2025年信息安全工程师试题及参考答案

2025年信息安全工程师试题及参考答案（考试时间：150分钟满分：75分）试题一（20分）阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。【说明】某金融机构新上线面向C端用户的手机银行APP，用户规模预计突破1000万，需满足《网络安全等级保护2.0》三级要求、《金融数据安全数据生命周期安全规范》（JR/T0197-2020）监管要求。安全团队需对系统全流程开展安全设计与验证，系统架构包含客户端层、API网关层、业务服务层、数据存储层四个层级，当前暴露的风险点包括：客户端篡改风险、接口未授权访问风险、数据传输泄露风险、核心交易篡改风险、数据库拖库风险。问题1（6分）针对客户端层安全防护，需实现反调试、反篡改、反逆向能力。请分别列出3种Android平台对应的具体实现技术。问题2（5分）API网关层需对所有接口做身份认证与访问控制，该系统采用JWT作为用户身份凭证。请简述JWT的三个组成部分及每个部分的核心作用，并说明防止JWT被窃取后重放攻击的2种具体措施。问题3（5分）数据存储层包含用户敏感数据（身份证号、银行卡号、交易密码、账户余额），请分别说明四类数据的存储安全要求，需符合金融行业监管规范。问题4（4分）核心转账交易需防范中间人篡改风险，现有交易参数包含：付款人ID、收款人ID、转账金额、交易时间戳。请设计该交易的完整性校验方案，说明校验流程。试题二（20分）阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某能源企业工业控制系统覆盖发电、输电、配电全业务流程，包含SCADA系统、PLC控制器、historian历史数据库、运维工作站等核心资产，2025年新增工业互联网平台实现跨厂区数据互通。依据《工业控制系统信息安全防护指南》《工业互联网安全标准体系（2023年）》要求，企业需开展工控安全防护体系建设，排查发现的风险包括：PLC存在未修补的CVE-2024-21508远程代码执行漏洞、SCADA系统使用弱口令且长期未更换、运维人员跨区域远程运维无审计、工业互联网平台与控制区之间未做边界隔离。问题1（7分）针对工控系统漏洞管理，该企业需建立全生命周期漏洞管理机制。请对比工控系统漏洞管理与常规IT系统漏洞管理的3项核心差异，并说明针对PLC的CVE-2024-21508漏洞的3种缓解措施（无法立即停机补丁的场景）。问题2（7分）企业需按照“安全分区、网络专用、横向隔离、纵向认证”的工控安全防护原则做架构整改。请分别说明四项原则的具体落地措施，结合该企业场景说明部署位置。问题3（6分）工控安全运营需建立异常监测能力，请分别列出针对以下场景的2种核心检测规则：（1）PLC异常控制指令攻击，如攻击者篡改发电机转速参数；（2）勒索病毒加密historian历史数据库攻击。试题三（15分）阅读下列说明，回答问题1至问题2，将解答填入答题纸的对应栏内。【说明】某企业2025年全面落地零信任架构，替代传统VPN远程访问模式，覆盖内部员工、外包人员、合作伙伴三类访问主体，访问资源包含内部业务系统、代码仓库、服务器SSH端口、数据库运维端口。零信任核心组件包含：身份管理平台（IAM）、持续信任评估引擎、策略决策点（PDP）、策略执行点（PEP）、上下文感知引擎。问题1（8分）请分别说明以下访问场景的零信任权限管控策略，要求满足最小权限原则：（1）外包开发人员仅能在工作日9:00-18:00访问所属项目的代码仓库dev分支，禁止上传代码到主分支；（2）数据库DBA仅能通过公司配发的运维终端访问生产数据库的1521端口，每次访问需二次审批，操作全审计。问题2（7分）持续信任评估是零信任动态权限调整的核心，假设信任分值范围为0-100分，<60分拒绝访问、60-80分需二次验证、≥80分允许访问。