19 道漏洞报告与沟通练习题及答案

1. 1. 一条已验证的漏洞发现需要写给负责 WEB-PUB-04 的团队：这是一台面向互联网的报表服务器，其 web server 版本已过期，测试中一个可用的利用代码成功触达了该服务。下列哪一组要素能让这份记录对该团队具有可执行性？

   • A.扫描器插件编号、插件原始输出、扫描开始时间、所使用的凭据配置，以及扫描器版本号。
   • B.该业务部门的风险偏好、映射到的框架控制项、受影响的审计周期，以及当前合规状态。
   • C.受影响的主机与服务、发现的具体状态、测试所证明的事实、建议的修复动作，以及不修复的后果。✓ 答案
   • D.漏洞目录编号、数值型严重性评分、厂商公告链接，以及存在同类问题的主机数量。

   一条发现项要具备可执行性，就必须告诉责任团队：什么受影响、问题是什么、证据究竟证明了什么、要改什么，以及不改会发生什么。扫描器元数据、漏洞目录编号和框架映射可以附在发现项后面，但它们都无法告诉团队该采取哪个动作、为什么重要。

   编号 QB-5XWTQJ依据： CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability management reporting and communication (affected hosts, recommendations and remediation, impact)报告此题的问题

2. 2. 一名分析师把一份 400 页的扫描器原始导出文件用邮件发给应用团队，结果没有任何漏洞被修复，团队回复说这个文件无法使用。漏洞报告与那份原始导出之间最本质的区别是什么？

   • A.报告会附上每条发现项的完整插件原文，使接收团队完全不必再自己去查询扫描器本身。
   • B.报告会验证并去重发现项，按责任人和资产分组，并为每一组说明应采取的动作和优先级。✓ 答案
   • C.报告会把导出文件转成电子表格，按严重性排序，并给行加上颜色，让评分最高的排在最前面。
   • D.报告会附上扫描配置、凭据配置和插件库更新日期，使任何读者都能精确复现每一条结果。

   原始导出是证据，不是报告：它未经验证、在多台主机之间重复，而且没有指定任何责任人。报告要做的工作是验证、去重、指派责任人，并给出明确的优先级和动作，这才把数据变成团队可以排期的东西。

   编号 QB-PEFBGM依据： CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability report content and stakeholder-focused communication报告此题的问题

3. 3. 风险委员会只有十五分钟时间，议题是支付链路上一个面向互联网的漏洞，涉及 40 台主机；修复需要一个维护窗口，期间清算将暂停两小时。对这类听众来说，下列哪种内容最合适？

   • A.逐台主机的清单，含目标补丁版本、拟定维护窗口，以及分配给这 40 台主机的工程师。
   • B.把该漏洞逐条映射到框架控制项，并说明每个未覆盖的控制项会产生的审计问题。
   • C.业务层面的暴露、委员会必须就清算暂停作出的决定、成本，以及推迟修复的风险。✓ 答案
   • D.CVE 编号、受影响的版本号，以及最初在每台主机上发现该漏洞的扫描器输出。

   高管和委员会这类听众要做的是决策、拨款或接受风险，因此报告必须给出影响、可选方案、成本和剩余风险。漏洞编号、主机清单和控制项映射分别是给责任人、工程师和审计人员的正确内容，这正是它们看起来很有吸引力却在这里错误的原因。

   编号 QB-6X96WK依据： CompTIA CySA+ CS0-004 Objective 4.1 — stakeholder identification and communication; executive summary content报告此题的问题

4. 4. 同一个支付链路漏洞现在要写成修复工单，交给负责这 40 台主机的平台团队。对这类听众来说，下列哪种内容最合适？

   • A.入侵指标，以及安全运营中心用来检测利用尝试的日志查询语句和告警规则。
   • B.预估的财务影响、组织的风险偏好说明，以及将决定是否为这项修复工作拨款的委员会。
   • C.该业务部门未关闭高危发现项的逐季度趋势，以及与同类业务部门的横向对比。
   • D.具体主机清单、需要安装的版本、约定的变更窗口、责任人，以及修复的验证方式。✓ 答案

