2026年著名的安全测试题及答案

2026年著名的安全测试题及答案

一、单项选择题（每题2分，共20分）1.在OSI七层模型中，负责端到端加密与完整性校验的层是A.网络层B.传输层C.会话层D.表示层2.以下哪一项最能有效降低SQL注入风险A.使用HTTPSB.最小权限原则C.参数化查询D.前端过滤3.关于零信任架构的核心原则，错误的是A.永不信任持续验证B.默认放行内网流量C.动态访问控制D.微分段4.在Linux系统中，设置/etc/shadow文件权限为640的主要目的是A.防止提权B.保护哈希口令C.限制日志写入D.阻止端口扫描5.AES-256相比AES-128的主要优势在于A.抗量子性B.密钥空间更大C.运算速度更快D.分组长度更长6.针对BGP协议最常见的劫持防御技术是A.RPKIB.DNSSECC.DMARCD.HSTS7.在Windows日志中，事件ID4624表示A.账户锁定B.成功登录C.权限提升D.对象访问8.以下哪项不是NISTSP800-61中定义的计算机安全事件类型A.拒绝服务B.恶意代码C.供应链污染D.信息泄露9.使用HMAC而非单纯哈希的主要原因是A.增加长度B.提供认证C.降低碰撞D.节省算力10.在DevSecOps流水线中，SAST工具扫描的最佳阶段是A.运行时B.编译后C.编码提交前D.用户验收二、填空题（每题2分，共20分）11.公钥基础设施中，负责颁发并管理数字证书的实体简称____。12.在TCP三次握手里，SYN-ACK报文的主要标志位组合为____。13.根据GDPR，数据控制者必须在数据泄露后____小时内向监管机构报告。14.常见的内存安全语言Rust通过____机制在编译期防止空指针解引用。15.OWASPTop102021版新增的一类风险是____。16.用于衡量生物特征识别系统误接受率的指标缩写为____。17.在Kubernetes中，默认禁止容器获取宿主机进程命名空间的策略对象叫____。18.国家密码管理局发布的分组密码算法商用标准名称是____。19.安全运营中心中，对告警进行分级、去重、丰富化的过程称为____。20.采用椭圆曲线实现的密钥交换协议缩写为____。三、判断题（每题2分，共20分）21.对称加密算法一定比非对称加密算法更适合大规模数据加密。22.在TLS1.3中，所有握手消息均已加密，不再出现明文证书传输。23.防火墙规则顺序自上而下匹配，一旦命中即停止后续检查。24.端口扫描本身即构成刑法意义上的非法侵入计算机信息系统。25.使用VPN可以完全避免运营商对流量内容的深度包检测。26.数字签名能够提供不可否认性与完整性，但不提供机密性。27.在等保2.0中，三级系统要求每年至少进行一次渗透测试。28.内存隔离技术如IntelSGX能够彻底阻止侧信道攻击。29.同源策略可防止恶意脚本读取跨域返回的JSON数据。30.勒索软件加密文件后，支付赎金是唯一可行的数据恢复手段。四、简答题（每题5分，共20分）31.简述缓冲区溢出攻击的基本原理及两种常见防御措施。32.说明多因素认证中“所知、所有、所是”三类因素并各举一例。33.概述公钥证书链验证过程，并指出任一环节失败可能导致的后果。34.描述云原生环境下“镜像供应链攻击”的典型步骤与应对思路。五、讨论题（每题5分，共20分）35.量子计算对现有公钥密码体系带来哪些实质性威胁？应对策略有哪些？36.零信任架构在传统企业内网改造中会遭遇哪些文化与技术阻力？如何分阶段落地？37.生成式人工智能在网络攻击与防御两侧分别带来哪些新风险与新能力？38.面对日益严格的跨境数据流动监管，企业应如何构建合规的数据治理框架？答案与解析一、单项选择题1.B2.C3.B4.B5.B6.A7.B8.C9.B10.C二、填空题11.CA12.SYN,ACK13.7214.所有权与借用15.不安全的设计16.FAR17.PSP18.SM419.告警降噪20.ECDH三、判断题21.√22.√23.√24.×25.×26.√27.√28.×29.√30.×四、简答题参考要点31.攻击者向程序输入超长数据，覆盖返回地址或函数指针，获得控制流；防御：栈金丝雀、地址空间布局随机化、非执行栈、编译器FORTIFY。32.所知：密码；所有：U盾；所是：指纹。三者结合可提升抗钓鱼与重放能力。33.客户端从终端实体证书逐级验证签发者，直到可信根；任一证书过期、撤销或签名无效即触发连接终止或警告。34.攻击者入侵构建服务器→植入后门→推送镜像仓库→运行时触发；应对：镜像签名、供应链准入、最小基础镜像、持续扫描、可重现构建。五、讨论题参考要点35.Shor算法可在多项式时间内分解大整数、解离散对数，RSA/ECC受威胁；策略：部署抗量子算法如CRYSTALS-Kyber、Dilithium，混合密钥交换，增加密钥长度，建立加密敏捷性。36.文化：默认内网可信思维、部门墙；技术：老旧系统无法代理认证、微分段成本高；分阶段：先身份化资产，再强身份认证，后持续监控，最终动态策略。37.攻击侧：自动化钓鱼、深度伪造、漏洞代码生成；防御侧：智能