CISSP五套模拟题

本人精心找到的5套CISSP模拟试题和答案，另附部分详细解析和部分知识总结。内容实用，感兴趣的小伙伴可以收藏一下~

五套模拟题

• 第一套模拟题
  • 题和答案
    • 1.在为灾备中心选址时，影响最小的因素是？ A．经过飞机航线的区域 B．所在地区的犯罪发生率 C．易受台风影响的区域 D．周边的建筑和商业情况
      • A D的影响更大
    • 2.由数据所有者授予其他用户对数据的访问权限的访问控制方式是？ A.强制访问控制 MAC B.自主访问控制 DAC C.非自主访问控制 NDAC D.基于角色的访问控制 RBAC B
      • • 自主访问控制模型 (DAC)
          • 数据所有者自主决定谁能访问数据 基于用户和资源标识 直接面向用户进行限制
          • 面临问题:木马、社会工程
        • 强制访问控制模型 (MAC)
          • MAC依赖于安全标签(敏感标签) 安全级别较高场合:军队/政府机构 (客体有分级 security classification)， 同时只允许高于客体级别的用访问 (主体有许可 scrurity clearance) (固有属性)
          • 只有管理员可以更改客体级别，而不是数据所有者(data owner)
        • 基于角色访问控制模型 (RBAC)
          • 使用集中访问控制决定主客体的访问 ，建立在用户角色的基础上
          • 基于工作职责的权限分配，可以和组织结构关联，用户或组对应角色，赋予角色某些权限 最小特权：这种方法通过防止权限蔓延来帮助实施最小特权原则。 权限蔓延是用户随着角色和访问需求的变化而逐渐积累特权的趋势。
          • 类别
            • 核心RBAC：用户、角色、权限、操作和会话，应根据策略进行定义和对应
            • 层次化RBAC
              • 角色关系定义了用户成员和权限集成 反应组织机构和功能描述
              • 有限层次---单角色继承 普通层次---多角色继承
            • 受限RBAC
              • 引入职责分离
              • RBAC中的静态职责分离
                • 示例:会计和出纳，防止欺诈
              • RBAC中的动态职责分离
                • 根据激活的会话中的角色，动态限制另外的职责分离的权限
        • 基于规则的访问控制 (RuBAC)
          • 基于 if x then y
          • 使用特定的规则来指示主体和对象之间能发生什么以及不能发生什么。 基于规则的访问控制不一定是基于身份的。 许多路由器和防火墙使用规则来确定哪些类型的数据包被允许进入网络/被拒绝。
        • (ABAC)基于属性的访问控制
          • 新型的访问控制，解决RBAC的不足， 每个资源和用户都赋予一系列属性，基于对用户属性的比较评估， 比如时间、职务和位置，来确定该用户是否能访问某个资源。
          • 更细颗粒度
    • 3.为了保护隐私数据，对数据元素进行替换的方法是？ A.字段级加密 field level encryption B.行级数加密row level encryption C.批量数据哈希batch hash D.数据标记化data tokenization D
      • 标记化是一种用非关键数据交换关键数据的特定技术。该非敏感数据（称为令牌）没有可解释的值，仅是连接回敏感信息的标识符，因此用户无法访问信息。 标记化的主要目的是保护原始数据不被暴露，并保护其价值。标记化的过程与加密完全不同，在加密中，易受影响的数据被更改和保存，并且在任何情况下都不允许将其用于组织目的。
    • 4.当改变明文中的某一位时，密文中的多处会随之改变，这一特性是？ A．随机 Randomization B．扩散 Diffusion C．混淆 Confusion D．离散 Discrete B
      • 扩散就是让明文中的每一位影响密文中的许多位，或者说让密文中的每一位受明文中的许多位的影响．这样可以隐蔽明文的统计特性。 混淆就是将密文与密钥之间的统计关系变得尽可能复杂，使得对手即使获取了关于密文的一些统计特性，也无法推测密钥。使用复杂的非线性代替变换可以达到比较好的混淆效果，而简单的线性代替变换得到的混淆效果则不理想。 雪崩效应（Avalanche effect）指加密算法（尤其是块密码和加密散列函数）的一种理想属性。雪崩效应就是一种不稳定的平衡状态也是加密算法的一种特征，它指明文或密钥的少量变化会引起密文的很大变化。雪崩效应是指当输入发生最微小的改变（例如，反转一个二进制位）时，也会导致输出的剧变（如，输出中一半的二进制位发生反转）。在高品质的块密码中，无论密钥或明文的任何细微变化都应当引起密文的剧烈改变。
    • 5.在进行系统漏洞扫描时发现，有些通信端口在未授权的情况下被打开了。系统很可能是遭到了哪种攻击？ A.SYN洪泛攻击 B.暴力破解 C.端口扫描 D.木马 D
    • 6.新雇佣的员工在登陆应用程序系统时使用了共享账号，这违反了公司政策。以下哪种方法能够最有效地控制此问题？ A. 监测访问控制 B. 对用户进行安全意识培训 C. 将责任分配到部门主管 D. 对IT人员进行培训
      • B 使用共享账号的主要原因是安全意识薄弱，安全意识培训通常包含强调共享账号危害的内容。
    • 7.在审查入侵检测日志时，发现有些来自互联网的通信，其IP地址显示为公司工资服务器。以下哪项恶意活动最可能导致这类结果？ A．拒绝服务 (DoS) 攻击 B．端口扫描 C．中间人攻击 D．欺骗 (spoofing) D 8.在客户机／服务器架构中的“相互验证”指的是？ A.服务器和服务器之间的交叉验证 B.客户端和服务器端建立连接时的三次握手 C.客户端一旦被服务器端验证，则客户端可以访问系统内其他的资源 D.服务器端验证客户端，客户端验证服务器端 D 9.在物理访问控制中使用电子访问控制令牌的主要优点是？ A.在紧急情况下能自动锁定 B.可以监控门窗的打开情况 C.当检查到入侵时会自动触发报警 D.克服了钥匙管理问题 D 10.要防止IP地址欺骗攻击 (IP spoofing) ，应将防火墙配置为丢弃以下哪类数据包？ A．启用源路由字段的数据包。 B．在目标字段中拥有广播地址的数据包。 C．开启TCP连接的复位标记的数据包。 D．用动态路由替代静态路由的数据包。 A 11.通信网络中链路加密的特点是？ A．仅加密用户信息，不加密数据包头部、尾部、地址和路由信息 B．数据包在每一跳都进行解密，因此有更多脆弱点 C．加密发生在应用层 D．密钥分发和管理相对简单 B
      • 8 相互认证 EAP-TLS
      • 10 启用源路由字段的数据包是通过在数据包的IP报头中定义了一个可选项来实现的，‌这个可选项列出了一个或多个中间目的地址，‌要求数据包在到达最终的目的地址前必须经过这几个中间地址。 严格源路由选项：规定IP数据报要经过路径上的每一个路由器，相邻路由器之间不得有中间路由器，并且所经过的路由器的顺序不可更改。 松散源路由选项：只是给出IP数据报必须经过的一些“要点”，并不给出一条完备的路径，无直接连接的路由器之间的路由尚需IP软件的寻址功能补充。
    • 12.HAL硬件抽象层属于： A.网络硬件 B.系统硬件 C.系统软件 D.应用软件 C
      • HAL，‌即硬件抽象层（‌Hardware Abstraction Layer）‌，‌是一种系统软件。‌它位于操作系统内核与硬件之间，‌作为一个中间层，‌帮助操作系统更好地管理和控制硬件。‌通过使用HAL，‌操作系统可以更加灵活地与各种硬件进行交互，‌而无需直接了解硬件的具体细节。‌这种抽象层的设计使得操作系统能够更加通用和灵活，‌同时也简化了硬件的更换和维护过程。‌因此，‌HAL是系统软件的一部分，‌它帮助操作系统以一种更加标准化的方式与硬件进行交互，‌从而提高系统的可移植性和可维护性
    • 13.通过识别异常行为来检测病毒的防病毒软件属于： A.特征型 B.启发型 C.推理型 D.归纳型 B
      • 13 没有C和D
    • 14.某家安全要求极高的组织正在配置生物识别系统，以下哪一项性能指标最重要？ A．低错误接受率 (FAR) B．低错误拒绝率 (FRR) C．低相等错误率 (EER) D．低误判率 (FIR) 15.攻击者最有可能通过以下哪一项获得对系统的特权访问？ A.包含敏感信息的日志 B.包含系统调用的日志 C.写系统资源的程序 D.写用户目录的程序 16.当程序在特权模式下运行时面临的风险是？ A.可能执行恶意代码 B.破坏了职责分离 C.不必要的代码复杂性 D.不必要的进程隔离 17.业务连续性管理中，在完成了业务影响分析(BIA)之后，紧接着要做的是？ A.将BIA的结果报告给管理层，以获得业务连续性项目资金 B.识别并选择恢复策略 C.准备测试计划，测试灾难恢复能力 D.进行风险评估与分析
      • 14 纯属没看清题 A
      • 15 C 只查看日志没法获得访问权限，这里想太多了，以为是分析可以得到用户密码 普通用户就可以写用户目录
      • 16 A 特权模式和职责分离没有关系，因为此题说的是执行程序，程序在特权模式下权限更大 但是如果题中说的是管理员和普通用户，就可能和职责分离是有关的，注意审题
      • 17 B BCM具体实施时，将分为10个步骤进行实施： 1、启动调研 通过对企业的组织架构、管理流程、业务运作模式和IT支持系统进行考察和调研，以确定业务持续性管理(BCM)过程或功能的需求。 2、风险评估 确定可能造成机构及其设施中断和灾难、具有负面影响的突发事件和周边环境因素，以及事件可能造成的损失、防止或减少潜在损失影响的控制措施。提供成本效益分析以调整控制措施方面的投资达到消减风险的目的。 3、业务影响分析 确定由于中断和预期灾难可能对机构造成的影响以及用来定量和定性分析这种影响的技术。确定关键功能、其恢复优先顺序和相互依赖性以便确定恢复时间目标。 4、容灾策略制定 在本阶段，结合以上各阶段的分析成果，以及在容灾上的投入能力，制订企业系统短期、长期范围内的容灾策略和目标，并有意识地将本身的人员组成和组织架构做出调整以适应策略要求。 5、容灾技术方案设计 根据容灾策略，以及业务连续性计划和各系统的RTO和RPO指标，考虑成本和收益平衡原则，分别设计容灾方案。 6、容灾设施资源及 IT 系统建设或整改 对容灾中心的设施资源进行详细的规划和设计，容灾中心的建筑工程、中心环境(外部与内部)、机房结构、物理安全、交通流向组织、电力供应与保障等环节都要按照容灾的实际需求进行科学的分析，最终达到容灾的实际要求。 7、业务连续性计划及灾难恢复计划的制定与维护 业务恢复团队和业务恢复团队分别执行应急响应计划、灾难恢复计划、业务恢复计划，运营管理团队负责容灾系统的运营管理和日常维护、问题收集和解决、系统变申和测试演练等工作，后勤保障和人力资源保障提供支持，从而达到容灾设计的目标。 8、容灾系统运行维护 运行业务连续性计划，包括日常管理和首次演练等，并建立相应的管理制度。 9、演练及测试 对预案和预案间的协调性进行演练、并评估和记录预案演练的结果。制定维持持续性能力和 BCP文档更新状态的方法使其与机构的策略方向保持一致。通过与适当标准的比较来验证 BCP的效率，并使用简明的语言报告验证的结果。 10、审核 培训内审员，进行内部审核，并在适当时机邀请外部审核机构对业务连续性管理体系进行审核。
    • 18.以下哪一项除了能进行传统的开机加密以及对硬盘加密外，还能对系统登录、应用软件登录进行加密？ A.可信赖平台模块 (TPM) B.密钥分发中心 (KDC) C.因特网协议的简单密钥管理 (SKIP) D.预启动执行环境 (PXE) A 19.SYN洪泛攻击发送的连接请求中使用了别人的有效地址，收到攻击的系统会将大量应答包发向哪里？ A.攻击者的地址 B.受攻击的本地系统 C.指明的源地址 D.默认的网关 C 20.审计计划的关键成功因素是？ A.识别已实施的安全控制 B.定义需要审计的范围 C.获得未合规系统的证据 D.与系统所有者一起分析新的控制 B 21.在采购第三方开发的软件时，以下哪一项可以提供更好的软件开发质量保障？ A.客户和供应商的重叠代码评审 B.在合同中明确知识产权保护条款 C.确保供应商参加开发计划会议 D.给供应商提供隔离的开发环境 A 22.系统管理员在进行渗透测试时发现，组织内的所有人都可以对一台存有敏感数据的服务器进行未授权访问时，他应该采取的行动是？ A.使用系统特权，修改对服务器的访问许可 B.立即记录该发现并报告给管理层 C.继续进行测试并在测试完成时报告IT管理层 D.终止渗透测试并将发现转交给服务器管理团队 B
      • 18 可信平台模块（英语：Trusted Platform Module，缩写：TPM）是一项安全密码处理器（英语：Secure cryptoprocessor）的国际标准，旨在使用设备中集成的专用微控制器（安全硬件）处理设备中的加密密钥。TPM的技术规范（英语：Specification (technical standard)）由称为可信计算组织（英语：Trusted Computing Group）（TCG）的资讯业联合体编写。国际标准化组织（ISO）和国际电工委员会（IEC）已于2009年将规范标准化为ISO/IEC 11889。 KDC-kerberos中有KDC 密钥分发中心（KDC Key Distribution Center）是一种运行在物理安全服务器上的服务。KDC维护着领域中（与Windows中的域相当）所有安全主体（Security Principal）账户信息数据库。 SKIP-WPA
      • 20 1、总体审计计划 总体审计计划是对审计的预期范围和实施方式所做的规划，是注册会计师从接受审计委托到出具审计整个过程基本工作内容的综合计划。 总体审计计划的基本内容包括： （1）被审计单位的基本情况。 （2）审计目的、审计范围及审计策略。 （3）重要会计问题及重点审计领域。 （4）审计工作进度及时间、费用预算。时间、费用在新准则里换了个新名词叫审计资源，注册会计师必须明白审计资源是多少？如何分配这些审计资源？审计资源还包括审计人员。 （5）审计小组组成及人员分工。 （6）审计重要性的确定及风险的评估。审计风险包括客观风险和主观风险。这里说的是客观风险。客观风险与审计证据数量同向变动。主观风险与审计证据数量是反向关系。 （7）对专家、内审人员及其他注册会计师工作的利用。 （8）其他有关内容。 2、具体审计计划 具体审计计划是依据总体审计计划制定的，对实施总体审计计划所需要的审计程序的性质、时间和范围所做的详细规划与说明。一般是通过编制审计程序表的方式体现的。 具体审计计划的基本内容包括：（1）审计目标。（2）审计程序。（3）执行人及执行日期。（4）审计工作底稿的索引号。 （5）其他有关内容。
    • 23.在多级安全系统中，4个用户A、B、C、D的安全许可分别是：限制、机密、秘密、绝密，4个文件1、2、3、4的安全分级分别是限制、机密、秘密、绝密。 按照BLP 星规则，哪一个用户的写权限最受限制？ A.用户A B.用户B C.用户C D.用户D
      • D 又是没看清题，题中说BLP规则，所以级别最高的权限最受限制
    • 24.类似于Kerberos依赖于KDC，SAML依赖于: A.TGS (Ticket Granting Server) B.IDP (Identity Provider) C.AS (Authentication Server) D.PAS (Privileged Attribute Server) B
      • kerberos认证流程
        • Kerberos认证流程 第一步：客户端向DC的AS请求:此时客户端本机的Kerberos服务会向KDC的AS认证服务发送AS-REQ认证请求，请求内容包括了客户端的个人信息即principal如用户名，以及说明要请求什么服务、目标服务的主机名等信息，也告诉AS自己将与TGS通信。除此之外为了防止别人伪造这个客户端的身份，还要求发送一个认证因子authenticator，这个认证因子需要使用客户端的hash(用户密码的哈希值)来加密一个时间戳。 第二步：DC的AS向客户端的请求做出响应:此时AS收到了客户端的请求之后，由于AS是在DC上面的，DC是有客户端的hash的，此时会查询AD目录找到该客户端的hash，然后对时间戳进行解密，如果解密失败说明用于加密的hash是错误的，同时验证是否为受到了重放攻击。 在AS验证通过之后，AS会生成一个login session key（对称密钥），并且使用用户的hash加密这个login session key，然后AS还会生成一个TGT，同使用过hash加密后的login session key以及一些其他相关信息打包发送给客户端。 第三步：客户端向DC的TGS请求：此时客户端收到了DC的的响应包之后会将收到的TGT存储在本地，并使用自己的hash将对应使用自己的hash加密的信息进行解密，获取到AS生成的login session key，然后客户端使用login session key去加密时间戳然后与收到的TGT、需要的服务名字、自己的相关信息一同打包发送到DC的TGS。 第四步：DC的TGS向客户端的请求做出响应：当TGS接收到请求之后，会检查自身是否存在客户端请求的服务，如果存在就会拿ktbtgt hash解密TGT（由于TGS是在DC上的，所有具有krbtgt的hash），解密到的信息中包含了login session key，别忘了客户端发过来的时间戳就是利用login session key加密的，此时就可以用其解密获取到时间戳了，然后验证时间戳。 然后KDC会生成一个新的名叫service session key，用于客户端和服务端直接的安全通信，并且为客户端生成ST服务票据，该票据是由客户端信息+service session key打包后用后用服务端的hash加密的（KDC在DC上，故DC拥有服务端的hash）。除此之外会将service session key用之前是login session key加密同ST一同打包发送给客户端。 第五步：客户端向服务端请求：此时客户端接收到了TGS的响应，然后利用login session key解密获取到service session key，然后用于与服务端通信，同时将ST存储起来，然后客户端用service session key加密客户端信息和时间戳同ST（服务端hash加密的相关信息+service session key）打包一起发送给服务端验证。 第六步：服务端向DC的KDC的请求：客户端收到服务端发送过来的信息之后，用自己的hash即服务端hash解密ST，而ST中包括有service session key，那么再用service session key去解密使用service session key加密的信息包括有客户端相关信息和时间戳，再去验证这个时间戳，判断是否安全，判断是否为真实身份。 除此之外服务端还要向DC请求，使用PAC（Privilege Attribute Certificate）将客户端的属性信息发送给KDC进行验证客户端是否安全是否具有获取该服务的资格。 第七步：DC的KDC向服务端响应：此时KDC将会对服务端发来的PAC进行一个验证 第八步：服务端向客户端响应：此时服务端会生成一个票据，该票据包括客户端身份信息，以及服务端的身份信息，并使用之前获得的service session key去加密该票据信息并发送给客户端，然后客户端就可以正常获取到服务端的服务了。
          • 黄金票据，攻击者获取到了这个hash（krbtgt hash即用户密码的哈希值），可以任意的伪造TGT了，可以跳过AS验证了。
          • 白银票据，攻击者窃取了服务端的hash，可以不经过KDC。
    • 25.以下哪一项是应对蛮力攻击的有效对策？ A.减少并发的用户会话数量 B.加强初始密码的分发控制 C.定期更新所有系统的登录口令 D.在登录系统失败后加入延时 D 26.不需要使用真正的病毒就能判断一个系统是否能够识别恶意代码的方法是？ A.安装多种防病毒软件 B.使用EICAR文件进行测试 C.使用ITF集成测试设施 D.使用僵尸网络进行测试 B 27.审计人员发现关键系统的一项安全控制中存在漏洞，最有可能导致这一问题的是？ A．安全指南的文档不全面 B．缺乏安全基线 C．基于主机的入侵防御系统存在缺陷 D．安全补丁没有及时更新 B
      • 25
        • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定， 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
      • 26
        • EICAR测试文件(正式名称: EICAR Standard Anti-Virus Test File)是由欧洲计算机病毒研究机构及防毒软件组织设计开发的，用以测试反病毒软件的查杀性能。EICAR 其实并不是真的病毒，它并不会造成损害。 EICAR 测试档案为下列问题提供防病毒标准的解决方案： 　　1）安装的防病毒软件是否能够拦截住病毒。 　　2）当防病毒程序发现病毒时，防病毒软件将怎么做？哪一个信息将被显示出来？
    • 28.一个业务应用系统的业务用户可以执行业务功能，但不能执行管理功能，应用的维护管理员可以执行管理功能但不能执行业务功能，这属于： A．职责分离 B．最小授权 C．基于规则的访问控制 D．自主访问控制 A
      • A 道理同16题 题中说两个人，一个人有A无B权利，另外一个有B无A权利，一般都是职责分离
    • 29.定期评审审计日志的最佳理由是？ A.监控员工的工作效率 B.满足合规要求 C.识别异常的使用模式 D.验证日志运作良好 C 30.在应用程序的运维过程中，建立软件组件的初始基线依赖于： A.安全审计规程 B.软件补丁规程 C.配置控制规程 D.应用监控规程 C
    • 31.确定保护静态数据是否有恰当的安全控制保护的第一步是？ A．识别法规要求 B．执行风险评估 C．评审安全基线配置 D．评审之前的审计报告 32.数据保留策略的主要目的是？ A.确保数据在预定的一段时间内的可用性和机密性 B.确保数据在预定的一段时间内的可用性和完整性 C.确保数据在预定的一段时间内的完整性和机密性 D.确保数据在预定的一段时间内的完整性、机密性和可用性 33.OSI的哪一层负责在通信网络上传输二进制数据？ A.物理层 B.数据链路层 C.网络层 D.传输层 A 34.使用DNS安全扩展 (DNSSEC)对记录进行签名的主要目的是？ A.机密性 B.完整性 C.可用性 D.可问责
      • 31 B 选择安全控制的前提是风险评估，风险评估的结果是选择合适的安全控制措施
      • 32 B 数据保留政策是确保可用性，但是没有机密性，所以选B 数据销毁是机密性
      • 34 B 这道题错是不清楚签名的作用，题中考的是签名 签名的作用是完整性
      • 静态数据 传输中数据 使用中数据：刷新内存，同态加密 数据库中数据：身份认证+授权，加密敏感数据的列 身份管理IAM确保只有授权的人才能访问资源 备份磁带问题- 云存储数据 擦除 erasing 清理 clearing 清理或覆盖以便重新使用介质，一般工具无法恢复，取证工具可以恢复 清除 purging 不太安全的环境中重用介质，一般认为任何工具无法恢复，可以和其他方法一起使用，可能有其他方法恢复 消磁 degaussing 不推荐对硬盘使用 销毁 destruction 最安全的方法 解除分类 在任何未分类的环境中为重复使用介质或系统而清除数据的过程。许多组织不解除分类而是销毁介质 许多组织在捐赠设备时候，移除并销毁保存敏感介质的存储设备。 加密擦除 加密+覆盖 云存储
      • DRM：持久在线认证，持续审计跟踪，自动过期
      • CASB：监控所有进入云的数据，包括身份认证和授权，记录，监控，报警，检测影子IT
      • 假名化：用一个其他名字代替，比如张三代替张某某 令牌化：经常用于信用卡，过程：注册（获得令牌并将令牌与信用卡关联）-使用-验证（信用卡处理器将令牌发送到令牌化保险库）-完成销售 匿名化：不是个人数据，不再遵守GPDR，数据屏蔽-随机屏蔽是一种匿名化方法，不可逆
    • 35.对信息系统(IS)进行脆弱性测试的目的是？ A.利用IS的安全弱点 B.为DRP做准备 C.衡量安全控制薄弱的系统的性能 D.评价安全控制的有效性 D 36.以下哪一项说明生物识别身份验证遭到了重放攻击？ A.误接受率非常高 B.误拒绝率非常高 C.样本数量不充分 D.完全匹配 37.在虹膜验证过程中，以下哪一项用于识别和验证？ A.获得的眼底血管纹理的数据和之前存储的样本数据的比对 B.获得的细节模版和之前储存的样本模版的比对 C.获得的瞳孔的尺寸大小数据和之前样本的比对 D.计算的哈希值和预存于数据库中的数据的比对 B 38.当在组织异构的网络端点实施控制时，关键的一点是？ A．用户可以修改他们的安全软件配置 B．主机可以建立网络通信 C．运行在各个主机上的防火墙可由用户定制 D．所有主机上都实施了常用的软件安全组件 D 39.以下哪一项安全机制提供了限制执行特权活动的最佳方法？ A.生物识别访问控制 B.基于角色的访问控制 C.应用加固 D.联合身份管理
      • 36 D 生物识别都是无限接近100%，完全匹配只能说明是重放了样本
      • 39 B 限制特权是授权活动，所以A和D都是验证
    • 40.SSO不仅仅用于Web应用程序，它可用于任何类型的应用程序，只要有安全地传送身份信息的协议。这种通信方式的开放标准是: A.基于TLS的HTTP (HTTPS) B.标准通用标记语言 (SGML) C.安全断言标记语言 (SAML) D.可扩展标记语言 (XML) 41.识别数据泄漏的最大挑战是： A.对相关疑问的理解依赖于法律执行 B.高级管理层在调查可疑行为时的配合 C.文档化的资产分级策略和清晰地为资产赋予标签 D.对用户活动进行监控的可用技术工具 C 42.以下哪项最容易导致web应用相关的安全事件： A.第三方应用和变更控制 B.系统不兼容和补丁管理 C.不恰当的压力测试和应用接口 D.系统管理和操作系统 A 43.传输模式下的封装安全载荷(ESP)的作用是？ A.加密和可选择验证整个IP包 B.加密和可选择验证IP头部，而不是IP载荷 C.加密和可选择验证IP载荷，而不是IP头部 D.验证IP载荷及选择的部分IP头部 44.EAP-TTLS和EAP-TLS的主要区别是，EAP-TTLS： A.使用了Kerberos验证 B.只要求服务器端的数字证书 C.只要求客户端的数字证书 D.服务器端和客户端都需要数字证书 45.使用明文发送凭证的验证方法是： A.PAP口令验证协议 B.CHAP挑战握手身份验证协议 C.PEAP 保护的可扩展验证协议 D.EAP-TLS 可扩展验证协议-传输层安全 A 46.能用于创建数字签名的算法是？ A.DES B.DSA C.Diffie-Hellman D.IDEA B 47.渗透测试“枚举”之后是哪个阶段： A.发现 B.侦查 C.漏洞勘探 D.漏洞利用 C 48.关系型数据库管理系统，实现参照完整性主要依赖于对以下哪一项的约束？ A.主键 B.外键 C.候选键 D.Null 空值 B 49.为了防止因网络钓鱼而造成的非授权访问银行网银系统，最应该做的是什么? A.强身份验证 B.使用数字证书 C.安全意识培训 D.落实安全基线 C 50.L2TP隧道协议使用了何种加密？ A.MPPE B.RC4 C.IDEA D.L2TP不提供任何加密功能 D
      • 40
        • 联合身份管理和SSO 组织在联邦域内共享凭证，它使用SAML(安全断言标记语言)和SPML(服务供应标记语言)。 考试小贴士：思考一下为你的假期预订机票，你可以选择在同一网站上预订酒店。一旦你登录到酒店网站，它就不会再次要求你提供凭证，因为机票预订和酒店预订网站都在联邦域名下。 SAML：基于XML，用于在相关组织之间交换身份验证和授权。SAML主要用于浏览器, 是一种标记语言，SAML协议的核心是: IDP和SP通过用户的浏览器的重定向访问来实现交换数据。 SPML：基于XML，专门为交换用户信息而设计，用于联邦域内安全的单点登录。 XACML：可扩展访问控制标记语言，用于在XML格式中定义访问控制策略，它通常实现RBAC。 OpenID和OAuth：OpenID用于身份验证，使用URI，提供去中心化认证，不是RFC标准，用户登录多个不同的网站，凭证由第三方提供。 过程：两次重定向，第一次是重定向到OpenID提供商输入口令，然后重定向回启用OpenID服务站点。 OAuth用于授权，及时被授权的程序遭到破坏，用户的凭证也不会暴露。使用API交换信息。 *考试提示：SAML用于企业用途，OAuth用于商业用途(by us) OIDC：使用OAuth 2.0的授权框架的身份认证层，同时提供身份认证和授权。使用JSON web令牌
          • • 三个实体：用户（委托人）、服务提供商、身份提供者（LdP） 三种类型的XML消息：1. 认证声明：正确的身份凭证，标识身份认证方法，标识用户代理登录的时间 2. 授权声明：是否有权访问服务，被拒绝会说明原因 3. 属性声明：关于用户代理的任何信息
      • 43
        • IPsec所依靠的是安全关联(SA)，其中包含两个主要成分： 身份验证头(AH)，提供消息完整性和不可否认性保障。AH还提供鉴别和访问控制，可抵御重放攻击。 封装安全载荷(ESP)，提供数据包内容的保密性和完整性保障。ESP还提供加密和有限的鉴别，也可抵御重放攻击。 IPsec两种工作模式： IPsec在传输模式下使用时，只加密数据包载荷。这种模式是为对等通信设计的。 IPsec 在隧道模式下使用时，将加密包括报头在内的整个数据包。这一模式是为网关到网关的通信设计的。
      • 44
    • 51.关于测试，以下哪项风险最大？ A.在运行环境中测试 B.使用大量异常数据测试，导致系统崩溃 C.没能有效测试出程序中隐含的后门 D.在测试环境里用精确复制的生产数据
      • D 有数据泄漏的风险，最危险
    • 52.威胁建模STRIDE模型中的R代表了哪种威胁？ A.Reuse 重用 B.Revoke 注销 C.Replay 重放 D.Repudiation 抵赖 D 53.51％攻击针对的是： A.数字证书 B.消息验证码 C.数字签名 D.区块链网络 D 54.如何最好地利用从业务连续性培训和实际恢复事件中吸取的经验教训？ A.作为政策需求的指标 B.作为改进的手段 C.作为提高认识和培训的备选方案 D.作为业务功能差距指标 B 55.应用程序升级将随机生成的会话密钥替换为与后端服务器通信的基于证书的加密，其最大好处是什么？ A.效率 B.机密性 C.隐私 D.不可抵赖性 D
    • 56.安全操作中心(SOC)在服务器上接收到事件响应通知，有一个活跃的入侵者设下了后门。已发送初始通知。在执行下一步之前，必须考虑或评估什么？ A.确定谁是事件的执行者比事件如何发生更重要 B.在散列服务器硬盘内容之前，必须通知执法部门 C.将硬盘上的内容复制到其他存储设备可能会损坏证据 D.从网络中移除服务器可能会妨碍抓获入侵者 57.安全策略和安全程序之间的主要区别是什么？ A．政策被用来强制执行违规行为，而程序会产生惩罚 B．政策指向指南，程序更具契约性 C．政策包括在意识培训中，程序提供指导 D．策略本质上是通用的，过程包含操作细节
      • 56 D 移除服务器可能会破坏证据
      • 57 D 注意契约性，合同才有
    • 58.以下哪一个模型基于完整性级别的晶格(lattice)？ A．Bell-LaPadula模型 B．Biba模型 C．取-予模型 D．Harrison-Ruzzo模型 B 59.检测编程语言中最常见的不正确初始化问题的最佳方法是什么？ A．通过确保任何数字输入在预期范围内，对任何数字输入执行输入验证 B．使用数据流分析来最小化误报的数量 C．使用并指定强字符编码 D．使用自动静态分析工具 60.通常情况下风险评估的执行间隔是多久？ A．持续执行 B．各个业务流程和子流程每年一次 C．关键业务流程每三至六个月一次 D．每年一次或出现重大变更时执行 61.以下哪一项能定期保存应用程序的状态和用户的信息。如果应用程序出现小故障，它拥有的必要的工具会帮助用户重回工作环境而不丢失数据？ A.Disk mirroring 磁盘镜像 B.Check point 检查点 C.Data dictionary 数据字典 D.Gold master 母盘 62.组织需要一个外包服务商，为满足合规要求，应该要做： A. 尽职关注 B. 尽职勤勉 C. 第三方托管 D. 独立审计 63.一个小型销售机构，一个中心多个分支，中央主服务器每小时接收从分支主服务器过来的数据，一个团队负责DRP，因灾难原因，一个或多个分支服务器和中央主服务器被损坏，哪种数据恢复方式最好？ A. 主冗余服务器放在异地 B. 中央主服务器数据存储到磁带，存放于异地 C. 分支服务器数据存储到磁带，存放于异地 D. 分支服务器和中央主服务器实现集群 64.关于(ISC)2道德，以下哪个做法是不道德的： A.获得证书后，为熟识的申请人背书 B.应聘面试时，向面试官出示过期的证书 C.考试时记住了一些考题，回到家中翻书对答案 D.证书已过期，在邮件签名栏仍然使用CISSP标识 D 65.数据分级的第一步是: A. 生成数据字典 B. 数据估值 C. 识别数据所有者 D. 风险评估
      • 58
        • 1、客体和主体 主体：发出访问资源请求的用户或进程 客体：用户或进程想要访问的资源 2、封闭系统和开放系统 封闭系统：windows 开放系统：linux 3、用于确保保密性、完整性和可用性的技术 confinement限制：沙箱，软件设计使用“进程限制”来约束程序的行为。 bound界限：用户态、内核态，在系统上运行的每个进程都有授权级别。 isolation隔离：进程隔离可确保隔离状态进程的任何行为仅影响与其关联的内存资源。 4、控制 为确保系统的安全性，主体只允许访问经过授权的客体。 MAC 强制访问控制：是否许可一个访问，由主体和客体的静态属性来决定。每个主体都拥有属性，用来定义其访问资源的授权。每个客体拥有属性，用来定义其分类。 DAC 自主访问控制：允许主体根据需要定义要访问的客体列表，可以允许主体添加对客体的访问规则。 5、信任和保证 可信系统：所有保护机制协同工作的系统，为许多类型的用户处理敏感数据，同时维护稳定和安全的计算环境。 保证：为了满足安全需求的可信程度，保证需要持续性的维护、更新和重新验证。 二、理解安全模型的基本概念 1、可信计算基 TCSEC 可信计算机系统评估标准，是美国国防部的一个较早的标准，俗称“橘皮书” TCB 可信计算基，软硬件的组合，它们协同工作构成安全策略的可信计算基础 系统的安全边界是一个假想的边界，将TCB与系统的其余部分分开 参考监视器：TCB中负责在授权访问请求之前验证资源的部分 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下读） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
      • 59 D 这道题是没看清题，最开始的检测两个字没注意，所以导致理解错了题意，出现了好多次，要注意。静态分析最适合
      • 60 D 要注意是间隔
      • 61 B 检查点的定义：检查点不是一个点，而是一个事件。这个事件的发生只有一个作用：让数据文件变“新”，或者说数据文件离数据库的状态不那么远，反正不太容易描述清楚。 检查点事件的目的是让实例恢复的时间变短
        • 母盘的定义和用途 母盘的概念主要应用于电脑系统和软件部署中，特别是在需要快速且统一配置大量计算机的场合，如网吧、企业或学校的计算机教室等。通过母盘的制作和克隆，可以大大简化系统安装和软件部署的过程，节省时间和人力成本。
      • 62 B 外包-尽职勤勉 DD
      • 63 B 是说数据备份，不是应用冗余
      • 65 C 数据估值（分级是根据敏感性和重要性，并不是根据价值来分级） 识别数据所有者《第一步是识别数据，同时识别数据所有者》 风险评估（除了影响还要考虑可能性，分级主要是考虑影响） 实现数据分类：七步骤： 1、确定管理人员（数据所有者），并且定义职责 2、指定信息如何分类和标记的评估标准 3、对每个资源进行数据分类和增加标签 4、记录数据分类策略中发现的任何异常，并且集成到评估标准中 5、选择将应用于每个分类级别的安全控制措施，以提供必要的保护级别 6、指定解除资源分类的流程，以及将资源保管权转移给外部实体的流程 7、建立组织范围的培训程序来指导所有人员使用分类标签
    • 66.一单位弱电间和保洁公用，机架上用不同颜色标识了线缆用途，也没有配备UPS，问应该怎么做: A. 申请弱电间专用 B. 申购UPS C. 与保洁员签订保密协议 D. 风险评估 D 67.工控系统漏洞不能及时修复的原因: A. 一些纠正型的修复程序会影响其性能 B. 因为厂家无法测试修复程序的可靠性 C. 工控设备非常可靠，即使不修复补丁也能正常运行 D. 企业对于工控补丁测试所需要的资源无法做出承诺 D 68.验证头协议 (AH) 不能提供： A．数据完整性 B．数据机密性 C．数据源验证 D．免受重放攻击的保护 B 69.哪种是交互的验证： A．锁定功能 B．密码重置 C．口令短语 D．图形验证码 D 70.以下哪一项关于SDN软件定义网络的描述是错误的 A. OpenFlow协议是构建SDN解决方案的基础元素 B. SDN技术能够有效降低设备负载，协助网络运营商更好地控制基础设施，降低整体运营成本 C. SDN将络设备的控制面与数据面耦合，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能 D. SDN是一种动态、可管理、经济高效且适应性强的体系结构，非常适合应用的高带宽、动态需求 C 71.以下哪种数据中心服务于企业公司并提供以下服务： ·每年 99.995% 的正常运行时间 ·2N+1 完全冗余的基础架构 ·96小时断电保护 ·每年 26.3 分钟的停机时间。 A. Tier 1 data center B. Tier 2 data center C. Tier 3 data center D. Tier 4 data center D
    • 72.根据欧盟的通用数据保护条例 (GDPR)，如果发生个人数据泄露，以下哪些类型的信息不需要通知监管机构？ A. 假名化数据。 B. 匿名化数据。 C. 去标识的数据 D. 重新标识的数据 73.基于角色的访问控制 (RBAC) 的核心组件必须由定义的数据元素构成。需要哪些元素? A.用户、权限、操作和受保护对象 Users, permissions, operations, and protected objects B.角色、帐户、权限和受保护对象 Roles, accounts, permissions, and protected objects C.用户、角色、操作和受保护对象 Users, roles, operations, and protected objects D.角色、操作、帐户和受保护对象 Roles, operations, accounts, and protected objects 74.如果组织需要评估财务报告的内部控制的设计是否有效，则应请求以下哪种服务组织控制 (SOC) 报告类型？ A. SOC 1 类型 1 B. SOC 1 类型 2 C. SOC 2 类型 1 D. SOC 2 类型 2
      • 72 B 匿名化的数据不是个人数据，切记
      • 73 C RBAC书中定义的原话，记住 用户、角色、权限、操作和会话
      • 74 A 想多了，就是A，B的说法应该是一段时间内的财务～～～～～～
    • 75.“基于设计的隐私” (缩写为 PbD) 包含旨在确保个人数据隐私，同时让用户更好地控制他们的个人信息的7项原则。以下哪一项不是其中之一？ A.主动而非被动，预防而非补救 B.嵌入风险管理的隐私保护 C. 完整的功能 — 正和，而不是零和 D. 可见性和透明度 — 保持开放 B 76.以下哪一项不属于 软件定义边界 (SDP) 的ABCD基本原则之一： A不假设任何事 (Assume nothing) B不相信任何人 (Believe nobody) C检查所有内容 (Check everything) D默认拒绝 (Default Deny) D
      • 75
        • 即积极防御（预防而非修补）、隐私默认保护、将隐私嵌入设计之中、功能完整-正和而非零和、全生命周期的保护、可见性和透明性、尊重-以用户为中心
      • 76
        • SDP的基本原则是ABCD: 不假设任何事(Assume nothing), 不相信任何人(Believe nobody), 检查所有内容(Check everything), 阻止威胁(Defeat threats)
    • 77.以下哪项是对数据保密性的最大风险？ A. 未实施网络冗余 B. 安全意识培训未完成 C. 生成的备份磁带未加密 D. 用户具有管理员权限 78.以下哪一项是开发信息安全管理体系时的首要考虑因素？ A. 确定相关的立法和监管合规要求 B. 了解信息资产的价值 C. 确定管理层可以容忍的残余风险水平 D. 确定适用于组织的合同安全义务 79.以下哪种灭火方法对环境友好且适合数据中心？ A. 惰性气体灭火系统 B. 哈龙气体灭火系统 C. 干管式洒水器 D. 湿管式洒水器 80.一段插入软件以触发恶意功能的代码，这是以下哪一项的定义？ A. 网络钓鱼 B. Salami攻击 C. 后门 D. 逻辑炸弹 D 81.建立记录保留计划(program)所需的第一步是什么？ A. 根据敏感性对记录进行分级 B. 识别和清点所有记录存储位置 C. 识别和清点所有记录 D. 起草记录保留政策
      • 77 C 这道题不太明白，记住
      • 78 C ISO27001，ISMS 里有SOA 适用性声明，就是基于企业可以容忍的风险水平来判断
      • 79 C 书中原话，记住
      • 81 D 书中原话，记住
    • 82.一个组织正在考虑将应用程序和数据外包给云服务提供商 (CSP)。以下哪一项是关于隐私的最重要的问题？ A. CSP 确定数据重要程度 B. CSP 提供端到端的加密服务 C. CSP 的隐私政策可能由组织制定 D. CSP 可能不受组织所在国家/地区法律的约束 D 83.在实现以下哪项的过程中，私钥和公钥的使用至关重要？ A.Diffie-Hellman算法 B.安全套接字层 (SSL) C.高级加密标准 (AES) D.信息摘要5 (MD5) B 84.要识别系统攻击，必须具备以下哪项条件？ A.状态防火墙 B.分布式防病毒 C.日志分析 D.被动蜜罐 C 85.如果组织未能履行尽职调查，缺少以下哪项选项可能会对组织的声誉、收入造成负面影响，并导致法律诉讼？ A.威胁建模方法 B.服务水平要求 (SLR) C.服务水平协议 (SLA) D.第三方风险管理 D 86.以下哪种模型使用唯一冲突类中包含的唯一组？ A. 中国墙 Chinese Wall B. 贝尔·拉帕杜拉 Bell-LaPadula C. 克拉克·威尔逊 Clark-Wilson D. 比巴 Biba A 87.实施数字签名时存在以下哪项威胁？ A. 欺骗Spoofing B. 替代 Substitution C. 窃听 Eavesdropping D. 内容篡改 Content tampering C 88.对 syslog 服务器的拒绝服务 (DoS) 攻击利用了以下哪些协议的弱点？ A. 点对点协议 (PPP) 和互联网控制消息协议 (ICMP) B. 传输控制协议 (TCP) 和用户数据报协议 (UDP) C. 地址解析协议 (ARP) 和反向地址解析协议 (RARP) D. 传输层安全 (TLS) 和安全套接字层 (SSL) B
      • 威胁建模
    • 89.以下哪一项是隐蔽安全测试的特征？ A. 比公开测试带来的风险更小 B. 专注于识别漏洞 C. 测试和验证组织中的所有安全控制 D. 测试员工对组织安全政策的了解和实施情况
      • D 隐蔽安全测试（也称为黑帽测试）采用对抗性方法，在组织IT 人员不知情的情况下，在高层管理人员完全知情和许可的情况下执行测试。这种类型的测试对于测试技术安全控制、IT 员工对感知到的安全事件的响应以及员工对组织安全策略的了解和实施非常有用。隐蔽测试可以在有或没有警告的情况下进行。 隐测试的目的是检查对手可能造成的损害或影响——它并不专注于识别漏洞。这种类型的测试不会测试每个安全控制、识别每个漏洞或评估组织内的所有系统。隐蔽测试从对抗的角度检查组织，通常会识别和利用最基本的漏洞来获得网络访问权限。
    • 90.哪种访问控制方案使用细粒度规则来指定授予对每个数据项或应用程序的访问权限的条件？ A. 强制访问控制 (MAC) B. 自主访问控制 (DAC) C. 基于角色的访问控制 (RBAC) D. 基于属性的访问控制 (ABAC) D 91.关于COTS(Commercial-Off-The-Shelf)商用现成品或技术，以下哪一项是正确的描述： A.可以采购到的具有开放式标准定义的接口的软件或硬件产品，可以节省成本和时间。 B.供应商提供的现成的商业软件，用于可用性较高的工业控制环境 C.供应商根据企业的具体情况，具体要求而定制开发的软件。 D.美国国防采办项目要求必须使用国防部颁布的军用标准与军用规范。 A 92.一种安全技术，它构建或链接到应用程序或应用程序运行时环境中，能够控制应用程序的执行、检测和防止实时攻击。这指的是以下哪一项？ A. 静态应用程序安全测试 SAST (Static Application Security Testing) B. 动态应用程序安全测试 DAST (Dynamic Application Security Testing) C. 交互式应用程序安全测试 IAST (Interactive Application Security Testing) D. 运行时应用程序安全保护RASP (Runtime application self-protection) D
      • 92
        • 运行时应用程序自我保护（RASP）是一种在应用上运行的技术，在应用程序运行时发挥作用，旨在实时检测针对应用程序的攻击。一旦应用程序开始运行，RASP可以通过分析应用程序的行为和这种行为的上下文来保护它不受恶意注入或行为的影响。通过使用应用程序不断地监控其行为，攻击可以在不需要人工干预的情况下立即被识别和缓解。运行时应用程序自我保护
        • SAST 与 DAST SAST(静态应用程序安全测试)也被称为“白盒测试”，已经存在了十多年。它允许开发人员在软件开发生命周期的早期发现应用程序源代码中的安全漏洞。在不实际执行底层代码的情况下检测是否符合编码指南和标准，直接面向所有源码，并且可以定位缺陷所在的代码行数。OWASP TOP 10 安全漏洞中60-70%的安全漏洞类型可通过源代码静态分析技术检测出来。但是有30%以上的误报，所以需要花时间处理误报。 DAST，或动态应用安全测试，也称为“黑盒”测试，可以发现运行中的应用程序的安全漏洞和弱点，通常是web应用程序。通过在应用程序上使用故障注入技术(例如向软件提供恶意数据)来识别常见的安全漏洞，例如SQL 注入和跨站点脚本。DAST 可以聚焦静态分析无法识别的运行时问题，例如身份验证和服务器配置问题，以及仅在已知用户登录时可见的缺陷。 SAST 和 DAST SAST和DAST经常同时使用，因为SAST不会发现运行时错误，而DAST不会标记编码错误，至少不会标记到代码行。SAST 可以集成在项目开发流程当中，而DAST 可以理解参数和函数调用，可以确定调用是否正常运行。 交互式应用程序安全测试 (IAST) IAST旨在通过结合SAST 和 DAST 两种方法来解决SAST和DAST各自的缺点。IAST在应用程序中放置一个探针，并在开发过程 IDE、持续集成环境、QA 甚至生产中的任何位置实时在应用程序中执行所有分析。 因为IAST探针在应用程序内部工作，它可以将其分析应用于整个应用程序所有代码。其运行控制和数据流信息、它的配置信息、HTTP请求和响应、库及框架和其他组件、以及后端连接信息。 运行时应用程序安全保护 (RASP) 与IAST一样，RASP或运行时应用程序安全保护在应用程序内部工作，但它不是一个测试工具，而是一个安全工具。它被插入到应用程序或其运行时环境中，可以控制应用程序的执行。RASP 保护应用程序，即使网络的外围防御被破坏并且应用程序包含开发团队错过的安全漏洞。RASP允许应用程序对自身进行持续的安全检查，并通过终止攻击者的会话并向防御者发出攻击警报来响应实时攻击。
    • 93.TLS用来实现在不可信的网络上安全传输的协议。下面哪项最好的描述了在TLS连接建立流程上发生的情况？ A. 服务器创建会话密钥，并用客户公钥进行加密； B. 服务器创建会话密钥，并用服务器私钥进行加密； C. 客户端创建会话密钥，并用客户端私钥进行加密； D. 客户端创建会话密钥，并用服务器公钥进行加密； 94.一个大型组织使用唯一的身份标识，并要求他们在每次系统会话的开始时使用。应用程序访问是基于工作职责的分类。该组织定期对访问控制和违规进行独立的审核。该组织使用了有线和无线网络，以及远程访问。该组织还使用了到分支机构的安全连接，以及针对某些选择的信息和流程实施安全的备份和恢复策略。 按照最佳实践，在实施恢复策略时，下面哪个是选择备用站点最重要的考虑因素： A. 备用站点需要具备和主站点相同的处理能力 B. 在各分支机构间实现互惠协议以降低成本 C. 充分利用已有的网络安全连接，确保备用站点的网络可用性 D. 备用站点和主站点要间隔足够的距离以避免受到相同灾难的影响 95.RAID系统的不同级别控制不同类型的容错活动。哪一个级别是块级的奇偶校验？ A. RAID 0 B. RAID 3 C. RAID 5 D. RAID 10 C 96.有一些攻击可以用来攻击智能卡。下面哪个不是旁路攻击？ A. 差分功率分析 Differential power analysis B. 简单功耗分析 Simple power analysis C. 微探测分析 Microprobing analysis D. 时序分析Timing analysis C
      • 93 D
        • TLS 基本原理 TLS协议在客户端和服务器之间建立安全通信时使用数字证书来进行身份验证，不同版本的流程稍有差异，但是基本原理都一样，下面先大致看一下基本原理： 客户端发起连接：客户端（例如，Web浏览器）向服务器发起一个安全连接请求，通常这是通过在URL中使用https而不是http来完成的。 服务器提供证书：作为响应，服务器将自己的数字证书（通常包含服务器的公钥）发送给客户端。这个证书由一个信任的证书颁发机构（CA）签发。 客户端验证证书：客户端接收到服务器的证书后，进行以下检查： 证书的合法性：客户端使用预先安装的信任CA的根证书来验证服务器证书的签名。如果签名有效，表明证书是由信任的CA颁发的。 证书的有效期：客户端检查证书的有效日期，确保证书在有效期内。 证书的撤销状态：客户端可能会检查该证书是否已被吊销，这可以通过访问CA的证书吊销列表（CRL）或使用在线证书状态协议（OCSP）完成。 服务器的身份：客户端验证证书中的“Subject Name”或“Subject Alternative Name”字段是否与请求的服务器域名匹配。 其他扩展：客户端还可以检查证书的其他扩展，如“Basic Constraints”、“Key Usage”等，以确保证书的用途符合预期。 密钥交换：如果证书验证成功，客户端使用证书中的公钥对一个生成的随机密钥（预主密钥）进行加密，并将其发送给服务器。服务器使用自己的私钥解密这个预主密钥。 建立加密会话：客户端和服务器使用预主密钥生成会话密钥，并使用这个密钥对接下来的通信进行加密。 通信：一旦安全通道建立，客户端和服务器就可以开始加密的通信了。
      • 94 D 这道题没审清题，题中所有的描述和问题没有关系，问的是DRP的备用站点
      • 95
        • 侧信道攻击 1.1.概述 侧信道攻击属于密码学的物理攻击（Physical Attack）范畴，是密码学中的一个重要分支。这种攻击利用计算设备在执行密码算法时泄露的物理信息，如功耗、时间、电磁辐射、声波等，来推测内部的秘密数据（如密钥）。与传统的密码分析不同，侧信道攻击并不直接针对算法的数学结构，而是利用实现过程中不可避免的物理信息泄漏。 1.2.侧信道攻击的起源与发展 侧信道攻击的概念起源于20世纪90年代末。1996年，保罗·科彻（Paul Kocher）发表了关于时序攻击的论文，揭示了通过测量加密操作的执行时间来推断密钥信息的可能性。这标志着侧信道攻击研究的开端。随后，他与他人合作，提出了差分功耗分析（Differential Power Analysis, DPA），这进一步推动了侧信道攻击的研究和发展。 1.3.侧信道攻击的详细分类及介绍 侧信道攻击是通过分析加密设备在执行操作时泄漏的物理信息来获取敏感数据的技术。以下是侧信道攻击的几种主要类型及其详细介绍： 1.3.1功耗分析攻击（Power Analysis Attacks） 功耗分析攻击通过测量设备在执行加密操作时消耗的电力来获取信息。这类攻击分为简单功耗分析（SPA）和差分功耗分析（DPA）。 简单功耗分析（Simple Power Analysis, SPA） 原理：SPA利用设备在执行不同操作时功耗变化的直接观测。攻击者可以通过观察这些变化，推断出加密过程中具体操作的类型和顺序。例如，在执行加密算法时，设备在处理不同数据位时的功耗可能会有所不同。 举例：假设一个设备在处理二进制“1”时消耗的功率比处理“0”时高。通过观察功耗图，可以推断出每一位是“1”还是“0”，从而推断出整个密钥。 差分功耗分析（Differential Power Analysis, DPA） 原理：DPA更加复杂和强大。攻击者收集大量功耗曲线，并利用统计方法分析功耗数据中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者可以使用数千次加密操作的功耗数据，计算每次操作的平均功耗。然后，通过对不同密钥假设下的功耗进行统计比较，找到最有可能的密钥。 1.3.2.电磁分析攻击（Electromagnetic Analysis, EMA） 电磁分析攻击通过测量设备在执行操作时产生的电磁辐射来获取信息。这类攻击分为简单电磁分析（SEMA）和差分电磁分析（DEMA）。 简单电磁分析（Simple Electromagnetic Analysis, SEMA） 原理：SEMA类似于SPA，利用设备在执行不同操作时产生的电磁辐射变化来获取信息。攻击者通过观察这些变化，推断出加密过程中具体操作的类型和顺序。 举例：通过在设备附近放置一个电磁探头，攻击者可以记录设备在执行加密操作时产生的电磁信号。通过分析这些信号的强度和频率变化，可以推断出密钥信息。 差分电磁分析（Differential Electromagnetic Analysis, DEMA） 原理：DEMA类似于DPA，通过收集大量电磁辐射数据，并利用统计方法分析其中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者收集数千次加密操作的电磁辐射数据，通过统计方法比较不同密钥假设下的电磁信号，找到最有可能的密钥。 1.3.3.时序攻击（Timing Attacks） 时序攻击通过测量设备在执行操作时所需的时间来获取信息。 原理：不同的操作或相同操作处理不同数据所需的时间可能不同。攻击者可以通过测量这些时间差异，推断出内部操作细节和密钥信息。 举例：某些加密算法的执行时间取决于输入数据和密钥。通过多次测量加密操作的执行时间，攻击者可以推断出密钥的某些部分。例如，RSA加密算法中的模幂运算时间可能会泄露关于密钥的信息。 1.3.4.缓存攻击（Cache Attacks） 缓存攻击通过分析处理器缓存的行为来获取信息。 原理：加密算法在执行过程中会访问缓存，不同数据访问模式会导致不同的缓存命中率和访问时间。攻击者可以通过分析这些访问模式，推断出密钥信息。 举例：一个常见的缓存攻击是“Prime+Probe”攻击。攻击者首先将自己的数据加载到缓存中，然后让加密算法运行。通过测量加密算法运行后自己数据的访问时间，攻击者可以推断出加密算法访问缓存的模式，从而推断出密钥。 1.3.5.声学攻击（Acoustic Attacks） 声学攻击通过分析设备在执行操作时产生的声波来获取信息。 原理：不同操作可能会产生不同的声音模式，攻击者可以通过测量和分析这些声音，推断出内部操作和密钥信息。 举例：某些设备在执行不同的加密操作时会产生不同频率或强度的声音。通过使用麦克风记录这些声音，并进行频谱分析，攻击者可以推断出加密操作的类型和密钥。 1.3.6.光学攻击（Optical Attacks） 光学攻击通过观察设备的光学辐射（如LED指示灯的闪烁）来获取信息。 原理：设备在执行不同操作时可能会发出不同的光学信号。攻击者可以通过测量这些光信号的变化，推断出内部操作和密钥信息。 举例：某些设备的LED指示灯在执行加密操作时可能会闪烁不同的模式。通过使用高速摄像设备记录这些闪烁模式，并进行分析，攻击者可以推断出加密操作的类型和密钥。 2.侧信道攻击的防御 为了防御侧信道攻击，可以采取多种技术和策略，包括但不限于： 2.1.掩码技术（Masking） 原理：在计算过程中引入随机掩码，使得泄露的信息与实际密钥无关。即使攻击者获得了侧信道信息，也无法直接推断出密钥。 具体措施：在加密过程中，使用随机数对密钥进行掩码处理，使得功耗、时间或其他物理特征不再直接与密钥相关联。 2.2.均衡功耗技术（Balancing Power Consumption） 原理：通过设计电路和算法，使得不同操作消耗的功率尽可能一致，从而减少功耗分析的有效性。 具体措施：设计硬件电路时，确保所有加密操作的功耗变化保持在一个固定范围内，避免特定操作的功耗差异过大。 2.3.时间均衡技术（Balancing Timing） 原理：确保所有操作的执行时间尽可能一致，防止时序攻击。 具体措施：通过添加伪随机延迟或固定所有操作的执行时间，使得攻击者无法通过时间测量推断出密钥信息。 2.4.噪声引入（Noise Injection） 原理：在侧信道信号中引入随机噪声，增加攻击者提取有用信息的难度。 具体措施：在加密设备的输出中添加随机噪声信号，使得实际操作的物理特征被噪声掩盖。 2.5.硬件防护（Hardware Countermeasures） 原理：通过设计更安全的硬件架构，如使用电磁屏蔽和物理隔离，来减少侧信道信息的泄漏。 具体措施：在芯片设计中加入电磁屏蔽层，减少电磁辐射泄漏；通过物理隔离技术，降低功耗和时序信息的外部可观测性。
    • 97.以下哪项最有助于减少数据库中重复和不一致的数据？ A. 多态性 B. 范式化 C. 实施数据库视图 D. 去范式化 B 98.关系型数据库中元组(tuple)由主键值唯一确定，指的是？ A. 并发完整性 Concurrent integrity B. 参照完整性 Referential integrity C. 实体完整性 Entity integrity D. 语义完整性 Semantic integrity C
      • 98
        • 实体完整性：是用来唯一标识实体的要求（即现实世界中唯一存在的一个事物、人或个体）。不能为空，需要唯一确认，表示的是这一条记录的实体的完整唯一，通常用主键描述，不能为空且不重复。 参照完整性：它表示的是两个关系之间的联系，是表与表之间的引用。对应的就是外键，外键约束实现参照完整性。 数据库语义完整性是指数据库中数据的正确性和相容性，‌确保数据符合现实世界的语义和逻辑，‌防止数据库中出现不合语义的数据。‌这一概念涉及到数据的正确性、‌有效性和一致性，‌通过数据库管理系统（‌DBMS）‌的完整性约束来实现。‌
    • 99.下面哪项关于引用监控器和安全内核的关系的描述是正确的？ A.引用监控器是可信计算基 (TCB) 的核心，由安全内核组成 B.引用监控器实现和增强了安全内核 C.安全内核也叫抽象机，实现了引用监控器的概念 D.安全内核实现和执行了引用监控器
      • D
        • 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。
    • 100.下面哪种标记语言允许公司之间传递服务请求，接受公司为这些服务开通访问授权。 A. XML 可扩展标记语言 B. SPML 服务配置标记语言 C. SGML 标准通用标记语言 D. HTML 超文本标记语言 B 101.公司的软件开发流程已经文档化, 并且组织已经能够制定自己的软件流程的标准。这达到了CMMI软件成熟度集成模型哪一级？ A. 初始级 Initial B. 可重复级Repeatable C. 已定义级 Defined D. 可管理级Managed C 102.下面哪个不是VoIP的优点？ A. Cost 成本 B. Convergence 聚合 C. Flexibility 灵活性 D. Security 安全 D
      • 101
        • CMMI 的等级：CMMI 等级共五级， Maturity Levers，通常简写为 ML。 ML1初始级 软件过程是无序的，有时甚至是混乱的，对过程几乎没有定义，成功取决于个人努力。管理是反应式的。 ML2已管理级 建立了基本的项目管理过程来跟踪费用、进度和功能特性。制定了必要的过程纪律，能重复早先类似应用项目取得的成功经验。 ML3已定义级 已将软件管理和工程两方面的过程文档化、标准化，并综合成该组织的标准软件过程。所有项目均使用经批准、剪裁的标准软件过程来开发和维护软件，软件产品的生产在整个软件过程是可见的。 ML4量化管理级 分析对软件过程和产品质量的详细度量数据，对软件过程和产品都有定量的理解与控制。管理有一个作出结论的客观依据，管理能够在定量的范围内预测性能。 ML5优化级 过程的量化反馈和先进的新思想、新技术促使过程持续不断改进。
    • 103.以下哪项是业务连续性计划的最重要目标？ A.支持组织恢复关键业务功能 B.满足监管合规要求 C.使得组织可以确保业务的生存 D.支持组织保护生命并确保安全 104.下面哪项用于是向管理层提供的最重要的材料，用于获取他们对业务连续性计划(BCP)的支持？ A. 业务论证 Business case B. 业务影响分析 Business impact analysis C. 风险分析 Risk analysis D. 威胁报告 Threat report 105.使用联机事务处理OLTP时，以下哪一项描述了ACID原则中的原子性？ A.建立数据库安全策略中所规定的完整性规则 B.数据库作为一个单元来执行事务，而不会中断 C.确保回滚不会发生 D.防止同时进行的事务进程之间的相互干扰 B 106.当内核或者介质出现意外故障，而常规的恢复程序不能使系统恢复到一个更为稳定的状态时，需要管理员介入做下面哪一项工作？ A. 紧急系统重启 B. 可信恢复 C. 系统冷启动 D. 系统重启
      • 103 D 四个选项都是，但是保护人生命安全是第一位的，最重要的。切记
      • 104 A 阐明价值主张、风险、收益，用Business Case 获得领导的支持，BIA 是 BCP 团队获得管理层的支持后才进行的工作
      • 105
        • 1. 原子性（Atomicity） 定义：原子性指的是一个事务中的所有操作要么全部成功执行，要么全部失败回滚。如果一个事务中的某个操作失败，那么整个事务都会回滚到之前的状态，保证数据的一致性。 作用：原子性确保了事务的完整性和可靠性，是事务不可分割的最小执行单位。 2. 一致性（Consistency） 定义：一致性指的是在事务执行前后，数据库的状态应保持一致。事务的执行应使数据库从一个一致的状态转换到另一个一致的状态，即满足事务的约束和规定的业务规则。 作用：一致性要求事务在执行过程中对数据库的修改必须符合预定义的规则和约束，否则事务会被回滚到执行前的状态，从而保证数据的完整性和有效性。 3. 隔离性（Isolation） 定义：隔离性指的是多个事务并发执行时，每个事务都应该被隔离开，互不干扰。每个事务应该感觉不到其他事务的存在，即使多个事务同时对同一数据进行操作，也不会产生相互干扰的结果。 作用：隔离性保证了并发执行的事务之间不会产生不一致的结果，避免了数据竞争和冲突，确保了数据的一致性和正确性。 4. 持久性（Durability） 定义：持久性指的是一旦事务提交成功，对数据库的修改就会永久保存，即使发生系统故障或断电等情况，数据也能够被恢复。 作用：持久性保证了数据的持久性和可靠性，使用户可以放心地使用数据库，不用担心数据的丢失。
      • 106 C 系统故障以一种不可控的方式发生时，系统自己重启并进入维护状态，并从所采取的措施中得以恢复。然后重回到一个稳定又一致的状态。 可信恢复是指当操作系统或应用程序崩溃或冻结时它不应该置系统于任何不安全状态的一个统称。 系统冷启动：常规的重启不能使系统恢复到一个更为稳定的状态时，需要管理员介入恢复。
    • 107.当接到一个涉嫌犯罪的事情报告，事件响应团队应当首先采取的措施是？ A.建立这个事件的响应程序 B.召集取证专家 C.通知高级管理层 D.判断是否真的发生了犯罪活动 D 108.攻击者诱导受害者打开一个用恶意脚本的编程的URL链接以偷取敏感信息，这是哪种跨站攻击 (XSS) ？ A. 永久跨站型 B. 反射型 C. 存储型 D. DOM基于文件对象模型 B 109.公司需要选择一个新的机房地址，下面哪项在选择地址时不是一个重要的考虑因素？ A. 距离警察局和消防局的距离 B. 照明 C. 自然灾害 D. 犯罪率 B 110.咖啡店的墙上挂了一幅值钱的画，需要安装一个入侵检测系统保护这幅画，应该选下面哪种？ A. 声音探测系统 B. 邻近探测器 C. 光电系统 D. 振动传感器 B 111.以面哪个正确的描述了身份管理流程中的联合身份？ A.按照角色分配权限，不同的角色可拥有不同权限 B.由域名定义的一种身份，可以跨越业务边界使用 C.一种可移植的身份，能够跨越业务边界使用 D.在内部网络虚拟目录和身份存储中使用的一种身份 C
      • 108
        • XSS的分类 XSS主要分为两大类：非持久型攻击、持久型攻击。非持久型攻击（反射型XSS）：经过后端，不经过数据库；持久型攻击（存储型XSS）：经过后端，经过数据库。 1.持久型也可认为是存储型XSS：当恶意的JavaScript代码写入web页面，会被存储到应用服务器端，简而言之就是会被存储到数据库。等用户再次打开web页面时，页面会继续执行恶意代码，达到持续攻击用户的作用。如下案例：在欢迎词处输入框输入JavaScript恶意代码进行保存，当用户在打开这个写入恶意JavaScript代码web页面的时候就会弹出带有恶意数据的弹窗。 2.非持久型XSS：非持久型XSS又叫反射型XSS，属于一次性攻击，仅对当次的页面访问产生影响。非持久型XSS攻击，要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。如下案例：通过搜索功能执行恶意的JavaScript代码点击搜索即执行恶意的JavaScript代码。 3.DOM是一个平台和语言都中立的接口，可以执行程序和脚本，能够动态访问和更新文档的内容、结构以及样式。DOM型XSS是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。
