CISP样题(带答案).doc
《CISP样题(带答案).doc》由会员分享，可在线阅读，更多相关《CISP样题(带答案).doc（22页珍藏版）》请在冰豆网上搜索。
注册信息安全专业人员资质认证考试
CISP样题
姓名 考试日期
身份证
声明：
（1）本考卷题目知识产权属于中国信息安全测评中心，任何人不可
将考试题目泄露给他人，违者将追究其相关责任。
（2）试卷答案请填写在答题卡，考试结束后，将此试卷与答题卡一
起上交，缺一无效。
（3）本试卷均为单选题，请选择最恰当的一个答案作答。
（4）如有任何建议请e-mail:
training@
注册信息安全专业人员资质认证考试（CISP）
1.以下对信息安全问题产生的根源描述最准确的是：
A.信息安全问题是由于信息技术的不断发展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏答案：
D
2.中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期
内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：
A、为政府单位信息系统进行安全方案设计
B、在信息安全公司从事保安工作
C、在公开场合宣讲安全知识
D、在学校讲解信息安全课程
答案：
B
3. 确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其
所用，是指：
A、完整性
B、可用性
C、保密性
D、抗抵赖性
答案：
C
4. 下列信息系统安全说法正确的是：
A．加固所有的服务器和网络设备就可以保证网络的安全B．只要资金允许就可以实现绝对的安全
C．断开所有的服务可以保证信息系统的安全
D．信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略
答案：
D
5. OSI开放系统互联安全体系架构中的安全服务分为鉴别服务、访问控制、机密性服务、
完整性服务、抗抵赖服务，其中机密性服务描述正确的是？
A.包括原发方抗抵赖和接受方抗抵赖
B.包括连接机密性、无连接机密性、选择字段机密性和业务流保密
C.包括对等实体鉴别和数据源鉴别
D.包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性
答案：
B
页码：
1
注册信息安全专业人员资质认证考试（CISP）
6. “进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的
目的。
其中，“看不懂”是指下面那种安全服务：
A．数据加密
B．身份认证
C．数据完整性
D．访问控制
答案：
A
7. 电子商务交易必须具备抗抵赖性，目的在于防止 。
A．一个实体假装成另一个实体
B．参与此交易的一方否认曾经发生过此次交易
C．他人对数据进行非授权的修改、破坏
D．信息从被监视的通信过程中泄漏出去
答案：
B
8. 下列对于CC的“评估保证级”（EAL）的说法最准确的是：
A.代表着不同的访问控制强度
B.描述了对抗安全威胁的能力级别
C.是信息技术产品或信息技术系统对安全行为和安全功能的不同要求
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度答案：
D
9. 下列哪一项准确地描述了可信计算基（TCB）？
A．TCB只作用于固件（Firmware）
B．TCB描述了一个系统提供的安全级别
C．TCB描述了一个系统内部的保护机制
D．TCB通过安全标签来表示数据的敏感性
答案：
B
10.下面关于访问控制模型的说法不正确的是：
A.DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权。
B.DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的
访问。
访问许可必须被显式地赋予访问者。
C．在MAC这种模型里，管理员管理访问控制。
管理员制定策略，策略定义了哪个
主体能访问哪个对象。
但用户可以改变它。
D．RBAC模型中管理员定义一系列角色（roles）并把它们赋予主体。
系统进程和
普通用户可能有不同的角色。
设置对象为某个类型，主体具有相应的角色就可以
访问它。
答案：
C
页码：
2
注册信息安全专业人员资质认证考试（CISP）
11.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型
中的“简单安全规则”？
A．Biba模型中的不允许向上写
B．Biba模型中的不允许向下读
C．Bell-LaPadula模型中的不允许向下写
D．Bell-LaPadula模型中的不允许向上读
答案：
D
12.下列关于访问控制模型说法不准确的是？
A.访问控制模型主要有3种：
自主访问控制、强制访问控制和基于角色的访问控制。
B.自主访问控制模型允许主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问。
C.基于角色的访问控制RBAC中“角色”通常是根据行政级别来定义的。
D.强制访问控制MAC是“强加”给访问主体的，即系统强制主体服从访问控制政
策。
答案：
C
13.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能
通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？
A．Bell-LaPadula模型
B．Biba模型
C．信息流模型
D．Clark-Wilson模型
答案：
D
14.下列哪一项关于Bell-LaPadula模型特点的描述是错误的？
A.强调对信息保密性的保护，受到对信息保密要求较高的军政机关和企业的喜爱。
B.既定义了主体对客体的访问，也说明了主体对主体的访问。
因此，它适用于网络系统。
C.它是一种强制访问控制模型，与自主访问控制模型相比具有强耦合，集中式授权的特点。
D.比起那些较新的模型而言，Bell-LaPadula定义的公理很简单，更易于理解，与所使用的实际系统具有直观的联系。
答案：
B
15.下列对于基于角色的访问控制模型的说法错误的是？
A.它将若干特定的用户集合与权限联系在一起
B.角色一般可以按照部门、岗位、工种等与实际业务紧密相关的类别来划分
C.因为角色的变动往往远远低于个体的变动，所以基于角色的访问控制维护起来比较便利
页码：
3
注册信息安全专业人员资质认证考试（CISP）
D.对于数据库系统的适应性不强，是其在实际使用中的主要弱点答案：
D
16.下列哪类访问控制模型是基于安全标签实现的？
A.自主访问控制
B.强制访问控制
C.基于规则的访问控制
D.基于身份的访问控制
答案：
B
17.根据PPDR模型：
A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间答案：
D
18.下列有关密码学的说法中错误的是：
A.密码学是研究信息系统安全保密的科学。
由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进行分析，以便推出机密变量、包括明文在内的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进行编码，实现对信息的隐蔽。
答案：
B
19.非对称密码算法具有很多优点，其中不包括：
A.可提供数字签名、零知识证明等额外服务
B.加密/解密速度快，不需占用较多资源
C.通信双方事先不需要通过保密信道交换密钥
D.密钥持有量大大减少
答案：
B
20.下列哪一项准确描述了哈希算法、数字签名和对称密钥算法所提供的功能？
A．身份鉴别和完整性，完整性，机密性和完整性
B．完整性，身份鉴别和完整性，机密性和可用性
C．完整性，身份鉴别和完整性，机密性
D．完整性和机密性，完整性，机密性
答案：
C
页码：
4
注册信息安全专业人员资质认证考试（CISP）
21.下列哪一种密码算法是基于大数分解难题的？
A. ECC
B. RSA
C. DES
D. Diffie-Hellman
答案：
B
22.一名攻击者试图通过暴力攻击来获取下列哪一项信息？
A．加密密钥
B．加密算法
C．公钥
D．密文
答案：
A
23.下列哪一个是PKI体系中用以对证书进行访问的协议?
A. SSL
B. LDAP
C. CA
D. IKE
答案：
B
24.下列哪一项信息不包含在X.509规定的数字证书中？
A.证书有效期
B.证书持有者的公钥
C.证书颁发机构的签名
D.证书颁发机构的私钥
答案：
D
25.以下对于IPsec协议说法正确的是：
A.鉴别头（AH）协议，不能加密包的任何部分
B.IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C.IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D.在使用传输模式时，IPsec为每个包建立一个新的包头，而在隧道模式下使用原始包头
答案：
A
26.下面安全套接字层协议（SSL）的说法错误的是？
A.它是一种基于web应用的安全协议
B.由于SSL是内嵌在浏览器中的，无需安全客户端软件，所以相对于IPSec更简单易用
页码：
5
注册信息安全专业人员资质认证考试（CISP）
C.SSL与IPSec一样都工作在网络层
D.SSL可以提供身份认证、加密和完整性校验的功能答案：
C
27.构成IPSec的主要安全协议不包括下列哪一项：
A.ESP
B.DSS
C.IKE
D.AH
答案：
B
28.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：
A. 你是什么
B. 你有什么
C. 你知道什么
D. 你做了什么
答案：
A
29.从分析方式上入侵检测技术可以分为：
A、基于标志检测技术、基于状态检测技术
B、基于异常检测技术、基于流量检测技术
C、基于误用检测技术、基于异常检测技术
D、基于标志检测技术、基于误用检测技术答案：
C
30.某种防火墙的缺点是没有办法从非常细微之处来分析数据包，但它的优点是非常快，
这种防火墙是以下的哪一种？
A. 电路级网关
B. 应用级网关
C. 会话层防火墙
D. 包过滤防火墙
答案：
升级会员 