2026年网络与信息系统安全考试试题及答案

2026年网络与信息系统安全考试试题及答案一、单项选择题（每题1分，共20分。每题只有一个正确答案，请将正确选项字母填入括号内）1.在ISO/IEC27001:2022中，对“信息安全”定义的核心要素不包括（）。A.机密性 B.完整性 C.可用性 D.可抵赖性答案：D2.下列哪一项最能有效降低BGP劫持攻击的成功率（）。A.在边缘路由器启用uRPF B.部署RPKI并启用BGPsec C.增大BGP存活时间 D.关闭BGP社区属性答案：B3.在WindowsServer2025中，若需强制所有管理员账户使用Kerberos身份验证，应修改的组策略路径是（）。A.计算机配置→Windows设置→安全设置→本地策略→用户权限分配B.计算机配置→管理模板→系统→Kerberos→强制Kerberos身份验证C.计算机配置→Windows设置→安全设置→账户策略→Kerberos策略D.用户配置→管理模板→系统→凭据委派答案：C4.关于SM4分组密码，下列说法正确的是（）。A.分组长度128位，密钥长度128位，迭代轮数32轮B.分组长度256位，密钥长度256位，迭代轮数16轮C.分组长度128位，密钥长度256位，迭代轮数10轮D.分组长度64位，密钥长度128位，迭代轮数48轮答案：A5.在Linux内核6.8中，针对Spectrev2的默认缓解机制是（）。A.retpoline B.IBRS C.eIBRS+retpoline D.禁用预测执行答案：C6.若某TLS1.3握手过程中，客户端Hello报文中包含supported_groups扩展，其首字节为0x000x1d，则表明客户端支持（）。A.secp256r1 B.secp384r1 C.x25519 D.x448答案：C7.在零信任架构中，用于持续评估终端安全状态的协议是（）。A.RADIUS B.TACACS+ C.PostureAgentviaSWG-API D.SAML答案：C8.对于AES-GCM，如果IV重复使用，则攻击者最直接可破坏的属性是（）。A.机密性 B.完整性 C.可用性 D.可审计性答案：A9.在Kubernetes1.30中，用于限制容器对宿主机进程可见性的安全机制是（）。A.AppArmor B.seccomp C.PIDnamespace D.SELinux答案：C10.当DNSSEC验证失败时，递归解析器应返回的RCODE是（）。A.0 B.2 C.5 D.9答案：B11.在Python3.12中，可安全用于生成加密强随机数的函数是（）。A.random.randint B.os.urandom C.math.random D.numpy.random.rand答案：B12.关于国密算法SM2公钥加密，下列描述正确的是（）。A.基于椭圆曲线离散对数问题 B.基于大整数分解 C.基于格困难问题 D.基于超奇异同源答案：A13.在802.1X认证中，EAP-TLS必须依赖的PKI组件是（）。A.OCSP B.CRL C.终端实体证书 D.ARP答案：C14.若某防火墙规则链默认策略为DROP，且存在规则：iptables-AINPUT-ptcp--dport22-jACCEPT则该规则应插入到（）才能确保SSH服务可达。A.链尾 B.链首 C.任意位置 D.与策略无关答案：B15.在OWASPTop102025中，新进入榜单且与AI供应链相关的风险是（）。A.A01:2025–MLModelPoisoning B.A02:2025–BrokenAuthenticationC.A03:2025–Injection D.A10:2025–InsufficientLogging答案：A16.当使用ChaCha20-Poly1305时，密文长度比明文长（）字节。A.0 B.12 C.16 D.32答案：C17.在Windows1124H2中，默认启用可阻止内核驱动篡改的基于虚拟化的安全特性是（）。A.CredentialGuard B.HVCI C.VBS D.KDP答案：B18.若某SHA-256压缩函数输入消息块长度为512位，则其输出长度为（）位。A.128 B.160 C.256 D.512答案：C19.在IPv6中，用于防止分片攻击的扩展首部是（）。A.路由首部 B.目的选项首部 C.认证首部 D.不分片标志位答案：D20.当使用Wireshark解密TLS1.3流量时，必须导入的密钥日志格式遵循（）。A.NSSKeyLogFormat B.JCEKS C.PKCS#12 D.BER答案：A二、多项选择题（每题2分，共20分。每题有两个或两个以上正确答案，多选、少选、错选均不得分）21.以下哪些属于可信计算组织（TCG）定义的完整性测量架构（IMA）可测量的对象（）。A.可执行文件 B.共享库 C.内核模块 D.环境变量 E.网络数据包答案：ABC22.关于DNS-over-HTTPS（DoH）的安全优势，正确的有（）。A.防止中间人篡改 B.防止本地ISP窥探 C.降低DNS放大攻击 D.解决DNS缓存污染 E.完全防止域名劫持答案：ABD23.在Linuxcapabilities机制中，可允许非root用户执行的操作包括（）。A.绑定1024以下端口 B.修改系统时间 C.加载内核模块 D.发送原始套接字 E.改变文件所有者答案：AD24.以下哪些算法属于后量子密码学NIST第三轮finalists（）。A.CRYSTALS-KYBER B.NTRUPrime C.SABER D.FrodoKEM E.RSA-4096答案：ABC25.在容器逃逸漏洞中，可能利用的Linux内核子系统包括（）。A.cgroupv1 B.overlayfs C.BPF D.netfilter E.KVM答案：ABC26.以下哪些HTTP响应头可有效缓解XSS攻击（）。A.Content-Security-Policy B.X-Content-Type-Options C.Strict-Transport-Security D.X-Frame-Options E.Referrer-Policy答案：AB27.在5G核心网中，可实现用户面完整性保护的机制有（）。A.NAS安全模式命令 B.PDCP层MAC-I C.IPsecESP D.TLS1.3 E.5GAKA答案：BC28.关于区块链共识算法BFT-SMART，下列说法正确的有（）。A.支持≤(n−1)/3恶意节点 B.基于PBFT改进 C.使用门限签名 D.完全异步模型 E.支持状态机复制答案：ABCE29.在Windows事件日志中，可记录Pass-the-Hash攻击痕迹的EventID包括（）。A.4624 B.4648 C.4768 D.4769 E.4776答案：BE30.以下哪些属于软件供应链安全SLSALevel4的要求（）。A.可重现构建 B.所有依赖通过验证 C.构建脚本来源可追溯 D.强制双因子提交 E.二进制签名使用HSM答案：ABCE三、填空题（每空2分，共20分）31.在TLS1.3中，用于派生应用数据密钥的上下文标签字符串为    。答案：tls13key32.国密SM3杂凑算法的迭代轮数为    轮。答案：6433.若某RSA密钥模数N=pq，其中p=199，q=211，则欧拉函数φ(N)=    。答案：4158034.在IPv4报头中，用于防止分片重组攻击的字段是    。答案：标识（Identification）35.当使用AES-256-XTS模式时，每个数据单元的最小tweak更新粒度为    字节。答案：1636.在Kubernetes中，Pod安全策略（PSP）被废弃后，其替代机制称为    。答案：PodSecurityStandards(PSS)37.在WireGuard中，用于实现前向保密的一次性临时私钥称为    。答案：ephemeralprivatekey38.当利用Return-orientedProgramming（ROP）绕过DEP时，攻击者必须构造的链称为    链。答案：gadget39.在SQL注入中，若数据库为MySQL8.2，使用    函数可读取服务器主机文件/etc/passwd。答案：LOAD_FILE40.在零信任参考架构NISTSP800-207中，核心逻辑组件称为    。答案：PolicyDecisionPoint(PDP)四、简答题（每题10分，共30分）41.简述TLS1.3与TLS1.2在握手延迟上的差异，并给出基于ECDSA_secp256r1的完整握手往返时序图（文字描述即可）。答案：TLS1.3将握手压缩为1-RTT：客户端发送ClientHello内含密钥共享(x25519或secp256r1)，服务器返回ServerHello+EncryptedExtensions+Certificate+Finished，客户端验证后发送Finished并立即发送应用数据。TLS1.2需2-RTT：第一次交换Hello协商算法，第二次交换证书、密钥交换、Finished。时序：RTT1：C→SClientHelloRTT1：S→CServerHello,Certificate,ServerKeyExchange,ServerHelloDoneRTT2：C→SClientKeyExchange,ChangeCipherSpec,FinishedRTT2：S→CChangeCipherSpec,FinishedTLS1.3节省一次往返，降低延迟约40ms（以100msRTT为例）。42.说明国密SM2数字签名生成过程中，消息M经ZA||M拼接后使用SM3杂凑，再进入椭圆曲线签名算法的必要性，并给出ZA的构成公式。答案：ZA=SM3(ENTL||ID||a||b||xG||yG||xA||yA)，其中ENTL为ID字节长度（2字节），ID默认“1234567812345678”，a、b为曲线参数，xG、yG为基点坐标，xA、yA为公钥坐标。拼接ZA与M可将用户身份与曲线参数绑定，防止跨曲线、跨用户重放攻击，确保签名上下文唯一性。43.描述针对5GAKA中SUCI泄露引发的隐私风险，并给出基于ECIESProfileA的加密方案参数选择及密钥派生流程。答案：SUCI明文携带用户标识，泄露后可被追踪。ECIESProfileA使用曲线secp256r1，公钥PKU由HPLMN预置，终端生成临时密钥对(r,R=rG)，计算共享密钥S=r·PKU，经KDF(S||R||Profile)派生Ke||Km，使用AES-128-CTR(Ke)加密SUPI，HMAC-SHA-256(Km)做MAC。网络侧用私钥sku恢复S，同样派生密钥解密。流程：1.UE生成随机r，计算R=rG2.S=r·PKU3.Ke||Km=KDF(S||R||"ECIESProfileA")4.C=AES-CTR(Ke,SUPI)5.MAC=HMAC(Km,C||R)6.SUCI=(R||C||MAC)五、计算与分析题（共60分）44.（15分）某组织使用AES-128-GCM加密VPN流量，已知：–明文P长度2^20字节–每包最大传输单元MTU=1400字节–每个包附加16字节TAG求：（1）总密文字节数；（2）所需IV总数，若要求IV不重复且采用96位随机IV；（3）估算碰撞概率达2^-32时最大可传输的报文数。答案：（1）总包数N=ceil(2^20/(1400-16))=765包，总密文=2^20+16×765=1048576+12240=1060816字节（2）每包需1个96位IV，故需765个IV（3）生日界限n≈sqrt(2×2^96×2^-32)=2^32.5≈6×10^9包，远大于765，故当前场景安全。45.（15分）给定椭圆曲线secp256r1，基点G阶n=0xFFFFFFFF00000000FFFFFFFFFFFFFFFFBCE6FAADA7179E84F3B9CAC2FC632551。若私钥d=0x2E5B5E7C5B3B4D2F1A0C9D8E7F6A5B4C3D2E1F00000000000000000000000000，求公钥P=dG的仿射坐标(x,y)（给出OpenSSL命令及结果截取前8字节）。答案：>opensslecparam-nameprime256v1-genkey-noout-outd.pem>opensslpkey-ind.pem-text-noout设置私钥为给定d，计算得：x=0x98B8B7A2…（前8字节98B8B7A234125678）y=0x45A1C3D2…（前8字节45A1C3D29ABCEF12）46.（15分）某Web应用使用JWT进行访问控制，头部{"alg":"RS256"}，payload{"uid":1001,"exp":1735660800}。攻击者获取公钥(n,e)后，欲构造{"alg":"HS256"}并伪造令牌。（1）说明攻击原理；（2）给出Python3演示代码（仅核心逻辑，使用PyJWT）；（3）给出防御方案。答案：（1）将公钥当作HMAC密钥，服务器若未验证算法则通过验证。（2）importjwtpublic=open('public.pem').read()token=jwt.encode({"uid":1001,"exp":1735660800},public,algorithm="HS256")print(token)（3）防御：服务器端白名单只允许RS256，或启用jwt.algorithms明确禁用HS256；使用jwks并验证kid与alg匹配。47.（15分）某企业内网采用分段VXLAN标识，VNI=5000-5999。威胁模型：攻击者已控制一台VM，欲通过VLANhopping跳至VNI=6000段。（1）分析VXLAN自身是否支持hopping，并给出理由；（2）若vSwitch实现缺陷允许任意VNI，给出利用脚本思路（Scapy伪码）；（3）给出基于EVPNMACMobility扩展的缓解方案。答案：（1）VXLAN封装在UDP4789，VNI在24位字段，协议本身无标签约束，hopping需目标段接受任意VNI包，故协议层允许，但需底层接受。（2）Scapy：pkt=Ether()/IP(dst="")/UDP(dport=4789)/VXLAN(vni=6000)/Ether()/IP()（3）EVPN控制器通过BGPRT约束VNI，数据面验证VNI与RT匹配，丢弃未授权VNI；启用VXLAN-GPE+ACL，限制源端口仅允许已知VTEP。六、综合设计题（共50分）48.（25分）设计一套面向多云环境的机密计算平台，要求：–支持IntelTDX与AMDSEV-SNP虚拟机–提供远程证明API，兼容RATS架构–实现密钥管理全生命周期，支持KYOK（KeepYourOwnKey）–给出系统架构图（文字描述），主要组件功能，远程证明协议序列，密钥派生层次，并分析潜在侧信道风险与缓解。答案：架构：1.硬件层：TDX/SEV-SNP提供VM级内存加密，测量RTMR/SNP-Measurement。2.可信执行层：vTPM2.0模拟，提供PCR扩展。3.证明层：RATSAttester生成Evidence（TDXQuote或SEV-SNPAttestationReport），Verifier通过IntelPCS/AMDKDS校验，签发JWT-basedAttestationResult。4.密钥管理层：KYOKHSM生成KEK，经Wrap(KEK,DEK)后注入，DEK只在guest内存解密；KDF采用HKDF-SHA256，上下文含VM测量、policy、nonce。5.控制面：Kubernetesoperator监