(完整版)信息安全与保密技术复习试题与答案

(完整版)信息安全与保密技术复习试题与答案一、单项选择题（每题2分，共20分）1.以下哪种加密算法属于对称加密技术？A.RSAB.ECCC.AESD.SHA-256答案：C2.数字签名的核心目的是确保数据的（）。A.机密性B.完整性C.可用性D.不可否认性答案：D3.下列哪项不是访问控制的常见模型？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于内容的访问控制（CBAC）答案：D4.WPA3相比WPA2的主要安全改进是（）。A.支持WEP协议B.引入SAE（安全认证交换）防止离线字典攻击C.仅使用TKIP加密D.取消PSK模式答案：B5.SQL注入攻击的本质是（）。A.利用操作系统漏洞B.向数据库发送恶意SQL语句C.破坏网络带宽D.篡改应用程序代码答案：B6.以下哈希函数中，碰撞抗性最强的是（）。A.MD5B.SHA-1C.SHA-256D.CRC32答案：C7.PKI（公钥基础设施）的核心组件是（）。A.证书颁发机构（CA）B.终端实体（EE）C.注册机构（RA）D.证书库（CRL）答案：A8.防火墙按工作层次划分，不包括（）。A.包过滤防火墙B.应用层网关防火墙C.状态检测防火墙D.硬件防火墙答案：D9.隐私计算技术中，联邦学习的主要目标是（）。A.在不共享原始数据的前提下联合建模B.完全公开数据供多方使用C.加密所有数据后存储D.仅使用单一机构数据训练模型答案：A10.物联网设备面临的特有安全风险是（）。A.计算资源有限导致加密算法难以实施B.SQL注入C.DDoS攻击D.钓鱼邮件答案：A二、填空题（每空1分，共20分）1.对称加密算法的典型代表有AES和______（填写一种），其密钥长度通常为______位（AES支持的标准长度之一）。答案：DES（或3DES）；128（或192、256）2.非对称加密的数学基础包括大整数分解问题（如RSA）和______（如ECC）。答案：椭圆曲线离散对数问题3.访问控制的三要素是主体、______和______。答案：客体；控制策略4.网络攻击可分为主动攻击和被动攻击，其中______攻击的目的是篡改或伪造数据，______攻击的目的是窃听或分析数据。答案：主动；被动5.TLS握手过程的关键步骤包括客户端Hello、服务器Hello、______、______和握手完成。答案：证书交换；密钥交换（或“预主密钥交换”）6.数据脱敏技术主要包括______（如将姓名替换为“某先生”）、______（如对身份证号部分隐藏）和变形处理。答案：匿名化；掩码（或“脱敏掩码”）7.漏洞生命周期包括发现、______、______和修复后验证四个阶段。答案：验证；修补（或“补丁发布”）8.区块链的核心安全特性包括______（通过哈希链保证）、______（通过共识机制实现）和去中心信任。答案：不可篡改性；一致性9.工业控制系统（ICS）的典型安全防护措施包括______（隔离办公网与控制网）、______（限制非法设备接入）和协议白名单。答案：物理隔离（或“逻辑隔离”）；设备认证10.隐私保护的“最小必要”原则要求仅收集______的个人信息，并仅用于______的目的。答案：实现功能所必需；明确声明三、简答题（每题8分，共40分）1.简述对称加密与非对称加密的主要区别，并各举一例说明应用场景。答案：对称加密使用相同密钥加密和解密（如AES），优点是速度快，适合大数据加密；缺点是密钥分发困难，易泄露。非对称加密使用公钥加密、私钥解密（如RSA），解决了密钥分发问题，适合身份认证和小数据加密（如加密对称密钥）。例如，HTTPS中用RSA交换AES会话密钥，兼顾效率与安全。2.解释“零信任架构”的核心思想，并列举其实施的三个关键措施。答案：零信任架构的核心是“永不信任，始终验证”，假设网络内部存在威胁，所有访问需动态验证身份、设备状态和环境安全。实施措施包括：（1）最小权限访问（仅授予完成任务所需的最小权限）；（2）持续身份验证（结合多因素认证和行为分析）；（3）微隔离（将网络划分为小区域，限制横向攻击）。3.分析DDoS攻击的原理及防御策略。答案：DDoS（分布式拒绝服务）攻击通过控制大量傀儡机（僵尸网络）向目标发送海量请求，耗尽其带宽或计算资源，导致服务不可用。防御策略包括：（1）流量清洗（通过专用设备识别并过滤异常流量）；（2）黑洞路由（将攻击流量引导至无效地址）；（3）扩容带宽与资源（提高目标抗攻击能力）；（4）提前检测（基于流量特征或机器学习模型预警）。4.说明数字签名的提供与验证过程，并解释其如何保证数据的完整性和不可否认性。答案：提供过程：发送方用哈希函数对数据提供摘要，再用私钥对摘要加密提供签名；验证过程：接收方用公钥解密签名得到摘要，并用相同哈希函数对接收数据提供新摘要，比对两者是否一致。完整性通过哈希摘要的一致性保证，不可否认性通过私钥仅由发送方持有（假设私钥未泄露）保证，因为只有发送方能提供该签名。5.列举三种常见的个人信息泄露途径，并提出对应的技术防护措施。答案：泄露途径及防护措施：（1）数据库泄露（如未加密存储）：采用加密存储（如AES加密）+访问控制（RBAC限制权限）；（2）接口漏洞（如API未校验参数）：实施输入验证（正则表达式过滤）+速率限制（防止暴力破解）；（3）社交工程（如钓鱼链接窃取账号）：部署邮件过滤（检测钓鱼链接）+多因素认证（短信验证码+指纹）。四、综合分析题（每题10分，共20分）1.某企业计划构建内部文件共享系统，要求实现“不同部门员工仅能访问本部门文件，部门负责人可审批下属访问权限，高管可跨部门访问但需日志审计”。请基于RBAC模型设计访问控制策略，需明确角色、权限、分配规则及审计机制。答案：（1）角色定义：普通员工（部门A、B、C）、部门负责人（A、B、C）、高管、系统管理员。（2）权限分配：普通员工仅拥有本部门文件的读取权限；部门负责人拥有本部门文件的读取、写入、审批权限（审批下属跨权限申请）；高管拥有所有部门文件的读取权限；系统管理员拥有全局配置权限（不直接访问业务数据）。（3）分配规则：员工入职时根据部门分配对应普通员工角色；晋升为负责人时叠加负责人角色；高管由管理层指定角色；角色变更需HR审批并记录。（4）审计机制：所有文件访问（包括读取、修改、删除）记录用户、时间、操作类型；高管跨部门访问需额外记录访问原因；日志存储于独立服务器，仅系统管理员可查看（需二次审批）。2.某金融机构拟采用“哈希+盐值”方式存储用户密码，现需评估该方案的安全性，并提出改进建议（需结合密码学原理）。答案：（1）安全性评估：传统哈希（如MD5）碰撞抗性弱，易被彩虹表破解；加盐（随机字符串与密码拼接后哈希）可防止相同密码提供相同哈希，但盐值若泄露（如数据库被拖库）仍可能通过暴力破解。（2）改进建议：①采用慢哈希算法（如PBKDF2、bcrypt、Argon2），