分析針對Web的攻擊前，先要明白http協(xié)議本身是不存在安全性的問題的，就是說攻擊者不會把它當(dāng)作攻擊的對象。而是應(yīng)用了http協(xié)議的服務(wù)器或則客戶端、以及運(yùn)行的服務(wù)器的wed應(yīng)用資源才是攻擊的目標(biāo)。針對Web應(yīng)用的攻擊，我們歸納出了12種，小陳列舉了其中的4種，在這四種當(dāng)中錯誤的是（）。

（）在實(shí)施攻擊之前，需要盡量收集偽裝身份（），這些信息是攻擊者偽裝成功的（）。例如攻擊者要偽裝成某個大型集團(tuán)公司總部的（）。那么他需要了解這個大型集團(tuán)公司所處行業(yè)的一些行規(guī)或者（）、公司規(guī)則制度、組織架構(gòu)等信息，甚至包括集團(tuán)公司相關(guān)人員的綽號等等。

某項(xiàng)目組進(jìn)行風(fēng)險評估時由于時間有限，決定采用基于知識的分析方法，使用基于知識的分析方法進(jìn)行風(fēng)險評估，最重要的在于評估信息的采集，該項(xiàng)目組對信息源進(jìn)行了討論，以下說法中不可行的是（）。

終端訪問控制器訪問控制系統(tǒng)（TERMINAL Access Controller Access-Control System，TACACS），在認(rèn)證過程中，客戶機(jī)發(fā)送一個START包給服務(wù)器，包的內(nèi)容包括執(zhí)行的認(rèn)證類型、用戶名等信息。START包只在一個認(rèn)證會話開始時使用一個，序列號永遠(yuǎn)為（）。服務(wù)器收到START包以后，回送一個REPLY包，表示認(rèn)證繼續(xù)還是結(jié)束。

下列選項(xiàng)中對信息系統(tǒng)審計(jì)概念的描述中不正確的是（）。

信息安全方面的業(yè)務(wù)連續(xù)性管理包含2個（）和4個控制措施。組織應(yīng)確定在業(yè)務(wù)連續(xù)性管理過程或?yàn)?zāi)難恢復(fù)管理過程中是否包含了（）。應(yīng)在計(jì)劃業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)時確定（）。組織應(yīng)建立、記錄、實(shí)施并維持過程、規(guī)程和控制措施以確保在不利情況下信息安全連續(xù)性處于要求級別。在業(yè)務(wù)連續(xù)性或?yàn)?zāi)難恢復(fù)內(nèi)容中，可能已定義特定的（）。應(yīng)保護(hù)在這些過程和規(guī)程或支持它們的特性信息系統(tǒng)中處理的額信息。在不利情況下，已實(shí)施的信息安全控制措施應(yīng)繼續(xù)實(shí)行。若安全控制措施不能保持信息安全，應(yīng)建立、實(shí)施和維持其他控制措施以保持信息安全在（）。

在設(shè)計(jì)信息系統(tǒng)安全保障方案時，以下哪個做法是錯誤的？（）

某集團(tuán)公司信息安全管理員根據(jù)領(lǐng)導(dǎo)安排制定了下一年度的培訓(xùn)工作計(jì)劃，提出了四個培訓(xùn)任務(wù)和目標(biāo)。關(guān)于這四個培訓(xùn)任務(wù)和目標(biāo)。作為主管領(lǐng)導(dǎo)，以下選項(xiàng)中正確的是（）。

信息安全管理體系ISMS是建立和維持信息安全管理體系的（），標(biāo)準(zhǔn)要求組織通過確定信息安全管理系統(tǒng)范圍、制定（）、明確定管理職責(zé)、以風(fēng)險評估為基礎(chǔ)選擇控制目標(biāo)與控制方式等活動建立信息安全管理體系；體系一旦建立組織應(yīng)按體系規(guī)定的要求進(jìn)行運(yùn)作，保持體系運(yùn)作的有效性；信息安全管理體系應(yīng)形成一定的（），即組織應(yīng)建立并保持一個文件化的信息安全（），其中應(yīng)闡述被保護(hù)的資產(chǎn)、組織安全管理體系應(yīng)形成一定的（）。

下列選項(xiàng)分別是四種常用的資產(chǎn)評估方法，哪個是目前采用最為廣泛的資產(chǎn)評估方法？（）