2022年软考-信息安全工程师考前模拟强化练习题6（附答案详解）

《2022年软考-信息安全工程师考前模拟强化练习题6（附答案详解）》由会员分享，可在线阅读，更多相关《2022年软考-信息安全工程师考前模拟强化练习题6（附答案详解）（16页珍藏版）》请在装配图网上搜索。

1、2022年软考-信息安全工程师考前模拟强化练习题（附答案详解）1. 单选题一个密码系统至少由明文、密文、加密算法、解密算法和密钥五个部分组成，而其安全性是由（ ）决定的。问题1选项A.加密算法B.解密算法C.加解密算法D.密钥【答案】D【解析】2. 单选题重放攻击是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的。下列技术中，不能抵御重放攻击的是（ ）。问题1选项A.序号B.明文填充C.时间戳D.Nonce【答案】B【解析】本题考查网络协议重放攻击方面的基础知识。Nonce是Number used once的缩写，Nonce 是一个只被使用一次的任意 或非重复的随机数值，它与时间戳、

2、序号都是能够预防重放攻击的。明文填充方式不能抵御重放攻击。答案选B。3. 单选题常见的恶意代码类型有：特洛伊木马、蠕虫、病毒、后门、Rootkit、僵尸程序、 广告软件。2017年5月爆发的恶意代码WannaCry勒索软件属于（ ）。问题1选项A.特洛伊木马B.蠕虫C.后门D.Rootkit【答案】B【解析】本题考查恶意代码相关知识。特洛伊木马：伪装成有用的软件，诱骗用户下载执行。蠕虫病毒：网络蠕虫是一种具有自我复制和传播能力、可独立自动运行的恶意程序。后门：该类病毒的特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。Rootkit：Rootkit木马是一种系统内核级病毒木马，其进入内

3、核模块后能获取到操作系统高级权限，从而使用各种底层技术隐藏和保护自身，绕开安全软件的检测和查杀。WannaCry勒索病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。属于蠕虫病毒。故本题选B。点播：恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。最常见的恶意代码有计算机病毒、特洛伊木马、计算机蠕虫、后门、逻辑炸弹等。4. 单选题BS7799标准是英国标准协会制定的信息安全管理体系标准，它包括两个部分：信息安全管理实施指南和信息安全管理体系规范和应用指南。依据该标准可以组织建立、实施与保持信息安全管理体系，但不能实现（ ）。问题1选项A.强化员工

4、的信息安全意识，规范组织信息安全行为B.对组织内关键信息资产的安全态势进行动态监测C.促使管理层坚持贯彻信息安全保障体系D.通过体系认证就表明体系符合标准，证明组织有能力保障重要信息【答案】B【解析】本题考查重要的信息安全管理体系和标准方面的基础知识。BS7799 标准是英国标准协会（BSI）制定的信息安全管理体系标准。它涵盖了几乎所有的安全议题，非常适合作为工商业及大、中、小组织的信息系统在大多数情况下所需的控制范围确定的参考基准。但没有对组织内关键信息资产的安全态势进行动态监测。故本题选B。点播：BS7799 作为信息安全管理领域的一个权威标准，是全球业界一致公认的辅助信息安全治理手段，该

5、标准的最大意义在于可以为管理层提供一套可量体裁衣的信息安全管理要项、一套与技术负责人或组织高层进行沟通的共同语言，以及保护信息资产的制度框架。5. 单选题涉及国家安全、国计民生、社会公共利益的商用密码产品与使用网络关键设备和网络安全专用产品的商用密码服务实行（ ）检测认证制度。问题1选项A.备案式B.自愿式C.鼓励式D.强制性【答案】D【解析】本题考查网络安全法律法规方面的基础知识。密码法按照“放管服”改革要求，取消了商用密码管理条例设定的“商用密码产品品种和型号审批”，改为对特定商用密码产品实行强制性检测认证制度。答案选D。6. 单选题基于公开密钥的数字签名算法对消息进行签名和验证时，正确的

6、签名和验证方式是（ ）。问题1选项A.发送方用自己的公开密钥签名，接收方用发送方的公开密钥验证B.发送方用自己的私有密钥签名，接收方用自己的私有密钥验证C.发送方用接收方的公开密钥签名，接收方用自己的私有密钥验证D.发送方用自己的私有密钥签名，接收方用发送方的公开密钥验证【答案】D【解析】本题考查数字签名相关知识。根据数字签名工作的基本流程，假设Alice需要签名发送一份电子合同文件给Bob。Alice的签名步骤如下：第一步，Alice使用Hash函数将电子合同文件生成一个消息摘要；第二步，Alice使用自己的私钥，把消息摘要加密处理，形成一个数字签名；第三步，Alice把电子文件合同和数字签