请列出5项影响信任分值的评估维度及对应的扣分规则。试题四（20分）阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某市政务云平台承载200+政务服务系统，包含公民户籍数据、不动产登记数据、社保医保数据等核心敏感数据，2025年需满足《数据安全法》《个人信息保护法》《政务数据安全管理暂行办法》要求，开展数据安全分类分级、数据跨境传输管控、数据泄露溯源体系建设。近期排查发现：某第三方开发人员违规将10万条公民社保数据下载到个人终端、政务数据共享接口存在未授权遍历漏洞可批量获取公民身份证号。问题1（7分）政务数据按照敏感程度分为公开数据、内部数据、敏感数据、绝密数据四个级别，请分别说明四类数据的共享范围要求，并针对该社保数据（敏感级）设计共享接口的3项安全防护措施。问题2（6分）针对数据泄露事件，该企业需建立数据全链路溯源能力。请说明数据水印技术在结构化数据（数据库表）、非结构化数据（Word文档）、API接口传输三类场景的具体实现方式，以及溯源流程。问题3（7分）该政务云平台计划向境外某科研机构共享脱敏后的城市人口统计数据，需满足数据跨境传输监管要求。请列出数据跨境传输前需完成的4项法定流程，并说明数据脱敏的3项验证规则，防止脱敏后数据被重识别。试题一参考答案问题11.反调试技术：读取/proc/[pid]/status文件的TracerPid字段，若不为0则判定被调试，触发进程退出；调用ptrace(PTRACE_TRACEME,0,0,0)抢占调试端口，阻止第三方调试器附加；检测IDA、GDB等调试工具的进程名、端口特征，发现后清除运行缓存并退出。2.反篡改技术：对APK的dex文件、so库做MD5/SM3哈希校验，启动时对比官方哈希值，不一致则拒绝运行；对核心代码段做内存完整性校验，运行时定时对比内存中代码段的哈希值，防止内存补丁篡改；集成数字签名校验，验证APK签名是否与官方签名一致，阻止二次打包的篡改版本安装运行。3.反逆向技术：对so库核心代码做OLLVM混淆，新增控制流平坦化、指令虚拟化、虚假控制流逻辑，增加逆向难度；对Java层代码做字符串加密、类名方法名混淆，替换为无意义字符，防止静态分析提取业务逻辑；针对Frida、Xposed等hook工具做特征检测，检测到hook框架注入后触发功能限制或进程退出。问题21.JWT三部分及作用：头部（Header）：声明JWT的签名算法（如HS256、SM2）、令牌类型，Base64URL编码传输；载荷（Payload）：存储用户身份信息（用户ID、角色、权限）、令牌有效期（exp）、签发时间（iat）等自定义声明，Base64URL编码传输，不存储敏感数据；签名（Signature）：使用服务端私钥对“头部Base64.载荷Base64”做加密计算生成，用于验证令牌未被篡改，签名密钥不对外暴露。2.防重放攻击措施：令牌有效期控制：将JWT的有效期设置为15-30分钟，同时搭配有效期7天的刷新令牌，令牌过期后需使用刷新令牌换取新JWT，降低被窃取后的可用时长；请求流水号校验：客户端每次请求携带全局唯一且递增的nonce参数，服务端存储最近1小时内已使用的nonce，若请求携带的nonce已存在则判定为重放攻击，直接拒绝。问题31.身份证号、银行卡号：需采用国密SM4算法加密存储，加密密钥由硬件密码机保管，密钥拆分多份由不同管理员管控；展示时做脱敏处理，仅显示前6位和后4位，中间替换为*。2.交易密码：需采用加盐慢哈希算法存储，禁止明文、普通哈希存储，要求使用bcrypt（成本因子≥12）或SM3哈希加盐（盐值长度≥16位，每个用户盐值唯一），哈希迭代次数≥1000次。3.账户余额：需支持完整性校验，存储时同时保存哈希校验值，校验值由“用户ID+余额+交易最后时间戳+全局秘密值”通过SM3计算生成，每次读取余额时先验证校验值一致性，防止数据库被篡改。问题41.