模拟试题二//信息安全II

对信息安全事件的分级参考下列三个要素，信息系统的重要程度.系统损失和社会影 响，依据信息系统的重要程度对信息系统进行划分，不属于正确划分级别的是

某IT公司针对信息安全事件已经建立了完善的预案，在年度企业信息安全总结会上， 信息安全管理员对今年应急预案工作做出了四个总结，其中有一项总结工作是错误， 作为企 业的CSO请你指出存在问题的是哪个总结?

某商贸公司信息安全管理员考虑到信息系统对业务影响越来越重要，计划编制本单位 信息安全应急响应预案，在向主管领导写报告时，他列举了编制信息安全应急响应预案的好 处和重要性，在他罗列的四条理由中，其中不适合作为理由的一条是

某银行信息系统为了满足业务发展的需要准备进行升级改造，以下哪项不是此次改造 中信息系统安全需求分析过程需要考虑的主要因素

北京某公司利用SSE CMM对其自身工程队伍能力进行自我改善，其理解正确的是

由于频繁出现软件运行时被黑客远程攻击获取数据的现象，某软件公司准备加强软件 安全开发管理，在下面做法中，对于解决问题没有直接帮助的是

关于密钥管理，下列说法错误的是

某购物网站开发项目经过需求分析进入系统设计阶段，这了保护用户的账户安全，项
目开发人员决定用户登入时除了用户名口令登入方式外，还加入了基于数字证书的身份认证 功能，同时用户口令使用SHA-1算法加密后放在后台数据库，请问以上安全设计新纶遵循的是 哪项安全设计原则

即使最好用和安全产品也存在（    ）。结果，在任何的系统中最终都能够找出一个被 开发出的漏洞。一种有效的对策是在敌手和他的目标之间配备多种（ ）。每一种机制都应该 包括（ ）两种手段。

在某次信息安全应急响应过程中，小王正在实施如下措施：消除或阻断攻击源.找 到或消除系统的脆弱性/漏洞.修改安全策略.加强防范措施.格式化被感染恶意程序的介质 等。请问，按照PDRECF应急响应方法，这些工作应处于以下哪个阶段

关于信息安全管理体系的作用，下面理解错误的是（    ）

在国家标准GD/T20274.1-2006《信息安全技术信息系统安全保障评估框架第一部分
：简介和一般模型》中，信息系统安全保障模型包含哪几个方面（ ）

按照我国信息安全等级保护的有关政策和标准，有些信息系统只需要自主定级.自 主保护，向公安机关备案即可，可以不需要上级或主管部门来测评和检查。此类信息系统应 属于（    ）

关于信息安全管理体系（Information Security Management Systems,ISMS），下 面描述错误的是（    ）

小王在学习定量风险评估方法后，决定试着为单位机房计算火灾的风险大小。假设 单位机房的总价值是400万元人民币，暴露系数（Exposure Factor,EF）是25%，年度发生率
（Annualized Rate of Occurrence ,ARD）为0.2，那么小王计算的年度预期损失（
Annualized Loss Expectancy，ALE）应该是（ ）

规范的实施流程和文档管理，是信息安全风险评估能否取得成果的重要基础。某单位
在实施风险评估时，按照规范形成了若干文档，其中，下面( )中的文档应属于风险评估中“
风险要素识别"阶段输出的文档。

若一个组织声称自己的ISMS符合ISO/IEC 27001或GB/T22080标准要求，其信息安全控 制措施通常在以下方面实施常规控制，以下哪个选项的内容不属于常规控制措施的范围（    ）

由于Internet 的安全问题日益突出，基于TCP/IP 协议，相关组织和专家在协议的不 同层次设计了相应的安全通信协议，用来保障网络各层次的安全。其中，属于或依附于传输 层的安全协议是（    ）

以下关于项目的含义，理解错误的是（    ）.

为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，以
下关于渗透测试过程的说法不正确的是()

随着信息技术的不断发展,信息系统的重要性也越来越突出,而与此同时,发生的信息
安全事件也越来越多。综合分析信息安全问题产生的根源,下面描述正确的是( )

保护-检测-响应(Protection-Detection-Response, PDR) 模型是（    ）工作中常用的模 型，其思想是承认: ( )中漏洞的存在，正视系统面临的( )，通过采取适度防护.加强( ). 落实对安全事件的响应.建立对威胁的防护来保障系统的安全。

老王是一名企业信息化负责人，由于企业员工在浏览网页时总导致病毒感染系统，为
了解决这一问题，老王要求信息安全员给出解决措施，信息安全员给出了四条建议措施，老 王根据多年的信息安全管理经验，认为其中一的条不太适合推广，你认为是哪条措施（ ）