7、名一同发送给Bob。Bob收到Alice发送的电子合同文件及数字签名后，为确信电子合同文件是Alice所认可的，验证步骤如下：第一步，Bob使用与Alice相同的Hash算法，计算所收到的电子合同文件的消息摘要；第二步，Bob使用Alice的公钥，解密来自Alice 的加密消息摘要，恢复Alice原来的消息摘要；第三步，Bob比较自己产生的消息摘要和恢复出来的消息摘要之间的异同。若两个消息摘要相同，则表明电子合同文件来自Alice。如果两个消息摘要的比较结果不一致， 则表明电子合同文件已被篡改。故本题选D。点播：数字签名的目的是通过网络信息安全技术手段实现传统的纸面签字或者盖章的功能，以确定交

8、易当事人的真实身份，保证交易的安全性、真实性和不可抵赖性。数字签名具有手写签名一样的特点，是可信的、不可伪造的、不可重用的、不可抵赖的以及不可修改的。7. 单选题网络流量是单位时间内通过网络设备或传输介质的信息量。网络流量状况是网络中的重要信息，利用流量监测获得的数据，不能实现的目标是（ ）。问题1选项A.负载监测B.网络纠错C.日志监测D.入侵检测【答案】C【解析】本题考查流量监测的相关知识。网络流量状况是网络中的重要信息，利用流量监测获得的数据，可以实现以下目标：（1）负载监测：将流量监测获得的网络流量数据作为输入参数，利用统计方法和先验知识，通过负载特性分析过程，可以得到网络的当前负载状

9、态。（2）性能分析：利用流量信息，可以分析得到网络的性能状况，例如链路利用率等，以定位和防止网络中的性能瓶颈，提高网络性能。（3）网络纠错：复杂的网络环境和丰富多样的应用类型，往往会导致网络故障的发生。通过分析流量信息，可以判定故障发生的位置和导致的原因，例如广播风暴、非法操作等，并采取措施解决故障并避免再次发生。（4）网络优化：流量工程的目的是为了优化网络性能，其前提是获取网络中的流量信息，在此基础上通过网络控制，例如资源分配、流量均衡等操作，实现网络优化的目标。（5）业务质量监视：现代网络面临的紧迫任务是为用户提供可靠的业务质量保障。而用户获得的服务质量以及网络供应商可提供的服务能力都必须

10、通过流量数据分析获得。（6）用户流量计费：如何在高速宽带网络中实现基于流量的用户计费是目前网络管理领域的热点问题，实现高效的流量计费解决方案必须依靠流量监测技术的进步。（7）入侵检测：安全问题是网络应用中的一个重要方面，入侵检测系统是目前保障网络安全的重要手段。入侵检测的一个重要内容就是通过分析网络流量，判定攻击行为，以采取必要的防御措施。（8）协议调测：在进行协议设计和应用开发时，必须经过实际网络环境检验的过程。当新的协议或应用加入到网络中，必须观测它们产生的数据流量，以判定协议或应用的操作是否正常，是否会对网络性能造成损伤。故本题选C。点播：网络流量就是网络上传输的数据量。网络流量的大小对

11、网络架构设计具有重要意义，就像要根据来往车辆的多少和流向来设计道路的宽度和连接方式类似，根据网络流量进行网络的设计是十分必要的。8. 单选题移动终端设备常见的数据存储方式包括：SharedPreferences；文件存储；SQLite数据库；ContentProvider；网络存储。Android 系统支持的数据存储方式包括（ ）。问题1选项A.B.C.D.【答案】A【解析】本题考查Android系统数据存储方面的基础知识。Android平台进行数据存储的方式包括：(1)使用SharedPreferences存储数据；(2)文件存储数据；(3) sQLite 数据库存储数据；(4)使用Cont

12、entProvider存储数据；(5)网络存储数据。答案选A。9. 单选题资产管理是信息安全管理的重要内容，而清楚地识别信息系统相关的财产，并编制资产清单是资产管理的重要步骤。以下关于资产清单的说法中，错误的是（ ）。问题1选项A.资产清单的编制是风险管理的一个重要的先决条件B.信息安全管理中所涉及的信息资产，即业务数据、合同协议、培训材料等C.在制定资产清单的时候应根据资产的重要性、业务价值和安全分类，确定与资产重要性相对应的保护级别D.资产清单中应当包括将资产从灾难中恢复而需要的信息，如资产类型、格式、位置、备份信息、许可信息等【答案】B【解析】10. 单选题数字签名是对以数字形式存储的消

13、息进行某种处理，产生一种类似于传统手书签名功效的信息处理过程。数字签名标准DSS中使用的签名算法DSA是基于ElGamal和 Schnorr两个方案而设计的。当DSA对消息m的签名验证结果为True，也不能说明（ ）。问题1选项A.接收的消息m无伪造B.接收的消息m无篡改C.接收的消息m无错误D.接收的消息m无泄密【答案】D【解析】本题考查数字签名相关知识。数字签名技术可以保证报文的完整性，不可否认性，以及提供身份认证信息，但不能保证信息的机密性。故本题选D。点播：数字签名是指签名者使用私钥对待签名数据的杂凑值做密码运算得到的结果。该结果只能用签名者的公钥进行验证，用于确认待签名数据的完整性、

14、签名者身份的真实性和签名行为的抗抵赖性。数字签名具有手写签名一样的特点，是可信的、不可伪造的、不可重用的、不可抵赖的以及不可修改的。11. 单选题密码学根据研究内容可以分为密码编制学和密码分析学。研究密码编制的科学称为密码编制学，研究密码破译的科学称为密码分析学。密码分析学中，根据密码分析者可利用的数据资源，可将攻击密码的类型分为四类，其中适于攻击计算机文件系统和数据库系统的是（ ）。问题1选项A.仅知密文攻击B.已知明文攻击C.选择明文攻击D.选择密文攻击【答案】C【解析】本题考查密码学方面的基础知识。选择明文攻击指攻击者知道加密算法，并可通过选择对攻击有利的特定明文及其对应的密文，求解密钥

15、或从截获的密文求解相应明文的密码分析方法。文件系统和数据库系统均存储大量密文信息，所以攻击者可指定明文来碰撞对应的密文，从而达到攻击目的。答案选C。12. 单选题僵尸网络是指采用一种或多种传播手段，将大量主机感染bot程序，从而在控制者和被感染主机之间形成的一个可以一对多控制的网络。以下不属于僵尸网络传播过程常见方式的是（ ）。问题1选项A.主动攻击漏洞B.恶意网站脚本C.字典攻击D.邮件病毒【答案】C【解析】本题考查僵尸网络方面的基础知识。僵尸网络在传播过程中有如下几种手段：主动攻击漏洞、邮件病毒、即时通信软件、恶意网站脚本、特洛伊木马。答案选C。13. 单选题PKI是一种标准的公钥密码的密

16、钥管理平台，数字证书是PKI的基本组成部分。在PKI中，X.509数字证书的内容不包括（ ）。问题1选项A.加密算法标识B.签名算法标识C.版本号D.主体的公开密钥信息【答案】A【解析】本题考查PKI方面的基础知识。X.509数字证书内容包括：版本号、序列号、签名算法标识、发行者名称、有效期、主体名称、主体公钥信息、发行者唯一标识符、 主体唯一识别符、 扩充域、CA的签名等，不包括加密算法标识。14. 单选题计算机信息系统安全保护等级划分准则中规定了计算机系统安全保护能力的五个等级，其中要求计算机信息系统可信计算基满足访问监控器需求的是（ ）。问题1选项A.系统审计保护级B.安全标记保护级C.

17、结构化保护级D.访问验证保护级【答案】D【解析】本题考查信息安全保护等级划分方面的基础知识。访问验证保护级的计算机信息系统可信计算基需满足访问监控器需求。答案选D。15. 单选题（ ）能有效防止重放攻击。问题1选项A.签名机制B.时间戳机制C.加密机制D.压缩机制【答案】B【解析】本题考查重放攻击相关知识。签名机制：作为保障信息安全的手段之一，主要用于解决伪造、抵赖、冒充和篡改问题。加密机制：保密通信、计算机密钥、防复制软盘等都属于加密技术，加密主要是防止重要信息被一些怀有不良用心的人窃听或者破坏。压缩机制：压缩机制一般理解为压缩技术。变形器检测病毒体反汇编后的全部指令，可对进行压缩的一段指令

18、进行同义压缩。一般用于使病毒体代码长度发生改变。提高恶意代码的伪装能力和防破译能力。时间戳：主要目的在于通过一定的技术手段，对数据产生的时间进行认证，从而验证这段数据在产生后是否经过篡改。故时间戳机制可以有效防止重放攻击。故本题选B。点播：重放攻击是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。重放攻击可以由发起者或拦截并重发该数据的地方进行。攻击者利用网络监听或其他方式盗取认证凭据，之后再将它重新发送给认证服务器。16. 单选题以下关于网络钓鱼的说法中，不正确的是（ ）。问题1选项A.网络钓鱼属于社会工程攻击B.网络钓鱼与Web服务没有关

19、系C.典型的网络钓鱼攻击是将被攻击者引诱到一个钓鱼网站D.网络钓鱼融合了伪装、欺骗等多种攻击方式【答案】B【解析】本题考查网络钓鱼相关知识。网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、密码或信用卡详细信息等）的一种攻击方式，最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个过程不会让受害者警觉，它是“社会工程攻击”的一种形式。故本题选B。17. 单选题恶意代码是指为达到恶意目的而专门设计的程序或代码，恶意代码的一般命名格式为：. .，常见的恶意代

20、码包括：系统病毒、网络蠕虫、特洛伊木马、宏病毒、后门程序、脚本病毒、捆绑机病毒等。以下属于脚本病毒前缀的是（ ）。问题1选项A.WormB.TrojanC.BinderD.Script【答案】D【解析】本题考查恶意代码方面的基础知识。各恶意代码类型前缀如下：系统病毒 Win32、Win95网络蠕虫 Worm特洛伊木马程序 Trojan脚本病毒 Script宏病毒 Macro后门程序 Backdoor答案选D。18. 单选题身份认证是证实客户的真实身份与其所声称的身份是否相符的验证过程。下列各种协议中，不属于身份认证协议的是（ ）。问题1选项A.IPSec 协议B.S/Key 口令协议C.X.5

21、09 协议D.Kerberos 协议【答案】A【解析】19. 单选题认证是证实某事是否名副其实或者是否有效的一个过程。以下关于认证的叙述中， 不正确的是（ ）。问题1选项A.认证能够有效阻止主动攻击B.认证常用的参数有口令、标识符、生物特征等C.认证不允许第三方参与验证过程D.身份认证的目的是识别用户的合法性，阻止非法用户访问系统【答案】C【解析】本题考查系统的身份认证的相关知识。认证是有基于第三方认证方式的。身份认证有很多种协议，其中就包括了利用可信第三方身份认证的协议，例如Kerveros。故本题选C。点播：认证是一个实体向另一个实体证明其所有声称的身份的过程。认证类型可分为单向认证、双向

22、认证和第三方认证。认证能够有效阻止主动攻击但不能阻止所有攻击。 Normal 0 7.8 磅 0 2 false false false EN-US ZH-CN X-NONE 20. 案例题阅读下列说明和表，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】密码学作为信息安全的关键技术，在信息安全领域有着广泛的应用。密码学中，根据加密和解密过程所采用密钥的特点可以将密码算法分为两类：对称密码算法和非对称密码算法。此外，密码技术还用于信息鉴别、数据完整性检验、数字签名等。【问题1】（6分）信息安全的基本目标包括真实性、保密性、完整性、不可否认性、可控性、可用性、可审查性等。密码学的三大安全

23、目标C.I.A分别表示什么？【问题2】（5分）仿射密码是一种典型的对称密码算法。仿射密码体制的定义如下：【答案】【问题1】 保密性、完整性和可用性。 【问题2】 （1）19 （2）TVZ 【问题3】 K1=21；K2=22 【解析】【问题1】密码学的三大安全目标CIA分别表示：（1）保密性：保密性是确保信息仅被合法用户访问，而不被泄漏给非授权的用户、实体或过程，或供其利用的特性。即防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。（2）完整性：完整性是指所有资源只能由授权方或以授权的方式进行修改，即信息未经授权不能进行改变的特性。信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、

24、伪造、乱序、重放、插入等破坏和丢失的特性。（3）可用性：可用性是指所有资源在适当的时候可以由授权方访问，即信息可被授权实体访问并按需求使用的特性。信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。【问题2】（1）由K*K-1 1mod（26），将11代入式中，计算11 *K-1 -1 mod（26）=0；K-1 为19。（2）将SEC所对应的数字代入加密表达式可得：（11*18+3）mod（26）=19=T；（11*4+3）mod（26）=21=V；（11*2+3）mod（26）=25=Z。【问题3】根据表中，明文E、T所对应的数字为4、19；密文C、F所对应的数字为2、5，代入加密表达式组成二元一次方程组：（K1*4+K2）mod（26）=2；（K1*19+K2）mod（26）=5；求解方程组可得，K1=21；K2=22。