2024年信息安全師考試題庫及答案(含A.B卷)

A卷：

1、【單項選擇題】信息安全審核是指通過審查、測試、評審等手段,

檢驗風(fēng)險評估和風(fēng)險控制的結(jié)果是否滿足信息系統(tǒng)的安全要求，這個

工作一般由誰完成？()

A.機(jī)構(gòu)內(nèi)部人員

B.外部專業(yè)機(jī)構(gòu)

C.獨立第三方機(jī)構(gòu)

D.以上皆可

標(biāo)準(zhǔn)答案：D

2、【單項選擇題】企業(yè)信息資產(chǎn)的管理和控制的描述不正確的是()

A.企業(yè)應(yīng)該建立和維護(hù)一個完整的信息資產(chǎn)清單，并明確信息資產(chǎn)的

管控責(zé)任；

B.企業(yè)應(yīng)該根據(jù)信息資產(chǎn)的重要性和安全級別的不同要求，采取對應(yīng)

的管控措施；

C.企業(yè)的信息資產(chǎn)不應(yīng)該分類分級，所有的信息系統(tǒng)要統(tǒng)一對待

D.企業(yè)可以根據(jù)業(yè)務(wù)運作流程和信息系統(tǒng)拓?fù)浣Y(jié)構(gòu)來識別所有的信

息資產(chǎn)

標(biāo)準(zhǔn)答案：C

3、【單項選擇題】下面哪類設(shè)備常用于風(fēng)險分析過程中，識別系統(tǒng)中

存在的脆弱性？()

A.防火墻

B.IDS

C.漏洞掃描器

D.UTM

標(biāo)準(zhǔn)答案：C

4、【單項選擇題】下列哪一項最好地支持了24/7可用性？()

A.日常備份

B.離線存儲

C.鏡像

D.定期測試

標(biāo)準(zhǔn)答案：C

5、【單項選擇題】黑客造成的主要危害是()

A.破壞系統(tǒng)、竊取信息及偽造信息

B.攻擊系統(tǒng)、獲取信息及假冒信息

C.進(jìn)入系統(tǒng)、損毀信息及謠傳信息

D.進(jìn)入系統(tǒng)，獲取信息及偽造信息

標(biāo)準(zhǔn)答案：A

6、【填空題】APT攻擊是一種“()”的攻擊。

標(biāo)準(zhǔn)答案：惡意商業(yè)間諜威脅

本題解析：試題答案惡意商業(yè)間諜威脅

7、【單項選擇題】當(dāng)客戶需要訪問組織信息資產(chǎn)時，下面正確的做法

是？()

A.應(yīng)向其傳達(dá)信息安全要求及應(yīng)注意的信息安全問題。

B.盡量配合客戶訪問信息資產(chǎn)。

C.不允許客戶訪問組織信息資產(chǎn)。

D.不加干涉，由客戶自己訪問信息資產(chǎn)。

標(biāo)準(zhǔn)答案：A

8、【單項選擇題】誰對組織的信息安全負(fù)最終責(zé)任？()

A.安全經(jīng)理

B.高管層

C.IT經(jīng)理

D.業(yè)務(wù)經(jīng)理

標(biāo)準(zhǔn)答案：B

9、【單項選擇題】軟件的盜版是一個嚴(yán)重的問題。在下面哪一種說法

中反盜版的策略和實際行為是矛盾的？()

A.員工的教育和培訓(xùn)

B.遠(yuǎn)距離工作(Telecommuting)與禁止員工攜帶工作軟件回家

C.自動日志和審計軟件

D.策略的發(fā)布與策略的強(qiáng)制執(zhí)行

標(biāo)準(zhǔn)答案：B

10、【單項選擇題】在思科路由器中，為實現(xiàn)超時10分鐘后自動斷開

連接，實現(xiàn)的命令應(yīng)為下列哪一個。()

A.exec-timeout>10、0

B.exec-timeout>0、10

C.idle-timeout、10、0

D.idle-timeout、0、10

標(biāo)準(zhǔn)答案：A

n、【單項選擇題】《關(guān)于信息安全等級保護(hù)的實施意見》中信息和信

息系統(tǒng)安全保護(hù)等級的第三級的定義是()

A.自主保護(hù)級

B.指導(dǎo)保護(hù)級

C.強(qiáng)制保護(hù)級

D.監(jiān)督保護(hù)級

標(biāo)準(zhǔn)答案：D

12、【單項選擇題】當(dāng)組織將客戶信用審查系統(tǒng)外包給第三方服務(wù)提

供商時，下列哪一項是信息安全專業(yè)人士最重要的考慮因素？該提供

商：O

A.滿足并超過行業(yè)安全標(biāo)準(zhǔn)

B.同意可以接受外部安全審查

C.其服務(wù)和經(jīng)驗有很好的市場聲譽

D.符合組織的安全策略

標(biāo)準(zhǔn)答案：D

13、【單項選擇題】一個組織具有的大量分支機(jī)構(gòu)且分布地理區(qū)域較

廣。以確保各方面的災(zāi)難恢復(fù)計劃的評估，具有成本效益的方式，應(yīng)

建議使用：O

A.數(shù)據(jù)恢復(fù)測試

B.充分的業(yè)務(wù)測試

C.前后測試

D.預(yù)案測試

標(biāo)準(zhǔn)答案：D

14、【單項選擇題】事件響應(yīng)方法學(xué)定義了安全事件處理的流程，這

個流程的順序是：O

A.準(zhǔn)備一抑制一檢測一根除一恢復(fù)一跟進(jìn)

B.準(zhǔn)備一檢測一抑制一恢復(fù)一根除一跟進(jìn)

C.準(zhǔn)備一檢測一抑制一根除一恢復(fù)一跟進(jìn)

D.準(zhǔn)備一抑制一根除一檢測一恢復(fù)一跟進(jìn)

標(biāo)準(zhǔn)答案：C

15、【單項選擇題】授權(quán)訪問信息資產(chǎn)的責(zé)任人應(yīng)該是()

A.資產(chǎn)保管員

B.安全管理員

C.資產(chǎn)所有人

D.安全主管

標(biāo)準(zhǔn)答案：C

16、【單項選擇題】以下哪一種局域網(wǎng)傳輸媒介是最可靠的？()

A.同軸電纜

B.光纖

C.雙絞線(屏蔽)

D.雙絞線(非屏蔽)

標(biāo)準(zhǔn)答案：B

17、【單項選擇題】BIBA模型基于兩種規(guī)則來保障數(shù)據(jù)的完整性的保

密性，分別是：O

A.上讀，主體不可讀安全級別高于它的數(shù)據(jù)；下寫，主體不可寫安全

級別低于它的數(shù)據(jù)

B.下讀，主體不可讀安全級別高于它的數(shù)據(jù)；上寫，主體不可寫安全

級別低于它的數(shù)據(jù)

C.上讀，主體不可讀安全級別低于它的數(shù)據(jù)；下寫，主體不可寫安全

級別高于它的數(shù)據(jù)

D.下讀，主體不可讀安全級別低于它的數(shù)據(jù)；上寫，主體不可寫安全

級別高于它的數(shù)據(jù)

標(biāo)準(zhǔn)答案：D

18、【單項選擇題】O以下關(guān)于注冊表子樹用途描述錯誤的是哪個？

A、KEY_LOCAL_MACHINE包含了所有與本機(jī)有關(guān)的操作系統(tǒng)配置數(shù)據(jù)。

B、HKEY_CURRENT_USER包含當(dāng)前用戶的交互式的數(shù)據(jù)。

C、HKEY_CLASSES^ROOT包含軟件的配置信息。

D、HKEY_USERS包含了活動的硬件

標(biāo)準(zhǔn)答案：D

19、【單項選擇題】下列關(guān)于Kerberos的描述，哪一項是正確的？（）

A.埃及神話中的有三個頭的狗。

B.安全模型。

C.遠(yuǎn)程身份驗證撥入用戶服務(wù)器。

D.一個值得信賴的第三方認(rèn)證協(xié)議。

標(biāo)準(zhǔn)答案：D

20.【單項選擇題】以下哪項行為可能使用嗅探泄露系統(tǒng)的管理員密

碼？()

A,使用root用戶訪問FTP程序

B.使用root用戶連接SSH服務(wù)

C.使用root進(jìn)行SCP文件傳輸

D.在本地使用root用戶登錄

標(biāo)準(zhǔn)答案：A

21、【單項選擇題】信息安全管理手段不包括以下哪一項()

A.技術(shù)

B.流程

C.人員

D.市場

標(biāo)準(zhǔn)答案：B

22、【單項選擇題】信息資產(chǎn)分級的最關(guān)鍵要素是()

A.價值

B.時間

C.安全性

D.所有者

標(biāo)準(zhǔn)答案：A

23、【單項選擇題】下面對于強(qiáng)制訪問控制的說法錯誤的是？()

A.它可以用來實現(xiàn)完整性保護(hù)，也可以用來實現(xiàn)機(jī)密性保護(hù)

B.在強(qiáng)制訪問控制的系統(tǒng)中，用戶只能定義客體的安全屬性

C.它在軍方和政府等安全要求很高的地方應(yīng)用較多

D.它的缺點是使用中的便利性比較低

標(biāo)準(zhǔn)答案：B

24、【單項選擇題】以下哪個模型主要用于金融機(jī)構(gòu)信息系統(tǒng)的保護(hù)？

O

A.Chinesewall模型

B.BIBA模型

C.Clark—Wilson模型

D.BMA模型

標(biāo)準(zhǔn)答案：A

25、【填空題】災(zāi)難恢復(fù)和容災(zāi)是()意思。

標(biāo)準(zhǔn)答案：同一個

本題解析：試題答案同一個

26、【判斷題】入侵檢測技術(shù)能夠識別來自外部用戶的入侵行為和內(nèi)

部用戶的未經(jīng)授權(quán)活動。

標(biāo)準(zhǔn)答案：對

27、【單項選擇題】以下發(fā)現(xiàn)屬于Linux系統(tǒng)嚴(yán)重威脅的是什么？()

A.發(fā)現(xiàn)不明的SUID可執(zhí)行文件

B.發(fā)現(xiàn)應(yīng)用的配置文件被管理員變更

C.發(fā)現(xiàn)有惡意程序在實時的攻擊系統(tǒng)

D.發(fā)現(xiàn)防護(hù)程序收集了很多黑客攻擊的源地址

標(biāo)準(zhǔn)答案：A

28、【單項選擇題】當(dāng)曾經(jīng)用于存放機(jī)密資料的PC在公開市場出售時

O

A.對磁盤進(jìn)行消磁

B.對磁盤低級格式化

C.刪除數(shù)據(jù)

D.對磁盤重整

標(biāo)準(zhǔn)答案：A

29、【單項選擇題】企業(yè)信息安全事件的恢復(fù)過程中，以下哪個是最

關(guān)鍵的？()

A.數(shù)據(jù)

B.應(yīng)用系統(tǒng)

C.通信鏈路

D.硬件/軟件

標(biāo)準(zhǔn)答案：A

30、【單項選擇題】特洛伊木馬攻擊的危脅類型屬于()

A.授權(quán)侵犯威脅

B.植入威脅

C.滲入威脅

D.破壞威脅

標(biāo)準(zhǔn)答案：B

31、【單項選擇題】區(qū)別脆弱性評估和滲透測試是脆弱性評估()

A.檢查基礎(chǔ)設(shè)施并探測脆弱性，然而穿透性測試目的在于通過脆弱性

檢測其可能帶來的損失

B.和滲透測試為不同的名稱但是同一活動

C.是通過自動化工具執(zhí)行，而滲透測試是一種完全的手動過程

D.是通過商業(yè)工具執(zhí)行，而滲透測試是執(zhí)行公共進(jìn)程

標(biāo)準(zhǔn)答案：A

32、【單項選擇題】在Windows操作系統(tǒng)下，由于O端口探測沒有

限制，能夠讓別人探測到一些數(shù)據(jù)庫信息，因此IPSec過濾拒絕掉該

端口的UDP通信，可以盡可能地隱藏你的SQLServer。

A、1434

B、1433

C、3305

D、3306

標(biāo)準(zhǔn)答案：A

33、【單項選擇題】下面哪一個不是系統(tǒng)設(shè)計階段風(fēng)險管理的工作內(nèi)

容()

A.安全技術(shù)選擇

B.軟件設(shè)計風(fēng)險控制

C.安全產(chǎn)品選擇

D.安全需求分析

標(biāo)準(zhǔn)答案：D

34、單項選擇題以下哪項活動對安全編碼沒有幫助（）

A.代碼審計

B.安全編碼規(guī)范

C.編碼培訓(xùn)

D.代碼版本管理

標(biāo)準(zhǔn)答案：D

35、【單項選擇題】NT/2K安全模型中哪個關(guān)鍵組件能夠保證用戶有權(quán)

力訪問某些特定的資源？（）

A.LONGON過程（LP）

B.安全帳號管理（SAM）

C.安全參考監(jiān)控器（SRM）

D.本地安全授權(quán)（LSA.

標(biāo)準(zhǔn)答案：C

36、【單項選擇題】變更控制是信息系統(tǒng)運行管理的重要的內(nèi)容，在

變更控制的過程中：O

A.應(yīng)該盡量追求效率，而沒有任何的程序和核查的阻礙。

B.應(yīng)該將重點放在風(fēng)險發(fā)生后的糾正措施上。

C.應(yīng)該很好的定義和實施風(fēng)險規(guī)避的措施。

D.如果是公司領(lǐng)導(dǎo)要求的，對變更過程不需要追蹤和審查

標(biāo)準(zhǔn)答案：C

37、【單項選擇題】下列哪一個是PKI體系中用以對證書進(jìn)行訪問的

協(xié)議？（）

A.SSL

B.LDAP

C.CA

D.IKE

標(biāo)準(zhǔn)答案：B

38、【單項選擇題】戴明循環(huán)執(zhí)行順序，下面哪項正確？()

A.PLAN-ACT-DO-CHECK

B.CHECK-PLAN-ACT-DO

C.PLAN-DO-CHECK-ACT

D.ACT-PLAN-CHECK-DO

標(biāo)準(zhǔn)答案：C

39、【單項選擇題】

在選擇外部供貨生產(chǎn)商時，評價標(biāo)準(zhǔn)按照重要性的排列順序是：O

1.供貨商與信息系統(tǒng)部門的接近程度

2.供貨商雇員的態(tài)度

3.供貨商的信譽、專業(yè)知識、技術(shù)

4.供貨商的財政狀況和管理情況

A.4,3,1,2

B.3,4,2,1

C.3,2,4,1

D.1,2,3,4

標(biāo)準(zhǔn)答案：B

40、【單項選擇題】從業(yè)務(wù)角度出發(fā)，最大的風(fēng)險可能發(fā)生在那個階

段（）

A.立項可行性分析階段

B.系統(tǒng)需求分析階段

C.架構(gòu)設(shè)計和編碼階段

D.投產(chǎn)上線階段

標(biāo)準(zhǔn)答案：A

41、【填空題】蹭網(wǎng)指攻擊者使用自己計算機(jī)中的無線網(wǎng)卡連接他人

的無線路由器上網(wǎng)，而不是通過（）提供的線路上網(wǎng)。

標(biāo)準(zhǔn)答案：正規(guī)的ISP

本題解析：試題答案正規(guī)的ISP

42、【單項選擇題】密碼出口政策最嚴(yán)格的是以下哪個國家？（）

A.法國

B.美國

C.愛爾蘭

D.新加坡

標(biāo)準(zhǔn)答案：B

43、問答題入侵檢測系統(tǒng)分為哪幾種，各有什么特點？

標(biāo)準(zhǔn)答案：主機(jī)型入侵檢測系統(tǒng)（HIDS）,網(wǎng)絡(luò)型入侵檢測系統(tǒng)（N

本題解析：試題答案主機(jī)型入侵檢測系統(tǒng)（HIDS）,網(wǎng)絡(luò)型入侵檢測

系統(tǒng)（NIDS）。HIDS一般部署在下述四種情況下：

1）網(wǎng)絡(luò)帶寬高太高無法進(jìn)行網(wǎng)絡(luò)監(jiān)控

2）網(wǎng)絡(luò)帶寬太低不能承受網(wǎng)絡(luò)IDS的開銷

3）網(wǎng)絡(luò)環(huán)境是高度交換且交換機(jī)上沒有鏡像端口

4）不需要廣泛的入侵檢測HIDS往往以系統(tǒng)日志、應(yīng)用程序日志作為

數(shù)據(jù)源；檢測主機(jī)上的命令序列比檢測網(wǎng)絡(luò)流更簡單，系統(tǒng)的復(fù)雜性

也少得多，所以主機(jī)檢測系統(tǒng)誤報率比網(wǎng)絡(luò)入侵檢測系統(tǒng)的誤報率要

低；他除了檢測自身的主機(jī)以外，根本不檢測網(wǎng)絡(luò)上的情況，而且對

入侵行為分析的工作量將隨著主機(jī)數(shù)量的增加而增加，因此全面部署

主機(jī)入侵檢測系統(tǒng)代價比較大，企業(yè)很難將所有主機(jī)用主機(jī)入侵檢測

系統(tǒng)保護(hù)，只能選擇部分主機(jī)進(jìn)行保護(hù)，那些未安裝主機(jī)入侵檢測系

統(tǒng)的機(jī)器將成為保護(hù)的忙點，入侵者可利用這些機(jī)器達(dá)到攻擊的目標(biāo)。

依賴于服務(wù)器固有的日志和監(jiān)視能力，。如果服務(wù)器上沒有配置日志

功能，則必須重新配置，這將給運行中的業(yè)務(wù)系統(tǒng)帶來不可預(yù)見的性

能影響。NIDS一般部署在比較重要的網(wǎng)段內(nèi)，它不需要改變服務(wù)器等

主機(jī)的配置，由于他不會在業(yè)務(wù)系統(tǒng)的主機(jī)中安裝額外的軟件，從而

不會影響這些機(jī)器的CPU、I/O與磁盤等資源的使用，不會影響業(yè)務(wù)

系統(tǒng)的性能。NIDS的數(shù)據(jù)源是網(wǎng)絡(luò)上的數(shù)據(jù)包。通過線路竊聽的手段

對捕獲的網(wǎng)絡(luò)分組進(jìn)行處理，從中獲取有用的信息。一個網(wǎng)段上只需

要安裝一個或幾個這樣的系統(tǒng)，便可以檢測整個網(wǎng)絡(luò)的情況，比較容

易實現(xiàn)。由于現(xiàn)在網(wǎng)絡(luò)的日趨復(fù)雜和高速網(wǎng)絡(luò)的普及，這種結(jié)構(gòu)正接

受者越來越大的挑戰(zhàn)。

44、【單項選擇題】企業(yè)的業(yè)務(wù)持續(xù)性計劃中應(yīng)該以記錄以下內(nèi)容的

預(yù)定規(guī)則為基礎(chǔ)（）

A.損耗的持續(xù)時間

B.損耗的類型

C.損耗的可能性

D.損耗的原因

標(biāo)準(zhǔn)答案：A

45、【單項選擇題】以下不是信息資產(chǎn)是哪一項？()

A.服務(wù)器

B.機(jī)房空調(diào)

C.鼠標(biāo)墊

D.U盤

標(biāo)準(zhǔn)答案：C

46、【單項選擇題】廣義的網(wǎng)絡(luò)信息保密性是指()

A、利用密碼技術(shù)對信息進(jìn)行加密處理，以防止信息泄漏和保護(hù)信息

不為非授權(quán)用戶掌握

B、保證數(shù)據(jù)在傳輸、存儲等過程中不被非法修改

C、對數(shù)據(jù)的截獲、篡改采取完整性標(biāo)識的生成與檢驗技術(shù)

D、保守國家機(jī)密，或是未經(jīng)信息擁有者的許可，不得非法泄漏該保

密信息給非授權(quán)人員

標(biāo)準(zhǔn)答案：A

47、【填空題】對信息的O；O；O的特性稱為完整性保護(hù)。

標(biāo)準(zhǔn)答案：防篡改；防刪除；防插入

本題解析：試題答案防篡改；防刪除；防插入

48、【單項選擇題】對安全策略的描述不正確的是()

A.信息安全策略(或者方針)是由組織的最高管理者正式制訂和發(fā)布

的描述企業(yè)信息安全目標(biāo)和方向，用于指導(dǎo)信息安全管理體系的建立

和實施過程

B.策略應(yīng)有一個屬主，負(fù)責(zé)按復(fù)查程序維護(hù)和復(fù)查該策略

C.安全策略的內(nèi)容包括管理層對信息安全目標(biāo)和原則的聲明和承諾;

D.安全策略一旦建立和發(fā)布，則不可變更

標(biāo)準(zhǔn)答案：D

本題解析：暫無解析

49、【單項選擇題】那種測試結(jié)果對開發(fā)人員的影響最大()

A.單元測試和集成測試

B.系統(tǒng)測試

C.驗收測試

D.滲透測試

標(biāo)準(zhǔn)答案：C

50、【單項選擇題】以下關(guān)于風(fēng)險評估的描述不正確的是？()

A.作為風(fēng)險評估的要素之一，威脅發(fā)生的可能需要被評估

B.作為風(fēng)險評估的要素之一，威脅發(fā)生后產(chǎn)生的影響需要被評估

C.風(fēng)險評估是風(fēng)險管理的第一步

D.風(fēng)險評估是風(fēng)險管理的最終結(jié)果

標(biāo)準(zhǔn)答案：D

51、問答題密碼的研究、生產(chǎn)、銷售時哪個部門負(fù)責(zé)的？

標(biāo)準(zhǔn)答案：商用密碼技術(shù)屬于國家秘密；國家密碼管理機(jī)構(gòu)主管全國

的商

本題解析：試題答案商用密碼技術(shù)屬于國家秘密；國家密碼管理機(jī)構(gòu)

主管全國的商用密碼管理工作。

52、【單項選擇題】以下哪項機(jī)制與數(shù)據(jù)處理完整性相關(guān)()

A.數(shù)據(jù)庫事務(wù)完整性機(jī)制

B.數(shù)據(jù)庫自動備份復(fù)制機(jī)制

C.雙機(jī)并行處理，并相互驗證

D.加密算法

標(biāo)準(zhǔn)答案：D

53、【多項選擇題】期刊發(fā)表的周期有()。

A.日刊

B、周刊

C、半月刊

D、月刊

E、旬刊

標(biāo)準(zhǔn)答案：B,C,D,E

54、【單項選擇題】信息安全風(fēng)險管理的最終責(zé)任人是？()

A.決策層

B.管理層

C.執(zhí)行層

D.支持層

標(biāo)準(zhǔn)答案：A

55、【單項選擇題】下述攻擊手段中不屬于DOS攻擊的是：O

A.Smurf攻擊

B.Land攻擊

C.Teardrop攻擊

D.CGI溢出攻擊

標(biāo)準(zhǔn)答案：D

56、【單項選擇題】P2DR模型通過傳統(tǒng)的靜態(tài)安全技術(shù)和方法提高網(wǎng)

絡(luò)的防護(hù)能力，這些技術(shù)包括？()

A.實時監(jiān)控技術(shù)。

B.訪問控制技術(shù)。

C.信息加密技術(shù)。

D.身份認(rèn)證技術(shù)。

標(biāo)準(zhǔn)答案：A

57、【單項選擇題】下面哪一項不是主機(jī)型入侵檢測系統(tǒng)的優(yōu)點？()

A.性能價格比高

B.視野集中

C.敏感細(xì)膩

D.占資源少

標(biāo)準(zhǔn)答案：D

58、【單項選擇題】為了防止物理上取走數(shù)據(jù)庫而采取的加強(qiáng)數(shù)據(jù)庫

安全的方法是()

A、數(shù)據(jù)加密

B、數(shù)據(jù)庫加密

C、口令保護(hù)

D、數(shù)據(jù)審計

標(biāo)準(zhǔn)答案：B

59、【單項選擇題】在WindowsNT/2K中，哪些成員可以修改新建文件

或文件夾的默認(rèn)共享設(shè)置？()

A.域管理員

B.域用戶

C.所有人

D.管理員

標(biāo)準(zhǔn)答案：D

60、【單項選擇題】網(wǎng)絡(luò)安全一般是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其O

受到保護(hù)，不因偶然的或者惡意的原因而遭受破壞、更改、泄漏，系

統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。

A、系統(tǒng)中的文件

B、系統(tǒng)中的圖片

C、系統(tǒng)中的數(shù)據(jù)

D、系統(tǒng)中的視頻

標(biāo)準(zhǔn)答案：C

61、【單項選擇題】有關(guān)人員安全管理的描述不正確的是？()

A.人員的安全管理是企業(yè)信息安全管理活動中最難的環(huán)節(jié)。

B.重要或敏感崗位的人員入職之前，需要做好人員的背景檢查。

C.如職責(zé)分離難以實施，企業(yè)對此無能為力，也無需做任何工作。

D.人員離職之后，必須清除離職員工所有的邏輯訪問帳號。

標(biāo)準(zhǔn)答案：C

62、【單項選擇題】覆蓋和消磁不用在對以下哪一種計算機(jī)存儲器或

存儲媒介進(jìn)行清空的過程？（）

A.隨機(jī)訪問存儲器（RAM）

B.只讀存儲器（ROM）

C.磁性核心存儲器

D.磁性硬盤

標(biāo)準(zhǔn)答案：B

63、【單項選擇題】包括了對整個應(yīng)用程序、控制程序的邏輯和數(shù)據(jù)

的邏輯合法性和合理性的審計方法是（）

A、設(shè)備安全的審計

B、應(yīng)用程序的審計

C、系統(tǒng)操作的審計

D、欺詐行為的審計

標(biāo)準(zhǔn)答案：B

64、【單項選擇題】監(jiān)視惡意代碼主體程序是否正常的技術(shù)是？（）

A.進(jìn)程守護(hù)

B.備份文件

C.超級權(quán)限

D.HOOK技術(shù)

標(biāo)準(zhǔn)答案：A

65、【單項選擇題】組織內(nèi)應(yīng)急通知應(yīng)主要采用以下哪種方式()

A.電話

B.電子郵件

C.人員

D.公司0A

標(biāo)準(zhǔn)答案：A

66、【單項選擇題】設(shè)施、網(wǎng)絡(luò)、平臺、介質(zhì)、應(yīng)用類信息資產(chǎn)的保密

期限為()

A.3年

B.長期

C.4月

D.短期

標(biāo)準(zhǔn)答案：B

67、【單項選擇題】測試程序變更管理流程時，安全管理體系內(nèi)審員

使用的最有效的方法是：O

A.由系統(tǒng)生成的信息跟蹤到變更管理文檔

B.檢查變更管理文檔中涉及的證據(jù)的精確性和正確性

C.由變更管理文檔跟蹤到生成審計軌跡的系統(tǒng)

D.檢查變更管理文檔中涉及的證據(jù)的完整性

標(biāo)準(zhǔn)答案：A

68、【單項選擇題】對于外部組織訪問企業(yè)信息資產(chǎn)的過程中相關(guān)說

法不正確的是？（）

A.為了信息資產(chǎn)更加安全，禁止外部組織人員訪問信息資產(chǎn)。

B.應(yīng)確保相關(guān)信息處理設(shè)施和信息資產(chǎn)得到可靠的安全保護(hù)。

C.訪問前應(yīng)得到信息資產(chǎn)所有者或管理者的批準(zhǔn)。

D.應(yīng)告知其所應(yīng)當(dāng)遵守的信息安全要求。

標(biāo)準(zhǔn)答案：A

69、【單項選擇題】以下哪個不是信息安全項目的需求來源（）

A.國家和地方政府法律法規(guī)與合同的要求

B.風(fēng)險評估的結(jié)果

C.組織原則目標(biāo)和業(yè)務(wù)需要

D.企業(yè)領(lǐng)導(dǎo)的個人意志

標(biāo)準(zhǔn)答案：D

70、【單項選擇題】“進(jìn)不來”“拿不走”“看不懂”“改不了”“走

不脫”是網(wǎng)絡(luò)信息安全建設(shè)的目的。其中，“看不懂”是指下面那種

安全服務(wù)：O

A.數(shù)據(jù)加密

B.身份認(rèn)證

C.數(shù)據(jù)完整性

D.訪問控制

標(biāo)準(zhǔn)答案：A

71、【單項選擇題】FTP使用哪個TCP端口？（）

A.21

B.23

C.110

D.5

標(biāo)準(zhǔn)答案：A

72、【單項選擇題】以下哪一項是已經(jīng)被確認(rèn)了的具有一定合理性的

風(fēng)險？()

A.總風(fēng)險

B.最小化風(fēng)險

C.可接受風(fēng)險

D.殘余風(fēng)險

標(biāo)準(zhǔn)答案：C

73、【單項選擇題】保護(hù)輪廓(PP)是下面哪一方提出的安全要求？

O

A.評估方

B.開發(fā)方

C.用戶方

D.制定標(biāo)準(zhǔn)方

標(biāo)準(zhǔn)答案：C

74、【單項選擇題】由于獨立的信息系統(tǒng)增加，一個國有房產(chǎn)公司要

求在發(fā)生重大故障后，必須保證能夠繼續(xù)提供IT服務(wù)。需要實施哪

個流程才能提供這種保證性？()

A.可用性管理

B.IT服務(wù)連續(xù)性管理

C.服務(wù)級別管理

D.服務(wù)管理

標(biāo)準(zhǔn)答案：B

75、【單項選擇題】人員入職過程中，以下做法不正確的是？（）

A.入職中簽署勞動合同及保密協(xié)議。

B.分配工作需要的最低權(quán)限。

C.允許訪問企業(yè)所有的信息資產(chǎn)。

D,進(jìn)行安全意思培訓(xùn)。

標(biāo)準(zhǔn)答案：C

76、【單項選擇題】以下有關(guān)訪問控制的描述不正確的是（）

A.口令是最常見的驗證身份的措施，也是重要的信息資產(chǎn)，應(yīng)妥善保

護(hù)和管理

B.系統(tǒng)管理員在給用戶分配訪問權(quán)限時，應(yīng)該遵循“最小特權(quán)原則”，

即分配給員工的訪問權(quán)限只需滿足其工作需要的權(quán)限，工作之外的權(quán)

限一律不能分配

C.單點登錄系統(tǒng)（一次登錄/驗證，即可訪問多個系統(tǒng)）最大的優(yōu)勢

是提升了便利性，但是又面臨著“把所有雞蛋放在一個籃子”的風(fēng)險;

D.雙因子認(rèn)證（又稱強(qiáng)認(rèn)證）就是一個系統(tǒng)需要兩道密碼才能進(jìn)入

標(biāo)準(zhǔn)答案：D

77、【單項選擇題】下列哪一項是DOS攻擊的一個實例？（）

A.SQL注入

B.IPSpoof

C.Smurf攻擊

D.字典破解

標(biāo)準(zhǔn)答案：C

78、【單項選擇題】組織內(nèi)數(shù)據(jù)安全官的最為重要的職責(zé)是：O

A.推薦并監(jiān)督數(shù)據(jù)安全策略

B.在組織內(nèi)推廣安全意識

C.制定IT安全策略下的安全程序/流程

D.管理物理和邏輯訪問控制

標(biāo)準(zhǔn)答案：A

79、【單項選擇題】某種防火墻的缺點是沒有辦法從非常細(xì)微之處來

分析數(shù)據(jù)包，但它的優(yōu)點是非常快,這種防火墻是以下的哪一種？()

A.電路級網(wǎng)關(guān)

B.應(yīng)用級網(wǎng)關(guān)

C.會話層防火墻

D.包過濾防火墻

標(biāo)準(zhǔn)答案：D

80、【單項選擇題】下面哪一個不是系統(tǒng)運行維護(hù)階段風(fēng)險管理的工

作內(nèi)容()

A.安全運行和管理

B.安全測試

C.變更管理

D.風(fēng)險再次評估

標(biāo)準(zhǔn)答案：B

81、【單項選擇題】在未受保護(hù)的通信線路上傳輸數(shù)據(jù)和使用弱口令

是一種？()

A.弱點

B.威脅

C.可能性

D.影響

標(biāo)準(zhǔn)答案：A

82、【單項選擇題】作為信息安全治理的成果，戰(zhàn)略方針提供了：O

A.企業(yè)所需的安全要求

B.遵從最佳實務(wù)的安全基準(zhǔn)

C.日常化制度化的解決方案

D.風(fēng)險暴露的理解

標(biāo)準(zhǔn)答案：A

83、【單項選擇題】下面安全套接字層協(xié)議(SSL)的說法錯誤的是？

O

A.它是一種基于web應(yīng)用的安全協(xié)議

B.由于SSL是內(nèi)嵌在瀏覽器中的，無需安全客戶端軟件，所以相對于

IPSec更簡單易用

C.SSL與IPSec一樣都工作在網(wǎng)絡(luò)層

D.SSL可以提供身份認(rèn)證、加密和完整性校驗的功能

標(biāo)準(zhǔn)答案：C

84、【單項選擇題】BMA訪問控制模型是基于()

A.健康服務(wù)網(wǎng)絡(luò)

B.ARPANET

C.ISP

D.INTERNET

標(biāo)準(zhǔn)答案：A

85、【判斷題】互聯(lián)網(wǎng)不良信息泛濫的原因有多種，網(wǎng)絡(luò)道德觀念的

缺乏屬其中一種。

標(biāo)準(zhǔn)答案：錯

86、【單項選擇題】對于在ISMS內(nèi)審中所發(fā)現(xiàn)的問題，在審核之后應(yīng)

該實施必要的改進(jìn)措施并進(jìn)行跟蹤和評價，以下描述不正確的是？()

A.改進(jìn)措施包括糾正和預(yù)防措施

B.改進(jìn)措施可由受審單位提出并實施

C.不可以對體系文件進(jìn)行更新或修改

D.對改進(jìn)措施的評價應(yīng)該包括措施的有效性的分析

標(biāo)準(zhǔn)答案：C

87、【單項選擇題】下面哪一個不是對點擊劫持的描述()

A.是一種惡意攻擊技術(shù)，用于跟蹤網(wǎng)絡(luò)用戶并獲取私密信息

B.通過讓用戶來點擊看似正常的網(wǎng)頁來遠(yuǎn)程控制其電腦

C.可以用嵌入代碼或文本的形式出現(xiàn)，在用戶毫不知情的情況下完成

攻擊

D.可以對方網(wǎng)絡(luò)癱瘓

標(biāo)準(zhǔn)答案：D

88、【判斷題】口令復(fù)雜度應(yīng)有要求，所以復(fù)雜的口令可以不用修改。

標(biāo)準(zhǔn)答案：對

89、【單項選擇題】應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組主要職責(zé)包括：O

A.對應(yīng)急響應(yīng)工作的承諾和支持，包括發(fā)布正式文件、提供必要資源

(人財物)等；

B.審核并批準(zhǔn)應(yīng)急響應(yīng)計劃；

C.負(fù)責(zé)組織的外部協(xié)作工作

D.組織應(yīng)急響應(yīng)計劃演練

標(biāo)準(zhǔn)答案：D

90、【單項選擇題】有關(guān)定性風(fēng)險評估和定量風(fēng)險評估的區(qū)別，以下

描述不正確的是()

A.定性風(fēng)險評估比較主觀，而定量風(fēng)險評估更客觀

B.定性風(fēng)險評估容易實施，定量風(fēng)險評估往往數(shù)據(jù)準(zhǔn)確性很難保證

C.定性風(fēng)險評估更成熟，定量風(fēng)險評估還停留在理論階段

D.定性風(fēng)險評估和定量風(fēng)險評估沒有本質(zhì)區(qū)別，可以通用

標(biāo)準(zhǔn)答案：D

91、【判斷題】系統(tǒng)里的信息涉及國家秘密的信息系統(tǒng)，只要其中的

涉密信息很少，就不算是涉密信息系統(tǒng)。

標(biāo)準(zhǔn)答案：錯

92、【單項選擇題】“如果一條鏈路發(fā)生故障，那么只有和該鏈路相

連的終端才會受到影響”，這一說法是適合于以下哪一種拓?fù)浣Y(jié)構(gòu)的

網(wǎng)絡(luò)的？()

A.星型

B.樹型

C.環(huán)型

D.復(fù)合型

標(biāo)準(zhǔn)答案：A

93、【單項選擇題】以下哪些不屬于敏感性標(biāo)識()

A.不干貼方式

B.印章方式

C.電子標(biāo)簽

D.個人簽名

標(biāo)準(zhǔn)答案：D

94、【單項選擇題】在進(jìn)行風(fēng)險分析的時候，發(fā)現(xiàn)預(yù)測可能造成的風(fēng)

險的經(jīng)濟(jì)損失時有一定困難。為了評估潛在的損失，應(yīng)該：O

A.計算相關(guān)信息資產(chǎn)的攤銷費用

B.計算投資的回報

C.應(yīng)用定性的方法進(jìn)行評估

D.花費必要的時間去評估具體的損失的金額

標(biāo)準(zhǔn)答案：C

95、【單項選擇題】不受限制的訪問生產(chǎn)系統(tǒng)程序的權(quán)限將授予以下

哪些人？()

A.審計師

B.不可授予任何人

C.系統(tǒng)的屬主。

D.只有維護(hù)程序員

標(biāo)準(zhǔn)答案：B

96、【單項選擇題】組織的安全策略可以是廣義的，也可以是狹義的，

下面哪一條是屬于廣義的安全策略？()

A.應(yīng)急計劃

B.遠(yuǎn)程辦法

C.計算機(jī)安全程序

D.電子郵件個人隱私

標(biāo)準(zhǔn)答案：C

97、【單項選擇題】建立ISMS的第一步是？()

A.風(fēng)險評估

B.設(shè)計ISMS文檔

C.明確ISMS范圍

D.確定ISMS策略

標(biāo)準(zhǔn)答案：C

98、【單項選擇題】關(guān)于標(biāo)準(zhǔn)、指南、程序的描述，哪一項是最準(zhǔn)確

的？O

A.標(biāo)準(zhǔn)是建議性的策略，指南是強(qiáng)制執(zhí)行的策略

B.程序為符合強(qiáng)制性指南的一般性建議

C.程序是為符合強(qiáng)制性指南的一般性建議

D.程序是為符合強(qiáng)制性標(biāo)準(zhǔn)的的說明

標(biāo)準(zhǔn)答案：D

99、【填空題】美國()政府提出來網(wǎng)絡(luò)空間的安全戰(zhàn)略。

標(biāo)準(zhǔn)答案：布什切尼

本題解析：試題答案布什切尼

100、【單項選擇題】在對業(yè)務(wù)持續(xù)性計劃進(jìn)行驗證時，以下哪項最為

重要()

A.數(shù)據(jù)備份準(zhǔn)時執(zhí)行

B.備份站點已簽訂合約，并且在需要時可以使用

C.人員安全計劃部署適當(dāng)

D.保險

標(biāo)準(zhǔn)答案：C

B卷：

1、【單項選擇題】在對業(yè)務(wù)持續(xù)性計劃進(jìn)行驗證時，以下哪項最為重

要（）

A.數(shù)據(jù)備份準(zhǔn)時執(zhí)行

B.備份站點已簽訂合約，并且在需要時可以使用

C.人員安全計劃部署適當(dāng)

D.保險

標(biāo)準(zhǔn)答案：C

2、【單項選擇題】由于病毒攻擊、非法入侵等原因，校園網(wǎng)整體癱瘓，

或者校園網(wǎng)絡(luò)中心全部DNS、主WEB服務(wù)器不能正常工作；由于病毒

攻擊、非法入侵、人為破壞或不可抗力等原因，造成校園網(wǎng)出口中斷，

屬于以下哪種級別事件（）

A.特別重大事件

B.重大事件

C.較大事件

D.一般事件

標(biāo)準(zhǔn)答案：A

3、【單項選擇題】評估IT風(fēng)險被很好的達(dá)到，可以通過：O

A.評估IT資產(chǎn)和IT項目總共的威脅

B.用公司的以前的真的損失經(jīng)驗來決定現(xiàn)在的弱點和威脅

C.審查可比較的組織出版的損失數(shù)據(jù)

D.一句審計拔高審查IT控制弱點

標(biāo)準(zhǔn)答案：A

4、【單項選擇題】下列哪一項關(guān)于Bell-LaPadula模型特點的描述是

錯誤的？()

A.強(qiáng)調(diào)對信息保密性的保護(hù)，受到對信息保密要求較高的軍政機(jī)關(guān)和

企業(yè)的喜愛。

B.既定義了主體對客體的訪問，也說明了主體對主體的訪問。因此，

它適用于網(wǎng)絡(luò)系統(tǒng)。

C.它是一種強(qiáng)制訪問控制模型，與自主訪問控制模型相比具有強(qiáng)耦合,

集中式授權(quán)的特點。

D.比起那些較新的模型而言，Bell-LaPadula定義的公理很簡單，更

易于理解，與所使用的實際系統(tǒng)具有直觀的聯(lián)系。

標(biāo)準(zhǔn)答案：B

5、【單項選擇題】O除了哪種特性之外，其他安全特性在Windows2000

種都可以通過系統(tǒng)本身的工具來進(jìn)行設(shè)置和控制？

A、物理安全性

B、用戶安全性

C、文件安全性

D、入侵安全性

標(biāo)準(zhǔn)答案：A

6、【單項選擇題】安全模型是用于精確和形式地描述信息系統(tǒng)的安全

特征，解釋系統(tǒng)安全相關(guān)行為。關(guān)于它的作用描述不正確的是？()

A.準(zhǔn)確的描述安全的重要方面與系統(tǒng)行為的關(guān)系。

B.開發(fā)出一套安全性評估準(zhǔn)則，和關(guān)鍵的描述變量。

C.提高對成功實現(xiàn)關(guān)鍵安全需求的理解層次。

D.強(qiáng)調(diào)了風(fēng)險評估的重要性

標(biāo)準(zhǔn)答案：D

7、【單項選擇題】處理報廢電腦的流程時，以下哪一個選項對于安全

專業(yè)人員來說是最重要考慮的內(nèi)容？()

A.在扇區(qū)這個級別上，硬盤已經(jīng)被多次重復(fù)寫入，但是在離開組織前

沒有進(jìn)行重新格式化。

B.硬盤上所有的文件和文件夾都分別刪除了，并在離開組織進(jìn)行重新

格式化。

C.在離開組織前，通過在硬盤特定位置上洞穿盤片，進(jìn)行打洞，使得

硬盤變得不可讀取。

D.由內(nèi)部的安全人員將硬盤送到附近的金屬回收公司，對硬盤進(jìn)行登

記并粉碎。

標(biāo)準(zhǔn)答案：B

8、【單項選擇題】有關(guān)Kerberos說法下列哪項是正確的？()

A.它利用公鑰加密技術(shù)。

B.它依靠對稱密碼技術(shù)。

C.它是第二方的認(rèn)證系統(tǒng)。

D.票據(jù)授予之后將加密數(shù)據(jù)，但以明文方式交換密碼

標(biāo)準(zhǔn)答案：B

9、【填空題】蹭網(wǎng)指攻擊者使用自己計算機(jī)中的無線網(wǎng)卡連接他人的

無線路由器上網(wǎng)，而不是通過()提供的線路上網(wǎng)。

標(biāo)準(zhǔn)答案：正規(guī)的ISP

本題解析：試題答案正規(guī)的ISP

10、【單項選擇題】系統(tǒng)管理員屬于？()

A.決策層

B.管理層

C.執(zhí)行層

D.既可以劃為管理層，又可以劃為執(zhí)行層

標(biāo)準(zhǔn)答案：C

n、【判斷題】著作權(quán)人僅僅指作者。

標(biāo)準(zhǔn)答案：錯

12、【單項選擇題】來自終端的電磁泄露風(fēng)險，因為它們：O

A.導(dǎo)致噪音污染

B.破壞處理程序

C.產(chǎn)生危險水平的電流

D.可以被捕獲并還原

標(biāo)準(zhǔn)答案：D

13、【單項選擇題】下面哪一項不是安全編程的原則()

A.盡可能使用高級語言進(jìn)行編程

B.盡可能讓程序只實現(xiàn)需要的功能

C.不要信任用戶輸入的數(shù)據(jù)

D.盡可能考慮到意外的情況，并設(shè)計妥善的處理方法

標(biāo)準(zhǔn)答案：A

14、【單項選擇題】RSA公開密鑰密碼體制的安全性主要基于以下哪個

困難問題？（）

A.求合數(shù)模平方根的難題

B.離散對數(shù)困難問題

C.背包問題

D.大數(shù)分解困難問題

標(biāo)準(zhǔn)答案：D

15、【單項選擇題】當(dāng)發(fā)生災(zāi)難時，以下哪一項能保證業(yè)務(wù)交易的有

效性（）

A.從當(dāng)前區(qū)域外的地方持續(xù)每小時1次地傳送交易磁帶

B.從當(dāng)前區(qū)域外的地方持續(xù)每天1次地傳送交易磁帶

C.抓取交易以整合存儲設(shè)備

D.從當(dāng)前區(qū)域外的地方實時傳送交易磁帶

標(biāo)準(zhǔn)答案：D

16、【單項選擇題】在客戶/服務(wù)器系統(tǒng)中，安全方面的改進(jìn)應(yīng)首先集

中在：O

A.應(yīng)用軟件級

B.數(shù)據(jù)庫服務(wù)器級

C.數(shù)據(jù)庫級

D.應(yīng)用服務(wù)器級

標(biāo)準(zhǔn)答案：C

17、【單項選擇題】以下誰具有批準(zhǔn)應(yīng)急響應(yīng)計劃的權(quán)利（）

A.應(yīng)急委員會

B.各部門

C.管理層

D.外部專家

標(biāo)準(zhǔn)答案：C

18、【單項選擇題】下面哪一個不是系統(tǒng)規(guī)劃階段風(fēng)險管理的工作內(nèi)

容（）

A.明確安全總體方針

B.明確系統(tǒng)安全架構(gòu)

C.風(fēng)險評價準(zhǔn)則達(dá)成一致

D.安全需求分析

標(biāo)準(zhǔn)答案：B

19、【單項選擇題】下面哪一項是恢復(fù)非關(guān)鍵系統(tǒng)的最合理方案？（）

A.溫站

B.移動站

C.熱站

D.冷站

標(biāo)準(zhǔn)答案：D

20、【單項選擇題】下列關(guān)于互惠原則說法不正確的是O。

A、互惠原則是網(wǎng)絡(luò)道德的主要原則之一

B、網(wǎng)絡(luò)信息交流和網(wǎng)絡(luò)服務(wù)具有雙向性

C、網(wǎng)絡(luò)主體只承擔(dān)義務(wù)

D、互惠原則本質(zhì)上體現(xiàn)的是賦予網(wǎng)絡(luò)主體平等與公正

標(biāo)準(zhǔn)答案：C

21、【判斷題】專家評估是論文評價的主要方法之一。

標(biāo)準(zhǔn)答案：對

22、【單項選擇題】密碼出口政策最嚴(yán)格的是以下哪個國家？()

A.法國

B.美國

C.愛爾蘭

D.新加坡

標(biāo)準(zhǔn)答案：B

23、【單項選擇題】下面哪一個不是系統(tǒng)廢棄階段風(fēng)險管理的工作內(nèi)

容()

A.安全測試

B.對廢棄對象的風(fēng)險評估

C.防止敏感信息泄漏

D.人員培訓(xùn)

標(biāo)準(zhǔn)答案：A

24、【單項選擇題】誰對組織的信息安全負(fù)最終責(zé)任？()

A.安全經(jīng)理

B.高管層

C.IT經(jīng)理

D.業(yè)務(wù)經(jīng)理

標(biāo)準(zhǔn)答案：B

25、【單項選擇題】以下哪一個協(xié)議是用于電子郵件系統(tǒng)的？()

A.X.25

B.X.75

C.X.400

D.X.500

標(biāo)準(zhǔn)答案：C

26、【填空題】思維定式()觀察偏差的主觀因素。

27、【多項選擇題】IPSec通過()實現(xiàn)密鑰交換、管理及安全協(xié)商。

A.AH

B.ESP

C.ISAKMP/Oakley

D.SKIP

標(biāo)準(zhǔn)答案：C,D

28、【單項選擇題】以下選項中那一項是對信息安全風(fēng)險采取的糾正

機(jī)制？()

A.訪問控制

B.入侵檢測

C.災(zāi)難恢復(fù)

D.防病毒系統(tǒng)

標(biāo)準(zhǔn)答案：C

29、【單項選擇題】《關(guān)于信息安全等級保護(hù)的實施意見》中信息和信

息系統(tǒng)安全保護(hù)等級的第三級的定義是()

A.自主保護(hù)級

B.指導(dǎo)保護(hù)級

C.強(qiáng)制保護(hù)級

D.監(jiān)督保護(hù)級

標(biāo)準(zhǔn)答案：D

30、【單項選擇題】ISMS文檔體系中第一層文件是？()

A.信息安全方針政策

B.信息安全工作程序

C.信息安全作業(yè)指導(dǎo)書

D.信息安全工作記錄

標(biāo)準(zhǔn)答案：A

31、【單項選擇題】信息分類是信息安全管理工作的重要

環(huán)節(jié)，下面哪一項不是對信息進(jìn)行分類時需要重點考慮的？O

A.信息的價值

B.信息的時效性

C.信息的存儲

D.法律法規(guī)的規(guī)定

標(biāo)準(zhǔn)答案：C

32、【單項選擇題】信息安全管理工作小組可就哪些問題向外部安全

專家或特定外部組織尋求信息安全方面的建議？()

A.相關(guān)安全信息的最佳實踐和最新狀態(tài)知識。

B.盡早接受到關(guān)于攻擊和脆弱點的警告、建議和補丁

C.分享和交換關(guān)于新的技術(shù)、產(chǎn)品、威脅或脆弱點信息

D.以上都是

標(biāo)準(zhǔn)答案：D

33、【單項選擇題】如果出現(xiàn)IT人員和最終用戶職責(zé)分工的問題，下

面哪個選項是合適的補償性控制？()

A.限制物理訪問計算機(jī)設(shè)備

B.檢查應(yīng)用及事務(wù)處理日志

C.在聘請IT人員之前進(jìn)行背景檢查

D.在不活動的特定時間后，鎖定用戶會話

標(biāo)準(zhǔn)答案：B

34、【單項選擇題】為了防止物理上取走數(shù)據(jù)庫而采取的加強(qiáng)數(shù)據(jù)庫

安全的方法是()

A、數(shù)據(jù)加密

B、數(shù)據(jù)庫加密

C、口令保護(hù)

D、數(shù)據(jù)審計

標(biāo)準(zhǔn)答案：B

35、【單項選擇題】Windows組策略適用于()

A.S

B.D

C.0

DS、D、0U

標(biāo)準(zhǔn)答案：D

36、【多項選擇題】威脅網(wǎng)絡(luò)信息安全的軟件因素有()

A、外部不可抗力

B、缺乏自主創(chuàng)新的信息核心技術(shù)

C、網(wǎng)絡(luò)信息安全意識淡薄

D、網(wǎng)絡(luò)信息管理存在問題

標(biāo)準(zhǔn)答案：A,B,C,D

37、【判斷題】科學(xué)觀察可以分為直接觀察和間接觀察。

標(biāo)準(zhǔn)答案：對

38、【判斷題】網(wǎng)絡(luò)道德的本質(zhì)是社會道德，是社會道德在網(wǎng)絡(luò)領(lǐng)域

中的新體現(xiàn)。

標(biāo)準(zhǔn)答案：對

39、【單項選擇題】信息安全政策聲明：“每個人必須在進(jìn)入每一個

控制門時，都必須讀取自己的證件”，防范的是哪一種攻擊方式？()

A.尾隨Piggybacking

B.肩窺Shouldersurfing

C.Dumpsterdiving

D.冒充Impersonation

標(biāo)準(zhǔn)答案：A

40、【單項選擇題】安全評估人員正為某個醫(yī)療機(jī)構(gòu)的生產(chǎn)和測試環(huán)

境進(jìn)行評估。在訪談中，注意到生產(chǎn)數(shù)據(jù)被用于測試環(huán)境測試，這種

情況下存在哪種最有可能的潛在風(fēng)險？()

A.測試環(huán)境可能沒有充足的控制確保數(shù)據(jù)的精確性

B.測試環(huán)境可能由于使用生產(chǎn)數(shù)據(jù)而產(chǎn)生不精確的結(jié)果

C.測試環(huán)境的硬件可能與生產(chǎn)環(huán)境的不同

D.測試環(huán)境可能沒有充分的訪問控制以確保數(shù)據(jù)機(jī)密性

標(biāo)準(zhǔn)答案：D

41、【單項選擇題】面向?qū)ο蟮拈_發(fā)方法中，以下哪些機(jī)制對安全有

幫助（）

A.封裝

B.多態(tài)

C.繼承

D.重載

標(biāo)準(zhǔn)答案：A

42、【單項選擇題】防火墻通過（）控制來阻塞郵件附件中的病毒。

A.數(shù)據(jù)控制

B.連接控制

C.ACL控制

D.協(xié)議控制

標(biāo)準(zhǔn)答案：A

43、【單項選擇題】風(fēng)險評估實施過程中脆弱性識別主要包括什么方

面（）

A.軟件開發(fā)漏洞

B.網(wǎng)站應(yīng)用漏洞

C.主機(jī)系統(tǒng)漏洞

D.技術(shù)漏洞與管理漏洞

標(biāo)準(zhǔn)答案：D

44、【單項選擇題】下面對于SSH的說法錯誤的是？()

A.SSH是SecureShell的簡稱

B.客戶端使用ssh連接遠(yuǎn)程登錄SSH服務(wù)器必須經(jīng)過基于公鑰的身

份驗證

C.通常Linux操作系統(tǒng)會在/usr/local目錄下默認(rèn)安裝OpenSSH

D.SSH2比SSH1更安全

標(biāo)準(zhǔn)答案：B

45、【單項選擇題】以下哪項活動對安全編碼沒有幫助()

A.代碼審計

B.安全編碼規(guī)范

C.編碼培訓(xùn)

D.代碼版本管理

標(biāo)準(zhǔn)答案：D

46、【單項選擇題】負(fù)責(zé)制定、執(zhí)行和維護(hù)內(nèi)部安全控制制度的責(zé)任

在于：()

A.IS審計員

B.管理層

C.外部審計師

D.程序開發(fā)人員

標(biāo)準(zhǔn)答案：B

47、【判斷題】兩種經(jīng)濟(jì)形態(tài)并存的局面將成為未來世界競爭的主要

格局。

標(biāo)準(zhǔn)答案：對

48、【單項選擇題】下面哪項是信息安全管理體系中CHECK（檢查）中

的工作內(nèi)容？（）

A.按照計劃的時間間隔進(jìn)行風(fēng)險評估的評審

B.實施所選擇的控制措施

C.采取合適的糾正和預(yù)防措施。從其它組織和組織自身的安全經(jīng)驗中

吸取教訓(xùn)

D.確保改進(jìn)達(dá)到了預(yù)期目標(biāo)

標(biāo)準(zhǔn)答案：A

49、【單項選擇題】設(shè)施、網(wǎng)絡(luò)、平臺、介質(zhì)、應(yīng)用類信息資產(chǎn)的保密

期限為（）

A.3年

B.長期

C.4月

D.短期

標(biāo)準(zhǔn)答案：B

50、【填空題】企業(yè)與消費者之間的電子商務(wù)是企業(yè)透過（）銷售產(chǎn)

品或服務(wù)個人消費者。

標(biāo)準(zhǔn)答案：網(wǎng)絡(luò)

本題解析：試題答案網(wǎng)絡(luò)

51、【單項選擇題】下列哪一項準(zhǔn)確地描述了可信計算基（TCB）?（）

A.TCB只作用于固件（FirmwarE.

B.TCB描述了一個系統(tǒng)提供的安全級別

C.TCB描述了一個系統(tǒng)內(nèi)部的保護(hù)機(jī)制

D.TCB通過安全標(biāo)簽來表示數(shù)據(jù)的敏感性

標(biāo)準(zhǔn)答案：B

52、【單項選擇題】下面哪一項不是風(fēng)險評估的過程？（）

A.風(fēng)險因素識別

B.風(fēng)險程度分析

C.風(fēng)險控制選擇

D.風(fēng)險等級評價

標(biāo)準(zhǔn)答案：C

53、【單項選擇題】根據(jù)組織業(yè)務(wù)連續(xù)性計劃（BCP）的復(fù)雜程度，可

以建立多個計劃來滿足業(yè)務(wù)連續(xù)和和災(zāi)難恢復(fù)的各方面。在這種情況

下，有必要：（）

A.每個計劃和其它計劃保持協(xié)調(diào)一致

B.所有的計劃要整合到一個計劃中

C.每個計劃和其他計劃相互依賴

D.指定所有計劃實施的順序

標(biāo)準(zhǔn)答案：A

54、【填空題】即使在企業(yè)環(huán)境中，()作為企業(yè)縱深防御的一部分也

是十分必要的。

標(biāo)準(zhǔn)答案：個人防火墻

本題解析：試題答案個人防火墻

55、【單項選擇題】IPSEC的抗重放服務(wù)的實現(xiàn)原理是什么？()

A.使用序列號以及滑動窗口原理來實現(xiàn)。

B.使用消息認(rèn)證碼的校驗值來實現(xiàn)

C.在數(shù)據(jù)包中包含一個將要被認(rèn)證的共享秘密或密鑰來實現(xiàn)

D.使用ESP隧道模式對IP包進(jìn)行封裝即可實現(xiàn)。

標(biāo)準(zhǔn)答案：A

56、【單項選擇題】()關(guān)于Windows2000中的身份驗證過程，下面哪

種說法是錯誤的？

A、如果用戶登錄一個域，則Windows2000將把這些登錄信息轉(zhuǎn)交給

域控制器處理。

B、如果用戶登錄本機(jī)，則Windows2000將把這些登錄信息轉(zhuǎn)交給域

控制器處理。

C、如果用戶登錄一個域，則Windows2000利用域控制器含有的目錄

副本，驗證用戶的登錄信息。

D、如果用戶登錄本機(jī)，則Windows2000利用本機(jī)的安全子系統(tǒng)含有

的本機(jī)安全數(shù)據(jù)庫，驗證用戶的登錄信息。

標(biāo)準(zhǔn)答案：B

57、問答題安全審計按對象不同，可分為哪些類？各類審計的內(nèi)容又

是什么？

標(biāo)準(zhǔn)答案：系統(tǒng)級審計，應(yīng)用級審計，用戶級審計。

系統(tǒng)級

本題解析：試題答案系統(tǒng)級審計，應(yīng)用級審計，用戶級審計。

系統(tǒng)級審計：要求至少能夠記錄登陸結(jié)果、登錄標(biāo)識、登陸嘗試的日

期和時間、退出的日期和時間、所使用的設(shè)備、登陸后運行的內(nèi)容、

修改配置文件的請求等。

應(yīng)用級審計：跟蹤監(jiān)控和記錄諸如打開和關(guān)閉數(shù)據(jù)文件，讀取、編輯

和刪除記錄或字段的特定操作以及打印報告之類的用戶活動。

用戶級審計：跟蹤通常記錄用戶直接啟動的所有命令、所有的標(biāo)識和

鑒別嘗試的所有訪問的文件和資源。

58、【單項選擇題】下列關(guān)于訪問控制模型說法不準(zhǔn)確的是？()

A.訪問控制模型主要有3種：自主訪問控制、強(qiáng)制訪問控制和基于角

色的訪問控制。

B.自主訪問控制模型允許主體顯式地指定其他主體對該主體所擁有

的信息資源是否可以訪問。

C.基于角色的訪問控制RBAC中“角色”通常是根據(jù)行政級別來定義

的。

D.強(qiáng)制訪問控制MAC是“強(qiáng)加”給訪問主體的，即系統(tǒng)強(qiáng)制主體服從

訪問控制政策。

標(biāo)準(zhǔn)答案：C

59、【填空題】防火墻是設(shè)置在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)(如互聯(lián)網(wǎng))之

間，實施()的一個或一組系統(tǒng)。

標(biāo)準(zhǔn)答案：訪問控制策略

本題解析：試題答案訪問控制策略

60、【單項選擇題】SMTP連接服務(wù)器使用端口()

A.21

B.25

C.80

D.110

標(biāo)準(zhǔn)答案：B

61、【單項選擇題】組織已經(jīng)完成了年度風(fēng)險評估，關(guān)于業(yè)務(wù)持續(xù)計

劃組織應(yīng)執(zhí)行下面哪項工作？()

A.回顧并評價業(yè)務(wù)持續(xù)計劃是否恰當(dāng)

B.對業(yè)務(wù)持續(xù)計劃進(jìn)行完整的演練

C.對職員進(jìn)行商業(yè)持續(xù)計劃的培訓(xùn)

D.將商業(yè)持續(xù)計劃通報關(guān)鍵聯(lián)絡(luò)人

標(biāo)準(zhǔn)答案：A

62、【單項選擇題】從分析方式上入侵檢測技術(shù)可以分為：O

A、基于標(biāo)志檢測技術(shù)、基于狀態(tài)檢測技術(shù)

B、基于異常檢測技術(shù)、基于流量檢測技術(shù)

C、基于誤用檢測技術(shù)、基于異常檢測技術(shù)

D、基于標(biāo)志檢測技術(shù)、基于誤用檢測技術(shù)

標(biāo)準(zhǔn)答案：C

63、【單項選擇題】對于Linux的安全加固項說法錯誤的是哪項？()

A.使用uname-a確認(rèn)其內(nèi)核是否有漏洞

B.檢查系統(tǒng)是否有重復(fù)的UID用戶

C.查看login.defs文件對于密碼的限制

D.查看hosts文件確保Tcpwapper生效

標(biāo)準(zhǔn)答案：D

64、【單項選擇題】關(guān)于信息安全策略文件的評審以下說法不正確的

是哪個？()

A.信息安全策略應(yīng)由專人負(fù)責(zé)制定、評審。

B.信息安全策略評審每年應(yīng)進(jìn)行兩次，上半年、下半年各進(jìn)行一次。

C.在信息安全策略文件的評審過程中應(yīng)考慮組織業(yè)務(wù)的重大變化。

D.在信息安全策略文件的評審過程中應(yīng)考慮相關(guān)法律法規(guī)及技術(shù)環(huán)

境的重大變化。

標(biāo)準(zhǔn)答案：B

65、【單項選擇題】數(shù)據(jù)庫訪問控制策略中，O是只讓用戶得到有相

應(yīng)權(quán)限的信息，這些信息恰到可以讓用戶完成自己的工作，其他的權(quán)

利一律不給。

A、最大程度共享策略

B、顆粒大小策略

C、存取類型控制策略

D、只需策略

標(biāo)準(zhǔn)答案：D

66、【單項選擇題】風(fēng)險評估的過程中，首先要識別信息資產(chǎn)，資產(chǎn)

識別時，以下哪個不是需要遵循的原則？()

A.只識別與業(yè)務(wù)及信息系統(tǒng)有關(guān)的信息資產(chǎn)，分類識別

B.所有公司資產(chǎn)都要識別

C.可以從業(yè)務(wù)流程出發(fā)，識別各個環(huán)節(jié)和階段所需要以及所產(chǎn)出的關(guān)

鍵資產(chǎn)

D.資產(chǎn)識別務(wù)必明確責(zé)任人、保管者和用戶

標(biāo)準(zhǔn)答案：B

67、【填空題】根據(jù)SHARE78標(biāo)準(zhǔn)，在()級情況下，備份中心處于

活動狀態(tài)，網(wǎng)絡(luò)實時傳送數(shù)據(jù)、流水日志、系統(tǒng)處于工作狀態(tài)，數(shù)據(jù)

丟失與恢復(fù)時間一般是小時級的。

標(biāo)準(zhǔn)答案：應(yīng)用系統(tǒng)溫備級

本題解析：試題答案應(yīng)用系統(tǒng)溫備級

68、【單項選擇題】有關(guān)認(rèn)證和認(rèn)可的描述，以下不正確的是()

A.認(rèn)證就是第三方依據(jù)程序?qū)Ξa(chǎn)品、過程、服務(wù)符合規(guī)定要求給予書

面保證(合格證書)

B.根據(jù)對象的不同，認(rèn)證通常分為產(chǎn)品認(rèn)證和體系認(rèn)證

C.認(rèn)可是由某權(quán)威機(jī)構(gòu)依據(jù)程序?qū)δ硤F(tuán)體或個人具有從事特定任務(wù)

的能力給予的正式承認(rèn)

D.企業(yè)通過IS027001認(rèn)證則說明企業(yè)符合IS027001和IS027002標(biāo)

準(zhǔn)的要求

標(biāo)準(zhǔn)答案：D

69、【單項選擇題】建立ISMS的步驟正確的是？（）

A.明確ISMS范圍-確定ISMS策略-定義風(fēng)險評估方法-進(jìn)行風(fēng)險評估

-設(shè)計和選擇風(fēng)險處置方法-設(shè)計ISMS文件-進(jìn)行管理者承諾（審批）

B.定義風(fēng)險評估方法-進(jìn)行風(fēng)險評估-設(shè)計和選擇風(fēng)險處置方法-設(shè)計

ISMS文件-進(jìn)行管理者承諾（審批）-確定ISMS策略

C.確定ISMS策略-明確ISMS范圍-定義風(fēng)險評估方法-進(jìn)行風(fēng)險評估

-設(shè)計和選擇風(fēng)險處置方法-設(shè)計ISMS文件-進(jìn)行管理者承諾（審批）

D.明確ISMS范圍-定義風(fēng)險評估方法-進(jìn)行風(fēng)險評估-設(shè)計和選擇風(fēng)

險處置方法-確定ISMS策略-設(shè)計ISMS文件-進(jìn)行管理者承諾（審批）

標(biāo)準(zhǔn)答案：A

70、【單項選擇題】風(fēng)險評估按照評估者的不同可以分為自評估和第

三方評估，這兩種評估方式最本質(zhì)的差別是什么？（）

A.評估結(jié)果的客觀性

B.評估工具的專業(yè)程度

C.評估人員的技術(shù)能力

D.評估報告的形式

標(biāo)準(zhǔn)答案：A

71、【單項選擇題】在一份業(yè)務(wù)持續(xù)計劃，下列發(fā)現(xiàn)中哪一項是最重

要的？（）

A.不可用的交互PBX系統(tǒng)

B.骨干網(wǎng)備份的缺失

C.用戶PC機(jī)缺乏備份機(jī)制

D.門禁系統(tǒng)的失效

標(biāo)準(zhǔn)答案：B

72、【單項選擇題】組織允許外部通過互聯(lián)網(wǎng)訪問組織的局域網(wǎng)之前，

首先要考慮實施以下哪項措施？()

A.保護(hù)調(diào)制解調(diào)器池。

B.考慮適當(dāng)?shù)纳矸蒡炞C方式。

C.為用戶提供賬戶使用信息。

D.實施工作站鎖定機(jī)制。

標(biāo)準(zhǔn)答案：B

73、【單項選擇題】信息安全需求獲取的主要手段()

A.信息安全風(fēng)險評估

B.領(lǐng)導(dǎo)的指示

C.信息安全技術(shù)

D.信息安全產(chǎn)品

標(biāo)準(zhǔn)答案：A

74、【單項選擇題】在部署風(fēng)險管理程序的時候，哪項應(yīng)該最先考慮

到：O

A.組織威脅，弱點和風(fēng)險概括的理解

B.揭露風(fēng)險的理解和妥協(xié)的潛在后果

C.基于潛在結(jié)果的風(fēng)險管理優(yōu)先級的決心

D.風(fēng)險緩解戰(zhàn)略足夠在一個可以接受的水平上保持風(fēng)險的結(jié)果

標(biāo)準(zhǔn)答案：A

75、【單項選擇題】在準(zhǔn)備災(zāi)難恢復(fù)計劃時下列哪項應(yīng)該首先實施?

A.做出恢復(fù)策略

B.執(zhí)行業(yè)務(wù)影響分析

C.明確軟件系統(tǒng)、硬件和網(wǎng)絡(luò)組件結(jié)構(gòu)

D.委任具有明確的雇員、角色和層級的恢復(fù)團(tuán)隊

標(biāo)準(zhǔn)答案：B

76、【單項選擇題】管理評審的最主要目的是()

A.確認(rèn)信息安全工作是否得到執(zhí)行

B.檢查信息安全管理體系的有效性

C.找到信息安全的漏洞

D.考核信息安全部門的工作是否滿足要求

標(biāo)準(zhǔn)答案：B

77、【單項選擇題】災(zāi)難性恢復(fù)計劃(DRP)基于：()

A.技術(shù)方面的業(yè)務(wù)連續(xù)性計劃

B.操作部分的業(yè)務(wù)連續(xù)性計劃

C.功能方面的業(yè)務(wù)連續(xù)性計劃

D.總體協(xié)調(diào)的業(yè)務(wù)連續(xù)性計劃

標(biāo)準(zhǔn)答案：A

78、【單項選擇題】以下對信息安全管理的描述錯誤的是()

A.保密性、完整性、可用性

B.抗抵賴性、可追溯性

C.真實性私密性可靠性

D.增值性

標(biāo)準(zhǔn)答案：D

79、【單項選擇題】ITSEC中的F1-F5對應(yīng)TCSEC中哪幾個級別？()

A.D到B2

B.C2到B3

C.C1到B3

D.C2到A1

標(biāo)準(zhǔn)答案：C

80、【單項選擇