校验方案设计：采用国密SM2签名+参数哈希联合校验，服务端为每个用户分配唯一的SM2密钥对，私钥存储在客户端安全元件（SE）或可信执行环境（TEE）中，公钥存储在服务端。2.校验流程：客户端发起转账请求时，将付款人ID、收款人ID、转账金额、交易时间戳四个参数按字典序排序拼接为字符串，用用户SM2私钥对字符串做签名，同时对拼接字符串做SM3哈希，将参数、签名、哈希值一并提交到服务端；服务端接收请求后，首先验证时间戳与服务端时间差是否在5分钟以内，超时则拒绝；其次按相同规则拼接参数计算SM3哈希，与客户端提交的哈希值对比，不一致则判定参数被篡改；最后使用用户公钥验证签名合法性，验证通过后执行转账操作，所有校验不通过均拒绝交易并记录异常日志。试题二参考答案问题11.核心差异：补丁验证要求不同：IT系统漏洞补丁可在测试环境验证后快速上线，工控系统补丁需先做兼容性测试，验证不影响PLC、SCADA的实时控制逻辑，且需在生产停机窗口部署，避免造成生产事故；漏洞扫描方式不同：IT系统可采用高频主动扫描探测漏洞，工控系统需采用被动流量探测为主、轻量级主动扫描为辅的方式，扫描频率不超过每月1次，避免扫描流量影响控制指令实时传输；风险处置优先级不同：IT系统优先处置CVSS评分高、互联网暴露的漏洞，工控系统优先处置位于控制区、可直接影响生产运行的漏洞，即使CVSS评分低但影响核心控制逻辑也需优先处置。2.PLC漏洞缓解措施：边界访问控制：在PLC所在控制区的边界部署工业防火墙，配置访问控制规则，仅允许指定的运维工作站IP访问PLC的44818等服务端口，禁止其他IP访问PLC的任何端口；流量异常监测：部署工控流量监测系统（IDS），建立PLC正常指令白名单，仅允许读取转速、调整参数的合法指令通过，阻断包含漏洞利用特征的异常指令流量；虚拟补丁：在工业防火墙或入侵防御系统（IPS）中配置CVE-2024-21508的漏洞利用特征规则，拦截所有尝试触发该漏洞的请求包，无需升级PLC固件即可防护漏洞。问题21.安全分区：将工控系统划分为生产控制区（包含PLC、SCADA服务器）、非控制生产区（包含historian数据库、运维工作站）、管理信息区（包含办公系统、工业互联网平台）三个安全区域，不同区域物理或逻辑隔离，该企业需将PLC、SCADA划入生产控制区，历史数据库划入非控制生产区，工业互联网平台划入管理信息区。2.网络专用：工控系统网络与办公网络物理隔离，控制区网络采用专用光纤布线，不与其他网络共用链路，配置独立的交换机、路由器设备，禁止通过办公网络访问工控系统。3.横向隔离：生产控制区与非控制生产区之间部署工业防火墙，配置白名单规则仅允许SCADA系统向历史数据库同步生产数据的流量通过；非控制生产区与管理信息区之间部署单向光闸，仅允许生产数据从非控制生产区单向同步到工业互联网平台，禁止任何反向流量进入控制区域。4.纵向认证：跨厂区的控制区数据传输采用国密SM2VPN加密隧道，两端部署纵向加密认证装置，对传输的控制指令做身份认证与加密，防止跨厂区传输过程中被篡改或窃取。问题31.PLC异常控制指令检测规则：白名单基线规则：基于历史流量建立PLC控制指令白名单，包含指令类型、参数范围、发起IP三个维度，当出现白名单外的指令、参数超出正常阈值（如发电机转速正常范围为3000-3600转/分钟，请求设置为5000转/分钟）、非白名单IP发起的控制指令时，触发告警；频率异常规则：统计正常运维时段PLC控制指令的调用频率（如正常每天调整转速指令不超过5次），当1小时内调整转速指令超过20次时，判定为异常攻击，触发告警并阻断流量。2.勒索病毒加密历史数据库攻击检测规则：文件操作异常规则：监测historian数据库存储目录的文件操作行为，当短时间内（10分钟）出现大量文件重命名、后缀修改为.locky/.crypt等勒索病毒特征后缀、文件加密哈希值批量变化时，触发告警；流量异常规则：监测数据库服务器的对外连接流量，当服务器主动连接境外IP、发起大量SMB445端口扫描请求、传输加密流量占比超过90%且无正常业务访问记录时，判定为勒索病毒外联行为，触发告警并切断网络连接。