CISSP精品模拟题五

这是一篇关于第五套模拟题的思维导图，主要内容包括：主题，题和答案。精心梳理了考试重点与难点，通过结构化的方式呈现关键知识点与解题思路。

第五套模拟题

• 题和答案
  • 1.下列哪一项匹配是错误的： •A. 功能测试—测试性能、负载、可靠性等 •B.回归测试——修改了旧代码后，重新进行测试以确认修改没有引入新的错误。 •C. 结构测试——测试者全面了解程序内部逻辑结构、对所有逻辑路径进行测试。 • D. 黑盒测试—涉及了软件在功能上正反两面的测试确认 2. 关于 DMARC（Domain-based Message Authentication Reporting and Conformance）正确说法是： • A. 一种基于零信任的域名管理系统，用于防止域名欺骗 • B. 一种数字签名算法，提供对PCIDSS的支持 • C.一种邮件验证协议，目的是提高电子邮件的安全性 • D. 一种加强的消息验证码（MAC），用于保护信息的完整性 3.企业构建PKI时，CA，RA和OCSP服务器正确的部署位置是： • A. CA, RA和OCSP服务器都部署在DMZ内 • B. CA， RA部署在内网，OCSP部署在DMZ • C. CA部署在内网，RA和OCSP部署在DMZ • D. OCSP部署在内网，CA和RA部署在DMZ
    • 1
      • Functional testing（功能测试），也称为behavioral testing（行为测试），根据产品特性、操作描述和用户方案，测试一个产品的特性和可操作行为以确定它们满足设计需求。本地化软件的功能测试，用于验证应用程序或网站对目标用户能正确工作。使用适当的平台、浏览器和测试脚本，以保证目标用户的体验将足够好，就像应用程序是专门为该市场开发的一样。功能测试是为了确保程序以期望的方式运行而按功能要求对软件进行的测试，通过对一个系统的所有的特性和功能都进行测试确保符合需求和规范。 功能测试也叫黑盒测试或数据驱动测试，只需考虑需要测试的各个功能，不需要考虑整个软件的内部结构及代码.一般从软件产品的界面、架构出发，按照需求编写出来的测试用例，输入数据在预期结果和实际结果之间进行评测，进而提出更加使产品达到用户使用的要求。
      • 性能、负载、可靠性属于性能测试
    • 2
      • [DMARC]协议基于现有的[DKIM]和[SPF]两大主流电子邮件安全协议，由Mail Sender方（域名拥有者Domain Owner）在[DNS]里声明自己采用该协议。当Mail Receiver方（其MTA需支持DMARC协议）收到该域发送过来的邮件时，则进行DMARC校验，若校验失败还需发送一封report到指定[URI]（常是一个邮箱地址）。DMARC有效识别和拦截欺诈及钓鱼邮件，保障用户信息安全。
    • 3
      • CA部署在内网发证书 RA、OCSP部署在DMZ方便企业用户内网、外网验证
      • 术语与定义 属性权威（Attribute Authority，AA） 通过发布属性证书进行权限分配的权限属性管理机构，也叫权限认证中心。 属性证书（Attribute Certificate，AC） 由授权管理机构作数字签名的证书，用以证明持有者的认证信息和其相应权限属性的确定性。属性证书也叫权限属性证书。 属性证书撤消表（Attribute Certificate Revocation List，ACRL） 一个标记一系列不再被属性证书发布者所信任的证书的签名列表（通称权限证书黑名单）。 证书认证中心（Certificate Authority， CA） 一个被终端实体所信任的签发公钥证书的证书认证实体，它是一个可信的权威机构，通常叫做“证书认证中心”或“证书管理中心”。 CA证书 （CA-Certificate） 一个由CA给另一个CA签发的证书。 CA撤消列表 （Certificate Authority Revocation List， ARL） 一个标记已经被注销的CA的公钥证书的列表，表示这些证书已经无效。 证书策略（ Certificate Policy） 是一个指定的规则集合，它指出证书对于具有普通安全需求的一个特定团体和（或）具体应用类的适用性。 证书撤消列表 （Certificate Revocation List， CRL） 一个标记一系列不再被证书发布者所信任的证书的签名列表（通称黑名单）。 证书验证（ Certificate Validation） 确定证书在指定的时间内是否有效的过程，证书验证包括有效期验证、签名验证以及证书状态的检验。 验证路径 （Certification Path） 一个在目录信息树中对象证书的一个有序的序列。路径的初始节点是最初待验证对象的公钥，可以通过路径获得最终的顶点的公钥。 CRL分布点（ Certificate Revocation List Distribution Point） 一个目录条目或其他的CRL分布源。一个通过CRL分布点发布的CRL，可以包括由一个CA分布的所有证书中的一个证书子集的注销条目，也可以包括全部证书的注销条目。 增量CRL （delta-CRL， dCRL） 是一个部分的CRL，它只包括那些在基础CRL确认后注销状态改变的证书的条目。 证书序列号 （certificate serial number） 在一个认证权威所签发的证书中用于唯一标识数字证书的一个整数。 数字证书 （Digital Certificate） 由认证权威数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。 终端实体 （end entity） 数字证书的主体用户，通称用户或客户。 完全的CRL （full CRL） 在给定的范围内，包含所有已经被注销的证书的证书注销列表。 策略映射（ policy mapping） 当一个域中的一个CA为另一个域中的一个CA进行证明时，用于说明后一个CA的一个特定的策略可以被认为等同于第一个CA的一个特定的策略相同（注意：这里并不要求两个CA的全部策略都等同）的规则。 私钥 （private key） 在公钥密码系统中，用户的密钥对中只有用户本身才能持有的密钥。 公钥（ public-key） 在公钥密码系统中，用户的密钥对中可以被其它用户所持有的密钥。 公钥基础设施 (Public Key Infrastructure ，PKI) 一个能够对公钥进行管理以支持身份验证、加密、完整性以及不可否认性服务的基础设施。 权限（Privilege） 由认证中心分配给用户实体的属性、特性或特定权限。 权限管理基础设施（Privilege Management Infrastructure，PMI） 支持对用户进行授权服务的特权管理基础设施，它与公钥基础设施有密切的联系。 角色分配证书 一个证书，它包含角色的属性，为证书对象持有者分配一个或多个角色。 安全策略（ security policy） 由安全权威机构发布的用于约束安全服务以及设施的使用和提供方式的规则集合。 认证权威源（Source of Authority） 一个属性权威，它是特定资源的权限管理者。它验证用户实体的属性、权限，并作为最终认证中心为用户实体分配相应的权限。 信任（ trust） 通常说一个实体信任另一个实体表示后一个实体将完全按照第一个实体的规定进行相关的活动。在本标准中，信任用来描述一个认证实体与认证权威之间的关系。 目录查询协议 （Lightweight Directory Acess Protocol，LDAP） 本规范指轻型目录查询协议LDAP。用户可使用LDAP协议，通过网络到目录服务器查询系统中的证书或证书撤消列表。 在线证书状态查询协议 （Online Certificate Status Protocol，OCSP） 用户可使用OCSP协议，通过网络到OCSP服务器实时查询系统中证书的当前有效/无效状态。 对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是相同的一对密钥。通常用于对称密钥密码算法。 非对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是紧密相关但不相同的一对密钥。通常用于非对称密钥密码算法。 注册机构 （Registration Authority,RA） 为用户办理证书申请，身份审核，证书下载、更新、注销以及密钥恢复等实际业务的办事机构或业务受理点，也叫证书注册审核中心。 简单对象访问协议（Simple Object Access Protocol,SOAP） 用该协议实现电子政务客户端与服务器端信息安全交换的功能。 扩展标记语言 (Extensible Markup Language, XML) 用于WWW上保存和传递信息的语言。
  • 4. 司法取证的第一步是： • A. 镜像硬盘 • B. 拔电源 • C. 获取内存数据 • D. 正常关机 5.企业准备将之前自己维护的一个应用程序替换成使用SaaS供应商提供的软件，根据SP800-37r2 RMF 风险管理框架的要求，在替换之前，需要做以下哪一项？ • A. Approving To Operate / 批准运行 • B. Accreditation To Operate 认可运行 • C. Autohrization To Operate 授权运行 • D. Authorization To Use / 授权使用 6.购置软件如何进行安全评估？ • A. DLP策略 ( Data Leak Prevention policy ) • B. 软件保障策略（Software Assurance policy） • C. 持续监控 （Continual Monitoring） • D. 软件配置管理（Software Configuration Management）
