CISP考试年专用题库

合集下载

CISP试题与答案(515多题整理版)

1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B. 风险评估的结果C.组织原则目标和业务需要D. 企业领导的个人意志【答案】D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D. 基础培训，RA培训，文件编写培训，内部审核培训【答案】B9. 构成风险的关键因素有哪些？A. 人，财，物B. 技术，管理和操作C.资产，威胁和弱点D. 资产，可能性和严重性【答案】C10. 以下哪些不是应该识别的信息资产？A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】C11. 以下哪些是可能存在的威胁因素？BA. 设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】B12. 以下哪些不是可能存在的弱点问题？A. 保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A. 只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】B14. 风险分析的目的是？A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

cisp试题及答案

cisp试题及答案一、选择题1. CISP（注册信息安全专业人员）认证的主要目标是（）。

A. 提升个人技能B. 保障企业信息安全C. 遵守法律法规D. 所有以上选项答案：D2. 在信息安全领域中，以下哪项不属于常见的安全威胁类型？（）。

A. 恶意软件B. 自然灾害C. 未经授权访问D. 拒绝服务攻击答案：B3. 风险评估的目的是（）。

A. 评估组织的财务状况B. 确定信息资产的价值C. 识别和评估潜在的安全风险D. 增加市场份额答案：C4. 以下哪项是信息安全管理的最佳实践？（）。

A. 仅依赖技术解决方案B. 忽略员工的安全意识培训C. 定期进行安全审计和评估D. 仅在发生安全事件后才采取行动答案：C5. CISP认证考试中，关于数据保密性的正确理解是（）。

A. 确保数据只能被授权用户访问B. 确保数据的完整性C. 确保数据的可用性D. 确保数据的不可否认性答案：A二、填空题1. CISP认证是由________（组织名称）颁发的，旨在证明持有者在信息安全领域具有专业知识和技能。

答案：国际信息系统安全认证联盟（ISC）²2. 在信息安全中，________是一种通过隐藏信息内容来保护数据不被未授权者理解的方法。

答案：加密3. 为了防止网络攻击，组织应该实施________策略，以确保所有用户和设备都符合安全标准。

答案：安全访问控制4. 信息安全事件响应计划的主要目的是________，减少安全事件对组织的影响。

答案：快速识别和响应安全事件5. 社会工程攻击利用的是人的________，通过欺骗手段获取敏感信息或访问权限。

答案：心理弱点三、简答题1. 描述信息安全管理的三个关键组成部分。

答：信息安全管理的三个关键组成部分包括策略制定，即制定明确的安全目标和规则；实施控制措施，包括技术和程序控制以降低风险；以及持续监控和审计，确保安全措施的有效性并进行必要的调整。

2. 解释什么是渗透测试以及它在信息安全中的作用。

CISP考试(习题卷1)

CISP考试(习题卷1)第1部分：单项选择题，共94题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]制定应急响应策略主要需要考虑A)系统恢复能力等级划分B)系统恢复资源的要求C)费用考虑D)人员考虑答案:D解析:2.[单选题]信息安全风险评估师信息安全风险管理工作中的重要环节。

在《关于开展信息安全风险评估工作的意见》（国信办[2006]5 号）中，指出了风险评估分为自评估和检查评估两种形式，并对两种工作形式提出了有关工作原则和要求。

下面选项中描述错误的是？A)自评估是由信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估B)检查评估是指信息系统上级管理部门组织的国家有关职能部门依法开展的风险评估C)信息安全风险评估应以自评估为主，自评估和检查评估相互结合、互为补充D)自评估和检查评估是相互排斥的，单位应慎重地从两种工作形式选择一个，并坚持使用答案:D解析:3.[单选题]区别脆弱性评估和渗透测试是脆弱性评估A)检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失B)和渗透测试为不同的名称但是同一活动C)是通过自动化工具执行，而渗透测试是一种完全的手动过程D)是通过商业工具执行，而渗透测试是执行公共进程答案:A解析:4.[单选题]某个新成立的互联网金融公司拥有 10 个与互联网直接连接的 IP 地址，但是该网络内有 15 台个人计算机，这些个人计算机不会同时开机并连接互联网。

为解决公司员工的上网问题，公司决定将这 10 个互联网地址集中起来使用，当任意一台个人计算机开机并连接网络时，管理中心从这 10 个地址中任意取出一个尚未分配的 IP 地址分配给这个人的计算机。

他关机时，管理中心将该地为收回，并重新设置为未分配。

可见，只要同时打开的个人计算机数量少于或等于可供分配的 IP 地址，那么，每台个人计算机可以获取一个 IP 地址，并实现与互联网的连接。

cisp试题700道(带答案)

题目内容选项A选项B选项C选项D答案1.以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一?A.提高信息技术产品的国产化率B.保证信息安全资金投入C.加快信息安全人才培养D.重视信息安全应急处理工作A2.以下哪一项不是《GB /T20274信息安全保障评估框架》给出的信息安全保障模型具备的特点?A.强调信息系统安全保障持续发展的动态性,即强调信息系统安全保障应贯穿于整个信息系统生命周期的全过程B.强调信息系统安全保障的概念,通过综合技术、管理、工程和人员的安全保障要求来实施和实现信息系统的安全保障目标C.以安全概念和关系为基础, 将安全威胁和风险控制措施作为信息系统安全保障的基础和核心D.通过以风险和策略为基础,在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素,从而使信息系统安全保障实现信息安全的安全特征C3.以下关于信息系统安全保障是主观和客观的结合说法最准确的是:A.信息系统安全保障不仅涉及安全技术,还应综合考虑安全管理、安全工程和人员安全等,以全面保障信息系统安全B.通过技术、管理、工程和人员方面客观地评估安全保障措施,向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心C.是一种通过客观证据向信息系统评估者提供主观信心的活动D.是主观和客观综合评估的结果B4.与PDR模型相比,P2DR模型多了哪一个环节?A.防护B.检测C.反应D.策略D5.在密码学的Kerchhoff假设中,密码系统的安全性仅依赖于_______。

A.明文B.密文C.密钥D.信道C6.通过对称密码算法进行安全消息传输的必要条件是:A.在安全的传输信道上进行通信B.通讯双方通过某种方式,安全且秘密地共享密钥C.通讯双方使用不公开的加密算法D.通讯双方将传输的信息夹杂在无用信息中传输并提取B7.以下关于代替密码的说法正确的是:A.明文根据密钥被不同的密文字母代替B.明文字母不变,仅仅是位置根据密钥发生改变C.明文和密钥的每个bit 异或D.明文根据密钥作移位8.AES在抵抗差分密码分析及线性密码分析的能力比DES更有效,已经替代DES 成为新的数据加密标准。

cisp试题及答案

cisp试题及答案一、选择题（每题2分，共20分）1. CISP代表的是以下哪个认证？A. 信息安全专业认证B. 计算机信息系统专业认证C. 互联网安全专业认证D. 计算机信息安全专业认证答案：D2. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 4年答案：C3. CISP认证考试包括哪些科目？A. 信息安全基础B. 网络安全技术C. 信息安全管理D. 所有以上选项答案：D4. CISP认证的考试形式是什么？A. 笔试B. 机试C. 面试D. 所有以上选项答案：B5. CISP认证的考试语言是什么？A. 英语B. 中文C. 法语D. 德语答案：A二、填空题（每题2分，共10分）6. CISP认证是由_________颁发的。

答案：中国信息安全测评中心7. CISP认证的考试内容涵盖了信息安全的_________、_________和_________三个层面。

答案：技术、管理、法律8. 持有CISP认证的人员通常在_________领域工作。

答案：信息安全9. CISP认证的考试通过率通常在_________左右。

答案：70%10. CISP认证的考试费用大约为_________元人民币。

答案：3000三、简答题（每题5分，共20分）11. 简述CISP认证的重要性。

答案：CISP认证对于从事信息安全工作的专业人员来说非常重要，它不仅证明了持证人具备了一定的信息安全知识和技能，而且在求职和职业发展中也具有较高的认可度和竞争力。

12. 描述CISP认证的考试流程。

答案：CISP认证的考试流程包括报名、缴费、参加培训、参加考试、成绩查询和获得证书等步骤。

13. 阐述CISP认证的考试难度。

答案：CISP认证的考试难度适中，它要求考生具备一定的信息安全基础知识和实践经验，但通过系统的学习和准备，大多数考生都能够顺利通过考试。

14. 说明CISP认证的更新和维持要求。

答案：CISP认证要求持证人每三年进行一次更新，以维持其有效性。

cisp考试题

cisp考试题一、选择题1. CISP（注册信息安全专业人员）认证是由哪个组织机构颁发的？A. 国际信息系统审计与控制协会（ISACA）B. 国际信息安全认证联盟（CISSP）C. 国际标准化组织（ISO）D. 国家信息安全认证中心（NISCC）2. 在信息安全管理中，以下哪项不是ISO 27001标准的核心组成部分？A. 风险评估B. 安全策略C. 业务连续性计划D. 系统开发生命周期3. 以下关于密码学的说法，哪一项是错误的？A. 对称加密算法使用相同的密钥进行加密和解密。

B. 非对称加密算法使用不同的密钥进行加密和解密。

C. 哈希函数是可逆的。

D. 数字签名用于验证数据的完整性和来源。

4. 在网络安全中，防火墙的主要作用是什么？A. 阻止未授权的网络访问B. 加速网络通信C. 记录网络活动日志D. 以上都是5. 以下哪个协议不是用于网络层的安全协议？A. IPsecB. TLSC. SSHD. ESP二、填空题1. CISP认证的全称是__________，它旨在证明持有者在信息安全领域具有__________的知识和技能。

2. 在信息安全管理体系中，__________是一种用于识别、评估和管理风险的过程，以确保组织的信息资产得到适当的保护。

3. 密码学中的__________是指通过数学方法来保证信息的安全性，包括加密、解密和认证等过程。

4. 网络防火墙可以基于__________规则来控制数据包的传输，从而防止恶意流量进入内部网络。

5. 业务连续性计划的主要目的是在发生灾难或中断事件时，确保组织能够__________地恢复关键业务功能。

三、简答题1. 请简述信息安全管理的五大核心领域，并举例说明每个领域的关键活动。

2. 描述ISO 27001标准中的信息安全风险评估过程，并说明其重要性。

3. 阐述密码学在电子商务中的应用，并说明其如何帮助保护交易的安全性。

4. 讨论网络防火墙的局限性，并提出可能的解决方案或替代技术。

cisp题库(300道)

cisp1、下面对于访问控制技术描述最准确的是：——[单选题]A 保证系统资源的可靠性B 实现系统资源的可追查性C 防止对系统资源的非授权访问D 保证系统资源的可信性正确答案：C2、下列对于自主访问控制说法不正确的是：——[单选题]A 自主访问控制允许客体决定主体对该客体的访问权限B 自主访问控制具有较好的灵活性和可扩展性C 自主访问控制可以方便地调整安全策略D 自主访问控制安全性不高，常用于商业系统正确答案：A3、以下对单点登录技术描述不正确的是：——[单选题]A 单点登录技术实质是安全凭证在多个用户之间的传递或共享B 使用单点登录技术用户只需在登录时进行一次注册，就可以访问多个应用C 单点登录不仅方便用户使用，而且也便于管理D 使用单点登录技术能简化应用系统的开发正确答案：A4、下面对于基于角色的访问控制的说法错误的是？——[单选题]A 它将若干特定的用户集合与权限联系在一起B 角色一般可以按照部门、岗位、工程等与实际业务紧密相关的类别来划分C 因为角色的变动往往低于个体的变动，所以基于角色的访问控制维护起来比较便利D 对于数据库系统的适应性不强，是其在实际使用中的主要弱点正确答案：D5、指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：——[单选题]A 你是什么B 你有什么C 你知道什么D 你做了什么正确答案：A6、下列哪种方法最能够满足双因子认证的需求？——[单选题]A 智能卡和用户PINB 用户ID.与密码C 虹膜扫描和指纹扫描D 磁卡和用户PIN正确答案：A7、哪种安全模型不能防止木马程序？——[单选题]A 信息流模型B 自主访问控制模型C 基于角色模型D 强制访问控制模型正确答案：B8、访问控制表与访问能力表相比，具有以下哪个特点？——[单选题]A 访问控制表更容易实现访问权限的传递B 访问能力表更容易浏览访问权限C 访问控制表回收访问控制权限更困难D 访问控制表更适用于集中式系统正确答案：D9、鉴别的基本途径有三种：所知、所有和个人特征，以下哪一项不是基于你所知道的：——[单选题]A 口令B 令牌C 知识D 密码正确答案：B10、自主访问控制与强制访问控制相比具有以下哪一个优点？——[单选题]A 具有较高的安全性B 控制粒度较大C 配置效率不高D 具有较高的灵活性正确答案：D11、下面哪一个情景属于身份验证（A.uthentiC.A.tion）过程——[单选题]A 用户依照系统提示输入用户名和口令B 用户在网络上共享了自己编写的一份OFFIC.E文档，并设定哪些用户可以阅读，哪些用户可以修改C 用户使用加密软件对自己编写的OFFIC.E文档进行加密，以阻止其他人得到这份拷贝后看到文档中的内容D 某个人尝试登录到你的计算机中，但是口令输入的不对，系统提示口令错误，并将这次失败的登录过程纪录在系统日志中正确答案：A12、下列算法中属于非对称密码算法的是（）——[单选题]A ID.EA.B RSA.C D.ESD 3D.ES正确答案：B13、量子密码学的理论基础是______——[单选题]A 量子力学B 数学C 传统密码学D 天体物理学正确答案：A14、传统密码学的理论基础是——[单选题]A 数学B 物理学C 计算机学科D 力学正确答案：A15、我国首个城域量子通信试验示范网于2010年在（）启动建设——[单选题]A 北京B 上海C 合肥D 深圳正确答案：C16、世界首个量子卫星，中科院量子科学实验卫星（简称量子卫星）于（）发射——[单选题]A 2016年7月B 2015年10月C 2015年11月D 2016年5月正确答案：A17、公钥密码的应用不包括：——[单选题]A 数字签名B 非安全信道的密钥交换C 消息认证码D 身份认证正确答案：C18、D.SA.算法不提供以下哪种服务？——[单选题]A 数据完整性B 加密C 数字签名D 认证正确答案：B19、以下关于VPN说法正确的是：——[单选题]A VPN指的是用户自己租用线路，和公共网络完全隔离的、安全的线路B VPN是用户通过公用网络建立的临时的安全连接C VPN不能做到信息验证和身份认证D VPN只能提供身份认证、不能提供加密数据的功能正确答案：B20、下列哪一项功能可以不由认证中心C.A.完成？——[单选题]A 撤销和终止用户的证书B 产生并分发C.A.的公钥C 在请求实体和它的公钥间建立链接D 发放并分发用户的证书正确答案：C21、IPseC.协议的子协议不能提供下列哪一项服务？——[单选题]A 数据源认证B 数据包重放C 访问控制D 机密性22、非对称密钥的密码技术具有很多优点，其中不包括：——[单选题]A 可提供数字签名、零知识证明等额外服务B 加密/解密速度快，不需占用较多资源C 通信双方事先不需要通过保密信道交换密钥D 密钥持有量大大减少正确答案：B23、下列哪一项最好地描述了哈希算法、数字签名和对称密钥算法分别提供的功能？——[单选题]A 身份鉴别和完整性，完整性，机密性和完整性B 完整性，身份鉴别和完整性，机密性和可用性C 完整性，身份鉴别和完整性，机密性D 完整性和机密性，完整性，机密性正确答案：C24、一名攻击者试图通过暴力攻击来获取？——[单选题]A 加密密钥B 加密算法C 公钥D 密文正确答案：A25、在能够实施被动攻击的前提下，通过对称密码算法进行安全消息传输的必要条件是：——[单选题]A 在安全的传输信道上进行通信B 通讯双方通过某种方式，安全且秘密地共享密钥C 通讯双方使用不公开的加密算法D 通讯双方将传输的信息夹杂在无用信息中传输并提取正确答案：B26、常用的混合加密（HyB.riD.EnC.ryption）方案指的是：——[单选题]A 使用对称加密进行通信数据加密，使用公钥加密进行会话密钥协商B 使用公钥加密进行通信数据加密，使用对称加密进行会话密钥协商C 少量数据使用公钥加密，大量数据则使用对称加密D 大量数据使用公钥加密，少量数据则使用对称加密27、时间戳的引入主要是为了防止：——[单选题]A 消息伪造B 消息篡改C 消息重放D 未认证消息正确答案：C28、下列对于密钥生命周期的说法，错误的是：——[单选题]A 密钥生命周期越长，其泄露的机会越大B 密钥超过生命周期后就失去了价值，可以公开C 密钥生命周期应该同密钥保护数据的价值联系起来D 公钥密码体制中的公钥-私钥对应该定期更换正确答案：B29、数字签名应具有的性质不包括：——[单选题]A 能够验证签名者B 能够认证被签名消息C 能够保护被签名的数据机密性D 签名必须能够由第三方验证正确答案：C30、下列哪一项信息不包含在X.509规定的数字证书中？——[单选题]A 证书有效期B 证书持有者的公钥C 证书颁发机构的签名D 证书颁发机构的私钥正确答案：D31、数字签名是使用：——[单选题]A 自己的私钥签名B 自己的公钥签名C 对方的私钥签名D 对方的公钥签名正确答案：A32、下列哪种方式可以解决网络安全四要素：——[单选题]A 防火墙B 入侵检测C 访问控D PKI基础设施正确答案：D33、“进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。

cisp试题及答案(515多题整理版)

cisp试题及答案(515多题整理版) cisp试题及答案（515多题整理版）1. 以下哪项不是CISP的组成部分？A. 信息安全政策B. 信息安全组织C. 信息安全培训D. 信息安全审计答案：D2. CISP的全称是什么？A. Certified Information Systems ProfessionalB. Certified Information Security ProfessionalC. Certified Information Systems Security ProfessionalD. Certified Information System Professional答案：B3. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 5年答案：C4. CISP认证的考试形式是什么？A. 笔试B. 机试C. 口试D. 实操答案：B5. CISP认证的考试语言有哪些？A. 英语B. 中文C. 法语D. 所有选项答案：D6. CISP认证考试的题型是什么？A. 单选题B. 多选题C. 判断题D. 简答题答案：A7. CISP认证考试的总题数是多少？A. 100题B. 200题C. 300题D. 400题答案：C8. CISP认证考试的通过分数是多少？A. 60%B. 70%C. 80%D. 90%答案：C9. CISP认证考试的考试时间是多长？A. 1小时B. 2小时C. 3小时D. 4小时答案：C10. CISP认证考试的报名费用是多少？A. 500美元B. 700美元C. 1000美元D. 1500美元答案：B11. CISP认证考试的考试内容主要涉及哪些方面？A. 信息安全管理B. 信息安全技术C. 信息安全法律D. 所有选项答案：D12. CISP认证考试的考试内容不包括以下哪项？A. 风险评估B. 业务持续性管理C. 信息安全策略D. 数据库管理答案：D13. CISP认证考试的考试内容中，关于信息安全策略的知识点包括哪些？A. 信息安全策略的制定B. 信息安全策略的实施C. 信息安全策略的评估D. 所有选项答案：D14. CISP认证考试的考试内容中，关于风险评估的知识点包括哪些？A. 风险识别B. 风险分析C. 风险处理D. 所有选项答案：D15. CISP认证考试的考试内容中，关于业务持续性管理的知识点包括哪些？A. 业务影响分析B. 灾难恢复计划C. 应急响应计划D. 所有选项答案：D16. CISP认证考试的考试内容中，关于信息安全技术的知识点包括哪些？A. 加密技术B. 防火墙技术C. 入侵检测系统D. 所有选项答案：D17. CISP认证考试的考试内容中，关于信息安全法律的知识点包括哪些？A. 数据保护法B. 计算机犯罪法C. 知识产权法D. 所有选项答案：D18. CISP认证考试的考试内容中，关于信息安全管理的知识点包括哪些？A. 安全管理的框架B. 安全管理的过程C. 安全管理的控制D. 所有选项答案：D19. CISP认证考试的考试内容中，关于信息安全培训的知识点包括哪些？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 所有选项答案：D20. CISP认证考试的考试内容中，关于信息安全审计的知识点包括哪些？A. 审计计划B. 审计程序C. 审计报告D. 所有选项答案：D21. CISP认证考试的考试内容中，关于信息安全组织管理的知识点包括哪些？A. 组织结构B. 组织政策C. 组织文化D. 所有选项答案：D22. CISP认证考试的考试内容中，关于信息安全培训的知识点不包括以下哪项？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 培训课程设计答案：D23. CISP认证考试的考试内容中，关于信息安全审计的知识点不。

CISP试题及答案五套题

1.人们对信息平安的认识从信息技术平安开展到信息平安保障，主要是出于：A. 为了更好的完成组织机构的使命B. 针对信息系统的攻击方式发生重大变化C. 风险控制技术得到革命性的开展D. 除了保密性，信息的完整性和可用性也引起了人们的关注2.?GB/T 20274信息系统平安保障评估框架?中的信息系统平安保障级中的级别是指：A. 对抗级B. 防护级C. 能力级D. 监管级3.下面对信息平安特征和范畴的说法错误的选项是：A. 信息平安是一个系统性的问题，不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B. 信息平安是一个动态的问题，他随着信息技术的开展普及，以及产业根底，用户认识、投入产出而开展C. 信息平安是无边界的平安，互联网使得网络边界越来越模糊，因此确定一个组织的信息平安责任是没有意义的D. 信息平安是非传统的平安，各种信息网络的互联互通和资源共享，决定了信息平安具有不同于传统平安的特点4. 美国国防部提出的?信息保障技术框架?〔IATF〕在描述信息系统的平安需求时，将信息技术系统分为：A. 内网和外网两个局部B. 本地计算机环境、区域边界、网络和根底设施、支撑性根底设施四个局部C. 用户终端、效劳器、系统软件、网络设备和通信线路、应用软件五个局部D. 信用户终端、效劳器、系统软件、网络设备和通信线路、应用软件，平安防护措施六个局部5. 关于信息平安策略的说法中，下面说法正确的选项是：A. 信息平安策略的制定是以信息系统的规模为根底B. 信息平安策略的制定是以信息系统的网络？？？C. 信息平安策略是以信息系统风险管理为根底D. 在信息系统尚未建立完成之前，无法确定信息平安策略6. 以下对于信息平安保障深度防御模型的说法错误的选项是：A. 信息平安外部环境：信息平安保障是组织机构平安、国家平安的一个重要组成局部，因此对信息平安的讨论必须放在国家政策、法律法规和标准的外部环境制约下。

CISP试题及答案(整理版)

CISP（注册信息安全专业人员）试题及答案(整理版)一、选择题（每题2分，共40分）1. 以下哪一项不是我国信息安全的基本原则？A. 安全第一B. 预防为主C. 用户至上D. 技术优先答案：D2. 以下哪一项不属于信息安全的技术手段？A. 防火墙B. 杀毒软件C. 数据加密D. 人工审核答案：D3. 在以下哪种情况下，不需要进行网络安全风险评估？A. 系统升级B. 网络结构变更C. 业务流程变更D. 系统正常运行答案：D4. 以下哪种安全漏洞类型属于跨站脚本攻击（XSS）？A. SQL注入B. 目录遍历C. 文件包含D. 跨站请求伪造（CSRF）答案：D5. 以下哪种加密算法属于对称加密算法？A. RSAB. DSAC. AESD. ECC答案：C6. 在以下哪种情况下，数字证书不能保证数据完整性？A. 数据在传输过程中被篡改B. 数据在传输过程中被加密C. 数据在传输过程中被压缩D. 数据在传输过程中被签名答案：A7. 以下哪项不属于网络钓鱼攻击的手段？A. 发送假冒邮件B. 假冒网站C. 恶意软件D. 社交工程答案：C8. 以下哪种安全防护措施可以防止恶意代码执行？A. 防火墙B. 入侵检测系统C. 沙箱D. 杀毒软件答案：C9. 以下哪项属于物理安全措施？A. 数据加密B. 防火墙C. 身份认证D. 电子门禁系统答案：D10. 以下哪种安全事件属于内部攻击？A. 网络扫描B. 拒绝服务攻击C. 偷窃设备D. 社交工程答案：C二、填空题（每题2分，共20分）1. 信息安全包括________、________、________和________四个方面。

答案：保密性、完整性、可用性和合法性2. 在网络安全风险评估过程中，需要考虑________、________和________三个方面的因素。

答案：资产、威胁和脆弱性3. 数字证书包含________、________、________和________四个部分。

cisp试题及答案

cisp试题及答案一、选择题1. CISP（注册信息安全专业人员）认证的主要目标是（）。

A. 提升个人技能B. 保障企业信息安全C. 遵守法律法规D. 降低企业运营成本答案：B2. 在信息安全管理中，风险评估的目的是（）。

A. 识别潜在的威胁B. 确定安全措施的成本C. 制定安全策略D. 所有以上选项答案：D3. CISP认证考试中，关于数据加密的说法正确的是（）。

A. 对称加密算法比非对称加密算法更安全B. 非对称加密算法需要两个密钥C. 哈希函数是可逆的D. 量子加密是目前最安全的加密方式答案：B4. 以下哪项不属于信息安全管理的基本原则？（）。

A. 保密性B. 完整性C. 可用性D. 可追溯性答案：D5. CISP认证考试中，关于网络安全的说法正确的是（）。

A. 防火墙可以防止所有类型的网络攻击B. VPN提供了数据传输过程中的加密C. 入侵检测系统可以防止入侵行为的发生D. 网络隔离可以完全避免网络攻击答案：B二、填空题1. CISP认证是由________（组织名称）颁发的，旨在证明持证人在信息安全领域具有专业知识和技能。

答案：（ISC）²2. 在信息安全领域中，________是一种通过隐藏信息内容来保护数据不被未授权访问的技术。

答案：加密3. 为了确保信息的完整性，通常会使用________技术来验证数据在传输或存储过程中是否被篡改。

答案：哈希函数4. 信息安全管理体系（ISMS）的国际标准是ISO/IEC 27001，它包括了一套用于________的准则和规定。

答案：管理信息安全5. 社会工程学是一种利用人的________来获取敏感信息或未授权访问系统的方法。

答案：心理和行为特点三、简答题1. 简述信息安全的重要性。

答案：信息安全对于保护个人隐私、企业商业秘密、国家安全等方面至关重要。

它可以有效防止数据泄露、网络攻击、身份盗窃等风险，确保信息的保密性、完整性和可用性。

CISP真题(含答案解析)二

CISP真题（含答案解析）练习二本试卷100题1.为了保障系统安全，某单位需要对其跨地区大型网络实时应用系统进行渗透测试，一下关于渗透测试过程的说法不正确的是正确答案：D解释说明：2.随着信息技术的不断发展，信息系统的重要性也越来越突出，而与此同时，发生的信息安全事件也越来越多。

综合分析信息安全问题产生的根源，下面描述正确的是正确答案：C解释说明：3.保护-检测-相应（Protection-Detection-Response，PDR）模型是（）工作中常用的模型，其思想是承认：（）中漏洞的存在，正视系统面临的（），通过采取适度防护、加强（）、落实对安全事件的相应、建立对威胁的防护来保障系统的安全。

正确答案：C解释说明：4.老王是一名企业信息化负责人，由于企业员工在浏览网页时总导致病毒感染系统，为了解决这一问题，老王要求信息安全员给出解决措施，信息安全员给出了四条建议措施，老王根据多年的信息安全管理经验，认为其中的一条不太适合推广，你认为是哪条措施正确答案：C解释说明：5.小华在某电子商务公司工作，某天他在查看信息系统设计文档时，发现其中标注该信息系统的PRO（恢复点目标）指标为3小时，请问这意味着正确答案：C解释说明：6.以下关于WEB传输协议、服务端和客户端软件的安全问题说法不正确的是正确答案：C解释说明：7.以下行为不属于违反国家保密规定的行为解释说明：D8.Linux系统的安全设置主要是从磁盘分区、账号安全设置、禁用危险服务、远程登入安全、用户鉴别安全、审计策略、保护root账号、使用网络防火墙和文件权限操作共10个方面来完成。

小张在学习Linux系统安全的相关知识后，尝试为自己计算机上的Linux 系统进行安全配置。

下列选项是他进行的部分操作，其中不合理的是正确答案：A解释说明：9.软件存在漏洞和缺陷是不可避免的，实践中常使用软件缺陷密度（De f ects/K LOC）来衡量软件的安全性。

cisp试题及答案

cisp试题及答案CISP试题及答案一、选择题（每题1分，共10分）1. 以下哪项不是CISP的认证目标？A. 提升个人网络安全技能B. 增强组织的信息安全防护能力C. 降低网络攻击的风险D. 提高个人编程能力答案：D2. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 终身有效答案：C3. 以下哪个不是CISP考试的科目？A. 信息安全基础B. 网络安全C. 软件开发D. 风险管理答案：C4. CISP认证的考试形式是什么？A. 笔试B. 机考C. 面试D. 现场操作答案：B5. CISP认证的考试语言是？A. 英语B. 中文C. 法语D. 德语答案：A6. 以下哪项不是CISP认证的考试内容？A. 法律、法规和合规性B. 业务连续性管理C. 网络设备配置D. 信息安全管理答案：C7. CISP认证适合哪些人员？A. IT管理人员B. 网络安全专家C. 软件开发人员D. 所有以上答案：D8. CISP认证的考试通过标准是什么？A. 60%正确率B. 70%正确率C. 80%正确率D. 100%正确率答案：B9. CISP认证的考试费用是多少？A. 1000元B. 2000元C. 3000元D. 4000元答案：C10. CISP认证的考试时长是多少？A. 1小时B. 2小时C. 3小时D. 4小时答案：C二、简答题（每题5分，共20分）1. 简述CISP认证的重要性。

答案：CISP认证对于个人而言，是专业能力的认可，有助于职业发展和技能提升。

对于组织而言，拥有CISP认证的员工可以增强组织的信息安全防护能力，降低信息安全风险。

2. 描述CISP认证的考试流程。

答案：CISP认证考试流程通常包括注册、备考、参加考试、成绩公布和认证证书的颁发。

考生需要在指定的考试中心完成机考，考试合格后，将获得认证证书。

3. 解释CISP认证的继续教育要求。

答案：CISP认证持有者需要每两年完成一定的继续教育学分，以保持认证的有效性。

cisp试题700道(带答案)

12.以下对于安全套接 A．主要 B．可以在网络 C．主要适用于 D．包含三 C
层（SSL）的说法正确是使用层建立VPN
点对点之间的信个主要协
的是：
对称密
息传输，常用We 议：AH、E
钥体制
bServer 方式 SP、IKE
和X509
数字证
书技术
保护信
息传输
的机密性和完整性
13.按照BLP
本组成描述正确的是：系统一般包含两个部分般包含两个部分统一般包
般包含：日志记录和日：日记记录和日含三个部
三个部志处理
志分析
分：日志
分：日
记录、日
志记录
志分析和
、日志
日志报告
分析和
日志处
理
21.安全审计是对系统 A．辅助 B．对与已建立 C．及时阻断违 D．帮助发 C
活动和记录的独立检查辨识和的安全策略的一反安全策略的访现需要改
常规级
行
所有者都
别的应
具有访问
用，不
权限
需要roo
t 用户来
操作完
成
31.Linux 系统对文件的权限是以模式位的形式来表示，对于文件名为test 的一个文件，属于admi n 组中user 用户，以下哪个是该文件正确的模式表示？
A．rwxr -xr-x 3user admin 1024 Sep 1311:58 test
的是：
服务必要用户的交互登启动而启动，无服务都需
须是一陆
需用户进行干预要用户进
个独立
行登陆后
的可执
，以登录
行程序
用户的权
限进行启
动

CISP试题及答案-7套题资料

1.下面关于信息安全保障的说法正确的是：A.信息安全保障的概念是与信息安全的概念同时产生的B.信息系统安全保障要素包括信息的完整性、可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施在系统的生命周期内确保信息的安全属性2.根据《 GB / T20274 信息安全保障评估框架》，对信息系统安全保障能力进行评估应A.信息安全管理和信息安全技术2 个方面进行B.信息安全管理、信息安全技术和信息安全工程3 个方面进行C.信息安全管理、信息安全技术、信息安全工程和人员4 个方面进行D.信息安全管理、信息安全技术、信息安全工程、法律法规和人员5个方面进行3.哪一项不是《 GB / T20274 信息安全保障评估框架》给出的信息安全保障模通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征4.对于信息安全发展历史描述正确的是：A.信息安全的概念是随着计算机技术的广泛应用而诞生的B.目前信息安全己经发展到计算机安全的阶段C.目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程和人员同样是促进系统安全性的重要因素D.我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安全”，再到“信息安全”，直至现在的“信息安全保障”5.ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务A.加密B.数字签名C.访问控制D.路由控制6.表示层7.以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性A.ITSECB.TCSECC.GB/T9387.2D.彩虹系列的橙皮书8.下面对于CC 的“保护轮廓”( PP ）的说法最准确的是：A.对系统防护强度的描述B.对评估对象系统进行规范化的描述C.对一类TOE 的安全需求，进行与技术实现无关的描述D.由一系列保证组件构成的包，可以代表预先定义的保证尺度9.以下哪一项属于动态的强制访问控制模型？A.Bell一Lapudufa 模型B.10.C.Strong star property 处于D.Bell 一Lapadula 模型的访问规则主要是出于对保密性的保护而制定的11.下面对于强制访问控制的说法错误的是？A 它可以用来实现完整性保护，也可以用来实现机密性保护B在强制访问控制的系统中，用户只能定义客体的安全属性C 它在军方和政府等安全要求很高的地方应用较多D 它的缺点是使用中的便利性比较低12.以下哪两个安全模型分别是多级完整性模型和多边保密模型？A.Biba 模型和Bell一Lapadula 模型B.Bell 一Lapaduia 模型和Biba 模型C.Chinese Wall 模型和Bell 一Lapadula 模型D.Biba 模型和Chinese Wall 模型13.在一个使用Chinese Wall 模型建立访问控制的信息系统中，数据W和数据X在一个兴趣冲突域中，数据Y和数据Z在另一个兴趣冲突域中，那么可以确定一个新注册的用户：A.只有访问了W之后，才可以访问XB.只有访问了W之后，才可以访问Y和Z中的一个C.无论是否访问W，都只能访问Y和Z中的一个D.无论是否访问W，都不能访问Y或Z14.BMA访问控制模型是基于A.健康服务网络B.ARPANETC.ISPD.INTERNET15.16.证书持有者的公钥证书颁发机构的签名证书有效期17.下面关于密码算法的说法错误的是？A.分组密码又称作块加密B.流密码又称作序列密码C.DES算法采用的是流密码D.序列密码每次加密一位或一个字节的明文18.下面对于SSH的说法错误的是？A.SSH是Secure Shell的简称B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSHD.SSH2比SSH1更安全19.下面对于标识和鉴别的解释最准确的是：A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性B.标识用于区别不同的用户，而鉴别用于赋予用户权限C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限20.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例：A.你是什么B.你有什么C.你知道什么D.你做了什么21.安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的A.辅助辨识和分析未经授权的活动或攻击B.对与己建立的安全策略的一致性进行核查C.及时阻断违反安全策略的访问D.帮助发现需要改进的安全控制措施22.下面哪一项不是通用IDS 模型的组成部分：A.传感器B.过滤器23.24.以下哪一项属于物理安全方面的管理控制措施？A.照明B.护柱C.培训D.建筑设施的材料25.以下哪种不是火灾探测器类型：A.电离型烟传感器B.光电传感器C.声学震动探测系统D.温度传感器26.以下关于事故的征兆和预兆说法不正确的是：A.预兆是事故可能在将来出现的标志B.征兆是事故可能己经发生或正在发生的标志C.预兆和征兆的来源包括网络和主机IDS 、防病毒软件、系统和网络日志D.所有事故的预兆和征兆都是可以发现的27.组织机构应根据事故类型建立揭制策略，需要考虑以下几个因素，除了：A、实施策略需要的时间和资源B、攻击者的动机C、服务可用性D、证据保留的时间28、下面安全套接字层协议（SSL）的说法错误的是？A、它是一种基于Web应用的安全协议B、由于SSL是内嵌的浏览器中的，无需安全客户端软件，所以相对于IPSEC 更简C、SSL与IPSec一样都工作在网络层D、SSL可以提供身份认证、加密和完整性校验的功能29、用来为网络中的主机自动分配IP地址、子网掩码、默认网关、wins服务器地址的网？A、ARPB、IGMPC、ICMPD、DHCP301 下面哪一项不是VPN协议标准：A、L2TPB、ipsecC、TACACS+D、PPTP30、IPSEC的两种使用模式分别是_______和_____A 传输模式、安全壳模式B 传输模式、隧道模式C 隧道模式、ESP模式D 安全壳模式、AH模式31、组成IPSEC的主要安全协议不包括以下哪一项：A 、 ESP B、 DSS C 、 IKE D、 AH32、在UNIX系统中输入命令“LS-al test”显示如下;-rwxr-xr-x 3 root root 1024 Sep 13 11:58 test”对他的含义解释错误的是：A、这是一个文件，而不是目录B、文件的拥有者可以对这个文件读、写和执行的操作C、文件所属组的成员有可以读它，也可以执行它D、其他所有用户只可以执行它33、计算机具有的IP地址是有限的，但通常计算机会开启多项服务或运行多个应用程序，那么如何在网络通信中对这些程序或服务进行单独标识？A 分配网络端口号（如ftp服务对应21端口）B 利用MAC地址C 使用子网掩码D 利用PKI/CA34、Apache Web 服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache 目录的配置文件是：A httpd.confB srm.confC inetd.confD access.conf35、下面哪一项是操作系统中可信通路（trust path）机制的实例？A Window系统中ALT+CTRL+DELB root在Linux系统上具有绝对的权限C 以root身份作任何事情都要谨慎D 控制root用户的登录可以在/etc/security目录下的access.conf文件中进行设置36、以下对Windows服务的说法错误的是（）A 为了提升系统的安全性管理员应尽量关闭不需要的服务B Windows服务只有在用户成功登录系统后才能运行C 可以作为独立的进程运行或以DLL的形式依附在Svchost.exeD windows服务通常是以管理员的身份运行的37、以下哪一项不是IIS服务器支持的访问控制过滤类型？A 网络地址访问控制B web服务器许可C NTFS许可D 异常行为过滤38、下列哪一项与数据库的安全有直接关系？A 访问控制的粒度B 数据库的大小C 关系表中属性的数量D 关系表中元组的数量39、下列哪一组Oracle数据库的默认用户名和默认口令？A 用户名：“Scott”；口令：“tiger”B 用户名：“Sa”；口令：“nullr”C 用户名：“root”；口令：“null”D 用户名：“admin”；口令：“null”40、关于数据库安全的说法错误的是？A 数据库系统的安全性很大程度上依赖于DBMS的安全机制B 许多数据库系统在操作系统一下文件形式进行管理，因此利用操作系统漏洞可以窃取数据库文件C 为了防止数据库中的信息被盗取，在操作系统层次对文件进行加密是唯一从根本上解决问题的手段D 数据库的安全需要在网络系统、操作系统和数据库管理系统三个方面进行保护42、下面关于计算机恶意代码发展趋势的说法错误的是：A 木马和病毒盗窃日益猖獗B 利用病毒犯罪的组织性和趋利性增加C综合利用多种编程新技术、对抗性不断增加 D 复合型病毒减少，而自我保护功能增加43、关于网页中的恶意代码，下列说法错误的是：A 网页中的恶意代码只能通过IE浏览器发挥作用B 网页中恶意代码可以修改系统注册表C 网页中的恶意代码可以修改系统文件D 网页中的恶意代码可以窃取用户的机密性文件44、下面对于“电子邮件炸弹”的解释最准确的是：A 邮件正文中包含的恶意网站链接B 邮件附件中具有强破坏性的病毒C 社会工程的一种方式，具有恐吓内容的邮件D 在短时间内发送大量邮件软件，可以造成目标邮箱爆满45、以下哪一项是常见Web站点脆弱性扫描工具：A SnifferB NmapC AppscanD LC46、下面哪一项不是安全编程的原则A 尽可能使用高级语言进行编程B 尽可能让程序只实现需要的功能C 不要信任用户输入的数据D 尽可能考虑到意外的情况，并设计妥善的处理方法47、黑客进行攻击的最后一个步骤是：A 侦查与信息收集B 漏洞分析与目标选定C 获取系统权限D 打扫战场、清楚证据48、下面哪一项是缓冲溢出的危害？A 可能导致shellcode的执行而非法获取权限，破坏系统的保密性B 执行shellcode后可能进行非法控制，破坏系统的完整性C 可能导致拒绝服务攻击，破坏系统的可用性D 以上都是49、以下哪一项是DOS攻击的一个实例A SQL注入B IP SpoofC Smurf攻击D 字典破解50、以下对于蠕虫病毒的错误说法是（）A 通常蠕虫的传播无需用户的操作B 蠕虫病毒的主要危害体现在对数据保密的破坏C 蠕虫的工作原理与病毒相似，除了没有感染文件D 是一段能不以其他程序为媒介，从一个电脑系统复制到另一个电脑系统51、以下哪一项不是跨站脚本攻击？A 给网站挂马B 盗取COOKIEC 伪造页面信息D 暴力破解密码52.对能力成熟度模型解释最准确的是？A．它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。

CISP试题及答案(515多题整理版)

1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B.来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D.所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B.ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D.ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B.风险评估的结果C.组织原则目标和业务需要D.企业领导的个人意志【答案】D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D.基础培训，RA培训，文件编写培训，内部审核培训【答案】B9. 构成风险的关键因素有哪些？A. 人，财，物B.技术，管理和操作C.资产，威胁和弱点D.资产，可能性和严重性【答案】C10. 以下哪些不是应该识别的信息资产？A.网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】C11. 以下哪些是可能存在的威胁因素？BA.设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】B12. 以下哪些不是可能存在的弱点问题？A.保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A.只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】B14. 风险分析的目的是？A.在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B.在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

CISP考试(习题卷3)

CISP考试(习题卷3)第1部分：单项选择题，共94题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]在网络攻击的多种类型中，攻击者窃取到系统的访问权并盗用资源的攻击形式属于哪一种？（）A)拒绝服务B)侵入攻击C)信息盗窃D)信息篡改答案:B解析:2.[单选题]在加固数据库时,以下哪个是数据库加固最需要考虑的？A)修改默认配置B)标准数据库所有的表空间C)存储数据被加密D)修改数据库服务的服务端口答案:A解析:3.[单选题]下列属于良性病毒的是_________A)黑色星期五病毒B)火炬病毒C)米开朗基罗病毒D)扬基病毒答案:D解析:4.[单选题]下面对于SSE-CMM保证过程的说话错误的是：A)保证是指安全需求得到满足的可信任程度B)信任程度来自于对安全工程过程结果的判断C)自验证与证实安全的主要手段包括观察、论证、分析和测试D)PA“建立保证论据”为PA“验证与证实安全”提供了证据支持答案:B解析:5.[单选题]下面关于软件测试的说法错误的是：A)所谓“黑盒”测试就是测试过程不测试报告中的进行描述，切对外严格保密B)出于安全考虑，在测试过程中尽量不要使用真实的生产数据C)测试方案和测试结果应当成为软件开发项目文档的主要部分被妥善的保存D)软件测试不仅应关注需要的功能是否可以被实现，还要注意是否有不需要的功能被实现了答案:A解析:6.[单选题]小王学习了灾难备份的有关知识，了解到常用的数据备份方式包括完全备份、增量备份、差量备份，为了巩C)增量备份、差量备份、完全备份D)差量备份、增量备份、完全备份答案:B解析:7.[单选题]风险评估和管理工具通常是指什么工具A)漏洞扫描工具B)入侵检测系统C)安全审计工具D)安全评估流程管理工具答案:D解析:8.[单选题]访问控制矩阵是自主访问控制的实现机制.以下对访问控制矩阵说法正确的是:A)一般访问控制矩阵中列表示客体，行表示主体B)访问控制矩阵中的元素规定了相应主体对相应客体的访问权C)访问控制矩阵按列读取形成访问能力表D)访问控制矩阵按行读取形成访问控制表答案:A解析:9.[单选题]常见的访问控制模型包括自主访问控制模型、强制访问控制模型和基于角色的访问控制模型等。

