1.某公司准备在业务环境中部署一种新的计算机产品，下列哪一项是授权过程的最后一步？A．认证B．定级C．认可D．识别答案：C2.下列哪一项准确地描述了可信计算基（TCB）？A．TCB只作用于固件（Firmware）B．TCB描述了一个系统提供的安全级别C．TCB描述了一个系统内部的保护机制D．TCB通过安全标签来表示数据的敏感性答案：C3.下列哪一项安全机制是一个抽象机，不但确保主体拥有必要的访问权限，而且确保对客体不会有未经授权的访问以及破坏性的修改行为？A．安全核心B．可信计算基C．引用监视器D．安全域答案：C4.安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？A．Biba模型中的不允许向上写B．Biba模型中的不允许向下读C．Bell-LaPadula模型中的不允许向下写D．Bell-LaPadula模型中的不允许向上读答案：D5.为了防止授权用户不会对数据进行未经授权的修改，需要实施对数据的完整性保护，下列哪一项最好地描述了星或（*-）完整性原则？A．Bell-LaPadula模型中的不允许向下写B．Bell-LaPadula模型中的不允许向上读C．Biba模型中的不允许向上写D．Biba模型中的不允许向下读答案：C6.某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？A．Bell-LaPadula模型B．Biba模型C．信息流模型D．Clark-Wilson模型答案：D7.作为一名信息安全专业人员，你正在为某公司设计信息资源的访问控制策略。
由于该公司的人员流动性较大，你准备根据用户所属的组以及在公司中的职责来确定对信息资源的访问权限，最应该采用下列哪一种访问控制模型？A．自主访问控制（DAC）B．强制访问控制（MAC）C．基于角色访问控制（RBAC）D．最小特权（Least Privilege）答案：C8.下列哪一种访问控制模型是通过访问控制矩阵来控制主体与客体之间的交互？A．强制访问控制（MAC）B．集中式访问控制（Decentralized Access Control）C．分布式访问控制（Distributed Access Control）D．自主访问控制（DAC）答案：D9.下列哪一项最好地描述了消息认证码、哈希算法、数字签名和对称密钥分别提供的功能？A．系统认证和完整性，完整性，真实性和完整性，机密性和完整性B．用户认证和完整性，完整性，真实性和完整性，机密性C．系统认证和完整性，完整性，真实性和完整性，机密性D．系统认证和完整性，完整性和机密性，真实性和完整性，机密性答案：C10.IPSec中包括AH（认证头）和ESP（封装安全载荷）这2个主要协议，其中AH提供下列哪些功能？A．机密性与认证B．机密性与可靠性C．完整性与可靠性D．完整性与认证答案：D11.关于对称加密算法和非对称加密算法，下列哪一种说法是正确的？A．对称加密算法更快，因为使用了替换密码和置换密码B．对称加密算法更慢，因为使用了替换密码和置换密码C．非对称加密算法的密钥分发比对称加密算法更困难D．非对称加密算法不能提供认证和不可否认性答案：A12.数字签名不能提供下列哪种功能？A．机密性B．完整性C．真实性D．不可否认性答案：A13.电子邮件的机密性与真实性是通过下列哪一项实现的？A．用发送者的私钥对消息进行签名，用接收者的公钥对消息进行加密B．用发送者的公钥对消息进行签名，用接收者的私钥对消息进行加密C．用接收者的私钥对消息进行签名，用发送者的公钥对消息进行加密D．用接收者的公钥对消息进行签名，用发送者的私钥对消息进行加密答案：A14.下列哪一项不属于公钥基础设施（PKI）的组件？A．CRLB．RAD．CA答案：C15.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于那一种攻击？A．重放攻击B．Smurf攻击C．字典攻击D．中间人攻击答案：D16.一个典型的公钥基础设施（PKI）的处理流程是下列选项中的哪一个？（1）接收者解密并获取会话密钥（2）发送者请求接收者的公钥（3）公钥从公钥目录中被发送出去（4）发送者发送一个由接收者的公钥加密过的会话密钥A．4，3，2，1B．2，1，3，4C．2，3，4，1D．2，4，3，1答案：C17.下列哪一项最好地描述了SSL连接机制？A．客户端创建一个会话密钥并用一个公钥来加密这个会话密钥B．客户端创建一个会话密钥并用一个私钥来加密这个会话密钥C．服务器创建一个会话密钥并用一个公钥来加密这个会话密钥D．服务器创建一个会话密钥并用一个私钥来加密这个会话密钥答案：A18.一名攻击者试图通过暴力攻击来获取下列哪一项信息？A．加密密钥B．加密算法C．公钥D．密文答案：A19.不同类型的加密算法使用不同类型的数学方法，数学方法越复杂，计算所需要的资源就越高。
下列哪一种非对称加密算法因需要最少的资源而具有最高效率？A．RSAB．ECCC．BlowfishD．IDEA答案：B20.在对消息的发送者进行认证时，下列哪一项安全机制是最可靠的？A．数字签名B．非对称加密算法C．数字证书D．消息认证码21.TACACS+协议提供了下列哪一种访问控制机制？A．强制访问控制B．自主访问控制C．分布式访问控制D．集中式访问控制答案：D22.下列哪一项能够被用来检测过去没有被识别过的新型攻击？A．基于特征的IDSB．基于知识的IDSC．基于行为的IDSD．专家系统答案：C23.下列哪种类型的IDS能够监控网络流量中的行为特征，并能够创建新的数据库？A．基于特征的IDSB．基于神经网络的IDSC．基于统计的IDSD．基于主机的IDS答案：B24.访问控制模型应遵循下列哪一项逻辑流程？A．识别，授权，认证B．授权，识别，认证C．识别，认证，授权D．认证，识别，授权答案：C25.在对生物识别技术中的错误拒绝率（FRR）和错误接收率（FAR）的定义中，下列哪一项的描述是最准确的？A．FAR属于类型I错误，FRR属于类型II错误B．FAR是指授权用户被错误拒绝的比率，FRR属于类型I错误C．FRR属于类型I错误，FAR是指冒充者被拒绝的次数D．FRR是指授权用户被错误拒绝的比率，FAR属于类型II错误答案：D26.某单位在评估生物识别系统时，对安全性提出了非常高的要求。
据此判断，下列哪一项技术指标对于该单位来说是最重要的？A．错误接收率（FAR）B．平均错误率（EER）C．错误拒绝率（FRR）D．错误识别率（FIR）答案：A27.下列哪种方法最能够满足双因子认证的需求？A．智能卡和用户PINB．用户ID与密码C．虹膜扫描和指纹扫描D．磁卡和用户PIN28.在Kerberos结构中，下列哪一项会引起单点故障？A．E-Mail服务器B．客户工作站C．应用服务器D．密钥分发中心（KDC）答案：D29.在下列哪一项访问控制技术中，数据库是基于数据的敏感性来决定谁能够访问数据？A．基于角色访问控制B．基于内容访问控制C．基于上下文访问控制D．自主访问控制答案：B30.从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？A．屏蔽路由器B．双宿堡垒主机C．屏蔽主机防火墙D．屏蔽子网防火墙答案：D31.下列哪一项能够最好的保证防火墙日志的完整性？A．只授予管理员访问日志信息的权限B．在操作系统层获取日志事件C．将日志信息传送到专门的第三方日志服务器D．在不同的存储介质中写入两套日志答案：C32.数据库管理员在检查数据库时发现数据库的性能不理想，他准备通过对部分数据表实施去除规范化（denormanization）操作来提高数据库性能，这样做将增加下列哪项风险？A．访问的不一致B．死锁C．对数据的非授权访问D．数据完整性的损害答案：D33.下列哪一项不是一种预防性物理控制？A．安全警卫B．警犬C．访问登记表D．围栏答案：C34.当一名入侵者紧跟着一位授权人员，在没有经过访问控制系统认证的情况下通过入口的行为称为：A．冒充B．尾随C．截获D．欺骗答案：B35.在数据中心环境中，下列哪一种灭火系统最应该被采用？A．干管喷淋灭火系统B．湿管喷淋灭火系统C．Halon灭火系统D．二氧化碳气体答案：A36.执行一个Smurf攻击需要下列哪些组件？A．攻击者，受害者，放大网络B．攻击者，受害者，数据包碎片，放大网络C．攻击者，受害者，数据包碎片D．攻击者，受害者，带外数据答案：A37.下列哪种渗透性测试对有效的评估一个组织对事件处理和响应的能力？A．目标测试B．外部测试C．内部测试D．双盲测试答案：D38.下列哪一项准确地描述了脆弱性、威胁、暴露和风险之间的关系？A．脆弱性增加了威胁，威胁利用了风险并导致了暴露B．风险引起了脆弱性并导致了暴露，暴露又引起了威胁C．暴露允许威胁利用脆弱性，并导致了风险D．威胁利用脆弱性并产生影响的可能性称为风险，暴露是威胁已造成损害的实例39.某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？A．部门经理B．高级管理层C．信息资产所有者D．最终用户答案：C40.下列哪一项最准确地描述了定量风险分析？A．通过基于场景的分析方法来研究不同的安全威胁B．一种将潜在的损失以及进行严格分级的分析方法C．在风险分析时，将货币价值赋给信息资产D．一种基于主观判断的风险分析方法答案：C41.为什么一个公司内部的风险评估团队应该由来自不同部门的人员组成？A．确保风险评估过程是公平的B．因为风险正是由于这些来自不同部门的人员所引起的，因此他们应该承担风险评估的职责C．因为不同部门的人员对本部门所面临的风险最清楚，由此进行的风险评估也最接近于实际情况D．风险评估团队不应该由来自不同部门的人员组成，而应该由一个来自公司外部的小型团队组成答案：C42.下列哪一项准确定义了安全基线？A．指明应该做什么和不应该做什么的规定B．最低水平的安全需求C．安全措施的操作手册D．安全建议答案：B43.组织在实施与维护信息安全的流程中，下列哪一项不属于高级管理层的职责？A．明确的支持B．执行风险分析C．定义目标和范围D．职责定义与授权答案：B44.实施安全程序能够加强下列所有选项，除了：A．数据完整性B．安全意识教育C．数据准确性D．保护资产答案：C45.下列哪一项准确地描述了标准、基线、指南和规程的定义？A．标准是完成某项任务的详细步骤，规程是建议性的操作指导B．基线是强制性的规定，指南是建议性的操作指导C．标准是强制性的规定，规程是完成某项任务的详细步骤D．规程是建议性的操作指导，基线是必须具备的最低安全水平答案：C46.剩余风险应该如何计算？A．威胁×风险×资产价值B．（威胁×资产价值×脆弱性）×风险C．单次损失值×频率D．（威胁×脆弱性×资产价值）×控制空隙答案：D47.下列哪一项准确地定义了风险评估中的三个基本步骤？A．（1）识别风险；（2）评估风险；（3）消减风险。