CISP(注册信息安全专业人员)最新练习题
1.某公司准备在业务环境中部署一种新的计算机产品，下列哪一项是授权过程的最后一步？A．认证B．定级C．认可D．识别答案：C2.下列哪一项准确地描述了可信计算基（TCB）？A．TCB只作用于固件（Firmware）B．TCB描述了一个系统提供的安全级别C．TCB描述了一个系统内部的保护机制D．TCB通过安全标签来表示数据的敏感性答案：C3.下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为？A．安全核心B．可信计算基C．引用监视器D．安全域答案：C4.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？A．Biba模型中的不允许向上写B．Biba模型中的不允许向下读C．Bell-LaPadula模型中的不允许向下写D．Bell-LaPadula模型中的不允许向上读答案：D5.为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则？A．Bell-LaPadula模型中的不允许向下写B．Bell-LaPadula模型中的不允许向上读C．Biba模型中的不允许向上写D．Biba模型中的不允许向下读答案：C6.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？A．Bell-LaPadula模型B．Biba模型C．信息流模型D．Clark-Wilson模型答案：D7.作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。
由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型？A．自主访问控制（DAC）B．强制访问控制（MAC）C．基于角色访问控制（RBAC）D．最小特权（Least Privilege）答案：C8.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？A．强制访问控制（MAC）B．集中式访问控制（Decentralized Access Control）C．分布式访问控制（Distributed Access Control）D．自主访问控制（DAC）答案：D9.下列哪一项最好地描述了消息认证码、哈希算法、数字签名和对称密钥分别提供的功能？A．系统认证和完整性，完整性，真实性和完整性，机密性和完整性B．用户认证和完整性，完整性，真实性和完整性，机密性C．系统认证和完整性，完整性，真实性和完整性，机密性D．系统认证和完整性，完整性和机密性，真实性和完整性，机密性答案：C10.IPSec中包括AH（认证头）和ESP（封装安全载荷）这2个主要协议，其中AH提供下列哪些功能？A．机密性与认证B．机密性与可靠性C．完整性与可靠性D．完整性与认证答案：D11.关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？A．对称加密算法更快，因为使用了替换密码和置换密码B．对称加密算法更慢，因为使用了替换密码和置换密码C．非对称加密算法的密钥分发比对称加密算法更困难D．非对称加密算法不能提供认证和不可否认性答案：A12.数字签名不能提供下列哪种功能？A．机密性B．完整性C．真实性D．不可否认性答案：A13.电子邮件的机密性与真实性是通过下列哪一项实现的？A．用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密B．用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密C．用接收者的私钥对消息进行签名，用发送者的公钥对消息进行加密D．用接收者的公钥对消息进行签名，用发送者的私钥对消息进行加密答案：A14.下列哪一项不属于公钥基础设施（PKI）的组件？A．CRLB．RAD．CA答案：C15.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？A．重放攻击B．Smurf攻击C．字典攻击D．中间人攻击答案：D16.一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？（1）接收者解密并获取会话密钥（2）发送者请求接收者的公钥（3）公钥从公钥目录中被发送出去（4）发送者发送一个由接收者的公钥加密过的会话密钥A．4，3，2，1B．2，1，3，4C．2，3，4，1D．2，4，3，1答案：C17.下列哪一项最好地描述了SSL连接机制？A．客户端创建一个会话密钥并用一个公钥来加密这个会话密钥B．客户端创建一个会话密钥并用一个私钥来加密这个会话密钥C．服务器创建一个会话密钥并用一个公钥来加密这个会话密钥D．服务器创建一个会话密钥并用一个私钥来加密这个会话密钥答案：A18.一名攻击者试图通过暴力攻击来获取下列哪一项信息？A．加密密钥B．加密算法C．公钥D．密文答案：A19.不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。
下列哪一种非对称加密算法因需要最少的资源而具有最高效率？A．RSAB．ECCC．BlowfishD．IDEA答案：B20.在对消息的发送者进行认证时，下列哪一项安全机制是最可靠的？A．数字签名B．非对称加密算法C．数字证书D．消息认证码21.TACACS+协议提供了下列哪一种访问控制机制？A．强制访问控制B．自主访问控制C．分布式访问控制D．集中式访问控制答案：D22.下列哪一项能够被用来检测过去没有被识别过的新型攻击？A．基于特征的IDSB．基于知识的IDSC．基于行为的IDSD．专家系统答案：C23.下列哪种类型的IDS能够监控网络流量中的行为特征，并能够创建新的数据库？A．基于特征的IDSB．基于神经网络的IDSC．基于统计的IDSD．基于主机的IDS答案：B24.访问控制模型应遵循下列哪一项逻辑流程？A．识别，授权，认证B．授权，识别，认证C．识别，认证，授权D．认证，识别，授权答案：C25.在对生物识别技术中的错误拒绝率（FRR）和错误接收率（FAR）的定义中，下列哪一项的描述是最准确的？A．FAR属于类型I错误，FRR属于类型II错误B．FAR是指授权用户被错误拒绝的比率，FRR属于类型I错误C．FRR属于类型I错误，FAR是指冒充者被拒绝的次数D．FRR是指授权用户被错误拒绝的比率，FAR属于类型II错误答案：D26.某单位在评估生物识别系统时，对安全性提出了非常高的要求。
据此判断，下列哪一项技术指标对于该单位来说是最重要的？A．错误接收率（FAR）B．平均错误率（EER）C．错误拒绝率（FRR）D．错误识别率（FIR）答案：A27.下列哪种方法最能够满足双因子认证的需求？A．智能卡和用户PINB．用户ID与密码C．虹膜扫描和指纹扫描D．磁卡和用户PIN28.在Kerberos结构中，下列哪一项会引起单点故障？A．E-Mail服务器B．客户工作站C．应用服务器D．密钥分发中心（KDC）答案：D29.在下列哪一项访问控制技术中，数据库是基于数据的敏感性来决定谁能够访问数据？A．基于角色访问控制B．基于内容访问控制C．基于上下文访问控制D．自主访问控制答案：B30.从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？A．屏蔽路由器B．双宿堡垒主机C．屏蔽主机防火墙D．屏蔽子网防火墙答案：D31.下列哪一项能够最好的保证防火墙日志的完整性？A．只授予管理员访问日志信息的权限B．在操作系统层获取日志事件C．将日志信息传送到专门的第三方日志服务器D．在不同的存储介质中写入两套日志答案：C32.数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范化（denormanization）操作来提高数据库性能，这样做将增加下列哪项风险？A．访问的不一致B．死锁C．对数据的非授权访问D．数据完整性的损害答案：D33.下列哪一项不是一种预防性物理控制？A．安全警卫B．警犬C．访问登记表D．围栏答案：C34.当一名入侵者紧跟着一位授权人员，在没有经过访问控制系统认证的情况下通过入口的行为称为：A．冒充B．尾随C．截获D．欺骗答案：B35.在数据中心环境中，下列哪一种灭火系统最应该被采用？A．干管喷淋灭火系统B．湿管喷淋灭火系统C．Halon灭火系统D．二氧化碳气体答案：A36.执行一个Smurf攻击需要下列哪些组件？A．攻击者，受害者，放大网络B．攻击者，受害者，数据包碎片，放大网络C．攻击者，受害者，数据包碎片D．攻击者，受害者，带外数据答案：A37.下列哪种渗透性测试对有效的评估一个组织对事件处理和响应的能力？A．目标测试B．外部测试C．内部测试D．双盲测试答案：D38.下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间的关系？A．脆弱性增加了威胁，威胁利用了风险并导致了暴露B．风险引起了脆弱性并导致了暴露，暴露又引起了威胁C．暴露允许威胁利用脆弱性，并导致了风险D．威胁利用脆弱性并产生影响的可能性称为风险，暴露是威胁已造成损害的实例39.某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？A．部门经理B．高级管理层C．信息资产所有者D．最终用户答案：C40.下列哪一项最准确地描述了定量风险分析？A．通过基于场景的分析方法来研究不同的安全威胁B．一种将潜在的损失以及进行严格分级的分析方法C．在风险分析时，将货币价值赋给信息资产D．一种基于主观判断的风险分析方法答案：C41.为什么一个公司内部的风险评估团队应该由来自不同部门的人员组成？A．确保风险评估过程是公平的B．因为风险正是由于这些来自不同部门的人员所引起的，因此他们应该承担风险评估的职责C．因为不同部门的人员对本部门所面临的风险最清楚，由此进行的风险评估也最接近于实际情况D．风险评估团队不应该由来自不同部门的人员组成，而应该由一个来自公司外部的小型团队组成答案：C42.下列哪一项准确定义了安全基线？A．指明应该做什么和不应该做什么的规定B．最低水平的安全需求C．安全措施的操作手册D．安全建议答案：B43.组织在实施与维护信息安全的流程中，下列哪一项不属于高级管理层的职责？A．明确的支持B．执行风险分析C．定义目标和范围D．职责定义与授权答案：B44.实施安全程序能够加强下列所有选项，除了：A．数据完整性B．安全意识教育C．数据准确性D．保护资产答案：C45.下列哪一项准确地描述了标准、基线、指南和规程的定义？A．标准是完成某项任务的详细步骤，规程是建议性的操作指导B．基线是强制性的规定，指南是建议性的操作指导C．标准是强制性的规定，规程是完成某项任务的详细步骤D．规程是建议性的操作指导，基线是必须具备的最低安全水平答案：C46.剩余风险应该如何计算？A．威胁×风险×资产价值B．（威胁×资产价值×脆弱性）×风险C．单次损失值×频率D．（威胁×脆弱性×资产价值）×控制空隙答案：D47.下列哪一项准确地定义了风险评估中的三个基本步骤？A．（1）识别风险；（2）评估风险；（3）消减风险。
CISP练习题整理218道
1.关于微软的SDL 原则，弃用不安全的函数属于哪个阶段?（）A、规划B、设计C、实现D、测试答案：C2.优秀源代码审核工具具有哪些特点()①安全性②多平台性③可扩展性④知识性⑤集成性A.①②③④⑤B.②③④C.①②③④D.②③答案：A3. 信息安全风险管理过程的模型如图所示。
按照流程，请问，信息安全风险管理包括（）六个方面的内容。
( )是信息安全风险管理的四个基本步骤，( )则贯穿于这四个基本步骤中。
A.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、风险处理和批准监督；监控审查和沟通咨询B.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、风险处理和监控审查；批准监督和沟通咨询C.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、风险处理和沟通咨询；监控审查和批准监督D.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、监控审查和批准监督；风险处理和沟通咨询答案：A4.信息安全风险评估是针对事物潜在影响正常执行其职能的行为产生干扰或者破坏的因素进行识别、评价的过程，下列选项中不属于风险评估要素的是()。
A.资产B.跪弱性C.威胁D.安全需求答案：D5.小李和小刘需要为公司新搭建的信息管理系统设计访问控制方法，他们在讨论中就应该采用自主访问控制还是强制访问控创产生了分歧。
小本认为应该采用自主访问控制的方法，他的观点主要有；(1)自主访向控制方式，可为用户提供灵活、可调整的安全策略，合法用户可以修改任一文件的存取控制信息；(2)自主访问控制可以抵御木马程序的攻击。
小刘认为应该采用强制访问控制的方法，他的观点主要有；(3)强制访问控制中，只有文件的拥有者可以修改文件的安全属性，因此安全性较高；(4)强制访问控制能够保护敏感信息。
