第一篇：信息安全等級測評師初級考試問答題20

1、網絡安全的網絡設備防護的內容是什么？（其他要點也要背）

答：

①應對登錄網絡設備的用戶進行身份鑒別 ②應對網絡設備管理員的登陸地址進行限制 ③網絡設備用戶的標識應唯一

④主要網絡設備應對同一用戶選擇兩種或者兩種以上組合的鑒別技術來進行身份鑒別

⑤身份鑒別信息應具有不易被冒用的特點，口令應有復雜度的要求并定期更換

⑥應具有登錄失敗處理功能，可采取結束會話、限制非法登陸次數和當網絡登陸連接超時自動退出等措施

⑦當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽

⑧應實現設備特權用戶的權限分離

2、入侵檢測系統分為哪幾種，各有什么特點？

答：主機型入侵檢測系統（HIDS），網絡型入侵檢測系統（NIDS）。HIDS往往以系統日志、應用程序日志作為數據源；檢測主機上的命令序列比檢測網絡流更簡單，系統的復雜性也少得多，所以主機檢測系統誤報率比網絡入侵檢測系統的誤報率低；它除了檢測自身的主機以外，根本不檢測網絡上的情況，而且對入侵行為分析的工作量將隨著主機數量的增加而增加，因此全面部署主機入侵檢測系統代價比較大，企業很難將所有主機用主機入侵檢測系統保護，只能選擇部分主機進行保護，那么未安裝主機入侵檢測系統的機器將成為保護的盲點，入侵者可利用這些機器達到攻擊的目標。依賴于服務器固有的日志和監視能力。如果服務器上沒有配置日志功能，則必須重新配置，這將給運行中的業務系統帶來不可預見的性能影響。（需要在主機進行軟件安裝，消耗資源）NIDS一般部署在比較重要的網段內，它不需要改變服務器等主機的配置，由于它不會在業務系統的主機中安裝額外的軟件，從而不會影響這些機器的CPU、I/O與磁盤等資源的使用，不會影響業務系統的性能。NIDS的數據源是網絡上的數據包。通過線路竊聽的手段對捕獲的網絡分組進行處理，從中獲取有用的信息。一個網段上只需要安裝一個或幾個這樣的系統，便可以檢測整個網絡的情況，比較容易實現。由于現在網絡的日趨復雜和高速網絡的普及，這種結構正接受越來越大的挑戰。（不需要在主機進行軟件安裝、容易實現）

3、訪問控制的三要素是什么？按訪問控制策略劃分，可分為哪幾類？按層面劃分，可分為哪幾類？

答：訪問控制的三要素是：主體、客體、操作 按訪問控制策略劃分可分為： ① 自主訪問控制 ② 強制訪問控制 ③ 基于角色的訪問控制 按層面劃分可分為： ① 網絡訪問控制 ② 主機訪問控制 ③ 應用訪問控制 ④ 物理訪問控制

4、安全審計按對象不同，可分為哪些類？各類審計的內容又是什么？

答：系統級審計、應用級審計、用戶級審計 ①系統級審計：要求至少能夠記錄登陸結果、登陸標識、登陸嘗試的日期和時間、退出的日期和時間、所使用的設備、登陸后運行的內容、修改配置文件的請求等。

②應用級審計：跟蹤監控和記錄諸如打開和關閉數據文件，讀取、編輯和刪除記錄或字段的特定操作以及打印報告之類的用戶活動。

③用戶級審計：跟蹤通常記錄用戶直接啟動所有命令、所有的標識和鑒別嘗試的所有訪問的文件和資源。

5、身份認證的信息主要有哪幾類？并每項列舉不少于2個的事例。

答：身份認證的信息可分為以下幾類： ①用戶知道的信息，如個人標識、口令等。

②用戶所持有的證件，如門卡、智能卡、硬件令牌等。③用戶所特有的特征，指紋、虹膜、視網膜掃描結果等。

6、數字證書的含義、分類和主要用途，所采用的密碼體制？

答：①數字證書是由認證中心生成并經認證中心數字簽名的，標志網絡用戶身份信息的一系列數據，用來在網絡通信中識別通信各方的身份。

②從證書用途來看，數字證書可分為簽名證書和加密證書。

③簽名證書主要用于對用戶信息進行簽名，以保證信息的不可否認性；加密證書主要用于對用戶傳送信息進行加密，以保證信息的真實性和完整性。

⑤ 數字證書采用非對稱秘鑰體制，即利用一對互相匹配的私鑰/公鑰進行加密、解密。其中私鑰用于進行解密和簽名，公鑰用于加密和驗證簽名。

7、試解釋SQL注入攻擊的原理，以及它產生的不利影響。答：SQL注入攻擊的原理是從客戶端提交特殊的代碼，WEB應用程序如果沒有做嚴格的檢查就將其形成SQL命令發送給數據庫，從數據庫返回的信息中，攻擊者可以獲得程序及服務器的信息，從而進一步獲得其他資料。

SQL注入攻擊可以獲取WEB應用程序和數據庫系統的信息，還可以通過SQL注入攻擊竊取敏感數據，篡改數據，破壞數據，甚至以數據庫系統為橋梁進一步入侵服務器操作系統，從而帶來更為巨大的破壞。

8、入侵威脅有哪幾種？入侵行為有哪幾種？造成入侵威脅的入侵行為主要是哪兩種，各自的含義是什么？

答：入侵威脅可分為：①外部滲透。②內部滲透。③不法行為。

入侵行為可分為：①物理入侵。②系統入侵。③遠程入侵。主要入侵行為：①系統入侵。②遠程入侵。

系統入侵是指入侵者在擁有系統的一個低級賬號權限下進行的破壞活動。遠程入侵是指入侵者通過網絡滲透到一個系統中。

9、系統定級的一般流程是什么？ 答：①確定作為定級對象的信息系統

②確定業務信息安全受到破壞時所侵害的客體，根據不同的受害客體，從各個方面綜合評定業務信息安全被破壞對客體的侵害程度，根據業務信息的重要性和受到破壞后的危害性確定業務信息安全等級。

③確定系統服務安全受到破壞時所侵害的客體，根據不同的受害客體，從各個方面綜合評定系統服務安全被破壞對客體的侵害程度，根據系統服務的重要性和受到破壞后的危害性確定系統服務安全等級。

④定級對象的等級由業務信息安全等級和系統服務安全等級的較高者決定。

10、簡述單位、組織的信息安全管理工作如何與公安機關公共信息網絡安全檢查部門相配合？ 答：單位、組織的信息安全管理工作與公安機關公共信息網絡安全監察部門之間的配合主要體現在以下方面：

① 單位、組織的信息安全管理必須遵循信息安全法律、法規對于安全管理職責、備案、禁止行為、安全管理制度和安全技術機制要求等方面的內容規定。

② 法律、法規賦予公安機關公共信息網絡安全監察部門對信息安全的監管職責，各單位、組織必須接受和配合公安機關；

③ 在發生信息安全案件后，單位、組織應當及時向公安機關公共信息網絡安全監察部門報案，并在取證和調查等環節給予密切配合。

11、國家為什么要實施安全等級保護制度？ 答：信息安全形勢嚴峻：

① 來自境內外敵對勢力的入侵、攻擊、破壞越來越嚴重。

② 針對基礎信息網絡和重要信息系統的違法犯罪持續上升。

③ 基礎信息網絡和重要信息系統安全隱患嚴重。維護國家安全的需要：

① 基礎信息網絡與重要信息系統已成為國家關鍵基礎設施。

② 信息安全是國家安全的重要組成部分。

③ 信息安全是非傳統安全，信息安全本質是信息對抗、技術對抗。

④ 我國的信息安全保證工作基礎還很薄弱。

12、主機常見評測的問題？

答：①檢測用戶的安全防范意識，檢查主機的管理文檔。②網絡服務的配置。③安裝有漏洞的軟件包。④缺省配置。⑤不打補丁或補丁不全。⑥網絡安全敏感信息的泄露。⑦缺乏安全防范體系。⑧信息資產不明，缺乏分類的處理。⑨安全管理信息單一，缺乏統一的分析和管理平臺。

