信息安全

在信息安全三要素中,作为机密性受损的事例,最恰当的是哪一项?

1. 因操作失误,销售数据的金额被改写成错误的值
2. 因误发送,顾客名册送到了无关的第三方手里
3. 因服务器故障,业务系统半天无法使用
4. 因程序缺陷,处理结果每次都变成不同的值

作为确保信息安全中完整性的对策,最恰当的是哪一项?

1. 用哈希值定期确认网页内容有没有被改写
2. 把服务器双重化,故障时也能继续处理
3. 锁住服务器机房,不让外人进入
4. 把通信加密,不让第三方读取内容

以提高可用性为主要目的的对策是哪一项?

1. 把服务器双重化,并设置不间断电源装置(UPS)
2. 把重要文件保管在保险柜里并上锁
3. 给文件设置密码使其无法打开
4. 给每个用户分配ID,记录操作日志

作为信息安全中防抵赖(否认防止)的说明,最恰当的是哪一项?

1. 使信息和系统处于需要时随时可用的状态
2. 使未经许可的人无法浏览信息或带出外部
3. 使实施了某行为的本人事后无法主张自己没有做过该行为
4. 保证信息未被篡改、保持为最新的正确内容

作为防备勒索软件受害的对策,最有效的是哪一项?

1. 在发送电子邮件的签名栏写明公司名和联系方式
2. 调弱无线LAN接入点的电波输出,缩小覆盖范围
3. 定期更改用户的密码
4. 获取备份,并脱离网络保管

作为特洛伊木马的特征,最恰当的是哪一项?

1. 通过网络单独自我繁殖,接连向其他设备扩散感染
2. 伪装成有用的软件诱使安装,在用户毫无察觉的情况下进行非法动作
3. 加密被感染设备的文件,以解密为交换条件索要金钱
4. 大量发送电子邮件,使邮件服务器停机

作为SQL注入的说明,最恰当的是哪一项?

1. 在网站的输入栏中输入对数据库的命令语句,非法获取或篡改数据的攻击
2. 使用从其他网站泄露的ID与密码组合尝试登录的攻击
3. 在留言板等处嵌入恶意脚本,使其在浏览者的浏览器上执行的攻击
4. 从大量设备一齐发送海量通信,使服务器无法响应的攻击

属于社会工程(social engineering)的行为是哪一项?

1. 截收无线LAN的电波,破解通信内容
2. 对密码进行穷举尝试,找出正确的组合
3. 冒充系统管理员打电话,从用户那里套出密码
4. 利用OS的漏洞,非法获取管理员权限

作为零日攻击的说明,最恰当的是哪一项?

1. 利用离职者的账号仍被保留,侵入公司内部系统的攻击
2. 瞄准业务开始后不久的时间段,发送大量通信的攻击
3. 滥用过期的数字证书,把用户引到假冒网站的攻击
4. 在漏洞被公布之后到修补程序被提供之前的期间,攻击该漏洞的攻击

把构成风险评估(risk assessment)的三项工作按实施顺序排列的是哪一项?

1. 风险分析 → 风险识别 → 风险评价
2. 风险识别 → 风险分析 → 风险评价
3. 风险识别 → 风险评价 → 风险分析
4. 风险评价 → 风险分析 → 风险识别

为防备信息系统故障造成的损失而投保了网络保险。这属于风险应对中的哪一项?

1. 风险规避
2. 风险降低
3. 风险保有
4. 风险转移

把信息安全方针按基本方针、对策基准、实施步骤3个层次构成时,作为写入实施步骤的内容,最恰当的是哪一项?

1. 作为组织对信息安全的思考方式和经营者的宣言
2. 备份用软件的具体操作方法和执行时刻的步骤
3. 作为应遵守的规则,规定密码必须为含英文数字符号的12个字符以上的基准
4. 关于设置信息安全委员会及其职责的规定

作为关于ISMS(信息安全管理体系)的说明,最恰当的是哪一项?

1. 组织制定方针、实施对策、检查并改进,持续转动PDCA的机制,要求事项由JIS Q 27001规定
2. 对妥善处理个人信息的经营者准许使用标志的制度
3. 24小时监视网络、检测攻击征兆的专门组织
4. 组织内发生计算机安全事故时,负责从受理报告到原因调查、遏制损害、恢复的专门团队

作为CSIRT的职责,最恰当的是哪一项?

1. 制定信息系统的开发计划,管理开发的进度和质量
2. 受理安全事故的报告,进行原因调查、遏制损害、恢复以及与相关方的联络
3. 以独立的立场审计本公司的会计处理和决算书内容是否恰当
4. 审查经营者是否具备妥善处理个人信息的体制,并授予认定标志

把对外公开的Web服务器设置在DMZ中的理由,最恰当的是哪一项?

1. 因为能提高服务器的处理速度,缩短响应时间
2. 因为即使公开服务器被非法入侵,也能防止内部网络被直接入侵
3. 因为能自动获取公开服务器的备份
4. 因为能抑制服务器的电力消耗,削减运维费用

作为WAF(Web Application Firewall)的说明,最恰当的是哪一项?

1. 检查发往Web应用程序的通信内容,阻断SQL注入等攻击的机制
2. 加密无线LAN的通信、防止窃听的机制
3. 在打开电子邮件附件之前,自动检查其中是否含有病毒的机制
4. 利用用户的指纹和虹膜确认本人的机制

在生物识别认证中,把判定基准调严时本人拒绝率(FRR)与他人接受率(FAR)的变化,恰当的是哪一项?

1. FRR变低,FAR变高
2. FRR和FAR都变高
3. FRR变高,FAR变低
4. FRR和FAR都变低

属于多因素认证的组合是哪一项?

1. 输入密码,加上输入发送到智能手机的一次性密码
2. 输入登录密码,加上回答秘密问题
3. 输入登录密码,加上再次输入另一个密码
4. 输入用户ID,加上输入密码

作为零信任(zero trust)理念的说明,最恰当的是哪一项?

1. 把用户的便利性放在最优先,取消密码的有效期和更改义务
2. 不论公司内外一概不信任,每次访问都验证用户和终端,只授予必要最小限度的权限
3. 把来自公司内部网络内侧的通信当作可信,之后的访问可以省略认证
4. 全面禁止与公司外部的通信,只在封闭的内部网络中使用系统

在信息安全对策中,归类为物理性对策的是哪一项?

1. 迅速应用Web服务器的修补程序
2. 每天更新杀毒软件的病毒特征库
3. 面向全体员工实施针对性攻击邮件的演练
4. 在服务器机房入口设置IC卡进出管理装置

与对称密钥(共享密钥)加密方式相比,公开密钥加密方式的特征中最恰当的是哪一项?

1. n人相互通信时所需密钥的总数为n(n-1)/2个
2. 加密所用的密钥可以公开,因此不易发生安全递送密钥的问题
3. 加密和解密使用同一密钥,因此密钥管理一把就够
4. 处理速度快,适合把大量数据集中加密

A想用公开密钥加密方式给B发送只有B能阅读的电子邮件。A用于加密的密钥是哪一项?

1. B的公钥
2. A的公钥
3. B的私钥
4. A的私钥

A给文档附上数字签名后发送。制作签名所用的密钥与其效果的组合,恰当的是哪一项?

1. 使用A的私钥,表明是A本人制作且没有被篡改
2. 使用B的公钥,使只有B能阅读文档
3. 使用A的公钥,使文档的内容保密
4. 使用B的私钥,证明B收到的事实

收到A发来的带数字签名文档的B,验证签名所用的密钥是哪一项?

1. B的私钥
2. A与B事先共享的对称密钥
3. B的公钥
4. A的公钥

作为关于HTTPS通信中所用服务器数字证书的说明,最恰当的是哪一项?

1. 用于把用户输入的密码寄存到认证机构、请其代为确认
2. 用于把服务器的私钥本身安全地分发给用户的浏览器
3. 保证通信数据不用对称密钥加密方式、必定只用公开密钥加密方式加密
4. 由认证机构颁发,保证服务器的公钥确实属于该服务器