《2024年度广西壮族自治区注册信息安全专业人员题库与答案》由会员分享，可在线阅读，更多相关《2024年度广西壮族自治区注册信息安全专业人员题库与答案（25页珍藏版）》请在金锄头文库上搜索。
1、2024年度广西壮族自治区注册信息安全专业人员题库与答案一单选题(共60题)1、以下Windows系统的账号存储管理机制SAM(Security Accoumts Manager)的说法哪个是正确的() A. 存储在注册表中的账号数据是管理员组用户都可以访问，具有较高的安全性 B. 存储在注册表中的账号数据只有administrator账户才有权访问，具有较高的安全性 C. 存储在注册表中的账号数据任何用户都可以直接访问，灵活方便 D. 存储在注册表中的账号数据只有System账号才能访问，具有较高的安全性 试题答案:D 2、在测试中使用清洁真实的交易数据的优点在于()。 A. 可以包括所有交
2、易类型 B. 每种错误情况都可能测试到 C. 评估结果不需要特定的程序 D. 测试交易代表实际处理 试题答案:D 3、当一个新系统要在很短的时间内被实施，最重要的是() A. 完成用户手册的编写 B. 进行用户接受测试 C. 加入最后的增强功能 D. 确保源代码已记录和已复核 试题答案:B 4、作为信息系统审计师你在一次内审过程中，发现生产中心的数据库安全了一个新的补丁程序，但是灾备中心的数据库没有安装这个补丁程序，下一步最适合的行动是()。 A. 记录这个事件 B. 向业务连续经理报告 C. 告知相关人员安装补丁 D. 通知相关人员并询问原因 试题答案:D 5、国家科学技术秘密的密级分为绝密
3、级、机密级、秘密级，以下哪项属于绝密级的描述,() A. 处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的 B. 能够局部反应国家防御和治安实力的 C. 我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺 D. 国际领先，并且对国防建设或者经济建设具有特别重大影响的 试题答案:D 6、SSE-CMM包含六个级别，其中计划与跟踪级着重于()。 A. 规范化地裁剪组织层面的过程定义 B. 项目层面定义、计划和执行问题 C. 测量 D. 一个组织或项目执行了包含基本实施的过程 试题答案:D 7、以下对于蠕虫病毒的描述错误的是()。 A. 蠕虫的传
4、播无需用户操作 B. 蠕虫会消耗内存或网络带宽，导致DOS C. 蠕虫的传播需要通过“宿主”程序或文件 D. 蠕虫程序一般由“传播模块”、“隐藏模块”、“目的功能模块”构成 试题答案:C 8、当检查IT基础设施时，IS审计师发现存储设备在持续增加，那么他应该:() A. 建议使用磁盘镜像 B. 检查异地存储的适当性 C. 检查能力管理的过程 D. 建议使用压缩规则 试题答案:C 9、常见的访问控制模型包括自主访问控制模型、强制访问控制模型和基于角色的访问控制模型等。下面描述中错误的是()。 A. 从安全性等级来看，这三个模型安全性从低到高的排序是自主访问控制模型、强制访问控制模型和基于角色的访
5、问控制模型 B. 自主访问控制是一种广泛的应用方法，资源的所有者(往往也是创造者)可以规定谁有权访问它们的资源，具有较好的易用性和可扩展性 C. 强制访问控制模型要求主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体。该模型具有一定的抗恶意程序攻击能力，适用于专用或安全性要求较高的系统 D. 基于角色的访问控制模型的基本思想是根据用户所担任的角色来决定用户在系统中的访问权限，该模型便于实施授权管理和安全约束，容易实现最小特权、职责分离等各种安全策略 试题答案:A 10、下列哪些可以用来核查输出结果和控制总数,通过匹配输入数据和控制总数()。 A. 批标题表单
6、B. 批量平衡 C. 数据转换错误更正 D. 对于打印缓存的访问控制 试题答案:B 11、小陈在某电器城购买了一台冰箱，并留下了个人姓名、电话在和电子邮件地址等信，第二天他收到了一封来自电器城提示他中奖的邮件上，查看该后他按照提示操作，纳中奖税款后并没有得到中奖奖金，再打电话询问电器城才得知电器城并没有开的活动，在此案例中，下面描述错误的是:() A. 小陈应当注意保护自己的隐私，没有必要告诉别人的信息不要登记不要公布给别人 B. 小陈钱被骗走了，这类网络犯罪案件也应该向公安局报案 C. 邮件服务运营商通过技术手段，可以在一定程度上阻止此类钓鱼事件和哄骗邮件 D. 小陈应当向电器城索赔，追回损
7、失 试题答案:D 12、要支持组织的目标，信息部门应该具有()。 A. 低成本理念 B. 长期和短期计划 C. 领先的技术 D. 购买新的硬件和软件的计划 试题答案:B 13、LINUX系统的/etc目录从功能上看相当于windows的哪个目录,() A. program files B. windows C. system volume information D. TEMP 试题答案:B 14、某购物网站开发项目经过需求分析进入系统设计阶段，项目开发人员决定用户输入的信息，无论是用户名，口令还是查询内容，都需要进行校验或检查，请问以上安全设计遵循的是哪项安全设计原则:() A. 公开设计原
