域5-身份和访问管理（第13、14章）（OSG）复制

域5-身份和访问管理（第13、14章）（OSG）[复制]1.以下哪项最适合描述为关注主体并确定每个主体可以访问哪些对象的访问控制模型？（）[单选题]*A.访问控制列表B.隐式拒绝列表C.能力表(正确答案)D.权限管理矩阵答案解析：C.能力表列出了分配给主体的特权，并标识了主体可以访问的对象。访问控制列表是以对象为重点而不是主体为重点的。隐式拒绝是一种原则，指的是任何未明确允许的事物都被拒绝访问，而权限管理矩阵不是一种访问控制模型。2.吉姆的组织在整个组织范围内实施了IDaaS(身份验证与访问管理服务)，广泛支持基于云的应用。吉姆的公司没有内部身份管理人员，也不使用集中身份服务。相反，他们依靠ActiveDirectory(活动目录)进行AAA服务(认证、授权和计费服务)。以下选项中，吉姆应该推荐哪个选项来最好地处理公司的现场身份需求？（）[单选题]*A.使用OAuth(开放授权)集成现场系统。B.使用本地第三方身份服务。(正确答案)C.使用SAML(安全断言标记语言)集成现场系统。D.设计一个内部解决方案来处理组织的独特需求。答案解析：B.由于Jim的组织正在使用基于云的身份服务解决方案，一个第三方的本地身份服务可以与IDaaS解决方案集成，并且该公司使用的ActiveDirectory得到了第三方供应商的广泛支持。OAuth用于使用现有凭据登录第三方网站，但不符合描述的需求。SAML是一种标记语言，不能满足完整的AAA需求。由于组织正在使用ActiveDirectory，自定义的内部解决方案可能不如预先存在的第三方解决方案有效，并且可能需要更多的时间和费用来实施。3.以下哪项不是Kerberos的弱点？（）[单选题]*A.KDC(密钥分发中心)是单点故障。B.KDC(密钥分发中心)的妥协将允许攻击者冒充任何用户。C.认证信息未加密。(正确答案)D.它容易受到密码猜测的攻击。答案解析：C.Kerberos使用秘密密钥对消息进行加密，为身份验证流量提供保护。KDC既是单点故障，如果被攻击者入侵会导致问题，因为存储在KDC上的密钥可以允许攻击者冒充任何用户。和许多身份验证方法一样，Kerberos可能容易受到密码猜测攻击。4.声音模式识别属于哪种身份验证因素？（）[单选题]*A.你所知道的东西B.你所拥有的东西C.你的身体特征(正确答案)D.你所在的地方答案解析：C.语音模式识别是“你所拥有的”，一种生物识别身份验证因素，因为它测量的是个体身份验证者的物理特征。5.如果苏珊的组织要求她使用用户名、PIN码、密码和视网膜扫描来登录，她使用了多少种不同的身份验证因素类型？（）[单选题]*A.一种(正确答案)B.两种C.三种D.四种答案解析：B.Susan使用了两种不同类型的因素：PIN码和密码都是类型1的因素，视网膜扫描是类型3的因素。她的用户名不是因素。6.查尔斯想要部署一个凭证管理系统（CMS）。他希望将密钥保持尽可能安全。以下哪个选项是他的CMS实施的最佳设计选项？（）[单选题]*A.使用AES-256(高级加密标准-256位)而不是3DES(三重数据加密标准)。B.使用长密钥。C.使用HSM(硬件安全模块)。(正确答案)D.定期更换口令。答案解析：C.硬件安全模块（HSM）是存储与CMS相关的密钥最安全的方式。它们提供了增强的密钥管理功能，并且通常需要FIPS认证。除了这些优势外，由于专为此目的设计的专用硬件，HSM可以提高组织的加密性能。使用长密钥和AES-256是良好的做法，但HSM提供了更高的安全性，并且已经需要适当的加密控制。在整个组织中更改口令可能具有挑战性；相反，更重要和合理的是保护口令和密钥对大多数组织来说更重要。7.布赖恩是一家重要大学的研究人员。作为他的研究的一部分，他使用自己所在大学的凭证登录到另一所机构托管的计算集群。一旦登录成功，他可以根据自己在研究项目中的角色访问集群并使用资源，同时还可以使用他所在机构的资源和服务。布赖恩的母校大学实施了以下哪项来实现这一点？（）[单选题]*A.域叠加B.联合身份管理(正确答案)C.域嵌套D.混合登录答案解析：B.Brian的组织正在使用联合身份管理方法，多个组织允许身份在这些组织之间使用。每个组织都需要验证自己的员工身份并提供他们的权限和角色信息，以便他们在联合身份环境中使用资源。8.将以下步骤按照Kerberos身份验证过程的顺序排列。（）1.生成客户端/服务器票据2.生成TGT-初始票据授权（TicketGrantingTicket）3.生成客户端/TGS密钥-服务票据授权（TicketGrantingServer）4.用户访问服务5.用户提供身份验证凭据[单选题]*A.5,3,2,1,4B.5,4,2,1,3C.3,5,2,1,4(正确答案)D.5,3,1,2,4答案解析：A.在Kerberos身份验证过程中，步骤按照以下顺序进行：用户提供身份验证凭据；生成客户端/TGS密钥；生成TGT；生成客户端/服务器票证；用户访问服务。9.分散的访问控制通常会导致哪种主要问题？（）[单选题]*A.可能发生访问中断。B.控制不一致。(正确答案)C.控制过于细粒度。D.培训成本高。答案解析：B.分散访问控制可能导致较少的一致性，因为负责控制的个人可能以不同方式解释策略和要求，并可能以不同方式执行其角色。根据具体的实施情况，可能会出现访问中断、过度细粒度的控制和培训成本，但这些不是分散访问控制的常见问题。10.回拨到固定电话号码是哪种类型的因素的示例？（）[单选题]*A.你所知道的东西B.你所在的地方(正确答案)C.你所拥有的东西D.你的身体特征答案解析：B.对固定电话号码的回拨是“你所在的地方”因素的一个例子，因为有线电话具有固定的物理位置。对移动电话的回拨将是“你所拥有的”因素。11.凯瑟琳需要建立一个ActiveDirectory(活动目录)信任以允许与现有的KerberosK5域进行身份验证。她需要创建哪种类型的信任？（）[单选题]*A.快捷信任B.林信任C.外部信任D.领域信任(正确答案)答案解析：D.Kerberos使用领域（realm），在需要连接到K5域的ActiveDirectory环境中，建立适当类型的信任是领域信任（realmtrust）。快捷信任是在域树或域林中缩短信任路径的可传递信任，森林信任是两个根域之间的可传递信任，外部信任是分隔的AD域之间的非传递信任。12.以下哪种AAA协议是最常用的？