小华在某电子商务公司工作，某天他在查看信息系统设计文档时，发现其中标注该 信息系统的PRO（恢复点目标）指标为3小时，请问这意味着（    ）

以下关于WEB传输协议.服务端和客户端软件的安全问题说法不正确的是（    ）

以下行为不属于违反国家保密规定的行为（    ）

Linux系统的安全设置主要是从磁盘分区.账户安全设置.禁用危险服务.远程登入 安全.用户鉴别安全.审计策略.保护root账户.使用网络防火墙和文件权限操作共10个方 面来完成。小张在学习了Linus系统安全的相关知识后，尝试为自己计算机上的Linux系统进 行安全配。下列选项是他进行的部分操作，其中不合理的是（    ）

软件存在漏洞和缺陷是不可避免的，实践中常使用软件缺陷密度（Defects/KLOC） 来衡量软件的安全性。假设某个软件共有296万行的源代码，总共被检出145个缺陷，则可以 计算出软件的缺陷密度值是（    ）A

若一个组织声称自己的ISMS符合ISO/IEC 27001或GB/T22080标准要求，其信息安全 控制措施通常需要在符合性方面实施常规控制。符合性常规控制措施这一领域不包括以下哪 项控制目标（    ）

数据在进行传输前，需要由协议栈自上而下对数据进行封装。TCP/IP协议中，封装 的顺序是（    ）

以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其 实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息 网络和重要信息系统的安全（    ）

操作系统用于管理计算机资源，控制整个系统运行，是计算机软件的基础。操作系 统安全是计算.网络及信息系统安全的基础。一般操作系统都提供了相应的安全配置接口。 小王新买了一台计算机儿，开机后首先对自带的Windows操作系统进行配置。他的主要操作有
: (1) 关闭不必要的服务和端口；（2）在“本地安全策略”配置账号策略.本地策略.公钥 策略和IP安全策略； (3) 备份敏感文件，禁止建立空连接，下载最新补丁；（4）关闭审核 策略.开启口令策略.开启账户策略。这些操作中错误的是（ ）

数据库的安全很复杂，往往需要考虑多种安全策略，才可以更好地保护数据库的安全
。以下关于数据库常用的安全策略理解不正确的是 ( )

我国等级保护政策发展的正确顺序是（    ）
①等级保护相关政策文件颁布
②计算机系统安全保护等级划分思想提出
③等级保护相关标准发布
④网络安全法将等级保护制度作为基本国策
⑤等级保护工作试点

随着信息安全涉及的范围越来越广，各个组织对信息安全管理的需求越来越迫切，越
来越多的组织开始尝试使用参考ISO27001介绍的ISMS来实施信息安全管理体系，提高组织的 信息安全管理能力。关于ISMS,下面描述错误的是( )

以下关于网络安全设备说法正确的是（    ）

某单位在一次信息安全风险管理活动中，风险评估报告提出服务器A的FTP服务存在高
风险漏洞。随后该单位在风险处理时选择了安装FTP服务漏洞补丁程序并加固FTP服务安全措 施，请问该措施属于哪种风险处理方式（ ）

私有IP地址是一段保留的一段保留的 IP地址，只能用在局域网中，无法在Internet 上使用。关于私有IP地址，下面描述正确的是（    ）

小张新购入了一台安装了Windows操作系统的笔记本电脑。为了提升操作系统的安全 性，小张在Windows系统中的“本地安全策略”中，配置了四类安全策略：账号策略.本地策 略.公钥策略和IP安全策略。那么该操作属于操作系统安全配置内容中的（    ）

PDCA循环以叫戴明环，是管理学常用的一种模型。关于PDCA四个字母，下面理解错 误的是（    ）

以下有关系统一程说法错误的是（    ）

关于ARP欺骗原理和防范措施，下面理解错误的是（    ）

若一个组织声称自己的ISMS符合IS0/IEC 27001或GB/T22080标准要求，其信息安全 控制措施在物理和环境安全方面实施常规控制。物理和环境安全领域包括安全区域和设备安 全两个控制目标。安全区域的控制目标是防止对组织场所和信息的未授权物理访问.损坏和 干扰，关键或敏感信息及信息处理设施应放在安全区域内，并受到相应保护，该目标可以通 过以下控制措施来实现，不包括哪一项（    ）

