CISSP考试练习(习题卷3)

试卷科目：CISSP考试练习CISSP考试练习(习题卷3)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISSP考试练习第1部分：单项选择题，共260题，每题只有一个正确答案,多选或少选均不得分。[单选题]1.以下哪一项在笔记本电脑被盗时提供最可防止敏感信息数据被盗的保护?A)设置BIOS和操作系统密码B)加密可以存储机密文件的虚拟驱动器C)实施一项强制性政策,其中敏感数据不能存储在笔记本电脑上,而只能存储在公司网络上D)加密整个磁盘,并在一定次数的访问尝试失败后删除内容[单选题]2.在开放系统互连(OSI)模型中,哪个层负责通过通信网络传输二进制数据?A)应用层B)物理层C)数据链接层D)网络层[单选题]3.外部攻击者破坏了组织的网络安全周界,并在内部计算机上安装了嗅探器。以下哪一个是该组织为减轻攻击者获取进一步信息的能力而可能实施的最有效的安全层?A)在网络防火墙上实施数据包过滤B)需要为管理员进行强强身份验证C)安装基于主机的入侵检测系统(HIDS)D)在交换机上实现逻辑网络分割[单选题]4.WhenMUSTanorganization'sinformationsecuritystrategicplanbereviewed?何时必须审查组织的信息安全战略计划？A)Quarterly,whentheorganization'sstrategicplanisupdated每季度，当组织的战略计划更新时B)Whenevertherearesignificantchangestoamajorapplication当主要应用程序发生重大更改时C)Everythreeyears,whentheorganization'sstrategicplanisupdated每三年，当组织的战略计划更新时D)Whenevertherearemajorchangestothebusiness每当业务发生重大变化时[单选题]5.(04174)以下哪种措施最可以有效地确认邮件在传输过程中未被修改？A)使用对称加密方法加密邮件B)使用对称加密方法加密邮件C)使用对称加密方法加密邮件D)使用对称加密方法加密邮件[单选题]6.Whattypeoffirewallarchitectureemploystwonetworkcardsandasinglescreeningrouter?什么类型的防火墙架构采用了两块网卡和单场次路由器?A)Adual-homedhostfirewall双穴主机防火墙B)Anapplication-levelproxyserver一个应用级代理服务器C)Ascreened-subnetfirewall一个屏蔽子网防火墙D)Ascreened-hostfirewall一个屏蔽主机防火墙[单选题]7.封装安全载荷ESP能提供?A)可用性与完整性B)完整性与机密性C)授权利完整行D)授权和机密性[单选题]8.CHAP的定义是：A)身份验证协议。B)笑笑批准协议。C)主动认证协议。D)笑脸身份验证协议。[单选题]9.以下哪种内存类型被视为易失性内存?A)FlashB)EEPROMC)EPROMD)RAM[单选题]10.访问控制的问责制依赖于哪两个重要因素?A)身份和授权B)认证和授权C)识别和认证D)问责制和认证[单选题]11.(04160)把字典攻击和暴力破解结合起来的，针对口令的攻击是：A)社会工程B)社会工程C)社会工程D)社会工程[单选题]12.要求证券专业人员提供一种解决方案,该解决方案限制银行出纳员只执行储蓄存款交易,但允许主管在交易后进行更正。以下哪一个是最有效的解决方案?A)访问基于规则。B)访问由系统决定。C)访问基于用户的角色。D)访问基于数据敏感性。[单选题]13.WhatHypertextTransferProtocol（HTTP）responseheadercanbeusedtodisabletheexecutionofinlineJavaScriptandtheexecutionofeval（）-typefunctions?什么超文本传输协议（HTTP）响应头可用于禁用内联JavaScript的执行和eval（）类型函数的执行？A)Strict-Transport-Security严格的运输安全B)X-XSS-ProtectionX-XSS-保护C)X-Frame-OptionsX帧选项D)Content-Security-Policy内容安全策略[单选题]14.什么类型的渗透测试提供渗透测试范围的详细信息(包括测试选用的系统),但是测试者不能掌握系统或者网络的配置等全部信息?A)晶盒测试B)白盒测试C)黑盒测试D)灰盒测试[单选题]15.Charles想要部署凭证管理系统(CMS)。他希望尽可能保证密钥的安全。以下哪项是实施CMS的最佳设计选项?Charleswantstodeployacredentialmanagementsystem(CMS).Hewantstokeepthekeysassecureaspossible.WhichofthefollowingisthebestdesignoptionforhisCMSimplementation?A)使用AES-256代替3DESUseAES-256insteadof3DES.B)使用长密钥Uselongkeys.C)使用HSMUseanHSM.D)定期更改密码Changepassphrasesregularly.[单选题]16.以下哪种类型的安全测试最有效,可更好地指示组织在执行安全风险评估时的日常安全挑战?A)外部B)公开C)内部D)秘密[单选题]17.以下哪一个最佳可避免云托管资源的数据再管线披露?A)数据被删除后,对密钥进行加密和删除。B)数据被删除后,对虚拟主机进行强加密和删除。C)基于软件的加密具有两个因子身份验证。D)基于硬件的加密专用物理物理服务器。[单选题]18.WhenwouldanorganizationreviewaBusinessContinuityManagement（BCM）system?组织何时审查业务连续性管理（BCM）系统？A)Whenpersonnelchangesoccur人事变动时B)BeforeandafterDisasterRecovery（DR）tests灾难恢复（DR）测试前后C)Atplannedintervals按计划的时间间隔D)Whenmajorchangesoccuronsystems当系统发生重大变化时[单选题]19.服务器接交换机的端口1，笔记本接交换机的端口23。问笔记本怎样能截获服务器的信息。A)端口捕捉(spanning)B)端口复制(copying)C)端口绑定（binding）D)端口汇聚（trunk）[单选题]20.连续性事件和灾难恢复计划的主要解决方案是：A)信息安全三要素中的性状B)信息安全三要素中的透明C)信息安全、性别、中性的D)信息安全三要素中的有效性[单选题]21.下列哪个陈述关于软件测试是不正确的？A)测试数据生成器可以用来系统地生成可以用来测试程序的随机测试数据。B)当模块正在在设计时，单元测试应被说明和考虑。C)测试数据应该规格说明书的一部分。D)测试应该用实时数据执行，去涵盖所有可能的情况。[单选题]22.TCP/IP三次握手序列的最后阶段是什么？A)SYN包B)ACK包C)NAK包D)SYN/ACK包[单选题]23.在处理符合支付卡行业数据安全标准(PCI-DSS)时,一个与服务提供商共享持卡人信息的组织必须执行以下哪些内容?A)每年对服务提供商进行PCI-DSS评估。B)定期验证服务提供商的PCI-DSS合规状态。C)验证服务提供商的安全策略与组织的安全策略一致。D)确保服务提供商每年更新和测试其灾难恢复计划(DRP)。[单选题]24.在考虑传输安全性时,以下哪一个考虑的影响最小?A)网络可用性B)节点位置C)网络带宽D)数据完整性[单选题]25.要在对称密钥加密法中确保双向通信安全，最少需要使用多少个密码密钥？A)1个B)2个C)3个D)4个[单选题]26.通常在软件工程项目的早期阶段选择安全的软件开发方法或方法。以下哪种敏捷方法最依赖于经验主义或对现实的观察来监控进度和管理风险?A)ScrumB)开发运营C)螺旋模型D)极限编程(XP)[单选题]27.应用程序过滤防火墙的缺点是,它可能导致A)由于用户活动导致网络崩溃。B)由于适用的规则,性能会降低。C)由于带宽不足,网络上的数据包丢失。D)互联网协议(IP)被黑客欺骗。[单选题]28.以下哪些实体最终要对数据还原漏洞负责,数据由云服务冰提供商复制?A)数据所有者B)数据管理员C)数据保管人D)数据处理器[单选题]29.WherecantheOpenWebApplicationSecurityProject（OWASP）listofassociatedvulnerabilitiesbefound?在哪里可以找到相关漏洞的开放式Web应用程序安全项目（OWASP）列表？A)OWASPTop10.ProjectOWASP前10名。项目B)OWASPSoftwareAssuranceMaturityModel（SAMM）ProjectOWASP软件保证成熟度模型（SAMM）项目C)OWASPGuideProjectOWASP指南项目D)OWASPMobileProjectOWASP移动项目[单选题]30.ThePRIMARYoutcomeofacertificationprocessisthatitprovidesdocumented认证过程的主要结果是，它提供了A)systemweaknessesforremediation.补救的系统缺陷。B)standardsforsecurityassessment,testing,andprocessevaluation.安全评估、测试和过程评估标准。C)interconnectedsystemsandtheirimplementedsecuritycontrols.互联系统及其实施的安全控制。D)securityanalysesneededtomakearisk-baseddecision.需要进行安全分析，以做出基于风险的决策。[单选题]31.下面是哪项中间人攻击的例子呢？A)缓冲溢出B)DoS攻击C)以上都是D)以上都不是[单选题]32.在渗透测试期间,Chris恢复了一个文件,其中包含他试图访问的系统的散列密码。针对散列密码,以下哪种类型的攻击最有可能成功?A)Abrute-forceattackB)Apass-the-hashattackC)ArainbowtableattackD)Asaltrecoveryattack[单选题]33.Whichreportingtyperequiresaserviceorganizationtodescribeitssystemanddefineitscontrolobjectivesandcontrolsthatarerelevanttousersinternalcontroloverfinancialreporting?哪种报告类型要求服务组织描述其系统并定义其控制目标和与用户财务报告内部控制相关的控制？A)StatementonAuditingStandards（SAS）70审计准则声明（SAS）70B)ServiceOrganizationControl1（SOC1）服务组织控制1（SOC1）C)ServiceOrganizationControl2（SOC2）服务组织控制2（SOC2）D)ServiceOrganizationControl3（SOC3）服务组织控制3（SOC3）[单选题]34.EAP-MD5提供什么验证？A)基于数字证书验证B)用户端验证C)双向验证D)服务端验证[单选题]35.互联网通常被称为一个全球的网络是由于：A)端点网络和互联网提供商覆盖全球B)限制网络和互联网提供商覆盖全球C)私有网络和互联网提供商覆盖全球D)公有网络和互联网提供商覆盖全球[单选题]36.当会话层删除掉传输层发来的数据头时,会发生什么过程?A)包封B)数据包解包C)解封装D)负载[单选题]37.基于主机的入侵检测系统(HIDS)如何识别潜在攻击?A)检查系统上的日志消息或其他指示。B)监控发送给系统管理员的警报C)将流量模式与病毒签名文件相匹配D)检查访问控制列表(ACL)[单选题]38.以下哪些要素必须包含符合欧盟-美国安全港隐私政策的内容?A)解释数据主体收集的信息将保留多长时间以及最终如何处置。B)如果数据主题需要更正,则可以在收集信息的组织联系谁的解释。C)解释信息收集组织遵守的监管框架和合规标准。D)对收集组织在收集数据主题信息时采用的所有技术的解释。[单选题]39.InIdentityManagement（IdM）,whenistheverificationstageperformed?在身份管理（IdM）中，何时执行验证阶段？A)Aspartofsystemsign-on作为系统登录的一部分B)Beforecreationoftheidentity在创建身份之前C)Afterrevocationoftheidentity身份撤销后D)Duringauthorizationoftheidentity身份授权期间[单选题]40.WhatMUSTthesoftwaredeveloperdowhenasecuritybugisfound当当在单元测试中发现了一个全漏洞时,软件开发人员必须要做下面哪项?A)执行一个全面的同行评审B)修补改漏洞，并通知开发团队C)detailstothedevelopmentteamlead将漏洞细节电子邮件发送给开发团队负责人D)Recordtheproblemusingachangemanagementtool使用变更管理工具记录该问题[单选题]41.风险管理在SDLC的哪个阶段做安全成本最低？A)需求分析阶段B)设计C)开发D)维护[单选题]42.Priortoalivedisastertest,whichofthefollowingismostimportant?现场灾难测试之前,下列哪一个是最重要的?A)Restoreallfilesinpreparationforthetest还原所有文件为测试准备B)Documentexpectedfindings文档化预明结果C)Arrangephysicalsecurityforthetestsite为测试站点安排物理安全D)Conductasuccessfulstructuredwalk-through进行一次成功的结构化演练[单选题]43.Ben为一家小型咖啡店连锁店提供网络和安全服务。这家咖啡连锁店希望为客户提供安全、免费的无线网络。如果Ben不需要担心协议支持问题,以下哪项是Ben可以使用的最佳选择,允许客户安全地连接到他的无线网络而无需用户帐户?A)在PSK模式下使用WPA2。B)在SAE模式下使用WPA3。C)在企业模式下使用WPA2。D)使用强制门户。[单选题]44.信息分类的目的是A)分配访问控制B)应用不同的保护措施C)定义安全标签需要的参数D)划分职责[单选题]45.在项目的风险评估阶段,CISO发现该大学内的一所大学正在通过内部开发的应用程序收集受保护的健康信息(PHI)数据。收集这些数据的学院完全了解《健康保险可携带性和责任法》(HIPAA)的法规,并且完全合规。CISO的最佳方法是什么?在项目的风险评估阶段,CISO发现该大学内的一所大学正在通过内部开发的应用程序共同收集受保护的健康信息(PHI)数据。收集这些数据的学院完全了解《健康保险可移植性和责任法》(HIPAA)的法规,并且完全合规。CISO的最佳方法是什么?A)将系统记录为高风险B)执行漏洞评估C)执行定量威胁评估D)将信息进行点名并继续[单选题]46.什么类型的访问控制允许文件所有者使用访问控制列表授予其他用户访问权限?Whattypeofaccesscontrolsallowtheownerofafiletograntotherusersaccesstoitusinganaccesscontrollist?A)基于角色的Role-basedB)非自主访问控制NondiscretionaryC)基于规则的Rule-basedD)自主访问控制Discretionary[单选题]47.贵公司每年都有地方当局进行的火灾探测和灭火系统检查。你开始和首席检查员交谈,他们问你,?水基灭火系统的假阳性最常见的原因是什么??那么,你怎么回答?A)水资源短缺B)人们C)lionization探测器D)在吊顶放置探测器[单选题]48.另一种类型的访问控制是基于网格的这种访问控制。在这种类型的应用格点模型中。另一种类型的访问控制概念是如何应用的？A)包含元素访问即主体与客体、主体有没有对客体的权限。B)包含访问元素即主体与客体、主体具有访问权限的对象。C)包含特别元素与客体在网格中没有的主体或主体下限D)包含有话题的主题或与客体的受到压迫的主体或被压迫的主体。[单选题]49.Afinancialorganizationthatworksaccordingtoagileprincipleshasdevelopedanewapplicationfortheirexternalcustomerbasetorequestalineofcredit.Asecurityanalysthasbeenaskedtoassessthesecurityriskoftheminimumviableproduct（MVP）.WhichistheMOSTimportantactivitytheanalystshouldassess?一个按照敏捷原则工作的财务组织为其外部客户群开发了一个新的应用程序，以请求信用额度。已要求安全分析师评估最低可行产品（MVP）的安全风险。分析员应该评估的最重要的活动是什么？A)Thesoftwarehasthecorrectfunctionality.软件具有正确的功能。B)Thesoftwarehasbeencodereviewed.软件已经过代码审查。C)Thesoftwarehadbeenbrandedaccordingtocorporatestandards.该软件按照公司标准进行了品牌化。D)Thesoftwarehasbeensignedoffforreleasebytheproductowner.该软件已由产品所有者签署发布。[单选题]50.(04007)WhatprotocolwasUDPbasedandmainlyintendedtoprovidevalidationofdialupuserloginpasswords?下面哪个协议是基于UDP的，主要用来提供对拨号用户登录密码的验证？A)PPTPB)PPTPC)PPTPD)PPTP[单选题]51.Athoroughreviewofanorganization'sauditlogsfindsthatadisgruntlednetworkadministratorhasinterceptedemailsmeantfortheChiefExecutiveOfficer（CEO）andchangedthembeforeforwardingthemtotheirintendedrecipient.WhattypeofattackhasMOSTlikelyoccurred?对组织的审计日志进行彻底审查后发现，不满的网络管理员截获了发给首席执行官（CEO）的电子邮件，并在将其转发给预期收件人之前对其进行了更改。最有可能发生的攻击类型是什么？A)Spoofing电子欺骗B)Eavesdropping窃听C)Man-in-the-middle中间人攻击D)Denialofservice拒绝服务[单选题]52.某公司遭遇洪泛攻击，最好的技术性缓解措施是：A)BGPB)多链路C)弹性计算D)加大带宽[单选题]53.Regardingassetsecurityandappropriateretention,whichofthefollowingINITIALtopthreeareasareimportanttofocuson?关于资产安全和适当的保留，以下哪一个最初的前三个领域是重要的重点？A)Securitycontrolbaselines,accesscontrols,employeeawarenessandtraining安全控制基线、访问控制、员工意识和培训B)Humanresources,assetmanagement,productionmanagement人力资源、资产管理、生产管理C)Supplychainleadtime,inventorycontrol,encryption供应链交付周期、库存控制、加密D)Polygraphs,crimestatistics,forensics测谎仪、犯罪统计、法医学[单选题]54.Asystemhasbeenscannedforvulnerabilitiesandhasbeenfoundtocontainanumberofcommunicationportsthathavebeenopenedwithoutauthority.Towhichofthefollowingmightthissystemhavebeensubjected?已对系统进行漏洞扫描，发现其中包含大量未经授权打开的通信端口。该系统可能会受到以下哪种情况的影响？A)Trojanhorse特洛伊木马B)DenialofService（DoS）拒绝服务（DoS）C)Spoofing电子欺骗D)Man-in-the-Middle（MITM）中间人（MITM）[单选题]55.Ifthewideareanetwork（WAN）issupportingconvergedapplicationslikeVoiceoverInternetProtocol（VoIP）,whichofthefollowingbecomesevenMOREessentialtotheassuranceofnetwork?如果广域网（WAN）支持互联网语音协议（VoIP）等融合应用程序，那么以下哪项对于网络保障更为重要？A)ClasslessInter-DomainRouting（CIDR）无类域间路由（CIDR）B)Deterministicrouting确定性路由C)InternetProtocol（IP）routinglookupsInternet协议（IP）路由查找D)Boundaryrouting边界路由[单选题]56.进入网络的后门是指？A)在晚些时候由黑客创建的用来获得网络访问的机制B)监测在虚拟应用程序实施的以吸引入侵者的方案C)程序员用来调试应用程序的无正式文件的指令D)主体社交工程密码[单选题]57.disadvantageofhostbasedlDS?你正在比较基于主机的IDS和基于网络的ID。你认为基于主机的IDS的明显缺点是什么?A)ltcannotanalyzeencryptedinformation.它不能分析加密的信息B)ltiscostlytoremove.移除是昂贵的C)ltisaffectedbyswitchednetworks.它受交换网络的影响D)ltiscostlytomanage.管理成本很高[单选题]58.WhyisplanninginDisasterRecovery（DR）aninteractiveprocess?为什么灾难恢复（DR）中的规划是一个交互式过程？A)Itdetailsoff-sitestorageplans详细说明场外存储计划B)Itidentifiesomissionsintheplan它确定了计划中的遗漏C)Itdefinestheobjectivesoftheplan它定义了计划的目标D)Itformspartoftheawarenessprocess它是意识过程的一部分[单选题]59.在制定灾后恢复计划(DRP)时,以下哪一项是最重要的考虑因素?A)系统的动态重新配置B)停机成本C)所有业务流程的恢复策略D)遏制战略[单选题]60.安全经理评估采购的新系统时发现,在系统规格说明书中有一些安全因素没有被考虑到。这最有可能是因为?A)安全需求的描述不够充分B)供应商招标团队中缺乏安全专家C)采购人员缺乏技术知识D)采购过中安全需求发生了变化[单选题]61.请参阅以下信息以回答问题。遭受负面财务影响的组织被迫减少预算和履行基本逻辑访问安全管理职能的信息技术(IT)运营人员的数量。安全流程已紧密融入到正常的IT操作中,并且不是独立和独特的角色。当工作人员从组织中释放时,以下哪一项将是主要安全问题?A)IT支持不足B)数据丢失和职责分离C)无证安全控制D)剩余工作人员的其他责任[单选题]62.确定灾难使用的中断成本ca可以最好地用A)冗余系统和备份的成本。B)从中断中恢复的成本。C)停电的总体长期影响。D)中断期间的收入损失。[单选题]63.什么级别的RAID也称为具有奇偶校验的磁盘条带化?A)RAIDOB)RAID1C)RAID5D)RAID10[单选题]64.数据按位传送发生在OSI模型的哪一层?A)传输层B)网络层C)数据链路层D)物理层[单选题]65.suspiciouscodewithintheoperatingsystem?下面哪种病毒检测技术是业界最近采用的,监控可疑代码在操作系统内的执行?A)Behaviorblocking行为封锁B)Fingerprintdetection指纹探测C)Featurebaseddetection基于特征检测D)Heuristicdetection启发式检测[单选题]66.Whatactionshouldasystemadministratortakewhenconductingpenetrationtestinganddiscoveringthatanyoneintheorganizationhasunauthorizedaccesstoaserverthatholdssensitivedata?系统管理员在进行渗透测试时发现,组织内的所有人都可以对一台存有敏感数据的服务器进行未授权访问时,他应该采取的行动是?A)Modifytheaccesspermissiontotheserverusingsystemprivileges.使用系统特权,修改对服务器的访问许可B)Recordthefindingsimmediatelyandreporttoseniormanagement.立即记录该发现并报告给高级管理层C)ContinuetestingandreporttolTmanagementwhentestingiscomplete.继续进行测试并在测试完成时报告IT管理层D)Terminatethepenetrationtestsandtransferthefindingstotheserveradministrationteam.终止渗透测试并将发现转交给服务器管理团队[单选题]67.(04116)Whichoneofthefollowingentailsperiodicaltransmittingcopiesofon-linetransactionstoaremotecomputerfacilityforbackup?下列哪一个定期发送交易副本到远程的计算机备份设施？A)Archivalstoragemanagement(ASM)档案存储管理B)Archivalstoragemanagement(ASM)档案存储管理C)Archivalstoragemanagement(ASM)档案存储管理D)Archivalstoragemanagement(ASM)档案存储管理[单选题]68.下一项哪一个认证规则确保Clark-Wilson？A)访问记录B)职能划分C)受数据限制保持一致。D)转换步骤（程序）仅在非限制数据上发生[单选题]69.在业务连续性规划(BCP)中,记录业务流程的重要性是什么?A)为高级管理层提供决策工具B)建立并采用持续的测试和维护策略C)定义谁将在灾难或紧急情况下执行哪些功能。D)提供对组织相互依存关系的理解[单选题]70.确定由灾难引起的中断成本最好通过以下方式进行衡量:A)一个。冗余系统和备份的成本。B)从中断中恢复的成本。C)中断的总体长期影响。D)中断期间的收入损失。[单选题]71.安全从业人员的任务是建立组织资产处理流程。应该考虑哪项因素会对这些流程的开发产生较大影响?Asecuritypractitionerhasbeentaskedwithestablishingorganizationalassethandlingprocedures.WhatshouldbeconsideredthatwouldhavetheGREATESTimpacttothedevelopmentoftheseprocedures?A)介质处理程序MediahandlingproceduresB)用户角色和职责UserrolesandresponsibilitiesC)可接受使用政策(AUP)AcceptableUsePolicy(AUP)D)信息分类方案Informationclassificationscheme[单选题]72.Hannah的组织正在实施一种依赖SAML的新用户身份验证方法。她希望防止对该流量的窃听，并确保SAML流量不会被攻击者伪造。她应该怎么做才能抵御这两种类型的攻击？A)使用SAML的安全模式提供安全认证。B)使用强大的密码套件实现TLS，这将防止这两种类型的攻击。C)使用强大的密码套件实现TLS并使用数字签名。D)使用强大的密码套件和消息散列实现TLS。[单选题]73.John在公司网络上发现了一个模拟开关的流氓系统。攻击者利用系统上的软件修改帧标签值。以下哪项最恰当地描述了发生的攻击类型?A)DHCP监听B)VLAN跳跃攻击C)网络流量整形D)网络流量跳跃攻击[单选题]74.GADSystems关注的是黑客可能窃取存储在文件服务器上的敏感信息。这些系统会选择采取风险缓解策略。下列哪种做法符合该策略?A)加密文件B)删除文件C)购买网络安全保险D)不采取行动[单选题]75.组织正在选择一个服务提供商,以帮助整合多个计算站点,包括开发、实施和持续支持各种计算机系统。信息保密部门必须核实以下哪些情况?A)服务提供商的政策与ISO/IEC27001一致,并且有证据表明服务提供商正在遵循这些政策。B)服务提供商将将数据分离到其系统中,并确保满足每个区域的policies。C)服务提供商将实施满足或超过当前系统控制的控制和保护,并生成审核日志作为验证。D)服务提供商的政策即使与组织的当前政策不同,也可以满足新环境的要求。[单选题]76.当无线网络未实现使用802.1x时,始终可以进行什么形式的攻击?Whatformofattackisalwayspossiblewhenusinganon-802.1ximplementationofawirelessnetwork?A)密码猜测PasswordguessingB)加密破解EncryptioncrackingC)初始化向量拦截IVinterceptionD)数据包重放攻击Packetreplayattacks[单选题]77.开发运营团队希望开始构建新的应用程序,尽可能将网络安全责任委托给服务提供商。以下哪种环境最适合他们的需要?A)云虚拟机(VM)B)虚拟机(VM)中的云应用程序容器C)本地虚拟机(VM)D)自托管虚拟机(VM)[单选题]78.Whyisauthenticationbyownershipstrongerthanauthenticationbyknowledge?为什么所有权认证比知识认证更强大？A)Itiseaslertochange.更容易改变。B)Itcanbekeptontheuser?sperson.它可以保存在用户的个人身上。C)Itismoredifficulttoduplicate.这更难复制。D)Itissimplertocontrol.它更易于控制。[单选题]79.在尝试了解未知应用程序的目的时,在法医分析中最重要的步骤是什么?A)禁用所有不必要的服务B)确保监管链C)准备系统的另一个备份D)将系统与网络分离[单选题]80.以下哪一项能有效隐藏并保护网络内部的计算机,避免来自网络外部威胁的攻击?A)ARP地址解析协议B)RARP反向地址解析协议C)DHP动态主机配置协议D)NAT网络地址转换[单选题]81.手持式设备的主要安全问题是?A)加密算法的强度。B)同步过程中恶意软件的传播C)能够绕过身份验证机制D)个人标识号(PIN)的强度[单选题]82.Greg正为组织制定灾难恢复计划,并希望确定在中断后恢复特定IT服务所需的时间。Greg计算的是什么变量?A)MTOB)RTOC)RPOD)SLA[单选题]83.下列哪个问题是可能产生的物理和环境的情况？A)输入代码是定期更改的吗？B)有安装和燃烧火焰的燃烧设备吗？C)确保未经授权的个人无法、复制、修改或阅读各种印刷品或电子信息的吗？D)有控制物理访问数据传输线路吗？[单选题]84.以下哪种方法是减轻活跃用户工作站数据盗窃的最有效方法?A)实施全盘加密B)启用多因素身份验证C)部署文件完整性检查器D)便携式设备的禁用[单选题]85.下列选择中，哪一项能在不牺牲安全性的情况下避免这种损失A)标记场外保持的介质B)不要在场外存储数据C)销毁在场外存储的备份D)使用安全的异地存储设备[单选题]86.以下哪项最好的防御已知明文攻击？A)加密前压缩B)加密后压缩C)加密前哈希D)机密后哈希[单选题]87.根据?数字千年版权法案?(DMCA)的条款,下列哪个群体有资格获得安全港保护?A)音乐制作人B)图书出版商C)互联网服务提供商D)银行[单选题]88.InorderforapplicationdeveloperstodetectpotentialvulnerabilitiesearlierduringtheSoftwareDevelopmentLifeCycle（SDLC）,whichofthefollowingsafeguardsshouldbeimplementedFIRSTaspartofacomprehensivetestingframework?为了让应用程序开发人员在软件开发生命周期（SDLC）中更早地检测到潜在的漏洞，作为综合测试框架的一部分，应首先实施以下哪项保障措施？A)Sourcecodereview源代码审计B)Acceptancetesting验收测试C)Threatmodeling威胁建模D)Automatedtesting自动测试[单选题]89.审计人员发现关键系统的一项安全控制中存在漏洞,最有可能导致这问题的是?A)安全指南的文档不全面B)缺乏安全基线C)基于主机的入侵防御系统存在缺陷D)安全补丁没有及时更新[单选题]90.什么类型的病毒会在系统到系统的传播过程中修改自己的代码,以逃避特征码检测?Whattypeofvirusmodifiesitsowncodeasittravelsfromsystemtosysteminanattempttoevadesignaturedetection?A)多态PolymorphicB)加密EncryptedC)多歧MultipartiteD)隐形Stealth[单选题]91.确定是否有适当的安全控制来保护静止的数据,最好的第一步是什么?A)确定监管要求B)进行风险评估C)确定业务驱动程序D)查看安全基线配置[单选题]92.一家公司没收了涉嫌用于欺诈的移动设备。法医使用什么最佳方法将打开的设备与网络隔离并保存证据?A)将设备置于飞行模式B)暂停电信提供商的帐户C)删除SIM卡D)关闭设备[单选题]93.在制定灾难恢复计划(DRP)时,以下哪一项是最重要的考虑因素?A)系统的动态重构B)停机成本C)所有业务流程的恢复策略D)遏制策略[单选题]94.SpywareisBESTdescribedas间谍软件最好描述为A)dataminingforadvertising.广告数据挖掘。B)aformofcyber-terrorism,一种网络恐怖主义，C)aninformationgatheringtechnique,信息收集技术，D)aweb-basedattack.基于web的攻击。[单选题]95.WithwhatfrequencyshouldmonitoringofacontroloccurwhenimplementingInformationSecurityContinuousMonitoring（ISCM）solutions?在实施信息安全连续监控（ISCM）解决方案时，应以何种频率监控控件？A)Continuouslywithoutexceptionforallsecuritycontrols所有安全控制无例外地持续进行B)Beforeandaftereachchangeofthecontrol每次更改控制前后C)Atarateconcurrentwiththevolatilityofthesecuritycontrol与安全控制的波动率同步D)Onlyduringsystemimplementationanddecommissioning仅在系统实施和退役期间[单选题]96.一个公司范围内的渗透测试结果显示:客户可以通过Web浏览器访问和读取文件。以下哪项可用于缓解此漏洞?Acompany-widepenetrationtestresultshowscustomerscouldaccessandreadfilesthroughawebbrowser.Whichofthefollowingcanbeusedtomitigatethisvulnerability?A)将文件的chmod强制为755Enforcethechmodoffilesto755.B)强制控制文件目录/列表Enforcethecontroloffiledirector/listings.C)在Web服务器上实施访问控制Implementaccesscontrolonthewebserver.D)在整个Web服务器中实施安全套接字层(SSL)证书ImplementSecureSocketsLayer(SSL)certificatesthroughoutthewebserver.[单选题]97.以下哪一项主要导致基于Web的应用程序中的安全事件?A)系统管理和操作系统B)系统不兼容和修补程序管理C)第三方应用和更改控制D)压力测试和应用界面不当[单选题]98.当你根据IT系统的特定需求应用安全控制,正在执行什么活动?WhatactivityisbeingperformedwhenyouapplysecuritycontrolsbasedonthespecificneedsoftheITsystemthattheywillbeappliedto?A)标准化StandardizingB)基线BaseliningC)范围ScopingD)修订Editing[单选题]99.与个人医疗保健在过去、现在或将来的付款有关的数据是每个HIPAA的什么类型的数据?A)PCIB)个人计费数据C)PHID)个人身份信息(PII)[单选题]100.下面的一个问题可能对评估和认证控制有帮助吗？A)对当前列表进行维护和批准授权用户和访问吗B)如果需要的话，密码至少每90天就需要早改吗C)在指定的时间后，非活动的用户标识会被禁止吗D)是否有报告事件的程序[单选题]101.安全管理员被窥视的言论文件？A)安全参数B)用户密码C)用户资料D)系统日志》[单选题]102.审计跟踪的目的是?Thepurposeofanaudittrailisto?SelectthebestanswerA)检测正常活动DetectnormalactivityB)测试系统安全TestsystemsecurityC)验证信任ValidatetrustD)重新创建事件Recreateevents[单选题]103.一家金融机构开发了基于ISOIIEC27000系列的内部安全程序。安全人员己被告知需要制定度量标准并集成到该程序中,以衡量其效果。以下哪一类标准应当被遵循,以提供这种类型的指导和功能?A)ISO/IEC27002B)ISO/IEC27003C)ISO/IEC27004D)ISO/IEC27005[单选题]104.Adatabaseadministratorisaskedbyahigh-rankingmemberofmanagementtoperformspecificchangestotheaccountingsystemdatabase.Theadministratorisspecificallyinstructedtonottrackorevidencethechangeinaticket.WhichofthefollowingistheBESTcourseofaction?管理层高级成员要求数据库管理员对会计系统数据库进行特定更改。特别指示管理员不要跟踪或证明票据中的更改。以下哪项是最佳的行动方案？A)Ignoretherequestanddonotperformthechange.忽略请求，不执行更改。B)Performthechangeasrequested,andrelyonthenextaudittodetectandreportthesituation.按照要求执行变更，并依靠下一次审核来检测和报告情况。C)Performthechange,butcreateachangeticketregardlesstoensurethereiscompletetraceability.执行变更，但无论如何都要创建变更单，以确保具有完整的可追溯性。D)Informtheauditcommitteeorinternalauditdirectlyusingthecorporatewhistleblowerprocess.直接使用公司举报人流程通知审计委员会或内部审计。[单选题]105.软件能力成熟度模型(SW-CMM)在哪个阶段用量化策略获得对软件开发过程的详细了解？A)可重复级B)定义级C)管理级D)优化级[单选题]106.在这里显示的图中,Harry要求读取数据文件的请求被阻止。Harry拥有?秘密?级别的文件访问许可,而数据文件的分类级别是?最高机密?。Bell-LaPadula模型的什么原则阻止了这个请求?A)简单安全属性B)简单完整性属性C)*安全属性D)自主安全属性[单选题]107.在这里显示的数据库表中,哪一列将是主键的最佳候选?A)公司IDB)公司名称C)邮政编码D)销售代表[单选题]108.MAC模型支持不同的环境类型。以下哪项授予用户使用特定标签的预定义标签的访问权限?A)隔离环境B)分层环境C)中心化环境D)混合环境[单选题]109.运输层安全(TLS)中使用的数字证书支持以下哪一项?A)信息输入验证B)非否定控制和数据加密C)多因素身份验证(MFA)D)服务器身份和数据保密[单选题]110.Whenusingthird-partysoftwaredevelopers,whichofthefollowingistheMOSTeffectivemethodofprovidingsoftwaredevelopmentQualityAssurance（QA）?使用第三方软件开发人员时，以下哪种方法是提供软件开发质量保证（QA）的最有效方法？A)Retainintellectualpropertyrightsthroughcontractualwording.通过合同条款保留知识产权。B)Performoverlappingcodereviewsbybothparties.执行双方的重叠代码审查。C)Verifythatthecontractorsattenddevelopmentplanningmeetings.验证承包商是否参加开发计划会议。D)Createaseparatecontractordevelopmentenvironment.创建一个单独的承包商开发环境。[单选题]111.以下哪项不是常用的避免sql注入的方法？A)存储过程B)参数化SQLC)正则表达式D)禁用select[单选题]112.Acompanyhiredanexternalvendortoperformapenetrationtestofanewpayrollsystem.Thecompany'sinternaltestteamhadalreadyperformedanin-depthapplicationandsecuritytestofthesystemanddeterminedthatitmetsecurityrequirements.However,theexternalvendoruncoveredsignificantsecurityweaknesseswheresensitivepersonaldatawasbeingsentunencryptedtothetaxprocessingsystems.WhatistheMOSTlikelycauseofthesecurityissues?一家公司雇佣了一家外部供应商对一个新的工资系统进行渗透测试。该公司的内部测试团队已经对该系统进行了深入的应用和安全测试，并确定其符合安全要求。然而，外部供应商发现了重大的安全漏洞，即未加密的敏感个人数据被发送到税务处理系统。安全问题最可能的原因是什么？A)Failuretoperforminterfacetesting未能执行接口测试B)Failuretoperformnegativetesting未能执行阴性测试C)Inadequateperformancetesting性能测试不足D)Inadequateapplicationleveltesting应用程序级别测试不足[单选题]113.Karen正在休产假,将离开工作至少12周。在她休假期间,应采取以下哪些行动?A)删除帐户。B)重置账户密码。C)什么都不做。D)禁用帐户。[单选题]114.AnorganizationseekstouseacloudIdentityandAccessManagement（IAM）providerwhoseprotocolsanddataformatsareincompatiblewithexistingsystems.Whichofthefollowingtechniquesaddressesthecompatibilityissue?组织寻求使用云身份和访问管理（IAM）提供商，其协议和数据格式与现有系统不兼容。以下哪种技术可以解决兼容性问题？A)RequirethecloudIAMprovidertousedeclarativesecurityinsteadofprogrammaticauthenticationchecks.要求云IAM提供程序使用声明性安全性，而不是编程身份验证检查。B)IntegrateaWeb-ApplicationFirewall（WAF）Inreverie-proxymodeinfrontoftheserviceprovider.在服务提供商面前以Revire代理模式集成Web应用程序防火墙（WAF）。C)ApplyTransportlayerSecurity（TLS）tothecloud-basedauthenticationchecks.将传输层安全性（TLS）应用于基于云的身份验证检查。D)Installanon-premiseAuthenticationGatewayService（AGS）Infrontoftheserviceprovider.在服务提供商面前安装本地身份验证网关服务（AGS）。[单选题]115.InaTransmissionControlProtocol/InternetProtocol（TCP/IP）stack,whichlayerisresponsiblefornegotiatingandestablishingaconnectionwithanothernode?在传输控制协议/互联网协议（TCP/IP）堆栈中，哪一层负责与另一个节点协商并建立连接？A)Transportlayer传输层B)Applicationlayer应用层C)Networklayer网络层D)Sessionlayer会话层[单选题]116.高级加密标准使用多大的块大小？A)32B)64C)128D)可变[单选题]117.Normalizingdatawithinadatabaseincludesallofthefollowingexceptwhich?在数据库中规范数据也括以下所有选项,除了哪一个?A)Eliminatingrepeatinggroupsbyputtingthemintoseparatetables通过把重复的组放到不同的中表来消除它们B)Eliminatingredundantdata消除冗全数据C)Eliminatingattributesinatablethatarenotdependentontheprimarykeyofthattable消除表中不依校于表的主她的属性D)EliminatingduplicatekeyfieldsbyputtingthemIntoseparatetables通过将重复的关键字段救到不同的表中来到除它们[单选题]118.Theapplicationownerofasystemthathandlesconfidentialdataleavesanorganization.Itisanticipatedthatareplacementwillbehiredinapproximatelysixmonths.Duringthattime,whichofthefollowingshouldtheorganizationdo?处理机密数据的系统的应用程序所有者离开组织。预计将在大约六个月内雇用一名替代人员。在此期间，组织应执行以下哪项操作？A)Gramtemporaryaccesstotheformerapplicationowner'saccountGram临时访问前应用程序所有者的帐户B)Assignatemporaryapplicationownertothesystem.为系统分配临时应用程序所有者。C)Restrictaccesstothesystemuntilareplacementapplicationownerrshired.在雇用替代应用程序所有者之前，限制对系统的访问。D)Preventchangestotheconfidentialdatauntilareplacementapplicationownerishired.[单选题]119.下一项哪被用于数据库信息以隐藏信息安全？A)继承B)多实例C)多性态D)很[单选题]120.数据库视图操作实施什么原则？A)实体实体B)职责分离C)参照D)最小特权[单选题]121.关于网络地址转换（NAT）,下列哪一项陈述不是正确的？A)专用地址可以很容易地在全球范围内传送。B)当企业想使用私有地址范围为内部网络时使用网络地址转换（NAT）oC)网络地址转换（NAT）是为了掩盖内部系统的真实IP地址D)网络地址转换（NAT）转换私有IP地址到己注册的真实IP地址。[单选题]122.作为物理安全系统的一个组成部分,电子访问控制(EAC)令牌是其最佳known的能力A)克服关键任务的问题。B)监控门窗的打开。C)检测到入侵者时触发警报。D)在紧急情况下锁定设施。[单选题]123.Anorganizationisdesigningalargeenterprise-widedocumentrepositorysystem.Theyplantohaveseveraldifferentclassificationlevelareaswithincreasinglevelsofcontrols.TheBESTwaytoensuredocumentconfidentialityintherepositoryisto一个组织正在设计一个大型企业范围的文档存储库系统。他们计划有几个不同的分类级别区域，控制级别不断提高。确保存储库中文档机密性的最佳方法是A)encryptthecontentsoftherepositoryanddocumentanyexceptionstothatrequirement.加密存储库的内容，并记录该要求的任何例外情况。B)utilizeIntrusionDetectionSystem（IDS）setdropconnectionsiftoomanyrequestsfordocumentsaredetected.如果检测到过多的文档请求，请使用入侵检测系统（IDS）设置丢弃连接。C)keepindividualswithaccesstohighsecurityareasfromsavingthosedocumentsintolowersecurityareas.防止访问高安全区域的个人将这些文件保存到低安全区域。D)requireindividualswithaccesstothesystemtosignNon-DisclosureAgreements（NDA）.要求有权访问系统的个人签署保密协议（NDA）。[单选题]124.在一个业务性计划中的备选处理策略可以通过一个完整的场所、基础场所或提供所需的备份计算能力。A)一个鸡蛋程序服务B)--个离线存储替换C)一个在线备份程序D)一个箱和船替换[单选题]125.以下哪项BEST可缓解针对使用联合身份验证和安全断言标记语言((SAML)实现的系统进行的重放攻击?A)一个。双因素身份验证B)数字证书和硬件令牌C)定时会话和安全套接字层(SSL)D)带有字母数字和特殊字符的密码[单选题]126.当使用数据加密标准(DES)时,下列哪项是初始化向量的特征?A)它必须保留到最后一个块被传输。B)它可以作为一个随机数以明文形式传送。C)发送方和接收方都必须知道。D)它可以用来加密和解密信息[单选题]127.实施最小特权原则的最终结果是指？A)用户可以访问所有系统。B)用户只能访问他们需要知道的信息。C)当用户职位改变时，会得到新增的特权D)授权蠕变[单选题]128.法医专家如何排除在检查中,将居住在目标系统副本上的很大一部分操作系统文件排除在外?A)对有关媒体进行另一次备份,然后删除所有不相关的操作系统文件。B)创建具有相同操作系统和修补程序级别的系统中文件加密哈希的比较数据库。C)在驱动器图像上生成消息摘要(MD)或安全哈希,以检测正在检查的媒体的篡改情况。D)丢弃操作擦除系统的无害文件,以及已知已安装的程序。[单选题]129.以下哪一个最佳代表开放设计原则?A)拆卸、分析或反向工程将揭示计算机的安全功能系统。B)必须保护算法,以确保设计系统的安全性和互操作性。C)知识渊博的用户在系统上应享有有限的特权,以防止其破坏安全功能的能力。D)机制的安全不应取决于其设计或实施的保密性。[单选题]130.Olivia的组织中在盈利和标准化的这两个要求之间产生了重大冲突。由于Olivia这一角色的存在,她组织的工作人员无法使用该系统,导致可用性降低和利润损失。Olivia在她的组织中最可能扮演的角色是什么?A)业务经理B)信息安全分析师C)数据处理者D)任务所有者[单选题]131.为竞争原因，大船公司的客户会向称为"综合国际安全航运集装箱公司"(IISSCC)运送各种货物并保持他们的隐私性。llSSCC使用以Bell-LaPadula访问控制模型的为基础的安全数据库系统将这些信息进行保密。在此数据库中的不同信息分为不同级别。例如，一艘船出发的日期和时间标记解除保密，所以客户可以估计他们的货物什么时候到达。但船上的所有集装箱的内容被标记为绝密已保持不同托运人无从查看对方的货物。一个无良水果托运人，"私人水果出口商协会有限公司"(APFEL)想要学习竞争对手"好水果公司"(FIGCO)是否在S.S.邮轮太平洋"(S.S.CP)船上运载菠萝"。APFEL因为访问模型的缘故能读取IISSCC数据库中的最高机密内容。一个聪明的APFEL员工，试图在数据库中插入一条虚假的未标记的记录说FIGCO公司在S.S.CP船上运载菠萝，如果有己经有这样一条记录则插入操作则提示失败。但是该操作没有成功，因此APFEL公司不能确信FIGCO公司是否运载了菠萝。什么是这种安全控制模型的特性以阻止APFEL公司读取FIGCO公司的货物信息？那中安全数据库技术可以解释为什么当插入尝试成功时，APFEL公司仍然不能确信FIGCO公司运载了菠萝？A)*-属性和多态性B)强*-属性和多实例C)简单安全属性和多实例D)简单的安全属性和多态性[单选题]132.哪种攻击导致凯撒密码最终失效？A)中间人攻击B)托管攻击C)频率分析攻击D)移位攻击[单选题]133.将电子存储介质退回第三方进行维修时,有效做法是什么?A)确保媒体不会以任何方式标记组织名称。B)拆卸介质并拆卸可能包含敏感datA的部件。C)物理上破坏可能包含敏感数据的媒体部分。D)与第三方签订关于安全处理媒体的合同。[单选题]134.InwhichprocessMUSTsecuritybeconsideredduringtheacquisitionofnewsoftware?在购买新软件的过程中，必须考虑哪个过程的安全性？A)Contractnegotiation合同谈判B)Requestforproposal（RFP）招标书（RFP）C)Implementation实施D)Vendorselection供应商选择[单选题]135.什么类型的灭火器可用于防止液体火灾?A)A类B)B类C)C类D)D类[单选题]136.Whyisitimportanttounderstandthecostofdowntimeofcriticalbusinessprocesses?为什么理解关键业务流程的停机成本很重要?A)Managementwillbeabletomakedecisionsaboutthecostofmitigatingcontrolsandcontingencyplans.管理部门将能够决定减轻控制和应急计划的成本B)Managementwillbeabletodeterminewhichprocessesarethemostcritical.管理人员将能够确定哪些过程是最关键的C)Managementwillbeabletoestablishatrainingbudget.管理层将能够制定培训预算D)Managementwillbeabletocomparerecoverycostswiththoseinsimilarorganizations.管理层将能够与类似组织比较回收成本关键程度[单选题]137.以下哪一项提供了传输身份验证令牌的最佳安全功能?A)JavaScript对象表示法(JSON)B)终端访问控制器访问控制系统(TACACS)C)安全断言标记语言(SAML)D)远程认证拨入用户服务(RADIUS)[单选题]138.降低字典攻击系统风险的最佳方法是A)使用硬件令牌。B)使用复杂的密码短语。C)实现密码历史记录。D)加密访问控制列表(ACL)。[单选题]139.Howshouldtheretentionperiodforanorganization'ssocial