信息安全—CISP认证培训练习题3[复制]

1.在某信息系统的设计中，用户登录过程是这样的:（1）用户通过HTTP协议访问信息系统;（2）用户在登录页面输入用户名和口令;（3）信息系统在服务器端检查用户名和密码的正确性，如果正确，则鉴别完成。可以看出，这个鉴别过程属于（）
2.下列关于软件安全开发中的BSI（Build Security In）系列模型说法错误的是（）。
3.主体和客体是访问控制模型中常用的概念。下面描述中错误的是（）。
4.某银行网上交易系统开发项目在设计阶段分析系统运行过程中可能存在的攻击，请问以下哪一项工作不能降低该系统的受攻击面:[1分]（）
5.王工是某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，根据任务安排，他依据已有的资产列表，逐个分析可能危害这些资产的主体、动机、途径等多种因素，分析这些因素出现及造成损失的可能性大小，并为其赋值。请问，他这个工作属于下面哪一个阶段的工作（）。
6.某社交网站的用户点击了该网站上的一个广告。该广告含有一个跨站脚本，会将他的浏览器定向到旅游网站，旅游网站则获得了他的社交网络信息。虽然该用户没有主动访问该旅游网站，但旅游网站已经截获了他的社交网络信息（还有他的好友们的信息），于是犯罪分子便可以躲藏在社交网站的广告后面，截获用户的个人信息了。这种向Web页面插入恶意html代码的攻击方式称为（）。
7.某电子商务网站最近发生了一起安全事件，出现了一个价值1000元的商品用1元被买走的情况，经分析是由于设计时出于性能考虑，在浏览时时使用Http协议，攻击者通过伪造数据包使得向购物车添加商品的价格被修改。利用此漏洞，攻击者将价值1000元的商品以1元添加到购物车中，而付款时又没有验证的环节，导致以上问题。对于网站的这个问题原因分析及解决措施，最正确的说法应该是?[1分]（）
8.针对软件的拒绝服务攻击是通过消耗系统资源使软件无法响应正常请求的一种攻击方式，在软件开发时分析拒绝服务攻击的威胁，以下哪个不是需要考虑的攻击方式:[1分]（）
9.对系统工程（Systems Engineering，SE）的理解，以下错误的是:[1分]（）
10.访问控制方法可分为自主访问控制、强制访问控制和基于角色的访问控制，它们具有不同的特点和应用场景。如果需要选择一个访问控制方法，要求能够支持最小特权原则和职责分离原则，而且在不同的系统配置下可以具有不同的安全控制，那么在下列选项中，能够满足以上要求的选项是（）。
11.系统工作霍尔三维结构模型从时间维、逻辑维、（ ）三个坐标对系统工程进行程序化。[1分]（）
12.一个信息管理系统通常会对用户进行分组并实施访问控制。例如，在一个学校的教务系统中，教师能够录入学生的考试成绩，学生只能查看自己的分数，而学校教务部门的管理人员能够对课程信息、学生的选课信息等内容进行修改。下列选项中，对访问控制的作用的理解错误的是（）。
13.某个新成立的互联网金融公司拥有10个与互联网直接连接的IP地址，但是该网络内有15台个人计算机，这些个人计算机不会同时开机并连接互联网。为解决公司员工的上网问题，公司决定将这10个互联网地址集中起来使用，当任意一台个人计算机开机并连接网络时，管理中心从这10个地址中任意取出一个尚未分配的IP地址分配给这个人的计算机。他关机时，管理中心将该地为收回，并重新设置为未分配。可见，只要同时打开的个人计算机数量少于或等于可供分配的IP地址，那么，每台个人计算机可以获取一个IP地址，并实现与互联网的连接。该公司使用的IP地址规划方式是（）。
14.Gary McGraw博士及其合作者提出软件安全应由三根支柱来支撑，这三个支柱是（）。
