19 道架构与日志来源练习题及答案

1. 1. 核心路由器的网络流记录（flow record）显示，四十分钟内有 4.2 GB 数据从一台文件服务器经 TCP 443 传到某个外部地址。管理层追问是哪个员工账户搬走了这些数据。网络流记录能证明什么，又要靠哪个数据源回答这个问题？

   • A.网络流记录保留了会话载荷可供事后重建，所以 DNS 解析日志只用来给那个外部地址补上一个便于阅读的名称。
   • B.网络流记录能确定两端主机、端口和字节量，但不含任何账户身份；要指认用户须查端点代理的进程与登录遥测。✓ 答案
   • C.网络流记录的应用字段里带有已认证的用户名，所以 Web 代理日志只用来找回当时请求的那个具体 URL 路径就够了。
   • D.网络流记录已通过源地址把该会话归属到了具体的人，因此仅凭 DHCP 租约表就能把这个地址换算成一位有名有姓的员工。

   网络流记录只是会话的摘要：地址、端口、协议、字节与包数以及时间，它没有用户字段，因此在多人共用的文件服务器上无法说明是谁动的手。只有从操作系统内部观察的数据源——把进程、父进程与登录会话关联起来的端点代理——才能把这次传输绑定到某个账户。

   编号 QB-6SQECX依据： CompTIA CySA+ CS0-004 Objective 1.1 (logging and log ingestion; network architecture) with NIST SP 800-92 guidance that flow data records connection metadata, not user identity报告此题的问题

2. 2. 分析师要为同一起入侵关联防火墙日志、Web 服务器日志和域控制器日志。域控制器三周前 NTP 同步失败，其时钟现在比另外两个数据源快七分钟。关于这条时间线，分析师应该怎么做？

   • A.按采集器的入库时间先后排序，因为事件到达 SIEM 的顺序能真实还原它们在主机上实际发生的次序。
   • B.把域控制器记录视为不可靠数据予以丢弃，只用时钟彼此一致的防火墙日志与 Web 服务器日志构建时间线。
   • C.把三个来源的时间戳统一换算成分析师所在时区，这样它们落在同一刻度上，七分钟的偏差就自然消除了。
   • D.在测出并校正各数据源的时钟偏差前不能认定事件顺序；应以一个基准时钟重建时间线，并恢复域控的 NTP 同步。✓ 答案

   关联分析依赖统一的时间基准。七分钟偏差足以让因果倒置，使响应看起来发生在引发它的请求之前。入库时间不等于事件时间，因为各来源的排队与转发延迟不同；把同样有偏差的时间换算到另一个时区，只是把所有值整体平移，并不会消除偏差。必须先测量偏差、作为修正量应用，再修好底层的时间同步。

   编号 QB-P9WKXX依据： CompTIA CySA+ CS0-004 Objective 1.1 (time synchronization); NIST SP 800-92 log management, which requires a synchronized time source before cross-source correlation报告此题的问题

3. 3. 两个厂区的应用日志都以本地挂钟时间记录，条目中不带时区偏移量。其中一个厂区实行夏令时，另一个不实行。分析师需要把时钟调整那一夜两个厂区的事件排出先后顺序。下列哪项判断是正确的？

   • A.时间戳并无歧义，因为每台主机的操作系统内部都保存着自己所在的时区，分析师直接按记录写入的先后顺序阅读即可。
   • B.时间戳没有记录偏移量本身就有歧义，而且换时那一小时的挂钟时间会重复出现；应在入库时统一归一化为 UTC。✓ 答案
   • C.时间戳必须原样保留，因为在入库过程中改写已记录的字段会破坏原始日志条目的防篡改属性，使其失去证据价值。
   • D.时间戳只在单一数据源内部有意义，因此跨厂区排序应改用采集器在事件到达时分配的序号来确定先后。

   不带偏移量的本地时间在补齐时区信息之前并不是一个确定的时间点；夏令时回调时同一个本地小时会出现两次，因此相隔一小时的两条记录可能写成完全相同的样子。入库时归一化为 UTC 同时保留原始字符串，既保住了证据原貌，又得到唯一可排序的刻度；采集器序号只反映到达顺序，而传输延迟会把它打乱。

