2026年终端安全防护练习题及答案

2026年终端安全防护练习题及答案1.某企业员工使用本地部署的生成式AI终端处理办公文档，下列防护措施中最能有效防止训练投毒导致的敏感数据泄露的是（）A.对AI终端开启端口入侵检测B.对输入文档做敏感信息脱敏后再导入AI模型C.禁止AI终端接入外部网络D.定期更新AI模型特征库答案：B解析：2026年本地生成式AI终端逐步普及，训练投毒攻击会诱导模型记忆训练数据中的敏感信息，当后续用户输入类似查询时就会输出敏感内容，提前对输入AI的文档做敏感脱敏，从源头切断了敏感信息被模型记忆的可能。A选项端口入侵检测针对网络层攻击，对AI投毒导致的泄露无效；C选项断网不能防止已经导入的敏感数据被模型输出；D选项更新特征库只能检测已知投毒，对未知投毒防护效果远不如源头脱敏。2.零信任架构下的终端安全防护核心逻辑是哪一项（）A.内网终端默认可信B.持续验证永不信任C.基于角色一次性授权D.仅防护边界外的终端访问答案：B解析：零信任的核心原则就是持续验证永不信任，无论终端处于内网还是外网都默认不可信，需要持续进行身份、环境、行为的验证。A是传统边界防护的逻辑；C选项零信任不是一次性授权，是动态持续授权；D选项零信任防护所有访问，无论终端所处位置，因此选B。3.针对新型的基于物理接触的冷启动攻击，下列防护方案中有效性最高的是（）A.禁用主板USB端口B.设置BIOS开机密码C.对全盘采用加密且密钥绑定硬件TPM2.0芯片D.安装终端杀毒软件并实时扫描外接存储答案：C解析：冷启动攻击是指攻击者通过物理接触终端，短时间内导出内存中的加密密钥从而窃取全盘数据，全盘加密且将密钥存储在TPM2.0芯片内部，攻击者即使获取终端存储介质也无法读取加密数据，也无法导出绑定硬件的密钥。A选项禁用USB端口无法阻止攻击者拆取存储硬盘；B选项BIOS密码可以通过短接主板清除；D选项杀毒软件只能扫描存储介质的病毒，对冷启动物理攻击无效，因此选C。1.2026年AI大模型终端普及后，衍生出哪些新型终端安全风险（）A.提示注入攻击诱导终端AI窃取本地存储的敏感文档B.木马通过AI生成的无特征钓鱼文档绕过传统终端EDR检测C.第三方AI终端自动收集用户输入数据回流到模型厂商服务器D.终端AI运行时占用过高CPU资源导致蓝屏死机答案：ABC解析：提示注入攻击是生成式AI终端的典型新型攻击，攻击者通过构造特殊提示绕过AI对齐限制，诱导AI读取本地敏感文件外传；AI生成的恶意内容没有传统病毒的特征码，传统基于特征检测的EDR很难识别钓鱼文档中的恶意逻辑；很多面向C端和中小B的生成式AI终端默认会收集用户输入内容回传到厂商服务器用于模型迭代，造成敏感数据泄露；D选项属于终端资源运行问题，不属于安全风险范畴，因此正确选项为ABC。2.下列属于2025年后EDR-XDR一体化终端防护体系新增的核心能力有（）A.AI驱动的用户行为异常分析B.跨终端跨应用的威胁关联分析C.传统病毒特征码匹配查杀D.生成式AI辅助的威胁溯源与自动响应剧本生成答案：ABD解析：2025年后XDR结合生成式AI完成技术升级，新增了AI异常行为分析、跨节点威胁关联、AI辅助溯源响应这些能力，能够有效检测新型无特征攻击；传统特征码查杀是二十年前传统杀毒软件就具备的基础能力，不属于新增的核心能力，因此选ABD。1.所有移动终端的远程擦除功能都可以100%清除终端存储的所有敏感数据，因此丢失终端后只要触发远程擦除就不会发生数据泄露。（）答案：错误解析：当移动终端处于离线状态、存储芯片损坏、攻击者提前获取root权限破坏远程擦除模块时，远程擦除都无法正常执行；部分低端终端的加密方案不完善，擦除后残留的数据仍然可以被技术恢复，因此不能默认远程擦除后绝对不会发生泄露，企业需要提前要求终端对敏感数据做加密存储，员工丢失设备后第一时间回收对应账号的权限。2.对于BYOD（自带设备办公）场景，终端安全防护的核心是做好设备准入控制和数据隔离，既防止个人设备上的恶意程序扩散到企业内网，也避免企业数据泄露到个人存储区域。（）答案：正确解析：BYOD场景下企业无法完全管控个人设备的全生命周期，核心防护逻辑就是在准入环节验证设备安全状态，通过容器化技术实现企业数据和个人数据的隔离，既阻断恶意攻击进入企业内网，也防止企业数据被个人随意导出泄露，符合当前BYOD防护的核心要求。某互联网公司共200名研发人员，全员允许自带笔记本办公，可直接接入公司内网，近期发生一起数据泄露事件：一名研发员工的个人笔记本感染了木马，木马窃取了该员工本地存储的核心项目源码，该员工的笔记本同时接入了个人WiFi和公司内网，木马还横向扫描了内网其他研发终端，下载了多个未公开项目的核心文档。请回答以下两个问题：问题1：该公司现有BYOD防护体系存在哪些漏洞？问题2：请给出针对性的整改防护方案。答案：问题1：存在的漏洞主要有四点：①未设置BYOD设备的安全准入机制，允许未安装企业终端防护Agent、存在已知安全风险的个人设备直接接入核心内网；②未对企业数据和个人数据做隔离防护，核心源码直接存储在个人终端的可随意访问的个人存储区域，没有加密管控；③未对BYOD设备做内网访问权限管控，个人设备接入内网后可以随意访问其他员工终端的共享资源，没有做微隔离限制，给了攻击横向扩散的空间；④未对终端异常出站行为做监测，木马向外传输大量敏感源码的过程没有被及时发现和阻断。问题2：针对性整改方案如下：①部署零信任接入体系，所有BYOD设备必须安装企业终端安全Agent，验证设备不存在恶意程序、系统高危补丁更新完成、满足安全基线要求后，才能授予对应岗位的内网访问权限，未达标设备仅能访问企业虚拟桌面的资源，无法接入核心内网；②采用容器化数据隔离方案，要求所有企业核心数据都必须存储在加密的企业容器空间内，个人应用无法读取容器内的数据，同时禁止容器内数据直接导出到个人存储区域，从源头防止数据泄露；③部署内网微隔离策略，对BYOD设备仅开放其岗位业务所需的服务和资源访问权限，默认