计算机等级考试三级信息安全知识整理

1. 信息技术的产生与发展，经历了电讯技术的发明、计算机技术的发展和互联网的使用

2. 我国于1984年成立了全国信息技术安全标准化技术委员会，其缩写为CITS

3. 信息安全问题内因主要来源于信息系统的复杂性

4. 中央于2003年颁布的《国家信息化领导小组关于加强信息安全保障工作的意见》，标志着我国信息安全保障体系建设工作的开始

5. 序列密码也称流密码

6. 属于序列密码的是RC4

7. 我国专家在1999年提出了“保护-预警-监测-应急-恢复-反击”模型，即PWDRRC模型

8. 当代信息安全学起源于二十世纪四十年代的通讯保密，其中确保通信过程安全的核心技术是密码学

9. 最难防范的密码学攻击方式是选择密文攻击

10. 美国制定数据加密标准DES的年份是1977

11. DES密码的结构基于Feistel网络

12. DES算法的密钥长度是64位，但其中有8位被用于奇偶校验

13. 美国颁布数字签名标准DSS的年份是1994

14. 美国颁布高级加密标准的年份是2001年

15. TCG可信计算系统结构层次分为：可信平台模块、可信软件栈、可信平台应用软件

16. 产生认证符的函数类型有三类：消息加密、消息认证码、哈希函数

17. 一个数字签名体制都要包括两个过程：签名和验证签名

18. 数字签名的过程使用的是签名者的私有密钥，验证数字签名时，使用的是签名者的公有密钥

19. 能够抵抗内容修改、顺序修改等攻击的技术是消息认证

20. IPSec协议框架中支持加密功能的安全协议是ESP协议

21. 两台配置了IPSec协议的Windows计算机进行IPSec初始连接时，通过Wireshark嗅探的前面10个数据包是ISAKMP协议的数据包

22. AAA是指认证、授权、审计

23. 一个用户通过URL等操作可以成功访问到未被授权的内容，是不安全的直接对象引用

24. 消息认证不能预防的是发送方否认

25. 验证所收到的消息确实来自真正的发送方且未被篡改的过程是消息认证

26. 消息认证、数字签名和口令保护均属于哈希函数的应用

27. 哈希函数特点的是：压缩、易计算、单向性、抗碰撞性、高灵敏性

28. 哈希函数不能应用于消息加密

29. 消息加密本身提供了一种认证手段，在此方法中，整个消息的密文作为认证码

30. 哈希函数属于单向函数

31. 数字签名不能用于产生认证码

32. 数字签名能够解决篡改、伪造等安全性问题

33. 电子签名证书应当载明电子认证服务者名称、证书持有人名称、证书序列号、证书有效期

34. 证书链的起始段被称为信任锚

35. 机构要想提供电子认证服务，应具备具有符合国家安全标准的技术和设备

36. GB/T AAAA-AAAA是指信息安全技术、信息系统安全等级保护定级指南

37. 制定有关密钥管理、数字签名、安全评估内容的组织是ISO/IEC JTC1

38. 不包含在数字证书中的是用户的私钥

39. 用于验证消息完整性的是消息摘要

40. 支持多种不同类型的CA系统相互传递信任关系的是桥CA信任模型

41. CA通过发布证书黑名单，公开发布已经废除的证书

42. 基于硬件介质的软件安全保护技术不包括数字证书

43. 没有采用Feistel网络的密码算法是AES

44. DSS用于数字签名，IDEA用于加密和签名

45. 不能用于身份认证的是AC证书

46. 不属于分布式访问控制方法的是基于PKI体系的认证模式

47. 不属于分组密码工作模式的是CCB

48. 不属于强制访问控制模型的是RBAC

49. 不能用于数字签名的算法是EIGamal

50. 不属于集中式访问控制协议的是Kerberos协议

51. 不属于IKE协议的是Kerberos

52. 不属于访问控制实现的方法是虚拟性访问控制

53. 不属于分布式访问控制方法的是Diameter

54. 属于非集中访问控制方法的是访问矩阵模型

55. 不能通过消息认证技术解决的攻击是泄密

56. 属于单密钥密码算法的是DES算法

57. 属于保密性模型的是Bell-Lapudula模型

58. Kerberos协议是分布式网络环境的一种认证协议

59. ESP协议在传输模式下不进行加密的是源IP和目标IP

60. Biba模型属于强制访问控制

61. IPSec协议属于第三层隧道协议

62. 可为电子邮件提供数字签名和数据加密功能的是S/MIME

63. 典型的PKI系统不包括CDS

64. 不能被攻击者用来进行DOS攻击的是IPSec

65. Diffie-Hellman算法是一种密钥交换协议

66. MAC指的是强制访问控制

67. 因为IKE建立在ISAKMP框架上，IKE协商安全参数要经过二个阶段

68. 访问控制模型中，支持安全标签的是强制访问控制

69. 具有强制访问控制和自助访问控制属性的访问控制模型是Chinese Wall

70. 应用在多边安全系统中的模型是Chinese Wall模型

71. 限定一个用户对一个客体目标访问的安全属性集合是访问控制标签列表

72. Kerberos协议设计的核心是在用户的验证过程中引入了一个可信的第三方，即Kerberos验证服务器

73. AES的整体结构采用的是SP网络

1. Windows系统中，查看当前已经启动的服务列表的命令是net start

2. Windows操作系统核心组件中，硬件抽象层组件是HAL.dll

3. 在不执行程序的前提下，将程序的输入表示成符号，根据程序的执行流程和输入参数的赋值变化，把程序的输出表示成包含这些符号的逻辑或者算术表达式，这种技术称为符号执行技术

4. 在Windows启动后，从硬盘上读取boot.ini文件并进行系统选择的程序是Ntldr

5. Windows有三种类型的事件日志：系统日志、应用程序日志和安全日志

6. 通过对日志进行分析，发现所需事件信息和规律是安全审计的根本目的

7. 操作系统使用保护环机制来确保进程不会会在彼此之间或对系统的重要组件造成负面影响

8. 用户接口分为作业级接口和程序级接口

9. 被调用的子函数下一步写入数据的长度，大于栈帧的基址到ESP之间预留的保存局部变量的空间时，就会发生栈的溢出

10. 堆是一个先进先出的数据结构，在内存中的增长方向是从低地址向高地址增长

11. 栈是一个后进先出的数据结构，在内存中的增长方向是从高地址向低地址增长

12. 堆由低地址向高地址增长，栈由高地址向低地址增长

13. 指令寄存器EIP始终存放着返回地址

14. 当用户身份被确认合法后，赋予该用户进行文件和数据等操作权限的过程是授权

15. 不能从CPU模式从用户模式转到内核模式的方法是系统调用

16. 进程管理通过中断来实现，并非系统调用

17. 能够对操作系统的服务进行请求的是系统调用

18. 现在许多操作系统不使用第二保护环

19. 可对Windows系统文件进行签名验证的工具是sigverif

20. 在Windows中，查看进程命令并能查看进程同服务的关系的DOS命令是tasklist

21. 在Windows中，可以查看目录中的子目录和文件名，也可以进入其子目录的目录权限是List

1. Linux系统启动后运行的第一个进程是init

2. 不属于Unix/Linux文件类型的是可执行文件

3. chmod用于改变文件或目录的访问权限，chown将指定文件的拥有者改为指定的用户或组，who命令用于查看当前在线上的用户情况

4. 如果要给文件foo的文件以读权限，使用命令是：chmod g + r foo

5. 在Unix/Linux中，主要的审计工具是syslogd守护进程

6. 在Unix/Linux中，服务是通过inetd进程或启动脚本启动的

7. 在Unix/Linux中，服务是通过端口号来区分的

8. 可以替换inetd功能的是xinetd

9. 使用ls命令查看UNIX文件权限显示时，第一个字母表示文件类型，文件类型可以为p,d,l,s,c,b和-，其中d表示目录文件

10. 在Lunix/Unix系统中，用户命令的可执行文件通常存放在/bin

11. 在Lunix/Unix系统中，配置文件通常存放在/etc

12. UNIX系统中，使用ls-l命令可以查看文件权限， -rw-rw-rw-可读(r)可写(w)不可执行(-)，中间3位rw-表示文件拥有组权限一 可读(r)可写(w)不可执行(-) 最后3位rw-表示其他用户权

13. UNIX文件系统安全基于i节点中的三段关键信息，即文件拥有者、文件所在分组和模式

14. 在Unix/Linux中，主要的审计功能是由syslogd守护进程完成的

1. 不属于诱骗式攻击的是ARP欺骗、拒绝服务攻击

2. 不属于分布式访问控制的方法是RADIUS

3. IPSec支持IPv4和IPv6协议

4. IPSec协议提供的安全功能不包括故障诊断

5. SET协议安全性高于SSL协议是由于SET协议将整个信息流动过程都进行了安全保护

6. SSL协议中，客户端通过对服务器端发来的证书进行验证，以完成对服务器端的身份认证

7. 不属于身份认证手段的是基于消息认证码的认证

8. SSL协议为应用层提供了加密，身份认证和完整性验证的保护

9. 提供电子邮件数字签名和数据加密功能的协议是S/MIME

10. 不属于PKI信任模型的是链状信任模型

11. 收集攻击行为和非正常操作的行为特征，以建立特征数据库进行检测的IDS系统，属于误用检测型IDS

12. 误用检测技术不包括统计分析

13. 不属于恶意程序传播方法的是加壳欺骗

14. 属于网络中不良信息监控方法的是网络过滤技术、网页内容过滤技术、图像内容过滤技术

15. 微软公司漏洞分为：紧急、重要、警告、注意

16. 不属于访问控制实现方法的是虚拟性访问控制

17. 信息系统的安全保护等级分为五级

1. 在数据库中，不能保证数据完整性的是视图

2. 不属于数据库软件执行的完整性服务是关系完整性

3. 对数据库的安全防护分为三个阶段：事前检查、事中监控和事后审计

4. 不能在视图上完成的是在视图上定义新的表

5. 审计系统由日记记录器、分析器、通告器组成

6. 数据库通过开放一定的端口，来完成与客户端的通信和数据传输

7. 数据库渗透测试的对象主要是数据库的身份验证系统和服务监听系统

8. 通常情况下，SQL注入攻击所针对的数据信道包括存储过程和Web应用程序输入参数

9. 在INSERT\UPDATE\CREATE\DELETE语句中，不能回退的是CREATE语句

10. 不属于数据库事务处理特性的是完整性

11. 深入数据库之前，对数据库内部的安全相关对象进行完整的扫描和检测，即内部安全检测

12. 在CREATE TABLE语句中使用DEFAULT子句，是定义默认值首选的方法

13. 用于设置数据库审计功能的SQL命令是ADUIT

14. 用于设置取消数据库审计功能的SQL命令是NOADUIT

15. 每个事务均以BEGIN TRANSACTION语句显示开始，以COMMIT或ROLLBACK语句显示结束

16. 定义一个用户的数据库存储权限，就是要定义这个用户可以在那些数据库对象上进行哪些类型的操作

17. 在数据库中，用户权限是由两个要素组成的：数据库对象和操作类型

18. 拥有CONNECT权限的用户不能创建新用户，不能创建模式，也不能创建基本表，只能登录数据库

1. 防护墙能够防范的是对内网的漏洞扫描攻击

2. 防火墙不能防范针对面向连接协议的攻击

3. 防火墙不能对SQL注入漏洞进行有效防范

4. 不属于防火墙体系结构的是屏蔽中间网络体系结构

5. 由两个包过滤防火墙和一个堡垒主机构成的防火墙体系结构是屏蔽子网体系结构

6. 状态检测防火墙技术能够对其动态连接状态进行有效检测和防护的是TCP

7. 静态包过滤防火墙技术对数据包进行过滤的协议层为网络层和传输层

8. 硬件防火墙的平台架构不支持IAAS架构

9. 采用rootkit技术的木马属于第五代木马

10. Nmap支持的扫描是端口扫描

11. 入侵防御系统IPS具有在应用层进行防护功能以及入侵检测功能

12. 不属于数据库安全测试的是入侵检测

13. 属于数据库动态安全防护的是数据库入侵检测防护

14. 文件完整性检验技术主要用于HIDS

15. 不能防范网络嗅探的协议是AH

16. 不能防范网络嗅探工具对数据包嗅探的技术是VLAN

17. 属于网络层协议的是RIP

18. 属于应用层协议的是HTTP、DNS、SSH

19. SSL加密的协议层是应用层

20. SSL协议中握手协议的作用是完成传输格式的定义

21. 网络地址翻译技术NAT根据映射放不同分为三类静态NAT、NAT池、端口地址转换NAT

22. 跨站点请求伪造攻击的是客户端请求

23. Internet上提供一种查找相关域名、IP地址、E-mail信箱、联系电话等信息的服务是whois

24. 针对80端口传输的数据，专用的web防火墙比普通的防火墙增加了对应用层的过滤

25. 利用ICMP协议进行扫描时，可以扫描的目标主机信息是IP地址

26. 弱口令扫描主要包括：基于字典攻击的扫描技术和基于穷举攻击的扫描技术

27. UDP Flood攻击是耗尽目标主机网络带宽的攻击

28. 不能对IP进行扫描的是Wireshark

29. 不属于木马隐藏技术的是端口反弹

30. 只能用于端口扫描的是Nmap

31. 拒绝服务攻击中不通过传输层实施的是Script Flood

32. 不能进行有效防范网络嗅探的是TELNET

33. 不能进行漏洞扫描的是Nmap

34. TCP三次握手中，第一次握手数据包控制位中的标志位状态为SYN=1,ACK=0

35. TCP全连接扫描是TCP三次握手扫描

36. TCP头部格式中，表示出现差错，必须释放TCP连接重新建立新连接的标志位是RST

37. ESP协议不能对其进行封装的是链路层协议

38. ESP协议为基于IPSec的数据通信提供的安全保护机制，不包括加密存储

39. 根据ESP封装内容的不同，可将ESP分为传输模式和隧道模式

40. ESP协议处理并传输数据的性能小于AH协议

41. 代理服务器在应用层对数据进行基于安全规则的过滤

42. NIDS包括探测器和控制台两部分

43. IDS异常检测技术主要通过统计分析方法和神经网络方法实现

44. 为了捕获网路接口收到的所有数据帧，网络嗅探工具会将网络接口设置成混杂模式

45. 自主访问控制模型的实现机制是通过控制矩阵实施的

46. 任何访问控制策略最终可以被模型化为访问控制矩阵形式

47. 端口扫描时，采用慢速扫描可以隐藏端口扫描行为

48. 不能用于端口扫描的工具是tracert

49. 半连接扫描的端口扫描技术是TCP SYN扫描

50. 端口扫描时，隐蔽性最高的扫描方法是TCP FIN扫描

51. 被称为秘密扫描的端口扫描技术是TCP FIN扫描

52. 基于矩阵的行的访问控制信息表示的是访问能力表

53. 基于矩阵的列的访问控制信息表示的是控制表

54. 基于角色的访问控制模型的要素包括用户、角色和许可的基本定义

55. 强制访问控制系统通过比较主体和客体的安全标签来决定一个主体是否能够访问某个客体

56. TCG使用了可信平台模块，而中国的可信平台以可信密码模块作为核心

57. TCG定义可信计算平台的信任根包括三个根：可信测量根、可信存储根、可信报告根

58. TPM是指可信平台模块

59. TPCM是指可信平台控制模块

60. TCB是指可信计算基

61. 软件保护技术中，通过对可执行文件的压缩或者加密，进而改变可执行文件中的代码表示形式以增加动态逆向分析的难度，被称为软件加壳技术

62. 根据加壳原理的不同，软件加壳技术包括压缩保护壳和加密保护壳

63. 跨站点请求伪造攻击的简写是CSRF

64. Dos攻击的实现方式不包括通过耗尽目标主机的存储空间，实施Dos攻击

65. 不能对ARP欺骗攻击起到方案和检测作用的是PKI

66. PKI系统中，OCSP服务器的功能是为用户提供证书在线状态的查询

67. 随着PKI技术日趋成熟，许多应用开始使用数字证书进行身份认证和数字加密

1. 不属于漏洞定义三要素的是漏洞是由于计算机系统设计、开发和运行中的疏忽而导致的；漏洞是计算机系统中不可避免的；漏洞是系统中难以克服的缺陷或不足

2. 不能防止Web系统出现安全配置错误的是及时配置好Web防火墙

3. 可以使新的返回地址定位到shellcode起始地址的是jmp esp

4. 根据软件漏洞具体条件，构造相应输入参数和Shellcode代码，最终实现获得程序控制权的过程，是漏洞利用

5. 漏洞利用的核心，是利用程序漏洞去执行shellcode以便劫持进程的控制权

6. 整数溢出不包括代码溢出

7. 在进行栈溢出漏洞利用时，不属于漏洞利用数据项的是exploit

8. 攻击者利用栈溢出发起攻击时，向存在漏洞的软件程序输入的数据不包括原返回地址

9. Windows提供的软件漏洞利用防范技术不包括NOP

10. 在软件开发设计阶段应该考虑的安全原则，不包括充分考虑安全的条件

11. 木马的特点不包括感染性

12. 综合漏洞扫描不包括恶意程序扫描

13. 属于UAF漏洞的是内存地址对象破坏性调用漏洞

14. 属于恶意程序查杀技术的是特征码查杀、启发式查杀、基于虚拟机技术的行为判定以及主动防御，但移动介质查杀不属于查杀技术

15. 通过将恶意程序加载到虚拟环境中，从而让恶意程序自动脱壳还原为原有状态，再进行检测查杀的技术，被称为虚拟机查杀技术

16. 使可执行文件还原为可执行文件的正常状态的技术是软件脱壳

17. 软件程序的攻击面包括一个软件可能遭受外来攻击的所有攻击点

18. 不属于恶意程序传播方法的是修改浏览器配置、加壳

19. 恶意程序会修改被感染计算机的Hosts文件，利用虚假IP地址的影响劫持技术来屏蔽被感染计算机与安全站点之间的连接

20. 恶意程序对计算机感染后的破坏功能不包括诱骗下载

21. 恶意行为审计与监控，主要监测网络中针对服务器的恶意行为，包括恶意的攻击行为和入侵行为

22. 限制内存堆栈区的代码，从而防范溢出后代码的执行，这种技术被称为数据执行保护

23. 通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常，这种技术称为污点传播分析技术

24. 限制内存堆栈区的代码为不可执行的状态，从而防范溢出后代码的执行，这种技术是数据执行保护技术DEP

25. 风险评估分为自评估和检查评估

26. 软件漏洞网络攻击框架性工具是Metasploit

27. 软件漏洞危险等级中最低的等级是：低危

28. 系统安全维护的正确步骤是：报告错误、处理错误、处理错误报告

29. 常用的软件测试方法不包括蓝盒测试

30. 白盒测试方法是针对Web系统的源代码进行全面的代码安全性分析和审查的方法

31. 用来做攻击诱捕的有真实操作系统的虚拟机系统，可以收集到丰富的主机响应信息的是高交互蜜罐

32. 可以通过网络等途径，自动将自身的全部或部分代码复制传播给网络中其他计算机的完全独立可运行程序是蠕虫

33. 目前流行的捆绑方式不包括网站钓鱼捆绑

34. 缓冲区溢出漏洞是由于向程序的缓冲区中输入的数据超过其规定长度，破坏正常的堆栈，使程序执行其他指令

35. 审查数据电文作文证据的真实性时，需要考虑用以鉴别发件人方法的可靠性

36. 根据具体需求和资源限制，可以将网络信息内容审计系统分为流水线模型和分段模型两种过程模型

37. 对传动的会话或文件进行加密时，采用的密钥是密钥加密密钥

38. 微软的安全技术中对程序分配的内存地址进行随机化分布的是ASLR

39. 在定义ISMS的范围时，为了使ISMS定义更加完整，组织机构无需重点考虑的实际情况是发挥规划

40. 不属于软件源代码静态安全监测技术的是模糊测试

41. 静态安全分析技术检测源代码安全缺陷和漏洞的主要优势是不需要构建代码运行环境，分析效率高，资源消耗低

42. 利用网络服务程序的漏洞进行传播的是局域网传播

43. 通过分析软件代码中变量的取值变化和语句的执行情况，来分析数据处理逻辑和程序的控制流关系，从而分析软件代码的潜在安全缺陷的技术是数据流分析技术

44. 风险评估分为自评估和检查评估

45. 安全测试技术不包括分析源代码中函数的逻辑关系

46. 结合了程序理解和模糊测试的软件动态安全测试技术称为智能模式测试技术

47. 安全测试需要从攻击者的角度展开测试，不属于安全测试的是全面测试软件的功能实现

48. 对数据库的开放端口进行扫描，检查其中的安全缺陷，这种数据库安全检测是服务发现

49. CC评估等级每一级均需评估七个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命周期的技术支持、测试和脆弱性评估

50. OWASP的十大安全威胁排名中，位列第一的是注入攻击

51. 不属于诱骗式攻击的是注入攻击

52. 持久型跨站脚本攻击的英文缩写为XSS

53. 不属于代码混淆技术的是语法转换、软件水印

54. 扩散和混淆是对称密码设计的主要思想

55. 在对称密码中，用以达到扩散和混淆目的是乘积迭代

56. 对称密码根据对明文的加密方式的不同而分为序列密码和分组密码

57. 两种有效的对称密码的选择明文分析方法：差分分析和线性分析

58. 加密算法一般要能抵抗选择明文攻击才是最安全的

59. 不属于对称密码算法的是ECC

60. 常用的认证协议包括基于口令的认证协议、基于对称密码的认证协议和基于公钥密码的认证协议

61. 对称密钥优点是加密/解密速度快，不需要占用过多的资源

62. 序列密码也称流密码

63. 国家对商用密码产品的科研、生产、销售和使用实行专控管理

64. SHA算法的消息摘要长度为160位

65. DES算法密钥的有效位数是56位

66. AES分组长度固定为128位，密钥长度可以是128、192或者256

67. 系统产生一个随机数r，并对其加密提供给用户；用户解密后计算r+1的加密密文，并回送给系统；最后系统计算r+1的加密密文，并与用户返回的值进行比较，若相等，则系统认为用户的身份为真，该身份认证过程是一次性口令认证

68. 密钥分配分为三类：人工密钥分发、基于中心的密钥分发和基于认证的密钥分发

69. 产生认证码的函数类型有三类：消息加密、消息认证码、哈希函数

70. 灾难恢复中用于恢复持续性之外的其他意图包括：电子拱桥、远程日志、数据库镜像

1. 国家信息安全漏洞共享平台英文缩写为CNVD

2. 中国信息安全测评中心的英文简称是CNITSEC

3. 在信息安全事故中，必须采取的措施中不包括保护物理资产

4. 不属于应急计划三要素的是基本风险评估

5. 不属于审核准备工作内容的是加强安全意识教育

6. 软件安全开发技术，主要是建立安全威胁模型

7. 微软SDL又称软件安全开发生命周期模型

8. 不属于软件安全开发技术的是安全发布

9. 不属于软件安全保护技术的是软件逆向分析技术

10. 计算机系统安全评估的第一个正式标准是可信计算机评估标准TCSEC

11. 在安全管理的方针中，不属于主要内容的是信息管理的流程

12. 《信息系统安全保护等级划分准则》中提出了四个要素：业务数据、信息系统所属类型、信息系统服务范围和业务自动化处理程度

13. 信息安全工作人员在上岗前、在岗期间和离职时都要严格按照人员安全控制策略执行安全措施

14. 人为的网络攻击是信息安全问题产生的外因

15. 信息安全管理体系属于风险管理的范畴

16. 信息安全管理体系是一个系统化、程序化、文件化的管理体系，它所属的范畴是风险管理

17. 信息安全管理体系评审程序，不包括复合评审报告

18. 风险管理的两个任务：风险标记和风险控制

19. 信息安全的发展大致经历了三个主要阶段：通信保密阶段、计算机安全阶段和信息安全保障阶段

20. 信息安全管理的五个层面是：物理安全、网络安全、主机安全、应用安全、数据安全

21. 信息安全的五个基本属性是：机密性、可控制性、可用性、完整性、不可否认性

22. 信息安全管理体系认证基于的是自愿

23. 信息安全技术评估标准将评估过程分为两个部分：功能和保证

24. 信息安全保障工作的内容是：确定安全需求、设计和实施安全方案、进行信息安全评测、实施信息安全监控与维护

25. CC标准将评估过程分为两部分，即功能和保证

26. 信息技术安全评价通用标准CC是由六个国家联合提出，并逐渐形成国际标准，ISO 15408

27. CC评估等级每一级均需评估七个功能类，分别是配置管理、分发操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估

28. 《信息安全等级保护管理办法》将信息系统安全保护等级分为五级

29. 信息系统安全保障涵盖三个方面：生命周期、保障要素、安全特征

30. 首次给出关于IT安全的机密性、完整性、可用性、审计性、认证行和可靠性6个方面含义的标准是ISO 13335

31. 为客体分配访问权限是实施组织机构安全性策略的重要组成部分，分配权限时依据的重要原则是最少特权

32. 组织机构实施信息安全管理体系认证所根据的国际信息安全管理标准是BS7799标准

33. 电子认证提供者展厅电子认证服务需要在六十日前向信息产业主管部门报告

34. 电子认证服务提供者签发的电子签名认证证书应当载明的内容，不包括证书涉及的私钥

35. 属于信息系统的安全考核指标的是身份认证

36. 技术和管理层面的良好结合，是组织机构实现网络与信息安全系统的有效途径

37. 信息安全管理体系审核是信息安全管理体系的一种自我保证手段

38. 审核准备是体系审核工作的一个重要阶段，准备阶段工作做的越细致，现场审核就越深入，准备工作不包括确定不符合项编写不符合报告

39. 安全组织机构中的三结合是指领导、保卫、计算机技术人员相结合

40. 按照实现方法，访问控制可分为：行政性访问控制、逻辑/技术性访问控制、纠正性访问控制

41. 集中式的AAA管理协议包括拨号用户远程认证服务RADIUS、终端访问控制器访问控制系统TACACS和Diameter

42. 信息系统的安全保护等级由等级保护对象受到破坏时所侵害的客体；对客体造成侵害的程度两个要素决定

43. 信息安全管理工作的核心是风险处置，信息安全管理工作的基础是风险评估

44. 信息安全管理体系是一个系统化，程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全风险评估

45. 信息安全管理体系建立的基础是安全风险评估

46. 《信息系统安全等级保护划分准则》定级的四个要素，不包括信息载体类型

47. 《信息系统安全等级保护划分准则》将信息系统安全分为自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级

48. 《信息系统安全等级保护划分准则》主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计

49. 《信息系统安全等级保护基本要求》中的基本管理要求所涉及的层面，不包括业务范围管理

50. 信息安全的管理涉及的五个层面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理

51. 信息资产最重要的三个特征：机密性、完整性、有效性

52. 信息安全事故响应中，非必须采取的措施是首先保护物理资产的安全，然后尽可能保护人员的生命安全

53. “泄露会使国家安全和利益遭受严重的损害”的保密级别是机密级国家秘密

54. 国家秘密的保密期限，应当根据事项的性质和特点进行制定，对不能确定期限的，应当确定解密条件

55. 国家秘密的保密期限，绝密级别不超过30年，机密级别不超过20年，秘密级别不超过10年

56. 电子认证服务提供者应当妥善保存与认证相关的信息，信息保存期限至少为电子签名认证证书失效后五年

57. 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机系统，处有期徒刑3年以下

58. 国家秘密的保密期限不能确定时，应当根据事项的性质和特点，确定解密条件

59. 关于国家秘密，机关、单位应当根据工作需要，确定具体的保密期限、解密时间、或者解密条件