（）[单选题]*A.TACACS-终端访问控制许可系统B.TACACS+-终端访问控制许可系统(正确答案)C.XTACACS-扩展终端访问控制许可系统D.超级TACACS-超级终端访问控制许可系统答案解析：B.TACACS+是列表中唯一的现代协议。它既具有TACACS和XTACACS的优点，还比RADIUS更具优势，包括对所有认证信息进行加密。SuperTACACS不是一个实际的协议。13.以下哪项不是单点登录实现？（）[单选题]*A.Kerberos-KerberosB.ADFS-ActiveDirectory联合身份验证服务（ActiveDirectoryFederationServices）C.CAS-中心认证服务（CentralAuthenticationService）D.RADIUS-远程身份验证拨号用户服务（RemoteAuthenticationDial-InUserService）(正确答案)答案解析：D.Kerberos、ActiveDirectory联合服务（ADFS）和中央认证服务（CAS）都是单点登录（SSO）的实现方式。RADIUS不是单点登录的实现方式，尽管一些供应商在幕后使用它来提供专有SSO的认证。14.如下图所示，Windows系统上的用户无法使用"发送消息"功能。哪种访问控制模型最能描述这种限制？（）[单选题]*A.最小权限原则B.需知原则C.受限接口(正确答案)D.职责分离答案解析：C.基于用户权限的界面限制是受限界面的一个例子。最小权限原则是指只向用户提供完成工作所需的权限，而知情权则基于主体是否需要了解信息来完成分配的任务进行访问限制。职责分离的重点是通过将任务分配给多个主体来防止欺诈或错误。15.哪种类型的访问控制允许文件的所有者使用访问控制列表向其他用户授予对文件的访问权限？（）[单选题]*A.基于角色的B.非自主的C.基于规则的D.自主的(正确答案)答案解析：D.当文件的所有者决定谁有权访问它时，他们正在使用自主访问控制。基于角色的访问控制将根据主体的角色授予访问权限，而基于规则的访问控制将基于一组规则或要求做出决策。非自主访问控制将一套固定的规则应用于环境中以管理访问。非自主访问控制包括基于规则、基于角色和基于格的访问控制。16.亚历克斯的工作要求他查看受保护的健康信息（PHI）以确保患者得到适当的治疗。他对患者的病历的访问并不提供对患者地址或账单信息的访问权限。哪种访问控制概念最能描述这种控制？（）[单选题]*A.职责分离B.受限接口C.上下文相关控制D.需知原则(正确答案)答案解析：D.当像Alex这样的主体只能访问完成工作所需的数据时，需要知情原则被应用。职责分离用于通过多个员工执行任务的部分来限制欺诈和滥用。受限界面限制用户可以查看或执行的操作，如果需要知情原则没有充分描述他的访问权限，则受限界面是一个合理的答案。依赖上下文的控制依赖于正在执行的活动来应用控制，而这个问题没有指定工作流程或流程。请根据您对Kerberos登录过程的了解，并参考以下图表，回答问题17-19题17.在图中的点A处，客户端将用户名和密码发送给KDC。用户名和密码是如何受到保护的？（）[单选题]*A.3DES加密-3重数据加密标准（TripleDataEncryptionStandard）B.TLS加密-传输层安全协议（TransportLayerSecurity）C.SSL加密-安全套接层协议（SecureSocketsLayer）D.AES加密-高级加密标准（AdvancedEncryptionStandard）(正确答案)答案解析：D.在Kerberos登录中，客户端使用AES对用户名和密码进行加密，然后将其发送给KDC。18.在图中的点B处，在验证用户名有效后，KDC向客户端发送了哪两个重要的元素？（）[单选题]*A.一个加密的TGT和一个公钥B.一个访问票据和一个公钥C.一个加密、时间戳的TGT和使用用户密码的哈希加密的对称密钥(正确答案)D.一个加密、时间戳的TGT和一个访问令牌答案解析：C.KDC使用用户的密码生成散列值，然后使用该散列值加密对称密钥。它将加密的对称密钥和加密的时间戳TGT同时传输给客户端。19.在客户端可以使用TGT（TicketGrantingTicket初始票据授权）之前，必须执行哪些任务？（）[单选题]*A.它必须生成TGT的哈希值并解密对称密钥。B.它必须接受TGT并解密对称密钥。(正确答案)C.它必须解密TGT和对称密钥。D.它必须使用对称密钥向KDC发送有效的响应，并安装TGT。答案解析：B.客户端需要接受TGT以供使用，直到其过期，并且还必须使用用户密码的散列值解密对称密钥。20.雅各布正在计划组织的生物特征认证系统，并考虑视网膜扫描。其他组织成员可能对视网膜扫描提出哪种关注？（）[单选题]*A.视网膜扫描可能透露有关医疗状况的信息。(正确答案)B.视网膜扫描会带来疼痛，因为需要对用户的眼睛进行一股气。C.视网膜扫描仪是最昂贵的生物识别设备类型。D.视网膜扫描仪的误识率较高，会引起支持问题。答案解析：A.视网膜扫描可以揭示额外的信息，包括高血压和怀孕等，引发隐私关注。较新的视网膜扫描不需要喷气，而视网膜扫描仪不是最昂贵的生物识别因素。它们的误报率通常可以通过软件进行调整，管理员可以根据需要调整其接受率，以在可用性和安全性之间取得平衡。21.强制访问控制是基于哪种类型的模型？（）[单选题]*A.自主B.基于群组C.基于格子(正确答案)D.基于规则答案解析：C.强制访问控制系统基于基于格的模型。基于格的模型使用分类标签矩阵来对数据进行分隔。自主访问模型允许对象所有者确定对他们所控制的对象的访问权限，基于角色的访问控制通常基于组，而基于规则的访问控制（如防火墙ACL）将规则应用于适用的所有主体。22.格雷格希望控制组织中用作销售点终端的iPad的访问权限。在共享环境中为设备提供逻辑访问控制，他应该使用以下哪种方法？（）[单选题]*A.为所有销售点终端使用共享的PIN码，以便更容易使用。B.使用OAuth允许每个用户的云登录。C.为分发给他们的iPad的每个用户发放一个唯一的PIN码。D.使用ActiveDirectory(活动目录)和用户帐户通过AD用户名和密码登录iPad。(正确答案)答案解析：D.使用像ActiveDirectory这样的企业身份验证系统，要求个人使用他们的凭据登录，可以确定如果出现问题，谁登录了，并且允许Greg快速轻松地移除被解雇或转换角色的用户。