网络规划设计师安全专题习题（含答案）

网络规划设计师安全专题习题（含答案）1.网络安全的最小权限原则是指为用户分配其可申请到的最大权限范围，保障用户业务操作的流畅性。2.对称加密算法的加解密速度远快于非对称加密算法，更适合大体积业务数据的加密传输场景。3.入侵检测系统（IDS）采用串接方式部署在网络链路中，可对检测到的攻击行为进行主动阻断。4.依据网络安全等级保护2.0标准要求，第三级网络系统应当至少每年开展一次等级保护测评工作。5.SYN洪水攻击属于应用层分布式拒绝服务（DDoS）攻击，主要目标是耗尽目标服务器的应用进程资源。6.IPSecVPN的隧道模式会对完整的IP数据包进行加密封装，适合站点间的跨公网安全通信场景。7.零信任安全架构的核心逻辑是“永不信任、始终验证”，不再默认信任内网区域内的任何访问主体。8.通用漏洞评分系统（CVSS）中，评分为3.9的漏洞属于高危漏洞，需要企业第一时间完成修复。9.数字签名技术基于非对称加密体系实现，可有效保障通信过程的不可抵赖性。10.Web应用防火墙（WAF）工作在应用层，可有效识别并阻断SQL注入、XSS跨站脚本等Web层攻击行为。1.依据网络安全等级保护2.0标准，三甲医院的核心诊疗业务系统应当符合哪一级别的安全保护要求？A.第二级B.第三级C.第四级D.第五级2.以下密码算法中，属于非对称加密算法的是？A.AES-256B.SM4C.RSAD.SM33.以下访问控制模型中，基于用户所属角色分配权限，实现权限与角色的批量映射的是？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）4.企业Web业务系统频繁遭受SQL注入攻击，以下哪种安全设备可实现该类攻击的针对性防护？A.状态检测防火墙B.入侵检测系统（IDS）C.Web应用防火墙（WAF）D.上网行为管理系统5.企业漏洞管理过程中，确定漏洞修复优先级的核心依据是？A.漏洞的CVSS评分B.漏洞所属业务系统的重要性C.漏洞的公开时间D.漏洞的修复成本6.公钥基础设施（PKI）体系中，负责数字证书的签发、管理与吊销的核心机构是？A.注册机构（RA）B.认证中心（CA）C.证书吊销列表（CRL）D.轻量目录访问协议（LDAP）服务7.企业遭受大流量DDoS攻击时，以下哪种技术可实现恶意流量的识别清洗，保障正常业务流量的通行？A.黑洞路由B.流量清洗中心C.静态CDN加速D.关闭非必要服务端口8.企业数据分级分类规范中，一旦泄露会导致企业遭受严重经济损失、公众声誉显著受损的数据属于哪一级别？A.公开数据B.内部数据C.敏感数据D.核心数据9.网络安全应急响应PDCERF模型的首个工作阶段是？A.检测阶段B.准备阶段C.遏制阶段D.根除阶段10.云计算责任共担模型下，IaaS服务模式中用户不需要承担哪一项安全责任？A.上层应用系统的安全配置B.云服务器操作系统的补丁更新C.云数据中心物理基础设施的安全D.业务用户的访问权限控制1.以下属于常见Web应用层攻击类型的有？A.SQL注入攻击B.XSS跨站脚本攻击C.CSRF跨站请求伪造攻击D.ICMP洪水攻击2.以下属于多因素认证中不同认证因素的有？A.用户登录密码B.用户指纹信息C.用户所持有的USBKeyD.用户登录用户名3.传统下一代防火墙的常见部署模式包括？A.路由模式B.透明模式C.混合模式D.旁路监测模式4.网络安全等级保护2.0标准中，技术层面的安全要求包括以下哪些维度？A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全E.人员和管理安全5.零信任安全架构的核心技术组件包括？A.身份治理引擎B.持续信任评估模块C.动态访问控制引擎D.传统边界防火墙6.以下场景中适合使用非对称加密算法的有？A.10GB业务日志文件的加密存储B.通信双方的会话密钥协商C.业务报文的数字签名D.数字信封封装7.入侵防御系统（IPS）的核心功能包括？A.攻击行为的实时检测B.恶意流量的主动阻断C.安全事件的日志审计D.跨网段路由转发8.以下属于常见数据脱敏处理方法的有？A.敏感字段替换B.敏感信息掩码C.敏感数据加密D.冗余敏感字段删除9.网络安全应急响应的遏制阶段，可采取的合理措施有？A.切断攻击源的网络连接B.关闭受感染主机的风险端口C.全量修复所有系统漏洞D.备份受感染系统的关键数据10.工业控制系统安全相比传统IT系统安全的特殊性包括？A.