    • 112.以下哪一项被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度： A．CC B．CVE C．CVSS D．BSIMM C 113.工控系统软件没有及时更新的最常见原因： A．工控系统软件的更新需要供应商提供支持, 而供应商缺乏due diligence B．工控系统很少停机，软件更新困难 C．工控系统是相对封闭的环境，不依赖通过更新软件来提升安全 D．工控系统在设计时就考虑了相对全面的安全要求，不需要频繁更新
      • 112
        • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
      • 113 B 主要是更新困难
    • 114.准则(guideline)和 规程(procedure)的特点是： A．准则(guideline)是灵活的，规程(procedure)是特定的,具体的 B．准则(guideline)是强制的，规程(procedure)是灵活的 C．准则(guideline)特定的,具体的，规程(procedure)是灵活的 D．准则(guideline)是一致的，规程(procedure)是不一致的 A 115.想了解一段时间内运营安全和隐私的控制是否有效运行，应该看哪种SOC报告？ A．SOC1，type1 B．SOC1，type2 C．SOC2，type1 D．SOC2，type2 D 116.IDC 机房空调等环境形成的“正气压”指什么？ A．IDC机房内的气流通过门缝跑出去 B．外边的气流想通过门缝跑进IDC机房 C．IDC 机房内的气压维持在一个恒定的值 D．IDC 机房内的空气清洁度达到预定指标 A 117.什么是唯一针对 语音电话的攻击？ A. phishing B. vishing C. whaling 捕鲸 D. spear phishing 鱼叉式钓鱼 B 118.哪种攻击看上去是合理的请求，利用了简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的这一用户身份验证的漏洞。 A．XSS 跨站脚本攻击 B．CSRF 跨站请求伪造 C．SQL注入攻击 D．生日攻击 B
    • 119.以下哪一项符合基于上下文的访问控制： A．是内容相关的访问控制 B．访问决定基于连接状态 C．访问决定基于数据敏感度 D．访问决定基于规则分析 120.对实物资产最好的保护措施是： A．实施门禁系统 B．安排保安 C．上锁 D．纵深防御 D 121.数据报文(datagram)的源地址和目的地址是体现在OSI的哪一层： A．数据链路层 B．MAC子层 C．网络层 D．传输层 122.GRC(治理、风险、合规)的最后一道防线是： A．董事会评审 B．审计 C．持续监控 D．合规报告 123.如果企业想实施安全改进计划，第一步应该做的是： A．执行业务影响分析 B．进行安全评估 C．执行合规审计 D．修改安全策略 B 124.以下哪一项能够代替防病毒软件： A．蜜罐 B．沙箱 C．防火墙 D．入侵检测和防御系统 D 125.渗透测试信息搜集阶段会使用到以下那个命令： A.dig B.ipconfig C.ifconfig D.nbtstat
      • 119 B 连接状态是上下文，内容属于包过滤，规则属于内容
      • 121 C 是网络层
      • 122 A GRC（治理、风险、合规的缩写）具有在解决不确定性[风险管理]和诚信[合规]的同时可靠地实现目标[治理]的能力。 第一道防线：运营管理 第一道防线由对风险和控制具有日常所有权和管理权的一线和中线经理处理。该团队承担风险，并执行相应的控制措施，以提高实现组织目标的可能性。 第二道防线：内部监控和监督职能 第二道防线的建立是为了通过提供给第一线提供专业知识和监控来支持高级管理层，以确保适当地管理风险和控制措施。这是一种管理和监督功能，包括风险管理流程的各个方面。第二线职能可以开发、实施或修改组织的内部控制和风险流程。根据组织的规模和所处行业，第二线的组成可能会有很大差异。 第三道防线：内部审计 第三道防线向高级管理层和董事会保证第一和第二线的工作与预期一致。该团队是由内部审计师职能执行的保证职能。内部不过，查询又说审计师通过采用系统的方法来评估和提高风险管理，控制和治理流程的有效性来实现其目标。他们最终确保组织内的独立性和专业性。第三道防线与前两道防线的主要区别在于组织的高度独立性和客观性。 GRC框架整合了整个企业的系统和流程，‌用于监督治理、‌企业风险管理和合规管理的各个方面。‌通过采用结构化方法协调业务战略与IT运营，‌GRC框架帮助企业有效管理风险并满足合规要求。‌在这个过程中，‌董事会评审作为最高层的治理机制，‌确保企业战略和决策与公司的长期目标和价值观一致，‌是GRC框架中不可或缺的一部分，‌也是最后一道防线。‌通过董事会的定期评审和监督，‌可以确保企业在治理、‌风险和合规方面的问题得到及时的处理和解决，‌从而保障企业的长期稳定发展
      • 124 B 书中原话
      • 125 A D是枚举阶段 渗透测试需要好好再看一遍书 1、计划阶段： 计划阶段没有实际的测试发生，但是为渗透测试的成功奠定了基础，主要工作成果包括： 1）识别测试的范围和规则，确保测试团队和管理层对测试的性质达成一致； 2）获得和记录管理层的明确的授权。 2、发现阶段： 发现阶段一般又被分为两个部分， 第一部分通常被称为“发现和侦察”，收集有关目标的信息。这一部分不产生可能触发警觉的不寻常流量，一般通过OSINT或正常的访问系统功能和内容来进行，包括： 1）社交媒体，以确定目标或有用的个人细节，用于网络钓鱼。 2）公共记录，如域名系统（DNS）或公司网站的服务或位置信息，常用工具whois； 3）攻击面数据，如列举与目标的DNS记录相关的IP地址，以及关于使用中的服务的潜在细节，常用工具nslookup、dig、搜索引擎等 4）实际观察，如监测员工的行动，拍照，开车经过，或观察设施，或在垃圾箱里翻找以获得信息的硬拷贝。 第二部分是扫描和探测，目的是识别潜在目标并收集更详细的信息，这会需要向目标系统发送一些不同于普通访问的流量，这就引入了被目标组织的安全程序发现的风险。这个阶段可能使用的工具和资源常见如下： 1）网络踩点（footprinting），测试人员识别存在哪些端点以及在这些端点上运行的服务，常用工具Nmap、ping、tracerouter、telnet、war dialing等； 2）banner抓取，测试人员分析目标返回的信息，如软件名称和版本等，后续测试会用的上； 3）漏洞扫描，虽然是一种比较容易被发现的方法，但使用漏洞扫描器可以提高效率。自动化的漏洞扫描工具一般也包含了网络踩点和banner抓取的功能。 3、攻击阶段： 使用手动或自动的利用工具，证实可击败系统安全。这是渗透测试超越漏洞扫描的地方，因为漏洞扫描并不试图实际利用检测到的漏洞。 攻击阶段又可细化为4个子阶段，这4个子阶段以及发现阶段与攻击阶段之间，形成了两个反馈回路（feedback loop）。 4、报告阶段： 在测试结束后，编制报告描述所发现的漏洞，给出风险评级，并给出改进建议。 需要注意的是，报告要考虑受众！！！ 跟技术层谈细节，跟高管层谈影响、谈钱钱~~ 根据NIST SP 800-115 8.2节： Security testing results should be documented and made available to the appropriate staff, which may include the CIO, CISO, and ISSO as well as appropriate program managers or system owners. 安全测试结果应形成正式文件，并提供给适当的人员，其中可能包括CIO、CISO和ISSO以及适当的项目经理或系统所有者。 Because a report may have multiple audiences, multiple report formats may be required to ensure that all are appropriately addressed. 由于一份报告可能有多个受众，因此可能需要多种报告格式，以确保所有报告都得到适当的处理。
    • 126.CC评估级别中的 EAL1，EAL2，EAL3 分别对应： A．功能测试，结构测试，半正式的设计和测试， B．结构测试, 功能测试，半正式的设计和测试， C．功能测试，结构测试，系统地测试和检查， D．结构测试, 功能测试，系统地测试和检查， C 127.RBAC支持的三个安全原则: A．最小权限、知所必须、责任分离 B．最小权限、知所必须、数据抽象 C．最小权限、责任分离、数据抽象 D．知所必须、责任分离、数据抽象 C 128.保护丢失的智能手机数据不被窃取最有效方法： A．加密 B．远程擦除 C．双因素验证 D．备份 A
    • 129.外购应用程序可能存在的最大问题： A．软件许可很贵 B．拿不到源代码 C．应用漏洞很严重 D．和公司安全策略不符 130.代码签名针对应用程序的： A. 可用性 B. 机密性 C. 完整性 D. 不可否认性 131.与安全审查周期相关的审计的主要目的是什么? A. 确保组织的控制和政策按预期运行 B. 确保该组织仍然可以公开交易 C. 确保组织的执行团队不会被起诉 D. 确保组织满足合同要求 A 132.以下哪一项是实施基于角色的访问控制 (RBAC) 系统的最大好处？ A. 使用轻量级目录访问协议 (LDAP) 进行集成 B. 基于表单的用户注册(registration)流程 C. 与组织人力资源 (HR) 系统的整合 D. 一个相当简单的配置(provisioning)过程
      • 129 B 没理解题意
      • 130 C 代码签名保证的是拿到正确的代码，保护完整性，第二套题有一道类似的
      • 132 D C有点片面
    • 133.结构化查询语言 (SQL) 通过以下哪种命令实现自主访问控制 (DAC) ： A. INSERT and DELETE B. GRANT and REVOKE C. PUBLIC and PRIVATE D. ROLLBACK and TERMINATE B 134.一个组织实施了一种新的备份过程，该过程通过加密存储在备份磁带上的信息来保护机密数据。在实施这一新的备份过程后，以下哪一项是主要的数据保密问题？ A. 备份磁带存放位置 B. 预先存在的备份磁带 C. 磁带备份压缩 D. 磁带备份轮换 B 135. 如果想确保在坏了两个盘的情况下，数据仍然不会丢失，应该使用哪种RAID？ A. RAID 10 B. RAID 2 C. RAID 4 D. RAID 6 D 136.“百年一遇洪泛区”一词对应急准备官员意味着什么？ A. 在任何给定年份，发生洪水的几率是 100 分之一 B. 该地区预计至少 100 年内不会发生洪水 C. 上一次袭击该地区的洪水是 100 多年前 D. 下一次大洪水很有可能在未来 100 年内发生 A 137.风险管理计划旨在将风险降到： A．收益率高于资产当前成本的水平 B．效益超过控制成本的水平 C．残余风险可以忽略的水平 D．组织织愿意接受的水平 D 138.应用程序的设计审查已经完成，可以发布。组织应该使用什么技术来确保应用程序的完整性？ A.设备加密 B.输入验证 C.身份验证 D.数字签名 D 139.为什么系统的关键性分类在大型组织中很重要？ A.它可以更容易地确定所有权，减少对资产状态的混淆。 B.它减少了关键的系统支持工作量，并减少了应用修补程序所需的时间。 C.它提供了安全和维护任务的适当优先顺序和调度 D.它允许与执行管理层进行清晰的系统状态通信。 C 140.对公司员工离职后系统用户的删除情况的及时性进行审计时，以下哪项最能获得有效证据？ A.与HR经理进行面谈，确认及时性 B.与系统管理员进行面谈，确认及时性 C.将离职记录与HR的离职表进行比较 D.将离职记录与系统操作日志进行比较 D 141.分析表明，攻击者通过TLS VPN网关获得了访问网络的权限后侵入了网络。攻击者是在猜出了用户名并使用了暴力破解得到了密码后获得访问权限的。以下哪一项最有助于降低这一风险？ A.在VPN上实施强密码验证 B.将VPN和集中身份存储集成 C.改用IPsec VPN D.使用双因素验证 D 142.轻量目录访问协议 (LDAP) 是以什么样的数据结构来存储数据的？ A.堆栈 B.二维表 C.指针链接 D.树状层次结构 D 143.洋葱路由网络 (Onion routing network) 的主要特点是？ A.匿名通信 B.可追踪 C.高冗余 D.不可抵赖性 A 144.在设计和评估自动取款机ATM的安全时首要考虑的是？ A.定期的维护流程 B.对电子硬件设备的物理访问控制 C.网络连接的高可用性 D.交易处理的延时 B 145.以下哪一项不是进行渗透测试的要求？ A.确定的目的 B.有限的时间段 C.秘密的方法 D.管理层批准 C 146.以下哪种传输介质最不容易遭到窃听？ A.同轴电缆 B.双绞线 C.光纤 D.微波 C
      • 135
    • 147.处理事件(incident)的基本目标是？ A.恢复受影响系统 B.判断事件发生时能否及时响应 C.需要计算机安全事件影团队评估损害情况 D.允许事件继续进行并沿着线索追溯到事件开始 148.对在网络上传输的数据是否需要加密的判断应该基于： A.传输的数据量 B.传输路径的安全性 C.数据的货币价值 D.数据的机密性级别 D 149.以下哪一项控制最能防止互联网嗅探器(sniffer)进行重放攻击？ A. 正确配置防火墙 B. 数据包过滤路由器 C. 基于哈希的消息验证码 D. 带时间戳的数据加密
      • 147 A 记住
      • 149 D 放重放攻击方式之一就是时间戳
    • 150.以下哪一项对应用系统的更新进行定义、测试和实施？ A.回归测试 B.变更控制 C.用户验收测试 D.发布上线控制 B 151.The PRIMARY purpose of accreditation is to 认可的主要目的是？ A.allow senior management to make an informed decision regarding whether to accept the risk of operating the system. 让高层做一个正式的决定，来确认是否接受系统运行的风险 B.verify that all security controls have been implemented properly and are operating in the correct manner. 确认所有的安全控制得到正确的实施，并以正确的方式在运行 C.protect an organization's sensitive data. 保护组织的敏感数据 D.comply with applicable laws and regulations. 满足适用的法律和法规 A 152.Which of the following is a PRIMARY reason to motivate an organization to review its current cryptosystem implementation? 下面哪个是推动组织来评审它目前实施的加密系统的主要原因？ A.The use of Message Digest 5 (MD5) hashing MD5哈希算法的使用 B.A more efficient encryption algorithm is available 为了使用更加高效的加密算法 C.A new Certificate Revocation List (CRL) is available 为了使用一个新的证书撤销列表CRL D.Key strength is no longer safe against brute force attacks 密钥长度在对抗暴力破解攻击时不再安全 D 153.Which of the following is the BEST type of outsourcing agreement? 下面哪个是外包协议的最好的形式？ A.Face-to-face dialogue between chief executive officers 首席执行官之间面对面的对话 B.A Service Level Agreement (SLA) between two organizations 两个组织之间的服务水平协议 (SLA) C.A document that proposes the division of responsibilities between two organizations 两个组织之间的职责分工文档 D.A Business-to-Business (B2B) agreement between two parties 双方之间的B2B协议 B 154.The aggregation problem in database design occurs when 数据库设计时什么情况下会发生聚合问题？ A.an item that is not sensitive by itself but when combined with common knowledge is sensitive. 一个条目本身是不敏感的，但当它与常识相结合时，是敏感的。 B.two or more different items that are not sensitive individually but when combined become sensitive. 两个或更多条目单个本身是不敏感的，但当结合在一起是就变得敏感了 C.two or more instances of the same item that are not sensitive individually but when combined become sensitive. 同一个条目的两个或多个实例是不敏感的，但当结合起来就变得敏感了 D.one instance of the item is classified higher than another instance of the same item. 条目的一个实例比同一个条目的另一个实例的安全级别高 B 155.Given the following: 根据下面 D = Number of devices D=设备数量 T = Time spent fixing each device T=维修每个设备的时间花费 C = Hourly rate for the time spent C=每小时费率 I = Vulnerability impact I=漏洞影响 P = Probability of vulnerability exploitation P=漏洞利用的可能性 Which of the following equations determines the cost of recovery? 下面哪个公式决定了恢复成本 A. D * T * C B. D * P * C C. T * I * P D. T * C * P A 156.封装安全载荷 (ESP) 能提供？ A. 可用性和完整性 B. 完整性和机密性 C. 授权和完整性 D. 授权和机密性 B 157.组织是否必须向监管部门报告所有数据违规？ A. 组织的道德规范不一定要求必须报告 B. 只有产生重要影响的违规才需要报告 C. 不同的司法管辖有不同的要求 D. 如果数据是加密的，就不需要报告 C 158.临时密钥完整性协议(TKIP) 用于解决以下哪一项的不足？ A. WEP有线等效保密 B. PKI公钥基础设施 C. VPN虚拟专用网络 D. Kerberos 认证协议 A 159.使用安全验证和日志能够提供？ A. 职责分离 B. 可问责 C. 独立审计 D. 数据完整性 B 160.基于角色的访问控制 (RBAC) 的重要特征是： A．依赖于岗位轮换 B．简化了访问权限管理 C．需要双因素验证 D．支持强制访问控制 (MAC) B
      • 158
        • 无线安全
          • WEP
            • 采用RC4加密(不安全的) IV 初始向量 size 24bit ,容易攻破
          • WPA
            • TKIP(TKIP:Temporal Key Integrity Protocol负 责处理无线安全问题的加密部分。 以解决WEP保护的网络中遇到的安全问题)。IV 128bit, 比WEP更安全
          • WAP2-802.11i
            • CCMP替代TKIP 比WPA更安全
          • WAP3
            • Wi-Fi Protected Access 3 (WPA3) 于 2018 年 1 月定稿。 WPA3-ENT 使用 192 位 AES CCMP 加密，WPA3-PER 仍为 128 位 AES CCMP。 WPA3-PER 将预共享密钥身份验证（PSK）替换为同步对等身份验证(Simultaneous Authentication of Equals) (SAE)。 一些 802.11ac/Wi-Fi 5 设备率先支持或采用 WPA3。 SAE 仍然使用密码，但它不再加密并通过连接发送该密码以执行身份验证。 相反，SAE 执行称为 Dragonfly Key Exchange 的零知识证明过程，它本身 是 Diffie–Hellman 的衍生物。 该过程使用预设密码以及客户端和 AP 的 MAC 地址来执行身份验证和会话密钥交换。 WPA3 还实现了 IEEE 802.11w-2009 管理帧保护，因此大多数网络管理操作都 具有机密性、完整性、来源身份验证和重放保护。
          • 802.1x/EAP
            • IEEE 802.1X是IEEE制定的关于用户接入网络的验证标准。 802.1X协议在用户/设备接入网络 (可以是LAN，也可以是WLAN)之前进行验证， 运行于网络中的MAC层。
            • 由三部分组成:请求者(无线设备)、身份验证者 (AP)、身份验证服务器(RADIUS) 同身份验证架构和一个动态分发加密密钥的方法 使用EAP验证
          • LEAP
            • 私有
          • PEAP
          • EAP-TLS
            • 证书
• 第二套模拟题
  • 题
    • 1.以下哪一项是特权用户身份生命周期管理的重要措施？ A.基于多因素验证的账号访问管理 B.定期进行账号重新核验和审批 C.需要主管或部门经理提供账号信息 D.经常性地对账号日志进行审查
      • B 审批、创建、使用、核验、停用、撒销 provisioning，de-provisioning D.日志审查是重要的安全控制，但不属于用户身份生命周期管理
    • 2.应对垃圾搜寻攻击的最有效措施是？ A.购买碎纸机器 B.垃圾箱加锁 C.安全意识培训 D.安装闭路电视监控系统CCTV 3.文件传输协议FTP的安全漏洞是？ A.允许匿名登录 B.传输命令允许使用通配符 C.验证过程没有加密 D.使用了UDP传输端口 4.以下哪一个因素会影响数据分级？ A．定义敏感标签 B．不同的数据提取方法 C．时间的流逝 D．访问数据的频率
      • 2
        • 提高安全意识
    • 5.使用通用漏洞评价体系CVSS进行代码评审时的主要问题是？ A.需要使用大量表格进行计算 B.需要预先定义有效的风险管理框架 C.漏洞评级的分级指标过于复杂 D.只能计算已公布的漏洞的风险 6.在制定信息安全方针时，方针应该是充分的、必要的，以及： A.可达成的 B.灵活的 C.强制的 D.可优化的
      • 5 C CVSS （Common Vulnerability Scoring System）是由 FIRST（事件响应与安全团队论坛）创建，并由美国国家漏洞库（NVD）保持数据日常维护更新的一套漏洞评价标准体系，主要目的是帮助行业衡量漏洞危害的严重程度，并指导行业进行漏洞修复。应用 CVSS 评分机制对新安全漏洞进行危害性评价时，通常会从基础维度（BaseMetric Group）、生命周期维度（Temporal Metric Group）和环境维度（Environmental Metric Group）进行评估，并生成一个0到10分之间的评分值来评估漏洞的严重程度。可以计算未公布的漏洞风险，切记
        • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
      • 6 A 指南是灵活的 标准和基线是强制的 都可以优化
    • 7.通信网络中端到端加密的特点是？ A．仅加密用户信息，不加密数据包头部、尾部、地址和路由信息 B．加密所有信息，包括用户信息、数据包头部、尾部、地址和路由信息 C．加密发生在数据链路层和物理层 D．加密发生在网络层 8.在环境温度发生变化的场所使用被动红外传感器时，应该？ A.提升被检测目标的温度，以区别背景温度 B.降低被检测目标的温度，以区别背景温度 C.不需要调整背景温度，被检测目标的温度和背景温度没有关系 D.在背景温度发生变化时，能够自动调整，补偿背景温度变化 9.以下哪一项是在进行安全测试和评估(ST&E)时对需求进行的正确分类？ A.观察、访谈、研讨 B.战略、战术、财务 C.标准、策略、步骤 D.管理、操作、技术 10.生日攻击针对的是下列哪一项？ A.分组密码 B.流密码 C.加密哈希 D.公钥基础设施PKI 11.使用双因素认证、服务器加固、采用IPsec VPN保护数据传输过程、进行日志审计，属于： A.保护数据完整性 B.保护数据机密性 C.保护数据可用性 D.纵深防御 12.以下哪一项是保护移动系统免受恶意代码攻击的有效对策? A.VPN B.沙箱 C.内存保护 D.数字证书 13.用于了解系统脆弱性的评估指标是？ A.识别系统中的安全缺陷数量 B.定量分析系统受到的威胁数量 C.攻击面分析得出的系统可用性指标 D.系统发生故障后的损失程度 14.发现交易系统的交易金额超过了预先设置的上限，触发SCARF (系统审计复核文件) 记录。这属于哪种控制？ A.预防性控制 B.检测性控制 C.纠正性控制 D.补偿性控制 15.版权保护的是？ A.新的发明 B.文学作品所表达的思想 C.思想的具体表述 D.发现的科学现象 16.以下哪一项是网络入侵检测技术: A.端口扫描 B.网络欺骗 C.统计异常 D.协议分析 17.安全经理在组织的网络中发现了基于客户端的攻击。以下哪一项是组织制定计划降低基于客户端的攻击的最佳理由？ A.客户端的加固比服务器端的加固更容易 B.客户端的特权管理比服务器端的特权管理更薄弱 C.客户端的攻击比服务器端的攻击更常见且更易实施 D.客户端的攻击会造成更大的财务损失 18.内核或者介质出现意外故障而常规的恢复程序不能使系统恢复到一个更为稳定的状态时，发生的启动为： A.紧急系统重启 B.可信恢复 C.冷启动 D.旁路重启
    • 19.安全经理评估采购的新系统时发现，在系统规格说明书中有一些安全因素没有被考虑到。这最有可能是因为？ A.安全需求的描述不够充分 B.供应商招标团队中缺乏安全专家 C.采购人员缺乏技术知识 D.采购过程中安全需求发生了变化
      • 19 A 是主要的原因，D只是原因之一
    • 20.以下哪一项包含的是针对口令的攻击？ A.暴力破解、动态口令、生物特征重放 B.色拉米、SYN洪泛攻击、死亡之ping C.字典攻击、钓鱼、键盘记录 D.彩虹表、泪滴攻击、战争拨号 21.一家公司需要让其众多员工能够在自己家中通过电脑访问公司的资源，以下哪一项以易于部署和较小的维护成本提供了安全保障？ A.使用IPsec VPN B.使用TLS VPN C.使用基于PKI的数字证书 D.使用SESAME双向身份认证系统 22.组织进行道德意识灌输以及实施相关方针。这样做的主要原因是应为这会影响？ A.员工的保留率 B.员工的士气 C.组织的声誉 D.组织的工作流程 23.在应用开发过程中的SwA(software assurance软件保障)用于？ A.防止产生易受攻击的软件 B.鼓励开发开源软件 C.有助于生成可信计算基(TCB)系统 D.有助于生成高可用性的系统 24.企业数据保护策略中定义的数据保留期限根据的是？ A.业务规程 B.应用停用 C.法规合规 D.数字证书到期 25.应对SQL注入攻击的有效手段是？ A.加密web服务器的流量 B.实施服务器端过滤 C.在边界防火墙过滤传出流量 D.加密服务器间通 26.配置域名服务系统(DNS)的一项重要安全实践是？ A.禁用所有在域名服务器上的递归查询 B.仅限区域传送到被授权的设备 C.阻止所有TCP连接 D.配置备用服务器作为主服务器的区域传送者 27.基于最佳实践，以下哪一项是进行信息安全合规审计的最佳人选？ A.灾难恢复小组 B.安全管理员 C.系统管理员 D.外部顾问
      • 23
        • 软件保障SwA
          • 软件保障(Software Assurance,SwA)指对软件免于存在漏洞(无论是有意设计到软件中的漏洞还是在其生命周期中的任何时候意外插入的漏洞)以及软件按预期方式运行的信心水平。
          • 软件保障SwA所讨论的对象应该包含任何来源的软件，包括自研、外包或采购的。但在备考CISSP的语境下，SwA主要涉及软件采购的场景，描述了为了达到上述信心水平的软件采购过程的4个阶段：
            • 1、计划planing阶段： (1)确定获取软件服务或产品的需求，识别潜在的备选软件方案，并识别与这些备选方法相关的风险。 (2)开发软件需求(包括SwA需求)，作为工作说明书的一部分； (3)创建采购策略和/或计划，包括识别与各种软件采购策略相关联的风险； (4)制定评估标准和评估计划，评估应是客观、专业的独立测试independent testing。 2、合同Contracting阶段 (1)创建/发布招标或RFP，包括工作说明、报价人/供应商说明、条款和条件(含验收条件)、资格预审和证明； (2)评估响应招标或RFP而提交的建议书(就是评标啦)； (3)完成合同谈判，正式确认条款和条件的变更，并授予合同。 3、监控和验收Monitoring&Acceptance阶段 (1)建立并同意(consenting)合同工作进度表；（consenting是非常正式的知情同意哈，手术前那份同意书就是这个词） (2)实施变更(或配置)控制程序； (3)审查并接受软件交付成果。 4、后续follow-on阶段 (1)支持sustainment，包括风险管理、保证案例管理和变更管理；(考虑从软件供应方得到的支持，而不是甲方自己的运维) (2)处置或退役。
      • 25
        • 各种攻击的防御：
          • 防范缓冲区溢出的方法包括： 保护缓冲区：通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码。‌ 编写安全的代码：程序员在编写代码时，应注意检查和限制用户输入的长度和格式，避免数据超出缓冲区的范围。‌ 利用编译器的边界检查（输入验证）：使得缓冲区溢出不可能出现，从而完全消除缓冲区溢出的威胁。 使用安全编程工具和技术：如地址空间布局随机化，增加程序的抵抗能力。
          • XSS： 限制输入长度和类型：对于用户提交的任何数据，都应严格限制其长度和类型，防止攻击者插入过长的恶意脚本或尝试绕过验证。特殊字符过滤：对于像<, >, &, "等可能导致HTML或JavaScript代码执行的特殊字符，应进行严格的过滤或转义处理。 白名单验证：采用白名单机制，只允许已知的、安全的字符或格式通过验证，任何不在白名单内的内容都应被拒绝。 设置安全HTTP响应头：X-Content-Type-Options: nosniff：这个响应头可以防止浏览器猜测响应的MIME类型，从而减少潜在的XSS风险。 Content-Security-Policy (CSP)：CSP可以限制页面可以加载和执行的外部资源，防止恶意脚本被注入或执行。开发者应设置严格的CSP策略，仅允许可信的来源加载资源。 使用HttpOnly属性的Cookie：将Cookie设置为HttpOnly属性，这样JavaScript就无法访问它，从而防止攻击者通过XSS攻击窃取Cookie。 开发者应定期更新应用程序及其依赖的库和框架，以确保利用已知漏洞的攻击无法成功。同时，应密切关注安全公告和漏洞信息，及时修补已知的安全漏洞。 教育和培训：对开发人员进行Web安全培训，提高他们的安全意识，使他们了解并遵循最佳的安全实践。 使用Web应用防火墙（WAF）：WAF可以帮助检测和拦截潜在的XSS攻击。它可以分析请求和响应数据，查找恶意代码或攻击模式，并进行拦截或告警。
          • CSRF： 防范CSRF攻击的措施主要包括使用随机令牌、‌利用HTTP请求头Referrer进行白名单判断、‌增加安全的token、‌增加安全的验证码、‌实施安全的逻辑流程等。‌ 使用随机令牌：‌在每次向目标网站发送请求时，‌携带一个随机生成的令牌(Token)。‌目标网站在处理请求时会校验该令牌的有效性，‌如果无效则拒绝请求。‌这种方法可以防止攻击者伪造有效的令牌，‌从而避免CSRF攻击1。‌ 利用HTTP请求头Referrer进行白名单判断：‌通过检查HTTP请求头中的Referrer字段，‌可以区分请求是否从合法的页面发出。‌如果Referrer在白名单内，‌则允许请求通过。‌这种方法在浏览器环境下是安全的，‌因为浏览器默认带上Referrer字段，‌而JavaScript无法修改它。‌但需要注意，‌写操作时Referrer可能为空，‌需要实施额外的安全措施。‌ 增加安全的token和验证码：‌对敏感信息的操作增加安全的token和验证码，‌可以增加攻击的难度，‌因为攻击者需要获取这些额外的验证信息才能成功发起攻击。‌ 实施安全的逻辑流程：‌例如，‌在修改密码时，‌需要先校验旧密码等安全措施，‌以确保操作的合法性
          • SQL注入： CARROT &1=1;-- 防范SQL注入的关键方法包括‌参数化查询、‌输入验证、数据清理和‌多层验证。 参数化查询：这是防止SQL注入的最基本和最有效的方法。通过预编译的SQL语句，将参数与查询分开处理，可以有效地防止攻击者注入恶意SQL代码。在书写SQL语言时，应禁止将变量直接写入到SQL语句中，必须通过设置相应的参数来传递相关的变量。‌ 输入验证和清理：对用户的输入进行严格的验证和过滤，只接受预期的输入。这包括过滤掉不安全的输入数据，或采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。‌ 多层验证：对访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。 前端验证：虽然主要防御应在后端实施，但前端也可以通过正则表达式识别非法输入，直接拒绝提交，作为前置的预防方案。‌ SQL注入 是用于处理前端（通常是Web服务器）和后端数据库之间交互的脚本的一个漏洞。如果脚本是防御性的，并且包含要转义（作废或拒绝）元字符的代码，将无法进行SQL注入。 LDAP注入 是输入注入攻击的一种变体；但攻击重点是LDAP目录服务的后端而不是数据库服务器。如果Web 服务器前端使用脚本根据用户的输入来生成LDAP 语句，则LDAP 注入可能是一种威胁。输入净化和防御性编码对于消除这种威胁至关重要。 XML注入 是SQL注入的另一种变体，其中后端目标是XML应用程序。同样，输入净化是消除这种威胁所必需的。XML利用 是一种编程攻击的形式，用于伪造发送给访问者的信息，或者导致他们的系统在未经授权的情况下泄露信息。 SQL主要防御方法 选项1：使用预处理语句（带参数化查询） 选项2：使用存储过程 选项3：白名单输入验证 选项4：转义所有用户提供的输入 选项5：黑名单输入过滤
          • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。 攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
    • 28.需要刷感应卡才能进入某个办公区域，这属于哪种控制？ A.物理控制 B.技术控制 C.行政控制 D.流程控制 29.在一家金融机构，谁对信息的分级负责？ A.首席信息官CIO B.首席财务官CFO C.信息的所有者 D.各部门领导 30.以下哪一项是对RTO恢复时间目标的恰当描述？ A.灾难发生后恢复数据的时间 B.灾难发生后恢复应用的时间 C.灾难发生后验证数据的时间 D.灾难发生后验证应用的时间 31.在DRP恢复过程中，备用站点关键系统的服务性能只有主站点的一半，但团队仍然通知管理层已恢复了关键系统。这是因为团队已经实现了： A.RPO 恢复点目标 B.RTO恢复时间目标 C.SDO服务交付目标 D.MTD可承受的最长中断时间 32.以下哪一项是目录服务在TCP/IP上的实现？ A.X.500 B.X.509 C.目录访问协议 DAP D.轻量目录访问协议 LDAP 33.以下哪一项在云计算环境下更难控制？ A.数据备份 B.数据恢复 C.数据处置 D.数据访问 34.遵循支付卡行业数据安全标准(PCI DSS)的组织在与其服务供应商共享持卡人信息时必须？ A.定期验证服务提供商遵循PCI DSS 合规的状态 B.对服务提供商进行年度PCI DSS评估 C.确保服务提供商按照PCI DSS要求更新和测试DRP D.验证服务供应商的安全策略和企业的安全策略保持一致
      • 28 A 刷卡进入办公区域还是物理控制，刷脸开机是技术控制
      • 30 B ‌RTO（Recovery Time Objective）是指灾难发生后，从‌IT系统宕机导致业务停顿之刻开始，到IT系统恢复至可以支持各部门运作，业务恢复运营之时，此两点之间的时间段。 RTO是灾难恢复计划中的一个重要考虑因素，它定义了企业在面对灾难时的最大可承受停机时间。
      • 31 C 备用站点的服务级别叫SDO，通常低于主站点的SLA 服务交付目标 (SDO) 与业务需求直接相关，是恢复正常状况之前在备用流程模式期间所要达到的服务等级。SDO 是在 RTO 期间可接受的服务等级。
      • 32 D
        • LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）是一种基于TCP/IP的应用层协议，用于访问和维护分布式目录信息。它是X.500标准目录访问协议的一个简化版本，专为广域网设计，以提供快速的读取访问。LDAP通常运行在TCP端口389上（以及SSL/TLS加密的安全LDAP版本LDAPS运行在636端口上），用于查询和修改由X.500目录服务协议定义的目录信息。LDAP协议被广泛用于身份验证、访问控制、地址簿服务等。 X.500标准目录访问协议（Directory Access Protocol, DAP） DAP是国际电信联盟电信标准化部门（ITU-T）提出的一套标准，它属于X.500系列标准的一部分。X.500标准旨在定义一个全球范围内的目录服务框架，使得组织能够在一个统一的结构中存储和检索有关实体（如个人、组织单元、设备等）的信息。 X.500架构概述： 目录模型：X.500使用一个分层的目录模型，这个模型类似于文件系统中的目录结构，但更复杂，支持多父节点和复杂的属性。 目录系统代理（DSA）：DSA是目录服务的核心组件，负责存储目录信息，并处理来自目录用户代理（DUA）的请求。DSA可以与其他DSA通信，形成一个分布式的目录网络。 目录用户代理（DUA）：DUA是与DSA通信的客户端，它可以是任何需要访问目录服务的应用程序或用户界面。 目录访问协议（DAP）：DAP定义了DUA与DSA之间的通信规则，包括如何查询、更新和管理目录信息。 DAP的特点： 复杂性：DAP提供了非常全面的功能，包括复杂的查询语言和事务处理能力，这使得它在功能上非常强大，但同时也增加了实现和使用的复杂度。 效率：DAP最初的设计考虑到了大型企业级应用的需求，因此在效率和扩展性方面表现良好。 标准化：作为一个国际标准，X.500和DAP确保了不同供应商和不同地理位置之间的互操作性。 DAP的复杂性和对资源的要求使其在早期互联网上的普及受到限制。因此，后来发展出了轻型目录访问协议（LDAP），它是DAP的简化版本，旨在降低资源消耗并提高在互联网环境中的可用性。 LDAP保留了X.500的基本概念和目录模型，但是简化了协议栈，去除了许多复杂的功能，使之更适合在广域网中高效运行。如今，LDAP已经成为最广泛使用的目录服务协议之一，尤其在企业网络和互联网服务中。 特点： 层次结构：LDAP使用树状结构存储数据，每个节点可以有多个子节点。 属性定义：每个目录对象都有一个唯一标识符（DN, Distinguished Name），并可以拥有多个属性。 查询功能：支持复杂的查询语言（如LDAP过滤器），允许用户进行精确或模糊搜索。 安全性：支持SSL/TLS加密，确保数据传输的安全性。 可扩展性：支持自定义属性和对象类，易于扩展以满足特定需求。 应用场景： 1. 企业身份管理：LDAP常被用作企业内部的身份管理系统，存储员工的详细信息（如姓名、邮箱、部门等），并作为统一的认证源，支持单点登录（SSO）。 2. 资源权限控制：在大型网络环境中，LDAP可以用来控制对各种资源的访问权限，如文件系统、网络服务等。 3. 配置管理：用于存储和管理设备配置信息，如网络设备的设置参数。 4. 邮件系统：许多邮件服务器使用LDAP来存储用户账号信息，以便于查找和管理。 5. 教育机构：大学和研究机构常用LDAP来管理学生、教师和员工的信息，以及实验室和图书馆资源的访问权限。 6. 云服务提供商：提供多租户环境下的用户管理和权限控制。 注意事项 用户名密码明文发送 确保LDAP服务器的安全性，例如使用LDAPS（LDAP over SSL）。 对于大规模部署，考虑使用更专业的SSO解决方案，如OAuth2或SAML，它们通常提供了更丰富的功能和更好的安全性。
      • 33 C 一般存储数据的设备都是云计算供应商的，所以很难处置 一般都是用加密粉碎方式处置
      • 34 A A比D更好，因为D可能对多家企业提供服务，不一定都符合每家企业的策略
    • 35.此图展示的是哪种RAID ？ A.RAID 1 B.RAID 0 C.RAID 10 D.RAID 01
      • 各种raid
    • 36.嵌入式系统在没有采取恰当的信号保护的情况下最容易遭到以下哪种攻击？ A.拒绝服务攻击 B.篡改 C.暴力破解 D.信息泄漏
      • 36 D D是主要的风险
    • 37.恢复点目标RPO可用于确定以下哪一项？ A.恢复备份的时间 B.可承受的最长数据丢失时间 C.可承受的最长停机时间 D.运营恢复能力的基准指标 38.以下哪一项加密保护了在网络中传输的敏感数据？ A.点对点协议 B.验证头部 C.载荷加密 D.加密哈希 39.有人值守的机房，灭火用？ A.惰性气体 B.二氧化碳 C.干管 D.湿管 40.关系型数据库，范式化程度越高，则： A.冗余度越高 B.检索速度越快 C.完整性越好 D.机密性越好
    • 41.WRT (工作恢复时间) 这段时间内的工作内容最有可能涉及以下哪份文档？ A.COOP持续运营计划 B.DRP 灾难恢复计划 C.BRP 业务恢复计划 D.OEP 场所应急计划
      • 41 C BRP记录了机构业务处理在备用站点的继续规程。与BCP不同，BRP不涉及在中断期间对处理的维持。
    • 42.PKI在什么情况下产⽣交叉数字证书? A.当CA需要获得根CA认证时 B.当CA需要认证RA时 C.当CA之间需要互相认证时 D.当数字证书在CA之间进⾏传输时 43.DRP测试中，停用主站点业务，将生产切换到备用站点运行的测试是： A.并行测试 B.全面测试 C.模拟测试 D.准备情况测试 44.在关键Web服务器中发现重大安全漏洞时，应该立即通知： A.系统所有者以采取改正行动 B.事故应对团队以进行调查 C.数据所有者以降低损害 D.Web应用开发团队以进行补救 45.为了给客户提供更快的查询，数据库管理员删除了引用完整性，以下哪项能够弥补删除引用完整性所带来的问题? A.定期检查表的链接 B.定于语义完整性约束规则 C.更加频繁的备份数据 D.对数据库实施性能监控 46.一家公司扣押了一个涉嫌欺诈的移动设备。取证人员使用什么方法将通电设备与网络隔离并保存证据？ A.取出SIM卡 B.将设备置于飞行模式 C.暂停在电信提供商的帐户 D.关闭设备
      • 43
        • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练； 另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
      • 44
        • 系统所有者，切记
      • 45
        • 实体完整性：是用来唯一标识实体的要求（即现实世界中唯一存在的一个事物、人或个体）。不能为空，需要唯一确认，表示的是这一条记录的实体的完整唯一，通常用主键描述，不能为空且不重复。 参照完整性：它表示的是两个关系之间的联系，是表与表之间的引用。对应的就是外键，外键约束实现参照完整性。 数据库语义完整性是指数据库中数据的正确性和相容性，‌确保数据符合现实世界的语义和逻辑，‌防止数据库中出现不合语义的数据。‌这一概念涉及到数据的正确性、‌有效性和一致性，‌通过数据库管理系统（‌DBMS）‌的完整性约束来实现。‌
      • 46
        • 开机不关，关机不开，以免破坏证据链
    • 47.以下哪一项是评估组织漏洞管理计划有效性的最佳方法？ A.检查自动补丁部署报告 B.定期第三方脆弱性评估 C.由安全小组进行漏洞扫描 D.自动漏洞扫描
      • 47 B 第三方最具有独立性
    • 48.何时必须审查组织的信息安全战略计划？ A.主要应用发生重大变化时 B.业务发生重大变化时 C.每季度，当组织的战略计划更新时 D 每三年更新一次组织的战略计划 49.介质Marking和Labeling有什么区别？ A.Labeling指公共政策/法律要求的安全属性，Marking指组织内部政策要求的安全属性 B.Marking指公共政策/法律要求的安全属性，Labeling指组织内部策略要求的安全属性 C.Labeling指使用人类可读的安全属性，Marking指在内部数据结构中使用安全属性 D.Marking指使用人类可读的安全属性，Labeling指在内部数据结构中使用安全属性 50.使用原始轻量目录访问协议 (LDAP) 进行身份验证时，以下哪项是最大的弱点？ A.服务器响应中不包括授权 B.在网络上传递未添加盐的哈希 C.身份验证会话可以被重放 D.密码以明文形式传递 51.在确定谁可以接受与漏洞相关的风险时，以下哪项最重要？ A.信息所有权 B.对策有效性 C.潜在损失类型 D.事故可能性 52.以下哪种机制可以防止跨站请求伪造 (CSRF) 攻击？ A．参数化数据库查询 B．白名单输入值 C．同步会话令牌 D．使用强加密 53.基于行为的入侵检测系统，如果报警阈值设置得过高容易导致： A．无法应对零日攻击 B．无法阻断已识别出的攻击 C．误报 D．漏报 54.关于KryptoKnight以下哪项描述是不正确的： A．是提供SSO单点登录、身份验证和密钥分发服务的系统 B．依赖于一个知道所有主体/客体密钥的可信KDC来管理密钥和密钥分发 C．KDC和需要认证服务的主体/客体使用当前时间, 依赖时钟同步 D. KDC和需要认证服务的主体/客体在结构上是Peer-to-Peer(对等)的 55.RBAC访问控制模型重点关注的是： A．标识 identification B．验证 authentication C．授权 authorization D．问责 accountability 56.某企业最近研发出一种可带来重大竞争优势的突破性技术。以下哪一项最先用于指导企业内部如何保护此信息？ A.加密标准 B.访问控制政策 C.数据分类政策 D.可接受使用政策 57.以下哪一项能最有效降低字典攻击的风险？ A.实施密码历史记录 B.加密访问控制列表 C.使用密码短语 D.使用硬件令牌
      • 49 Marking指使用人类可读的安全属性，Labeling指在内部数据结构中使用安全属性
      • 50 D 记住
      • 54 C 记住
        • Broker-Based SSO 的方案
          • Kerberos Kerberos v5 是业界的标准网络身份验证协议，该协议是在麻省理工学院起草的，旨在给计算机网络提供"身份验证"。Kerberos协议的基础是基于信任第三方，如同一个经济人（broker）集中的进行用户认证和发放电子身份凭证，它提供了在开放型网络中进行身份认证的方法，认证实体可以是用户或用户服务。这种认证不依赖宿主机的操作系统或主机的IP地址，不需要保证网络上所有主机的物理安全性，并且假定数据包在传输中可被随机窃取篡改。 Kerberos协议具有以下的一些优势： 与授权机制相结合； 实现了一次性签放的机制，并且签放的票据都有一个有效期； 支持双向的身份认证，既服务器可以通过身份认证确认客户方的身份，而客户如果需要也可以反向认证服务方的身份； 支持分布式网络环境下的认证机制，通过交换"跨域密钥"来实现。
          • Sesame Sesame, 代表欧洲安全多环境应用系统（Secure European System for Application in Multivendor Environment）。是一个欧洲团体安全项目，被认为是一种欧洲版本的Kerberos。Sesame是建造在GSS-API上，提供单点登录服务和的在分布式环境中的数据安全性。尽管Sesame与Kerberos基于同样范例，但它们不是一对一的复制，而是在原有的设计中增加了一些新的特性。这些包括 异种环境， 访问控制， 可扩展的公钥系统， 更好的可管理性， 审计， 委托授权。 在Kerberos中，用户首先到一个认证服务器认证自己。从认证服务器获得标识在呈现给其他服务器以获得访问最终应用系统的授权。而在Sesame中，这些服务器被统称为特权属性服务器。从一个特权属性服务器，用户获得特权属性证书，最后把访问权利给需要的服务。
          • IBM KryptoKnight KryptoKnight是IBM公司的一种类似于Kerberos的鉴别和密钥分配系统。它是一种秘密密钥协议并使用DES-CBC模式或MD5增加版。支持四项保密功能： 用户鉴别 双方鉴别 密钥分配 数据源和数据内容的鉴别。 它和Kerberos的区别在于 采用单向散列函数鉴别和加密票据 不依靠同步时钟，而使用当前时间 如果甲试图和乙通信，可以允许甲发一条消息给乙，然后乙初始化密钥交换协议。 KryptoKnight极大的优化了消息数量，长度和加密的数量，而且不仅支持IP协议也支持其他通信协议如NetBIOS协议。
          • 可实施性 Broker-based解决方案的主要的问题，例如Kerberos，是确定现有哪些应用程序需要被修改的，或"kerberized"以接受票据，而对于旧系统的改造，是项艰巨的工作。 管理 集中式的管理是在Broker-based解决方案的主要好处，一个中央数据库易于进行管理。 安全性 一个Broker-base的解决方案的设计实现安全的实际水平，取决于实施。Kerberos存在有若干安全上的争论。 旧的鉴别码有可能被存储和重用。尽管时间标记可用于防止这种攻击，但在票据有效时间内仍有风险。典型的票据有效时间是八小时。 鉴别码还基于一个假设，即网络中的所有时钟基本是同步。如果能够欺骗主机，使它的正确时间发生错误，就的鉴别码则能够被重放。大多数网络时间协议是不安全的，因此将可能导致严重问题。 在Kerberos中的认证仅仅基于口令, 这样使系统在口令猜测面前显得很脆弱。攻击者收集到大量的票据，则会有很大的可能性找到口令。 最严重的是，Kerberos假设Client已被信任，而恶意的Kerberos软件可以完成Kerberos协议并记录口令来替代所有客户的Kerberos应用。任何一种安装在不安全的计算机环境中的密码软件都会面临这样的问题。 和Kerberos一样，Sesame有一样的脆弱, 也就是口令猜测攻击的危险。 KryptoKnight在密码技术上的改进应该使了它比 Kerberos 更安全。 加强Kerberos的工作包括使用PKI技术和密钥管理中心的智能卡接口。 使用性 在集中式的模型管理中，容易受到批评的是如果认证服务器宕掉，则所有的应用，所有的用户都会受到影响。
      • 55 访问控制模型关注的都是授权
      • 57 D D不会产生弱密码
    • 58.以下哪一项不是敏捷开发中通常定义的角色？ A．产品经理 B．项目经理 C．敏捷教练 D．开发团队 59.当数据泄漏源是包含敏感文档的未标记文件柜时，以下哪项最有可能导致非恶意数据泄漏？ A．无效的数据分类 B．缺乏数据访问控制 C．身份管理控制无效 D．缺少DLP数据防泄漏工具 60.以下哪一项是政策未充分确定数据和系统所有权会导致的最大风险？ A．可能导致审计建议无法实施 B．导致无法建立明确的用户问责 C．可能无法进行有效的用户管理协调 D．未授权用户可能获得访问、修改或删除数据的权限 61.以下哪一项最能有效缓解控制风险？ A．持续监控 B．有效的安全意识计划 C．有效的变更管理程序 D．高级管理层支持控制实施 62.安全评估可以获取到的最高级别文档是： A．操作手册 B．政策 C．标准 D．指南 63.员工被辞退第一步干什么 A. 清除系统和应用访问权限 B. 监离公司 C. 退还公司财产 D. 收回物理访问权限
    • 64.在一份漏洞评估报告中，以下哪一个是最常见的风险最大的问题 A. 发现开放了tcp 443端口 B. 使用没有许可证的软件 C. 使用已经不再维护的操作系统 D．防火墙的默认规则为拒绝 65.如果企业要把联合身份扩展到云目录，需要什么 A. 共享安全 B. 安全令牌 C. 同步工具 D. 通知工具
      • 64 B 没有许可，就是license的，会面临诉讼风险，最严重
      • 65 C 书中原话，记住
    • 66.一个中心多个分支部署软件，安全管理员把消息摘要从签名里分离出来是为了什么 A. 对抗生日攻击. B. 应该给用户原始的源代码 C. 应确保给用户安装的代码跟开发的源版本一致 D. 获得授权的用户才能进行数字签名 67.什么是疏散总时间？ A. 发出火警，到火警解除 B. 激活BCP，到备用站点准备就绪 C. 发出集结指令到全部到达指定位置 D. 向高层汇报，到发出集结指令 68.封装安全载荷协议 (ESP) 不能提供 A．机密性 B．完整性 C．数据源验证 D．抗抵赖 69.对已关机的计算机，取证时最好的处理方式是： A．把相关文件复制到备份盘 B．重新开机，用专用取证工具取证 C．把硬盘拆除后带走 D．把计算机搬到实验室 70.在消防演习中，指定的门按计划旋转打开，以便员工更快地离开大楼。观察员注意到，此做法可让未授权人员进入公司而不被发现。改变此流程的最佳方式是： A．发生火灾时限制指定的门自动打开 B．发生火灾时将指定的门设置成fail-secure C．要求员工离开大楼时出示证章 D．分配专人在警报响起后守门
    • 71.下面是哪种风险分析方法的示例？ A. 定量 Quantitative B. 定性 Qualitative C. 分级 Classification D. 分类 Categorize
      • 71 B 风险矩阵图，是风险矩阵法（Risk Matrix）使用过程中所参照的图表，风险矩阵法是一种能够把危险发生的可能性和伤害的严重程度综合评估风险大小的定性的风险评估分析方法。它是一种风险可视化的工具，主要用于风险评估领域。
    • 72.IDaaS的关键特征是： A． IGA 身份治理和管理 B． 虚拟化 C． 容器化 D． OpenID 73.图形验证码 (CAPTCHA) 能防什么？ A. 击键记录 B. 网络钓鱼 C. DOS D. 恶意软件感染 74.以下哪种措施最可以有效地确认邮件在传输过程中未被修改？ A. 使用对称加密方法加密邮件 B. 用发送者公钥加密邮件哈希值 C. 用接受者公钥加密邮件哈希值 D. 用发送者私钥加密邮件哈希值 75. SSH不提供： A．可用性 B．压缩 C．完整性 D．机密性 76.哪种加密算法可以定义在任何循环群G上，其安全性取决于G上的离散对数难题。 A． RSA B． ECC C． Diffie-Hellman D． ElGamal 77.以下哪种 EAP 基于数字证书进行验证？ A． EAP-MD5 B． EAP-PSK C. EAP-GSS D． EAP-TLS 78.使用OAuth2.0进行验证时，用户为了访问储存在第三方应用中的数据时，需要向第三方应用提供？ A.口令 B.用户名 C.用户名和口令 D.访问令牌 79.选择控制措施需要执行以下哪项分析？ A.可行性分析 B.数据分析 C.成本效益分析 D.业务影响分析 80.802.1X 协议为以下哪一项提供了框架？ A.有线网络和无线网络的网络验证 B.仅无线网络的网络验证 C.使用AES的无线网络加密 D.使用TLS的无线网络加密 81.以下哪一项是对集成的电子邮件加密系统的替代方案： A.以附件的形式对敏感信息进行加密 B.将敏感信息分成多个邮件发送 C.对包含敏感信息的邮件进行数字签名 D.将要发送的敏感信息保存在加密的硬盘分区中 82.以下哪一项属于对系统的紧急变更的要求： A.必须立即实施变更并在系统日志中留下标记 B.必须立即执行变更然后提交给变更控制委员会 C.必须快速进行测试和口头批准 D.必须在下一次变更控制委员会的会议上优先讨论 83.以下哪种灾难恢复计划的测试最有效且风险最小： A.结构化穿行测试 B.模拟测试 C.全面中断测试 D.并行测试 84.PLC (可编程逻辑控制器)与以下哪一项最相关？ A.参考监视器 B.操作系统内核 C.中央处理器CPU D.工业控制系统 85.以下哪个是静态验证协议？ A. RIP B. PPTP C. PAP D. CHAP
      • 72
        • IDaaS 统一账号管理 Account IDaaS 提供统一的用户目录，通过可信单一数据源（SSoT）可将企业不同系统的数据进行统一整合和管理，同时又可以基于「多租户」架构，实现相同应用、系统中不同租户间的数据隔离，让每个租户的管理员都可以管理租户下的资源。 统一身份认证 Authentication IDaaS 支持不同域下应用和系统统一认证集成，并提供单点登录能力，用户通过一个统一的登录门户，仅需认证一次，即可访问所有被授予访问权限的业务系统。同时在不同业务系统中，用户会跟随权限设置自动切换对应角色和权限。通过打通不同应用间的身份信息以及授权管理系统提供的权限信息，可以有效消除应用间的数据壁垒，释放生产力。 统一授权管理 Authorization IDaaS 可以提供多种权限模型供不同业务需求的企业选择，并对开发者提供策略模型的 API/SDK 来保证集中管控和满足未来业务需求的灵活扩展性。目前被市场广泛采用的是基于角色的访问控制（RBAC）以及基于属性的访问控制（ABAC）。 统一应用管理 Application 强大的 IDaaS 系统支持所有标准协议来满足不同应用的集成，同时会预集成足够多的应用软件来降低企业的集成应用的成本。IDaaS 会提供标准的集成规范，并针对不同协议系统提供详细的接口说明，满足企业现有业务需求的同时保障未来新业务系统能规范化的集成与管理。包括提供 ASA（表单代填）的方式来帮助企业集成打通老旧系统。 统一审计管理 Audit 完善的审计日志是企业保障合规性的前提，IDaaS 提供可视化的行为日志以便管理员快速获悉用户在平台中的行为数据，支持自定义监听用户事件，帮助管理员实时掌握访问报告、授权信息等。可靠的 IDaaS 服务提供商应该满足 ISO/IEC 20000-1 、等保三级、欧盟 GDPR 数据保护等认证。
      • 76
        • ElGamal 在密码学中，ElGamal加密算法是一个基于迪菲-赫尔曼密钥交换的非对称加密算法，它在1985年由塔希尔·盖莫尔提出 [1]。 EIGamal公开密钥密码体制是基于有限域中离散对数问题的难解性。它所根据的原理是：求解离散对数是困难的，而其逆运算可以应用平方乘的方法有效的计算出来。在相应的群 G中，指数函数是单向函数。既能用于数据加密也能用于数字签名（DSA基于～），其安全性依赖于计算有限域上离散对数这一难题。在加密过程中，生成的密文长度是明文的两倍，且每次加密后都会在密文中生成一个随机数K，在密码中主要应用离散对数问题的几个性质：求解离散对数（可能）是困难的，而其逆运算指数运算可以应用平方-乘的方法有效地计算。也就是说，在适当的群G中，指数函数是单向函数。 ECC 椭圆曲线密码学（英语：Elliptic curve cryptography，缩写为ECC），一种建立公开密钥加密的演算法，基于椭圆曲线数学。椭圆曲线在密码学中的使用是在1985年由Neal Koblitz和Victor Miller分别独立提出的。 ECC的主要优势是在某些情况下它比其他的方法使用更小的密钥——比如RSA加密算法——提供相当的或更高等级的安全。ECC的另一个优势是可以定义群之间的双线性映射，基于Weil对或是Tate对；双线性映射已经在密码学中发现了大量的应用，例如基于身份的加密。不过一个缺点是加密和解密操作的实现比其他机制花费的时间长。160位的椭圆密钥与1024位的RSA密钥安全性相同 DSA Digital Signature Algorithm(DSA)是Schnorr和ElGamal签名算法的变种，被美国国家标准技术研究院(NIST)作为DSS(Digital Signature Standard)。DSA是基于整数有限域离散对数难题的，其安全性与RSA相比差不多。DSA的一个重要特点是两个素数公开，这样，当使用别人的p和q时，即使不知道私钥，也能确认它们是否是随机产生的，还是做了手脚。RSA算法却做不到。 RSA RSA公钥算法是由 MIT (麻省理工学院, Massachusetts Institute of Technology) 的Rivest, Shamir和Adleman在1978年提出来的。RSA方案是被最广泛接受并实现的通用公开密钥密码算法，目前已成为公钥密码的国际标准。该算法的数学基础是初等数论中的欧拉定理，其安全性建立在大整数因子分解的困难性之上。 Diffie-Hellman Diffie-Hellman(简称 DH) 密钥交换是最早的密钥交换算法之一，基于离散对数，它使得通信的双方能在非安全的信道中安全地交换密钥，用于加密后续的通信消息。 Whitfield Diffie 和 Martin Hellman 于 1976 提出该算法，之后被应用于安全领域，比如 Https 协议的 TLS(Transport Layer Security) 和 IPsec 协议的 IKE(Internet Key Exchange) 均以 DH 算法作为密钥交换算法。
      • 83
        • 按CBK，BCP/DRP演练的类型主要有以下几种： 1、核对性检查Read-through，也就是文件通读，验证灾难期间沟通所需的信息和程序，目标是发现缺失或过时的细节（比如联系人列表和备品备件是否正常），以及任何不正确的假设。 2、桌面演练tabletop，角色扮演，会在口头或纸面上谈及、讨论将执行的步骤，但不会操作（不论测试环境还是真实环境）这些步骤。 CBK把桌面演练跟前项“核对性检查”写在一起，而与后面的其他几项是并列的，说明这核对性检查和桌面演练的目的、效果以及对运营的影响都相近。但两者的具体形式上是有区别的，也很容易区分。 强调： 核对性检查和桌面演练可以、也应该按更高的频次施行，即使已经有了每年一次的模拟（及并行或全中断）演练； 另一方面，如果只实施核对性检查和桌面演练，不管每年做多少次，都不能被认为已尽责。 3、结构化的排练式测试 Structured Walk-through，CBK中说它“扩展了桌面演练”，“但在适当的计划步骤中进行物理的行走或移动”，把除软硬件技术操作以外的人员、物资的调度、迁移、安装等实际的走一遍。比如说火灾时的人员撤离路线和所需时间（与警报响起后多长时间可以启用气体灭火装置强相关）、某个特定的设备运送到场的路线和时间，入场需要多少人手和怎样的工具器械才能上架等等。如果问题涉及人身安全、物资设备的顺利就位等，那选排练式测试Walk-through的几率就大了。 4、模拟测试 Simulation Test，会基于特定场景和特定范围，以模拟simulated或仿真realistic的环境，实施完整的流程和操作，以测试计划的可行性feasibility。 强调： 模拟测试是非真实场景，not real but realistic，证明可行性feasibility。 但在考试时，realistic极有可能被翻译成“真实的”或“现实的”，其实不对！！！realistic是仿真的意思！！！ 建议考试时遇到这个领域的问题切换到英文原文看下。 5、并行测试 Parallel Test（也叫功能演练functional drill） 6、全中断测试 Full-interruption Test 这两种可顾名思义，应不必多解释，需要强调的是它们与模拟测试 Simulation Test的不同，就在于这两种都是在真实real场景下的演练，用于验证计划的有效性effective。
    • 86.WEP容易受到哪种攻击： A. 密钥恢复 B. 字典攻击 C. 暴力破解 D. 彩虹表攻击
      • 86 A 在WEP发布的4年后的2001年，Scott Fluhrer, Itsik Mantin 和 Adi Shamir 首次提出了对 RC4的密钥恢复攻击（FMS攻击），这种攻击利用特定易受攻击的IV（弱IV）来恢复密钥，弱IV 会导致高概率泄露密钥信息。不过这种攻击并不高效，如果捕获不到使用弱IV 的数据帧就需要等待，实际操作中需要捕获大约400万到600万个不同的帧才能恢复出密钥，破解一般需要几个小时。后续几年又有改进的破解方法，只需要捕获更少的帧就能恢复密钥。
    • 87.员工和来访人员要在涉密的办公区域工作，以下哪项作为强制控制？ A.由员工去接并带进来 B.禁止带书包 C.不允许在区域内讨论涉密内容 D.员工和来访人员都要出示ID卡 88.威胁建模 是 SDLC中哪个阶段的事 A. 设计 B. 开发 C. 需求分析 D. 实施 89.组织发布员工管理策略文件，上传到企业内网，并定期进行更新。这一做法的安全方面的顾虑是？ A.机密性 B.完整性 C.可用性 D.可问责性 90.对抗社会工程，需要 A. 改变个人行为 B. 评估安全培训 C. 提升员工士气 D. 宣传企业文化
      • 88
        • SDLC如何解决安全性问题？ 安全性是任何软件开发过程中的重要方面。然而，与传统的将安全性作为单独阶段来解决的软件开发不同，SDLC通过DevSecOps实践在整个过程中始终考虑安全性。 DevSecOps是DevOps的扩展，它强调在整个SDLC过程中整合安全评估。它确保软件从初始设计到最终交付都是安全的，并能够抵御任何潜在的威胁。在DevSecOps过程中，团队进行安全保证活动，如代码审查、架构分析、渗透测试和自动化检测，这些活动被整合进集成开发环境（IDE）、代码仓库和构建服务器中。 如何将DevSecOps整合到SDLC中？ 规划和需求分析：在这个阶段，确定安全需求和适当的安全选择，以减轻潜在的威胁和漏洞，并考虑使用哪些安全设计原则和最佳实践。 架构设计：开发团队使用安全设计原则和架构来考虑潜在风险。这个阶段涉及威胁建模、访问控制、加密机制和架构风险分析。 软件开发和测试：进行代码审查以确保软件符合代码标准，并实现安全控制。还进行安全漏洞测试，如渗透测试，以确定潜在问题。 部署：使用自动化的DevSecOps工具来提高应用程序的安全性。为了确保软件安全部署，配置防火墙、访问控制和安全设置。 维护：部署后安全性仍然存在。团队必须持续监控软件的安全漏洞。团队还需要根据需要更新软件，安装安全补丁和更新。