使用共享的PIN码没有追溯性，而为特定发放的iPad上的每个用户使用唯一的PIN码意味着其他人无法登录。OAuth本身无法提供Greg所需的服务和功能-它是一种授权服务，而不是身份验证服务。23.为身份使用提供可追溯性的最佳方法是什么？（）[单选题]*A.日志记录(正确答案)B.授权C.数字签名D.类型1身份验证答案解析：A.日志记录系统可以通过跟踪用户或帐户执行的操作、更改和其他活动，提供身份系统的追溯性。24.吉姆在过去几年中在公司中担任人力资源、工资和客户服务角色。他的公司应该执行以下哪种类型的流程，以确保他具有适当的权限？（）[单选题]*A.重新配置B.账户审查(正确答案)C.权限扩张D.账户撤销答案解析：B.当员工角色发生变化时，他们通常会遭受权限蔓延，即旧的权限和角色的累积。账户审查是审查账户并确保其权限与所有者的角色和工作要求相匹配的过程。账户吊销是指删除账户，而重新配置可能发生在员工被解雇并重新雇佣或休假后返回的情况下。25.Biba属于哪种类型的访问控制模型？（）[单选题]*A.强制访问控制（MAC）(正确答案)B.自主访问控制（DAC）C.基于角色的访问控制（RoleBAC）D.属性基访问控制（ABAC）答案解析：A.Biba使用格来控制访问，并且是强制访问控制（MAC）模型的一种形式。它不使用规则、角色或属性，也不允许用户自行决定。用户可以在其级别或更低级别创建内容，但不能决定谁可以访问，级别不是角色，属性不用于访问控制的决策。26.以下哪项是一个客户端/服务器协议，旨在允许网络访问服务器通过向中央服务器发送访问请求消息来对远程用户进行身份验证？（）[单选题]*A.Kerberos-凯伯拉斯B.EAP-可扩展认证协议C.RADIUS-远程身份验证拨号用户服务(正确答案)D.OAuth-开放授权答案解析：C.RADIUS是一种AAA协议，用于提供认证和授权；它通常用于调制解调器、无线网络和网络设备。它使用网络访问服务器将访问请求发送到中央RADIUS服务器。Kerberos是基于票据的认证协议；OAuth是一种开放标准，允许在第三方网站上使用来自其他网站的凭据；EAP是可扩展认证协议，通常用于无线网络。27.亨利正在与一支Web应用程序开发团队合作，负责公司新应用程序的身份验证和授权流程。团队希望使会话ID尽可能安全。以下哪项不是亨利应该推荐的最佳做法？（）[单选题]*A.会话ID令牌应该是可预测的。(正确答案)B.会话ID应具有至少64位的熵值。C.会话长度应至少为128位。D.会话ID应该是无意义的。答案解析：A.当前的Web应用程序开发最佳实践建议使用长的会话ID（128位或更长），具有足够的熵（随机性），以确保它们不容易被复制或暴力破解。还有一个最佳实践是确保会话ID本身没有意义，以防止信息泄露攻击。会话ID应该有过期时间，因为永不过期的会话最终可能被暴力破解，即使满足了所有这些建议。28.安吉拉使用网络嗅探器监视配置了默认设置的RADIUS(远程身份验证拨号用户服务)服务器的流量。她应该监视哪个协议，以及她能够读取哪些流量？（）[单选题]*A.UDP(用户数据报协议)，无。所有的RADIUS流量都是加密的。B.TCP(传输控制协议)，除了密码，其他所有流量都是可以读取的。C.UDP(用户数据报协议)，除了密码，其他所有流量都是可以读取的。(正确答案)D.TCP(传输控制协议)，无。所有的RADIUS流量都是加密的。答案解析：C.默认情况下，RADIUS使用UDP，并且只加密密码。RADIUS支持TCP和TLS，但这不是默认设置。29.NAC（网络接入控制）的姿势评估能力最符合哪种访问控制类型？（）[单选题]*A.强制访问控制B.基于风险的访问控制(正确答案)C.自由访问控制D.基于角色的访问控制答案解析：B.NAC的姿态评估能力确定系统是否足够安全和符合要求，以连接到网络。这是一种基于风险的访问控制形式，因为不符合要求的系统被认为是更高风险的，并且要么被放置在隔离和修复网络或区域中，要么被禁止连接到网络直到符合要求。30.当应用程序或系统允许已登录用户执行特定操作时，这是什么的例子？（）[单选题]*A.角色B.群组管理C.登录D.授权(正确答案)答案解析：D.授权为用户提供能力或权限。角色和组管理都是可用于将用户与权限匹配的方法。登录用于验证用户。31.Alex在公司工作了十多年，并且在公司中担任过多个职位。在一次审计中，发现他能够访问共享文件夹和应用程序，原因是他之前的角色所具有的权限。Alex的公司遇到了什么问题？（）[单选题]*A.过度授权B.未经授权的访问C.特权蔓延(正确答案)D.账户审查答案解析：C.权限蔓延是指用户在当前工作中不需要的权限保留了他们以前担任角色的权限。未经授权的访问是指未经授权的用户访问文件。过度授权不是用来描述权限问题的术语，而账户审查可以帮助发现此类问题。32.Geoff想要防止特权升级攻击。以下哪种做法最有可能防止横向特权升级？（）[单选题]*A.多因素身份验证(正确答案)B.限制组和账户的权限C.禁用未使用的端口和服务D.清理用户输入的应用程序答案解析：A.多因素身份验证最有可能通过使访问用户账户和对受损账户进行身份验证变得困难，从而限制水平特权升级。限制群组和账户的权限也可以有所帮助，但禁用未使用的端口和服务以及对用户输入进行清理都解决了与垂直特权升级攻击最常关联的威胁。33.Jim的MicrosoftExchange环境包括位于全球多个业务办公室的本地数据中心的服务器，以及适用于未在这些办公室之一的员工的Office365部署。在两个环境中都创建和使用身份，且可以在两者中使用。Jim正在运行哪种类型的联合系统？（）[单选题]*A.主要的云系统B.主要的本地系统C.混合系统(正确答案)D.多租户系统答案解析：C.混合系统使用本地和云身份和服务，为两个环境提供资源和工具。尽管它们可能复杂，但混合系统还提供了完全云部署的迁移路径，或者用于处理本地或云中断的容错设计，同时保持功能正常。34.下表展示了什么类型的访问控制方案？（）[单选题]*A.RBAC（基于角色的访问控制）B.DAC（自由访问控制）C.MAC（强制访问控制）(正确答案)D.TBAC（标签基础访问控制）答案解析：C.强制访问控制使用格或矩阵来描述分类标签之间的关系。在这个图像中，为每个显示的标签设置了分类级别。自主访问控制（DAC）系统将显示对象所有者如何允许访问。基于规则或角色的访问控制（RBAC）可以是一种或两种类型，使用系统范围的规则或角色。基于任务的访问控制（TBAC）将列出用户的任务。35.Michelle的公司正在将营销和传播部门拆分为两个独立的组。她想要创建能够访问每个组使用的资源的角色。为了维持适当的安全性和权限，她应该怎么做？（）[单选题]*A.将营销和传播团队都放入现有的组中，因为它们将有类似的访问要求。B.保留营销团队在现有组中，并根据其特定需求创建一个新的传播组。C.保留传播团队在现有组中，并根据其特定需求创建一个新的营销组。D.创建两个新组，评估其在角色执行中所需的权限，然后根据需要添加其他权限。(正确答案)答案解析：D.将现有权限复制到具有不同需求的新组通常会导致权限过于宽泛。Michelle应该创建新组，将所有员工移到适当的组中，然后确保他们具有所需的访问和权限。36.当一个主体声明一个身份时，发生了什么过程？（）[单选题]*A.登录B.鉴别(正确答案)C.授权D.令牌呈现答案解析：B.主体声明或表明身份的过程被称为标识（identification）。授权（authorization）通过检查密码等因素验证主体的身份。登录通常包括标识和授权，而令牌呈现是一种身份验证的类型。37.狗、保安和围栏都是什么类型的控制的常见例子？（）[单选题]*A.监控B.恢复C.行政D.物理(正确答案)答案解析：D.狗、保安和围栏都是物理控制的例子。虽然狗和保安可能会发现问题，但围栏不能，因此它们不都是检测控制的例子。这些控制措施都不能在问题发生后修复或恢复功能，因此它们不是恢复控制，它们也不是涉及政策或程序的行政控制，尽管保安可能在履行职责时参考它们。38.Susan的组织正在更新密码策略，并希望使用最强的密码。哪个密码要求对防止暴力破解攻击的影响最大？（）[单选题]*A.将最大使用期限从1年更改为180天。B.将最小密码长度从8个字符增加到16个字符。(正确答案)C.增加密码复杂性，要求至少三个字符类别（如大写字母、小写字母、数字和符号）。D.保留至少四个密码的密码历史记录，以防止重复使用。答案解析：B.密码复杂性取决于长度，比起较短的密码，较长的密码对抗暴力破解攻击更有效。每增加一个字符的长度，难度就增加了潜在字符集的大小倍数（例如，一个小写字符使密码难以破解的程度增加了26倍）。虽然其他设置对于强密码策略都有用，但对暴力破解攻击的影响不同。39.Alaina正在对服务账户进行定期审查。以下哪个事件应该是她最关注的？（）[单选题]*A.服务账户的交互式登录(正确答案)B.服务账户的密码更改C.对服务账户权限的限制D.使用服务账户进行本地操作答案解析：A.服务账户的交互式登录是一个重要的警告信号，可能意味着被入侵或不良的管理实践。在任何专业维护的环境中，远程交互式登录的服务账户几乎肯定是被入侵的迹象。更改服务账户的密码可能是作为持续密码过期流程的一部分进行的，应始终对服务账户的权限设置限制以确保仅满足所需权限，并且作为服务的一部分本地使用服务账户是正常事件。40.在使用生物识别技术的组织中，何时选择允许更高的FRR而不是更高的FAR？（）[单选题]*A.当安全性比可用性更重要时(正确答案)B.当数据质量使得虚假拒绝不成问题时C.当系统的CER未知时D.当系统的CER非常高时答案解析：A.对于不容忍误接受的严格安全要求的组织，希望将误接受率（FAR）降低到尽可能接近零的程度。这通常意味着误拒绝率（FRR）会增加。不同的生物识别技术或更好的注册方法可以改善生物识别性能，但由于数据质量引起的误拒绝通常不是现代生物识别系统的关注点。在这种情况下，了解交叉错误率（CER）或具有非常高的CER对决策没有帮助。41.在最近有关工作站在工作时间之后被非授权人员访问的报告后，Derek被要求找到一种方法，确保维护人员无法登录到业务办公室的工作站。维护人员在他们的休息室和办公室都有系统，他们仍然需要访问这些系统。Derek应该怎么做来满足这个需求？[单选题]*A.要求多因素身份验证，并只允许办公室人员拥有多因素令牌。B.使用基于规则的访问控制，在工作时间之后禁止业务区域的登录。C.使用基于角色的访问控制，设置一个包含所有维护人员的组，并为该组分配仅能登录指定工作站的权限。(正确答案)D.使用地理围栏技术，只允许在维护区域进行登录。答案解析：C.Derek最高效的做法是创建一个由所有维护人员组成的群组，然后仅为指定的计算机授予该群组的登录权限。虽然基于时间的约束可能会有所帮助，但在这种情况下，它仍然允许维护人员在营业时间内登录未被指定使用的计算机，从而导致控制上的漏洞。虽然描述的多因素身份验证不符合场景的要求，但总体上可能是为了在整个组织中提供更高安全性的身份验证的好主意。对于特定计算机来说，地理围栏通常不够准确，无法依赖它。43-45题，请根据您对SAML集成和安全架构设计的了解，并参考以下情景和图表：Alex负责与一家重要的第三方合作伙伴进行SAML集成，该合作伙伴为他的组织提供各种业务生产力服务。43.Alex对SAML流量的窃听以及确保伪造的断言不会成功表示担忧。为了防止这些潜在的攻击，他应该做什么？[单选题]*A.使用SAML的安全模式进行安全认证。B.使用强密码套件实施TLS，以防止这两种类型的攻击。C.使用强密码套件实施TLS并使用数字签名。(正确答案)D.使用强密码套件实施TLS和消息哈希。答案解析：C.TLS提供了消息的机密性和完整性，可以防止窃听。当与提供完整性和身份验证的数字签名配对使用时，还可以防止伪造断言。SAML没有安全模式，它依赖于TLS和数字签名以确保需要时的安全性。仅使用消息散列而没有签名将有助于防止消息的修改，但不一定提供身份验证。44.如果Alex的组织主要由外地的差旅用户组成，集成关键业务应用到现场身份验证会带来什么可用性风险，以及他该如何解决？[单选题]*A.第三方集成可能不可信；使用SSL和数字签名。B.如果本地组织离线，差旅用户将无法访问第三方应用程序；实施混合云/本地身份验证系统。(正确答案)C.本地用户可能无法正确重定向到第三方服务；实施本地网关。D.浏览器可能无法正确重定向；使用主机文件确保解决重定向问题。答案解析：B.如果本地组织的互联网连接或服务器脱机，与依赖本地身份验证的基于云的第三方的集成可能会失败。采用混合云和本地身份验证系统可以确保处理互联网或服务器中断，使得身份验证可以在用户所在地无论用户的组织是否在线都能正常工作。使用加密和签名的通信无法解决可用性问题，重定向是第三方的配置问题，本地网关无法处理远程用户。此外，主机文件对于除DNS以外的其他服务的可用性问题没有帮助。45.对于图表中第2步中控制SSO重定向的第三方，哪种解决方案可以最好地帮助解决相关问题？[单选题]*A.关于可信第三方的意识活动(正确答案)B.TLSC.在本地站点处理重定向D.实施入侵防御系统（IPS）以捕获SSO重定向攻击答案解析：A.虽然许多解决方案是技术性的，但如果信任的第三方重定向到意外的身份验证网站，意识通常是最好的防御手段。使用TLS可以保持事务的机密性，但无法防止重定向。处理本地重定向仅适用于本地托管的站点，并且使用第三方服务需要离线重定向。入侵防御系统（IPS）可能会检测到攻击者的重定向，但追踪大型提供商使用的大量负载平衡服务器可能具有挑战性，甚至是不可能的。此外，IPS依赖于对流量的可见性，并且SAML集成应该加密以确保安全，这将需要配置一种类似中间人的IPS。46.Susan被要求推荐她的组织应该使用MAC方案还是DAC方案。如果灵活性和可扩展性是实施访问控制的重要要求，她应该推荐哪种方案以及为什么？[单选题]*A.MAC，因为它提供更大的可扩展性和灵活性，只需根据需要添加更多的标签。B.DAC，因为允许个别管理员对他们控制的对象做出选择，提供了可扩展性和灵活性。(正确答案)C.MAC，因为分隔性非常适合灵活性，通过添加分隔可以实现良好的扩展性。D.DAC，因为集中决策过程可以快速响应，并通过减少所需的决策数量和将这些决策移到中央机构，提供可扩展性和灵活性。答案解析：B.自主访问控制（DAC）可以通过利用许多管理员提供更大的可伸缩性，这些管理员可以在不符合僵化的强制访问控制系统（MAC）的前提下，决定对其对象的访问进行决策，从而增加灵活性。MAC由于提供了一套强大的控制措施，更安全，但与DAC相比，它的可伸缩性不如DAC，并且相对不够灵活。47.以下哪种工具通常不用于验证按照确保组织安全策略的方式执行了供应过程？[单选题]*A.日志审查B.手动审核权限C.基于签名的检测(正确答案)D.审查审计日志答案解析：C.虽然基于签名的检测用于检测攻击，但对供应配置过程的审查通常涉及检查日志、审查审计轨迹或对供应配置过程中授予权限的手动审查。48.Jessica需要将她提供的服务信息发送给第三方组织。她应选择哪种基于标准的标记语言来构建接口？[单选题]*A.SAML-安全断言标记语言B.SOAP-简单对象访问协议C.SPML-服务提供者元数据语言(正确答案)D.XACML-可扩展访问控制标记语言答案解析：C.服务供应标记语言（SPML）是一种基于XML的语言，旨在允许平台生成和响应供应配置请求。SAML用于生成授权和认证数据，而XACML用于描述访问控制。SOAP（简单对象访问协议）是一种消息传递协议，可以用于任何XML消息传递，但它本身不是一种标记语言。49.在渗透测试中，Chris恢复了一个包含系统中哈希密码的文件。最有可能成功的是针对哈希密码的哪种攻击？[单选题]*A.暴力破解攻击B.传递哈希攻击C.彩虹表攻击(正确答案)D.盐值恢复攻击答案解析：C.彩虹表是预先计算的密码哈希与高速查找函数配对的数据库。由于它们可以快速比较已知哈希与文件中的哈希，使用彩虹表是快速确定哈希值的密码的方法。暴力破解攻击可能最终会成功，但对大多数哈希值来说速度非常慢。哈希传递攻击依赖于被嗅探或以其他方式获取的NTLM或LanMan哈希发送到系统，以避免知道用户的密码。盐是添加到哈希中的数据，以避免使用彩虹表等工具。添加到密码中的盐意味着哈希值不会与没有相同盐生成的彩虹表匹配。50.谷歌与不同领域的组织和应用程序进行身份集成是以下哪种情况的示例？[单选题]*A.PKI（公钥基础设施）B.联合身份管理(正确答案)C.单点登录D.资源供应答案解析：B.Google与其他应用程序和组织的联合允许单一登录，以及管理他们的电子身份及其相关属性。虽然这是单一登录的一个例子，但它超越了简单的单一登录。供应配置提供账户和权限，公钥基础结构用于证书管理。51.Amanda开始新工作，并发现她可以访问许多与她的工作无关的系统。她遇到了什么问题？[单选题]*A.特权蔓延B.权限冲突C.最小权限原则D.过度权限(正确答案)答案解析：D.当用户拥有比他们完成工作所需的权限更多时，他们具有过度特权。这违反了最小权限的概念。与权限蔓延不同，这是一个供应配置或权限管理的问题，而不是用户保留了他们不再需要的权限的问题。权限冲突是一个虚构的术语，在这里并不是一个问题。52.当Chris验证一个人的身份并将唯一标识符（如用户ID）添加到身份系统中时，发生了什么过程？[单选题]*A.身份验证B.注册(正确答案)C.目录管理D.会话管理答案解析：B.注册是将用户添加到身份管理系统的过程。这包括创建他们的唯一标识符并添加与其身份相关联的任何属性信息。验证是当用户提供信息来证明他们的身份时发生的。目录是管理用户、服务和其他项目的列表。会话管理跟踪应用程序和用户会话。54.Charles希望作为他的Web应用程序的一部分提供授权服务。如果他想要与其他Web身份提供者轻松集成，应该使用哪种标准？[单选题]*A.OpenID-开放式身份验证B.TACACS+-终端访问控制器加强版C.RADIUS-远程认证拨号用户服务D.OAuth-开放授权(正确答案)答案解析：D.OAuth是最广泛使用的云服务授权和权限委派的开放标准。OpenID用于身份验证，而TACACS+和RADIUS主要用于现场网络设备的身份验证和授权。55.Cameron所在的公司使用一种系统，允许用户在必要时请求对系统的特权访问。Cameron提交了访问请求，由于他的角色而被预先批准。然后，他可以访问系统执行任务。完成后，权限被移除。他使用的是哪种类型的系统？[单选题]*A.零信任B.联合身份管理C.单点登录D.及时访问(正确答案)答案解析：D.Cameron正在使用一个即时制（JIT）系统，该系统在需要时提供所需的访问权限。零信任系统要求在执行操作时进行身份验证和授权，但不一定要在需要时授予权限和移除权限。56.Elle负责构建一个银行网站。她需要对注册网站的用户的身份进行验证。她应该如何验证用户的身份？[单选题]*A.要求用户创建只有他们自己知道的唯一问题。B.要求新用户亲自携带驾驶执照或护照前往银行。C.使用银行和用户都知道的信息，如从信用报告中提取的问题。(正确答案)D.拨打用户注册的电话号码，以验证他们所声称的身份。答案解析：C.