是要求消除网络社会由于各种原因造成的网络主体间的交往不畅通、交往障碍。


点击查看答案


117、单项选择题  在进行风险分析的时候，发现预测可能造成的风险的经济损失时有一定困难。为了评估潜在的损失，应该：（）

A.计算相关信息资产的摊销费用
B.计算投资的回报
C.应用定性的方法进行评估
D.花费必要的时间去评估具体的损失的金额


点击查看答案


118、单项选择题  以下哪一项是已经被确认了的具有一定合理性的风险？（）

A.总风险
B.最小化风险
C.可接受风险
D.残余风险


点击查看答案


119、单项选择题  （）安装Windows2000时，推荐使用哪种文件格式？

A、NTFS
B、FAT
C、FAT32
D、Linux


点击查看答案


120、单项选择题  （）WindowsNT/XP的安全性达到了橘皮书的第几级？

A.C1级
B.B、C2级
C.C、B1级
D.D、B2级


点击查看答案


121、单项选择题  应用软件测试的正确顺序是：（）

A.集成测试、单元测试、系统测试、验收测试
B.单元测试、系统测试、集成测试、验收测试
C.验收测试、单元测试、集成测试、系统测试
D.单元测试、集成测试、系统测试、验收测试


点击查看答案


122、判断题  网页防篡改属于内容过滤技术的应用领域。


点击查看答案


123、单项选择题  以下哪组全部是完整性模型？（）

A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BIBA模型
D.Clark－Wilson模型和Chinese wall模型


点击查看答案


124、单项选择题  在互联网环境中，网络舆论的形成变得较为复杂，但大致遵循（）模式。

A、新闻信息——舆论形成
B、民间舆论——新闻报道
C、产生话题——话题持续存活——形成网络舆论——网络舆论发展——网络舆论平息
D、产生话题——形成网络舆论——网络舆论平息


点击查看答案


125、单项选择题  对业务应用系统授权访问的责任属于：（）

A.数据所有者
B.安全管理员
C.IT安全经理
D.申请人的直线主管


点击查看答案


126、单项选择题  （）通过注册表或者安全策略，限制匿名连接的目的是什么？

A、匿名连接会造成系统额外负担，影响性能
B、匿名连接影响网络效率
C、匿名连接能够探测SAM的帐号和组
D、匿名连接直接导致系统被他人远程控制


点击查看答案


127、填空题  灾难恢复和容灾是（）意思。


点击查看答案


128、单项选择题  下面对自由访问控制（DAC）描述正确的是（）

A.比较强制访问控制而言不太灵活
B.基于安全标签
C.关注信息流
D.在商业环境中广泛使用


点击查看答案


129、单项选择题  实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？（）

A.约定的标准及相关法律的要求
B.已识别的安全需求
C.控制措施有效实施和维护
D.ISO13335风险评估方法


点击查看答案


130、单项选择题  输入参数过滤可以预防以下哪些攻击（）

A.SQL注入、跨站脚本、缓冲区溢出
B.SQL注入、跨站脚本、DNS毒药
C.SQL注入、跨站请求伪造、网络窃听
D.跨站请求伪造、跨站脚本、DNS毒药


点击查看答案


131、单项选择题  风险控制是依据风险评估的结果，选择和实施合适的安全措施。下面哪个不是风险控制的方式？（）

A.规避风险
B.转移风险
C.接受风险
D.降低风险


点击查看答案


132、单项选择题  在业务持续性计划中，下面哪一项具有最高的优先级？（）

A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点


点击查看答案


133、单项选择题  下面哪一项不是主机型入侵检测系统的优点？（）

A.性能价格比高
B.视野集中
C.敏感细腻
D.占资源少


点击查看答案


134、单项选择题  信息安全管理体系要求的核心内容是？（）

A.风险评估
B.关键路径法
C.PDCA循环
D.PERT


点击查看答案


135、单项选择题  下列关于Kerberos的描述，哪一项是正确的？（）

A.埃及神话中的有三个头的狗。
B.安全模型。
C.远程身份验证拨入用户服务器。
D.一个值得信赖的第三方认证协议。


点击查看答案


136、单项选择题  从业务角度出发，最大的风险可能发生在那个阶段（）

A.立项可行性分析阶段
B.系统需求分析阶段
C.架构设计和编码阶段
D.投产上线阶段


点击查看答案


137、填空题  在企业推进信息化的过程中应（）风险。


点击查看答案


138、单项选择题  根据PPDR模型：（）

A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间


点击查看答案


139、单项选择题  对缓冲区溢出攻击预防没有帮助的做法包括（）

A.输入参数过滤，安全编译选项
B.操作系统安全机制、禁止使用禁用API
C.安全编码教育
D.渗透测试


点击查看答案


140、单项选择题  当审核一个组织的业务连续性计划时，某IS审计师观察到这个被审计组织的数据和软件文件被周期性的进行了备份。有效性计划哪一个特性在这里被证明？（）

A.防止
B.减轻
C.恢复
D.响应


点击查看答案


141、单项选择题  在实施风险分析期间，识别出威胁和潜在影响后应该（）

A.识别和评定管理层使用的风险评估方法
B.识别信息资产和基本系统
C.揭示对管理的威胁和影响
D.识别和评价现有控制


点击查看答案


142、单项选择题  （）是指事务在运行至正常终止前被中止，这时恢复子系统应利用日志文件撤销此事物已对数据库进行的修改。

A、系统故障
B、事故故障
C、介质故障
D、软件故障


点击查看答案


143、单项选择题  恢复阶段的行动一般包括（）

A.建立临时业务处理能力
B.修复原系统损害
C.在原系统或新设施中恢复运行业务能力
D.避免造成更大损失


点击查看答案


144、单项选择题  当客户需要访问组织信息资产时，下面正确的做法是？（）

A.应向其传达信息安全要求及应注意的信息安全问题。
B.尽量配合客户访问信息资产。
C.不允许客户访问组织信息资产。
D.不加干涉，由客户自己访问信息资产。


点击查看答案


145、单项选择题  以下不属于Linux安全加固的内容是什么？（）

A.配置iptables
B.配置Tcpwapper
C.启用Selinux
D.修改root的UID


点击查看答案


146、单项选择题  在设计某公司技术性的恢复策略时，以下哪个方面是安全人员最为关注的？（）

A.目标恢复时间RTO
B.业务影响分析
C.从严重灾难中恢复的能力
D.目标恢复点RPO


点击查看答案


147、判断题  国际标准化组织将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。”


点击查看答案


148、单项选择题  以下标准内容为“信息安全管理体系要求”的是哪个？（）

A.ISO27000
B.ISO27001
C.ISO27002
D.ISO27003


点击查看答案


149、单项选择题  对于Linux审计说法错误的是？（）

A.Linux系统支持细粒度的审计操作
B.Linux系统可以使用自带的软件发送审计日志到SOC平台
C.Linux系统一般使用auditd进程产生日志文件
D.Linux在secure日志中登陆成功日志和审计日志是一个文件


点击查看答案


150、单项选择题  下面哪一个不是系统设计阶段风险管理的工作内容（）

A.安全技术选择
B.软件设计风险控制
C.安全产品选择
D.安全需求分析


点击查看答案


151、填空题  对信息的（）；（）；（）的特性称为完整性保护。


点击查看答案


152、单项选择题  在确定威胁的可能性时，可以不考虑以下哪个？（）

A.威胁源
B.潜在弱点
C.现有控制措施
D.攻击所产生的负面影响


点击查看答案


153、单项选择题  下列对SSE-CMM说法错误的是？（）

A.它通过域维和能力维共同形成对安全工程能力的评价
B.域维定义了实施安全工程的所有实施活动
C.能力维定义了工程能力的判断标准
D.“公共特征”是域维中对获得过程区目标的必要步骤的定义


点击查看答案


154、判断题  任何话题只有积累了足够数量或者分量的帖子，才能体现这种持续关注度。


点击查看答案


155、单项选择题  业务影响分析的主要目的是：（）

A.在灾难之后提供一个恢复行动的计划
B.识别能够影响组织运营持续性的事件
C.公布组织对物理和逻辑安全的义务
D.提供一个有效灾难恢复计划的框架


点击查看答案


156、单项选择题  应急响应哪一个阶段用来降低事件再次发生的风险（）

A.遏制
B.根除
C.跟踪
D.恢复


点击查看答案


157、单项选择题  外部组织使用组织敏感信息资产时，以下正确的做法是？（）

A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。


点击查看答案


158、单项选择题  （）出台了世界第一部规范互联网传播的法律《多媒体法》.

A、美国
B、德国
C、英国
D、新加坡


点击查看答案


159、判断题  安装入侵检测软件不会帮助减少收到的垃圾邮件数量。


点击查看答案


160、单项选择题  “配置管理”是系统工程中的重要概念，它在软件工程和信息安全工程中得到了广泛的应用，下列对于“配置管理”的解释最准确的是？（）

A.配置管理的本质是变更流程管理
B.配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发/维护设备）的所有变化进行控制的过程
C.管理配置是对信息系统的技术参数进行管理
D.管理配置是对系统基线和源代码的版本进行管理


点击查看答案


161、单项选择题  射频识别（RFID）标签容易受到以下哪种风险？（）

A.进程劫持
B.窃听
C.恶意代码
D.Phishing


点击查看答案


162、单项选择题  为了达到组织灾难恢复的要求，备份时间间隔不能超过：（）

A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可接受程度（MAO）


点击查看答案


163、单项选择题  下面对于强制访问控制的说法错误的是？（）

A.它可以用来实现完整性保护，也可以用来实现机密性保护
B.在强制访问控制的系统中，用户只能定义客体的安全属性
C.它在军方和政府等安全要求很高的地方应用较多
D.它的缺点是使用中的便利性比较低


点击查看答案


164、判断题  为特权用户设置口令时，应当使用enablepassword命令，该命令用于设定具有管理权限的口令。


点击查看答案


165、单项选择题  在人力资源审计期间，安全管理体系内审员被告知在IT部门和人力资源部门中有一个关于期望的IT服务水平的口头协议。安全管理体系内审员首先应该做什么？（）

A.为两部门起草一份服务水平协议
B.向高级管理层报告存在未被书面签订的协议
C.向两部门确认协议的内容
D.推迟审计直到协议成为书面文档


点击查看答案


166、单项选择题  在制定控制前，管理层首先应该保证控制（）

A.满足控制一个风险问题的要求
B.不减少生产力
C.基于成本效益的分析
D.检测行或改正性的


点击查看答案


167、单项选择题  下面那个不是信息安全风险的要素？（）

A.资产及其价值
B.数据安全
C.威胁
D.控制措施


点击查看答案


168、单项选择题  设计信息安全策略时，最重要的一点是所有的信息安全策略应该：（）

A.非现场存储
B.由IS经理签署
C.发布并传播给用户
D.经常更新


点击查看答案


169、判断题  对知识产权著作权的法律知识给予更多的宣传和普及是学术腐败治理中个人层面有效方法。


点击查看答案


170、问答题  网络安全的网络设备防护的内容是什么？


点击查看答案


171、单项选择题  下面哪一项不是黑客攻击在信息收集阶段使用的工具或命令。（）

A.NMAP
B.NLSOOKUP
C.ICESWord
D.Xscan


点击查看答案


172、判断题  入侵检测技术能够识别来自外部用户的入侵行为和内部用户的未经授权活动。


点击查看答案


173、单项选择题  管理评审的最主要目的是（）

A.确认信息安全工作是否得到执行
B.检查信息安全管理体系的有效性
C.找到信息安全的漏洞
D.考核信息安全部门的工作是否满足要求


点击查看答案


174、单项选择题  下面哪一个不是脆弱性识别的手段（）

A.人员访谈
B.技术工具检测
C.信息资产核查
D.安全专家人工分析


点击查看答案


175、单项选择题  （）下列哪个标准本身由两个部分组成，一部分是一组信息技术产品的安全功能需要定义，另一部分是对安全保证需求的定义？

A、可信任计算机系统评估标准（TCSEC）
B、信息技术安全评价准则（ITSEC）
C、信息技术安全评价联邦准则（FC）
D、CC标准


点击查看答案


176、单项选择题  下列岗位哪个在招聘前最需要进行背景调查？（）

A.采购人员
B.销售人员
C.财务总监
D.行政人员


点击查看答案


177、单项选择题  在加固数据库时，以下哪个是数据库加固最需要考虑的？（）

A.修改默认配置
B.规范数据库所有的表空间
C.存储数据被加密
D.修改数据库服务的服务端口


点击查看答案


178、单项选择题  对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？（）

A.改进措施包括纠正和预防措施
B.改进措施可由受审单位提出并实施
C.不可以对体系文件进行更新或修改
D.对改进措施的评价应该包括措施的有效性的分析


点击查看答案


179、单项选择题  以下哪项是ISMS文件的作用？（）

A.是指导组织有关信息安全工作方面的内部“法规”--使工作有章可循。
B.是控制措施（controls）的重要部分
C.提供客观证据--为满足相关方要求，以及持续改进提供依据
D.以上所有


点击查看答案


180、单项选择题  下列哪一项准确地描述了可信计算基（TCB）？（）

A.TCB只作用于固件（FirmwarE.
B.TCB描述了一个系统提供的安全级别
C.TCB描述了一个系统内部的保护机制
D.TCB通过安全标签来表示数据的敏感性


点击查看答案


181、单项选择题  以下哪种做法是正确的“职责分离”做法？（）

A.程序员不允许访问产品数据文件
B.程序员可以使用系统控制台
C.控制台操作员可以操作磁带和硬盘
D.磁带操作员可以使用系统控制台


点击查看答案


182、单项选择题  我国规定商用密码产品的研发、制造、销售和使用采取专控管理，必须经过审批，所依据的是：（）

A、商用密码管理条例
B、中华人民共和国计算机信息系统安全保护条例
C、计算机信息系统国际联网保密管理规定
D、中华人民共和国保密法


点击查看答案


183、填空题  信息安全风险评估的自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的（）提供技术支持。


点击查看答案


184、单项选择题  当涉及到信息算计系统犯罪取证时，应与哪个部门取得联系？（）

A.监管机构
B.重要客户
C.供应商
D.政府部门


点击查看答案


185、单项选择题  如何对信息安全风险评估的过程进行质量监控和管理？（）

A.对风险评估发现的漏洞进行确认
B.针对风险评估的过程文档和结果报告进行监控和审查
C.对风险评估的信息系统进行安全调查
D.对风险控制测措施有有效性进行测试


点击查看答案


186、单项选择题  TACACS使用哪个端口？（）

A.TCP 69
B.TCP 49
C.UDP 69
D.UDP 49


点击查看答案


187、判断题  统计推论目的是对整理出的数据进行加工概括，从多种角度显现大量资料所包含的数量特征和数量关系。


点击查看答案


188、单项选择题  回顾组织的风险评估流程时应首先（）

A.鉴别对于信息资产威胁的合理性
B.分析技术和组织弱点
C.鉴别并对信息资产进行分级
D.对潜在的安全漏洞效果进行评价


点击查看答案


189、单项选择题  以下哪一个选项是从软件自身功能出发，进行威胁分析（）

A.攻击面分析
B.威胁建模
C.架构设计
D.详细设计


点击查看答案


190、单项选择题  以下哪些是信息资产无需明确的（）

A.所有者
B.管理者
C.厂商
D.使用者


点击查看答案


191、单项选择题  风险评估按照评估者的不同可以分为自评估和第三方评估，这两种评估方式最本质的差别是什么？（）

A.评估结果的客观性
B.评估工具的专业程度
C.评估人员的技术能力
D.评估报告的形式


点击查看答案


192、单项选择题  要求用户必须登陆，并且用户有能力创建群组标识的最低安全级别是哪一级？（）

A.D
B.C1
C.C2
D.B1


点击查看答案


193、单项选择题  数据库访问控制策略中，（）是 只让用户得到有相应权限的信息，这些信息恰到可以让用户完成自己的工作，其他的权利一律不给。

A、最大程度共享策略
B、颗粒大小策略
C、存取类型控制策略
D、只需策略


点击查看答案


194、单项选择题  信息资产敏感性指的是：（）

A.机密性
B.完整性
C.可用性
D.安全性


点击查看答案


195、单项选择题  在进行业务连续性检测时，下列哪一个是被认为最重要的审查？（）

A.热站的建立和有效是必要
B.业务连续性手册是有效的和最新的
C.保险责任范围是适当的并且保费有效
D.及时进行介质备份和异地存储


点击查看答案


196、单项选择题  实施信息系统访问控制首先需要进行如下哪一项工作？（）

A.信息系统资产分类
B.信息系统资产标识
C.创建访问控制列表
D.梳理信息系统相关信息资产


点击查看答案


197、填空题  完全电子商务（）按照电子商务商业活动的运作方式分类。


点击查看答案


198、单项选择题  （）除了哪种特性之外，其他安全特性在Windows2000种都可以通过系统本身的工具来进行设置和控制？

A、物理安全性
B、用户安全性
C、文件安全性
D、入侵安全性


点击查看答案


199、单项选择题  关于标准、指南、程序的描述，哪一项是最准确的？（）

A.标准是建议性的策略，指南是强制执行的策略
B.程序为符合强制性指南的一般性建议
C.程序是为符合强制性指南的一般性建议
D.程序是为符合强制性标准的的说明


点击查看答案


200、单项选择题  在正常情况下，应急响应计划培训应该至少多久一次（）

A.1年
B.2年
C.半年
D.5年


点击查看答案


201、单项选择题  为了预防逻辑炸弹，项目经理采取的最有效的措施应该是（）

A.对每日提交的新代码进行人工审计
B.代码安全扫描
C.安全意识教育
D.安全编码培训教育


点击查看答案


202、单项选择题  下列对“信息安全风险”的描述正确的是：（）

A.是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险
B.是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险
C.是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险
D.是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险


点击查看答案


203、单项选择题  CA的核心职责是（）

A.签发和管理证书
B.审核用户真实信息
C.发布黑名单
D.建立实体链路安全


点击查看答案


204、多项选择题  法国对互联网的管理调控经历了（）时期.

A、政府调控
B、调控
C、自由调控
D、共同调控


点击查看答案


205、单项选择题  如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为（）

A.常规加密系统
B.单密钥加密系统
C.公钥加密系统
D.对称加密系统


点击查看答案


206、单项选择题  下面哪种方法产生的密码是最难记忆的？（）

A.将用户的生日倒转或是重排
B.将用户的年薪倒转或是重排
C.将用户配偶的名字倒转或是重排
D.用户随机给出的字母


点击查看答案


207、单项选择题  当发生灾难时，以下哪一项能保证业务交易的有效性（）

A.从当前区域外的地方持续每小时1次地传送交易磁带
B.从当前区域外的地方持续每天1次地传送交易磁带
C.抓取交易以整合存储设备
D.从当前区域外的地方实时传送交易磁带


点击查看答案


208、单项选择题  以下有关通信与日常操作描述不正确的是（）

A.信息系统的变更应该是受控的
B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D.内部安全审计无需遵循独立性、客观性的原则


点击查看答案


209、单项选择题  下面对于SSH的说法错误的是？（）

A.SSH是SecureShell的简称
B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证
C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D.SSH2比SSH1更安全


点击查看答案


210、单项选择题  定义ISMS范围时，下列哪项不是考虑的重点（）

A.组织现有的部门
B.信息资产的数量与分布
C.信息技术的应用区域
D.I来源:91exam .orgT人员数量


点击查看答案


211、单项选择题  关于SSE-CMM的描述错误的是：（）

A.1993年4月美国国家安全局资助，有安全工业界、美国国防部办公室和加拿大通信安全机构共同组成SSE-CMM项目组。
B.SSE-CMM的能力级别分为6个级别。
C.SSE-CMM将安全工程过程划分为三类：风险、工程和保证。
D.SSE的最高能力级别是量化控制。


点击查看答案


212、单项选择题  以下哪些不是设备资产：（）

A.机房设施
B.周边设施
C.管理终端
D.操作系统


点击查看答案


213、单项选择题  下面哪一种物理访问控制能够对非授权访问提供最高级别的安全？（）

A.bolting门锁
B.Cipher密码锁
C.电子门锁
D.指纹扫描器


点击查看答案


214、单项选择题  在信息系统安全中，风险由以下哪两种因素共同构成的？（）

A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏


点击查看答案


215、单项选择题  以下哪些不是网络类资产：（）

A.网络设备
B.基础服务平台
C.网络安全设备
D.主干线路


点击查看答案


216、单项选择题  以下关于ISMS内部审核报告的描述不正确的是？（）

A.内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果
B.内审报告中必须包含对不符合性项的改进建议
C.内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商，核实报告内容。
D.内审报告中必须包括对纠正预防措施实施情况的跟踪


点击查看答案


217、单项选择题  2011年，（）成为全球年度获得专利最多的公司。

A、百度
B、微软
C、苹果
D、谷歌


点击查看答案


218、单项选择题  以下对企业信息安全活动的组织描述不正确的是（）

A.企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施


点击查看答案


219、单项选择题  “进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。其中，“看不懂”是指下面那种安全服务：（）

A.数据加密
B.身份认证
C.数据完整性
D.访问控制


点击查看答案


220、单项选择题  为什么实现单点登录的批处理文件及脚本文件需要被保护存储？（）

A.因为最小授权原则
B.因为它们不可以被操作员访问到
C.因为它们可能包含用户身份信息
D.因为知所必须原则


点击查看答案


221、多项选择题  下列符合我国网络舆论特点的是（）。

A、参与主体的广泛化与复杂化
B、互动参与性
C、时效性
D、监督性


点击查看答案


222、单项选择题  信息的存在及传播方式（）

A.存在于计算机、磁带、纸张等介质中
B.记忆在人的大脑里
C.通过网络打印机复印机等方式进行传播
D.通过投影仪显示


点击查看答案


223、单项选择题  指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：（）

A.你是什么
B.你有什么
C.你知道什么
D.你做了什么


点击查看答案


224、单项选择题  一个个人经济上存在问题的公司职员有权独立访问高敏感度的信息，他可能窃取这些信息卖给公司的竞争对手，如何控制这个风险（）

A.开除这名职员
B.限制这名职员访问敏感信息
C.删除敏感信息
D.将此职员送公安部门


点击查看答案


225、单项选择题  下列哪一项是DOS攻击的一个实例？（）

A.SQL注入
B.IPSpoof
C.Smurf攻击
D.字典破解


点击查看答案


226、单项选择题  以下哪组全部都是多边安全模型？（）

A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BMA模型
D.Clark－Wilson模型和Chinese wall模型


点击查看答案


227、单项选择题  （）在HKLM包含的子树中，哪个不能直接访问？配置的数据。

A、Security
B、Hardware
C、Software
D、System


点击查看答案


228、单项选择题  下面安全策略的特性中，不包括哪一项？（）

A.指导性
B.静态性
C.可审核性
D.非技术性


点击查看答案


229、单项选择题  在一个业务继续计划的模拟演练中，发现报警系统严重受到设施破坏。下列选项中，哪个是可以提供的最佳建议：（）

A.培训救护组如何使用报警系统
B.报警系统为备份提供恢复
C.建立冗余的报警系统
D.把报警系统存放地窖里


点击查看答案


230、单项选择题  灾难恢复SHARE78的第三层是指（）

A.卡车运送
B.电子链接
C.活动状态的备份中心
D.0数据丢失


点击查看答案


231、判断题  科研成果是衡量科学研究任务完成与否、质量优劣以及科研人员贡献大小的重要标志。


点击查看答案


232、单项选择题  组织允许外部通过互联网访问组织的局域网之前，首先要考虑实施以下哪项措施？（）

A.保护调制解调器池。
B.考虑适当的身份验证方式。
C.为用户提供账户使用信息。
D.实施工作站锁定机制。


点击查看答案


233、单项选择题  在信息处理设施（IPF）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动？（）

A.验证与热门站点的兼容性
B.检查实施报告
C.进行灾难恢复计划的演练
D.更新信息资产清单


点击查看答案


234、单项选择题  信息资产面临的主要威胁来源主要包括（）

A.自然灾害
B.系统故障
C.内部人员操作失误
D.以上都包括


点击查看答案


235、单项选择题  以下哪项机制与数据处理完整性相关（）

A.数据库事务完整性机制
B.数据库自动备份复制机制
C.双机并行处理，并相互验证
D.加密算法


点击查看答案


236、单项选择题  下列对系统日志信息的操作中哪一项是最不应当发生的：（）

A.对日志内容进行编辑
B.只抽取部分条目进行保存和查看
C.用新的日志覆盖旧的日志
D.使用专用工具对日志进行分析


点击查看答案


237、单项选择题  以下哪一个不是OSI安全体系结构中的安全机制（）

A.数字签名
B.路由控制
C.数据交换
D.抗抵赖


点击查看答案


238、填空题  （）是密码学发展史上唯一一次真正的革命。


点击查看答案


239、问答题  密码的研究、生产、销售时哪个部门负责的？


点击查看答案


240、单项选择题  有关人员安全的描述不正确的是（）

A.人员的安全管理是企业信息安全管理活动中最难的环节
B.重要或敏感岗位的人员入职之前，需要做好人员的背景检查
C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作
D.人员离职之后，必须清除离职员工所有的逻辑访问帐号


点击查看答案


241、单项选择题  安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？（）

A.Biba模型中的不允许向上写
B.Biba模型中的不允许向下读
C.Bell-LaPadula模型中的不允许向下写
D.Bell-LaPadula模型中的不允许向上读


点击查看答案


242、单项选择题  当更新一个正在运行的在线订购系统时，更新都记录在一个交易磁带和交易日志副本。在一天业务结束后，订单文件备份在磁带上。在备份过程中，驱动器故障和订单文件丢失。以下哪项对于恢复文件是必须的？（）

A.前一天的备份文件和当前的交易磁带
B.前一天的交易文件和当前的交易磁带
C.当前的交易磁带和当前的交易日志副本
D.当前的交易日志副本和前一天的交易交易文件


点击查看答案


243、单项选择题  银行柜员的访问控制策略实施以下的哪一种？（）

A.基于角色的策略。
B.基于身份的策略。
C.基于用户的策略。
D.基于规则政策。


点击查看答案


244、单项选择题  以下哪一项是防范SQL注入攻击最有效的手段？（）

A.删除存在注入点的网页
B.对数据库系统的管理权限进行严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进行严格的过滤


点击查看答案


245、填空题  政府系统信息安全检查指根据国家的相关要求，（）主管部门牵头，公安、保密、安全等部门参加，对政府信息系统开展的联合检查。


点击查看答案


246、单项选择题  TCP握手中，缩写RST指的是什么？（）

A.Reset
B.Response
C.Reply State
D.Rest


点击查看答案


247、单项选择题  下面哪一项最准确的阐述了安全检测措施和安全审计之间的区别？（）

A.审计措施不能自动执行，而检测措施可以自动执行
B.检测措施不能自动执行，而审计措施可以自动执行
C.审计措施是一次性的或周期性的进行，而检测措施是实时的进行
D.检测措施是一次性的或周期性的进行，而审计措施是实时的进行


点击查看答案


248、单项选择题  对磁介质的最有效好销毁方法是？（）

A.格式化
B.物理破坏
C.消磁
D.删除


点击查看答案


249、单项选择题  如果恶意开发人员想在代码中隐藏逻辑炸弹，什么预防方式最有效？（）

A.源代码周期性安全扫描
B.源代码人工审计
C.渗透测试
D.对系统的运行情况进行不间断监测记录


点击查看答案


250、填空题  （）是一项用来表述课题研究进展及结果的报告形式。


点击查看答案


251、单项选择题  以下哪个是数据库管理员（DBA）可以行使的职责？（）

A.计算机的操作
B.应用程序开发
C.系统容量规划
D.应用程序维护


点击查看答案


252、单项选择题  以下哪一种人给公司带来最大的安全风险？（）

A.临时工
B.咨询人员
C.以前员工
D.当前员工


点击查看答案


253、判断题  访问控制的主要作用是防止非法的主体进入受保护的网络资源，允许合法用户访问受保护的网络资源，允许合法的用户对受保护的网络资源进行非授权的访问。


点击查看答案


254、单项选择题  在什么情况下，热站会作为一个恢复策略被执行？（）

A.低灾难容忍度
B.高恢复点目标（RPO）
C.高恢复时间目标（RTO）
D.高灾难容忍度


点击查看答案


255、单项选择题  P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？（）

A.检测。
B.报警。
C.记录。
D.实时监控。


点击查看答案


256、单项选择题  系统工程是信息安全工程的基础学科，钱学森说：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，使一种对所有系统都具有普遍意义的科学方法”，下列哪项对系统工程的理解是正确的：（）

A.系统工程是一种方法论
B.系统工程是一种技术实现
C.系统工程是一种基本理论
D.系统工程不以人参与系统为研究对象


点击查看答案


257、单项选择题  安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的（）

A.辅助辨识和分析未经授权的活动或攻击
B.对与己建立的安全策略的一致性进行核查
C.及时阻断违反安全策略的访问
D.帮助发现需要改进的安全控制措施


点击查看答案


258、单项选择题  以下发现属于Linux系统严重威胁的是什么？（）

A.发现不明的SUID可执行文件
B.发现应用的配置文件被管理员变更
C.发现有恶意程序在实时的攻击系统
D.发现防护程序收集了很多黑客攻击的源地址


点击查看答案


259、判断题  口令复杂度应有要求，所以复杂的口令可以不用修改。


点击查看答案


260、单项选择题  一个单位在处理一台储存过高密级信息的计算机是首先应该做什么？（）

A.将硬盘的每一个比特写成“O”
B.将硬盘彻底毁坏
C.选择秘密信息进行删除
D.进行低级格式化


点击查看答案


261、单项选择题  对于信息安全策略的描述错误的是？（）

A.信息安全策略是以风险管理为基础，需要做到面面俱到，杜绝风险的存在。
B.信息安全策略是在有限资源的前提下选择最优的风险管理对策。
C.防范不足会造成直接的损失；防范过多又会造成间接的损失。
D.信息安全保障需要从经济、技术、管理的可行性和有效性上做出权衡和取舍。


点击查看答案


262、单项选择题  哪一项不是管理层承诺完成的？（）

A.确定组织的总体安全目标
B.购买性能良好的信息安全产品
C.推动安全意识教育
D.评审安全策略的有效性


点击查看答案


263、单项选择题  一个组织的灾难恢复（DR，disasterrecovery）策略的变更时将公司的关键任务应用的恢复点目标（RPO）被缩短了，下述哪个是该变更的最显著风险？（）

A.现有的DR计划没有更新以符合新的RPO
B.DR小组没有基于新的RPO进行培训
C.备份没有以足够的频率进行以实现新的RPO
D.该计划没有基于新的RPO进行测试


点击查看答案


264、单项选择题  DDOS攻击的主要目换是：（）

A.破坏完整性和机密性
B.破坏可用性
C.破坏机密性和可用性
D.破坏机密性


点击查看答案


265、单项选择题  有效减少偶然或故意的未授权访问、误用和滥用的有效方法是如下哪项？（）

A.访问控制
B.职责分离
C.加密
D.认证


点击查看答案


266、单项选择题  在一份热站、温站或冷站协议中，协议条款应包含以下哪一项需考虑的事项（）

A.具体的保证设施
B.订户的总数
C.同时允许使用设施的订户数量
D.涉及的其他用户


点击查看答案


267、单项选择题  在下面的加密方法中，哪个加解密的效率最低：（）

A、记录加密
B、属性加密
C、元素加密
D、表加密


点击查看答案


268、单项选择题  电子商务交易必须具备抗抵赖性，目的在于防止（）。

A.一个实体假装成另一个实体
B.参与此交易的一方否认曾经发生过此次交易
C.他人对数据进行非授权的修改、破坏
D.信息从被监视的通信过程中泄漏出去


点击查看答案


269、单项选择题  下面哪一层可以实现编码，加密（）

A.传输层
B.会话层
C.网络层
D.物理层


点击查看答案


270、单项选择题  默认情况下，Window2000域之间的信任关系有什么特点？（）

A.只能单向，可以传递
B.只能单向，不可传递
C.可以双向，可以传递
D.可以双向，不可传递


点击查看答案


271、单项选择题  在BS779-2：2002版中，下列对P-D-C-A过程的描述错误的是？（）

A.P代表PLAN，即建立ISMS环境&风险评估
B.D代表DO，即实现并运行ISMS
C.C代表CHECK，即监控和审查ISMS
D.A代表ACT，即执行ISMS


点击查看答案


272、单项选择题  作为美国政府（）认证的要求，SQLServer2000内置了审计机制，这个机制包含了多个组件，综合利用这些组件将可以审计SQLServer2000所有的权限使用。

A、B1级
B、B2级
C、C1级
D、C2级


点击查看答案


273、单项选择题  以下哪一项属于物理安全方面的管理控制措施？（）

A.照明
B.护柱
C.培训
D.建筑设施的材料


点击查看答案


274、单项选择题  第一个建立电子政务标准的国家是？（）

A.英国
B.美国
C.德国
D.俄罗斯


点击查看答案


275、单项选择题  以下有关访问控制的描述不正确的是（）

A.口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D.双因子认证（又称强认证）就是一个系统需要两道密码才能进入


点击查看答案


276、单项选择题  应急响应计划应该多久测试一次？（）

A.10年
B.当基础环境或设施发生变化时
C.2年
D.当组织内业务发生重大的变更时


点击查看答案


277、判断题  我国现行的有关互联网安全的法律框架有法律、行政法规、行政规章和司法解释四个层面。


点击查看答案


278、单项选择题  那种测试结果对开发人员的影响最大（）

A.单元测试和集成测试
B.系统测试
C.验收测试
D.渗透测试


点击查看答案


279、单项选择题  某公司在测试灾难恢复计划时是发现恢复业务运营所必要的关键数据没有被保留，可能由于什么没有明确导致的？（）

A.服务中断的时间间隔
B.目标恢复时间（RTO）
C.服务交付目标
D.目标恢复点（RPO）


点击查看答案


280、单项选择题  下面哪一项不属于微软SDL的七个阶段之一？（）

A.培训
B.需求
C.销售
D.验证


点击查看答案


281、单项选择题  对信息安全风险评估工作成果理解正确的是：（）

A．信息安全风险评估工作的最重要成果是按高中低级排列的风险列表。
B．通过信息安全风险评估工作，不仅能够明确系统安全风险，还能够获得如何控制风险的详细建议。
C．信息安全风险评估工作最终成果是信息系统安全问题（脆弱点）列表。
D．信息安全风险评估工作最终成果是信息系统安全威胁列表。


