secbench-hf/SecBench huggingface dataset:
领域/Domain: 安全管理
Question: 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于（）
Options:
三个月
六个月
九个月
十二个月
Answer: B
领域/Domain: 安全管理
Question: 在取证分析过程中，以下哪个行为是不恰当的？
Options:
在分析前对证据进行备份
修改原始证据以简化分析
记录每一步分析过程
遵循法律和法规要求
Answer: B
领域/Domain: 安全管理
Question: In order to protect the intellectual property and other assets of a business, which of the following is the best way to terminate an employee's employment? ( )
Options:
Conduct exit interviews, have employees sign non-disclosure agreements, ban employee accounts, change passwords
Conduct exit interviews, ban employee accounts, change passwords
Getting employees to sign cross-border agreements
List all the responsibilities that an employee needs to be aware of prior to termination
Answer: A
领域/Domain: 安全管理
Question: 以下哪种策略是在检测到入侵后，采取的旨在减少损害和防止攻击进一步扩散的行动？
Options:
异常检测
签名分析
日志监控
入侵响应策略
Answer: D
领域/Domain: 安全管理
Question: 在冲突解决中，以下哪种外交策略通常用于缓和紧张局势并建立对话渠道？
Options:
经济制裁
和平使者特派团
军事威慑
单边行动
Answer: B
领域/Domain: 安全管理
Question: 一个员工制作并上传病毒到内网， 司法鉴定人员应该：
Options:
断掉员工电脑网络连接
内部公告病毒影响
进行针对病毒的渗透测试
扣留该员工电脑
Answer: D
领域/Domain: 安全管理
Question: 在资源调配机制中，哪项不是政府在灾害应对中的常见角色？
Options:
协调救援物资的分配
提供财政援助
直接参与商业经营活动
调动国家应急资源
Answer: C
领域/Domain: 安全管理
Question: 以下哪种安全措施主要用于响应网络攻击并追踪攻击者行为？
Options:
安全策略实施
日志分析与响应
网络流量过滤
实时入侵预防
Answer: B
领域/Domain: 安全管理
Question: When can executives be charged with negligence?
Options:
If they follow the transborder laws
If they do not properly report and prosecute attackers
If they properly inform users that they may be monitored
If they do not practice due care when protecting resources
Answer: D
领域/Domain: 安全管理
Question: 在进行网络渗透测试时，以下哪项行为是道德黑客必须遵守的法规要求？
Options:
在测试过程中，可以随意利用发现的安全漏洞获取系统权限。
在测试前，必须获得目标组织的明确授权。
测试报告完成后，可以公开披露发现的所有安全漏洞。
测试过程中，可以使用任何手段，只要不造成实质性损害即可。
Answer: B
领域/Domain: 安全管理
Question: 以下哪种反钓鱼策略最适合防止员工在工作中误点击钓鱼链接？
Options:
定期进行安全意识培训
完全禁止员工访问外部邮件
依赖单一的反病毒软件
仅依赖防火墙阻止所有可疑流量
Answer: A
领域/Domain: 安全管理
Question: Which of the following groups represents the leading source of computer crime losses?
Options:
Hackers
Industrial saboteurs
Foreign intelligence officers
Employees
Answer: D
领域/Domain: 安全管理
Question: 以下哪种防范策略可以防止恶意代码通过电子邮件附件传播？
Options:
启用邮件内容过滤
安装防火墙
使用加密通信
定期备份数据
Answer: A
领域/Domain: 安全管理
Question: 组织的战略计划预期会有以下哪项目标？
Options:
新软件测试的结果。
对信息技术需求执行评估。
新规划系统的短期项目计划。
组织提供经批准的产品供应商。
Answer: D
领域/Domain: 安全管理
Question: 以下哪种行为是应急响应策略的一部分，但不是漏洞评估的直接结果？
Options:
备份关键数据
识别漏洞的来源
修复已知漏洞
制定恢复计划
Answer: D
领域/Domain: 安全管理
Question: Which of the matters relating to CCTV is of most concern to the information systems auditor?
Options:
No regular analysis of CCTV
CCTV footage is not continuous and there is no 24\/7 CCTV
CCTV is kept for a year and then deleted
No CCTV installed in the conference room
Answer: B
领域/Domain: 安全管理
Question: 以下哪种电子邮件过滤策略有助于防止钓鱼邮件？
Options:
仅允许来自已知联系人的邮件
自动删除所有包含附件的邮件
使用反垃圾邮件过滤器并检查邮件的发件人地址
忽略所有要求紧急行动的邮件
Answer: C
领域/Domain: 安全管理
Question: 下列哪项是日志分析工具ELK Stack的组成部分？
Options:
Elasticsearch, Logstash, Kibana
Elasticsearch, Logstash, Grafana
Splunk, Logstash, Kibana
Splunk, Elasticsearch, Grafana
Answer: A
领域/Domain: 安全管理
Question: 信息安全组织的管理涉及内部组织和外部各方两个控制目标。为了实现对组织内部信息安全的有效管理，应该实施常规的控制措施，不包括哪些选项（）
Options:
与特定利益集团的联系、信息安全的独立评审
信息处理设施的授权过程、保密性协议、与政府部门的联系
与外部各方相关风险的识别、处理外部各方协议中的安全问题
信息安全的管理承诺、信息安全协调、信息安全职责的分配
Answer: C
领域/Domain: 安全管理
Question: 在取证分析中，以下哪种行为是不恰当的？
Options:
在分析过程中修改原始证据
记录证据收集的时间和日期
使用专用工具以防止数据篡改
在获取证据前获取必要的法律授权
Answer: A
领域/Domain: 安全管理
Question: Jeff is leading the business continuity group in his company.  They have completed a business impact analysis and have determined that if  the company’s credit card processing functionality was unavailable for 48  hours the company would most likely experience such a large financial hit  that it would have to go out of business.The team has calculated that this functionality needs to be up and running  within 28hours after experiencing a disaster for the company to stay in business.  The team has also determined that the restoration steps must be able to  restore data that is 60minutes old or less.In this scenario, what would the 60-minute time period be referred to  as?
Options:
Recovery time period
Maximum tolerable downtime
Recovery point objective
Recovery point time period
Answer: C
领域/Domain: 安全管理
Question: Which of the following is not typically included in an audit report?
Options:
vendor list for remediations
identified issues
compliance determination
risks
Answer: A
领域/Domain: 安全管理
Question: 在日志分析中，以下哪项不是常见的日志记录内容？
Options:
登录尝试
系统错误
用户浏览历史
网络连接
Answer: C
领域/Domain: 安全管理
Question: 针对攻防演练，以下哪项是正确的战略部署？
Options:
通过建立DMZ区域以提高内部网络的安全性
任何形式的攻击均被视为合法行为
尽量减少出站网络连接，降低攻击面
放置一些假的服务以迷惑攻击者
Answer: A
领域/Domain: 安全管理
Question: The "vulnerability of a facility" to damage or  attack may be assessed by all of the following except:
Options:
Inspection
History of losses
Security controls
security budget
Answer: D
领域/Domain: 安全管理
Question: 2008年，《国家网络安全综合倡议(CNCI)》发布。CNCI计划建立三道防线，下面不属于三道防线内容的是（）
Options:
减少漏洞和隐患，预防入侵
全面应对各类威胁，增强反应能力，加强供应链安全抵御各种威胁
强化未来安全环境，增强研究、开发和教育，投资先进技术
充分发挥国家、企业和个人的积极性，不能忽视任何一方的作用
Answer: D
领域/Domain: 安全管理
Question: 在应对重大突发事件时，以下哪种行动不符合危机沟通的原则？
Options:
迅速公开信息，避免信息真空
只发布经过高层审核的信息
确保信息准确无误，避免误导公众
建立多渠道沟通，回应公众关切
Answer: B
领域/Domain: 安全管理
Question: When first analyzing an intrusion that has just been detected and confirming that it is a true positive, which of the following actions should bedone as a first step if you wish to prosecute the attacker in court?
Options:
Back up the compromised systems.
Identify the attacks used to gain access.
Capture and record system information.
Isolate the compromised systems.
Answer: C
领域/Domain: 安全管理
Question: 在风险量化过程中，以下哪项不是通常考虑的量化指标？
Options:
经济损失
恢复时间
情感指数
可能性分数
Answer: C
领域/Domain: 安全管理
Question: Which of the following are MOST critical  for a security manager to possess?
下面哪项是安全经理拥有的最关键技能？
Options:
Effective communication skills, strategic planning skills, and an  understanding of organizational processes
有效的沟通技巧，策略规划技巧，以及对组织流程的理解
Good technical skills, project management expertise, and a strong audit  background
良好的技术技能，项目管理经验，强大的审计背景
Compliance experience, formal management training, and network operations  abilities
合规经验，正式的管理培训，和网络运维能力
Skills development capabilities, application development experience, and  good people skills
技巧开发能力，应用开发经验和良好的人际交往能力
Answer: A
领域/Domain: 安全管理
Question: 以下哪种安全防护策略最适用于防止恶意软件通过电子邮件附件传播？
Options:
实施严格的附件类型过滤
定期进行全盘病毒扫描
启用端点隔离与删除功能
强化用户教育，识别网络钓鱼邮件
Answer: D
领域/Domain: 安全管理
Question: 以下哪种防护策略可以最有效地防止员工点击钓鱼链接并降低网络钓鱼攻击的成功率？
Options:
实施反病毒软件更新
使用端点检测和响应系统
提供安全意识培训
启用多因素认证
Answer: C
领域/Domain: 安全管理
Question: 根据中国法律，以下哪种行为属于非法的钓鱼攻击？
Options:
未经用户同意，收集其个人信息
在社交平台上发布虚假信息，诱导用户点击链接
通过电子邮件发送伪装成银行或政府机构的钓鱼邮件
以上所有行为
Answer: D
领域/Domain: 安全管理
Question: 某信息系统审计师受邀参加一个关键项目的启动会议。该信息系统审计师的主要关注点应该是：
Options:
是否已分析项目的复杂性和风险。
是否已确定整个项目所需的资源。
是否已确定技术交付成果。
是否已制定好外部各方参与项目所需的合同。
Answer: A
领域/Domain: 安全管理
Question: 以下哪种应对措施可以防止钓鱼邮件对组织造成损害？
Options:
立即回复疑似钓鱼邮件以确认其真实性
安装防火墙阻止所有外部邮件
部署电子邮件过滤和安全网关
在收到邮件后立即转发给所有同事
Answer: C
领域/Domain: 安全管理
Question: 在进行威胁建模时，以下哪项不是常见的威胁类别？
Options:
拒绝服务攻击
社会工程学
物理设备损坏
软件升级
Answer: D
领域/Domain: 安全管理
Question: 某个组织已经把其服务台职能外包了。下列哪项指标最应该包含在服务水平协议中？
Options:
支持的用户总数。
首次通话解决率。
报告至服务台的事故数。
接线员的数量。
Answer: B
领域/Domain: 安全管理
Question: Information security has become the focus of society, the following does not belong to the principle of information system security operation ()
Options:
Principles of standardization and consistency
absolute security principle
The principle of integrated planning and step-by-step implementation
Principle of synchronized planning and construction
Answer: B
领域/Domain: 安全管理
Question: Which of the following is most concerned with personnel security?
Options:
Management controls
Operational controls
Technical controls
Human resources controls
Answer: B
领域/Domain: 安全管理
Question: 审查IT灾难恢复测试时，信息系统审计师最需要关注以下哪个问题？
Options:
由于测试时间窗有限，仅测试了最重要的系统。其他系统将在这一年的其他时间进行单独测试。
测试时某些备份系统有缺陷或未运行，从而导致这些系统测试失败。
启动备份站点之前，关闭并保护原始生产站点的过程所需要的时间远远超过所计划的时间。
每年由相同的员工执行测试。由于所有参与者非常熟悉各个步骤，因此未使用恢复计划文档。
Answer: B
领域/Domain: 安全管理
Question: 在社会工程学攻击中，攻击者通常利用哪类受害者心理来诱骗信息？
Options:
贪婪心理，提供虚假的财务奖励
恐惧心理，威胁揭露个人秘密
好奇心理，发送神秘的未知链接
以上所有
Answer: D
领域/Domain: 安全管理
Question: 社会工程学攻击中，攻击者通常利用哪种信息来增加欺骗的成功率？
Options:
操作系统版本
网络拓扑结构
员工的个人喜好和习惯
服务器的IP地址
Answer: C
领域/Domain: 安全管理
Question: 安全审计日志中，以下哪项信息对于追踪潜在的安全事件至关重要？
Options:
用户的登录时间
用户的注销时间
用户的登录IP地址
用户的登录和操作记录
Answer: D
领域/Domain: 安全管理
Question: 以下哪种行为可以降低用户遭受邮件欺诈的风险？
Options:
立即回复来自财务部门的紧急邮件，即使邮件中包含敏感信息请求。
在点击邮件中的链接前，先通过已知的联系方式验证邮件的真实性。
在公共计算机上查看和回复工作邮件。
将所有密码保存在电子邮件草稿箱中，以便随时访问。
Answer: B
领域/Domain: 安全管理
Question: 在漏洞修复过程中，以下哪项措施通常不是优先考虑的？
Options:
立即应用最新的补丁
实施安全配置管理
进行系统备份
加强用户身份验证
Answer: D
领域/Domain: 安全管理
Question: 一位信息系统审计师需要审查可将软件应用程序的状态恢复到更新前状态的流程。因此，该审计师需要评估：
Options:
问题管理流程。
软件开发流程。
逆向恢复流程。
事故管理流程。
Answer: C
领域/Domain: 安全管理
Question: Which of the following is required in order to provide accountability?
Options:
Authentication
Integrity
Condentiality
Audit trails
Answer: D
领域/Domain: 安全管理
Question: 对成功的社会工程攻击的最贴近的解释是：
Options:
计算机错误。
判断错误。
专业知识。
技术。
Answer: B
领域/Domain: 安全管理
Question: 以下哪种策略可以确保邮件服务器在发生故障时仍能恢复邮件服务？
Options:
DKIM & SPF 验证
访问控制列表
SSL\/TLS 加密
备份与恢复策略
Answer: D
领域/Domain: 安全管理
Question: 在处理网络日志数据以检测潜在攻击时，主要关注哪些方面？
Options:
数据加密
异常行为模式
认证过程
资源利用率
Answer: B
领域/Domain: 安全管理
Question: What is the most critical piece to  disaster recovery and continuity planning?
灾难恢复和业务连续性计划中最关键的部分是什么？
Options:
安全策略Security Policy
管理层支持 Management Support
备份信息处理设施的可用性 Availability of backup information processing facilities
员工培训 Staff training
Answer: B
领域/Domain: 安全管理
Question: 在制定恢复计划时，以下哪项不是关键考虑因素？
Options:
数据备份的频率
恢复时间目标（RTO）
员工的个人工作习惯
恢复点目标（RPO）
Answer: C
领域/Domain: 安全管理
Question: 在安全事件响应中，哪个阶段通常涉及收集和保存证据以供后续调查？
Options:
预防阶段
检测阶段
遏制阶段
取证阶段
Answer: D
领域/Domain: 安全管理
Question: Controls like guards and general steps to maintain building security, securing of server rooms or laptops, the protection of cables, and usage ofmagnetic switches on doors and windows are some of the examples of:
Options:
administrative controls.
logical controls.
technical controls.
physical controls.
Answer: D
领域/Domain: 安全管理
Question: 以下哪种做法最能体现风险评估的严谨性？
Options:
仅考虑技术风险，忽略人为因素
基于历史数据预测未来风险
全面评估包括内部和外部威胁的所有风险
依赖直觉和经验判断风险可能性
Answer: C
领域/Domain: 安全管理
Question: 在应急响应计划中，以下哪项措施最有助于快速恢复系统功能？
Options:
详细记录系统配置信息
定期进行系统备份
频繁进行系统更新
增加系统监控的频率
Answer: B
领域/Domain: 安全管理
Question: 以下哪种行为最能体现员工对钓鱼攻击的防范意识？
Options:
在公共Wi-Fi下处理敏感数据
定期检查电子邮件中的拼写和语法错误
点击来自不知名发件人的紧急请求邮件中的链接
在未经验证的网站上输入信用卡信息
Answer: B
领域/Domain: 安全管理
Question: 在执行漏洞扫描后，以下哪项是优先处理的漏洞类型？
Options:
低严重性漏洞，因为它们数量最多
中等严重性漏洞，以平衡风险和修复成本
高严重性漏洞，因为它们对系统构成最大威胁
所有发现的漏洞，按照发现的顺序修复
Answer: C
领域/Domain: 安全管理
Question: 以下哪项是网络安全风险管理的核心要素，以确保组织符合《网络安全法》的法规遵从性？
Options:
定期进行威胁评估，识别潜在的网络威胁和漏洞
仅依赖防火墙和入侵检测系统来防止攻击
忽略第三方供应商的安全策略，因为它们不是组织内部的一部分
在发生数据泄露后实施安全策略
Answer: A
领域/Domain: 安全管理
Question: 在应急响应计划中，哪个阶段通常涉及隔离受影响的移动设备以防止威胁传播？
Options:
准备阶段
检测与分析阶段
遏制阶段
恢复阶段
Answer: C
领域/Domain: 安全管理
Question: 在进行风险评估时，以下哪项不是识别威胁的关键因素？
Options:
资产的价值
历史安全事件
行业标准
资产的物理位置
Answer: C
领域/Domain: 安全管理
Question: 评估IT风险时，最好通过以下哪项来完成？
Options:
评估现有IT资产和IT项目相关的威胁和漏洞。
利用组织以前积累的实际损失经验来确定目前的风险敞口。
审查类似组织发布的损失统计数据。
审核审计报告中确定的IT控制弱点。
Answer: A
领域/Domain: 安全管理
Question: 在应对钓鱼攻击时，哪项安全防护措施最直接有效？
Options:
安装入侵检测系统
定期更新操作系统
启用多因素认证
禁用所有外部邮件
Answer: C
领域/Domain: 安全管理
Question: 以下哪种行为可以有效减少钓鱼攻击的风险？
Options:
在所有网站使用相同的密码
点击邮件中的未知链接
定期进行安全意识培训
忽略操作系统的安全更新
Answer: C
领域/Domain: 安全管理
Question: 以下哪种防御策略最不适用于防止恶意软件通过电子邮件传播？
Options:
启用邮件附件的自动预览功能
实施基于内容的过滤策略
教育用户识别可疑的电子邮件行为
使用电子邮件网关进行恶意软件扫描
Answer: A
领域/Domain: 安全管理
Question: 应急预案中，以下哪项措施最有助于减少安全事件的影响？
Options:
定期进行安全培训
实施严格的访问控制
建立快速响应小组
频繁更新防病毒软件
Answer: C
领域/Domain: 安全管理
Question: 在检查可能的钓鱼邮件时，以下哪个识别特征最能表明邮件可能是欺诈性的？
Options:
发件人地址与官方域名完全一致
邮件中包含紧急或恐慌性的语言
邮件内容格式整洁，无拼写错误
邮件中的链接直接指向知名的网站
Answer: B
领域/Domain: 安全管理
Question: 以下哪种行为可以有效防止认证信息窃取？
Options:
在公共Wi-Fi下进行网上银行操作
使用复杂的密码并定期更换
将密码写在便签上并贴在显示器旁
与他人共享账户和密码
Answer: B
领域/Domain: 安全管理
Question: 在发生数据泄露响应时，以下哪项不是组织应采取的典型步骤？
Options:
立即通知受影响的个人
评估数据泄露的范围和影响
销毁所有泄露的数据
实施缓解措施以防止进一步的损失
Answer: C
领域/Domain: 安全管理
Question: 以下哪种实践是确保合规性的重要步骤？
Options:
定期进行安全审计
开发复杂的数据加密算法
建立内部员工培训计划
设计新的硬件安全功能
Answer: A
领域/Domain: 安全管理
Question: 在评估钓鱼攻击造成的损失时，以下哪一项通常不被考虑？
Options:
数据泄露的成本
修复受损系统的费用
受害者心理疏导费用
攻击者因犯罪被罚款的金额
Answer: D
领域/Domain: 安全管理
Question: 以下哪项措施不属于应对网络安全事件的应急响应机制？
Options:
定期进行安全审计
立即隔离受影响的系统
在事件发生后立即更新所有软件
制定并执行数据备份策略
Answer: C
领域/Domain: 安全管理
Question: 以下哪种策略是在发生安全事件时，组织用来恢复系统和数据的？
Options:
网络日志监控
恶意软件分析
应急响应策略
防火墙配置
Answer: C
领域/Domain: 安全管理
Question: 以下哪种防范措施最能有效防止钓鱼邮件中的社会工程学攻击？
Options:
安装最新的防病毒软件
定期更新操作系统和应用程序
对所有电子邮件进行加密
训练员工识别和报告可疑的网络行为
Answer: D
领域/Domain: 安全管理
Question: Which of the following is NOT a critical security aspect of Operations Controls?
Options:
Controls over hardware.
Data media used.
Operators using resources.
Environmental controls.
Answer: D
领域/Domain: 安全管理
Question: 在应对网络安全事件时，哪种策略涉及组织内部的快速响应和恢复计划？
Options:
入侵模式识别
网络流量分析
防火墙技术
应急响应策略
Answer: D
领域/Domain: 安全管理
Question: 在部署安全更新时，以下哪种策略最能确保业务连续性？
Options:
立即全网更新，无需测试
在非工作时间进行更新
仅更新部分系统，观察效果
先进行详尽的测试，然后分阶段部署
Answer: D
领域/Domain: 安全管理
Question: 在识别钓鱼邮件时，以下哪种行为最能帮助用户避免被欺骗？
Options:
仅查看邮件的发件人姓名，而不查看电子邮件地址
信任任何来自银行的紧急请求，立即按照邮件指示操作
检查邮件中的语法和拼写错误，以及不寻常的请求
依赖邮件中的链接颜色来判断其安全性
Answer: C
领域/Domain: 安全管理
Question: 在应对网络安全事件时，以下哪个步骤是首先应该执行的？
Options:
立即安装安全补丁以修复已知漏洞
执行威胁评估以确定风险级别
启动灾后恢复计划以恢复服务
进行漏洞扫描以识别系统中的弱点
Answer: B
领域/Domain: 安全管理
Question: 日志分析在安全领域中的主要作用是什么？
Options:
预测未来攻击
实时阻断入侵
追溯攻击源和事件历史
防止数据泄露
Answer: C
领域/Domain: 安全管理
Question: 在权限转移攻击中，攻击者通常试图：
Options:
从低权限账户获取管理员权限
在多个系统之间移动，不被检测
利用已知漏洞获取未授权的网络访问
在受害者的设备上隐藏其活动痕迹
Answer: A
领域/Domain: 安全管理
Question: 在执行灾难恢复计划时，以下哪项不是关键考虑因素？
Options:
恢复时间目标（RTO）
恢复点目标（RPO）
备份数据的加密强度
业务影响分析（BIA）
Answer: C
领域/Domain: 安全管理
Question: 在进行渗透测试时，以下哪项行为违反了网络安全法规和道德规范？
Options:
在客户授权下，模拟黑客攻击以测试系统的脆弱性
发现漏洞后，立即公开披露以提醒公众
测试结束后，向客户报告所有发现的漏洞和建议的修复措施
未经许可，访问并尝试利用系统中的敏感信息
Answer: D
领域/Domain: 安全管理
Question: 信息系统未能满足用户需求的最常见原因是：
Options:
用户需求不断变化。
未能准确预测系统需求的增长。
硬件系统限制并发用户数。
用户参与定义系统要求的程度不够。
Answer: D
领域/Domain: 安全管理
Question: 在执行风险评估时，以下哪项不是评估数据安全风险的关键步骤？
Options:
识别潜在威胁和脆弱性
确定资产的价值
实施加密技术以消除所有风险
评估威胁发生的可能性和影响
Answer: C
领域/Domain: 安全管理
Question: 在网络安全合规管理中，以下哪项措施最有助于确保组织遵守相关法律法规？
Options:
定期进行内部审计
仅依赖外部顾问的建议
不定期进行合规性检查
完全依赖自动化的合规工具
Answer: A
领域/Domain: 安全管理
Question: 以下哪种做法是应用补丁更新的最佳实践？
Options:
立即应用所有可用的补丁，无需测试
在生产环境中延迟应用补丁以避免中断
在测试环境中先测试补丁，然后在预定的时间窗口内部署
只关注高优先级的补丁，忽略低优先级的更新
Answer: C
领域/Domain: 安全管理
Question: 在审计实践中，以下哪项措施最有助于确保审计证据的完整性？
Options:
定期备份审计日志
限制审计人员的访问权限
使用加密技术保护审计数据
实施严格的审计证据收集流程
Answer: D
领域/Domain: 安全管理
Question: 以下哪种风险评估方法最适合用于确定资产的价值和潜在损失？
Options:
定性风险评估
定量风险评估
基于威胁的风险评估
基于漏洞的风险评估
Answer: B
领域/Domain: 安全管理
Question: 在安全策略实施中，以下哪项不是有效的应急响应计划组成部分？
Options:
识别和隔离受影响的系统
立即恢复所有受影响的服务
收集和保存证据以备后续的取证分析
制定沟通策略，通知相关方
Answer: B
领域/Domain: 安全管理
Question: To help review or design security controls, they can be  classified by several criteria . One of these criteria is based on their  nature. According to
this criterion, which of the following controls consists of incident  response processes, management oversight, security awareness, and  training?
Options:
Compliance control
Physical control
Procedural control
Technical control
Answer: C
领域/Domain: 安全管理
Question: 在应对重大突发事件时，哪种沟通策略通常被视为最有效？
Options:
仅由政府官员发布信息
延迟发布信息，以免引起恐慌
及时、透明且一致的信息传递
仅依赖社交媒体进行信息公开
Answer: C
领域/Domain: 安全管理
Question: 灾难恢复计划中，以下哪一项是确保业务连续性的关键组成部分？
Options:
数据备份
应急响应团队
备用数据中心
业务影响分析（BIA）
Answer: D
领域/Domain: 安全管理
Question: 在恢复力培养中，哪一项措施有助于个人在遭受钓鱼攻击后减少损失？
Options:
定期备份重要数据
使用复杂的密码并定期更换
启用设备的自动锁定功能
立即更改怀疑已被泄露的账户密码
Answer: D
领域/Domain: 安全管理
Question: 从长期看，以下哪项对改善安全事故响应流程最具有潜力？
Options:
对事故响应流程执行浏览审查。
由事故响应团队执行模拟演练。
不断地对用户进行安全培训。
记录对事故的响应。
Answer: B
领域/Domain: 安全管理
Question: 以下哪种风险可能是由软件项目的基准指标不充分引起的？
Options:
签字延迟。
违反软件完整性。
范围偏离。
控制不充分。
Answer: C
领域/Domain: 安全管理
Question: 识别钓鱼邮件的一个关键技巧是检查什么？
Options:
邮件中的拼写和语法是否完美无误
发件人的电子邮件地址是否与官方地址一致
邮件是否包含紧急或威胁性的语言
邮件是否包含来自知名品牌的优惠券或礼品
Answer: B
领域/Domain: 安全管理
Question: 在应对网络攻击时，哪种策略通常用于在发现攻击后迅速恢复系统正常运行？
Options:
入侵模式识别
防火墙技术
日志分析
应急响应策略
Answer: D
领域/Domain: 安全管理
Question: 在防范钓鱼攻击时，以下哪项是最佳做法？
Options:
仅在使用公共计算机时进行网上购物
在收到紧急请求时立即更新账户信息
安装最新的操作系统和浏览器补丁
在未经验证的网站上输入信用卡信息
Answer: C
领域/Domain: 安全管理
Question: What is the MOST important step in business continuity planning?
Options:
Risk Assessment
Due Care
Business Impact Analysis (BIA)
Due Diligence
Answer: C
领域/Domain: 安全管理
Question: 在异常行为检测中，以下哪种技术通常用于识别潜在的安全威胁？
Options:
数据加密
行为分析
网络扫描
端口映射
Answer: B
领域/Domain: 安全管理
Question: 在安全事件响应中，以下哪个阶段是确定事件的性质、范围和影响的关键步骤？
Options:
预防阶段
检测阶段
遏制阶段
根除阶段
Answer: B
领域/Domain: 安全管理
Question: 在确定信息资产的适当保护等级时，IS审计师应当主要关注以下哪一个因素？
Options:
风险评估的结果
对业务的相对价值
漏洞评估的结果
安全控制的成本
Answer: A
领域/Domain: 安全管理
Question: 根据网络安全风险管理策略，以下哪项不是风险评估的组成部分？
Options:
威胁识别
漏洞分析
业务影响分析
安全设备性能监控
Answer: D
领域/Domain: 安全管理
Question: 在安全事件响应流程中，哪个阶段涉及确定事件的类别、严重性和影响范围？
Options:
预警与检测
事件分类
遏制与恢复
应急响应团队的沟通协调
Answer: B
领域/Domain: 安全管理
Question: 以下哪一项可确保发生灾难时交易的可用性？
Options:
每隔一小时将含有交易的磁带发送到异地。
每天将含有交易的磁带发送到异地。
将交易保存到多个存储设备。
将交易实时传输到异地。
Answer: D
领域/Domain: 安全管理
Question: 以下哪项不是有效的应急计划应包含的内容？
Options:
角色和责任的明确分配
详细的危机情景描述
预测危机发生的具体时间
危机响应和恢复的步骤
Answer: C
领域/Domain: 应用安全
Question: 以下哪种措施最有效地防止跨站请求伪造（CSRF）攻击？
Options:
实施双重身份验证
在每个敏感操作中使用一次性令牌
对用户输入进行严格的过滤和转义
限制同一IP地址的请求频率
Answer: B
领域/Domain: 应用安全
Question: 在威胁建模过程中，识别邮件系统的威胁时，以下哪项威胁不是主要关注点？
Options:
钓鱼攻击
中间人攻击
拒绝服务攻击
SQL注入攻击
Answer: D
领域/Domain: 应用安全
Question: 以下哪种做法可以防止邮件服务器成为僵尸网络的一部分？
Options:
关闭所有不必要的端口
仅允许内部网络的IP地址发送邮件
定期更新和打补丁邮件服务器软件
在邮件服务器上禁用日志记录
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种技术主要用于获取目标系统的敏感信息，而不是直接利用安全漏洞？
Options:
网络扫描
漏洞利用
密码破解
社会工程学
Answer: D
领域/Domain: 应用安全
Question: 为了防止跨站脚本攻击（XSS），Web应用开发者应该采取以下哪种措施？
Options:
禁用浏览器的JavaScript
对用户输入进行严格的输入验证和转义
使用HTTP基本认证
定期更新服务器软件
Answer: B
领域/Domain: 应用安全
Question: 以下哪种技术可以防止电子邮件内容在传输过程中被第三方窥探，同时确保邮件的来源可验证？
Options:
PGP (Pretty Good Privacy)
SPF (Sender Policy Framework)
DMARC (Domain-based Message Authentication, Reporting & Conformance)
HTTPS
Answer: A
领域/Domain: 应用安全
Question: 关于电子邮件欺诈，以下哪种行为最可能导致用户遭受损失？
Options:
忽略来自不知名发件人的邮件。
在回复工作邮件时，确认发件人的电子邮件地址是否正确。
点击邮件中的链接，即使邮件看起来来自熟悉的公司。
定期更新电子邮件客户端的防病毒定义。
Answer: C
领域/Domain: 应用安全
Question: 以下哪种编码规范可以有效防止跨站脚本（XSS）攻击？
Options:
对所有用户输入进行HTML实体编码
禁用浏览器的JavaScript功能
使用URL编码传输所有数据
限制用户只能输入纯文本
Answer: A
领域/Domain: 应用安全
Question: What is a code review?
Options:
Making sure coders work in parallel to watch each others’ work while  they are coding
Making sure coders’ work has been reviewed by other coders after they  are done
Making sure that the appropriate Q/A harnesses have been applied prior  to check in
Making sure that appropriate Q/A harnesses exist
Answer: B
领域/Domain: 应用安全
Question: 以下哪种做法在安全编程实践中是错误的，可能导致敏感信息泄露？
Options:
在错误消息中显示详细的数据库查询信息
使用HTTPS传输敏感数据
对用户输入进行验证和清理
限制对服务器日志的访问
Answer: A
领域/Domain: 应用安全
Question: Security testing is used to improve the security of software systems, the following description of security testing is incorrect ()
Options:
Black-box testing focuses on the functionality that the program presents to the user
White box testing is a test of how the unit under test works internally
Gray box testing is a test between black box testing and white box testing
Black box testing can completely replace white box testing
Answer: D
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种技术通常用于绕过权限控制系统并获取更高的系统权限？
Options:
社会工程学攻击
权限提升（Privilege Escalation）
网络嗅探（Network Sniffing）
隐蔽通道（Covert Channel）
Answer: B
领域/Domain: 应用安全
Question: 在提出修复建议时，以下哪种做法最不符合渗透测试的专业标准？
Options:
提供具体的修复步骤
推荐使用商业安全产品
建议进行全面的安全培训
忽略小概率事件的修复
Answer: D
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种方法主要用于评估Web应用程序的安全性，通过模拟黑客可能使用的攻击技术来查找漏洞？
Options:
社会工程学
端口扫描
SQL注入
网络嗅探
Answer: C
领域/Domain: 应用安全
Question: 在使用PGP加密邮件时，哪个步骤确保了收件人是邮件的真实接收者？
Options:
生成对称密钥
使用发件人的公钥加密邮件
使用收件人的公钥加密消息认证码
使用发件人的私钥签署邮件
Answer: C
领域/Domain: 应用安全
Question: 在电子邮件安全中，以下哪个协议提供了端到端的加密，同时支持非对称加密和数字签名？
Options:
SMTP（Simple Mail Transfer Protocol）
IMAP（Internet Message Access Protocol）
PGP（Pretty Good Privacy）
POP3（Post Office Protocol version 3）
Answer: C
领域/Domain: 应用安全
Question: 以下哪种异常处理策略在移动端应用中是不推荐的？
Options:
捕获所有异常并记录详细日志，但不向用户显示错误信息
在关键操作中使用try-catch-finally结构
在异常发生时立即终止应用，防止数据泄露
为常见的运行时异常提供适当的错误处理和用户反馈
Answer: C
领域/Domain: 应用安全
Question: 关于恶意代码识别，以下哪种说法是错误的？
Options:
静态分析可以在不执行代码的情况下识别恶意行为
动态分析需要在受控环境中运行可疑代码
启发式扫描依赖于预定义的签名来检测恶意软件
行为分析关注软件执行时的行为模式
Answer: C
领域/Domain: 应用安全
Question: 在威胁建模中，以下哪项威胁最可能导致电子邮件系统中的敏感信息泄露？
Options:
拒绝服务攻击
社会工程学
SQL注入
跨站脚本攻击
Answer: B
领域/Domain: 应用安全
Question: 在移动应用安全审计中，以下哪项技术主要用于检测应用代码中的安全漏洞？
Options:
'渗透测试'
'代码审计'
'漏洞扫描'
'安全加固'
Answer: B
领域/Domain: 应用安全
Question: 在Web应用防护中，哪种技术主要用于检测和阻止恶意代码的注入攻击，如SQL注入或跨站脚本（XSS）？
Options:
防火墙技术
入侵检测系统
内容过滤与扫描
HTTPS加密
Answer: C
领域/Domain: 应用安全
Question: 在分析邮件头以检测钓鱼邮件时，以下哪项信息最能帮助识别潜在的恶意邮件？
Options:
发件人的电子邮件地址与知名公司域名完全一致
邮件发送时间与预期的正常业务通信时间相符
邮件头中的“发件人”字段与“返回路径”字段不一致
邮件内容中包含大量拼写和语法错误
Answer: C
领域/Domain: 应用安全
Question: 以下哪种情况最可能导致iOS应用的动态分析失败？
Options:
应用使用了代码混淆技术
应用运行在越狱设备上
应用使用了安全的网络通信协议
应用依赖了未授权的第三方库
Answer: A
领域/Domain: 应用安全
Question: 以下哪种防病毒策略最适用于防止通过电子邮件传播的恶意软件？
Options:
定期进行全盘扫描
启用邮件附件的自动预览功能
使用邮件过滤机制检查附件和链接
仅依赖操作系统内置的防火墙
Answer: C
领域/Domain: 应用安全
Question: 在Web应用中，哪种身份验证方法最安全，但可能对用户体验造成不便？
Options:
基于口令的身份验证
基于令牌的身份验证
多因素身份验证
基于cookie的身份验证
Answer: C
领域/Domain: 应用安全
Question: 在执行渗透测试时，以下哪项不是隐私保护策略的一部分？
Options:
获取数据主体的同意
匿名化测试数据
在测试报告中公开所有发现的漏洞
遵守数据保护法规
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全框架最专注于Web应用程序的防护，提供输入验证和输出编码功能？
Options:
OWASP ESAPI (Enterprise Security API)
TLS (Transport Layer Security)
OWASP ZAP (Zed Attack Proxy)
SAML (Security Assertion Markup Language)
Answer: A
领域/Domain: 应用安全
Question: 在HTTPS中，哪个协议负责加密电子邮件内容以保护隐私？
Options:
TLS
POP3
IMAP
SMTP
Answer: A
领域/Domain: 应用安全
Question: SQL注入攻击最常见的原因是什么？
Options:
使用了强密码策略
未对用户输入进行适当的验证和转义
使用了最新的数据库版本
使用了HTTPS加密传输
Answer: B
领域/Domain: 应用安全
Question: 以下哪种方法可以防止中间人攻击（Man-in-the-Middle, MITM）在HTTPS连接中？
Options:
检查服务器的SSL证书是否由受信任的证书颁发机构签名
仅使用HTTP连接
忽略浏览器的证书警告
在客户端和服务器之间使用明文传输
Answer: A
领域/Domain: 应用安全
Question: 在机器学习分类算法中，哪种算法常用于垃圾邮件过滤？
Options:
K-最近邻算法
决策树算法
支持向量机算法
随机森林算法
Answer: C
领域/Domain: 应用安全
Question: 在脆弱性分析中，以下哪种情况可能导致严重的安全风险？
Options:
软件定期更新，但不打补丁
系统使用复杂的加密算法
用户数据经过多重身份验证
网络服务只在内部网络上可用
Answer: A
领域/Domain: 应用安全
Question: Web (World Wide Web)也称为（），是一种基于（）和HTTP的互联网上的网络服务，为用户信息浏览提供（（）、易于访问的交互界面，通过超级链接将互联网上的资源组织成相互关联的（）。
Options:
超文本、图形化、万维网、网状结构
万维网、超文本、图形化、网状结构
万维网、图形化、超文本、网状结构
超文本、万维网、图形化、网状结构
Answer: B
领域/Domain: 应用安全
Question: 为了防止电子邮件中的恶意代码，应该用（ ）方式阅读电子邮件。
Options:
纯文本
网页
程序
会话
Answer: A
领域/Domain: 应用安全
Question: 以下哪种安全浏览器使用习惯最不利于防止网络钓鱼攻击？
Options:
不在公共Wi-Fi下进行敏感操作
忽视浏览器显示的不安全警告
定期更新浏览器和操作系统
启用浏览器的内置安全功能，如恶意软件防护
Answer: B
领域/Domain: 应用安全
Question: 在API接口测试中，哪项是评估接口安全的基本要素?
Options:
测试接口的返回速度
检查接口是否能正确返回结果
验证输入的正确性和错误处理机制
验证接口是否存在广告
Answer: C
领域/Domain: 应用安全
Question: 以下哪种做法有助于防止Web应用中的SQL注入攻击？
Options:
实施严格的访问控制列表（ACL）
使用预编译的SQL语句
加密所有网络通信
启用日志记录和审计
Answer: B
领域/Domain: 应用安全
Question: 以下哪项描述了2005年 phishing 攻击事件，导致大量 eBay 用户的个人信息被盗？
Options:
攻击者发送伪造的 eBay 网站更新通知，要求用户更新账户信息，通过恶意链接收集了登录凭据。
黑客利用 eBay 内部系统漏洞，直接从数据库中窃取了用户数据。
攻击者通过社会工程学手段，冒充 eBay 客服人员，电话获取了用户的信用卡信息。
一次针对 eBay 的 DDoS 攻击导致网站瘫痪，期间用户数据被窃取。
Answer: A
领域/Domain: 应用安全
Question: 内容分析在邮件安全中的应用不包括以下哪一项？
Options:
检测邮件中的恶意链接
分析邮件的情感倾向
识别邮件中的敏感词汇
判断邮件是否包含钓鱼攻击
Answer: B
领域/Domain: 应用安全
Question: What technique would you use to prevent understanding of PowerShell scripts that had been logged?
Options:
Encoding
Obfuscation
Rainbow tables
Kerberoasting
Answer: B
领域/Domain: 应用安全
Question: 访问控制列表（ACL）在应用安全中扮演什么角色？
Options:
用于加密数据
用于审计系统日志
定义用户对资源的访问权限
用于管理应用的漏洞
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全测试方法最适合发现应用程序中的逻辑漏洞？
Options:
静态代码分析
动态应用安全测试（DAST）
模糊测试（Fuzzing）
渗透测试
Answer: D
领域/Domain: 应用安全
Question: 在识别网络钓鱼邮件时，以下哪项不是有效的识别技巧？
Options:
检查邮件中的拼写和语法错误
查看发件人地址是否与官方地址一致
立即回复邮件以确认其真实性
警惕要求立即行动或提供个人信息的请求
Answer: C
领域/Domain: 应用安全
Question: 以下哪种技术有助于识别和阻止新的、未知的电子邮件威胁？
Options:
病毒扫描
防火墙技术
邮件过滤机制
威胁情报分析
Answer: D
领域/Domain: 应用安全
Question: 关于虚假链接检测，以下哪项描述是错误的？
Options:
可以通过将鼠标悬停在链接上查看预览地址来检测虚假链接
URL缩短服务可能会隐藏恶意链接，因此应谨慎对待
所有包含附件的链接都可能是钓鱼链接
检查链接中的顶级域名，确保它们与预期的网站匹配
Answer: C
领域/Domain: 应用安全
Question: 过滤算法在反垃圾邮件系统中的主要作用是什么？
Options:
验证邮件发送者身份
分析邮件内容
根据预设规则自动分类邮件，识别并隔离垃圾邮件
提供用户反馈机制
Answer: C
领域/Domain: 应用安全
Question: 在电子邮件安全协议中，以下哪种协议用于确保邮件传输的机密性和完整性？
Options:
SMTP
IMAP
POP3
S/MIME
Answer: D
领域/Domain: 应用安全
Question: 为了保护移动应用中的敏感数据，以下哪种数据加密方法是最常用的？
Options:
对称加密
非对称加密
哈希加密
流加密
Answer: A
领域/Domain: 应用安全
Question: 在渗透测试中，权限管理的哪个方面是防止非授权用户访问敏感数据的关键？
Options:
最小权限原则
多因素认证
数据加密
日志审计
Answer: A
领域/Domain: 应用安全
Question: 在Web应用中，以下哪种数据加密方法最适合保护用户密码？
Options:
对称加密
非对称加密
哈希加密
流密码
Answer: C
领域/Domain: 应用安全
Question: 在进行输入过滤时，以下哪种方法可以有效防止跨站脚本（XSS）攻击？
Options:
对用户输入进行HTML编码
使用正则表达式验证输入
限制输入的长度
将输入转换为大写或小写
Answer: A
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种技术用于检测数据是否被篡改？
Options:
对称加密
非对称加密
哈希函数
密钥交换协议
Answer: C
领域/Domain: 应用安全
Question: 下列哪项是钓鱼网站的典型特征？
Options:
提供官方认证的SSL证书
要求用户输入详细的个人信息
网址与官方网站完全一致
提供用户反馈和支持服务
Answer: B
领域/Domain: 应用安全
Question: The following options are not part of the cookie's role ()
Options:
Cookies are
Solve http protocol no connection no state problem
Beautify the web page
Identify users for session tracking
Answer: C
领域/Domain: 应用安全
Question: 以下哪种做法对于防止邮件服务器成为垃圾邮件中转站是无效的？
Options:
定期更新邮件服务器软件
禁用SMTP的匿名发送
仅允许内部网络的邮件发送
依赖单一的反垃圾邮件解决方案
Answer: D
领域/Domain: 应用安全
Question: 在模拟攻击过程中，以下哪种行为通常不被认为是合法的渗透测试活动？
Options:
尝试绕过身份验证机制
在未经授权的情况下访问敏感数据
利用已知漏洞进行测试
记录测试过程中的所有活动
Answer: B
领域/Domain: 应用安全
Question: 在进行渗透测试时，以下哪项行为违反了道德准则和法律合规？
Options:
在客户授权的环境中进行测试
测试结束后，不保留任何后门或恶意软件
公开披露未修复的安全漏洞
在测试过程中，确保不影响正常业务运营
Answer: C
领域/Domain: 应用安全
Question: 哪种XSS攻击类型允许攻击者将恶意脚本注入到被信任的网站的会话中，通常通过诱使用户点击链接？
Options:
存储型XSS
反射型XSS
DOM型XSS
基于cookie的XSS
Answer: B
领域/Domain: 应用安全
Question: 哪种防范策略对于防止恶意软件通过应用商店传播最有效？
Options:
定期更新操作系统
用户行为分析
应用签名验证
端点安全软件安装
Answer: C
领域/Domain: 应用安全
Question: The REST API is a widely used standard for communications of web-based services between clients and the servers hosting them.Which protocol does the REST API depend on?
Options:
HTTP
SSH
SAML
XML
Answer: A
领域/Domain: 应用安全
Question: 在设计一个应用时，以下哪种做法最能体现数据收集限制的原则？
Options:
收集尽可能多的用户信息以优化用户体验
只收集实现应用功能所必需的最少数据
默认情况下收集所有数据，但允许用户在设置中选择退出
在用户同意的情况下，定期更新和扩展收集的数据
Answer: B
领域/Domain: 应用安全
Question: 以下哪种技术主要用于检测和防止钓鱼网站的欺诈行为？
Options:
反病毒扫描
URL信誉评估
代码静态分析
端口扫描
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试中，哪种威胁建模方法最适用于识别应用程序的潜在攻击面？
Options:
STRIDE（Spoofing, Tampering, Repudiation, Information disclosure, Denial of Service, Elevation of privilege）
DREAD（Damage, Reproducibility, Exploitability, Affected users, Discoverability）
OWASP Top 10
VulnDB（漏洞数据库）
Answer: A
领域/Domain: 应用安全
Question: 在渗透测试的权限提升阶段，测试者的目标是什么？
Options:
发现系统中的所有漏洞
确定测试目标的范围和边界
提升测试者的系统权限至最高级别
编写详细的测试报告
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试的早期阶段，以下哪项活动通常首先进行，以了解目标网络的开放端口和服务？
Options:
服务识别
操作系统识别
漏洞扫描
端口扫描
Answer: D
领域/Domain: 应用安全
Question: 跨站脚本（XSS）攻击主要影响的是Web应用程序的哪个方面？
Options:
服务器端逻辑
客户端脚本执行
数据库完整性
网络传输安全
Answer: B
领域/Domain: 应用安全
Question: 以下哪种安全框架可以帮助开发者在Java应用中实现安全编码？
Options:
Spring Security
OWASP ZAP
Nessus
Metasploit
Answer: A
领域/Domain: 应用安全
Question: 在成功渗透目标系统后，以下哪项操作通常用于获取更高级别的系统权限？
Options:
信息收集
漏洞扫描
权限提升
后渗透操作
Answer: C
领域/Domain: 应用安全
Question: 下列哪一项是常见web站点脆弱性扫描工具：
Options:
AppScan
Nmap
Sniffer
LC
Answer: A
领域/Domain: 应用安全
Question: Web应用程序中，如果一个功能允许用户上传文件，但没有进行适当的验证和过滤，可能会导致哪种类型的漏洞？
Options:
SQL注入
跨站脚本(XSS)
文件包含漏洞
权限漏洞
Answer: C
领域/Domain: 应用安全
Question: 在访问网站时，以下哪种行为可以提高对钓鱼网站的识别能力？
Options:
仅依赖搜索引擎的推荐
检查网站的SSL证书
使用公共Wi-Fi进行敏感操作
点击邮件中的未知链接
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种技术通常用于通过社会工程学攻击获取更高的系统权限？
Options:
利用软件漏洞执行代码
发送钓鱼邮件获取凭据
分析网络流量以找到漏洞
安装恶意软件进行远程监控
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种策略最适合测试Web应用程序的安全性？
Options:
端口扫描，识别开放的服务
SQL注入，测试数据库漏洞
端点安全分析，检查网络边界防护
物理安全评估，检查数据中心防护
Answer: B
领域/Domain: 应用安全
Question: 在模拟攻击时，如果发现一个系统存在缓冲区溢出漏洞，以下哪种渗透技巧可以用来利用这个漏洞？
Options:
社会工程学
SQL注入
构造恶意的shellcode
病毒传播
Answer: C
领域/Domain: 应用安全
Question: 在反垃圾邮件策略中，以下哪种方法是通过分析邮件内容来识别和过滤垃圾邮件的？
Options:
邮件认证技术
用户反馈机制
过滤算法
内容分析技术
Answer: D
领域/Domain: 应用安全
Question: 在安全测试报告中，以下哪项不是报告结构的必要组成部分？
Options:
漏洞概述
测试方法描述
漏洞修复建议
用户满意度调查
Answer: D
领域/Domain: 应用安全
Question: 在移动应用程序的安全加固措施中，以下哪项是防止应用程序被逆向工程的有效方法？
Options:
使用混淆技术
增加应用程序的体积
减少应用程序的功能
提高应用程序的运行速度
Answer: A
领域/Domain: 应用安全
Question: 在电子邮件服务器中，哪种日志记录策略有助于检测潜在的入侵尝试？
Options:
仅记录成功发送的邮件
记录所有尝试的SMTP连接，无论成功与否
记录服务器的硬件状态
记录用户登录成功的事件
Answer: B
领域/Domain: 应用安全
Question: 以下哪种攻击案例展示了社会工程学在钓鱼攻击中的应用？
Options:
通过伪装成IT支持发送恶意附件
利用SQL注入漏洞获取用户数据
通过DDoS攻击瘫痪网站
利用零日漏洞入侵操作系统
Answer: A
领域/Domain: 应用安全
Question: Application layer is the highest layer of the TCP/IP system, the same application layer protocol implementation varies greatly, according to their respective characteristics have their own security issues. The following are application layer security risks ()
Options:
Identity authentication is simple, usually using user name and login password for authentication or anonymous method, facing the threat of password cracking, identity forgery and other attacks.
Transmission of data using plaintext, due to the lack of security considerations in the design of the application layer protocols, usually use plaintext to transmit data, which leads to a series of problems such as data leakage, data forgery, etc., for example, plus an attacker may obtain sensitive information in transmission through sniffing and other means.
Lack of data integrity protection and the resulting problems of data corruption, tampering, etc., example attackers can change the data submitted by users to commit fraud.
All of the above is true for
Answer: D
领域/Domain: 应用安全
Question: 在电子邮件安全中，以下哪种协议用于在邮件客户端和邮件服务器之间安全地传输邮件？
Options:
PGP
S\\/MIME
POP3
IMAP over TLS\\/SSL
Answer: D
领域/Domain: 应用安全
Question: 以下哪种技术可以用于检测和阻止含有恶意附件的电子邮件？
Options:
SMTP协议的扩展
内容分析
IP地址信誉系统
强制使用HTTPS
Answer: B
领域/Domain: 应用安全
Question: 以下哪种情况最有可能是网络欺诈的迹象？
Options:
收到一封来自银行的电子邮件，要求立即更新个人信息
在知名电子商务网站上购物并使用信用卡支付
在安全的HTTPS连接下填写在线表单
收到一封带有个人化信息的电子邮件，内容是关于未结订单
Answer: A
领域/Domain: 应用安全
Question: 在SMTP服务中，以下哪种做法能有效提高邮件通信的安全性？
Options:
永久禁用所有的SMTP服务
对邮件报头中的敏感字段进行实时监控
允许用户在邮件报头中插入任意内容
允许用户自定义SMTP服务器
Answer: B
领域/Domain: 应用安全
Question: 以下哪种防御措施可以减少SQL注入攻击的影响，但不是直接防止它？
Options:
使用存储过程
对用户输入进行转义和清理
实施错误处理，隐藏数据库错误信息
限制数据库账户的网络访问
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种技术用于尝试利用软件中的已知漏洞来获取系统权限？
Options:
网络扫描
权限提升
漏洞利用
密码破解
Answer: C
领域/Domain: 应用安全
Question: 在进行Web应用的渗透测试时，以下哪项不是渗透测试的主要目标？
Options:
发现并利用安全漏洞
评估系统的安全性能
提高应用的用户体验
确保合规性
Answer: C
领域/Domain: 应用安全
Question: 在漏洞评估过程中，以下哪项不是常见的任务？
Options:
识别软件的已知漏洞
评估漏洞的严重性和影响
制定缓解策略
实施补丁以修复漏洞
Answer: D
领域/Domain: 应用安全
Question: Sending a large number of e-mails to a recipient's e-mail address, consuming the recipient's mailbox space, and eventually being unable to receive new e-mails due to lack of space, resulting in the loss or return of e-mails sent by other users, is a power strike that ()
Options:
mail address spoofing
password burst
mail virus
mail bomb
Answer: D
领域/Domain: 应用安全
Question: 在进行移动应用安全测试时，以下哪项不是常见的安全漏洞？
Options:
不安全的通信
未加密的数据存储
代码混淆
不安全的认证
Answer: C
领域/Domain: 应用安全
Question: 以下哪种漏洞分类通常涉及Web应用程序中的认证和授权问题？
Options:
注入漏洞
跨站脚本（XSS）
权限和访问控制漏洞
不安全的直接对象引用
Answer: C
领域/Domain: 应用安全
Question: 在WEB安全测试中，GraphQL的安全问题可能来自哪里？
Options:
服务端数据缓存
SSL\\/TLS 证书
未授权或不足权限的请求访问敏感数据
停电或硬件故障
Answer: C
领域/Domain: 应用安全
Question: 以下哪项是电子邮件服务的隐私政策中通常会包含的内容？
Options:
服务费用和支付方式
数据保留和删除政策
服务器硬件配置
第三方广告商的详细信息
Answer: B
领域/Domain: 应用安全
Question: 以下哪种行为可以降低用户收到恶意邮件的风险？
Options:
定期打开未知来源的邮件
在不安全的公共Wi-Fi下查看邮件
不点击邮件中的可疑链接或下载未知附件
使用简单的密码保护邮箱
Answer: C
领域/Domain: 应用安全
Question: 在移动应用安全中，以下哪种技术主要用于防止逆向工程和代码篡改？
Options:
代码混淆
数据加密
权限控制
漏洞扫描
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术可以防止中间人攻击，确保Web通信的隐私？
Options:
SSL\/TLS协议
入侵检测系统
反病毒软件
Web应用防火墙
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术可以防止Web服务器上的敏感数据（如信用卡号）在传输过程中被窃取？
Options:
Web应用防火墙
数据脱敏
HTTPS加密
入侵预防系统
Answer: C
领域/Domain: 应用安全
Question: 以下哪种行为是确保应用安全的长期策略？
Options:
定期进行渗透测试
仅在发现漏洞后更新代码
依赖单一的安全工具
在开发后期添加安全检查
Answer: A
领域/Domain: 应用安全
Question: 在编写防御CSRF攻击的代码时，以下哪个步骤是错误的？
Options:
在每个请求中验证HTTP Referer头
在服务器端生成一个唯一的CSRF令牌，并将其嵌入到表单中
在客户端生成CSRF令牌，并将其发送到服务器进行验证
在服务器端验证表单提交中的CSRF令牌是否与用户的会话令牌匹配
Answer: C
领域/Domain: 应用安全
Question: 在进行安全的代码审查时，以下哪项不是其主要目标？
Options:
发现潜在的安全漏洞
提高代码的可读性和可维护性
确保所有代码都通过了单元测试
降低代码的执行效率以增加安全性
Answer: D
领域/Domain: 应用安全
Question: 在Web应用中，以下哪种错误处理方法是不安全的？
Options:
捕获并记录错误，但不向用户显示详细错误信息
向用户显示详细的堆栈跟踪信息
使用自定义错误页面来提供有限的错误信息
在生产环境中禁用详细的错误报告
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试报告中，哪一步骤通常会建议优先修复高风险漏洞，因为它们对系统安全构成最大威胁？
Options:
测试结果的优先级排序
测试环境的设置
测试目标的定义
报告的分发和沟通
Answer: A
领域/Domain: 应用安全
Question: 在邮件系统中，哪种安全措施可以防止恶意软件通过附件传播？
Options:
禁止所有附件
使用内容过滤器扫描附件
仅允许特定类型的附件
强制用户在预览模式下查看附件
Answer: B
领域/Domain: 应用安全
Question: 在配置Web应用防火墙（WAF）时，以下哪项措施主要用于防止跨站脚本（XSS）攻击？
Options:
启用DDoS攻击防御模式
实施内容过滤，检查输出中的HTML标签
设置严格的会话管理策略
启用SQL注入防护模式
Answer: B
领域/Domain: 应用安全
Question: 在移动应用安全分析中，以下哪种方法最直接地帮助检测潜在的恶意代码或漏洞？
Options:
静态代码分析
用户反馈分析
性能监控
网络流量监控
Answer: A
领域/Domain: 应用安全
Question: 在进行移动应用安全测试时，以下哪种工具可以帮助自动化发现应用中的安全漏洞？
Options:
Wireshark
Burp Suite
IDA Pro
GDB
Answer: B
领域/Domain: 应用安全
Question: 在防范万能密码SQL注入的过程中，开发者应注意避免什么情况？
Options:
用户密码过于复杂
在用户输入中使用预编译的SQL语句
在数据库中使用哈希函数存储密码
在验证登录信息时，代码逻辑允许一组特定的输入绕过密码匹配检查
Answer: D
领域/Domain: 应用安全
Question: 在SMTP邮件传输过程中，哪个步骤可以确保邮件在服务器之间传输时的安全性？
Options:
使用PGP签名
启动TLS会话
应用邮件过滤规则
验证邮件头信息
Answer: B
领域/Domain: 应用安全
Question: 哪种技术主要用于防止病毒通过电子邮件传播？
Options:
行为分析
内容过滤
网络入侵检测系统
深度包检查
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试中，使用Nmap工具的主要目的是什么？
Options:
进行密码破解
执行漏洞利用
网络映射和端口扫描
数据包嗅探
Answer: C
领域/Domain: 应用安全
Question: 以下哪个是钓鱼攻击的常见识别技巧？
Options:
检查邮件中的拼写和语法错误
立即点击邮件中的链接以验证其真实性
信任任何声称紧急情况并要求立即行动的邮件
仅关注邮件的发件人名称，而不查看邮件地址
Answer: A
领域/Domain: 应用安全
Question: 在Web应用中，以下哪种攻击方式是通过发送大量请求导致服务器资源耗尽，从而使正常用户无法访问？
Options:
SQL注入攻击
跨站脚本攻击
分布式拒绝服务攻击
跨站请求伪造攻击
Answer: C
领域/Domain: 应用安全
Question: 在邮件服务器的安全配置中，哪种措施可以防止未经授权的用户访问邮件服务器并保护用户数据？
Options:
启用SSL\/TLS加密
设置强大的访问控制列表
启用垃圾邮件过滤
实施SPF记录
Answer: B
领域/Domain: 应用安全
Question: 在移动应用安全测试中，以下哪种方法最直接地帮助检测应用中的漏洞扫描问题？
Options:
静态代码分析
用户反馈分析
性能压力测试
用户体验调查
Answer: A
领域/Domain: 应用安全
Question: In the testing phase of the software development lifecycle (SDLC), software performanceand should both be reviewed.
Options:
Quality
Brevity
Requirements
Security
Answer: D
领域/Domain: 应用安全
Question: 在渗透测试的信息收集阶段，以下哪项活动不属于测试人员的常规操作？
Options:
使用Whois查询获取域名注册信息
通过社交媒体收集目标组织的人员信息
尝试登录目标系统的管理界面
分析目标网站的robots.txt文件
Answer: C
领域/Domain: 应用安全
Question: Steve has found out that the software product that his team  submitted for evaluation did not achieve the actual rating they were hoping  for. He was confused about this issue since the software passed the necessary  certification and accreditation processes before being deployed. Steve was  told that the system allows for unauthorized device drivers to be loaded and  that there was a key sequence that could be used to bypass the software  access control protection mechanisms. Some feedback Steve received from the  product testers is that it should implement address space layout  randomization and data execution protection.Which of the following best describes some of the issues that the  evaluation testers most likely ran into while testing the submitted  product?
Options:
Nonprotected ROM sections
Vulnerabilities that allowed malicious code to execute in protected  memory sections
Lack of a predefined and implemented trusted computing base
Lack of a predefined and implemented security kernel
Answer: B
领域/Domain: 应用安全
Question: 在移动应用审核过程中，以下哪项不是合规标准的要求？
Options:
应用必须遵循最小权限原则
应用必须提供用户数据导出功能
应用必须通过安全漏洞扫描
应用必须有明确的隐私政策
Answer: B
领域/Domain: 应用安全
Question: 在进行漏洞评估时，以下哪种方法最有助于确定漏洞的严重性？
Options:
基于漏洞的发现时间进行排序
根据漏洞的普遍性进行评估
结合漏洞的潜在影响和被利用的难易程度进行评估
仅根据漏洞的类型进行分类
Answer: C
领域/Domain: 应用安全
Question: DMARC（Domain-based Message Authentication, Reporting & Conformance）协议的主要作用是什么？
Options:
提供端到端的邮件加密
防止邮件被垃圾邮件过滤器拦截
增强SPF和DKIM的策略执行
管理邮件服务器
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全协议最常用于保护电子邮件的传输，确保其隐私和完整性？
Options:
POP3
IMAP4
TLS (Transport Layer Security)
HTTP
Answer: C
领域/Domain: 应用安全
Question: 为了防御SQL注入攻击，以下哪种编程实践是推荐的？
Options:
使用动态SQL语句
将用户输入直接拼接到SQL查询中
使用预编译语句和参数化查询
忽略用户输入的特殊字符
Answer: C
领域/Domain: 应用安全
Question: 在处理用户输入时，以下哪种错误处理策略可能导致安全漏洞？
Options:
忽略输入验证错误并继续执行程序
显示自定义错误消息，但不透露系统详细信息
记录详细的错误日志，但不在用户界面显示
在遇到错误时立即终止程序并提供清晰的错误信息
Answer: A
领域/Domain: 应用安全
Question: 在移动应用安全防护中，以下哪种加密算法通常用于保护用户数据的传输安全？
Options:
MD5
SHA-1
AES
Blowfish
Answer: C
领域/Domain: 应用安全
Question: How is interface testing different from misuse case testing?
Options:
Interface testing is intended to determine correct function, whereas misuse case testing is intended to determine error conditions.
Interface testing is intended to determine usability, whereas misuse case testing is intended to determine when misuse has occurred.
Interface testing and misuse case testing are essentially the same.
Interface testing is intended to determine correct function, whereas misuse case testing is intended to determine if an error condition could be problematic.
Answer: D
领域/Domain: 应用安全
Question: XSS攻击的主要目的是什么？
Options:
窃取数据库中的数据
篡改网页内容
消耗服务器资源
提升网站的搜索引擎排名
Answer: B
领域/Domain: 应用安全
Question: 以下哪个真实案例是钓鱼攻击的实例？
Options:
Equifax 数据泄露，因软件漏洞导致大量个人信息被盗
Google Docs 仿冒事件，用户收到看似来自朋友的共享文档请求
WannaCry 勒索软件攻击，利用了 NSA 的漏洞
Target 零售店的 POS 系统被恶意软件感染
Answer: B
领域/Domain: 应用安全
Question: 在进行CSRF防御时，以下哪种策略是不推荐的？
Options:
使用验证码
使用SameSite属性
使用Referer检查
使用自定义HTTP头
Answer: C
领域/Domain: 应用安全
Question: Why do buffer overows happen? What is the main cause?
Options:
Because buffers can only hold so much data
Because of improper parameter checking within the application
Because they are an easy weakness to exploit
Because of insucient system memory
Answer: B
领域/Domain: 应用安全
Question: 以下哪种技术可以确保电子邮件的发送者身份真实，防止伪造？
Options:
SMTP安全
POP3安全增强
数字签名
邮件加密
Answer: C
领域/Domain: 应用安全
Question: 在编写渗透测试报告时，以下哪种风险评估方法最常用于确定漏洞的严重性？
Options:
定性分析
定量分析
混合分析
历史数据分析
Answer: A
领域/Domain: 应用安全
Question: 以下哪种措施可以有效防止HTTPS中间人攻击？
Options:
启用服务器端的HTTP Strict Transport Security (HSTS)
定期更新服务器的防火墙规则
在客户端实施访问控制策略
禁用服务器的SSL\\/TLS版本协商
Answer: A
领域/Domain: 应用安全
Question: 使用白盒测试时，确定测试数据应根据（）指定覆盖准则。
Options:
程序的内部逻辑
程序的复杂程度
使用说明书
程序的功能
Answer: A
领域/Domain: 应用安全
Question: 在Web应用的身份认证过程中，以下哪种方法最能够有效防止会话劫持攻击？
Options:
使用静态的会话标识符
在URL中传递会话标识符
定期更新会话标识符
不使用HTTPS协议
Answer: C
领域/Domain: 应用安全
Question: 在代码审查过程中，以下哪项不是确保智能合约安全的关键步骤？
Options:
手动代码审查以发现潜在漏洞
使用自动化工具进行静态分析
模拟攻击以测试合约的防御机制
仅依赖开源审计报告而不进行自审
Answer: D
领域/Domain: 应用安全
Question: 在编写渗透测试报告时，以下哪项内容是不适宜包含的，因为它可能违反道德和法律合规性？
Options:
详细漏洞分析，包括利用步骤和修复建议
受测系统的敏感数据样本，如用户信息或财务记录
测试过程中发现的安全漏洞列表
对安全控制不足的批评和改进建议
Answer: B
领域/Domain: 应用安全
Question: 在移动应用安全审计中，以下哪种技术主要用于检测潜在的恶意代码和安全漏洞？
Options:
静态代码分析
动态流量监测
用户行为分析
访问控制列表检查
Answer: A
领域/Domain: 应用安全
Question: 在识别钓鱼邮件时，以下哪个特征可能是可疑的？
Options:
发件人地址与官方域名完全一致
邮件中包含拼写和语法错误
邮件内容与用户预期的业务通信相符
邮件中的链接直接指向知名的网站
Answer: B
领域/Domain: 应用安全
Question: Many hacking attacks exploit buffer overflow vulnerabilities in software implementations, and the most reliable solution to this threat is ()
Options:
Installation of lDS
Installation of firewalls
Installation of anti-virus software
Install the latest patch for your system
Answer: D
领域/Domain: 应用安全
Question: 移动应用钓鱼攻击通常如何进行？
Options:
通过模仿流行应用的界面，诱导用户下载并安装恶意应用
在应用商店中直接上传恶意应用
通过短信发送含有恶意链接的短消息
在公共电脑上安装键盘记录器
Answer: A
领域/Domain: 应用安全
Question: With the popular use of instant messaging software, instant messaging software is also used by malicious code to spread, which of the following features is not a way for malicious code to spread using instant messaging ()
Options:
Send executable files with malicious code using instant messaging software's file transfer function
Using instant messaging software to send URLs to malicious web pages
Using instant messaging software to send QR codes pointing to malicious addresses
Send txt documents with malicious code using instant messaging
Answer: D
领域/Domain: 应用安全
Question: 在移动应用的安全模型中，以下哪项不是常见的安全控制措施？
Options:
访问控制列表（ACL）
数据加密
应用沙盒
用户界面自定义
Answer: D
领域/Domain: 应用安全
Question: 以下哪种识别技巧可以帮助用户识别虚假网站？
Options:
检查URL中的拼写和标点
仅信任使用顶级域名'.gov'的网站
相信任何显示安全锁图标和'HTTPS'的网站
依赖于网站的视觉设计和品牌一致性
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术用于在Web应用中安全地验证用户身份并管理会话，同时不将敏感信息如密码发送到服务器？
Options:
哈希与盐值
OAuth2.0授权框架
JWT（JSON Web Tokens）
SSL\\/TLS证书
Answer: C
领域/Domain: 应用安全
Question: 在Web应用开发中，以下哪种方法最有效地防止SQL注入攻击？
Options:
使用预编译的SQL语句，并使用参数化查询
对所有用户输入进行HTML编码
在服务器上启用额外的防火墙层
定期进行代码审查，查找不安全的代码模式
Answer: A
领域/Domain: 应用安全
Question: 以下哪种安全防护策略可以防止权限绕过攻击？
Options:
实施多因素认证
对所有用户输入进行严格的输入验证
定期更新和打补丁以修复已知漏洞
限制对敏感资源的访问，仅允许特定角色的用户访问
Answer: D
领域/Domain: 应用安全
Question: 以下哪种代码注入攻击是通过修改函数调用参数来执行恶意代码的？
Options:
SQL注入
XSS（跨站脚本）
命令注入
参数注入
Answer: D
领域/Domain: 应用安全
Question: 软件产品的可靠度并不取决于（ ）
Options:
潜在错误的数量
潜在错误的位置
软件产品的使用方法
软件产品的开发方式
Answer: D
领域/Domain: 应用安全
Question: 以下哪种情况是钓鱼攻击案例的典型特征？
Options:
攻击者通过电话联系受害者，要求提供银行账户信息。
攻击者通过物理手段窃取受害者的电脑。
攻击者在受害者的电脑上安装键盘记录器。
攻击者在公共WiFi网络中拦截数据包。
Answer: A
领域/Domain: 应用安全
Question: 以下哪种技术用于确保电子邮件的隐私，通过加密内容防止非授权的访问？
Options:
公钥加密
私钥解密
SSL\\/TLS协议
HTTP
Answer: A
领域/Domain: 应用安全
Question: Which of the following is a mobile Internet security threat ()
Options:
Business level: illegal business access, illegal data access, denial-of-service attacks, proliferation of spam, dissemination of undesirable information, leakage of personal privacy and sensitive information, content copyright theft and unreasonable use.
Network level: Illegal eavesdropping on access networks, user identity impersonation, abusive use of bandwidth by servers, destruction of data and information integrity, unauthorized positioning, etc.
Terminal level: viruses, Trojans, worms, phishing, identity impersonation, DDOS attacks, privacy theft, unauthorized use of resources, remote control, etc.
All of the above
Answer: D
领域/Domain: 应用安全
Question: 以下哪种应用程序安全实践有助于防止网络通信被中间人攻击？
Options:
使用HTTPS进行通信
实施双因素认证
对用户输入进行过滤
定期备份数据
Answer: A
领域/Domain: 应用安全
Question: 在恶意软件分析中，以下哪种技术用于动态分析恶意软件的行为？
Options:
反编译
沙箱环境
哈希值比对
静态代码分析
Answer: B
领域/Domain: 应用安全
Question: 以下哪种技术最常用于伪装成合法网站，以欺骗用户输入敏感信息，如用户名和密码？
Options:
恶意软件感染
社会工程
电子邮件欺诈
网络钓鱼
Answer: D
领域/Domain: 应用安全
Question: 在钓鱼攻击中，攻击者通常利用哪种手段诱导用户泄露敏感信息？
Options:
通过合法的网络安全培训
通过发送伪装成合法机构的电子邮件
通过公开的社交媒体平台
通过电话营销
Answer: B
领域/Domain: 应用安全
Question: 以下哪种防御策略最有效地防止非持久性（存储型）跨站脚本（XSS）攻击？
Options:
对用户输入进行HTML编码
实施内容安全策略（CSP）
使用HTTP-only cookies
强制使用HTTPS协议
Answer: A
领域/Domain: 应用安全
Question: 恶意代码有哪些威胁（）
Options:
抢占系统资源
破坏数据信息
干扰系统的正常运行
以上都是
Answer: D
领域/Domain: 应用安全
Question: 以下哪种情况可能降低修复漏洞的效率？
Options:
提前进行漏洞优先级排序
忽略次要漏洞
制定详细的修复计划
在没有充分理解漏洞本质的情况下匆忙修复
Answer: D
领域/Domain: 应用安全
Question: 在移动应用加固过程中，以下哪种方法可以有效防止动态调试？
Options:
代码加密
运行时检测
资源文件混淆
本地数据加密
Answer: B
领域/Domain: 应用安全
Question: 在移动应用的认证机制中，以下哪项措施最有助于防止重放攻击？
Options:
使用强密码
限制登录尝试次数
使用一次性令牌
定期更改认证密钥
Answer: C
领域/Domain: 应用安全
Question: 在移动应用中，为了保护敏感数据，通常采用哪种技术来确保数据在传输过程中的安全性？
Options:
SSL\\/TLS
权限控制
代码混淆
内存管理
Answer: A
领域/Domain: 应用安全
Question: 在移动应用开发中，哪种做法对于保护用户凭据的安全最有效？
Options:
存储明文密码在设备本地
使用安全的加密算法对凭据进行哈希和加盐
依赖设备的默认加密功能
在应用中硬编码API密钥
Answer: B
领域/Domain: 应用安全
Question: 在Web应用安全中，以下哪种技术用于确保用户和服务器之间的通信是加密的，从而防止数据在传输过程中被窃取或篡改？
Options:
单点登录（SSO）
数据加密
输入验证
会话管理
Answer: B
领域/Domain: 应用安全
Question: 在设计安全架构时，以下哪项措施有助于防止SQL注入攻击？
Options:
最小权限原则，确保数据库用户只能访问必要的数据
使用SSL/TLS加密数据库通信
定期进行漏洞扫描和渗透测试
以上所有
Answer: D
领域/Domain: 应用安全
Question: 下列选项中用于接收电子邮件的协议是（）
Options:
SMTP
SFTP
POP3
ICMP
Answer: C
领域/Domain: 应用安全
Question: 数字签名在Web安全中的主要作用是什么？
Options:
隐藏发送方的身份
防止中间人攻击
加密传输的数据
验证数据的来源和完整性
Answer: D
领域/Domain: 应用安全
Question: 在服务器端模板注入（SSTI）检测中，以下哪种安全测试方法最有效？
Options:
将所有用户输入视为主体
对用户输入进行合法性检查
对模板响应进行详细检查，以寻找可能的注入痕迹
将所有模板响应返回到客户端处理
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种行为是修复高危漏洞的首要步骤？
Options:
立即应用安全补丁
更改防火墙配置
实施访问控制策略
启动日志监控
Answer: A
领域/Domain: 应用安全
Question: 在识别钓鱼邮件时，以下哪项不是有效的检查点？
Options:
检查发件人的电子邮件地址是否与官方网站一致
查看邮件中是否存在语法和拼写错误
立即点击邮件中的链接以验证网站的真实性
检查邮件是否要求提供敏感信息
Answer: C
领域/Domain: 应用安全
Question: 以下哪种技术可以提供端到端的邮件加密，以确保只有收件人能阅读邮件内容？
Options:
SSL\\/TLS
PGP
DKIM
DMARC
Answer: B
领域/Domain: 应用安全
Question: 以下哪种协议用于加密电子邮件以确保内容的隐私性？
Options:
SMTP
SSL\\/TLS
PGP
IMAP\\/POP3
Answer: C
领域/Domain: 应用安全
Question: 以下哪项是CSRF攻击的特点？
Options:
攻击者需要知道用户的登录凭证
攻击者利用用户在已认证的Web应用程序中的身份执行操作
攻击者通过注入恶意脚本到Web页面中
攻击者直接与Web服务器进行交互
Answer: B
领域/Domain: 应用安全
Question: The Open Web Application Security Project (OWASP) Top Ten is a list of web applicationsecurity threats that is created by a member-driven OWASP committee of applicationdevelopment experts and published approximately every 24 months. The OWASP Top Tenlist often includes “using components with known vulnerabilities.” Which of the followingis a good way to protect against this problem?
Options:
Use only components your organization has written.
Update to current versions of component libraries as soon as possible.
Never use anyone else‘s component library.
Apply patches to old component libraries.
Answer: B
领域/Domain: 应用安全
Question: 在应用安全防护策略中，以下哪种方法主要用于保护数据在传输过程中的安全？
Options:
加密算法
访问控制列表
安全审计日志
漏洞扫描工具
Answer: A
领域/Domain: 应用安全
Question: 为了优化WAF的性能，以下哪种方法不是推荐的？
Options:
增加硬件资源
优化策略规则
关闭不必要的防护功能
定期更新WAF软件
Answer: C
领域/Domain: 应用安全
Question: 以下哪种密码破解技术与渗透测试中的口令暴力破解无关？
Options:
字典攻击
彩虹表攻击
社会工程学
穷举攻击
Answer: C
领域/Domain: 应用安全
Question: Digital signatures and random number challenges do not protect against which of the following attacks or malicious behavior? ( ).
Options:
trickery
replay attack
deny
DOS attack
Answer: D
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种行为是密码破解的典型应用？
Options:
使用暴力破解工具尝试登录凭据
利用零日漏洞入侵系统
创建虚假Wi-Fi热点诱导用户连接
分析网络流量以发现潜在的漏洞
Answer: A
领域/Domain: 应用安全
Question: 在进行渗透测试时，以下哪种技术用于识别目标系统中的安全漏洞？
Options:
社会工程学
权限提升
漏洞扫描
后渗透行动
Answer: C
领域/Domain: 应用安全
Question: 在Web应用中，以下哪种安全协议用于确保客户端与服务器之间的安全通信？
Options:
HTTP
HTTPS
FTP
SMTP
Answer: B
领域/Domain: 应用安全
Question: 在邮件安全协议中，以下哪项是确保邮件传输安全的核心要素？
Options:
SMTP协议
POP3协议
IMAP协议
SSL\\/TLS协议
Answer: D
领域/Domain: 应用安全
Question: 在构建用于检测钓鱼攻击的数据集时，以下哪种做法最能提高模型的泛化能力？
Options:
只包含最近的钓鱼网站实例
确保数据集中钓鱼网站和正常网站的比例为1:1
包含来自不同钓鱼技术的多样化样本
使用单一来源的数据，如一个特定的反钓鱼数据库
Answer: C
领域/Domain: 应用安全
Question: 以下哪种方法可能无法有效防止XSS攻击，从而影响网站的安全性？
Options:
仅采用黑名单输入过滤方式
使用白名单输入过滤方式
采用适当的输出编码
在适当的位置使用HTTPOnly Cookie
Answer: A
领域/Domain: 应用安全
Question: Which one of the following threat types to applications and services involves the sending of requests that are invalid and manipulated through auser's client to execute commands on the application under the user's own credentials?
Options:
Injection
Missing function-level access control
Cross-site scripting
Cross-site request forgery
Answer: D
领域/Domain: 应用安全
Question: 在识别潜在的钓鱼邮件时，应特别注意检查什么？
Options:
邮件的主题是否有趣
邮件是否包含个人敏感信息
邮件中的链接是否经过加密（HTTPS）
邮件是否来自已知联系人的备用邮箱
Answer: C
领域/Domain: 应用安全
Question: 以下哪种电子邮件欺诈类型通常会包含看似来自朋友或家人的紧急求助信息，请求汇款？
Options:
网络钓鱼
CEO欺诈
亲情欺诈
恶意软件邮件
Answer: C
领域/Domain: 应用安全
Question: 在渗透测试中，以下哪种策略最适用于评估Web应用程序的安全性？
Options:
社会工程学攻击
分布式拒绝服务(DDoS)攻击模拟
模糊测试（Fuzzing）针对输入验证
物理安全评估
Answer: C
领域/Domain: 应用安全
Question: 在移动应用中，以下哪种安全协议常用于保护数据传输的安全性？
Options:
HTTP
HTTPS
FTP
SMTP
Answer: B
领域/Domain: 应用安全
Question: 以下哪种攻击类型与钓鱼攻击最相似，但通常针对企业内部员工？
Options:
DDoS攻击
水坑攻击
网络嗅探
鱼叉式网络钓鱼
Answer: D
领域/Domain: 应用安全
Question: 在进行漏洞分析时，以下哪项不是评估漏洞严重性的关键因素？
Options:
漏洞的潜在影响
漏洞的利用复杂度
受影响系统的用户数量
漏洞的公开程度
Answer: D
领域/Domain: 应用安全
Question: 以下哪种隐私保护策略可以防止应用程序在未经用户许可的情况下访问敏感联系人信息？
Options:
数据最小化
权限控制
匿名化处理
零知识证明
Answer: B
领域/Domain: 应用安全
Question: 评估方法中，渗透测试主要用于评估什么？
Options:
系统的可用性
系统的安全性
系统的性能
系统的合规性
Answer: B
领域/Domain: 应用安全
Question: 以下哪种做法有助于防止加密证书被恶意替换，确保网站的HTTPS安全连接？
Options:
定期更换服务器的私钥
使用自签名证书
只信任特定的证书颁发机构（CA）
禁用浏览器的证书警告
Answer: C
领域/Domain: 应用安全
Question: 在HTTPS通信中，以下哪个组件用于验证服务器的身份？
Options:
加密算法
证书体系
握手协议
密钥交换
Answer: B
领域/Domain: 应用安全
Question: 在Web开发中，如何确保XSLT转换的安全性？
Options:
对所有输入进行SQL编码
只使用开发者编写的XSLT文件
对XSLT转换结果进行白名单过滤
始终交给客户端处理XSLT转换
Answer: C
领域/Domain: 应用安全
Question: 情绪影响在钓鱼攻击中如何被利用？
Options:
攻击者利用受害者的情绪波动，使其失去理智判断
攻击者通过引发正面情绪来增加信任感
攻击者利用受害者的情绪稳定来预测其行为
攻击者仅在受害者处于愤怒时进行攻击
Answer: A
领域/Domain: 应用安全
Question: 在渗透测试中，如何防止权限绕过攻击？
Options:
使用复杂的密码策略
实施严格的输入验证和输出编码
确保每个请求都包含验证令牌
限制对敏感资源的直接访问
Answer: D
领域/Domain: 应用安全
Question: 在构建合规框架时，以下哪项不是安全编码的基本原则？
Options:
最小权限原则
输入验证
代码复用
错误处理和日志记录
Answer: C
领域/Domain: 应用安全
Question: 以下哪种安全防护机制最适用于防止SQL注入攻击？
Options:
防火墙过滤SQL语句
使用预编译的SQL语句
加密所有数据库通信
定期执行渗透测试
Answer: B
领域/Domain: 应用安全
Question: 在移动应用安全中，以下哪种技术用于检测和预防应用中的安全漏洞？
Options:
代码审计
用户反馈收集
应用性能监控
应用市场推广
Answer: A
领域/Domain: 应用安全
Question: 为了提高Web应用的安全性，防止phpinfo信息泄漏，下列哪种做法是最佳实践？
Options:
允许所有用户访问phpinfo页面
不在生产环境中使用phpinfo()函数
将phpinfo页面放在所有用户都可访问的目录下
无论何时都开启详细的错误报告功能
Answer: B
领域/Domain: 应用安全
Question: 下列哪一选项是渗透测试项目的特点？
Options:
该项目是开放式的，直到标识出所有已知的漏洞
项目进度策划产生一个关键路径
项目任务是闯入一个目标系统
目标用户评估该项目计划
Answer: C
领域/Domain: 应用安全
Question: 以下哪种行为最可能导致用户遭受虚假网站的欺诈？
Options:
通过搜索引擎查找并访问知名银行的官方网站
点击来自不知名发件人的邮件中的银行链接
在安全的HTTPS连接下进行网上购物
定期更新浏览器和安全软件
Answer: B
领域/Domain: 应用安全
Question: Which of the following is an advantage in using a bottom-up versus a top-down approach to software testing?
Options:
Interface errors are detected earlier.
Errors in critical modules are detected earlier.
Confidence in the system is achieved earlier.
Major functions and processing are tested earlier.
Answer: B
领域/Domain: 应用安全
Question: 在渗透测试流程中，以下哪一步是用于发现目标系统中存在的安全漏洞？
Options:
攻击模拟
漏洞扫描
安全防御
报告编写
Answer: B
领域/Domain: 应用安全
Question: 在进行漏洞评估时，以下哪项不是常用的评估方法？
Options:
自动扫描工具
手动代码审查
社会工程学攻击
渗透测试
Answer: C
领域/Domain: 应用安全
Question: The main function of vulnerability scanning is ()
Options:
Scanning the service ports of the target host
Scanning the target host's operating system
Scanning target hosts for vulnerabilities
Scan the IP address of the target host
Answer: C
领域/Domain: 应用安全
Question: 以下哪种加密与认证技术可以确保在HTTPS连接中数据的机密性和用户身份的验证？
Options:
RSA
TLS（传输层安全）
MAC（消息认证码）
WPA2（Wi-Fi保护访问二）
Answer: B