CISSP第6/8知识点错题集
最新回答
沫白丶黯然空灵景煞
2026-05-08 22:36:02
1. 确定新软件测试质量的方法是突变测试，它通过修改程序局部来测试该突变体是否能正常运行，而非代码审计、静态代码分析或回归测试。
2. 使用WPA2加密和在企业模式下运行可能阻碍密码破解，因为企业模式下的WPA2支持RADIUS身份验证，而非预共享密钥，这种设置可能导致账户锁定。WEP加密方法则是过时且易被快速破解的。
3. 主动无线扫描的潜在问题包括意外扫描并误识别为流氓设备、引起组织的无线IPS报警、扫描属于附近组织的设备以及误识别流氓设备。主动扫描的执行可能导致无线安全警报。
4. Ben生成模糊数据依赖于应用程序输入模型，采用智能模糊测试方法。突变和参数模糊测试方法不是正确的描述。
5. 当Jim执行灰盒渗透测试时，他依赖于从客户获得的网络信息，但若提供的IP范围太大会导致扫描效率降低。正确做法是确保扫描IP范围的合理性和可操作性。
6. Karen在确保备份可用性时，应避免选择无法验证备份完整性和有效性的选项，如日志审查或散列验证。定期测试备份的完整性和可用性是最佳实践。
7. 在没有足够的访问权限的情况下，Danielle应该运行TCP连接扫描来验证开放服务，而不是TCP SYN扫描、UDP扫描或ICMP扫描。
8. Saria在执行现实攻击时，应选择灰盒渗透测试方法，因为这种测试方法能够提供一定的系统内部信息，但不提供系统设计或配置等详细信息。
9. Jim在处理客户关于系统备份的问题时，应要求信息安全团队将系统标记为已修补，而不是更改版本信息或卸载并重新安装补丁。
10. STRIDE模型在应用程序威胁建模的威胁分类部分中特别有用，帮助评估攻击者可能利用的威胁类型。
11. Lauren在测试组织蓝牙安全时，应解释的问题不包括蓝牙扫描耗时、被扫描设备可能为个人设备，或被动蓝牙扫描需要多次访问来识别所有目标。主动扫描无法评估蓝牙设备的安全模式。
12. 规划阶段的核心问题在于如何有效存储和发送漏洞数据，以确保报告阶段的顺利进行，而非使用CVE格式、确定目标是否超出范围或报告时间长度。
13. 验证代码测试通常涉及输入、声明、分支和条件覆盖，确保代码的每个部分都被充分测试。
14. Jacob提供的图表与关键绩效指标(KPIs)相关，用于评估渗透测试活动的有效性，而非覆盖率测试、生存时间指标或业务关键指标。
15. 处理漏洞扫描器识别的漏洞时，不应简单更新标题或版本号，而应安装补丁、使用解决方法修复漏洞或部署应用程序层防火墙或IPS来防止对漏洞的攻击。
16. 渗透测试与应用层攻击相关，但与应用程序崩溃、拒绝服务攻击或数据损坏等无关。这些危害可能由系统故障、网络问题或应用程序错误引起。
17. 当Metasploit被用于渗透测试时，其主要功能是帮助利用已知漏洞，而非扫描系统漏洞。Metasploit并非专门用于漏洞扫描，而是提供工具和方法来测试和利用漏洞。
18. 在发现关键漏洞后，应先进行验证以确认问题存在，随后执行报告、修补或其他补救措施。
19. Kathleen进行的代码审查遵循Fagan检查法的流程，包括规划、概述、准备、检查、返工和后续阶段，确保代码质量的全面检查。
20. Danielle在比较数据中心发现的漏洞时，应使用NVD（美国国家信息安全漏洞数据库）评分系统来评估和比较漏洞指标。
21. Alex发现的响应端口80、443、515和9100的主机可能是Web服务器，而非文件服务器、无线接入点或打印机。打印机通常通过不同的端口提供服务。
22. Nmap扫描端口时，可能报告三种状态：打开、关闭和过滤。这些状态反映了端口的可访问性和是否被防火墙阻止。
23. Jim在设计日志管理系统时，应关注日志数据量、数据存储安全要求、网络带宽需求以及日志源的充分性，而非仅考虑网络带宽。
24. 经过身份认证的扫描允许访问系统配置信息和提供网络服务的访问信息，适用于需要更深入系统访问的测试场景。
25. Ben的团队为解决特权提升威胁的授权问题，应采用基于角色的访问控制（RBAC）策略，而非启用审计和日志记录、数据类型和格式检查或白名单测试。
26. 由多个服务器共享的对称密钥导致的事务识别问题属于否认（denial）类别，因为服务器可能无法唯一标识加密的事务，导致无法证明事务的来源。
27. Ben的扫描范围问题可能源于他仅使用nmap的默认设置，导致错过了默认范围之外的64,535个端口。
28. Saria在编写代码审查方案需求时，应指定手动代码审查，以确保审查人员深入考虑业务逻辑和代码上下文。
29. 应用程序威胁建模中使用的图表是STRIDE图表，它描述了恶意用户、缓解和威胁等。
30. 如果评估涵盖IPS设备，评估客体类型是机制，因为它指的是基于硬件、软件或固件的控制措施。
31. SOC报告最适合为用户提供组织安全性、可用性和服务运营完整性的保证的是SOC 2报告。
32. 系统本身不支持syslog的是Windows台式机系统，因为Windows系统默认按照本地日志格式生成日志，需要额外工具支持syslog。
33. 使用网站模拟流量来监控性能的方法是合成监测。
34. 用于记录所有用户与应用程序或网站交互以确保质量和性能的被动监控技术是真实用户监控。
35. Susan预测风险并评估风险趋势时，应识别和跟踪主要风险指标，而不是执行年度风险评估。
36. 合成和被动监控的主要区别在于被动监控只有在问题发生后才能工作，而合成监控则能主动识别问题。
37. Lauren为第三方服务组织进行审查时，应要求提供SOC 1类型II报告，以评估其政策和程序的有效性。
38. Jim在确定组织审计标准时，不应使用ITIL，而应选择COBIT、SSAE-16和ISO27002等标准。
39. 综合事务监控方法不包括用户会话监控，而应包括数据库监控、流量捕获和分析以及网站性能监控。
40. 重新启动Windows系统时生成的日志类型是信息，用于记录成功的操作。
41. 基于SSAE-16的国际框架是ISAE 3402。
42. 在重新启动Windows系统时，系统会生成信息类型的日志。
43. 在基于SSAE-16的框架中，ISAE 3402是国际认可的标准。
44. 本文章总结了多个CISSP知识点的解答，旨在帮助读者理解关键概念并提升安全专业技能。
热门标签
