CISSP精品模拟题一

本人在准备CISSP考试中精心选择的一套非常具有价值的模拟题，部分题还附上了详细的解释，非常有价值。

第一套模拟题

• 题和答案
  • 1.在为灾备中心选址时，影响最小的因素是？ A．经过飞机航线的区域 B．所在地区的犯罪发生率 C．易受台风影响的区域 D．周边的建筑和商业情况
    • A D的影响更大
  • 2.由数据所有者授予其他用户对数据的访问权限的访问控制方式是？ A.强制访问控制 MAC B.自主访问控制 DAC C.非自主访问控制 NDAC D.基于角色的访问控制 RBAC B
    • • 自主访问控制模型 (DAC)
        • 数据所有者自主决定谁能访问数据 基于用户和资源标识 直接面向用户进行限制
        • 面临问题:木马、社会工程
      • 强制访问控制模型 (MAC)
        • MAC依赖于安全标签(敏感标签) 安全级别较高场合:军队/政府机构 (客体有分级 security classification)， 同时只允许高于客体级别的用访问 (主体有许可 scrurity clearance) (固有属性)
        • 只有管理员可以更改客体级别，而不是数据所有者(data owner)
      • 基于角色访问控制模型 (RBAC)
        • 使用集中访问控制决定主客体的访问 ，建立在用户角色的基础上
        • 基于工作职责的权限分配，可以和组织结构关联，用户或组对应角色，赋予角色某些权限 最小特权：这种方法通过防止权限蔓延来帮助实施最小特权原则。 权限蔓延是用户随着角色和访问需求的变化而逐渐积累特权的趋势。
        • 类别
          • 核心RBAC：用户、角色、权限、操作和会话，应根据策略进行定义和对应
          • 层次化RBAC
            • 角色关系定义了用户成员和权限集成 反应组织机构和功能描述
            • 有限层次---单角色继承 普通层次---多角色继承
          • 受限RBAC
            • 引入职责分离
            • RBAC中的静态职责分离
              • 示例:会计和出纳，防止欺诈
            • RBAC中的动态职责分离
              • 根据激活的会话中的角色，动态限制另外的职责分离的权限
      • 基于规则的访问控制 (RuBAC)
        • 基于 if x then y
        • 使用特定的规则来指示主体和对象之间能发生什么以及不能发生什么。 基于规则的访问控制不一定是基于身份的。 许多路由器和防火墙使用规则来确定哪些类型的数据包被允许进入网络/被拒绝。
      • (ABAC)基于属性的访问控制
        • 新型的访问控制，解决RBAC的不足， 每个资源和用户都赋予一系列属性，基于对用户属性的比较评估， 比如时间、职务和位置，来确定该用户是否能访问某个资源。
        • 更细颗粒度
  • 3.为了保护隐私数据，对数据元素进行替换的方法是？ A.字段级加密 field level encryption B.行级数加密row level encryption C.批量数据哈希batch hash D.数据标记化data tokenization D
    • 标记化是一种用非关键数据交换关键数据的特定技术。该非敏感数据（称为令牌）没有可解释的值，仅是连接回敏感信息的标识符，因此用户无法访问信息。 标记化的主要目的是保护原始数据不被暴露，并保护其价值。标记化的过程与加密完全不同，在加密中，易受影响的数据被更改和保存，并且在任何情况下都不允许将其用于组织目的。
  • 4.当改变明文中的某一位时，密文中的多处会随之改变，这一特性是？ A．随机 Randomization B．扩散 Diffusion C．混淆 Confusion D．离散 Discrete D
    • 扩散就是让明文中的每一位影响密文中的许多位，或者说让密文中的每一位受明文中的许多位的影响．这样可以隐蔽明文的统计特性。 混淆就是将密文与密钥之间的统计关系变得尽可能复杂，使得对手即使获取了关于密文的一些统计特性，也无法推测密钥。使用复杂的非线性代替变换可以达到比较好的混淆效果，而简单的线性代替变换得到的混淆效果则不理想。 雪崩效应（Avalanche effect）指加密算法（尤其是块密码和加密散列函数）的一种理想属性。雪崩效应就是一种不稳定的平衡状态也是加密算法的一种特征，它指明文或密钥的少量变化会引起密文的很大变化。雪崩效应是指当输入发生最微小的改变（例如，反转一个二进制位）时，也会导致输出的剧变（如，输出中一半的二进制位发生反转）。在高品质的块密码中，无论密钥或明文的任何细微变化都应当引起密文的剧烈改变。
  • 5.在进行系统漏洞扫描时发现，有些通信端口在未授权的情况下被打开了。系统很可能是遭到了哪种攻击？ A.SYN洪泛攻击 B.暴力破解 C.端口扫描 D.木马 D
  • 6.新雇佣的员工在登陆应用程序系统时使用了共享账号，这违反了公司政策。以下哪种方法能够最有效地控制此问题？ A. 监测访问控制 B. 对用户进行安全意识培训 C. 将责任分配到部门主管 D. 对IT人员进行培训
    • B 使用共享账号的主要原因是安全意识薄弱，安全意识培训通常包含强调共享账号危害的内容。
  • 7.在审查入侵检测日志时，发现有些来自互联网的通信，其IP地址显示为公司工资服务器。以下哪项恶意活动最可能导致这类结果？ A．拒绝服务 (DoS) 攻击 B．端口扫描 C．中间人攻击 D．欺骗 (spoofing) D 8.在客户机／服务器架构中的“相互验证”指的是？ A.服务器和服务器之间的交叉验证 B.客户端和服务器端建立连接时的三次握手 C.客户端一旦被服务器端验证，则客户端可以访问系统内其他的资源 D.服务器端验证客户端，客户端验证服务器端 D 9.在物理访问控制中使用电子访问控制令牌的主要优点是？ A.在紧急情况下能自动锁定 B.可以监控门窗的打开情况 C.当检查到入侵时会自动触发报警 D.克服了钥匙管理问题 D 10.要防止IP地址欺骗攻击 (IP spoofing) ，应将防火墙配置为丢弃以下哪类数据包？ A．启用源路由字段的数据包。 B．在目标字段中拥有广播地址的数据包。 C．开启TCP连接的复位标记的数据包。 D．用动态路由替代静态路由的数据包。 A 11.通信网络中链路加密的特点是？ A．仅加密用户信息，不加密数据包头部、尾部、地址和路由信息 B．数据包在每一跳都进行解密，因此有更多脆弱点 C．加密发生在应用层 D．密钥分发和管理相对简单 B
    • 10 启用源路由字段的数据包是通过在数据包的IP报头中定义了一个可选项来实现的，‌这个可选项列出了一个或多个中间目的地址，‌要求数据包在到达最终的目的地址前必须经过这几个中间地址。
  • 12.HAL硬件抽象层属于： A.网络硬件 B.系统硬件 C.系统软件 D.应用软件 C
    • HAL，‌即硬件抽象层（‌Hardware Abstraction Layer）‌，‌是一种系统软件。‌它位于操作系统内核与硬件之间，‌作为一个中间层，‌帮助操作系统更好地管理和控制硬件。‌通过使用HAL，‌操作系统可以更加灵活地与各种硬件进行交互，‌而无需直接了解硬件的具体细节。‌这种抽象层的设计使得操作系统能够更加通用和灵活，‌同时也简化了硬件的更换和维护过程。‌因此，‌HAL是系统软件的一部分，‌它帮助操作系统以一种更加标准化的方式与硬件进行交互，‌从而提高系统的可移植性和可维护性
  • 13.通过识别异常行为来检测病毒的防病毒软件属于： A.特征型 B.启发型 C.推理型 D.归纳型 B
  • 14.某家安全要求极高的组织正在配置生物识别系统，以下哪一项性能指标最重要？ A．低错误接受率 (FAR) B．低错误拒绝率 (FRR) C．低相等错误率 (EER) D．低误判率 (FIR) C 15.攻击者最有可能通过以下哪一项获得对系统的特权访问？ A.包含敏感信息的日志 B.包含系统调用的日志 C.写系统资源的程序 D.写用户目录的程序 D 16.当程序在特权模式下运行时面临的风险是？ A.可能执行恶意代码 B.破坏了职责分离 C.不必要的代码复杂性 D.不必要的进程隔离 B 17.业务连续性管理中，在完成了业务影响分析(BIA)之后，紧接着要做的是？ A.将BIA的结果报告给管理层，以获得业务连续性项目资金 B.识别并选择恢复策略 C.准备测试计划，测试灾难恢复能力 D.进行风险评估与分析 A
    • 14 纯属没看清题 A
    • 15 C 只查看日志没法获得访问权限，这里想太多了，以为是分析可以得到用户密码 普通用户就可以写用户目录
    • 16 A 特权模式和职责分离没有关系，因为此题说的是执行程序，程序在特权模式下权限更大 但是如果题中说的是管理员和普通用户，就可能和职责分离是有关的，注意审题
    • 17 B 没看清题，B选项说的是连续性策略/计划，还是要认真看题，并且揣摩出题者的意思。
  • 18.以下哪一项除了能进行传统的开机加密以及对硬盘加密外，还能对系统登录、应用软件登录进行加密？ A.可信赖平台模块 (TPM) B.密钥分发中心 (KDC) C.因特网协议的简单密钥管理 (SKIP) D.预启动执行环境 (PXE) A 19.SYN洪泛攻击发送的连接请求中使用了别人的有效地址，收到攻击的系统会将大量应答包发向哪里？ A.攻击者的地址 B.受攻击的本地系统 C.指明的源地址 D.默认的网关 C 20.审计计划的关键成功因素是？ A.识别已实施的安全控制 B.定义需要审计的范围 C.获得未合规系统的证据 D.与系统所有者一起分析新的控制 B 21.在采购第三方开发的软件时，以下哪一项可以提供更好的软件开发质量保障？ A.客户和供应商的重叠代码评审 B.在合同中明确知识产权保护条款 C.确保供应商参加开发计划会议 D.给供应商提供隔离的开发环境 A 22.系统管理员在进行渗透测试时发现，组织内的所有人都可以对一台存有敏感数据的服务器进行未授权访问时，他应该采取的行动是？ A.使用系统特权，修改对服务器的访问许可 B.立即记录该发现并报告给管理层 C.继续进行测试并在测试完成时报告IT管理层 D.终止渗透测试并将发现转交给服务器管理团队 B
    • 20 1、总体审计计划 总体审计计划是对审计的预期范围和实施方式所做的规划，是注册会计师从接受审计委托到出具审计整个过程基本工作内容的综合计划。 总体审计计划的基本内容包括： （1）被审计单位的基本情况。 （2）审计目的、审计范围及审计策略。 （3）重要会计问题及重点审计领域。 （4）审计工作进度及时间、费用预算。时间、费用在新准则里换了个新名词叫审计资源，注册会计师必须明白审计资源是多少？如何分配这些审计资源？审计资源还包括审计人员。 （5）审计小组组成及人员分工。 （6）审计重要性的确定及风险的评估。审计风险包括客观风险和主观风险。这里说的是客观风险。客观风险与审计证据数量同向变动。主观风险与审计证据数量是反向关系。 （7）对专家、内审人员及其他注册会计师工作的利用。 （8）其他有关内容。 2、具体审计计划 具体审计计划是依据总体审计计划制定的，对实施总体审计计划所需要的审计程序的性质、时间和范围所做的详细规划与说明。一般是通过编制审计程序表的方式体现的。 具体审计计划的基本内容包括：（1）审计目标。（2）审计程序。（3）执行人及执行日期。（4）审计工作底稿的索引号。 （5）其他有关内容。
  • 23.在多级安全系统中，4个用户A、B、C、D的安全许可分别是：限制、机密、秘密、绝密，4个文件1、2、3、4的安全分级分别是限制、机密、秘密、绝密。 按照BLP 星规则，哪一个用户的写权限最受限制？ A.用户A B.用户B C.用户C D.用户D
    • D 又是没看清题，题中说BLP规则，所以级别最高的权限最受限制
  • 24.类似于Kerberos依赖于KDC，SAML依赖于: A.TGS (Ticket Granting Server) B.IDP (Identity Provider) C.AS (Authentication Server) D.PAS (Privileged Attribute Server) B
    • kerberos认证流程
      • Kerberos认证流程 第一步：客户端向DC的AS请求:此时客户端本机的Kerberos服务会向KDC的AS认证服务发送AS-REQ认证请求，请求内容包括了客户端的个人信息即principal如用户名，以及说明要请求什么服务、目标服务的主机名等信息，也告诉AS自己将与TGS通信。除此之外为了防止别人伪造这个客户端的身份，还要求发送一个认证因子authenticator，这个认证因子需要使用客户端的hash(用户密码的哈希值)来加密一个时间戳。 第二步：DC的AS向客户端的请求做出响应:此时AS收到了客户端的请求之后，由于AS是在DC上面的，DC是有客户端的hash的，此时会查询AD目录找到该客户端的hash，然后对时间戳进行解密，如果解密失败说明用于加密的hash是错误的，同时验证是否为受到了重放攻击。 在AS验证通过之后，AS会生成一个login session key（对称密钥），并且使用用户的hash加密这个login session key，然后AS还会生成一个TGT，同使用过hash加密后的login session key以及一些其他相关信息打包发送给客户端。 第三步：客户端向DC的TGS请求：此时客户端收到了DC的的响应包之后会将收到的TGT存储在本地，并使用自己的hash将对应使用自己的hash加密的信息进行解密，获取到AS生成的login session key，然后客户端使用login session key去加密时间戳然后与收到的TGT、需要的服务名字、自己的相关信息一同打包发送到DC的TGS。 第四步：DC的TGS向客户端的请求做出响应：当TGS接收到请求之后，会检查自身是否存在客户端请求的服务，如果存在就会拿ktbtgt hash解密TGT（由于TGS是在DC上的，所有具有krbtgt的hash），解密到的信息中包含了login session key，别忘了客户端发过来的时间戳就是利用login session key加密的，此时就可以用其解密获取到时间戳了，然后验证时间戳。 然后KDC会生成一个新的名叫service session key，用于客户端和服务端直接的安全通信，并且为客户端生成ST服务票据，该票据是由客户端信息+service session key打包后用后用服务端的hash加密的（KDC在DC上，故DC拥有服务端的hash）。除此之外会将service session key用之前是login session key加密同ST一同打包发送给客户端。 第五步：客户端向服务端请求：此时客户端接收到了TGS的响应，然后利用login session key解密获取到service session key，然后用于与服务端通信，同时将ST存储起来，然后客户端用service session key加密客户端信息和时间戳同ST（服务端hash加密的相关信息+service session key）打包一起发送给服务端验证。 第六步：服务端向DC的KDC的请求：客户端收到服务端发送过来的信息之后，用自己的hash即服务端hash解密ST，而ST中包括有service session key，那么再用service session key去解密使用service session key加密的信息包括有客户端相关信息和时间戳，再去验证这个时间戳，判断是否安全，判断是否为真实身份。 除此之外服务端还要向DC请求，使用PAC（Privilege Attribute Certificate）将客户端的属性信息发送给KDC进行验证客户端是否安全是否具有获取该服务的资格。 第七步：DC的KDC向服务端响应：此时KDC将会对服务端发来的PAC进行一个验证 第八步：服务端向客户端响应：此时服务端会生成一个票据，该票据包括客户端身份信息，以及服务端的身份信息，并使用之前获得的service session key去加密该票据信息并发送给客户端，然后客户端就可以正常获取到服务端的服务了。
        • 黄金票据，攻击者获取到了这个hash（krbtgt hash即用户密码的哈希值），可以任意的伪造TGT了，可以跳过AS验证了。
        • 白银票据，攻击者窃取了服务端的hash，可以不经过KDC。
  • 25.以下哪一项是应对蛮力攻击的有效对策？ A.减少并发的用户会话数量 B.加强初始密码的分发控制 C.定期更新所有系统的登录口令 D.在登录系统失败后加入延时 C 26.不需要使用真正的病毒就能判断一个系统是否能够识别恶意代码的方法是？ A.安装多种防病毒软件 B.使用EICAR文件进行测试 C.使用ITF集成测试设施 D.使用僵尸网络进行测试 B 27.审计人员发现关键系统的一项安全控制中存在漏洞，最有可能导致这一问题的是？ A．安全指南的文档不全面 B．缺乏安全基线 C．基于主机的入侵防御系统存在缺陷 D．安全补丁没有及时更新 B
    • 25
      • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
    • 26
      • EICAR测试文件(正式名称: EICAR Standard Anti-Virus Test File)是由欧洲计算机病毒研究机构及防毒软件组织设计开发的，用以测试反病毒软件的查杀性能。EICAR 其实并不是真的病毒，它并不会造成损害。 EICAR 测试档案为下列问题提供防病毒标准的解决方案： 　　1）安装的防病毒软件是否能够拦截住病毒。 　　2）当防病毒程序发现病毒时，防病毒软件将怎么做？哪一个信息将被显示出来？
  • 28.一个业务应用系统的业务用户可以执行业务功能，但不能执行管理功能，应用的维护管理员可以执行管理功能但不能执行业务功能，这属于： A．职责分离 B．最小授权 C．基于规则的访问控制 D．自主访问控制 A
    • A 道理同16题 题中说两个人，一个人有A无B权利，另外一个有B无A权利，一般都是职责分离
  • 29.定期评审审计日志的最佳理由是？ A.监控员工的工作效率 B.满足合规要求 C.识别异常的使用模式 D.验证日志运作良好 C 30.在应用程序的运维过程中，建立软件组件的初始基线依赖于： A.安全审计规程 B.软件补丁规程 C.配置控制规程 D.应用监控规程 C
  • 31.确定保护静态数据是否有恰当的安全控制保护的第一步是？ A．识别法规要求 B．执行风险评估 C．评审安全基线配置 D．评审之前的审计报告 32.数据保留策略的主要目的是？ A.确保数据在预定的一段时间内的可用性和机密性 B.确保数据在预定的一段时间内的可用性和完整性 C.确保数据在预定的一段时间内的完整性和机密性 D.确保数据在预定的一段时间内的完整性、机密性和可用性 33.OSI的哪一层负责在通信网络上传输二进制数据？ A.物理层 B.数据链路层 C.网络层 D.传输层 A 34.使用DNS安全扩展 (DNSSEC)对记录进行签名的主要目的是？ A.机密性 B.完整性 C.可用性 D.可问责