CISP试题和答案-六套题

CISP试题和答案-六套题1C2A3D4B5C1、下列对于信息安全保障深度防御模型的说法错误的是：A、信息安全外部环境、信息安全保障是组织机构安全、国家安全的一个重要组成部分，因此对信息安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下B、信息安全管理和工程，信息安全保障需要在整个组织机构内建立和完善信息安全管理体系，将信息安全管理综合至信息系统的整个生命周期，在这个过程中，我们需要采用信息系统工程的方法来建设信息系统C、信息安全人才体系，在组织机构中应建立完善的安全意识，培训体系也是信息安全保障的重要组成部分D、信息安全技术方案：“从外面内，自下而上，形成边界到端的防护能力”2、人们对信息安全的认识从信息技术安全发展到信息安全保障，主要是由于：A、为了更好地完成组织机构的使命B、针对信息系统的攻击方式发生重大变化C、风险控制技术得到革命性的发展D、除了保密性，信息的完整性和可用性也引起了人们的关注3、关于信息保障技术框架（IATF），下列哪种说法是错误的？A、IATF强调深度防御，关注本地计算环境、区域边界、网络和基础设施、支撑性基础设施等多个领域的安全保障B、IATF强调深度防御，即对信息系统采用多层防护，实现组织的业务安全运作C、IATF强调从技术、管理和人等多个角度来保障信息系统的安全D、IATF强调的是以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全4、信息系统保护轮廓（ISPP）定义了___________A、某种类型信息系统的与实现无关的一组系统级安全保障要求B、某种类型信息系统的与实现相关的一组系统级安全保障要求C、某种类型信息系统的与实现无关的一组系统级安全保障目的D、某种类型信息系统的与实现相关的一组系统级安全保障目的5、下面对于信息安全特征和范畴的说法错误的是：A、信息安全是一个系统性的问题，不仅要考虑信息系统本身的技术问题，还要考虑人员、管理、政策等众多因素B、信息安全是一个动态的问题，它随着信息技术的发展普及，以及产业基础、用户认识、投入产出而发展C、信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任是没有意义的D、信息安全是非传统的安全，各种信息网络的互联互通和资源共享，决定了信息安全具有不同于传统安全的特点6C7A8B9C10D6、椭圆曲线密码方案是指：A、基于椭圆曲线上的大整数分解问题构建的密码方案B、通过椭圆曲线方程求解的困难性构建的密码方案C、基于椭圆曲线上有限域离散对数问题构建的密码方案D、通过寻找是单向陷门函数的椭圆曲线函数构建的密码方案7、hash算法的碰撞是指：A、两个不同的消息，得到相同的消息摘要B、两个相同的消息，得到不同的消息摘要C、消息摘要和消息的长度相同D、消息摘要比消息长度更长8、Alice从Sue那里收到一个发给她的密文，其他人无法解密这个密文，Alice需要用哪个密钥来解密这个密文？A、Alice的公钥B、Alice的私钥C、Sue的公钥D、Sue的私钥9、数字签名应具有的性质不包括：A、能够验证签名者B、能够认证被签名消息C、能够保护被签名的数据机密性D、签名必须能够由第三方验证10、Alice有一个消息M通过密钥K和MAC算法生成一个MAC 为C（K,M），Alice将这个MAC附加在消息M后面发送给Bob，Bob用密钥K和消息M计算MAC并进行比较，这个过程可以提供什么安全服务？A、仅提供保密性B、仅提供不可否认性C、提供消息认证D、保密性和消息认证11C12C13B14C15B11、时间戳的引入主要是为了防止：A、死锁B、丢失C、重放D、拥塞12、与RSA（rivest，shamir，adleman）算法相比，DSS （digital signature standard）不包括：A、数字签名B、鉴别机制C、加密机制D、数据完整性13、在数字信封中，综合使用对称加密算法和公钥加密算法的主要原因是：A、混合使用两种加密方法可以增加破译者的难度，使其更加难以破译原文，从而保障信息的保密性B、综合考虑对称密钥算法的密钥分发难题和公钥算法加解密效率较低的难题而采取的一种折中做法C、两种加密算法的混用，可以提高加密的质量，这是我国密码政策所规定的要求D、数字信封综合采用这两种算法为的是为了防止收到信息的一方否认他收到了该信息，即抗接受方抵赖14、下列哪个选项是公钥基础设施（PKI）的密钥交换处理流程？（1）接收者解密并获取会话密钥（2）发送者请求接收者的公钥（3）公钥从公钥目录中被发送出去（4）发送者发送一个由接收者的公钥加密过的会话密钥A、4,3,2,1B、2,1,3,4C、2,3,4,1D、2,4,3,115、IPSEC密钥协商方式有：A、一种，手工方式B、二种，手工方式、IKE自动协商C、一种，IKE自动协商D、二种，IKE自动协商、隧道协商16A17D18B19D20D16、以下哪一项不是工作在网络第二层的隧道协议：A、VTPB、L2FC、PPTPD、L2TP17、与PDR模型相比，P2DR模型多了哪一个环节？A、防护B、检测C、反应D、策略18、以下有关访问控制矩阵中行和列中元素的描述正确的是：A、行中放用户名，列中放对象名B、行中放程序名，列中放用户名C、列中放用户名，行中放设备名D、列中放标题，行中放程序19、下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？A、强制访问控制（MAC）B、集中式访问控制（Decentralized Access Control）C、分布式访问控制（Distributed AccessControl）D、自主访问控制（DAC）20、以下哪一项不是BLP模型的主要任务：A、定义使得系统获得“安全”的状态集合B、检查所有状态的变化均始于一个“安全状态”并终止于另一个“安全状态”C、检查系统的初始状态是否为“安全状态”D、选择系统的终止状态21D22A23A24B25D21、访问控制表与访问能力表相比，具有以下那个特点：A、访问控制表更容易实现访问权限的特点B、访问能力表更容易浏览访问权限C、访问控制表回收访问权限更困难D、访问控制表更适用于集中式系统22、在Clark-Wilson模型中哪一项不是保证完整性任务的？A、防止职权的滥用B、防止非授权修改C、维护内部和外部的一致性D、防止授权但不适当地修改23、以下对单点登录技术描述不正确的是：A、单点登录技术实质是安全凭证在多个用户之间的传递或共享B、使用单点登录技术用户只需在登录时进行一次注册，就可以访问多个应用C、单点登录不仅方便用户使用，而且也便于管理D、使用单点登录技术能简化应用系统的开发24、鉴别的基本途径有三种：所知、所有和个人特征，以下哪一项不是基于你所知道的：A、口令B、令牌C、知识D、密码25、系统审计日志不包括以下哪一项：A、时间戳B、用户标识C、对象标识D、处理结果26B27B28B29B30C26、以下哪一项不是审计措施的安全目标：A、发现试图绕过系统安全机制的访问B、记录雇员的工作效率C、记录对访问客体采用的访问方式D、发现越权的访问行为27、一个VLAN可以看做是一个：A、冲突域B、广播域C、管理域D、阻塞域28、以下对RADIUS协议说法正确的是：A、它是一种B/S结构的协议B、它是一项通用的认证计费协议C、它使用TCP通信D、它的基本组件包括认证、授权和加密29、UDP协议和TCP协议对应于ISO/OSI模型的哪一层？A、链路层B、传输层C、会话层D、表示层30、路由器的扩展访问控制列表能够检查流量的那些基本信息？