   责任团队要做的是改动，因此沟通必须写清：哪些主机、装哪个版本、在哪个窗口、由谁负责、如何确认成功。财务口径属于委员会，趋势图属于管理层，检测内容属于运营中心，所以那几项都是给错了读者的正确材料。

   编号 QB-QETNNN依据： CompTIA CySA+ CS0-004 Objective 4.1 — action plans and audience-appropriate communication to asset owners报告此题的问题

5. 5. 一年来，一名分析师几乎把每条发现项都标成“严重—立即修复”，其中包括隔离主机上没有已知利用代码的项。现在责任人已经不再理会这些标签。关于这种做法造成的代价，下列哪种说明最准确？

   • A.严重性不再携带信息，责任人于是把所有项同等推后，真正紧急的发现再也得不到优先处理。✓ 答案
   • B.报告变得更站得住脚，因为把每一条都评为最高严重性绝不会低估组织的真实风险。
   • C.责任人整体上会修得更快，因为一个全都紧急的队列消除了关于哪一条先做的争论。
   • D.严重性评级依然准确，因为严重性属于分析师的判断，资产责任人必须照单接受它。

   严重性之所以有用，是因为它能区分发现项之间的轻重；把它一律拔高就抹掉了这种区分，队列又退回到责任人想先做什么就做什么。真正被消耗的是分析师的可信度：一旦标签不再能预测真实的紧急程度，责任人也就没有理由把下一条当成紧急事项。

   编号 QB-7XMG3N依据： CompTIA CySA+ CS0-004 Objective 4.1 — risk communication and analyst credibility; severity must reflect validated exposure and exploitability报告此题的问题

6. 6. 一份月度漏洞报告一直只给出一个数字：月末仍未关闭的发现项数量。管理层表示无法判断暴露面是否在下降。下列哪一项补充最能回答这个问题？

   • A.当前未关闭的十条最高严重性发现项的最新排名，并附上每一条的数值严重性评分。
   • B.每月新增与已关闭发现项的对比，以及未关闭项已持续的时长，使变化方向可见。✓ 答案
   • C.每月执行的扫描次数和扫描器插件库中的插件数量，用来体现投入的工作量。
   • D.按业务部门统计的未关闭发现项数量，以便找出并点名总量最大的那些部门。

   月末的单一数字只是一张快照，无法显示方向：同一个总数既可能对应一个什么都没关掉的团队，也可能对应一个关闭速度刚好赶上新增速度的团队。把新增与关闭放在一起比较，再看未关闭项持续了多久，才能让管理层判断暴露面是否真的在缩小。

   编号 QB-RE6ZTP依据： CompTIA CySA+ CS0-004 Objective 4.1 — trend analysis and vulnerability metrics (open versus closed, aging, recurrence)报告此题的问题

7. 7. 连续四个季度，同一处不安全的服务配置在生产服务器上被修复，随后又在修复之后新建的服务器上重新出现。下列哪种解读最有依据，报告又应当建议什么？

   • A.缺陷存在于系统镜像和变更流程之中，报告应建议从源头纠正这个缺陷。✓ 答案
   • B.修复其实从未真正执行过，报告应把责任人的不合规行为上报给管理层。
   • C.扫描器报的是误报，报告应把该项记录为一条已获批准的正式例外。
   • D.这里的复发属于正常波动，报告只需重新下发同样的工单并继续跟踪修复时长。

   在验证过的修复之后，新建主机上又出现同样问题，说明问题在上游：黄金镜像、部署模板或变更流程一直在把这个弱点重新引入。周期性报告遇到这种形态，应当建议修正源头，而不是永远重复下发逐台主机的工单。

   编号 QB-8XYT8P依据： CompTIA CySA+ CS0-004 Objective 4.1 — recurrence as a reported metric; configuration management as a remediation recommendation报告此题的问题

8. 8. 一份报告按存续时长拆分未关闭的发现项：多数高危项已开放超过 180 天，而低危项在一周之内关闭，未关闭项的总数没有变化。这种分布最可能说明什么？

   • A.高危评级被夸大了，应当在下一个报告周期之前重新校准严重性标尺。
   • B.扫描执行得过于频繁，降低扫描频率就能让责任人腾出时间去关闭积压的老项。
   • C.修复投入流向了最容易修的项，因此讨论应围绕存续时长分布，而不是总数。✓ 答案
   • D.这个计划运行良好，因为关闭率很高，多数工单都在一周之内就关闭了。

   把存续时长和严重性放在一起读，就能看出工作量实际流向了哪里：漂亮的关闭数量全部来自低危项，而危险的暴露被搁置了好几个月。正因如此，周期性报告应当按严重性给出未关闭项的存续时长分布，而不是只给一个总数。

   编号 QB-SEHBZQ依据： CompTIA CySA+ CS0-004 Objective 4.1 — vulnerability aging and time-to-remediate reporting broken out by severity报告此题的问题

9. 9. 一份季度报告以“98% 的发现项在约定窗口内完成修复”作为开头，脚注写明扫描覆盖了已知资产的 61%，而一家收购来的子公司网络从未被扫描过。报告开头最应该放什么？

   • A.扫描器凭据失败清单，因为认证覆盖属于扫描配置问题，不是报告内容。
   • B.已修复发现项的严重性分布，因为它显示了本季度投入究竟花在了哪里。
   • C.修复比例，因为这是该计划需要负责的最终结果，而且各季度趋势是向好的。
   • D.覆盖缺口，因为未被扫描的资产意味着那个修复比例只描述了被测量的那部分。✓ 答案

   修复百分比只是对已发现项的比率，对从未被检查过的资产什么都没说；那片未被扫描的网络才是更大的未知，应当放在读者眼前，而不是塞进脚注。把覆盖率和结果一起报告，才能避免那个头条数字被当成对整个资产环境的保证。

   编号 QB-9XB6EQ依据： CompTIA CySA+ CS0-004 Objective 4.1 — scan coverage and asset inventory reported alongside remediation metrics报告此题的问题

10. 10. 一台临床设备无法由客户自行打补丁，业务方决定让它继续运行。分析师必须在漏洞报告中把这件事写成一次风险接受。这条记录必须包含什么，这次接受才站得住？

    • A.严重性评级、该资产的业务关键性，以及该风险低于报告门槛的确认说明。
    • B.厂商关于不存在补丁的声明，以及显示该项已从修复队列中移除的工单编号。
    • C.所接受的风险、有权接受该风险的具名责任人、已到位的缓解措施，以及复审日期。✓ 答案
    • D.分析师的建议、扫描器证据，以及安全团队已按“接受风险”关闭该发现项的书面说明。

    接受风险是业务决策，因此报告必须把这个决策本身写出来：接受的是什么、由谁依据什么权限接受、有哪些补偿措施在降低它、什么时候再复审。没有具名的接受人和复审日期，它就不是风险接受，只是一条不再被跟踪的未修复发现项。

    编号 QB-JQPXAX依据： CompTIA CySA+ CS0-004 Objective 4.1 — risk acceptance and communication of risk-management decisions to stakeholders报告此题的问题

11. 11. 一个开发团队希望再用两个发布周期继续运行一个已停止支持的数据库版本，而加固标准禁止这样做。这种偏离应当如何沟通和记录？

    • A.作为一条已关闭的发现项，并加上扫描器抑制规则，让该主机不再出现在后续报告中。
    • B.作为一项有期限的例外，写明批准人、补偿性控制、到期日期，以及被接受的剩余风险。✓ 答案
    • C.作为分析师与该团队之间的非正式约定，在下一次季度扫描执行时再重新讨论。
    • D.作为对加固标准的一次修订，因为标准本就应该描述生产环境今天实际运行的东西。

    偏离策略只有在以下情况下才站得住：由有权限的人批准、限定期限、配有补偿性控制并写明剩余风险，这样它到期就自动失效，而不会悄悄变成永久状态。把标准改成迁就现实等于取消了这项控制，而抑制该发现项则是把它从本应跟踪它的报告里藏了起来。

    编号 QB-38V4WX依据： CompTIA CySA+ CS0-004 Objective 4.1 — exceptions, compensating controls and documented deviations in vulnerability reporting报告此题的问题

12. 12. 一条面向互联网的严重发现项已经两次超过约定的修复日期。系统责任人回复了邮件，但没有安排任何工作。分析师接下来正确的做法是什么？

    • A.把该发现项发到全公司范围的频道，用可见度和同侪压力推动责任人排期。
    • B.按文档化路径上报给责任人的管理层和风险职能部门，并附上历次沟通记录。✓ 答案
    • C.在下一个维护窗口由安全团队自行打补丁，因为最终承担该资产风险的正是安全团队。
    • D.把该项按业务已接受的风险关闭，因为责任人持续不作为实际上就是一种接受。

    上报是一条既定路径，而不是临场发挥：分析师把未被处理的暴露连同“何时沟通了什么”的证据，提交给责任人的管理层和风险职能。广而告之、替别人给系统打补丁，或者把沉默当成接受，都绕开了真正有权决策的人。

    编号 QB-KQ2AGY依据： CompTIA CySA+ CS0-004 Objective 4.1 — escalation paths and action-plan governance when remediation stalls报告此题的问题

13. 13. 一名系统责任人否认某条发现项，称已安装的 build 编号与扫描器声称存在的版本并不一致。分析师认为该检测是可靠的。分析师应如何处理这一分歧？

    • A.接受责任人关于版本的说明，把该项按误报关闭，并在报告中注明这次关闭。
    • B.维持该发现项原样，并把该团队标记为不合规，直到它提供厂商的书面文档为止。
    • C.与该责任人一起在主机上复测，出示结果背后的证据，并把更正后的结论记录下来。✓ 答案
    • D.立即上报到责任人的总监一级，因为质疑扫描器结果就是想逃避修复工作。

    有争议的发现项要靠证据、并且是双方一起来解决，无论结论如何都要写进记录，因为“确认成立”和“确属误报”都是有用的记录。先上报，或者仅凭责任人一句话就让步，都是用证据换立场，还会损害分析师赖以工作的协作关系。

    编号 QB-488F3Z依据： CompTIA CySA+ CS0-004 Objective 4.1 — communication with asset owners; validation outcomes (true positive, false positive) recorded in the report报告此题的问题

14. 14. 一家集成合作方直接给分析师发邮件，要求提供共享接口上一个尚未修复漏洞的完整细节，而组织还没有就披露内容达成一致。分析师应该怎么做？

    • A.拒绝一切后续联系并删除该请求，因为讨论未关闭的发现项都会带来法律责任。
    • B.把该请求转交法务和对外沟通负责人，只提供经批准流程放出的内容。✓ 答案
    • C.先在公司博客上发一篇摘要，让客户从本组织这里听到这个漏洞的消息。
    • D.直接把相关扫描输出发给合作方，因为其自身集成受影响，需要这些技术细节。

    未修复漏洞的细节是可被利用的信息，还牵涉合同与法律后果，因此是否披露的决定属于法务和对外沟通负责人，而不是某个分析师个人。一概拒绝联系同样不对：这个请求是正当的，应当通过经批准的渠道回应，而不是无视，也不是单方面答复。

    编号 QB-MQDMNZ依据： CompTIA CySA+ CS0-004 Objective 4.1 / 4.2 — stakeholder identification; external communication routed through legal and communications报告此题的问题

15. 15. 一名外部评估人员要求提供证据，证明持卡人数据环境在上一个周期满足了所要求的外部扫描义务。分析师手上只有昨晚的内部认证扫描导出文件。评估人员需要的是哪一种材料？

    • A.显示本季度修复比例与该计划各项内部目标对比情况的高管仪表板。
    • B.同一网段的内部认证扫描导出，因为它发现的问题严格多于外部扫描。
    • C.列出每一条未关闭发现项及其责任人、到期日期和现有补偿性控制的行动计划。
    • D.由获批扫描流程产生的通过的外部扫描记录，作为该周期的留存证明。✓ 答案

    扫描导出是组织为自己产出的技术证据，而合规义务要靠按规定方式完成、并为相应周期留存的指定评估来满足。更彻底的内部扫描不能替代，因为义务针对的是规定的方法和记录，而不是哪种工具能发现更多问题。

    编号 QB-58KS82依据： CompTIA CySA+ CS0-004 Objective 4.1 — compliance reports and attestation of findings versus technical scan reports报告此题的问题

16. 16. 一台受管安全设备存在一个高危操作系统漏洞。厂商合同规定，如果客户自行为操作系统打补丁，支持服务即失效。报告应当建议什么？

    • A.采用补偿性控制，并记录一项有期限的例外，同时通过厂商支持渠道推进真正的修复。✓ 答案
    • B.接受该风险且不再采取任何行动，因为合同已经取消了组织修复该漏洞的能力。
    • C.把该发现项从报告中删除，因为组织无权打补丁的设备不在扫描范围之内。
    • D.由本地管理员立即打补丁，因为未修补的高危漏洞的分量高于一份支持合同。

    厂商或合同限制是公认的修复阻碍因素，而阻碍因素改变的是风险的处理方式，而不是是否上报。可写进报告的答案是：先用补偿性控制降低当前暴露，记录一项带到期日的例外，同时推动厂商交付受支持的修复。

    编号 QB-NQRXT2依据： CompTIA CySA+ CS0-004 Objective 4.1 — inhibitors to remediation (proprietary systems, contractual constraints) and compensating controls报告此题的问题

17. 17. 同一周收到三项请求：一名外部审计人员要求证明某项必需控制已得到满足；一位总监想看她所在部门四个季度的态势是否改善；一个服务器团队想知道本月要改什么。哪一组材料按顺序对应这三项请求？

    • A.合规报告、风险评分卡，以及写明责任人和日期的行动计划。✓ 答案
    • B.风险评分卡、扫描原始导出，以及未关闭发现项的高管摘要。
    • C.扫描原始导出、行动计划，以及列出未通过控制项的合规报告。
    • D.高管摘要、合规报告，以及受影响主机的扫描原始导出。

    每种材料都有它的用途：合规报告向外部方逐项证明控制状态；风险评分卡按时间汇总某个业务部门的态势；行动计划告诉团队要改什么、由谁负责、何时完成。把扫描导出交给审计人员，或把主机清单交给总监，正是典型的“材料对、用途错”。

    编号 QB-68X4E3依据： CompTIA CySA+ CS0-004 Objective 4.1 — report types: compliance reports, risk scores/scorecards, action plans, executive summaries报告此题的问题

18. 18. 行动计划中的一行写着：“将三台面向互联网主机上的认证服务升级。责任方：平台团队。截止：下季度末。”该漏洞出现在公开的已知被利用漏洞目录之中。这一行最重要的缺陷是什么？

    • A.没有落到具体个人，没有写明依赖项，日期延误时也没有上报路径。✓ 答案
    • B.没有记录数值型的严重性评分，读者因此无法确认该发现项的评级是否正确。
    • C.没有把该漏洞映射到框架控制项，使这次修复的审计链条不完整。
    • D.没有给出扫描器插件编号，责任人无法在动手之前先复现这次检测。

    行动计划的存在是为了让工作真的发生，所以每一行都需要一个对它负责的人、这项工作所依赖的前置条件，以及日期过了会发生什么；只写团队名和季度末日期，不会让任何人在这一周动手。其他几项缺失只是文档层面的不足，并不妨碍升级被排上日程。

    编号 QB-PQ4AZ3依据： CompTIA CySA+ CS0-004 Objective 4.1 — action plan elements: owner, dependency, escalation, and due date tied to exposure报告此题的问题

19. 19. 一名分析师让内部 AI 助手起草月度漏洞叙述报告。草稿声称有两台主机已完成修复，并引用了一个在任何扫描结果中都不存在的 CVE。在这份报告分发之前，必须先做什么？

    • A.把草稿贴进公共模型征求第二意见，因为两个模型很少重复同一个错误。
    • B.在发出时附注该文本由机器生成，让读者自行判断其中发现项的可信度。
    • C.用这两台存在争议的主机重新训练助手，使以后的叙述不再出现该错误。
    • D.分析师逐条核对每项说法与作为依据的扫描数据，并对最终发出的内容承担责任。✓ 答案

    生成式草稿可能声称从未发生过的修复，也可能编造出标识符，因此每一项说法在发布前都必须与权威的扫描和工单数据核对一致，并由具名的人对结果负责。给草稿贴个“机器生成”的标签，等于把核对责任推给读者；而把漏洞细节贴进外部模型，还会造成敏感数据外泄。

    编号 QB-78AFK4依据： CompTIA CySA+ CS0-004 Objective 4.1 / 4.2 — AI-assisted documentation with human verification; AI risks (hallucination, data exposure) in reporting报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →