2025年信息安全工程师考试真题及答案解析

2025年信息安全工程师考试真题及答案解析一、上午综合知识题（单选题，每题1分，共75分）1.信息安全CIA三元组指的是？A.机密性、完整性、可用性B.机密性、可控性、可用性C.完整性、可用性、不可否认性D.机密性、完整性、可审查性答案A2.下列属于非对称加密算法的是？A.DESB.AESC.RSAD.RC4答案C3.AES加密算法支持的密钥长度不包括？A.128位B.192位C.256位D.512位答案D4.下列算法中，属于散列（哈希）算法的是？A.RSAB.SHA-256C.3DESD.ECC答案B5.数字签名的主要目的是保证数据的？A.机密性和完整性B.不可否认性和完整性C.可用性和机密性D.完整性和可控性答案B6.在PKI体系中，负责签发数字证书的机构是？A.RAB.CAC.CRLD.VA答案B7.下列攻击手段中，属于被动攻击的是？A.篡改B.伪造C.窃听D.拒绝服务答案C8.SYNFlood攻击利用了TCP协议的哪个机制？A.三次握手B.四次挥手C.滑动窗口D.拥塞控制答案A9.防范SQL注入漏洞最有效的措施是？A.使用HTTPSB.隐藏数据库表名C.前端输入校验D.参数化查询答案D10.跨站脚本攻击（XSS）中，恶意代码通常在何处执行？A.服务器端B.客户端浏览器C.数据库中D.防火墙上答案B11.跨站请求伪造（CSRF）最常用的防御手段是？A.对输入进行过滤B.使用Anti-CSRFTokenC.禁用JavaScriptD.使用SSL/TLS答案B12.ARP欺骗攻击主要发生在网络架构的哪一层？A.物理层B.数据链路层C.网络层D.应用层答案B13.下列关于DMZ区的描述，正确的是？A.DMZ区用于放置核心数据库服务器B.DMZ区的安全级别通常高于内网C.DMZ区用于放置对外提供服务的服务器D.内网用户可以直接访问DMZ区的所有端口答案C14.IDS与IPS的主要区别是？A.IDS串联部署，IPS旁路部署B.IDS只能检测并报警，IPS能够直接阻断攻击C.IDS能够阻断攻击，IPS只能报警D.IDS工作在应用层，IPS工作在网络层答案B15.IPSec协议中，提供数据机密性服务的协议是？A.AHB.ESPC.IKED.SSL答案B16.SSL/TLS握手过程中，服务器发送给客户端的第一个消息通常是？A.ClientHelloB.ServerHelloC.CertificateD.ServerKeyExchange答案B17.等级保护2.0标准中，最高保护等级是？A.第三级B.第四级C.第五级D.第六级答案C18.等保三级信息系统要求至少多久进行一次等级测评？A.半年B.一年C.两年D.三年答案B19.在风险评估中，风险值的计算公式通常表示为？A.RB.RC.RD.R答案B20.风险评估的要素中，引起风险发生的外部因素被称为？A.资产B.脆弱性C.威胁D.影响答案C21.下列恶意代码中，主要特征是自我复制并通过网络传播的是？A.木马B.蠕虫C.逻辑炸弹D.后门答案B22.僵尸网络通常利用以下哪种技术控制大量主机？A.DDOSB.C&C服务器C.DNS劫持D.中间人攻击答案B23.APT攻击的最显著特征是？A.攻击范围广B.目标随机C.持续性和隐蔽性D.仅使用已知漏洞答案C24.以下哪种漏洞是指尚未公开且厂商尚未发布补丁的漏洞？A.0day漏洞B.1day漏洞C.Nday漏洞D.逻辑漏洞答案A25.在云安全责任共担模型中，云服务提供商（CSP）通常负责？A.虚拟机操作系统的安全配置B.云平台底层基础设施的安全C.用户上传数据的安全D.应用程序的代码安全答案B26.物联网面临的最常见的安全威胁是？A.量子计算破解B.设备固件被篡改或弱口令入侵C.SQL注入D.内部员工越权答案B27.区块链技术中，用于保证数据难以篡改的机制是？A.对称加密B.链式哈希结构C.访问控制D.数字水印答案B28.《中华人民共和国网络安全法》正式施行的时间是？A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2017年11月7日答案B29.《中华人民共和国密码法》规定，核心密码和普通密码用于？A.保护商业秘密B.保护国家秘密信息C.保护公民个人隐私D.保护企业网络通信答案B30.根据《数据安全法》，数据分级分类的基础是？A.数据的格式B.数据在经济社会发展中的重要程度以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度C.数据的存储介质D.数据的所有者类型答案B31.操作系统安全机制中，基于主体身份和访问控制列表的访问控制属于？A.强制访问控制（MAC）B.自主访问控制（DAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案B32.强制访问控制（MAC）模型中，主体的安全级别必须满足什么规则才能读取客体？A.向下读B.向上读C.同级读D.任意读答案A33.信息安全设计原则中，“只授予用户完成其任务所必需的最小权限”被称为？A.纵深防御原则B.最小特权原则C.职责分离原则D.失败安全原则答案B34.下列哪种技术用于防范缓冲区溢出攻击，通过随机化内存地址实现？A.DEPB.ASLRC.StackGuardD.SEA答案B35.蜜罐技术的主要作用是？A.阻断已知攻击B.捕获和分析攻击行为C.加密网络通信D.备份重要数据答案B36.下列关于Tor网络的描述，正确的是？A.Tor网络仅用于合法的匿名通信B.Tor通过多层加密和随机节点路由实现匿名性C.Tor网络无法被任何手段追踪D.Tor网络比普通VPN速度更快答案B37.数字取证过程中，为了保证证据的完整性，通常首先需要？A.关闭目标计算机B.计算证据的哈希值C.查看系统日志D.拔掉网线答案B38.应急响应的6个阶段（PDCERF）中，第一个阶段是？A.准备阶段B.发现阶段C.抑制阶段D.根除阶段答案A39.备份策略中，备份速度最快且占用空间最大的是？A.全量备份B.增量备份C.差异备份D.按需备份答案A40.衡量灾难恢复系统在灾难发生后恢复系统功能所需时间的指标是？A.RPOB.RTOC.MTBFD.MTTR答案B41.业务连续性计划（BCP）的核心目标是？A.恢复受损的数据B.保证关键业务在灾难后能够持续运行C.追查网络攻击来源D.检验系统的安全性答案B42.Nmap工具主要用于？A.漏洞扫描B.网络发现和端口扫描C.密码破解D.流量分析答案B43.漏洞扫描技术中，基于主机扫描的优点是？A.不需要在目标主机上安装代理B.能够发现更多的系统级漏洞C.扫描速度快，网络负载小D.可以穿过防火墙进行扫描答案B44.渗透测试中，模拟内部员工或已获得一定权限的攻击者进行测试的阶段是？A.黑盒测试B.白盒测试C.灰盒测试D.盲测答案C45.社会工程学攻击的核心手段是？A.利用软件漏洞B.利用网络协议缺陷C.利用人性的弱点D.利用硬件后门答案C46.下列哪种攻击通过伪造发件人地址发送电子邮件进行欺诈？A.钓鱼邮件B.垃圾邮件C.撞库攻击D.水坑攻击答案A47.攻击者在受害者经常访问的合法网站上植入恶意代码，这种攻击称为？A.水坑攻击B.鱼叉攻击C.勒索攻击D.拒绝服务攻击答案A48.旁路攻击主要是通过什么方式获取密码信息的？A.分析密文特征B.暴力破解密钥空间C.监测密码运算时的物理特征（如功耗、时间）D.窃听网络通信答案C49.防御重放攻击最常用的方法是？A.使用一次性令牌或时间戳B.增加密钥长度C.更改加密算法D.限制登录次数答案A50.中间人攻击（MITM）中，攻击者通常如何截获通信？A.破解非对称加密算法B.冒充合法节点与双方分别建立连接C.发送大量垃圾数据D.利用操作系统的0day漏洞答案B51.彩虹表主要用于破解？A.对称加密密钥B.哈希密码C.非对称加密私钥D.数字签名答案B52.在存储用户密码时，加入盐值的主要目的是？A.加快哈希计算速度B.防止彩虹表攻击C.缩短密码长度D.便于密码恢复答案B53.Kerberos认证协议中，票据授予票据（TGT）由哪个实体发放？A.客户端B.应用服务器C.密钥分发中心（KDC）的ASD.密钥分发中心（KDC）的TGS答案C54.实现单点登录（SSO）时，身份提供者和服务提供者之间常使用的协议是？A.HTTPB.FTPC.SAML或OAuth2.0D.TCP答案C55.OAuth2.0协议中，客户端获取的访问令牌代表？A.用户的用户名和密码B.用户对客户端的授权C.服务器的数字证书D.会话密钥答案B56.零信任架构的核心原则是？A.默认信任内网，不信任外网B.从不信任，始终验证C.仅依赖防火墙进行防御D.