46.组织应依照已确定的访问控制策略限制对信息和( )功能的访问。对访问的限制要基于各个业务应用要求,访问控制策略还要与组织访问策略一致。应建立安全登录规程控制实现对系统和应用的访问。宜选择合适的身份验证技术以验证用户身份。在需要强认证和()时,宜使用加密、智能卡、令牌或生物手段等替代密码的身份验证方法。应建立交互式的口令管理系统,并确保使用优质的口令。对于可能覆盖系统和应用的控制措施的实用工具和程序的使用,应加以限制并( )。对程序源代码和相关事项(例如设计、说明书、验证计划和确认计划)的访问宜严格控制,以防引入非授权功能、避免无意识的变更和维持有价值的知识产权的( )。对于程序源代码的保存,可以通过这种代码的中央存储控制来实现,更好的是放在( )中。
A. 应用系统;身份验证;严格控制;保密性;源程序库
B. 身份验证;应用系统;严格控制;保密性;源程序库
C. 应用系统;严格控制;身份验证;保密性;源程序库
D. 应用系统;保密性;身份验证;严格控制;源程序库
解析：解析:教材第 112 页 9.4.5 表格之下的所有部分,到 118 页的最上面一段
https://www.shititong.cn/cha-kan/shiti/0005fc54-66a2-01b8-c0ba-f2840f59e014.html
点击查看答案
2.根据《关于开展信息安全风险评估工作的意见》的规定,错误的是( )
A. 信息安全风险评估分自评估、检查评估两形式,应以检查评估为主, 自评估和检查评估相互结合、互为补充
B. 信息安全风险评估工作要按照”严密组织、规范操作、讲求科学、注重实效‘的原则开展
C. 信息安全风险评估应管贯穿于网络和信息系统建设运行的全过程
D. 开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导
解析：解析:自评为主,检查为辅
https://www.shititong.cn/cha-kan/shiti/0005fc54-653c-b4f8-c0ba-f2840f59e001.html
点击查看答案
16.以下关于网络安全设备说法正确的是() 。
A. 入侵检测系统的主要作用是发现并报告系统中未授权或违反安全策略的行为
B. 安全隔离与信息交换系统也称为网闸,需要信息交换时, 同一时间可以和两个不同安全级别的网络连接
C. 虚拟专用网是在公共网络中,利用隧道技术, 建立一个永久、安全的通信网络
D. 防火墙既能实现内外网物理隔离,又能实现内外网逻辑隔离
解析：解析:B 在需要信息交换时,安全隔离与信息交换系统内部隔离安全交换单元模拟形成开关,同一时间只和一个网络进行连接,不会同时连接两个网络;C 虚拟专用网是在公共网络中,利用隧道技术, 建立一个临时的、安全的网络;D 防火墙不能实现内外网物理隔离。
https://www.shititong.cn/cha-kan/shiti/0005fc54-65f2-f150-c0ba-f2840f59e008.html
点击查看答案
34.IPv4 协议在设计之初并没有过多地考虑安全问题,为了能够使网络方便地进行互联、互通,仅仅依靠 IP 头部的校验和字段来保证 IP 包的安全,因此 IP 包很容易被篡改,并重新计算校验和。IETF 于 1994 年开始制定 IPSec 协议标准,其设计目标是在 IPv4 和 IPv6环境中为网络层流量提供灵活、透明的安全服务,保护 TCP/IP 通信免遭窃听和篡改,保证数据的完整性和机密性,有效抵御网络攻击,同时保持易用性。下列选项中说法错误的是( )
A. 对于 IPv4, IPSec 是可选的,对于 IPv6,IPSec 是强制实施的。
B. IPSec 协议提供对 IP 及其上层协议的保护。
C. IPSec 是一个单独的协议
D. IPSec 安全协议给出了封装安全载荷和鉴别头两种通信保护机制。
解析：解析:IPSec 不是一个单独的协议,它还包括 AH(网络认证协议)、ESP(载荷封装协议)、IKE(密钥管理协议)等。
https://www.shititong.cn/cha-kan/shiti/0005fc54-675f-46d8-c0ba-f2840f59e002.html
点击查看答案
100.灾备指标是指信息安全系统的容灾抗毁能力, 主要包括四个具体指标:恢复时间目标( ).恢复点目标( )降级操作目标( ) 和网络恢复目标( ) ,小华准备为其工作的信息系统拟定恢复点目标 RPO-O,以下描述中, 正确的是() 。
A. RPO-O,相当于没有任何数据丢失, 但需要进行业务恢复处理,覆盖原有信息
B. RPO-O, 相当于所有数据全部丢失, 需要进行业务恢复处理。修复数据丢失
