第頁NISP一級復習試題及答案1.B類地址子網掩碼為48，則每個子網內可用

主機地址數為（）。A、10B、8C、6D、4【正確答案】：C2.在計算機系統中，操作系統是（）。A、一般應用軟件B、核心系統軟件C、用戶應用軟件D、系統支撐軟件【正確答案】：B3.將密文轉化為明文的過程叫做：A、涉密B、加密C、定密D、解密【正確答案】：D4.信息安全的三個基本安全屬性不包括（）。A、機密性B、完整性C、可用性D、真實性【正確答案】：D5.某單位的信息安全主管部門在學習我國有關信息安全的政策和文件后，認識到信息安全風險評估分為自評估和檢查評估兩種形式，該部門將有檢查評估的特點和要求整理成如下四

條報告給單位領導，其中描述錯誤的是A、檢查評估可依據相關標準的要求，實施完整的風險評估過程；也可在自評估的基礎上，對關鍵環節或重點內容實施抽

樣評估B、檢查評估可以由上級管理部門組織，也可以由本級單位發

起，其重點是針對存在的問題進行檢查和評測C、檢查評估可以由上級管理部門組織，并委托有資質的第三方

技術機構實施D、檢查評估是通過行政手段加強信息安全管理的重要措施，具

有強制性的特點【正確答案】：B解析：

檢查評估由上級管理部門組織發起；本級單位發起的為

自評估。6.PKI的主要理論基礎是（）。A、對稱密碼算法B、公鑰密碼算法C、量子密碼D、摘要算法【正確答案】：B7.在（）網絡模式中，客戶機通過瀏覽器的HTTP協議提出服務

請求，并將返回的信息通過瀏覽器提供給網絡客戶。A、C/SB/SC、Peer-to-peerD、主機-終端機【正確答案】：B8.與PDR模型相比，P2DR模型多了哪一個環節?()A、防護B、檢測C、反應D、策略【正確答案】：D9.以下哪個不是導致地址解析協議(ARP)欺騙的根源之一?ARP協議是一個無狀態的協議B、為提高效率，ARP信息在系統中會緩存C、ARP緩存是動態的，可被改寫D、ARP協議是用于尋址的一個重要協議【正確答案】：D解析：

D不是導致欺騙的根源。10.入侵防御系統(IPS)是繼入侵檢測系統(IDS)后發展期出來的一項新的安全技術，它與IDS有著許多不同點，請指出下列哪

一項描述不符合IPS的特點?A、串接到網絡線路中B、對異常的進出流量可以直接進行阻斷C、有可能造成單點故障D、不會影響網絡性能【正確答案】：D解析：

IPS在串聯情況下，會影響網絡性能。11.在網絡安全中，在未經許可的情況下，對信息進行刪除或修

改，這是對（）的攻擊。A、可用性B、保密性C、完整性D、真實性【正確答案】：C12.微軟提出了STRIDE模型，其中Repudation（抵賴）的縮寫，

關于此項安全要求，下面描述錯誤的是()A、某用戶在登陸系統并下載數據后，卻聲稱“我沒有下載過數

據”，軟件系統中的這種威脅就屬于R威脅B、解決R威脅，可以選擇使用抗抵賴性服務技術來解決，如

強認證、數字簽名、安全審計等技術措施C、R威脅是STRIDE六種威脅中第三嚴重的威脅，比D威脅

和E威脅的嚴重程度更高D、解決R威脅，也應按照確定建模對象、識別威脅、評估威

脅以及消減威脅等四個步驟來進行【正確答案】：C解析：

STRIDE代表6種威脅的簡稱，無嚴重程度之分。S-欺騙，T-篡改，R-抵賴，I-信息泄露，D-拒絕服務，E-權限提升

（攻擊）。13.ITIL它包含5個生命周期，分別是（）、（）、（）、

()、（）.A、戰略階段；設計階段；轉換階段；運營階段；改進階段B、設計階段；戰略階段；轉換階段；運營階段；改進階段C、戰略階段；設計階段；運營階段；轉換階段；改進階段D、轉換階段；戰略階段；設計階段；運營階段；改進階段【正確答案】：A14.SMTP連接服務器使用端口（）。A、21B、25C、80D、110【正確答案】：B15.如下不屬于防火墻功能的是：A、數據包過濾B、審計和報警機制C、遠程管理D、網絡地址轉換E、虛擬機遷移【正確答案】：E16.如下表述錯誤的是：A、內因主要來源于信息系統自身存在的脆弱性。B、外因來源于人為因素和環境因素。C、利用信息系統脆弱性漏洞進行攻擊導致的問題，屬于內因。D、由于打雷等自然現象導致停電的現象，屬于外因。【正確答案】：C17.針對竊聽攻擊采取的安全服務是()。A、鑒別服務B、數據機密性服務C、數據完整性服務D、抗抵賴服務【正確答案】：B18.對于C類IP地址，子網掩碼為48，則能提供子

網數為（）。A、16B、32C、30D、128【正確答案】：B19.與計算機硬件關系最密切的軟件是（）。A、編譯程序B、數據庫管理程序C、游戲程序D、OS【正確答案】：D20.以下關于互聯網協議安全(InternetProtocolSecurity，

IPSec)協議說法錯誤的是：A、在傳送模式中，保護的是IP負載。B、驗證頭協議(AuthenticationHeader，AH)和IP封裝安全載荷協議(EncapsulatingSecurityPayload，ESP)都能以

傳輸模式和隧道模式工作。C、在隧道模式中，保護的是整個互聯網協議IP包，包括IP

頭。D、IPSec僅能保證傳輸數據的可認證性和保密性?！菊_答案】：D解析：

IPSEC可以提供身份鑒別、保密性、完整性、抗抵賴、

訪問控制服務。21.信息安全應急響應，是指一個組織為了應對各種安全意外事件的發生所采取的防范措施，既包括預防性措施，也包括事件發生后的應對措施。應急響應方法和過程并不偶是唯一的，在下面的應急響應管理流程中，空白方框處填寫正確的是選項

是()A、培訓階段B、文檔階段C、報告階段D、檢測階段【正確答案】：D22.在Windows系統中可以察看開放端口情況的是：（）。A、NbtstatB、NetC、NetshowD、Netstat【正確答案】：D23.某網站為了開發的便利，使用SA鏈接數據庫，由于網站腳本中被發現存在SQL注入漏洞，導致攻擊者利用內置存儲過程XP.cmctstell刪除了系統中的一個重要文件，在進行問題分析時，作為安全專家，你應該指出該網站設計違反了以下哪項原

則：A、權限分離原則B、最小特權原則C、保護最薄弱環節的原則D、縱深防御的原則【正確答案】：B解析：

SA是數據庫最大用戶權限，違反了最小特權原則。24.某單位計劃在今年開發一套辦公自動化(OA)系統，將集團公司各地的機構通過互聯網進行協同辦公，在OA系統的設計方案評審會上，提出了不少安全開發的建設，作為安全專家，

請指出大家提的建議中不太合適的一條：A、對軟件開發商提出安全相關要求，確保軟件開發商對安全足

夠的重視，投入資源解決軟件安全問題B、要求軟件開發人員進行安全開發培訓，使開發人員掌握基本

軟件安全開發知識C、要求軟件開發商使用Java而不是ASP作為開發語言，

避免SQL注入漏洞D、要求軟件開發商對軟件進行模塊化設計，各模塊明確輸入和

輸出數據格式，并在使用前對數據進行校驗【正確答案】：C解析：

SQL注入與編碼SQL語法應用和過濾有關，與開發語言

不是必然關系。25.有關共享式與交換式以太網拓撲結構的論述，正確的是（）。A、共享式的邏輯拓撲為星型，物理拓撲為星型。B、交換式的邏輯拓撲為總線型，物理拓撲為星型。C、共享式的邏輯拓撲為星型，物理拓撲為總線型。D、交換式的邏輯拓撲為星型，物理拓撲為星型。【正確答案】：D26.以下內容沒有表現個人威脅的是：A、對個人知識產權的威脅B、侵犯、破壞個人計算機系統中的信息C、通過互聯網對個人財產權進行侵犯D、通過網絡攻擊手段破壞個人E-mailE、個人被國外特工要求索取國家涉密信息【正確答案】：E27.如下關于網絡嗅探描述不正確的是：A、網絡嗅探是通過截獲、分析網絡中傳輸的數據而獲取有用信

