卷一

问题 1

与 PDR 模型相比，P2DR 模型多了哪一个环节?

A. 防护
B. 检测
C. 反应
D. 策略

展开答案

答案：D

解释：教材 P26

环节	PDR	PPDR（P2DR）
保护（Protection）	P	P
策略（Policy）	/	P
检测（Detection）	D	D
反应（Response）	R	R

问题 2

Alice 用 Bob 的密钥加密明文，将密文发送给 Bob。Bob 再用自己的私钥解密，恢复出明文。以下说法正确的是： A．此密码体制为对称密码体制 B．此密码体制为私钥密码体制 C．此密码体制为单钥密码体制 D．此密码体制为公钥密码体制

展开答案

答案：D

解释：教材 P277 公钥加密，私钥解密，为非对称密码体制，非对称密码体制又称为公钥密码体制。

问题 3

主体 S 对客体 01 有读(R)权限，对客体 02 有读(R)、写(W)、拥有(Own)权限，该访问控制实现方法是： A．访问控制表(ACL) B．访问控制矩阵 C．能力表(CL) D．前缀表(Profiles)

展开答案

答案：C

解释：教材 P307 CL（能力表）：主体访问客体 ACL（访问控制列表）：客体访问主体

问题 4

下列对网络认证协议 Kerberos 描述正确的是： A．该协议使用非对称密钥加密机制 B．密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成 C．该协议完成身份鉴别后将获取用户票据许可票据 D．使用该协议不需要时钟基本同步的环境

展开答案

答案：C

解释：教材 P301 A 错误，因为 Kerberos 是使用对称密码算法实现的单点登录协议； B 错误，因为密钥分发中心（KDC）不包括客户机； D 错误，因为需要时钟同步来防止重放攻击。

问题 5

在 OSI 参考模型中有 7 个层次，提供了相应的安全服务来加强信息系统的安全性，以下哪一层提供了保密性、身份鉴别、数据完整性服务? A．网络层 B．表示层 C．会话层 D．物理层

展开答案

答案：A

解释：教材 P331 网络层和应用层可以提供保密性、身份鉴别、完整性、抗抵赖、访问控制服务。

注意：此题的正确答案应该是 B，不过还是以题库为准。

问题 6

以下关于 PGP(Pretty Good Privacy)软件叙述错误的是： A．PGP 可以实现对邮件的加密、签名和认证 B．PGP 可以实现数据压缩 C．PGP 可以对邮件进行分段和重组 D．PGP 采用 SHA 算法加密邮件

展开答案

答案：D

解释：SHA(Secure Hash Algorithm)不是一种加密算法，而是一种摘要算法（哈希算法），主要用于数据的完整性校验，不能用来对邮件进行加密。

问题 7

相比文件配置表(FAT)文件系统，以下哪个不是新技术文件系统(NTFS)所具有的优势? A．NTFS 使用事务日志自动记录所有文件夹和文件更新，当出现系统损坏和电源故障等问题，而引起操作失败后，系统能利用日志文件重做或恢复未成功的操作 B．NTFS 的分区上，可以为每个文件或文件夹设置单独的许可权限 C．对于大磁盘，NTFS 文件系统比 FAT 有更高的磁盘利用率 D．相比 FAT 文件系统，NTFS 文件系统能有效的兼容 linux 下 EXT2 文件格式

展开答案

答案：D

解释：NTFS 文件系统并不直接支持 EXT2 文件格式，虽然可以通过一些第三方工具或驱动程序实现在 Windows 系统中读取和写入 EXT2 文件系统的文件，但这并不是 NTFS 文件系统的内置功能。

问题 8

从系统工程的角度来处理信息安全问题，以下说法错误的是： A．系统安全工程旨在了解企业存在的安全风险，建立一组平衡的安全需求，融合各种工程学科的努力将此安全需求转换为贯穿系统整个生存期的工程实施指南。 B．系统安全工程需对安全机制的正确性和有效性做出诠释，证明安全系统的信任度能够达到企业的要求，或系统遗留的安全薄弱性在可容许范围之内。 C．系统安全工程能力成熟度模型(SSE-CMM)是一种衡量安全工程实践能力的方法，是一种使用面向开发的方法。 D．系统安全工程能力成熟度模型(SSE-CMM)是在原有能力成熟度模型(CMM)的基础上，通过对安全工作过程进行管理的途径，将系安全工程转变为一个完好定义的、成熟的、可测量的先进学科。

展开答案

答案：C

解释：教材 P178 SSE-CMM (系统安全工程能力成熟度模型)实际上是一种面向工程过程质量控制的方法，而不是面向开发的方法。

问题 9

有关系统安全工程-能力成熟度模型(SSE-CMM)中的基本实施(Base Practices，BP)，正确的理解是： A．BP 是基于最新技术而制定的安全参数基本配置 B．大部分 BP 是没有经过测试的 D．一项 BP 可以和其他 BP 有重叠

C. 一项 BP 适用于组织的生存周期而非仅适用于工程的某一特定阶段

展开答案

答案：C

解释：教材 P181

选项A 错误，BP 是基于最佳的工程过程实践，而并非基于最新的技术制定。

选项B 错误，BP 是经过测试的，可靠度比未经测试的实践要高得多。

对于选项D, 一项 BP 和其他的 BP 是不会重复，每个 BP 都是独立且具有确定性的实践，不会与其他的 BP 重叠。

问题 10

选项A 错误，BP 是基于最佳的工程过程实践，而并非基于最新的技术制定。

展开答案

答案：D

解释：年度预期损失(Annualized Loss Expectancy， ALE)的计算公式为 “ 总价值 * 可能性的损失百分比 * 年发生率 “。其中，年发生率是根据历史数据统计得出的灾害发生的可能性。在这个问题中，“一百万”是总价值，“二成四(24%)”是可能的损失百分比，”八年发生三次”转换为年发生率为3/8=0.375。因此，年度预期损失为 100万 * 24% * 0.375 = 9万。

问题 11

选项B 错误，BP 是经过测试的，可靠度比未经测试的实践要高得多。

展开答案

答案：D

问题 12

对于选项D, 一项 BP 和其他的 BP 是不会重复，每个 BP 都是独立且具有确定性的实践，不会与其他的 BP 重叠。

展开答案

答案：D

问题 13

小张是信息安全风险管理方面的专家，被某单位邀请过去对其核心机房经受某种灾害的风险进行评估，已知：核心机房的总价价值一百万，灾害将导致资产总价值损失二成四(24%)，历史数据统计告知该灾害发生的可能性为八年发生三次，请问小张最后得到的年度预期损失为多少： A．24 万 B．0．09 万 C．37．5 万 D．9 万

展开答案

答案：D

问题 14

信息安全等级保护要求中，第三级适用的正确的是： A．适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益 B．适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一般损害 C．适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害 D．适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统。其受到破坏后，会对国家安全、社会秩序，经济建设和公共利益造成特别严重损害

展开答案

答案：B

解释：教材 P78

等级	影响
第一级	信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益
第二级	信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害但不损害国家安全。
第三级	信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害
第四级	信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害
第五级	信息系统受到破坏后，会对国家安全造成特别严重损害。

问题 15

《信息安全技术信息安全风险评估规范》（GB／T 20984-2007）中关于信息系统生命周期各阶段的风险评估描述不正确的是：

A.规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等
B.设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求
C.实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证
D.运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种全面的风险评估。评估内容包括对真实运行的信息系统、资产、脆弱性等各方面

展开答案

答案：D

解释：该题目来源于《信息安全技术信息安全风险评估规范》（GB／T 20984-2007），其原文描述 D 为“是一种较全面的风险评估”。

问题 16

以下哪些是需要在信息安全策略中进行描述的： A．组织信息系统安全架构 B．信息安全工作的基本原则 C．组织信息安全技术参数 D．组织信息安全实施手段

展开答案

答案：B

解释：安全策略是宏观的原则性要求，不包括具体的架构、参数和实施手段。

问题 17

根据《关于开展信息安全风险评估工作的意见》的规定，错误的是： B．信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效”的原则开展 C．信息安全风险评估应贯穿于网络和信息系统建设运行的全过程 D．开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导

A.信息安全风险评估分自评估、检查评估两形式。应以检查评估为主，自评估和检查评估相互结合、互为补充

展开答案

答案：A

解释：信息安全风险评估应以自评估（自查）为主

问题 18

下面的角色对应的信息安全职责不合理的是： A．高级管理层——最终责任 C．系统的普通使用者——遵守日常操作规范 D．审计人员——检查安全策略是否被遵从

B. 信息安全部门主管——提供各种信息安全工作必须的资源

展开答案

答案：B

解释：提供资源的是管理层

问题 19

风险计算原理可以用下面的范式形式化地加以说明：风险值=R(A，T，V)=R(L(T，V)，F(Ia，Va)) 以下关于上式各项说明错误的是： A．R 表示安全风险计算函数，A 表示资产，T 表示威胁，V 表示脆弱性 B．L 表示威胁利资产脆弱性导致安全事件的可能性 C．F 表示安全事件发生后造成的损失 D．Ia，Va 分别表示安全事件作用全部资产的价值与其对应资产的严重程度

展开答案

答案：D

解释：教材 P257 R 表示安全风险计算函数; A 表示资产; T 表示威胁; V 表示脆弱性; L 表示威胁利用资产的脆弱性导致安全事件的可能性; F 表示安全事件发生后造成的损失; Ia 表示安全事件所作用的资产价值 ; Va 表示脆弱性严重程度 ;

因此 Ia 表示资产 A 的价值；Va 表示资产 A 的脆弱性。

问题 20

以下哪一项不属于信息安全工程监理模型的组成部分： A．监理咨询支撑要素 B．控制和管理手段 C．监理咨询阶段过程 D．监理组织安全实施

展开答案

答案：D

解释：监理模型不包括安全实施

问题 21

以下关于直接附加存储(Direct Attached Storage，DAS)说法错误的是： A．DAS 能够在服务器物理位置比较分散的情况下实现大容量存储．是一种常用的数据存储方法 B．DAS 实现了操作系统与数据的分离，存取性能较高并且实施简单 C．DAS 的缺点在于对服务器依赖性强，当服务器发生故障时，连接在服务器上的存储设备中的数据不能被存取 D．较网络附加存储(Network Attached Storage，NAS)，DAS 节省硬盘空间，数据非常集中，便于对数据进行管理和备份

展开答案

答案：D

解释：教材 P158 直接附加存储 DAS 是硬件的堆叠，本身不带任何的操作系统，是计算机系统的扩展。 DAS 的数据并不集中（集中的是 NAS），可以分散，因此并不便于对数据进行管理和备份。

问题 22

作为业务持续性计划的一部分，在进行业务影响分析(BIA)时的步骤是： 1．标识关键的业务过程; 2．开发恢复优先级; 3．标识关键的 IT 资源; 4．表示中断影响和允许的中断时间

展开答案

答案：A

解释：教材 P138 记住开发是最后的步骤。

问题 23

下面关于信息系统安全保障的说法不正确的是： A．信息系统安全保障与信息系统的规划组织、开发采购、实施交付、运行维护和废弃等生命周期密切相关 C．信息系统安全需要从技术、工程、管理和人员四个领域进行综合保障 D．信息系统安全保障需要将信息系统面临的风险降低到可接受的程度，从而实现其业务使命

B. 信息系统安全保障要素包括信息的完整性、可用性和保密性

展开答案

答案：B

解释：教材 P35 信息系统安全保障要素是 C 选项的内容；完整性、可用性和保密性是信息系统安全保障的安全特征。

问题 24

在使用系统安全工程-能力成熟度模型(SSE-CMM)对一个组织的安全工程能力成熟度进行测量时，正确的理解是： A．测量单位是基本实施(Base Practices，BP) B．测量单位是通用实践(Generic Practices，GP) C．测量单位是过程区域(Process Areas，PA) D．测量单位是公共特征(Common Features，CF)

展开答案

答案：B

解释：教材 P203 通用实施(Generic Practices，GP)可在过程评估中用于确定任何过程的能力，还可以帮助确定项目管理好坏的程度并可将每一个过程区域作为一个整体加以改进。

问题 25

关于信息安全保障技术框架(IATF)，以下说法不正确的是： B．IATF 从人、技术和操作三个层面提供一个框架实施多层保护，使攻击者即使攻破一层也无法破坏整个信息基础设施 C．允许在关键区域(例如区域边界)使用高安全级保障解决方案，确保系统安全性 D．IATF 深度防御战略要求在网络体系结构各个可能位置实现所有信息安全保障机制

A. 分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本

展开答案

答案：D

解释：教材 P30 仅仅在信息系统的重要敏感区域（可能位置）设置一些保护装置是不够的，任意一个系统漏洞都有可能导致严重的攻击和破坏后果，所以在信息系统的各个方位布置全面的防御机制，才能将风险降至最低。

问题 26

层次化的文档是信息安全管理体系《Information Security Management System.ISMS》建设的直接体系，也 ISMS 建设的成果之一，通常将 ISMS 的文档结构规划为 4 层金字塔结构，那么，以下选项（）应放入到一级文件中。

A.《风险评估报告》
B.《人力资源安全管理规定》
C.《ISMS 内部审核计划》
D.《单位信息安全方针》

展开答案

答案：D

解释：教材 P99 一级文件中一般为安全方针、策略文件；二级文件中一般为管理规范制度；三级文件一般为操作手册和流程；四级文件一般表单和管理记录。

问题 27

信息安全管理体系（information Security Management System.简称 ISMS）的实施和运行ISMS 阶段，是 ISMS 过程模型的实施阶段（Do），下面给出了一些备①制定风险处理计划②实施风险处理计划③开发有效性测量程序④实施培训和意识教育计划⑤管理ISMS 的运行⑥管理 ISMS 的资源⑦执行检测事态和响应事件的程序⑧实施内部审核⑨实施风险再评估选的活动，选项（）描述了在此阶段组织应进行的活动。

A.①②③④⑤⑥
B.①②③④⑤⑥⑦
C.①②③④⑤⑥⑦⑧
D.①②③④⑤⑥⑦⑧⑨

展开答案

答案：B

解释：1-7 的工作都属于管理体系的实施阶段（D-Do），而 8 和 9 属于检查阶段（C-Check）。

问题 28

微软 SDL 将软件开发生命周期制分为七个阶段，并列出了十七项重要的安全活动。其中“ 弃用不安全的函数 ”属于（）的安全活动。

A.要求阶段
B.设计阶段
C.实施阶段
D.验证阶段

展开答案

答案：C

解释：教材 P398 SDL 将软件开发生命周期划分为 7 个阶段：

阶段	描述
培训	针对开发团队和高层进行安全意识与能力的培训，以确保 SDL 能有效实施，同时能针对新的安全问题与形式持续提升团队的能力。
需求	通过安全需求分析，确定软件安全需要的安全标准和相关要求。
设计	通过分析攻击面，设计相应的功能和策略，降低和减少不必要的安全风险。同时通过威胁建模，分析软件或系统的安全威胁，提出缓解措施。
实现	按设计要求，实现对应功能和策略，以及缓解措施涉及的安全功能和安全策略。同时通过安全编码和禁用不安全 API ，减少实现时导致的安全问题，不引入编码级安全漏洞，并通过代码审计等措施来确保安全编码规范的实行。
验证	通过安全测试的手段，检测软件的安全漏洞，并全面核查攻击面，各个关键因素上的威胁缓解措施是否正确得以实现。
发布	建立相应的响应计划，进行最终安全核查，并完善相应的安全指导文档以提交给用户使用。
响应	响应安全事件与漏洞报告，实施漏洞修复和应急响应。同时发现新的问题与安全问题模式，学习到新的知识，将它们用于 SDL 的持续改进过程中。

培训、需求、设计、实现、验证、发布、响应。其中弃用不安全的函数为编码实施阶段。

卷二

问题 29

我国信息安全先后经历启动、逐步展开和积极推进，以及深化落实三个阶段，以下关于我国信息安全保障各阶段说法不正确的是：

A. 2001 国家信息化领导小组重组，网络与信息安全协调小组成立，我国信息安全保障工作正式启动
B. 2003 年 7 月，国家信息化领导小组制定出台了《关于加强信息安全保障工作的意见》（中办发 27 号文），明确了“积极防御、综合防范“的国家信息安全保障方针
C. 2003 年中办发 27 号文件的发布标志着我国信息安全保障进入深化落实阶段
D. 在深化落实阶段，信息安全法律法规、标准化，信息安全基础设施建设，以及信息安全等级保护和风险评估取得了新进展。

展开答案

答案：C

解释：2006 年进入到深化落实阶段。

问题 30

我国信息安全保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面，以下关于安全保障建设主要工作内容说法不正确的是：

A. 建全国家信息安全组织与管理体制机制，加强信息安全工作的组织保障
B. 建设信息安全基础设施，提供国家信息安全保障能力支撑
C. 建立信息安全技术体系，实现国家信息化发展的自主创新
D. 建立信息安全人才培养体系，加快信息安全学科建设和信息安全人才培养

展开答案

答案：C

解释：实现自主创新在过去的的保障中为自主可控。

问题 31

信息安全测评是指依据相关标准，从安全功能等角度对信息技术产品、信息系统、服务提供商以及人员进行测试和评估，以下关于信息安全测评说法不正确的是：

A. 信息产品安全评估是测评机构的产品的安全性做出的独立评价，增强用户对已评估产品安全的信任
B. 目前我国常见的信息系统安全测评包括信息系统风险评估和信息系统安全保障测评两种类型
C. 信息安全工程能力评估是对信息安全服务提供者的资格状况、技术实力和实施服务过程质量保证能力的具体衡量和评价。
D. 信息系统风险评估是系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件可能造成的危害程度，提出游针对性的安全防护策略和整改措施

展开答案

答案：B

解释：信息系统安全测评包括风险评估、保障测评和等级保护测评 3 种测评。

问题 32

分组密码算法是一类十分重要的密码算法，下面描述中，错误的是（）：

A.分组密码算法要求输入明文按组分成固定长度的块
B.分组密码的算法每次计算得到固定长度的密文输出块
C.分组密码算法也称作序列密码算法
D.常见的 DES、IDEA 算法都属于分组密码算法

展开答案

答案：C

解释：教材 P273

按对明文的处理方式，可将对称密码体制分为分组密码( Block cipher )和流密码( Stream cipher)。

密码	说明
分组密码	是将明文分成固定长度的组，用同一密钥和算法对每一块加密，对每个输入块产生一个输出块，输出也是固定长度的密文。典型的分组密码算法有 DES AES 等。
流密码	也称序列密码，是将明文消息按字符逐位地加密，连续地处理输人明文，并随着该加密的进行，一次产生一个密文的输出，即一次加密一个比特或一个字节。典型的例子如一次一密( One-time padding)

流密码也称序列密码，分组密码算法和序列算法是两种算法

问题 33

异常入侵检测是入侵检测系统常用的一种技术，它是识别系统或用户的非正常行为或者对于计算机资源的非正常使用，从而检测出入侵行为。下面说法错误的是：

A.在异常入侵检测中，观察的不是已知的入侵行为，而是系统运行过程中的异常现象
B.实施异常入侵检测，是将当前获取行为数据和已知入侵攻击行为特征相比较，若匹配则认为有攻击发生
C.异常入侵检测可以通过获得的网络运行状态数据，判断其中是否含有攻击的企图，并通过多种手段向管理员报警
D.异常入侵检测不但可以发现从外部的攻击，也可以发现内部的恶意行为

展开答案

答案：B

解释：异常入侵检测主要监测的是异常现象，误用入侵检测（或特征检测）才是将当前获取行为数据和已知入侵攻击行为特征相比较，若匹配则认为有攻击发生。

问题 34

以下关于 SMTP 和 POP3 协议的说法哪个是错误的 C SMTP 和 POP3 协议缺乏严格的用户认证，因此导致了垃圾邮件问题

A.SMTP 和 POP3 协议是一种基于 ASCII 编码的请求/响应模式的协议
B.SMTP 和 POP3 协议铭文传输数据，因此存在数据泄露的可能
D.SMTP 和 POP3 协议由于协议简单，易用性更高，更容易实现远程管理邮件

展开答案

答案：D

解释：教材 P382 IMAP 与 POP3 相比，IMAP 无须下载邮件全部内容，可以直接在客户端上对邮件进行操作（管理）。

问题 35

下面有关软件安全问题的描述中，哪项是由于软件设计缺陷引起的（）

A.设计了三层Ｗｅｂ架构，但是软件存在ＳＱＬ注入漏洞，导致被黑客攻击后能直接访问数据库
B.使用Ｃ语言开发时，采用了一些存在安全问题的字符串处理函数，导致存在缓冲区溢出漏洞
C.设计了缓存用户隐私数据机制以加快系统处理性能，导致软件在发布运行后，被黑客攻击获取到用户隐私数据
D.使用了符合要求的密码算法，但在使用算法接口时，没有按照要求生成密钥，导致黑客攻击后能破解并得到明文数据

展开答案

答案：C

解释：此题正确答案应该为 A。C 的问题在于没有平衡好性能和安全，更像是安全策略上的失误。

问题 36

软件存在漏洞和缺陷是不可避免的，实践中常使用软件缺陷密度（Ｄｅｆｅｃｔｓ／ＫＬＯＣ）来衡量软件的安全性，假设某个软件共有２９.６万行源代码，总共被检测出１４５个缺陷，则可以计算出其软件缺陷密度值是：

A.０.０００４９
B.０.０４９
C.０.４９
D.４９

展开答案

答案：C

解释：缺陷密度 = 缺陷数量 / 代码行数 (KLOC) 缺陷数量 = 145 代码行数 = 29.6 万行 = 296 KLOC (因为 1 KLOC = 1000 行代码) 缺陷密度 = 145 / 296 ≈ 0.49

问题 37

某网站为了开发的便利，使用 SA 链接数据库，由于网站脚本中被发现存在 SQL 注入漏洞，导致攻击者利用内置存储过程 XP.cmctstell 删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：

A.权限分离原则
B.最小特权原则
C.保护最薄弱环节的原则
D.纵深防御的原则

展开答案

答案：B

解释：SA 是系统管理员（System Administrator），该帐户拥有数据库的最高权限。使用 SA 帐户连接数据库违反了最小特权原则。

问题 38

微软提出了 STRIDE 模型，其中 Repudation（抵赖）的缩写，关于此项安全要求，下面描述错误的是（）

A.某用户在登陆系统并下载数据后，却声称“我没有下载过数据”，软件系统中的这种威胁就属于 R 威胁
B.解决 R 威胁，可以选择使用抗抵赖性服务技术来解决，如强认证、数字签名、安全审计等技术措施
C.R 威胁是 STRIDE 六种威胁中第三严重的威胁，比 D 威胁和 E 威胁的严重程度更高
D.解决 R 威胁，也应按照确定建模对象、识别威胁、评估威胁以及消减威胁等四个步骤来进行

展开答案

答案：C

解释： STRIDE 代表 6 种威胁的简称，无严重程度之分。

威胁	威胁（中文）	定义	举例
Spoofing	哄骗	模仿其他人或实体	伪装成 microsoft.com 或ntdll.dll
Tampering	篡改	修改数据或代码	修改硬盘、DVD或网络数据包中的DLL
Repudiation	抵赖	声称没有执行某个动作	“我没有发送过那封电子邮件”“我没有修改过那个文件”“亲爱的,我确实没有访问过那个网站!”
Information Disclosure	信息泄露	把信息披露给那些无权知道的人	允许某人阅读 Windows 源代码;公布某个Web网站的用户清单
Denial of Service	拒绝服务	拒绝为用户提供服务	使得 Windows 或Web网站崩溃,发送数据包并耗尽CPU时间,将数据包路由到某黑洞中
Elevation of Privilege	权限提升	获得非授权访问权	允许远程互联网用户执行命令,让受限用户获得管理员权限

问题 39

以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息网络和重要信息系统的安全（）

A.信息安全管理体系（ISMS）
B.信息安全等级保护
C.NIST SP800
D.ISO 270000 系统

展开答案

答案：B

解释：教材 P75 网络安全等级保护制度（信息安全等级保护制度）是一项基本制度。重点保障基础信息网络和重要信息系统则体现了它的针对性。

问题 40

某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安全风险评估分为自评估和检查评估两种形式，该部门将有检查评估的特点和要求整理成如下四条报告给单位领导，其中描述错误的是

A.检查评估可依据相关标准的要求，实施完整的风险评估过程；也可在自评估的基础上，对关键环节或重点内容实施抽样评估
B.检查评估可以由上级管理部门组织，也可以由本级单位发起，其重点是针对存在的问题进行检查和评测
C.检查评估可以由上级管理部门组织，并委托有资质的第三方技术机构实施
D.检查评估是通过行政手段加强信息安全管理的重要措施，具有强制性的特点

展开答案

答案：B

解释：教材 P247 检查评估由被评估组织的上级主管机关或业务主管机关发起的，依据国家有关法规与标准，对信息系统及其管理进行的具有强制性的检查活动。

问题 41

规范的实施流程和文档管理，是信息安全风险评估能否取得成果的重要基础，按照规范的风险评估实施流程，下面哪个文档应当是风险要素识别阶段的输出成果（）

A.《风险评估方案》
B.《需要保护的资产清单》
C.《风险计算报告》
D.《风险程度等级列表》

展开答案

答案：B

解释：风险要素包括资产、威胁、脆弱性、安全措施

问题 42

在信息安全管理的实施过程中，管理者的作用于信息安全管理体系能否成功实施非常重要，但是一下选项中不属于管理者应有职责的是（）

A.制定并颁发信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体要求
B.确保组织的信息安全管理体系目标和相应的计划得以制定，目标应明确、可度量，计划应具体、可事实
C.向组织传达满足信息安全的重要性，传达满足信息安全要求、达成信息安全目标、符合信息安全方针、履行法律责任和持续改进的重要性
D.建立健全信息安全制度，明确安全风险管理作用，实施信息安全风险评估过程、确保信息安全风险评估技术选择合理、计算正确

展开答案

答案：D

解释：D 选项描述的是信息安全管理体系中的具体操作，更适合由专业人员来执行，而不是管理者的职责。

问题 43

信息安全管理体系（Information Security Management System ,ISMS）的内部审核和管理审核是两项重要的管理活动，关于这两者，下面描述的错误是

A.内部审核和管理评审都很重要，都是促进 ISMS 持续改进的重要动力，也都应当按照一定的周期实施
B.内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理评审会议形式进行
C.内部审核的实施主体组织内部的 ISMS 内审小组，而管理评审的实施主体是由国家政策指定的第三方技术服务机构
D.组织的信息安全方针、信息安全目标和有关 ISMS 文件等，在内部审核中作为审核标准使用，但在管理评审总，这些文件时被审对象

展开答案

答案：C

解释：管理评审不强制要求由第三方机构执行，组织可以选择内部进行或委托外部机构协助。

问题 44

对信息安全事件的分级参考下列三个要素：信息系统的重要程度、系统损失和社会影响，依据信息系统的重要程度对信息进行划分，不属于正确划分级别的是：

A.特别重要信息系统
B.重要信息系统
C.一般信息系统
D.关键信息系统

展开答案

答案：D

解释：教材 P146 系统损失被划分为特别严重的系统损失、严重的系统损失、较大的系统损失和较小的系统损失 4 个级别。并未定义关键信息的系统损失。

问题 45

恢复时间目标（RTO）和恢复点目标（RPO）是信息系统灾难恢复中的重要概念，关于这两个值能否为零，正确的选项是（）

A.RTO 可以为 0，RPO 也可以为 0
B.RTO 可以为 0，RPO 不可以为 0
C.RTO 不可以为 0，但 RPO 可以为 0
D.RTO 不可以为 0，RPO 也不可以为 0

展开答案

答案：A

解释：教材 P156 RPO 越小，灾备的性能越好，如果 RPO=O ，说明数据是实时备份，不会出现数据丢失的情况。 RTO 越小，系统从故障中恢复的时间就越短，说明系统从灾难中恢复能力就越强，如果 RTO=O 那么服务就不会中断。

问题 46

系统工程的模型之一霍尔三维结构模型由时间维、逻辑维和知识维组成。有关此模型，错误的是：

A. 霍尔三维机构体系形成地描述了系统工程研究的框架
B. 时间维表示系统工程活动从开始到结束按照时间顺序排列的全过程
C. 逻辑维的七个步骤与时间维的七个阶段严格对应，即时间维第一阶段应执行逻辑维第一步骤的活动，时间维第二阶段应执行逻辑维第二步骤的活动
D. 知识维列举可能需要运用的工程、医学、建筑、商业、法律、管理、社会科学和艺术等各种知识和技能

展开答案

答案：C

解释：霍尔三维模型是一种系统思想，无法实现严格的对应。

问题 47

有关系统安全工程-能力成熟度模型（SSE-CMM）中的通用实施（Generic Practices ，GP）错误理解是：

A. GP 是涉及过程的管理、测量和制度化方面的活动
B. GP 适用于域维中部分过程区域（Process Aractices ，PA）活动而非所有 PA 的活动
C. 在工程实施时，GP 应该作为基本实施（ Base Practices，BP）的一部分加以执行
D. 在评估时，GP 用于判定工程组织执行某个 PA 的能力

展开答案

答案：B

解释：GP 适用于域维中所有 PA 活动

问题 48

在使用系统安全工程-能力成熟度模型（SSE-CCM）对一个组织的安全工程能力成熟度进行测量时，有关测量结果，错误的理解是：

A. 如果该组织在执行某个特定的过程区域时具备了一个特定级别的部分公共特征时，则这个组织在这个过程区域的能力成熟度未达到此级
B. 如果该组织某个过程区域（Process Areas，PA）具备了“定义标准过程”、“执行已定义的过程”两个公共特征，则此过程区域的能力成熟度级别达到 3 级“充分定义级”
C. 如果某个过程区域（Process Areas，PA）包含 4 个基本实施（Base Practices，BP），执行此 PA 时执行了 3 个 BP，则此过程区域的能力成熟度级别为 0
D. 组织在不同的过程区域的能力成熟度可能处于不同的级别上

展开答案

答案：B

解释：SSE-CMM 充分定义级包括三个特征，为“定义标准过程”、“执行已定义的过程”、“安全协调实施”。B 答案中只描述了两个公共特征

问题 49

北京某公司利用 SSE-CMM 对其自身工程队伍能力进行自我改善，其理解正确的是：

A. 系统安全工程能力成熟度模型（SSE-CMM）定义了 6 个能力级别，当工程队不能执行一个过程域中的基本实践时，该过程域的过程能力为 0 级
B. 达到 SSE-CMM 最高级以后，工程队伍执行同一个过程，每次执行结果质量必须相同。
C. 系统安全工程能力成熟度模型（SSE-CMM）定义了 3 个风险过程：评价威胁，评价脆弱性，评价影响。
D. SSE-CMM 强调系统安全工程与其他工程科学的区别和独立性。

展开答案

答案：A

解释： A 当工程队不能执行一个过程域中的基本实践时，该过程域的过程能力为 0 级。 B 错误，每次质量结果难以相同。 C 错误，SSE-CMM 定义了一个风险过程，包括四个部分，评估影响、评估威胁、评估脆弱性、评估安全风险。 D 错误，SSE-CMM 强调的是关联性而非独立性。

问题 50

系统安全工程-能力成熟度模型（SSE-CMM）定义的包含评估威胁、评估脆弱性、评估影响和评估安全风险的基本过程领域是：

A. 风险过程
B. 工程过程
C. 保证过程
D. 评估过程

展开答案

答案：A

解释：风险过程包括评估影响、评估威胁、评估脆弱性和评估安全风险

问题 51

具有行政法律责任强制的安全管理规定和安全制度包括 1>安全事件（包括安全事故）报告制度 2>安全等级保护制度 3>信息系统安全监控 4>安全专用产品销售许可证制度

展开答案

答案：A

解释：1、2、4 均为管理规定和安全制度。

问题 52

信息系统建设完成后，（）的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入使用

A. 二级以上
B. 三级以上
C. 四级以上
D. 五级以上

展开答案

答案：B

解释：教材 P78 答案为 B，三级以上默认包括本级。

根据教材，正确答案应为 A. 二级以上，并未说明包含本级。

问题 53

为了保障网络安全，维护网络安全空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，加强在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，2015 年 6 月，第十二届全国人大常委会第十五次会议初次审议了一部法律草案，并与 7 月 6 日起在网上全文公布，向社会公开征求意见，这部法律草案是（）

A.《中华人民共和国保守国家秘密法（草案）》
B.《中华人民共和国网络安全法（草案）》
C.《中华人民共和国国家安全法（草案）》
D.《中华人民共和国互联网安全法（草案）》

展开答案

答案：B

解释：答案为 B

问题 54

为了进一步提高信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，公安部等 4 部分联合发布《关于信息安全等级保护工作的实施意见》(公通字[2004]66 号)，对等级保护工作的开展提供宏观指导和约束，明确了等级保护工作的基本内容、工作要求和实施计划，以及各部门工作职责分工等，关于该文件，下面理解正确的是

A. 该文件时一个由部委发布的政策性文件，不属于法律文件
B. 该文件适用于 2004 年的等级保护工作，其内容不能越苏到 2005 年及之后的工作
C. 该文件时一个总体性指导文件，规定了所有信息系统都要纳入等级保护定级范围
D. 该文件使用范围为发文的这四个部门，不适用于其他部门和企业等单位

展开答案

答案：A

解释：答案为 A

问题 55

CC 标准是目前系统安全认证方面最权威的标准，哪一项不是体现 CC 标准的先进性？

A. 结构开放性，即功能和保证要求可以“保护轮廓”和“安全目标”中进行一步细化和扩展
B. 表达方式的通用性，即给出通用的表达方式
C. 独立性，它强调将安全的功能和保证分离
D. 实用性，将 CC 的安全性要求具体应用到 IT 产品的开发、生产、测试和评估过程中

展开答案

答案：C

解释：ITSEC 最早强调功能和保证的分离，不是 CC 的先进性。

问题 56

对于数字证书而言，一般采用的是哪个标准？ B B.802.11

A. ISO/IEC 1540
C. GB/T 20984
D. X.509

展开答案

答案：D

解释：教材 P287 国际标准 X.509 定义一个规范的数字证书格式，是 PKI 技术体系中应用最广泛、也是最基础的一个国际标准。

问题 57

在可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别？

A.C2
B.C1
C.B2
D.B1

展开答案

答案：D

解释：教材 P230 TCSEC 通过分级的方式建立评价指标，其定义了 4 个级别: D (最小保护)、C (选择保护)、B (强制保护)和 A (验证保护) 。其中 A 级具有最高的安全性。在 C、B、A 级别中又建立了一系列细分，称为类别 C1、C2、 B1 、B2、B3 和 A1。 D: 最小保护 C: 选择保护 B：强制保护 A：验证保护

问题 58

2005 年，RFC4301（Request for Comments 4301：Security Architecture for the Intermet Protocol）发布，用以取代原先的 RFC2401，该标准建议规定了 IPsec 系统基础架构，描述如何在 IP 层（IPv4/IPv6）为流量提供安全业务，请问此类 RFC 系列标准建设是由哪个组织发布的（）

A.国际标准化组织
B.国际电工委员会
C.国际电信联盟远程通信标准化组织
D.Internet 工程任务组

展开答案

答案：D

解释：教材 P67 Intemet 工程任务组 (IETF) 创建于 1986 年，其主要任务是负责互联网相关技术规范的研发和制定，著名的 IKE IPsec 都在 RFC 系列之中，还有电子邮件、网络认证和密码标准，也包括了 TLS 标准和其他的安全协议标准。

问题 59

GB/T18336《信息技术安全性评估准则》（CC）是测评标准类中的重要标准，该标准定义了保护轮廓（Protection Profile ，PP ）和安全目标（Security Target ，ST）的评估准则，提出了评估保证级（Evaluation Assurance Level，EAL）,其评估保证级共分为（）个递增的评估保证等级

展开答案

答案：D

解释：教材 P236

问题 60

信息安全工程监理的职责包括：

A.质量控制、进度控制、成本控制、合同管理、信息管理和协调
B.质量控制、进度控制、成本控制、合同管理和协调
C.确定安全要求、认可设计方案、监视安全态势、建立保障证据和协调
D.确定安全要求、认可设计方案、监视安全态势和协调

展开答案

答案：A

解释：A 为监理的内容。

问题 61

对涉密系统进行安全保密测评应当依据以下哪个标准?

A.BMB20-2007《涉及国家秘密的计算机信息系统分级保护管理规范》
B.BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》
C.GB17859-1999《计算机信息系统安全保护等级划分准则》
D.GB／T20271-2006《信息安全技术信息系统统用安全技术要求》

展开答案

答案：B

解释：B 为正确答案。

问题 62

以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一?

A.提高信息技术产品的国产化率
B.保证信息安全资金投入
C.加快信息安全人才培养
D.重视信息安全应急处理工作

展开答案

答案：A

解释：提高信息技术产品的国产化率不属于九项重点工作内容之一。

问题 63

根据信息安全风险要素之间的关系，下图中空白处应该填写（）
+———+ 利用 +————+ 增加 +——–+ | 威胁 | ————> | 空白部分 | ————> | 风险 | +———+ +————+ +——–+

A、资产 B、安全事件 C、脆弱性 D、安全措施

展开答案

答案：C

解释：信息安全风险要素之间的关系可以总结为：威胁利用脆弱性对资产进行攻击，从而导致安全事件的发生，而安全事件会对组织造成影响或损失。

卷三

问题 64

以下哪个选项不是防火墙提供的安全功能?

A．IP 地址欺骗防护 B．NAT C．访问控制 D．SQL 注入攻击防护

展开答案

答案：A

解释：正确答案应为D，防火墙提供的安全功能包括访问控制、NAT、IP 地址欺骗防护等，但不提供SQL注入攻击防护。SQL注入攻击防护通常由Web应用防火墙（WAF）提供。题库答案为A。

问题 65

以下关于可信计算说法错误的是： A．可信的主要目的是要建立起主动防御的信息安全保障体系 B．可信计算机安全评价标准(TCSEC)中第一次提出了可信计算机和可信计算基的概念 C．可信的整体框架包含终端可信、终端应用可信、操作系统可信、网络互联可信、互联网交易等应用系统可信 D．可信计算平台出现后会取代传统的安全防护体系和方法

展开答案

答案：D

解释：可信计算与传统安全防护体系相辅相成，共同提高整体安全水平，而不是简单的替代关系。

问题 66

以下哪个拒绝服务攻击方式不是流量型拒绝服务攻击 A．Land B．UDP Flood C．Smurf

D.Teardrop

展开答案

答案：D

解释： Land、UDP Flood 和 Smurf 都属于流量型拒绝服务攻击，它们分别通过向目标发送大量伪造的 SYN 数据包（Land 攻击中源地址和目的地址相同）、UDP 数据包（UDP Flood）或利用广播地址放大攻击流量（Smurf）来实现。相比之下，Teardrop 攻击是一种利用操作系统处理 IP 分片的漏洞来实现的攻击。它通过向目标系统发送重叠或畸形的 IP 分片，使得目标系统在重组分片数据包时出现异常，从而导致系统崩溃或重启，这种攻击并不依赖于生成大量流量来达到目的。因此，Teardrop 不属于流量型拒绝服务攻击。

问题 67

关于源代码审核，下列说法正确的是： A．人工审核源代码审校的效率低，但采用多人并行分析可以完全弥补这个缺点 B．源代码审核通过提供非预期的输入并监视异常结果来发现软件故障，从而定位可能导致安全弱点的薄弱之处 C．使用工具进行源代码审核，速度快，准确率高，已经取代了传统的人工审核

D. 源代码审核是对源代码检查分析，检测并报告源代码中可能导致安全弱点的薄弱之处

展开答案

答案：D

解释：教材 P415 B 描述的是模糊测试（Fuzz Testing），D 是源代码审核的定义。

问题 68

在戴明环(PDCA)模型中，处置(ACT)环节的信息安全管理活动是： A．建立环境 B．实施风险处理计划 C．持续的监视与评审风险

D. 持续改进信息安全管理过程

展开答案

答案：D

解释：处置（Act）阶段涉及的是基于之前监测和审查的结果采取行动，以持续改进过程。

问题 69

信息系统的业务特性应该从哪里获取? A．机构的使命 B．机构的战略背景和战略目标 D．机构的组织结构和管理制度

C. 机构的业务内容和业务流程

展开答案

答案：C

解释：信息系统的业务特性应当从机构的业务内容和业务流程中获取。这是因为信息系统的设计和实施是为了支持和优化业务流程，提高业务效率和效果。选项中带“业务”。

问题 70

在信息系统设计阶段，“安全产品选择”处于风险管理过程的哪个阶段? A．背景建立 B．风险评估 C．风险处理 D．批准监督

展开答案

答案：C

解释：在信息系统设计阶段，“安全产品选择”处于风险管理过程的“风险处理”阶段（C）。在这个阶段，组织会根据之前的风险评估结果，选择并实施相应的控制措施来应对已识别的风险，其中包括选择合适的安全产品和技术来加强信息系统的安全性。

问题 71

信息系统安全保护等级为 3 级的系统，应当()年进行一次等级测评?

A. 0.5
B. 1
C. 2
D. 3

展开答案

答案：B

解释：

等级	安全保护等级名称	等级测评频率
1	自主保护级	原则上不做硬性规定，可根据实际情况自行安排
2	指导保护级	建议每两年至少进行一次等级测评
3	监督保护级	每年至少进行一次等级测评
4	强制保护级	每半年至少进行一次等级测评
5	专控保护级	根据特殊要求，可能需要更频繁的测评

问题 72

国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述? A．处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的 B．能够局部反应国家防御和治安实力的 C．我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺 D．国际领先，并且对国防建设或者经济建设具有特别重大影响的

展开答案

答案：D

解释：《秘密法》第十条规定国家秘密的密级分为绝密、机密、秘密三级。

密级	描述
绝密级	国际领先，并且对国防建设或者经济建设具有特别重大影响的科技秘密, 能够导致高新技术领域突破的科技秘密, 能够整体反映国家防御和治安实力的科技秘密。
机密级	处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的科技秘密，能够局部反映国家防御和治安实力的科技秘密，我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺。
秘密级	具有一定重要性的科技秘密，泄露后会对国家安全和利益造成损害，但不如前两者严重。