以上四个观点中，只有一个观点是正确的，它是( ).A.观点(1)B.观点(2)C.观点(3)D.观点(4)答案：D6.基于对()的信任，当一个请求成命令来自一个“权威”人士时，这个请求就可能被毫不怀疑的（），在（）中，攻击者伪装成“公安部门”人员，要求受害者转账到所谓“安全账户”就是利用了受害者对权威的信任。
CISP(注册信息安全专业人员)最新练习题
1.某公司准备在业务环境中部署一种新的计算机产品，下列哪一项是授权过程的最后一步？A．认证B．定级C．认可D．识别答案：C2.下列哪一项准确地描述了可信计算基（TCB）？A．TCB只作用于固件（Firmware）B．TCB描述了一个系统提供的安全级别C．TCB描述了一个系统内部的保护机制D．TCB通过安全标签来表示数据的敏感性答案：C3.下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为？A．安全核心B．可信计算基C．引用监视器D．安全域答案：C4.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？A．Biba模型中的不允许向上写B．Biba模型中的不允许向下读C．Bell-LaPadula模型中的不允许向下写D．Bell-LaPadula模型中的不允许向上读答案：D5.为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则？A．Bell-LaPadula模型中的不允许向下写B．Bell-LaPadula模型中的不允许向上读C．Biba模型中的不允许向上写D．Biba模型中的不允许向下读答案：C6.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？A．Bell-LaPadula模型B．Biba模型C．信息流模型D．Clark-Wilson模型答案：D7.作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。
由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型？A．自主访问控制（DAC）B．强制访问控制（MAC）C．基于角色访问控制（RBAC）D．最小特权（Least Privilege）答案：C8.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？A．强制访问控制（MAC）B．集中式访问控制（Decentralized Access Control）C．分布式访问控制（Distributed Access Control）D．自主访问控制（DAC）答案：D9.下列哪一项最好地描述了消息认证码、哈希算法、数字签名和对称密钥分别提供的功能？A．系统认证和完整性，完整性，真实性和完整性，机密性和完整性B．用户认证和完整性，完整性，真实性和完整性，机密性C．系统认证和完整性，完整性，真实性和完整性，机密性D．系统认证和完整性，完整性和机密性，真实性和完整性，机密性答案：C10.IPSec中包括AH（认证头）和ESP（封装安全载荷）这2个主要协议，其中AH提供下列哪些功能？A．机密性与认证B．机密性与可靠性C．完整性与可靠性D．完整性与认证答案：D11.关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？A．对称加密算法更快，因为使用了替换密码和置换密码B．对称加密算法更慢，因为使用了替换密码和置换密码C．非对称加密算法的密钥分发比对称加密算法更困难D．非对称加密算法不能提供认证和不可否认性答案：A12.数字签名不能提供下列哪种功能？A．机密性B．完整性C．真实性D．不可否认性答案：A13.电子邮件的机密性与真实性是通过下列哪一项实现的？A．用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密B．用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密C．用接收者的私钥对消息进行签名，用发送者的公钥对消息进行加密D．用接收者的公钥对消息进行签名，用发送者的私钥对消息进行加密答案：A14.下列哪一项不属于公钥基础设施（PKI）的组件？A．CRLB．RAD．CA答案：C15.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？A．重放攻击B．Smurf攻击C．字典攻击D．中间人攻击答案：D16.一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？（1）接收者解密并获取会话密钥（2）发送者请求接收者的公钥（3）公钥从公钥目录中被发送出去（4）发送者发送一个由接收者的公钥加密过的会话密钥A．4，3，2，1B．2，1，3，4C．2，3，4，1D．2，4，3，1答案：C17.下列哪一项最好地描述了SSL连接机制？A．客户端创建一个会话密钥并用一个公钥来加密这个会话密钥B．客户端创建一个会话密钥并用一个私钥来加密这个会话密钥C．服务器创建一个会话密钥并用一个公钥来加密这个会话密钥D．服务器创建一个会话密钥并用一个私钥来加密这个会话密钥答案：A18.一名攻击者试图通过暴力攻击来获取下列哪一项信息？A．加密密钥B．加密算法C．公钥D．密文答案：A19.不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。
最新CISP模拟考试题库及答案
最新CISP模拟考试题库及答案1.在橙皮书的概念中，信任是存在于以下哪一项中的？A. 操作系统B. 网络C. 数据库D. 应用程序系统答案：A备注：[标准和法规（TCSEC）]2.下述攻击手段中不属于DOS攻击的是: （）A. Smurf攻击B. Land攻击C. Teardrop攻击D. CGI溢出攻击答案：D。
3.“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为：（）A. “普密”、“商密”两个级别B. “低级”和“高级”两个级别C. “绝密”、“机密”、“秘密”三个级别D. “一密”、“二密”、“三密”、“四密”四个级别答案：C。
4.应用软件测试的正确顺序是：A. 集成测试、单元测试、系统测试、验收测试B. 单元测试、系统测试、集成测试、验收测试C. 验收测试、单元测试、集成测试、系统测试D. 单元测试、集成测试、系统测试、验收测试答案：选项D。
5.多层的楼房中，最适合做数据中心的位置是：A. 一楼B. 地下室C. 顶楼D. 除以上外的任何楼层答案：D。
6.随着全球信息化的发展，信息安全成了网络时代的热点，为了保证我国信息产业的发展与安全，必须加强对信息安全产品、系统、服务的测评认证，中国信息安全产品测评认证中心正是由国家授权从事测评认证的国家级测评认证实体机构，以下对其测评认证工作的错误认识是：A. 测评与认证是两个不同概念，信息安全产品或系统认证需经过申请、测试、评估，认证一系列环节。
B. 认证公告将在一些媒体上定期发布，只有通过认证的产品才会向公告、测试中或没有通过测试的产品不再公告之列。
C. 对信息安全产品的测评认证制度是我国按照WTO规则建立的技术壁垒的管理体制。
D. 通过测试认证达到中心认证标准的安全产品或系统完全消除了安全风险。
答案：D。
7.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：A. 系统管理员B. 律师C. 恢复协调员D. 硬件和软件厂商答案：B。
cisp考试题
cisp考试题一、选择题1. CISP（注册信息安全专业人员）认证是由哪个组织机构颁发的？A. 国际信息系统审计与控制协会（ISACA）B. 国际信息安全认证联盟（CISSP）C. 国际标准化组织（ISO）D. 国家信息安全认证中心（NISCC）2. 在信息安全管理中，以下哪项不是ISO 27001标准的核心组成部分？A. 风险评估B. 安全策略C. 业务连续性计划D. 系统开发生命周期3. 以下关于密码学的说法，哪一项是错误的？A. 对称加密算法使用相同的密钥进行加密和解密。
B. 非对称加密算法使用不同的密钥进行加密和解密。
C. 哈希函数是可逆的。
D. 数字签名用于验证数据的完整性和来源。
4. 在网络安全中，防火墙的主要作用是什么？A. 阻止未授权的网络访问B. 加速网络通信C. 记录网络活动日志D. 以上都是5. 以下哪个协议不是用于网络层的安全协议？A. IPsecB. TLSC. SSHD. ESP二、填空题1. CISP认证的全称是__________，它旨在证明持有者在信息安全领域具有__________的知识和技能。
2. 在信息安全管理体系中，__________是一种用于识别、评估和管理风险的过程，以确保组织的信息资产得到适当的保护。
3. 密码学中的__________是指通过数学方法来保证信息的安全性，包括加密、解密和认证等过程。
4. 网络防火墙可以基于__________规则来控制数据包的传输，从而防止恶意流量进入内部网络。
5. 业务连续性计划的主要目的是在发生灾难或中断事件时，确保组织能够__________地恢复关键业务功能。
三、简答题1. 请简述信息安全管理的五大核心领域，并举例说明每个领域的关键活动。
2. 描述ISO 27001标准中的信息安全风险评估过程，并说明其重要性。
3. 阐述密码学在电子商务中的应用，并说明其如何帮助保护交易的安全性。
4. 讨论网络防火墙的局限性，并提出可能的解决方案或替代技术。
最新CISP试题及答案-一套题
C I S P试题及答案-一套题1.下面关于信息安全保障的说法错误的是：A.信息安全保障的概念是与信息安全的概念同时产生的B.信息系统安全保障要素包括信息的完整性，可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施各种保障要素，在系统的生命周期内确保信息的安全属性。
以下哪一项是数据完整性得到保护的例子？A.某网站在访问量突然增加时对用户连接数量进行了限制，保证已登录的用户可以完成操作B.在提款过程中ATM终端发生故障，银行业务系统及时对该用户的账户余额进行了冲正操作C.某网管系统具有严格的审计功能，可以确定哪个管理员在何时对核心交换机进行了什么操作D.李先生在每天下班前将重要文件锁在档案室的保密柜中，使伪装成清洁工的商业间谍无法查看注重安全管理体系建设，人员意识的培训和教育，是信息安全发展哪一个阶段的特点？A.通信安全B.计算机安全C.信息安全D.信息安全保障以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A.提高信息技术产品的国产化率B.保证信息安全资金注入C.加快信息安全人才培养D.重视信息安全应急处理工作以下关于置换密码的说法正确的是：A.明文根据密钥被不同的密文字母代替B.明文字母不变，仅仅是位置根据密钥发生改变C.明文和密钥的每个bit异或D.明文根据密钥作了移位以下关于代替密码的说法正确的是：A.明文根据密钥被不同的密文字母代替B.明文字母不变，仅仅是位置根据密钥发生改变C.明文和密钥的每个bit异或D.明文根据密钥作了移位7常见密码系统包含的元素是：A.明文、密文、信道、加密算法、解密算法B.明文、摘要、信道、加密算法、解密算C.明文、密文、密钥、加密算法、解密算法D.消息、密文、信道、加密算法、解密算法8在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于____________________A.明文B.密文C.密钥D.信道9PKI在验证一个数字证书时需要查看_________来确认该证书是否已经作废A.ARLB.CSSC.KMSD.CRL10、一项功能可以不由认证中心CA完成？A.撤销和中止用户的证书B.产生并分布CA的公钥C.在请求实体和它的公钥间建立链接D.发放并分发用户的证书11、一项是虚拟专用网络（VPN）的安全功能？A.验证，访问控制盒密码B.隧道，防火墙和拨号C.加密，鉴别和密钥管理D.压缩，解密和密码12、为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，列哪一项最好地描述了星或（*-）完整性原则？A.Bell-LaPadula模型中的不允许向下写B.Bell-LaPadula模型中的不允许向上度C.Biba模型中的不允许向上写D.Biba模型中的不允许向下读13、下面哪一个情景属于身份鉴别（Authentication）过程？A.用户依照系统提示输入用户名和口令B.用户在网络上共享了自己编写的一份Office文档，并设定哪些用户可以阅读，哪些用户可以修改C.用户使用加密软件对自己编写的office文档进行加密，以阻止其他人得到这份拷贝后看到文档中的内容D.某个人尝试登录到你的计算机中，但是口令输入的不对，系统提示口令错误，并将这次失败的登录过程记录在系统日志中14、下列对Kerberos协议特点描述不正确的是：A.协议采用单点登录技术，无法实现分布式网络环境下的认证B.协议与授权机制相结合，支持双向的身份认证C.只要用户拿到了TGT并且该TGT没有过期，就可以使用该TGT通过TGS完成到任一个服务器的认证而不必重新输入密码D.AS和TGS是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全15、TACACS+协议提供了下列哪一种访问控制机制？A.强制访问控制B.自主访问控制C.分布式访问控制D.集中式访问控制16、下列对蜜网功能描述不正确的是：A.可以吸引或转移攻击者的注意力，延缓他们对真正目标的攻击B.吸引入侵者来嗅探、攻击，同时不被觉察地将入侵者的活动记录下来C.可以进行攻击检测和实时报警D.可以对攻击活动进行监视、检测和分析17、下列对审计系统基本组成描述正确的是：A.审计系统一般包括三个部分：日志记录、日志分析和日志处理B.审计系统一般包含两个部分：日志记录和日志处理C.审计系统一般包含两个部分：日志记录和日志分析D.审计系统一般包含三个部分：日志记录、日志分析和日志报告18、在ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务？A.加密B.数字签名C.访问控制D.路由控制19、在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性，以下哪一层提供了保密性、身份鉴别、数据完整性服务？A.网络层B.表示层C会话层D.物理层20、WAPI采用的是什么加密算法？A.我国自主研发的公开密钥体制的椭圆曲线密码算法B.国际上通行的商用加密标准C.国家密码管理委员会办公室批准的流加密标准D.国际通行的哈希算法21、通常在VLAN时，以下哪一项不是VLAN的规划方法？A.基于交换机端口B.基于网络层协议C.基于MAC地址D.基于数字证书22、某个客户的网络现在可以正常访问Internet互联网，共有200台终端PC但此客户从ISP（互联网络服务提供商）里只获得了16个公有的IPv4地址，最多也只有16台PC可以访问互联网，要想让全部200台终端PC访问Internet互联网最好采取什么方法或技术：A、花更多的钱向ISP申请更多的IP地址B、在网络的出口路由器上做源NATC、在网络的出口路由器上做目的NATD、在网络出口处增加一定数量的路由器23、以下哪一个数据传输方式难以通过网络窃听获取信息？A.FTP传输文件B.TELNET进行远程管理C.URL以HTTPS开头的网页内容D.经过TACACS+认证和授权后建立的连接24、桥接或透明模式是目前比较流行的防火墙部署方式，这种方式的优点不包括：A.不需要对原有的网络配置进行修改B.性能比较高C.防火墙本身不容易受到攻击D.易于在防火墙上实现NAT25、下面哪一项是对IDS的正确描述？A、基于特征（Signature-based）的系统可以检测新的攻击类型B、基于特征（Signature-based）的系统化基于行为（behavior-based）的系统产生更多的误报C、基于行为（behavior-based）的系统维护状态数据库来与数据包和攻击相匹配D、基于行为（behavior-based）的系统比基于特征（Signature-based）的系统有更高的误报26、下列哪些选项不属于NIDS的常见技术？A.协议分析B.零拷贝C.SYN CookieD.IP碎片重组27、在UNIX系统中输入命令“IS-AL TEST”显示如下：“-rwxr-xr-x 3 root root 1024 Sep 13 11：58 test”对它的含义解释错误的是：A.这是一个文件，而不是目录B.文件的拥有者可以对这个文件进行读、写和执行的操作C.文件所属组的成员有可以读它，也可以执行它D.其它所有用户只可以执行它28、在Unix系统中，/etc/service文件记录了什么内容？A、记录一些常用的接口及其所提供的服务的对应关系B、决定inetd启动网络服务时，启动那些服务C、定义了系统缺省运行级别，系统进入新运行级别需要做什么D、包含了系统的一些启动脚本29、以下对windows账号的描述，正确的是：A、windows系统是采用SID（安全标识符）来标识用户对文件或文件夹的权限B、windows系统是采用用户名来标识用户对文件或文件夹的权限C、windows系统默认会生成administration和guest两个账号，两个账号都不允许改名和删除D、windows系统默认生成administration和guest两个账号，两个账号都可以改名和删除30、以下对于Windows系统的服务描述，正确的是：A、windows服务必须是一个独立的可执行程序B、windows服务的运行不需要用户的交互登录C、windows服务都是随系统的启动而启动，无需用户进行干预D、windows服务都需要用户进行登录后，以登录用户的权限进行启动31、以下哪一项不是IIS服务器支持的访问控制过滤类型？A.网络地址访问控制B.WEB服务器许可C.NTFS许可D.异常行为过滤32、为了实现数据库的完整性控制，数据库管理员应向DBMS提出一组完整性规则来检查数据库中的数据，完整性规则主要由3部分组成，以下哪一个不是完整性规则的内容？A.完整性约束条件B.完整性检查机制C.完整性修复机制D.违约处理机制33、数据库事务日志的用途是什么？A.事务处理B.数据恢复C.完整性约束D.保密性控制34、下列哪一项与数据库的安全有直接关系？A.访问控制的粒度B.数据库的大小C.关系表中属性的数量D.关系表中元组的数量35、下面对于cookie的说法错误的是：A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息B、cookie可以存储一些敏感的用户信息，从而造成一定的安全风险C、通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗D、防范cookie欺骗的一个有效方法是不使用cookie验证方法，而使用session 验证方法36、以下哪一项是和电子邮件系统无关的？A、PEMB、PGPC、X500D、X40037、Apache Web 服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache目录的配置文件是：A、httpd.confB、srm.confC、access.confD、inetd.conf38、Java安全模型（JSM）是在设计虚拟机（JVN）时，引入沙箱（sandbox）机制，其主要目的是：A、为服务器提供针对恶意客户端代码的保护B、为客户端程序提供针对用户输入恶意代码的保护C、为用户提供针对恶意网络移动代码的保护D、提供事件的可追查性39、恶意代码采用加密技术的目的是：A.加密技术是恶意代码自身保护的重要机制B.加密技术可以保证恶意代码不被发现C.加密技术可以保证恶意代码不被破坏D.以上都不正确40、恶意代码反跟踪技术描述正确的是：A反跟踪技术可以减少被发现的可能性B.反跟踪技术可以避免所有杀毒软件的查杀C.反跟踪技术可以避免恶意代码被消除D.以上都不是41、下列关于计算机病毒感染能力的说法不正确的是：A.能将自身代码注入到引导区B.能将自身代码注入到扇区中的文件镜像C.能将自身代码注入文本文件中并执行D.能将自身代码注入到文档或模板的宏中代码42、当用户输入的数据被一个解释器当作命令或查询语句的一部分执行时，就会产生哪种类型的漏洞？A.缓冲区溢出B.设计错误C.信息泄露D.代码注入43、完整性检查和控制的防范对象是________,防止它们进入数据库。
最新CISP试题及答案(515多题整理版)
1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B.来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D.所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B.ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D.ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B.风险评估的结果C.组织原则目标和业务需要D.企业领导的个人意志【答案】D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D.基础培训，RA培训，文件编写培训，内部审核培训【答案】B9. 构成风险的关键因素有哪些？A. 人，财，物B.技术，管理和操作C.资产，威胁和弱点D.资产，可能性和严重性【答案】C10. 以下哪些不是应该识别的信息资产？A.网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】C11. 以下哪些是可能存在的威胁因素？BA.设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】B12. 以下哪些不是可能存在的弱点问题？A.保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A.只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】B14. 风险分析的目的是？A.在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B.在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
最新CISP试题及答案-7套题详解
1.下面关于信息安全保障的说法正确的是：A.信息安全保障的概念是与信息安全的概念同时产生的B.信息系统安全保障要素包括信息的完整性、可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施在系统的生命周期内确保信息的安全属性2.根据《 GB / T20274 信息安全保障评估框架》，对信息系统安全保障能力进行评估应A.信息安全管理和信息安全技术2 个方面进行B.信息安全管理、信息安全技术和信息安全工程3 个方面进行C.信息安全管理、信息安全技术、信息安全工程和人员4 个方面进行D.信息安全管理、信息安全技术、信息安全工程、法律法规和人员5个方面进行3.哪一项不是《 GB / T20274 信息安全保障评估框架》给出的信息安全保障模通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征4.对于信息安全发展历史描述正确的是：A.信息安全的概念是随着计算机技术的广泛应用而诞生的B.目前信息安全己经发展到计算机安全的阶段C.目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程和人员同样是促进系统安全性的重要因素D.我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安全”，再到“信息安全”，直至现在的“信息安全保障”5.ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务A.加密B.数字签名C.访问控制D.路由控制6.表示层7.以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性A.ITSECB.TCSECC.GB/T9387.2D.彩虹系列的橙皮书8.下面对于CC 的“保护轮廓”( PP ）的说法最准确的是：A.对系统防护强度的描述B.对评估对象系统进行规范化的描述C.对一类TOE 的安全需求，进行与技术实现无关的描述D.由一系列保证组件构成的包，可以代表预先定义的保证尺度9.以下哪一项属于动态的强制访问控制模型？A.Bell一Lapudufa 模型B.10.C.Strong star property 处于D.Bell 一Lapadula 模型的访问规则主要是出于对保密性的保护而制定的11.下面对于强制访问控制的说法错误的是？A 它可以用来实现完整性保护，也可以用来实现机密性保护B在强制访问控制的系统中，用户只能定义客体的安全属性C 它在军方和政府等安全要求很高的地方应用较多D 它的缺点是使用中的便利性比较低12.以下哪两个安全模型分别是多级完整性模型和多边保密模型？A.Biba 模型和Bell一Lapadula 模型B.Bell 一Lapaduia 模型和Biba 模型C.Chinese Wall 模型和Bell 一Lapadula 模型D.Biba 模型和Chinese Wall 模型13.在一个使用Chinese Wall 模型建立访问控制的信息系统中，数据W和数据X在一个兴趣冲突域中，数据Y和数据Z在另一个兴趣冲突域中，那么可以确定一个新注册的用户：A.只有访问了W之后，才可以访问XB.只有访问了W之后，才可以访问Y和Z中的一个C.无论是否访问W，都只能访问Y和Z中的一个D.无论是否访问W，都不能访问Y或Z14.BMA访问控制模型是基于A.健康服务网络B.ARPANETC.ISPD.INTERNET15.16.证书持有者的公钥证书颁发机构的签名证书有效期17.下面关于密码算法的说法错误的是？A.分组密码又称作块加密B.流密码又称作序列密码C.DES算法采用的是流密码D.序列密码每次加密一位或一个字节的明文18.下面对于SSH的说法错误的是？A.SSH是Secure Shell的简称B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSHD.SSH2比SSH1更安全19.下面对于标识和鉴别的解释最准确的是：A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性B.标识用于区别不同的用户，而鉴别用于赋予用户权限C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限20.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：A.你是什么B.你有什么C.你知道什么D.你做了什么21.安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的A.辅助辨识和分析未经授权的活动或攻击B.对与己建立的安全策略的一致性进行核查C.及时阻断违反安全策略的访问D.帮助发现需要改进的安全控制措施22.下面哪一项不是通用IDS 模型的组成部分：A.传感器B.过滤器23.24.以下哪一项属于物理安全方面的管理控制措施？A.照明B.护柱C.培训D.建筑设施的材料25.以下哪种不是火灾探测器类型：A.电离型烟传感器B.光电传感器C.声学震动探测系统D.温度传感器26.以下关于事故的征兆和预兆说法不正确的是：A.预兆是事故可能在将来出现的标志B.征兆是事故可能己经发生或正在发生的标志C.预兆和征兆的来源包括网络和主机IDS 、防病毒软件、系统和网络日志D.所有事故的预兆和征兆都是可以发现的27.组织机构应根据事故类型建立揭制策略，需要考虑以下几个因素，除了：A、实施策略需要的时间和资源B、攻击者的动机C、服务可用性D、证据保留的时间28、下面安全套接字层协议（SSL）的说法错误的是？A、它是一种基于Web应用的安全协议B、由于SSL是内嵌的浏览器中的，无需安全客户端软件，所以相对于IPSEC 更简C、SSL与IPSec一样都工作在网络层D、SSL可以提供身份认证、加密和完整性校验的功能29、用来为网络中的主机自动分配IP地址、子网掩码、默认网关、wins服务器地址的网？A、ARPB、IGMPC、ICMPD、DHCP301 下面哪一项不是VPN协议标准：A、L2TPB、ipsecC、TACACS+D、PPTP30、IPSEC的两种使用模式分别是_______和_____A 传输模式、安全壳模式B 传输模式、隧道模式C 隧道模式、ESP模式D 安全壳模式、AH模式31、组成IPSEC的主要安全协议不包括以下哪一项：A 、 ESP B、 DSS C 、 IKE D、 AH32、在UNIX系统中输入命令“LS-al test”显示如下;-rwxr-xr-x 3 root root 1024 Sep 13 11:58 test”对他的含义解释错误的是：A、这是一个文件，而不是目录B、文件的拥有者可以对这个文件读、写和执行的操作C、文件所属组的成员有可以读它，也可以执行它D、其他所有用户只可以执行它33、计算机具有的IP地址是有限的，但通常计算机会开启多项服务或运行多个应用程序，那么如何在网络通信中对这些程序或服务进行单独标识？A 分配网络端口号（如ftp服务对应21端口）B 利用MAC地址C 使用子网掩码D 利用PKI/CA34、Apache Web 服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache 目录的配置文件是：A httpd.confB srm.confC inetd.confD access.conf35、下面哪一项是操作系统中可信通路（trust path）机制的实例？A Window系统中ALT+CTRL+DELB root在Linux系统上具有绝对的权限C 以root身份作任何事情都要谨慎D 控制root用户的登录可以在/etc/security目录下的access.conf文件中进行设置36、以下对Windows服务的说法错误的是（）A 为了提升系统的安全性管理员应尽量关闭不需要的服务B Windows服务只有在用户成功登录系统后才能运行C 可以作为独立的进程运行或以DLL的形式依附在Svchost.exeD windows服务通常是以管理员的身份运行的37、以下哪一项不是IIS服务器支持的访问控制过滤类型？A 网络地址访问控制B web服务器许可C NTFS许可D 异常行为过滤38、下列哪一项与数据库的安全有直接关系？A 访问控制的粒度B 数据库的大小C 关系表中属性的数量D 关系表中元组的数量39、下列哪一组Oracle数据库的默认用户名和默认口令？A 用户名：“Scott”；口令：“tiger”B 用户名：“Sa”；口令：“nullr”C 用户名：“root”；口令：“null”D 用户名：“admin”；口令：“null”40、关于数据库安全的说法错误的是？A 数据库系统的安全性很大程度上依赖于DBMS的安全机制B 许多数据库系统在操作系统一下文件形式进行管理，因此利用操作系统漏洞可以窃取数据库文件C 为了防止数据库中的信息被盗取，在操作系统层次对文件进行加密是唯一从根本上解决问题的手段D 数据库的安全需要在网络系统、操作系统和数据库管理系统三个方面进行保护42、下面关于计算机恶意代码发展趋势的说法错误的是：A 木马和病毒盗窃日益猖獗B 利用病毒犯罪的组织性和趋利性增加C综合利用多种编程新技术、对抗性不断增加 D 复合型病毒减少，而自我保护功能增加43、关于网页中的恶意代码，下列说法错误的是：A 网页中的恶意代码只能通过IE浏览器发挥作用B 网页中恶意代码可以修改系统注册表C 网页中的恶意代码可以修改系统文件D 网页中的恶意代码可以窃取用户的机密性文件44、下面对于“电子邮件炸弹”的解释最准确的是：A 邮件正文中包含的恶意网站链接B 邮件附件中具有强破坏性的病毒C 社会工程的一种方式，具有恐吓内容的邮件D 在短时间内发送大量邮件软件，可以造成目标邮箱爆满45、以下哪一项是常见Web站点脆弱性扫描工具：A SnifferB NmapC AppscanD LC46、下面哪一项不是安全编程的原则A 尽可能使用高级语言进行编程B 尽可能让程序只实现需要的功能C 不要信任用户输入的数据D 尽可能考虑到意外的情况，并设计妥善的处理方法47、黑客进行攻击的最后一个步骤是：A 侦查与信息收集B 漏洞分析与目标选定C 获取系统权限D 打扫战场、清楚证据48、下面哪一项是缓冲溢出的危害？A 可能导致shellcode的执行而非法获取权限，破坏系统的保密性B 执行shellcode后可能进行非法控制，破坏系统的完整性C 可能导致拒绝服务攻击，破坏系统的可用性D 以上都是49、以下哪一项是DOS攻击的一个实例A SQL注入B IP SpoofC Smurf攻击D 字典破解50、以下对于蠕虫病毒的错误说法是（）A 通常蠕虫的传播无需用户的操作B 蠕虫病毒的主要危害体现在对数据保密的破坏C 蠕虫的工作原理与病毒相似，除了没有感染文件D 是一段能不以其他程序为媒介，从一个电脑系统复制到另一个电脑系统51、以下哪一项不是跨站脚本攻击？A 给网站挂马B 盗取COOKIEC 伪造页面信息D 暴力破解密码52.对能力成熟度模型解释最准确的是？A．它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。
