44 道安全运营与身份访问管理练习题及答案
CompTIA Security+ 认证考试练习的全部安全运营与身份访问管理练习题，附正确答案和简短解析。
开始练习测验 →1. 09:12，一名销售经理从芝加哥办公室的地址登录云办公套件；09:41，同一账户从定位在布加勒斯特的地址成功通过认证，并批准了推送确认。该用户未使用任何远程接入隧道。最合理的判断是什么，分析师应如何处置？
- A.移动客户端夜间刷新了令牌；应对移动应用的异地告警统一做抑制。
- B.定位库把第二个地址标错了；应将该告警记为已知映射错误并关闭。
- C.该用户经境外合作方代理接入；应把该地址段排除在异地规则之外。
- D.会话被劫持或用户疲劳式批准了推送；应吊销会话并重置该凭据。✓ 答案
相隔 29 分钟、且在此时间内不可能往返的两地都出现成功认证，不可能同属一人，第二次会话要么是攻击者重放窃取的令牌，要么是用户习惯性批准了推送。处置应先于解释：先吊销活动会话并重置凭据，再去验证定位误差或代理接入等假设。
编号 QB-Y9BWSV依据： NIST SP 800-61, Computer Security Incident Handling Guide — detection and analysis of anomalous authentication报告此题的问题
2. 终端防护代理告警：一台财务工作站从邮件附件启动了带签名的脚本宿主进程，该进程随后连接了一个极少出现的外部地址，并注册了一项计划任务。对这组遥测数据，哪一种解读最有依据？
- A.带签名的程序不会被滥用，该告警是把更新作业误判为恶意行为。
- B.附件文档调用了系统自带工具并建立持久化，应按入侵事件处置。✓ 答案
- C.计划任务属于常规补丁活动，外部地址是软件厂商的分发网络。
- D.磁盘上没有落地文件，说明没有恶意代码运行，无需继续跟进。
代码签名只能证明解释器由谁发布，不能说明它被指使去做什么，攻击者恰恰偏爱这类受信任的系统自带工具。附件触发解释器、连接罕见外部地址、再写入计划任务，是先执行后驻留的完整链条，属于入侵而非误报。
编号 QB-ESSD2U依据： MITRE ATT&CK, T1059 Command and Scripting Interpreter and T1053.005 Scheduled Task报告此题的问题
3. 一次未认证扫描报告某 Linux 服务器上的一个 Web 组件存在严重漏洞。带凭据的核查显示，发行版软件包已包含厂商回补的修复，版本号按惯例保持不变，概念验证利用也失败了。该发现应如何处理？
- A.按真阳性保留，因为漏洞利用失败只能说明测试方法本身有问题。
- B.卸载该组件及相关服务，因为扫描器无法识别发行版的回补方式。
- C.从上游源码重新编译该库，因为横幅版本号才是真实风险的依据。
- D.按误报关闭，附上凭据扫描证据，并相应调整扫描策略的判定。✓ 答案
发行版通常在保留上游版本号的同时打入修复，因此仅凭横幅版本判断的扫描器会报出并不存在的漏洞。带凭据的软件包证据加上利用失败，正是确认误报的依据；同时应调整策略，避免同样的噪声每轮重现。
编号 QB-X9YJMU依据： CompTIA Security+ Exam Objectives, Security Operations — vulnerability analysis: confirmation of false positives and credentialed scanning报告此题的问题
4. 勒索软件正在三台文件服务器上加密文件，并通过服务器消息块共享向外扩散。一名初级管理员提出立刻重装第一台服务器。应当先做什么，为什么？
- A.立即重装第一台服务器，因为从源头清除恶意代码即可止住扩散。
- B.马上通知客户和监管机构，因为披露时限自首次发现即开始计算。
- C.用昨夜备份恢复共享目录，因为尽快恢复业务服务才是首要任务。
- D.先隔离受影响主机并阻断扩散路径，因为遏制应当先于清除。✓ 答案
标准事件处置流程把遏制放在清除之前，目的是在保全证据的同时先止住损失。先重装第一台服务器会销毁内存与磁盘证据，而其余受感染主机仍会继续加密；对外通知和数据恢复分别属于更后面的阶段。
编号 QB-HSUDJX依据： NIST SP 800-61, Computer Security Incident Handling Guide — containment, eradication and recovery报告此题的问题
5. 一台被攻陷的笔记本电脑已断网、相关账户已禁用，内存与磁盘镜像均已获取，入口被确认为一个恶意浏览器扩展。按标准事件处置流程，下一步应当做什么？
- A.召开复盘会议并修订预案，因为入侵入口此时已经查清楚了。
- B.把笔记本交还用户并观察是否再次告警，认为隔离已经足够了。
- C.清除该扩展及其残留文件，确认主机干净后再重建并恢复使用。✓ 答案
- D.恢复用户文件并重新接入网络，因为威胁已经失去访问能力。
断网与禁用账户属于遏制，证据也已保全，因此下一阶段是清除：删除恶意组件及其生成的全部残留，然后验证效果。之后才是恢复阶段的还原与验证，复盘总结是最后一个阶段，不能在主机尚未确认干净时提前收尾。
编号 QB-2A2K5Y依据： NIST SP 800-61, Computer Security Incident Handling Guide — eradication following containment报告此题的问题
6. 一台疑似被植入攻击工具的服务器仍在运行。团队可以采集内存、临时与交换文件、系统磁盘，以及已外发到日志服务器的日志。哪一种采集顺序是正确的？
- A.先取系统磁盘，再取内存与活动连接，随后交换文件，最后外发日志。
- B.先取外发日志，再取系统磁盘，随后临时与交换文件，最后内存内容。
- C.先取临时与交换文件，再取系统磁盘，随后外发日志，最后内存内容。
- D.先取内存与活动连接，再取临时与交换文件，随后磁盘，最后外发日志。✓ 答案
