CISP2018_信息安全支撑技术_V4.1

CISP信息安全支撑技术1. 以下对单点登录技术描述不正确的是:() [单选题] *A.单点登录技术实质是安全凭证在多个用户之间的传递或共享(正确答案)B.使用单点登录技术用户只需在登录时进行一次注册,就可以访问多个应用C.单点登录不仅方便用户使用,而且也便于管理D.使用单点登录技术能简化应用系统的开发2.分组密码算法是一类十分重要的密码算法，下面描述中，错误的是() [单选题] *A. 分组密码算法要求输入明文按组分成固定长度的块B. 分组密码算法每次计算得到固定长度的密文输出块C. 分组密码算法也称为序列密码算法(正确答案)D. 常见的 DES、IDEA 算法都属于分组密码算法3. 密码学是网络安全的基础，但网络安全不能单纯依靠安全的密码算法，密码协议也是网络安全的一个重要组成部分。

下面描述中，错误的是() [单选题] *A. 在实际应用中，密码协议应按照灵活性好、可扩展性高的方式制定，不要限制和框住所有的执行步骤，有些复杂的步骤可以不明确处理方式(正确答案)B. 密码协议定义了两方或多方之间为完成某项任务而制定的一系列步骤，协议中的每个参与方都必须了解协议，且按步骤执行C. 根据密码协议应用目的的不同，参与该协议的双方可能是朋友和完全信任的人，也可能是敌人和互相完全不信任的人D. 密码协议( cryptographic protocol )，有时也称安全协议( security protocol)，是使用密码学完成某项特定的任务并满足安全需求，其目的是提供安全服务4. 美国计算机协会(ACM)宣布将 2015 年的 ACM 奖授予给 Whitfield Diffic和 Wartfield 下面哪项工作是他们的贡献()。

[单选题] *A. 发明并第一个使用 C 语言B. 第一个发表了对称密码算法思想C. 第一个发表了非对称密码算法思想(正确答案)D. 第一个研制出防火墙5.. 口令破解是针对系统进行攻击的常用方法，Windows 系统安全策略中应对口令破解的策略主要是账户策略中的账户锁定策略和密码策略，关于这两个策略说明错误的是 [单选题] *A. 密码策略的主要作用是通过策略避免用户生成弱口令及对用户的口令使用进行管控B. 密码策略对系统中所有的用户都有效C. 账户锁定策略的主要作用是应对口令暴力破解攻击，能有效的保护所有系统用户被口令暴力破解攻击(正确答案)D. 账户锁定策略只适用于普通用户，无法保护管理员 administrator 账户应对口令暴力破解攻击6. 由于发生了一起针对服务器的口令暴力破解攻击，管理员决定对设置账户锁定策略以对抗口令暴力破解。

cisp试题及答案一、概述CISP（Certified Information Security Professional）是国际上广泛认可的信息安全专业资格认证体系。

通过取得CISP认证，可以证明个人在信息安全领域具备丰富的专业知识和技能，有能力保护企业和组织的信息资产安全。

二、CISP试题内容概述CISP考试内容涵盖了信息安全的各个方面，包括但不限于以下几个领域：1. 信息安全管理和组织- 安全管理原则和方法论- 安全政策、标准和程序- 组织安全文化和意识培养- 风险管理和评估2. 资产安全管理- 资产分类和管理- 物理安全和环境控制- 信息存储和备份- 资产调查和回收3. 安全工程- 安全需求分析和规划 - 安全设计和实施- 安全评估和测试- 安全操作和维护4. 通信和网络安全- 网络拓扑和架构设计 - 网络设备和防护措施 - 网络协议和加密技术 - 网络安全监测和响应5. 身份和访问管理- 身份认证和授权机制 - 访问控制和权限管理 - 用户账号和密码策略 - 身份和访问审计6. 安全风险管理- 安全事件和威胁管理- 安全漏洞和漏洞管理- 恶意代码和攻击方法- 安全事件响应和处置三、CISP答案示例及解析以下是CISP试题中的一道例题及其对应的答案解析：题目：在信息安全管理中，为了确保安全策略的实施和执行，应该采取以下哪些措施？A. 定期进行安全风险评估B. 员工定期接受安全培训C. 建立安全审计和监控机制D. 所有答案都正确答案解析：D. 所有答案都正确在信息安全管理中，为了确保安全策略的实施和执行，应该综合采取多种措施。