息的行為。B、嗅探工具是一種監視網絡數據運行的軟件設備。C、嗅探工具工作在網絡環境上層，這樣才可以結果更多的信息

和數據D、嗅探工具不可以破解加密信息【正確答案】：C28.如下關于防范蠕蟲病毒的安全建議中，沒有作用的是：A、安裝正版殺毒軟件、個人防火墻等。并及時升級，上網時打

開殺毒軟件實時監控功能B、使用“安全漏洞掃描”軟件，打好補丁，彌補操作系統和應

用程序的漏洞C、不瀏覽不良網站，不隨意下載安裝可疑插件D、由于病毒多來自于網絡，因此使用U盤或移動硬盤并不那么

容易被感染E、不接收QQ、MSN和E-mail等傳來的可以文件或鏈接【正確答案】：D29.操作系統中不屬于文件管理的是：A、文件存儲空間管理B、分區管理C、目錄管理D、文件操作管理E、文件保護【正確答案】：B30.金女士經常通過計算機在互聯網上購物，從安全角度看，下

面哪項是不好的操作習慣（）。A、使用專用上網購物用計算機，安裝好軟件后不要對該計算機

上的系統軟件，應用軟件進行升級B、為計算機安裝具有良好聲譽的安全防護軟件，包括病毒查

殺，安全檢查和安全加固方面的軟件C、在IE的配置中，設置只能下載和安裝經過簽名的，安全的

ActiveX控件D、在使用網絡瀏覽器時，設置不在計算機中保留網絡歷史紀錄

和表單數據【正確答案】：A31.以下不能設置口令加密的文件是（）。A、ZIPB、PPTC、PDFD、TXT【正確答案】：D32.某單位人員管理系統在人員離職時進行賬號刪除，需要離職員工所在部門主管經理和人事部門人員同時進行確認才能在系

統上執行，該設計是遵循了軟件安全哪項原則A、最小權限B、權限分離C、不信任D、縱深防御【正確答案】：B解析：

權限分離是將一個較大的權限分離為多個子權限組合操

作來實現。33.如下對哈希函數描述正確的是：A、使用哈希函數計算出的結果是可以逆運算出原始數據的B、使用哈希函數計算出的結果長度是可變的C、差異極小的原始數據，被相同的哈希函數計算，所得結果差

異也極小D、幾乎找不到兩個不同的原始數據，經過相同的哈希函數計算

之后，所得結果相同【正確答案】：D34.IT技術發展可以大致分為幾個階段？A、3B、4C、5D、6【正確答案】：B35.降低風險（或減低風險）指通過對面的風險的資產采取保護措施的方式來降低風險，下面那個措施不屬于降低風險的措

施()A、減少威脅源，采用法律的手段制裁計算機的犯罪，發揮法律

的威懾作用，從而有效遏制威脅源的動機B、簽訂外包服務合同，將有計算難點，存在實現風險的任務通過簽訂外部合同的方式交予第三方公司完成，通過合同責任

條款來應對風險C、減低威脅能力，采取身份認證措施，從而抵制身份假冒這種

威脅行為的能力D、減少脆弱性，及時給系統打補丁，關閉無用的網絡服務端口，

從而減少系統的脆弱性，降低被利用的可能性【正確答案】：B解析：

B屬于轉移風險。.0/24使用掩碼40劃分子網，其可

用子網數為（），每個子網內可用主機地址數為（）。A、1414B、1614C、2546D、1462【正確答案】：B37.張主任的計算機使用Windows7操作系統，他常登陸的用

戶名為zhang,張主任給他個人文件夾設置了權限為只有zhang這個用戶有權訪問這個目錄，管理員在某次維護中無意將zhang這個用戶刪除了，隨后又重新建了一個用戶名為zhang，張主任使用zhang這個用戶登陸系統后，發現無法訪

問他原來的個人文件夾，原因是()A、任何一個新建用戶都需要經過授權才能訪問系統中的文件B、windows不認為新建立用戶zhang與原來的用戶zhang

同一個用戶，因此無權訪問C、用戶被刪除后，該用戶創建的文件夾也會自動刪除，新建用

戶找不到原來用戶的文件夾，因此無法訪問D、新建的用戶zhang會繼承原來用戶的權限，之所以無權訪

問時因為文件夾經過了加密【正確答案】：A38.以下關于信息安全威脅描述錯誤的是（）。A、從受威脅對象的角度，可以將我國面臨的信息安全威脅分為

3類：國家威脅、組織威脅和個人威脅。B、信息系統都是在一定的自然環境下運行，自然災害對信息系統的威脅時多方面的，地震、火災、水災等各種自然災害都

可能對信息系統造成災難性破壞。C、信息安全問題的根源主要來源于信息系統自身存在的脆弱

性。wwwD、信息安全問題的外因主要來源于人為和環境威脅?！菊_答案】：C39.信息系統安全保障模型中，安全特征不包括：A、可用性B、一致性C、完整性D、保密性【正確答案】：B40.關于linux下的用戶和組，以下描述不正確的是。A、在linux中，每一個文件和程序都歸屬于一個特定的“用

戶”B、系統中的每一個用戶都必須至少屬于一個用戶組C、用戶和組的關系可是多對一，一個組可以有多個用戶，一個

用戶不能屬于多個組D、root是系統的超級用戶，無論是否文件和程序的所有者都

具有訪問權限【正確答案】：C解析：

一個用戶可以屬于多個組。41.為了防御網絡監聽，最常用的方法是（）。A、采用物理傳輸（非網絡）B、信息加密C、無線網D、使用專線傳輸【正確答案】：B42.完整的數字簽名過程（包括從發送方發送消息到接收方安

全的接收到消息）包括（）和驗證過程。A、加密B、解密C、簽名D、保密傳輸【正確答案】：C43.信息安全的發展經過了四個歷史發展階段，從信息安全的發展過程中可以看出，隨著信息技術本身的發展和信息技術應用的發展，信息安全的內涵和外延都在不斷地加深和擴大，包含的內容已從初期的數據加密演化到后來的數據恢復、信息縱

深防御等。歷史發展階段順序正確的是（）。A、通信安全階段、信息安全階段、計算機安全階段、信息安全

保障階段B、計算機安全階段、信息安全階段、通信安全階段、信息安全

保障階段C、通信安全階段、計算機安全階段、信息安全階段、信息安全

保障階段D、計算機安全階段、通信安全階段、信息安全階段、信息安全

保障階段【正確答案】：C44.在多媒體計算機系統中，不能存儲多媒體信息的是（）。A、光盤B、光纜C、磁帶D、磁盤【正確答案】：B45.相比文件配置表(FAT)文件系統，以下哪個不是新技術文件系

統(NTFS)所具有的優勢?A、NTFS使用事務日志自動記錄所有文件夾和文件更新，當出現系統損壞和電源故障等問題，而引起操作失敗后，系統能

利用日志文件重做或恢復未成功的操作B、NTFS的分區上，可以為每個文件或文件夾設置單獨的許可

權限C、對于大磁盤，NTFS文件系統比FAT有更高的磁盤利用率D、相比FAT文件系統，NTFS文件系統能有效的兼容linux

下EXT2文件格式【正確答案】：D解析：

NTFS不能兼容EXT文件系統。46.TCP/IP協議是Internet中計算機之間通信所必須共同遵循的

一種（）。A、信息資源B、通信規定C、軟件D、硬件【正確答案】：B47.若Bob給Alice發送一封郵件，并想讓Alice確信郵件是由

Bob發出的，則Bob應該選用哪種密鑰對郵件加密？()Alice的公鑰B、Alice的私鑰C、Bob的公鑰D、Bob的私鑰【正確答案】：D48.三個網段如下所示：/24，/24，/24能夠匯聚成下面哪個網段（）。A、/22B、/22C、/22D、/22【正確答案】：D49.如下關于惡意代碼描述正確的是:A、破壞操作系統的處理器管理功能B、破壞操作系統的文件管理功能C、破壞操作系統的存儲管理功能D、直接破壞計算機系統的硬件資源E、以上全部正確【正確答案】：E50.某集團公司根據業務需求，在各地分支機構部屬前置機，為了保證安全，集團總部要求前置機開放日志共享，由總部服務器采集進行集中分析，在運行過程中發現攻擊者也可通過共享從前置機種提取日志，從而導致部分敏感信息泄露，根據降低

攻擊面的原則，應采取以下哪項處理措施？A、由于共享導致了安全問題，應直接關閉日志共享，禁止總部

提取日志進行分析B、為配合總部的安全策略，會帶來一定安全問題，但不影響系

統使用，因此接受此風險C、日志的存在就是安全風險，最好的辦法就是取消日志，通過

設置前置機不記錄日志D、只允許特定IP地址從前置機提取日志，對日志共享設置訪

問密碼且限定訪問的時間【正確答案】：D解析：

D的特定IP地址從前置機提取降低了開放日志共享的

攻擊面。51.信息的擴展屬性不包括：A、延續性B、真實性C、不可否認性D、可控性【正確答案】：A52.在同一個信道上的同一時刻，能夠同時進行雙向數據傳送的

通信方式是（）.A、單工B、半雙工C、全雙工D、廣播【正確答案】：C53.針對軟件的拒絕服務攻擊是通過消耗系統資源使軟件無法響應正常請求的一種攻擊方式，在軟件開發時分析拒絕服務攻擊

的威脅，以下哪個不是需求考慮的攻擊方式A、攻擊者利用軟件存在的邏輯錯誤，通過發送某種類型數據導

致運算進入死循環，CPU資源占用始終100%B、攻擊者利用軟件腳本使用多重嵌套咨詢，在數據量大時會導

致查詢效率低，通過發送大量的查詢導致數據庫響應緩慢C、攻擊者利用軟件不自動釋放連接的問題，通過發送大量連接

消耗軟件并發連接數，導致并發連接數耗盡而無法訪問D、攻擊者買通IDC人員，將某軟件運行服務器的網線拔掉導

致無法訪問【正確答案】：D解析：

D為社會工程學攻擊。54.關于風險要素識別階段工作內容敘述錯誤的是：A、資產識別是指對需求保護的資產和系統等進行識別和分類B、威脅識別是指識別與每項資產相關的可能威脅和漏洞及其

發生的可能性C、脆弱性識別以資產為核心，針對每一項需求保護的資產，識

別可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估D、確認已有的安全措施僅屬于技術層面的工作，牽涉到具體方

面包括：物理平臺、系統平臺、網絡平臺和應用平臺【正確答案】：D解析：

安全措施既包括技術層面，也包括管理層面。55.“”是Internet中主機的（）。A、硬件編碼B、密碼C、軟件編碼D、域名【正確答案】：D56.100BASE-T規定，Hub通過RJ45接口與計算機連線距離不超過

()米。A、50米B、100米C、150米D、185米【正確答案】：B57.如下不屬于安全審計的是：A、提供有價值的系統使用日志，幫助系統管理員及時發現系統

入侵行為或潛在的系統漏洞。B、威懾和警告潛在的攻擊者和濫用授權的合法用戶。C、由于安全審計可以被繞過，因此部署安全審計的功能并不理

想。D、在發現故障后，可以幫助評估故障損失，重建事件和數據恢

復。E、對系統控制、安全策略與規程中特定的改變做出評價和反饋

便于修訂決策和部署?！菊_答案】：C58.如下關于端口號描述正確的是：A、端口號存在于主機到主機層封裝頭部中B、端口號存在于網際層封裝頭部中C、端口號存在于網絡接口層封裝頭部中D、端口號是固定不可更改的【正確答案】：A59.安全的運行環境是軟件安全的基礎，操作系統安全配置是確保運行環境安全必不可少的工作，某管理員對即將上線的Windows操作系統進行了以下四項安全部署工作，其中哪項設

置不利于提高運行環境安全?A、操作系統安裝完成后安裝最新的安全補丁，確保操作系統不

存在可被利用的安全漏洞B、為了方便進行數據備份，安裝Windows操作系統時只使用

一個分區

C，所有數據和操作系統都存放在C盤C、操作系統上部署防病毒軟件，以對抗病毒的威脅D、將默認的管理員賬號Administrator改名，降低口令暴力

破解攻擊的發生可能【正確答案】：B解析：

操作系統和應用安全裝應分開不同磁盤部署。60.下列關于操作系統的說法，不正確的是：（）。A、操作系統為用戶提供兩種接口：命令接口和程序接口B、常見的個人操作系統有Windows系列和Linux系列C、Linux系統是一款閉源操作系統D、操作系統在計算機系統中位于硬件和應用軟件之間，所以，

操作系統既面向系統資源又面向用戶【正確答案】：C61.某公司申請到一個C類IP地址，但要連接6個子公司，最大的一個子公司有26臺計算機，每個子公司在一個網段中，則子網

掩碼應設為（）。A、B、28C、92D、24【正確答案】：D62.下列關于用戶口令說法錯誤的是（）。A、口令不能設置為空B、口令長度越長，安全性越高C、復雜口令安全性足夠高，不需要定期修改D、口令認證是最常見的認證機制【正確答案】：C63.在數據庫安全性控制中，授權的數據對象，授權子系統就越

靈活?A、粒度越小B、約束越細致C、范圍越大D、約束范圍大【正確答案】：A解析：

數據粒度越細則授權策略越靈活便利。64.以下哪項制度或標準被作為我國的一項基礎制度加以推行，并且有一定強制性，其實施的主要目標是有效地提高我國

信息和信息系統安全建設的整體水平，重點保障基礎信息網絡

和重要信息系統的安全()A、信息安全管理體系（ISMS）B、信息安全等級保護C、NISTSP800D、ISO270000系統【正確答案】：B解析：

信息安全等級保護制度重點保障基礎信息網絡和重要信

息系統的安全。65.某公司已有漏洞掃描和入侵檢測系統(IntrusionDetectionSystem，IDS)產品，需要購買防火墻，以下做法應當優先考慮

的是：A、選購當前技術最先進的防火墻即可B、選購任意一款品牌防火墻C、任意選購一款價格合適的防火墻產品D、選購一款同已有安全產品聯動的防火墻【正確答案】：D解析：

在技術條件允許情況下，可以實現IDS和FW的聯動。66.虛擬專用網絡（VPN）通常是指在公共網路中利用隧道技術，建立一個臨時的，安全的網絡。這里的字母P的正確解析

是（）。A、Special-purpose.特定、專用用途的B、Proprietary專有的、專賣的C、Private私有的、專有的D、Specific特種的、具體的【正確答案】：C67.有關危害國家秘密安全的行為的法律責任，正確的是：（）。A、嚴重違反保密規定行為只要發生，無論產生泄密實際后果，

都要依法追究責任B、非法獲取國家秘密，不會構成刑事犯罪，不需承擔刑事責任C、過失泄露國家秘密，不會構成刑事犯罪，不需承擔刑事責任D、承擔了刑事責任，無需再承擔行政責任和／或其他處分【正確答案】：A68.隨著計算機和網絡技術的迅速發展，人們對網絡的依賴性達到了前所未有的程度，網絡安全也面臨著越來越嚴峻的考驗。如何保障網絡安全就顯得非常重要，而網絡安全評估是保證網

絡安全的重要環節。以下不屬于網絡安全評估內容的是()A、數據加密B、漏洞檢測C、風險評估D、安全審計【正確答案】：A69.小明是某大學計算科學與技術專業的畢業生，大四上學期開始找工作，期望謀求一份技術管理的職位，一次面試中，某公司的技術經理讓小王談一談信息安全風險管理中的背景建立的幾本概念與認識，小明的主要觀點包括：（1）背景建立的目的是為了明確信息安全風險管理的范圍和對象，以及對象的特性和安全要求，完成信息安全風險管理項目的規劃和準備；（2）背景建立根據組織機構相關的行業經驗執行，雄厚的經驗有助于達到事半功倍的效果(3)背景建立包括：風險管理準備、信息系統調查、信息系統分析和信息安全分析（4.）背景建立的階段性成果包括：風險管理計劃書、信息系統的描述報告、信息系統的分析報告、信息系統的安全要求報告、請問小明的論點

中錯誤的是哪項：A、第一個觀點B、第二個觀點C、第三個觀點D、第四個觀點【正確答案】：B解析：

背景建立是根據政策、法律、標準、業務、系統、組織

等現狀來開展。70.我國面臨的信息安全威脅不包括如下哪個A、國家威脅B、領土威脅C、組織威脅D、個人威脅【正確答案】：B71.從系統工程的角度來處理信息安全問題，以下說法錯誤的是：系統安全工程旨在了解企業存在的安全風險，建立一組平衡的安全需求，融合各種工程學科的努力將此安全需求轉換為貫穿

系統整個生存期的工程實施指南。A、系統安全工程需對安全機制的正確性和有效性做出詮釋，證明安全系統的信任度能夠達到企業的要求，或系統遺留的安

全薄弱性在可容許范圍之內。B、系統安全工程能力成熟度模型(SSE-CMM)是一種衡量安全工

程實踐能力的方法，是一種使用面向開發的方法。C、系統安全工程能力成熟度模型(SSE-CMM)是在原有能力成熟

度模型(CMM)的基礎上，通過對安全工作過程進行管理的途徑，將系統安全工程轉變為一個完好定義的、成熟的、可測

量的先進學科?！菊_答案】：C解析：

SSE-CMM是面向工程過程質量控制的一套方法。72.按照應用領域對操作系統進行劃分，不包含以下哪一種（）。A、桌面操作系統B、批處理操作系統C、服務器操作系統D、嵌入式操作系統【正確答案】：B73.IP地址6的主類子網掩碼有幾位（）。A、8B、16C、24D、32【正確答案】：C74.某軟件公司準備提高其開發軟件的安全性，在公司內部發起了有關軟件開發生命周期的討論，在下面的發言觀點中，正確

的是()A、軟件安全開發生命周期較長，階段較多，而其中最重要的是要在軟件的編碼階段做好安全措施，就可以解決90%以上

的安全問題B、應當盡早在軟件開發的需求和設計階段就增加一定的安全

措施，這樣可以比在軟件發布以后進行漏洞修復所花的代價

少的多。C、和傳統的軟件開發階段相比，微軟提出的安全開發生命周期

的最大特點是增加了一個抓們的安全編碼階段D、軟件的安全測試也很重要，考慮到程序員的專業性，如果該開發人員已經對軟件進行了安全性測試，就沒有必要再組織

第三方進行安全性測試【正確答案】：B75.下列不屬于PKI的是A、認證權威機構B、注冊權威機構C、數字證書庫D、證書撤銷列表庫E、主端實體F、終端實體【正確答案】：E76.社會工程學本質上是一種（），（）通過種種方式來引導受攻擊者的（）向攻擊者期望的方向發展。羅伯特·B·西奧迪尼（RobertBCialdini）在科學美國人（2001年2月）雜志中總結對（）的研究，介紹了6種“人類天性基本傾向”，這些基本傾向都是（）工程師在攻擊中所依賴的（有意思或者無

意識的）。A、攻擊者；心理操縱；思維；心理操縱；思維；社會工程學B、攻擊者；心理操縱；心理操縱；社會工程學C、心理操縱；攻擊者；思維；心理操縱；社會工程學D、心理操縱；思維；心理操縱；攻擊者；社會工程學【正確答案】：C77.如下描述不正確的是：A、明文是加密前的原始信息B、密文是明文加密后的信息C、加密是將明文通過數學算法轉換成密文的過程D、解密是將密文還原成明文的過程E、現代密碼學中加密算法和密鑰都是不可以公開的【正確答案】：E78.下列關于端口說法錯誤的是（）。A、IP地址的端口都是以端口號來標記的，端口號范圍是

0~65535B、端口按協議類型可以分為TCP端口、UDP端口C、使用netshow命令可以查看那些計算機正在與本機連接D、在網絡環境中可以使用防火墻或者本地策略的方式關閉一

些端口【正確答案】：C79.如下關于萬維網描述不正確的是：A、萬維網只提供服務器資源下行至用戶，不支持用戶資源上行

至服務器。B、萬維網是因特網上使用最廣泛的一種信息服務C、用戶可以通過網頁瀏覽器訪問萬維網服務器所提供的網頁D、萬維網使用超文本標記語言制作網頁【正確答案】：A80.下面不屬于常用的瀏覽器的安全措施的是（）。A、刪除和管理CookiesB、不點擊網站的廣告C、禁用ActiveX控件D、刪除瀏覽器歷史紀錄【正確答案】：B81.在NTFS文件系統中，如果一個共享文件夾的共享權限和NTFS

權限發生了沖突，那么以下說法正確的是：（）。A、共享權限優先NTFS權限B、系統會認定最少的權限C、系統會認定最多的權限D、以上都不是【正確答案】：B82.信息系統安全保障不包括哪個核心概念A、風險B、保障C、使命D、措施【正確答案】：D83.關于軟件安全問題，下面描述錯誤的是()A、軟件的安全問題可以造成軟件運行不穩定，得不到正確結果

甚至崩潰B、軟件的安全問題應該依賴于軟件開發的設計、編程、測試以

及部署等各個階段措施解決C、軟件的安全問題可能被攻擊者利用后影響人身健康安全D、軟件的安全問題是由程序開發者遺留的，和軟件部署運行環

境無關【正確答案】：D84.張三將微信個人頭像換成微信群中某好友頭像，并將昵稱改為該好友的昵稱，然后向該好友的其他好友發送一些欺騙消息。

該攻擊行為屬于以下哪類攻擊?A、口令攻擊B、暴力破解C、拒絕服務攻擊D、社會工程學攻擊【正確答案】：D解析：

D屬于社會工程學攻擊。85.以下表達不正確的是：A、信息安全具有：系統性、動態性、無邊界性和非傳統性B、信息安全是系統的安全，信息安全不是鼓勵單一維度或者單

個安全因素。C、信息安全是單純的技術問題或者管理問題。D、信息安全要系統地從技術、管理、工程和標準法規等各層面

綜合保障信息安全?！菊_答案】：C86.關于軟件安全開發生命周期(SDL)，下面說法錯誤的是：A、在軟件開發的各個周期都要考慮安全因素B、軟件安全開發生命周期要綜合采用技術、管理和工程等手段C、測試階段是發現并改正軟件安全漏洞的最佳環節，過早或過

晚檢測修改漏洞都將增大軟件開發成本D、在設計階段就盡可能發現并改正安全隱患，將極大減少整個

軟件開發成本【正確答案】：C解析：

設計階段是發現和改正問題的最佳階段。87.某公司正在進行IT系統災難恢復測試，下列問題中哪個

最應該引起關注()A、由于有限的測試時間窗，僅僅測試了最必須的系統，其他系

統在今年的剩余時間里陸續單獨測試B、在測試的過程中，有些備份系統有缺陷或者不能正常工作，

從而導致這些系統的測試失敗C、在開啟備份站點之前關閉和保護原生產站點的過程比計劃

需要多得多的時間D、每年都是由相同的員工執行此測試，由于所有的參與者都很

熟悉每一個恢復步驟，因而沒有使用災難恢復計劃（DRP）

文檔【正確答案】：B88.在軟件保障成熟度模型(SoftwareAssuranceMaturityMode，SAMM)中，規定了軟件開發過程中的核心業務功能，下列哪個選

項不屬于核心業務功能：A、治理，主要是管理軟件開發的過程和活動B、構造，主要是在開發項目中確定目標并開發軟件的過程與活

動C、驗證，主要是測試和驗證軟件的過程與活動D、購置，主要是購買第三方商業軟件或者采用開源組件的相關

管理過程與活動【正確答案】：D解析：

SAMM模型四個部分是治理、構造、驗證和部署。89.在風險管理中，殘余風險是指實施了新的或增強的安全措

施后還剩下的風險，關于殘余風險，下面描述錯誤的是()A、風險處理措施確定以后，應編制詳細的殘余風險清單，并獲得管理層對殘余風險的書面批準，這也是風險管理中的一個

重要過程B、管理層確認接收殘余風險，是對風險評估工作的一種肯定，表示管理層已經全面了解了組織所面臨的風險，并理解在風

險一旦變為現實后，組織能夠且承擔引發的后果C、接收殘余風險，則表明沒有必要防范和加固所有的安全漏洞，也沒有必要無限制的提高安全保護措施的強度，對安全

保護措施的選擇要考慮到成本和技術等因素的限制D、如果殘余風險沒有降低到可接受的級別，則只能被動的選擇接受風險，即對風險不進行下一步的處理措施，接受風險可

能帶來的結果?！菊_答案】：D解析：

如果殘余風險沒有降低到可接受的級別，則會被動的選

擇接受殘余風險，但需要對殘余風險進行進一步的關注、監測

和跟蹤。90.下列關于計算機病毒說法錯誤的是（）。A、有些病毒僅能攻擊某一種操作系統，如winD.OwsB、病毒一般附著在其他應用程序之后C、每種病毒都會給用戶造成嚴重后果D、有些病毒能損壞計算機硬件【正確答案】：C91.關于明文與密文描述不正確的是A、明文可以轉化為密文B、密文可以轉化為明文C、明文和密文之間不可以相互轉化D、明文和密文之間的轉化需要密鑰【正確答案】：C92.某公司系統管理員最近正在部署一臺Web服務器，使用的操作系統是windows，在進行日志安全管理設置時，系統管理員擬定四條日志安全策略給領導進行參考，其中能有效應對攻擊

者獲得系統權限后對日志進行修改的策略是：A、網絡中單獨部署syslog服務器，將Web服務器的日志自

動發送并存儲到該syslog日志服務器中B、嚴格設置Web日志權限，只有系統權限才能進行讀和寫等

操作C、對日志屬性進行調整，加大日志文件大小、延長覆蓋時間、

設置記錄更多信息等D、使用獨立的分區用于存儲日志，并且保留足夠大的日志空間【正確答案】：A解析：

在多重備份存儲情況下，可以防護日志被篡改的攻擊（前

提非實時同步）。93.如下關于IPv4包頭中描述正確的是：A、版本內容是可變的B、包頭長度和數據包長度可以只存在其一C、生存期字段在數據傳輸過程中保持不變D、可選項字段不是必須有內容【正確答案】：D94.下列屬于信息系統安全階段的是：A、主要是密碼算法即應用和信息系統安全模型及評價兩個方

面取得較大進展B、香農首次將密碼學研究納入了科學的軌道C、主要是保護信息在存儲處理或傳輸過程中免受非授權訪問，防止授權用戶遭受拒絕服務供給，同時檢測、記錄和對抗此

類威脅D、信息安全轉化為從整體角度考慮其體系建設的信息保障階段，通過技術、管理和工程等措施的綜合融合，形成對信息、

信息系統乃至業務使命的全面保障【正確答案】：C95.TCP/IP協議一共分為基層：A、9層B、7層C、4層D、3層【正確答案】：C96.如下對稱加密算法描述正確的是：A、對稱加密算法加密速度相對較慢B、對稱加密算法適合加密大塊數據C、對稱加密算法可以實現源認證D、對稱加密算法可以實現信息完整性確認【正確答案】：B97.以下對異地備份中心的理解最準確的是：（）。A、與生產中心不在同一城市B、與生產中心距離10公里以上C、與生產中心距離100公里以上D、與生產中心面臨相同區域性風險的機率很小【正確答案】：D98.安全漏洞掃描技術是一類重要的網絡安全技術。當前，網

絡安全漏洞掃描技術的兩大核心技術是（）。A、PING掃描技術和端口掃描技術B、端口掃描技術和漏洞掃描技術C、操作系統探測和漏洞掃描技術D、PING掃描技術和操作系統探測【正確答案】：B99.如下關于網絡協議描述錯誤的是：A、網絡協議是指實現約定或定義的一組通信規則B、網絡協議精確的定義了通訊數據的格式C、網絡協議定義了設備如何接入網絡中，以及數據如何傳輸D、網絡協議可以在不同的網絡環境中以不同的形式存在，不必

遵照統一標準?！菊_答案】：D100.關于信息安全事件管理和應急響應，以下說法錯誤的是：（）。A、應急響應是指組織為了應對突發／重大信息安全事件的發

生所做的準備，以及在事件發生后所采取的措施B、應急響應方法，將應急響應管理過程分為遏制、根除、處置、

恢復、報告和跟蹤6個階段C、對信息安全事件的分級主要參考信息系統的重要程度、系統

損失和社會影響三方面因素D、根據信息安全事件的分級參考要素，可將信息安全事件劃分為4個級別：特別重大事件(Ⅰ級)、重大事件(Ⅱ級)、較

大事件(Ⅲ級)和一般事件(Ⅳ級)【正確答案】：B101.關于訪問控制列表，不正確的說法是（）。A、是以文件為中心建立訪問權限表。B、查詢特定主體訪問客體時需要遍歷查詢所有客體的ACLC、耗費資源少，是一種成熟且有效的訪問控制方法。D、判斷對特定客體的授權訪問，可訪問的主體和訪問權限等?！菊_答案】：C102.隨著計算機在商業和民用領域的應用，安全需求變得越來越多樣化，自主訪問控制和強制訪問控制難以適應需求，基于角色的訪問控制（RBAC）逐漸成為安全領域的一個研究熱點。RBAC模型可以分為RBAC0、RBAC1、RBAC2和RBAC3四種類型，它們之間存在相互包含關系。下列選項中，對它們關系描述錯

誤的是（）。A、RBACO是基于模型，RBAC1、RBAC2和RBAC3都包含RBAC0B、RBAC1在RBAC0的基礎上，加入了角色等級的概念C、RBAC2在RBAC1的基礎上，加入了約束的概念D、RBAC3結合RBAC1和RBAC2，同時具備角色等級和約束【正確答案】：C103.IP地址是由4段十進制數字組成的，它們代表了（）位二進制

數字。A、8B、16C、32D、64【正確答案】：C104.如下關于操作系統描述正確的是：A、操作系統可以實現對計算機硬件的管理和操作B、操作系統是計算機軟件體系的基礎和核心C、操作系統可以盡量合理有效的組織多個用戶程序共享計算

機的各種資源D、哪怕沒有操作系統的支持，其他軟件也是可以正常運行的【正確答案】：D105.Windows系統下的用于存儲用戶名的文件是()。A、SECRETB、PASSWDC、USERNAMESD、SAM【正確答案】：D106.以下網絡地址中屬于B類的可用IP地址的是（）。A、B、55C、D、【正確答案】：D107.用戶在設置口令時，以下原則哪個是錯誤的（）。A、嚴禁使用與賬號相同或相似的口令B、不要使用與個人有關的信息作為口令內容C、不要設置短于6個字符或僅包含字母或數字的口令D、可以使用空口令【正確答案】：D108.關于業務連續性計劃（BCP）以下說法最恰當的是：A、組織為避免所有業務功能因重大事件而中斷，減少業務風此

案而建立的一個控制過程。B、組織為避免關鍵業務功能因重大事件而中斷，減少業務風險

而建立的一個控制過程。C、組織為避免所有業務功能因各種事件而中斷，減少業務風此

案而建立的一個控制過程D、組織為避免信息系統功能因各種事件而中斷，減少信息系統

風險建立的一個控制過程【正確答案】：B解析：

業務連續性計劃（BCP）是解決關鍵業務不中斷。109.由于發生了一起針對服務器的口令暴力破解攻擊，管理員決定對設置帳戶鎖定策略以對抗口令暴力破解。他設置了以下賬戶鎖定策略如下：復位賬戶鎖定計數器5分鐘賬戶鎖定時間10分鐘賬戶鎖定閥值3次無效登陸以下關于以上策略設置

后的說法哪個是正確的（）。A、設置賬戶鎖定策略后，攻擊者無法再進行口令暴力破解，所

有輸錯的密碼的擁護就會被鎖住B、如果正常用戶部小心輸錯了3次密碼，那么該賬戶就會被鎖定10分鐘，10分鐘內即使輸入正確的密碼，也無法登

錄系統C、如果正常用戶不小心連續輸入錯誤密碼3次，那么該擁護帳號被鎖定5分鐘，5分鐘內即使交了正確的密碼，也無

法登錄系統D、攻擊者在進行口令破解時，只要連續輸錯3次密碼，該賬

戶就被鎖定10分鐘，而正常擁護登陸不受影響【正確答案】：B110.下列哪一種方法屬于基于實體“所有”鑒別方法：（）。A、用戶通過自己設置的口令登錄系統，完成身份鑒別B、用戶使用個人指紋，通過指紋識別系統的身份鑒別C、用戶利用和系統協商的秘密函數，對系統發送的挑戰進行正

確應答，通過身份鑒別D、用戶使用集成電路卡(如智能卡)完成身份鑒別【正確答案】：D111.一個VLAN可以看作是一個（）。A、沖突域B、廣播域C、管理域D、阻塞域【正確答案】：B112.某電子商務網站在開發設計時，使用了威脅建模方法來分折電子商務網站所面臨的威脅，STRIDE是微軟SDL中提出的威脅建模方法，將威脅分為六類，為每一類威脅提供了標準的消減措施，Spoofing是STRIDE中欺騙類的威脅，以下威脅中哪

個可以歸入此類威脅?A、網站競爭對手可能雇傭攻擊者實施DDoS攻擊，降低網站訪

問速度B、網站使用http協議進行瀏覽等操作，未對數據進行加密，

可能導致用戶傳輸信息泄露，例如購買的商品金額等C、網站使用http協議進行瀏覽等操作，無法確認數據與用戶

發出的是否一致，可能數據被中途篡改D、網站使用用戶名、密碼進行登錄驗證，攻擊者可能會利用弱口令或其他方式獲得用戶密碼，以該用戶身份登錄修改用戶

訂單等信息【正確答案】：D解析：

A屬于可用性；B保密性；C屬于完整性。113.在軟件開發過程中，常用圖作為描述攻擊，如DFD就是

面向（）分析方法的描述工具，在一套分層DFD中，如果某一張圖中有N個加工（Process）則這張圖允許有（）張子圖，在一張DFD中任意兩個加工之間（）。在畫分層DFD時，應注意保持（）之間的平衡。DFD中從系統的輸入流到系統的輸出流的一連串交換形式一種信息流，這種信息流可分為交換流

和事物流兩類。A、數據流；0^N；有

與其子圖B、數據流；I^N；有

與其子圖C、字節流；0^N；有

與其子圖D、數據流；0^N；有

之間

0條或多條名字互不相同的數據流；父圖

0條或多條名字互不相同的數據流；父圖

0條或多條名字互不相同的數據流；父圖

0條或多條名字互不相同的數據流；子圖【正確答案】：A114.在軟件保障成熟度模型(SAMM)中，規定了軟件開發過

程中的核心業務功能，下列哪個選項不屬于核心業務功能A、治理，主要是管理軟件開發的過程和活動B、構造，主要是在開發項目中確定目標并開發軟件的過程與活

動C、驗證，主要是測試和驗證軟件的過程和活動D、購置，主要是購買第三方商業軟件或者采用開源組件的相關

管理過程與活動【正確答案】：D解析：

SAMM包括治理、構造、驗證、部署。115.如果一個單位的兩個部門各有一個局域網，那么將它們互連

的最簡單的方法是使用（）。A、網關B、中繼器C、交換機D、路由器【正確答案】：C116.在信息系統中，（）是在為系統資源提供最大限度共享的基礎上對用戶的訪問權進行管理。A、身份認證B、安全審計C、訪問控制D、數字證書【正確答案】：C117.網絡與信息安全應急預案是在分析網絡與信息系統突發事件后果和應急能力的基礎上，針對可能發生的重大網絡與信息系統突發事件，預先制定的行動計劃或應急對策。應急預案的實施需要各子系統的相互配合與協調，下面應急響應工作流

程圖中，空白方框中從右到左依次填入的是（）。A、應急響應專家小組、應急響應技術保障小組、應急響應實施

小組、應急響應日常運行小組B、應急響應專家小組、應急響應實施小組、應急響應技術保障

小組、應急響應日常運行小組C、應急響應技術保障小組、應急響應專家小組、應急響應實施

小組、應急響應日常運行小組D、應急響應技術保障小組、應急響應專家小組、應急響應日常

運行小組、應急響應實施小組【正確答案】：A118.下面哪一項情景屬于身份鑒別（Authentication）過程？

()A、用戶依照系統提示輸入用戶名和口令B、用戶在網絡上共享了自己編寫的一份Office文檔進行加

密，以阻止其他人得到這份拷貝后到文檔中的內容C、用戶使用加密軟件對自己家編寫的Office文檔進行加密，

以阻止其他人得到這份拷貝后到文檔中的內容D、某個人嘗試登陸到你的計算機中，但是口令輸入的不對，系統提示口令錯誤，并將這次失敗的登陸過程記錄在系統日志

中【正確答案】：A119.下列關于木馬病毒的特性，不正確的是（）。A、隱蔽性B、主動傳播性C、自動運行性D、破壞性【正確答案】：B120.在混合加密方式下，真正用來加解密通信過程中所傳輸數

據的密鑰是（）。A、非對稱密碼算法的公鑰B、對稱密碼算法的密鑰C、非對稱密碼算法的私鑰D、CA中心的公鑰【正確答案】：B121.小趙是某大學計算機科學與技術專業的畢業生，在前往一家大型企業應聘時，面試經理要求他給出該企業信息系統訪問控制模型的設計思路。如果想要為一個存在大量用戶的信息系統實現自主訪問控制功能，在以下選項中，從時間和資源消耗的角度，下列選項中他應該采取的最合適的模型或方法是（）。A、訪問控制列表（ACL）B、能力表（CL）C、BLP模型D、Biba模型【正確答案】：A122.鑒別的基本途徑有三種：所知、所有和個人特征，以下哪一項不是基于你所知道的：（）。A、口令B、令牌C、知識D、密碼【正確答案】：B123.IPv4地址共分為()個主類。A、2B、3C、4D、5【正確答案】：D124.在設計信息系統安全保障方案時，以下哪個做法是錯誤的：

()。A、要充分切合信息安全需求并且實際可行B、要充分考慮成本效益，在滿足合規性要求和風險處置要求的

前提下，盡量控制成本C、要充分采取新技術，在使用過程中不斷完善成熟，精益求精，

實現技術投入保值要求D、要充分考慮用戶管理和文化的可接受性，減少系統方案障礙【正確答案】：C125.子網掩碼為，下列哪個IP地址不在同一網段中

()。A、01B、5C、6D、5【正確答案】：C126.社會工程學攻擊成功的主要原因是人們的信息安全意識淡薄，而產生認知偏差。下列選項都屬于社會工程學攻擊方式

的是（）。A、假托、等價交換、敲詐者病毒B、信息收集、網絡釣魚攻擊、身份盜用C、身份盜用威脅、信息收集、AV終結者D、信息收集、敲詐者病毒、暴力破解攻擊【正確答案】：B127.下面有關軟件安全問題的描述中，哪項是由于軟件設計缺陷

引起的()A、設計了三層Web架構，但是軟件存在SQL注入漏洞，導

致被黑客攻擊后能直接訪問數據庫B、使用C語言開發時，采用了一些存在安全問題的字符串處理

函數，導致存在緩沖區溢出漏洞C、設計了緩存用戶隱私數據機制以加快系統處理性能，導致軟

件在發布運行后，被黑客攻擊獲取到用戶隱私數據D、使用了符合要求的密碼算法，但在使用算法接口時，沒有按

照要求生成密鑰，導致黑客攻擊后能破解并得到明文【正確答案】：C128.下列關于防火墻的說法正確的是（）。A、入棧規則即你的電腦連接其他主機的規則B、出站規則即其他主機連入你的電腦的規則C、默認情況下防火墻允許所有傳出連接D、默認情況下防火墻允許所有傳入連接【正確答案】：C129.在如下哪個不屬于信息安全模型：A、IATFB、PDRCC、P2DRD、P2DR2【正確答案】：A130.如下關于IPv4包頭中描述正確的是：A、數據包切片的判定標準是超過最大幀長B、數據包切片之后，重組時是基于切片標識避免數據混淆C、數據包切片標記位第一位被沒有被保留D、數據包切片標記位第二位是用來確定該數據是否為最后一

片E、數據包切片標記位第三位是用來確定該數據是否允許被切

片【正確答案】：B131.數字簽名為保證其不可更改性，雙方約定使用()。A、HASH算法B、RSA算法CAP算法D、ACR算法【正確答案】：B132.COBIT（信息和相關技術的控制目標）是國際專業協會ISACA為信息技術（IT）管理和IT治理創建的良好實踐框架。COBIT提供了一套可實施的“信息技術控制”并圍繞IT相關流程和推動因素的邏輯框架進行組織。COBIT模型按照流程，

請問，COBIT組件包括（）、()、（）、（）、（）等部分。A、流程描述、框架、控制目標、管理指南、成熟度模型B、框架、流程描述、管理目標、控制目標、成熟度模型C、框架、流程描述、控制目標、管理指南、成熟度模型D、框架、管理指南、流程描述、控制目標、成熟度模型【正確答案】：C133.如下關于增強無線局域網（WLAN）的安全措施不正確的是：A、修改管理員密碼B、保持SSID密碼與管理員密碼一致C、使用安全的無線傳輸協議D、禁用DHCP服務E、禁止SSID廣播F、禁止遠程管理G、開啟MAC地址過濾H、合理放置無線AP【正確答案】：B134.IP地址能唯一地確定Internet上每臺計算機與每個用戶的

()。A、距離B、費用C、位置D、時間【正確答案】：C135.信息安全的具體特征不包括：A、相對性B、時效性C、相關性D、不確定性E、復用性F、復雜性【正確答案】：E136.下列屬于信息保障階段的是：A、主要是密碼算法即應用和信息系統安全模型及評價兩個方

面取得較大進展B、香農首次將密碼學研究納入了科學的軌道。C、主要是保護信息在存儲處理或傳輸過程中免受非授權訪問，防止授權用戶遭受拒絕服務供給，同時檢測、記錄和對抗此

類威脅。D、信息安全轉化為從整體角度考慮其體系建設的信息保障階段，通過技術、管理和工程等措施的綜合融合，形成對信息、

信息系統乃至業務使命的全面保障?！菊_答案】：D137.ISO2007：2013《信息技術-安全技術-信息安全管理體系-要求》為在組織內為建立、實施、保持和不斷改進（）制定了要求。ISO27001標準的前身為（）的BS7799標準，該標準于1993年由（）立項，于1995年英國首次出版BS7799-1：1995《信息安全管理實施細則》，它提供了一套綜合的、由信息安全最佳慣例組成的（），其目的是作為確定工商業信息系統在大多數情況所需控制范圍的唯一（），并且適用大、中、小組

織。A、ISMS；德國；德國貿易工業部；實施規則；參考基準B、ISMS；法國；法國貿易工業部；實施規則；參考基準C、ISMS；英國；英國貿易工業部；實施規則；參考基準D、ISMS；德國；德國貿易工業部；參考基準；實施規則【正確答案】：C138.數字簽名可以用來解決如下哪個問題A、信息的私密性B、信息的完整性C、信息來源不可否認性D、信息行為不可否認性E、解決全部F、解決部分【正確答案】：E139.為防范網絡欺詐確保交易安全，網銀系統首先要求用戶安全登錄，然后使用“智能卡+短信認證”模式進行網上轉賬等交

易，在此場景中用到下列哪些鑒別方法?（）。A、實體“所知”以及實體“所有”的鑒別方法B、實體“所有”以及實體“特征”的鑒別方法C、實體“所知”以及實體“特征”的鑒別方法D、實體“所有”以及實體“行為”的鑒別方法【正確答案】：A140.根據“用戶所知道的”身份認證中，下面哪個不是A、靜態口令認證B、動態口令認證C、USB-Key認證D、短信口令認證【正確答案】：C141.我國正式公布了電子簽名法，數字簽名機制用于實現（）需

求。A、抗否認B、保密性C、完整性D、可用性【正確答案】：A142.Alice用Bob的密鑰加密明文，將密文發送給Bob。Bob

再用自己的私鑰解密，恢復出明文。以下說法正確的是（）。A、此密碼體制為對稱密碼體制B、此密碼體制為私鑰密碼體制C、此密碼體制為單鑰密碼體制D、此密碼體制為公鑰密碼體制【正確答案】：D143.用IE瀏覽上網時，要進入某一網頁，可在IE的URL欄中輸入該

網頁的（）。A、只能是IP地址B、只能是域名C、實際的文件名稱D、IP地址或域名【正確答案】：D144.規范的實施流程和文檔管理，是信息安全風險評估結能否取得成果的重要基礎，按照規范的風險評估實施流程，下面哪

個文檔應當是風險要素識別階段的輸出成果()A、《風險評估方案》B、《需要保護的資產清單》C、《風險計算報告》D、《風險程度等級列表》【正確答案】：B解析：

風險要素包括資產、威脅、脆弱性、安全措施。145.（）是一種架構在公用通信基礎設施上的專用數據通信網

絡，利用IPSec等網絡層安全協議和建立在PKI的加密與簽名技

術來獲得私有性。A、SETB、DDNC、VPND、PKIX【正確答案】：C146.關于強密碼的特征，說法錯誤的是（）。A、長度至少要有6個字符B、不包含用戶的生日、電話、用戶名、真實姓名或公司名等C、不包含完整的字典詞匯D、必須包含大寫字母、小寫字母、數字和非字母字符【正確答案】：A147.打開命令行界面后，查看本機IP地址的命令是（）。A、ipconfigB、netstatC、tracertD、route【正確答案】：A148.在TCP/IP模型中與OSI模型網絡層對應的是（）。A、網絡接口層B、網際層C、傳輸層D、應用層【正確答案】：B149.關于信息安全管理，下面理解片面的是()A、信息安全管理是組織整體管理的重要、固有組成部分，它是

組織實現其業務目標的重要保障B、信息安全管理是一個不斷演進、循環發展的動態過程，不是

一成不變的C、信息安全建設中，技術是基礎，管理是拔高，既有效的管理

依賴于良好的技術基礎D、堅持管理與技術并重的原則，是我國加強信息安全保障工作

的主要原則之一【正確答案】：C解析：

C是片面的，應為技管并重。150.在NTFS的權限中,修改權限不包括以下下列哪個權限（）。A、讀取B、列出文件及目錄C、拒絕訪問D、寫入【正確答案】：C151.公鑰密碼學的思想最早是誰提出的？()A、歐拉（Euler）B、迪菲（Diffie）和赫爾曼（Hellman）C、費馬（Fermat）D、Rivest、Shamir、Adleman【正確答案】：B152.網絡地址轉換是在IP地址日益缺乏的情況下產生的一種

網絡技術，主要目的是重用IP地址，以下關于網絡地址轉換技

術的說法，錯誤的是（）。A、只能進行一對一的網絡地址翻譯B、解決IP地址空間不足問題C、向外界隱藏內部網結構D、有多種地址翻譯模式【正確答案】：A153.以下關于PGP(PrettyGoodPrivacy)軟件敘述錯誤的是：A、PGP可以實現對郵件的加密、簽名和認證B、PGP可以實現數據壓縮C、PGP可以對郵件進行分段和重組D、PGP采用SHA算法加密郵件【正確答案】：D解析：

SHA不提供加密，SHA是摘要算法提供數據完整性校驗。154.甲公司打算制作網絡連續時所需要的插件的規格尺寸、引腳數量和線序情況，甲公司將這個任務委托了乙公司，那么乙

公司的設計員應該了解OSI參考模型中的哪一層()A、數據鏈路層B、會話層C、物理層D、傳輸層【正確答案】：C155.域名系統DNS的作用是（）。A、存放主機域名B、將域名轉換成IP地址C、存放IP地址D、存放郵件的地址表【正確答案】：B156.下面選項中關于對稱密碼體制和非對稱密碼體質描述錯

