2026年软考《信息安全工程师》考试真题(完整版)

2026年软考《信息安全工程师》考试真题(完整版)一、单项选择题（共40题，每题1分。每题的备选项中，只有一个最符合题意）1.在现代密码学中，分组密码算法通常工作在特定的模式中以适应不同长度的数据加密。其中，ECB（电子密码本）模式具有最简单的加密结构，但存在明显的安全缺陷。关于ECB模式，下列说法错误的是（）。A.相同的明文块会产生相同的密文块B.它不能隐藏明文的模式信息C.它适合加密长消息，且具有自同步能力D.如果在密文中交换两个密文块，解密后明文中对应的块也会交换2.我国发布的商用密码标准中，SM4算法是一种分组密码算法。关于SM4，下列描述正确的是（）。A.分组长度为128位，密钥长度为128位B.分组长度为256位，密钥长度为128位C.分组长度为128位，密钥长度为256位D.分组长度为64位，密钥长度为128位3.在PKI（公钥基础设施）系统中，CRL（证书撤销列表）和OCSP（在线证书状态协议）都用于验证证书的有效性。相比于CRL，OCSP的主要优势在于（）。A.实现方式更简单，不需要服务器支持B.能够提供更实时的证书状态信息C.不依赖于数字签名技术D.可以查询历史撤销状态4.某企业内部网络规划中，使用了VLAN（虚拟局域网）技术来隔离不同部门的广播域。为了实现不同VLAN间的通信，必须使用（）。A.二层交换机B.网桥C.三层路由器或三层交换机D.集线器5.在访问控制模型中，BLP（Bell-LaPadula）模型主要用于解决（）问题。A.防止未授权用户修改信息B.防止信息泄露，即确保信息的机密性C.确保信息的完整性和可用性D.防止特洛伊木马攻击6.SQL注入攻击是Web应用中最常见的安全漏洞之一。为了防御SQL注入，下列措施中除了代码规范外，最有效的防御手段是（）。A.在客户端使用JavaScript进行输入验证B.使用参数化查询（预编译语句）C.过滤掉所有空格字符D.隐藏数据库表的列名7.某防火墙规则配置如下：规则1：允许源地址：/24目的地址：any服务：HTTP规则2：拒绝源地址：any目的地址：0服务：any规则3：允许源地址：any目的地址：any服务：any若数据包的源IP为5，目的IP为0，服务为HTTP，则该防火墙的处理结果是（）。A.允许通过（匹配规则1）B.拒绝通过（匹配规则2）C.允许通过（匹配规则3）D.丢弃，因为没有明确匹配8.在IPSecVPN协议族中，负责加密和认证数据包载荷的协议是（）。A.IKEB.AHC.ESPD.ISAKMP9.灾难恢复（DR）技术中，RPO（RecoveryPointObjective）和RTO（RecoveryTimeObjective）是两个关键指标。RPO指的是（）。A.恢复服务所需的目标时间B.数据可丢失的最大时间量C.恢复团队到达现场的时间D.备份系统完成同步的时间10.某Hash函数的输出长度为256位。根据生日攻击原理，找到两个不同输入具有相同Hash值（碰撞）的期望计算量大约是（）。A.B.C.D.11.在Windows操作系统中，用于管理本地用户账户和组策略的MMC管理单元是（）。A.lusrmgr.mscB.gpedit.mscC.secpol.mscD.services.msc12.入侵检测系统（IDS）根据检测原理主要分为异常检测和误用检测。下列关于异常检测的描述，正确的是（）。A.检测效率高，误报率低B.能够检测出未知的攻击行为C.依赖于已知的攻击特征库D.维护成本相对较低13.在数字签名技术中，发送方使用自己的私钥对消息摘要进行加密，接收方使用（）来验证签名。A.发送方的公钥B.发送方的私钥C.接收方的公钥D.接收方的私钥14.电磁泄漏发射防护技术（TEMPEST）的主要目的是（）。A.防止设备过热B.防止信息通过电磁辐射被截获C.防止电磁干扰影响设备运行D.提高无线通信的带宽15.