41.有关系统安全工程-能力成熟度模型( )中基本实施( )正确的理解是:

A. 　信息系统审计,也可称作 IT 审计或信息系统控制审计

B. 　信息系统审计是一个获取并评价证据的过程,审计对象是信息系统相关控制, 审计目标则是判断信息系统是否能够保证其安全性、可靠性、经济性以及数据的真实性、完整性等相关属性

C. 　信息系统审计是单一的概念, 是对会计信息系统的安全性、有效性进行检查

D. 　从信息系统审计内容上看, 可以将信息系统审计分为不同专项审计, 例如安全审计、项目合规审计、绩效审计等

A. 　渗透测试以攻击者的思维模拟真实攻击,能发现如配置错误等运行维护期产生的漏洞

B. 　渗透测试是用软件代替人工的一种测试方法,因此测试效率更高

C. 　渗透测试使用人工进行测试,不依赖软件,因此测试更准确

D. 　渗透测试中必须要查看软件源代码,因此测试中发现的漏洞更多

A. 　通过把 SQL 命令插入到 web 表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的 SQL 命令

B. 　攻击者在远程 WEB 页面的 HTML 代码中插入具有恶意目的的数据,用户认为该页面是可信赖的,但是当浏览器下载该页面,嵌入其中的脚本将被解释执行。

C. 　当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上

D. 　信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中,有意或无意产生的缺陷

A. 　密码协议(cryptographic protocol),有时也称安全协议(security protocol),是使用密码学完成某项特定的任务并满足安全需求的协议,其目的是提供安全服务

B. 　根据密码协议应用目的的不同,参与该协议的双方可能是朋友和完全信任的人,也可能是敌人和互相完全不信任的人

C. 　在实际应用中,密码协议应按照灵活性好、可扩展性高的方式制定,不要限制和框住所有的执行步骤,有些复杂的步骤可以不明确处理方式

D. 　密码协议定义了两方或多方之间为完成某项任务而指定的一系列步骤,协议中的每个参与方都必须了解协议,且按步骤执行

A. 　该文件是一个正常文件,test 用户使用的 shell,test 不能读该文件,只能执行

B. 　该文件是一个正常文件,是 test 用户使用的 shell,但 test 用户无权执行该文件

C. 　该文件是一个后门程序,该文件被执行时,运行身份是 root ,test 用户间接获得了 root权限

D. 　该文件是一个后门程序,由于所有者是 test,因此运行这个文件时文件执行权限为 test

A. 　让系统自己处理异常

B. 　调试方便,应该让更多的错误更详细的显示出来

C. 　捕获错误,并抛出前台显示

D. 　捕获错误,只显示简单的提示信息,或不显示任何信息

A. 　该文件是一个由部委发布的政策性文件,不属于法律文件

B. 　该文件适用于 2004 年的等级保护工作,其内容不能约束到 2005 年及之后的工作

C. 　该文件是一个总体性指导文件,规定所有信息系统都要纳入等级保护定级范围

D. 　该文件适用范围为发文的这四个部门,不适用于其他部门和企业等单位

A. 　信息安全事件的种类很多,严重程度不尽相同,其响应和处理方法也应各不相同

B. 　信息安全事件实行分类和分级管理,是有效防范和响应信息安全事件的基础

C. 　能够使事前准备,事中应对和事后处理的各项相关工作更具针对性和有效性

D. 　我国早期的计算机安全事件的应急响应工作主要包括计算机病毒防范和”千年虫”问题的解决,关于网络安全应急响应的起步最早。

A. 　通过信息安全培训,使相关信息发布人员了解信息收集的风险

B. 　发布信息应采取最小原则,所有不是必要的信息都不发布

C. 　重点单位应建立信息发布审查机制,对发布的信息进行审核,避免敏感信息的泄露

D. 　增加系统中对外服务的端口数量, 提高会话效率

A. 　明确业务对信息安全的要求

B. 　识别来自法律法规的安全要求

C. 　论证安全要求是否正确完整

D. 　通过测试证明系统的功能和性能可以满足安全要求