仅使用强密码认证答案B57.软件定义网络（SDN）的安全风险主要集中于？A.物理网络设备故障B.控制器的单点故障及北向接口的越权访问C.网线老化D.服务器硬件漏洞答案B58.Docker容器安全中，防止容器逃逸的主要手段是？A.禁止容器使用root用户运行，并使用安全沙箱B.公开容器镜像源C.赋予容器所有的内核capabilitiesD.禁用宿主机的防火墙答案A59.DevSecOps理念强调？A.在软件开发完成后统一进行安全测试B.将安全左移，融入开发和运维的每个环节C.仅由安全团队负责安全D.禁止开发人员访问代码答案B60.系统日志Syslog协议默认使用的端口和传输层协议是？A.TCP514B.UDP514C.TCP443D.UDP161答案B61.安全信息和事件管理（SIEM）系统的核心功能是？A.仅负责阻断网络攻击B.日志收集、关联分析和告警C.漏洞扫描与修复D.备份与恢复答案B62.下列哪种技术可用于保护大数据环境下的用户隐私？A.差分隐私B.SQL注入防护C.防火墙隔离D.端口扫描答案A63.机器学习在信息安全中的应用不包括？A.恶意代码检测B.异常流量识别C.替代所有传统加密算法D.垃圾邮件过滤答案C64.态势感知系统的核心能力是？A.绝对阻断一切网络攻击B.资产管理、安全监测、威胁情报分析和响应闭环C.取代安全管理员D.破解所有加密数据答案B65.威胁情报的主要作用是？A.提供已知漏洞的修复补丁B.提供关于现有或潜在威胁的上下文信息，帮助防御和检测C.彻底清除网络中的病毒D.替代防火墙规则答案B66.红蓝对抗演练中，蓝方通常代表？A.攻击方B.防守方C.裁判方D.中立方答案B67.在密码学中，将明文转换为密文的过程称为？A.解密B.加密C.哈希D.签名答案B68.椭圆曲线密码（ECC）相比RSA算法的优势是？A.破解更容易B.在相同安全强度下密钥长度更短，计算速度更快C.只能用于数字签名，不能用于加密D.不依赖于数学难题答案B69.下列哪种协议在传输层提供了数据加密和完整性校验？A.TLSB.HTTPC.IPD.ARP答案A70.下列关于WAF的描述，错误的是？A.WAF主要针对Web应用层攻击进行防护B.WAF能够有效防御SQL注入和XSSC.WAF可以完全替代传统防火墙D.WAF通常工作在应用层答案C71.端口镜像技术常用于？A.提升网络带宽B.将网络流量复制到监控设备进行安全分析C.阻断恶意流量D.加密数据传输答案B72.数据库安全中，防范用户越权访问的控制措施是？A.关闭数据库默认端口B.实施基于角色的访问控制（RBAC）C.定期备份数据库D.修改数据库名称答案B73.网络钓鱼攻击通常利用了人性的哪种弱点？A.贪婪与恐惧B.好奇心或对权威的信任C.懒惰D.嫉妒答案B74.下列哪项不属于日志审计的作用？A.事后追溯和取证B.发现异常行为C.满足合规性要求D.自动修复系统漏洞答案D75.在安全开发生命周期（SDLC）中，威胁建模通常在哪个阶段进行？A.设计阶段B.测试阶段C.发布阶段D.运维阶段答案A二、下午应用技术题（案例分析题，每题15分，共75分）1.某企业网络分为内网、外网和DMZ区。外网路由器连接互联网，防火墙隔离内网和DMZ区。DMZ区部署了Web服务器和邮件服务器，内网部署了数据库服务器。网络拓扑为：互联网->路由器->防火墙->（DMZ区：Web服务器；内网：数据库服务器）。为了保障安全，企业要求外网用户只能访问Web服务器的80和443端口，Web服务器需要访问内网数据库的3306端口，内网数据库严禁主动访问外网。问题1：简述DMZ区在网络架构中的作用。（5分）答案：DMZ（隔离区）的作用是将对外提供服务的公共服务节点与内部核心网络进行物理或逻辑隔离。通过将Web服务器、邮件服务器等易受攻击的系统放置在DMZ区，即使这些服务器被攻破，攻击者也无法直接穿透防火墙访问内网核心数据，从而提高了内网的安全性。问题2：为了允许外部用户访问Web服务器，同时满足最小权限原则，防火墙需要配置哪些安全规则？（5分）答案：防火墙需配置以下规则：（1）允许源地址为任意外网IP，目的地址为DMZ区Web服务器IP，协议为TCP，目的端口为80和443的访问流量通过。（2）拒绝其他所有外网到DMZ区及内网的访问流量。问题3：为了防止内部数据库服务器直接暴露在互联网上，同时满足Web服务器对数据库的调用需求，网络应如何进行路由和访问控制设计？