CISSP精品模拟题二

本人在准备CISSP考试期间找到的精品模拟题，非常有价值。通过参与这套模拟题的练习，考生不仅能够熟悉CISSP考试的题型与难度，还能够查漏补缺，强化薄弱环节，为正式考试做好充分准备。预祝一位考生都能够在CISSP认证考试中取得优异成绩。

第二套模拟题

• 题
  • 1.以下哪一项是特权用户身份生命周期管理的重要措施？ A.基于多因素验证的账号访问管理 B.定期进行账号重新核验和审批 C.需要主管或部门经理提供账号信息 D.经常性地对账号日志进行审查
    • B 审批、创建、使用、核验、停用、撒销 provisioning，de-provisioning D.日志审查是重要的安全控制，但不属于用户身份生命周期管理
  • 2.应对垃圾搜寻攻击的最有效措施是？ A.购买碎纸机器 B.垃圾箱加锁 C.安全意识培训 D.安装闭路电视监控系统CCTV 3.文件传输协议FTP的安全漏洞是？ A.允许匿名登录 B.传输命令允许使用通配符 C.验证过程没有加密 D.使用了UDP传输端口 4.以下哪一个因素会影响数据分级？ A．定义敏感标签 B．不同的数据提取方法 C．时间的流逝 D．访问数据的频率
  • 5.使用通用漏洞评价体系CVSS进行代码评审时的主要问题是？ A.需要使用大量表格进行计算 B.需要预先定义有效的风险管理框架 C.漏洞评级的分级指标过于复杂 D.只能计算已公布的漏洞的风险 6.在制定信息安全方针时，方针应该是充分的、必要的，以及： A.可达成的 B.灵活的 C.强制的 D.可优化的
    • 5 C CVSS （Common Vulnerability Scoring System）是由 FIRST（事件响应与安全团队论坛）创建，并由美国国家漏洞库（NVD）保持数据日常维护更新的一套漏洞评价标准体系，主要目的是帮助行业衡量漏洞危害的严重程度，并指导行业进行漏洞修复。应用 CVSS 评分机制对新安全漏洞进行危害性评价时，通常会从基础维度（BaseMetric Group）、生命周期维度（Temporal Metric Group）和环境维度（Environmental Metric Group）进行评估，并生成一个0到10分之间的评分值来评估漏洞的严重程度。可以计算未公布的漏洞风险，切记
    • 6 A 指南是灵活的 标准和基线是强制的 都可以优化
  • 7.通信网络中端到端加密的特点是？ A．仅加密用户信息，不加密数据包头部、尾部、地址和路由信息 B．加密所有信息，包括用户信息、数据包头部、尾部、地址和路由信息 C．加密发生在数据链路层和物理层 D．加密发生在网络层 8.在环境温度发生变化的场所使用被动红外传感器时，应该？ A.提升被检测目标的温度，以区别背景温度 B.降低被检测目标的温度，以区别背景温度 C.不需要调整背景温度，被检测目标的温度和背景温度没有关系 D.在背景温度发生变化时，能够自动调整，补偿背景温度变化 9.以下哪一项是在进行安全测试和评估(ST&E)时对需求进行的正确分类？ A.观察、访谈、研讨 B.战略、战术、财务 C.标准、策略、步骤 D.管理、操作、技术 10.生日攻击针对的是下列哪一项？ A.分组密码 B.流密码 C.加密哈希 D.公钥基础设施PKI 11.使用双因素认证、服务器加固、采用IPsec VPN保护数据传输过程、进行日志审计，属于： A.保护数据完整性 B.保护数据机密性 C.保护数据可用性 D.纵深防御 12.以下哪一项是保护移动系统免受恶意代码攻击的有效对策? A.VPN B.沙箱 C.内存保护 D.数字证书 13.用于了解系统脆弱性的评估指标是？ A.识别系统中的安全缺陷数量 B.定量分析系统受到的威胁数量 C.攻击面分析得出的系统可用性指标 D.系统发生故障后的损失程度 14.发现交易系统的交易金额超过了预先设置的上限，触发SCARF (系统审计复核文件) 记录。这属于哪种控制？ A.预防性控制 B.检测性控制 C.纠正性控制 D.补偿性控制 15.版权保护的是？ A.新的发明 B.文学作品所表达的思想 C.思想的具体表述 D.发现的科学现象 16.以下哪一项是网络入侵检测技术: A.端口扫描 B.网络欺骗 C.统计异常 D.协议分析 17.安全经理在组织的网络中发现了基于客户端的攻击。以下哪一项是组织制定计划降低基于客户端的攻击的最佳理由？ A.客户端的加固比服务器端的加固更容易 B.客户端的特权管理比服务器端的特权管理更薄弱 C.客户端的攻击比服务器端的攻击更常见且更易实施 D.客户端的攻击会造成更大的财务损失 18.内核或者介质出现意外故障而常规的恢复程序不能使系统恢复到一个更为稳定的状态时，发生的启动为： A.紧急系统重启 B.可信恢复 C.冷启动 D.旁路重启
  • 19.安全经理评估采购的新系统时发现，在系统规格说明书中有一些安全因素没有被考虑到。这最有可能是因为？ A.安全需求的描述不够充分 B.供应商招标团队中缺乏安全专家 C.采购人员缺乏技术知识 D.采购过程中安全需求发生了变化
    • 19 A 是主要的原因，D只是原因之一
  • 20.以下哪一项包含的是针对口令的攻击？ A.暴力破解、动态口令、生物特征重放 B.色拉米、SYN洪泛攻击、死亡之ping C.字典攻击、钓鱼、键盘记录 D.彩虹表、泪滴攻击、战争拨号 21.一家公司需要让其众多员工能够在自己家中通过电脑访问公司的资源，以下哪一项以易于部署和较小的维护成本提供了安全保障？ A.使用IPsec VPN B.使用TLS VPN C.使用基于PKI的数字证书 D.使用SESAME双向身份认证系统 22.组织进行道德意识灌输以及实施相关方针。这样做的主要原因是应为这会影响？ A.员工的保留率 B.员工的士气 C.组织的声誉 D.组织的工作流程 23.在应用开发过程中的SwA(software assurance软件保障)用于？ A.防止产生易受攻击的软件 B.鼓励开发开源软件 C.有助于生成可信计算基(TCB)系统 D.有助于生成高可用性的系统 24.企业数据保护策略中定义的数据保留期限根据的是？ A.业务规程 B.应用停用 C.法规合规 D.数字证书到期 25.应对SQL注入攻击的有效手段是？ A.加密web服务器的流量 B.实施服务器端过滤 C.在边界防火墙过滤传出流量 D.加密服务器间通 26.配置域名服务系统(DNS)的一项重要安全实践是？ A.禁用所有在域名服务器上的递归查询 B.仅限区域传送到被授权的设备 C.阻止所有TCP连接 D.配置备用服务器作为主服务器的区域传送者 27.基于最佳实践，以下哪一项是进行信息安全合规审计的最佳人选？ A.灾难恢复小组 B.安全管理员 C.系统管理员 D.外部顾问
    • 23
      • 软件保障SwA
        • 软件保障(Software Assurance,SwA)指对软件免于存在漏洞(无论是有意设计到软件中的漏洞还是在其生命周期中的任何时候意外插入的漏洞)以及软件按预期方式运行的信心水平。
        • 软件保障SwA所讨论的对象应该包含任何来源的软件，包括自研、外包或采购的。但在备考CISSP的语境下，SwA主要涉及软件采购的场景，描述了为了达到上述信心水平的软件采购过程的4个阶段：
          • 1、计划planing阶段： (1)确定获取软件服务或产品的需求，识别潜在的备选软件方案，并识别与这些备选方法相关的风险。 (2)开发软件需求(包括SwA需求)，作为工作说明书的一部分； (3)创建采购策略和/或计划，包括识别与各种软件采购策略相关联的风险； (4)制定评估标准和评估计划，评估应是客观、专业的独立测试independent testing。 2、合同Contracting阶段 (1)创建/发布招标或RFP，包括工作说明、报价人/供应商说明、条款和条件(含验收条件)、资格预审和证明； (2)评估响应招标或RFP而提交的建议书(就是评标啦)； (3)完成合同谈判，正式确认条款和条件的变更，并授予合同。 3、监控和验收Monitoring&Acceptance阶段 (1)建立并同意(consenting)合同工作进度表；（consenting是非常正式的知情同意哈，手术前那份同意书就是这个词） (2)实施变更(或配置)控制程序； (3)审查并接受软件交付成果。 4、后续follow-on阶段 (1)支持sustainment，包括风险管理、保证案例管理和变更管理；(考虑从软件供应方得到的支持，而不是甲方自己的运维) (2)处置或退役。
    • 25
      • 各种攻击的防御：
        • 防范缓冲区溢出的方法包括： 保护缓冲区：通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码。‌ 编写安全的代码：程序员在编写代码时，应注意检查和限制用户输入的长度和格式，避免数据超出缓冲区的范围。‌ 利用编译器的边界检查（输入验证）：使得缓冲区溢出不可能出现，从而完全消除缓冲区溢出的威胁。 使用安全编程工具和技术：如地址空间布局随机化，增加程序的抵抗能力。
        • XSS： 限制输入长度和类型：对于用户提交的任何数据，都应严格限制其长度和类型，防止攻击者插入过长的恶意脚本或尝试绕过验证。特殊字符过滤：对于像<, >, &, "等可能导致HTML或JavaScript代码执行的特殊字符，应进行严格的过滤或转义处理。 白名单验证：采用白名单机制，只允许已知的、安全的字符或格式通过验证，任何不在白名单内的内容都应被拒绝。 设置安全HTTP响应头：X-Content-Type-Options: nosniff：这个响应头可以防止浏览器猜测响应的MIME类型，从而减少潜在的XSS风险。 Content-Security-Policy (CSP)：CSP可以限制页面可以加载和执行的外部资源，防止恶意脚本被注入或执行。开发者应设置严格的CSP策略，仅允许可信的来源加载资源。 使用HttpOnly属性的Cookie：将Cookie设置为HttpOnly属性，这样JavaScript就无法访问它，从而防止攻击者通过XSS攻击窃取Cookie。 开发者应定期更新应用程序及其依赖的库和框架，以确保利用已知漏洞的攻击无法成功。同时，应密切关注安全公告和漏洞信息，及时修补已知的安全漏洞。 教育和培训：对开发人员进行Web安全培训，提高他们的安全意识，使他们了解并遵循最佳的安全实践。 使用Web应用防火墙（WAF）：WAF可以帮助检测和拦截潜在的XSS攻击。它可以分析请求和响应数据，查找恶意代码或攻击模式，并进行拦截或告警。