点击查看答案


282、单项选择题  信息系统的价值确定需要与哪个部门进行有效沟通确定？（）

A.系统维护部门
B.系统开发部门
C.财务部门
D.业务部门


点击查看答案


283、单项选择题  信息安全管理手段不包括以下哪一项（）

A.技术
B.流程
C.人员
D.市场


点击查看答案


284、单项选择题  开发人员认为系统架构设计不合理，需要讨论调整后，再次进入编码阶段。开发团队可能采取的开发方法为（）

A.瀑布模型
B.净室模型
C.XP模型
D.迭代模型


点击查看答案


285、单项选择题  以下哪个选项不是信息中心（IC）工作职能的一部分？（）

A.准备最终用户的预算
B.选择PC的硬件和软件
C.保持所有PC的硬件和软件的清单
D.提供被认可的硬件和软件的技术支持


点击查看答案


286、单项选择题  以下哪一项是两家公司为灾难恢复签订互惠协议而面临的最大风险？（）

A.各自的发展将导致（互相间）软硬件不兼容。
B.当需要时资源未必可用。
C.恢复计划无法演练。
D.各家公司的安全基础架构可能不同。


点击查看答案


287、单项选择题  使用热站作为备份的优点是：（）

A.热站的费用低
B.热站能够延长使用时间
C.热站在短时间内可运作
D.热站不需要和主站点兼容的设备和系统软件


点击查看答案


288、填空题  浏览器缓存和上网历史记录能完整还原用户访问互联网的详细信息，并反映用户的使用习惯、隐私等。因此应当（）以避免他人获得并造成隐私泄密。


点击查看答案


289、单项选择题  中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：（）

A、为政府单位信息系统进行安全方案设计
B、在信息安全公司从事保安工作
C、在公开场合宣讲安全知识
D、在学校讲解信息安全课程


点击查看答案


290、单项选择题  在设计业务连续性计划时，企业影响分析可以用来识别关键业务流程和相应的支持程序，它主要会影响到下面哪一项内容的制定？（）

A.维护业务连续性计划的职责
B.选择站点恢复供应商的条件
C.恢复策略
D.关键人员的职责


点击查看答案


291、单项选择题  由于IT的发展，灾难恢复计划在大型组织中的应用也发生了变化。如果新计划没有被测试下面哪项是最主要的风险（）

A.灾难性的断电
B.资源的高消耗
C."恢复的总成本不能被最小化"
D.用户和恢复团队在实施计划时可能面临服务器问题


点击查看答案


292、单项选择题  关于安全策略的说法，不正确的是（）

A.得到安全经理的审核批准后发布
B.应采取适当的方式让有关人员获得并理解最新版本的策略文档
C.控制安全策略的发布范围，注意保密
D.系统变更后和定期的策略文件评审和改进


点击查看答案


293、问答题  蠕虫病毒的特点？


点击查看答案


294、单项选择题  变更控制是信息系统运行管理的重要的内容，在变更控制的过程中：（）

A.应该尽量追求效率，而没有任何的程序和核查的阻碍。
B.应该将重点放在风险发生后的纠正措施上。
C.应该很好的定义和实施风险规避的措施。
D.如果是公司领导要求的，对变更过程不需要追踪和审查


点击查看答案


295、单项选择题  安全开发制度中，QA最关注的的制度是（）

A.系统后评价规定
B.可行性分析与需求分析规定
C.安全开发流程的定义、交付物和交付物衡量标准
D.需求变更规定


点击查看答案


296、单项选择题  ISMS的内部审核员（非审核组长）的责任不包括？（）

A.熟悉必要的文件和程序；
B.根据要求编制检查列表；
C.配合支持审核组长的工作，有效完成审核任务；
D.负责实施整改内审中发现的问题


点击查看答案


297、单项选择题  构成风险的关键因素有哪些？（）

A.人，财，物
B.技术，管理和操作
C.资产，威胁和弱点
D.资产，可能性和严重性


点击查看答案


298、单项选择题  黑客进行攻击的最后一个步骤是：（）

A.侦查与信息收集
B.漏洞分析与目标选定
C.获取系统权限
D.打扫战场、清楚证据


点击查看答案


299、单项选择题  PSEC中的ESP机制最主要的作用是什么？（）

A.确认信息包的来源
B.进行完整性验证
C.提供机密性服务
D.抗重放攻击


点击查看答案


300、单项选择题  信息安全风险评估对象确立的主要依据是什么（）

A.系统设备的类型
B.系统的业务目标和特性
C.系统的技术架构
D.系统的网络环境


点击查看答案


题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
【大 中 小】【打印】 【繁体】 【关闭】 【返回顶部】
下一篇：乡村医生：预防医学题库考点（最..

相关栏目

问题咨询请搜索关注"91考试网"微信公众号后留言咨询