    • 31 B 选择安全控制的前提是风险评估，风险评估的结果是选择合适的安全控制措施
    • 32 B 数据保留政策是确保可用性，但是没有机密性，所以选B 数据销毁是机密性
    • 34 B 这道题错是不清楚签名的作用，题中考的是签名 签名的作用是完整性
  • 35.对信息系统(IS)进行脆弱性测试的目的是？ A.利用IS的安全弱点 B.为DRP做准备 C.衡量安全控制薄弱的系统的性能 D.评价安全控制的有效性 D 36.以下哪一项说明生物识别身份验证遭到了重放攻击？ A.误接受率非常高 B.误拒绝率非常高 C.样本数量不充分 D.完全匹配 37.在虹膜验证过程中，以下哪一项用于识别和验证？ A.获得的眼底血管纹理的数据和之前存储的样本数据的比对 B.获得的细节模版和之前储存的样本模版的比对 C.获得的瞳孔的尺寸大小数据和之前样本的比对 D.计算的哈希值和预存于数据库中的数据的比对 B 38.当在组织异构的网络端点实施控制时，关键的一点是？ A．用户可以修改他们的安全软件配置 B．主机可以建立网络通信 C．运行在各个主机上的防火墙可由用户定制 D．所有主机上都实施了常用的软件安全组件 D 39.以下哪一项安全机制提供了限制执行特权活动的最佳方法？ A.生物识别访问控制 B.基于角色的访问控制 C.应用加固 D.联合身份管理
    • 36 D 生物识别都是无限接近100%，完全匹配只能说明是重放了样本
    • 39 B 限制特权是授权活动，所以A和D都是验证
  • 40.SSO不仅仅用于Web应用程序，它可用于任何类型的应用程序，只要有安全地传送身份信息的协议。这种通信方式的开放标准是: A.基于TLS的HTTP (HTTPS) B.标准通用标记语言 (SGML) C.安全断言标记语言 (SAML) D.可扩展标记语言 (XML) 41.识别数据泄漏的最大挑战是： A.对相关疑问的理解依赖于法律执行 B.高级管理层在调查可疑行为时的配合 C.文档化的资产分级策略和清晰地为资产赋予标签 D.对用户活动进行监控的可用技术工具 C 42.以下哪项最容易导致web应用相关的安全事件： A.第三方应用和变更控制 B.系统不兼容和补丁管理 C.不恰当的压力测试和应用接口 D.系统管理和操作系统 A 43.传输模式下的封装安全载荷(ESP)的作用是？ A.加密和可选择验证整个IP包 B.加密和可选择验证IP头部，而不是IP载荷 C.加密和可选择验证IP载荷，而不是IP头部 D.验证IP载荷及选择的部分IP头部 44.EAP-TTLS和EAP-TLS的主要区别是，EAP-TTLS： A.使用了Kerberos验证 B.只要求服务器端的数字证书 C.只要求客户端的数字证书 D.服务器端和客户端都需要数字证书 45.使用明文发送凭证的验证方法是： A.PAP口令验证协议 B.CHAP挑战握手身份验证协议 C.PEAP 保护的可扩展验证协议 D.EAP-TLS 可扩展验证协议-传输层安全 A 46.能用于创建数字签名的算法是？ A.DES B.DSA C.Diffie-Hellman D.IDEA B 47.渗透测试“枚举”之后是哪个阶段： A.发现 B.侦查 C.漏洞勘探 D.漏洞利用 C 48.关系型数据库管理系统，实现参照完整性主要依赖于对以下哪一项的约束？ A.主键 B.外键 C.候选键 D.Null 空值 B 49.为了防止因网络钓鱼而造成的非授权访问银行网银系统，最应该做的是什么? A.强身份验证 B.使用数字证书 C.安全意识培训 D.落实安全基线 C 50.L2TP隧道协议使用了何种加密？ A.MPPE B.RC4 C.IDEA D.L2TP不提供任何加密功能 D
    • 40
      • 联合身份管理和SSO 组织在联邦域内共享凭证，它使用SAML(安全断言标记语言)和SPML(服务供应标记语言)。 考试小贴士：思考一下为你的假期预订机票，你可以选择在同一网站上预订酒店。一旦你登录到酒店网站，它就不会再次要求你提供凭证，因为机票预订和酒店预订网站都在联邦域名下。 SAML：基于XML，用于在相关组织之间交换身份验证和授权。SAML主要用于浏览器, 是一种标记语言，SAML协议的核心是: IDP和SP通过用户的浏览器的重定向访问来实现交换数据。 SPML：基于XML，专门为交换用户信息而设计，用于联邦域内安全的单点登录。 XACML：可扩展访问控制标记语言，用于在XML格式中定义访问控制策略，它通常实现RBAC。 OpenID和OAuth：OpenID用于身份验证，提供去中心化认证，不是RFC标准，用户登录多个不同的网站，凭证由第三方提供。 过程：两次重定向，第一次是重定向到OpenID提供商输入口令，然后重定向回启用OpenID服务站点。 OAuth用于授权，及时被授权的程序遭到破坏，用户的凭证也不会暴露。使用API交换信息。 *考试提示：SAML用于企业用途，OAuth用于商业用途(by us) OIDC：使用OAuth 2.0的授权框架的身份认证层，同时提供身份认证和授权。使用JSON web令牌
        • • 三个实体：用户（委托人）、服务提供商、身份提供者（LdP） 三种类型的XML消息：1. 认证声明：正确的身份凭证，标识身份认证方法，标识用户代理登录的时间 2. 授权声明：是否有权访问服务，被拒绝会说明原因 3. 属性声明：关于用户代理的任何信息
    • 43
      • IPsec所依靠的是安全关联(SA)，其中包含两个主要成分： 身份验证头(AH)，提供消息完整性和不可否认性保障。AH还提供鉴别和访问控制，可抵御重放攻击。 封装安全载荷(ESP)，提供数据包内容的保密性和完整性保障。ESP还提供加密和有限的鉴别，也可抵御重放攻击。 IPsec两种工作模式： IPsec在传输模式下使用时，只加密数据包载荷。这种模式是为对等通信设计的。 IPsec 在隧道模式下使用时，将加密包括报头在内的整个数据包。这一模式是为网关到网关的通信设计的。
    • 44
  • 51.关于测试，以下哪项风险最大？ A.在运行环境中测试 B.使用大量异常数据测试，导致系统崩溃 C.没能有效测试出程序中隐含的后门 D.在测试环境里用精确复制的生产数据
    • D 有数据泄漏的风险，最危险
  • 52.威胁建模STRIDE模型中的R代表了哪种威胁？ A.Reuse 重用 B.Revoke 注销 C.Replay 重放 D.Repudiation 抵赖 D 53.51％攻击针对的是： A.数字证书 B.消息验证码 C.数字签名 D.区块链网络 D 54.如何最好地利用从业务连续性培训和实际恢复事件中吸取的经验教训？ A.作为政策需求的指标 B.作为改进的手段 C.作为提高认识和培训的备选方案 D.作为业务功能差距指标 B 55.应用程序升级将随机生成的会话密钥替换为与后端服务器通信的基于证书的加密，其最大好处是什么？ A.效率 B.机密性 C.隐私 D.不可抵赖性 D
  • 56.安全操作中心(SOC)在服务器上接收到事件响应通知，有一个活跃的入侵者设下了后门。已发送初始通知。在执行下一步之前，必须考虑或评估什么？ A.确定谁是事件的执行者比事件如何发生更重要 B.在散列服务器硬盘内容之前，必须通知执法部门 C.将硬盘上的内容复制到其他存储设备可能会损坏证据 D.从网络中移除服务器可能会妨碍抓获入侵者 57.安全策略和安全程序之间的主要区别是什么？ A．政策被用来强制执行违规行为，而程序会产生惩罚 B．政策指向指南，程序更具契约性 C．政策包括在意识培训中，程序提供指导 D．策略本质上是通用的，过程包含操作细节
    • 56 D 移除服务器可能会破坏证据
    • 57 D 注意契约性，合同才有
  • 58.以下哪一个模型基于完整性级别的晶格(lattice)？ A．Bell-LaPadula模型 B．Biba模型 C．取-予模型 D．Harrison-Ruzzo模型 B 59.检测编程语言中最常见的不正确初始化问题的最佳方法是什么？ A．通过确保任何数字输入在预期范围内，对任何数字输入执行输入验证 B．使用数据流分析来最小化误报的数量 C．使用并指定强字符编码 D．使用自动静态分析工具 60.通常情况下风险评估的执行间隔是多久？ A．持续执行 B．各个业务流程和子流程每年一次 C．关键业务流程每三至六个月一次 D．每年一次或出现重大变更时执行 61.以下哪一项能定期保存应用程序的状态和用户的信息。如果应用程序出现小故障，它拥有的必要的工具会帮助用户重回工作环境而不丢失数据？ A.Disk mirroring 磁盘镜像 B.Check point 检查点 C.Data dictionary 数据字典 D.Gold master 母盘 62.组织需要一个外包服务商，为满足合规要求，应该要做： A. 尽职关注 B. 尽职勤勉 C. 第三方托管 D. 独立审计 63.一个小型销售机构，一个中心多个分支，中央主服务器每小时接收从分支主服务器过来的数据，一个团队负责DRP，因灾难原因，一个或多个分支服务器和中央主服务器被损坏，哪种数据恢复方式最好？ A. 主冗余服务器放在异地 B. 中央主服务器数据存储到磁带，存放于异地 C. 分支服务器数据存储到磁带，存放于异地 D. 分支服务器和中央主服务器实现集群 64.关于(ISC)2道德，以下哪个做法是不道德的： A.获得证书后，为熟识的申请人背书 B.应聘面试时，向面试官出示过期的证书 C.考试时记住了一些考题，回到家中翻书对答案 D.证书已过期，在邮件签名栏仍然使用CISSP标识 D 65.数据分级的第一步是: A. 生成数据字典 B. 数据估值 C. 识别数据所有者 D. 风险评估
    • 58
      • 1、客体和主体 主体：发出访问资源请求的用户或进程 客体：用户或进程想要访问的资源 2、封闭系统和开放系统 封闭系统：windows 开放系统：linux 3、用于确保保密性、完整性和可用性的技术 confinement限制：沙箱，软件设计使用“进程限制”来约束程序的行为。 bound界限：用户态、内核态，在系统上运行的每个进程都有授权级别。 isolation隔离：进程隔离可确保隔离状态进程的任何行为仅影响与其关联的内存资源。 4、控制 为确保系统的安全性，主体只允许访问经过授权的客体。 MAC 强制访问控制：是否许可一个访问，由主体和客体的静态属性来决定。每个主体都拥有属性，用来定义其访问资源的授权。每个客体拥有属性，用来定义其分类。 DAC 自主访问控制：允许主体根据需要定义要访问的客体列表，可以允许主体添加对客体的访问规则。 5、信任和保证 可信系统：所有保护机制协同工作的系统，为许多类型的用户处理敏感数据，同时维护稳定和安全的计算环境。 保证：为了满足安全需求的可信程度，保证需要持续性的维护、更新和重新验证。 二、理解安全模型的基本概念 1、可信计算基 TCSEC 可信计算机系统评估标准，是美国国防部的一个较早的标准，俗称“橘皮书” TCB 可信计算基，软硬件的组合，它们协同工作构成安全策略的可信计算基础 系统的安全边界是一个假想的边界，将TCB与系统的其余部分分开 参考监视器：TCB中负责在授权访问请求之前验证资源的部分 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 10、Brewer and Nash模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
    • 59 D 这道题是没看清题，最开始的检测两个字没注意，所以导致理解错了题意，出现了好多次，要注意。静态分析最适合
    • 60 D 要注意是间隔
    • 61 B 检查点的定义：检查点不是一个点，而是一个事件。这个事件的发生只有一个作用：让数据文件变“新”，或者说数据文件离数据库的状态不那么远，反正不太容易描述清楚。 检查点事件的目的是让实例恢复的时间变短
    • 62 B 外包-尽职勤勉 DD
    • 63 B 是说数据备份，不是应用冗余
    • 65 C 数据估值（分级是根据敏感性和重要性，并不是根据价值来分级） 识别数据所有者《第一步是识别数据，同时识别数据所有者》 风险评估（除了影响还要考虑可能性，分级主要是考虑影响） 实现数据分类：七步骤： 1、确定管理人员（数据所有者），并且定义职责 2、指定信息如何分类和标记的评估标准 3、对每个资源进行数据分类和增加标签 4、记录数据分类策略中发现的任何异常，并且集成到评估标准中 5、选择将应用于每个分类级别的安全控制措施，以提供必要的保护级别 6、指定解除资源分类的流程，以及将资源保管权转移给外部实体的流程 7、建立组织范围的培训程序来指导所有人员使用分类标签
  • 66.一单位弱电间和保洁公用，机架上用不同颜色标识了线缆用途，也没有配备UPS，问应该怎么做: A. 申请弱电间专用 B. 申购UPS C. 与保洁员签订保密协议 D. 风险评估 D 67.工控系统漏洞不能及时修复的原因: A. 一些纠正型的修复程序会影响其性能 B. 因为厂家无法测试修复程序的可靠性 C. 工控设备非常可靠，即使不修复补丁也能正常运行 D. 企业对于工控补丁测试所需要的资源无法做出承诺 D 68.验证头协议 (AH) 不能提供： A．数据完整性 B．数据机密性 C．数据源验证 D．免受重放攻击的保护 B 69.哪种是交互的验证： A．锁定功能 B．密码重置 C．口令短语 D．图形验证码 D 70.以下哪一项关于SDN软件定义网络的描述是错误的 A. OpenFlow协议是构建SDN解决方案的基础元素 B. SDN技术能够有效降低设备负载，协助网络运营商更好地控制基础设施，降低整体运营成本 C. SDN将络设备的控制面与数据面耦合，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能 D. SDN是一种动态、可管理、经济高效且适应性强的体系结构，非常适合应用的高带宽、动态需求 C 71.以下哪种数据中心服务于企业公司并提供以下服务： ·每年 99.995% 的正常运行时间 ·2N+1 完全冗余的基础架构 ·96小时断电保护 ·每年 26.3 分钟的停机时间。 A. Tier 1 data center B. Tier 2 data center C. Tier 3 data center D. Tier 4 data center D
  • 72.根据欧盟的通用数据保护条例 (GDPR)，如果发生个人数据泄露，以下哪些类型的信息不需要通知监管机构？ A. 假名化数据。 B. 匿名化数据。 C. 去标识的数据 D. 重新标识的数据 73.基于角色的访问控制 (RBAC) 的核心组件必须由定义的数据元素构成。需要哪些元素? A.用户、权限、操作和受保护对象 Users, permissions, operations, and protected objects B.角色、帐户、权限和受保护对象 Roles, accounts, permissions, and protected objects C.用户、角色、操作和受保护对象 Users, roles, operations, and protected objects D.角色、操作、帐户和受保护对象 Roles, operations, accounts, and protected objects 74.如果组织需要评估财务报告的内部控制的设计是否有效，则应请求以下哪种服务组织控制 (SOC) 报告类型？ A. SOC 1 类型 1 B. SOC 1 类型 2 C. SOC 2 类型 1 D. SOC 2 类型 2
    • 72 B 匿名化的数据不是个人数据，切记
    • 73 C RBAC书中定义的原话，记住
    • 74 A 想多了，就是A，B的说法应该是一段时间内的财务～～～～～～
  • 75.“基于设计的隐私” (缩写为 PbD) 包含旨在确保个人数据隐私，同时让用户更好地控制他们的个人信息的7项原则。以下哪一项不是其中之一？ A.主动而非被动，预防而非补救 B.嵌入风险管理的隐私保护 C. 完整的功能 — 正和，而不是零和 D. 可见性和透明度 — 保持开放 B 76.以下哪一项不属于 软件定义边界 (SDP) 的ABCD基本原则之一： A不假设任何事 (Assume nothing) B不相信任何人 (Believe nobody) C检查所有内容 (Check everything) D默认拒绝 (Default Deny) D
    • 75
      • 即积极防御（预防而非修补）、隐私默认保护、将隐私嵌入设计之中、功能完整-正和而非零和、全生命周期的保护、可见性和透明性、尊重-以用户为中心
    • 76
      • SDP的基本原则是ABCD: 不假设任何事(Assumenothing), 不相信任何人(Believe nobody), 检查所有内容(Check everything), 阻止威胁(Defeat threats)
  • 77.以下哪项是对数据保密性的最大风险？ A. 未实施网络冗余 B. 安全意识培训未完成 C. 生成的备份磁带未加密 D. 用户具有管理员权限 78.以下哪一项是开发信息安全管理体系时的首要考虑因素？ A. 确定相关的立法和监管合规要求 B. 了解信息资产的价值 C. 确定管理层可以容忍的残余风险水平 D. 确定适用于组织的合同安全义务 79.以下哪种灭火方法对环境友好且适合数据中心？ A. 惰性气体灭火系统 B. 哈龙气体灭火系统 C. 干管式洒水器 D. 湿管式洒水器 80.一段插入软件以触发恶意功能的代码，这是以下哪一项的定义？ A. 网络钓鱼 B. Salami攻击 C. 后门 D. 逻辑炸弹 D 81.建立记录保留计划(program)所需的第一步是什么？ A. 根据敏感性对记录进行分级 B. 识别和清点所有记录存储位置 C. 识别和清点所有记录 D. 起草记录保留政策
    • 77 C 这道题不太明白，记住
    • 78 C ISO27001，ISMS 里有SOA 适用性声明，就是基于企业可以容忍的风险水平来判断
    • 79 C 书中原话，记住
    • 81 D 书中原话，记住
  • 82.一个组织正在考虑将应用程序和数据外包给云服务提供商 (CSP)。以下哪一项是关于隐私的最重要的问题？ A. CSP 确定数据重要程度 B. CSP 提供端到端的加密服务 C. CSP 的隐私政策可能由组织制定 D. CSP 可能不受组织所在国家/地区法律的约束 D 83.在实现以下哪项的过程中，私钥和公钥的使用至关重要？ A.Diffie-Hellman算法 B.安全套接字层 (SSL) C.高级加密标准 (AES) D.信息摘要5 (MD5) B 84.要识别系统攻击，必须具备以下哪项条件？ A.状态防火墙 B.分布式防病毒 C.日志分析 D.被动蜜罐 C 85.如果组织未能履行尽职调查，缺少以下哪项选项可能会对组织的声誉、收入造成负面影响，并导致法律诉讼？ A.威胁建模方法 B.服务水平要求 (SLR) C.服务水平协议 (SLA) D.第三方风险管理 D 86.以下哪种模型使用唯一冲突类中包含的唯一组？ A. 中国墙 Chinese Wall B. 贝尔·拉帕杜拉 Bell-LaPadula C. 克拉克·威尔逊 Clark-Wilson D. 比巴 Biba A 87.实施数字签名时存在以下哪项威胁？ A. 欺骗Spoofing B. 替代 Substitution C. 窃听 Eavesdropping D. 内容篡改 Content tampering C 88.对 syslog 服务器的拒绝服务 (DoS) 攻击利用了以下哪些协议的弱点？ A. 点对点协议 (PPP) 和互联网控制消息协议 (ICMP) B. 传输控制协议 (TCP) 和用户数据报协议 (UDP) C. 地址解析协议 (ARP) 和反向地址解析协议 (RARP) D. 传输层安全 (TLS) 和安全套接字层 (SSL) B
  • 89.以下哪一项是隐蔽安全测试的特征？ A. 比公开测试带来的风险更小 B. 专注于识别漏洞 C. 测试和验证组织中的所有安全控制 D. 测试员工对组织安全政策的了解和实施情况 C
    • D 隐蔽安全测试（也称为黑帽测试）采用对抗性方法，在组织IT 人员不知情的情况下，在高层管理人员完全知情和许可的情况下执行测试。这种类型的测试对于测试技术安全控制、IT 员工对感知到的安全事件的响应以及员工对组织安全策略的了解和实施非常有用。隐蔽测试可以在有或没有警告的情况下进行。 隐测试的目的是检查对手可能造成的损害或影响——它并不专注于识别漏洞。这种类型的测试不会测试每个安全控制、识别每个漏洞或评估组织内的所有系统。隐蔽测试从对抗的角度检查组织，通常会识别和利用最基本的漏洞来获得网络访问权限。
  • 90.哪种访问控制方案使用细粒度规则来指定授予对每个数据项或应用程序的访问权限的条件？ A. 强制访问控制 (MAC) B. 自主访问控制 (DAC) C. 基于角色的访问控制 (RBAC) D. 基于属性的访问控制 (ABAC) D 91.关于COTS(Commercial-Off-The-Shelf)商用现成品或技术，以下哪一项是正确的描述： A.可以采购到的具有开放式标准定义的接口的软件或硬件产品，可以节省成本和时间。 B.供应商提供的现成的商业软件，用于可用性较高的工业控制环境 C.供应商根据企业的具体情况，具体要求而定制开发的软件。 D.美国国防采办项目要求必须使用国防部颁布的军用标准与军用规范。 A 92.一种安全技术，它构建或链接到应用程序或应用程序运行时环境中，能够控制应用程序的执行、检测和防止实时攻击。这指的是以下哪一项？ A. 静态应用程序安全测试 SAST (Static Application Security Testing) B. 动态应用程序安全测试 DAST (Dynamic Application Security Testing) C. 交互式应用程序安全测试 IAST (Interactive Application Security Testing) D. 运行时应用程序安全保护RASP (Runtime application self-protection) D
    • 92
      • 运行时应用程序自我保护（RASP）是一种在应用上运行的技术，在应用程序运行时发挥作用，旨在实时检测针对应用程序的攻击。一旦应用程序开始运行，RASP可以通过分析应用程序的行为和这种行为的上下文来保护它不受恶意注入或行为的影响。通过使用应用程序不断地监控其行为，攻击可以在不需要人工干预的情况下立即被识别和缓解。运行时应用程序自我保护
  • 93.TLS用来实现在不可信的网络上安全传输的协议。下面哪项最好的描述了在TLS连接建立流程上发生的情况？ A. 服务器创建会话密钥，并用客户公钥进行加密； B. 服务器创建会话密钥，并用服务器私钥进行加密； C. 客户端创建会话密钥，并用客户端私钥进行加密； D. 客户端创建会话密钥，并用服务器公钥进行加密； 94.一个大型组织使用唯一的身份标识，并要求他们在每次系统会话的开始时使用。应用程序访问是基于工作职责的分类。该组织定期对访问控制和违规进行独立的审核。该组织使用了有线和无线网络，以及远程访问。该组织还使用了到分支机构的安全连接，以及针对某些选择的信息和流程实施安全的备份和恢复策略。 按照最佳实践，在实施恢复策略时，下面哪个是选择备用站点最重要的考虑因素： A. 备用站点需要具备和主站点相同的处理能力 B. 在各分支机构间实现互惠协议以降低成本 C. 充分利用已有的网络安全连接，确保备用站点的网络可用性 D. 备用站点和主站点要间隔足够的距离以避免受到相同灾难的影响 95.RAID系统的不同级别控制不同类型的容错活动。哪一个级别是块级的奇偶校验？ A. RAID 0 B. RAID 3 C. RAID 5 D. RAID 10 C 96.有一些攻击可以用来攻击智能卡。下面哪个不是旁路攻击？ A. 差分功率分析 Differential power analysis B. 简单功耗分析 Simple power analysis C. 微探测分析 Microprobing analysis D. 时序分析Timing analysis C
    • 93 D
      • TLS 基本原理 TLS协议在客户端和服务器之间建立安全通信时使用数字证书来进行身份验证，不同版本的流程稍有差异，但是基本原理都一样，下面先大致看一下基本原理： 客户端发起连接：客户端（例如，Web浏览器）向服务器发起一个安全连接请求，通常这是通过在URL中使用https而不是http来完成的。 服务器提供证书：作为响应，服务器将自己的数字证书（通常包含服务器的公钥）发送给客户端。这个证书由一个信任的证书颁发机构（CA）签发。 客户端验证证书：客户端接收到服务器的证书后，进行以下检查： 证书的合法性：客户端使用预先安装的信任CA的根证书来验证服务器证书的签名。如果签名有效，表明证书是由信任的CA颁发的。 证书的有效期：客户端检查证书的有效日期，确保证书在有效期内。 证书的撤销状态：客户端可能会检查该证书是否已被吊销，这可以通过访问CA的证书吊销列表（CRL）或使用在线证书状态协议（OCSP）完成。 服务器的身份：客户端验证证书中的“Subject Name”或“Subject Alternative Name”字段是否与请求的服务器域名匹配。 其他扩展：客户端还可以检查证书的其他扩展，如“Basic Constraints”、“Key Usage”等，以确保证书的用途符合预期。 密钥交换：如果证书验证成功，客户端使用证书中的公钥对一个生成的随机密钥（预主密钥）进行加密，并将其发送给服务器。服务器使用自己的私钥解密这个预主密钥。 建立加密会话：客户端和服务器使用预主密钥生成会话密钥，并使用这个密钥对接下来的通信进行加密。 通信：一旦安全通道建立，客户端和服务器就可以开始加密的通信了。
    • 94 D 这道题没审清题，题中所有的描述和问题没有关系，问的是DRP的备用站点
  • 97.以下哪项最有助于减少数据库中重复和不一致的数据？ A. 多态性 B. 范式化 C. 实施数据库视图 D. 去范式化 B 98.关系型数据库中元组(tuple)由主键值唯一确定，指的是？ A. 并发完整性 Concurrent integrity B. 参照完整性 Referential integrity C. 实体完整性 Entity integrity D. 语义完整性 Semantic integrity C
    • 98
      • 实体完整性：是用来唯一标识实体的要求（即现实世界中唯一存在的一个事物、人或个体）。不能为空，需要唯一确认，表示的是这一条记录的实体的完整唯一，通常用主键描述，不能为空且不重复。 参照完整性：它表示的是两个关系之间的联系，是表与表之间的引用。对应的就是外键，外键约束实现参照完整性。 数据库语义完整性是指数据库中数据的正确性和相容性，‌确保数据符合现实世界的语义和逻辑，‌防止数据库中出现不合语义的数据。‌这一概念涉及到数据的正确性、‌有效性和一致性，‌通过数据库管理系统（‌DBMS）‌的完整性约束来实现。‌
  • 99.下面哪项关于引用监控器和安全内核的关系的描述是正确的？ A.引用监控器是可信计算基 (TCB) 的核心，由安全内核组成 B.引用监控器实现和增强了安全内核 C.安全内核也叫抽象机，实现了引用监控器的概念 D.安全内核实现和执行了引用监控器
    • D
      • 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。
  • 100.下面哪种标记语言允许公司之间传递服务请求，接受公司为这些服务开通访问授权。 A. XML 可扩展标记语言 B. SPML 服务配置标记语言 C. SGML 标准通用标记语言 D. HTML 超文本标记语言 B 101.公司的软件开发流程已经文档化, 并且组织已经能够制定自己的软件流程的标准。这达到了CMMI软件成熟度集成模型哪一级？ A. 初始级 Initial B. 可重复级Repeatable C. 已定义级 Defined D. 可管理级Managed C 102.下面哪个不是VoIP的优点？ A. Cost 成本 B. Convergence 聚合 C. Flexibility 灵活性 D. Security 安全 D
    • 101
      • CMMI 的等级：CMMI 等级共五级， Maturity Levers，通常简写为 ML。 ML1初始级 软件过程是无序的，有时甚至是混乱的，对过程几乎没有定义，成功取决于个人努力。管理是反应式的。 ML2已管理级 建立了基本的项目管理过程来跟踪费用、进度和功能特性。制定了必要的过程纪律，能重复早先类似应用项目取得的成功经验。 ML3已定义级 已将软件管理和工程两方面的过程文档化、标准化，并综合成该组织的标准软件过程。所有项目均使用经批准、剪裁的标准软件过程来开发和维护软件，软件产品的生产在整个软件过程是可见的。 ML4量化管理级 分析对软件过程和产品质量的详细度量数据，对软件过程和产品都有定量的理解与控制。管理有一个作出结论的客观依据，管理能够在定量的范围内预测性能。 ML5优化级 过程的量化反馈和先进的新思想、新技术促使过程持续不断改进。
  • 103.以下哪项是业务连续性计划的最重要目标？ A.支持组织恢复关键业务功能 B.满足监管合规要求 C.使得组织可以确保业务的生存 D.支持组织保护生命并确保安全 104.下面哪项用于是向管理层提供的最重要的材料，用于获取他们对业务连续性计划(BCP)的支持？ A. 业务论证 Business case B. 业务影响分析 Business impact analysis C. 风险分析 Risk analysis D. 威胁报告 Threat report B 105.使用联机事务处理OLTP时，以下哪一项描述了ACID原则中的原子性？ A.建立数据库安全策略中所规定的完整性规则 B.数据库作为一个单元来执行事务，而不会中断 C.确保回滚不会发生 D.防止同时进行的事务进程之间的相互干扰 B 106.当内核或者介质出现意外故障，而常规的恢复程序不能使系统恢复到一个更为稳定的状态时，需要管理员介入做下面哪一项工作？ A. 紧急系统重启 B. 可信恢复 C. 系统冷启动 D. 系统重启 B
    • 103 D 四个选项都是，但是保护人生命安全是第一位的，最重要的。切记
    • 104 A 阐明价值主张、风险、收益，用Business Case 获得领导的支持，BIA 是 BCP 团队获得管理层的支持后才进行的工作
    • 105
      • 1. 原子性（Atomicity） 定义：原子性指的是一个事务中的所有操作要么全部成功执行，要么全部失败回滚。如果一个事务中的某个操作失败，那么整个事务都会回滚到之前的状态，保证数据的一致性。 作用：原子性确保了事务的完整性和可靠性，是事务不可分割的最小执行单位。 2. 一致性（Consistency） 定义：一致性指的是在事务执行前后，数据库的状态应保持一致。事务的执行应使数据库从一个一致的状态转换到另一个一致的状态，即满足事务的约束和规定的业务规则。 作用：一致性要求事务在执行过程中对数据库的修改必须符合预定义的规则和约束，否则事务会被回滚到执行前的状态，从而保证数据的完整性和有效性。 3. 隔离性（Isolation） 定义：隔离性指的是多个事务并发执行时，每个事务都应该被隔离开，互不干扰。每个事务应该感觉不到其他事务的存在，即使多个事务同时对同一数据进行操作，也不会产生相互干扰的结果。 作用：隔离性保证了并发执行的事务之间不会产生不一致的结果，避免了数据竞争和冲突，确保了数据的一致性和正确性。 4. 持久性（Durability） 定义：持久性指的是一旦事务提交成功，对数据库的修改就会永久保存，即使发生系统故障或断电等情况，数据也能够被恢复。 作用：持久性保证了数据的持久性和可靠性，使用户可以放心地使用数据库，不用担心数据的丢失。
    • 106 C 系统故障以一种不可控的方式发生时，系统自己重启并进入维护状态，并从所采取的措施中得以恢复。然后重回到一个稳定又一致的状态。 可信恢复是指当操作系统或应用程序崩溃或冻结时它不应该置系统于任何不安全状态的一个统称。 系统冷启动：常规的重启不能使系统恢复到一个更为稳定的状态时，需要管理员介入恢复。
  • 107.当接到一个涉嫌犯罪的事情报告，事件响应团队应当首先采取的措施是？ A.建立这个事件的响应程序 B.召集取证专家 C.通知高级管理层 D.判断是否真的发生了犯罪活动 D 108.攻击者诱导受害者打开一个用恶意脚本的编程的URL链接以偷取敏感信息，这是哪种跨站攻击 (XSS) ？ A. 永久跨站型 B. 反射型 C. 存储型 D. DOM基于文件对象模型 B 109.公司需要选择一个新的机房地址，下面哪项在选择地址时不是一个重要的考虑因素？ A. 距离警察局和消防局的距离 B. 照明 C. 自然灾害 D. 犯罪率 B 110.咖啡店的墙上挂了一幅值钱的画，需要安装一个入侵检测系统保护这幅画，应该选下面哪种？ A. 声音探测系统 B. 邻近探测器 C. 光电系统 D. 振动传感器 B 111.以面哪个正确的描述了身份管理流程中的联合身份？ A.按照角色分配权限，不同的角色可拥有不同权限 B.由域名定义的一种身份，可以跨越业务边界使用 C.一种可移植的身份，能够跨越业务边界使用 D.在内部网络虚拟目录和身份存储中使用的一种身份 C
    • 108
      • XSS的分类 XSS主要分为两大类：非持久型攻击、持久型攻击。非持久型攻击（反射型XSS）：经过后端，不经过数据库；持久型攻击（存储型XSS）：经过后端，经过数据库。 1.持久型也可认为是存储型XSS：当恶意的JavaScript代码写入web页面，会被存储到应用服务器端，简而言之就是会被存储到数据库。等用户再次打开web页面时，页面会继续执行恶意代码，达到持续攻击用户的作用。如下案例：在欢迎词处输入框输入JavaScript恶意代码进行保存，当用户在打开这个写入恶意JavaScript代码web页面的时候就会弹出带有恶意数据的弹窗。 2.非持久型XSS：非持久型XSS又叫反射型XSS，属于一次性攻击，仅对当次的页面访问产生影响。非持久型XSS攻击，要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。如下案例：通过搜索功能执行恶意的JavaScript代码点击搜索即执行恶意的JavaScript代码。 3.DOM是一个平台和语言都中立的接口，可以执行程序和脚本，能够动态访问和更新文档的内容、结构以及样式。DOM型XSS是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。
  • 112.以下哪一项被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度： A．CC B．CVE C．CVSS D．BSIMM C 113.工控系统软件没有及时更新的最常见原因： A．工控系统软件的更新需要供应商提供支持, 而供应商缺乏due diligence B．工控系统很少停机，软件更新困难 C．工控系统是相对封闭的环境，不依赖通过更新软件来提升安全 D．工控系统在设计时就考虑了相对全面的安全要求，不需要频繁更新
    • 112
      • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
    • 113 B 主要是更新困难
  • 114.准则(guideline)和 规程(procedure)的特点是： A．准则(guideline)是灵活的，规程(procedure)是特定的,具体的 B．准则(guideline)是强制的，规程(procedure)是灵活的 C．准则(guideline)特定的,具体的，规程(procedure)是灵活的 D．准则(guideline)是一致的，规程(procedure)是不一致的 A 115.想了解一段时间内运营安全和隐私的控制是否有效运行，应该看哪种SOC报告？ A．SOC1，type1 B．SOC1，type2 C．SOC2，type1 D．SOC2，type2 D 116.IDC 机房空调等环境形成的“正气压”指什么？ A．IDC机房内的气流通过门缝跑出去 B．外边的气流想通过门缝跑进IDC机房 C．IDC 机房内的气压维持在一个恒定的值 D．IDC 机房内的空气清洁度达到预定指标 A 117.什么是唯一针对 语音电话的攻击？ A. phishing B. vishing C. whaling 捕鲸 D. spear phishing 鱼叉式钓鱼 B 118.哪种攻击看上去是合理的请求，利用了简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的这一用户身份验证的漏洞。 A．XSS 跨站脚本攻击 B．CSRF 跨站请求伪造 C．SQL注入攻击 D．生日攻击 B
  • 119.以下哪一项符合基于上下文的访问控制： A．是内容相关的访问控制 B．访问决定基于连接状态 C．访问决定基于数据敏感度 D．访问决定基于规则分析 120.对实物资产最好的保护措施是： A．实施门禁系统 B．安排保安 C．上锁 D．纵深防御 D 121.数据报文(datagram)的源地址和目的地址是体现在OSI的哪一层： A．数据链路层 B．MAC子层 C．网络层 D．传输层 122.GRC(治理、风险、合规)的最后一道防线是： A．董事会评审 B．审计 C．持续监控 D．合规报告 123.如果企业想实施安全改进计划，第一步应该做的是： A．执行业务影响分析 B．进行安全评估 C．执行合规审计 D．修改安全策略 B 124.以下哪一项能够代替防病毒软件： A．蜜罐 B．沙箱 C．防火墙 D．入侵检测和防御系统 D 125.渗透测试信息搜集阶段会使用到以下那个命令： A.dig B.ipconfig C.ifconfig D.nbtstat
    • 119 B 连接状态是上下文，内容属于包过滤，规则属于内容
    • 121 C 是网络层
    • 122 A 个人倾向于选择B GRC（治理、风险、合规的缩写）具有在解决不确定性[风险管理]和诚信[合规]的同时可靠地实现目标[治理]的能力。 第一道防线：运营管理 第一道防线由对风险和控制具有日常所有权和管理权的一线和中线经理处理。该团队承担风险，并执行相应的控制措施，以提高实现组织目标的可能性。 第二道防线：内部监控和监督职能 第二道防线的建立是为了通过提供给第一线提供专业知识和监控来支持高级管理层，以确保适当地管理风险和控制措施。这是一种管理和监督功能，包括风险管理流程的各个方面。第二线职能可以开发、实施或修改组织的内部控制和风险流程。根据组织的规模和所处行业，第二线的组成可能会有很大差异。 第三道防线：内部审计 第三道防线向高级管理层和董事会保证第一和第二线的工作与预期一致。该团队是由内部审计师职能执行的保证职能。内部不过，查询又说 审计师通过采用系统的方法来评估和提高风险管理，控制和治理流程的有效性来实现其目标。他们最终确保组织内的独立性和专业性。第三道防线与前两道防线的主要区别在于组织的高度独立性和客观性。 GRC框架整合了整个企业的系统和流程，‌用于监督治理、‌企业风险管理和合规管理的各个方面。‌通过采用结构化方法协调业务战略与IT运营，‌GRC框架帮助企业有效管理风险并满足合规要求。‌在这个过程中，‌董事会评审作为最高层的治理机制，‌确保企业战略和决策与公司的长期目标和价值观一致，‌是GRC框架中不可或缺的一部分，‌也是最后一道防线。‌通过董事会的定期评审和监督，‌可以确保企业在治理、‌风险和合规方面的问题得到及时的处理和解决，‌从而保障企业的长期稳定发展
    • 124 B 书中原话
    • 125 A D是枚举阶段 渗透测试需要好好再看一遍书 1、计划阶段： 计划阶段没有实际的测试发生，但是为渗透测试的成功奠定了基础，主要工作成果包括： 1）识别测试的范围和规则，确保测试团队和管理层对测试的性质达成一致； 2）获得和记录管理层的明确的授权。 2、发现阶段： 发现阶段一般又被分为两个部分， 第一部分通常被称为“发现和侦察”，收集有关目标的信息。这一部分不产生可能触发警觉的不寻常流量，一般通过OSINT或正常的访问系统功能和内容来进行，包括： 1）社交媒体，以确定目标或有用的个人细节，用于网络钓鱼。 2）公共记录，如域名系统（DNS）或公司网站的服务或位置信息，常用工具whois； 3）攻击面数据，如列举与目标的DNS记录相关的IP地址，以及关于使用中的服务的潜在细节，常用工具nslookup、dig、搜索引擎等 4）实际观察，如监测员工的行动，拍照，开车经过，或观察设施，或在垃圾箱里翻找以获得信息的硬拷贝。 第二部分是扫描和探测，目的是识别潜在目标并收集更详细的信息，这会需要向目标系统发送一些不同于普通访问的流量，这就引入了被目标组织的安全程序发现的风险。这个阶段可能使用的工具和资源常见如下： 1）网络踩点（footprinting），测试人员识别存在哪些端点以及在这些端点上运行的服务，常用工具Nmap、ping、tracerouter、telnet、war dialing等； 2）banner抓取，测试人员分析目标返回的信息，如软件名称和版本等，后续测试会用的上； 3）漏洞扫描，虽然是一种比较容易被发现的方法，但使用漏洞扫描器可以提高效率。自动化的漏洞扫描工具一般也包含了网络踩点和banner抓取的功能。 3、攻击阶段： 使用手动或自动的利用工具，证实可击败系统安全。这是渗透测试超越漏洞扫描的地方，因为漏洞扫描并不试图实际利用检测到的漏洞。 攻击阶段又可细化为4个子阶段，这4个子阶段以及发现阶段与攻击阶段之间，形成了两个反馈回路（feedback loop）。 4、报告阶段： 在测试结束后，编制报告描述所发现的漏洞，给出风险评级，并给出改进建议。 需要注意的是，报告要考虑受众！！！ 跟技术层谈细节，跟高管层谈影响、谈钱钱~~ 根据NIST SP 800-115 8.2节： Security testing results should be documented and made available to the appropriate staff, which may include the CIO, CISO, and ISSO as well as appropriate program managers or system owners. 安全测试结果应形成正式文件，并提供给适当的人员，其中可能包括CIO、CISO和ISSO以及适当的项目经理或系统所有者。 Because a report may have multiple audiences, multiple report formats may be required to ensure that all are appropriately addressed. 由于一份报告可能有多个受众，因此可能需要多种报告格式，以确保所有报告都得到适当的处理。
  • 126.CC评估级别中的 EAL1，EAL2，EAL3 分别对应： A．功能测试，结构测试，半正式的设计和测试， B．结构测试, 功能测试，半正式的设计和测试， C．功能测试，结构测试，系统地测试和检查， D．结构测试, 功能测试，系统地测试和检查， C 127.RBAC支持的三个安全原则: A．最小权限、知所必须、责任分离 B．最小权限、知所必须、数据抽象 C．最小权限、责任分离、数据抽象 D．知所必须、责任分离、数据抽象 C 128.保护丢失的智能手机数据不被窃取最有效方法： A．加密 B．远程擦除 C．双因素验证 D．备份 A
  • 129.外购应用程序可能存在的最大问题： A．软件许可很贵 B．拿不到源代码 C．应用漏洞很严重 D．和公司安全策略不符 130.代码签名针对应用程序的： A. 可用性 B. 机密性 C. 完整性 D. 不可否认性 131.与安全审查周期相关的审计的主要目的是什么? A. 确保组织的控制和政策按预期运行 B. 确保该组织仍然可以公开交易 C. 确保组织的执行团队不会被起诉 D. 确保组织满足合同要求 A 132.以下哪一项是实施基于角色的访问控制 (RBAC) 系统的最大好处？ A. 使用轻量级目录访问协议 (LDAP) 进行集成 B. 基于表单的用户注册(registration)流程 C. 与组织人力资源 (HR) 系统的整合 D. 一个相当简单的配置(provisioning)过程
    • 129 B 没理解题意
    • 130 C 代码签名保证的是拿到正确的代码，保护完整性，第二套题有一道类似的
    • 132 D C有点片面
  • 133.结构化查询语言 (SQL) 通过以下哪种命令实现自主访问控制 (DAC) ： A. INSERT and DELETE B. GRANT and REVOKE C. PUBLIC and PRIVATE D. ROLLBACK and TERMINATE B 134.一个组织实施了一种新的备份过程，该过程通过加密存储在备份磁带上的信息来保护机密数据。在实施这一新的备份过程后，以下哪一项是主要的数据保密问题？ A. 备份磁带存放位置 B. 预先存在的备份磁带 C. 磁带备份压缩 D. 磁带备份轮换 B 135. 如果想确保在坏了两个盘的情况下，数据仍然不会丢失，应该使用哪种RAID？ A. RAID 10 B. RAID 2 C. RAID 4 D. RAID 6 D 136.“百年一遇洪泛区”一词对应急准备官员意味着什么？ A. 在任何给定年份，发生洪水的几率是 100 分之一 B. 该地区预计至少 100 年内不会发生洪水 C. 上一次袭击该地区的洪水是 100 多年前 D. 下一次大洪水很有可能在未来 100 年内发生 A 137.风险管理计划旨在将风险降到： A．收益率高于资产当前成本的水平 B．效益超过控制成本的水平 C．残余风险可以忽略的水平 D．组织织愿意接受的水平 D 138.应用程序的设计审查已经完成，可以发布。组织应该使用什么技术来确保应用程序的完整性？ A.设备加密 B.输入验证 C.身份验证 D.数字签名 D 139.为什么系统的关键性分类在大型组织中很重要？ A.它可以更容易地确定所有权，减少对资产状态的混淆。 B.它减少了关键的系统支持工作量，并减少了应用修补程序所需的时间。 C.它提供了安全和维护任务的适当优先顺序和调度 D.它允许与执行管理层进行清晰的系统状态通信。 C 140.对公司员工离职后系统用户的删除情况的及时性进行审计时，以下哪项最能获得有效证据？ A.与HR经理进行面谈，确认及时性 B.与系统管理员进行面谈，确认及时性 C.将离职记录与HR的离职表进行比较 D.将离职记录与系统操作日志进行比较 D 141.分析表明，攻击者通过TLS VPN网关获得了访问网络的权限后侵入了网络。攻击者是在猜出了用户名并使用了暴力破解得到了密码后获得访问权限的。以下哪一项最有助于降低这一风险？ A.在VPN上实施强密码验证 B.将VPN和集中身份存储集成 C.改用IPsec VPN D.使用双因素验证 D 142.轻量目录访问协议 (LDAP) 是以什么样的数据结构来存储数据的？ A.堆栈 B.二维表 C.指针链接 D.树状层次结构 D 143.洋葱路由网络 (Onion routing network) 的主要特点是？ A.匿名通信 B.可追踪 C.高冗余 D.不可抵赖性 A 144.在设计和评估自动取款机ATM的安全时首要考虑的是？ A.定期的维护流程 B.对电子硬件设备的物理访问控制 C.网络连接的高可用性 D.交易处理的延时 B 145.以下哪一项不是进行渗透测试的要求？ A.确定的目的 B.有限的时间段 C.秘密的方法 D.管理层批准 C 146.以下哪种传输介质最不容易遭到窃听？ A.同轴电缆 B.双绞线 C.光纤 D.微波 C
    • 135
  • 147.处理事件(incident)的基本目标是？ A.恢复受影响系统 B.判断事件发生时能否及时响应 C.需要计算机安全事件影团队评估损害情况 D.允许事件继续进行并沿着线索追溯到事件开始 148.对在网络上传输的数据是否需要加密的判断应该基于： A.传输的数据量 B.传输路径的安全性 C.数据的货币价值 D.数据的机密性级别 D 149.以下哪一项控制最能防止互联网嗅探器(sniffer)进行重放攻击？ A. 正确配置防火墙 B. 数据包过滤路由器 C. 基于哈希的消息验证码 D. 带时间戳的数据加密 C
    • 147 A 记住
    • 149 D 放重放攻击方式之一就是时间戳
  • 150.以下哪一项对应用系统的更新进行定义、测试和实施？ A.回归测试 B.变更控制 C.用户验收测试 D.发布上线控制 B 151.The PRIMARY purpose of accreditation is to 认可的主要目的是？ A.allow senior management to make an informed decision regarding whether to accept the risk of operating the system. 让高层做一个正式的决定，来确认是否接受系统运行的风险 B.verify that all security controls have been implemented properly and are operating in the correct manner. 确认所有的安全控制得到正确的实施，并以正确的方式在运行 C.protect an organization's sensitive data. 保护组织的敏感数据 D.comply with applicable laws and regulations. 满足适用的法律和法规 A 152.Which of the following is a PRIMARY reason to motivate an organization to review its current cryptosystem implementation? 下面哪个是推动组织来评审它目前实施的加密系统的主要原因？ A.The use of Message Digest 5 (MD5) hashing MD5哈希算法的使用 B.A more efficient encryption algorithm is available 为了使用更加高效的加密算法 C.A new Certificate Revocation List (CRL) is available 为了使用一个新的证书撤销列表CRL D.Key strength is no longer safe against brute force attacks 密钥长度在对抗暴力破解攻击时不再安全 D 153.Which of the following is the BEST type of outsourcing agreement? 下面哪个是外包协议的最好的形式？ A.Face-to-face dialogue between chief executive officers 首席执行官之间面对面的对话 B.A Service Level Agreement (SLA) between two organizations 两个组织之间的服务水平协议 (SLA) C.A document that proposes the division of responsibilities between two organizations 两个组织之间的职责分工文档 D.A Business-to-Business (B2B) agreement between two parties 双方之间的B2B协议 B 154.The aggregation problem in database design occurs when 数据库设计时什么情况下会发生聚合问题？ A.an item that is not sensitive by itself but when combined with common knowledge is sensitive. 一个条目本身是不敏感的，但当它与常识相结合时，是敏感的。 B.two or more different items that are not sensitive individually but when combined become sensitive. 两个或更多条目单个本身是不敏感的，但当结合在一起是就变得敏感了 C.two or more instances of the same item that are not sensitive individually but when combined become sensitive. 同一个条目的两个或多个实例是不敏感的，但当结合起来就变得敏感了 D.one instance of the item is classified higher than another instance of the same item. 条目的一个实例比同一个条目的另一个实例的安全级别高 B 155.Given the following: 根据下面 D = Number of devices D=设备数量 T = Time spent fixing each device T=维修每个设备的时间花费 C = Hourly rate for the time spent C=每小时费率 I = Vulnerability impact I=漏洞影响 P = Probability of vulnerability exploitation P=漏洞利用的可能性 Which of the following equations determines the cost of recovery? 下面哪个公式决定了恢复成本 A. D * T * C B. D * P * C C. T * I * P D. T * C * P A 156.封装安全载荷 (ESP) 能提供？ A. 可用性和完整性 B. 完整性和机密性 C. 授权和完整性 D. 授权和机密性 B 157.组织是否必须向监管部门报告所有数据违规？ A. 组织的道德规范不一定要求必须报告 B. 只有产生重要影响的违规才需要报告 C. 不同的司法管辖有不同的要求 D. 如果数据是加密的，就不需要报告 C 158.临时密钥完整性协议(TKIP) 用于解决以下哪一项的不足？ A. WEP有线等效保密 B. PKI公钥基础设施 C. VPN虚拟专用网络 D. Kerberos 认证协议 A 159.使用安全验证和日志能够提供？ A. 职责分离 B. 可问责 C. 独立审计 D. 数据完整性 B 160.基于角色的访问控制 (RBAC) 的重要特征是： A．依赖于岗位轮换 B．简化了访问权限管理 C．需要双因素验证 D．支持强制访问控制 (MAC) B
    • 158
      • 无线安全
        • WEP
          • 采用RC4加密(不安全的) IV 初始向量 size 24bit ,容易攻破
        • WPA
          • TKIP(TKIP:Temporal Key Integrity Protocol负 责处理无线安全问题的加密部分。 以解决WEP保护的网络中遇到的安全问题)。IV 128bit, 比WEP更安全
        • WAP2-802.11i
          • CCMP替代TKIP 比WPA更安全
        • WAP3
          • Wi-Fi Protected Access 3 (WPA3) 于 2018 年 1 月定稿。 WPA3-ENT 使用 192 位 AES CCMP 加密，WPA3-PER 仍为 128 位 AES CCMP。 WPA3-PER 将预共享密钥身份验证（PSK）替换为同步对等身份验证(Simultaneous Authentication of Equals) (SAE)。 一些 802.11ac/Wi-Fi 5 设备率先支持或采用 WPA3。 SAE 仍然使用密码，但它不再加密并通过连接发送该密码以执行身份验证。 相反，SAE 执行称为 Dragonfly Key Exchange 的零知识证明过程，它本身 是 Diffie–Hellman 的衍生物。 该过程使用预设密码以及客户端和 AP 的 MAC 地址来执行身份验证和会话密钥交换。 WPA3 还实现了 IEEE 802.11w-2009 管理帧保护，因此大多数网络管理操作都 具有机密性、完整性、来源身份验证和重放保护。
        • 802.1x/EAP
          • IEEE 802.1X是IEEE制定的关于用户接入网络的验证标准。 802.1X协议在用户/设备接入网络 (可以是LAN，也可以是WLAN)之前进行验证， 运行于网络中的MAC层。
          • 由三部分组成:请求者(无线设备)、身份验证者 (AP)、身份验证服务器(RADIUS) 同身份验证架构和一个动态分发加密密钥的方法 使用EAP验证
        • LEAP
          • 私有
        • PEAP
        • EAP-TLS
          • 证书