网络安全模拟一

网络安全模拟一一个安全从业人员负责用加密算法来实施邮件安全。他选择了开放PGP来实施。他采用了下面哪个密码算法来创建用户的公钥()?EIGamalEIGamal算法(正确答案)InternationalDataEncryptionAlgorithm(IDEA)IDEA算法AdvancedEncryptionStandard(AES)AES算法TripleDataEncryptionAlgorithm(3DES)3DES算法答案解析：非对称算法:ElGamal算法RSA算法ECC算法对称算法:IDEA算法AES算法3DES算法一个安全从业人员负责用加密算法来实施邮件安全。他选择了开放PGP来实施。CISSP应当选择下面哪组算法来创建邮件的数字签名()?RSA和SHA-1联合使用(正确答案)RSA和MD5联合使用AES和SHA-1联合使用AES和MD5联合使用答案解析：MD5已经不安全了组织正在决定是否需要配置管理系统(CMS)，来同时支持操作系统和软件配置管理(SCM)。目前的做法是,对环境通过故障排除，升级和打补丁来支持测试和生产的系统和软件。组织扩张导致了一个更复杂和相互关联的信息系统(IS)环境。近日,由于配置不一致,导致关键业务的生产系统和应用程序发生停机事故。该组织并没有确定存在任何法律或监管的要求,实行严格的配置管理控制,然而,新合同要求该公司的系统是安全稳定允许的。管理层已要求安全部门介入。组织最关注的关于配置管理的要求是哪方面()?theuseofconfidentialinformation.机密信息的使用dataintegrity.数据完整性systemavailability.系统可用性（正确答案）privacyissues..隐私问题一个组织是独自占了一个位于一个大城市商业区的20层楼建筑。该组织有若干个有本地服务器的分支机构,距离总部办公室大约方圆1000英里（1600公里）内。所有工作人员,包括那些在分支办事处的员工都分配了身份识别卡,游客分配了临时徽章。安全人员来负责制定业务连续性计划/灾难恢复计划（BCP/DRP）.下面BCP/DRP哪个阶段将包括搬迁到主站点（）?Assessment评估Restoration还原（正确答案）Recovery恢复Initiation启动答案解析：还原是各站点切回主站点恢复是主站点切到备站点下面哪项最好的解释了为什么计算机信息系统经常不能够满足用户需求（）?不充分的质量保证（QA）工具用户需求经常变化系统需求阶段用户参与不充分（正确答案）不充分的项目管理一个web应用的用户注意到，可以用书签收藏应用程序并返回到它，即使关闭电脑后，仍然有效。用户还注意到,用户的ID被嵌入在应用程序的URL。当改为另一个有效的用户ID,应用程序允许用户可以用其他用的会话中的有效ID使用程序。这表明了编程存在什么缺陷（）?应用程序假定了所有用户都已经登录应用程序没有正确的维持会话状态（正确答案）应用程序在认证错误时打开失败应用程序失效进入特权状态除了确保计算机系统的变更发生在可识别和可控的环境中,配置管理还提供了保障措施,保证未来的变化（）?应用软件不能绕过系统的安全特性不能对安全策略的实施造成不利影响（正确答案）操作系统总能收到独立的验证和核查在技术文档中维护对可信计算基的精准描述下面哪组是配置管理的主要任务（）?程序管理、系统工程和质量保证需求确认、设计和系统集成、测试根据初始和后续的基线进行独立的核查和验证对配置项变更进行识别、控制、配置状态跟踪和审计（正确答案）如果计算机系统中包含了机密信息,用户必须不能（）?离开计算机而不退出登录（正确答案）Sharetheirdesks.共享他们的桌面Encrypttheirpasswords.加密他们的密码Communicate通信下面哪项最不可能妨碍员工报告安全事件（）?他们害怕被卷入他们不想干涉的事情事件报告流程是集中的（正确答案）他们害怕因为他们没有做而被起诉他们没有意识到公司的安全策略和程序员工被动离职流程处理应当包括（）?个人所使用的所有密码的列表优秀项目的报告归还任何公司的身份标识（正确答案）签署保密协议两个操作员互相审查和批准对方的工作,这是什么控制（）?Dualcontrol双重控制Two-mancontrol双人控制（正确答案）Two-foldcontrol・重叠控制Twincontrol双生控制哪种安全程序会迫使一个操作员勾结另一个不同类别的操作员来访问非授权数据（）?强制日常密码更改审计日志的管理监控限制操作人员的特定访问权限（正确答案）不同分工的人员的工作轮换针对入侵检测系统/入侵防御系统（DSPS）报警的第一个响应是什么（）?确保事件响应计划是可用的和最新的判断流量的初始源，并阻断合适的端口关闭或断开可疑的目标和源系统确认威胁并判断攻击的范围（正确答案）职责分离的主要目标是什么（）?防止员工泄露敏感信息确保访问控制得到实施确保一个人不能单独危害系统（正确答案）确保审计记录不被篡改什么是工作轮换的好处（）?Allofthechoices.以下所有选项（正确答案）Trainedbackupincaseofemergencies.紧急情况的培训备份Protectagainstfraud.防欺诈Crosstrainingtoemployees.员工交叉培训创建专线的容错的常用方法是将若干T-1与一个反向多路复用器组合在一起，这个多路复用器安装在（）?连接的某一端连接的两端（正确答案）c.在两端之间的某个地方D.在连接的中间位置18•传输层TCP数据的一个独立单元的术语，正确的是（）?TCPsegmentTCP报文段（正确答案）TCPdatagramTCP数据报TCPframeTCP帧TCPpacketTCP数据包答案解析：UDP是数据报二层是数据帧三层是数据包同时支持数据和语音通信（VoIP）的融合网络，根据其性质，提供了一个单独的通道来攻击数据和语音组件。下列哪项是最好的保障语音组件安全的机制（）?在边界防火墙上过滤呼叫使用模拟语音系统验证语音和数据用户让语音跑在自己独立的虚拟局域网VLAN里（正确答案）一个组织已经实施了一些新的安全控制。为了评估这些控制对安全体系有效性提升的影响，需要对信息安全的一些性能指标进行监控。下列哪一项是在这种情况下选择的性能指标时最重要的因素（）?存在性能测量指标的基本数据（正确答案）在性能测量指标数据中尽可能减少误报的能力在性能测量指标数据中尽可能减少漏报的能力性能测量指标有跨平台的适用性公司写了一个策略来禁用无线网络。在季度审计中发现该组织存在一个无线网络。那么组织的下一步应该做什么（）?向法律部门报告发现的细节移除这个无线网络（正确答案）谴责用户部署了无线网络为了起诉保留无线网络关于雇员解雇下列哪一项是最重要的（）?公司提供给雇员的财产已归还雇员的用户名和密码已经删除向公司相关的工作人员通知解雇（正确答案）雇员的详细情况从活跃的工资已被删除.一个管理员负责数据运营中心,包括了500个终端的交换网络，一个Web服务器,电子邮件服务器,以及几个大的应用服务器。备份策略是每个星期天的早晨执行一次完全备份和周一至周五执行每日增量备份。环境中的所有服务器有五个SCSI磁盘驱动器，并设置为RAID5作为热备。数据中心使用了高架地板，并在房间内配备了一个自足的HVAC系统，以及一个自动化的干管自动喷淋灭火系统来保护电脑。大约在星期天早上,Web服务器的一个硬盘出现了故障。为了让服务器返回到正常运行需要做什么（）?从上次增量备份中恢复数据从上次完全备份中恢复数据从故障磁盘中恢复数据更换故障的磁盘（正确答案）一个安全控制应当（）?Allowformanyexceptions.允许很多例外情况Coverallcontingencies.覆盖所有的偶然性Notrelyonthesecurityofitsmechanism.不依赖其机制的安全（正确答案）Changefrequently.变更频繁哪一组原则是信息安全控制的基础（）?认证、审计轨迹和安全意识简报个人可问责性、审计和职责分离知所必需，身份识别和真实性（正确答案）审计轨迹，有限任期和安全意识简报审计轨迹是什么类型的控制（）?系统，手工检测，技术（正确答案）用户，技术检测，手工使用操作安全检测性控制时，下面哪一种意外情况可以被发现（）?非授权人员看到了机密报告非授权人员销毁了机密报告授权操作人员执行非授权功能（正确答案）授权操作人员没有响应重要的控制台信息在选择物理设施时，下面哪个地形特点有利于物理安全的（）?有茂密的植被和其他自然障碍的丘陵，来保护入口下坡地形能方便设施的进入和可见性没有茂密植被的平原，方便从不同的入口进出没有茂密植被的平原，入口略高于海拔（正确答案）下面哪个是使用纵深防御原则的潜在缺陷（）?Increasedsystemcomplexity增加了系统复杂性（正确答案）Increasedcomponentfailurerates增加了组件的故障率Redundantcomponentsarerequired需要冗余的组件Lowerintrusiondetectionperformance较低的入侵检测性能下列哪项维护活动负责定义、实施、测试应用系统的升级（）?Programchangecontrol程序变更控制（正确答案）Regressiontesting回归测试Exportexceptioncontrol输出例外控制Useracceptancetesting用户验收测试下面哪个是最安全的构建路由表的方法（）?Distancevector距离矢量Linkstate链路状态BorderGatewayProtocol（BGP）边界网关协议（BGP）D.Static静态路由（正确答案）为了保障关健业务连接的正常运行时间,组织需要依赖下面哪项（）?AMemorandumofAgreement（MOA）协议备忘录（MOA）AServiceLevelAgreement（SLA）服务水平协议（SLA）（正确答案）ANon-DisclosureAgreement（NDA）保密协议（NDA）ARequestforProposal（RFP）征求建议书（RFP）为建立一个信息安全程序,首先应进行（）?开发员工安全意识培训计划信息安全标准手册的开发与实施安全访问控制软件的购买企业信息安全策略声明的采纳（正确答案）代理防火墙是运行在OSI模型的哪一层（）?Application应用层（正确答案）Transport传输层Network网络层DataLink数链层参考监视器是特别设计用来（）?runundetected.未被发现的运行runautonomously.自主的运行beredundant.冗余betamperproof.防篡改（正确答案）在设计有效的安全控制时,下面哪项必须被考虑（）?Speedofdeployment实施的速度Visibility可视化Easeofuse易用性（正确答案）Authenticity真实性可能会被利用的系统的缺失或薄弱环节被称为（）?威胁Exposure暴露Vulnerability漏洞（正确答案）Risk风险一般你用什么工具来判断一个主机是否有漏洞会被已知攻击手段攻击（）?PaddedCells加厚的电池Vulnerabilityanalysis漏洞分析（正确答案）HoneyPots蜜罐IDS入侵检测下面哪项关于道德的黑客的描述是不正确的（）?