15.从历史演进来看，信息安全的发展经历了多个阶段。其中，有一个阶段的特点是:网络信息系统逐步形成，信息安全注重保护信息在存储、处理和传输过程中免受非授权的访问，开始使用防火墙、防病毒、PKI和VPN等安全产品。这个阶段是（）。
16.以下关于项目的含义，理解错误的是:[1分]（）
17.小华在某电子商务公司工作，某天他在查看信息系统设计文档时，发现其中标注该信息系统的RPO（恢复点目标）指标为3小时。请问这意味着（）。
18.某市环卫局网络建设是当地政府投资的重点项目。总体目标就是用交换式千兆以太网为主干，超五类双绞线作水平布线，由大型的交换机和路由器连通几个主要的工作区域，在各区域建立一个闭路电视监控系统，再把信息通过网络传输到各监控中心。其中对交换机和路由器进行配置是网络安全中的一个不可缺少的步骤，下面对于交换机和路由器的安全配置，操作错误的是（）。
19.CC标准是目前系统安全认证方面最权威的标准，以下哪一项没有体现CC标准的先进性?[1分]（）
20.关于恶意代码的守护进程的功能，以下说法正确的是（）
21.某银行有5台交换机连接了大量交易机构的网络（如图所示），在基于以太网的通信中，计算机A需要与计算机B通信，A必须先广播“ARP请求信息”，获取计算机B的物理地址。每到月底时用户发现该银行网络服务速度极其缓慢。银行经调查后发现为了当其中一台交换机收到ARP请求后，会转发给接收端口以外的其他所有端口，ARP请求会被转发到网络中的所有客户机上。为降低网络的带宽消耗，将广播流限制在固定区域内，可以采用的技术是（）
[1分]
22.系统工程的模型之一霍尔三维结构模型由时间维、逻辑维和知识维组成。有关此模型，错误的是:[1分]（）
23.应用安全，一般是指保障应用程序使用过程和结果的安全。以下内容中不属于应用安全防护考虑的是（）。
24.由于密码技术都依赖于密钥，因此密钥的安全管理是密码技术应用中非常重要的环节，下列关于密钥管理说法错误的是（）。
25.2016年9月，一位安全研究人员在Goole Cloud IP上通过扫描，发现了完整的美国路易斯安那州290万选民数据库。这套数据库中囊括了诸如完整姓名、电子邮箱地址、性别与种族、选民状态、注册日期与编号、政党代码、电话号码以及最后一次投票及投票历史等详细详细。安全研究员建议当地民众及时修改与个人信息相关的用户名和密码，以防止攻击者利用以上信息进行（）攻击。
26.RBAC分为0、1、2、3四个等级，下面说法不正确的是[1分]（）
27.某信息安全公司的团队对某名为“红包快抢”的外挂进行分析，发现此外挂是一个典型的木马后门。使黑客能够获得受害者电脑的访问权。该后门程序为了达到长期驻留在受害者的计算机中，通过修改注册表启动项来达到后门程序随受害者计算机系统启动而启动。为了防范此类木马后门的攻击。以下做法无用的是（）。
28.关于补丁安装时应注意的问题，以下说法正确的是（）
29.由于密码技术都依赖于密钥，因此密钥的安全管理是密码技术应用中非常重要的环节。下列关于密钥管理说法错误的是（）
30.国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述?[1分]（）
31.数据库的安全很复杂，往往需要考虑多种安全策略，才可以更好地保护数据库的安全。以下关于数据库常用的安全策略理解不正确的是（）
32.某攻击者想通过远程控制软件潜伏在某监控方的linux系统的计算机中，如果攻击者打算长时间地远程监控某服务区上的存储的敏感数据。必须要能够清除在监控方计算机中存在的系统日志。否则当监控方查看自己的系统日志的时候，就会发现被监控以及访问的痕迹。不属于清除痕迹的方法是（）
33.加密文件系统（Ecrypting File System,EFS）是Windows 操作系统的一个组件，以下说法错误的是（）。
