C．应用日志跟踪应用程序关联的事件，例如应用程序产生的装载DLL（动态链接库）失败的信息
D. 安全日志跟踪各类网络入侵事件，例如拒绝服务攻击、口令暴力破解等
69 以下关于windows SAM（安全账户管理器）的说法错误的是：
A. 安全账户管理器（SAM）具体表现就是%SystemRoot%\\system32\\config\\sam B. 安全账户管理器（SAM）存储的账号信息是存储在注册表中
C. 安全账户管理器（SAM）存储的账号信息对administrator和system是可读和可写的 D. 安全账户管理器（SAM）是windows的用户数据库，系统进程通过Security Accounts Manager服务进行访问和操作
70 在关系型数据库系统中通过“视图（view）”技术，可以实现以下哪一种安全原则？ A.纵深防御原则 B.最小权限原则 C.职责分离原则
D.安全性与便利性平衡原则
71、下列哪项不是安全管理方面的标准？ A ISO27001 B ISO13335 C GB/T22080 D GB/T18336
72、目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度? A.公安部 B.国家密码局 C.信息产业部
D.国家密码管理委员会办公室
73、下列哪项不是《信息安全等级保护管理办法》（公通字[2007]43号）规定的内容： A．国家信息安全等级保护坚持自主定级，自主保护的原则。
B．国家指定专门部门对信息系统安全等级保护工作进行专门的监督和检查。 C．跨省或全国统一联网运行的信息系统可由主管部门统一确定安全保护等级
D．第二级信息系统应当每年至少进行一次等级测评，第三级信息系统应当每半年至少进行一次等级测评。 74、《刑法》第六章第285、286、287条对计算机犯罪的内容和量刑进行了明确的规定，下列哪一项不是其中规定的罪行？ A.非法入侵计算机信息系统罪 B.破坏计算机信息系统罪 C.利用计算机实施犯罪
D.国家重要信息系统管理者玩忽职守罪
75、一家商业公司的网站发生黑客非法入侵和攻击事件后，应及时向哪一个部门报案？ A. 公安部公共信息网络安全监察局及其各地相应部门 B. 国家计算机网络与信息安全管理中心 C. 互联网安全协会 D. 信息安全产业商会
76、下列哪个不是《商用密码管理条例》规定的内容？
A. 国家密码管理委员会及其办公室（简称密码管理机构）主管全国的商用密码管理工作 B. 商用密码技术属于国家秘密，国家对商用密码产品的科研、生产、销售和使用实行专控管理
C. 商用密码产品由国家密码管理机构许可的单位销售
D. 个人可以使用经国家密码管理机构认可之外的商用密码产品
77、下面关于《中华人民共和国保守国家秘密法》的说法错误的是： A. 秘密都有时间性，永久保密是没有的
B. 《保密法》规定一切公民都有保守国家秘密的义务 C. 国家秘密的级别分为“绝密”“机密”“秘密”三级
D. 在给文件确定密级时，从保密的目的出发，应将密级尽量定高
78.数据库事务日志的用途是: A. 事务处理 B.数据恢复 C.完整性约束 D．保密性控制
79. 下面对于cookie的说法错误的是：
A. cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息。 B. cookie可以存储一些敏感的用户信息，从而造成一定的安全风险
C.通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗
D.防范cookie欺骗的一个有效方法是不使用cookie验证方法，而使用session验证方法。
80. 攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚步将被解释执行，这是哪种类型的漏洞？ A. 缓冲区溢出 B. sql注入 C.设计错误 D.跨站脚本
81. 通常在网站数据库中，用户信息中的密码一项，是以哪种形式存在？ A. 明文形式存在
B.服务器加密后的密文形式存在 C.hash运算后的消息摘要值存在 D.用户自己加密后的密文形式存在
82.下列对跨站脚本攻击（XSS）的描述正确的是：
A. XSS攻击指的是恶意攻击者往WED页面里插入恶意代码，当用户浏览浏览该页之时，嵌入其中WEB里面的代码会执行，从而达到恶意攻击用户的特殊目的 B.XSS攻击时DDOS攻击的一种变种 C.XSS攻击就是CC攻击
D.XSS攻击就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使IIS连接数超出限制，当CPU资源或者带宽资源耗尽，那么网站也就被攻击垮了，从而达到攻击目的
83 下列哪种技术不是恶意代码的生产技术？ A. 反跟踪技术、 B. 加密技术 C. 模糊变换技术 D. 自动解压缩技术
84 当用户输入的数据被一个解释器当做命令或查询语句的一部分执行时，就会产生哪种类型的漏洞？ A. 缓冲区溢出 B. 设计错误 C. 信息泄露 D. 代码注入
85 Smurf 利用下列哪种协议进行攻击？ A. ICMP B. IGMP C. TCP D. UDP
86.如果一名攻击者截获了一个公钥，然后他将这个公钥替换为自己的公钥并发送给接收者，这种情况属于哪一种攻击？ A. 重放攻击 B. Smurf攻击 C.字典攻击 D.中间人攻击
87 渗透性测试的第一步是: A. 信息收集
B. 漏洞分析与目标选定 C. 拒绝服务攻击 D. 尝试漏洞利用
88 软件安全开发中软件安全需求分析阶段的主要目的是： A. 确定软件的攻击面，根据攻击面制定软件安全防护策略 B. 确定软件在计划运行环境中运行的最低安全要求 C. 确定安全质量标准，实施安全和隐私风险评估
D. 确定开发团队关键里程碑和交付成果
89.管理者何时可以根据风险分析结果对已识别的风险不采取措施？ A．当必须的安全对策的成本高出实际风险的可能造成的潜在费用时 B．当风险减轻方法提高业务生产力时
C．当引起风险发生的情况不在部门控制范围之内时 D．不可接受
90 以下关于风险管理的描述不正确的是：
A风险的4种控制方法有：降低风险/转嫁风险/规避风险/接受风险 B信息安全风险管理是否成功在于风险是否被切实消除了
C组织应依据信息安全方针和组织要求的安全保证程度来确定需要处理的信息安全风险 D信息安全风险管理是基于可接受的成本，对影响信息系统的安全风险进行识别、控制、降低或转移的过程
91如果你作为甲方负责监管一个信息安全工程项目的实施，当乙方提出一项工程变更时你最应当关注的是：
A. 变更的流程是否符合预先的规定 B. 变更是否项目进度造成拖延 C. 变更的原因和造成的影响
D. 变更后是否进行了准确的记录
92 应当如可理解信息安全管理体系中的“信息安全策略”？ A为了达到如何保护标准而提出的一系列建议
B为了定义访问控制需求而产生出来的一些通用性指引 C组织高层对信息安全工作意图的正式表达 D一种分阶段的安全处理结果
93 以下关于“最小特权”安全管理原则理解正确的是： A. 组织机构内的敏感岗位不能由一个人长期负责 B. 对重要的工作进行分解，分配给不同人员完成 C. 一个人有且仅有其执行岗位所足够的许可和权限
D. 防止员工由一个岗位变动到另一个岗位，累积越来越多的权限
94 作为一个组织中的信息系统普通用户，以下哪一项不是必须了解的？ A. 谁负责信息安全管理制度的制度和发布 B. 谁负责监督信息安全制度的执行
C. 信息系统发生灾难后，进行恢复的整体工作流程 D. 如果违反了安全制度可能会受到的惩戒措施
95 职责分离是信息安全管理的一个基本概念，其关键是权力不能过分集中在某一个人手中。职责分离的目的是确保没有单独的人员（单独进行操作）可以对应用程序系统特征或控制功能进行破坏。当以下哪一类人员访问安全系统软件的时候，会造成对“职责分离”原则的违背？
A．数据安全管理员 B．数据安全分析员 C．系统审核员 D．系统程序员
96 在国家标准《信息系统恢复规范》中，根据----要素，将灾难恢复等级划分为_____级 A． 7，6 B． 6，7 C． 7，7 D． 6，6
97 在业务持续性计划中，RTO指的是： A．灾难备份和恢复 B．恢复技术项目 C．业务恢复时间目标 D．业务恢复点目标
98 应急方法学定义了安全事件处理的流程，这个流程的顺序是： A. 准备-抑制-检测-根除-恢复-跟进 B. 准备-检测-抑制-恢复-根除-跟进 C. 准备-检测-抑制-根除-恢复-跟进 D. 准备-抑制-根除-检测-恢复-跟进
99.下面有关能力成熟度模型的说法错误的是：
A.能力成熟度模型可以分为过程能力方案（Continuous）和组织能力方案（Staged）两类 B.使用过程能力方案时，可以灵活选择评估和改进哪个或哪些过程域
C.使用组织机构成熟度方案时，每一个能力级别都对应于一组已经定义好的过程域 D SSE-CMM是一种属于组织能力方案（Staged）的针对系统安全工程的能力成熟度模型
100.下面哪一项为系统安全工程 成熟度模型提供了评估方法： A.ISSE B.SSAM C.SSR D.CEM
101、下面关于信息安全保障的说法错误的是：
A.信息安全保障的概念是与信息安全的概念同时产生的
B.信息系统安全保障要素包括信息的完整性，可用性和保密性
C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段
D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施各种保障要素，在系统的生命周期内确保信息的安全属性。
102、以下哪一项是数据完整性得到保护的例子？
A.某网站在访问量突然增加时对用户连接数量进行了限制，保证已登录的用户可以完成操作