证券交易系统安全考试题及答案

证券交易系统安全考试题及答案一、单项选择题（共20题，每题1.5分，满分30分。每题只有一个正确答案，错选、不选不得分）1.根据《证券期货业网络安全管理办法》及网络安全等级保护要求，面向公众开放提供实时交易服务的核心证券交易系统，其网络安全保护等级最低应为（）A.第二级B.第三级C.第四级D.第五级2.证券交易系统中，撮合引擎、行情分发等核心业务模块通常部署在下列哪个安全区域（）A.DMZ非军事区B.核心交易区C.互联网接入区D.办公终端区3.根据中国证监会监管要求，证券交易系统的操作日志、全量交易日志留存时间应满足下列哪项要求（）A.不少于3个月B.不少于6个月C.不少于1年D.不少于3年4.针对证券交易系统特权管理员账号的身份认证，下列哪项是符合监管要求的强制性配置要求（）A.单因素密码认证B.短信验证码单一认证C.多因素身份认证D.指纹单一认证5.根据《证券期货业网络安全事件应急预案》分级标准，当证券交易系统发生大范围故障，导致证券公司超过10%的客户交易无法正常进行且持续时间超过1小时，属于哪一级网络安全事件（）A.一般网络安全事件B.较大网络安全事件C.重大网络安全事件D.特别重大网络安全事件6.下列防护措施中，针对针对证券交易系统的流量型DDoS攻击，第一道有效防护防线是（）A.服务器本地防火墙B.入侵检测系统（IDS）C.DDoS流量清洗D.Web应用防火墙（WAF）7.证券交易系统中，客户交易密码属于下列哪一类数据范畴（）A.普通客户身份数据B.公开业务数据C.客户敏感个人信息D.系统运维数据8.证券交易系统正式上线前，针对潜在安全漏洞被外部利用风险，必须开展的测试是（）A.性能测试B.渗透测试C.功能测试D.兼容性测试9.某证券公司计划对外开放第三方量化交易接口，根据监管要求，下列哪项管理要求是错误的（）A.需要提前对第三方服务商开展全流程安全尽调B.接口需要配置细粒度权限控制和流量峰值管控C.可以直接开放核心交易数据库权限给第三方服务商提升交易效率D.需要对第三方接口的所有访问行为全量留存日志10.为保障证券交易系统的业务连续性，核心交易系统的核心网络设备、应用服务器应当满足下列哪项基础要求（）A.单设备运行即可，降低运营成本B.冗余架构部署，避免单点故障C.只要做好数据备份，硬件不需要冗余配置D.托管给第三方服务商后不需要自行考虑冗余要求11.交易系统存储的客户敏感交易数据，在存储环节应当采取下列哪项安全措施（）A.明文存储，方便业务查询调取B.明文存储，仅加密传输环节C.加密存储，密钥统一由业务运维人员个人保管D.加密存储，密钥分权限分级管理12.根据《关键信息基础设施安全保护条例》要求，证券核心交易系统作为关键信息基础设施，运营者应当至少多长时间开展一次全面的安全风险评估（）A.每半年B.每一年C.每三年D.每五年13.下列哪项漏洞是证券交易系统Web门户最常见的注入类漏洞，也是目前最容易导致核心数据泄露的应用层漏洞之一（）A.SQL注入漏洞B.XSS跨站脚本漏洞C.命令注入漏洞D.路径遍历漏洞14.证券交易系统发生故障被监控系统告警发现后，根据监管要求的应急响应流程，第一步工作通常是（）A.自行排查故障不需要上报B.按规定时限向上级管理部门和监管机构上报C.直接重启设备排查故障D.先对外发布公告再处置15.针对跨站点请求伪造（CSRF）漏洞，证券交易系统Web端通常采用下列哪项防护措施最为有效（）A.增加图形验证码B.配置CSRFToken令牌验证C.新增防火墙规则拦截D.启用HTTPS加密传输16.下列哪个行为是符合证券交易系统安全管理要求的（）A.