13、簡單介紹可采取哪些措施進行有效地控制攻擊事件和惡意代碼？ 答：①安裝并合理配置主機防火墻。②安裝并合理配置網絡防火墻。③安裝并合理配置IDS/IPS。④嚴格控制外來介質的使用。⑤防御和查殺結合、整體防御、防管結合、多層防御。⑥設置安全管理平臺、補丁升級平臺、防病毒平臺等對防毒的系統進行升級、漏洞進行及時安裝補丁，病毒庫定時更新。⑦定期檢查網絡設備和安全設備的日志審計，發現可疑對象可及時進行做出相應處理。⑧為了有效防止地址攻擊和拒絕服務攻擊可采取在會話處于非活躍一定時間或會話結束后終止網絡連接。⑨為了有效防止黑客入侵，可對網絡設備的管理員登陸地址進行限制和對其具有撥號功能用戶的數量進行限制，遠程撥號的用戶也許它就是一個黑客。⑩采取雙因子認證和信息加密可增強系統的安全性。

14、信息安全等級保護的五個標準步驟是什么？信息安全等級保護的定義是什么？信息安全等級保護五個等級是怎么樣定義的？

答：①定級、備案、建設整改、等級測評、監督和檢查。

②分等級實行安全保護、對安全產品實行按等級管理、對安全事件按等級響應、處置。

一級：信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成嚴重損害，但不損害國家安全、社會秩序和公共利益。

二級：信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成嚴重損害，或對社會秩序和公共利益造成損害，但不損害國家利益。

三級：信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重 損害，或對國家利益造成損害。

四級：信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或對國家造成嚴重損害。

五級：信息系統受到破壞后，會對國家利造成特別嚴重損害。

15、主機按照其規?；蛳到y功能來區分為哪些類？主機安全在測評時會遇到哪些類型操作系統？網絡安全三級信息系統的安全子類是什么？三級網絡安全的安全審計的內容是什么？

答：①巨型、大型、中型、小型、微型計算機和單片機。

②目前運行在主機上的主流操作系統有：windows、linux、sunsolaris、ibm aix、hp-ux等等。

③結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護。

④應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄。

審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其它與審計相關的信息。

應能夠根據記錄數據進行分析，并生成審計報表。

應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等。

16：數據庫常見威脅有哪些？針對于工具測試需要注意哪些內容？

答：①非授權訪問、特權提升、SQL注入針對漏洞進行攻擊、繞過訪問控制進行非授權訪問等。

②工具測試接入測試設備之前，首先要有被測系統人員確定測試條件是否具備。測試條件包括被測網絡設備、主機、安全設備等是否都在 正常運行，測試時間段是否為可測試時間段等等。接入系統的設備、工具和IP地址等配置要經過被測系統相關人員確認。對于測試過程可能造成的對目標系統的網絡流量及主機性能等方面的影響，要事先告知被測系統相關人員。對于測試過程中的關鍵步驟、重要證據要及時利用抓圖工具取證。對于測試過程中出現的異常情況要及時記錄，需要被測方人員確認被測系統狀態正常并簽字后離場。

17、ARP地址欺騙的分類、原理是什么？可采取什么措施進行有效控制？ 答：一種是對網絡設備ARP表的欺騙，其原理是截獲網關數據。它通知網絡設備一系列錯誤的內網MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在網絡設備中，結果網絡設備的所有數據只能發給錯誤的MAC地址，造成正常PC無法收到信息。

另一種是對內網PC的網關欺騙。其原理是建立假網關，讓被它欺騙的PC向假網關發數據，而不是通過正常的途徑上網。

措施：

一、在網絡設備中把所有PC的IP-MAC輸入到一個靜態表中，這叫IP-MAC綁定；

二、在內網所有PC上設置網關的靜態ARP信息，這叫PC IP-MAC綁定。一般要求兩個工作都要做，成為雙向綁定。

18、工具測試接入點原則及注意事項？

答：首要原則是不影響目標系統正常運行的前提下嚴格按照方案選定范圍進行測試。

① 低級別系統向高級別系統探測。②同一系統同等重要程度功能區域之間要相互探測。③較低重要程度區域向較高重要程度區域探測。④由外聯接口向系統內部探測。⑤跨網絡隔離設備要分段探測。

注意事項：①工具測試接入測試設備之前，首先要有被測系統人員確定測試條件是否具備。(測試條件包括被測網絡設備、主機、安全設備等是否都在正常運行)，測試時間段是否為可測試時間段等等。②接入系統的設備、工具的ip地址等配置要經過被測系統相關人員確認。③對于測試過程中可能造成的對目標系統的網絡流量及主機性能方面的影響，要實現告知被測系統相關人員。④對于測試過程中的關鍵步驟、重要證據要及時利用抓圖等取證。⑤對于測試過程中出現的異常情況要及時記錄。⑥測試結束后，需要被測方人員確認被測系統狀態正常并簽字后退場。

19、基本要求中，在應用安全層面的訪問控制要求中，三級系統較二級系統增加的措施有哪些？

答：三級比二級增加的要求項有：應提供對重要信息資源設置敏感標記的功能；應按照安全策略嚴格控制用戶對有敏感標記重要信息資源的訪問。20、在主機評測前期調研活動中，收集信息的內容？在選擇主機測評對象時應注意哪些要點？

答：至少需要收集服務器主機的設備名稱、型號、操作系統、IP地址、安裝的應用軟件情況、主要的業務情況、重要程度、是否熱備等信息。測評對象選擇時應注意重要性、代表性、完整性、安全性、共享性五大原則。

答案：

一、1.C 2.A 3.A 4.D 5.B 6.A 7.C 8.D 9.C 10.D 11.D 12.D 13.A 14.C 15.B 16.A 17.A 18.A 19.D 20.D

二、不定項選擇題

1.ABC 2.ABCD 3.D 4.ABDE 5.AC 6.BD 7.ABC 8.AC 9.A 10.ABC

三、判斷題

1.錯 2.錯 3.對 4.錯 5.錯 6.對 7.對 8.錯 9.對 10.錯

四、簡答題

1.（1）信息系統定級、備案、安全建設整改、等級測評、監督檢查。

（2）對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的系統分等級實行安全保護，對信息系統中使用的信息安全產品實行按等級管理，對信息系統中發生的信息安全事件分等級響應、處置。（答出三個分等級即可）

（3）第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。

第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。

第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。

2.（1）巨型大型中型小型、微型計算機和單片機。（2）目前運行在主機上的主流的操縱系統有？

有Windows、Linux、Sun Solaris、IBM AIX、HP-UX等等

（3）結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護。

（4）a)應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄。b)審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息

c)應能夠根據記錄數據進行分析，并生成審計報表。

d)應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等。

3.（1）非授權訪問，特權提升、SQL注入、針對漏洞進行攻擊、繞過訪問控制進行非授權訪問等。

（2）工具測試接入測試設備之前，首先要有被測系統人員確定測試條件是否具備。測試條件包括被測網絡設備、主機、安全設備等是否都在正常運行，測試時間段是否為可測試時間段等等。接入系統的設備、工具的IP地址等配置要經過被測系統相關人員確認。對于測試過程可能造成的對目標系統的網絡流量及主機性能等等方面的影響（例如口令探測可能會造成的帳號鎖定等情況），要事先告知。被測系統相關人員對于測試過程中的關鍵步驟、重要證據，要及時利用抓圖等取證工具取證。對于測試過程中出現的異常情況（服務器出現故障、網絡中斷等等）要及時記錄測試結束后，需要被測方人員確認被測系統狀態正常并簽字后離場。附加題

部署IPS/IDS，使用主機防火墻（軟件）、硬件防火墻、在路由交換設備上設置策略、采用審計設備等。

第二篇：信息安全等級測評師模擬測試-技術初級

一、單選題（20分）

1、以下關于信息系統安全建設整改工作方中說琺中不正確的是？（）A、突出重要系統，涉及所有等級，試點示范，行業推廣，國家強制執行。B、利用信息安全等圾保護綜合工作平臺使等級保護工作常態化。C、管理制度建設和技術措施建設同步或分步實施。

D、加快改造，缺什么補什么，也可以進總體安全建設整改規劃。

2、以下關于定級工作說法不正確的是？（）

A、確定定級對象過程中，定級對象是指以下內容：起支撐、傳輸作用的信息網絡（包括專網、內網、外網、網管系統）以及用于生產、調度、管理、指揮、作業、控制、辦公等目的的各類業務系統。

B、確定信息系統安全保護等級僅僅是指確定信息系統屬于五個等級中的哪一個。

C、在定級工作中同類信息系統的安全保護等級不能隨著部、省、市行政級別的降低而降低。

D、新建系統在規劃設計階段應確定等級，按照信息系統等級，同步規劃、同步設計、同步實施安全保護技術措施和管理措施。

3、測評單位開展工作的政策依據是？（）

A、公通字[2004] 66號。B、公信安[2008] 736。C、公信安[2010] 303號。D、發改高技[2008] 2071。

4、linux中關于登陸程序的配置文件默認的為？（）A、B、Jetc/pam.d/system-auth /etc/login.defs C、D、5、/etc/shadow /etc/passwd 安全測評報告由（）報地級以上市公安機關公共信息網絡安全檢查部門？ A、安全服務機構。B、縣級公安機關公共信息網絡安全監察部門。C、測評機構。D、計算機信息系統運營、使用單位。

6、安全規劃設計基本過程包括（）、安全總體設計、安全建設規劃？ A、項目調研。B、概要設計。C、需求分析。D、產品設計。

7、信息系統為支撐其所承載業務而提供的程序化過程，稱為（）。A、客體。B、客觀方面。C、等級保護對象。D、系統服務。

8、發現入侵的最簡單最直接的方法是去看()和()？（）A、B、C、D、審計記錄、系統文件。系統記錄、安全審計文件。系統記錄、系統文件。審計記錄、安全審計文件。

9、在安全評估過程中，采取（）手段，可以模擬黑客入侵過程，檢測系統安全脆弱性？

A、問卷調查。B、人員訪談。C、滲透性測試。D、手工檢查。

10、安全操作系統的核心內容是？（）

A、防病毒。B、加密。C、解密。D、訪問控制。

11、系統建設管理中要求，對新建系統首先要進行（），在進行方案設計。

A、定級。B、規劃。C、需求分析。D、測評。

12、Windows操作系統中，本地登錄權限對（）用戶組不開放。A、B、C、D、Guest Administartors Users Everyone

13、等級保護測評的執行主體最好選擇？（）

A、獨立的第三方測評服務機構。

B、具有相關資質的、獨立的第三方測評服務機構。C、從事系統集成和信息安全產品開發等安全服務機構。

D、具有相關資質的、從事系統集成和信息安全產品開發等安全服務機構。

14、從系統結構上來看，入侵檢測系統可以不包括？（）

A、數據源。B、分析引擎。C、審計。D、響應。

15、CISCO的配置通過什么協議備份？（）

A、ftp B、tftp C、telnet D、SSh

16、通過（）對安全現狀評估產生的結果，說明了系統安全保護方面與等級保護基本要求之間的差距，這種差距是對系統進一步安全改造的依據。A、定級。B、備案。C、等級測評。D、安全建設整改。

17、哪項不是開展主機工具測試所必須了解的信息？（）

A、操作系統 B、應用軟件 C、IP地址 D、物理位置

18、從系統服務安全角度反映的信息系統安全保護等級稱？（）

A、安全等級保護。B、信息系統等級保護。C、系統服務安全保護等級。D、業務信息安全保護等級。

19、應用安全包括身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性和（）A、B、C、D、抗抵賴、軟件容錯、資源控制。不可否認性、軟件容錯、資源控制。抗抵賴、軟件刪除、資源控制。抗抵賴、軟件容錯、系統控制。

20、鑒別的定義是？（）

A、將兩個不同的主體區別開來。B、將一個身份綁定到一個主體上。C、防止非法用戶使用系統及合法用戶對系統資源的非法使用。D、對計算機系統實體進行訪問控制。

二、多選題（26分）

1、以下對信息系統安全建設整改工作的復雜性和艱巨性說法正確的是？（）A、B、C、D、政策性和技術性很強。涉及范圍廣。

信息系統安全加固改造，需要國家在經費上予以支持。

跨省全國聯網的大系統結構復雜運行實時保障性高、數據重要，加固改造周期長。

2、下列訪問控制屬于按層面劃分的為？（）

A、自主訪問控制。B、物理訪問控制。C、主機訪問控制。D、強制訪問控制。

3、Windows系統中的審計日志包括（）。

A、系統日志。B、安全日志。C、應用程序日志。D、用戶日志。

4、經測評，計算機信息系統安全狀況未達到國家有關規定和標準的要求的，須（）。A、B、C、D、委托單位應當根據測評報告的建議，完善計算機信息系統安全建設。重新提出安全測評委托。

另行委托其他測評機構進行測評。自行進行安全測評。

5、unix/linux系統中的密碼信息保存在，etc/passwd或/etc/shadow文件中，信息包含的內容有（）。A、B、C、D、最近使用過的密碼。

用戶可以再次改變密碼必須經過的最小周期。密碼最近的改變時間。

密碼有效的最大天數…一這三條部是在shadow文件里記錄的。

6、《信息安全等級促護管理辦法》中要求第三圾以上信息系統應當選擇符合下列條件（）的等級保護測評機構進行測評。A、B、C、在中華人民共和國境內注冊成立。

由中國公民投資、中國法人投資或者國家投資的企事業單位。具有完備的保密管理、項目管理、質量管理、人員管理和培訓教育等安全管理制度。D、7、工作人員僅限于中國公民。

常見的數據備份有哪些形式?（）A、B、C、D、完全備份。差異備份。增量備份。日志備份。

8、計算機信息系統運營、使用單位委托安全測評機構測評，應當提交下列瓷料的主要有？（）A、B、C、安全測評委托書。定級報告。

計算機信息系統應用需求、系統結構拓撲及說明、系統安全組織結構和管理制度、安全保護設施設計實施方案或者改建實施方案、系統軟件硬件和信息安全產品清單。D、安全策略文檔。

9、下列屬于安全產品的有（）

A、網閘。B、交換機。C、防火墻。D、IDS和IPS。E、路由器。F、堡壘機。

10、三級信息系統的測試驗收包括如下（）內容。

A、應委托公正的第三方測試單位對系統進行安全性測試，并出縣安全性測試報告。B、在測試驗收前應根據設計方案或合同要求等制訂測試驗收方室，在測試驗收過程中應詳細記錄測試驗收結果，并形成測試驗收報告。C、應指定或授權專門的部門負責系統測試驗收的管理．并按照管理規定的要求完成系統測試驗收工作。D、應組織相關部門和相關人員對系統測試殮收報告進行審定，并簽字確認。

11、三級信息系統的等級測評包括如下（）內容。

A、在系統運行過程中，應至少每年對系統進行一次等級測評，發現不符合相應等圾保護標準要求的及時整改。B、應在系統發生變更時及時對系統進行等圾測評，發現級別發生變化的及時調整級別并進行安全改造，發現不符合相應等級保護標準要求的及時整改。C、D、應選擇具有國家相關技術資質相安全資質的測評單位進行等圾測評。應指定或授權專門的部門或人員負責等級測評的管理。

12、信息安全等級保護測評工作原則，主要包括（）

A、規范性原則。B、整體性原則。C、最小影響原則。D、保密性原則。

13、等級測評實施過程中可能存在的風險，主要有（）

A、驗證測試影響系統正常運行。B、工具測試影響系統正常運行。C、敏感信息泄露，D、受到惡意攻擊。

三、填空題（20分）

1、2、等級保護測評準則的作用，主要有（）、（）、（）、（）

通過組織開展信息安全等級保護的哪三項重點工作，（）、（）、（）、落實等級保護制度的各項要求？

3、4、安全建設整改工作的主要特點？（）、（）、（）、（）

說明信息安全等級保護基本要求中二級系統的要求項有多少？（）與三級系統的要求項差異多少？（）另外二級系統中技術要求的要求項有多少？（）與三級系統中技術要求的要求項差異多少？（）

四、判斷題（20分）

1、信息系統等級保護的第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。（）

2、3、在進行信息安全測試中，我們一般不需要自己動手進行測試。（）根據《信息安全等圾保護管理辦法》，第三級信息系統運營、使用單位應當依據國家管理規范和技術標準進行保護，國家有關信息安全職能部門對其信息安全等級保護工作進行強制監罾、檢查。（）

4、Linux是一個支持單用戶、多進程、多線程，實時性較好的功能強大而穩定的操作系統。（）

5、根據《信息安全等級保護管理辦法》，信息系統的運營、使用單位應當根據已確定的安全保護等級，依照本辦法和有關技術標準，使用符臺國家有關規定，滿足信息系統安全保護等級需求的信息技術產品，進行信息系統建設。（）

6、Linux系統的shadow文件是不能被普通用戶讀取的，只有超級用戶才有權讀取。（）

7、根據《信息安全等級保護管理辦法》，公安機關應當掌握信息系統運營、使用單位的備案情況，發現不符合本辦法及有關標準的，應建議其予以糾正。（）

8、根據《信息安全等級保護管理辦法》，公安機關檢查發現信息系統安全保護狀況不符合信息安全等級保護有關管理規范和技術標準的，應當向運營、使用單位發出整改通知。（）

9、在Oracle數據庫系統中，查看標簽創建情況：select * from dba_sa_labels。（）

10、訪問控制是安全防范和保護的主要策略，它不僅應用于網絡層面．同樣也適用于主機層面。（）

11、第二級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。國家信息安全監管部門對該級信息系統信息安全等級保護工作進行監督、檢查．屬于監督保護圾。（）

12、等圾保護的政策文件主要涵蓋了等級保護制度、定級、備案、等級測評、安全建設、監督檢重等工作的各個環節，構成了比較完備政策體系。（）

13、《管理辦法》中信息系統重要程度的等級的概念，是信息安全等級保護工作中的系統定級和備案、安全建設整改、等級測評和監督檢查等工作的依據。（）

14、考慮到經濟成本，在機房安裝過錄像監控之后，可不再布置報警系統。（）

15、依據GB/T22239-2008，三級信息系統應對“系統管理數據”、“鑒別信息”和“重要業務數據”實現存儲保密性。（）

16、公安部、國家保密局、國家密碼管理局、原國務院信息辦共同印發的《信息安全等級保護管理辦法》即43號文。（）

17、在應用系統現場等級測評活動中，不需要對應用系統的安全功能進行驗證。（）

18、對于測試過程可能造成的對目標系統的網絡流量及主機性能等方面的影響，要實現告知被測系統相關人員。（）

19、審計日志的主要功能是可以對安全事件進行追蹤和發現入侵行為降低安全事件的發生。（）

20、安全技術要求主要包括身份鑒別、訪問控制、安全審計、完整性、保密性、惡意代碼防范、密碼技術應用等技術，以及物理環境和設施安全保護要求。（）

五、簡答題（30分）

1、《基本要求》中，對于三級信息系統，網絡安全層面應采取哪些安全技術措施？畫出圖并進行描述

2、在主機評測前期調研活動中，收集信息的內容？在選擇主機測評對象時應注意哪些要點？

3、回答工具測試接入點的原則及注意事項？

第三篇：信息安全等級測評師模擬考試

信息安全等級測評師模擬考試

考試形式：閉卷考試時間：120分鐘

一、單選題（每題1.5分，共30分）

1.以下關于等級保護的地位和作用的說法中不正確的是（）A.是國家信息安全保障工作的基本制度、基本國策。B.是開展信息安全工作的基本方法。C.是提高國家綜合競爭力的主要手段。

D.是促進信息化、維護國家信息安全的根本保障。

2.以下關于信息系統安全建設整改工作工作方法說法中不正確的是：（）A.突出重要系統，涉及所有等級,試點示范，行業推廣，國家強制執行。B.利用信息安全等級保護綜合工作平臺使等級保護工作常態化。C.管理制度建設和技術措施建設同步或分步實施。

D.加固改造缺什么補什么也可以進行總體安全建設整改規劃。3.以下關于定級工作說法不正確的是：（）

A.確定定級對象過程中，定級對象是指以下內容：起支撐、傳輸作用的信息網絡（包括專網、內網、外網、網管系統）以及用于生產、調度、管理、指揮、作業、控制、辦公等目的的各類業務系統。

B.確定信息系統安全保護等級僅僅是指確定信息系統屬于五個等級中的哪一個。

C.在定級工作中同類信息系統的安全保護等級不能隨著部、省、市行政級別的降低而降低。D.新建系統在規劃設計階段應確定等級，按照信息系統等級，同步規劃、同步設計、同步實施安全保護技術措施和管理措施。4.安全建設整改的目的是（）

（1）探索信息安全工作的整體思路；（2）確定信息系統保護的基線要求；（3）了解信息系統的問題和差距；（4）明確信息系統安全建設的目標；（5）提升信息系統的安全保護能力； A.（1）、（2）、（3）、（5）B.（3）、（4）、（5）C.（2）、（3）、（4）、（5）D.全部

5.下列說法中不正確的是（）

A.定級/備案是信息安全等級保護的首要環節。

B.等級測評是評價安全保護現狀的關鍵。C.建設整改是等級保護工作落實的關鍵。

D.監督檢查是使信息系統保護能力不斷提高的保障。6.配置如下兩條訪問控制列表：

access-list 1 permit 10.110.10.1 0.0.255.255 access-list 2 permit 10.110.100.100 0.0.255.255 訪問控制列表1和2，所控制的地址范圍關系是：（）A.1和2的范圍相同 B.1的范圍在2的范圍內 C.2的范圍在1的范圍內 D.1和2的范圍沒有包含關系

7.Oracle數據庫中，以下（）命令可以刪除整個表中的數據，并且無法回滾。A.Drop B.Delete C.Truncate D.Cascade 8.下面哪個不是生成樹的優點（）

A.生成樹可以管理冗余鏈路，在鏈路發生故障時可以恢復網絡連接 B.生成樹可以防止環路的產生 C.生成樹可以防止廣播風暴 D.生成樹能夠節省網絡帶寬 9.關于以下配置 Router ospf 100 Ip router authentication Ip ospf message-digest-key 1 md5 XXXXXX（認證碼）以下說法不正確的是（）

A.OSPF認證分為明文認證和密文認證兩種方式。

B.OSPF協議是一種典型的鏈路狀態路由協議，它通過路由器之間通過網絡接口的狀態來建立鏈路狀態數據庫，生成最短路徑樹。

C.OSPF的認證可以在鏈路上進行，也可以在整個區域內進行認證。但是在虛鏈路上不可以

進行認證。

D.該配置可以應用在業務終端與業務服務器之間進行路由控制來建立安全的訪問路徑。10.防火墻的位置一般為（）。A.內外網連接的關口位置 B.內網敏感部門的出口位置 C.非軍事區（DMZ）的兩側 D.以上都對