8、则 B. 不信任原则 C. 隐私保护原则 D. 心里可接受程度原则 试题答案:B 15、将输出结果及控制总计和输入数据及控制总计进行匹配可以验证输出结果，以下哪一项能起上述作用,() A. 批量头格式 B. 批量平衡 C. 数据转换差错纠正 D. 对打印池的访问控制 试题答案:B 16、我国的信息安全保障基本原则不是(), A. 正确处理安全与发展的关系，以安全保发展，在发展中求安全 B. 立足国情，以我为主，坚持管理与技术并重 C. 强化未来安全环境，增强研究、开发和教育以及投资先进的技术来构建将来的环境 D. 明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保
9、障体系 试题答案:C 17、在软件测试中使用自下而上方式的优势:() A. 尽早检测到接口 B. 能较早完成系统开发 C. 更早地检测到关键模块的错误 D. 更早地测试主要功能和过程 试题答案:C 18、在风险分析期间，,审计师已经确定了威胁和潜在的影响，下一步，,审计师应该()。 A. 确定并评估管制层使用的风险评估过程 B. 确定信息资产和受影响的系统 C. 发现对管理者的威胁和影响 D. 鉴定和评估现有控制. 试题答案:D 19、一个IS审计师可以验证一个组织的业务连续性计划(BCP)是有效的，依据审查:() A. 与行业最佳实践的BCP一致 B. 对系统和最终用户进行业务连续性测试的结
10、果 C. 异地设施，其内容，安全和环境控制 D. BCP活动的年度财务费用相对于实施该计划的预期收益 试题答案:B 20、信息安全风险管理的最终责任人是(), A. 决策层 B. 管理层 C. 执行层 D. 支持层 试题答案:A 21、测试连接两个或两个以上的系统的组件，信息从一个区域到另一个区域被称为()。 A. Pilot测试 B. 平行测试 C. 接口测试 D. 回归测试 试题答案:C 22、一位负责重大项目的技术主管已从组织离职。项目经理报告在一台可供整个团队访问的服务器上存在可疑系统活动。进行取证调查期间发现以下哪项时最需要引起关注,() A. 没有为系统启用审计日志 B. 仍然存在
11、该技术主管的登录ID C. 系统中安装了间谍软件 D. 系统中安装了木马程序 试题答案:A 23、关于信息安全保障管理体系建设所需要重点考虑的因素，下列说法错误的是() A. 国家、上级机关的相关政策法规要求 B. 组织的业务使命 C. 信息系统面临的风险 D. 项目的经费预算 试题答案:D 24、下列哪项在评价信息系统战略时最重要()。 A. 确保信息系统战略最大化目前和未来信息技术资源的效率和利用。 B. 确保在所有信息系统中考虑信息安全。 C. 确保信息系统战略支持公司愿景和目标。 D. 确保系统管理员为系统能力提供准确的输入。 试题答案:C 25、某网站为了更好向用户提供服务，在新版本
12、设计时提供了用户快捷登录功能，用户如果使用上次的IP地址进行访问，就可以无需验证直接登录，该功能推出后，导致大量用户账号被盗用，关于以上问题的说法正确的是() A. 网站问题是由于开发人员不熟悉安全编码，编写了不安全的代码，导致攻击面增大，产生此安全问题 B. 网站问题是由于用户缺乏安全意识导致，使用了不安全的功能，导致网站攻击面增大，产生此问题 C. 网站问题是由于使用便利性提高，带来网站用户数增加，导致网站攻击面增大，产生此安全问题 D. 网站问题是设计人员不了解安全设计关键要素，设计了不安全的功能，导致网站攻击面增大，产生此问题 试题答案:D 26、下面哪一项不是主机型入侵检测系统的优点
13、,() A. 性能价格比高 B. 视野集中 C. 敏感细腻 D. 占资源少 试题答案:D 27、李在某单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训，一次培训的时候，小李主要负责讲解风险评估方法，请问小李所述论点中错误的是哪项,() A. 风险评估方法包括:定性风险分析，定量风险分析以及半定量风险分析 B. 定性风险分析需要凭借分析者的经验和直觉或者业界的标准和惯例，因此具有随意性 C. 定量风险分析试图在计算风险评估与成本效益分析期间收集的各个组成部分的具体数字值 D. 半定量风险分析技术主要指在风险分析过程中综合使用定性和定量风险分析技术对风险要
14、素的赋值方式，实现对风险各要素的度量数值化 试题答案:B 28、IS审计师在审查信用卡交易程序中推荐加入初始复核控制，该初始复核控制最可能用于:() A. 检验交易类型与与对应信用卡类型是否有效 B. 验证输入卡号的格式并在数据库中查找该卡号 C. 确保输入的交易额在持卡人的信用额度内 D. 在主文件中验证该信用卡没有丢失或被盗 试题答案:B 29、为了解决操作人员未能执行每日备份的风险，管理上要求系统管理员在日常备份上签字。这个例子是一个什么风险,() A. 规避 B. 转移 C. 降低 D. 接受 试题答案:C 30、桥接或透明模式是目前比较流行的防火墙部署方式，这种方式的优点不包括() A. 不需要对原有的网络配置进行修改 B. 性能比较高 C. 防火墙本身不容易受到攻击 D. 易于在防火墙上实现NAT 试题答案:D 31、某政府机构委托开发商开发了一个OA系统，其中有一个公文分发，公文通知等为WORD文档，厂商在进行系统设计时使用了FTP来对公文进行
