下载文档原格式
信息安全风险管理考试试卷（答案见尾页）一、选择题1. 信息安全风险管理的核心是什么？A. 风险评估B. 风险控制C. 风险监测D. 风险评估与控制2. 在信息安全风险管理中，以下哪个流程是最后一步？A. 风险识别B. 风险评估C. 风险监控D. 风险响应3. 信息安全风险管理中，以下哪个不是风险分析的方法？A. 定性分析B. 定量分析C. 定性与定量结合D. 风险矩阵4. 信息安全风险管理中，以下哪个不是风险等级划分的依据？A. 影响程度B. 业务影响C. 保密性D. 可控性5. 信息安全风险管理中，以下哪个不是风险控制的目标？A. 减少风险B. 移除风险C. 接受风险6. 信息安全风险管理中，以下哪个不是风险监控的目的？A. 跟踪风险变化B. 指导风险应对措施C. 分析风险趋势D. 统计风险事件7. 信息安全风险管理中，以下哪个不是风险响应策略？A. 避免风险B. 转移风险C. 接受风险D. 应对风险8. 信息安全风险管理中，以下哪个不是风险评估的方法？A. 信息收集B. 数据分析C. 漏洞扫描D. 风险评估会议9. 信息安全风险管理中，以下哪个不是风险控制的措施？A. 安装防火墙B. 加密技术C. 访问控制D. 定期备份数据10. 信息安全风险管理中，以下哪个不是风险管理的原则？A. 经济性B. 及时性C. 全面性D. 灵活性11. 信息安全风险管理的核心是什么？B. 风险控制C. 风险监测D. 风险识别12. 在信息安全风险管理中，以下哪个步骤不是必须的？A. 风险评估B. 风险处理C. 风险监控D. 风险接受13. 以下哪个因素不属于信息安全风险的特点？A. 可预见性B. 客观性C. 合规性D. 必然性14. 信息安全风险管理中，低影响和高可能性的风险通常被称为什么？A. 微风险B. 低风险C. 中风险D. 高风险15. 在信息安全风险管理中，预防控制措施的目的是什么？A. 减少风险的可能性B. 减少风险的影响C. 提高风险意识D. 增加风险事件16. 以下哪个选项不属于信息安全风险评估的三个阶段？A. 风险识别B. 风险分析C. 风险评价17. 信息安全风险管理中，如何衡量风险的大小？A. 根据风险的来源B. 根据风险的影响和发生概率C. 根据风险的历史数据D. 根据风险的管理成本18. 在信息安全风险管理中，应对策略通常包括哪些方面？A. 风险避免B. 风险减轻C. 风险转移D. 风险接受19. 信息安全风险管理中，风险事件发生的可能性和影响程度分别是什么？A. 影响程度B. 发生概率C. 风险等级D. 风险评分20. 信息安全风险管理中，如何制定有效的安全策略？A. 建立健全的安全制度B. 提高员工的安全意识C. 采用先进的技术手段D. 组织定期的安全审计和检查21. 信息安全风险管理的核心是什么？A. 风险评估B. 风险控制C. 风险监测D. 风险识别22. 在信息安全风险管理中，以下哪个流程是“按顺序进行”的？A. 风险识别 - 风险评估 - 风险监控 - 风险控制B. 风险识别 - 风险评估 - 风险控制 - 风险监控C. 风险评估 - 风险识别 - 风险控制 - 风险监控D. 风险评估 - 风险识别 - 风险监控 - 风险控制23. 以下哪个不是信息安全风险评估的方法？A. 定量风险评估B. 定性风险评估C. 基于角色的风险评估D. 基于场景的风险评估24. 在信息安全风险管理中，以下哪个不是风险控制策略？A. 风险避免B. 风险转移C. 风险接受D. 风险减轻25. 信息安全风险管理中，以下哪个工具或技术用于评估风险？A. SWOT分析B. 概率论C. 数据分析D. 风险矩阵26. 以下哪个不是信息安全风险管理的三个层次？A. 个人安全B. 组织安全C. 项目安全D. 安全架构27. 在信息安全风险管理中，以下哪个术语指的是对风险的可能性和影响进行评估的过程？A. 风险识别B. 风险评估C. 风险监控D. 风险控制28. 信息安全风险管理中，以下哪个策略用于减少风险到可接受水平？A. 风险避免B. 风险减轻C. 风险转移D. 风险接受29. 以下哪个不是信息安全风险评估的输入？A. 组织方针B. 相关法律C. 以往的安全事件D. 风险管理计划30. 在信息安全风险管理中，以下哪个术语用于描述风险发生的可能性和影响的组合？A. 风险矩阵B. 风险评级C. 风险因素D. 风险容忍度31. 信息安全风险管理的核心是什么？A. 风险评估B. 风险控制C. 风险监测D. 风险识别32. 在信息安全风险管理中，以下哪个流程是“预防措施”？A. 事件响应计划B. 风险评估C. 安全培训D. 数据加密33. 以下哪个选项不是信息安全风险评估的一部分？B. 威胁识别C. 影响分析D. 残余风险分析34. 当发生安全事件时，以下哪个步骤是“事件响应”？A. 修复受损系统B. 更新安全策略C. 通知相关方D. 重建受损系统35. 信息安全风险管理中，以下哪个不是风险分析的方法？A. 定性分析B. 定量分析C. 定级分类D. 风险矩阵36. 以下哪个因素不是影响信息安全的风险因素？A. 人为错误B. 自然灾害C. 技术故障D. 设备老化37. 在信息安全风险管理中，以下哪个术语指的是对可能发生的风险的评估？A. 风险评估B. 风险识别C. 风险监控D. 风险控制38. 以下哪个选项不是风险管理的三个层次？A. 组织层B. 业务层C. 技术层39. 信息安全风险管理中，以下哪个不是风险控制的方法？A. 防火墙配置B. 定期备份数据C. 安全审计D. 强制访问控制40. 以下哪个选项不是信息安全风险评估的步骤？A. 风险识别B. 风险评估C. 风险监控D. 风险控制二、问答题1. 信息安全风险管理的定义是什么？2. 信息安全风险评估的目的什么？3. 信息安全风险管理的流程包括哪些步骤？4. 如何进行信息安全风险评估？5. 信息安全风险处理的方法有哪些？6. 信息安全风险监控的目的是什么？7. 如何提高信息安全风险管理能力？8. 信息安全风险管理在信息安全管理体系中的作用是什么？参考答案选择题：1. D2. D3. D4. C5. B6. D7. A8. D9. D 10. D11. D 12. D 13. A 14. A 15. B 16. D 17. B 18. ABCD 19. AB 20. ABCD21. A 22. B 23. C 24. A 25. D 26. A 27. B 28. B 29. D 30. A31. D 32. C 33. D 34. A 35. C 36. B 37. A 38. D 39. D 40. D问答题：1. 信息安全风险管理的定义是什么？信息安全风险管理的定义是为了保护信息系统的安全，通过一系列的风险评估、风险处理和风险监控措施，降低信息安全事件发生的概率和影响。
中国石化2014年信息技术安全竞赛区域选拔赛笔试试卷（样题）第一部分基础部分一、单选题（每题0.5分，共10题，合计5分）1.以下那个最不适合由数据库管理员来负责？（）A.数据管理B.信息系统管理C.系统安全D.信息系统规划2.一个公司经常修正其生产过程。
从而造成对处理程序可能会伴随一些改动。
下列哪项功能可以确保这些改动的影响处理过程，保证它们对系统的影响风险最小？（）A．安全管理 B.变更控制 C．问题追踪 D．问题升级程序3.根据《信息安全等级保护管理办法》，（）应当依照相关规范和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。
A．公安机关 B．国家保密工作部门 C．国家密码管理部门 D．信息系统的主管部门4.事件响应方法学定义了安全事件处理的流程，这个流程的顺序是：（）A.准备－抑制－检测－根除－恢复－跟进B.准备－检测－抑制－恢复－根除－跟进C.准备－检测－抑制－根除－恢复－跟进D.准备－抑制－根除－检测－恢复－跟进5.机构应该把信息系统安全看作：（）A.业务中心B.风险中心C.业务促进因素D.业务抑制因素6.谁应该承担决定信息系统资源所需的保护级别的主要责任？（）A.信息系统安全专家B.业务主管C.安全主管D.系统审查员7.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：（）A.系统管理员B.律师C.恢复协调员D. 硬件和软件厂商8.计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的_______，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的______等因素确定。
（）A.经济价值经济损失B.重要程度危害程度C.经济价值危害程度D. 重要程度经济损失9.以下哪种方式不能提升企业社交的安全性？（）A.统一身份认证B.消息的监控和管理C.发布企业社交应用程序D.基于角色的访问控制10.以下哪个选项不属于针对智能手机、平板电脑等移动设备的安全管理：（）A.设备远程擦除B.密码强制策略C. 应用程序分发D.访问权限控制二、不定向选择题（每题1.5分，共8题，合计12分；少选得0.5分，多选不得分）1.职责分离是信息安全管理的一个基本概念。
2014广西公需科目信息技术与信息安全考试试卷4考试时间：150分钟总分：100分1.(2分) GSM是第几代移动通信技术?（B ）A. 第三代B. 第二代C. 第一代D. 第四代2.(2分) 无线局域网的覆盖半径大约是（A ）。
A. 10m~100mB. 5m~50mC. 8m~80mD. 15m~150m3.(2分) 恶意代码传播速度最快、最广的途径是（C ）。
A. 安装系统软件时B. 通过U盘复制来传播文件时C. 通过网络来传播文件时D. 通过光盘复制来传播文件时4.(2分) 以下关于智能建筑的描述，错误的是（A ）。
A. 随着建筑智能化的广泛开展，我国智能建筑市场已接近饱和。
B. 智能建筑能为用户提供一个高效、舒适、便利的人性化建筑环境。
C. 建筑智能化已成为发展趋势。
D. 智能建筑强调用户体验，具有内生发展动力。
5.(2分) 广义的电子商务是指（B）。
A. 通过互联网在全球范围内进行的商务贸易活动B. 通过电子手段进行的商业事务活动C. 通过电子手段进行的支付活动D. 通过互联网进行的商品订购活动6.(2分) 证书授权中心（CA）的主要职责是（C）。
A. 颁发和管理数字证书B. 进行用户身份认证C. 颁发和管理数字证书以及进行用户身份认证D. 以上答案都不对7.(2分) 以下关于编程语言描述错误的是（B）。
A. 高级语言与计算机的硬件结构和指令系统无关，采用人们更易理解的方式编写程序，执行速度相对较慢。
B. 汇编语言适合编写一些对速度和代码长度要求不高的程序。
C. 汇编语言是面向机器的程序设计语言。
用助记符代替机器指令的操作码，用地址符号或标号代替指令或操作数的地址，一般采用汇编语言编写控制软件、工具软件。
D. 机器语言编写的程序难以记忆，不便阅读和书写，编写程序难度大。
但具有运行速度极快，且占用存储空间少的特点。
8.(2分) 云计算根据服务类型分为（A ）。
A. IAAS、PAAS、SAASB. IAAS、CAAS、SAASC. IAAS、PAAS、DAASD. PAAS、CAAS、SAAS9.(2分) 统一资源定位符是（A ）。
一、单项选择1、Cp是理想过程能力指数，Cpk是实际过程能力指数，以下（）是正确的。
A、Cp＞CpkB、Cp＜CpkC、Cp≤CpkD、Cp≥Cpk2、信息安全是保证信息的保密性、完整性、（）。
A、充分性B、适宜性C、可用性D、有效性3、应为远程工作活动制定：开发和实施策略、（）和规程。
A、制定目标B、，明确职责C、编制作业指导书D、操作计划4、一个信息安全事件由单个的或一系列的有害或一系列（）信息安全事态组成，它们具有损害业务运行和威胁信息安全的极大可能性。
A、已经发生B、可能发生C、意外D、A+B+C5、根据《互联网信息服务管理办法》规定，国家对经营性互联网信息服务实行（）。
A、国家经营B、地方经营C、许可制度D、备案制度6、以下说法不正确的是（）A、应考虑组织架构与业务目标的变化对风险评估结果进行再评审B、应考虑以往未充分识别的威胁对风险评估结果进行再评估C、制造部增加的生产场所对信息安全风险无影响D、安全计划应适时更新7、组织在建立和评审信息安全管理体系时，应考虑（）A、风险评估的结果B、管理方案C、法律、法规和其他要求D、A+C8、管理体系是指（）。
A、建立方针和目标并实现这些目标的体系B、相互关联的相互作用的一组要素C、指挥和控制组织的协调活动D、以上都对9、风险评价是指（）A、系统地使用信息来识别风险来源和评估风险B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C、指导和控制一个组织相关风险的协调活动D、以上都对10、以下属于计算机病毒感染事件的纠正预防措施的是（）A、对计算机病毒事件进行相应调查和处理B、将感染病毒的计算机从网络隔离C、对相关责任人进行处罚D、以上都不对11、监督、检查、指导计算机信息系统安全保护工作是（）对计算机信息系统安全保护履行法定职责之一A、电信管理机构B、公安机关C、国家安全机关D、国家保密局12、国家秘密的密级分为（）A、绝密B、机密C、秘密D、以上都对13、《信息安全等级保护管理办法》规定，应加强涉密信息系统运行中的保密监督检查。
信息安全基础(习题卷17)第1部分：单项选择题，共61题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]江泽民主席指出信息战的主要形式是( )A)电子战和计算机网络战B)信息攻击和网络攻击C)系统破坏和信息破坏答案:A解析:2.[单选题]风险评价是指( )A)系统地使用信息来识别风险来源和评估风险B)将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C)指导和控制一个组织相关风险的协调活动D)以上都对答案:B解析:3.[单选题]下面哪一种攻击方式最常用于破解口令？A)哄骗( spoofing)B)字典攻击(dictionary attack)C)拒绝服务(DoS)D)WinNuk答案:B解析:4.[单选题]WINDOWS有三种类型的事件日志，分别是 ( )A)系统日志、应用程序日志、安全日志B)系统日志、应用程序日志、DNS日志C)安全日志、应用程序日志、事件日志D)系统日志、应用程序日志、事件日志答案:A解析:5.[单选题]下列文件类型中，感染木马可能性最小的是（ ）。
( 本题1分)A)exe文件B)txt文件C)doc文件D)ppt文件答案:B解析:6.[单选题]分级保护针对的是涉密信息系统，划分等级不包括？ ( )A)秘密B)机密7.[单选题]为检测某单位是否存在私建web系统，可用如下工具对该公司网段的80端口进行扫描（）A)WVSB)burpsuiteC)nmapD)sqlmap答案:C解析:8.[单选题]U盘病毒顾名思义就是通过U盘传播的病毒。
发现U盘带有该病毒后，比较彻底的清除方式是：A)用查毒软件处理B)删除U盘上的所有文件C)格式化U盘-D)用杀毒软件处理答案:C解析:病毒的清除方式。
9.[单选题]（）是参与企业运营的独立存在的业务对象，会随着业务部门的需求变化而不断修编，在此演变过程中有可能导致其对象的增减。
A)主数据B)人C)计算机D)以上都是答案:A解析:10.[单选题]下列哪个不是《中华人民共和国密码法》中密码的分类?（ ）A)核心密码B)普通密码C)国家密码D)商用密码答案:C解析:11.[单选题]关于nslookup命令描述不正确的是？( )[]*A)nslookup是DNS的排错工具。
2025年软件资格考试信息安全工程师(基础知识、应用技术)合卷(中级)自测试卷(答案在后面)一、基础知识（客观选择题，75题，每题1分，共75分）1、信息安全的基本要素包括哪些？2、什么是安全协议？请列举两种常见的安全协议。
3、题干：以下关于密码学的说法中，错误的是：A、密码学是研究如何保护信息不被未授权者获取和利用的学科。
B、密码体制分为对称密码体制和非对称密码体制。
C、哈希函数可以保证数据的完整性和一致性，但不能保证数据的机密性。
D、数字签名可以用来验证信息的完整性和身份认证。
4、题干：在信息安全领域，以下哪项技术不属于入侵检测系统（IDS）的检测方法？A、异常检测B、签名检测C、漏洞扫描D、访问控制5、以下关于密码学的描述，不正确的是（）A. 加密算法根据密钥的长度可以分为对称密钥算法和非对称密钥算法。
B. 公钥密码学中，公钥和私钥是一对密钥，公钥可以公开，私钥必须保密。
C. 密钥管理是密码学中非常重要的环节，包括密钥的生成、存储、分发、使用和销毁。
D. 加密技术可以保证数据在传输过程中的安全性，但无法保证数据在存储过程中的安全性。
6、以下关于信息安全风险评估的说法，错误的是（）A. 信息安全风险评估是识别、分析和评估组织面临的信息安全威胁、脆弱性和潜在影响的系统性过程。
B. 信息安全风险评估的目的是为了确定组织在信息安全方面的风险程度，为风险控制提供依据。
C. 信息安全风险评估的方法包括定性和定量两种。
D. 信息安全风险评估的结果通常包括风险等级、风险事件和风险控制措施。
7、下列哪种技术不属于密码学的基本技术？A. 对称加密B. 非对称加密C. 量子加密D. 零知识证明8、在信息安全领域，以下哪种威胁类型不属于网络攻击？A. 网络钓鱼B. 拒绝服务攻击（DoS）C. 系统漏洞D. 硬件故障9、以下哪种加密算法是分组加密算法？A. RSAB. DESC. SHA-256D. MD5 10、在信息安全中，以下哪种安全协议用于在两个通信实体之间建立加密隧道，以确保数据传输的安全性？A. SSL/TLSB. IPsecC. PGPD. FTPS11、题干：以下关于密码学中公钥密码体制的描述，不正确的是：A. 公钥密码体制使用两个密钥，一个公钥用于加密，一个私钥用于解密。
信息安全数学基础期末考试试卷及答案( A 卷)一、填空题(本大题共8小题，每空2分，共24分)1.两个整数a，b，其最大公因数和最小公倍数的关系为。
2.给定一个正整数m，两个整数a,b 叫做模m 同余，如果________ ，记作a b(mod m) ；否则，叫做模m 不同余，记作 _________ 。
3.设m，n 是互素的两个正整数，则(mn) ____________________________________________ 。
e4.设m 1是整数，a 是与m互素的正整数。
则使得a e 1(mod m)成立的最小正整数e叫做a对模m的指数，记做。
如果a 对模m的指数是(m)，则a 叫做模m 的__________ 。
5.设n 是一个奇合数，设整数b 与n 互素，如果整数n 和b 满足条件__________________ ，则n 叫做对于基b 的拟素数。
6.设G,G 是两个群，f 是G 到G 的一个映射。
如果对任意的a,b G ，都有 _______________ ，那么f 叫做G 到G 的一个同态。
7.加群Z 的每个子群H 都是______________ 群，并且有H 0 或H ___________________ 。
8.我们称交换环R为一个域，如果R对于加法构成一个群，R* R\{0}对于乘法构成一个 _____ 群。
二、计算题 (本大题共3小题，每小题8分，共24分)1. 令a 1613, b 3589 。
用广义欧几里德算法求整数s,t ，使得sa t b ( ,a )。
b22. 求同余方程x2 2(mod 67) 的解数。
3. 计算3 模19 的指数ord19(3) 。
三、解同余方程 (本大题共2小题，每小题10分，共20分)1. 求解一次同余方程17x 14(mod 21) 。
x 2(mod 3)2. 解同余方程组x 3(mod 5)x 2(mod 7)四、证明题（本大题共3小题，每小题7分，共211. 证明：如果a是整数，则a3 a 能够被6整除。
2025年软件资格考试信息安全工程师(基础知识、应用技术)合卷(中级)模拟试卷(答案在后面)一、基础知识（客观选择题，75题，每题1分，共75分）1、在信息安全领域，以下哪个标准是关于密码技术的？A. ISO 27001B. NIST SP 800-53C. ITILD. COBIT2、以下哪个加密算法属于对称加密算法？A. RSAB. AESC. DESD. SHA-2563、数据加密技术基础题目：数字加密算法中最著名的是哪一种，并简述其工作原理。
4、访问控制模型题目：在计算机安全领域，哪种访问控制模型是基于“用户无权访问数据”的原则？5、信息安全的基本概念•题目：信息安全的主要目标是什么？6、常见的信息安全威胁•题目：以下哪些属于常见的信息安全威胁？（多选）• A. 黑客攻击• B. 病毒感染• C. 分布式拒绝服务攻击（DDoS）• D. 数据备份不足7、计算机网络体系结构题目：在OSI模型中，哪一层负责在相互通信的系统中建立、管理和终止会话？A. 表示层B. 会话层C. 传输层D. 网络层8、数据加密技术题目：在下列哪种加密算法中，加密密钥和解密密钥是相同的？A. 对称加密算法B. 非对称加密算法C. 散列函数D. 哈希算法9、关于信息安全管理的原则，以下哪项描述是错误的？选项：A. 确保信息系统的完整性和可靠性B. 对所有的信息和系统进行全面监控C. 对信息的访问实施严格的访问控制D. 无需考虑物理安全因素 10、关于数据库安全的说法，以下哪项是正确的？选项：A. 数据库安全只涉及到数据的保密性和完整性B. 数据库管理员不需要对用户进行权限管理C. 数据库系统本身可以自动防止SQL注入攻击D. 数据库安全是信息安全领域的一个重要组成部分11、下列关于网络安全的描述中，正确的是：A. 网络攻击者可以通过嗅探技术获取数据包内容B. 网络管理员可以随意更改网络设备的配置信息C. 加密技术可以提高数据的安全性，防止未授权访问D. 防火墙是一种被动防御机制，只能阻止外部攻击12、下列关于网络安全的措施中，错误的是：A. 使用强密码并定期更新B. 不使用公共Wi-Fi进行敏感操作C. 在多个设备上安装相同的软件D. 对电子邮件附件进行病毒扫描13、计算机网络中，加密的主要目的是什么？它通常涉及哪些技术？14、在操作系统中，哪些安全策略或措施可以用来提高系统的安全性？请列举至少三个并简要说明其作用。
信息安全基础(习题卷11)第1部分：单项选择题，共152题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]下列关于移动存储介质管理的说法，错误的是（ ）。
A)移动存储介质不仅包括U盘，还包括移动硬盘、光盘、手机等可存储数据的介质B)使用移动存储介质给工作带来方便，也不会造成信息安全风险的问题C)将移动存储介质借予他人使用，有可能造成信息泄漏风险答案:B解析:移动存储介质主要包括Ｕ 盘、移动硬盘、可刻录光盘、手机/MP3/MP4/MD/SD 卡，以及各类FlasDisk产品等。
U 盘、移动硬盘等移动存储设备由于使用灵活、方便，迅速得到普及，而且其储存容量也越来越大。
移动存储介质在使用便利的同时，也给单位机密资料外泄带来严重的隐患和不可估量的危害。
为保证内部网络的安全， 应该对移动存储介质进行全面的管理。
2.[单选题]防火墙是一个( )A)分离器、限制器、分析器B)隔离器、控制器、分析器C)分离器、控制器、解析器答案:A解析:3.[单选题]某业务系统存在跨站脚本攻击漏洞，以下哪项不是跨站脚本攻击带来的直接危害。
A)修改网站页面B)删除网站页面C)获取用户COOKIE信息D)在网站页面挂马答案:B解析:4.[单选题]ATM机是我们日常存取现金都会接触的设备，以下关于ATM机的说法正确的是A)所有ATM机运行的都是专业操作系统，无法利用公开漏洞进行攻击，非常安全B)ATM机可能遭遇病毒侵袭C)ATM机无法被黑客通过网络进行攻击D)ATM机只有在进行系统升级时才无法运行，其他时间不会出现蓝屏等问题。
答案:B解析:5.[单选题]以下哪一种行为不属于违反国家保密规定的行为。
A)将涉密计算机、涉密存储设备接入互联网及其他公共信息网络B)通过普通邮政等无保密措施的渠道传递国家秘密载体C)在私人交往中涉及国家秘密D)以不正当手段获取商业秘密答案:D解析:C)更换泄露的密钥D)杀毒答案:D解析:7.[单选题]建立ISMS体系的目的,是为了充分保护信息资产并给予( )信心A)相关方B)供应商C)顾客D)上级机关答案:A解析:8.[单选题]下面哪项能够提供更好的安全认证功能。
信息安全竞赛初赛试卷（信息安全基础部份）姓名单位部门岗位毕业院校专业阅卷人核查人成绩说明：（1）本试卷分为单选题（合计40道题，每小题1分）、多选题（15道题，每小题2分）、简答题（2道题，每题10分）（2）单选题答错不扣分；多选题只有全数选对得满分，漏答或错误不给分；一、单选题：1、2021年《国家信息化领导小组关于增强信息安全保障工作的意见》明确了（）的信息安全保障责任制。
A、由单位（部门）领导负责B、由计算机安全管理人员负责C、由项目负责人负责D、谁主管谁负责，谁运营谁负责2、信息系统设计和开发安全管理是信息系统开发与保护中的一部份，关注的是（）中的安全问题A、系统设计结果B、信息系统计划C、信息系统全生命周期D、信息系统开发初期3、信息资产安全管理的主要工具是（）A、信息资产的保护B、信息资产的标识C、信息资产的评估D、信息资产清单4、安全事件主要依托（）来发现和报告A、巡检记录B、系统日记C、实时监控D、用户反映5、系统日记主要被用于( )A、辨别应用中的漏洞B、监控并调整系统的性能C、在应用中发生的违背安全政策的行为D、保证个人对他们行动的可审计性6、物理环境的访问控制，通常通过（）系统进行安全管理A、门禁B、监控C、日记D、保安7、网络信息安全技术通常从（）和避免信息破坏两个方面加以考虑A、避免技术泄密B、避免病毒入侵C、避免木马解决D、避免信息窃密8、包过滤类型的防火墙要遵循的一条大体原则是（），即明确允许那些管理员希望通过的数据包，禁止其他的数据包A、唯一性原则B、独立性原则C、最大可能原则D、最小特权原则9、可以检查整个数据包内容，按照需要成立连接状态表，网络层保护强，应用层控制细，会话控制较弱的防火墙类型是（）A、包过滤防火墙B、应用网关防火墙C、复合型防火墙D、状态检测防火墙10、数据库系统用户的身份标识应具有（）A、唯一性B、保密性C、安全性D、多样性11、应用最普遍的加密技术是（），它在加密解密进程中只利用一个密钥，因此得名。
软件资格考试信息安全工程师(基础知识、应用技术)合卷(中级)自测试卷(答案在后面)一、基础知识（客观选择题，75题，每题1分，共75分）1、下列关于加密算法的说法中，哪一项是正确的？A. 对称加密算法比非对称加密算法更安全。
B. 非对称加密算法中的公钥和私钥可以互换使用。
C. 对称加密算法的密钥管理和分发比非对称加密算法更简单。
D. 非对称加密算法通常比对称加密算法运算速度慢。
2、在计算机网络中，防火墙的主要作用是什么？A. 加快数据传输速度。
B. 监控和过滤进出网络的数据包。
C. 增加网络带宽。
D. 提供无线网络连接。
3、下列关于密码学中公钥密码体制的描述，正确的是（）。
A. 公钥密码体制中，公钥和私钥相同B. 公钥密码体制中，公钥是公开的，私钥是保密的C. 公钥密码体制中，公钥用于加密，私钥用于解密D. 公钥密码体制中，私钥用于加密，公钥用于解密4、下列关于信息安全风险评估的描述，错误的是（）。
A. 信息安全风险评估是信息安全管理体系（ISMS）的核心要素之一B. 信息安全风险评估的目的是识别和评估组织面临的安全威胁和风险C. 信息安全风险评估通常采用定性和定量相结合的方法D. 信息安全风险评估的结果可以用来指导组织制定信息安全策略和措施5、以下关于计算机病毒的说法，正确的是（）A. 计算机病毒是一种可以自我复制并传播的程序，具有破坏性B. 计算机病毒只能通过U盘等外部存储设备传播C. 计算机病毒不能通过互联网传播D. 计算机病毒不会对计算机系统造成实质性伤害6、以下关于网络安全的原则，不属于网络安全“最小化”原则的是（）A. 确保系统最小化运行，减少攻击面B. 限制用户权限，防止越权访问C. 采用最新的安全技术和产品，确保系统安全D. 定期进行安全检查和漏洞扫描7、以下关于信息安全法律法规的说法中，错误的是（）A. 《中华人民共和国网络安全法》是我国网络安全领域的综合性法律B. 《中华人民共和国个人信息保护法》规定了个人信息收集、存储、使用、处理、传输和删除等活动的规范C. 《中华人民共和国密码法》明确了国家密码工作的基本要求和任务D. 《中华人民共和国数据安全法》仅适用于企业内部数据的保护8、在信息安全风险评估过程中，以下哪种方法属于定量化风险评估方法？（）A. 情景分析B. 实验法C. 威胁评估模型D. 专家意见法9、下列关于密码学基本概念的说法中，错误的是：A. 密码学是研究如何隐藏信息的学科B. 加密算法分为对称加密和非对称加密C. 数字签名用于验证信息的完整性和发送者的身份D. 公钥密码体制中，公钥和私钥可以互换使用 10、关于信息安全管理体系（ISMS），以下说法正确的是：A. ISMS是指一套标准化的信息安全管理体系B. ISMS的目的是确保组织的信息资产不受损害C. ISMS要求组织必须进行定期的内部和外部审计D. 以上都是11、以下关于信息安全的描述，错误的是：A. 信息安全包括物理安全、技术安全和管理安全三个方面。
信息安全基础(习题卷63)第1部分：单项选择题，共57题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]中间件在操作系统、网络和数据库（），应用软件的下层，总的作用是为处于自己上层的应用软件提供运行与开发的环境，帮助用户灵活、高效地开发和集成复杂的应用软件。
A)之上B)之下C)中间答案:A解析:2.[单选题]以下哪一种方式是入侵检测系统所通常采用的( )A)基于网络的入侵检测B)基于IP的入侵检测C)基于服务的入侵检测D)基于域名的入侵检测答案:A解析:3.[单选题]升级操作系统、数据库或中间件版本前，应确认其（ ）及对业务系统的影响。
A)可操作性B)稳定性C)安全性D)兼容性答案:D解析:4.[单选题]配置管理的范围涉及IT环境里的所有配置项，包括服务器、存储设备、网络设备、安全设备、（）、应用软件、PC机、打印机、重要文档以及配置项之间的重要关联关系等。
A)系统B)操作系统C)业务系统D)系统软件答案:D解析:5.[单选题]对重要系统和数据库进行（）备份。
A)同城B)异地C)容灾D)差量答案:C解析:6.[单选题]()是指恶意人员利用网页系统的漏洞，在访问网页时构造特定的参数实现对WEB系统后台数据库的非法操作，常用于非法修改动态网页数据或者越权获取网页信息A)SQL注入B)WEB注入C)应用注入D)查询注入答案:A解析:7.[单选题]在口令文件相关HASH运算中添加SALT（随机数）的目的是( )A)避免暴露出某些用户的口令是相同的B)避免在MD5等算法遭受攻击后导致口令系统崩溃C)提高HASH运算的速度D)实现双重认证答案:A解析:8.[单选题]以下属于信息安全管理体系审核发现的是:( )A)审核员看到的物理入口控制方式B)审核员看到的信息系统资源阀值C)审核员看到的移动介质的使角与安全策略的符合性D)审核员看到的项目质量保证活动与CMMI堆积的符合性答案:C解析:9.[单选题]病毒扫描软件由 ( ) 组成A)仅由病毒代码库；B)仅由利用代码库进行扫描的扫描程序；C)仅由扫描程序D)代码库和扫描程序答案:D解析:10.[单选题]CA属于ISO安全体系结构中定义的( )。
信息安全试卷及答案
《 信息安全》课程考试试卷
(A卷)
专业 软件工程、计算机科学与技术、网络工程
一、判断题(每小题2 分,共10分,对的打“✓”,错的打“”)
题号
1 2 3 4 5
答案
✓ ✓
二、选择题(每小题2分,共20分)
题号
1 2 3 4 5 6 7 8 9 10
答案
D C C B B B D C A D
1、在身份认证方法中,下列哪种方法就是“您就是谁”的认证方式。 ( D )
A 口令 B U盾 C ATM卡 D 指纹
2、 PKI就是__ __。 ( C )
A.Private Key Infrastructure B.Public Key Institute
C.Public Key Infrastructure D.Private Key Institute
3、包过滤防火墙就是指在网络模型当中的哪一层对数据包进行检查。 ( C )
A 应用层 B 传输层 C 网络层 D 数据链路层
4、从安全属性对各种网络攻击进行分类,阻断攻击就是针对 的攻击。( B )
A、 机密性 B、 可用性 C、 完整性 D、 真实性
5、IPSec协议工作在____层次。 ( B )
A、 数据链路层 B、 网络层 C、 应用层 D 传输层
6、网上银行系统的一次转账操作过程中发生了转账金额被非法篡改的行为,这破坏了信息安全的___
属性。 ( B )
A 保密性 B 完整性
C 不可否认性 D 可用性
7、信息安全领域内最关键与最薄弱的环节就是____。 ( D )
A 技术 B 策略 C 管理制度 D 人
8、计算机病毒最本质的特性就是____。 ( C )
A 寄生性 B 潜伏性 C 破坏性 D 攻击性
9、目前,VPN使用了 技术保证了通信的安全性。 ( A )
A、 隧道协议、身份认证与数据加密
B、 身份认证、数据加密
C、 隧道协议、身份认证
D、 隧道协议、数据加密
10、可信计算基就就是操作系统中赖以实施安全的一切设施,即使它以外的一切都被破坏了,可信
操作系统也就是安全的。下列哪个英文缩写就是可信计算基的缩写。( D )
A TCG B TCC C TCA D TCB
三、简答题
1、 信息安全领域的基本挑战包括机密性、完整性与可用性或者简称为CIA。(10分)
a. 请给出机密性、完整性、可用性术语的定义。(6分,每个定义2分)
信息安全试卷及答案
b. 站在银行的立场瞧,其客户数据的完整性与机密性,通常哪一个更重要？站在银行客户的立场瞧,又
就是哪一个更重要？(4分,每问2分)
答案:a、 (6分,每个定义2分)
机密性针对的就是防止对信息进行未授权的“读”。
完整性要面对的就是防止或者至少就是检测出未授权的“写”(对数据的改变)。
可用性指的就是数据在需要的时候就是可用;
b、完整性;机密性;(4分,每问2分)
2、 防火墙就是什么？它的作用就是？(10分)
答案:
防火墙就是:
• 把安全网络连接到不安全网络上。
• 保护安全网络最大程度地访问不安全网络。
• 将不安全网络转变为安全网络。 (6分,答对2点以上或者核心思想给6分)
作用:
• 实现一个公司的安全策略
• 创建一个阻塞点
• 记录Internet活动
限制网络暴露(4分,答对2点以上给4分)
3、 SLL协议与IPSec协议的设计目的都就是为互联网上的应用提供安全型保护。
a． SSL与IPSec的相同点有哪些？
相同点:
提供网络通信的安全保护;都支持加密保护、数据完整性保护以及身份认证;(4分)
b． SSL与IPSec的不同点有哪些？
不同点:
SSL协议简单,IPSec比较复杂;在IP协议栈的不同层次上,SSL处于套接字层,驻留在用户空间,IPSec处于网
络层,因此她不能从用户空间直接访问而就是处于操作系统运行的范畴;SSL主要用于安全Web交易,而IPSec主要用
于提供对虚拟专用网络的保护。(6分)
4、 IKE协议包括两个阶段:阶段一与阶段二。在IKE的阶段一,共有4种密钥选项,对于其中的每一种都包含主模式
(main mode)与积极模式(aggressive mode)这两种模式。
a． 请说明阶段一与阶段二之间的差别。
b． 请问,阶段一的公开密钥加密选项之主模式相比阶段一的对称密钥加密选项之主模式,有哪些优点？
5、 内存保护就是操作系统安全必须解决的基本问题之一,请阐述内存保护中最常用的两种方法“分段”与“分页”
的优缺点
答案:分段的优点:任何段都可以被置于任意的内存位置——只要内存空间足够大,可以容纳即可;段可以移动到内存
中的不同位置,也可以方便的移进与移出内存;操作系统完全能够起到仲裁作用(因为所有的地址引用都必须通过操
作系统);
缺点:段的尺寸就是变长的;主要带来两个方面的问题:对于动态内存分配的段,操作系统必须保持对动态段尺寸的跟
踪;内存碎片也就是个潜在的问题(因为当通过整理压缩内存以便更好地利用可用的内存空间时,段表就会发生变化)。
分页的优点:固定长度解决了内存碎片与尺寸变长带来的问题;
缺点:页没有逻辑上的统一,这使得要决定将适当的访问控制应用到给定的页上时,难度挺大。
四、设计题(20分)
下图中我们给出了基于对称密钥的双向认证协议,其中Alice与Bob表示协议的双方,RA表示Alice发给Bob的随
机数,RB表示Bob发给Alice的随机数,K表示Alice与Bob之间共享的对称密钥,E(RA,K)、E(RB,K)表示使用对称密钥
K对随机数RA、RB进行加密。这个协议并不安全,可能遭受类似于我们讨论过的中间米格类型攻击。
信息安全试卷及答案
a、假设Trudy利用中间米格来攻击该协议,请您描述这个攻击过程(4分),并设计攻击过程的会话协议图;(10分)
b.这个协议稍加修改就可以避免中间米格的攻击,请您设计出修改后的会话协议。(6分)
答案:
a． 这个攻击中,首先Trudy称自己就是Alice并发送一个RA给Bob。根据这个协议Bob对RA进行加密,将加密结果
以及她自己的RB发回给Trudy。接着Trudy又开启了与Bob的一个新的连接,她再次称自己就是Alice并发送一
个RB给Bob,根据协议Bob将回复E(RB,K)作为相应,此时Trudy利用E(RB,K)完成第一个连接的建立使得Bob相
信她就就是Alice;第二个连接让它超时断开。
具体的设计图如下:
b.这个协议中我们把用户的身份信息与随机数结合在一起进行加密,就可以防止以上的攻击,因为Trudy不能再使用来
自Bob的返回值来进行第三条信息的重放了,具体设计如下:
