2025年数据库安全性考试试题及答案

2025年数据库安全性考试试题及答案一、单项选择题（每题2分，共20分）1.某金融机构数据库系统需遵循“最小权限原则”，以下哪种操作符合该原则？A.为所有开发人员分配数据库管理员（DBA）权限B.仅为会计部门用户授予查询客户账户余额的权限C.允许测试人员在生产环境中执行数据删除操作D.为临时项目组分配永久读取权限答案：B2.数据库透明加密（TDE）通常作用于哪个层级？A.应用程序代码层B.数据库存储文件层C.用户会话连接层D.网络传输层答案：B3.以下哪种技术最能有效防御SQL注入攻击？A.在应用层对输入数据进行长度限制B.使用参数化查询（PreparedStatement）C.对数据库端口进行防火墙白名单限制D.定期更新数据库管理系统（DBMS）补丁答案：B4.某电商平台数据库日志显示，某用户在1分钟内连续执行200次用户信息查询操作，这最可能触发哪种安全机制？A.数据脱敏B.访问控制列表（ACL）C.异常行为检测（ABM）D.静态加密答案：C5.根据《数据安全法》要求，关键信息基础设施运营者的重要数据备份应满足“离线存储”条件，以下哪种方式符合要求？A.将备份文件存储在云服务商提供的对象存储（OSS）中B.每周将备份磁带运送至异地物理库房C.使用数据库自带的实时主从复制功能D.将备份文件加密后存储在生产服务器的附加磁盘中答案：B6.数据库哈希（Hash）函数的主要用途是？A.对敏感数据进行可逆加密B.验证数据完整性和存储用户密码C.实现不同数据库间的数据同步D.优化查询性能答案：B7.动态数据脱敏（DDM）与静态数据脱敏（SDM）的核心区别在于？A.动态脱敏仅在开发环境使用，静态脱敏在生产环境使用B.动态脱敏实时处理查询结果，静态脱敏处理存储数据C.动态脱敏使用对称加密，静态脱敏使用非对称加密D.动态脱敏由数据库内核实现，静态脱敏需应用层开发答案：B8.某企业采用公有云数据库服务（如AWSRDS），在SaaS模式下，以下哪项安全责任通常由云服务商承担？A.数据库用户权限管理B.数据库所在物理服务器的物理安全C.应用层SQL注入攻击防护D.业务数据的加密密钥管理答案：B9.数据库审计日志的最小保留周期应至少满足？A.1个月B.6个月（符合GDPR要求）C.1年D.3年（符合《网络安全法》要求）答案：B10.针对数据库特权账户（如sa、sys）的安全管理，以下哪项措施最关键？A.为每个特权账户设置相同的强密码B.启用多因素认证（MFA）并定期轮换密码C.将特权账户密码存储在数据库配置文件中D.允许特权账户通过公网直接登录答案：B二、填空题（每题2分，共20分）1.数据库访问控制模型中，基于角色的访问控制缩写为______。答案：RBAC2.数据库加密技术可分为存储加密、传输加密和______加密三类。答案：应用层（或“字段级”）3.防止未授权用户通过数据库备份文件恢复敏感数据的关键措施是______。答案：备份数据加密（或“对备份文件加密”）4.SQL注入攻击的本质是将用户输入的______当作代码执行。答案：数据（或“字符串”）5.数据库容灾方案中，“RPO”指的是______。答案：恢复点目标（或“最大允许数据丢失量”）6.数据脱敏的常见方法包括替换、掩码、随机化和______。答案：截断（或“无效化”）7.数据库审计的核心目的是实现操作的______。答案：可追溯性（或“审计追踪”）8.漏洞扫描工具对数据库进行检测时，需重点关注______漏洞（如CVE编号对应的已知高危漏洞）。答案：未修复的（或“未打补丁的”）9.云数据库环境中，“数据驻留”要求指的是数据必须存储在______。答案：指定地理区域（或“特定国家/地区”）10.依据《个人信息保护法》，处理个人信息时应遵循______原则，即最小化收集必要信息。答案：最小必要三、简答题（每题8分，共40分）1.简述基于属性的访问控制（ABAC）与基于角色的访问控制（RBAC）的主要区别。答案：RBAC通过预定义角色（如“会计”“客服”）分配权限，权限与角色绑定，适用于组织架构稳定的场景；ABAC则基于用户属性（如部门、职位、时间）、资源属性（如数据敏感等级）和环境属性（如IP地址、设备类型）动态计算权限，灵活性更高，适用于需细粒度控制的复杂场景（如跨部门临时项目访问）。2.数据库存储加密可分为全库加密和字段级加密，说明两者的适用场景及优缺点。答案：全库加密对整个数据库文件（如.mdf、.ibd）加密，由数据库内核自动处理，优点是配置简单、对应用透明；缺点是无法针对敏感字段单独控制，密钥丢失可能导致全部数据不可用，适用于对整体安全性要求较高但数据敏感等级差异小的场景（如内部日志数据库）。字段级加密仅对特定字段（如身份证号、银行卡号）加密，需应用层或数据库扩展支持，优点是敏感数据隔离，密钥管理更灵活；缺点是开发复杂度高，可能影响查询性能（如无法对加密字段直接索引），适用于包含高度敏感数据的业务系统（如银行用户信息表）。3.列举至少4种检测SQL注入攻击的技术，并说明其原理。答案：（1）输入验证：检查用户输入是否符合预定义规则（如仅允许数字、字母），阻断包含特殊字符（如“;”“--”）的输入；（2）日志分析：通过数据库审计日志监控异常SQL语句（如高频UNIONSELECT、EXEC命令）；（3）Web应用防火墙（WAF）：基于特征库识别注入模式（如“'OR1=1--”）并拦截请求；（4）动态污点分析：跟踪用户输入在应用程序中的流动，检测输入是否被直接拼接到SQL语句中；（5）漏洞扫描工具（如SQLMap）：模拟攻击测试，自动发现可注入点。4.说明数据库备份与容灾的区别，并列举容灾方案设计的3个关键指标。答案：备份是将数据复制到存储介质（如磁带、磁盘），用于数据误删或逻辑错误时恢复；容灾是通过冗余架构（如异地多活）保障系统在灾难（如地震、机房断电）下的可用性，目标是“业务不中断”。容灾方案的关键指标包括：（1）RPO（恢复点目标，允许丢失的最大数据量）；（2）RTO（恢复时间目标，系统从故障到恢复的时间）；（3）容灾等级（如热备、温备、冷备）。5.云数据库相比传统本地数据库，新增了哪些安全挑战？（至少4点）答案：（1）数据主权风险：云服务商可能将数据存储在境外，需遵守不同司法管辖区的法律；（2）共享环境风险：多租户共用底层资源，存在侧信道攻击（如缓存攻击）风险；（3）服务商信任风险：云服务商可能因内部操作或数据泄露导致用户数据受损；（4）接口安全风险：API接口需防范越权调用、身份伪造（如签名篡改）；（5）数据迁移风险：数据上云/下云过程中可能因传输未加密或工具漏洞导致泄露；（6）合规复杂性：需同时满足本地法规（如《数据安全法》）和云服务商条款（如AWS的服务协议）。四、综合题（每题10分，共20分）1.某银行拟设计用户信息数据库（包含字段：用户ID、姓名、身份证号、手机号、账户余额），请从访问控制、加密、审计三方面设计安全方案。答案：（1）访问控制：采用RBAC+行级/字段级控制。①角色划分：柜员（仅查询本网点用户姓名、手机号）、信贷员（查询身份证号、账户余额）、DBA（仅维护权限，无数据查询权）；②行级控制：通过数据库行访问控制（如PostgreSQL的RLS）限制柜员仅能访问所属网点用户；③字段级控制：对身份证号、账户余额字段设置“仅信贷员可见”权限，姓名、手机号对柜员开放。（2）加密：①传输加密：应用与数据库间使用TLS1.3加密连接，禁止明文传输；②存储加密：对身份证号、账户余额字段使用AES-256加密（密钥由硬件安全模块HSM管理），手机号使用哈希加盐（SHA-256+随机盐）存储；③备份加密：全量备份文件使用非对称加密（RSA），私钥由银行安全部门保管，禁止云存储。（3）审计：①启用数据库审计功能（如MySQL的AuditPlugin），记录所有数据查询、修改操作（包括用户、时间、IP、SQL语句）；②对身份证号、账户余额的查询操作设置“关键审计事件”，触发实时告警至安全团队；③审计日志每日自动同步至离线存储（磁带），保留至少3年（符合《金融数据安全分级指南》要求）。2.某电商数据库近日发生用户信息泄露（包含10万条手机号、地址），经初步排查，攻击路径为：黑客通过某前端页面的搜索框注入恶意SQL语句，获取数据库连接权限后导出数据。请分析攻击过程中的安全漏洞，并提出修复措施。答案：（1）漏洞分析：①前端输入未做严格验证：搜索框允许用户输入包含“'”“OR”等特殊字符，未过滤或转义；②应用代码存在SQL拼接：开发人员使用字符串拼接方式提供SQL语句（如“SELECTFROMusersWHEREname='”+input+“'”），未使用参数化查询；③数据库权限过高：应用连接数据库的账户拥有“SELECT”全表权限，未限制仅查询必要字段；④审计缺失：数据库未记录异常高频查询操作，导致攻击未被及时发现。（2）修复措施：①输入验证：前端对搜索框输入进行正则校验（仅允许中文、字母、数字），后端使用OWASPESAPI库再次过滤特殊字符；②代码优化：将SQL拼接改为参数化查询（如Java的PreparedStatement），确保用户输