定期进行安全风险评估可以识别和评估潜在的威胁和风险，从而采取相应的安全防护措施。

员工定期接受安全培训可以提高员工的安全意识和技能，减少由于人为因素导致的安全漏洞。

建立安全审计和监控机制可以监控信息系统的安全状况，及时发现和响应安全事件。

因此，以上选项都是确保安全策略实施和执行的重要措施。

注册信息安全专业人员（CISP认证培训）认证介绍国家注册信息安全专业人员(简称：CISP）是有关信息安全企业，信息安全咨询服务机构、信息安全测评机构、社会各组织、团体、企事业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的专业岗位人员，其基本职能是对信息系统的安全提供技术保障，其所具备的专业资质和能力，系经中国信息安全测评中心实施注册。

2015年6月，全国获得CISP认证资格人员已超过15000名。

认证目的信息安全人员培训与姊姊认定的目的是构建全面的信息安全人才体系。

构建全面的信息安全人才体系是国家政策的要求，是组织机构信息安全保障建设自身的要求和组织机构人员自身职业发展的要求。

是国家政策的要求：中办发【2003】27号文件《国家信息化领导小组关于加强信息安全保障工作的I 安逸》中提出了“加快悉尼型安全人才培养，增强全民信息安全意识”的知道精神，重点强调了信息安全人才培养的重要性。

是组织机构信息安全保障建设自身的要求：企事业单位、政府机关等组织机构在信息安全保障建设、信息哈U建设中，需要有一个完整层次化的信息安全人才队伍以保障其信息安全、保障其信息化建设，从而保障其业务和使命。

是组织机构人员自身职业为发展的要求：作为人员本身，在其工作和职业发展中，需要充实其信息安全保障相关的只是和经验，以更好的开展其工作并为自己的只因为发展提供帮助。

认证价值对组织的价值：高素质的信息安全专业人才队伍，是信息安全的保障；信息安全人员持证上岗，满足政策部门的合规性要求；为组织实施信息安全岗位绩效考核提供了标准和依据；是信息安全企业申请安全服务资质必备的条件对个人的价值：适应市场中越来越热的对信息安全人才的需求；通过专业培训和考试提高个人信息安全从业水平；证明具备从事信息安全技术和管理工作的能力；权威认证提升职场竞争中的自身优势；可以获取信息安全专业人士的认可，方便交流。

