CISSP考试练习(习题卷10)

试卷科目：CISSP考试练习CISSP考试练习(习题卷10)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISSP考试练习第1部分：单项选择题，共260题，每题只有一个正确答案,多选或少选均不得分。[单选题]1.以下哪些操作可以在前往高风险区域之前降低笔记本电脑的风险?A)一个。检查设备是否存在物理篡改B)实施更严格的基准配置C)清除硬盘驱动器或重新映像硬盘驱动器D)更改访问代码[单选题]2.下列哪一项服务是由安全远程呼叫(RPC)提供？A)可用性B)认证C)完整性D)问责性[单选题]3.关于被使用数据的保护，数据的重要性和敏感度，在基于计算机的应用系统中，谁最能决定恰当的技术安全控制内容？A)数据或信息的用户B)数据或信息所有者C)系统管理者D)系统审计师[单选题]4.谁对信息系统(IS)中的信息负责?A)安全经理B)系统所有者C)数据所有者D)数据处理器[单选题]5.Aretailcompanyislookingtostartadevelopmentprojectthatwillutilizeopensourcecomponentsinitscodeforthefirsttime.Thedevelopmentteamhasalreadyacquiredseveral'opensourcecomponentsandutilizedtheminproofofconcept（POC）code.Theteamrecognizesthatthelegalandoperationalrisksareoutweighedbythebenefitsofopen-sourcesoftwareuse.WhatMUSTtheorganizationdonext?一家零售公司正在寻求启动一个开发项目，该项目将首次在其代码中使用开源组件。开发团队已经获得了几个开源组件，并将它们用于概念验证（POC）代码中。该团队认识到，使用开源软件的好处超过了法律和运营风险。组织接下来必须做什么？A)Mandatethatallopen-sourcecomponentsbeapprovedbytheInformationSecurityManager（ISM）.要求所有开放源码组件都要经过信息安全经理（ISM）的批准。B)Scanallopen-sourcecomponentsforsecurityvulnerabilities.扫描所有开源组件的安全漏洞。C)Establishanopen-sourcecompliancepolicy.制定开源合规政策。D)Requirecommercialsupportforallopen-sourcecomponents.需要所有开源组件的商业支持。[单选题]6.遇到负面财务影响的组织被迫减少预算和执行基本逻辑访问安全管理功能的信息技术(IT)操作人员的数量。安全流程已紧密集成到正常的IT运营中,而不是独立和不同的角色,以下哪项最有可能使组织将风险保持在可接受的水平?A)一个,增加第三方执行的审计量B)从操作人员中删除特权账户C)将特权职能分配给适当的工作人员D)将安全功能分为不同的角色[单选题]7.请参阅以下信息以回答问题。大型组织使用唯一标识符,并在每个系统会话的开始时要求它们。应用程序访问基于工作分类。本组织定期对访问控制和违规行为进行独立审查。器官化使用有线和无线网络以及远程访问。该组织还使用与分支机构的安全连接,并为选定的信息和流程制定安全备份和恢复策略。除标识符外,访问控制必须包含哪些内容?A)访问时间B)安全分类C)拒绝访问尝试D)相关间隙[单选题]8.下列哪个部门的经理最适合去监督信息安全策略的发展？A)信息系统B)人力资源C)企业运营D)安全管理[单选题]9.标识图片或验证其真实性的隐写术的商业应用是？A)无限访问控制B)数字校验C)MD5散列D)水印[单选题]10.临时关键诚信协议(TKIP)支持以下哪一项?A)多广播和广播消息B)IEEE802.11协议的协调C)有线等效隐私(WEP)系统D)多个设备的同步[单选题]11.关于连续性业务计划/灾难恢复计划，以下哪一项规则是不正确的？A)为了方便起见，所有节目应有的位置B)应有这些要求成立委员会来决定行动方针。决定提前做好，并列入计划。C)在其程序和任务中，应指功能，而不是具体的个人。D)应当提前关键供应商以提供设备可以及时联系获得。[单选题]12.更新在多个或远程整个数据库，作为一种方法来确保适当的记录和放置位置，被称为：A)数据镜像B)影像复制C)备份D)文件[单选题]13.存储卡和智能卡的区别是什么？A)通常存储卡比智能卡有更多的内存B)智能卡提供双因素身份验证而存储卡不提供C)存储卡没有处理能力D)只有智能卡才能用于ATM卡[单选题]14.位置、时间和之前的访问历史等因素的函数的访问控制是：A)信息流B)依赖于上下文的C)积极的D)依赖于内容的[单选题]15.Howisitpossibletoextractprivatekeyssecurelystoredonacryptographicsmartcard?如何提取安全存储在加密智能卡上的私钥？A)BluebuggingB)Focusedion-beam聚焦离子束C)Bluejacking蓝牙劫持D)Poweranalysis功效分析[单选题]16.以下哪一个是确定特定系统是否能够识别恶意软件而不执行其的最佳方式?A)使用僵尸网络进行测试B)使用EICAR文件进行测试C)执行二进制外壳代码D)运行多个防病毒程序[单选题]17.在设计脆弱性测试时,以下哪-项可能是当前在网络上运行的组件的最佳指示?A)拓扑图B)绘图工具C)资产登记D)Ping测试[单选题]18.在构建数据中心时,增加物理威胁脆弱程度的站点位置和施工因素包括A)考虑到地震因素,加强建筑施工。B)距离和缺乏进入相邻建筑物的距离。C)接近数据中心的弯曲道路。D)靠近城市的高犯罪率地区。[单选题]19.可信平台模块(TPM)的哪些功能会创建系统配置的哈希摘要以验证未进行更改?A)远程认证B)绑定C)密封D)随机数[单选题]20.Thekeybenefitsofasignedandencryptede-mailinclude签名和加密电子邮件的主要好处包括A)confidentiality,authentication,andauthorization.机密性、身份验证和授权。B)confidentiality,non-repudiation,andauthentication.保密性、不可否认性和身份验证。C)non-repudiation,authorization,andauthentication.不可否认性、授权和身份验证。D)non-repudiation,confidentiality,andauthorization.不可抵赖性、保密性和授权。[单选题]21.加密适用于以下所有OSI/ISO层，除了：A)网络层B)物理层C)会话层D)数据链路层[单选题]22.Whichprogrammingmethodologyallowsaprogrammertousepre-determinedblocksofcodeendconsequentlyreducingdevelopmenttimeandprogrammingcosts?哪种编程方法允许程序员使用预先确定的代码块结束，从而减少开发时间和编程成本？A)Applicationsecurity应用安全B)Objectoriented物件導向C)Blockedalgorithm块算法D)Assemblylanguage汇编语言[单选题]23.Insoftwaredevelopment,developersshouldusewhichtypeofqueriestopreventaStructuredQueryLanguage（SQL）injection?在软件开发中，开发人员应该使用哪种类型的查询来防止结构化查询语言（SQL）注入？A)Parameterised参数B)Dynamic动态C)Static静态D)Controlled控制[单选题]24.Kim正在对作为组织网络和主机防火墙和入侵防御系统的补充的应用程序防火墙进行故障排除,提供针对基于Web的攻击的额外保护。该组织遇到的问题是防火墙遭遇技术问题频繁重启,每次重启将不可用10分钟。在此期间,Kim可能会考虑采用什么基于最低成本的配置来保持可用性?A)高可用集群B)故障转移设备C)故障开放FailOpenD)冗余磁盘[单选题]25.Acompanyisplanningtoimplementaprivatecloudinfrastructure.Whichofthefollowingrecommendationswillsupportthemovetoacloudinfrastructure?一家公司计划实施私有云基础设施。以下哪项建议将支持迁移到云基础设施？A)Implementavirtuallocalareanetwork（VLAN）foreachdepartmentandcreateaseparatesubnetforeachVLAN.为每个部门实施虚拟局域网（VLAN），并为每个VLAN创建单独的子网。B)Implementsoftware-definednetworking（SDN）toprovidetheabilityforthenetworkinfrastructuretobeintegratedwiththecontrolanddataplanes.实施软件定义网络（SDN），以提供网络基础设施与控制和数据平面集成的能力。C)Implementavirtuallocalareanetwork（VLAN）tologicallyseparatethelocalareanetwork（LAN）fromthephysicalswitches.实现虚拟局域网（VLAN），以从逻辑上将局域网（LAN）与物理交换机分离。D)implementsoftware-definednetworking（SDN）toprovidetheabilitytoapplyhigh-levelpoliciestoshapeandreordernetworktrafficbasedonusers,devicesandapplications.实施软件定义网络（SDN），以提供应用高级策略的能力，从而根据用户、设备和应用程序调整和重新排序网络流量。[单选题]26.以下哪项必须成为支持电子发现存储在云环境中的数据的合同的一部分？A)与组织目录服务集成以进行身份验证B)数据的标记C)混合部署模式D)识别数据位置[单选题]27.什么决定了组合锁的安全级别?A)与内部机构相关的桶数B)金属锁材料的硬度得分C)强制组合所需的时间D)打开锁所需的复杂组合[单选题]28.确保残留数据无法被恢复的最有效介质处置方式是什么?Whatisthemosteffectiveformofmediasanitizationtoensureresidualdatacannotberetrieved?A)清扫ClearingB)破坏DestroyingC)清除PurgingD)处置Disposal[单选题]29.马特在一家电信公司工作,一名联邦特工联系了马特,寻求协助根据搜查令窃听马特的一个客户。以下哪一项法律要求通信服务提供商配合执法请求?A)ECPAB)CALEAC)PrivacyActD)HITECHAct[单选题]30.网络扫描发现50%的系统存在一个或多个关键漏洞。以下哪一项代表最佳操作?A)评估漏洞风险和程序有效性。B)评估脆弱性风险和业务风险。C)断开所有具有严重漏洞的系统。D)断开漏洞最多的系统。[单选题]31.CA证书管理的第二个阶段是？A)创建B)分发C)使用D)注销[单选题]32.以下哪一个是阻碍成功数据分类计划的关键因素?A)行政赞助B)信息安全赞助C)最终用户接受度D)内部审计验收[单选题]33.AprojectmanagerforalargesoftwarefirmhasacquiredagovernmentcontractthatgenerateslargeamountsofControlledUnclassifiedInformation（CUI）.Theorganization'sinformationsecuritymanagerhasreceivedarequesttotransferproject-relatedCUIbetweensystemsofdifferingsecurityclassifications.Whatroleprovidestheauthoritativeguidanceforthistransfer?一家大型软件公司的项目经理获得了一份政府合同，该合同可生成大量受控非保密信息（CUI）。该组织的信息安全经理收到了在不同安全分类的系统之间传输项目相关CUI的请求。什么角色为此次转移提供了权威指导？A)Informationowner信息拥有者B)PM项目经理C)DataCustodian数据管理人D)Mission/BusinessOwner任务/业务负责人[单选题]34.设备生命周期的四个阶段是什么？A)需求，获取和实施，通知和实施。B)收据、定义和实施、运营和要求、通知和结果C)定义需求、购置和运行、通知和维护D)定义需求，获取和实施，运营和发布，维护和安排[单选题]35.Insystemssecurityengineering,whatdoesthesecurityprincipleofmodularityprovide?在系统安全工程中，模块化的安全原则提供了什么？A)Documentationoffunctions职能文件B)Isolatedfunctionsanddata隔离的功能和数据C)Securedistributionofprogramsanddata程序和数据的安全分发D)Minimalaccesstoperformafunction执行功能的最小访问权限[单选题]36.哪种法律系统的特征依赖先前对法律的解释?A)侵权行为B)习惯法C)普通法D)民法(法典)[单选题]37.WhichRedundantArrayc/IndependentDisks（RAID）Leveldoesthefollowingdiagramrepresent?下图表示哪个冗余阵列c/独立磁盘（RAID）级别？A)RAID0B)RAID1C)RAID5D)RAID10[单选题]38.Vulnerabilityscannersmayallowfortheadministratortoassignwhichofthefollowinginordertoassistinprioritizingremediationactivities?漏洞扫描程序允许管理员分配以下哪项，以帮助确定补救活动的优先级？A)Definitionsforeachexposuretype每种暴露类型的定义B)Vulnerabilityattackvectors漏洞攻击向量C)Assetvaluesfornetworks网络的资产价值D)Exploitcodemetrics利用代码度量[单选题]39.敏捷开发关注什么？A)基于流程而不是个体互动B)遵循计划而不是相互合作C)详细文档而不是工作软件D)交付软件而不是及时变更[单选题]40.Avehicleofaprivatecouriercompanythattransportsbackupdataforoffsitestoragewasrobbedwhileintransportbackupdataforoffsitewasrobbedwhileintransit.Theincidentmanagementteamisnowresponsibletoestimatetherobbery,whichofthefollowingwouldhelptheincidentmanagementteamtoMOSTeffectivelyanalyzethebusinessimpactoftherobbery?一家私人快递公司的一辆运输异地存储备份数据的车辆在运输途中被抢劫，而异地备份数据在运输途中被抢劫。事件管理团队现在负责评估抢劫案，以下哪项有助于事件管理团队最有效地分析抢劫案的业务影响？A)Logofbackupadministrativeactions备份管理操作日志B)Logofthetransportedmediaanditsclassificationmarking运输介质日志及其分类标记C)LogofthetransportedmediaandItsdetailedcontents传输介质日志及其详细内容D)Logofbackedupdataandtheirrespectivedatacustodians备份数据及其各自数据保管人的日志[单选题]41.签名和加密电子邮件的主要好处包括A)保密性、身份验证和授权。B)保密、不拒绝和身份验证。C)非拒绝、授权和身份验证。D)不否认、保密和授权。[单选题]42.为什么灾难恢复(DR)中的规划是一个交互式过程?A)它详细说明了场外存储计划B)它识别了计划中的遗漏C)它定义了计划的目标D)它构成了认识过程的一部分[单选题]43.哪些安全模式在商业环境中最常用,因为它保护了财务和会计数据的完整性?A)比巴B)格雷厄姆-丹宁C)克拉克-威尔森D)贝勒-拉帕杜拉[单选题]44.Multi-threadedapplicationsaremoreatriskthansingle-threadedapplicationsto多线程应用程序比单线程应用程序更容易A)raceconditions.比赛条件。B)virusinfection.病毒感染。C)packetsniffing.数据包嗅探。D)databaseinjection.数据库注入。[单选题]45.哪个是纠正控制的安全措施？A)保安抓走小偷B)灯光吓走小偷C)警声吓走小偷D)CCTV回放[单选题]46.AcompanywhoseInformationTechnology（IT）servicesarebeingdeliveredfromaTier4.datacenter,ispreparingacompanywideBusinessContinuityPlanning（BCP）.WhichofthefollowingfailuresshouldtheITmanagerbeconcernedwith?其信息技术（IT）服务由第4层提供的公司。数据中心正在编制公司范围的业务连续性规划（BCP）。IT经理应该关注以下哪些故障？A)Application应用B)Storage存储C)Power电源D)Network网络[单选题]47.点对点协议(PP)使用以下哪一种来确定分组格式?A)第2层隧道协议(L2TP)B)链接控制协议(LCP)C)挑战握手身份验证协议(CHAP)D)数据包传输协议(PTP)[单选题]48.STRIDE常用于评估对应用和芋或操作系统的威胁。下列哪一项不是S四IDE的元素?A)欺骗B)特权提升C)否认D)泄露[单选题]49.Kayla最近完成了对其团队开发的软件的彻底风险分析和缓解审查,并确定了三个持续存在的问题:跨站脚本、SQL注入、缓冲区溢出;这些问题在她的团队工作中发现的最重要的缺陷是什么?A)缺乏API安全性B)错误处理不当C)不正确或缺失的输入验证D)源代码设计问题[单选题]50.以下哪项通信元素不能保证完整性A)密码B)网络认证服务C)数据加密服务D)网络安全协议[单选题]51.以下哪项通过破坏化学反应抑制氧化，从而达到灭火的效果？A)酸碱B)卤化物C)水D)二氧化碳[单选题]52.Kim是飞机系统公司(ASI)的数据库安全管理员。ASI是从事飞机航空电子系统设计和分析的军事承包商,代表政府和其他政府承包商定期处理分类信息。Kim关注确保ASI数据库中存储的信息的安全性。Kim的数据库是一个多级安全数据库,不同的ASI员工有不同的安全许可。数据库包含关于使用ASI系统的军用飞机的位置的信息,以允许ASI工作人员监控这些系统。Kim得知,军方正在计划一个涉及ASI飞机的分类任务。如果飞机飞往该区域,那么其他员工可能通过天上的飞机猜测该次行动。Kim关心什么类型的攻击?A)聚合B)SQL注入C)推论D)多层安全[单选题]53.(04001)AnorganizationhascomprehensivepoliciesandproceduresregardingdataclassificationandhandlingHowever,theorganizationhassufferedfromanumberofcustomerlawsuitsduetoimproperdisclosureofcustomerprivatedatatothirdpartiesThisdisclosurewasnotmaliciousWhichofthefollowingwouldbetheMOSTlikelyreasonforthedisclosureissue?一个组织制定了关于数据分类和数据处理相关的全面的政策和程序。但是，该组织还是因不当披露客户的隐私数据给第三方，遭到了许多客户的诉讼。这些泄露是没有恶意的。以下哪项是这些泄露问题最可能的原因？A)Lackofdatalabelingprocedures缺少数据标签的程序B)Lackofdatalabelingprocedures缺少数据标签的程序C)Lackofdatalabelingprocedures缺少数据标签的程序D)Lackofdatalabelingprocedures缺少数据标签的程序[单选题]54.在对系统管理进行审计时,审计人员发现系统管理员尚未接受过培训。需要采取哪些行动来确保系统的完整性?A)对新员工的雇用政策和核查方法的审查B)审查所有部门程序C)审查所有培训程序D)经验丰富的管理员对所有系统的审查[单选题]55.关于SSAE-16,以下哪些说法不正确?A)它规定了一个特定的控制集B)它是一个身份验证标准C)它用于外部审计D)它使用一个包括SOC1、SOC2和SOC3报告的框架[单选题]56.DuringaDisasterRecovery（DR）simulation,itisdiscoveredthatthesharedrecoverysitelacksadequatedatarestorationcapabilitiestosupporttheimplementationofmultipleplanssimultaneously.Whatwouldbeimpactedbythisfactifleftunchanged?在灾难恢复（DR）模拟过程中，发现共享恢复站点缺乏足够的数据恢复能力，无法支持同时实施多个计划。如果保持不变，这一事实会对什么产生影响？A)RecoveryPointObjective（RPO）恢复点目标（RPO）B)RecoveryTimeObjective（RTO）恢复时间目标（RTO）C)BusinessImpactAnalysis（BIA）业务影响分析（BIA）D)ReturnonInvestment（ROI）投资回报率（ROI）[单选题]57.Duringaninvestigationofdatabasetheftfromanorganization'swebsite,itwasdeterminedthattheStructuredQueryLanguage（SQL）injectiontechniquewasuseddespiteinputvalidationwithclient-sidescripting.WhichofthefollowingprovidestheGREATESTprotectionagainstthesameattackoccurringagain?在调查某组织网站的数据库被盗事件期间，确定尽管使用客户端脚本进行了输入验证，但仍使用了结构化查询语言（SQL）注入技术。以下哪项对再次发生的相同攻击提供了最大的保护？A)Encryptcommunicationsbetweentheservers加密服务器之间的通信B)Encryptthewebservertraffic加密web服务器流量C)Implementserver-sidefiltering实现服务器端筛选D)Filteroutgoingtrafficattheperimeterfirewall在外围防火墙处过滤传出流量[单选题]58.(04148)测试定制的应用代码的最有效方法是？A)黑盒测试B)黑盒测试C)黑盒测试D)黑盒测试[单选题]59.(04065)Anorganizationisimplementingasmalldatacenterwith10serversand4StorageAreaNetworks(SAN)tohousetheircorporateaccountingsystemTheywanttobeabletotrackperformanceandanyconfigurationchangesmadetothesystemsinordertoadjustconfigurationstoobtainpeakperformance一个组织正在实施一个有10台服务器和4个存储区域网络（SAN）的小型数据中心，以安置他们的企业会计系统。他们希望能够跟踪性能和任何系统配置变更，来调整配置获得最佳的峰值性能。Whenistheperformancebaselineinformationgatheredagain?什么时候再次收集性能基线信息？A)Wheneverorganizationalpoliciesarechanged只要组织策略变更时B)Wheneverorganizationalpoliciesarechanged只要组织策略变更时C)Wheneverorganizationalpoliciesarechanged只要组织策略变更时D)Wheneverorganizationalpoliciesarechanged只要组织策略变更时[单选题]60.whatarethecharacteristicsoflinkencryptionincommunicationnetwork?通信网络中链路加密的特点是?A)Onlyuserinformationisencrypted.Packetheader,tail,address,androutinginformationarenotencrypted.仅加密用户信息,不加密数据包头部、尾部、地址和路由信息B)Packetsaredecryptedateveryhop,sotherearemorecellweaknesses.数据包在每一跳都进行解密,因此有更多胞弱点C)Encryptionoccursattheapplicationlayer.加密发生在应用层D)Keydistributionandmanagementarerelativelysimple.秘钥分发和管理相对简单[单选题]61.Alex已经在大学工作10年以上。在那段时间,他一直是一个系统管理员和数据库管理员,在大学的服务台工作。他现在是运行大学Web应用程序的团队经理。使用此处显示的配置图,回答以下问题。Alex可以访问B、C和D。他应该向大学的身份管理团队提出什么问题?A)配置系统没有给他所需的权利B)他有过多的特权C)特权蠕变可能正在发生D)日志未正确启用[单选题]62.当时间和磁带空间允许，用于系统归档或基线磁带集，主要运行的是什么方法？A)完全备份法B)增量备份法C)差异备份法D)磁带备份法[单选题]63.一个组织发现用户使用匿名代理访问未经授权的网站。以下哪一个是最好的A)从代理中删除匿名B)分析代理请求的互联网协议(IP)流量C)禁用防火墙上的代理服务器D)阻止已知匿名代理的互联网协议(IP)地址[单选题]64.以下哪一项最适用于会话发起协议(SIP)安全?WhichofthefollowingMOSTappliestosessioninitiationprotocal(SIP)security?A)它本身支持端到端的安全性。Itsupportsend-to-endsecuritynatively.B)它重用源自现有协议的安全机制。Itreusessecuritymechanismsderivedfromexistingprotocols.C)它需要公钥基础设施(PKI)。ItrequiresaPublicKeyInfrastructure(PKI)D)它利用传输层安全性(TLS)上的超文本传输协议(HTTP)。ItleveragesHypertextTransferProtocol(HTTP)overTransportLayerSecurity(TLS).[单选题]65.知识产权主要涉及以下哪一项?A)所有者实现经济收益的能力B)所有者维护版权的能力C)所有者享受其创作的权利D)所有者控制交付方法的权利[单选题]66.许多密码算法建立在大素数乘积难以被因式分解的基础上。就这道题具体而言，它们依靠的哪个特点？A)它包含扩散B)它包含混淆C)它是一个单向函数D)它符合科克霍夫原则[单选题]67.以下哪种方法是处理多个硬盘驱动器上数据的最有效方法?A)删除每个驱动器上的每一个文件。B)使用命令行销毁每个驱动器的分区表。C)德高斯每个驱动器单独。D)使用批准的格式化方法在每个驱动器上执行多个传递。[单选题]68.重复使用包含敏感数据的媒体时,以下哪一项是最合适的操作?A)擦除B)消毒C)加密D)德加乌斯[单选题]69.下列哪一项限制了个人执行特定过程的所有步骤的能力?A)工作轮换B)职责分离C)最少的特权D)强制性假期[单选题]70.WhichoneofthefollowingactivitieswouldpresentasignificantsecurityrisktoorganizationswhenemployingaVirtualPrivateNetwork（VPN）solution?在使用虚拟专用网络（VPN）解决方案时，下列哪项活动会给组织带来重大的安全风险？A)VPNbandwidthVPN带宽B)Simultaneousconnectiontoothernetworks同时连接到其他网络C)UserswithInternetProtocol（IP）addressingconflicts具有Internet协议（IP）寻址冲突的用户D)Remoteuserswithadministrativerights具有管理权限的远程用户[单选题]71.在设计已获得软件的程序和验收标准时,以下哪一项是重要标准?A)代码质量、安全性和原产地B)架构、硬件和固件C)数据质量、来源和扩展D)分布式、敏捷和本ch测试[单选题]72.以下哪一个是测试数据的适当来源?A)仅在生产环境中安全维护的生产数据。B)与生产数据A没有相似之处的测试数据。C)测试数据,这些数据与生产数据保持最新状态。D)在加载到测试环境中之前已消毒的生产数据。[单选题]73.在系统开发生命周期中，下列哪个阶段是突发性计划最重要的？A)初始B)操作或维护C)开发或购买D)实施[单选题]74.电子存储设备返还第三方修理时的有效做法是?A)对包含敏感信息的介质进行物理破坏才能交给第三方修理B)对包含敏感信息的介质进行泡后才偏交给第三方修理C)确保存储设备上没有任何表明公可名字或logo的标签D)和第三方签订安全处理介质的合同[单选题]75.组织和一个CSP（云服务提供商）有一个短暂的服务协议，服务到期后数据的所有者可能会发生变化，组织应该如何做？A)根据合同协议要求CSP保障数据擦除B)根据行业标准就该擦除的数据擦除C)对已经存在和正在进入的数据采用内部秘钥加密D)无需处理[单选题]76.以下哪项是管理层对保护安全资产和资源的承诺薄弱的最佳例子?A)一个。对安全流程和程序的治理不善B)不成熟的安全控制和程序C)与法规要求的差异D)意外增加的安全事件和威胁[单选题]77.为什么在低风险环境中使用包过滤路由器?A)它们是高分辨率的源鉴别和识别工具B)它们快速而灵活,可以防止互联网协议(IP)欺骗C)它们快速、灵活且透明D)他们强制执行强用户身份验证和审计日志生成[单选题]78.出于分类的目的，以下哪项用于划分信任域与信任边界？Forthepurposeofclassification,whichofthefollowingisusedtodividetrustdomainandtrustboundaries?A)网络架构NetworkarchitectureB)完整性IntegrityC)身份管理IDMIdentityManagement(IdM)D)保密管理Confidentialitymanagement[单选题]79.按照最佳做法,应在哪里指定每个部门和职务分类组合的允许访问?A)一个。安全程序B)安全标准C)人力资源政策D)人力资源标准[单选题]80.以下哪种方法是避免磁性媒体数据再利用的有效方法?A)消磁B)加密C)数据损失预防(DLP)D)认证[单选题]81.ADistributedDenialofService（DDoS）attackwascarriedoutusingmalwarecalledMiraitocreatealarge-scalecommandandcontrolsystemtolaunchabotnet.WhichofthefollowingdeviceswerethePRIMARYsourcesusedtogeneratetheattacktraffic?使用名为Mirai的恶意软件实施分布式拒绝服务（DDoS）攻击，以创建一个大型指挥和控制系统来启动僵尸网络。以下哪些设备是用于生成攻击流量的主要来源？A)InternetofThings（IoT）devices物联网（IoT）设备B)MicrosoftWindowshostsMicrosoftWindows主机C)Webserversrunningopensourceoperatingsystems（OS）运行开源操作系统（OS）的Web服务器D)MobiledevicesrunningAndroid运行Android的移动设备[单选题]82.组织FIRST会审查哪些内容以确保符合隐私要求?A)一个。最佳实践B)业务目标C)法律和监管要求D)员工对政策和标准的遵守情况[单选题]83.以下哪种灭火方法是环保且最适合数据中心的?WhichofthefollowingmethodsofsuppressingafireisenvironmentallyfriendlyandtheMOSTappropriateforadatacenter?A)惰性气体灭火系统InertgasfiresuppressionsystemB)哈龙气体灭火系统HalongasfiresuppressionsystemC)干管洒水器Dry-pipesprinklersD)湿管洒水器Wet-pipesprinklers[单选题]84.在保管处理链中对文件进行哈希时,确保以下哪一项?A)可用性B)问责C)正直D)非反古迪亚蒂上[单选题]85.下面哪一个模型实际上是一个包含模型软件开发的模型的元模型？A)瀑布模型。B)修改后的瀑布模型。C)螺旋模型。D)关键路径模型（CPM）。[单选题]86.(BCP/DR)计划。在对公司各个领域进行了几个月的研究后,你准备向高级管理层提交计划。在演示会议中,你尽职尽责地创建的计划并没有得到积极的反响。高级管理层不相信他们需要执行你的计划,他们也不准备在计划中投资。至于为什么高级管理层不愿意实施你的计划,最好的理由是什么?A)ABusinessimpactAssessmentwasnotperformed.业务影响评估没有执行B)TheywerenotincludedinanyoftheBusinessImpactAssessmentmeetings.它们没有被包括在任何业务影响评估会议中C)Thebusinesscasewasnotinitiallymadeandthusdidnotsecuretheirsupport.业务案例不是最初指定的,因此没有获得他们的支持D)TheywerenotincludedinanyoftheRiskAssessmentmeetings.他们没有参加任何风险评估会议[单选题]87.以下哪项是降低外部洪水攻击的最佳方法？whichofthefollowingistheBESTwaytoreducetheimpactofanexternallysourcedfloodattack？A)在防火墙上存储源地址StorethesourceaddressatthefirewallB)使用阻止源地址的服务HavethisserviceprovideblockingthesourceaddressC)阻止所有入栈流量，直到洪水结束BlockallinboundtraffficuntilthefloodendsD)让源服务提供商屏蔽地址Letthesourceserviceproviderblocktheaddress[单选题]88.操作安全的主要目的是A)保护系统环境损害环境B)监控供应商服务人员的操作行为C)保护常驻在系统中的信息资产D)为异常检测和记录记录值。[单选题]89.Fred正准备将备份磁带异地发送到安全的第三方存储设施。在将磁带发送到该设施之前,Fred应该采取哪些步骤?A)根据分类确保磁带的处理方式与原始介质的处理方式相同B)提高磁带的分类级别,因为它们将离开公司所有。C)清除磁带以确保机密数据不会丢失。D)解密磁带以防在运输途中丢失。[单选题]90.(04006)Whichofthefollowingtypeofpacketscan*easily*bedeniedwithastatefulpacketfilter?下面哪个类型的包可以很容易的被状态包检测防火墙拒绝？A)ICMPB)ICMPC)ICMPD)ICMP[单选题]91.为了保证真实性,需要以下哪一项?A)保密和身份验证B)保密性和完整性C)身份验证和非否定D)不真诚和不否定[单选题]92.以下哪一项原则对个人施加了一种宽泛的.等同于人们在这种情况下对一个有理智的人的期望的谨慎标准？A)Duediligence尽职调查B)Separationofduties职责分离C)Duecare适度关注D)Leastprivilege最小特权[单选题]93.Susan的团队通过手动审查缺陷代码来执行代码分析。他们执行什么类型的分析?A)灰盒B)静态C)动态D)模糊[单选题]94.(04098)WhatMUSTthesoftwaredeveloperdowhenasecuritybugisfoundduringaunittest?当在单元测试中发现了一个安全漏洞时，软件开发人员必须要做下面哪项？A)Performacomprehensivepeerreview执行一个全面的同行评审B)Performacomprehensivepeerreview执行一个全面的同行评审C)Performacomprehensivepeerreview执行一个全面的同行评审D)Performacomprehensivepeerreview执行一个全面的同行评审[单选题]95.一个组织的服务器但被确认：一个在上午结束的员工可以在下午访问他系统内部网络上的一些敏感资源。之前没有注销的记录。这是什么类型的攻击例子？A)检查时间/使用时间(TOC/TOU)B)逻辑炸弹C)远程访问木马(RATS)D)网络钓鱼[单选题]96.根据开放式Web应用程序安全项目(OWASP),移动应用程序威胁建模练习中最重要的产出是以下哪一个?A)应用程序界面入口和端点B)漏洞的可能性和影响C)针对漏洞的计数器和缓解措施D)用于应用和攻击表面分析的数据流图[单选题]97.O)27001年和27002年制定的标准评估一个组织的安全政策时,何时可以确定管理责任?A)只有当资产定义明确时B)只有当定义标准时C)只有当控制到位时D)仅定义程序[单选题]98.实施数据使用控制的主要好处是什么?A)如果数据丢失,则必须解密才能打开。B)如果数据丢失,未经授权的用户将无法访问该数据。C)查看数据时,只能由授权用户打印。D)在查看数据时,必须使用安全协议访问数据。[单选题]99.为什么计划是基于角色的访问控制(RBAC)实现最关键的阶段?WhyisplanningtheMOSTcriticalphaseofaRoleBasedAccessControl(RBAC)implementation?A)定义了衡量风险的标准Thecriteriaformeasuringriskisdefined.B)确定了为用户群体要分配的角色Userpopulationstobeassignedtoeachroleisdetermined.C)执行角色挖掘以定义通用访问模式Roleminingtodefinecommonaccesspatternsisperformed.D)定义了基本标准Thefoundationalcriteriaaredefined.[单选题]100.DuringtheSecurityAssessmentandAuthorizationprocess,whatisthePRIMARYpurposeforconductingahardwareandsoftwareinventory?在安全评估和授权过程中，进行硬件和软件清点的主要目的是什么？A)Calculatethevalueofassetsbeingaccredited.计算被认证资产的价值。B)CreatealisttoincludeintheSecurityAssessmentandAuthorizationpackage.创建要包含在安全评估和授权包中的列表。C)Identifyobsoletehardwareandsoftware.识别过时的硬件和软件。D)Definetheboundariesoftheinformationsystem.定义信息系统的边界。[单选题]101.Limitingtheprocessor,memory,andInput/output（I/O）capabilitiesofmobilecodeisknownas限制移动代码的处理器、内存和输入/输出（I/O）能力称为A)coderestriction.代码限制。B)sandboxing.沙箱。C)on-demandcompile.按需编译。D)compartmentalization.划分。[单选题]102.WhattechniqueBESTdescribesantivirussoftwarethatdetectsvirusesbywatchinganomalousbehavior?什么技术最能描述通过观察异常行为检测病毒的防病毒软件？A)Signature签名B)Inference推断C)Induction归纳D)Heuristic启发[单选题]103.(04105)Comparedwithhardwarecryptography,softwarecryptographyisgenerally与硬件加密相比，软件加密一般A)lessexpensiveandfaster.更便宜、更快B)lessexpensiveandfaster.更便宜、更快C)lessexpensiveandfaster.更便宜、更快D)lessexpensiveandfaster.更便宜、更快[单选题]104.(04021)Primarilyrunwhentimeandtapespacepermits,andisusedforthesystemarchiveorbaselinedtapesetsisthe:主要在时间和磁带空间允许时运行，用于系统归档或基线磁带集的是A)fullbackupmethod完全备份方法B)fullbackupmethod完全备份方法C)fullbackupmethod完全备份方法D)fullbackupmethod完全备份方法[单选题]105.SecuritySoftwareDevelopmentLifeCycle（SDLC）expectsapplicationcodetobewrittenInaconsistentmannertoalloweaseofauditingandwhichofthefollowing?安全软件开发生命周期（SDLC）要求以一致的方式编写应用程序代码，以便于审计，以下哪项？A)Protecting保护状态B)Executing实施C)Copying复制D)Enhancing提高[单选题]106.如何计算单一损失期望（SLE）？A)威胁+脆弱性B)资产价值（$）*暴露因子C)年度发生率*脆弱性D)年度发生率*资产价值*暴露因子[单选题]107.Whichoneofthefollowingwouldcauseanimmediatereviewandpossiblechangetothesecuritypoliciesofanorganization?以下哪一项会导致立即审查并可能更改组织的安全策略？A)Changeintechnology技术变革B)Changeinseniormanagement高级管理层变动C)Changetoorganizationprocesses组织流程变更D)Changetoorganizationgoals组织目标变更[单选题]108.Roger担心第三方公司开发的应用程序会有后门。然而,开发人员拥有知识产权,并且仅将最终软件提供给Roger的组织。以下哪种语言由于可以提供便于人们阅读的代码,因而对这种后门类型的攻击最不敏感?A)JavaScriptB)CC)C++D)Java[单选题]109.传输模式下的封装安全载荷（ESP）的作用是？A)加密和可选择验证整个IP包B)加密和可选择验证IP头部,而不是1P载荷C)加密和可选择验证IP载荷,而不是IP头部D)验证IP载荷及选择的部分IP头部[单选题]110.在提供Internet访问的同时,通过接受客户端请求、更改请求的源地址、将请求映射到客户端以及将修改后的请求发送到目的地,这是什么网络工具?WhatnetworktoolcanbeusedtoprotecttheidentityofclientswhileprovidingInternetaccessbyacceptingclientrequests,alteringthesourceaddressesoftherequests,mappingrequeststoclients,andsendingthemodifiedrequestsouttotheirdestination?A)AswitchB)AproxyC)ArouterD)Afirewall[单选题]111.以下哪-项可以最好地防止在外包软件开发中出现的安全漏洞?A)代码质量合同要求B)许可、代码所有权和知识产权C)所做工作的质量和准确性证明D)交付日期、变更管理控制和预算控制[单选题]112.Whenresolvingethicalconflicts,theinformationsecurityprofessionalMUSTconsidermanyfactors.Inwhatordershouldtheseconsiderationsbeprioritized?在解决道德冲突时，信息安全专业人员必须考虑许多因素。这些考虑应按什么顺序优先考虑？A)Publicsafety,dutiestoindividuals,dutiestotheprofession,anddutiestoprincipals公共安全、个人责任、专业责任和校长责任B)Publicsafety,dutiestoprincipals,dutiestoindividuals,anddutiestotheprofession公共安全、负责人职责、个人职责和专业职责C)Publicsafety,dutiestotheprofession,dutiestoprincipals,anddutiestoindividuals公共安全、对专业的责任、对校长的责任和对个人的责任D)Publicsafety,dutiestoprincipals,dutiestotheprofession,anddutiestoindividuals公共安全、校长职责、专业职责和个人职责[单选题]113.下列哪项攻击依赖于对次要目标的破坏以达到主要目标？A)水坑B)鱼叉式网络钓鱼C)ARP中毒D)暴力破解[单选题]114.在开发业务影响分析时，团队应首先创建资产列表。接下来应该发生什么？A)Identifyvulnerabilitiesineachasset.识别每项资产中的漏洞。B)Determinetherisksfacingtheasset.确定资产面临的风险。C)Developavalueforeachasset.为每项资产制定一个价值。D)Identifythreatsfacingeachasset.识别每项资产面临的威胁。[单选题]115.存储和生成密码、提供日志记录和审计功能以及支持密码检入和检出都是什么类型系统的特征?A)AAAB)凭据管理C)双因素身份验证D)Kerberos[单选题]116.在为一个拟建的设施设计安全计划时,你被告知预算减少了30%。然而,他们没有调整或减少安全要求。内部和外部使用的最常见和最便宜的物理访问控制设备是什么?A)照明B)保安C)键锁D)棚栏[单选题]117.在公司内部,桌面客户端通过动态主机配置协议(DHCP)接收互联网协议(IP)地址。以下哪一项代表帮助保护网络免受未经授权的访问的有效措施?A)实施路径管理B)通过802.1倍实现基于端口的安全C)实施DHCP,将IP地址分配给服务器系统D)实施变更管理[单选题]118.WhileimpersonatinganInformationSecurityOfficer（ISO),anattackerobtainsinformationfromcompanyemployeesabouttheirUserIDsandpasswords.Whichmethodofinformationgatheringhastheattackerused?攻击者在模拟信息安全官员（ISO）时，从公司员工处获取有关其用户ID和密码的信息。攻击者使用了哪种信息收集方法？A)Socialengineering社会工程B)Passivemisuse被动误用C)Trustedpath可信路径D)Maliciouslogic恶意逻辑[单选题]119.Assumethatacomputerwaspoweredoffwhenaninformationsecurityprofessionalarrivedatacrimescene.Whichofthefollowingactionsshouldbeperformedafterthecrimesceneisisolated?假设当信息安全专业人员到达犯罪现场时，计算机断电。在隔离犯罪现场后，应执行以下哪些操作？A)Turnthecomputeronandcollectvolatiledata.打开计算机并收集易失性数据。B)Turnthecomputeronandcollectnetworkinformation.打开电脑并收集网络信息。C)Leavethecomputeroffandpreparethecomputerfortransportationtothelaboratory关闭计算机，准备将计算机运送到实验室D)Removetheharddrive,prepareitfortransportation,andleavethehardwaretathescene.卸下硬盘驱动器，准备运输，并将硬件ta留在现场。[单选题]120.在构建信息保护政策(IPP)时,必须确保所述规则是必要的、充分的和A)灵活。B)机要。C)集中。D)可行的。[单选题]121.WhenintheSoftwareDevelopmentLifeCycle（SDLC）MUSTsoftwaresecurityfunctionalrequirementsbedefined?在软件开发生命周期（SDLC）中，何时必须定义软件安全功能需求？A)Afterthesystempreliminarydesignhasbeendevelopedandthedatasecuritycategorizationhasbeenperformed在完成系统初步设计和数据安全分类后B)Afterthevulnerabilityanalysishasbeenperformedandbeforethesystemdetaileddesignbegins在进行漏洞分析之后和系统详细设计开始之前C)Afterthesystempreliminarydesignhasbeendevelopedandbeforethedatasecuritycategorizationbegins系统初步设计完成后，数据安全分类开始前D)Afterthebusinessfunctionalanalysisandthedatasecuritycategorizationhavebeenperformed执行业务功能分析和数据安全分类后[单选题]122.Whennetworkmanagementisoutsourcedtothirdparties,whichofthefollowingistheMOSTeffectivemethodofprotectingcriticaldataassets?当网络管理外包给第三方时，以下哪种方法是保护关键数据资产的最有效方法？A)Providelinkstosecuritypolicies提供指向安全策略的链接B)Logallactivitiesassociatedwithsensitivesystems记录与敏感系统相关的所有活动C)Employstrongaccesscontrols采用强有力的访问控制D)Confirmthatconfidentialityagreementsaresigned确认已签署保密协议[单选题]123.WhodeterminestherequiredlevelofindependenceforsecuritycontrolAssessors（SCA)?谁确定安全控制评估员（SCA）所需的独立性水平？A)ChiefInformationSecurityOfficer（CISC）首席信息安全官（CISC）B)Businessowner企业主C)AuthorizingOfficial（AO）授权官员（AO）D)Systemowner系统所有者[单选题]124.对脆弱性和风险的评估基于以下哪种威胁?A)CIA三元组的一个或多个原则B)数据有效性C)应尽关心D)尽责程度[单选题]125.世界贸易组织(世贸组织)关于与贸易有关的知识产权方面协定(TRIPS)要求向计算机软件作者提供A)拒绝或允许商业租赁的权利。B)伪装软件地理来源的权利。C)能够根据位置定制安全参数。D)能够确认其works的许可证真实性。[单选题]126.要求安全专业人员评估多层建筑中新数据中心位置的选项。数据中心的关注点包括发音和物理访问控制。以下哪个位置是最好的?A)在顶楼B)在地下室C)在建筑的核心D)在带窗户的外部房间[单选题]127.Matthew最近创作了一个解决数学问题的新算法，他想与全世界分享。然而，在将软件代码发表在技术期刊前，他希望获得某种形式的知识产权保护。哪种类型的保护最能满足需要？A)版权B)商标C)专利D)商业秘密[单选题]128.Similarly,KerberosdependsonKDC,SAML.Dependson:类似于Kerberos依赖于KDC,SAML.依赖于;A)TGSB)IDPC)ASD)PAS[单选题]129.不断努力确保且符合正确的政策、程序和标准，被称为？A)应有的关注点B)应有的暗暗C)尽职调查D)应有的做法[单选题]130.Aninputvalidationandexceptionhandlingvulnerabilityhasbeendiscoveredonacriticalweb-basedsystem.WhichofthefollowingisMOSTsuitedtoquicklyimplementacontrol?在关键的基于web的系统上发现了输入验证和异常处理漏洞。以下哪项最适合快速实施控制？A)Addanewruletotheapplicationlayerfirewall.向应用层防火墙添加新规则。B)Blockaccesstotheservice.阻止对服务的访问。C)InstallanIntrusionDetectionSystem（IDS）.安装入侵检测系统（IDS）。D)Patchtheapplicationsourcecode.修补应用程序源代码。[单选题]131.作为访问控制的一种类型，下列哪个要求避免事件发生？A)预防性B)威慑性C)侵入性D)检测性[单选题]132.家公司想要在网上共享电子订单和电子库存记录,最佳的安全方案是?A)在两家公司配置边界防火墙B)让两家公司签订服务级别协议(SLA)C)为两家公司建立FTP文件传输连接D)为两家公司建立VPN连接[单选题]133.Norm准备开始一个新的软件项目,与他合作的供应商使用SDLC方法开发,当他开始工作时,他收到一个文档,其中有一部分显示在这里。这是什么类型的规划文件?A)功能要求B)工作分解结构C)测试分析报告D)项目计划[单选题]134.(04142)以下哪一项是最小授权原则的运用？A)建立岗位轮换机制B)建立岗位轮换机制C)建立岗位轮换机制D)建立岗位轮换机制[单选题]135.如果网络中包含移动IP、无线与有线方式的用户互连等多种协议,安全专业人员应当选择以下哪种集中访问控制协议?A)RADIUSB)TACACS+C)DiameterD)Kerberos[单选题]136.当Jim进入其组织的数据中心时,他必须使用智能卡和密码进入,先通过第一组门,接着第一组门关闭,然后他必须再次使用他的卡通过第二组门。这是什么类型的控制,它叫什么?A)物理控制;单向活板门B)逻辑控制;双刷卡授权C)指令控制;单向通道走廊D)预防性访问控制;陷门[单选题]137.在以下哪项程序中包含安全过程数据的收集是最重要的？A)季度访问审查B)安全持续监控C)业务连续性测试D)年度安全培训[单选题]138.以下哪种方法可用于实现传输数据的保密性和完整性?A)多蛋白醇标签切换(MPLS)B)互联网协议安全(IPSec)C)联合身份管理D)多因素认证[单选题]139.Asystemdeveloperhasarequirementforanapplicationtocheckforasecuredigitalsignaturebeforetheapplicationisaccessedonauser'slaptop.