《2022年软考-信息安全工程师考试内容及全真模拟冲刺卷（附带答案与详解）第12期》由会员分享，可在线阅读，更多相关《2022年软考-信息安全工程师考试内容及全真模拟冲刺卷（附带答案与详解）第12期（15页珍藏版）》请在金锄头文库上搜索。
1、2022年软考-信息安全工程师考试内容及全真模拟冲刺卷（附带答案与详解）1. 单选题包过滤技术防火墙在过滤数据包时，一般不关心（ ）。问题1选项A.数据包的源地址B.数据包的目的地址C.数据包的协议类型D.数据包的内容【答案】D【解析】本题考查包过滤的原理。包过滤是在IP层实现的防火墙技术，包过滤根据包的源IP地址、目的地址、源端口、目的端口及包传递方向、传输协议类型等包头信息判断是否允许包通过。一般不关心数据包的内容。故本题选D。点播：发送数据包可以粗略地类比生活中的寄快递包。只需要知道邮寄方地址（源地址）、接收方地址（目的地址）、以及发哪家（顺丰、圆通等）快递（协议类型），即可发送快递，不
2、需要详细了解包裹的内容。2. 单选题以下关于网络钓鱼的说法中，不正确的是（ ）。问题1选项A.网络钓鱼属于社会工程攻击B.网络钓鱼与Web服务没有关系C.典型的网络钓鱼攻击是将被攻击者引诱到一个钓鱼网站D.网络钓鱼融合了伪装、欺骗等多种攻击方式【答案】B【解析】本题考查网络钓鱼相关知识。网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、密码或信用卡详细信息等）的一种攻击方式，最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个过程不会让受害者警觉，它是“
3、社会工程攻击”的一种形式。故本题选B。3. 单选题从网络安全的角度看，网络安全防护系统的设计与实现必须遵守一些基本原则，其中要求网络安全防护系统是一个多层安全系统，避免成为网络中的“单失效点”，要部署有多重防御系统，该原则是（ ）。问题1选项A.纵深防御原则B.木桶原则C.最小特权原则D.最小泄露原则【答案】A【解析】本题考查网络安全的基本设计原则。纵深防御原则要求将安全性应用于网络的不同层，其工作原理是为每个层提供不同类型和程度的保护，以提供多点攻击防护。木桶原理”是指整体安全水平由安全级别最低的部分所决定。最小特权原则是指应限定网络中每个主体所必须的最小特权，确保可能的事故、错误、网络部件
4、的篡改等原因造成的损失最小。最小泄露原则是指主体执行任务时，按照主体所需要知道的信息最小化的原则分配给主体权利。答案选A。4. 单选题等级保护制度已经被列入国务院关于加强信息安全保障工作的意见之中。以下关于我国信息安全等级保护内容描述不正确的是（ ）。问题1选项A.对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输和处理这些信息的信息系统分等级实行安全保护B.对信息系统中使用的信息安全产品实行按等级管理C.对信息系统中发生的信息安全事件按照等级进行响应和处置D.对信息安全从业人员实行按等级管理，对信息安全违法行为实行按等级惩处【答案】D【解析】本题考查等级保护制度的基础知识
5、。国家通过制定统一的信息安全等级保护管理规范和技术指标，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。因此等级保护制度是对信息进行分级管理，并没有对人员进行按等级管理，包括违法行为也是一样的。故本题选D。点播：信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。5. 单选题所有资源只能由授权方或以授权的方式进行修改，即信息未经授权不能进行改变的
6、特性是指信息的（ ）。问题1选项A.完整性B.可用性C.保密性D.不可抵赖性【答案】A【解析】本题考查信息安全基本属性方面的内容。机密性是指网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息。完整性是指网络信息或系统未经授权不能进行更改的特性。可用性是指合法许可的用户能够及时获取网络信息或服务的特性。抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性。答案选A。6. 单选题蠕虫是一类可以独立运行、并能将自身的一个包含了所有功能的版本传播到其他计算机上的程序。网络蠕虫可以分为:漏洞利用类蠕虫、口令破解类蠕虫、电子邮件类蠕虫、P2P类蠕虫等。以下不属于漏洞利用类蠕虫的是（ ）
7、。问题1选项A.CodeRedB.SlammerC.MSBlasterD.IRC-worm【答案】D【解析】本题考查恶意代码中蠕虫方面的基础知识。漏洞利用类蠕虫包括2001年的红色代码(CodeRed)和尼姆达(Nimda)、 2003 年的蠕虫王(Slammer)和冲击波(MSBlaster). 2004年的震荡波( Sasser).2005年的极速波(Zotob)、2006年的魔波(MocBot)、2008 年的扫荡波(Saodangbo). 2009年的飞客(Conficker)、 2010年的震网(StuxNet) 等。IRC-worm 属于IRC类蠕虫。7. 单选题以下关于BLP安全