业务实时性要求极高B.可用性优先级高于保密性C.工控设备生命周期普遍较长D.多采用通用Windows操作系统1.案例背景：某中型电商企业上线了面向C端的购物平台，近期监测到平台频繁遭受SQL注入攻击，多次出现用户订单信息被窃取的风险。该企业此前已在网络出口部署了状态检测防火墙、旁路入侵检测系统（IDS），但未能有效拦截该类攻击。请回答以下问题：（1）分析该企业现有安全设备无法有效防御SQL注入攻击的原因（3分）（2）请给出3种针对性的安全防护优化措施（3分）2.案例背景：某省属国有企业计划对核心业务系统开展等级保护三级测评，信息中心负责人认为只要部署齐全防火墙、IPS、WAF、漏洞扫描等安全设备，就可以满足等保三级的测评要求，不需要额外开展管理类安全建设。请回答以下问题：（1）判断该负责人的认知是否正确，并说明理由（2分）（2）请列出等保三级要求的3项核心管理类安全措施（4分）3.案例背景：某制造企业采用混合云架构，核心生产管理系统部署在本地IDC，办公系统、客户管理系统部署在公有云IaaS平台。近期安全审计发现存在多起跨云未授权访问事件，经溯源确认是运维人员使用弱密码访问云资源，且跨云访问未做统一的权限管控。请回答以下问题：（1）分析该企业在身份与访问管理层面存在的主要不足（3分）（2）请给出2种针对性的安全优化方案（3分）1.零信任安全架构是当前企业网络安全建设的主流方向，相比传统基于边界的安全架构有显著的适配性优势。请结合网络规划设计师安全建设要求，论述零信任架构的核心设计理念，以及企业在现有传统安全体系基础上落地零信任架构的主要实施步骤。2.依据《网络安全法》要求，我国企业需严格落实网络安全等级保护制度，针对符合等保三级要求的企业核心业务系统，请论述企业在日常安全运营过程中需要落地的核心技术与管理要求，以及如何保障这些要求的持续有效运行。---标准答案及解析一、判断题答案及解析1.参考答案：错误解析：最小权限原则是指为用户分配完成其岗位职责所需的最小权限范围，而非最大权限，避免权限滥用带来的安全风险。2.参考答案：正确解析：对称加密算法采用相同密钥加解密，运算复杂度低，速度远快于非对称加密，适合大体积数据加密场景；非对称加密适合密钥协商、数字签名等小数据量场景。3.参考答案：错误解析：IDS采用旁路部署模式，仅能对镜像流量进行检测告警，无法主动阻断攻击；串接部署、可主动阻断攻击的是入侵防御系统（IPS）。4.参考答案：正确解析：等保2.0标准明确要求，第三级系统每年开展至少1次测评，第二级系统每2年开展至少1次测评。5.参考答案：错误解析：SYN洪水攻击属于传输层DDoS攻击，利用TCP三次握手漏洞耗尽目标主机的半连接队列资源，而非应用层攻击。6.参考答案：正确解析：IPSecVPN隧道模式封装整个IP数据包，传输模式仅封装IPpayload，隧道模式更适合站点间跨公网通信场景。7.参考答案：正确解析：零信任架构打破传统“内网默认可信”的逻辑，对所有访问主体无论内外网位置，都需要进行持续身份验证与权限校验。8.参考答案：错误解析：CVSS评分标准中，0-3.9分为低危漏洞，4-6.9分为中危漏洞，7-8.9分为高危漏洞，9-10分为严重漏洞，3.9属于低危漏洞，无需第一时间修复。9.参考答案：正确解析：数字签名使用签名方私钥加密摘要，验签方使用公钥解密验证，只有私钥持有者可生成合法签名，可实现不可抵赖性。10.参考答案：正确解析：WAF工作在OSI七层模型的应用层，可对HTTP/HTTPS流量进行深度解析，识别并阻断SQL注入、XSS等Web层攻击。二、单项选择题答案及解析1.参考答案：B解析：等保2.0标准中，三甲医院核心诊疗系统、中型电商平台、省属国企核心业务系统等属于第三级保护对象，第四级适用于国家重要领域核心系统，第五级适用于国家关键核心系统。2.参考答案：C解析：AES-256、SM4属于对称加密算法，SM3属于国产哈希算法，RSA属于非对称加密算法。3.参考答案：C解析：DAC由资源所有者自主分配权限，MAC由系统强制分配权限，RBAC基于角色映射权限，ABAC基于用户、资源、环境等多属性动态分配权限。4.参考答案：C解析：状态检测防火墙工作在网络层/传输层，无法解析应用层流量内容；IDS仅能告警无法阻断；WAF可针对Web应用层攻击做针对性防护；上网行为管理主要用于管控用户上网行为。5.参考答案：B解析：漏洞修复优先级需首先考虑漏洞所在业务系统的重要性，相同CVSS评分的漏洞，核心业务系统的修复优先级远高于非核心测试系统。