        • CSRF： 防范CSRF攻击的措施主要包括使用随机令牌、‌利用HTTP请求头Referrer进行白名单判断、‌增加安全的token、‌增加安全的验证码、‌实施安全的逻辑流程等。‌ 使用随机令牌：‌在每次向目标网站发送请求时，‌携带一个随机生成的令牌(Token)。‌目标网站在处理请求时会校验该令牌的有效性，‌如果无效则拒绝请求。‌这种方法可以防止攻击者伪造有效的令牌，‌从而避免CSRF攻击1。‌ 利用HTTP请求头Referrer进行白名单判断：‌通过检查HTTP请求头中的Referrer字段，‌可以区分请求是否从合法的页面发出。‌如果Referrer在白名单内，‌则允许请求通过。‌这种方法在浏览器环境下是安全的，‌因为浏览器默认带上Referrer字段，‌而JavaScript无法修改它。‌但需要注意，‌写操作时Referrer可能为空，‌需要实施额外的安全措施。‌ 增加安全的token和验证码：‌对敏感信息的操作增加安全的token和验证码，‌可以增加攻击的难度，‌因为攻击者需要获取这些额外的验证信息才能成功发起攻击。‌ 实施安全的逻辑流程：‌例如，‌在修改密码时，‌需要先校验旧密码等安全措施，‌以确保操作的合法性
        • SQL注入： CARROT &1=1;-- 防范SQL注入的关键方法包括‌参数化查询、‌输入验证、数据清理和‌多层验证。 参数化查询：这是防止SQL注入的最基本和最有效的方法。通过预编译的SQL语句，将参数与查询分开处理，可以有效地防止攻击者注入恶意SQL代码。在书写SQL语言时，应禁止将变量直接写入到SQL语句中，必须通过设置相应的参数来传递相关的变量。‌ 输入验证和清理：对用户的输入进行严格的验证和过滤，只接受预期的输入。这包括过滤掉不安全的输入数据，或采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。‌ 多层验证：对访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。 前端验证：虽然主要防御应在后端实施，但前端也可以通过正则表达式识别非法输入，直接拒绝提交，作为前置的预防方案。‌ SQL注入 是用于处理前端（通常是Web服务器）和后端数据库之间交互的脚本的一个漏洞。如果脚本是防御性的，并且包含要转义（作废或拒绝）元字符的代码，将无法进行SQL注入。 LDAP注入 是输入注入攻击的一种变体；但攻击重点是LDAP目录服务的后端而不是数据库服务器。如果Web 服务器前端使用脚本根据用户的输入来生成LDAP 语句，则LDAP 注入可能是一种威胁。输入净化和防御性编码对于消除这种威胁至关重要。 XML注入 是SQL注入的另一种变体，其中后端目标是XML应用程序。同样，输入净化是消除这种威胁所必需的。XML利用 是一种编程攻击的形式，用于伪造发送给访问者的信息，或者导致他们的系统在未经授权的情况下泄露信息。 SQL主要防御方法 选项1：使用预处理语句（带参数化查询） 选项2：使用存储过程 选项3：白名单输入验证 选项4：转义所有用户提供的输入 选项5：黑名单输入过滤
        • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。 攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
  • 28.需要刷感应卡才能进入某个办公区域，这属于哪种控制？ A.物理控制 B.技术控制 C.行政控制 D.流程控制 29.在一家金融机构，谁对信息的分级负责？ A.首席信息官CIO B.首席财务官CFO C.信息的所有者 D.各部门领导 30.以下哪一项是对RTO恢复时间目标的恰当描述？ A.灾难发生后恢复数据的时间 B.灾难发生后恢复应用的时间 C.灾难发生后验证数据的时间 D.灾难发生后验证应用的时间 31.在DRP恢复过程中，备用站点关键系统的服务性能只有主站点的一半，但团队仍然通知管理层已恢复了关键系统。这是因为团队已经实现了： A.RPO 恢复点目标 B.RTO恢复时间目标 C.SDO服务交付目标 D.MTD可承受的最长中断时间 32.以下哪一项是目录服务在TCP/IP上的实现？ A.X.500 B.X.509 C.目录访问协议 DAP D.轻量目录访问协议 LDAP 33.以下哪一项在云计算环境下更难控制？ A.数据备份 B.数据恢复 C.数据处置 D.数据访问 34.遵循支付卡行业数据安全标准(PCI DSS)的组织在与其服务供应商共享持卡人信息时必须？ A.定期验证服务提供商遵循PCI DSS 合规的状态 B.对服务提供商进行年度PCI DSS评估 C.确保服务提供商按照PCI DSS要求更新和测试DRP D.验证服务供应商的安全策略和企业的安全策略保持一致
    • 28 A 刷卡进入办公区域还是物理控制，刷脸开机是技术控制
    • 30 B ‌RTO（Recovery Time Objective）是指灾难发生后，从‌IT系统宕机导致业务停顿之刻开始，到IT系统恢复至可以支持各部门运作，业务恢复运营之时，此两点之间的时间段。 RTO是灾难恢复计划中的一个重要考虑因素，它定义了企业在面对灾难时的最大可承受停机时间。
    • 31 C 备用站点的服务级别叫SDO，通常低于主站点的SLA 服务交付目标 (SDO) 与业务需求直接相关，是恢复正常状况之前在备用流程模式期间所要达到的服务等级。SDO 是在 RTO 期间可接受的服务等级。
    • 32 D
      • LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）是一种基于TCP/IP的应用层协议，用于访问和维护分布式目录信息。它是X.500标准目录访问协议的一个简化版本，专为广域网设计，以提供快速的读取访问。 X.500标准目录访问协议（Directory Access Protocol, DAP） DAP是国际电信联盟电信标准化部门（ITU-T）提出的一套标准，它属于X.500系列标准的一部分。X.500标准旨在定义一个全球范围内的目录服务框架，使得组织能够在一个统一的结构中存储和检索有关实体（如个人、组织单元、设备等）的信息。 X.500架构概述： 目录模型：X.500使用一个分层的目录模型，这个模型类似于文件系统中的目录结构，但更复杂，支持多父节点和复杂的属性。 目录系统代理（DSA）：DSA是目录服务的核心组件，负责存储目录信息，并处理来自目录用户代理（DUA）的请求。DSA可以与其他DSA通信，形成一个分布式的目录网络。 目录用户代理（DUA）：DUA是与DSA通信的客户端，它可以是任何需要访问目录服务的应用程序或用户界面。 目录访问协议（DAP）：DAP定义了DUA与DSA之间的通信规则，包括如何查询、更新和管理目录信息。 DAP的特点： 复杂性：DAP提供了非常全面的功能，包括复杂的查询语言和事务处理能力，这使得它在功能上非常强大，但同时也增加了实现和使用的复杂度。 效率：DAP最初的设计考虑到了大型企业级应用的需求，因此在效率和扩展性方面表现良好。 标准化：作为一个国际标准，X.500和DAP确保了不同供应商和不同地理位置之间的互操作性。 DAP的复杂性和对资源的要求使其在早期互联网上的普及受到限制。因此，后来发展出了轻型目录访问协议（LDAP），它是DAP的简化版本，旨在降低资源消耗并提高在互联网环境中的可用性。 LDAP保留了X.500的基本概念和目录模型，但是简化了协议栈，去除了许多复杂的功能，使之更适合在广域网中高效运行。如今，LDAP已经成为最广泛使用的目录服务协议之一，尤其在企业网络和互联网服务中。 特点： 层次结构：LDAP使用树状结构存储数据，每个节点可以有多个子节点。 属性定义：每个目录对象都有一个唯一标识符（DN, Distinguished Name），并可以拥有多个属性。 查询功能：支持复杂的查询语言（如LDAP过滤器），允许用户进行精确或模糊搜索。 安全性：支持SSL/TLS加密，确保数据传输的安全性。 可扩展性：支持自定义属性和对象类，易于扩展以满足特定需求。 应用场景： 1. 企业身份管理：LDAP常被用作企业内部的身份管理系统，存储员工的详细信息（如姓名、邮箱、部门等），并作为统一的认证源，支持单点登录（SSO）。 2. 资源权限控制：在大型网络环境中，LDAP可以用来控制对各种资源的访问权限，如文件系统、网络服务等。 3. 配置管理：用于存储和管理设备配置信息，如网络设备的设置参数。 4. 邮件系统：许多邮件服务器使用LDAP来存储用户账号信息，以便于查找和管理。 5. 教育机构：大学和研究机构常用LDAP来管理学生、教师和员工的信息，以及实验室和图书馆资源的访问权限。 6. 云服务提供商：提供多租户环境下的用户管理和权限控制。 注意事项 确保LDAP服务器的安全性，例如使用LDAPS（LDAP over SSL）。 对于大规模部署，考虑使用更专业的SSO解决方案，如OAuth2或SAML，它们通常提供了更丰富的功能和更好的安全性。
    • 33 C 一般存储数据的设备都是云计算供应商的，所以很难处置 一般都是用加密粉碎方式处置
    • 34 A A比D更好，因为D可能对多家企业提供服务，不一定都符合每家企业的策略
  • 35.此图展示的是哪种RAID ？ A.RAID 1 B.RAID 0 C.RAID 10 D.RAID 01
    • 各种raid
  • 36.嵌入式系统在没有采取恰当的信号保护的情况下最容易遭到以下哪种攻击？ A.拒绝服务攻击 B.篡改 C.暴力破解 D.信息泄漏
    • 36 D D是主要的风险
  • 37.恢复点目标RPO可用于确定以下哪一项？ A.恢复备份的时间 B.可承受的最长数据丢失时间 C.可承受的最长停机时间 D.运营恢复能力的基准指标 38.以下哪一项加密保护了在网络中传输的敏感数据？ A.点对点协议 B.验证头部 C.载荷加密 D.加密哈希 39.有人值守的机房，灭火用？ A.惰性气体 B.二氧化碳 C.干管 D.湿管 40.关系型数据库，范式化程度越高，则： A.冗余度越高 B.检索速度越快 C.完整性越好 D.机密性越好
  • 41.WRT (工作恢复时间) 这段时间内的工作内容最有可能涉及以下哪份文档？ A.COOP持续运营计划 B.DRP 灾难恢复计划 C.BRP 业务恢复计划 D.OEP 场所应急计划
    • 41 C BRP记录了机构业务处理在备用站点的继续规程。与BCP不同，BRP不涉及在中断期间对处理的维持。
  • 42.PKI在什么情况下产⽣交叉数字证书? A.当CA需要获得根CA认证时 B.当CA需要认证RA时 C.当CA之间需要互相认证时 D.当数字证书在CA之间进⾏传输时 43.DRP测试中，停用主站点业务，将生产切换到备用站点运行的测试是： A.并行测试 B.全面测试 C.模拟测试 D.准备情况测试 44.在关键Web服务器中发现重大安全漏洞时，应该立即通知： A.系统所有者以采取改正行动 B.事故应对团队以进行调查 C.数据所有者以降低损害 D.Web应用开发团队以进行补救 45.为了给客户提供更快的查询，数据库管理员删除了引用完整性，以下哪项能够弥补删除引用完整性所带来的问题? A.定期检查表的链接 B.定于语义完整性约束规则 C.更加频繁的备份数据 D.对数据库实施性能监控 46.一家公司扣押了一个涉嫌欺诈的移动设备。取证人员使用什么方法将通电设备与网络隔离并保存证据？ A.取出SIM卡 B.将设备置于飞行模式 C.暂停在电信提供商的帐户 D.关闭设备
    • 43
      • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练； 另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
    • 45
      • 实体完整性：是用来唯一标识实体的要求（即现实世界中唯一存在的一个事物、人或个体）。不能为空，需要唯一确认，表示的是这一条记录的实体的完整唯一，通常用主键描述，不能为空且不重复。 参照完整性：它表示的是两个关系之间的联系，是表与表之间的引用。对应的就是外键，外键约束实现参照完整性。 数据库语义完整性是指数据库中数据的正确性和相容性，‌确保数据符合现实世界的语义和逻辑，‌防止数据库中出现不合语义的数据。‌这一概念涉及到数据的正确性、‌有效性和一致性，‌通过数据库管理系统（‌DBMS）‌的完整性约束来实现。‌
    • 46
      • 开机不关，关机不开，以免破坏证据链
  • 47.以下哪一项是评估组织漏洞管理计划有效性的最佳方法？ A.检查自动补丁部署报告 B.定期第三方脆弱性评估 C.由安全小组进行漏洞扫描 D.自动漏洞扫描
    • 47 B 第三方最具有独立性
  • 48.何时必须审查组织的信息安全战略计划？ A.主要应用发生重大变化时 B.业务发生重大变化时 C.每季度，当组织的战略计划更新时 D 每三年更新一次组织的战略计划 49.介质Marking和Labeling有什么区别？ A.Labeling指公共政策/法律要求的安全属性，Marking指组织内部政策要求的安全属性 B.Marking指公共政策/法律要求的安全属性，Labeling指组织内部策略要求的安全属性 C.Labeling指使用人类可读的安全属性，Marking指在内部数据结构中使用安全属性 D.Marking指使用人类可读的安全属性，Labeling指在内部数据结构中使用安全属性 50.使用原始轻量目录访问协议 (LDAP) 进行身份验证时，以下哪项是最大的弱点？ A.服务器响应中不包括授权 B.在网络上传递未添加盐的哈希 C.身份验证会话可以被重放 D.密码以明文形式传递 51.在确定谁可以接受与漏洞相关的风险时，以下哪项最重要？ A.信息所有权 B.对策有效性 C.潜在损失类型 D.事故可能性 52.以下哪种机制可以防止跨站请求伪造 (CSRF) 攻击？ A．参数化数据库查询 B．白名单输入值 C．同步会话令牌 D．使用强加密 53.基于行为的入侵检测系统，如果报警阈值设置得过高容易导致： A．无法应对零日攻击 B．无法阻断已识别出的攻击 C．误报 D．漏报 54.关于KryptoKnight以下哪项描述是不正确的： A．是提供SSO单点登录、身份验证和密钥分发服务的系统 B．依赖于一个知道所有主体/客体密钥的可信KDC来管理密钥和密钥分发 C．KDC和需要认证服务的主体/客体使用当前时间, 依赖时钟同步 D. KDC和需要认证服务的主体/客体在结构上是Peer-to-Peer(对等)的 55.RBAC访问控制模型重点关注的是： A．标识 identification B．验证 authentication C．授权 authorization D．问责 accountability 56.某企业最近研发出一种可带来重大竞争优势的突破性技术。以下哪一项最先用于指导企业内部如何保护此信息？ A.加密标准 B.访问控制政策 C.数据分类政策 D.可接受使用政策 57.以下哪一项能最有效降低字典攻击的风险？ A.实施密码历史记录 B.加密访问控制列表 C.使用密码短语 D.使用硬件令牌
    • 49 Marking指使用人类可读的安全属性，Labeling指在内部数据结构中使用安全属性
    • 50 D 记住
    • 54 C 记住
      • Broker-Based SSO 的方案
        • Kerberos Kerberos v5 是业界的标准网络身份验证协议，该协议是在麻省理工学院起草的，旨在给计算机网络提供"身份验证"。Kerberos协议的基础是基于信任第三方，如同一个经济人（broker）集中的进行用户认证和发放电子身份凭证，它提供了在开放型网络中进行身份认证的方法，认证实体可以是用户或用户服务。这种认证不依赖宿主机的操作系统或主机的IP地址，不需要保证网络上所有主机的物理安全性，并且假定数据包在传输中可被随机窃取篡改。 Kerberos协议具有以下的一些优势： 与授权机制相结合； 实现了一次性签放的机制，并且签放的票据都有一个有效期； 支持双向的身份认证，既服务器可以通过身份认证确认客户方的身份，而客户如果需要也可以反向认证服务方的身份； 支持分布式网络环境下的认证机制，通过交换"跨域密钥"来实现。
        • Sesame Sesame, 代表欧洲安全多环境应用系统（Secure European System for Application in Multivendor Environment）。是一个欧洲团体安全项目，被认为是一种欧洲版本的Kerberos。Sesame是建造在GSS-API上，提供单点登录服务和的在分布式环境中的数据安全性。尽管Sesame与Kerberos基于同样范例，但它们不是一对一的复制，而是在原有的设计中增加了一些新的特性。这些包括 异种环境， 访问控制， 可扩展的公钥系统， 更好的可管理性， 审计， 委托授权。 在Kerberos中，用户首先到一个认证服务器认证自己。从认证服务器获得标识在呈现给其他服务器以获得访问最终应用系统的授权。而在Sesame中，这些服务器被统称为特权属性服务器。从一个特权属性服务器，用户获得特权属性证书，最后把访问权利给需要的服务。
        • IBM KryptoKnight KryptoKnight是IBM公司的一种类似于Kerberos的鉴别和密钥分配系统。它是一种秘密密钥协议并使用DES-CBC模式或MD5增加版。支持四项保密功能： 用户鉴别 双方鉴别 密钥分配 数据源和数据内容的鉴别。 它和Kerberos的区别在于 采用单向散列函数鉴别和加密票据 不依靠同步时钟，而使用当前时间 如果甲试图和乙通信，可以允许甲发一条消息给乙，然后乙初始化密钥交换协议。 KryptoKnight极大的优化了消息数量，长度和加密的数量，而且不仅支持IP协议也支持其他通信协议如NetBIOS协议。
        • 可实施性 Broker-based解决方案的主要的问题，例如Kerberos，是确定现有哪些应用程序需要被修改的，或"kerberized"以接受票据，而对于旧系统的改造，是项艰巨的工作。 管理 集中式的管理是在Broker-based解决方案的主要好处，一个中央数据库易于进行管理。 安全性 一个Broker-base的解决方案的设计实现安全的实际水平，取决于实施。Kerberos存在有若干安全上的争论。 旧的鉴别码有可能被存储和重用。尽管时间标记可用于防止这种攻击，但在票据有效时间内仍有风险。典型的票据有效时间是八小时。 鉴别码还基于一个假设，即网络中的所有时钟基本是同步。如果能够欺骗主机，使它的正确时间发生错误，就的鉴别码则能够被重放。大多数网络时间协议是不安全的，因此将可能导致严重问题。 在Kerberos中的认证仅仅基于口令, 这样使系统在口令猜测面前显得很脆弱。攻击者收集到大量的票据，则会有很大的可能性找到口令。 最严重的是，Kerberos假设Client已被信任，而恶意的Kerberos软件可以完成Kerberos协议并记录口令来替代所有客户的Kerberos应用。任何一种安装在不安全的计算机环境中的密码软件都会面临这样的问题。 和Kerberos一样，Sesame有一样的脆弱, 也就是口令猜测攻击的危险。 KryptoKnight在密码技术上的改进应该使了它比 Kerberos 更安全。 加强Kerberos的工作包括使用PKI技术和密钥管理中心的智能卡接口。 使用性 在集中式的模型管理中，容易受到批评的是如果认证服务器宕掉，则所有的应用，所有的用户都会受到影响。
    • 55 访问控制模型关注的都是授权
    • 57 D D不会产生弱密码
  • 58.以下哪一项不是敏捷开发中通常定义的角色？ A．产品经理 B．项目经理 C．敏捷教练 D．开发团队 59.当数据泄漏源是包含敏感文档的未标记文件柜时，以下哪项最有可能导致非恶意数据泄漏？ A．无效的数据分类 B．缺乏数据访问控制 C．身份管理控制无效 D．缺少DLP数据防泄漏工具 60.以下哪一项是政策未充分确定数据和系统所有权会导致的最大风险？ A．可能导致审计建议无法实施 B．导致无法建立明确的用户问责 C．可能无法进行有效的用户管理协调 D．未授权用户可能获得访问、修改或删除数据的权限 61.以下哪一项最能有效缓解控制风险？ A．持续监控 B．有效的安全意识计划 C．有效的变更管理程序 D．高级管理层支持控制实施 62.安全评估可以获取到的最高级别文档是： A．操作手册 B．政策 C．标准 D．指南 63.员工被辞退第一步干什么 A. 清除系统和应用访问权限 B. 监离公司 C. 退还公司财产 D. 收回物理访问权限
  • 64.在一份漏洞评估报告中，以下哪一个是最常见的风险最大的问题 A. 发现开放了tcp 443端口 B. 使用没有许可证的软件 C. 使用已经不再维护的操作系统 D．防火墙的默认规则为拒绝 65.如果企业要把联合身份扩展到云目录，需要什么 A. 共享安全 B. 安全令牌 C. 同步工具 D. 通知工具
    • 64 B 没有许可，就是license的，会面临诉讼风险，最严重
    • 65 C 书中原话，记住
