掌上安全考试题库及答案解析

第第PAGE\MERGEFORMAT1页共NUMPAGES\MERGEFORMAT1页掌上安全考试题库及答案解析（含答案及解析）姓名：科室/部门/班级：得分：题型单选题多选题判断题填空题简答题案例分析题总分得分

一、单选题（共20分）

1.在进行移动设备安全风险评估时，以下哪项指标不属于常用的性能指标？

A.设备电池续航时间

B.应用程序安装数量

C.系统可用存储空间

D.设备运行温度

2.根据等保2.0标准要求，三级信息系统安全等级保护测评中，以下哪个环节不属于安全测评的必要步骤？

A.安全策略符合性检查

B.数据备份恢复测试

C.用户权限管理审计

D.网络设备物理环境勘查

3.当移动应用出现数据泄露时，以下哪种应急响应措施应优先采取？

A.立即下架应用

B.通知受影响用户

C.启动数据溯源分析

D.更新应用安全补丁

4.在移动设备加密存储方案中，采用AES-256算法的主要优势是？

A.加密速度更快

B.对称密钥更短

C.抗破解能力更强

D.部署成本更低

5.根据OWASP移动安全指南，以下哪项行为最容易导致移动应用遭受中间人攻击？

A.使用HTTPS传输数据

B.HTTP请求未进行加密

C.配置HSTS头部

D.使用CORS策略

6.企业移动设备管理（MDM）方案中，以下哪项功能不属于强制执行类策略？

A.设备密码复杂度要求

B.应用安装白名单

C.远程数据擦除

D.定时屏幕锁定

7.在移动支付安全方案中，动态口令（OTP）的主要作用是？

A.加密交易数据

B.验证用户身份

C.压缩传输流量

D.提高网络速度

8.根据GDPR法规，移动应用收集用户位置信息时，以下哪项做法符合合规要求？

A.默认开启位置权限

B.仅在必要场景请求权限

C.使用模糊化位置数据

D.未经用户同意传输数据

9.在移动应用代码审计中，以下哪种漏洞类型属于逻辑漏洞？

A.SQL注入

B.跨站脚本（XSS）

C.权限绕过

D.证书解析错误

10.根据NISTSP800-171标准，移动设备离线使用时，以下哪项措施最能有效防止数据泄露？

A.启用自动同步功能

B.设置设备加密锁

C.关闭蓝牙连接

D.限制外部存储访问

11.在移动设备物理安全防护中，以下哪项措施属于“纵深防御”策略？

A.安装防摔壳

B.设置屏幕密码

C.使用安全锁扣

D.限制USB数据传输

12.根据GMFV（全球移动设备安全框架），以下哪项场景属于“数据传输”阶段的安全风险？

A.设备存储加密

B.网络传输加密

C.应用权限管理

D.日志审计监控

13.在移动应用安全测试中，以下哪种方法最适合检测本地数据存储漏洞？

A.网络抓包分析

B.代码静态分析

C.模糊测试

D.动态内存监测

14.根据ISO27001标准，移动设备安全管理应遵循的PDCA循环阶段是？

A.规划（Plan）

B.实施与运行（Do）

C.检查（Check）

D.以上都是

15.在移动应用API安全防护中，以下哪项措施能有效防止重放攻击？

A.使用HTTPS协议

B.设置请求时效限制

C.限制并发访问量

D.增加请求头复杂度

16.根据CIS安全基准，移动设备管理策略中，以下哪项属于“认证与身份管理”范畴？

A.设备注册流程

B.文件加密配置

C.应用白名单

D.远程锁屏

17.在移动应用权限管理中，以下哪项做法符合最小权限原则？

A.应用请求全部权限

B.按需申请权限

C.权限分组管理

D.权限永久存储

18.根据FCPA（联邦贸易委员会法案），移动应用推送营销时，以下哪项做法可能引发合规风险？

A.提供退订选项

B.自动开启推送服务

C.明确告知推送目的

D.使用服务提供商身份发送

19.在移动设备漏洞修复流程中，以下哪个环节属于“处置”阶段？

A.漏洞验证

B.补丁开发

C.影响评估

D.恢复验证

20.根据CMMI（能力成熟度模型集成），移动应用安全开发能力提升应重点关注？

A.过程定义度

B.技术复杂度

C.资源投入量

D.产品创新性

二、多选题（共15分，多选、错选不得分）

21.移动设备面临的主要安全威胁包括？

A.恶意软件感染

B.网络钓鱼攻击

C.物理丢失

D.API接口滥用

E.硬件故障

22.根据ISO/IEC27005标准，移动应用安全风险评估应考虑哪些因素？

A.资产价值

B.威胁可能性

C.漏洞严重性

D.修复成本

E.用户数量

23.企业移动应用安全基线应包含哪些内容？

A.系统加固配置

B.应用权限管理

C.日志审计策略

D.数据加密标准

E.第三方库检测

24.移动应用安全测试中，以下哪些方法属于动态测试？

A.代码静态分析

B.模糊测试

C.模拟攻击

D.代码审查

E.依赖库扫描

25.根据CIS移动设备安全指南，以下哪些措施属于“设备配置”范畴？

A.系统版本升级

B.屏幕锁定策略

C.数据擦除配置

D.网络访问控制

E.应用安装白名单

三、判断题（共15分，每题0.5分）

26.在移动应用中，使用JWT（JSONWebToken）无需服务器存储会话状态。（√）

27.根据等保2.0，三级系统必须部署入侵检测系统（IDS）。（√）

28.移动设备指纹技术可用于防止应用破解，属于主动防御手段。（×）

29.GDPR法规要求企业必须删除用户数据，但无需提前通知用户。（×）

30.MDM方案中，“强制执行”策略比“建议性”策略优先级更高。（√）

31.HTTP/2协议默认使用TLS加密传输。（×）

32.移动应用代码混淆可以有效防止逆向工程。（×）

33.根据GMFV，设备丢失属于“数据存储”阶段风险。（×）

34.NISTSP800-53标准要求所有系统必须实施多因素认证。（√）

35.移动支付应用必须使用银行级加密算法。（√）

36.ISO27040标准专门针对移动设备安全管理。（×）

37.OWASP移动安全指南是强制性行业标准。（×）

38.企业内部移动应用开发无需考虑外部合规要求。（×）

39.动态口令（OTP）比静态密码安全性更高。（√）

40.移动设备安全策略应定期（至少每年）进行评估。（√）

四、填空题（共10空，每空1分，共10分）

41.移动设备安全防护应遵循______、______、______的layereddefense（纵深防御）原则。

42.根据GDPR，移动应用处理用户生物信息时，必须满足______、______和______三个核心原则。

43.企业移动应用安全基线应包含______、______和______三个维度。

44.移动应用安全测试中，______和______是两种常用的静态测试方法。

45.根据GMFV，移动应用安全生命周期包括______、______、______和______四个阶段。

五、简答题（共30分）

46.简述移动应用遭受恶意软件攻击的主要途径及防护措施。（6分）

47.根据等保2.0要求，三级信息系统安全等级保护测评中，应重点关注哪些安全控制措施？（8分）

48.结合实际案例，分析移动支付应用中常见的风险场景及应对策略。（10分）

49.企业在制定移动设备安全策略时应考虑哪些关键因素？（6分）

六、案例分析题（共25分）

案例背景：

某电商公司推出了一款移动购物应用，用户可通过应用浏览商品、下单支付。近期发现部分用户反映应用在连接公共Wi-Fi时出现数据泄露，同时应用后台日志显示存在异常的API调用记录。经初步排查，应用采用明文传输数据，且未实现设备丢失后的数据自动加密擦除功能。

问题：

1.分析本案例中存在的安全风险点及潜在原因。（8分）

2.提出针对上述问题的修复措施及预防建议。（10分）

3.结合案例场景，说明企业应如何完善移动应用安全管理体系？（7分）

参考答案及解析

参考答案

一、单选题

1.B

2.D

3.C

4.C

5.B

6.C

7.B

8.B

9.C

10.B

11.B

12.B

13.B

14.D

15.B

16.A

17.B

18.B

19.B

20.A

二、多选题

21.ABC

22.ABCD

23.ABCD

24.BCE

25.ABCDE

三、判断题

26.√

27.√

28.×

29.×

30.√

31.×

32.×

33.×

34.√

35.√

36.×

37.×

38.×

39.√

40.√

四、填空题

41.身份认证，访问控制，数据保护

42.合法性，目的性，最小化

43.系统配置，应用安全，数据安全

44.代码审查，静态代码分析

45.设计，开发，测试，部署

五、简答题

46.恶意软件攻击途径：

①应用商店植入（通过仿冒应用或捆绑恶意代码）；

②联网环境攻击（利用Wi-Fi嗅探或中间人攻击）；

③用户行为诱导（通过钓鱼链接或伪基站发送恶意APK）。

防护措施：

①仅从官方渠道下载应用；

②启用应用权限管理（如限制后台数据访问）；

③安装安全防护应用；

④定期更新系统及应用补丁。

47.重点控制措施：

①访问控制（身份认证、权限管理）；

②数据保护（加密存储、传输加密、脱敏处理）；

③网络通信安全（防火墙、入侵检测、VPN接入）；

④设备安全（终端加固、物理防护）；

⑤日志审计（操作记录、异常告警）。

48.风险场景及应对：

①风险场景：

a.支付接口未加密（通过抓包篡改金额）；

b.恶意SDK注入（窃取支付验证码）；

c.用户账号泄露（撞库盗刷）。

②应对策略：

a.接口使用HMAC或RSA签名验证；

b.第三方SDK安全检测（如CNCERT检测工具）；

c.双因素认证+设备绑定。

49.关键因素：

①安全需求（业务场景决定防护级别）；

②技术现状（设备能力与兼容性）；

③法律合规（GDPR、等保等法规要求）；

④成本效益（投入产出比分析）；

⑤用户接受度（策略对业务体验的影响）。

六、案例分析题

1.风险点及原因：

①明文传输数据（采用HTTP协议，易被Wi-Fi嗅探）；

②缺失设备丢失防护（未配置远程数据擦除）；

③API异常调用（可能存在未授权访问或数据泄露）。

原因：

a.开发团队忽视安全需求；

b.未遵循OWASP安全编码规范；

c.后台审计机制缺失。

2.