CISSP考试练习(习题卷5)

试卷科目：CISSP考试练习CISSP考试练习(习题卷5)PAGE"pagenumber"pagenumber/SECTIONPAGES"numberofpages"numberofpagesCISSP考试练习第1部分：单项选择题，共100题，每题只有一个正确答案,多选或少选均不得分。[单选题]1.为了使审计报告被接受,组织必须考虑以下哪项?WhichofthefollowingMUSTbeconsideredbytheorganizationinorderfortheauditreportstobeacceptable?A)审计评估是由独立评估员进行的Theauditassessmenthasbeenconductedbyanindependentassessor.B)审计报告已由第三方高级管理人员签署Theauditreportshavebeensignedbythethird-partyseniormanagement.C)审计报告是最近六个月出具的Theauditreportshavebeenissuedinthelastsixmonths.D)审计评估是由国际审计公司进行的Theauditassessmenthasbeenconductedbyaninternationalauditfirm.答案:A解析:[单选题]2.以下抑制火灾的方法中,哪种方法对环境友好且最适合数据中心?A)惰性气体灭火系统B)哈龙气体灭火系统C)干管洒水器D)湿管洒水器答案:C解析:[单选题]3.WhichwouldresultintheGREATESTimportfollowingabreachtoacloudenvironment?在破坏云环境之后，哪一个将导致最大的导入？A)ThehypervisorhostIspoorlysearedhypervisor主机烧蚀不良B)ThesameLogicalUnitNumber（LLN）isusedforailVMs相同的逻辑单元号（LLN）用于所有VMC)Insufficientnetworksegregation网络隔离不足D)InsufficienthardeningofVirtualMachines（VM）虚拟机（VM）强化不足答案:C解析:[单选题]4.OSI参考模型的网络层主要负责什么？A)SMTP简单邮件传输协议网关服务B)局域网桥接C)互联网数据包路由D)信号再生和重复答案:C解析:[单选题]5.SDN应用的什么层使用程序通过API来传达对资源的需求?WhatlayerofanSDNimplementationusesprogramstocommunicateneedsforresourcesviaAPIs?A)数据平面ThedataplaneB)控制平面ThecontrolplaneC)应用平面TheapplicationplaneD)监控平面Themonitoringplane答案:C解析:软件定义网络(SDN)的应用平面是应用程序运行的地方,这些应用程序使用应用编程接口(API)与SDN就所需资源进行通信。控制平面接收指令并将其发送到网络。最后一个公共平面是设备本身。Theapplicationplaneofasoftware-definednetwork(SDN)iswhereapplicationsrunthatuseapplicationprogramminginterfaces(APIs)tocommunicatewiththeSDNaboutneededresources.Thecontrolplanereceivesinstructionsandsendsthemtothenetwork.Thelastcommonplaneisthedevicesthemselves.[单选题]6.组织通常会将端点安全解决方案放在哪里?Wherewouldanorganizationtypicallyplaceanendpointsecuritysolution?A)Web服务器和个人设备WebserverandindividualdevicesB)入侵检测系统(IDS)和中央服务器IntrusionDetectionSystem(IDS)andcentralseverC)中央服务器和个人设备CentralserverandindividualdevicesD)入侵检测系统(IDS)和Web服务器IntrusionDetectionSystem(IDS)andwebserver答案:A解析:[单选题]7.确定性评估风险是由以下哪一项来完成的？A)了解人员的简单完成实施过程，并可以通过对评估有一定的要求B)可以通过对风险过程评估有一定了解的人员和使用风险计算的详细指标来完成C)详细指标用于风险计算，实施的难易程度D)可以通过对风险过程评估有一定了解的人员，以及用详细指标来计算风险来完成答案:A解析:<p>定性风险评估是一种风险评估的形式，采用分层形式的风险<br/>如?高、中、低/?等。这种简化的方法允许那些不熟悉的人<br/><br/>有了风险评估，就可以进行风险评估，虽然没有像定量评估那样具体<br/>仍然有意义。<br/></p>[单选题]8.以下哪一个最佳可避免云托管资源的数据再管线披露?A)数据被删除后,对密钥进行加密和删除。B)数据被删除后,对虚拟主机进行强加密和删除。C)基于软件的加密具有两个因子身份验证。D)基于硬件的加密专用物理物理服务器。答案:A解析:[单选题]9.软件开发人员创建了一个应用程序并希望使用DRM技术来保护它。她最不可能使用以下哪一项?A)虚拟许可B)持久在线认证C)自动过期D)持续审计追踪答案:A解析:[单选题]10.在缺乏中央控制的分散网络中,以下哪一项是减轻暴露的主要行动方案?A)实施安全政策和标准、数据备份和审计控制B)实施管理政策、审计控制和数据备份C)实施安全政策和标准、访问控制和访问限制D)实施远程访问策略、共享工作站和日志管理答案:A解析:[单选题]11.这个职位最能在下面的情况下：雇员从多个账户刮取小额资金，将资金存入自己的银行账户中？A)数据摆弄B)数据诡计C)数据隐藏D)数据屏蔽答案:B解析:[单选题]12.Dave负责组织中的密码安全,并希望加强密码文件的安全性。他想保护组织以对抗彩虹表的攻击。以下哪种技术是专门设计用来阻止彩虹表的?A)密码到期策略B)盐C)用户培训D)密码复杂性策略答案:B解析:彩虹表使用预先计算的密码散列对密码文件进行破解攻击。使用盐会在散列化之前向密码添加一个指定的值,这使得执行预计算变得更困难。密码到期策略、密码复杂性策略和用户培训都有助于保障密码安全,但它们不是直接针对彩虹表的防御措施。Rainbowtablesuseprecomputedpasswordhashestoconductcrackingattacksagainstpasswordfiles.Theymaybefrustratedbytheuseofsalting,whichaddsaspecifiedvaluetothepasswordpriortohashing,makingitmuchmoredifficulttoperformprecomputation.[单选题]13.Theimplementationofwhichfeaturesofanidentitymanagementsystemreducescostsandadministrationoverheadwhileimprovingauditandaccountability?实施身份管理系统的哪些功能可以降低成本和管理费用，同时改进审计和问责？A)Two-factorauthentication双因素认证B)SingleSign-On（SSO）单点登录（SSO）C)Userself-service用户自助服务D)Ametadirectory到元目录答案:C解析:[单选题]14.AmanufacturingorganizationwantstoestablishaFederatedIdentityManagement（FIM）systemwithits20.differentsuppliercompanies.WhichofthefollowingistheBESTsolutionforthemanufacturingorganization?一个制造组织想要建立一个联邦身份管理（FIM）系统及其20。不同的供应商公司。以下哪项是制造组织的最佳解决方案？A)Trustedthird-partycertification受信任的第三方证书B)LightweightDirectoryAccessProtocol（LDAP）轻型目录访问协议（LDAP）C)SecurityAssertionMarkuplanguage（SAML）安全断言标记语言（SAML）D)Cross-certification交叉认证答案:C解析:[单选题]15.点对点协议(PP)使用以下哪一种来确定分组格式?A)第2层隧道协议(L2TP)B)链接控制协议(LCP)C)挑战握手身份验证协议(CHAP)D)数据包传输协议(PTP)答案:B解析:[单选题]16.哪个低音是使用静态身份验证的远程访问协议?A)点对点隧道协议(PPTP)B)路由信息协议(RIP)C)密码身份验证协议(PAP)D)挑战握手身份验证协议(CHAP)答案:C解析:[单选题]17.哪个是执行计算机消防联动系统最佳和检测系统并被认为是机房的消防实施？A)干管B)预反应C)雨淋管D)试管答案:B解析:<p>预作用系统结合了干式和湿式管道系统，当检测到热量时首先将水释放到管道中（干管），然后当喷嘴中的链接熔化时释放水流（湿管）。</p>[单选题]18.Byfar,thelargestsecurityexposureinapplicationsystemdevelopmentrelatesto到目前为止,在应用系统开发中最大的安全风险是与什么有关?A)Maintenanceanddebugginghocks.维护和调试钩子B)Deliberatecompromise.故意妥协C)Changecontrol变更控制D)Errorsandlackoftraining错误和缺乏培训答案:A解析:维护钩子--程序代码中的指令,使开发人员或维护人员不必经过通常的访问控制和身份验证过程就可以通入程序。它们应该在发布到产品之前从代码中删除:;否则会造成产重的安全风险。[单选题]19.Inordertoassureauthenticity,whichofthefollowingarerequired?为了确保真实性，需要以下哪项？A)Confidentialityandauthentication保密和认证B)Confidentialityandintegrity保密性和完整性C)Authenticationandnon-repudiation身份验证和不可否认性D)Integrityandnon-repudiation完整性和不可否认性答案:D解析:[单选题]20.(04075)Whatisitcalledwhenasystemhasapparentflawsthatweredeliberatelyavailableforpenetrationandexploitation?当一个系统有明显的漏洞，故意用来被渗透和利用，这叫什么？A)Investigation调查B)Investigation调查C)Investigation调查D)Investigation调查答案:B解析:[单选题]21.保护免受拒绝服务(DoS)附加件的控制已确定停止50%的攻击,并进一步将攻击的影响降低50%。剩余风险是什么?A)25%B)50%C)75%D)100%答案:A解析:[单选题]22.使用云计算时,以下哪一项最难执行?A)数据访问B)数据备份C)数据恢复D)可用日期l答案:D解析:[单选题]23.(04156)以下哪个协议使组织能够集中维护一个用户列表，只有在列表中的用户才能访问特定的受保护的web页面。A)安全断言标记语言(SAML)B)安全断言标记语言(SAML)C)安全断言标记语言(SAML)D)安全断言标记语言(SAML)答案:D解析:[单选题]24.在开发更新安全程序的业务案例时,安全计划所有者必须做以下哪些业务案例?A)确定相关指标B)准备性能测试报告C)获取安全计划的资源D)面试高管管理答案:A解析:[单选题]25.数字签名执行的三个最重要的功能是什么？A)完整性，身份验证和不可否认性B)授权，检测和问责性C)授权，身份验证和不可否认性D)完整性，机密性和授权答案:A解析:[单选题]26.Whichtypeofaccesscontrolincludesasystemthatallowsonlyusersthataretype=managersanddepartment=salestoaccessemployeerecords?哪种类型的访问控制包括仅允许类型=经理和部门=销售的用户访问员工记录的系统？A)Discretionaryaccesscontrol（DAC）自主访问控制（DAC）B)Mandatoryaccesscontrol（MAC）强制访问控制（MAC）C)Role-basedaccesscontrol（RBAC）基于角色的访问控制（RBAC）D)Attribute-basedaccesscontrol（ABAC）基于属性的访问控制（ABAC）答案:C解析:[单选题]27.以下哪一个是特权身份生命周期管理的基本要素?A)定期执行帐户重新验证和批准B)基于多因素身份验证的帐户拨备C)经常审查已执行的活动并请求理由D)主管或直线经理提供的帐户信息答案:A解析:[单选题]28.通过使用允许的数据去发现限制信息,这种行为被称为A)推理B)数据挖掘C)干扰D)单元抑制答案:A解析:[单选题]29.Bert正在考虑使用基础架构即服务(laaS)的云计算环境来充当虚拟服务器。这种情况下,以下哪一项属于供应商的责任?A)维护管理程序B)管理操作系统安全设置C)维护主机防火墙D)配置服务器访问控制答案:A解析:laas(基础架构即服务)服务器环境中,在共享责任模式下客户负责大多数服务器的安全操作。这包括管理操作系统安全设置、维护主机防火墙和配置服务器访问控制。供应商负责管理位于程序层及该层以下的所有安全机制。InanlaaSserverenvironment,thecustomerretainsresponsibilityformostserversecurityoperationsunderthesharedresponsibilitymodel.ThisincludesmanagingOSsecuritysettings,maintaininghostfirewalls,andconfiguringserveraccesscontrol.Thevendorwouldberesponsibleforallsecuritymechanismsatthehypervisorlayerandbelow.[单选题]30.Melissa希望以对用户透明的方式在她的组织中组合多个物理网络,但允许根据需要为网络服务分配资源。她应该部署什么类型的网络?Melissawantstocombinemultiplephysicalnetworksinherorganizationinawaythatistransparenttousersbutallowstheresourcestobeallocatedasneededfornetworkedservices.Whattypeofnetworkshouldshedeploy?A)iSCSIB)AvirtualnetworkC)SDWAND)ACDN答案:B解析:虚拟网络可用于组合现有网络或将网络划分为多个网段。Melissa可以使用虚拟网络来组合现有网络,然后使用软件定义的网络功能来分配和管理网络资源。[单选题]31.Inadispersednetworkthatlackscentralcontrol,whichofthefollowingisdiePRIMARYcourseofactiontomitigateexposure?在缺乏中央控制的分散网络中，以下哪项是缓解风险的主要行动方案？A)Implementmanagementpolicies,auditcontrol,anddatabackups实施管理策略、审核控制和数据备份B)Implementsecuritypoliciesandstandards,accesscontrols,andaccesslimitations实施安全策略和标准、访问控制和访问限制C)Implementsecuritypoliciesandstandards,databackups,andauditcontrols实施安全策略和标准、数据备份和审核控制D)Implementremoteaccesspolicies,sharedworkstations,andlogmanagement实施远程访问策略、共享工作站和日志管理答案:C解析:[单选题]32.DuringarecentassessmentanorganizationhasdiscoveredthatthewirelesssignalcanbedetectedoutsidethecampusareAWhatlogicalcontrolshouldbeimplementedinordertoBFSTprotectOneconfidentialityofinformationtravelingOnewirelesstransmissionmedia?在最近的一次评估中，一个组织发现，可以在校园外检测到无线信号，为了保护一个无线传输媒体上传输的信息的机密性，应该实施什么样的逻辑控制？A)Configureafirewalltologicallyseparatethedataattheboundary.配置防火墙以在逻辑上分隔边界处的数据。B)ConfiguretheAccessPoints（AP）touseWi-FiProtectedAccess2.（WPA2）encryption.将接入点（AP）配置为使用受Wi-Fi保护的接入2。（WPA2）加密。C)DisabletheServiceSetIdentifier（SSID）broadcastontheAccessPoints（AP）.禁用在接入点（AP）上广播的服务集标识符（SSID）。D)PerformregulartechnicalassessmentsontheWirelessLocalAreaNetwork（WLAN）.定期对无线局域网（WLAN）进行技术评估。答案:B解析:[单选题]33.视网膜扫描生物识别设备测量的物理特征是什么?A)视网膜反射的光量B)网状体的大小、曲率和形状C)眼后血管的模式D)眼睛后面的光受体模式答案:C解析:[单选题]34.Whatshouldhappenwhenanemergencychangetoasystemmustbeperformed?当必须对系统进行紧急更改时，会发生什么情况？A)Thechangemustbegivenpriorityatthenextmeetingofthechangecontrolboard.变更控制委员会下次会议必须优先考虑变更。B)Testingandapprovalsmustbeperformedquickly.必须快速执行测试和批准。C)Thechangemustbeperformedimmediatelyandthensubmittedtothechangeboard.必须立即执行变更，然后提交给变更委员会。D)Thechangeisperformedandanotationismadeinthesystemlog.执行更改并在系统日志中进行标记。答案:B解析:[单选题]35.WhenaresecurityrequirementstheLEASTexpensivetoimplement?什么时候实现安全需求的成本最低？