信息系统项目管理师章节题目 第22章 信息系统安全管理

1、2013年5月试题 11-命-技-N.GJ.21.p000-5.00-信 息安全攻击者通过搭线或在电磁波辐射范围内安装截收装置等方式获得机密信息，或通过对信息流 量和流向、通信频率和长度等参数的分析推导出有用信息的威胁称为（11）。A. 破坏B. 抵赖C. 截取D. 窃取分析：计算机信息安全：http:/ 窃取：通过数据窃听的手段获得敏感信息。攻击者通过搭线窃听或电子辐射探测等 手段截获机密信息，或通过信息流量的变化、流向的变化以及通信总量等参数分析 出有用信息。 截取：非法用户通过特殊手段首先获得信息，再将此信息发送给真实接收者。参考答案：D试题13-喜-技-G.ZJ.30p628-500-安全审计下面有关安全审计的说法错误的是（13）。A. 安全审计需要用到数据挖掘和数据仓库技术B. 安全审计产品只包括主机类、网络类及数据库类C. 安全审计的作用包括帮助分析安全事故发生的原因D. 安全审计是主体对客体进行访问和使用情况进行记录和审查分析：高级教程p628：概括地讲，安全审计是采用数据挖掘和数据仓库技术，实现在不同网络环境中终端对终端的 监控和管理，在必要时通过多种途径向管理员发出警

2、告或自动采取排错措施，能对历史数据 进行分析、处理和追踪。安全审计属于安全管理类产品。在管理类产品中，各类安全审计系统可在日常运行、维护中 提供对网络安全的主动分析及综合审计。安全审计产品主要包括主机类、网络类及数据库类 和应用系统级的审计产品。答案B中的“只包括”太绝对！所以，此题是送分题。参考答案：B试题14-命-技-YGJ.24p538-500息安全系统信息安全保障系统可以用一个宏观的三维空间来表示，第一维是OSI网络参考模型，第二 维是安全机制，第三维是安全服务。该安全空间的五个要素分别是（14）。A. 应用层、传输层、网络层、数据链路层和物理层B. 基础设施安全、平台安全、数据安全、通信安全和应用安全C. 对等实体服务、访问控制服务、数据保密服务、数据完整性服务和物理安全服务D. 认证、权限、完整、加密和不可否认分析：高级教程p538：图I安至三推空同示威图由X、Y、Z三个轴形成的空间就是信息系统的“安全空间”，随着网络逐层扩展，这个空 间不仅范围逐步加大，安全的内涵也就更丰富，达到具有认证、权限、完整、加密和不可否 认五大要素。也叫做“安全空间”的五大“属性”。参考答案：D

3、试题16-喜我-N.GJ.00p000-500息安全网络入侵检测系统和防火墙是两种典型信息系统安全防御技术，下面关于入侵检测系统和防 火墙的说法正确的是（16）。A. 防火墙是入侵检测系统之后的又一道防线，防火墙可以及时发现入侵检测系统没有发现 的入侵行为B. 入侵检测系统通常是一个旁路监听设备，没有也不需要跨接在任何链路上，无须网络流 量流经它便可以工作C. 入侵检测系统可以允许内部的一些主机被外部访问，而防火墙没有这些功能，只是监视 和分析系统的活动D. 防火墙必须和安全审计系统联合使用才能达到应用目的，而入侵检测系统是一个独立的 系统，不需要依赖防火墙和安全审计系统分析：入侵检测（IDS）： http:/ 系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并 发出警告。IDS入侵检测系统以信息来源的不同和检测方法的差异分为几类。根据信息来源 可分为基于主机IDS和基于网络的IDS，根据检测方法又可分为异常入侵检测和滥用入侵检 测。不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上 无须网络 流量流经它便可以工作。因此，对IDS的部署，

4、唯一的要求是:IDS应当挂接在所有所关注 流量都必须流经的链路上。在这里，“所关注流量”指的是来自高危网络区域的访问流量和 需要进行统计、监视的网络报文。在如今的网络拓扑中，已经很难找到以前的HUB式的共 享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。因此，IDS 在交换式网络中的位置一般选择在：（1）尽可能靠近攻击源（2）尽可能靠近受保护资源这些位置通常是： 服务器区域的交换机上 Internet接入路由器之后的第一台交换机上 重点保护网段的局域网交换机上防火墙：http:/ 网之间的界面上构造的保护屏障。是一种获取安全性方法的形象说法，它是一种计算机硬件 和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保 护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关 4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机 流入流出的所有网络通信和数据包均要经过此防火墙。在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分

5、开的方法，它 实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你 “同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地 阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访 问Internet，Internet上的人也无法和公司内部的人进行通信。参考答案：B试题18-命-S-NGJ.27.p588-500息安全下面的无线网络加密方法中，（18）的安全性高。A. MAC地址过滤B. WEPC. WPAD. WPA2分析：WEP、WPA、WPA2： http:/ Equivalent Privacy），又称无线加密协议（Wireless Encryption Protocol）， 简称WEP，是个保护无线网络（Wi-Fi）信息安全的体制。因为无线网络是用无线电把讯息 传播出去，它特别容易被窃听WEP的设计是要提供和传统有线的局域网路相当的机密性， 而依此命名的。不过密码分析学家已经找出 WEP好几个弱点，因此在2003年被Wi-Fi Protected Access （WPA）淘汰，又在2004年由完整的

