学习通信息安全基础题库及答案解析

第第PAGE\MERGEFORMAT1页共NUMPAGES\MERGEFORMAT1页学习通信息安全基础题库及答案解析（含答案及解析）姓名：科室/部门/班级：得分：题型单选题多选题判断题填空题简答题案例分析题总分得分

一、单选题（共20分）

1.信息安全的基本属性不包括以下哪一项？

（）A.机密性

（）B.完整性

（）C.可用性

（）D.可管理性

2.以下哪种加密方式属于对称加密？

（）A.RSA

（）B.AES

（）C.ECC

（）D.SHA-256

3.当用户忘记密码时，系统通过发送邮件或短信验证码来重置密码，这种认证方式属于？

（）A.生物识别认证

（）B.知识因素认证

（）C.拥有因素认证

（）D.多因素认证

4.以下哪个协议主要用于在互联网上安全传输网页？

（）A.FTP

（）B.HTTP

（）C.HTTPS

（）D.SMTP

5.发现信息系统存在安全漏洞后，应优先采取的措施是？

（）A.公开漏洞信息

（）B.内部通报并修复

（）C.尝试利用漏洞获取利益

（）D.忽略漏洞等待厂商修复

6.威胁信息系统安全的木马病毒，其主要特点不包括？

（）A.隐蔽性强

（）B.传播速度快

（）C.通常需要用户主动下载

（）D.破坏性大

7.对存储在数据库中的敏感信息进行加密处理，主要目的是为了保障信息的？

（）A.不可抵赖性

（）B.完整性

（）C.机密性

（）D.可用性

8.企业内部员工离职时，需要对其进行的安全管理措施不包括？

（）A.撤销系统访问权限

（）B.回收工牌和设备

（）C.进行安全意识培训

（）D.修改所有相关密码

9.根据中国《网络安全法》，网络运营者收集、使用个人信息，应当遵循什么原则？

（）A.收集为主，使用为辅

（）B.严格限定，正当必要

（）C.公开透明，无偿使用

（）D.自由选择，自行处置

10.以下哪种行为不属于网络攻击中的拒绝服务攻击（DoS）？

（）A.大量发送垃圾邮件

（）B.发送大量无效请求使服务器过载

（）C.窃取用户账户信息

（）D.使用僵尸网络向目标发起攻击

11.信息安全等级保护制度中，等级最高的保护级别是？

（）A.等级二级

（）B.等级三级

（）C.等级四级

（）D.等级五级

12.在进行安全事件应急响应时，哪个阶段通常最先进行？

（）A.恢复阶段

（）B.准备阶段

（）C.分析阶段

（）D.总结阶段

13.为确保数据在传输过程中的机密性，可以采用的技术手段是？

（）A.VPN

（）B.MAC地址过滤

（）C.防火墙

（）D.入侵检测系统

14.以下哪种文件类型通常被认为是最不安全的？

（）A..txt

（）B..jpg

（）C..exe

（）D..pdf

15.关于“零信任”安全模型的核心思想，以下表述最准确的是？

（）A.默认信任，严格验证

（）B.严格隔离，拒绝访问

（）C.只信任内部网络

（）D.无需进行身份验证

16.企业制定信息安全策略的首要目的是？

（）A.符合法律法规要求

（）B.提高员工计算机水平

（）C.降低信息安全风险

（）D.增加系统运行速度

17.对称加密算法的特点是？

（）A.密钥公开，算法复杂

（）B.密钥不公开，算法简单

（）C.使用同一密钥加密解密

（）D.只能加密文本文件

18.信息安全风险评估中，“风险”通常由哪个公式表示？

（）A.风险=损失+概率

（）B.风险=资产-漏洞

（）C.风险=安全措施/暴露面

（）D.风险=成本+时间

19.以下哪种方法不适合用于身份认证？

（）A.用户名密码

（）B.指纹识别

（）C.IP地址绑定

（）D.动态口令

20.防火墙的主要功能是？

（）A.恢复受损数据

（）B.检测恶意软件

（）C.阻止未经授权的访问

（）D.自动修复系统漏洞

二、多选题（共15分，多选、错选均不得分）

21.信息安全的基本要素包括哪些？

（）A.机密性

（）B.完整性

（）C.可用性

（）D.可追溯性

（）E.可管理性

22.以下哪些属于常见的社会工程学攻击手段？

（）A.网络钓鱼

（）B.僵尸网络攻击

（）C.情感操控

（）D.拒绝服务攻击

（）E.诱骗用户提供信息

23.安全审计的主要目的包括？

（）A.监控系统安全事件

（）B.发现潜在安全风险

（）C.事后追溯攻击者

