secbench-hf/SecBench huggingface dataset:
领域/Domain: 应用安全
Question: 在移动应用中，以下哪种做法最能确保用户数据的隐私和安全？
Options:
仅在应用内存储敏感数据，从不使用设备的本地存储
使用加密技术对存储在设备上的敏感数据进行加密
依赖应用的默认隐私设置，不进行额外的数据安全措施
频繁请求用户权限，获取尽可能多的设备信息以优化用户体验
Answer: B
领域/Domain: 应用安全
Question: 钓鱼攻击中，攻击者如何利用社会认同感来欺骗受害者？
Options:
冒充受害者的亲朋好友
利用恐慌和紧迫感
提供诱人的奖励或优惠
揭示受害者的个人信息
Answer: A
领域/Domain: 应用安全
Question: 在移动应用安全测试中，以下哪种方法最直接地帮助评估应用的权限控制是否适当？
Options:
静态代码分析，检查权限声明
模糊测试，注入随机数据
社会工程学，尝试欺骗用户
渗透测试，模拟恶意攻击
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术最有助于防止用户受到钓鱼邮件的欺骗？
Options:
安装端点防病毒软件并保持最新
启用SSL\\/TLS协议进行电子邮件传输
使用可验证的网络安全证书检查邮件发送者
部署入侵检测系统（IDS）监控网络流量
Answer: C
领域/Domain: 应用安全
Question: 以下哪种技术可以帮助安全专家逆向工程移动应用，以检测潜在的漏洞或恶意行为？
Options:
安全策略实施
代码反编译
网络入侵检测
反制技术应用
Answer: B
领域/Domain: 应用安全
Question: 以下哪个协议是HTTPS使用的安全传输协议？
Options:
SSL 2.0
TLS 1.3
SET
HTTP\/2
Answer: B
领域/Domain: 应用安全
Question: 以下哪种威胁属于钓鱼攻击的范畴？
Options:
SQL注入
键盘记录器
社会工程学
DDoS攻击
Answer: C
领域/Domain: 应用安全
Question: 在Web应用程序中，以下哪种防御机制可以有效防止反射型XSS攻击？
Options:
输入验证
输出编码
使用HTTP-only Cookie
启用CSP（内容安全策略）
Answer: D
领域/Domain: 应用安全
Question: 在处理用户输入时，以下哪种验证方法最能防止跨站脚本（XSS）攻击？
Options:
验证输入数据的长度
对所有输出进行HTML实体编码
限制特定字符的输入
使用JavaScript进行客户端验证
Answer: B
领域/Domain: 应用安全
Question: 以下哪种行为可以降低电子邮件客户端被钓鱼攻击的风险？
Options:
只在使用公共Wi-Fi时检查邮件
对所有邮件启用显示完整的邮件头信息
点击邮件中的所有链接以验证其真实性
在不安全的网站上输入电子邮件地址
Answer: B
领域/Domain: 应用安全
Question: Web应用防火墙（WAF）主要设计用于保护什么免受恶意攻击？
Options:
服务器硬件
网络基础设施
Web应用程序
客户端操作系统
Answer: C
领域/Domain: 应用安全
Question: 以下哪种做法可以防止电子邮件中的隐私泄露？
Options:
在邮件主题行包含敏感信息
使用不安全的公共Wi-Fi发送加密邮件
定期更新电子邮件客户端的隐私设置
在邮件正文中包含完整的信用卡号
Answer: C
领域/Domain: 应用安全
Question: 在电子邮件安全中，以下哪项不是SSL\/TLS的主要作用？
Options:
加密邮件内容
在邮件服务器之间建立安全连接
验证邮件服务器的身份
防止邮件被中间人攻击
Answer: A
领域/Domain: 应用安全
Question: 以下哪种安全证书用于验证移动应用的开发者身份，以确保用户下载的是官方应用？
Options:
SSL证书
代码签名证书
TLS证书
PGP证书
Answer: B
领域/Domain: 应用安全
Question: 在进行Web应用的风险评估时，以下哪项因素通常不会被考虑？
Options:
漏洞的严重性
攻击者的技术能力
应用的用户数量
应用的开发语言
Answer: D
领域/Domain: 应用安全
Question: 在移动应用开发中，以下哪种做法最能确保用户数据的隐私和合规性？
Options:
仅在本地加密存储敏感数据，不进行任何网络传输
实施严格的数据最小化原则，仅收集执行应用功能所必需的数据
依赖第三方SDK处理所有用户数据，以减轻开发团队的责任
在应用中包含所有可能的数据收集点，以便未来可能的分析和营销
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种行为涉及密钥管理的挑战？
Options:
利用已知漏洞入侵系统
破解加密的流量以获取敏感信息
在目标网络中隐藏恶意软件
定期更换和安全存储渗透测试工具的访问密钥
Answer: D
领域/Domain: 应用安全
Question: 在识别电子邮件中的威胁时，以下哪项是蜜罐技术的主要用途？
Options:
检测并阻止垃圾邮件。
诱骗并分析潜在的网络攻击者。
防止钓鱼邮件的传播。
自动删除带有恶意附件的邮件。
Answer: B
领域/Domain: 应用安全
Question: 常见的恶意代码类型有：特洛伊木马、蠕虫、病毒、后门、Rootkit、僵尸程序、 广告软件。2017年5月爆发的恶意代码WannaCry勒索软件属于（  ）。
Options:
特洛伊木马
蠕虫
后门
Rootkit
Answer: B
领域/Domain: 应用安全
Question: 报错页面信息泄露将会导致什么安全影响？
Options:
系统任何报错都不会受到影响
网络连接速度会变慢
敏感的系统信息、数据库查询、文件路径、源代码等可能被暴露，为攻击者提供攻击线索
可能会影响网站的运行速度或者让用户访问到错误页面
Answer: C
领域/Domain: 应用安全
Question: 以下哪个步骤通常在exploit开发的早期阶段进行？
Options:
编写payload
理解漏洞的工作原理
测试payload的稳定性
利用漏洞进行远程代码执行
Answer: B
领域/Domain: 应用安全
Question: 在网络安全审计过程中，你发现一个输入验证的问题，可能带来哪种危险？
Options:
DDOS攻击
代码注入攻击
字典攻击
无线网络破解
Answer: B
领域/Domain: 应用安全
Question: 在数据收集阶段，以下哪种行为最可能引起目标系统的警觉？
Options:
使用隐蔽的数据传输通道
通过合法服务进行数据收集
大量数据包的异常传输
利用系统日志收集信息
Answer: C
领域/Domain: 应用安全
Question: SAML 中什么是负责保护安全的关键组件？
Options:
SSO
SAML 断言
XML 签名
元数据
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种行为符合道德黑客的伦理准则？
Options:
未经许可，直接利用漏洞获取目标系统的敏感信息
在获得授权后，仅在预设的时间范围内进行测试
发现漏洞后，公开披露以警示公众
使用拒绝服务攻击来测试目标系统的稳定性
Answer: B
领域/Domain: 应用安全
Question: According to Open Web Application Security Project (OWASP) recommendations,active software security testing should include all of the following except.
Options:
Authentication testing
Authorization testing
Session management testing
Privacy review testing
Answer: D
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种方法主要用于发现目标系统中的安全漏洞？
Options:
社会工程学攻击
密码破解
漏洞扫描
拒绝服务攻击
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，利用栈溢出漏洞编写exploit时，以下哪个步骤是不正确的？
Options:
找到程序中的栈溢出点并确定溢出长度
计算返回地址相对于溢出点的偏移量
在exploit中填充垃圾数据以迷惑分析者
直接使用shellcode替换溢出区域，无需考虑地址空间布局随机化（ASLR）
Answer: D
领域/Domain: 应用安全
Question: 以下哪种措施可以防止电子邮件中的钓鱼攻击？
Options:
安装反病毒软件
使用SSL\\/TLS加密
对所有邮件进行病毒扫描
训练员工识别网络钓鱼的迹象
Answer: D
领域/Domain: 应用安全
Question: 以下哪种技术可以防止中间人攻击，确保Web通信的隐私和完整性？
Options:
SSL\\/TLS协议
蜜罐技术
安全策略审计
端口扫描
Answer: A
领域/Domain: 应用安全
Question: 社会工程学在钓鱼攻击中的应用通常涉及什么？
Options:
利用技术漏洞获取信息
通过物理访问窃取数据
诱骗用户透露敏感信息
直接修改目标系统的配置
Answer: C
领域/Domain: 应用安全
Question: 在进行移动应用代码审计时，以下哪项操作是不推荐的？
Options:
使用自动化工具进行初步扫描
对关键函数进行手动审查
忽略第三方库的安全性检查
对应用的权限使用进行详细分析
Answer: C
领域/Domain: 应用安全
Question: 钓鱼攻击中，攻击者如何利用社会认同心理诱骗受害者？
Options:
模仿知名人士或权威机构的电子邮件签名
利用受害者的恐惧感和紧迫感
通过大量发送邮件来增加中奖的可信度
提供看似合理的理由要求受害者提供信息
Answer: A
领域/Domain: 应用安全
Question: 以下哪种防范措施可以有效防止员工通过电子邮件接收恶意软件？
Options:
定期进行安全意识培训
关闭电子邮件服务
只允许接收加密的电子邮件
禁止使用附件
Answer: A
领域/Domain: 应用安全
Question: 钓鱼邮件是电子邮件的常见风险之一，针对钓鱼邮件，应采取下列哪种安全措施（）
Options:
设置安全性高的密码
使用邮件客户端接收邮件
不轻易打开包含中奖等字眼的邮件
使用自建的SMTP服务器
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，哪种技术用于测试Web应用程序的安全性？
Options:
端口扫描
模糊测试
社会工程学
蜜罐技术
Answer: B
领域/Domain: 应用安全
Question: 在使用深度学习模型进行钓鱼攻击检测时，以下哪个步骤是特征工程的关键部分？
Options:
收集大量正常邮件和钓鱼邮件的HTML源代码
训练一个神经网络模型以自动分类邮件
从邮件中提取如URL、关键词、邮件结构等特征
使用模型进行实时预测并拦截可疑邮件
Answer: C
领域/Domain: 应用安全
Question: 渗透测试中的漏洞识别阶段，以下哪种方法不是常用的？
Options:
静态代码分析
动态代码分析
社会工程学
网络嗅探
Answer: D
领域/Domain: 应用安全
Question: 在移动端应用中，代码签名的主要作用是什么？
Options:
确保代码的完整性和来源
防止代码被反汇编
检测并阻止恶意代码执行
优化应用程序的运行速度
Answer: A
领域/Domain: 应用安全
Question: 为了保护移动应用中的敏感数据，哪项安全措施是必要的？
Options:
仅使用HTTPS进行通信
数据加密和身份验证机制
定期进行安全漏洞扫描
避免存储任何用户数据
Answer: B
领域/Domain: 应用安全
Question: What is the purpose of DMARC (Domain-based Message Authentication, Reporting, and Conformance) in email security?
Options:
A. To encrypt email messages to ensure confidentiality during transmission between the client and server.
B. To filter incoming emails based on predefined rules to block spam or malicious content.
C. To authenticate the sender's domain and provide instructions on how to handle emails that fail authentication checks.
D. To authenticate users before granting access to their email accounts.
Answer: C
领域/Domain: 应用安全
Question: 以下哪种代码审查实践有助于发现潜在的XSS（跨站脚本）攻击漏洞？
Options:
检查所有输入是否为预期格式
验证所有输出是否已经过滤或转义
确保所有函数都有适当的错误处理
确保所有代码都遵循DRY（Don't Repeat Yourself）原则
Answer: B
领域/Domain: 应用安全
Question: 在移动应用的认证机制中，以下哪种方法可以提供双因素认证？
Options:
仅使用密码认证
使用密码加上生物特征认证
使用密码加上短信验证码
仅使用短信验证码
Answer: C
领域/Domain: 应用安全
Question: 在Web应用中，哪种技术主要用于保护用户隐私数据，如信用卡号或密码，使其在传输过程中不被窃取？
Options:
SSL\/TLS协议
访问控制列表(ACL)
数据生命周期管理(DLM)
哈希函数
Answer: A
领域/Domain: 应用安全
Question: 在发送敏感电子邮件时，以下哪种协议提供了端到端的加密，以确保邮件内容在传输过程中不被窃取？
Options:
SMTP
SSL\\/TLS
PGP
IMAP\\/POP3 over SSL
Answer: C
领域/Domain: 应用安全
Question: 以下不属于进行安全输入验证和数据校验的方法的是？
Options:
使用参数化查询
对数据进行加密和哈希处理
使用强密码和加密算法
对用户输入进行长度、类型和范围的验证
Answer: C
领域/Domain: 应用安全
Question: 渗透测试中，以下哪种行为属于合法的测试手段？
Options:
未经授权访问内部网络
利用公开漏洞进行测试
破坏目标系统的数据
伪装成目标公司的员工
Answer: B
领域/Domain: 应用安全
Question: 以下哪种操作可以防止中间人攻击，确保电子邮件的机密性？
Options:
仅使用HTTPS发送邮件
使用SMTPS发送邮件
使用PGP对邮件内容进行加密
在邮件中添加数字签名
Answer: C
领域/Domain: 应用安全
Question: 在移动应用程序安全中，以下哪项措施能够有效防止应用程序被逆向工程？
Options:
代码混淆
使用HTTPS
定期备份数据
限制应用程序权限
Answer: A
领域/Domain: 应用安全
Question: 在移动应用程序的防御机制中，以下哪项措施可以有效防止中间人攻击？
Options:
使用HTTP协议
使用SSL\\/TLS加密通信
禁用应用程序的网络访问
限制应用程序的API调用
Answer: B
领域/Domain: 应用安全
Question: 在进行移动应用程序的漏洞分析时，以下哪项不是常见的分析方法？
Options:
静态代码分析
动态运行时分析
网络流量监控
用户行为模拟
Answer: D
领域/Domain: 应用安全
Question: 在检测零日攻击时，哪种技术最有可能成功阻止未知威胁？
Options:
提交和回滚控制
签名检测
行为分析
数据正规化控制
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试的哪个阶段，测试人员会尝试利用发现的漏洞来模拟攻击，以验证其可行性？
Options:
侦查阶段
漏洞分析阶段
攻击模拟阶段
报告编写阶段
Answer: C
领域/Domain: 应用安全
Question: 在移动应用的认证机制中，以下哪种方法最不安全？
Options:
双因素认证
生物识别认证
基于密码的认证
基于令牌的认证
Answer: C
领域/Domain: 应用安全
Question: 公钥基础设施（PKI）在邮件安全中扮演的角色是？
Options:
提供邮件内容压缩服务
管理邮件服务器
提供密钥管理和证书颁发服务
负责邮件的物理传输
Answer: C
领域/Domain: 应用安全
Question: 在电子邮件安全中，沙箱技术主要用于：
Options:
实时监控网络流量
隔离和分析可疑附件
防止内部数据泄露
验证用户身份
Answer: B
领域/Domain: 应用安全
Question: 在进行渗透测试时，以下哪项技术常用于模拟攻击以测试系统的安全性？
Options:
防火墙配置
加密通信
社会工程学攻击
代码审计
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试报告中，以下哪项内容通常不包括在漏洞评估部分？
Options:
漏洞的详细描述
漏洞的风险评分
漏洞的补救建议
漏洞的发现者个人信息
Answer: D
领域/Domain: 应用安全
Question: 在邮件服务器的管理中，以下哪项技术用于保护邮件内容不被未授权访问？
Options:
防病毒扫描
SSL\\/TLS加密传输
反垃圾邮件过滤
邮件服务器日志监控
Answer: B
领域/Domain: 应用安全
Question: 以下哪种防御措施可以防止用户意外访问伪装网站？
Options:
安装入侵检测系统
使用安全浏览器扩展
定期更新操作系统
启用端点保护平台
Answer: B
领域/Domain: 应用安全
Question: 以下哪种策略可以保护用户的浏览历史和个人数据，防止被ISP（互联网服务提供商）追踪？
Options:
使用对称加密
使用非对称加密
使用虚拟私人网络（VPN）
使用哈希函数
Answer: C
领域/Domain: 应用安全
Question: 在电子邮件系统中，哪种安全功能可以防止恶意软件通过网络传播？
Options:
内容过滤
IP黑名单
SSL\\/TLS加密
强制使用两步验证
Answer: A
领域/Domain: 应用安全
Question: 在进行移动应用渗透测试时，以下哪项不是常见的安全协议？
Options:
TLS
SSL
IPSec
FTP
Answer: D
领域/Domain: 应用安全
Question: 在Web应用的身份验证机制中，以下哪种方法可以有效防止暴力破解攻击？
Options:
使用简单的用户名和密码组合
限制登录尝试次数并实施账户锁定策略
不使用验证码
存储明文密码
Answer: B
领域/Domain: 应用安全
Question: What is the concept of isolating an application from the underlying operating system for testing purposes?
Options:
Abstracting
Application virtualization
Hosting
Sandboxing
Answer: B
领域/Domain: 应用安全
Question: 以下哪种技术可以防止中间人攻击，确保用户与Web服务器之间的通信不被篡改或窃听？
Options:
恶意代码分析
Web应用防火墙
HTTPS加密
入侵预防系统
Answer: C
领域/Domain: 应用安全
Question: 安全最佳实践中，以下哪项措施有助于防止跨站脚本（XSS）攻击？
Options:
使用HTML实体编码输出
禁用浏览器的JavaScript功能
限制用户上传文件的类型
定期更新服务器操作系统
Answer: A
领域/Domain: 应用安全
Question: 移动应用中，为了保护用户登录凭据不被窃取，通常采用哪种技术进行数据传输？
Options:
对称加密算法
非对称加密算法
SSL\/TLS协议
OAuth认证
Answer: C
领域/Domain: 应用安全
Question: （单选题）以下哪种方法在 PHP 开发语言中不能执行命令（）
Options:
system(whoami);
system('whoami');
system('eval(whoami);');
eval('system(whoami);');
Answer: C
领域/Domain: 应用安全
Question: 在进行Web安全测试时，以下哪项测试通常用于评估系统的认证授权机制？
Options:
渗透测试
性能测试
功能测试
兼容性测试
Answer: A
领域/Domain: 应用安全
Question: 以下哪项行为可能会增加Burp Suite在渗透测试中被识别的风险，从而影响测试的安全性？
Options:
使用Cookie Jar
频繁修改请求头
使Burp证书公开
隐藏防火墙
Answer: C
领域/Domain: 应用安全
Question: 哪种技术可以帮助检测基于社交媒体的钓鱼攻击？
Options:
深度学习的自然语言处理
入侵检测系统（IDS）
防火墙
物理安全访问控制
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术用于确保电子邮件内容在传输过程中的安全性？
Options:
SSL\\/TLS加密
POP3协议
SMTP认证
IMAP4协议
Answer: A
领域/Domain: 应用安全
Question: 在检测钓鱼网站时，以下哪种技术可以识别模仿知名品牌的假冒网站？
Options:
URL的长度和复杂性分析
图像识别和品牌logo的比对
分析网站的HTML结构和内容
检查网站的SSL证书签发者
Answer: B
领域/Domain: 应用安全
Question: 当一个Web应用发现有SMTP注入漏洞时，以下哪种解决方法是最安全的？
Options:
关闭SMTP服务直到找到可行的修复方案
对所有的SMTP请求都进行详尽的记录
对所有的用户输入进行适当的清理和过滤
将SMTP服务转移到一个新的服务器
Answer: C
领域/Domain: 应用安全
Question: SSL\/TLS协议在电子邮件安全中扮演的角色是？
Options:
用于加密邮件内容
用于验证邮件发送者的身份
用于保护邮件传输过程中的安全
用于存储邮件的加密密钥
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试报告中，哪个部分通常用于详细描述发现的安全漏洞并提供漏洞分析？
Options:
执行摘要
方法与范围
发现与结果
建议与修复
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试报告中，哪项内容通常不包括在内？
Options:
测试目标和范围
详细的漏洞利用步骤
客户敏感数据的明文
建议的安全策略改进
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种行为属于网络嗅探？
Options:
利用exploit工具攻击已知漏洞
设置中间人攻击以捕获网络流量
分析系统日志以查找异常活动
创建蜜罐系统来迷惑攻击者
Answer: B
领域/Domain: 应用安全
Question: 网站克隆在钓鱼攻击中的目的是什么？
Options:
创建一个与真实网站相似的虚假网站，以诱骗用户输入敏感信息
分析用户在真实网站上的行为模式
提供一个安全的替代访问途径
增强网站的搜索引擎优化
Answer: A
领域/Domain: 应用安全
Question: 以下哪种电子邮件安全协议可以防止中间人攻击，确保电子邮件的来源验证？
Options:
STARTTLS
PGP (Pretty Good Privacy)
DKIM (DomainKeys Identified Mail)
S/MIME (Secure/Multipurpose Internet Mail Extensions)
Answer: C
领域/Domain: 应用安全
Question: 在进行移动应用安全测试时，以下哪项操作最能帮助发现应用中的权限滥用问题？
Options:
模拟用户登录并进行正常操作
分析应用的网络通信，检查加密是否正确
检查应用请求的权限与实际功能是否匹配
执行代码审计，查找可能的注入漏洞
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全协议可以应用于电子邮件，以确保数据在传输过程中的加密？
Options:
TLS（传输层安全）
FTP（文件传输协议）
POP3（邮局协议第3版）
IMAP（因特网消息访问协议）
Answer: A
领域/Domain: 应用安全
Question: 以下哪种方法不是防御CSRF攻击的有效手段？
Options:
使用验证码
使用随机生成的Token
强制用户定期更改密码
检查HTTP Referer头
Answer: C
领域/Domain: 应用安全
Question: You are the IT security manager for a video game software development company. Inorder to test your products for security defects and performance issues, your firm decidesto use a small team of game testers recruited from a public pool of interested gamers whoapply for a chance to take part. This is an example of .
Options:
Static testing
Dynamic testing
Code review
Open source review
Answer: B
领域/Domain: 应用安全
Question: 以下哪种情况最可能导致SMTP服务器被用作中间人攻击的媒介？
Options:
服务器未启用SSL\\/TLS加密
服务器使用了弱加密算法
服务器配置了过于严格的SPF策略
服务器启用了IMAP\\/POP3而不是SMTP
Answer: A
领域/Domain: 应用安全
Question: 在Web应用的授权管理中，RBAC（基于角色的访问控制）模型主要用于？
Options:
加密敏感数据
验证用户输入
控制用户对资源的访问权限
防止跨站脚本攻击
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全防范措施可以有效防止电子邮件欺骗？
Options:
安装反病毒软件并保持更新
使用复杂的密码策略
启用双因素认证
实施电子邮件过滤和验证技术（如SPF, DKIM, DMARC）
Answer: D
领域/Domain: 应用安全
Question: 移动应用的更新机制中，以下哪种做法可以确保用户安装的是经过验证的安全更新？
Options:
通过应用内更新提示用户下载最新版本
强制用户从官方应用商店下载更新
允许用户从任何来源下载更新包
定期推送更新通知，但不强制更新
Answer: B
领域/Domain: 应用安全
Question: 在制定Web应用的安全策略时，以下哪项措施最有助于防止跨站脚本攻击（XSS）？
Options:
使用HTTPS协议
对所有用户输入进行HTML编码
限制文件上传功能
定期更新服务器软件
Answer: B
领域/Domain: 应用安全
Question: 在Web应用中，以下哪种做法最不利于防止会话劫持？
Options:
定期刷新会话ID
使用SSL\\/TLS进行通信
在URL中明文传递会话ID
实现会话超时机制
Answer: C
领域/Domain: 应用安全
Question: 在安全评估中，以下哪项技术用于确保在执行漏洞利用时不会被检测到？
Options:
端口扫描技术
漏洞分类技术
安全信息和事件管理（SIEM）
匿踪技术（Stealth techniques）
Answer: D
领域/Domain: 应用安全
Question: 在邮件内容分析中，以下哪项不是文本分析的主要目标？
Options:
识别关键词
提取情感倾向
检测语法错误
分类邮件类型
Answer: C
领域/Domain: 应用安全
Question: 在邮件通信中，以下哪种协议主要用于确保邮件的隐私和安全？
Options:
SMTP (Simple Mail Transfer Protocol)
POP3 (Post Office Protocol 3)
IMAP (Internet Message Access Protocol)
PGP (Pretty Good Privacy)
Answer: D
领域/Domain: 应用安全
Question: 在识别钓鱼邮件时，以下哪项特征可能是恶意邮件的标志？
Options:
发件人的电子邮件地址与公司官方地址完全一致
邮件中包含紧急或威胁性的语言
邮件内容与用户预期的业务通信相符
邮件中的链接直接指向已知的、安全的网站
Answer: B
领域/Domain: 身份与访问控制
Question: 在权限模型中，以下哪种机制允许权限从父对象自动传递给子对象？
Options:
权限继承
访问控制列表
角色定义
审计日志
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following is used by RADIUS for communication between clients and servers?
Options:
TCP
SSL
UDP
SSH
Answer: C
领域/Domain: 身份与访问控制
Question: You are the IT security subject matter expert for a hobbyist collective that researches andarchives old music. If you create a federated identity management structure for all theparticipants in the collective using a third-party certification model, who would be thefederated service provider(s) in that structure?
Options:
The third party
A cloud access security broker (CASB)
The various members of the collective
The cloud provider
Answer: C
领域/Domain: 身份与访问控制
Question: 在访问控制策略中，最小权限原则指的是？
Options:
所有用户都应拥有管理员权限
用户应被授予完成工作所需的最小权限
用户可以访问所有数据，但不能修改
用户权限应根据其社会地位决定
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is a proximity identication device that does not require action by the user and works by responding with an access code tosignals transmitted by a reader?
Options:
A passive system sensing device
A transponder
A card swipe
A magnetic card
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is a client/server protocol designed to allow network access servers to authenticate remote users by sending access request messages to a central server?
Options:
RADIUS
OAuth
EAP
Kerberos
Answer: A
领域/Domain: 身份与访问控制
Question: CCM：在身份和访问管理（IAM）域中，IAM-04中的数字04，表示什么
Options:
这个特定域中有4个控制子域
控制ID是分配给控制项的随机数
它是IAM域中的第4个控制子域
以上都不是
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种攻击方法能最有效地获得对一份复杂口令保护的资料的未授权访问？
Options:
字典攻击
旁路攻击
彩虹表
社会工程
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种机制可以防止用户访问未经授权的系统资源？
Options:
数字签名
访问控制列表（ACLs）
RSA加密
哈希函数
Answer: B
领域/Domain: 身份与访问控制
Question: 需要刷感应卡才能进入某个办公区域，这属于哪种控制？
Options:
物理控制
技术控制
行政控制
流程控制
Answer: A
领域/Domain: 身份与访问控制
Question: Single Sign-on (SSO) is characterized by which of the following advantages?
Options:
Convenience
Convenience and centralized administration
Convenience and centralized data administration
Convenience and centralized network administration
Answer: B
领域/Domain: 身份与访问控制
Question: Which concept might require users to use a second access token or to re-enter passwords to gain elevated access rights in the identity andaccess provisioning life cycle?
Options:
Time-based
Enrollment
Least privilege
Access review
Answer: B
领域/Domain: 身份与访问控制
Question: 在权限管理中，以下哪种用户账户权限设置最符合最小权限原则？
Options:
所有用户都具有管理员权限
每个用户只拥有完成其工作所需的最小权限
所有用户都只能访问公共文件夹
创建一个超级用户账户供所有员工共享
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制模型允许用户基于角色的权限来控制资源访问？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于规则的访问控制（RBAC）
基于属性的访问控制（ABAC）
Answer: C
领域/Domain: 身份与访问控制
Question: 下面哪一项能够最好地描述公钥基础设施中的目录服务器的作用？
Options:
对通过网络传输的信息进行加密。
向应用程序提供其他用户的证书。
方便密码政策的实施。
存储证书撤销清单。
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种安全政策通常用于定义员工访问企业资源的权限？
Options:
访问控制政策
数据分类政策
密码策略
加密策略
Answer: A
领域/Domain: 身份与访问控制
Question: If a company has a high turnover rate, which access control structure is best?
Options:
Role-based
Decentralized
Rule-based
Discretionary
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制机制最适合防止未经授权的内部员工访问敏感数据？
Options:
多因素认证
角色基础的访问控制（RBAC）
强制访问控制（MAC）
最小权限原则
Answer: B
领域/Domain: 身份与访问控制
Question: A potential problem related to the physical installation of the Iris Scanner in regards to the usage of the iris pattern within a biometric system is:
Options:
concern that the laser beam may cause eye damage
the iris pattern changes as a person grows older.
there is a relatively high rate of false accepts.
the optical unit must be positioned so that the sun does not shine into the aperture.
Answer: D
领域/Domain: 身份与访问控制
Question: Which of the following is implemented through scripts or smart agents that replay the users multiple log-ins against authentication servers toverify a user's identity which permit access to system services?
Options:
Single Sign-On
Dynamic Sign-On
Smart cards
Kerberos
Answer: A
领域/Domain: 身份与访问控制
Question: 在端点安全策略中，以下哪项措施最直接地防止身份冒用？
Options:
安装防病毒软件
实施多因素身份验证
使用安全套接层(SSL)加密
定期进行安全意识培训
Answer: B
领域/Domain: 身份与访问控制
Question: A user sends an e-mail request asking for read-only access to les that are not considered sensitive. A Discretionary Access Control (DAC)methodology is in place. Which is the MOST suitable approach that the administrator should take?
Options:
Administrator should request data owner approval to the user access
Administrator should request manager approval for the user access
Administrator should directly grant the access to the non-sensitive les
Administrator should assess the user access need and either grant or deny the access
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种身份验证技术对防止钓鱼攻击最无效？
Options:
一次性密码
生物特征识别
静态密码
智能卡
Answer: C
领域/Domain: 身份与访问控制
Question: In non-discretionary access control using Role Based Access Control (RBAC), a central authority determines what subjects can have access tocertain objects based on the organizational security policy. The access controls may be based on:
Options:
The society‘s role in the organization
The individual's role in the organization
The group-dynamics as they relate to the individual's role in the organization
The group-dynamics as they relate to the master-slave role in the organization
Answer: B
领域/Domain: 身份与访问控制
Question: 基于角色的访问控制 (RBAC) 的重要特征是：
Options:
依赖于岗位轮换
简化了访问权限管理
需要双因素验证
支持强制访问控制 (MAC)
Answer: B
领域/Domain: 身份与访问控制
Question: 身份认证是证实客户的真实身份与其所声称的身份是否相符的验证过程。目前，计算机及网络系统中常用的身份认证技术主要有：用户名/密码方式、智能卡认证、动态口令、生物特征认证等。其中不属于生物特征的是（）。
Options:
指纹
手指静脉
虹膜
击键特征
Answer: D
领域/Domain: 身份与访问控制
Question: 在身份验证过程中，哪种方法可以防止钓鱼攻击通过获取用户的凭据？
Options:
多因素认证
使用复杂的静态密码
定期更改密码
仅在安全网络连接下登录
Answer: A
领域/Domain: 身份与访问控制
Question: 多因素认证（MFA）在电子邮件安全中的作用是什么？
Options:
减少垃圾邮件的数量
提高邮件发送速度
增加账户被盗用的难度
降低邮件存储成本
Answer: C
领域/Domain: 身份与访问控制
Question: Which of the following correctly describes a federated identity and its role within identity management processes?
Options:
A nonportable identity that can be used across business boundaries
A portable identity that can be used across business boundaries
An identity that can be used within intranet virtual directories and identity stores
An identity specified by domain names that can be used across business boundaries
Answer: B
领域/Domain: 身份与访问控制
Question: 在零信任环境中，以下哪项措施有助于实现持续监控？
Options:
定期安全扫描
实时日志分析
静态代码分析
定期渗透测试
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制机制最适合用于限制员工只能访问与其工作职责相关的数据？
Options:
强制访问控制（MAC）
最小权限原则
基于角色的访问控制（RBAC）
自主访问控制（DAC）
Answer: C
领域/Domain: 身份与访问控制
Question: With RBAC, each user can be  assigned:
根据RBAC，每个用户可以被分配：
Options:
One or more roles 一个或多个角色
Only one role 只有一个角色
A token role 一个令牌角色
A security token 一个安全令牌
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种认证机制主要用于验证用户身份，而不是授权访问特定资源？
Options:
访问控制列表
JSON Web Tokens (JWT)
Public Key Infrastructure (PKI)
Role-Based Access Control (RBAC)
Answer: C
领域/Domain: 身份与访问控制
Question: 在身份验证技术中，哪种方法最能防止钓鱼攻击导致的凭证盗窃？
Options:
一次性密码（OTP）
生物特征识别
证书基础身份验证
简单密码策略
Answer: A
领域/Domain: 身份与访问控制
Question: 在数字证书中，哪个实体负责验证并签发证书以确认服务器的身份？
Options:
证书使用者
证书撤销列表（CRL）
证书颁发机构（CA）
注册机构（RA）
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制策略最适合防止内部员工滥用用户数据？
Options:
强制访问控制（MAC）
最小权限原则
基于角色的访问控制（RBAC）
自主访问控制（DAC）
Answer: B
领域/Domain: 身份与访问控制
Question: CAC 是什么形式的类型 2 认证因素？
Options:
令牌
生物识别标识符
智能卡
PIV
Answer: C
领域/Domain: 身份与访问控制
Question: 在权限管理中，以下哪种策略有助于防止内部威胁？
Options:
最小权限原则
多因素认证
网络隔离
数据加密
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制模型允许系统管理员根据用户的角色分配权限？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于角色的访问控制（RBAC）
基于策略的访问控制（PBAC）
Answer: C
领域/Domain: 身份与访问控制
Question: What is the main focus of the Bell-LaPadula security model?
Options:
Accountability
Integrity
Condentiality
Availability
Answer: C
领域/Domain: 身份与访问控制
Question: 在零信任模型中，以下哪项措施不是持续监控的关键组成部分？
Options:
实时流量分析
定期安全审计
用户行为分析
威胁情报集成
Answer: B
领域/Domain: 身份与访问控制
Question: Why MUST the Kerberos server be well  protected from unauthorized access?
为什么Kerberos服务器必须得到很好的保护，防止非授权访问？
Options:
It contains the keys of all clients.
因为它包含了所有客户的密钥
It always operates at root privilege.
因为它总是在root权限下操作
It contains all the tickets for services.
因为它包含了服务的所有票据
It contains the Internet Protocol (IP) address of all network  entities.
因为它包含了所有网络设备的IP地址
Answer: A
领域/Domain: 身份与访问控制
Question: 多因素认证（MFA）在零信任实施中的作用是什么？
Options:
仅用于外部用户访问控制
用于增强单因素认证的安全性
作为零信任架构的唯一认证手段
用于确保用户身份的验证，增强访问控制的安全性
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种情况不是令牌认证在多因素认证中的应用？
Options:
用户接收到一次性密码（OTP）短信进行登录验证
用户通过生物识别解锁设备
用户使用硬件令牌生成动态验证码
用户使用应用程序生成的动态二维码进行登录
Answer: B
领域/Domain: 身份与访问控制
Question: 把字典攻击和暴力破解结合起来的，针对口令的攻击是：
Options:
社会工程
混合攻击
彩虹表攻击
水坑攻击
Answer: B
领域/Domain: 身份与访问控制
Question: What determines the level of security of a combination lock?
Options:
Complexity of combination required to open the lock
Amount of time it takes to brute force the combination
The number of barrels associated with the internal mechanism
The hardness score of the metal lock material
Answer: A
领域/Domain: 身份与访问控制
Question: 在权限管理中，哪个原则有助于限制潜在的损害范围？
Options:
最小权限原则
多因素认证
职责分离
强制访问控制
Answer: A
领域/Domain: 身份与访问控制
Question: What provides the information to an application to make decisions about the authorization level appropriate when granting access?
Options:
User
Relying party
Federation
Identity Provider
Answer: D
领域/Domain: 身份与访问控制
Question: 下列哪个选项可以设置禁止某些用户和组作为远程桌面服务客户端登录（）
Options:
管理共享
系统服务
本地组策略
系统组件服务
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种身份验证方法最不安全，因为它容易受到中间人攻击？
Options:
单因素认证（仅密码）
双因素认证（密码和短信验证码）
多因素认证（密码、生物特征和硬件令牌）
基于证书的身份验证
Answer: A
领域/Domain: 身份与访问控制
Question: Tanya is working with the company’s internal software development team. Before a user of an application can access files located on the company’s centralized server, the user must present a valid one-time password, which is generated through a challenge/response mechanism. The company needs to tighten access control for these files and reduce the number of users who can access each and every file. The company is looking to Tanya and her team for solutions to better protect the data that has been classified and deemed critical to the company’s missions. Tanya has also been asked to implement a single sign-on technology for all internal users, but she does not have the budget to implement a public key infrastructure.
Which of the following is the best single sign-on technology for this situation?
Options:
PKI
Kerberos
RADIUS
TACACS+
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following can be dened as a framework that supports multiple, optional authentication mechanisms for PPP, including cleartextpasswords, challenge-response, and arbitrary dialog sequences?
Options:
Extensible Authentication Protocol
Challenge Handshake Authentication Protocol
Remote Authentication Dial-In User Service
Multilevel Authentication Protocol.
Answer: A
领域/Domain: 身份与访问控制
Question: 一个业务应用系统的业务用户可以执行业务功能，但不能执行管理功能，应用的维护管理员可以执行管理功能但不能执行业务功能，这属于：
Options:
职责分离
最小授权
基于规则的访问控制
自主访问控制
Answer: A
领域/Domain: 身份与访问控制
Question: 在零信任环境中，以下哪种访问控制模型最常用于管理资源访问？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于属性的访问控制（ABAC）
基于策略的访问控制（PBAC）
Answer: C
领域/Domain: 身份与访问控制
Question: Which of the following is a remote access protocol that uses a static authentication?
Options:
Point-to-Point Tunneling Protocol (PPTP)
Routing Information Protocol (RIP)
Password Authentication Protocol (PAP)
Challenge Handshake Authentication Protocol (CHAP)
Answer: C
领域/Domain: 身份与访问控制
Question: 下面哪个是检查时间/使用时间（TOC/TOU）问题的实例？
Options:
A user whose profile has been revoked logs on using the password of a  valid user of the system.
A user session is terminated immediately after the user profile is  revoked.
A user logs on with a valid profile which is revoked without termination  of the session.
A user session is not validated until after the log on.
Answer: C
领域/Domain: 身份与访问控制
Question: Which of the following access control models requires security clearance for subjects?
Options:
Identity-based access control
Role-based access control
Discretionary access control
Mandatory access control
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪项不是IAM系统中的身份管理功能？
Options:
用户账户创建
密码重置
数据备份与恢复
用户权限分配
Answer: C
领域/Domain: 身份与访问控制
Question: 在身份验证机制中，哪种方法最能防止钓鱼攻击获取用户的凭据？
Options:
使用简单的密码
多因素身份验证
保存用户名和密码在浏览器中
只在家中使用公共Wi-Fi进行登录
Answer: B
领域/Domain: 身份与访问控制
Question: 两步验证中，哪一项不适合作为第二步验证？
Options:
短信验证码
指纹识别
面部识别
公开的社交媒体帐号
Answer: D
领域/Domain: 身份与访问控制
Question: 关于两步验证，以下哪个描述是正确的？
Options:
两步验证仅通过电子邮件发送验证码，确保账户安全
两步验证要求用户提供密码和一个随机生成的代码，增加安全性
两步验证使得账户无法被黑客攻击
两步验证总是需要物理设备，如智能卡
Answer: B
领域/Domain: 身份与访问控制
Question: 以下属于哪一种认证实现方式:用户登录时,认证服务器(Authentication Server, AS)产生一个随机数发送给用户,用户用某种单向算法将自己的口令、种子密钥和随机数混合计算后作为一次性口令,并发送给 AS,AS 用同样的方法计算后,验证比较两个口令即可验证用户身份
Options:
口令序列
时间同步
挑战/应答
静态口令
Answer: C
领域/Domain: 身份与访问控制
Question: 在防止钓鱼攻击中，哪种身份验证方法最能保护用户免受冒充合法服务的欺诈？
Options:
基于知识的身份验证（如密码）
基于拥有的身份验证（如一次性短信验证码）
基于生物特征的身份验证（如指纹）
基于设备的身份验证（如设备ID）
Answer: B
领域/Domain: 身份与访问控制
Question: 在零信任环境中，权限分配的最佳实践是什么？
Options:
一次性分配所有权限
按需分配权限，并定期审查
仅在用户请求时分配权限
基于用户的工作职责分配权限
Answer: B
领域/Domain: 身份与访问控制
Question: 身份管理中，随着信任度增加：
Options:
风险减少
风险增加
权限增加
权限减少
Answer: B
领域/Domain: 身份与访问控制
Question: __________ is one of the single most effective security controls to defend against a wide variety of attacks.
Options:
A firewall
Infrared camera surveillance
Egress monitoring
Multifactor authentication
Answer: D
领域/Domain: 身份与访问控制
Question: 在零信任架构中，身份验证通常涉及以下哪项？
Options:
仅用户名和密码
多因素认证
单一的生物识别认证
基于IP地址的认证
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制模型基于用户的安全级别和信息的敏感性级别？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于角色的访问控制（RBAC）
多层访问控制（MLAC）
Answer: A
领域/Domain: 身份与访问控制
Question: 在零信任网络模型中，多因素认证（MFA）通常不包括以下哪种验证方法？
Options:
知识因素，如密码
拥有因素，如智能卡
生物识别，如指纹
位置因素，如IP地址
Answer: D
领域/Domain: 身份与访问控制
Question: 在防止钓鱼攻击中，哪种身份验证方法对防止欺诈性登录最不相关？
Options:
基于知识的身份验证（如密码）
基于拥有的身份验证（如一次性短信验证码）
基于生物特征的身份验证（如指纹）
基于设备的身份验证（如设备ID）
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following is addressed by Kerberos?
Options:
Condentiality and Integrity
Authentication and Availability
Validation and Integrity
Auditability and Integrity
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following is implemented through scripts or smart agents that replays the users multiple log-ins against authentication servers toverify a user's identity which permit access to system services?
Options:
Single Sign-On
Dynamic Sign-On
Smart cards
Kerberos
Answer: A
领域/Domain: 身份与访问控制
Question: Kerberos 是一种常用的身份认证协议,它采用的加密算法是（ ）。
Options:
Elgamal
DES
MD5
RSA
Answer: B
领域/Domain: 身份与访问控制
Question: Identity Management solutions include such technologies as Directories services, Single Sign-On and Web Access management. There are manyreasons for management to choose an identity management solution.Which of the following is a key management challenge regarding identity management solutions?
Options:
Increasing the number of points of failures.
Users will no longer be able to "recycle" their password for different applications.
Costs increase as identity management technologies require signicant resources.
It must be able to scale to support high volumes of data and peak transaction rates.
Answer: D
领域/Domain: 身份与访问控制
Question: 在实现访问控制时，以下哪种方法最能确保只有授权用户可以访问特定资源？
Options:
使用复杂的密码策略
实施多因素身份验证
应用IP地址白名单
启用加密技术
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制策略有助于防止未经授权的员工访问敏感的个人信息？
Options:
强制实施最小权限原则
使用多因素认证
实施隐私保护法规
定期进行安全培训
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following remote access authentication systems is the most robust?
Options:
TACACS+
RADIUS
PAP
TACACS
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种技术能够提供基于用户身份和上下文的访问控制，以限制对特定网络资源的访问？
Options:
网络层过滤
应用网关
状态检测
访问控制列表
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪项是两步验证的主要目的？
Options:
简化登录过程
增加额外的安全层，防止未经授权的访问
减少用户记忆多个密码的负担
允许用户在任何设备上快速登录
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following does not typically represent a means for enhanced authentication?
Options:
Challenge questions
Variable keystrokes
Out-of-band identity confirmation
Dynamic end-user knowledge
Answer: B
领域/Domain: 身份与访问控制
Question: Given: AAA is an architectural framework used to provide three separate security components in a network. Listed below are three phrases thateach describe one aspect of the AAA framework.Option-1 This AAA function is performed first and validates user identify prior to determining the network resources to which they will be grantedaccess.Option-2 This function is used for monitoring and auditing purposes and includes the collection of data that identifies what a user has done whileconnected.Option-3 This function is used to designate permissions to a particular user.What answer correctly pairs the AAA component with the descriptions provided above?
Options:
Option-1 - Access Control Option-2 - Authorization Option-3 - Accounting
Option-1 - Authentication Option-2 - Accounting Option-3 - Association
Option-1 - Authorization Option-2 - Access Control Option-3 - Association
Option-1 - Authentication Option-2 - Accounting
Answer: D
领域/Domain: 身份与访问控制
Question: 多因子认证（MFA）在防御钓鱼攻击中的作用是什么？
Options:
完全消除钓鱼攻击的风险
提供额外的安全层，即使攻击者获得了用户密码，也无法轻易访问账户
自动检测并阻止所有钓鱼尝试
减少用户对密码的依赖
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is true about two-person integrity?
Options:
It forces all employees to distrust one another.
It requires two different identity and access management matrices (IAM).
It forces collusion for unauthorized access.
It enables more thieves to gain access to the facility.
Answer: C
领域/Domain: 身份与访问控制
Question: 在多层权限体系中，以下哪个概念用于确定用户是否可以执行特定操作？
Options:
身份验证
授权
权限模型
访问控制列表
Answer: B
领域/Domain: 身份与访问控制
Question: Question: Which of the following provides a mechanism that  allows an end-user to use a single sign-on (SSO) for multiple services?
=======
Options:
The Open ID Federation.
PCI Data Security Standards Council
International Organization for Standardization.
Personal Information Protection and Electronic Documents Act.
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following is implemented through scripts or smart  agents that replays the users multiple log-ins against authentication servers  to
verify a user's identity which permit access to system services?
Options:
Single Sign-On
Dynamic Sign-On
Smart cards
Kerberos
Answer: A
领域/Domain: 身份与访问控制
Question: In identity management, as trust increases:
Options:
Risk increases
Risk decreases
Permissions decrease
Permissions increase
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following has the correct term-to-definition mapping?
i. Brute-force attacks: Performed with tools that cycle through many possible character, number, and symbol combinations to uncover a password.
ii. Dictionary attacks: Files of thousands of words are compared to the user’s password until a match is found.
iii. Social engineering: An attacker falsely convinces an individual that she has the necessary authorization to access specific resources.
iv. Rainbow table: An attacker uses a table that contains all possible passwords already in a hash format.
Options:
i, ii
i, ii, iv
i, ii, iii, iv
i, ii, iii
Answer: C
领域/Domain: 身份与访问控制
Question: 在客户机／服务器架构中的“相互验证”指的是？
Options:
服务器和服务器之间的交叉验证
客户端和服务器端建立连接时的三次握手
客户端一旦被服务器端验证，则客户端可以访问系统内其他的资源
服务器端验证客户端，客户端验证服务器端
Answer: D
领域/Domain: 身份与访问控制
Question: 在访问控制模型中，以下哪个选项最能描述RBAC（Role-Based Access Control）？
Options:
用户直接授予对资源的访问权限
用户通过其所属的组来获得访问权限
用户必须通过身份验证和授权才能访问资源
用户权限基于其在系统中的角色和职责
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种身份认证方法在安全性与便捷性之间提供了较好的平衡，常用于移动设备或云服务的访问控制？
Options:
静态密码
双因素认证（2FA）
生物特征识别（如指纹）
物理安全令牌
Answer: B
领域/Domain: 身份与访问控制
Question: 关于多因素认证（MFA），以下哪项陈述是不正确的？
Options:
MFA增加了攻击者获取账户访问的难度
MFA通常需要用户提供两种或更多验证因素
短信验证码是一种常见的MFA方法，但并非最安全
使用MFA后，用户可以完全避免任何安全威胁
Answer: D
领域/Domain: 身份与访问控制
Question: Question: A user who owns a resource wants to give other  individuals access to the resource.
What control would apply?
=======
Options:
Mandatory access control.
Role-based access controls.
Discretionary access control.
Context of authority controls.
Answer: B
领域/Domain: 身份与访问控制
Question: IDaaS的关键特征是：
Options:
IGA 身份治理和管理
虚拟化
容器化
OpenID
Answer: A
领域/Domain: 身份与访问控制
Question: What role does biometrics play in access control?
Options:
Authorization
Authenticity
Authentication
Accountability
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种权限管理策略有助于防止内部用户滥用系统资源？
Options:
所有用户都分配管理员权限
根据角色和职责分配权限
允许用户自由共享账户和密码
尽量减少权限审核和更新
Answer: B
领域/Domain: 身份与访问控制
Question: 安全审计在单点登录（SSO）系统中的作用是什么？
Options:
用于监控用户行为
用于增加用户登录速度
用于减少系统资源消耗
用于提高用户认证的复杂性
Answer: A
领域/Domain: 身份与访问控制
Question: In a given network, client C needs to access the services of server S. Client C must be authenticated by server S. Client C also needs to authenticate server B. Which type of authentication does this authentication belong to ()
Options:
single-item identification
bidirectional identification
Third party identification
None of the above.
Answer: B
领域/Domain: 身份与访问控制
Question: What are the physical characteristics of a retinal scan  biometric device?
Options:
The size, curvature, and shape of the retina
The amount of light reflected by the retina
The amount of light reaching the retina
The pattern of blood vessels at the back of the eye
Answer: D
领域/Domain: 身份与访问控制
Question: Technical controls such as encryption and access control can be built into the operating system, be software applications, or can be supplementalhardware/ software units. Such controls, also known as logical controls, represent which pairing?
Options:
Preventive/Administrative Pairing
Preventive/Technical Pairing
Preventive/Physical Pairing
Detective/Technical Pairing
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following occurs in a PKI environment?
Options:
The RA creates the certificate, and the CA signs it.
The CA signs the certificate.
The RA signs the certificate.
The user signs the certificate.
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is not normally an element of user accounts management audits?
Options:
Password hashing
Signed AUPs
Privileged accounts
Suspended accounts
Answer: A
领域/Domain: 身份与访问控制
Question: 假如有证书发放机构 i1，i2 用户 a 在 i1 获取证书，用户 b 在 i2 获取证书，i1 和 i2 已安全交换了各自的公钥，如果用 i1《a》表示由 i1 颁发给 a 的证书，a 可通过（ ）证书链获取 b 的公开密钥。
Options:
i1《i2》i2《b》
i2《b》i1《i2》
i1《b》i2《i2》
i2《i1》i2《b》
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种技术用于确保只有经过身份验证的用户才能访问网络资源？
Options:
权限等级
访问控制列表
角色基础访问控制
用户身份验证
Answer: D
领域/Domain: 身份与访问控制
Question: The type of discretionary access control (DAC) that is based on an individual's identity is also calle
Options:
Identity-based Access control
Rule-based Access control
Non-Discretionary Access Control
Lattice-based Access control
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following binds a subject name to a public key value?
Options:
A public-key certicate
A public key infrastructure
A secret key infrastructure
A private key certicate
Answer: B
领域/Domain: 身份与访问控制
Question: Controls provide accountability for individuals who are accessing sensitive information. This accountability is accomplishe
Options:
through access control mechanisms that require identification and authentication and through the audit function.
through logical or technical controls involving the restriction of access to systems and the protection of information.
through logical or technical controls but not involving the restriction of access to systems and the protection of information.
through access control mechanisms that do not require identification and authentication and do not operate through the audit function.
Answer: A
领域/Domain: 身份与访问控制
Question: 实施访问控制时首先需要：
Options:
分类信息系统资源。
标记信息系统资源。
创建访问控制列表。
创建信息系统资源清单。
Answer: D
领域/Domain: 身份与访问控制
Question: IIS是Microsoft 公司提供的Web服务器软件，主要提供Web服务。IIS的访问控制包括：请求过滤、URL 授权控制、IP地址限制、文件授权等安全措施，其中对文件夹的NTFS 许可权限管理属于（    ）。
Options:
请求过滤
URL授权控制
IP地址限制
文件授权
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制策略最适合用于限制内部网络中特定资源的访问？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于角色的访问控制（RBAC）
多层访问控制（MLAC）
Answer: C
领域/Domain: 身份与访问控制
Question: SiKey口令是一种一次性口令生成方案，它可以对抗（）。
Options:
恶意代码木马攻击
拒绝服务攻击
协议分析攻击
重放攻击
Answer: D
领域/Domain: 身份与访问控制
Question: 在实施访问控制时，以下哪项是身份验证的主要目标？
Options:
确保用户可以访问所有资源
验证用户的身份以确定其是否有权访问特定资源
限制用户只能访问特定资源
提高系统的可用性
Answer: B
领域/Domain: 身份与访问控制
Question: 在移动端身份验证中，以下哪种方法通常用于增强安全性？
Options:
单一密码验证
双因素认证
基于位置的身份验证
基于时间的身份验证
Answer: B
领域/Domain: 身份与访问控制
Question: 在网络安全中，哪种技术用于确认用户身份，防止冒充？
Options:
加密算法
防火墙技术
身份验证
网络入侵检测
Answer: C
领域/Domain: 身份与访问控制
Question: 关于访问控制，以下哪一项描述是不正确的？
Options:
访问控制是确保数据安全的重要手段
访问控制可以防止未授权的数据访问
访问控制策略可以完全防止数据泄露
访问控制需要根据数据分类进行差异化设置
Answer: C
领域/Domain: 身份与访问控制
Question: What type of access control model is Biba?
Options:
Role BAC
MAC
ABAC
DAC
Answer: B
领域/Domain: 身份与访问控制
Question: A tool used to map out access rights and permissions against authenticated identity assertions and characteristics.
Options:
attribute portal
entitlement matrix
facet corollary
digital rights management (DRM)
Answer: B
领域/Domain: 身份与访问控制
Question: 以下选项中,不属于生物识别方法的是（ ）。
Options:
掌纹识别
个人标记号识别
人脸识别
指纹识别
Answer: B
领域/Domain: 身份与访问控制
Question: What are the key stages of account management?
Options:
Provisioning or adding accounts, modifying accounts, and suspending accounts
Adding accounts, deleting accounts, and deleting users’ data
Verifying account passwords, validating account usage, and deleting accounts
Provisioning accounts, modifying accounts, auditing the use of accounts, and suspending accounts
Answer: D
领域/Domain: 身份与访问控制
Question: 在应对钓鱼邮件时，哪种身份验证机制最能防止恶意登录尝试？
Options:
基于知识的身份验证（如密码）
基于拥有的身份验证（如一次性短信验证码）
基于设备的身份验证（如设备指纹）
基于生物特征的身份验证（如指纹识别）
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is addressed by Kerberos?
Options:
Confidentiality and Integrity
Authentication and Availability
Validation and Integrity
Auditability and Integrity
Answer: A
领域/Domain: 身份与访问控制
Question: 在零信任网络中，以下哪项措施不是用于增强身份验证的？
Options:
多因素认证
生物识别技术
定期更改密码
网络流量分析
Answer: D
领域/Domain: 身份与访问控制
Question: 身份认证的主要目的是什么？
Options:
防止数据泄露
确保用户身份的真实性
提高系统性能
减少系统维护成本
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种控制措施主要用于验证用户的身份，以确保只有授权的用户可以访问系统资源？
Options:
权限模型
身份验证
授权策略
访问矩阵
Answer: B
领域/Domain: 身份与访问控制
Question: 在生成系统帐号时，系统管理员应该分配给合法用户一个____，用户在第一次登录时应更改口令。
Options:
唯一的口令
登录的位置
使用的说明
系统的规则
Answer: A
领域/Domain: 身份与访问控制
Question: Access Control techniques do not include which of the  following choices?
Options:
Relevant Access Controls
Discretionary Access Control
Mandatory Access Control
Lattice Based Access Control
Answer: A
领域/Domain: 身份与访问控制
Question: Which of the following is NOT an administrative control?
Options:
Logical access control mechanisms
Screening of personnel
Development of policies, standards, procedures and guidelines
Change control procedures
Answer: A
领域/Domain: 身份与访问控制
Question: 在SAML协议中，哪个实体是服务提供者，它需要验证用户的身份以提供服务？
Options:
身份提供者
认证权威机构
服务提供者
用户
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种权限管理策略允许管理员根据用户角色分配权限？
Options:
强制访问控制
自主访问控制
基于角色的访问控制
基于策略的访问控制
Answer: C
领域/Domain: 身份与访问控制
Question: 以下哪种技术主要用于确保用户身份的真实性，防止冒充？
Options:
加密
访问控制
身份验证
数据隐私法规
Answer: C
领域/Domain: 身份与访问控制
Question: 在操作系统中，角色-based访问控制（RBAC）的主要目的是什么？
Options:
限制用户只能访问与其角色相关的工作所需资源
通过加密确保数据在传输过程中的安全性
验证用户身份以确保只有授权用户可以登录
创建访问控制列表（ACL）以定义网络流量
Answer: A
领域/Domain: 身份与访问控制
Question: The Reference Validation Mechanism that ensures the authorized access relationships between subjects and objects is implementing which ofthe following concept:
Options:
The reference monitor.
Discretionary Access Control.
The Security Kernel.
Mandatory Access Control.
Answer: A
领域/Domain: 身份与访问控制
Question: Which access control model provides upper and lower bounds of access capabilities for a subject?
Options:
Role-based access control
Lattice-based access control
Biba access control
Content-dependent access control
Answer: B
领域/Domain: 身份与访问控制
Question: What is called the percentage at which the False Rejection  Rate equals the False Acceptance Rate?
Options:
False Rejection Rate (FRR) or Type I Error
False Acceptance Rate (FAR) or Type II Error
Crossover Error Rate (CER)
Failure to enroll rate (FTE or FER)
Answer: C
领域/Domain: 身份与访问控制
Question: 在访问控制模型中，以下哪种模型提供了最细粒度的权限控制？
Options:
自主访问控制（DAC）
强制访问控制（MAC）
基于角色的访问控制（RBAC）
基于属性的访问控制（ABAC）
Answer: D
领域/Domain: 身份与访问控制
Question: Which of the following is an entity-owned identification method ().
Options:
Users log in to the system with their own passwords to complete the identification process.
Users use their personal fingerprints for identification through the fingerprint recognition system
The user utilizes a secret function negotiated with the system to correctly respond to challenges sent by the system, through identity authentication
Users use smart cards to complete authentication
Answer: D
领域/Domain: 身份与访问控制
Question: 在身份验证和授权过程中，以下哪种做法是不安全的？
Options:
使用复杂的密码策略，要求定期更改密码
依赖单一的身份验证因素，如仅使用密码
实施多因素认证（MFA）
在传输敏感信息时使用HTTPS协议
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种安全措施可以增加对两步验证应用的保护，以防止钓鱼攻击？
Options:
仅使用短信接收验证码。
启用基于时间的一次性密码（TOTP）。
依赖于电子邮件接收验证码。
在所有设备上启用自动登录功能。
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种方法不是有效的两步验证设置？
Options:
短信验证码
生物识别（如指纹或面部识别）
使用一次性密码应用生成的代码
仅使用复杂的密码
Answer: D
领域/Domain: 身份与访问控制
Question: 多因素认证（MFA）在防范钓鱼攻击中的作用是什么？
Options:
完全消除钓鱼攻击的风险
提供额外的安全层，即使密码被窃取，攻击者也需要第二个因素才能访问账户
减少用户对密码的依赖
增加用户登录的便捷性
Answer: B
领域/Domain: 身份与访问控制
Question: 在零信任模型中，内部防御的主要目标是什么？
Options:
防止外部攻击
监控内部用户行为
提高网络带宽
减少硬件成本
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following techniques can be used to implement  role-based access control to protect the confidentiality of data in a  database?