    • 91.以下哪一项评估DRP计划的测试使用了逼真的灾难场景，而且对业务运营的影响很小？ A.穿行测试 B.桌上推演 C.模拟测试 D.并行测试 92.IP源地址欺骗针对的是？ A.ARP地址解析协议 B.RARP 反向地址解析协议 C.基于地址的验证 D.SNMP简单网络管理协议 93.组织缺乏数据保留策略，找谁谈这方面的需求最合适？ A.数据库管理员 B.财务经理 C.隐私官 D.应用经理
      • 91 C 需要一个逼真的场景
      • 92 C
      • 93 C 应用经理不是业务经理，只负责IT应用
    • 94.以下哪项控制在跨网络传输中最能有效检测数据意外损坏？ A.顺序检查 B.校验数位 C.奇偶校验 D.循环冗余校验 95.WPA2使用的主要加密算法是？ A. TKIP临时密钥完整性协议 B. CCMP计数器模式密码块链消息完整码协议 C. RC4加密算法 D. IDEA 加密算法 96.管理评审为以下哪一项提供输入？ A.平衡计分卡 B.审计报告 C.改进计划 D.适用性声明 97.以下哪种解决方案基于 Gartner 定义的四个引擎而构建，分别是：工作流和协作、凭证和案例管理、编排和自动化以及威胁情报管理。 结合采用这些功能可以将人员、流程和技术融合在一起，进而提高 SOC 生产效率、缩短事件响应 (IR) 时间。 A.ISCM, 信息安全持续监控 B.SCARF，系统控制审计符合文件 C.SIEM，安全信息和事件管理 D.SOAR，安全协调、自动化和响应 98.一家由Tier 4 数据中心提供IT服务的公司正在准备全面的业务连续性计划。 IT经理应该关注以下哪些故障？ A. 应用 B. 储存 C. 电源 D. 网络 99.以下哪项关于服务组织控制 (SOC) 报告是正确的？ A. SOC 1 类型 2 报告评估组织控制的安全性、机密性、完整性和可用性 B. SOC 2 类型 2 报告包括服务组织管理层感兴趣的信息 C. SOC 2 类型 2 报告评估财务报告的内部控制 D. SOC 3 类型 2 报告评估财务报告的内部控制
      • 95
        • 无线安全
          • WEP
            • 采用RC4加密(不安全的) IV 初始向量 size 24bit ,容易攻破
          • WPA
            • TKIP(TKIP:Temporal Key Integrity Protocol负 责处理无线安全问题的加密部分。 以解决WEP保护的网络中遇到的安全问题)。IV 128bit, 比WEP更安全
          • WAP2-802.11i
            • CCMP替代TKIP 比WPA更安全
          • WAP3
            • Wi-Fi Protected Access 3 (WPA3) 于 2018 年 1 月定稿。 WPA3-ENT 使用 192 位 AES CCMP 加密，WPA3-PER 仍为 128 位 AES CCMP。 WPA3-PER 将预共享密钥身份验证（PSK）替换为同步对等身份验证(Simultaneous Authentication of Equals) (SAE)。 一些 802.11ac/Wi-Fi 5 设备率先支持或采用 WPA3。 SAE 仍然使用密码，但它不再加密并通过连接发送该密码以执行身份验证。 相反，SAE 执行称为 Dragonfly Key Exchange 的零知识证明过程，它本身 是 Diffie–Hellman 的衍生物。 该过程使用预设密码以及客户端和 AP 的 MAC 地址来执行身份验证和会话密钥交换。 WPA3 还实现了 IEEE 802.11w-2009 管理帧保护，因此大多数网络管理操作都 具有机密性、完整性、来源身份验证和重放保护。
          • 802.1x/EAP
            • IEEE 802.1X是IEEE制定的关于用户接入网络的验证标准。 802.1X协议在用户/设备接入网络 (可以是LAN，也可以是WLAN)之前进行验证， 运行于网络中的MAC层。
            • 由三部分组成:请求者(无线设备)、身份验证者 (AP)、身份验证服务器(RADIUS) 同身份验证架构和一个动态分发加密密钥的方法 使用EAP验证
          • LEAP
            • 私有
          • PEAP
          • EAP-TLS
            • 证书
      • 97
        • SIEM 系统收集、存储和报告日志数据，用于事件响应、取证和合规性。虽然首字母缩略词 SIEM 是 Gartner 在 2005 年首次创造的，但 SIEM 的功能基础已经存在了更长时间。早在 1990 年代，有远见的组织就认识到他们需要将不同的安全日志整合到一个系统中，以促进分析和满足合规性要求。 SIEM 工具聚合日志数据，为 SecOps 团队提供统一的遥测资源。他们还保留用于取证和合规目的的数据，跨系统查询数据以进行威胁检测和调查，并提供仪表板和报告以帮助 SecOps 员工按需监控环境并遵守审计要求。
        • 什么是 SOAR？ 安全自动化是自动处理与安全操作相关的任务，包括管理职责和事件检测与响应。安全自动化使安全团队能够随着工作负载的增长而扩展。安全编排是一种连接安全工具和集成不同安全系统的方法，是简化安全流程和支持自动化的连接层。如今，66% 的分析师认为他们一半的任务可以自动化。出于这个原因，一些组织转向 SOAR 平台。 SOAR 通常作为 SIEM 系统的扩展添加，可以提供剧本来自动化经常使用的分析师工作流，并可以帮助实施允许不同安全工具进行通信的“安全中间件”。SOAR 工具通过丰富数据、改进警报分类和自动执行重复性任务来改进 SOC 流程。
      • 99
        • P563 SSAE-18:提供了通用标准审计，只需要开展一次第三方评估，不必进行多次第三方评估，组织可以与用户及潜在用户共享最终评估报告。 SOC1:评估可能影响财务报告准确性的组织控制措施 SOC2:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是保密的，通常仅通过保密协议对外共享。 SOC3:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是公开的。 I类报告：特定时间点的，不是持续性的。书面形式的检查，确保管理层的控制是合理和适当的 II类报告：一段时间的的，至少六个月，传统的审计。不仅检查文档还深入现场并验证。包含独立控制措施的测试。 类报II告包括对控制措施的独立测试。 类型I报告只是让服务组织自圆其说，控制措施已按照描述实现。
          • Type1，证明控制设计和实施有效（在某个时间有效） Type2，证明控制执行有效（在一段时间内有效运行） SOC1-Type1，证明组织的内部财务控制设计合理。 SOC1-Type2，证明这些控制已经有效的运作一定时间。 SOC2-Type1，提供当下的控制设计合理性证明。 SOC2-Type2，通过更长时间（通常一年）的观察确认控制的有效性。 SOC1报告涵盖财务报告， SOC2报告关注安全性，提供有关控制措施和他们可能遇到的任何问题的详细信息。 SOC2报告详细涵盖了业务合作伙伴、监管机构和其他类似组织的安全性、可用性、完整性和隐私的细节，SOC2报告通常不会提供给广泛的受众，通过NDA。 SOC3专门用于向外部发布，包括审计师的意见和管理断言以及有关服务组织的信息。（不包括审计细节）公开的，提供的信息较少。 SOC3报告旨在与广泛的社区共享，支持组织关于其提供完整性、可用性和机密性的能力的声明。
            • 哪种类型的 SOC 报告最适合向用户提供有关组织的安全性、可用性和服务运营完整性的保证？ A. SOC 1 Type 2 报告 B. SOC 2 报告 C. SOC 3 报告 D. SOC 1 Type 1 报告 C，给用户，所以是3
            • 当您请求 SOC 2 报告时，您会收到 SOC 1 报告。你应该提出什么问题？ A. SOC 1 报告仅披露公开信息。 B. SOC 1 报告涵盖财务数据。 C. SOC 1 报告仅涵盖一个时间点。 D. SOC 1 报告仅使用三个月的时间进行测试。
    • 100.同态加密 (homomorphic) 的潜在优势是什么？ A.它完美实现了加密时必要的职责分离。 B.加密信息无需先解密即可进行分析。 C.密文大小随着安全级别的增加而减小。 D.它实现了更高的加密安全性和更快的处理时间。 101.以下哪种技术可以阻止来自内部的横向攻击。通过服务器间的访问控制，阻断勒索病毒在内部网络中的蔓延，降低黑客的攻击面。 A．软件定义边界SDP (Software Defined Perimeter) B．POC概念验证 (Proof of concept) C．微隔离 (Micro Segmentation) D．黑核路由 (Black core routing) 102.以下哪种技术是为保护公共场所人员而提供的最具成本效益的被动控制 (reactive control) 方法？ A. 在建筑物入口处安装捕人陷阱 (mantrap) B. 用聚碳酸酯塑料围住人员进入区域 C. 为暴露于公众的人员提供胁迫报警 D. 聘请警卫保护公共区域 103.知识产权主要与以下哪项有关？ A. 所有者实现经济收益的能力 B. 所有者维护版权的能力 C. 所有者享有其创作的权利 D. 所有者控制交付方式的权利 104.当需要保留信息以供将来检索时，以下哪一项是主要问题？ A. 法律法规可能会在此期间发生变化，因此无需保留信息 B. 保留信息的费用可能使组织难以承受 C. 组织可能会丢失对信息的跟踪并且不能安全地处理它 D. 检索信息所需的技术可能在未来无法使用 105.哪种安全模式最常用于商业环境，因为它可以保护财务和会计数据的完整性？ A. Biba B. Graham-Denning C. Clark-Wilson D. Bell-LaPadula
      • 100 B 同态加密 同态加密（Homomorphic Encryption）是指将原始数据经过同态加密后，对得到的密文进行特定的运算，然后将计算结果再进行同态解密后得到的明文等价于原始明文数据直接进行相同计算所得到的数据结果。 同态加密与一般加密方案的关注点不同，一般的加密方案关注的是数据存储安全，即我要给其他人发送信息或者存储信息，我需要对数据进行加密之后再发送和存储，这里我们只需要保证在数据传送和存储的过程中不被其他人窃听到即可，在这个过程中用户时不能对加密的结果做任何操作的，否则可能会导致解密失败 同态加密的关注点则是数据处理安全，同态加密提供了一种对加密数据进行处理的功能。也就是说其他人可以对加密后的数据进行处理，在这个过程中不会泄露任何原始的内容，在数据处理完成之后再进行解密，得到的正是对原始数据进行相同处理后的结果。 举个例子 有个叫Alice的用户买到了一大块金子，她想让工人把这块金子打造成一个项链。但是工人在打造的过程中有可能会偷金子啊， 因此能不能有一种方法，让工人可以对金块进行加工（delegate processing of your data），但是不能得到任何金子（without giving away access to it）？Alice可以这么做： Alice将金子锁在一个密闭的盒子里面，这个盒子安装了一个手套。工人可以带着这个手套，对盒子内部的金子进行处理。但是盒子是锁着的，所以工人不仅拿不到金块，连处理过程中掉下的任何金子都拿不到。加工完成后。Alice拿回这个盒子，把锁打开，就得到了金子。这个盒子的样子大概是这样的：
      • 101 C SDP关注的南北向安全 微隔离关注的东西向安全
        • 微分段（主要解决东西向的安全） 微分段用于通过定义系统和服务之间的边界来在逻辑上分离系统和服务。这通常是零信任体系结构的一部分，包括使用按需访问服务。融合协议在另一个协议上实现其他协议，如以太网上的iSCSl或InfiniBand。物理分段使用单独的物理设备和基础设施来提供分段。边缘网络使计算和存储离最终用户更近。 微隔离 ‌微隔离是一种网络安全技术，其核心原理是通过将一个无结构无边界的网络分成多个逻辑上隔离的微小网段，每个网段上只包含一个计算资源。所有需要进出这些微网段的流量都必须通过‌访问控制设备，从而实现东西向防护的效果。‌12 微隔离的实现方式包括： ‌虚拟化技术：使用‌容器、‌虚拟机等技术将应用程序隔离在独立的虚拟环境中运行，防止‌恶意软件或攻击从一个应用程序传播到其他应用程序。 ‌应用程序隔离：将不同的应用程序隔离在独立的进程或线程中，避免不同应用程序之间的交互，保证应用程序的安全性。 网络隔离：将应用程序所在的网络隔离在独立的网络中，避免应用程序受到网络攻击和威胁。 ‌访问控制：限制应用程序对系统资源的访问权限，避免应用程序对系统资源的滥用和损坏。 ‌安全监测：对隔离的应用程序进行实时监测和检测，及时发现和处理安全漏洞和威胁。 微隔离技术的目的是让网络安全更具粒度化，通过创建相互隔离的区域，将工作负载彼此隔离并单独保护，目的是减少黑客从一个工作负载区或应用进入另一个的风险，从而降低网络攻击界面。‌
          • 软件定义边界SDP（主要解决南北向的安全） 软件定义的边界（SDP Software Defined Perimeter），也被Gartner称作零信任网络访问（ZTNA）。是2007年提出的，由云安全联盟（CSA）开发的一种安全框架，它根据身份控制对资源的访问。该框架基于美国国防部的“need to know”模型——每个终端在连接服务器前必须进行验证，确保每台设备都是被允许接入的。其核心思想是通过SDP架构隐藏核心网络资产与设施，使之不直接暴露在互联网下，使得网络资产与设施免受外来安全威胁。 在SDP架构中，服务器没有对外暴露的DNS或者IP地址，只有通过授权的SDP客户端才能使用专有的协议进行连接。 SDP初衷是面向所有用户，而不仅仅是远程用户 访问网络之前，先进行身份和授权。 所有的服务器隐藏在远程访问网关设备后。 用户必须完成身份认证，才能被授予服务的可见权限并开放访问通道。并进行通道加密。 最小授权原则 SDP架构 SDP 的体系结构由两部分组成：SDP 主机和 SDP 控制器。SDP 主机可以发起连接或接受连接。这些操作通过安全控制通道与 SDP 控制器交互来管理。 因此，在 SDP 中，控制平面与数据平面分离以实现完全可扩展的系统。 SDP控制器：SDP 控制器确定哪些 SDP 主机可以相互通信。SDP 控制器可以将信息中继到外部认证服务，例 如认证，地理位置和/或身份服务器。 SDP 连接发起主机（Initiating Host）：SDP 连接发起主机（IH）与 SDP控制器通信以请求它们可以连接的 SDP 连接接受方（AH）列表。在提供任何信息之前，控制器可以从 SDP 连接发起主机请求诸如硬件或软件清单之类的信息。 SDP 连接接受主机（Accpeting Host）：默认情况下，SDP连接接受主机（AH）拒绝来自SDP控制器以外的所有主机的所有通信。 只有在控制器指示后，SDP 连接接受主机才接受来自 SDP 连接发起主机的连接。 SDP工作流 一个或多个SDP 控制器服务上线并连接至适当的可选认证和授权服务（例如，PKI 颁发证书 认证服务、设备验证、地理定位、SAML、OpenID、Oauth、LDAP、Kerberos、多因子身份验证等服务）; 一个或多个 SDP 连接接受主机（AH）上线，这些主机连接到控制器并由其进行身份验证。 但是，他们不会应答来自任何其他主机的通信，也不会响应非预分配的请求; 每个上线的 SDP 连接发起主机（IH）都与 SDP 控制器连接并进行身份验证; 在验证 SDP 连接发起主机（IH）之后，SDP 控制器确定可授权给 SDP 连接发起主机（IH）与之通信的 SDP 连接接受主机（AH）列表; SDP 控制器通知 SDP 连接接受主机（AH）接受来自 SDP 连接发起主机（IH）的通信以及加 密通信所需的所有可选安全策略; SDP 控制器向 SDP 连接发起主机（IH）发送可接受连接的 SDP 连接接主机（AH）列表以及可选安全策略; SDP 连接发起主机（IH）向每个可接受连接的 SDP 连接接受主机（AH）发起单包授权，并创建与这些 SDP 连接接受主机（AH）的双向 TLS 连接; SDP部署模式 客户端—网关模型 在客户端—网关的实施模型中，一个或多个服务器在 SDP 连接接受主机（AH）后面受到保护， 这样，SDP 连接接受主机（AH）就充当客户端和受保护服务器之间的网关。此实施模型可以在企业网络内执行，以减轻常见的横向移动攻击，如服务器扫描、操作系统和应用程序漏洞攻击、中间人攻击、传递散列和许多其他攻击。或者，它可以在 Internet 上实施，将受保护的服务器与未经 授权的用户隔离开来，并减轻诸如拒绝服务（DoS）、SQL 注入、操作系统和应用程序漏洞攻击、 中间人攻击、跨站点脚本（XSS）、跨站点请求伪造（CSRF）等攻击。 客户端—服务器模型 客户机到服务器的实施在功能和优势上与上面讨论的客户机到网关的实施相似。然而，在这种情况下，受保护的服务器将运行可接受连接主机（AH）的软件，而不是位于运行该软件的服务器前面的网关。客户机到网关实施和客户机到服务器实施之间的选择通常基于受保护的服务器数量、负载平衡方法、服务器的弹性以及其他类似的拓扑因素。 服务器—服务器模型 在服务器到服务器的实施模型中，可以保护提供代表性状态传输（REST）服务、简单对象访问协议（SOAP）服务、远程过程调用（RPC）或 Internet 上任何类型的应用程序编程接口（API） 的服务器，使其免受网络上所有未经授权的主机的攻击。例如，对于 REST 服务，启动 REST 调用的服务器将是 SDP 连接发起主机（IH），提供 REST 服务的服务器将是可以接受连接的主机（AH）。为这个用例实施一个软件定义边界可以显著地减少这些服务的负载，并减轻许多类似于上面提到 的攻击。这个概念可以用于任何服务器到服务器的通信。 客户端—服务器—客户端模型 客户端到服务器到客户端的实施在两个客户端之间产生对等关系，可以用于IP电话、聊天和视频会议等应用程序。在这些情况下，软件定义边界会混淆连接客户端的 IP 地址。作为一个微小的变化，如果用户也希望隐藏应用服务器，那么用户可以有一个客户端到客户端的配置。
            • 子主题
      • 102 C 最具成本效益的，注意考察点
      • 103 A 关注的经济利益
      • 104 D 除了数据，读取数据的技术和平台也要关注
      • 105 C 记住，这个模型是转为商业设计的
        • 二、理解安全模型的基本概念 1、可信计算基 TCSEC 可信计算机系统评估标准，是美国国防部的一个较早的标准，俗称“橘皮书” TCB 可信计算基，软硬件的组合，它们协同工作构成安全策略的可信计算基础 系统的安全边界是一个假想的边界，将TCB与系统的其余部分分开 参考监视器：TCB中负责在授权访问请求之前验证资源的部分 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
    • 106.以下哪一项是 (ISC)2 道德规范的内容？ A. 诚信为先，事事精益求精 B. 根据适用法律和最高道德标准执行所有专业活动和职责 C. 为委托人提供勤勉、称职的服务 D. 与他人合作交流知识和思想以实现共同安全 107.以下哪项将传输的原始数据拆散为加密数据包通过多条隧道交叉疏散传递，令攻击者的流量分析难上加难。 A.洋葱路由 B.大蒜路由 C.下水道路由 D.路由聚合
      • 107 B 记住
        • 大蒜路由（Garlic routing）是洋葱路由的一个变体，它将传输的原始数据拆散为加密数据包通过多条隧道交叉疏散传递，令攻击者的流量分析难上加难。在洋葱路由中一条或多条数据流的上传与下载共用一条隧道，而这种路由方式的上传与下载隧道相互独立而且两个方向上的隧道数量都可能>1，所以被称为大蒜路由。
    • 108.Secure Shell (SSH) 版本2协议支持 A. 可用性、责任、压缩和完整性 B. 身份验证、可用性、机密性和完整性 C. 问责制、压缩、机密性和完整性 D. 身份验证、压缩、机密性和完整性 109.以下哪项是转置密码(transposition ciphers)易于识别的原因？ A. 密钥 Key B. 块 Block C. 流 Stream D. 字符 Character 110.组织实施远程访问服务器 (RAS)。一旦用户连接到服务器，就使用数字证书来验证他们的身份。组织在此身份验证期间将使用哪种类型的可扩展身份验证协议 (EAP)？ A. 传输层安全 (TLS) B. 隧道传输层安全 (TTLS) C. 受保护的可扩展身份验证协议 (PEAP) D. 消息摘要5 (MD5) 111.作为应用程序渗透测试过程的一部分，会话劫持可以通过以下哪项最佳方式实现？ A. 已知明文攻击 B. 拒绝服务 (DoS) C. 操控Cookie D. 结构化查询语言 (SQL) 注入
    • 112.了解产生出加密消息的最初语言可能有助于密码破译者(cryptanalyst)执行： A. 已知明文攻击 B. 已知密文攻击 C. 频率分析 D. 随机评估
      • 112 C 频率分析，如：英语中常用的字母
    • 113.以下哪项技术在测试或运行阶段分析应用程序的运行状态，模拟黑客行为对应用程序进行攻击，分析应用程序的反应，从而确定该Web应用是否易受攻击。 A. 静态应用程序安全测试 SAST (Static Application Security Testing) B. 动态应用程序安全测试 DAST (Dynamic Application Security Testing) C. 交互式应用程序安全测试 IAST (Interactive Application Security Testing) D. 运行时应用程序安全保护RASP (Runtime application self-protection) 114.下面哪种标记语言允许共享应用安全策略，来保证所有的应用程序能遵循同一个安全原则？ A．XML B．GML C．SPML D．XACML 115.以下哪个关于易熔环的自动喷水灭火系统的描述是正确的？ A.当水管内加压的空气压力减少时，干管系统水管将充满水，并直接从喷头喷洒出 B.当水管内加压的空气压力减少时，预作用灭火系统水管将充满水 C.喷淋系统的喷淋头保持打开，能够短时间内喷出大量的水 D.水管内总是充满了水的水管灭火系统 116.XSS跨站脚本攻击中最常见的类型是： A．注入型 XSS B．反射型 XSS C．存储型 XSS D．DOM型 XSS 117.用C语言开发的程序已经对缓冲区溢出攻击进行了有效预防，然而以下哪种情况还可能造成缓冲区溢出攻击： A．在程序中写入了硬凭证 B．在编程中调用了别的库 C．设定了运行的沙箱环境 D．程序中使用了多线程 118.有人值守的机房防火设施应该选： A．湿管 B．预响应式干管 C．泛滥式干管 D．FM200 119.ElGamal算法是： A．流加密 B．分组加密 C．非对称加密 D．哈希算法 120.对移动磁盘数据，使用了下列哪种处理方法后，用常规方法或复杂方法都很难恢复： A．删除 Delete B．净化Sanitizing C．覆写 D．加密 121.手机中数据的保护用什么加密算法比较好： A．RSA B．3DES C．ECC D．AES 122.利用ping 程序中使用的 ICMP 协议的攻击为? A．Fraggle 攻击 B．Smurf 攻击 C．Teardrop 攻击 D．SYN flood 攻击 123.基于 SaaS 的 IAM，提供云环境下的单点登录，便于安全地访问SaaS应用的是： A.沙箱 B.SAML C.IDaaS D.Docker 124.为IPSEC保障机密和完整性的安全机制是： A．AH B．ESP C．IKE D．SA
      • 113
        • SAST 与 DAST SAST(静态应用程序安全测试)也被称为“白盒测试”，已经存在了十多年。它允许开发人员在软件开发生命周期的早期发现应用程序源代码中的安全漏洞。在不实际执行底层代码的情况下检测是否符合编码指南和标准，直接面向所有源码，并且可以定位缺陷所在的代码行数。OWASP TOP 10 安全漏洞中60-70%的安全漏洞类型可通过源代码静态分析技术检测出来。 DAST，或动态应用安全测试，也称为“黑盒”测试，可以发现运行中的应用程序的安全漏洞和弱点，通常是web应用程序。通过在应用程序上使用故障注入技术(例如向软件提供恶意数据)来识别常见的安全漏洞，例如SQL 注入和跨站点脚本。DAST 可以聚焦静态分析无法识别的运行时问题，例如身份验证和服务器配置问题，以及仅在已知用户登录时可见的缺陷。 SAST 和 DAST SAST和DAST经常同时使用，因为SAST不会发现运行时错误，而DAST不会标记编码错误，至少不会标记到代码行。SAST 可以集成在项目开发流程当中，而DAST 可以理解参数和函数调用，可以确定调用是否正常运行。 交互式应用程序安全测试 (IAST) IAST旨在通过结合SAST 和 DAST 两种方法来解决SAST和DAST各自的缺点。IAST在应用程序中放置一个探针，并在开发过程 IDE、持续集成环境、QA 甚至生产中的任何位置实时在应用程序中执行所有分析。 因为IAST探针在应用程序内部工作，它可以将其分析应用于整个应用程序所有代码。其运行控制和数据流信息、它的配置信息、HTTP请求和响应、库及框架和其他组件、以及后端连接信息。 运行时应用程序安全保护 (RASP) 与IAST一样，RASP或运行时应用程序安全保护在应用程序内部工作，但它不是一个测试工具，而是一个安全工具。它被插入到应用程序或其运行时环境中，可以控制应用程序的执行。RASP 保护应用程序，即使网络的外围防御被破坏并且应用程序包含开发团队错过的安全漏洞。RASP允许应用程序对自身进行持续的安全检查，并通过终止攻击者的会话并向防御者发出攻击警报来响应实时攻击。
      • 114
        • 联合身份管理和SSO 组织在联邦域内共享凭证，它使用SAML(安全断言标记语言)和SPML(服务供应标记语言)。 考试小贴士：思考一下为你的假期预订机票，你可以选择在同一网站上预订酒店。一旦你登录到酒店网站，它就不会再次要求你提供凭证，因为机票预订和酒店预订网站都在联邦域名下。 SAML：基于XML，用于在相关组织之间交换身份验证和授权。SAML主要用于浏览器, 是一种标记语言，SAML协议的核心是: IDP和SP通过用户的浏览器的重定向访问来实现交换数据。 SPML：基于XML，专门为交换用户信息而设计，用于联邦域内安全的单点登录。 XACML：可扩展访问控制标记语言，用于在XML格式中定义访问控制策略，它通常实现RBAC。 OpenID和OAuth：OpenID用于身份验证，提供去中心化认证，不是RFC标准，用户登录多个不同的网站，凭证由第三方提供。 过程：两次重定向，第一次是重定向到OpenID提供商输入口令，然后重定向回启用OpenID服务站点。 OAuth用于授权，及时被授权的程序遭到破坏，用户的凭证也不会暴露。使用API交换信息。 *考试提示：SAML用于企业用途，OAuth用于商业用途(by us) OIDC：使用OAuth 2.0的授权框架的身份认证层，同时提供身份认证和授权。使用JSON web令牌
          • • 三个实体：用户（委托人）、服务提供商、身份提供者（LdP） 三种类型的XML消息：1. 认证声明：正确的身份凭证，标识身份认证方法，标识用户代理登录的时间 2. 授权声明：是否有权访问服务，被拒绝会说明原因 3. 属性声明：关于用户代理的任何信息
      • 116
        • XSS的分类 XSS主要分为两大类：非持久型攻击、持久型攻击。非持久型攻击（反射型XSS）：经过后端，不经过数据库；持久型攻击（存储型XSS）：经过后端，经过数据库。 1.持久型也可认为是存储型XSS：当恶意的JavaScript代码写入web页面，会被存储到应用服务器端，简而言之就是会被存储到数据库。等用户再次打开web页面时，页面会继续执行恶意代码，达到持续攻击用户的作用。如下案例：在欢迎词处输入框输入JavaScript恶意代码进行保存，当用户在打开这个写入恶意JavaScript代码web页面的时候就会弹出带有恶意数据的弹窗。 2.非持久型XSS：非持久型XSS又叫反射型XSS，属于一次性攻击，仅对当次的页面访问产生影响。非持久型XSS攻击，要求用户访问一个被攻击者篡改后的链接，用户访问该链接时，被植入的攻击脚本被用户游览器执行，从而达到攻击目的。如下案例：通过搜索功能执行恶意的JavaScript代码点击搜索即执行恶意的JavaScript代码。 3.DOM是一个平台和语言都中立的接口，可以执行程序和脚本，能够动态访问和更新文档的内容、结构以及样式。DOM型XSS是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。
      • 124
        • IPsec 安全关联 （Security Association 缩写SA，有些文章翻译为"安全联盟"），是建立ipsec通信所需的相关参数。比如加密密钥、认证密钥等，保存在SAD（SA Database）中。 SP 描述了需要做什么；而 SA 描述了它应该如何实现。 一对SA和SP负责一个方向的数据处理，双向都需要IPsec就需要两对SA和SP。 建立SA，手工配置又复杂又不安全，生产上应该没人会用。利用软件自动配置是首选，软件配置是通过 Internet Key Exchange 协议(有IKEv1 和 IKEv2两个版本) 自动协商。IKE是一个复合协议，协议建立在Internet安全联盟和密钥管理协议ISAKMP定义的框架上，是基于UDP的500 端口的应用层协议，在NAT环境下会切换为4500端口。 IKE的精髓在于它永远不在不安全的网络上传送密钥，通信双方计算出共享的密钥，其中的核心技术就是DH（Diffie Hellman）交换技术。 IKE协商分两个阶段： 第一阶段 ，用来协商自己用的连接信息，被称为 IKE SA（或 ISAKMP SA ），期间需要完成身份验证和密钥信息交换。 身份验证的方法 Public Key Authentication Pre-Shared-Key Authenticiation (PSK) Extensible Authentication Protocol (EAP) 用户名密码 eXtended Authentication (XAuth) 这个阶段有主模式（Main Mode）和野蛮模式（Aggressive Mode）两种协商方法。感兴趣的可以自行搜索或参考文后的扩展链接了解。 第二阶段 ，是在第一阶段建立的 **IKE SA ** 的保护下来确立 IPsec SA，使用快速模式。根据配置的 AH/ESP 安全协议等参数协商出 IPsec SA。 协商出IPSec 需要使用的认证算法和加密算法及相关密钥 （1）认证算法 IPSec可以使用三种认证算法： MD5（Message Digest 5）：MD5 通过输入任意长度的消息，产生 128bit 的消息摘要。 SHA-1（Secure Hash Algorithm）：SHA-1 通过输入长度小于 2 的 64 次方比特的消息，产生 160bit 的消息摘要。 SHA-2：SHA-2 算法相对于 SHA-1 加密数据位数有所上升，安全性能要远远高于SHA-1 （2）加密算法：加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。IPSec使用以下三种加密算法： DES：使用 56bit 的密钥对一个 64bit 的明文块进行加密。 3DES：使用三个 56bit 的 DES 密钥（共 168bit 密钥）对明文进行加密。 AES：使用 128bit、192bit 或 256bit 密钥长度的 AES 算法对明文进行加密。 工作模式和封装协议 工作模式有隧道模式(Tunnel mode)和传输模式(Transport mode)。 封装协议有 AH (Authentication Header头部验证) 和 ESP (Encapsulating Security Payload安全载荷封装)两种，协议号分别为51、50。IPSEC 使用 ESP 来支持加密，使用 AH来保护报文的完整性。二者可以单独使用， 也可以一起使用。 AH 认证头协议： 鉴别头 AH：（不提供保密性，只对整个IP数据包提供保护） 无连接数据完整性：通过哈希函数产生的校验来保证 数据源认证：通过计算验证码时加入一个共享密钥来实现 抗重放服务：AH报头中的随机序列号可以防止重放攻击 ESP 封装安全载荷协议： 除提供 AH 认证头协议的所有功能之外，还有数据保密和有限的数据流保护。ESP 协议允许对 IP 报文净荷进行加密和认证、只加密或者只认证，ESP 没有对 IP头的内容进行保护。 保密服务通过使用密码算法加密 IP 数据包的相关部分来实现。 数据流保密由隧道模式下的保密服务提供。 ESP 通常使用 DES、3DES、AES 等加密算法实现数据加密，使用 MD5 或 SHA1 来实现数据完整性认证。
    • 125.用户大量使用弱密码，应对的最佳安全措施： A．安全意识宣灌 B．明确密码长度要求 C．在系统上实施强口令验证 D．使用SSO单点登录
      • 125 C 没有C时候选A，有C选C
    • 126.CMM的第2级 和 CMMI的第2级 分别是： A．已定义、已管理 B．已管理、已定义 C．可重复、已管理 D．已管理、可重复 127.公司希望部署IPS拦截网络中的攻击流量，IPS应该使用什么部署方式： A．串联 B．旁路 C．主动 D．被动 128.以下哪一项是 CHAP质询握手认证协议的特点： A．二次握手 B．只在链路建立的阶段进行验证 C．被认证方发起验证 D．密文发送认证信息 129.区隔会产生利益冲突的主体 (subject) 和对象 (object) 的安全模型是： A．BLP B．Clark-Wilson C．Brewer-Nash D．Biba
      • 126
        • CMMI 的等级：CMMI 等级共五级， Maturity Levers，通常简写为 ML。 ML1初始级 软件过程是无序的，有时甚至是混乱的，对过程几乎没有定义，成功取决于个人努力。管理是反应式的。 ML2已管理级 建立了基本的项目管理过程来跟踪费用、进度和功能特性。制定了必要的过程纪律，能重复早先类似应用项目取得的成功经验。 ML3已定义级 已将软件管理和工程两方面的过程文档化、标准化，并综合成该组织的标准软件过程。所有项目均使用经批准、剪裁的标准软件过程来开发和维护软件，软件产品的生产在整个软件过程是可见的。 ML4量化管理级 分析对软件过程和产品质量的详细度量数据，对软件过程和产品都有定量的理解与控制。管理有一个作出结论的客观依据，管理能够在定量的范围内预测性能。 ML5优化级 过程的量化反馈和先进的新思想、新技术促使过程持续不断改进。
    • 130.安全员设置下水路由是为了抵抗： A．DNS中毒 B．DDOS C．Sniffing D．Jamming
      • 130 B Sinkhole 把 DDOS 流量引到某一个点做进一步分析 jamming Conduct wireless jamming attacks. Adversary takes measures to interfere with wireless communications so as to impede or prevent communications from reaching intended recipients.
    • 131.以下哪种数据最难被数字取证人员发现？ A. 闲置空间数据 B. 文件系统删除数据 C. 隐写数据 D. 以不同文件类型扩展名存储的数据 132.以下哪项最佳描述了用于在不同身份管理系统之间交换授权信息的标准？ A. 安全断言标记语言 (SAML) B. 面向服务的架构 (SOA) C. 可扩展标记语言 (XML) D. 无线认证协议 (WAP) 133.在信息技术安全评估的通用标准 (CC) 中，提高评估保证级别 (EAL) 会导致以下哪项？ A. 评估系统的增加 B. 提高互操作性 C. 增加功能 D. 资源需求增加 134.何时实施安全要求成本最低？ A. 由外部顾问确定时 B. 在应用程序上线阶段 C. 在项目周期的每个阶段 D. 当内置到应用程序设计中时 135.以下哪项是缓解跨站脚本 (XSS) 攻击的最有效方法？ A. 使用软件即服务 (SaaS) B. 验证数据输入 C. 验证数据输出 D. 要求客户证书 136.通过伪造来自可信来源的数据包来对一台机器进行身份验证的技术通常指的是？ A. 蓝精灵攻击 (Smurfing) B. 中间人攻击 (MITM) C. 重定向 (Redirect) D. 欺骗 (Spoofing) 137.纵深防御的一个重要原则是，实现信息安全需要关注三个主要方面的平衡。这是指？ A. 开发、测试和部署 B. 预防、检测和补救 C. 人员、技术和运营 D. 认证、认可和监督 138.在软件开发生命周期中，讨论DOS攻击是哪个里面的一个实例 A. 威胁建模 B. 漏洞分析 C. 数据防泄漏 D. 数据完整性 139.在SYN 洪泛攻击中，攻击者的目的是？ A.获得root权限 B.导致缓冲区溢出 C.进行会话劫持 D.使连接队列超过上限 140.对于云服务提供商而言，以下哪项最有效地解决了使用云计算的客户的保密问题？ A.文件系统权限 B.散列函数 C.不可抵赖控制 D.数据隔离 141.下列哪种访问控制模型最严格： A.DAC自主访问控制 B.MAC强制访问控制 C.RBAC基于角色的访问控制 D.ABAC基于属性的访问控制 142.Smurf攻击属于？ A.中间人攻击 B.DOS攻击 C.隐蔽通道 D.社会工程 143.在证据的监管链中对文件进行哈希保护的是？ A.可用性 B.完整性 C.机密性 D.抗抵赖 144.以下哪一项在传输层保护web交易安全？ A. 安全超文本传输协议(S-HTTP) B. 传输层安全 (TLS) C. 套接字安全 (SOCKS) D. 安全壳 (SSH) 145.以下哪一个标准最有助于降低数据破坏的风险？ A.ISO 9001 B.ISO 15504 C.ISO 20000 D.ISO 27001 146.系统和数据管理员在配置存储员工数据的系统时，应该遵照： A.使用这些数据的业务要求 B.组织的安全策略和标准 C.对企业资源和数据的全面保护 D.行业最佳实践的要求
    • 147.组织打算升级所有防火墙以降低某项风险，以下哪一项最能支持这个观点？ A.有充分的IT预算 B.该项风险的年预期损失ALE非常低 C.该项风险的固有风险高于残余风险 D.该项风险的预期损失超过实施控制的成本 148.以下哪一项属于双因素验证？ A.虹膜扫描和指纹识别 B.视网膜扫描和智能卡 C.感应卡和钥匙 D.口令和PIN 149.对于在SDLC软件维护阶段发现的应用程序漏洞，必须采取的行动是？ A.监控应用并评审代码 B.将漏洞报告给产品负责人 C.在漏洞被修复前暂停应用 D.按照设计指南进行变更
      • 147 D 这个观点要牢记在心，错了好几次了
      • 149 B 记住
    • 150.以下哪种攻击方法能最有效地获得对一份复杂口令保护的资料的未授权访问？ A.字典攻击 B.旁路攻击 C.彩虹表 D.社会工程 151.银行为所有使用网银的客户配备了硬件令牌。令牌每分钟更新一个6位的口令。客户必须使用这个口令登录网银。这种令牌是？ A.同步令牌 B.异步令牌 C.单点登录令牌 D.挑战／应答令牌 152.最能体现公司安全管理情况的是？ A.渗透测试结果报告 B.内部审计师出的内审报告 C.外部审计师出的审计报告 D.IT服务台收集的安全事件报告 153.对SLA进行合规评审的周期是？ A.在进行安全审计前对SLA进行评审 B.在更新SLA时进行评审 C.在发生了安全违规后立即对SLA进行评审 D.定期安排评审会议，对SLA进行评审 154.关于黑盒测试的说法正确的是？ A.测试者只了解源代码 B.测试者只了解设计文档 C.测试者只了解功能说明书 D.测试者只了解设计文档和功能说明书 155.以下哪一项对组织的安全态度/立场影响最大？ A. 国际和国内的合规要求 B. 员工安全违规 C. 安全开支增加后导致的资源限制 D. 审计发现的安全控制漏洞 156.在追踪事件时发现，只能提供最近30天内的审计日志。这需要关注： A. 数据恢复 B. 数据保留 C. 数据处置 D. 数据审计 157.EAP MD5使用的身份验证方法： A. 基于散列值进行弱身份验证 B. 基于预共享密钥的弱身份验证 C. 基于OTP令牌设备的身份验证 D. 基于TLS的加密隧道身份验证 158.为何说数据所有者重要？ A. 鉴证 B. 分析 C. 责任 D. 合规 159.安全内核的实质： A. 用户 B. 进程 C. 完整性 D. 访问权限 160.符合X.509标准格式的数字证书中必定包括： A. 证书申请者的私钥 B. CA的公钥 C. CA的数字签名 D. 证书废止列表CRL
  • 答案
    • 1 B 2 C 3 C 4 C 5 C 6 A 7 A 8 D 9 D 10 C 11 D 12 B 13 A 14 B 15 C 16 C 17 C 18 C 19 A 20 C 21 B 22 C 23 A 24 C 25 B 26 B 27 D 28 A 29 C 30 B 31 C 32 D 33 C 34 A 35 C 36 D 37 B 38 C 39 C 40 C 41 C 42 C 43 B 44 A 45 A 46 B 47 B 48 B 49 D 50 D 51 A 52 C 53 D 54 C 55 C 56 C 57 D 58 B 59 A 60 D 61 A 62 B 63 A 64 B 65 C 66 C 67 C 68 D 69 D 70 D 71 B 72 A 73 C 74 D 75 A 76 D 77 D 78 D 79 C 80 A 81 A 82 C 83 D 84 D 85 C 86 A 87 D 88 A 89 B 90 A 91 C 92 C 93 C 94 D 95 B 96 C 97 D 98 A 99 B 100 B 101 C 102 C 103 A 104 D 105 C 106 C 107 B 108 D 109 D 110 A 111 C 112 C 113 B 114 D 115 B 116 B 117 B 118 D 119 C 120 B 121 D 122 B 123 C 124 B 125 C 126 C 127 A 128 D 129 C 130 B 131 C 132 A 133 D 134 D 135 B 136 D 137 C 138 A 139 D 140 D 141 B 142 B 143 B 144 B 145 D 146 B 147 D 148 B 149 B 150 D 151 A 152 C 153 D 154 C 155 A 156 B 157 A 158 C 159 D 160 C
• 第三套模拟题
  • 题
    • 1.The security practitioner is charged with implementing e-mail security using a cryptographic standard of the security practitioner’s choice. The security practitioner chooses an4 open Pretty Good Privacy (PGP) implementation. 一个安全从业人员负责用加密算法来实施邮件安全。他选择了OpenPGP来实施。 Which cryptographic algorithm is used to create the user's public key? 可采用以下哪个密码算法来创建用户的公钥？ A. ElGamal ElGamal算法 B. International Data Encryption Algorithm (IDEA) IDEA算法 C. Advanced Encryption Standard (AES) AES算法 D. Triple Data Encryption Algorithm (3DES) 3DES算法 2.Which phase of the BCP/DRP would include relocation to the PRIMARY site? 一个组织是独自占了一个位于一个大城市商业区的20层楼建筑。该组织有若干个有本地服务器的分支机构，距离总部办公室大约方圆1000英里 (1600公里) 内。所有工作人员，包括那些在分支办事处的员工都分配了身份识别卡，游客分配了临时徽章。安全人员来负责制定业务连续性计划/灾难恢复计划 (BCP/ DRP) 。 下面BCP/ DRP哪个阶段将包括搬迁到主站点？ A. Assessment 评估 B. Restoration 还原 C. Recovery 恢复 D. Initiation 启动 3.一个web应用的用户注意到，可以用书签收藏应用程序并返回到它，即使关闭电脑后，仍然有效。用户还注意到，用户的ID被嵌入在应用程序的URL。当改为另一个有效的用户ID，应用程序允许用户可以用其他用户的会话中的有效ID使用程序。 这表明了编程存在什么缺陷？ A.The application assumes all users are logged-in. 应用程序假定了所有用户都已经登录 B.The application does not properly maintain session state. 应用程序没有正确的维持会话状态 C.The application fails open on authentication errors. 应用程序在认证错误时打开失败 D.The application fails to a privileged state. 应用程序失效进入特权状态 4.Employee involuntary termination processing should include 员工非自愿离职流程处理应当包括 A.A list of all passwords used by the individual. 个人所使用的所有密码的列表 B.A report on outstanding projects. 未完成的项目交接报告 C.The surrender of any company identification. 归还任何公司的身份标识 D.Signing a non-disclosure agreement. 签署保密协议
      • 1
        • 流密码、块密码 各种加密算法 各种哈希算法
          • 流密码 ‌流密码，也称为流密码算法或流加密，是一种加密算法，它逐位或逐字节处理明文数据，生成一个密钥流，然后使用这个密钥流对明文进行加密。流密码的基本思想是利用一个密钥k产生一个密钥流z=z0z1z2…，这个密钥流与明文X=X0X1X2…逐位进行异或操作，从而得到加密后的密文。流密码具有实现简单、便于硬件实施、加解密处理速度快、没有或只有有限的错误传播等特点，因此在专用或机密机构中保持着优势。 流密码的工作原理 密钥流生成：使用密钥k和某种算法（如线性反馈移位寄存器LFSR）生成一个随机的密钥流。 加密过程：将生成的密钥流与明文逐位进行异或操作，得到密文。 解密过程：使用相同的密钥和算法生成相同的密钥流，再次与密文进行异或操作，恢复原始明文。
            • 块密码（block cipher） 又被称为分组加密或者叫分块加密，是对称加密的一种常见形式。 块密码是非常常见的加密方法。典型的采用了块密码方式的加密协议，如 DES 和 AES ，都是美国政府核定的标准加密算法，应用领域从电子邮件加密到银行交易转帐，非常广泛。 块密码基本思路是这样。首先，将明文分成多个等长的块（ block ），然后用相同的一个密钥，对每个块进行加密，得到密文块。 非对称加密是不适合加密大段数据的，而在对称加密算法中，块密码是最常见的，所以可以认为通常用来加密大段数据的方法就是块密码。除了块密码，另外一种对称加密的方式是流密码。 DES ，是64比特一个块，当前使用的 AES 是128比特或者更大。IDEA - 它是一个足够强大的块密码，块大小为64，密钥大小为128位。许多应用程序使用IDEA加密，包括早期版本的Pretty Good Privacy（PGP）协议。由于专利问题，IDEA方案的使用受到限制。
          • DES算法为密码体制中的对称密码体制。需要加密的明文按64位进行分组，加密密钥是根据用户输入的秘钥生成的，密钥长64位，但密钥事实上是56位参与DES运算（第8、16、24、32、40、48、56、64位是校验位， 使得每个密钥都有奇数个1，在计算密钥时要忽略这8位），分组后的明文组和56位的密钥按位替代或交换的方法形成密文组的加密方法。详情计算看本文的2.1.1秘钥置换选择。 算法的入口参数有三个：key、data、mode。 key：加密解密使用的密钥，8个字节共64位的工作密钥； data：8个字节共64位的需要被加密或被解密的数据； mode：DES的工作模式，即加密或者解密。当模式为加密模式时，明文按照64位进行分组，形成明文组，key用于对数据加密，当模式为解密模式时，key用于对数据解密。 DES算法特点： （1）分组加密算法：以64位为分组。64位明文输入，64位密文输出。 （2）对称算法：加密和解密使用同一秘钥。 （3）有效秘钥长度为56位：秘钥通常表示为64位数，但每个第8位用作奇偶校验，可以忽略。 （4）代替和置换：DES算法是两种加密技术的组合：混乱和扩散。先替代后置换，一共16轮。 （5）易于实现：DES算法只是使用了标准的算术和逻辑运算，其作用的数最多也只有64 位，因此用70年代末期的硬件技术很容易实现，算法的重复特性使得它可以非常理想地用在一个专用芯片中。 算法的优缺点： （1）优点： 效率高，算法简单，系统开销小；适合加密大量数据；明文长度和密文长度相等； （2）缺点： 需要以安全方式进行秘钥交换；秘钥管理复杂；DES算法无法抵抗差分密码分析攻击，这种攻击可以通过比较相同明文的密文，分析加密算法的行为并推断出密钥；密钥短，易受到暴力破解。
            • 加密与安全_常见的分组密码 ECB、CBC、CFB、OFB模式介绍 1. ECB 模式（电子密码本模式） ECB 将明文进行分组后直接加密产生密文分组 工作原理：将明文分割成多个固定长度的分组。每个分组独立加密。 优点：计算简单，速度快。支持并行处理。 缺点：相同的明文分组会产生相同的密文分组，无法隐藏明文的模式和结构。容易受到统计分析攻击。 应用场景：不适合用于敏感信息的加密，不推荐在正式场合使用。 2. CBC 模式（密文分组链接模式） 密文分组链接模式 工作原理：第一个明文分组与初始向量（IV）异或后进行加密，产生第一个密文分组。后续每个明文分组与前一个密文分组异或后进行加密，产生相应的密文分组。 优点：能够隐藏明文的模式和结构，提高安全性。支持并行解密。 缺点：加密时不支持并行处理，需串行进行。若某个密文分组损坏，会影响当前和下一个分组的解密。 应用场景：适用于高安全性需求的场景，如文件加密，推荐使用。 3. CFB 模式（密文反馈模式） 对 CBC 模式的一种改进，在 CFB 模式中，明文分组和密文分组之间只做异或操作就可以了。在此时此刻，密码算法的输出有一些一次性密码本的意思了. 工作原理：第一个明文分组与初始向量（IV）异或后进行加密，产生第一个密文分组。后续每个明文分组与前一个密文分组异或后进行加密，产生相应的密文分组。 优点：支持并行解密。可以解密任意的密文分组。 缺点：不能抵御重放攻击。 应用场景：实时通信加密，如网络数据传输。 4. OFB 模式（输出反馈模式） 输出反馈模式。 密码算法的输出会反馈到密码算法的输入中。OFB 并不是通过密码算法对明文进行加密的，而是通过将明文分组和密码算法的输出进行异或来产生密文的。所以 OFB 和 CFB 也有一些类似. 工作原理：初始向量（IV）输入到加密算法中，产生一个伪随机输出。明文分组与该伪随机输出异或，产生密文分组。伪随机输出反馈给加密算法，继续生成下一个伪随机输出。 优点：不需要填充（Padding）。若密文包含错误比特，仅对应的明文比特会出错。 缺点：不支持并行解密。存在比特反转攻击风险。 应用场景：对错误容忍性要求较高的场景，如视频流加密。
          • IDEA IDEA算法使用128位的密钥，数据块大小为64位。‌在3DES算法基础上发展出来 ‌IDEA算法的工作原理‌ IDEA算法的加密过程包括子密钥生成和明文加密两个主要步骤。首先，选定一个128位的密钥，并将其分成8个16位的子密钥。然后，通过循环左移25位生成新的128位密钥，并再次分为8个子密钥。这个过程重复直到生成足够的子密钥。在明文加密阶段，输入的64位明文被分为4个16位的明文分组。每轮迭代中使用6个子密钥与明文分组进行异或、模加、模乘等操作，结果作为下一轮的输入继续迭代。完成8轮迭代后，使用最后4个子密钥进行输出变换，得到最终的密文。‌
          • ElGamal 在密码学中，ElGamal加密算法是一个基于迪菲-赫尔曼密钥交换的非对称加密算法，它在1985年由塔希尔·盖莫尔提出 [1]。 EIGamal公开密钥密码体制是基于有限域中离散对数问题的难解性。它所根据的原理是：求解离散对数是困难的，而其逆运算可以应用平方乘的方法有效的计算出来。在相应的群 G中，指数函数是单向函数。既能用于数据加密也能用于数字签名（DSA基于～），其安全性依赖于计算有限域上离散对数这一难题。在加密过程中，生成的密文长度是明文的两倍，且每次加密后都会在密文中生成一个随机数K，在密码中主要应用离散对数问题的几个性质：求解离散对数（可能）是困难的，而其逆运算指数运算可以应用平方-乘的方法有效地计算。也就是说，在适当的群G中，指数函数是单向函数。 ECC 椭圆曲线密码学（英语：Elliptic curve cryptography，缩写为ECC），一种建立公开密钥加密的演算法，基于椭圆曲线数学。椭圆曲线在密码学中的使用是在1985年由Neal Koblitz和Victor Miller分别独立提出的。 ECC的主要优势是在某些情况下它比其他的方法使用更小的密钥——比如RSA加密算法——提供相当的或更高等级的安全。ECC的另一个优势是可以定义群之间的双线性映射，基于Weil对或是Tate对；双线性映射已经在密码学中发现了大量的应用，例如基于身份的加密。不过一个缺点是加密和解密操作的实现比其他机制花费的时间长。160位的椭圆密钥与1024位的RSA密钥安全性相同 DSA Digital Signature Algorithm(DSA)是Schnorr和ElGamal签名算法的变种，被美国国家标准技术研究院(NIST)作为DSS(Digital Signature Standard)。DSA是基于整数有限域离散对数难题的，其安全性与RSA相比差不多。DSA的一个重要特点是两个素数公开，这样，当使用别人的p和q时，即使不知道私钥，也能确认它们是否是随机产生的，还是做了手脚。RSA算法却做不到。 RSA RSA公钥算法是由 MIT (麻省理工学院, Massachusetts Institute of Technology) 的Rivest, Shamir和Adleman在1978年提出来的。RSA方案是被最广泛接受并实现的通用公开密钥密码算法，目前已成为公钥密码的国际标准。该算法的数学基础是初等数论中的欧拉定理，其安全性建立在大整数因子分解的困难性之上。 Diffie-Hellman Diffie-Hellman(简称 DH) 密钥交换是最早的密钥交换算法之一，基于离散对数，它使得通信的双方能在非安全的信道中安全地交换密钥，用于加密后续的通信消息。 Whitfield Diffie 和 Martin Hellman 于 1976 提出该算法，之后被应用于安全领域，比如 Https 协议的 TLS(Transport Layer Security) 和 IPsec 协议的 IKE(Internet Key Exchange) 均以 DH 算法作为密钥交换算法。
          • SHA (Security Hash Algorithm) 是美国的 NIST 和 NSA 设计的一种标准的 Hash 算法，SHA 用于数字签名的标准算法的 DSS 中，也是安全性很高的一种 Hash 算法。 SHA-1 是第一代 SHA 算法标准，后来的 SHA-224、SHA-256、SHA-384 和 SHA-512 被统称为 SHA-2 SHA-1 工作原理 SHA-1 的工作原理可以分为以下几个步骤： 1.预处理： 填充：消息首先被填充，使其长度模 512 等于 448。填充方法是在消息末尾添加一个 1 位，然后添加足够多的 0 位，使得总长度（包括 64 位的消息长度）是 512 的倍数。 附加长度：在填充后的消息末尾附加 64 位的消息长度表示，这样填充后的消息长度总是 512 的倍数。 2. 初始化哈希值： 3. 处理消息块： 消息被分成 512 位的块，每个块进一步被分成 16 个 32 位的字。然后对每个块进行 80 轮的处理，每轮操作包括位运算、选择函数和常数相加。 4. 更新哈希值： 每个 512 位块的处理结果用于更新前面的哈希值，通过一系列的逻辑运算和位移操作。 5. 输出： 所有块处理完后，五个寄存器的值连接起来，形成 160 位（20 字节）的散列值。 我们以单词 China 为例，如何将其进行MD5加密呢？ 第一步：首先将China单词转化为ASCII码的十六进制表示方式 China的十六进制为：43 68 69 6E 61 第二步：对得到的数据 4368696E61 进行填充和附加，使其能够被512整除。 对于任意长度的明文，SHA1的明文分组过程与MD5相类似，首先需要对明文添加位数，使明文总长度为448（mod512）位。在明文后添加位的方法是第一个添加位是 1，其余都是0。然后将真正明文的长度（没有添加位以前的明文长度）以64位表示，附加于前面已添加过位的明文后，此时的明文长度正好是512位的倍数。与MD5不同的是SHA1的原始报文长度不能超过2的64次方，另外SHA1的明文长度从低位开始填充。 第三步：将得到数据进行拆分，按照512位分块。SHA1有4轮运算，每一轮包括20个步骤（一共80步），最后产生160位摘要。xia
            • SHA-1和SHA-256区别 SHA-1 和 SHA-256 都是安全哈希算法（Secure Hash Algorithms），它们用于生成固定长度的散列值（哈希值）来代表输入数据。这些算法的设计目的是为了在确保数据完整性、密码学和数据安全方面提供可靠的散列值。虽然它们有一些相似之处，但也有显著的区别。以下是 SHA-1 和 SHA-256 的主要区别： 基本属性和结构 SHA-1 算法 摘要长度：160 位（20 字节） 安全性：已被证明不安全，存在碰撞攻击和预映射攻击 结构：基于 Merkle-Damgård 构架，使用 Davies-Meyer 压缩函数 速度：比 SHA-256 快，但安全性较低 发布时间：1993 年（作为 SHA-0 的改进），1995 年正式发布 SHA-256 算法 摘要长度：256 位（32 字节） 安全性：目前认为是安全的，抗碰撞和预映射攻击能力更强 结构：也是基于 Merkle-Damgård 构架，但使用不同的设计细节和更多的迭代 速度：比 SHA-1 慢，但安全性更高 发布时间：2001 年，作为 SHA-2 家族的一部分发布 安全性 SHA-1 碰撞攻击：在 2005 年，研究人员发现 SHA-1 存在实际的碰撞攻击方法。2017 年，谷歌和荷兰信息安全机构联合展示了第一个实际的 SHA-1 碰撞实例。 预映射攻击：SHA-1 也更容易受到预映射攻击，这使得它在密码学应用中不再安全。 强度：SHA-1 的安全性被认为约为 2^63.4 次操作，比理想情况下的 2^80 次操作（160/2）要弱得多。 SHA-256 碰撞攻击：目前没有已知的实际碰撞攻击。 预映射攻击：SHA-256 提供了更强的抗预映射攻击能力。 强度：SHA-256 的安全性被认为约为 2^128 次操作（256/2），提供了更高的安全性。 性能 SHA-1：由于其较短的摘要长度和较少的迭代次数，SHA-1 的计算速度通常比 SHA-256 快。然而，随着现代计算机性能的提升，这种差异在许多应用中变得不那么明显。 SHA-256：尽管速度稍慢，但由于其更高的安全性，SHA-256 更适合安全敏感的应用。 用途 SHA-1 过去：曾广泛用于 SSL/TLS 证书、数字签名、版本控制系统（如 Git）等。 现在：由于其安全性问题，SHA-1 已经被逐渐淘汰，不再推荐用于新的安全应用。许多标准和协议已经停止支持 SHA-1。 SHA-256 现在和未来：广泛应用于 SSL/TLS、数字签名、区块链（如比特币）、数据完整性校验等领域。SHA-256 被认为是当前推荐使用的安全哈希算法之一。
          • PBKDF2算法概述 定义 PBKDF2（Password-Based Key Derivation Function 2）是一种基于密码的密钥生成算法，由PKCS（Public-Key Cryptography Standards）组织制定。该算法旨在通过用户密码生成加密密钥，以实现对数据的安全加密和解密。 算法输入 PBKDF2算法所需的输入包括： 用户密码（Password）：用于生成密钥的初始值。 盐（Salt）：用于确保密钥生成过程的唯一性。 迭代次数（Iterations）：控制密钥生成过程中的计算复杂度，又叫迭代因子。 哈希函数（Hash Function）：用于计算 key 的摘要。 算法流程 PBKDF2算法的基本流程如下： 对用户密码进行哈希计算，得到初始摘要（Initial Hash）。 将盐与初始摘要进行异或操作，得到新的摘要（New Hash）。 使用新的摘要作为下一轮计算的输入，重复上述过程指定次数，直至达到迭代次数。 最后，将所有轮次的摘要进行拼接，得到最终的密钥（Key）。 三、PBKDF2算法原理 安全性 PBKDF2算法的安全性主要依赖于哈希函数的单向性和迭代过程的复杂度。哈希函数具有单向性，即给定任意长度的输入，难以通过逆向计算得到原始输入。通过增加迭代次数，可以提高计算复杂度，从而增强密钥的安全性。 盐的作用 盐在PBKDF2算法中起到确保密钥生成过程唯一性的作用。不同盐值会导致生成的密钥不同，即使用户密码相同。盐的使用避免了因多个用户共享相同密码而导致密钥泄露的风险。 哈希函数的选择 PBKDF2算法中，哈希函数的选择对密钥安全性至关重要。常用的哈希函数包括SHA-1、SHA-256等。为确保安全性，建议使用国密算法SM3或其他强度较高的哈希函数。 四、PBKDF2应用场景 密码认证 在网络认证等场景中，可以使用PBKDF2算法生成会话密钥，实现用户身份验证。通过迭代计算，确保密码在传输过程中不被泄露。 加密存储 在数据存储场景中，可以使用PBKDF2算法对数据进行加密。通过对数据和密码进行多次哈希计算，生成加密密钥，实现数据的安全存储。 无线通信 在无线通信领域，PBKDF2算法可用于生成加密密钥，保障通信安全。由于无线通信容易受到窃听和干扰，使用PBKDF2算法可以提高密钥的安全性。 五、总结 PBKDF2算法作为一种基于密码的密钥生成方法，在保障数据安全和隐私方面具有重要意义。通过对算法的原理和应用进行深入了解，可以更好地应对日益严峻的网络安全挑战。在实际应用中，应根据具体情况选择合适的哈希函数和迭代次数，以实现最佳的安全性能。同时，关注盐的作用和算法实现细节，确保密钥生成过程的可靠性和安全性。
      • 2
        • Restoration 还原 备 到 主 Recovery 恢复 主 到 备
    • 5.When two operators review and approve the work of each other, this is known as? 两个操作员互相审查和批准对方的工作，这是什么控制？ A. Dual control 双重控制 B. Two-man rule 双人规则 C. Two-fold control 重叠控制 D. Twin control 双生控制
      • 5
        • Dual control 双重控制 通过知识分割实现 Two-man rule 双人规则 银行大额交易，A级柜员操作+B级柜员授权
        • Two-Person Control Two-person control (often called the two-man rule) requires the approval of two individuals for critical tasks. For example, safe deposit boxes in banks often require two keys. A bank employee controls one key and the customer holds the second key. Both keys are required to open the box, and bank employees allow a customer access to the box only after verifying the customer's identification. Using two-person controls within an organization ensures peer review and reduces the likelihood of collusion and fraud. For example, an organization can require two individuals within the company (such as the chief financial officer and the chief executive officer) to approve key business decisions. Additionally, some privileged activities can be configured so that they require two administrators to work together to complete a task. Split knowledge combines the concepts of separation of duties and two-person control into a single solution. The basic idea is that the information or privilege required to perform an operation be divided among two or more users. This ensures that no single person has sufficient privileges to compromise the security of the environment.
