信息安全工程师当天每日一练试题地址：http://www.cnitpm.com/exam/ExamDay.aspx?t1=6

往期信息安全工程师每日一练试题汇总：http://www.cnitpm.com/class27-6-1.aspx

信息安全工程师每日一练试题（2017/5/26）在线测试：http://www.cnitpm.com/exam/ExamDay.aspx?t1=6&day=2017/5/26

信息安全工程师每日一练试题内容（2017/5/26）

试题1： 常见Web攻击方法，不包括？（）
A、利用服务器配置漏洞            
B、恶意代码上传下载
C、构造恶意输入（SQL注入攻击、命令注入攻击、跨站脚本攻击）
D、业务测试
试题解析与讨论：http://www.cnitpm.com/st/2272621385.html
试题参考答案：D

试题2：

有关系统安全工程-能力成熟度模型(SSE-CMM)中的基本实施(Base Practices，BP)，正确的理解是：（）
A．BP 是基于最新技术而制定的安全参数基本配置
B．大部分BP 是没有经过测试的
C．一项BP 适用于组织的生存周期而非仅适用于工程的某一特定阶段
D．一项BP 可以和其他BP 有重叠

试题解析与讨论：http://www.cnitpm.com/st/256345408.html
试题参考答案：C

试题3：

以下哪个是ARP欺骗攻击可能导致的后果？（）
A．ARP欺骗可直接获得目标主机的控制权
B．ARP欺骗可导致目标主机的系统崩溃，蓝屏重启
C．ARP欺骗可导致目标主机无法访问网络
D．ARP欺骗可导致目标主机死机

试题解析与讨论：http://www.cnitpm.com/st/2684110981.html
试题参考答案：C

试题4：

在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性，以下那一层次提供保密性、身份鉴别、数据完整性服务？（）
A.网络层
B 表示层
C.会话层
D.物理层

试题解析与讨论：http://www.cnitpm.com/st/268971977.html
试题参考答案：A

试题5：

PPDR模型不包括：（）
A.策略
B.检测
C.响应
D.加密

试题解析与讨论：http://www.cnitpm.com/st/27142476.html
试题参考答案：D

试题6：

以下关于CC标准说法错误的是：（）
A、通过评估有助于增强用户对于IT产品的安全信息
B、促进IT产品和系统安全性
C、清楚重复的评估
D、详细描述了安全评估方法学

试题解析与讨论：http://www.cnitpm.com/st/2718328858.html
试题参考答案：D

试题7：

根据《关于开展信息安全风险评估工作的意见》的规定，错误的是：（）
A.信息安全风险评估分自评估、检查评估两形式。应以检查评估为主，自评估和检查评估相互结合、互为补充
B.信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效”的原则开展
C．信息安全风险评估应贯穿于网络和信息系统建设运行的全过程
D．开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导

试题解析与讨论：http://www.cnitpm.com/st/2745586.html
试题参考答案：A

试题8： Regarding a disaster recovery plan, the role of an IS auditor should include: 
A、identifying critical applications. 
B、determining the external service providers involved in a recovery test. 
C、observing the tests of the disaster recovery plan. 
D、determining the criteria for establishing a recovery time objective (RTO).
试题解析与讨论：http://www.cnitpm.com/st/293841268.html
试题参考答案：C

试题9： During the review of a biometrics system operation, an IS auditor should FIRST review the stage of: 
A、enrollment. 
B、identification. 
C、verification. 
D、storage. 
试题解析与讨论：http://www.cnitpm.com/st/2941924835.html
试题参考答案：A

试题10： In an online transaction processing system, data integrity is maintained by ensuring that a transaction is either completed in its entirety or not at all. This principle of data integrity is known as: 
A、isolation. 
B、consistency. 
C、atomicity. 
D、durability. 
试题解析与讨论：http://www.cnitpm.com/st/2951619874.html
试题参考答案：C

试题11： During a postimplementation review of an enterprise resource management system, an IS auditor would MOST likely: 
A、review access control configuration. 
B、evaluate interface testing. 
C、review detailed design documentation. 
D、evaluate system testing. 
试题解析与讨论：http://www.cnitpm.com/st/2957313098.html
试题参考答案：A

试题12： What is the lowest level of the IT governance maturity model where an IT balanced scorecard exists? 
A、Repeatable but Intuitive 
B、Defined 
C、Managed and Measurable 
D、Optimized 
试题解析与讨论：http://www.cnitpm.com/st/2960413235.html
试题参考答案：B

试题13： To develop a successful business continuity plan, end user involvement is critical during which of the following phases? 
A、Business recovery strategy 
B、Detailed plan development 
C、Business impact analysis (BIA) 
D、Testing and maintenance 
试题解析与讨论：http://www.cnitpm.com/st/297694368.html
试题参考答案：C

试题14： 检查IT战略规划过程时，IS审计师应该确保这个规划：
A、符合技术水平现状
B、匹配所需的操作控制
C、明晰IT的任务与远景目标
D、详细说明项目管理实务
试题解析与讨论：http://www.cnitpm.com/st/2988627627.html
试题参考答案：C

试题15： 功能性在他们的生命周期中是来评估软件产品质量的一个特点，最好的描述在于（）
A、在清单中一系列功能的存在
B、软件从一个环境转移到另一个环境的能力
C、软件在一定的条件下保持其表现等级的能力
D、软件的表现和数据使用的关系
试题解析与讨论：http://www.cnitpm.com/st/2993728477.html
试题参考答案：A

试题16： 当对一个组织的内部网络进行渗透测试时,下列哪些方法最好,使测试的进行在网络中未被发现? （）
A、使用现有的文件服务器或域控制器的IP地址 
B、每隔几分钟，暂停扫描，让阈值重置. 
C、在傍晚时，当没有人登录时进行扫描
D、使用多个扫描工具，因为每个工具都有不同的特色. 
试题解析与讨论：http://www.cnitpm.com/st/2995928435.html
试题参考答案：B

试题17： 一个安全政策的成功实施最重要的是（）
A、使安全政策同化并且由所有合适的人员编写
B、管理层的支持和允许
C、强制执行，对违例进行惩罚
D、严格的实施，监督，并通过访问控制软件强制实施。
试题解析与讨论：http://www.cnitpm.com/st/299622656.html
试题参考答案：A

试题18： 来确定哪些用户有获得特权访问的权限，IS审计师应检查（）
A、系统登录日志
B、允许访问软件程序列表
C、违例访问
D、系统控制参数
试题解析与讨论：http://www.cnitpm.com/st/299999388.html
试题参考答案：D

试题19： 由于IT的发展，灾难恢复计划在大型组织中的应用也发生了变化。如果新计划没有被测试下面哪项是最主要的风险（）
A.灾难性的断电
B.资源的高消耗
C.恢复的总成本不能被最小化
D.用户和恢复团队在实施计划时可能面临服务器问题
试题解析与讨论：http://www.cnitpm.com/st/302245219.html
试题参考答案：A

试题20：  在对业务连续性计划进行审核时，信息系统审核员发现虽然所有的部门都在同一座大楼中(办公)，但是各个部门有各自独立的BCP(业务连续性计划)。审核员建议整合所有的BCP。以下哪一项应该首先被整合？（）
A.撤离计划
B.恢复优先级
C.备份存储
D.通信树 (联系表)
试题解析与讨论：http://www.cnitpm.com/st/3048323902.html
试题参考答案：A