取证采集应从最易消失的数据取向最稳定的数据，因为关机甚至继续运行都会先破坏易失状态。内存与活动连接在关机时即消失，临时与交换文件随后很快被覆盖，磁盘在搬运中仍可保全，已复制到独立日志服务器的日志最为稳定。
编号 QB-GSG3DW依据： NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response — order of volatility报告此题的问题
7. 管理层需要确切知道，在两小时内向外部主机加密传输 4 GB 数据的过程中，究竟有哪些记录离开了公司。现有流量记录和终端进程日志。哪一种数据源能证明被传出的具体内容？
- A.流量记录，因为字节数、端口和时长可以确定传走了哪些文件。
- B.终端进程日志，因为进程名称可以显示读取了哪些具体文档。
- C.防火墙日志，因为每条放行会话的记录都保存了传输的内容。
- D.该时段的完整数据包捕获，前提是拥有会话密钥或解密代理。✓ 答案
流量记录、防火墙条目和进程日志都属于元数据，它们能回答谁与谁通信、持续多久、由哪个程序发起，却都不保存会话的实际内容。只有数据包捕获保存了载荷，而且必须掌握会话密钥或由代理终结加密，才能读出其中的内容。
编号 QB-Z9P8YW依据： NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response — collecting network traffic data报告此题的问题
8. 一块制作好的磁盘镜像先由首位响应人员交给取证分析员，再交给外部律师。庭审中对方主张该镜像无法与被扣押的设备对应。哪一项做法最直接回应这一质疑？
- A.校准证书，证明取证设备在镜像制作之前已经过检测与校验。
- B.响应人员的书面陈述，说明设备被发现时的状态及所做处置。
- C.留存计划表，证明该镜像已按策略要求保存了规定的期限。
- D.完整的交接记录，逐次写明保管人、日期、时间与交接目的。✓ 答案
对方质疑的是占有的连续性，只有监管链能够回应：它逐次记录谁在何时因何持有证据，使从扣押到出庭之间不存在无法说明的空档。校准证明、情况说明和留存计划回答的是其他问题，无法消除这一空档质疑。
编号 QB-BSQDHQ依据： NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response — chain of custody报告此题的问题
9. 法务告知，涉及一名前员工的诉讼已可合理预见。邮件系统 90 天后清除邮件，安全日志 30 天后滚动覆盖。运维团队必须怎么做？
- A.暂停相关账户与日志源的自动清理，直到法务解除该保全要求为止。✓ 答案
- B.把邮箱导出为本地归档文件，同时让原有清理计划继续照常执行。
- C.把保留期缩短到法定最低值，使日后可被调取的材料尽可能地少。
- D.在收到传票之前不做任何改动，因为此前一切仍以留存策略为准。
保全义务在诉讼可合理预见时即已产生，而不是等到收到传票，并且优先于相关人员与系统的常规删除计划。让 30 天与 90 天的清理周期继续运行，或刻意缩短保留期，即便删除是自动发生的，也可能被认定为毁损证据。
编号 QB-U9WJ4R依据： U.S. Federal Rules of Civil Procedure, Rule 37(e) — failure to preserve electronically stored information报告此题的问题
10. 一批退役的固态硬盘曾保存机密数据，现将出售给翻新商。每块硬盘都用内部介质密钥对写入的数据加密。哪种方法既能完成净化又能让硬盘继续使用？
- A.对全部逻辑块覆写三遍，可清除控制器所管理的每一个存储单元。
- B.在认证磁场中消磁，可清除任何类型存储介质上保存的全部内容。
- C.执行硬盘的加密擦除，丢弃介质密钥后原有数据即不可再还原。✓ 答案
- D.快速格式化并重装系统，即可把保存的记录从该硬盘上清除掉。
对自加密闪存介质而言，销毁介质密钥可一次性使全部已存数据不可读，同时硬盘仍可继续使用。覆写无法触及被磨损均衡隐藏的预留与超额配置单元，消磁只对磁性介质有效，快速格式化仅仅删除了文件索引。
编号 QB-4NU2QX依据： NIST SP 800-88, Guidelines for Media Sanitization — cryptographic erase and flash memory media报告此题的问题
11. 某安全运营中心每班收到约 4000 条告警，其中九成来自三条会对日常管理操作触发的规则。分析人员现在不看内容就批量关闭，上周还因此漏掉了一次真实检测。正确的应对是什么？
- A.直接停用这三条规则，因为如此大的量说明它们没有任何检测价值。
- B.为每个班次增加分析人员，因为这属于人力不足而不是规则问题。
- C.为这三条规则设定范围化例外与阈值，并跟踪检出质量的变化。✓ 答案
- D.把所有告警的级别调高，使任何告警都不能在未阅读时批量关闭。
告警疲劳属于检测工程上的失败，解决办法是调优：把已知正常的管理操作模式排除在外，并设定阈值，使规则仍能对异常情况触发。停用规则会制造盲区，增加人手只是让更多人消化同样的噪声，把级别普遍调高则会摧毁用于排序的优先级体系。
编号 QB-K5PV4X依据： CompTIA Security+ Exam Objectives, Security Operations — alerting and monitoring activities: alert tuning报告此题的问题
12. 某公司已发布一条 DNS 记录，列出获准为其域名发信的主机，但合作伙伴仍不断报告收到可见发件人字段为该公司域名的伪造发票。原因是什么，如何补上这一缺口？
- A.该记录会为每封邮件签名，签名不符即被拒收，所以那些反馈有误。
- B.该记录已经覆盖可见发件人字段，问题在于接收方选择不做校验。
- C.该记录只验证发送主机；需再发布带对齐与处置策略的记录才拒收。✓ 答案
- D.该记录的缓存时间过长，把生存时间调短即可阻止这些伪造邮件。
发送方授权记录针对信封发件人进行校验，因此一封邮件可以通过校验，却在用户真正看到的头字段里写上攻击者想用的任何域名。策略记录的作用，正是要求通过认证的标识与该可见头字段保持对齐，并指示接收方在不对齐时隔离或拒收，同时向域名所有者回送汇总报告。
编号 QB-5N7DVY依据： RFC 7489 (DMARC) — identifier alignment and policy, with RFC 7208 (SPF) — envelope sender authorization报告此题的问题
13. 在六小时内，认证日志记录到来自少数几个外部地址、针对 900 个不同账户各一次的登录失败，随后出现两次成功。没有任何账户触发锁定阈值。这组模式说明了什么活动？
- A.用一两个常见口令遍历大量账户，从而始终不触发账户锁定阈值。✓ 答案
- B.针对同一个账户高速尝试大量口令，直到猜中正确的那一个为止。
- C.把泄露的用户名口令组合批量重放到另一个不同的在线服务上去。
- D.某个配置错误的客户端反复提交同一用户已过期的缓存凭据。
判断依据在于数据形态：横向覆盖大量账户、每个账户只尝试一次，正是攻击者规避锁定计数的做法，即口令喷洒。传统暴力破解会把大量猜测集中在一个账户上，而配置错误的客户端只会对同一个身份反复失败，不会遍历 900 个账户。
编号 QB-M528AY依据： MITRE ATT&CK, T1110.003 Brute Force: Password Spraying报告此题的问题
14. 团队需要在新服务发布前找出可能存在注入风险的代码路径，但目前既没有可运行的实例，也还没有测试环境。哪种方法符合这一限制，它又会漏掉什么？
- A.对运行实例做动态测试，能覆盖输入路径，但需要可用的运行环境。
- B.静态源码审查，能发现有风险的写法，但看不到运行时的配置缺陷。✓ 答案
- C.对服务接口做模糊测试，能发现崩溃条件，但需要服务处于监听状态。
- D.依赖组件监控，能报告第三方库的缺陷，但不检查团队自写的代码。
静态分析在不执行代码的前提下审查源码，因此是所列方法中唯一能在实例尚未存在时开展的，也擅长发现未经校验的输入流入查询或命令的路径。它的盲区是一切依赖部署状态的问题，例如服务器配置、凭据和运行时数据流，这些需要之后的动态测试来覆盖。
编号 QB-6NJQ22依据： NIST SP 800-218, Secure Software Development Framework — review and analyze human-readable code报告此题的问题
15. 一张整改工单上既有该漏洞的唯一目录标识符，也单独给出了 0 到 10 的数值严重性评分。经理询问，应当依据哪一项来安排修复顺序。哪种说法是正确的？
- A.标识符的编号本身已体现严重程度，因此评分对排序没有额外作用。
- B.评分才是漏洞的唯一名称，标识符用于估计该漏洞被利用的难易程度。
- C.标识符只是名称；应由严重性评分结合暴露面来决定处置的紧迫性。✓ 答案
- D.两者都表示严重程度，应取其中数值较高的一个来决定修复的先后。
目录标识符只是一个标签，使各方能指称同一个漏洞，其数字本身不含任何严重性含义。0 到 10 的评分才是严重性评分体系，其环境与威胁指标正是把暴露面（是否面向互联网、是否已有利用代码、是否有补偿控制）折算进来，从而形成实际的处置顺序。
编号 QB-N5DJFZ依据： FIRST Common Vulnerability Scoring System specification; MITRE CVE Program identifier definition报告此题的问题
16. 某零售企业的员工无线网络使用共享口令。一名顾问捕获了关联阶段的交换报文，并在离线状态下用字典还原出口令。在不部署客户端证书的前提下，哪项变更能消除这种离线攻击？
- A.把口令加长并每季度更换一次，使已捕获的交换报文失去破解价值。
- B.关闭网络名称广播，使攻击者无法再捕获到关联阶段的交换报文。
- C.改用密钥交换可抵抗离线猜解并提供前向保密的个人模式。✓ 答案
- D.只允许已登记的硬件地址接入，使对方的抓包设备无法完成关联。
新一代个人模式用基于口令的认证密钥交换取代了预共享密钥握手，因此即使捕获交换报文，攻击者也得不到可供离线验证猜测的材料，而且即便日后口令泄露，各次会话密钥仍然安全。加长口令只是提高了猜解成本，隐藏网络名称和过滤硬件地址则既挡不住抓包，也挡不住破解。
编号 QB-7NW283依据： Wi-Fi Alliance WPA3 specification — Simultaneous Authentication of Equals (SAE) handshake报告此题的问题
17. 在没有任何告警触发的情况下，团队提出假设：入侵者可能通过计划任务维持驻留，于是在 90 天的终端遥测数据中检索极少出现的任务名称。这项工作最准确的定性是什么？
- A.事件响应的检测阶段，该阶段在告警被确认为真实之后才会启动。
- B.基于假设的主动狩猎，能够发现没有任何检测规则覆盖到的可疑活动。✓ 答案
- C.对持久化规则做调优，通过细化阈值与例外来降低告警产生的噪声。
- D.对计划任务做配置审计，用基线标准检查主机配置是否符合要求。
威胁狩猎是主动的，起点是关于攻击者行为的明确假设，而不是已经触发的告警，这正是它能发现现有规则从未描述过的入侵的原因。事件响应按定义是被动触发的，规则调优改的是规则而非检索数据，配置审计衡量的是合规性而不是寻找攻击者。
编号 QB-P5RVM2依据： MITRE TTP-Based Hunting methodology — hypothesis-driven hunting without a triggering alert报告此题的问题
18. 某 Windows 安全日志显示：十分钟内同一服务账户出现 200 条登录失败事件，随后是该账户的一条登录成功事件，接着是同一主机上的一条账户创建事件。哪种解读最有依据？
- A.计划任务使用了过期口令，管理员通过新建一个账户解决了该问题。
- B.口令猜解攻击得手，入侵者随后创建账户以维持对系统的持续访问。✓ 答案
- C.缓存凭据在域控之间复制，同步完成之前会持续产生登录失败记录。
- D.证书过期导致服务无法登录，成功记录表明证书续期已经完成。
密集的登录失败最后以一次成功收尾，正是猜解终于得手的特征，而紧随其后、来自同一主机的账户创建事件，则是入侵者为自己留下第二条回来的通道。服务口令过期只会反复失败、既不会成功也不会新建账户，而凭据复制和证书续期都不会产生账户创建事件。
编号 QB-8N9DD4依据： Microsoft Windows security auditing reference — logon events 4624 and 4625, account creation event 4720报告此题的问题
19. 某医院需要检查一条承载临床系统的链路上的流量，该系统不能容忍额外时延或会话被丢弃；同时希望在访客网段上实现自动阻断。哪种部署方式同时满足这两项要求？
- A.临床链路用串联阻断式传感器，访客网段用旁路镜像式传感器。
- B.临床链路用旁路镜像式传感器，访客网段用串联阻断式传感器。✓ 答案
- C.两条链路都用旁路传感器，再由脚本根据告警执行阻断动作。
- D.两条链路都用串联阻断式传感器，但在临床链路关闭全部特征。
由分光器或镜像端口馈送的传感器看到的是流量副本，因此绝不会增加时延或中断临床会话，但它只能检测和告警。要实现阻断就必须让设备串接在流量路径上，而这在访客网段是可以接受的，因为那里丢弃一条会话不会带来临床风险。
编号 QB-Q548T3依据： NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems — inline versus passive sensor deployment报告此题的问题
20. 二十台应用服务器刚刚基于厂商镜像完成部署，将通过防火墙向互联网发布服务。哪一组操作最直接地缩小该镜像本身带来的攻击面？
- A.关闭多余角色与服务，替换默认账户与密钥，并套用加固基线。✓ 答案
- B.安装终端防护代理，把主机加入域，并纳入统一的补丁维护窗口。
- C.开放服务所需端口，在防火墙上发布，并确认服务可以正常响应。
- D.开启全部详细日志，把主机纳入扫描范围，并安排季度复查工作。
攻击面就是攻击者可触及的监听服务、已启用功能和使用默认凭据的账户的集合，因此最小功能原则——删除应用不需要的一切、替换镜像自带的默认凭据——才是缩小攻击面的手段。日志、终端代理和补丁窗口很有价值，但属于检测与修复而非减少暴露，开放端口则是扩大攻击面。
编号 QB-9DTHVS依据： NIST SP 800-123, Guide to General Server Security — removing unnecessary services, applications and default accounts报告此题的问题
21. 为消除某数据库服务器上的一项发现，已部署了补丁，管理员当天下午就要求漏洞管理员关闭该工单。在关闭这一发现之前，必须具备什么？
- A.一次带凭据的复扫，证明该漏洞已消失，并把结果附在该工单上。✓ 答案
- B.一条变更记录，证明补丁已完成安装，并把记录附在该工单上。
- C.一份厂商公告，说明该版本修复了此漏洞，并随该工单一并归档。
- D.一份书面说明，确认服务器在打补丁后已重启，并随工单归档。
整改必须在受影响主机上经过验证才算完成，因为补丁可能安装失败、被回滚，或者在安装程序显示成功的同时仍留下有漏洞的组件。只有复扫才是对系统当前实际运行状态的检验；安装记录、厂商公告和重启说明描述的是意图，而不是最终状态。
编号 QB-SVYPFT依据： NIST SP 800-40, Guide to Enterprise Patch Management Planning — verification of remediation报告此题的问题
22. 员工使用个人手机收发公司邮件。制度要求离职时能够删除公司数据，同时不触及个人照片和消息。哪种配置满足这一要求？
- A.为企业数据启用受管容器，离职时只对该容器执行选择性擦除操作。✓ 答案
- B.要求设置锁屏口令并开启设备加密，离职之后企业数据即无法读取。
- C.把手机纳入完全管理，离职时通过恢复出厂设置清除整台设备的数据。
- D.禁止在个人手机上收发邮件，改为统一配发公司专用的备用手机。
容器化把企业邮件、文件和凭据放进一个受管工作区，在密码学上与手机其余部分隔离，因此平台可以只擦除该工作区而保留机主的个人数据。整机恢复出厂设置会销毁雇主无权删除的个人内容，锁屏口令在离职时不起任何作用，而禁用个人手机是放弃了既定安排而非保障它。
编号 QB-AD6V2U依据： NIST SP 800-124, Guidelines for Managing the Security of Mobile Devices — containerization and selective wipe报告此题的问题
23. 某制造商需要让三家供应商的工程师访问其零件设计门户。法务要求各供应商继续自行管理本公司员工账户，并且某工程师离职、供应商停用其账户的那一刻，此人就应立即失去门户访问权限。哪种设计能同时满足这两项要求？
- A.为每位供应商工程师在门户自有目录中建立来宾账户，并每季度复核一次。
- B.把企业目录扩展给各供应商，由其管理员在目录中为员工直接建立账户。
- C.接受各供应商身份提供方签发的身份断言，并映射到门户中的角色。✓ 答案
- D.为每家供应商发放一个共享账户，并在每个项目里程碑之后更换口令。
联邦身份让各供应商用自己的身份提供方完成认证，再把已签名的断言发给门户，由门户把断言映射为角色。制造商本身不保存凭据，因此供应商一停用账户，断言就不再签发，访问权限随即终止。来宾账户、把企业目录交给对方管理以及共享账户，都会留下必须由制造商自己去回收的凭据。
编号 QB-TVB2NU依据： NIST SP 800-63C, Digital Identity Guidelines: Federation and Assertions (identity provider asserts to a relying party)报告此题的问题
24. 财务部门要引入一套由外部托管的报销应用。安全部门要求用户口令绝不能传到该供应商，并且登录必须在浏览器中由公司现有的身份提供方完成验证。哪种方案满足这一要求？
- A.供应商保存每个口令的哈希副本，每晚从企业目录同步一次。
- B.由口令管理器从获批的共享凭据库中自动填写供应商的登录表单。
- C.由浏览器转送公司身份提供方签发的、已签名的身份验证断言。✓ 答案
- D.供应商通过受保护的通道把用户输入的口令交给企业目录核验。
在基于浏览器的单点登录中，身份提供方先完成用户认证，再签发一份已签名的断言，由浏览器提交给服务提供方；秘密始终留在身份提供方一侧，供应商即便被攻破也拿不到口令。哈希同步、凭据库自动填写和把口令转交目录核验，都会让口令或其哈希出现在供应商的链路上。
编号 QB-BDH78V依据： NIST SP 800-63C, Digital Identity Guidelines: Federation and Assertions (front-channel assertion delivered through the browser)报告此题的问题
25. 在一次未经批准的防火墙规则变更之后，调查发现四名网络工程师都用同一个 netadmin 账户登录该设备，而口令就写在团队维基上。管理层想知道这种做法让组织付出了什么代价。哪一项说法是准确的？
- A.它摧毁了个人可归属性，无法把这次变更追溯到具体哪名工程师。✓ 答案
- B.它削弱了口令本身，因为四个人都知道的秘密更容易被算出来。
- C.它使设备停止记录日志，因为设备不会记录共享账户的任何操作。
- D.它破坏了会话加密，因为设备无法把密钥绑定到某个具体的人。
认证、授权与审计中的审计环节，依赖于每一个动作都能对应到唯一可识别的个人。共享凭据仍然会产生完整日志、会话加密也不受影响，共享本身也不改变口令的数学强度；但日志里只会出现账户名，因此无法追究到具体是哪名工程师做的这次变更。
编号 QB-UVPCTV依据： NIST SP 800-53, Access Control family, AC-2 account management (individual accountability for shared and group accounts)报告此题的问题
26. 某诊所需要做到：只有当巡诊医生被排班到该诊点、处于其排班时段内、并且使用受管设备时，她才能打开患者病历。每次她轮转到别的诊点时，不应重写她的权限集合。哪种访问控制设计符合要求？
- A.为每个诊点建立一个角色，并在每次轮转时把该医生移入对应角色。
- B.由每份病历所属科室，针对她需要查看的具体记录逐条授予权限。
- C.给该医生分配一个密级，并为每份患者病历标注一个敏感度标签。
- D.在每次请求时，依据成文策略规则判断排班、时段与设备状态。✓ 答案
基于属性的访问控制在每次请求时，把主体、客体和环境属性拿去与策略规则比对后作出判断，因此轮转只改变排班属性的取值，而不需要改动权限集合。为每个诊点建角色会造成角色膨胀且需人工搬移；由病历所属科室逐条授权属于自主授权，规模一大就无法复核；用密级比对标签是强制访问控制模型，无法表达排班时段和设备状态。
编号 QB-CDVHDW依据： NIST SP 800-162, Guide to Attribute Based Access Control (ABAC) Definition and Considerations报告此题的问题
27. 某公司的身份管理流程会在员工调动当天授予新权限，却不收回任何旧权限，累积起来的权限只有到年度审计时才暴露出来。公司希望从源头上防止这种情况，而不是一年后才被报告出来。哪项改动能做到这一点？
- A.缩短审计周期，把累积下来的权限改为每季度报告一次。
- B.把离职清单提前，使账户在员工提出辞呈的当天即被停用。
- C.让调动流程在授予新权限的同时，一并撤销原部门的旧权限。✓ 答案
- D.在每次办理调动时，让员工重新确认一遍访问控制政策。
权限蠕变的根源在于调动环节只加不减，因此修补点就在该环节：撤销原岗位权限必须成为同一张调动申请的组成部分，这样权限在业务理由消失的那一刻就被收回。缩短审计周期只是更早发现问题；离职清单和重新确认政策则完全触及不到内部调动。
编号 QB-VV2QYW依据： CompTIA Security+ exam objectives, Security Operations, identity and access management (provisioning and de-provisioning user accounts)报告此题的问题
28. 某券商需要保护交易平台的管理员登录，抵御那种实时把登录信息中转到真实站点的钓鱼页面。哪一种第二要素满足这项要求？
- A.验证器应用生成的六位数字码，每三十秒刷新一次。
- B.硬件验证器对与站点域名绑定的挑战值进行数字签名。✓ 答案
- C.以短信发送到管理员登记手机号码上的一次性验证码。
- D.管理员在登记的公司手机上点击确认的推送通知。
实时中转的钓鱼站点能击穿一切由用户读出、重新输入或仅仅点击确认的要素，因为攻击者会在有效期内把它直接转发过去。而对与来源域名绑定的挑战值进行签名的验证器，其签名在攻击者的域名下无法使用，这正是它具备抗钓鱼能力的原因。
编号 QB-5DD77N依据： NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management (verifier impersonation resistance)报告此题的问题
29. 某银行的风险团队想为特权账户淘汰短信一次性验证码。一位高管反驳说，这些验证码是保密的，而且几分钟内就会失效。准确的反驳理由是什么？
- A.该验证码属于知识要素，只是重复了口令已经提供的那个要素。
- B.验证码位数太少，攻击者能在有效期结束之前把它猜出来。
- C.短信内容没有加密，同一无线网络中的任何人都能读到它。
- D.送达依赖于对号码的控制权，攻击者可通过携号转移夺走它。✓ 答案
发送到电话号码上的验证码属于持有要素，其全部安全性都建立在号码仍由本人控制这一前提上。一次用户识别模块调换或一次欺诈性携号转移，就能把号码转到攻击者名下，他随后照常收到验证码，既不必破解其保密性，也不必等到它过期。
编号 QB-NVJCSN依据： NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management (out-of-band authenticators using the public switched telephone network are restricted)报告此题的问题
30. 某构建流水线的配置文件与应用代码提交在同一个仓库里，其中以明文保存着生产数据库口令。团队需要在不让该凭据留在仓库里的前提下，保证流水线继续正常工作。哪项改动能做到？
- A.加密该配置文件，并把解密口令与流水线定义一起提交。
- B.让流水线在运行时以自身身份从保险库中取出该凭据。✓ 答案
- C.把口令换成更长的一个，并在每次生产部署之后轮换一次。
- D.把该凭据改存为仓库变量，并把仓库权限收紧到本团队。
秘密管理的做法是彻底消除被存储的秘密：工作负载用自身身份完成认证，在运行时才领取凭据，因此版本库里不再留下任何长期存在的秘密，轮换也集中在一处完成。提交解密口令只是把秘密换了个位置；仓库变量仍然随仓库存在并被一起复制；换成更长的口令，它依然是一个被存储的口令。
编号 QB-CFTPDW依据： NIST SP 800-53, Identification and Authentication family, IA-5 authenticator management (protection of static authenticators embedded in applications and scripts)报告此题的问题
31. 某云团队反复部署出允许匿名读取的存储桶，而扫描器要到几天后才报出这一暴露面。他们希望在任何存储桶被创建之前，就让这种不安全的定义被拒绝。哪种做法能实现这一点？
- A.提高扫描频率，使公开存储桶在创建后一小时内被标记出来。
- B.把该规则写成机器可读的策略，由流水线在部署模板上校验。✓ 答案
- C.发布一份禁止公开存储桶的书面标准，并要求每位架构师签署。
- D.把部署权限只授予已完成云安全培训课程的资深工程师。
以代码形式表达的策略会在构建阶段针对基础设施定义进行求值，因此一份会创建可匿名读取存储桶的模板会直接构建失败，资源根本不会被创建出来。扫描器属于检测性控制，只能在事后报告；签署书面标准或设置培训门槛属于管理性控制，无法在技术上阻止一次部署。
编号 QB-UXMHTV依据： CompTIA Security+ exam objectives, Security Operations, automation and orchestration (guardrails in the deployment process)报告此题的问题
32. 一个三人安全团队把过去全靠手工完成的账户开通、告警信息富化和一线处置动作实现了自动化。总监想知道组织究竟得到了什么。哪一项说法最恰当？
- A.书面操作规程不再需要，因为自动化工作流本身就是文档。
- B.每次执行的方式都一致，工作量可以扩大，响应也开始得更早。✓ 答案
- C.人手可以削减，因为平台会替人判断哪些事件值得投入处理。
- D.访问权复核可以放宽，因为服务账户已经代替人在执行操作。
编排对小团队的价值在于一致性和覆盖面：每一次都按同一套被强制执行的顺序运行，于是少数几个人能覆盖多得多的工作量，处置动作在几秒内就开始，而不必排队等待。自动化并不替代文档，也不替人做风险决策，而且它所使用的身份更需要复核，而不是更不需要。
编号 QB-BFFC8V依据： CompTIA Security+ exam objectives, Security Operations, automation and orchestration (efficiency, enforcing baselines, scale and reaction time)报告此题的问题
33. 一年之后，这个团队的自动化工作流只要供应商改动一次接口就会中断，而且几乎全部工作流都是由一名工程师编写的。一位董事想知道自动化带来了什么经常性成本。哪一项说法是准确的？
- A.这些工作流本身就是软件，需要版本管理、测试和明确的责任人。✓ 答案
- B.这些工作流需要一名分析师在每个工作日全程盯着控制台。
- C.这些工作流占用许可证，所以经常性成本主要就是平台的费用。
- D.每新增一种事件类型，这些工作流都必须重新经过法务审批。
自动化把手工劳动转化成了一套代码，而代码就要承担软件的长期义务：版本控制、针对接口变动的测试、文档，以及一名负责到人的责任人。把编写工作集中在一名工程师身上，还额外叠加了关键人员风险；许可证费用、盯控制台和法务审批都不是工作流变脆的原因。
编号 QB-TX97NU依据： CompTIA Security+ exam objectives, Security Operations, automation and orchestration (ongoing supportability, technical debt and single points of failure)报告此题的问题
34. 一项新法规要求某公司对备份介质加密。该公司现有一份数据保护政策、一份加密标准、一份备份规程和一份移动设备指南。强制性的密钥长度应记录在哪份文件里，新的操作员步骤又应写进哪份文件？
- A.密钥长度写入标准；操作步骤写入规程。✓ 答案
- B.密钥长度写入规程；操作步骤写入指南。
- C.密钥长度写入指南；操作步骤写入政策。
- D.密钥长度写入政策；操作步骤写入标准。
在治理文件层级中，标准负责规定强制性的具体要求，例如算法和密钥长度；规程则给出执行者要按顺序完成的操作步骤。政策只陈述意图和授权，不写技术参数；指南属于推荐做法，对任何人都没有强制力，因此这两者都不能承载强制性的密钥长度。
编号 QB-EFHCRY依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, security governance (policies, standards, procedures and guidelines)报告此题的问题
35. 某零售商聘请一家分析公司为其客户记录评估流失风险。零售商决定收集哪些数据、用于什么目的；该分析公司严格按指示运行模型，事后不留存任何数据。按标准隐私术语，这两方各属于什么角色？
- A.两者都是处理者，因为个人数据的所有权属于客户本人。
- B.分析公司是控制者，零售商是按指示行事的处理者。
- C.两者都是控制者，因为双方处理的是同一批客户数据。
- D.零售商是控制者，分析公司是按指示行事的处理者。✓ 答案
这一划分取决于谁作决定，而不是谁接触数据：决定处理目的和方式的一方是控制者；仅按控制者书面指示进行处理的一方是处理者。双方持有同一批记录，并不会让两者都变成控制者；数据主体对个人数据享有权利，也不会把控制者变成处理者。
编号 QB-WXB76Y依据： EU General Data Protection Regulation, Article 4 definitions of controller and processor报告此题的问题
36. 某仓库及其存货的价值为 4,000,000 美元。一项消防工程研究估计，一次火灾会毁掉该价值的 35 个百分点。一次火灾的单次损失期望是多少？
- A.350,000 美元
- B.1,400,000 美元✓ 答案
- C.2,600,000 美元
- D.4,000,000 美元
单次损失期望等于资产价值乘以暴露系数，即 4,000,000 乘以 0.35，得到 1,400,000。把 35 个百分点误读为 3.5 个百分点会算出 350,000；取存留部分而非损失部分会算出 2,600,000；把暴露系数当作全损则得出资产的全部价值。
编号 QB-DF62KX依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, quantitative risk analysis (single loss expectancy and exposure factor)报告此题的问题
37. 某模型把一次区域性数据中心洪水的单次损失期望定为 800,000 美元，历史记录显示这类洪水每四年发生一次。年度化损失期望是多少？
- A.200,000 美元✓ 答案
- B.400,000 美元
- C.800,000 美元
- D.3,200,000 美元
年度发生率以年为单位表示，因此每四年一次就是 0.25，而年度化损失期望等于单次损失期望乘以该发生率：800,000 乘以 0.25 等于 200,000。把它乘以四而不是除以四会得到 3,200,000；直接照搬单次损失期望，回答的则是另一个问题。
编号 QB-VXYUYW依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, quantitative risk analysis (annualized loss expectancy and annualized rate of occurrence)报告此题的问题
38. 某零售商的风险登记册显示，刷卡终端被篡改的年度化损失期望为 96,000 美元，而这种篡改每季度发生两次。单次事件的单次损失期望是多少？
- A.768,000 美元
- B.48,000 美元
- C.192,000 美元
- D.12,000 美元✓ 答案
每季度两次年度化后是每年八次，而单次损失期望等于年度化损失期望除以该发生率：96,000 除以 8 等于 12,000。把发生率当成每年两次会得到 48,000；用乘法而不是除法会得到 768,000；把年度数字翻倍则得到 192,000。
编号 QB-8FDCQR依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, quantitative risk analysis (relationship of annualized loss expectancy, single loss expectancy and annualized rate of occurrence)报告此题的问题
39. 某董事会决议写明，公司将积极进入新市场，并为此接受重大的技术风险，同时对任何可能中断工资发放的风险敞口维持严格限额。对该决议的正确解读是哪一项？
- A.整体属于保守型偏好，但对新市场放宽了容忍区间。
- B.整体属于中性偏好，因为两句表述正好互相抵消。
- C.这只是容忍度表述，因为偏好只能写成固定的限额。
- D.整体属于扩张型偏好，但对薪资发放的容忍区间很窄。✓ 答案
风险偏好指组织为实现目标愿意承担的风险数量和类型，为进入新市场而接受重大技术风险，正是扩张型的姿态。容忍度是围绕该偏好允许的偏离幅度，可以针对某一项敞口单独收窄，因此对工资发放设置严格限额与扩张型偏好并不矛盾，而是并存。
编号 QB-QX775R依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, risk management process (risk appetite: expansionary, conservative, neutral; risk tolerance)报告此题的问题
40. 一项业务影响分析得出结论：订单录入系统在任何故障中最多只能丢失五分钟已记录的交易，不过在系统重建期间，员工可以用纸单接单若干小时。这个五分钟的数字表达的是哪一项要求，又需要通过设计什么来满足它？
- A.恢复时间目标，它决定平台需要多快重建完成。
- B.平均修复时间，它决定工程值班人员如何排班配置。
- C.恢复点目标，它决定数据需要多久复制或同步一次。✓ 答案
- D.平均无故障间隔，它决定硬件按什么规格来选型。
对最多可以丢失多少数据的限制，就是恢复点目标；它靠备份或复制周期之间的间隔来满足，因为上一份副本之后写入的数据都会丢失。可以用纸单支撑若干小时说的是恢复时间目标；而两个平均时间指标描述的是修复时长和故障频率，而不是可容忍的数据丢失量。
编号 QB-DUUH9A依据： NIST SP 800-34, Contingency Planning Guide for Federal Information Systems, business impact analysis (recovery point objective and recovery time objective)报告此题的问题
41. 某理赔平台的恢复时间目标为四小时。厂商数据显示其存储阵列的平均修复时间为六小时，平均无故障间隔为两年。业务连续性负责人应得出什么结论？
- A.无故障间隔很长，足以抵消修复时间，目标仍然成立。
- B.应把该目标放宽到六小时，以便与厂商给出的数字一致。
- C.修复时间超过目标，恢复方案不能依赖于修好这台阵列。✓ 答案
- D.修复时间在此无关，因为该目标只管可以丢掉多少数据。
恢复时间目标是业务提出的要求，而平均修复时间是修复工作的预计时长；六小时的修复时间对四小时的目标，意味着设计上必须切换到冗余存储或备用站点，而不能等着把这台阵列修好。平均无故障间隔描述故障发生的频率，无法缩短任何一次具体的中断；而把业务要求下调去迁就某个部件，则是本末倒置。
编号 QB-WB2QUA依据： NIST SP 800-34, Contingency Planning Guide for Federal Information Systems, recovery time objective and maximum tolerable downtime报告此题的问题
42. 某公司与一家系统集成商签署了长期通用商务条款，涵盖责任、保密和适用法律，这样今后每个项目只需再附上各自的交付物、时间和价格清单。这里描述的是哪一对文件？
- A.通用条款用协议备忘录，每个项目再签一份服务级别协议。
- B.通用条款用主服务协议，每个项目再签一份工作说明书。✓ 答案
- C.通用条款用商业合伙协议，每个项目再开一张采购订单。
- D.通用条款用保密协议，每个项目再签一份谅解备忘录。
主服务协议是承载长期通用条款的有约束力合同，使这些条款不必逐个项目重新谈判；在其之下签署的工作说明书则界定具体交付物、进度和价格。协议备忘录不是商业合同；服务级别协议规定的是绩效指标；保密协议和合伙协议所涉事项则完全不同。
编号 QB-CUG749依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, third-party risk (agreement types: master service agreement, statement of work and work order)报告此题的问题
43. 两家医院集团希望签署一份书面文件，表明双方有意共享威胁情报并共同派人参加一次联合演练，但不产生任何约束义务，也不附带任何绩效指标。哪种文件符合这一需要？
- A.谅解备忘录，因为它记录共同意向，且不对任何一方产生约束。✓ 答案
- B.主服务协议，因为它约定一段商业合作关系的长期通用条款。
- C.商业合伙协议，因为它约定共同经营的实体如何解散和清算。
- D.服务级别协议，因为它约定双方各自必须达到的响应指标。
谅解备忘录记录双方宽泛的共同意向，通常不具有法律约束力，这正是不打算产生义务、也不打算给出可度量承诺时所需要的文件。服务级别协议的存在意义就是写明可度量的指标；主服务协议是有约束力的商业合同；合伙协议管的是合营实体的经济安排和解散。
编号 QB-VBPCP9依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, third-party risk (agreement types: memorandum of understanding and memorandum of agreement)报告此题的问题
44. 某监管机构要求做两项评估：第一项要复现一个毫无内部信息的外部人员能够做到的事；第二项要检验某个应用的授权逻辑能否被绕过，并向测试人员提供源代码和测试账户。按当前 Security+ 术语，这两项委托各自叫什么？
- A.第一项是未知环境，第二项是已知环境。✓ 答案
- B.第一项是部分已知环境，第二项是未知环境。
- C.第一项是防御方演练，第二项是融合演练。
- D.第一项是被动侦察，第二项是主动侦察。
当前考试目标按测试人员获得的信息量来划分委托类型：未知环境指不向测试人员提供任何信息；已知环境指完全披露，包括源代码和账户；部分已知环境介于两者之间。攻击方、防御方和融合描述的是团队扮演哪一方；被动与主动描述的是侦察手法，而不是信息披露程度。
编号 QB-FUJ7MC依据： CompTIA Security+ exam objectives, Security Program Management and Oversight, penetration testing (known, partially known and unknown environment)报告此题的问题
分套练习
本考试的其他主题
练习题依据 CompTIA Security+ SY0-701 考试目标编写。这是一个独立的学习工具，与 CompTIA 无关联、未获其认可，也不授予任何认证。 关于 Security+ →