首页 › 答案 › 标签 › CISP

CISP

305定量风险分析是从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，准确度量风险的可以性和损失量。小王采用该方法来为单位机房计算火灾风险大小，假设单位机房的总价值为200万元人民币，暴露系数（ExposureFactor，EF）是x，年度发生率（AnnualizodEatoofOccurrence，ARO）为01，而小王计算的年度预期损失（AnnualizodLossErpectancy，ALE）值为5万元人民币，由此，x值应该是

306关于Kerberos认证协议，以下说法错误的是

307kerberos协议是常用的集中访问控制协议，通过可信第三的认证服务，减轻应用Kerberos的运行环境由秘钥分发中心（KDC）、应用服务器和客户端三个部分组成，认证服务器AS和票据授权服务器

308某单位系统管理员对组织内核心资源的访问制定访问策略，针对每个用户指明能够访问的资源，对于不在指定资源列表中的对象不允许访问。该访问控制策略属于以下哪一种

309由于Internet的安全问题日益突出，基于TCP/IP协议，相关组织和专家在协议的不同层次设计了相应的安全通信协议，用来保障网络各层次的安全。其中，属于或依附于传输层的安全协议是

310根据Bell-LaPedula模型安全策略，下图中写和读操作正确的是

311防火墙是网络信息系统建设中常采用的一类产品，它在内外网隔离方面的作用是

312张主任的计算机使用Windows7操作系统，他常登陆的用户名为zhang，张主任给他个人文件夹设置了权限为只有zhang这个用户有权访问这个目录，管理员在某次维护中无意将zhang这个用户删除了，随后又重新建了一个用户名为zhang，张主任使用zhang这个用户登录系统后，发现无法访问他原来的个人文件夹，原因是

313以下关于Windows系统的账号存储管理机制（SecurityAccountsManager）的说法哪个是正确的

314ISO9001-2000标准在制定、实施质量管理体系以及改进其有效性时采用过程方法，通过满足顾客要求增进顾客满意。下图是关于过程方法的示意图，图中括号空白处应填写

315设计信息系统安全保障方案时，以下哪个做法是错误的

316Windows文件系统权限管理访问控制列表（AccessControlList，ACL）机制，以下哪个说法是错误的

317ISO27002（Informationtechnology-Securitytechniques0Codeofpraticeforinforeationsecuritymanagcacnt）是重要的信息安全管理标准之一，下图是关于其演进变化示意图，图中括号空白处应填写

318自主访问控制模型（DAC）的访问控制关系可以用访问控制（ACL）来表示，该ACL利用在客体上附加一个主体明细表的方法来表示访问控制矩阵，通常使用由客体指向的链表来存储相关数据。下面选项中说法正确的是

319数据库的安全很复杂，往往需要考虑多种安全策略，才可以更好地保护数据库的安全。以下关于数据库常用的安全策略理解不正确的是

320我国标准《信息安全风险管理指南》（GB/Z24364）给出了信息安全风险管理的内容和过程，可以用下图来表示。图中空白处应该填写

321以下哪一项不是信息系统集成项目的特点

322某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安全风险评估分为自评估和检查评估两种形式。该部门将有关检查评估的特点和要求整理成如下四条报告给单位领导，其中描述错误的是

323为了能够合理、有序地处理安全事件，应事件制定出事件应急响应方法和过程，有助于一个组织在事件发生时阻止混乱的发生或是在混乱状态中迅速恢复控制，将损失和负面影响降至最低。PDCERF方法论是一种防范使用的方法，其将应急响应分成六个阶段，如下图所示，请为图中括号空白处选择合适的内容

324关于信息安全管理，下面理解片面的是

325关于风险要素识别阶段工作内容叙述错误的是

326某学员在学习国家标准《信息系统安全保障评估框架第一部分：简介和一般模型》（GB/T202741-2006）后，绘制了一张简化的信息系统安全保障模型图，如下所示。请为图中括号空白处选择合适的选项

327为了进一步提供信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，公安部等四部门联合发布《关于信息安全等级保护工作的实施意见》（公通字[2004]66号），对等级保护工作的开展提供宏观指导和约束，明确了等级保护工作哟的基本内容、工作要求和实施计划，以及各部门工作职责分工等。关于该文件，下面理解正确的是

328在某次信息安全应急响应过程中，小王正在实施如下措施：消除或阻断攻击源、找到并消除系统的脆弱性/漏洞、修改安全策略、加强防范措施、格式化被感染恶意程序的介质等。请问，按照PDCERF应急响应方法，这些工作应处于以下哪个阶段

329Linux系统的安全设置中，对文件的权限操作是一项关键操作。通过对文件权限的设置，能够保障不同用户的个人隐私和系统安全。文件fibc的文件属性信息如下图所示，小张想要修改其文件权限，为文件主增加执行权限，并删除组外其他用户的写权限，那么以下操作中正确的是

330关于信息安全事件管理和应急响应，以下说法错误的是

331恢复时间目标（RTO）和恢复点目标（RPO）是信息系统灾难恢复中的重要概念，关于这两个值能否为零，正确的选项是

332下面有关软件安全问题的描述中，哪项应是由于软件设计缺陷引起的

333通过对称密码算法进行安全消息传输的必要条件是

334某银行有5台交换机连接了大量交易机构的网路（如图所示），在基于以太网的通信中，计算机A需要与计算机B通信，A必须先广播ARP请求信息，获取计算机B的物理地址。没到月底时用户发现该银行网络服务速度极其缓慢。银行经调查后发现为了当其中一台交换机收到ARP请求后，会转发给接收端口以外的其他所有端口，ARP请求会被转发到网络中的所有客户机上。为降低网络的带宽消耗，将广播流限制在固定区域内，可以采用的技术是

335Windows系统下，哪项不是有效进行共享安全的防护措施？

336以下对Windows账号的描述，正确的是

337如图一所示：主机A和主机B需要通过IPSec隧道模式保护二者之间的通信流量，这种情况下IPSec的处理通常发生在哪二个设备中？

338以下关于代替密码的说法正确的是

339以下对Windows系统的服务描述，正确的是

340以下关于windowsSAM（安全账号管理器）的说法错误的是

341公钥基础设施，引入数字证书的概念，用来表示用户的身份，下图简要的描述了终端实体（用户），从认证权威机构CA申请、撤销和更新数字证书的流程，请为中间框空白处选择合适的选项

342常见密码系统包含的元素是

343如图所示，主体S对客体01有读（R）权限，对客体02有读（R）、写（）权限。该图所示的访问控制实现方法是

344社会工程学定位在计算机信息安全工作链的一个最脆弱的环节，即人这个环节上。这些社会工程黑客在某黑客大会上成功攻入世界五百强公司，其中一名自称是CSO杂志做安全调查，半小时内，攻击者选择了在公司工作两个月安全工程部门的合约雇员，在询问关于工作满意度以及食堂食物质量问题后，雇员开始透露其他信息，包括：操作系统、服务包、杀毒软件、电子邮件及浏览器。为对抗此类信息收集和分析，公司需要做的是

345基于TCP的主机在进行一次TCP连接时简要进行三次握手，请求通信的主机A要与另一台主机B建立连接时，A需要先发一个SYN数据包向B主机提出连接请示，B收到后，回复一个ACK/SYN确认请示给A主机，然后A再次回应ACK数据包，确认连接请求。攻击通过伪造带有虚假源地址的SYN包给目标主机，使目标主机发送的ACK/SYN包得不到确认。一般情况下，目标主机会等一段时间后才会放弃这个连接等待。因此大量虚假SYN包同时发送到目标主机时，目标主机上就会有大量的连接请示等待确认，当这些未释放的连接请示数量超过目标主机的

346公钥密码的应用不包括

347信息安全是国家安全的重要组成部分，综合研究当前世界各国信息安全保障工作，下面总结错误的是

348hash算法的碰撞是指

349Windows操作系统的注册表运行命令是

350在Windows文件系统中，_______支持文件加密。

351风险要素识别是风险评估实施过程中的一个重要步骤，小李将风险要素识别的主要过程使用图形来表示，如下图所示，请为图中空白框处选择一个最合适的选项

352WindowsNT提供的分布式安全环境又被称为

353在Windows系统中，管理权限最高的组是

354小李去参加单位组织的信息安全培训后，他把自己对管理信息管理体系ISMS的理解画了一张图，但是他还存在一个空白处未填写，请帮他选择一个合适的选项

355Windows系统下，可通过运行_______命令打开Windows管理控制台

356下图是某单位对其主网站一天流量的监测图，如果该网站当天17：00到20：00之间受到攻击，则从图中数据分析，这种攻击可能属于下面什么攻击。

357在window系统中用于显示本机各网络端口详细情况的命令是

358以下哪些问题或概念不是公钥密码体制中经常使用到的困难问题？

359如下图所示，Alice用Bob的密钥加密明文，将密文发送给Bob，Bob再用自己的私钥解密，恢复出明文以下说法正确的是

360以下哪种公钥密码算法既可以用于数据加密又可以用于密钥交换？

361在密码学的Kerchhof假设中，密码系统的安全性仅依赖于

362操作系统安全的基础是建立在

363某用户通过账号，密码和验证码成功登陆某银行的个人网银系统，此过程属于以下哪一类：

364下列关于kerckhof准则的说法正确的是

365小李是某公司系统规划师，某天他针对公司信息系统的现状，绘制了一张系统安全建设规划图，如下图所示。请问这个图形是依据下面哪个模型来绘制的

366根据BEII—lapadula模型安全策略，下图中写和读操作正确的是

367以下列出了mac和散列函数的相似性，哪一项说法是错误的？

368面哪种方法产生的密码是最难记忆的？

369信息可以以多种形式存在。它可以打印写在纸上、以（）、用邮寄或电子手段传递、呈现在信息可以以多种形式存在。它可以打印写在纸上、以（）、用邮寄或电子手段传递、呈现在片上使用是（）。无论信息以什么形式存在，用哪种方法存储或共享，都宜对它进行适当的保护。（）是保护信息受各种威胁的损害，以确保业务（），业务风险最小化，投资回报和（）

370信息发送者使用__________进行数字签名。

371关于微软的SDL原则，弃用不安全的函数属于哪个价格段？

372优秀源代码审核工具有哪些特点１安全性２多平台性３可扩民性４知识性５集成性

373风险评估的过程包括（）、（）、（）和（）四个阶段。在信息安全风险管理过程中，风险评估建立阶段的输出，形成本阶段的最终输出《风险评估报告》，此文档为风险处理活动提供输入。（）风险评估的四个阶段。

374信息安全风险管理过程的模型如图所示。按照流程，请问，信息安全风险管理包括（）六个方面的内容。（）是信息安全风险管理的四个基本步骤，（）则贯穿于这四个基本步骤中。

375软件工程方法提出起源于软件危机，而其目的应该是最终解决软件的问题的是

376某公司在讨论如何确认已有的安全措施，对于确认已有这全措施，下列选项中近期内述不正确的是（D）

377以下哪项网络攻击会对《网络安全法》定义的网络运行安全造成影响？

378作为单位新上任的CS0，你组织了一次本单位的安全评估工作以了解单位安全现状。在漏洞扫描报告发现了某部署在内网且仅对内部服务的业务系统存在一个漏洞，对比上一年度的漏洞扫描报告，发现这个经报告出来，经询问安全管理员得知，这个业务系统开发商已经倒闭，因此无法修复。对于这个问题，处理（）

379密码是一种用来混淆的技术，使用者希望正常的（可识别的）信息转变为无法识别的信息。但这种无法识别信息部分是可以再加工并恢复和破解的，小刚是某公司新进的员工，公司要求他注册一个公司网站的账号，小刚使用一个安全一点的密码，请问以下选项中哪个密码是最安全

380基于对（）的信任，当一个请求或命令来自一个权威人士时，这个请求就可能被毫不怀疑的（）。在（）中，攻击者伪装成公安部门人员要求受害者对权威的信任。在（）中，攻击者可能伪装成监管部门、信息系统管理人员等身份，去要求受害者执行操作，例如伪装成系统管理员，告诉用户请求配合进行一次系统测试，要求（）等。

381在软件项目开发过程中，评估软件项目风险时，（）与风险无关。

382物理安全是一个非常关键的领域包括环境安全、设施安全与传输安全。其中，信息系统的设施作为直存储、处理数据的载体，其安全性对信息系统至关重要。下列选项中，对设施安全的保障的描述正确的是（）。