8、模型的表述中，错误的是（ ）。问题1选项A.BLP模型既有自主访问控制，又有强制访问控制B.BLP模型是-一个严格形式化的模型，并给出了形式化的证明C.BLP模型控制信息只能由高向低流动D.BLP是一种多级安全策略模型【答案】C【解析】本题考查BLP安全模型方面的基础知识。BLP是安全访问控制的一种模型， 是基于自主访问控制和强制访问控制两种方式实现的。它是一种严格的形式化描述，控制信息只能由低向高流动。它反映了多级安全策略的安全特性。8. 单选题无线局域网鉴别和保密体系WAPI是一种安全协议，也是我国无线局域网安全强制性标准，以下关于WAPI的描述中，正确的是（ ）。问题1选项A.WAPI系
9、统中，鉴权服务器AS负责证书的颁发、验证和撤销B.WAPI与WiFi认证方式类似，均采用单向加密的认证技术C.WAPI中，WPI采用RSA算法进行加解密操作D.WAPI从应用模式上分为单点式、分布式和集中式【答案】A【解析】本题考查WAPI安全协议。与WIFI的单向加密认证不同，WAPI双向均认证，从而保证传输的安全性。WAPI安全系统采用公钥密码技术，鉴权服务器AS负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。WAPI包括两部分：WAI和WPI。WAI和WPI分别实现对用户身份的鉴别和对传输的业务数据加密，其中WAI采用公开密钥
10、密码体制，WPI则采用对称密码算法进行加、解密操作。WAPI从应用模式上分为单点式和集中式两种，可以彻底扭转目前WLAN采用多种安全机制并存且互不兼容的现状，从根本上解决安全问题和兼容性问题。官方教材（第一版）P370。故本题选A。点播：WAPI鉴别及密钥管理的方式有两种，即基于证书和基于预共享密钥PSK。9. 单选题以下关于网络欺骗的描述中，不正确的是（ ）。问题1选项A.Web欺骗是一种社会工程攻击B.DNS欺骗通过入侵网站服务器实现对网站内容的篡改C.邮件欺骗可以远程登录邮件服务器的端口 25D.采用双向绑定的方法可以有效阻止ARP欺骗【答案】B【解析】本题考查网络欺骗相关知识。DNS欺
11、骗：是一种攻击者冒充域名服务器的欺骗行为。原理：如果可以冒充域名服务器，然后把查询的IP地址设为攻击者的IP地址，这样的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这就是DNS欺骗的基本原理。并不会对原网页内容进行篡改。故本题选B。点播：网络欺骗就是使入侵者相信信息系统存在有价值的、可利用的安全弱点，并具有一些可攻击窃取的资源（当然这些资源是伪造的或不重要的），并将入侵者引向这些错误的资源。它能够显著地增加入侵者的工作量、入侵复杂度以及不确定性，从而使入侵者不知道其进攻是否奏效或成功。而且，它允许防护者跟踪入侵者的行为，在入侵者之前修补系统可能存在的安全漏洞。10.
12、单选题如果对一个密码体制的破译依赖于对某一个经过深入研究的数学难题的解决，就认为相应的密码体制是（ ）的。问题1选项A.计算安全B.可证明安全C.无条件安全D.绝对安全【答案】B【解析】本题考查密码体制安全性分类。衡量密码体制安全性的基本准则有以下三种：（1）计算安全的：如果破译加密算法所需要的计算能力和计算时间是现实条件所不具备的，那么就认为相应的密码体制是满足计算安全性的。这意味着强力破解证明是安全的，即实际安全。（2）可证明安全的：如果对一个密码体制的破译依赖于对某一个经过深入研究的数学难题的解决，就认为相应的密码体制是满足可证明安全性的。这意味着理论保证是安全的。（3）无条件安全的：如
13、果假设攻击者在用于无限计算能力和计算时间的前提下，也无法破译加密算法，就认为相应的密码体制是无条件安全性的。这意味着在极限状态上是安全的。故本题选B。点播：密码体制是完成加密和解密的算法。通常，数据的加密和解密过程是通过密码体制、密钥来控制的。密码体制必须易于使用，特别是应当可以在微型计算机使用。密码体制的安全性依赖于密钥的安全性，现代密码学不追求加密算法的保密性，而是追求加密算法的完备。世界上不存在绝对安全的密码。11. 单选题一个密码系统至少由明文、密文、加密算法、解密算法和密钥五个部分组成，而其安全性是由（ ）决定的。问题1选项A.加密算法B.解密算法C.加解密算法D.密钥【答案】D【解
14、析】12. 单选题PKI是一种标准的公钥密码的密钥管理平台，数字证书是PKI的基本组成部分。在PKI中，X.509数字证书的内容不包括（ ）。问题1选项A.加密算法标识B.签名算法标识C.版本号D.主体的公开密钥信息【答案】A【解析】本题考查PKI方面的基础知识。X.509数字证书内容包括：版本号、序列号、签名算法标识、发行者名称、有效期、主体名称、主体公钥信息、发行者唯一标识符、 主体唯一识别符、 扩充域、CA的签名等，不包括加密算法标识。13. 单选题密码工作是党和国家的一项特殊重要工作，直接关系国家政治安全、经济安全、国防安全和信息安全。密码法的通过对全面提升密码工作法治化水平起到了关键性作用。密码法规定国家对密码实行分类管理，密码分类中不包含（ ）。问题1选项A.核心密码B.普通密码C.商用密码D.国产密码【答案】D【解析】14. 单选题信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害，按照计算机信息系统安全等级保护相关要求，应定义为（ ）。问题1选项
