位自行向同级公安机关进行备案

B、地市以下电信企事业单位的信息系统由地市电信管理部门统一向同级公安机关备案 C、各地部具有全程全网性质的信息系统，如本地网站、管理和办公系统等，仍按《信息安全等级保护管理办法》执行

D、开展针对各地全程全网性质的电信网络的信息安全等级保护检查时，应当会同电信主管部门共同进行

149.《关于贯彻落实电信网络等级保护定级工作的通知》（信电函[2007]101号）中，关

于定级结果评审的有关要求，以下不正确的是（ BD ）。

A、对于经集团公司审核后，安全保护等级拟定为第3级及以上级别的定级对象，应由集团公司将定级报告（电子版）报送信息产业部电信网络安全防护专家组评审，

B、安全保护等级拟定为第3级及以上级别的定级对象，应由信息产业部电信网络安全防护专家组确定定级对象的安全保护等级

C、当专家组评审意见与电信运营企业的意见达不成一致时，应选择双方建议级别中较高的级别作为最终确定的级别

D、当专家组评审意见与电信运营企业的意见达不成一致时，应选择电信网络安全防护专家组确定的安全保护等级

150.《关于贯彻落实电信网络等级保护定级工作的通知》（信电函[2007]101号）中要求，

定级对象的管理主体为（ AD ）： A、省级公司 B、地市级公司 C、电信监管部门 D、集团公司

151.《YD/T 1729-2008 电信网和互联网安全等级保护实施指南》中指出，电信网和互

联网安全防护工作的范围包括（ BCD ）。

A、非经营性的互联网信息服务单位、移动信息服务单位等 B、支撑和管理公众电信网和电信业务的业务单元和控制单元

C、企业办公系统、客服呼叫中心、企业门户网站等非核心生产单元

D、网络和业务运营商运营的传输、承载各类电信业务的公众电信网及其组成部分 152.电信网和互联网安全等级保护的定级过程中，对社会影响力进行赋值时，以下说法

正确的是（ ABD ）。 A、先确定对国家安全的损害程度

B、再确定对社会秩序、经济运行和公共利益的损害程度

C、是对国家安全、社会秩序、经济运行和公共利益的损害程度的平均值 D、是对国家安全、社会秩序、经济运行和公共利益的损害程度最严重者

153.电信网和互联网安全等级保护的实施过程中要遵循多种原则，以下说法中不正确的

是（ BD ）。

A、依据国家和通信行业相关标准对电信网和互联网及相关系统自主实施安全保护 B、对电信网和互联网及相关系统进行新建时，应当同步规划和设计安全方案，改建和扩建系统受到条件限制，可以暂时不考虑安全保护要求，待条件成熟时统一实施

C、对电信网和互联网及相关系统划分不同的安全等级，根据基本保护要求实现不同程度的安全保护

D、根据对电信网和互联网及相关系统的变化情况调整其安全等级，并在系统升级时按照调整后的安全等级进行安全保护措施

154.电信网和互联网管理安全等级保护要求中，第2级的安全运维管理在若干方面进行

了要求，其中不包括（ A ）。 A、监控管理 B、密码管理 C、变更管理 D、应急预案管理

155.电信网和互联网安全等级保护工作中，实施安全等级保护的安全运维阶段需要进行

的控制活动很多，主要包括（ AC ）。 A、运行管理和控制 B、周期性的安全审计 C、变更管理和控制 D、入侵检测和响应

156.在建设和完善信息安全管理体系的过程中，我们关注信息安全管理的要求，下面哪

几个是信息安全管理要求的来源( ABD )

A. 在综合考虑了组织结构整体战略和目标情况下，评估组织机构风险所获得的

B. 信息安全的外部环境要求，这包括国家/信息安全主管机构/上级主管机构等制定的信息安全相关的政策、法律法规和行政要求，以及组织机构所处的社会文化环境 C. 信息安全风险评估

D. 组织机构内部的要求，这包括组织机构市民和业务运行相关的原则、目标和标准规范等

157.以下哪种控制措施不属于预防性的管理控制措施？(D) A. 胸卡

B. 生物技术 C. 岗位轮换

D. 入侵检测日志

158.在进行信息安全管理的过程中， 、 和 是三个关键层次(ACD)。 A、 安全管理体系 B、 资产管理 C、 风险管理

D、 安全管理控制措施

159.目前，国际上主流的信息系统管理体系的标准有哪些：( BCD) A、 美国的NIST SP 800系列 B、 美国的萨班斯法案

C、 ISO/IEC的国际标准27000系列 D、 我国的信息安全等级保护制度

160.我国信息安全等级保护的内容包括______。(BCD) A. 对信息安全从业人员实行按等级管理

B. 对信息系统中使用的信息安全产品实行按等级管理

C. 对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输和处理这些信息的信息系统分等级实行安全保护

D. 对信息系统中发生的信息安全事件按照等级进行响应和处置 E. 对信息安全违反行为实行按等级惩处 161.Windows系统的访问控制包括（ BD ）。

A、对数据对象的访问，通过对象的访问控制列表来控制 B、对文件或文件夹的访问，通过用户和组策略来控制

C、对硬件资源的访问，通过给进程颁发访问令牌来控制 D、对计算机的访问，通过账号密码的组合及物理限制来控制

162.Windows NT可以达到C2级别的安全性，说明它可以做到（ ABCDE ）。 A、自主访问控制（DAC） B、安全指令集

C、强制的用户标识和认证

D、对象的重用（Object Reuse） E、可记账性和审核

163.Unix文件系统安全就是基于i-node节点中的（ ACD）关键信息。 A、模式 B、权限 C、GID D、UID

164.在Linux的/etc/shadow文件中有下面一行内容，从中无法看出（ AC smith:!!:14475:3:90:5::: A、用户smith被禁止登录系统

B、用户smith每隔90天必须更换口令

C、口令到期时，系统会提前3天对用户smith进行提醒

D、更换了新口令之后，用户smith不能在3天内再次更换口令

165.关于Unix系统中的守护进程，以下说法中不正确的是（ D ）。 A、是在后台运行而无终端或者登录shell和它结合在一起的进程

B、独立于控制终端并且周期性的执行某种任务或等待处理某些发生的事件 C、大多数服务器都是用守护进程实现的

D、在用户请求服务时启动，在服务结束时终止 166.指出下列关于计算机病毒的正确论述（ABDEF）。

A、计算机病毒是人为地编制出来、可在计算机上运行的程序 B、计算机病毒具有寄生于其他程序或文档的特点 C、只有计算机病毒发作时才能检查出来并加以消除

D、计算机病毒在执行过程中，可自我复制或制造自身的变种 E、计算机病毒只要人们不去执行它，就无法发挥其破坏作用 F、计算机病毒具有潜伏性，仅在一些特定的条件下才发作 167.关于WEP和WPA加密方式的说法中正确的有( BD ) A.802.11b协议中首次提出WPA加密方式 B.802.11i协议中首次提出WPA加密方式

C.采用WEP加密方式，只要设置足够复杂的口令就可以避免被破解 D.WEP口令无论多么复杂，都很容易遭到破解 168.无线网络的拒绝服务攻击模式有( BCD) A.伪信号攻击 B.Land攻击

C.身份验证洪水攻击 D.取消验证洪水攻击

169.下面不属于嗅探类工具的有( D ) A.SnifferPro B.WireShark

。） C.Cain D.X-Way

170.字典生成器可以生成的密码种类有(ABCD) A.生日 B.手机号码 C. 身份证号 D.中文姓名拼音

171.下面关于sql注入语句的解释，正确的是（ABCD）

A、 “And 1=1” 配合“and 1=2”常用来判断url中是否存在注入漏洞 B、and exists (select * from 表名) 常用来猜解表名

C、and exists (select 字段名 from 表明) 常用来猜解数据库表的字段名称

D、猜解表名和字段名，需要运气，但只要猜解出了数据库的表名和字段名，里面的内容就100%能够猜解到

172.关于XSS跨站脚本攻击，下列说法正确的有（ ABCD ） A、 跨站脚本攻击，分为反射型和存储型两种类型

B、 XSS攻击，一共涉及到三方，即攻击者、客户端与网站。 C、 XSS攻击，最常用的攻击方式就是通过脚本盗取用户端cookie，从而进一步进行攻击 D、 XSS（cross site scripting）跨站脚本，是一种迫使Web站点回显可执行代码的攻击技

术，而这些可执行代码由攻击者提供、最终为用户浏览器加载。 173.下面关于跨站请求伪造，说法正确的是（ABD ）

A、 攻击者必须伪造一个已经预测好请求参数的操作数据包

B、 对于Get方法请求，URL即包含了请求的参数，因此伪造get请求，直接用url即可 C、因为POST请求伪造难度大，因此，采用post方法，可以一定程度预防CSRF

D、对于post方法的请求，因为请求的参数是在数据体中，目前可以用ajax技术支持伪造post请求

174.以下哪些方法可以预防路径遍历漏洞（ ABCD ） A、在unix中使用chrooted文件系统防止路径向上回朔 B、程序使用一个硬编码，被允许访问的文件类型列表 C、对用户提交的文件名进行相关解码与规范化

D、使用相应的函数如（java）getCanonicalPath方法检查访问的文件是否位于应用程序指定的起始位置

175.查杀木马，应该从哪些方面下手（ ABCD） Ａ、寻找并结束木马进程 B、打漏洞补丁

C、寻找木马病毒文件

D、寻找木马写入的注册表项

176.下面关于cookie和session说法正确的是（ABCD）

A、 只要将cookie设置为httponly属性，脚本语言，就无法再盗取cookie内容了 B、 cookie可以通过脚本语言，轻松从客户端读取

C、 针对cookie的攻击，攻击者往往结合XSS，盗取cookie，获得敏感信息或进行重放

攻击

D、 cookie往往用来设计存储用户的认证凭证信息，因此cookie的安全，关系到认证的

安全问题。

177. 对于SQL注入攻击的防御，可以采取哪些措施（ ABCD）