2026年网络安全风险评估专项考核试卷

2026年网络安全风险评估专项考核试卷一、单项选择题（每题2分，共20分）1.某企业采用NISTSP800-30进行风险评估，下列哪一项最能体现“影响”维度的量化思路？A.以CVSSv3.1基础分直接作为影响值B.将资产价值、业务中断时长、合规罚金三项映射到0-100区间后取几何平均C.用年度发生率（ARO）乘以单次损失期望（SLE）D.采用专家打分法，仅取最高分值作为影响值2.在OT（工业控制）网络中，对“零日漏洞”进行风险评估时，最优先考虑的要素是：A.漏洞公开时间B.攻击向量是否跨越IT/OT边界C.CVE编号是否已发布D.厂商是否已发布补丁3.某云租户使用共享责任模型，下列哪一项风险最可能由云服务商侧引入且租户无法通过配置消除？A.对象存储BucketACL错误B.宿主机内核提权漏洞C.云函数代码依赖库版本过旧D.云账号AK/SK硬编码在GitHub4.关于FAIR（FactorAnalysisofInformationRisk）模型，下列说法正确的是：A.威胁事件频率（TEF）与脆弱性（Vuln）无关B.损失幅度（LM）仅考虑直接财务损失C.风险=接触频率×概率×损失幅度D.初级风险与次级风险通过蒙特卡洛模拟合并5.某单位采用“攻击链”视角评估勒索软件风险，下列哪一阶段最适合部署“欺骗式防御”以降低损失？A.初始访问B.执行C.横向移动D.影响6.在隐私风险评估中，GDPR第35条要求的“DPIA”与ISO/IEC27701的“PIA”最大差异在于：A.是否需评估数据主体权利B.是否需评估高风险处理活动C.是否需咨询监管机构D.是否需量化残余风险7.某车联网系统采用HEAVENS安全模型，其“威胁评级”步骤中，对“攻击可行性”打分主要依据：A.攻击者所需资源、时间、机会窗口B.CVSS可利用性指标C.车辆ECU固件版本号D.车辆销售区域法规8.某企业使用Kubernetes，在“容器逃逸”风险评估中，下列哪一项控制措施对降低“影响”最直接？A.启用PodSecurityPolicyB.使用非root容器镜像C.节点级seccomp白名单D.网络策略禁止Pod间通信9.在供应链风险评估中，SBOM（软件物料清单）最主要解决的风险盲区是：A.第三方库许可证冲突B.开源组件漏洞可追溯性C.云厂商数据驻留D.内部员工恶意代码注入10.某金融APP采用STRIDE模型进行威胁建模，发现“转账请求可被重放”属于哪一类威胁？A.SpoofingB.TamperingC.RepudiationD.DenialofService二、多项选择题（每题3分，共15分，多选少选均不得分）11.以下哪些方法可用于量化“数据泄露”风险中的间接损失？A.事件研究法（EventStudy）B.保单免赔额法C.客户流失率×单客户终身价值D.股价波动法（CAPM调整）E.合规罚金×监管概率12.在零信任架构下，对“微分段”策略进行风险评估时，需重点考虑：A.横向移动路径图（LateralMovementGraph）B.服务依赖矩阵C.用户行为基线（UEBA）D.证书生命周期E.物理门禁日志13.某医疗IoT设备采用IEC81001-5-1安全标准，其风险评估报告必须包含：A.威胁源动机分析B.可接受风险准则C.残余风险接受签字D.临床效益与风险权衡E.设备报废数据擦除方案14.关于“红队评估”与“渗透测试”差异，下列说法正确的是：A.红队可包含物理社工渗透B.渗透测试需给出完整攻击链C.红队目标更聚焦业务关键资产D.渗透测试报告必须包含修复建议E.红队行动无需告知蓝队15.在AI模型安全风险评估中，以下哪些属于“模型窃取”攻击的副作用风险？A.训练数据泄露B.模型决策边界泄露C.推理服务DDoSD.对抗样本迁移性增强E.模型水印被擦除三、判断改错题（每题2分，共10分，先判断对错，再对错误部分进行改正）16.采用CVSSv4.0评分时，“攻击复杂度”指标取值越高表示攻击越容易。17.在OT环境中，SLA与MTTR指标可直接用于衡量安全事件影响。18.根据ISO27005，风险接受准则必须量化，且不可由高层管理者临时调整。19.对于区块链智能合约，静态分析工具可100%检测重入漏洞。20.采用差分隐私技术后，数据查询结果不再存在任何隐私泄露风险。四、简答题（每题10分，共20分）21.简述在“多云异构”场景下，如何利用“攻击面管理（ASM）”技术进行持续风险评估，并指出两项关键指标。22.某电商平台计划上线“直播带货”业务，需收集用户面部数据用于美颜滤镜。请结合《个人信息保护法》说明其风险评估流程中必须增加的“增强告知”要素，并给出降低“人脸数据泄露”影响的技术措施。五、计算题（共15分）23.某证券公司核心交易系统评估“数据库勒索”风险，已知：资产价值AV=5000万元威胁事件频率TEF=0.8次/年漏洞可利用性概率Vuln=0.3控制有效性CE=0.7单次损失期望SLE=AV×60%年度发生率ARO=TEF×Vuln×(1−CE)要求：（1）计算年度预期损失ALE（保留两位小数）。（2）若公司计划部署“实时备份+应急切换”方案，可将损失比例降至5%，但需一次性投入200万元，年度运维30万元，请用成本收益比（C/B）判断该投资是否值得，折现率取5%，项目周期5年，年金现值系数P/A=4.329。六、案例分析题（共20分）24.背景：某市“智慧水务”平台采用工业物联网架构，现场部署5万个NB-IoT水表，通过CoAP协议经运营商NB网络接入云端的IoTHub。云端采用微服务架构，API网关统一对外提供查询与充值接口。近日，安全厂商发现攻击者可通过“CoAPIP欺骗+固件升级接口”批量植入僵尸程序，进而发起DDoS攻击或篡改水表读数。问题：（1）请用ATT&CKforICS框架，给出该攻击对应的至少3个战术与具体技术编号。（2）结合STRIDE模型，列出该场景下3种不同威胁，并指出对应的安全控制措施。（3）若采用FAIR模型量化该风险，请给出“接触频率（CF）”与“威胁能力（TC）”的估算思路与数据来源。（4）请设计一套“可验证”的风险处置优先级排序方法，需包含技术、成本、合规三维评分公式，并给出权重分配理由。———答案与解析———一、单项选择题1.B解析：NISTSP800-30强调影响需综合多维度，几何平均可平滑极端值。2.B解析：OT网络中IT/OT边界跨越直接影响生产安全。3.B解析：宿主机内核漏洞属于云服务商完全控制域。4.D解析：FAIR通过蒙特卡洛合并初级与次级风险。5.D解析：勒索软件在“影响”阶段加密文件，欺骗式防御可快速触发隔离。6.C解析：GDPR要求高风险处理活动需事先咨询监管机构。7.A解析：HEAVENS模型中攻击可行性=资源+时间+机会。8.C解析：seccomp限制系统调用，直接降低逃逸后影响。9.B解析：SBOM核心解决组件漏洞可追溯。10.B解析：重放属于数据篡改完整性威胁。二、多项选择题11.ACD12.ABC13.ABCD14.ACD15.BD三、判断改错题16.错。“攻击复杂度”越高表示攻击越困难。17.错。SLA/MTTR衡量可用性，不直接衡量安全影响，应改用“业务中断损失”。18.错。准则可由高层在例外情况下临时调整，但需记录。19.错。静态分析存在误报漏报，需结合符号执行与模糊测试。20.错。差分隐私仅提供可量化的隐私预算，超预算仍可能泄露。四、简答题21.要点：利用API发现、证书透明日志、DNS被动数据持续绘制多云资产图谱；关键指标：1.暴露时间窗口（ETW）=首次暴露到修复的时长；2.高危端口密度（HPD）=每百资产高危端口数。22.要点：增强告知需包括“处理目的、方式、存储期限、共享范围、用户权利、拒绝后果”；技术措施：1.端侧人脸特征提取后立即删除原始图像；2.采用可逆加密+硬件TEE存储特征向量；3.设置48小时自动失效策略。五、计算题23.（1）ASA（2）新SLE=5000×5%=250万元，新ALE=0.072×250=18万元，年度收益=216−18=198万元。成收C六、案例分析题24.（1）战术与技术：初始访问(T1190)-利用公网面接口执行(T0876)-固件更新影响(T0835)-数据篡改（2）STRIDE示例：Spoofin