22 道事件响应、资产与安全测试练习题及答案

ISC2 网络安全入门认证（CC）考试练习的全部事件响应、资产与安全测试练习题，附正确答案和简短解析。

1. 公司安全委员会提问：为什么事件响应计划必须在一切正常时就获批并下发，而不是等检测到攻击时再临时编写？以下哪种解释最恰当？
- A.监管机构要求存档一份书面计划，因此该文件的主要作用是应付审计而不是指导响应。
- B.角色、授权与通知方式事先已定，响应人员在压力下只需执行而不必临场发挥。✓ 答案
- C.事先写好计划可以省去检测工具，因为成文的流程本身就能自动发现安全事件。
- D.提前编写计划可把违规事件的法律责任转移给文件中列明的供应商和保险公司。
该计划是“准备”阶段的产物：决策权、事件定级和通知义务都在人们还能冷静思考时就已议定。事件发生时，响应人员只需按既定流程执行，而不必在时间压力下临时发明做法——这正是事后才编写的计划几乎失去价值的原因。
编号 QB-XNFS6E依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response; NIST SP 800-61, Preparation phase报告此题的问题
2. 一名新入职的分析师第一次通读公司的事件响应计划。以下哪一组内容最能代表该文件？
- A.获批的硬件与软件型号、采购记录、保修到期日期，以及每项资产的折旧计划表
- B.业务职能的恢复优先顺序、各职能的最大可容忍停机时间，以及备用处理场所合同
- C.明确的角色与权限、事件分级标准、上报与通知路径，以及保持更新的联系人清单✓ 答案
- D.防火墙规则集、路由器配置、地址分配，以及授权每一次网络改动的变更工单
事件响应计划是一份流程文件：它规定谁来处置、拥有何种权限，事件如何按严重程度分级、如何上报，以及任何时间该联系谁。恢复优先顺序、最大可容忍停机时间和备用场所合同属于业务连续性与灾难恢复的内容；资产清单和网络配置记录则是计划可能引用、但并不包含的独立文档。
编号 QB-F6NXRE依据： NIST SP 800-61, incident response policy and plan elements; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response报告此题的问题
3. 一家中型公司正在组建计算机安全事件响应团队（CSIRT）。关于该团队应如何组成，下列哪种说法最准确？
- A.它只由资深安全工程师组成，因为让非技术部门参与只会拖慢技术处置的整体速度。
- B.它完全外包给网络保险承保方，由对方理赔人员指挥遏制并代表公司对外发言。
- C.它在事件宣布之后才临时组建，从服务台和受影响业务部门抽调当时有空的人员。
- D.它是跨职能的：除安全与IT外，还包括管理层、法务、人力资源和沟通人员。✓ 答案
事件会引出安全工程师无权决定的问题：是否通知监管机构、如何处理涉事员工、对客户怎么说、要不要报警。因此该团队须事先以跨职能形式设立，除技术响应人员外，还明确指定管理层、法务、人力资源和对外沟通的成员。
编号 QB-YNT4CF依据： NIST SP 800-61, incident response team structure; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response报告此题的问题
4. 在一起已确认的入侵事件中，三名经理分别向不同高管通报了互相矛盾的信息，一名业务部门员工还在事实核实之前就对外公开了细节。事件响应计划中最明显缺失的是哪一项？
- A.更强的技术遏制流程，说明如何把受影响主机与生产网络其余部分隔离开
- B.证据保留时间表，规定事件证据与关联日志在按期删除前需要保存多长时间
- C.明确的沟通与上报路径：通知谁、按什么顺序、由谁对外发言。✓ 答案
- D.独立的备用场所协议，规定主场所不可用时业务人员转移到何处继续办公
计划必须规定唯一的上报与升级链条，并指定唯一有权对客户、监管机构和媒体发言的角色。缺少这一条，高管会收到互相矛盾的说法，未经核实的信息流向公众，组织还可能在事实尚未查清时就违反了自身的通知义务。
编号 QB-C6KX8B依据： NIST SP 800-61, incident communications, coordination and reporting报告此题的问题
5. 按照标准的事件处置指南，下列哪一项正确排列了事件响应各阶段的顺序？
- A.检测与分析、准备、恢复、遏制、根除、经验教训总结
- B.检测与分析、遏制、准备、恢复、根除、经验教训总结
- C.准备、遏制、检测与分析、经验教训总结、根除、恢复
- D.准备、检测与分析、遏制、根除、恢复、经验教训总结✓ 答案
这一顺序遵循处置本身的逻辑：准备发生在一切之前；必须先检测并分析，才谈得上遏制；遏制先止住扩散，根除再清除根源；恢复使服务回归正常；经验教训总结则把改进反馈回“准备”，从而闭合整个循环。
编号 QB-VNR4UB依据： NIST SP 800-61, incident response life cycle报告此题的问题
6. 一台工作站已确认感染恶意软件，并正在向文件共享扩散。一名初级管理员提议立即格式化该机并用标准镜像重建。最恰当的做法是什么，为什么？
- A.让主机保持联网并持续观察，等经验教训会议再决定是否真的需要重建。
- B.按提议立即格式化：尽快清除恶意软件最重要，证据以后还可以再恢复。
- C.先把该主机从网络隔离：遏制可以阻止扩散，同时保住重建会抹掉的证据。✓ 答案
- D.先从备份还原文件共享：共享数据的恢复优先于对受感染工作站的任何处置。
遏制永远先于根除。断开该主机既能阻止恶意软件继续波及其他系统，又能保住内存内容、日志和恶意样本；先行格式化等于把“根除”提前，恰恰会销毁用于判断影响范围、根本原因以及数据是否外泄所必需的证据。
编号 QB-D6X9EC依据： NIST SP 800-61, Containment, Eradication and Recovery — containment strategy and evidence preservation报告此题的问题
7. 恶意软件已从所有受影响系统中清除，被利用的漏洞也已修补。团队现在从已知良好的备份还原数据、逐台验证系统，并在恢复正常服务前密切监控。这属于哪个阶段？
- A.遏制，因为把损失限制在最小范围正是向用户恢复服务的目的
- B.恢复，因为在威胁被清除之后系统经验证重新投入正常运行✓ 答案
- C.根除，因为在受影响数据被替换之前威胁清除工作并未结束
- D.检测与分析，因为验证还原后的系统正是确定事件范围的方式
清除恶意软件并修补漏洞，标志着“根除”已经结束。从已知良好的备份还原、确认系统运行正常、并在重新承载生产流量之前观察是否有再次感染的迹象，正是“恢复”阶段的标志性工作。
编号 QB-WN4FZC依据： NIST SP 800-61, Recovery报告此题的问题
8. 事后回顾是各组织最常跳过的阶段，通常因为响应人员精疲力竭，而管理层认为服务一恢复此事就已了结。跳过这一阶段最直接失去的是什么？
- A.根本原因始终未被处理，计划与控制措施也不更新，同类事件会再次发生。✓ 答案
- B.事件期间收集的证据会被自动销毁，因为只有该回顾才授权继续保存证据。
- C.组织将失去检测下一次入侵的能力，因为跳过回顾就意味着监控随之停止。
- D.监管通知将永远不会发出，因为违规通知时限只在回顾结束之后才开始计算。
经验教训总结是唯一把一次事件转化为改进的步骤：它确定根本原因，并推动计划、控制措施和检测规则的更新。跳过它，服务只是被重新架在原有的薄弱点之上，组织随时可能再次遭遇同样的事件。
编号 QB-A6V9W8依据： NIST SP 800-61, Post-Incident Activity (lessons learned)报告此题的问题
9. 一位经理在比较验证事件响应计划的两种方法：桌面推演和完全中断测试。下列哪种说法最准确地描述了两者的差别？
- A.桌面推演是以讨论方式走查决策过程；完全中断测试会真正停掉生产系统。✓ 答案
- B.桌面推演只能由外部审计师主持；完全中断测试由响应团队内部自行执行。
- C.桌面推演在负载下检验备用硬件；完全中断测试只在纸面上审阅角色分工。
- D.桌面推演按联邦法律每年必须开展；完全中断测试是否进行由管理层决定。
桌面推演以讨论为形式：参与者围绕一个情景走查角色、决策和上报流程，不触碰任何生产系统，因此成本低、风险小。完全中断测试则真正停下在运行的业务、切换到恢复能力上，保真度最高，但对业务的风险也最大。
编号 QB-TN2FG9依据： NIST SP 800-84, Guide to Test, Training and Exercise Programs — tabletop exercises versus functional and full-scale testing报告此题的问题
10. 一场飓风淹没了公司的主数据中心。下列哪种说法正确地把事件响应计划、业务连续性计划和灾难恢复计划与各自的用途对应起来？
- A.业务连续性处置正在发生的事件，灾难恢复维持关键运营，事件响应恢复正常服务
- B.事件响应处置正在发生的事件，业务连续性维持关键运营，灾难恢复恢复正常服务✓ 答案
- C.事件响应处置正在发生的事件，灾难恢复维持关键运营，业务连续性恢复正常服务
- D.灾难恢复处置正在发生的事件，事件响应维持关键运营，业务连续性恢复正常服务
三份计划在用途上是有先后的：事件响应处置正在发生的事件；业务连续性在中断持续期间维持关键职能运转；灾难恢复则在其后重建受损能力、使运营回到正常状态。在考试大纲中，连续性与灾难恢复归在治理域，而不在事件响应之下。
编号 QB-HA5AAA依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand Incident Response, and Security Governance — understand redundancy (business continuity and disaster recovery)报告此题的问题
11. 一位新任安全经理发现，没有人说得清公司究竟有多少台服务器、笔记本电脑和云订阅。漏洞扫描、补丁管理和访问权限复核都已在运行。应当首先做什么，为什么？
- A.建立完整的资产清单，因为控制措施只能施加于组织确知自己拥有的资产上。✓ 答案
- B.提高扫描频率，因为扫得越勤，最终总能把值得保护的资产全部枚举出来。
- C.对所有终端存储加密，因为只要数据受到保护，资产数量清不清楚都无关紧要。
- D.增购更多云订阅，因为把采购渠道集中起来比记录清楚现有资产更为重要。
资产清单是一切控制的前提，因为其他所有控制都作用在一份已知资产名单上。扫得再勤，覆盖的仍只是已知的地址段和账号；没有记录在案的服务器或无人管理的云订阅，工具再好也照样不会被扫描、修补和复核。
编号 QB-ZSX4Q9依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection; CIS Critical Security Controls, inventory and control of enterprise assets报告此题的问题
12. 已达使用寿命终点的笔记本电脑正被集中交给回收商处置，其存储介质也已完成净化。下列哪一步最能完整地收尾资产生命周期？
- A.把该设备编号重新分配给替换的笔记本，使清单总数保持不变、报表更易维护。
- B.在折旧年限内保留该记录为在用状态，以便财务继续把这台硬件计为运营资产。
- C.设备一离开办公场所就删除清单条目，因为退役的硬件不再需要任何后续跟踪。
- D.记录此次处置，把条目从资产清单中退役，并吊销与该设备绑定的许可证和凭据。✓ 答案
处置是资产生命周期的收尾阶段，介质擦净并不等于结束。必须以带日期的处置记录把清单条目退役，并吊销与该设备绑定的证书、软件许可和机器账户；否则凭据仍然有效，组织还在为早已不存在的资产投入防护。
编号 QB-GASX49依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection; NIST SP 800-88, Guidelines for Media Sanitization (disposal documentation)报告此题的问题
13. 某部门依赖的一款应用，其供应商已宣布终止支持。该软件目前仍能正常运行。下列哪种说法最准确地描述了由此带来的安全风险？
- A.此后新发现的漏洞将永远得不到修补，即使什么都不改，暴露面也会持续扩大。✓ 答案
- B.该软件会在公布的日期当天停止运行，因此风险是计划外停机而不是安全问题。
- C.风险已按支持合同转移给供应商，因此组织自身承担的剩余风险实际上接近于零。
- D.终止支持时已有漏洞会被一并清除，只有之后引入的配置错误才会造成暴露。
终止支持意味着供应商不再发布任何安全修复。代码本身不变，但其中公开已知且永远不会被修补的弱点会越积越多，风险因而持续上升，直到该系统被替换，或用网络分段、限制访问等补偿性控制加以隔离为止。
编号 QB-YSKSH8依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand asset protection (end-of-life and unsupported assets)报告此题的问题
14. 作为配置管理的一部分，团队发布了一套加固的构建标准，任何新服务器上线前都必须与之一致。这套标准是什么，它提供了什么？
- A.回退方案：变更在生产环境失败之后，把系统恢复到可用状态的既定步骤。
- B.业务影响分析：对各项业务职能的排序，用于决定停机后先重建哪些服务器。
- C.资产登记册：硬件归属的权威记录，用于指定保管人并对应各自的支持合同。
- D.基线标准：经批准的安全配置，系统据此构建，日后也据此审计是否发生偏移。✓ 答案
基线是某类系统经批准的安全配置，通常源自公认的加固基准。它为配置管理提供了一个明确的“已知良好”状态：系统据此构建，日后审计再把实际运行状态与之比对，配置偏移由此才能被发现。
编号 QB-FAEMX7依据： NIST SP 800-128, Guide for Security-Focused Configuration Management — secure configuration baselines报告此题的问题
15. 审计师要求团队区分配置管理与变更管理。下列哪种说法是正确的？
- A.配置管理只适用于网络设备的参数；变更管理只适用于应用程序的源代码部分。
- B.配置管理管的是改动如何获得批准；变更管理管的是系统获批后应保持的状态。
- C.配置管理管的是系统获批的状态；变更管理管的是对该状态的改动如何获得批准。✓ 答案
- D.配置管理只在系统部署之后才执行；变更管理只在最初的采购阶段才需要执行。
配置管理关注“状态”：识别配置项、定义获批基线、核查系统是否仍与之一致。变更管理关注“过程”：在允许改变该状态之前，一项改动如何被提出、评估风险、获得批准、经过测试、安排实施并留下记录。
编号 QB-XS8FC7依据： NIST SP 800-128, configuration management and change control processes报告此题的问题
16. 一名管理员凌晨两点为排除故障打开了一个防火墙端口，事后从未提交变更工单。该端口敞开数月，后来被攻击者利用。下列哪种说法最准确？
- A.这次无记录的变更本身就是一起安全事件，因为它未经评审就改变了获批的基线。✓ 答案
- B.这只是一次配置错误，只有在攻击者实际利用它的那一刻才转变为一起安全事件。
- C.这次变更是可以接受的，因为它解决了故障，而紧急处置无需履行任何记录要求。
- D.这属于容量管理而不是安全范畴，因为开放端口是一项与性能有关的技术决定。
绕开变更流程做出的改动，属于对获批基线的未授权偏离；无论是否被人利用，它本身就构成一起安全事件，因为组织已无法说清自己的真实配置状态。紧急变更可以走加急审批，但事后仍必须补记录、补评审。
编号 QB-EA3AS6依据： NIST SP 800-128, unauthorized change as a security-relevant event; ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response报告此题的问题
17. 某组织开展一次演练：一组实施攻击，另一组负责防守，还有一项职能让双方在演练过程中即时共享发现，以改进检测能力。下列描述哪一项正确？
- A.红队防守、蓝队攻击，紫队是把攻击方发现反馈到防守检测之中的那项协作职能。
- B.红队攻击、蓝队防守，紫队是把攻击方发现反馈到防守检测之中的那项协作职能。✓ 答案
- C.红队攻击、蓝队防守，紫队是另一支独立于红队范围之外单独实施攻击的队伍。
- D.红队攻击、蓝队审阅文档，紫队是为整场演练打分并出具报告的外部裁判方。
红队是模拟对手的攻击方，蓝队是负责检测与响应的防守方。紫队并不是第三支攻击队伍，而是一项协作职能：它把红队的技战术与蓝队的监测数据实时对接起来，使检测盲点在演练尚在进行时就被发现并补上。
编号 QB-WSV476依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing (red, blue and purple teaming)报告此题的问题
18. 管理层询问：既然每季度都做漏洞扫描，为什么还需要定期开展渗透测试？下列哪种区分是正确的？
- A.扫描通过实际利用来证明影响；渗透测试只是列出公开缺陷库中已知的弱点条目。
- B.扫描识别并报告已知弱点；渗透测试则实际利用这些弱点来证明真实的业务影响。✓ 答案
- C.扫描在不运行软件的情况下检查源代码；渗透测试只检查正在运行中的应用程序。
- D.扫描需要书面授权和范围界定；渗透测试属于例行检查，无需事先获得任何批准。
漏洞扫描是自动化、覆盖面广的：它把系统与已知弱点库比对并报告“可能存在”什么，因此结果还须人工验证以排除误报。渗透测试则由专家主导、范围较窄：它在受控条件下实际利用并串联这些弱点，展示攻击者真正能够达到的程度，而扫描器从不会给出这种证明。
编号 QB-NAJMYE依据： NIST SP 800-115, Technical Guide to Information Security Testing and Assessment — vulnerability scanning versus penetration testing报告此题的问题
19. 某应用安全团队已对每一次代码提交运行静态分析。对运行中的应用开展动态测试，最可能发现静态分析会遗漏的哪一类缺陷？
- A.被提交进源码树、并残留在构建产物配置文件中的硬编码凭据内容。
- B.直接写在应用自有源代码仓库中的不安全字符串复制函数调用及其参数。
- C.运行期与部署问题，如配置错误、会话处理失效或暴露的测试路径。✓ 答案
- D.没有任何调用方会触及、因而程序运行时永远不会执行到的那段逻辑分支。
静态分析读取的是未在运行的代码，因此能看到源码层面的缺陷，却看不到软件如何部署、运行起来又表现如何。动态测试从外部驱动正在运行的应用，因而能暴露服务器配置错误、会话与认证处理缺陷，以及只存在于实际部署环境中的访问路径。
编号 QB-5TCFDE依据： NIST SP 800-115, static analysis versus dynamic application testing报告此题的问题
20. 在为新的支付功能写下任何代码之前，架构师们开会梳理攻击者可能如何冒充身份、篡改数据或提升权限，并为每一项选定对策。这项活动是什么？
- A.渗透测试：针对已完工系统的授权攻击，用以证明哪些弱点可以被真正利用。
- B.威胁建模：在设计阶段进行的结构化分析，识别可能的威胁及其应对控制措施。✓ 答案
- C.漏洞扫描：把已部署的系统与公开已知缺陷库自动比对的一种检测手段。
- D.事后回顾：事件发生之后开展的结构化分析，用以确定根因并改进控制措施。
威胁建模是前置的设计阶段活动：团队对照冒充、篡改、抵赖、信息泄露、拒绝服务和权限提升等威胁类别逐项审视设计，并为每一类选定对策。在图纸阶段修正设计缺陷，远比在已交付代码的测试中发现它便宜得多。
编号 QB-JNV6TY依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing; STRIDE threat categories报告此题的问题
21. 在一次经授权的物理安全评估中，测试人员紧跟在一名员工身后穿过刷卡门，该员工始终没有察觉。第二次尝试时，另一名员工看见了他，接受了他忘带工牌的说法并为他拉住了门。这两种手法依次是什么？
- A.先是尾随（tailgating），再是协同尾随（piggybacking），因为第一次未被察觉，第二次得到了员工配合。✓ 答案
- B.先是协同尾随（piggybacking），再是尾随（tailgating），因为第一次未被察觉，第二次得到了员工配合。
- C.先是肩窥（shoulder surfing），再是托词（pretexting），因为两次进入都依赖观察并复用员工行为。
- D.先是身份冒充（impersonation），再是诱饵（baiting），因为测试者先假扮角色，再利用员工的好奇心。
两种手法都是跟在有权限者身后的未授权进入，区别在于对方是否知情同意。尾随发生在员工毫不知情的情况下；协同尾随则是员工明知而放行，通常是被一套听起来合理的说辞打动。正因如此，安全意识培训与门禁前室、转闸才是标准对策。
编号 QB-363CDZ依据： ISC2 Certified in Cybersecurity Exam Outline, Security Operations and Incident Response — understand security testing (physical and social-engineering testing)报告此题的问题
22. 有人要求安全团队测试员工是否会向模拟钓鱼邮件交出凭据，以及测试人员能否亲自进入服务器机房。首先必须做什么？
- A.把确切的测试日期通知每一位员工，以免有人在测试期间真的被模拟邮件欺骗。
- B.先采购一套商业化的钓鱼演练平台，使模拟邮件的逼真程度与真实攻击相当。
- C.先向当地警方通报，使评估中的物理进入部分被视为一次获批的执法演练。
- D.取得书面授权，明确范围、目标、时间窗口和规则，然后才能开始测试。✓ 答案
在开展任何社会工程或物理进入尝试之前，必须先有经签署的授权文件，明确范围、目标清单、时间窗口和交战规则。否则该行为与真实攻击无从区分，测试人员得不到法律保护，响应人员也无法判断这是演练还是真正的入侵。
编号 QB-HNHUMX依据： NIST SP 800-115, rules of engagement and written authorization prior to assessment报告此题的问题

本考试的其他主题

安全原则与控制措施类型22 道免费练习题风险、文件层级与职业道德22 道免费练习题治理、风险与合规22 道免费练习题业务连续性、灾难恢复与安全意识22 道免费练习题身份生命周期管理22 道免费练习题逻辑访问控制与模型22 道免费练习题网络安全概念22 道免费练习题网络架构与云安全22 道免费练习题数据安全与安全运营22 道免费练习题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。官方 CC 考试大纲 →

1. 公司安全委员会提问：为什么事件响应计划必须在一切正常时就获批并下发，而不是等检测到攻击时再临时编写？以下哪种解释最恰当？

2. 一名新入职的分析师第一次通读公司的事件响应计划。以下哪一组内容最能代表该文件？

3. 一家中型公司正在组建计算机安全事件响应团队（CSIRT）。关于该团队应如何组成，下列哪种说法最准确？

4. 在一起已确认的入侵事件中，三名经理分别向不同高管通报了互相矛盾的信息，一名业务部门员工还在事实核实之前就对外公开了细节。事件响应计划中最明显缺失的是哪一项？

5. 按照标准的事件处置指南，下列哪一项正确排列了事件响应各阶段的顺序？

6. 一台工作站已确认感染恶意软件，并正在向文件共享扩散。一名初级管理员提议立即格式化该机并用标准镜像重建。最恰当的做法是什么，为什么？

7. 恶意软件已从所有受影响系统中清除，被利用的漏洞也已修补。团队现在从已知良好的备份还原数据、逐台验证系统，并在恢复正常服务前密切监控。这属于哪个阶段？

8. 事后回顾是各组织最常跳过的阶段，通常因为响应人员精疲力竭，而管理层认为服务一恢复此事就已了结。跳过这一阶段最直接失去的是什么？

9. 一位经理在比较验证事件响应计划的两种方法：桌面推演和完全中断测试。下列哪种说法最准确地描述了两者的差别？

10. 一场飓风淹没了公司的主数据中心。下列哪种说法正确地把事件响应计划、业务连续性计划和灾难恢复计划与各自的用途对应起来？

11. 一位新任安全经理发现，没有人说得清公司究竟有多少台服务器、笔记本电脑和云订阅。漏洞扫描、补丁管理和访问权限复核都已在运行。应当首先做什么，为什么？

12. 已达使用寿命终点的笔记本电脑正被集中交给回收商处置，其存储介质也已完成净化。下列哪一步最能完整地收尾资产生命周期？

13. 某部门依赖的一款应用，其供应商已宣布终止支持。该软件目前仍能正常运行。下列哪种说法最准确地描述了由此带来的安全风险？

14. 作为配置管理的一部分，团队发布了一套加固的构建标准，任何新服务器上线前都必须与之一致。这套标准是什么，它提供了什么？

15. 审计师要求团队区分配置管理与变更管理。下列哪种说法是正确的？

16. 一名管理员凌晨两点为排除故障打开了一个防火墙端口，事后从未提交变更工单。该端口敞开数月，后来被攻击者利用。下列哪种说法最准确？

17. 某组织开展一次演练：一组实施攻击，另一组负责防守，还有一项职能让双方在演练过程中即时共享发现，以改进检测能力。下列描述哪一项正确？

18. 管理层询问：既然每季度都做漏洞扫描，为什么还需要定期开展渗透测试？下列哪种区分是正确的？

19. 某应用安全团队已对每一次代码提交运行静态分析。对运行中的应用开展动态测试，最可能发现静态分析会遗漏的哪一类缺陷？

20. 在为新的支付功能写下任何代码之前，架构师们开会梳理攻击者可能如何冒充身份、篡改数据或提升权限，并为每一项选定对策。这项活动是什么？

21. 在一次经授权的物理安全评估中，测试人员紧跟在一名员工身后穿过刷卡门，该员工始终没有察觉。第二次尝试时，另一名员工看见了他，接受了他忘带工牌的说法并为他拉住了门。这两种手法依次是什么？

22. 有人要求安全团队测试员工是否会向模拟钓鱼邮件交出凭据，以及测试人员能否亲自进入服务器机房。首先必须做什么？

本考试的其他主题