2026年信息安全工程师专业技术真题及答案

2026年信息安全工程师专业技术真题及答案一、单项选择题1.关于《中华人民共和国网络安全法》中网络运营者的安全保护义务，以下描述错误的是（）。A.网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。B.网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于三个月。C.网络运营者为用户办理网络接入服务，应当要求用户提供真实身份信息。D.网络运营者发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。答案：B解析：《网络安全法》第二十一条规定，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。因此B项“不少于三个月”是错误的。2.在PKI体系中，负责签发和撤销数字证书的实体是（）。A.注册机构（RA）B.证书持有者C.证书库D.证书认证中心（CA）答案：D解析：证书认证中心（CA）是PKI的核心执行机构，负责数字证书的签发、更新、撤销和管理。注册机构（RA）负责受理用户的证书申请、审核用户身份，但不签发证书。3.Bell-LaPadula模型是一种基于（）的安全模型。A.完整性B.可用性C.机密性D.不可否认性答案：C解析：Bell-LaPadula模型是第一个形式化的多级安全模型，其核心是防止信息从高安全级流向低安全级，主要目标是保护信息的机密性。4.在风险评估过程中，计算风险值的常用公式是（）。A.风险值=资产价值×脆弱性严重程度B.风险值=威胁发生的可能性×脆弱性严重程度C.风险值=资产价值×威胁发生的可能性×脆弱性严重程度D.风险值=资产价值×威胁发生的可能性答案：C解析：在定量的风险评估方法中，风险值通常被量化为三个因素（资产价值、威胁可能性、脆弱性严重程度）的乘积或其函数关系，以综合反映风险大小。5.以下哪种攻击属于典型的被动攻击？（）A.拒绝服务攻击B.中间人攻击C.流量分析D.缓冲区溢出攻击答案：C解析：被动攻击是指攻击者在不干扰系统正常运行的情况下，进行窃听、截获、流量分析等，以获取信息内容或通信模式。流量分析即属于此类。其他选项均涉及对系统的主动干扰或破坏，属于主动攻击。6.关于AES加密算法，以下说法正确的是（）。A.AES是一种非对称加密算法。B.AES的分组长度固定为128位，密钥长度只能是128位。C.AES的轮数取决于密钥长度，密钥为128位时，轮数为10轮。D.AES是基于Feistel网络结构设计的。答案：C解析：AES是对称分组加密算法，分组长度固定为128位，密钥长度可以是128、192或256位，对应的轮数分别为10、12、14轮。AES采用的是置换-排列网络（SPN）结构，而非Feistel结构。7.在安全开发生命周期（SDL）中，要求在设计阶段识别和缓解潜在安全威胁的活动是（）。A.渗透测试B.威胁建模C.代码审计D.模糊测试答案：B解析：威胁建模是SDL的核心活动之一，通常在软件设计阶段进行。它通过系统化地识别、量化和缓解潜在的安全威胁，帮助设计更安全的系统架构。8.某公司网络管理员发现内部服务器存在一个高危漏洞，但该服务器承载的业务非常重要，暂时无法停机修复。此时最合适的风险处置措施是（）。A.风险规避B.风险降低C.风险转移D.风险接受答案：B解析：风险降低是指采取技术或管理措施降低风险发生的可能性或影响。在无法立即修复（规避）的情况下，可以通过部署防火墙规则、入侵检测系统、加强监控等补偿性控制措施来降低漏洞被利用的风险，这属于风险降低。9.以下关于数字签名与消息认证码（MAC）区别的描述，错误的是（）。A.数字签名可以提供不可否认性，而MAC不能。B.数字签名通常基于非对称密码技术，MAC基于对称密码技术。C.数字签名的验证需要公钥，MAC的验证需要共享密钥。D.数字签名的计算速度通常比MAC快。答案：D解析：由于非对称加密运算（如RSA）比对称加密运算（如AES-HMAC）复杂得多，因此数字签名的生成和验证速度通常远慢于MAC的计算和验证速度。D项描述错误。10.Kerberos协议中，用于向用户分发会话密钥，并允许用户向特定服务器证明身份的票据是（）。A.票据授予票据（TGT）B.服务票据（ST）C.身份认证票据（AT）D.密钥分发中心票据（KDCTicket）答案：B解析：在Kerberos协议中，用户从票据授予服务（TGS）获得的是服务票据（ST），其中包含客户端与目标服务器之间的会话密钥。用户使用ST向目标服务器请求服务，以证明自己的身份。二、多项选择题11.根据等级保护2.0的要求，以下属于安全计算环境控制点的安全要求有（）。A.身份鉴别B.安全审计C.边界防护D.入侵防范E.数据完整性答案：A,B,D,E解析：安全计算环境针对网络设备、主机系统、数据库、中间件和应用系统等，其控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性、数据保密性等。边界防护属于安全区域边界控制点。12.以下哪些技术或协议可用于实现虚拟专用网络（VPN）？（）A.IPsecB.SSL/TLSC.PPTPD.BGPE.MPLS答案：A,B,C,E解析：IPsec是网络层VPN标准协议；SSL/TLS可用于实现应用层（或传输层）的SSLVPN；PPTP是一种较早的二层隧道协议；MPLS本身不是加密协议，但MPLSVPN是一种基于标签交换的广域网VPN技术。BGP是边界网关协议，用于互联网路由，本身不直接提供VPN功能（尽管可用于MP-BGP支持VPNv4）。13.在Web应用安全中，以下哪些措施可以有效防范SQL注入攻击？（）A.使用存储过程B.对用户输入进行严格的过滤和转义C.使用参数化查询（预编译语句）D.在数据库端部署Web应用防火墙（WAF）E.将数据库错误信息详细地展示给前端用户答案：A,B,C解析：A（存储过程，如果正确使用）、B（输入处理）、C（参数化查询）都是从代码层面防范SQL注入的根本性措施。D选项，WAF是一种边界防护设备，可以作为补偿性控制，但不能根除漏洞，且题目问的是“有效防范”，代码层面措施更根本。E选项会泄露敏感信息，增加风险，是错误做法。14.关于入侵检测系统（IDS）与入侵防御系统（IPS），以下说法正确的有（）。A.IDS系统通常采用旁路部署，IPS系统通常采用串联部署。B.IDS主要功能是检测和报警，IPS主要功能是检测和实时阻断。C.IPS可能成为网络的单点故障或性能瓶颈。D.所有的IDS技术都可以无缝升级为IPS。E.基于网络的NIDS可以检测到加密流量内部的有效载荷攻击。答案：A,B,C解析：A、B、C是IDS和IPS在部署模式、功能和潜在影响上的主要区别。D错误，并非所有IDS都具备实时、精确阻断的能力，升级为IPS需考虑性能和误报率。E错误，NIDS对于加密流量（如HTTPS）的载荷内容无法直接解密检测，除非部署SSL解密设备。15.以下属于社会工程学攻击方式的有（）。A.钓鱼邮件B.尾随进入物理安全区域C.利用公开信息进行身份伪装D.对系统进行端口扫描E.水坑攻击答案：A,B,C,E解析：社会工程学攻击是利用人的心理弱点（如信任、好奇、恐惧）来获取信息或访问权限。A、B、C、E均是利用人际交互或人的行为漏洞进行的攻击。D选项端口扫描是纯粹的技术探测行为。三、填空题16.在访问控制模型中，主体依据“需要知道”的原则被授予客体访问权限的模型是________模型。答案：基于角色（或RBAC）解析：基于角色的访问控制（RBAC）通过角色将权限与用户关联，可以方便地实现最小权限原则（需要知道原则）和职责分离。17.根据《信息安全技术个人信息安全规范》（GB/T35273），个人信息控制者向他人提供个人信息时，应单独向个人信息主体告知接收方的身份、联系方式、处理目的、方式等，并征得个人信息主体的________。答案：明示同意解析：该规范要求，在共享、转让、公开披露个人信息时，除特殊情况外，应事先征得个人信息主体的明示同意。18.在密码学中，确保发送方不能否认其曾经发送过某条消息及其内容的特性称为________。答案：不可否认性（或抗抵赖性）解析：不可否认性（Non-repudiation）是信息安全的基本属性之一，通常通过数字签名等技术实现。19.SHA-256算法输出的哈希值长度为________位。答案：256解析：SHA-256是SHA-2系列中的一种，输出固定为256位（32字节）的哈希值。20.在网络安全应急响应中，通常将事件处置流程分为准备、检测与报告、________、恢复、总结改进等阶段。答案：抑制与根除（或遏制与根除）解析：应急响应生命周期通常包括：准备、检测与分析、遏制与根除、恢复、事后总结。题目中已给出其他阶段，此处应填“抑制与根除”或“遏制与根除”。四、简答题21.简述对称加密与非对称加密的主要区别，并各列举一个典型算法。答案：主要区别：（1）密钥使用：对称加密使用相同的密钥进行加密和解密；非对称加密使用一对数学上相关的密钥，即公钥和私钥，公钥用于加密或验证签名，私钥用于解密或生成签名。（2）性能：对称加密算法计算开销小，速度快，适合加密大量数据；非对称加密算法计算复杂，速度慢，不适合直接加密大量数据。