11.關于防火墻的功能，以下（）描述是錯誤的 A.防火墻可以檢查進出內部網的通信量

B.防火墻可以使用應用網關技術在應用層上建立協議過濾和轉發功能 C.防火墻可以使用過濾技術在網絡層對數據包進行選擇 D.防火墻可以阻止來自內部的威脅和攻擊 12.拒絕服務攻擊的后果是（）。A.信息不可用 B.應用程序不可用 C.系統宕機、阻止通信 D.上面幾項都是

13.（）即非法用戶利用合法用戶的身份，訪問系統資源。A、身份假冒 B、信息竊取 C、數據篡改 D、越權訪問 14.linux主機中關于以下說法不正確的是（）A.PASS_MAX_DAYS 90 是指登陸密碼有效期為90天。B.PASS_WARN_AGE 7 是指登陸密碼過期7天前提示修改。C.FALL_DELAY 10 是指錯誤登陸限制為10次。

D.SYSLOG_SG_ENAB yes 當限定超級用于組管理日志時使用。15.linux中關于登陸程序的配置文件默認的為（）A./etc/pam.d/system-auth B./etc/login.defs C./etc/shadow D./etc/passwd 16.linux中要想查看對一個文件的是否具有-rwxr—r—權限，使用的命令為（）

A.#ls –l /etc/passwd 744 B.#ls –l /etc/shadow 740 C.#ls –l /etc/rc3.d 665 D.#ls –l /etc/inet.conf 700 17.若要系統中每次缺省添加用戶時，都自動設置用戶的宿主目錄為/users,需修改哪一個＿配置文件？（）A./etc/default/useradd B./etc/login.defs C./etc/shadow D./etc/passwd 18.一位系統管理員想通過Telnet對一臺運行Windows Server 2003的服務器進行遠程的管理和維護，為了達到這個目的他想啟動Telnet服務，但當他打開服務控制臺中的Telnet服務屬性時發現啟動按鈕不可用，如下圖：

產生這種情況的原因是（）。A.當前Telnet服務的啟動類型為禁用

B.C:WINDOWSsystem32tlnetsvr.exe文件丟失

C.本地組策略限制不允許啟動Telnet服務 D.Telnet服務組件沒有安裝

19.小李是公司的網絡管理員，公司的計算機處于單域中，他使用的操作系統為Windows Server 2003，由于計算機中有非常重要的資料，因此他想設置一個安全的密碼。下面（）是比較安全的密碼 A.xiaoli123 B.*** C.bcdefGhijklm D.cb^9L2i 20.下列有關SQL Server 2000 中，master 數據庫的說法不正確的是()A 用戶數據庫可以重命名，master數據庫不能重命名 B master 數據庫 記錄SQL server 的 所有系統信息 C master 數據庫 在安裝SQL server 的過程中自動安裝 D 不可以重建master 數據庫。

二、不定項選擇題（每題2分，多選不得分，少選得一分，共20分）1.當前我國的信息安全形勢為（）A.遭受敵對勢力的入侵、攻擊、破壞。

B.針對基礎信息網絡和重要信息系統的違法犯罪持續上升。C.全社會的信息安全等級保護意識仍需加強。

D.總體情況尚可，少量的基礎信息網絡和重要信息系統安全隱患嚴重。2.以下對信息系統安全建設整改工作的復雜性和艱巨性說法正確的是（）A.政策性和技術性很強。B.涉及范圍廣。

C.信息系統安全加固改造，需要國家在經費上予以支持

D.跨省全國聯網的大系統結構復雜運行實時保障性高、數據重要，加固改造周期長。3.對測評機構不能從事的活動下列說法正確的是（）

（1）影響被測評信息系統正常運行，危害被測評信息系統安全；（2）泄露知悉的被測評單位及被測評信息系統的國家秘密和工作秘密；（3）與客戶進行溝通后隱瞞測評過程中發現的安全問題，維護客戶關系；（4）按規定格式出具等級測評報告；

（5）非授權占有、使用等級測評相關資料及數據文件（6）分包或轉包等級測評項目；

（7）信息安全產品開發、銷售和信息系統安全集成；

（8）限定被測評單位購買、使用指定的信息安全產品，以達到最佳安全水平。A.（1）、（2）、（4）、（5）、（8）。B.（1）、（2）、（3）、（5）、（7）。C.（1）、（2）、（3）、（4）、（8）。D.（1）、（2）、（5）、（6）、（7）。4.訪問控制列表可實現下列哪些要求（）

A.允許202.38.0.0/16網段的主機可以使用協議HTTP訪問129.10.10.1 B.不讓任何機器使用Telnet登錄 C.使某個用戶能從外部遠程登錄

D.讓某公司的每臺機器都可經由SMTP發送郵件 E.允許在晚上8:00到晚上12:00訪問網絡 F.有選擇地只發送某些郵件而不發送另一些文件

5.辦公網絡中計算機的邏輯組織形式可以有兩種，工作組和域。下列關于工作組的敘述中正確的是（）。

A.工作組中的每臺計算機都在本地存儲賬戶 B.本計算機的賬戶可以登錄到其它計算機上 C.工作組中的計算機的數量最好不要超過10臺 D.工作組中的操作系統必須一樣

6.如果只對主機地址為172.16.30.55進行訪問列表的設置，下面各項正確的有（A.172.16.30.55 0.0.0.255

B.172.16.30.55 0.0.0.0 C.any 172.16.30.55

D.host 172.16.30.55 7.Oracle中的三種系統文件分別是（）A.數據文件 DBF B.控制文件 CTL C.日志文件 LOG）

D.歸檔文件 ARC 8.關于表分區的說法正確的有（）A.表分區存儲在表空間中

B.表分區可用于任意的數據類型的表 C.表分區不能用于含有自定義類型的表 D.表分區的每個分區都必須具有明確的上界值 9.語句SELECT‘ACCP’FROM DUAL 的執行結果是（）A.ACCP B.X C.編譯錯 D.提示未選中行

10.HASH加密使用復雜的數字算法來實現有效的加密,其算法包括()A.MD2;B.MD4;C.MD5;D.Cost256

三、判斷題（每題一分、共10分）

1.所有等級的信息系統，一般都由信息系統運營使用單位到所在地設區的市級以上公安機關網絡安全保衛部門辦理備案手續，填寫《信息系統安全等級保護備案表》（）。

2.信息安全是非傳統安全，信息安全本質是信息對抗、技術對抗、國家綜合實力的對抗。（）3.在網絡設備測評中網絡設備應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施。（）

4.在信息安全等級保護的ASG組合中沒有S1A4G4這個組合。（）

5.在信息安全等級測評中，《基本要求》是信息系統安全保護的基本“標尺”或達標線，滿足《基本要求》意味著信息系統具有相應等級的保護能力，達到了很好的安全狀態。（）6.經過安全建設整改工作后，三級信息系統在統一的安全保護策略下具有抵御大規模、較強惡意攻擊的能力，抵抗較為嚴重的自然災害的能力，防范計算機病毒和惡意代碼危害的能力。（）

7.在信息安全等級保護中，第三級信息系統和第四級信息系統都具有強制性。（）8.考慮到操作方便性和人員復用性，用戶角色和權限不一定到最小權限。（）

9.在等級測評過程中，應對信息系統的影虎采取兩種或兩種以上的組合技術對用戶身份進行鑒別。（）

10.地方測評機構只能上在本地開展測評，不能夠去外地測評（）。

四、簡答題（共3題，共40分）

1.信息安全等級保護的五個標準步驟是什么？信息安全等級保護的定義是什么？ 信息安全等級保護五個等級是怎樣定義的？（10分）

2.主機按照其規模或系統功能來區分為哪些類？主機安全在測評時會遇到哪些類型操作系統？網絡安全三級信息系統的安全子類是什么？三級網絡安全的安全審計的內容是什么？。（15分）

3.數據庫常見威脅有哪些？針對于工具測試需要注意哪些內容？（15分）9

附加題（5分，附件題算入總分）采取什么措施可以幫助檢測到入侵行為？

第四篇：信息安全等級測評師模擬測試-管理初級

一、單選題（20分）

1、以下關于信息系統安全建設整改工作方中說琺中不正確的是？（）A、突出重要系統，涉及所有等級，試點示范，行業推廣。B、利用信息安全等圾保護測評工作使等級保護工作常態化。C、管理制度建設和技術措施建設同步或分步實施。

D、加快改造，缺什么補什么，也可以進總體安全建設整改規劃。

2、《測評要求》和哪一個文件是對用戶系統測評的依據？（）A、《信息系統安全等級保護實施指南》。B、《信息系統安全保護等級定級指南》。C、《信息系統安全等級保護基本要求》。D、《信息系統安全等級保護管理辦法》。

3、測評單位開展工作的政策依據是？（）

A、公通字[2004] 66號。B、公信安[2008] 736。C、公信安[2010] 303號。D、發改高技[2008] 2071。

4、安全運維階段的主要活動包括運行管理和控制、變更管理和控制、安全狀態監控、（）、安全檢查和持續改進、監督檢查？ A、安全事件處置和應急預案。B、安全服務。C、網絡評估。D、安全加固。

5、以下關于信息安全等級保護標準體系說法不正確的？（）A、基礎標準：GB 17859—1999《計算機信息系統安全保護等級劃分準則》, 在此基礎上制定出技術類、管理類、產品類標準。B、安全要求：GB/T22239—2008《信息安全技術信息系統安全等級保護基本要求》一~信息系統安全等級保護的行業規范。C、系統定級：GB／T18336—2008《信息安全技術信息系統安全評估準則》——信息系統安全等級保護行業定級評估。D、方法指導：《信息系統安全等級保護實施指南》、《信息系統等級保護安 全設計技術要求》。E、現狀分析：《信息系統安全等級保護測評要求》、《信息系統安全等級保 護測評過程指南》。

6、安全規劃設計基本過程包括（）、安全總體設計、安全建設規劃？ A、項目調研。B、概要設計。C、需求分析。D、產品設計。

7、信息系統為支撐其所承載業務而提供的程序化過程，稱為（）。A、客體。B、客觀方面。C、等級保護對象。D、系統服務。

8、等保三級中人員安全管理包括（）個要求項？ A、11。B、14。C、16。D、20。

9、運營、使用單位應當參照《信息安全技術信息系統安全管理要求》GB/T20269-2006、《信息安全技術信息系統安全工程管理要求》（）管理規范，制定并落實符合本系統安全保護等級要求的安全管理制度。A、測評準則。B、基本要求。C、定級指南。D、實施指南。

10、下列說法中不正確的是？（）

A、B、定級/備案是信息安全等級保護的首要環節。等級測評是評價安全保護現狀的關鍵。C、D、建設整改是等級保護工作落實的關鍵。

監督檢查是使信息系統保護能力不斷提高的保障。

11、系統建設管理中要求，對新建系統首先要進行（），在進行方案設計。

A、定級。B、規劃。C、需求分析。D、測評。

12、申請單位認為安全測評報告的合法性和真實性存在重大問題的，可以向（）公共信息網絡安全監察部門提出申訴，提交異議申訴書及有關證明材料。

A、本單位所在地公安機關。B、地級以上市公安機關。C、省公安廳。D、公安部。

13、等級保護測評的執行主體最好選擇？（）

A、獨立的第三方測評服務機構。

B、具有相關資質的、獨立的第三方測評服務機構。C、從事系統集成和信息安全產品開發等安全服務機構。

D、具有相關資質的、從事系統集成和信息安全產品開發等安全服務機構。

14、從系統結構上來看，入侵檢測系統可以不包括？（）

A、數據源。B、分析引擎。C、審計。D、響應。

15、安全建設整改無論是安全管理建設整改還是安全技術建設整改，使用的核心標準是？（）

A、《計算機信息安全保護等級劃分準則》。B、《信息系統安全等級保護基本要求》。

C、《中華人民共和國計算機信息系統安全保護條例》。D、《信息安全等級保護管理辦法》。

16、通過（）對安全現狀評估產生的結果，說明了系統安全保護方面與等級保護基本要求之間的差距，這種差距是對系統進一步安全改造的依據。A、定級。B、備案。C、等級測評。D、安全建設整改。

17、企業盜版是指？（）

A、制造和銷售看似合法軟件產品，其實是仿冒的軟件產品。B、企業未經授權在其內部計算機系統中使用的軟件。

C、Internet的站點上發布廣告，出售假冒軟件或匯編軟件或允許下載的軟件產品。

D、在計算機上預裝未經授權的計算機軟件。

18、從系統服務安全角度反映的信息系統安全保護等級稱？（）

A、安全等級保護。B、信息系統等級保護。C、系統服務安全保護等級。D、業務信息安全保護等級。

19、首次以國家行政法規形式確立了信息安全等級保護制度的法律地位的政策文件是？（）

A、《計算機信息安全保護等級劃分準則》。B、《信息系統安全等級保護基本要求》。C、《中華人民共和國計算機信息系統安全保護條例》。D、《信息安全等級保護管理辦法》。20、鑒別的定義是？（）

A、將兩個不同的主體區別開來。B、將一個身份綁定到一個主體上。C、防止非法用戶使用系統及合法用戶對系統資源的非法使用。D、對計算機系統實體進行訪問控制。

二、多選題（26分）

1、以下對信息系統安全建設整改工作的復雜性和艱巨性說法正確的是？（）A、B、C、D、政策性和技術性很強。涉及范圍廣。

信息系統安全加固改造，需要國家在經費上予以支持。

跨省全國聯網的大系統結構復雜運行實時保障性高、數據重要，加固改造周期長。

2、下列訪問控制屬于按層面劃分的為？（）

A、自主訪問控制。B、物理訪問控制。C、主機訪問控制。D、強制訪問控制。

3、跟據ISO定義，信息安全的目標就是保證信息資產的三個基本安全屬性，包括（）。

A、不可否認性。B、保密性。C、完整性。D、可用性。

4、經測評，計算機信息系統安全狀況未達到國家有關規定和標準的要求的，須（）。A、B、C、D、委托單位應當根據測評報告的建議，完善計算機信息系統安全建設。重新提出安全測評委托。

另行委托其他測評機構進行測評。自行進行安全測評。

5、根據《信息安全等圾保護管理辦法》，安全保護等級為第三級以上的計算機信息系統應當選用符合下列條件的安全專用產品（）。A、產品研制、生產單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民共和國境內具有獨立的法人資格。B、C、D、產品的核心技術、關鍵部件具有我國自主知識產權。產品研制、生產單位及其主要業務、技術人員無犯罪記錄。產品研制、生產單位聲明沒有故意留有或者設置漏洞、后門、木馬等程序和功能。

E、6、對國家安全、社會秩序、公共利益不構成危害。

《信息安全等級促護管理辦法》中要求第三圾以上信息系統應當選擇符合下列條件（）的等級保護測評機構進行測評。A、B、C、在中華人民共和國境內注冊成立。

由中國公民投資、中國法人投資或者國家投資的企事業單位。具有完備的保密管理、項目管理、質量管理、人員管理和培訓教育等安全管理制度。D、工作人員僅限于中國公民。

7、《信息安全等級保護管理辦法》中要求從事信息系統安全等級測評的機構，應當履行下列（）義務。A、遵守國家有關法律法規和技術標準，提供安全、客觀、公正的檢測評估服務，保證測評的質量和效果。B、C、D、保守在測評活動中知悉的國家秘密、商業秘密和個人隱私。防范測評風險。

對測評人員進行安全保密教育，與其簽訂安全保密責任書，規定應當履行的安全保密義務和承擔的法律責任．并負責。

8、計算機信息系統運營、使用單位委托安全測評機構測評，應當提交下列瓷料的主要有？（）A、B、C、安全測評委托書。定級報告。

計算機信息系統應用需求、系統結構拓撲及說明、系統安全組織結構和管理制度、安全保護設施設計實施方案或者改建實施方案、系統軟件硬件和信息安全產品清單。

D、9、安全策略文檔。

對三級及以上信息系統的人員配備包括如下（）內容。

A、應配備一定數量的系統管理員、網絡管理員、安全管理員等。B、應配備專職安全管理員，不可兼任。C、關鍵事務崗位應配備多人共同管理。

D、應配備系統審計雖，加強對管理員工作的監督。

10、三級信息系統的測試驗收包括如下（）內容。

A、應委托公正的第三方測試單位對系統進行安全性測試，并出縣安全性測試報告。B、在測試驗收前應根據設計方案或合同要求等制訂測試驗收方室，在測試驗收過程中應詳細記錄測試驗收結果，并形成測試驗收報告。C、應指定或授權專門的部門負責系統測試驗收的管理．并按照管理規定的要求完成系統測試驗收工作。D、應組織相關部門和相關人員對系統測試殮收報告進行審定，并簽字確認。

11、三級信息系統的等級測評包括如下（）內容。

A、在系統運行過程中，應至少每年對系統進行一次等級測評，發現不符合相應等圾保護標準要求的及時整改。B、應在系統發生變更時及時對系統進行等圾測評，發現級別發生變化的及時調整級別并進行安全改造，發現不符合相應等級保護標準要求的及時整改。C、D、應選擇具有國家相關技術資質相安全資質的測評單位進行等圾測評。應指定或授權專門的部門或人員負責等級測評的管理。

12、信息安全等級保護測評工作原則，主要包括（）

A、規范性原則。B、整體性原則。C、最小影響原則。D、保密性原則。

13、等級測評實施過程中可能存在的風險，主要有（）

A、驗證測試影響系統正常運行。B、工具測試影響系統正常運行。C、敏感信息泄露，D、受到惡意攻擊。

三、填空題（16分）

1、針對信息的保密性、完整性和可用性要求及信息系統必須要達到的基本的安全保護水平等因素，信息和信息系統的安全保護等級共分哪五級？（）、（）、（）、（）、（）。

2、通過組織開展信息安全等級保護的哪三項重點工作，（）、（）、（）、落實等級保護制度的各項要求？

3、4、安全建設整改工作的主要特點？（）、（）、（）、（）

說明信息安全等級保護基本要求中二級系統中管理要求的控制類有多少？（）與三級系統中管理要求的控制類差異多少？（）另外二級系統中管理要求的系統運維管理要求項有多少？（）與三級系統中管理要求的系統運維管理要求項差異多少？（）

四、判斷題（10分）

1、信息系統等級保護的第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。（）

2、3、在進行信息安全測試中，我們一般不需要自己動手進行測試。（）根據《信息安全等圾保護管理辦法》，第三級信息系統運營、使用單位應當依據國家管理規范和技術標準進行保護，國家有關信息安全職能部門對其信息安全等級保護工作進行強制監罾、檢查。（）

4、根據《信息安全等圾保護管理辦法》，信息系統的運營、使用單位應當根據本辦法和有關標準，確定信息系統的安全保護等圾并報公安機關審核批準。（）

5、根據《信息安全等級保護管理辦法》，信息系統的運營、使用單位應當根據已確定的安全保護等級，依照本辦法和有關技術標準，使用符臺國家有關規定，滿足信息系統安全保護等級需求的信息技術產品，進行信息系統建設。（）

6、根據《信息安全等級保護管理辦法》，第十五條已運營（運行）的第二級以上信息系統，應當在安全保護等級確定后30日內由其運營、使用單位到所在地設區的市圾以上公安機關辦理備案手續。（）

7、根據《信息安全等級保護管理辦法》，公安機關應當掌握信息系統運營、使用單位的備案情況，發現不符合本辦法及有關標準的，應建議其予以糾正。（）

8、根據《信息安全等級保護管理辦法》，公安機關檢查發現信息系統安全保護狀況不符合信息安全等級保護有關管理規范和技術標準的，應當向運營、使用單位發出整改通知。（）

9、第二級信息系統是指具有抵御一般性攻擊的能力，防范常見計算機病毒和惡意代碼危害的能力；系統遭到損害后，具有恢復系統主要功能的能力。（）

10、安全管理要求主要包括確定安全策略，落實信息安全責任制，建立安全組織機構，加強人員管理、系統建設和運行維護的安全管理等。（）

11、第二級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。國家信息安全監管部門對該級信息系統信息安全等級保護工作進行監督、檢查．屬于監督保護圾。（）

12、等圾保護的政策文件主要涵蓋了等級保護制度、定級、備案、等級測評、安全建設、監督檢重等工作的各個環節，構成了比較完備政策體系。（）

13、《管理辦法》中信息系統重要程度的等級的概念，是信息安全等級保護工作中的系統定級和備案、安全建設整改、等級測評和監督檢查等工作的依據。（）

14、信息安全等級保護體現了“誰主管、誰負責，誰使用、誰負責，誰運營、誰負責”的信息安全責任制。（）

15、依據GB/T22239-2008，三級信息系統應對“系統管理數據”、“鑒別信息”和“重要業務數據”實現存儲保密性。（）

16、公安部、國家保密局、國家密碼管理局、原國務院信息辦共同印發的《信息安全等級保護管理辦法》即43號文。（）

17、在應用系統現場等級測評活動中，不需要對應用系統的安全功能進行驗證。（）

18、對于測試過程可能造成的對目標系統的網絡流量及主機性能等方面的影響，要實現告知被測系統相關人員。（）

19、審計日志的主要功能是可以對安全事件進行追蹤和發現入侵行為降低安全事件的發生。（）

20、安全技術要求主要包括身份鑒別、訪問控制、安全審計、完整性、保密性、惡意代碼防范、密碼技術應用等技術，以及物理環境和設施安全保護要求。（）

五、簡答題（28分）

1、在主機評測前期調研活動中，收集信息的內容？在選擇主機測評對象時應注意哪些要點？

2、3、通過開展信息系統安全建設整改工作要達到哪幾個方面的目標？ 身份認證的信息主要有哪幾類？并每項列舉不少于2個的事例。

六、加分題（10分）

簡述出管理要求中系統建設管理層面的控制點

第五篇：信息安全等級測評師模擬試卷三

信息安全等級考試模擬試卷三

一、判斷（10×1=10）

1、三級信息系統應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數和當網絡登錄連接超時時自動退出等措施。（）

2、口令認證機制的安全性弱點，可以使得攻擊者破解合法用戶帳戶信息，進而非法獲得系統和資源訪問權限。()

3、只要投資充足，技術措施完備，就能夠保證百分之百的信息安全。（）

4、特權用戶設置口令時，應當使用enable password命令設定具有管理員權限的口令。（）enable secrit

5、Windows2000/xp系統提供了口令安全策略，以對帳戶口令安全進行保護。()

6、脆弱性分析技術，也被通俗地稱為漏洞掃描技術。該技術是檢測遠程或本地系統安全脆弱性的一種安全技術。()

