中国信息安全评测中心CISM认证模拟试题库-答案
中国信息安全测评中心CISM认证
模拟试题
中电运行信息安全网络技术测评中心 编辑
1．信息安全保障要素不包括以下哪一项？
A．技术
B．工程
C．组织
D．管理
2．以下对信息安全问题产生的根源描述最准确的是：
A．信息安全问题是由于信息技术的不断发展造成的
B．信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C．信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D．信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏
3．完整性机制可以防范以下哪种攻击？
A．假冒源地址或用户的地址的欺骗攻击
B．抵赖做过信息的递交行为
C．数据传输中被窃听获取
D．数据传输中被篡改或破坏
4．PPDR模型不包括：
A．策略
B．检测
C．响应
D．加密
5．关于信息安全策略的说法中，下面说法正确的是：
A．信息安全策略的制定是以信息系统的规模为基础
B．信息安全策略的制定是以信息系统的网络拓扑结构为基础
C．信息安全策略是以信息系统风险管理为基础
D．在信息系统尚未建设完成之前，无法确定信息安全策略
6．“进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。其中，“看不懂”是指下面哪种安全服务：
A．数据加密
B．身份认证
C．数据完整性
D．访问控制
7．下面对ISO27001的说法最准确的是：
A．该标准的题目是信息安全管理体系实施指南
B．该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C．该标准提供了一组信息安全管理相关的控制措施和最佳实践
D．该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型
8．拒绝服务攻击损害了信息系统的哪一项性能？
A．完整性
B．可用性
C．保密性
D．可靠性
9．根据《信息系统安全等级保护定级指南》，信息系统的安全保护等级由哪两个定级要素决定？
A．威胁、脆弱性
B．系统价值、风险
C．信息安全、系统服务安全
D．受侵害的客体、对客体造成侵害的程度业务
10．IAFE深度防御战略的三个层面不包括：
A．人员
B．法律
C．技术
D．运行
11．“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为： A．“普密”、“商密”两个级别
B．“低级”和“高级”两个级别
C．“绝密”、“机密”、“秘密”三个级别
D．“一密”、“二密”、“三密”、“四密”四个级别
12．触犯新刑法285条规定的非法侵入计算机系统罪可判处________
A．三年以下有期徒刑或拘役
B．1000元罚款
C．三年以上五年以下有期徒刑
D．10000元罚款
13．以下关于我国信息安全政策和法律法规的说法错误的是：
A．中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识”
B．2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》
C．2007年我国四部委联合发布了《信息安全等级保护管理办法》
D．2006年5月全国人大常委会审议通过了《中国人民共和国信息安全法》
14．目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？
A．公安部
B．国家保密局
C．信息产业部
D．国家密码管理委员会办公室
15．VPN系统主要用来________
A．进行用户身份的鉴别
B．进行用户行为的审计
C．建立安全的网络通信
D．对网络边界进行访问控制
16．VPN技术无法实现以下哪个服务？
A．身份验证
B．传输加密
C．完整性校验
D．可用性校验
17．组成IPSec的主要安全协议不包括以下哪一项？
A．ESP
B．DSS
C．IKE
D．AH
18．SSL协议比IPSEC协议的优势在于：
A．实现简单、易于配置
B．能有效的工作在网络层
C．能支撑更多的应用层协议
D．能实现更高强度的加密
19．下面对于“电子邮件炸弹”的解释最准确的是：
A．邮件正文中包含的恶意网站链接
B．邮件附件中具有破坏性的病毒
C．社会工程的一种方式，具有恐吓内容的邮件
D．在短时间内发送大量邮件的软件，可以造成目标邮箱爆满
20．电子邮件客户端通常需要用________协议来发送邮件。
A．仅SMTP
B．仅POP
C．SMTP和POP
D．以上都不正确
21．在应用层协议中，________可使用传输层的TCP协议，又可用UDP协议。 A．SNMP
B．DNS
C．HTTP
D．FTP
22．以下哪一项是伪装成有用程序的恶意软件？
A．计算机病毒
B．特洛伊木马
C．逻辑炸弹
D．蠕虫程序
23．下列哪个是蠕虫的特征？
A．不感染、依附性
B．不感染、独立性
C．可感染、依附性
D．可感染、独立性
24．杀毒软件报告发现病毒Macor．Melissa，由该病毒名称可以推断出病毒类型是________。 A．文件型
B．引导型
C．目录型
D．宏病毒
25．所谓网络内的机器遵循同一“协议”就是指：
A．采用某一套通信规则或标准
B．采用同一种操作系统
C．用同一种电缆互连
D．用同一种程序设计语言
26．ICMP协议有多重控制报文，当网络出现拥塞时，路由器发出________报文。
A．路由重定向
B．目标不可达
C．源抑制
D．子网掩码请求
27．________设备可以隔离ARP广播帧
A．路由器
B．网桥
C．以太网交换机
D．集线器
28．下面哪类设备常用于识系统中存在的脆弱性？
A．防火墙
B．IDS
C．漏洞扫描器
D．UTM
29．下列关于防火墙功能的说法最准确的是：
A．访问控制
B．内容控制
C．数据加密
D．查杀病毒
30．某种防火墙的缺点是没有办法从非常细微之处来分析数据包，但它的优点是非常快，这种防火墙是以下的哪一种？
A．电路级网关
B．应用级网关
C．会话层防火墙
D．包过滤防火墙
31．在包过滤型防火墙中，定义数据包过滤规则的是：
A．路由表
B．ARP
C．NAT
D．ACL
32．包过滤型防火墙对数据包的检查内容一般不包括________。
A．源地址
B．目的地址
C．协议
D．有效载荷
33．NAT技术不能实现以下哪个功能？
A．对应用层协议进行代理
B．隐藏内部地址
C．增加私有组织的地址空间
D．解决IP地址不足问题
34．某单位想用防火墙对telnet协议的命令进行限制，应选在什么类型的防火墙？
A．包过滤技术
B．应用代理技术
C．状态检测技术
D．NAT技术
35．以下哪一项不是IDS可以解决的问题？
A．弥补网络协议的弱点
B．识别和报告对数据文件的改动
C．统计分析系统中异常活动的模式
D．提升系统监控能力
36．从分析式上入侵检测技术可以分为：
A．基于标志检测技术、基于状态检测技术
B．基于异常检测技术、基于流量检测技术
C．基于误用检测技术、基于异常检测技术
D．基于标志检测技术、基于误用检测技术
37．一台需要与互联网通信的WEB服务器放在以下哪个位置最安全？
A．在DMZ区
B．在内网中
C．和防火墙在同一台计算机上
D．在互联网防火墙外
38．以下哪个入侵检测技术能检测到未知的攻击行为？
A．基于误用的检测技术
B．基于异常的检测技术
C．基于日志分析的技术
D．基于漏洞机理研究的技术
39．做渗透测试的第一步是：
A．信息收集
B．漏洞分析与目标选定
C．拒绝服务攻击
D．尝试漏洞利用
40．监听网络流量获取密码，之后使用这个密码试图完成未经授权访问的攻击方式被称为： A．穷举攻击
B．字典攻击
C．社会工程攻击
D．重放攻击
41．下面哪一项是社会工程？
A．缓冲器溢出
B．SQL注入攻击
C．电话联系组织机构的接线员询问用户名和口令
D．利用PK/CA构建可信网络
42．“TCPSYNFlooding”建立大量处于半连接状态的TCP连接，其攻击目标是网络的________。 A．保密性
B．完整性
C．真实性
D．可用性
43．通过反复尝试向系统提交用户名和密码以发现正确的用户密码的攻击方式称为：
A．账户信息收集
B．密码分析
C．密码嗅探
D．密码暴力破解
44．下列保护系统账户安全的措施中，哪个措施对解决口令暴力破解无帮助?
A．设置系统的账户锁定策略，在用户登录输入错误次数达到一定数量时对账户进行锁定 B．更改系统内宣管理员的用户名
C．给管理员账户一个安全的口令
D．使用屏幕保护并设置返回时需要提供口令
45．关闭系统中不需要的服务主要目的是:
A．避免由于服务自身的不稳定影响系统的安全
B．避免攻击者利用服务实现非法操作从而危害系统安全
C．避免服务由于自动运行消耗大量系统资源从而影响效率
D．以上都是
46．某系统被攻击者入侵，初步怀疑为管理员存在弱口令，攻击者从远程终端以管理员身 份登录进系统进行了相应的破坏，验证此事应查看：
A．系统日志
B．应用程序日志
C．安全日志
D．IIS日志
47．U盘病毒的传播是借助Windows系统的什么功能实现的？
A．自动播放
B．自动补丁更新
C．服务自启动
D．系统开发漏洞
48．保护数据安全包括保密性、完整性和可用性，对于数据的可用性解决方法最有效的是： A．加密
B．备份
C．安全删除
D．以上都是
49．在Windows系统中，管理权限最高的组是:
A．everyone
B．administrators
C．powerusers
D．users
50．Windows系统下，可通过运行________命令打开Windows管理控制台。
A．regedit
B．cmd
C．mmc
D．mfc
51．在Windows文件系统中，________支持文件加密。
A．FAT16
B．NTFS
C．FAT32
D．EXT3
52．在window系统中用于显示本机各网络端口详细情况的命令是: A．netshow
B．netstat
C．ipconfig
D．netview
53．视窗操作系统(Windows)从哪个版本开始引入安全中心的概念? A．WinNTSP6
B．Win2000SP4
C．WinXPSP2
D．Win2003SP1
54．在WindowsXP中用事件查看器查看日志文件，可看到的日志包括？ A．用户访问日志、安全性日志、系统日志和IE日志
B．应用程序日志、安全性日志、系统日志和IE日志
C．网络攻击日志、安全性日志、记账日志和IE日志
D．网络链接日志、安全性日志、服务日志和IE日志
55．关于数据库注入攻击的说法错误的是：
A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火培对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限
56．专门负责数据库管理和维护的计算机软件系统称为:
A．SQL‐MS
B．INFERENCECONTROL
C．DBMS
D．TRIGGER‐MS
57．下列哪一项与数据库的安全直接相关？
A．访问控制的粒度
B．数据库的大小
C．关系表中属性的数量
D．关系表中元组的数量
58．信息安全风险的三要素是指:
A．资产/威胁/脆弱性
B．资产/使命/威胁
C．使命/威胁/脆弱性
D．威胁/脆弱性/使命
59．以下哪一项是已经被确认了的具有一定合理性的风险?
A．总风险
B．最小化风险
C．可接受风险
D．残余风险
60．统计数据指出，对大多数计算机系统来说，最大的威胁是:
A．本单位的雇员
B．黑客和商业间谍
C．未受培训的系统用户
D．技术产品和服务供应商
61．某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？ A．部门经理
B．高级管理层
C．信息资产所有者
D．最终用户
62．风险评估方法的选定在PDCA循环中的哪个阶段完成？
A．实施和运行
B．保持和改进
C．建立
D．监视和评审
63．下列安全协议中，________可用于安全电子邮件加密。
A．PGP
B．SET
C．SSL
D．TLS
64．HTTPS采用________协议实现安全网站访问。
A．SSL
B．IPSec
C．PGP
D．SET
65．信息安全等级保护制度是国家保障和促进信息化建设健康发展的一项基本制度，信息系统安全保护等级分为：
A．3级
B．4级
C．5级
D．6级
66．以下关于"最小特权"安全管理原则理解正确的是：
A．组机构内的敏感岗位不能由一个人长期负责
B．对重要的工作进行分解，分配给不同人员完成
C．一个人有且仅有其执行岗位所足够的许可和权限
D．防止员工由一个岗位变动到另一个岗位，累积越来越多的权限
67．________是目前国际通行的信息技术产品安全性评估标准？
A．TCSEC
B．ITSEC
C．CC
D．IATF
68．下面哪个不是ISO27000系列包含的标准?
A．《信息安全管理体系要求》
B．《信息安全风险管理》
C．《信息安全度量》
D．《信息安全评估规范》
69．信息安全管理的根本方法是:
A．风险处置
B．应急响应
C．风险管理
D．风险评估
70．以下对信息安全管理体系说法不正确的是：
A．基于国际标准ISO/IEC27000
B．它是综合信息安全管理和技术手段，保障组织信息安全的一种方法
C．它是管理体系家族的一个成员
D．基于国际标准ISO/IEC27001
71．以下对PDCA循环解释不正确的是:
A．P（Process）：处理
B．D（Do）：实施
C．C（Check）：检查
D．A（Action）：行动
72．以下对PDCA循环特点描述不正确的是．
A．按顺序进行，周而复始，不断循环
B．组织中的每个部分，甚至个人，均可以PDCA循环，大环套小环，一层一层地解决问题 C．每通过一次PDCA循环，都要进行总结，提出新目标，再进行第二次PDCA循环
D．可以由任何一个阶段开始，周而复始，不断循环
73．风险是需要保护的（）发生损失的可能性，它是（）和（）综合结果。
A．资产，攻击目标，威胁事件
B．设备，威胁，漏洞
C．资产，威胁，漏洞
D．以上都不对
74．风险管理中使用的控制措施，不包括以下哪种类型?
A．防性控制措施
B．管理性控制措施
C．检查性控制措施
D．纠正性控制措施
75．风险管理中的控制措施不包括以下哪一方面?
A．行政
B．道德
C．技术
D．管理
76．风险评估不包括以下哪个活动?
A．中断引入风险的活动
B．识别资产
C．识别威胁
D．分析风险
77，在信息安全风险管理工作中，识别风险时主要重点考虑的要素应包括:
A．资产及其价值、威胁、脆弱性、现有的和计划的控制措施
B．资产及其价值、系统的漏洞、脆弱性、现有的和计划的控制措施
C．完整性、可用性、机密性、不可抵赖性
D．减低风险、转嫁风险、规避风险、接受风险
78．以下哪一项不是信息安全风险分析过程中所要完成的工作：
A．识别用户
B．识别脆弱性
C．评估资产价值
D．计算安全事件发生的可能性
79．机构应该把信息系统安全看作：
A．业务中心
B．风险中心
C．业务促进因素
D．业务抑制因素
80．应对信息安全风险的主要目标是什么?
A．消除可能会影响公司的每一种威胁
8．管理风险，以使由风险产生的问题降至最低限度
C．尽量多实施安全措施以消除资产暴露在其下的每一种风险
D．尽量忽略风险，不使成本过高
81．以下关于ISO/lEC27001所应用的过程方法主要特点说法错误的是：
A．理解组织的信息安全要求和建立信息安全方针与目标的需要
B．从组织整体业务风险的角度管理组织的信息安全风险
C．监视和评审ISMS的执行情况和有效性
D．基于主观测量的持续改进
82．在检查岗位职责时什么是最重要的评估标准？
A．工作职能中所有要傲的工作和需要的培训都有详细的定义
B．职责清晰，每个人都清楚自己在组织中的角色
C．强制休假和岗位轮换被执行
D．绩效得到监控和提升是基于清晰定义的目标
83．在信息安全管理中进行________，可以有效解决人员安全意识薄弱问题。
A．内容监控
B．安全教育和培训
C．责任追查和惩处
D．访问控制
84．以下哪一项最能体现27002管理控制措施中预防控制措施的目的？
A．减少威胁的可能性
B．保护企业的弱点区域
C．减少灾难发生的可能性
D．防御风险的发生并降低其影响
85．关于外包的论述不正确的是:
A．企业经营管理中的诸多操作或服务都可以外包
B．通过业务外包，企业也把相应的风险承担者转移给了外包商，企业从此不必对外包业务负任何直接或间接的责任
C．虽然业务可以外包，但是对于外包业务的可能的不良后果，企业仍然承担责任
D．过多的外包业务可能产生额外的操作风险或其他隐患
86．信息化建设和信息安全建设的关系应当是:
A．信息化建设的结束就是信息安全建设的开始
B．信息化建设和信息安全建设应同步规划、同步实施
C．信息化建设和信息安全建设是交替进行的，无法区分谁先谁后
D．以上说法都正确
87．关于SSE‐CMM的描述错误的是：
A．1993年4月美国国家安全局资助，有安全工业界、美国国防部办公室和加拿大通信安全机构共同组成SSE‐CMM项目组
B．SSE‐CMM的能力级别分为6个级别
C．SSE‐CMM将安全工程过程划分为三类:风险、工程和保证
D．SSE的最高能力级别是量化控制
88．以下对SSE‐CMM描述正确的是:
A．它是指信息安全工程能力成熟模型
B．它是指系统安全工程能力成熟模型
C．它是指系统安全技术能力成熟模型
D．它是指信息安全技术能力成熟模型
89．根据SSE‐CMM信息安全工程过程可以划分为三个阶段，其中________确立安全解决方案的置信度并且把这样的置信度传递给顾客。
A．保证过程
B．风险过程
C．工程和保证过程
D．安全工程过程
90．下面对于SSE‐CMM保证过程的说法错误的是:
A．保证是指安全需求得到满足的可信任程度
B．信任程度来自于对安全工程过程结果质量的判断
C．自验证与证实安全的主要手段包括观察、论证、分析和测试
D．PA“建立保证论据”为PA“验证与证实安全”提供了证据支持
91．下面哪一项为系统安全工程能力成熟度模型提供评估方法:
A．ISSE
B．SSAM
C．SSR
D．CEM
92．在SSE‐CMM中对工程过程能力的评价分为三个层次，由宏观到微观依次是:
A．能力级别‐公共特征(CF)‐通用实践(GP)
B．能力级别‐通用实践‐(GP)‐公共特征(CF)
C．通用实践‐(GP)‐能力级别‐公共特征(CF)
D．公共特征(CF)‐能力级别‐通用实践‐(CP)
93．一个组织的系统安全能力成熟度达到哪个级别以后，就可以对组织层面的过程进行规
范的定义?
A．2级——计划和跟踪
B．3级——充分定义
C．4级——量化控制
D．5级——持续改进
94．根据SSE‐CMM，安全工程过程能力由低到高划分为:
A．未实施、基本实施、计划跟踪、充分定义、量化控制和持续改进等6个级别
B．基本实施、计划跟踪、充分定义、量化控制和持续改进等5个级别
C．基本实施、计划跟踪、量化控制、充分定义和持续改进等5个级别
D．未实施、基本实施、计划跟踪、充分定义4个级别
95．下列哪项不是SSE‐CMM模型中工程过程的过程区域？
A．明确安全需求
B．评估影响
C．提供安全输入
D．协调安全
96．SSE‐CMM工程过程区域中的风险过程包含哪些过程区域:
A．评估威胁、评估脆弱性、评估影响
B．评估威胁、评估脆弱性、评估安全风险
C．评估威胁、评估脆弱性、评估影响、评估安全风险
D．评估威胁、评估脆弱性、评估影响、验证和证实安全
97．系统安全工程不包含以下哪个过程类:
A．工程过程类
B．组织过程类
C．管理过程类
D．项目过程类
98．ISSE(信息系统安全工程)是美国发布的IATF3．0版本中提出的设计和实施信息系统________。
A．安全工程方法
B．安全工程框架
C．安全工程体系结构
D．安全工程标准
99．IT工程建设与IT安全工程建设脱节是众多安全风险涌现的根源，同时安全风险也越来越多地体现在应用层，因此迫切需要加强对开发阶段的安全考虑，特别是要加强对数据安全性的考虑，以下哪项工作是在IT项目的开发阶段不需要重点考虑的安全因素：
A．操作系统的安全加固
B．输入数据的校验
C．数据处理过程控制
D．输出数据的验证
100．触犯新刑法285条规定的非法入侵计算机系统罪可判处________。
A．假冒源地址或用户的地址的欺骗攻击
B．抵赖做过信息的递交行为
C．数据传输中被窃听获取
D．数据传输中被篡改或破坏
101．以下关于信息安全保障说法中哪一项不正确？
A．信息安全保障是为了支撑业务高效稳定的运行
B．以安全促发展，在发展中求安全
C．信息安全保障不是持续性开展的活动
D．信息安全保障的实现，需要将信息安全技术与管理相结合
102．信息安全保障是一种立体保障，在运行时的安全工作不包括：
A．安全评估
B．产品选购
C．备份与灾难恢复
D．监控
103．以下对信息安全风险管理理解最准确的说法是：
A．了解风险
B．转移风险
C．了解风险并控制风险
D．了解风险并转移风险
104．以下关于ISO/IEC27001标准说法不正确的是：
A．本标准可被内部和外部相关方用于一致性评估，审核的重点就是组织信息安全的现状，对部署的信息安全控制是好的还是坏的做出评判。
B．本标准采用一种过程方法来建立、实施、运行、监视、评审、保持和改进一个组织的ISMS。
C．目前国际标准化组织推出的四个管理体系标准：质量管理体系、职业健康安全管理体系、环境管理体系、信息安全管理体系、都采用了相同的方法，即PDCA模型。
D．本标准注重监视和评审，因为监视和评审时持续改进的基础。如果缺乏对执行情况和有效性的测量，改进就成了“无的放矢”。
105．下列哪些描述同SSL相关？
A．公钥使用户可以交换会话密钥、解密会话密钥并验证数字签名的真实性
B．公钥使用户可以交换会话密钥、验证数字签名的真实性以及加密数据
C．私钥使用户可以创建数字签名、验证数字签名的真实性并交换会话密钥
D．私钥使用户可以创建数字签名、加密数据和解密会话密钥
106．Windows操作系统的注册表运行命令是：
A．Regsvr32
B．Regedit
C．Regedit．msc
D．Regedit．mmc
107．在linux系统中拥有最高级别权限的用户是：
A．root
B．administrator
C．mail
D．nobody
108．下列哪个是蠕虫的特性？
A．不感染、依附性
B．不感染、独立性
C．可感染、依附性
D．可感染、独立性
109．下列哪种恶意代码不具备“不感染、依附性”的特点？
A．后门
B．陷门
C．木马
D．蠕虫
110．路由器在两个网段之间转发数据包时，读取其中的（）地址来确定下一跳的转发路径。
A．IP
B．MAC
C．源
D．ARP
111．某单位通过防火墙进行互联网接入，外网口地址为202．101．1．1，内网口地址为192．168．1．1，这种情况下防火墙工作模式为：
A．透明模式
B．路由模式
C．代理模式
D．以上都不对
112．以下哪个是防火墙可以实现的效果？
A．有效解决对合法服务的攻击
B．有效解决来自内部的攻击行为
C．有效解决来自互联网对内网的攻击行为
D．有效解决针对应用层的攻击
113．某单位采购主机入侵检测，用户提出了相关的要求，其中哪条是主机入侵检测无法实现的？
A．精确地判断攻击行为是否成功
B．监控主机上特定用户活动、系统运行情况
C．监测到针对其他服务器的攻击行为
D．监测主机上的日志信息
114．某单位采购主机入侵检测，用户提出了相关的要求，其中哪条要求是错误的？
A．实时分析网络数据，检测网络系统的非法行为
B．不占用其他计算机系统的任何资源
C．不会增加网络中主机的负担
D．可以检测加密通道中传输的数据
115．某单位将对外提供服务的服务器部署在防火墙DMZ区，为了检测到该区域中的服务器受到的攻击行为，应将防火墙探头接口镜像那个位置的流量？
A．内网核心交换机
B．防火墙互联网接口
C．防火墙DMZ区接口
D．以上都可以
116．按照SSE‐CMM，能力级别第三级是指：
A．定量控制
B．计划和跟踪
C．持续改进
D．充分定义
117．下列哪项不是SSE‐CMM中规定的系统安全工程过程类：
A．工程
B．组织
C．项目
D．资产
118．信息系统安全工程（ISSE）的一个重要目标就是在IT项目的各个阶段充分考虑安全因素，在IT项目的立项阶段，以下哪一项不是必须进行的工作：
A．明确业务对信息安全的要求
B．识别来自法律法规的安全要求
C．论证安全要求是否正确完整
D．通过测试证明系统的功能和性能可以满足安全要求
119．以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正确描述？
A．应基于法律法规和用户需求，进行需求分析和风险评估，从信息系统建设的开始就综合信息系统安全保障的考虑
B．应充分调研信息安全技术发展情况和信息安全产品市场，选择最先进的安全解决方案和技术产品 C．应在将信息安全作为实施和开发人员的一项重要工作内容，提出安全开发的规范并切实落实
D．应详细规定系统验收测试中有关系统安全性测试的内容
120．在IT项目管理中为了保证系统的安全性，应当充分考虑对数据的正确处理，以下哪一项不是对数据输入进行校验可以实现的安全目标：
A．防止出现数据范围以外的值
B．防止出现错误的数据处理顺序
C．防止缓冲区溢出攻击
D．防止代码注入攻击
121．现阶段，信息安全发展处于哪一个阶段?
A．通信安全
B．计算机发展阶段
C．信息安全
D．信息安全保障
122．下面哪一项组成了CIA三元组?
A．保密性，完整性，保障
B．保密性，完整性，可用性
C．保密性，综合性，保障
D．保密性，综合性，可用性
123．涉及国家秘密的计算机系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须进行：
A物理隔离。
B逻辑隔离
C人员隔离
D设备隔离
124．以下关于国家秘密和商业秘密的说法不正确的是:
A．两者法律性质不同。国家秘密体现公权利，其权利主体是国家，而商业秘密体现私权利，其权利主体是技术、经营信息的发明人或其他合法所有人、使用人:
B．两者确定程序不同。国家秘密必须依照法定程序确定，而商业秘密的确定视权利人的意志而定。 C．国家秘密不能自由转让，而商业秘密则可以进入市场自由转让。
D．国家秘密与商业秘密在任何条件下不可以相互转化。
125．加密与解密便用相同的密钥，这种加密算法是
A．对称加密算法
B．非对称加密算法
C．散列算法
D．RSA
126．对VPN技术的主要作用描述最准确的是:
A．利用VPN设备建设自有传输网络，与其他网络物理隔离，实现安全的通信。
B．通讨对传输数据进行完整性校验，确保所有传输的数据不会受到破坏。
C．在共享的互联网上模拟“专用”广域网，最终以极低的费用为远程用户停工能和专用网络相媲美的保密通信服务。
D．利用VPN实现对所有接入用户的身份进行验证，有效的避免了非法接入。
127．在IPSEC协议族中，以下哪个协议必须提供验证服务?
A．AN
C．GRE
D．以上都是
128．下列哪些协议的数据可以受到IPSEC的保护? A．TCP,UDP,IP
B．ARP
C_RARP
D．以上都可以
129．下列隧道协议中工作在网络层的是：
A．SSI．
B．L2TP
G．IPSec
D．PPTP
130．下列关于防火墙的主要功能包括：
A．访问控制
B．内容控制
C．数据加密
D．查杀病毒
131．依据数据包的基本标记来控制数据包的防火墙技术是 A．包过滤技术
B．应用代理技术
C．状态检侧技术
D．有效载荷
132．分组过滤型防火墙通常基于以下哪个层次进行工作？ A．物理层
B．数据链路层
C．网络层
D．应用层
133．操作系统安全的基础是建立在:
A．安全安装
B．安全配置
C．安全管理
D．以上都对
134．下面哪一项通常用于加密电子邮件消息?
A．S/MIME
B．BIND
C．DES
2017年中国信息安全行业发展现状及未来发展趋势分析
2017年中国信息安全行业发展现状及未来发展趋势分析 （一）行业主管部门、监管体制以及主要法律法规和政策 1、行业主管部门和行业监管体制 信息安全行业主要受信息产业及安全主管部门的监管，具体如下： 数据来源：公开资料整理 2、行业主要法律法规及政策 （1）行业主要法律法规 信息安全行业，受到信息安全行业相关法律法规的管理。行业的主要法律法规如下：
数据来源：公开资料整理（2）行业主要发展政策
行业主要发展政策如下： 数据来源：公开资料整理（二）信息安全行业概况及未来发展趋势 1、信息安全的定义
信息安全是指对信息系统的硬件、软件、系统中的数据及依托其开展的业务进行保护，使得它们不会由于偶然的或者恶意的原因而遭到未经授权的访问、泄露、破坏、修改、审阅、检查、记录或销毁，保证信息系统连续可靠地正常运行。信息安全具有真实性、机密性、完整性、不可否认性、可用性、可核查性和可控性七个主要属性： 数据来源：公开资料整理 2、信息安全行业的技术、产品和服务 （1）信息安全技术 为了实现信息安全的七个核心属性，需要从信息系统的物理安全、运行安全、数据安全、内容安全、信息内容对抗等五个方面进行安全建设与安全防范。因而，目前信息安全的主流技术包括信息系统自身的安全技术（物理安全和运行安全技术）、信息自身的安全技术（数据安全与内容安全技术）、信息利用的安全技术（信息对抗技术），具体如下：
数据来源：公开资料整理（2）信息安全产品 信息安全产品按照功能分类主要包括：防火墙产品、入侵检测与入侵防御产品、统一威胁管理产品、身份管理类产品、加密类产品、电子签名类产品、安全审计类产品以及终端安全管理产品等。主要产品的情况如下：
信息安全试题及答案45094
信息安全试题（1/共3） 一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密 ），B方有一对密钥（K B公开 ，K B秘密 ），A方向B方发送数字签名M，对信息 M加密为：M’= K B公开（K A秘密 （M））。B方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密 （M’）） B. K A公开 （K A公开 （M’）） C. K A公开（K B秘密 （M’）） D. K B秘密 （K A秘密 （M’）） 5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施 8．PKI支持的服务不包括＿＿＿。 A. 非对称密钥技术及证书管理 B. 目录服务 C. 对称密钥的产生和分发 D. 访问控制服务 9．设哈希函数H有128个可能的输出(即输出长度为128位)，如果H的k个随机输入中至少有两个产生相同输出的概率大于0.5，则k约等于＿＿。 A．2128 B．264 C．232 D．2256
信息安全管理体系审核员注册准则-中国信息安全认证中心
中 国 认 证 认 可 协 会 信息安全管理体系审核员 注册准则 第1版 文件编号：CCAA－141 发布日期：2012年6月19日 ?版权2012-中国认证认可协会
信息安全管理体系审核员注册准则 类别 本准则为中国认证认可协会（CCAA）人员注册规范类文件。 本准则规定了CCAA运作其信息安全管理体系审核员注册项目时遵循的原则。 本准则经CCAA批准发布。 批准 编制：CCAA日期：2012年5月10日 批准：CCAA日期：2012年6月19日 实施：CCAA 日期：2012年6月19日 信息 所有CCAA文件都用中文发布。标有最新发布日期的中文版CCAA文件是有效的版本。CCAA将在其网站上公布所有CCAA相关准则的最新版本。 关于CCAA或CCAA人员注册的更多信息，请与CCAA人员注册部联系，联络地址如下： 地址：北京市朝阳区朝外大街甲10号中认大厦13层 邮编：100020 https://www.sodocs.net/doc/7418418560.html, email：pcc@https://www.sodocs.net/doc/7418418560.html, 版权 ?版权2012-中国认证认可协会
前 言 中国认证认可协会(CCAA)是国家认证认可监督管理委员会（CNCA）唯一授权的依法从事认证人员认证(注册)的机构，开展管理体系审核员、认证咨询师、产品认证检查员和认证培训教师等的认证(注册)工作。CCAA是国际人员认证协会(IPC)的全权成员，加入了IPC-QMS/EMS审核员培训与注册国际互认协议，人员注册结果在世界范围内得到普遍承认。 本准则由CCAA依据《中华人民共和国认证认可条例》、国家质量监督检验检疫总局《认证及认证培训、咨询人员管理办法》（质检总局令第61号）、国家认监委《关于正式开展信息安全管理体系认证工作的公告》（2009年第47号公告）制定，考虑了中国的国情及认证/认可机构的要求，是建立信息安全管理体系（ISMS）审核员国家注册制度的基础性文件。 CCAA ISMS审核员注册仅表明注册人员具备了从事ISMS审核的个人素质和相应的知识与能力。尽管CCAA已尽力保证评价过程和注册制度的科学性、有效性和完整性，但如果某一注册人员提供的审核或其它服务未能满足顾客或聘用机构的所有要求，CCAA对此不承担责任。
《网络信息安全》试题D与答案
《网络信息安全》试题 D 一、填空题(20 空× 1 分=20分) 1. 根据攻击者是否直接改变网络的服务，攻击可以分为___被动攻击_____和_ 主动攻击_______。 2. 当ping 一台计算机时，如果TTL 值小于128，则该操作系统的类型一般是____windows____。 3. 密钥相同时加密变换与解密变换的复合变换是____恒等变换____。 4. 密码学的两个组成部分是___密码编码学_____和____密码分析学____。 5. 破解单字母替换密码常用的方法是____频率分析法____。 6. 同一内部网的不同组织机构间再建立一层防火墙，称为___内部防火墙_____。 7. 在内部网络和外部网络之间建立一个被隔离的子网，该子网称为非军事区。 8. IDS 是____ Intrusion Detection System ____ 的简写。 9. IDS 的两个指标：___漏报率_____和__误报率______。 10. 根据采用的检测技术，IDS 可分为____异常检测____与___误用检测_____。 11. 蜜网是由___蜜罐主机____、____防火墙____、____IDS____等组成。 12. IPSec将两个新包头增加到IP包，这两个报头是___AH_____与____ESP____。 13. PKI 的体系结构一般为____树状____结构。 二、选择题(20 空× 1 分=20分) 1. 用户收到了一封可疑的电子邮件，要求用户提供银行账户及密码，这属于何 种攻击手段___B____。 A. 缓存溢出攻击 B. 钓鱼攻击 C. 暗门攻击 D. DDOS 攻击 2. 下列不属于系统安全技术的是__B_____。 A. 防火墙 B. 加密狗 C. 认证 D. 防病毒 3. DES 是一种以块为单位进行加密，一个数据块的大小是____B___。 A. 32 位 B. 64 位 C. 128 位 D. 256 位 4. 有一主机专门被用作内部网和外部网的分界线。该主机里有两块网卡，分别 连接到两个网络。防火墙内外的系统都可以与这台主机通信，但防火墙两边的系统不能直接通信，这是___C____防火墙。 A. 屏蔽主机式体系结构 B. 筛选路由式体系结构 C. 双宿网关式体系结构 D. 屏蔽子网式体系结构 5. __B____是通过偷窃或分析手段来达到计算机信息攻击目的的，它不会导致对 系统中所含信息的任何改动，而且系统的操作和状态也不被改变。 A. 主动攻击 B. 被动攻击 C. 黑客攻击 D. 蠕虫病毒 6. 关于安全审计目的描述错误的是__D______。 A. 识别和分析未经授权的动作或攻击 B. 记录用户活动和系统管理
大数据时代的信息安全试题答案
单选题 1.信息主权领域范围不受地域边界影响，而根据信息传播的深度和广度动态变化。（）(分数:10分) 标准答案:A 学员答案:A A.正确 B.错误 2.在经济转型和服务业大力发展的背景下，我国中小企业在数量、创造GDP、拉动就业方面的占比均已超过70％。（）(分数:10分) 标准答案:B 学员答案:B A.正确 B.错误 3.美国拓展信息主权的主要措施不包括（）(分数:10分) 标准答案:B 学员答案:B A.国家战略 B.信息掌控和垄断 C.产业体系 D.基础设施 4.大数据核心价值是（）(分数:10分) 标准答案:A 学员答案:A A.海量数据存储、分析 B.数据增长迅速 C.表现形式多样化 D.具有极高的信息价值 5.云计算是对（）技术的发展与运用(分数:10分) 标准答案:D 学员答案:D A.并行计算 B.网格计算 C.分布式计算 D.三个选项都是 6.云计算体系结构的（）负责资源管理、任务管理用户管理和安全管理等工作(分数:10分) 标准答案:C 学员答案:C A.物理资源层 B.物理资源层
C.管理中间件层 构建层 7.大数据区别于传统数据的特征有（)(分数:10分) 标准答案:ABCD 学员答案:C A.海量数据存储 B.数据增长迅速 C.表现形式多样化 D.具有极高的信息价值 8.大数据应用需依托的新技术有（）(分数:10分) 标准答案:D 学员答案:D A.大规模存储与计算 B.数据分析处理 C.智能化 D.三个选项都是 9.以下不属于影响国家信息主权的关键因素的有（）(分数:10分) 标准答案:B 学员答案:B A.信息资源 B.信息容量 C.信息产业 D.基础设施 10.百度拥有完整、自主的大数据核心技术。（）(分数:10分) 标准答案:A 学员答案:A A.正确 B.错误 一.单选题 1.大数据应用需依托哪些新技术（）(分数:10分) 标准答案:D 学员答案:D A.大规模存储与计算 B.数据分析处理 C.智能化 D.以上都有
国家信息安全测评
国家信息安全测评 信息安全服务资质申请指南（安全工程类三级） ?版权2015—中国信息安全测评中心 2016年10月1 日
一、认定依据 (4) 二、级别划分 (4) 三、三级资质要求 (4) 3.1 基本资格要求 (5) 3.2 基本能力要求 (5) 3.3 质量管理要求 (6) 3.4安全工程过程能力要求 (6) 四、资质认定 (7) 4.1认定流程图 (7) 4.2申请阶段 (8) 4.3资格审查阶段 (8) 4.4能力测评阶段 (8) 4.4.1静态评估 (8) 4.4.2现场审核 (9) 4.4.3综合评定 (9) 4.4.4资质审定 (9) 4.5证书发放阶段 (9) 五、监督、维持和升级 (10) 六、处置 (10) 七、争议、投诉与申诉 (10) 八、获证组织档案 (11) 九、费用及周期 (11)
中国信息安全测评中心（以下简称CNITSEC）是经中央批准成立、代表国家开展信息安全测评的职能机构，依据国家有关产品质量认证和信息安全管理的政策、法律、法规，管理和运行国家信息安全测评体系。 中国信息安全测评中心的主要职能是： 1.对国内外信息安全产品和信息技术进行测评； 2.对国内信息系统和工程进行安全性评估； 3.对提供信息系统安全服务的组织和单位进行评估； 4.对信息安全专业人员的资质进行评估。 “信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。 本指南适用于所有向CNITSEC提出信息安全工程服务三级资质申请的境内外组织。
美国八大金刚对中国信息安全的威胁
中国在美国“八大金刚”面前几乎赤身裸体 一位在信息安全领域沉浸了20多年的专家称：“作为全球第二大经济体，中国几乎是赤身裸体地站在已经武装到牙齿的美国…八大金刚?(思科、IBM、Google、高通、英特尔、苹果、Oracle、微软)面前。” 被西方国家及媒体频频指责是安全威胁源的中国，目前正处于一个无形的网络安全阴影之 下。 中国国家互联网应急中心抽样监测显示，2011年有近5万个境外IP地址作为木马或僵尸网络控制服务器，参与控制了我国境内近890万台主机，其中有超过99.4%的被控主机，源头在美国。而仿冒我国境内银行网站站点的IP也有将近四分之三来自美国。
这组触目惊心的数据，显示出中国网络安全的脆弱现状。中国的信息安全在以思科为代表的美国“八大金刚”(思科、IBM、Google、高通、英特尔、苹果、Oracle、微软)面前形同虚设。在绝大多数核心领域，这八家企业都占据了庞大的市场份额。一位在信息安全领域沉浸了20多年的专家称：“作为全球第二大经济体，中国几乎是赤身裸体地站在已经武装到牙齿的美国…八大金刚?面前。” 多位信息安全专家向《中国经济和信息化》杂志表示，在全球范围内，除美国在信息安全方面采用进攻型策略以外，其他国家都只能防守。而如何防范可能被插进体内的獠牙，国内相关部门应当拿出更多办法。 而本刊获得的数据显示，全球有超过九成的网络战发端于美国。而网络设备正是网络战必备的武器。 在此威胁下，已有中国大型央企觉醒。思科在中国的第二大客户中国联通，正在更换已经使用的思科网络设备。中国联通及江苏联通向本刊确认称，截至10月底，中国两大骨干网之一的China169骨干网江苏无锡节点核心集群路由器已搬迁完成，而被“扫地出门”的路由器正是思科的产品。江苏联通综合部部长向记者证实，此次搬迁是来自中国联通总部的统一安排，并不是江苏联通的决定。 中国联通还称，不排除有其他省级公司继续弃用思科产品。 这或许是这艘来自美国的通信领域航空母舰在中国第一次遭受挫折。在18年前，它驶入一片荒芜的中国通信海域大展拳脚，凭借强悍的技术实力与公关能力横行无阻。 也有专家呼吁，因为承担着振兴国家经济命脉的重任，以央企为代表的大型企业，应当率先警惕使用思科等产品带来的潜在安全威胁。 技术漏洞还是另有玄机？ 美国与以色列曾经借助电脑蠕虫病毒令伊朗的核设施瘫痪——之所以该病毒具备如此威力，是因为几乎伊朗每台电脑都安装了微软的Windows 系统。 在传统的四大战争空间之外，越来越多的国家将目光投向网络空间。美国总统奥巴马已经任命微软的前安全总管霍华德·施密特作为网络安全总指挥。五角大楼甚至成立了一个新的网络司令部，担任领导的是国家安全局局长基思·亚历山大将军，他的任务是保卫美国的军事网络和攻击他国的系统。
信息安全技术题库及答案(全部)最新版本
