19 道优先级排序、缓解与控制措施练习题及答案

1. 1. 每周扫描返回两条结果。结果 A 被评为 critical，位于隔离网段中的一台实验室服务器上，该网段没有任何入站或出站路由，仅用于驱动测试。结果 B 被评为 medium，影响对外开放的 Web 应用，该应用是客户支付流程的入口，并且已有可用的利用代码在公开流传。应当先处理哪一条结果，依据是什么？

   • A.先处理结果 A：隔离网段里的实验室主机最常被内部攻击者利用其未修补的软件。
   • B.先处理结果 A：critical 评级高于 medium 评级，因此必须排在其他项之前修复。
   • C.先处理结果 B：它可从互联网到达，已有利用代码，其背后还有支付数据。✓ 答案
   • D.先处理结果 B：medium 项修补更快，先清掉它们可让未关闭结果的数量持续下降。

   严重性评级描述的是缺陷一旦被利用后果有多严重，并不说明是否有人能够触及它。优先级来自可达性、被利用的证据以及资产所保护的内容；因此，位于互联网可达的支付入口、且已有公开利用代码的 medium 结果，要排在一台既无入站也无出站路由的主机上的 critical 结果之前。

   编号 QB-2JWNXR依据： CompTIA CySA+ CS0-004, Objective 2.3 — Prioritize and mitigate vulnerabilities (context awareness: internal, external, isolated)报告此题的问题

2. 2. 两条结果都位于互联网可达的主机上，严重性评级相近。第一条的底层缺陷已被某国家级网络防御机构列入“确认正在被攻击者实际利用”的目录。第二条在任何地方都未观察到被利用，只有一篇理论分析文章。这一差异对处置顺序有什么影响？

   • A.两条都应降级，因为有公开记录的利用代码说明现有检测工具已经能阻断该攻击路径。
   • B.顺序完全不变，因为修复次序只由每条结果本身已经携带的严重性评级来决定。
   • C.应把已确认遭利用的那条提到队列最前面，因为已观察到的在野攻击意味着入侵是正在发生的事件，而不是有待推演的可能性。✓ 答案
   • D.应把仅有理论分析的那条提前，因为未被研究的缺陷比攻击者已在使用的缺陷有更多未知风险。

   严重性回答的是后果有多坏，被利用的证据回答的是当前发生的可能性有多高。位于可达主机上、且已确认正在被实际利用的缺陷，今天就在被攻击，因此要排在评级相近但尚无人武器化的缺陷之前；而公开存在利用代码绝不等于检测工具已经能够阻断它。

   编号 QB-J24UHS依据： CompTIA CySA+ CS0-004, Objective 2.3 — scoring methods and context awareness; CISA Known Exploited Vulnerabilities catalogue (confirmed active exploitation)报告此题的问题

3. 3. 同一产品上有两条严重性评级相同的结果。第一条影响一个管理接口，该接口只在管理 VLAN 上监听，仅可从两台跳板机到达，两台都要求 MFA，厂商补丁已排入下一个维护窗口。第二条影响该产品对外开放的 API 端点，前面没有任何访问限制。应先处理哪一条，另一条又该如何处置？

   • A.先处理公开的 API 端点；管理接口保留其已记录的访问限制，直到维护窗口到来。✓ 答案
   • B.先处理管理接口；因为内部人员滥用内部管理路径的情况，比外部人员滥用公开端点更为常见。
   • C.把两条放进同一次紧急变更；评级相同的结果必须一起修复，才能保持数量口径一致。
   • D.先处理公开的 API 端点；管理接口那条现在就可以关闭，因为访问已经受到了限制。

   评级相同时，区分它们的是攻击者必须走的访问路径。没有任何限制的公开端点任何人都能到达；而位于分段 VLAN 之后、只能经由要求 MFA 的跳板机访问的管理接口，前面已经有一层补偿性限制。这层限制降低了紧迫性，可以等到维护窗口，但它并没有消除缺陷，因此第二条结果要一直保持未关闭，直到补丁落地并通过验证。