Options:
Encryption
View
Hash
Masking
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种身份验证机制依赖于用户知道的信息，如密码或PIN码？
Options:
双因素认证
生物识别认证
基于知识的认证
基于令牌的认证
Answer: C
领域/Domain: 身份与访问控制
Question: Which of the following is not a crucial component of the identity and access management relationship between customer and provider?
Options:
trust relationships
legal framework
designation of responsibilities
technical mechanics of implementation
Answer: B
领域/Domain: 身份与访问控制
Question: Mathew is a security administrator for a consulting company. He must use access control to limit user access based on previous user activity. Which security model is most suitable for Mathew's needs?
Options:
Brewer-Nash
Biba
Bell-LaPadula
Clark-Wilson
Answer: A
领域/Domain: 身份与访问控制
Question: 在零信任架构中，审计跟踪的主要作用是什么？
Options:
提高系统性能
记录和分析所有用户活动以检测异常行为
仅记录系统错误
用于用户认证
Answer: B
领域/Domain: 身份与访问控制
Question: 在权限控制中，以下哪种原则允许用户只能访问其工作所需的数据？
Options:
最小权限原则
职责分离原则
权限继承原则
审计跟踪原则
Answer: A
领域/Domain: 身份与访问控制
Question: 在RBAC系统中，审计与合规的主要目的是什么？
Options:
为用户分配角色
监控和记录用户活动
创建新的角色
更新角色的权限
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following is NOT a two-factor authentication mechanism?
Options:
Something you have and something you know.
Something you do and a password.
A smartcard and something you are.
Something you know and a password.
Answer: D
领域/Domain: 身份与访问控制
Question: 在信息系统中，访问控制是重要的安全功能之一。以下不属于访问控制模型的特点的是（）
Options:
只涉及安全性质，不过多牵扯系统的功能或其实现细节
复杂的，不易理解
精确的、无歧义的
简单的、抽象的，容易理解
Answer: B
领域/Domain: 身份与访问控制
Question: 实体身份鉴别一般依据以下三种基本情况或这三种情况的组合：实体所知的鉴别方法、实体所有的鉴别方法和基于实体特征的鉴别方法。下面选项中属于使用基于实体特征的鉴别方法是（  ）。[1分]
Options:
将登录口令设置为出生日期
通过询问和核对用户的个人隐私信息来鉴别
使用系统定制的、在本系统专用的IC卡进行鉴别
通过扫描和识别用户的脸部信息来鉴别
Answer: D
领域/Domain: 身份与访问控制
Question: Privileged user (administrators, managers, and so forth) accounts need to be reviewedmore closely than basic user accounts. Why is this?
Options:
Privileged users have more encryption keys.
Regular users are more trustworthy.
There are extra controls on privileged user accounts.
Privileged users can cause more damage to the organization.
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种情况最有可能是二步验证在防止钓鱼攻击中的作用？
Options:
阻止攻击者通过猜测密码登录
检测并阻止恶意软件的传播
验证用户设备的合法性
在用户尝试登录时提供额外的身份验证步骤
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制策略允许系统记录用户的活动，以便在发生安全事件时进行追踪？
Options:
非对称加密
审计与追踪
密钥管理
零信任网络
Answer: B
领域/Domain: 身份与访问控制
Question: 在基于令牌的身份验证中，以下哪个描述了令牌的角色？
Options:
存储用户密码的加密数据
用户身份的长期证明
临时的、可验证的访问凭据
用于加密通信的共享密钥
Answer: C
领域/Domain: 身份与访问控制
Question: Which access control model enables the OWNER of the resource to specify what subjects can access specific resources based on their identity?
Options:
Discretionary Access Control
Mandatory Access Control
Sensitive Access Control
Role-based Access Control
Answer: A
领域/Domain: 身份与访问控制
Question: 在权限控制中，最小权限原则指的是：
Options:
每个用户都应拥有执行所有操作的权限
每个用户只能访问他们需要完成工作所必需的资源
系统管理员应拥有所有权限以便快速解决问题
所有用户权限应相同，以确保公平
Answer: B
领域/Domain: 身份与访问控制
Question: Which access control type has a central authority that  determine to what objects the subjects have access to and it is based on role  or on the
organizational security policy?
Options:
Mandatory Access Control
Discretionary Access Control
Non-Discretionary Access Control
Rule-based Access control
Answer: C
领域/Domain: 身份与访问控制
Question: What security model implies a central authority that denes rules and sometimes global rules, dictating what subjects can have access to whatobjects?
Options:
Flow Model
Discretionary access control
Mandatory access control
Non-discretionary access control
Answer: D
领域/Domain: 身份与访问控制
Question: As with logical access controls, audit logs should be produced  and monitored for physical access controls. Which of the following statements  is correct about auditing physical access?
Options:
Unsuccessful access attempts should be logged but only need to be  reviewed by a security guard.
Only successful access attempts should be logged and reviewed.
Only unsuccessful access attempts during unauthorized hours should be  logged and reviewed.
All unsuccessful access attempts should be logged and reviewed.
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种身份验证流程主要用于允许用户使用单一登录凭据访问多个独立的应用系统？
Options:
基本身份验证
多因素身份验证
访问控制列表
身份联合与单点登录
Answer: D
领域/Domain: 身份与访问控制
Question: What enables users to validate each other's certicate when they are certied under different certication hierarchies?
Options:
Cross-certication
Multiple certicates
Redundant certication authorities
Root certication authorities
Answer: A
领域/Domain: 身份与访问控制
Question: 以下哪种技术用于验证用户身份，例如在登录网上银行时输入的用户名和密码？
Options:
加密技术
入侵检测系统
身份验证
网络层次模型
Answer: C
领域/Domain: 身份与访问控制
Question: 在 windows 用户管理中，使用组策略 a-g-dl-p,其中 p 表示（）。
Options:
用户账号
资源访问权限
域本地组
通用组
Answer: B
领域/Domain: 身份与访问控制
Question: Which type of password provides maximum security because a new  password is required for each new log-on?
Options:
One-time or dynamic password
Congnitive password
Static password
Passphrase
Answer: A
领域/Domain: 身份与访问控制
Question: A passphrase is the most commonly used means of authenticating a user's identity. Which of the following passphrases has the greatest range of potential risk implications? ( )
Options:
Passwords that have not been changed for a long time
Excessively short muzzles
A password shared by two people.
The default passphrase provided by the equipment vendor
Answer: D
领域/Domain: 身份与访问控制
Question: 以下哪种访问控制模型允许管理员根据用户角色分配权限？
Options:
强制访问控制（MAC）
自主访问控制（DAC）
基于规则的访问控制
角色基础访问控制（RBAC）
Answer: D
领域/Domain: 身份与访问控制
Question: Which of the following biometric devices offers the LOWEST CER?
Options:
Keystroke dynamics
Voice verication
Iris scan
Fingerprint
Answer: C
领域/Domain: 身份与访问控制
Question: 零信任模型中的最小权限原则是指什么？
Options:
用户只能访问他们需要的资源
用户必须通过多因素认证
网络被划分为多个隔离区域
所有通信都必须加密
Answer: A
领域/Domain: 身份与访问控制
Question: When submitting a passphrase for authentication, the passphrase is converted into:
Options:
a virtual password by the system.
a new passphrase by the system.
a new passphrase by the encryption technology
a real password by the system which can be used forever.
Answer: A
领域/Domain: 身份与访问控制
Question: 在身份验证与授权中，多因素认证（MFA）至少需要多少种验证因素？
Options:
1
2
3
4
Answer: B
领域/Domain: 身份与访问控制
Question: 在认证与授权中，以下哪种方法可以确保用户访问权限的最小化，从而降低内部威胁的风险？
Options:
多因素认证
最小权限原则
零信任网络
角色基础的访问控制
Answer: B
领域/Domain: 身份与访问控制
Question: 以下哪种方法最直接地防止钓鱼攻击中的身份盗用？
Options:
安装端点安全软件
使用安全套接层（SSL）
定期更新操作系统和应用程序
实施双因素身份验证
Answer: D
领域/Domain: 身份与访问控制
Question: Pin, Password, Passphrases, Tokens, smart cards, and biometric devices are all items that can be used for Authentication. When one of theseitem listed above in conjunction with a second factor to validate authentication, it provides robust authentication of the individual by practicingwhich of the following?
Options:
Multi-party authentication
Two-factor authentication
Mandatory authentication
Discretionary authentication
Answer: B
领域/Domain: 身份与访问控制
Question: Which of the following implements the  authorized access relationship between subjects and objects of a  system?
下面哪项实现了系统的主体和客体之间的授权访问关系？
Options:
Security model 安全模型
Reference kernel 参考内核
Security kernel 安全内核
Information flow model 信息流模型
Answer: C