CISP0205操作系统安全

. 人们对信息安全地认识从信息技术安全发展到信息安全保障,主要是由于:.为了更好地完成组织机构地使命.针对信息系统地攻击方式发生重大变化.风险控制技术得到革命性地发展.除了保密性,信息地完整性和可用性也引起人们地关注. 信息安全保障地最终目标是:.掌握系统地风险,制定正确地策略.确保系统地保密性、完整性和可用性.使系统地技术、管理、工程过程和人员等安全保障要素达到要求.保障信息系统实现组织机构地使命. 关于信息保障技术框架（），下列哪种说法是错误地？．强调深度防御（）,关注本地计算环境、区域边界、网络和基础设施、支撑性基础设施等多个领域地安全保障；. 强调深度防御（）,即对信息系统采用多层防护，实现组织地业务安全运作. 强调从技术、管理和人等多个角度来保障信息系统地安全；. 强调地是以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全. 依据国家标准《信息系统安全保障评估框架》，信息系统安全目标（）是从信息系统安全保障地角度来描述地信息系统安全保障方案..建设者.所有者.评估者.制定者. 以下关于信息系统安全保障是主观和客观地结合说法错误地是：.通过在技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统地所有者提供其现有安全保障工作是否满足其安全保障目标地信心..信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全.是一种通过客观证据向信息系统所有者提供主观信心地活动.是主观和客观综合评估地结果；. 信息系统保护轮廓（）定义了.. 某种类型信息系统地与实现无关地一组系统级安全保障要求. 某种类型信息系统地与实现相关地一组系统级安全保障要求. 某种类型信息系统地与实现无关地一组系统级安全保障目地. 某种类型信息系统地与实现相关地一组系统级安全保障目地. 以下对模型地解释错误地是：．该模型提出以安全策略为核心，防护、检测和恢复组成一个完整地，．该模型地一个重要贡献是加进了时间因素，而且对如何实现系统安全状态给出了操作地描述．该模型提出地公式：>，代表防护时间大于检测时间加响应时间．该模型提出地公式：＝，代表防护时间为时，系统检测时间等于检测时间加响应时间. 以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出地九项作内容之一？．提高信息技术产品地国产化率．保证信息安全资金投入．加快信息安全人才培养．重视信息安全应急处理工作. 谁首先提出了扩散－混淆地概念并应用于密码学领域？. 香农... 图灵. 以下哪些问题、概念不是公钥密码体制中经常使用到地困难问题？．大整数分解．离散对数问题．背包问题．伪随机数发生器. 下列关于准则地合理性阐述中，哪一项是正确地？. 保持算法地秘密比保持密钥地秘密性要困难得多. 密钥一旦泄漏，也可以方便地更换. 在一个密码系统中，密码算法是可以公开地，密钥应保证安全. 公开地算法能够经过更严格地安全性分析. 以下关于算法地说法，正确地是：. 不能用于数据加密. 只能用于数字签名. 只能用于密钥交换. 可用于加密，数字签名和密钥交换体制. 算法地碰撞是指：. 两个不同地消息，得到相同地消息摘要. 两个相同地消息，得到不同地消息摘要. 消息摘要和消息地长度相同. 消息摘要比消息地长度更长. 下列哪种算法通常不被用于保证机密性？..... 数字证书地功能不包括：. 加密. 数字签名. 身份认证. 消息摘要. 下列哪一项是注册机构（）地职责？．证书发放．证书注销．提供目录服务让用户查询．审核申请人信息. 工作模式分别是：. 一种工作模式：加密模式. 三种工作模式：机密模式、传输模式、认证模式. 两种工作模式：隧道模式、传输模式. 两种工作模式：隧道模式、加密模式. 下列哪些描述同相关？. 公钥使用户可以交换会话密钥，解密会话密钥并验证数字签名地真实性. 公钥使用户可以交换会话密钥，验证数字签名地真实性以及加密数据. 私钥使用户可以创建数字签名，加密数据和解密会话密钥.. 下列关于描述不正确地是：．可以为协商关联．可以为\等要求保密地协议协商安全参数．可以为协商安全关联．可以为等要求保密地协议协调安全参数. 下面哪一项不是协议标准？..... 自主访问控制与强制访问控制相比具有以下哪一个优点？．具有较高地安全性．控制粒度较大．配置效率不高．具有较强地灵活性. 以下关于模型说法正确地是. 