A、协议，vtan id，源地址，目标地址B、协议，vian id，源端口，目标端口C、源地址，目地地址，源端口，目标端口，协议D、源地址，目地地址，源端口，目标端口，交换机端口号31A32B33B34C5B31、TCP/IP中哪个协议是用来报告错误并代表IP对消息进行控制？A、ICMPB、IGMPC、ARPD、SNMP32、TCP采用第三次握手来建立一个连接，第二次握手传输什么信息：A、SYNB、SYN+ACKC、ACKD、FIN33、某个客户的网络现在可以正常访问Internet互联网，共有200台终端PC但此客户从ISP （互联网络服务提供商）,互联网最好采取什么方法或技术：A、花更多的钱向ISP申请更多的IP地址B、在网络的出口路由器上做源NATC、在网络的出口路由器上做目的NATD、在网络出口处增加一定数量的路由器34、以下哪个一个项对“ARP”的解释是正确的：A、Access routing protocol----访问路由协议B、Access routing protocol----访问解析协议C、Address resolution protocol-地址解析协议D、Address recovery protocol-地址恢复协议35、下面对于X.25协议的说法错误的是？A、传输速率可达到56KbpsB、其优点是反复的错误校验颇为费时C、其缺点是反复的错误校验颇为费时D、由于它与TCP/IP协议相比处于劣势，所以渐渐被后者淘汰36D37C38D39B40D36、下列对于DMZ区的说法错误的是：A、它是网络安全防护的一个“非军事区”B、它是对“深度防御”概念的一种实现方案C、它是一种比较常用的网络安全域划分方式D、要想搭建它至少需要两台防火墙37、哪一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问连续的能力？A、包过滤防火墙B、状态监测防火墙C、应用网关防火墙D、以上都不是38、以下哪一项不属于入侵检测系统的功能A、监视网络上的通信数据流B、捕捉可疑的网络活动C、提供安全审计报告D、过滤非法的数据包39、下面哪一项不是通过IDS模型的组成部分：A、传感器B、过滤器C、分析器D、管理器40、下面哪一项是对IDS的正确描述？A、基于特征（Signature-based）的系统可以检测新的攻击类型B、基于特征（Signature-based）的系统化基于行为（behavior-based）的系统产生更多的误报C、基于行为（behavior-based）的系统维护状态数据库来与数据包和攻击相匹配D、基于行为（behavior-based）的系统比基于特征（Signature-based）的系统有更高的误报41D42B43D44D45D41、可信计算技术不能：A、确保系统具有免疫能力，从根本上阻止病毒和黑客等软件的攻击B、确保密钥操作和存储的安全C、确保硬件环境配置、操作系统内核、服务及应用程序的完整性D、使计算机具有更高的稳定性42、chmod 744 test命令执行的结果是：A、test文件的所有者具有执行读写权限，文件所属的组合其它用户有读的权限B、test文件的所有者具有执行读写和执行权限，文件所属的组和其它用户有读的权限C、test文件的所有者具有执行读和执行权限，文件所属的组和其它用户有读的权限D、test文件的所有者具有执行读写和执行权限，文件所属的组和其它用户有读和写的权限43、Linux系统的用户信息保存在passwd中，某用户条目backup:*:34:34:backup:/var/backups:/bin/sh，以下关于该账号的描述不正确的是：A、backup账号没有设置登录密码B、backup账号的默认主目录是/var/backupsC、backup账号登陆后使用的shell是/bin/shD、backup账号是无法进行登录44、以下对windows账号的描述，正确的是：A、windows系统是采用SID（安全标识符）来标识用户对文件或文件夹的权限B、windows系统是采用用户名来标识用户对文件或文件夹的权限C、windows系统默认会生成administration和guest两个账号，两个账号都不允许改名和删除D、windows系统默认生成administration和guest两个账号，两个账号都可以改名和删除45、以下哪一项不是IIS服务器支持的访问控制过滤类型？A、网络地址访问控制B、web服务器许可C、NTFS许可D、异常行为过滤46D47C48B49D50C46、以下哪个对windows系统日志的描述是错误的？A、windows系统默认有三个日志，系统日志，应用程序日志，安全日志B、系统日志跟踪各种各样的系统事件，例如跟踪系统启动过程中的事件或者硬件和控制器的故障C、应用日志跟踪应用程序关联的事件，例如应用程序产生的装载DLL（动态链接库）失败的信息D、安全日志跟踪各类网络入侵事件，例如拒绝服务攻击、口令暴力破解等47、为了实现数据库的完整性控制，数据库管理员应向DBMS提出一组完整性规则来检查数据库中的数据，完整性规则主要由三部分组成，以下哪一项不是完整性规则的内容？A、完整性约束条件B、完整性检查机制C、完整性修复机制D、违约处理机制48、数据库事务日志的用途是什么？A、事务日志B、数据恢复C、完整性约束D、保密性控制49、以下哪一项不是SQL语言的功能A、数据定义B、数据检查C、数据操纵D、数据加密50、以下哪一项是和电子邮件系统无关的？A、PEMB、PGPC、X.500D、X.40051C52C53C54D55D51、下面对于cookie的说法错误的是：A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息B、cookie可以存储一些敏感的用户信息，从而造成一定的安全风险C、通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗D、防范cookie欺骗的一个有效方法是不使用cookie验证方法，而是用session验证方法52、电子商务安全要求的四个方面是：A、传输的高效性、数据的完整性、交易各方的身份认证和交易的不可抗抵赖B、存储的安全性、传输的高效性、数据的完整性和交易各方的身份认证C、传输的安全性、数据的完整性、交易各方的身份认证和交易不可抵赖性D、存储的安全性、传输的高效性、数据的完整性和交易的不可抵赖性53、Apache Web 服务器的配置文件一般位于/usr/local/apache/conf目录，其中用来控制用户访问Apache目录的配置文件是：A、httpd.confB、srm.confC、access.confD、inetd.conf54、以下哪个是恶意代码采用的隐藏技术A、文件隐藏B、进程隐藏C、网络连接隐藏D、以上都是55、下列那种技术不是恶意代码的生存技术？A、反跟踪技术B、加密技术C、模糊变换技术D、自动解压缩技术56B57B58D59D60D56、以下对于蠕虫病毒的说法错误的是：A、通常蠕虫的传播无需用户的操作B、蠕虫病毒的主要危害体现在对数据保密性的破坏C、蠕虫的工作原理与病毒相似，除了没有感染文件阶段D、是一段能不以其他程序为媒介，从一个电脑系统复制到另一个电脑系统的程序57、被以下哪种病毒感染后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启，不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响的，DNS和IIS服务遭到非法拒绝等。