34.下图是安全测试人员连接某远程主机时的操作界面，请仔细分析该图，下面选项中推断正确的是（） 
35.关于ARP欺骗原理及防范措施，正面理解错误的是（）
36.以下关于SMTP和POP3协议的说法哪个是错误的:[1分]（）
37.Kerberos协议是一种集中访问控制协议，它能在复杂的网络环境中，为用户提供安全的单点登录服务，单点登录是指用户在网络中进行一次性验证，便可以访问其授权所有的网络资源，而不再需要其他的身份过程，其本质是消息M在多个应用系统之间传递或共享，其中，消息M是指以下选项中的（）。
38.关于Wi-Fi联盟提出的安全协议WPA和WPA2的区别，下面描述正确的是（）
39.下面四款安全测试软件中，主要用于WEB安全扫描的是（）
40.为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，以下关于渗透测试过程的说法不正确的是:[1分]（）
41.某集团公司的计算机网络中心内具有公司最重要的设备和信息数据。网络曾在一段时间内依然遭受了几次不小的破坏和干扰，虽然有防火墙，但系统管理人员也未找到真正的事发原因。某网络安全公司为该集团部署基于网络的入侵检测系统（NIDS），将IDS部署在防火墙后，以进行二次防御。那么NIDS不会在（）区域部署。[1分]（）
42.windows 文件系统权限管理使用访问控制列表（Access Control List.ACL）机制，以下哪个说法是错误的:[1分]（）
43.由于发生了一起针对服务器的口令暴力破解攻击，管理员决定对设置帐户锁定策略以对抗口令暴力破解。他设置了以下账户锁定策略如下:账户锁定阀值 3 次无效登陆;账户锁定时间 10 分钟;复位账户锁定计数器 5 分钟;以下关于以上策略设置后的说法哪个是正确的[1分]（）
44.加密文件系统（Encrypting File System, EFS）是 Windows 操作系统的一个组件，以下说法错误的是（）
45.关于数据库恢复技术，下列说法不正确的是:[1分]（）
46.关于风险要素识别阶段工作内容叙述错误的是:[1分]（）
47.有关系统安全工程-能力成熟度模型（sse-cmm）中的基本实施（Base Practices ，BP），正确的理解是:[1分]（）
48.有关系统安全工程-能力成熟度模型（SSE-CMM）中的通用实施（Generic Practices ，GP）错误理解是:[1分]（）
49.在使用系统安全工程-能力成熟度模型（SSE-CCM）对一个组织的安全工程能力成熟度进行测量时，有关测量结果，错误的理解是:[1分]（）
50.系统安全工程-能力成熟度模型(SSE-CMM）定义的包含评估威胁、评估脆弱性、评估影响和评估安全风险的基本过程领域是:[1分]（）
51.下列关于 ISO15408 信息技术安全评估准则(简称 CC)通用性的特点，即给出通用的表达方式，描述不正确的是______。[1分]（）
52.ISO／IEC27001《信息技术 安全技术 信息安全管理体系要求》的内容是基于 。[1分]（）
53.在 GB／T18336《信息技术安全性评估准则》（CC 标准）中，有关保护轮廓(ProtectionProfile，PP)和安全目标(Security Target，ST)，错误的是:[1分]（）
54.“统一威胁管理”是将防病毒，入侵检测和防火墙等安全需求统一管理，目前市场上已经出现了多种此类安全设备，这里“统一威胁管理”常常被简称为（）
55.若一个组织声称自己的 ISMS 符合 ISO/TEC27001 或 GB22080 标准要求，其信息安全控制措施通常在以下方面实施常规控制，不包括哪一项（）[1分]（）
