CISP样题含答案.docx
《CISP样题含答案.docx》由会员分享，可在线阅读，更多相关《CISP样题含答案.docx（31页珍藏版）》请在冰豆网上搜索。
CISP样题含答案
1.以下对信息安全问题产生的根源描述最准确的是：
A.信息安全问题是由于信息技术的不断开展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的因是信息系统的复杂性，外因是对手的威胁与破坏
2.中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：
A、为政府单位信息系统进展安全方案设计
B、在信息安全公司从事保安工作C、在公开场合宣讲安全知识D、在学校讲解信息安全课程
3.确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其
所用，是指：
A、完整性B、可用性C、性
D、抗抵赖性
4.以下信息系统安全说确的是：
A．加固所有的服务器和网络设备就可以保证网络的安全B．只要资金允许就可以实现绝对的安全
C．断开所有的服务可以保证信息系统的安全
D．信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略
5.OSI开放系统互联安全体系架构中的安全服务分为鉴别服务、访问控制、性服务、
完整性服务、抗抵赖服务，其中性服务描述正确的选项是？
A.包括原发方抗抵赖和承受方抗抵赖
B.包括连接性、无连接性、选择字段性和业务流
C.包括对等实体鉴别和数据源鉴别
D.包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性
页码：
1
6.“进不来〞“拿不走〞“看不懂〞“改不了〞“走不脱〞是网络信息安全建设的
目的。
其中，“看不懂〞是指下面那种安全服务：
A．数据加密
B．身份认证
C．数据完整性D．访问控制
7.电子商务交易必须具备抗抵赖性，目的在于防止。
A．一个实体假装成另一个实体
B．参与此交易的一方否认曾经发生过此次交易C．他人对数据进展非授权的修改、破坏D．信息从被监视的通信过程中泄漏出去
8.以下对于CC的“评估保证级〞〔EAL〕的说法最准确的是：
A.代表着不同的访问控制强度
B.描述了对抗安全威胁的能力级别
C.是信息技术产品或信息技术系统对安全行为和安全功能的不同要求
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度答
9.以下哪一项准确地描述了可信计算基〔TCB〕？
A．TCB只作用于固件〔Firmware〕
B．TCB描述了一个系统提供的安全级别C．TCB描述了一个系统部的保护机制D．TCB通过安全标签来表示数据的敏感性
10.下面关于访问控制模型的说法不正确的选项是：
A.DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权。
B.DAC实现提供了一个基于“need-to-know〞的访问授权的方法，默认拒绝任何人的访问。
访问许可必须被显式地赋予访问者。
C．在MAC这种模型里，管理员管理访问控制。
管理员制定策略，策略定义了哪个主体能访问哪个对象。
但用户可以改变它。
D．RBAC模型中管理员定义一系列角色〔roles〕并把它们赋予主体。
系统进程和普通用户可能有不同的角色。
设置对象为某个类型，主体具有相应的角色就可以访问它。
页码：
2
11.安全模型明确了安全策略所需的数据结构和技术，以下哪一项最好地描述了安全模型中的“简单安全规那么〞？
A．Biba模型中的不允许向上写
B．Biba模型中的不允许向下读
C．Bell-LaPadula模型中的不允许向下写D．Bell-LaPadula模型中的不允许向上读
12.以下关于访问控制模型说法不准确的是？
A.访问控制模型主要有3种：
自主访问控制、强制访问控制和基于角色的访问控制。
B.自主访问控制模型允许主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问。
C.基于角色的访问控制RBAC中“角色〞通常是根据行政级别来定义的。
D.强制访问控制MAC是“强加〞给访问主体的，即系统强制主体服从访问控制政策。
13.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于以下哪种安全模型的一局部？
A．Bell-LaPadula模型
B．Biba模型
C．信息流模型
D．Clark-Wilson模型
14.以下哪一项关于Bell-LaPadula模型特点的描述是错误的？
A.强调对信息性的保护，受到对信息要求较高的军政机关和企业的喜爱。
B.既定义了主体对客体的访问，也说明了主体对主体的访问。
因此，它适用于网络系统。
C.它是一种强制访问控制模型，与自主访问控制模型相比具有强耦合，集中式授权的特点。
D.比起那些较新的模型而言，Bell-LaPadula定义的公理很简单，更易于理解，与所使用的实际系统具有直观的联系。
15.以下对于基于角色的访问控制模型的说法错误的选项是？
A.它将假设干特定的用户集合与权限联系在一起
B.角色一般可以按照部门、岗位、工种等与实际业务严密相关的类别来划分
C.因为角色的变动往往远远低于个体的变动，所以基于角色的访问控制维护起来比较便利
D.对于数据库系统的适应性不强，是其在实际使用中的主要弱点
16.以下哪类访问控制模型是基于安全标签实现的？
A.自主访问控制
B.强制访问控制
C.基于规那么的访问控制
D.基于身份的访问控制
17.根据PPDR模型：
A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以与安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，那么系统的安全性取决于暴露时间
18.以下有关密码学的说法中错误的选项是：
A.密码学是研究信息系统安全的科学。
由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进展分析，以便推出变量、包括明文在的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进展编码，实现对信息的隐蔽。
19.非对称密码算法具有很多优点，其中不包括：
A.可提供数字签名、零知识证明等额外服务
B.加密/解密速度快，不需占用较多资源
C.通信双方事先不需要通过信道交换密钥
D.密钥持有量大大减少
20.以下哪一项准确描述了哈希算法、数字签名和对称密钥算法所提供的功能？
A．身份鉴别和完整性，完整性，性和完整性
B．完整性，身份鉴别和完整性，性和可用性C．完整性，身份鉴别和完整性，性D．完整性和性，完整性，性
页码：
4
21.以下哪一种密码算法是基于大数分解难题的？
A.ECC
B.RSA
C.DES
D.Diffie-Hellman
22.一名攻击者试图通过暴力攻击来获取以下哪一项信息？
A．加密密钥
B．加密算法C．公钥
D．密文
23.以下哪一个是PKI体系中用以对证书进展访问的协议?
A.SSL（加密）
B.LDAP
C.CA
D.IKE
24.以下哪一项信息不包含在X.509规定的数字证书中？
A.证书有效期
B.证书持有者的公钥
C.证书颁发机构的签名
D.证书颁发机构的私钥
25.以下对于IPsec协议说确的是：
A.鉴别头〔AH〕协议，不能加密包的任何局部
B.IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C.IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D.在使用传输模式时，IPsec为每个包建立一个新的，而在隧道模式下使用原始
26.下面安全套接字层协议〔SSL〕的说法错误的选项是？
A.它是一种基于web应用的安全协议
B.由于SSL是嵌在浏览器中的，无需安全客户端软件，所以相对于IPSec更简单易用
页码：
5
C.SSL与IPSec一样都工作在网络层
D.SSL可以提供身份认证、加密和完整性校验的功能
27.构成IPSec的主要安全协议不包括以下哪一项：
A.ESP
B.DSS
C.IKE
D.AH
28.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：
A.你是什么
B.你有什么
C.你知道什么
D.你做了什么
29.从分析方式上入侵检测技术可以分为：
A、基于标志检测技术、基于状态检测技术
B、基于异常检测技术、基于流量检测技术C、基于误用检测技术、基于异常检测技术
D、基于标志检测技术、基于误用检测技术
30.某种防火墙的缺点是没有方法从非常细微之处来分析数据包，但它的优点是非常快，这种防火墙是以下的哪一种？
A.电路级网关
B.应用级网关
C.会话层防火墙
D.包过滤防火墙
31.设备可以隔离ARP广播帧。
A．路由器B．网桥
C．以太网交换机D．集线器
页码：
6
32.以下哪个协议可以防止局域网的数据链路层的桥接环路：
A.HSRP
B.STP
C.VRRP
D.OSPF
33.以下哪一项不是IDS可以解决的问题？
A.弥补网络协议的弱点
B.识别和报告对数据文件的改动
C.统计分析系统中异常活动模式
D.提升系统监控能力
34.从部署结构来看，以下哪一种类型的防火墙提供了最高安全性？
A．屏蔽路由器
B．双宿堡垒主机
C．屏蔽主机防火墙D．屏蔽子网防火墙
35.下面哪类设备常用于风险分析过程中，识别系统中存在的脆弱性？
A.防火墙
B.IDS
C.漏洞扫描器
D.UTM
36.当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看：
A.访问控制列表
B.系统服务配置情况
C.审计记录
D.用户和权限的设置
37.网络隔离技术的目标是确保把有害的攻击隔离，在保证可信网络部信息部不外泄的
前提下，完成网络间数据的安全交换。
以下隔离技术中，安全性最好的是。
A．多重安全网关
B．防火墙
页码：
7
C．VLAN隔离
D．物理隔离
38.在WindowsXP中用事件查看器查看日志文件，可看到的日志包括。
A．用户访问日志、安全性日志、系统日志和IE日志B．应用程序日志、安全性日志、系统日志和IE日志C．网络攻击日志、安全性日志、记帐日志和IE日志
D．网络连接日志、安全性日志、服务日志和IE日志
39.以下对windows服务的说法错误的选项是〔〕
A.为了提升系统的安全性管理员应尽量关闭不需要的服务
B.可以作为独立的进程运行或以DLL的形式依附在Svchost.exe
C.windows服务只有在用户成功登录系统后才能运行
D.windows服务通常是以管理员的身份运行的
40.在window系统中用于显示本机各网络端口详细情况的命令是：
A.netshow
B.netstat
C.ipconfig
D.netview
41.在Unix/Linux系统中，口令是以加密的方式存储的，会出现在哪个文件中？
A、/etc/passwd
B、/etc/shadow
C、/etc/default/passwd
D、/etc/default/shadow
42.WindowsNT中的组策略适用于：
A.S：
站点
B.D：
域
C.OU：
组织单位
D.S，D，OU。
43.以下关于数据库安全的说法错误的选项是？
A.数据库系统的安全性很大程度上依赖于DBMS的安全机制
页码：
8
B.许多数据库系统在操作系统下以文件形式进展管理，因此利用操作系统漏洞可以窃取数据库文件
C.为了防止数据库中的信息被盗取，在操作系统层次对文件进展加密是唯一从根本上解决问题的手段
D.数据库的安全需要在网络系统、操作系统和数据库管理系统三个方面进展保护
44.从安全的角度来看，数据库视图〔view〕的主要用途是：
A.确保相关完整性
B.方便访问数据
C.限制用户对数据的访问.
D.提供审计跟踪
45.下面关于IIS报错信息含义的描述正确的选项是？
A.401—找不到文件
B.403—禁止访问
C.404—权限问题
D.500—系统错误
46.以下哪种病毒能对计算机硬件产生破坏？
A．CIH
B．CODERED
C．维金
D．熊猫烧香
47.以下对于蠕虫病毒的描述错误的选项是：
A.蠕虫的传播无需用户操作
B.蠕虫会消耗存或网络带宽，导致DOS
C.蠕虫的传播需要通过“宿主〞程序或文件
D.蠕虫程序一般由“传播模块〞、“隐藏模块〞和“目的功能模块〞构成
48.为了防止电子中的恶意代码，应该用方式阅读电子。
A．纯文本B．网页C．程序D．会话
页码：
9
49.为了应对日益严重的垃圾问题，人们设计和应用了各种垃圾过滤机制，以下哪一项为哪一项消耗计算资源最多的一种垃圾过滤机制：
A.SMTP身份认证
B.逆向名字解析
C.黑过滤
D.容过滤
50.无论是哪一种web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息系统安全漏洞属于：
A.设计型漏洞
B.开发型漏洞
C.运行型漏洞
D.以上都不是
51.基于攻击方式可以将黑客攻击分为主动攻击和被动攻击，以下哪一项不属于主动攻击？
A.中断
B.篡改
C.侦听
D.伪造
52.关于数据库注入攻击的说法错误的选项是：
A．它的主要原因是程序对用户的输入缺乏过滤B．一般情况下防火墙对它无法防
C．对它进展防时要关注操作系统的版本和安全补丁D．注入成功后可以获取局部权限
53.以下哪一项为哪一项DOS攻击的一个实例？
A.SQL注入
B.IPSpoof
C.Smurf攻击
D.字典破解
页码：
10
54.以下哪一项不是安全编程的原那么：
A.尽可能使用高级语言进展编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法
55.下面哪一项不属于微软SDL的七个阶段之一？
A.培训
B.需求
C.销售
D.验证
56.以下对于Rootkit技术的解释不准确的是：
A.Rootkit是攻击者用来隐藏自己和保存对系统的访问权限的一组工具
B.Rootkit是一种危害大、传播围广的蠕虫
C.Rootkit和系统底层技术结合十分严密
D.Rootkit的工作机制是定位和修改系统的特定数据，改变系统的正常操作流程
57.以下对跨站脚本攻击〔XSS〕的解释最准确的一项为哪一项：
A.引诱用户点击虚假网络的一种攻击方法
B.构造精妙的关系数据库的结构化查询语言对数据库进展非法的访问
C.一种很强大的木马攻击手段
D.将恶意代码嵌入到用户浏览的web网页中，从而达到恶意的目的
58.以下哪一项为哪一项防SQL注入攻击最有效的手段？
A.删除存在注入点的网页
B.对数据库系统的管理权限进展严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进展严格的过滤
59.以下哪一项为哪一项常见web站点脆弱性扫描工具：
A.AppScan
B.Nmap
C.Sniffer
D.LC
页码：
11
60.以下哪一项为哪一项黑客用来实施DDOS攻击的工具：
A.LC5
B.Rootkit
C.IceSword
D.Trinoo
61.风险分析的目标是达到：
A、风险影响和保护性措施之间的价值平衡B、风险影响和保护性措施之间的操作平衡C、风险影响和保护性措施之间的技术平衡
D、风险影响和保护性措施之间的逻辑平衡
62.对于信息系统访问控制说法错误的选项是?
A.应该根据业务需求和安全要求制定清晰的访问控制策略，并根据需要进展评审和改良
B.网络访问控制是访问控制的重中之重，网络访问控制做好了操作系统和应用层次的访问控制问题就可以得到解决
C.做好访问控制工作不仅要对用户的访问活动进展严格管理，还要明确用户在访问控制中的有关责任
D.移动计算和远程工作技术的广泛应用给访问控制带来了新的问题，因此在访问控制工作中要重点考虑对移动计算设备和远程工作用户的控制措施.
63.以下哪一项较好地描述了组织机构的安全策略？
A.定义了访问控制需求的总体指导方针
B.建议了如何符合标准
C.说明管理者意图的高层述
D.说明所使用的特定技术控制措施的高层述
64.资产管理是信息安全管理的重要容，而清楚的识别信息系统相关的资产，并编制资产清单是资产管理的重要步骤，下面关于资产清单的说法错误的选项是：
A.资产清单的编制是风险管理的一个重要的先决条件
B.信息安全管理中所涉与的资产是指信息资产，即业务数据、合同协议、培训材料等
C.在制定资产清单的时候应根据资产的重要性、业务价值和安全分类，确定与资产重要性相对应的保护级别
D.资产清单中应当包括将资产从灾难中恢复而需要的信息，如资产类型、格式、位置、备份信息、许可信息等
65.组织在实施与维护信息安全的流程中，以下哪一项不属于高级管理层的职责？
A．明确的支持
B．执行风险分析
C．定义目标和围D．职责定义与授权
66.信息分类是信息安全管理工作的重要环节，以下哪一项不是对信息进展分类时需要重点考虑的？
A.信息的价值
B.信息的时效性
C.信息的存储方式
D.法律法规的规定
67.以下哪一项关于对违反安全规定的员工进展惩戒的说法是错误的？
A.对安全违规的发现和验证是进展惩戒的重要前提
B.惩戒措施的一个重要的意义在于它的威慑性
C.出于公平，进展惩戒时不应考虑员工是否是初犯，是否承受过培训
D.尽管法律诉讼是一种严厉有效的惩戒手段，但使用它时一定要十分慎重
68.对信息安全风险评估工作成果理解正确的选项是：
A．信息安全风险评估工作的最重要成果是按高中低级排列的风险列表。
B．通过信息安全风险评估工作，不仅能够明确系统安全风险，还能够获得如何控制风险的详细建议。
C．信息安全风险评估工作最终成果是信息系统安全问题〔脆弱点〕列表。
D．信息安全风险评估工作最终成果是信息系统安全威胁列表。
69.以下对“信息安全风险〞的描述正确的选项是：
A．是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险B．是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险
页码：
13
C．是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险D．是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险
70.在冗余磁盘阵列中，以下不具有容错技术的是。
A．RAID0
B．RAID1
C．RAID3
D．RAID5
71.为了达到组织灾难恢复的要求，备份时间间隔不能超过：
A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可承受程度（MAO）
72.以下关于信息安全应急响应的说法错误的选项是：
A.明确处理安全事件的工作职责和工作流程是应急响应工作中非常重要的一项容
B.仅仅处理好紧急事件不是应急工作的全部，通过信息安全事件进展总结和学习也是很重要的
C.对安全事件的报告和对安全弱点的报告都是信息安全事件管理的重要容
D.作为一个单位的信息安全主管，在安全事件中主要任务是排除事件的负面影响，而取证和追查完全是执法机关的事情
73.以下对于信息安全事件分级的说确的是?
A.对信息安全事件的分级可以参考信息系统的重要程度、系统损失和应急本钱三个要素
B.判断信息系统的重要程度主要考虑其用户的数量
C.判断系统损失大小主要考虑恢复系统正常运行和消除安全事件负面影响所需付出的代价
D.根据有关要求国家机关的信息安全事件必须划分为“重大事件〞、“较大事件〞和“一般事件〞三个级别
74.目前数据大集中是我国重要的大型分布式信息系统建设和开展的趋势。
数据大集中就是将数据集中存储和管理，为业务信息系统的运行搭建了统一的数据平台。
对这种做法的认识正确的选项是：
A.数据库系统庞大会提高管理本钱
B.数据库系统庞大会降低管理效率
C.数据的集中会降低风险的可控性
D.数据的集中会造成风险的集中
75.对程序源代码进展访问控制管理时，以下哪一种做法是错误的？
A.假设有可能，在实际生产系统中不保存源程序库
B.对源程序库的访问进展严格的审计
C.技术支持人员应可以不受限制地访问源程序
D.对源程序库的拷贝应受到严格的控制规程的制约
76.以下对系统日志信息的操作中哪一项为哪一项最不应当发生的：
A.对日志容进展编辑
B.只抽取局部条目进展保存和查看
C.用新的日志覆盖旧的日志
D.使用专用工具对日志进展分析
77.以下哪一项为哪一项对信息系统经常不能满足用户需求的最好解释?
A.没有适当的质量管理工具
B.经常变化的用户需求
C.用户参与需求挖掘不够
D.项目管理能力不强
78.以下哪一种行为通常不是在信息系统生存周期中的运行维护阶段中发生的？
A.进展系统备份
B.管理加密密钥
C.认可安全控制措施
D.升级安全软件
79.在信息安全管理工作中“符合性〞的含义不包括哪一项？
A.对法律法规的符合
B.对安全策略和标准的符合
页码：
15
C.对用户预期服务效果的符合
D.通过审计措施来验证符合情况
80.以下哪种方法能够满足双因子认证的需求？
A．智能卡和用户PIN
B．用户ID与密码
C．虹膜扫描和指纹扫描D．用户名和PIN
81.系统工程是信息安全工程的根底学科，钱学森说：
“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，使一种对所有系统都具有普遍意义的科学方法〞，以下哪项对系统工程的理解是正确的：
A．系统工程是一种方法论
B．系统工程是一种技术实现C．系统工程是一种根本理论
D．系统工程不以人参与系统为研究对象
82.项目管理是信息安全工程的根底理论，以下哪项对项目管理的理解是正确的：
A．项目管理的根本要素是质量、进度和本钱
B．项目管理的根本要素是围、人力和沟通
C．项目管理是从项目的执行开始到项目完毕的全过程进展计划、组织、指挥、协调、控制和评价，以实现项目的目标
D．项目管
升级会员 