网络安全模拟一.docx

《网络安全模拟一.docx》由会员分享，可在线阅读，更多相关《网络安全模拟一.docx（41页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网络安全模拟一1.一个安全从业人员负责用加密算法来实施邮件安全。他选择了开放PGP来实施。他采用了下面哪个密码算法来创建用户的公钥（）? A.EIGamal EIGamal算法(正确答案)B.International Data Encryption Algorithm(IDEA)IDEA算法C.Advanced Encryption Standard(AES)AES算法D.Triple Data Encryption Algorithm(3DES)3DES算法答案解析：非对称算法:ElGamal算法 RSA算法 ECC算法 对称算法:IDEA算法 AES算法 3DES算法2.一个安全从业人员

2、负责用加密算法来实施邮件安全。他选择了开放PGP来实施。CISSP应当选择下面哪组算法来创建邮件的数字签名（）? A.RSA和SHA-1联合使用(正确答案)B.RSA和MD5联合使用C.AES和SHA-1联合使用D.AES和MD5联合使用答案解析：MD5已经不安全了3.组织正在决定是否需要配置管理系统(CMS),来同时支持操作系统和软件配置管理(SCM)。目前的做法是,对环境通过故障排除,升级和打补丁来支持测试和生产的系统和软件。组织扩张导致了一个更复杂和相互关联的信息系统(IS)环境。近日,由于配置不一致,导致关键业务的生产系统和应用程序发生停机事故。该组织并没有确定存在任何法律或监管的要求

3、,实行严格的配置管理控制,然而,新合同要求该公司的系统是安全稳定允许的。 管理层已要求安全部门介入。组织最关注的关于配置管理的要求是哪方面（）? A.the use of confidential information.机密信息的使用B.data integrity.数据完整性C.system availability.系统可用性(正确答案)D.privacy issues.隐私问题4.一个组织是独自占了一个位于一个大城市商业区的20层楼建筑。该组织有若干个有本地服务器的分支机构,距离总部办公室大约方圆1000英里(1600公里)内。所有工作人员,包括那些在分支办事处的员工都分配了身份识别卡

4、,游客分配了临时徽章。 安全人员来负责制定业务连续性计划/灾难恢复计划(BCP/DRP).下面BCP/DRP哪个阶段将包括搬迁到主站点（）? A.Assessment 评估B.Restoration 还原(正确答案)C.Recovery 恢复D.Initiation 启动答案解析：还原是各站点切回主站点 恢复是主站点切到备站点5.下面哪项最好的解释了为什么计算机信息系统经常不能够满足用户需求（）? A.不充分的质量保证(QA)工具B.用户需求经常变化C.系统需求阶段用户参与不充分(正确答案)D.不充分的项目管理6.一个web应用的用户注意到,可以用书签收藏应用程序并返回到它,即使关闭电脑后,仍

5、然有效。用户还注意到,用户的ID被嵌入在应用程序的URL。当改为另一个有效的用户ID,应用程序允许用户可以用其他用的会话中的有效ID使用程序。这表明了编程存在什么缺陷（）? A.应用程序假定了所有用户都已经登录B.应用程序没有正确的维持会话状态(正确答案)C.应用程序在认证错误时打开失败D.应用程序失效进入特权状态7.除了确保计算机系统的变更发生在可识别和可控的环境中,配置管理还提供了保障措施,保证未来的变化（）? A.应用软件不能绕过系统的安全特性B.不能对安全策略的实施造成不利影响(正确答案)C.操作系统总能收到独立的验证和核查D.在技术文档中维护对可信计算基的精准描述8. 下面哪组是配置

6、管理的主要任务（）? A.程序管理、系统工程和质量保证B.需求确认、 设计和系统集成、测试C.根据初始和后续的基线进行独立的核查和验证D.对配置项变更进行识别、控制、配置状态跟踪和审计(正确答案)9.如果计算机系统中包含了机密信息,用户必须不能（）? A.离开计算机而不退出登录(正确答案)B.Share their desks.共享他们的桌面C.Encrypt their passwords.加密他们的密码D.Communicate通信10.下面哪项最不可能妨碍员工报告安全事件（）? A.他们害怕被卷入他们不想干涉的事情B.事件报告流程是集中的(正确答案)C.他们害怕因为他们没有做而被起诉D.

7、他们没有意识到公司的安全策略和程序11.员工被动离职流程处理应当包括（）? A.个人所使用的所有密码的列表B.优秀项目的报告C.归还任何公司的身份标识(正确答案)D.签署保密协议12.两个操作员互相审查和批准对方的工作,这是什么控制（）? A.Dual control 双重控制B.Two-man control 双人控制(正确答案)C.Two-fold control重叠控制D.Twin control 双生控制13.哪种安全程序会迫使一个操作员勾结另一个不同类别的操作员来访问非授权数据（）? A.强制日常密码更改B.审计日志的管理监控C.限制操作人员的特定访问权限(正确答案)D.不同分工的人

8、员的工作轮换14.针对入侵检测系统/入侵防御系统(DSPS)报警的第一个响应是什么（）? A.确保事件响应计划是可用的和最新的B.判断流量的初始源,并阻断合适的端口C.关闭或断开可疑的目标和源系统D.确认威胁并判断攻击的范围(正确答案)15.职责分离的主要目标是什么（）? A.防止员工泄露敏感信息B.确保访问控制得到实施C.确保一个人不能单独危害系统(正确答案)D.确保审计记录不被篡改16.什么是工作轮换的好处（）? A.All of the choices.以下所有选项(正确答案)B.Trained backup in case of emergencies.紧急情况的培训备份C.Prote

9、ct against fraud.防欺诈D.Cross training to employees.员工交叉培训17.创建专线的容错的常用方法是将若干T-1与一个反向多路复用器组合在一起,这个多路复用器安装在（）? A.连接的某一端B.连接的两端(正确答案)C.在两端之间的某个地方D.在连接的中间位置18.传输层TCP数据的一个独立单元的术语,正确的是（）? A.TCP segment TCP报文段(正确答案)B.TCP datagram TCP数据报C.TCP frame TCP帧D.TCP packet TCP数据包答案解析：UDP是数据报 二层是数据帧 三层是数据包19.同时支持数据和语

10、音通信(VoIP)的融合网络,根据其性质,提供了一个单独的通道来攻击数据和语音组件。下列哪项是最好的保障语音组件安全的机制（）? A.在边界防火墙上过滤呼叫B.使用模拟语音系统C.验证语音和数据用户D.让语音跑在自己独立的虚拟局域网VLAN里(正确答案)20.一个组织已经实施了一些新的安全控制。为了评估这些控制对安全体系有效性提升的影响,需要对信息安全的一些性能指标进行监控。下列哪一项是在这种情况下选择的性能指标时最重要的因素（）? A.存在性能测量指标的基本数据(正确答案)B.在性能测量指标数据中尽可能减少误报的能力C.在性能测量指标数据中尽可能减少漏报的能力D.性能测量指标有跨平台的适用性

11、21.公司写了一个策略来禁用无线网络。在季度审计中发现该组织存在一个无线网络。那么组织的下一步应该做什么（）? A.向法律部门报告发现的细节B.移除这个无线网络(正确答案)C.谴责用户部署了无线网络D.为了起诉保留无线网络22.关于雇员解雇下列哪一项是最重要的（）? A.公司提供给雇员的财产已归还B.雇员的用户名和密码已经删除C.向公司相关的工作人员通知解雇(正确答案)D.雇员的详细情况从活跃的工资已被删除.23.一个管理员负责数据运营中心,包括了500个终端的交换网络,一个Web服务器,电子邮件服务器,以及几个大的应用服务器。备份策略是每个星期天的早晨执行一次完全备份和周一至周五执行每日增量

12、备份。环境中的所有服务器有五个SCSI磁盘驱动器,并设置为RAID 5作为热备。数据中心使用了高架地板,并在房间内配备了一个自足的HVAC系统,以及一个自动化的干管自动喷淋灭火系统来保护电脑。大约在星期天早上,Web服务器的一个硬盘出现了故障。为了让服务器返回到正常运行需要做什么（）? A.从上次增量备份中恢复数据B.从上次完全备份中恢复数据C.从故障磁盘中恢复数据D.更换故障的磁盘(正确答案)24.一个安全控制应当（）? A.Allow for many exceptions.允许很多例外情况B.Cover all contingencies.覆盖所有的偶然性C.Not rely on th

13、e security of its mechanism.不依赖其机制的安全(正确答案)D.Change frequently.变更频繁25.哪一组原则是信息安全控制的基础（）? A.认证、审计轨迹和安全意识简报B.个人可问责性、审计和职责分离C.知所必需,身份识别和真实性(正确答案)D.审计轨迹,有限任期和安全意识简报26.审计轨迹是什么类型的控制（）? A.系统,手工B.检测,技术(正确答案)C.用户,技术D.检测,手工27.使用操作安全检测性控制时,下面哪一种意外情况可以被发现（）? A.非授权人员看到了机密报告B.非授权人员销毁了机密报告C.授权操作人员执行非授权功能(正确答案)D.授权

14、操作人员没有响应重要的控制台信息28.在选择物理设施时,下面哪个地形特点有利于物理安全的（）? A.有茂密的植被和其他自然障碍的丘陵,来保护入口B.下坡地形能方便设施的进入和可见性C.没有茂密植被的平原,方便从不同的入口进出D.没有茂密植被的平原,入口略高于海拔(正确答案)29.下面哪个是使用纵深防御原则的潜在缺陷（）? A.Increased system complexity 增加了系统复杂性(正确答案)B.Increased component failure rates增加了组件的故障率C.Redundant components are required 需要冗余的组件D.Lower

15、 intrusion detection performance 较低的入侵检测性能30.下列哪项维护活动负责定义、实施、测试应用系统的升级（）? A.Program change control 程序变更控制(正确答案)B.Regression testing 回归测试C.Export exception control 输出例外控制D.User acceptance testing 用户验收测试31.下面哪个是最安全的构建路由表的方法（）? A.Distance vector 距离矢量B.Link state 链路状态C.Border Gateway Protocol(BGP)边界网关协议

16、(BGP)D.Static 静态路由(正确答案)32.为了保障关健业务连接的正常运行时间,组织需要依赖下面哪项（）? A.A Memorandum of Agreement(MOA) 协议备忘录(MOA)B.A Service Level Agreement(SLA) 服务水平协议(SLA)(正确答案)C.A Non-Disclosure Agreement(NDA) 保密协议(NDA)D.A Request for Proposal(RFP) 征求建议书(RFP)33.为建立一个信息安全程序,首先应进行（）? A.开发员工安全意识培训计划B.信息安全标准手册的开发与实施C.安全访问控制软件的

17、购买D.企业信息安全策略声明的采纳(正确答案)34.代理防火墙是运行在OSI模型的哪一层（）? A.Application 应用层(正确答案)B.Transport传输层C.Network网络层D.Data Link数链层35.参考监视器是特别设计用来（）? A.run undetected.未被发现的运行B.run autonomously.自主的运行C.be redundant.冗余D.be tamperproof.防篡改(正确答案)36.在设计有效的安全控制时,下面哪项必须被考虑（）? A.Speed of deployment 实施的速度B.Visibility可视化C.Ease of

18、 use 易用性(正确答案)D.Authenticity 真实性37.可能会被利用的系统的缺失或薄弱环节被称为（）? A.威胁B.Exposure 暴露C.Vulnerability漏洞(正确答案)D.Risk 风险38.一般你用什么工具来判断一个主机是否有漏洞会被已知攻击手段攻击（）? A.Padded Cells 加厚的电池B.Vulnerability analysis 漏洞分析(正确答案)C.Honey Pots 蜜罐D.IDS 入侵检测39.下面哪项关于道德的黑客的描述是不正确的（）? A.组织应该聘用道德的黑客,这些黑客不能销售审计,咨询,硬件,软件,防火墙,主机托管,和/或网络服

19、务B.测试应当是在远程执行C.道德的黑客不能参与目标系统的编写或修改D.道德的黑客永远不应该使用可能会导致组织IT系统漏洞被利用的工具。(正确答案)40.为什么信息安全策略要求通信测试设备得到控制（）? A.该设备容易受到损害B.该设备可以用来浏览网络上的信息(正确答案)C.该设备必须始终可用,如果需要更换的话D.该设备可以用来重新配置网络多路转换器41.管理层可以预期渗透测试达到下面的目的,除了（）? A.identification of security flaws 找出安全漏洞B.demonstration of the effects of the flaws 证明漏洞的影响C.a

20、method to correct the security flaws.纠正安全漏洞的方法(正确答案)D.verification of the levels of existing infiltration resistance 验证当前的入侵防御水平42.下面哪个是一个渗透测试项目的特征（）? A.直到发现了所有已知的漏洞,项目无法结束B.绘制项目时间安排来产生关键路径C.项目任务是突破进入目标系统(正确答案)D.项目计划由目标用户来复审43.下面哪个是渗透测试的主要目标（）? A.Assessment 评估(正确答案)B.Correction 纠正C.Detection 检测D.Pro

