20200107CISP强化知识点训练题含答案(第二套)

1.在橙皮书的概念中，信任是存在于以下哪一项中的?Ａ.ﻩ操作系统B．网络C.ﻩ数据库D．应用程序系统答案:Ａ2.下述攻击手段中不属于DOS攻击的是：（）A.ﻩSmurf攻击B.ﻩLaｎｄ攻击C. Teardrop攻击D．CＧI溢出攻击答案:Ｄ。

3.“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为:（）A．ﻩ“普密”、“商密”两个级别Ｂ．“低级”和“高级”两个级别C. “绝密”、“机密”、“秘密”三个级别D.ﻩ“一密”、“二密”、“三密”、“四密”四个级别答案:C。

4.应用软件测试的正确顺序是：A．ﻩ集成测试、单元测试、系统测试、验收测试B.ﻩ单元测试、系统测试、集成测试、验收测试C. 验收测试、单元测试、集成测试、系统测试D.ﻩ单元测试、集成测试、系统测试、验收测试答案：选项D。

5.多层的楼房中，最适合做数据中心的位置是:Ａ．ﻩ一楼B.ﻩ地下室Ｃ. 顶楼D．ﻩ除以上外的任何楼层答案：D。

6.随着全球信息化的发展，信息安全成了网络时代的热点，为了保证我国信息产业的发展与安全，必须加强对信息安全产品、系统、服务的测评认证，中国信息安全产品测评认证中心正是由国家授权从事测评认证的国家级测评认证实体机构，以下对其测评认证工作的错误认识是：A.ﻩ测评与认证是两个不同概念,信息安全产品或系统认证需经过申请、测试、评估，认证一系列环节。

B.ﻩ认证公告将在一些媒体上定期发布,只有通过认证的产品才会向公告、测试中或没有通过测试的产品不再公告之列。

C．ﻩ对信息安全产品的测评认证制度是我国按照WTO规则建立的技术壁垒的管理体制。

D.ﻩ通过测试认证达到中心认证标准的安全产品或系统完全消除了安全风险。

答案:D。

7.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知:Ａ.ﻩ系统管理员Ｂ．ﻩ律师C.ﻩ恢复协调员D.ﻩ硬件和软件厂商答案：B。

8.下面的哪种组合都属于多边安全模型?Ａ.ﻩTCSEＣ和Bｅｌl-LａＰadｕlaB．Chｉneｓe Ｗａll和BMＡC. TＣSEC 和Clark-WilsｏnD. Chiｎｅse Wall 和Ｂiｂa答案：B。

CISP试题及答案预览说明:预览图片所展示的格式为文档的源格式展示,下载源文件没有水印,内容可编辑和复制1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】 C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】 D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】 D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】 A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】 D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B. 风险评估的结果C.组织原则目标和业务需要D. 企业领导的个人意志【答案】 D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D. 基础培训，RA培训，文件编写培训，内部审核培训【答案】 B9. 构成风险的关键因素有哪些？A. 人，财，物B. 技术，管理和操作C.资产，威胁和弱点D. 资产，可能性和严重性【答案】 C10. 以下哪些不是应该识别的信息资产？A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】 C11. 以下哪些是可能存在的威胁因素？BA. 设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】 B12. 以下哪些不是可能存在的弱点问题？A. 保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】 C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A. 只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】 B14. 风险分析的目的是？A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】 C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

CISP考试认证(习题卷2)说明：答案和解析在试卷最后第1部分：单项选择题，共94题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]下面一行是某个UNIX文件的详情，关于该文件权限的描述不正确的是A)这是一个目录，名称是“file”B)文件属性是groupC)“其他人”对该文件具有读、写、执行权限D)user的成员对此文件没有写权限2.[单选题]以文档为驱动，适合于软件需求很明确的软件项目的生命周期模型是（ ）A)增量模型B)瀑布模型C)喷泉模型D)螺旋模型3.[单选题]XXE漏洞可以做什么A)获取用户浏览器信息B)网络钓鱼C)读取服务器文件D)盗取用户cookie4.[单选题]96. 下列选项中，与面向构件提供者的构件测试目标无关的是（）.A)检查为特定项目而创建的新构件的质量B)检查在特定平台和操作环境中构件的复用、打包和部署C)尽可能多地揭示构件错误D)验证构件的功能、接口、行为和性能5.[单选题]在检查IT安全风险管理程序,安全风险的测量应该A)列举所有的网络风险B)对应IT战略计划持续跟踪C)考虑整个IT环境D)识别对(信息系统)的弱点的容忍度的结果6.[单选题]年1月2日,美国发布第54号总统令,建立国家网络安全综合计划(ComprchensiveNationalCybersecuityInitative,CNCI)。

CNCI计划建立三道防线:第一道防线,减少漏洞和隐患,预防入侵;第二道防线,全面应对各类威胁;第三道防线,强化未来安全环境。

从以上内容,我们可以看出以下哪种分析是正确的:A)CNCI是以风险为核心,三道防线首要的任务是降低其网络所面临的风险B)从CNCI可以看出,威胁主要是来自外部的,而漏洞和隐患主要是存在于内部的C)CNCI的目的是尽快研发并部署新技术和彻底改变其糟糕的网络安全现状,而不是在现在的网络基础上修修补补D)CNCI彻底改变了以往的美国信息安全战略,不再把关键基础设施视为信息安全保障重点,而是追求所有网络和系统的全面安全保障7.[单选题]当客户需要访问组织信息资产时,下面正确的做法是?A)应向其传达信息安全要求及应注意的信息安全问题。

1. 人们对信息安全的认识从信息技术安全发展到信息安全保障，主要是出于：AA. 为了更好的完成组织机构的使命B. 针对信息系统的攻击方式发生重大变化C. 风险控制技术得到革命性的发展D. 除了保密性，信息的完整性和可用性也引起了人们的关注2.《GB/T 20274信息系统安全保障评估框架》中的信息系统安全保障级中的级别是指：CA. 对抗级B. 防护级C. 能力级D. 监管级3. 下面对信息安全特征和范畴的说法错误的是：CA. 信息安全是一个系统性的问题，不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B. 信息安全是一个动态的问题，他随着信息技术的发展普及，以及产业基础，用户认识、投入产出而发展C. 信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任是没有意义的D. 信息安全是非传统的安全，各种信息网络的互联互通和资源共享，决定了信息安全具有不同于传统安全的特点4. 美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求时，将信息技术系统分为：BA. 内网和外网两个部分B. 本地计算机环境、区域边界、网络和基础设施、支撑性基础设施四个部分C. 用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分D. 信用户终端、服务器、系统软件、网络设备和通信线路、应用软件，安全防护措施六个部分5. 关于信息安全策略的说法中，下面说法正确的是：CA. 信息安全策略的制定是以信息系统的规模为基础B. 信息安全策略的制定是以信息系统的网络？？？C. 信息安全策略是以信息系统风险管理为基础D. 在信息系统尚未建设完成之前，无法确定信息安全策略6. 下列对于信息安全保障深度防御模型的说法错误的是：CA. 信息安全外部环境：信息安全保障是组织机构安全、国家安全的一个重要组成部分，因此对信息安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下。

cisp试题及答案(515多题整理版) cisp试题及答案（515多题整理版）1. 以下哪项不是CISP的组成部分？A. 信息安全政策B. 信息安全组织C. 信息安全培训D. 信息安全审计答案：D2. CISP的全称是什么？A. Certified Information Systems ProfessionalB. Certified Information Security ProfessionalC. Certified Information Systems Security ProfessionalD. Certified Information System Professional答案：B3. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 5年答案：C4. CISP认证的考试形式是什么？A. 笔试B. 机试C. 口试D. 实操答案：B5. CISP认证的考试语言有哪些？A. 英语B. 中文C. 法语D. 所有选项答案：D6. CISP认证考试的题型是什么？A. 单选题B. 多选题C. 判断题D. 简答题答案：A7. CISP认证考试的总题数是多少？A. 100题B. 200题C. 300题D. 400题答案：C8. CISP认证考试的通过分数是多少？A. 60%B. 70%C. 80%D. 90%答案：C9. CISP认证考试的考试时间是多长？A. 1小时B. 2小时C. 3小时D. 4小时答案：C10. CISP认证考试的报名费用是多少？A. 500美元B. 700美元C. 1000美元D. 1500美元答案：B11. CISP认证考试的考试内容主要涉及哪些方面？A. 信息安全管理B. 信息安全技术C. 信息安全法律D. 所有选项答案：D12. CISP认证考试的考试内容不包括以下哪项？A. 风险评估B. 业务持续性管理C. 信息安全策略D. 数据库管理答案：D13. CISP认证考试的考试内容中，关于信息安全策略的知识点包括哪些？A. 信息安全策略的制定B. 信息安全策略的实施C. 信息安全策略的评估D. 所有选项答案：D14. CISP认证考试的考试内容中，关于风险评估的知识点包括哪些？A. 风险识别B. 风险分析C. 风险处理D. 所有选项答案：D15. CISP认证考试的考试内容中，关于业务持续性管理的知识点包括哪些？A. 业务影响分析B. 灾难恢复计划C. 应急响应计划D. 所有选项答案：D16. CISP认证考试的考试内容中，关于信息安全技术的知识点包括哪些？A. 加密技术B. 防火墙技术C. 入侵检测系统D. 所有选项答案：D17. CISP认证考试的考试内容中，关于信息安全法律的知识点包括哪些？A. 数据保护法B. 计算机犯罪法C. 知识产权法D. 所有选项答案：D18. CISP认证考试的考试内容中，关于信息安全管理的知识点包括哪些？A. 安全管理的框架B. 安全管理的过程C. 安全管理的控制D. 所有选项答案：D19. CISP认证考试的考试内容中，关于信息安全培训的知识点包括哪些？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 所有选项答案：D20. CISP认证考试的考试内容中，关于信息安全审计的知识点包括哪些？A. 审计计划B. 审计程序C. 审计报告D. 所有选项答案：D21. CISP认证考试的考试内容中，关于信息安全组织管理的知识点包括哪些？A. 组织结构B. 组织政策C. 组织文化D. 所有选项答案：D22. CISP认证考试的考试内容中，关于信息安全培训的知识点不包括以下哪项？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 培训课程设计答案：D23. CISP认证考试的考试内容中，关于信息安全审计的知识点不。

CISP试题及答案-二套题1.中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：A、为政府单位信息系统进行安全方案设计B、在信息安全公司从事保安工作C、在公开场合宣讲安全知识D、在学校讲解信息安全课程2.确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其所用，是指（）：A、完整性B、可用性C、保密性D、抗抵赖性3.下列信息系统安全说法正确的是：A、加固所有的服务器和网络设备就可以保证网络的安全B、只要资金允许就可以实现绝对的安全C、断开所有的服务可以保证信息系统的安全D、信息系统安全状态会随着业务的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略开放系统互联安全体系构架中的安全服务分为鉴别服务、访问控制、机密性服务、完整服务、抗抵赖服务，其中机密性服务描述正确的是：A、包括原发方抗抵赖和接受方抗抵赖B、包括连接机密性、无连接机密性、选择字段机密性和业务流保密C、包括对等实体鉴别和数据源鉴别D、包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性5.电子商务交易必须具备抗抵赖性，目的在于防止___。

A、一个实体假装另一个实体B、参与此交易的一方否认曾经发生过此次交易C、他人对数据进行非授权的修改、破坏D、信息从被监视的通信过程中泄露出去6.下列哪一项准确地描述了可信计算基（TCB）A、TCB只作用于固件（Firmware）B、TCB描述了一个系统提供的安全级别C、TCB描述了一个系统内部的保护机制D、TCB通过安全标签来表示数据的敏感性7.下面关于访问控制模型的说法不正确的是：A、DAC模型中主体对它所属的对象和运行的程序有全部的控制权B、DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的访问。

1.在橙皮书的概念中，信任是存在于以下哪一项中的？A. 操作系统B. 网络C. 数据库D. 应用程序系统答案：A2.下述攻击手段中不属于DOS攻击的是: （）A. Smurf攻击B. Land攻击C. Teardrop攻击D. CGI溢出攻击答案：D。

3.“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为：（）A. “普密”、“商密”两个级别B. “低级”和“高级”两个级别C. “绝密”、“机密”、“秘密”三个级别D. “一密”、“二密”、“三密”、“四密”四个级别答案：C。

4.应用软件测试的正确顺序是：A. 集成测试、单元测试、系统测试、验收测试B. 单元测试、系统测试、集成测试、验收测试C. 验收测试、单元测试、集成测试、系统测试D. 单元测试、集成测试、系统测试、验收测试答案：选项D。

5.多层的楼房中，最适合做数据中心的位置是：A. 一楼B. 地下室C. 顶楼D. 除以上外的任何楼层答案：D。

6.随着全球信息化的发展，信息安全成了网络时代的热点，为了保证我国信息产业的发展与安全，必须加强对信息安全产品、系统、服务的测评认证，中国信息安全产品测评认证中心正是由国家授权从事测评认证的国家级测评认证实体机构，以下对其测评认证工作的错误认识是：A. 测评与认证是两个不同概念，信息安全产品或系统认证需经过申请、测试、评估，认证一系列环节。

B. 认证公告将在一些媒体上定期发布，只有通过认证的产品才会向公告、测试中或没有通过测试的产品不再公告之列。

C. 对信息安全产品的测评认证制度是我国按照WTO规则建立的技术壁垒的管理体制。

D. 通过测试认证达到中心认证标准的安全产品或系统完全消除了安全风险。

答案：D。

7.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：A. 系统管理员B. 律师C. 恢复协调员D. 硬件和软件厂商答案：B。

8.下面的哪种组合都属于多边安全模型？A. TCSEC 和Bell-LaPadulaB. Chinese Wall 和BMAC. TCSEC 和Clark-WilsonD. Chinese Wall 和Biba答案：B。

1.以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2.以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3.以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4.企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A.不需要全体员工的参入，只要ＩＴ部门的人员参入即可B.???来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D.?所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5.信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A.ISMS是一个遵循PDCA模式的动态发展的体系B.???ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D.?ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6.PDCA特征的描述不正确的是A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.???大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.?信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7.以下哪个不是信息安全项目的需求来源A.国家和地方政府法律法规与合同的要求B.???风险评估的结果C.组织原则目标和业务需要D.?企业领导的个人意志【答案】D8.ISO27001认证项目一般有哪几个阶段？A.管理评估，技术评估，操作流程评估B.???确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D.?基础培训，RA培训，文件编写培训，内部审核培训【答案】B9.构成风险的关键因素有哪些？A.人，财，物B.???技术，管理和操作C.资产，威胁和弱点D.?资产，可能性和严重性【答案】C10.以下哪些不是应该识别的信息资产？A.??网络设备B.客户资料C.办公桌椅D.系统管理员【答案】C11.以下哪些是可能存在的威胁因素？BA.??设备老化故障B.病毒和蠕虫C.系统设计缺陷D.保安工作不得力【答案】B12.以下哪些不是可能存在的弱点问题？A.??保安工作不得力B.应用系统存在BugC.内部人员故意泄密D.物理隔离不足【答案】C13.风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A.??只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C.可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D.资产识别务必明确责任人、保管者和用户【答案】B14.风险分析的目的是？A.??在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C.在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D.在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15.对于信息安全风险的描述不正确的是？A.企业信息安全风险管理就是要做到零风险B.???在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（RiskManagement）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

Cisp试题１．DDoS攻击主要目的是：A.破坏完整性B.破坏机密性C.破坏可用性D.破坏不可抵赖性答案：C类别：信息安全攻防答案说明：DDoS是分布式拒绝服务攻击，是当前很多黑客或相关组织攻击的主要手段，防火墙无能为力，攻击的主要是目的是破坏可用性。

2．下面哪个功能属于操作系统中的安全功能A.控制用户的作业排序和运行B. 对计算机用户访问系统和资源的情况进行记录C.保护系统程序和作业，禁止不合要求的对程序和数据的访问D. 实现主机和外设的并行处理以及异常情况的处理答案：C类别：信息安全技术----操作系统安全答案说明：其它三项只是说明操作系统的功能及作用，并没有说明安全功能，在操作系统安全中，为了防止对像重用等攻击，操作系统会保护系统程序和作业，禁止不合要求的对程序和数据的访问。

3．以下操作系统中，哪种不属于网络操作系统A.Windows NTB.Windows 2000C.Windows XPD.Linux答案：c类别：信息安全技术-----操作系统安全答案说明：网络操作系统（NOS）是网络的心脏和灵魂，是向网络计算机提供服务的特殊的操作系统，常见的有WINDOWSNT，WIN2000。

WIN2003，UNIX，LINUX 等。

4．下哪个安全评估机构为我国计算机安全评估机构？ITSECC.TCSECD.FC答案：A类别：计算机安全标准答案说明：CC为国际标准，TCSEC为美国DOD的标准，FC是对TCSEC的升级。

5．Windows NT提供的分布式安全环境又被称为A.域（Domain）B.工作组C.对等网D.安全网答案：A类别：信息安全技术---操作系统安全答案说明：域是安全边界，域是一个基本管理单位，有单域，树，林的结构。

6．Windows NT中的组策略适用于：A.SB. DC.OUD.S，D，OU答案：D类别：信息安全技术----操作系统安全答案说明：所谓组策略，就是基于组的策略。