6、IEEE 802.11i标准（又称为 WPA2） 所取代。WEP虽然有些弱点，但也足以吓阻非专业人士的窥探了。WPA 和 WPA2：WPA全名为 Wi-Fi Protected Access，W WPA和 WPA2两个标准，是一种保护无线电脑网 路（Wi-Fi）安全的系统，它是应研究者在前一代的系统有线等效加密（WEP）中找到的几 个严重的弱点而产生的。WPA实作了 IEEE 802.11i标准的大部分，是在802.11i完备之前 替代WEP的过渡方案。WPA的设计可以用在所有的无线网卡上，但未必能用在第一代的 无线取用点上。WPA2实作了完整的标准，但不能用在某些古老的网卡上。这两个都提供 优良的保全能力，但也都有两个明显的问题： WPA或WPA2 一定要启动并且被选来代替WEP才有用，但是大部分的安装指引 都把WEP列为第一选择。 在使用家中和小型办公室最可能选用的“个人”模式时，为了保全的完整性，所需 的密语一定要比已经叫用户设定的六到八个字元的密码还长。参考答案：D试题19-悲我-N.ZJ.17.p000-6.02-机房标准根据电子信息系统机房设计规范GB50174-2008，

7、下面的电子信息机房的设计方案不妥当 的是（19）。A. 主机房净高根据机柜高度及通风要求确定，设置为3.0MB. 主机房采用了耐火等级为二级的建筑材料C. 主机房用于搬运设备的通道净宽设为2.0MD. B级电子信息系统机房的主机方中设置了两个外窗分析：标准原文：6.1.3主机房净高应根据机柜高度及通风要求确定，且不宜小于2.6m。6.3.2电子信息系统机房的耐火等级不应低于二级。6.2.3电子信息系统机房内通道的宽度及门的尺寸应满足设备和材料运输要求，建筑的入口 至主机房应设通道，通道净宽不应小于1.5m。6.4.6 A级B级电子信息系统机房的主机房不宜设置外窗。当主机房设有外窗时，应采用双 层固定窗，并应有良好的气密性，不间断电源系统的电池室设有外窗时，应避免阳光直射。参考答案：D13下试题 15-悲-技-Y.ZJ.17.p431-5.00信 息安全以下针对信息系统安全的说法中，（15）是错误的。A、信息系统安全的侧重点随着信息系统使用者的需求不同而发生变化B、信息系统安全属性包含：保密性、完整性、可用性与不可抵赖性C、应用系统常用的保密技术有：最小授权原则、防暴露、信息加密、数字签

8、名与公证D、完整性是一种面向信息的安全性能，可用性是面向用户的安全性能分析：应用系统常用的保密技术如下。 最小授权原则：对信息的访问权限仅授权给需要从事业务的用户使用。 防暴露：防止有用信息以各种途径暴露或传播出去。 信息加密：用加密算法对信息进行加密处理，非法用户无法对信息进行解密从而无法读懂 有效信息。 物理保密：利用各种物理方法，如限制、隔离、掩蔽和控制等措施，保护信息不被泄露。参考答案：C试题16-喜-技-YGJ.27.p578-500息安全（16）不是对称加密算法的优点。A. 加/解密速度快B. 密钥管理简单C. 加密算法复杂、加密强度高D. 适宜一对一的信息加密传输过程分析：对称密钥算法优点：加/解密速度快、密钥管理简单、适宜一对一的信息加密传输对称密钥算法缺点：加密算法简单，密钥长度有限（56比特/128比特），加密强度不高、密 钥分发困难，不适宜一对多的加密信息传输。根据常识，排除法即可！参考答案：C试题 17-命-技-N.ZJ.00.p000-5.00-信 息安全入侵是指没有经过授权就非法获得系统的访问权限或相关授权的行为，其中攻击者利用默认 密码进入系统内部属于（17）入侵方式。A. 旁路控制B.假冒C. 口令破译 D.合法用户的非授权访问分析：默认密码也是密码！使用默认密码也是猜出来的，猜也是密码破译的过程！参考高级教程P533。冒充： 冒充领导发布命令、调阅密件。 冒充主机欺骗合法主机和合法用户。 冒充网络控制程序套取或修改使用权限、密码和密钥等信息，越权使用网络设备和 资源。 接管合法用户，欺骗系统，占用合法用户的资源。参考答案：C试题18-喜至-Y.GJ.27.p583-5.00-信息安全我国实行密码等级管理制度，各密码等级为：商用密码，普用密码，绝密密码和军用密码。其中商用密码等级的使用范围为（18）A. 政府、党政部门B.国内企业、事业单位C.中央和机要部门D.军队分析：我国实行密码分级管理制度，密码等级及适用范围如下：(1) 商用密码一一国内企业、事业单位(2) 普用密码一一政府、党政部门(3) 绝密密码一一中央和机要部门(4) 军用密码一一军队送分题！参考答案：B14上试题 15-悲技-Y.GJ.30.p627-5.00信 息安

《信息系统项目管理师章节题目 第22章 信息系统安全管理》由会员hs****ma分享，可在线阅读，更多相关《信息系统项目管理师章节题目 第22章 信息系统安全管理》请在金锄头文库上搜索。