试题三参考答案问题11.外包开发人员管控策略：身份维度：绑定外包人员的企业微信身份、项目归属标签，身份有效期与外包合同期限一致，合同到期自动回收权限；环境维度：仅允许终端安装了终端检测与响应（EDR）、系统版本为最新安全补丁、未越狱/root的终端访问，仅允许公司办公网络或合规VPN网络接入，禁止公共网络访问；时间维度：配置访问时间策略，仅工作日9:00-18:00允许访问，其余时间所有访问请求直接拒绝；权限维度：配置代码仓库的操作权限，仅开放dev分支的读/写权限，主分支仅允许项目管理员操作，同时配置DLP规则，禁止单次上传超过100MB的代码包、禁止将代码转发到外部邮箱或外部存储地址。2.DBA运维管控策略：终端维度：仅允许绑定了设备指纹的公司配发运维终端访问，终端需开启磁盘加密、禁用USB接口，非运维终端所有访问请求直接拒绝；权限维度：仅开放生产数据库1521端口的访问权限，禁止访问其他端口、其他业务系统，每次访问需提前提交工单，由部门负责人+安全管理员双审批通过后临时开放权限，权限有效期不超过2小时，到期自动回收；审计维度：所有操作通过运维堡垒机执行，记录所有SQL操作日志，包含执行时间、操作人、SQL语句、返回结果，对删除表、修改核心表结构等高危操作实时告警，操作日志保存不少于180天。问题21.终端安全维度：终端未安装EDR扣20分，存在高危漏洞未修补扣15分，检测到病毒/木马程序扣40分，终端Root/越狱扣30分。2.身份异常维度：异地登录（非常用登录地）扣15分，非常用时间段登录扣10分，账号密码连续输错3次扣20分，存在账号共享行为扣30分。3.访问行为维度：访问非授权资源扣20分，单次下载超过100MB敏感数据扣25分，1小时内接口请求频率超过正常阈值3倍扣10分，存在高危操作（如删除生产数据）扣40分。4.环境风险维度：通过公共WiFi访问扣15分，IP地址被威胁情报标记为恶意IP扣30分，使用未备案的代理节点访问扣20分。5.历史合规维度：过往30天存在违规操作记录扣20分，过往90天存在数据泄露相关告警扣30分，未按时完成安全培训扣10分。试题四参考答案问题11.共享范围要求：公开数据：可面向社会公众公开，无访问限制；内部数据：仅允许政务部门内部工作人员访问，不得对外共享；敏感数据：仅允许因履职需要的特定政务工作人员、经过审批的合作单位访问，访问需做最小权限管控；绝密数据：仅允许指定的涉密人员访问，禁止任何形式的对外共享，访问需全程审计。2.社保数据共享接口防护措施：接口授权管控：所有接口采用OAuth2.0授权机制，接入方需提前申请接口权限，审批通过后分配唯一的AppID和AppSecret，每次请求需携带签名，服务端验证签名合法性后才允许访问，禁止未授权接入；访问限流控制：配置接口请求频率阈值，每个接入方每分钟请求不超过100次，单次查询最多返回10条数据，禁止批量遍历查询，当请求频率超过阈值时自动拉黑IP1小时；操作全审计：记录所有接口访问日志，包含接入方ID、查询参数、返回结果、访问时间、IP地址，日志保存不少于3年，定期审计访问行为，发现批量查询、查询非授权范围数据的行为立即回收接口权限。问题21.三类场景数据水印实现方式：结构化数据：针对数据库表中的每行数据，新增隐藏的水印字段，将访问用户ID、访问时间、部门编码等信息通过格式保持加密算法写入，不影响数据正常使用，如将用户ID编码插入到身份证号的特定位置，视觉上无变化但可提取溯源；非结构化数据：采用不可见数字水印技术，将用户身份信息、文件ID等信息嵌入到Word文档的字体间距、字符像素、元数据中，打印或转PDF后水印仍然存在，无法通过普通编辑手段去除；API接口传输：在接口返回的数据包中加入隐性水印，