   编号 QB-7S3SHY依据： CompTIA CySA+ CS0-004 Objective 1.1 (logging, time synchronization); NIST SP 800-92 recommendation to normalize event time to a single reference such as UTC报告此题的问题

4. 4. SIEM 的解析器把 Web 服务器日志映射成统一模式，过程中丢弃了客户端源端口和查询字符串。分析师需要把其中一条请求记录追溯到 200 台主机共用的 NAT 网关后面的某台具体工作站。正确的做法是什么？

   • A.只依靠 NAT 网关的转换表，因为它无需参考任何端口号就能把每个外部会话唯一映射回一台内网主机。
   • B.在归一化事件中直接搜索该工作站的内网私有地址，因为设计良好的 SIEM 模式会在地址转换过程中保留原始内网地址。
   • C.调取与归一化事件并存的原始未改动日志，因为源端口正是区分共用同一转换后地址的各个会话的字段。✓ 答案
   • D.接受这个缺口无法弥补，因为归一化模式按设计就是要取代原始记录，解析时丢掉的字段事后无法再找回来。

   归一化本身是有损的：解析器没有映射的内容不会出现在可检索事件里，但采集器往往仍保存着原始行。在地址转换之后，许多主机共用同一个公网地址，转换后的源端口是区分它们并发会话的唯一键，因此原始记录加上网关在该端口、该时刻的转换条目才能定位到具体主机。

   编号 QB-K9UKEU依据： CompTIA CySA+ CS0-004 Objective 1.1 (log ingestion and normalization); NIST SP 800-92 guidance on retaining original log data alongside normalized records报告此题的问题

5. 5. 数据库审计日志记录到一条 DROP TABLE 语句，执行者是 app_svc，也就是该 Web 应用所有连接共用的那一个池化账户。当时有三十名员工登录着这个应用。这条数据库日志能证明什么？

   • A.它能证明是数据库管理团队执行了这条语句，因为生产环境中只有管理类账户才会被授予删除表的权限。
   • B.它指明了责任人，因为连接池总会把发起操作的终端用户名写进与服务账户相同的那个审计字段里。
   • C.它什么都证明不了，因为连接池会让数据库审计轨迹完全无法作为证据使用，这份日志应当从调查中排除。
   • D.它指明了发出该语句的应用身份，却没有指明背后的人；必须用应用自身的会话日志把这个动作映射到具体终端用户。✓ 答案

   这正是典型的“只记录结果、不记录行为人”的数据源。数据库只能看到向它完成认证的身份，而在共用池化账户的情况下这个身份就是应用本身，所以日志能证明做了什么、何时做的，却无法证明是谁做的。归因必须依靠应用层自身的会话或事务日志，那里保存着触发该语句的那次请求所对应的终端用户身份。

   编号 QB-4SZRZU依据： CompTIA CySA+ CS0-004 Objective 1.1 (logging as evidence; identity and access management) — shared service accounts break attribution at the data tier报告此题的问题

6. 6. 一台被攻陷工作站的安全事件日志里只剩一条“日志已清除”的记录，之前的内容全部没有了。该环境每隔几分钟就把工作站事件转发到中央采集器。关于现有证据，下列哪项判断是正确的？

   • A.采集器上的副本不可依赖，因为不是从产生它的主机上直接读取的事件，无法作为该主机自身活动的有效记录。
   • B.这些条目彻底没有了，因为清除本地事件日志的同时也会清掉此前已经转发到中央采集器的那批对应记录。
   • C.已经转发到采集器的副本依然存在，因此即使主机本地副本没了，清除之前写入的条目仍然可以查阅。✓ 答案
   • D.清除事件现在是唯一可用的证据，调查只能改从磁盘痕迹以及对这台工作站使用者的当面询问继续推进。

   集中汇聚的意义正在于此：事件一旦被转发出去，就脱离了只控制着该端点的攻击者的掌控，因此清除本地日志只销毁主机副本，采集器上的副本仍然完好。清除记录本身是有价值的指标，但在转发副本尚存的情况下，它并不会把调查局限在本地痕迹上。

   编号 QB-M97XKV依据： CompTIA CySA+ CS0-004 Objective 1.1 (centralized log collection and log integrity); NIST SP 800-92 rationale for forwarding logs off the generating host报告此题的问题

7. 7. 一台网络传感器记录到某工作站与一个可疑主机之间的 TLS 会话：SNI、证书信息、字节数和持续时间，载荷不可见。分析师需要确定是工作站上哪个可执行文件发起了这个连接。最合适的数据源是哪个？

   • A.用会话中看到的那张证书去解密已存的抓包，从而在应用层头部里读出发起连接的客户端进程名称。
   • B.查看同一主机名对应的 DNS 解析日志，它会在查询旁边记下发起请求的进程，因为名称解析是按应用分别进行的。
   • C.查询端点代理的进程与连接遥测，它把每个出站套接字与对应进程、父进程以及启动它的账户绑定起来。✓ 答案
   • D.检查该工作站在防火墙上的会话表，只要规则上启用了检测，它就会列出每个放行流量背后的客户端应用程序。

   网络视角止步于套接字：它能识别通信双方、协商出的名称和流量大小，但报文里没有任何字段说明本机是哪个程序持有这个连接，而服务器证书也无法解密采用临时密钥交换协商出的会话。端点遥测是从操作系统内部观察套接字表的，正是它把这条流量连到进程、父进程和用户身上。

   编号 QB-5SC47W依据： CompTIA CySA+ CS0-004 Objective 1.1 (operating system concepts; logging) — endpoint telemetry supplies process-to-connection attribution that network telemetry cannot报告此题的问题

8. 8. 一台楼宇管理控制器位于一个已做分段的运营技术网络中。只要在其上安装任何软件，厂商就会取消支持，因此无法部署端点代理。分析师需要确认该控制器是否正在与外部地址通信。哪种做法符合这一限制？

   • A.从网络传感器采集并分析穿越分段边界的流量，它能在完全不接触该设备的前提下记录控制器的会话。✓ 答案
   • B.以仅监控模式安装端点代理运行一周，因为被动采集完全不会改动该控制器受厂商支持的软件配置。
   • C.通过控制器的管理接口读取它自身的本地事件日志，其中会列出它发起的每个出站会话及源地址和目的地址。
   • D.对该控制器执行一次带凭据的漏洞扫描，其认证类检查会把主机当前活动的网络连接一并纳入主机画像。

   当主机无法安装探针时，网络视角就是唯一视角，这也正是运营技术网络普遍采用被动监控的原因：由边界分光或镜像口喂给传感器，能在不向设备添加任何东西的前提下观察它的会话。安装代理仍然改变了软件状态，带凭据扫描则要向设备完成认证，两者都被题目给出的支持条件禁止。

   编号 QB-H95X3S依据： CompTIA CySA+ CS0-004 Objective 1.1 (operational technology constraints; network architecture and monitoring placement)报告此题的问题

9. 9. 两台被怀疑发生 SMB 横向移动的服务器位于同一交换机的同一个 VLAN 内。全网唯一的网络传感器部署在互联网出口，而它没有记录到这两台主机之间的任何流量。应当如何正确解读这种“无记录”？

   • A.同一 VLAN 内两台主机之间的流量根本到不了出口传感器，它的沉默证明不了任何事；要看见就得靠主机遥测或段内传感器。✓ 答案
   • B.传感器没有记录说明没有发生横向移动，因为两台内网服务器之间的任何 SMB 会话都会经过本单位的出口设备。
   • C.出口传感器漏掉这些会话是因为 SMB 流量在传输中被加密，所以在该传感器上启用解密就能让这些内部连接显现出来。
   • D.传感器记录不完整是因为其规则集排除了私有地址段，因此把规则范围放宽就能把此前发生的那些会话追溯地找回来。

   传感器的部署位置决定了哪些东西根本能否被观察到。同一广播域内的主机通过交换机直接交换帧，不会跨越任何路由边界，因此出口传感器永远看不到这段会话，它没有记录并不等于没有发生。要观察东西向流量，必须依靠端点遥测，或在该网段内部取流（例如镜像相关交换机端口）的传感器。

   编号 QB-2SA4PS依据： CompTIA CySA+ CS0-004 Objective 1.1 (network architecture; segmentation and monitoring placement) — segmentation limits lateral movement but does not itself observe it报告此题的问题

10. 10. 工作站被允许直接通过 TCP 443 访问任意外部地址，环境中没有部署 Web 代理。某主管要求给出某台工作站上周二访问过的 URL 清单。正确的回答是什么？

    • A.现有记录里只剩下主机名和地址，因此 URL 级别的证据需要让出站流量经过一个会记录请求的代理。✓ 答案
    • B.防火墙的放行日志本身就记录了每个允许会话的完整请求 URL，因此按该工作站地址过滤这份日志就能直接给出答案。
    • C.DNS 解析日志可以还原访问过的 URL，因为每次页面请求都会把解析出的名称连同所请求的路径一并写入一条记录。
    • D.该工作站的浏览器历史在这里具有权威性，因为本地浏览器存储无法被使用者编辑，而且会被无限期保留下来。

    只有架构上会产生记录的地方才存在证据。防火墙记录的是五元组而不是请求行，解析器日志只有被查询的名称而没有路径，因此在直连出站的情况下，分析师最多只能还原联系过哪些主机。把出站 Web 流量强制收敛到代理这个瓶颈点，才能产生 URL 级别的证据；而浏览器历史可被用户修改，且只限于本机。

    编号 QB-DRQ3BZ依据： CompTIA CySA+ CS0-004 Objective 1.1 (network architecture; logging coverage) — egress control placement determines what request-level evidence exists报告此题的问题

11. 11. 某云存储桶中的对象在一个周末被删除。可用的数据源包括一台挂载过该桶的虚拟机的客户机日志、虚拟网络流记录，以及云服务商的审计轨迹。哪个数据源能指明发出删除调用的身份？

    • A.虚拟网络流记录，它会把每一次到存储端点的 API 会话连同请求头中所出示的身份一并记录下来。
    • B.云服务商的控制平面审计轨迹，它记录每一次管理 API 调用及其调用身份、源地址和请求时间。✓ 答案
    • C.挂载过该桶的那台虚拟机的客户机操作系统日志，它会记录针对该挂载路径所执行的文件删除操作。
    • D.存储服务的读取请求日志，它只采集取回操作，因此是该服务关于谁移除了这些对象的权威记录。

    在云环境中，关于“谁对资源做了什么”的权威记录位于控制平面，因为这个动作是一次经过认证的管理 API 调用，而不是操作系统事件。网络流记录只汇总连接，看不到 TLS 会话内部的请求身份；客户机日志只反映那一个实例经自身挂载所做的事；而只记录读取的访问日志按定义不会记下删除操作。

    编号 QB-V8JWQY依据： CompTIA CySA+ CS0-004 Objective 1.1 (infrastructure and cloud architecture; logging) — control-plane audit logs are the record of management API activity报告此题的问题

12. 12. 一条告警指出某容器内部写入了一个可疑文件。等分析师去查看时，编排系统已经用同一镜像启动的新实例替换了那个容器。关于证据，下列哪项判断是正确的？

    • A.只有在容器运行期间就把证据外送出去，它才能留存下来；替换实例会连带丢弃它的可写层。✓ 答案
    • B.被替换容器的可写层默认会保留在节点上，因此该文件仍可从节点本地的容器存储目录中恢复出来。
    • C.镜像仓库里的那个镜像现在已经包含了这个写入的文件，因为运行期创建的内容会在容器退出时提交回镜像。
    • D.编排系统的调度日志里保存着该文件的内容，因为它会在终止并替换一个实例之前完整捕获该实例的状态。

    容器在设计上就是一次性的，而镜像是不可变的，因此运行期的写入都落在一个临时可写层里，会随实例一起被丢弃。正因如此，容器日志和文件完整性遥测必须在工作负载运行时就流式发送到外部采集器；一旦编排系统替换了实例，只有此前已经转发出去的内容还能用。

    编号 QB-CRCR5Y依据： CompTIA CySA+ CS0-004 Objective 1.1 (containerization and virtualization; log ingestion) — ephemeral workloads require off-host log shipping报告此题的问题

13. 13. 一笔欺诈交易被追溯到三天前一次仅运行 900 毫秒的无服务器函数调用。该环境没有持久主机，也没有挂载磁盘。分析师应该怎么推进？

    • A.以平台的调用记录和函数自身输出的遥测为依据展开分析，因为执行环境已不存在，也没有持久磁盘可供取证获取。✓ 答案
    • B.依据支持协议向云服务商索取底层执行容器，因为执行环境在每次运行后都会保留一个固定的时间窗口。
    • C.从云服务商门户为该函数的宿主实例制作取证镜像，再计算哈希并检查文件系统中攻击者留下的痕迹。
    • D.用部署包重建环境并重放该请求，把重建出来的实例当作证明当时实际发生了什么的第一手证据来使用。