A)Whenidentifiedbyexternalconsultants由外部顾问确定时B)Duringtheapplicationrolloutphase在应用程序推出阶段C)Duringeachphaseoftheprojectcycle在项目周期的每个阶段D)Whenbuiltintoapplicationdesign当内置到应用程序设计中时答案:D解析:[单选题]36.以下哪项最恰当描述了直接负责组织内数据的角色?WhichofthefollowingwouldBESTdescribetheroledirectlyresponsiblefordatawithinanorganization?A)数据监管者DatacustodianB)信息所有者InformationownerC)数据库管理员DatabaseadministratorD)质量控制Qualitycontrol答案:A解析:[单选题]37.Allhostsonthenetworkaresendinglogsviasyslog-ngtothelogcollector.Thelogcollectorisbehinditsownfirewall,Thesecurityprofessionalwantstomakesurenottoputextraloadonthefirewallduetotheamountoftrafficthatispassingthroughit.WhichofthefollowingtypesoffilteringwouldMOSTlikelybeused?网络上的所有主机都通过syslogng向日志收集器发送日志。日志收集器位于自己的防火墙后面，安全专业人员希望确保不会由于通过它的流量而给防火墙带来额外的负载。以下哪种类型的过滤最有可能被使用？A)UniformResourceLocator（URL）Filtering统一资源定位器（URL）筛选B)WebTrafficFilteringWeb流量过滤C)DynamicPacketFiltering动态包过滤D)StaticPacketFiltering静态包过滤答案:C解析:[单选题]38.下面是哪一个职责的划分？A)允许主控台操作员安装磁带和磁盘。B)允许使用系统主控台。C)允许操作员使用系统主控台。D)作业员修改系统时间。答案:D解析:<p>这是一个职责分离的例子，因为运营商被禁止修改<br/>可能导致欺诈的系统时间。这种性质的任务应该由他们<br/>系统管理员执行。<br/></p>[单选题]39.OpenIDConnect是OAuth2.0协议之上的一个简单身份层。以下哪个是不正确的?(温兹QOTD)A)OpenID2.0使用XML和自定义消息签名方案,而OIDC使用JSON。B)OpenIDProvider执行身份验证并提供IDToken作为JSONWebToken。C)OAuth2.0授权服务器将最终用户作为人类参与者进行身份验证。D)OAuth2.0指定了访问资源的访问令牌和提供身份信息的标准方法。答案:D解析:OAuth2.0指定了访问资源的访问令牌，但它没有提供提供身份信息（ID令牌）的标准方法，这就是OpenIDConnect（ODIC）出现的原因。[单选题]40.什么是变更控制或管理系统的主要目的？A)通知所有有关各方已完成了变更B)确保变更满足用户具体要求C)记录审计和管理审查的变更D)确保变更请求得到有序的处理答案:C解析:[单选题]41.Greg正在评估一家新供应商,这家供应商将为其组织提供网络设备。由于其组织的工作性质,Greg担心攻击者可能会尝试利用供应链进行攻击。假设Greg的组织和供应商都在合理的安全程序下运行,以下哪项活动可能对设备造成最大的供应链风险?两边都安全,那可能在中间过程存在风险A)在供应商现场被未经授权的第三方篡改Tamperingbyanunauthorizedthirdpartyatthevendor'ssiteB)拦截传输中的设备InterceptionofdevicesintransitC)安装后管理员配置错误MisconfigurationbyanadministratorafterinstallationD)在Greg的网站上被未经授权的第三方篡改TamperingbyanunauthorizedthirdpartyatGreg'ssite答案:B解析:如果供应商按照合理的安全程序进行操作,则设备在供应商现场被篡改的可能性很小。同样,如果Greg的组织有合理的安全程序,他的站点也不太可能被篡改。管理员错误配置总是可能的,但这是安装后风险,而不是供应链风险。设备在从供应商传输到Greg组织的过程中可能会被拦截和篡改。[单选题]42.基于主机的入侵检测系统(HIDS)如何识别潜在攻击?A)检查系统上的日志消息或其他指示。B)监视发送给系统管理员的警报C)将流量模式与病毒签名文件匹配D)检查访问控制列表(ACL)答案:C解析:[单选题]43.能力成熟度模型(CMM)作为组织中的基准是什么?A)行业经验B)安全配置文件的定义C)人力资源规划工作D)系统开发中的程序答案:D解析:[单选题]44.下列哪一项是离职面谈的主要目的？A)退还离职员工的个人财务B)审查保密协议C)评估离职员工的工作表现D)取消离职员工的网络访问账户答案:B解析:[单选题]45.Thepersonallaptopofanorganizationexecutiveisstolenfromtheoffice,completewithpersonnelandprojectrecords.WhichofthefollowingshouldbedoneFIRSTtomitigatefutureoccurrences?一位组织高管的个人笔记本电脑从办公室被盗，里面有完整的人事和项目记录。为了缓解未来的事故，应首先执行以下哪项操作？A)Encryptdisksonpersionallaptops.加密个人笔记本电脑上的磁盘。B)Issuecablelocksforuseonpersonallaptops.为个人笔记本电脑提供电缆锁。C)Createpoliciesaddressingcriticalinformationonpersonallaptops.创建解决个人笔记本电脑上关键信息的策略。D)Monitorpersonallaptopsforcriticalinformation.监控个人笔记本电脑中的关键信息。答案:A解析:[单选题]46.下列哪一个是密钥协商协议，其作用是通过不安全的介质使两个实体同意并生成会话密钥(密钥用于一次会话)，且并不需要实体间任何事先的秘密或通信的，协商的密钥也将随之被用于使用对称加密的信息加密？A)Diffie_HellmannB)RSA算法C)三重数据加密标准D)公钥基础设施答案:A解析:<p>TheDiffie-Hellmankeyagreementprotocol(alsocalledexponentialkeyagreement)wasdevelopedbyDiffieandHellman[DH76]in1976andpublishedintheground-breakingpaper"NewDirectionsinCryptography."Theprotocolallowstwouserstoexchangeasecretkeyoveraninsecuremediumwithoutanypriorsecrets.</p>[单选题]47.是一家建筑公司的高级经理。他发现一份关键的合同己被更新,该合同允许该公司继续开发一个闲置了几个月的操作系统。Don兴奋地开始私下处理该操作系统,但他不能告诉他的员工,直到该消息公开宣布的那几天。随着Don开始对系统进行修改,虽然各个员工主作在一个较低的安全级别上,但他们也注意到其所连接系统中的变化。请问什么样的模型可用于确保这种情况不会发生?A)BibaB)Bell-LaPadulaC)不干涉D)Clark-Wilson答案:C解析:[单选题]48.Whencontinuousavailability(24hours-a-dayprocessing)isrequired,whichoneofthefollowingprovidesagoodalternativetotapebackups?当需要持续可用性(一天24小时处理)时,下列哪一选项是磁带备份的好的备选方案?A)Diskmirroring磁盘镜燎B)BackuptoJukebox备份到媒体柜C)Opticaldiskbackup光盘备D)Dallyarchiving日常存档答案:B解析:[单选题]49.一个非自我复制类型的恶意程序包含一些看上去似乎有用的恶意代码，但是里面还包含有恶意目的的代码，当这些代码被执行以后，有一些动作将不被人们知晓下安装，典型的引起数据的丢失或盗取，甚至可能是系统的损害。这种程序被称为什么？A)病毒B)后门C)木马D)蠕虫答案:C解析:<p>Atrojanhorseisanycodethatappearstohavesomeusefulpurposebutalsocontainscodethathasamaliciousorharmfulpurposeimbeddedinit.ATrojanoftenalsoincludesatrapdoorasameanstogainaccesstoacomputersystembypassingsecuritycontrols.</p>[单选题]50.Whichaccesscontrolmethodisbasedonusersissuingaccessrequestsonsystemresources,featuresassignedtothoseresources,theoperationalorsituationalcontext,andasetofpoliciesspecifiedintermsofthosefeaturesandcontext?哪种访问控制方法基于用户对系统资源、分配给这些资源的功能、操作或情景上下文以及根据这些功能和上下文指定的一组策略发出访问请求？A)MandatoryAccessControl（MAC）强制访问控制（MAC）B)RoleBasedAccessControl（RBAC）基于角色的访问控制（RBAC）C)DiscretionaryAccessControl（DAC）自主访问控制（DAC）D)AttributeBasedAccessControl（ABAC）基于属性的访问控制（ABAC）答案:B解析:[单选题]51.在网络访问控制方面,以下哪项是最不合理的配对关系?Whichofthefollowingistheleastparingreasonablerelationshipintermsofnetworkaccesscontrol?A)根据802.1X的请求方和身份验证服务器SupplicantsandtheAuthenticationServerper802.1XB)每个RADIUS的网络访问服务器和身份验证服务器NetworkAccessServersandtheAuthenticationServerperRADIUSC)每个L2TP的VPN客户端和网络访问服务器VPNclientsandtheNetworkAccessServerperL2TPD)每个PEAP的无线设备和接入点WirelessdevicesandtheAccessPointperPEAP答案:A解析:在802.1X中,请求者与身份验证者通信,身份验证者将身份验证消息转发到身份验证服务器。请求者不直接向身份验证服务器进行身份验证。一般而言,网络访问服务器(NAS)是指提供远程访问服务的服务器,例如拨号、VPN等。VPN服务器可以看作是一种类型的NAS。[单选题]52.知道最初生成加密消息的语言可能有助于密码分析者执行A)清除文本攻击。B)已知密码攻击。C)频率分析。D)随机评估。答案:C解析:[单选题]53.通过使用可扩展访问标记语言(XACML)可以最好地实现以下哪一项?WhichofthefollowingisBESTachievedthroughtheuseofeXtensibleAccessMarkupLanguage(XACML)?A)尽量减少来自第三方的恶意攻击MinimizemaliciousattacksfromthirdpartiesB)管理资源权限ManageresourceprivilegesC)在混合云中共享数字身份SharedigitalidentitiesinhybridcloudD)定义标准协议Defineastandardprotocol答案:D解析:[单选题]54.计算机生成证据的最关键方面是什么?WhichistheMOSTcriticalaspectofcomputer-generatedevidence?A)客观性ObjectivityB)完整性IntegrityC)及时性TimelinessD)相关性Relevancy答案:B解析:[单选题]55.哪种攻击手段是通过攻击次要目标以实现攻击到主要目标。A)xssB)水坑C)捕鲸D)smurfing答案:B解析:略章节：模拟考试202201[单选题]56.以下哪项是基于计算机技术的道德考虑？A)专有软件的所有权B)信息资源管理C)服务水平协议D)系统实现和设计答案:B解析:<p>IfgoingbytheInternetActivitiesBoard,thenInformationresourcemanagementwouldbe<br/>Theanswersinceyouaren'twastingresources.Note:Thisquestionisoddlyworded.</p>[单选题]57.Assessingathirdparty'sriskbycountingbugsinthecodemaynotbethebestmeasureofanattacksurfacewithinthesupplychain.WhichofthefollowingisLEASTassociatedwiththeattacksurface?通过计算代码中的bug来评估第三方的风险可能不是衡量供应链中攻击面的最佳方法。以下哪项与攻击面关联最少？A)Inputprotocols输入协议B)Targetprocesses目标进程C)Errormessages错误消息D)Accessrights访问权答案:C解析:[单选题]58.欧盟关于数据保护的法令禁止向欧盟以外国家流出个人身份信息,除非:A)接受国给予个人足够的隐私保护B)接收国向欧盟支付费用C)没有例外;没有信息被流出D)接收国是公平贸易组织的成员答案:A解析:[单选题]59.MandatoryAccessControls（MAC）arebasedon:强制访问控制（MAC）基于：A)Securityclassificationandsecurityclearance.安全分类和安全许可。B)Datasegmentationanddataclassification.数据分割和数据分类。C)Datalabelsanduseraccesspermissions.数据标签和用户访问权限。D)Userrolesanddataencryption.用户角色和数据加密。答案:A解析:[单选题]60.业务连续性计划(BCP)被启用/调用后应立即使用什么?WhatshouldbeusedimmediatelyafteraBusinessContinuityPlan(BCP)hasbeeninvoked?A)描述恢复正常业务运营所需采取的行动的恢复程序ResumptionproceduresdescribingtheactionstobetakentoreturntonormalbusinessoperationsB)描述在事件危及业务运营后要采取的必要行动的紧急程序EmergencyproceduresdescribingthenecessaryactionstobetakenfollowinganincidentjeopardizesbusinessoperationsC)描述对替代临时地点的更重要的商业活动采取什么行动的后备程序FallbackproceduresdescribingwhatactionaretobetakentomoreessentialbusinessactivitiestoalternativetemporarylocationsD)维护计划如何和计划将被测试以及维护计划的过程Maintainschedulehowandtheplanwillbetestedandtheprocessformaintainingtheplan答案:B解析:[单选题]61.下一个不是使用数据存储能力控制能力的数据？A)清除B)、打标C)处理D)存储答案:A解析:<p>Handling-如何传输/在什么控制下<br/>Storage-存储位置和方式<br/>Marking-如何标记媒体</p>[单选题]62.以下哪项为网络访问控制(NAC)提供了最安全的方法？WhichofthefollowingprovidestheMOSTsecuremethodforNetworkAccessControl(NAC)?A)MAC过滤B)802.1x认证C)应用层过滤D)网络地址转换NAT答案:B解析:MAC认证直接在交换机端口做就可以了，网络里面安全性高的应该就是802.1x[单选题]63.WhyisplanningtheMOSTcriticalphaseofaRoleBasedAccessControl（RBAC）implementation?为什么规划是基于角色的访问控制（RBAC）实现的最关键阶段？A)Thecriteriaformeasuringriskisdefined.定义了衡量风险的标准。B)Userpopulationstobeassignedtoeachroleisdetermined.确定要分配给每个角色的用户总数。C)Roleminingtodefinecommonaccesspatternsisperformed.执行角色挖掘以定义公共访问模式。D)Thefoundationalcriteriaaredefined.定义了基本标准。答案:B解析:[单选题]64.组织需要共享一个高等级账户，应该A)减少组成员B)完整日志记录C)使用签出程序D)进行特权提升答案:C解析:略章节：模拟考试202201[单选题]65.安全从业人员检测组织网络上基于客户端的攻击。需要制定一项计划来解决这些问题。为了减少客户端利用,计划必须包括哪些内容?A)一个。经批准的网络浏览器B)网络防火墙过程C)代理配置D)员工教育答案:D解析:[单选题]66.在配置管理中,每个计算机系统必须维护哪些基础配置信息?A)操作系统和版本、修补程序级别、应用程序运行和版本。B)系统更改、测试报告和更改批准列表C)最后一份漏洞评估报告和初始风险评估报告D)上次更新、测试报告和认证证书的日期答案:A解析:[单选题]67.Kerberos使用对称密钥加密，在网络上向其他实体进行客户身份验证，并通过分配促进通信。A)令牌B)密码C)公共密钥D)会话密钥答案:D解析:<p>Thecorrectansweris"Sessionkeys".SessionkeysaretemporarykeysassignedbytheKDC<br/>Andusedforanallottedperiodoftimeasthesecretkeybetweentwoentities.Answerais<br/>IncorrectbecauseitreferstoasymmetricencryptionthatisnotusedinthebasicKerberos<br/>Protocol.AnswerPasswordsisincorrectbecauseitisnotakey,andanswerTokensis<br/>Incorrectbecauseatokengeneratesdynamicpasswords.<br/> </p>[单选题]68.以下哪些组件最难检测到的漏洞?A)内核B)共享库C)硬件D)系统应用答案:A解析:[单选题]69.Theapplicationownerofasystemthathandlesconfidentialdataleavesanorganization.Itisanticipatedthatareplacementwillbehiredinapproximatelysixmonths.Duringthattime,whichofthefollowingshouldtheorganizationdo?处理机密数据的系统的应用程序所有者离开组织。预计将在大约六个月内雇用一名替代人员。在此期间，组织应执行以下哪项操作？A)Gramtemporaryaccesstotheformerapplicationowner'saccountGram临时访问前应用程序所有者的帐户B)Assignatemporaryapplicationownertothesystem.为系统分配临时应用程序所有者。C)Restrictaccesstothesystemuntilareplacementapplicationownerrshired.在雇用替代应用程序所有者之前，限制对系统的访问。D)Preventchangestotheconfidentialdatauntilareplacementapplicationownerishired.答案:B解析:[单选题]70.一个组织正在设计一个大型的全企业文档存储库系统。他们计划有几个不同的分类级别区域,控制级别增加。确保存储库中文档机密的最佳方法是A)将存储库的内容进行编码,并记录该要求的任何例外。B)如果检测到过多的文件请求,请使用入侵检测系统(IDS)设置掉落连接。C)将访问高安全区域的个人从这些文件保存到较低的安全区域。D)要求有权访问该系统的个人签署保密协议(NDA)。答案:C解析:[单选题]71.部署数字证书时,以下哪项最重要?A)使用第三方证书颁发机构(CA)B)创建证书时使用不低于256位强度的加密C)验证是否符合X.509数字证书标准D)建立证书生命周期管理框架答案:D解析:[单选题]72.什么是诱发网络应用程序通信的最佳方式?A)安全哈希算法1(SHA-1)B)安全插座层(SSL)C)密码块链式消息身份验证码(CBC-MAC)D)转子或层安全(TLS)答案:D解析:[单选题]73.ThePRIMARYoutcomeofacertificationprocessisthatitprovidesdocumented认证过程的主要结果是，它提供了A)systemweaknessesforremediation.补救的系统缺陷。B)standardsforsecurityassessment,testing,andprocessevaluation.安全评估、测试和过程评估标准。C)interconnectedsystemsandtheirimplementedsecuritycontrols.互联系统及其实施的安全控制。D)securityanalysesneededtomakearisk-baseddecision.需要进行安全分析，以做出基于风险的决策。答案:D解析:[单选题]74.管理人要求管理高级成员对会计系统数据库进行具体更改。管理员被特别指示不要跟踪或证明机票的变化。以下哪一个是最好的行动方针?A)忽略请求,不执行电子更改。B)按要求执行更改,并依靠下一次审计来检测和报告情况。C)执行更改,但无论如何创建更改票证,以确保具有完全可追溯性。D)使用公司举报流程直接通知审计委员会或内部审计。答案:D解析:[单选题]75.Mostoperatingsystemsandapplicationsallowforadministratorstoconfigurethedatathatwillbecapturedinauditlogsforsecuritypurposes.Whichofthefollowingistheleastimportantitemtobecapturedinauditlogs?大多数操作系统和应用程序允许管理员配置那些为安全目的将在审计日志中捕获的数据,下列哪一项是在审计日志中被捕获的最不重要的项目?A)Systemperformanceoutputdata系统性能输出数据B)Lastuserwhoaccessedthedevice访问该设备的最后的用户C)Numberofunsuccessfulaccessattempts不成功的访问次数D)Numberofsuccessfulaccessattempts成功访问次数答案:A解析:系统的设计方式可以保数翻的机密性、完整胜和呵可用性。阿格中包含的研究工作站来自内部用户,最大限度地降低了分发数据风险。然而,分布式计算客户端中的隔离破坏可能是灾难性的,会使得破坏了控制器的人能控制组织中每个设备。[单选题]76.构建数据分类方案时,以下哪项是主要关注点?A)一个。目的B)成本效益C)可用性D)真实性答案:D解析:[单选题]77.Whichtechniquecanbeusedtomakeanencryptionschememoreresistanttoaknownplaintextattack?哪种技术可以使加密方案更能抵抗已知的明文攻击？A)Hashingthedatabeforeencryption加密前对数据进行哈希运算B)Hashingthedataafterencryption加密后对数据进行哈希运算C)Compressingthedataafterencryption加密后压缩数据D)Compressingthedatabeforeencryption加密前压缩数据答案:D解析:[单选题]78.以下哪一个是使用手动修补程序安装而不是自动安装的原因补丁管理?A)安装修补程序所需的成本将降低。B)系统仍然容易受到漏洞利用的时间将减少。C)系统或应用不兼容的可能性将降低。D)扩大了覆盖大片地理区域的能力。答案:C解析:[单选题]79.强制访问控制(MAC)基于:A)安全分类和安全许可B)数据细分和数据分类C)数据标签和用户访问权限D)用户角色和数据加密答案:A解析:[单选题]80.TheOpenWebApplicationSecurityProject's（OWASP）SoftwareAssuranceMaturityModel（SAMM）allowsorganizationstoimplementaflexiblesoftwaresecuritystrategytomeasureorganizationalimpactbasedonwhatriskmanagementaspect?开放式Web应用程序安全项目（OWASP）的软件保证成熟度模型（SAMM）允许组织实施灵活的软件安全策略，以基于什么风险管理方面来衡量组织的影响？A)Risktolerance风险承受度B)Riskexception风险例外情况C)Risktreatment风险处理D)Riskresponse风险应对答案:D解析:[单选题]81.AnemployeeofaretailcompanyhasbeengrantedanextendedleaveofabsencebyHumanResources（HR）.Thisinformationhasbeenformallycommunicatedtotheaccessprovisioningteam.WhichofthefollowingistheBESTactiontotake?人力资源部（HR）向一家零售公司的员工发放了延长的休假。此信息已正式传达给访问资源调配团队。以下哪项是最好的行动？A)Revokeaccesstemporarily.暂时吊销访问权限。B)Blockuseraccessanddeleteuseraccountaftersixmonths.六个月后阻止用户访问并删除用户帐户。C)Blockaccesstotheofficesimmediately.立即封锁通往办公室的通道。D)Monitoraccountusagetemporarily.暂时监视帐户使用情况。答案:D解析:[单选题]82.在数字身份配置过程中,以下哪项第一步?WhichofthefollowingistheFIRSTstepduringdigitalidentityprovisioning?A)为实体授权访问资源AuthorizingtheentityforresourceaccessB)同步目录SynchronizingdirectoriesC)发布一个初始随机密码IssuinganinitialrandompasswordD)创建具有正确属性的实体记录Creatingtheentityrecordwiththecorrectattributes答案:D解析:[单选题]83.识别数据泄露的最大挑战是什么?A)可用的技术工具,可监控用户活动。B)有文件记载的资产分类政策和明确的资产标签。C)高级管理层合作调查可疑行为。D)执法部门参与逮捕和审讯嫌疑人。答案:B解析:[单选题]84.出于分类的目的，以下哪项用于划分信任域与信任边界？Forthepurposeofclassification,whichofthefollowingisusedtodividetrustdomainandtrustboundaries?A)网络架构NetworkarchitectureB)完整性IntegrityC)身份管理IDMIdentityManagement(IdM)D)保密管理Confidentialitymanagement答案:A解析:datatrustboundaryisapointwheredatacomesfromanuntrustedsource.Forexample,userinputoranetworksocket[单选题]85.入侵检测系统/入侵预防系统(IDS/IPS)警报的初始响应应是什么?A)确保事件回购计划可用且当前可用。B)确定流量的初始来源并阻止适当的端口。C)禁用或断开可疑目标和源系统。D)验证威胁并确定攻击范围。答案:D解析:[单选题]86.主体声称身份的过程被称为什么?A)登录B)认证C)授权D)令牌呈现答案:B解析:主体声明身份的过程被称为认证。授权通过检查密码来验证主体的身份。登录通常包括认证和授权,选项D的令牌呈现也是一种认证。[单选题]87.以下哪一个影响数据分类?A)时间的流逝B)分配的安全标签C)多级安全(MLS)架构D)最小查询大小答案:A解析:[单选题]88.信息资产估值最重要的目标是什么?A)开发一致和统一的信息资产访问控制方法B)制定适当的访问控制政策和准则C)向组织的信息资产分配财务价值D)确定适当的保护级别答案:D解析:[单选题]89.copyrightprovidesprotectionforwhichofthefollowing?版权为以下哪项提供保护？A)Discoveriesofnaturalphenomena自然现象的发现B)Newandnon-obviousinvention新的非显而易见的发明C)Aparticularexpressionofanidea思想的特殊表达D)Ideasexpressednliteraryworks文学作品中表达的思想答案:C解析:[单选题]90.以下哪一项是安全事件的直接货币成本?A)道德B)声誉C)设备D)信息答案:C解析:[单选题]91.?残余风险?是指？A)控制实施后仍有的安全风险B)审计中的资产固有的安全风险，且风险缓解不会发生C)风险评估实施后仍有的风险D)能被威胁利用的资产的问题答案:A解析:<p>ResidualriskisnThesecurityriskthatremainsaftercontrolshavebeenimplemented"ISO/IECTR13335-1GuidelinesfortheManagementofITSecurity(GMITS),Part1:ConceptsandModelsforITSecurity,1996."Weaknessofanassetwhichcanbeexploitedbyathreat"isvulnerability."Theresultofunwantedincident"isimpact.Riskthatremainsafterriskanalysishasbeenperformedisadistracter.</p>[单选题]92.下列哪个是生物测定学系统的最关键的特征?A)可接受性B)准确性C)吞吐量D)可靠性答案:B解析:<p>Wedon'tagreewiththeoriginalanswer,whichwasthroughput.GrantedthroughputisvitalbutKrutzlistsaccuracyismostimportant.Inadditiontotheaccuracyofthebiometricsystems,thereareOTHERfactorsthatmustalsobeconsidered.Thesefactorsincludetheenrollmenttime,thethroughputrate,andacceptability.</p>[单选题]93.Whatdeterminesthelevelofsecurityof