7、結構安全是網絡安全檢查的重點，網絡結構的安全關系到整體的安全。（）

8、一旦發現計算機違法犯罪案件，信息系統所有者應當在2天內迅速向當地公安機關報案，并配合公安機關的取證和調查。（）

9、不同vlan內的用戶可以直接進行通信。（）

10、三級系統應能夠對非授權設備私自連到內部網絡的行為進行檢查并準確定位.()---檢查，定位，阻斷

二、單項選擇題（15×2=30）

1、我國在1999年發布的國家標準（）為信息安全等級保護奠定了基礎。

A．GB 17799 B.GB 15408 C.GB 17859 D.GB 14430

2、安全保障階段中將信息安全體系歸結為四個主要環節，下列______是正確的。

A.策略、保護、響應、恢復 B.加密、認證、保護、檢測 C.策略、網絡攻防、備份 D保護、檢測、響應、恢復

3、為了數據傳輸時不發生數據截獲和信息泄密，采取了加密機制。這種做法體現了信息安全的 ______屬性。保密性 B.完整性 C.可靠性 D.可用性 信

4、在使用復雜度不高的口令時，容易產生弱口令的安全脆弱性，被攻擊者利用，從而破解用戶帳戶，下列（）具有最好的口令復雜度。A.Morrison B.Wm.＄*F2m5@ C.27776394 D.wangjing1977

5、息安全領域內最關鍵和最薄弱的環節是______。技術 B.策略 C.管理制度 D.人

6、對于提高人員安全意識和安全操作技能來說，以下所列的安全管理最有效的是______。

安全檢查 B教育和培訓 C.責任追究 D.制度約束

7、公安部網絡違法案件舉報網站的網址是______。A.www.tmdps.cn B.www.tmdps.cn C.http://www.tmdps.cn D.www.tmdps.cn

8、《計算機信息網絡國際聯網安全保護管理辦法》規定，互聯單位、接入單位、使用計算機信息網絡國際聯網的法人和其他組織(包括跨省、自治區、直轄市聯網的單位和所屬的分支機構)，應當自網絡正式聯通之日起______日內，到所在地的省、自治區、直轄市人民政府公安機關指定的受理機關辦理備案手續。A.7 B.10 C.15 D.30

9、等級保護標準GB l7859主要是參考了______而提出。歐洲ITSEC B.美國tcsec C.CC D.BS 7799

10、保證用戶和進程完成自己的工作而又沒有從事其他操作可能，這樣能夠使失誤出錯或蓄意襲擊造成的危害降低，這通常被稱為______。適度安全原則 B授權最小化原則 C.分權原則 D.木桶原則

12、對于人員管理的描述錯誤的是（）A.人員管理是安全管理的重要環節 B.安全授權不是人員管理的手段

C．安全教育是人員管理的有力手段 D.人員管理時，安全審查是必須的

13、根據《廣東省計算機信息系統安全保護條例》，計算機信息系統的運營、使用單位接到

13、公安機關要求整改的通知后拒不按要求整改的，由公安機關處以（）。

罰款5000元 B．拘留15日 C．警告 D．停機整頓

14、向有限的空間輸入超長的字符串是哪一種攻擊手段？(A)A、緩沖區溢出 B、網絡監聽 C、拒絕服務 D、IP欺騙

15、根據BS 7799的規定，訪問控制機制在信息安全保障體系中屬于______環節。

A保護 B.檢測 C.響應 D.恢復

三、多項選擇題（10×2）

1、我國信息安全等級保護的內容包括。

A.對國家秘密信息、法人和其他組織及公民的專有信息以及公 開信息和存儲、傳輸和處理這些信息的信息系統分等級實行安全保護 B.對信息系統中使用的信息安全產品實行按等級管理 C.對信息安全從業人員實行按等級管理

D.對信息系統中發生的信息安全事件按照等級進行響應和處置 E.對信息安全違反行為實行按等級懲處

2、信息系統常見的危險有。A.軟硬件設計故障導致網絡癱瘓 C.敏感信息泄露 D.信息刪除

B.黑客入侵 E.電子郵件發送

3、損害到國家安全的信息系統可能定級為

A.一級系統 B.二級系統 C.三級系統 D.四級系統 E.五級系統

4、在互聯網上的計算機病毒呈現出的特點是。

A.與互聯網更加緊密地結合，利用一切可以利用的方式進行傳播 B.有的計算機病毒不具有破壞性。C.擴散性極強，也更注重隱蔽性和欺騙性 D.針對系統漏洞進行傳播和破壞

5、是建立有效的計算機病毒防御體系所需要的技術措施。A.殺毒軟件

B.補丁管理系統 C.防火墻

E.漏洞掃描 D.網絡入侵檢測

6、網絡安全主要關注的方面包括：訪問控制、安全審計、邊界完整

性檢查、入侵防范、等七個控制點。

A、惡意代碼防范 B、網絡設備防護C、網絡邊界D、結構安全

7、根據ISO定義，信息安全的目標就是保證信息資產的三個基本安

全屬性，包括__。

A.不可否認性 B.保密性 D.可用性

C.完整性 E.可靠性

8、下列三級系統物理安全的說法中正確的是

A.機房應避免在建筑物的頂層或地下室、或用水設備的下層或隔壁 B.為了電線的整齊，通信線纜和照明電線同槽鋪設 C.應安裝過電壓保護裝置或穩壓器并且要配備ups D.為了防止電磁輻射被非法人員利用，獲取有效信息可用干擾器。

9、網絡蠕蟲病毒越來越多地借助網絡作為傳播途徑，包括。

A.互聯網瀏覽

B.文件下載

C.電子郵件 E.局域網文件共享 D.實時聊天工具

10、三級系統中要實現設備特權用戶的權限分離，特權用戶可分為 A.普通賬戶 B.審計賬戶 C.配置更改賬戶 D.gust賬戶

四、簡答題

1、簡述單位、組織的信息安全管理工作如何與公安機關公共信息網絡安全檢查部門（公安網監部門）相配合。（10）

2、國家為什么要實施信息安全等級保護制度

一、判斷（10×1=10）√√××√√√×××

二、選擇題

單項選擇題 1-10 c d a bdb cdbb 12-15 bdaa 三多選題

1-10(ABD)(ABCD)（CDE）(ACD)(ABCDE)(ABD)(BCD)(ACD)。(ABCDE)（ABC）四簡答題

答： 單位、組織的信息安全管理工作與公安機關公共信息網絡安全監察部門之間的配合主要體現在以下方面：

（1）單位、組織的信息安全管理，必須遵循信息安全法律、法規對于安全管理職責、備案、禁止行為、安全管理制度和安全技術機制要求等方面的內容規定。

（2）法律、法規賦予公安機關公共信息網絡安全監察部門對信息安全的監管職責，各單位、組織必須接受和配合公安機關公共信息網絡安全監察部門的監督和檢查。

（3）在發生信息安全案件后，單位、組織應當及時向公安機關公共信息網絡安全監察部門報案，并在取證和調查等環節給予密切配合。2 答：

1、信息安全形勢嚴峻 1）來自境內外敵對勢力的入侵、攻擊、破壞越來越嚴重。2）針對基礎信息網絡和重要信息系統的違法犯罪持續上升。3）基礎信息網絡和重要信息系統安全隱患嚴重。

2、維護國家安全的需要

1）基礎信息網絡與重要信息系統已成為國家關鍵基礎設施。2）信息安全是國家安全的重要組成部分。

3）信息安全是非傳統安全，信息安全本質是信息對抗、技術對抗。我國的信息安全保障工作基礎還很薄弱。

3、主機常見測評的問題

檢測用戶的安全防范意識，檢查主機的管理文檔（弱口令、安全配置文檔）

網絡服務的配置（不能有過多的網絡服務，防ping）安裝有漏洞的軟件包（安裝過時的軟件包）缺省配置（口令缺省配置，可能被人錄用）不打補丁或補丁不全（以沒有通過測試等為由拒絕補丁的安裝）網絡安全敏感信息的泄露（.net服務、database命令，最小原則下，這

些命令是禁用的）

缺乏安全防范體系（防病毒體系不健全、linux沒有成熟的軟件，按要求

也是要有的記錄）

信息資產的不明，缺乏分類的處理（如一臺服務器不知道干什么用的，上

面有很多服務）

安全管理信息單

一、缺乏統一的分析和管理平臺（安全管理平臺，補丁

升級平臺，防病毒平臺等）