4.某电子商务网站最近发生了一起安全事件,出现了一个价值 1000 元的商品用 1 元被买走的情况,经分析是由于设计时出于性能考虑,在浏览时使用 Http 协议,攻击者通过伪造数据包使得向购物车添加商品的价格被修改.利用此漏洞,攻击者将价值 1000 元的商品以 1 元添加到购物车中,而付款时又没有验证的环节,导致以上问题,对于网站的这个问题原因分析及解决措施。最正确的说法应该是?

A. 　D 是 Do,指实施、具体运作,实现计划中的内容

B. 　P 是 Prepare,指准备,包括明确对象、方法,制定活动规划

C. 　A 是 Act 或 Adjust,指改进、完善和处理,对总结检查的结果进行处理,对成功的经验加以肯定,并予以标准化,总结失败的教训并加以重视,对没有解决的问题,应该交给下一个 PDCA 循环解决

D. 　C 是 Check,指检查、总结执行计划的结果,明确效果,找出问题

A. 　Windows 操作系统远程登录经历了 SMB 鉴别机制、LM 鉴别机制、NTLM 鉴别机制、Kerberos鉴别体系等阶段

B. 　完整的安全标识符(SID)包括用户和组的安全描述,48 比特的身份特权、修订版本和可变的验证值

C. 　本地安全授权机构(LSA)生成用户账户在该系统内唯一的安全标识符(SID)

D. 　用户对鉴别信息的操作,如更改密码等都通过一个以 Administrator 权限运行的服务“Security Accounts Manager”来实现

A. 　在《中国信息化领导小组关于加强信息安全保障工作的中意见》(中办发[2003]27 号)中,针对信息安全人才建设与培养工作提出了”加快网络空间安全人才培养增强全民信息安全意识”的指导精神

B. 　2015 年,为加快网络安全高层次人才培养,经报国务院学位委员会 批准,国务院学位委员会、教育部决定”工学”门类下增设”网络空间安全”一级学科,这对于我国网络信息安全人才成体系化、规模化、系统培养到积极的推到作用

C. 　经过十余年的发展,我国信息安全人才培养已经成熟和体系化,每年培养的信息全从人员的数量较多,能同社会实际需求相匹配;同时,高效信息安全专业毕业人才的合能力要求高、知识更全面,因面社会化培养重点放在非安全专业人才培养上

D. 　除正规大学教育外,我国信息安全非学历教育已基本形成了以各种认证为核心,辅以各种职业技能培训的信息安全人才培训休系,包括”注册信息安全专业人员(CISP)”资质认证和一些大型企业的信息安全资质认证

A. 　强制访问控制是指主体和客体都有一个固定的安全属性,系统用该安全属性来决定一个主体是否可以访问某个客体

B. 　安全属性是强制性的规定,它由安全管理员或操作系统根据限定的规则确定,不能随意篡改

C. 　系统通过比较客体和主体的安全属性来决定主体是否可以访问客体

D. 　它是一种对单个用户执行访问控制的过程控制措施

A. 　安全账号管理器(SAM)具体表现就是%SystemRoot%＼system32＼config＼sam

B. 　安全账号管理器(SAM)存储的账号信息是存储在注册表中

C. 　安全账号管理器(SAM)存储的账号信息 administrator 和 system 是可读和可写的

D. 　安全账号管理器(SAM)是 windows 的用户数据库系统进程通过 Security Accounts Manager服务进行访问和操作

A. 　要充分企切合信息安全需求并且实际可行

B. 　要充分考虑成本效益, 在满足合规性要求和风险处置要求的前提下, 尽量控制成本

C. 　要充分采取新技术,在使用过程中不断完善成熟,精益求精,实现技术投入保障要求

D. 　要充分考虑用户管理和文化的可接受性,减少系统方案实验障碍

A. 　该协议使用非对称密钥加密机制

B. 　密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成

C. 　该协议完成身份鉴别后将获取用户票据许可票据

D. 　使用该协议不需要时钟基本同步的环境

A. 　内部审计人员的质疑是对的,由于没有更新漏洞库,因此这份漏洞扫描报告准确性无法保证

B. 　内部审计人员质疑是错的,漏洞扫描软件是正版采购,因此扫描结果是准确的

C. 　内部审计人员的质疑是正确的,因为漏洞扫描报告是软件提供,没有经过人为分析,因此结论不会准确

D. 　内部审计人员的质疑是错误的,漏洞软件是由专业的安全人员操作的,因此扫描结果是准确的

A. 　遏制阶段

B. 　检测阶段

C. 　准备阶段

D. 　根除阶段

A. 　信息系统;信息安全保障; 威胁;检测工作

B. 　信息安全保障;威胁;信息系统;检测工作

C. 　信息安全保障;信息系统; 威胁;检测工作

D. 　信息安全保障;信息系统; 检测工作;威胁