运维人员为了方便，使用个人U盘在生产服务器上拷贝运维数据B.测试人员为了验证功能，将生产客户数据导出到公网测试环境C.运维人员按照制度定期修改管理员密码，定期完成账号权限轮换D.开发人员为了方便代码迭代，将核心交易系统代码上传到公共代码仓库17.针对尚未发布官方补丁的零日漏洞，证券交易系统运营方最优先采取的应对措施是（）A.立即自行开发补丁修复，避免漏洞被利用B.梳理暴露面，关闭不必要的端口和接口，配置临时防护规则C.等待厂商发布官方补丁后再做处理D.直接关闭受影响系统避免攻击18.证券交易系统的可用性指标，监管要求核心交易系统的年度可用率应当不低于（）A.99.9%B.99.95%C.99.99%D.99.999%19.下列哪项属于证券交易系统的内部威胁风险（）A.外部黑客发动的大流量DDoS攻击B.外部勒索病毒通过钓鱼邮件入侵系统C.运维人员违规导出客户敏感信息出售牟利D.第三方接入接口被外部黑客攻破20.在客户身份认证环节，应对账户盗用风险，下列哪项措施是错误的（）A.设置连续三次密码输错错误锁定账户一定时长B.允许客户长期使用默认初始密码C.基于用户行为特征识别异常登录，触发二次验证D.大额出金、异动交易增加额外身份验证环节二、多项选择题（共10题，每题3分，满分30分。多选、漏选、错选均不得分）1.下列属于核心证券交易系统核心信息资产的有（）A.交易撮合引擎程序及服务器B.客户全量交易数据与个人信息C.实时行情分发服务节点D.券商总部办公用激光打印机E.核心系统特权运维账号2.根据证券业监管要求，下列哪些场景必须配置多因素身份认证（）A.核心交易系统管理员登录生产运维区域B.客户在未授权的新移动设备登录交易账户C.运维人员远程接入核心交易生产系统D.前台客服人员内部办公系统查询公开业务资料3.证券交易系统要求留存的全量操作日志，应当包含下列哪些核心要素（）A.访问源IP地址、操作账号B.访问操作时间C.具体操作内容D.操作结果E.访问操作的目标对象4.证券交易系统进行安全区域划分时，下列划分逻辑符合等级保护和监管要求的有（）A.严格将生产区域与非生产区域逻辑隔离B.将核心交易区与互联网接入区隔离开C.将内部办公区与核心生产区通过防火墙做访问控制隔离D.为了方便测试，允许测试环境直接接入生产环境共享生产数据5.证券交易系统的应急演练通常包含下列哪些正规类型（）A.桌面推演B.专项应急演练C.全场景综合应急演练D.针对漏洞挖掘的攻防演练6.证券交易系统正式上线运营前，需要完成的安全合规工作包含（）A.完成网络安全等级保护备案B.委托有资质机构开展等保安全测评C.开展上线前渗透测试D.完成上线前全面安全风险评估E.制定对应的网络安全事件故障应急预案7.证券公司管理第三方机构接入自有交易系统，应当满足下列哪些安全要求（）A.每年对合作第三方开展一次安全评估B.对第三方接入的所有流量进行实时监控告警C.限制第三方的访问权限，遵循最小权限原则D.禁止第三方存储、拷贝客户核心交易信息与敏感个人信息8.勒索病毒攻击入侵证券交易系统后，可能造成的危害包括（）A.核心交易数据被加密，导致交易业务中断B.客户敏感信息被窃取泄露，引发合规风险C.运营商需要支付高额赎金造成直接经济损失D.引发客户信任危机，对机构品牌声誉造成长期损害9.下列关于证券交易系统客户个人信息保护的做法，符合《个人信息保护法》监管要求的有（）A.遵循最小必要原则，仅收集开展业务必需的客户信息，不得过度收集B.客户信息仅能用于约定的业务用途，不得未经授权挪作他用C.定期开展客户信息保护合规审计，排查信息泄露风险D.为了开展合作，可不经客户授权向第三方机构共享客户敏感信息10.业务连续性管理中，证券交易系统核心数据的备份要求包括（）A.定期开展全量数据备份B.对新增交易数据做实时增量备份C.备份数据应当采用离线存储方式，避免被网络攻击加密D.定期开展备份数据恢复验证，确保备份数据可用三、判断题（共10题，每题1分，满分10分。正确打√，错误打×）1.为了方便开发团队远程调试，证券交易系统的生产环境可以直接开放互联网远程访问权限给开发人员。（）2.为了提升测试的真实性，证券交易系统的测试环境可以直接使用脱敏前的真实生产客户数据开展功能测试。（）3.根据监管要求，证券公司应当至少每年开展一次核心交易系统的全面应急演练。（）4.核心交易系统的管理员账号可以多人共用，只要做好操作日志记录即可满足合规要求。（）5.为了快速修复高危漏洞，漏洞修复应当遵循先上线生产、后测试验证的原则，减少漏洞暴露时间。（）6.DDoS攻击只会影响交易系统的可用性，不会造成数据泄露，因此不需要投入过多防护资源。（）7.客户的交易记录属于证券核心业务数据，按照监管要求需要长期留存，保存期限不得少于相关法律法规规定的最低要求。（）8.零信任架构的核心思想是“永不信任，始终验证”，适用于证券交易系统的权限管理体系建设。（）9.Web应用防火墙（WAF）主要防护SQL注入、XSS跨站脚本等应用层攻击，对证券交易系统Web门户的安全防护具有重要作用。（）10.核心交易系统只要做好技术防护就能保障安全，不需要定期对内部员工开展安全意识培训。（）四、案例分析题（共1题，满分30分）国内中型券商A公司为抢占移动端交易市场，计划在2023年6月上线一套全新的移动端证券交易系统，为了赶行业旺季的项目进度，公司管理层要求开发团队必须按期上线，压缩了所有安全相关的流程工期。项目上线前，开发团队为了方便上线前的功能调试，在生产系统的代码中预留了一个未公开的测试后台接口，上线清理环节忘记删除该接口，该接口未配置任何身份认证和访问控制权限，也没有纳入系统权限梳理清单。整个上线流程中，A公司仅开展了内部功能测试和性能测试，没有委托第三方机构开展安全测评和渗透测试，也没有完成该系统的等级保护备案就直接上线对外服务。上线后，A公司也没有建立常态化的漏洞扫描机制，从未对新系统开展过漏洞排查。上线三个月后，该未授权测试接口被黑客通过爬虫扫描发现，黑客通过该接口直接获取了系统中超过12万名客户的姓名、身份证号码、银行账户、交易记录等敏感个人信息，随后黑客将部分信息出售，不法分子利用这些信息对客户实施诈骗，引发了超过300起客户投诉，部分客户向A公司提出索赔，监管部门对该案立案调查，对A公司做出了行政处罚。请结合上述案例回答以下问题：1.请指出A券商在本次证券交易系统全生命周期安全管理过程中，存在哪些违规和不当之处？（15分）2.请针对A券商存在的问题，提出具体可落地的整改措施。（15分）答案与解析一、单项选择题答案与解析1.答案：B解析：根据《网络安全等级保护2.0标准》以及《证券期货业网络安全管理办法》规定，面向公众提供实时交易服务的核心证券交易系统属于关键信息基础设施范畴，安全保护等级最低要求为三级，涉及全国性集中交易的核心系统可定级为四级，本题问最低要求，因此B选项正确。2.答案：B解析：DMZ区一般用于部署对外提供公开服务的门户网站、行情查询入口等非核心业务；互联网接入区是运营商接入的边界区域；办公终端区属于内部办公网络，核心交易的撮合引擎、行情分发等核心模块涉及核心业务数据和交易处理，必须部署在隔离的核心交易区，因此B选项正确。3.答案：C解析：《证券期货业网络安全管理办法》第二十九条明确规定，证券期货经营机构应当对网络和信息系统的操作日志、交易日志、访问日志等全量日志进行留存，留存时间不得少于1年，部分核心交易数据的日志需要留存更久，因此最低要求为不少于1年，C选项正确。