2022年CISSP信息系統(tǒng)安全專家認(rèn)證考試題庫匯總（含答案）

PAGEPAGE4782022年CISSP信息系統(tǒng)安全專家認(rèn)證考試題庫匯總（含答案）一、單選題1.WhichofthefollowingisofGREATESTassistancetoauditorswhenreviewingsystemconfigurations?

審核系統(tǒng)配置時，以下哪項對審核人員最有幫助？A、Changemanagementprocesses

變更管理流程B、Useradministrationprocedures

用戶管理程序C、OperatingSystem(OS)baselines

操作系統(tǒng)(OS)基線D、Systembackupdocumentation

系統(tǒng)備份文檔答案：A2.AsasecuritymangerwhichofthefollowingistheMOSTeffectivepracticeforprovidingvaluetoanorganization?

作為安全經(jīng)理，以下哪項是為組織提供價值的最有效實踐？A、Assessbusinessriskandapplysecurityresourcesaccordingly

評估業(yè)務(wù)風(fēng)險并相應(yīng)地應(yīng)用安全資源B、Coordinatesecurityimplementationswithinternalaudit

與內(nèi)部審計協(xié)調(diào)安全實施C、Achieveplianceregardlessofrelatedtechnicalissues

不考慮相關(guān)技術(shù)問題，實現(xiàn)合規(guī)D、Identifyconfidentialinformationandprotectit

識別機(jī)密信息并保護(hù)它答案：D3.WhatisamonchallengewhenimplementingSecurityAssertionMarkupLanguage(SAML)foridentityintegrationbetweenon-premiseenvironmentandanexternalidentityproviderservice?

在實現(xiàn)安全斷言標(biāo)記語言(SAML)以實現(xiàn)內(nèi)部環(huán)境和外部身份提供者服務(wù)之間的身份集成時，常見的挑戰(zhàn)是什么？A、Someusersarenotprovisionedinttheservice.

某些用戶未配置到服務(wù)中。B、SAMLtokensareprovidedbytheonpremiseidentityprovider.

SAML令牌由本地身份提供商提供。C、Singleuserscannotberevokedfromtheservice.

不能撤銷單個用戶的服務(wù)D、SAMLtokenscontainuserinformation.

SAML令牌包含用戶信息。答案：A4.Ifvirusinfectionissuspected,whichofthefollowingistheFIRSTstepfortheusertotake?

如果懷疑是病毒感染，用戶首先應(yīng)該采取的步驟是什么？A、Unplugtheputerfromthenetwork.

將計算機(jī)從網(wǎng)絡(luò)上拔下。B、Savetheopenedfilesandshutdowntheputer.

保存打開的文件并關(guān)閉計算機(jī)。C、Reporttheincidenttoservicedesk.

向服務(wù)臺報告事件。D、Updatetheantivirustothelatestversion.

將殺毒軟件更新到最新版本。答案：C5.AhealthcareproviderisconsideringInternetaccessfortheiremployeesandpatients.WhichofthefollowingistheorganizationsMOSTsecuresolutionforprotectionofdata?

一家醫(yī)療保健提供者正在考慮為其員工和患者接入互聯(lián)網(wǎng)。以下哪一項是組織最安全的數(shù)據(jù)保護(hù)解決方案？A、PublicKeyInfrastructure(PKI)anddigitalsignatures

公鑰基礎(chǔ)設(shè)施(PKI)和數(shù)字簽名B、Trustedservercertificatesandpassphrases

可信服務(wù)器證書和密碼C、UserIDandpassword

用戶名和密碼D、AsymmetricencryptionandUserID

非對稱加密和用戶ID答案：A6.Dataremanencereferstowhichofthefollowing?

數(shù)據(jù)剩磁是指下列哪項？A、Theremainingphotonsleftinafiberopticcableafterasecuretransmission.

安全傳輸后留在光纜中的光子。B、Theretentionperiodrequiredbylaworregulation.

法律或法規(guī)要求的保留期限。C、Themagneticfluxcreatedwhenremovingthenetworkconnectionfromaserverorpersonalputer,

從服務(wù)器或個人移除網(wǎng)絡(luò)連接時產(chǎn)生的磁通量電腦。D、Theresidualinformationleftonmagneticstoragemediaafteradeletionorerasure.

刪除或擦除后留在磁存儲介質(zhì)上的殘留信息。答案：D7.WhichofthefollowingpresentsthePRIMARYconcerntoanorganizationwhensettinguafederatedsinglesignon(SSO)solutionwithanother?

當(dāng)一個組織與另一個組織設(shè)置聯(lián)合單點登錄（SSO）解決方案時,以下哪項是該組織最關(guān)心的問題？A、Sendingassertionstoanidentityprovider

向身份提供者發(fā)送聲明B、RequestingIdentityassertionsfromthepartners'domain

從合作伙伴域請求身份聲明C、definingtheidentitymappingscheme

定義身份映射方案.D、HavingtheresourceproviderquerytheIdentity

讓資源提供者查詢身份提供者答案：C8.WhichofthefollowingMUSTanorganizationdotoeffectivelymunicateitssecuritystrategytoallaffectedparties?

為了向所有受影響方有效傳達(dá)其安全策略，組織必須執(zhí)行以下哪項？A、Involverepresentativesformeachkeyorganizationalarea.

讓每個關(guān)鍵組織領(lǐng)域的代表都參與進(jìn)來。B、Provideregularupdatestotheboardofdirectors.

向董事會提供定期更新。C、Notifystaffofchangestothestrategy.

將戰(zhàn)略變更通知員工。D、Removepotentialmunicationbarriers.

消除潛在的溝通障礙。答案：C9.WhatistheMOSTefficientwaytosecureaproductionprogramanditsdata?

保護(hù)生產(chǎn)程序及其數(shù)據(jù)的最有效方法是什么？A、Disabledefaultaccountsandimplementaccesscontrollists(ACL)

禁用默認(rèn)帳戶并實施訪問控制列表(ACL)B、Hardentheapplicationandencryptthedata

加固應(yīng)用并加密數(shù)據(jù)C、Disableunusedservicesandimplementtunneling

禁用未使用的服務(wù)并實施隧道D、Hardentheserversandbackupthedata

加固服務(wù)器并備份數(shù)據(jù)答案：B10.Asecurityarchitectisresponsiblefortheprotectionofanewhomebankingsystem.WhichofthefollowingsolutionscanBESTimprovetheconfidentialityandintegrityofthisexternalsystem?

安全架構(gòu)師負(fù)責(zé)保護(hù)新的家庭銀行系統(tǒng)。以下哪種解決方案最能提高此外部系統(tǒng)的機(jī)密性和完整性?A、IntrusionPreventionSystem(IPS)

入侵防御系統(tǒng)(IPS)B、DenialofService(DoS)protectionsolution

拒絕服務(wù)(DoS)保護(hù)解決方案C、OnetimePassword(OTP)token

一次性密碼(OTP)令牌D、WebApplicationFirewall(WAF)

Web應(yīng)用防火墻(WAF)答案：A11.Aminimalimplementationofendpointsecurityincludeswhichofthefollowing?

端點安全的最小實現(xiàn)應(yīng)包括以下哪項？A、Trustedplatforms

可信平臺B、Hostbasedfirewalls

基于主機(jī)的防火墻C、Token-basedauthentication

基于令牌的認(rèn)證D、WirelessAccessPoints(AP)

無線接入點(AP)答案：B12.UtilizingapublicwirelessLocalAreanetwork(WLAN)toconnectto-aprivatenetworkshouldbedoneonlyinwhichofthefollowingsituations?

使用公共無線局域網(wǎng)(WLAN)連接到專用網(wǎng)絡(luò)只應(yīng)在以下哪種情況下進(jìn)行？A、ExtensibleAuthenticationProtocol(EAP)isutilizedtoauthenticatetheuser.

可擴(kuò)展份驗證協(xié)議(EAP)用于對用戶進(jìn)行身份驗證。B、TheclientmachinehasapersonalfirewallandutilizesaVirtualPrivateNetwork(VPN)toconnecttothenetwork.

客戶端機(jī)器有個人防火墻并利用虛報專用網(wǎng)絡(luò)(VPN)進(jìn)行連接到網(wǎng)絡(luò)。C、Theclientmachinehasantivirussoftwareandhasbeenseamedtodetermineifunauthorizedportsareopen.

客戶機(jī)上有防病毒軟件，并已縫合以確定是否打開了未經(jīng)授權(quán)的端口。D、ThewirelessAccessPoint(AP)isplacedintheinternalprivatenetwork.

無線接入點(AP)放置在內(nèi)部專用網(wǎng)絡(luò)中。答案：A13.AnInternetsoftwareapplicationrequiresauthenticationbeforeauserispermittedtoutilizetheresource.WhichtestingscenarioBESTvalidatesthefunctionalityoftheapplication?

互聯(lián)網(wǎng)軟件應(yīng)用程序在允許用戶使用之前需要進(jìn)行身份驗證資源。哪種測試場景最能驗證應(yīng)用程序的功能？A、Reasonabledatatesting

開發(fā)人員將無法再訪問生產(chǎn)系統(tǒng)B、Inputvalidationtesting

合理的數(shù)據(jù)測試C、Websessiontesting

Web會話測試D、Alloweddataboundsandlimitstesting

允許的數(shù)據(jù)邊界和限制測試答案：B14.Foraserviceprovider,whichofthefollowingMOSTeffectivelyaddressesconfidentialityconcernsforcustomersusingcloudputing?

對于服務(wù)提供商來說，以下哪項最有效地解決了使用云計算的客戶的保密問題？A、Hashfunctions

哈希函數(shù)B、DatasegregationB

數(shù)據(jù)隔離C、Filesystempermissions

文件系統(tǒng)權(quán)限D(zhuǎn)、Non-repudiationcontrols

不可否認(rèn)性控制答案：B15.ABusinessContinuityPlan(BCP)isbasedon

業(yè)務(wù)連續(xù)性計劃(BCP)基于：A、thepolicyandproceduresmanual.

政策和程序手冊。B、anexistingBCPfromasimilarorganization.

來自類似組織的現(xiàn)有BCP。C、areviewofthebusinessprocessesandprocedures.

業(yè)務(wù)流程和程序的審查。D、astandardchecklistofrequireditemsandobjectives.

所需項目和目標(biāo)的標(biāo)準(zhǔn)清單。答案：C16.WhatisthePRIMARYreasonforethicsawarenessandrelatedpolicyimplementation?

道德意識和相關(guān)政策實施的主要原因是什么？A、Itaffectstheworkflowofanorganization,

它會的影響組織的工作流程B、Itaffectsthereputationofanorganization,

它會影響組織的聲譽(yù)。C、Itaffectstheretentionrateofemployees,

它會影響員工的留用率。D、Itaffectsthemoraleoftheemployees.

它會影響員工的士氣。答案：B17.Whichofthefollowingisaneffectivemethodforavoidingmagneticmediadataremanence?

以下哪項是避免磁介質(zhì)數(shù)據(jù)剩磁的有效方法？A、Degaussing

消磁B、Encryption

加密C、DataLossPrevention(DLP)

數(shù)據(jù)丟失防護(hù)(DLP)D、Authentication

認(rèn)證答案：A18.WhatMUSTeachinformationownerdowhenasystemcontainsdatafrommultipleinformationowners?

當(dāng)一個系統(tǒng)包含來自多個信息所有者的數(shù)據(jù)時，每個信息所有者必須做什么？A、ProvideinputtotheInformationSystem(IS)ownerregardingthesecurityrequirementsofthedata

向信息系統(tǒng)(IS)所有者提供有關(guān)信息系統(tǒng)(IS)安全要求的輸入數(shù)據(jù)B、ReviewtheSecurityAssessmentreport(SAR)fortheInformationSystem(IS)andauthorizetheIStooperate.

審查信息系統(tǒng)(IS)的安全評估報告(SAR)并授權(quán)IS操作。C、DevelopandmaintaintheSystemSecurityPlan(SSP)fortheInformationSystem(IS)containingthedata

為包含數(shù)據(jù)的信息系統(tǒng)(IS)制定和維護(hù)系統(tǒng)安全計劃(SSP)。D、MovethedatatoanInformationSystem(IS)Ddoesnotcontaindataownedbyotherinformationowners

將數(shù)據(jù)移動到不包含其他信息所有者擁有的數(shù)據(jù)的信息系統(tǒng)(IS)中。答案：B19.DisasterRecoveryPlan(DRP)trainingmaterialshouldbe

災(zāi)難恢復(fù)計劃(DRP)的培訓(xùn)材料應(yīng)當(dāng)()？A、consistentsothatallaudiencesreceivethesametraining.

確保一致，以便所有受眾接受相同的培訓(xùn)。B、storedinafireproofsafetoensureavailabilitywhenneeded.

存放在防火保險箱中，以確保在需要時可用。C、onlydeliveredinpaperformat.

僅以紙質(zhì)形式交付。D、presentedinaprofessionallookingmanner.

以專業(yè)的方式呈現(xiàn)。答案：A20.Apany-widepenetrationtestresultshowscustomerscouldaccessandreadfilesthroughawebbrowser.Whichofthefollowingcanbeusedtomitigatethisvulnerability?

公司范圍內(nèi)的滲透測試結(jié)果顯示，客戶可以通過網(wǎng)絡(luò)瀏覽器訪問和讀取文件。以下哪項可用于緩解此漏洞？A、Enforcethechmodoffilesto755.

將文件的chmod屬性強(qiáng)制為755B、Enforcethecontroloffiledirectorylistings.

強(qiáng)制控制文件目錄列表。C、Implementaccesscontrolonthewebserver.

在Web服務(wù)器上實施訪問控制。D、ImplementSecureSocketsLayer(SSL)certificatesthroughoutthewebserver.

在整個Web服務(wù)器中實施安全套接字層(SSL)證書。答案：B21.WhichofthefollowingoperatesattheNetworkLayeroftheOpenSystemInterconnection(OSI)model?

以下哪項在開放系統(tǒng)互連(OSI)模型的網(wǎng)絡(luò)層運(yùn)行？A、Packetfiltering

包過濾B、Portservicesfiltering

端口服務(wù)過濾C、Contentfiltering

內(nèi)容過濾D、Applicationaccesscontrol

應(yīng)用訪問控制答案：A22.Whendevelopingsolutionsformobiledevices,inwhichphaseoftheSoftwareDevelopmentLifeCycle(SDLC)shouldtechnicallimitationsrelatedtodevicesbespecified?

在為移動設(shè)備開發(fā)解決方案時，應(yīng)在軟件開發(fā)生命周期(SDLC)的哪個階段指定與設(shè)備相關(guān)的技術(shù)限制？A、Implementation

實施B、Initiation

啟動C、Review

審查D、Development

開發(fā)答案：A23.Howcananattackerexploitoverflowtoexecutearbitrarycode?

攻擊者如何利用溢出執(zhí)行任意代碼？A、Modifyafunctionsreturnaddress.

修改函數(shù)的返回地址。B、Altertheaddressofthestack.

改變堆棧的地址。C、Substituteelementsinthestack.

替換堆棧中的元素。D、Movethestackpointer.

移動堆棧指針。答案：A24.WhichofthefollowingisthePRIMARYissuewhenanalyzingdetailedloginformation?

分析詳細(xì)日志信息時，以下哪個是主要問題？A、logsmaybeunavailablewhenrequired

需要時日志可能不可用B、TimelyreviewofthedataispotentiallydifficultB.

及時審查數(shù)據(jù)可能存在困難C、Mostsystemsandapplicationsdonotsupportlogging

大多數(shù)系統(tǒng)和應(yīng)用程序不支持日志記錄D、Logsdonotprovidesufficientdetailsofsystemandindividualactivities

日志沒有提供系統(tǒng)和個人活動的足夠詳細(xì)信息答案：D25.Anorganizationwantsenableusestoauthenticateacrossmultiplesecuritydomains.ToacplishthistheyhavedecidedtouseFederatedIdentityManagement(FIM).WhichofthefollowingisusedbehindthescenesinaFIMdeployment?

組織希望允許用戶跨多個安全域進(jìn)行身份驗證。為了實現(xiàn)這一點，他們決定使用聯(lián)合身份管理(FIM)0以下哪項在FIM部署的幕后使用？A、StandardGeneralizedMarkupLanguage(SGML)A.標(biāo)準(zhǔn)通用標(biāo)記語言(SGML)B、ExtensibleMarkupLanguageXML)B,可擴(kuò)展標(biāo)記語言(XML)C、SecurityAssertionMarkupLanguage(SAML)C.安全斷言標(biāo)記語言(SAML)D、TransactionauthorityMarkupLanguage(XAML)D,交易權(quán)限標(biāo)記語育(XAML)答案：C26.ItisMQSTimportanttoperformwhichofthefollowingtominimizepotentialimpactimplementinganewvulnerabilityscanningtoolinaproductionenvironment?

在生產(chǎn)環(huán)境中實施新的漏洞掃描工具時，執(zhí)行以下哪一項以最大限度地減少潛在影響非常重要？A、NegotiateschedulewiththeInformationTechnology(IT)operation'steam

與信息技術(shù)(IT)運(yùn)營團(tuán)隊協(xié)商時間表B、Logvulnerabilitysummaryreportstoasecuredserver

將漏洞摘要報告記錄到安全服務(wù)器C、EnableScanningduringoff-peakhours

在非高峰時段啟用掃描D、EstablishaccessforInformationTechnology(IT)management

建立信息技術(shù)(IT)管理的訪問權(quán)限答案：C27.Whenconductingasecurityassessmentofaccesscontrols,whichactivityispartofthedataanalysisphase?

在對訪問控制進(jìn)行安全評估時，哪些活動是數(shù)據(jù)分析階段的一部分？A、Presentsolutionstoaddressauditexceptions,

提出解決審計異常的解決方案。B、Conductstatisticalsamplingofdatatransactions.

對數(shù)據(jù)交易進(jìn)行統(tǒng)計抽樣。C、Categorizeandidentifyevidencegatheredduringtheaudit.

對審核期間收集的證據(jù)進(jìn)行分類和識別。D、Collectlogsandreports.

收集日志和報告。答案：C28.InaTransmissionControlProtocol/InternetProtocol(TCP/IP)stack.Whichlayerisresponsiblefornegotiatingandestablishingaconnectionwithanothernode?

在傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議(TCP/IP)堆棧中。哪一層負(fù)責(zé)協(xié)商并與另一個節(jié)點建立連接？A、Transportlayer

傳輸層B、Applicationlayer

應(yīng)用層C、Networklayer

網(wǎng)絡(luò)層D、Sessionlayer

會話層答案：A29.Assessingathirdpart'sriskbycountingbugsinthecodemaynotbethebestmeasureofanattacksurfacewithinthesupplychain.WhichofthefollowingisLEASTassociatedwiththeattacksurface?

通過計算代碼中的錯誤來評估第三方的風(fēng)險可能不是衡量供應(yīng)鏈中攻擊面的最佳方法。以下哪項與攻擊面關(guān)聯(lián)最少？A、Inputprotocols

輸入?yún)f(xié)議B、Targetprocesses

目標(biāo)進(jìn)程C、Errormessages

錯誤信息D、Accessrights

訪問權(quán)限答案：C30.Whatistheprocessofremovingsensitivedatafromasystemorstoragedevicewiththeintentthatthedatacannotbereconstructedbyanyknowntechnique?

從系統(tǒng)或存儲設(shè)備中刪除敏感數(shù)據(jù)的過程是什么，目的是使數(shù)據(jù)無法通過任何已知技術(shù)重建？A、PurgingB、EncryptionC、DestructionD、Clearing答案：A31.AproxyfirewalloperatesatwhatlayeroftheOpenSystemInterconnection(OSI)model?代理防火墻運(yùn)行在開放

系統(tǒng)互連(osD模型的哪一層？A、Transport

傳輸層B、Datalink

數(shù)據(jù)鏈路層C、Network

網(wǎng)絡(luò)層D、Application

應(yīng)用層答案：D32.Whichofthefollowingisrequiredtodetermineclassificationandownership?

確定分類和所有權(quán)需要以下哪項？A、Systemanddataresourcesareproperlyidentified

正確識別系統(tǒng)和數(shù)據(jù)資源B、Accessviolationsareloggedandaudited

記錄和審計訪問違規(guī)C、Datafilereferencesareidentifiedandlinked

數(shù)據(jù)文件引用被識別和鏈接D、Systemsecuritycontrolsarefullyintegrated

系統(tǒng)安全控制完全集成答案：A33.Theapplicationownerofasystemthathandlesconfidentialdataleavesanorganization.Itisanticipatedthatareplacementwillbehiredinapproximatelysixmonths.Duringthattime,whichofthefollowingshouldtheorganizationdo?

處理機(jī)密數(shù)據(jù)的系統(tǒng)的應(yīng)用程序所有者離開組織。預(yù)計將在大約六個月內(nèi)雇用一名替代者。在這段時間里，組織應(yīng)該做以下哪項？A、Granttemporaryaccesstotheformerapplicationowner'saccount.

授權(quán)臨時訪問前應(yīng)用程序所有者的帳戶。B、Assignatemporaryapplicationownertothesystem.

為系統(tǒng)分配一個臨時的應(yīng)用程序所有者。C、Restrictaccesstothesystemuntilareplacementapplicationownerishired.

限制對系統(tǒng)的訪問，直到雇傭了替代應(yīng)用程序所有者。D、Preventchangestotheconfidentialdatauntilareplacementapplicationownerishired.

在聘用替代應(yīng)用程序所有者之前，防止更改機(jī)密數(shù)據(jù)。答案：B34.WhattypeofattacksendsInternetControlMessageProtocol(ICMP)echorequeststothetargetmachinewithalargerpayloadthanthetargetcanhandle?

哪種類型的攻擊會向目標(biāo)計算機(jī)發(fā)送Internet控制消息協(xié)議(ICMP)回送請求，其有效負(fù)載超過目標(biāo)計算機(jī)的處理能力？A、Man-in-the-Middle(MITM)

中間人(MITM)B、DenialofService(DoS)

拒絕服務(wù)(DoS)C、DomainNameServer(DNS)poisoning

域名服務(wù)器(DNS)中毒D、Bufferoverflow

緩沖區(qū)溢出答案：B35.Whichofthefollowingisgenerallyindicativeofareplayattackwhendealingwithbiometricauthentication?

在處理生物識別時，下列哪項通常表示驗證重放攻擊？A、FalseAcceptanceRate(FAR)isgreaterthan1in100,000

錯誤接受率(FAR)大于1000,00分之一B、FalseRejectionRate(FRR)isgreaterthan5in100

誤報率(FRR)大于100分之5C、Inadequatelyspecifiedtemplates

不充分指定的模板D、Exactmatch

完全匹配答案：D36.WhichofthefollowingistheMAINreasonforusingconfigurationmanagement?

以下哪個是使用配置管理的主要原因？A、Toprovidecentralizedadministration

提供集中管理B、Toreducethenumberofchanges

減少改動次數(shù)C、Toreduceerrorsduringupgrades

減少升級過程中的錯誤D、Toprovideconsistencyinsecuritycontrols

提供安全控制的一致性答案：D37.WhichofthefollowingistheMOSTimportantreasonforanalyzingsecuritytestoutputsaspartofsecuritydecision-making?

以下哪項是分析安全測試輸出作為安全決策一部分的最重要原因？A、Todeterminetherisktoleranceleveloftheorganization

確定組織的風(fēng)險承受水平B、Todeterminethecost-benefitofremediationactivities

確定補(bǔ)救活動的成本效益C、Todeterminehowtochangesoftwaredevelopmentpractices

確定如何更改軟件開發(fā)實踐D、Todeterminehowtoeliminatesecurityrisks

確定如何消除安全風(fēng)險答案：A38.WhichofthefollowinghastheGREATESTimpactonanorganizationssecurityposture?

以下哪一項對組織的安全態(tài)勢影響最大？A、Internationalandcountry-specificpliancerequirements

國際和國家特定的合規(guī)要求B、Securityviolationsbyemployeesandcontractors

員工和承包商違反安全規(guī)定C、Resourceconstraintsduetoincreasingcostsofsupportingsecurity

由于支持安全的成本增加，資源受到限制D、Auditfindingsrelatedtoemployeeaccessandpermissionsprocess

與員工訪問和權(quán)限流程相關(guān)的審計結(jié)果答案：A39.HowcanlessonslearnedfrombusinesscontinuitytrainingandactualrecoveryincidentsBESTbeused?

如何最好地利用從業(yè)務(wù)連續(xù)性培訓(xùn)和實際恢復(fù)事件中吸取的經(jīng)驗教訓(xùn)？A、Asameansforimprovement

作為改進(jìn)的手段B、Asalternativeoptionsforawarenessandtraining

作為提高認(rèn)識和培訓(xùn)的替代選擇C、Asindicatorsofaneedforpolicy

作為政策需要的指標(biāo)D、Asbusinessfunctiongapindicators

作為業(yè)務(wù)功能差距指標(biāo)答案：A40.WhichofthefollowingdefinesthekeyexchangeforInternetProtocolSecurity(IPSec)?

以下哪項定義了互聯(lián)網(wǎng)協(xié)議安全(IPSec)的密鑰交換？A、SecureSocketsLayer(SSL)keyexchange

加密套接字協(xié)議層(SSL)密鑰交換B、InternetKeyExchange(IKE)

互聯(lián)網(wǎng)密鑰交換(IKE)C、SecurityKeyExchange(SKE)

安全密鑰交換(SKE)D、InternetControlMessageProtocol(ICMP)

互聯(lián)網(wǎng)控制消息協(xié)議(ICMP)答案：B41.WhichofthefollowingisafunctionofSecurityAssertionMarkupLanguage(SAML)?

以下哪項是安全斷言標(biāo)記語言(SAML)的功能?A、Fileallocation

文件分配B、Redundancycheck

冗余檢查C、Extendedvalidation

擴(kuò)展驗證D、Policyenforcement

政策執(zhí)行答案：D42.Whichofthefollowingisacharacteristicofconvertsecuritytesting?

以下哪項是轉(zhuǎn)換安全測試的特征？A、Induceslessriskthanovertesting

與過度測試相比，風(fēng)險更小B、TestsstaffknowledgeandImplementationoftheorganizationssecuritypolicy

測試員工知識和實施組織安全政策C、FocusesanIdentifyingvulnerabilities

重點識別漏洞.D、Testsandvalidatesallsecuritycontrolsintheorganization

測試和驗證組織中的所有安全控制答案：B43.WhichofthefollowingisBESTsuitedforexchangingauthenticationandauthorizationmessagesinamulti-partydecentralizedenvironment?

以下哪項最適合在多方分散環(huán)境中交換身份驗證和授權(quán)消息？A、LightweightDirectoryAccessProtocol(LDAP)

輕量級目錄訪問協(xié)議(LDAP)B、SecurityAssertionMarkupLanguage(SAML)

安全斷言標(biāo)記語言(SAML)C、InternetMailAccessProtocol

Internet郵件訪問協(xié)議D、TransportLayerSecurity(TLS)

傳輸層安全(TLS)答案：B44.AsecurityprofessionalshouldconsidertheprotectionofwhichofthefollowingelementsFIRSTwhendevelopingadefense-in-depthstrategyforamobileworkforce?

安全專業(yè)人員在制定移動員工深度防御戰(zhàn)略時應(yīng)首先考慮以下元素的保護(hù)？A、Networkperimeters

網(wǎng)絡(luò)邊界B、DemilitarizedZones(DMZ)

非軍事區(qū)(DMZ)C、Databasesandback-endservers

數(shù)據(jù)庫和后端服務(wù)器D、End-userdevices

終端用戶設(shè)備答案：D45.Whendevelopingabusinesscaseforupdatingasecurityprogram,thesecurityprogramownerMUSTdowhichofthefollowing?

當(dāng)建立更新安全程序的業(yè)務(wù)案例時，安全程序所有者必須執(zhí)行以下哪項？A、Identifyrelevantmetrics

確定相關(guān)指標(biāo)B、Prepareperformancetestreports

準(zhǔn)備性能測試報告C、Obtainresourcesforthesecurityprogram

為安全計劃獲取資源為安全計劃獲取資源D、Interviewexecutivemanagement

訪談執(zhí)行管理層答案：A46.Whichofthefollowingwillanorganization'snetworkvulnerabilitytestingprocessBESTenhance?

組織的網(wǎng)絡(luò)漏洞測試過程最能增強(qiáng)以下哪項？A、Firewalllogreviewprocesses

防火墻日志審查流程B、Assetmanagementprocedures

資產(chǎn)管理程序C、Serverhardeningprocesses

資產(chǎn)管理程序D、Codereviewprocedures

代碼審查程序答案：C47.Ariskassessmentreportremendsupgradingallperimeterfirewallstomitigateaparticularfinding.WhichofthefollowingBESTsupportsthisremendation?

風(fēng)險評估報告建議升級所有外圍防火墻以緩解特別的發(fā)現(xiàn)。以下哪項最支持該建議？A、Theinherentriskisgreaterthantheresidualrisk.

固有風(fēng)險人大于剩余風(fēng)險。B、TheAnnualizedLossExpectancy(ALE)approacheszero.

年化預(yù)期損失(ALE)接近于零。C、Theexpectedlossfromtheriskexceedsmitigationcosts.

風(fēng)險的預(yù)期損失超過緩解成本。D、Theinfrastructurebudgetcaneasilycovertheupgradecosts.

基礎(chǔ)設(shè)施預(yù)算可以輕松覆蓋升級成本。答案：C48.WhichofthefollowingistheBESTreasonfortheuseofsecuritymetrics?

以下哪個是使用安全度量的最佳理由？A、Theyensurethattheorganizationmeetsissecurityobjectives.

他們確保組織滿足其安全目標(biāo)。B、TheyprovideanappropriateframeworkforInformationTechnology(IT)governance.

它們?yōu)樾畔⒓夹g(shù)(IT)治理提供了適當(dāng)?shù)目蚣蹸、Theyspeeduptheprocessofquantitativeriskassessment.

他們加快了定量風(fēng)險評估的進(jìn)程。D、Theyquantifytheeffectivenessofsecurityprocesses.

他們量化安全流程的有效性.答案：B49.Asecurityconsultanthasbeenaskedtoresearchanorganizationslegalobligationstoprotectprivacyrelatedinformation.WhatkindofreadingmaterialisMOSTrelevanttothisproject?

一位安全顧問被要求研究一個組織保護(hù)隱私相關(guān)信息的法律義務(wù)。什么樣的閱讀材料與這個項目最相關(guān)？A、Theorganizationscurrentsecuritypoliciesconcerningprivacyissues

組織當(dāng)前關(guān)于隱私問題的安全政策B、Privacy-relatedregulationsenforcedbygoverningbodiesapplicabletotheorganization

適用于組織的理事機(jī)構(gòu)執(zhí)行的與隱私相關(guān)的法規(guī)C、Privacybestpracticespublishedrecognizedsecuritystandardsorganizations

公認(rèn)的安全標(biāo)準(zhǔn)組織發(fā)布的隱私最佳實踐D、Organizationalproceduresdesignedtoprotectprivacyinformation

旨在保護(hù)隱私信息的組織程序答案：B50.AnIntrusionDetectionSystem(IDS)isbusedonthegeneralhypothesisthatasecurityviolationisassociatedwithapatterofsystemusagewhichcanbe

入侵檢測系統(tǒng)(IDS)基于一個普遍的假設(shè)，即安全違規(guī)與系統(tǒng)使用模式有關(guān)，而這種模式可以A、differentiatedfromanormalusagepattern.

區(qū)別于正常使用模式。B、usedtodetectknownviolations.

用于檢測已知違規(guī)C、usedtodetectamasquerader.

用于檢測偽裝者。D、differentiatedtodetectallsecurityviolations.

區(qū)分以檢測所有安全違規(guī)。答案：A51.WhichofthefollowingistheFIRSTstepindigitalidentityprovisioning?

以下哪一項是數(shù)字身份提供的第一步？A、Authorizingtheentityforresource

授權(quán)實體訪問資源B、Synchronizingdirectories

同步目錄C、Issuinganinitialrandompassword

發(fā)布初始隨機(jī)密碼D、Creatingtheentityrecordwiththecorrectattributes

創(chuàng)建具有正確屬性的實體記錄答案：D52.AninternalserviceLevelAgreement(SLA)coveringsecurityissignedbyseniormanagersandisinplace.WhenshouldpliancetotheSLAbereviewedtoensurethatagoodsecuritypostureisbeingdelivered?

涉及安全的內(nèi)部服務(wù)水平協(xié)議(SLA)由高級管理人員簽署并生效。什么時候應(yīng)該審查SLA的合規(guī)性，以確保提供良好的安全態(tài)勢？A、AspartoftheSLArenewalprocess

作為SLA更新流程的一部分B、Priortoaplannedsecurityaudit

在計劃的安全審計之前C、Immediatelyafterasecuritybreach

安全漏洞發(fā)生后D、Atregularlyscheduledmeetings

在定期安排的會議上答案：D53.WhichofthefollowingprovidestheGREATESTlevelofdatasecurityforaVirtualPrivateNetwork(VPN)connection?

以下哪項為虛擬專用網(wǎng)絡(luò)(VPN)連接提供了最高級別的數(shù)據(jù)安全性？A、InternetProtocolPayloadpression(IPp)

互聯(lián)網(wǎng)協(xié)議負(fù)載壓縮(IPp)B、InternetProtocolSecurity(IPSec)

互聯(lián)網(wǎng)協(xié)議安全(IPSec)C、ExtensibleAuthenticationProtocol(EAP)

可擴(kuò)展身份驗證協(xié)議(EAP)D、RemoteAuthenticationDial-InUserService(RADIUS)

遠(yuǎn)程認(rèn)證撥入用戶服務(wù)(RADIUS)答案：B54.Theuseofprivateandpublicencryptionkeysisfundamentalintheimplementationofwhichofthefollowing?

在實現(xiàn)以下哪項的過程中，私鑰和公鑰的使用至關(guān)重要？A、Diffie-Hellmanalgorithm

Diffie-Hellman算法B、SecureSocketsLayer(SSL)

加密套接字協(xié)議層(SSL)C、AdvancedEncryptionStandard(AES)

高級加密標(biāo)準(zhǔn)(AES)D、MessageDigest5(MD5)

消息摘要5(MD5)答案：B55.AnorganizationoperatesalegacyIndustrialControlSystem(ICS)tosupportitscorebusinessservice,whichcarrotbereplaced.ItsmanagementMUSTbeperformedremotelythroughadministrativeconsolesoftware.WhichinturndependsonanoldversionoftheJavaRuntimeEnvironment(JPE)knowntobevulnerabletoanumberofattacks?HowisthisriskBESTmanaged?

一個組織運(yùn)營一個遺留的工業(yè)控制系統(tǒng)(ICS)來支持其核心業(yè)務(wù)服務(wù)，而這些服務(wù)將被取代。其管理必須通過管理控制臺軟件遠(yuǎn)程執(zhí)行。這又取決于Java運(yùn)行時環(huán)境(JPE)的舊版本，該版本已知易受多種攻擊？如何最好地管理這種風(fēng)險？A、IsolatethefullICSbymovingitontoitsownnetworksegment

通過將整個ICS移動到其自己的網(wǎng)段來隔離完整的ICSB、Air-gapandhardenthehostusedformanagementpurposes

物理隔離和加固用于管理目的的主機(jī)C、ConvincethemanagementtodemissiontheICSandmitigatetoamodemtechnology

說服管理層停用ICS并采用現(xiàn)代技術(shù)D、Deployarestrictiveproxybetweenallclientsandthevulnerablemanagementstation

在所有客戶端和易受攻擊的管理站之間部署限制性代理答案：B56.Whichofthefollowingentailsidentificationofdataandlinkstobusinessprocesses,applications,anddatastoresaswellasassignmentofownershipresponsibilities?

以下哪項需要識別數(shù)據(jù)和到業(yè)務(wù)流程、應(yīng)用程序和數(shù)據(jù)存儲的鏈接，以及分配所有權(quán)責(zé)任？A、Securitygovernance

安全治理B、RiskmanagementB.

風(fēng)險管理C、Securityportfoliomanagement

安全組合管理D、Riskassessment

風(fēng)險評估答案：B57.WhileimpersonatinganInformationSecurityOfficer(ISO),anattackerobtainsinformationfrompanyemployeesabouttheirUserIDsandpasswords,Whichmethodofinformationgatheringhastheattackerused?

在模擬信息安全官員(ISO)時，攻擊者從公司員工那里獲取有關(guān)其用戶ID和密碼的信息，攻擊者使用了哪種信息收集方法？A、Trustedpath

可信路徑B、Maliciouslogic

惡意邏輯C、Socialengineering

社會工程學(xué)D、Passivemisuse

被動濫用答案：C58.WhichHyperTextMarkupLanguage5(HTML5)optionpresentsasecuritychallengefornetworkdataleakagepreventionand/ormonitoring?

哪個超文本標(biāo)記語言5(HTML5)選項對網(wǎng)絡(luò)數(shù)據(jù)泄漏預(yù)防和/或監(jiān)控提出了安全挑戰(zhàn)？A、CrossOriginResourceSharing(CORS)

跨源資源共享(CORS)B、WebSockets

WebSocketsC、DocumentObjectModel(DOM)trees

文檔對象模型(DOM)樹D、WebInterfaceDefinitionLanguage(IDL)

Web界面定義語言(IDL)答案：B59.Provenapplicationsecurityprinciplesincludewhichofthefollowing?

經(jīng)驗證的的應(yīng)用程序安全原則包括以下哪些？A、Minimizingattacksurfacearea

最小化攻擊面B、Hardeningthenetworkperimeter

強(qiáng)化網(wǎng)絡(luò)邊界C、Acceptinginfrastructuresecuritycontrols

接受基礎(chǔ)設(shè)施安全控制D、Developingindependentmodules

開發(fā)獨立模塊答案：A60.WhichofthefollowingopensourcesoftwareissuesposetheMOSTrisktoanapplication?

以下哪一個開源軟件問題對應(yīng)用程序的風(fēng)險最大？A、Thesoftwareisbeyondendoflifeandthevendorisoutofbusiness.

軟件已過期，供應(yīng)商停業(yè)B、Thesoftwareisnotusedorpopularinthedevelopmentmunity.

該軟件在開發(fā)社區(qū)中不使用或不流行。C、ThesoftwarehasmultiplemonVulnerabilitiesandExposures(CVE)andonlysomeareremediated.

該軟件有多個常見漏洞和暴露(CVE),但只有一些被實施了補(bǔ)救。D、ThesoftwarehasmultiplemonVulnerabilitiesandExposures(CVE)buttheCVEsareclassifiedaslowrisks.

該軟件具有多個常見漏洞和暴露(CVE)，但CVE己分類作為低風(fēng)險答案：C61.WhichofthefollowingdescribestheBESTconfigurationmanagementpractice?

以下哪一項描述了最佳配置管理實踐？A、Afterinstallinganewsystem,theconfigurationfilesarecopiedtoaseparatebuck-upsystemandhashedtodetecttampering.

安裝新系統(tǒng)后，將配置文件復(fù)制到單獨的備份系統(tǒng)中，并進(jìn)行散列以檢測篡改。B、Afterinstallinganewsystem,theconfigurationfilesarecopiedtoanair-gappedsystemandhashedtodetecttampering.

安裝新系統(tǒng)后，將配置文件復(fù)制到物理隔離系統(tǒng)中，并進(jìn)行散列以檢測篡改。C、Thefirewallrulesarebuckeduptoanair-gappedsystem.

防火墻規(guī)則與物理隔離系統(tǒng)緊密相連。D、Abaselineconfigurationiscreatedandmaintainedforallrelevantsystems.

為所有相關(guān)系統(tǒng)創(chuàng)建和維護(hù)基線配置。答案：D62.Whenimplementingadataclassificationprogram,why

在實施數(shù)據(jù)分類程序時，為什么避免過多的粒度很重要？A、Theprocesswillrequiretoomanyresources

該過程將需要太多資源B、Itwillbedifficulttoapplytobothhardwareandsoftware

這將很難同時適用于硬件和軟件C、Itwillbedifficulttoassignownershiptothedata

將難以為數(shù)據(jù)分配所有權(quán)D、Theprocesswillbeperceivedashavingvalue

這個過程會被認(rèn)為是有價值的答案：A63.Whatdoessecureauthenticationwithloggingprovide?

帶日志的安全認(rèn)證提供了什么？A、Dataintegrity

數(shù)據(jù)完整性B、Accessaccountability

訪問問責(zé)制C、Encryptionloggingformat

加密日志格式D、Segregationofduties

職責(zé)分離答案：B64.AnorganizationthathasachievedaCapabilityMaturitymodelIntegration(CMMI)levelof4hasdonewhichofthefollowing?

達(dá)到能力成熟度模型集成(CMMI)4級的組織完成了以下哪項工作？A、Addressedcontinuousinnovativeprocessimprovement

解決持續(xù)創(chuàng)新的流程改進(jìn)問題B、Addressedthecausesofmonprocessvariance

解決常見流程差異的原因C、Achievedoptimizedprocessperformance

實現(xiàn)優(yōu)化的流程績效D、Achievedpredictableprocessperformance

實現(xiàn)可預(yù)測的流程績效答案：C65.AthoroughreviewofanorganizationsauditlogsfindsthatadisgruntlednetworkadministratorhasinterceptedemailsmeantfortheChiefExecutiveOfficer(CEO)andchangedthembeforeforwardingthemtotheirintendedrecipient.

WhattypeofattackhasMOSTlikelyoccurred?

對一個組織的審計日志進(jìn)行徹底審查后發(fā)現(xiàn)，不滿的網(wǎng)絡(luò)管理員截獲了他人發(fā)給首席執(zhí)行官(CEO)的電子郵件，并在將其轉(zhuǎn)發(fā)給預(yù)期收件人之前對其進(jìn)行了更改。最有可能發(fā)生的攻擊類型是什么？A、Spoofing

欺騙B、Eavesdropping

竊聽C、Man-in-the-middle

中間人D、Denialofservice

拒絕服務(wù)答案：C66.WhichofthefollowingistheMOSTsecureprotocolforzremotemandaccesstothefirewall?

以下哪項是zremote命令訪問防火墻的最安全協(xié)議？A、SecureShell(SSH)

安全外殼(SSH)B、TrivialFileTransferProtocol(TFTP)

普通文件傳輸協(xié)議(TFTP)C、HypertextTransferProtocolSecure(HTTPS)

超文本傳輸協(xié)議安全(HTTPS)D、SimpleNetworkManagementProtocol(SNMP)vl

簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)vl答案：A67.Alarge,multinationalorganizationhasdecidedtooutsourceaportionoftheirInformationTechnology(IT)organizationtoathird-partyprovider，sfacilityproviderwillberesponsibleforthedesign,development,testing,andsupportofseveralcritical,customerbasedapplicationsusedbytheorganization.Thethirdpartyneedstohave?

一家大型跨國組織已決定將其信息技術(shù)(IT)組織的一部分外包給第三方提供商。其設(shè)施提供商將負(fù)責(zé)設(shè)計、開發(fā)、測試和支持該組織使用的幾個關(guān)鍵的、基于客戶的應(yīng)用程序。第三方需要什么？A、processesthatareidenticaltothatoftheorganizationdoingsourcing,

與進(jìn)行外包的組織的流程相同的流程B、accesstotheoriginalpersonnelthatwereonstaffattheorganization,

訪問組織中的原始員工。C、theabilitytomaintainalloftheapplicationsinlanguagestheyarefamiliarwith,

以他們熟悉的語言維護(hù)所有應(yīng)用程序的能力。D、accesstotheskillsetsconsistentwiththeprogramminglanguagesusedbytheorganization.

獲得與組織使用的編程語言一致的技能集。答案：D68.WhichofthefollowingisconsideredthelastlinedefenseinregardtoaGovernance,Riskmanagements,andpliance(GRC)program?

下列哪項被認(rèn)為是治理、風(fēng)險管理和合規(guī)(GRC)計劃的最后一道防線？A、internalaudit

內(nèi)部審計B、Internalcontrols

內(nèi)部控制C、Boardreview

董事公審查D、Riskmanagement

風(fēng)險管理答案：A69.Whendesigningavulnerabilitytest,oneofthefollowingislikelytogivetheBESTindicationofwhatponentscurrentlyoperateonthenetwork?

設(shè)計漏洞測試時，以下哪一項最有可能給出指示哪些組件當(dāng)前在網(wǎng)絡(luò)上運(yùn)行？A、Topologydiagrams

拓?fù)鋱DB、Mappingtools

繪圖工具C、Assetregister

資產(chǎn)登記D、Pingtesting

Ping測試答案：A70.Whoisresponsiblefortheprotectionofinformationwhenitissharedwithorprovidedtootherorganizations?

當(dāng)信息與其他組織共享或提供給其他組織時，誰負(fù)責(zé)保護(hù)信息？A、Systemsowner

系統(tǒng)所有者B、AuthorizingOfficial(AO)

授權(quán)官員(AO)C、Informationowner

信息擁有者D、Securityofficer

保安員答案：C71.WhichofthefollowingistheMOSTimportantactivityanorganizationperformstoensurethatsecurityispartoftheoverallorganizationculture?

為了確保安全性是整個組織文化的一部分，組織執(zhí)行的最重要的活動是以下哪項？A、Ensuesecuritypoliciesareissuedtoallemployees

確保向所有員工發(fā)布安全政策B、PerformformalreviewsofsecurityIncidents.

對安全事件進(jìn)行正式審查。C、Manageaprogramofsecurityaudits.

管理安全審計計劃。D、Workwithseniormanagementtomeetbusinessgoals.

與高級管理層合作以實現(xiàn)業(yè)務(wù)目標(biāo)答案：A72.WhichofthefollowingBESTavoidsdataremanencedisclosureforcloudhostedresources?

以下哪項最能避免云托管資源的數(shù)據(jù)剩磁泄露？A、Strongencryptionanddeletionofthekeysafterdataisdeleted.

強(qiáng)加密和數(shù)據(jù)刪除后密鑰的刪除。B、Strongencryptionanddeletionofthevirtualhostafterdataisdeleted.

強(qiáng)加密和數(shù)據(jù)刪除后虛擬主機(jī)的刪除。C、Softwarebasedencryptionwithtwofactorauthentication.

基于軟件的加密和雙因素身份驗證。D、Hardwarebasedencryptionondedicatedphysicalservers.

專用物理服務(wù)器上基于硬件的加密。答案：A73.Whichoneofthefollowingaffectstheclassificationofdata?

以下哪一項會影響數(shù)據(jù)的分類？A、Assignedsecuritylabel

分配的安全標(biāo)簽B、MultilevelSecurity(MLS)architecture

多級安全(MLS)架構(gòu)C、Minimumquerysize

最小查詢量D、Passageoftime

時間流逝答案：D74.WhichofthefollowingisastandardAccessControlList(ACL)elementthatenablesaroutertofilterInternet

Traffic?以下哪項是標(biāo)準(zhǔn)訪問控制列表(ACL)元素，使路由器能夠過濾互聯(lián)網(wǎng)流量？A、MediaAccessControl(MAC)address

媒體訪問控制(MAC)地址B、InternetProtocol(IP)address

互聯(lián)網(wǎng)協(xié)議(IP)地址C、Securityroles

安全角色D、Deviceneeds

設(shè)備需求答案：B75.WhichofthefollowingistheMOSTimportantconsiderationwhendevelopingaDisasterRecoveryPlan(DRP)?

在制定災(zāi)難恢復(fù)計劃(DRP)時，以下哪項是最重要的考慮因素？A、Thedynamicreconfigurationofsystems

系統(tǒng)的動態(tài)重構(gòu)B、Thecostofdowntime

停機(jī)成本C、Arecoverystrategyforallbusinessprocesses

所有業(yè)務(wù)流程的恢復(fù)策略D、Acontainmentstrategy

遏制策略答案：C76.Whichofthefollowingisamethodofattackinginternet(IP)v6Layer3andLayer4?

以下哪個是攻擊internet(IP)v6Layer3andLayer4的方法？A、Synchronizesequencenumbers(SVN)flooding

同步序列號(SVN)泛洪B、InternetControlMessageProtocol(IOP)flooding

互聯(lián)網(wǎng)控制消息協(xié)議(I0P)泛洪C、DomainNameServer(DNS)cachepoisoning

域名服務(wù)器(DNS)緩存中毒D、MediaAccessControl(MAC)flooding

媒體訪問控制(MAC)泛洪答案：A77.IncludingaTrustedPlatformModule(TPM)inthedesignofaputersystemisanexampleofatechniquetowhat?

在計算機(jī)系統(tǒng)的設(shè)計中包含可信平臺模塊(TPM)是一種什么技術(shù)的例子？A、InterfacewiththePublicKeyInfrastructure(PKI)

與公鑰基礎(chǔ)設(shè)施(PKI)的接口B、Improvethequalityofsecuritysoftware

提高安全軟件的質(zhì)量C、PreventDenialofService(DoS)attacks

防止拒絕服務(wù)(DoS)攻擊D、Establishasecureinitialstate

建立一個安全的初始狀態(tài)答案：D78.Whatistheprocesscalledwhenimpactvaluesareassignedtothesecurityobjectivesforinformationtypes?

當(dāng)為信息類型的安全目標(biāo)分配影響值時，該過程稱為什么？A、Qualitativeanalysis

定性分析B、Quantitativeanalysis

定量分析C、Remediation

補(bǔ)救D、System