时间:2020-01-01 03:22:54
1、单项选择题 对缓冲区溢出攻击预防没有帮助的做法包括（）
A.输入参数过滤，安全编译选项
B.操作系统安全机制、禁止使用禁用API
C.安全编码教育
D.渗透测试
2、单项选择题 以下不是信息资产是哪一项？（）
A.服务器
B.机房空调
C.鼠标垫
D.U盘
3、单项选择题 IPSEC的抗重放服务的实现原理是什么？（）
A.使用序列号以及滑动窗口原理来实现。
B.使用消息认证码的校验值来实现
C.在数据包中包含一个将要被认证的共享秘密或密钥来实现
D.使用ESP隧道模式对IP包进行封装即可实现。
4、单项选择题 在招聘过程中，如果在岗位人员的背景调查中出现问题时，以下做法正确的是？（）
A.继续执行招聘流程。
B.停止招聘流程，取消应聘人员资格。
C.与应聘人员沟通出现的问题。
D.再进行一次背景调查。
5、填空题 企业与消费者之间的电子商务是企业透过（）销售产品或服务个人消费者。
6、单项选择题 以下哪些不是应该识别的信息资产？（）
A.网络设备
B.客户资料
C.办公桌椅
D.系统管理员
7、单项选择题 ISO27001认证项目一般有哪几个阶段？（）
A.管理评估，技术评估，操作流程评估
B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证
C.产品方案需求分析，解决方案提供，实施解决方案
D.基础培训，RA培训，文件编写培训，内部审核培训
8、单项选择题 以下哪一项是防范SQL注入攻击最有效的手段？（）
A.删除存在注入点的网页
B.对数据库系统的管理权限进行严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进行严格的过滤
9、单项选择题 信息系统的价值确定需要与哪个部门进行有效沟通确定？（）
A.系统维护部门
B.系统开发部门
C.财务部门
D.业务部门
10、填空题 风险评估的相关标准不包括（）。
11、单项选择题 下面哪一个不是系统废弃阶段风险管理的工作内容（）
A.安全测试
B.对废弃对象的风险评估
C.防止敏感信息泄漏
D.人员培训
12、单项选择题 风险评估实施过程中资产识别的范围主要包括什么类别（）
A.网络硬件资产
B.数据资产
C.软件资产
D.以上都包括
13、填空题 涉密信息系统的建设使用单位应对系统设计方案进行审查论证，保密行政管理部门应参与方案审查论证，在（）方面加强指导。
14、单项选择题 广义的网络信息保密性是指（）
A、利用密码技术对信息进行加密处理，以防止信息泄漏和保护信息不为非授权用户掌握
B、保证数据在传输、存储等过程中不被非法修改
C、对数据的截获、篡改采取完整性标识的生成与检验技术
D、保守国家机密，或是未经信息拥有者的许可，不得非法泄漏该保密信息给非授权人员
15、单项选择题 恶意代码的第一个雏形是？（）
A.磁芯大战
B.爬行者
C.清除者
D.BRAIN
16、单项选择题 某个计算机系统遭到了38000次攻击，其中有65％成功，而这中间又有96％没有被检测到，检测到的则有74％没有上报，那么总共上报了多少次攻击（）
A.144
B.388
C.267
D.721
17、单项选择题 “配置管理”是系统工程中的重要概念，它在软件工程和信息安全工程中得到了广泛的应用，下列对于“配置管理”的解释最准确的是？（）
A.配置管理的本质是变更流程管理
B.配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发/维护设备）的所有变化进行控制的过程
C.管理配置是对信息系统的技术参数进行管理
D.管理配置是对系统基线和源代码的版本进行管理
18、单项选择题 下列几个OSI层中，哪一层能够提供访问控制服务？（）
A.传输层
B.表示层
C.会话层
D.数据链路层
19、单项选择题 下面哪一种物理访问控制能够对非授权访问提供最高级别的安全？（）
A.bolting门锁
B.Cipher密码锁
C.电子门锁
D.指纹扫描器
20、单项选择题 安全模型是用于精确和形式地描述信息系统的安全特征，解释系统安全相关行为。关于它的作用描述不正确的是？（）
A.准确的描述安全的重要方面与系统行为的关系。
B.开发出一套安全性评估准则，和关键的描述变量。
C.提高对成功实现关键安全需求的理解层次。
D.强调了风险评估的重要性
21、单项选择题 以下对于IATF信息安全保障技术框架的说法错误的是：（）
A、它由美国国家安全局公开发布
B、它的核心思想是信息安全深度防御（Defense-in-Depth）
C、它认为深度防御应当从策略、技术和运行维护三个层面来进行
D、它将信息系统保障的技术层面分为计算环境、区域边界、网络和基础设置和支撑性技术设施4个部分
22、单项选择题 某公司在测试灾难恢复计划时是发现恢复业务运营所必要的关键数据没有被保留，可能由于什么没有明确导致的？（）
A.服务中断的时间间隔
B.目标恢复时间（RTO）
C.服务交付目标
D.目标恢复点（RPO）
23、单项选择题 以下哪种鉴别方法最好？（）
A.鉴别用户是什么
B.鉴别用户有什么
C.鉴别用户知道什么
D.鉴别用户有什么和知道什么
24、单项选择题 建立ISMS的步骤正确的是？（）
A.明确ISMS范围-确定ISMS策略-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）
B.定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）-确定ISMS策略
C.确定ISMS策略-明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）
D.明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-确定ISMS策略-设计ISMS文件-进行管理者承诺（审批）
25、单项选择题 下列哪一项不是IDS可以解决的问题？（）
A.弥补网络协议的弱点
B.识别和报告对数据文件的改动
C.统计分析系统中异常活动模式
D.提升系统监控能力
26、单项选择题 年度损失值（ALE）的计算方法是什么（）
A.ALE=ARO*AV
B.ALE=AV*SLE
C.“ALE=ARO*SLE"
D.ALE=AV*EF
27、单项选择题 在评估一个高可用性网络的恢复能力时，下列情况风险最高：（）
A.设备在地理位置上分散
B.网络服务器位于同一地点
C.热站就绪可以被激活
D.网络执行了不同行程
28、填空题 根据SHARE78标准，在（）级情况下，备份中心处于活动状态，网络实时传送数据、流水日志、系统处于工作状态，数据丢失与恢复时间一般是小时级的。
29、单项选择题 网络安全技术层面的特性有可控性、可用性、完整性、保密性和（）
A、多样性
B、复杂性
C、可操作性
D、不可否认性
30、单项选择题 在一家企业的业务持续性计划中，什么情况被宣布为一个危机没有被定义。这一点关系到的主要风险是：（）
A.对这种情况的评估可能会延迟
B.灾难恢复计划的执行可能会被影响
C.团队通知可能不会发生
D.对潜在危机的识别可能会无效
31、单项选择题 目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）
A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室
32、单项选择题 下面哪个组合不是是信息资产（）
A.硬件、软件、文档资料
B.关键人员
C.组织提供的信息服务
D.桌子、椅子
33、单项选择题 以下哪些不是可能存在的弱点问题？（）
A.保安工作不得力
B.应用系统存在Bug
C.内部人员故意泄密
D.物理隔离不足
34、单项选择题 信息安全风险管理的最终责任人是？（）
A.决策层
B.管理层
C.执行层
D.支持层
35、填空题 政府系统信息安全检查指根据国家的相关要求，（）主管部门牵头，公安、保密、安全等部门参加，对政府信息系统开展的联合检查。
36、填空题 安全威胁中安全风险最高的是（）.
37、判断题 为特权用户设置口令时，应当使用enablepassword命令，该命令用于设定具有管理权限的口令。
38、单项选择题 下列哪一项是对信息系统经常不能满足用户需求的最好解释？（）
A.没有适当的质量管理工具
B.经常变化的用户需求
C.用户参与需求挖掘不够
D.项目管理能力不强
39、单项选择题 以下有关访问控制的描述不正确的是（）
A.口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D.双因子认证（又称强认证）就是一个系统需要两道密码才能进入
40、单项选择题 P2DR模型通过传统的静态安全技术和方法提高网络的防护能力，这些技术包括？（）
A.实时监控技术。
B.访问控制技术。
C.信息加密技术。
D.身份认证技术。
41、单项选择题 下面哪一个不是脆弱性识别的手段（）
A.人员访谈
B.技术工具检测
C.信息资产核查
D.安全专家人工分析
42、单项选择题 在安全人员的帮助下，对数据提供访问权的责任在于：（）
A.数据所有者
B.程序员
C.系统分析师
D.库管员
43、判断题 OSI安全体系结构标准不是一个实现的标准，而是描述如何设计标准的标准。
44、单项选择题 拒绝服务攻击损害了信息系统的哪一项性能？（）
A.完整性
B.可用性
C.保密性
D.可靠性
45、单项选择题 对于Linux操作系统中shadow文件说法不正确的是？（）
A.shadow文件可以指定用户的目录
B.shadow文件中定义了密码的使用期限
C.读取shadow文件能够发现秘钥的加密方法
D.shadow文件对于任何人是不可以读取的
46、单项选择题 制定应急响应策略主要需要考虑（）
A.系统恢复能力等级划分
B.系统恢复资源的要求
C.费用考虑
D.人员考虑
47、单项选择题 以下哪种访问控制策略需要安全标签？（）
A.基于角色的策略
B.基于标识的策略
C.用户指向的策略
D.强制访问控制策略
48、单项选择题 当更新一个正在运行的在线订购系统时，更新都记录在一个交易磁带和交易日志副本。在一天业务结束后，订单文件备份在磁带上。在备份过程中，驱动器故障和订单文件丢失。以下哪项对于恢复文件是必须的？（）
A.前一天的备份文件和当前的交易磁带
B.前一天的交易文件和当前的交易磁带
C.当前的交易磁带和当前的交易日志副本
D.当前的交易日志副本和前一天的交易交易文件
49、单项选择题 FTP使用哪个TCP端口？（）
A.21
B.23
C.110
D.5
50、多项选择题 路由器可以通过（）来限制带宽。
A.源地址
B.目的地址
C.用户
D.协议
51、单项选择题 在执行风险分析的时候，预期年度损失（ALE）的计算是：（）
A.全部损失乘以发生频率
B.全部损失费用+实际替代费用
C.单次预期损失乘以发生频率
D.资产价值乘以发生频率
52、单项选择题 对信息安全风险评估工作成果理解正确的是：（）
A．信息安全风险评估工作的最重要成果是按高中低级排列的风险列表。
B．通过信息安全风险评估工作，不仅能够明确系统安全风险，还能够获得如何控制风险的详细建议。
C．信息安全风险评估工作最终成果是信息系统安全问题（脆弱点）列表。
D．信息安全风险评估工作最终成果是信息系统安全威胁列表。
53、单项选择题 Linux文件系统采用的是树型结构，在根目录下默认存在var目录，它的的功用是？（）
A.公用的临时文件存储点
B.系统提供这个目录是让用户临时挂载其他的文件系统
C.某些大文件的溢出区
D.最庞大的目录，要用到的应用程序和文件几乎都在这个目录
54、单项选择题 一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪个是最有效的技术来达成这个策略？（）
A.状态检测防火墙
B.网页内容过滤
C.网页缓存服务器
D.代理服务器
55、单项选择题 在一份热站、温站或冷站协议中，协议条款应包含以下哪一项需考虑的事项（）
A.具体的保证设施
B.订户的总数
C.同时允许使用设施的订户数量
D.涉及的其他用户
56、单项选择题 下面选项中不属于数据库安全模型的是：（）
A.自主型安全模型
B.强制型安全模型
C.基于角色的模型
D.访问控制矩阵
57、判断题 一次买断以后再版就不必再给作者支付稿费。
58、单项选择题 实施逻辑访问安全时，以下哪项不是逻辑访问？（）
A.用户ID。
B.访问配置文件。
C.员工胸牌。
D.密码。
59、单项选择题 安全开发制度中，QA最关注的的制度是（）
A.系统后评价规定
B.可行性分析与需求分析规定
C.安全开发流程的定义、交付物和交付物衡量标准
D.需求变更规定
60、单项选择题 拥有电子资金转帐销售点设备的大型连锁商场，有中央通信处理器连接银行网络，对于通信处理机，下面哪一项是最好的灾难恢复计划。（）
A.每日备份离线存储
B.选择在线备份程序
C.安装双通讯设备
D.在另外的网络节点选择备份程序
61、单项选择题 当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看：（）
A.访问控制列表
B.系统服务配置情况
C.审计记录
D.用户帐户和权限的设置
62、单项选择题 下列哪类访问控制模型是基于安全标签实现的？（）
A.自主访问控制
B.强制访问控制
C.基于规则的访问控制
D.基于身份的访问控制
63、单项选择题 关于信息安全策略文件的评审以下说法不正确的是哪个？（）
A.信息安全策略应由专人负责制定、评审。
B.信息安全策略评审每年应进行两次，上半年、下半年各进行一次。
C.在信息安全策略文件的评审过程中应考虑组织业务的重大变化。
D.在信息安全策略文件的评审过程中应考虑相关法律法规及技术环境的重大变化。
64、单项选择题 下面哪种方法可以替代电子银行中的个人标识号（PINs）的作用？（）
A.虹膜检测技术
B.语音标识技术
C.笔迹标识技术
D.指纹标识技术
65、单项选择题 组织在实施与维护信息安全的流程中，下列哪一项不属于高级管理层的职责？（）
A．明确的支持
B．执行风险分析
C．定义目标和范围
D．职责定义与授权
66、单项选择题 下列对SSE-CMM说法错误的是？（）
A.它通过域维和能力维共同形成对安全工程能力的评价
B.域维定义了实施安全工程的所有实施活动
C.能力维定义了工程能力的判断标准
D.“公共特征”是域维中对获得过程区目标的必要步骤的定义
67、单项选择题 下面哪一个不是系统规划阶段风险管理的工作内容（）
A.明确安全总体方针
B.明确系统安全架构
C.风险评价准则达成一致
D.安全需求分析
68、单项选择题 以下哪一个是在所有的WINDOWS2000和WINDOWS系统中都存在的日志是？（）
A.目录服务日志
B.文件复制日志
C.应用服务日志
D.DNS服务日志
69、多项选择题 网络安全审计系统一般包括（）。
A.网络探测引擎
B.数据管理中心
C.审计中心
D.声光报警系统
70、单项选择题 Chinese Wall模型的设计宗旨是：（）
A.用户只能访问那些与已经拥有的信息不冲突的信息
B.用户可以访问所有信息
C.用户可以访问所有已经选择的信息
D.用户不可以访问那些没有选择的信息
71、单项选择题 减少与钓鱼相关的风险的最有效控制是：（）
A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训
72、单项选择题 如果可能最应该得到第一个应急事件通知的小组是（）
A.应急响应领导小组
B.应急响应日常运行小组
C.应急响应技术保障小组
D.应急响应实施小组
73、单项选择题 下面哪种方法产生的密码是最难记忆的？（）
A.将用户的生日倒转或是重排
B.将用户的年薪倒转或是重排
C.将用户配偶的名字倒转或是重排
D.用户随机给出的字母
74、单项选择题 在Linux操作系统中，为了授权用户具有管理员的某些个性需求的权限所采取的措施是什么？（）
A.告诉其他用户root密码
B.将普通用户加入到管理员组
C.使用visudo命令授权用户的个性需求
D.创建单独的虚拟账户
75、单项选择题 下列对“信息安全风险”的描述正确的是：（）
A.是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险
B.是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险
C.是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险
D.是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险
76、多项选择题 网络违法犯罪的表现形式有（）。
A、网络诈骗
B、网络^色 情
C、网络盗窃
D、网络赌博
77、判断题 口令复杂度应有要求，所以复杂的口令可以不用修改。
78、单项选择题 授权访问信息资产的责任人应该是（）
A.资产保管员
B.安全管理员
C.资产所有人
D.安全主管
79、单项选择题 在评估逻辑访问控制时，应该首先做什么（）
A.把应用在潜在访问路径上的控制项记录下来
B.在访问路径上测试控制来检测是否他们具功能化
C.按照写明的策略和实践评估安全环境
D.对信息流程的安全风险进行了解
80、单项选择题 CA的核心职责是（）
A.签发和管理证书
B.审核用户真实信息
C.发布黑名单
D.建立实体链路安全
81、单项选择题 防火墙通过（）控制来阻塞邮件附件中的病毒。
A.数据控制
B.连接控制
C.ACL控制
D.协议控制
82、填空题 运行（）可以帮助防止遭受网页仿冒欺诈。
83、单项选择题 在WindowsNT/2K中，哪些成员可以修改新建文件或文件夹的默认共享设置？（）
A.域管理员
B.域用户
C.所有人
D.管理员
84、单项选择题 （）的主要任务是指对数据库系统应用程序或用户使用资源的情况进行记录和审计，用以保证数据的安全。
A、数据库备份
B、数据库恢复
C、数据库审计
D、数据库转储
85、单项选择题 LDAP使用哪个端口？（）
A.TCP 139
B.TCP 119
C.UDP 139
D.UDP 389
86、填空题 物流（）电子商务规划框架
87、单项选择题 数据库视图用于？（）
A.确保相关完整性
B.方便访问数据
C.限制用户对数据的访问.
D.提供审计跟踪
88、单项选择题 那一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？（）
A.包过滤防火墙
B.状态检测防火墙
C.应用网关防火墙
D.以上都不能
89、单项选择题 人员入职过程中，以下做法不正确的是？（）
A.入职中签署劳动合同及保密协议。
B.分配工作需要的最低权限。
C.允许访问企业所有的信息资产。
D.进行安全意思培训。
90、单项选择题 降低企业所面临的信息安全风险，可能的处理手段不包括哪些（）
A.通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷
B.通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；
C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击
D.通过业务外包的方式，转嫁所有的安全风险
91、单项选择题 应急响应计划应该多久测试一次？（）
A.10年
B.当基础环境或设施发生变化时
C.2年
D.当组织内业务发生重大的变更时
92、单项选择题 在制定控制前，管理层首先应该保证控制（）
A.满足控制一个风险问题的要求
B.不减少生产力
C.基于成本效益的分析
D.检测行或改正性的
93、单项选择题 （）在访问控制中，对网络资源的访问是基于什么的？
A、用户
B、权限
C、访问对象
D、工作组
94、单项选择题 银行柜员的访问控制策略实施以下的哪一种？（）
A.基于角色的策略。
B.基于身份的策略。
C.基于用户的策略。
D.基于规则政策。
95、多项选择题 IPSec通过（）实现密钥交换、管理及安全协商。
A.AH
B.ESP
C.ISAKMP/Oakley
D.SKIP
96、单项选择题 风险分析的目标是达到：（）
A、风险影响和保护性措施之间的价值平衡
B、风险影响和保护性措施之间的操作平衡
C、风险影响和保护性措施之间的技术平衡
D、风险影响和保护性措施之间的逻辑平衡
97、单项选择题 负责授权访问业务系统的职责应该属于：（）
A.数据拥有者
B.安全管理员
C.IT安全经理
D.请求者的直接上司
98、单项选择题 风险评估和管理工具通常是指什么工具（）
A.漏洞扫描工具
B.入侵检测系统
C.安全审计工具
D.安全评估流程管理工具
99、单项选择题 如果出现IT人员和最终用户职责分工的问题，下面哪个选项是合适的补偿性控制？（）
A.限制物理访问计算机设备
B.检查应用及事务处理日志
C.在聘请IT人员之前进行背景检查
D.在不活动的特定时间后，锁定用户会话
100、单项选择题 以下对信息安全管理的描述错误的是（）
A.保密性、完整性、可用性
B.抗抵赖性、可追溯性
C.真实性私密性可靠性
D.增值性
101、单项选择题 （）下列哪个版本的Windows自带了防火墙，该防火墙能够监控和限制用户计算机的网络通信。
A.Windows98
B.WindowsME
C.Windows2000
D.WindowsXP
102、单项选择题 以下哪一项是两家公司为灾难恢复签订互惠协议而面临的最大风险？（）
A.各自的发展将导致（互相间）软硬件不兼容。
B.当需要时资源未必可用。
C.恢复计划无法演练。
D.各家公司的安全基础架构可能不同。
103、单项选择题 在数据库的安全评估过程中，下面那项是指系统能够对付各种可能地攻击的能力。（）
A、可行性
B、系统灵活性
C、用户地方便性
D、完整性
104、单项选择题 以下哪组全部是完整性模型？（）
A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BIBA模型
D.Clark－Wilson模型和Chinese wall模型
105、单项选择题 “可信计算基（TCB）”不包括：（）
A.执行安全策略的所有硬件
B.执行安全策略的软件
C.执行安全策略的程序组件
D.执行安全策略的人
106、单项选择题 发生（）后，磁盘上的物理数据和日志文件被破坏，这是最严重的一种故障，恢复方法是重装数据库，然后重做已完成的事务。
A、系统故障
B、事故故障
C、介质故障
D、软件故障
107、单项选择题 组织内数据安全官的最为重要的职责是：（）
A.推荐并监督数据安全策略
B.在组织内推广安全意识
C.制定IT安全策略下的安全程序/流程
D.管理物理和逻辑访问控制
108、单项选择题 信息安全管理手段不包括以下哪一项（）
A.技术
B.流程
C.人员
D.市场
109、单项选择题 在零传输（Zone transfers）中DNS服务使用哪个端口？（）
A.TCP 53
B.UDP 53
C.UDP 23
D.TCP 23
110、单项选择题 评估BCP时，下列哪一项应当最被关注：（）
A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体BCP被文档化，但详细恢复步骤没有规定
D.宣布灾难的职责没有被识别
111、单项选择题 关于SSE-CMM的描述错误的是：（）
A.1993年4月美国国家安全局资助，有安全工业界、美国国防部办公室和加拿大通信安全机构共同组成SSE-CMM项目组。
B.SSE-CMM的能力级别分为6个级别。
C.SSE-CMM将安全工程过程划分为三类：风险、工程和保证。
D.SSE的最高能力级别是量化控制。
112、单项选择题 以下哪些不属于脆弱性范畴？（）
A.黑客攻击
B.操作系统漏洞
C.应用程序BUG
D.人员的不良操作习惯
113、单项选择题 开发人员认为系统架构设计不合理，需要讨论调整后，再次进入编码阶段。开发团队可能采取的开发方法为（）
A.瀑布模型
B.净室模型
C.XP模型
D.迭代模型
114、判断题 网页防篡改属于内容过滤技术的应用领域。
115、单项选择题 信息安全政策声明：“每个人必须在进入每一个控制门时，都必须读取自己的证件”，防范的是哪一种攻击方式？（）
A.尾随Piggybacking
B.肩窥Shoulder surfing
C.Dumpster diving
D.冒充Impersonation
116、单项选择题 下列哪项是私有IP地址？（）
A.10.5.42.5
B.172.76.42.5
C.172.90.42.5
D.241.16.42.5
117、单项选择题 路由器工作在OSI的哪一层（）
A.传输层
B.数据链路层
C.网络层
D.应用层
118、单项选择题 组织在制定灾难恢复计划时，应该最先针对以下哪点制定（）
A.所有信息系统流程
B.所有应用系统流程
C.信息系统经理指派的路程
D.业务经理定义的流程优先级
119、单项选择题 在TCP中的六个控制位哪一个是用来请求同步的（）
A.SYN
B.ACK
C.FIN
D.RST
120、单项选择题 以下哪个选项是缺乏适当的安全控制的表现（）
A.威胁
B.脆弱性
C.资产
D.影响
121、单项选择题 来自终端的电磁泄露风险，因为它们：（）
A.导致噪音污染
B.破坏处理程序
C.产生危险水平的电流
D.可以被捕获并还原
122、单项选择题 在业务持续性计划中，下面哪一项具有最高的优先级？（）
A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点
123、单项选择题 风险控制是依据风险评估的结果，选择和实施合适的安全措施。下面哪个不是风险控制的方式？（）
A.规避风险
B.转移风险
C.接受风险
D.降低风险
124、单项选择题 包括了对整个应用程序、控制程序的逻辑和数据的逻辑合法性和合理性的审计方法是（）
A、设备安全的审计
B、应用程序的审计
C、系统操作的审计
D、欺诈行为的审计
125、单项选择题 系统管理员属于？（）
A.决策层
B.管理层
C.执行层
D.既可以划为管理层，又可以划为执行层
126、单项选择题 下列哪一项不是工程实施阶段信息安全工程监理的主要目标？（）
A.明确工程实施计划，对于计划的调整必须合理、受控
B.促使工程中所使用的产品和服务符合承建合同及国家相关法律、法规和标准
C.促使业务单位与承建单位充分沟通，形成深化的安全需求
D.促使工程实施过程满足承建合同的要求，并与工程设计方案、工程计划相符
127、单项选择题 以下描述中不属于SSH用途的为？（）
A.用于远程的安全管理，使用SSH客户端连接远程SSH服务器，建立安全的Shell交互环境
B.用于本地到远程隧道的建立，进而提供安全通道，保证某些业务安全传输
C.进行对本地数据使用SSH的秘钥进行加密报错，以提高其业务的可靠性
D.SCP远程安全数据复制借助SSH协议进行传输，SSH提供其安全隧道保障
128、填空题 信息安全风险评估的自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的（）提供技术支持。
129、单项选择题 一名攻击者试图通过暴力攻击来获取下列哪一项信息？（）
A.加密密钥
B.加密算法
C.公钥
D.密文
130、单项选择题 以下哪个标准是ISO27001的前身标准？（）
A.BS5750
B.BS7750
C.BS7799
D.BS15000
131、单项选择题 某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？（）
A.Bell-LaPadula模型
B.Biba模型
C.信息流模型
D.Clark-Wilson模型
132、单项选择题 当审核一个组织的业务连续性计划时，某IS审计师观察到这个被审计组织的数据和软件文件被周期性的进行了备份。有效性计划哪一个特性在这里被证明？（）
A.防止
B.减轻
C.恢复
D.响应
133、单项选择题 以下对于IPsec协议说法正确的是：（）
A.鉴别头（AH）协议，不能加密包的任何部分
B.IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C.IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D.在使用传输模式时，IPsec为每个包建立一个新的包头，而在隧道模式下使用原始包头
134、单项选择题 以下哪个模型主要用于金融机构信息系统的保护？（）
A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型
135、单项选择题 下面哪一项安全控制措施不是用来检测未经授权的信息处理活动的：（）
A.设置网络连接时限
B.记录并分析系统错误日志
C.记录并分析用户和管理员日志
D.时钟同步
136、填空题 对信息的（）；（）；（）的特性称为完整性保护。
137、填空题 防火墙是设置在内部网络与外部网络（如互联网）之间，实施（）的一个或一组系统。
138、判断题 在网络安全技术中，防火墙是第二道防御屏障。
139、单项选择题 一个单位在处理一台储存过高密级信息的计算机是首先应该做什么？（）
A.将硬盘的每一个比特写成“O”
B.将硬盘彻底毁坏
C.选择秘密信息进行删除
D.进行低级格式化
140、单项选择题 ISMS文档体系中第一层文件是？（）
A.信息安全方针政策
B.信息安全工作程序
C.信息安全作业指导书
D.信息安全工作记录
141、单项选择题 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的（）
A.只关注外来的威胁，忽视企业内部人员的问题
B.相信来自陌生人的邮件，好奇打开邮件附件
C.开着电脑离开，就像离开家却忘记关灯那样
D.及时更新系统和安装系统和应用的补丁
142、单项选择题 （）关于Windows2000中的身份验证过程，下面哪种说法是错误的？
A、如果用户登录一个域，则Windows2000将把这些登录信息转交给域控制器处理。
B、如果用户登录本机，则Windows2000将把这些登录信息转交给域控制器处理。
C、如果用户登录一个域，则Windows2000利用域控制器含有的目录副本，验证用户的登录信息。
D、如果用户登录本机，则Windows2000利用本机的安全子系统含有的本机安全数据库，验证用户的登录信息。
143、单项选择题 单点登录系统主要的关切是什么？（）
A.密码一旦泄露，最大程度的非授权访问将可能发生。
B.将增加用户的访问权限。
C.用户的密码太难记。
D.安全管理员的工作量会增加。
144、单项选择题 信息安全管理体系要求的核心内容是？（）
A.风险评估
B.关键路径法
C.PDCA循环
D.PERT
145、单项选择题 下列哪一种密码算法是基于大数分解难题的？（）
A.ECC
B.RSA
C.DES
D.Diffie-Hellman
146、单项选择题 以下哪个选项不是信息中心（IC）工作职能的一部分？（）
A.准备最终用户的预算
B.选择PC的硬件和软件
C.保持所有PC的硬件和软件的清单
D.提供被认可的硬件和软件的技术支持
147、单项选择题 关于数据库注入攻击的说法错误的是：（）
A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火墙对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限
148、填空题 计算机病毒可能在用户打开（）文件时被启动。
149、单项选择题 在互联网环境中，网络舆论的形成变得较为复杂，但大致遵循（）模式。
A、新闻信息——舆论形成
B、民间舆论——新闻报道
C、产生话题——话题持续存活——形成网络舆论——网络舆论发展——网络舆论平息
D、产生话题——形成网络舆论——网络舆论平息
150、单项选择题 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？（）
A.约定的标准及相关法律的要求
B.已识别的安全需求
C.控制措施有效实施和维护
D.ISO13335风险评估方法
151、单项选择题 下列哪一种情况会损害计算机安全策略的有效性？（）
A.发布安全策略时
B.重新检查安全策略时
C.测试安全策略时
D.可以预测到违反安全策略的强制性措施时
152、单项选择题 以下关于“最小特权”安全管理原则理解正确的是：（）
A.组织机构内的敏感岗位不能由一个人长期负责
B.对重要的工作进行分解，分配给不同人员完成
C.一个人有且仅有其执行岗位所足够的许可和权限
D.防止员工由一个岗位变动到另一个岗位，累积越来越多的权限
153、单项选择题 应急响应哪一个阶段用来降低事件再次发生的风险（）
A.遏制
B.根除
C.跟踪
D.恢复
154、单项选择题 网络“抄袭”纠纷频发反映了（）
A、互联网产业创新活力不足
B、互联网诚信缺失
C、互联网市场行为亟待规范
D、互联网立法工作的滞后
155、单项选择题 当你发送一条GRANT语句时，服务器会在（）里创建一个记录项并把你用户名、主机名和口令记录在User、Host和Password列中。
A、db权限表
B、host权限表
C、table_priv权限表
D、user权限表
156、单项选择题 下列生物识别设备，哪一项的交差错判率（CER）最高？（）
A.虹膜识别设备
B.手掌识别设备
C.声音识别设备
D.指纹识别设备
157、单项选择题 下面关于定性风险评估方法的说法不正确的是（）
A.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识
B.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质
C."耗时短、成本低、可控性高"
D.能够提供量化的数据支持，易被管理层所理解和接受
158、判断题 传播网络病毒，恶意进行网络攻击不属于网络不诚信问题的表现。
159、单项选择题 我国规定商用密码产品的研发、制造、销售和使用采取专控管理，必须经过审批，所依据的是：（）
A、商用密码管理条例
B、中华人民共和国计算机信息系统安全保护条例
C、计算机信息系统国际联网保密管理规定
D、中华人民共和国保密法
160、单项选择题 第一个建立电子政务标准的国家是？（）
A.英国
B.美国
C.德国
D.俄罗斯
161、单项选择题 Kerberos依赖什么加密方式？（）
A.ElGamal密码加密
B.秘密密钥加密。
C.Blowfish加密。
D.公钥加密。
162、单项选择题 下列哪个协议可以防止局域网的数据链路层的桥接环路：（）
A.HSRP
B.STP
C.VRRP
D.OSPF
163、单项选择题 下面哪项是信息安全管理体系中CHECK（检查）中的工作内容？（）
A.按照计划的时间间隔进行风险评估的评审
B.实施所选择的控制措施
C.采取合适的纠正和预防措施。从其它组织和组织自身的安全经验中吸取教训
D.确保改进达到了预期目标
164、单项选择题 数据库的（）是指如何组织、管理、保护和处理敏感信息的指导思想。它包括安全管理策略、访问控制策略和信息控制策略。
A、安全策略
B、管理策略
C、控制策略
D、访问策略
165、单项选择题 以下哪一个不是网络隐藏技术？（）
A.端口复用
B."无端口技术"
C.反弹端口技术
D.DLL注入
166、单项选择题 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是（）
A.信息系统的开发设计，应该越早考虑系统的安全需求越好
B.信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统
C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理
D.运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险
167、判断题 对钱财的贪婪也是网络违法犯罪行为的原始动力。
168、单项选择题 以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？（）
A.ISO/IEC7498-2
B.BS7799
C.通用评估准则
D.IATF
169、单项选择题 监视恶意代码主体程序是否正常的技术是？（）
A.进程守护
B.备份文件
C.超级权限
D.HOOK技术
170、单项选择题 在对业务持续性计划进行验证时，以下哪项最为重要（）
A.数据备份准时执行
B.备份站点已签订合约，并且在需要时可以使用
C.人员安全计划部署适当
D.保险
171、单项选择题 某组织的信息系统策略规定，终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应：（）
A.报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查
172、多项选择题 不同设VLAN之间要进行通信，可以通过（）。
A、交换机
B、路由器
C、网闸
D、入侵检测
E、入侵防御系统
173、单项选择题 信息安全管理体系策略文件中第一层文件是？（）
A.信息安全工作程序
B.信息安全方针政策
C.信息安全作业指导书
D.信息安全工作记录
174、单项选择题 在检查IT安全风险管理程序，安全风险的测量应该（）
A.列举所有的网络风险
B.对应IT战略计划持续跟踪
C.考虑整个IT环境
D.识别对（信息系统）的弱点的容忍度的结果
175、问答题 安全审计按对象不同，可分为哪些类？各类审计的内容又是什么？
176、单项选择题 组织的安全策略可以是广义的，也可以是狭义的，下面哪一条是属于广义的安全策略？（）
A.应急计划
B.远程办法
C.计算机安全程序
D.电子邮件个人隐私
177、单项选择题 为什么实现单点登录的批处理文件及脚本文件需要被保护存储？（）
A.因为最小授权原则
B.因为它们不可以被操作员访问到
C.因为它们可能包含用户身份信息
D.因为知所必须原则
178、单项选择题 关于标准、指南、程序的描述，哪一项是最准确的？（）
A.标准是建议性的策略，指南是强制执行的策略
B.程序为符合强制性指南的一般性建议
C.程序是为符合强制性指南的一般性建议
D.程序是为符合强制性标准的的说明
179、单项选择题 下列哪项不是信息系统安全工程能力成熟度模型（SSE-CMM）的主要过程：（）
A.风险过程
B.保证过程
C.工程过程
D.评估过程
180、单项选择题 下面哪一项是恢复非关键系统的最合理方案？（）
A.温站
B.移动站
C.热站
D.冷站
181、单项选择题 当发生灾难时，以下哪一项能保证业务交易的有效性（）
A.从当前区域外的地方持续每小时1次地传送交易磁带
B.从当前区域外的地方持续每天1次地传送交易磁带
C.抓取交易以整合存储设备
D.从当前区域外的地方实时传送交易磁带
182、单项选择题 管理体系审计员进行通信访问控制审查，首先应该关注：（）
A.维护使用各种系统资源的访问日志
B.在用户访问系统资源之前的授权和认证
C.通过加密或其他方式对存储在服务器上数据的充分保护
D.确定是否可以利用终端系统资源的责任制和能力.
183、单项选择题 下列对于Rootkit技术的解释不准确的是：（）
A.Rootkit是攻击者用来隐藏自己和保留对系统的访问权限的一组工具
B.Rootkit是一种危害大、传播范围广的蠕虫
C.Rootkit和系统底层技术结合十分紧密
D.Rootkit的工作机制是定位和修改系统的特定数据，改变系统的正常操作流程
184、单项选择题 下面对自由访问控制（DAC）描述正确的是（）
A.比较强制访问控制而言不太灵活
B.基于安全标签
C.关注信息流
D.在商业环境中广泛使用
185、填空题 APT攻击是一种“（）”的攻击。
186、填空题 完全电子商务（）按照电子商务商业活动的运作方式分类。
187、判断题 两种经济形态并存的局面将成为未来世界竞争的主要格局。
188、单项选择题 以下哪些模型可以用来保护分级信息的机密性？（）
A.Biba模型和Bell－Lapadula模型
B.Bell－Lapadula模型和信息流模型
C.Bell－Lapadula模型和Clark－Wilson模型
D.Clark－Wilson模型和信息流模型
189、单项选择题 如果恢复时间目标增加，则（）
A.灾难容忍度增加
B.恢复成本增加
C.不能使用冷备援计算机中心
D.数据备份频率增加
190、判断题 网络道德问题产生的客观原因是网络社会的社会背景。
191、单项选择题 P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？（）
A.检测。
B.报警。
C.记录。
D.实时监控。
192、单项选择题 有关认证和认可的描述，以下不正确的是（）
A.认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）
B.根据对象的不同，认证通常分为产品认证和体系认证
C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认
D.企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求
193、单项选择题 信息安全管理组织说法以下说法不正确的是？（）
A.信息安全管理组织人员应来自不同的部门。
B.信息安全管理组织的所有人员应该为专职人员。
C.信息安全管理组织应考虑聘请外部专家。
D.信息安全管理组织应建立沟通、协调机制。
194、单项选择题 以下哪一个不是VLAN的划分方式（）
A.根据TCP端口来划分
B.根据MAC地址来划分
C.根据IP组播划分
D."根据网络层划分"
195、单项选择题 下面哪一种情况可以使信息系统安全官员实现有效进行安全控制的目的？（）
A.完整性控制的需求是基于风险分析的结果
B.控制已经过了测试
C.安全控制规范是基于风险分析的结果
D.控制是在可重复的基础上被测试的
196、问答题 密码的研究、生产、销售时哪个部门负责的？
197、判断题 互惠原则的核心内容是要求消除网络社会由于各种原因造成的网络主体间的交往不畅通、交往障碍。
198、单项选择题 软件的供应商或是制造商可以在他们自己的产品中或是客户的计算机系统上安装一个“后门”程序。以下哪一项是这种情况面临的最主要风险？（）
A.软件中止和黑客入侵
B.远程监控和远程维护
C.软件中止和远程监控
D.远程维护和黑客入侵
199、单项选择题 在对Linux系统中dir目录及其子目录进行权限权限统一调整时所使用的命令是什么？（）
A.rm-fr-755/dir
B.ls-755/dir
C.chmod755/dir/*
D.chmod-R755/dir
200、填空题 《计算机信息系统安全保护条例》规定，（）主管全国计算机信息安全保护工作。
201、单项选择题 在什么情况下，热站会作为一个恢复策略被执行？（）
A.低灾难容忍度
B.高恢复点目标（RPO）
C.高恢复时间目标（RTO）
D.高灾难容忍度
202、单项选择题 以下哪一个选项是从软件自身功能出发，进行威胁分析（）
A.攻击面分析
B.威胁建模
C.架构设计
D.详细设计
203、单项选择题 为了达到组织灾难恢复的要求，备份时间间隔不能超过：（）
A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可接受程度（MAO）
204、单项选择题 矩阵分析法通常是哪种风险评估采用的方法（）
A.定性风险评估
B.定量分析评估
C.安全漏洞评估
D.安全管理评估
205、单项选择题 以下哪一个不是风险控制的主要方式（）
A.规避方式
B.转移方式
C.降低方式
D.隔离方式
206、单项选择题 下列哪一个是PKI体系中用以对证书进行访问的协议？（）
A.SSL
B.LDAP
C.CA
D.IKE
207、单项选择题 定义ISMS范围时，下列哪项不是考虑的重点（）
A.组织现有的部门
B.信息资产的数量与分布
C.信息技术的应用区域
D.IT人员数量
208、单项选择题 当以下哪一类人员维护应用系统软件的时候，会造成对“职责分离”原则的违背？（）
A.数据维护管理员
B.系统故障处理员
C.系统维护管理员
D.系统程序员
209、判断题 统计推论目的是对整理出的数据进行加工概括，从多种角度显现大量资料所包含的数量特征和数量关系。
210、单项选择题 以下哪项不属于造成信息安全问题的自然环境因素？（）
A.纵火
B.地震
C.极端天气
D.洪水
211、单项选择题 外部组织使用组织敏感信息资产时，以下正确的做法是？（）
A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。
212、单项选择题 下列哪一项准确地描述了可信计算基（TCB）？（）
A.TCB只作用于固件（FirmwarE.
B.TCB描述了一个系统提供的安全级别
C.TCB描述了一个系统内部的保护机制
D.TCB通过安全标签来表示数据的敏感性
213、判断题 网络道德的本质是社会道德，是社会道德在网络领域中的新体现。
214、单项选择题 我国的信息安全保障基本原则是？（）
A.正确处理安全与发展的关系，以安全保发展，在发展中求安全。
B.立足国情，以我为主，坚持管理与技术并重。
C.强化未来安全环境，增强研究、开发和教育以及投资先进的技术来构建将来的环境。
D.明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。
215、单项选择题 安全策略体系文件应当包括的内容不包括（）
A.信息安全的定义、总体目标、范围及对组织的重要性
B.对安全管理职责的定义和划分
C.口令、加密的使用是阻止性的技术控制措施；
D.违反安全策略的后果
216、单项选择题 下面关于密码算法的说法错误的是？（）
A.分组密码又称作块加密
B.流密码又称作序列密码
C.DES算法采用的是流密码
D.序列密码每次加密一位或一个字节的明文
217、单项选择题 网络安全一般是指网络系统的硬件、软件及其（）受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。
A、系统中的文件
B、系统中的图片
C、系统中的数据
D、系统中的视频
218、单项选择题 以下哪些是信息资产无需明确的（）
A.所有者
B.管理者
C.厂商
D.使用者
219、单项选择题 ISMS的审核的层次不包括以下哪个？（）
A.符合性审核
B.有效性审核
C.正确性审核
D.文件审核
220、单项选择题 ITSEC中的F1-F5对应TCSEC中哪几个级别？（）
A.D到B2
B.C2到B3
C.C1到B3
D.C2到A1
221、单项选择题 覆盖和消磁不用在对以下哪一种计算机存储器或存储媒介进行清空的过程？（）
A.随机访问存储器（RAM）
B.只读存储器（ROM）
C.磁性核心存储器
D.磁性硬盘
222、问答题 RSA的密钥有多长？
223、单项选择题 作为信息安全管理人员，你认为变更管理过程最重要的是？（）
A.变更过程要留痕
B.变更申请与上线提出要经过审批
C.变更过程要坚持环境分离和人员分离原则
D.变更要与容灾预案同步
224、单项选择题 程序设计和编码的问题引入的风险为：（）
A."网络钓鱼"
B."缓冲区溢出"
C."SYN攻击"
D.暴力破解
225、单项选择题 管理者何时可以根据风险分析结果对已识别风险不采取措施（）
A.当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时
B.当风险减轻方法提高业务生产力时
C.当引起风险发生的情况不在部门控制范围之内时
D.不可接受
226、单项选择题 SQL的查询方法存在缺陷，因此导致一个用户的查询可能会重用缓冲的（）帐号的连接。
A、Administrator
B、sa
C、user
D、guest
227、单项选择题 下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的：（）
A.服务器防毒软件
B.病毒墙
C.工作站防病毒软件
D.病毒库及时更新
228、单项选择题 内部审核的最主要目的是（）
A.检查信息安全控制措施的执行情况
B.检查系统安全漏洞
C.检查信息安全管理体系的有效性
D.检查人员安全意识
229、单项选择题 在信息系统安全中，风险由以下哪两种因素共同构成的？（）
A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏
230、单项选择题 对磁介质的最有效好销毁方法是？（）
A.格式化
B.物理破坏
C.消磁
D.删除
231、单项选择题 在完成了业务影响分析（BIA）后，下一步的业务持续性计划应该是什么（）
A.测试和维护业务持续性计划
B.制定一个针对性计划
C.制定恢复策略
D.实施业务持续性计划
232、单项选择题 如果数据中心发生灾难，下列那一项完整恢复一个关键数据库的策略是最适合的？（）
A.每日备份到磁带并存储到异地
B.实时复制到异地
C.硬盘镜像到本地服务器
D.实时数据备份到本地网格存储
233、单项选择题 信息安全策略，声称“密码的显示必须以掩码的形式”的目的是防范下面哪种攻击风险？（）
A.尾随
B.垃圾搜索
C.肩窥
D.冒充
234、多项选择题 防火墙管理中（）具有设定规则的权限。
A.用户
B.审计员
C.超级管理员
D.普通管理员
235、单项选择题 以下哪项是正确的信息安全保障发展历史顺序？（）
A.通信安全→计算机安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
B.通信安全→信息安全保障→计算机安全→信息系统安全→网络空间安全/信息安全保障
C.计算机安全→通信安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
D.通信安全→信息系统安全→计算机安全→信息安全保障→网络空间安全/信息安全保障
236、多项选择题 威胁网络信息安全的软件因素有（）
A、外部不可抗力
B、缺乏自主创新的信息核心技术
C、网络信息安全意识淡薄
D、网络信息管理存在问题
237、单项选择题 （）安装Windows2000时，推荐使用哪种文件格式？
A、NTFS
B、FAT
C、FAT32
D、Linux
238、单项选择题 企业信息安全事件的恢复过程中，以下哪个是最关键的？（）
A.数据
B.应用系统
C.通信链路
D.硬件/软件
239、单项选择题 《关于信息安全等级保护的实施意见》中信息和信息系统安全保护等级的第三级的定义是（）
A.自主保护级
B.指导保护级
C.强制保护级
D.监督保护级
240、单项选择题 下列角色谁应该承担决定信息系统资源所需的保护级别的主要责任？（）
A.信息系统安全专家
B.业务主管
C.安全主管
D.系统审查员
241、单项选择题 组织实施了灾难恢复计划。下列哪些步骤应下一步执行？（）
A.取得高级管理人员认可
B.确定的业务需求
C.进行纸面测试
D.进行系统还原测试
242、单项选择题 （）通过注册表或者安全策略，限制匿名连接的目的是什么？
A、匿名连接会造成系统额外负担，影响性能
B、匿名连接影响网络效率
C、匿名连接能够探测SAM的帐号和组
D、匿名连接直接导致系统被他人远程控制
243、单项选择题 以下标准内容为“信息安全管理体系要求”的是哪个？（）
A.ISO27000
B.ISO27001
C.ISO27002
D.ISO27003
244、单项选择题 下列哪一项关于Bell-LaPadula模型特点的描述是错误的？（）
A.强调对信息保密性的保护，受到对信息保密要求较高的军政机关和企业的喜爱。
B.既定义了主体对客体的访问，也说明了主体对主体的访问。因此，它适用于网络系统。
C.它是一种强制访问控制模型，与自主访问控制模型相比具有强耦合，集中式授权的特点。
D.比起那些较新的模型而言，Bell-LaPadula定义的公理很简单，更易于理解，与所使用的实际系统具有直观的联系。
245、单项选择题 Kerberos可以防止以下哪种攻击？（）
A.隧道攻击。
B.重放攻击。
C.破坏性攻击。
D.处理攻击。
246、单项选择题 以下关于备份站点的说法哪项是正确的（）
A.应与原业务系统具有同样的物理访问控制措施
B.应容易被找到以便于在灾难发生时以备紧急情况的需要
C.应部署在离原业务系统所在地较近的地方
D.不需要具有和原业务系统相同的环境监控等级
247、单项选择题 为了解决操作人员执行日常备份的失误，管理层要求系统管理员签字日常备份，这是一个风险....例子：（）
A.防止
B.转移
C.缓解
D.接受
248、填空题 确定信息安全保护等级的步骤是（）、确定两个指标等级、确定业务子系统等级。
249、单项选择题 下面哪一项是缓冲溢出的危害？（）
A.可能导致shellcode的执行而非法获取权限，破坏系统的保密性
B.执行shellcode后可能进行非法控制，破坏系统的完整性
C.可能导致拒绝服务攻击，破坏系统的可用性
D.以上都是
250、单项选择题 在实施风险分析期间，识别出威胁和潜在影响后应该（）
A.识别和评定管理层使用的风险评估方法
B.识别信息资产和基本系统
C.揭示对管理的威胁和影响
D.识别和评价现有控制
251、单项选择题 某种防火墙的缺点是没有办法从非常细微之处来分析数据包，但它的优点是非常快，这种防火墙是以下的哪一种？（）
A.电路级网关
B.应用级网关
C.会话层防火墙
D.包过滤防火墙
252、填空题 信息安全人员管理中岗位安全考核主要是从（）、（）方面进行。
253、单项选择题 设施、网络、平台、介质、应用类信息资产的保密期限为（）
A.3年
B.长期
C.4月
D.短期
254、单项选择题 计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：（）
A.系统管理员
B.律师
C.恢复协调员
D.硬件和软件厂商
255、单项选择题 在NT中，哪个工具可以修改的全部注册表值？（）
A.RegconF.exe
B.Regedit.exe
C.HivE.bat
D.Regedit32.exe
256、单项选择题 如何对信息安全风险评估的过程进行质量监控和管理？（）
A.对风险评估发现的漏洞进行确认
B.针对风险评估的过程文档和结果报告进行监控和审查
C.对风险评估的信息系统进行安全调查
D.对风险控制测措施有有效性进行测试
257、多项选择题 下列符合我国网络舆论特点的是（）。
A、参与主体的广泛化与复杂化
B、互动参与性
C、时效性
D、监督性
258、单项选择题 下面关于定量风险评估方法的说法正确的是（）
A.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识
B.能够通过成本效益分析控制成本
C."耗时短、成本低、可控性高"
D.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质
259、单项选择题 在软件开发的需求定义阶段，在软件测试方面，以下哪一个选项被制定？（）
A.覆盖关键应用的测试数据
B.详细的安全测试计划