    • 6.What security procedure forces an operator into collusion with an operator of a different category to have access to unauthorized data? 哪种安全程序会迫使一个操作员勾结另一个不同类别的操作员来访问非授权数据？ A.Enforcing regular password changes 强制日常密码更改 B.Management monitoring of audit logs 审计日志的管理监控 C.Limiting the specific accesses of operations personnel 限制操作人员的特定访问权限 D.Job rotation of people through different assignments 不同分工的人员的工作轮换 7.What is the proper term to refer to a single unit of TCP data at the transport layer? 传输层TCP数据的一个独立单元被称为： A. TCP segment TCP 段 B. TCP datagram TCP 数据报 C. TCP frame TCP 帧 D. TCP packet TCP 分组 8.Converged networks supporting both data and Voice over Internet Protocol (VoIP), by their nature, provide a single channel to attack both the data and the voice components. Which of the following is the BEST mechanism to secure the voice component? 同时支持数据和语音通信 (VoIP) 的融合网络，根据其性质，提供了一个单独的通道来攻击数据和语音组件。下列哪项是最好的保障语音组件安全的机制？ A.Filter calls on the perimeter firewall 在边界防火墙上过滤呼叫 B.Use an analog voice system 使用模拟语音系统 C.Authenticate both voice and data users 验证语音用户和数据用户 D.Put voice on its own Virtual Local Area Network (VLAN) 把语音数据放在自己独立的虚拟局域网VLAN里
    • 9.一个组织已经实施了一些新的安全控制。为了评估这些控制对安全体系有效性提升的影响，需要对信息安全的一些性能指标进行监控。 下列哪一项是在这种情况下选择的性能指标时最重要的因素？ A.The existence of baseline data for the performance metric 存在性能测量指标的基本数据 B.The ability to minimize false positives in the performance metric data 在性能测量指标数据中尽可能减少误报的能力 C.The ability to minimize false negatives in the performance metric data 在性能测量指标数据中尽可能减少漏报的能力 D.The performance metric has cross-platform applicability 性能测量指标有跨平台的适用性
      • 9
        • 此题考察的是指标的基本数据，因为没有数据没法衡量指标 而B和C是IDS的指标
    • 10.Which of the following is the MOST important aspect relating to employee termination? 关于雇员解雇下列哪一项是最重要的？ A. Company property provided to the employee has been returned. 公司提供给雇员的财产已归还 B. User ID and passwords of the employee have been deleted. 雇员的用户名和密码已经删除 C. The appropriate company staff are notified about the termination. 向公司相关的工作人员通知解雇 D. The details of employee have been removed from active payroll files. 雇员的详细情况从活跃的工资单中已被移除。 11.一个管理员负责数据运营中心，包括了500个终端的交换网络，一个Web服务器，电子邮件服务器，以及几个大的应用服务器。备份策略是每个星期天的早晨执行一次完全备份和周一至周五执行每日增量备份。环境中的所有服务器有五个SCSI磁盘驱动器，并设置为RAID 5作为热备。数据中心使用了高架地板，并在房间内配备了一个自足的HVAC系统，以及一个自动化的干管自动喷淋灭火系统来保护电脑。大约在星期天早上，Web服务器的一个硬盘出现了故障。为了让服务器返回到正常运行需要做什么？ A.Restore data from the last incremental backup. 从上次增量备份中恢复数据 B.Restore data from the last full backup. 从上次完全备份中恢复数据 C.Recover the data from the failed drive. 从故障磁盘中恢复数据 D.Replace the failed drive. 更换故障的磁盘
    • 12.An audit trail is a category of what control? 审计轨迹是什么类型的控制？ A. System, Manual 系统，手工 B. Detective, Technical 检测，技术 C. User, Technical 用户，技术 D. Detective, Manual 检测，手工
      • 12
        • audit trail 是检测手段，一般认为是技术手段
    • 13.When selecting site facilities, which terrain characteristics are most preferable for physical security? 在选择物理设施时，下面哪个地形特点最有利于物理安全？ A.Hilly with thick vegetation and other natural obstacles to protect entrance points 有茂密的植被和其他自然障碍的丘陵，来保护入口 B.Downhill slope to facilitate accessibility and visibility of the site 下坡地形能方便设施的进入和可见性 C.Flat with no thick vegetation and easy to access from various entrance points 没有茂密植被的平原，方便从不同的入口进出 D.Flat with no thick vegetation and a gentle rise in elevation up to the entrance point 没有茂密植被的平原，入口略高于海拔 14.Which of the following is a potential drawback of using the defense-in-depth principle? 下面哪个是使用纵深防御原则的潜在缺陷？ A. Increased system complexity 增加了系统复杂性 B. Increased component failure rates 增加了组件的故障率 C. Redundant components are required 需要冗余的组件 D. Lower intrusion detection performance 较低的入侵检测性能 15.Which of the following is the MOST secure method of building router tables? 下面哪个是最安全的构建路由表的方法？ A. Distance vector 距离矢量 B. Link state 链路状态 C. Border Gateway Protocol (BGP) 边界网关协议 (BGP) D. Static 静态路由
    • 16.Which of the following MUST be considered when designing effective security controls? 在设计有效的安全控制时，下面哪项必须被考虑？ A. Speed of deployment 部署的速度 B. Visibility 可视化 C. Ease of use 易用性 D. Authenticity 真实性
      • 16
        • 不选D的原因是所有手段不一点是真实的，比如威慑性手段就一定是真实的
    • 17.What tool do you use to determine whether a system is vulnerable to known attacks? 以下哪一项工具被用来判断一个系统是否存在会被已知攻击手段攻击的脆弱性？ A. Port scan 端口扫描 B. Vulnerability analysis 漏洞分析 C. Honey Pots 蜜罐 D. IDS 入侵检测 18.Which of the following statements pertaining to ethical hacking is incorrect? 下面哪项关于道德的黑客的描述是不正确的？ A.An organization should use ethical hackers who do not sell auditing, consulting, hardware, software, firewall, hosting, and/or networking services 组织应该聘用道德的黑客，这些黑客不能销售审计，咨询，硬件，软件，防火墙，主机托管，和/或网络服务 B.The vast majority of tests are performed remotely 测试绝大多数是远程执行的 C.Ethical hacking should not involve writing to or modifying the target systems 道德的黑客不应写入或修改目标系统 D.Ethical hackers should never use tools that have potential of exploiting vulnerabilities in the organizations IT system. 道德的黑客绝不能使用可能会导致组织IT系统漏洞被利用的工具。
    • 19.Which one of the following is the PRIMARY objective of penetration testing? 下面哪个是渗透测试的主要目标？ A. Assessment 评估 B. Correction 纠正 C. Detection 检测 D. Protection 保护 20.What is the FIRST step that should be considered in a penetration test? 渗透测试中的第一步应当做什么？ A.The approval of change control management. 变更控制管理的批准 B.The development of a detailed test plan. 详细测试计划的开发 C.The formulation of specific management objectives. 制定具体的管理目标 D.The communication process among team members. 团队成员之间的沟通过程 21.Which of the following is not a valid reason to use external penetration service firms rather than corporate resources? 下面哪个不是使用外部渗透服务公司比使用公司内部资源更好的原因？ A.They are more cost-effective 他们更具成本效益 B.They offer a lack of corporate bias 他们没有公司的偏见 C.They use highly talented ex-hackers 他们使用了天才的前黑客 D.They insure a more complete reporting 他们确保提供更完整的报告
      • 19
        • OSG: Regularly staged penetration tests are a good way to evaluate the effectiveness of security controls used within an organization. CBK 4: The primary goal of penetration testing is to simulate an attack on a system or network to evaluate the risk profile of an environment. AIO : Penetration testing is a method of evaluating the security of a computer system or network by simulating an attack that a malicious hacker would carry out.
    • 22.Which of the following is the MOST effective attack against cryptographic hardware modules? 下面哪个是针对加密硬件模块最有效的攻击方法？ A. Plain-text 明文攻击 B. Brute force 暴力破解 C. Power analysis 功耗分析 D. Man-in-the-middle (MITM) 中间人攻击 23.Which of the following is the BEST response to the auditor? 审计师在执行一次合规性审计，申请查看系统中加密的密码，以验证密码是否符合政策。 下列哪项是对审计师最好的回应？ A.Provide the encrypted passwords and analysis tools to the auditor for analysis. 提供加密的密码和分析工具给审计师进行分析 B.Analyze the encrypted passwords for the auditor and show them the results. 为审计师分析加密的密码，并给他们看结果 C.Demonstrate that non-compliant passwords cannot be created in the system. 演示不符合政策的密码不能在系统里创建。 D.Demonstrate that non-compliant passwords cannot be encrypted in the system. 演示不符合政策的密码不能在系统里加密。 24.Which of the following would be best suited to oversee the development of an information security policy? 下列哪一项将最适合监督信息安全策略的部署? A. System Administrators 系统管理员 B. Security administrators 安全管理员 C. Security Officers 安全官 D. Human resources 人力资源部 25.Which of the following is the PRIMARY benefit of standards-based compliance frameworks? 下面哪项是基于标准的合规框架的主要好处？ A.They identify gaps in existing controls. 他们识别了现有控制的差距 B.They reduce the need to audit the network. 他们减少了审计网络的需求 C.They require fewer resources. 他们需要更少的资源 D.They are easy to implement. 他们易于实施
    • 26.An information security manager implements mechanisms to perform reasonableness checks on types of information in designated fields. This is an example of which control? 信息安全经理实施一个机制来对指定字段的信息进行合理性检查。 这是以下哪种控制的例子？ A. IT General control IT通用控制 B. Availability control 可用性控制 C. Application control 应用控制 D. Output control 输出控制
      • 26
        • 业务负责的控制，包括：输入控制、处理过程中的控制、输出控制（编辑检查属于处理过程中的控制，包括：合理性检查、有效性检查、范围检查、顺序检查、逻辑检查…） D 应该是输入控制不是输出控制
    • 27.The intent of least privilege is to enforce the most restrictive user rights required 最小特权的意图是执行最严格的用户权限 A. To execute system processes. 用于执行系统流程 B. By their job description. 基于他们的工作描述 C. To execute authorized tasks. 用于执行授权任务 D. By their security role. 基于他们的安全角色 28.This is a common security issue that is extremely hard to control in large environments. It occurs when a user has more computer rights, permissions, and privileges that what is required for the tasks the user needs to fulfill. What best describes this scenario? 这是一个在大型环境中常见的非常难以控制的安全问题。它发生在当用户拥有超出完成任务需要的更多的计算机权利、许可和特权。这说的是？ A. Excessive Rights 过多的权利 B. Excessive Access 过多的访问 C. Excessive Permissions 过多的许可 D. Excessive Privileges 过多的特权
    • 29.Cryptography does not concern itself with: 密码学本身并不关注： A. Availability 可用性 B. Integrity 完整性 C. Confidentiality 机密性 D. Authenticity 真实性 30.Which of the following measures would be the BEST deterrent to the theft of corporate information from a laptop which was left in a hotel room? 下面哪一个措施能够最好地防范留在宾馆房间的笔记本电脑里的企业信息被窃取？ A.Lock the laptop in an in-room safe 将笔记本电脑锁在房间内的保险箱里 B.Use virtual desktop on the laptop 在笔记本电脑上使用虚拟化桌面 C.Use a cable lock on the laptop when it is unattended 在电脑无人看守时，使用笔记本线缆锁 D.Encrypt the data on the hard drive 加密硬盘上的数据 31.为了支持依赖于有风险的协议 (例如纯明文密码) 的遗留应用程序，下面哪个可以降低企业网络上的风险？ A.Implement strong centrally generated passwords to control use of the vulnerable applications. 实施集中生成的强密码来对易受攻击的应用程序的使用进行控制。 B.Implement a virtual private network (VPN) with controls on workstations joining the VPN. 实现一个VPN，并对加入VPN的工作站进行控制。 C.Ensure that only authorized trained users have access to workstations through physical access control. 通过物理访问控制，确保只有授权的经过培训的用户有权访问工作站。 D.Ensure audit logging is enabled on all hosts and applications with associated frequent log reviews. 确保打开了所有主机和应用程序的审计日志，并经常进行日志审查
      • 29
        • A 密码学不保护可用性
      • 30
        • D 加密是最好的方式
      • 31
        • B 一般在题干中出现网络中，在网络中等环境，就是需要VPN保护
    • 32.What is the MOST important purpose of testing the Disaster Recovery Plan (DRP)? 测试灾难恢复计划 (DRP) 最重要的目标是？ A.Evaluating the efficiency of the plan 评价计划的效率 B.Identifying the benchmark required for restoration 识别恢复的标杆 C.Validating the effectiveness of the plan 验证计划的效果 D.Determining the Recovery Time Objective (RTO) 决定恢复时间目标 (RTO) 33.Which of the following is a benefit of audit trails? 下面哪个是审计轨迹的好处 A. Accountability 可问责性 B. Confidentiality 机密性 C. Non-repudiation 抗抵赖性 D. Integrity 完整性 34.Which of the following is a security weakness in the evaluation of Common Criteria (CC) products? 下面哪个是通用标准 (CC) 产品评价的安全弱点？ A.The manufacturer can state what configuration of the product is to be evaluated 制造商可以声明产品的哪些配置是要被评价的 B.The product can be evaluated by labs in other countries 产品可以被其他国家的实验室来评价 C.The Target of Evaluation's (TOE) testing environment is identical to the operating environment 评价目标 (TOE) 的测试环境等同于运营环境 D.The evaluations are expensive and time-consuming to perform 执行评价是昂贵并耗时的 36.A subscription service which provides power, climate control, raised flooring, and telephone wiring but NOT the computer and peripheral equipment is BEST described as a 一个维护服务，提供了电力、温度控制、高架地板和电话线，但是没有计算机和相关外设的场所，最好形容为 A. hot site 热站 B. cold site 冷站 C. warm site 温站 D. reciprocal site 互惠站点 37.Early in an incident response investigation, network surveillance can be used to 在事件响应调查的早期，网络监视可以用来 A.prevent future incidents. 预防未来的事件 B.confirm or dismiss suspicions about an incident. 确认或解除对事件的怀疑 C.map the network and all trusted relationships. 映射网络和所有可信的关系 D.ensure compliance with usage policies. 确保使用策略的合规
      • 34
        • 通用准则CC CC将评估过程划分为功能和保证两部分，评估等级分为EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7共七个等级。每一级均需评估7个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估。 从EAL1到EAL7一共有7个等级。等级越高，表示通过认证需要满足的安全保证要求越多，系统的安全特性越可靠。EAL不衡量系统本身的安全性，只表示测试的严格程度。实现特定的EAL等级，产品或系统需要满足特定的安全保证要求。大多数要求包括设计文档、设计分析、功能测试、穿透测试。等级越高，需要越详细的文档、分析和测试。一般实现更高的EAL认证，需要耗费更多的时间和金钱。通过特定级别的EAL认证，表示产品或系统满足该级别的所有安全保证要求。 通用准则在评估过程中使用了保护样板。保护样板描述了对环境的假设、目标以及功能性和保障级别期望。 评估过程只是判断产品功能和保证的一个方面。一旦害怕获得了特定的评级，它只适用于特定的版本，只适用于该产品的某种配置。因为会受限产品部署的环境、配置限制，评估环境是一个最理想状态的评价，也只是针对某款产品。 通用准则的不同组成部分： 保护样板：描述所需的安全解决方案 评估目标（TOE）：提供所需安全解决方案的建议产品 安全目标（ST）：供应商的书面说明，解析满足所需安全解决方案的安全功能和保证机制。 安全功能要求（PP）：产品必须提供的每一个安全功能。 安全保证要求：在对产品开发和评估过程中，为保证合乎所声称的安全功能的规定而采取的措施。 数据包（EAL）：把功能和保证需求封装起来，以便今后使用。这部分详细描述要实现特定EAL评级所必须满足的要求。 EAL保障等级 评估保障级别(EAL)：描述评定TOE保障要求满足情况的尺度，EAL级别大致代表了IT产品的安全功能的质量水平。EAL等级越高，表明质量水平越高，需要越详细的文档、分析和测试来提供质量水平的证明，产品的研发保证过程需要耗费更多的时间和金钱。从EAL1到EAL7一共有7个等级，等级越高，表示通过认证需要满足的安全保证要求越多，系统的安全特性越可信。 (1) 评估保证级1(EAL1)——功能测试； (2) 评估保证级2(EAL2)——结构测试； (3) 评估保证级3(EAL3)——系统地测试和检查； (4) 评估保证级4(EAL4)——系统地设计、测试和复查； (5) 评估保证级5(EAL5)——半形式化设计和测试； (6) 评估保证级6(EAL6)——半形式化验证的设计和测试； (7) 评估保证级7(EAL7)——形式化验证的设计和测试。
    • 35.What type of protection method is illustrated in the graphic that follows? 下图中展示的是哪种保护方法？ A. Polymorphism 多态性 B. Polyinstantiation 多实例 C. Cohesiveness 内聚 D. Object classes 对象类
    • 38.The concept that all accesses must be meditated, protected from modification, and verifiable as correct is the concept of 所有的访问必须被考虑，防止修改并验证其正确性，这说的是： A. Secure model 安全的模型 B. Security locking 安全锁定 C. Security kernel 安全内核 D. Secure state 安全的状态
      • 38
        • 安全内核
    • 39.Which of the following ensures that security is not breached when a system crash or other system failure occurs? 下面哪个确保了当系统崩溃或其他系统错误发生时，安全不会被违反？ A. trusted recovery 可信恢复 B. hot swappable 热插拔 C. redundancy 冗余 D. secure boot 安全的启动 40.A 'Pseudo flaw' is which of the following? “伪错误”指的是下面哪项？ A.An apparent loophole deliberately implanted in an operating system 故意在一个操作系统中植入一个明显的漏洞 B.An omission when generating Pseudo-code 产生伪代码时的遗漏 C.Used for testing for bounds violations in application programming 应用程序编程时用来测试越界侵犯 D.A Normally generated page fault causing the system halt 通常产生的页面故障，导致系统停机 41.Which of the following is MOST important when deploying digital certificates? 下面哪项是在部署数字证书时最重要的？ A.Validate compliance with X.509 digital certificate standards 验证符合X.509数字证书标准 B.Use a third-party Certificate Authority (CA) 使用第三方CA C.Establish a certificate life cycle management framework 建立证书的生命周期管理框架 D.Use no less than 256-bit strength encryption when creating a certificate 创建证书时使用不少于256位长度的加密算法 42.Which of the following should NOT be a role of the Security Administrator? 下列哪一项不是安全管理员的任务 A. Authorizing access rights 授权访问权限 B. Implementing security rules 实施安全规则 C. Ensuring that local policies have been authorized by management 确保地方政策已经授权管理 D. Allocating access rights 分配访问权限 43.What is the PRIMARY purpose of using a web-based Transport Layer Security (TLS) certificate signed by a trusted Certificate Authority (CA)? 使用基于Web的由可信CA签发的TLS证书的主要目的是？ A.To ensure a reasonable strength of cryptographic key and algorithm 为了确保合理的密钥和算法长度 B.To ensure that clients can connect with many different types of browsers 为了确保客户端可以连接到多个不同类型的浏览器 C.To allow clients to reasonably authenticate the identity of the server 为了允许客户端能够合理的验证服务器的身份 D.To allow the server to authenticate the clients connecting via browsers 为了允许服务器能够验证通过浏览器连接的客户端的身份 44.Which choice MOST accurately describes a business continuity program? 下面哪个最准确的描述了一个业务连续性计划？ A.Ongoing process to identify the impact of potential losses and maintain viable recovery. 一个持续的过程，来确定潜在损失的影响，以及维持可行的恢复 B.Ongoing process to identify the mission, vision, and strategic goals of the organization. 一个持续的过程，来确定组织的任务、愿景和战略目标 C.Ongoing analysis of the effects of a disaster on physical, economic, and natural resources. 一个持续的分析，对于物理、经济和自然资源灾难的影响 D.Ongoing testing of plans that allows for rapid recovery during system interruption and data loss. 对计划的持续测试，允许在系统中断或数据丢失时进行快速恢复 45.The Common Criteria construct which allows prospective consumers or developers to create standardized sets of security requirements to meet their needs is 通用准则(CC)创建了下面哪项，允许潜在的消费者或开发者能够创建一套标准化的安全要求来满足需要 A. a Protection Profile (PP) 保护轮廓 B. a Security Target (ST) 安全目标 C. an evaluation Assurance Level (EAL) 评价保障等级 D. a Security Functionality Component Catalog (SFCC) 安全功能组件目录 46.Which of the following is the MOST important requirement to include in a contract if the vendor will be outsourcing some of the Information Technology (IT) support functions through a subcontracting arrangement? 如果供应商通过子合同将一些IT支持功能分包，下列哪一项是包括在合同中最重要的要求？ A.Subcontractor security provisions are the same as the main contract. 分包商合同的安全条款和主合同是一样的 B.Subcontractors sign Non-Disclosure Agreements (NDA). 分包商签署保密协议 C.Subcontractor contact information is included in the main contract. 分包商联系信息应包括在主合同中 D.Subcontractors must pass a background check. 分包商必须通过背景调查
      • 40
        • Pseudo flaw
    • 47.Why MUST the Kerberos server be well protected from unauthorized access? 为什么Kerberos服务器必须得到很好的保护，防止非授权访问？ A.It contains the keys of all clients. 因为它包含了所有客户的密钥 B.It always operates at root privilege. 因为它总是在root权限下操作 C.It contains all the tickets for services. 因为它包含了服务的所有票据 D.It contains the Internet Protocol (IP) address of all network entities. 因为它包含了所有网络设备的IP地址 48.Type II errors occur when which of the following biometric system rates is high? 下面哪个是生物识别系统的第二类错误？ A. False accept rate 错误接受率 B. False reject rate 错误拒绝率 C. Crossover error rate 交叉错误率 D. Speed and throughput rate 速度和吞吐率 49.In the world of keystroke dynamics, what represents the amount of time it takes a person to switch between keys? 在击键动力学中，什么代表了一个人在按键之间切换的时间量？ A. Dynamic time 动态时间 B. Flight time 飞行时间 C. Dwell time 停留时间 D. Systems time. 系统时间 50.Which of the following helps security professionals select security products and services which are consistent with the organization's goals? 下面哪个可以帮助安全人员选择安全产品和服务，使其保持和公司的目标一致？ A.Choosing the lowest cost solution 选择最低成本的方案 B.Observing local laws and regulations 遵从本地的法律和法规 C.Identifying vendor specifications and contract agreements 识别供应商规格说明书和合同协议 D.Interviewing business process owners 与业务流程所有者面谈 51.Why is authentication by ownership stronger than authentication by knowledge? 为什么基于拥有什么的验证比知道什么的验证强度高？ A. It is simpler to control. 更加易于控制 B. It is more difficult to duplicate. 复制更加困难 C. It can be kept on the user's person. 可以由用户个人保存 D. It is easier to change. 更加容易变更 52.Which one of the following is an example of electronic piggybacking? 下面哪个是电子尾随攻击的例子？ A.Attaching to a communications line and substituting data. 附在通信线路上并替代数据 B.Abruptly terminating a dial-up or direct-connect session. 突然终止拨号或直接连接会话 C.Following an authorized user into the computer room. 跟随一个授权用户进入计算机室 D.Recording and playing back computer transactions. 录制并回放计算机交易 53.Which is not one of the primary goals of BIA? 哪项不是BIA的主要目标之一？ A.Criticality Prioritization 关键性优先级分级 B.Down time estimation 宕机时间预测 C.Determining requirements for critical business functions 决定关键业务功能的需求 D. Deciding on various test to be performed to validate Business Continuity Plan 决定执行各种测试来验证业务连续性计划 54.A system using Discretionary Access Control (DAC) is vulnerable to which one of the following attacks? 使用自主访问控制 (DAC) 的系统，容易受到下面哪种攻击？ A. Trojan horse 木马 B. Phreaking 盗用电话线路 C. Spoofing 欺骗 D. SYN flood SYN洪水 55.Which access control model enables the owner of the resource to specify what subjects can access specific resources? 哪种访问控制模型让资源的所有者来定义什么主体可以访问特定资源？ A. Discretionary Access Control 自主访问控制 B. Mandatory Access Control 强制访问控制 C. Sensitive Access Control 敏感访问控制 D. Role-based Access Control 基于角色的访问控制 56.Redundant Array of Independent Disks (RAID) 5 minimizes write bottlenecks by 廉价冗余磁盘阵列 (RAID5) 通过什么最小化了写的瓶颈？ A.using one drive in the array to store parity information. 使用阵列的一个磁盘来存储奇偶校验信息 B.using a larger stripe depth of two blocks instead of one. 使用两块大的条带深度，而不是一个 C.utilizing error correction code capabilities. 使用错误纠正码的能力 D.distributing parity stripes over a series of drives. 分发奇偶校验条带到一系列磁盘
      • 47
        • A KDC包含所有用户的用户名和密码
      • 50
        • D 与业务所有者沟通才可以
      • 52
        • A 排除法 B是回拨 call-back C是物理尾随 D是重放攻击
      • 54
        • A DAC容易收到社会工程和木马攻击
      • 55
        • • 自主访问控制模型 (DAC)
            • 数据所有者自主决定谁能访问数据 基于用户和资源标识 直接面向用户进行限制
            • 面临问题:木马、社会工程
          • 强制访问控制模型 (MAC)
            • MAC依赖于安全标签(敏感标签) 安全级别较高场合:军队/政府机构 (客体有分级 security classification)， 同时只允许高于客体级别的用访问 (主体有许可 scrurity clearance) (固有属性)
            • 只有管理员可以更改客体级别，而不是数据所有者(data owner)
          • 基于角色访问控制模型 (RBAC)
            • 使用集中访问控制决定主客体的访问 ，建立在用户角色的基础上
            • 基于工作职责的权限分配，可以和组织结构关联，用户或组对应角色，赋予角色某些权限 最小特权：这种方法通过防止权限蔓延来帮助实施最小特权原则。 权限蔓延是用户随着角色和访问需求的变化而逐渐积累特权的趋势。
            • 类别
              • 核心RBAC：用户、角色、权限、操作和会话，应根据策略进行定义和对应
              • 层次化RBAC
                • 角色关系定义了用户成员和权限集成 反应组织机构和功能描述
                • 有限层次---单角色继承 普通层次---多角色继承
              • 受限RBAC
                • 引入职责分离
                • RBAC中的静态职责分离
                  • 示例:会计和出纳，防止欺诈
                • RBAC中的动态职责分离
                  • 根据激活的会话中的角色，动态限制另外的职责分离的权限
          • 基于规则的访问控制 (RuBAC)
            • 基于 if x then y
            • 使用特定的规则来指示主体和对象之间能发生什么以及不能发生什么。 基于规则的访问控制不一定是基于身份的。 许多路由器和防火墙使用规则来确定哪些类型的数据包被允许进入网络/被拒绝。
          • (ABAC)基于属性的访问控制
            • 新型的访问控制，解决RBAC的不足， 每个资源和用户都赋予一系列属性，基于对用户属性的比较评估， 比如时间、职务和位置，来确定该用户是否能访问某个资源。
            • 更细颗粒度
      • 56
        • RAID
          • 各种raid
          • RAID 3 and 4
            • RAID 3的字节级和RAID 4的块级校验 需要三个或更多驱动器才能实现。 条带化
            • 奇偶校验盘
              • 奇偶校验信息写在一个盘上
              • 奇偶校验驱动器是阿喀琉斯之踵，因为它可能成为瓶颈，通常会比其他驱动器 更早出现故障。
    • 57.Well-formed transactions and Separation of Duties (SoD) are mechanisms used in which of the following security models? 下面哪个安全模型使用了良好形式交易和职责分离的机制？ A. Chinese Wall 中国墙模型 B. Bell-LaPadula 贝尔-拉普杜拉模型 C. Clark-Wilson 克拉克-威尔逊模型 D. Biba 比巴模型 58.Which security access policy contains fixed security attributes that are used by the system to determine a user's access to a file or object? 哪个安全访问策略包含固定的安全属性，系统用来确定用户对文件或对象的访问？ A. Mandatory Access Control (MAC) 强制访问控制 B. Discretionary Access Control (DAC) 自主访问控制 C. Access Control List (ACL) 访问控制列表 D. Authorized user control 授权用户控制 59.Which of the following are MOST critical for a security manager to possess? 下面哪项是安全经理拥有的最关键技能？ A.Effective communication skills, strategic planning skills, and an understanding of organizational processes 有效的沟通技巧，策略规划技巧，以及对组织流程的理解 B.Good technical skills, project management expertise, and a strong audit background 良好的技术技能，项目管理经验，强大的审计背景 C.Compliance experience, formal management training, and network operations abilities 合规经验，正式的管理培训，和网络运维能力 D.Skills development capabilities, application development experience, and good people skills 技巧开发能力，应用开发经验和良好的人际交往能力 60.Which one of the following is the core element of a Trusted Computing Base (TCB)? 下面哪项是可信计算基TCB的核心要素？ A. Trusted path 可信路径 B. Security kernel 安全内核 C. Operating system 操作系统 D. Trusted computing system 可信计算系统 61.Mandatory Access Controls (MAC) are based on 强制访问控制 (MAC) 是基于 A.security classification and security clearance. 安全分级和安全许可 B.data labels and user access permissions. 数据标签和用户访问权限 C.user roles and data encryption. 用户角色和用户加密 D.data segmentation and data classification. 数据分段和数据分类
    • 62.Which one of the following would be the MOST important component in negotiating an Internet Service Provider (ISP) Service Level Agreement (SLA) by a company that solely provides Voice over Internet Protocol (VoIP) services? 下列哪一个将是与只提供VoIP服务的公司协商互联网服务提供商 (ISP) 服务水平协议 (SLA) 的最重要的组成部分？ A. Guaranteed throughput level 确保吞吐量水平 B. Quality of service of applications 应用程序的服务质量 C. Availability of network services 网络服务的可用性 D. Response time to repair 维修响应时间 63.Why are international data transfers complicated? 为什么国际数据传输是比较复杂的？ A.Some nations subscribe to international conventions. 一些国际签署了国际公约 B.Rights of a nation in a jurisdiction are enforceable in all jurisdictions. 一个国家司法的权限在所有司法管辖区执行 C.Patent, copyright, and trade secret laws are not standardized. 专利、版权和商业秘密法律不是标准的 D.Rights of a nation to enforce in one jurisdiction apply in all jurisdictions. 一个国家在一个司法管辖区执行的权利应用到所有管辖区
      • 62
        • C VOIP依赖网络
      • 63
        • C 每个国家的法律不同
    • 64.A large online media organization is protected by firewalls, Intrusion Detection Systems (IDS), and antivirus solutions. Fraud is suspected to be occurring with public user accounts. What would be the BEST solution to confirm the fraud? 一个大的在线媒体组织通过防火墙、入侵检测系统和防病毒解决方案来进行保护。怀疑发生了与公众用户账户相关的欺诈行为。下面哪个是确认该欺诈的最好的解决方案？ A.Implement logging in the web application 实施Web应用程序级的日志 B.Review firewall logs regularly 常规检查防火墙日志 C.Verify web server patches are up-to-date 确认Web服务器补丁是最新的 D.Implement strong authentication for all users 实施所有用户的强验证 65.Which of the following are functions that are compatible in a properly segregated environment? 下面哪个是在一个正确职责分离的环境中可以兼容的职能？ A. Data entry and job scheduling 数据录入和作业调度 B. Database administration and systems security 数据库管理和系统安全 C. Systems analyst and application programming 系统分析和应用编程 D. Security administration and systems programming 安全管理和系统编程 66.一个来访的计算机科学家发现了大学的大型主机中的错误，可以使他们能够收集其他用户ID，访问他们的文件，他们的账单计算时间。在几个星期内，他们搜集了大量的用户ID，但从未访问他们的文件或票据的时间。临走时，科学家向同事揭示了这些发现，同事汇报了这些发现。根据 (ISC) 2道德规范，以下那个是正确的？ A.The act was ethically neutral because no one was harmed, privacy was not violated, and time was not fraudulently billed. 该行为是道德上中立，因为没有人收到伤害，没有侵犯隐私，没有欺诈收费时间。 B.The act was ethically wrong because the scientist did not immediately reveal the system flaw so steps could be taken to eliminate the vulnerability. 该行为道德上错误，因为该科学家没有马上揭示系统错误，使得可以采取步骤消除漏洞 C.The act was ethically correct because the scientist provided evidence of a system flaw that might have otherwise gone undetected. 该行为道德上是正确的，因为科学家提供了系统缺陷的证据，否则有可能未被发现。 D.The act was ethically wrong because the scientist made widely known a system flaw and increased the likelihood of further system abuse. 该行为道德上是错误的，因为科学家使得系统缺陷广为人知，增加了系统进一步滥用的可能性。 67.A customer of a financial institution denies that a transaction occurred. Which of the following is used to provide evidence that the customer performed the transaction? 金融机构的一个客户拒绝承认一个交易的发生。下面哪一个用来提供客户执行了交易的证据？ A. Authorization controls 授权控制 B. Two-factor authentication 双因素认证 C. Non-repudiation controls 抗抵赖控制 D. Access audit 访问审计 68.Which one of the following BEST protects vendor accounts that are used for emergency maintenance? 下面哪一个最好地保护了用来做应急维护的供应商账户？ A.Vendor access should be disabled until needed 供应商访问应当被禁用，需要时再激活 B.Frequent monitoring of vendor access 经常监控供应商的访问 C.Role Based Access Control (RBAC) 基于角色的访问控制 D.Encryption of routing tables 路由表加密 69.The International Data Encryption Algorithm (IDEA) encryption standard implements which of the following? 国际数据加密算法 (IDEA) 加密标准实施了下面哪个选项？ A. Variable key length cipher 可变密钥长度加密 B. Block cipher 分组加密 C. Digital Signature Standard (DSS) 数字签名标准 (DSS) D. Digital Signature Algorithm (DSA) 数字签名算法 (DSA) 70.Which of the following would be the FIRST step to take when implementing a patch management program? 在实施补丁管理程序时，应当第一步执行下面哪一项？ A.Perform automatic deployment of patches. 执行自动补丁部署 B.Monitor for vulnerabilities and threats. 监控漏洞和威胁 C.Prioritize vulnerability remediation. 漏洞修补方案优先级分级 D.Create a system inventory. 创建系统清单
    • 71.A business continuity plan is an example of which of the following? 业务连续性计划是下面哪个控制的例子？ A. Corrective Control 纠正性控制 B. Detective Control 检测性控制 C. Preventive Control 预防性控制 D. Compensating Control 补偿性控制
      • 71
        • A BCP是检测性控制 补偿性控制：补偿性控制需要相对于主控制而言，需要先有一个措施
    • 72.Who is responsible for the security and privacy of data during a transmission on a public communications link? 谁对在公网链路上传输数据的安全性和隐私性负责？ A. The carrier 运营商 B. The sending 发送者 C. The receiving party 接收者 D. The local service provider 本地服务商 73.Which of the following best provides e-mail message authenticity and confidentiality? 下面哪个最好地提供了电子邮件信息的真实性和机密性？ A.Signing the message using the sender's public key and encrypting the message using the receiver's private key 使用发送者的公钥签名信息，并使用接收者的私钥加密信息 B.Signing the message using the sender's private key and encrypting the message using the receiver's public key 使用发送者的私钥签名信息，并使用接收者的公钥加密信息 C.Signing the message using the receiver's private key and encrypting the message using the sender's public key 使用接收者的私钥签名信息，并使用发送者的公钥加密信息 D.Signing the message using the receiver's public key and encrypting the message with the sender's private key 使用接受者的公钥签名信息，并使用发送者的私钥加密信息 74.Which of the following are PRIMARY elements that are required when designing a Disaster Recovery Plan (DRP)? 下面哪个是在设计灾难恢复计划 (DRP) 时，需要考虑的主要因素？ A.Back-up procedures, off-site storage, and data recover. 备份程序，异地存储，和数据恢复 B.Steering committee, emergency response team, and reconstruction team. 指导委员会，应急响应团队和重建团队 C.Impact assessment, recover strategy, and testing. 影响评估，恢复战略和测试 D.Insurance coverage, alternate site, and manual procedures. 保险覆盖，备份站点和人工程序 75.Which of the following is an example of a Time of Check/Time of Use (TOC/TOU) problem? 下面哪个是 检查时间/使用时间 (TOC/TOU) 问题的实例？ A.A user whose profile has been revoked logs on using the password of a valid user of the system. 已经被撤销概要的用户使用系统有效用户的密码来登陆 B.A user logs on with a valid profile which is revoked without termination of the session. 用户使用一个正确的概要登陆，该概要在撤销时没有终结会话 C.A user session is terminated immediately after the user profile is revoked. 用户的概要撤销后，用户的会话立即终止 D.A user session is not validated until after the log on. 只有在登陆以后，用户会话才被确认有效 76.Which of the following statements pertaining to dealing with the media after a disaster occurred and disturbed the organization's activities is incorrect? 下面哪一个关于在灾难发生并扰乱了组织的活动后，如何处理媒体关系的描述是不正确的？ A.The CEO should always be the spokesperson for the company during a disaster 在灾难时，CEO应该一直是公司的发言人 B.The disaster recovery plan must include how the media is to be handled during the disaster 灾难恢复计划必须包括灾难发生时如何处理媒体关系 C.The organization's spokesperson should report bad news before the press gets a hold of it through another channel 组织的发言人应该在媒体记者从另外的渠道了解之前，报告坏消息。 D.An emergency press conferepnce site should be planned ahead 应当提前规划一个紧急新闻发布会站点 77.为了让组织的安全策略有效，策略必须包括： A.对不合规的惩戒措施 B.明确定义问题的声明 C.所有适用于策略的标准的清单 D.策略文档的所有人和更新日期
    • 78.一家企业的文档管理系统中对文档实施了分级管理系统，以下哪一项是保护分级文档机密性的最佳控制？ A.要求访问文档系统的人员签订保密协议(NDA) B.使用入侵检测系统(IDS)防止对文档的未授权访问 C.进行日志评审，对发现的违规文档访问进行调查 D.防止拥有高安全级别访问权限的人员将文档保存到低安全级别区域
      • 78
        • D 题干中考察的机密性，依照BLP规则所以选D
    • 79.应用级代理防火墙的主要特点是？ A.逻辑简单，成本低，易于安装使用 B.很难识别IP欺骗，安全性较低 C.使用规则导致性能下降 D.日志记录有限，安全性较低 80.网络安全评估能起到什么作用？ A.检查网络是否与行业标准相符合 B.准确衡量控制的有效性 C.识别所有网络中的漏洞 D.防止渗透测试导致网络失效 81.根据数据分级的策略，数据的所有者是？ A.最终用户 B.业务经理 C.安全经理 D.IT主管 82.测试BCP的恰当时机是？ A.当环境发生变化时 B.在进行信息系统审计前 C.在安装了安全补丁后 D.在新系统上线后
    • 83.软件工程师编写了一个能生成多态病毒的工具，用于在受控的环境下测试公司的病毒扫描工具。该行为是？ A.道德的，因为这个工具有助于验证病毒扫描工具的有效性 B.道德的，因为任何有经验的程序员都能够创建这样的工具 C.不道德，因为该工具有可能被传播到互联网上 D.不道德，因为生成任何种类的病毒都是有害的 84.评价组织的漏洞管理程序是否有效的最佳方法是： A.自动漏洞扫描 B.评审自动补丁部署报告 C.定期由安全团队进行漏洞扫描 D.定期进行第三方漏洞评估 85.攻击者侵入企业内部网络后安装了嗅探器，如果企业之前实施了以下哪一项措施，就能有效防止攻击者获取更多信息？ A.实施包过滤防火墙 B.安装基于主机的入侵检测系统 C.用交换机实施逻辑网络分段 D.实施强身份验证技术 86.变更管理文档中最重要的一项是？ A.商业论证 B.利益相关方沟通 C.实施的变更数量 D.涉及的组件清单
      • 83
        • A
      • 85
        • C VLAN隔离
      • 86
        • A 准确的说是业务论证
    • 87.要提升用户安全意识，要怎么培训? A.给员工群发邮件，提醒每日安全热点 B.安排员工参加安全意识培训 C.强制员工定期进行培训学习 D.将新培训材料融入安全意识培训 88.关于点到点微波传输的正确的说法是？ A.因为采用了多路复用技术，所以不容易被拦截侦听 B.因为有加密，所以不容易被拦截侦听 C.容易被拦截侦听 D.是否被拦截侦听取决于信号强度 89.在生命周期的开发阶段，推荐的渗透测试的方法是： A.黑盒测试 B.白盒测试 C.软件模糊测试 D.可视化测试 90.开放设计的原则是？ A.安全机制不应该依赖于设计和实施的保密性 B.掌握技能的用户应该被限制特权，以防止其损害安全 C.应该保护算法，以确保设计的系统的安全性和互操作性 D.分解、分析、反向工程能够揭示计算机系统的安全功能 91.两家公司想要在网上共享电子订单和电子库存记录，最佳的安全方案是？ A.在两家公司配置边界防火墙 B.让两家公司签订服务级别协议(SLA) C.为两家公司建立FTP文件传输连接 D.为两家公司建立VPN连接
    • 92.通过SDN实现网络虚拟化通常需要完成三部分工作，包括： A.物理网络管理，网络资源虚拟化和网络隔离 B.物理网络管理，网络配置管理和网络隔离 C.物理网络管理，网络资源虚拟化和网络配置管理 D.网络配置管理，网络资源虚拟化和网络隔离 93.哪种服务组织控制 (SOC) 报告可以自由分发，供客户使用，以便客户获得对服务组织系统的信心？ A. SOC 1 类型 1 B. SOC 1 类型 2 C. SOC 2 D. SOC 3 94.阅读以下步骤： * 执行频繁的数据备份。 * 执行测试恢复以验证备份数据的完整性。 * 离线或在单独的服务器上维护备份数据。 这些步骤可以帮助组织从什么中恢复？ A. 网络钓鱼攻击 B. 授权错误 C. 勒索软件攻击 D. 被盗的加密密钥 95.PCI DSS 框架没有要求以下哪类控制？ A. 实施强资产控制协议。 B. 实施强访问控制措施。 C. 维护信息安全政策。 D. 维护漏洞管理计划。 96.以下哪项决定了应用于安全风险的安全控制的数量和复杂性？ A. 安全漏洞 B. 成本效益 C. 风险承受能力 D. 风险缓解 97.安全专业人员正在评估应用程序中的风险，并且没有考虑任何缓解或补偿控制。此类风险评级是以下哪项的示例？ A. 转移风险 B. 固有风险 C. 残余风险 D. 规避的风险 98.将资产所有权分配给部门时，以下哪项最重要？ A. 部门应向企业主报告 B. 应定期审查资产的所有权 C. 应确保个人问责制 D. 所有成员都应接受有关其职责的培训 99.对SSD固态硬盘的最佳的净化方法是： A.覆写 B.消磁 C.加密 D.粉碎
      • 92
        • B 记住
      • 95
        • A PCI DSS，全称为Payment Card Industry Data Security Standard（支付卡行业数据安全标准），是由支付卡行业安全标准委员会（PCI Security Standards Council）制定的一套安全标准，旨在保护信用卡信息免受欺诈和数据泄露的威胁。PCI DSS适用于所有存储、处理或传输持卡人数据的实体，无论其规模大小。 PCI DSS的最新版本是4.0，这一版本引入了一些更新和增强的安全措施，以应对不断变化的威胁环境。PCI DSS的核心要求包括： 建立和维护安全网络和系统 安装和维护防火墙配置以保护持卡人数据。 不使用供应商的默认设置，例如默认密码和安全参数。 保护持卡人数据 加密传输中的持卡人数据。 加密存储在系统中的持卡人数据。 保护存放在物理环境中的持卡人数据。 维护一个防病毒程序 安装防病毒软件并定期更新病毒定义和软件。 实施强大的访问控制措施 分配唯一ID给拥有系统访问权限的每个人。 限制物理和逻辑访问至持卡人数据。 加强访问权限的管理，包括定期审查和撤销离职员工的访问权限。 定期监控和测试网络 使用入侵检测和预防系统。 定期进行系统和网络的漏洞扫描和渗透测试。 维护信息安全管理政策 实施书面的信息安全管理政策和程序。 传达安全政策给所有相关人员，包括员工和承包商。
      • 97
        • B 记住 参与风险是控制措施实施之后的
      • 98
        • C 问责制
    • 100.哪种技术可以成功隐藏发件人的IP地址，用于欺骗电子邮件来源？ A. 虚拟专用网 (VPN) Virtual Private Network B. 更改回复数据 Change In-Reply-To data C. 洋葱路由 Onion routing D. 网络爬取 Web crawling 101.具有IP地址10.102.10.2 的系统的物理地址为 00:00:08:00:12:13:14:2f。将以下静态条目添加到地址解析协议(ARP)表中：10.102.10.6 : 00:00:08:00:12:13:14:2f。这可能是什么形式的攻击？ A. 针对网关路由器的拒绝服务(DoS)攻击，因为路由器不再接受来自10.102.10.2的数据包 B. 针对10.102.10.2的拒绝服务(DoS)攻击，因为它无法正确响应ARP请求 C. 阻止10.102.10.6地址解析的传输层攻击 D. 将用于10.102.10.6的数据包发送到10.102.10.2 的伪装攻击 102.以下哪种攻击依赖于先攻破次要目标，再攻破主要目标？ A. 鱼叉式网络钓鱼 B. 地址解析协议(ARP)中毒 C. 水坑攻击 D. 暴力破解 103.以下哪项是点对点协议(PPP)可以使用的对等实体身份验证方法？ A. 质询-响应验证机制 (Challenge-Response) B. 消息验证码 (MAC) C. 质询握手验证协议 (CHAP) D. 传输层安全 (TLS) 握手协议 104.对于联合身份解决方案，第三方身份提供者 (IdP) 主要负责以下哪项？ A. 访问控制 Access Control B. 账户管理 Account Management C. 认证 Authentication D. 授权 Authorization 105.进行内部安全审计的主要目的是什么？ A. 验证所有系统和标准操作程序(SOP)均已正确记录 B. 验证所有支持系统的人员都了解他们的职责 C. 验证是否按照最佳实践建立了安全控制 D. 验证适用的安全控制措施已实施且有效 106.安全团队需要针对前端面向外部的应用程序执行接口测试，并且需要验证所有输入字段是否可以防止无效输入。以下哪项最有助于此过程？ A. 应用程序模糊测试 Application fuzzing B. 指令集模拟测试 Instruction set simulation C. 回归测试 Regression testing D. 健全性测试 Sanity testing 107.以下哪项是及时安装软件补丁最重要的原因？ A. 补丁仅在特定时间可用 B. 补丁可能与专有软件不兼容 C. 攻击者对补丁进行逆向工程利用漏洞 D. 攻击者可能正在进行网络分析 108.最大可容忍停机时间 (MTD) 决定什么？ A. 在客户受到影响之前，关键业务数据库可以保持关闭的估计时间段。 B. 公司在没有任何灾难恢复计划的情况下可以承受灾难的固定时间长度 C. 企业可以保持中断的估计时间段，超过该时间段可能永远无法恢复 D. 在使用冗余系统之前，灾难恢复过程中的固定时间长度 109.以下哪个因素导致有线等效隐私 (WEP) 协议的弱点？ A. WEP 使用小范围初始化向量 (IV) B. WEP 使用MD5消息摘要 C. WEP 使用 Diffie-Hellman 算法 D. WEP 没有使用初始化向量 (IV) 110.在以下哪个流程中为用户帐户实施了最小特权 (least privilege) ？ A. 配置 Provision B. 批准 Approve C. 请求 Request D. 审查 Review 111.使用在线证书状态协议 (OCSP) 的动机是什么？ A. 控制对证书撤销列表 (CRL) 请求的访问 B. 返回证书撤销列表 (CRL)的查询结果 C. 更快地查询符合X.500标准的数字证书的撤销状态 D. 及时提供对证书查询的最新响应 112.通常，面向Internet的服务器应放置在非军事区 (DMZ)。 DMZ的主要目的是什么？ A. 减轻与暴露的服务器相关的风险。 B. 为服务器准备应对潜在的攻击。 C. 降低内部系统的风险。 D. 绕过防火墙的需要。
    • 113.当道德黑客不了解目标系统但在测试前通知测试目标时，正在执行哪种类型的安全测试？ A. 反向 B. 灰盒 C. 盲测 D. 白盒 114.渗透测试最常发生在： A．设计阶段 B．开发阶段 C．验收阶段 D．操作和维护阶段 115.以下哪个不是防御 CSRF 攻击的策略： A．在请求地址中添加 token 并验证 B．验证 HTTP Referer 字段 C．在 HTTP 头中自定义属性并验证 D．在HTTP头部加入消息验证码
      • 113
        • C
      • 114
        • D •运行（Operation）/维护（Maintenance）阶段： ＞ 系统在实施阶段应该有关于系统硬件、软件以及固件配置的基线 ＞ 在运行和维护阶段必须有持续的监控措施以保障符合这些基线； ＞ 定义配置管理和变更控制程序帮助系统满足系统的基线要求； ＞ 应该在此阶段执行漏洞评估以及渗透测试 • 废弃（Disposal）阶段 ＞ 当系统不再提供所需的功能时，应开发系统及其数据如何迁移的计划； ＞ 数据可能会被迁移到别的系统、或者归档、废弃或者销毁等； ＞ 包括信息、介质以及软硬件的销毁。
      • 115
        • D 消息验证码MAC不能被加到HTTP头部
          • 各种攻击的防御：
            • 防范缓冲区溢出的方法包括： 保护缓冲区：通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码。‌ 编写安全的代码：程序员在编写代码时，应注意检查和限制用户输入的长度和格式，避免数据超出缓冲区的范围。‌ 利用编译器的边界检查：使得缓冲区溢出不可能出现，从而完全消除缓冲区溢出的威胁。 使用安全编程工具和技术：如地址空间布局随机化，增加程序的抵抗能力。
            • XSS： 限制输入长度和类型：对于用户提交的任何数据，都应严格限制其长度和类型，防止攻击者插入过长的恶意脚本或尝试绕过验证。特殊字符过滤：对于像<, >, &, "等可能导致HTML或JavaScript代码执行的特殊字符，应进行严格的过滤或转义处理。 白名单验证：采用白名单机制，只允许已知的、安全的字符或格式通过验证，任何不在白名单内的内容都应被拒绝。 设置安全HTTP响应头：X-Content-Type-Options: nosniff：这个响应头可以防止浏览器猜测响应的MIME类型，从而减少潜在的XSS风险。 Content-Security-Policy (CSP)：CSP可以限制页面可以加载和执行的外部资源，防止恶意脚本被注入或执行。开发者应设置严格的CSP策略，仅允许可信的来源加载资源。 使用HttpOnly属性的Cookie：将Cookie设置为HttpOnly属性，这样JavaScript就无法访问它，从而防止攻击者通过XSS攻击窃取Cookie。 开发者应定期更新应用程序及其依赖的库和框架，以确保利用已知漏洞的攻击无法成功。同时，应密切关注安全公告和漏洞信息，及时修补已知的安全漏洞。 教育和培训：对开发人员进行Web安全培训，提高他们的安全意识，使他们了解并遵循最佳的安全实践。 使用Web应用防火墙（WAF）：WAF可以帮助检测和拦截潜在的XSS攻击。它可以分析请求和响应数据，查找恶意代码或攻击模式，并进行拦截或告警。
            • CSRF： 防范CSRF攻击的措施主要包括使用随机令牌、‌利用HTTP请求头Referrer进行白名单判断、‌增加安全的token、‌增加安全的验证码、‌实施安全的逻辑流程等。‌ 使用随机令牌：‌在每次向目标网站发送请求时，‌携带一个随机生成的令牌(Token)。‌目标网站在处理请求时会校验该令牌的有效性，‌如果无效则拒绝请求。‌这种方法可以防止攻击者伪造有效的令牌，‌从而避免CSRF攻击1。‌ 利用HTTP请求头Referrer进行白名单判断：‌通过检查HTTP请求头中的Referrer字段，‌可以区分请求是否从合法的页面发出。‌如果Referrer在白名单内，‌则允许请求通过。‌这种方法在浏览器环境下是安全的，‌因为浏览器默认带上Referrer字段，‌而JavaScript无法修改它。‌但需要注意，‌写操作时Referrer可能为空，‌需要实施额外的安全措施。‌ 增加安全的token和验证码：‌对敏感信息的操作增加安全的token和验证码，‌可以增加攻击的难度，‌因为攻击者需要获取这些额外的验证信息才能成功发起攻击。‌ 实施安全的逻辑流程：‌例如，‌在修改密码时，‌需要先校验旧密码等安全措施，‌以确保操作的合法性
            • SQL注入： CARROT &1=1;-- 防范SQL注入的关键方法包括‌参数化查询、‌输入验证、数据清理和‌多层验证。 参数化查询：这是防止SQL注入的最基本和最有效的方法。通过预编译的SQL语句，将参数与查询分开处理，可以有效地防止攻击者注入恶意SQL代码。在书写SQL语言时，应禁止将变量直接写入到SQL语句中，必须通过设置相应的参数来传递相关的变量。‌ 输入验证和清理：对用户的输入进行严格的验证和过滤，只接受预期的输入。这包括过滤掉不安全的输入数据，或采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。‌ 多层验证：对访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。 前端验证：虽然主要防御应在后端实施，但前端也可以通过正则表达式识别非法输入，直接拒绝提交，作为前置的预防方案。‌ SQL注入 是用于处理前端（通常是Web服务器）和后端数据库之间交互的脚本的一个漏洞。如果脚本是防御性的，并且包含要转义（作废或拒绝）元字符的代码，将无法进行SQL注入。 LDAP注入 是输入注入攻击的一种变体；但攻击重点是LDAP目录服务的后端而不是数据库服务器。如果Web 服务器前端使用脚本根据用户的输入来生成LDAP 语句，则LDAP 注入可能是一种威胁。输入净化和防御性编码对于消除这种威胁至关重要。 XML注入 是SQL注入的另一种变体，其中后端目标是XML应用程序。同样，输入净化是消除这种威胁所必需的。XML利用 是一种编程攻击的形式，用于伪造发送给访问者的信息，或者导致他们的系统在未经授权的情况下泄露信息。 SQL主要防御方法 选项1：使用预处理语句（带参数化查询） 选项2：使用存储过程 选项3：白名单输入验证 选项4：转义所有用户提供的输入 选项5：黑名单输入过滤
            • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。 攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
    • 116.GDPR中明确要求，一旦发生个人数据泄露 (Data breach) ，如果可能对自然人的权力和自由造成一定风险，须通知监管机构，通知要求的时间限制是？ A. 24小时内 B. 48小时内 C. 72小时内 D. A.S.A.P. 尽可能快 117.CPTED通过环境设计预防犯罪的定义是什么？ A．通过良好的逻辑访问控制来降低犯罪的可能性 B．通过监控设备的升级来降低犯罪的可能性 C．通过目标强化来降低犯罪的可能 D．通过环境的健康化来降低犯罪的可能性 118.以下哪个不是敏捷宣言的左项： A．个体和互动 B．流程和工具 C．客户协作 D．响应变化 119.安全级别较高的文件授予只读权限，安全级别较低的文件授予可写权限，属于： A．BLP模型 B．BIBA模型 C．Clark-Wilson模型 D．中国墙模型 120.网络层协议的保留字段被利用，会带来什么问题？ A．拒绝服务攻击 B．隐蔽通道 C．碎片攻击 D．洪泛攻击
    • 121.哪种种设施最不容易扫出漏洞： A．硬件 B．系统软件 C．应用软件 D．内核
      • 121
        • A 难度 硬件>内核>系统软件>应用软件
    • 122.在安全威胁较低的情况下，使用包过滤防火墙的原因？ A．可以解决 IP 欺骗攻击 B．可以防止ICMP攻击 C．能根据连接状态进行判断 D．方便、透明 123.光纤数据泄露怎么判断？ A. 光束分离法 B. 散射法 C. 震动检测工具 D. 光损耗测量 124.PKI在什么情况下对CA的认证产生交叉数字证书？ A．OCSP需要更新时 B．当CA之间需要互相认证时 C．追溯根CA时 D．更新CRL列表时 125.道德观念基于？ A．民法 B．刑法 C．个人诚信 D．合规性 126.防止两个高级权限的人在工作中合谋的应对措施是？ A．双人控制 B．最小特权 C．岗位轮换 D．职责分离 127.在应用程序开发期间，应该运行哪种类型的测试以获得快速反馈？ A．回归测试 B．压力测试 C．冒烟测试 D．端到端测试 128.风险评估 (Risk Assessment) 包括： A．风险分析、风险评价、风险处置 B．风险识别、风险缓解、风险接受 C．风险识别、风险分析、风险评价 D．风险识别、风险评价、风险排序 129.以下哪个标记语言基于XML，用于在不同的安全域(security domain)之间交换认证和授权数据。 A．SAML B．SGML C．SPML D．XACML 130.Which of the following best explains why computerized information systems frequently fail to meet the needs of users? 下面哪项最好的解释了为什么计算机信息系统经常不能够满足用户需求？ A.Inadequate quality assurance (QA) tools 不充分的质量保证 (QA) 工具 B.Constantly changing user needs 用户需求经常变化 C.Inadequate user participation in defining the system's requirements 系统需求阶段用户参与不充分 D.Inadequate project management. 不充分的项目管理 131.把恶意IP流量分流，引入到单一的IP地址，对这些流量进行进一步分析的做法： A．蜜罐 B．黑洞 C．下水道路由 D．加密设备 132.安全架构师计划参考强制访问控制 (MAC) 模型进行实施。这表明以下哪项属性被优先考虑？ A. 机密性 B. 完整性 C. 可用性 D. 可访问性 133.谁有责任确保第三方供应商有能力以安全的、符合组织的要求的方式处理数据？ A.数据保管者 B.数据创建人 C.数据所有者 D.数据的用户 134.以下哪一个是联合身份的标准？ A.Kerberos B.LDAP 轻量目录访问协议 C.SESAME D.SAML 安全断言标记语言 135.为了保护审计信息，以下哪一项必须配置为只允许读访问: A.日志配置文件 B.用户帐号配置文件 C.访问控制列表 D.交易日志文件 136.对系统进行重新认证和重新认可的主要理由是？ A.验证系统的安全保护仍然在组织安全方针可以接受的范围内 B.帮助安全团队决定是接受还是拒绝新系统的实施上线 C.让软件开发团队确信所有安全问题都已得到解决 D.帮助数据负责人决定未来的数据敏感性和重要性 137.在以下哪种攻击中，攻击者通常会用十六进制 (或其他编码方式) 将链接编码，以免用户怀疑它的合法性？ A.XSS跨站脚本攻击 B.DOS拒绝服务攻击 C.Rootkit 根工具包 D.Smurf 攻击 138.对电子邮件进行加密和签名保障的是？ A.不可抵赖、真实性、授权 B.不可抵赖、机密性、授权 C.机密性、真实性、授权 D.机密性、不可抵赖、真实性 139.以下哪一项安全控制容易被合谋所破坏？ A.双因素验证 B.岗位轮换 C.职责分离 D.最小授权 140.在不了解一个国家文化的情况下，客户要求服务提供方做出存在疑惑的决策，服务提供方应该怎么做？ A.答应客户的要求，因为这是服务合同的要求 B.拒绝客户的要求，因为这样做有导致法律违规的高风险 C.根据最高职业道德规范和要求做决策 D.做这个决策前，应先做尽职调查 141.Which of the following is NOT a property of a one-way hash function? 下面哪个不是单向哈希函数的特性？ A.It converts a message of a fixed length into a message digest of arbitrary length 它将一个固定长度的消息转换成任意长度的消息摘要 B.It is computationally infeasible to construct two different messages with the same digest 构建两个不同的消息，使其具有相同摘要，从计算上讲是不可行的 C.It converts a message of arbitrary length into a message digest of a fixed length 它将任意长度的消息转换成固定长度的消息摘要 D.Given a digest value, it is computationally infeasible to find the corresponding message 给定一个摘要值，要发现相关的消息，从计算上讲是不可行的 142.Role Based Access Control (RBAC) simplifies user provisioning because 基于角色的访问控制简化了用户配置，因为 A.old access control rules can be disposed of efficiently. 旧的访问控制规则可以被有效的处置 B.access for new employees is based on a list of predefined rules. 新员工的访问基于预定义的规则列表 C.employee access can be modeled based on functional or organizational structures. 员工访问可以基于职能或组织架构来建立模型 D.duties change more frequently than the roles within positions. 职责比职位的角色变更更加频繁 143.Which physical security countermeasure is MOST commonly used in protecting corporate assets? 下面哪个物理安全措施是在保护公司资产方面最通用的？ A. Video cameras 视频摄像机 B. Locking devices 锁 C. Personnel verification 人工确认 D. Biometrics 生物识别 144.RAID levels 3 and 5 run: RAID3和RAID5运行 A. faster on hardware 在硬件上更快 B. slower on hardware 在硬件上更慢 C. faster on software 在软件上更快 D. at the same speed on software and hardware 在软件和硬件速度一样 145.The BEST method of demonstrating a company's security level to potential customers is 证明一个公司对于潜在客户的安全水平的最好的方法是 A.a report from an external auditor. 外部审计师的报告 B.responding to a customer's security questionnaire. 客户安全调查问卷的结果 C.a formal report from an internal auditor. 内部审计师的正式的报告 D.a site visit by a customer's security team. 客户安全团队的现场访问 146.Which of the following would be less likely to prevent an employee from reporting an incident? 下面哪项最不可能妨碍员工报告安全事件？ A.They are afraid of being pulled into something they don't want to be involved with 他们害怕被卷入他们不想被涉及的事情 B.The process of reporting incidents is centralized 事件报告流程是集中的 C.They are afraid of being accused of something they didn't do 他们害怕因为他们没有做某事而被责备 D.They are unaware of the company's security policies and procedures 他们没有意识到公司的安全策略和程序 147.Which of the following would be the first step in establishing an information security program? 为建立一个信息安全程序，首先应进行 A. Development of a security awareness-training program for employees. 开发员工安全意识培训计划 B. Development and implementation of an information security standards manual. 开发与实施信息安全标准手册的 C. Purchase of security access control software. 购买安全访问控制软件 D. Adoption of a corporate information security policy statement. 采纳企业信息安全策略声明 148.A proxy firewall operates at what layer of the Open System Interconnection (OSI) model? 代理防火墙是运行在OSI模型的哪一层？ A. Application 应用层 B. Transport 传输层 C. Network 网络层 D. Data Link 数链层 149.The absence or weakness in a system that may possibly be exploited is called a(n)? 可能会被利用的系统的缺失或薄弱环节被称为？ A. Threat 威胁 B. Exposure 暴露 C. Vulnerability 漏洞 D. Risk 风险 150.Which of the following BEST describes information security policies? 下面哪个最好地描述了信息安全政策？ A.Policies are guidelines that describe the best security practices in the industry. 政策是描述业界最佳安全实践的指南 B.Policies are high-level procedures that describe the information security approaches. 政策是描述信息安全方法的高层级程序 C.Policies provide the blueprints for the information security implementation program. 政策提供了信息安全实施体系的蓝图 D.Policies are high-level statements that describe the goals of the information security program. 政策是描述信息体系目标的高层级声明 151.After learning that the security budget will decrease in the next fiscal year, the security manager reprioritizes the upcoming budget. In conducting this analysis, which of the following MOST influences the security manager's decision process? 了解到信息安全预算将在下一财年减少后，安全经理重新调整下一年度预算。在进行这种分析时，以下哪项最影响安全经理的决策过程？ A. Trend analysis 趋势分析 B. Business risk acceptance 业务风险接受 C. Security best practices 安全最佳实践 D. Vulnerability analysis 漏洞分析 152.Which of the following are required to determine classification and ownership? 需要下面哪个来决定分类分级和所有权？ A.System and data resources are properly identified 能够正确的识别系统和数据源 B.Access violations are logged and audited 违规访问能够被记录并审计 C.Data file references are identified and linked 数据文件参考能够被识别和链接 D.System security controls are fully integrated 系统安全控制能够完全被集成 153.一个安全专家在根据国际标准化组织 (ISO) 27001和27002标准在评估组织的安全政策时，他需要牢记的是什么？ A.Security baselines can be derived directly from international standards. 安全基线可以直接从国际标准中抽取 B.International standards do not provide value to a regional organization. 国际标准对一个区域组织来说没有什么价值 C.Policies need to have step-by-step procedural details for all areas. 所有领域的策略都需要有详细的步骤细节 D.Standards are a starting point and are applied to the organization as necessary. 标准是一个起点，可以根据需要应用于组织 154.Which of the following is an appropriate source for test data? 下面哪个是测试数据合适的来源？ A.Production data that is secured and maintained only in the production environment. 生产数据是安全的，并只在生产环境中维护 B.Test data that has no similarities to production data. 与生产数据没有相似性的测试数据 C.Test data that is mirrored and kept up-to-date with production data. 与生产数据镜像并保持同步的测试数据 D.Production data that has been sanitized before loading into a test environment. 对生产数据进行清洗，然后再载入到测试环境 155.Which one of the following describes a reference monitor? 下面哪项描述了参考监视器 A.Access control concept that refers to an abstract machine that mediates all accesses to objects by subjects. 是一个访问控制概念，指的是促成所有主体和客体的访问的抽象机 B.Audit concept that refers to monitoring and recording of all accesses to objects by subjects. 是一个审计概念，指的是监控和记录所有主体和客体的访问 C.Identification concept that refers to the comparison of material supplied by a user with its reference profile. 是一个身份识别概念，指的是用户提供的材料和他的参考配置文件的比较 D.Network control concept that distributes the authorization of subject accesses to objects. 是一个网络控制概念，对主体进行授权来访问客体
    • 156.路由器在开放系统互连 (OSI) 参考模型哪两层之间用作通信设备？ A.传输和会话 B.数据链路和传输 C.网络和会话 D.物理和数据链路 157.以下哪一项是识别在调查中扣押的每件物品的文件，包括扣押日期和时间、扣押该物品的人的名字，以及该物品的详细描述？ A. 财产登记簿 Property book B. 监管链表格 Chain of custody form C. 搜查令归还 Search warrant return D. 证据标签 Evidence tag
      • 156
        • B 没看清题，B的中间是网络层
      • 157
        • D All evidence collected at the crime scene should be tagged. If the item cannot be tagged then it should be labeled or marked. Consistency should always be adhered to in the information that is used for marking and labeling the evidence. description of item police case number or identifier date location of collection collectors name and identifier brand name any serial number or garment information
    • 158.以下哪项为虚拟专用网络 (VPN) 连接提供最高级别的数据安全性？ A. 互联网协议有效负载压缩 (IPComp) B. 互联网协议安全 (IPsec) C. 可扩展认证协议 (EAP) D. 远程验证拨入用户服务 (RADIUS) 159.新安全举措的成本效益分析 (CBA) 结果提供了什么？ A. 可量化的理由 B. 基线改进 C. 风险评估 D. 正式验收 160.检测到一个URL, http://xxx.xxx.com/product.asp? Id=1 or 1=1 这可能是哪种攻击？ A．SQL注入 B．XSS C．CSRF D．缓存溢出
  • 答案
    • 1 A 2 B 3 B 4 C 5 B 6 C 7 A 8 D 9 A 10 C 11 D 12 B 13 D 14 A 15 D 16 C 17 B 18 D 19 A 20 C 21 C 22 C 23 C 24 C 25 A 26 C 27 C 28 D 29 A 30 D 31 B 32 C 33 A 34 A 35 B 36 B 37 B 38 C 39 A 40 A 41 C 42 A 43 C 44 A 45 A 46 A 47 A 48 A 49 B 50 D 51 B 52 A 53 D 54 A 55 A 56 D 57 C 58 A 59 A 60 B 61 A 62 C 63 C 64 A 65 C 66 B 67 C 68 A 69 B 70 D 71 A 72 B 73 B 74 C 75 B 76 A 77 A 78 D 79 C 80 B 81 B 82 A 83 A 84 D 85 C 86 A 87 D 88 C 89 B 90 A 91 D 92 A 93 D 94 C 95 A 96 C 97 B 98 C 99 D 100 C 101 D 102 C 103 C 104 C 105 D 106 A 107 C 108 C 109 A 110 A 111 D 112 C 113 C 114 D 115 D 116 C 117 D 118 B 119 B 120 B 121 A 122 D 123 D 124 B 125 C 126 C 127 C 128 C 129 A 130 C 131 C 132 A 133 C 134 D 135 D 136 A 137 A 138 D 139 C 140 D 141 A 142 C 143 B 144 A 145 A 146 B 147 D 148 A 149 C 150 D 151 B 152 A 153 D 154 D 155 A 156 B 157 D 158 B 159 A 160 A
• 第四套模拟题
  • 题
    • 1.一个组织制定了关于数据分类和数据处理相关的全面的政策和程序。但是，该组织还是因不当披露客户的隐私数据给第三方，遭到了许多客户的诉讼。这些泄露是没有恶意的。 以下哪项是这些泄露问题最可能的原因？ A.Lack of data labeling procedures 缺少数据标签的程序 B.Lack of Business Impact Analysis (BIA) 缺少业务影响分析 C.Ineffective security awareness program 无效的安全意识宣贯体系 D.Ineffective data encryption controls 无效的数据加密控制 2.Which of the following layers provides end-to-end service? 下面哪个层次提供了端到端的服务？ A. Network Layer 网络层 B. Link Layer 数链层 C. Transport Layer 传输层 D. Presentation Layer 表示层 3.Which of the following is considered best practice for a forensic investigation? 下面哪个被认为是取证调查的最佳实践？ A.Examine a copy of the information collected 检查收集的信息的副本 B.Examine the original information collected 检查收集的原始信息 C.Encrypt the information before making a copy 在拷贝前加密信息 D.Encrypt the copy of the original information 加密原始信息的副本 4.Which of the following type of packets can *easily* be denied with a stateful packet filter? 下面哪个类型的包可以很容易的被状态包检测防火墙拒绝？ A. ICMP B. TCP C. UDP D. IP 5.Telnet and rlogin use which protocol? Telnet和rlogin是用了哪种协议？ A. UDP B. SNMP C. TCP D. IGP 6.Why do some sites choose not to implement Trivial File Transfer Protocol (TFTP)? 为什么一些站点不选择实施TFTP协议？ A. list restrictions 列表限制 B. inherent security risks 固有安全风险 C. user authentication requirement 用户认证需求 D. directory restriction 目录限制 7.Which of the following computer crime is more often associated with insiders? 下面哪个计算机犯罪是与内部人员更加相关的？ A. IP spoofing IP欺骗 B. Password sniffing 密码嗅探 C. Data diddling 数据欺骗 D. Denial of Service (DOS) 拒绝服务 (DOS) 8.A hardware feature is built into a Central Processing Unit (CPU) so that all memory locations used by a process can be marked with a non-executable attribute unless the location explicitly contains executable code. Which of the following attacks can this feature help prevent? 一项硬件功能被内置到一个中央处理单元(CPU)，使一个进程使用的所有内存位置可以打上不可执行属性，除非该位置明确包含可执行代码。此功能可以帮助防止下列哪种攻击？ A. Brute force 暴力破解 B. Covert channel 隐蔽通道 C. Buffer overflow 缓冲溢出 D. Object reuse 客体重用 9.Which of the following rules is less likely to support the concept of least privilege? 下面哪个规则最不可能支持了最小特权的概念 A.The number of administrative accounts should be kept to a minimum 管理员账户的数量应当保持最少化 B.Administrators should use regular accounts when performing routing operations like reading mail 管理员应当在执行常规操作，比如阅读邮件时，使用普通账户 C.Permissions on tools that are likely to be used by hackers should be as restrictive as possible 有可能被黑客利用的工具的权限，应尽可能得到限制 D.Only data to and from critical systems and applications should be allowed through the firewall 只有进出关键系统和应用的数据应当被允许通过防火墙 10.Which of the following is not an OSI architecture-defined broad category of security standards? 下面哪项不是OSI架构定义的安全标准的广义类别之一？ A. Security techniques standards 安全技术标准 B. Layer security protocol standards 分层安全协议标准 C. Application-specific security 特定应用的安全 D. Firewall security standards 防火墙安全标准 11. 两个具有复杂的网络环境大型组织最近合并了。这两种环境的集成将需要数年时间，而且将是困难和昂贵的。在合并中，两个组织需要建设一个关键的应用系统来集成并让这两个组织的员工无缝地访问。此应用程序使用了面向服务的架构 (SOA) 和Web服务。安全团队需要来设计一个架构来完成这个整合目标。下面哪个是合并过程中实现联合身份管理的最好的方法？ A.Import all users from one organization's directory service into the other organization's directory service. 从一个组织的目录服务中导入所有用户身份到另一个组织的目录服务 B.Create a temporary security domain for both organizations. 为两个组织创建一个临时的安全域 C.Integrate the application with Security Assertion Markup Language (SAML). 使用SAML来集成该应用系统 D.Authenticate the application against Lightweight Directory Access Protocol (LDAP) server. 使用LDAP服务器来认证该应用系统 12.Primarily run when time and tape space permits, and is used for the system archive or baselined tape sets is the: 主要在时间和磁带空间允许时运行，用于系统归档或基线磁带集的是 A. full backup method 完全备份方法 B. Incremental backup method 增量备份方法 C. differential backup method 差异备份方法 D. RAID backup method RAID备份方法 13.Which of the following is an example of an active attack? 下面哪个是主动攻击的例子？ A. Traffic analysis 流量分析 B. Masquerading 伪装 C. Eavesdropping 窃听 D. Shoulder surfing 肩窥 14.Which of the following is TRUE regarding Mandatory Access Control (MAC)? 下面哪个关于强制访问控制 (MAC) 的描述是正确的？ A.It only deals with identification of the requester of information. 它只处理信息申请者相关的身份识别 B.It only deals with authentication of the requester of information. 它只处理信息申请者相关的身份认证 C.Access control decisions are beyond the control of the individual owner of an object. 访问控制的决策超越了单个客体所有者的控制 D.Access control decisions are made by the individual owner of the object. 访问控制的决策是由单个客体所有者来决定的 15.Which of the following is the initial step in identity management that creates new accounts and provision them with appropriate privileges？ 以下哪项是身份管理中创建新帐户并为其提供适当权限的初始步骤? A. Enrollment 注册 B. Provisioning 开通 C. Authorization 授权 D. Trust 信任 16.一个新员工的笔记本电脑具有完全的管理员权限。这名雇员在家里没有自己的个人电脑，并且他有一个孩子也使用这台电脑发送和接收电子邮件，在网上搜索，使用即时消息等。该组织的信息技术 (IT) 部门发现使用了该员工的访问权限安装了一个对等 (P2P) 程序。 下列哪种方法是从计算机上移除对等 (P2P) 程序的最有效的方法？ A.Run software uninstall 使用软件卸载 B.Re-image the computer 重新安装计算机 C.Find and remove all installation files 找到并删除安装文件 D.Delete all cookies stored in the web browser cache 删除存储在浏览器缓存中的所有cookie 17.一个新员工的笔记本电脑具有完全的管理员权限。这名雇员在家里没有自己的个人电脑，并且他有一个孩子也使用这台电脑发送和接收电子邮件，在网上搜索，使用即时消息等。该组织的信息技术 (IT) 部门发现使用了该员工的访问权限安装了一个对等 (P2P) 程序。下面哪个文档解释了如何正确使用公司的资产？ A. Human resources policy 人力资源政策 B. Acceptable use policy 可接受使用政策 C. Code of ethics 道德准则 D. Access control policy 访问控制政策
      • 2
        • end-to-end是数据链路层 point-to-point是点到点，传输层和网络层都是
      • 12
        • 差异备份不改变归档位，仍为1
      • 13
        • 攻击手段分类 攻击手段可以根据它们的行为特征进行分类，主要分为两大类：被动攻击和主动攻击。 （1）被动攻击（Passive Attacks） 被动攻击的特征是攻击者不会主动干预或改变目标系统中的信息，而是侧重于秘密地获取信息。这类攻击主要威胁的是信息的机密性，即确保信息不被未授权的个体或系统访问。被动攻击包括但不限于以下几种方式： 监听（Eavesdropping）：攻击者通过监听网络传输的数据包来获取信息，包括消息的内容或者分析业务流模式。 业务流分析（Traffic Analysis）：虽然不获取实际的消息内容，但通过分析数据包的大小、频率和流向等，攻击者可以推断出有用的信息，例如用户的在线行为或通信模式。 （2）主动攻击（Active Attacks） 主动攻击则涉及到攻击者直接与目标系统交互，通过各种手段来破坏或操纵系统，这类攻击可以影响信息的完整性、真实性和可用性。主要的主动攻击方式包括： 中断（Denial of Service, DoS）：通过消耗目标系统的资源或带宽，使得合法用户无法访问服务，从而影响系统的可用性。 篡改（Data Tampering）：攻击者在数据传输过程中修改信息，破坏信息的原始状态，影响数据的完整性。 伪造（Fabrication）：攻击者创建虚假信息，冒充合法实体发送信息，或者插入伪造的数据
      • 14
        • 访问控制
          • RBAC又被称为非自主访问控制。 Non-Discretionary Access Control（role-based access control (RBAC)） 这种安全控制模型是由一个单一的授权控制机构，根据用户所属的组或者在公司中的职责来确定对资源的访问许可，因此非常适合人员流动性大的公司。资源的访问许可是基于职责或者角色Role的，每个角色确定了本角色所需要的访问许可。 RBAC的特点是指派角色，根据角色来分配访问权限。 DAC不是中央授权，RBAC和MAC都是中央授权。 DAC的特点是由数据所有者决定访问权限。 MAC的特点是安全标签（敏感标签），主体赋予安全许可，客体赋予安全级别。
          • 访问控制矩阵是一个由主体和客体组成的表， 这个表指示了每个主体可以对每个客体执行的动作或功能。 访问控制列表，就是只有一列的访问控制矩阵。例如，针对一个文件X的，然后表里有所有用户对X的访问权限。注意：此时表里只有关于X的访问权限，如果要查文件Y的相关权限，就不应该查这个表了。 能力表，就是只有一行的访问控制矩阵。例如，就是针对主体-用户Bob的，表里列出了Bob拥有的对所有客体的权限。注意这里没法查其他用户Tom的任何权限，你得到其他表去查了。
          • 一、使用安全设计原则实施和管理工程过程 1、客体和主体 主体：发出访问资源请求的用户或进程 客体：用户或进程想要访问的资源 2、封闭系统和开放系统 封闭系统：windows 开放系统：linux 3、用于确保保密性、完整性和可用性的技术 confinement限制：沙箱，软件设计使用“进程限制”来约束程序的行为。 bound界限：用户态、内核态，在系统上运行的每个进程都有授权级别。 isolation隔离：进程隔离可确保隔离状态进程的任何行为仅影响与其关联的内存资源。 4、控制 为确保系统的安全性，主体只允许访问经过授权的客体。 MAC 强制访问控制：是否许可一个访问，由主体和客体的静态属性来决定。每个主体都拥有属性，用来定义其访问资源的授权。每个客体拥有属性，用来定义其分类。 DAC 自主访问控制：允许主体根据需要定义要访问的客体列表，可以允许主体添加对客体的访问规则。 5、信任和保证 可信系统：所有保护机制协同工作的系统，为许多类型的用户处理敏感数据，同时维护稳定和安全的计算环境。 保证：为了满足安全需求的可信程度，保证需要持续性的维护、更新和重新验证。 二、理解安全模型的基本概念 1、可信计算基 是一种系统架构，可信不等于安全 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。足够小，减少攻击面 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。 安全内核是实际实施引用监视器概念的机制。安全核心必须隔离实施引用监视器概念的进程，必须不会被篡改，必须针对每次访问企图进行调用，而且必须小到足以能正确地进行测试。 安全域：在可信域内共享单一的安全策略和单一的管理。保护域：用于保护程序免于所有未经授权的修改或外部干扰。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问相同等级客体 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 在Clark-Wilson安全模型中，数据完整性是通过良构事务来保证的。良构事务是一种特殊的事务，它具有特定的限制和约束，可以保证数据的完整性和一致性。在Clark-Wilson安全模型中，良构事务是通过职责分离的思想设计的，即良构事务只能执行特定的操作，而不能执行其他任何操作。这样，就可以保证数据的完整性，因为良构事务只能执行特定的操作，不能破坏数据的完整性。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输）
    • 18.一个新员工的笔记本电脑具有完全的管理员权限。这名雇员在家里没有自己的个人电脑，并且他有一个孩子也使用这台电脑发送和接收电子邮件，在网上搜索，使用即时消息等。该组织的信息技术 (IT) 部门发现使用了该员工的访问权限安装了一个对等 (P2P) 程序。 以下哪一项能最有效的防止电脑上安装P2P程序？ A.Removing employee’s full access to the computer 移除员工对电脑的完全访问权限 B.Supervising their child’s use of the computer 监管员工子女对员工电脑的使用 C.Limiting computer’s access to only the employee 限制仅员工才能访问电脑 D.Ensuring employee understands their business conduct guidelines 确保员工理解公司行为指南
      • A 这是最彻底的方法，C感觉难以实施，因为员工登录以后把电脑给其他人是没法判断的。D太抽象了，不具体。
    • 19.哪种访问控制方案使用细粒度规则来指定授予对每个数据项或应用程序的访问权限的条件？ A. 强制访问控制 (MAC) B. 自主访问控制 (DAC) C. 基于角色的访问控制 (RBAC) D. 基于属性的访问控制 (ABAC) 20.Computer crime is generally made possible by which of the following? 计算机犯罪通常是由下列哪一项原因造成的？ A.The perpetrator obtaining training & special knowledge. 行为人获得培训和专门的知识 B.Victim carelessness. 受害人粗心大意 C.Collusion with others in information processing 与他人在信息处理上串通共谋 D.System design flaws. 系统设计缺陷 21.By examining the "state" and "context" of the incoming data packets, it helps to track the protocols that are considered "connectionless", such as UDP-based applications and Remote Procedure Calls (RPC). This type of firewall system is used in? 通过检查进入的数据包“状态”和“上下文”，它有助于跟踪被认为是“无连接”的协议，比如基于UDP的应用程序和远程过程调用 (RPC) 。这种类型的防火墙系统中是？ A. First generation firewall systems. 第一代防火墙系统 B. Second generation firewall systems. 第二代防火墙系统 C. Third generation firewall systems. 第三代防火墙系统 D. Fourth generation firewall systems. 第四代防火墙系统 22.Guards are appropriate whenever the function required by the security program involves which of the following? 安全体系中需要实现下面哪个功能时，使用警卫是合适的？ A. The use of discriminating judgment. 需要辨别力判断 B. The use of physical force. 物理暴力的使用 C. The operation of access control devices. 访问控制设备的运行 D. The need to detect unauthorized access. 检测非授权访问的需要 23.In a Key Escrow solution, which of the following provides the encryption and decryption function? 在密钥托管体制中，下面哪个提供了加密和解密的功能？ A. Data recovery component 数据恢复组件 B. Key registry component 密钥注册组件 C. Key escrow component 密钥托管组件 D. User security component 用户安全组件 24.An organization has performed a security analysis on recent incidents and determined that password disclosure was a major contributor to the incidents. Of the following, what is the BEST means to mitigate this problem? 一个组织已经对最近发生的事件进行了安全分析，并确定密码泄露是引发事件的主要问题。下面哪个是缓解这一问题的最佳手段？ A.Implement best practices for password retention 实施密码保留的最佳实践 B.Perform additional security assessments 执行附加的安全评估 C.Implement stronger password policies 实施强密码策略 D.Increase user awareness 增加用户安全意识 25.The Systems Development Life Cycle (SDLC) process provides a methodology for what? 系统开发生命周期 (SDLC) 提供了哪方面的方法论？ A.Developing systems with adequate privacy 充分的隐私保护来开发系统 B.Developing systems in a standardized manner 以标准化的方式来开发系统 C.Developing systems according to security policy 根据安全策略来开发系统 D.Developing systems at minimum cost 以最小的成本来开发系统 26.Which of the following is the PRIMARY challenge when implementing a Single Sign-On (SSO) solution? 实施单点登录 (SSO) 解决方案的主要挑战是下面哪项？ A.Growing trend to customize authentication for each application 有增长的趋势需要为每个应用定制认证方式 B.Resistance of the user community who want to keep their old ID's 想要保持他们的旧ID的用户社区的抵制 C.Implementation of the standard protocols 标准协议的实施 D.Integration with legacy applications 与以前的应用系统的集成 27.Which of the following access control types gives "UPDATE" privileges on Structured Query Language (SQL) database objects to specific users or groups? 下面哪个访问控制类型给予特定用户或用户组“UPDATE”权限修改SQL数据库客体？ A. Supplemental 补充 B. Discretionary 自主 C. Mandatory 强制 D. System 系统 28.Which of the following tools present the MOST potential risk for unethical use? 如果不道德的使用下面哪个工具，可能产生最大的风险？ A.One-Time-Password and Single Sign-On (SSO) applications 动态令牌和单点登录(SSO)应用程序 B.Key loggers and screen capture applications 键盘记录器和屏幕捕捉程序 C.Hand scanners and network sniffers 手掌扫描器和网络嗅探器 D.Retinal scanners and port scanners 视网膜扫描器和端口扫描器 29.Which of the following are the MOST effective methods to protect against an active attack? 下面哪项是最有效的防止主动攻击的方法？ A.Trusted software development and intrusion detection monitoring 可信软件开发和入侵检测监控 (IDS) B.Application-layer firewall and Intrusion Prevention System (IPS) 应用层防火墙和入侵防御系统 (IPS) C.Virtual Private Networks (VPN) and anti-virus software 虚拟专网 (VPN) 和防病毒软件 D.Point-to-point Encryption and Public Key Infrastructure (PKI) enabled e-mail 点对点加密和应用公钥基础设施的电子邮件 30.During a budgeting meeting an organization's management decides to prioritize security risks. Which of the following International Organization for Standardization (ISO) standards would provide the BEST guidance? 在组织管理层的预算会议上决定对安全风险进行优先级评级。下面哪项 ISO 标准可以提供最好的指南？ A. ISO 27001 B. ISO 27002 C. ISO 27003 D. ISO 27005 31.Which of the following is not considered firewall deployment technology? 下面哪项不是防火墙部署技术？ A. Screened subnet 屏蔽子网 B. Screened host 屏蔽主机 C. Dual gateway host 双重网关主机 D. Dual homed host 双宿主机 32.Which type of network topology passes all traffic through all active nodes? 哪种类型的网络拓扑是经过所有激活的节点来传输所有流量 A. Broadband 宽带 B. Star 星形 C. Baseband 基带 D. Token Ring 令牌环
      • 19
        • RBAC又被称为非自主访问控制。 Non-Discretionary Access Control（role-based access control (RBAC)） 这种安全控制模型是由一个单一的授权控制机构，根据用户所属的组或者在公司中的职责来确定对资源的访问许可，因此非常适合人员流动性大的公司。资源的访问许可是基于职责或者角色Role的，每个角色确定了本角色所需要的访问许可。 RBAC的特点是指派角色，根据角色来分配访问权限。 DAC不是中央授权，RBAC和MAC都是中央授权。 DAC的特点是由数据所有者决定访问权限。 MAC的特点是安全标签（敏感标签），主体赋予安全许可（security clearance），客体赋予安全级别（security classification）。
        • 访问控制矩阵是一个由主体和客体组成的表， 这个表指示了每个主体可以对每个客体执行的动作或功能。 访问控制列表，就是只有一列的访问控制矩阵。例如，针对一个文件X的，然后表里有所有用户对X的访问权限。注意：此时表里只有关于X的访问权限，如果要查文件Y的相关权限，就不应该查这个表了。 能力表，就是只有一行的访问控制矩阵。例如，就是针对主体-用户Bob的，表里列出了Bob拥有的对所有客体的权限。注意这里没法查其他用户Tom的任何权限，你得到其他表去查了。
      • 21
        • 第一代防火墙系统---静态包过滤 第二代防火墙系统---应用代理 第三代防火墙系统---状态检测 第四代防火墙系统---动态包过滤
      • 23
        • 密钥托管
          • 密钥托管 目的：为了有效控制密码技术的使用，保证对个人没有绝对的隐私和绝对不可跟踪的匿名性。 用途：提供一个备用的解密途径，政府机构在需要时，可通过密钥托管技术解密用户的信息，而用户的密钥若丢失或损坏，也可通过密钥托管技术恢复自己的密钥。 密钥托管 密钥托管密码体制组成： （1）用户安全组件USC (user security component) 作用：提供数据加解密能力以及支持密钥托管功能; USC可用于通信和数据存储的密钥托管； USC使用的加密算法可以是保密的、专用的,也可以是公钥算法。 （2）密钥托管组件KEC (key escrow component) 作用：存储所有的数据恢复密钥，通过向DRC提供所需的数据和服务以支持DRC。 托管代理机构也为可信赖的第三方，需要在密钥托管中心注册。 职责：操作KEC，协调托管代理机构的操作或担当USC或DRC的联系点 （3）数据恢复组件DRC (data recovery component) 作用：由KEC提供的用于通过密文及DRF中的信息获得明文的算法、协议和仪器。 它仅在执行指定的已授权的恢复数据时使用。 Skipjack算法 Skipjack加密算法是一种对称分组加密算法，密钥长度为 80比特、明文和密文长度均为64比特、轮数为32轮。它在防篡改硬件中实现，是在Clipper芯片和Fortezza PC卡中使用的密钥加密算法。
      • 25
        • 混淆是C，感觉C应该是SAMM
      • 30
        • ISO/IEC 27001-—信息安全管理体系标准 ISO/IEC 27002 信息技术—安全技术—信息安全管理实践规范‌（Information technology—Security techniques—ISMS Practice）：提供了具体的安全控制措施和操作指南，帮助组织实现ISO 27001标准中的要求。 ISO/IEC 27003 信息安全管理体系—实施指南‌（ISMS Implementation guidelines）：为组织提供实施ISO 27001的实用指南，包括组织结构、职责、培训和意识提升等方面的建议。 ISO/IEC 27004 信息安全管理体系—指标与测量‌（ISMS Metrics and measurement）：帮助组织建立和实施用于评估ISMS性能的指标和测量方法。 ISO/IEC 27005 信息安全管理体系—风险管理‌（ISMS Risk management）：提供风险管理的原则和方法，帮助组织识别、评估和管理信息安全风险。 ISO/IEC 27006 信息安全管理体系—认证机构的认可要求‌（Requirements for the accreditation of bodies providing certification）：规定了认证机构应满足的条件和要求，以确保其对ISMS认证的公正性和有效性。 ISO/IEC 27007 信息技术—安全技术—信息安全管理体系审核员指南‌ ISO/IEC 27031-—ICT 业务连续性管理指南 ISO/IEC 27035——信息安全事件管理指南 ISO/IEC 27018 ——公有云中个人可识别信息保护管理体系认证 ISO/IEC 27701—隐私信息管理体系认证
      • 31
        • 要记住
    • 33.The act of validating a user with a unique and specific identifier is called what? 通过一个独特的或特定的身份来确认一个用户，称作什么？ A.Validation 确证 B.Authentication 身份验证 C.Authorization 授权 D.Identification 身份标识 34.A minimal implementation of endpoint security includes which of the following? 终端安全最小的实施应包括如下哪项？ A. Wireless access points (AP) 无线接入点 B. Full disc encryption 全磁盘加密 C. Personal firewalls 个人防火墙 D. Trusted platforms 可信平台 35.Cryptanalysis is used to ： 密码分析学被用来： A.Reduce the system overhead for a crypto-system 减少加密系统的系统开销 B.Choose the correct algorithm for a specified purpose 选择用于特定目的的正确的算法 C.Forge coded signals that will be accepted as authentic 伪造编码信号，使其能被当作真实的信号接受 D.Develop secure crypto-systems 开发安全加密系统 36.If an employee is suspected of computer crime and evidence need to be collected, which of the following departments must be involved with the procedure? 如果一个员工被怀疑参与计算机犯罪，需要搜集相关的证据，那么下面哪个部门必须要纳入到该程序？ A.Law enforcement 法律部门 B.Computer security 计算机安全 C.Auditing 审计 HR 人力资源
      • 33
        • authentication才能validate，而identication只能标识，切记
      • 34
        • 终端安全包括：local host firewall, anti-malware scanners, authentication, authorization, auditing, spam filters, and IDS/IPS services. 本地主机防火墙、反恶意软件扫描程序、身份验证、授权、审计、垃圾邮件过滤器和IDS/IPS服务。
      • 35
        • 本题考察点是密码攻击方式，不是密码算法，不能把密码分析学理解为算法 以后要注意！！！
        • 密码攻击： 分析攻击：这是试图降低算法复杂性的一种代数操作。分析攻击的焦点是算法本身的逻辑。 执行攻击：这是探寻密码系统在执行过程中暴露的弱点的一种攻击。它着重于挖掘软件代码，其中不仅包括错误和缺陷，还涉及用来给加密系统编程的方法。 统计攻击：统计攻击探寻密码系统的统计学弱点，例如汗点错误和无力生成真随机数。统计攻击试图在承载密码应用的硬件或操作系统中找到漏洞。 蛮力攻击：蛮力攻击是直截了当的攻击。这种攻击尝试找出密钥或口令的每种可能的有效组合。攻击的实施涉及用大量处理能力来系统化猜测用于加密通信的密钥。 频率分析：频率分析一即计数每个字母在密文中出现的次数——被证明是可以帮助破解简单密码的一种技术手段。众所周知， E、T、A、O、I、N 是英语中的最常用字母； 攻击者就是借助这个知识来测试以下两个假设的： ．如果这些字母也在密文中使用得最频繁，则密码可能是一种移位密码，即重新排列了明文字符而未加任何改动。 ．如果密文中使用得最频繁的是其他字母，则密码可能是某种替换密码，即更换了明文字符。 唯密文攻击：攻击者拥有若干消息的密文，每条消息都是使用相同的加密算法加密的。攻击者目标是找出加密过程中使用的密钥, 仅有密文，进行密码分析攻击。 已知明文：攻击者拥有一条或多条消息的明文和相对应的密文。例如某些文本有固定的格式、起始和结束语句。拥有明文和其对应的密文，进行密码分析攻击 选择密文：在选择密文攻击中，攻击者能够解密密文消息中被选中的部分，然后用解密后的那部分消息来发现密钥。 选择明文：攻击者选择特定明文发给受害者，待受害者加此明文发送出去后，再截获之。不同于已知明文攻击在于输入可以由攻击者来选定 可以选择明文并得到输出的密文，进行密码分析攻击。 中间相遇：中间相遇攻击利用进行两轮加密的协议（被证明在攻击下不如标准DES更安全）。 攻击者可能通过中间相遇攻击手段来击败采用两轮加密的加密算法。因为这种攻击的出现，造成作为DES加密可行强化版的双重DES(2DES)很快被弃用，被三重DES(3DES)取代。 中间人攻击：欺骗通信双方，使他们都与攻击者通信，而不是相互直接通信。 生日攻击：试图找到散列函数的冲突点 重放攻击：攻击者捕获了某种类型的数据(通常是身份验证信息)并重新提交已通过的身份验证的信息, 欺骗接收设备误以为这是合法信息。
        • cryptography cryptanalysis
      • 36
        • CISM : 计算机取证以及以系统性方法收集和处理与安全事故相关的信息和物理对象以使它们可在法院中用作证据，这一过程通常应由经过专内培训的工作人员、第三方专家、安全IRT（事故响应团队）或专业执法人员来执行。IMT（安全事故管理团队）通常由信息安全经理、指导委员会或咨询委员会、固定或专内团队成员，以及虚拟或临时团队成员组成。固定/专内团队成员在IMT内全职工作。他们执行IMT/IRT中的主要任务。虚拟/临时团队成员可具备专业技能并可在必要时征募来填补内部技能组合中的空缺。固定团队成员可以包括事故处理人员、调查人员和取证专家，以及IT和物理安全专家。虚拟团队成员通常由业务代表（例如，中层管理人员）、法律工作人员、传达人员（例如PR）、HR人员、其他安全组（例如，物理安全）、风险管理和I专家组成。
    • 37.What is it called when a system has apparent flaws that were deliberately available for penetration and exploitation? 当一个系统有明显的漏洞，故意用来被渗透和利用，这叫什么？ A.Investigation 调查 B.Enticement 诱惑 C.Data manipulation 数据操纵 D.Entrapping 诱捕 38.Why are computer generated documents not considered reliable? 为什么计算机产生的文档被认为是不可靠的？ A.Difficult to detect electron tampering 很难检测到电子篡改 B.Stored in volatile media 存储在易失性介质上 C.Unable to capture and reproduce 不能捕捉和重现 D.Because of US law, Section 7 paragraph 154 因为美国法律，第七部分第154段 39.What is a PRIMARY reason for designing the security kernel to be as small as possible? 什么是设计安全内核时需要尽可能小的主要原因？ A.The operating system cannot be easily penetrated by users. 操作系统不能被用户很容易渗透 B.Changes to the kernel are not required as frequently. 对内核的变更不需要频繁进行 C.Due to its compactness, the kernel is easier to formally verify. 由于其紧凑，内核更容易被正式的验证 D.System performance and execution are enhanced. 系统性能和执行能够增强
    • 40.Which of the following implements the authorized access relationship between subjects and objects of a system? 下面哪项实现了系统的主体和客体之间的授权访问关系？ A. Security model 安全模型 B. Reference kernel 参考内核 C. Security kernel 安全内核 D. Information flow model 信息流模型
      • 40
        • 安全模型（Security Model）是一种对计算机系统中安全策略和控制的概念化表示。它为设计和实现安全机制提供了一种理论框架，以防止未经授权的访问、保护数据的完整性和确保系统的可用性。 安全模型有很多种类型，下面列举了一些常见的安全模型： 访问控制模型（Access Control Models）：访问控制模型描述了如何控制用户对资源的访问。常见的访问控制模型有： a. 自主访问控制（DAC，Discretionary Access Control）：用户可以自主控制其拥有的资源的访问权限。访问决策基于资源拥有者的意愿。 b. 强制访问控制（MAC，Mandatory Access Control）：访问决策由系统策略确定，资源拥有者不能自由更改访问权限。通常用于高度保密的环境，如军事系统。 c. 基于角色的访问控制（RBAC，Role-Based Access Control）：访问权限基于用户角色。角色代表一组与特定职责相关的权限。 d. 基于属性的访问控制（ABAC，Attribute-Based Access Control）：访问控制基于用户、资源和环境的属性。属性可以是静态的（如用户的职位）或动态的（如当前时间）。 信息流模型（Information Flow Models）：信息流模型关注数据在系统中的传输和处理过程中的保密性。常见的信息流模型包括： a. 贝尔-拉帕杜拉模型（Bell-LaPadula Model）：这是一个用于保护数据机密性的模型。它使用安全等级和访问控制矩阵来限制信息的流动。 b. 比伯模型（Biba Model）：与贝尔-拉帕杜拉模型相反，比伯模型主要关注数据的完整性。它通过限制数据流来保护数据免受未经授权的修改。 安全状态机模型（Security State Machine Models）：这类模型使用状态机表示法来描述系统的安全状态和状态之间的转换。它们通常用于描述系统的安全属性和分析潜在的安全威胁。 安全生命周期模型（Security Lifecycle Models）：这类模型关注安全策略和控制在整个系统生命周期中的实施和管理。它们包括安全需求分析、设计、实施、测试、维护和废弃等阶段。 安全信任模型（Security Trust Models）：这类模类模型关注系统中各个实体之间的信任关系。信任模型定义了如何建立、维护和撤销信任，并规定了在特定条件下实体之间的信任程度。常见的安全信任模型包括： a. 公钥基础设施（PKI，Public Key Infrastructure）：PKI是一种基于非对称加密的信任模型，其中包括证书颁发机构（CA）和证书。CA负责验证实体的身份并颁发证书，证书中包含实体的公钥和其他身份信息。实体之间的信任是通过证书链和CA的信任来建立的。 b. 信任管理框架（Trust Management Frameworks）：信任管理框架提供了一种在分布式系统中建立和管理信任关系的方法。这类框架通常包括一组信任度量、信任建立机制和信任决策算法。例如，PGP（Pretty Good Privacy）是一种基于“Web of Trust”概念的信任管理框架，用户之间可以相互签名以建立信任关系。 c. 社交信任模型（Social Trust Models）：社交信任模型基于社交网络中的个体之间的信任关系。这类模型通常依赖于用户之间的直接或间接关系（如朋友、家人或同事）来评估信任度。一些在线社交网络（如Facebook和LinkedIn）采用社交信任模型来提供安全性和隐私保护。 d. 基于声誉的信任模型（Reputation-Based Trust Models）：这类模型依赖于实体在过去的行为和其他实体的评价来评估信任度。基于声誉的信任模型常用于在线市场、P2P网络和在线社区等场景。
        • 这道题感觉题干的重点是实现，所以选C
    • 41.When an organization takes reasonable measures to ensure that it took precautions to protect its network and resources is called: 当一个组织采取合理措施，以确保它采取预防措施来保护其网络和资源，被称为： A. Reasonable Action 合理的行动 B. Security Mandate 安全要求 C. Due Care 应有的关注 D. Due Dilliengce 应有的勤勉 42.Which of below is associated with security policy? 下面哪个与安全策略相关？ A. Support of department managers 部门经理的支持 B. Are tactical in nature 属于战术性的 C. Are strategic in nature 属于战略性的 D. Developed after guidelines 在指南之后制定 43.A multinational organization has recently undergone an external regulatory audit. The organization had numerous system configuration audit findings at a high-risk level. To verify that the findings are addressed, what is it MOST important that the auditors request? 一个跨国组织最近要接受外部监管审计。该组织有多个系统配置的高风险审计发现。要验证这些发现是否得到解决，审计师要求的最重要的是？ A.Executive level support to remediate the findings 高层支持以修补这些发现 B.Regular status updates on remediation activities 补救措施的日常状态更新 C.Technical resource availability to take corrective actions 技术资源可用性来采取纠正措施 D.System configuration standards be updated with best practice 根据最佳实践对系统配置标准的更新 44.What is essential when developing access control policies and procedures? 在制定访问控制策略和程序时，什么是最重要的？ A. Sensitivity and criticality 敏感性和重要性 B. Legacy and lifecycle requirements 传统和生命周期的要求 C. Platform technologies and quantitative value 平台技术和定量价值 D. Administration and availability requirements 管理和可用性要求 45.当带着有个人可识别身份信息 (PII) 的笔记本出国旅行时，下面哪个是最佳实践？ A.Use a thumb drive to transfer information from a foreign computer. 使用指纹驱动器从国外计算机传输信息。 B.Do not take unnecessary information, including sensitive information. 不要带不必要的信息，包括敏感信息 C.Connect the laptop only to well known networks like the hotel or public Internet cafes. 笔记本电脑只连接众所周知的网络，如酒店或公共网吧。 D.Request international points of contact help scan the laptop on arrival to ensure it is protected. 抵达后请求国际联络点帮助扫描笔记本，以确保它是受保护的。 46.Which of the following is the MOST common method of memory protection? 下面哪个是最通用的内存保护方法？ A. Segmentation 分段 B. Error correction 错误纠正 C. Compartmentalization 条块 D. Virtual Local Area Network (VLAN) tagging 虚拟局域网标记 47.Which one of the following actions would BEST assist in the gathering of information about the security of equipment in an area? 下面哪一个行动能够最好的协助收集一个区域里设备的安全信息？ A.Implement out-of-hours access controls to the area. 在区域内实施下班后的访问控制 B.Maintain a list of equipment and serial numbers. 维护设备和序列号的列表 C.Perform a physical security review. 执行一个物理安全检查 D.Interview the management and staff in the area. 与区域内的员工和经理进行面谈 48.Which of the following violates identity and access management best practices? 下面哪个违反了身份与访问管理的最佳实践？ A. User accounts 用户账户 B. System accounts 系统账户 C. Generic accounts 通用账户 D. Privileged accounts 特权账户 49.敏捷开放 Scrum 方法论中的角色是： A. 产品所有者，Scrum Master 和 Scrum团队 B. Scrum Master，质量保证团队和 Scrum团队 C. Scrum Master，需求经理和开发团队 D. 系统所有者，Scrum Master 和开发团队 50.The BEST solution for Disaster Recovery Plan (DRP) accessibility includes keeping a copy of the plan on the premises, at the hot site, and at which of the following? 让灾难恢复计划 (DRP) 可访问的最佳解决方案包括提前保存该计划到热站和下列哪些地方？ A.Vendor locations, and the DRP team managers' homes 供应商场所，和DRP团队经理的家中 B.Chief executive officer's home, and the DRP team managers' homes CEO的家里，和DRP团队经理的家里 C.DRP coordinator's home, and the DRP team managers' homes DRP协调人的家里，和DRP团队经理的家里 D.Vendor locations, and the DRP coordinator's home 供应商场所，和DRP协调人的家里 51.Which of the following statements pertaining to the security kernel is incorrect? 下面哪个关于安全内核的描述是不正确的？ A.It is made up of mechanisms that fall under the TCB and implements and enforces the reference monitor concept. 它是由遵循TCB的机制组成，实施并增强了参考监视器的概念。 B.It must provide isolation for the processes carrying out the reference monitor concept and they must be tamperproof 它必须对执行参考监视器概念的进程提供隔离，并且它们必须是防篡改的 C.It must be small enough to be able to be tested and verified in a complete and comprehensive manner 它必须足够小，才能够以完全和完备的方式被测试和验证 D.Is an access control concept, not an actual physical component 安全内核是一个访问控制概念，不是一个实际的物理组件 52.Implementing baseline controls PRIMARLY provides which of the following? 实施基线控制主要提供了下面哪项？ A.The opportunity to start a security certification program 一个启动安全认证体系的机会 B.An inexpensive and effective initial protection solution 一个便宜而且有效的初始保护解决方案 C.A foundation to measure the security program 一个测量安全体系的基础 D.Common elements for comparing progress with other companies 与其他公司对比进展状况的通用要素
      • 43
        • 定期的，经常的，常规的更新
      • 44
        • 针对客体的敏感性和重要性制定
      • 51
        • 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。
      • 52
        • 安全基线 • 安全基线与英文排版的基线类似，是一条参考标准线。 • 安全基线表达了最基本需要满足的安全要求。
    • 53.The initial handshake with Extensible Authentication Protocol (EAP) uses which of the following message types? 扩展认证协议 (EAP) 的初始握手使用了下面哪个消息类型？ A. EAP-Success/Failure EAP-成功/失败 B. EAP-Request/Identity EAP-请求/身份 C. EAP-Response/Identity EAP-响应/身份 D. EAP-Request/Response EAP-请求/响应 54.To gain entry into a building, individuals are required to use a palm scan. This is an example of which type of control? 为了进入到一个建筑物，人们需要使用掌纹扫描。这是那种类型的控制实例？ A. Physical detective 物理检测性 B. Physical preventive 物理预防性 C. Administrative detective 管理检测性 D. Administrative preventive 管理预防性 55.A hacker can use a lockout capability to start which of the following attacks? 黑客可以使用锁定能力来开始下面哪个攻击类型？ A. Man-in-the-Middle (MITM) 中间人攻击 B. Denial of Service (DoS) 拒绝服务攻击 C. Dictionary 字典攻击 D. Ping flood ping洪水攻击 56.Which of the following are functions that are compatible in a properly segregated environment? 下面哪个是在一个正确职责分离的环境中可以兼容的职能？ A. Security administration and quality assurance 安全管理和质量保障 B. Security administration and data entry 安全管理和数据录入 C. Security administration and application programming 安全管理和应用编程 D. Application programming and data entry 应用编程和数据录入
      • 53
        • EAP（Extensible Authentication Protocol），可扩展认证协议，是一种普遍使用的支持多种认证方法的认证框架协议，主要用于网络接入认证。 该协议一般运行在数据链路层上，即可以直接运行于PPP或者IEEE 802之上，不必依赖于IP。EAP可应用于无线、有线网络中。 EAP的架构非常灵活，在Authenticator（认证方）和Supplicant（客户端）交互足够多的信息之后，才会决定选择一种具体的认证方法，即允许协商所希望的认证方法。认证方不用支持所有的认证方法，因为EAP架构允许使用一个后端的认证服务器（也就是AAA服务器），此时认证方将在客户端和认证服务器之间透传消息。 EAP认证方法目前大约有40种，IETF的RFC中定义的方法包括：EAP-MD5、 EAP-OTP、EAP-GTC、EAP-TLS、EAP-SIM和EAP-AKA, 还包括一些厂商提供的方法和新的建议。 EAP的典型过程如下： 1、Authenticator发送请求报文EAP-Request给Supplicant（客户端），表明EAP认证开始。该请求由一个字段标明需要请求的数据是什么。这个字段包含Identity（询问对端的身份）, MD5-challenge（MD5挑战字）等。上述发送EAP-Request的步骤在某些情况下也可省去，比如在有线网络中，Authenticator（有时也称为NAS）已经根据客户端连接的端口识别用户身份，或者通过MAC地址，IMSI卡等识别用户身份的情况下。 2、Supplicant针对Authenticator发过来的请求回应一个响应消息EAP-Response，该消息包含了请求消息中请求的字段信息，如身份识别信息。 3、Authenticator继续发送EAP-Request消息，消息中包含具体EAP Type及其协议数据，Supplicant对此做出响应。根据EAP Method的不同，此步骤可能会交互多次。 EAP交互过程是Supplicant与Authenticator一来一往的过程，每次只能处理一个EAP报文，在收到响应之前不能发送新的请求，即锁步机制（Lockstep）。因此Authenticator要负责请求消息的重传。如果重传一定次数后都没有收到应答消息，这次的EAP过程就要被终结。重传后收到应答消息或者一直没有收到应答消息，Authenticator都不发送成功或者失败消息。 4、交互多次之后，会出现两种情形：Authenticator不能确认Supplicant的接入权限，此时必须发送EAP-Failure，终结此次的EAP过程；或者确认接入权限，此时必须发送EAP-Success消息。 Authenticator也可以作为Pass Through设备，透传EAP报文。这种情形下Authenticator检查EAP的Code，Id及Length并将报文转发出去。Authenticator需要将EAP Code为2（Response）的报文转给后端的认证服务器，将EAP Code=1（Request），3（Success），4（Failure）的报文转给Supplicant。在这个处理过程中除非Pass Through Authenticator实现了某种EAP Methods，一般是只将消息转发，并不去检查EAP Methods Layer的的消息头（即EAP Type）。
      • 55
        • 攻击后锁定能力和系统，所以选B
      • 56
        • 子主题
    • 57.How does a Host Based Intrusion Detection System (HIDS) identify a potential attack? 基于主机的入侵检测HIDS是如何识别可能的攻击的？ A.Examines the Access Control List (ACL) 检查访问控制列表ACL B.Matches traffic patterns to virus signature files 将流量与病毒签名文件进行对比 C.Examines log messages or other indications on the system 检查系统的日志消息或其他提示 D.Monitors alarms sent to the system administrator 监控发给系统管理员的报警 58.With RBAC, each user can be assigned: 根据RBAC，每个用户可以被分配： A. One or more roles 一个或多个角色 B. Only one role 只有一个角色 C. A token role 一个令牌角色 D. A security token 一个安全令牌 59.With RBAC, roles are: 根据RBAC，角色是？ A. Based on labels. 基于标签的 B. All equal 所有都一样的 C. Hierarchical 分层级的 D. Based on flows. 基于流的 60.Which one of the following entails periodical transmitting copies of on-line transactions to a remote computer facility for backup? 下列哪一个定期发送交易副本到远程的计算机备份设施？ A. Archival storage management (ASM) 档案存储管理 B. Electronic vaulting 电子跳跃 C. Hierarchical storage management (HSM) 分层存储管理 D. Data compression 数据压缩
    • 61.下面哪项正确描述了基于角色的访问控制？ A.It allows you to specify and enforce enterprise-specific security policies in a way that maps to your user profile groups. 它允许你定义和执行企业特定的安全策略，这些策略对应于你的用户配置文件组 B.It allows you to specify and enforce enterprise-specific security policies in a way that maps to your organizations structure. 它允许你定义和执行企业特定的安全策略，这些策略对应于你的组织架构 C.It allows you to specify and enforce enterprise-specific security policies in a way that maps to your ticketing system. 它允许你定义和执行企业特定的安全策略，对应于你的票证系统 D.It allows you to specify and enforce enterprise-specific security policies in a way that maps to your ACL. 它允许你定义和执行企业特定的安全策略，对应于你的访问控制列表 62.一个大型组织使用唯一的身份标识，并要求他们在每次系统会话的开始时使用。应用程序访问是基于工作职责的分类。该组织定期对访问控制和违规进行独立的审核。该组织使用了有线和无线网络，以及远程访问。该组织还使用了到分支机构的安全连接，以及针对某些选择的信息和流程实施安全的备份和恢复策略。以下哪项最好的描述了该组织采用的访问控制方法？ A. Least privilege 最小特权 B. Lattice Based Access Control (LBAC) 基于格子的访问控制 C. Role Based Access Control (RBAC) 基于角色的访问控制 D. Lightweight Directory Access Control (LDAP) 轻量目录访问控制 63.一个大型组织使用唯一的身份标识，并要求他们在每次系统会话的开始时使用。应用程序访问是基于工作职责的分类。该组织定期对访问控制和违规进行独立的审核。该组织使用了有线和无线网络，以及远程访问。该组织还使用了到分支机构的安全连接，以及针对某些选择的信息和流程实施安全的备份和恢复策略。 访问控制日志除了身份标识外还必须包含什么内容？ A. Time of the access 访问的时间 B. Security classification 安全的分类 C. Denied access attempts 拒绝访问尝试 D. Associated clearance 相关的身份级别 64.一个大型组织使用唯一的身份标识，并要求他们在每次系统会话的开始时使用。应用程序访问是基于工作职责的分类。该组织定期对访问控制和违规进行独立的审核。该组织使用了有线和无线网络，以及远程访问。该组织还使用了到分支机构的安全连接，以及针对某些选择的信息和流程实施安全的备份和恢复策略。 除了要在每个用户会话前进行身份验证外，最佳实践的做法，应该在何时进行重新验证？ A. 在退出系统时进行验证 B. 运行每个业务流程时进行验证 C. 在会话过程中定期进行验证 D. 在一段不活跃期后进行验证
      • 61
        • 应该是看错行，选B无疑
      • 63
        • 时间
      • 64
        • 记住
    • 65.在设计计算机系统时，引入TPM可信任平台模块(Trusted Platform Module)的目的是？ A.建立一个安全的初始状态 B.防止拒绝服务攻击 C.与公共密钥基础设施(PKI)建立接口 D.提高安全软件的质量 66.相对于 FC SAN 而言，IP SAN ？ A. 存储设备不容易遭到可用性攻击 B. 数据流量的机密性得到了更好的保护 C. 消除了对存储设备的spoofing攻击 D. 网络流量更容易遭到嗅探 67.应急计划演练的目的是？ A．验证服务级别协议 B．发现系统脆弱性 C．培训相关人员明确角色职责 D．验证运营指标 68.以下哪一项最有效地防止电子邮件欺骗？ A．加密签名 B．垃圾邮件过滤 C．统一资源定位符URL过滤 D．反向DNS查询
    • 69.谁对确保信息资产被正确分类并有适当的保护措施这件事负有最终责任？ A. 首席信息安全官 B. 数据保管人 C. 数据/信息/业务所有者 D. 执行管理层 70.对企业相关人员进行安全意识教育时必须： A. 解释所有合规要求都是需要被强制执行的 B. 识别安全消息及其受众，解释安全的必要性 C. 确保安全培训的内容包括了所有相关内容 D. 解释黑客是如果利用安全漏洞进行攻击的
      • 69
        • D就是管理层
      • 70
        • 记住
    • 71.进行渗透测试时，以下哪一项能指明网络上正运行了哪些组件？ A.配置管理 (configuration management) B.网络拓扑 (network topology) C.勘探工具 (mapping tools) D.ping测试 (ping testing) 72.以下哪一项能最有效的防止外包软件开发中的安全缺陷？ A. 进行软件许可、代码知识产权保护 B. 对工作的准确性和交付质量进行认证 C. 进行交付日期控制、变更管理控制和预算控制 D. 定义代码质量的合同要求 73.企业在收集隐私保护相关信息以明确其在隐私保护方面所负有的法律责任时，最相关的信息是？ A. 企业用于保护隐私信息的规程 B. 企业当前与隐私保护相关的安全方针 C. 对企业适用的政府机构颁布的隐私相关的法规 D. 由被认可的安全标准组织发布的隐私保护最佳实践 74.以下哪个验证协议为每一个会话创建一个新的随机数？ A. 点对点协议(PPP) B. 密码验证协议 (PAP) C. 可扩展验证协议(EAP) D. 挑战握手验证协议(CHAP) 75.组织的安全策略允许ping数据流经网络。攻击者在网络上利用ping 数据包的载荷在网络间传输数据。这种攻击方法被称为： A. 旁路攻击 B. 色拉米攻击 C. 碎片攻击 D. 隐蔽通道 76.在审核系统管理时，审计师发现系统管理员没有经过必要的培训，为了确保系统的完整性，需要立即采取哪项行动？ A. 安排有经验的管理员对所有系统进行评审 B. 对所有部门的规程进行评审 C. 对所有培训规程进行评审 D. 对HR招聘新员工的策略以及验证新员工能力的方法进行评审 77.OSI模型中，在发送方和接收方之间建立逻辑连接的是哪一层？ A. 物理层 B. 会话层 C. 传输层 D. 数据链路层 78.以下哪一项是最小授权原则的运用？ A. 建立岗位轮换机制 B. 监控和评审特权会话 C. 建立VPN隧道连接 D. 建立沙箱环境
    • 79.检查安全编程的实践是否被贯彻，例如审计是否存在后门的最佳方法是？ A.对日志进行审计 B.影响分析 C.静态分析 D.代码评审 80.以下哪一项关于DRP测试的描述是正确的？ A. 如果所有测试都通过了，说明公司已经完全准备好应对灾难了。 B. 在测试时，需要停止其他的开发工作。 C. 只有在全部灾难计划能够被测试后才能开展测试 D. 如果部分测试出现故障，测试仍应该继续 81.IT风险管理计划最终必须由谁签字同意？ A．执行风险评估的IT审计师 B．高级管理层 C．CIO 首席信息官 D．CISO首席信息安全官 82.哪种火灾探测设备能够最快探测火灾： A． 离子探测 B． 光电探测 C． 红外探测 D． 紫外火焰探测 83.收集详细日志信息的主要问题是？ A. 大部分系统和应用不支持日志记录 B. 日志无法提供关于系统和应用活动的足够细节 C. 及时评审日志比较困难 D. 在需要日志的时候日志不可用的可能性增大 84.以下哪一项是网络配置管理中常见的风险？ A. 用户ID和密码没有设置有效期 B. 补丁难以保持一致 C. 网络拓扑图没有及时更新 D. 网络管理的职责分派给了系统管理员
      • 79
        • 软件测试
          • 代码评审和测试
            • 测试技术
              • 白盒(结构性测试/开箱测试) vs. 黑 盒测试(功能性测试/闭箱测试)
              • 动态测试 VS. 静态测试 Dynamic Testing vs. Static Testing
                • 静态
                  • 程序不需要运行 分析源代码或编译后的程序 通常需要自动化检测工具 无法发现程序的逻辑错误
                • 动态
                  • 程序处于运行中的测试 例如，使用合成交易(synthetic transaction)的测试
              • 手工 vs. 自动化 Manual Testing vs. Automated Testing
            • 规划和设计阶段 During Planning and Design
              • 架构安全评审
                • 先决条件:架构模型 优点:验证架构偏离安全标准
              • 威胁建模 Threat Modeling
                • 先决条件:业务用例或使用场景 识别威胁、及其影响以及具体到软件产品开发过程中的潜在控制措施。 STRIDE 模型
            • 应用开发阶段 During Application Development
              • Static Source Code Analysis and Manual Code Review (静态代码分析和 手动代码评审)
                • 不执行程序而分析应用源代码，查找漏洞。 先决条件:有应用源代码
              • Static Binary Code Analysis and Manual Binary Review (静态二进制代码分析和手工二进制审查)
                • 对已编译的应用进行分析来发现弱点， 并不执行应用 不精确且不提供修复建议
            • 在测试环境中可执行 Executable in a Test Environment
              • 手工或自动化渗透测试
                • 像攻击者一样发送数据并发现其行为。 优点:在部署的应用上识别大量的弱点;
              • 自动化漏洞扫描
                • 测试使用已知不安全的系统组件或配置的应用。 设定预攻击模式，分析系统指纹。 优点:检测已知漏洞
              • Fuzz Testing模糊测试
                • 优点:检测至关重要的应用程序的崩溃(例如，由缓冲区溢出引起的)
                • 发送随机数据(常常远比应用所期望的更大块)到应用输入渠道来引起应用的崩溃。
          • 用例和误用例
            • 用例 Use cases
              • 站在正常用户使用系统的角度的测试用例
            • 误用例 misuse case:
              • 来自对系统怀有恶意的人员视角的用例
            • 正向测试方法 Positive testing
              • 确定应用按照所期待的方式进行工作， 如果在正向测试中发现错误则失败
            • 负向测试 N egati v e testing
              • 确保应用可以妥善处理无效输入或非预期用户行为
          • 代码级别的测试 Code-based testing
            • 结构化测试 (“白盒”测试/水晶盒 测试)开箱测试
              • 结构化测试主要是放在模块级别的测试; 结构化测试级别可以用被测试的软件结构的百分比来作为指标来衡量;
              • 白盒测试检查程序的内部逻辑结构并逐行检查代码， 分析程序是否存在潜在错误。白盒测试的关键属性是 测试人员可以访问源代码。《OSG 第20章》
            • 测试用例基于从源代码、细节设计规格说明和其他开发文档中获得的知识;
            • Common structural coverage 测试覆盖率(适用于白盒)
              • 判定(分支)覆盖率 Decision(Branch) Coverage 条件覆盖率 Condition Coverage 函数覆盖率 Function Coverage 循环覆盖率 Loop Coverage 语句覆盖率 Statement Coverage
          • 软件功能测试 functional software testing
            • 功能性测试或“黑盒”测试/闭箱测试 (functional testing or blackbox testing)
              • 测试用例基于软件产品具体要做什么来定义的 测试用例的主要挑战是预期用途和程序功能以及程序的内外部接口; 功能性测试应用于任意级别的软件测试，从单元测试到系统级别的测试 黑盒测试通过提供各种输入场景并检查输出， 从用户的角度检查程序。 黑盒测试人员无权 访问内部代码。 在系统交付之前进行的最终 验收测试是黑盒测试的一个常见示例。《OSG 第20章》
            • Normal Case 普通用例
            • Output Forcing 输出要求， Robustness 鲁棒性
            • Combinations of Inputs 输入组合
            • weakness 弱点
              • 很难将结构化和功能化测试的完成标准与软件产品的可靠性链接起来
          • 灰盒测试
            • 灰盒测试结合了白盒测试和黑盒测试这两种方法，在软件验证中很流行。在这种方法中，测试人员从用户的角度检查软件，分析输入和输出。他们还可以访问源代码并使用它来帮助设计他们的测试。但是，他们在测试期间不会分析程序的内部工作原理。
          • 网站监测
            • 真实用户监控RUM
              • Web监控方法，旨在捕获或分析Web或应用上每个用户的每笔交易，又称为real-user measurement真实用户测量, real-user metrics真实用户指标 passive monitoring被动监控的方式
            • 合成交易
              • proactive monitoring 主动或预响应监控的方式
                • 包含使用外部代理(agent)运行脚本交易的方式而不是Web应用
                • 这些脚本依照典型用户体验，如用户搜索、查看产品、登录和支付等方式来评估用户体验
                • 综合监控是轻量级和低水平的代理方式， 但很Web浏览器有必要运行发生在页面上处理JavaScript, CSS, and AJAX调用
              • 并不追踪真实的用户会话
                • 在一个已知的位置以固定的时间间隔执行一组已知的步骤， 其性能是可预测的。 比RUM更适合评估站点可用性和网络问题
              • 客户端完全可控 full control over the client
                • 不像沙盒JAVA脚本方式驱动的RUM，细 节的获得可以更客观
              • 提升价值
                • 了解远程站点是否可达 理解第三方服务对业务应用系统造成的性能影响 监控SaaS应用的性能和可用性 测试使用SOAP、REST或其他Web服务的 B2B Web站点 监控关键数据库的可用性 衡量服务级别协议(SLAs) 在低业务流量时段作为对真实用户监控的补偿 建立性能基线，进行性能趋势分析 7x24 系统可用性监控
          • 软件变更测试
            • 原因
              • 调试发现的问题并进行纠正; 新的或变化的需求; 发现设计的修改能更高效或有效实施
            • 目的
              • 变更已正确实施 未对其他部分造成不利影响 回归分析:确定变更的影响，基于相关文档(软件规格说明、设计规格、源代码等)的评审，也是为识别运用必要的回归测试; 回归测试:运用之前程序执行正确的测试用例，比对现有结果和以前的结果发现软件变化的非预期结果。
          • 接口测试(interface test)
            • 主要检查应用或系统开发的不同组件彼此是否同步; 从技术层面接口测试主要用于确定不同功能诸如数据在系统的不同元素中是否按照设计进行传输 用于确保软件的质量
          • 严格和完整的测试 (V字模型)
            • 验收测试
              • UAT(用户验收测试) QAT(质量保证测试)
            • System level testing 系统测试
              • 安全和隐私(例如，加密功能、安全日志报告) 性能问题(例如，响应时间、可靠性测量) 压力情况下的反应(例如，最大载荷下的表现) 内外部安全特征的操作 恢复步骤的有效性 易用性 Usability; 不同配置下的表现 文档的准确性 与其他软件的兼容性
            • Integration level testing 集成测试(测模块之间的接口)
              • 自上而下(Top-Down) 自下而上 (Bottom-Up) 三明治方法
            • Unit (module or component) level testing 单元测试
          • Web应用安全测试技术
            • SAST
              • SAST(静态应用程序安全测试)是指在开发过程中执行的安全测试。 它使用程序分析技术来检查源代码，以发现可能存在安全风险的代码， 例如SQL注入漏洞，跨站脚本攻击，跨站请求伪造等攻击。 业界商业级的SAST工具误报率普遍在30%以上，误报会降低工具的实用性， 可能需要花费更多的时间来清除误报而不是修复漏洞。 SAST的误报率高是因为它在检测源代码时采用的程序分析技术具有某种局限性。 它可能报告错误的漏洞，因为它无法考虑到运行时的环境，内部状态或程序的动态输入
            • DAST
              • DAST(动态应用程序安全测试)是一种对Web应用程序进行安全测试的方法， 它用于发现和报告潜在的安全漏洞。DAST技术会模拟攻击者，从而检测Web 应用程序的安全漏洞。
            • IAST
              • IAST(交互式应用程序安全测试 Interactive Application Security Testing)是2012年 Gartner公司提出的一种应用程序安全测试方案，通过代理、VPN或者在服务端部署Agent程序， 收集、监控Web应用程序运行时函数执行、数据传输，并与扫描器端进行实时交互，高效、准确 的识别安全缺陷及漏洞，同时可准确确定漏洞所在的代码文件、行数、函数及参数。 IAST相当于是DAST和SAST结合的一种互相关联运行时安全检测技术
            • 注意与 RASP 的区别
              • RASP(运行时应用程序安全保护)是一种实时监控和保护Web应用程序的技术。 它实施在正在运行的应用程序上，可以实时监控和保护应用程序，以防止未经授 权的访问，破坏和其他攻击行为。 RASP可以被认为是应用程序安全的安全防护， 它可以检测和阻止攻击者的攻击。
      • 80
        • C可以部分先测试 D-记住
      • 84
        • C-记住
    • 85.组织对应用系统进行认证认可，认可的最后一步是： A. 对漏洞进行纠正 B. 进行授权的官员接受风险 C. 采用标准化的策略和规程 D. 信息安全官的批准 86.进行安全认证的主要目的是： A. 识别系统威胁、漏洞和可接受的风险水平 B. 正式确认风险分析和风险缓解已完成 C. 正式确认对安全策略和标准的符合性 D. 验证系统架构以及与其他系统关联的有效性 87.以下哪一项是本地部署身份管理系统的优点？ A．降低行政管理开支 B．降低基础设施资本成本 C．控制系统配置 D．改进身份互操作 88.组织使用了基于角色的访问控制(RBAC)，以下哪一项能防止不恰当的特权聚集？ A. 动态职责分离 B. 分级继承 C. BLP安全模型 D. Clark-Wilson 安全模型 89.识别数据泄漏的最大挑战是： A. 对相关疑问的理解依赖于法律执行 B. 高级管理层在调查可疑行为时的配合 C. 文档化的资产分级策略和清晰地为资产赋予标签 D. 对用户活动进行监控的可用技术工具
    • 90.把字典攻击和暴力破解结合起来的，针对口令的攻击是： A. 社会工程 B. 混合攻击 C. 彩虹表攻击 D. 水坑攻击 91.点阵(lattice)模型的主要特征是： A. 最小上界和下界 B. 最大上界和下界 C. 最小下界，最大上界 D. 最小上界，最大下界 92.SIP 会话初始协议 (Session Initiation Protocol) 属于哪一层协议： A. 数据链路层 B. 传输层 C. 会话层 D. 应用层 93.以下哪项是使用手动补丁安装而不是自动补丁安装程序的原因？ A. 系统或应用程序不兼容的可能性将降低 B. 安装补丁所需的成本将降低 C. 系统易受攻击的时间将缩短 D. 覆盖大范围地理区域的能力得到提 94.业务连续性计划 (BCP) 何时被视为有效(valid)？ A. 当它被业务连续性经理验证后 B. 当它被经董事会验证后 C. 当它被所有的威胁场景验证后 D. 当它被现实的演练验证后 95.以下哪项是在商业软件构建中使用开源软件的主要风险？ A．缺少软件文档 B．许可协议到期 C．与软件支持相关的成本 D．要求发布修改代码的许可协议 96.基于角色的访问方法最有效地减轻了以下哪项安全风险？ A．业务应用程序中的职责分离冲突 B．对系统和数据的过度访问权限 C．缺少系统管理员活动监视 D．不适当的访问请求 97.以下哪种技术在处理数据时添加一些随机性，使得个人数据无法被准确识别，但又能保证统计特征较为准确？ A．去标识化 de-identification B．差分隐私 differential privacy C．微聚合 Micro-aggregation D．黑暗模式 dark patten 98.以下哪项是数据所有者的责任？ A. 通过对持续数据完整性的定期审计来确保质量和验证 B. 维护基本数据可用性，包括数据存储和归档 C. 确保适当用户的可访问性，保持适当的数据安全级别 D. 确定信息对组织使命的影响 99.在实施数据分级程序时，为什么避免过细的粒度很重要？ A.很难为数据分配所有权 B.该过程将被视为有价值 C.该过程将需要太多资源 D.很难同时适用于硬件和软件 100.一位组织高管的个人笔记本电脑从办公室被盗，其中包含人事和项目记录。应首先执行以下哪项以缓解未来发生这类情况的风险？ A. 加密个人笔记本电脑上的磁盘 B. 发行用于个人笔记本电脑的电缆锁 C. 制定处理个人笔记本电脑关键信息的政策 D. 监控个人笔记本电脑的关键信息
      • 90
        • B，想多了 彩虹表是一种密码破解技术，用于破解密码哈希的安全性。‌ 它通过预先计算大量的哈希值和对应的明文密码，并将结果存储在一个庞大的表中，从而能够快速破解加密密码，尤其是当使用弱密码时。‌
      • 91
        • 最小上界，最大下界，记住
      • 92
        • 应用层
      • 95
        • 开源软件要求更改后的代码也要开源，所以存在违约风险
      • 97
        • A. 去标识化是《个人信息保护法》里的定义，和GDPR的假名化接近，只有匿名化的数据才不是个人数据。去标识化并不是万无一失的。在某些情况下，恶意攻击者可能会采用各种技术手段来还原去标识化后的数据中的个人信息。因此，在实施去标识化的过程中，需要采取额外的安全措施来确保数据的安全性和完整性。 C. 微聚合就是使用聚合后的数据，可以减少个人信息的暴露。 D. 黑暗模式/暗黑模式，使用带有欺骗和误导性质的用户界面，不当地获取更多的用户信息。
        • 题中考察点是添加随机性 差分隐私（Differential privacy）最早于2008年由Dwork 提出，通过严格的数学证明，使用随机应答（Randomized Response）方法确保数据集在输出信息时受单条记录的影响始终低于某个阈值，从而使第三方无法根据输出的变化判断单条记录的更改或增删，被认为是目前基于扰动的隐私保护方法中安全级别最高的方法。 差分隐私保护的是数据源中一点微小的改动导致的隐私泄露问题。差分隐私，顾名思义就是用来防范差分攻击的。 举个简单的例子，假设现在有一个婚恋数据库，2个单身8个已婚，只能查有多少人单身。刚开始的时候查询发现，2个人单身；现在张三跑去登记了自己婚姻状况，再一查，发现3个人单身。所以张三单身。这里张三作为一个样本的的出现，使得攻击者获得了奇怪的知识。而差分隐私需要做到的就是使得攻击者获得的知识不会因为这些新样本的出现而发生变化。 差分隐私分类 客户端侧采用的差分隐私机制一般被称为本地化(Local)差分隐私 通过可信中间节点进行扰动可以被称为分布式( Distributed)差分隐私 由服务器完成的扰动被称为中心化(Centralized)差分隐私 而融合了上述两种或以上的差分隐私方法则被称为混合( Hybrid )差分隐私
        • 差分攻击 ‌‌差分攻击是一种攻击‌密码算法的方法，通过比较分析有特定区别的明文在通过加密后的变化传播情况来攻击密码算法。‌ 差分攻击是针对对称分组加密算法提出的攻击方法，看起来是最有效的攻击DES的方法，但需要很大的空间复杂度。‌ 差分攻击的基本原理是通过选择特定形式的明文对（选择明文攻击），分析它的差对密文差的影响来获得可能性最大的密钥。例如，在DES算法中，差分攻击通过异或运算定义差分运算，通过分析特定明文差分对相对应密文差分的影响来提取密钥。‌
      • 99
        • 粒度细成本高
      • 100
        • 有方针策略的先选方针策略，而且可能是加密后被盗的
    • 101.处理机密数据的系统的应用程序所有者离开了组织。预计将在大约六个月内聘用替代人员。在此期间，组织应该做以下哪一项？ A. 授予对前应用程序所有者帐户的临时访问权限 B. 为系统分配一个临时应用程序所有者 C. 限制对系统的访问，直到聘用了替代应用程序所有者 D. 在聘用替代应用程序所有者之前，防止更改机密数据 102.在前往高风险区域之前，以下哪些措施可以降低笔记本电脑的风险？ A. 检查设备是否被物理篡改 B. 实施更严格的基线配置 C. 清除或重新映像硬盘驱动器 D. 更改访问口令 103.组织希望为员工离职率高的IT基础设施项目部署授权机制。首选哪种访问控制机制？ A. 基于属性的访问控制 (ABAC) B. 自主访问控制 (DAC) C. 强制访问控制 (MAC) D. 基于角色的访问控制 (RBAC) 104.以下哪项最有可能导致对生产程序进行未经授权的变更？ A. 未经批准修改源代码 B. 未经批准将程序推向生产 C. 开发人员未经批准签出(check out)源代码 D. 未经批准使用快速应用程序开发 (RAD) 方法的开发人员 105.以下哪项会对可用性产生最大的负面影响？ A. 拒绝服务 (DoS) 攻击和过时的硬件 B. 未经授权的交易和过时的硬件 C. 发生火灾和意外更改数据 D. 未经授权的交易和拒绝服务攻击 106.哪种安全方法最能最大程度地减少数据泄露(data breach)造成的个人身份信息 (PII) 损失？ A. 传输中数据的端到端加密 B. 持续监测潜在漏洞 C. 强大的数据泄露通知流程 D. 对个人机密数据的有限收集
    • 107.信息安全意识和培训的主要目标是什么？ A. 通知用户最新的恶意软件威胁 B. 告知用户信息保障责任 C. 遵守组织信息安全政策 D. 为参加培训者做好获得认证的准备
      • 培训的作用一般都是告知
    • 108.经验证的应用程序安全原则包括以下哪一项？ A. 最小化攻击面 B. 开发独立模块 C. 接受基础设施安全控制 D. 加固网络边界 109.从安全的角度来看，对于应用程序的输入必须做出以下哪种假设？ A. 不可信 B. 已记录 C. 已验证 D. 经过测试 110.点对点协议 (PPP) 使用以下哪项来确定数据包格式？ A. 第 2 层隧道协议 (L2TP) B. 链路控制协议 (LCP) C. 质询握手认证协议 (CHAP) D. 数据包传输协议 (PTP) 111.以下哪个授权标准是为处理联合身份管理 (FIM) 的应用程序编程接口 (API) 访问而构建的？ A. 远程验证拨入用户服务 (RADIUS) B. 终端访问控制器访问控制系统加 (TACACS+) C. 开放授权 (OAuth) D. 安全断言标记语言 (SAML) 112.一家总部位于美国 (US) 并在法国设有分支机构的国际医疗组织希望在这两个国家测试一种药物。允许组织对测试对象的数据做什么？ A. 聚合到美国的一个数据库中 B. 在美国处理，但在法国存储信息 C. 与第三方共享 D. 匿名化并在美国处理
    • 113.以下哪项限制了个人执行特定过程的所有步骤的能力？ A. 工作轮换 B. 职责分离 C. 最小特权 D. 强制性假期
      • 不选最小特权的原因是：可能最小特权后的权利还是包括了所有的步骤
    • 114.只允许企业内特定岗位职责的员工在某个限定的时间访问系统，使用哪种访问控制？ A. 强制访问控制 (MAC) B. 自主访问控制 (DAC) C. 基于角色的访问控制 (RBAC) D. 基于属性的访问控制 (ABAC) 115.创建身份时，采集生物特征是在哪个阶段？ A. 注册. (enrollment) B. 开通. (provisioning) C. 验证. (authentication) D. 标识. (identification) 116.使用 SAML 需要？ A．维护PAS B．建立SA安全关联 C．使用RPC远程过程调用 D．用户至少在一个provider上注册
    • 117.系统管理员用以用以下哪一项识别未授权的调制解调器： A．回拨 B．搭线窃听 C．战争拨号 D．战争驾驶
      • 战争驾驶就是指使用相应的硬件和软件打造的无线局域网侦察平台，通过徒步或利用相应交通工具的方式在各个城镇的每个街道寻找不设防的无线访问点(AP)的一种统称。
      • 战争拨号器（wardialer）是一个用于识别可以成功连接到调制解调器的电话号码的电脑程序。这个程序可以自动的拨叫一定范围内的电话号码，并且将那些成功连接到调制解调器的号码记录并存入一个数据库中。
    • 118.关于 BSIMM (Building Security In Maturity Model) 的正确描述是： A．是一个非开放的基于软件安全实践模块的框架 B．是一个安全产品评估的概念模型 C．了解、执行、计划软件安全开发的积极行动 D．是一个为软件安全漏洞提供严重程度的评级模型 119.关于ISO/IEC 15408的正确描述是： A．用于指导信息安全管理体系的风险评估活动 B． 用于评价目标产品的安全保护等级 C．是一个关于企业IT治理的框架标准 D．是一个评估软件开发的成熟度模型的标准 120.以下哪个定义了恶意的 AP (访问接入点) ： A．没有通过防火墙管理的 AP B．没有使用 WEP加密的 AP C．接入交换机但是没有网络管理员管理的 AP D．被某种特洛伊木马或者恶意软件感染的 AP
      • 118
        • BSIMM( The Building Security In Maturity Model) 软件安全构建成熟度模型 (BSIMM) 是一项针对当前软件安全方案或计划开展的研究。BSIMM 量化不同行业、规模和地域的众多组织的应用安全 (appsec) 实践，并识别各个组织独特的差异。 作为一套随时间的不断发展演进的数据驱动的描述性模型，BSIMM的唯一目标就是观察和报告。其通过对大量企业进行评估得出的统计数据，进行分类归纳，形成的软件安全评估模型。 用途 BSIMM的最重要的用途是作为一个标尺来确定企业目前采用的方法相对于其他企业处于何种位置。企业只需要梳理已经开展了哪些活动，在软件安全框架中找到这些活动，然后再构建自己的记分卡并将其与BSIMM记分卡进行比较，就可以发现自身的不足之处。 BSIMM 是一套随时间的不断发展演进的数据驱动的模型。随着本项目的演进，不断根据所观察到的数据来添加、删除和调整各类活动的级别。 BSIMM主要是用于观察企业开发的安全活动与行业进行一个比较，给企业开发组织反馈一份的分析报告。
      • 119
        • 通用准测（CC），ISO/IEC 15408 7个评估保证级别（EAL） EAL1 功能测试 EAL2 结构测试 EAL3 系统地测试和检查 EAL4 系统地设计、测试和复查 EAL5 半正式地设计和测试 EAL6 半正式地验证设计和测试 EAL7 正式地验证设计和测试 2. 某款产品被分配了保证级别，还应该被正确配置 3. CC的组成部分 PP（保护样板，Protection Profile，OSG称保护范畴）：客户的安全要求 TOE（评估目标）：提供安全解决方案的产品 ST（安全目标）：供应商的书面说明（即产品的功能和如何实现这些功能） 安全功能要求：产品必须提供的每一个安全功能 安全保证要求：为保证所声称的安全功能而采取的措施 数据包（即EAL） 4. ISO/IEC 15408的三个部分 ISO/IEC 15408-1 入门和通用评估模型，即确定TOE的核心概念 ISO/IEC 15408-2 安全功能组件，即要评估的安全功能要求 ISO/IEC 15408-3 安全保证组件，即考量TOE保证的标杆 5. 对产品进行评估的原因：独立第三方的全面检测 6. 认证（Certification）与认可（Accrediation，OSG称鉴定） 认证：对安全组件全面的技术评估，目标是确保产品能够适合客户的目的 认可：管理对系统整体安全和功能的充分性的认定 这里还有个概念Validation，验证产品是否满足实际需求 7. （OSG P211）TESEC，可信计算机系统评估标准 可与EAL7个等级进行类比 D 最小保护 C1 自主保护 C2 受控访问保护（介质清除） B1 标签化安全 B2 结构化保护（不能存在隐蔽通道） B3 安全域 A1 已验证保护 B1、B2、B3基于安全标签
      • 120
        • 恶意的 AP的定义就是没有网络管理员的AP
    • 121.以下哪项是机密性必须包含的？ A．数据保留 B．文档处置 C．数据处置 D．文件保留 122.如何最快速便捷清点员工人数？ A．主动红外探测 B．生物识别门禁系统 C．佩带RFID工卡 D．使用动态令牌 123.获得一个操作系统版本是centos 5.1，这是在渗透测试的那个阶段？ A．报告 B．发现 C．枚举 D．利用 124.一个员工制作并上传病毒到内网， 司法鉴定人员应该： A．断掉员工电脑网络连接 B．内部公告病毒影响 C．进行针对病毒的渗透测试 D．扣留该员工电脑 125.以下组织遇到的哪类安全问题最可能造成直接金钱上的损失？ A．设备 B．声誉 C．信息 D．信用 126.以下哪项必须成为支持电子发现存储在云环境中的数据的合同的一部分？ A．与组织目录服务集成以进行身份验证 B．数据的标记 C．混合部署模式 D．识别数据位置 127.哪个组件提供了 SCAP (Security Content Automation Protocol 安全内容自动化协议) 的漏洞信息： A．CVE B．CWE C．CVSS D．NVD 128.针对特定的团体目标，攻击者首先通过猜测或观察，确定这组目标经常访问的网站，并入侵其中一个或多个，植入恶意软件，最后达到感染该组目标中部分成员的目的。这是： A．僵尸网络 B．捕鲸攻击 C．水坑攻击 D．CSRF跨站请求伪造攻击 129.关于组织数据保留最大的风险是： A．保留超过数据有效期但是有数据取证需要的数据 B．保留超过数据有效期但是没有数据取证需要的数据 C．删除超过数据有效期但是有数据取证需要的数据 D．删除超过数据有效期但是没有数据取证需要的数据 130.SPA(简单功耗分析)用的方法是： A． 观察静电放电量 B． 磁场变化分析 C． 测量大量的密文和功耗曲线进行统计分析 D． 直接从测量的功耗曲线分析密钥信息
      • 121
        • 数据保留：完整性 数据处置：保密性、可用性
      • 123
        • 渗透测试需要好好再看一遍书 1、计划阶段： 计划阶段没有实际的测试发生，但是为渗透测试的成功奠定了基础，主要工作成果包括： 1）识别测试的范围和规则，确保测试团队和管理层对测试的性质达成一致； 2）获得和记录管理层的明确的授权。 2、发现阶段： 发现阶段一般又被分为两个部分， 第一部分通常被称为“发现和侦察”，收集有关目标的信息。这一部分不产生可能触发警觉的不寻常流量，一般通过OSINT或正常的访问系统功能和内容来进行，包括： 1）社交媒体，以确定目标或有用的个人细节，用于网络钓鱼。 2）公共记录，如域名系统（DNS）或公司网站的服务或位置信息，常用工具whois； 3）攻击面数据，如列举与目标的DNS记录相关的IP地址，以及关于使用中的服务的潜在细节，常用工具nslookup、dig、搜索引擎等 4）实际观察，如监测员工的行动，拍照，开车经过，或观察设施，或在垃圾箱里翻找以获得信息的硬拷贝。 第二部分是扫描和探测，目的是识别潜在目标并收集更详细的信息，这会需要向目标系统发送一些不同于普通访问的流量，这就引入了被目标组织的安全程序发现的风险。这个阶段可能使用的工具和资源常见如下： 1）网络踩点（footprinting），测试人员识别存在哪些端点以及在这些端点上运行的服务，常用工具Nmap、ping、tracerouter、telnet、war dialing等； 2）banner抓取，测试人员分析目标返回的信息，如软件名称和版本等，后续测试会用的上； 3）漏洞扫描，虽然是一种比较容易被发现的方法，但使用漏洞扫描器可以提高效率。自动化的漏洞扫描工具一般也包含了网络踩点和banner抓取的功能。 3、攻击阶段： 使用手动或自动的利用工具，证实可击败系统安全。这是渗透测试超越漏洞扫描的地方，因为漏洞扫描并不试图实际利用检测到的漏洞。 攻击阶段又可细化为4个子阶段，这4个子阶段以及发现阶段与攻击阶段之间，形成了两个反馈回路（feedback loop）。 4、报告阶段： 在测试结束后，编制报告描述所发现的漏洞，给出风险评级，并给出改进建议。 需要注意的是，报告要考虑受众！！！ 跟技术层谈细节，跟高管层谈影响、谈钱钱~~ 根据NIST SP 800-115 8.2节： Security testing results should be documented and made available to the appropriate staff, which may include the CIO, CISO, and ISSO as well as appropriate program managers or system owners. 安全测试结果应形成正式文件，并提供给适当的人员，其中可能包括CIO、CISO和ISSO以及适当的项目经理或系统所有者。 Because a report may have multiple audiences, multiple report formats may be required to ensure that all are appropriately addressed. 由于一份报告可能有多个受众，因此可能需要多种报告格式，以确保所有报告都得到适当的处理。
      • 125
        • 没审清题，就是设备，设备的损失是直接的经济损失
      • 126
        • 电子发现(eDiscovery) 在诉讼过程中，任何一方都有责任保留与案件相关的证据，并在发现过程中在控诉双方分享信息。 这个发现过程应该用纸质档案和电子记录及电子发现的过程促进电子信息披露的处理。 电子发现参考模型描述了发现的标准过程，共需要如下9 步： (1) 信息治理 确保信息系统针对将来的发现有良好的组织。 (2) 识别 当组织相信起诉很有可能时，要指出电子发现请求信息的位置。 (3) 保存 确保潜在的发现信息不会受到篡改或删除。 (4) 收集 将敏感信息收集起来用于电子发现过程。 (5) 处理 过滤收集到的信息并进行无关信息的“粗剪＂，减少需要详细检查的信息。 (6) 检查 检查剩下的信息，确定哪些信息是敏感的请求，并移除律师与客户之间保护的信息。 (7) 分析 对剩余的内容和文档执行更深层次的检查。 (8) 产生 用需要分享他人的信息标准格式产生信息。 (9) 呈现 向证人、法院和其他当事方展示信息。 进行eDiscovery 是一个复杂过程，需要在IT 专业人员和法律顾问之间精心协调。
      • 127
        • NVD（National Vulnerability Database）的重要性： NVD的主要目标之一是提供一个全面且及时的漏洞信息库，帮助安全专业人员更好地了解和管理已知的漏洞。这有助于： 1. 漏洞识别和管理： NVD收集并展示了各种软件和硬件中的漏洞信息。这些信息包括漏洞的严重性、影响的范围、可能的解决方案以及相关的参考资料。这使得企业和组织能够及早识别并适当地管理可能影响其系统和应用程序的漏洞。 2. 安全补丁发布： 厂商和开发者可以通过参考NVD中的漏洞信息，为其产品创建并发布补丁。这有助于修复漏洞，提高系统和软件的安全性，并减少受到攻击的风险。 3. 漏洞研究： 安全研究人员可以利用NVD的信息来深入了解不同漏洞的工作原理，从而更好地理解攻击技术并开发相应的防御策略。 4. 决策支持： 企业和政府可以根据NVD中的信息，制定安全策略、风险评估和漏洞修复计划，以保护其关键信息基础设施。 NVD的结构和内容： NVD的内容包括丰富的漏洞信息，每个漏洞都有一份详细的报告，其中包括以下关键信息： 1. 漏洞标识符： 每个漏洞都有一个唯一的标识符，例如CVE（通用漏洞和暴露，Common Vulnerabilities and Exposures）标识符。这有助于快速识别和引用漏洞。 2. 漏洞描述： 提供了漏洞的详细描述，包括漏洞的性质、可能的攻击方式以及受影响的组件或系统。 3. 漏洞评分： 使用CVSS（通用漏洞评分系统，Common Vulnerability Scoring System）对漏洞进行评分，以衡量其严重性。这有助于组织确定哪些漏洞需要优先处理。 4. 参考资料： 提供了与漏洞相关的链接、参考文档和厂商公告，有助于进一步研究和解决漏洞。 5. 漏洞解决方案： 对于一些漏洞，可能会提供建议的解决方案或临时措施，以减轻漏洞带来的风险。
        • SCAP： SCAP（Security Content Automation Protocol）是一种安全自动化协议，是由NIST建立的一套规范，主要用于处理网络安全漏洞和安全信息。它提供了一种标准的方法来描述、交换和管理网络安全数据，以便自动检测、响应和缓解网络安全威胁。 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
      • 128
        • 水坑攻击的概念 水坑攻击（Watering Hole Attack）是一种网络攻击方法，其名称来源于自然界的捕食方式。 攻击者会通过前期的调查或各种社会工程手段，分析被攻击者的网络活动规律，确定被攻击者（往往是一个特定群体）经常访问的一些网站，并在网站上部署恶意程序，等待被攻击者来访时实施攻击，当受害者访问被部署了恶意程序的网站时即会被感染。此类攻击行为类似于：捕食者埋伏在水里或者水坑周围，等其他动物前来喝水时发起攻击猎取食物。 水坑攻击属于APT（(Advanced Persistent Threats)是指高级持久性威胁攻击,是一种非常复杂和隐蔽的攻击方式）攻击的一种，与其他社会工程手段（例如网络钓鱼）相比，水坑攻击的危险性来源于其利用的是不会被列入黑名单的合法网站。黑客无需耗费精力制作钓鱼网站，而是利用合法网站的弱点，隐蔽性比较强，更难被发现。访问者出于对这些网站的一贯信任，更容易放松警惕，继而落入水坑陷阱之中。 由于水坑攻击的实现需要具备很多条件（比如被攻击者访问的网站存在漏洞，浏览器或者其他程序存在漏洞等），因此目前并不常见。通常情况下，攻击低安全性目标以接近高安全性目标是其典型的攻击模式。低安全性目标可能是业务合作伙伴、连接到企业网络的供应商，或者是靠近目标的咖啡店内不安全的无线网络。
      • 129
        • C的风险比B大
      • 130
        • 侧信道攻击 1.1.概述 侧信道攻击属于密码学的物理攻击（Physical Attack）范畴，是密码学中的一个重要分支。这种攻击利用计算设备在执行密码算法时泄露的物理信息，如功耗、时间、电磁辐射、声波等，来推测内部的秘密数据（如密钥）。与传统的密码分析不同，侧信道攻击并不直接针对算法的数学结构，而是利用实现过程中不可避免的物理信息泄漏。 1.2.侧信道攻击的起源与发展 侧信道攻击的概念起源于20世纪90年代末。1996年，保罗·科彻（Paul Kocher）发表了关于时序攻击的论文，揭示了通过测量加密操作的执行时间来推断密钥信息的可能性。这标志着侧信道攻击研究的开端。随后，他与他人合作，提出了差分功耗分析（Differential Power Analysis, DPA），这进一步推动了侧信道攻击的研究和发展。 1.3.侧信道攻击的详细分类及介绍 侧信道攻击是通过分析加密设备在执行操作时泄漏的物理信息来获取敏感数据的技术。以下是侧信道攻击的几种主要类型及其详细介绍： 1.3.1功耗分析攻击（Power Analysis Attacks） 功耗分析攻击通过测量设备在执行加密操作时消耗的电力来获取信息。这类攻击分为简单功耗分析（SPA）和差分功耗分析（DPA）。 简单功耗分析（Simple Power Analysis, SPA） 原理：SPA利用设备在执行不同操作时功耗变化的直接观测。攻击者可以通过观察这些变化，推断出加密过程中具体操作的类型和顺序。例如，在执行加密算法时，设备在处理不同数据位时的功耗可能会有所不同。 举例：假设一个设备在处理二进制“1”时消耗的功率比处理“0”时高。通过观察功耗图，可以推断出每一位是“1”还是“0”，从而推断出整个密钥。 差分功耗分析（Differential Power Analysis, DPA） 原理：DPA更加复杂和强大。攻击者收集大量功耗曲线，并利用统计方法分析功耗数据中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者可以使用数千次加密操作的功耗数据，计算每次操作的平均功耗。然后，通过对不同密钥假设下的功耗进行统计比较，找到最有可能的密钥。 1.3.2.电磁分析攻击（Electromagnetic Analysis, EMA） 电磁分析攻击通过测量设备在执行操作时产生的电磁辐射来获取信息。这类攻击分为简单电磁分析（SEMA）和差分电磁分析（DEMA）。 简单电磁分析（Simple Electromagnetic Analysis, SEMA） 原理：SEMA类似于SPA，利用设备在执行不同操作时产生的电磁辐射变化来获取信息。攻击者通过观察这些变化，推断出加密过程中具体操作的类型和顺序。 举例：通过在设备附近放置一个电磁探头，攻击者可以记录设备在执行加密操作时产生的电磁信号。通过分析这些信号的强度和频率变化，可以推断出密钥信息。 差分电磁分析（Differential Electromagnetic Analysis, DEMA） 原理：DEMA类似于DPA，通过收集大量电磁辐射数据，并利用统计方法分析其中的微小差异。通过对这些差异进行统计处理，攻击者可以找出与密钥相关的信息。 举例：攻击者收集数千次加密操作的电磁辐射数据，通过统计方法比较不同密钥假设下的电磁信号，找到最有可能的密钥。 1.3.3.时序攻击（Timing Attacks） 时序攻击通过测量设备在执行操作时所需的时间来获取信息。 原理：不同的操作或相同操作处理不同数据所需的时间可能不同。攻击者可以通过测量这些时间差异，推断出内部操作细节和密钥信息。 举例：某些加密算法的执行时间取决于输入数据和密钥。通过多次测量加密操作的执行时间，攻击者可以推断出密钥的某些部分。例如，RSA加密算法中的模幂运算时间可能会泄露关于密钥的信息。 1.3.4.缓存攻击（Cache Attacks） 缓存攻击通过分析处理器缓存的行为来获取信息。 原理：加密算法在执行过程中会访问缓存，不同数据访问模式会导致不同的缓存命中率和访问时间。攻击者可以通过分析这些访问模式，推断出密钥信息。 举例：一个常见的缓存攻击是“Prime+Probe”攻击。攻击者首先将自己的数据加载到缓存中，然后让加密算法运行。通过测量加密算法运行后自己数据的访问时间，攻击者可以推断出加密算法访问缓存的模式，从而推断出密钥。 1.3.5.声学攻击（Acoustic Attacks） 声学攻击通过分析设备在执行操作时产生的声波来获取信息。 原理：不同操作可能会产生不同的声音模式，攻击者可以通过测量和分析这些声音，推断出内部操作和密钥信息。 举例：某些设备在执行不同的加密操作时会产生不同频率或强度的声音。通过使用麦克风记录这些声音，并进行频谱分析，攻击者可以推断出加密操作的类型和密钥。 1.3.6.光学攻击（Optical Attacks） 光学攻击通过观察设备的光学辐射（如LED指示灯的闪烁）来获取信息。 原理：设备在执行不同操作时可能会发出不同的光学信号。攻击者可以通过测量这些光信号的变化，推断出内部操作和密钥信息。 举例：某些设备的LED指示灯在执行加密操作时可能会闪烁不同的模式。通过使用高速摄像设备记录这些闪烁模式，并进行分析，攻击者可以推断出加密操作的类型和密钥。 2.侧信道攻击的防御 为了防御侧信道攻击，可以采取多种技术和策略，包括但不限于： 2.1.掩码技术（Masking） 原理：在计算过程中引入随机掩码，使得泄露的信息与实际密钥无关。即使攻击者获得了侧信道信息，也无法直接推断出密钥。 具体措施：在加密过程中，使用随机数对密钥进行掩码处理，使得功耗、时间或其他物理特征不再直接与密钥相关联。 2.2.均衡功耗技术（Balancing Power Consumption） 原理：通过设计电路和算法，使得不同操作消耗的功率尽可能一致，从而减少功耗分析的有效性。 具体措施：设计硬件电路时，确保所有加密操作的功耗变化保持在一个固定范围内，避免特定操作的功耗差异过大。 2.3.时间均衡技术（Balancing Timing） 原理：确保所有操作的执行时间尽可能一致，防止时序攻击。 具体措施：通过添加伪随机延迟或固定所有操作的执行时间，使得攻击者无法通过时间测量推断出密钥信息。 2.4.噪声引入（Noise Injection） 原理：在侧信道信号中引入随机噪声，增加攻击者提取有用信息的难度。 具体措施：在加密设备的输出中添加随机噪声信号，使得实际操作的物理特征被噪声掩盖。 2.5.硬件防护（Hardware Countermeasures） 原理：通过设计更安全的硬件架构，如使用电磁屏蔽和物理隔离，来减少侧信道信息的泄漏。 具体措施：在芯片设计中加入电磁屏蔽层，减少电磁辐射泄漏；通过物理隔离技术，降低功耗和时序信息的外部可观测性。
    • 131.发现键盘与PC间多了物理设备，可能是遭到了哪种攻击？ A．社会工程 B．击键记录 C．功耗分析 D．旁路攻击 132.等价类分析的特点： A.衍生边界内的数据进行测试 B.找一个代表的数据进行测试 C.选择超过有效值域边界外的输入进行测试 D.选择输入值的无效组合进行测试 133.光纤属于哪一层设备： A．网络层 B．数据链路层 C．物理层 D．传输层 134.关于SOC3 描述正确的是： A．取代了以前的SAS70的关于服务运营控制的财务审计报告 B．关于企业内部控制有效性的外部第三方审计报告 C．关于安全和运营的对外公开的不包含详细信息的审计报告 D．服务运营组织内部的不对外公开的控制自评估报告 135.哪个是评估安全产品和系统的最佳国际公认标准？ A. 支付卡行业数据安全标准 (PCI-DSS) B. 可信计算机安全评价标准 (TCSEC) C. 信息安全管理体系 (ISMS) D. 信息技术安全评估通用标准 (CC) 136.容错(fault tolerance)的主要目标是什么？ A. 消除单点故障 B. 使用沙箱隔离 C. 单点维修 D. 遏制以防止传播 137.以下哪项被认为是最安全的密码password技术？ A.密码短语 Passphrase B.一次性密码 One-time password C.认知密码 Cognitive password D.密码文本 Cyphertext 138.What is the most critical piece to disaster recovery and continuity planning? 灾难恢复和业务连续性计划中最关键的部分是什么？ A. 安全策略Security Policy B. 管理层支持 Management Support C. 备份信息处理设施的可用性 Availability of backup information processing facilities D. 员工培训 Staff training 139.The environment that must be protected includes all personnel, equipment, data, communication devices, power supply and wiring. The necessary level of protection depends on the value of data, the computer systems, and the company assets within the facility. This can be determined by what type of analysis? 环境必须得到保护，包括所有的人员，设备，数据，通信设备，电力供应和布线等。必要的保护水平取决于该设施内的数据价值，计算机系统，以及公司资产。这可以通过什么分析来决定？ A. Critical-channel analysis 关键渠道分析 B. Critical-route analysis 关键路由分析 C. Critical-path analysis 关键路径分析 D. Critical-conduit analysis 关键管道分析 140.A Business Impact Analysis (BIA) does not: 业务影响分析 (BIA) 没有： A.Recommend the appropriate recovery solution 推荐合适的恢复解决方案 B.Determine critical and necessary business functions and their resource dependencies 决定关键和必须的业务功能，以及他们依赖的资源 C.Identify critical computer applications and the associated outage tolerance 识别关键计算机应用和相关的当机容忍度 D.Estimate the financial and operation impact of a disruption 预测中断带来的财务和运营影响 141.Which of the following is the BEST reason for a sales-focused organization to implement a certified Information Security Management System (ISMS)? 下面哪个是一个销售导向的组织实施一个ISMS信息安全管理体系认证的最好的理由？ A. Improve product development 提升产品开发 B. Increase customer trust 增加客户信任度 C. Decrease IT budget 降低IT预算 D. Improve service delivery 提升服务交付 142.Which of the following protocols does not operate at the data link layer (layer 2)? 下面哪个协议没有运行在数链层 (2层) ？ A. PPP B. RARP C. L2F D. ICMP 143.Encryption is applicable to all of the following OSI/ISO layers except: 加密可以适用在所有下面的OSI/ISO层，除了？ A. Network layer 网络层 B. Physical layer 物理层 C. Session layer 会话层 D. Data link layer 数链层 144.When would the Information Technology (IT) department of an organization review the Disaster Recovery Plan (DRP)? 什么时候组织的IT部门应当评审灾难恢复计划 (DRP) ？ A.When major changes occur on systems 系统发生重大变更的时候 B.When personnel changes occur 人员发生变更的时候 C.Before and after disaster recovery test 灾难恢复测试之前和之后 D.Every six months 每六个月 145.During the development of a contingency plan, which of the following processes MUST be performed prior to the design phase? 在开发业务连续性计划时，下面哪个流程必须是在设计阶段之前执行的？ A. Maintenance analysis 维护分析 B. Document flow analysis 文件流程分析 C. Financial impact analysis 财务影响分析 D. Requirements analysis 需求分析 146.Who is ultimately responsible for the security of a computer-based information system? 哪一项是计算机信息系统安全的根本问题? A. an operational issue. 操作问题 B. a management issue. 管理问题 C. a training issue. 培训问题 D. a technical issue. 技术问题 147.Which of the following is frequently used to increase the randomness of Linux passwords? 通常在Linux密码中加入以下哪一项来增加它们的随机性？ A. Salts 盐 B. Pepper 胡椒 C. Grains 谷物 D. MD5 hashes MD5哈希 148.Which of the following is used by Secure Shell (SSH) protocol for key exchange? SSH协议用以下哪一项交换密钥？ A. Diffie-Hellman DH算法 B. Blowfish 河豚算法 C. Triple Data Encryption Standard (3DES) 3DES算法 D. Rivest Cipher 4 (RC4) RC4算法 149.What is a commercial application of steganography that is used to identify pictures or verify their authenticity? 什么是隐写术的商业应用，用来识别图片或验证他们的真实性？ A.a MAC 消息完整性检查 B.a MD5 hash MD5哈希 C.a digital signature 数字签名 D.a watermark 数字水印 150.一个组织聘请了一个安全专家来开发他们的信息安全体系。发现缺乏强制执行的政策和程序后，该安全专家对工作区进行了下班后的检查，发现了一些无人关注的已登录的机器，缺少屏幕保护程序，并容易获得密码。 What is the FIRST step for the security professional to perform? 安全专家执行的第一步是什么？ A.Develop an after-hours access control policy. 制定下班后的访问控制策略 B.Document the findings in a management report. 在管理报告中记录发现 C.Report the violations to Human Resources. 向人力资源部门汇报违规 D.Develop access control scripts. 制定访问控制脚本 151.一个组织聘请了一个安全专家来开发他们的信息安全体系。发现缺乏强制执行的政策和程序后，该安全专家对工作区进行了下班后的检查，发现了一些无人关注的已登录的机器，缺少屏幕保护程序，并容易获得密码。 那么安全专家建议系统管理员首先应采取什么行动？ A. Implement strong passwords. 实施强密码策略 B. Revoke the effected accounts. 撤销受影响的账户 C. Review access permissions for least privilege. 评审访问权限实现最小特权 D. Enforce screen saver timeouts. 执行超时屏幕保护 152.下面哪个是收集计算机证据的基本原则？ A.Action taken by law investigators or their agents shall not change data held on media which may subsequently be relied upon in court. 法律调查员或他们的代理人采取的任何行动，不应当更改介质上的数据，其可能随后成为呈堂证供。 B.Action taken to change gathered evidence must be logged and documented and the documentary evidence must be presented in court. 采取的行动来改变收集的证据必须被记录，记录和单据必须在法庭上出示 C.Data seized which is not relevant to the case may be retained by law enforcement until the completion of the case. 与案件不相关的数据可能会由法律部门保留，直到案件全部结束 D.Data seized which is not relevant to the case must not be retained by law enforcement. 与案件不相关的数据不能够由法律部门保留
      • 139
        • 安全设旌计划 (securefacility plan)需要列出组织的安全需求，并突出用于保障安全的方法 及机制。该计划是通过风险评估和关键路径分析来制订的。关键路径分析(criticalpath analysis) 是一项系统性工作，用于找出任务关键型应用程序、流程、运营以及所有必要的支撑元素间 的关系。例如，线上商店依赖千互联网接入、计算机硬件、电力、温度控制、存储设备等。 如果关键路径分析执行得当，我们就能完整绘制出组织正常运行所必需的相互依赖、相 互作用的图像。设计安全 IT 基础设施的第一步是满足组织妳境及信息设备的安全要求。这些 基本要求包括电力、环境控制(建筑、空调、供暧、湿度控制等)以及供水/排水。
    • 153.When outsourcing an organization's security functions, it is MOST important that 当组织外包安全职能时，最重要的是 A.contractual obligations are clearly defined. 清晰定义了合同的义务 B.vulnerability scanning is performed regularly. 漏洞扫描是日常执行的 C.knowledge transfer processes occur internally. 执行内部的知识传递流程 D.standards are reviewed for applicability. 审核适用的标准
      • 153
        • 合同规定高于D
    • 154.The concept that the MOST effective security is achieved by multiple, overlapping security systems is 由实施多个重叠的安全体系来达到最有效的安全的概念是 A. top-down security. 自上而下的安全 B. holistic security. 全面的安全 C. defense-in-depth security. 纵深防御的安全 D. centralized security. 中央集中的安全 155.Risk mitigation and risk reduction controls for providing information security are classified within three main categories, which of the following are being used? 风险消减和降低风险的控制措施主要分为以下哪三个类别？ A. preventive, corrective, and administrative 预防、纠正和管理 B. Administrative, operational, and logical 管理、操作和逻辑 C. detective, corrective, and physical 检测、纠正、和物理 D. Physical, technical, and administrative 物理、技术和管理 156.Compared with hardware cryptography, software cryptography is generally 与硬件加密相比，软件加密一般 A. less expensive and faster. 更便宜、更快 B. less expensive and slower. 更便宜、更慢 C. more expensive and faster. 更贵、更快 D. more expensive and slower. 更贵、更慢 157.在调查组织的网站数据库被盗事件期间，尽管已经采用了客户端脚本输入验证，但确定黑客仍使用了SQL注入技术。以下哪项提供了最大的保护，防止再次发生同样的攻击？ A.Encrypt communications between the servers 服务器间的通信加密 B.Encrypt the web server traffic Web服务器流量加密 C.Implement server-side filtering 实施服务器端的过滤 D.Filter outgoing traffic at the perimeter firewall 在边界防火墙过滤外出流量
    • 158.What is the MOST effective method to enhance security of a Single Sign-On (SSO) solution that interfaces with critical systems? 下面哪个是最有效的方法，来增强关键系统的单点登录解决方案的安全性？ A.High performance encryption algorithms 高性能加密算法 B.Reusable tokens for application-level authentication 应用级认证的可重用令牌 C.Transport Layer Security (TLS) for all communications 所有通信采用TLS加密 D.Two-factor authentication 双因素验证
      • 158
        • 一般出现所有的可能会有问题 双因素认证是最适合的答案
    • 159.Under Role based access control, access rights are grouped by: 在基于角色的访问控制模型下，访问权限通过什么来分组？ A. Policy name 策略名称 B. Rules 规则 C. Role name 角色名称 D. Sensitivity label 敏感性标签 160.以下哪项提供了软件安全评估的模型？ A. CVSS (Common Vulnerability Scoring System) B. CC (Common Criteria for Information Technology Security Evaluation) C. CVE (Common Vulnerabilities and Exposures) D. CWE (Common Weakness Enumeration)
      • 160
        • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
  • 答案
    • 1 C 2 C 3 A 4 B 5 C 6 B 7 C 8 C 9 D 10 D 11 C 12 A 13 B 14 C 15 B 16 B 17 B 18 A 19 D 20 B 21 C 22 A 23 D 24 D 25 B 26 D 27 B 28 B 29 B 30 D 31 C 32 D 33 B 34 C 35 C 36 B 37 B 38 A 39 C 40 C 41 C 42 C 43 B 44 A 45 B 46 A 47 C 48 C 49 A 50 C 51 D 52 C 53 B 54 B 55 B 56 A 57 C 58 A 59 C 60 B 61 B 62 C 63 A 64 D 65 A 66 D 67 C 68 A 69 D 70 B 71 C 72 B 73 C 74 D 75 D 76 A 77 C 78 D 79 D 80 D 81 B 82 A 83 C 84 C 85 B 86 C 87 C 88 A 89 C 90 B 91 D 92 D 93 A 94 D 95 D 96 B 97 B 98 D 99 C 100 C 101 B 102 B 103 D 104 B 105 A 106 D 107 B 108 A 109 A 110 B 111 C 112 D 113 B 114 D 115 A 116 D 117 C 118 C 119 B 120 C 121 C 122 C 123 B 124 D 125 A 126 D 127 A 128 C 129 C 130 D 131 B 132 B 133 C 134 C 135 D 136 A 137 B 138 B 139 C 140 A 141 B 142 D 143 B 144 A 145 D 146 B 147 A 148 A 149 D 150 B 151 D 152 A 153 A 154 C 155 D 156 B 157 C 158 D 159 C 160 B
• 第五套模拟题
  • 题和答案
    • 1.下列哪一项匹配是错误的： •A. 功能测试—测试性能、负载、可靠性等 •B.回归测试——修改了旧代码后，重新进行测试以确认修改没有引入新的错误。 •C. 结构测试——测试者全面了解程序内部逻辑结构、对所有逻辑路径进行测试。 • D. 黑盒测试—涉及了软件在功能上正反两面的测试确认 2. 关于 DMARC（Domain-based Message Authentication Reporting and Conformance）正确说法是： • A. 一种基于零信任的域名管理系统，用于防止域名欺骗 • B. 一种数字签名算法，提供对PCIDSS的支持 • C.一种邮件验证协议，目的是提高电子邮件的安全性 • D. 一种加强的消息验证码（MAC），用于保护信息的完整性 3.企业构建PKI时，CA，RA和OCSP服务器正确的部署位置是： • A. CA, RA和OCSP服务器都部署在DMZ内 • B. CA， RA部署在内网，OCSP部署在DMZ • C. CA部署在内网，RA和OCSP部署在DMZ • D. OCSP部署在内网，CA和RA部署在DMZ
      • 1
        • Functional testing（功能测试），也称为behavioral testing（行为测试），根据产品特性、操作描述和用户方案，测试一个产品的特性和可操作行为以确定它们满足设计需求。本地化软件的功能测试，用于验证应用程序或网站对目标用户能正确工作。使用适当的平台、浏览器和测试脚本，以保证目标用户的体验将足够好，就像应用程序是专门为该市场开发的一样。功能测试是为了确保程序以期望的方式运行而按功能要求对软件进行的测试，通过对一个系统的所有的特性和功能都进行测试确保符合需求和规范。 功能测试也叫黑盒测试或数据驱动测试，只需考虑需要测试的各个功能，不需要考虑整个软件的内部结构及代码.一般从软件产品的界面、架构出发，按照需求编写出来的测试用例，输入数据在预期结果和实际结果之间进行评测，进而提出更加使产品达到用户使用的要求。
        • 性能、负载、可靠性属于性能测试
      • 2
        • [DMARC]协议基于现有的[DKIM]和[SPF]两大主流电子邮件安全协议，由Mail Sender方（域名拥有者Domain Owner）在[DNS]里声明自己采用该协议。当Mail Receiver方（其MTA需支持DMARC协议）收到该域发送过来的邮件时，则进行DMARC校验，若校验失败还需发送一封report到指定[URI]（常是一个邮箱地址）。DMARC有效识别和拦截欺诈及钓鱼邮件，保障用户信息安全。
      • 3
        • CA部署在内网发证书 RA、OCSP部署在DMZ方便企业用户内网、外网验证
        • 术语与定义 属性权威（Attribute Authority，AA） 通过发布属性证书进行权限分配的权限属性管理机构，也叫权限认证中心。 属性证书（Attribute Certificate，AC） 由授权管理机构作数字签名的证书，用以证明持有者的认证信息和其相应权限属性的确定性。属性证书也叫权限属性证书。 属性证书撤消表（Attribute Certificate Revocation List，ACRL） 一个标记一系列不再被属性证书发布者所信任的证书的签名列表（通称权限证书黑名单）。 证书认证中心（Certificate Authority， CA） 一个被终端实体所信任的签发公钥证书的证书认证实体，它是一个可信的权威机构，通常叫做“证书认证中心”或“证书管理中心”。 CA证书 （CA-Certificate） 一个由CA给另一个CA签发的证书。 CA撤消列表 （Certificate Authority Revocation List， ARL） 一个标记已经被注销的CA的公钥证书的列表，表示这些证书已经无效。 证书策略（ Certificate Policy） 是一个指定的规则集合，它指出证书对于具有普通安全需求的一个特定团体和（或）具体应用类的适用性。 证书撤消列表 （Certificate Revocation List， CRL） 一个标记一系列不再被证书发布者所信任的证书的签名列表（通称黑名单）。 证书验证（ Certificate Validation） 确定证书在指定的时间内是否有效的过程，证书验证包括有效期验证、签名验证以及证书状态的检验。 验证路径 （Certification Path） 一个在目录信息树中对象证书的一个有序的序列。路径的初始节点是最初待验证对象的公钥，可以通过路径获得最终的顶点的公钥。 CRL分布点（ Certificate Revocation List Distribution Point） 一个目录条目或其他的CRL分布源。一个通过CRL分布点发布的CRL，可以包括由一个CA分布的所有证书中的一个证书子集的注销条目，也可以包括全部证书的注销条目。 增量CRL （delta-CRL， dCRL） 是一个部分的CRL，它只包括那些在基础CRL确认后注销状态改变的证书的条目。 证书序列号 （certificate serial number） 在一个认证权威所签发的证书中用于唯一标识数字证书的一个整数。 数字证书 （Digital Certificate） 由认证权威数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。 终端实体 （end entity） 数字证书的主体用户，通称用户或客户。 完全的CRL （full CRL） 在给定的范围内，包含所有已经被注销的证书的证书注销列表。 策略映射（ policy mapping） 当一个域中的一个CA为另一个域中的一个CA进行证明时，用于说明后一个CA的一个特定的策略可以被认为等同于第一个CA的一个特定的策略相同（注意：这里并不要求两个CA的全部策略都等同）的规则。 私钥 （private key） 在公钥密码系统中，用户的密钥对中只有用户本身才能持有的密钥。 公钥（ public-key） 在公钥密码系统中，用户的密钥对中可以被其它用户所持有的密钥。 公钥基础设施 (Public Key Infrastructure ，PKI) 一个能够对公钥进行管理以支持身份验证、加密、完整性以及不可否认性服务的基础设施。 权限（Privilege） 由认证中心分配给用户实体的属性、特性或特定权限。 权限管理基础设施（Privilege Management Infrastructure，PMI） 支持对用户进行授权服务的特权管理基础设施，它与公钥基础设施有密切的联系。 角色分配证书 一个证书，它包含角色的属性，为证书对象持有者分配一个或多个角色。 安全策略（ security policy） 由安全权威机构发布的用于约束安全服务以及设施的使用和提供方式的规则集合。 认证权威源（Source of Authority） 一个属性权威，它是特定资源的权限管理者。它验证用户实体的属性、权限，并作为最终认证中心为用户实体分配相应的权限。 信任（ trust） 通常说一个实体信任另一个实体表示后一个实体将完全按照第一个实体的规定进行相关的活动。在本标准中，信任用来描述一个认证实体与认证权威之间的关系。 目录查询协议 （Lightweight Directory Acess Protocol，LDAP） 本规范指轻型目录查询协议LDAP。用户可使用LDAP协议，通过网络到目录服务器查询系统中的证书或证书撤消列表。 在线证书状态查询协议 （Online Certificate Status Protocol，OCSP） 用户可使用OCSP协议，通过网络到OCSP服务器实时查询系统中证书的当前有效/无效状态。 对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是相同的一对密钥。通常用于对称密钥密码算法。 非对称密钥对 通指加密时使用的密钥与脱密时使用的密钥二者是紧密相关但不相同的一对密钥。通常用于非对称密钥密码算法。 注册机构 （Registration Authority,RA） 为用户办理证书申请，身份审核，证书下载、更新、注销以及密钥恢复等实际业务的办事机构或业务受理点，也叫证书注册审核中心。 简单对象访问协议（Simple Object Access Protocol,SOAP） 用该协议实现电子政务客户端与服务器端信息安全交换的功能。 扩展标记语言 (Extensible Markup Language, XML) 用于WWW上保存和传递信息的语言。
    • 4. 司法取证的第一步是： • A. 镜像硬盘 • B. 拔电源 • C. 获取内存数据 • D. 正常关机 5.企业准备将之前自己维护的一个应用程序替换成使用SaaS供应商提供的软件，根据SP800-37r2 RMF 风险管理框架的要求，在替换之前，需要做以下哪一项？ • A. Approving To Operate / 批准运行 • B. Accreditation To Operate 认可运行 • C. Autohrization To Operate 授权运行 • D. Authorization To Use / 授权使用 6.购置软件如何进行安全评估？ • A. DLP策略 ( Data Leak Prevention policy ) • B. 软件保障策略（Software Assurance policy） • C. 持续监控 （Continual Monitoring） • D. 软件配置管理（Software Configuration Management）
      • 4
        • 开机不关、关机不开-这一点切记 获取内存数据
      • 5
        • 授权使用
      • 6
        • 软件保障SwA
          • 软件保障(Software Assurance,SwA)指对软件免于存在漏洞(无论是有意设计到软件中的漏洞还是在其生命周期中的任何时候意外插入的漏洞)以及软件按预期方式运行的信心水平。
          • 软件保障SwA所讨论的对象应该包含任何来源的软件，包括自研、外包或采购的。但在备考CISSP的语境下，SwA主要涉及软件采购的场景，描述了为了达到上述信心水平的软件采购过程的4个阶段：
            • 1、计划planing阶段： (1)确定获取软件服务或产品的需求，识别潜在的备选软件方案，并识别与这些备选方法相关的风险。 (2)开发软件需求(包括SwA需求)，作为工作说明书的一部分； (3)创建采购策略和/或计划，包括识别与各种软件采购策略相关联的风险； (4)制定评估标准和评估计划，评估应是客观、专业的独立测试independent testing。 2、合同Contracting阶段 (1)创建/发布招标或RFP，包括工作说明、报价人/供应商说明、条款和条件(含验收条件)、资格预审和证明； (2)评估响应招标或RFP而提交的建议书(就是评标啦)； (3)完成合同谈判，正式确认条款和条件的变更，并授予合同。 3、监控和验收Monitoring&Acceptance阶段 (1)建立并同意(consenting)合同工作进度表；（consenting是非常正式的知情同意哈，手术前那份同意书就是这个词） (2)实施变更(或配置)控制程序； (3)审查并接受软件交付成果。 4、后续follow-on阶段 (1)支持sustainment，包括风险管理、保证案例管理和变更管理；(考虑从软件供应方得到的支持，而不是甲方自己的运维) (2)处置或退役。
    • 7.公司把设备和科研转移到海外，安全官应担心什么？ • A.设备被盗 • B. 物理安全得不到保障 • C. 知识产权 • D. 缺少安全措施 8.渗透测试进入系统后，可能需要： • A. 管理评审 • B. 管理层审批 • C. 横向提权 • D. 纵向提权 9. VPN中使用端到端的加密有什么风险 • A.防火墙和监控软件识别不到应用数据 • B.在传输过程中每一跳先加密再解密，增加了密钥管理的复杂度 • C.报文的安全性因中间结点的不可靠而受到影响 • D.在网络层需要隔离的措施，进一步提高安全性
      • 7
        • 海外的知识产权保护和国内的不一致
      • 8
        • 什么是提权 提权就是通过各种办法和漏洞，提高自己在服务器中的权限，以便控制全局。 Windows：User >> System Linux：User >> Root 二、怎样进行提权（提权的方式有哪些） 1.、系统漏洞提权（Linux、Windows） 2、数据库提权 3、系统配置错误提权 4、权限继承类提权 5、第三方软件/服务提权 6、WebServer漏洞提权 横向渗透（提权）就是在已经攻击到内网里时候通过肉鸡作为跳板去获取更多的计算机权限，从而控制整个内网，包括SMB扩散、SSH扩散、RDP扩散等 纵向渗透（提权）就是在一台肉鸡里获取更高的权限，就是所谓的提权，就是从普通用户，变成特权用户
      • 9
        • 加密后不能看到VPN通道里面的数据
    • 10.组织的服务器遇到flood攻击，以下方法哪项是快速有效的解决方法？ • A. 购买不同运营商的带宽 • B. 将服务下线 • C. 找安全供应商购买最新的安全软件 • D. 改变防火墙设置 11.组织打算获得ISO/IEC27001信息安全管理体系认证，考虑到风险和成本效益，打算只实施 27001附录A中的部分控制，这样做是否可行？ • A. 可行，但需要在证书范围中声明 • B. 可行，但需要管理评审批准 • C. 可行，但需要在适用性声明中说明 • D. 不可行，附录A中所有的控制都需要实施 12. 软件开发管理流程（SDLC）维持最新的硬件和软件清单主要用于支持： •A. 系统管理 •B. 变更管理 • C. 风险管理 • D. 质量管理
      • 10
        • 选项中的最好的办法是D 不能停止服务，所以不能选C，以后做题要注意，不能破坏服务本身，切记
      • 11
        • 可以，进行范围的裁减
      • 12
        • A B二选一，B的原因可能是最新的这个关键词
    • 13.S/ MIME 靠什么交换密钥？ • A.共享 • B.证书 • C.IKE • D. SHA-1 14.最近在组织的网络上实施了身份验证系统，该组织进行了年度渗透测试，表明测试人员能够使用经过身份验证的凭据横向移动。最有可能使用哪种攻击方法来实现这一目标？ • A. Hash collision 哈希冲突 • B. Pass the ticket 传递票证 • C. Brute force 蛮力攻击 • D. Cross-Site Scripting （XSS）跨站点脚本 15.数据中心火灾风险高，用什么措施？ A. 手持 火器 • B. 干粉 • C. 干管 • D. 防火墙壁、防火天花板、防火地板
      • 13
        • 证书
      • 14
        • 横向移动：见8题的解释 造成的原因可能是票证被盗
      • 15
        • 物理安全计划——考虑要素一墙壁 • 材料〈木材、混凝土和钢材的阻燃性） •防火等级 •安全区域的加固 -地板 • 承重等级 • 材料（木材、混凝土和钢材）的阻燃性 •防火等级 • 架空地板 - 天花板 •材料（木材、混凝土和钢材）的阻燃性 •防火等级 • 承重等级 • 绝缘表面和材料
        • 猜想这道题考察的是预防措施，而不是补偿措施
    • 16.以下哪项能为变更提供控制： • A. 配置管理 • B. CMMI • C. 流程化 • D. 发布管理 17.进行安全意识培训程序的最后一步是？ • A.评估培训有效性 • B. 员工测试 • C. 收集员工的反馈 • D. 收集培训未涉及的内容以便将来的程序 18.一家公司聘请了一家外部供应商对新的工资单系统进行渗透测试。该公司的内部测试团队已经对系统进行了深入的应用和安全测试，并确定其符合安全要求。但是，外部供应商发现了重大的安全漏洞，其中敏感的个人数据以未加密的方式发送到税务处理系统。安全问题最可能的原因是什么？ • A. 性能测试不足 • B. 应用程序级别测试不足 • C. 未进行负向检测 • D.接口测试失败
      • 16
        • 配置管理而不是发布管理 和12题的原因一样
      • 17
        • 最后是评估
      • 18
        • 接口测试(interface test)
          • 主要检查应用或系统开发的不同组件彼此是否同步; 从技术层面接口测试主要用于确定不同功能诸如数据在系统的不同元素中是否按照设计进行传输 用于确保软件的质量
        • C负向测试是从黑客的角度或者非正常使用的角度 而题干考察的是正向的，所以只能选D
    • 19.进行安全评估的时候首先要进行以下哪个步骤？ • A. 执行业务影响分析 • B. 确定安全评估需求 • C. 买最先进的安全技术 • D. 获得管理层授权 20.已下哪项最好的防御已知明文攻击？ C A. 加密前压缩 C B. 加密后压缩 • C. 加密前哈希 • D. 加密后哈希 21.一项用于应对拒绝服务攻击（DOS）的控制可阻止30%的攻击，还能将攻击的影响降低60%。残余风险是多少？ A control to protect from a Denial-of-Service (DOS) attach has been determined to stop 30% of attacks, and additionally reduces the impact of an attack by 60%. What is the residual risk? • A. 42% • B. 28% • c. 18% • D. 10%
      • 19
        • 一般都是确定需求，或者制定策略
      • 20
        • C D 由于散列函数的特性，哈希后不能还原，所以肯定不是哈希 加密后压缩没意义，因为解密后仍然可以拿到密文，所以加密前压缩 题中没说，所以不考虑压缩本身加密码保护
      • 21
        • （100%-30%）*（100%-60%）=28%
    • 22. 对于跨国商业合作中的数据加密存储和传输应用，最有可能遇到的问题是？ • A. 国家与国家之间的加密标准规范不统一 • B. 部分国家的法规监管要求加密数据必须和密钥一起传送 • C. 部分国家的技术实力无法支持加密传输 • D. 很多国家地区的法规不允许过于强的加密，甚至可能不允许加密 23. 以下哪一项是供应商提供的软硬件的最后一个阶段？ • A. End of Sales 销售终止 • B. End of Support 支持终止 • C. End of Supply 供应终止 •D. End of Life 生命期终止 24. 以下哪项不是常用的避免SQL注入的方法？ OA.存储过程 • B.参数化SQL C.正则表达式 • D.禁用select
      • 22
        • 选D，加密标准一般都是一致的 有些国家为了监视国民采取的措施
      • 23
        • EoS
      • 24
        • D
    • 25. 电子传送 electronic vaulting 是： • A. 将交易数据实时传送到远程站点 • B. 将交易日志实时传送到远程站点 • C. 将变更后的文件实时传送到远程站点 • D. 将变更后的文件定期传送到远程站点 26.以下哪一项是在SLA之前建立的？ • A. SLR（服务级别需求） • B. OLA（运营级别协议） • C. UC（支持合同） • D. Service Report（服务报告） 27. 销售人员需要通过web应用访问客户信息，应该依据什么标准来确认web应用程序的分级？ • A. 加密算法 • B. 数据类型 C. 服务器安全级别 • D. 应用程序部署位置
      • 25
        • 1、Electronic Vaulting 电子保险箱/电子分批复制 自动化技术按计划（通常是每天）将数据库备份从主数据库服务器移动到远程站点。 2、Remote Journaling 远程日志记录 有了远程日志，数据传输就能以更快的方式进行。数据传输仍以批量传输模式进行，但传输的频率更高，通常是每小时一次，有时更频繁。 远程日志与电子保险库类似，转移到远程站点的交易日志不应用于实时数据库服务器，而是保存在一个备份设备中。当宣布发生灾难时，技术人员会检索相应的交易日志并将其应用到生产数据库中，使数据库达到当前的生产状态。 3、Remote Mirroring 远程镜像 远程镜像是最先进的数据库备份解决方案。毫不奇怪的是，它也是最昂贵的! 远程镜像超越了远程日志和电子保险箱所使用的技术；通过远程镜像，在备份站点保持一个实时数据库服务器。远程服务器在数据库修改应用到主站点的生产服务器的同时，也会收到这些修改的副本。因此，被镜像的服务器准备好在任何时候接管一个操作角色。 对于寻求实施热站点的组织来说，远程镜像是一种流行的数据库备份策略。然而，在权衡远程镜像解决方案的可行性时，一定要考虑到支持镜像服务器所需的基础设施和人力成本，以及将添加到镜像服务器上的每个数据库交易的处理费用。
      • 26
        • SLA = Service Level Agreement = 服务质量/水平协议 SLO = Service Level Objective = 服务质量/水平目标 SLI = Services Level Indicator = 服务质量/水平指标
        • 运营水平协议（OLA）是服务提供商与其内部团队之间的合同，这些团队各自负责交付 IT 服务的一部分。该协议明确规定了各个团队的服务交付目标和他们应如何进行沟通。 通过 OLA，不同的服务交付团队之间建立了相互依存的关系，以确保他们能够相互协作，共同支持面向最终用户的 SLA。
      • 27
        • 依据数据类型
    • 28.新增加的软件（含自己开发/第三方开发/直接购买），实施之前应该做： • A. 静态测试 • B. 动态测试 • C. 代码审核 • D. 渗透测试 29.以下哪一项决定了CPU可直接寻址的内存空间大小： • A. CPU寄存器个数 • B. 地址总线的位数 • C. 10总线的位数 • D. 虚拟内存总数 30.信息安全从业人员正在实施一个新的防火墙。以下哪种故障方法最能优先考虑安全性？ • A. Fail-Open • B. Fail-Safe • C. Fail-Closed • D. Failover
      • 28
        • 软件安全测试包括静态安全测试和动态安全测试，题干包括采购和第三方的，不一定能拿到代码，所以静态安全测试不一定能做，一定要做的就是动态安全测试
      • 29
        • 总线位数决定大小
      • 30
        • 这道题没审清题，说的是防火墙，所以只能选C 如果这道题题干说的是安全门，并且保护人，就是A
    • 31. 哪个角色负责项目的整体成功并支持整个组织的变更？ • A. Change approver 变更批准者 • B. Project manager 项目经理 • C. Program sponsor 方案发起人 • D. Change implementer变更实施者 32. 以下哪项 BEST 描述了组织何时应对新软件保护执行黑盒安全审核？ • A. 当组织希望检查非功能性合规性的时候 • B. 当组织想要枚举其基础设施中的已知安全漏洞时候 • C. 当组织确信最终源代码是完整的时候 • D. 当组织遇到安全事件的时候 33. WPA2有两种操作模式： •A. 分散式和集中式 •B. 企业模式和个人模式 • C. 网络模式和安全模式 • D. 受控模式和非受控模式
      • 31
        • 题干说的项目，猜想原题中有program，所以是C
      • 32
        • 没看清题，问的是何时，所以选C B说的是漏洞扫描，不是黑盒安全测试
      • 33
        • ENT和PER
    • 34.完整性检查器的缺陷是以下哪个 • A. 只读文件可能会被忽略 • B. 需要假定初始状态是完整的 • C. 难以确定一个修改 • D. 无法检查加密的文件 35.以下哪种恶意代码强调破坏作用本身，而实施破坏的程序通常不具有传染性： • A. 蠕虫 • B. 木马 • C. 逻辑炸弹 • D. 恶意广告 36.以下哪一项会引起 DRP/BCP评审： • A. 高导管理人员变更 • B. 安全委员会人员增加 • C. 业务连续性协调人离职 • D. 组织合并
      • 34
        • 需要现有一个类似基线的初始状态
      • 35
        • 逻辑炸弹
      • 36
        • 组织合并会带来一系列的问题，包括业务，流程，安全需求，环境等
    • 37. 已知某程序有输入验证漏洞，以下最合适的做法是？ • A. 停止服务 • B. 代码修复 • C. 在IDS内更新特征 • D. 应用防火墙添加规则 38.从组织的角度来看，要求信息安全专家在工作中的公共场合尊重道德规范是因为： • A. 提高内部的安全措施执行效果 • B. 展示组织的形象 • C. 展示个人形象取得第三方信任的需要 • D. 展示个人诚信度 39. 下列哪个访问策略，系统根据用户对访问对象的固有安全属性确定访问权限： • A.能力表 • B. DAC • С. МАС • D. ACL
      • 37
        • 代码修复
      • 38
        • 展示组织形象
      • 39
        • MAC
    • 40. 手机上的企业数据和个人数据如何隔离最安全？ • A. 数据库隔离 • B. 加密隔离 • C. 存储分隔 • D. 应用程序隔离 41. 关于WPA2 的兼容性，说法正确的是： • A. 能兼容WPA和WEP • B. 能兼容WPA，但不能兼容WEP • C. 能兼容WEP，但不能兼容WPA • D. 既不能兼容WPA 也不能兼容WEP 42. 安全度量（metric）是为了： • A. 加速安全评估 • B. 量化评估安全措施的有效性 • C. 和最佳实践相一致 • D. 达到安全基线的最低要求
      • 40
        • 存储隔离
      • 41
        • 都能兼容
      • 42
        • 选B
    • 43.以下哪项使用URI作为身份标识 • A. SAML • B. OAuth • C. OpenID • D. OIDC 44.关于安全基线的最佳描述： • A. 组织的高级别安全定义 • B. 用来信息安全管理的软件 • C. 用来支撑组织信息安全政策的实践证明 • D. 在组织实施一致的安全配置 45. 决定个人访问网络的权限是依据： • A. 风险矩阵 • B. 数据价值 • C. 业务需求 • D. 数据分类
      • 43
        • SAML（Security Assertion Markup Language）安全断言标记语言，是一个基于XML的开源标准数据格式。它用于在不同的安全域之间交换身份验证和授权数据，尤其是在身份提供者和服务提供者之间。 SAML 的核心是一组协议，这些协议可以用来传输安全声明，这些声明是关于用户身份验证、授权和属性（例如姓名、电子邮件地址和电话号码）的信息。这些声明以 XML 格式编码，并可以在网络上从一个实体传输到另一个实体。因此，SAML允许跨不同系统和平台实现单点登录（SSO）和联合身份认证 SAML 2.0 工作流程 用户访问服务提供者：用户尝试访问服务提供者（SP）提供的某个受保护资源，但尚未经过身份验证。 重定向到身份提供者：由于用户尚未认证，服务提供者会生成一个 SAML 认证请求（AuthnRequest），并将用户重定向到身份提供者（IdP）。这个重定向可以通过多种绑定协议完成，如 HTTP Redirect 或 POST 请求。 用户身份验证：在 IDP 的页面，用户输入其凭据（如用户名和密码）进行验证。如果凭据成功，身份提供者会生成一个包含用户身份信息的 SAML 响应（Response）。 发送 SAML 响应：身份提供者将 SAML 响应发送回服务提供者，同样可以通过多种绑定协议完成。响应中包含了用户的身份信息、任何额外的属性（如角色、组成员身份等）以及认证时间和有效期等安全声明。 服务提供者验证并接受响应：服务提供者收到 SAML 响应后，会进行验证，以确保响应的真实性和完整性。如果验证通过，验证通过后，SP 根据断言中的信息确定用户身份，并允许用户访问受保护的资源。 用户访问受保护资源：用户已经成功认证，并可以访问服务提供者提供的受保护资源。
        • OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三方 应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他 们数据的所有内容。OAuth在全世界得到广泛应用，目前的版本是2.0版。 优点： 更安全，客户端不接触用户密码，服务器端更易集中保护 广泛传播并被持续采用 短寿命和封装的token 资源服务器和授权服务器解耦 集中式授权，简化客户端 HTTP/JSON友好，易于请求和传递token 考虑多种客户端架构场景 客户可以具有不同的信任级别 缺点： 协议框架太宽泛，造成各种实现的兼容性和互操作性差 不是一个认证协议，本身并不能告诉你任何用户信息。
        • OpenID是一个去中心化的网上身份认证系统。对于支持OpenID的网站，用户不需要记住像用户名和密码这样的传统验证标记。取而代之的是，他们只需要预先在一个作为OpenID身份提供者（identity provider, IdP）的网站上注册。OpenID是去中心化的，任何网站都可以使用OpenID来作为用户登录的一种方式，任何网站也都可以作为OpenID身份提供者。OpenID既解决了问题而又不需要依赖于中心性的网站来确认数字身份。 OpenID正在被越来越多的大网站采用，比如作为身份提供者的AOL和Orange。OpenID可以和.NET Framework的Windows CardSpace一起使用。 由于URI 是整个网络世界的核心，它为基于URI的用户身份认证提供了广泛的、坚实的基础。 OpenID 系统的第一部分是身份验证，即如何通过 URI 来认证用户身份。目前的网站都是依靠用户名和密码来登录认证，这就意味着大家在每个网站都需要注册用户名和密码，即便你使用的是同样的密码。如果使用 OpenID ，你的网站地址（URI）就是你的用户名，而你的密码安全的存储在一个 OpenID 服务网站上（你可以自己建立一个 OpenID 服务网站，也可以选择一个可信任的 OpenID 服务网站来完成注册）。
        • OpenID Connect（简称OIDC）是一种安全认证机制，第三方应用连接到身份认证服务器（Identify Service）获取用户信息，并把这些信息以安全可靠的方式返回给第三方应用。 OAuth2.0通过Access Token作为向第三方应用授权访问自身资源的凭证。OpenID Connect对OAuth2.0进行协议进行了扩展，通过扩展的ID Token字段，提供用户基础身份信息，ID Token使用JWT（JSON Web Token）格式进行封装，提供自包含性、防篡改机制，可以安全的传递给第三方应用程序并容易被验证。除了ID Token，还可以通过Access Token从认证服务的UserInfo Endpoint接口获取更详细的用户信息。 OIDC和OAuth2.0的区别 Oauth流程注重的是授权，是验证统信实体是否有权限访问资源的过程，即“用户能做什么”，OIDC更注重认证的过程，确保通信实体是其所声称的实体，即“是哪一个用户”。 ①OIDC流程中，授权服务器验证成功会响应会返回一个ID令牌，这在Oauth里是没有的。 ②OIDC流程中客户端请求会在请求范围参数中包含字符串“openid”，当然，基本的OIDC架构是这样的，这一条并不绝对，因为随着OIDC的普及，我们也看到了一些重新开发过的OIDC实现，是没有这一部分的 ③在Oauth的认证流程里，对于响应的令牌格式是没有规定，但是OIDC规定了令牌的格式为JWT。其实在实际应用的时候，很多Oauth其实也用的是JWT格式的令牌
      • 44
        • 基线-统一的配置
      • 45
        • 此题考察的知其所需，所以是业务需求，太烧脑了
    • 46. 以下哪一项不是隐私增强技术（PET）？ • A. 同态加密 • B. 差分隐私 • C. 黑暗模式 • D. 安全多方计算 47. RTO能确定？ • A. 数据丢失的时间长短 • B. 发生数据丢失的起始时间点 • C. 恢复应用需要的时间 • D. 恢复应用的优先级 48. 对工控系统进行 fuzzing（模糊测试）可以： • A. 通过冗余提高工控系统的可用性 • B. 对敏感数据进行处理后降低信息泄漏的风险 • C. 发现精确设计的输入导致的缺陷或随机动态的数据处理缺陷 • D. 通过ITF集成测试设施，对实时生产环境进行
      • 46
        • 同态加密： 同态加密能够对加密数据进行计算操作。任何分析的结果都保持加密状态，只有数据所有者才能解密和查看。这种加密方法使企业能够分析云存储中的加密数据，或与第三方共享敏感数据。谷歌已发布了开源库和工具，对加密数据集执行同态加密的操作。 差分隐私： 差分隐私将处理过的干扰信息添加到数据集，这样既可以识别数据集中的组模式，同时保持个人的匿名性。 这使得庞大数据集可以发布用于公共研究。科技公司也使用差异隐私来分析大量用户数据，并从中获得洞察力。 安全多方计算： 安全多方计算（Securemultipartycomputation，简称“SMPC”）是同态加密的一个子领域，将计算分布到诸多系统和多个加密数据源上。这项技术确保任何一方都看不到整个数据集，并限制了任何一方可以获得的信息。OpenMined在其PyGrid对等平台中使用SMPC，用于私密数据科学和联合学习。 黑暗模式： 是指通过各种手段在用户心理或行为上产生诱导、欺骗的效果，导致用户不自觉地执行操作，例如购买、订阅服务、分享个人信息或安装软件等。Dark pattern通常通过欺骗性的交互设计来达到这一效果，其目的是使用户在不知不觉中做出他们本来不想做的事情。
          • 常见的隐私增强技术示例 　　密码算法 　　1. 同态加密 　　同态加密是一种加密方法，被广泛认为是加密的“圣杯”，允许对加密密文进行计算。它生成一个加密结果，当解密时，该结果匹配操作的结果，就好像它们是在未加密的数据（即明文）上执行的一样。这使得加密数据能够被传输、分析并返回给数据所有者，数据所有者可以解密信息并查看原始数据的结果。因此，公司可以出于分析目的与第三方共享敏感数据。 　　同态加密不是一项新技术，学术领域已经进行了30多年的研究。尽管从历史上来看同态加密一直是计算密集型的技术，但现在的最新突破使之可广泛用于各种商业应用。 　　一些常见的同态加密类型包括： 　　全同态加密：同时支持乘法和加法，并且对执行的操作数量没有限制。利用全同态加密可以实现让解密方只能获知最后的结果，而无法获得每个密文的消息与同态计算方式，从而提高隐私信息的安全性； 　　部分同态加密：可以对加密数据执行一种类型的操作，例如仅提供乘法或加法，但不能同时进行； 　　有点同态加密：可以执行多种类型的运算（例如加法、乘法），但只能执行有限数量的运算； 　　2. 安全多方计算（SMPC） 　　这是同态加密的一个子领域，但存在一个区别：它允许多方共同对数据进行操作，同时保持其各自的输入信息私有和安全。因此，机器学习模型可以应用于加密数据，因为SMPC适用于更大规模的数据。 　　3. 差分隐私 　　差分隐私可以防止共享有关个人的任何数据。在差分隐私中，出于混淆目的，将随机生成的“噪声”添加到基础数据中，对更改后的数据执行的任何计算仅在统计/方向上正确（即不准确）。因此，由于不能保证准确的结果并且限制了可能的计算，因此差分隐私的应用领域比其他隐私增强技术要窄。 　　4. 零知识证明（ZKP） 　　ZKP 使用一组加密算法，允许在不泄露证明数据的情况下验证信息。可用于身份验证等场景，例如无需提交准确生日信息就可验证用户是否符合规定年龄。 　　数据屏蔽技术 　　一些隐私增强技术也是数据屏蔽技术，企业使用它们来保护其数据集中的敏感信息。 　　5. 混淆 　　这是数据屏蔽的通用术语，它包含多种方法来通过向日志或配置文件添加分散注意力或误导性的数据以替换敏感信息。 　　6. 假名化（Pseudonymisation） 　　术语“假名化”在GDPR中被提及15次之多，它是指在一个资料记录中的识别字段被一个或多个人为的标识符或化名所代替的程序。GDPR建议使用假名化技术建立个人资料以降低资料主体的风险，并协助控制者与处理者履行资料保护的义务。 　　7. 小数据 　　与大数据相对应，小数据（Small Data）指人工智能或者机器学习系统借助数据增强、转移学习、合成数据集等技术，使用很少，甚至不使用真实数据。随着小数据技术的兴起，也许未来的人工智能模型将不再需要海量的训练数据，同时也将极大降低隐私风险。 　　8. 通信匿名技术 　　通信匿名技术作为一种主要的隐私增强技术被广泛应用于互联网的各个方面，现有的通信匿名技术主要是通过多次存储转发（利用Mix网络和洋葱路由技术）来改变消息的外观（报文延迟、乱序、报文填充等），并利用Mix网络的刷新机制消除消息间的对应关系，从而为在线用户提供隐私保护，典型的低时延通信匿名系统包括Tor，I2P等。 　　这些通信匿名系统不仅提供了对Internet用户的身份信息的保护，同时实现了对服务提供者的身份信息保护，它们允许用户能够在确保服务器IP不被泄漏的前提下提供网络服务。 　　借助人工智能和机器学习算法的技术 　　9. 合成数据生成 　　合成数据本身就是人工智能对数据进行提取归纳的产物，这些算法会学习真实数据的结构性和关联性，生成无限量的相同质量的人工数据。 　　这样产生的数据可以符合原先数据的特征，依旧具有一定的价值，但是却没有隐私问题。 　　而且，在这个过程中可以对人工智能进行编程，以提供社会所需的公平性结果，从而从源头上纠正偏见，以减少任何潜在的违反公平性的行为。其合成结果将会是公平的合成数据，是完全匿名和去偏见的。 　　10. “联邦学习”（Federated Learning） 　　“联邦学习”指的是在满足隐私保护和数据安全的前提下，设计一个机器学习框架，使各个机构在不交换数据的情况下进行协作，提升机器学习的效果。其核心就是解决“数据孤岛”和数据隐私保护的问题，通过建立一个数据“联邦”，让参与各方都获益，推动技术整体持续进步。 　　具体的实现策略是：建立一个虚拟的共有模型。这个虚拟模型类似于把数据聚合在一起建立的最优模型，但是在建立虚拟模型的时候，数据本身不移动，因此不泄露隐私，符合数据合规要求，建好的模型也仅在各自的区域为本地的目标服务。在这样一个联邦机制下，各个参与者的身份和地位相同，实现“共同富裕”。
      • 47
        • RTO的概念
      • 48
        • 模糊测试的目的
    • 49.机构在需要进行数据恢复时，发现存储在磁带上的数据因为设备的原因无法被读取了。需要做的事情： • A. 数据已经泄露，需要及时对磁带进行消磁或者处理 • B. 需要寻求第三方专业机构，对数据进行恢复 • C. 说明机构的数据备份措施已经失效，需要重新建设数据备份系统 • D. 磁带存储说明数据已经有保留，不需要处理 50.DR（灾难恢复）培训的目的： • A.正确应对安全事件 • B. 针对具体事件做出正确的反应 • C. 提升员工安全意识 • D. 对未来执行DR计划做好准备 51. 哪一项攻击会影响 VOIP通道的完整性？ • A. 窃听 • B. 中间人攻击 • C. 资源耗尽 • D. DOS攻击
      • 49
        • 这道题想多了，就是修复
      • 50
        • D
      • 51
        • 中间人攻击
    • 52. 进行系统数据隐私保护第一步： • A. 数据隐藏 • B. 数据最小化 • C. 加密 • D. 数据存储 53.以下哪一项最有助于企业降低供应链风险： • A. 严格执行企业的采购流程 • B. 与供应商签订SLA • C. 严格控制供应商的访问权限 • D. 持续的监控、管理和评估 54. BSI（Build Security In 内置安全）的核心思想是： • A. 安全集成到开发生命周期的每一个环节 • B. 风险管理和控制措施是结合在一起的 • C. 操作系统的内核要足够安全 • D. 治理、风险和合规都应该考虑业务的安全需求
      • 52
        • B 不保存不该保留的数据
      • 53
        • D PDCA
      • 54
        • BSIMM( The Building Security In Maturity Model) 软件安全构建成熟度模型 (BSIMM) 是一项针对当前软件安全方案或计划开展的研究。BSIMM 量化不同行业、规模和地域的众多组织的应用安全 (appsec) 实践，并识别各个组织独特的差异。 作为一套随时间的不断发展演进的数据驱动的描述性模型，BSIMM的唯一目标就是观察和报告。其通过对大量企业进行评估得出的统计数据，进行分类归纳，形成的软件安全评估模型。 用途 BSIMM的最重要的用途是作为一个标尺来确定企业目前采用的方法相对于其他企业处于何种位置。企业只需要梳理已经开展了哪些活动，在软件安全框架中找到这些活动，然后再构建自己的记分卡并将其与BSIMM记分卡进行比较，就可以发现自身的不足之处。 BSIMM 是一套随时间的不断发展演进的数据驱动的模型。随着本项目的演进，不断根据所观察到的数据来添加、删除和调整各类活动的级别。 BSIMM主要是用于观察企业开发的安全活动与行业进行一个比较，给企业开发组织反馈一份的分析报告。
    • 55.僵尸网络根据不同的命令控制机制，可划分为三类：基于IRC（因特网中继聊天）协议，基于HTTP协议 和： • A. 基于P2P结构 • B. 基于C/S机构 • C. 基于时钟同步 • D. 基于挑战应答 56. 增强WLAN最好的方式 • A. 隐藏SSID • B. 使用RADIUS认证 • C. 使用WPA2 • D. 使用56位密钥 57. 威胁模型确定了一个中间人（MITM）暴露。信息系统安全官员应选择哪种对策，以减轻PHI（受保护的健康信息）数据泄漏的风险？ • A. 隐私监控 • B. 安全评估 • C. 匿名化 • D. 数据审计
      • 55
        • A
      • 56
        • C
      • 57
        • C
    • 58.数字不可抵赖需要什么？ • A. 可信第三方 • B.适当的安全策略 • C. 对称加密 • D. 多功能识别卡 59.数据分类第一步做什么？ • A. 创建数据字典 • B. 确定所有者 • C. 识别数据 • D. 数据标签 60. 使用OTP（One time password）的双因素认证防止了下面的什么攻击？ • A. 重放 • B. 暴力破解 • C. 洪泛攻击 • D. 木马攻击
      • 58
        • A
      • 59
        • 数据生命周期第一步，识别
      • 60
        • A
    • 61.为什么国际上对计算机犯罪难处理？ • A. 跨国犯罪的复杂性 • B. 国家的贸易保护 • C. 不同国家的法律法规 • D. 难以界定跨国责任 62.对于含有即时通信IM系统的网络，最大的安全性挑战是什么？ • A. 系统兼容性 • B. 信息泄漏 • C. 病毒攻击 • D. 安全补丁 63.数字取证中为什么使用多重散列？ • A. 通过多重散列提高了取证数据的可用性 • B. 通过多重散列，抗抵赖性可以得到更好保护 • C. 多重散列实现了重要证据的知识分割 • D. 一个散列被碰撞后，还有另外的散列可以防止失效
      • 61
        • C 有想多了，就是法律不同
      • 62
        • B
      • 63
        • D
    • 64.要持续改进和提升信息安全管理，使用哪个工具？ • A. SABSA安全架构 • B. COSO 内部控制整合框架 C C. 风险热图 • D. PDCA模型 65.移动终端面临的最大安全漏洞在于： • A. 系统硬件 • B. 移动操作系统 • C. 分布式中间件 • D. 互联网应用程序 66. 交换机进行安全数据收集，交换机数据在X端口，采集器在Y端口，怎样让采集器收集到数据情报： • A.端口映射 • B. 端口镜像 • C. 端口复用 • D. 端口扫描
      • 64
        • C
      • 65
        • D
      • 66
        • B
    • 67.审计师关注： • A.日志收集的数据范围 • B.日志收集的时间 • C.日志的可用性 • D.日志的完整性 68. Linda 正与该组织的一家欧盟业务合作伙伴合作，促进客户信息的交换。Linda 的组织位于美国。Linda 确保GDPR合规的最佳方法是什么？ • A. 具有约束力的公司规则（BCR） • В. 隐私盾 （Privacy Shield） • C. 标准合同条款（SCC） • D.安全港 (Safe harbor) 69. 猜测TCP序列号属于： • A. IP欺骗 • B. 中间人攻击 • C. 碎片攻击 • D. SYN洪泛攻击
      • 67
        • D
      • 68
        • B
      • 69
        • B
    • 70.组织需要共享一个高等级账户，应该 • A. 減少组成员 • B. 完整日志记录 • C. 使用签出程序 • D. 进行特权提升 71.数据挖掘的风险： • A. 可以分析不同来源的数据 • B. 每个数据库的隐私标准不同 • C. 容易导致聚合攻击 • D. 数据库可用性受影响 72. 802.11g的主要特点： • A. 能够提供与802.11b向后兼容 • B. 提供QOS功能 • C. 支持802.1X验证 • D. 是一个城域网MAN无线标准
      • 70
        • C 记住
      • 71
        • 聚合攻击
      • 72
        • A
        • 802.11 a 最高达 54Mbps速率 5GHz 频率范围 802.11 b 最高达11Mbps的速率 2.4GHz 802.11n QoS 802.11g 20--54Mbps 2.4GHz 频段 兼容802.11b 802.11 i 采用标准AES高级加密标准(WPA2)
    • 73.对写入光存储介质的数据进行哪种措施，能够保障数据无法恢复？ • A. 消磁 • B.清理 • C. 清除 • D. 销毁 74.公司内部检测到大量基于客户端的攻击，未来有效的缓解措施是： • A. 外围用防火墙进行web漏洞防护 • B. 解决基于客户端侧的web漏洞 • C. 实施前对客户端本机的服务进行漏扫 • D. 发布加固的客户端镜像 75. 两个存储设备之间通信防止攻击的方法： • A. 链路加密 • B. 防火 • C.IPS • D.IDS
      • 73
        • D
      • 74
        • D
      • 75
        • A
    • 76. 一家医院执行OECD的隐私保护原则。以下哪一项适用于患者从医院门户网站请求医疗记录？ • A. 用途说明 • B. 收集限制 • C. 使用限制 • D. 个人参与 77. 在安全评估中，信息安全人员的职责是 • A. 为组织匹配风险等级 • B. 验证安全措施有效性 • C. 确保安全岗位职责分离 • D.对员工进行安全意识宣灌 78.移动设备取证难点？ • A.登录移动设备需要密码验证 • B. 数据可能被加密 • C. 可能安装了特殊的软件 • D. 数据可能被远程擦除
      • 76
        • D
      • 77
        • B
          • 组织的角色与责任
            • 高级管理者CEO、CFO、COO
              • 对组织安全的维护负有最终责任，关注对组织资产的保护 全面负责信息安全，是信息安全的最终负责人 规划信息安全，确定目标和有限次序，委派信息安全责任 明确信息安全目标和方针为信息安全活动指引方向 为信息安全活动提供资源 重大事项做出决策 协调组织不同单位不同环节的关系
            • 安全专业人员
              • 实施者，包括编写和实施安全策略，负有职能责任 受高级管理层委派(通常向CIO)负责实施和维护安全 设计、实施、管理和复查组织的安全策略、标准、指南和程序 协调组织内部各单位之间所有的与安全相互的交互
            • CIO
              • 监督和负责公司的日常技术运营
            • 首席安全官，CSO
              • 确保业务信息资产得到妥善保管，扮演内部信息安全协调和促动的角色 具体职责: 为信息安全活动做预算 开发策略、程序、基线、标准和指南的开发 开发安全意识程序 参与管理会议 协助内部和外部的审计 需要理解组织的业务目标，引导风险管理过程，确保业务操作和可接受风险之间达成恰当的平衡
            • 安全指导委员会 (SSG Steering)
              • 成员由来自组织机构各部门的人员组成，包括CEO领导，同时CFO、CIO、各部门经理、首席内审员。至少每季度召开一次会议，并有明确议程 职责: 定义组织机构的可接受风险级别 确定安全目标和战略 根绝业务需求决定安全活动的优先级 审查风险评估和审计报告 监控安全风险的业务影响 审查重大的安全违规和事故 批准安全策略和计划的任何重要变更
            • 资产所有者
            • 托管员
            • 用户
            • 审计委员会
              • 由董事会任命，帮助其审查和评估公司的内部运作、内部审计系统以及财务报表的透明度和准确性。 公司财务报表以及财务信息的完整性 公司的内部控制系统 独立审计员的雇佣和表现 内部审计功能的表现 遵守与道德有关的法律要求和公司策略
            • 风险管理委员会
              • 从整体上了解该组织的风险并且协助高层管理者把风险降到可接受的程度。 研究整体的业务风险，而不仅仅是IT安全风险。
      • 78
        • B
    • 79. PEAP通过下面哪项弥补EAP的漏洞： • A. TLS • B. AES • C. RSA • D. PPTP 80. 安全系统项目开发团队必须要要关注的是 • A. 同行业或竞争对手采用的方法 • B. SDLC没有涵盖到的软件和应用 • C. 新的项目管理方法 • D. 尚未正式生效的法律法规和监管条文 81. 渗透测试发现阶段的目的： • A. 收集目标系统的信息 • B. 发现程序遗留的后门 • C. 发现可以被利用的漏洞 • D. 获取系统权限
      • 79
        • A
      • 80
        • D
      • 81
        • B
    • 82.ISO27001关注组织架构，安全策略，以下描述正确的是： • A 国际组织架构更复杂，要求的安全策略更多 • B 金融行业公司比互联网公司组织架构复杂，出现问题损失更大 • C. 如果忽略组织架构，那么安全策略可能不适用 • D. 安全策略有普适性，对不同的安全组织结构都适用 83.web安全通讯，实施哪个能提供更好的安全性？ • A. TLS • B. SHA • C. SSL • D. SET 84. 数据所有者的职责 • A. 数据恢复 • B. 数据可用性的实现 • C. 数据备份和存档 • D. 脱离技术角度的数据保护
      • 82
        • C
      • 83
        • A
      • 84
        • D
    • 85. 一个人有个木马病毒文件，怎么样能最全面的知道这个病毒的最多的信息？ • A. 行为分析 • B. 代码审计 • C. 逆向代码审计 • D. 特征匹配 86. 安全部署程序必须？ • A. 威胁建模和修复必须在生产系统进行 • B. 用户验收的时候必须修复漏洞 • C. 实施安全版本管理和配置管理 • D. 代码审计和代码加密 87. 安排工程师对一个新的web应用进行负向测试，需要做的是？ • A. 输入范围外的值来判断系统的反应 • B. web应用漏洞扫描 • C. 对web应用性能进行压力测试 • D.对web应用性能进行负载测试
      • 85
        • C
      • 86
        • C
      • 87
        • A
    • 88. 公司遭遇洪水攻击，攻击者的动机可能是： • A. 破坏入侵检测防御系统 • B. 篡改核心服务器配置 • C. 以停止服务为威胁进行勒索 • D. 获得生产服务器root权限 89.SSH的优势 • A. 实现远程登录 • B. 传输数据加密 • C. 匿名通信 •D. 抗DDOS攻击 90. 数据归档在SDLC的什么阶段？ •A. 处置 •B. 需求 • C. 开发 • D.维护
      • 88
        • C
      • 89
        • B
      • 90
        • D
    • 91.WLAN中为什么用 ECC 而不是 RSA？ • A. ECC加密更强 • B. ECC密钥更短、加密更快 • C. ECC密钥更长 • D. RSA不安全 92.SQL的DAC自主访问方式下，给予用户“UPDATE”权限修改数据库的命令是： • A. DELEGATE • B. UPDATE • C. GRANT. • D. INVOKE 93.GDPR（一般数据保护条例）定义的公民在其个人数据信息不再有合法之需时拥有要求将其删除或不再使用的权利，这被称为： •A. 个人利益权 • B. 自愿选择权 • C. 被遗忘权 • D. 数据可携权
      • 91
        • B
      • 92
        • C
      • 93
        • C
    • 94.密码学的根基是： • A. ka (Entropy) • B. 加密 （Encryption） • C. 密码 （Cipher） • D. 哈希（Hash） 95.以下哪项不是微服务的特点？ • A. 将应用构建为一组小型服务 • B. 服务可独立部署 • C. 服务间使用ESB（企业服务总线）进行交互 • D. 去中心化 96. TCB（可信计算基）的核心是： • A. 引用监视器 • B. 安全内核 • C. 可信恢复 • D. 强制访问控制
      • 94
        • A
      • 95
        • C
      • 96
        • B
    • 97.企业一台互联网服务器遭到破坏，管理层收到报告后转给了安全经理，安全经理收到报告 之后首先要做的是： • A.用备份数据对互联网服务器进行恢复 • B. 对报告进行调查 • C. 更新配置管理中的服务器状态信息 • D. 启动数字取证流程 98. 敏捷模型的优势： • A. 关注流程 • B. 鼓励客户 • C. 明确需求 • D. 遵循计划 99.代码加密和代码隐藏是用来抵御： • A.逆向工程 • B. 隐蔽通道 • C. 木马攻击 • D. 程序后门
      • 97
        • B
      • 98
        • B
      • 99
        • A
    • 100. 对于员工卡，怎么防止克隆： • A. Personal Identify Verification (PIV卡) • B. Data Protection Card(DPC卡) • C. Token Authentication Card (TAC卡) • D. Hash Integration Card (HID卡) 101. EAP MD5 提供什么验证？ • A. 基于数字证书的验证 • B. 用户端验证服务器端 • C.服务器端验证用户端 • D. 双向验证 102. 和多个云供应商对接解决IAM身份和验证管理的措施是： • A. 实施SSO • B. 可传递信任 • C. 使用时钟同步令牌 • D. 使用异步令牌
      • 100
        • A
          • PIV卡（个人身份验证卡）是美国政府为了标准化身份验证而设计的一种卡片。它不仅包含个人的基本信息，还具有证书、密钥对、引脚编号等，用于确保标准化的身份验证级别。这种卡片由美国国防部（DoD）和其他联邦机构使用，用于安全访问联邦设施和信息系统，确保了标准化的身份验证级别。PIV卡的引入，旨在通过提供生物识别和其他启用双重身份验证的唯一标识符，增强安全性，防止未经授权的访问风险，从而防范复杂的网络威胁，包括网络钓鱼和社会工程攻击‌。 在技术实现上，PIV卡与符合CCID级的USB读卡器一起使用，能够在iOS 16和iPadOS 16.1或更高版本的设备上实现原生支持。用户可以利用这些智能卡进行网页服务、App的认证，以及在“邮件”App中进行电子邮件的签名和加密。这种支持基于CryptoTokenKit框架，无需任何额外软件即可提供智能卡支持。此外，配合iPhone或iPad使用智能卡时，某些符合CCID级的桌面读卡器可能需要使用可供电的USB集线器以满足增加的功率需求‌。 ‌PIV卡是一种在商业和政府组织中广泛使用的智能卡，主要用于双重认证、数字签名和加密。‌
          • Data Protection Card 没有这种卡
          • Token Authentication Card 也没有
          • Hash Integration Card (HID卡) 就是普通卡
      • 101
        • C
          • 服务器端验证客户端，选错了纯粹没看清或者想多了
      • 102
        • B
    • 103.客户端和服务器端需要共享密钥时，代码中硬编码了密钥，用什么解决比较好？ • A. RSA • B. ECC • C. Diffie-Hellman • D. DSA 104.实施企业身份和访问管理（IAM）的好处是： • A. 提高机密性 • B. 简化密码要求 • C. 自动执行职责分离 • D. 降低孤儿账户的风险 105.OWASP ASVL1 （Application Security Verification Levels） 应用安全验证级别1级的特点是： • A. 机会主义者会利用一切可能的简单漏洞 • B. 包含敏感信息的应用程序 • C. 需要最高保护级别的最关键应用 • D. 验证操作系统内核
      • 103
        • C
      • 104
        • D
      • 105
        • A 排除法
    • 106.Scrum方法论中的角色是什么？ • A. 产品经理，Scrum Master 和 开发团队 • B. 质量保证团队、Scrum Master 和 开发团队 • C. 项目经理，Scrum Master 和开发团队 • D. 系统所有者，Scrum Master 和开发团队 107. 一个软件模块中各部分的关联程度指的是？ • A. 内聚性 • B. 聚合性 • C. 耦合性 • D. 共生性 108. 攻击树的用处： • A. 简化分析 • B.威胁建模 • C. 单点故障 • D. 漏洞分析
      • 106
        • A
      • 107
        • A
          • 耦合性 耦合性是指软件结构中模块相互连接的紧密程度，是模块间相互连接性的度量耦合强度的大小是由模块间接口的复杂程度决定的。 内聚性 内聚性表示一个模块内部各个元素(数据、处理)之间联系的紧密程度。显然,块内联系愈紧,即内聚性愈高，模块独立性愈好。
      • 108
        • A
    • 109. 在软件开发生命周期中的需求收集阶段，下面哪个活动最适合用来降低风险？ • A. Create use cases 创建用例 • B. Identify regulatory needs 识别监管需求 • C. Review secure coding guidelines 审核安全编码指南 • D. Establish the development environment 建立开发环境 110. 保存用于硬盘加密的密钥， • A. 使用了冗余，提供更高的可用性 • B. 防篡改，保证秘钥完整性 • C. 通过数字签名，提供不可抵赖性 • D. 使用了混合加密，效率高 TPM（可信赖平台模块）相对 USB KEY 的优势： 111. 在为数据丢失防护（DLP）解决方案开发业务规则时，必须考虑以下哪一项？ • A. 数据可用性 • B. 数据敏感性 • C. 数据所有权 • D.数据完整性
      • 109
        • B 越早的阶段越好，不要被监管两个误导
      • 110
        • B
      • 111
        • B
    • 112. 确定内部事故响应团队所需资源最有效的方式是： • A. 对标其他事故响应计划。 • B.聘请事故管理专家提供指导。 • C. 使用事件场景测试响应能力。 • D.确定事故响应的范围和章程。 113. 一名隐私工程师被要求查看一个在线账户登录页面。他发现，用户登录其在线账户时可以尝试的无效登录次数没有限制。 为了最大限度地减少这一弱点带来的潜在隐私风险，最好的建议是什么？ • A.实施验证码CAPTCHA系统。 • B.开发服务器端输入验证检查。 • C.强制执行强密码和帐户凭据。 • D.实施强大的传输层安全（TLS），以确保加密的链路。 114. 什么是访问控制列表？ • A.一个人访问资源所需的步骤列表。A list of steps necessary for an individual to access a resource. • B.表明授予每个人的许可类型的列表。A list that indicates the type of permission granted to each individual. • c.显示一个人有权访问的资源的列表。A list showing the resources that an individual has permission to access. • D.对资源的访问权限被撤销的个人列表。A list of individuals who have had their access privileges to a resource revoked.
