1、信息系统项目管理安全习题单选题80题 电子商务交易必须具备抗抵赖性，目的在于防止 （1） 。（ 1 ）A一个实体假装成另一个实体B参与此交易的一方否认曾经发生过此次交易C他人对数据进行非授权的修改、破坏D信息从被监视的通信过程中泄漏出去答案：（1）B 两个公司希望通过Internet进行安全通信，保证从信息源到目的地之间的数据传输以密文形式出现，而且公司不希望由于在中间节点使用特殊的安全单元而增加开支，最合适的加密方式是 （2） ，使用的会话密钥算法应该是 （3） 。（2）A链路加密 B节点加密 C端-端加密 D混合加密（3）ARSA BRC-5 CMD5 DECC答案：（2）C （3）B 窃
2、取是对 （4） 的攻击，DDos 攻击破坏了 （5） 。（4）A可用性 B保密性 C完整性 D真实性 （5）A可用性 B保密性 C完整性 D真实性 答案：（4）B （5）A 数据加密标准（ DES ）是一种分组密码，将明文分成大小 （6） 位的块进行加密，密钥长度为 （7） 位。（6）A16 B32 C56 D64（7）A16 B32 C56 D128 答案：（6）D （7）C 以下用于在网路应用层和传输层之间提供加密方案的协议是 （8） 。 （8） APGP BSSL CIPSec DDES答案：（8）B 驻留在多个网络设备上的程序在短时间内同时产生大量的请求信息冲击某个Web服务器，导致该
3、服务器不堪重负，无法正常响应其它合法用户的请求，这属于 （9） 。 （9） A网上冲浪 B中间人攻击 CDDoS攻击 DMAC攻击答案：（9）C 网络安全设计是保证网络安全运行的基础，网络安全设计有其基本的设计原则，以下有关于网络安全设计原则的描述，错误的是 （10） 。 （10） A网络安全的“木桶原则”强调对信息均衡、全面地进行保护 B良好的等级划分，是实现网络安全的保障 C网络安全系统设计应独立进行，不需要考虑网络结构 D网络安全系统应该以不影响系统正常运行为前提答案：（10）C 许多黑客利用软件实现中的缓冲区溢出漏洞进行攻击，对于这一威胁，最可靠的解决方案是 （11） 。（11）A安装
4、防火墙 B安装用户认证系统 C安装相关的系统补丁软件 D安装防病毒软件答案：（11）C （12） 无法有效防御DDoS攻击。（12）A根据IP地址对数据包进行过滤 B为系统访问提供更高级别的身份认证C安装防病毒软件D使用工具软件检测不正常的高流量答案：（12）C IPSec VPN安全技术没有用到 （13） 。（13）A隧道技术 B加密技术 C入侵检测技术 D身份认证技术答案：（13）C DES是一种 （14） 算法。（14）A共享密钥 B公开密钥 C报文摘要 D访问控制答案：（14）A 包过滤防火墙通过 （15） 来确定数据包是否能通过。（15）A路由表 BARP表 CNAT表 D过滤规则答
5、案：（15）D 目前在网络上流行的“熊猫烧香”病毒属于 （16） 类型的病毒。（16）A目录 B引导区 C蠕虫 DDOS答案：（16）C 多形病毒指的是 （17） 的计算机病毒。（17）A可在反病毒检测时隐藏自己 B每次感染都会改变自己 C可以通过不同的渠道进行传播 D可以根据不同环境造成不同破坏答案：（17）B Needham-Schroeder协议是基于 （18） 的认证协议。（18）A共享密钥 B公钥 C报文摘要 D数字证书答案：（18）A 某web网站向CA申请了数字证书。用户登录该网站时，通过验证 （19） ，可确认该数字证书的有效性，从而 （20） 。（19）ACA的签名 B网站的
6、签名 C会话密钥 DDES密码（20）A向网站确认自己的身份 B获取访问网站的权限C和网站进行双向认证 D验证该网站的真伪答案：（19）A （20）D 实现VPN的关键技术主要有隧道技术、加解密技术、 （21） 和身份认证技术。如果需要在传输层实现VPN，可选的协议是 （22） 。（21）A入侵检测技术 B病毒防治技术C安全审计技术 D密钥管理技术（22）AL2TP BPPTPCTLS DIPSec答案：（21）D （22）C 在进行金融业务系统的网络设计时，应该优先考虑 （23） 原则。在进行企业网络的的需求分析时，应该首先进行 （24） 。（23）A先进性 B开放性C经济性 D高可用性（2