它以Windows中的一个MMC管理单元的形式存在，可以帮助系统管理员针对整个计算机或是特定用户来设置多种配置，包括桌面配置和安全配置，可以应用在S：站点；D:域；OU：组织单位7．下面哪一个情景属于身份验证（Authentication）过程A.用户依照系统提示输入用户名和口令B.用户在网络上共享了自己编写的一份Office文档，并设定哪些用户可以阅读，哪些用户可以修改C.用户使用加密软件对自己编写的Office文档进行加密，以阻止其他人得到这份拷贝后看到文档中的内容D.某个人尝试登录到你的计算机中，但是口令输入的不对，系统提示口令错误，并将这次失败的登录过程纪录在系统日志中答案：A类别：信息安全体系答案说明：身份验证又称“验证”、“鉴权”，是指通过一定的手段，完成对用户身份的确认。

注册信息安全专业人员资质认证考试CISP练习题（二）1.下面那些是我们需要在日常工作中需要遵循的道德规范：A. 诚实、公正、负责并合法地行事，保护社会。

B. 勤奋工作，称职服务，推进安全事业。

C. 遵守所有明确或隐含的合同，并给出谨慎的建议。

D. 保持在技术前沿，并且不参与任何可能伤害其他安全从业者声誉的行为。

2.在标准GB9361-88中对机房的安全等级划分正确的是：A. 划分为A、B两级B. 划分为A、B、C三级C. 划分为A、B、C、D四级D. 划分为A、B、C、D、E五级3.在标准GB9361-88中对各级机房都有安全要求的项目，哪项不属于：A. 场地选择B. 防火C. 供配电系统D. 火灾报警及消防措施4.在电磁兼容方面应按照GB9254-1988标准，下面那些是不符合GB9254-1988标准的描述：A. 将设备分为三级B. 将设备分为两级C. 其中A级设备适用于商用及工业环境中使用的设备，保护距离为30m。

D. 其中B级设备适用于家用及住宅去中使用的设备，保护距离为10m。

5.关于SSE-CMM不对的描述是：A. 1993年4月美国国家安全局资助，有安全工业界、美国国防部办公室和加拿大通信安全机构共同组成SSE-CMM项目组。

B. SSE的能力级别分为5级。

C. SSE-CMM将安全工程划分为三个基本过程：风险、工程和保证。

D. SSE的最高能力级别是量化控制。

6.下面那条不属于SSE-CMM中能力级别3“充分定义”级的基本内容：A. 改进组织能力B. 定义标准过程C. 协调安全实施D. 执行已定义的过程7.注册信息安全专业人员（CISP）试题1.《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》中对于三级防护系统中系统建设管理部分的安全方案设计项的要求描述正确的是：A. 应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。

CISP试题及答案-套题————————————————————————————————作者：————————————————————————————————日期：CISP培训模拟考试（二）姓名：单位：1．FTP使用哪个TCP端口？A．21 B.23 C.110 D.532.TACACS(终端访问控制器访问控制系统,AAA认证协议的一种？)使用哪个端口？A．TCP 69 B.TCP 49(TACACS+) C.UDP 69 D.UDP 493.LDAP使用哪个端口？（LDAP轻量目录访问协议，根据目录树的结构给予不同的员工组不同的权限）A．TCP 139 B.TCP 119 C.UDP 139 D.UDP 3894．FINGER服务使用哪个TCP端口？（Finger服务可用于查询用户的信息，包括网上成员的真实姓名、用户名、最近登录时间和地点等，要关闭）A．69 B.119 C.79 D.705．DNS 查询（queries）工具中的DNS服务使用哪个端口？A．UDP 53 B.TCP 23 C.UDP 23 D.TCP 536．在零传输（Zone transfers）中DNS服务使用哪个端口？A．TCP 53 B. UDP 53 C.UDP 23 D. TCP 237．哪个端口被设计用作开始一个SNMP Trap？A．TCP 161 B. UDP 161 C.UDP 162 D. TCP 1698．在C/S环境中，以下哪个是建立一个完整TCP连接的正确顺序？A．SYN，SYN/ACK，ACK B．Passive Open，Active Open，ACK，ACK C．SYN，ACK/SYN，ACK D．Active Open /Passive Open，ACK，ACK9．TCP/IP的通信过程是？A．——SYN/ACK——>，<——ACK，——SYN/ACK——>B．——SYN/ACK——>，<——SYN/ACK——，——ACK——>C．——SYN——>，<——ACK，——SYN——>，<——ACK——D．——SYN——>，<——SYN/ACK——，——ACK——>10．TCP握手中，缩写RST指的是什么？A．Reset B．Response C．Reply State D．Rest11．191.64.12.22是哪类地址？A．A类B．B类C．C类D．D类12．255.0.0.0是哪类网址的默认MASK？A．A类B．B类C．C类D．D类13．255.255.255.0是哪类网址的默认MASK？A．A类B．B类C．C类D．D类14．OSI模型中哪一层最难进行安全防护？A．网络层B．传输层C．应用层D．表示层15．Rlogin在哪个TCP端口运行？A．114 B．513 C．212 D．27116．以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？A．ISO/IEC 7498-2B．BS 7799 C．通用评估准则D．IATF17．SSH的用户鉴别组件运行在OSI的哪一层？A．传输层B．网络层C．会话层D．物理层18．Ethernet MAC地址是多少位？A．36位B．32位C．24位D．48位19．Visa和MasterCard共同开发的用于信用卡交易的安全协议是什么？A．SSL B．SET（安全电子交易协议）C．PPTP D．三重DESSET（secure Electronic Transaction安全电子交易协议)20．互联网的管理是？A．集中式的B．半集中式的C．分布式的D．半分布式的21．互联网目前主要使用以下哪个协议？A．SNA B．DECnet C．TCP/IP D．MAP22．以下哪个是被动攻击的例子？A．通信量分析B．消息修改C．消息延迟D．消息删减23．以下哪个不属于防火墙典型的组件或者功能？A．协议过滤B．应用网关C．扩展的日志容量D．数据包路由24．挑选密码算法最重要应该考虑？A．安全和授权B．速度和专利C．速度和安全D．专利和授权25．下面关于PGP和PEM说法不对的是？A．它们都能加密消息B．它们都能签名C．它们用法一样D．都基于公钥技术26．Kerberos能够防止哪种攻击？A．隧道攻击B．重放攻击C．破坏性攻击D．过程攻击27．以下哪个与电子邮件系统没有直接关系？A．PEM B．PGP C．X.500D．X.40028．对防火墙的描述不对的是？A．防火墙能够执行安全策略B．防火墙能够产生审计日志C．防火墙能够限制组织安全状况的暴露D．防火墙能够防病毒29．下列几个OSI层中，哪一层既提供机密性服务又提供完整性服务？A．数据链路层B．物理层C．应用层?D．表示层30．下列几个OSI层中，哪一层能够提供访问控制服务？A．传输层?B．表示层C．会话层D．数据链路层31．以下哪个是可以用于连接两个或多个局域网最简单的网络装置？A．路由器B．网桥C．网关D．防火墙32．以下哪个是局域网中常见的被动威胁？A．拒绝式服务攻击B．IP欺骗C．嗅探D．消息服务的修改33．下列哪种设备是在OSI的多个层上工作的？A．网桥B．网关C．路由器D．中继器34．“如果任何一条线路坏了，那么只有连在这条线路上的终端受影响。

cisp试题及答案在本文中，我们将提供CISP试题及答案，帮助读者更好地了解和准备CISP考试。

CISP（Certified Information Security Professional）是一个国际认可的信息安全专业资格认证，通过该认证可以证明个人在信息安全领域具备专业的知识与技能。

一、信息安全管理1. 信息安全管理是指对信息资产进行全面管理和保护的过程。

请简要介绍信息安全管理的目标和重要性。

信息安全管理的目标是保护信息资产的机密性、完整性和可用性，防止信息遭受未经授权的访问、损坏和泄露，并确保信息系统的可靠性和稳定性。

信息安全管理对于组织来说至关重要，可以降低信息安全风险，保护客户数据和企业敏感信息，维护业务连续性并遵守法律法规。

2. 请列举并简要介绍ISO/IEC 27001标准中的信息安全管理体系（ISMS）要素。

ISO/IEC 27001标准中的信息安全管理体系包括以下要素：- 上下文分析：了解和评估组织内外部环境，明确信息安全管理体系的范围和目标。

- 领导力承诺：组织领导层需对信息安全提供明确的承诺和支持，并制定相关政策和目标。

- 风险评估：全面识别、评估和管理信息资产的风险，制定相应的风险处理计划。

- 资产管理：对信息资产进行明确定义、分类和管理，包括信息的获取、使用、存储和销毁。

- 安全控制：通过采取适当的技术和管理措施，确保信息资产的安全性、完整性和可用性。

- 人员安全：建立适当的人员安全政策，包括招聘、培训和意识教育，以及离职员工信息的处理。

- 通信与运营管理：确保信息传输和处理的安全性，包括网络安全、供应商管理和监控措施。

- 环境安全：评估和管理物理环境的安全性，包括设备的安全维护和灾难恢复。

- 合规性管理：遵守法律法规和适用的信息安全要求，包括隐私保护和知识产权保护。

二、网络安全1. 阐述网络安全的概念，并列举常见的网络安全威胁。

网络安全主要涉及保护计算机网络和网络连接的安全性，防止网络系统遭受未经授权的访问、攻击和滥用。

CISP考试题21.在RSA算法中，公钥为PU=(e,n),私钥为PR=(d,n),下列正确的是（）A.收发双方均已知nB.收发双方均已知dC.由e和n可以很容易地确定dD.只有接收方已知e2.下列描述中，关于摘要算法描述错误的说法是A.消息摘要算法的主要特征是运算过程不需要秘钥，只有输入相同的明文数据经过相同的消息摘要算法才能得到相同的摘要B.消息摘要算法将一个随机长度的信息生成一个固定长度的信息摘要C.为了保证消息摘要算法安全，必须确保其密钥不被攻击获取，否则所加密数据将被破解，造成信息泄露D.消息摘要算法的一个特点是，输入信息任何微小的变动都将引起加密结果的改变3.目前对消息摘要算法（MD5）,安全哈希算法（SHA1）的攻击是指：A.能够构造出两个不同的消息，这两个消息产生了相同的消息摘要B.对于一个已知的消息，能够构造出一个不同的消息，这两个消息产生了相同的消息摘要C.对于一个已知的消息摘要，能够恢复其原始消息D.对于一个已知的消息，能够构造一个不同的消息摘要，也能够通过验证4.以下哪一项不是工作在网络第二层的隧道协议：A.VTPB.L2FC.PPTPD.L2TP5.如图所示，对客体（），主体S1和S2分别读（R）,写（W）权限。

该图所示的访问控制实现方法是：A.访问控制矩阵B.访问控制表（ACL）C.能力表（CL）D.前缀表（Profiles）6.下列对自住访问控制说法不正确的是：A.自主访问控制允许客体决定主体对该客体的访问权限B.自主访问控制具体较好的灵活性和可扩展性C.自主访问控制可以方便地调整安全策略D.自主访问控制安全性不高，常用于商业系统7.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？A.强制访问控制模型（MAC）B.集中式访问控制（Decentralized Access Control）C.分布式访问控制（Distributed Access Control）D.自主访问控制（DAC）8.按照BLP 模型规则，以下哪种访问不能被授权：A．Bob 的安全级是（机密，{NUC，EUR}），文件的安全级是（机密，{NUC，EUR，AMC}），Bob 请求写该文件B．Bob 的安全级是（机密，{NUC，EUR}），文件的安全级是（机密，{NUC}），Bob 请求读该文件C．Alice 的安全级是（机密，{NUC，EUR}），文件的安全级是（机密，{NUC，US}），Alice请求写该文件D．Alice 的安全级是（机密，{NUC，US}），文件的安全级是（机密，{NUC，US}），Alice 请求读该文件9.以下关于IPSCE VPN技术说法最正确的是？A.IPSCE VPN不能进行NAT穿越B.IPSCE VPN不支持外部单点对内部网络的访问形式C.IPSCE VPN不仅可以认证双方身份还可以对传输的数据进行加密和完整性建设D.IPSCE VPN有三种模式，传输模式、路由模式、通道模式10．下列对网络认证协议（KERBEROS）描述正确的是：A.该协议使用非对称密钥加密机制B.密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成C.该协议完成身份鉴别后将获取用户票据许可票据D.使用该协议不需要时钟基本同步的环境11.鉴别的基本途径有三种：所知，所有和个人特征，以下哪一项不是基于你所知道的。

1.下面关于信息安全保障的说法正确的是：A.信息安全保障的概念是与信息安全的概念同时产生的B.信息系统安全保障要素包括信息的完整性、可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施在系统的生命周期内确保信息的安全属性2.根据《 GB / T20274 信息安全保障评估框架》，对信息系统安全保障能力进行评估应A.信息安全管理和信息安全技术2 个方面进行B.信息安全管理、信息安全技术和信息安全工程3 个方面进行C.信息安全管理、信息安全技术、信息安全工程和人员4 个方面进行D.信息安全管理、信息安全技术、信息安全工程、法律法规和人员5个方面进行3.哪一项不是《 GB / T20274 信息安全保障评估框架》给出的信息安全保障模通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征4.对于信息安全发展历史描述正确的是：A.信息安全的概念是随着计算机技术的广泛应用而诞生的B.目前信息安全己经发展到计算机安全的阶段C.目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程和人员同样是促进系统安全性的重要因素D.我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安全”，再到“信息安全”，直至现在的“信息安全保障”5.ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务A.加密B.数字签名C.访问控制D.路由控制6.表示层7.以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性A.ITSECB.TCSECC.GB/T9387.2D.彩虹系列的橙皮书8.下面对于CC 的“保护轮廓”( PP ）的说法最准确的是：A.对系统防护强度的描述B.对评估对象系统进行规范化的描述C.对一类TOE 的安全需求，进行与技术实现无关的描述D.由一系列保证组件构成的包，可以代表预先定义的保证尺度9.以下哪一项属于动态的强制访问控制模型？A.Bell一Lapudufa 模型B.10.C.Strong star property 处于D.Bell 一Lapadula 模型的访问规则主要是出于对保密性的保护而制定的11.下面对于强制访问控制的说法错误的是？A 它可以用来实现完整性保护，也可以用来实现机密性保护B在强制访问控制的系统中，用户只能定义客体的安全属性C 它在军方和政府等安全要求很高的地方应用较多D 它的缺点是使用中的便利性比较低12.以下哪两个安全模型分别是多级完整性模型和多边保密模型？A.Biba 模型和Bell一Lapadula 模型B.Bell 一Lapaduia 模型和Biba 模型C.Chinese Wall 模型和Bell 一Lapadula 模型D.Biba 模型和Chinese Wall 模型13.在一个使用Chinese Wall 模型建立访问控制的信息系统中，数据W和数据X在一个兴趣冲突域中，数据Y和数据Z在另一个兴趣冲突域中，那么可以确定一个新注册的用户：A.只有访问了W之后，才可以访问XB.只有访问了W之后，才可以访问Y和Z中的一个C.无论是否访问W，都只能访问Y和Z中的一个D.无论是否访问W，都不能访问Y或Z14.BMA访问控制模型是基于A.健康服务网络B.ARPANETC.ISPD.INTERNET15.16.证书持有者的公钥证书颁发机构的签名证书有效期17.下面关于密码算法的说法错误的是？A.分组密码又称作块加密B.流密码又称作序列密码C.DES算法采用的是流密码D.序列密码每次加密一位或一个字节的明文18.下面对于SSH的说法错误的是？A.SSH是Secure Shell的简称B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSHD.SSH2比SSH1更安全19.下面对于标识和鉴别的解释最准确的是：A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性B.标识用于区别不同的用户，而鉴别用于赋予用户权限C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限20.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：A.你是什么B.你有什么C.你知道什么D.你做了什么21.安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的A.辅助辨识和分析未经授权的活动或攻击B.对与己建立的安全策略的一致性进行核查C.及时阻断违反安全策略的访问D.帮助发现需要改进的安全控制措施22.下面哪一项不是通用IDS 模型的组成部分：A.传感器B.过滤器23.24.以下哪一项属于物理安全方面的管理控制措施？A.照明B.护柱C.培训D.建筑设施的材料25.以下哪种不是火灾探测器类型：A.电离型烟传感器B.光电传感器C.声学震动探测系统D.温度传感器26.以下关于事故的征兆和预兆说法不正确的是：A.预兆是事故可能在将来出现的标志B.征兆是事故可能己经发生或正在发生的标志C.预兆和征兆的来源包括网络和主机IDS 、防病毒软件、系统和网络日志D.所有事故的预兆和征兆都是可以发现的27.组织机构应根据事故类型建立揭制策略，需要考虑以下几个因素，除了：A、实施策略需要的时间和资源B、攻击者的动机C、服务可用性D、证据保留的时间28、下面安全套接字层协议（SSL）的说法错误的是？A、它是一种基于Web应用的安全协议B、由于SSL是内嵌的浏览器中的，无需安全客户端软件，所以相对于IPSEC 更简C、SSL与IPSec一样都工作在网络层D、SSL可以提供身份认证、加密和完整性校验的功能29、用来为网络中的主机自动分配IP地址、子网掩码、默认网关、wins服务器地址的网？A、ARPB、IGMPC、ICMPD、DHCP301 下面哪一项不是VPN协议标准：A、L2TPB、ipsecC、TACACS+D、PPTP30、IPSEC的两种使用模式分别是_______和_____A 传输模式、安全壳模式B 传输模式、隧道模式C 隧道模式、ESP模式D 安全壳模式、AH模式31、组成IPSEC的主要安全协议不包括以下哪一项：A 、 ESP B、 DSS C 、 IKE D、 AH32、在UNIX系统中输入命令“LS-al test”显示如下;-rwxr-xr-x 3 root root 1024 Sep 13 11:58 test”对他的含义解释错误的是：A、这是一个文件，而不是目录B、文件的拥有者可以对这个文件读、写和执行的操作C、文件所属组的成员有可以读它，也可以执行它D、其他所有用户只可以执行它33、计算机具有的IP地址是有限的，但通常计算机会开启多项服务或运行多个应用程序，那么如何在网络通信中对这些程序或服务进行单独标识？A 分配网络端口号（如ftp服务对应21端口）B 利用MAC地址C 使用子网掩码D 利用PKI/CA34、Apache Web 服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache 目录的配置文件是：A httpd.confB srm.confC inetd.confD access.conf35、下面哪一项是操作系统中可信通路（trust path）机制的实例？A Window系统中ALT+CTRL+DELB root在Linux系统上具有绝对的权限C 以root身份作任何事情都要谨慎D 控制root用户的登录可以在/etc/security目录下的access.conf文件中进行设置36、以下对Windows服务的说法错误的是（）A 为了提升系统的安全性管理员应尽量关闭不需要的服务B Windows服务只有在用户成功登录系统后才能运行C 可以作为独立的进程运行或以DLL的形式依附在Svchost.exeD windows服务通常是以管理员的身份运行的37、以下哪一项不是IIS服务器支持的访问控制过滤类型？A 网络地址访问控制B web服务器许可C NTFS许可D 异常行为过滤38、下列哪一项与数据库的安全有直接关系？A 访问控制的粒度B 数据库的大小C 关系表中属性的数量D 关系表中元组的数量39、下列哪一组Oracle数据库的默认用户名和默认口令？A 用户名：“Scott”；口令：“tiger”B 用户名：“Sa”；口令：“nullr”C 用户名：“root”；口令：“null”D 用户名：“admin”；口令：“null”40、关于数据库安全的说法错误的是？A 数据库系统的安全性很大程度上依赖于DBMS的安全机制B 许多数据库系统在操作系统一下文件形式进行管理，因此利用操作系统漏洞可以窃取数据库文件C 为了防止数据库中的信息被盗取，在操作系统层次对文件进行加密是唯一从根本上解决问题的手段D 数据库的安全需要在网络系统、操作系统和数据库管理系统三个方面进行保护42、下面关于计算机恶意代码发展趋势的说法错误的是：A 木马和病毒盗窃日益猖獗B 利用病毒犯罪的组织性和趋利性增加C综合利用多种编程新技术、对抗性不断增加 D 复合型病毒减少，而自我保护功能增加43、关于网页中的恶意代码，下列说法错误的是：A 网页中的恶意代码只能通过IE浏览器发挥作用B 网页中恶意代码可以修改系统注册表C 网页中的恶意代码可以修改系统文件D 网页中的恶意代码可以窃取用户的机密性文件44、下面对于“电子邮件炸弹”的解释最准确的是：A 邮件正文中包含的恶意网站链接B 邮件附件中具有强破坏性的病毒C 社会工程的一种方式，具有恐吓内容的邮件D 在短时间内发送大量邮件软件，可以造成目标邮箱爆满45、以下哪一项是常见Web站点脆弱性扫描工具：A SnifferB NmapC AppscanD LC46、下面哪一项不是安全编程的原则A 尽可能使用高级语言进行编程B 尽可能让程序只实现需要的功能C 不要信任用户输入的数据D 尽可能考虑到意外的情况，并设计妥善的处理方法47、黑客进行攻击的最后一个步骤是：A 侦查与信息收集B 漏洞分析与目标选定C 获取系统权限D 打扫战场、清楚证据48、下面哪一项是缓冲溢出的危害？A 可能导致shellcode的执行而非法获取权限，破坏系统的保密性B 执行shellcode后可能进行非法控制，破坏系统的完整性C 可能导致拒绝服务攻击，破坏系统的可用性D 以上都是49、以下哪一项是DOS攻击的一个实例A SQL注入B IP SpoofC Smurf攻击D 字典破解50、以下对于蠕虫病毒的错误说法是（）A 通常蠕虫的传播无需用户的操作B 蠕虫病毒的主要危害体现在对数据保密的破坏C 蠕虫的工作原理与病毒相似，除了没有感染文件D 是一段能不以其他程序为媒介，从一个电脑系统复制到另一个电脑系统51、以下哪一项不是跨站脚本攻击？A 给网站挂马B 盗取COOKIEC 伪造页面信息D 暴力破解密码52.对能力成熟度模型解释最准确的是？A．它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。

CISP试题及答案-套题————————————————————————————————作者：————————————————————————————————日期：CISP培训模拟考试（二）姓名：单位：1．FTP使用哪个TCP端口？A．21 B.23 C.110 D.532.TACACS(终端访问控制器访问控制系统,AAA认证协议的一种？)使用哪个端口？A．TCP 69 B.TCP 49(TACACS+) C.UDP 69 D.UDP 493.LDAP使用哪个端口？（LDAP轻量目录访问协议，根据目录树的结构给予不同的员工组不同的权限）A．TCP 139 B.TCP 119 C.UDP 139 D.UDP 3894．FINGER服务使用哪个TCP端口？（Finger服务可用于查询用户的信息，包括网上成员的真实姓名、用户名、最近登录时间和地点等，要关闭）A．69 B.119 C.79 D.705．DNS 查询（queries）工具中的DNS服务使用哪个端口？A．UDP 53 B.TCP 23 C.UDP 23 D.TCP 536．在零传输（Zone transfers）中DNS服务使用哪个端口？A．TCP 53 B. UDP 53 C.UDP 23 D. TCP 237．哪个端口被设计用作开始一个SNMP Trap？A．TCP 161 B. UDP 161 C.UDP 162 D. TCP 1698．在C/S环境中，以下哪个是建立一个完整TCP连接的正确顺序？A．SYN，SYN/ACK，ACK B．Passive Open，Active Open，ACK，ACK C．SYN，ACK/SYN，ACK D．Active Open /Passive Open，ACK，ACK9．TCP/IP的通信过程是？A．——SYN/ACK——>，<——ACK，——SYN/ACK——>B．——SYN/ACK——>，<——SYN/ACK——，——ACK——>C．——SYN——>，<——ACK，——SYN——>，<——ACK——D．——SYN——>，<——SYN/ACK——，——ACK——>10．TCP握手中，缩写RST指的是什么？A．Reset B．Response C．Reply State D．Rest11．191.64.12.22是哪类地址？A．A类B．B类C．C类D．D类12．255.0.0.0是哪类网址的默认MASK？A．A类B．B类C．C类D．D类13．255.255.255.0是哪类网址的默认MASK？A．A类B．B类C．C类D．D类14．OSI模型中哪一层最难进行安全防护？A．网络层B．传输层C．应用层D．表示层15．Rlogin在哪个TCP端口运行？A．114 B．513 C．212 D．27116．以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？A．ISO/IEC 7498-2B．BS 7799 C．通用评估准则D．IATF17．SSH的用户鉴别组件运行在OSI的哪一层？A．传输层B．网络层C．会话层D．物理层18．Ethernet MAC地址是多少位？A．36位B．32位C．24位D．48位19．Visa和MasterCard共同开发的用于信用卡交易的安全协议是什么？A．SSL B．SET（安全电子交易协议）C．PPTP D．三重DESSET（secure Electronic Transaction安全电子交易协议)20．互联网的管理是？A．集中式的B．半集中式的C．分布式的D．半分布式的21．互联网目前主要使用以下哪个协议？A．SNA B．DECnet C．TCP/IP D．MAP22．以下哪个是被动攻击的例子？A．通信量分析B．消息修改C．消息延迟D．消息删减23．以下哪个不属于防火墙典型的组件或者功能？A．协议过滤B．应用网关C．扩展的日志容量D．数据包路由24．挑选密码算法最重要应该考虑？A．安全和授权B．速度和专利C．速度和安全D．专利和授权25．下面关于PGP和PEM说法不对的是？A．它们都能加密消息B．它们都能签名C．它们用法一样D．都基于公钥技术26．Kerberos能够防止哪种攻击？A．隧道攻击B．重放攻击C．破坏性攻击D．过程攻击27．以下哪个与电子邮件系统没有直接关系？A．PEM B．PGP C．X.500D．X.40028．对防火墙的描述不对的是？A．防火墙能够执行安全策略B．防火墙能够产生审计日志C．防火墙能够限制组织安全状况的暴露D．防火墙能够防病毒29．下列几个OSI层中，哪一层既提供机密性服务又提供完整性服务？A．数据链路层B．物理层C．应用层?D．表示层30．下列几个OSI层中，哪一层能够提供访问控制服务？A．传输层?B．表示层C．会话层D．数据链路层31．以下哪个是可以用于连接两个或多个局域网最简单的网络装置？A．路由器B．网桥C．网关D．防火墙32．以下哪个是局域网中常见的被动威胁？A．拒绝式服务攻击B．IP欺骗C．嗅探D．消息服务的修改33．下列哪种设备是在OSI的多个层上工作的？A．网桥B．网关C．路由器D．中继器34．“如果任何一条线路坏了，那么只有连在这条线路上的终端受影响。

CISP信息安全技术章节练习二一、单选题。

(共100题,共100分,每题1分)1. 入侵防御系统（IPS）是继入侵检测系统（IDS）后发展期出来的一项新的安全技术，它与IDS有着许多不同点。

请指出下列哪一项描述不符合IPS的特点？a、串接到网络线路中b、对异常的进出流量可以直接进行阻断c、有可能造成单点故障d、不会影响网络性能最佳答案是:d2. 以下关于模糊测试过程的说法正确的是：a、模糊测试的效果与覆盖能力，与输入样本选择不相关b、为保障安全测试的效果和自动化过程，关键是将发现的异常进行现场保护记录，系统可能无法恢复异常状态进行后续的测试c、通过异常样本重现异常，人工分析异常原因，判断是否为潜在的安全漏洞，如果是安全漏洞，就需要进一步分析其危害性.影响范围和修复建议d、对于可能产生的大量异常报告，需要人工全部分析异常报告最佳答案是:c3. 某单位门户网站开发完成后，测试人员使用模糊测试进行安全性测试，以下关于模糊测试过程的说法正确的是：a、模拟正常用户输入行为，生成大量数据包作为测试用例b、数据处理点.数据通道的入口点和可信边界点往往不是测试对象c、监测和记录输入数据后程序正常运行的情况d、深入分析网站测试过程中产生崩溃或异常的原因，必要时需要测试人员手工重现并分析最佳答案是:a4. 某网站为了开发的便利，SA连接数据库，由于网站脚本中被发现存在SQL注入漏洞，导致攻击者利用内置存储过程xp_cmdshell删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：a、权限分离原则b、最小特权原则c、保护最薄弱环节的原则d、纵深防御的原则最佳答案是:b5. 下面哪个模型和软件安全开发无关（）？a、微软提出的“安全开发生命周期（Security Development Lifecycle,SDL）”b、Gray McGraw等提出的“使安全成为软件开发必须的部分（Building Security IN，BSI）”c、OWASP维护的“软件保证成熟度模型（Software Assurance Maturity Mode,SAMM）”d、美国提出的“信息安全保障技术框架（Information Assurance Technical Framework，IATF）”最佳答案是:d6. 如下哪一种情况下，网络数据管理协议（NDMP）可用于备份？a、需要使用网络附加存储设备（NAS）时b、不能使用TCP/IP的环境中c、需要备份旧的备份系统不能处理的文件许可时d、要保证跨多个数据卷的备份连续、一致时最佳答案是:a7. 关于恶意代码，以下说法错误的是：a、从传播范围来看，恶意代码呈现多平台传播的特征。