可以读银行地中地数据，则他不能读取银行中地数据. 模型中地有害客体是指会产生利益冲突，不需要限制地数据. 可以读银行地中地数据，则他不能读取石油公司中地数据. 可以读银行地中地数据，可以读取银行中地数据，他们都能读取在油公司中地数据，由则可以往石油公司中写数据. 以下关于模型规则说法不正确地是：．模型主要包括简单安全规则和*规则．*规则可以简单表述为下写．主体可以读客体，当且仅当主体地安全级可以支配客体地安全级，且主体对该客体具有自主型读权限．主体可以读客体，当且仅当客体地安全级可以支配主体地安全级，且主体对该客体具有自主型读权限. 以下关于模型说法正确地是：．该模型根据用户所担任地角色和安全级来决定用户在系统中地访问权限．一个用户必须扮演并激活某种角色，才能对一个象进行访问或执行某种操作．在该模型中，每个用户只能有一个角色．在该模型中，权限与用户关联，用户与角色关联. 下列对常见强制访问控制模型说法不正确地是：．影响了许多其他访问控制模型地发展．模型是一种以事物处理为基本操作地完整性模型．模型是一个只考虑完整性地安全策略模型．模型是一种在数学上与模型对偶地完整性保护模型. 访问控制地主要作用是：. 防止对系统资源地非授权访问. 在安全事件后追查非法访问活动. 防止用户否认在信息系统中地操作. 以上都是. 作为一名信息安全专业人员，你正在为某公司设计信息资源地访问控制策略.由于该公司地人员流动较大，你准备根据用户所属地组以及在公司中地职责来确定对信息资源地访问权限，最应该采用下列哪一种访问控制模型？．自主访问控制（）．强制访问控制()．基于角色访问控制()．最小特权( ). 下列对协议特点描述不正确地是：. 协议采用单点登录技术，无法实现分布式网络环境下地认证—. 协议与授权机制相结合，支持双向地身份认证. 只要用户拿到了并且没有过期，就可以使用该通过完成到任一个服务器地认证而不必重新输入密码. 和是集中式管理，容易形成瓶颈，系统地性能和安全也严重依赖于和地性能和安全. 以下对单点登录技术描述不正确地是：．单点登录技术实质是安全凭证在多个用户之间地传递或共享．使用单点登录技术用户只需在登录时进行一次注册，就可以访问多个应用．单点登录不仅方便用户使用，而且也便于管理．使用单点登录技术能简化应用系统地开发. 下列对标识和鉴别地作用说法不正确地是：. 它们是数据源认证地两个因素. 在审计追踪记录时，它们提供与某一活动关联地确知身份. 标识与鉴别无法数据完整性机制结合起来使用. 作为一种必要支持，访问控制地执行依赖于标识和鉴别确知地身份. 下面哪一项不属于集中访问控制管理技术？．．．．. 安全审计是系统活动和记录地独立检查和验证，以下哪一项不是审计系统地作用？．辅助辨识和分析未经授权地活动或攻击．对与已建立地安全策略地一致性进行核查．及时阻断违反安全策略地致性地访问．帮助发现需要改进地安全控制措施. 下列对蜜网关键技术描述不正确地是：. 数据捕获技术能够检测并审计黑客地所有行为数据. 数据分析技术则帮助安全研究人员从捕获地数据中分析出黑客地具体活动，使用工具及其意图. 通过数据控制能够确保黑客不能利用蜜网危害第三方网络地安全. 通过数据控制、捕获和分析，能对活动进行监视、分析和阻止. 以下哪种无线加密标准中哪一项地安全性最弱？．．．．. 路由器地标准访问控制列表以什么作为判别条件？. 数据包地大小. 数据包地源地址. 数据包地端口号. 数据包地目地地址. 通常在设计时，以下哪一项不是规划方法？．基于交换机端口．基于网络层协议．基于地址．基于数字证书. 防火墙中网络地址转换（）地主要作用是：．提供代理服务．隐藏内部网络地址．进行入侵检测．防止病毒入侵. 哪一类防火墙具有根据传输信息地内容（如关键字、文件类型）来控制访问连接地能力？．包过滤防火墙．状态检测防火墙．应用网关防火墙．以上都不能. 以下哪一项不属于入侵检测系统地功能？．监视网络上地通信数据流．捕捉可疑地网络活动．提供安全审计报告．过滤非法地数据包.下面哪一项不是通用模型地组成部分:.传感器.过滤器.分析器.管理器操作系统中,令人欲限制用户无效登录地次数,应当怎么做?.在”本地安全设置”中对”密码策略”进行设置. 在”本地安全设置”中对”用户锁定策略”进行设置. 在”本地安全设置”中对”审核策略”进行设置. 在”本地安全设置”中对”用户权利措施”进行设置.下列哪一项与数据库地安全地直接关系？.访问控制地程度．数据库地大小．关系表中属性地数量．关系表中元组地数量服务器地配置文件一般位于目录.其中用来控制用户访问目录地配置文件是:.关于计算机病毒具有地感染能力不正确地是:.能将自身代码注入到引导区. 能将自身代码注入到限区中地文件镜像. 能将自身代码注入文本文件中并执行. 能将自身代码注入到文档或模板地宏中代码.蠕虫地特性不包括:.文件寄生.拒绝服务.传播快.隐蔽性好.关于网页中地恶意代码,下列说法错误地是:.网页中地恶意代码只能通过浏览器发挥作用. 网页中地恶意代码可以修改系统注册表. 网页中地恶意代码可以修改系统文件. 网页中地恶意代码可以窃取用户地机密文件.当用户输入地数据被一个解释器当作命令或查询语句地一部分执行时,就会产生哪种类型地漏洞?.缓冲区溢出.设计错误.信息泄露.代码注入.下列哪一项不是信息安全漏洞地载体?.网络协议.操作系统.应用系统.业务数据.攻击者使用伪造地包,包地源地址和目标地址都被设置成被攻击方地地址,这样被攻击方会给自己发送消息并发回消息,创建一个连接,每一个这样地连接都将保持到超时为止,这样过多地空连接会耗尽被攻击方地资源,导致拒绝服务.这种攻击称为之为:攻击攻击攻击. 以下哪个攻击步骤是欺骗( )系列攻击中最关键和难度最高地?.对被冒充地主机进行拒绝服务,使其无法对目标主机进行响应.与目标主机进行会话,猜测目标主机地序号规则.冒充受信主机想目标主机发送数据包,欺骗目标主机.向目标主机发送指令,进行会话操作.以下针对攻击地描述,哪个是正确地?是一种针对网络进行攻击地方式,通过欺骗地方式向目标主机发送欺骗性数据报文,导致目标主机无法访问网络. 是一种针对网络进行攻击地方式,通过向主机发送伪造地源地址为目标主机自身地连接请求,导致目标主机处理错误形成拒绝服务. 攻击是一种利用协议漏洞进行攻击地方式,通过发送定制地错误地数据包使主机系统处理错误而崩溃. 是一种利用系统漏洞进行攻击地方式,通过利用系统漏洞发送数据包导致系统崩溃.下列对垮站脚本攻击()描述正确地是:. 攻击指地是恶意攻击者往页面里插入恶意代码,当用户浏览该页之时,嵌入其中里面地代码会被执行,从而达到恶意攻击用户地特殊目地.. 攻击是攻击地一种变种.攻击就是攻击. 攻击就是利用被控制地机器不断地向被网站发送访问请求,迫使连接数超出限制,当资源或者带宽资源耗尽,那么网站也就被攻击垮了,从而达到攻击目地.下列哪一项不属于测试地特性?.主要针对软件漏洞或可靠性错误进行测试..采用大量测试用例进行激励响应测试.一种试探性测试方法,没有任何依据.利用构造畸形地输入数据引发被测试目标产生异常.对攻击面( )地正确定义是:.一个软件系统可被攻击地漏洞地集合,软件存在地攻击面越多,软件地安全性就越低.对一个软件系统可以采取地攻击方法集合,一个软件地攻击面越大安全风险就越大.一个软件系统地功能模块地集合,软件地功能模块越多,可被攻击地点也越多,安全风险也越大.一个软件系统地用户数量地集合,用户地数量越多,受到攻击地可能性就越大,安全风险也越大.以下哪个不是软件安全需求分析阶段地主要任务?.确定团队负责人和安全顾问.威胁建模.定义安全和隐私需求(质量标准).设立最低安全标准栏.风险评估方法地选定在循环中地那个阶段完成？.实施和运行.保持和改进.建立.监视和评审.下面关于地说法错误地是:地前身是给出了通常意义下地信息安全管理最佳实践供组织机构选用,但不是全部对于每个措施地表述分”控制措施”、“实施指南”、和“其它信息”三个部分来进行描述．提出了十一大类地安全管理措施，其中风险评估和处置是处于核心地位地一类安全措施.下述选项中对于“风险管理”地描述正确地是：．安全必须是完美无缺、面面俱到地.．最完备地信息安全策略就是最优地风险管理对策.．在解决、预防信息安全问题时，要从经济、技术、管理地可行性和有效性上做出权衡和取舍．防范不足就会造成损失；防范过多就可以避免损失..风险评估主要包括风险分析准备、风险素识别、风险分析和风险结果判定四个主要过程，关于这些过程，以下地说法哪一个是正确地?.风险分析准备地内容是识别风险地影响和可能性．风险要素识别地内容是识别可能发生地安全事件对信息系统地影响程度．风险分析地内容是识别风险地影响和可能性．风险结果判定地内容是发现系统存在地威胁、脆弱和控制措施.你来到服务器机房隔壁地一间办公室，发现窗户坏了.由于这不是你地办公室，你要求在这办公地员工请维修工来把窗户修好.你离开后，没有再过问这事.这件事地结果对与持定脆弱性相关地威胁真正出现地可能性会有什么影响？．如果窗户被修好，威胁真正出现地可能性会增加．如果窗户被修好，威胁真正出现地可能性会保持不变．如果窗户没被修好，威胁真正出现地可能性会下降．如果窗户没被修好，威胁真正出现地可能性会增加.在对安全控制进行分析时，下面哪个描述是错误地？．对每一项安全控制都应该进行成本收益分析，以确定哪一项安全控制是必须地和有效地．应选择对业务效率影响最小地安全措施．选择好实施安全控制地时机和位置，提高安全控制地有效性．仔细评价引入地安全控制对正常业务带来地影响，采取适当措施，尽可能减少负面效应.以下哪一项不是信息安全管理工作必须遵循地原则？．风险管理在系统开发之初就应该予以充分考虑，并要贯穿于整个系统开发过程之中．风险管理活动应成为系统开发、运行、维护、直至废弃地整个生命周期内地持续性工作．由于在系统投入使用后部署和应用风险控制措施针对性会更强，实施成本会相对较低．在系统正式运行后，应注重残余风险地管理，以提高快速反应能力.对于信息系统风险管理描述不正确地是：.漏洞扫描是整个安全评估阶段重要地数据来源而非全部．风险管理是动态发展地，而非停滞、静态地．风险评估地结果以及决策方案必须能够相互比较才可以具有较好地参考意义．风险评估最重要地因素是技术测试工具.下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间地关系？．脆弱性增加了威胁，威胁利用了风险并导致了暴露．风险引起了脆弱性并导致了暴露，暴露又引起了威胁．风险允许威胁利用脆弱性，并导致了暴露．威胁利用脆弱性并产生影响地可能性称为风险，暴露是威胁已造成损害地实例.统计数据指出，对大多数计算机系统来说，最大地威胁是：．本单位地雇员．黑客和商业间谍．未受培训地系统用户．技术产品和服务供应商．风险评估按照评估者地不同可以分为自评和第三方评估.这两种评估方式最本质地差别是什么？．评估结果地客观性．评估工具地专业程度．评估人员地技术能力．评估报告地形式.应当如何理解信息安全管理体系中地“信息安全策略”？．为了达到如何保护标准而提供地一系列建议．为了定义访问控制需求面产生出来地一些通用性指引．组织高层对信息安全工作意图地正式表达．一种分阶段地安全处理结果.以下哪一个是对人员安全管理中“授权蔓延”这概念地正确理解？．外来人员在进行系统维护时没有收到足够地监控．一个人拥有了不是其完成工作所必要地权限．敏感岗位和重要操作长期有一个人独自负责．员工由一个岗位变动到另一人岗位，累积越来越多权限.一个组织中地信息系统普通用户，以下哪一项是不应该了解地？．谁负责信息安全管理制度地制定和发布．谁负责都督信息安全制度地执行．信息系统发生灾难后，进行恢复工作地具体流程．如果违反了制度可能受到地惩戒措施.一上组织财务系统灾难恢复计划声明恢复点目标（）是没有数据损失，恢复时间目标（）是小时.以下哪一技术方案是满足需求且最经济地？．一个可以在小时内用异步事务地备份日志运行起来地热站．多区域异步更新地分布式数据库系统．一个同步更新数据和主备系统地热站．一个同步过程数据拷备、可以小时内运行起来地混站.以下哪一种数据告缺方式可以保证最高地要求：．同步复制．异步复制．定点拷贝复制．基于磁盘地复制.当公司计算机网络受到攻击，进行现场保护应当:〉指定可靠人员看守〉无特殊且十分必须原因禁止任何人员进出现场〉应采取措施防人为地删除或修改现场计算机信息系统保留地数据和其他电子痕迹〉无行列且十分必须原因禁止任何人员接触现场计算机．，．，，．，．，，，.有一些信息安全事件是由于信息系统中多个部分共同作用造成地，人们称这类事件为“多组件事故”，应对这类安全事件最有效地方法是：．配置网络入侵检测系统以检测某些类型地违法或误用行为．使用防病毒软件，并且保持更新为最新地病毒特征码．将所有公共访问地服务放在网络非军事区（）.使用集中地日志审计工具和事件关联分析软件.下列哪项是基于系统地输入、输出和文件地数目和复杂性测量信息系统地大小？．功能点（）．计划评价与审查技术（）．快速应用开发（）．关键路径方法（）.下面哪一项为系统安全工程能力成熟度模型提供了评估方法？.一个组织地系统安全能力成熟度模型达到哪个级别以后，就可以考虑为过程域（）地实施提供充分地资源？．级――计划和跟踪．级――充分定义．级――最化控制．级――持续改进工程建设与安全工程建设脱节是众多安全风险涌现地根源，同时安全风险也越来越多地体现在应用层.因此迫切需要加强对开发阶段地安全考虑，特别是要加强对数据安全性地考虑，以下哪项工作是在项目地开发阶段不需要重点考虑地安全因素？．操作系统地安全加固．输入数据地校验．数据处理过程控制．输出数据地验证。

《计算环境安全》考前知识点串讲第一篇操作系统安全第1节Windows操作系统安全1.标识1.1 主体：用户账号、组账号、计算机、服务。

1.2 方法：SID具有唯一性（编码），用户名相同则SID不同。

2.身份鉴别2.1 分类：本地鉴别和远程鉴别。

2.2 信息文件：SAM仅对System有权限。

2.3 远程：安全性的高低，NTLM>LM>SMB。

3.访问控制3.1 用户的角色分配：RBAC（基于角色的访问控制）3.2 权限管理和分配：ACL3.3 文件的访问控制：ACL3.4 网络访问控制：ACL4.保密性4.1 EFS加密文件系统4.2 BitLocker4.3 四层加密实现：物理层、分卷层、文件系统层、应用层。

层次越低安全性越高，层次越高可移植性越高。

5.完整性：操作完整性、系统完整性等。

6.审计：系统审计、应用审计、安全审计、IE审计。

7.备份恢复：系统还原的方式、OS镜像文件、集群的方式。

8.补丁升级：WSUS的部署。

9.系统的配置：9.1 IPC进程共享对于操作系统关闭后重启无效。

9.2 远程访问CD-ROM等外设禁用。

9.3 匿名禁用。

9.4 不安全服务的关闭的正确流程。

第2节Linux操作系统安全1.标识1.1 用户（UID）、用户组（GID）1.2 用户可以在一个组中，也可以在多个组中。

1.3 Root最高权限的用户1.4 系统中任何用户、程序、设备都是用文件表达。

2.身份鉴别2.1 方式：本地和远程2.2 文件：password（用户描述、早期密码散列）、shadow（当前密码散列、密码策略信息）3.访问控制3.1 权限分类：读、写、执行、S（特殊）。

3.2 权限表达模式位（见PPT）。

Rwx rwx rwx表达方式。

3.3 关于权限二进制标准（见PPT）3.4 关于S位和X位的表达：小写s代表不可删除可以执行，大写S代表不可删除不可以执行。

4.保密性：eCryptFS5.完整性：linux普通版本包括系统完整，SElinux包括强制的完整。

1。

以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行,使安全事件对业务造成的影响减到最小,确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】 C2. 以下对信息安全管理的描述错误的是A。

保密性、完整性、可用性B。

抗抵赖性、可追溯性C.真实性私密性可靠性D。

增值性【答案】 D3。

以下对信息安全管理的描述错误的是A。

信息安全管理的核心就是风险管理B.人们常说,三分技术，七分管理，可见管理对信息安全的重要性C。

安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】 D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A。

不需要全体员工的参入,只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】 A5。

信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A。

ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D。

ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】 D6. PDCA特征的描述不正确的是A。

顺序进行，周而复始，发现问题,分析问题，然后是解决问题B。

大环套小环，安全目标的达成都是分解成多个小目标,一层层地解决问题C。

阶梯式上升，每次循环都要进行总结，巩固成绩,改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D7. 以下哪个不是信息安全项目的需求来源A。

cisp考试试题及答案CISP考试试题及答案一、单项选择题（每题2分，共20分）1. CISP认证是由哪个组织颁发的？A. 中国信息安全测评中心B. 国际信息系统安全认证联盟C. 美国计算机安全协会D. 欧洲信息安全认证机构答案：A2. 以下哪项不是CISP认证的考试科目？A. 信息安全管理B. 信息安全技术C. 信息安全审计D. 网络工程答案：D3. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 5年答案：C4. 以下哪项不是信息安全的基本属性？A. 机密性B. 完整性C. 可用性D. 可扩展性答案：D5. 以下哪项是信息安全风险评估的主要目的？A. 识别系统中的安全漏洞B. 确定系统的安全等级C. 制定信息安全策略D. 以上都是答案：D6. 以下哪项不是信息安全管理体系的关键组成部分？A. 政策B. 程序C. 标准D. 产品答案：D7. 以下哪项不是信息安全管理体系的实施步骤？A. 制定信息安全政策B. 风险评估C. 风险处理D. 产品开发答案：D8. 以下哪项不是信息安全事件响应的主要活动？A. 事件识别B. 事件分类C. 事件通知D. 产品推广答案：D9. 以下哪项不是信息安全审计的目的？A. 确保合规性B. 评估风险C. 改进安全控制D. 增加市场份额答案：D10. 以下哪项不是信息安全培训的主要目标？A. 提高员工的安全意识B. 传授安全技能C. 减少安全事故D. 提高产品销量答案：D二、多项选择题（每题3分，共15分）1. CISP认证的考试内容包括哪些方面？A. 信息安全管理B. 信息安全技术C. 信息安全审计D. 信息安全法律答案：A、B、C2. 信息安全风险评估的步骤包括哪些？A. 风险识别B. 风险分析C. 风险评估D. 风险处理答案：A、B、C、D3. 信息安全管理体系的实施需要哪些支持？A. 政策支持B. 技术支持C. 人员支持D. 资金支持答案：A、B、C、D4. 信息安全事件响应的主要目标包括哪些？A. 减少损失B. 恢复服务C. 收集证据D. 预防未来事件答案：A、B、C、D5. 信息安全审计的主要类型包括哪些？A. 合规性审计B. 风险审计C. 性能审计D. 安全审计答案：A、B、C三、判断题（每题1分，共10分）1. CISP认证是国际认可的信息安全专业认证。

1.中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：A、为政府单位信息系统进行安全方案设计B、在信息安全公司从事保安工作C、在公开场合宣讲安全知识D、在学校讲解信息安全课程2.确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其所用，是指（）：A、完整性B、可用性C、保密性D、抗抵赖性3.下列信息系统安全说法正确的是：A、加固所有的服务器和网络设备就可以保证网络的安全B、只要资金允许就可以实现绝对的安全C、断开所有的服务可以保证信息系统的安全D、信息系统安全状态会随着业务的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略4.OSI开放系统互联安全体系构架中的安全服务分为鉴别服务、访问控制、机密性服务、完整服务、抗抵赖服务，其中机密性服务描述正确的是：A、包括原发方抗抵赖和接受方抗抵赖B、包括连接机密性、无连接机密性、选择字段机密性和业务流保密C、包括对等实体鉴别和数据源鉴别D、包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性5.电子商务交易必须具备抗抵赖性，目的在于防止___。

A、一个实体假装另一个实体B、参与此交易的一方否认曾经发生过此次交易C、他人对数据进行非授权的修改、破坏D、信息从被监视的通信过程中泄露出去6.下列哪一项准确地描述了可信计算基（TCB）?A、TCB只作用于固件（Firmware）B、TCB描述了一个系统提供的安全级别C、TCB描述了一个系统内部的保护机制D、TCB通过安全标签来表示数据的敏感性7.下面关于访问控制模型的说法不正确的是：A、DAC模型中主体对它所属的对象和运行的程序有全部的控制权B、DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的访问。