    无服务器执行方式取消了主机取证所依赖的那一类痕迹：没有实例可镜像，也没有磁盘可获取，客户更无权访问云服务商的执行底座。真正持久的记录是平台和函数在运行期间写下的内容——调用身份、参数、时长、外发调用和应用日志——因此这些遥测必须事先配置好。重放出来的实例只是一次重建，而不是原始事件的证据。

    编号 QB-U87KJX依据： CompTIA CySA+ CS0-004 Objective 1.1 (serverless and infrastructure concepts) — ephemeral compute shifts evidence from host artefacts to platform and application telemetry报告此题的问题

14. 14. 某虚拟机被怀疑运行着内核级恶意隐藏程序（rootkit），因此它自身的事件日志和端点代理输出都已不可信。虚拟化层能为这次调查提供什么？

    • A.提供不了任何独立的东西，因为虚拟机管理程序只记录资源调度，看不到客户机的活动，也看不到它发出的流量。
    • B.提供客户机进程创建的直接记录，因此在受影响的机器上，虚拟机管理程序日志可以替代已被攻陷代理的进程遥测。
    • C.提供客户机自身事件日志的权威副本，因为虚拟机管理程序会把它所管理的每台机器的客户机日志镜像到自己的存储中。
    • D.提供客户机控制不到的证据：该机器的虚拟交换机流量和管理平面操作，无需依赖客户机即可观察。✓ 答案

    当客户机内部的代码可能在撒谎时，价值就来自在它之下或之旁产生的记录。虚拟机管理程序和虚拟网络层能看到这台机器的流量以及对该虚拟机执行的每一项管理操作——电源状态、快照、重新配置、控制台访问——而客户机内部的恶意隐藏程序无法改动这些。虚拟机管理程序做不到的是复现客户机内部的进程细节，因此它是端点遥测的补充而非替代。

    编号 QB-BRZDYW依据： CompTIA CySA+ CS0-004 Objective 1.1 (virtualization; log integrity) — records produced outside a suspect guest are not subject to that guest's tampering报告此题的问题

15. 15. 员工通过企业身份提供方以单点登录方式访问一个托管的报销应用。分析师既要确认登录时第二因素是否通过，又要查明该账户随后打开了哪些报销单。这些证据分别在哪里？

    • A.两件事都在身份提供方的登录记录里，它既记录认证结果，也记录用户随后在该应用内部执行的每一个操作。
    • B.两件事都在这个托管应用的审计日志里，因为联合服务会把它收到的完整认证判定连同应用内活动一并记录下来。
    • C.两件事分别落在两处：认证结果和第二因素结果在身份提供方，应用内的操作在该服务自身的审计日志里。✓ 答案
    • D.两件事客户都拿不到，因为联合身份把登录记录和活动记录都置于托管服务商的单独控制之下了。

    联合身份把证据沿着它划分信任的同一条线切开了。身份提供方执行认证，因此拥有关于出示了哪些因素、应用了哪条策略以及结果如何的记录；服务提供方只收到一份断言，记录的是该会话随后在应用内部做了什么。凡涉及这两个问题的调查，必须从两边分别取证。

    编号 QB-T8U8DW依据： CompTIA CySA+ CS0-004 Objective 1.1 (identity and access management: SSO and federation; logging) — the IdP owns authentication records, the SP owns activity records报告此题的问题

16. 16. 某账户在凌晨两点被用来访问一个联合身份的云应用，但域控制器该小时的安全日志里没有该账户的任何登录记录。一名初级分析师据此把告警判为误报并关闭。应当如何评价这个判断？

    • A.这个结论成立，因为联合身份应用在授予任何访问权限之前，一定会先拿凭据去本地目录做校验。
    • B.这个结论是错的：联合身份应用的认证发生在身份提供方，因此记录在它的登录日志里，而不在域控制器上。✓ 答案
    • C.这个结论成立，因为没有登录记录就意味着那一小时内整个环境里都没有任何凭据被出示过。
    • D.这个结论不稳妥只是因为域控制器当时可能离线，所以核实它在那一小时内的在线状态就能把问题定论。

    联合身份把认证事件挪到了身份提供方，由它签发应用所信任的断言；在许多设计中，本地目录根本不会产生任何登录事件。查错了系统、又把空结果当作“什么都没发生”的证明，这是覆盖面缺口而不是结论。分析师必须先查身份提供方在该账户、该小时的登录日志，才能作出任何判断。

    编号 QB-ARN3TV依据： CompTIA CySA+ CS0-004 Objective 1.1 (SSO and federation; logging coverage) — absence of evidence in an out-of-path log is not evidence of absence报告此题的问题

17. 17. 分析师需要确认某个被攻陷账户是何时被加入特权组的，以及同一时间段内该账户是从哪台工作站完成认证的。哪一个数据源最能同时回答这两个问题？

    • A.文件服务器上端点代理的进程遥测，它记录每一次特权的使用，以及事先为其授权的那次组成员变更。
    • B.目录服务的安全日志，它既记录组成员关系的变更，也记录会指明发起请求的工作站的认证事件。✓ 答案
    • C.域控制器的网络流记录，它能显示该账户的认证流量，以及那次变更把该账户放进了哪个组。
    • D.特权访问保险库的取用历史，它记录每一次管理会话，以及取用那一刻被授予的目录组权限。

    目录与身份基础设施是账户状态和认证的权威记录，因为这两件事都是由它执行的。它的安全日志既包含组成员变更以及执行变更的行为人，也包含能指明请求来源工作站的票据或登录事件。网络流记录不含任何目录语义，凭据保险库则只覆盖经由保险库发起的那些会话。

    编号 QB-S8GW7V依据： CompTIA CySA+ CS0-004 Objective 1.1 (identity and access management; logging) — the directory service records both account changes and authentication events报告此题的问题

18. 18. 一项调查需要七个月前的 Web 代理证据。该代理的既定留存期是三十天，且这些记录没有任何归档。正确的处理方式是什么？

    • A.报告该时段内没有发生恶意浏览行为，因为代理上没有关于这名相关用户任何违规的记录。
    • B.请厂商恢复已过期的条目，因为设备会在过期后一整年内保持被删日志数据可恢复。
    • C.把留存设置提高到十二个月后重新检索，因为新数值同样适用于此前已经写入的记录。
    • D.说明留存窗口能证明什么、不能证明什么，转而追查比代理留存更久的来源，并把缺失月份记为局限。✓ 答案

    留存期界定了一个数据源能证明什么；超出这个窗口，诚实的结论是该数据源没有记录，而不是当时什么都没发生。修改留存设置只对今后生效，已过期的条目是被删除而非归档，因此分析师应明确说明这一局限，改用生命周期更长的数据源，并把这一覆盖缺口反馈到日志留存要求中去。

    编号 QB-HR5EZ5依据： CompTIA CySA+ CS0-004 Objective 1.1 (logging: retention and coverage); NIST SP 800-92 guidance that retention policy determines available log evidence报告此题的问题

19. 19. 某防火墙被配置为仅记录被拒绝的连接。一台工作站正通过被放行的 TCP 443 向外部命令控制主机定时回连，而防火墙日志里没有该工作站的任何条目。应当如何正确解读？

    • A.日志之所以沉默，是因为加密会话被豁免于防火墙记录，只要在规则上启用解密，对该工作站的记录就会恢复。
    • B.该工作站在此期间没有发起任何出站会话，因为被放行的会话仍然会在承载它的那条允许规则上写下一条记录。
    • C.日志的沉默反映的是记录配置而不是主机行为，因此必须把放行流量也纳入记录，或从别的数据源观察。✓ 答案
    • D.日志之所以沉默，是因为出站会话只在关闭时才写入，所以等这些长连接最终结束，缺失的条目就会出现。

    记录级别本身就是覆盖面的一部分：只记录拒绝的设备不会留下任何成功会话的记录，而对于搭着允许规则出去的命令控制流量来说，恰恰只有成功的会话才重要。因此没有条目说明的是配置问题，而不是主机的行为；补救办法是把放行会话也记录下来，或者改从网络流记录、端点遥测获得同样的可见性。

    编号 QB-Z8Y8E5依据： CompTIA CySA+ CS0-004 Objective 1.1 (logging levels and log coverage) — deny-only logging creates a blind spot for successful connections报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →