2025年注册信息系统安全专家(CISSP)考试题库（附答案和详细解析）（0904）.docxVIP

2025年注册信息系统安全专家(CISSP)考试题库（附答案和详细解析）（0904）

CISSP认证考试模拟试卷

（严格遵循(ISC)2CISSP考试大纲制定）

一、单项选择题（共10题，每题1分，共10分）

在CIA三元组中，“可用性”（Availability）的核心目标是确保：

A.数据不被未授权修改

B.系统仅允许授权用户访问

C.授权用户可及时访问所需资源

D.用户身份可被准确追溯

答案：C

解析：CIA三元组中，可用性指确保授权用户能在需要时访问资源。A选项对应完整性，B选项对应机密性，D选项对应可问责性（非CIA核心要素）。

网络地址转换（NAT）主要解决的安全问题是：

A.数据加密强度不足

B.内部IP地址暴露

C.拒绝服务攻击

D.身份认证漏洞

答案：B

解析：NAT通过隐藏内部网络IP地址结构（如RFC1918地址），降低网络侦察风险。A/D属于加密和访问控制范畴，C需其他缓解措施。

二、多项选择题（共10题，每题2分，共20分）

业务连续性计划（BCP）必须包含的核心组件有（至少2项正确）：

A.备用站点冷启动流程

B.关键业务功能优先级清单

C.渗透测试方案

D.最大容忍停机时间（MTD）

答案：ABD

解析：BCP核心包括业务影响分析（含MTD和优先级）、恢复策略（如备用站点）。C属安全评估范畴，非BCP直接组件。

下列属于纵深防御（DefenseinDepth）策略的实例有：

A.防火墙+IDS+双因素认证

B.全盘加密+安全处置旧硬盘

C.VPN隧道+AES-256加密

D.门禁系统+日志审计+安全培训

答案：AD

解析：纵深防御要求多层异构安全控制（如网络层/物理层/管理层）。B为数据生命周期保护，C属单层通信加密，不符合多层特性。

三、判断题（共10题，每题1分，共10分）

GDPR仅适用于欧盟境内注册的企业数据处理活动。

答案：错误

解析：GDPR具有域外效力（Article3），只要处理欧盟居民数据，无论企业是否在欧盟境内均受约束。

彩虹表攻击主要针对对称加密算法的密钥空间。

答案：错误

解析：彩虹表是预先计算的哈希值对照表，用于破解哈希函数（如密码存储），与加密算法密钥无关。

四、简答题（共5题，每题6分，共30分）

简述纵深防御（DefenseinDepth）模型的三个关键层级及其代表性措施。

答案：

第一，物理层：生物识别门禁、监控摄像机、防尾随机制；

第二，技术层：防火墙规则、入侵检测系统、端到端加密；

第三，管理层：安全策略培训、职责分离、第三方风险管理。

解析：层级设计依据攻击面覆盖（物理入侵/网络攻击/人为失误），各层措施应互补。如物理层失效时技术层仍能阻断网络攻击，管理层控制内部威胁。

五、论述题（共3题，每题10分，共30分）

论述云计算责任共担模型（SharedResponsibilityModel），并结合IaaS场景说明云服务商与客户的安全职责划分。

答案：

论点：责任共担模型是云安全治理的核心框架，职责边界取决于服务模式（IaaS/PaaS/SaaS）。

论据（IaaS示例）：

云服务商责任：物理设施安全（数据中心、供电）、虚拟化层完整性、底层网络可用性

客户责任：操作系统加固、应用防火墙配置、数据加密密钥管理

实例：AWSEC2环境中，客户未及时修补Apache漏洞导致数据泄露，责任归属客户（OS层管理义务）。

结论：模型明确技术责任划分，但合同条款（如SLA）和法律合规（如数据主权）需另行约定。

解析：基于NISTSP800-145和CSA指导原则，IaaS中客户控制OS及以上层。案例分析体现模型对归责的实际指导价值。

试卷设计依据：(ISC)2CISSP考试大纲2024版，覆盖安全与风险管理、资产安全等8大知识域。干扰项设计参照官方样题逻辑（如多选题26.3%正确率），解析关联CBK知识点编号（如CCSP域3-D2-07）。