6.参考答案：B解析：RA负责证书注册信息审核，CA负责证书签发、管理与吊销，CRL用于存储吊销的证书列表，LDAP用于证书信息的查询存储。7.参考答案：B解析：黑洞路由会将所有访问目标的流量全部丢弃，会导致正常业务中断；流量清洗中心可识别并清洗恶意流量，仅转发正常流量；CDN主要用于静态资源加速，无法清洗大流量DDoS；关闭端口无法解决大流量攻击问题。8.参考答案：C解析：公开数据对外公开无泄露风险，内部数据泄露仅造成轻微影响，敏感数据泄露造成严重影响，核心数据泄露造成特别重大的毁灭性影响。9.参考答案：B解析：PDCERF模型的阶段顺序为准备、检测、遏制、根除、恢复、总结，首个阶段为准备阶段，主要完成应急队伍、工具、预案等资源准备。10.参考答案：C解析：IaaS模式下，云厂商负责物理基础设施、虚拟化层的安全，用户负责操作系统、应用、数据、访问控制等上层安全。三、多项选择题答案及解析1.参考答案：ABC解析：ICMP洪水攻击属于网络层DDoS攻击，其余三项均为Web应用层常见攻击类型。2.参考答案：ABC解析：多因素认证的三类因素分别为“你知道的（如密码）、你有的（如USBKey）、你是谁（如指纹）”，用户名仅为身份标识，不属于认证因素。3.参考答案：ABC解析：下一代防火墙常见部署模式为路由模式、透明模式、混合模式，旁路监测是IDS的典型部署模式。4.参考答案：ABCD解析：等保2.0技术层面要求包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个维度，人员和管理安全属于管理层面要求。5.参考答案：ABC解析：零信任核心组件包括身份治理、持续信任评估、动态访问控制，传统边界防火墙是基于边界的安全架构的核心组件，不属于零信任核心组件。6.参考答案：BCD解析：非对称加密运算速度慢，不适合大文件加密，适合密钥协商、数字签名、数字信封等小数据量场景。7.参考答案：ABC解析：IPS核心功能为攻击检测、主动阻断、日志审计，路由转发是路由器、防火墙的核心网络功能，不属于IPS的核心安全功能。8.参考答案：ABCD解析：替换、掩码、加密、删除均为当前主流的敏感数据脱敏处理方法。9.参考答案：ABD解析：遏制阶段的核心目标是阻止攻击扩散，切断攻击源、关闭风险端口、备份关键数据均属于该阶段措施，全量修复漏洞属于根除阶段的工作内容。10.参考答案：ABC解析：工控系统实时性要求高，业务中断损失远大于数据泄露损失，因此可用性优先级高于保密性，工控设备生命周期普遍可达10年以上，多采用专用嵌入式操作系统，而非通用Windows系统。四、案例分析题答案及评分标准1.参考答案（1）原因：①状态检测防火墙工作在网络层/传输层，无法解析HTTP流量中的SQL注入特征（1分）；②IDS为旁路部署，仅能告警无法主动阻断攻击流量（1分）；③现有安全设备缺少应用层流量的深度检测与防护能力（1分）。（2）优化措施：①在Web业务前端部署Web应用防火墙（WAF），配置SQL注入防护规则（1分）；②对业务系统的代码做安全审计与漏洞修复，预编译SQL语句，避免SQL注入风险（1分）；③开展定期的Web渗透测试，及时发现并修复业务系统的应用层漏洞（1分）。评分标准：踩点给分，表述合理即可酌情给分。2.参考答案（1）该负责人认知错误（1分），等保2.0要求包括技术和管理两个层面，仅部署安全设备无法满足管理层面的测评要求，无法通过等保三级测评（1分）。（2）管理类措施：①建立完善的网络安全管理制度体系，包括安全审计、漏洞管理、应急响应等专项制度（1.5分）；②设置专门的网络安全管理岗位，配备专职安全管理人员，核心岗位实现双人双岗（1.5分）；③定期开展全员网络安全培训、应急演练，每年至少开展1次等保测评（1分）。评分标准：管理措施合理即可酌情给分，列出任意3项核心管理措施即可得满分。3.参考答案（1）不足：①未建立统一的身份权限管理体系，本地与云资源的账号权限独立管控，存在权限盲区（1分）；②未落实密码复杂度要求，运维人员使用弱密码，存在账号被盗风险（1分）；③未对跨云访问行为做审计与访问控制，无法识别未授权访问行为（1分）。（2）优化方案：①部署统一身份认证（SSO）系统，实现本地与云资源的统一身份管理与权限管控，所有访问采用多因素认证（1.5分）；②配置云访问安全代理（CASB），对所有跨云访问行为做细粒度权限控制与安全审计，识别异常访问行为（