Wondershare EdrawMind
마인드 맵 갤러리 CISSP學習筆記-域6（安全評估與測驗）
- 13
- 1
CISSP學習筆記-域6（安全評估與測驗）
這是一篇關於CISSP學習筆記-域6（安全評估與測驗）的心智圖，主要內容包括：複習題，知識點。
2024-04-06 10:04:44에 편집됨
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-域6（安全評估與測驗）
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
- 추천 사항
- 개요
CISSP學習筆記-域6（安全評估與測驗）
知識點
6.1 沒計並驗證評估、測試和審計策葉
6.1.1. 評估、測試和審計
6.1.1.1測試 (Tests)
一種技術活動，透過執行系統以確認其是否符合特定要求或預期的行為。測試通常用於發現系統中的問題和錯誤。在安全領域，測試包括漏洞掃描、滲透測試等，用於發現並評估系統的潛在安全風險。
6.1.1.2評估 (Assessments)
評估是對特定對象、系統或流程的綜合評估活動，它可以是基於量化或定性的標準，例如風險評估就是評估發生特定風險的可能性，也可以是評估組織的安全流程的品質。
6.1.1.3審計 (Audit)
審計是一個更正式、結構化的過程，其主要目標是根據明確的標準或規範來驗證和確認物件或系統的合規性。審計通常由獨立的第三方機構進行，以確保審計結果的公正性和公平性。例如，系統審計可能會確定係統是否符合支付卡產業資料安全標準 (PCI DSS)。
6.1.2. 內部審計
內部評估和審計是由組織自己的人員進行的評估和審計活動。這種活動可以持續地進行，作為組織安全管理的一部分。
1.內部稽核的優缺點
•優點：由於內部人員對組織的運作和業務有深入的理解，所以他們能夠更準確、有效率地進行測試或評估。此外，內部稽核也更加靈活，可以根據組織的需要隨時進行。
•缺點：有潛在的利益衝突，如「誰制定的政策就不應該由誰來審計」。因此，內部稽核可能缺乏獨立性和公正性。
2.適合內部進行的測試類型
•漏洞掃描：定期進行，以發現未打補丁的軟體或未知的資產。
•流程與程序稽核 ：例如變更管理、員工訓練完成等。
•網路釣魚模擬：測試員工對網路釣魚攻擊的辨識和應對能力。
3.為外部審計做準備
在進行外部審計之前，組織可以選擇先進行一次內部的準備審計。這樣可以在正式審計開始前發現並修復任何存在的問題或缺陷，有助於改善外部審計的結果。
6.1.3. 外部審計
外部審計通常由獨立的第三方機構進行，這些機構沒有與被審計組織有直接的利益關係。因此，外部審計可以提供公正和獨立的評估和審計結果，這對於發現和改善組織可能忽略的問題特別有價值。但也可能需要投入更多的時間和資源。因此，組織在決定進行外部審計時，需要權衡利弊，並考慮其具休的業務需求和條件。
適用外部審計的情況包括：
•合規審計 ：為滿足特定的合規要求，如支付卡產業資料安全標準 (PCI-DSS)、國際資訊安全管理系統標準 (IS0 27001） 等，需要進行外部審計。
法律或監管要求：在某些情況下，根據法律或監管規定，組織可能需要進行外部審計。例如，為了滿足特定的業務要求，可能需要根據成熟度模型進行成熱度評估。
6.1.4. 第三方審計
對第三方的審計。也叫供應鏈審計。是評估和管理供應鏈安全風險的重要手段，可以由組織本身或第三方審計師進行。審計過程將評估供應鏈中的安全控制和策略，識別風險並提出緩解措施。某些供應商可能提供第三方的稽核報告，如服務組織控制2(SOC2） 報告，這有助於組織更好地理解和管理供應鏈風險。
6.2. 進行安全控制測試
6.2.1. 脆弱性評估
一、策略概述
脆弱性評估是風險管理的關鍵組成部分，它主要是識別和評估硬體和軟體資產的漏洞，以防止被攻擊者利用。
漏洞評估的主要步驟包括：
1）建立資產清單：識別組織的關鍵資產並確定漏洞掃描的優先順序。
2 選擇掃描工具：依據法律、合約或法規要求、平台相容性和成本等因素，選擇適合的漏洞掃描工具。
二、漏洞評估的常見問
1.過大的流量和 DoS
說明：漏洞掃描器可以產生大量的流量，消耗網路頻寬，並可能導致網路和系統在努力處理資訊時出現 DoS 狀況。
解決方案：
1） 正確的配置，例如實施請求節流，限制掃描器在特定時間段內產生的請求數
2） 憑證式掃描，取得配置訊息，精確掃描目標端口
3） 掃描日程安排，確保在用戶活動少的時候進行掃描。
2.警報和事件
說明：掃描主機會模擬攻擊者常用的策略，將產生安全警報。
解決方案：設定策略對自己的測試流量進行過濾，將來自漏洞掃描器IP 位址的連接埠掃描標記為非可疑。
3.跨職能部門的所有權
描述：如果業務部門不重視，則可能忽路你的安全警報。
解決方案：培養團隊之間的關係，以適合資產所有者理解的方式格式化的回饋結果；
4.污染
說明：自動填入的測試資料會污染線上環境。
解決方案：透過修改設定策略以減少或忽路一些有破壞性的操作，如表單操作、發送郵件等。掃描器可以被配置為放入公認的測試資料類型，在掃描後可以輕鬆被忽略或清理掉
5. 網路分割
描述：以防火牆等存取控製手段對網路的不同部分進行分割或隔離是一種安全的最佳做法，但可能會導致掃描器無法到達目標位址。
解決方案：分散式掃描將掃描代理放在網段內，分許該網段的端點被掃描，然後結果整合到中央控制合。
6.2.2.滲透測試
漏洞評估尋找理論上可以校利用的弱點，而滲透測過(也稱pen testing )則更進-步，證明這些弱點可以被利用。
1滲透測試種類
1） 白盒滲透測試(也稱為 全知識測試）
測試團隊完全了解基礎架構及其架構，包括作業系統、網路分段、設備及其漏洞。這種類型的測試有助於使測試小組專注於感興趣的特定領域或特定的漏洞。
2) 黑盒滲透測試(也稱為 零知識測驗）
測試團隊對基礎設施沒有任何了解，從攻擊者的角度發現網路結構及其漏洞
3) 灰盒滲透測試(也稱為 局部知識測驗）
一種介手白盒測試和黑盒測試之間的滲透測試，測試小組對基礎設施了解部分資訊。
2.滲透測試人員
1)白帽駭客(道德)
測試系統以確定其弱點的安全專業人員，以便減輕這些弱點並更好地保護系統。
2）黑帽駭客（不道德的）
惡意的實體，他們透過黑容入侵系統，獲取鐓感數據，或破壞基礎設施的運作。
3) 灰帽駭客
在白帽和黑帽世界中來回穿梭的駭客。有時為了組織的利益而出售他們的專業知
4） 紅隊
安全測試或演習過程中的攻擊群組
5) 藍隊
安全測驗或演習過程中的防禦者
6) 白隊
在安全測驗或演習過程中管理演習的小組
3滲透測試規則
除非得到適當的授權，否則絕不應進行滲透測試。也應明確的測試規則，包括確定測試範圍、確定參與人員、定義測試方法和期望的溝通方式等。
通常在規則文件中定義的內客包括以下幾個方面：
•哪些系統、辦公室或其他目標在測試範圍內？
•是否有任何系統、辦公室或其他目標明確排除在測試範圍之外？
。是否有任何測試方法被禁止，如社會工程或密碼破解？
。物理安全是否在範圍內？如果是，包括哪些設施或目標？
•測試人員被授予什麼等級的權限？ 可以為測試人員提供帳戶，以評估內部威脅，或在他們能路獲得來經授漢的訪問時進行驗證活動。
•預期的溝通方式和節奏是什麼？一些組織可能需要立即通知任何潛在的關鍵安全問題，而其他組織可能會滿足於等待最終報告。
•誰在進行測試，允許使用什麼設備和軟體，以及何時進行測試？
•在處理內部網路配置、客戶記錄等敏感資料時，將使用什麼程式？
•測試結束後，如何安全地處理敏感資料？
•預期的服務水準是什麼。例如，測試人員是在實施修復後立即進行重新測試，還是等待規定的重新測試時間？
•對文件的期望是什麼，特別是發現的任何問題的細節，顯示為驗證測試結果所做的工作，以及任何報告的格式？
4.滲透測試過程
5.物理滲透測試
實體滲透測試是指測試人員試圖在未經授權的情況下進入辦公室或資料中心等設施，目的是發現實體安全控制的潛在弱點。常用的社會 工程策略包括：攜帶笨重的物品並要求別人把門打開，或打扮成官員的樣子出現。
6.2.3. 日誌審查
日誌審查是資訊安全管理的重要組成部分，它涉及分析和審查由系統、終端、設備和應用程式生成的日誌，目標是捕獲和解析這些日誌中的有意義信息，以便於檢測和應對安全事件。
1 日誌審查的重要性
日誌提供了有關係統行為、使用者行為、安全事件、系統錯誤等的詳細資訊。日誌的審查和分析可以幫助組織了解其係統的狀態和行為，以及任何潛在的安全問題。
2） 日誌管理的審計與評估
日誌本身的產生、收集、儲存和處理也需要被審計和評估。這涉及到確保日誌的完整性、可用性和機密性，以及合規性。這可能需要參考適用的法律要求、行業規範和國際標準，以確保日誌的管理符合要求。
3） 日誌審查策略
組織需要製定日誌審查的策路、程序和技術配置，以確保日誌申查的有效性。這可能包括確定日誌審查的頻率、審查的深度、使用的工具和技術，以及如何處理審查結果等。
6.2.4 合成交易(Synthetic Transactions)
合成交易是指用於測試和監控系統效能的自動化過程，這些過程模擬特定的使用者行為或操作，以驗證應用程式、系統或網路的效能和可靠性。
6.2.4.1 合成交易常見使用場景：
•服務等級協定(SLA) 監控：合成交易可用於監控主機或基於雲端的服務是否符合約定的服務等級標準。
•資料完整性監控：透過模擬業務邏輯規則並處理測試數據，合成交易可以在資料處理結果不符合預期時發出警報。
•系統或服務監控：即使在沒有SLA 的情況下，系統或服務也可以透過合成交易進行監控，以確保它們在線上且回應正常。
6.2.4.2真實使用者監控 (Real User Monitoring. RUM)
RUM 是一種監控技術，它能夠即時監控使用者與應用程式或服務的互動情況。這種監控可以用於檢測潛在的問題，如頁面響應緩慢或無響應等。然而，RUM 可能引發隱私問題，因此使用時需要特別小心。
6.2.5. 程式碼審杳和測試
軟體由程式碼組成，因此，審查和測試程式碼以識別並修復缺陷是至關重要的安全控制。
1. 測試分類
黑盒測試：測試人員沒有樓觸到原始程式碼或應用程式的內都工作原理，而是從外部攻古者或使用者的角度進行模擬和測試。
白盒測過：測試人員可以存取原始程式碼或應用程式的內部結構，透過對其進行深入分析，來發現可能的缺陷和錯誤。
2.測試方法
•程式碼同儕審查：這是一種人工方法，開發人員互相審查對方的程式碼，以發現可能的錯誤和改進點。
•靜態程式碼分析：這是一種自動化的程式碼審查方法，使用專門的軟體模擬程式碼的執行，以識別可能的漏洞，如緩衝區溢位等。
•動態分析測試 ：這是一種執行時期的測試方法，透過執行程式井觀察其行為，以找出可能的問題和漏洞。
3.測試目標
•覆蓋率：測試的目標應盡可能覆蓋所有的程式碼和功能，以確保沒有遺漏的缺陷或錯誤。
•自動化：為了平衡開發速度和安全性，測試過程應盡可能自動化。例如，透過安全編排自動化和回應（SOAR）工具，可以自動執行一些常見的測試和修復任務。
6.2.6. 誤用案例測試
6.2.6.1 誤用案例(Misuse case)
也稱負面測試(neoative testing).目的是評估系統或應 用程序對意外輸人或情況的反應，並確定在這些意外情況下可能被利用的漏洞。
如：用戶輸入了一個用戶名，但把密碼留空，這可能會導致應用程式崩潰，或者可以直接進入系統。
6.2.6.2 濫用案例(Abuse case)
濫用案例測試對系統或功能如何被誤用的方式進行建模，並具體描述攻擊者如何利用這一弱點，是威脅建模的一個組成部分。
6.2.7. 測試覆蓋率分析
1.測試覆蓋率=（已測試組件數/總組件數）x 100%
2.六個常見標準：
1） 分支覆蓋率 (Branch coverage)：確保控制語句中的每個分支都被執行。
2) 條件覆蓋率 (Condition coverage）：要求程式碼中的每個布林運算式都被驗證為真和假的條件。
3) 西數覆蓋率 (Function coverage）：確保程式中的每個西數都被呼叫。
4) 語句覆蓋率 (Statement coverage）：驗證了程式中每行程式碼的執行。
5) 決策覆蓋率 (Decision coverage）：驗證了西數和分支覆蓋率的組合，以測試各種輸入和輸出情況
6) 參數覆蓋率 (Parameter coverage)：測試接受參數輸入的西數的行為
注意：理想的情況是覆蓋率百分之百，但涉及到成本，在一定時間內不可能完成所有的測試，確保對關鍵系統功能實現足夠的測試覆蓋率。
6.2.8. 介面測試
介面測試(nterface Testing)是系統測試的關鍵組成部分，主要關注的是系統與外部元素互動的點，這些元素可能是其他系統、使用者或流程。
主要的介面類型包括：
• 使用者介面（U)：這是使用者與系統互動的主要方式，可以是圖形使用者介面（GU） 或命令列介面 (CLI)。
•應用程式綜程介面 （API)：這是系統與其他軟體互動的方式，例如用於 Web應用程式的REST API，或用於進程詢問通訊 (IPC)和遠端過程呼叫(RPC)的APlo
介面測試的目標是確保資料在各個實體間正確地傳輸和轉換，並且所有的錯誤情況都能被適當地處理。這包括驗證資料的格式正確性，檢查錯誤處理機制的有效性，以及確保正確的存取控制在傳輸過程中實施。這樣可以確保資料的完整性、系統的穩定性和安全性，防止因介面錯誤而導致的資料遺失或破壞。
6.2.9． 漏洞攻擊模擬
6.2.9.1 漏洞攻擊模擬 (BAS)
漏洞攻擊模擬是一種新興的自動化安全測試技術，其主要目標是模擬真實的攻擊者行為以試圖獲得未經授權的系統存取。它將漏洞掃描和自動化滲透測試的元索結合，利用最新的攻擊手段和新發現的漏洞來檢驗一個組織對新威脅的防禦能力。採用BAS 解決方案可以更頻繁地進行這種測試，以便比傳統的週期性漏洞掃描或滲透測試更快地發現可能的安全漏洞。
6.2.9.2 BAS 攻擊類別
•端點攻擊
BAS在網路端點上執行操作，或針對網路端點進行測過，例如建立與已知惡意軟體特徵相符的檔案或流程，以測試端點偵測和回應 (EDR) 能力。這可以透過 BAS 設備或控制合遠端完成，也可以透過在端點上執行的軟體代理來實施。
•網路攻擊
BAS 會傳送應該被阻止的網路流量，如果已知的惡意流量沒有被防火牆或路由器等裝置阻止，則會觸發警報
•電子郵件攻擊
BAS 會產生和發送測試郵件以測試垃圾郵件過濾器、電子郵件詐欺控制和內容過濾器的有效性。如果郵件成功地到達了收件匣或被使用者打開，那麼就表示電子郵件安全控制存在漏洞
•基於行為的攻擊
進階的 BAS 功能還可以測試基於行為的安全控制，例如檢測惡意網路掃描活動或與應用程式的複雜交互，這些行為通常應該被網路應 用防火牆 (WAF)阻止。
6.2.10. 合規檢查
合規性並不等於安全性，但它是組織風險管理計畫的重要起點。合規性架構通常涵蓋了一套特定產業或區域的風險，而實施的安全控制措施則旨 在緩解這些風險。
合規性審查是監管過程的一部分，其目標是發現由於風險環境的變化而出現的控制措施不足或無效，或者是已經不再正確執行的控制措施。通常，這種審查是透過審計進行的，例如：
•PCI-DSS (Payment Card Industry Data Security Standard)：這是針對處理、儲存或傳輸信用卡資訊的組織的安全標準。 PCI-DSS 要求組織每年進行一次合規性審計。
SOC2 (Service Organization Control 2)：這是評估服務組織在安全、可用性、處理完整性、保密性和隱私方面的控制的標準。 SOC 2 要求組織每年進行一次合規性審計。
- S027001這是一個關於資訊安全管理的國際標準。 1S027001 要求組織每三年進行一次合規性審計。
6.3. 收集安全程序資料（如技術和管理）
6.3.1. 技術控制和程序
1 資料來源
技術或邏輯控制是透過電子系統實現的，通常會產生原生記錄。這些技術數據可能包括作為組織日誌和監控策略一部分的信息，以及透過分析這些日誌數據產生的數據。例如，應用程式的用廣訪河日誌和網路設備（如路曲器或防火瑞）的日誌。
2.收集階段
透過實施和監控以下控制和流程，組織可以收集有關安全狀況的有用指標和數據，以便採取必要的措施來保護其資料和系統：
1)損防流程：這些流程的目標是預防安全威脅。它們可能包括資料加密、網路存取控制和終端控制等技術控制。
2)偵測流程：這些流程的目標是檢測安全事件或異常行為。它們可能包括端點偵測和回應 （EDR) 和安全資訊和事件管理 （SIEM） 等技術控制。
3)回應流程：這些流程的目標是解決安全問題。它們可能包括端點偵測和回應(EDR） 和入侵防護系統(IPS) 等技術控制。
6.3.2. 行政控制
行政控制主要透過制定並執行政策和程序來引導員工及其他使用者的適當行為。這些控制方式可能涉及各種行為準則、工作流程和指引。衡量行政控制的有效性通常需要收集和分析與政策實施相關的資料。
以一個組織政策「禁止在組織設備上使用社群媒體。為例，可以從以下各個方面收集資料：
•政策範圍 ：有多少用戶巳經閉讀並理解了 政策，並透過簽宇確認他們的理解和遵守？
•教育效果：有多少使用者嘗試存取被限制的內容？這可能反映了員工對政策的理解程度以及政策的傳播和教育效果。
。技術有效性 ：根據網路流量，有多少用戶能夠存取受限內容？這可能反映了技術控制在執行政策方面的有效性。
6.3.3. 帳戶管理
帳戶管理是資訊系統安全的關鍵組成部分，因為它直接影響到存取控制的實施。在收集關於安全流程的資料時，帳戶管理資料是一個重要的關注點。
以下是一些在帳戶管理過程中可能需要收集的關鍵數據：
•及時的帳戶管理：例如，當使用者的角色變更或離職時，是否能夠在規定的時間範圍內調整或撤銷其存取權限。
•帳戶供應或取消供應的通知：例如，當使用者加入或離開組織時，是否能夠在 24小時內收到通知。
•帳戶審查：是否按照組織規定的時間表進行了適當的帳戶審查，以確保所有帳戶仍然需要並處於正確的權限級別。
•程式的正確執行 ：例如，在密碼重設或傳送過程中是否進行了適當的驗證，或網路存取控制是否配置正確。
6.3.4.管理階層審查與批准
管理層的審查和批准是一項關鍵的安全流程，它涉及評估、報告和批准各種與安全相關的文件記錄。這種文件記錄不僅對審計和洽理至關重要，而且還可以證明管理階層對安全計畫的批准和參與。此外，這些記錄還可以為任何沙及安全流程的貴任向題建立盡職調查和應有的注意義務。
以下框架正式定義了與安全相關的管理審查和批准程序：
• ISO 27001
管理層必須定期串查資訊安全計畫的"持續適合性、適當性和有效性”
•NIST 和 FedRAMP
這些框架定義了評估和授權以及持續監控的管理角色。管理階層需要審查評估資訊系統的計畫和結果，然後做出正式決定，授權系統的使用。管理階層也要利用持續監控數據，確保風險補救措施的有效性。
•認證和認可
這涉及到評估和授權的類似過程。認證是根據一套標準對系統或流程進行的正式評估，而認可是關於系統是否適合執行指定功能的正式決定。這種方法可以幫助組織制定管理流程，對系統進行正式的評估和批准，這都是根據其安全能力和需求來進行的。
• SOC 2
這個框架要求管理層建立 “績效措施”，並產生和使用“相關的、高品質的信息，以支持內部控制的運作”。
•資訊科技控制目標 (COBIT)
這是一個針對資訊科技和網路安全的管理框架，它強調管理階層在規劃資源、能力和監控任務方面的費任，以及審查組織控制計畫的任務。
6.3.5.關鍵績效與風險指標
關鍵績效指標（KPI) 和關鍵風險指標 （KRI)都是衡量和追蹤組織風險管理效果的重要工具。 KPI用於監控現有風險緩解措施的效果，而KRI 則能協助組織預見並準備未來可能出現的風險。各種組織會根據自己的具體情況，設定各自的KPI 和KRl
1.關鍵績效指標(KPI)
以下是一些通用且重要的 KPI:
•平均偵測時間 (MTTD)：衡量偵測安全事件或威脅所器的平均時間。
•平均恢復時間 (MTTR)：衡量解決安全事件所需的平均時間。
•安全評分：許當供應商提供安全記分卡或等級，這可以作為評估-個組織安全性能成熟度的重要指標。
•投資報酬率 (ROI)：衡量控制措施對風險降低的效果與成本之間的平衡。
2.關鍵風險指標(KRI)：以下是一些有價值的KRI：
•安全事件的數量，交全事件的增加可能表示威助環境已經改變，這可能需要更強大的安全工具或額外的工作人員來應對。
-發現的問題數量：審計和評估結果的增加可能表明安全計劃存在缺路，這可能霜要額外的關注或資源來糾正。
•發現或報告的網路釣魚企圖的數量：網路釣魚嚐過的增加往往預示著即特發生的攻擊，因為攻擊者試圖獲得有效的憑證來存取紐帶的資源。對此，組織可能需增加監控系統、採取多因素認證、強化使用者訓練等措施
6.3.6.備份驗證數據
備份驗證資料可以來自IT人員手動記錄的備份發生的書面日誌，但更常見的是來自備份應用程式或系統產生的日誌。所有的關鍵資訊都應該備份，以防發生事故導致資料無法使用或損壞系統。導致資料遺失的事件應該要很好地記錄下來，同時也要記錄備份資料的完整復原過程。將在第七章中詳細介紹備份策路。
6.3.7. 培訓和意識
建立和維護一個提供安全意識、教育和培訓的計畫是至關重要的，因為使用者既是防止攻擊的重要防線，也是攻擊的高價值目標。
以下是評估這類計劃有效性的關鍵指標：
•培訓完成率 ：未完成培訓的員工可能容易忽略潛在威脅。
•資訊保留與行為改變：成功的訓練需要員工長期記住並應用學習到的知識。
•持續更新：培訓內容需要隨著威脅和風險的變化而更新。
•適應受眾：培訓材料和方式需針對員工的技術水平和學習需求進行客製化。
6.3.8. 災難復原（DR） 和業務連續性 (BC)
DR 和BC資料應包含關鍵復原點目標、復原時間目標和最大允許停機時間等詳細資訊。最關鍵的是要評估組織在實際事件中達到這些目標的程度。
評估和監控災難復原(DR)和業務連續性(BC) 計畫的有效性時，應考慮以下核心問題：
•計劃的適應性和及時性：是否有完整的 BCDR 和營運連續性計劃？它們是否定期更新以反映組織的變化？
•人員的認知度和準備程度：關鍵人員是否清楚他們在計畫中的角色和責任？
•計劃的可存取性 ：計劃的最新版本是否隨時可取得並妥善儲存？
•計劃的全面性：計劃是否涵蓋了組織目前的關鍵功能？
計劃的適時更新：是否有組織的重大變更未反映在計劃中，例如主要的IT結構變更或業務活動？
計劃的測試和改進：計劃是否定期進行測試，並對發現的缺陷進行修復？
•第三方依賴性的管理 ：如果組織依賴關鍵的第三方或服務，這些依賴關係是香經過測試？
•與其他程序的整合 ：其他程序，例如交更管理，是否與 BCDR 計劃相結合，確保組織的變化得到適當的重新評估？
6.4 分析測試輸出並產生報告
6.4.1. 典型的審計報告內容
審計報告通常包括以下部分：
•執行摘要：提供測試活動和結果的概覽。
-假設和限制：揭示評估過程中的約束和預設條件，為理解結果提供上下文。
•範圍：明確評估所涵蓋的範圍。
•活動總結：概述評估團隊執行的所有測試和審計活動。
•發現與問題：列出所有的發現、缺陷或問題，並提供其位置、嚴重性及相關證
•建議：針對所發現的問麵提供解決方案和建議，一般包括解決步驟及可能霧要的具體配置命令。
•附錄：附錄通帶包含報告主體之外的洋細信息，使得報告更易於閱讀和理解，同時為技術人員提供所需的詳細信息。
6.4.2. 補救措施
1.補救措施的流程：
1） 辨識問題：發現安全控制的缺路或問題。
2) 制定計畫：創造一個解決問題的補救計畫。
3) 執行補救 ：依照計畫進行以解決問題。
4） 再測試：重新進行測試以確認補救措施的有效性。
2.補救計畫的要素：
•問題細節：詳細描述發現的問題。
•緩解措施：計畫採取的補教步桑或措施。
•優先：根據問題的嚴重性和風險來決定問題的處理優先順序。
•解決時間：預計解決問題所需的總時間。
•資源需求：執行補救措施所需的資源。
••里程碑和期望：設定關鍵的完成日期和期望的結果。
3.再測試的重要性：
再測試是確認補救措施是否有效的關鍵步聚，這通常透過定期進行漏洞掃描來驗證。
6.4.3. 例外處理 (Exception Handling)
1. 定義：
指的是審計或安全評估中發現無法透過常規補救措施解決的問題的處理方式。
2.目的：
臨時授予例外權限，以應對無法直接解決的問題。這些例外應該只在臨時情況下授予，不應該有永久的例外請求。如果長期需要，則應該更新相關政策以適應新的需求。
3.記錄的資訊：
•鳳險細節：包括風險、缺路或問題的具體細節，以及何時、由誰發現的。
•異常的原因：管理階層需要解釋為何某個特定風險無法被緩解。
。補償性控制：如果風險無法直接處理以達到組織的風險閱值，可以考慮透過補償性控制（如增加監控）來部分級解風險。
。例外批准：管理階層必須明確決定死擔額外的風險，並格審查和批准的過程記來，以明確責任。
•例外時間：大多數例外應該暫時授予，明確例外權限的有效期限。
6.4.4. 道德揭露
1.道德揭露的最佳實踐
組織應閔備接收關於漏洞的道德揭露，這包括制定揭露政策，接收漏洞揭露，並旦不應採取敵對態度。作為安全研究員或道德駭客，應遵守這些政策，並在法律允許的範國內行動。
2.披露漏洞的類型：
•不披露：由於合約或法律義務，可能陽止披露漏洞，例如，披露漏洞可能會損害正在進行的刑事調查。
•全面揭露：發現弱點時，應盡快全面、透明地報告給負責修復的組織。然而，許多供應商可能對試圖報告漏洞的研究人員感到敵意。
•負責任的揭露：此原則規定，發現者應及時向組織報告漏洞，並在公開揭露之前給予組織修復漏洞的時間。
•強制性報告：在某些情況下，向執法部門或其他機構報告發現的漏洞可能是強制性的。
•揭發：在發現安全漏洞的情況下，如果舉報人遵循適當的管道披露所發現的漏洞，他們可能受到法律保護，不會因侵犯版權或其他相關法律而被起訴。
6.5. 進行或推動安全審計
6.5.1. 常見審計框架
安全專業人士可以透過審計評估組織與各種安全標準的符合程度。審計計畫需要得到管理階層的支持，配各適當的資源，進行有效的監督，並設定實際的時間表。以下是一些常見的審計架構：
1)SSAE 18 (SOC 2)：專注於服務組織對安全、可用性、處理完整性、保密性和隱私的控制。
2)ISO/EC 15408-1:2009：提供了評估資訊科技產品和系統安全功能的一般架構。
3) 1SO/EC 18045:2008：提供了執行 ISO/EC 15408 評估的方法。
4) 1SO/EC 27006:2015：規定了執行 ISO/EC 27001 資訊安全管理系統 (ISMS)認證的要求。
5)NIST SP 800-53A：提供了一種評估聯邦資訊系統安全控制的方法。
6) NIST CSF：提供了一種風險管理框架，用於增強組織的網路和資訊系統的安全性。
7 FedRAMP SAF ：聯邦風險和授權管理計劃安全評估框架，用於聯邦政府的雲端產品和服務。
在審計過程中，通常會進行抽樣以減少工作負擔，同時確保對可能的缺陷的理解。抽樣應能代表被審計的整體。
6.5.2. 內部審計
內部審計是由組織內部的人員進行的審計。它有以下特點：
•熟悉性：內部稽核員對組織的流程、工具和人員有深人的了解，這使他們更能理解和評估組織的內部控制和操作效率。
•偏見風險：由於過於熱悉組織的運作，內部稽核員可能會忽略或誤解某些問麵。因此，他們需要設法保持客觀，或尋求外部觀察者的意見
。獨立性問題：因為內都審計員是組織的一部分，他們可能會受到壓力，影響他們的獨立判斷和公正報告。
•外部審計的準備：內部審計通常用來預先發現和解決可能在外部審計中發現的問題，以便在正式的外部審計中獲得更好的結果。
6.5.3. 外部審計
外部審計是由組織外部的審計員進行的審計。它的主要特點包括：
。獨立性：外都審計員不受組織內部壓力的影響，因此可以客觀公正地進行審計。他們可以無偏見地查看組織的操作和控制，並提供公正的意見。
•專業化技能 ：外部審計員通常具有高度專業化的技能和經驗，如註冊會計師(CPA） 等。他們可以進行複雜的審計任務，如SOC 2 審計。
•成本與時問 ：外部稽核的成本通常比內部稽核高，這部分是因為需要時問來理解組織的運作和流程。此外，由於不熟悉組織，他們可能會錯過一些細節。
•合規要求：許多合規框架和法規要求組織定期進行外部審計，以證明其對內部控制的有效性。
6.5.4.對第三方審計
第三方審計是對組織的外部供應商或合作化伴的風險評估過程，主要包括以 下：
•風險管理工具：第三方稽核是一種管理與供應商、合作夥伴等第三方關係的風險的關鍵工具。它有助於識別和減輕可能對組織產生影響的風險。
•敏感資料保護：對能存取組織敏感資料的第三方進行安全審計極為重要。這樣可以幫助組織減少因第三方引1起的安全事件所導致的法律責任。
•常見第三方審計 ：常見的第三方審計包括SOC2 審計和 CSA STAR 審計。在審計過程中，需要注意審計標準、資料共享、風險發現、第三方的風險應對方式以及其修復計劃。
•供應鏈複雜性：由於現代供應鏈的複雜性，第三方風險評估過程也變得越來越複雜。組織需要識別供應鏈中的所有供應商，並確保對他們進行充分的審計和評估，以最大限度地減少面臨的風險。
複習題
1.在進行連接埠掃描時，Susan 發現一台系統在TCP 和UDP 137-189 連接埠以及TCP 445 和1433 口上執行服務。如果她連接到這合機器，她很可能會發現什麼類型的系統？ A. 一台 Linux 電子郵件伺服器 B.一台 Windows SQL 伺服器 C.一台 Linux 檔案伺服器 D.一合 Windows 工作站
B
139\445
2.以下哪一項是用於自動設計新軟體測試並確保測試品質的方法？ A. 代碼審計 B. 靜態程式碼分析 C.回歸測試 D.突變測試
D
3.在進行連接埠掃描時，Naomi 發現一個系統上的TCP 連接埠 443 是開放的。哪個工具最適合掃描該連接埠上可能運行的服務？ A. ZZUf B. Nikto C. Metasploit D. sqlmap
B
WEB滲透：FireBug，Autoproxy，nmap，sqlmap，metasploit，Wireshark 模糊測試向軟體停供無效輸入（隨機產生或特殊構造的輸入） zzuf sqlmap 資料庫漏洞掃描 Web漏洞掃描：Nikto 網路連接埠掃描：nmap
4. 哪一種訊息日誌記錄標準通常被網路設備、Linux 和 Unix 系統以及許多其他企業設備使用？ A. Syslog B. Netlog C. Eventlog D. 遠端日誌協定 (RLP)
A
5 alex想使用自動化工具填入web 應用程式表單，以測試格式字串漏洞。他應該使用什麼類型的工具？ A. 黑盒 B. 暴力破解工具 C.模糊器 D．靜態分析工具
C
P579 模糊測試-測試軟體邊界，在尾部追加字串，執行其他資料操作方法
6. Susan 需要對一個系統進行漏洞掃描，並旦她想要使用一個開源工具來遠端測試該系統。下列哪一個工具符合她的要求並允許進行漏洞掃描？ A. Nmap B. OpenVAS C. MBSA D Nessus
B
OpenVAS，全稱為開源漏洞評估掃描器（OpenVulnerability AssessmentScanner），是一款深受信賴的開源工具。它具備豐富的功能和易用的介面，使得使用者能夠輕鬆地偵測和修復已知的安全漏洞。 Microsoft 基準安全分析器 (MBSA) 可以檢查作業系統和 SQL Server 更新。 MBSA 也可以掃描電腦上的不安全配置。 Nessus 是全世界最多人使用的系統漏洞掃描與分析軟體。 2002年時, Renaud 與 Ron Gula, Jack Huffard 創辦了一個名為 Tenable Network Security 的機構。在第三版的Nessus 發布之時, 該機構收回了 Nessus 的版權與程式原始碼 (原本為開放原始碼), 並註冊成為該機構的網站。 此機構位於美國馬裡蘭州的哥倫比亞。
7.Morgan 正在實施一個使用基於標準的元件來評分和評估發現的漏洞的漏洞 管理系統。下列哪一個在提供漏洞的嚴重性評分方面最常被使用？ A. CCE B. CVSS С. СРЕ D. OVAL
B
•通用漏洞揭露(Common Vulnerabilities and Exposures, CVE)：提供一個描述安全漏洞的命名系統。 •通用漏洞評分系統(Common Vulnerability Scoring System, CVSS)：提供一個描述安全漏洞嚴重性的標準化評分系統。 •通用設定枚舉(Common Configuration Enumeration, CCE)：提供一個系統設定問題的命名系統。 •通用平台枚舉(Common Platform Enumeration, CPE)：提供一種作業系統、應用程式及裝置的命名系統。 •可擴充設定檢查表描述格式(Extensible Configuration Checklist Description Format,XCCDF)：提供一種描達安全檢查表的語言。 •開放漏洞評估語言(Open Vulnerability and Assessment Language, OVAL)：提供一種描述安全測試過程的語言。
漏洞描述 •安全內容自動化協定(Security Content Automation Protocol, SCAP)： SCAP是NIST為安全社群提供的漏洞描述和評估通用標準，促進不同安全系統之間互動的自動化。 SCAP組件包括： •通用漏洞揭露(Common Vulnerabilities and Exposures, CVE)：提供一個描述安全漏洞的命名系統。 •通用漏洞評分系統(Common Vulnerability Scoring System, CVSS)：提供一個描述安全漏洞嚴重性的標準化評分系統。 •通用設定枚舉(Common Configuration Enumeration, CCE)：提供一個系統設定問題的命名系統。 •通用平台枚舉(Common Platform Enumeration, CPE)：提供一個作業系統、應用程式及裝置的命名系統。 •可擴充配置檢查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一種描述安全檢查表的語言。 •開放漏洞評估語言(Open Vulnerability and Assessment Language, OVAL)：提供一種描述安全測試過程的語言。
8.Jim被委託對一家銀行的主要分行進行滲透測試。為了使測試盡可能真實，除了銀行的名稱和地址外，他沒有獲得任何有頭銀行的資訊。 Jim 同意進行何種類型的滲透測試？ A. 水晶盒滲透測試 B. 灰盒滲透測試 C. 黑盒滲透測試 D.白盒滲透測試
C
9.在回應一個請求提案時，Susen 收到了一個SSAE 18 SOC 報告。如果她希望報告包括操作有效性的詳細信息，她應該根據什麼以及為什麼向Susan 詢問後續問題？ A. 一個SOC 2Type II報告，因為Type I 不涵蓋操作有效性 B.一個SOC 1 Type I報告，因為SOC 2 不涵蓋操作有效性 C.一個SOC2 Type I報告，因為 SOC2 Type II不涵蓋操作有效性 D.一個sOC3報告，因為 SOC1 和 SOC2報告已過時
A
P563 SSAE 18 和 ISAE 3402 聲明通常被稱為服務組織控制(SOC)審計，並以三種形式出現。 SOC1聲明：評估可能影響財務報告準確性的組織控制措施。 SoC2 聲明：評估組織的控制措施，這些控制措施會影響儲存在系統中的資訊的安全性中(保密性、完整性和可用性)和隱私。 SOC2審計結果是保密的，通常僅根據保密協議對外共享。 SOC3 聲明：評估組織的控制措施，這些控制措施會影響系統中儲存資訊的安全性(保密性、完整性和可用性)和隱私。但是，SOC3審計結果旨在公開披露。
•I類報告 I類報告描述了被審計組織提供的控制措施，以及審計員基於該描述所形成的意見。 I類報告適用於某個時間點，不會涉及審計員對控制措施的實際測試。 •II類報告 Ⅱ類報告至少涵蓋6個月的時間，還包括審計員根據實際測試結果對這些控制措施的有效性所形成的意見。 人們通常認為II類報告比I類型報告更可靠，因為II類報告包括對控制措施的獨立測試。 類型I報告只是讓服務組織自圓其說，控制措施已按照描述實現。
10.在無線網路滲透測試期間，Suson 使用一個密碼檔案對網路執行 alrcrack-ng。下列哪個因素可能導致她在破解密碼的努力中失敗？ A. 使用 WPA2 加密 B. 在WPA2 中運行企業模式 C. 使用 WEP 加密 口.在WPA2 中運行 PSK 模式
C
11. 在一天工作時間中，一種流行的 Apache Web 伺服器出現了一個零日漏洞。 作為資訊安全分析員，Jacob 需要快速掃描他的網路以確定哪些伺服器容號受到該問題的影響。 Jacob 最快確定易受漏洞影響的系統的最佳途徑是什 A 立即執行 Nessus 掃描所有伺服器，以確定哪些系統容易受到影響。 B.查看 CVE 資料庫以取得漏洞資訊和修補程式資訊。 C. 建立自訂的IDS 或 IPS 簽章。 D.確定受影響的版本並使用自動化掃描工具檢查系統的版本號。
D
12. 用於確保單獨開發的軟體模組正確交換資料的是哪種類型的測試？ A.Fuzzing（模糊測驗） B.動態測試 C.介面測試 D.API 校驗和
C
13. Salen 希望向想要使用地組織的雲端服務的客戶提供安全評估資訊。下列哪一個 選項應該選擇以確保盡可能多的客戶對評估資訊滿意？ A 使用內部稽核四隊依據內部指標進行自我評估。 B. 使用第三方審計師。 C. 使用了解系統的內部技術人員。 D.使用內部稽核團隊根據諸如 COBIT 之類的常用標準進行自我評估。
B
14. Yasmine 被要求考慮一個入侵和攻擊模擬系統。她應該尋找什麼類型的系統？ A. 一個旨在幫助管理事件的票據和變更管理系統 B.一個為藍隊運行事件響應模擬的系統，以測試他們的技能 C.一個結合了紅隊和藍隊技術的自動化系統 D．一個安全運作和回應 (SOAR) 系統
C
15.Monica 希望收集有關組織安全意識的資訊。最常用的評估安全意識的技術 是什麼？ A.釣魚模擬器 B. 遊戲化應用程式 C.評估測試 D.問卷
D
16.Jim 被委託進行灰盒滲透測試，他的客戶向他提供了關於他們網絡的以下信息，以便他可以對其進行掃描： 資料中心：10.10.10.0/24 銷售：10.10.11.0/24 計費：10.10.12.0/24 無線網路：192.168.0.0/16 如果他被委託從外部進行掃描，他會遇到什麼問題？ A.IP 範國過大，無法有效率掃描。 B.提供的 IP 位址無法掃描。 C.IP 範圍重複，將導致掃描問題。 D.提供的IP 位址是 RFC 1918 位址。
D
17. Mark的公司收到通知，他們的web應用程式有漏洞。匿名人士通知他 ，在公佈漏洞洋細資訊和範例利用程式碼之前，他們有兩週時間修復它。 聯繫 mark 的公司的個人違反了哪個產業規範？ A. 零日報告 B. 道德揭露 C. 道德駭客 D.(SC)2 漏洞揭露倫理聲明
B
問題 18-20，請參考以下情境： jennifer 所在的公司已經實施了一個集中日誌記錄基礎設施，如下圖所示。使用 此圖表和您對日誌記錄系統的了解來回答以下問題。 18.Jennifer 需要確保所有 Windows 系統向 SIEM 提供相同的日誌資訊。她如何最好地確保所有 Windows 桌面系統具有相同的日誌設定？ A. 進行定期的配置審核。 B. 使用群組原則。 C.使用本地策略。 D. 部署Windows syslog 用戶端。 19. 在正常運作期間，Jennifer 的團隊使用 SIEM 設備透過 syslog 監視異常狀況。哪個系統顯示的情況下不支援syslog 事件？ A. 企業無線存取點 B. Windows 桌面系統 C.Linux Web 伺服器 D.企業防火牆設備 20. 對於圖中所示的每個設備，組織應該使用什麼技術來確保可以對整個基礎設施進行時間排序的日誌記錄？ A. Syslog B. NTP C. Logsync D. SNAP
B
B
P582 Windows需要安裝第三方用戶端對syslog支持，Windows群組原則
B
21，在滲透測試期間， hetele 需要識別系統，但他還沒有獲得足夠的權限在使用的系統上產生原始資料包，她應該運行哪種類型的掃描驗證最多的開放服務？ A. TCP 連線掃描 B. TCP SYN 掃描 C. UDP 掃描 D.ICMP 掃描
A
22. 在使用nmap 進行連接埠掃描時，Josezoh 發現一個系統顯示了兩個開啟的端 口，這讓他立即擔心： 21/open 23/open 這些連接埠上可能運行的服務是什麼？ A.SSH 和FTP B. FTP 和 Telnet C. SMTP 和 Telnet D. POP3 和SMTP
B
23.Aaron 希望驗證他的公司對 PCI-DSS 的合規性。他的公司是一家每年有數百萬美元交易的大型商業組織。對於大型組織來說，進行此類型的測試最常見的方法是什麼？ A. 自我評估 B. 進行 COBIT 的第三方評估 C.與另一家公司合作並在兩個組織之間進行評估交換 D.使用合格的安全評估師進行第三方評估
D
24. 用於評估軟體測試覆蓋應用程式潛在使用情況的常用方法是什麼？ A.測試覆蓋分析 B.原始碼審查 C. 模糊分析 D.代碼審查報告
A
25. 專注於系統不應允許的功能的測試是什麼類型的測試的範例？ A. 用例測試 B，手動測試 C.誤用案例測試 D.動態測試
C
26. 哪種類型的監控使用模擬流量到網站來監控效能？ A.日誌分析 B. 綜合效能監控 C.被動監控 D.模擬事務分析
B
27.perek希望確保他的組織追蹤所有帳戶在其生命週期中的所有變更。他的組織應該投資哪種類型的工具？ A. 類似LDAP 的目錄服務 B.IAM 系統 C. SIEM 系統 D.EDR 系統
B
輕型目錄存取協議（英文：Lightweight Directory Access Protocol，縮寫：LDAP）是一個開放的，中立的，工業標準的應用協議，透過IP協議提供存取控制和維護分佈式資訊的目錄資訊。 統一身分認證管理平台(IAM) 安全資訊和事件管理 (SIEM) 是一種安全解決方案，可協助組織在潛在的安全威脅和漏洞有機會破壞業務營運之前識別並解決它們。 SIEM 系統可協助企業安全團隊偵測使用者行為異常，並使用人工智慧 (AI)自動執行與威脅偵測和事件回應相關的許多手動流程。最初的SIEM平台是日誌管理工具，結合了安全資訊管理（SIM）和安全事件管理（SEM），能夠即時監控和分析安全相關事件，以及追蹤和記錄安全資料以進行合規或稽核目的。 （Gartner 在2005 年創造了SIEM 一詞來表示SIM 和SEM 技術的組合。）多年來，SIEM 軟體不斷發展，融合了用戶和實體行為分析(UEBA)以及其他高級安全分析、人工智慧和機器學習功能，用於識別異常行為和高階威脅指標。如今，SIEM 已成為現代安全營運中心 (SOC)中用於安全監控和合規性管理用例的主要內容。 端點偵測和回應（EDR）是一種技術形式，可對針對企業網路和系統的高階網路安全威脅提供持續監控和回應。 EDR 是端點安全的子集，當員工透過筆記型電腦、智慧型手機和其他行動裝置遠端存取網路時，它採用整體方法來保護企業網路和資料。由於這些資產位於將使用者連接到公司技術堆疊的鏈的末端，因此它們被稱為端點。
28.Jm 使用一種工具對系統進行掃描，以查找可用的服務，然後連接到這些服務以收集標語信息，以確定服務的版本。然後，它提供了一個報告，詳細介紹它所收集的內容，基於服務指紋、標語資訊和類似的細節，結合 CVE 資訊進行結果。 Jim 使用的是哪種類型的工具？ A. 連接埠掃描器 B. 服務驗證器 C.漏洞掃描器 D.補丁管理工具
C
29.Emily 編寫了一個腳本，將資料傳送到她正在測試的 Web 應用程式。每次腳本運行時，它會發送一系列符合 Web 應用程式預期要求的資料交易，以驗證其對 典型客戶行為的回應。她正在使用哪種類型的交易，這是什麼類型的測試？ A. 綜合性的，被動監視 B. 綜合性的，使用案例測試 C.實際的，動態監視 D. 實際的，模糊測試
B
30. 哪種被動監視技術記錄了使用者與應用程式或網站的所有交互，以確保品質 和性能？ A. 客戶端/伺服器測試 B. 真實使用者監視 C.綜合用戶監視 D.被動使用者記錄
B
31今年早些時候，Jim 所在雇主的資訊安全團隊發現了他負責維護的 web伺服器中的一個漏洞。他立即應用了補丁，並確信補丁已經正確安裝，但漏洞掃描仍然錯誤地標記該系統為有漏洞。為了解決這個問題，使其不再錯誤標記？ A. 解除安裝並重新安裝修補程式。 B.請求資訊安全團隊將系統標記為已修復並不再有該特定漏洞。 C. 更新 Web 伺服器設定中的版本資訊。 D.查看漏洞報告並使用其他修復選項。
B
32 Anools 想使用自動化工具測試 web瀏覽器對外資料的處理。她應該設 擇哪個工具？ A. Nmap B. zzuf C. Nessus D. Nikto
B
網路漏洞掃描器： •Nessus，是一種廣泛應用的漏洞掃描器。 •QualysGuard，Qualys公司。 •NeXpose，Rapid7公司。 •OpenVAS，開源掃描器。
常用的Web應用漏洞掃描工具包括: •Nessus •商業掃描器 Acunetix •開源掃描器 Nikto和Wapiti •開源掃描器 Wapiti •代理工具 BurpSuite
網路發現掃描器： Nmap Xmas掃描
資料庫漏洞掃描： sqlmap
滲透工具： Metasploit
記住
33. STRIDE是指冒充、篡改、否認、資訊揭露、拒絕服務、特權提升，它在應用程式威脅建模的哪個部分中是有用的？ A. 漏洞評估 B. 誤用案例測試 C.威脅分類 D.滲透測試規劃
C
1. Spoofing 就是偽裝，例如我用別人的ID發言就是Identity Spoofing, 我想到用變化IP的辦法就是IP Spoofing. 2. Tampering 是篡改，例如我用別人ID發言的手段就是篡改了合法包，而他們的server端沒有相應的檢查措施。 3. Repudiation 就是拒絕承認，例如我進行了這些攻擊，他們不知道是我做的，也沒有證據是我做的，我就可以不承認。 4. Information Disclosure 是資訊的洩漏，例如他們的那串數位圖片就沒有任何保護，圖片上的資訊輕易的就被別人得到了。 5. Denial of Services 就是拒絕服務，例如我的自動發文使得正常用戶無法使用就是這種攻擊。 6. Elevation of Privileges 就是權限的提升，例如我嘗試用管理員的權限去做事情，就是屬於這種。
34. 為什麼除了實施無線安全技術如無線入侵偵測系統之外，還應進行被動掃描？ A. 它可以幫助識別流氓設備。 B. 它可以透過腳本攻擊來測試無線網路的安全性。 C.它們在每個無線頻道上停留時間短，可以捕獲更多的資料包。 D．它們可以幫助測試無線IDS 或 IPS 系統。
A
35.Paul 正在審查一個滲透測試的批准流程，並希望確保它經過適當的管理審查。他應該確保誰已經批准對一個商業系統進行滲透測試的請求？ A.變更諮詢委員會 B. 高階管理層 C.該系統的系統管理員 D. 服務所有者
B
36. 哪個術語描述了旨在揭示補丁或配置更改引入的新錯誤的軟體測試？ A. 非迴歸測試 B. 進化測試 (Evolution testing) C.冒煙測試 D 回歸測試
D
37.下列哪一個工具不能辨識目標作業系統給滲透測試人員？ A. Nmap B. Nessus C. Nikto D. sqlmap
D
38 Susan 需要 預測組織的高風險領城，並希望使用指標來評估風險趨勢。她應該怎麼做來處理這個問題？ A 每年進行風險評估。 B.僱用滲透測試公司定期測試組織的安全性。 C.確定並追蹤關鍵風險指標。 D. 使用 SIEM 設備監控日誌和事件。
C
39. 綜合性監控和被動監控之間的主要差異是什麼？ A.綜合性監控僅 在出現問題後才會發揮作用。 B 被動監控無法偵測功能問題。 C.被動監控僅在出現問題後才會運作。 D.綜合性監控無法偵測功能問題。
C
問題 40-42，請參考以下情境。克里斯使用這裡顯示的標準滲透測過方法。使用該方法和你的滲透測試知識，回答關於滲透測試期間工具使用的問題。 40. 在第1階段規劃中，最重要的任務是什麼？ A. 建構測試實驗室 B.取得授權 C.收集適當的工具 D.確定測試是白盒、黑盒還是灰盒 41. 在發現階段最有可能使用下列哪一個工具？ A. Nessus B. john C. Nmap D. Nikto 42. 在規劃階段解決下列哪一個問題是最重要的，以確保報告階段不會造成問題？ A. 使用哪種 CVE 格式 B. 如何儲存和傳送漏洞數據 C.哪些目標是禁止的 D.報告應該多長時間
B
C
B
•規劃 階段包括測試範圍和規則的協議。規劃階段是極為重要的階段，它確保測試團隊和管理人員對測試性質達成共識，明確測試是經過授權的。 •資訊收集與發現 階段結合人工和自動化工具來收集目標環境的資訊。此階段包括執行 基本的偵察來確定係統功能（如訪問系統上託管的網站），並執行網路發現掃描來識別系統的開放連接埠。 •漏洞掃描 階段偵測系統脆弱點，結合網路漏洞掃描、Web漏洞掃描和資料庫漏洞掃描。 •漏洞利用 階段試圖使用人工和自動化漏洞利用工具來嘗試攻破系統安全防線。 •報告 階段總結滲透測試結果，並提出改善系統安全的建議。
43. 在驗證程式碼測試套件的工作時，通常會使用哪四種類型的覆蓋準則？ A.輸入、語句、分支和條件覆蓋 B. 西數、語句、分支和條件覆蓋 C. AP、分支、邊界和條件覆蓋 D.邊界、分支、循環和條件覆蓋
B
44. 作為安全經理的一部分，Jacob 向組織的管理團隊提供了以下圖表。他為他們提供了哪種類型的測量？ A. 覆蓋率測量 B. 關鍵績效指標 C.存活時間指標 D. 業務重要性指標
B
45. 在審查日誌時，為所有使用者使用唯一的使用者 ID 提供了什麼？ A. 保密性 B.完整性 C.可用性 D.帳務責任
D
46. 在軟體測試過程中，下列哪一個不是通常進行測試的介面？ A. API B.網路介面 C. 使用者介面 D.物理介面
B
P580 三種類型： API-應用程式介面 使用者介面UI 實體介面
47.Alan 的組織使用安全內容自動化協議 (SCAP)來標準化其漏洞管理程序。 Alan 可以使用 SCAP 的哪個元件來協調不同安全評估工具產生的漏洞的身份？ A. OVAL B. XCCDF C. CVE D. SCE
C
漏洞描述 •安全內容自動化協定(Security Content Automation Protocol, SCAP)： SCAP是NIST為安全社群提供的漏洞描述和評估通用標準，促進不同安全系統之間互動的自動化。 SCAP組件包括： •通用漏洞揭露(Common Vulnerabilities and Exposures, CVE)：提供一個描述安全漏洞的命名系統。 •通用漏洞評分系統(Common Vulnerability Scoring System, CVSS)：提供一個描述安全漏洞嚴重性的標準化評分系統。 •通用設定枚舉(Common Configuration Enumeration, CCE)：提供一個系統設定問題的命名系統。 •通用平台枚舉(Common Platform Enumeration, CPE)：提供一個作業系統、應用程式及裝置的命名系統。 •可擴充配置檢查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一種描述安全檢查表的語言。 •開放漏洞評估語言(Open Vulnerability and Assessment Language, OVAL)：提供一種描述安全測試過程的語言。
48. Susan 正在審查軟體測試覆蓋率數據，並看到以下圖表中顯示的資訊。她可以確定關於這個測試過程的什麼？ （選擇所有適用的答案。） A.測試沒有完全覆蓋。 B.測試4 沒有故障。 C 測試2未成功運行。 D.需要第五次運行測試。
BC
49. 下列哪一種策略不是修正由漏洞掃描器發現的漏洞的合理方法？ A. 安裝補丁。 B. 使用臨時修復措施。 C. 更新橫幅或版本號。 D.使用應用層
C
50.在滲透測試期間，selah 打電話給目標公司的幫助台，聲稱自己是公司高級助理的助手。她要求幫助台重置該高級助理因其在旅途中的筆記型電腦出現問題而需要重置密碼，並成功說服他們這麼做。她成功完成了哪種類型的攻擊？ A. 零知識攻擊 B. 幫助合欺騙 C. 社會工程攻擊 D. 黑盒測試
C
51. 在這個影像中，由於日誌處理設定可能會出現什麼問題？ A. 日誌在歸檔時可能會遺失。 B. 日誌資料可能被覆蓋。 C.日誌資料可能不包含所需的資訊。 D.日誌資料可能填滿系統磁碟。
D
52. 下列何者不是與滲透測試相關的風險？ A.應用程式崩潰 B. 拒絕服務 C.停電 D.資料損壞
C
53. NIST 的哪個特別出版品涵蓋了安全和隱私控制的評估？ A. 800-12 B. 800-53A C. 800-34 D. 800-86
B
54 Michelle 正在進行定量的業務影響評估，並希望收集數據來確定停機時間的費用。她需要從前一年的故障中收集哪些資訊來計算這些故障對業務的成本？ (選擇所有適用的答案。） A. 業務停機的總時間 B. 恢復故障所需的人員工作小時數 C. 故障期間每小時的業務損失（以美元計） D.每小時的平均員工薪資
ABCD
55. 如果 Kara 的主要關注點是防止竊聽攻擊，她應該阻止哪個連接埠？ A. 22 B. 80 C. 443 D. 1433
B
56. 如果Kara 的主要關注點是防止對伺服器的管理連接，她應該阻止哪個連接埠? A. 22 B. 80 C. 443 D. 1433
A
57. 在第三方審計過程中，Jim 的公司收到了一項發現。指出：「管理員應該每天審查備份成功和失敗的日誌，並及時採取行動解決報告的異常情況。。這個發現指示了哪個潛在問題？ A.管理員無法知道備份是否成功或失敗。 B. 備份可能沒有被正確記錄。 C備份可能無法使用。 D.備份日誌可能沒有適當審查。
C
58.Jim正在幫助他的組織決定在其國際組織中使用的審計標準。以下哪個不是 Jim的組織在審校中可能使用的IT標準？ A. COBIT B. SSAE-18 C.ITIL D. ISO 27001
C
59 Nicole 想對她的組織進行基於標準的審計。下列哪一個通常用於描述資訊系統的常見要求？ A. IEC B. COBIT C. FISA D. DMCA
B
60.Kely 的團隊在發布每個補丁時進行回歸測試。他們應該維護哪個關鍵績效指標來衡量他們測試的有效性？ A. 漏洞修復時間 B.缺陷重新發生率指標 C.加權風險趨勢 D.測試的具體覆蓋範圍的度量
B
61. 下列哪一種類型的程式碼審查通常不是由人員執行的？ A. 軟體檢查 B. 配對編程 C．靜態程序分析 D.軟體演練
C
問題 62-64，請參考以下情境： Susan 是她公司品質保證團隊的負責人。該團隊被委託為公司核心軟體產品的一個重大發布進行測試。 62.Susan 的軟體測試團隊需要測試每條程式碼路徑，包括僅在出現錯誤條件時使用的路徑。為確保完整的程式碼覆蓋率，她的團隊需要什麼類型的測試環境？ A. 白盒測試 B.灰盒測試 C.黑盒測試 D. 動態測試 63. 作為對他們的新應用程式持續測試的一部分，Susan 的品質保證團隊為一系列黑盒測試設計了一套測試案例。然後運行這些功能測過，並準備了一份報告來解釋發生了什麼。在此測試過程中通常會產生哪種類型的報告來指示測試指 A. 測試覆蓋報告 B.滲透測試報告 C.代碼覆蓋報告 D．行覆蓋報告 64.作為他們的程式碼覆蓋測試的一部分，Susan的團隊人在非生產環境中使用日誌記錄和追蹤工具進行分析。由於操作環境的改變，下列哪一種類型的程式碼問題有可能被忽略？ A.不正確的邊界檢查 B. 輸入驗證 C 競態條件 D 指針操作
A
A
C
65.Robin 最近進行了漏洞掃描，並在處理敏感資訊的伺服器上發現了一個關鍵漏洞。 Bobin接下來該做什麼， A. 打補丁 B. 報告 C.糾正 D.驗證
D
P574 檢測---驗證---修復
66.Andrea 在她所在組織的 CI/CD 流程中運行的自動化程式碼測試和整合失敗了。如果公司需要立即發布程式碼，Andrea 該怎麼辦？ A. 手動繞過測試。 B. 檢視錯誤日誌以確定問題。 C. 重新執行測試以查看是否正常運作。 D.將程式碼傳回開發人員進行修復。
B
67.Michelle 希望根據漏洞的可利用性、是否存在利用程式碼以及糾正難度等指標來比較她在資料中心發現的漏洞。她應該使用哪一種評分系統來比較這些漏洞的指標？ A. CSV B. NVD C. VSS D. CVSS
D
SCAP組件包括： •通用漏洞揭露(Common Vulnerabilities and Exposures, CVE)：提供一個描述安全漏洞的命名系統。 •通用漏洞評分系統(Common Vulnerability Scoring System, CVSS)：提供一個描述安全漏洞嚴重性的標準化評分系統。 •通用設定枚舉(Common Configuration Enumeration, CCE)：提供一個系統設定問題的命名系統。 •通用平台枚舉(Common Platform Enumeration, CPE)：提供一個作業系統、應用程式及裝置的命名系統。 •可擴充配置檢查表描述格式(Extensible Configuration Checklist Description Format，XCCDF)：提供一種描述安全檢查表的語言。 •開放漏洞評估語言(Open Vulnerability and Assessment Language, OVAL)：提供一種描述安全測試過程的語言。
68. 在對他的網路進行連接埠掃描時，Alex 發現在公司各辦公室的多合主機上TCp連接埠80、 443、515 和 9100都有回應。 Alex可能發現了什麼類型的設備？ A. Web 伺服器 B. 檔案伺服器 C.無線存取點 D.印表機
D
69 Nito、 Burp Sure 和Woot都是什麼類型的工具？ A.Web 應用程式漏洞掃描工具 B. 程式碼審查工具 C．漏洞掃描工具 D.連接埠掃描工具
A
70 Frank 的團隊正在測試公司開發人員為他們的應用基礎架構建立的新API。 以下哪一個不是 Frank 的團隊可能發現的常見 API問題 A. 不正確的加密 B. 物件層級的授權問題 C. 用戶認證問題 D. 缺乏速率限制
A
加密不在應用層
71Jim正在與一家滲透測過承包商合作，該承包商建議在滲透測試中使用 Metasploit。 當使用 Metasploit 時，Jim 應該期望發生什麼？ A.將掃描系統的漏洞。 B. 利用系統已知的漏洞。 C.對服務進行緩衝區溢位和其他未知缺陷的偵測。 D.對系統進行零日漏洞測試。
B
72 Susan 需要確保她的電子商務應用程式的各個元件之間的互動都得到正確處理。她打算驗證整個基礎架構中的通訊、錯誤處理和會話管理能力。她計劃進行哪種類型的測試？ A. 濫用個案測試 B.模糊測試 C.回歸測試 D.介面測試
D
73. Jim 正在設計組織的日誌管理系統，並且知道他需要仔細規劃處理組織的日誌資料。下列哪一項不是 Jim 應該關注的因素？ A.日誌資料的量 B. 缺乏足夠的日誌來源 C.資料儲存的安全要求 D.網路頻寬
B
74. Ryan 的組織希望確保正確的帳戶管理，但是沒有一個集中的身份和存取管理工具。 Rvan在內部稽核中驗證帳戶管理流程時，最好的選擇是什麼？ A驗證過去 90 天內的所有帳戶變更。 B. 選擇驗證高價值的管理員帳號。 C.驗證過去 180 天內的所有帳戶變更。 D.對帳戶進行隨機抽樣驗證。
D
75. 當Windows 系統重新啟動時，會產生哪種類型的日誌？ A. 錯誤 B. 警告 C. 訊息 D．失敗審核
C
76. 在申查訪回且志時，Alex 注意到 Michelle 每天早上8 點登入她的工作站但被記錄為當天凌晨3點後不久登入部門的主要 WEB應用伺服器。 Alex可能遇到了哪個常見的日誌問題？ A.不一致的日誌格式 B. 修改後的日誌 C.不一致的時間戳 D.多個日誌來源
C
77. 哪種類型的漏洞掃描會存取從運行該掃描的系統中獲得的配置信息，以及透過網路可用的服務獲取的信息？ A. 已認證的掃描 B. Web 應用程式掃描 C.未認證的掃描 D.連接埠掃描
A
什麼類型的漏洞掃描可以存取運行系統的配置信息，並且可以透過網路提供服務的存取資訊？ 經過身份認證的掃描（正確答案） Web應用程式掃描 未經認證的掃描 連接埠掃描 經過身份認證的掃描使用唯讀帳戶存取設定文件，從而能更準確地測試漏洞。 Web應用程式掃描、未經驗證的掃描和連接埠掃描都無權存取設定文件，除非設定檔無意中暴露出來。
問題 78-80，請參考以下情境： Ben 的組織已開始使用 STRIDE 來評估其軟體，並確定了威脅代理商和這些威肋可能造成的業務影響。現在他們正在努力確定適當的控制措施來解決所發現的問題。 78.Ben 的開發團隊需要解決一個授權問題，這可能導致特權提升威脅。下列哪一項控制措施最適合這種類型的問題？ A. 啟用稽核和日誌記錄。 B. 使用基於角色的存取控制進行特定操作。 C. 啟用資料類型和格式檢查。 D.對使用者輸入進行白名單測試。 79.Ben 的團隊正試圖將多個伺服器共享的對稱金鑰所導致的事務識別問題進行分類。這應該屬於以下哪個 STRIDE 類別？ A. 資訊洩露 B. 拒絕服務 C. 篡改 D.否認 80.簽下拒絕服務攻擊期間的流最高，Ben希照使用第三方服務幫助評傳拒 絕服務攻擊漏洞。他應該向組織建議什麼類型的參與方式？ A.社會工程參與 B.滲透測試 C.負載或壓力測試 D.使用模糊測試進行測試
B
D
C
81 Chris 正在解決組織的安全資訊和事件管理（SIEM)報告問題。在分析問題合，他認為不同系統的日誌條目的時間戰不一致。他可以使用哪種協議來解決這個問題？ A.SSH B. FTP C. TLS D. NTP
D
82.Ryan 正在考慮在他的web 應用程式測試專案中使用模糊測試。在做決定 時，以下關於模糊測試的哪一個陳述 Ryan 應該考慮？ A.模糊測試只能發現複雜的故障。 B. 測試人員必須手動產生輸入。 C.模糊測試可能無法完全覆蓋程式碼。 D.模糊測試無法重現錯誤。
C 模糊測試通常無法完全覆蓋程式的所有程式碼，一般僅限於偵測不涉及複雜業務邏輯的簡單漏洞
83.Ken 正在為他的困隊開發的軟體設計一個測試過程。他設計了一個測試，以驗證在測試過程中執行了每一行程式碼。 Ken 正在進行哪種類型的分析？ A. 分支覆蓋 B. 條件覆蓋 C.函數覆蓋 D.語句覆蓋
D
問題 84-86，請參考以下情境。在進行連接埠掃描時，Ben 使用 nmap 的預設設置，並看到了以下結果。 84. 如果Ben 正在進行滲透測試，在收到這些結果後，他下一步應該是什麼 A.使用 Web 瀏覽器連線到 Web 伺服器。 B. 使用 Telnet 連線以測試存在漏洞的帳戶。 C.識別進一步掃描的有趣連接埠。 D.對開啟的資料庫使用sqlmap。 85.根據掃描結果，被掃描的系統最可能運作的作業系統（OS)是什麼？ A. Windows 桌面版 B. Linux C.網路設備 D. Windows 伺服器 86.Ben 的經理對他的掃描範圍表示擔憂。他的經理可能會擔心什麼？ A. Ben 沒有測試 UDP服務。 B.Ben 並未發現〝眾所周知的連接埠。以外的連接埠。 C. Ben 沒有進行作業系統指紋辨識。 D.Ben 只測試了 有限數量的連接埠。
C
B
D
87.Lucca 正在審查他組織的災難復原流程數據，並注意到業務的主要網站的 MTD 為兩小時。在進行測試和驗證時，他了解到關於該網站的RTO 是什麼？ A. 它需要少於兩小時。 B. 它需要至少兩小時。 C. MTD 時間大短，需要更長時間。 D.RTO時間太短，需要更長。
A
MTD是最大容忍停機時間。如果要進行MTD驗證，驗證結果只會告訴她系統最長可以離線多久。
88.Diana 己經聘請了 第三方審計師，並希望向第三方發布一個審計證明，而不包含審計的詳細資訊。她應該請求哪種類型的 SSAE 18 SOC 報告？ A. SOC 1 B. SOC 2 C. SOC 3 D. SOC 4
C
89. 在審查組織新應用程式的軟體測試輸出時，Madhuri 注意到該應用程式產生了包含目錄和檔案資訊的錯誤，這些資訊顯示給了Web 應用程式測試人員。 她的報告中應該包括哪個問題？ A. 它沒有執行適當的異常處理。 B.軟體沒有正確處理誤用案例測試。 C. 需要刪除調試語句。 D.由於錯誤，程式碼沒有完全經過測試。
A
90. 在進行滲透測試之前應該發生的第一步是什麼？ A. 資料收集 B. 連接埠掃描 C.獲得許可 D.計劃
C
91.JOHn 公司的總裁對行業中嚴重增加的加密惡意軟體擔憂。她要求確保如果惡意軟體襲擊並加密其生產系統， 公司的資料是可以恢復的。為了能告訴她公司有準備， 需要進行哪個過程？ A. 加密所有敏感資料。 B. 對組織的所有資料進行雜湊以偵測加密惡意軟體。 C.進行備份驗證。 D.使用反加密技術防止惡意軟體加密磁碟機。
C
92 Joanna 是組織的CISO，作為安全營運監督角色。她想確保安全相關變更的管理監督正在進行。在大多數組織中，她應該關注哪個系統來追蹤這種類型的資料？ A. SIEM 系統 B.IPS 系統 C.CMS 工具 D.ITSM 工貝
D
93. Henry 想驗證他的備份是否有效。以下選項中，哪一個是他確保備份在真實災難復原場景中有用的最佳方法？ A.定期恢復一個隨機檔案以確保備份運作正常。 B. 定期檢查設定和設定以驗證備份設定。 C.查看備份日誌以確保沒有錯誤發生。 D.定期從備份中進行全面恢復以驗證成功。
D
94.哪種類型的漏洞掃描器無法發現？ A. 本地漏洞 B. 服務漏洞 C. 零日漏洞 D.需要身份驗證的漏洞
C
95.Jacinda想街量她的交全訓練的效果，作為她的安全指標之一。下列哪些措施對於評估安全意識訓練的有效性最有用？ （選擇所有適用項目。） A． 參加培訓的人數 B.培訓前後的安全意識水平 C.培訓時數（以小時為單位） 口.每個人今年參加的訓練事件數量
AB
96, Elaine 在她所在組合使用的產品中發現了一個以前未知的關鍵漏洞。她的組織非常重視道德揭露，並旦 Elaine 遵循常見的道德揭露實踐。她應該先做什麼 A.建構內部的修復措施或控制，然後公開披露漏洞，促使供應商迅速修補漏洞 B.建構內部的修復措施或控制，然後通知供應商該問題。 C.通知供應商，並給他們合理的時間來修復問題。 D.公開揭露漏洞，以便供應商能在適當的時間內修補漏洞。
C
問題 97-99，請參考以下情境。 NIST Specral Puolircatton 800-115 《信魚安全測試和評傳技術指南）提供了 NIST對洛透測過的流程，使用此影像以及您對滲透測試的了 解來回答問題。 97.下列哪一項不屬於發現階段的一部分？ A. 主機名稱和IP位址資訊收集 B.服務資訊捕獲 C.垃圾桶搜尋 D.權限升級 98. NIST 指定了四個攻擊階段的步驟：取得存取權限、權限升級、系統瀏覽和交裝的加法工具。一旦攻擊者安裝了附加工具：滲透測試人員通常會返回哪個階段？ A. 發現 B. 取得存取權限 C.權限升級 D.系統瀏覽 99.下列何者不是滲透測試報告的典型部分？ A.已識別的漏洞列表 B.測試期間收集的所有敏感數據 C.每個發現的問題的風險評級 D.針對已識別問題的緩解指南
D
B
B
100. Alox正在使用nmnao對系統進行連接埠掃描，他在結果中收到了三個不同的連接埠狀態訊息。將每個編號的狀態訊息與適當的宇母描述相適配。每個項目負能使用一次。 狀態訊息 1.打開 2.關閉 3. 過濾 描述 A. 遠端系統上的連接埠可訪問，但沒有應用程式接受該連接埠的連接。 B. 遠端系統上的連接埠不可存取。 C. 遠端系統上的連接埠可訪問，並且應用程式接受該連接埠的連接。
CBA