（）D.评估安全策略有效性

（）E.制定安全培训计划

24.在进行数据备份时，应考虑的因素包括？

（）A.备份频率

（）B.备份介质

（）C.数据恢复时间目标（RTO）

（）D.数据恢复点目标（RPO）

（）E.备份存储位置

25.根据中国《数据安全法》，数据处理活动应遵循的原则包括？

（）A.合法、正当、必要

（）B.公开透明，全程可控

（）C.确保数据安全，防止泄露

（）D.数据最小化

（）E.保障个人权益

26.以下哪些属于常见的网络安全威胁？

（）A.病毒

（）B.木马

（）C.蠕虫

（）D.恶意软件

（）E.跨站脚本攻击（XSS）

27.构建企业信息安全管理体系，通常需要考虑的方面包括？

（）A.组织架构与职责

（）B.安全策略与标准

（）C.技术防护措施

（）D.安全意识与培训

（）E.应急响应机制

28.以下哪些协议传输数据时，默认不加密？

（）A.FTP

（）B.Telnet

（）C.SSH

（）D.SMTP

（）E.DNS

29.身份认证的技术手段可以包括？

（）A.密码

（）B.指纹

（）C.授权令牌

（）D.生物特征

（）E.IP地址

30.信息安全等级保护制度中，等级保护对象的主要属性包括？

（）A.信息系统本身

（）B.所承载的信息

（）C.运行信息系统的物理环境

（）D.信息系统的运维人员

（）E.与信息系统相关的业务活动

三、判断题（共15分，每题0.5分）

31.信息安全只与IT部门有关，与其他部门无关。（）

32.对称加密算法的密钥长度越长，其安全性就越高。（）

33.U盘是常用的数据存储介质，使用U盘传递文件不会带来安全风险。（）

34.身份认证就是确认用户身份的过程。（）

35.网络攻击者实施攻击的唯一目的是窃取用户银行账户信息。（）

36.防火墙可以完全阻止所有网络攻击。（）

37.数据加密只能保护数据在存储时的安全。（）

38.《中华人民共和国网络安全法》规定了网络运营者的安全义务和责任。（）

39.社会工程学攻击不需要技术知识，任何人都可以实施。（）

40.信息备份只需要进行一次，就可以永久保存数据。（）

41.信息安全风险评估的结果通常是一个具体的数值评分。（）

42.入侵检测系统（IDS）和入侵防御系统（IPS）的功能完全相同。（）

43.“最小权限原则”要求员工拥有完成工作所需的最少权限。（）

44.黑客攻击和病毒传播都属于非法行为。（）

45.信息安全等级保护制度是中国特有的信息安全保障制度。（）

四、填空题（共10空，每空1分，共10分）

46.信息安全的基本属性包括________、________和________。

47.常用的对称加密算法有DES、3DES和________。

48.身份认证的三种基本因素是知识因素、________和生物特征因素。

49.HTTPS协议是在HTTP协议的基础上加入了________机制，保障数据传输的安全性。

50.企业发生信息安全事件后，需要启动________机制进行应急处置。

51.《中华人民共和国网络安全法》规定，网络运营者应当按照规定记录并留存网络日志不少于________。

52.为了防止数据泄露，对存储有敏感信息的硬盘进行销毁时，应采用物理销毁或专业的________方法。

53.防火墙根据工作位置可以分为________防火墙和________防火墙。

54.在进行安全意识培训时，应教育员工不轻易打开来历不明的________。

55.“零信任”安全模型的核心思想是“从不信任，总是验证”。

五、简答题（共4题，每题5分，共20分）

56.简述对称加密算法和非对称加密算法的主要区别。

57.简述企业内部员工应该如何保护自己的账号密码安全。

58.简述什么是网络安全事件应急响应，其主要阶段有哪些？

59.简述“数据备份”的主要目的和基本要求。

六、案例分析题（共1题，共15分）

60.案例背景：某公司是一家中小型软件开发企业，员工约80人，内部网络通过一台防火墙连接互联网。近期，公司发现部分员工电脑频繁出现卡顿、自动弹出广告页面，甚至有员工报告称自己的银行账户信息疑似被盗用。经安全部门初步检查，发现内部网络中存在大量未经许可安装的P2P下载软件和来路不明的软件，部分员工的电脑中了勒索病毒，导致文件被加密。公司领导意识到信息安全形势严峻，决定加强安全管理。

问题：

（1）结合案例，分析该公司当前面临的主要信息安全风险有哪些？（4分）

（2）针对上述风险，该公司可以采取哪些具体的安全管理措施来改善现状？（8分）

（3）请总结该公司在后续安全管理中应重点关注哪些方面？（3分）

参考答案及解析

参考答案

一、单选题（共20分）

1.D

2.B

3.B

4.C

5.B

6.C

7.C

8.C

9.B

10.C

11.D

12.B

13.A

14.C

15.A

16.C

17.C

18.A

19.C

20.C

二、多选题（共15分，多选、错选均不得分）

21.ABC

22.ACE

23.ABCD

24.ABCDE

25.ADE

26.ABCDE

27.ABCDE

28.ABD

29.ABCD

30.ABC

三、判断题（共15分，每题0.5分）

31.×

32.√

33.×

34.√

35.×

36.×

37.×

38.√

39.×

40.×

41.×

42.×

43.√

44.√

45.√

四、填空题（共10空，每空1分，共10分）

46.机密性；完整性；可用性

47.AES

48.拥有因素

49.认证

50.应急响应

51.六个月

52.数据销毁

53.边界；内部

54.邮件附件

55.零信任

五、简答题（共4题，每题5分，共20分）

56.答：

①加密解密密钥：对称加密算法使用同一个密钥进行加密和解密；非对称加密算法使用一对密钥（公钥和私钥），公钥用于加密，私钥用于解密。

②算法复杂度：对称加密算法通常计算效率较高，算法相对简单；非对称加密算法计算复杂度较高，速度较慢。

③应用场景：对称加密算法适合加密大量数据；非对称加密算法常用于密钥交换、数字签名等领域。

④密钥长度：对称加密算法密钥长度通常较短（如DES56位）；非对称加密算法密钥长度通常较长（如RSA2048位）。

解析：该题考查对称加密与非对称加密的核心区别。对称加密速度快但密钥分发困难，非对称加密安全但速度慢，两者各有优劣，适用于不同场景。这是信息安全基础中的知识点。

57.答：

①设置强密码：密码应包含大小写字母、数字和符号，长度足够（建议12位以上），避免使用生日、姓名等易猜信息。

②定期更换密码：每隔一段时间（如3-6个月）更换一次密码，且新旧密码不能过于相似。

③不同账户使用不同密码：避免多个重要账户使用相同密码，以防一个账户泄露导致其他账户也受影响。

④启用多因素认证：对于支持的服务，开启多因素认证（如短信验证码、身份验证器）增加账户安全性。

⑤敏感密码妥善保管：不将密码写在工作场所或随意告知他人，使用密码管理工具辅助管理。

⑥警惕钓鱼攻击：不轻易点击来历不明的链接或邮件附件，不随意输入密码。

解析：该题围绕员工日常操作中的密码安全展开，涵盖了密码设置、管理、使用等多方面建议，是员工安全意识培训的核心内容。

58.答：

①定义：网络安全事件应急响应是指针对网络安全事件，按照预定计划采取的一系列应急措施，以最小化损失、快速恢复系统正常运行的过程。

②主要阶段：通常包括准备阶段、检测与分析阶段、Containment（遏制）阶段、Eradication（根除）阶段、恢复阶段和事后总结阶段。

解析：该题考查应急响应的基本概念和流程，是信息安全管理体系的重要组成部分。完整准确的阶段划分是培训中的重点。

59.答：

①主要目的：

a.数据保护：防止因硬件故障、自然灾害、人为误操作、病毒攻击等原因导致数据丢失。

b.业务连续性：确保在发生数据丢失时，能够快速恢复数据，保障业务正常运行。

c.合规要求：满足相关法律法规或行业标准对数据备份的要求。

d.应对勒索软件：备份是防范勒索软件攻击导致数据无法访问的有效手段。

②基本要求：

a.定期备份：根据数据变化频率和重要性确定备份频率。

b.完整性校验：定期检查备份数据的完整性和可用性。

c.安全存储：备份介质应妥善保管，防止物理损坏或非法访问。

d.多份备份：遵循3-2-1备份原则（至少三份副本，两种不同介质，一份异地存储）。

e.测试恢复：定期进行数据恢复演练，验证备份的有效性。

解析：该题要求理解数据备份的意义和要求，涵盖了备份的目的和关键实践原则，是数据安全基础知识的考察。

六、案例分析题（共1题，共15分）

60.答：

（1）案例背景分析：

该公司面临的主要