防电磁辐射的干扰技术，是指把干扰器发射出来的电磁波和计算机辐射出来的电磁波混合在一起，以掩盖原泄露信息的内容和特征等，使窃密者即使截获这一混合信号也无法提取其中的信息。 正确 基于网络的漏洞扫描器由组成。abcde A、漏洞数据库模块 B、用户配置控制台模块 C、扫描引擎模块 D、当前活动的扫找知识库模块 E、结果存储器和报告生成工具 基于内容的过滤技术包括。A、内容分级审查B、关键字过滤技术C、启发式内容过滤技？？ 加密技术是信息安全技术的核心。对 完全备份就是全部数据库数据进行备份。正确 纸介质资料废弃应用啐纸机粉啐或焚毁。正确 权限管理是安全管理机制中的一种。正确 信息安全技术教程习题及答案 第一章概述 一、判断题 1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 2. 计算机场地可以选择在公共区域人流量比较大的地方。× 3. 计算机场地可以选择在化工厂生产车间附近。× 4. 计算机场地在正常情况下温度保持在18~28 摄氏度。√ 5. 机房供电线路和动力、照明用电可以用同一线路。× 6. 只要手干净就可以直接触摸或者擦拔电路组件，不必有进一步的措施。× 7. 备用电路板或者元器件、图纸文件必须存放在防静电屏蔽袋内，使用时要远离静电敏感器件。√ 8. 屏蔽室是一个导电的金属材料制成的大型六面体，能够抑制和阻挡电磁波在空气中传播。√ 9. 屏蔽室的拼接、焊接工艺对电磁防护没有影响。× 10. 由于传输的内容不同，电力线可以与网络线同槽铺设。× 11. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√ 12. 新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记,以防更换和方便查找赃物。√ 13.TEMPEST 技术，是指在设计和生产计算机设备时，就对可能产生电磁辐射的元器件、集成电路、连接线、显示器 等采取防辐射措施于从而达到减少计算机信息泄露的最终目的。√ 14. 机房内的环境对粉尘含量没有要求。× 15. 防电磁辐射的干扰技术，是指把干扰器发射出来的电磁波和计算机辐射出来的电磁波混合在一起，以掩盖原泄露信息的内容和特征等，使窃密者即使截获这一混合信号也无法提取其中的信息。√
信息安全技术试题答案(全)
信息安全技术教程习题及答案 信息安全试题（1/共3） 一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘密），A方向B方发送数字签名M，对信息M加密为：M’= K B公开（K A秘密（M））。B方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密（M’）） B. K A公开（K A公开（M’）） C. K A公开（K B秘密（M’）） D. K B秘密（K A秘密（M’）） 5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施 8．PKI支持的服务不包括＿＿＿。 A. 非对称密钥技术及证书管理 B. 目录服务 C. 对称密钥的产生和分发 D. 访问控制服务
中国信息安全测评中心授权培训机构管理办法
中国信息安全测评中心授权培训机构管理办法 中国信息安全测评中心 二〇一七年一月
第一章 总 则 第一条随着国家信息化建设的高速发展，对信息安全专业人才的需求逐年增加。为贯彻中共中央办公厅、国务院办公厅中办发[2003]27号文件中关于“加快信息安全人才培养，增强全民信息安全意识”的精神，加强对授权培训机构的管理，规范授权培训机构的职能，中国信息安全测评中心（以下简称CNITSEC）根据相关管理规定制定本办法。 第二条CNITSEC为授权委托方，中国信息产业商会信息安全产业分会为授权运营管理机构（以下简称授权运营方），授权培训机构为CNITSEC授权的培训机构方。 第三条CNITSEC、授权运营方、授权培训机构关系如下： 1、CNITSEC及授权培训机构均为独立的法人单位，但两两之间不具有行政隶属及产权归属关系，各自对自己的行为承担法律责任； 2、授权运营方作为CNITSEC与授权培训机构之间的接口机构，按照授权委托方的要求对授权培训机构进行监督、指导和管理。授权运营方统一受理对授权培训机构的投诉，根据调查结果出具处理意见。 3、CNITSEC对授权运营方及授权培训机构具有监督管理的权利； 4、授权培训机构应严格遵守相关管理规定，开展双方协议规定的培训业务，按时向CNITSEC缴纳管理费。 第四条本办法由授权运营方具体执行。 第二章授权业务类型 授权培训机构应与CNITSEC及授权运营方签订授权协议书，明确
双方的责任与义务，依法开展培训业务。 第五条授权培训机构可以以“中国信息安全测评中心授权培训机构”的名义，根据授权协议中授权内容从事以下培训业务： 1、注册信息安全员（Certified Information Security Member 简称CISM）培训； 2、注册信息安全专业人员（Certified Information Security Professional，简称CISP）培训，根据工作领域和实际岗位工作的需要，CISP培训分为四类： ●注册信息安全工程师(Certified Information Security Engineer简称CISE)培训； ●注册信息安全管理员(Certified Information Security Officer简称CISO)培训； ●注册信息安全审计师(Certified Information Security Auditor简称CISP-A)培训； ●注册信息安全开发人员（Certified Information Security Developer 简称CISD）培训。 3、其他培训业务以双方协议具体规定为准。 第三章授权培训机构的管理 第六条授权培训机构必须遵守如下管理规定： 1、日常工作管理 （1）按CNITSEC统一规定的教材、教学大纲开展培训业务，并执行授权运营方制定的统一培训标准；
浅谈中国国家信息安全战略
浅谈中国国家信息安全战略 关键词：信息安全国际信息安全威胁中国信息安全战略 摘要：当今世界，和平与发展是时代的主题。国家的发展需要和平稳定的建设环境，需要国家安全保障。随着现代技术的发展，信息技术已经成为隐形的国际斗争的工具，某种程度上来说，鼠标、键盘和子弹、炸弹一样危险。信息安全是国家安全的独立的基本要素，也影响着政治、军事、经济等其他要素。对于中国而言，必须广泛吸收借鉴发达国家的经验，完善信息安全战略，健全信息安全体制，保障国家信息安全。 一、信息安全简述 （一）、什么是信息安全 从一个主权国家的角度来讲，信息安全属于非传统安全范畴。非传统安全是指除军事、政治和外交冲突以外的其他对主权国家及人类整体生存和发展构成威胁的因素。1信息安全，意为保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁。2 （二）、信息安全的重要性 随着现代科学技术的发展，尤其是互联网的诞生为信息战提供的巨大技术支持，信息技术已经成为隐形的国际斗争的工具。某种程度上来说，轻轻敲击一下键盘和发射一枚炸弹危险程度不相上下。信息安全是国家安全的基本要素，举足轻重地影响着政治、军事、经济等其他要素。 二、国际信息安全现状分析 （一）、信息安全威胁事件回顾 1.1991年的海湾战争中，美国偷偷把一套带有病毒的同类芯片换装到伊拉克从法国购买了一种用于防空系统的新型电脑打印机里。当美国领导的多国部队发动“沙漠风暴”行动，空袭伊拉克时，美军用无线遥控装置激活了隐藏的病毒，致使伊拉克的防空系统陷入了瘫痪。 1夏超然，2008年非传统安全问题的新挑战与国家安全战略的应对之策，《理论观察》2009年第1期 2资料来源：“信息安全”维基百科https://www.sodocs.net/doc/7418418560.html,/wiki
信息安全期末考试题库及答案
