CISP注册信息安全专业人员最新练习题.docx
《CISP注册信息安全专业人员最新练习题.docx》由会员分享，可在线阅读，更多相关《CISP注册信息安全专业人员最新练习题.docx（52页珍藏版）》请在冰豆网上搜索。
CISP注册信息安全专业人员最新练习题
1.某公司准备在业务环境中部署一种新的计算机产品，下列哪一项是授权过程的最后一步？
A．认证
B．定级
C．认可
D．识别
答案：
C
2.下列哪一项准确地描述了可信计算基（TCB）？
A．TCB只作用于固件（Firmware）
B．TCB描述了一个系统提供的安全级别
C．TCB描述了一个系统内部的保护机制
D．TCB通过安全标签来表示数据的敏感性
答案：
C
3.下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有XX的访问以及破坏性的修改行为？
A．安全核心
B．可信计算基
C．引用监视器
D．安全域
答案：
C
4.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？
A．Biba模型中的不允许向上写
B．Biba模型中的不允许向下读
C．Bell-LaPadula模型中的不允许向下写
D．Bell-LaPadula模型中的不允许向上读
答案：
D
5.为了防止授权用户不会对数据进行XX的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则？
A．Bell-LaPadula模型中的不允许向下写
B．Bell-LaPadula模型中的不允许向上读
C．Biba模型中的不允许向上写
D．Biba模型中的不允许向下读
答案：
C
6.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？
A．Bell-LaPadula模型
B．Biba模型
C．信息流模型
D．Clark-Wilson模型
答案：
D
7.作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。
由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型？
A．自主访问控制（DAC）
B．强制访问控制（MAC）
C．基于角色访问控制（RBAC）
D．最小特权（LeastPrivilege）
答案：
C
8.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？
A．强制访问控制（MAC）
B．集中式访问控制（DecentralizedAccessControl）
C．分布式访问控制（DistributedAccessControl）
D．自主访问控制（DAC）
答案：
D
9.下列哪一项最好地描述了消息认证码、哈希算法、数字签名和对称密钥分别提供的功能？
A．系统认证和完整性，完整性，真实性和完整性，机密性和完整性
B．用户认证和完整性，完整性，真实性和完整性，机密性
C．系统认证和完整性，完整性，真实性和完整性，机密性
D．系统认证和完整性，完整性和机密性，真实性和完整性，机密性
答案：
C
10.IPSec中包括AH（认证头）和ESP（封装安全载荷）这2个主要协议，其中AH提供下列哪些功能？
A．机密性与认证
B．机密性与可靠性
C．完整性与可靠性
D．完整性与认证
答案：
D
11.关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？
A．对称加密算法更快，因为使用了替换密码和置换密码
B．对称加密算法更慢，因为使用了替换密码和置换密码
C．非对称加密算法的密钥分发比对称加密算法更困难
D．非对称加密算法不能提供认证和不可否认性
答案：
A
12.数字签名不能提供下列哪种功能？
A．机密性
B．完整性
C．真实性
D．不可否认性
答案：
A
13.电子邮件的机密性与真实性是通过下列哪一项实现的？
A．用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密
B．用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密
C．用接收者的私钥对消息进行签名，用发送者的公钥对消息进行加密
D．用接收者的公钥对消息进行签名，用发送者的私钥对消息进行加密
答案：
A
14.下列哪一项不属于公钥基础设施（PKI）的组件？
A．CRL
B．RA
C．KDC
D．CA
答案：
C
15.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？
A．重放攻击
B．Smurf攻击
C．字典攻击
D．中间人攻击
答案：
D
16.一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？
（1）接收者解密并获取会话密钥
（2）发送者请求接收者的公钥
（3）公钥从公钥目录中被发送出去
（4）发送者发送一个由接收者的公钥加密过的会话密钥
A．4，3，2，1
B．2，1，3，4
C．2，3，4，1
D．2，4，3，1
答案：
C
17.下列哪一项最好地描述了SSL连接机制？
A．客户端创建一个会话密钥并用一个公钥来加密这个会话密钥
B．客户端创建一个会话密钥并用一个私钥来加密这个会话密钥
C．服务器创建一个会话密钥并用一个公钥来加密这个会话密钥
D．服务器创建一个会话密钥并用一个私钥来加密这个会话密钥
答案：
A
18.一名攻击者试图通过暴力攻击来获取下列哪一项信息？
A．加密密钥
B．加密算法
C．公钥
D．密文
答案：
A
19.不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。
下列哪一种非对称加密算法因需要最少的资源而具有最高效率？
A．RSA
B．ECC
C．Blowfish
D．IDEA
答案：
B
20.在对消息的发送者进行认证时，下列哪一项安全机制是最可靠的？
A．数字签名
B．非对称加密算法
C．数字证书
D．消息认证码
答案：
C
21.TACACS+协议提供了下列哪一种访问控制机制？
A．强制访问控制
B．自主访问控制
C．分布式访问控制
D．集中式访问控制
答案：
D
22.下列哪一项能够被用来检测过去没有被识别过的新型攻击？
A．基于特征的IDS
B．基于知识的IDS
C．基于行为的IDS
D．专家系统
答案：
C
23.下列哪种类型的IDS能够监控网络流量中的行为特征，并能够创建新的数据库？
A．基于特征的IDS
B．基于神经网络的IDS
C．基于统计的IDS
D．基于主机的IDS
答案：
B
24.访问控制模型应遵循下列哪一项逻辑流程？
A．识别，授权，认证
B．授权，识别，认证
C．识别，认证，授权
D．认证，识别，授权
答案：
C
25.在对生物识别技术中的错误拒绝率（FRR）和错误接收率（FAR）的定义中，下列哪一项的描述是最准确的？
A．FAR属于类型I错误，FRR属于类型II错误
B．FAR是指授权用户被错误拒绝的比率，FRR属于类型I错误
C．FRR属于类型I错误，FAR是指冒充者被拒绝的次数
D．FRR是指授权用户被错误拒绝的比率，FAR属于类型II错误
答案：
D
26.某单位在评估生物识别系统时，对安全性提出了非常高的要求。
据此判断，下列哪一项技术指标对于该单位来说是最重要的？
A．错误接收率（FAR）
B．平均错误率（EER）
C．错误拒绝率（FRR）
D．错误识别率（FIR）
答案：
A
27.下列哪种方法最能够满足双因子认证的需求？
A．智能卡和用户PIN
B．用户ID与密码
C．虹膜扫描和指纹扫描
D．磁卡和用户PIN
答案：
A
28.在Kerberos结构中，下列哪一项会引起单点故障？
A．E-Mail服务器
B．客户工作站
C．应用服务器
D．密钥分发中心（KDC）
答案：
D
29.在下列哪一项访问控制技术中，数据库是基于数据的敏感性来决定谁能够访问数据？
A．基于角色访问控制
B．基于内容访问控制
C．基于上下文访问控制
D．自主访问控制
答案：
B
30.从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？
A．屏蔽路由器
B．双宿堡垒主机
C．屏蔽主机防火墙
D．屏蔽子网防火墙
答案：
D
31.下列哪一项能够最好的保证防火墙日志的完整性？
A．只授予管理员访问日志信息的权限
B．在操作系统层获取日志事件
C．将日志信息传送到专门的第三方日志服务器
D．在不同的存储介质中写入两套日志
答案：
C
32.数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范化（denormanization）操作来提高数据库性能，这样做将增加下列哪项风险？
A．访问的不一致
B．死锁
C．对数据的非授权访问
D．数据完整性的损害
答案：
D
33.下列哪一项不是一种预防性物理控制？
A．安全警卫
B．警犬
C．访问登记表
D．围栏
答案：
C
34.当一名入侵者紧跟着一位授权人员，在没有经过访问控制系统认证的情况下通过入口的行为称为：
A．冒充
B．尾随
C．截获
D．欺骗
答案：
B
35.在数据中心环境中，下列哪一种灭火系统最应该被采用？
A．干管喷淋灭火系统
B．湿管喷淋灭火系统
C．Halon灭火系统
D．二氧化碳气体
答案：
A
36.执行一个Smurf攻击需要下列哪些组件？
A．攻击者，受害者，放大网络
B．攻击者，受害者，数据包碎片，放大网络
C．攻击者，受害者，数据包碎片
D．攻击者，受害者，带外数据
答案：
A
37.下列哪种渗透性测试对有效的评估一个组织对事件处理和响应的能力？
A．目标测试
B．外部测试
C．内部测试
D．双盲测试
答案：
D
38.下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间的关系？
A．脆弱性增加了威胁，威胁利用了风险并导致了暴露
B．风险引起了脆弱性并导致了暴露，暴露又引起了威胁
C．暴露允许威胁利用脆弱性，并导致了风险
D．威胁利用脆弱性并产生影响的可能性称为风险，暴露是威胁已造成损害的实例
39.某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？
A．部门经理
B．高级管理层
C．信息资产所有者
D．最终用户
答案：
C
40.下列哪一项最准确地描述了定量风险分析？
A．通过基于场景的分析方法来研究不同的安全威胁
B．一种将潜在的损失以及进行严格分级的分析方法
C．在风险分析时，将货币价值赋给信息资产
D．一种基于主观判断的风险分析方法
答案：
C
41.为什么一个公司内部的风险评估团队应该由来自不同部门的人员组成？
A．确保风险评估过程是公平的
B．因为风险正是由于这些来自不同部门的人员所引起的，因此他们应该承担风险评估的职责
C．因为不同部门的人员对本部门所面临的风险最清楚，由此进行的风险评估也最接近于实际情况
D．风险评估团队不应该由来自不同部门的人员组成，而应该由一个来自公司外部的小型团队组成
答案：
C
42.下列哪一项准确定义了安全基线？
A．指明应该做什么和不应该做什么的规定
B．最低水平的安全需求
C．安全措施的操作手册
D．安全建议
答案：
B
43.组织在实施与维护信息安全的流程中，下列哪一项不属于高级管理层的职责？
A．明确的支持
B．执行风险分析
C．定义目标和范围
D．职责定义与授权
答案：
B
44.实施安全程序能够加强下列所有选项，除了：
A．数据完整性
B．安全意识教育
C．数据准确性
D．保护资产
答案：
C
45.下列哪一项准确地描述了标准、基线、指南和规程的定义？
A．标准是完成某项任务的详细步骤，规程是建议性的操作指导
B．基线是强制性的规定，指南是建议性的操作指导
C．标准是强制性的规定，规程是完成某项任务的详细步骤
D．规程是建议性的操作指导，基线是必须具备的最低安全水平
答案：
C
46.剩余风险应该如何计算？
A．威胁×风险×资产价值
B．（威胁×资产价值×脆弱性）×风险
C．单次损失值×频率
D．（威胁×脆弱性×资产价值）×控制空隙
答案：
D
47.下列哪一项准确地定义了风险评估中的三个基本步骤？
A．
（1）识别风险；
（2）评估风险；（3）消减风险。
B．
（1）资产赋值；
（2）风险分析；（3）防护措施。
C．
（1）资产赋值；
（2）识别风险；（3）评估风险。
D．
（1）识别风险；
（2）资产赋值；（3）消减风险。
答案：
B
48.对于在风险评估过程中发现的风险，下列哪一项不是适当的风险处置措施？
A．消减风险
B．接受风险
C．忽略风险
D．转移风险
答案：
C
49.某公司正在对一台关键业务服务器进行风险评估：
该服务器价值138000元，针对某个特定威胁的暴露因子（EF）是45%，该威胁的年度发生率（ARO）为每10年发生1次。
根据以上信息，该服务器的年度预期损失值（ALE）是多少？
A．1800元
B．62100元
C．140000元
D．6210元
答案：
D
50.下列哪一项最准确地描述了灾难恢复计划（DRP）应该包括的内容？
A．硬件，软件，人员，应急流程，恢复流程
B．人员，硬件，备份站点
C．硬件，软件，备份介质，人员
D．硬件，软件，风险，应急流程
答案：
A
51.某公司在执行灾难恢复测试时，信息安全专业人员注意到灾难恢复站点的服务器的运行速度缓慢，为了找到根本原因，他应该首先检查：
A．灾难恢复站点的错误事件报告
B．灾难恢复测试计划
C．灾难恢复计划（DRP）
D．主站点和灾难恢复站点的配置文件
答案：
D
52.为了达到组织灾难恢复的要求，备份时间间隔不能超过：
A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可接受程度（MAO）
答案：
C
53.某公司正在进行IT系统灾难恢复测试，下列问题中的哪个最应该引起关注：
A．由于有限的测试时间窗，仅仅测试了最必须的系统，其他系统在今年的剩余时间里陆续单独测试
B．在测试过程中，有些备份系统有缺陷或者不能正常工作，从而导致这些系统的测试失败
C．在开启备份站点之前关闭和保护原生产站点的过程比计划需要多得多的时间
D．每年都是由相同的员工执行此测试，由于所有的参与者都很熟悉每一个恢复步骤，因而没有使用灾难恢复计划（DRP）文档
答案：
D
54.为了优化组织的业务持续计划（BCP），信息安全专业人员应该建议执行业务影响分析（BIA）来确定：
A．能为组织产生最大财务价值，因而需要最先恢复的业务流程
B.为保证与组织业务战略相一致，业务流程恢复的优先级和顺序
C.在灾难中能保证组织生存而必须恢复的业务流程
D.能够在最短的时间内恢复最多系统的业务流程恢复顺序
答案：
C
55.当一个关键文件服务器的存储增长没有被合理管理时，以下哪一项是最大的风险？
A．备份时间会稳定增长
B．备份成本会快速增长
C．存储成本会快速增长
D．服务器恢复工作不能满足恢复时间目标（RTO）的要求
答案：
D
56.在CMM标准中，哪一个等级表明组织在软件开发过程中已经建立了定量的质量指标？
A．可重复级
B．已定义级
C．已管理级
D．优化级
答案：
C
57.在软件开发过程中，为了让程序内部接口错误能够被尽早发现，下列哪一种测试方法是最有效的？
A．自底向上测试
B．白盒测试
C．自顶向下测试
D．黑盒测试
答案：
C
58.在ISO27001-2005中，制定风险处置计划应该在PDCA的哪个阶段进行？
A．Plan
B．Do
C．Check
D．Act
答案：
B
59.在通用准则（CC）中，是按照下列哪一类评测等级对产品进行评测的？
A．PP
B．EPL
C．EAL
D．TCB
答案：
C
60.在可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别？
A．C2
B．C1
C．B2
D．B1
答案：
D
61.信息安全评估保障分为七级，其中描述不正确的是：
A．EAL1功能测试级
B、EAL2结构测试级
C．EAL3方法测试和校验级
D．EAL4半形式化设计和测试级
答案：
D
62.对于网络风险控制模型中，描述正确的是：
A．检查分析计划实施总结
B．监控识别分析计划实施
C．检查分析监控预算实施
D．监控识别计划执行总结
答案：
B
63.Clark-Wilson模型可以满足所有三个完整性安全目标，哪一个是错误的：
A．防止授权用户不适当的修改
B．防止非授权用户进行篡改
C．维持内部和外部的一致性
D．保障数据和程序安全
答案：
D
64.VPN为相关企业解决很大问题，哪一项VPN实现不了？
A．节约成本
B．保证数据安全性
C．保证网络安全性
D．对VPN内数据进行加密
答案：
C
65.在国家标准中，属于强制性标准的是？
A．GB/TXXXX.X-200X
B．GBXXXX-200X
C．DBXX/TXXX-200X
D．QXXX-XXX-200X
答案：
B
66.信息安全技术体系架构能力成熟度分为五个级别，其中描述正确的是？
A．能力级别1：
未实施
B．能力级别2：
非规范化设计、基本执行级
C．能力级别3：
文档化设计、规范定义级
D．能力级别4：
半形式化设计、测试验证级
答案：
D
67.以下哪个是防火墙能实现的功能？
A．阻断内外网的访问
B．阻断内外网的病毒
C．记录并监控所有通过防火墙的数据
D．保护DMZ服务区的安全
答案：
ACD
68.在OSI参考模型中，主要针对远程终端访问，任务包括会话管理、传输同步以及活动管理等是以下那一层？
A．应用层
B．物理层
C．会话层
D．网络层
答案：
C
69.UDP是传输层重要协议之一，哪一个描述是正确的？
A．基于UDP的服务包括FTP、HTTP、TELNET等
B．基于UDP的服务包括NIS、NFS、NTP及DNS等
C．UDP的服务具有较高的安全性
D．UDP的服务是面向连接的，保障数据可靠
答案：
B
70.防火墙的发展历程，以下哪一个顺序是正确的？
A．具有安全操作系统的防火墙—基于路由器的防火墙—用户化的防火墙工具套—建立在通用操作系统上的防火墙
B．建立在通用操作系统上的防火墙—基于路由器的防火墙—用户化的防火墙工具套—具有安全操作系统的防火墙
C．基于路由器的防火墙—用户化的防火墙工具套—建立在通用操作系统上的防火墙—具有安全操作系统的防火墙
D．用户化的防火墙工具套—基于路由器的防火墙—建立在通用操作系统上的防火墙—具有安全操作系统的防火墙
答案：
C
类别：
知识类（PT1）信息安全体系和模型知识体（PT2.BD2）信息和通信技术（ICT）安全
71.属于DDOS攻击的是：
A．SynFlood
B．Trinoo
C．Stacheldraht
D．FunTimeApocalypse
答案：
BCD
72.下列对XSS攻击描述正确的是：
A．XSS攻击指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。
B．XSS攻击是DDOS攻击的一种变种
C．XSS攻击就是CC攻击
D．XSS攻击就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使IIS连接数超出限制，当CPU资源或者带宽资源耗尽，那么网站也就被攻击垮了，从而达到攻击目的
答案：
A
73.下列信息系统安全说法正确的是：
A．加固所有的服务器和网络设备就可以保证网络的安全
B．只要资金允许就可以实现绝对的安全
C．断开所有的服务可以保证信息系统的安全
D．信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略
答案：
D
74.下列对防火墙的概念描述正确的是
A．防火墙就是一个访问控制设备只能对网络协议进行阻断
B．路由器的ACL列表就可以当成一台防火墙
C．防火墙是位于两个（或多个）网络间，实施网络之间访问控制的一组组件集合
D．防火墙软件防火墙和硬件防火墙之分
答案：
C
75.信息安全等级保护分级要求分为几级
A．2级
B．3级
C．4级
D．5级
答案：
D
76.信息安全等级保护技术要求的三种类型是
A．业务数据安全类、业务处理连续类、通用安全保护类
B．主机业务类、数据传输类、网络服务器类
C．业务数据安全类、网络数据传输类、通用安全保护类
D．主机业务安全类、业务处理连续类、通用安全保护类
答案：
A
77.信息安全等级保护技术里对信息系统描述正确的是
A．基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的系
B．由某个信息系统的一部分组件构成，能够完成特定工作的系统
C．对信息系统进行保护，保证业务数据不被非授权修改或泄漏，保证业务处理过程不被破坏或拒绝而导致业务中断
D．为确保信息系统具有与其安全保护等级相对应的安全保护能力应该满足的最低要求
答案：
A
78.等级保护定级阶段主要包括哪两个步骤
A．系统识别与描述、等级确定
B．系统描述、等级确定
C．系统识别、系统描述
D．系统识别与描述、等级分级
答案：
A
79.等级保护规划与设计阶段主要包括哪三个步骤
A．系统分域保护框架建立、选择和调整安全措施、安全规划和方案设计
B．系统分域保护框架建立、选择和调整安全措施、安全规划
C．系统分域保护框架建立、选择和调整安全措施、方案设计
D．系统分域保护框架建立、调整安全措施、安全规划和方案设计
答案：
A
80.在TCP/IP模型中应用层对应OSI模型的哪些（）层：
A.应用层
B.应用层、表示层
C.应用层、表示层、会话层
D.应用层、表示层、会话层、传输层
答案：
C
81.在计算机网络地址的规范中，B类网络的子网掩码是多少位：
A.8
B.16
C.18
D.24
答案：
B
82.下列那个协议哪个既是面向连接的又能提供可靠（错误恢复）传输：
A.TCP
B.UDP
C.IP
D.帧中继VC
答案：
A
83.在计算机网络布线工程中T568B的线序在RJ45接头中的针脚从1-8分别是：
A.白橙、橙、白绿、白蓝、蓝、绿、白棕、棕
B.白橙、橙、白绿、蓝、白蓝、绿、白棕、棕
C.白绿、绿、白橙、蓝、白蓝、橙、白棕、棕
D.白绿、绿、白蓝、白棕、棕、蓝、白橙、橙
答案：
B
84.BGP路由协议用哪个协议的哪个端口进行通信：
A.UDP520
B.TCP443
C.TCP179
D.UDP500
答案：
C
85.下列哪个协议可以防止局域网的数据链路层的桥接环路：
A.HSRP
B.STP
C.VRRP
D.OSPF
答案：
B
86.在linux系统中用哪个命令可以查看文件和目录，显示文件的属性：
A.cat
B.mkdir
C.ls
D.ls–l
答案：
D
87.在linux系统中磁盘分区用哪个命令：
A.fdisk
B.mv
C.mount
D.df
答案：
A
88.Linux系统的/etc目录从功能上看相当于windows系统的哪个文件夹：
A.ProgramFiles
B.Windows
C.Systemvolumeinformation
D.TEMP
答案：
B
89.在linux系统中拥有最高级别权
升级会员 