7、4）A企业应用分析 B网络流量分析C外部通信环境调研 D数据流向图分析答案：（23）D （24）A ARP木马利用感染主机向网络发送大量虚假ARP报文.例如：向被攻击主机发送的虚假ARP报文中，目的IP地址为 （25） 。目的MAC地址为 （26） 。这样会将同网段内其他主机发往网关的数据引向发送虚假ARP报文的机器，并抓包截取用户口令信息。（25）A网关IP地址 B感染木马的主机IP地址C网络广播IP地址 D被攻击主机IP地址（26）A网关MAC地址 B被攻击主机MAC地址C网络广播MAC地址 D感染木马的主机MAC地址答案：（25）A （26）D 下面的选项中，属于传输层安全协议的是 （2
8、7） 。（27）AIPsec BL2TP CTLS DPPTP答案：（27）C 某银行为用户提供网上服务，允许用户通过浏览器管理自己的银行账户信息。为保障通信的安全，该Web服务器可选的协议是 （28） 。（28）APOP BSNMP CHTTP DHTTPS答案：（28）D （29） 是错误的网络设备选型原则。（29）A选择网络设备，应尽可能地选择同一厂家的产品B为了保证网络性能，应尽可能地选择性能高的产品C核心设备的选取要考虑系统日后的扩展性D核心设备选取要充分其可靠性答案：（29）B 数字签名功能不包括 （30） 。（30）A防止发送方的抵赖行为 B发送方身份确认C接收方身份确认 D保证
9、数据的完整性答案：（30）C “TCP SYN Flooding”建立大量处于半连接状态的TCP连接，其攻击目标是网络的 （31） 。（31）A保密性 B完整性 C真实性 D可用性答案：（31）D TCP/IP在多个层次引入了安全机制，其中TLS协议位于 （32） 。（32）A数据链路层 B网络层 C传输层 D应用层答案：（32）C 计算机感染特洛伊木马后的典型现象是 （33） 。（33）A程序异常退出 B有未知程序试图建立网络连接C邮箱被垃圾邮件填满 DWindows系统黑屏答案：（33）B 下列安全协议中， （34） 能保证交易双方无法抵赖。（34）ASET BHTTPS CPGP DMO
10、SS答案：（34）A 下面关于网络系统设计原则的说法中，正确的是 （35） 。（35）A网络设备应该尽量采用先进的网络设备，获得最高的网络性能B网络总体设计过程中，只需要考虑近期目标即可，不需要考虑扩展性C网络系统应采用开放标准和技术D网络需求分析独立于应用系统的需求分析答案：（35）C ISMS的过程方法采用 （36） 模型。（36）ADCPA BDPAC CPDCA DCAPD答案：（36）C “根据授权实体的要求可访问和利用的特性”是指ISMS的 （37） 。（37）A可靠性 B可访问性 C可用性 D保密性答案：（37）C “信息不能被未授权的个人，实体或者过程利用或知悉的特性”是指其
11、（38） 。（38）A可靠性 B可访问性 C可用性 D保密性答案：（38）D “保护资产的准确和完整的特性”是指其 （39） 。（39）A可靠性 B准确性 C可用性 D完整性答案：（39）D 识别风险不包括 （40） 。（40）A识别ISMS范围内的资产及其责任人B识别资产所面临的威胁C识别威胁发生的形式与时间D识别丧失保密性、完整性和可用性可能对资产造成的影响答案：（40）C 以下 （41） 不属于分析和评价风险的内容。（41）A识别ISMS范围内的资产及其责任人。B在考虑丧失资产的保密性、完整性和可用性所造成的后果的情况下，评估安全失误可能造成的对组织的影响。C评估由主要威胁和脆弱点导致安
12、全失误的现实可能性、对资产的影响以及当前所实施的控制措施。D估计风险的级别。答案：（41）A 风险处理的可选措施不包括 （42） 。（42）A采用适当的控制措施以降低风险。B、采取一切可能的措施消除所有风险。C、避免风险。D、将相关业务风险转移到其他方，如：保险，供应商等。答案：（42）B ISMS实施和运行的工作不包括 （43） 。（43）A制定风险处理计划。B、实施风险处理计划以达到已识别的控制目标，包括资金安排、角色和职责的分配。C、为处理风险选择控制目标和控制措施。D、确定如何测量所选择的控制措施或控制措施集的有效性，并指明如何用来评估控制措施的有效性，以产生可比较的和可再现的结果。答
13、案：（42）C “决定不卷入风险处境或从风险处境中撤出”是指 （43） 。（43）A风险接受 B风险降低 C风险转移 D风险回避答案：（43）D “在决策者或其他利益相关方之间交换或共享有关风险的信息”是指 （44） 。（44）A风险沟通 B风险协商 C风险转移 D风险认识答案：（44）A 在开发风险可接受准则时，以下 （45） 不是应该考虑的内容。（45）A风险接受准则可以包括带有风险期望目标级别的多道门槛，提交给高层管理者接受的风险绝对不应该超出该级别。B、风险可接受准则可以用估算收益（或业务收益）与估算风险的比值来描述。C、对不同类型的风险可以采用不同的风险接受准则D、风险接受准则可以包
14、括下一步的补充处置要求答案：（45）A判断题40题（1）X.509数字证书中的签名字段是指用户对自己证书的签名 （ ）答案：（2）HTTPS是一种安全的HTTP协议，它使用IPSec来保证信息安全 （ ）答案：（3）安全套接层协议（SSL）是在应用层和传输层之间增加的安全机制可以用SSL在任何网络上建立虚拟专用网 （ ）答案：（4）安全套接层协议（SSL）的缺点是进行服务器端对客服端的单向身份认证（ ）答案：（5）安全IP协议（IPSec）通过认证头（AH）提供无连接的数据完整性和数据源认证、数据机密性保护和抗重发攻击服务 （ ）答案：（6）当IPSec处于传输模式时，报文不仅在主机到网关之间
15、的通路上进行加密，而且在发送方和接收方之间的所有通路上都要加密 （ ）答案：（7）嗅探器可以使网络接口处于杂收模式，在这种模式下，网络接口能够接收流经网络接口的所有数据帧。 （ ）答案：（8）ARP木马利用地址解析协议设计之初没有任何验证功能这一漏洞而实施破坏。（ ）答案：（9）ISMS规划阶段的主要任务是建立与管理风险和改进信息安全有关的ISMS方针、目标、过程和程序，以提供与组织总方针和总目标相一致的结果。（ ）答案：（10）ISMS实施阶段的主要任务是实施和运行ISMS方针、控制措施、过程和程序。（ ）答案：（11）ISMS检查阶段的主要任务是对照ISMS方针、目标和实践经验，评估并在适
16、当时，测量过程的执行情况，并将结果报告管理者以供评审。（ ）答案：（12）ISMS处置阶段的主要任务是基于ISMS内部审核和管理评审的结果或者其他相关信息，采取纠正和预防措施，以持续改进ISMS。（ ）答案：（13）ISMS处置阶段的主要任务是对发现的安全事件进行及时处置，避免造成更大的损失。（ ）答案：（14）ISMS检查阶段的主要任务是根据制订的ISMS策略和技术，发现和检查各种的安全问题。（ ）答案：（15）ISMS实施阶段的主要任务是制订和部署ISMS安全策略、过程和程序，实施和运行ISMS控制措施、过程和程序。（ ）答案：（16）ISMS规划阶段的主要任务是根据组织能够获取的安全技术
17、和产品，建立与管理风险和改进信息安全有关的ISMS方针、目标、过程和程序。（ ）答案：（17）ISMS的目标是根据组织对信息安全方面的要求和期望，实现受控的信息安全。（ ）答案：（18）信息安全的可用性是指根据授权实体的要求可访问和利用的特性。（ ）答案：（19）ISMS是整个管理体系的一部分。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。（ ）答案：（20）信息安全事态是指系统、服务或网络的一种可识别的状态的发生，它可能是对信息安全策略的违反或防护措施的失效，或是和安全关联的一个先前未知的状态。（ ）答案：（21）信息安全事件由单个的或一系列的有害或意外信息安全
18、事态组成，它们具有损害业务运作和威胁信息安全的极大的可能性。（ ）答案：（22）风险评价是将估计的风险与给定的风险准则加以比较以确定风险严重性的过程。（ ）答案：（23）风险管理是指导和控制一个组织相关风险的协调活动，采取风险处理措施，消除和转移所有风险的过程。（ ）答案：（24）风险管理是选择并且执行措施来更改风险的过程。（ ）答案：（25）风险评估的主要工作是：评估由主要威胁和脆弱点导致安全失误的现实可能性、对资产的影响以及当前所实施的控制措施。（ ）答案：（26）实施培训和意识教育计划是ISMS实施阶段的重要工作。（ ）答案：（27）制定风险处理计划是ISMS实施阶段的重要工作。（ ）答
19、案：（28）ISMS工作小组建议的残余风险必须获得管理者的批准。（ ）答案：（29）组织应该确定如何测量所选择的控制措施或控制措施集的有效性，并指明如何用来评估控制措施的有效性，以产生可比较的和可再现的结果。（ ）答案：（30）在ISMS规划阶段，ISMS工作小组必须制定风险处理计划。（ ）答案：（31）ISMS审核员的选择和审核的实施应确保审核过程的客观性和公正性，因此审核员不应审核自己的工作。（ ）答案：（32）ISO/IEC 27001规定“组织声称符合本标准时，对于4、5、6、7和8章的要求不能删减。”，这意味着各种类型、规模和特性的组织都应该采用相同的ISMS管理和技术策略。（ ）答
20、案：（33）ISO/IEC 27001依据安全技术的最新环境，为建立、实施、运行、监视、评审、保持和改进文件化的ISMS规定了要求。（ ）答案：（34）ISO/IEC 27001规定“组织声称符合本标准时，对于4、5、6、7和8章的要求不能删减。”，这意味着如果删减了任何控制措施，都不能声称符合该标准。（ ）答案：（35）ISO/IEC 27005为组织的信息安全风险管理提供指南，但不会提供任何特定的信息安全风险管理方法。（ ）答案：（36）风险降低就是要采取行动降低风险发生的可能性或减轻负面后果，或同时降低风险发生的可能性和减轻负面后果。（ ）答案：（37）风险管理分析，是在决定应该做什么和
21、什么时候做之前分析可能发生什么以及可能的后果是什么，以将风险降低到可以接受的级别。（ ）答案：（38）ISO/IEC 27002提出的信息安全管理实用规则仅仅是指南性规则，不涉及实施信息安全管理的具体技术。（ ）答案：（39）管理者应根据业务目标制定清晰的方针指导，并通过在整个组织中颁布和维护信息安全方针来表明对信息安全的支持和承诺。答案：（40）ISMS进行信息安全事件管理时，应有正式的事态报告和上报程序。所有雇员、承包方人员和第三方人员都应了解用来报告可能对组织的资产安全造成影响的不同类型的事态和弱点的程序。应要求他们尽可能快地将信息安全事态和弱点报告给指定的联系点。答案：多选题30题 数
22、字证书采用公钥体制进行加密和解密。每个用户有一个私钥，用它进行 （1） ；同时每个用户还有一个公钥，用于 （2） 。（1）A解密B签名C加密D加密（2）A解密B签名C加密D加密答案：（1）A、B （2）C、D 下面关于数字签名的说法正确的是 （3） 。 （3 ）A能够保证信息传输过程中的保密性B能够对发送者的身份进行认证C如果接收者对报文进行了篡改，会被发现D网络中的某一用户不能冒充另一用户作为发送者或接收者 答案：（3）B、C、D 802.11b 定义了无线网的安全协议 WEP （Wired Equivalent Privacy）。以下关于 WEP 的描述中，正确的是 （4） 。（4 ）AW
23、EP使用RC4流加密协议BWEP支持40位密钥和128位密钥CWEP支持端到端的加密与认证DWEP是一种对称密钥机制答案：A、B、D （5） 属于将入侵检测系统部署在DMZ中的优点。 （5） A可以查到受保护区域主机被攻击的状态 B可以检测防火墙系统的策略配置是否合理 C可以检测DMZ被黑客攻击的重点 D可以审计来自Internet上对受到保护网络的攻击类型答案：A、B、C DNS系统对于网络的正常运行是至关重要的，以下措施中可以增强DNS安全的是 （6） 。 （6） A使用防火墙控制对DNS的访问 B避免DNS的HINFO记录被窃取 C更改DNS的端口号 D限制区域传输答案：A、B、D 乙收