4.答案：C解析：证券监管明确要求，核心系统的特权账号必须配置多因素身份认证，单一因素认证无论哪种形式都不符合合规要求，因此C选项正确。5.答案：C解析：根据证券期货业网络安全事件分级标准，特别重大事件指影响全国范围内50%以上客户交易超过4小时；重大事件指单个机构10%以上客户交易无法正常进行超过1小时，因此本题符合重大事件分级，C选项正确。6.答案：C解析：流量型DDoS攻击的特征是大流量占用带宽和设备资源，服务器本地防火墙和IDS无法处理大流量攻击，WAF主要防护应用层攻击，DDoS流量清洗可以在运营商或边界处清洗掉攻击流量，保留正常业务流量，是流量型DDoS攻击的第一道防线，因此C选项正确。7.答案：C解析：根据《个人信息保护法》和证券业数据分类标准，客户交易密码属于能够识别客户身份、涉及客户财产安全的敏感个人信息，因此C选项正确。8.答案：B解析：性能测试、功能测试、兼容性测试主要针对系统业务可用性，渗透测试是通过模拟黑客攻击的方式发现系统潜在的安全漏洞，是上线前必须开展的安全测试，因此B选项正确。9.答案：C解析：第三方接入必须遵循最小权限原则，禁止直接开放核心数据库权限，避免核心数据泄露风险，因此C选项的描述是错误的，符合题意。10.答案：B解析：核心交易系统要求高可用性，必须采用冗余架构部署，避免单点故障导致全系统瘫痪，即使数据做了备份，单点故障也会导致业务长时间中断，因此B选项正确。11.答案：D解析：客户敏感数据必须加密存储，密钥需要分级分权限管理，不能由个人单独保管，明文存储会带来巨大的泄露风险，因此D选项正确。12.答案：B解析：《关键信息基础设施安全保护条例》第十七条明确规定，关键信息基础设施运营者应当至少每年开展一次全面的安全风险评估，因此B选项正确。13.答案：A解析：SQL注入是Web应用最常见的注入类漏洞，黑客可以通过SQL注入直接获取数据库中的全量客户信息，是最容易导致数据泄露的应用层漏洞之一，因此A选项正确。14.答案：B解析：根据证券业应急响应流程，故障被发现后，第一步需要按规定时限上报监管和上级管理部门，禁止迟报、瞒报，因此B选项正确。15.答案：B解析：CSRF漏洞的核心是利用用户身份发起非法请求，配置CSRFToken令牌可以验证请求的合法性，是最有效的防护手段，因此B选项正确。16.答案：C解析：个人U盘带入生产环境容易引入病毒木马，生产数据禁止导出到公网测试环境，核心代码禁止上传到公共代码仓库，只有定期修改密码、轮换账号权限符合安全管理要求，因此C选项正确。17.答案：B解析：零日漏洞没有公开补丁，运营方最优先的措施是梳理漏洞暴露面，关闭不必要的端口和接口，配置临时防护规则，降低漏洞被利用的风险，因此B选项正确。18.答案：C解析：监管要求核心证券交易系统的年度可用率不低于99.99%，对应全年计划外停机时间不超过52.56分钟，符合证券交易业务的可用性要求，因此C选项正确。19.答案：C解析：内部威胁指来自机构内部人员的安全风险，ABD都是外部威胁，只有C属于内部人员违规带来的内部威胁，因此C选项正确。20.答案：B解析：允许客户长期使用初始密码会极大增加账户盗用的风险，是错误的做法，因此B选项符合题意。二、多项选择题答案与解析1.答案：ABCE解析：核心信息资产指支撑核心交易业务正常运行的软硬件、数据、权限账号，办公打印机属于办公辅助设备，不属于核心证券交易系统的核心资产，因此正确选项为ABCE。2.