2025计算机三级信息安全技术考试题库及答案

2025计算机三级信息安全技术考试题库及答案一、单项选择题（共20题，每题1分，共20分）1.信息安全的核心属性“CIA三元组”不包括以下哪项？A.机密性（Confidentiality）B.完整性（Integrity）C.可用性（Availability）D.不可否认性（Nonrepudiation）答案：D2.以下哪种加密算法属于对称加密？A.RSAB.ECC（椭圆曲线加密）C.AESD.DH（DiffieHellman）答案：C3.TCP/IP协议栈中，以下哪一层负责处理IP地址欺骗攻击？A.应用层B.传输层C.网络层D.数据链路层答案：C（网络层通过IPSec等协议防御IP欺骗）4.以下哪个端口是SSH服务的默认端口？A.21B.22C.80D.443答案：B5.下列哪项不是访问控制的主要模型？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案：D（ABAC是扩展模型，非主要基础模型）6.SQL注入攻击的本质是：A.利用操作系统漏洞B.利用应用程序对用户输入过滤不足C.利用数据库管理系统（DBMS）的认证缺陷D.利用网络协议的设计漏洞答案：B7.以下哪种恶意软件通过自我复制并感染其他程序传播？A.病毒（Virus）B.蠕虫（Worm）C.木马（Trojan）D.勒索软件（Ransomware）答案：A（病毒需宿主程序，蠕虫可独立传播）8.数字证书的标准格式是：A.X.500B.X.509C.X.400D.X.25答案：B9.以下哪项是防御缓冲区溢出攻击的有效措施？A.启用地址空间布局随机化（ASLR）B.关闭防火墙C.禁用杀毒软件D.使用明文传输数据答案：A10.物联网（IoT）设备的典型安全风险不包括：A.弱密码或默认密码B.固件更新不及时C.大规模DDoS攻击（如Mirai僵尸网络）D.量子计算破解加密答案：D（量子计算对IoT的直接威胁尚未普遍）11.以下哪项是ISO/IEC27001标准的核心内容？A.信息安全管理体系（ISMS）B.网络安全等级保护C.数据隐私保护（GDPR）D.云计算安全指南答案：A12.哈希函数的主要特性不包括：A.单向性（无法从哈希值逆向推原文）B.抗碰撞性（不同原文生成相同哈希值的概率极低）C.长度固定（无论输入多长，输出长度固定）D.可加密性（支持解密还原原文）答案：D13.以下哪种漏洞扫描工具用于检测Web应用程序漏洞？A.NessusB.OpenVASC.BurpSuiteD.Wireshark答案：C（BurpSuite是Web渗透测试工具）14.零信任架构（ZeroTrust）的核心原则是：A.信任内部网络所有设备B.持续验证访问请求的合法性C.仅允许已知白名单IP访问D.关闭所有外部网络连接答案：B15.以下哪项属于物理安全控制措施？A.防火墙规则配置B.服务器机房门禁系统C.数据库加密D.员工安全培训答案：B16.以下哪种攻击利用了DNS协议的无认证特性？A.ARP欺骗B.DNS缓存投毒C.SYNFloodD.ICMP重定向答案：B17.数据脱敏技术中，“将身份证号中的出生年月替换为”属于：A.掩码（Masking）B.加密（Encryption）C.匿名化（Anonymization）D.混淆（Obfuscation）答案：A18.以下哪项是无线局域网（WLAN）的主要安全协议？A.WEPB.WPA3C.SSLD.IPsec答案：B（WEP已淘汰，WPA3是最新标准）19.以下哪项属于操作系统的安全加固措施？A.开启不必要的服务和端口B.定期更新系统补丁C.使用默认管理员账户（如Administrator）D.禁用用户访问控制（UAC）答案：B20.工业控制系统（ICS）的典型安全需求不包括：A.实时性优先于安全性B.设备生命周期长，补丁更新困难C.物理隔离与网络隔离并重D.支持量子加密通信答案：D（ICS更关注传统网络安全，量子加密非典型需求）二、多项选择题（共10题，每题2分，共20分，多选、少选、错选均不得分）1.以下属于信息安全技术体系的有：A.密码技术B.访问控制技术C.入侵检测技术D.数据备份与恢复技术答案：ABCD2.以下哪些是常见的拒绝服务攻击（DoS）类型？A.SYNFloodB.DNS放大攻击C.SQL注入D.缓冲区溢出答案：AB（C是应用层攻击，D是代码漏洞利用）3.以下哪些措施可增强无线局域网（WLAN）的安全性？A.使用WPA3替代WEPB.关闭SSID广播C.启用MAC地址过滤D.降低无线信号强度答案：ABC4.数字签名的主要功能包括：A.验证数据完整性B.确认发送方身份C.保证数据机密性D.防止发送方抵赖答案：ABD（机密性需加密，非签名功能）5.以下哪些属于网络层安全协议？A.IPSecB.TLSC.HTTPSD.ICMP答案：A（TLS是传输层，HTTPS是应用层，ICMP是网络层但非安全协议）6.以下哪些是数据库安全的关键措施？A.权限最小化分配（PrincipleofLeastPrivilege）B.敏感数据加密存储C.定期执行SQL注入测试D.启用数据库审计日志答案：ABCD7.以下哪些属于社会工程学攻击手段？A.钓鱼邮件（Phishing）B.水坑攻击（WateringHole）C.暴力破解密码D.电话诈骗获取账号信息答案：ABD（C是技术攻击，非社会工程）8.以下哪些是云计算面临的安全挑战？A.多租户隔离（TenantIsolation）B.数据泄露风险C.物理服务器故障D.云服务商的合规性（如GDPR）答案：ABD（物理服务器故障是传统IT风险，非云计算特有）9.以下哪些是Linux系统的安全加固措施？A.禁用不必要的服务（如telnet）B.配置SELinux（安全增强型Linux）C.定期更新内核补丁D.使用root账户日常登录答案：ABC（D会增加权限滥用风险）10.以下哪些是移动应用（App）的安全风险？A.敏感数据存储在客户端（如明文存储token）B.应用程序未进行代码混淆，易被反编译C.使用HTTP而非HTTPS传输数据D.应用权限申请过多（如相机权限用于天气App）答案：ABCD三、填空题（共10题，每题1分，共10分）1.信息安全的“老三性”是机密性、完整性和__________。答案：可用性2.AES256加密算法的密钥长度为__________位。答案：2563.常见的漏洞扫描分为主机扫描、网络扫描和__________扫描。答案：Web应用4.防火墙的主要类型包括包过滤防火墙、状态检测防火墙和__________防火墙。答案：应用层代理5.物联网（IoT）设备的典型通信协议有MQTT、CoAP和__________。答案：ZigBee（或LoRa等）6.操作系统的访问控制机制中，SUID（SetUserID）的作用是让普通用户以__________权限执行程序。答案：文件所有者7.网络攻击的一般步骤包括信息收集、漏洞探测、__________和痕迹清除。答案：攻击实施8.数据加密标准（DES）的密钥长度为__________位（包括校验位）。答案：569.恶意软件的常见传播途径包括电子邮件附件、__________和移动存储设备。答案：漏洞利用（或网页挂马）10.工业控制系统（ICS）的典型协议有Modbus、SCADA和__________。答案：OPCUA四、简答题（共5题，每题6分，共30分）1.（封闭型）简述数字签名的实现流程。答案：数字签名流程包括：①发送方对原文使用哈希函数生成摘要；②发送方用自己的私钥对摘要进行加密，生成数字签名；③将原文与数字签名一起发送给接收方；④接收方用发送方的公钥解密签名，得到摘要A；⑤接收方对收到的原文重新计算哈希值，得到摘要B；⑥比较摘要A和摘要B，若一致则确认原文完整且签名真实。2.（开放型）分析企业内网中ARP欺骗攻击的原理及防御措施。答案：原理：ARP（地址解析协议）用于将IP地址映射到MAC地址，但其无认证机制。攻击者伪造ARP响应包，宣称自己的MAC地址是目标IP的MAC地址，导致内网设备错误更新ARP缓存，将数据发送至攻击者（中间人攻击）。防御措施：①静态绑定ARP表（在关键设备上手动绑定IP与MAC）；②部署ARP防火墙（监测异常ARP流量）；③使用802.1X端口认证（限制未授权设备接入）；④启用交换机的DHCPSnooping（防止伪造DHCP服务器分配错误IP）；⑤定期检查内网设备的ARP缓存表，发现异常MAC地址及时排查。3.（封闭型）列举至少5种常见的Web应用安全漏洞，并说明其危害。答案：①SQL注入：用户输入未过滤，导致攻击者执行任意SQL命令，可能泄露、篡改或删除数据库数据；②XSS（跨站脚本）：攻击者插入恶意脚本，窃取用户Cookie或劫持会话；③CSRF（跨站请求伪造）：诱导用户执行非自愿操作（如转账、修改密码）；④文件上传漏洞：允许上传恶意文件（如Webshell），获取服务器控制权限；⑤路径遍历（目录穿越）：攻击者访问未授权的文件或目录（如/etc/passwd），导致敏感信息泄露。4.（开放型）某企业计划部署VPN（虚拟专用网），请从技术和管理角度提出安全建议。答案：技术角度：①选择强加密协议（如IPSecIKEv2或SSLVPN），禁用过时协议（如PPTP）；②使用AES256作为加密算法，SHA256作为哈希算法；③启用多因素认证（MFA，如短信验证码+动态令牌）；④限制VPN连接的IP范围和时间段；⑤定期更新VPN网关的固件和安全补丁。管理角度：①制定VPN使用规范（如禁止共享账号、定期修改密码）；②记录并审计所有VPN连接日志（包括登录时间、IP、操作内容）；③对员工进行VPN安全培训（如识别钓鱼链接诱导输入VPN账号）；④定期测试VPN的抗攻击能力（如模拟暴力破解、DDoS攻击）。5.（封闭型）简述最小权限原则（PrincipleofLeastPrivilege）在信息安全中的应用场景。答案：最小权限原则要求用户或进程仅获得完成任务所需的最小权限。应用场景包括：①用户账户：普通员工无管理员权限，仅能访问必要文件；②服务账号：数据库服务仅拥有查询/写入权限，无删除表结构权限；③网络设备：运维人员仅能通过SSH管理特定设备，无法访问核心路由配置；④应用程序：浏览器插件仅能访问指定网站数据，不能读取本地文件系统。五、应用题（共2题，每题10分，共20分）1.（计算类）使用凯撒密码（CaesarCipher）对明文“CYBERSECURITY”进行加密，偏移量k=3（字母循环右移3位），并给出解密过程。答案：加密过程：每个字母右移3位（A→D，B→E，…，Z→C）。明文字母：CYBERSECURITY对应密文：FBEHUVHFXULWB（注：空格保留，不加密）加密结果：“FBEHUVHFXULWB”解密过程：将密文字母左移3位（F→C，B→Y，…，B→Y），得到原明文“CYBERSECURITY”。2.（分析类）某电商网站用户反馈：“提交订单时，浏览器提示‘403Forbidden’，但其他功能正常。”请分析可能的安全原因及排查步骤。答案：可能的安全原因：①WAF（Web应用防火墙）误拦截：订单提交请求触发了WAF的规则（如包含敏感关键词、异常参数格式）；②CSRF防护机制生效：未携带有效的CSRF令牌（如Cookie中的CSRFToken与表单中的Token不匹配）；③IP访问控制：用户IP被临时封禁（如触发防暴力破解策略）；④权限不足：用户角色（如未登录用户）被限制提交订单；⑤请求参数异常：订单金额、商品数量等参数超出预