誤的是（）。A、對稱密碼體制通信雙方擁有同樣的密鑰，使用的密鑰相對較

短，密文的長度往往與明文長度相同。B、非對稱密碼體制中使用的密鑰有兩個，一個是對外公開的公鑰，可以象電話號碼一樣進行注冊公布；另一個是必須保密

的私鑰，只有擁有者才知道。C、與非對稱密碼體制相比，對稱密碼體制加解密速度較慢。同

等安全強度下，非對稱密碼體制要求的密鑰位數要多一些。D、非對稱密碼體制主要是為了解決對稱密碼體制的缺陷而提出的，即為了解決對稱密碼體制中密鑰分發和管理的問題，

以及不可否認的問題。【正確答案】：C157.一臺IP地址為13/21主機在啟動時發出的廣播IP

是（）。A、55B、55C、55D、55【正確答案】：B158.信息安全保障的目的不僅是保護信息和資產的安全，更重要的是通過保障信息系統安全來保障信息系統所支持的業務安

全，從而實現業務的可持續性。信息安全保障不包括以下哪個

方面（）。A、安全特征B、安全要素C、生命周期D、保障要素【正確答案】：B159.能完成不同的VLAN之間數據傳遞的設備是（）。A、中繼器B、二層交換器C、網橋D、路由器【正確答案】：D160.操作系統安全防護不包括哪些：A、安全防護策略B、驅動程序升級C、系統補丁升級D、終端防護軟件E、個人防火墻【正確答案】：B161.IPv4地址有多少二進制位：A、128B、64C、32D、16【正確答案】：C162.下列不屬于本地安全策略的是（）。A、賬戶策略B、組策略C、本地策略D、高級安全Windows防火墻【正確答案】：B163.使網絡服務器中充斥著大量要求回復的信息，消耗帶寬，導

致網絡或系統停止正常服務，這屬于（）漏洞。A、拒絕服務B、文件共享C、BIND漏洞D、遠程過程調用【正確答案】：A164.在運行Windows的計算機中配置網關，類似于在路由器中配置

()。A、直接路由B、默認路由C、靜態路由D、動態路由【正確答案】：C165.信息安全管理體系（InformationSecurityManagement

System,ISMS）的內部審核和管理審核是兩項重要的管理活動，

關于這兩者，下面描述的錯誤是A、內部審核和管理評審都很重要，都是促進ISMS持續改進的

重要動力，也都應當按照一定的周期實施B、內部審核的實施方式多采用文件審核和現場審核的形式，而

管理評審的實施方式多采用召開管理評審會議形式進行C、內部審核的實施主體組織內部的ISMS內審小組，而管理評

審的實施主體是由國家政策指定的第三方技術服務機構D、組織的信息安全方針、信息安全目標和有關ISMS文件等，

在內部審核中作為審核標準使用，但在管理評審總，這些文

件時被審對象【正確答案】：C解析：

管理評審的實施主體由用戶的管理者來進行選擇。166.關于C/S、B/S架構說法錯誤的是（）。A、C/S架構是指客戶端/服務器架構B/S架構是指瀏覽器/服務器架構C/S架構是建立在廣域網之上,對安全的控制能力相對弱,

面向是不可知的用戶群D、B/S架構中終端用戶不需要安裝專門的軟件，只需要安裝瀏

覽器即可【正確答案】：C167.數字簽名是在簽名者和簽名接收者之間進行的，這種數字簽名方式主要依賴公鑰密碼體制來實現，以下對數字簽名描述

正確的是（）。A、簽名值的長度與被簽名消息的長度有關B、數字簽名是被簽名消息的一部分C、數字簽名算法中，通常對消息的Hash值簽名，而不對消息本

身簽名D、同一人利用同一簽名算法對同一消息進行多次簽名所得的

簽名值應值相同的【正確答案】：C168.入侵者在張某的博客中搜尋到他在某網站的交易信息，利用信息中的內容獲取張某的個人信息，并進一步獲取了其它額

外的信息，這種行為屬于（）。A、社會工程B、非法竊取C、電子欺騙D、電子竊聽【正確答案】：A169.下列域名中，表示教育機構的是（）。A、ftp.xxxtB、C、D、【正確答案】：D170.下列安全防護配置措施不正確的是（）。A、關閉系統審核策略B、開啟操作系統口令策略C、關閉系統不必要的端口D、開啟防火墻和殺毒軟件【正確答案】：A171.如下關于虛擬專用網絡（VPN）描述錯誤的是：A、IPSec分別有傳輸模式（TransportMode）和隧道模式

（TunnelMode）兩種B、IPSec只可以實現兩個網絡孤島互通，并不可以實現多網絡

孤島互通C、SSL是一種四層安全機制D、SSL是以TCP連接為基礎的可靠地端到端安全服務【正確答案】：B172.以下對于信息安全事件理解錯誤的是：（）。A、信息安全事件，是指由于自然或者人為以及軟硬件本身缺陷或故障的原因，對信息系統造成危害，或在信息系統內發生

對社會造成負面影響的事件B、對信息安全事件進行有效管理和響應，最小化事件所造成的

損失和負面影響，是組織信息安全戰略的一部分C、應急響應是信息安全事件管理的重要內容D、通過部署信息安全策略并配合部署防護措施，能夠對信息及

信息系統提供保護，杜絕信息安全事件的發生【正確答案】：D173.以下哪一項是偽裝成有用程序的惡意軟件？()A、計算機病毒B、特洛伊木馬C、邏輯炸彈D、蠕蟲程序【正確答案】：B174.在OSI參考模型中有7個層次，提供了相應的安全服務來加強信息系統的安全性，以下哪一層提供了保密性、身份鑒別、

數據完整性服務?A、網絡層B、表示層C、會話層D、物理層【正確答案】：A解析：

網絡層和應用層可以提供保密性、身份鑒別、完整性、

抗抵賴、訪問控制服務。175.以下哪一項不屬于惡意代碼（）。A、病毒B、蠕蟲C、宏D、特洛伊木馬【正確答案】：C176.下列措施不能防止賬戶口令暴力破解的是（）。A、修改默認的管理員賬戶名B、限制口令輸入次數C、更換密碼時新密碼不能與之前密碼相同或相似D、設置多位由數字和字母組成的超長密碼【正確答案】：D177.在網絡互連中，在網絡層實現互連的設備是（）。A、中繼器B、路由器C、網橋D、網關【正確答案】：B178.VPN它有兩層含義：首先是“虛擬的”，即用戶實際上并不存在一個獨立專用的網絡，既不需要建設或租用專線，也不需要裝備專用的設備，而是將其建立在分布廣泛的公共網絡上，就能組成一個屬于自己專用的網絡。其次是“專用的”，相對于“公用的”來說，它強調私有性和安全可靠性。不屬于VPN

的核心技術是（）。A、隧道技術B、身份認證C、日志記錄D、訪問控制【正確答案】：C179.終端訪問控制器訪問控制系統（TerminalAccess

ControllerAccess-ControlSystem,TACACS）由RFC1492定義，標準的TACACS協議只認證用戶是否可以登錄系統，目前已經很少使用，TACACS+協議由Cisco公司提出，主要應用于Ciso公司的產品中，運行與TCP協議之上。TACACS+協議分為

()兩個不同的過程A、認證和授權B、加密和認證C、數字簽名和認證D、訪問控制和加密【正確答案】：A180.2006年5月8日電，中共中央辦公廳、國務院辦公廳

印發了《2006-2020年國家信息化發展戰略》。全文分（）部

分共計約15000余字。對國內外的信息化發展做了宏觀分析，

對我國信息化發展指導思想和戰略目標標準要闡述，對我國()發展的重點、行動計劃和保障措施做了詳盡描述。該戰略指出了我國信息化發展的（），當前我國信息安全保障工作逐步加強。制定并實施了（）,初步建立了信息安全管理體制和（）?；A信息網絡和重要信息系統的安全防護水平明顯提高，互聯

網信息安全管理進一步加強。A、5個；信息化；基本形勢；國家安全戰略；工作機制B、6個