  • 66.一个中心多个分支部署软件，安全管理员把消息摘要从签名里分离出来是为了什么 A. 对抗生日攻击. B. 应该给用户原始的源代码 C. 应确保给用户安装的代码跟开发的源版本一致 D. 获得授权的用户才能进行数字签名 67.什么是疏散总时间？ A. 发出火警，到火警解除 B. 激活BCP，到备用站点准备就绪 C. 发出集结指令到全部到达指定位置 D. 向高层汇报，到发出集结指令 68.封装安全载荷协议 (ESP) 不能提供 A．机密性 B．完整性 C．数据源验证 D．抗抵赖 69.对已关机的计算机，取证时最好的处理方式是： A．把相关文件复制到备份盘 B．重新开机，用专用取证工具取证 C．把硬盘拆除后带走 D．把计算机搬到实验室 70.在消防演习中，指定的门按计划旋转打开，以便员工更快地离开大楼。观察员注意到，此做法可让未授权人员进入公司而不被发现。改变此流程的最佳方式是： A．发生火灾时限制指定的门自动打开 B．发生火灾时将指定的门设置成fail-secure C．要求员工离开大楼时出示证章 D．分配专人在警报响起后守门
  • 71.下面是哪种风险分析方法的示例？ A. 定量 Quantitative B. 定性 Qualitative C. 分级 Classification D. 分类 Categorize
    • 71 B 风险矩阵图，是风险矩阵法（Risk Matrix）使用过程中所参照的图表，风险矩阵法是一种能够把危险发生的可能性和伤害的严重程度综合评估风险大小的定性的风险评估分析方法。它是一种风险可视化的工具，主要用于风险评估领域。
  • 72.IDaaS的关键特征是： A． IGA 身份治理和管理 B． 虚拟化 C． 容器化 D． OpenID 73.图形验证码 (CAPTCHA) 能防什么？ A. 击键记录 B. 网络钓鱼 C. DOS D. 恶意软件感染 74.以下哪种措施最可以有效地确认邮件在传输过程中未被修改？ A. 使用对称加密方法加密邮件 B. 用发送者公钥加密邮件哈希值 C. 用接受者公钥加密邮件哈希值 D. 用发送者私钥加密邮件哈希值 75. SSH不提供： A．可用性 B．压缩 C．完整性 D．机密性 76.哪种加密算法可以定义在任何循环群G上，其安全性取决于G上的离散对数难题。 A． RSA B． ECC C． Diffie-Hellman D． ElGamal 77.以下哪种 EAP 基于数字证书进行验证？ A． EAP-MD5 B． EAP-PSK C. EAP-GSS D． EAP-TLS 78.使用OAuth2.0进行验证时，用户为了访问储存在第三方应用中的数据时，需要向第三方应用提供？ A.口令 B.用户名 C.用户名和口令 D.访问令牌 79.选择控制措施需要执行以下哪项分析？ A.可行性分析 B.数据分析 C.成本效益分析 D.业务影响分析 80.802.1X 协议为以下哪一项提供了框架？ A.有线网络和无线网络的网络验证 B.仅无线网络的网络验证 C.使用AES的无线网络加密 D.使用TLS的无线网络加密 81.以下哪一项是对集成的电子邮件加密系统的替代方案： A.以附件的形式对敏感信息进行加密 B.将敏感信息分成多个邮件发送 C.对包含敏感信息的邮件进行数字签名 D.将要发送的敏感信息保存在加密的硬盘分区中 82.以下哪一项属于对系统的紧急变更的要求： A.必须立即实施变更并在系统日志中留下标记 B.必须立即执行变更然后提交给变更控制委员会 C.必须快速进行测试和口头批准 D.必须在下一次变更控制委员会的会议上优先讨论 83.以下哪种灾难恢复计划的测试最有效且风险最小： A.结构化穿行测试 B.模拟测试 C.全面中断测试 D.并行测试 84.PLC (可编程逻辑控制器)与以下哪一项最相关？ A.参考监视器 B.操作系统内核 C.中央处理器CPU D.工业控制系统 85.以下哪个是静态验证协议？ A. RIP B. PPTP C. PAP D. CHAP
    • 72
      • IDaaS 统一账号管理 Account IDaaS 提供统一的用户目录，通过可信单一数据源（SSoT）可将企业不同系统的数据进行统一整合和管理，同时又可以基于「多租户」架构，实现相同应用、系统中不同租户间的数据隔离，让每个租户的管理员都可以管理租户下的资源。 统一身份认证 Authentication IDaaS 支持不同域下应用和系统统一认证集成，并提供单点登录能力，用户通过一个统一的登录门户，仅需认证一次，即可访问所有被授予访问权限的业务系统。同时在不同业务系统中，用户会跟随权限设置自动切换对应角色和权限。通过打通不同应用间的身份信息以及授权管理系统提供的权限信息，可以有效消除应用间的数据壁垒，释放生产力。 统一授权管理 Authorization IDaaS 可以提供多种权限模型供不同业务需求的企业选择，并对开发者提供策略模型的 API/SDK 来保证集中管控和满足未来业务需求的灵活扩展性。目前被市场广泛采用的是基于角色的访问控制（RBAC）以及基于属性的访问控制（ABAC）。 统一应用管理 Application 强大的 IDaaS 系统支持所有标准协议来满足不同应用的集成，同时会预集成足够多的应用软件来降低企业的集成应用的成本。IDaaS 会提供标准的集成规范，并针对不同协议系统提供详细的接口说明，满足企业现有业务需求的同时保障未来新业务系统能规范化的集成与管理。包括提供 ASA（表单代填）的方式来帮助企业集成打通老旧系统。 统一审计管理 Audit 完善的审计日志是企业保障合规性的前提，IDaaS 提供可视化的行为日志以便管理员快速获悉用户在平台中的行为数据，支持自定义监听用户事件，帮助管理员实时掌握访问报告、授权信息等。可靠的 IDaaS 服务提供商应该满足 ISO/IEC 20000-1 、等保三级、欧盟 GDPR 数据保护等认证。
    • 83
      • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练； 另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
  • 86.WEP容易受到哪种攻击： A. 密钥恢复 B. 字典攻击 C. 暴力破解 D. 彩虹表攻击
    • 86 A 在WEP发布的4年后的2001年，Scott Fluhrer, Itsik Mantin 和 Adi Shamir 首次提出了对 RC4的密钥恢复攻击（FMS攻击），这种攻击利用特定易受攻击的IV（弱IV）来恢复密钥，弱IV 会导致高概率泄露密钥信息。不过这种攻击并不高效，如果捕获不到使用弱IV 的数据帧就需要等待，实际操作中需要捕获大约400万到600万个不同的帧才能恢复出密钥，破解一般需要几个小时。后续几年又有改进的破解方法，只需要捕获更少的帧就能恢复密钥。
  • 87.员工和来访人员要在涉密的办公区域工作，以下哪项作为强制控制？ A.由员工去接并带进来 B.禁止带书包 C.不允许在区域内讨论涉密内容 D.员工和来访人员都要出示ID卡 88.威胁建模 是 SDLC中哪个阶段的事 A. 设计 B. 开发 C. 需求分析 D. 实施 89.组织发布员工管理策略文件，上传到企业内网，并定期进行更新。这一做法的安全方面的顾虑是？ A.机密性 B.完整性 C.可用性 D.可问责性 90.对抗社会工程，需要 A. 改变个人行为 B. 评估安全培训 C. 提升员工士气 D. 宣传企业文化
    • 88
      • SDLC如何解决安全性问题？ 安全性是任何软件开发过程中的重要方面。然而，与传统的将安全性作为单独阶段来解决的软件开发不同，SDLC通过DevSecOps实践在整个过程中始终考虑安全性。 DevSecOps是DevOps的扩展，它强调在整个SDLC过程中整合安全评估。它确保软件从初始设计到最终交付都是安全的，并能够抵御任何潜在的威胁。在DevSecOps过程中，团队进行安全保证活动，如代码审查、架构分析、渗透测试和自动化检测，这些活动被整合进集成开发环境（IDE）、代码仓库和构建服务器中。 如何将DevSecOps整合到SDLC中？ 规划和需求分析：在这个阶段，确定安全需求和适当的安全选择，以减轻潜在的威胁和漏洞，并考虑使用哪些安全设计原则和最佳实践。 架构设计：开发团队使用安全设计原则和架构来考虑潜在风险。这个阶段涉及威胁建模、访问控制、加密机制和架构风险分析。 软件开发和测试：进行代码审查以确保软件符合代码标准，并实现安全控制。还进行安全漏洞测试，如渗透测试，以确定潜在问题。 部署：使用自动化的DevSecOps工具来提高应用程序的安全性。为了确保软件安全部署，配置防火墙、访问控制和安全设置。 维护：部署后安全性仍然存在。团队必须持续监控软件的安全漏洞。团队还需要根据需要更新软件，安装安全补丁和更新。
  • 91.以下哪一项评估DRP计划的测试使用了逼真的灾难场景，而且对业务运营的影响很小？ A.穿行测试 B.桌上推演 C.模拟测试 D.并行测试 92.IP源地址欺骗针对的是？ A.ARP地址解析协议 B.RARP 反向地址解析协议 C.基于地址的验证 D.SNMP简单网络管理协议 93.组织缺乏数据保留策略，找谁谈这方面的需求最合适？ A.数据库管理员 B.财务经理 C.隐私官 D.应用经理
    • 91 C 需要一个逼真的场景
    • 92 C
    • 93 C 应用经理不是业务经理，只负责IT应用
  • 94.以下哪项控制在跨网络传输中最能有效检测数据意外损坏？ A.顺序检查 B.校验数位 C.奇偶校验 D.循环冗余校验 95.WPA2使用的主要加密算法是？ A. TKIP临时密钥完整性协议 B. CCMP计数器模式密码块链消息完整码协议 C. RC4加密算法 D. IDEA 加密算法 96.管理评审为以下哪一项提供输入？ A.平衡计分卡 B.审计报告 C.改进计划 D.适用性声明 97.以下哪种解决方案基于 Gartner 定义的四个引擎而构建，分别是：工作流和协作、凭证和案例管理、编排和自动化以及威胁情报管理。 结合采用这些功能可以将人员、流程和技术融合在一起，进而提高 SOC 生产效率、缩短事件响应 (IR) 时间。 A.ISCM, 信息安全持续监控 B.SCARF，系统控制审计符合文件 C.SIEM，安全信息和事件管理 D.SOAR，安全协调、自动化和响应 98.一家由Tier 4 数据中心提供IT服务的公司正在准备全面的业务连续性计划。 IT经理应该关注以下哪些故障？ A. 应用 B. 储存 C. 电源 D. 网络 99.以下哪项关于服务组织控制 (SOC) 报告是正确的？ A. SOC 1 类型 2 报告评估组织控制的安全性、机密性、完整性和可用性 B. SOC 2 类型 2 报告包括服务组织管理层感兴趣的信息 C. SOC 2 类型 2 报告评估财务报告的内部控制 D. SOC 3 类型 2 报告评估财务报告的内部控制
    • 95
      • 无线安全
        • WEP
          • 采用RC4加密(不安全的) IV 初始向量 size 24bit ,容易攻破
        • WPA
          • TKIP(TKIP:Temporal Key Integrity Protocol负 责处理无线安全问题的加密部分。 以解决WEP保护的网络中遇到的安全问题)。IV 128bit, 比WEP更安全
        • WAP2-802.11i
          • CCMP替代TKIP 比WPA更安全
        • WAP3
          • Wi-Fi Protected Access 3 (WPA3) 于 2018 年 1 月定稿。 WPA3-ENT 使用 192 位 AES CCMP 加密，WPA3-PER 仍为 128 位 AES CCMP。 WPA3-PER 将预共享密钥身份验证（PSK）替换为同步对等身份验证(Simultaneous Authentication of Equals) (SAE)。 一些 802.11ac/Wi-Fi 5 设备率先支持或采用 WPA3。 SAE 仍然使用密码，但它不再加密并通过连接发送该密码以执行身份验证。 相反，SAE 执行称为 Dragonfly Key Exchange 的零知识证明过程，它本身 是 Diffie–Hellman 的衍生物。 该过程使用预设密码以及客户端和 AP 的 MAC 地址来执行身份验证和会话密钥交换。 WPA3 还实现了 IEEE 802.11w-2009 管理帧保护，因此大多数网络管理操作都 具有机密性、完整性、来源身份验证和重放保护。
        • 802.1x/EAP
          • IEEE 802.1X是IEEE制定的关于用户接入网络的验证标准。 802.1X协议在用户/设备接入网络 (可以是LAN，也可以是WLAN)之前进行验证， 运行于网络中的MAC层。
          • 由三部分组成:请求者(无线设备)、身份验证者 (AP)、身份验证服务器(RADIUS) 同身份验证架构和一个动态分发加密密钥的方法 使用EAP验证
        • LEAP
          • 私有
        • PEAP
        • EAP-TLS
          • 证书
    • 99
      • P563 SSAE-18:提供了通用标准审计，只需要开展一次第三方评估，不必进行多次第三方评估，组织可以与用户及潜在用户共享最终评估报告。 SOC1:评估可能影响财务报告准确性的组织控制措施 SOC2:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是保密的，通常仅通过保密协议对外共享。 SOC3:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是公开的。 I类报告：特定时间点的，不是持续性的。书面形式的检查，确保管理层的控制是合理和适当的 II类报告：一段时间的的，至少六个月，传统的审计。不仅检查文档还深入现场并验证。包含独立控制措施的测试。 类报II告包括对控制措施的独立测试。 类型I报告只是让服务组织自圆其说，控制措施已按照描述实现。
        • Type1，证明控制设计和实施有效（在某个时间有效） Type2，证明控制执行有效（在一段时间内有效运行） SOC1-Type1，证明组织的内部财务控制设计合理。 SOC1-Type2，证明这些控制已经有效的运作一定时间。 SOC2-Type1，提供当下的控制设计合理性证明。 SOC2-Type2，通过更长时间（通常一年）的观察确认控制的有效性。 SOC1报告涵盖财务报告， SOC2报告关注安全性，提供有关控制措施和他们可能遇到的任何问题的详细信息。 SOC2报告详细涵盖了业务合作伙伴、监管机构和其他类似组织的安全性、可用性、完整性和隐私的细节，SOC2报告通常不会提供给广泛的受众，通过NDA。 SOC3专门用于向外部发布，包括审计师的意见和管理断言以及有关服务组织的信息。（不包括审计细节）公开的，提供的信息较少。 SOC3报告旨在与广泛的社区共享，支持组织关于其提供完整性、可用性和机密性的能力的声明。
          • 哪种类型的 SOC 报告最适合向用户提供有关组织的安全性、可用性和服务运营完整性的保证？ A. SOC 1 Type 2 报告 B. SOC 2 报告 C. SOC 3 报告 D. SOC 1 Type 1 报告 C，给用户，所以是3
          • 当您请求 SOC 2 报告时，您会收到 SOC 1 报告。你应该提出什么问题？ A. SOC 1 报告仅披露公开信息。 B. SOC 1 报告涵盖财务数据。 C. SOC 1 报告仅涵盖一个时间点。 D. SOC 1 报告仅使用三个月的时间进行测试。
  • 100.同态加密 (homomorphic) 的潜在优势是什么？ A.它完美实现了加密时必要的职责分离。 B.加密信息无需先解密即可进行分析。 C.密文大小随着安全级别的增加而减小。 D.它实现了更高的加密安全性和更快的处理时间。 101.以下哪种技术可以阻止来自内部的横向攻击。通过服务器间的访问控制，阻断勒索病毒在内部网络中的蔓延，降低黑客的攻击面。 A．软件定义边界SDP (Software Defined Perimeter) B．POC概念验证 (Proof of concept) C．微隔离 (Micro Segmentation) D．黑核路由 (Black core routing) 102.以下哪种技术是为保护公共场所人员而提供的最具成本效益的被动控制 (reactive control) 方法？ A. 在建筑物入口处安装捕人陷阱 (mantrap) B. 用聚碳酸酯塑料围住人员进入区域 C. 为暴露于公众的人员提供胁迫报警 D. 聘请警卫保护公共区域 103.知识产权主要与以下哪项有关？ A. 所有者实现经济收益的能力 B. 所有者维护版权的能力 C. 所有者享有其创作的权利 D. 所有者控制交付方式的权利 104.当需要保留信息以供将来检索时，以下哪一项是主要问题？ A. 法律法规可能会在此期间发生变化，因此无需保留信息 B. 保留信息的费用可能使组织难以承受 C. 组织可能会丢失对信息的跟踪并且不能安全地处理它 D. 检索信息所需的技术可能在未来无法使用 105.哪种安全模式最常用于商业环境，因为它可以保护财务和会计数据的完整性？ A. Biba B. Graham-Denning C. Clark-Wilson D. Bell-LaPadula
    • 100 B 同态加密 同态加密（Homomorphic Encryption）是指将原始数据经过同态加密后，对得到的密文进行特定的运算，然后将计算结果再进行同态解密后得到的明文等价于原始明文数据直接进行相同计算所得到的数据结果。 同态加密与一般加密方案的关注点不同，一般的加密方案关注的是数据存储安全，即我要给其他人发送信息或者存储信息，我需要对数据进行加密之后再发送和存储，这里我们只需要保证在数据传送和存储的过程中不被其他人窃听到即可，在这个过程中用户时不能对加密的结果做任何操作的，否则可能会导致解密失败 同态加密的关注点则是数据处理安全，同态加密提供了一种对加密数据进行处理的功能。也就是说其他人可以对加密后的数据进行处理，在这个过程中不会泄露任何原始的内容，在数据处理完成之后再进行解密，得到的正是对原始数据进行相同处理后的结果。 举个例子 有个叫Alice的用户买到了一大块金子，她想让工人把这块金子打造成一个项链。但是工人在打造的过程中有可能会偷金子啊， 因此能不能有一种方法，让工人可以对金块进行加工（delegate processing of your data），但是不能得到任何金子（without giving away access to it）？Alice可以这么做： Alice将金子锁在一个密闭的盒子里面，这个盒子安装了一个手套。工人可以带着这个手套，对盒子内部的金子进行处理。但是盒子是锁着的，所以工人不仅拿不到金块，连处理过程中掉下的任何金子都拿不到。加工完成后。Alice拿回这个盒子，把锁打开，就得到了金子。这个盒子的样子大概是这样的：
    • 101 C SDP关注的南北向安全 微隔离关注的东西向安全
      • 微分段（主要解决东西向的安全） 微分段用于通过定义系统和服务之间的边界来在逻辑上分离系统和服务。这通常是零信任体系结构的一部分，包括使用按需访问服务。融合协议在另一个协议上实现其他协议，如以太网上的iSCSl或InfiniBand。物理分段使用单独的物理设备和基础设施来提供分段。边缘网络使计算和存储离最终用户更近。 微隔离 ‌微隔离是一种网络安全技术，其核心原理是通过将一个无结构无边界的网络分成多个逻辑上隔离的微小网段，每个网段上只包含一个计算资源。所有需要进出这些微网段的流量都必须通过‌访问控制设备，从而实现东西向防护的效果。‌12 微隔离的实现方式包括： ‌虚拟化技术：使用‌容器、‌虚拟机等技术将应用程序隔离在独立的虚拟环境中运行，防止‌恶意软件或攻击从一个应用程序传播到其他应用程序。 ‌应用程序隔离：将不同的应用程序隔离在独立的进程或线程中，避免不同应用程序之间的交互，保证应用程序的安全性。 网络隔离：将应用程序所在的网络隔离在独立的网络中，避免应用程序受到网络攻击和威胁。 ‌访问控制：限制应用程序对系统资源的访问权限，避免应用程序对系统资源的滥用和损坏。 ‌安全监测：对隔离的应用程序进行实时监测和检测，及时发现和处理安全漏洞和威胁。 微隔离技术的目的是让网络安全更具粒度化，通过创建相互隔离的区域，将工作负载彼此隔离并单独保护，目的是减少黑客从一个工作负载区或应用进入另一个的风险，从而降低网络攻击界面。‌
        • 软件定义边界SDP（主要解决南北向的安全） 软件定义的边界（SDP Software Defined Perimeter），也被Gartner称作零信任网络访问（ZTNA）。是2007年提出的，由云安全联盟（CSA）开发的一种安全框架，它根据身份控制对资源的访问。该框架基于美国国防部的“need to know”模型——每个终端在连接服务器前必须进行验证，确保每台设备都是被允许接入的。其核心思想是通过SDP架构隐藏核心网络资产与设施，使之不直接暴露在互联网下，使得网络资产与设施免受外来安全威胁。 在SDP架构中，服务器没有对外暴露的DNS或者IP地址，只有通过授权的SDP客户端才能使用专有的协议进行连接。 SDP初衷是面向所有用户，而不仅仅是远程用户 访问网络之前，先进行身份和授权。 所有的服务器隐藏在远程访问网关设备后。 用户必须完成身份认证，才能被授予服务的可见权限并开放访问通道。并进行通道加密。 最小授权原则 SDP架构 SDP 的体系结构由两部分组成：SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理。 因此，在 SDP 中，控制平面与数据平面分离以实现完全可扩展的系统。 SDP控制器：SDP 控制器确定哪些 SDP 主机可以相互通信。SDP 控制器可以将信息中继到外部认证服务，例 如认证，地理位置和/或身份服务器。 SDP 连接发起主机（Initiating Host）：SDP 连接发起主机（IH）与 SDP控制器通信以请求它们可以连接的 SDP 连接接受方（AH）列表。在提供任何信息之前，控制器可以从 SDP 连接发起主机请求诸如硬件或软件清单之类的信息。 SDP 连接接受主机（Accpeting Host）：默认情况下，SDP连接接受主机（AH）拒绝来自SDP控制器以外的所有主机的所有通信。 只有在控制器指示后，SDP 连接接受主机才接受来自 SDP 连接发起主机的连接。 SDP工作流 一个或多个SDP 控制器服务上线并连接至适当的可选认证和授权服务（例如，PKI 颁发证书 认证服务、设备验证、地理定位、SAML、OpenID、Oauth、LDAP、Kerberos、多因子身份验证等服务）; 一个或多个 SDP 连接接受主机（AH）上线，这些主机连接到控制器并由其进行身份验证。 但是，他们不会应答来自任何其他主机的通信，也不会响应非预分配的请求; 每个上线的 SDP 连接发起主机（IH）都与 SDP 控制器连接并进行身份验证; 在验证 SDP 连接发起主机（IH）之后，SDP 控制器确定可授权给 SDP 连接发起主机（IH）与之通信的 SDP 连接接受主机（AH）列表; SDP 控制器通知 SDP 连接接受主机（AH）接受来自 SDP 连接发起主机（IH）的通信以及加 密通信所需的所有可选安全策略; SDP 控制器向 SDP 连接发起主机（IH）发送可接受连接的 SDP 连接接主机（AH）列表以及可选安全策略; SDP 连接发起主机（IH）向每个可接受连接的 SDP 连接接受主机（AH）发起单包授权，并创建与这些 SDP 连接接受主机（AH）的双向 TLS 连接; SDP部署模式 客户端—网关模型 在客户端—网关的实施模型中，一个或多个服务器在 SDP 连接接受主机（AH）后面受到保护， 这样，SDP 连接接受主机（AH）就充当客户端和受保护服务器之间的网关。此实施模型可以在企业网络内执行，以减轻常见的横向移动攻击，如服务器扫描、操作系统和应用程序漏洞攻击、中间人攻击、传递散列和许多其他攻击。或者，它可以在 Internet 上实施，将受保护的服务器与未经 授权的用户隔离开来，并减轻诸如拒绝服务（DoS）、SQL 注入、操作系统和应用程序漏洞攻击、 中间人攻击、跨站点脚本（XSS）、跨站点请求伪造（CSRF）等攻击。 客户端—服务器模型 客户机到服务器的实施在功能和优势上与上面讨论的客户机到网关的实施相似。然而，在这种情况下，受保护的服务器将运行可接受连接主机（AH）的软件，而不是位于运行该软件的服务器前面的网关。客户机到网关实施和客户机到服务器实施之间的选择通常基于受保护的服务器数量、负载平衡方法、服务器的弹性以及其他类似的拓扑因素。 服务器—服务器模型 在服务器到服务器的实施模型中，可以保护提供代表性状态传输（REST）服务、简单对象访问协议（SOAP）服务、远程过程调用（RPC）或 Internet 上任何类型的应用程序编程接口（API） 的服务器，使其免受网络上所有未经授权的主机的攻击。例如，对于 REST 服务，启动 REST 调用的服务器将是 SDP 连接发起主机（IH），提供 REST 服务的服务器将是可以接受连接的主机（AH）。为这个用例实施一个软件定义边界可以显著地减少这些服务的负载，并减轻许多类似于上面提到 的攻击。这个概念可以用于任何服务器到服务器的通信。 客户端—服务器—客户端模型 客户端到服务器到客户端的实施在两个客户端之间产生对等关系，可以用于IP电话、聊天和视频会议等应用程序。在这些情况下，软件定义边界会混淆连接客户端的 IP 地址。作为一个微小的变化，如果用户也希望隐藏应用服务器，那么用户可以有一个客户端到客户端的配置。
          • 子主题
    • 102 C 最具成本效益的，注意考察点
    • 103 A 关注的经济利益
    • 104 D 除了数据，读取数据的技术和平台也要关注
    • 105 C 记住，这个模型是转为商业设计的
      • 二、理解安全模型的基本概念 1、可信计算基 TCSEC 可信计算机系统评估标准，是美国国防部的一个较早的标准，俗称“橘皮书” TCB 可信计算基，软硬件的组合，它们协同工作构成安全策略的可信计算基础 系统的安全边界是一个假想的边界，将TCB与系统的其余部分分开 参考监视器：TCB中负责在授权访问请求之前验证资源的部分 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
  • 106.以下哪一项是 (ISC)2 道德规范的内容？ A. 诚信为先，事事精益求精 B. 根据适用法律和最高道德标准执行所有专业活动和职责 C. 为委托人提供勤勉、称职的服务 D. 与他人合作交流知识和思想以实现共同安全 107.以下哪项将传输的原始数据拆散为加密数据包通过多条隧道交叉疏散传递，令攻击者的流量分析难上加难。 A.洋葱路由 B.大蒜路由 C.下水道路由 D.路由聚合
    • 107 B 记住
      • 大蒜路由（Garlic routing）是洋葱路由的一个变体，它将传输的原始数据拆散为加密数据包通过多条隧道交叉疏散传递，令攻击者的流量分析难上加难。在洋葱路由中一条或多条数据流的上传与下载共用一条隧道，而这种路由方式的上传与下载隧道相互独立而且两个方向上的隧道数量都可能>1，所以被称为大蒜路由。
  • 108.Secure Shell (SSH) 版本2协议支持 A. 可用性、责任、压缩和完整性 B. 身份验证、可用性、机密性和完整性 C. 问责制、压缩、机密性和完整性 D. 身份验证、压缩、机密性和完整性 109.以下哪项是转置密码(transposition ciphers)易于识别的原因？ A. 密钥 Key B. 块 Block C. 流 Stream D. 字符 Character 110.组织实施远程访问服务器 (RAS)。一旦用户连接到服务器，就使用数字证书来验证他们的身份。组织在此身份验证期间将使用哪种类型的可扩展身份验证协议 (EAP)？ A. 传输层安全 (TLS) B. 隧道传输层安全 (TTLS) C. 受保护的可扩展身份验证协议 (PEAP) D. 消息摘要5 (MD5) 111.作为应用程序渗透测试过程的一部分，会话劫持可以通过以下哪项最佳方式实现？ A. 已知明文攻击 B. 拒绝服务 (DoS) C. 操控Cookie D. 结构化查询语言 (SQL) 注入
  • 112.了解产生出加密消息的最初语言可能有助于密码破译者(cryptanalyst)执行： A. 已知明文攻击 B. 已知密文攻击 C. 频率分析 D. 随机评估
    • 112 C 频率分析，如：英语中常用的字母
  • 113.以下哪项技术在测试或运行阶段分析应用程序的运行状态，模拟黑客行为对应用程序进行攻击，分析应用程序的反应，从而确定该Web应用是否易受攻击。 A. 静态应用程序安全测试 SAST (Static Application Security Testing) B. 动态应用程序安全测试 DAST (Dynamic Application Security Testing) C. 交互式应用程序安全测试 IAST (Interactive Application Security Testing) D. 运行时应用程序安全保护RASP (Runtime application self-protection) 114.下面哪种标记语言允许共享应用安全策略，来保证所有的应用程序能遵循同一个安全原则？ A．XML B．GML C．SPML D．XACML 115.以下哪个关于易熔环的自动喷水灭火系统的描述是正确的？ A.当水管内加压的空气压力减少时，干管系统水管将充满水，并直接从喷头喷洒出 B.当水管内加压的空气压力减少时，预作用灭火系统水管将充满水 C.喷淋系统的喷淋头保持打开，能够短时间内喷出大量的水 D.水管内总是充满了水的水管灭火系统 116.XSS跨站脚本攻击中最常见的类型是： A．注入型 XSS B．反射型 XSS C．存储型 XSS D．DOM型 XSS 117.用C语言开发的程序已经对缓冲区溢出攻击进行了有效预防，然而以下哪种情况还可能造成缓冲区溢出攻击： A．在程序中写入了硬凭证 B．在编程中调用了别的库 C．设定了运行的沙箱环境 D．程序中使用了多线程 118.有人值守的机房防火设施应该选： A．湿管 B．预响应式干管 C．泛滥式干管 D．FM200 119.ElGamal算法是： A．流加密 B．分组加密 C．非对称加密 D．哈希算法 120.对移动磁盘数据，使用了下列哪种处理方法后，用常规方法或复杂方法都很难恢复： A．删除 Delete B．净化Sanitizing C．覆写 D．加密 121.手机中数据的保护用什么加密算法比较好： A．RSA B．3DES C．ECC D．AES 122.利用ping 程序中使用的 ICMP 协议的攻击为? A．Fraggle 攻击 B．Smurf 攻击 C．Teardrop 攻击 D．SYN flood 攻击 123.基于 SaaS 的 IAM，提供云环境下的单点登录，便于安全地访问SaaS应用的是： A.沙箱 B.SAML C.IDaaS D.Docker 124.为IPSEC保障机密和完整性的安全机制是： A．AH B．ESP C．IKE D．SA
    • 113
      • SAST 与 DAST SAST(静态应用程序安全测试)也被称为“白盒测试”，已经存在了十多年。它允许开发人员在软件开发生命周期的早期发现应用程序源代码中的安全漏洞。在不实际执行底层代码的情况下检测是否符合编码指南和标准，直接面向所有源码，并且可以定位缺陷所在的代码行数。OWASP TOP 10 安全漏洞中60-70%的安全漏洞类型可通过源代码静态分析技术检测出来。 DAST，或动态应用安全测试，也称为“黑盒”测试，可以发现运行中的应用程序的安全漏洞和弱点，通常是web应用程序。通过在应用程序上使用故障注入技术(例如向软件提供恶意数据)来识别常见的安全漏洞，例如SQL 注入和跨站点脚本。DAST 可以聚焦静态分析无法识别的运行时问题，例如身份验证和服务器配置问题，以及仅在已知用户登录时可见的缺陷。 SAST 和 DAST SAST和DAST经常同时使用，因为SAST不会发现运行时错误，而DAST不会标记编码错误，至少不会标记到代码行。SAST 可以集成在项目开发流程当中，而DAST 可以理解参数和函数调用，可以确定调用是否正常运行。 交互式应用程序安全测试 (IAST) IAST旨在通过结合SAST 和 DAST 两种方法来解决SAST和DAST各自的缺点。IAST在应用程序中放置一个探针，并在开发过程 IDE、持续集成环境、QA 甚至生产中的任何位置实时在应用程序中执行所有分析。 因为IAST探针在应用程序内部工作，它可以将其分析应用于整个应用程序所有代码。其运行控制和数据流信息、它的配置信息、HTTP请求和响应、库及框架和其他组件、以及后端连接信息。 运行时应用程序安全保护 (RASP) 与IAST一样，RASP或运行时应用程序安全保护在应用程序内部工作，但它不是一个测试工具，而是一个安全工具。它被插入到应用程序或其运行时环境中，可以控制应用程序的执行。RASP 保护应用程序，即使网络的外围防御被破坏并且应用程序包含开发团队错过的安全漏洞。RASP允许应用程序对自身进行持续的安全检查，并通过终止攻击者的会话并向防御者发出攻击警报来响应实时攻击。
    • 114
      • 联合身份管理和SSO 组织在联邦域内共享凭证，它使用SAML(安全断言标记语言)和SPML(服务供应标记语言)。 考试小贴士：思考一下为你的假期预订机票，你可以选择在同一网站上预订酒店。一旦你登录到酒店网站，它就不会再次要求你提供凭证，因为机票预订和酒店预订网站都在联邦域名下。 SAML：基于XML，用于在相关组织之间交换身份验证和授权。SAML主要用于浏览器, 是一种标记语言，SAML协议的核心是: IDP和SP通过用户的浏览器的重定向访问来实现交换数据。 SPML：基于XML，专门为交换用户信息而设计，用于联邦域内安全的单点登录。 XACML：可扩展访问控制标记语言，用于在XML格式中定义访问控制策略，它通常实现RBAC。 OpenID和OAuth：OpenID用于身份验证，提供去中心化认证，不是RFC标准，用户登录多个不同的网站，凭证由第三方提供。 过程：两次重定向，第一次是重定向到OpenID提供商输入口令，然后重定向回启用OpenID服务站点。 OAuth用于授权，及时被授权的程序遭到破坏，用户的凭证也不会暴露。使用API交换信息。 *考试提示：SAML用于企业用途，OAuth用于商业用途(by us) OIDC：使用OAuth 2.0的授权框架的身份认证层，同时提供身份认证和授权。使用JSON web令牌
        • • 三个实体：用户（委托人）、服务提供商、身份提供者（LdP） 三种类型的XML消息：1. 认证声明：正确的身份凭证，标识身份认证方法，标识用户代理登录的时间 2. 授权声明：是否有权访问服务，被拒绝会说明原因 3. 属性声明：关于用户代理的任何信息
    • 116
      • XSS的分类 XSS主要分为两大类：非持久型攻击、持久型攻击。非持久型攻击（反射型XSS）：经过后端，不经过数据库；持久型攻击（存储型XSS）：经过后端，经过数据库。 1.持久型也可认为是存储型XSS：当恶意的JavaScript代码写入web页面，会被存储到应用服务器端，简而言之就是会被存储到数据库。等用户再次打开web页面时，页面会继续执行恶意代码，达到持续攻击用户的作用。如下案例：在欢迎词处输入框输入JavaScript恶意代码进行保存，当用户在打开这个写入恶意JavaScript代码web页面的时候就会弹出带有恶意数据的弹窗。 2.非持久型XSS：非持久型XSS又叫反射型XSS，属于一次性攻击，仅对当次的页面访问产生影响。非持久型XSS攻击，要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。如下案例：通过搜索功能执行恶意的JavaScript代码点击搜索即执行恶意的JavaScript代码。 3.DOM是一个平台和语言都中立的接口，可以执行程序和脚本，能够动态访问和更新文档的内容、结构以及样式。DOM型XSS是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。
    • 124
      • IPsec 安全关联 （Security Association 缩写SA，有些文章翻译为"安全联盟"），是建立ipsec通信所需的相关参数。比如加密密钥、认证密钥等，保存在SAD（SA Database）中。 SP 描述了需要做什么；而 SA 描述了它应该如何实现。 一对SA和SP负责一个方向的数据处理，双向都需要IPsec就需要两对SA和SP。 建立SA，手工配置又复杂又不安全，生产上应该没人会用。利用软件自动配置是首选，软件配置是通过 Internet Key Exchange 协议(有IKEv1 和 IKEv2两个版本) 自动协商。IKE是一个复合协议，协议建立在Internet安全联盟和密钥管理协议ISAKMP定义的框架上，是基于UDP的500 端口的应用层协议，在NAT环境下会切换为4500端口。 IKE的精髓在于它永远不在不安全的网络上传送密钥，通信双方计算出共享的密钥，其中的核心技术就是DH（Diffie Hellman）交换技术。 IKE协商分两个阶段： 第一阶段 ，用来协商自己用的连接信息，被称为 IKE SA（或 ISAKMP SA ），期间需要完成身份验证和密钥信息交换。 身份验证的方法 Public Key Authentication Pre-Shared-Key Authenticiation (PSK) Extensible Authentication Protocol (EAP) 用户名密码 eXtended Authentication (XAuth) 这个阶段有主模式（Main Mode）和野蛮模式（Aggressive Mode）两种协商方法。感兴趣的可以自行搜索或参考文后的扩展链接了解。 第二阶段 ，是在第一阶段建立的 **IKE SA ** 的保护下来确立 IPsec SA，使用快速模式。根据配置的 AH/ESP 安全协议等参数协商出 IPsec SA。 协商出IPSec 需要使用的认证算法和加密算法及相关密钥 （1）认证算法 IPSec可以使用三种认证算法： MD5（Message Digest 5）：MD5 通过输入任意长度的消息，产生 128bit 的消息摘要。 SHA-1（Secure Hash Algorithm）：SHA-1 通过输入长度小于 2 的 64 次方比特的消息，产生 160bit 的消息摘要。 SHA-2：SHA-2 算法相对于 SHA-1 加密数据位数有所上升，安全性能要远远高于SHA-1 （2）加密算法：加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。IPSec使用以下三种加密算法： DES：使用 56bit 的密钥对一个 64bit 的明文块进行加密。 3DES：使用三个 56bit 的 DES 密钥（共 168bit 密钥）对明文进行加密。 AES：使用 128bit、192bit 或 256bit 密钥长度的 AES 算法对明文进行加密。 工作模式和封装协议 工作模式有隧道模式(Tunnel mode)和传输模式(Transport mode)。 封装协议有 AH (Authentication Header头部验证) 和 ESP (Encapsulating Security Payload安全载荷封装)两种，协议号分别为51、50。IPSEC 使用 ESP 来支持加密，使用 AH来保护报文的完整性。二者可以单独使用， 也可以一起使用。 AH 认证头协议： 鉴别头 AH：（不提供保密性，只对整个IP数据包提供保护） 无连接数据完整性：通过哈希函数产生的校验来保证 数据源认证：通过计算验证码时加入一个共享密钥来实现 抗重放服务：AH报头中的随机序列号可以防止重放攻击 ESP 封装安全载荷协议： 除提供 AH 认证头协议的所有功能之外，还有数据保密和有限的数据流保护。ESP 协议允许对 IP 报文净荷进行加密和认证、只加密或者只认证，ESP 没有对 IP头的内容进行保护。 保密服务通过使用密码算法加密 IP 数据包的相关部分来实现。 数据流保密由隧道模式下的保密服务提供。 ESP 通常使用 DES、3DES、AES 等加密算法实现数据加密，使用 MD5 或 SHA1 来实现数据完整性认证。
  • 125.用户大量使用弱密码，应对的最佳安全措施： A．安全意识宣灌 B．明确密码长度要求 C．在系统上实施强口令验证 D．使用SSO单点登录
    • 125 C 没有C时候选A，有C选C
  • 126.CMM的第2级 和 CMMI的第2级 分别是： A．已定义、已管理 B．已管理、已定义 C．可重复、已管理 D．已管理、可重复 127.公司希望部署IPS拦截网络中的攻击流量，IPS应该使用什么部署方式： A．串联 B．旁路 C．主动 D．被动 128.以下哪一项是 CHAP质询握手认证协议的特点： A．二次握手 B．只在链路建立的阶段进行验证 C．被认证方发起验证 D．密文发送认证信息 129.区隔会产生利益冲突的主体 (subject) 和对象 (object) 的安全模型是： A．BLP B．Clark-Wilson C．Brewer-Nash D．Biba
    • 126
      • CMMI 的等级：CMMI 等级共五级， Maturity Levers，通常简写为 ML。 ML1初始级 软件过程是无序的，有时甚至是混乱的，对过程几乎没有定义，成功取决于个人努力。管理是反应式的。 ML2已管理级 建立了基本的项目管理过程来跟踪费用、进度和功能特性。制定了必要的过程纪律，能重复早先类似应用项目取得的成功经验。 ML3已定义级 已将软件管理和工程两方面的过程文档化、标准化，并综合成该组织的标准软件过程。所有项目均使用经批准、剪裁的标准软件过程来开发和维护软件，软件产品的生产在整个软件过程是可见的。 ML4量化管理级 分析对软件过程和产品质量的详细度量数据，对软件过程和产品都有定量的理解与控制。管理有一个作出结论的客观依据，管理能够在定量的范围内预测性能。 ML5优化级 过程的量化反馈和先进的新思想、新技术促使过程持续不断改进。
  • 130.安全员设置下水路由是为了抵抗： A．DNS中毒 B．DDOS C．Sniffing D．Jamming
    • 130 B Sinkhole 把 DDOS 流量引到某一个点做进一步分析 jamming Conduct wireless jamming attacks. Adversary takes measures to interfere with wireless communications so as to impede or prevent communications from reaching intended recipients.
  • 131.以下哪种数据最难被数字取证人员发现？ A. 闲置空间数据 B. 文件系统删除数据 C. 隐写数据 D. 以不同文件类型扩展名存储的数据 132.以下哪项最佳描述了用于在不同身份管理系统之间交换授权信息的标准？ A. 安全断言标记语言 (SAML) B. 面向服务的架构 (SOA) C. 可扩展标记语言 (XML) D. 无线认证协议 (WAP) 133.在信息技术安全评估的通用标准 (CC) 中，提高评估保证级别 (EAL) 会导致以下哪项？ A. 评估系统的增加 B. 提高互操作性 C. 增加功能 D. 资源需求增加 134.何时实施安全要求成本最低？ A. 由外部顾问确定时 B. 在应用程序上线阶段 C. 在项目周期的每个阶段 D. 当内置到应用程序设计中时 135.以下哪项是缓解跨站脚本 (XSS) 攻击的最有效方法？ A. 使用软件即服务 (SaaS) B. 验证数据输入 C. 验证数据输出 D. 要求客户证书 136.通过伪造来自可信来源的数据包来对一台机器进行身份验证的技术通常指的是？ A. 蓝精灵攻击 (Smurfing) B. 中间人攻击 (MITM) C. 重定向 (Redirect) D. 欺骗 (Spoofing) 137.纵深防御的一个重要原则是，实现信息安全需要关注三个主要方面的平衡。这是指？ A. 开发、测试和部署 B. 预防、检测和补救 C. 人员、技术和运营 D. 认证、认可和监督 138.在软件开发生命周期中，讨论DOS攻击是哪个里面的一个实例 A. 威胁建模 B. 漏洞分析 C. 数据防泄漏 D. 数据完整性 139.在SYN 洪泛攻击中，攻击者的目的是？ A.获得root权限 B.导致缓冲区溢出 C.进行会话劫持 D.使连接队列超过上限 140.对于云服务提供商而言，以下哪项最有效地解决了使用云计算的客户的保密问题？ A.文件系统权限 B.散列函数 C.不可抵赖控制 D.数据隔离 141.下列哪种访问控制模型最严格： A.DAC自主访问控制 B.MAC强制访问控制 C.RBAC基于角色的访问控制 D.ABAC基于属性的访问控制 142.Smurf攻击属于？ A.中间人攻击 B.DOS攻击 C.隐蔽通道 D.社会工程 143.在证据的监管链中对文件进行哈希保护的是？ A.可用性 B.完整性 C.机密性 D.抗抵赖 144.以下哪一项在传输层保护web交易安全？ A. 安全超文本传输协议(S-HTTP) B. 传输层安全 (TLS) C. 套接字安全 (SOCKS) D. 安全壳 (SSH) 145.以下哪一个标准最有助于降低数据破坏的风险？ A.ISO 9001 B.ISO 15504 C.ISO 20000 D.ISO 27001 146.系统和数据管理员在配置存储员工数据的系统时，应该遵照： A.使用这些数据的业务要求 B.组织的安全策略和标准 C.对企业资源和数据的全面保护 D.行业最佳实践的要求
  • 147.组织打算升级所有防火墙以降低某项风险，以下哪一项最能支持这个观点？ A.有充分的IT预算 B.该项风险的年预期损失ALE非常低 C.该项风险的固有风险高于残余风险 D.该项风险的预期损失超过实施控制的成本 148.以下哪一项属于双因素验证？ A.虹膜扫描和指纹识别 B.视网膜扫描和智能卡 C.感应卡和钥匙 D.口令和PIN 149.对于在SDLC软件维护阶段发现的应用程序漏洞，必须采取的行动是？ A.监控应用并评审代码 B.将漏洞报告给产品负责人 C.在漏洞被修复前暂停应用 D.按照设计指南进行变更
    • 147 D 这个观点要牢记在心，错了好几次了
    • 149 B 记住
  • 150.以下哪种攻击方法能最有效地获得对一份复杂口令保护的资料的未授权访问？ A.字典攻击 B.旁路攻击 C.彩虹表 D.社会工程 151.银行为所有使用网银的客户配备了硬件令牌。令牌每分钟更新一个6位的口令。客户必须使用这个口令登录网银。这种令牌是？ A.同步令牌 B.异步令牌 C.单点登录令牌 D.挑战／应答令牌 152.最能体现公司安全管理情况的是？ A.渗透测试结果报告 B.内部审计师出的内审报告 C.外部审计师出的审计报告 D.IT服务台收集的安全事件报告 153.对SLA进行合规评审的周期是？ A.在进行安全审计前对SLA进行评审 B.在更新SLA时进行评审 C.在发生了安全违规后立即对SLA进行评审 D.定期安排评审会议，对SLA进行评审 154.关于黑盒测试的说法正确的是？ A.测试者只了解源代码 B.测试者只了解设计文档 C.测试者只了解功能说明书 D.测试者只了解设计文档和功能说明书 155.以下哪一项对组织的安全态度/立场影响最大？ A. 国际和国内的合规要求 B. 员工安全违规 C. 安全开支增加后导致的资源限制 D. 审计发现的安全控制漏洞 156.在追踪事件时发现，只能提供最近30天内的审计日志。这需要关注： A. 数据恢复 B. 数据保留 C. 数据处置 D. 数据审计 157.EAP MD5使用的身份验证方法： A. 基于散列值进行弱身份验证 B. 基于预共享密钥的弱身份验证 C. 基于OTP令牌设备的身份验证 D. 基于TLS的加密隧道身份验证 158.为何说数据所有者重要？ A. 鉴证 B. 分析 C. 责任 D. 合规 159.安全内核的实质： A. 用户 B. 进程 C. 完整性 D. 访问权限 160.符合X.509标准格式的数字证书中必定包括： A. 证书申请者的私钥 B. CA的公钥 C. CA的数字签名 D. 证书废止列表CRL
• 答案
  • 1 B 2 C 3 C 4 C 5 C 6 A 7 A 8 D 9 D 10 C 11 D 12 B 13 A 14 B 15 C 16 C 17 C 18 C 19 A 20 C 21 B 22 C 23 A 24 C 25 B 26 B 27 D 28 A 29 C 30 B 31 C 32 D 33 C 34 A 35 C 36 D 37 B 38 C 39 C 40 C 41 C 42 C 43 B 44 A 45 A 46 B 47 B 48 B 49 D 50 D 51 A 52 C 53 D 54 C 55 C 56 C 57 D 58 B 59 A 60 D 61 A 62 B 63 A 64 B 65 C 66 C 67 C 68 D 69 D 70 D 71 B 72 A 73 C 74 D 75 A 76 D 77 D 78 D 79 C 80 A 81 A 82 C 83 D 84 D 85 C 86 A 87 D 88 A 89 B 90 A 91 C 92 C 93 C 94 D 95 B 96 C 97 D 98 A 99 B 100 B 101 C 102 C 103 A 104 D 105 C 106 C 107 B 108 D 109 D 110 A 111 C 112 C 113 B 114 D 115 B 116 B 117 B 118 D 119 C 120 B 121 D 122 B 123 C 124 B 125 C 126 C 127 A 128 D 129 C 130 B 131 C 132 A 133 D 134 D 135 B 136 D 137 C 138 A 139 D 140 D 141 B 142 B 143 B 144 B 145 D 146 B 147 D 148 B 149 B 150 D 151 A 152 C 153 D 154 C 155 A 156 B 157 A 158 C 159 D 160 C