24、到了地址为甲的含数字签名的邮件，他可以通过验证数字签名来确认的信息有（7） 。 （7） A邮件在传送过程中是否加密 B邮件中是否含病毒 C邮件是否被篡改 D邮件的发送者是否是甲答案：C、D 以下关于报文摘要的说法中正确的有 （8） 。 （8） A不同的邮件很可能生成相同的摘要B由邮件计算出其摘要的时间非常短C由邮件计算出其摘要的时间非常长D摘要的长度比输入邮件的长度长E不同输入邮件计算出的摘要长度相同F仅根据摘要很容易还原出原邮件答案：B、E 关于网络安全，以下说法错误的是 （9） 。（9） A使用无线传输可以防御网络监听B木马是一种蠕虫病毒C使用防火墙可以有效地防御病毒D冲击波病毒利用Win
25、dows的RPC漏洞进行传播答案：A、B、C 下列行为不属于网络攻击的是 （10） 。（10） A连续不停Ping某台主机 B发送带病毒和木马的电子邮件C向多个邮箱群发一封电子邮件D暴力破解服务器密码答案：A、B、D 安全电子邮件协议PGP支持 （11） 。（11）A确认发送者的身份 B确认电子邮件未被修改C防止非授权者阅读电子邮件 D压缩电子邮件大小答案：A、B、C、D 在Windows XP中用事件查看器查看日志文件，可看到的日志包括 （12） 。（12）A用户访问日志 B应用程序日志 C安全性日志D网络连接日志 E服务日志 F系统日志答案： B、C、F 常用对称加密算法包括 （13） 。
26、（13）ADES BRC-5 CIDEA DRSA答案：（13）A、B、C IPSec为TCP/IP通信提供访问控制、 （14） 、数据源验证、抗重放等多种安全服务。IPSec的两种工作模式分别是 （15） 。A、机密性 B、可用性 C、抗病毒性 D、数据完整性E、传输模式 F、单通道模式 G、多通道模式 H、隧道模式答案：（14）A、D （15）E、H ISMS强调以下 （16） 几方面的重要性。A、理解组织的信息安全要求和建立信息安全方针与目标的需要；B、从组织整体业务风险的角度，实施和运行控制措施，以管理组织的信息安全风险；C、监视和评审ISMS的执行情况和有效性；D、基于客观测量的持续
27、改进。答案：（16）A、B、C、D 信息安全的目标是保证信息的 （17） 。A、保密性 B、完整性 C、可用性 D、真实性E、可核查性 F、不可否认性 G、可靠性 H、无冗余性答案：（17）A、B、C、D、E、F、G 在确立ISMS方针时，应该 （18） 。A、包括设定目标的框架和建立信息安全工作的总方向和原则B、考虑业务和法律法规的要求，及合同中的安全义务C、在组织的战略性风险管理环境下，建立和保持ISMSD、建立风险评价的准则E、获得管理者批准答案：（18）A、B、C、D、E ISMS确定组织的风险评估方法时，必须 （19） 。A、识别适合ISMS、已识别的业务信息安全和法律法规要求的风险
28、评估方法B、制定风险转移的方法C、制定降低风险的方法和策略D、制定接受风险的准则，识别可接受的风险级别答案：（19）A、D 识别风险的范围包括 （20） 。A、识别ISMS范围内的资产及其责任人B、识别资产所面临的威胁C、识别可能被威胁利用的脆弱点D、识别丧失保密性、完整性和可用性可能对资产造成的影响答案：（20）A、B、C、D 风险处理的可选措施包括 （21） 。A、采用适当的控制措施以降低风险B、在明显满足组织方针策略和接受风险的准则的条件下，有意识地、客观地接受风险C、避免风险D、将相关业务风险转移到其他方，如：保险，供应商等答案：（21）A、B、C、D ISMS实施和运行的工作包括 （22） 。A制定风险处理计划。B、实施风险处理计划以达到已识别的控制目标，包括资金安排、角色和职责的分配。C、为处理风险选择控制目标和控制措施。D、确定如何测量所选择的控制措施或控制措施集的有效性，并指明如何用来评估控制措施的有效性，以产生可比较的和可再现的结果。答案：（22）A、B、D 在监视和评审ISMS时，应当考虑以下 （23） 方面的变化。A组织。B、技术。C、业务目标和过程。D、社会环境的变化。答案：（23）A、B、C、D 在监视和评审ISMS时，组织需要执行监视与评审程序和其它
