当前位置：91考试网 -> 考试题库

信息安全师考试：信息安全师考试考试题（题库版）
2021-12-19 03:55:48 来源:91考试网 作者:www.91exam.org 【大 中 小】
题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。

1、填空题  我国的信息化发展不平衡，总的来说，（）信息化指数高，从东部到西部信息化指数逐渐降低。


点击查看答案


2、单项选择题  下列哪一项是首席安全官的正常职责？（）

A.定期审查和评价安全策略
B.执行用户应用系统和软件测试与评价
C.授予或废除用户对IT资源的访问权限
D.批准对数据和应用系统的访问权限


点击查看答案


3、多项选择题  IPSec通过（）实现密钥交换、管理及安全协商。

A.AH
B.ESP
C.ISAKMP/Oakley
D.SKIP


点击查看答案


4、单项选择题  关于标准、指南、程序的描述，哪一项是最准确的？（）

A.标准是建议性的策略，指南是强制执行的策略
B.程序为符合强制性指南的一般性建议
C.程序是为符合强制性指南的一般性建议
D.程序是为符合强制性标准的的说明


点击查看答案


5、判断题  网络道德问题产生的客观原因是网络社会的社会背景。


点击查看答案


6、单项选择题  不受限制的访问生产系统程序的权限将授予以下哪些人？（）

A.审计师
B.不可授予任何人
C.系统的属主。
D.只有维护程序员


点击查看答案


7、单项选择题  CC中的评估保证级4级（EAL3）对应TCSEC和ITSEC的哪个级别？（）

A."对应TCSECB1级，对应ITSECE4级"
B."对应TCSECC2级，对应ITSECE4级"
C."对应TCSECB1级，对应ITSECE3级"
D."对应TCSECC2级，对应ITSECE2级"


点击查看答案


8、单项选择题  干管灭火器系统使用（）

A.水，但是只有在发现火警以后水才进入管道
B.水，但是水管中有特殊的防水剂
C.CO2代替水
D.哈龙代替水


点击查看答案


9、单项选择题  在一个业务继续计划的模拟演练中，发现报警系统严重受到设施破坏。下列选项中，哪个是可以提供的最佳建议：（）

A.培训救护组如何使用报警系统
B.报警系统为备份提供恢复
C.建立冗余的报警系统
D.把报警系统存放地窖里


点击查看答案


10、单项选择题  在进行风险分析的时候，发现预测可能造成的风险的经济损失时有一定困难。为了评估潜在的损失，应该：（）

A.计算相关信息资产的摊销费用
B.计算投资的回报
C.应用定性的方法进行评估
D.花费必要的时间去评估具体的损失的金额


点击查看答案


11、单项选择题  建立应急响应计划时候第一步应该做什么？（）

A.建立备份解决方案
B.实施业务影响分析
C.建立业务恢复计划
D.确定应急人员名单


点击查看答案


12、单项选择题  管理者何时可以根据风险分析结果对已识别风险不采取措施（）

A.当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时
B.当风险减轻方法提高业务生产力时
C.当引起风险发生的情况不在部门控制范围之内时
D.不可接受


点击查看答案


13、单项选择题  下列哪种方法能够满足双因子认证的需求？（）

A.智能卡和用户PIN
B.用户ID与密码
C.虹膜扫描和指纹扫描
D.用户名和PIN


点击查看答案


14、单项选择题  以下标准内容为“信息安全管理体系要求”的是哪个？（）

A.ISO27000
B.ISO27001
C.ISO27002
D.ISO27003


点击查看答案


15、单项选择题  （）在访问控制中，对网络资源的访问是基于什么的？

A、用户
B、权限
C、访问对象
D、工作组


点击查看答案


16、单项选择题  对安全策略的描述不正确的是（）

A.信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B.策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D.安全策略一旦建立和发布，则不可变更


点击查看答案


17、单项选择题  在安全人员的帮助下，对数据提供访问权的责任在于：（）

A.数据所有者
B.程序员
C.系统分析师
D.库管员


点击查看答案


18、单项选择题  根据PPDR模型：（）

A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间


点击查看答案


19、单项选择题  在评估一个高可用性网络的恢复能力时，下列情况风险最高：（）

A.设备在地理位置上分散
B.网络服务器位于同一地点
C.热站就绪可以被激活
D.网络执行了不同行程


点击查看答案


20、单项选择题  下列哪一项不是工程实施阶段信息安全工程监理的主要目标？（）

A.明确工程实施计划，对于计划的调整必须合理、受控
B.促使工程中所使用的产品和服务符合承建合同及国家相关法律、法规和标准
C.促使业务单位与承建单位充分沟通，形成深化的安全需求
D.促使工程实施过程满足承建合同的要求，并与工程设计方案、工程计划相符


点击查看答案


21、单项选择题  数据保护最重要的目标是以下项目中的哪一个（）

A.识别需要获得相关信息的用户
B.确保信息的完整性
C.对信息系统的访问进行拒绝或授权
D.监控逻辑访问


点击查看答案


22、单项选择题  为了解决操作人员执行日常备份的失误，管理层要求系统管理员签字日常备份，这是一个风险....例子：（）

A.防止
B.转移
C.缓解
D.接受


点击查看答案


23、单项选择题  以下哪种做法是正确的“职责分离”做法？（）

A.程序员不允许访问产品数据文件
B.程序员可以使用系统控制台
C.控制台操作员可以操作磁带和硬盘
D.磁带操作员可以使用系统控制台


点击查看答案


24、单项选择题  （）出台了世界第一部规范互联网传播的法律《多媒体法》.

A、美国
B、德国
C、英国
D、新加坡


点击查看答案


25、判断题  互联网不良信息泛滥的原因有多种，网络道德观念的缺乏属其中一种。


点击查看答案


26、单项选择题  什么类型的软件应用测试被用于测试的最后阶段，并且通常包含不属于开发团队之内的用户成员？（）

A.Alpha测试
B.白盒测试
C.回归测试
D.Beta测试


点击查看答案


27、单项选择题  组织内应急通知应主要采用以下哪种方式（）

A.电话
B.电子邮件
C.人员
D.公司OA


点击查看答案


28、单项选择题  （）在HKLM包含的子树中，哪个不能直接访问？配置的数据。

A、Security
B、Hardware
C、Software
D、System


点击查看答案


29、问答题  蠕虫病毒的特点？


点击查看答案


30、判断题  在SSL握手信息中，采用了RSA、MD5等加密技术来实现机密性和数据完整性。


点击查看答案


31、单项选择题  时间的流逝对服务中断损失成本和中断恢复成本会有什么影响？（）

A.两个成本增加
B.中断的损失成本增加，中断恢复的成本随时问的流逝而减少
C.两个成本都随时间的流逝而减少
D.没有影响


点击查看答案


32、问答题  多边安全模型有哪两种？


点击查看答案


33、多项选择题  网络环境下的舆论信息主要来自（）。

A、新闻评论
B、BBS
C、博客
D、聚合新闻


点击查看答案


34、单项选择题  以下哪一项是已经被确认了的具有一定合理性的风险？（）

A.总风险
B.最小化风险
C.可接受风险
D.残余风险


点击查看答案


35、单项选择题  为了达到组织灾难恢复的要求，备份时间间隔不能超过：（）

A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可接受程度（MAO）


点击查看答案


36、单项选择题  指导和规范信息安全管理的所有活动的文件叫做？（）

A.过程
B.安全目标
C.安全策略
D.安全范围


点击查看答案


37、判断题  传播网络病毒，恶意进行网络攻击不属于网络不诚信问题的表现。


点击查看答案


38、单项选择题  以下对信息安全问题产生的根源描述最准确的是：（）

A.信息安全问题是由于信息技术的不断发展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏


点击查看答案


39、单项选择题  以下有关通信与日常操作描述不正确的是（）

A.信息系统的变更应该是受控的
B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D.内部安全审计无需遵循独立性、客观性的原则


点击查看答案


40、单项选择题  下面对于SSH的说法错误的是？（）

A.SSH是SecureShell的简称
B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证
C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D.SSH2比SSH1更安全


点击查看答案


41、单项选择题  作为信息安全治理的成果，战略方针提供了：（）

A.企业所需的安全要求
B.遵从最佳实务的安全基准
C.日常化制度化的解决方案
D.风险暴露的理解


点击查看答案


42、单项选择题  下列哪项不属于SSE-CMM中能力级别3“充分定义”级的基本内容：（）

A.改进组织能力
B.定义标准过程
C.协调安全实施
D.执行已定义的过程


点击查看答案


43、单项选择题  以下只用于密钥交换的算法是（）

A.RSA
B.ECC
C.DH
D.RC4


点击查看答案


44、单项选择题  （）关于组策略的描述哪些是错误的？

A、首先应用的是本地组策略
B、除非冲突，组策略的应用应该是累积的
C、如果存在冲突，最先应用的组策略将获胜
D、策略在策略容器上的顺序决定应用的顺序


点击查看答案


45、单项选择题  信息系统审核员应该预期谁来授权对生产数据和生产系统的访问？（）

A.流程所有者
B.系统管理员
C.安全管理员
D.数据所有者


点击查看答案


46、单项选择题  处理报废电脑的流程时，以下哪一个选项对于安全专业人员来说是最重要考虑的内容？（）

A.在扇区这个级别上，硬盘已经被多次重复写入，但是在离开组织前没有进行重新格式化。
B.硬盘上所有的文件和文件夹都分别删除了，并在离开组织进行重新格式化。
C.在离开组织前，通过在硬盘特定位置上洞穿盘片，进行打洞，使得硬盘变得不可读取。
D.由内部的安全人员将硬盘送到附近的金属回收公司，对硬盘进行登记并粉碎。


点击查看答案


47、单项选择题  数据库管理员执行以下那个动作可能会产生风险？（）

A.根据变更流程执行数据库变更
B.安装操作系统的补丁和更新
C.排列表空间并考虑表合并的限制
D.执行备份和恢复流程


点击查看答案


48、多项选择题  强制访问控制策略最显著的特征是（）。

A.局限性
B.全局性
C.时效性
D.永久性


点击查看答案


49、单项选择题  下列哪一项是对信息系统经常不能满足用户需求的最好解释？（）

A.没有适当的质量管理工具
B.经常变化的用户需求
C.用户参与需求挖掘不够
D.项目管理能力不强


点击查看答案


50、单项选择题  企业的业务持续性计划中应该以记录以下内容的预定规则为基础（）

A.损耗的持续时间
B.损耗的类型
C.损耗的可能性
D.损耗的原因


点击查看答案


51、单项选择题  用于跟踪路由的命令是（）

A.nestat
B.regedit
C.systeminfo
D.tracert


点击查看答案


52、单项选择题  除以下哪项可作为ISMS审核（包括内审和外审）的依据，文件审核、现场审核的依据？（）

A.机房登记记录
B.信息安全管理体系
C.权限申请记录
D.离职人员的口述


点击查看答案


53、单项选择题  实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？（）

A.约定的标准及相关法律的要求
B.已识别的安全需求
C.控制措施有效实施和维护
D.ISO13335风险评估方法


点击查看答案


54、填空题  政府系统信息安全检查指根据国家的相关要求，（）主管部门牵头，公安、保密、安全等部门参加，对政府信息系统开展的联合检查。


点击查看答案


55、单项选择题  区别脆弱性评估和渗透测试是脆弱性评估（）

A.检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失
B.和渗透测试为不同的名称但是同一活动
C.是通过自动化工具执行，而渗透测试是一种完全的手动过程
D.是通过商业工具执行，而渗透测试是执行公共进程


点击查看答案


56、单项选择题  一个公司解雇了一个数据库管理员，并且解雇时立刻取消了数据库管理员对公司所有系统的访问权，但是数据管理员威胁说数据库在两个月内将被删除，除非公司付他一大笔钱。数据管理员最有可能采用下面哪种手段删除数据库？（）

A.放置病毒
B.蠕虫感染
C.DoS攻击
D.逻辑炸弹攻击


点击查看答案


57、单项选择题  以下哪些不是介质类资产：（）

A.纸质文档
B.存储介质
C.软件介质
D.凭证


点击查看答案


58、单项选择题  风险评估按照评估者的不同可以分为自评估和第三方评估，这两种评估方式最本质的差别是什么？（）

A.评估结果的客观性
B.评估工具的专业程度
C.评估人员的技术能力
D.评估报告的形式


点击查看答案


59、单项选择题  作为美国政府（）认证的要求，SQLServer2000内置了审计机制，这个机制包含了多个组件，综合利用这些组件将可以审计SQLServer2000所有的权限使用。

A、B1级
B、B2级
C、C1级
D、C2级


点击查看答案


60、单项选择题  在进行人员的职责定义时，在信息安全方面应考虑什么因素？（）

A.人员的背景、资质的可靠性
B.人员需要履行的信息安全职责
C.人员的工作能力
D.人员沟通、协调能力


点击查看答案


61、判断题  入侵检测技术能够识别来自外部用户的入侵行为和内部用户的未经授权活动。


点击查看答案


62、单项选择题  （）用于发现攻击目标。

A.ping扫描
B.操作系统扫描
C.端口扫描
D.漏洞扫描


点击查看答案


63、单项选择题  以下哪项是组织中为了完成信息安全目标，针对信息系统，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制等活动？（）

A.反应业务目标的信息安全方针、目标以及活动；
B.来自所有级别管理者的可视化的支持与承诺；
C.提供适当的意识、教育与培训
D.以上所有


点击查看答案


64、单项选择题  以下关于备份站点的说法哪项是正确的（）

A.应与原业务系统具有同样的物理访问控制措施
B.应容易被找到以便于在灾难发生时以备紧急情况的需要
C.应部署在离原业务系统所在地较近的地方
D.不需要具有和原业务系统相同的环境监控等级


点击查看答案


65、判断题  任何话题只有积累了足够数量或者分量的帖子，才能体现这种持续关注度。


点击查看答案


66、单项选择题  下列哪项不是Kerberos密钥分发服务（KDS）的一部分？（）

A.Kerberos票证授予服务器（TGS）。
B.Kerberos身份验证服务器（KAS）。
C.存放用户名和密码的数据库。
D.Kerberos票证吊销服务器（TRS）。


点击查看答案


67、单项选择题  风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？（）

A.只识别与业务及信息系统有关的信息资产，分类识别
B.所有公司资产都要识别
C.可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产
D.资产识别务必明确责任人、保管者和用户


点击查看答案


68、单项选择题  根据SSE-CMM以下哪一项不是在安全工程过程中实施安全控制时需要做的？（）

A.获得用户对安全需求的理解
B.建立安全控制的职责
C.管理安全控制的配置
D.进行针对安全控制的教育培训


点击查看答案


69、单项选择题  默认情况下Linux主机在机房托管期间被恶意用户进行了SSH远程的暴力破解，此时安全工程师需要拒绝其访问的源地址，应该使用那种方式查询其访问的记录？（）

A.cat/var/log/secure
B.who
C.whoami
D.cat/etc/security/access.log


点击查看答案


70、多项选择题  （）属于网络不诚信问题.

A、发布虚假信息，扩散小道消
B、网上恶搞、网络暴力、人肉搜索
C、境外的网络攻击
D、手机恶意程序


点击查看答案


71、单项选择题  下面哪项不是实施信息安全管理的关键成功因素（）

A.理解组织文化
B.得到高层承诺
C.部署安全产品
D.纳入奖惩机制


点击查看答案


72、单项选择题  对于信息安全风险的描述不正确的是？（）

A.企业信息安全风险管理就是要做到零风险
B.在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性
C.风险管理（RiskManagement）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
D.风险评估（RiskAssessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。


点击查看答案


73、单项选择题  减少与钓鱼相关的风险的最有效控制是：（）

A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训


点击查看答案


74、单项选择题  信息系统的价值确定需要与哪个部门进行有效沟通确定？（）

A.系统维护部门
B.系统开发部门
C.财务部门
D.业务部门


点击查看答案


75、单项选择题  下面哪种方法产生的密码是最难记忆的？（）

A.将用户的生日倒转或是重排
B.将用户的年薪倒转或是重排
C.将用户配偶的名字倒转或是重排
D.用户随机给出的字母


点击查看答案


76、单项选择题  ()在访问控制中，文件系统权限被默认地赋予了什么组？

A、Users
B、Guests
C、Administrators
D、Replicator


点击查看答案


77、单项选择题  根据组织业务连续性计划（BCP）的复杂程度，可以建立多个计划来满足业务连续和和灾难恢复的各方面。在这种情况下，有必要：（）

A.每个计划和其它计划保持协调一致
B.所有的计划要整合到一个计划中
C.每个计划和其他计划相互依赖
D.指定所有计划实施的顺序


点击查看答案


78、单项选择题  基本的计算机安全需求不包括下列哪一条：（）

A.安全策略和标识
B.绝对的保证和持续的保护
C.身份鉴别和落实责任
D.合理的保证和连续的保护


点击查看答案


79、单项选择题  建立应急响应计划最重要的是（）

A.业务影响分析
B.测试及演练
C.各部门的参与
D.管理层的支持


点击查看答案


80、单项选择题  信息安全需求获取的主要手段（）

A.信息安全风险评估
B.领导的指示
C.信息安全技术
D.信息安全产品


点击查看答案


81、单项选择题  LDAP使用哪个端口？（）

A.TCP 139
B.TCP 119
C.UDP 139
D.UDP 389


点击查看答案


82、单项选择题  安全评估人员正为某个医疗机构的生产和测试环境进行评估。在访谈中，注意到生产数据被用于测试环境测试，这种情况下存在哪种最有可能的潜在风险？（）

A.测试环境可能没有充足的控制确保数据的精确性
B.测试环境可能由于使用生产数据而产生不精确的结果
C.测试环境的硬件可能与生产环境的不同
D.测试环境可能没有充分的访问控制以确保数据机密性


点击查看答案


83、单项选择题  下列有关密码学的说法中错误的是：（）

A.密码学是研究信息系统安全保密的科学。由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进行分析，以便推出机密变量、包括明文在内的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进行编码，实现对信息的隐蔽。


点击查看答案


84、单项选择题  组织中对于每个独立流程都有对应的业务连续性计划，但缺乏全面的业务连续性计划，应采取下面哪一项行动？（）

A.建议建立全面的业务连续性计划
B.确认所有的业务连续性计划是否相容
C.接受已有业务连续性计划
D.建议建立单独的业务连续性计划


点击查看答案


85、单项选择题  哪一项不是管理层承诺完成的？（）

A.确定组织的总体安全目标
B.购买性能良好的信息安全产品
C.推动安全意识教育
D.评审安全策略的有效性


点击查看答案


86、单项选择题  设计信息安全策略时，最重要的一点是所有的信息安全策略应该：（）

A.非现场存储
B.由IS经理签署
C.发布并传播给用户
D.经常更新


点击查看答案


87、单项选择题  下列几个OSI层中，哪一层能够提供访问控制服务？（）

A.传输层
B.表示层
C.会话层
D.数据链路层


点击查看答案


88、单项选择题  Linux系统一般使用GRUB作为启动的MBR程序，GRUB如何配置才能放置用户加入单用户模式重置root密码？（）

A.删除敏感的配置文件
B.注释gruB.conf文件中的启动项
C.在对应的启动title上配置进入单用户的密码
D.将GRUB程序使用非对称秘钥加密


点击查看答案


89、单项选择题  信息分类是信息安全管理工作的重要环节，下面哪一项不是对信息进行分类时需要重点考虑的？（）

A.信息的价值
B.信息的时效性
C.信息的存储
D.法律法规的规定


点击查看答案


90、单项选择题  下面关于定性风险评估方法的说法不正确的是（）

A.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识
B.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质
C."耗时短、成本低、可控性高"
D.能够提供量化的数据支持，易被管理层所理解和接受


点击查看答案


91、单项选择题  组织内数据安全官的最为重要的职责是：（）

A.推荐并监督数据安全策略
B.在组织内推广安全意识
C.制定IT安全策略下的安全程序/流程
D.管理物理和逻辑访问控制


点击查看答案


92、单项选择题  在系统实施后评审过程中，应该执行下面哪个活动？（）

A.用户验收测试
B.投资收益分析
C.激活审计模块
D.更新未来企业架构


点击查看答案


93、单项选择题  信息安全活动应由来自组织不同部门并具备相关角色和工作职责的代表进行，下面哪项包括非典型的安全协调应包括的人员？（）

A.管理人员、用户、应用设计人员
B.系统运维人员、内部审计人员、安全专员
C.内部审计人员、安全专员、领域专家
D.应用设计人员、内部审计人员、离职人员


点击查看答案


94、单项选择题  在未受保护的通信线路上传输数据和使用弱口令是一种？（）

A.弱点
B.威胁
C.可能性
D.影响


点击查看答案


95、单项选择题  在正常情况下，应急响应计划培训应该至少多久一次（）

A.1年
B.2年
C.半年
D.5年


点击查看答案


96、单项选择题  在零传输（Zone transfers）中DNS服务使用哪个端口？（）

A.TCP 53
B.UDP 53
C.UDP 23
D.TCP 23


点击查看答案


97、单项选择题  下列哪项是系统问责所需要的？（）

A.授权。
B.多人共用同一帐号。
C.审计机制。
D.系统设计的形式化验证


点击查看答案


98、单项选择题  从目前的情况看，对所有的计算机系统来说，以下哪种威胁是最为严重的，可能造成巨大的损害？（）

A.没有充分训练或粗心的用户
B.第三方
C.黑客
D.心怀不满的雇员


点击查看答案


99、单项选择题  应急响应计划文档不应该（）

A.分发给公司所有人员
B.分发给参与应急响应工作的所有人员
C.具有多份拷贝在不同的地点保存
D.由专人负责保存与分发


点击查看答案


100、单项选择题  PSEC中的ESP机制最主要的作用是什么？（）

A.确认信息包的来源
B.进行完整性验证
C.提供机密性服务
D.抗重放攻击


点击查看答案


101、单项选择题  如果出现IT人员和最终用户职责分工的问题，下面哪个选项是合适的补偿性控制？（）

A.限制物理访问计算机设备
B.检查应用及事务处理日志
C.在聘请IT人员之前进行背景检查
D.在不活动的特定时间后，锁定用户会话


点击查看答案


102、单项选择题  下面那个不是信息安全风险的要素？（）

A.资产及其价值
B.数据安全
C.威胁
D.控制措施


点击查看答案


103、判断题  系统里的信息涉及国家秘密的信息系统，只要其中的涉密信息很少，就不算是涉密信息系统。


点击查看答案


104、单项选择题  使用热站作为备份的优点是：（）

A.热站的费用低
B.热站能够延长使用时间
C.热站在短时间内可运作
D.热站不需要和主站点兼容的设备和系统软件


点击查看答案


105、单项选择题  事件响应六个阶段定义了安全事件处理的流程，这个流程的顺序是（）

A.准备－遏制－确认－根除－恢复－跟踪
B.准备－确认－遏制－恢复－根除－跟踪
C.准备－确认－遏制－根除－恢复－跟踪
D.准备－遏制－根除－确认－恢复－跟踪


点击查看答案


106、单项选择题  在对业务持续性计划进行验证时，以下哪项最为重要（）

A.数据备份准时执行
B.备份站点已签订合约，并且在需要时可以使用
C.人员安全计划部署适当
D.保险


点击查看答案


107、单项选择题  以下对于IATF信息安全保障技术框架的说法错误的是：（）

A、它由美国国家安全局公开发布
B、它的核心思想是信息安全深度防御（Defense-in-Depth）
C、它认为深度防御应当从策略、技术和运行维护三个层面来进行
D、它将信息系统保障的技术层面分为计算环境、区域边界、网络和基础设置和支撑性技术设施4个部分


点击查看答案


108、单项选择题  事件响应方法学定义了安全事件处理的流程，这个流程的顺序是：（）

A.准备－抑制－检测－根除－恢复－跟进
B.准备－检测－抑制－恢复－根除－跟进
C.准备－检测－抑制－根除－恢复－跟进
D.准备－抑制－根除－检测－恢复－跟进


点击查看答案


109、单项选择题  在制定组织间的保密协议，以下哪一个不是需要考虑的内容？（）

A.需要保护的信息。
B.协议期望持续时间。
C.合同双方的人员数量要求。
D.违反协议后采取的措施。


点击查看答案


110、单项选择题  第一个建立电子政务标准的国家是？（）

A.英国
B.美国
C.德国
D.俄罗斯


点击查看答案


111、单项选择题  ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？（）

A.关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项
B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行
C.孤立的偶发性的且对信息安全管理体系无直接影响的问题；
D.审核员识别的可能改进项


点击查看答案


112、单项选择题  下列哪一种密码算法是基于大数分解难题的？（）

A.ECC
B.RSA
C.DES
D.Diffie-Hellman


点击查看答案


113、单项选择题  下面哪一个不是高层安全方针所关注的（）

A.识别关键业务目标
B.定义安全组织职责
C.定义安全目标
D.定义防火墙边界防护策略


点击查看答案


114、单项选择题  在TCP中的六个控制位哪一个是用来请求结束会话的（）

A.SYN
B.ACK
C.FIN
D.RST


点击查看答案


115、单项选择题  系统地识别和管理组织所应用的过程，特别是这些过程之间的相互作用，称为什么？（）

A.戴明循环
B.过程方法
C.管理体系
D.服务管理


点击查看答案


116、单项选择题  下面哪一项不是主机型入侵检测系统的优点？（）

A.性能价格比高
B.视野集中
C.敏感细腻
D.占资源少


点击查看答案


117、单项选择题  在数据库系统中，（）是信息系统的第一道屏障。

A、数据加密
B、数据库加密
C、口令保护
D、数据审计


点击查看答案


118、单项选择题  在什么情况下，热站会作为一个恢复策略被执行？（）

A.低灾难容忍度
B.高恢复点目标（RPO）
C.高恢复时间目标（RTO）
D.高灾难容忍度


点击查看答案


119、单项选择题  所有进入物理安全区域的人员都需经过（）

A.考核
B.授权
C.批准
D.认可


点击查看答案


120、单项选择题  安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？（）

A.Biba模型中的不允许向上写
B.Biba模型中的不允许向下读
C.Bell-LaPadula模型中的不允许向下写
D.Bell-LaPadula模型中的不允许向上读


点击查看答案


121、单项选择题  ISO/IEC27002由以下哪一个标准演变而来？（）

A.BS7799-1
B.BS7799-2
C.ISO/IEC17799
D.ISO/IEC13335


点击查看答案


122、单项选择题  当曾经用于存放机密资料的PC在公开市场出售时（）

A.对磁盘进行消磁
B.对磁盘低级格式化
C.删除数据
D.对磁盘重整


点击查看答案


123、单项选择题  以下哪项不是信息安全的主要目标（）

A.确保业务连续性
B.保护信息免受各种威胁的损害
C.防止黑客窃取员工个人信息
D.投资回报和商业机遇最大化


点击查看答案


124、单项选择题  信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是（）

A.ISMS是一个遵循PDCA模式的动态发展的体系
B.ISMS是一个文件化、系统化的体系
C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定
D.ISMS应该是一步到位的，应该解决所有的信息安全问题


点击查看答案


125、单项选择题  为了防止物理上取走数据库而采取的加强数据库安全的方法是（）

A、数据加密
B、数据库加密
C、口令保护
D、数据审计


点击查看答案


126、判断题  在网络安全技术中，防火墙是第二道防御屏障。


点击查看答案


127、单项选择题  以下哪一项不是跨站脚本攻击？（）

A.给网站挂马
B.盗取COOKIE
C.伪造页面信息
D.暴力破解密码


点击查看答案


128、单项选择题  下列关于访问控制模型说法不准确的是？（）

A.访问控制模型主要有3种：自主访问控制、强制访问控制和基于角色的访问控制。
B.自主访问控制模型允许主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问。
C.基于角色的访问控制RBAC中“角色”通常是根据行政级别来定义的。
D.强制访问控制MAC是“强加”给访问主体的，即系统强制主体服从访问控制政策。


点击查看答案


129、填空题  电子商务是成长潜力（），综合效益（）的产业。


点击查看答案


130、单项选择题  在软件开发的需求定义阶段，在软件测试方面，以下哪一个选项被制定？（）

A.覆盖关键应用的测试数据
B.详细的安全测试计划
C.质量保证测试标准
D.用户验收测试标准


点击查看答案


131、单项选择题  合适的信息资产存放的安全措施维护是谁的责任（）

A.安全管理员
B.系统管理员
C.数据和系统所有者
D.系统运行组


点击查看答案


132、单项选择题  下面对于CC的“保护轮廓”（PP）的说法最准确的是：（）

A.对系统防护强度的描述
B.对评估对象系统进行规范化的描述
C.对一类TOE的安全需求，进行与技术实现无关的描述
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度


点击查看答案


133、单项选择题  特洛伊木马攻击的危胁类型属于（）

A.授权侵犯威胁
B.植入威胁
C.渗入威胁
D.破坏威胁


点击查看答案


134、单项选择题  （）关于Windows2000中的身份验证过程，下面哪种说法是错误的？

A、如果用户登录一个域，则Windows2000将把这些登录信息转交给域控制器处理。
B、如果用户登录本机，则Windows2000将把这些登录信息转交给域控制器处理。
C、如果用户登录一个域，则Windows2000利用域控制器含有的目录副本，验证用户的登录信息。
D、如果用户登录本机，则Windows2000利用本机的安全子系统含有的本机安全数据库，验证用户的登录信息。


点击查看答案


135、单项选择题  密码出口政策最严格的是以下哪个国家？（）

A.法国
B.美国
C.爱尔兰
D.新加坡


点击查看答案


136、单项选择题  以下哪项是ISMS文件的作用？（）

A.是指导组织有关信息安全工作方面的内部“法规”--使工作有章可循。
B.是控制措施（controls）的重要部分
C.提供客观证据--为满足相关方要求，以及持续改进提供依据
D.以上所有


点击查看答案


137、多项选择题  网络违法犯罪的表现形式有（）。

A、网络诈骗
B、网络^色 情
C、网络盗窃
D、网络赌博


点击查看答案


138、单项选择题  如果数据中心发生灾难，下列那一项完整恢复一个关键数据库的策略是最适合的？（）

A.每日备份到磁带并存储到异地
B.实时复制到异地
C.硬盘镜像到本地服务器
D.实时数据备份到本地网格存储


点击查看答案


139、单项选择题  拒绝式服务攻击会影响信息系统的哪个特性？（）

A.完整性
B.可用性
C.机密性
D.可控性


点击查看答案


140、单项选择题  一组将输入转化为输出的相互关联或相互作用的什么叫做过程？（）

A.数据
B.信息流
C.活动
D.模块


点击查看答案


141、多项选择题  网络安全审计系统一般包括（）。

A.网络探测引擎
B.数据管理中心
C.审计中心
D.声光报警系统


点击查看答案


142、单项选择题  如何对信息安全风险评估的过程进行质量监控和管理？（）

A.对风险评估发现的漏洞进行确认
B.针对风险评估的过程文档和结果报告进行监控和审查
C.对风险评估的信息系统进行安全调查
D.对风险控制测措施有有效性进行测试


点击查看答案


143、填空题  在一个有多个防火墙存在的环境中，每个连接两个（）的计算机或网络都是DMZ。


点击查看答案


144、单项选择题  有什么方法可以测试办公部门的无线安全？（）

A.Wardialing战争语言
B.社会工程学
C.战争驾驶
D.密码破解


点击查看答案


145、单项选择题  下面哪一层可以实现编码，加密（）

A.传输层
B.会话层
C.网络层
D.物理层


点击查看答案


146、单项选择题  一个个人经济上存在问题的公司职员有权独立访问高敏感度的信息，他可能窃取这些信息卖给公司的竞争对手，如何控制这个风险（）

A.开除这名职员
B.限制这名职员访问敏感信息
C.删除敏感信息
D.将此职员送公安部门


点击查看答案


147、单项选择题  个人问责不包括下列哪一项？（）

A.访问规则。
B.策略与程序。
C.审计跟踪。
D.唯一身份标识符。


点击查看答案


148、单项选择题  下面哪一个是定义深度防御安全原则的例子？（）

A.使用由两个不同提供商提供的防火墙检查进入网络的流量
B.在主机上使用防火墙和逻辑访问控制来控制进入网络的流量
C.在数据中心建设中不使用明显标志
D.使用两个防火墙检查不同类型进入网络的流量


点击查看答案


149、单项选择题  以下哪些不是无形资产（）

A.客户关系
B.电子数据
C.商业信誉
D.企业品牌


点击查看答案


150、单项选择题  在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么做？（）

A.外部代理商的处理应该接受一个来自独立代理进行的IS审计。
B.外部代理商的员工必须接受该组织的安全程序的培训。
C.来自外部代理商的任何访问必须限制在停火区（DMZ）
D.该组织应该进行风险评估，并制定和实施适当的控制。


点击查看答案


151、单项选择题  组织的灾难恢复计划应该：（）

A.减少恢复时间，降低恢复费用
B.增加恢复时间，提高恢复费用
C.减少恢复的持续时间，提高恢复费用
D.对恢复时间和费用都不影响


点击查看答案


152、单项选择题  恢复策略的选择最可能取决于（）

A.基础设施和系统的恢复成本
B.恢复站点的可用性
C.关键性业务流程
D.事件响应流程


点击查看答案


153、单项选择题  下面哪一项组成了CIA三元组？（）

A.保密性，完整性，保障
B.保密性，完整性，可用性
C.保密性，综合性，保障
D.保密性，综合性，可用性


点击查看答案


154、单项选择题  在制定控制前，管理层首先应该保证控制（）

A.满足控制一个风险问题的要求
B.不减少生产力
C.基于成本效益的分析
D.检测行或改正性的


点击查看答案


155、单项选择题  下面关于访问控制模型的说法不正确的是：（）

A.DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权。
B.DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的访问。访问许可必须被显式地赋予访问者。
C.在MAC这种模型里，管理员管理访问控制。管理员制定策略，策略定义了哪个主体能访问哪个对象。但用户可以改变它。
D.RBAC模型中管理员定义一系列角色（roles）并把它们赋予主体。系统进程和普通用户可能有不同的角色。设置对象为某个类型，主体具有相应的角色就可以访问它。


点击查看答案


156、单项选择题  20世纪70－90年代，信息安全所面临的威胁主要是非法访问、恶意代码和脆弱口令等，请问这是信息安全发展的什么阶段？（）

A.通信安全。
B.计算机安全。
C.信息系统安全。
D.信息安全保障。


点击查看答案


157、单项选择题  信息安全管理体系要求的核心内容是？（）

A.风险评估
B.关键路径法
C.PDCA循环
D.PERT


点击查看答案


158、单项选择题  下面哪一个不是系统废弃阶段风险管理的工作内容（）

A.安全测试
B.对废弃对象的风险评估
C.防止敏感信息泄漏
D.人员培训


点击查看答案


159、单项选择题  在招聘过程中，如果在岗位人员的背景调查中出现问题时，以下做法正确的是？（）

A.继续执行招聘流程。
B.停止招聘流程，取消应聘人员资格。
C.与应聘人员沟通出现的问题。
D.再进行一次背景调查。


点击查看答案


160、单项选择题  实施信息系统访问控制首先需要进行如下哪一项工作？（）

A.信息系统资产分类
B.信息系统资产标识
C.创建访问控制列表
D.梳理信息系统相关信息资产


点击查看答案


161、单项选择题  关于SSE-CMM的描述错误的是：（）

A.1993年4月美国国家安全局资助，有安全工业界、美国国防部办公室和加拿大通信安全机构共同组成SSE-CMM项目组。
B.SSE-CMM的能力级别分为6个级别。
C.SSE-CMM将安全工程过程划分为三类：风险、工程和保证。
D.SSE的最高能力级别是量化控制。


点击查看答案


162、单项选择题  在下面的加密方法中，哪个加解密的效率最低：（）

A、记录加密
B、属性加密
C、元素加密
D、表加密


点击查看答案


163、单项选择题  信息资产敏感性指的是：（）

A.机密性
B.完整性
C.可用性
D.安全性


点击查看答案


164、判断题  在线调查进入门槛低，信息发布自由度和开放度很高，具有跟帖评论、推荐阅读、RSS订阅等的互动功能。


点击查看答案


165、单项选择题  安全策略体系文件应当包括的内容不包括（）

A.信息安全的定义、总体目标、范围及对组织的重要性
B.对安全管理职责的定义和划分
C.口令、加密的使用是阻止性的技术控制措施；
D.违反安全策略的后果


点击查看答案


166、单项选择题  来自终端的电磁泄露风险，因为它们：（）

A.导致噪音污染
B.破坏处理程序
C.产生危险水平的电流
D.可以被捕获并还原


点击查看答案


167、单项选择题  下列哪一个是国家推荐标准（）

A.GB/T18020-1999
B.SJ/T30003-93
C.ISO/IEC15408
D.GA243-2000


点击查看答案


168、单项选择题  以下哪一种环境控制适用于保护短期内电力环境不稳定条件下的计算机设备？（）

A.电路调整器Power line conditioners
B.电流浪涌防护装置A surge protective device
C.替代电源
D.不间断供电


点击查看答案


169、单项选择题  目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）

A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室


点击查看答案


170、填空题  物流是电子商务（）的基础。


点击查看答案


171、问答题  RSA采用哪个数量原理？


点击查看答案


172、单项选择题  你的ATM卡为什么说是双重鉴定的形式？（）

A.它结合了你是什么和你知道什么
B.它结合了你知道什么和你有什么
C.它结合了你控制什么和你知道什么
D.它结合了你是什么和你有什么


点击查看答案


173、单项选择题  那一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？（）

A.包过滤防火墙
B.状态检测防火墙
C.应用网关防火墙
D.以上都不能


点击查看答案


174、单项选择题  下列对跨站脚本攻击（XSS）的解释最准确的一项是：（）

A.引诱用户点击虚假网络链接的一种攻击方法
B.构造精妙的关系数据库的结构化查询语言对数据库进行非法的访问
C.一种很强大的木马攻击手段
D.将恶意代码嵌入到用户浏览的web网页中，从而达到恶意的目的


点击查看答案


175、单项选择题  以下哪项不属于信息安全管理的工作内容（）

A.信息安全培训
B.信息安全考核
C.信息安全规划
D.安全漏洞扫描


点击查看答案


176、填空题  （）是一项用来表述课题研究进展及结果的报告形式。


点击查看答案


177、单项选择题  审核方法不包括（）

A.面谈
B.查阅文件和资料
C.与相关方核对
D.查看现场情况


点击查看答案


178、填空题  计算机病毒可能在用户打开（）文件时被启动。


点击查看答案


179、单项选择题  信安标委中哪个小组负责信息安全管理工作？（）

A、WG1
B、WG5
C、WG7


点击查看答案


180、单项选择题  当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一道防线是下列哪一项？（）

A.个人防火墙
B.防病毒软件
C.入侵检测系统
D.虚拟局域网设置


点击查看答案


181、单项选择题  网络安全技术层面的特性有可控性、可用性、完整性、保密性和（）

A、多样性
B、复杂性
C、可操作性
D、不可否认性


点击查看答案


182、单项选择题  防范密码嗅探攻击计算机系统的控制措施包括下列哪一项？（）

A.静态和重复使用的密码。
B.加密和重复使用的密码。
C.一次性密码和加密。
D.静态和一次性密码。


点击查看答案


183、单项选择题  有关定性风险评估和定量风险评估的区别，以下描述不正确的是（）

A.定性风险评估比较主观，而定量风险评估更客观
B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D.定性风险评估和定量风险评估没有本质区别，可以通用


