CISSP考试练习(习题卷29)

试卷科目：CISSP考试练习CISSP考试练习(习题卷29)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISSP考试练习第1部分：单项选择题，共100题，每题只有一个正确答案,多选或少选均不得分。[单选题]1.(04089)Whichofthefollowinggroupsrepresentstheleadingsourceofcomputercrimelosses?下列哪项是计算机犯罪造成损失的主要来源？A)Employees员工B)Employees员工C)Employees员工D)Employees员工答案:A解析:[单选题]2.以下哪项对组织的安全态势影响最大?A)由于支持安全的成本增加而造成的资源限制B)与员工访问和权限流程相关的审核结果C)国际和国家特定的合规要求D)员工和承包商违反安全规定答案:C解析:[单选题]3.Harry正在进行灾难恢复测试。他将一组人员转移到备用恢复站点,在那里他们模仿主站点的操作,但没有操作责任。他在执行什么类型的灾难恢复测试?A)清单测试B)结构化走查C)模拟测试D)并行测试答案:D解析:[单选题]4.Atechnicianistroubleshootingaclient'sreportaboutpoorwirelessperformance.Usingaclientmonitor,thetechniciannotesthefollowinginformation:一名技术人员正在对客户关于无线性能不佳的报告进行故障排除。技师使用客户端监视器记录以下信息：SSIDSignal（RSSI）ChannelCorporate-509Corporate-6910Corporate-6711Corporate-636WhichofthefollowingisMOSTlikelythecauseoftheissue?以下哪项最有可能是问题的原因？A)Channeloverlap通道重叠B)Poorsignal信号不良C)Incorrectpowersettings电源设置不正确D)Wrongantennatype天线类型错误答案:A解析:[单选题]5.Atthedestinationhost,whichofthefollowingOSImodellayerswilldiscardasegmentwithabadchecksumintheUDPheader?在目标主机上，以下哪个OSI模型层将丢弃UDP标头中校验和错误的段？A)Network网络层B)Datalink数据链路层C)Transport传输层D)Session会话层答案:C解析:[单选题]6.以下哪一项保证身份管理架构中遵守规则?A)政策数据库B)数字签名C)政策决策点D)政策执行点答案:D解析:[单选题]7.Whatformofattackcouldthisrepresent?这可能代表什么形式的攻击？A)ADenialofService（DoS）attackagainstthegatewayrouterbecausetheroutercannolongeracceptpacketsfrom针对网关路由器的拒绝服务（DoS）攻击，因为路由器无法再接受来自B)Atransportlayerattackthatpreventstheresolutionofaddress阻止解析地址的传输层攻击C)ADenialofService（DoS）attackagainstbecauseitcannotrespondcorrectlytoARPrequests针对的拒绝服务（DoS）攻击。因为它无法正确响应ARP请求D)Amasqueradingattackthatsendspacketsintendedforto发送用于至的数据包的伪装攻击答案:D解析:[单选题]8.安全管理员被窥视的言论文件？A)安全参数B)用户密码C)用户资料D)系统日志》答案:D解析:安全管理主要管理安全系统日志[单选题]9.下列哪一项限制了个人执行特定过程的所有步骤的能力?A)工作轮换B)职责分离C)最少的特权D)强制性假期答案:B解析:[单选题]10.将用户信息存储限制为完成合法业务所需的移动设备应用程序,goals遵守什么隐私原则?A)继续转移B)收集限制C)收集器责任D)个人参与答案:B解析:[单选题]11.在一个系统中主要使用单向用户密码加密的目的是什么？A)它可以未经授权的人员在一个登录点尝试多个密码。B)它可以未经阻止的人员读取或修改密码列表。C)它的需求更多地为用户需求的需求D)它用的更多时间处理了加密密码。答案:B解析:<p>这种加密方式增加了密码的安全性，如果你使用单向加密算法，你知道加密是不可逆的，你不能得到你提供的<br/>原始值作为使用任何密钥或<br/>算法生成的哈希的密码。这增加了安全性，当一个人看到密码列表时，它只会看到哈希值，而无法读取原始密码或修改它们而不<br/>获得损坏。<br/></p>[单选题]12.Afterabreachincident,investigatorsnarrowedtheattacktoaspecificnetworkadministrator'scredentials.However,therewasnoevidencetodeterminehowthehackersobtainedthecredentials.MuchofthefollowingactionscouldhaveBESTavoidedtheabovebreachpertheinvestigationdescribedabove?在发生违规事件后，调查人员将攻击范围缩小到特定网络管理员的凭据。然而，没有证据确定黑客是如何获得这些证书的。根据上述调查，以下大部分行动可以最好地避免上述违规行为？A)Aperiodicreviewofnetworkaccessloos定期审查网络访问权限B)Aperiodicreviewofactiveusersenthenetwork定期审查网络中的活跃用户C)Aperiodicreviewofallprivilegedaccountsactions定期审查所有特权帐户操作D)Aperiodicreviewofpasswordstrengthofallusersacrosstheorganization定期审查整个组织中所有用户的密码强度答案:C解析:[单选题]13.以下哪项用于确保数据挖掘活动不会泄露敏感数据?A)在底层基础设施上实施两因素身份验证。B)在字段级别加密数据并严格控制加密密钥。C)对数据库进行预处理,看看是否可以从学习到的模式中公开内部数据。D)对数据元素实施最小特权原则,从而减少可以访问数据库的用户数量。