答案：ABC解析：核心系统管理员登录、客户新设备登录、远程运维都属于高风险场景，监管要求必须配置多因素身份认证，普通客服查询内部公开资料不属于高风险场景，没有强制要求多因素，因此正确选项为ABC。3.答案：ABCDE解析：完整的操作日志需要覆盖访问主体、时间、内容、结果、对象五个核心要素，才能在发生安全事件后完成溯源审计，因此五个选项都正确，答案为ABCDE。4.答案：ABC解析：安全区域划分要求生产和非生产必须隔离，测试环境禁止直接接入生产环境，防止测试环境的风险蔓延到生产系统，因此D选项错误，正确选项为ABC。5.答案：ABC解析：应急演练的类型分为桌面推演、专项应急演练、综合应急演练三类，攻防演练是漏洞发现和攻防能力验证的活动，不属于应急演练范畴，因此正确选项为ABC。6.答案：ABCDE解析：核心交易系统上线前必须完成等保备案、安全测评、渗透测试、风险评估、应急预案制定，所有流程缺一不可，符合合规要求才能上线，因此五个选项都正确，答案为ABCDE。7.答案：ABCD解析：第三方接入管理要求每年开展安全评估、实时流量监控、最小权限、禁止第三方留存客户敏感信息，四个选项都符合监管要求，因此答案为ABCD。8.答案：ABCD解析：勒索病毒攻击不仅会加密数据导致业务中断，还会在加密前窃取数据，造成数据泄露，同时带来经济损失和声誉损害，四个选项都是勒索病毒可能造成的危害，因此答案为ABCD。9.答案：ABC解析：未经客户授权不得向第三方共享客户敏感信息，D选项错误，ABC都符合《个人信息保护法》的要求，因此答案为ABC。10.答案：ABCD解析：核心数据备份要求定期全量备份、实时增量备份、离线存储防范勒索攻击、定期恢复验证确保备份可用，四个选项都符合要求，因此答案为ABCD。三、判断题答案与解析1.答案：×解析：生产环境禁止直接开放互联网远程访问权限，必须通过零信任、VPN等受控方式接入，且必须配置多因素认证，因此本题错误。2.答案：×解析：测试环境禁止使用未脱敏的真实生产客户数据，防止测试环境被攻破导致数据泄露，因此本题错误。3.答案：√解析：《证券期货业网络安全管理办法》明确要求，证券经营机构应当至少每年开展一次核心交易系统的应急演练，因此本题正确。4.答案：×解析：核心系统账号必须一人一号，实名绑定，禁止多人共用账号，因此本题错误。5.答案：×解析：漏洞修复必须遵循先测试验证、后上线生产的原则，避免修复漏洞引发业务故障，因此本题错误。6.答案：×解析：DDoS攻击不仅影响可用性，往往会和数据窃取攻击结合，同时可用性是证券交易系统的核心指标，DDoS攻击会导致大量客户无法交易，后果十分严重，必须重视防护，因此本题错误。7.答案：√解析：根据《证券法》和证券业监管要求，客户交易记录属于核心业务数据，必须长期留存，保存期限不低于法律法规规定的最低要求，因此本题正确。8.答案：√解析：零信任架构符合当前证券交易系统动态权限管理的需求，核心就是永不信任、始终验证，因此本题正确。9.答案：√解析：WAF的核心作用就是防护Web应用层攻击，包括SQL注入、XSS等常见漏洞攻击，是证券Web门户的核心防护设备，因此本题正确。10.答案：×解析：多数内部安全事件都是员工安全意识不足导致的，技术防护需要配合人员安全意识培训才能起到最好的效果，因此必须定期开展安全培训，本题错误。四、案例分析题答案与解析1.A券商存在的违规和不当之处主要有以下几点：（1）系统上线合规流程缺失，违反了监管要求。A券商为了赶进度，未开展第三方安全测评和渗透测试，也未完成等级保护备案就上线运营，违反了《网络安全法》《证券期货业网络安全管理办法》中关于核心系统上线前必须完成安全评估和等保备案的要求。（3分）（2）开发全生命周期安全管理缺失。A