C.质量保证测试标准
D.用户验收测试标准
260、单项选择题 风险评估实施过程中脆弱性识别主要包括什么方面（）
A.软件开发漏洞
B.网站应用漏洞
C.主机系统漏洞
D.技术漏洞与管理漏洞
261、单项选择题 下列关于Kerberos的描述，哪一项是正确的？（）
A.埃及神话中的有三个头的狗。
B.安全模型。
C.远程身份验证拨入用户服务器。
D.一个值得信赖的第三方认证协议。
262、单项选择题 信息资产面临的主要威胁来源主要包括（）
A.自然灾害
B.系统故障
C.内部人员操作失误
D.以上都包括
263、单项选择题 下面对ISO27001的说法最准确的是：（）
A.该标准的题目是信息安全管理体系实施指南
B.该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C.该标准提供了一组信息安全管理相关的控制措施和最佳实践
D.该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型
264、单项选择题 对一项应用的控制进行了检查，将会评估（）
A.该应用在满足业务流程上的效率
B.任何被发现风险影响
C.业务流程服务的应用
D.应用程序的优化
265、单项选择题 （）在HKLM包含的子树中，哪个不能直接访问？配置的数据。
A、Security
B、Hardware
C、Software
D、System
266、单项选择题 以下关于标准的描述，那一项是正确的？（）
A.标准是高级管理层对支持信息安全的声明
B.标准是建立有效安全策略的第一要素
C.标准用来描述组织内安全策略如何实施的
D.标准是高级管理层建立信息系统安全的指示
267、填空题 信息安全策略的基本原则是（）
268、单项选择题 根据组织业务连续性计划（BCP）的复杂程度，可以建立多个计划来满足业务连续和和灾难恢复的各方面。在这种情况下，有必要：（）
A.每个计划和其它计划保持协调一致
B.所有的计划要整合到一个计划中
C.每个计划和其他计划相互依赖
D.指定所有计划实施的顺序
269、判断题 电子商务的网络零售不包括B2C和2C。
270、问答题 IPSEC Vpn不包括哪个协议？
271、单项选择题 建立应急响应计划时候第一步应该做什么？（）
A.建立备份解决方案
B.实施业务影响分析
C.建立业务恢复计划
D.确定应急人员名单
272、单项选择题 对安全策略的描述不正确的是（）
A.信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B.策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D.安全策略一旦建立和发布，则不可变更
273、单项选择题 区别脆弱性评估和渗透测试是脆弱性评估（）
A.检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失
B.和渗透测试为不同的名称但是同一活动
C.是通过自动化工具执行，而渗透测试是一种完全的手动过程
D.是通过商业工具执行，而渗透测试是执行公共进程
274、填空题 蹭网指攻击者使用自己计算机中的无线网卡连接他人的无线路由器上网，而不是通过（）提供的线路上网。
275、填空题 电子商务是成长潜力（），综合效益（）的产业。
276、单项选择题 在信息处理设施（IPF）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动？（）
A.验证与热门站点的兼容性
B.检查实施报告
C.进行灾难恢复计划的演练
D.更新信息资产清单
277、单项选择题 管理评审的最主要目的是（）
A.确认信息安全工作是否得到执行
B.检查信息安全管理体系的有效性
C.找到信息安全的漏洞
D.考核信息安全部门的工作是否满足要求
278、多项选择题 （）属于网络不诚信问题.
A、发布虚假信息，扩散小道消
B、网上恶搞、网络暴力、人肉搜索
C、境外的网络攻击
D、手机恶意程序
279、单项选择题 审核方法不包括（）
A.面谈
B.查阅文件和资料
C.与相关方核对
D.查看现场情况
280、单项选择题 通过社会工程的方法进行非授权访问的风险可以通过以下方法避免：（）
A.安全意识程序
B.非对称加密
C.入侵侦测系统
D.非军事区
281、单项选择题 自主性、自律性（）和多元性都是网络道德的特点.
A、统一性
B、同一性
C、开放性
D、复杂性
282、单项选择题 系统地识别和管理组织所应用的过程，特别是这些过程之间的相互作用，称为什么？（）
A.戴明循环
B.过程方法
C.管理体系
D.服务管理
283、判断题 安装入侵检测软件不会帮助减少收到的垃圾邮件数量。
284、单项选择题 （）作为互联网的诞生地，其互联网发展速度非常之快，信息化程度也是世界之最.
A、美国
B、日本
C、中国
D、德国
285、单项选择题 安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？（）
A.Biba模型中的不允许向上写
B.Biba模型中的不允许向下读
C.Bell-LaPadula模型中的不允许向下写
D.Bell-LaPadula模型中的不允许向上读
286、填空题 （）是未来网络安全产品发展方向。
287、单项选择题 默认情况下，Window2000域之间的信任关系有什么特点？（）
A.只能单向，可以传递
B.只能单向，不可传递
C.可以双向，可以传递
D.可以双向，不可传递
288、单项选择题 DNS查询（queries）工具中的DNS服务使用哪个端口？（）
A.UDP 53
B.TCP 23
C.UDP 23
D.TCP 53
289、单项选择题 以下哪一种身份验证机制为移动用户带来验证问题？（）
A.可重复使用的密码机制
B.一次性口令机制。
C.挑战响应机制。
D.基于IP地址的机制
290、单项选择题 在BS779-2：2002版中，下列对P-D-C-A过程的描述错误的是？（）
A.P代表PLAN，即建立ISMS环境&风险评估
B.D代表DO，即实现并运行ISMS
C.C代表CHECK，即监控和审查ISMS
D.A代表ACT，即执行ISMS
291、单项选择题 应急响应领导小组主要职责包括：（）
A.对应急响应工作的承诺和支持，包括发布正式文件、提供必要资源（人财物）等；
B.审核并批准应急响应计划；
C.负责组织的外部协作工作
D.组织应急响应计划演练
292、单项选择题 一组将输入转化为输出的相互关联或相互作用的什么叫做过程？（）
A.数据
B.信息流
C.活动
D.模块
293、单项选择题 建立应急响应计划最重要的是（）
A.业务影响分析
B.测试及演练
C.各部门的参与
D.管理层的支持
294、单项选择题 信息的存在及传播方式（）
A.存在于计算机、磁带、纸张等介质中
B.记忆在人的大脑里
C.通过网络打印机复印机等方式进行传播
D.通过投影仪显示
295、单项选择题 面向对象的开发方法中，以下哪些机制对安全有帮助（）
A.封装
B.多态
C.继承
D.重载
296、单项选择题 以下对企业信息安全活动的组织描述不正确的是（）
A.企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施
297、单项选择题 下面哪一项不是ISMSPlan阶段的工作？（）
A.定义ISMS方针
B.实施信息安全风险评估
C.实施信息安全培训
D.定义ISMS范围
298、单项选择题 ISMS的内部审核员（非审核组长）的责任不包括？（）
A.熟悉必要的文件和程序；
B.根据要求编制检查列表；
C.配合支持审核组长的工作，有效完成审核任务；
D.负责实施整改内审中发现的问题
299、单项选择题 下列哪一项不是安全编程的原则：（）
A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法
300、单项选择题 以下哪些不属于敏感性标识（）
A.不干贴方式
B.印章方式
C.电子标签
D.个人签名