（3）密钥分发：对称加密的密钥分发是主要的安全挑战；非对称加密的公钥可以公开分发，私钥保密，解决了密钥分发问题。（4）主要用途：对称加密主要用于数据的加密保护；非对称加密主要用于密钥交换、数字签名和少量数据的加密。典型算法：对称加密算法如AES（高级加密标准）；非对称加密算法如RSA。22.什么是缓冲区溢出攻击？其根本原因是什么？请列举两种常见的防范措施。答案：缓冲区溢出攻击是指攻击者通过向程序的缓冲区（通常是栈或堆）写入超出其预定长度的数据，从而覆盖相邻的内存区域，破坏程序的正常执行流程，并可能执行恶意代码的攻击方式。根本原因是：程序在读写缓冲区前，没有进行严格的边界检查。常见防范措施（列举两种即可）：（1）安全编码：在开发阶段使用安全的函数（如`strncpy`替代`strcpy`），并进行严格的输入验证和边界检查。（2）编译时保护：使用编译器的安全特性，如栈保护技术（StackCanaries）、数据执行保护（DEP/NX）、地址空间布局随机化（ASLR）等。（3）运行时保护：使用操作系统或硬件提供的安全机制，如DEP（防止数据段执行代码）、ASLR（随机化内存地址）。（4）代码审计与渗透测试：通过人工或自动化工具检查代码中的溢出漏洞。23.简述在信息安全等级保护工作中，定级阶段的主要工作步骤。答案：根据《信息安全技术网络安全等级保护定级指南》（GB/T22240），定级阶段的主要工作步骤包括：（1）确定定级对象：明确需要定级的网络和信息系统。（2）初步确定等级：从业务信息安全和系统服务安全两个方面，分析受到破坏时所侵害的客体（公民、法人和其他组织的合法权益，社会秩序、公共利益，国家安全）及对客体造成的侵害程度（一般损害、严重损害、特别严重损害），综合判定安全保护等级。（3）专家评审：对于初步确定为第二级及以上的系统，应组织专家进行评审。（4）主管部门审核：将定级结果报请行业主管部门或上级主管部门进行审核。（5）公安机关备案：最终确定等级后，到所在地公安机关办理备案手续。五、综合应用题24.【应用场景】某大型互联网公司计划对其核心在线支付系统进行安全架构升级。该系统采用典型的Web三层架构（Web服务器、应用服务器、数据库服务器），处理大量敏感支付数据。目前面临的主要安全威胁包括：Web应用攻击（如SQL注入、XSS）、DDoS攻击、数据泄露、内部人员滥用权限等。【问题】（1）请为该支付系统设计一套纵深防御的安全架构，至少涵盖网络层、主机层、应用层和数据层，并说明各层拟部署的关键安全技术或措施。（2）为了应对DDoS攻击，除了增加带宽外，还可以从哪些方面进行防护？请至少提出三种技术或策略。（3）为防止内部运维人员滥用权限导致数据泄露，请设计一套基于最小权限和权限管控的解决方案。答案：（1）纵深防御安全架构设计：网络层：部署下一代防火墙（NGFW），实现基于应用的访问控制、入侵防御（IPS）。在网络边界部署抗DDoS设备或接入云清洗服务。划分安全域，将Web区、应用区、数据库区进行逻辑或物理隔离，通过防火墙策略严格控制区域间访问。部署网络入侵检测系统（NIDS）进行全流量威胁检测。建立安全的远程访问通道（如IPsecVPN或零信任网络访问）。主机层：所有服务器安装主机入侵检测/防御系统（HIDS/HIPS）。部署统一端点安全（EPP/EDR）软件，包括防病毒、漏洞管理、行为监控。实施严格的操作系统安全加固（如最小化服务、强密码策略、定期漏洞修补）。对服务器进行文件完整性监控（FIM）。应用层：在Web服务器前端部署Web应用防火墙（WAF），防御OWASPTop10攻击。在软件开发全生命周期嵌入安全（DevSecOps），进行代码安全审计、依赖组件扫描、动态应用安全测试（DAST）。对应用系统实施身份认证、会话管理、访问控制、安全审计、输入输出验证等安全功能。对API接口进行安全防护和流量管理。数据层：对数据库部署数据库审计与防护系统（DAP），监控和阻断异常查询。对存储在数据库和备份中的敏感支付数据（如卡号）进行加密（应用层加密或透明存储加密TDE）。实施严格的数据库访问控制，区分应用账户和管理账户。建立数据分类分级制度，并对不同级别的数据采取不同的保护措施。（2）应对DDoS攻击的防护措施（除增加带宽外）：流量清洗：在数据中心入口部署专用抗DDoS硬件设备，或使用运营商/云服务商提供的流量清洗服务，识别并过滤恶意流量，将正常流量回注。内容分发网络（CDN）：利用CDN的分布式节点分散攻击流量，隐藏源站IP。CDN提供商通常也具备一定的DDoS缓解能力。源IP信誉与速率限制：在防火墙、负载均衡器或应用层面，