点击查看答案


184、单项选择题  在思科路由器中，为实现超时10分钟后自动断开连接，实现的命令应为下列哪一个。（）

A.exec-timeout、10、0
B.exec-timeout、0、10
C.idle-timeout、10、0
D.idle-timeout、0、10


点击查看答案


185、单项选择题  以下哪项是正确的信息安全保障发展历史顺序？（）

A.通信安全→计算机安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
B.通信安全→信息安全保障→计算机安全→信息系统安全→网络空间安全/信息安全保障
C.计算机安全→通信安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
D.通信安全→信息系统安全→计算机安全→信息安全保障→网络空间安全/信息安全保障


点击查看答案


186、单项选择题  下面哪一种物理访问控制能够对非授权访问提供最高级别的安全？（）

A.bolting门锁
B.Cipher密码锁
C.电子门锁
D.指纹扫描器


点击查看答案


187、填空题  （）是密码学发展史上唯一一次真正的革命。


点击查看答案


188、填空题  防火墙规则集应该尽可能的（），规则集越（），错误配置的可能性就越小，系统就越安全。


点击查看答案


189、单项选择题  P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？（）

A.检测。
B.报警。
C.记录。
D.实时监控。


点击查看答案


190、单项选择题  评估BCP时，下列哪一项应当最被关注：（）

A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体BCP被文档化，但详细恢复步骤没有规定
D.宣布灾难的职责没有被识别


点击查看答案


191、单项选择题  在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性。以下哪一层提供了抗抵赖性？（）

A.表示层
B.应用层
C.传输层
D.数据链路层


点击查看答案


192、单项选择题  在企业内部互联网中，一个有效的安全控制机制是：（）

A.复查
B.静态密码
C.防火墙
D.动态密码


点击查看答案


193、单项选择题  以下哪种访问控制策略需要安全标签？（）

A.基于角色的策略
B.基于标识的策略
C.用户指向的策略
D.强制访问控制策略


点击查看答案


194、单项选择题  对于Linux的安全加固项说法错误的是哪项？（）

A.使用uname-a确认其内核是否有漏洞
B.检查系统是否有重复的UID用户
C.查看login.defs文件对于密码的限制
D.查看hosts文件确保Tcpwapper生效


点击查看答案


195、单项选择题  在检查IT安全风险管理程序，安全风险的测量应该（）

A.列举所有的网络风险
B.对应IT战略计划持续跟踪
C.考虑整个IT环境
D.识别对（信息系统）的弱点的容忍度的结果


点击查看答案


196、单项选择题  以下哪一个不是OSI安全体系结构中的安全机制（）

A.数字签名
B.路由控制
C.数据交换
D.抗抵赖


点击查看答案


197、单项选择题  应急响应领导小组组长应由以下哪个选项担任？（）

A.最高管理层
B.信息技术部门领导
C.业务部门领导
D.外部专家


点击查看答案


198、单项选择题  DNS查询（queries）工具中的DNS服务使用哪个端口？（）

A.UDP 53
B.TCP 23
C.UDP 23
D.TCP 53


点击查看答案


199、单项选择题  以下哪项行为可能使用嗅探泄露系统的管理员密码？（）

A.使用root用户访问FTP程序
B.使用root用户连接SSH服务
C.使用root进行SCP文件传输
D.在本地使用root用户登录


点击查看答案


200、单项选择题  在执行风险分析的时候，预期年度损失（ALE）的计算是：（）

A.全部损失乘以发生频率
B.全部损失费用+实际替代费用
C.单次预期损失乘以发生频率
D.资产价值乘以发生频率


点击查看答案


201、单项选择题  NT/2K安全模型中哪个关键组件能够保证用户有权力访问某些特定的资源？（）

A.LONGON过程（LP）
B.安全帐号管理（SAM）
C.安全参考监控器（SRM）
D.本地安全授权（LSA.


点击查看答案


202、单项选择题  （）Windows日志有三种类型：系统日志、应用程序日志、安全日志。这些日志文件通常存放在操作系统的安装区域的哪个目录下？

A.system32\config
B.system32\Data
C.system32\drivers
D.system32\Setup


点击查看答案


203、单项选择题  以下哪一个是在所有的WINDOWS2000和WINDOWS系统中都存在的日志是？（）

A.目录服务日志
B.文件复制日志
C.应用服务日志
D.DNS服务日志


点击查看答案


204、单项选择题  以下哪一种人给公司带来最大的安全风险？（）

A.临时工
B.咨询人员
C.以前员工
D.当前员工


点击查看答案


205、填空题  利用（）已经成为了计算机病毒传播的一个发展趋势。


点击查看答案


206、单项选择题  在橙皮书的概念中，信任是存在于以下哪一项中的？（）

A.操作系统
B.网络
C.数据库
D.应用程序系统


点击查看答案


207、单项选择题  定义ISMS范围时，下列哪项不是考虑的重点（）

A.组织现有的部门
B.信息资产的数量与分布
C.信息技术的应用区域
D.IT人员数量


点击查看答案


208、单项选择题  下列哪项是多级安全策略的必要组成部分？（）

A.主体、客体的敏感标签和自主访问控制。
B.客体敏感标签和强制访问控制。
C.主体的安全凭证、客体的安全标签和强制访问控制。
D.主体、客体的敏感标签和对其“系统高安全模式”的评价


点击查看答案


209、单项选择题  对于信息安全策略的描述错误的是？（）

A.信息安全策略是以风险管理为基础，需要做到面面俱到，杜绝风险的存在。
B.信息安全策略是在有限资源的前提下选择最优的风险管理对策。
C.防范不足会造成直接的损失；防范过多又会造成间接的损失。
D.信息安全保障需要从经济、技术、管理的可行性和有效性上做出权衡和取舍。


点击查看答案


210、单项选择题  TCP握手中，缩写RST指的是什么？（）

A.Reset
B.Response
C.Reply State
D.Rest


点击查看答案


211、单项选择题  电子商务交易必须具备抗抵赖性，目的在于防止（）。

A.一个实体假装成另一个实体
B.参与此交易的一方否认曾经发生过此次交易
C.他人对数据进行非授权的修改、破坏
D.信息从被监视的通信过程中泄漏出去


点击查看答案


212、单项选择题  下面哪一个不是对点击劫持的描述（）

A.是一种恶意攻击技术，用于跟踪网络用户并获取私密信息
B.通过让用户来点击看似正常的网页来远程控制其电脑
C.可以用嵌入代码或文本的形式出现，在用户毫不知情的情况下完成攻击
D.可以对方网络瘫痪


点击查看答案


213、单项选择题  以下哪个不是信息安全项目的需求来源（）

A.国家和地方政府法律法规与合同的要求
B.风险评估的结果
C.组织原则目标和业务需要
D.企业领导的个人意志


点击查看答案


214、单项选择题  在信息安全管理日常工作中，需要与哪些机构保持联系？（）

A.政府部门
B.监管部门
C.外部专家
D.以上都是


点击查看答案


215、填空题  数据库管理员拥有（）的一切权限


点击查看答案


216、判断题  专家评估是论文评价的主要方法之一。


点击查看答案


217、单项选择题  在Linux操作系统中，为了授权用户具有管理员的某些个性需求的权限所采取的措施是什么？（）

A.告诉其他用户root密码
B.将普通用户加入到管理员组
C.使用visudo命令授权用户的个性需求
D.创建单独的虚拟账户


点击查看答案


218、单项选择题  BS7799这个标准是由下面哪个机构研发出来的？（）

A.美国标准协会
B.英国标准协会
C.中国标准协会
D.国际标准协会


点击查看答案


219、单项选择题  评估业务连续计划效果最好的方法是：（）

A.使用适当的标准进行规划和比较
B.之前的测试结果
C.紧急预案和员工培训
D.环境控制和存储站点


点击查看答案


220、单项选择题  以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？（）

A.ISO/IEC7498-2
B.BS7799
C.通用评估准则
D.IATF


点击查看答案


221、单项选择题  单位中下面几种人员中哪种安全风险最大？（）

A.临时员工
B.外部咨询人员
C.现在对公司不满的员工
D.离职的员工


点击查看答案


222、填空题  我国于（）年发布实施了《专利法》。


点击查看答案


223、单项选择题  下列哪一项不是安全编程的原则：（）

A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法


点击查看答案


224、单项选择题  （）以下关于注册表子树用途描述错误的是哪个？

A、KEY_LOCAL_MACHINE包含了所有与本机有关的操作系统配置数据。
B、HKEY_CURRENT_USER包含当前用户的交互式的数据。
C、HKEY_CLASSES_ROOT包含软件的配置信息。
D、HKEY_USERS包含了活动的硬件


