CISP练习测试题

免责声明

文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！！！

1. 某公司准备在业务环境中部署一种新的计算机产品，下列哪一项是授权过程的最后一步？

1. 认证
2. 定级
3. 认可
4. 识别

答案：C

1. 下列哪一项准确地描述了可信计算基（TCB）？

1. TCB只作用于固件（Firmware）
2. TCB描述了一个系统提供的安全级别
3. TCB描述了一个系统内部的保护机制
4. TCB通过安全标签来表示数据的敏感性

答案：C

1. 下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为？

1. 安全核心
2. 可信计算基
3. 引用监视器
4. 安全域

答案：C

1. 安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？

1. Biba模型中的不允许向上写
2. Biba模型中的不允许向下读
3. Bell-LaPadula模型中的不允许向下写
4. Bell-LaPadula模型中的不允许向上读

答案：D

1. 为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则？

1. Bell-LaPadula模型中的不允许向下写
2. Bell-LaPadula模型中的不允许向上读
3. Biba模型中的不允许向上写
4. Biba模型中的不允许向下读

答案：C

1. 某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？

1. Bell-LaPadula模型
2. Biba模型
3. 信息流模型
4. Clark-Wilson模型

答案：D

1. 作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型？

1. 自主访问控制（DAC）
2. 强制访问控制（MAC）
3. 基于角色访问控制（RBAC）
4. 最小特权（Least Privilege）

答案：C

1. 下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？

1. 强制访问控制（MAC）
2. 集中式访问控制（Decentralized Access Control）
3. 分布式访问控制（Distributed Access Control）
4. 自主访问控制（DAC）

答案：D

1. 下列哪一项最好地描述了消息认证码、哈希算法、数字签名和对称密钥分别提供的功能？

1. 系统认证和完整性，完整性，真实性和完整性，机密性和完整性
2. 用户认证和完整性，完整性，真实性和完整性，机密性
3. 系统认证和完整性，完整性，真实性和完整性，机密性
4. 系统认证和完整性，完整性和机密性，真实性和完整性，机密性

答案：C

1. IPSec中包括AH（认证头）和ESP（封装安全载荷）这2个主要协议，其中AH提供下列哪些功能？

1. 机密性与认证
2. 机密性与可靠性
3. 完整性与可靠性
4. 完整性与认证

答案：D

1. 关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？

1. 对称加密算法更快，因为使用了替换密码和置换密码
2. 对称加密算法更慢，因为使用了替换密码和置换密码
3. 非对称加密算法的密钥分发比对称加密算法更困难
4. 非对称加密算法不能提供认证和不可否认性

答案：A

1. 数字签名不能提供下列哪种功能？

1. 机密性
2. 完整性
3. 真实性
4. 不可否认性

答案：A

1. 电子邮件的机密性与真实性是通过下列哪一项实现的？

1. 用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密
2. 用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密
3. 用接收者的私钥对消息进行签名，用发送者的公钥对消息进行加密
4. 用接收者的公钥对消息进行签名，用发送者的私钥对消息进行加密

答案：A

1. 下列哪一项不属于公钥基础设施（PKI）的组件？

1. CRL
2. RA
3. KDC
4. CA

答案：C

1. 如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？

1. 重放攻击
2. Smurf攻击
3. 字典攻击
4. 中间人攻击

答案：D

1. 一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？

（1）接收者解密并获取会话密钥

（2）发送者请求接收者的公钥

（3）公钥从公钥目录中被发送出去

（4）发送者发送一个由接收者的公钥加密过的会话密钥

A．4，3，2，1

B．2，1，3，4

C．2，3，4，1

D．2，4，3，1

答案：C

1. 下列哪一项最好地描述了SSL连接机制？

1. 客户端创建一个会话密钥并用一个公钥来加密这个会话密钥
2. 客户端创建一个会话密钥并用一个私钥来加密这个会话密钥
3. 服务器创建一个会话密钥并用一个公钥来加密这个会话密钥
4. 服务器创建一个会话密钥并用一个私钥来加密这个会话密钥

答案：A

1. 一名攻击者试图通过暴力攻击来获取下列哪一项信息？

1. 加密密钥
2. 加密算法
3. 公钥
4. 密文

答案：A

1. 不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。下列哪一种非对称加密算法因需要最少的资源而具有最高效率？