访问控制的实施一般包括两个步骤：首先要鉴别主体的合法身份，接着根据当前系 统的访问控制规则授于用户相应的权限。在此过程中涉及主体.客体.访问控制实施部件和 访问控制决策部件之间的交互。下图所示的访问控制实施步骤中，标有数字的方框代表了主 体.客体.访问控制实施部件和访问控制决策部件。下列选项中，标有数字1.2.3.4的方 框分别对应的实体或部件正确的是（    ）

你是单位安全主管，由于微软刚发布了数个系统漏洞补丁，安全运维人员给出了针 对此批漏洞修补的四个建议方案，请选择其中一个最优方案执行（    ），

GB/T 18336《信息技术安全性评估准则》是测评标准类中的重要标准，该标准定义 了保护轮廓(Protection Profile PP) 和安全目标（Security Target ,ST）的评估准则，提 出了评估保证级(Evaluation Assurance Level ,EAL)，
其评估保证级共分为 ( ) 个递增的评估保证等级。

公钥基础设施(Public Key Infrastructure, PKI)引入数字证书的概念，用来表示用 户的身份。下图简要地描述了终端实体(用户)从认证权威机构CA申请.撤销和更新数字证书 的流程。请为中间框空白处选择合适的选项（    ）

某社交网站的用户点击了该网站上的一个广告。该广告含有一个跨站脚本，会将他 的浏览器定向到旅游网站，旅游网站则获得了他的社交网络信息。虽然该用户没有主动访问 该旅游网站，但旅游网站已经截获了他的社交网络信息(还有他的好友们的信息)，于是犯罪
分子便可以躲藏在社交网站的广告后面，截获用户的个人信息了。这种向Web页面插入恶意 html代码的攻击方式称为( )

由于密码技术都依赖于密钥，因此密钥的安全管理是密码技术应用中非常重要的环节
，下列关于密钥管理说法错误的是() .

"统一威胁管理”是将防病毒.入侵检测和防火墙等安全需求统一管理，目前市场上
已经出现了多种此类安全设备，这里“统一威胁管理”常常被简称为( )

某单位信息安全岗位员工，利用个人业余时间，在社交网络平台上向业内同行不定 期发布信息安全相关知识和前沿动态资讯。这行为主要符合以下哪一条注册信信息安全专业 人员(CISP)职业道德准则（    ）

小赵是某大学计算机科学与技术专业的毕业生，在前往一这企业应聘时，面试经理要
求他给出对企业信息系统访问控制模型设计思路。如果想要为一个丰存在大量用户的信息系
统实现自主访问控制功能，在以下选项中，从时间和资源耗费角度，下列选项中他应该采取 的最合适的模型或方法是（ ）

CC标准是目前系统安全认证方面最权威的标准，以下哪一项没有体现CC标准的先进 性（    ）

自主访问控制模型（    ）的访问控制关系可以用访问控制表（ACL）来表示，该ACL 利用在客体上附加一个主体明细表的方法来表示访问控制矩阵，通常使用由客体指向的链表 来存储相关数据。下面选项中说法正确的是（ ）

王工是某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，发现当 前案例中共有两个资产：资产A1和资产A2；其中资产A1面临两个主要威胁，威胁T1和威胁T2
；面资产A2面临一个主要威胁T3；威胁T1可以利用的资产A1存在的两个脆弱性，脆弱性V1和 脆弱性V2；威胁T2可以利用的资产A1存在的三个脆弱性，脆弱性V3.脆弱性V4和脆弱性V5；
威胁T3可以利用的资产A2存在的两个脆弱性，脆弱性V6和脆弱性V7。根据上述条件，请问： 使用相乘法时，应该为资产A1计算几个风险值（ ）

恢复时间目标（Recovery Time Objective, RTO）和恢复点目标（Recovery Point Objective,RPO）是业务连续性和灾难恢复中的两人重要指标，随着信息系统越来越重要和信 息技术越来越先进，这两个指标的数值起来越小。小华准备为其工作的信息系统拟定RTO和 RPO指标，则以下描述中，正确的是（    ）

关于计算机取证描述不正确的是（    ）

2016年10月21日，美国东部地区发生大规模断网事件，此次事件是由于美国主要DNS 服务商Dyn遭遇大规模DDos攻击所致，影响规模惊人，对人们生活造成严重影响。DDos攻击主 要目的是破坏系统的（    ）

以下关于威胁建模流程步骤说法不正确的是（    ）

一个信息管理系统通常会对用户进行分组并实施访问控制。例如，在一个学校的教务
系统中，教师能够录入学生的考试成绩，学生只能查看自己的分数，而学校教务部门的管理
人员能够对课程信息.学生的选课信息等内容进修改。下列选项中，对访间控制的作用理解 错误的是（ ）

某贸易公司的OA系统由于存在系统漏洞，被攻击者上传了木马病毒并删除了系统中 的数据，由于系统备份是每周六进行一次，事件发生时间为周三，因此导致该公司三个工作 日的数据丢失并使得OA系统在随后两天内无法访问，影响到了与公司有业务往来部分公司业 务。在事故处理报告中，根据GB/Z 20986-2007 《信息安全事件分级分类指南》，该事件的 准确分类和定级应该是（    ）

Wi-Fi联盟提出的安全协议WPA和WPA2的区别，下面描述正确的是（    ）.

部署互联网协议安全虚拟专用网(Internet Protocol Security Virtual Private Network, IPsec VPN)时，以下说法正确的是（    ）.

有关能力成熟度模型(CMM)，错误的理解是（    ）

不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据
各自的实际情况，选择适当的风险评估方法。下面的描述中，错误的是（ ）

随机进程名称是恶意代码迷感管理员和系统安全检查人员的技术手段之一，以下对 于随机进程名技术，描述正确的是（    ）

以下关于检查评估和自评估说法错误的是（    ） .

某信息安全公司的团队对某款名为”红包快抢“的外挂进行分析，发现此外挂是一 个典型的木马后门，使黑客能够获得受害者电脑访问权。该后门程序为了达到长期驻留在受 害者的计算机中，通过修改注册表启动项来达到后门程度随受害者计算机启动面启动。为防 范此类木马后门的攻击，以下做法无用的是（    ）

具有行政法律责任强制力的安全管理规定和安全制度包括（    ）
(1) 安全事件（包括安全事故）报告制度，（2）安全等级保护制度，（3）信息系统安 全监管，（4）安全专用产品销售许可证书制度

（    ）第二十三条规定存储.处理国家秘密的计算机信息系统（以下简称涉密信息系 统）按照（ ）实行分级保护。（ ）应当按照国家保密标准配备保密设施.设备。（ ）.设 备应当与涉密信息系统两步规划.同步建设.同步运行（三同步）。涉密信息系统应当按照 规定，经（ ）后，方可投入使用。

在设计信息系统安全保障方案时，以下哪个做法是错误的（    ）

某集团公司信息安静管理员根据领导的安排制定了下一年度的培训工作计划，提出 四大培训任务和目标，关于这四个培训任务和目标，作为主管领导，以下选项中不合理的是
（ ）

某单位根据业务需要准备立项开发一个业务软件，对于软件开发安全投入经费研讨 时开发部门和信息中心就发生了分歧。开发部门认为开发阶段无需投入，软件开发完成后发 现问题后再针对性的解决，比前期安全投入要成本更低；信息中心则认为应在软件安全开发 阶段投入，后期解决代价太大。双方争执不下，作为信息安全专家，请选择对软件开发安全 投入的准确说法（    ）

由于频繁出现软件运行时被黑客远程攻击获取数据的现象，某软件公司准备加强软 件安全开发管理，在下面做法中，对于解决问题没有直接帮助的是（    ）

数据库的安全很复杂，往往需要考虑多种安全策略,才可以更好的保护数据库的安全
。以下关于数据库常用策略理解不正确的是( )

与PDR模型相比，P2DR模型则更强调（    ），即强调系统安全的( )，并且以安全检测. ( )和自适应填充“安全间隙”为循环来提高( )

老王是一名企业信息化负责人，由于企业员工在浏览网页时总导致病毒感染系统， 为了解决这一问题，老王要求信息安全员给出解决措施，信息安全员给出了四条措施建议， 老王根据多年的信息安全管理经验，认为其中一条不太适合推广,你认为是哪条措施（    ）

某社交网站的用户点击了该网站上的一个广告,该广告含有一个跨站脚本,会将他的 浏览器定向到旅游网站，旅游网站则获得了他的社交网络信息，虽然该用户没有主动访问该 旅游网站，但旅游网站已经截获了他的社交网络信息(还有他的好友们的信息) ,于是犯罪分 子便可以躲藏在社交网站的广告后面，截获用户的个人信息了,这种向Web页面插入恶意html 代码的攻击方式称为（    ）

“统一威胁管理”是将防病毒.入侵检测和防火墙等安全需求统一管理。目前市场
上已经出现了多种此类安全设备，这里“统一威胁管理”常常被简称为( )

关于ARP欺骗原理和防护措施，下面理解错误的是（    ）

小张新购入了一台安装了Windows操作系统的笔记本电脑，为了提成操作系统的安全 性，小张在Windows系统中的“本地安全策略”中，配置了四类安全策略:账号策略.本地策 略.公钥策略和IP安全策略，那么该操作属于操作系统安全配置内容中的（    ）

某银行有5台交换机连接了大量交易机构的网络(如图所示)，在基于以太网的通信中
，计算机A需要与计算机B通信，A必须先广播“ARP请求信息”获取B的物理地址，每到月底时 用户发现该银行网络服务速度极慢，银行经调查后发现：当其中一台交换机收到ARP请求后， 会转发给接收端口以外的其他所有端口，ARP请求会被转发到网络中的所有客户机上，为降低 网络的消耗，将广播流限制在固定区域内，可以采用的技术是(  )

某单位在实施信息安全风险评估后，形成了若干文挡，下面（    ） 中的文挡不应属于 风险评估中“风险评估准备”阶段输出的文档

某单位门户网站开发完成后,测试人员使用模糊测试进行安全性测试，以下关于模糊 测试过程的说法正确的是（    ）

-般地，IP 分配会首先把整个网络根据地域.区域。每个子区域从它的上一级区域里获取IP地址段，这种分配方法为什么分配方法（    ）

系统工程的模型之一霍尔三维结构模型由时间维.逻辑维和知识维组成。有关此模 型，错误的是（    ）

“凯撒密码” 的密码系统在密码学的发展阶段中属于哪个阶段（    ）

以下对Kerberos协议过程说法正确的是（    ）

小张是一名 CISP。某天他听到小李说某电商平台在“双十一”节期间某款平板电脑
如果输入1111，购买产品的单价就会变为1元。请问以下哪项行为符合作为 CISP 的职业道德
（ ）

社会工程学是（    ）与（  ）结合的学科。准确来说，它不是一门科学，因为它不能 总是重复和成功，并且在信息充分多的情况下它会失效。基于系统.体系.协议等技术体系 缺陷的（ ），随着时间流逝最终都会失效，因为系统的漏洞可以弥补，体系的缺陷可能随着 技术的发展完善或替代。社会工程学利用的是人性的“弱点”，而人性是（ ），这使得它几 乎可以说是永远有效的（ ） （ ）

—般地，IP分配会首先把整个网络根据地域.区域。每个子区域从它的上一级区域
里获取IP地址段，这种分配方法为什么分配方法（ ）

入侵检测系统（Intrusion Detection System, IDS）是用于发现并报告系统中未授 权或违反安全策略行为的设备。在入侵检测中有这样一种方法，任何的正常行为都是有一定 的规律的并且可以通过分析这些行为产生的日志信息（假定日志信息足够安全）总结出这些 规律。而入侵和滥用行为则通常和正常的行为存在严重的差异，通过检查这些差异就可以检 测这些入侵，请问该入侵检测方法为（    ）

CC 标准是计算机安全认证的国际标准（ISO/EC 15408）CC 标准中四个关键概念，分别为 TOE.PP.ST.EAL， 它们的含义分别是（    ）

在某信息系统的设计中，用户登录过程是这样的：（ 1）用户通过 HTTP 协议访问 信息 系统；（ 2）用户在登录页面输入用户名和口令；（ 3）信息系统在服务器端检查用户 名和密 码正确性，如果正确，则鉴别完成。可以看出这个鉴别过程属于（    ）

实施身份鉴别方法多种多样，而且随着技术进步，鉴别方法的强度不断提高， 常见 的方法有利用口令鉴别，令牌鉴别，指纹鉴别等。小王在登录某移动支付平台时，首先需要 通过指纹对用户身份进行鉴别，通过鉴别后，他才能作为合法用户使用自己的帐户进行支付
.转账等操作，这种方法属于下列选项中的（ ）

某单位门户网站开发完成后，测试人员使用模糊测试进行安全性测试，以下关于模
糊测试过程的说法正确的是（ ）

小王学习了灾难备份的有关知识，了解到常用的数据备份方式包括完全备份.增量 备 份.差量备份，为了巩固所学知识，小王对这三种备份方式进行了对比，其中在数据恢复 速度方面三种备份方式由快到慢的顺序是（    ）

在一个使用 Chinese Wall 模型建立访问控制的信息系统中，数据 W 和数据 X 在 一个 兴趣冲突，数据 Z 在另一个信息兴趣冲突域中，那么可以确定一个新注册的用户（    ）

关于我国信息安全保障的基本原则，下列说法中不正确的是（    ）