题库 一、选择 1. 密码学的目的是（C）。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 2. 从攻击方式区分攻击类型，可分为被动攻击和主动攻击。被动攻击难以（C），然而（C）这些攻击是可行的；主动攻击难以（C），然而（C）这些攻击是可行的。 A. 阻止,检测,阻止,检测 B. 检测,阻止,检测,阻止 C. 检测,阻止,阻止,检测 D. 上面3项都不是 3. 数据保密性安全服务的基础是（D）。 A. 数据完整性机制 B. 数字签名机制 C. 访问控制机制 D. 加密机制 4. 数字签名要预先使用单向Hash函数进行处理的原因是（C）。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验 证签名的运算速度 D. 保证密文能正确还原成明文 5. 基于通信双方共同拥有的但是不为别人知道的秘密，利用计算机强大的计算能力，以该秘密作为加密和解密的密钥的认证是（C）。 A. 公钥认证 B. 零知识认证 C. 共享密钥认证 D. 口令认证 6. 为了简化管理，通常对访问者（A），以避免访问控制表过于庞大。 A. 分类组织成组 B. 严格限制数量 C. 按访问时间排序，删除长期没有访问的用户 D. 不作任何限制 7. PKI管理对象不包括（A）。 A. ID和口令 B. 证书 C. 密钥 D. 证书撤消 8. 下面不属于PKI组成部分的是（D）。 A. 证书主体 B. 使用证书的应用和系统 C. 证书权威机构 D. AS 9. IKE协商的第一阶段可以采用（C）。 A. 主模式、快速模式 B. 快速模式、积极模式 C. 主模式、积极模式 D. 新组模式 10．AH协议和ESP协议有（A）种工作模式。 A. 二 B. 三 C. 四 D. 五 11. （C）属于Web中使用的安全协议。 A. PEM、SSL B. S-HTTP、S/MIME C. SSL、S-HTTP D. S/MIME、SSL 12. 包过滤型防火墙原理上是基于（C）进行分析的技术。
盘点2017年国内移动信息安全十大事件
盘点2017国内移动信息安全十大事件2017年刚刚结束，回头反思过去一年的发生的各类网络安全事件，除了WannaCry勒索病毒横扫全球、2亿选民资料泄漏的“邮件门”及新型IoT僵尸网络等轰动全球的网络安全大事件外，与我们生活密切相关的一众移动安全事件也是让人应接不暇，下面就跟我们一起来整理回顾下，2017年都发生了哪些移动安全事件吧。 1、勒索病毒瞄准“王者荣耀”袭击手机 火到一发不可收拾的《王者荣耀》不光吸粉能力、吸金能力超强，这吸引病毒的能力也非同一般。6月2日，360手机卫士发现了一款冒充时下热门手游《王者荣耀》辅助工具的手机勒索病毒，该勒索病毒被安装进手机后，会对手机中照片、下载、云盘等目录下的个人文件进行加密，并索要赎金。这种病毒一旦爆发，会威胁几乎所有安卓平台的手机，用户一旦中招，可能丢失所有个人信息。
从该病毒的形态来看，与PC端大规模肆虐的“永恒之蓝”界面极为相似，用户中招后，桌面壁纸、软件名称、图标形态都会被恶意修改，用户三天不支付，赎金便会加倍，一周不支付，文件就会被全部删除!除此之外，该勒索病毒可能使用的软件命名包括“王者荣耀辅助”或“王者荣耀前瞻版安装包”等。 2、个人隐私泄漏引发重视10款APP上安全“灰名单” 2017年7月20日，腾讯社会研究中心与DCCI互联网数据中心联合发布《网络隐私安全及网络欺诈行为研究分析报告显示，手机APP越界获取个人信息已经成为网络诈骗的主要源头之一，由此引发了社会各界对于手机应用越权获取用户隐私权限现状的声讨。 报告显示，高达96.6%的Android应用会获取用户手机隐私权，而iOS应用的这一数据也高达69.3%。用户更需警惕的是，25.3%的Android应用存在越界获取用户手机隐私权限的情况。越界获取隐私权限，是指手机应用在自身功能不必要的情况下获取用户隐私权限的行为。 手机应用越界获取用户隐私权限会带来巨大的安全风险隐患，如隐私信息被窃取、用户信息被用于网络诈骗、造成经济损失、手机卡顿现象严重等。例如，手机APP随意访问联系人、短信、记事本等应用，可以查看到用户的银行卡账号密码等信息，容易造成用户手机话费被暗扣和银行支付账号被盗。用户存在手机里的隐私资料、照片被
2018年度大数据时代的互联网信息安全试题答案
2018年度大数据时代的互联网信息安全试题答案 97分 ? 1.我们在日常生活和工作中，为什么需要定期修改电脑、邮箱、网站的各类密码?（）（单选题2分）得分：2分 o A.确保不会忘掉密码 o B.遵循国家的安全法律 o C.降低电脑受损的几率 o D.确保个人数据和隐私安全 ? 2.“短信轰炸机”软件会对我们的手机造成怎样的危害（）（单选题2分）得分：2分 o A.会大量发送垃圾短信，永久损害手机的短信收发功能 o B.会使手机发送带有恶意链接的短信 o C.短时内大量收到垃圾短信，造成手机死机 o D.会损害手机中的SIM卡 ? 3.我们经常从网站上下载文件、软件，为了确保系统安全，以下哪个处理措施最正确。（）（单选题2分）得分：2分 o A.下载之后先做操作系统备份，如有异常恢复系统 o B.直接打开或使用 o C.习惯于下载完成自动安装 o D.先查杀病毒，再使用 ? 4.好友的QQ突然发来一个网站链接要求投票，最合理的做法是（）（单选题2分）得分：2分
o A.把好友加入黑名单 o B.不参与任何投票 o C.可能是好友QQ被盗，发来的是恶意链接，先通过手机跟朋友确认链接无异常后，再酌情考虑是否投票 o D.因为是其好友信息，直接打开链接投票 ? 5.王同学喜欢在不同的购物和社交网站进行登录和注册，但他习惯于在不同的网站使用相同的用户名和密码进行注册登录，某天，他突然发现，自己在微博和很多网站的账号同时都不能登录了，这些网站使用了同样的用户名和密码，请问，王同学可能遭遇了以下哪类行为攻击：（）（单选题2分）得分：2分 o A.拖库 o B.洗库 o C.建库 o D.撞库 ? 6.当前网络中的鉴别技术正在快速发展，以前我们主要通过账号密码的方式验证用户身份，现在我们会用到U盾识别、指纹识别、面部识别、虹膜识别等多种鉴别方式。请问下列哪种说法是正确的。（）（单选题2分） 得分：2分 o A.指纹识别相对传统的密码识别更加安全 o B.使用多种鉴别方式比单一的鉴别方式相对安全 o C.面部识别依靠每个人的脸型作为鉴别依据，面部识别无法伪造 o D.U盾由于具有实体唯一性，被银行广泛使用，使用U盾没有安全风险 ?7.好友的QQ突然发来一个网站链接要求投票，最合理的做法是（）（单选题2分）得分：2分
信息安全复习题(含答案)
信息安全复习题 一、多选题 1. 在互联网上的计算机病毒呈现出的特点是____。ABCD A 与因特网更加紧密地结合，利用一切可以利用的方式进行传播 B 所有的病毒都具有混合型特征，破坏性大大增强 C 因为其扩散极快，不再追求隐蔽性，而更加注重欺骗性 D 利用系统漏洞传播病毒 E 利用软件复制传播病毒 2. 全国人民代表大会常务委员会《关于维护互联网安全的决定》规定，利用互联网实施违法行为，尚不构成犯罪的，对直接负责的主管人员和其他直接责任人员，依法给予____或者____。AB A 行政处分 B 纪律处分 C 民事处分 D 刑事处分 3. 《计算机信息网络国际联网安全保护管理办法》规定，任何单位和个人不得从事下列危害计算机信息网络安全的活动____。ABCD A 故意制作、传播计算机病毒等破坏性程序的 B 未经允许，对计算机信息网络功能进行删除、修改或者增加的 C 未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的 D 未经允许，进入计算机信息网络或者使用计算机信息网络资源的 4. 用于实时的入侵检测信息分析的技术手段有____。AD A 模式匹配 B 完整性分析 C 可靠性分析 D 统计分析 E 可用性分析 214. 《互联网上网服务营业场所管理条例》规定，____负责互联网上网服务营业场所经营许可审批和服务质量监督。ABC A 省电信管理机构 B 自治区电信管理机构 C 直辖市电信管理机构
D 自治县电信管理机构 E 省信息安全管理机构 5. 《互联网信息服务管理办法》规定，互联网信息服务提供者不得制作、复制、发布、传播的信息内容有。ADE A 损害国家荣誉和利益的信息 B 个人通信地址 C 个人文学作品 D 散布淫秽、色情信息 E 侮辱或者诽谤他人，侵害他人合法权益的信息 6. 《计算机信息系统安全保护条例》规定，____由公安机关处以警告或者停机整顿。ABCDE A 违反计算机信息系统安全等级保护制度，危害计算机信息系统安全的 B 违反计算机信息系统国际联网备案制度的 C 有危害计算机信息系统安全的其他行为的 D 不按照规定时间报告计算机信息系统中发生的案件的 E 接到公安机关要求改进安全状况的通知后，在限期内拒不改进的 7. 与计算机有关的违法案件，要____，以界定是属于行政违法案件，还是刑事违法案件。ABD A 根据违法行为的情节和所造成的后果进行界定 B 根据违法行为的类别进行界定 C 根据违法行为人的身份进行界定 D 根据违法行为所违反的法律规范来界定 8. 对于违法行为的行政处罚具有的特点是____。ABCD A 行政处罚的实施主体是公安机关 B 行政处罚的对象是行政违法的公民、法人或其他组织 C 必须有确定的行政违法行为才能进行行政处罚 D 行政处罚具有行政强制性 9.___是行政处罚的主要类别。ABCDE A 人身自由罚 B 声誉罚 C 财产罚 D 资格罚 E 责令作为与不作为罚 10. 互联网服务提供者和联网使用单位应当落实的互联网安全保护技术措施包括____ ABCD A 防范计算机病毒、网络入侵和攻击破坏等危害网络安全事项或者行为的技术措施 B 重要数据库和系统主要设备的冗灾备份措施
信息安全期末考试题库及答案
信息安全期末考试题库及 答案 Newly compiled on November 23, 2020
题库 一、选择 1. 密码学的目的是（C）。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 2. 从攻击方式区分攻击类型，可分为被动攻击和主动攻击。被动攻击难以（C），然而（C）这些攻击是可行的；主动攻击难以（C），然而（C）这些攻击是可行的。 A. 阻止,检测,阻止,检测 B. 检测,阻止,检测,阻止 C. 检测,阻止,阻止,检测 D. 上面3项都不是 3. 数据保密性安全服务的基础是（D）。 A. 数据完整性机制 B. 数字签名机制 C. 访问控制机制 D. 加密机制 4. 数字签名要预先使用单向Hash函数进行处理的原因是（C）。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验 证签名的运算速度 D. 保证密文能正确还原成明文 5. 基于通信双方共同拥有的但是不为别人知道的秘密，利用计算机强大的计算能力，以该秘密作为加密和解密的密钥的认证是（C）。 A. 公钥认证 B. 零知识认证
C. 共享密钥认证 D. 口令认证 6. 为了简化管理，通常对访问者（A），以避免访问控制表过于庞大。 A. 分类组织成组 B. 严格限制数量 C. 按访问时间排序，删除长期没有访问的用户 D. 不作任何限制 7. PKI管理对象不包括（A）。 A. ID和口令 B. 证书 C. 密钥 D. 证书撤消 8. 下面不属于PKI组成部分的是（D）。 A. 证书主体 B. 使用证书的应用和系统 C. 证书权威机构 D. AS 9. IKE协商的第一阶段可以采用（C）。 A. 主模式、快速模式 B. 快速模式、积极模式 C. 主模式、积极模式 D. 新组模式 10．AH协议和ESP协议有（A）种工作模式。 A. 二 B. 三 C. 四 D. 五 11. （C）属于Web中使用的安全协议。 A. PEM、SSL B. S-HTTP、S/MIME C. SSL、S-HTTP D. S/MIME、SSL 12. 包过滤型防火墙原理上是基于（C）进行分析的技术。 A. 物理层 B. 数据链路层 C. 网络层 D. 应用层
信息安全技术试题2答案
1.通常为保证信息处理对象的认证性采用的手段是___C_______ A.信息加密和解密 B.信息隐匿 C.数字签名和身份认证技术 D.数字水印 2.关于Diffie-Hellman算法描述正确的是____B______ A.它是一个安全的接入控制协议 B.它是一个安全的密钥分配协议 C.中间人看不到任何交换的信息 D.它是由第三方来保证安全的 3.以下哪一项不在 ．．证书数据的组成中? _____D_____ A.版本信息 B.有效使用期限 C.签名算法 D.版权信息 4．关于双联签名描述正确的是____D______ A．一个用户对同一消息做两次签名B．两个用户分别对同一消息签名 C．对两个有联系的消息分别签名D．对两个有联系的消息同时签名5．Kerberos中最重要的问题是它严重依赖于____C______ A．服务器B．口令 C．时钟D．密钥 6．网络安全的最后一道防线是____A______ A．数据加密B．访问控制 C．接入控制D．身份识别 7．关于加密桥技术实现的描述正确的是____A______ A．与密码设备无关，与密码算法无关B．与密码设备有关，与密码算法无关 C．与密码设备无关，与密码算法有关D．与密码设备有关，与密码算法有关 8．身份认证中的证书由____A______ A．政府机构发行B．银行发行 C．企业团体或行业协会发行D．认证授权机构发行 9．称为访问控制保护级别的是____C______ A．C1 B．B1 C．C2 D．B2 10．DES的解密和加密使用相同的算法，只是将什么的使用次序反过来? ____C______ A．密码B．密文 C．子密钥D．密钥 11．PKI的性能中，信息通信安全通信的关键是_____C_____ A．透明性B．易用性 C．互操作性D．跨平台性 12．下列属于良性病毒的是____D_____ A．黑色星期五病毒B．火炬病毒 C．米开朗基罗病毒D．扬基病毒 13．目前发展很快的基于PKI的安全电子邮件协议是____A______A．S／MIME B．POP C．SMTP D．IMAP 14．建立计算机及其网络设备的物理环境，必须要满足《建筑与建筑群综合布线系统工程设计规范》的要求，计算机机房的室温应保持在___A_______ A．10℃至25℃之间B．15℃至30℃之间 C．8℃至20℃之间D．10℃至28℃之间 15．SSL握手协议的主要步骤有____B______ A．三个B．四个 C．五个D．六个 16．SET安全协议要达到的目标主要有____C______ A．三个B．四个 C．五个D．六个 17．下面不属于SET交易成员的是_____B_____ A．持卡人B．电子钱包 C．支付网关D．发卡银行 18．使用加密软件加密数据时，往往使用数据库系统自带的加密方法加密数据，实施 _____A_____ A．DAC B．DCA C．MAC D．CAM 19．CTCA指的是____B______ A．中国金融认证中心B．中国电信认证中心 C．中国技术认证中心D．中国移动认证中心 20．下列选项中不属于SHECA证书管理器的操作范围的是_____C_____ A．对根证书的操作B．对个人证书的操作 C．对服务器证书的操作D．对他人证书的操作 1. Windows系统安全模型由登录流程、本地安全授权、安全账号管理器和安全引用监视器组合而成。 2. 注册表是按照子树、项、子项和值组成的分层结构。实际上注册表只有两个子树: HKEY_LOCAL_MACHINE和HKEY_USERS，但为了便于检索，用注册表编辑器打开注册表时，展现为五个子树，这些子树的总体组成了Windows中所有的系统配置。 3. 在Windows 2000 网络中有两种主要的帐号类型:域用户账号和本地用户账号。 5. E-mail系统主要由邮件分发代理、邮件传输代理、邮件用户代理及邮件工作站组成。 6. 电子邮件安全技术主要包括身份证认证技术、加密签名技术、协议过滤技术、防火墙 技术和邮件病毒过滤技术。 1. 信息安全的狭义解释 信息安全在不同的应用环境下有不同的解释。针对网络中的一个运行系统而言，信息安全就是指
信息安全应急处理服务资质认证申请书-中国信息安全认证中心
申请编号： 信息安全服务资质认证 申请书 申请组织（盖章）： 申请日期： 中国网络安全审查技术与认证中心
填写说明 1、本申请书适用于向中国网络安全审查技术与认证中心申报信息安全服务资质认证。 2、三级申请组织需提交申请书和自评价表（自评价表应包括公共管理自评价表一份）。 3、一、二级申请组织需提交申请书和自评价表（自评价表应包括公共管理、对应服务类别的自评价表各一份）。 4、申请书应使用A4型纸打印装订，首页及申请组织声明处加盖组织公章，并使用黑色钢笔或签字笔在相应位置签名（法人）。 5、申请书中所要求提交的证明材料，自评价表及自评价证据以电子版方式提供，不接受纸版材料。
信息安全服务资质认证申请书 1.申请信息 1.1申请类型 初次认证 级别变更1.2 资本类型 A类（不具有外资背景）B类（具有外资背景） 1.2申请类别与级别 安全集成一级二级三级 应急处理一级二级三级 风险评估一级二级三级 安全运维一级二级三级 软件安全开发一级二级三级 灾难备份与恢复（资源服务类）一级二级三级 灾难备份与恢复（技术服务类）一级二级三级 网络安全审计一级二级三级 工业控制系统安全一级二级三级 （工业控制所属行业：能源交通通信水利城建其他）1.3保持的类别和级别（级别变更或增加类别时填写） 安全集成一级二级三级 应急处理一级二级三级 风险评估一级二级三级 安全运维一级二级三级 软件安全开发一级二级三级 灾难备份与恢复（资源服务类）一级二级三级 灾难备份与恢复（技术服务类）一级二级三级 网络安全审计一级二级三级 工业控制系统安全一级二级三级 （工业控制所属行业：能源交通通信水利城建其他）2.组织基本信息（所有申请类型和级别都需填写） 申请组织全称（中文）：。 申请组织全称（英文）：。