认证分类根据工作领域和时间广州的需求，可以分为两类：注册信息安全工程师（CISE ）主要从事信息安全技术开发服务工程建设等工作。

1．美国的关键信息基础设施(critical Information Infrastructure，CII)包括商用核设施、政府设施、交通系统、饮用水和废水处理系统、公共健康和医疗、能源、银行和金融、国防工业基地等等，美国政府强调重点保障这些基础设施信息安全，其主要原因不包括：A．这些行业都关系到国计民生，对经济运行和国家安全影响深远B．这些行业都是信息化应用广泛的领域C. 这些行业信息系统普遍存在安全隐患，而且信息安全专业人才缺乏的现象比其他行业更突出D．这些行业发生信息安全事件，会造成广泛而严重的损失答案：C2．关于我国信息安全保障工作发展的几个阶段，下列哪个说法不正确：A．2001-2002年是启动阶段，标志性事件是成立了网络与信息安全协调小组，该机构是我国信息安全保障工作的最高领导机构B．2003-2005年是逐步展开和积极推进阶段，标志性事件是发布了指导性文件《关于加强信息安全保障工作的意见》(中办发27号文件)并颁布了国家信息安全战略C．2005-至今是深化落实阶段，标志性事件是奥运会和世博会信息安全保障取得圆满成功D．2005-至今是深化落实阶段，信息安全保障体系建设取得实质性进展，各项信息安全保障工作迈出了坚实步伐答案：C3．依据国家标准/T20274《信息系统安全保障评估框架》，信息系统安全目标(ISST)中，安全保障目的指的是：A、信息系统安全保障目的B、环境安全保障目的C、信息系统安全保障目的和环境安全保障目的D.信息系统整体安全保障目的、管理安全保障目的、技术安全保障目的和工程安全保障目的答案：D*4．以下哪一项是数据完整性得到保护的例子?A．某网站在访问量突然增加时对用户连接数量进行了限制，保证已登录的用户可以完成操作B．在提款过程中ATM终端发生故障，银行业务系统及时对该用户的账户余额进行了冲正操作C．某网管系统具有严格的审计功能，可以确定哪个管理员在何时对核心交换机进行了什么操作D．李先生在每天下班前将重要文件锁在档案室的保密柜中，使伪装成清洁工的商业间谍无法查看答案：B*5.公司甲做了很多政府网站安全项目，在为网游公司乙的网站设计安全保障方案时，借鉴以前项目经验，为乙设计了多重数据加密安全措施，但用户提出不需要这些加密措施，理由是影响了网站性能，使用户访问量受限，双方引起争议。

CISP总结-信息安全保障知识点信息安全在现代社会中变得越来越重要。

随着技术的进步和信息的高速传输，我们面临着来自网络黑客、恶意软件和数据泄露等安全威胁。

针对这些威胁，许多组织和个人已经采取了各种信息安全保障措施。

本文将总结一些重要的信息安全保障知识点，以帮助读者更好地了解和应对信息安全挑战。

1. 密码技术密码技术是信息安全的基石之一。

通过加密和解密技术，可以保护敏感信息免受未经授权的访问。

常见的密码技术包括对称加密和非对称加密。

对称加密使用相同的密钥用于加密和解密数据，而非对称加密则使用一对公钥和私钥，公钥用于加密数据，私钥用于解密数据。

同时，密码学中还有其他的技术，如哈希函数和数字签名，用于验证数据的完整性和身份认证。

2. 访问控制访问控制是保护信息资源免受未经授权访问的重要手段。

它通过限制用户的访问权限来确保只有认证和授权的用户可以访问系统和数据。

常见的访问控制机制包括身份验证和授权。

身份验证验证用户的身份以确认其合法性，授权决定用户是否有权访问特定的资源。

此外，还可以采用多因素身份验证和单一登录（SSO）等技术来增强访问控制的安全性。

3. 网络安全网络安全是信息安全的重要组成部分。

它涉及保护网络免受未经授权的访问、恶意软件和网络攻击等威胁。

常见的网络安全措施包括防火墙、入侵检测和预防系统（IDS/IPS）、虚拟专用网络（VPN）和漏洞管理等。

此外，网络安全还需要定期的安全审计和漏洞扫描来发现潜在的安全隐患。

4. 数据保护数据保护是信息安全的核心任务之一。

包括数据备份、容灾和恢复等措施，以防止数据丢失和破坏。

常见的数据保护技术包括数据加密、数据脱敏、数据分类和数据托管。

此外，数据备份和恢复策略需要根据数据的重要性和敏感性进行规划，保证数据在意外情况下的可用性和完整性。

5. 教育和培训教育和培训是信息安全保障中不可或缺的一环。

只有通过教育和培训，组织和个人才能了解信息安全的重要性，并学习如何应对安全威胁。

CISP 信息安全标准与法律法规介绍CISP（China Information Security Evaluation Standard）是由中国信息安全测评中心（CISE）制订的信息安全测评标准。

CISP分为5个等级，分别是CISP-1、CISP-2、CISP-3、CISP-4和CISP-5，其中CISP-5是最高等级。

CISP主要用于评估企业的信息安全水平，并根据评估结果给出相应的建议和改进措施。

除了CISP标准，中国还有其他一些相关的信息安全标准和法律法规。

CISP信息安全标准CISP-1CISP-1是最低安全等级，适用于对信息安全要求不高的小型企业。

CISP-1要求企业建立基本的信息安全管理制度，确保开展信息处理活动的合法性、正确性和安全性。

此外，CISP-1还要求企业对重要的信息资产进行分类和保护，并建立基本的安全防护措施，如防火墙、反病毒软件等。

CISP-2CISP-2适用于对信息安全要求较高的中小型企业。

CISP-2包括CISP-1的所有要求，并增加了一些额外要求，如完善的安全管理制度、信息安全培训和考核、网络安全事件的应急处理等。

CISP-3CISP-3适用于对信息安全要求较高的大型企业和政府机构。

CISP-3包括CISP-2的所有要求，并增加了一些更高级别的安全措施，如网络边界控制、网络入侵检测、流量监控等。

CISP-4CISP-4适用于对信息安全要求非常高的特定行业和组织，如金融机构、国家机密单位等。

CISP-4包括CISP-3的所有要求，并增加了一些更严格的安全措施，如网络隔离、异地备份、安全审计等。

CISP-5CISP-5是最高等级，适用于对信息安全要求极高的行业和组织，如核电站、军事领域等。

CISP-5包括CISP-4的所有要求，并增加了更加高级别的安全措施，如身份认证、权限控制、加密等。

法律法规《网络安全法》《网络安全法》是中国首部全面、系统的网络安全立法，于2016年11月7日正式施行。

CISP认证考试指南⏹认证机构⏹CISP简介⏹CISP知识框架⏹CISP认证过程⏹CISM简介⏹其他相关认证认证机构•中国信息安全测评中心（以下简称测评中心）是我国专门从事信息技术安全测试和风险评估的权威职能机构。

英语简称（CNITSEC）。

•依据中央授权，测评中心的主要职能包括：负责信息技术产品和系统的安全漏洞分析与信息通报；负责党政机关信息网络、重要信息系统的安全风险评估；开展信息技术产品、系统和工程建设的安全性测试与评估；开展信息安全服务和专业人员的能力评估与资质审核；从事信息安全测试评估的理论研究、技术研发、标准研制等。

测评中心是国家信息安全保障体系中的重要基础设施之一，在国家专项投入的支持下，拥有国内一流的信息安全漏洞分析资源和测试评估技术装备；建有漏洞基础研究、应用软件安全、产品安全检测、系统隐患分析和测评装备研发等多个专业性技术实验室；具有专门面向党政机关、基础信息网络和重要信息系统开展风险评估的国家专控队伍。

•中国信息安全测评中心负责注册信息安全专业人员（CISP）的咨询和管理工作，包括注册信息安全专业人员（CISP）的培训管理、考试、注册以及教材编写、师资管理、授权培训机构管理等方面。

/认证机构•目前中国信息安全测评中心对于人员的注册分为以下几类：注册信息安全审计师（Certified Information Security Professional -Auditor ，简称CISA ）“注册信息安全员”，（Certified Information Security Member ，简称CISM ）注册信息安全专业人员—渗透测试工程师（Certified Information Security Professional-Penetration Test Engineer ，简称CISP-PTE ）注册信息安全专业人员，（Certified Information Security Professional ，简称CISP ）关于我们•汇哲科技（简称“SPISEC”）由上海汇哲信息科技有限公司、北京汇哲信安科技有限公司等多个独立公司组成。

《信息安全支撑技术》考前知识点串讲第一节密码学基础1.密码学发展阶段：古典、近代、现代和公钥密码学及特点。

2.密码系统组成：明文、加密、密钥、解密、密文。

3.柯克霍夫原则：密钥保密，算法公开。

4.对称密码算法（1）加密密钥和解密密钥相同，或实质上等同。

（2）典型算法：DES、3DES、AES、IDEA、RC5、Twofish、CAST-256。

（3）优点：高效；不足：交换密钥问题及密钥管理复杂。

5.非对称密码算法：（1）典型算法：RSA、ECC、ElGamal（2）原理：基于数学难题实现，大整数分解、离散对数、背包问题。

（3）优点：解决密钥传递问题、密钥管理简单、提供数字签名等其他服务。

缺点：计算复杂、耗用资源大。

6.哈希函数：（1）作用：完整性校验；（2）主要算法：MD5、SHA-1、SHA-2、SHA-256\384\512。

（3）特点：具有单向性、抗碰撞性（强弱之分）。

7.消息鉴别码：（1）消息认证、完整性校验、抗重放攻击（时间顺序验证）；（2）消息认证方式：Message encryption、Hash function、MAC。

8.数字签名：（1）原理：见图。

（2）作用：身份鉴别、不可抵赖、消息完整性。

第二节密码学应用1.数字证书：（1）一段电子数据，是经证书权威机构CA签名的、包含拥有者身份信息和密钥的电子文件。

（2）数字证书格式：国际标准X.509定义一个规范的数字证书格式（3）数字证书生命周期：证书申请、证书生成、证书存储、证书发布、证书废止。

2.PKI体系构成（1）KMC或KMS（密码系统）（2）CA（认证权威）（3）RA（注册权威）（4）LDAP(证书管理目录服务）（5）CRL&OCSP（黑名单库或在线认证）（6）终端实体（持有USB-Key和程序）3.区块链（了解，考试不考）（1）区块链是分布式数据存储、点对点传输、密码技术等计算机技术的新型应用模式，解决了去中心化的共识机制的建立和应用。

CISP-信息安全保障第一节信息安全保障基础1.信息安全保障基础1.1信息安全的定义：狭义和广义之分。

1.2信息安全的特点：系统、动态、无边界、非传统。

1.3信息安全的属性：保密性、完整性、可用性；真实性、不可否认、可追责、可靠性。

1.4信息安全问题根源：内因和外因，外因包括自然和人为威胁；人为威胁包括故意威胁和非故意威胁。

1.5信息安全的视角：国家、商业（企业）和个人视角的内容。

2.信息安全发展阶段2.1 通信安全：采用加密的措施解决信息窃听、密码分析问题。

2.2 计算机系统安全：采用计算机防护的系列手段，提高系统安全性。

2.3 网络安全：通过防火墙等成熟的措施解决网络信息系统安全问题。

2.4 网络空间安全：防御措施、威慑措施以及情报利用。

3. 了解《国家网络空间安全发展战略》。

第二节信息安全保障模型1.P2DR1.1P2DR：策略-防护-检测-响应1.2P2DR思想：基于时间的防护与安全的有效性1.3P2DR公式：Pt>Dt+Rt 那么系统是安全的。

Pt<Dt+Rt，那么（Dt+Rt）- Pt =Et，要求Et<=01.4P2DR作用：实现系统在时间上的防护是有效的。

2.IATF2.1 IATF核心：人、技术、操作。

2.2 IATF保护方面：本地计算环境、网络基础设施、区域边界，支撑性基础设施。

2.3 IATF思想：深度防护的思想。

2.4 IATF作用：实现被保护的网络系统在空间上每个节点安全有效性。

3.系统安全保护评估框架3.1 原理：1）实现全生命周期的安全。

2）通过人员要素、技术要素、管理要素和工程要素来综合实现安全。

3）实现目的是保密性、完整性、可用性，以及最终的业务使命。

3.2 评估框架1）ISPP：标准化信息系统的安全需求。

2）ISST：标准化信息系统的安全方案。

3）评估：技术TCML1-5级；管理MCML1-5级；工程ECML1-5级。

4.商业应用安全架构4.1 常用的参考：舍伍德的商业应用安全架构（Sherwood Applied Business Security Architecture，SABSA）、Zachman框架、开放群组架构框架（The Open Group Architecture Framework，TOGAF）。