点击查看答案


225、单项选择题  信息安全审核是指通过审查、测试、评审等手段，检验风险评估和风险控制的结果是否满足信息系统的安全要求，这个工作一般由谁完成？（）

A.机构内部人员
B.外部专业机构
C.独立第三方机构
D.以上皆可


点击查看答案


226、单项选择题  以下哪种鉴别方法最好？（）

A.鉴别用户是什么
B.鉴别用户有什么
C.鉴别用户知道什么
D.鉴别用户有什么和知道什么


点击查看答案


227、单项选择题  网络“抄袭”纠纷频发反映了（）

A、互联网产业创新活力不足
B、互联网诚信缺失
C、互联网市场行为亟待规范
D、互联网立法工作的滞后


点击查看答案


228、单项选择题  如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为（）

A.常规加密系统
B.单密钥加密系统
C.公钥加密系统
D.对称加密系统


点击查看答案


229、单项选择题  TACACS使用哪个端口？（）

A.TCP 69
B.TCP 49
C.UDP 69
D.UDP 49


点击查看答案


230、填空题  美国（）政府提出来网络空间的安全战略。


点击查看答案


231、填空题  思维定式（）观察偏差的主观因素。


点击查看答案


232、单项选择题  下列哪一项准确地描述了可信计算基（TCB）？（）

A.TCB只作用于固件（FirmwarE.
B.TCB描述了一个系统提供的安全级别
C.TCB描述了一个系统内部的保护机制
D.TCB通过安全标签来表示数据的敏感性


点击查看答案


233、单项选择题  默认情况下，Window2000域之间的信任关系有什么特点？（）

A.只能单向，可以传递
B.只能单向，不可传递
C.可以双向，可以传递
D.可以双向，不可传递


点击查看答案


234、单项选择题  在制定一个正式的企业安全计划时，最关键的成功因素将是？（）

A.成立一个审查委员会
B.建立一个安全部门
C.向执行层发起人提供有效支持
D.选择一个安全流程的所有者


点击查看答案


235、单项选择题  系统上线前应当对系统安全配置进行检查，不包括下列哪种安全检查（）

A.主机操作系统安全配置检查
B.网络设备安全配置检查
C.系统软件安全漏洞检查
D.数据库安全配置检查


点击查看答案


236、填空题  灾难恢复和容灾是（）意思。


点击查看答案


237、单项选择题  内部审计部门，从组织结构上向财务总监而不是审计委员会报告，最有可能：（）

A.导致对其审计独立性的质疑
B.报告较多业务细节和相关发现
C.加强了审计建议的执行
D.在建议中采取更对有效行动


点击查看答案


238、单项选择题  在实施风险分析期间，识别出威胁和潜在影响后应该（）

A.识别和评定管理层使用的风险评估方法
B.识别信息资产和基本系统
C.揭示对管理的威胁和影响
D.识别和评价现有控制


点击查看答案


239、单项选择题  设施、网络、平台、介质、应用类信息资产的保密期限为（）

A.3年
B.长期
C.4月
D.短期


点击查看答案


240、判断题  制定完备的法律体系是有效治理互联网不良信息的法律前提与制度保障。


点击查看答案


241、单项选择题  校园网内由于病毒攻击、非法入侵等原因，200台以内的用户主机不能正常工作，属于以下哪种级别事件（）

A.特别重大事件
B.重大事件
C.较大事件
D.一般事件


点击查看答案


242、单项选择题  Rlogin在哪个TCP端口运行？（）

A.114
B.513
C.212
D.271


点击查看答案


243、单项选择题  管理评审的最主要目的是（）

A.确认信息安全工作是否得到执行
B.检查信息安全管理体系的有效性
C.找到信息安全的漏洞
D.考核信息安全部门的工作是否满足要求


点击查看答案


244、填空题  《计算机信息系统安全保护条例》规定，（）主管全国计算机信息安全保护工作。


点击查看答案


245、单项选择题  ISO27001认证项目一般有哪几个阶段？（）

A.管理评估，技术评估，操作流程评估
B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证
C.产品方案需求分析，解决方案提供，实施解决方案
D.基础培训，RA培训，文件编写培训，内部审核培训


点击查看答案


246、单项选择题  外部组织使用组织敏感信息资产时，以下正确的做法是？（）

A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。


点击查看答案


247、单项选择题  下述攻击手段中不属于DOS攻击的是：（）

A.Smurf攻击
B.Land攻击
C.Teardrop攻击
D.CGI溢出攻击


点击查看答案


248、单项选择题  恢复阶段的行动一般包括（）

A.建立临时业务处理能力
B.修复原系统损害
C.在原系统或新设施中恢复运行业务能力
D.避免造成更大损失


点击查看答案


249、单项选择题  以下哪些不是设备资产：（）

A.机房设施
B.周边设施
C.管理终端
D.操作系统


点击查看答案


250、判断题  我国现行的有关互联网安全的法律框架有法律、行政法规、行政规章和司法解释四个层面。


点击查看答案


251、单项选择题  依据信息系统安全保障模型，以下那个不是安全保证对象（）

A.机密性
B.管理
C.过程
D.人员


点击查看答案


252、单项选择题  （）默认情况下，所有用户对新创建的文件共享有什么权限？

A、读取
B、完全控制
C、写入
D、修改


点击查看答案


253、单项选择题  ITSEC中的F1-F5对应TCSEC中哪几个级别？（）

A.D到B2
B.C2到B3
C.C1到B3
D.C2到A1


点击查看答案


254、单项选择题  以下哪项不属于信息系统安全保障模型包含的方面？（）

A.保障要素。
B.生命周期。
C.安全特征。
D.通信安全。


点击查看答案


255、单项选择题  变更控制是信息系统运行管理的重要的内容，在变更控制的过程中：（）

A.应该尽量追求效率，而没有任何的程序和核查的阻碍。
B.应该将重点放在风险发生后的纠正措施上。
C.应该很好的定义和实施风险规避的措施。
D.如果是公司领导要求的，对变更过程不需要追踪和审查


点击查看答案


256、单项选择题  以下不属于Linux安全加固的内容是什么？（）

A.配置iptables
B.配置Tcpwapper
C.启用Selinux
D.修改root的UID


点击查看答案


257、单项选择题  以下发现属于Linux系统严重威胁的是什么？（）

A.发现不明的SUID可执行文件
B.发现应用的配置文件被管理员变更
C.发现有恶意程序在实时的攻击系统
D.发现防护程序收集了很多黑客攻击的源地址


点击查看答案


258、单项选择题  信息资产分级的最关键要素是（）

A.价值
B.时间
C.安全性
D.所有者


点击查看答案


259、单项选择题  输入参数过滤可以预防以下哪些攻击（）

A.SQL注入、跨站脚本、缓冲区溢出
B.SQL注入、跨站脚本、DNS毒药
C.SQL注入、跨站请求伪造、网络窃听
D.跨站请求伪造、跨站脚本、DNS毒药


点击查看答案


260、判断题  减速器的润滑方式，一般都采用油池润滑。（）


点击查看答案


261、单项选择题  在设计某公司技术性的恢复策略时，以下哪个方面是安全人员最为关注的？（）

A.目标恢复时间RTO
B.业务影响分析
C.从严重灾难中恢复的能力
D.目标恢复点RPO


点击查看答案


262、单项选择题  P2DR模型中的“反应”是在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态，这些措施包括？（）