（5分）答案：（1）路由设计：数据库服务器不配置公网IP，且在边界路由器和防火墙上不发布内网数据库的路由信息。（2）访问控制设计：在防火墙上配置严格的访问控制列表（ACL），仅允许源地址为DMZ区Web服务器IP，目的地址为内网数据库IP，目的端口为3306的流量通过；同时配置规则禁止内网数据库服务器主动向外网或DMZ发起连接。2.某公司内部系统使用数字证书进行身份认证，但近期部分员工反映无法登录系统。经查，CA服务器的根证书已过期，导致员工终端验证证书链失败。问题1：数字证书中通常包含哪些核心信息？（5分）答案：数字证书通常包含以下核心信息：证书版本、证书序列号、签名算法、证书颁发者（CA）名称、证书有效期（起止时间）、证书主体（持有者）名称、主体的公钥、CA的数字签名。问题2：简述客户端验证数字证书有效性的流程。（5分）答案：（1）客户端获取服务器证书及其证书链。（2）客户端使用本地受信任的CA根证书公钥，验证服务器证书链中每层证书的数字签名。（3）检查证书是否在有效期内。（4）检查证书的用途是否符合当前场景。（5）客户端通过CRL或OCSP检查该证书是否被吊销。问题3：为了防止证书被盗用，PKI体系提供了证书吊销机制。简述CRL和OCSP两种吊销验证方法的原理及其优缺点。（5分）答案：（1）CRL（证书吊销列表）：CA定期发布被吊销的证书列表，客户端下载该列表进行比对。优点是实现简单，适合离线环境；缺点是实时性差，且列表随时间增长可能变大，占用带宽。（2）OCSP（在线证书状态协议）：客户端实时向CA的OCSP服务器查询证书的吊销状态。优点是实时性强，节省带宽；缺点是必须在线查询，可能带来延迟，且OCSP服务器可能成为单点故障。3.某电商网站近期遭到攻击，用户数据被窃取。经查，网站登录页面存在SQL注入漏洞，且评论区存在存储型XSS。问题1：分析SQL注入漏洞产生的原因，并给出至少三种修复建议。（5分）答案：原因：Web应用程序在拼接SQL语句时，未对用户的输入进行严格的校验、过滤或转义，导致攻击者可以通过构造恶意输入改变原有SQL语句的逻辑。修复建议：（1）使用参数化查询或预编译语句。（2）对用户输入进行严格的白名单过滤和转义。（3）遵循最小权限原则，限制数据库用户的操作权限，禁止执行DROP等危险命令。（4）部署Web应用防火墙（WAF）进行规则拦截。问题2：存储型XSS的危害有哪些？如何进行防御？（5分）答案：危害：攻击者将恶意脚本提交并存储在服务器端（如数据库），当其他用户浏览相关页面时，恶意脚本会在用户浏览器中执行，可能导致会话劫持、网页篡改、重定向到恶意网站等。防御方法：（1）输入验证：对用户输入的数据进行严格验证，拒绝不符合预期格式的数据。（2）输出编码：在将用户数据输出到HTML页面前，对特殊字符进行HTML实体编码。（3）配置CSP（内容安全策略）策略，限制外部脚本加载。（4）设置Cookie属性为HttpOnly，防止恶意脚本读取Cookie。问题3：除了上述漏洞，Web应用还容易受到哪些常见攻击？（至少列举3种）（5分）答案：跨站请求伪造（CSRF）、文件上传漏洞、目录遍历、命令注入、服务端请求伪造（SSRF）。4.某企业内网一台Windows服务器被勒索软件加密，攻击者勒索比特币。企业立即启动应急响应，并要求安全团队进行处置与取证。问题1：应急响应的准备工作应包括哪些内容？（5分）答案：（1）制定应急响应计划（IRP），明确角色和职责。（2）建立应急响应团队，并进行定期演练。（3）准备应急响应工具包，如取证工具、流量抓包工具、恶意软件分析工具等。（4）部署基础安全设施，如日志审计系统、SIEM系统。（5）建立外部沟通渠道，如与公安机关、第三方安全厂商的联络机制。问题2：在事件发生后的遏制阶段，应采取哪些紧急措施防止勒索软件扩散？（5分）答案：（1）物理或逻辑隔离受感染的服务器，立即拔掉网线或断开网络连接。（2）在边界防火墙阻断已知的恶意IP或域名通信。（3）暂时关闭受影响系统的相关服务。（4）对受感染系统的内存和磁盘进行镜像备份，用于后续取证，但严禁在被加密的系统上直接运行杀毒软件，以免破坏取证线索或触发数据彻底销毁逻辑。（5）检查并隔离局域网内其他可能被感染的主机。问题3：在数字取证过程中，如何保证电子证据的合法性和