383不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据各自的实际选择适当的风险评估方法。下面的描述中错误是（）

384与浏览器兼容性测试不需要考虑的问题是（）

385小王学习了灾难备份的相关知识，了解到常用的数据备份方式包括完全备份、增量备份、差量备份，为了巩固所学知识，小王对这种备份方式进行对比，其中在数据恢复速度方面三种备份方式由快到慢的顺序是（）

386以下哪一项不属于Web应用软件表示层测试关注的范畴（）。

387在国家标准GB／T20241-2006《信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型》中，信息系统安全保障模型包含哪几个方面（）

388以下哪些不是《国家网络空间安全战略》中阐述的我国网络空间当前任务？

389在信息安全保障工作中人才是非常重要的因素，近年来，我国一直调试重视我国信自成安全人才队伍培养建设。在以下关于我国关于人才培养工作的描述中，错误的是（）。

390某网盘被发现泄露了大量私人信息，通过第三方网盘搜索引擎可查询到该网盘用户的大量照片、通讯录。盘建议用户使用加密分享功能，以避免消息泄露，加密分享可以采用以下哪些算法（）

391数位物件识别号（DigitalObjectIdentifier，简称DOI）是一套识别数位资源的机制，涵括的对象有视频报告或书籍等等。它既有一套为资源命名的机制，也有一套将识别号解析为具体位址的协定。DOI码由前缀和后两部分组成，之间用/分开，并且前缀以再分为两部分。以下是一个典型的DOI识别号101006/jmbi19982354，下列选项错误的是

392王明买了一个新的蓝牙耳机，但王明听说使用蓝牙设备有一定的安全威胁，于是王明找到对蓝牙技术有所了解的王红，希望王红能够给自己一点建议，以下哪一条建议不可取（）

393安全审计是事后认定违反安全规则行为的分析技术，在检测违反安全规则方面、准确发现系统发生的事件以对事件发生的事后分析方面，都发挥着巨大的作用。但安全审计也有无法实现的功能，以下哪个需求是网络安全审计无法实现的功能（）

394某公司正在进行IT系统灾难恢复测试，下列问题中哪个最应该引起关注（）

395由于病毒攻击、非法入侵等原因，校园网整体瘫瘓，或者校园网络中心全部DNS主WEB服务器不能正常工作；由于病毒攻击、非法入侵、人为破坏或不可抗力等原因，造成校园网出口中断，属于以下哪种级别事件（）

396Hadoop是目前广泛应用的大数据处理分析平台。在Hadoop100版本之前，Hadoop并不存在安全认证一说。认集群内所有的节点都是可靠的，值得信赖的。用户与服务器进行交互时并不需要进行验证。导致在恶意用户装成真正的用户或者服务器入侵到Hadoop集群上，恶意的提交作业篡改分布式存储的数据伪装成NameNo安康头发TaskTracker接受任务等。在Hadoop20中引入Kerberos机制来解决用户到服务器认证问题，Kerberos认证过程不包括（）

397下面哪个阶段不属于软件的开发时期

398组织应开发和实施使用（）来保护信息的策略，基于风险评估，宣确定需要的保护级别，并考虑需要的加密算法的类型、强度和质量。当实施组织的（）时，宣考虑我国应用密码技术的规定和限制，以及（）跨越国界时的向题。组织应开发和实施在密钥生命周期中使用和保护密钥的方针。方针应包括密钥在其全部生命周期中的管理要求，包括密钥的生成、存储、归档、检索、分配、卸任和销毁。宜根据最好的实际效果选择加密算法、密钥长度和使用习惯。适合的（）要求密钥在生成、存储、归档、检索、分配、卸任和销毁过程中的安全。宜保护所有的密钥免遭修改和丢失。

399下列关于软件需求管理与需求开发的论述正确的是（）

400漏洞扫描是信息系统风险评估中的常用技术措施，定期的漏洞扫描有助于组织机构发现系统中存在的安全漏洞。漏洞扫描软件是实施漏洞扫描的工具，用于测试网络、操作系统、数据库及应用软件是否存在漏洞。某公司安全管理组成员小李对漏洞扫描技术和工具进行学习后有如下理解，其中错误的是（）

‹1…345 6 ›