A.关闭服务
B.向上级汇报
C.跟踪
D.消除影响


点击查看答案


263、单项选择题  CC中安全功能/保证要求的三层结构是（按照由大到小的顺序）：（）

A.类、子类、组件
B.组件、子类、元素
C.类、子类、元素
D.子类、组件、元素


点击查看答案


264、单项选择题  那种测试结果对开发人员的影响最大（）

A.单元测试和集成测试
B.系统测试
C.验收测试
D.渗透测试


点击查看答案


265、单项选择题  拒绝服务攻击损害了信息系统的哪一项性能？（）

A.完整性
B.可用性
C.保密性
D.可靠性


点击查看答案


266、单项选择题  2012年3月份，美国总统奥巴马宣布启动（），旨在提高从庞大而复杂的科学数据中提取知识的能力。

A、大数据研究与开发计划
B、大数据获取与提取计划
C、大数据安全保护计划
D、DT计划


点击查看答案


267、单项选择题  某组织的信息系统策略规定，终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应：（）

A.报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查


点击查看答案


268、单项选择题  风险评估和管理工具通常是指什么工具（）

A.漏洞扫描工具
B.入侵检测系统
C.安全审计工具
D.安全评估流程管理工具


点击查看答案


269、单项选择题  以下关于软件安全测试说法正确的是？（）

A.软件安全测试就是黑盒测试。
B.Fuzz测试是经常采用的安全测试方法之一。
C.软件安全测试关注的是软件的功能。
D.软件安全测试可以发现软件中产生的所有安全问题。


点击查看答案


270、多项选择题  不同设VLAN之间要进行通信，可以通过（）。

A、交换机
B、路由器
C、网闸
D、入侵检测
E、入侵防御系统


点击查看答案


271、单项选择题  面向对象的开发方法中，以下哪些机制对安全有帮助（）

A.封装
B.多态
C.继承
D.重载


点击查看答案


272、单项选择题  如果只能使用口令远程认证，以下哪种方案安全性最好？（）

A.高质量静态口令，散列保护传输
B.高质量静态口令，固定密钥加密保护传输
C.动态随机口令，明文传输
D.高质量静态口令，增加随机值，明文传输


点击查看答案


273、填空题  APT攻击是一种“（）”的攻击。


点击查看答案


274、填空题  即使在企业环境中，（）作为企业纵深防御的一部分也是十分必要的。


点击查看答案


275、单项选择题  （）安装Windows2000时，推荐使用哪种文件格式？

A、NTFS
B、FAT
C、FAT32
D、Linux


点击查看答案


276、判断题  网络道德的本质是社会道德，是社会道德在网络领域中的新体现。


点击查看答案


277、单项选择题  PDCA特征的描述不正确的是（）

A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题
B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题
C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足
D.信息安全风险管理的思路不符合PDCA的问题解决思路


点击查看答案


278、单项选择题  下面安全套接字层协议（SSL）的说法错误的是？（）

A.它是一种基于web应用的安全协议
B.由于SSL是内嵌在浏览器中的，无需安全客户端软件，所以相对于IPSec更简单易用
C.SSL与IPSec一样都工作在网络层
D.SSL可以提供身份认证、加密和完整性校验的功能


点击查看答案


279、单项选择题  下列哪一项准确描述了哈希算法、数字签名和对称密钥算法所提供的功能？（）

A.身份鉴别和完整性，完整性，机密性和完整性
B.完整性，身份鉴别和完整性，机密性和可用性
C.完整性，身份鉴别和完整性，机密性
D.完整性和机密性，完整性，机密性


点击查看答案


280、判断题  口令复杂度应有要求，所以复杂的口令可以不用修改。


点击查看答案


281、单项选择题  评估应急响应计划时，下列哪一项应当最被关注：（）

A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体应急响应计划被文档化，但详细恢复步骤没有规定
D.事件通告的职责没有被识别


点击查看答案


282、填空题  涉密信息系统的建设使用单位应对系统设计方案进行审查论证，保密行政管理部门应参与方案审查论证，在（）方面加强指导。


点击查看答案


283、单项选择题  下列几个OSI层中，哪一层既提供机密性服务又提供完整性服务？（）

A.数据链路层
B.物理层
C.应用层
D.表示层


点击查看答案


284、填空题  信息安全风险评估的自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的（）提供技术支持。


点击查看答案


285、单项选择题  要求用户必须登陆，并且用户有能力创建群组标识的最低安全级别是哪一级？（）

A.D
B.C1
C.C2
D.B1


点击查看答案


286、单项选择题  信息安全策略，声称“密码的显示必须以掩码的形式”的目的是防范下面哪种攻击风险？（）

A.尾随
B.垃圾搜索
C.肩窥
D.冒充


点击查看答案


287、单项选择题  （）是我国网络社会治理的方针。

A、分工负责、齐抓共管
B、积极防御、综合防范
C、一手抓管理、一手抓发展
D、保障公民权益、维护社会稳定


点击查看答案


288、单项选择题  下面哪一项是恢复非关键系统的最合理方案？（）

A.温站
B.移动站
C.热站
D.冷站


点击查看答案


289、多项选择题  法国对互联网的管理调控经历了（）时期.

A、政府调控
B、调控
C、自由调控
D、共同调控


点击查看答案


290、判断题  网络社会具有先进性、开放性、自由性、虚假性等特点。


点击查看答案


291、单项选择题  下列关于Kerberos的描述，哪一项是正确的？（）

A.埃及神话中的有三个头的狗。
B.安全模型。
C.远程身份验证拨入用户服务器。
D.一个值得信赖的第三方认证协议。


点击查看答案


292、单项选择题  以下哪个标准是ISO27001的前身标准？（）

A.BS5750
B.BS7750
C.BS7799
D.BS15000


点击查看答案


293、单项选择题  在完成了业务影响分析（BIA）后，下一步的业务持续性计划应该是什么（）

A.测试和维护业务持续性计划
B.制定一个针对性计划
C.制定恢复策略
D.实施业务持续性计划


点击查看答案


294、多项选择题  网络主体要提高自身的道德修养，要做到（）方面。

A、提高自己的道德修养水平
B、提高自己的道德修养层次
C、提高自己的网络技术水平
D、坚决同不道德的网络行为作斗争


点击查看答案


295、填空题  计算机网络所面临的威胁主要有对（）的威胁和对网络设备的威胁两种。


点击查看答案


296、单项选择题  射频识别（RFID）标签容易受到以下哪种风险？（）

A.进程劫持
B.窃听
C.恶意代码
D.Phishing


点击查看答案


297、单项选择题  一个组织将制定一项策略以定义了禁止用户访问的WEB站点类型。为强制执行这一策略，最有效的技术是什么？（）

A.状态检测防火墙
B.WE内容过滤器
C.WEB缓存服务器
D.应该代理服务器


点击查看答案


298、判断题  访问控制的主要作用是防止非法的主体进入受保护的网络资源，允许合法用户访问受保护的网络资源，允许合法的用户对受保护的网络资源进行非授权的访问。


点击查看答案


299、单项选择题  某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？（）

A.Bell-LaPadula模型
B.Biba模型
C.信息流模型
D.Clark-Wilson模型


点击查看答案


300、单项选择题  下列哪一项关于Bell-LaPadula模型特点的描述是错误的？（）

A.强调对信息保密性的保护，受到对信息保密要求较高的军政机关和企业的喜爱。
B.既定义了主体对客体的访问，也说明了主体对主体的访问。因此，它适用于网络系统。
C.它是一种强制访问控制模型，与自主访问控制模型相比具有强耦合，集中式授权的特点。
D.比起那些较新的模型而言，Bell-LaPadula定义的公理很简单，更易于理解，与所使用的实际系统具有直观的联系。


点击查看答案


题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
【大 中 小】【打印】 【繁体】 【关闭】 【返回顶部】
下一篇：核医学主治医师：专业知识考点巩..

相关栏目

问题咨询请搜索关注"91考试网"微信公众号后留言咨询