56.王工是某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，根据任务安排，他使用了 Nessus 工具来扫描和发现数据库服务器的漏洞，根据风险管理的相关理论，
他这个是扫描活动属于下面哪一个阶段的工作（）[1分]
57.某集团公司信息安全管理员根据领导安排制定了一下年度的培训工作计划、提出了四大培训任务目标，关于这四个培训任务和目标，作为主管领导，以下选项中正确的是（）
58.随着“互联网”概念的普及，越来越多的新兴住宅小区引入了“智能楼宇”的理念，某物业为提供高档次的服务，防止网络主线路出现故障，保证小区内网络服务的可用，稳定、高效，计划通过网络冗余配置的是（）。
59.某黑客通过分析和整理某报社记者小张的博客，找到一些有用的信息，通过伪装的新闻线索，诱使其执行木马程序，从而控制了小张的电脑，并以她的电脑为攻击的端口，使报社
的局域网全部感染木马病毒，为防范此类社会工程学攻击，报社不需要做的是（）[1分]
60.下图排序你认为那个是正确的:（）
[1分]
61.实体身份鉴别的方法多种多样，且随着技术的进步，鉴别方法的强度不断提高，常见的方法有指令鉴别、令牌鉴别、指纹鉴别等。如图，小王作为合法用户使用自己的账户进行支付、转账等操作。这说法属于下列选项中的（）[1分]
62.kerberos 协议是常用的集中访问控制协议,通过可信第三的认证服务,减轻应用Kerberos的运行环境由秘钥分发中心（）、应用服务器和客户端三个部分组成，认证服务器 AS和票据授权服务器
[1分]（  ）
63.根据 Bell-LaPedula 模型安全策略，下图中写和读操作正确的是（）
[1分]
64.张主任的计算机使用 Windows7 操作系统，他常登陆的用户名为 zhang，张主任给他个人文件夹设置了权限为只有 zhang 这个用户有权访问这个目录，管理员在某次维护中无意将zhang 这个用户删除了，随后又重新建了一个用户名为 zhang，张主任使用 zhang 这个用户登录系统后，发现无法访问他原来的个人文件夹，原因是:[1分]（）
65.以下关于 Windows 系统的账号存储管理机制（Security Accounts Manager）的说法哪
个是正确的:[1分]（）
66.ISO9001-2000 标准在制定、实施质量管理体系以及改进其有效性时采用过程方法，通过满足顾客要求增进顾客满意。下图是关于过程方法的示意图，图中括号空白处应填写（）
[1分]
67.设计信息系统安全保障方案时，以下哪个做法是错误的:[1分]（）
68.以下哪一项不是信息系统集成项目的特点:[1分]（）
69.AES 在抵抗差分密码分析及线性密码分析的能力比 DES 更有效，已经替代 DES 成为新的据加密标准。其算法的信息块长度和加密密钥是可变的，以下哪一种不是其可能的密钥长度?[1分]（）
70.hash 算法的碰撞是指:[1分]（）
71.在 Windows XP 中用事件查看器查看日志文件，可看到的日志包括?[1分]（）
72.某用户通过账号，密码和验证码成功登陆某银行的个人网银系统，此过程属于以下哪一类:（）
[1分]
73.近年来利用 DNS 劫持攻击大型网站恶性攻击事件时有发生，防范这种攻击比较有效的方法是?[1分]（）
74.信息系统安全保护等级为 3 级的系统，应当()年进行一次等级测评?[1分]（）
75.以下关于 PGP(Pretty Good Privacy)软件叙述错误的是:[1分]（）
76.2005 年 4 月 1 日正式施行的《电子签名法》，被称为“中国首部真正意义上的信息化法律”，自此电子签名与传统手写签名和盖章具有同等的法律效力。以下关于电子签名说法错误的是:[1分]（）
77.PDCERF 方法是信息安全应急响应工作中常用的一种方法，它将应急响应分成六个阶段。其中，主要执行如下工作应在哪一个阶段:关闭信息系统、和/或修改防火墙和路由器的过滤规则，拒绝来自发起攻击的嫌疑主机流量、和/或封锁被攻破的登录账号等（）
78.某IT公司针对信息事件已经建立了完善的预案，在年度企业信息安全总结会上，信息安全管理员对今年应急预案工作做出来四个总结，其中有一项总结工作是错误，作为企业的CSO，请你指出存在问题的是哪个总结?（）
79.近几年，无线通信技术迅猛发展，广泛应用于各个领域。而无线信道是一个 开放性信道，它在赋予无线用户通信自由的同时也给无线通信网络带来一些不安全的因素。下列选项中，对无线通信技术的安全特点描述正确的是（）
80.第二十三条规定存储、处理国家秘密计算机信息系统（以下简称涉密信息系统）按照（）实行分级保护。（）应当按照国家保密标准配备保密措施、设备。（）、设备应当与涉密信息系统同步规划、同步建设、。同步运行（三同步）。涉密信息系统应当按照规定，经（）后，方可使用。[1分]（）
81.关于信息安全应急响应管理过程中描述不正确的是（）
82.降低风险（或减低风险），是通过对面临风险的资产采取保护措施的方式来降低风险，下面那个措施不属于降低风险措施（）
83.你是单位安全主管，由于微软刚发布了数个系统漏洞补丁，安全运维人员给出了针对此漏洞修补的四个建议方案，请选择其中一个最优方案执行（）
84.关于《网络安全法》域外适用效力的理解，以下哪项是错误的（）
85.《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003]27号明确了我国信息安全保障工作的（ ）、加强信息安全保障工作的（ ）、需要点加强的信息安全保障工作，27号文的重大意义是，它标志着我国信息安全保障工作有了（ ）、我国最近十余年的信息安全保障工作都是围绕此政策性文件来（ ）的、促进了我国（ ）的各项工作。[1分]（）
86.SABSA模型包括( ),它是一个（），它在第一层次从安全的角度定义了（），模型的每一层在抽象方面逐层减少，细节逐层增加，因此它的层级都是建立在其他层之上的，从策略逐渐到技术和解决方案（）。其思路上创新提出了一个包括战略、概念、设计、实施、度量和审计层次的（）[1分]（）
87.应急响应是信息安全事件管理的重要内容应，基于应急响应工作的特点和事件的不规则性,事先制定出事件应象响应方法和过程,有助于一个组织在事件发生时阻止混乱的发生或是在泥乱状态中迅速恢复控制,将损失和负面影响降到最低,应急响应方法和过程井不是唯一的。一种被广为接受的应急响应方法是将应急响应管理过程分为6个阶段,为准备)检测)遇制>根除>恢复>跟踪总结,请问下列说法有关于信息安全应急响应管理过程错误的是（）
88.某电子商务网站在开发设计时，使用了威胁建模的方法来分析电子商务网站所面临的威胁。STRIDE是微软SDL中提出的威胁建模方法。将威胁分为六类，为每一类威胁提供了标准的消减措施。Spooflng是STRIDE中欺骗类的威胁。以下威胁中哪个可以列入此类威胁（）
89.对于关键信息基础设施的理解以下哪项是正确的（）
90.关于计算机取证描述不正确的是（） ]
91.目前，信息系统面临外部攻击者的恶意攻击威胁，从威胁能力和掌握资源分类，这些威胁可以按照个人威胁、组织威胁和国家威胁三个层面划分，则下面选项中属于组织威胁的是（）
92.GB/T 22080-2008《信息技术 安全技术 信息安全管理体系 要求》指出，建立信息安全管理体系应参照PDCA模型进行，即信息安全管理体系应包括建立ISMS，实施和运行ISMS、监视和评审ISMS、保持和改进ISMS等过程，并在这些过程中应实施若干活动。请选出下列描述性错误的选项（）