组织应该聘用道德的黑客，这些黑客不能销售审计，咨询，硬件，软件，防火墙,主机托管,和/或网络服务测试应当是在远程执行道德的黑客不能参与目标系统的编写或修改道德的黑客永远不应该使用可能会导致组织IT系统漏洞被利用的工具。（正确答案）为什么信息安全策略要求通信测试设备得到控制（）?该设备容易受到损害该设备可以用来浏览网络上的信息（正确答案）该设备必须始终可用，如果需要更换的话该设备可以用来重新配置网络多路转换器管理层可以预期渗透测试达到下面的目的，除了（）?identificationofsecurityflaws找出安全漏洞demonstrationoftheeffectsoftheflaws证明漏洞的影响amethodtocorrectthesecurityflaws.纠正安全漏洞的方法（正确答案）verificationofthelevelsofexistinginfiltrationresistance验证当前的入侵防御水平下面哪个是一个渗透测试项目的特征（）?直到发现了所有已知的漏洞，项目无法结束绘制项目时间安排来产生关键路径项目任务是突破进入目标系统（正确答案）项目计划由目标用户来复审下面哪个是渗透测试的主要目标（）?Assessment评估（正确答案）Correction纟纠正Detection检测Protection保护（看视频）在渗透测试的缺陷假设方法论中，开箱测试（白盒测试）一般用来分析（）?Routersandfirewalls路由器和防火墙Host-basedIDSsystems基于主机的入侵检测系统Network-basedIDSsystems基于网络的入侵检测系统Generalpurposeoperatingsystems一般用途的操作系统（正确答案）渗透测试中的第一步应当做什么（）?变更控制管理的批准详细测试计划的开发制定具体的渗透测试目标（正确答案）团队成员之间的沟通过程答案解析：渗透测试不需要变更控制的批准渗透测试通常包括（）?一般接受的审计实践检查PKI数字证书和加密社会工程、配置检查和漏洞评估（正确答案）计算机应急响应团队流程下面哪个不是使用外部渗透服务公司比使用公司内部资源更好的原因（）?他们更具成本效益他们没有公司的偏见他们使用了天才的外部黑客（正确答案）他们确保提供了一个更完整的报告下面哪个工具你可以用来评估网络漏洞（）?ISSAllofthechoices.所有的选择都是（正确答案）SATANBallista如果你的财产保险有实际成本评价（ACV）条款,你遭受损失的财产将根据什么进行赔偿（）?基于资产在遭受损失日期的价值基于新资产的价值，不管损失资产的新旧条件基于资产在损失前一个月的价值基于资产在遭受损失日期的价值,再加上10%（正确答案）下面哪个是针对加密硬件模块最有效的攻击方法（）?Plain-text明文攻击Bruteforce暴力破解Poweranalysis功耗分析专理（正确答案）Man-in-the-middle（MITM）中间人攻击审计师在执行一次合规性审计,申请查看系统中加密的密码,以验证密码是否符合政策。下列哪项是对审计师最好的回应（）?提供加密的密码和分析工具给审计师进行分析为审计师分析加密的密码，并给他们看结果演示不符合政策的密码不能在系统里创建。（正确答案）演示不符合政策的密码不能在系统里加密。下面哪个最好的描述了信息安全政策（）?政策是描述业界最佳安全实践的指南政策是描述信息安全方法的高层级程序政策提供了信息安全实施体系的蓝图政策是描述信息体系目标的高层级声明（正确答案）了解到信息安全预算将在下一财年减少后,安全经理重新调整下一年度预算。在进行这种分析时,以下哪项最影响安全经理的决策过程（）?Trendanalysis趋势分析Businessriskacceptance业务风险接受（正确答案）Securitybestpractices安全最佳实践Vulnerabilityanalysis漏洞分析下列哪一项将最适合监督信息安全策略的部署（）?SystemAdministrators系统管理员Securityadministrators安全管理员SecurityOfficers安全官（正确答案）Humanresources人力资源部下面哪项是基于标准的合规框架的主要好处（）?他们识别了现有规程的差距（正确答案）他们减少了审计网络的需求他们需要更少的资源他们易于实施变更管理策略的主要目的是（）?确认IT基础设施的变更得到审批（正确答案）识别IT基础设施的变更确保IT基础设施的变更是必要的判断实施IT基础设施修改的必要性答案解析：变更管理策略的主要目的是评估和审批信息安全经理实施一个机制来对执行指定字段的信息进行合理性检查。这是哪种控制目标的例子（）?保持信息的实用性保持数据的可用性保持数据的完整性（正确答案）保持信息的真实性答案解析：合理性与完整性更配哪个流程决定了在特定目的下谁是可信的（）?Identification身份识别Authorization授权（正确答案）Authentication验证Accounting审计最小特权的意图是执行最严格的用户所需权限来（）?Toexecutesystemprocesses.执行系统流程Bytheirjobdescription.他们的工作描述Toexecuteauthorizedtasks.来执行授权任务（正确答案）Bytheirsecurityrole.他们的安全角色这是一个在大型环境中常见的非常难以控制的安全问题。它发生在当用户有超出任务需要的更多的计算机权利,权限和特权。什么最能说明这种情况（）?ExcessiveRights过多的权利ExcessiveAccess过多的访问ExcessivePermissions过多的权限ExcessivePrivileges过多的特权（正确答案）一个简化访问控制管理的方法是对下面哪项进行分组（）?Capabilitiesandprivileges能力和特权Objectsandsubjects客体和主体（正确答案）Programsandtransactions程序和交易Administratorsandmanagers管理员和经理密码学不能解决（）?Availability可用性（正确答案）Integrity完整性Confidentiality机密性Authenticity真实性下面哪一个措施能够最好的防范从留在宾馆房间的笔记本上窃取企业信息（）?在磁盘上存放所有数据,并将它们安全的锁在房间内移除笔记本的电池和电源线，并与电脑分开单独存放在电脑无人值守时,安装笔记本的线缆锁加密硬盘上的所有数据（正确答案）为了支持依赖于有风险的协议（例如纯明文密码）的遗留应用程序,下面哪个可以降低企业网络上的风险（）?实施集中生成的强密码来对易受攻击的应用程序的使用进行控制。实现一个VPN,并对加入VPN的工作站进行控制。（正确答案）通过物理访问控制，确保只有授权的经过培训的用户有权访问工作站。确保打开了所有主机和应用程序的审计日志,并经常进行日志审查需要下面哪个来决定分类分级和所有权（）?能够正确的识别系统和数据源（正确答案）违规访问能够被记录并审计数据文件参考能够被识别和链接系统安全控制能够完全被集成66•测试灾难恢复计划（DRP）最重要的目标是（）?评价计划的高效性识别恢复需求的标准验证计划的有效性（正确答案）决定恢复时间目标（RTO）安全套接层（SSL）和传输层安全（TLS）的特征是什么（）?SSL和TLS缺省提供了抗抵赖性;SSL和TLS提供了在TCP协议之上的通用的通道安全机制（正确答案）SSL和TLS对大部分路由协议没有提供安全SSL和TLS提供了通过超文本传输协议（HTTP）的包头加密下面哪个是审计轨迹的好处（）?Accountability可问责性（正确答案）Confidentiality机密性Non-repudiation抗抵赖性Integrity完整性（看视频）下面哪个是抗抵赖流程中的最重要的组件（）?Header包头Hashvalue哈希值Timestamp时间戳（正确答案）Messagetransferagent消息传输代理—个安全专家在根据国际标准化组织（ISO）27OO1和27002标准在评估组织的安全政策时,他需要牢记的是什么（）?安全基线可以直接从国际标准中抽取国际标准对一个区域组织来说没有什么价值所有领域的策略都需要有详细的步骤细节；标准是一个起点,可以根据需要应用于组织；（正确答案）下面哪个系统组件实现了对目标的访问控制（）?Securityperimeter安全边界Trusteddomain可信域Referencemonitor参考监视器（正确答案）Accesscontrolmatrix访问控制矩阵（看视频）下面哪个是通用标准（CC）产品评价的安全弱点（）?制造商可以描述产品的哪些配置是要被评价的；（正确答案）产品可以被其他国家的实验室来评价；评价目标（TOE）测试环境等同于操作环境评价的执行是昂贵并耗时的下面哪个控制是可以用来保证所有的电子邮件附件得到检查,如需要进行删除的（）?A.Technical技术（正确答案）Management管理Operational运行Audit审计下面哪个是测试数据合适的来源（）?生产数据是安全的，并只在生产环境中维护与生产数据没有相似性的测试数据与生产数据镜像并保持同步的测试数据对生产数据进行清洗，然后再载入到测试环境（正确答案）在进行灾难恢复（DR）规划的风险分析时,拥有一个全面的信息资产清单为什么是重要的（）?为了在发生危机时能够联系资产的所有者为了帮助对业务流程以及相关的应用系统进行优先级分级（正确答案）为了确保DR规划软件工具是完全导入的为了建立替代恢复策略的财务模型一个维护服务，提供了电力、温度控制、高架地板和电话线，但是没有计算机和相关外设的场所，最好形容为（）?hotsite.热站coldsite.冷站（正确答案）warmsite.温站reciprocalsite.互惠站点在事件响应调查的早期，网络监视可以用来（）?预防未来的事件确认或解除对事件的怀疑（正确答案）映射网络和所有可信的关系确保使用策略的合规（看视频）所有的访问必须被考虑,防止修改并验证其正确性,这个概念是（）?Securemodel安全模型Securitylocking安全锁定Securitykernel安全内核（正确答案）Securestate安全状态下面哪个确保了当系统崩溃或其他系统错误发生时,安全不会被违反（）?trustedrecovery可信恢复（正确答案）hotswappable热插拔redundancy冗余secureboot安全启动什么类型的子系统是操作系统之外运行的应用程序,并为一组用户执行一些功能,为组中的所有用户维护一些常见的数据,并防止组中的用户不正当访问数据（）?Preventedsubsystem阻止子系统Protectedsubsystem保护子系统（正确答案）Filesubsystem文件子系统Directorysubsystem目录子系统“伪错误”指的是下面哪项（）?故意在一个操作系统中植入一个明显的漏洞（正确答案）产生伪码时的遗漏应用程序编程时用来测试越界侵犯通常产生的页故障,导致系统当机下面哪项描述了参考监视器（）?是一个访问控制概念，指的是介入所有主体和客体的访问的抽象机（正确答案）是一个审计概念,指的是监控和记录所有主体和客体的访问是一个身份识别概念，指的是用户提供的材料和他的参考配置文件的比较是一个网络控制概念，对主体进行授权来访问客体认可的主要目的是（）?让高层做一个正式的决定，来确认是否接受系统运行的风险（正确答案）确认所有的安全控制得到正确的实施，并以正确的方式在运行保护组织的敏感数据满足适用的法律和法规（看视频）下面哪项是在部署数字证书时最重要的（）?验证符合X.509数字证书标准使用第三方CA建立证书的生命周期管理框架（正确答案）创建证书时使用不少于256位长度的加密算法下列哪一项不是安全管理员的任务（）?授权访问权限（正确答案）实施安全规则确保地方政策已经授权管理分配访问权限在评估一个应用程序的审计能力时，下面哪个活动是最重要的（）?识别程序来调查可疑的行为确认是否分配了充足的存储空间来存放审计记录判断审计记录是否包含了充分的信息（正确答案）审核在审计失效发生时将要采取的安全行动计划哪种安全程序的实施方法能驱动公司员工担负保护公司的资产的责任（）?Thetop-downapproach自上而下的方法（正确答案）TheDelphiapproachDelphi方法Thebottom-upapproach自下而上的方法Thetechnologyapproach技术方法使用基于Web的由可信CA签发的SSL证书的主要目的是（）?为了确保合理的密钥和算法长度为了确保客户端可以连接到多个不同类型的浏览器为了允许客户端能够合理的认证服务器的身份(正确答案)为了允许服务器能够认证通过浏览器连接的客户端的身份下面哪个是推动组织来审核它目前的加密系统实施的主要原因()?MD5哈希算法的使用为了使用更加有效的加密算法为了使用一个新的证书撤销列表CRL密钥长度在对抗暴力破解攻击时不再安全(正确答案)下面哪个是开发用来支持多协议,以及提供登陆、密码和错误纠正能力()?PasswordAuthenticationProtocol(PAP)密码验证协议PAPChallengeHandshakeAuthenticationProtocol(CHAP)挑战握手认证协议CHAPPoint-to-PointProtocol(PPP)点对点协议PPP(正确答案)PostOfficeProtocol(POP)邮局协议POP答案解析：1)PPP具有动态分配IP地址的能力，允许在连接时刻协商IP地址。2)PPP支持多种网络协议，比如TCP/IPNETBEUI.INLink等。3)PPP具有错误检测以及纠错能力，支持数据压缩。4)PPP具有身份验证功能。5)PPP可用于各种类型物理介质上只在下面哪个情况下允许使用一个公共的无线局域网WLAN来连接一个私有网络()?客户端机器装有防病毒软件，并且已经做了扫描来判断是否有非授权的端口开放无线接入点(AP)是部署在内部私有网络上的客户端机器装有个人防火墙，并且使用虚拟专用网VPN来连接网络(正确答案)使用扩展认证协议EAP来认证用户下列哪项能更好的定义可能被利用的由于缺少或存在漏洞的保护机制（）?Anexposure暴露Arisk风险Avulnerability脆弱性（正确答案）Athreat威胁下面哪个是适当的变更控制程序（）?记录关键源代码库的大小限制只有授权用户可以变更（正确答案）在生产系统存储源代码的最新版本在进入测试阶段前,删除源代码里的开发者批注下面哪一个是对一个计算机用户问责最需要的（）?对重要数据文件进行分类使用它们自己的身份来执行任务（正确答案）与合适的人共享他们的登陆密码保护他们访问的系统应用程序下面哪个最准确的描述了一个业务连续性体系（）?一个持续的过程，来确定潜在损失的影响，以及维持可行的恢复（正确答案）一个持续的过程，来确定组织的任务、愿景和战略目标一个持续的分析，对于物理、经济和自然资源灾难的影响一个持续的测试计划,，允许在系统中断或数据丢失时进行快速恢复（看视频）通用准则（CC）创建了下面哪项，允许潜在的消费者或开发人员能够创建一套标准的安全要求来满足需要（）?aProtectionProfile（PP）.保护轮廓（正确答案）aSecurityTarget（ST）.安全目标anevaluationAssuranceLevel（EAL）.评价保障等级aSecurityFunctionalityComponentCatalog（SFCC）.安全功能组件目录如果供应商通过子合同将一些IT支持功能分包，下列哪一项是包括在合同中最重要的要求（）?分包商合同的安全条款和主合同是一样的（正确答案）分包商签看保密协议分包商联系信息应包括在主合同中分包商必须通过背景调查为了最好的检测到一个通过邮件非授权泄露敏感数据的事件,组织应当考虑采用下面哪个安全工具（）?数据泄露保护（DLP）方案（正确答案）恶意软件检测方案状态包检测（SPI）防火墙日志监控方案为什么Kerberos服务器必须得到很好的保护，防止非授权访问（）？因为它包含了所有客户端的密钥（正确答案）因为它总是在root权限下操作因为它包含了服务的所有的票据因为它包含了所有网络设备的IP地址答案解析：票据是临时生成的，密钥是最主要的下面哪个是外包协议的最好的形式（）?首席执行官之间面对面的对话两个组织之间的服务水平协议（SLA）（正确答案）两个组织之间的职贵分工文档双方之间的B2B协议（看视频）在执行一个有效的物理损失控制流程时，下面哪个文件是首先产生的（）?SecurityStandardslist安全标准列表AssetValuationlist资产价值表Inventorylist资产列表（正确答案）DeterrentControlslist威慑控制列表根据下面：。=设备数量；T=维修每个设备的时间花费；C=每小时费率;1=漏洞影响；P=漏洞利用的可能性;下面哪个公式决定了恢复成本（）?DTC（正确答案）DPCTIPTCP视网膜扫描生物识别装置的物理特性是什么（）?到达视网膜的光的数最视网膜反射的光的数量视网膜的大小，曲率和形状眼睛后面的血管的图案（正确答案）下面哪个是生物识别系统的二型错误（）?Falseacceptrate错误接受率（正确答案）Falserejectrate错误拒绝率Crossovererrorrate交叉错误率Speedandthroughputrate速度和吞吐率在击键动力学中,什么代表了一个人在键之间切换的时间量（）?Dynamictime动态时间Flighttime飞行时间（正确答案）Dwelltime停留时间Systemstime.系统时间数据库设计时什么情况下会发生聚合问题（）?一个条目本身是不敏感的，但当它与常识相结合时，是敏感的。两个或更多条目单个本身是不敏感的，但当结合在一起是就变得敏感了（正确答案）同一个条目的两个或多个实例是不敏感的，但当结合起来就变得敏感了条目的一个实例比同一个条目的另一个实例的安全级别高下面哪个是使用密码学时的主要挑战（）?密钥管理（正确答案）算法选择选择密钥长度确保数据通信下面哪个可以帮助安全人员选择安全产品和服务,使其保持和公司的目标一致（）?选择最低成本的方案遵从本地的法律和法规识别供应商规格说明书和合同协议与业务流程所有者面谈（正确答案）为什么基于拥有什么的验证比知道什么的验证强度高（）?Itissimplertocontrol.更加易于控制Itismoredifficulttoduplicate.复制更加困难（正确答案）Itcanbekeptontheuser'sperson.可以由用户个人保存Itiseasiertochange.更加容易变更实施一个数据分级体系的最低的要求是什么（）?形成一个数据分级的团队或委员会定义体系相关的每个组的角色和责任制定和批准信息安全策略（正确答案）制定和批准程序、基线和标准答案解析：策略方针是最低要求下面哪个是电子尾随攻击（electronicpiggybacking） 蹭网的例子（）?附在通信线路上并替代数据（正确答案）突然终止拨号或直接连接会话跟随一个授权用户进入计算机室录制并回放计算机交易哪项不是BIA的主要目标之一（）?关键性优先级分级宕机时间预测决定关键业务功能的需求D决定执行不同的测试来验证业务连续性计划（正确答案）113•使用自主访问控制（DAC）的系统，容易受到下面哪种攻击（）?Trojanhorse木马（正确答案）Phreaking盗用电话线路Spoofing欺骗SYNfloodSYN洪水哪种访问控制模型让资源的所有者来定义什么主体可以访问特定资源（）?DiscretionaryAccessControl自主访问控制（正确答案）MandatoryAccessControl强制访问控制SensitiveAccessControl敏感访问控制Role-basedAccessControl基于角色的访问控制基于个人身份的自主访问控制也称作（）?ldentity-basedaccesscontrol基于身份的访问控制（正确答案）Rule-basedaccesscontrol基于规则的访问控制Non-Discretionaryaccesscontrol非自主访问控制Lattice-basedaccesscontrol基于柵格的访问控制廉价冗余磁盘阵列（RAID5）通过什么最小化了写的瓶颈（）?使用阵列的一个磁盘来存储奇偶校验信息使用两块大的条带深度,而不是一个使用错误纠正码的能力分发奇偶校验条带到一系列磁盘（正确答案）下面哪个安全模型使用了良好形式交易和职责分离的机制（）?ChineseWall中国墙模型Bell-LaPadula贝尔-拉普杜拉模型Clark-Wilson克拉克-威尔逊模型（正确答案）Biba毕巴模型答案解析：A是解决利益冲突C是原话哪个安全访问策略包含固定的安全属性，系统用来确定用户对文件或对象的访问?（）?强制访问控制（MAC）（正确答案）自主访问控制（DAC）访问控制列表（ACL）授权用户控制哪个密码破解方法不管密码多么复杂都可以找到密码（）?Bruteforce暴力破解（正确答案）Dictionary字典攻击Hybrid混合攻击Birthday生日攻击下面哪个是组织合规方面最好的证据（）?与合规违规相关的罚款数目的减少直接对应到合规要求的文件化的规程（正确答案）已报告的安全合规事件数量的增加安全合规的管理层批准下列哪个不是风险分析中的一部分（）?Identifyrisks识别风险Choosethebestcountermeasure选择最好的控制措施（正确答案）在风险影响和相关控制措施的成本之间提供经济平衡潜在威胁的影响的量化分析下面哪项是安全经理拥有的最关健技能（）?有效的沟通技巧，策略规划技巧，以及对组织流程的理解（正确答案）良好的技术技能,项目管理经验，强大的审计背景

合规经验，正式的管理培训，和网络运维能力技巧开发能力，应用开发经验和良好的人际交往能力下面哪项是可信计算基TCB的核心要素（）？可信路径Securitykernel安全内核（正确答案）Operatingsystem操作系统Trustedcomputingsystem可信计算系统下面哪个物理安全措施是在保护公司资产方面最通用的视频摄像机Lockingdevices锁（正确答案）Personnelverification人工确认Biometries生物识别强制访问控制（MAC）是基于（）?安全分级和安全许可（正确答案）数据标签和用户访问权限用户角色和用户加密数据分段和数据分类答案解析：强制访问控制的特点是主体有许可客体有分级于敏感标签，强制访问控制基于的是敏感标签RAID3和RAID5运行（）?在硬件上更快（正确答案）在硬件上更慢在软件上更快在软件和硬件速度一样根据需要复制的数据量，完全备份到磁带可能需要（）?太多的时间量（正确答案））?数据标签不同一个可信的时间量）?数据标签不同一个理想的时间量D—个专用的时间量业务连续性计划的备用处理策略可以通过热站,冷站,或下面哪个来提供所需备用的计算能力（）?Adial-upservicesprogram.拨号服务程序Anoff-sitestoragereplacement.异地存储替换Anonlinebackupprogram.在线备用程序（正确答案）箱子和船舶替换答案解析：在线备用程序指的是冗余站点、镜像站点更换故障驱动器的备用驱动器通常都支持热插拔,这意味着在以下哪个情况下可以在服务器上更换故障驱动器（）?systemisupandrunning系统启动和运行（正确答案）systemisquiescedbutoperational系统静止但是运行systemisidlebutoperational系统空闲但是运行systemisupandinsingle-user-mode系统启动和单用户模式（看视频）在系统安全设计的第一阶段要确保（）?适当的安全控制，安全目标和安全目的是否正确启动。（正确答案）安全目的，适当的安全控制，并验证是否正确启动。安全目标，安全目的，以及系统测试是否正确进行适当的安全控制，安全目的和故障缓解措施是否正确进行哪个是在Internet上建立身份的最好的方法（）？挑战握手认证协议（CHAP）和强密码B远程认证拨号用户服务（RADIUS）服务器，采用硬件令牌（正确答案）互联网邮件访问协议（IMAP），使用3DES算法远程用户认证，使用简单目标访问协议（SOAP）证明一个公司对于潜在客户的安全水平的最好的方法是（）?A.外部审计师的报告（正确答案）客户安全调查问卷的结果内部审计师的正式的报告客户安全团队的现场访问下面哪个最好的定义了身份管理架构生命周期最后一个阶段（）?Approval批准Auditing审计（正确答案）Communication沟通Training培训下面哪一个将是与只提供VOIP服务的公司协商互联网服务提供商（ISP）服务水平协议（SLA）的最重要的组成部分（）?确保吞吐量水平Qualityofservicebetweenapplications应用程序间的服务质量（QOS）Availabilityofnetworkservices网络服务的可用性（正确答案）Responsetimetorepair维修响应时间为什么国际数据传输是比较复杂的（）?一些国际签署了国际公约一个国家司法的权限在所有司法管辖区执行专利、版权和商业秘密法律不是标准的（正确答案）一个国家在一个司法管辖区执行的权利应用到所有管辖区基于角色的访问控制简化了用户配置，因为（）?旧的访问控制规则可以被有效的处置新员工的访问基于预定义的规则列表员工访问可以基于职能或组织架构来建立模型（正确答案）职责比职位的角色变更更加频繁一个大的在线媒体组织通过防火墙、入侵检测系统（IDS）和防病毒解决方案来进行保护。怀疑发生了与公众用户账户相关的欺诈行为。下面哪个是确认该欺诈的最好的解决方案（）?实施Web应用程序级的日志（正确答案）常规检查防火墙日志确认Web服务器补丁是最新的实施所有用户的强认证下面哪个是在一个正确职贵分离的环境中可以兼容的职能（）?数据录入和作业调度数据库管理和系统安全系统分析和应用编程（正确答案）安全管理和系统编程控制措施的成本大于风险的成本时,应如何控制风险（）?Reducetherisk降低风险Accepttherisk接受风险（正确答案）Performanotherriskanalysis执行其他风险分析Rejecttherisk拒绝风险控制是实施用来（）?消除风险，以及减少可能的损失缓解风险，以及消除可能的损失缓解风险，以及降低可能的损失（正确答案）消除风险，以及消除可能的损失下列哪项不是技术控制（）?Identificationandauthenticationmethods标识和身份验证方法Monitoringforphysicalintrusion物理入侵监测（正确答案）IntrusionDetectionSystems入侵检测系统Passwordandresourcemanagement密码和资源管理一个来访的计算机科学家发现了大学的大型主机中的错误，可以使他们能够收集其他用户，访问他们的文件，他们的账单计算时间。在几个星期内，他们搜集了大量的用户ID,但从未访问他们的文件或票据的时间。临走时，科学家向同事揭示了这些发现，同事汇报了这些发现。根据（ISC）2道德规范，以下那个是正确的（）?该行为是道德上中立，因为没有人收到伤害,没有侵犯隐私，没有欺诈收费时间。该行为道德上错误，因为该科学家没有马上揭示系统错误，来采取步骤消除漏洞（正确答案）该行为道德上是正确的，因为科学家提供了系统缺陷的证据，否则有可能未被发现。该行为道德上是错误的，因为科学家使得系统缺陷广为人知，增加了系统进一步滥用的可能性。下面哪项不是业务影响分析（BIA）的四个步骤之一（）?通知高级管理层收集需要的评估材料执行漏洞评估分析编辑的信息以上都是BIA的步骤（正确答案）金融机构的一个客户拒绝承认一个交易的发生。下面哪一个用来提供客户执行了交易的证据（）?授权控制双因素认证抗抵赖控制（正确答案）访问审计下面哪一个最好的保护了用来做应急维护的供应商账户（）?供应商访问应当被禁止,需要时再打开（正确答案）经常监控供应商的访问基于角色的访问控制路由表加密（看视频）国际数据加密算法（IDEA）加密标准实施了下面哪个选项（）？可变密钥长度加密分组加密（正确答案）数字签名标准（DSS）数字签名算法（DSA）在实施补丁管理程序时,应当第一步执行下面哪一项（）?执行自动补丁部署监控漏洞和威胁漏洞修补方案优先级分级创建系统清单（正确答案）你有非常严格的物理访问控制。同时逻辑访问控制很宽松。这样的设置下什么是正确的（）?所有选项都不对Itcan100%secureyourenvironment.你的环境是100%安全的它可以保护你的环境它不能保护你的环境（正确答案）下面哪个不是一个检测性技术控制（）?Intrusiondetectionsystem入侵检测系统Violationreports违规报告Honeypot蜜罐Noneofthechoices.所有选项都不对（正确答案）业务连续性计划是下面哪个控制的例子（）?纠正性控制（正确答案）检测性控制预防性控制补偿性控制谁对在公网链路上传输数据的安全性和隐私性负责（）?Thecarrier运营商Thesending发送者（正确答案）Thereceivingparty接收者Thelocalserviceprovider本地服务商下面哪个最好的提供了电子邮件信息的真实性和机密性（）?使用发送者的公钥签名信息，并使用接收者的私钥加密信息使用发送者的私钥签名信息，并使用接收者的公钥加密信息（正确答案）使用接收者的私钥签名信息，并使用发送者的公钥加密信息使用接受者的公钥签名信息，并使用发送者的私钥加密信息下面哪个不是单向哈希函数的特性（）?它将一个固定长度的消息转换成任意长度的消息摘要（正确答案）构建两个不同的消息，使其具有相同摘要，从计算上讲是不可行的它将任意长度的消息转换成固定长度的消息摘要给定一个摘要值，要发现相关的消息，从计算上讲是不可行的56位加密是40位加密安全性的多少倍（）?16timesl6倍256times256倍32768times32768倍65，536times65536倍（正确答案）下面哪个是在设计灾难恢复计划（DRP）时，需要考虑的主要因素（）?备份程序，异地存储，和数据恹复指导委员会，应急响应团队和重建团队影响评估，恢复战略和测试（正确答案）保险覆盖,备份站点和人工程序系统开发生命周期（SDLC）中安全认可的任务是在哪个阶段的结束时完成的）?系统运行和维护阶段系统获取和开发阶段系统实施阶段（正确答案）系统启动阶段157•下面哪个是检查时间/使用时间（TOC/TOU）问题的实例（）？已经被撤销概要的用户使用系统有效用户的密码来登陆用户使用一个正确的概要登陆，该概要在撤销时没有终结会话；（正确答案）用户的概要撤销后,用户的会话立即终止；用户会话没有被验证，直到登陆以后下面哪一个关于在灾难发生并扰乱了组织的活动后,如何处理媒体关系的描述是不正确的（）?在灾难时,CEO应该一直是公司的发言人（正确答案）灾难恢复计划必须包括灾难发生时如何处理媒体关系组织的发言人应该在媒体记者从另外的渠道了解之前,报告坏消息。应当提前规划一个紧急新闻发布会站点（看视频）为了让组织的安全策略有效,策略必须包括（）?对不合规的惩戒措施（正确答案）明确定义问题的声明所有适用于策略的标准的清单策略文档的所有人和更新日期一家企业的文档管理系统中对文档实施了分级管理系统,以下哪一项是保护分级文档机密性的最佳控制（）?要求访问文档系统的人员签订保密协议（NDA）使用入侵检测系统（IDS）防止对文档的未授权访问进行日志评审，对发现的违规文档访问进行调查防止拥有高安全级别访问权限的人员将文档保存到低安全级别区域（正确答案）以下哪种灾难恢复站点是最难进行测试的（）?冗余站点热站温站冷站（正确答案）一位开发人员具有可访问生产环境操作系统命令行的操作员权限。以下哪项控制最能检测出对生产环境进行的未经授权的程序变更（）?记录在命令行中输入的命令。计算程序的哈希值,并与程序的最新授权版本的哈希键值进行匹配。（正确答案）使用预先批准的权限通过访问权限限制工具来授予访问操作系统命令行的权限。软件开发工具和编译器已从生产环境中删除。以下哪一项安全控制容易被合谋所破坏（）?双因素验证岗位轮换职责分离（正确答案）最小授权应用级代理防火墙的特点是（）?逻辑简单、成本低、易于安装使用很难识别IP欺骗，安全性较低使用规则导致性能下降（正确答案）日志记录有限，安全性较低答案解析：ABD是包过滤防火墙的特点网络安全评估能起到什么作用（）?检查网络是否与行业标准相符合准确衡量控制的有效性（正确答案）识别所有网络中的漏洞防止渗透测试导致网络失效根据数据分级的策略,数据的所有者是（）?最终用户业务经理（正确答案）安全经理IT主管167•测试BCP的恰当时机是（）？当环境发生变化时（正确答案）在进行信息系统审计前在安装了安全补丁后在新系统上线后对电子邮件进行加密和签名保障的是（）?不可抵赖、真实性、授权不可抵赖、机密性、授权机密性、真实性、授权机密性、不可抵赖、真实性（正确答案）检测到一个用户帐号在几分钟内有近300次尝试登录失败,抓包分析发现每次尝试登录使用的是不同的密码。这最有可能是（）?木马安装的后门分布式拒绝服务攻击（DDOS）字典攻击（正确答案）篡改攻击应对IDS告警的第一步是（）?停用或断网受攻击的系统激活连续性计划验证威胁并确定攻击的范围（正确答案）确定流量来源并阻止相关端口以下哪一项是关于信息安全管理体系（ISMS）的标准或指引（）？ITILCOBITISO/IEC20000ISO/EC27000系列（正确答案）软件工程师编写了一个能生成多态病毒的工具,用于在受控的环境下测试公司的病毒扫描工具。该行为是（）?道德的，因为这个工具有助于验证病毒扫描工具的有效性（正确答案）道德的，因为任何有经验的程序员都能够创建这样的工具不道德，因为该工具有可能被传播到互联网上不道德，因为生成任何种类的病毒都是有害的评价组织的漏洞管理程序是否有效的最佳方法是（）?自动漏洞扫描评审自动补丁部署报告定期由安全团队进行