身份验证可以通过比对组织已经拥有的用户信息，例如账户号码或个人信息来进行。要求用户创建独特的问题可以帮助未来的支持，提供了一种密码重置的方式。仅通过电话呼叫只能验证创建账户的个人拥有他们注册的电话，无法证明他们的身份。面对面的验证不适合大多数网站的业务需求。57.Susan所在的组织是一个允许来自多个组织的用户访问其他联合站点资源和服务的联合体的一部分。当Susan想要在合作伙伴站点使用某项服务时，使用哪个身份提供者？[单选题]*A.Susan所在组织的身份提供者(正确答案)B.服务提供商的身份提供者C.他们的身份提供者和服务提供商的身份提供者D.服务提供商创建一个新的身份答案解析：A.联合身份使用用户所属组织的身份提供者（IDP）。当用户尝试对服务进行身份验证时，服务提供者会查询这些身份提供者，如果请求得到验证，则根据IDP提供的相关属性所设定的规则和策略允许访问。58.一家使用指纹扫描仪对用户进行身份验证的银行的新客户在扫描他的指纹后惊讶地发现自己登录到了另一个客户的账户。发生了哪种类型的生物特征错误？[单选题]*A.注册错误B.AType1错误C.AType2错误(正确答案)D.使用时间和方法错误（Atimeofuse,methodofuseerror）答案解析：C.在生物识别系统中，当一个无效的主体被错误地认证为有效用户时，发生了2类错误。在这种情况下，只有实际的客户应该在扫描指纹时得到验证。1类错误发生在未对有效主体进行认证时；如果现有客户被拒绝，这将是1类错误。注册是添加用户的过程，但注册错误和使用时间、使用方法的错误不是特定的生物识别认证术语。59.防火墙通常使用哪种类型的访问控制？[单选题]*A.自由访问控制B.基于规则的访问控制(正确答案)C.基于任务的访问控制D.强制访问控制答案解析：B.防火墙在其访问控制列表中使用基于规则的访问控制（Rule-BAC），并将管理员创建的规则应用于通过它们的所有流量。自主访问控制（DAC）允许所有者确定谁可以访问他们控制的对象，而基于任务的访问控制列表列出了用户的任务。强制访问控制（MAC）使用分类来确定访问权限。60.当您输入用户ID和密码时，您正在进行哪个重要的身份和访问管理活动？[单选题]*A.授权B.验证C.认证(正确答案)D.登录答案解析：C.当您输入用户名和密码时，您通过提供唯一标识符和验证您是应该拥有该标识符的人（密码）来进行身份验证。授权是确定用户被允许做什么的过程。验证和登录都描述了过程中发生的一些元素，然而，它们不是最重要的身份和访问管理活动61.Kathleen在一家为个人和组织提供物理数据中心空间的数据中心托管设施工作。直到最近，每个客户都被给予一张基于磁条的门禁卡，用于访问其服务器所在的设施区域，同时他们也被给予一把钥匙用于访问其服务器所在的机架或笼子。在过去一个月中，有多台服务器被盗，但门禁卡的日志仅显示有效的ID。Kathleen最好的选择是确保门禁卡用户的身份与其应该是的身份一致的是什么？[单选题]*A.添加一个需要门禁卡用户输入PIN的读卡器。B.在设施内添加摄像系统以观察谁在访问服务器。C.添加生物特征因素。(正确答案)D.将基于磁条的门禁卡替换为智能卡。答案解析：C.Kathleen应该实施一种生物识别因素。卡和钥匙是2类因素（"somethingyouhave"），使用智能卡只是用另一种2类因素替换，但卡仍然可能被借出或丢失。添加PIN码会遇到同样的问题：PIN码可能会被盗。添加摄像头不能阻止对设施的访问，因此无法解决眼下的问题（但这是个好主意！）。62.Theresa希望允许她的员工安全地存储和管理系统的密码，包括服务账户和其他很少使用的管理员凭据。她应该实施哪种类型的工具来实现这一目标？[单选题]*A.单点登录B.联合身份系统C.密码管理器(正确答案)D.多因素身份验证系统答案解析：C.企业密码管理工具可以安全地生成、存储和管理密码。它们可以提供使用密码的用户、密码更新时间以及密码是否符合复杂性和其他要求的日志。当然，这意味着您的环境的密钥都在一个地方，因此保护和管理企业密码管理器非常重要！63.Olivia想要通过限制用户可以通过sudo运行的命令来限制特权升级攻击的潜在可能性。她应该修改哪个Linux文件来实现这一目标？[单选题]*A.bash的.bin配置文件B.sudoers文件(正确答案)C.bash的.allowed配置文件D.sudont文件答案解析：B.sudoers文件可以列出可以使用sudo的特定用户，以及允许他们执行的命令或目录。64.在MAC（强制访问控制）模型中，哪些对象和主体具有标签？[单选题]*A.被分类为机密、秘密或最高机密的对象和主体具有标签。B.所有对象都有标签，所有主体都有一个隔离区。C.所有对象和主体都有标签。(正确答案)D.所有主体都有标签，所有对象都有一个隔离区。答案解析：C.在强制访问控制系统中，所有主体和对象都有一个标签。可以使用分区，也可以不使用，但对主体或对象没有特定的分区要求。机密、秘密和绝密的具体标签不是强制访问控制所要求的。65-67题，请参考以下情景和图表：Chris是一个不断增长的电子商务网站的身份架构师，他希望利用社交身份。为此，他和他的团队打算允许用户在使用电子商务网站时使用他们现有的Google账户作为主要账户。这意味着当新用户初始连接到电子商务平台时，他们可以选择使用OAuth2.0使用他们的Google账户，或者使用自己的电子邮件地址和自己选择的密码在平台上创建一个新账户。65.当电子商务应用程序为Google用户创建一个账户时，该用户的密码应存储在哪里？[单选题]*A.密码存储在电子商务应用程序的数据库中。B.密码存储在电子商务应用程序服务器的内存中。C.密码存储在Google的账户管理系统中。D.密码从不存储；相反，一个加盐哈希值存储在Google的账户管理系统中。(正确答案)答案解析：D.在良好设计的环境中，Web应用程序从不存储密码。相反，存储的是加盐哈希值，并在加盐和哈希化后与密码进行比较。如果哈希值匹配，用户被认证。66.谁负责对Google用户进行用户身份验证？[单选题]*A.电子商务应用程序。B.电子商务应用程序和Google服务器都负责。C.Google服务器。(正确答案)D.图表中没有提供足够的信息来确定。答案解析：C.当第三方站点通过OAuth2.0进行集成时，身份验证由服务提供商的服务器处理。在这种情况下，谷歌充当用户身份验证的服务提供商。对于创建自己账户的本地用户，身份验证将在电子商务应用程序（或相关服务器）中进行，但这不是这里所问的问题。67.创建和交换状态令牌旨在防止哪种类型的攻击？[单选题]*A.XSS（跨站脚本攻击）B.CSRF（跨站请求伪造）(正确答案)C.SQL注入D.XACML(可扩展访问控制标记语言)答案解析：B.在OAuth会话期间交换的反伪造状态令牌旨在防止跨站点请求伪造。它确保将认证响应中唯一的会话令牌用于验证请求的真实用户，而不是攻击者。XSS攻击主要涉及脚本，会涉及脚本标签，SQL注入会包含SQL代码，而XACML是可扩展访问控制标记语言，不是一种攻击类型。68.类似“你宠物的名字是什么？”的问题属于以下哪种类型的身份验证？[单选题]*A.基于知识的身份验证(正确答案)B.动态基于知识的身份验证C.带外身份验证D.第三类认证因素答案解析：A.基于知识的身份验证依赖于预设的问题，例如“你的宠物叫什么名字？”和答案。由于答案在社交媒体或其他网站上容易获取，这种方法容易受到攻击。基于动态知识的身份验证依赖于用户已知的事实或数据，可以用来创建用户可以根据需要回答的问题（例如，先前的地址或曾经上过的学校）。基于另一个通道（如电话呼叫或短信）的身份验证依赖于另一个通道。最后，Type3身份验证因素是生物识别，或者说“somethingyouare”，而不是基于知识的身份验证。69.Madhuri创建了一个包含分配的权限、对象和主体的表格，以管理她负责的系统的访问控制。每当一个主体尝试访问一个对象时，系统会检查该表格以确保主体对对象具有适当的权限。Madhuri正在使用哪种类型的访问控制系统？[单选题]*A.能力表B.访问控制列表C.访问控制矩阵(正确答案)D.主体/对象权限管理系统答案解析：C.访问控制矩阵是一个表，列出了对象、主体及其权限。访问控制列表关注的是对象以及哪些主体可以访问它们。功能表列出了主体和他们可以访问的对象。主体/对象权限管理系统不是基于访问控制模型的。70.在审查支持票据时，Ben的组织发现密码更改占其帮助台案例的四分之一以上。以下选项中哪个最有可能显著减少这个数字？[单选题]*A.双因素身份验证B.生物特征身份验证C.自助密码重置(正确答案)D.密语密码（Passphrases）答案解析：C.自助密码重置工具通常会显著影响帮助台的密码重置联系次数。双因素和生物识别身份验证都增加了复杂性，并可能实际上增加联系次数。口令短语可能比传统复杂密码更容易记住，可能会减少联系次数，但它们没有自助系统产生的影响那么大。71.Brian所在的大型组织多年来一直使用RADIUS(远程身份验证拨号用户服务)提供网络设备的AAA服务，并最近意识到在身份验证过程中传输的未加密信息存在安全问题。Brian应该如何为RADIUS实施加密？[单选题]*A.使用RADIUS中的内置加密功能。B.在原生UDP(用户数据报协议)上实现RADIUS，并使用TLS(传输层安全)进行保护。C.使用TCP(传输控制协议)上的RADIUS，并使用TLS(传输层安全)进行保护。(正确答案)D.在设备之间使用AES256(高级加密标准256位)预共享密码。答案解析：C.RADIUS支持通过TCP进行TLS加密。RADIUS不支持通过UDP进行TLS加密。使用预共享的对称密码AES不是一种受支持的解决方案，实施和维护大型环境中的此类解决方案将非常困难，并且RADIUS的内置加密仅保护密码。72.Jim希望允许基于云的应用程序代表他访问其他站点的信息。以下哪种工具可以实现这一目标？[单选题]*A.Kerberos-（网络身份验证协议）B.OAuth-开放授权（开放标准的授权协议）(正确答案)C.OpenID-开放式身份标识（开放标准的身份验证协议）D.LDAP-轻量级目录访问协议（用于访问和维护分布式目录信息的协议）答案解析：B.OAuth提供从另一个服务访问资源的能力，符合Jim的需求。OpenID允许他在应用程序中使用来自其他服务的帐户，而Kerberos和LDAP更常用于内部服务。73.Ben的组织在午餐时间员工离开办公桌时遭遇了未经授权的应用程序和工作站访问问题。对于Ben来说，以下哪种类型的会话管理解决方案最能帮助防止这种访问？[单选题]*A.对所有访问使用会话ID，并验证所有工作站的系统IP地址。B.为应用程序设置会话超时，并在工作站上使用带有不活动超时的密码保护屏幕保护程序。(正确答案)C.对所有应用程序使用会话ID，并在工作站上使用带有不活动超时的密码保护屏幕保护程序。D.为应用程序设置会话超时，并验证所有工作站的系统IP地址。答案解析：B.由于对工作站的物理访问是问题的一部分，设置应用程序超时和带有相对较短的不活动超时时间的密码保护屏幕保护程序可以帮助防止未经授权的访问。对所有应用程序使用会话ID并验证系统IP地址对于针对应用程序的在线攻击将是有帮助的。74.以下图表显示的是哪种类型的身份验证场景？[单选题]*A.混合联合(正确答案)B.现场联合C.云联合D.Kerberos联合答案解析：A.这个图示展示了一个混合联合身份验证的示例，其中认证发生在本地，并通过云中的联合身份服务提供服务。76.类似Yubikey或TitanSecurityKey的设备属于哪种类型的第二类身份验证因素？[单选题]*A.令牌(正确答案)B.生物特征识别器C.智能卡D.PIV答案解析：A.Yubikey、Titan安全密钥和类似设备是令牌的例子。PIV代表个人身份验证，是一种完整的多因素身份验证解决方案，而不是一个设备。生物识别特征是“somethingyouare”，而智能卡是带有嵌入式芯片的卡片。77.与OAuth配对使用以执行身份验证并使用RESTfulAPI（基于REST架构的应用程序接口）获取用户配置文件信息的身份验证技术是什么？[单选题]*A.SAML-安全断言标记语言（一种用于在身份验证和授权过程中传递安全断言的标准）B.Shibboleth-（一种用于跨网络进行身份验证和授权的单一登录解决方案）C.OpenIDConnect-（一种基于OAuth2.0协议的身份验证和授权协议）(正确答案)D.Higgins–(一个开源项目，旨在提供跨多个身份验证和授权系统的一致性身份管理解决方案）答案解析：C.OpenIDConnect是一种基于RESTful和JSON的身份验证协议，当与OAuth配对使用时，可以提供身份验证和基本配置文件信息。SAML是安全断言标记语言，Shibboleth是设计用于允许基于Web的SSO的联合身份解决方案，而Higgins是一个开源项目，旨在使用户能够控制其身份信息的发布。78.Jim想要实施一种访问控制方案，以确保用户无法委派访问权限。他还希望在操作系统级别执行访问控制。哪种访问控制机制最符合这些要求？[单选题]*A.基于角色的访问控制B.自主访问控制C.强制访问控制(正确答案)D.基于属性的访问控制答案解析：C.在强制访问控制系统中，操作系统执行访问控制，用户无法委派权限。自由访问控制允许用户委派权限，而属性访问控制和角色访问控制都不特别符合这些要求。79.Susan所在公司的安全管理员已配置她使用的工作站，只允许她在工作时间内登录。哪种类型的访问控制最能描述这种限制？[单选题]*A.有限界面B.上下文相关控制(正确答案)C.内容相关控制D.最小特权答案解析：B.基于时间的控制是上下文相关控制的一个例子。受限界面将限制Susan在应用程序或系统界面中所能做的事情，而基于内容的控制将根据她的角色或权限限制她对内容的访问。最小权限用于确保主体只获得他们所需的权限来执行其角色。80.Ben使用一种每分钟更改一次代码的软件令牌。他使用的是哪种类型的令牌？[单选题]*A.异步令牌B.智能卡C.同步令牌(正确答案)D.静态令牌答案解析：C.同步软令牌（如GoogleAuthenticator）使用基于时间的算法生成不断变化的代码序列。异步令牌通常需要在令牌上输入一个挑战，以允许它计算一个响应，服务器将该响应与其期望的响应进行比较。智能卡通常呈现证书，但可能具有其他令牌功能。静态令牌是包含凭证的物理设备，包括智能卡和存储卡。81.防火墙是什么类型的访问控制机制的例子？[单选题]*A.强制访问控制B.基于属性的访问控制C.自主访问控制D.基于规则的访问控制(正确答案)答案解析：D.防火墙基于规则集进行操作，是一种基于规则的访问控制方案的例子。82.Michelle在一家金融服务公司工作，并希望为她的Web应用程序注册客户。如果她希望在初始登录时快速自动验证该人是否是他们声称的身份，而无需与他们有先前的关系，她可以使用哪种类型的身份验证机制？[单选题]*A.请求其社会安全号码。B.使用基于知识的身份验证。(正确答案)C.进行手动身份验证。D.使用生物特征因素。答案解析：B.基于知识的身份验证被一些金融机构用于验证新用户的身份。它使用来自税务和金融记录的信息，这些信息对于其他人来说很难获取，允许新用户提供诸如最后一次信用卡付款、抵押贷款付款或其他信息来验证其身份。社会安全号码可能通过付费服务或其他方式很容易获取，手动验证身份既不快速也不自动。生物特征因素需要先前的注册，因此对于新客户来说不合适。84.会话ID的长度和会话ID的熵对于防止以下哪种类型的攻击都很重要？[单选题]*A.拒绝服务攻击B.Cookie盗窃C.会话猜测(正确答案)D.中间人攻击答案解析：C.会话管理的最佳实践涉及长时间的会话ID（通常为128位或更长）以及足够的随机性或熵，使得猜测会话ID变得困难。这使得暴力破解或算法猜测攻击变得不太可能，除非实现中存在缺陷。这些措施不能防止拒绝服务或中间人攻击，而Cookie攻击通常侧重于获取、读取或重复使用Cookie。85.Naomi所在组织的访问控制系统会在允许她连接到网络之前检查她的计算机是否完全打补丁，是否成功进行了清理的反恶意软件扫描，以及防火墙是否打开等其他安全验证。如果存在潜在问题，她将无法连接并必须联系支持部门。以下哪种类型的访问控制方案最能描述这种过程？[单选题]*A.MAC（强制访问控制）B.基于规则的访问控制C.基于角色的访问控制D.基于风险的访问控制(正确答案)答案解析：D.基于风险的访问控制模型根据访问请求创建时可用的信息来评估风险。基于风险值和访问策略进行风险计算，并与访问策略进行比较。如果风险值可接受，则授予访问权限。在组织中最常见的例子之一是网络访问控制（NAC），它对系统进行配置文件分析，以确定接入网络的安全风险和合规性。这可以看作是基于规则的访问控制的更具体的例子。基于角色的访问控制根据个人的角色进行决策，而强制访问控制是由操作系统强制执行的。86.Isabelle希望通过她所在组织的服务账户防止特权升级攻击。以下哪项安全实践最适合此目的？[单选题]*A.移除不必要的权限。(正确答案)B.禁用服务账户的交互式登录。C.限制账户的登录时间。D.使用无意义或随机化的名称来命名服务账户。答案解析：A.保护服务帐户最重要的步骤是确保它们只具有实现其设计任务所需的权限。禁用交互式登录也很重要，将是下一个最佳答案。限制帐户可以登录的时间并使用随机化或无意义的帐户名称在某些情况下可能都有所帮助，但远不如前两者重要。87.允许OpenID依赖方控制与OpenID提供方的连接会带来什么危险？[单选题]*A.可能导致选择错误的正确OpenID提供方。B.可能造成通过将数据发送到假冒的OpenID提供方进行网络钓鱼攻击的可能性。(正确答案)C.依赖方可能能够窃取客户的用户名和密码。D.依赖方可能不会发送签名的断言。答案解析：B.允许依赖方提供重定向到OpenID提供商可能会导致钓鱼攻击，将客户端引导到一个虚假的OpenID提供商，从而捕获有效的凭据。由于客户端提供OpenID提供商的URL，依赖方不能选择错误的提供商。依赖方从不收到用户的密码，这意味着他们无法窃取密码。最后，依赖方接收已签名的断言，但不发送断言。88.Jim正在为他的组织实施云身份解决方案。他正在使用的是哪种类型的技术？[单选题]*A.身份作为服务（Identityasaservice）(正确答案)B.员工ID作为服务（EmployeeIDasaservice）C.云端RADIUS（Cloud-basedRADIUS）D.OAuth答案解析：A.IDaaS（作为第三方服务的身份）提供身份平台作为第三方服务。这可以提供一些好处，包括与云服务的集成以及去除传统本地身份系统维护的开销，但也会带来风险，因为第三方控制身份服务并依赖于离线身份基础设施。89.Kristen希望根据员工的职位、每个职位组对应的应用程序权限以及时间和地点的组合来控制对组织中的一个应用程序的访问权限。她应该选择哪种类型的控制方案？[单选题]*A.基于属性访问控制（ABAC）(正确答案)B.自主访问控制（DAC）C.强制访问控制（MAC）D.基于角色的访问控制（RoleBAC）答案解析：A.在ABAC中使用的属性通常可以分为四个类别：主体属性（如部门或职位）；操作属性（如查看、编辑或删除的能