CISP真题(含答案解析)二
CISP真题（含答案解析）练习二本试卷100题1.为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，一下关于渗透测试过程的说法不正确的是正确答案：D解释说明：2.随着信息技术的不断发展，信息系统的重要性也越来越突出，而与此同时，发生的信息安全事件也越来越多。
综合分析信息安全问题产生的根源，下面描述正确的是正确答案：C解释说明：3.保护-检测-相应（Protection-Detection-Response，PDR）模型是（）工作中常用的模型，其思想是承认：（）中漏洞的存在，正视系统面临的（），通过采取适度防护、加强（）、落实对安全事件的相应、建立对威胁的防护来保障系统的安全。
正确答案：C解释说明：4.老王是一名企业信息化负责人，由于企业员工在浏览网页时总导致病毒感染系统，为了解决这一问题，老王要求信息安全员给出解决措施，信息安全员给出了四条建议措施，老王根据多年的信息安全管理经验，认为其中的一条不太适合推广，你认为是哪条措施正确答案：C解释说明：5.小华在某电子商务公司工作，某天他在查看信息系统设计文档时，发现其中标注该信息系统的PRO（恢复点目标）指标为3小时，请问这意味着正确答案：C解释说明：6.以下关于WEB传输协议、服务端和客户端软件的安全问题说法不正确的是正确答案：C解释说明：7.以下行为不属于违反国家保密规定的行为解释说明：D8.Linux系统的安全设置主要是从磁盘分区、账号安全设置、禁用危险服务、远程登入安全、用户鉴别安全、审计策略、保护root账号、使用网络防火墙和文件权限操作共10个方面来完成。
小张在学习Linux系统安全的相关知识后，尝试为自己计算机上的Linux 系统进行安全配置。
下列选项是他进行的部分操作，其中不合理的是正确答案：A解释说明：9.软件存在漏洞和缺陷是不可避免的，实践中常使用软件缺陷密度（De f ects/K LOC）来衡量软件的安全性。
CISP注册信息安全专业CISP试卷(NEW)
1、规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。
某单位在实施风险评估时，形成了《特评估信息系统相关设备及资产清单》。
在风险评估实施的各个阶段中，该《特评估信息系统相关设备及资产清单》应是如下（）中的输出结果：A、风险评估准备B、风险要素识别C、风险分析D、风险结果判定2、关于秘钥管理，下列说法错误的是（）：A、科克霍夫原则指出算法的安全性不应基于算法的保密，而应基于密钥的安全性B、保密通信过程中，通信方使用之前用过的会话密钥建立会话，不影响通信安全C、密钥在管理需要考虑密钥产生、存储、备份、分配、更新、撤销等生命周期过程的每一个环节D、在网络通信中，通信双方可利用Diffie-hellman 协议协商会话密钥3、某购物网站开发项目经过需求分析进入系统设计阶段，为了保证用户账户的安全，项目开发人员决定用户登录时除了用户名口令认证方式外，还加入基于数字证书的身份认证功能，同时用户口令使用SHA-1算法加密后存放在后台数库中，请问以上安全设计遵循的哪项安全设计原则（）：A、最小特权原则B、职不经意分离原则C、纵深防御原则D、最少共享机制原则4、2016年9月，一位安全研究人员在 Google Cloud IP上通过扫描，发现了完整的美国路易斯安那州290万选民数据库。
这套数据库中囊括了诸如完整姓名、电子邮箱地址、性别与种族、选民状态、注册日期与编号、政党代码、电话号码以及最后一次投票及投票历史等详细信息。
安全研究员建议当地民众及时修改与个人信息相关的用户名和密码，以防止攻击者利用以上信息进行（）攻击：A、默认口令B、字典C、暴力破解D、XSS5、下图是某单位对其主网站的一天访问流量监测图。
如果说网站在当天17:00到20:00间受到了攻击，则从图中数据分析，这种攻击类型最可能属于下面什么攻击（）：A、跨站脚本（Cross Site Scripting，XSS）攻击B、TCP会话劫持（TC. Hi jack）攻击C、IP欺骗攻击D、拒绝服务（Denial of Serice， DoS）攻击6、小张在单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训。
cisp试题及答案
cisp试题及答案CISP试题及答案一、选择题（每题1分，共10分）1. 以下哪项不是CISP的认证目标？A. 提升个人网络安全技能B. 增强组织的信息安全防护能力C. 降低网络攻击的风险D. 提高个人编程能力答案：D2. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 终身有效答案：C3. 以下哪个不是CISP考试的科目？A. 信息安全基础B. 网络安全C. 软件开发D. 风险管理答案：C4. CISP认证的考试形式是什么？A. 笔试B. 机考C. 面试D. 现场操作答案：B5. CISP认证的考试语言是？A. 英语B. 中文C. 法语D. 德语答案：A6. 以下哪项不是CISP认证的考试内容？A. 法律、法规和合规性B. 业务连续性管理C. 网络设备配置D. 信息安全管理答案：C7. CISP认证适合哪些人员？A. IT管理人员B. 网络安全专家C. 软件开发人员D. 所有以上答案：D8. CISP认证的考试通过标准是什么？A. 60%正确率B. 70%正确率C. 80%正确率D. 100%正确率答案：B9. CISP认证的考试费用是多少？A. 1000元B. 2000元C. 3000元D. 4000元答案：C10. CISP认证的考试时长是多少？A. 1小时B. 2小时C. 3小时D. 4小时答案：C二、简答题（每题5分，共20分）1. 简述CISP认证的重要性。
答案：CISP认证对于个人而言，是专业能力的认可，有助于职业发展和技能提升。
对于组织而言，拥有CISP认证的员工可以增强组织的信息安全防护能力，降低信息安全风险。
2. 描述CISP认证的考试流程。
答案：CISP认证考试流程通常包括注册、备考、参加考试、成绩公布和认证证书的颁发。
考生需要在指定的考试中心完成机考，考试合格后，将获得认证证书。
3. 解释CISP认证的继续教育要求。
答案：CISP认证持有者需要每两年完成一定的继续教育学分，以保持认证的有效性。