1. RSA
2. ECC
3. Blowfish
4. IDEA

答案：B

1. 在对消息的发送者进行认证时，下列哪一项安全机制是最可靠的？

1. 数字签名
2. 非对称加密算法
3. 数字证书
4. 消息认证码

答案：C

1. TACACS+协议提供了下列哪一种访问控制机制？

1. 强制访问控制
2. 自主访问控制
3. 分布式访问控制
4. 集中式访问控制

答案：D

1. 下列哪一项能够被用来检测过去没有被识别过的新型攻击？

1. 基于特征的IDS
2. 基于知识的IDS
3. 基于行为的IDS
4. 专家系统

答案：C

1. 下列哪种类型的IDS能够监控网络流量中的行为特征，并能够创建新的数据库？

1. 基于特征的IDS
2. 基于神经网络的IDS
3. 基于统计的IDS
4. 基于主机的IDS

答案：B

1. 访问控制模型应遵循下列哪一项逻辑流程？

1. 识别，授权，认证
2. 授权，识别，认证
3. 识别，认证，授权
4. 认证，识别，授权

答案：C

1. 在对生物识别技术中的错误拒绝率（FRR）和错误接收率（FAR）的定义中，下列哪一项的描述是最准确的？

1. FAR属于类型I错误，FRR属于类型II错误
2. FAR是指授权用户被错误拒绝的比率，FRR属于类型I错误
3. FRR属于类型I错误，FAR是指冒充者被拒绝的次数
4. FRR是指授权用户被错误拒绝的比率，FAR属于类型II错误

答案：D

1. 某单位在评估生物识别系统时，对安全性提出了非常高的要求。据此判断，下列哪一项技术指标对于该单位来说是最重要的？

1. 错误接收率（FAR）
2. 平均错误率（EER）
3. 错误拒绝率（FRR）
4. 错误识别率（FIR）

答案：A

1. 下列哪种方法最能够满足双因子认证的需求？

1. 智能卡和用户PIN
2. 用户ID与密码
3. 虹膜扫描和指纹扫描
4. 磁卡和用户PIN

答案：A

1. 在Kerberos结构中，下列哪一项会引起单点故障？

A．E-Mail服务器

B．客户工作站

C．应用服务器

D．密钥分发中心（KDC）

答案：D

1. 在下列哪一项访问控制技术中，数据库是基于数据的敏感性来决定谁能够访问数据？

1. 基于角色访问控制
2. 基于内容访问控制
3. 基于上下文访问控制
4. 自主访问控制

答案：B

1. 从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？

1. 屏蔽路由器
2. 双宿堡垒主机
3. 屏蔽主机防火墙
4. 屏蔽子网防火墙

答案：D

1. 下列哪一项能够最好的保证防火墙日志的完整性？

1. 只授予管理员访问日志信息的权限
2. 在操作系统层获取日志事件
3. 将日志信息传送到专门的第三方日志服务器
4. 在不同的存储介质中写入两套日志

答案：C

1. 数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范化（denormanization）操作来提高数据库性能，这样做将增加下列哪项风险？

1. 访问的不一致
2. 死锁
3. 对数据的非授权访问
4. 数据完整性的损害

答案：D

1. 下列哪一项不是一种预防性物理控制？

1. 安全警卫
2. 警犬
3. 访问登记表
4. 围栏

答案：C

1. 当一名入侵者紧跟着一位授权人员，在没有经过访问控制系统认证的情况下通过入口的行为称为：

1. 冒充
2. 尾随
3. 截获
4. 欺骗

答案：B

1. 在数据中心环境中，下列哪一种灭火系统最应该被采用？

1. 干管喷淋灭火系统
2. 湿管喷淋灭火系统
3. Halon灭火系统
4. 二氧化碳气体

答案：A

1. 执行一个Smurf攻击需要下列哪些组件？

1. 攻击者，受害者，放大网络
2. 攻击者，受害者，数据包碎片，放大网络
3. 攻击者，受害者，数据包碎片
4. 攻击者，受害者，带外数据

答案：A

1. 下列哪种渗透性测试对有效的评估一个组织对事件处理和响应的能力？

A．目标测试

B．外部测试

C．内部测试

D．双盲测试

答案：D

1. 下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间的关系？

1. 脆弱性增加了威胁，威胁利用了风险并导致了暴露
2. 风险引起了脆弱性并导致了暴露，暴露又引起了威胁
3. 暴露允许威胁利用脆弱性，并导致了风险
4. 威胁利用脆弱性并产生影响的可能性称为风险，暴露是威胁已造成损害的实例

1. 某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？

1. 部门经理
2. 高级管理层
3. 信息资产所有者
4. 最终用户

答案：C

1. 下列哪一项最准确地描述了定量风险分析？

1. 通过基于场景的分析方法来研究不同的安全威胁
2. 一种将潜在的损失以及进行严格分级的分析方法
3. 在风险分析时，将货币价值赋给信息资产
4. 一种基于主观判断的风险分析方法

答案：C

1. 为什么一个公司内部的风险评估团队应该由来自不同部门的人员组成？

1. 确保风险评估过程是公平的
2. 因为风险正是由于这些来自不同部门的人员所引起的，因此他们应该承担风险评估的职责
3. 因为不同部门的人员对本部门所面临的风险最清楚，由此进行的风险评估也最接近于实际情况
4. 风险评估团队不应该由来自不同部门的人员组成，而应该由一个来自公司外部的小型团队组成

答案：C

1. 下列哪一项准确定义了安全基线？

1. 指明应该做什么和不应该做什么的规定
2. 最低水平的安全需求
3. 安全措施的操作手册
4. 安全建议

答案：B