   编号 QB-3J9Z4T依据： CompTIA CySA+ CS0-004, Objective 2.3 — context awareness and compensating controls报告此题的问题

4. 4. 扫描器在一台批处理服务器所捆绑的某个库中报出一条 high 严重性缺陷。开发人员确认：已部署的代码路径从不调用那个存在漏洞的函数，该库只是作为间接依赖存在，也没有任何监听服务使用它。同一个库被同一团队负责的一个面向客户的服务加载并对外暴露。这两处应如何排序处置？

   • A.把批处理服务器那条判为误报，因为调用不到的函数并不构成真正的漏洞。
   • B.先修批处理服务器，因为随着产品被部署到更多主机上，捆绑进去的这个库会扩散得越来越广。
   • C.把两者放进同一次紧急变更，因为共用同一个组件意味着每台主机面临的暴露完全相同。
   • D.先修面向客户的服务；批处理服务器那条按“当前不可达”继续跟踪，并设定复查时间。✓ 答案

   决定顺序的是可达性，而不是磁盘上是否存在有漏洞的代码：对外暴露的服务确实能被驱动进入那段有漏洞的代码，所以先处理它。批处理服务器上仍然真实存在有漏洞的代码，一次重构就可能让它变得可达，因此它属于带复查日期的基于风险的延后处置，而不是误报。

   编号 QB-F22UZN依据： CompTIA CySA+ CS0-004, Objective 2.3 — prioritization by context awareness and exploitability, not by rating alone报告此题的问题

5. 5. 一台老旧的排程设备上有一条无法打补丁的结果：厂商已停止支持，替换项目要到明年才完成。业务上又不能让这台设备停止服务。正确的处置方式是哪一种？

   • A.用严格的 ACL 收紧它的可达范围，并登记一条有期限的例外，指定责任人和复查日期。✓ 答案
   • B.把该结果直接判为误报，因为厂商已经没有可用补丁，同时把这台主机从周期性的扫描范围中移除。
   • C.让它原样挂在队列里不做处理，因为只有厂商补丁才能改变一条扫描结果的状态。
   • D.由分析师层面接受该风险，并在工单里写明这台设备目前没有可用的修复路径。

   当永远不会有补丁时，可行的做法是先用补偿性控制缩小攻击面，再把残余风险写成有明确期限、由风险责任人签署的例外记录。把结果压制掉，或由分析师私下接受，都会抹掉使这种延后处置得以成立的可见性和责任归属。

   编号 QB-YH7ZKP依据： CompTIA CySA+ CS0-004, Objective 2.3 — mitigation strategies: compensating controls and exceptions报告此题的问题

6. 6. 某个 Web 应用缺陷在六周内无法打补丁，于是团队在应用前面的过滤层上写了一条阻断规则，并验证该规则能挡住已知的攻击请求。漏洞管理负责人问：实际上改变了什么？哪种说法是准确的？

   • A.该结果现在可以关闭，因为经过测试的那个攻击请求已经完全到不了应用服务器。
   • B.当前的利用路径被阻断了，但缺陷仍然在代码里，因此该结果保持未关闭，补丁也继续跟踪到落地为止。✓ 答案
   • C.必须在台账里把严重性评级永久下调，因为这个缺陷现在已经无法再被利用了。
   • D.该缺陷算作已经完全修复，因此可以把补丁从那个应用的发布计划里去掉。

   补偿性控制通过阻断已知路径来换取时间，它并没有修复有漏洞的代码；攻击者只要找到规则匹配不到的请求形式，就又回到了原来的缺陷面前。因此该结果应在记录了该控制的情况下保持未关闭，只有在补丁应用并重新验证之后才能关闭。

   编号 QB-G2D67Q依据： CompTIA CySA+ CS0-004, Objective 2.3 — compensating controls versus remediation; validating remediation报告此题的问题

7. 7. 一条结果涉及内部文档服务中的一个可选文件预览功能。没有任何业务流程使用该功能，厂商的修复要再过两个版本才发布，而关闭该功能是厂商支持的配置变更。恰当的处置是什么？

   • A.在厂商发布该功能的修复之前，把整个文档服务从生产环境下线。
   • B.一直等到厂商发布修复版本，因为配置变更并不能算作对一条扫描结果的修复。
   • C.现在通过配置变更关闭这个没人使用的功能，等厂商版本发布后再打补丁。✓ 答案
   • D.申请永久的风险接受，因为没有人使用的功能不会被攻击者触及到。

   移除有漏洞的功能本身就是一条正当的修复路径，而不是权宜之计：功能不再运行，那段代码就无法被调用，而且该变更可逆并受厂商支持。为完整起见，补丁随后仍要打；相反，处于启用状态但没人用的功能依然可被利用，不能以“不可达”为由一笔带过。

   编号 QB-ZHJBSQ依据： CompTIA CySA+ CS0-004, Objective 2.3 — mitigation strategies: patching and configuration management报告此题的问题

8. 8. 一次配置加固变更通过终端管理平台推送到 300 台服务器，平台报告 300 台全部成功，工单随即自动关闭。下一次凭证扫描仍然把其中 46 台列为受影响。分析师应当得出什么结论并采取什么行动？

   • A.只要有 254 台复扫干净就可以关闭该结果，因为其余部分属于预期内的配置漂移。
   • B.平台的成功报告才是权威记录，因此那 46 条扫描结果应当按误报来处理。
   • C.扫描在变更之后跑得太早，正确做法是把这 46 条结果抑制一个完整周期。
   • D.部署报告不等于验证，应重新打开该结果，并把剩下的 46 台服务器推进到一次干净的凭证复扫。✓ 答案

   关闭一条结果要依据报出它的那个工具给出的证据，而不是执行变更的那个工具：代理完全可能报告推送成功，而服务未重启、策略冲突或回滚却使设置并未生效。凭证复扫才是验证环节，因此这 46 处不一致属于必须追到复扫干净为止的例外。

   编号 QB-N26U2W依据： CompTIA CySA+ CS0-004, Objective 2.3 — validating remediation (rescanning, audits and verification)报告此题的问题

9. 9. 一个内核更新可以关闭订单录入后端集群数据库上的一条内部结果。实施该更新需要滚动重启，厂商说明它在某一个存储驱动上存在回归问题；这台主机不对互联网开放，也没有关于该缺陷被利用的报告。下一个获批的变更窗口在九天后。站得住脚的做法是什么？

   • A.安排在已批准的变更窗口内实施，准备好回滚方案，并在变更之后执行一次验证性复扫。✓ 答案
   • B.今晚就在变更窗口之外强行推送该更新，因为任何一条未关闭的结果都应当优先于运维排期安排。
   • C.申请紧急变更并省掉回滚方案，以便把这次维护带来的停机时间压缩到最短。
   • D.无限期接受该风险，因为这次更新在某一个存储驱动上带有已记录的回归问题。

   修复本身也带有风险，而这里的结果属于内部、且没有观察到被利用，因此没有任何理由绕过变更管理。相称的做法是使用已批准窗口、为已知的驱动回归准备回滚路径，并在之后复扫以证明结果确实已关闭；不带回滚的紧急变更，是用一个不大的风险去换取影响营收系统的停机风险。

   编号 QB-6JBZMW依据： CompTIA CySA+ CS0-004, Objective 2.3 — patching and configuration management within change control; validating remediation报告此题的问题

10. 10. 要关闭一条结果，就必须在一台与支付相邻的服务器上禁用某个较旧的协议版本。这样做会中断一个供应商集成，而该集成在两个季度内无法改造；同时本组织的内部标准明令禁止使用该协议版本。分析师无法既满足标准又让集成继续运行。分析师必须怎么做？

    • A.保持该协议启用，并把供应商方面的业务理由写进扫描工单的备注字段里。
    • B.按正式的策略例外上报，交由风险责任人决策，并附上补偿性控制、到期日期和预定的复查安排。✓ 答案
    • C.在下一个窗口关闭该协议，让供应商的集成中断，直到对方完成改造为止。
    • D.把该结果重新归类为提示性信息，因为按目前的集成方式无法满足内部标准。

    当修复与已成文的内部要求无法同时满足时，这个决定就不再是技术问题，也不属于分析师的权限：它应通过例外流程交给风险责任人，由该流程记录业务理由、补偿性控制、到期日期和复查安排。默默让协议继续开着，或把结果降级，都会把一项组织从未正式接受的风险隐藏起来。

    编号 QB-MVUPDE依据： CompTIA CySA+ CS0-004, Objective 2.3 — exceptions and compensating controls; Objective 2.4 — risk management and governance of accepted risk报告此题的问题

11. 11. 两台可从外部到达的主机上有同一条结果，严重性评级相同，也没有观察到被利用。其中一台是宣传性网站，只有静态页面、没有用户账户；另一台是临床人员调取患者病历所用的门户。应先处理哪一台，决定因素是什么？

    • A.临床门户，因为需要认证的应用在评级上总是高于完全开放的应用。
    • B.宣传站点，因为不需要认证的公开站点给攻击者提供了最容易的第一个落脚点。
    • C.两者皆可，因为评级相同、暴露面相同，没有任何因素可以区分这两条结果。
    • D.临床门户，因为资产的用途和它背后的数据决定了被攻陷之后的后果。✓ 答案

    当暴露面和评级都相同时，由资产重要性和数据敏感度来打破平局：静态宣传站点被攻陷损失的是声誉，而病历门户被攻陷则触及受监管的患者数据和临床业务流程。评级本身并不会因为应用需要认证而改变；把某一项提到最前面的是业务背景，而不是分数。

    编号 QB-4DPHTD依据： CompTIA CySA+ CS0-004, Objective 2.3 — context awareness: asset criticality and data sensitivity in prioritization报告此题的问题

12. 12. 在补丁验证期间，一条结果将保持未关闭状态一个月。方案中列出了：一条阻断该漏洞端口的防火墙规则、一条在该端口被探测时触发的告警、一份主机被攻陷时的书面重建流程，以及对该未关闭项的每月管理层复查。哪一项提供的是检测性（detective）功能，这一功能在此处起什么作用？

    • A.防火墙规则，因为阻断这个存在漏洞的端口，本身就产生了记录各种尝试行为的日志证据。
    • B.端口探测告警，因为它能在缺陷仍然存在时告知团队：被阻断的那条路径正在被人试探。✓ 答案
    • C.重建流程，因为在主机被攻陷后恢复系统，可以揭示攻击者在此期间改动了什么。
    • D.管理层复查，因为每月一次的检查点能够发现那些超期仍未关闭的结果。

    阻断属于预防性功能，重建属于纠正性功能；只有告警会在漏洞仍然存在期间观察活动并加以报告，从而告诉团队临时防护是否正在被试探、这次延后是否依然安全。管理层复查是一种行政监督环节，并不是对攻击者活动的检测。

    编号 QB-KVGC8D依据： CompTIA CySA+ CS0-004, Objective 2.4 — control functions: preventative, detective, responsive/corrective报告此题的问题

13. 13. 一份针对机房内若干结果的修复计划列出三项内容：一份要求每季度复查服务器映像的成文标准；一个带锁机柜以及机架上方的摄像头；以及由代理强制实施的主机配置基线。请按所列顺序，依照控制的性质对这三项分类。

    • A.标准是行政管理类，机柜是物理类，基线是技术类。✓ 答案
    • B.标准是技术类，机柜是行政管理类，而基线是物理类。
    • C.标准是运行操作类，机柜是物理类，基线是管理层类。
    • D.标准是管理层类，机柜是技术类，基线是运行操作类。

    控制的性质取决于由什么来落实，而不是由谁提出：成文要求靠人和流程执行，带锁机柜加摄像头限制并观察物理访问，由代理强制实施的配置基线则由技术手段落实。“运行操作类”和“管理层类”属于更早的分类法，如今不再用来划分这些控制。

    编号 QB-3DB7NC依据： CompTIA CySA+ CS0-004, Objective 2.4 — control types: administrative (managerial), technical, physical报告此题的问题

14. 14. 一条位于第三方托管服务上的结果，本组织自身无法修复；管理层指出合同中有条款规定，泄露带来的成本由服务商承担。有人问分析师：这条结果是否可以关闭？哪个回答是正确的？

    • A.可以：既然责任已经落到服务商身上，这一项就可以从本组织的未关闭结果台账中移除。
    • B.不能：把损失由谁承担转移出去，并不改变技术暴露本身，因此该结果继续跟踪，并记录服务商的修复承诺。✓ 答案
    • C.可以：托管服务上的结果属于服务商自己的扫描范围，不在分析师的跟踪范围之内。
    • D.不能：必须先让这条合同条款失效，才能对托管服务上的任何结果开展处置或上报。

    通过合同或保险转移风险，转移的是财务后果，而不是漏洞本身：客户仍可能受到损害，服务仍可能被攻陷。因此分析师应把该结果留在台账中，记录服务商承诺的修复内容与时间，并上报残余暴露，因为只有服务商完成修复并经过验证，才能关闭它。

    编号 QB-JV523C依据： CompTIA CySA+ CS0-004, Objective 2.4 — risk management strategies (transfer) and third-party/supply chain risk报告此题的问题

15. 15. 某个处理支付卡数据的网段，受一项本组织通过与收单银行签订合同而继承下来的义务约束。该网段上的一条结果是用补偿性控制处置的，而不是打补丁。这项继承而来的义务给分析师的工作增加了什么？

    • A.必须强制提高该结果的严重性评级，由分析师在出报告之前手工录入。
    • B.没有额外要求：继承而来的义务约束的是外部审计报告，而不是漏洞管理台账。
    • C.证据义务：必须记录该控制、其审批、适用范围和复查日期，以备外部核验。✓ 答案
    • D.必须把该网段从扫描范围里移除，使这些结果不会出现在合规证据包中。

    继承而来的义务并不改变技术判断，它改变的是必须能被证明的内容：补偿性控制只有在事后能够说明它是什么、谁批准的、覆盖范围到哪里、何时重新评估时才可以被接受。正因如此，在受监管或受合同约束的范围内，分析师的记录不再是内部注释，而是需要留存的证据。

    编号 QB-2DYUFB依据： CompTIA CySA+ CS0-004, Objective 2.4 — regulatory and compliance drivers of vulnerability management, compensating control documentation报告此题的问题

16. 16. 当前有四条未关闭的结果。A：物理隔离测试台上的一条 high 评级缺陷。B：互联网可达的客户门户上的一条 medium 评级身份验证绕过，且已有在野利用报告。C：内部打印服务器上的一条 high 评级缺陷，其漏洞端口已在防火墙上被阻断。D：一台已断电、等待退役的备用服务器上的一条 critical 评级缺陷。应当先处理哪一条？

    • A.D，已断电待退役备用机上的 critical 缺陷，因为 critical 排在队列最前。
    • B.A，物理隔离测试台上的那条缺陷，因为它带有 high 严重性评级。
    • C.B，互联网可达门户上的那条身份验证绕过，且已有在野利用报告。✓ 答案
    • D.C，打印服务器上的那条缺陷，因为端口被阻断后 high 仍然高于 medium。

    四条之中只有一条同时具备：可达的攻击路径、面向客户服务上的身份验证绕过，以及攻击者当前正在利用的证据。物理隔离的测试台没有路径；已断电的备用机尽管评级很高，却没有正在运行的服务可攻击；打印服务器的路径已被阻断——这正是较低评级能够排在较高评级之前的原因。

    编号 QB-HVSPVA依据： CompTIA CySA+ CS0-004, Objective 2.3 — prioritization by exposure, exploitation evidence and existing controls rather than severity rating报告此题的问题

17. 17. 内部报表服务器上的一条结果原本被排为低优先级，因为该主机只位于内部网段。现在有个项目刚刚通过一个对外网关把这台服务器发布出去，供合作伙伴访问，而该结果仍未打补丁。正确的应对是什么？

    • A.维持原有排序，因为严重性评级和软件里的那个底层缺陷本身都没有发生任何变化。
    • B.既然主机现在可以从外部到达，就重新排序该结果，把暴露面变化当作触发条件。✓ 答案
    • C.维持原有排序，直到下一个扫描周期从外部视角重新报出这条结果为止。
    • D.下调排序，因为服务器前面有一个网关，暴露面从此由那个网关来承担。

    优先级是缺陷与其所处环境共同决定的，因此即使漏洞本身没有任何变化，暴露面的改变也会重新触发排序。等到下一次扫描，就等于让一个现在已可达的缺陷继续按过时的背景排序；而网关只有在确实过滤或终结了那个有漏洞的请求时才会降低暴露面，单纯把服务发布出去并不具备这种作用。

    编号 QB-ZCMHAA依据： CompTIA CySA+ CS0-004, Objective 2.3 — context awareness (internal, external, isolated) drives re-prioritization报告此题的问题

18. 18. 一台已不再受支持的医学影像控制器上有一条无法打补丁的严重结果。团队把它迁移到一个只允许影像工作站流量的网段，并记录所有其他尝试。管理者问：现在风险是否已经解决？哪个回答是准确的？

    • A.没有解决：网段划分对不再受支持的设备毫无作用，这台控制器必须立即退出使用。
    • B.已经解决：只允许一台工作站进入的网段彻底移除了攻击路径，因此这条结果可以关闭。
    • C.已经解决：把其余尝试全部记录下来，使该结果转变为检测性控制并消除了暴露。
    • D.没有解决：网段划分缩小了能够触及该缺陷的范围，换来了可监控的时间，但缺陷本身和设备更换都仍留在计划中。✓ 答案

    网段划分属于补偿性控制：它缩小了能与该缺陷通信的主机集合，配合日志记录，还能在这条窄路被滥用时给团队预警。但它并没有修复设备，而且被允许通行的那台工作站一旦被攻陷，本身就是一条进入通道；因此该结果保持未关闭，同时跟踪设备更换并定期复查该例外。

    编号 QB-GVECQ9依据： CompTIA CySA+ CS0-004, Objective 2.3 — mitigation via segmentation as a compensating control; residual risk remains报告此题的问题

19. 19. 某季度的漏洞台账里有四条记录：已应用厂商补丁并通过复扫确认；把存在漏洞的服务从主机上整体移除；在等待补丁期间用一条代理规则过滤利用请求；以及风险责任人书面决定暂不处置，并写明复查日期。其中哪一条是补偿性控制？

    • A.在补丁到位之前，用代理规则过滤利用请求的那一条。✓ 答案
    • B.已应用厂商补丁并通过后续凭证复扫确认干净的那一条。
    • C.风险责任人书面决定暂不处置、并写明复查日期的那一条。
    • D.把存在漏洞的服务从原先安装它的主机上整体移除的那一条。

    补偿性控制是在主控制尚无法实施时采用的替代措施，因此代替缺失补丁的那条过滤规则就是补偿性控制。打补丁和移除服务属于修复，因为有漏洞的代码被修好或已经不存在；而书面决定暂不处置属于风险接受，根本不是一种控制。

    编号 QB-YC9759依据： CompTIA CySA+ CS0-004, Objective 2.4 — compensating control as an alternative when the primary control is unavailable; Objective 2.3 remediation and risk acceptance报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →