CISP全真模拟题21301.docx

CISP全真模拟题21301.docx

《CISP全真模拟题21301.docx》由会员分享，可在线阅读，更多相关《CISP全真模拟题21301.docx（30页珍藏版）》请在冰豆网上搜索。

CISP全真模拟题21301

CISP全真模拟题

（2）1301

CISP全真模拟题

（2）

1、下列关于信息安全保障的说法错误的是：

A．信息安全保障的问题就是安全的效用问题，在解决或预防信息安全问题时，要从资源、技术、管理的可行性和有效性做出权衡和取舍

B．在信息系统生命周期中，从技术、管理、工程和人员等方面提出安全保障要求

C．在信息系统所处的运行环境里，以风险和策略为出发点，即从信息系统所面临的风险出发制定组织机构信息系统安全保障策略

D．信息安全保障的最终目标是要同时保障组织机构信息资产和信息系统资产

参考答案：

D

2、按照技术能力、所拥有的资源和破环力来排列，下列威胁中哪种威胁最大？

A．个人黑客

B．网络犯罪团伙

C．网络战士

D．商业间谍

参考答案：

B

3、信息安全发展各阶段中，下面哪一项是通信安全阶段主要面临的安全威胁？

A．病毒

B．非法访问

C．信息泄露

D．脆弱口令

参考答案：

C

4、信息系统安全主要从哪几个方面进行评估？

A．1个（技术）

B．2个（技术、管理）

C．3个（技术、管理、工程）

D．4个（技术、管理、工程、应用）

参考答案：

C

5、人们对信息安全的认识从信息技术安全发展到信息安全保障，主要是由于：

A．为了更好地完成组织机构的使命

B．针对信息系统的攻击方式发生重大变化

C．风险控制技术得到革命性的发展

D．除了保密性，信息的完整性和可用性也引起了人们的关注

参考答案：

A

6、以下关于信息系统安全保障是主观和客观的结合说法最准确的是：

A．信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全

B．通过在技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心

C．是一种通过客观证据向信息系统评估者提供主观信心的活动

D．是主观和客观综合评估的结果

参考答案：

B

参考答案：

B，理解：

安全具有动态性。

安全的概念是相对的，任何一个系统都具有潜在的危险，没有绝对的安全，安全程度随着时间的变化而改变。

在一个特定的时期内，在一定的安全策略下，系统是安全的。

但是随着时间的演化和环境的变迁（如攻击技术的进步、新漏洞的暴露），系统可能会变的不安全。

因此需要适应变化的环境并能做出相应的调整以确保安全防护。

7、依据国家标准GB/T20274《信息系统安全保障评估框架》，在信息系统安全目标中，评估对象包括哪些内容？

A．信息系统管理体系、技术体系、业务体系

B．信息系统整体、信息系统安全管理、信息系统安全技术和信息系统安全工程

C．信息系统安全管理、信息系统安全技术和信息系统安全工程

D．信息系统组织结构、管理制度、资产

参考答案：

B

8、我国信息安全标准化技术委员会（TC260）目前下属6个工作组，其中负责信息安全管理的小组是：

A.WG1

B.WG7

C.WG3

D.WG5

参考答案：

B

9、美国国防部公布的《可信计算机系统评估准则》（TCSEC）把计算机系统的安全分为个大的等级。

A．3

B．4

C．5

D．6

参考答案：

B

10、以下对确定信息系统的安全保护等级理解正确的是：

A．信息系统的安全保护等级是信息系统的客观属性

B．确定信息系统的安全保护等级时应考虑已采取或将采取的安全保护措施

C．确定信息系统的安全保护等级时应考虑风险评估的结果

D．确定信息系统的安全保护等级时应仅考虑业务信息的安全性

参考答案：

A

11、依据GB/T24364-2009《信息安全技术信息安全应急响应计划规范》，应急响应方法论的响应过程的第二步是

A.准备

B.确认

C.遏制

D.根除

参考答案：

B

12、下列信息安全相应的标准中是信息安全管理体系标准而不是主要用于对信息系统本身进行安全评价的标准。

A．TCSEC（橘皮书）

B．信息技术安全评估准则ITSEC

C．信息技术安全评估通用标准CC

D．ISO/IEC27000

参考答案：

D

13、是目前国际通行的信息技术产品安全性评估标准

A．TCSEC

B．ITSEC

C．CC

D．IATF

参考答案：

C

14、下列哪项不是《信息安全等级保护管理办法》（公通字[2007]43号）规定的内容？

A.国家信息安全等级保护坚持自主定级、自主保护的原则

B.国家指定专门部门对信息系统安全等级保护工作进行专门的监督和检查

C.跨省或全国统一联网运行的信息系统可由主管部门统一确定安全保护等级

D.涉及国家秘密的信息系统不进行分等级保护

参考答案：

D

15、下面有关我信息安全管理体制的说法错误的是

A.目前我国的信息安全保障工作是相关部门各司其职、相互配合、齐抓共管的局面

B.我国的信息安全保障工作综合利用法律、管理和技术的手段

C.我国的信息安全管理应坚持及时检测、快速响应、综合治理的方针

D.我国对于信息安全责任的原则是谁主管、谁负责；谁经营、谁负责

参考答案：

C

16、以下哪一项不是我国与信息安全有关的国家法律？

A.《信息安全等级保护管理办法》

B.《中华人民共和国保守国家秘密法》

C.《中华人民共和国刑法》

D.《中华人民共和国国家安全法》

参考答案：

A

17、目前我国形成了相关部门各司其职、相互配合，综合利用法律、管理和技术手段，共同维护国家信息安全的一个多方“齐抓共管”的信息安全管理体系。

“相关部门”不包括：

A.工业和信息化部

B.新闻办

C.国家保密局

D.安监局

参考答案：

D

18、下面哪一项不是注册信息安全专业人员（CISP）职业准则的规定?

A.必须诚实，公正，负责，守法

B.必须勤奋和胜任工作，提高专业能力和水平

C.对中国信息安全测评中心（CNITSEC）针对注册信息安全专业人员（CISP）而进行的调查应给予充分的合作

D.在本单位负责的信息系统出现重大安全问题时必须向有关用户进行解释

参考答案：

D

19、通过对称密码算法进行安全消息传输的必要条件是：

A．在安全的传输信道上进行通信

B．通讯双方通过某种方式，安全且秘密地共享密钥

C．通讯双方使用不公开的加密算法

D．通讯双方将传输的信息夹杂在无用信息中传输并提取

参考答案：

B

20、以下哪些问题或概念不是公钥密码体制中经常使用到的困难问题？

A．大整数分解

B．离散对数问题

C．背包问题

D．伪随机数发生器

参考答案：

D，说明：

背包问题，即：

选择不同价格、不同体积的物品放置于一个背包中，要求价格总量最大。

21、常用的混合加密（HybridEncryption）方案指的是：

A．使用对称加密进行通信数据加密，使用公钥加密进行会话密钥协商

B．使用公钥加密进行通信数据加密，使用对称加密进行会话密钥协商

C．少量数据使用公钥加密，大量数据则使用对称加密

D．大量数据使用公钥加密，少量数据则使用对称加密

参考答案：

A

22、以下哪种公钥密码算法既可以用于数据加密又可以用于密钥交换?

A．DSS

B．Diffie-Hellman

C．RSA

D．AES

参考答案：

C

23、下列哪一项不是hash算法的特点？

A．对于一个很长的消息，可以通过一个很短的摘要进行校验

B．通过摘要本身，在计算可行性意义下难以得到原始的消息

C．两个消息即使差别很小，其hash值也会发生很大改变

D．通过hash值可以判定消息是否来自某特定的创建者

参考答案：

D

24、数字签名技术主要应用哈希函数算法和非对称密钥算法，这两种算法的主要作用是：

A．前者用来检验数据是否被篡改，后者用来确认数据发送方的身份

B．前者用来对数据进行加密，后者用来对数据进行解密

C．前者保证数据的抗抵赖性，后者用来保证数据的完整性

D．前者用来建立加密通道，后者用来进行身份鉴别

参考答案：

A

25、数字证书的功能不包括：

A．加密

B．数字签名

C．身份认证

D．消息摘要

参考答案：

D

26、下列哪一项功能可以不由认证中心CA完成？

A．撤消和中止用户的证书

B．产生并分发CA的公钥

C．在请求实体和它的公钥间建立链接

D．发放并分发用户的证书

参考答案：

C

27、SSL协议包括四个子协议，其中哪一个子协议提供消息源认证、数据加密以及数据完整服务？

A．SSL握手协议

B．更改密码规格协议

C．SSL记录协议层

D．警告协议

参考答案：

C，理解：

SSL记录协议为SSL连接提供了两种服务:

一是机密性,二是消息完整性。

为了实现这两种服务,SSL记录协议对接收的数据和被接收的数据工作过程是如何实现的呢?

SSL记录协议接收传输的应用报文,将数据分片成可管理的块,进行数据压缩（可选）,应用MAC,接着利用IDEA、DES、3DES或其他加密算法进行数据加密,最后增加由内容类型、主要版本、次要版本和压缩长度组成的首部。

被接收的数据刚好与接收数据工作过程相反,依次被解密、验证、解压缩和重新装配,然后交给更高级用户

28、IPSec协议的AH子协议不能提供下列哪一项服务？

A．数据源认证

B．数据包重放

C．访问控制

D．机密性

参考答案：

D

29、下面对访问控制技术描述最准确的是：

A．保证系统资源的可靠性

B．实现系统资源的可追查性

C．防止对系统资源的非授权访问

D．保证系统资源的可信性

参考答案：

C

30、下列对自主访问控制说法不正确的是：

A．自主访问控制允许客体决定主体对该客体的访问权限

B．自主访问控制具有较好的灵活性和可扩展性

C．自主访问控制可以方便地调整安全策略

D．自主访问控制安全性不高，常用于商业系统

参考答案：

A

31、自主访问控制与强制访问控制相比具有以下哪一个优点？

A．具有较高的安全性

B．控制粒度较大

C．配置效率不高

D．具有较强的灵活性

参考答案：

D

32、以下关于BLP模型规则说法不正确的是：

A．BLP模型主要包括简单安全规则和*-规则

B．*-规则可以简单表述为向下写

C．主体可以读客体，当且仅当主体的安全级可以支配客体的安全级，且主体对该客体具有自主型读权限

D．主体可以写客体，当且仅当客体的安全级可以支配主体的安全级，且主体对客体具有自主型写权限

参考答案：

B

33、在一个使用ChineseWall模型建立访问控制的信息系统中，数据W和数据X在一个兴趣冲突域中，数据Y和数据Z在另一个信息兴趣冲突域中，那么可以确定一个新注册的用户：

A．只有访问了W之后，才可以访问X

B．只有访问了W之后，才可以访问Y和Z中的一个

C．无论是否访问W，都只能访问Y和Z中的一个

D．无论是否访问W，都不能访问Y或Z

参考答案：

C

34、以下关于RBAC模型的说法正确的是：

A．该模型根据用户所担任的角色和安全级来决定用户在系统中的访问权限。

B．一个用户必须扮演并激活某种角色，才能对一个对象进行访问或执行某种操作

C．在该模型中，每个用户只能有一个角色

D．在该模型中，权限与用户关联，用户与角色关联

参考答案：

B

35、下列对Kerberos协议描述正确的是：

A．该协议使用非对称密钥加密机制

B．密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成

C．该协议完成身份鉴别后将获取用户票据许可票据

D．使用该协议不需要时钟基本同步的环境

参考答案：

C

36、遵守相同访问控制策略的集合被称为？

A．访问控制列表

B．安全域

C．可信计算基（TCB）

D．访问主体

参考答案：

B

37、一个较为可靠的鉴别系统一般是由以下哪几部分组成：

A．验证者、被验证者和中间人

B．验证者、被验证者和可信赖方

C．验证者和被验证者

D．验证者、被验证者和鉴别方

参考答案：

B

38、下列对蜜网关键技术描述不正确的是：

A．数据捕获技术能够检测并审计黑客攻击的所有行为数据

B．数据分析技术则帮助安全研究人员从捕获的数据中分析出黑客的具体活动、使用工具及其意图

C．通过数据控制能够确保黑客不能利用蜜网危害第三方网络的安全

D．通过数据控制、捕获和分析，能对攻击活动进行监视、分析和阻止

参考答案：

D

39、下面哪一个不属于基于OSI七层协议的安全体系结构的5种服务之一？

A．数据完整性

B．数据保密性

C．公证

D．抗抵赖

参考答案：

C

40、802.11i无线安全标准为提高安全性引入了新的什么技术？

A．WEP

B．WPA

C．TKIP

D．SSL

参考答案：

B

41、下面对WAPI描述不正确的是：

A．安全机制由WAI和WPI两部分组成

B．WAI实现对用户身份的鉴别

C．WPI实现对传输的数据加密

D．WAI实现对传输的数据加密

参考答案：

D,理解：

WAPI由WAI（WLANAuthenticationInfrastructure）和WPI（WLANPrivacyInfrastructure）两部分组成，WAI和WPI分别实现对用户身份的鉴别和对传输的数据加密。

42、下列关于防火墙的主要功能包括：

A．访问控制

B．内容控制

C．数据加密

D．查杀病毒

参考答案：

A

43、简单包过滤防火墙主要工作在

A．链路层/网络层

B．网络层/传输层

C．应用层

D．会话层

参考答案：

B

44、以下哪一项不是应用层防火墙的特点？

A．更有效的阻止应用层攻击

B．工作在OSI模型的第七层

C．速度快且对用户透明

D．比较容易进行审计

参考答案：

C

45、哪—类防火墙具有撮据传输信息的内容（如关键字、文件类型）来控制访问连接的能力？

A．包过滤防火墙

B．状态检测防火墙

C．应用网关防火墙

D．以上都不能

参考答案：

C

46、下面哪一项不是IDS的主要功能：

A．监控和分析用户和系统活动

B．统计分析异常活动模式

C．对被破坏的数据进行修复

D．识别活动模式以反映已知攻击

参考答案：

C

47、下列哪些选项不属于NIDS的常见技术？

A．协议分析

B．零拷贝

C．SYNCookie

D．IP碎片重组

参考答案：

D，理解：

NIDS常用的检测方法有特征检测、异常检测、状态检测、协议分析等。

NIDS不能处理加密后的数据，如果数据传输中被加密，即使只是简单的替换，NIDS也难以处理，例如采用SSH、HTTPS、带密码的压缩文件等手段，都可以有效的防止NIDS的检测。

NIDS难以检测重放攻击、中间人攻击、对网络监听也无能为力。

目前的NIDS还难以有效的检测DDoS攻击。

有些NIDS不能对IP分片进行重组，或者超过了其处理能力，因此对该攻击规避后可以躲过NIDS的检测。

48、当网络安全管理员发现原有的IDS不能检测到新的攻击类型时，应采取下列哪项措施最为有效？

A．配置防火墙

B．购买或更新特征库

C．关闭IDS直到得到新的IDS应用程序

D．定义一个新的规则来检测攻击

参考答案：

B

49、Linux系统对文件的权限是以模式位的形式来表示，对于文件名为test的一个文件，属于admin组中user用户，以下哪个是该文件正确的模式表示？

A．rwxr-xr-x3useradmin1024Sep1311:

58test

B．drwxr-xr-x3useradmin1024Sep1311:

58test

C．rwxr-xr-x3adminuser1024Sep1311:

58test

D．drwxr-xr-x3adminuser1024Sep1311:

58test

参考答案：

A

50、默认情况，Linux系统中用户登录密码信息存放在哪个文件中？

A．/etc/group

B．/etc/userinfo

C．/etc/shadow

D．/etc/profie

参考答案：

C

51、Windows系统中，路由跟踪命令是：

A．tracert

B．traceroute

C．routetrace

D．trace

参考答案：

A

52、以下对于Windows系统的服务描述，正确的是：

A．windows服务必须是一个独立的可执行程序

B．Windows服务的运行不需要用户的交互登录

C．windows服务都是随系统启动而启动，无需用户进行干预

D．windows服务都需要用户进行登录后，以登录用户的权限进行启动

参考答案：

B

53、以下关于windowsSAM（安全账号管理器）的说法错误的是：

A．安全账号管理器（SAM）具体表现就是%SystemRoot%\system32\config\sam

B．安全账号管理器（SAM）存储的账号信息是存储在注册表中

C．安全帐号管理器（SAM）存储的帐号信息对administrator和system是可读和可写的

D．安全帐号管理器（SAM）是windows的用户数据库，系统进程通过SecurityAccountsManager服务进行访问和操作

参考答案：

C

54、下列哪一项与数据库的安全有直接关系？

A．访问控制的粒度

B．数据库的大小

C．关系表中属性的数量

D．关系表中元组的数量

参考答案：

A

55、完整性检查和控制的防范对象是，防止它们进入数据库。

A．不合语义的数据、不正确的数据

B．非法用户

C．非法操作

D．非法授权

参考答案：

A，理解：

数据的完整性是为了防止数据库中存在不符合语义的数据，也就是防止数据库中出现不正确的数据。

数据的安全性是保护数据库防止恶意的破坏和非法的存取。

因此，完整性检查和控制的防范对象是不合语义、不正确的数据，防止它们进入数据库。

安全性控制的防范对象是非法用户和非法操作，防止他们对数据库中数据的非法存取。

56、下列SQL语句给出关系型数据库中的哪一类完整性约束条件？

CREATETABLEStudent

（idCHAR（8）,

SnameCHAR（20）NOTNULL,

SageSMALLINT,

PRIMARYKEY（id）

）;

A．实体完整性

B．二维表完整性

C．参照完整性

D．自定义完整性

参考答案：

A，理解：

实体完整性和参照完整性适用于任何关系型数据库系统，它主要是针对关系的主关键字和外部关键字取值必须有效而做出的约束。

实体完整性：

是指关系的主关键字不能重复也不能取“空值\"；

参照完整性：

是定义建立关系之间联系的主关键字与外部关键字引用的约束条件。

用户定义完整性；是根据应用环境的要求和实际的需要，对某一具体应用所涉及的数据提出约束性条件。

这一约束机制一般不应由应用程序提供，而应有由关系模型提供定义并检验，用户定义完整性主要包括字段有效性约束和记录有效性。

57、以下哪一项不是IIS服务器支持的访问控制过滤类型？

A．网络地址访问控制

B．web服务器许可

C．NTFS许可

D．异常行为过滤

参考答案：

D

58、ApacheWeb服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache目录的配置文件是：

A．httpd.conf

B．srm.conf

C．access.conf

D．inetd.conf

参考答案：

A

59、下列哪个是病毒的特性？

A．不感染、依附性

B．不感染、独立性

C．可感染、依附性

D．可感染、独立性

参考答案：

C

60、下面关于恶意软件描述错误的是：

A．蠕虫是值一个程序（或一组程序），它会自我复制、传播到别的计算机系统中去

B．逻辑炸弹属于不传染的依附性恶意代码

C．病毒和木马的主要区别在于木马不进行自我复制和传播

D．为防止恶意软件传播，在局域网入口处安装防火墙是最有效的措施

参考答案：

D

61、下列哪一项不是信息安全漏洞的载体？

A．网络协议

B．操作系统

C．应用系统

D．业务数据

参考答案：

D

62、下列哪些措施不是有效的缓冲区溢出的防护措施？

A．使用标准的C语言字符串库进行操作

B．严格验证输入字符串长度

C．过滤不合规则的字符

D．使用第三方安全的字符串库操作

参考答案：

A

63、在某个攻击中，由于系统用户或系统管理员主动泄漏，使得攻击者可以访问系统资源的行为被称作：

A．社会工程

B．非法窃取

C．电子欺骗

D．电子窃听

参考答案：

A

64、通过向被攻击者发送大量的ICMP回应请求，消耗被攻击者的资源来进行响应，直至被攻击者再也无法处理有效的网络信息流时，这种攻击称之为：

A．Land攻击

B．Smurf攻击

C．PingofDeath攻击

D．ICMPFlood

参考答案：

D

65、以下哪个攻击步骤是IP欺骗（IPSpoof）系列攻击中最关键和难度最高？

A．对被冒充的主机进行拒绝服务攻击，使其无法对目标主机进行响应

B．与目标主机进行会话，猜测目标主机的序号规则

C．冒充受信主机想目标主机发送数据包，欺骗目标主机

D．向目标主机发送指令，进行会话操作

参考答案：

B

66、下面哪一项内容更准确地描述了网络层可能存在的安全攻击？

A．IP源地址欺骗、IP数据包伪造、嗅探等

B．IP数据包伪造、嗅探、TCP会话劫持等

C．synflood、IP数据包伪造、分片攻击等

D．IP数据包伪造、udpflood、Smurf等

参考答案：

A

67、以下哪个不是SDL的思想之一？

A．SDL是持续改进的过程，通过持续改进和优化以适用各种安全变化，追求最优效果

B．SDL要将安全思想和意识嵌入到软件团队和企业文化中

C．SDL要实现安全的可度量性

D．SDL是对传统软件开发过程的重要补充，用于完善传统软件开发中的不足

参考答案：

D，P565，理解：

SDL是微软提出的从安全角度指导软件开发过程的管理模式。

68、以下针对SDL的需求分析的描述最准确的是：

A．通过安全需求分析，确定软件安全需要的安全标准和相关要求

B．通过安全需求分析，确定软件安全需要的安全技术和工作流程

C．通过安全需求分析，确定软件安全需要的安全标准和安全管理

D．通过安全需求分析，确定软件安全需要的安全技术和安全管理

参考答案：

A

69、信息安全管理者需要完成方方面面的繁杂工作，这些日常工作根本的目标是：

A．避免系统软硬件的损伤

B．监视系统用户和维护人员的行为

C．保护组织的信息资产

D．给入侵行为制造障碍，并在发生入侵后及时发现、准确记录

参考答案：

C

70、下面对PDCA模型的解释不正确的是：

A．通过规划、实施、检查和处置的工作程序不断改进对系统的管理活动

B．是一种可以应用于信息安全管理活动持续改进的有效实践方法

C．也被称为“戴明环”

D．适用于对组织整体活动的优化，不适合单人的过程以及个人

参考答案：

D

71、以下对PDCA循环特点描述不正确的是：

A．按顺序进行，周而复始，不断循环

B．组织中的每个部分，甚至个人，均可以PDCA循环，大环套小环，一层一层地解决问题

C．每通过一次PDCA循环，都要进行总结，提出新目标，再进行第二次PDCA循环

D．可以由任何一个阶段开始，周而复始，不断循环

参考答案：

D

72、在PDCA模型中，ACT（处置）环节的信息安全管理活动是：

A．建立环境

B．实施风险处理计划

C．持续的监视与评审风险

D．持续改进信息安全管理过程

参考答案：

D

73、下述选项中对于“风险管理”的描述正确的是：

A．安全必须是完美无缺、面面俱到的。