搜索
1取款机首要的安全考虑是:电子设备的物理安全网络可用性网络延迟2问企业要通过其网络边界保护IM通讯，问对于企业来说最大的顾虑/问题是什么：AIM客户端使用随机端口B运行某些IM客户端无需管理员权限C选项是允许im在不同的供应商之间通讯D某些IM不需要安装即可运行3连续安全监控计划如何降低风险InformationSecurityContinuousMonitoring（ISCM/SCM）选项基本都不记得了，你们网上找一下，好像是美国政府的某个东西4使用正式安全测试报告的结构和格式的主要好处是什么a对高层如何如何b对高管如何如何c对技术团队如何如何d对技术团队如何如何抱歉实在不记得了，完全懵逼5建立医疗保健设施主要的安全考虑是什么a安全，容量，合规b通风好，能源足够c大平层，便于移动办公d加固存储区域，适当通风，安全的收货区域6序列号预测可能是哪种攻击a拒绝服务b中间人c忘了d身份盗用7CTPED的前提是什么a良好环境可以改善建筑周边犯罪率b改进的物理安全可以改变访问此设施人员的行为，从而降低犯罪率8-1某组织指派安全专家应对淹没攻击：1以下哪种伙伴关系有助于快速缓解淹没攻击：a和线路提供商b和银行3和供应商4和用户8-2关于淹没攻击，潜在的威胁是什么？就记得一个，我选的，攻击的组织者可能勒索钱财8-3安全专家需要关注的重点是什么？就记得一个，我选的，防止僵尸网络的持续破坏这个就是考APT了吧！9还有关于USB传输的问题，习题上那个翻译非常有问题原题是：某企业管理层关注数据安全的问题，并有4个需求：9-1要求传输到USB设备上的数据的安全英语的关键字是transporteddatasecure所以我选了使用加密的虚拟磁盘那是有保密性要求9-2还有个需求是如何保护数据完整性我选了定期进行VALIDATION其他选项大概是定期把磁带送到供应商处，设定备份周期10还有问安全工程中哪个是对于系统安全要求的反馈源我选了系统架构，还有的选项是CONOPS（好像是运维概念）11软件工程中，SoftwareAssurance主要致力于干啥选项是提供一致的安全需求列表指派安全人员进行安全需求评估亲自评估什么需要保护，什么人需要保护，需要保护多久还有两个选项不记得了12安全模型和网络，云考了很多比如某个模式下数据丢失是谁的责任，数据泄漏引起的财务损失是谁的责任法律基本没考13妈蛋Ipsec考了大概10题，各种问法AHESP隧道模式传输模式14链路加密和端到端加密考了，原题15问一个有多个角色的联网信息系统，要实现可靠的访问控制，第一步要做什么A用户配置文件BACLC用于访问矩阵D基于角色的访问控制矩阵16一直纠结的那个陷门，不是要搞什么合成交易，而是要在生产系统里插入虚构但是可以识别的交易所以我选了只能在开发环境使用因为在生产环境使用陷门和插入虚假交易都是不允许的，尤其是后者17对硬件加密模块最有效的攻击是：功耗中间人还有两个忘了18取款机首要的安全考虑是电子设备的物理安全网络可用性网络延迟做题方法：一，可能正确的答案：选择适当的控制措施根据实际情况选择措施基线门槛工作方法二，可能不正确的答案：所有没有必须Only只有三，答案的三种类别：1、预防性的2、探测性的3、事后的尽量选预防的，尽量不要选事后性的在与其他组织建立一个联合单点登陆（SSO）解决方案，下列哪项是组织主要关注的？A.发送声明给身份供应商B.定义身份的映射方案C.从合作伙伴的域申请身份声明D.让资源供应商查询身份供应商根据下列情况什么时候变更防火墙配置的哈希值？A.在防火墙配置变更之前做哈希B.防火墙配置做增量备份C.配置变更后更新通信网络中端到端加密的缺点是如下？A.防火墙和流量监控系统无法识别数据类型B.导致需要提升大量带宽C.加密原因导致性能下降可能造成通信中断在哪个阶段需要展示DRP计划？？A.沟通B.计划C.提交D.恢复web系统的cookie，攻击者可以绕过什么验证？A.有身份检查B.密码检查C.授权检查啥的D.认证一家公司把他们的设备都搬到一个大的共享的机房里他们最重要做的是什么？A.设置互联网防火墙B.加强服务器控制台的验证C.给线缆打标签D.机柜加锁有个外包公司的顾问，去你公司干活，违反了你们公司使用电脑的规章制度，问通过什么来惩罚他？A.用自己公司的政策规定B.外包公司的政策规定C.合同规定D.法律规定SDLC在什么阶段，最可能发生审计行动？A初始B开发C运行维护D实施SDLC在什么阶段，可以更改安全保证内容以保证开发过程中减少变更A合同订立B开发C运行维护SDLC在什么环境就应该开始考虑安全需求需求分析确认实现运行维护处理真实性包括？1完整性和验证（优先）2完整性和不可否认防止内部威胁最好的方法A双因素B按业务部门分割数据库测试BCP应急响应计划的对象A应急疏散B系统备份C渗透测试D设置故障热线DR进行功能响应的测试：A应急疏散B渗透测试C.数据备份DR培训的目的：a正确应对安全事件b针对具体事件做出正确的反应应急计划最重要的资产是？A全员员工B防火设施C酱油D酱油开始审计之前，审计团队的头必须干什么？A拿正式书面授权B跟高层管理者碰头，商量预期结果在一个有多用户访问的应用，一下哪类是访问控制的第一步？A创建访问控制矩阵ACMBACL安全评估和授权过程中，硬件清单和软件清单主要的目的是？用于安全鉴证检查系统边界创建授权列表Web应用在使用什么协议对数据防泄漏是最大的挑战？HTTPXMLWEBSOCKET使⽤html5，和下⾯那项，会带来⽹络数据泄露的挑战？A.CrossOriginResourceSharing(CORS)B.WebSocketsC.DocumentObjectModel(DOM)treesD.WebInterfaceDefinitionLanguage(IDL)）在移动代码开发过程中，什么阶段决定了在哪类设备上开发?A初始B开发C规划D酱油渗透测试发现漏洞，问最快速的解决方法？A代码修复B应用防火墙加规则已知某程序有输入验证漏洞，以下最快速的做法A停止服务B代码修复C实施IDSD应用防火墙添加规则安全评估过程中，组织本身在评估过程中的作用？A如果抛弃组织结构，安全策略将不适用B衡量与标准的差距对于备份介质，下列对称加密方法最合适的是ADESBAES独立测试的优势？A增加隐藏功能被发现的概率/提⾼发现隐藏⻛险点的可能性B减少隐藏功能被发现的概率如果电脑被盗了，下列哪个方法能够最有效的保证数据不泄密？A设置BIOS密码B文件加密C全磁盘加密以下哪项是预防性访问控制？A酱油B在入口处设置陷阱（如果是陷门，双门防护就是这个）C访问控制软件D⼊侵检测系统一个攻击者通过企业VPN开始攻击网络服务器，以下哪种访问控制措施可以防护这类攻击？A防火墙上通过限制有效范围外的IP访问D网络服务器上通过使用用户名密码关于安全基线的最佳描述：A组织的高级别安全定义B用来信息安全管理的软件C用来支撑组织信息安全政策的实践证明D在组织实施一致的安全配置软件开发管理流程(SDLC)维持最新的硬件和软件清单是：（争议）A系统管理的重要XXXXB变更管理的重要XXXXC风险管理的重要XXXXD质量管理的重要XXXX数据标记（marking）和数据标签（labeling）的区别是A数据标记是人类可读的，数据标签是内部数据结构使用的B数据标签是人类可读的，介质标签是内部数据结构使用的C数据标记是公开的法律/法规定义的，数据标签是内部信息安全政策定义的D数据标签是公开的法律/法规定义的，数据标记是内部信息安全政策定义的关于组织最大的数据保留风险是：A保留超过数据有效期但是有数据取证需要的数据B保留超过数据有效期但是没有数据取证需要的数据C删除超过数据有效期但是有数据取证需要的数据D删除超过数据有效期但是没有数据取证需要的数据场景是管理层对介质管理提出要求1）USB传输的数据必须要有安全管控2）备份数据要保证完整性问题1：对于第一个要求应该怎么做：A只允许传输只读文件B使用虚拟硬盘C定期格式化硬盘D禁用USB问题2：对于第二个要求应该怎么做：A定期将备份磁带运到异地场所B定期对备份数据进行校验下列哪个访问策略是系统用于用户对访问对象的固有安全（fixedsecure）属性AMACBDACCACLD授权用户访问Whichsecurityaccesspolicycontainsfixedsecurityattributesthatareusedbythesystemtodetermineauser'saccesstoafileorobject?哪个安全访问策略包含固定的安全属性，系统⽤来确定⽤户对⽂件或对象的访问？A.强制访问控制B.⾃主访问控制C.访问控制列表D.授权⽤户控制（固定了客体，应该选ACL，如果固定了主体，就是能⼒表，不固定主体和客体，才是ACM）使用一次性密码本的双因素认证防止了下面的什么攻击A重放B暴力破解以下哪个定义了恶意的APA没有通过防火墙管理的APB没有使用WEP和3DES加密的APC接入交换机但是没有网络管理员管理的APD被某种特洛伊木马或者恶意软件感染的AP场景是企业有一些服务器放在互联网，然后某天有一台互联网服务器遭到破坏，管理层收到报告，并由管理层转给了安全经理问题1：安全经理收到报告之后首先要做的是：C用备份数据对互联网服务器进行恢复D对报告进行调查问题2：破坏是由于缺少一个安全修复程序引起，在打上补丁之后，什么时候对系统进行上线：A对该漏洞进行全面评估和测试后B对互联网服务器进行漏洞渗透测试和评估之后C立即上线保证业务的连续性D检验互联网服务器的完整性并获得相应的授权之后网络管理外包最有效保障安全的措施：(争议)A增强安全访问控制B签订保密协议C把所有跟敏感信息相关的内容记录下来D链接安全策略端口扫描时会出现什么意想不到的事情？a.开启以前未开启的端口b.拒绝服务c.开通管理员权限漏洞扫描可能会造成以下：A、打开端口B、拒绝服务DOS如何进行客户端的安全控制选择有（我选客户端漏洞扫描）关闭不必要和web服务、对客户端扫描漏洞进安全评估wifi802.11g那个版本有什么特点？A向后兼容801.11bB提供更快速率C支持令牌个人对网络的访问是基于？A风险矩阵B数据分类C数据价值D业务需求一个组织想采用WEB程序来让员工访问客户信息数据，决定其安全级别的是：a.数据价值b加密要求c服务器要求d访问控制方式某些高级语言不易产生缓冲区攻击，但什么情况还是会造成缓冲区攻击？A第三方库(优先)BpluginCsupportingapplication哪一项攻击会影响VOIP通道的完整性？A、影响机密性的选项B、中间人（影响完整性及机密性）C、资源耗尽审计师要求软件留后门（trapdoor）以方便合成交易，在使用trapdoor的时候要注意什么？b需要有良好的访问控制，在生产环境使用（争议）c在开发环境使用d要确保做好单向散列，在系统生命周期结束之后要剔除收集个人隐私在系统中保存的时候怎么做比较增加安全性：列加密collunn加密Tokenization组织的服务器遇到flood攻击，以下方法可以有效解决的是a购买不同运营商的带宽b将你的服务下线c找安全供应商购买最新的安全软件d应⽤防⽕墙设置组织的服务器遇到flood攻击，以下⽅法是快速有效解决⽅法a购买不同运营商的带宽b将你的服务下线c找安全供应商购买最新的安全软件d应⽤防⽕墙设置组织服务器遇到flood攻击，服务器在遇到大量请求的时候会做的是（flood是泛洪）a目前服务器的端口上尝试不断进行回应b保留资源来等待后续请求组织服务器遇到源地址不可达的syn攻击，服务器在遇到大量请求的时候会做的是（半开）a目前服务器的端口上尝试不断进行回应b保留资源来等待后续请求对于组织来说如果对于在采用了对应某个安全合规要求的所有措施后，可能出现的结果是a安全隐患的解决b成本大幅增加c风险相关d投资回报(ROI)的增加采用所有可能的安全措施后可能：a与业务保持一致b总体风险降低cROI增加对于数据库的信息保护，哪