2026年软考-信息安全工程师案例分析真题

2026年软考-信息安全工程师案例分析真题试题一：企业网络安全架构与防护技术【背景说明】某大型制造企业“智造未来”为了适应数字化转型的需求，正在全面升级其内部网络架构。该企业网络主要划分为外部接入区、核心交换区、DMZ区（非军事化区）、内部办公区、生产研发区以及数据中心的数据库服务器区。为了保障业务连续性与数据安全性，网络安全团队设计了一套基于纵深防御策略的安全体系。在网络边界，部署了下一代防火墙（NGFW）和入侵防御系统（IPS）。在DMZ区，对外提供Web服务及邮件服务。内部办公区用户需要通过SSLVPN方式远程接入办公网络。生产研发区存放着核心的知识产权数据，对该区域的访问实施了严格的二层隔离和准入控制。数据中心部署了数据库审计系统与WAF（Web应用防火墙）。近期，安全运维人员在进行日志审计时，发现边界防火墙频繁接收到针对内部Web服务器的异常流量，且内部办公区部分终端感染了勒索病毒，试图向生产研发区横向移动。安全团队决定对现有的访问控制策略和安全配置进行全面梳理与加固。【问题1】（5分）为了有效防御针对Web应用的攻击，除了部署NGFW和IPS外，该企业在DMZ区还部署了WAF。请简要说明WAF与传统防火墙（NGFW）在防护重点上的主要区别，并列举WAF能够防御的三种典型Web攻击。【问题2】（8分）为了防止内部办公区的勒索病毒向生产研发区扩散，网络管理员计划在核心交换机配置VLAN和ACL（访问控制列表）。假设办公区VLAN10，生产研发区VLAN20，生产研发区核心文件服务器IP为00。请用简化的ACL配置语法（或逻辑描述），写出满足以下要求的规则：1.允许办公区用户仅访问生产研发区的文件服务器的TCP445端口（用于文件共享）。2.禁止办公区访问生产研发区的其他任何端口和IP。3.允许生产研发区访问办公区的所有流量（以便回包和管理）。4.最后默认拒绝其他所有流量。【问题3】（6分）SSLVPN被广泛应用于远程接入。在SSLVPN的建立过程中，通常会涉及隧道建立、身份认证和密钥交换。(1)请简述SSLVPN与IPSecVPN在传输层应用上的主要区别。(2)在SSLVPN通信中，为了保证数据的机密性和完整性，使用了哪种协议？该协议通过握手阶段协商出什么参数来加密应用数据？【问题4】（6分）针对边界防火墙接收到的异常流量，安全团队决定启用“深度包检测（DPI）”技术。请解释DPI技术的工作原理，并说明它在应用层协议识别中的优势。试题二：Web应用安全与代码审计【背景说明】某电商平台“云购商城”近期上线了一款新的促销活动系统。该系统采用Java语言开发，使用SpringBoot框架，后端数据库为MySQL。上线后不久，有安全研究员向平台报告了多个高危漏洞。安全部门随即组织代码审计小组对促销活动模块的源代码进行了审查，并截获了部分攻击者的HTTP请求数据包。审计发现，在用户登录模块中，系统直接将用户输入的用户名和密码拼接到SQL查询语句中进行验证。在商品搜索接口中，系统未对用户输入的搜索关键词进行过滤，直接将其显示在页面的“搜索历史记录”中。此外，在用户订单详情接口中，系统使用了不安全的随机数生成器来生成订单ID，且未对当前用户的权限进行校验，导致可以通过遍历ID查看他人订单。【问题1】（5分）根据上述描述，登录模块存在的漏洞名称是什么？请给出该漏洞的原理，并写出一种针对该漏洞的防御代码思路（使用Java伪代码或PreparedStatement概念）。【问题2】（5分）攻击者在商品搜索接口输入了`<script>alert(document.cookie)</script>`，其他用户在查看搜索历史时弹出了包含cookie的警告框。(1)请判断这是什么类型的攻击？(2)请列举三种防御该攻击的有效方法。【问题3】（7分）关于订单详情接口的漏洞：(1)这种通过修改URL参数（如订单ID）来访问未授权数据的漏洞被称为什么？(2)在代码层面，如何修复该漏洞？请给出两种具体的修复方案。(3)题目中提到使用了“不安全的随机数生成器”，在Java开发中，应推荐使用哪个类来生成密码学安全的随机数？【问题4】（8分）代码审计小组还发现系统配置文件中存在`debug=true`的设置，且错误页面直接返回了堆栈信息。(1)开启Debug模式并返回详细错误信息会带来什么安全风险？(2)除了关闭Debug模式，还应如何配置Web服务器（如Nginx或Tomcat）来隐藏具体的软件版本信息，以降低信息泄露风险？试题三：密码学与PKI应用【背景说明】某政府机构的电子政务系统需要实现安全的公文传输与数字签名功能。该系统采用了基于国密算法（SM2、SM3、SM4）的PKI（公钥基础设施）体系。系统架构包含CA（证书颁发中心）、RA（注册中心）和密钥管理系统。用户A需要向用户B发送一份绝密级公文，并确保公文在传输过程中不被窃听、篡改，同时能够证明公文确实是由用户A发送的（即不可抵赖性）。通信流程设计如下：1.用户A利用A的私钥对公文摘要进行数字签名。2.用户A生成一次性会话密钥，使用对公文及签名结果进行加密。3.用户A使用用户B的公钥对会话密钥进行加密，形成数字信封。4.用户A将加密后的公文和数字信封发送给用户B。5.用户B接收后，先使用自己的私钥解密数字信封获得，再利用解密公文及签名，最后使用A的公钥验证签名。【问题1】（6分）在上述流程中，使用了公钥密码体制（非对称加密）和对称密码体制。(1)请指出步骤2和步骤3中分别使用了哪种类型的加密算法（对称或非对称）。(2)为什么在实际应用中，通常采用“数字信封”的方式（即用对称密钥加密数据，用非对称密钥加密对称密钥），而不是直接用非对称密钥加密长公文？【问题2】（8分）该系统采用国密SM2算法进行数字签名和密钥交换。(1)SM2椭圆曲线公钥密码算法基于的数学难题是什么？(2)假设用户A的私钥为，公钥为=·G（其中G为基点）。请简述用户A对消息M(3)除了SM2，该系统还使用了SM3算法。SM3算法的输出值长度是多少比特？【问题3】（6分）PKI体系中，证书撤销是处理用户私钥泄露或证书过期的重要机制。(1)请列举两种常见的证书撤销机制。(2)如果用户A的私钥不慎泄露，他应该立即向RA或CA申请什么操作？在此之后，验证方在验证用户A的签名时，系统会执行什么额外的检查步骤？【问题4】（5分）在密钥管理系统中，密钥的全生命周期管理至关重要。请简述密钥生命周期中“密钥销毁”阶段的具体要求，特别是对于存储在内存中和存储在硬盘中的密钥应如何处理？试题四：安全管理与等级保护【背景说明】某市级三甲医院“康健中心”近期通过了等保2.0（网络安全等级保护制度2.0标准）三级测评的初步差距分析。该医院的核心业务系统（HIS医院信息系统、PACS影像归档和通信系统）存储了大量患者敏感信息（PII）和医疗数据。根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），该医院需要针对安全计算环境、安全区域边界、安全通信网络和安全管理中心进行整改。当前存在的问题包括：1.数据库管理员拥有超级用户权限，且共享账号，多人共用同一个root账号登录数据库。2.医生工作站终端安装有杀毒软件，但病毒库版本长期未更新。3.重要业务数据仅在本地进行每日全量备份，未做异地容灾。4.系统未部署统一的安全审计平台，日志分散在各服务器中，且未留存超过6个月。【问题1】（6分）针对问题1（数据库账号管理），请依据等保2.0三级要求，提出整改建议。(1)在身份鉴别方面，应采取什么措施？(2)在访问控制方面，应如何限制超级用户的权限？(3)在安全审计方面，应记录哪些内容？【问题2】（8分）针对问题3（数据备份与容灾），医院计划建立异地容灾备份系统。(1)请解释RPO（RecoveryPointObjective）和RTO（RecoveryTimeObjective）的含义。(2)如果要达到“实时”或“准实时”的数据保护级别，通常采用哪种备份技术？(3)假设数据库大小为5TB，网络带宽为1Gbps，每天数据变化量为10%。请计算采用全量备份每天传输的数据量，并估算在网络利用率80%的情况下，全量备份所需的最短时间（请给出计算公式和结果）。【问题3】（6分）依据《数据安全法》和等保2.0要求，该医院必须对患者的敏感个人信息进行保护。(1)什么是数据脱敏？请列举两种静态脱敏的方法。(2)在数据库存储中，对于患者的身份证号和银行卡号，除了脱敏外，还应采用什么技术手段来保护数据的机密性？【问题4】（10分）安全风险管理是信息安全建设的核心。风险的计算通常涉及资产、威胁和脆弱性。(1)请写出风险计算的通用公式（可以使用LaTex格式）。(2)假设某数据库服务器资产价值为100，威胁发生的可能性为0.5（概率），脆弱性的严重程度为0.8（系数）。请计算该资产的安全风险值。(3)针对计算出的风险值，请根据风险处置策略，说明可以采取哪些处置方式来降低风险？【答案与解析】试题一：企业网络安全架构与防护技术【问题1】WAF（Web应用防火墙）与传统防火墙（NGFW）的主要区别在于：传统防火墙（NGFW）主要工作在网络层和传输层（第3-4层），基于IP地址、端口号和协议状态进行访问控制，虽然具备一定的应用层识别能力，但核心是控制网络流量访问。WAF专门工作在应用层（第7层），专注于Web应用流量的内容深度检测，能够解析HTTP/HTTPS协议的具体内容（如URL、参数、Header等），防御针对Web应用逻辑和代码的攻击。WAF能够防御的三种典型Web攻击：1.SQL注入攻击2.跨站脚本攻击（XSS）3.跨站请求伪造（CSRF）（注：回答命令注入、文件包含、WebShell等也可）【问题2】ACL配置逻辑（以Cisco语法风格为例）：1.创建扩展ACL，假设序列号为100。2.允许办公区访问文件服务器的445端口：`access-list100permittcp55host00eq445`3.禁止办公区访问生产研发区的其他任何流量：`access-list100denyip5555`4.允许生产研发区访问办公区（回包和管理）：`access-list100permitip5555`5.默认拒绝其他所有流量：`access-list100denyipanyany`最后将ACL应用到办公区VLAN的接口（方向为in或out视具体拓扑而定，通常在核心交换机连接办公区的VLAN接口出方向应用，或在三层网关处应用）。【问题3】(1)SSLVPN与IPSecVPN的主要区别：SSLVPN基于SSL/TLS协议，工作在应用层（或传输层与应用层之间），主要保护Web应用（浏览器方式）或特定基于TCP的应用，无需安装客户端（或使用轻量级插件），穿透性强（能穿过NAT和防火墙）。IPSecVPN基于IPSec协议族，工作在网络层，用于构建虚拟专用网，保护网络层以上的所有流量（如IP包），通常需要安装专用的VPN客户端软件，配置相对复杂，适合站点到站点（Site-to-Site）的互联。(2)在SSLVPN通信中，使用TLS协议（或SSL协议）。通过握手阶段协商出“会话密钥”或“主密钥”，用于后续应用数据的对称加密和完整性保护。【问题4】DPI（深度包检测）技术的工作原理：DPI不仅检查数据包的网络层和传输层头部信息（如IP、端口），还会深入重组应用层数据流，解析并匹配应用层协议的特征码、载荷内容，从而识别出具体的应用类型（如区分BitTorrent流量和HTTP流量）和检测应用层攻击内容。优势：1.精准识别应用：能够穿透标准端口，识别运行在非标准端口上的应用，或识别封装在其他协议内的应用。2.细粒度控制：可以基于应用内容（如具体的URL、文件类型、关键词）进行控制和阻断，而不仅仅是基于端口。试题二：Web应用安全与代码审计【问题1】漏洞名称：SQL注入漏洞。原理：应用程序没有对用户输入的数据进行严格的过滤或类型检查，直接将其拼接到SQL查询语句中，导致数据库引擎将用户输入的数据当作SQL代码执行，从而窃取、篡改或删除数据。防御代码思路（使用PreparedStatement）：```java//错误的拼接方式//Stringsql="SELECTFROMusersWHEREusername='"+username+"'ANDpassword='"+password+"'";//Stringsql="SELECTFROMusersWHEREusername='"+username+"'ANDpassword='"+password+"'";//正确的预编译方式Stringsql="SELECTFROMusersWHEREusername=?ANDpassword=?";Stringsql="SELECTFROMusersWHEREusername=?ANDpassword=?";PreparedStatementpstmt=conn.prepareStatement(sql);pstmt.setString(1,username);pstmt.setString(2,password);ResultSetrs=pstmt.executeQuery();```使用预编译语句可以将数据与代码分离，数据库不会将参数部分视为SQL命令执行。【问题2】(1)攻击类型：跨站脚本攻击（XSS），具体为反射型XSS（或存储型XSS，视具体存储逻辑而定，题目提到“搜索历史记录”若存储后显示则为存储型，若仅直接回显则为反射型。根据“显示在页面的搜索历史记录”通常暗示存储，但攻击流程描述像反射。此处答XSS即可）。(2)防御方法：1.输入验证：对用户输入的搜索关键词进行严格的白名单过滤，过滤掉`<>"'&`等特殊字符。2.输出编码：在将数据输出到HTML页面时，进行HTML实体编码（如将`<`转为`<`）。3.使用内容安全策略（CSP）：通过HTTP头部配置CSP，限制浏览器加载外部脚本资源。【问题3】(1)漏洞名称：越权漏洞，具体为水平越权或IDOR（不安全的直接对象引用）。(2)修复方案：1.基于角色的访问控制（RBAC）：在代码中检查当前登录用户是否具有查看该订单的权限，或者检查订单的OwnerID是否等于当前登录用户的ID。2.使用不可预测的ID（UUID）：将自增的订单ID替换为UUID，增加遍历猜测的难度。3.基于会话的间接引用：建立用户与订单的映射表，不直接暴露数据库ID。(3)推荐使用的类：`java.security.SecureRandom`。【问题4】(1)风险：1.信息泄露：攻击者可以通过错误堆栈信息获取服务器文件路径、数据库结构、组件版本等敏感信息，为进一步攻击提供依据。2.降低系统可用性：详细的错误日志可能占用大量磁盘空间，导致服务拒绝。(2)配置Web服务器隐藏版本信息：1.Nginx：在配置文件中设置`server_tokensoff;`。2.Tomcat：修改`server.xml`文件中`Connector`的`server`属性，或修改`ServerIperties`类文件中的版本信息字符串，使其返回自定义或空值。试题三：密码学与PKI应用【问题1】(1)步骤2（用会话密钥加密公文）使用的是对称加密算法。步骤3（用接收方公钥加密会话密钥）使用的是非对称加密算法。(2)原因：非对称加密算法（如RSA、SM2）的计算复杂度远高于对称加密算法（如AES、SM4），加密速度慢，且通常有明文长度限制（不能直接加密长数据）。采用数字信封方式，利用对称算法的高效性加密大数据，利用非对称算法的安全性加密对称密钥，既解决了密钥分发问题，又保证了数据加密的效率。【问题2】(1)SM2算法基于的数学难题是：椭圆曲线离散对数问题（ECDLP）。(2)用户A对消息M生成数字签名的基本过程：1.对消息M进行杂凑运算，得到消息摘要e=2.产生随机数k，计算椭圆曲线点k·3.根据私钥、随机数k和摘要e，按照SM2签名算法计算签名值r和s。4.输出签名(r(3)SM3算法的输出值长度是256比特。【问题3】(1)两种常见的证书撤销机制：1.CRL（证书撤销列表）：CA定期发布包含已撤销证书序列号的列表。2.OCSP（在线证书状态协议）：客户端实时向验证服务器查询特定证书的当前状态。(2)操作：申请证书吊销（或注销证书）。检查步骤：验证方在验证签名前，会通过OCSP协议查询该证书的状态，或者下载最新的CRL列表，检查该证书的序列号是否在撤销列表中。如果在列表中，则验证失败。【问题4】密钥销毁阶段的要求：1.内存中的密钥：使用后应立即对存储密钥的内存空间进行覆写（Overwrite），用随机数据或零覆盖，防止被内存扫描工具提取。2.硬盘中的密钥：应进行安全删除，不仅仅是删除文件指针，而是对物理存储介质进行多次覆写（如符合DoD5220.22-M标准），或者使用物理销毁（消磁、粉碎）的方式，确保数据无法通过数据恢复技术还原。试题四：安全管理与等级保护【问题1】(1)身份鉴别措施：1.启用双因素认证（2FA），如“密码+动态令牌”或“密码+生物特征”。2.设置复杂的口令策略（长度、复杂度、定期更换）。3.配置登录失败处理功能，如连续失败5次锁定账户30分钟。(2)访问控制限制：1.实行特权账号分离，创建不同的管理员角色（如安全管理员、审计管理员、数据库管理员），一人一账号。2.限制默认账号的访问权限，遵循最小权限原则，仅授予完成工作所需的最小权限。(3)安全审计内容：1.记录所有数据库用户的登录