      • 112
        • D D比C好
      • 113
        • A
      • 114
        • B
    • 115. Secure ShelI（SSH-2）支持身份验证、压缩、机密性和完整性，SSH通常用作以下所有协议的安全替代方案，除了： • A. telnet • B.rlogin • C.rsh • D. https 116. 下列哪项不是内部程序员绕过正常的安全控制，进行软件开发的常用方法？ • A. A Trojan horse 特洛伊木马 • B. A maintenance hook 维护钩 • C.A back door 后门 • D.A trap door 陷门 117. 以下哪一项不属于软件架构： • A. 客户端/服务器端 • B. 微服务 • C. 微隔离 • D. 为内核
      • 115
        • D
      • 116
        • A
      • 117
        • C
    • 118.运维团队负责决定什么数据需要备份，以及备份的频率。下面哪个类型的备份流程是备份自从上次所有数据备份以来的修改过的文件？ • A. Incremental backup 增量备份 • B. Full backup 完全备份 • C. Partial backup 部分备份 • D. Differential process 差异备份 119. 业务连续性计划经常会变得过时，下面哪项不是导致计划会变得过时的原因？ • A. 硬件、软件和应用的变化 Changes in hardware, software, and applications • B. 基础设施和环境的变化 Infrastructure and environment changes • C. 人员的流动 Personnel turnover • D. 业务连续性流程集成到变更管理流程中 That the business continuity process is integrated into the change management process 120.当应用程序错误地允许无效的输入被写入堆栈，返回的指针被指向恶意代码，发生了哪种攻击？ • A. Traffic analysis 流量分析 • B. Race condition 竞争条件 • C. Covert storage 隐蔽存储 • D. Buffer overflow \ФШ
      • 118
        • D 没看清题，题中问的是备份不是恢复，我看成恢复了
      • 119
        • D
      • 120
        • D
    • 121. RAID系统使用了一系列技术来实现冗余和性能。下面哪个活动是把数据分离写在几个驱动器上？ • A. Parity 奇偶校验 • B. Mirroring 镜像 • C. Striping 条带化 • D. Hot-swapping 热插拔 122.Bob最近实施了一种入侵预防系统（IPS），旨在阻止常见的网络攻击对他的组织造成影响。 Bob正在追求哪种类型的风险管理策略？ • A. 风险接受 • B. 风险避免 • C. 风险缓解 • D. 风险转移 123.以下哪项是编写信息安全策略的最佳理由？ • A. 支持信息安全治理 • B. 减少审计发现的数量 • C. 降低安全成本 • D. 实施有效的信息安全控制
      • 121
        • C
      • 122
        • C
      • 123
        • A
    • 124.X公司最近开发了一种新的微处理器制造工艺。该公司希望将该技术授权给其他公司使用，但希望防止未经授权使用该技术。什么类型的知识产权保护最适合这种情况？ • A. 专利 • B. 商业秘密 • C.版权 • D.商标 125. 在对某初创公司的自带办公设备BYOD实务进行风险评估期间，风险从业人员注意到，在第三方云应用上运行信用卡账号查询之前，数据库管理员将他的个人设备上的社交媒体网站最小化。风险从业人员应建议企业： • A. 开发和部署BYOD可接受使用政策 • B. 在每台移动设备上设置虚拟化桌面 • C. 将社交网站加入隔离区DMZ内设备的黑名单中 • D.为数据库管理员提供用户意识培训 126. 在灾难恢复过程中，由于之前备份的数据量太大，导致这部分数据恢复没能在既定的时间完成，这是没有达成哪一个目标？ • A. RTO 恢复时间目标 • B. RPO 恢复点目标 • C. SDO 服务交付目标 • D. WRT 工作恢复时间
      • 124
        • A
      • 125
        • B
          • A. 在允许个人设备连接到公司网络之前固然必须制定自带设备 （BYOD）政策，但它不是一种預防性控制，而是一种管理性控制。 B只允许 BYOD 通过虚拟化桌面客户端访问网络，这样就没有数据存储在设备上，通过该设备输入的所有會令也会实际执行并存储在企业的隔离区（DMZ）、刚络或服务器中。使用这种移动/企业架构时，用户可以在个人设备上访问公司网络/数据，同时遵守企业的可接受使用政策。 C.将 DMZ内的社交媒体网站或任何其他应用加入黑名单，一般不会扩展到连接网络的个人设备。但应注意，已经有新兴的技术可以特别将移动设备上的应用加人黑名单或白名单。 D. 虽然每个安全政策都应提供一定程度的用户意识培训，但只让数据库管理员（DBA）了解同时使用社交媒体网站和公司应用程序的潜在危险并不是最有效的控制。
      • 126
        • A
    • 127. PPTP 使用哪项加密技术： • A. L2TP • B. MPLS • C. MPPE • D. IPSec 128. 构建防火墻的第一步是？ • A. 了解并比较现有的防火墙技术 • B. 进行风险分析，识别需要解决的问题 • C.进行渗透测试，进行攻击面分析 • D. 明确防火墙管理员的角色和职责 129.0SI网络层能执行什么？ • A. 应用过滤 • B. 端口控制 • C. 数据包过滤 • D.RPC远程过程调用
      • 127
        • C
      • 128
        • B
      • 129
        • C
    • 130. Of the following, what is the primary item that a capability list is based upon? 能力表是基于下面哪项主要条目来建立的？ • A. A subject 一个主体 • B. An object 一个客体 • C. A product 一个产品 • D. An application 一个应用 131. 哪种类型的测试用于验证程序组件的数据结构、逻辑和边界条件？ • A. Acceptance testing 验收测试 • B. Regression testing 回归测试 • C. Integration testing 集成测试 • D. Unit testing 单元测试 132. 以下哪种技术可以隐藏信息还可隐藏技术本身？ • A.加密哈希 • B. 数据签名 • C. 隐写术 • D. 混合加密
      • 130
        • A
      • 131
        • D
          • 单元测试主要测试以下几个方面： 1、单元接口。 2、局部数据结构。 3、独立路径。 4、出错处理。 5、边界条件。 系统测试 功能测试（配置测试、恢复性测试、备份测试） 性能测试（压力测试、稳定性测试、容量测试） GUI测试（可用性测试） 兼容性测试 安全性测试（网络测试） 安装性测试 文档测试 集成测试 模块内集成测试（单元测试完成后） 子系统内集成测试，即模块间集成测试 子系统间集成测试 目的：1.找出模块接口以及整体体系结构上的问题； 2.确保各组件组合在一起后能够按照既定意图协作运行，并确保增量的行为正确； 3.集成测试属于灰盒测试； 1)验证接口是否与设计相符合； 2)发现设计和需求中存在的错误。
      • 132
        • C
    • 133.在进行安全风险评估时为组织在日常安全所面临的挑战给出最好的指标的是？ • A. 内部安全测试 • B. 外部安全测试 • C. 公开安全测试 • D. 隐蔽安全测试 134.当危害（hazard）与人类脆弱性（vulnerability）相互作用时，哪种事件规模被定义为致命（deadly）、毁灭性（destructive）和引起混乱的（disruptive）？ • A. Crisis / ft. • B. Catastrophe / 77 • C. Accident / 事故 • D. Disaster 135. 以下哪项最能描述软件取证的目的？ • A. 分析恶意软件可能的恶意意图 • B. 执行循环冗余校验（CRC）验证并检测更改的应用程序 • C. 确定代码的作者和行为 • D. 审查程序代码以确定是否存在后门
      • 133
        • D
          • 公开测试Overt Testing： 在机构的IT人员知情并同意的情况下进行的外部和/或内部测试，从而实现对网络或系统安全状况的全面评估。 由于IT人员完全了解并参与了测试，可以实现较高的测试覆盖度，可以提供指导以最小化测试的影响； 测试还可以提供一个培训的机会，IT人员可以观察学习评估人员的评估方法和绕过现有安全措施的方法。 公开测试的成本较低，风险比隐蔽测试小，且更多的被采用。 隐蔽测试Covert Testing： 采取对抗性的方法，在机构的IT人员不知情的情况下进行测试，但得到了上层管理部门的充分了解和许可。在有或没有警告的情况下进行都可以。 目的是检查攻击者可能造成的损害或影响——它并不侧重于识别漏洞，测试覆盖度低于公开测试； 除了不能充分的识别漏洞外，由于隐蔽性要求，隐蔽测试通常很耗时，而且成本较高。为了在隐蔽环境中操作，测试团队必须控制扫描和其他行动的节奏，以规避目标机构的安全人员的“雷达”。 隐蔽测试的优势在于能更好地揭示目标机构的日常真实安全状态，主要体现在如下三个方面： 现有安全控制的效用 IT人员对感知到的安全事件的反应 员工对机构安全政策的了解和执行 隐蔽测试通常需要事先定义明确的界限，当达到一定的访问水平或显现出测试的下一步可以实现某种类型的破坏时，就停止测试。
      • 134
        • B
      • 135
        • C
          • Wikipedia对软件取证的定义：软件取证是分析软件源代码或二进制代码以确定是否发生知识产权侵权或盗窃的科学。当公司因涉及软件专利、版权和商业秘密的问题发生争议时，它是诉讼、审判和和解的核心。 软件取证工具可以比较代码以确定相关性，这是一种可用于指导软件取证专家的措施。 A 说的是恶意软件取证的目的（恶意软件取证分析和调查恶意软件，以确定其来源、目的和潜在的影响风，险。它涉及使用各种技术和工具来收集和分析受感染系统的数据，以处理或防止未来的恶意攻击。） B 说的是完整性检查器的目的 D说的是代码审查的目的
    • 136.以下哪一项不属于基于行为特征的生物识别验证方式？ • A. 击键力学 • B. 签字力学 • c. 语音识别 • D. 步态验证 137.哪一项最能防止硬行闯入： • A. 警报系统 • B. 旋转门 • C. 捕人陷阱 • D. 安全意识宣贯 138.最近离开组织的一位同事向安全专业人员索要该组织机密事件管理策略（confidentialincident management policy）的副本。以下哪项是对此请求的最佳响应？ • A. 在公司发行的设备上访问策略，并让前同事查看屏幕。 • B.通过电子邮件将策略发送给同事，因为他们已经是组织的一部分并且熟悉它。 • C. 不回应收到前同事的请求，并忽略它们。 • D. 使用公司官方渠道提交请求，以确保政策可以分发。
      • 136
        • C
      • 137
        • C
      • 138
        • C
    • 139.开发信用卡和医疗业务软件，要保障知识产权可以参考： • A. 27002 • B. HIPPA • C. PCI DSS • D. COBIT 140. Management can expect penetration tests to provide all of the following EXCEPT 管理层可以预期渗透测试达到下面的目的，除了： • A.identification of security flaws 找出安全漏洞 • B. demonstration of the effects of the flaws 证明漏洞的影响 • C. finding a method to correct the security flaws. 找到纠正安全漏洞的方法 • D. verification of the levels of existing infiltration resistance 验证当前的入侵防御水平 141. Which one of the following is a characteristic of a penetration testing project? 下面哪个是渗透测试项目的特征？ • A. The project is open-ended until all known vulnerabilities are identified. 直到发现了所有已知的漏洞，项目无法结束 • B. The project schedule is plotted to produce a critical path. 绘制项目时间安排来产生关键路径 • C. The project tasks are to break into a targeted system. 项目任务是突破进入目标系统 • D. The project plan is reviewed with the target audience. 项目计划由目标用户来评审
      • 139
        • A
      • 140
        • C
      • 141
        • C
    • 142. What type of risk analysis approach does the following graphic provide? 下面图示提供的是那种风险分析方法？ • A. Quantitative $= • B. Qualitative ZI • C. Classification >4 • D. Categorize S$ 143. For which one of the following is a computer user MOST accountable? 下面哪项是对一个计算机用户问责最需要的？ • A. Classifying important data files 对重要数据文件进行分类 • B. Actions performed with their identification 使用他们自己的身份来执行任务 • C. Sharing their logon password with appropriate persons 与合适的人共享他们的登陆密码 • D. Protecting system applications that are accessed 保护他们访问的系统应用程序 144. What should be the INITIAL response to Intrusion Detection System/Intrusion Prevention System (IDS/IPS) alerts? 针对入侵检测系统/入侵防御系统（IDS/IPS）报警的第一个响应是什么？ • A. Ensure that the Incident Response Plan is available and current. 确保事件响应计划是可用的和最新的 • B. Determine the traffic's initial source and block the appropriate port. 判断流量的初始源，并阻断合适的端口 • C. Disable or disconnect suspected target and source systems. 关闭或断开可疑的目标和源系统 • D. Verify the threat and determine the scope of the attack. 确认威胁并判断攻击的范围
      • 142
        • B
      • 143
        • B
      • 144
        • D
    • 145.以下哪一项是关于隐私信息管理体系（PIMS）的标准？ • A. ISO/IEC 27001. • B. ISO/IEC 27002 • C. ISO/IEC 27701 • D. ISO/IEC 29151 146. 以下哪项最好地保护了敏感信息泄漏？ • A. 安全哈希算法（SHA） • B. 传输层安全协议（TLS） • C. 有线等效保密协议（WEP） • D. 邮件协议（POP） 147. Which of the following BEST defines the final stage of the identity management architecture lifecycle?下面哪个最好的定义了身份管理架构生命周期最后一个阶段？ • A. Approval 批准 • B. Auditing 审计 • C. Communication i • D. Training 培训
      • 145
        • C
      • 146
        • B
      • 147
        • B
    • 148.一个组织制定了关于数据分类和数据处理相关的全面的政策和程序。但是，该组织还是因不当披露客户的隐私数据给第三方，遭到了许多客户的诉讼。这些泄露是没有恶意的。这些泄露的客户数据已经标识为机密。下面哪项是泄露问题最可能的原因？ • A. Improper data classification 不正确的数据分类 • B. Improper data retention 不正确的数据保留 • C. Improper data access controls 不正确的数据访问控制 • D. Improper data handling 不正确的数据处理 149. 小步快走，快速试错，送代周期短，需求变化频繁，是以下哪种开发方法的特点： • A. 螺旋开发模型 • B. 快速原型法 • C. 敏捷开发 • D. V字模型 150. 以下哪个角色在访问数据时必须十分谨慎并严格遵循安全策略和数据分类规则，他/她不能决定、维护或评价控制 • A. Data owner 数据所有者 • B. Data custodian 数据管理者 • C. Data user 数据使用者 • D. Information systems auditor 信息系统审计师
      • 148
        • C
      • 149
        • C
      • 150
        • C
    • 151. 以下哪些信息必须提供给用户帐户开通（provisioning）？ • A. 全名 • B. 唯一标识符 • C. 安全问题 • D. 出生日期 152.将安全补丁应用于之前经过通用标准（CC）评估保证级别（EAL）4级验证的产品，应该： • A. require an update of the Protection Profile （PP）. 要求更新保护配置文件（PP） • B. require recertification.要求重新认证 • C. retain its current EAL rating. 保留其当前的EAL评级 • D. reduce the product to EAL 3. 将产品降低至EAL 3 153.对于使用公共云服务的组织来说，以下哪种介质净化技术最有效？ • A. Low-level formatting 低级别格式化 • B. Secure-grade overwrite erasure 安全级别覆写擦除 • C. Cryptographic erasure 加密擦除 • D. Drive degaussing 驱动消磁
      • 151
        • B
      • 152
        • B
      • 153
        • C
    • 154.什么类型的攻击最能描述电磁脉冲（EMP）攻击？ • A. Radio Frequency （RF） attack / 射频（RF）攻击 • B. Denial of Service （DoS） attack / 拒绝服务（DoS）攻击 • C. Data modification attack / 数据修改攻击 • D. Application-layer attack / 应用层攻击 155. Determining outage costs caused by a disaster can BEST be measured by the: 确定由灾难造成的停机成本最好通过： • A. cost of redundant systems and backups. 冗余系统和备份的成本。 • B. cost to recover from an outage. 从中断中恢复的成本。 • C. overall impact of the outage. 中断的总体影响。 • D. revenue lost during the outage. 中断期间损失的收入。 156.谁主要负责确保安全目标与组织目标一致？ • A. 高级管理层 • B. 信息安全部 • C. 审计委员会 • D. 所有用户
      • 154
        • B
      • 155
        • C
      • 156
        • A
    • 157. 在高噪音、堆满物体的环境中，建议使用以下哪种报警系统来检测通过窗户的入侵？ • A. 声传感器 Acoustic sensor • B. 运动传感器 Motion sensor • C. 震动传感器 Shock sensor • D. 光电传感器 Photoelectric sensor 158. 当员工被解雇时，以下哪项是管理用户帐户的最有效做法？ • A. 实施流程以自动移除（remove）已离职员工的访问权限。 • B. 离职时删除（delete）员工网络和系统 ID。 • C. 手动移除（remove）离职员工对所有系统和应用程序的访问权限。 • D.禁用（disable）离职员工的网络ID以移除（remove）所有访问权限。 159.以下哪一项是为员工做好紧急情况准备的意识和培训计划中最重要的部分？ • A. 为普通员工建立紧急联系人以获取信息 • B. 为那些直接参与恢复的人员进行业务连续性和灾难恢复培训 • c. 为不同的受众设计业务连续性和灾难恢复培训计划 • D. 在企业网站上发布企业业务连续性和灾难恢复计划
      • 157
        • C
      • 158
        • A
      • 159
        • C
    • 160.从系统或存储设备中移除（removing）敏感数据以使数据无法通过任何已知技术重建的过程是什么？ • A. 清除 / Purging • B. 加密 / Encryption • C. 格式化 / Formatting • D. 清理 / Clearing 161. 系统开发生命周期（SDLC）流程的安全认可在哪个阶段的未期完成？ The security accreditation task of the System Development Life Cycle (SDLC) process is completed at the end of which phase? • A. 系统获取和开发 • B. 系统运维 • C. 系统初始 • D. 系统实施 162.Bob 的组织最近完成了对一家竞争对手公司的收购。以下哪项任务最不可能成为收购过程中组织流程关注的一部分？ • A. 合并安全职能 • B. 集成安全工具 • C. 保护知识产权 • D. 整合安全政策
      • 160
        • A
      • 161
        • D
      • 162
        • C
    • 163. 一个组织计划购买由小型供应商开发的定制软件产品以支持其业务模型。在创建合同协议时，考虑到与这种依赖关系相关的潜在长期风险，应特别关注以下哪项？ • A. 对技术文档的访问 • B. 要求对软件源代码进行独立审查的权利 • C. 要求提供符合安全要求声明的尽职调查表 • D. 源代码托管条款 164.应用程序的设计审查已经完成，准备发布。组织应该使用什么技术来确保应用程序的完整性？ • A.应用程序身份验证 • B.输入验证 • C.数字签名 • D.设备加密 165.两个公司之间出现了恶意行为，适用哪种法？ • A.刑法 • B. 民法 • C.监管法 • D.行政法
      • 163
        • D
      • 164
        • C
      • 165
        • B
• 恶意代码和应用攻击
  • 恶意软件
    • 恶意软件
    • 病毒
      • 病毒技术
        • 复合病毒
          • 如感染exe文件同时也感染引导扇区
        • 隐形病毒
          • 通过篡改操作系统隐藏
        • 多态病毒
          • 可以修改自身代码，每次感染新的系统后，特征会有略微改变
          • 传播和破坏技术不会变化
        • 加密病毒
      • 恶作剧病毒
    • 逻辑炸弹
    • 木马
    • 蠕虫
    • 间谍软件和广告软件
      • 都属于潜在有害程序 PUP
    • 勒索软件
    • 恶意脚本
    • 零日攻击
  • 恶意软件预防
    • 反恶意软件
  • 注入漏洞
    • SQL注入攻击
      • 基于内容的盲注
      • 基于时间的盲注
    • 代码注入攻击
      • XML注入，目标是XML后端应用程序
      • LDAP注入攻击，不是攻击数据库服务器，而是LDAP目录服务的后端
    • 命令注入攻击
  • 利用授权漏洞
    • 不安全的直接对象引用
      • URL中含有信息可以让攻击者利用，如：id=1000，可以在URL中添加1001 1002等获取信息
    • 目录遍历
      • URL中含有目录信息
    • 文件包含
      • 目录遍历的升级
      • 本地包含，存储在服务器本地的代码
      • 远程包含，URL中含有执行远程代码的链接
  • 利用web应用程序漏洞
    • XSS 跨站脚本
      • <script>
    • 请求伪造
      • 跨站请求伪造 XSRF/CSRF
      • 服务器端请求伪造 SSRF
        • 诱骗服务器根据用户的输入访问URL
    • 会话劫持
      • 捕获客户端和服务器之间的身份认证详细信息，假冒用户
      • 诱使客户端认为攻击者就是服务器
      • 利用未正确关闭的用户的cookie，需要正确设置cookie过期时间
  • 应用程序安全控制
    • 输入验证
      • 服务器端，而非客户端
      • 最有效-白名单
      • 转义元字符
      • 参数污染-攻击者绕过安全控制的方法，同一输入变量的多个值 如：id=10001&id=10001‘
    • web应用防火墙
    • 数据库安全
      • 参数化查询和存储过程
      • 混淆和伪装
    • 代码安全
      • 代码签名
        • 真实未修改，不确保没有恶意代码
      • 代码重用
        • SDK等
        • 和内部开发代码同级别测试，注意安全和缺陷
      • 软件多样性
      • 代码仓库
        • 版本控制
      • 完整性度量
        • 加密哈希函数验证发布到生成环境的代码时候与批准的代码匹配
      • 应用程序韧性
        • 可扩展性
          • 垂直/向上扩展
            • 添加更多的资源到现有的计算实例
          • 水平/向外扩展
            • 资源池中添加更多的新的其他的实例
        • 弹性
          • 自动提供资源进行扩展
  • 安全编码实践
    • 源代码注释
      • 防止未授权的访问
    • 错误处理
      • 提供最少信息，日志提供详细信息
    • 硬编码凭证
      • 代码含有登录凭证
      • 维护账户，后门
    • 内存管理
      • 内存泄漏
        • 没有释放导致系统崩溃
      • 指针解引用
        • 空指针
          • 应用程序崩溃，攻击者可以访问调试信息
          • 绕过安全控制
• 软件开发安全
  • 软件开发
    • 编程语言
      • 编译型
        • 使用编译器的攻击将高级语言的源代码专程可执行文件
        • 不易被第三方操纵
        • 容易被恶意人员在编译后的代码中加入后门或者其他缺陷，因为无法查看源代码
        • 逆向工程可以破解
        • 代码保护技术可以防止或阻止反编译器或者反汇编器的使用
        • C、Java、FORTRAN
      • 解释型
        • 分发源代码，用户可以看到源代码，原编译不易插入后门或者恶意代码
        • 接触软件的人可以插入、修改代码
        • Python、R、JavaScript、VB
    • 库
      • 代码重用
    • 开发工具集
      • 最重要的一个 IDE-集成开发环境
    • 面向对象编程 OOP
      • 各种术语
      • 内聚
        • 相同类中个方法的目的之间的关系的强度
      • 耦合
        • 对象之间的交互级别
    • 保证
      • 构建的安全控制机制在系统的生命周期内能正确的实施安全策略
      • 保证程序在系统生命周期内构建信任的正规过程
      • 通用准则CC提供了标准化的保证方法
    • 避免和抑制系统故障
      • 输入验证
      • 身份认证与会话管理
        • 身份管理
        • 会话
          • cookie标识符足够长且随机
          • 会话令牌过期
          • 加密
      • 错误处理
        • 禁止公开访问错误消息
      • 记录
      • 失效打开和失效关闭
  • 系统开发生命周期
    • 甘特图和PERT
      • 甘特图
        • 项目和调度之间的变化
      • PERT
        • 项目调度工具
        • 不同项目任务之间的依赖关系
        • 估算和依赖关系可以更好的管理团队成员时间和执行任务调度
        • 改进项目管理和软件编码
    • 变更和配置管理
      • 变更管理
        • 请求控制
          • 请求变更
          • 成本/效益分析
          • 优化任务、排序
        • 变更控制
          • 遵守质量控制
          • 记录
        • 发布控制
          • 验收测试
          • 确保变更被批准
      • 配置管理
        • 配置标识
          • 管理员记录整个组织范围内的软件产品配置
        • 配置控制
          • 确保对软件版本的变更与变更控制和配置管理策略一致
        • 配置状态统计
          • 跟踪发生的所有授权变更的过程
        • 配置审计
          • 确保没有发生未授权的变更
    • API
      • 身份认证
      • 授权
      • 测试安全缺陷
    • 软件测试
    • 代码仓库
    • 服务水平协议
    • 第三方软件采购
  • 数据库和数据仓库
    • 数据库
      • 层次式数据库
        • 逻辑树结构 一对多
        • 节点可能没有子节点/或者多个子节点，但是只有一个父节点
        • 分层方式存储
      • 分布式数据库
        • 数据存储在多个数据库中
        • 每个字段有多个子字段和父字段 多对多
      • 关系数据库
        • 二维表
        • 一对一映射关系
        • 面向对象数据库
          • OODB
          • 方便代码重用
          • 方便故障分析，减少维护工作量
          • 更适用于支持多媒体、视频、图形、专家系统
        • 其他
          • 常用的SQL语言种类：DCL、DDL、DML、TCL DCL：数据库管理语句，用于管理数据库访问的。比如授权语句、用户建立语句等 建立数据库账号：create user 对用户授权：grant 收回用户权限：revoke DDL：数据定义类语句的简称，主要用于建立数据库对象的，比如建立表的语句，修改表结构的语句等等 建立/修改/删除数据库：create/alter/drop database 建立/修改/删除表：create/alter/drop table 建立/删除索引：create/drop index 清空表：truncate table 重命名表：rename table 建立/修改/删除视图：create/alter/drop view DML：数据操作语句的一种简称，也是我们平时使用最多的一种语言，从其名字中大家就可以知道DML主要用于操作存储在数据库中的数据，也就是之前所说的执行这个增删改查，这些任务的语句全都属于DML类语句 新增表中的数据：insert into 删除表中的数据：delete 修改表中的数据：update 查询表中的数据：select 等等，很多 TCL：这是一种事务控制类语句的简称，主要的作用是实现对事物的控制，比如开启事务、提交事务、回滚事务等等，这些都是属于TCL类语句。 COMMIT、ROLLBACK、SAVEPOINT等 A.属性 列 字段（Field）或属性（Attribute） B.记录或元组 行 C.记录保存 D.关系 二维表
        • 数据库事物
          • 确保数据的完整性，要么全部执行，要么全部不执行 例子就是两个账户一个加钱，一个减少同样的钱，用事物完成
            • -- 开启事务 start transaction ; -- 1.查询张三账户余额 select * from account where name = '张三'; -- 2.张三账户余额 -1000 update account set money = money - 1000 where name = '张三'; 程序抛出异常... -- 3.李四账户余额 +1000 update account set money = money + 1000 where name = '李四'; -- 提交事务 commit ; -- 回滚事务 rollback ;
          • 特性
            • 1. 原子性（Atomicity） 定义：原子性指的是一个事务中的所有操作要么全部成功执行，要么全部失败回滚。如果一个事务中的某个操作失败，那么整个事务都会回滚到之前的状态，保证数据的一致性。 作用：原子性确保了事务的完整性和可靠性，是事务不可分割的最小执行单位。 2. 一致性（Consistency） 定义：一致性指的是在事务执行前后，数据库的状态应保持一致。事务的执行应使数据库从一个一致的状态转换到另一个一致的状态，即满足事务的约束和规定的业务规则。 作用：一致性要求事务在执行过程中对数据库的修改必须符合预定义的规则和约束，否则事务会被回滚到执行前的状态，从而保证数据的完整性和有效性。 3. 隔离性（Isolation） 定义：隔离性指的是多个事务并发执行时，每个事务都应该被隔离开，互不干扰。每个事务应该感觉不到其他事务的存在，即使多个事务同时对同一数据进行操作，也不会产生相互干扰的结果。 作用：隔离性保证了并发执行的事务之间不会产生不一致的结果，避免了数据竞争和冲突，确保了数据的一致性和正确性。 4. 持久性（Durability） 定义：持久性指的是一旦事务提交成功，对数据库的修改就会永久保存，即使发生系统故障或断电等情况，数据也能够被恢复。 作用：持久性保证了数据的持久性和可靠性，使用户可以放心地使用数据库，不用担心数据的丢失。
        • 多级数据的安全性
          • 数据分开
            • 旧的可以通过部署信任前端
          • 视图
            • 存储的是sql语句
            • 可以违反范式规则
          • 并发性
            • 丢失更新
              • 多个不同进程更新数据库，如果不知道对方的活动，就会
            • 脏读取
              • 进程没有从成功提交的事物中读取记录，就会出现脏读取
            • 使用锁定功能
            • 并发性或编辑控制是预防性安全机制
          • 聚合
            • 深度防御、因需可知、最小特权结合，可以防止
          • 推理
            • 数据库分区
            • 限制权限
            • 模糊数据
          • 其他
            • DBMS
              • 语义完整性
              • 希力度控制对象
            • 分区
              • 防止聚合和推理
            • 多实例化
              • 防御推理
            • 噪声和扰动
              • 加入错误数据
        • 开放数据库互连 ODBC
          • 一种数据库特性
          • 允许应用程序与不同类型的数据库通信
          • 是应用程序与后段数据之间的代理
        • NoSQL
          • 速度更快，非关系型模型
          • 键/值对
          • 图形
          • 文档
            • XML、JSON等
          • 安全控制与关系型不同
        • 存储器威胁
          • 加密
          • 存储隔离、控制
          • 防止隐蔽通道
      • 基于知识的系统
        • 专家系统
          • 知识库 一系列if/then
            • 基础
          • 推理引擎
        • 机器学习 ML
          • 监督学习
            • 使用标记数据进行训练
          • 无监督学习
            • 使用未标记数据进行训练
        • 神经网络
• 调查和道德
  • 调查的类型
    • 行政
    • 刑事
    • 民事
    • 监管
    • 行业标准
    • 电子取证 eDiscovery
      • 电子取证参考模型 EDRM
        • 信息治理
          • 确保信息系统针对将来取证妥善保管信息
        • 识别
          • 确定回应可能发生的诉讼的信息
        • 保存
          • 潜在的信息不会收到篡改或删除
        • 收集
          • 收集相关信息
        • 处理
          • 粗剪
        • 检查
          • 确定哪些和取证相关，并移除受律师-客户特权保护的信息
        • 分析
          • 更深入的调查
        • 产生
          • 标准格式生成信息，交给其他方
        • 呈现
          • 向证人、法院和其他当事方展示
  • 证据
    • 证据类型
      • 事物证据
      • 书面证据
        • 最佳证据规则
          • 原始文档，除非特殊才提供副本
        • 口头证据规则
          • 口头协议不可修改书面协议
      • 言辞证据
        • 传闻规则要避免
        • 传闻规则例外：有业务记录，并且是在正常业务活动过程中保存的，且保存是常规做法 如计算机系统日志或者生成的其他记录
      • 演示证据
    • 证据链
      • 记录所有处理证据的人
      • 被收集的那一刻开始，到被呈现到法庭那一刻，必须对证据的位置进行完整的记录
      • 同时记录谁接触过这个证据以及原因
      • 证据链标签
        • 一般性描述
        • 收集时间和日期
        • 来源的确切位置
        • 收集人员姓名
        • 收集的相关环境
    • 工件、证据收集和取证程序
      • 介质分析
        • 计算哈希值，原始文件保留，副本分析
      • 内存分析
        • 计算哈希值，原始文件保留，副本分析
      • 网络分析
        • 端口镜像或者流量分流器
        • 协议分析器，不如上面的好用
        • 计算哈希值，原始文件保留，副本分析
      • 软件分析
      • 硬件/嵌入式设备分析
  • 调查过程
    • 收集证据
      • 资源上交
      • 发传票或者法庭命令
      • 执法人员扣押
      • 搜查证
    • 请求执法
    • 实施调查
      • 遭受攻击的系统，脱机、备份，备份用于调查
      • 不要反击
      • 向专家求助，执法机构/私人调查公司
    • 约谈个人
      • 约谈
      • 审问
    • 数据的完整性和保存
      • 日志的完整性
      • 远程保存
      • 数字签名
    • 报告和记录调查
  • 计算机犯罪的类别
    • 兴奋攻击
      • 脚本小子-使用其他人的程序或者脚本
    • 黑客
      • 自杀式黑客
    • 恶意攻击
      • 内部
  • 道德规范
    • 组织的道德规范
      • 不解决具体情况，提供一般的指导和方向
    • ISC的道德规范
      • 序言
      • 准则
        • 保护社会、公益、必须的公信与自信，以及基础设施 行为得体、诚实、公正、负责和遵守法律 为委托人提供尽职的、胜任的服务工作 发展和保护职业
    • 道德规范和互联网
• 事件的预防和响应
  • 实施事件管理
    • 事件-计算机安全事件
      • 未遂的网络入侵
      • 未遂的拒绝服务攻击
      • 对恶意软件的任何检测
      • 对数据的任何未经授权的访问
      • 对安全策略的违背行为
    • 步骤
      • 检测 -> 响应 -> 消减 -> 报告 -> 恢复 -> 补救 -> 总结教训
      • 检测
        • IT人员对事件进行调查并确认后决定如何处理或者升级
      • 响应
        • 响应团队 CIRT或者CSIRT
      • 抑制/消减
        • 限制事件的影响和范围
        • 有时候会让攻击者不知道已被发现的情况的处理
      • 报告
        • 报告给组织外的人或者组织
      • 恢复
        • 至少达到安全事件之前的水平
        • 事项
          • 访问控制列表 服务和协议 补丁 用户账号 破坏
      • 补救
        • 安全人员受限查看事件，查明原因
        • 采取措施防止事件再次发生
        • 根本原因分析，判断事件起因
      • 总结教训
        • 安全人员检查事件发生和响应的整个过程，确定是否要总结经验教训
        • 事件响应团队也会介入上述过程
        • 编写报告 总结+建议改进
    • 不包括对攻击者的反击
  • 实施检测和预防措施
  • 分布式反射形拒绝服务攻击 DRDoS
    • DNS中毒 smurf攻击 fraggle攻击（UDP 7和19端口）
  • 其他DoS攻击
    • 死亡之ping-超大包 泪滴-数据包打碎 land攻击-受害者的ip作为源和目的地址，发送SYN
  • 入侵检测和预防系统
    • 基于知识/基于签名 knowledge-based detection/signature-based detection
      • 假阳性低
      • 智能对已知的攻击方法有效
    • 基于行为的/统计入侵检测/异常检测/启发式检测 behavior-based detection
      • 建立基线积累足够的数据确定正常活动
      • 误报
    • IDS响应
      • 被动响应
        • 通知
      • 主动响应
        • 修改环境缓解攻击
    • 基于主机的IDS 基于网络的IDS（其中一种基于应用的IDS）
  • 具体预防措施
    • 蜜罐/蜜网 honeypot
      • 抵御零日攻击的有效手段
      • 经常配备在虚拟机中
        • 攻击者可以识别出来，并采用虚拟机逃逸方式
      • 配置伪缺陷 pseudo-flaw-假漏洞或者假缺陷
    • 警示
      • 通知授权用户也通知非授权用户
    • 反恶意软件
    • 黑名单和白名单
    • 防火墙
      • 预防控制
      • 技术控制
    • 沙箱
    • 第三方安全服务
      • 组织必须向外部实体保证第三方遵守具体的安全要求，比如：PCI DSS要求第三方也遵守PCI DSS的要求。注意这个是一个考点，可以延伸到其他知识点中
      • 云SaaS提供安全服务
• 安全运营管理
  • 因需可知
    • 授予用户执行工作所需数据或资源的访问权限
      • 组织给用户的
    • 与安全许可关联 security clearance
    • 子主题
  • 最小特权
    • 主体被授予制定工作所需要的特权
  • 职责分离和责任
    • 确保个体无法完全控制关键功能或系统
  • 双人控制
    • 双人制 two-person control
  • 知识分割-将职责分离和双人控制融入一个解决方案
  • 岗位轮换
    • 威胁和检测机制
  • 强制休假
    • 威胁和检测机制
  • 特权账户管理 PAM
    • Windows下
      • 包括：本地管理员、域管理员组中的用户、企业管理员组中的用户
    • Linux
      • root账户和sudo命令授予root访问权限的用户
    • powershell脚本提升特权，使用SIEM检测发警报
  • 高级持续威胁 APT
    • 通过监控提升特权可以发现
  • 服务水平协议 SLA
  • 资产管理
    • CMS 自动配置管理系统
      • 硬件、软件、无形资产清单
      • RFID-硬件
      • 组织将建立一个单一的、集中的、关系存储库，以保存有关软件和硬件资产的所有信息。以下哪一个是最佳选择? A. 信息安全管理体系 （ISMS） B. 配置管理数据库 （CMDB） C. 安全信息和事件管理（SIEM） D. 信息技术资产管理 （ITAM） B IT资产管理（ITAM）是指对组织内的IT资产进行系统化的管理和控制。IT资产包括硬件（如服务器、工作站、路由器）、软件（如操作系统、应用程序）、以及其他技术资源（如许可证、网络设备）。ITAM的主要目标是优化资产的使用，降低成本，减少风险，并确保合规性。 配置管理数据库（CMDB）是一个集中存储系统，它包含了与IT基础设施相关的所有配置信息。CMDB不仅记录IT资产的物理和逻辑关系，还包括它们的配置状态和变更历史。CMDB的主要目的是支持IT服务管理（ITSM），提高变更管理、事件管理和问题管理的效率。
        • 通常使用什么术语来描述存储在配置管理数据库 (CMDB) 中的硬件和软件资产? A. Asset register / 资产登记 B. Configuration element / 配置元素 C. Configuration item / 配置项 D. Ledger item / 分类帐项目 C
  • 资源保护
    • 媒介保护
      • MTTF
  • 配置管理 CM
    • 配置
      • 默认配置有很多漏洞
      • 加固后比默认配置更安全
    • 基线
      • 起点，初始配置，识别所有配置以加固系统
  • 变更管理
    • 保证变更不会导致意外的中断
    • 变更前批准，且测试和记录
    • 未经授权的影响可用性
    • 流程
      • 请求
      • 审核
      • 批准/拒绝
      • 测试
      • 实施
      • 记录
  • 版本控制
  • 补丁管理和减少漏洞
    • 补丁管理流程
      • 评估
      • 测试
      • 审批
      • 部署
      • 验证
    • 漏洞管理
      • 漏洞扫描
  • 日志记录和监测
    • 类型
      • 安全日志
      • 系统日志
      • 应用日志
      • 防火墙日志
      • 代理日志
      • 变更日志
    • 保护日志数据
    • 监测的作用
      • 审计踪迹 audit trail
        • 威慑
        • 被动方式
        • 起诉犯罪的证据
        • 提供资源、系统和资产状态的前后对比，确定是认为还是其他原因造成
      • 监测和问责
      • 监测和调查
        • NTP和时间戳
      • 监测和问题识别
    • 监测技术
      • 日志分析
        • 人工-耗时
        • 自动化，如IDS
        • 工具
          • 安全信息和时间管理 SIEM
            • 关联引擎，收集和聚合数据，找出共同属性
            • SEM 安全事件管理 SIM 安全信息管理
          • syslog
            • 收集，一般不处理
            • UNIX和Linux
            • 扩展后，如syslog-ng，rsyslog，可以收任何来源的消息
          • 抽样 sampling
            • 也叫数据提取 data extracion
            • 数据缩减形式
            • 需要标明误差范围
          • 剪切级 clipping level
            • 预先定义好阈值
          • 其他工具
            • 击键监测
              • 告知
            • 通信流分析和趋势分析
              • 也叫网流监测
              • 检查数据包流动，而不是内容
      • 日志管理
        • 滚动日志
          • 到达最大阈值后，覆盖最早日志
          • 归档
          • powershell脚本，定期归档日志文件到另外一个位置，需要注意的是防止日志填满硬盘
      • 出口监测
        • DLP
          • 水印
          • DLP可以监测水印，防止阻止并告知
          • DLP不能解密加密数据，但是可以监测流量、流向和发出系统
        • 隐写术
          • 比较哈希值，防止内部人员使用隐写术将秘密外泄
  • 自动事件响应
    • SOAR
      • 剧本
        • 定义了核实事件的文件或者检查列表， 还提供了响应的详细信息
        • 规定脚本应该做什么
        • 如果出现故障，管理员可以参照剧本手动完成
      • 运行脚本
        • 自动化工作，贯彻实施剧本数据
      • 难点
        • 如果把所有已知的事件和响应措施都写进剧本
  • 威胁情报
    • 杀伤链
      • 可以攻击也可以防御
      • 任何一个节点失败，就会失败
      • 框架
        • 侦查
        • 武器化
        • 交付
        • 利用
        • 安装
        • 指挥和控制
        • 目标行动
    • MITRE ATT&CK
      • 杀伤链的补充
      • 矩阵
    • 威胁馈送
• 安全评估与测试
  • 安全测试
    • 验证某项控制措施是否政策运行， 包括：自动化扫描、工具辅助的渗透测试、破坏安全的手动测试
    • 渗透测试可以每年一次
  • 安全评估
    • 系统、应用程序、其他待测环境的安全性的全面检查
    • 一般包括：自动化扫描和手工渗透测试
    • 还包括：威胁环境、当前和未来风险、目标环境价值的细致审查
  • 安全审计
    • 为了向第三方证明控制措施的有效性而进行的评估
    • 内部审计
      • 内部审计员
      • 向高层汇报
    • 外部审计
      • 外部审计公司
    • 第三方审计
      • 一个组织针对另一个组织的审计，如政府
      • SSAE 18
        • P563 SSAE-18:提供了通用标准审计，只需要开展一次第三方评估，不必进行多次第三方评估，组织可以与用户及潜在用户共享最终评估报告。 SOC1:评估可能影响财务报告准确性的组织控制措施 SOC2:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是保密的，通常仅通过保密协议对外共享。 SOC3:评估影响存储在系统中信息安全性（保密、完整、可用）和隐私。是公开的。 I类报告：特定时间点的，不是持续性的。书面形式的检查，确保管理层的控制是合理和适当的 II类报告：一段时间的的，至少六个月，传统的审计。不仅检查文档还深入现场并验证。包含独立控制措施的测试。 类报II告包括对控制措施的独立测试。 类型I报告只是让服务组织自圆其说，控制措施已按照描述实现。
          • Type1，证明控制设计和实施有效（在某个时间有效） Type2，证明控制执行有效（在一段时间内有效运行） SOC1-Type1，证明组织的内部财务控制设计合理。 SOC1-Type2，证明这些控制已经有效的运作一定时间。 SOC2-Type1，提供当下的控制设计合理性证明。 SOC2-Type2，通过更长时间（通常一年）的观察确认控制的有效性。 SOC1报告涵盖财务报告， SOC2报告关注安全性，提供有关控制措施和他们可能遇到的任何问题的详细信息。 SOC2报告详细涵盖了业务合作伙伴、监管机构和其他类似组织的安全性、可用性、完整性和隐私的细节，SOC2报告通常不会提供给广泛的受众，通过NDA。 SOC3专门用于向外部发布，包括审计师的意见和管理断言以及有关服务组织的信息。（不包括审计细节）公开的，提供的信息较少。 SOC3报告旨在与广泛的社区共享，支持组织关于其提供完整性、可用性和机密性的能力的声明。
            • 哪种类型的 SOC 报告最适合向用户提供有关组织的安全性、可用性和服务运营完整性的保证？ A. SOC 1 Type 2 报告 B. SOC 2 报告 C. SOC 3 报告 D. SOC 1 Type 1 报告 C，给用户，所以是3
            • 当您请求 SOC 2 报告时，您会收到 SOC 1 报告。你应该提出什么问题？ A. SOC 1 报告仅披露公开信息。 B. SOC 1 报告涵盖财务数据。 C. SOC 1 报告仅涵盖一个时间点。 D. SOC 1 报告仅使用三个月的时间进行测试。
    • 审计标准
      • COBIT
  • 开展漏洞评估
    • 漏洞描述
      • SCAP
        • 1.CVE(Common Vulnerabilities and Exposures)通用漏洞披露是一种通用的漏洞和暴露标 识符体系，用于标识计算机系统中的漏洞和安全性问题。CVE 分配给漏洞唯一的标识符，方便 供应商、研究人员和用户跟踪和引用。 2.CVSS(Common Vulnerability Scoring System)通用漏洞评分系统是一种被广泛接受的 漏洞评分系统，用于标识漏洞的严重程度。 CVSS评分标准由三个维度构成,分别是基础分 (Base Score)、环境分(Environmental Score)和改进分(Temporal Score)。 3.CCE(Common Configuration Enumeration)通用配置枚举是一种关于计算机配置的通用标准。 CCE 使用命名约定来命名特定的计算机配置项，方便各个安全方案的测试工具和流程之间共享相关信息。 4.CPE(Common Platform Enumeration)通用平台枚举是一种关于计算机系统平台的通用描述和 分类的标准。CPE 描述计算机系统及其应用程序的特征和版本信息，方便各个安全方案识别系统 中的软件和硬件，以便更好地分析和评估风险。 5.XCCDF (eXtensible Configuration Checklist Description Format)可扩展配置清单描述 格式是一种描述配置数据和评估结果的格式。它提供了一种标准的格式来定义针对某些安全策略 的检查清单。这些检查清单可以针对不同的系统和产品，确保对所有系统应用相同的安全策略， 并帮助进行自动化风险和合规性评估。 6. OVAL(Open Vulnerability and Assessment Language)开放式漏洞和评估语言是一种用来 定义检查项、脆弱点等技术细节的描述语言。OVAL同样使用标准的XML格式组织其内容。 OVAL 能够清晰地对与安全相关的检查点作出描述，并且这种描述是机器可读的，能够直接应用到自 动化的安全扫描中。
    • 漏洞扫描
      • 网络发现扫描
        • TCP SYN扫描
          • 半开放扫描 half-open
          • 利用TCP前两个阶段
        • TCP Connect扫描
          • 全连接
          • 适用于没有半开放权限的情况
          • 没有或者无法发送原生数据包
        • TCP ACK扫描
          • 确定防火墙规则或防火墙方法
          • 发送ACK 标志位，表明属于某个开发连接
        • UDP扫描
        • Xmas扫描
          • 发送FIN、PSH、URG标志位数据包
          • 圣诞树
        • 工具
          • nmap
            • Open
            • Closed
              • 防火墙通过，没有程序
            • Filtered
              • 防火墙干扰，无法确定开放还是关闭
      • 网络漏洞扫描
        • 默认执行未经身份认证的扫描
          • 攻击者角度
          • 限制网络扫描器全面的评估
        • 经身份认证的扫描
          • 提高准确性
          • 减少漏报和误报
          • 只读权限
        • 工具
          • OWASP
          • OpenVAS
          • aircraft-ng
            • 针对无线网络
      • Web应用程序漏洞扫描
        • 工具
          • Nessus
        • 频率
          • 初次执行漏扫，全面
          • 新程序部署到生产环境
          • 代码变更部署到生成环境
          • 定期扫描所有程序
        • 合规要求
          • PCI DSS
            • 每年至少一次
      • 数据库漏洞扫描
        • 工具
          • sqlmap
      • 漏洞管理工作流程
        • 检测---验证---修复
    • 渗透测试
      • 阶段
        • 规划
        • 信息收集和发现
        • 攻击
        • 报告
      • 类型
        • 白盒渗透测试
          • 提供详细信息
          • 绕过攻击之前的很多侦查步骤
          • 缩短攻击时间
          • 提高发现漏洞的可能性
        • 灰盒渗透测试
          • 部分知识测试
          • 平衡黑白盒
          • 需要黑盒结果，成本时间受限
        • 黑盒渗透测试
          • 无任何信息
          • 模拟外部攻击者
      • BAS
    • 合规性检查
    • 测试软件
      • 安全测试
      • 代码审查与测试
        • 代码审查
          • 同行评审 peer review
          • 范根检查
        • 静态测试 SAST
          • 不运行软件
          • 分析源代码或编译后的应用程序
          • 一般自动化工具
          • 常见的缺陷：缓冲区溢出等
          • 设计、构建、测试
        • 动态测试 DAST
          • 运行中
          • 部署他人开发的软件的唯一方法
          • 检测：SQL注入、XSS、等
          • 模拟事物方法验证系统性能
            • 脚本化的事物用例及其预期结果对比实际结果
        • IAST
          • 运行时的行为、应用程序性能、流量、框架、组件和后台进行实时分析
        • 模糊测试
          • 一种特殊的动态测试
          • 输入不同类型的输入测试其边界
          • 类型
            • 突变模糊测试
              • 从实际操作获取输入值
              • 然后操纵或改变输入值生成模糊输入
              • 可能改变输入值的内容，在尾部加入数据，或者其他数据操纵方法
            • 预生成（智能）模糊测试
              • 设计数据模型，基于对软件所用数据类型创建新的数据输入
          • 局限性
            • 不能完全覆盖程序的代码
            • 一般仅限于检测不涉及复杂业务逻辑的简单漏洞
      • 接口测试
        • API UI 物理接口
      • 误用案例测试
      • 测试覆盖率
        • 已测用例的数量/全部用例的数量
      • 网站监测
        • 被动监测
          • 实际流量
          • RUM 被动监测的一种变体
          • 监测工具重新组装单个用户活动，追踪其与网站的交互
          • 解决用户识别出来的问题
        • 综合监测
          • 发起伪造的事物活动，从而评估网站性能
          • 如果测试内容未纳入脚本，会被忽略，但是可以在发生问题之前进行监测
    • 实施安全管理流程
      • 日志审查
      • 账户管理
        • 全面审查
          • 一般针对特权账户
        • 抽样审查
• 控制和监控访问
  • 授权机制
    • 隐式拒绝
    • 访问控制矩阵
    • 能力表
    • 约束接口
    • 基于内容的控制
    • 基于上下文的控制
    • 因需可知
    • 最小特权
    • 职责分离
  • 安全策略
    • 概述，没有详细的如何满足安全需求和如何实施策略，指南
  • 自主访问控制
    • 所有者控制
    • 客体访问控制列表ACL实现
    • 所有者
  • 非自主访问控制
    • 中央控制
    • 基于角色的访问控制 RoleBAC
      • 通过组实现
      • 管理员
      • 频繁变动
      • 职责分离
      • 防止特权蔓延
    • 基于任务的访问控制 TBAC
      • 根据任务
      • PROJECT
    • 基于规则的访问控制 RuleBAC
      • 全局规则，所有人都一样
      • 访问控制列表
      • 防火墙
    • 基于属性的访问控制 ABAC
      • 多个规则属性
      • SDN
    • 强制访问控制 MAC
      • 标签、分类、敏感级别、安全域
      • 格子
      • 三类环境
        • 分层
          • 同级别访问，访问低级别，不能访问高级别
        • 分区
          • 安全域之间没有关联
        • 混合
    • 基于风险的访问控制
      • 授予访问控制之前，可以要求
        • 多因素认证
        • 合规的设备
  • 实现认证系统
    • SAML
      • XML
      • 提供认证和授权信息 AA
      • 包括
        • 委托人、 服务提供商SP、 身份提供者IdP
      • IdP
        • 认证声明
          • 正确的身份凭证，标识身份认证的方法，用户代理登录的时间
        • 授权声明
          • 是否有权访问服务
        • 属性声明
          • 用户代理的任何消息
        • 认证、授权、属性三类消息
    • OAuth
      • API
      • 授权信息
      • 提供给第三方授权凭证，不提供认证凭证
    • OpenID
      • 开放标准、不是RFC标准
      • 重定向实现
      • 去中心化
      • URI
    • OIDC
      • 使用OAuth2.0授权框架的身份认证层
      • 提供认证和授权信息 AA
      • 由OpenID基金会维护
      • JSON web令牌-JWT
  • SSO
    • AAA协议
    • Kerberos
      • 认证机制
      • 提供保密性和完整性
        • 对称加密
      • 防止窃听和重放
      • KDC
        • 包括AS和TGS，数据库
        • 单点故障
      • 组成
        • KDC
        • AS
        • 票证
        • 票证授予票证 TGT
          • 通过身份认证后授予，包括对称密钥、到期时间和用户IP
        • Kerberos主体
        • Kerberos领域
          • 控制的区域
        • 账户数据库
          • 存储在目录服务
      • 流程
        • 认证
          • 用户在客户端输入用户名和密码
          • 客户端使用AES加密用户名传送到KDC
            • 注意，没有密码
          • KDC验证用户名，生成对称密钥，KDC使用用户密码哈希值加密对称密钥+时间戳TGT，传送给客户端
          • 客户端存储TGT，直到过期，用自己的密钥解密得到对称密钥
        • 服务请求
          • 客户端发送TGT到KDC，KDC验证
          • KDC生成服务票证给客户端
          • 客户端收到后用服务票证请求服务
          • 服务端收到票证后到KDC验证
      • NTP
    • RADIUS
      • UDP 1812认证 1813计费
    • TACACS+
      • TCP 49
  • 常见的访问控制攻击
    • 特权提升
      • 横向
        • 同等、类似的账户
      • 纵向
        • 统一账户更高权限
      • su和sudo命令
        • su
          • 管理员用普通账户登录，当需要使用root权限命令时候用su命令切换到root账户，并输入root账号口令，完毕后切换回常规账户。日志记录su账户
        • sudo
          • 拥有root权限的管理员可以将其他用户添加到sudo组，授权用户执行sudo命令的权限，就是将该用户变成管理员，此时用户不需要知道root密码，用自己的密码，此时用户在命令前加sudo就可以运行。此时日志记录用户账户执行命令
      • 减少使用sudo，类似Windows减少管理员账号数量
    • 口令攻击
      • 强口令
      • 强哈希函数
    • 字典攻击
      • 常见的单词
    • 暴力破解攻击
    • 混合攻击
    • 喷射攻击
      • 绕过账户锁定
      • 同一密码遍历账户
    • 凭证填充攻击
      • 统一凭证遍历各种网站账户
    • 生日攻击
      • 哈希函数值碰撞
    • 彩虹表攻击
      • 子主题
    • Mimikatz
      • 功能
        • 从内存中读取口令
          • 明文或者哈希值
        • 提取Kerberos票证
        • 提取证书和私钥
        • 读取内存中的LM和NTLM口令哈希值
        • 在本地安全机构子系统服务（LSASS）中读取明文口令
          • 修改注册表方式启用摘要认证
            • lsass.exe是一个系统进程，用于微软Windows系统的安全机制。它用于本地安全和登陆策略。
        • 枚举正在运行的进程
    • 哈希传递攻击 PtH
      • 截获用户口令的哈希值
      • Kerberos容易受到此类攻击
      • 拥有管理员权限的账号登录
    • Kerberos漏洞利用攻击
      • 超哈希传递攻击
        • 网络上禁用NTLM后采用
        • 攻击者获得用户口令的哈希值，请求TGT
        • 也称为传递密钥
      • 票证传递攻击
        • 攻击者获取lsass.exe进程中的票证
      • 白银票证
        • 使用截获服务账户NTLM哈希值创建TGS票证
      • 黄金票证
        • 获得Kerberos服务账户KRBTGT哈希值，攻击者就可以随意创建票证，可以为任何服务请求TGS票证
      • Kerberos暴力破解
        • 猜测用户名和口令
      • ASREPRoast
        • 预身份是Kerberos的一项安全功能，抵御口令猜测攻击
        • 禁用后，攻击者知道用户名后可以得到TGT，发起离线攻击解密票证得到用户口令
      • Kerberossting
        • 收集TGS，找到没有预身份认证的用户
    • 嗅探攻击
      • 加密口令
      • 使用HTTPS、SFTP、SSH等加密协议
      • 一次性口令
      • 物理安全设施
      • 监控网络
    • 欺骗攻击
  • 保密方法
    • 控制对系统的物理访问
    • 控制对文件的电子访问
    • 哈希+盐
    • 口令掩码防止肩窥
    • 多因素认证
    • 账户锁定
    • 上次登录通知
    • 用户安全意识培训
• 管理身份和认证
  • 你拥有什么
    • 智能卡
    • 令牌
      • 令牌和身份验证有关，不是授权，切记
      • 同步动态口令令牌
      • 异步动态口令令牌
  • 错误评级
    • 错误拒绝率
      • I类错误
        • 假阴性，正确用户被拒绝
    • 错误接受率
      • II类错误
        • 假阳性，错误用户被接受
  • 生物特征
    • 注册，2分钟内
    • 验证，吞吐率，6秒内
  • 身份认证程序进行双因素认证
    • HOTP
      • 基于哈希的消息身份认证码
      • HMAC
      • 使用前保持有效
      • 6-8位数字，类似令牌创建的异步动态口令
    • TOTP
      • 基于时间的一次性口令
      • 一定时间内有效
  • 服务账号
    • 非交互式账号
    • 管理员定期手动修改密码
    • 使用证书
  • 双向身份认证
    • 使用证书
    • 服务器和客户端都认证对方
  • SSO
    • 对用户方便，安全
    • 缺点，一但攻击者入侵成功，所有授权资源都可以访问
    • LDAP+集中式访问控制
    • LDAP+PKI
  • SSO+联合身份标识
    • 基于云的应用程序
      • 联合身份管理FIM
    • SAML、OAuth、OIDC
    • SSO基于云的联合
    • 本地联合
    • 混合联合
    • 准时制 JIT
  • 凭证管理系统
    • 为用户名和密码提供存储空间
    • IDaaS
      • 提供身份和访问管理的第三方服务
  • 凭证管理器应用程序
    • win有
    • KeePass
      • 登录后直接拷贝用户名和密码
  • 脚本访问
    • 模拟SSO
    • 明文形式的访问凭证
  • 会话管理
    • 屏保
    • 安全会话，超时过期
    • web会话创建标识符或者令牌
  • 账户访问审查
    • 定期检查非活动账户
    • 权限监控
      • 审核允许提升权限的账户
    • 过度权限
    • 权限蔓延
• 安全通信和网络攻击
  • 身份认证协议
    • PPP
      • PAP
        • 明文，不加密
      • CHAP
        • 挑战-应答
          • 服务器发出随机数，客户端用该随机数和密码哈希计算单向函数响应
          • 定期验证
          • 基于MD5
      • EAP
        • 认证框架
          • LEAP
            • 思科私有 WPA TKIP替代方案
          • PEAP
            • TLS隧道
          • EAP-SIM
            • 移动通信系统，SIM卡相关的服务级别
          • EAP-FAST
            • 通过隧道 思科私有，替代LEAP
          • EAP-MD5
            • 弃用
          • EAP-POTP
            • 多因素身份中使用OTP令牌，单向和交叉认证
            • 一次性密码
          • EAP-TLS
            • 双向认证，交叉认证
          • EAP-TTLS
            • 端点间创建类似与VPN隧道，确保了用户名也不是明文发送
  • 电子邮件安全
    • sendmail-Unix exchange-Windows
    • DoS
      • 邮件风暴，大量的回复人
    • 安全解决方案
      • S/MIME
        • 509证书
      • PGP
      • DKIM
        • 验证域名标识
      • SPF
        • 核实
      • DMARC
        • 基于DNS的邮件认证系统
      • STARTTLS
        • 通过TLS
        • 不支持TLS，明文
      • 隐式SMTPS
        • SMTP+TLS
        • 不用明文，明文的话将中止链接
  • VPN
    • 始终在线VPN
      • 一般和移动设备有关
    • 分割隧道和全隧道
      • 分割隧道是一个安全风险
    • ipsecVPN
      • ISAKMP：在两个实体间进行分组格式及状态转换的消息交换的体系结构。互联网安全关联和密钥管理协议(ISAKMP) 用子组织和管理OAKLEY和SKEME 生成和交换的加密密钥。 Oakley：定义了秘钥交换的顺序，提供多种秘钥交换模式，基于到达两个对等体间的加密密钥的机制 模式 是一种类似于 Diffie-hellman 的密钥生成和交换协议。 SKEME：定义了秘钥交换的方法，实现公钥加密认证的机制 阶段 安全密钥交换机制”(SKEME) 是一种安全地交换密钥的方法，类似于数字信封。
      • 安全关联SA，一个用于发送，一个用于接收，一般都是两个
  • CAM表
    • mac地址和交换机端口对应的表
  • MAC地址表泛洪攻击
  • APIPA地址
    • 169开头
  • ISA互联网安全协议
    • 两个组织的IT基础设施之间的安全态度、风险和技术要求的正式声明
• 安全漏洞、威胁和对策
  • 统一端点管理 UEM
    • 软件工具，管理移动设备、PC、物联网设备、可穿戴设备等
  • 存储分段
    • 将设备操作系统与其他应用程序以及客户数据隔离
  • 移动设备部署策略
    • 自带设备 BYOD
    • 公司拥有，个人使用 COPE
    • 自选设备 CYOD
  • 基本的安全保护机制
    • 进程隔离
      • 每个进程单独的内存，为进程设定边界，阻止一个进程读写另一个进程的数据
      • 防止未经授权的数据访问 保护进程的完整性
    • 硬件隔离
      • 与进程隔离类似，不过是物理硬件控制，而不是操作系统的逻辑隔离
    • 系统安全策略
  • 常见的安全架构缺陷和问题
    • 隐蔽通道 covert channel
      • 公开通道 overt channel
      • 类型
        • 隐蔽时序通道
        • 隐蔽存储通道
          • 例子
            • 通过灯光
            • 把数据写入未分配的/为分区的空间 写入HDD的坏扇区 写入集群末尾未使用空间 未在目录、文件容器或标头注册写入扇区或集群
    • 基于设计或编码的攻击
    • rootkit
    • 增量攻击
      • 数据欺骗 data diddling
        • 主动攻击
        • 一般是内部人员
      • 萨拉米香肠攻击
• 安全模型、设计和能力
  • 信任传递
    • A信任B，B信任C，A信任C
  • 失效安全
  • 保持简单 KISS
    • 不自我重复 DRY
      • 不要重复代码
    • 计算极简主义
      • 写代码时候尽可能少用硬件和软件
    • 最低耗能
      • 最低耗能的编程语言
    • 更坏的就是更好的-新泽西风格
      • 功能少（比较差）的软件可能更好更安全
    • 你不需要它 YAGNI
      • 真正需要的时候再创建
  • 零信任解决方案
    • 内部分段防火墙 ISFW
    • 多因子身份认证
    • 身份和访问管理 IAM
    • 下一代端点安全
  • 用于确保保密性、完整性和可用性的技术
    • 限定
      • 沙箱
    • 界限
      • 操作系统 应用软件不同进程不同物理、逻辑资源
    • 隔离
    • 访问控制
    • 信任与保证
      • 可信系统 trusted system
        • 所有保护机制的协同工作，保持稳定、安全
      • 保证 assurance
        • 满足安全的可信程度
        • 针对单一系统
  • 安全模型的基本概念
    • 令牌
      • 主体访问客体前传达有关客体的安全信息
    • 能力
      • 没有令牌灵活
      • 快捷
      • 每个受控客体保存一列信息属性信息
    • 安全标签
      • 负载客体上的永久标签，一般无法更改
      • 防篡改，是令牌和能力没有的
    • 描述客体的安全属性
  • 各种安全控制模型和其他知识点
    • 一、使用安全设计原则实施和管理工程过程 1、客体和主体 主体：发出访问资源请求的用户或进程 subject 客体：用户或进程想要访问的资源 object 2、封闭系统和开放系统 封闭系统：windows 开放系统：linux 3、用于确保保密性、完整性和可用性的技术 confinement限制：沙箱，软件设计使用“进程限制”来约束程序的行为。 bound界限：用户态、内核态，在系统上运行的每个进程都有授权级别。 isolation隔离：进程隔离可确保隔离状态进程的任何行为仅影响与其关联的内存资源。 4、控制 为确保系统的安全性，主体只允许访问经过授权的客体。 MAC 强制访问控制：是否许可一个访问，由主体和客体的静态属性来决定。每个主体都拥有属性，用来定义其访问资源的授权。每个客体拥有属性，用来定义其分类。 DAC 自主访问控制：允许主体根据需要定义要访问的客体列表，可以允许主体添加对客体的访问规则。 5、信任和保证 可信系统：所有保护机制协同工作的系统，为许多类型的用户处理敏感数据，同时维护稳定和安全的计算环境。 保证：为了满足安全需求的可信程度，保证需要持续性的维护、更新和重新验证。 二、理解安全模型的基本概念 1、可信计算基 是一种系统架构，可信不等于安全 可信计算基（TCB）：系统内提供某类安全并实施系统安全策略的所有硬件、软件和固件的组合。 安全边界security perimeter：一种假想的边界，划分可信与不可信的边界 引用监控器：一个访问控制概念，验证主体是否符合客体的访问要求，是访问控制的执行者，无论访问控制是自主的、强制的、基于角色的或者其他形式 安全内核：由位于TCB内的硬件、软件和固件组件构成，并且实现和实施引用监控器概念。足够小，减少攻击面 引用监视器概念是一个抽象机，它确保所有主体在访问客体之前拥有必要的访问权限。因此，引用监视器是主体对客体进行所有访问的中介。必须满足隔离、完整性和可验证性。 安全内核是实际实施引用监视器概念的机制。安全核心必须隔离实施引用监视器概念的进程，必须不会被篡改，必须针对每次访问企图进行调用，而且必须小到足以能正确地进行测试。 安全域：在可信域内共享单一的安全策略和单一的管理。保护域：用于保护程序免于所有未经授权的修改或外部干扰。 2、状态机模型 状态机模型描述一个系统，它无论处于什么状态总是安全的 有限状态机FSM，FSM将外部输入和内部机器状态相结合，为各种复杂系统建模，包括解析器、解码器、解释器 给定一个输入和一个状态，FSM会转换到另一个状态并可能产生一个输出 如果一个状态的所有方面都符合安全策略的要求，那么该状态就是安全的 安全状态机模型始终引导进入安全状态，在所有转换中保持安全状态，并允许主体仅以符合安全策略的方式访问资源 状态机模型，状态state是特定时刻的系统快照 3、信息流模型 信息流模型是一种状态机模型 Bell-Lapadula和Biba模型都是信息流模型 Bell-Lapadula模型关注的是防止信息从高流向低 Biba模型关注的是防止信息从低流向高 信息流模型旨在防止未经授权、不安全或受限的信息流，通常在不同的安全级别之间。信息流模型允许所有已授权信息流，无论是在相同的分类级别内，还是分类级别之间，同一个对象的两个版本或者状态存在于不同时间点的时候，信息流模型可以建立之间关系。 4、非干扰模型 非干扰模型大致基于信息流模型 非干扰模型并非关注信息流，而是关注较高安全级别的主体的动作，如何影响系统状态或较低级别的主体的动作 非干扰模型关注的是防止处在高安全分类水平的主体行为，影响处于低安全分类水平的系统状态 级联：一个系统的输入来自另一个系统的输出 反馈：系统A首先为系统B提供输入，然后系统B向系统A提供输入 连接：一个系统将输入发送给另一个系统，但也将系统输入发送到其他外部实体 5、Take-Grant模型 Take-Grant（获取-授予）模型使用有向图来规定如何将权限从一个主体传递到另一个主体 具有“授予”权限的主体可将他们拥有的任何权限授予另一个主体或客体 具有“获取”权限的主体可从另一个主体获取权限 Take-Grant模型的关键是使用这些规则可以让你了解系统中的权限何时可能更改或泄露的位置 6、访问控制矩阵 访问控制矩阵是主体和客体的列表，指示每个主体对客体执行的动作或功能 矩阵的每一列是ACL访问控制列表（与客体绑定），每一行是能力列表（与主体关联） 要删除一列ACL访问控制列表，需要对每个主体的访问权限进行更改 系统使用访问控制矩阵来快速确定主体对客体的请求是否被授权 7、Bell-LaPadula模型 Bell-Lapadula模型建立在状态机概念和信息流模型之上，还采用了强制访问控制和格子概念 格子层级是组织安全策略使用的分类级别 状态机支持多个状态，可明确在任何两个状态之间转换 Bell-Lapadula模型可防止机密信息泄露，或转移到较低的安全许可级别 Bell-Lapadula模型专注于维护客体的保密性 简单安全属性：规定主体不能读取较高级别的客体（不准上读） *安全属性：规定主体不能将信息写入较低级别的客体（不准下写） 自由安全属性：规定系统使用访问矩阵执行自主访问控制-只能访问定义好的客体 不能阻止隐蔽隧道 8、Biba模型 Biba模型解决的是完整性问题 Biba模型也建立在状态机概念上，基于信息流，是一个多级别模型 Biba模型和Bell-Lapadula模型方向相反 简单完整性属性：规定主体不能读取较低级别的客体（不准下毒） 完整性属性：规定主体不能修改更高级别的客体（不准上写，怕写脏了） 解决了完整性，但是没有解决保密性和可用性，不能阻止隐蔽隧道 9、Clark-Wilson模型 和Biba模型一样，解决完整性问题，为商业设计的模型 Clark-Wilson模型使用安全标签授予客体的访问权限，但仅限于通过转换过程和受限制的接口模型，受限制的接口模型使用基于分类的限制来提供特定主体的授权信息和功能 Clark-Wilson模型不需要使用格子结构，它使用被称为三元组的主体、程序、客体 主体无法直接访问客体，客体只能通过程序访问 标准格式的事务采用程序的形式，这有效的限制了主体的能力，俗称约束接口 受约束数据项CDI：是完整性受到安全模型保护的任何数据项 无约束数据项UDI：是不受安全模型控制的任何数据项（输入、输出、未验证的数据） 完整性验证过程IVP：是扫描数据项并确认其完整性的过程 转换过程TP：是唯一允许修改CDI的过程 良构事务(well-formed transactions)：流程运作的顺序非常重要。如：接受员在没有接受到与订单相符的货物之前是不能签署送货单的（因为这样就等于允许供货方随便把他们想卖出去的任何货物卖给收货方），而会计人员在收到一份与实际收到货物相匹配的订单和送货单之前，也不能够开支票（因为如果我们没有订购某种货物，或者没有收到我们订购的货物，就不应该付款给供货方 ）。而且，在大多数实例中，订单和送货单都需要某个被授权的人员来签订。委任专人按顺序准确执行以上步骤，就构成了一个良构事务。Clark-Wilson策略的目标是使内部数据与其外部（用户）期望保持一致。Clark和Wilson用受约束数据项（constrained data item）来表达他们的策略，受约束数据项由转变程序（transformation procedure）进行处理。转变程序就像一个监控器，对特定种类的数据项执行特定的操作；只有转变程序才能对这些数据项进行操作。转变程序通过确认这些操作已经执行来维持数据项的完成性。Clark和Wilson将这个策略定义为访问三元组(access triple):<userID,TPi,{CDIj,CDIk,...}>，通过他将转变程序、一个或多个受约束数据项以及用户识别结合起来，其中用户是指已经被授权且事务程序的方式操作数据项的人。 在Clark-Wilson安全模型中，数据完整性是通过良构事务来保证的。良构事务是一种特殊的事务，它具有特定的限制和约束，可以保证数据的完整性和一致性。在Clark-Wilson安全模型中，良构事务是通过职责分离的思想设计的，即良构事务只能执行特定的操作，而不能执行其他任何操作。这样，就可以保证数据的完整性，因为良构事务只能执行特定的操作，不能破坏数据的完整性。 10、Brewer and Nash模型-中国墙模型 为了允许访问控制可以基于用户先前的活动，而动态改变 该模型适用于单个集成的数据库，它试图创建对利益冲突概念敏感的安全域 该模型创建一类数据，这个数据类定义了哪些安全域存在潜在的冲突，对于能够访问某个属于特定冲突类的安全域的任何主体，阻止他们访问属于相同冲突类的其他任何安全域 11、Goguen-Meseguer模型 Goguen-Meseguer模型是一个不出名的完整性模型，没有Biba有名 Goguen-Meseguer模型是非干涉模型的代表 主体仅允许对预定的客体执行预定的动作，基于主体可以访问的预设的域或客体列表 一个主体域的成员不能干扰另一个主体域的成员 12、Sutherland模型 Sutherland模型是一个完整性模型，基于定义一组系统状态以及初始状态和状态转换，通过预定的安全状态来保护完整性和阻止干扰 例子：防止隐蔽隧道被用来影响过程或活动的结果 13、Graham-Denning模型 Graham-Denning模型专注于主体和客体的安全创建和删除 用于定义安全操作的边界（创建、删除、读取、授权、传输） 14、Harrison-Ruzzo-Ullman模型 是Graham-Denning模型的扩展，定义了一个有限命令或基元primitive集，有完整性规则，即： 给矩阵创建的或添加的主体或客体必须是原来不存在的， 从矩阵中删除的主体或客体必须是已经存在的， 如果一次执行多条命令必须都能成功，否则都不能运行。 15、星的含义 Bell-LaPadula模型和BiBa模型的星属性； CSA星，安全信任保障和风险计划，STAR，致力于通过审计、透明度、标准集成提高云服务提供商CSP的安全性 Galbraith星，帮助企业组织下属部门和分支机构完成任务和实现业务目标
  • 操作授权
    • ATO
      • 取代了认证
      • 有安全保证的IT/IS系统集合投入使用
      • 执行业务任务并接受已经识别的风险、操作授权的评估和分配由AO负责执行
        • AO是一个得到授权的实体 AO也叫DAA-制定的批准机构 AA-批准机构 SCA-安全控制评估员 RO-推荐官
      • 有效期一般为5年，可以调整
        • 操作授权到期
        • 系统遇到严重安全事件
        • 系统发生重大变化
      • 四种授权决定
        • 操作授权
          • 组织对风险管理达到可接受水平
        • 通用控制授权
          • 安全控制继承于另外一家供应商，其通用控制相关风险处于可接受水平并且已经同一位授权官员得到了操作授权
        • 使用授权
          • 第三方供应商（如云服务商）提供的产品或者服务达到可接受风险水平 或者接受另一位授权官员的授权
        • 拒绝授权
          • 风险不可接受
  • 信息系统的安全能力
    • 内存保护
    • 虚拟化
    • 可信平台模块
    • 接口
    • 容错
    • 加密/解密
• PKI和密码应用
  • RIPEMD
    • 128位摘要
      • 不安全
    • 160位摘要
      • 比256位安全
  • HAVAL
    • 可变长度哈希
    • MD5的修订版
    • 128 160 192 224 256位哈希值
  • HMAC
    • 可变
  • 数字签名
    • RSA DSA ECDSA
    • 2021年 DSA移除 换成EdDSA
  • 洋葱路由
    • perfect forward secret
  • 密码攻击
    • 分析攻击
      • 焦点是算法本身的逻辑
    • 实现攻击
      • 实现加密的软件或者代码，不仅包括错误和缺陷，还有加密系统的编程方法
    • 统计攻击
      • 统计学弱点，如浮点错误或者无力生成真随机数
      • 硬件或者操作系统漏洞
    • 暴力破解
      • 增加成功率：彩虹表和专用硬件
    • 故障注入
    • 边信道攻击
    • 计时攻击
    • 频率分析
      • 破解简单密码的有效手段，如常用字母
    • 唯密文攻击
    • 已知明文攻击
    • 选择密文攻击
    • 选择明文攻击
    • 中间相遇攻击
    • 中间人攻击
    • 生日（碰撞攻击）
• 密码学和对称密钥算法
  • 密码学目标
    • 保密性、完整性、身份验证、不可否认性
  • 密码学 cryptology
    • 密码分析 cryptanalysis
      • 研究如何打败代码和密码
    • 密码术 cryptography
      • 创建和执行密码的技艺
  • 密码数学
    • 布尔数学
  • 逻辑运算
    • 与 and ^
      • 两个都为真才是真
        • 0 0 0 1 0 0 0 1 0 1 1 1
    • 或 or
      • 一个为真就是真
        • 0 0 0 1 0 1 0 1 1 1 1 1
    • 非 not ～
      • 1 0 0 1
    • 异或 Exclusive or EOR
      • 只有一个为真才是真
        • 0 0 0 1 0 1 0 1 1 1 1 0
  • 单向函数
  • nonce
    • 一次性随机数
      • 初始化向量IV
      • 长度与块大小相同
  • 移位密码 transposition cipher
    • 改变的不是字母，而是顺序
    • 字母频率分析不能用于多字母密码
  • 替换密码 Substiution Cipher
    • 字母改变了，但顺序保持不变
    • 凯撒密码就是一种：向后移动三位
  • 单次密本 one-time pad
    • 强力替换密码
    • 也叫vernam密码
    • 只能使用一次 随机 密码本保护严密
  • 运动密钥密码
  • 块密码
    • 挑战应答
    • 移位算法
  • 流密码
    • 凯撒密码
    • 单次密本
  • IDEA
    • PGP使用
  • Blowfish
    • 可变密钥长度 32-448，一般64
    • 开源，运算速度快
  • Skipjack
    • 密钥托管
    • clipper capstone芯片
    • 不受密码界欢迎，因为美国政府托管
  • RC密码
    • RC4
      • 流密码
    • RC5
      • 块可变密码 32 64 128 块密码
      • 密钥0-2040位
  • Rijndael
    • AES
      • 128位 10轮
      • 192位 12轮
      • 256位 14轮
  • CAST
    • 128
      • 40-128位密钥对64位块
    • 256
      • 128 160 192 224 256密钥对128位块
  • Twofish
    • 128位块 1-256位密钥
    • 预白化处理
      • 第1轮用单独的子密钥对明文异或
    • 白化后处理
      • 16轮后再～
  • 密钥托管和恢复
    • 公平密码系统
      • 密钥被分解为两个或多个，单独保管
    • 托管加密标准
      • clipper芯片
      • 密钥恢复代理 RA N之于M
• 物理安全
  • 安全设施计划
    • 通过风险评估和关键路径分析制定
      • 关键路径分析：找出任务关键应用、计算机硬件、电力等
      • 技术融合
    • 基于分层防御模型
  • CPTED
    • 有目的的对物理环境设计、管理、操纵和精心编排，以改变这些区域中人的行为，从而减少犯罪。
    • 包括
      • 自然环境访问控制
      • 自然环境监视
      • 自然环境领域加固
  • 消防
    • 水灭火
      • 预作用是最适合人机共存环境
  • 锁
    • shimming攻击
    • 叩击攻击
  • wifi
    • evil twin
      • 恶意站点
    • 恶意接入点
      • 没有纳入管理的AP
  • SoC系统级芯片
    • 包括CPU，内存，网络，外围接口，唯一没有的就是大容量存储
    • 操作系统小，为大多数安全功能留下很小的空间
    • 防护手段：过滤输入（长度、转义字符），拒绝未签名的代码，防火墙，加密，身份认证
  • 端点安全EDR
    • 安全机制
    • 检测、记录、评估、响应可以活动和事件
    • 检测更高级的，HIDS难以检测到的的行为
    • 衍生概念
      • MDR
        • 托管检测和响应
        • 不限于端点
        • 侧重于检测和调解
        • 包括SIEM、流量分析NTA、EDR、IDS
      • EPP
        • 端点保护平台
        • 预测、检测、预防、响应
        • 更加主动预测和预防
      • XDR
        • 扩展检测和响应
        • 不限于端点
        • NTA、NIDS、NIPS
  • MSSP 托管安全服务
    • 可以部署在本地或者云，或者混合部署
    • SOC（security operation center）进行监督，SOC本身是本地或者远程的
    • 提供EDR、MDR、EPP、XDR服务，理工MSSP安全管理和响应专业人员的经验和专业知识