C. RPO-O,相当于部分数据丢失, 需要进行业务恢复处理, 修复数据丢失
D. RPO-O,相当于没有任何数据丢失, 且不需要进行业务恢复处理
https://www.shititong.cn/cha-kan/shiti/0005fc54-65f2-fd08-c0ba-f2840f59e011.html
点击查看答案
65.在新的信息系统或增强已有()业务要求陈述中,应规定对安全控制措施的要求。信息安全的系统要求与实施安全的过程宜在信息系统项目的早期阶段被集成,在早期如设计阶段引入控制措施的更高效和节省。如果购买产品, 则宜遵循一个正式的() 过程。通过()访问的应用易受到许多网络威胁,如欺诈活动、合同争端和信息的泄露或修改。因此要进行详细的风险评估并进行适当的控制,包括验证和保护数据传输的加密方法等,保护在公共网络上的应用服务以防止欺诈行为、合同纠纷以及未经授权的() 。应保护涉及到应用服务交换的信息以防不完整的传输、路由错误、未经授权的改变、擅自披露、未经授权的() 。
A. 披露和修改; 信息系统;测试和获取; 公共网路;复制或重播
B. 信息系统;测试和获取;披露和修改; 公共网路;复制或重播
C. 信息系统;测试和获取;公共网路;披露和修改;复制或重播
D. 信息系统;公共网路; 测试和获取;披露和修改;复制或重播
https://www.shititong.cn/cha-kan/shiti/0005fc54-65f2-f920-c0ba-f2840f59e009.html
点击查看答案
64.TCP/IP 协议就 Internet 最基本的协议,也是 Internet 构成的基础,TCP/IP 通常被认为就是一个 N 层协议,每一层都使用它的下一层所提供的网络服务来完成自己的功能,这里 N 应等于 ()
解析：解析:OSI 7 层和 TCP/IP 四层
https://www.shititong.cn/cha-kan/shiti/0005fc54-653c-bcc8-c0ba-f2840f59e00e.html
点击查看答案
31.PDCA 循环又叫戴明环,是管理学常用的一种模型。关于 PDCA 四个字母,下面理解错误的是( )。
A. D 是 Do,指实施、具体运作,实现计划中的内容
B. P 是 Prepare,指准备,包括明确对象、方法,制定活动规划
C. A 是 Act 或 Adjust,指改进、完善和处理,对总结检查的结果进行处理,对成功的经验加以肯定,并予以标准化,总结失败的教训并加以重视,对没有解决的问题,应该交给下一个 PDCA 循环解决
D. C 是 Check,指检查、总结执行计划的结果,明确效果,找出问题
解析：解析:PDCA(plan-do-check-act 或者 plan-do-check-adjust)循环的 4 个阶段,”策划- 实施-检查-改进”。P94 页。
https://www.shititong.cn/cha-kan/shiti/0005fc54-66a2-01b8-c0ba-f2840f59e005.html
点击查看答案
93.某网盘被发现泄露了大量私人信息,通过第三方网盘搜索引擎可查询到该网盘用户的大量照片、通讯录。盘建议用户使用”加密分享”功能,以避免消息泄露,”加密分享”可以采用以下哪些算法( )。
A. MD5 算法,SHA-1 算法
B. DSA 算法,RSA 算法
C. SHA-1 算法, SM2 算法
D. RSA 算法,SM2 算法
解析：解析:加密分享是通过加密手段进行文件数据的分享,可以加密并解密,MD5、SHA-1 是单项函数用于数据完整性保护, DSA 是一种数字签名的算法,RSA 和SM2 是公钥加密算法。
https://www.shititong.cn/cha-kan/shiti/0005fc54-65f2-fd08-c0ba-f2840f59e00a.html
点击查看答案
13.某网络安全公司基于网络的实时入侵检测技术,动态监测来自于外部网络和内部网络的所有访问行为。当检测到来自内外网络针对或通过防火墙的攻击行为, 会及时响应,并通知防火墙实时阻断攻击源,从而进一步提高了系统的抗攻击能力,更有效地保护了网络资源,提高了防御体系级别。但入侵检测技术不能实现以下哪种功能() 。
A. 防止 IP 地址欺骗
B. 核查系统的配置漏洞,评估系统关键资源和数据文件的完整性
C. 识别违反安全策略的用户活动
D. 检测并分析用户和系统的活动
解析：解析:入侵检测技术不包含防 IP 地址欺骗。
https://www.shititong.cn/cha-kan/shiti/0005fc54-65f2-f150-c0ba-f2840f59e005.html
点击查看答案
