单选

自 2004 年 1 月起,各有关部门在申报信息安全国家标准计划项目时,必须经由以下哪个组织提出工作情 况,协调一致后由该组织申报。( )

单选

安全管理体系,国际上有标准( Information technology Security tech Nformation systems)(ISO/IEC 27001-2013),而我国发布了《信息技术信息安全管 理体系要求》(GBT 22080-2008)请问,这两个标准的关系是 ( )

单选

“cc”标准是测评标准类的重要标准,从该标准的内容来看,下面哪项内容是针对具体的被测评对象描述 了该对象的安全要求及其相关安全功能和安全措施,相当于从厂商角度制定的产品或系统实现方案( )

单选

信息安全等级保护分级要求,第三级适用正确的是 ( )

单选

下面对国家秘密定級和范围的描述中,哪项不符合《保守国家秘密法》要求:( )

单选

为了保障网络安全,维护网络空间主权和国家安全、社会公共利益,保护公民、法人和其他组织的合法权 益,促进经济社会信息化健康发展,加强在中华人民共和国境内建设、运营、维护和使用网络,以及网络安全 的监督管理。2015 年 6 月,第十二届全国人大常委会第十五次会议初次审议了一部法律草案,并于 7 月 6 日 起在网上全文公布,向社会公开征求意见,这部法律是( )

单选

为了进一步提高信息安全的保障能力和防护水平,保障和促进信息化建设的健康发展,公安部等四部门联 合发布《关于信息安全等级保护工作的实施意见》(公通字[2004166 号),对等级保护工作的开展提供宏观指 导和约東。明确了等级保护工作的基本内容、工作要求和实施计划,以及各部门工作职责分工等。关于该文 件,下面理解正确的是 ( )

单选

分组密码算法是一类十分重要的密码算法,下面描述中,错误的是( )

单选

密码学是网络安全的基础,但网络安全不能单纯依靠安全的密码算法,密码协议也是网络安全的个重要组 成部分。下面描述中,错误的是 ( )

单选

美国计算机协会( )宣布将 2015 年的 ACM 奖授予给 Whitfield Diffiic 和 Artfield 下面哪项工作是他 们的贡献 ( )

单选

虚拟专用网络( )通常是指在公共网络中利用隧道技术,建立一个临时的、安全的网络。这里的字母 P 的正确解释是 ( )

单选

为防范网络欺诈确保交易安全,网银系统首先要求用户安全登录,然后使用“智能卡￫ 短信证模式进行 网上转账等交易。在此场景中用到下列哪些鉴别方法? ( )

单选

实体身份鉴别一般依据以下三种基本情况或这三种情况的组合:实体所知的鉴别方法、实体所有的鉴别 方法和基于实体特征的鉴别方法。下面选项中属于实体特征的鉴别方法是 ( )

单选

常见的访问控制模型包括自主访问控制模型、强制访问控制模型和基于角色的访问控制模型等。下面 描述中错误的是 ( )

单选

在信息系统中,访问控制是重要的安全功能之一。他的任务是在用户对系统资源提供最大限度共享的基 础上,对用户的访问权限进行管理,防止对信息的非授权篡改和滥用。访问控制模型将实体划分为主体和客 体两类,通过对主体身份的识别来限制其对客体的访问权限。下列选项中,对主体、客体和访问权限的描述 中错误的是( )

单选

小赵是某大学计算机科学与技术专业的毕业生,在前往一家大型企业应聘时,面试经理要求他给出该企 业信息系统访问控模型的设计思路。如果想要为一个存在大量用户的信息系统实现自主访问控制功能,在以 下选项中,从时间和资源消耗的角度,下列选项中他应该采取的最合适的模型或方法是 ( )

单选

强制访问控制是指主体和客体都有一个固定的安全属性,系统用该安全属性来决定一个主体是否可以访 问某个客体,具有较高的安全性。适用于专用或对安全性要求较高的系统,强制访问控制模型有多种模型,如 BLP、Biba、 clark- Wilson 和 chinesc 等。小李自学了 BLP 模型,并对该模型的特点进行了总结。以下 4 种 对 BLP 模型的描述中,正确的是 ( )

单选

访问控制方法可分为自主访问控制、强制访问控制和基于角色的访问控制,他们具有不同的特点和应用 场景。如果需要选择一个访问控制方法,要求能够支持最小特权原则和职责分离原则,而且在不同的系统配 置下可以具有不同的安全控制,那么在下列选项中,能够满足以上要求的选项是 ( )

单选

关于 Wi-FI 联盟提出的安全协议 WPA 和 WPA2 的区别,下面描述正确的是( )

单选

随着高校业务资源逐渐向数据中心高度集中,Web 成为一种普适平台,上面承载了越来越多的核心业务。 Web 的开放性带来丰富资源、高效率、新工作方式的同时,也使机构的重要信息暴露在越来越多的威胁中。 去年,某个…网站遭遇 SQL 群注入( )攻击,网站发布的重要信息被簒改成为大量签名,所以 该校在某信息安全公司的建议下配置了状态检测防火墙,其原因不包括 ( )

单选

异常入侵检测是入侵检测系统常用的一种技术,它是识别系统或用户的非正常行为或者对于计算机资源 的非正常使用,从而检测出入侵行为。下面说法错误的是 ( )

单选

某集团公司的计算机网络中心内具有公司最重要的设备和信息数据。网络曾在一段时间内依然遭受了 几次不小的破坏和干扰;虽然有防火墙但系统管理人员也未找到真正的事发原因。某网络安全公司为该集团 部署基于网络的入侵检测系统( )将 DS 部署在防火墙后,以进行二次防御。那 NIDS 不会在()区域部署。 ( )

单选

入侵检测系统有其技术优越性,但也有其局限性,下列说法错误的是 ( )

单选

安全域是由一组具有相同安全保护需求并相互信任的系统组成的逻辑区域,下面哪项描述是错误的 ( )

单选

小王是某通信运营商公司的网络安全架构师,为该公司推出的一项新型通信系统项目做安全架构规划, 项目客户要求对他们的大型电子商务网络进行安全域的划分,化解为小区域的安全保护,每个逻辑区域有各 自的安全访问控制和边界控制策略,以实现大规模电子商务系统的信息保护小王对信息系统安全域(保护对 象)的划分不需要考虑的是 ( )

单选

在 Windos7 中,通过控制面板(管理工具ー一本地安全策略一一安全设置一一账户策略)可以进入操作系 统的密码策略设置界面,下面哪项内容不能在该界面进行设置 ( )

单选

Linux 系统中常用数字来表示文件的访问权限,假设某文件的访问限制使用了 755 来表示,则下面哪项 是正确的 ( )

单选

操作系统用于管理计算机资源,控制整个系统运行,是计算机软件的基础。操作系统安全是计算、网络 及信息系统安全的基础。一般操作系统都提供了相应的安全配置接口。小王新买了一台计算机,开机后首先 对自带的 Windows 操作系统进行配置。他的主要操作有:(1)关闭不必要的服务和端口;(2)在“在本地安全策 略”重配置账号策略、本地策略、公钥策略和 iP 安全策略(3)备份敏感文件,禁止建立空连接,下载最新补丁;(4) 关闭审核策略,开启口令策略,开启账号策略。这些操作中错误的是 ( )

单选

在 Windows 系统中,存在默认共享功能,方便了局域网用户使用,但对个人用户来说存安全风险。如果 电脑联网,网络上的任何人都可以通过共享使用或修改文件。小刘在装有 Windows XP 系统的计算机上进 行安全设置时,需要关闭默认共享。下列选项中,不能关闭默认共享的操作是 ( )

单选

从 Linux 内核 21 版开始,实现了基于权能的特权管理机制,实现了超级用户的特权分割,打破了 UNIXLINUX 操作系统中超级用户/普通用户的概念,提高了操作系统的安全性。下列选项中,对特权管理机 制的理解错误的是 ( )

单选

关于数据库恢复技术,下列说法不正确的是 ( )

单选

关系数据库的完整性规则是数据库设计的重要内容,下面关于“实体完整性”的描述正确的 ( )

单选

数据在进行传输前,需要由协议自上而下对数据进行封装。 TCP/IP 协议中,数据封装的顺序是 ( )

单选

安全多用途互联网邮件扩展( )是指一种保障邮件安 全的技术,下面描述错误的是 ( )

单选

ApacheHTTPServer(简称 Apache)是一个开放源码的 Web 服务运行平台,在使用过程中,该软件默认会将 自己的软件名和版本号发送给客户端。从安全角度出发,为隐藏这些信息,应当采取以下哪种措施 ( )

单选

Internet Explorer,简称三,是微软推出的一款 Web 浏览器,IE 中有很多安全设置选项,用来设置安全上网 环境和保护用户隐私数据。以下哪项不是三中的安全配置项目 ( )

单选

下面对”零日( )漏洞”的理解中,正确的是 ( )

单选

为达到预期的攻击目的,恶意代码通常会被采用各种方法将自己隐藏起来。关于隐藏方法,下面理解错误 的是 ( )

单选

某网站管理员小邓在流量监测中发现近期网站的入站 ICMP 流量上升 250%尽管网站没有发现任何的 性能下降或其他问题,但为了安全起见,他仍然向主管领导提出了应对措施,作为主管负责人,请选择有效的 针对此问题的应对措施:( )

单选

下面四款安全测试软件中,主要用于 WEB 安全扫描的是 ( )

单选

关于 ARP 欺骗原理和防范措施,下面理解错误的是 ( )

单选

在软件保障成熟度模型( )中规定了软件开发过程中的核心业务 功能,下列哪个选项不属于核心业务功能 ( )

单选

针对软件的拒绝服务攻击时通过消耗系统资源是软件无法响应正常请求的一种攻击方式,在软件开发时 分析拒绝服务攻击的威胁,以下哪个不是需要考虑的攻击方式 ( )

单选

某网站为了更好向用户提供服务,在新版本设计时提供了用户快捷登陆功能,用户如果使用上次的 IP 地 址进行访问,就可以无需验证直接登录,该功能推出后,导致大量用户账号被盗用,关于以上问题的说法正确 的是 ( )

单选

下面有关软件安全问题的描述中,哪项不是由于软件设计缺陷引起的 ( )

单选

某购物网站开发项目经过需求分析进入系统设计阶段,为了保证用户账户的安全,项目开发人员决定用 户登录时如用户名或口令输入错误,给用户返回用户名或口令输入错误”信息,输入错误达到三次,将暂时禁 止登录该账户,请问以上安全设计遵循的是哪项安全设计原则: ( )

单选

为了保障系统安全,某单位需要对其跨地区大型网络实时应用系统进行滲透测试,以下关于渗透测试过 程的说法不正确的是 ( )

单选

小王在学习信息安全管理体系相关知识之后,对于建立信息安全管理体系,自己总结了下面四条要求,其 中理解不正确的是 ( )

单选

美国国家标准与技术研究院( )隶属美国商务部,NIST 发布的很多关于计算机安全的指南文档。下面哪个文档是由 NIST 发布的 ( )

单选

小牛在对某公司的信息系统进行风险评估后,因考虑到该业务系统中部分涉及金融交易的功能模块风险 太高,他建议该公司以放弃这个功能模块的方式来处理该风险。请问这种风险处置的方法是 ( )

单选

残余风险是风险管理中的一个重要概念。在信息安全风险管理中,关于残余风险描述错误的是 ( )

单选

在信息安全管理过程中,背景建立是实施工作的第一步。下面哪项理解是错误的( )

单选

降低风险(或减低风险)是指通过对面临风险的资产采取保护措施的方式来降低风险,下面哪个措施不属 于降低风险的措施 ( )

单选

某单位在一次信息安全风险管理活动中,风险评估报告提出服务器 A 的 FTP 服务存在高风险漏洞。随 后该单位在风险处理时选择了关闭 FTP 服务的处理措施。请问该措施属于哪种风险处理方式 ( )

单选

小李在某单位是负责信息安全风险管理方面工作的部门领导,主要负责对所在行业的新人进行基本业务 素质培训,一次培训的时候,小李主要负责讲解风险评估方法。请问小李的所述论点中错误的是哪项 ( )

单选

信息安全风险评估是信息安全风险管理工作中的重要环节。在国家网络与信息安全协调小组发布的《关 于开展信息安全风险评估工作的意见》(国信办[200615 号)中,风险评估分为自评估和检查评估两种形式,并 对两种工作形势提出了有关工作原则和要求。下面选项中描述正确的是 ( )

单选

信息安全风险评估是信息安全风险管理工作中的重要环节。在〈关于开展信息安全风险评估工作的意 见》(国信办[2006]5 号)中,指出了风险评估分为自评估和检查评估两种形式,并对两种工作形式提出了有关 工作原则和要求。下面选项中描述错误的是 ( )

单选

王工是某单位的系统管理员,他在某次参加了单位组织的风险管理工作时,发现当前案例中共有两个重 要资产:资产 A1 和资产 A2 其中资产 A1 面临两个主要威胁,威胁 T1 和威胁 T2 而资产 A2 面临个主要威胁, 威胁『39 威胁 T1 可以利用的资产 A1 存在的两个脆弱性;脆弱性 V 和脆弱性 V2 威胁 T2 可以利用的资产 A1 存在的三个脆弱性,脆弱性 V3、脆弱性 V4 和脆弱性 V5 威胁 T3 可以利用的资产 A2 存在的两个脆弱性; 脆弱性 Vδ和脆弱性 V7 根据上述条件,请问:使用相乘法时,应该为资产 A1 计算几个风险值 ( )

单选

在信息安全管理体系的实施过程中,管理者的作用对于信息安全管理体系能否成功实施非常重要,但是 以下选项中不属于管理者应有职责的是 ( )

单选

信息安全管理体系( )的内部审核和管理审核是两项重要的 管理活动。关于这两者,下面描述错误的是 ( )

单选

随着信息安全涉及的范围越来越广,各个组织对信息安全管理的需求越来越迫切,越来越多的组织开始 尝试使用参考 lS27001 介绍的 ISMS 来实施信息安全管理体系,提高组织的信息安全管理能力。关于 ISMS, 下面描述错误的是 ( )

单选

在风险管理中,残余风险是指在实施了新的或增强的安全措施后还剩下的风险,关于残余风险,下面描述 错误的是 ( )

单选

GB T22080-2008《信息技术安全技术信息安全管理体系要求》指出,建立信息安全管理体系应参照 PDCA 模型进行,即信息安全管理体系应包括建立 ISMS、实施和运行 SMS、监视和评审 ISMS、保持和改进 ISMS 等过程,并在这些过程中应实施若干活动。请选出以下描述错误的选项( )

单选

若一个组织声称自己的 ISMS 符合 SO/EC27001 或 GBT22080 标准要求,其信息安全控制措施通常在以 下方面实施常规控制,不包括哪一项( )

单选

信息安全组织的管理涉及内部组织和外部各方面两个控制目标,为了实现对组织内部信息安全的有效管 理,应该实施常规的控制措施,不包括哪些选项( )

单选

若一个组织声称自己的 ISMS 符合 ISO 川 EC27001 或 GBT22080 标准要求,其信息安全措施通常需要在 资产管理方面实施常规控制,资产管理包含对资产负责和信息分类两个控制目标。信息分类控制的目标是为 了确保信息受到适当级别的保护,通常采取以下哪项控制措施 ( )

单选

应急响应时信息安全事件管理的重要内容之一。关于应急响应工作,下面描述错误的是 ( )

单选

我国依照信息系统的重要程度、安全事件造成的系统损失以及带来的社会影响等因素,将信息安全事件 分为若干个级别,其中,能够对特别重要的信息系统产生特别严重影响或破坏的信息安全事件,如使特别重要 信息系统遭受特别重大的系统损失,如造成系统大面积瘫痪,使其丧失业务处理能力,或系统关键数据的保密 性、完整性、可用性遭到严重破坏的,应属于哪一级信息安全事件 ( )

单选

恢复时间目标( )和恢复点目标( RECOVERY Point Objective, RPO)是业务连续性和灾难恢复工作中的两个重要指标,随着信息系统越来越重要和信息技术越 来越先进,这两个指标的数值越来越小。小华准备为其工作的信息系统拟定 RTO 和 RPO 指标,则以下描述 中,正确的是 ( )

单选

随着信息技术的不断发展,信息系统的重要性也越来越突出,而与此同时,发生的信息安全事件也越来越 多。综合分析信息安全问题产生的根源,下面描述正确的是( )

单选

关于信息安全保障技术框架( ),下面描述错误的是 ( )

单选

关于信息安全保障技术框架( )以下说法不正确的是 ( )

单选

2003 年以来,我国高度重视信息安全保障工作,先后制定并发布了多个文件,从政策层面为开展并推进信 息安全保障工作进行了规划。下面选项中哪个不是我国发布的文件 ( )

单选

在信息安全保障工作中,人オ是非常重要的因素,近年来,我国一直高度重视我国信息安全人オ队伍的培 养和建设。在以下关于我国关于人オ培养工作的描述中,错误的是 ( )

单选

2008 年 1 月 2 日,美国发布第 54 号总统令,建立国家网络安全综合计划( ComprehensiveNational Cybersecurity Initative,CNcI)。CNCI 计划建立三道防线:第一道防线,减少漏洞和隐患,预防入侵;第二道防线, 全面应对各类威胁;第三道防线,强化未来安全环境。从以上内容,我们可以看出以下哪种分析是正确的:( )

单选

公司甲做了很多政府网站安全项目,在为网游公司乙的网站设计安全保障方案时,借鉴以前项目经验,为 乙设计了多重数据加密安全措施,但用户提出不需要这些加密措施,理由是影响了网站性能,使用户访问量受 限。双方引起争议。下面说法哪个是错误的 ( )

单选

为保障信息系统的安全,某经营公共服务系统的公司准备并编制一份针对性的信息安全保障方案,并将 编制任务交给了小王,为此,小王决定首先编制出一份信息安全需求报告。关于此项工作,下面说法错误的是 ( )

单选

从系统工程的角度来处理信息安全问题,以下说法错误的是: ( )

单选

某项目的主要内容为建造 A 类机房,监理单位需要根据《电子信息系统机房设计规范》(GB50174-2008) 的相关要求,对承建单位的施工设计方案进行审核,以下关于监理单位给出的审核意见错误的是 ( )

单选

某公司建设面向内部员工的办公自动化系统和面向外部客户的营销系统,通过公开招标选择 M 公司为 实施单位,并选择了 H 监理公司承担该项目的全程监理工作。目前,各个应用系统均已完成开发,M 公司已经 提交了验收申请。监理公司需要对 M 公司提交的软件配置文件进行审査,在以下所提交的文档中,哪一项属 于开发类文档:( )

单选

有关系统安全工程-能力成熟度模型( )中的基本实施( ),正确的理解是:( )

单选

在使用系统安全工程-能力成熟度模型( )对一个组织的安全工程能力成熟度进行测量时,有关 测量结果,错误的理解是( )

单选

从历史演进来看,信息安全的发展经历了多个阶段。其中,有一个阶段的特点是:网络信息系统逐步形成, 信息安全注重保护信息在存储、处理和传输过程中免受非授权的访问,开始使用防火墙、防病毒 PKI 和 VPN 等安全产品。这个阶段是 ( )

单选

下面关于信息系统安全保障模型的说法不正确的是 ( )

单选

《信息安全保障技术框架》( )是由哪个下面哪个国家发 布的( )

单选

我国信息安全保障工作先后经历了启动、逐步展开和积极推进,以及深化落实三个阶段,我国信息安全 保障各阶段说法不正确的是 ( )

单选

我国信息安全保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面,以下关于信息安全 保障建设主要工作内容说法不正确的是 ( )

单选

某银行信息系统为了满足业务发展的需要准备进行升级改造,以下哪一项不是此次改造中信息系统安全 需求分析过程需要考虑的主要因素 ( )

单选

信息安全测评是指依据相关标准,从安全功能等角度对信息技术产品、信息系统、服务提供商以及人员 进行测试和评估,以下关于信息安全测评说法不正确的是( )

单选

美国的关键信息基础设施( )包括商用核设施、政府设施、交通系统、 饮用水和废水处理系统、公共健康和医疗、能源、银行和金融、国防工业基地等等,美国政府强调重点保障 这些基础设施信息安全,其主要原因不包括( )

单选

在设计信息系统安全保障方案时,以下哪个做法是错误的 ( )

单选

部署互联网协议安全虚拟专用网( )时,以下说 法正确的是 ( )

单选

某单位系统管理员对组织内核心资源的访问制定访问策略,针对每个用户指明能够访问的资源,对于不 在指定资源列表中的对象不允许访问。该访问控制策略属于以下哪一种: ( )

单选

主体和客体是访问控制模型中常用的概念。下面描述种错误的是 ( )

单选

以下场景描述了基于角色的访问控制模型( )F 根据组织的业务要求或 管理要求,在业务系统中设置若干岗位、职位或分工。管理员负责将权限(不同类别和级别的)分别赋予承担 不同工作职责的用户。关于 RBAC 模型,下列说法错误的是 ( )

单选

自主访问控制模型( )的访问控制关系可以用访问控制( )来表示,该 ACL 利用在客体上附加一个 主体明细表的方法来表示访问控制矩阵,通常使用由客体指向的链表来存储相关数据。下面选项中说法正确 的是( )

单选

关于 Kerberos 认证协议,以下说法错误的是 ( )

单选

传输控制协议( )是传输层协议,以下关于 TCP 协议的说法,哪个是正确的? ( )

单选

以下关于 UDP 协议的说法,哪个是错误的? ( )

单选

由于 Internet 的安全问题日益突出,基于 TCP/IP 协议,相关组织和专家在协议的不同层次设计了相应 的安全通信协议,用来保障网络各层次的安全。其中,属于或依附于传输层的安全协议是 ( )