问题 73

关于我国加强信息安全保障工作的总体要求，以下说法错误的是： A．坚持积极防御、综合防范的方针 B．重点保障基础信息网络和重要信息系统安全 C．创建安全健康的网络环境 D．提高个人隐私保护意识

展开答案

答案：D

解释：尽管个人隐私保护意识的提高对于信息安全非常重要，但这更多地被看作是信息安全保障工作的一个组成部分或结果，而不是其核心要求。

问题 74

根据《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》的规定，以下正确的是： A．涉密信息系统的风险评估应按照《信息安全等级保护管理办法》等国家有关保密规定和标准进行 B．非涉密信息系统的风险评估应按照《非涉及国家秘密的信息系统分级保护管理办法》等要求进行 C．可委托同一专业测评机构完成等级测评和风险评估工作，并形成等级测评报告和风险评估报告 D．此通知不要求将 “信息安全风险评估”作为电子政务项目验收的重要内容

展开答案

答案：C

解释：实践中可以委托同一专业测评机构完成等级测评和风险评估工作，并形成等级测评报告和风险评估报告。

非涉密信息系统的信息安全风险评估，通常是依据国家发布的信息安全技术标准，例如GB/T 20984《信息安全技术信息安全风险评估规范》来进行的。这一标准提供了风险评估的方法论，包括风险识别、风险分析、风险评价、风险处理等环节，以确保信息系统能够达到相应的安全要求。因此，选项B 提到的“按照《非涉及国家秘密的信息系统分级保护管理办法》等要求进行”并不准确，正确的做法应该是依据适用的信息安全技术和管理标准进行风险评估。

问题 75

下列选项中，哪个不是我国信息安全保障工作的主要内容： A．加强信息安全标准化工作，积极采用 “等同采用、修改采用、制定”等多种方式，尽快建立和完善我国信息安全标准体系 B．建立国家信息安全研究中心，加快建立国家急需的信息安全技术体系，实现国家信息安全自主可控目标 C．建设和完善信息安全基础设施，提供国家信息安全保障能力支撑 D．加快信息安全学科建设和信息安全人才培养

展开答案

答案：B

解释： B选项虽然表述上强调了信息安全技术研究和自主可控，但在实际的政策和战略框架下，这并不是直接列为信息安全保障工作主要内容的方式。

问题 76

关于信息安全管理，说法错误的是： A．信息安全管理是管理者为实现信息安全目标(信息资产的 CIA 等特性，以及业务运作的持续)而进行的计划、组织、指挥、协调和控制的一系列活动。 B．信息安全管理是一个多层面、多因素的过程，依赖于建立信息安全组织、明确信息安全角色及职责、制定信息安全方针策略标准规范、建立有效的监督审计机制等多方面非技术性的努力。 C．实现信息安全，技术和产品是基础，管理是关键。 D．信息安全管理是人员、技术、操作三者紧密结合的系统工程，是一个静态过程。

展开答案

答案：D

解释：信息安全管理实际上是一个动态过程，需要不断地适应新的威胁、技术和业务环境的变化。

问题 77

以下哪个选项不是信息安全需求的来源? A．法律法规与合同条约的要求 B．组织的原则、目标和规定 C．风险评估的结果 D．安全架构和安全厂商发布的病毒、漏洞预警

展开答案

答案：D

解释：安全需求来源于内部驱动，D 是外部参考要素，不属于信息安全需求的主要来源。

问题 78

风险评估工具的使用在一定程度上解决了手动评佑的局限性，最主要的是它能够将专家知识进行集中，使专家的经验知识被广泛使用，根据在风险评估过程中的主要任务和作用愿理，风险评估工具可以为以下几类，其中错误的是：A．风险评估与管理工具B．系统基础平台风险评估工具C．风险评估辅助工具D．环境风险评估工具答案：D解释：通常情况下信息安全风险评估工具不包括环境评估工具。

展开答案

无解释。

卷一#

问题 1#

问题 2#

问题 3#

问题 4#

问题 5#

问题 6#

问题 7#

问题 8#

问题 9#

问题 10#

问题 11#

问题 12#

问题 13#

问题 14#

问题 15#

问题 16#

问题 17#

问题 18#

问题 19#

问题 20#

问题 21#

问题 22#

问题 23#

问题 24#

问题 25#

问题 26#

问题 27#

问题 28#

卷二#

问题 29#

问题 30#

问题 31#

问题 32#

问题 33#

问题 34#

问题 35#

问题 36#

问题 37#

问题 38#

问题 39#

问题 40#

问题 41#

问题 42#

问题 43#

问题 44#

问题 45#

问题 46#

问题 47#

问题 48#

问题 49#

问题 50#

问题 51#

问题 52#

问题 53#

问题 54#

问题 55#

问题 56#

问题 57#

问题 58#

问题 59#

问题 60#

问题 61#

问题 62#

问题 63#

卷三#

问题 64#

问题 65#

问题 66#

问题 67#

问题 68#

问题 69#

问题 70#

问题 71#

问题 72#

问题 73#

问题 74#

问题 75#

问题 76#

问题 77#

卷一

问题 1

问题 2

问题 3

问题 4

问题 5

问题 6

问题 7

问题 8

问题 9

问题 10

问题 11

问题 12

问题 13

问题 14

问题 15

问题 16

问题 17

问题 18

问题 19

问题 20

问题 21

问题 22

问题 23

问题 24

问题 25

问题 26

问题 27

问题 28

卷二

问题 29

问题 30

问题 31

问题 32

问题 33

问题 34

问题 35

问题 36

问题 37

问题 38

问题 39

问题 40

问题 41

问题 42

问题 43

问题 44

问题 45

问题 46

问题 47

问题 48

问题 49

问题 50

问题 51

问题 52

问题 53

问题 54

问题 55

问题 56

问题 57

问题 58

问题 59

问题 60

问题 61

问题 62

问题 63

卷三

问题 64

问题 65

问题 66

问题 67

问题 68

问题 69

问题 70

问题 71

问题 72

问题 73

问题 74

问题 75

问题 76

问题 77