在风险评估中，定量风险分析通常涉及资产价值（A）、威胁频率（T）和脆弱性严重程度（V）。风险值R的计算公式通常表示为（）。A.RB.RC.RD.R16.某公司使用RSA算法进行数据加密。已知公钥(e,n)=A.14B.26C.31D.1617.在网络安全审计中，审计追踪记录了系统活动的相关信息。审计追踪不应包含（）。A.操作主体B.操作客体C.操作时间D.用户的密码明文18.HTTPS协议通过在HTTP下加入SSL/TLS层来实现安全传输。在TLS握手过程中，服务器端发送（）来证明自己的身份。A.ServerHelloB.CertificateC.ServerKeyExchangeD.ServerHelloDone19.针对移动终端安全，Root（Android）或越狱的主要安全风险是（）。A.电池寿命缩短B.系统更新变慢C.破坏了操作系统的沙盒机制，使应用可以获得最高权限D.无法安装官方应用商店的App20.在安全开发生命周期（SDLC）中，威胁建模通常在哪个阶段进行最为有效？（）A.需求分析阶段B.设计阶段C.编码阶段D.测试阶段21.某网络管理员在Linux服务器上使用`chmod644file.txt`命令设置权限。该权限表示（）。A.所有者读写，组用户读写，其他用户读写B.所有者读写，组用户读，其他用户读C.所有者读写执行，组用户读执行，其他用户读D.所有者读写，组用户无权限，其他用户无权限22.比特币和区块链技术中，用于确保交易不可篡改的核心机制是（）。A.对称加密B.哈希指针链C.访问控制列表D.数字信封23.在DoS/DDoS攻击中，攻击者通过控制大量僵尸网络向目标发送请求。SYNFlood攻击利用了TCP协议的（）缺陷。A.三次握手过程中的资源消耗B.数据包分片重组C.序列号预测D.窗口大小机制24.关于无状态自动机（DFA）和有状态自动机（NFA）在入侵检测中的应用，下列说法正确的是（）。A.DFA比NFA占用更多内存B.NFA匹配速度比DFA快C.DFA不支持正则表达式的“或”操作D.DFA一旦构造完成，匹配过程是确定性的，速度快25.我国《网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施的运营者，还要求（）。A.每年进行一次等级测评B.其主要负责人对网络安全负总责C.必须使用国产密码产品D.定期进行漏洞扫描即可26.在数据库安全中，视图（View）机制可以用于实现（）。A.数据的物理独立性B.数据的完整性C.数据的机密性，通过隐藏部分列或行D.数据的并发控制27.下列协议中，默认使用端口号22的是（）。A.FTPB.SSHC.TelnetD.SMTP28.在安全事件响应中，遏制阶段的主要目标是（）。A.确定事件的原因和起源B.限制事件扩散范围，减少损失C.恢复系统正常运行D.根除攻击源29.关于XSS（跨站脚本攻击），下列哪种类型不需要攻击者构造恶意URL诱导用户点击？（）A.存储型XSSB.反射型XSSC.DOM型XSSD.以上都是30.某公司核心数据资产价值为100万元，威胁发生的概率为0.1，脆弱性被利用的概率为0.8。若实施某安全措施的成本为5万元，该措施能将脆弱性利用概率降低到0.1。则该措施的风险控制效益为（）。A.5万元B.7万元C.2万元D.10万元31.在无线局域网安全标准中，WPA2使用了（）加密算法。A.RC4B.AESC.DESD.RSA32.软件漏洞扫描工具通过静态分析或动态分析来发现程序缺陷。下列哪种漏洞属于典型的缓冲区溢出？（）A.SQL注入B.CSRFC.栈溢出D.XXE33.在可信计算基（TCB）的概念中，TCB是（）。A.系统中所有硬件和软件的总和B.系统中负责安全策略实施的全部保护机制的集合C.操作系统内核D.防火墙和杀毒软件34.Kerberos认证系统基于对称密钥体制，其核心票据是（）。A.TGT(TicketGrantingTicket)B.ST(ServiceTicket)C.SessionKeyD.PublicKeyCertificate35.某大型企业为了防止内部数据泄露，部署了DLP（数据防泄漏）系统。DLP系统主要基于（）技术进行检测。A.防火墙规则B.正则表达式和关键字匹配C.路由协议分析D.物理地址过滤36.在云计算安全中，责任共担模型指出，云服务商和客户共同承担安全责任。在IaaS模式下，客户通常负责（）。A.物理环境安全B.虚拟化软件安全C.操作系统、应用及数据安全D.网络基础设施安全37.为了保证电子邮件的机密性，发送者应该使用（）。A.发送者的公钥加密邮件B.接收者的公钥加密邮件C.发送者的私钥加密邮件D.接收者的私钥加密邮件38.在网络协议分析中，Wireshark捕获到的数据包显示“TCPPrevioussegmentnotcaptured”，这通常意味着（）。A.发生了乱序B.发生了丢包C.发生了重传D.连接被重置39.供应链安全近年来备受关注。针对软件供应链攻击，下列措施无效的是（）。A.使用软件物料清单（SBOM）B.对第三方库进行安全审计C.仅从官方可信源下载软件D.禁止使用任何第三方开源库40.在安全架构中，纵深防御策略强调（）。A.只需要建立一道坚固的防火墙B.在多个层面部署多层安全控制措施C.将所有数据存储在物理隔离的环境中D.完全依赖外部安全厂商的云服务二、案例分析题（共4题，每题15分。请根据题目要求，在答题纸上的指定位置作答）案例一：某电子商务公司开发了一套在线交易系统。该系统采用Java语言开发，Web服务器为Nginx，应用服务器为Tomcat，数据库为MySQL。为了提升系统安全性，公司聘请了安全团队进行代码审计和渗透测试。在测试过程中，安全人员发现以下情况：1.在用户登录模块，代码直接将用户输入的用户名和密码拼接到SQL查询语句中执行。2.在商品搜索页面，未对用户输入的关键词进行过滤，直接显示在网页上。3.系统传输敏感数据（如信用卡号）时，使用了SSL3.0协议。4.数据库管理员权限账户“root”允许远程登录，且密码强度较弱。5.服务器配置中，Nginx直接显示了详细的版本号和错误信息。问题1：请指出上述情况中分别存在哪些安全漏洞或安全隐患？（5分）问题2：针对情况1和情况2，请给出具体的修复或缓解方案。（4分）问题3：SSL3.0协议存在已知的安全漏洞（如POODLE攻击），应建议升级到哪个协议版本？并说明配置HTTPS时的最佳实践。（3分）问题4：针对数据库安全，除了加强密码策略外，还应采取哪些措施来提升数据库的安全性？（3分）案例二：某企业网络架构如下图所示（文字描述）。互联网通过边界防火墙连接到DMZ区，DMZ区部署了Web服务器、邮件服务器和DNS服务器。内部网部署了应用服务器、数据库服务器和员工PC。内部网通过另一道防火墙与DMZ区隔离。企业计划部署IPSecVPN以允许出差员工远程访问内部网资源。问题1：请简述DMZ（非军事化区）的主要作用及在该架构中的安全意义。（3分）问题2：在IPSecVPN中，AH协议和ESP协议的主要区别是什么？该场景下应主要使用哪种协议？为什么？（4分）问题3：若防火墙采用默认拒绝策略，请为“出差员工访问内部应用服务器（TCP8080）”这一需求，描述边界防火墙和内网防火墙大致需要配置的规则（无需具体语法，描述源、目的、端口、动作）。（4分）问题4：为了防止Web服务器被攻陷后威胁数据库，除了网络隔离外，在数据库服务器上还应配置什么安全策略？（4分）案例三：某单位信息系统需要进行等级保护测评。该系统承载了超过50万用户的个人信息，一旦发生数据泄露，将对国家安全和社会秩序造成严重损害。经评估，该系统定为第三级。问题1：根据《网络安全等级保护基本要求》（GB/T22239），第三级系统在安全物理环境方面，对机房出入控制有哪些基本要求？（4分）问题2：在安全计算环境方面，对于身份鉴别，第三级系统相比第二级系统，有哪些增强的要求？（4分）问题3：该单位计划部署一套入侵检测/防御系统。请简述误用检测（特征检测）和异常检测的原理，并说明为何在实际部署中通常需要结合使用。（4分）问题4：如果该系统发生数据泄露事件，根据相关法律法规，单位应采取哪些应急处置措施？（3分）案例四：某公司使用RSA算法构建其密钥管理系统。假设系统选取两个素数p=61和公钥指数e选取为17。请回答以下问题：问题1：计算模数n和欧拉函数ϕ(问题2：计算私钥指数d的值。（提示：满足e×问题3：若明文M=10，请计算密文C。（使用公式问题4：在密钥交换过程中，为了避免中间人攻击，通常会结合数字证书或数字签名。请简述数字签名在验证公钥真实性过程中的作用。（4分）三、参考答案及解析一、单项选择题1.C解析：ECB模式将明文分组独立加密，相同的明文分组产生相同的密文分组，因此无法隐藏明文模式（A正确，B正确）。由于各分组独立，交换密文块会导致解密后明文块交换（D正确）。ECB没有自同步能力，且不适合加密长于一个分组的消息，因为它不能提供语义安全。C选项说它适合加密长消息且具有自同步能力是错误的，CBC等模式才具有链式特性。解析：ECB模式将明文分组独立加密，相同的明文分组产生相同的密文分组，因此无法隐藏明文模式（A正确，B正确）。由于各分组独立，交换密文块会导致解密后明文块交换（D正确）。ECB没有自同步能力，且不适合加密长于一个分组的消息，因为它不能提供语义安全。C选项说它适合加密长消息且具有自同步能力是错误的，CBC等模式才具有链式特性。2.A解析：SM4是我国发布的商用对称分组密码算法，分组长度和密钥长度均为128位。解析：SM4是我国发布的商用对称分组密码算法，分组长度和密钥长度均为128位。3.B解析：CRL是证书撤销列表，定期发布，实时性较差；OCSP是在线证书状态协议，可以实时查询证书当前的撤销状态，实时性更好。解析：CRL是证书撤销列表，定期发布，实时性较差；OCSP是在线证书状态协议，可以实时查询证书当前的撤销状态，实时性更好。4.C解析：VLAN隔离了二层广播域，不同VLAN间通信属于三层通信，需要通过三层设备（路由器或三层交换机）进行路由。解析：VLAN隔离了二层广播域，不同VLAN间通信属于三层通信，需要通过三层设备（路由器或三层交换机）进行路由。5.B解析：BLP模型侧重于信息的机密性，通过“不上读、不下写”规则防止信息从高密级流向低密级。解析：BLP模型侧重于信息的机密性，通过“不上读、不下写”规则防止信息从高密级流向低密级。6.B解析：参数化查询（预编译）将SQL语句结构与数据分离，从根本上杜绝了SQL注入。客户端验证可被绕过，过滤空格无法防止所有注入，隐藏列名治标不治本。解析：参数化查询（预编译）将SQL语句结构与数据分离，从根本上杜绝了SQL注入。客户端验证可被绕过，过滤空格无法防止所有注入，隐藏列名治标不治本。7.B解析：防火墙规则通常自上而下匹配。数据包源IP在/24范围内，匹配规则1？规则1目的地址是any，服务HTTP，看起来匹配。但是，通常防火墙规则匹配顺序是严格的。如果规则1匹配，动作是允许。然而，这里有个陷阱。数据包目的IP是0，服务HTTP。规则1允许该网段访问任何IP的HTTP。规则2拒绝任何IP访问0的任何服务。这取决于防火墙的具体实现和规则顺序。通常规则匹配是按顺序的。规则1先被检查，源IP匹配，目的any匹配，服务HTTP匹配。因此匹配规则1，动作允许。修正：这是一道典型的规则顺序题。如果规则1在前，且匹配条件满足，则执行规则1的动作。源5属于/24，目的any包含0，服务HTTP匹配。所以匹配规则1，允许。等等，如果规则2的意图是保护服务器1.10，那么规则2应该放在规则1之前。题目给出的顺序是1在前。所以答案应该是A。但是，如果题目暗示规则2是更具体的策略，可能存在考察“最长匹配”或隐含逻辑的意图。但在标准防火墙（如iptables）中，是自顶向下的第一个匹配。因此选A。解析：防火墙规则通常自上而下匹配。数据包源IP在/24范围内，匹配规则1？规则1目的地址是any，服务HTTP，看起来匹配。但是，通常防火墙规则匹配顺序是严格的。如果规则1匹配，动作是允许。然而，这里有个陷阱。数据包目的IP是0，服务HTTP。规则1允许该网段访问任何IP的HTTP。规则2拒绝任何IP访问0的任何服务。这取决于防火墙的具体实现和规则顺序。通常规则匹配是按顺序的。规则1先被检查，源IP匹配，目的any匹配，服务HTTP匹配。因此匹配规则1，动作允许。修正：这是一道典型的规则顺序题。如果规则1在前，且匹配条件满足，则执行规则1的动作。源5属于/24，目的any包含0，服务HTTP匹配。所以匹配规则1，允许。等等，如果规则2的意图是保护服务器1.10，那么规则2应该放在规则1之前。题目给出的顺序是1在前。所以答案应该是A。但是，如果题目暗示规则2是更具体的策略，可能存在考察“最长匹配”或隐含逻辑的意图。但在标准防火墙（如iptables）中，是自顶向下的第一个匹配。因此选A。自我修正：重新审视题目。规则1：允许源网段->Any:HTTP。规则2：拒绝Any->0:Any。数据包：源15，目的10，HTTP。匹配规则1。结果：允许。自我修正：重新审视题目。规则1：允许源网段->Any:HTTP。规则2：拒绝Any->0:Any。数据包：源15，目的10，HTTP。匹配规则1。结果：允许。8.C解析：ESP（封装安全载荷）协议提供机密性（加密）、数据源认证、完整性和抗重放保护。AH只提供认证和完整性，不加密。IKE是密钥交换协议。解析：ESP（封装安全载荷）协议提供机密性（加密）、数据源认证、完整性和抗重放保护。AH只提供认证和完整性，不加密。IKE是密钥交换协议。9.B解析：RPO（RecoveryPointObjective）恢复点目标，指业务系统所能容忍的数据丢失量，对应时间上的度量。RTO是恢复时间目标。解析：RPO（RecoveryPointObjective）恢复点目标，指业务系统所能容忍的数据丢失量，对应时间上的度量。RTO是恢复时间目标。10.C解析：对于n位输出的Hash函数，生日攻击寻找碰撞的复杂度约为。256位即。解析：对于n位输出的Hash函数，生日攻击寻找碰撞的复杂度约为。256位即。11.A解析：lusrmgr.msc是本地用户和组管理器。gpedit.msc是组策略编辑器，secpol.msc是本地安全策略。解析：lusrmgr.msc是本地用户和组管理器。gpedit.msc是组策略编辑器，secpol.msc是本地安全策略。12.B解析：异常检测通过建立正常行为模型，检测偏离正常的行为，因此能发现未知攻击（零日攻击），但误报率较高。解析：异常检测通过建立正常行为模型，检测偏离正常的行为，因此能发现未知攻击（零日攻击），但误报率较高。13.A解析：数字签名是用发送方私钥加密摘要，验证时使用发送方公钥解密并比对摘要。解析：数字签名是用发送方私钥加密摘要，验证时使用发送方公钥解密并比对摘要。14.B解析：TEMPEST技术旨在防止计算机等电子设备在运行时通过电磁辐射泄露屏幕信息或处理过的敏感信息。解析：TEMPEST技术旨在防止计算机等电子设备在运行时通过电磁辐射泄露屏幕信息或处理过的敏感信息。15.B解析：定量风险分析中，风险值通常=资产价值×威胁频率×脆弱性严重程度。解析：定量风险分析中，风险值通常=资产价值×威胁频率×脆弱性严重程度。16.B解析：RSA加密C=modn。=125。125mod33。33×3=99，1259917.D解析：审计记录不应包含用户的密码明文，这会造成极大的安全风险。通常只记录密码修改事件或哈希值。解析：审计记录不应包含用户的密码明文，这会造成极大的安全风险。通常只记录密码修改事件或哈希值。18.B解析：TLS握手时，服务器发送ServerHello后，紧接着发送Certificate消息，包含其数字证书链，以供客户端验证身份。解析：TLS握手时，服务器发送ServerHello后，紧接着发送Certificate消息，包含其数字证书链，以供客户端验证身份。19.C解析：Root或越狱打破了移动操作系统基于沙盒和权限的安全模型，使应用可以获取系统最高权限，绕过安全限制。解析：Root或越狱打破了移动操作系统基于沙盒和权限的安全模型，使应用可以获取系统最高权限，绕过安全限制。20.B解析：威胁建模通常在设计阶段进行，以便在设计早期识别潜在威胁并设计缓解措施，成本最低且效果最好。解析：威胁建模通常在设计阶段进行，以便在设计早期识别潜在威胁并设计缓解措施，成本最低且效果最好。21.B解析：644表示二进制。所有者(6):4+2=读+写；组用户(4):读；其他用户(4):读。解析：644表示二进制。所有者(6):4+2=读+写；组用户(4):读；其他用户(4):读。22.B解析：区块链通过将每个区块的Hash值包含在下一个区块中（哈希指针链），确保一旦数据被记录，就无法在不破坏后续链条的情况下被篡改。解析：区块链通过将每个区块的Hash值包含在下一个区块中（哈希指针链），确保一旦数据被记录，就无法在不破坏后续链条的情况下被篡改。23.A解析：SYNFlood攻击利用TCP三次握手，客户端发送SYN包，服务器回复SYN-ACK并等待ACK，此时分配资源。攻击者发送大量SYN包但不回复ACK，耗尽服务器资源。解析：SYNFlood攻击利用TCP三次握手，客户端发送SYN包，服务器回复SYN-ACK并等待ACK，此时分配资源。攻击者发送大量SYN包但不回复ACK，耗尽服务器资源。24.D解析：DFA（确定有限自动机）匹配速度快，但构建复杂，状态数可能爆炸；NFA（非确定有限自动机）构建简单，支持正则表达式，但匹配速度较慢（需要回溯）。DFA是确定性的，一旦输入，状态转移路径唯一。解析：DFA（确定有限自动机）匹配速度快，但构建复杂，状态数可能爆炸；NFA（非确定有限自动机）构建简单，支持正则表达式，但匹配速度较慢（需要回溯）。DFA是确定性的，一旦输入，状态转移路径唯一。25.B解析：《网络安全法》规定，关键信息基础设施的运营者对其负有“主要负责人负责制”。解析：《网络安全法》规定，关键信息基础设施的运营者对其负有“主要负责人负责制”。26.C解析：视图可以限制用户对基表某些行或列的访问，从而实现数据隐藏和机密性保护。解析：视图可以限制用户对基表某些行或列的访问，从而实现数据隐藏和机密性保护。27.B解析：SSH默认端口22。FTP(21),Telnet(23),SMTP(25)。解析：SSH默认端口22。FTP(21),Telnet(23),SMTP(25)。28.B解析：遏制阶段的目标是限制事件造成的损害，防止攻击扩散到其他系统。解析：遏制阶段的目标是限制事件造成的损害，防止攻击扩散到其他系统。29.A解析：存储型XSS（持久型）将恶意脚本存储在服务器数据库中，当其他用户访问含有该数据的页面时触发，不需要诱导用户点击特定URL，只需访问正常页面即可。解析：存储型XSS（持久型）将恶意脚本存储在服务器数据库中，当其他用户访问含有该数据的页面时触发，不需要诱导用户点击特定URL，只需访问正常页面即可。30.B解析：原风险=100×0.1措施后风险=100风险降低值=81效益=风险降低值成本=7531.B解析：WPA2使用AES-CCMP加密算法。WEP和WPA使用RC4。解析：WPA2使用AES-CCMP加密算法。WEP和WPA使用RC4。32.C解析：栈溢出是典型的缓冲区溢出漏洞。SQL注入、CSRF、XXE属于Web应用漏洞。解析：栈溢出是典型的缓冲区溢出漏洞。SQL注入、CSRF、XXE属于Web应用漏洞。33.B解析：TCB是系统中负责实施安全策略的所有硬件、固件和软件组件的集合。解析：TCB是系统中负责实施安全策略的所有硬件、固件和软件组件的集合。34.A解析：Kerberos中，用户向TGS申请访问特定服务票据前，需要持有TGT（票据授予票据）。解析：Kerberos中，用户向TGS申请访问特定服务票据前，需要持有TGT（票据授予票据）。35.B解析：DLP系统通常利用正则表达式匹配身份证号、手机号、信用卡号等敏感数据，以及关键字匹配来识别敏感信息。解析：DLP系统通常利用正则表达式匹配身份证号、手机号、信用卡号等敏感数据，以及关键字匹配来识别敏感信息。36.C解析：在IaaS模式下，云服务商负责物理、网络、虚拟化层；客户负责操作系统、应用及数据。解析：在IaaS模式下，云服务商负责物理、网络、虚拟化层；客户负责操作系统、应用及数据。37.B解析：保证机密性应使用接收方的公钥加密，因为只有接收方拥有对应的私钥解密。解析：保证机密性应使用接收方的公钥加密，因为只有接收方拥有对应的私钥解密。38.A解析：“TCPPrevioussegmentnotcaptured”表示Wireshark认为收到了后续的数据包，但没收到前一个片段，这通常是因为乱序到达，或者丢包导致无法重组，但在该提示下最直接的解释是乱序或丢包。结合选项，乱序是更常见的显示该提示且未导致重传的场景，但如果是丢包通常会显示“DupACK”或“Retransmission”。这里选A或B均可，通常A更符合该特定提示的直观含义（没抓到前一段）。解析：“TCPPrevioussegmentnotcaptured”表示Wireshark认为收到了后续的数据包，但没收到前一个片段，这通常是因为乱序到达，或者丢包导致无法重组，但在该提示下最直接的解释是乱序或丢包。结合选项，乱序是更常见的显示该提示且未导致重传的场景，但如果是丢包通常会显示“DupACK”或“Retransmission”。这里选A或B均可，通常A更符合该特定提示的直观含义（没抓到前一段）。39.D解析：禁止使用任何第三方开源库是不现实的，也是低效的。正确做法是使用SBOM、审计漏洞、及时更新。解析：禁止使用任何第三方开源库是不现实的，也是低效的。正确做法是使用SBOM、审计漏洞、及时更新。40.B解析：纵深防御策略强调在多个层面（如物理、网络、主机、应用、数据）部署多层安全控制，防止单点失效。解析：纵深防御策略强调在多个层面（如物理、网络、主机、应用、数据）部署多层安全控制，防止单点失效。二、案例分析题案例一问题1：1.SQL注入漏洞。2.XSS（跨站脚本）漏洞（反射型或存储型，此处为搜索显示，可能为反射型）。3.SSL/TLS协议版本过低，存在已知漏洞（如POODLE）。4.数据库安全配置不当：允许弱口令、Root账户远程登录。5.信息泄露：Web服务器泄露版本号和详细错误信息，便于攻击者搜集信息进行针对性攻击。问题2：针对情况1（SQL注入）：使用预编译语句或参数化查询。对输入数据进行严格的类型检查和过滤。使用ORM框架。遵循最小权限原则配置数据库连接账户。针对情况2（XSS）：对输出到HTML页面的用户输入进行HTML实体编码。使用CSP（内容安全策略）头部。对输入进行白名单过滤。问题3：建议升级到TLS1.2或TLS1.3。HTTPS配置最佳实践：禁用SSL2.0/3.0和TLS1.0/1.1。启用HSTS（HTTPStrictTransportSecurity）。使用强加密套件（优先选择AES-GCM等）。定期更新并使用有效的SSL证书，避免使用自签名证书。问题4：禁止Root账户远程登录，仅允许本地登录或通过SSH密钥登录。删除或锁定默认的匿名账户和测试账户。对敏感数据表进行加密存储。开启数据库审计日志，记录关键操作。定期备份数据库，并进行备份恢复测试。及时更新数据库软件版本，修补漏洞。配置网络访问控制，限制仅允许应用服务器IP访问数据库端口。案例二问题1：DMZ作用：用于放置对外