A、 如果经费许可,可以使用自建服务器的即时通讯系统
B、 在组织机构安全管理体系中制定相应安全要求,例如禁止在即时通讯中传输敏感及以上级别的文档;建立管理流程及时将离职员工移除等
C、 选择在设计上已经为商业应用提供安全防护的即时通讯软件,例如提供传输安全性保护等即时通讯
D、 涉及重要操作包括转账无需方式确认
答案：D
解析：解析:D 项常识性错误。
A、 如果经费许可,可以使用自建服务器的即时通讯系统
B、 在组织机构安全管理体系中制定相应安全要求,例如禁止在即时通讯中传输敏感及以上级别的文档;建立管理流程及时将离职员工移除等
C、 选择在设计上已经为商业应用提供安全防护的即时通讯软件,例如提供传输安全性保护等即时通讯
D、 涉及重要操作包括转账无需方式确认
答案：D
解析：解析:D 项常识性错误。
A. 口令
B. 令牌
C. 知识
D. 密码
解析：解析:令牌是基于实体所有的鉴别方式。
A. 为了提高 Apache 软件运行效率
B. 为了提高 Apache 软件的可靠性
C. 为了避免攻击者通过 Apache 获得 root 权限
D. 为了减少 Apache 上存在的漏洞
解析：解析:避免攻击者通过 Apache 获得 root 权限。
A. 从安全性等级来看,这三个模型安全性从低到高的排序是自主访问控制模型,强制访问控制模型和基于角色的访问控制模型
B. 自主访问控制是一种广泛应用的方法,资源的所有者(往往也是创建者)可以规定谁有权利访问他们的资源,具有较好的易用性和可扩展性
C. 强制访问控制模型要求主体和客体都有一个固定的安全属性,系统用该安全属性来决定一个主体是否可以访问某个客体,该模型具有一定的抗恶意程序攻击能力,适用于专用或安全性要求较高的系统
D. 基于角色的访问控制模型的基本思想是根据用户所担任的角色来决定用户在系统中的访问权限,该模型便于实施授权管理和安全约束,容易实现最小特权,职责分离等各种安全策略
解析：解析:三个模型安全性没有横向对比,进行安全性比较是错误的,只是三种模型应用场景不同。
A. 49
B. 0.49
C. 0.00049
D. 0.049
解析：解析:千行代码缺陷率=缺陷数/ (代码行数/1000)
A. 只要用户拿到了认证服务器(AS)发送的票据许可票据(TGT)并且该 TGT 没有过期,就可以使用该 TGT 通过票据授权服务器(TGS)完成到任一个服务器的认证而不必重新输入密码
B. 认证服务器(AS)和票据授权服务器(TGS)是集中式管理,容易形成瓶颈,系统的性能和安全也严重依赖于 AS 和 TGS 的性能和安全
C. 该协议通过用户获得票据许可票据、用户获得服务许可票据、用户获得服务三个阶段,仅支持服务器对用户的单向认证
D. 该协议是一种基于对称密码算法的网络认证协议,随用户数量增加,密钥管理较复杂
解析：解析:Kerberos 由 MIT 于 1988 年开发,用于分布式环境中,完成服务器与用户之间的相互认证。
A. 规则
B. 计划
C. 实现
D. 测试
解析：解析:弃用不安全函数属于编码实现阶段的工作,P398 页。
A. RBACO 是基于模型,RBAC1、RBAC2 和 RBAC3 都包含 RBAC0
B. RBAC1 在 RBAC0 的基础上,加入了角色等级的概念
C. RBAC2 在 RBAC1 的基础上,加入了约束的概念
D. RBAC3 结合 RBAC1 和 RBAC2,同时具备角色等级和约束
解析：解析:RBAC2 在 RBAC0 的基础上,加入了约束的概念,P313 页
A. 人工审核源代码审校的效率低,但采用多人并行分析可以完全弥补这个缺点
B. 源代码审核通过提供非预期的输入并监视异常结果来发现软件故障,从而定位可能导致安全弱点的薄弱之处
C. 使用工具进行源代码审核,速度快,准确率高,已经取代了传统的人工审核
D. 源代码审核是对源代码检查分析,检测并报告源代码中可能导致安全弱点的薄弱之处
解析：解析:D 为源代码审核工作内容描述。
A. 通过信息安全培训,使相关信息发布人员了解信息收集风险,发布信息最小化原则
B. 减少系统对外服务的端口数量,修改服务旗标
C. 关闭不必要的服务,部署防火墙、IDS 等措施
D. 系统安全管理员使用漏洞扫描软件对系统进行安全审计
A. 简单运行
B. 行为检测
C. 特征数据匹配
D. 特征码扫描
解析：解析:恶意代码检测包括特征码扫描和行为检测,行为检测是防病毒软件通过对软件的行为检测,将软件行为与恶意代码行为模型进行匹配,以判断是否为恶意代码。P370 页