答案:D解析:[单选题]14.系统上的进程需要访问当前正由另一个进程使用的文件。进程调度程序将在什么状态下阻塞此进程,直到文件可用为止?A.运行态B.就绪态C.等待态D.停止态A)运行态B)就绪态C)等待态D)停止态答案:C解析:当进程被阻塞等待外部事件时,进入等待状态。运行状态用于在CPU上执行进程时。当准备好进程但CPU不可用时,进入就绪状态。当进程终止时进入停止状态。TheWaitingstateisusedwhenaprocessisblockedwaitingforanexternalevent.TheRunningstateisusedwhenaprocessisexecutingontheCPU.TheReadystateisusedwhenaprocessispreparedtoexecute,buttheCPUisnotavailable.TheStoppedstateisusedwhenaprocessterminates.[单选题]15.Derek希望确保他的组织在帐户的整个生命周期中跟踪帐户的所有更改。他应该为他的组织投资什么类型的工具?A)像LDAP这样的目录服务B)IAM系统C)SIEMD)EDR系统答案:B解析:身份和访问管理(IAM)系统结合了生命周期管理和监控工具,以确保在整个过程中正确处理身份和授权。Derek应该投资于一个功能强大的IAM系统,并确保将其配置为使用适当的工作流并生成他需要的日志和报告。EDR系统是端点检测和响应工具,用于防止高级攻击者入侵。[单选题]16.下列哪一项不属于刑法?A)GrammLeachBliley法B)计算机欺诈和滥用法C)电子通信隐私法D)身份盗窃和假设威慑法答案:A解析:GrammLeachBliley法属于民法。?计算机欺诈和滥用法?,?电子通信隐私法?和?身份盗窃和假设威慑法?都属于刑法。TheGrammLeachBlileyActisanexampleofcivillaw.TheComputerFraudandAbuseAct,ElectronicCommunicationsPrivacyAct,andIdentityTheftandAssumptionDeterrenceActareallexamplesofcriminallaw.[单选题]17.ApplicationofwhichofthefollowingInstituteofElectricalandElectronicsEngineers（IEEE）standardswillpreventanunauthorizedwirelessdevicefrombeingattachedtoanetwork?应用以下哪个电气和电子工程师协会（IEEE）标准可以防止未经授权的无线设备连接到网络？A)IEEE802.1FB)IEEE802.1HC)IEEE802.1QD)IEEE802.1X答案:D解析:[单选题]18.组织的应急响应指南应包括以下哪个组成部分?A)第一反应者的备选反应程序B)长期业务连续性协议C)组织冷站点的活动程序D)订购设备的联系信息答案:A解析:应急响应指南应包括一个组织应对紧急情况应采取的立即步骤。这些包括立即响应程序、紧急事件需通知的人员名单和这些人员的后续行动流程。应急响应指南不包括长期操作,例如激活业务连续性协议、订购设备或激活灾难恢复站点。Theemergencyresponseguidelinesshouldincludetheimmediatestepsanorganizationshouldfollowinresponsetoanemergencysituation.Theseincludeimmediateresponseprocedures,alistofindividualsWhoshouldbenotifiedoftheemergency,andsecondaryresponseproceduresforfirstresponders.[单选题]19.组织怎么管理CMDB中软件和硬件？A)资产清单B)数据元素C)数据项D)数据文件答案:A解析:CMDB--ConfigurationManagementDatabase配置管理数据库,CMDB存储与管理企业IT架构中设备的各种配置信息，因为CMDB产品初衷是为编译初始资产清单而设计的[单选题]20.(04012)AhardwarefeatureisbuiltintoaCentralProcessingUnit(CPU)sothatallmemorylocationsusedbyaprocesscanbemarkedwithanon-executableattributeunlessthelocationexplicitlycontainsexecutablecodeWhichofthefollowingattackscanthisfeaturehelpprevent?一项硬件功能被内置到一个中央处理单元(CPU)，使一个进程使用的所有内存位置可以打上不可执行属性，除非该位置明确包含可执行代码。此功能可以帮助防止下列哪种攻击？A)Bruteforce暴力破解B)Bruteforce暴力破解C)Bruteforce暴力破解D)Bruteforce暴力破解答案:A解析:[单选题]21.processorofthesamekind?以下哪项技术描述了在单个计算机系统中使用多个处理器来增加计算机应用环境中的计算性能?A)Pipelining流水线B)Multitasking多任务C)Multiprogramming多道程序设计D)Multiprocessing多重处理答案:D解析:[单选题]22.下列哪一项不是软件开发的敏捷方法原则?A)最好的架构、要求和设计源于自组织团队B)不经常提供工作软件,强调的是在跨度更大的时间段创建准确的代码C)欢迎不断变化的需求,甚至在开发过程的后期D)简单是至关重要的答案:B解析:敏捷软件开发方法包含敏捷宣言中的12个核心原则。这些原则之一是最好的架构、要求和设计源于自组织团队。另一个原则是,团队应该欢迎过程中任何步骤的变化要求。第三个原则是,简单是至关重要的。敏捷方法强调经常提供软件。TheAgileapproachtosoftwaredevelopmentembraces12coreprinciples,foundintheAgileManifesto.Oneoftheseprinciplesisthatthebestarchitecture,requirements,anddesignsemergefromself-organizingteams.Anotheristhatteamsshouldwelcomechangingrequirementsatanystepintheprocess.[单选题]23.公司在建立一个新的数据中心的过程中。数据中心将为不同的客户提供大规模数据处理服务,并将内部WEB服务器,数据库和大型机,以及必要的基础设施进行互连。已聘请一个安全从业人员设计-个融合的纵深防御战略。问:WEB服务器将连接到数据库服务器提供动态内容的管理。以下哪个对策最有效地促进了数据的完整性?A)会话超时B)基于角色的访问控制(RBAC)C)多协议标签交换(MPLS)D)表单验证答案:D解析:[单选题]24.O)27001年和27002年制定的标准评估一个组织的安全政策时,何时可以确定管理责任?A)只有当资产定义明确时B)只有当定义标准时C)只有当控制到位时D)仅定义程序答案:A解析:[单选题]25.两家公司希望在供应商和客户关系中共享电子库存和订单。什么是对他们最好的安全解决方案?A)为两家公司编写服务级别协议(SLA)。B)建立虚拟专用网络(VPN)是两家公司的补间。C)在两家公司的周边配置防火墙。D)在两家公司之间建立文件传输协议(FTP)连接。答案:B解析:[单选题]26.文件、数据库、计算机、程序、过程、设备和介质都是什么例子?A)主体B)客体C)文件存储D)用户答案:B解析:题中涉及的均是客体。虽然其中一些项目也可以作为主体,但文件、数据库和存储介质不能。进程和程序不是文件存储,更不是用户。Alloftheseareobjects.Althoughsomeoftheseitemscanbesubjects,files,databases,andstoragemediacan'tbe.Processesandprogramsaren'tfilestores,andofcoursenoneoftheseareusers.[单选题]27.AcontinuousinformationsecuritymonitoringprogramcanBESTreduceriskthroughwhichofthefollowing?A)CollectingsecurityeventsandcorrelatingthemtoidentifyanomaliesB)Facilitatingsystem-widevisibilityintotheactivitiesofcriticaluseraccountsC)Encompassingpeople,process,andtechnologyD)Loggingbothscheduledandunscheduledsystemchanges答案:C解析:[单选题]28.信息系统审查的集中是相关定义1T服务级别过程中的控制措施。下列哪个工作人员最适合在审查期间提供信息？A)程序员B)业务单元经理C)法律工作人员D)系统程序员答案:B解析:<p>Understandingthebusinessrequirementsiskeyindefiningtheservicelevels.Whileeachoftheotherentitieslistedmayprovidesomedefinition,thebestchoicehereisthebusinessunitmanager,becauseofthebroadknowledgethatthispersonhasovertherelatedrequirementsoftheorganization.</p>[单选题]29.建议采用哪种方法进行渗透测试,以便在生命周期过程的发展阶段有效?A)白盒测试B)软件模糊测试C)黑匣子测试D)视觉测试答案:A解析:[单选题]30.如果从事电子交易，以下哪个组织不会自动遵守HIPAA的隐私和安全要求？A)Healthcareprovider健康护理提供者B)Healthandfitnessapplicationdeveloper健康和健身应用开发商C)Healthinformationclearinghouse健康信息交换所D)Healthinsuranceplan健康保险计划答案:B解析:健康和健身应用程序开发人员不一定会收集或处理医疗保健数据，并且HIPAA的条款不适用于此类业务。HIPAA监管三种类型的实体--医疗保健提供者.健康信息交换所和健康保险计划--以及任何这些涵盖实体的业务伙伴。章节：模拟考试202201[单选题]31.WhattechniqueBESTdescribesantivirussoftwarethatdetectsvirusesbywatchinganomalousbehavior?什么技术最能描述通过观察异常行为检测病毒的防病毒软件？A)Signature签名B)Inference推断C)Induction归纳D)Heuristic启发答案:D解析:[单选题]32.BCP流程的目标是什么?A)RTO<MTDB)MTD<RTOC)RPO<MTDD)MTD<RPO答案:A解析:业务连续性规划过程的目标是确保恢复时间目标小于最大可容忍停机时间,即RTO<MTD。Thegoalofthebusinesscontinuityplanningprocessistoensurethatyourrecoverytimeobjectivesarealllessthanyourmaximumtolerabledowntimes.[单选题]33.Normalizingdatawithinadatabaseincludesallofthefollowingexceptwhich?在数据库中规范数据也括以下所有选项,除了哪一个?A)Eliminatingrepeatinggroupsbyputtingthemintoseparatetables通过把重复的组放到不同的中表来消除它们B)Eliminatingredundantdata消除冗全数据C)Eliminatingattributesinatablethatarenotdependentontheprimarykeyofthattable消除表中不依校于表的主她的属性D)EliminatingduplicatekeyfieldsbyputtingthemIntoseparatetables通过将重复的关键字段救到不同的表中来到除它们答案:D解析:数据规范化是数据库设计的一个重要部分,它确保表中的属性只依赖于主键,这个过程使得维护数据和拥有一致的报告变得更加容易。归一化数据库中的数据包括三个步骤:1.)通过将它们放入不同的表中来消除任何重复的组2。消除冗余数据(出现在多个表中)消除表中不依赖于该表主键的属性[单选题]34.与授权相反，以下哪一个选项最能描述身份验证？A)系统确定在系统中个人的动作和行为的能力B)测试或和解用户身份的证据C)用户提供给系统其自称身份的方式D)个人访问计算机资源的权利和许可答案:B解析:<p>正确答案是?用户身份证据的测试或核对?。回答<br/>?用户向系统提供他或她的身份声明的方式?是<br/>标识，?一个系统的<br/>确定系统内单个个体的行动和行为的能力?；是<br/>问责制，以及?授予个人访问<br/>计算机资源的权利和许可?；是授权<br/></p>[单选题]35.攻击者最有可能以以下哪项为目标来获得对系统的特权访问?A)一个。写入系统资源的程序B)写入用户目录的程序C)包含敏感信息的日志文件D)包含系统调用的日志文件答案:A解析:[单选题]36.Cameron担心遭受针对公司主要Web应用程序的分布式拒绝服务攻击。以下哪项将提供最大的抵御能力来抵御大规模DDoS攻击?Cameronisworriedaboutdistributeddenial-of-serviceattacksagainsthiscompany'sprimarywebapplication.Whichofthefollowingoptionswillprovidethemostresilienceagainstlarge-scaleDDoSattacks?A)CDNACDNB)增加Web应用服务器集群中的服务器数量IncreasingthenumberofserversinthewebapplicationserverclusterC)通过与公司的ISP签订DDoS缓解服务合同ContractforDDoSmitigationservicesviathecompany'sISPD)增加一个或多个ISP的可用带宽量答案:A解析:使用主要提供商运营的内容交付网络(CDN),会比任何其他解决方案更轻松地处理大规模DDoS攻击。通过使用ISP提供的DDoS缓解技术是下一个最有用的功能,其次是带宽的增加和Web应用程序集群中服务器数量的增加。[单选题]37.DiscretionaryAccessControl（DAC）isbasedonwhichofthefollowing?自主访问控制（DAC）基于以下哪项？A)Informationsourceanddestination信息来源和目的地B)Identificationofsubjectsandobjects主体和客体的识别C)Securitylabelsandprivileges安全标签和权限D)Standardsandguidelines标准和指南答案:B解析:[单选题]38.以下哪四个迭代步骤是在持续的基础上对第三方供应商进行的？A)框架、评估、响应、监控B)框架、评估、补救、监控C)调查、评估、补救、监控D)调查、评估、响应、监控答案:B解析:[单选题]39.业务连续性计划执行阶段需要包括几团队,哪个团队是负责启动主场所的恢复A)Damageassessmentteam损失评估团队B)BCPteamBCP团队C)Salvageteam救援团队D)Restorationteam恢复团队答案:C解析:略章节：模拟考试202201[单选题]40.(04137)组织的安全策略允许ping数据流经网络。攻击者在网络上利用ping数据包的载荷在网络间传输数据。这种攻击方法被称为：A)旁路攻击B)旁路攻击C)旁路攻击D)旁路攻击答案:D解析:[单选题]41.什么原则要求一个人应该尽力准确和及时地履行他的职责?A)最低特权B)职责分离C)应尽关注D)应尽责任答案:D解析:?应尽关注?原则规定,一个谨慎明智的人在处理问题时的谨慎程度应该和该问题的重要级别成正比,这其实是一个非常宽泛的标准。?应尽责任?原则是?应尽关注?原则的一种更具体的体现,它规定一个人一旦被分配了任务,应该准确和及时地完成任务。TheduecareprinciplestatesthatanindividualshouldReactinasituationusingthesamelevelofcarethatwouldbeexpectedfromanyreasonableperson.Itisaverybroadstandard.Theduediligenceprincipleisamorespecificcomponentofduecarethatstatesanindividualassignedaresponsibilityshouldexerciseduecaretocompleteitaccuratelyandinatimelymanner.[单选题]42.在购买商用现货(COTS)软件时,应首先执行以下哪些步骤?A)建立系统和服务获取的政策和程序B)加固宿主服务器,并执行宿主和应用程序漏洞扫描C)制定风险管理策略D)作为授权过程的一部分进行安全评估答案:A解析:[单选题]43.攻击者可以绕过将会话状态存储在Cookie中的Web应用程序的哪个组件?A)初始化检查B)身份检查C)身份验证检查D)授权检查答案:C解析:[单选题]44.攻击者在冒充信息安全官(ISO)时,从公司员工那里获得有关其用户ID和密码的信息。攻击者使用了哪种方法收集信息?A)受信任的路径B)恶意逻辑C)社交引擎D)被动误用答案:C解析:[单选题]45.Whenadoptingsoftwareasaservice（Saas）,whichsecurityresponsibilitywillremainwithremainwiththeadoptingorganization?采用软件即服务（Saas）时，采用组织将承担哪些安全责任？A)Physicalsecurity物理安全B)Dataclassification数据分类C)Networkcontrol网络控制D)Applicationlayercontrol应用层控制答案:B解析:[单选题]46.应用开发中软件保证的目标是A)支持高可用性(HA)系统的开发。B)促进创建可信计算基础(TCB)系统。C)防止创建易受攻击的应用程序。D)鼓励开发开源应用。答案:C解析:[单选题]47.Inamulti-tenantcloudenvironment,whatapproachwillsecurelogicalaccesstoassets?在多租户云环境中，什么方法可以保护对资产的逻辑访问？A)Hybridcloud混合云B)Transparency/Auditabilityofadministrativeaccess管理访问的透明度/可审核性C)Controlledconfigurationmanagement（CM）受控配置管理（CM）D)Virtualprivatecloud（VPC）虚拟私有云（VPC）答案:D解析:[单选题]48.向潜在客户展示公司安全级别的最佳方法是A)外部审计师的报告。B)响应客户的安全问卷。C)内部审计师的报告。D)客户安全团队的网站访问。答案:A解析:[单选题]49.维护活动负责定义、实施和测试更新应用系统?A)程序更改控制B)回归测试C)出口例外控制D)用户接受测试答案:A解析:[单选题]50.关于链路加密下列哪一项是正确的？A)每个实体有和目的地节点享有一个共同的密钥B)如果沿传输路径的任意节点被攻破则这种模式将不提供保护C)只有安全节点用于这种类型的传输。D)已加密的消息只在最后一个节点进行解密答案:B解析:<p>Inlinkencryption,eachentityhaskeysincommonwithitstwoneighboringnodesinthetransmissionchain.Thus,anodereceivestheencryptedmessagefromitspredecessor,decryptsit,andthenre-encryptsitwithanewkey,commontothesuccessornode.Obviously,thismodedoesnotprovideprotectionifanyoneofthenodesalongthetransmissionpathiscompromised.</p>[单选题]51.该组织希望为员工流失率高的信息技术(IT)基础设施项目部署授权机制。首选哪种访问控制机制?A)基于属性的访问控制(ABAC)B)自由裁量权Accs控制(DAC)C)强制性访问控制(MAC)D)基于角色的访问控制(RBAC)答案:D解析:[单选题]52.ADistributedDenialofService（DDoS）attackwascarriedoutusingmalwarecalledMiraitocreatealarge-scalecommandandcontrolsystemtolaunchabotnet.WhichofthefollowingdeviceswerethePRIMARYsourcesusedtogeneratetheattacktraffic?使用名为Mirai的恶意软件实施分布式拒绝服务（DDoS）攻击，以创建一个大型指挥和控制系统来启动僵尸网络。以下哪些设备是用于生成攻击流量的主要来源？A)InternetofThings（IoT）devices物联网（IoT）设备B)MicrosoftWindowshostsMicrosoftWindows主机C)Webserversrunningopensourceoperatingsystems（OS）运行开源操作系统（OS）的Web服务器D)MobiledevicesrunningAndroid运行Android的移动设备答案:A解析:[单选题]53.Jim正在为他的组织实施IDaaS解决方案。他使用了什么类型的技术?A)身份即服务B)员工ID作为服务C)基于云的RADIUSD)OAuth答案:A解析:身份即服务(IDaaS)使用身份管理平台来提供第三方服务。使用IDaas包含以下这些优点:集成云服务、减少传统的内部身份系统的维护开销。然而,风险同样存在,因为用户身份管理由第三方控制,本地身份验证依赖于异地的基础设施,这些都可能引发安全问题。IdentityasaService(IDaaS)providesanidentityplatformasathird-partyservice.Thiscanprovidebenefits,inddudingintegrationwithddoudservicesandremovingoverheadformaintenanceoftraditionalon-premiseidentitysystems,butcanalsocreateriskduetothird-partycontrolofidentityservicesandrelianceonanoffsiteidentityinfrastructure.[单选题]54.以下哪一项在检测传输控制协议/互联网协议(TCP/IP)流量中隐藏的信息方面上最有效果?WhichofthefollowingisMOSTeffectiveindetectinginformationhidinginTransmissionControlProtocol/InternetProtocol(TCP/IP)traffic?A)应用级防火墙Application-levelfirewallB)状态检测防火墙StatefulinspectionfirewallC)包过滤防火墙Packet-filterfirewallD)内容过滤网络代理Content-filteringwebproxy答案:B解析:Statefulfirewallworksonlyatlayer3and4andinspectonlyheaders.Inthequestionthekeywordis"traffic".Tobeabletodetectinfo.hiddeninpayloadmaybeanapplicationlayerfirewallisneeded.[单选题]55.Whichareaofembeddeddevicesaremostcommonlyattacked?嵌入式设备的哪个区域最常受到攻击？A)Application应用B)Firmware固件C)Protocol协议D)PhysicalInterface物理接口答案:A解析:[单选题]56.Alex已经在大学工作10年以上。在那段时间,他一直是一个系统管理员和数据库管理员,在大学的服务台工作。他现在是运行大学Web应用程序的团队经理。使用此处显示的配置图,回答以下问题。如果Alex雇用一名新员工,并且HR根据Alex提供的一系列表单手动将信息输入配置系统,成功配置了该员工的账户,这里发生了哪种类型的配置?A)自主账户配置B)基于工作流的账户配置C)自动账户配置D)自助账户配置答案:B解析:通过已建立的工作流(例如通过人力资源流程)进行的配置是基于工作流的账户配置。如果Alex在他管理的系统上为新员工设置了账户,他将使用自由账户配置。如果供应系统允许新员工自己注册一个账户,他们将使用自助账户配置。如果有一个中央软件来控制配置过程,而不是人力资源的那种形式,就属于自动账户配置。Provisioningthatoccursthroughanestablishedworkflow,suchasthroughanHRprocess,isworkflow-basedaccountprovisioning.IfAlexhadsetupaccountsforhisnewhireonthesystemshemanages,hewouldhavebeenusingdiscretionaryaccountprovisioning.[单选题]57.结构化查询语言(SQL)使用使用自由裁量访问控制(DAC)A)插入并删除。B)授予和撤销。C)公共和私人。D)回滚和终止。答案:B解析:[单选题]58.(04051)Whichofthefollowingaccesscontroltypesgives"UPDATE"privilegesonStructuredQueryLanguage(SQL)databaseobjectstospecificusersorgroups?下面哪个访问控制类型给予特定用户或用户组?UPDATE?权限修改SQL数据库客体？A)Supplemental补充B)Supplemental补充C)Supplemental补充D)Supplemental补充答案:B解析:[单选题]59.第2层隧道协议(L2TP)的主要用途是隧道数据A)通过Session层的防火墙ThroughafirewallattheSessionlayerB)通过传输层的防火墙ThroughafirewallattheTransportlayerC)在点对点协议(PPP)中InthePoint-to-PointProtocol(PPP)D)在有效载荷压缩协议(PCP)中InthePayloadCompressionProtocol(PCP)答案:C解析:[单选题]60.以下哪一项是隐私的共同特征?A)通知主体存在包含相关信用卡数据的数据库B)隐私数据整合的数据库要求C)维护对私有数据访问的审计跟踪的规定D)主体在现场检查和更正个人数据的流程答案:B解析:[单选题]61.在可扩展访问控制标记语言仅ACML)结构中,主体元素是一一一'资源元素是一一一'行动元素是A)请求实体,被请求实体,访问类型B)被请求实体,请求实体,访问类型C)请求实体,被请求实体,访问控制D)被请求实体,请求实体,访问控制答案:A解析:XACML使用一个主体元素(请求实体)、一个资源元素(被请求实体)和一个行动元素(访问类型)XACML定义了一个在XML中实施的声明性访问控制策略语言。[单选题]62.计算机设施的最佳水基灭火系统类型是什么?A)湿管系统B)干管系统C)预作用系统D)雨淋系统答案:C解析:[单选题]63.下列哪个不是一个有效的理由，在使用外部渗透服务公司，而不是公司资源？A)他们确保更完整的报告B)他们使用了更高端的黑客人员C)他们提供无企业偏见D)他们更划算答案:C解析:<p>Twopointsareimportanttoconsiderwhenitcomestoethicalhacking:integrityandindependence.</p><p> </p>[单选题]64.ItisMOSTimportanttoperformwhichofthefollowingtominimizepotentialimpactwhenimplementinganewvulnerabilityscanningtoolinaproductionenvironment?在生产环境中实施新的漏洞扫描工具时，最重要的是执行以下哪一项以最大限度地减少潜在影响？A)Negotiateschedulewiththeinformationtechnology（IT）operation?steam.与信息技术（IT）运营团队协商时间表。B)Logvulnerabilitysummaryreportstoasecuredserver.将漏洞摘要报告记录到安全服务器。C)Enablescanningduringoffpeakhours.在非高峰时间启用扫描。D)Establishaccessforinformationtechnology（IT）management.建立信息技术（IT）管理的访问权限。答案:C解析:[单选题]65.CA证书管理的第二个阶段是？A)创建B)分发C)使用D)注销答案:B解析:略章节：模拟考试202201[单选题]66.评估安全产品和系统的最佳国际认可标准是什么?A)支付卡行业数据安全标准(PCI-DSS)B)通用标准(CC)C)健康保险可移植性和问责性法案(HIPAA)D)萨班斯-奥克斯利(SOX)答案:B解析:[单选题]67.下列哪一个不是保护数据存储介质可用性的控制措施？A)清除B)储存C)处理D)标签答案:A解析:<p>Clearingreferstotheoverwritingofdatamediaintendedtobereusedinthesameorganization.</p><p> </p>[单选题]68.以下哪一项在第2层隧道协议(L2TP)互联网协议安全(IPSec)连接中增加了端到端安全性?A)临时关键完整性协议(TKIP)B)安全哈希算法(SHA)C)安全外壳(SSH)D)运输层安全(TLS)答案:B解析:[单选题]69.以下哪项信托服务原则是指向第三方提供商的客户提供的系统、产品或服务所使用的信息的可访问性?A)访问B)隐私C)安全D)可利用性答案:A解析:[单选题]70.什么攻击涉及到犯罪者用同步SNY旗标集发送伪造包到受害者的机器的正在监听的任何打开的端口上？A)BonkattackB)LandattackC)TeardropattackD)Smurfattack答案:B解析:<p>LAND攻击（局域网拒绝服务攻击，英语：LocalAreaNetworkDenialattack，缩写：LANDattack），是拒绝服务攻击（DoS攻击）的一种，通过发送精心构造的、具有相同源地址和目标地址的欺骗数据包，致使缺乏相应防护机制的目标设备瘫痪。这种攻击方法最早在1997年被某人以“m3lt”的名称提出，并于多年之后的WindowsServer2003、WindowsXPSP2等操作系统中重现。这种攻击方式采用了特别构造的TCPSYN数据包（通常用于开启一个新的连接），使目标机器开启一个源地址与目标地址均为自身IP地址的空连接，持续地自我应答，消耗系统资源直至崩溃。</p>[单选题]71.哪种攻击是公钥加密系统中最常用的攻击方式?A)选择明文攻击B)仅密文攻击C)选择密文攻击D)自适应选择明文攻击答案:A解析:Achosen-ciphertextattackisoneinwhichcryptannlystmaychooseapieceofciphertextandattempttoobtainthecorrespondingdecryptedplantext.Thistypeofattackisgenerallymostapplicabletopublic-keycryptosystems.[单选题]72.审计跟踪的目的是?Thepurposeofanaudittrailisto?SelectthebestanswerA)检测正常活动DetectnormalactivityB)测试系统安全TestsystemsecurityC)验证信任ValidatetrustD)重新创建事件Recreateevents答案:D解析:[单选题]73.移动设备取证难点？A)登录移动设备需要密码验证B)数据可能被加密C)可能安装了特殊软件D)数据可能被远程擦除答案:B解析:略章节：模拟考试202201[单选题]74.Kathleen工作的公司已将大多数员工转移到远程工作，并希望确保他们用于语音.视频和基于文本的协作的多媒体协作平台是安全的。以下哪些安全选项将提供最佳用户体验，同时为通信提供适当的安全性？A)Requiresoftware-basedVPNtothecorporatenetworkforalluseoftheCollaborationplatform.需要基于软件的VPN连接到企业网络，以便协作平台的所有使用。B)RequiretheuseofSIPSandSRTPforallcommunications.要求对所有通信使用SIPS和SRTP。C)UseTLSforalltrafficforthecollaborationplatform.对协作平台的所有流量使用TLS。D)DeploysecureVPNendpointstoeachremotelocationanduseapoint-to-pointVPNforcommunications.将安全VPN端点部署到每个远程位置，并使用点对点VPN进行通信。答案:C解析:略章节：模拟考试202201[单选题]75.在开发信息安全管理系统时,以下哪一项是初步考虑?A)确定适用于机关的合同担保义务B)了解信息资产的价值C)确定管理层可以承受的剩余风险水平D)确定相关的立法和监管合规要求答案:B解析:[单选题]76.安全意识计划的主要目的是A)确保每个人都了解组织的政策和程序。B)沟通,访问信息将被授予在需要知道的基础上。C)警告所有用户,访问所有系统将每天进行监控。D)遵守与数据和信息保护相关的法规。答案:A解析:[单选题]77.什么样的分布式计算环境组件提供一种机制来确保只有正确指定方才能使用服务？A)目录服务B)远程过程调用服务C)分布式文件服务D)身份验证和控制服务答案:A解析:<p>Adirectoryservicehasahierarchicaldatabaseofusers,computers,printers,resources,and<br/>Attributesofeach.Thedirectoryismainlyusedforlookupoperations,whichenableusersto<br/>Trackdownresourcesandotherusers...Theadministratorcanthendevelopaccesscontrol,<br/>Security,andauditingpoliciesthatdictatewhocanaccesstheseobjects,howtheobjects<br/>Canbeaccessed,andauditeachoftheseactions.<br/> </p>[单选题]78.基于角色的访问控制，以保护数据库中的数据机密性可以由以下哪项技术来加以实现？A)视图B)加密C)散列D)屏蔽答案:A解析:略章节：模拟考试202201[单选题]79.WhichaudittypeisMOSTappropriateforevaluatingtheeffectivenessofasecurityprogram?A)ThreatB)AssessmentC)AnalysisD)Validation答案:B解析:[单选题]80.配置管理控制是什么？A)对变更可信计算基的控制B)在访问可信计算基配置方面的控制C)审计和控制对可信计算基的任何变更D)审计对可信计算基的变更答案:C解析:[单选题]81.DigitalcertificatesusedtransportLayersecurity（TLS）supportwhichofthefollowing?使用传输层安全（TLS）的数字证书支持以下哪项？A)Serveridentifyanddataconfidentially服务器标识和数据保密B)Informationinputvalidation信息输入验证C)Multi-FactorAuthentication（MFA）多因素身份验证（MFA）D)Non-reputationcontrolsanddataencryption非信誉控制和数据加密答案:A解析:[单选题]82.RAID磁盘阵列级别1将数据从一个磁盘镜像到磁盘组，使用了以下哪一技术？A)将数据复制到另一个磁盘或另一组磁盘B)将数据移动到另一个磁盘或一组磁盘C)建立双重连接到另一个磁盘或一组磁盘D)建立双寻址到另一个磁盘或一组磁盘答案:A解析:[单选题]83.下一项哪一个认证规则确保Clark-Wilson？A)访问记录B)职能划分C)受数据限制保持一致。D)转换步骤（程序）仅在非限制数据上发生答案:D解析:[单选题]84.Anne想要收集有关安全设置的信息,并通过收集有关分布在整个公司的一组Windows10工作站的数据来构建其组织资产的整体视图。哪种Windows工具最适合此类配置管理任务?A)SCCMB)组策略C)SCOMD)自定义PowerShell脚本答案:A解析:SystemCenterConfigurationManager(SCCM)提供此功能,旨在允许管理员评估Windows工作站的配置状态和服务器,以及提供资产管理数据。SCOM主要用于监视运行状况和性能,组策略可用于各种任务,包括部署设置和软件,自定义PowerShell脚本可以执行此操作,但不应要求进行配置检查。[单选题]85.Nadia的公司正在运营一个混合云环境,其中包含一些现场系统和一些基于云的系统。她拥有有令人满意的现场监控,但需要对其用户参与的活动应用安全策略,并与她一起报告异常情况越来越多的云服务。什么类型的工具最适合此目的?A)下一代防火墙B)ACASBC)AnIDSD)ASOAR答案:B解析:[单选题]86.Whatprinciplerequiresthatchangestotheplaintextaffectmanypartsoftheciphertext?A)EncapsulationB)PermutationC)DiffusionD)Obfuscation答案:C解析:扩散[单选题]87.认知密码预设问题有什么缺陷?A)它不允许使用令牌B)问题的答案可能很容易在互联网上找到C)认知密码要求用户思考回答问题,并不是所有用户都能解决提出的问题D)认知密码不支持长密码答案:B解析:认知密码基于一系列事实或他们知道的问题的答案来验证用户身份。针对认知密码的预设问题通常依赖于一些常见信息,例如他们的母亲的娘家姓或他们的宠物的名字,并且该信息常可在因特网上找到。最好的认知密码系统应该让用户自己提出问题。Acognitivepasswordauthenticatesusersbasedonaseriesoffactsoranswerstoquestionsthattheyknow.Presetquestionsforcognitivepasswordstypicallyrelyoncommoninformationaboutauserliketheirmother'smaidenname,orthenameoftheirpet,andthatinformationcanfrequentlybefoundontheInternet.[单选题]88.Valerie需要控制对部署在BYOD环境中的移动设备上的应用程序的访问。哪种类型的解决方案最能让她控制应用程序,同时确保它们不会在最终用户使用的设备上留下残余数据?ValerieneedstocontrolaccesstoapplicationsthataredeployedtomobiledevicesinaBYODenvironment.Whattypeofsolutionwillbestallowhertoexercisecontrolovertheapplicationswhileensuringthattheydonotleaveremnantdataonthedevicesusedbyherendusers?A)将应用程序部署到BYOD设备,并要求每个设备上都有唯一的PINDeploytheapplicationstotheBYODdevicesandrequireuniquePINsoneverydevice.B)将应用程序部署到桌面系统,并要求用户使用远程桌面通过企业身份验证进行访问Deploytheapplicationtodesktopsystemsandrequireuserstouseremotedesktoptoaccessthemusingenterpriseauthentication.C)使用应用程序容器将应用程序部署到BYOD设备,并要求每个设备上都有唯一的PINDeploytheapplicationstotheBYODdevicesusingapplicationcontainersandrequireuniquePINsoneverydevice.D)使用需要用企业凭据进行身份验证的虚拟托管应用程序环境Useavirtualhostedapplicationenvironmentthatrequiresauthenticationusingenterprisecredentials.答案:D解析:当需要非常高级别的控制或端点设备不可信时,使用具有远程连接和企业身份验证的集中式环境可以提供适当的安全性。[单选题]89.InaHighAvailability（HA）environment,whatisthePRIMARYgoalofworkingwithavirtualrouteraddressasthegatewaytoanetwork?在高可用性（HA）环境中，将虚拟路由器地址用作网络网关的主要目标是什么？A)Thesecondoftworouterscanperiodicallycheckintomakesurethatthefirstrouterisoperational.两个路由器中的第二个可以定期检入，以确保第一个路由器可以运行。B)ThesecondoftworouterscanbetterabsorbaDenialofService（DoS）attackknowingthefirstrouterispresent.在知道第一个路由器存在的情况下，两个路由器中的第二个可以更好地吸收拒绝服务（DoS）攻击。C)Thefirstoftworoutersfailsandisreinstalled,whilethesecondhandlesthetrafficflawlessly.两台路由器中的第一台出现故障并重新安装，而第二台则能完美地处理流量。D)Thefirstoftworouterscanbetterhandlespecifictraffic,whilethesecondhandlestherestofthetrafficseamlessly.两个路由器中的第一个可以更好地处理特定流量，而第二个可以无缝地处理其余流量。答案:C解析:[单选题]90.对于隐私保护数据,以下哪些角色具有为数据制定传播规则的最高权力?A)信息系统安全干事B)数据所有者C)系统安全架构D)安全要求分析师答案:B解析:[单选题]91.(04111)WhatistheMOSTeffectivemethodtoenhancesecurityofaSingleSign-On(SSO)solutionthatinterfaceswithcriticalsystems?下面哪个是最有效的方法，来增强关键系统的单点登录解决方案的安全性？A)Highperformanceencryptionalgorithms高性能加密算法B)Highperformanceencryptionalgorithms高性能加密算法C)Highperformanceencryptionalgorithms高性能加密算法D)Highperformanceencryptionalgorithms高性能加密算法答案:D解析:[单选题]92.Bob正在其网络上配置出口过滤,检查流向互联网的流量,他的组织使用公共地址范围/24.若现有一些数据包包含下列IP地址,那么Bob应该允许哪个数据包离开网络?A)5B)C)5D)24答案:D解析:24是有效的公共IP地址,满足题目的要求。5是Bob的网络上的公共地址,不能作为离开网络的数据包的目的地址。和5都是专用IP地址,不能路由到互联网。24isavalidpublicIPaddressandalegitimatedestinationfortrafficleavingBob'snetwork.5isapublicaddressonBob'snetworkandshouldnotbeadestinationaddressonapacketleavingthenetwork.and5arebothprivateIPaddressesthatshouldnotberoutedtotheInternet.[单选题]93.(04054)Whichofthefol