93.计算机漏洞是在硬件、软件、协议的具体实现成系统安全策略上存在的缺陷， 从而可以使攻击者能够在未授权的情况下访问或破坏系统。在病毒肆意的信息不安全时代，某公司为减少计算机系统漏洞，对公司计算机系统进行了如下措施， 其中错误的是（）
94.由于IP协议提供无连接的服务，在传送过程中若发生差错就需要哪一个协议向源节点报告差错情况，以便源节点对此做出相应的处理（）
95.随着计算机网络技术的出现与发展，数据库所处的环境愈加复杂，数据库面 临的各种安全威胁正与日倶增。对于数据库安全防护相关描述中，错误的是（）
96.以下关于“软件危机”说法错误的是?（）。
97.银行AB分别用自己的信息系统为用户记录账户余额，第三方支付C负责银 A和B的交易管控与备份。若银行A的客户与银行B的客户发生纠纷，C作为唯—掌控交易信息的第三方，与任何一方串通，都不能维护客户的合法权益。为解决类似问题，他们采用了私有链技术构建仅有A、B、C三方维护的半公开网络。私有链的特别之处在于（）
98.小赵是一名小公司的数据库维护人员，他以长期的实践为基础，从数据资源的保护角度出发，归纳出常见的应用系统主要威胁，其中不符合出发点的是（）
99.小张在自主学习Web传输协议后，知道，Http协议在设计时仅仅考虑了实现相应功能，缺乏安全相关的机制，因此导致了大量的安全问题，他咨询了一个楼层的软件开发人员，该软件开发人员向他列举了一些会导致的安全问题，其中错误的是（）[1分]（）
100.以下关于BLP模型规则说法不正确的是（）。
101.客户采购和使用云计算服务的过程可分为四个阶段规划准备、选择服务商和部署、运行监管、退出服务。如图所示。在()阶段，客户应分析采用云计算服务的效益，确定自身的数据和业务类型，判定是否适合采用云计算服务。（）
102.下图说明的是A、B之间的关系，对下图说明正确的是A
[1分]
103.下列选项中对信息系统审计概念的描述中不正确的是()[1分]（）
104.小赵在去一家大型企业应聘时，经理要求他说出为该企业的信息系统设计自主访问控制模型的思路。如果想要为一个存在大量用户的信息系统实现自主访问控制功能，在以下选项中，从时间和资源消耗的角度下列选项中他应该采取的最合适的模型是 ()。[1分]（）
105.入侵检测系统 (Intrusion Deection System,IDS)是用于发现并报告系统 中未授权或违反安全策略行为的设备，在入侵检测中有这样的一种方法，任何的正常行为都是有一定的规律的并且可以通过分析这些行为产生的日志信息(假定日志信息足够安全) 总结出这些规律，而入侵和滥用行为则通常和正常的行为存在严重的差异，通过检查这些差异就可以检测这些入侵，请问该入侵检测方法为()[1分] （）
106.恶意代码的防范在计算机网络飞速发展的今天给计算机安全性带来了新的挑战。在internet安全事件中恶意代码造成的损失所占比重更大。某公司为进行恶意代码防范，通过网上查询到恶意代码预防的三个方面的措施，张主管发现下列选项中有一项不属于上述的三个方面，请问是哪一项 ()[1分]（）
107.一般地，IP分配会首先把整个网络根据地域、区域。每个子域从它的上一级区域里获取IP地址段，这种分配方法为什么分配方法[1分]（）
108.某商贸公司信息安全管理员考虑到信息系统对业务影响越来越重要，计划编制本单位信息安全应急响应预案，在向主管领导写报告时，他列举了编制信息安全应急响应预案的好处和重要性，在他罗列的四条理由中，其中不适合作为理由的一条是 【1分】（）
109.下列关于逻辑覆盖的叙述中，说法错误的是[1分] （）
110.在信息安全保障工作中，人才是非常重要的因素，近年来，我国一直高度重视我国信息安全人才队伍的培养和建设。在一下关于我国关于人才培养工作的描述中，错误的是 （）
111.软件需求分析是保证软件质量的重要步骤，它的实施应该是在（）[1分]
更多问卷 复制此问卷