    • 4
      • 开机不关、关机不开-这一点切记 获取内存数据
    • 5
      • 授权使用
    • 6
      • 软件保障SwA
        • 软件保障(Software Assurance,SwA)指对软件免于存在漏洞(无论是有意设计到软件中的漏洞还是在其生命周期中的任何时候意外插入的漏洞)以及软件按预期方式运行的信心水平。
        • 软件保障SwA所讨论的对象应该包含任何来源的软件，包括自研、外包或采购的。但在备考CISSP的语境下，SwA主要涉及软件采购的场景，描述了为了达到上述信心水平的软件采购过程的4个阶段：
          • 1、计划planing阶段： (1)确定获取软件服务或产品的需求，识别潜在的备选软件方案，并识别与这些备选方法相关的风险。 (2)开发软件需求(包括SwA需求)，作为工作说明书的一部分； (3)创建采购策略和/或计划，包括识别与各种软件采购策略相关联的风险； (4)制定评估标准和评估计划，评估应是客观、专业的独立测试independent testing。 2、合同Contracting阶段 (1)创建/发布招标或RFP，包括工作说明、报价人/供应商说明、条款和条件(含验收条件)、资格预审和证明； (2)评估响应招标或RFP而提交的建议书(就是评标啦)； (3)完成合同谈判，正式确认条款和条件的变更，并授予合同。 3、监控和验收Monitoring&Acceptance阶段 (1)建立并同意(consenting)合同工作进度表；（consenting是非常正式的知情同意哈，手术前那份同意书就是这个词） (2)实施变更(或配置)控制程序； (3)审查并接受软件交付成果。 4、后续follow-on阶段 (1)支持sustainment，包括风险管理、保证案例管理和变更管理；(考虑从软件供应方得到的支持，而不是甲方自己的运维) (2)处置或退役。
  • 7.公司把设备和科研转移到海外，安全官应担心什么？ • A.设备被盗 • B. 物理安全得不到保障 • C. 知识产权 • D. 缺少安全措施 8.渗透测试进入系统后，可能需要： • A. 管理评审 • B. 管理层审批 • C. 横向提权 • D. 纵向提权 9. VPN中使用端到端的加密有什么风险 • A.防火墙和监控软件识别不到应用数据 • B.在传输过程中每一跳先加密再解密，增加了密钥管理的复杂度 • C.报文的安全性因中间结点的不可靠而受到影响 • D.在网络层需要隔离的措施，进一步提高安全性
    • 7
      • 海外的知识产权保护和国内的不一致
    • 8
      • 什么是提权 提权就是通过各种办法和漏洞，提高自己在服务器中的权限，以便控制全局。 Windows：User >> System Linux：User >> Root 二、怎样进行提权（提权的方式有哪些） 1.、系统漏洞提权（Linux、Windows） 2、数据库提权 3、系统配置错误提权 4、权限继承类提权 5、第三方软件/服务提权 6、WebServer漏洞提权 横向渗透（提权）就是在已经攻击到内网里时候通过肉鸡作为跳板去获取更多的计算机权限，从而控制整个内网，包括SMB扩散、SSH扩散、RDP扩散等 纵向渗透（提权）就是在一台肉鸡里获取更高的权限，就是所谓的提权，就是从普通用户，变成特权用户
    • 9
      • 加密后不能看到VPN通道里面的数据
  • 10.组织的服务器遇到flood攻击，以下方法哪项是快速有效的解决方法？ • A. 购买不同运营商的带宽 • B. 将服务下线 • C. 找安全供应商购买最新的安全软件 • D. 改变防火墙设置 11.组织打算获得ISO/IEC27001信息安全管理体系认证，考虑到风险和成本效益，打算只实施 27001附录A中的部分控制，这样做是否可行？ • A. 可行，但需要在证书范围中声明 • B. 可行，但需要管理评审批准 • C. 可行，但需要在适用性声明中说明 • D. 不可行，附录A中所有的控制都需要实施 12. 软件开发管理流程（SDLC）维持最新的硬件和软件清单主要用于支持： •A. 系统管理 •B. 变更管理 • C. 风险管理 • D. 质量管理
    • 10
      • 选项中的最好的办法是D 不能停止服务，所以不能选C，以后做题要注意，不能破坏服务本身，切记
    • 11
      • 可以，进行范围的裁减
    • 12
      • A B二选一，B的原因可能是最新的这个关键词
  • 13.S/ MIME 靠什么交换密钥？ • A.共享 • B.证书 • C.IKE • D. SHA-1 14.最近在组织的网络上实施了身份验证系统，该组织进行了年度渗透测试，表明测试人员能够使用经过身份验证的凭据横向移动。最有可能使用哪种攻击方法来实现这一目标？ • A. Hash collision 哈希冲突 • B. Pass the ticket 传递票证 • C. Brute force 蛮力攻击 • D. Cross-Site Scripting （XSS）跨站点脚本 15.数据中心火灾风险高，用什么措施？ A. 手持 火器 • B. 干粉 • C. 干管 • D. 防火墙壁、防火天花板、防火地板
    • 13
      • 证书
    • 14
      • 横向移动：见8题的解释 造成的原因可能是票证被盗
    • 15
      • 物理安全计划——考虑要素一墙壁 • 材料〈木材、混凝土和钢材的阻燃性） •防火等级 •安全区域的加固 -地板 • 承重等级 • 材料（木材、混凝土和钢材）的阻燃性 •防火等级 • 架空地板 - 天花板 •材料（木材、混凝土和钢材）的阻燃性 •防火等级 • 承重等级 • 绝缘表面和材料
      • 猜想这道题考察的是预防措施，而不是补偿措施
  • 16.以下哪项能为变更提供控制： • A. 配置管理 • B. CMMI • C. 流程化 • D. 发布管理 17.进行安全意识培训程序的最后一步是？ • A.评估培训有效性 • B. 员工测试 • C. 收集员工的反馈 • D. 收集培训未涉及的内容以便将来的程序 18.一家公司聘请了一家外部供应商对新的工资单系统进行渗透测试。该公司的内部测试团队已经对系统进行了深入的应用和安全测试，并确定其符合安全要求。但是，外部供应商发现了重大的安全漏洞，其中敏感的个人数据以未加密的方式发送到税务处理系统。安全问题最可能的原因是什么？ • A. 性能测试不足 • B. 应用程序级别测试不足 • C. 未进行负向检测 • D.接口测试失败
    • 16
      • 配置管理而不是发布管理 和12题的原因一样
    • 17
      • 最后是评估
    • 18
      • 接口测试(interface test)
        • 主要检查应用或系统开发的不同组件彼此是否同步; 从技术层面接口测试主要用于确定不同功能诸如数据在系统的不同元素中是否按照设计进行传输 用于确保软件的质量
      • C负向测试是从黑客的角度或者非正常使用的角度 而题干考察的是正向的，所以只能选D
  • 19.进行安全评估的时候首先要进行以下哪个步骤？ • A. 执行业务影响分析 • B. 确定安全评估需求 • C. 买最先进的安全技术 • D. 获得管理层授权 20.已下哪项最好的防御已知明文攻击？ C A. 加密前压缩 C B. 加密后压缩 • C. 加密前哈希 • D. 加密后哈希 21.一项用于应对拒绝服务攻击（DOS）的控制可阻止30%的攻击，还能将攻击的影响降低60%。残余风险是多少？ A control to protect from a Denial-of-Service (DOS) attach has been determined to stop 30% of attacks, and additionally reduces the impact of an attack by 60%. What is the residual risk? • A. 42% • B. 28% • c. 18% • D. 10%
    • 19
      • 一般都是确定需求，或者制定策略
    • 20
      • C D 由于散列函数的特性，哈希后不能还原，所以肯定不是哈希 加密后压缩没意义，因为解密后仍然可以拿到密文，所以加密前压缩 题中没说，所以不考虑压缩本身加密码保护
    • 21
      • （100%-30%）*（100%-60%）=28%
  • 22. 对于跨国商业合作中的数据加密存储和传输应用，最有可能遇到的问题是？ • A. 国家与国家之间的加密标准规范不统一 • B. 部分国家的法规监管要求加密数据必须和密钥一起传送 • C. 部分国家的技术实力无法支持加密传输 • D. 很多国家地区的法规不允许过于强的加密，甚至可能不允许加密 23. 以下哪一项是供应商提供的软硬件的最后一个阶段？ • A. End of Sales 销售终止 • B. End of Support 支持终止 • C. End of Supply 供应终止 •D. End of Life 生命期终止 24. 以下哪项不是常用的避免SQL注入的方法？ OA.存储过程 • B.参数化SQL C.正则表达式 • D.禁用select
    • 22
      • 选D，加密标准一般都是一致的 有些国家为了监视国民采取的措施
    • 23
      • EoS
    • 24
      • D
  • 25. 电子传送 electronic vaulting 是： • A. 将交易数据实时传送到远程站点 • B. 将交易日志实时传送到远程站点 • C. 将变更后的文件实时传送到远程站点 • D. 将变更后的文件定期传送到远程站点 26.以下哪一项是在SLA之前建立的？ • A. SLR（服务级别需求） • B. OLA（运营级别协议） • C. UC（支持合同） • D. Service Report（服务报告） 27. 销售人员需要通过web应用访问客户信息，应该依据什么标准来确认web应用程序的分级？ • A. 加密算法 • B. 数据类型 C. 服务器安全级别 • D. 应用程序部署位置
    • 25
      • 1、Electronic Vaulting 电子保险箱/电子分批复制 自动化技术按计划（通常是每天）将数据库备份从主数据库服务器移动到远程站点。 2、Remote Journaling 远程日志记录 有了远程日志，数据传输就能以更快的方式进行。数据传输仍以批量传输模式进行，但传输的频率更高，通常是每小时一次，有时更频繁。 远程日志与电子保险库类似，转移到远程站点的交易日志不应用于实时数据库服务器，而是保存在一个备份设备中。当宣布发生灾难时，技术人员会检索相应的交易日志并将其应用到生产数据库中，使数据库达到当前的生产状态。 3、Remote Mirroring 远程镜像 远程镜像是最先进的数据库备份解决方案。毫不奇怪的是，它也是最昂贵的! 远程镜像超越了远程日志和电子保险箱所使用的技术；通过远程镜像，在备份站点保持一个实时数据库服务器。远程服务器在数据库修改应用到主站点的生产服务器的同时，也会收到这些修改的副本。因此，被镜像的服务器准备好在任何时候接管一个操作角色。 对于寻求实施热站点的组织来说，远程镜像是一种流行的数据库备份策略。然而，在权衡远程镜像解决方案的可行性时，一定要考虑到支持镜像服务器所需的基础设施和人力成本，以及将添加到镜像服务器上的每个数据库交易的处理费用。
    • 26
      • SLA = Service Level Agreement = 服务质量/水平协议 SLO = Service Level Objective = 服务质量/水平目标 SLI = Services Level Indicator = 服务质量/水平指标
      • 运营水平协议（OLA）是服务提供商与其内部团队之间的合同，这些团队各自负责交付 IT 服务的一部分。该协议明确规定了各个团队的服务交付目标和他们应如何进行沟通。 通过 OLA，不同的服务交付团队之间建立了相互依存的关系，以确保他们能够相互协作，共同支持面向最终用户的 SLA。
    • 27
      • 依据数据类型
  • 28.新增加的软件（含自己开发/第三方开发/直接购买），实施之前应该做： • A. 静态测试 • B. 动态测试 • C. 代码审核 • D. 渗透测试 29.以下哪一项决定了CPU可直接寻址的内存空间大小： • A. CPU寄存器个数 • B. 地址总线的位数 • C. 10总线的位数 • D. 虚拟内存总数 30.信息安全从业人员正在实施一个新的防火墙。以下哪种故障方法最能优先考虑安全性？ • A. Fail-Open • B. Fail-Safe • C. Fail-Closed • D. Failover
    • 28
      • 软件安全测试包括静态安全测试和动态安全测试，题干包括采购和第三方的，不一定能拿到代码，所以静态安全测试不一定能做，一定要做的就是动态安全测试
    • 29
      • 总线位数决定大小
    • 30
      • 这道题没审清题，说的是防火墙，所以只能选C 如果这道题题干说的是安全门，并且保护人，就是A
  • 31. 哪个角色负责项目的整体成功并支持整个组织的变更？ • A. Change approver 变更批准者 • B. Project manager 项目经理 • C. Program sponsor 方案发起人 • D. Change implementer变更实施者 32. 以下哪项 BEST 描述了组织何时应对新软件保护执行黑盒安全审核？ • A. 当组织希望检查非功能性合规性的时候 • B. 当组织想要枚举其基础设施中的已知安全漏洞时候 • C. 当组织确信最终源代码是完整的时候 • D. 当组织遇到安全事件的时候 33. WPA2有两种操作模式： •A. 分散式和集中式 •B. 企业模式和个人模式 • C. 网络模式和安全模式 • D. 受控模式和非受控模式
    • 31
      • 题干说的项目，猜想原题中有program，所以是C
    • 32
      • 没看清题，问的是何时，所以选C B说的是漏洞扫描，不是黑盒安全测试
    • 33
      • ENT和PER
  • 34.完整性检查器的缺陷是以下哪个 • A. 只读文件可能会被忽略 • B. 需要假定初始状态是完整的 • C. 难以确定一个修改 • D. 无法检查加密的文件 35.以下哪种恶意代码强调破坏作用本身，而实施破坏的程序通常不具有传染性： • A. 蠕虫 • B. 木马 • C. 逻辑炸弹 • D. 恶意广告 36.以下哪一项会引起 DRP/BCP评审： • A. 高导管理人员变更 • B. 安全委员会人员增加 • C. 业务连续性协调人离职 • D. 组织合并
    • 34
      • 需要现有一个类似基线的初始状态
    • 35
      • 逻辑炸弹
    • 36
      • 组织合并会带来一系列的问题，包括业务，流程，安全需求，环境等
  • 37. 已知某程序有输入验证漏洞，以下最合适的做法是？ • A. 停止服务 • B. 代码修复 • C. 在IDS内更新特征 • D. 应用防火墙添加规则 38.从组织的角度来看，要求信息安全专家在工作中的公共场合尊重道德规范是因为： • A. 提高内部的安全措施执行效果 • B. 展示组织的形象 • C. 展示个人形象取得第三方信任的需要 • D. 展示个人诚信度 39. 下列哪个访问策略，系统根据用户对访问对象的固有安全属性确定访问权限： • A.能力表 • B. DAC • С. МАС • D. ACL
    • 37
      • 代码修复
    • 38
      • 展示组织形象
    • 39
      • MAC
  • 40. 手机上的企业数据和个人数据如何隔离最安全？ • A. 数据库隔离 • B. 加密隔离 • C. 存储分隔 • D. 应用程序隔离 41. 关于WPA2 的兼容性，说法正确的是： • A. 能兼容WPA和WEP • B. 能兼容WPA，但不能兼容WEP • C. 能兼容WEP，但不能兼容WPA • D. 既不能兼容WPA 也不能兼容WEP 42. 安全度量（metric）是为了： • A. 加速安全评估 • B. 量化评估安全措施的有效性 • C. 和最佳实践相一致 • D. 达到安全基线的最低要求
    • 40
      • 存储隔离
    • 41
      • 都能兼容
    • 42
      • 选B
  • 43.以下哪项使用URI作为身份标识 • A. SAML • B. OAuth • C. OpenID • D. OIDC 44.关于安全基线的最佳描述： • A. 组织的高级别安全定义 • B. 用来信息安全管理的软件 • C. 用来支撑组织信息安全政策的实践证明 • D. 在组织实施一致的安全配置 45. 决定个人访问网络的权限是依据： • A. 风险矩阵 • B. 数据价值 • C. 业务需求 • D. 数据分类
    • 43
      • SAML（Security Assertion Markup Language）安全断言标记语言，是一个基于XML的开源标准数据格式。它用于在不同的安全域之间交换身份验证和授权数据，尤其是在身份提供者和服务提供者之间。 SAML 的核心是一组协议，这些协议可以用来传输安全声明，这些声明是关于用户身份验证、授权和属性（例如姓名、电子邮件地址和电话号码）的信息。这些声明以 XML 格式编码，并可以在网络上从一个实体传输到另一个实体。因此，SAML允许跨不同系统和平台实现单点登录（SSO）和联合身份认证 SAML 2.0 工作流程 用户访问服务提供者：用户尝试访问服务提供者（SP）提供的某个受保护资源，但尚未经过身份验证。 重定向到身份提供者：由于用户尚未认证，服务提供者会生成一个 SAML 认证请求（AuthnRequest），并将用户重定向到身份提供者（IdP）。这个重定向可以通过多种绑定协议完成，如 HTTP Redirect 或 POST 请求。 用户身份验证：在 IDP 的页面，用户输入其凭据（如用户名和密码）进行验证。如果凭据成功，身份提供者会生成一个包含用户身份信息的 SAML 响应（Response）。 发送 SAML 响应：身份提供者将 SAML 响应发送回服务提供者，同样可以通过多种绑定协议完成。响应中包含了用户的身份信息、任何额外的属性（如角色、组成员身份等）以及认证时间和有效期等安全声明。 服务提供者验证并接受响应：服务提供者收到 SAML 响应后，会进行验证，以确保响应的真实性和完整性。如果验证通过，验证通过后，SP 根据断言中的信息确定用户身份，并允许用户访问受保护的资源。 用户访问受保护资源：用户已经成功认证，并可以访问服务提供者提供的受保护资源。
      • OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三方 应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他 们数据的所有内容。OAuth在全世界得到广泛应用，目前的版本是2.0版。 优点： 更安全，客户端不接触用户密码，服务器端更易集中保护 广泛传播并被持续采用 短寿命和封装的token 资源服务器和授权服务器解耦 集中式授权，简化客户端 HTTP/JSON友好，易于请求和传递token 考虑多种客户端架构场景 客户可以具有不同的信任级别 缺点： 协议框架太宽泛，造成各种实现的兼容性和互操作性差 不是一个认证协议，本身并不能告诉你任何用户信息。
      • OpenID是一个去中心化的网上身份认证系统。对于支持OpenID的网站，用户不需要记住像用户名和密码这样的传统验证标记。取而代之的是，他们只需要预先在一个作为OpenID身份提供者（identity provider, IdP）的网站上注册。OpenID是去中心化的，任何网站都可以使用OpenID来作为用户登录的一种方式，任何网站也都可以作为OpenID身份提供者。OpenID既解决了问题而又不需要依赖于中心性的网站来确认数字身份。 OpenID正在被越来越多的大网站采用，比如作为身份提供者的AOL和Orange。OpenID可以和.NET Framework的Windows CardSpace一起使用。 由于URI 是整个网络世界的核心，它为基于URI的用户身份认证提供了广泛的、坚实的基础。 OpenID 系统的第一部分是身份验证，即如何通过 URI 来认证用户身份。目前的网站都是依靠用户名和密码来登录认证，这就意味着大家在每个网站都需要注册用户名和密码，即便你使用的是同样的密码。如果使用 OpenID ，你的网站地址（URI）就是你的用户名，而你的密码安全的存储在一个 OpenID 服务网站上（你可以自己建立一个 OpenID 服务网站，也可以选择一个可信任的 OpenID 服务网站来完成注册）。
      • OpenID Connect（简称OIDC）是一种安全认证机制，第三方应用连接到身份认证服务器（Identify Service）获取用户信息，并把这些信息以安全可靠的方式返回给第三方应用。 OAuth2.0通过Access Token作为向第三方应用授权访问自身资源的凭证。OpenID Connect对OAuth2.0进行协议进行了扩展，通过扩展的ID Token字段，提供用户基础身份信息，ID Token使用JWT（JSON Web Token）格式进行封装，提供自包含性、防篡改机制，可以安全的传递给第三方应用程序并容易被验证。除了ID Token，还可以通过Access Token从认证服务的UserInfo Endpoint接口获取更详细的用户信息。 OIDC和OAuth2.0的区别 Oauth流程注重的是授权，是验证统信实体是否有权限访问资源的过程，即“用户能做什么”，OIDC更注重认证的过程，确保通信实体是其所声称的实体，即“是哪一个用户”。 ①OIDC流程中，授权服务器验证成功会响应会返回一个ID令牌，这在Oauth里是没有的。 ②OIDC流程中客户端请求会在请求范围参数中包含字符串“openid”，当然，基本的OIDC架构是这样的，这一条并不绝对，因为随着OIDC的普及，我们也看到了一些重新开发过的OIDC实现，是没有这一部分的 ③在Oauth的认证流程里，对于响应的令牌格式是没有规定，但是OIDC规定了令牌的格式为JWT。其实在实际应用的时候，很多Oauth其实也用的是JWT格式的令牌
    • 44
      • 基线-统一的配置
    • 45
      • 此题考察的知其所需，所以是业务需求，太烧脑了
  • 46. 以下哪一项不是隐私增强技术（PET）？ • A. 同态加密 • B. 差分隐私 • C. 黑暗模式 • D. 安全多方计算 47. RTO能确定？ • A. 数据丢失的时间长短 • B. 发生数据丢失的起始时间点 • C. 恢复应用需要的时间 • D. 恢复应用的优先级 48. 对工控系统进行 fuzzing（模糊测试）可以： • A. 通过冗余提高工控系统的可用性 • B. 对敏感数据进行处理后降低信息泄漏的风险 • C. 发现精确设计的输入导致的缺陷或随机动态的数据处理缺陷 • D. 通过ITF集成测试设施，对实时生产环境进行
    • 46
      • 同态加密： 同态加密能够对加密数据进行计算操作。任何分析的结果都保持加密状态，只有数据所有者才能解密和查看。这种加密方法使企业能够分析云存储中的加密数据，或与第三方共享敏感数据。谷歌已发布了开源库和工具，对加密数据集执行同态加密的操作。 差分隐私： 差分隐私将处理过的干扰信息添加到数据集，这样既可以识别数据集中的组模式，同时保持个人的匿名性。 这使得庞大数据集可以发布用于公共研究。科技公司也使用差异隐私来分析大量用户数据，并从中获得洞察力。 安全多方计算： 安全多方计算（Securemultipartycomputation，简称“SMPC”）是同态加密的一个子领域，将计算分布到诸多系统和多个加密数据源上。这项技术确保任何一方都看不到整个数据集，并限制了任何一方可以获得的信息。OpenMined在其PyGrid对等平台中使用SMPC，用于私密数据科学和联合学习。 黑暗模式： 是指通过各种手段在用户心理或行为上产生诱导、欺骗的效果，导致用户不自觉地执行操作，例如购买、订阅服务、分享个人信息或安装软件等。Dark pattern通常通过欺骗性的交互设计来达到这一效果，其目的是使用户在不知不觉中做出他们本来不想做的事情。
    • 47
      • RTO的概念
    • 48
      • 模糊测试的目的
  • 49.机构在需要进行数据恢复时，发现存储在磁带上的数据因为设备的原因无法被读取了。需要做的事情： • A. 数据已经泄露，需要及时对磁带进行消磁或者处理 • B. 需要寻求第三方专业机构，对数据进行恢复 • C. 说明机构的数据备份措施已经失效，需要重新建设数据备份系统 • D. 磁带存储说明数据已经有保留，不需要处理 50.DR（灾难恢复）培训的目的： • A.正确应对安全事件 • B. 针对具体事件做出正确的反应 • C. 提升员工安全意识 • D. 对未来执行DR计划做好准备 51. 哪一项攻击会影响 VOIP通道的完整性？ • A. 窃听 • B. 中间人攻击 • C. 资源耗尽 • D. DOS攻击
    • 49
      • 这道题想多了，就是修复
    • 50
      • D
    • 51
      • 中间人攻击
  • 52. 进行系统数据隐私保护第一步： • A. 数据隐藏 • B. 数据最小化 • C. 加密 • D. 数据存储 53.以下哪一项最有助于企业降低供应链风险： • A. 严格执行企业的采购流程 • B. 与供应商签订SLA • C. 严格控制供应商的访问权限 • D. 持续的监控、管理和评估 54. BSI（Build Security In 内置安全）的核心思想是： • A. 安全集成到开发生命周期的每一个环节 • B. 风险管理和控制措施是结合在一起的 • C. 操作系统的内核要足够安全 • D. 治理、风险和合规都应该考虑业务的安全需求
    • 52
      • B 不保存不该保留的数据
    • 53
      • D PDCA
    • 54
      • BSIMM( The Building Security In Maturity Model) 软件安全构建成熟度模型 (BSIMM) 是一项针对当前软件安全方案或计划开展的研究。BSIMM 量化不同行业、规模和地域的众多组织的应用安全 (appsec) 实践，并识别各个组织独特的差异。 作为一套随时间的不断发展演进的数据驱动的描述性模型，BSIMM的唯一目标就是观察和报告。其通过对大量企业进行评估得出的统计数据，进行分类归纳，形成的软件安全评估模型。 用途 BSIMM的最重要的用途是作为一个标尺来确定企业目前采用的方法相对于其他企业处于何种位置。企业只需要梳理已经开展了哪些活动，在软件安全框架中找到这些活动，然后再构建自己的记分卡并将其与BSIMM记分卡进行比较，就可以发现自身的不足之处。 BSIMM 是一套随时间的不断发展演进的数据驱动的模型。随着本项目的演进，不断根据所观察到的数据来添加、删除和调整各类活动的级别。 BSIMM主要是用于观察企业开发的安全活动与行业进行一个比较，给企业开发组织反馈一份的分析报告。
  • 55.僵尸网络根据不同的命令控制机制，可划分为三类：基于IRC（因特网中继聊天）协议，基于HTTP协议 和： • A. 基于P2P结构 • B. 基于C/S机构 • C. 基于时钟同步 • D. 基于挑战应答 56. 增强WLAN最好的方式 • A. 隐藏SSID • B. 使用RADIUS认证 • C. 使用WPA2 • D. 使用56位密钥 57. 威胁模型确定了一个中间人（MITM）暴露。信息系统安全官员应选择哪种对策，以减轻PHI（受保护的健康信息）数据泄漏的风险？ • A. 隐私监控 • B. 安全评估 • C. 匿名化 • D. 数据审计
    • 55
      • A
    • 56
      • C
    • 57
      • C
  • 58.数字不可抵赖需要什么？ • A. 可信第三方 • B.适当的安全策略 • C. 对称加密 • D. 多功能识别卡 59.数据分类第一步做什么？ • A. 创建数据字典 • B. 确定所有者 • C. 识别数据 • D. 数据标签 60. 使用OTP（One time password）的双因素认证防止了下面的什么攻击？ • A. 重放 • B. 暴力破解 • C. 洪泛攻击 • D. 木马攻击
    • 58
      • A
    • 59
      • 数据生命周期第一步，识别
    • 60
      • A
  • 61.为什么国际上对计算机犯罪难处理？ • A. 跨国犯罪的复杂性 • B. 国家的贸易保护 • C. 不同国家的法律法规 • D. 难以界定跨国责任 62.对于含有即时通信IM系统的网络，最大的安全性挑战是什么？ • A. 系统兼容性 • B. 信息泄漏 • C. 病毒攻击 • D. 安全补丁 63.数字取证中为什么使用多重散列？ • A. 通过多重散列提高了取证数据的可用性 • B. 通过多重散列，抗抵赖性可以得到更好保护 • C. 多重散列实现了重要证据的知识分割 • D. 一个散列被碰撞后，还有另外的散列可以防止失效
    • 61
      • C 有想多了，就是法律不同
    • 62
      • B
    • 63
      • D
  • 64.要持续改进和提升信息安全管理，使用哪个工具？ • A. SABSA安全架构 • B. COSO 内部控制整合框架 C C. 风险热图 • D. PDCA模型 65.移动终端面临的最大安全漏洞在于： • A. 系统硬件 • B. 移动操作系统 • C. 分布式中间件 • D. 互联网应用程序 66. 交换机进行安全数据收集，交换机数据在X端口，采集器在Y端口，怎样让采集器收集到数据情报： • A.端口映射 • B. 端口镜像 • C. 端口复用 • D. 端口扫描
    • 64
      • C
    • 65
      • D
    • 66
      • B
  • 67.审计师关注： • A.日志收集的数据范围 • B.日志收集的时间 • C.日志的可用性 • D.日志的完整性 68. Linda 正与该组织的一家欧盟业务合作伙伴合作，促进客户信息的交换。Linda 的组织位于美国。Linda 确保GDPR合规的最佳方法是什么？ • A. 具有约束力的公司规则（BCR） • В. 隐私盾 （Privacy Shield） • C. 标准合同条款（SCC） • D.安全港 (Safe harbor) 69. 猜测TCP序列号属于： • A. IP欺骗 • B. 中间人攻击 • C. 碎片攻击 • D. SYN洪泛攻击
    • 67
      • D
    • 68
      • B
    • 69
      • B
  • 70.组织需要共享一个高等级账户，应该 • A. 減少组成员 • B. 完整日志记录 • C. 使用签出程序 • D. 进行特权提升 71.数据挖掘的风险： • A. 可以分析不同来源的数据 • B. 每个数据库的隐私标准不同 • C. 容易导致聚合攻击 • D. 数据库可用性受影响 72. 802.11g的主要特点： • A. 能够提供与802.11b向后兼容 • B. 提供QOS功能 • C. 支持802.1X验证 • D. 是一个城域网MAN无线标准
    • 70
      • C 记住
    • 71
      • 聚合攻击
    • 72
      • A
      • 802.11 a 最高达 54Mbps速率 5GHz 频率范围 802.11 b 最高达11Mbps的速率 2.4GHz 802.11n QoS 802.11g 20--54Mbps 2.4GHz 频段 兼容802.11b 802.11 i 采用标准AES高级加密标准(WPA2)
  • 73.对写入光存储介质的数据进行哪种措施，能够保障数据无法恢复？ • A. 消磁 • B.清理 • C. 清除 • D. 销毁 74.公司内部检测到大量基于客户端的攻击，未来有效的缓解措施是： • A. 外围用防火墙进行web漏洞防护 • B. 解决基于客户端侧的web漏洞 • C. 实施前对客户端本机的服务进行漏扫 • D. 发布加固的客户端镜像 75. 两个存储设备之间通信防止攻击的方法： • A. 链路加密 • B. 防火 • C.IPS • D.IDS
    • 73
      • D
    • 74
      • D
    • 75
      • A
  • 76. 一家医院执行OECD的隐私保护原则。以下哪一项适用于患者从医院门户网站请求医疗记录？ • A. 用途说明 • B. 收集限制 • C. 使用限制 • D. 个人参与 77. 在安全评估中，信息安全人员的职责是 • A. 为组织匹配风险等级 • B. 验证安全措施有效性 • C. 确保安全岗位职责分离 • D.对员工进行安全意识宣灌 78.移动设备取证难点？ • A.登录移动设备需要密码验证 • B. 数据可能被加密 • C. 可能安装了特殊的软件 • D. 数据可能被远程擦除
    • 76
      • D
    • 77
      • B
        • 组织的角色与责任
          • 高级管理者CEO、CFO、COO
            • 对组织安全的维护负有最终责任，关注对组织资产的保护 全面负责信息安全，是信息安全的最终负责人 规划信息安全，确定目标和有限次序，委派信息安全责任 明确信息安全目标和方针为信息安全活动指引方向 为信息安全活动提供资源 重大事项做出决策 协调组织不同单位不同环节的关系
          • 安全专业人员
            • 实施者，包括编写和实施安全策略，负有职能责任 受高级管理层委派(通常向CIO)负责实施和维护安全 设计、实施、管理和复查组织的安全策略、标准、指南和程序 协调组织内部各单位之间所有的与安全相互的交互
          • CIO
            • 监督和负责公司的日常技术运营
          • 首席安全官，CSO
            • 确保业务信息资产得到妥善保管，扮演内部信息安全协调和促动的角色 具体职责: 为信息安全活动做预算 开发策略、程序、基线、标准和指南的开发 开发安全意识程序 参与管理会议 协助内部和外部的审计 需要理解组织的业务目标，引导风险管理过程，确保业务操作和可接受风险之间达成恰当的平衡
          • 安全指导委员会 (SSG Steering)
            • 成员由来自组织机构各部门的人员组成，包括CEO领导，同时CFO、CIO、各部门经理、首席内审员。至少每季度召开一次会议，并有明确议程 职责: 定义组织机构的可接受风险级别 确定安全目标和战略 根绝业务需求决定安全活动的优先级 审查风险评估和审计报告 监控安全风险的业务影响 审查重大的安全违规和事故 批准安全策略和计划的任何重要变更
          • 资产所有者
          • 托管员
          • 用户
          • 审计委员会
            • 由董事会任命，帮助其审查和评估公司的内部运作、内部审计系统以及财务报表的透明度和准确性。 公司财务报表以及财务信息的完整性 公司的内部控制系统 独立审计员的雇佣和表现 内部审计功能的表现 遵守与道德有关的法律要求和公司策略
          • 风险管理委员会
            • 从整体上了解该组织的风险并且协助高层管理者把风险降到可接受的程度。 研究整体的业务风险，而不仅仅是IT安全风险。
    • 78
      • B
  • 79. PEAP通过下面哪项弥补EAP的漏洞： • A. TLS • B. AES • C. RSA • D. PPTP 80. 安全系统项目开发团队必须要要关注的是 • A. 同行业或竞争对手采用的方法 • B. SDLC没有涵盖到的软件和应用 • C. 新的项目管理方法 • D. 尚未正式生效的法律法规和监管条文 81. 渗透测试发现阶段的目的： • A. 收集目标系统的信息 • B. 发现程序遗留的后门 • C. 发现可以被利用的漏洞 • D. 获取系统权限
    • 79
      • A
    • 80
      • D
    • 81
      • B
  • 82.ISO27001关注组织架构，安全策略，以下描述正确的是： • A 国际组织架构更复杂，要求的安全策略更多 • B 金融行业公司比互联网公司组织架构复杂，出现问题损失更大 • C. 如果忽略组织架构，那么安全策略可能不适用 • D. 安全策略有普适性，对不同的安全组织结构都适用 83.web安全通讯，实施哪个能提供更好的安全性？ • A. TLS • B. SHA • C. SSL • D. SET 84. 数据所有者的职责 • A. 数据恢复 • B. 数据可用性的实现 • C. 数据备份和存档 • D. 脱离技术角度的数据保护
    • 82
      • C
    • 83
      • A
    • 84
      • D
  • 85. 一个人有个木马病毒文件，怎么样能最全面的知道这个病毒的最多的信息？ • A. 行为分析 • B. 代码审计 • C. 逆向代码审计 • D. 特征匹配 86. 安全部署程序必须？ • A. 威胁建模和修复必须在生产系统进行 • B. 用户验收的时候必须修复漏洞 • C. 实施安全版本管理和配置管理 • D. 代码审计和代码加密 87. 安排工程师对一个新的web应用进行负向测试，需要做的是？ • A. 输入范围外的值来判断系统的反应 • B. web应用漏洞扫描 • C. 对web应用性能进行压力测试 • D.对web应用性能进行负载测试
    • 85
      • C
    • 86
      • C
    • 87
      • A
  • 88. 公司遭遇洪水攻击，攻击者的动机可能是： • A. 破坏入侵检测防御系统 • B. 篡改核心服务器配置 • C. 以停止服务为威胁进行勒索 • D. 获得生产服务器root权限 89.SSH的优势 • A. 实现远程登录 • B. 传输数据加密 • C. 匿名通信 •D. 抗DDOS攻击 90. 数据归档在SDLC的什么阶段？ •A. 处置 •B. 需求 • C. 开发 • D.维护
    • 88
      • C
    • 89
      • B
    • 90
      • D
  • 91.WLAN中为什么用 ECC 而不是 RSA？ • A. ECC加密更强 • B. ECC密钥更短、加密更快 • C. ECC密钥更长 • D. RSA不安全 92.SQL的DAC自主访问方式下，给予用户“UPDATE”权限修改数据库的命令是： • A. DELEGATE • B. UPDATE • C. GRANT. • D. INVOKE 93.GDPR（一般数据保护条例）定义的公民在其个人数据信息不再有合法之需时拥有要求将其删除或不再使用的权利，这被称为： •A. 个人利益权 • B. 自愿选择权 • C. 被遗忘权 • D. 数据可携权
    • 91
      • B
    • 92
      • C
    • 93
      • C
  • 94.密码学的根基是： • A. ka (Entropy) • B. 加密 （Encryption） • C. 密码 （Cipher） • D. 哈希（Hash） 95.以下哪项不是微服务的特点？ • A. 将应用构建为一组小型服务 • B. 服务可独立部署 • C. 服务间使用ESB（企业服务总线）进行交互 • D. 去中心化 96. TCB（可信计算基）的核心是： • A. 引用监视器 • B. 安全内核 • C. 可信恢复 • D. 强制访问控制
    • 94
      • A
    • 95
      • C
    • 96
      • B
  • 97.企业一台互联网服务器遭到破坏，管理层收到报告后转给了安全经理，安全经理收到报告 之后首先要做的是： • A.用备份数据对互联网服务器进行恢复 • B. 对报告进行调查 • C. 更新配置管理中的服务器状态信息 • D. 启动数字取证流程 98. 敏捷模型的优势： • A. 关注流程 • B. 鼓励客户 • C. 明确需求 • D. 遵循计划 99.代码加密和代码隐藏是用来抵御： • A.逆向工程 • B. 隐蔽通道 • C. 木马攻击 • D. 程序后门
    • 97
      • B
    • 98
      • B
    • 99
      • A
  • 100. 对于员工卡，怎么防止克隆： • A. Personal Identify Verification (PIV卡) • B. Data Protection Card(DPC卡) • C. Token Authentication Card (TAC卡) • D. Hash Integration Card (HID卡) 101. EAP MD5 提供什么验证？ • A. 基于数字证书的验证 • B. 用户端验证服务器端 • C.服务器端验证用户端 • D. 双向验证 102. 和多个云供应商对接解决IAM身份和验证管理的措施是： • A. 实施SSO • B. 可传递信任 • C. 使用时钟同步令牌 • D. 使用异步令牌
    • 100
      • A
        • PIV卡（个人身份验证卡）是美国政府为了标准化身份验证而设计的一种卡片。它不仅包含个人的基本信息，还具有证书、密钥对、引脚编号等，用于确保标准化的身份验证级别。这种卡片由美国国防部（DoD）和其他联邦机构使用，用于安全访问联邦设施和信息系统，确保了标准化的身份验证级别。PIV卡的引入，旨在通过提供生物识别和其他启用双重身份验证的唯一标识符，增强安全性，防止未经授权的访问风险，从而防范复杂的网络威胁，包括网络钓鱼和社会工程攻击‌。 在技术实现上，PIV卡与符合CCID级的USB读卡器一起使用，能够在iOS 16和iPadOS 16.1或更高版本的设备上实现原生支持。用户可以利用这些智能卡进行网页服务、App的认证，以及在“邮件”App中进行电子邮件的签名和加密。这种支持基于CryptoTokenKit框架，无需任何额外软件即可提供智能卡支持。此外，配合iPhone或iPad使用智能卡时，某些符合CCID级的桌面读卡器可能需要使用可供电的USB集线器以满足增加的功率需求‌。 ‌PIV卡是一种在商业和政府组织中广泛使用的智能卡，主要用于双重认证、数字签名和加密。‌
        • Data Protection Card 没有这种卡
        • Token Authentication Card 也没有
        • Hash Integration Card (HID卡) 就是普通卡
    • 101
      • C
        • 服务器端验证客户端，选错了纯粹没看清或者想多了
    • 102
      • B
  • 103.客户端和服务器端需要共享密钥时，代码中硬编码了密钥，用什么解决比较好？ • A. RSA • B. ECC • C. Diffie-Hellman • D. DSA 104.实施企业身份和访问管理（IAM）的好处是： • A. 提高机密性 • B. 简化密码要求 • C. 自动执行职责分离 • D. 降低孤儿账户的风险 105.OWASP ASVL1 （Application Security Verification Levels） 应用安全验证级别1级的特点是： • A. 机会主义者会利用一切可能的简单漏洞 • B. 包含敏感信息的应用程序 • C. 需要最高保护级别的最关键应用 • D. 验证操作系统内核
    • 103
      • C
    • 104
      • D
    • 105
      • A 排除法
  • 106.Scrum方法论中的角色是什么？ • A. 产品经理，Scrum Master 和 开发团队 • B. 质量保证团队、Scrum Master 和 开发团队 • C. 项目经理，Scrum Master 和开发团队 • D. 系统所有者，Scrum Master 和开发团队 107. 一个软件模块中各部分的关联程度指的是？ • A. 内聚性 • B. 聚合性 • C. 耦合性 • D. 共生性 108. 攻击树的用处： • A. 简化分析 • B.威胁建模 • C. 单点故障 • D. 漏洞分析
    • 106
      • A
    • 107
      • A
        • 耦合性 耦合性是指软件结构中模块相互连接的紧密程度，是模块间相互连接性的度量耦合强度的大小是由模块间接口的复杂程度决定的。 内聚性 内聚性表示一个模块内部各个元素(数据、处理)之间联系的紧密程度。显然,块内联系愈紧,即内聚性愈高，模块独立性愈好。
    • 108
      • A
  • 109. 在软件开发生命周期中的需求收集阶段，下面哪个活动最适合用来降低风险？ • A. Create use cases 创建用例 • B. Identify regulatory needs 识别监管需求 • C. Review secure coding guidelines 审核安全编码指南 • D. Establish the development environment 建立开发环境 110. 保存用于硬盘加密的密钥， • A. 使用了冗余，提供更高的可用性 • B. 防篡改，保证秘钥完整性 • C. 通过数字签名，提供不可抵赖性 • D. 使用了混合加密，效率高 TPM（可信赖平台模块）相对 USB KEY 的优势： 111. 在为数据丢失防护（DLP）解决方案开发业务规则时，必须考虑以下哪一项？ • A. 数据可用性 • B. 数据敏感性 • C. 数据所有权 • D.数据完整性
    • 109
      • B 越早的阶段越好，不要被监管两个误导
    • 110
      • B
    • 111
      • B
  • 112. 确定内部事故响应团队所需资源最有效的方式是： • A. 对标其他事故响应计划。 • B.聘请事故管理专家提供指导。 • C. 使用事件场景测试响应能力。 • D.确定事故响应的范围和章程。 113. 一名隐私工程师被要求查看一个在线账户登录页面。他发现，用户登录其在线账户时可以尝试的无效登录次数没有限制。 为了最大限度地减少这一弱点带来的潜在隐私风险，最好的建议是什么？ • A.实施验证码CAPTCHA系统。 • B.开发服务器端输入验证检查。 • C.强制执行强密码和帐户凭据。 • D.实施强大的传输层安全（TLS），以确保加密的链路。 114. 什么是访问控制列表？ • A.一个人访问资源所需的步骤列表。A list of steps necessary for an individual to access a resource. • B.表明授予每个人的许可类型的列表。A list that indicates the type of permission granted to each individual. • c.显示一个人有权访问的资源的列表。A list showing the resources that an individual has permission to access. • D.对资源的访问权限被撤销的个人列表。A list of individuals who have had their access privileges to a resource revoked.
    • 112
      • D D比C好
    • 113
      • A
    • 114
      • B
  • 115. Secure ShelI（SSH-2）支持身份验证、压缩、机密性和完整性，SSH通常用作以下所有协议的安全替代方案，除了： • A. telnet • B.rlogin • C.rsh • D. https 116. 下列哪项不是内部程序员绕过正常的安全控制，进行软件开发的常用方法？ • A. A Trojan horse 特洛伊木马 • B. A maintenance hook 维护钩 • C.A back door 后门 • D.A trap door 陷门 117. 以下哪一项不属于软件架构： • A. 客户端/服务器端 • B. 微服务 • C. 微隔离 • D. 为内核
    • 115
      • D
    • 116
      • A
    • 117
      • C
  • 118.运维团队负责决定什么数据需要备份，以及备份的频率。下面哪个类型的备份流程是备份自从上次所有数据备份以来的修改过的文件？ • A. Incremental backup 增量备份 • B. Full backup 完全备份 • C. Partial backup 部分备份 • D. Differential process 差异备份 119. 业务连续性计划经常会变得过时，下面哪项不是导致计划会变得过时的原因？ • A. 硬件、软件和应用的变化 Changes in hardware, software, and applications • B. 基础设施和环境的变化 Infrastructure and environment changes • C. 人员的流动 Personnel turnover • D. 业务连续性流程集成到变更管理流程中 That the business continuity process is integrated into the change management process 120.当应用程序错误地允许无效的输入被写入堆栈，返回的指针被指向恶意代码，发生了哪种攻击？ • A. Traffic analysis 流量分析 • B. Race condition 竞争条件 • C. Covert storage 隐蔽存储 • D. Buffer overflow \ФШ
    • 118
      • D 没看清题，题中问的是备份不是恢复，我看成恢复了
    • 119
      • D
    • 120
      • D
  • 121. RAID系统使用了一系列技术来实现冗余和性能。下面哪个活动是把数据分离写在几个驱动器上？ • A. Parity 奇偶校验 • B. Mirroring 镜像 • C. Striping 条带化 • D. Hot-swapping 热插拔 122.Bob最近实施了一种入侵预防系统（IPS），旨在阻止常见的网络攻击对他的组织造成影响。 Bob正在追求哪种类型的风险管理策略？ • A. 风险接受 • B. 风险避免 • C. 风险缓解 • D. 风险转移 123.以下哪项是编写信息安全策略的最佳理由？ • A. 支持信息安全治理 • B. 减少审计发现的数量 • C. 降低安全成本 • D. 实施有效的信息安全控制
    • 121
      • C
    • 122
      • C
    • 123
      • A
  • 124.X公司最近开发了一种新的微处理器制造工艺。该公司希望将该技术授权给其他公司使用，但希望防止未经授权使用该技术。什么类型的知识产权保护最适合这种情况？ • A. 专利 • B. 商业秘密 • C.版权 • D.商标 125. 在对某初创公司的自带办公设备BYOD实务进行风险评估期间，风险从业人员注意到，在第三方云应用上运行信用卡账号查询之前，数据库管理员将他的个人设备上的社交媒体网站最小化。风险从业人员应建议企业： • A. 开发和部署BYOD可接受使用政策 • B. 在每台移动设备上设置虚拟化桌面 • C. 将社交网站加入隔离区DMZ内设备的黑名单中 • D.为数据库管理员提供用户意识培训 126. 在灾难恢复过程中，由于之前备份的数据量太大，导致这部分数据恢复没能在既定的时间完成，这是没有达成哪一个目标？ • A. RTO 恢复时间目标 • B. RPO 恢复点目标 • C. SDO 服务交付目标 • D. WRT 工作恢复时间
    • 124
      • A
    • 125
      • B
        • A. 在允许个人设备连接到公司网络之前固然必须制定自带设备 （BYOD）政策，但它不是一种預防性控制，而是一种管理性控制。 B只允许 BYOD 通过虚拟化桌面客户端访问网络，这样就没有数据存储在设备上，通过该设备输入的所有會令也会实际执行并存储在企业的隔离区（DMZ）、刚络或服务器中。使用这种移动/企业架构时，用户可以在个人设备上访问公司网络/数据，同时遵守企业的可接受使用政策。 C.将 DMZ内的社交媒体网站或任何其他应用加入黑名单，一般不会扩展到连接网络的个人设备。但应注意，已经有新兴的技术可以特别将移动设备上的应用加人黑名单或白名单。 D. 虽然每个安全政策都应提供一定程度的用户意识培训，但只让数据库管理员（DBA）了解同时使用社交媒体网站和公司应用程序的潜在危险并不是最有效的控制。
    • 126
      • A
  • 127. PPTP 使用哪项加密技术： • A. L2TP • B. MPLS • C. MPPE • D. IPSec 128. 构建防火墻的第一步是？ • A. 了解并比较现有的防火墙技术 • B. 进行风险分析，识别需要解决的问题 • C.进行渗透测试，进行攻击面分析 • D. 明确防火墙管理员的角色和职责 129.0SI网络层能执行什么？ • A. 应用过滤 • B. 端口控制 • C. 数据包过滤 • D.RPC远程过程调用
    • 127
      • C
    • 128
      • B
    • 129
      • C
  • 130. Of the following, what is the primary item that a capability list is based upon? 能力表是基于下面哪项主要条目来建立的？ • A. A subject 一个主体 • B. An object 一个客体 • C. A product 一个产品 • D. An application 一个应用 131. 哪种类型的测试用于验证程序组件的数据结构、逻辑和边界条件？ • A. Acceptance testing 验收测试 • B. Regression testing 回归测试 • C. Integration testing 集成测试 • D. Unit testing 单元测试 132. 以下哪种技术可以隐藏信息还可隐藏技术本身？ • A.加密哈希 • B. 数据签名 • C. 隐写术 • D. 混合加密
    • 130
      • A
    • 131
      • D
        • 单元测试主要测试以下几个方面： 1、单元接口。 2、局部数据结构。 3、独立路径。 4、出错处理。 5、边界条件。 系统测试 功能测试（配置测试、恢复性测试、备份测试） 性能测试（压力测试、稳定性测试、容量测试） GUI测试（可用性测试） 兼容性测试 安全性测试（网络测试） 安装性测试 文档测试 集成测试 模块内集成测试（单元测试完成后） 子系统内集成测试，即模块间集成测试 子系统间集成测试 目的：1.找出模块接口以及整体体系结构上的问题； 2.确保各组件组合在一起后能够按照既定意图协作运行，并确保增量的行为正确； 3.集成测试属于灰盒测试； 1)验证接口是否与设计相符合； 2)发现设计和需求中存在的错误。
    • 132
      • C
  • 133.在进行安全风险评估时为组织在日常安全所面临的挑战给出最好的指标的是？ • A. 内部安全测试 • B. 外部安全测试 • C. 公开安全测试 • D. 隐蔽安全测试 134.当危害（hazard）与人类脆弱性（vulnerability）相互作用时，哪种事件规模被定义为致命（deadly）、毁灭性（destructive）和引起混乱的（disruptive）？ • A. Crisis / ft. • B. Catastrophe / 77 • C. Accident / 事故 • D. Disaster 135. 以下哪项最能描述软件取证的目的？ • A. 分析恶意软件可能的恶意意图 • B. 执行循环冗余校验（CRC）验证并检测更改的应用程序 • C. 确定代码的作者和行为 • D. 审查程序代码以确定是否存在后门
    • 133
      • D
        • 公开测试Overt Testing： 在机构的IT人员知情并同意的情况下进行的外部和/或内部测试，从而实现对网络或系统安全状况的全面评估。 由于IT人员完全了解并参与了测试，可以实现较高的测试覆盖度，可以提供指导以最小化测试的影响； 测试还可以提供一个培训的机会，IT人员可以观察学习评估人员的评估方法和绕过现有安全措施的方法。 公开测试的成本较低，风险比隐蔽测试小，且更多的被采用。 隐蔽测试Covert Testing： 采取对抗性的方法，在机构的IT人员不知情的情况下进行测试，但得到了上层管理部门的充分了解和许可。在有或没有警告的情况下进行都可以。 目的是检查攻击者可能造成的损害或影响——它并不侧重于识别漏洞，测试覆盖度低于公开测试； 除了不能充分的识别漏洞外，由于隐蔽性要求，隐蔽测试通常很耗时，而且成本较高。为了在隐蔽环境中操作，测试团队必须控制扫描和其他行动的节奏，以规避目标机构的安全人员的“雷达”。 隐蔽测试的优势在于能更好地揭示目标机构的日常真实安全状态，主要体现在如下三个方面： 现有安全控制的效用 IT人员对感知到的安全事件的反应 员工对机构安全政策的了解和执行 隐蔽测试通常需要事先定义明确的界限，当达到一定的访问水平或显现出测试的下一步可以实现某种类型的破坏时，就停止测试。
    • 134
      • B
    • 135
      • C
        • Wikipedia对软件取证的定义：软件取证是分析软件源代码或二进制代码以确定是否发生知识产权侵权或盗窃的科学。当公司因涉及软件专利、版权和商业秘密的问题发生争议时，它是诉讼、审判和和解的核心。 软件取证工具可以比较代码以确定相关性，这是一种可用于指导软件取证专家的措施。 A 说的是恶意软件取证的目的（恶意软件取证分析和调查恶意软件，以确定其来源、目的和潜在的影响风，险。它涉及使用各种技术和工具来收集和分析受感染系统的数据，以处理或防止未来的恶意攻击。） B 说的是完整性检查器的目的 D说的是代码审查的目的
  • 136.以下哪一项不属于基于行为特征的生物识别验证方式？ • A. 击键力学 • B. 签字力学 • c. 语音识别 • D. 步态验证 137.哪一项最能防止硬行闯入： • A. 警报系统 • B. 旋转门 • C. 捕人陷阱 • D. 安全意识宣贯 138.最近离开组织的一位同事向安全专业人员索要该组织机密事件管理策略（confidentialincident management policy）的副本。以下哪项是对此请求的最佳响应？ • A. 在公司发行的设备上访问策略，并让前同事查看屏幕。 • B.通过电子邮件将策略发送给同事，因为他们已经是组织的一部分并且熟悉它。 • C. 不回应收到前同事的请求，并忽略它们。 • D. 使用公司官方渠道提交请求，以确保政策可以分发。
    • 136
      • C
    • 137
      • C
    • 138
      • C
  • 139.开发信用卡和医疗业务软件，要保障知识产权可以参考： • A. 27002 • B. HIPPA • C. PCI DSS • D. COBIT 140. Management can expect penetration tests to provide all of the following EXCEPT 管理层可以预期渗透测试达到下面的目的，除了： • A.identification of security flaws 找出安全漏洞 • B. demonstration of the effects of the flaws 证明漏洞的影响 • C. finding a method to correct the security flaws. 找到纠正安全漏洞的方法 • D. verification of the levels of existing infiltration resistance 验证当前的入侵防御水平 141. Which one of the following is a characteristic of a penetration testing project? 下面哪个是渗透测试项目的特征？ • A. The project is open-ended until all known vulnerabilities are identified. 直到发现了所有已知的漏洞，项目无法结束 • B. The project schedule is plotted to produce a critical path. 绘制项目时间安排来产生关键路径 • C. The project tasks are to break into a targeted system. 项目任务是突破进入目标系统 • D. The project plan is reviewed with the target audience. 项目计划由目标用户来评审
    • 139
      • A
    • 140
      • C
    • 141
      • C
  • 142. What type of risk analysis approach does the following graphic provide? 下面图示提供的是那种风险分析方法？ • A. Quantitative $= • B. Qualitative ZI • C. Classification >4 • D. Categorize S$ 143. For which one of the following is a computer user MOST accountable? 下面哪项是对一个计算机用户问责最需要的？ • A. Classifying important data files 对重要数据文件进行分类 • B. Actions performed with their identification 使用他们自己的身份来执行任务 • C. Sharing their logon password with appropriate persons 与合适的人共享他们的登陆密码 • D. Protecting system applications that are accessed 保护他们访问的系统应用程序 144. What should be the INITIAL response to Intrusion Detection System/Intrusion Prevention System (IDS/IPS) alerts? 针对入侵检测系统/入侵防御系统（IDS/IPS）报警的第一个响应是什么？ • A. Ensure that the Incident Response Plan is available and current. 确保事件响应计划是可用的和最新的 • B. Determine the traffic's initial source and block the appropriate port. 判断流量的初始源，并阻断合适的端口 • C. Disable or disconnect suspected target and source systems. 关闭或断开可疑的目标和源系统 • D. Verify the threat and determine the scope of the attack. 确认威胁并判断攻击的范围
    • 142
      • B
    • 143
      • B
    • 144
      • D
  • 145.以下哪一项是关于隐私信息管理体系（PIMS）的标准？ • A. ISO/IEC 27001. • B. ISO/IEC 27002 • C. ISO/IEC 27701 • D. ISO/IEC 29151 146. 以下哪项最好地保护了敏感信息泄漏？ • A. 安全哈希算法（SHA） • B. 传输层安全协议（TLS） • C. 有线等效保密协议（WEP） • D. 邮件协议（POP） 147. Which of the following BEST defines the final stage of the identity management architecture lifecycle?下面哪个最好的定义了身份管理架构生命周期最后一个阶段？ • A. Approval 批准 • B. Auditing 审计 • C. Communication i • D. Training 培训
    • 145
      • C
    • 146
      • B
    • 147
      • B
  • 148.一个组织制定了关于数据分类和数据处理相关的全面的政策和程序。但是，该组织还是因不当披露客户的隐私数据给第三方，遭到了许多客户的诉讼。这些泄露是没有恶意的。这些泄露的客户数据已经标识为机密。下面哪项是泄露问题最可能的原因？ • A. Improper data classification 不正确的数据分类 • B. Improper data retention 不正确的数据保留 • C. Improper data access controls 不正确的数据访问控制 • D. Improper data handling 不正确的数据处理 149. 小步快走，快速试错，送代周期短，需求变化频繁，是以下哪种开发方法的特点： • A. 螺旋开发模型 • B. 快速原型法 • C. 敏捷开发 • D. V字模型 150. 以下哪个角色在访问数据时必须十分谨慎并严格遵循安全策略和数据分类规则，他/她不能决定、维护或评价控制 • A. Data owner 数据所有者 • B. Data custodian 数据管理者 • C. Data user 数据使用者 • D. Information systems auditor 信息系统审计师
    • 148
      • C
    • 149
      • C
    • 150
      • C
  • 151. 以下哪些信息必须提供给用户帐户开通（provisioning）？ • A. 全名 • B. 唯一标识符 • C. 安全问题 • D. 出生日期 152.将安全补丁应用于之前经过通用标准（CC）评估保证级别（EAL）4级验证的产品，应该： • A. require an update of the Protection Profile （PP）. 要求更新保护配置文件（PP） • B. require recertification.要求重新认证 • C. retain its current EAL rating. 保留其当前的EAL评级 • D. reduce the product to EAL 3. 将产品降低至EAL 3 153.对于使用公共云服务的组织来说，以下哪种介质净化技术最有效？ • A. Low-level formatting 低级别格式化 • B. Secure-grade overwrite erasure 安全级别覆写擦除 • C. Cryptographic erasure 加密擦除 • D. Drive degaussing 驱动消磁
    • 151
      • B
    • 152
      • B
    • 153
      • C
  • 154.什么类型的攻击最能描述电磁脉冲（EMP）攻击？ • A. Radio Frequency （RF） attack / 射频（RF）攻击 • B. Denial of Service （DoS） attack / 拒绝服务（DoS）攻击 • C. Data modification attack / 数据修改攻击 • D. Application-layer attack / 应用层攻击 155. Determining outage costs caused by a disaster can BEST be measured by the: 确定由灾难造成的停机成本最好通过： • A. cost of redundant systems and backups. 冗余系统和备份的成本。 • B. cost to recover from an outage. 从中断中恢复的成本。 • C. overall impact of the outage. 中断的总体影响。 • D. revenue lost during the outage. 中断期间损失的收入。 156.谁主要负责确保安全目标与组织目标一致？ • A. 高级管理层 • B. 信息安全部 • C. 审计委员会 • D. 所有用户
    • 154
      • B
    • 155
      • C
    • 156
      • A
  • 157. 在高噪音、堆满物体的环境中，建议使用以下哪种报警系统来检测通过窗户的入侵？ • A. 声传感器 Acoustic sensor • B. 运动传感器 Motion sensor • C. 震动传感器 Shock sensor • D. 光电传感器 Photoelectric sensor 158. 当员工被解雇时，以下哪项是管理用户帐户的最有效做法？ • A. 实施流程以自动移除（remove）已离职员工的访问权限。 • B. 离职时删除（delete）员工网络和系统 ID。 • C. 手动移除（remove）离职员工对所有系统和应用程序的访问权限。 • D.禁用（disable）离职员工的网络ID以移除（remove）所有访问权限。 159.以下哪一项是为员工做好紧急情况准备的意识和培训计划中最重要的部分？ • A. 为普通员工建立紧急联系人以获取信息 • B. 为那些直接参与恢复的人员进行业务连续性和灾难恢复培训 • c. 为不同的受众设计业务连续性和灾难恢复培训计划 • D. 在企业网站上发布企业业务连续性和灾难恢复计划
    • 157
      • C
    • 158
      • A
    • 159
      • C
  • 160.从系统或存储设备中移除（removing）敏感数据以使数据无法通过任何已知技术重建的过程是什么？ • A. 清除 / Purging • B. 加密 / Encryption • C. 格式化 / Formatting • D. 清理 / Clearing 161. 系统开发生命周期（SDLC）流程的安全认可在哪个阶段的未期完成？ The security accreditation task of the System Development Life Cycle (SDLC) process is completed at the end of which phase? • A. 系统获取和开发 • B. 系统运维 • C. 系统初始 • D. 系统实施 162.Bob 的组织最近完成了对一家竞争对手公司的收购。以下哪项任务最不可能成为收购过程中组织流程关注的一部分？ • A. 合并安全职能 • B. 集成安全工具 • C. 保护知识产权 • D. 整合安全政策
    • 160
      • A
    • 161
      • D
    • 162
      • C
  • 163. 一个组织计划购买由小型供应商开发的定制软件产品以支持其业务模型。在创建合同协议时，考虑到与这种依赖关系相关的潜在长期风险，应特别关注以下哪项？ • A. 对技术文档的访问 • B. 要求对软件源代码进行独立审查的权利 • C. 要求提供符合安全要求声明的尽职调查表 • D. 源代码托管条款 164.应用程序的设计审查已经完成，准备发布。组织应该使用什么技术来确保应用程序的完整性？ • A.应用程序身份验证 • B.输入验证 • C.数字签名 • D.设备加密 165.两个公司之间出现了恶意行为，适用哪种法？ • A.刑法 • B. 民法 • C.监管法 • D.行政法
    • 163
      • D
    • 164
      • C
    • 165
      • B
• 主题