21、tection 保护44.（看视频）在渗透测试的缺陷假设方法论中,开箱测试（白盒测试）一般用来分析（）? A.Routers and firewalls 路由器和防火墙B.Host-based IDS systems 基于主机的入侵检测系统C.Network-based IDS systems 基于网络的入侵检测系统D.General purpose operating systems 一般用途的操作系统(正确答案)45.渗透测试中的第一步应当做什么（）? A.变更控制管理的批准B.详细测试计划的开发C.制定具体的渗透测试目标(正确答案)D.团队成员之间的沟通过程答案解析：渗透测试不需要变更控

22、制的批准46.渗透测试通常包括（）? A.一般接受的审计实践B.检查PKI数字证书和加密C.社会工程、配置检查和漏洞评估(正确答案)D.计算机应急响应团队流程47.下面哪个不是使用外部渗透服务公司比使用公司内部资源更好的原因（）? A.他们更具成本效益B.他们没有公司的偏见C.他们使用了天的外部黑客(正确答案)D.他们确保提供了一个更完整的报告48.下面哪个工具你可以用来评估网络漏洞（）? A.ISSB.All of the choices.所有的选择都是(正确答案)C.SATAND.Ballista49.如果你的财产保险有实际成本评价(ACV)条款,你遭受损失的财产将根据什么进行赔偿（）?

23、A.基于资产在遭受损失日期的价值B.基于新资产的价值,不管损失资产的新旧条件C.基于资产在损失前一个月的价值D.基于资产在遭受损失日期的价值,再加上10%(正确答案)50.下面哪个是针对加密硬件模块最有效的攻击方法（）? A.Plain-text明文攻击B.Brute force 暴力破解C.Power analysis 功耗分析专理(正确答案)D.Man-in-the-middle(MITM)中间人攻击51.审计师在执行一次合规性审计,申请查看系统中加密的密码,以验证密码是否符合政策。下列哪项是对审计师最好的回应（）? A.提供加密的密码和分析工具给审计师进行分析B.为审计师分析加密的密码,

24、并给他们看结果C.演示不符合政策的密码不能在系统里创建。(正确答案)D.演示不符合政策的密码不能在系统里加密。52.下面哪个最好的描述了信息安全政策（）? A.政策是描述业界最佳安全实践的指南B.政策是描述信息安全方法的高层级程序C.政策提供了信息安全实施体系的蓝图D.政策是描述信息体系目标的高层级声明(正确答案)53.了解到信息安全预算将在下一财年减少后,安全经理重新调整下一年度预算。在进行这种分析时,以下哪项最影响安全经理的决策过程（）? A.Trend analysis 趋势分析B.Business risk acceptance 业务风险接受(正确答案)C.Security best

25、practices 安全最佳实践D.Vulnerability analysis 漏洞分析54.下列哪一项将最适合监督信息安全策略的部署（）? A.System Administrators 系统管理员B.Security administrators 安全管理员C.Security Officers安全官(正确答案)D.Human resources人力资源部55.下面哪项是基于标准的合规框架的主要好处（）? A.他们识别了现有规程的差距(正确答案)B.他们减少了审计网络的需求C.他们需要更少的资源D.他们易于实施56.变更管理策略的主要目的是（）? A.确认IT基础设施的变更得到审批(正确

26、答案)B.识别IT基础设施的变更C.确保IT基础设施的变更是必要的D.判断实施IT基础设施修改的必要性答案解析：变更管理策略的主要目的是评估和审批57.信息安全经理实施一个机制来对执行指定字段的信息进行合理性检查。这是哪种控制目标的例子（）? A.保持信息的实用性B.保持数据的可用性C.保持数据的完整性(正确答案)D.保持信息的真实性答案解析：合理性与完整性更配58.哪个流程决定了在特定目的下谁是可信的（）? A.Identification 身份识别B.Authorization 授权(正确答案)C.Authentication 验证D.Accounting 审计59.最小特权的意图是执行最

27、严格的用户所需权限来（）? A.To execute system processes.执行系统流程B.By their job description.他们的工作描述C.To execute authorized tasks.来执行授权任务(正确答案)D.By their security role.他们的安全角色60.这是一个在大型环境中常见的非常难以控制的安全问题。它发生在当用户有超出任务需要的更多的计算机权利,权限和特权。什么最能说明这种情况（）? A.Excessive Rights过多的权利B.Excessive Access过多的访问C.Excessive Permissions

28、 过多的权限D.Excessive Privileges 过多的特权(正确答案)61.一个简化访问控制管理的方法是对下面哪项进行分组（）? A.Capabilities and privileges 能力和特权B.Objects and subjects 客体和主体(正确答案)C.Programs and transactions 程序和交易D.Administrators and managers 管理员和经理62.密码学不能解决（）? A.Availability 可用性(正确答案)B.Integrity 完整性C.Confidentiality 机密性D.Authenticity 真实性

29、63.下面哪一个措施能够最好的防范从留在宾馆房间的笔记本上窃取企业信息（）? A.在磁盘上存放所有数据,并将它们安全的锁在房间内B.移除笔记本的电池和电源线,并与电脑分开单独存放C.在电脑无人值守时,安装笔记本的线缆锁D.加密硬盘上的所有数据(正确答案)64.为了支持依赖于有风险的协议(例如纯明文密码)的遗留应用程序,下面哪个可以降低企业网络上的风险（）? A.实施集中生成的强密码来对易受攻击的应用程序的使用进行控制。B.实现一个VPN,并对加入VPN的工作站进行控制。(正确答案)C.通过物理访问控制,确保只有授权的经过培训的用户有权访问工作站。D.确保打开了所有主机和应用程序的审计日志,并经

30、常进行日志审查65.需要下面哪个来决定分类分级和所有权（）? A.能够正确的识别系统和数据源(正确答案)B.违规访问能够被记录并审计C.数据文件参考能够被识别和链接D.系统安全控制能够完全被集成66.测试灾难恢复计划(DRP)最重要的目标是（）? A.评价计划的高效性B.识别恢复需求的标准C.验证计划的有效性(正确答案)D.决定恢复时间目标(RTO)67.安全套接层(SSL)和传输层安全(TLS)的特征是什么（）? A.SSL和TLS缺省提供了抗抵赖性;B.SSL和TLS提供了在TCP协议之上的通用的通道安全机制(正确答案)C.SSL和TLS对大部分路由协议没有提供安全D.SSL和TLS提供了

31、通过超文本传输协议(HTTP)的包头加密68.下面哪个是审计轨迹的好处（）? A.Accountability 可问责性(正确答案)B.Confidentiality 机密性C.Non-repudiation抗抵赖性D.Integrity完整性69.（看视频）下面哪个是抗抵赖流程中的最重要的组件（）? A.Header包头B.Hash value哈希值C.Time stamp 时间戳(正确答案)D.Message transfer agent 消息传输代理70.一个安全专家在根据国际标准化组织(ISO)27001和27002标准在评估组织的安全政策时,他需要牢记的是什么（）? A.安全基线可以

32、直接从国际标准中抽取B.国际标准对一个区域组织来说没有什么价值C.所有领域的策略都需要有详细的步骤细节;D.标准是一个起点,可以根据需要应用于组织;(正确答案)71.下面哪个系统组件实现了对目标的访问控制（）? A.Security perimeter 安全边界B.Trusted domain可信域C.Reference monitor 参考监视器(正确答案)D.Access control matrix 访问控制矩阵72.（看视频）下面哪个是通用标准（CC）产品评价的安全弱点（）? A.制造商可以描述产品的哪些配置是要被评价的;(正确答案)B.产品可以被其他国家的实验室来评价;C.评价目标(

33、TOE)测试环境等同于操作环境D.评价的执行是昂贵并耗时的73.下面哪个控制是可以用来保证所有的电子邮件附件得到检查,如需要进行删除的（）? A.Technical 技术(正确答案)B.Management管理C.Operational 运行D.Audit 审计74.下面哪个是测试数据合适的来源（）? A.生产数据是安全的,并只在生产环境中维护B.与生产数据没有相似性的测试数据C.与生产数据镜像并保持同步的测试数据D.对生产数据进行清洗,然后再载入到测试环境(正确答案)75.在进行灾难恢复(DR)规划的风险分析时,拥有一个全面的信息资产清单为什么是重要的（）? A.为了在发生危机时能够联系资产

34、的所有者B.为了帮助对业务流程以及相关的应用系统进行优先级分级(正确答案)C.为了确保DR规划软件工具是完全导入的D.为了建立替代恢复策略的财务模型76.一个维护服务,提供了电力、温度控制、高架地板和电话线,但是没有计算机和相关外设的场所,最好形容为（）? A.hot site.热站B.cold site.冷站(正确答案)C.warm site.温站D.reciprocal site.互惠站点77.在事件响应调查的早期,网络监视可以用来（）? A.预防未来的事件B.确认或解除对事件的怀疑(正确答案)C.映射网络和所有可信的关系D.确保使用策略的合规78.（看视频）所有的访问必须被考虑,防止修改

35、并验证其正确性,这个概念是（）? A.Secure model 安全模型B.Security locking 安全锁定C.Security kernel 安全内核(正确答案)D.Secure state 安全状态79.下面哪个确保了当系统崩溃或其他系统错误发生时,安全不会被违反（）? A.trusted recovery 可信恢复(正确答案)B.hot swappable 热插拔C.redundancy 冗余D.secure boot 安全启动80.什么类型的子系统是操作系统之外运行的应用程序,并为一组用户执行一些功能,为组中的所有用户维护一些常见的数据,并防止组中的用户不正当访问数据（）?

36、A.Prevented subsystem 阻止子系统B.Protected subsystem 保护子系统(正确答案)C.File subsystem 文件子系统D.Directory subsystem 目录子系统81.“伪错误”指的是下面哪项（）? A.故意在一个操作系统中植入一个明显的漏洞(正确答案)B.产生伪码时的遗漏C.应用程序编程时用来测试越界侵犯D.通常产生的页故障,导致系统当机82.下面哪项描述了参考监视器（）? A.是一个访问控制概念,指的是介入所有主体和客体的访问的抽象机(正确答案)B.是一个审计概念,指的是监控和记录所有主体和客体的访问C.是一个身份识别概念,指的是用户

37、提供的材料和他的参考配置文件的比较D.是一个网络控制概念,对主体进行授权来访问客体83.认可的主要目的是（）? A.让高层做一个正式的决定,来确认是否接受系统运行的风险(正确答案)B.确认所有的安全控制得到正确的实施,并以正确的方式在运行C.保护组织的敏感数据D.满足适用的法律和法规84.（看视频）下面哪项是在部署数字证书时最重要的（）? A.验证符合X.509数字证书标准B.使用第三方CAC.建立证书的生命周期管理框架(正确答案)D.创建证书时使用不少于256位长度的加密算法85.下列哪一项不是安全管理员的任务（）? A.授权访问权限(正确答案)B.实施安全规则C.确保地方政策已经授权管理D

38、.分配访问权限86.在评估一个应用程序的审计能力时,下面哪个活动是最重要的（）? A.识别程序来调查可疑的行为B.确认是否分配了充足的存储空间来存放审计记录C.判断审计记录是否包含了充分的信息(正确答案)D.审核在审计失效发生时将要采取的安全行动计划87.哪种安全程序的实施方法能驱动公司员工担负保护公司的资产的责任（）? A.The top-down approach自上而下的方法(正确答案)B.The Delphi approach Delphi方法C.The bottom-up approach 自下而上的方法D.The technology approach 技术方法88.使用基于Web

39、的由可信CA签发的SSL证书的主要目的是（）? A.为了确保合理的密钥和算法长度B.为了确保客户端可以连接到多个不同类型的浏览器C.为了允许客户端能够合理的认证服务器的身份(正确答案)D.为了允许服务器能够认证通过浏览器连接的客户端的身份89.下面哪个是推动组织来审核它目前的加密系统实施的主要原因（）? A. MD5哈希算法的使用B.为了使用更加有效的加密算法C.为了使用一个新的证书撤销列表CRLD.密钥长度在对抗暴力破解攻击时不再安全(正确答案)90.下面哪个是开发用来支持多协议,以及提供登陆、密码和错误纠正能力（）? A.Password Authentication Protocol(P

40、AP)密码验证协议PAPB.Challenge Handshake Authentication Protocol(CHAP)挑战握手认证协议CHAPC.Point-to-Point Protocol(PPP)点对点协议PPP(正确答案)D.Post Office Protocol(POP)邮局协议POP答案解析：1）PPP具有动态分配IP地址的能力，允许在连接时刻协商IP地址。2）PPP支持多种网络协议，比如TCP/IP NET BEUI.INLink等。3）PPP具有错误检测以及纠错能力，支持数据压缩。4）PPP具有身份验证功能。5）PPP可用于各种类型物理介质上91.只在下面哪个情况下允

41、许使用一个公共的无线局域网WLAN来连接一个私有网络（）? A.客户端机器装有防病毒软件,并且已经做了扫描来判断是否有非授权的端口开放B.无线接入点(AP)是部署在内部私有网络上的C.客户端机器装有个人防火墙,并且使用虚拟专用网VPN来连接网络(正确答案)D.使用扩展认证协议EAP来认证用户92.下列哪项能更好的定义可能被利用的由于缺少或存在漏洞的保护机制（）? A.An exposure 暴露B.A risk 风险C.A vulnerability 脆弱性(正确答案)D.A threat 威胁93.下面哪个是适当的变更控制程序（）? A.记录关键源代码库的大小B.限制只有授权用户可以变更(正

42、确答案)C.在生产系统存储源代码的最新版本D.在进入测试阶段前,删除源代码里的开发者批注94.下面哪一个是对一个计算机用户问责最需要的（）? A.对重要数据文件进行分类B.使用它们自己的身份来执行任务(正确答案)C.与合适的人共享他们的登陆密码D.保护他们访问的系统应用程序95.下面哪个最准确的描述了一个业务连续性体系（）? A.一个持续的过程,来确定潜在损失的影响,以及维持可行的恢复(正确答案)B.一个持续的过程,来确定组织的任务、愿景和战略目标C.一个持续的分析,对于物理、经济和自然资源灾难的影响D.一个持续的测试计划,允许在系统中断或数据丢失时进行快速恢复96.（看视频）通用准则（CC）

43、创建了下面哪项,允许潜在的消费者或开发人员能够创建一套标准的安全要求来满足需要（）? A.a Protection Profile(PP).保护轮廓(正确答案)B.a Security Target(ST).安全目标C.an evaluation Assurance Level(EAL).评价保障等级D.a Security Functionality Component Catalog(SFCC).安全功能组件目录97.如果供应商通过子合同将一些IT支持功能分包,下列哪一项是包括在合同中最重要的要求（）? A.分包商合同的安全条款和主合同是一样的(正确答案)B.分包商签看保密协议C.分包商联

44、系信息应包括在主合同中D.分包商必须通过背景调查98.为了最好的检测到一个通过邮件非授权泄露敏感数据的事件,组织应当考虑采用下面哪个安全工具（）? A.数据泄露保护(DLP)方案(正确答案)B.恶意软件检测方案C.状态包检测(SPI)防火墙D.日志监控方案99.为什么Kerberos服务器必须得到很好的保护,防止非授权访问（）? A.因为它包含了所有客户端的密钥(正确答案)B.因为它总是在root权限下操作C.因为它包含了服务的所有的票据D.因为它包含了所有网络设备的IP地址答案解析：票据是临时生成的，密钥是最主要的100.下面哪个是外包协议的最好的形式（）? A.首席执行官之间面对面的对话B

45、.两个组织之间的服务水平协议(SLA)(正确答案)C.两个组织之间的职贵分工文档D.双方之间的B2B协议101.（看视频）在执行一个有效的物理损失控制流程时,下面哪个文件是首先产生的（）? A.Security Standards list 安全标准列表B.Asset Valuation list资产价值表C.Inventory list资产列表(正确答案)D.Deterrent Controls list威慑控制列表102.根据下面: D=设备数量; T=维修每个设备的时间花费; C=每小时费率;I=漏洞影响; P=漏洞利用的可能性;下面哪个公式决定了恢复成本（）? A.DTC(正确答案)B

46、.DPCC.TIPD.TCP103.视网膜扫描生物识别装置的物理特性是什么（）? A.到达视网膜的光的数最B.视网膜反射的光的数量C.视网膜的大小，曲率和形状D.眼睛后面的血管的图案(正确答案)104.下面哪个是生物识别系统的二型错误（）? A.False accept rate错误接受率(正确答案)B.False reject rate 错误拒绝率C.Crossover error rate 交叉错误率D.Speed and throughput rate 速度和吞吐率105.在击键动力学中,什么代表了一个人在键之间切换的时间量（）? A.Dynamic time 动态时间B.Flight time 飞行时间(正确答案)C.Dwell time 停留时间D.Systems time.系统时间106.数据库设计时什么情况下会发生聚合问题（）? A.一个条目本身是不敏感的,但当它与常识相结合时,是敏感的