CT_SEC_安全性测试工程师2016版模拟卷答案v1.0（中文版）.pdfVIP

模拟卷–答案

高级大纲

安全性测试

GA版本–2016/03

国际软件测试认证委员会

版权申明

在标注来源的情况下，可以全文复制或摘录本文档。

修订历史

版本日期备注

1.0–Beta2015/09/22模拟题Beta版本

1.0–GA候选2016/03/04经考试工作组评审后更新–确定#25-#32题的分数分布

情况

1.0–GA2016/03/15GA版本

版本1.0页码2-92016/03/15

©国际软件测试认证委员会

问题#1（1分）

B是正确的，因为保持系统上的补丁更新是安全审计的目的之一。其他是良好的做法，但不是安全审计的

目的。

问题#2（3分）

C是正确的，因为这是指南的来源。准则可能会改变，所以与这些人保持沟通渠道的开放很重要。

A，B和D都需要知情，但信息需要来自联邦和地方机构。

问题＃3（1分）

C是正确的。实施此政策后，不符合要求的设备将被删除，直至符合要求。A不正确，因为这不会是预

期的结果。B是不正确的，因为这些控制将被鼓励。D不正确，因为访问将被控制，而不是严格限制。

问题＃4（3分）

B是正确的。您应该分析安全性测试的结果，看看采取的安全策略和过程是否有效的。A是不正确的，

因为如果有静态分析的话，分析应该在代码上。C是不正确的，因为重点不应该只针对当前的威胁和攻

击，还应该针对配置等。D不正确，因为重点不仅仅在于正在发生的威胁。

问题＃5（1分）

根据教学大纲A是正确的。B不正确，因为这些信息可能没有帮助。C是不正确的，因为备份可能会过

时，并且信息不一定被破坏，而是被盗或被查看。D是不正确的，因为虽然这可能有助于指出测试不足

的区域，但它不会支持该组织对法律行为的辩护。

问题＃6（1分）

C是正确的，安全性测试是更大的信息安全保证领域的一部分。

问题＃7（2分）

B是正确的，因为所有这些都是有效的安全目标。A是不正确的，因为3是功能性的，而不是安全相关

的（除非它将它们锁定，但我们从这个描述中无法得知）。C不正确，因为6和7都是功能性的而不是

特定的安全性要求。由于与C相同的原因，D不正确。

版本1.0页码3-92016/03/15

©国际软件测试认证委员会

问题#8（2分）

C是正确的，在教学大纲里，目标被广泛的定义是一个常见的问题。A和D是合理的关注点，但你不知道

何时或如何定义测试目标，所以这可能是可控的。B总是可能的，在这种情况下可能是正确的，但是还没

有迹象表明会发生外包。

问题#9（3分）

D是正确的。此时，组织需要一个向前发展的高水平的政策和计划。如果没有这个政策，测试可能会继续

是零碎的，将很难获得高层的支持和资金支撑。此时A和C不正确，但如果您在实施策略时难以获得资

金，它们可能会有用。B是不对的，因为在定义方法前你需要一个总体方针。

问题#10（2分）

C是正确的。业务客户最关心的是防止欺诈访问他们易受攻击的数据。你希望A，B和D也会参与其中,但

通常这不是他们的主要利益。

问题#11（2分）

B是正确的。使用概念测试创建手动测试和执行是实现安全性测试的一部分。A和D是不正确的，因为这已

经通过创建概念测试完成了。C在测试执行后发生。

问题#12（3分）

B选项根据教学大纲是正确的。可能是必要的，但这并不是一个最低要求。这些内容在角色和职责章节可

能已经理解。C是不正确的，因为可能引用不包括在这个计划里的标准。D是不正确的，因为这种级别的

细节不在