CISSP学习笔记-域6（安全评估与测试）

这是一篇关于CISSP学习笔记-域6（安全评估与测试）的思维导图，主要内容包括：复习题，知识点。

CISSP学习笔记-域6（安全评估与测试）

• 知识点
  • 6.1 没计并验证评估、测试和审计策胳
    • 6.1.1. 评估、测试和审计
      • 6.1.1.1测试 (Tests)
        • 一种技术活动，通过执行系统以确认其是否满足特定要求或预期的行为。测试通常用于发现系统中的问题和错误。在安全领域，测试包括漏洞扫描、渗透测试等，用于发现并评估系统的潜在安全风险。
      • 6.1.1.2评估 (Assessments)
        • 评估是对特定对象、系统或过程的综合评价活动，它可以是基于量化或者定性的标准，比如风险评估就是评估发生特定风险的可能性，也可以是评估组织的安全流程的质量。
      • 6.1.1.3审计 (Audit)
        • 审计是一个更正式、结构化的过程，其主要目标是根据明确的标准或规范来验证和确认对象或系统的合规性。审计通常由独立的第三方机构进行，以保证审计结果的公正性和公平性。例如，系统审计可能会确定系统是否符合支付卡行业数据安全标准 (PCI DSS)。
    • 6.1.2. 内部审计
      • 内部评估和审计是由组织自己的人员进行的评估和审计活动。这种活动可以持续地进行，作为组织安全管理的一部分。
      • 1.内部审计的优缺点
        • •优点：由于内部人员对组织的操作和业务有深入的理解，所以他们能够更准确、高效地进行测试或评估。此外，内部审计也更加灵活，可以根据组织的需要随时进行。
        • •缺点：存在潜在的利益冲突，如“谁制定的政策就不应该由谁来审计”。因此，内部审计可能缺乏独立性和公正性。
      • 2.适合内部进行的测试类型
        • •漏洞扫描：定期进行，以发现未打补丁的软件或未知的资产。
        • •流程和程序审计 ：例如变更管理、员工培训完成情况等。
        • •网络钓鱼模拟：测试员工对网络钓鱼攻击的识别和应对能力。
      • 3.为外部审计做准备
        • 在进行外部审计之前，组织可以选择先进行一次内部的准备审计。这样可以在正式审计开始前发现并修复任何存在的问题或缺陷，有助于改善外部审计的结果。
    • 6.1.3. 外部审计
      • 外部审计通常由独立的第三方机构进行，这些机构没有与被审计组织存在直接的利益关系。因此，外部审计可以提供公正和独立的评估和审计结果，这对于发现和改善组织可能忽略的问题特别有价值。但也可能需要投入更多的时间和资源。因此，组织在決定进行外部审计时，需要权衡利弊，并考虑其具休的业务需求和条件。
      • 适用外部审计的情况包括：
        • •合规审计 ：为满足特定的合规要求，如支付卡行业数据安全标准 (PCI-DSS)、国际信息安全管理体系标准 (IS0 27001） 等，需要进行外部审计。
        • 法律或监管要求：在某些情况下，根据法律或监管规定，组织可能需要进行外部审计。例如，为了满足特定的业务要求，可能需要根据成熟度模型进行成熱度评估。
    • 6.1.4. 第三方审计
      • 对第三方的审计。也叫供应链审计。是评估和管理供应链安全风险的重要手段，可以由组织自身或第三方审计师进行。审计过程将评估供应链中的安全控制和策略，识别风险并提出缓解措施。某些供应商可能提供第三方的审计报告，如服务组织控制2(SOC2） 报告，这有助于组织更好地理解和管理供应链风险。
  • 6.2. 开展安全控制测试
    • 6.2.1. 脆弱性评估
      • 一、策略概述
        • 脆弱性评估是风险管理的关键组成部分，它主要是识别和评估硬件和软件资产的漏洞，以防止被攻击者利用。
        • 漏洞评估的主要步骤包括：
          • 1）创建资产清单：识别组织的关键资产并确定漏洞扫描的优先级。
          • 2 选择扫描工具：根据法律、合同或监管要求、平台兼容性和成本等因素，选择适合的漏洞扫描工具。
      • 二、漏洞评估的常见问
        • 1.过大的流量和 DoS
          • 描述：漏洞扫描器可以产生大量的流量，消耗网络带宽，并可能导致网络和系统在努力处理信息时出现 DoS 状况。
          • 解决方案：
            • 1） 正确的配置，例如实施请求节流，限制扫描仪在特定时间段内产生的请求数
            • 2） 凭证式扫描，获取配置信息，精确扫描目标端口
            • 3） 扫描日程安排，确保在用户活动少的时候进行扫描。
        • 2.警报和事件
          • 描述：扫描主机会模拟攻击者常用的策略，将产生安全警报。
          • 解决方案：配置策略对自己的测试流量进行过滤，将来自漏洞扫描器IP 地址的端口扫描标记为非可疑。
        • 3.跨职能部门的所有权
          • 描述：如果业务部门不重视，则可能忽路你的安全报警。
          • 解决方案：培养团队之间的关系，以适合资产所有者理解的方式格式化的反馈结果；
        • 4.污染
          • 描述：自动填充的测试数据会污染线上环境。
          • 解決方案：通过修改配置策略以減少或忽路一些有破坏性的操作，如表单操作、发送邮件等。扫描器可以被配置为放入公认的测试数据类型，在扫描后可以很容易地被忽略或清理掉
        • 5. 网路分割
          • 描述：用防火墙等访问控制手段对网络的不同部分进行分割或隔离是一种安全的最佳做法，但可能会导致扫描器无法到达目标地址。
          • 解决方案：分布式扫描将扫描代理放在网段内，分许该网段的端点被扫描，然后结果整合到中央控制合。
    • 6.2.2.渗透测试
      • 漏洞评估寻找理论上可以校利用的弱点，而渗透测过(也称pen testing )则更进-步，证明这些弱点可以被利用。
      • 1渗透測试种类
        • 1） 白盒渗透测试(也称 全知识测试）
          • 测试团队完全了解基础设施及其架构，包括操作系统、网络分段、设备及其漏洞。这种类型的测试有助于使测试小组专注于感兴趣的特定领域或特定的漏洞。
        • 2) 黑盒渗透测试(也称 零知识测试）
          • 测试团队对基础设施没有任何了解，从攻击者的角度发现网络结构及其漏洞
        • 3) 灰盒渗透测试(也称 局部知识测试）
          • 一种介手白盒测试和黑盒測试之间的渗透测试，测试小组对基础设施了解部分信息。
      • 2.渗透测试人员
        • 1)白帽黑客(道德)
          • 测试系统以确定其弱点的安全专业人员，以便减轻这些弱点并更好地保护系统。
        • 2）黑帽黑客（不道德的）
          • 惡意的实体，他们通过黑容入侵系统，获取镦感数据，或破坏基础设施的运行。
        • 3) 灰帽黑客
          • 在白帽和黑帽世界中来回穿梭的黑客。有时为了组织的利益出售他们的专业知
        • 4） 红队
          • 安全测试或演习过程中的攻击组
        • 5) 蓝队
          • 安全测试或演习过程中的防御者
        • 6) 白队
          • 在安全测试或演习过程中管理演习的小组
      • 3渗透测试规则
        • 除非得到适当的授权，否则绝不应进行渗透测试。还应当明确的测试规则，包括确定测试范围、确定参与人员、定义测试方法和期望的沟通方式等。
        • 通常在规则文件中定义的内客包括以下几个方面：
          • •哪些系统、办公室或其他目标在测试范围内？
          • •是否有任何系统、办公室或其他目标被明确排除在测试范围之外？
          • 。是否有任何测试方法被禁止，如社会工程或密码破解？
          • 。物理安全是否在范围内？如果是，包括哪些设施或目标？
          • •测试人员被授予什么级别的权限？ 可以为测试人员提供账户，以评估内部威胁，或在他们能路获得来经授汉的访问时进行验证活动。
          • •预期的沟通方式和节奏是什么？一些组织可能需要立即通知任何潜在的关键安全问题，而其他组织可能会满足于等待最终报告。
          • •谁在进行测试，允许使用什么设备和软件，以及何时进行测试？
          • •在处理内部网络配置、客户记录等敏感数据时，将使用什么程序？
          • •测试结束后，如何安全地处理敏感数据？
          • •预期的服务水平是什么。例如，测试人员是在实施修复后立即进行重新测试，还是等待规定的重新测试时间？
          • •对文件的期望是什么，特别是发现的任何问题的细节，显示为验证测试结果所做的工作，以及任何报告的格式？
      • 4.渗透测试过程
      • 5.物理渗透测试
        • 物理渗透测试是指测试人员试图在未经授权的情况下进入办公室或数据中心等设施，目的是发现物理安全控制的潜在弱点。经常使用的社会 工程策略包括：携带笨重的物品并要求别人把门打开，或打扮成官员的样子出现。
    • 6.2.3. 日志审查
      • 日志审查是信息安全管理的重要组成部分，它涉及到分析和审查由系统、终端、设备和应用程序生成的日志，目标是捕获和解析这些日志中的有意义信息，以便于检测和应对安全事件。
      • 1 日志审查的重要性
        • 日志提供了有关系统行为、用户行为、安全事件、系统错误等的详细信息。对日志的审查和分析可以帮助组织了解其系统的状态和行为，以及任何潜在的安全问题。
      • 2） 日志管理的审计和评估
        • 日志自身的生成、收集、存储和处理也需要被审计和评估。这涉及到确保日志的完整性、可用性和机密性，以及合规性。这可能需要参考适用的法律要求、行业规范和国际标准，以确保日志的管理符合要求。
      • 3） 日志审查策略
        • 组织需要制定日志审查的策路、程序和技术配置，以确保日志申查的有效性。这可能包括确定日志审查的频率、审查的深度、使用的工具和技术，以及如何处理审查结果等。
    • 6.2.4 合成交易(Synthetic Transactions)
      • 合成交易是指用于测试和监控系统性能的自动化过程，这些过程模拟特定的用户行为或操作，以验证应用程序、系统或网络的性能和可靠性。
      • 6.2.4.1 合成交易常见使用场景：
        • •服务水平协议(SLA) 监控：合成交易可用于监控主机或基于云的服务是否满足约定的服务水平标准。
        • •数据完整性监控：通过模拟业务逻辑规则并处理测试数据，合成交易可以在数据处理结果不符合预期时发出警报。
        • •系统或服务监控：即使在没有SLA 的情况下，系统或服务也可以通过合成交易进行监控，以确保它们在线且响应正常。
      • 6.2.4.2真实用户监控 (Real User Monitoring. RUM)
        • RUM 是一种监控技术，它能够实时地监测用户与应用程序或服务的交互情况。这种监控可以用于检测潜在的问题，如页面响应缓慢或无响应等。然而，RUM 可能引发隐私问题，因此使用时需要特别小心。
    • 6.2.5. 代码审杳和测试
      • 软件由代码组成，因此，审查和测试代码以识别并修复缺陷是至关重要的安全控制。
      • 1. 測试分类
        • 黑盒测试：测试人员没有楼触到源代码或应用程序的内都工作原理，而是从外部攻古者或用户的角度进行模拟和测试。
        • 白盒测过：测试人员可以访问源代码或应用程序的内部结构，通过对其进行深入分析，来发现可能的缺陷和错误。
      • 2.测试方法
        • •代码同行评审：这是一种人工方法，开发人员互相审查对方的代码，以发现可能的错误和改进点。
        • •静态代码分析：这是一种自动化的代码审查方法，使用专门的软件模拟代码的执行，以识别可能的漏洞，如缓冲区溢出等。
        • •动态分析测试 ：这是一种运行时的测试方法，通过运行程序井观察其行为，以找出可能的问题和漏洞。
      • 3.测试目标
        • •覆盖率：测试的目标应尽可能地覆盖所有的代码和功能，以确保没有遗漏的缺陷或错误。
        • •自动化：为了平衡开发速度和安全性，测试过程应尽可能地自动化。例如，通过安全编排自动化和响应（SOAR）工具，可以自动执行一些常见的测试和修复任务。
    • 6.2.6. 误用案例测试
      • 6.2.6.1 误用案例(Misuse case)
        • 也称负面测试(neoative testing).目的是评估系统或应 用程序对意外输人或情況的反应，并确定在这些意外情况下可能被利用的漏洞。
        • 如：用户输入了一个用户名，但把密码留空，这可能会导致应用程序崩溃，或者可以直接进入系统。
      • 6.2.6.2 滥用案例(Abuse case)
        • 滥用案例测试对系统或功能如何被误用的方式进行建模，并具体描述攻击者如何利用这一弱点，是威胁建模的一个组成部分。
    • 6.2.7. 测试覆盖率分析
      • 1.测试覆盖率=（已测试组件数/总组件数）x 100%
      • 2.六个常见标准：
        • 1） 分支覆盖率 (Branch coverage)：确保控制语句中的每个分支都被执行。
        • 2) 条件覆盖率 (Condition coverage）：要求代码中的每个布尔表达式都被验证为真和假的条件。
        • 3) 西数覆盖率 (Function coverage）：确保程序中的每个西数都被调用。
        • 4) 语句覆盖率 (Statement coverage）：验证了程序中每行代码的执行。
        • 5) 决策覆盖率 (Decision coverage）：验证了西数和分支覆盖率的组合，以测试各种输入和输出情况
        • 6) 参数覆盖率 (Parameter coverage)：测试接受参数输入的西数的行为
        • 注意：理想的情况是覆盖率百分之百，但涉及到成本，在一定时间内不可能完成所有的测试，确保对关键系统功能实现足够的测试覆盖率。
    • 6.2.8. 接口测试
      • 接口测试(nterface Testing)是系统测试的关键组成部分，主要关注的是系统与外部元素进行交互的点，这些元素可能是其他系统、用户或者进程。
      • 主要的接口类型包括：
        • •用户界面 （U)：这是用户与系统进行交互的主要方式，可以是图形用户界面（GU） 或者命令行接口 (CLI)。
        • •应用程序综程接口 （API)：这是系统与其他软件进行交互的方式，例如用于 Web应用程序的REST API，或者用于进程问通信 (IPC)和远程过程调用(RPC)的APlo
      • 接口测试的目标是确保数据在各个实体间正确地传输和转换，并且所有的错误情况都能被适当地处理。这包括验证数据的格式正确性，检查错误处理机制的有效性，以及确保正确的访问控制在传输过程中得到实施。这样可以确保数据的完整性、系统的稳定性和安全性，防止由于接口错误导致的数据丢失或者破坏。
    • 6.2.9． 漏洞攻击模拟
      • 6.2.9.1 漏洞攻击模拟 (BAS)
        • 漏洞攻击模拟是一种新兴的自动化安全测试技术，其主要目标是模拟真实的攻击者行为以试图获得未经授权的系统访问。它将漏洞扫描和自动化渗透测试的元索相结合，利用最新的攻击手段和新发现的漏洞来检验一个组织对新威胁的防御能力。采用BAS 解決方案可以更频繁地进行这种测试，以便比传统的周期性漏洞扫描或渗透测试更快地发现可能的安全漏洞。
      • 6.2.9.2 BAS 攻击类别
        • •端点攻击
          • BAS在网络端点上执行操作，或者针对网络端点进行测过，例如创建与已知恶意软件特征相匹配的文件或进程，以測试端点检测和响应 (EDR) 能力。这可以通过 BAS 设备或控制合远程完成，也可以通过在端点上运行的软件代理来实施。
        • •网络攻击
          • BAS 会发送应该被阻止的网络流量，如果已知的恶意流量没有被防火墙或路由器等设备阻止，则会触发警报
        • •电子邮件攻击
          • BAS 会生成和发送测试邮件以测试垃圾邮件过滤器、电子邮件欺诈控制和内容过滤器的有效性。如果邮件成功地到达了收件箱或被用户打开，那么就说明电子邮件安全控制存在漏洞
        • •基于行为的攻击
          • 高级的 BAS 功能还可以测试基于行为的安全控制，例如检测恶意网络扫描活动或与应用程序的复杂交互，这些行为通常应该被网络应 用防火墙 (WAF)阻止。
    • 6.2.10. 合规检查
      • 合规性并不等同于安全性，但它是组织风险管理计划的一个重要起点。合规性框架通常涵盖了一套特定行业或区域的风险，而实施的安全控制措施则旨 在缓解这些风险。
      • 合规性审查是监管过程的一部分，其目标是发现由于风险环境的变化而出现的控制措施不足或无效，或者是已经不再正确执行的控制措施。通常，这种审查是通过审计进行的，例如：
      • •PCI-DSS (Payment Card Industry Data Security Standard)：这是一种针对处理、存储或传输信用卡信息的组织的安全标准。PCI-DSS 要求组织每年进行一次合规性审计。
      • SOC2 (Service Organization Control 2)：这是一种评估服务组织在安全、可用性、处理完整性、保密性和隐私方面的控制的标准。SOC 2 要求组织每年进行一次合规性审计。
      • - S027001这是一个关于信息安全管理的国际标准。1S027001 要求组织每三年进行一次合规性审计。
  • 6.3. 收集安全程序数据（如技术和管理）
    • 6.3.1. 技术控制和程序
      • 1 数据源
        • 技术或逻辑控制是通过电子系统实现的，通常会生成原生记录。这些技术数据可能包括作为组织日志和监控策略一部分的信息，以及通过分析这些日志数据产生的数据。例如，应用程序的用广访河日志和网络设备（如路曲器或防火瑞）的日志。
      • 2.收集阶段
        • 通过实施和监控以下控制和流程，组织可以收集有关安全状况的有用指标和數据，以便采取必要的措施保护其数据和系统：
          • 1)损防流程：这些流程的目标是预防安全威胁。它们可能包括数据加密、网络访问控制和终端控制等技术控制。
          • 2)检测流程：这些流程的目标是检測安全事件或异常行为。它们可能包括端点检测和响应 （EDR) 和安全信息和事件管理 （SIEM） 等技术控制。
          • 3)响应流程：这些流程的目标是解决安全问题。它们可能包括端点检测和响应(EDR） 和入侵防护系统(IPS) 等技术控制。
    • 6.3.2. 行政控制
      • 行政控制主要通过制定并执行政策和程序来引导员工及其他用户的适当行为。这些控制方式可能涉及各种行为准则、工作流程和指南。衡量行政控制的有效性通常需要收集和分析与政策实施相关的数据。
      • 以一个组织政策“禁止在组织设备上使用社交媒体。 为例，可以从以下各个方面收集数据：
        • •政策范围 ：有多少用户巳经闭读并理解了 政策，并通过签宇确认他们的理解和遵守？
        • •教育效果：有多少用户尝试访问被限制的内容？这可能反映了员工对政策的理解程度以及政策的传播和教育效果。
        • 。技术有效性 ：根据网络流量，有多少用户能够访问受限内容？这可能反映了技术控制在执行政策方面的有效性。
    • 6.3.3. 账户管理
      • 账户管理是信息系统安全的关键组成部分，因为它直接影响到访问控制的实施。在收集关于安全流程的数据时，账户管理数据是一个重要的关注点。
      • 以下是一些在账户管理过程中可能需要收集的关键数据：
        • •及时的账户管理：例如，当用户的角色发生变化或离职时，是否能够在规定的时间范围内调整或撤销其访问权限。
        • •账户供应或取消供应的通知：例如，当用户加入或离开组织时，是否能够在 24小时内收到通知。
        • •账户审查：是否按照组织规定的时间表进行了适当的账户审查，以确保所有账户仍然需要并处于正确的权限级别。
        • •程序的正确执行 ：例如，在密码重置或发送过程中是否进行了适当的验证，或者网络访问控制是否配置正确。
    • 6.3.4.管理层审查和批准
      • 管理层的审查和批准是一项关键的安全流程，它涉及评估、报告和批准各种与安全相关的文件记录。这种文件记录不仅对审计和洽理至关重要，而且还可以证明管理层对安全计划的批准和参与。此外，这些记录还可以为任何沙及安全流程的贵任向题建立尽职调查和应有的注意义务。
      • 以下框架正式定义了与安全有关的管理审查和批准程序：
      • • ISO 27001
        • 管理层必须定期串查信息安全计划的"持续适合性、适当性和有效性”
      • •NIST 和 FedRAMP
        • 这些框架定义了评估和授权以及持续监控的管理角色。管理层需要审查评估信息系统的计划和结果，然后做出正式决定，授权系统的使用。管理层还要利用持续监控数据，确保风险补救措施的有效性。
      • •认证和认可
        • 这涉及到评估和授权的类似过程。认证是根据一套标准对系统或流程进行的正式评估，而认可是关于系统是否适合执行指定功能的正式决定。这种方法可以帮助组织制定管理流程，对系统进行正式的评估和批准，这都是根据其安全能力和需求来进行的。
      • • SOC 2
        • 这个框架要求管理层建立 “绩效措施”，并生成和使用“相关的、高质量的信息，以支持内部控制的运作”。
      • •信息技术控制目标 (COBIT)
        • 这是一个针对信息技术和网络安全的管理框架，它强调管理层在规划资源、能力和监控任务方面的费任，以及审查组织控制计划的任务。
    • 6.3.5.关键绩效和风险指标
      • 关键绩效指标（KPI) 和关键风险指标 （KRI)都是衡量和跟踪组织风险管理效果的重要工具。KPI用于监控现有风险缓解措施的效果，而KRI 则能帮助组织预见和准备未来可能出现的风险。各种组织会根据自己的具体情况，设定各自的KPI 和KRl
      • 1.关键绩效指标(KPI)
        • 以下是一些通用且重要的 KPI:
          • •平均检测时间 (MTTD)：衡量检测安全事件或威胁所器的平均时间。
          • •平均恢复时间 (MTTR)：衡量解决安全事件所需的平均时间。
          • •安全评分：许当供应商提供安全记分卡或等级，这可以作为评估-个组织安全性能成熟度的重要指标。
          • •投资回报率 (ROI)：衡量控制措施对风险降低的效果与成本之间的平衡。
      • 2.关键风险指标(KRI)：以下是一些有价值的KRI：
        • •安全事件的数量，交全事件的增加可能表明威助环境已经改变，这可能需要更强大的安全工具或额外的工作人员来应对。
        • -发现的问题数量：审计和评估结果的增加可能表明安全计划存在缺路，这可能霜要额外的关注或资源来纠正。
        • •发现或报告的网络钓鱼企图的数量：网络钓鱼尝过的增加往往预示着即特发生的攻击，因为攻击者试图获得有效的凭证来访问纽织的资源。对此，组织可能需增加监控系统、采取多因素认证、加强用户培训等措施
    • 6.3.6.备份验证数据
      • 备份验证数据可以来自IT人员手动记录的备份发生的书面日志，但更常见的是来自备份应用程序或系统产生的日志。所有的关键信息都应该被备份，以防发生事故导致数据无法使用或损坏系统。导致数据丢失的事件应该被很好地记录下来，同时还要记录备份数据的完整恢复过程。将在第七章中详细介绍备份策路。
    • 6.3.7. 培训和意识
      • 建立和维护一个提供安全意识、教育和培训的计划是至关重要的，因为用户既是防止攻击的重要防线，也是攻击的高价值目标。
      • 以下是评估这类计划有效性的关键指标：
        • •培训完成率 ：未完成培训的员工可能容易忽视潜在威胁。
        • •信息保留和行为改变：成功的培训需要员工长期记住并应用学到的知识。
        • •持续更新：培训内容需要随着威胁和风险的变化而更新。
        • •适应受众：培训材料和方式需针对员工的技术水平和学习需求进行定制。
    • 6.3.8. 灾难恢复（DR） 和业务连续性 (BC)
      • DR 和BC数据应包含关键恢复点目标、恢复时间目标和最大允许停机时间等详细信息。最关键的是要评估组织在实际事件中达到这些目标的程度。
      • 评估和监控灾难恢复(DR)和业务连续性(BC) 计划的有效性时，应考虑以下核心问题：
        • •计划的适应性和及时性：是否有完整的 BCDR 和运营连续性计划？它们是否定期更新以反映组织的变化？
        • •人员的认知度和准备程度：关键人员是否清楚他们在计划中的角色和责任？
        • •计划的可访问性 ：计划的最新版本是否随时可获取并妥善存储？
        • •计划的全面性：计划是否涵盖了组织当前的关键功能？
        • 计划的适时更新：是否有组织的重大变化未反映在计划中，例如主要的IT结构变化或业务活动？
        • 计划的测试和改进：计划是否定期进行测试，并对发现的缺陷进行修复？
        • •第三方依赖性的管理 ：如果组织依赖关键的第三方或服务，这些依赖关系是香经过测试？
        • •与其他程序的整合 ：其他程序，例如交更管理，是否与 BCDR 计划相结合，确保组织的变化得到适当的重新评估？
  • 6.4 分析测试输出并生成报告
    • 6.4.1. 典型的审计报告内容
      • 审计报告通常包括以下部分：
        • •执行摘要：提供对测试活动和结果的概览。
        • -假设和限制：揭示评估过程中的约束和预设条件，为理解结果提供上下文。
        • •范围：明确评估所覆盖的范围。
        • •活动总结：概述评估团队执行的所有测试和审计活动。
        • •发现和问题：列出所有的发现、缺陷或问题，并提供其位置、严重性及相关证
        • •建议：针对所发现的问麵提供解決方案和建议，一般包括解決步骤及可能霧要的具体配置命令。
        • •附录：附录通带包含报告主体之外的洋细信息，使得报告更易于阅读和理解，同时为技术人员提供所需的详细信息。
    • 6.4.2. 补救措施
      • 1.补救措施的流程：
        • 1） 识别问题：发现安全控制的缺路或问题。
        • 2) 制定计划：创建一个解决问题的补救计划。
        • 3) 执行补救 ：按照计划进行操作以解决问题。
        • 4） 再测试：重新进行测试以确认补救措施的有效性。
      • 2.补救计划的要素：
        • •问题细节：详细描述发现的问题。
        • •缓解措施：计划采取的补教步桑或措施。
        • •优先级：根据问题的严重性和风险确定问题的处理优先级。
        • •解决时间：预计解决问题所需的总时间。
        • •资源需求：执行补救措施所需的资源。
        • ••里程碑和期望：设定关键的完成日期和期望的结果。
      • 3.再测试的重要性：
        • 再测试是确认补救措施是否有效的关键步聚，这通常通过定期进行漏洞扫描来验证。
    • 6.4.3. 例外处理 (Exception Handling)
      • 1. 定义：
        • 指的是在审计或安全评估中发现无法通过常规补救措施解决的问题的处理方式。
      • 2.目的：
        • 临时授予例外权限，以应对无法直接解决的问题。这些例外应该只在临时情况下授予，不应该存在永久的例外请求。如果长期需要，则应该更新相关政策以适应新的需求。
      • 3.记录的信息：
        • •凤险细节：包括风险、缺路或问题的具体细节，以及何时、由谁发現的。
        • •异常的原因：管理层需要解释为何某个特定风险无法被缓解。
        • 。补偿性控制：如果风险无法直接处理以达到组织的风险阅值，可以考虑通过补偿性控制（如增加监控）来部分级解风险。
        • 。例外批准：管理层必须明确決定死担额外的风险，并格审查和批准的过程记来，以明确责任。
        • •例外时间：大多数例外应该临时授予，明确例外权限的有效期限。
    • 6.4.4. 道德披露
      • 1.道德披露的最佳实践
        • 组织应頇备接收关于漏洞的道德披露，这包括制定披露政策，接收漏洞披露，并旦不应采取敌对态度。作为安全研究员或道德黑客，应遵守这些政策，并在法律允许的范国内行动。
      • 2.披露漏洞的类型：
        • •不披露：由于合同或法律义务，可能阳止披露漏洞，例如，披露漏洞可能会损害正在进行的刑事调查。
        • •全面披露：发现弱点时，应尽快全面、透明地报告给负责修复的组织。然而，许多供应商可能对试图报告漏洞的研究人员有敌意。
        • •负责任的披露：这种原则规定，发现者应及时向组织报告漏洞，并在公开披露之前给予组织修复漏洞的时间。
        • •强制性报告：在某些情况下，向执法部门或其他机构报告发现的漏洞可能是强制性的。
        • •揭发：在发现安全漏洞的情况下，如果举报人遵循适当的渠道披露所发现的漏洞，他们可能受到法律保护，不会因侵犯版权或其他相关法律而被起诉。
  • 6.5. 进行或推动安全审计
    • 6.5.1. 常见审计框架
      • 安全专业人士可以通过审计评估组织与各种安全标准的符合程度。审计计划需要得到管理层的支持，配各适当的资源，进行有效的监督，并设定实际的时间表。以下是一些常见的审计框架：
        • 1)SSAE 18 (SOC 2)：专注于服务组织对安全、可用性、处理完整性、保密性和隐私的控制。
        • 2)ISO/EC 15408-1:2009：提供了评估信息技术产品和系统安全功能的一般框架。
        • 3) 1SO/EC 18045:2008：提供了执行 ISO/EC 15408 评估的方法。
        • 4) 1SO/EC 27006:2015：规定了执行 ISO/EC 27001 信息安全管理系统 (ISMS)认证的要求。
        • 5)NIST SP 800-53A：提供了一种评估联邦信息系统安全控制的方法。
        • 6) NIST CSF：提供了一种风险管理框架，用于增强组织的网络和信息系统的安全性。
        • 7 FedRAMP SAF ：联邦风险和授权管理计划安全评估框架，用于联邦政府的云产品和服务。
      • 在审计过程中，通常会进行抽样以减少工作负担，同时保证对可能存在的缺陷的理解。抽样应能代表被审计的整体。
    • 6.5.2. 内部审计
      • 内部审计是由组织内部的人员进行的审计。它有以下特点：
        • •熟悉性：内部审计员对组织的流程、工具和人员有深人的了解，这使他们更能理解和评估组织的内部控制和操作效率。
        • •偏见风险：由于过于熱悉组织的运作，内部审计员可能会忽视或误解某些问麵。因此，他们需要设法保持客观，或者寻求外部观察者的意见
        • 。独立性问题：因为内都审计员是组织的一部分，他们可能会受到压力，影响他们的独立判断和公正报告。
        • •外部审计的准备：内部审计通常用来预先发现和解决可能在外部审计中发现的问题，以便在正式的外部审计中获得更好的结果。
    • 6.5.3. 外部审计
      • 外部审计是由组织外部的审计员进行的审计。它的主要特点包括：
        • 。独立性：外都审计员不受组织内部压力的影响，因此可以客观公正地进行审计。他们可以无偏见地查看组织的操作和控制，并提供公正的意见。
        • •专业化技能 ：外部审计员通常具有高度专业化的技能和经验，如注册会计师(CPA） 等。他们可以进行复杂的审计任务，如SOC 2 审计。
        • •成本和时问 ：外部审计的成本通常比内部审计高，这部分是因为需要时问来理解组织的操作和流程。此外，由于不熟悉组织，他们可能会错过一些细节。
        • •合规要求：许多合规框架和法规要求组织定期进行外部审计，以证明其对内部控制的有效性。
    • 6.5.4.对第三方审计
      • 第三方审计是对组织的外部供应商或合作化伴的风险评估过程，主要包括以 下：
        • •风险管理工具：第三方审计是一种管理与供应商、合作伙伴等第三方关系的风险的关键工具。它有助于识别和减轻可能对组织产生影响的风险。
        • •敏感数据保护：对能访问到组织敏感数据的第三方进行安全审计极其重要。这样可以帮助组织减少因第三方引1起的安全事件所导致的法律责任。
        • •常见第三方审计 ：常见的第三方审计包括SOC2 审计和 CSA STAR 审计。在审计过程中，需要注意审计标准、数据共享、风险发现、第三方的风险应对方式以及其修复计划。
        • •供应链复杂性：由于现代供应链的复杂性，第三方风险评估过程也变得越来越复杂。组织需要识别供应链中的所有供应商，并确保对他们进行充分的审计和评估，以最大限度地减少面临的风险。
• 复习题
  • 1.在进行端口扫描时，Susan 发现一台系统在TCP 和UDP 137-189 端口以及TCP 445 和1433 口上运行服务。如果她连接到这合机器，她很可能会发现什么类型的系统？ A. 一台 Linux 电子邮件服务器 B.一台 Windows SQL 服务器 C.一台 Linux 文件服务器 D.一合 Windows 工作站
    • B
      • 139\445
  • 2.以下哪项是用于自动设计新软件测试并确保测试质量的方法？ A. 代码审计 B. 静态代码分析 C.回归测试 D.突变测试
    • D
  • 3.在进行端口扫描时，Naomi 发现一个系统上的TCP 端口 443 是开放的。哪个工具最适合扫描该端口上可能运行的服务？ A. ZZUf B. Nikto C. Metasploit D. sqlmap
    • B
      • WEB渗透：FireBug，Autoproxy，nmap，sqlmap，metasploit，Wireshark 模糊测试向软件停供无效输入（随机产生或特殊构造的输入） zzuf sqlmap 数据库漏洞扫描 Web漏洞扫描：Nikto 网络端口扫描：nmap
  • 4. 哪种消息日志记录标准通常被网络设备、Linux 和 Unix 系统以及许多其他企业设备使用？ A. Syslog B. Netlog C. Eventlog D. 远程日志协议 (RLP)
    • A
  • 5 alex想使用自动化工具填充web 应用程序表单，以测试格式字符串漏洞。他应该使用什么类型的工具？ A. 黑盒 B. 暴力破解工具 C.模糊器 D．静态分析工具
    • C
      • P579 模糊测试-测试软件边界，在尾部追加字符串，执行其他数据操作方法
  • 6. Susan 需要对一个系统进行漏洞扫描，并旦她想要使用一个开源工具来远程测试该系统。以下哪个工具符合她的要求并允许进行漏洞扫描？ A. Nmap B. OpenVAS C. MBSA D Nessus
    • B
      • OpenVAS，全称为开源漏洞评估扫描器（OpenVulnerability AssessmentScanner），是一款深受信赖的开源工具。它具备丰富的功能和易用的界面，使得用户能够轻松地检测和修复已知的安全漏洞。 Microsoft 基准安全分析器 (MBSA) 可以检查操作系统和 SQL Server 更新。MBSA 还可以扫描计算机上的不安全配置。 Nessus 是全世界最多人使用的系统漏洞扫描与分析软件。2002年时, Renaud 与 Ron Gula, Jack Huffard 创办了一个名为 Tenable Network Security 的机构。在第三版的Nessus 发布之时, 该机构收回了 Nessus 的版权与程序源代码 (原本为开放源代码), 并注册成为该机构的网站。 此机构位于美国马里兰州的哥伦比亚。
  • 7.Morgan 正在实施一个使用基于标准的组件来评分和评估发现的漏洞的漏洞 管理系统。以下哪个在提供漏洞的严重性评分方面最常被使用？ A. CCE B. CVSS С. СРЕ D. OVAL
    • B
      • •通用漏洞披露(Common Vulnerabilities and Exposures, CVE)：提供一种描述安全漏洞的命名系统。 •通用漏洞评分系统(Common Vulnerability Scoring System, CVSS)：提供一种描述安全漏洞严重性的标准化评分系统。 •通用配置枚举(Common Configuration Enumeration, CCE)：提供一种系统配置问题的命名系统。 •通用平台枚举(Common Platform Enumeration, CPE)：提供一种操作系统、应用程序及设备的命名系统。 •可扩展配置检查表描述格式(Extensible Configuration Checklist Description Format,XCCDF)：提供一种描达安全检查表的语言。 •开放漏洞评估语言(Open Vulnerability and Assessment Language, OVAL)：提供一种描述安全测试过程的语言。
        • 漏洞描述 •安全内容自动化协议(Security Content Automation Protocol, SCAP)： SCAP是NIST为安全社区提供的漏洞描述和评估通用标准，促进不同安全系统之间交互的自动化。 SCAP组件包括： •通用漏洞披露(Common Vulnerabilities and Exposures, CVE)：提供一个描述安全漏洞的命名系统。 •通用漏洞评分系统(Common Vulnerability Scoring System, CVSS)：提供一个描述安全漏洞严重性的标准化评分系统。 •通用配置枚举(Common Configuration Enumeration, CCE)：提供一个系统配置问题的命名系统。 •通用平台枚举(Common Platform Enumeration, CPE)：提供一个操作系统、应用程序及设备的命名系统。 •可扩展配置检查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一种描述安全检查表的语言。 •开放漏洞评估语言(Open Vulnerability and Assessment Language, OVAL)：提供一种描述安全测试过程的语言。
  • 8.Jim被委托对一家银行的主要分行进行渗透测试。为了使测试尽可能真实，除了银行的名称和地址外，他没有获得任何有头银行的信息。Jim 同意进行何种类型的渗透测试？ A. 水晶盒渗透测试 B. 灰盒渗透测试 C. 黑盒渗透测试 D.白盒渗透测试
    • C
  • 9.在回应一个请求提案时，Susen 收到了一个SSAE 18 SOC 报告。如果她希望报告包括操作有效性的详细信息，她应该根据什么以及为什么向Susan 询问后续问题？ A. 一个SOC 2Type II报告，因为Type I 不涵盖操作有效性 B.一个SOC 1 Type I报告，因为SOC 2 不涵盖操作有效性 C.一个SOC2 Type I报告，因为 SOC2 Type II不涵盖操作有效性 D.一个sOC3报告，因为 SOC1 和 SOC2报告已过时
    • A
      • P563 SSAE 18 和 ISAE 3402 声明通常被称为服务组织控制(SOC)审计，并以三种形式出现。 SOC1声明：评估可能影响财务报告准确性的组织控制措施。 SoC2 声明：评估组织的控制措施，这些控制措施会影响存储在系统中的信息的安全中(保密性、完整性和可用性)和隐私。SOC2审计结果是保密的，通常仅根据保密协议对外共享。 SOC3 声明：评估组织的控制措施，这些控制措施会影响系统中存储信息的安全性(保密性、完整性和可用性)和隐私。但是，SOC3审计结果旨在公开披露。
      • •I类报告 I类报告描述了被审计组织提供的控制措施，以及审计员基于该描述所形成的意见。 I类报告适用于某个时间点，不会涉及审计员对控制措施的实际测试。 •II类报告 II类报告至少覆盖6个月的时间，还包括审计员根据实际测试结果对这些控制措施的有效性所形成的意见。 人们通常认为II类报告比I类型报告更可靠，因为II类报告包括对控制措施的独立测试。 类型I报告只是让服务组织自圆其说，控制措施已按照描述实现。
  • 10.在无线网络渗透测试期间，Suson 使用一个密码文件对网络运行 alrcrack-ng。以下哪个因素可能导致她在破解密码的努力中失败？ A. 使用 WPA2 加密 B. 在WPA2 中运行企业模式 C. 使用 WEP 加密 口.在WPA2 中运行 PSK 模式
    • C
  • 11. 一天工作时间中，一种流行的 Apache Web 服务器出现了一个零日漏洞。 作为一名信息安全分析员，Jacob 需要快速扫描他的网络以确定哪些服务器容号受到该问题的影响。Jacob 最快确定易受漏洞影响的系统的最佳途径是什 A 立即运行 Nessus 扫描所有服务器，以确定哪些系统容易受到影响。 B.查看 CVE 数据库以获取漏洞信息和补丁信息。 C. 创建自定义的IDS 或 IPS 签名。 D.确定受影响的版本并使用自动化扫描工具检查系统的版本号。
    • D
  • 12. 用于确保单独开发的软件模块正确交换数据的是哪种类型的测试？ A.Fuzzing（模糊测试） B.动态测试 C.接口测试 D.API 校验和
    • C
  • 13. Salen 希望向想要使用地组织的云服务的客户提供安全评估信息。以下哪个 选项应该选择以确保尽可能多的客户对评估信息满意？ A 使用内部审计四队根据内部指标进行自我评估。 B. 使用第三方审计师。 C. 使用了解系统的内部技术人员。 D.使用内部审计团队根据诸如 COBIT 之类的常用标准进行自我评估。
    • B
  • 14. Yasmine 被要求考虑一个入侵和攻击模拟系统。她应该寻找什么类型的系统？ A. 一个旨在帮助管理事件的票据和变更管理系统 B.一个为蓝队运行事件响应模拟的系统，以测试他们的技能 C.一个结合了红队和蓝队技术的自动化系统 D．一个安全运营和响应 (SOAR) 系统
    • C
  • 15.Monica 希望收集有关组织安全意识的信息。最常用的评估安全意识的技术 是什么？ A.钓鱼模拟器 B. 游戏化应用程序 C.评估测试 D.调查问卷
    • D
  • 16.Jim 被委托进行灰盒渗透测试，他的客户向他提供了关于他们网络的以下信息，以便他可以对其进行扫描： 数据中心：10.10.10.0/24 销售：10.10.11.0/24 计费：10.10.12.0/24 无线网络：192.168.0.0/16 如果他被委托从外部进行扫描，他将会遇到什么问题？ A.IP 范国过大，无法高效扫描。 B.提供的 IP 地址无法扫描。 C.IP 范围重复，将导致扫描问题。 D.提供的IP 地址是 RFC 1918 地址。
    • D
  • 17. Mark的公司收到通知，他们的web应用程序存在漏洞。匿名人士通知他 ，在公布漏洞洋细信息和示例利用代码之前，他们有两周时间修复它。 联系 mark 的公司的个人违反了哪个行业规范？ A. 零日报告 B. 道德披露 C. 道德黑客 D.(SC)2 漏洞披露伦理声明
    • B
  • 对于问题 18-20，请参考以下情景： jennifer 所在的公司已经实施了一个集中日志记录基础设施，如下图所示。使用 此图表和您对日志记录系统的了解来回答以下问题。 18.Jennifer 需要确保所有 Windows 系统向 SIEM 提供相同的日志信息。她如何最好地确保所有 Windows 桌面系统具有相同的日志设置？ A. 进行定期的配置审核。 B. 使用组策略。 C.使用本地策略。 D. 部署Windows syslog 客户端。 19. 在正常运行期间，Jennifer 的团队使用 SIEM 设备通过 syslog 监视异常情况。哪个系统显示的情况下不支持syslog 事件？ A. 企业无线访问点 B. Windows 桌面系统 C.Linux Web 服务器 D.企业防火墙设备 20. 对于图中所示的每个设备，组织应该使用什么技术来确保可以对整个基础设施进行时间排序的日志记录？ A. Syslog B. NTP C. Logsync D. SNAP
    • B
    • B
      • P582 Windows需要安装第三方客户端对syslog支持，Windows组策略
    • B
  • 21，在渗透测试期间， hetele 需要识别系統，但他还没有获得足够的权限在使用的系统上生成原始数据包，她应该运行哪种类型的扫描验证最多的开放服务？ A. TCP 连接扫描 B. TCP SYN 扫描 C. UDP 扫描 D.ICMP 扫描
    • A
  • 22. 在使用nmap 进行端口扫描时，Josezoh 发现一个系统显示了两个打开的端 口，这让他立即担心： 21/open 23/open 这些端口上可能运行的服务是什么？ A.SSH 和FTP B. FTP 和 Telnet C. SMTP 和 Telnet D. POP3 和SMTP
    • B
  • 23.Aaron 希望验证他的公司对 PCI-DSS 的合规性。他的公司是一家每年有数百万美元交易的大型商业组织。对于大型组织来说，进行此类型的测试最常见的方法是什么？ A. 自我评估 B. 进行 COBIT 的第三方评估 C.与另一家公司合作并在两个组织之间进行评估交换 D.使用合格的安全评估师进行第三方评估
    • D
  • 24. 用于评估软件测试覆盖应用程序潜在使用情况的常用方法是什么？ A.测试覆盖分析 B.源代码审查 C. 模糊分析 D.代码审查报告
    • A
  • 25. 专注于系统不应允许的功能的测试是什么类型的测试的示例？ A. 用例测试 B，手动测试 C.误用案例测试 D.动态测试
    • C
  • 26. 哪种类型的监控使用模拟流量到网站来监视性能？ A.日志分析 B. 综合性能监控 C.被动监控 D.模拟事务分析
    • B
  • 27.perek希望确保他的组织跟踪所有账户在其生命周期中的所有更改。他的组织应该投资哪种类型的工具？ A. 类似LDAP 的目录服务 B.IAM 系统 C. SIEM 系统 D.EDR 系统
    • B
      • 轻型目录访问协议（英文：Lightweight Directory Access Protocol，缩写：LDAP）是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。 统一身份认证管理平台(IAM) 安全信息和事件管理 (SIEM) 是一种安全解决方案，可帮助组织在潜在的安全威胁和漏洞有机会破坏业务运营之前识别并解决它们。SIEM 系统帮助企业安全团队检测用户行为异常，并使用人工智能 (AI)自动执行与威胁检测和事件响应相关的许多手动流程。最初的SIEM平台是日志管理工具，结合了安全信息管理（SIM）和安全事件管理（SEM），能够实时监控和分析安全相关事件，以及跟踪和记录安全数据以进行合规或审计目的。（Gartner 在 2005 年创造了 SIEM 一词来表示 SIM 和 SEM 技术的组合。）多年来，SIEM 软件不断发展，融合了用户和实体行为分析 (UEBA)以及其他高级安全分析、人工智能和机器学习功能，用于识别异常行为和高级威胁指标。如今，SIEM 已成为现代安全运营中心 (SOC)中用于安全监控和合规性管理用例的主要内容。 端点检测和响应（EDR）是一种技术形式，可对针对企业网络和系统的高级网络安全威胁提供持续监控和响应。 EDR 是端点安全的一个子集，当员工通过笔记本电脑、智能手机和其他移动设备远程访问网络时，它采用整体方法来保护企业网络和数据。由于这些资产位于将用户连接到公司技术堆栈的链的末端，因此它们被称为端点。
  • 28.Jm 使用一种工具对系统进行扫描，以查找可用的服务，然后连接到这些服务以收集标语信息，以确定服务的版本。然后，它提供了一个报告，详细介绍它所收集的内容，基于服务指纹、标语信息和类似的细节，结合 CVE 信息进行结果。Jim 使用的是哪种类型的工具？ A. 端口扫描器 B. 服务验证器 C.漏洞扫描器 D.补丁管理工具
    • C
  • 29.Emily 编写了一个脚本，将数据发送到她正在测试的 Web 应用程序。每次脚本运行时，它发送一系列符合 Web 应用程序预期要求的数据交易，以验证其对 典型客户行为的响应。她正在使用哪种类型的交易，并且这是什么类型的测试？ A. 综合性的，被动监视 B. 综合性的，用例测试 C.实际的，动态监视 D. 实际的，模糊测试
    • B
  • 30. 哪种被动监视技术记录了用户与应用程序或网站的所有交互，以确保质量 和性能？ A. 客户端/服务器测试 B. 真实用户监视 C.综合用户监视 D.被动用户记录
    • B
  • 31今年早些时候，Jim 所在雇主的信息安全团队发现了他负责维护的 web服务器中的一个漏洞。他立即应用了补丁，并确信补丁已经正确安装，但漏洞扫描仍然错误地标记该系统为有漏洞。为了解決这个问题，使其不再错误标记？ A. 卸载并重新安装补丁。 B.请求信息安全团队将该系统标记为已修复并不再有该特定漏洞。 C. 更新 Web 服务器配置中的版本信息。 D.查看漏洞报告并使用其他修复选项。
    • B
  • 32 Anools 想使用自动化工具测试 web浏览器对外数据的处理。她应该设 择哪个工具？ A. Nmap B. zzuf C. Nessus D. Nikto
    • B
      • 网络漏洞扫描器： •Nessus，是一种广泛应用的漏洞扫描器。 •QualysGuard，Qualys公司。 •NeXpose，Rapid7公司。 •OpenVAS，开源扫描器。
      • 常用的Web应用漏洞扫描工具包括: •Nessus •商业扫描器 Acunetix •开源扫描器 Nikto和Wapiti •开源扫描器 Wapiti •代理工具 BurpSuite
      • 网络发现扫描器： Nmap Xmas扫描
      • 数据库漏洞扫描： sqlmap
      • 渗透工具： Metasploit
      • 记住
  • 33. STRIDE是指冒充、篡改、否认、信息披露、拒绝服务、特权提升，它在应用程序威胁建模的哪个部分中是有用的？ A. 漏洞评估 B. 误用案例测试 C.威胁分类 D.渗透测试规划
    • C
      • 1. Spoofing 就是伪装，比如我用别人的ID发言就是Identity Spoofing, 我想到用变化IP的办法就是IP Spoofing. 2. Tampering 就是篡改，比如我用别人ID发言的手段就是篡改了合法包，而他们的server端没有相应的检查措施。 3. Repudiation 就是拒绝承认，比如我进行了这些攻击，他们并不知道是我做的，也没有证据是我做的，我就可以不承认。 4. Information Disclosure 就是信息的泄漏，比如他们的那串数字图片就没有任何保护，图片上的信息轻易的就被别人得到了。 5. Denial of Services 就是拒绝服务，比如我的自动发帖使得正常用户无法使用就是这种攻击。 6. Elevation of Privileges 就是权限的提升，比如我尝试用管理员的权限去做事情，就是属于这种。
  • 34. 为什么除了实施无线安全技术如无线入侵检测系统之外，还应进行被动扫描？ A. 它可以帮助识别流氓设备。 B. 它可以通过脚本攻击测试无线网络的安全性。 C.它们在每个无线信道上停留时间短，可以捕获更多的数据包。 D．它们可以帮助测试无线IDS 或 IPS 系统。
    • A
  • 35.Paul 正在审查一个渗透测试的批准流程，并希望确保它经过适当的管理审查。他应该确保谁已经批准对一个商业系统进行渗透测试的请求？ A.变更咨询委员会 B. 高级管理层 C.该系统的系统管理员 D. 服务所有者
    • B
  • 36. 哪个术语描述了旨在揭示补丁或配置更改引入的新错误的软件测试？ A. 非回归测试 B. 进化测试 (Evolution testing) C.冒烟测试 D 回归测试
    • D
  • 37.以下哪个工具不能识别目标操作系统给渗透测试人员？ A. Nmap B. Nessus C. Nikto D. sqlmap
    • D
  • 38 Susan 需要 预测组织的高风险领城，并希望使用指标来评估风险趋势。她应该怎么做来处理这个问题？ A 每年进行风险评估。 B.雇佣渗透测试公司定期测试组织的安全性。 C.确定并跟踪关键风险指标。 D. 使用 SIEM 设备监控日志和事件。
    • C
  • 39. 综合性监控和被动监控之间的主要区别是什么？ A.综合性监控仅 在出现问题后才起作用。 B 被动监控无法检测功能问题。 C.被动监控仅在出现问题后才起作用。 D.综合性监控无法检测功能问题。
    • C
  • 对于问题 40-42，请参考以下情景。克里斯使用这里显示的标准渗透测过方法。使用该方法和你的渗透测试知识，回答关于渗透测试期间工具使用的问题。 40. 在第1阶段规划中，最重要的任务是什么？ A. 构建测试实验室 B.获得授权 C.收集适当的工具 D.确定测试是白盒、黑盒还是灰盒 41. 在发现阶段最有可能使用以下哪个工具？ A. Nessus B. john C. Nmap D. Nikto 42. 在规划阶段解决以下哪个问题是最重要的，以确保报告阶段不会引起问题？ A. 使用哪种 CVE 格式 B. 如何存储和发送漏洞数据 C.哪些目标是禁止的 D.报告应该多长时间
    • B
    • C
    • B
      • •规划 阶段包括测试范围和规则的协议。规划阶段是极其重要的阶段，它确保测试团队和管理人员对测试性质达成共识，明确测试是经过授权的。 •信息收集和发现 阶段结合人工和自动化工具来收集目标环境的信息。此阶段包括执行 基本的侦察来确定系统功能（如访问系统上托管的网站），并执行网络发现扫描来识别系统的开放端口。 •漏洞扫描 阶段探测系统脆弱点，结合网络漏洞扫描、Web漏洞扫描和数据库漏洞扫描。 •漏洞利用 阶段试图使用人工和自动化漏洞利用工具来尝试攻破系统安全防线。 •报告 阶段总结渗透测试结果，并提出改进系统安全的建议。
  • 43. 在验证代码测试套件的工作时，通常使用哪四种类型的覆盖准则？ A.输入、语句、分支和条件覆盖 B. 西数、语句、分支和条件覆盖 C. AP、分支、边界和条件覆盖 D.边界、分支、循环和条件覆盖
    • B
  • 44. 作为安全经理的一部分，Jacob 向组织的管理团队提供了以下图表。他为他们提供了哪种类型的度量？ A. 覆盖率测量 B. 关键绩效指标 C.存活时间指标 D. 业务重要性指标
    • B
  • 45. 在审查日志时，为所有用户使用唯一的用户 ID 提供了什么？ A. 保密性 B.完整性 C.可用性 D.账务责任
    • D
  • 46. 在软件测试过程中，以下哪个不是通常进行测试的接口？ A. API B.网络接口 C. 用户界面 D.物理接口
    • B
      • P580 三种类型： API-应用程序接口 用户界面UI 物理接口
  • 47.Alan 的组织使用安全内容自动化协议 (SCAP)来标准化其漏洞管理程序。 Alan 可以使用 SCAP 的哪个组件来协调不同安全评估工具生成的漏洞的身份？ A. OVAL B. XCCDF C. CVE D. SCE
    • C
      • 漏洞描述 •安全内容自动化协议(Security Content Automation Protocol, SCAP)： SCAP是NIST为安全社区提供的漏洞描述和评估通用标准，促进不同安全系统之间交互的自动化。 SCAP组件包括： •通用漏洞披露(Common Vulnerabilities and Exposures, CVE)：提供一个描述安全漏洞的命名系统。 •通用漏洞评分系统(Common Vulnerability Scoring System, CVSS)：提供一个描述安全漏洞严重性的标准化评分系统。 •通用配置枚举(Common Configuration Enumeration, CCE)：提供一个系统配置问题的命名系统。 •通用平台枚举(Common Platform Enumeration, CPE)：提供一个操作系统、应用程序及设备的命名系统。 •可扩展配置检查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一种描述安全检查表的语言。 •开放漏洞评估语言(Open Vulnerability and Assessment Language, OVAL)：提供一种描述安全测试过程的语言。
  • 48. Susan 正在审查软件测试覆盖率数据，并看到以下图表中显示的信息。她可以确定关于这个测试过程的什么？（选择所有适用的答案。） A.测试没有完全覆盖。 B.测试4 没有出现故障。 C 测试2未成功运行。 D.需要第五次运行测试。
    • BC
  • 49. 以下哪种策略不是纠正由漏洞扫描器发现的漏洞的合理方法？ A. 安装补丁。 B. 使用临时修复措施。 C. 更新横幅或版本号。 D.使用应用层
    • C
  • 50.在渗透测试期间，selah 打电话给目标公司的帮助台，声称自己是公司高级助理的助手。她要求帮助台重置该高级助理因其在旅途中的笔记本电脑出现问题而需要重置密码，并成功说服他们这么做。她成功完成了哪种类型的攻击？ A. 零知识攻击 B. 帮助合欺骗 C. 社会工程攻击 D. 黑盒测试
    • C
  • 51. 在这个图像中，由于日志处理设置可能会出现什么问题？ A. 日志在归档时可能丢失。 B. 日志数据可能被覆盖。 C.日志数据可能不包含所需的信息。 D.日志数据可能填满系统磁盘。
    • D
  • 52. 以下哪项不是与渗透测试相关的风险？ A.应用程序崩溃 B. 拒绝服务 C.停电 D.数据损坏
    • C
  • 53. NIST 的哪个特别出版物涵盖了安全和隐私控制的评估？ A. 800-12 B. 800-53A C. 800-34 D. 800-86
    • B
  • 54 Michelle 正在进行定量的业务影响评估，并希望收集数据来确定停机时间的费用。她需要从前一年的故障中收集哪些信息来计算这些故障对业务的成本？ (选择所有适用的答案。） A. 业务停机的总时间 B. 恢复故障所需的人员工作小时数 C. 故障期间每小时的业务损失（以美元计） D.每小时的平均员工工资
    • ABCD
  • 55. 如果 Kara 的主要关注点是防止窃听攻击，她应该阻止哪个端口？ A. 22 B. 80 C. 443 D. 1433
    • B
  • 56. 如果Kara 的主要关注点是防止对服务器的管理连接，她应该阻止哪个端口? A. 22 B. 80 C. 443 D. 1433
    • A
  • 57. 在第三方审计过程中，Jim 的公司收到了一项发现。指出：“管理员应该每天审查备份成功和失败的日志，并及时采取行动解决报告的异常情况。。这个发现指示了哪个潜在问题？ A.管理员无法知道备份是否成功或失败。 B. 备份可能没有被正确记录。 C备份可能无法使用。 D.备份日志可能没有得到适当审查。
    • C
  • 58.Jim正在帮助他的组织決定在其国际组织中使用的审计标准。以下哪个不是 Jim的组织在审校中可能使用的IT标准？ A. COBIT B. SSAE-18 C.ITIL D. ISO 27001
    • C
  • 59 Nicole 想对她的组织进行基于标准的审计。以下哪个通常用于描述信息系统的常见要求？ A. IEC B. COBIT C. FISA D. DMCA
    • B
  • 60.Kely 的团队在发布每个补丁时进行回归测试。他们应该维护哪个关键绩效指标来衡量他们测试的有效性？ A. 漏洞修复时间 B.缺陷重新发生率指标 C.加权风险趋势 D.测试的具体覆盖范围的度量
    • B
  • 61. 以下哪种类型的代码审查通常不是由人员执行的？ A. 软件检查 B. 配对编程 C．静态程序分析 D.软件演练
    • C
  • 对于问题 62-64，请参考以下情景： Susan 是她公司质量保证团队的负责人。该团队被委托为公司核心软件产品的一个重大发布进行测试。 62.Susan 的软件测试团队需要测试每条代码路径，包括仅在出现错误条件时使用的路径。为确保完整的代码覆盖率，她的团队需要什么类型的测试环境？ A. 白盒测试 B.灰盒测试 C.黑盒测试 D. 动态测试 63. 作为对他们的新应用程序持续测试的一部分，Susan 的质量保证团队为一系列黑盒测试设计了一套测试用例。然后运行这些功能测过，并准备了一份报告来解释发生了什么。在此测试过程中通常会生成哪种类型的报告来指示测试指 A. 测试覆盖报告 B.渗透测试报告 C.代码覆盖报告 D．行覆盖报告 64.作为他们的代码覆盖测试的一部分，Susan的团队人在非生产环境中使用日志记录和跟踪工具进行分析。由于操作环境的改变，以下哪种类型的代码问题有可能被忽略？ A.不正确的边界检查 B. 输入验证 C 竞态条件 D 指针操作
    • A
    • A
    • C
  • 65.Robin 最近进行了漏洞扫描，并在处理敏感信息的服务器上发现了一个关键漏洞。Bobin接下来应该做什么， A. 打补丁 B. 报告 C.纠正 D.验证
    • D
      • P574 检测---验证---修复
  • 66.Andrea 在她所在组织的 CI/CD 流程中运行的自动化代码测试和集成失败了。如果公司需要立即发布代码，Andrea 应该怎么办？ A. 手动绕过测试。 B. 查看错误日志以确定问题。 C. 重新运行测试以查看是否正常工作。 D.将代码发送回开发人员进行修复。
    • B
  • 67.Michelle 希望根据漏洞的可利用性、是否存在利用代码以及纠正难度等指标来比较她在数据中心发现的漏洞。她应该使用哪种评分系统来比较这些漏洞的指标？ A. CSV B. NVD C. VSS D. CVSS
    • D
      • SCAP组件包括： •通用漏洞披露(Common Vulnerabilities and Exposures, CVE)：提供一个描述安全漏洞的命名系统。 •通用漏洞评分系统(Common Vulnerability Scoring System, CVSS)：提供一个描述安全漏洞严重性的标准化评分系统。 •通用配置枚举(Common Configuration Enumeration, CCE)：提供一个系统配置问题的命名系统。 •通用平台枚举(Common Platform Enumeration, CPE)：提供一个操作系统、应用程序及设备的命名系统。 •可扩展配置检查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一种描述安全检查表的语言。 •开放漏洞评估语言(Open Vulnerability and Assessment Language, OVAL)：提供一种描述安全测试过程的语言。
  • 68. 在对他的网络进行端口扫描时，Alex 发现在公司各个办公室的多合主机上TCp端口80、 443、515 和 9100都有响应。 Alex可能发现了什么类型的设备？ A. Web 服务器 B. 文件服务器 C.无线访问点 D.打印机
    • D
  • 69 Nito、 Burp Sure 和Woot都是什么类型的工具？ A.Web 应用程序漏洞扫描工具 B. 代码审查工具 C．漏洞扫描工具 D.端口扫描工具
    • A
  • 70 Frank 的团队正在测试公司开发人员为他们的应用基础架构构建的新API。 以下哪个不是 Frank 的团队可能发现的常见 API问题 A. 不正确的加密 B. 对象级别的授权问题 C. 用户认证问题 D. 缺乏速率限制
    • A
      • 加密不在应用层
  • 71Jim正在与一家渗透测过承包商合作，该承包商建议在渗透测试中使用 Metasploit。 当使用 Metasploit 时，Jim 应该期望发生什么？ A.将扫描系统的漏洞。 B. 利用系统已知的漏洞。 C.对服务进行缓冲区溢出和其他未知缺陷的探测。 D.对系统进行零日漏洞测试。
    • B
  • 72 Susan 需要确保她的电子商务应用程序的各个组件之间的交互都得到正确处理。她打算验证整个基础架构中的通信、错误处理和会话管理能力。她计划进行哪种类型的测试？ A. 滥用案例测试 B.模糊测试 C.回归测试 D.接口测试
    • D
  • 73. Jim 正在设计组织的日志管理系统，并且知道他需要仔细规划处理组织的日志数据。以下哪项不是 Jim 应该关注的因素？ A.日志数据的量 B. 缺乏足够的日志来源 C.数据存储的安全要求 D.网络带宽
    • B
  • 74. Ryan 的组织希望确保正确的账户管理，但是没有一个集中的身份和访问管理工具。Rvan在内部审计中对账户管理过程进行验证时，最好的选择是什么？ A验证过去 90 天内的所有账户更改。 B. 选择验证高价值的管理员账户。 C.验证过去 180 天内的所有账户更改。 D.对账户进行随机抽样验证。
    • D
  • 75. 当Windows 系统重新启动时，会生成哪种类型的日志？ A. 错误 B. 警告 C. 信息 D．失败审核
    • C
  • 76. 在申查访回且志时，Alex 注意到 Michelle 每天早上8 点登录她的工作站但被记录为当天凌晨3点后不久登录部门的主要 WEB应用服务器。Alex可能遇到了哪个常见的日志问题？ A.不一致的日志格式 B. 修改后的日志 C.不一致的时间戳 D.多个日志来源
    • C
  • 77. 哪种类型的漏洞扫描会访问从运行该扫描的系统中获得的配置信息，以及通过网络可用的服务获取的信息？ A. 已认证的扫描 B. Web 应用程序扫描 C.未认证的扫描 D.端口扫描
    • A
      • 什么类型的漏洞扫描可以访问运行系统的配置信息，并且可以通过网络提供服务的访问信息？ 经过身份认证的扫描（正确答案） Web应用程序扫描 未经认证的扫描 端口扫描 经过身份认证的扫描使用只读账户访问配置文件，从而能更准确地测试漏洞。 Web应用程序扫描、未经验证的扫描和端口扫描都无权访问配置文件，除非配置文件无意中被暴露出来。
  • 对于问题 78-80，请参考以下情景： Ben 的组织已开始使用 STRIDE 来评估其软件，并确定了威胁代理和这些威肋可能造成的业务影响。现在他们正在努力确定适当的控制措施来解决所发现的问题。 78.Ben 的开发团队需要解决一个授权问题，这可能导致特权提升威胁。以下哪项控制措施最适合这种类型的问题？ A. 启用审计和日志记录。 B. 使用基于角色的访问控制进行特定操作。 C. 启用数据类型和格式检查。 D.对用户输入进行白名单测试。 79.Ben 的团队正试图对由多个服务器共享的对称密钥导致的事务标识问题进行分类。这应该属于以下哪个 STRIDE 类别？ A. 信息泄露 B. 拒绝服务 C. 篡改 D.否认 80.签于拒绝服务攻击期间的流最高，Ben希照使用第三方服务帮助评传拒 绝服务攻击漏洞。他应该向组织建议什么类型的参与方式？ A.社会工程参与 B.渗透测试 C.负载或压力测试 D.使用模糊测试进行测试
    • B
    • D
    • C
  • 81 Chris 正在解决组织的安全信息和事件管理（SIEM)报告问题。在分析问题合，他认为不同系统的日志条目的时间戰不一致。他可以使用哪种协议来解決这个问题？ A.SSH B. FTP C. TLS D. NTP
    • D
  • 82.Ryan 正在考虑在他的web 应用程序测试项目中使用模糊测试。在做決定 时，以下关于模糊测试的哪个陈述 Ryan 应该考虑？ A.模糊测试只能发现复杂的故障。 B. 测试人员必须手动生成输入。 C.模糊测试可能无法完全覆盖代码。 D.模糊测试无法重现错误。
    • C 模糊测试通常不能完全覆盖程序的所有代码，一般仅限于检测不涉及复杂业务逻辑的简单漏洞
  • 83.Ken 正在为他的困队开发的软件设计一个测试过程。他设计了一个测试，以验证在测试过程中执行了每一行代码。Ken 正在进行哪种类型的分析？ A. 分支覆盖 B. 条件覆盖 C.函数覆盖 D.语句覆盖
    • D
  • 对于问题 84-86，请参考以下情景。在进行端口扫描时，Ben 使用 nmap 的默认设置，并看到了以下结果。 84. 如果Ben 正在进行渗透测试，在收到这些结果后，他下一步应该是什么 A.使用 Web 浏览器连接到 Web 服务器。 B. 使用 Telnet 连接以测试存在漏洞的帐户。 C.识别进一步扫描的有趣端口。 D.对打开的数据库使用sqlmap。 85.根据扫描结果，被扫描的系统最可能运行的操作系统（OS)是什么？ A. Windows 桌面版 B. Linux C.网络设备 D. Windows 服务器 86.Ben 的经理对他的扫描范围表示担忧。他的经理可能担心什么？ A. Ben 没有测试 UDP服务。 B.Ben 没有发现〝众所周知的端口。 之外的端口。 C. Ben 没有进行操作系统指纹识别。 D.Ben 只测试了 有限数量的端口。
    • C
    • B
    • D
  • 87.Lucca 正在审查他组织的灾难恢复流程数据，并注意到业务的主要网站的 MTD 为两小时。在进行测试和验证时，他了解到关于该网站的RTO 是什么？ A. 它需要少于两小时。 B. 它需要至少两小时。 C. MTD 时间大短，需要更长时间。 D.RTO时间太短，需要更长时间。
    • A
      • MTD是最大容忍停机时间。如果要进行MTD验证，验证结果只会告诉她系统最长可以离线多长时间。
  • 88.Diana 己经聘请了 第三方审计师，并希望向第三方发布一个审计证明，而不包含审计的详细信息。她应该请求哪种类型的 SSAE 18 SOC 报告？ A. SOC 1 B. SOC 2 C. SOC 3 D. SOC 4
    • C
  • 89. 在审查组织新应用程序的软件测试输出时，Madhuri 注意到该应用程序产生了包含目录和文件信息的错误，这些信息显示给了Web 应用程序测试人员。 她的报告中应该包括哪个问题？ A. 它没有执行适当的异常处理。 B.软件没有正确处理误用案例测试。 C. 需要删除调试语句。 D.由于错误，代码没有完全经过测试。
    • A
  • 90. 在进行渗透测试之前应该发生的第一步是什么？ A. 数据收集 B. 端口扫描 C.获得许可 D.计划
    • C
  • 91.JOHn 公司的总裁对行业中严重增加的加密恶意软件担忧。她要求确保如果恶意软件袭击并加密其生产系统， 公司的数据是可以恢复的。为了能告诉她公司有所准备， 需要进行哪个过程？ A. 加密所有敏感数据。 B. 对组织的所有数据进行哈希以检测加密恶意软件。 C.进行备份验证。 D.使用反加密技术防止恶意软件加密驱动器。
    • C
  • 92 Joanna 是組织的CISO，作为安全运营监督角色。她想确保安全相关更改的管理监督正在进行。在大多数组织中，她应该关注哪个系统来跟踪这种类型的数据？ A. SIEM 系统 B.IPS 系统 C.CMS 工具 D.ITSM 工貝
    • D
  • 93. Henry 想验证他的备份是否有效。以下选项中，哪个是他确保备份在真实灾难恢复场景中有用的最佳方法？ A.定期恢复一个随机文件以确保备份工作正常。 B. 定期检查配置和设置以验证备份设置。 C.查看备份日志以确保没有错误发生。 D.定期从备份中进行全面恢复以验证成功。
    • D
  • 94.哪种类型的漏洞扫描器无法发现？ A. 本地漏洞 B. 服务漏洞 C. 零日漏洞 D.需要身份验证的漏洞
    • C
  • 95.Jacinda想街量她的交全培训的效果，作为她的安全指标之一。以下哪些措施对于评估安全意识培训的有效性最有用？（选择所有适用项。） A． 参加培训的人数 B.培训前后的安全意识水平 C.培训时长（以小时为单位） 口.每个人今年参加的培训事件数量
    • AB
  • 96, Elaine 在她所在組织使用的产品中发现了一个以前未知的关键漏洞。她的组织非常重视道德披露，并旦 Elaine 遵循常见的道德披露实践。她应该首先做什么 A.构建内部的修复措施或控制，然后公开披露漏洞，促使供应商迅速修补漏洞 B.构建内部的修复措施或控制，然后通知供应商该问题。 C.通知供应商，并给他们合理的时间来修复问题。 D.公开披露漏洞，以便供应商能在适当的时间内修补漏洞。
    • C
  • 对于问题 97-99，请参考以下情景。 NIST Specral Puolircatton 800-115 《信魚安全测试和评传技术指南）提供了 NIST对洛透测过的流程，使用此图像以及您对渗透测试的了 解来回答问题。 97.以下哪项不属于发现阶段的一部分？ A. 主机名和IP地址信息收集 B.服务信息捕获 C.垃圾桶搜寻 D.权限升级 98. NIST 指定了四个攻击阶段的步骤：获取访问权限、权限升级、系统浏览和交裝的加工具。一旦攻击者安裝了附加工具：渗透测试人员通常会返回哪个阶段？ A. 发现 B. 获取访问权限 C.权限升级 D.系统浏览 99.以下哪项不是渗透测试报告的典型部分？ A.已识别的漏洞列表 B.测试期间收集的所有敏感数据 C.每个发现的问题的风险评级 D.针对已识别问题的缓解指南
    • D
    • B
    • B
  • 100. Alox正在使用nmnao对系统进行端口扫描，他在结果中收到了三个不同的端口状态消息。将每个编号的状态消息与适当的宇母描述相适配。每个项目负能使用一次。 状态消息 1.打开 2.关闭 3. 过滤 描述 A. 远程系统上的端口可访问，但没有应用程序接受该端口的连接。 B. 远程系统上的端口不可访问。 C. 远程系统上的端口可访问，并且应用程序接受该端口的连接。
    • CBA