2025年11月计算机技术与软件《中级信息安全工程师(下午卷)》试题真题及

2025年11月计算机技术与软件《中级信息安全工程师(下午卷)》试题真题及案例一（共20分）某省级政务服务平台2025年启动边界安全架构升级项目，当前平台覆盖省、市、县三级共127个政务部门业务系统，对外提供342项公共服务事项，对接公安、民政、人社等多个涉密/敏感政务子系统，此前多次出现针对平台边界的SQL注入、流量型DDoS攻击，原有边界采用传统“防火墙+WAF”的两层防护架构，漏报率高达17%，不符合等保2.0三级的最新防护要求。本次升级要求引入IPS、零信任访问控制组件、云抗D防护集群，构建“云-网-端”一体化的边界防护体系。问题1（6分）项目组采用STRIDE威胁模型对升级后的边界架构做威胁建模，请分别写出STRIDE六个字母对应代表的威胁类型名称，并指出其中哪两类威胁可以通过部署数字签名机制直接实现防护。问题2（4分）运维人员配置边界防火墙ACL规则时，先后设置了5条规则：①允许所有源地址访问目标端口80/443；②拒绝所有源地址访问目标端口22、3389；③允许政务内网段/8访问所有业务端口；④拒绝所有地址访问管理后台端口9090；⑤默认拒绝所有流量。上线后发现政务内网用户无法正常访问管理后台的运维端口，请指出规则配置的两处错误，并给出调整后的正确规则排序逻辑。问题3（4分）平台部署入侵防御系统（IPS）后，实测发现针对政务业务系统的变种SQL注入攻击存在11%的漏报率，请列出至少3项导致IPS漏报的核心技术原因，并给出对应的优化落地措施。问题4（3分）本次升级引入零信任访问控制架构替代传统的“基于网络位置信任”的边界防护逻辑，请结合该政务平台场景，说明零信任“持续验证、永不信任”原则的3项落地核心要求。问题5（3分）平台面临峰值带宽达500Gbps的流量型DDoS攻击风险，请说明“云清洗中心-本地抗D设备-服务器端流量清洗插件”三级DDoS防护体系的协同部署逻辑，满足大流量攻击下的业务可用性要求。案例一参考答案1.STRIDE六个威胁类型分别为：S（Spoofing，身份假冒）、T（Tampering，篡改数据）、R（Repudiation，否认行为）、I（InformationDisclosure，信息泄露）、D（DenialofService，拒绝服务）、E（ElevationofPrivilege，权限提升）。其中篡改数据、否认行为两类威胁可以通过部署数字签名机制直接防护：数字签名的防篡改特性可保证传输、存储的数据未被非授权修改，签名不可伪造特性可支撑行为溯源，避免操作主体否认已执行的操作。2.两处配置错误：一是规则排序逻辑错误，政务内网访问控制规则放在了拒绝22、3389端口规则之后，且管理后台端口的拒绝规则没有区分政务内网运维地址段；二是未给政务内网运维段开放管理后台端口9090的访问权限。调整后规则排序为：第一优先级允许政务内网运维指定IP段访问9090端口；第二优先级拒绝所有源地址访问9090端口；第三优先级允许政务内网段/8访问所有业务端口；第四优先级拒绝所有外部源地址访问22、3389端口；第五优先级允许所有源地址访问80/443端口；最后配置默认拒绝所有流量规则。3.IPS漏报核心原因及优化措施：①特征库更新不及时，变种攻击的特征未被纳入规则库，优化方案是开启IPS威胁情报联动能力，同步接入国家网络与信息安全信息通报中心的最新威胁特征，自定义添加政务行业专属攻击规则，将特征库自动更新周期配置为4小时；②深度包检测（DPI）深度不足，无法识别经过多层编码、分段传输的注入攻击报文，优化方案是开启IPS的应用层协议重组功能，针对HTTP、WebSocket等政务系统常用协议做全流量深度解析，启用协议异常校验规则；③误报率阈值配置过高，为了避免影响正常业务拦截大量合法流量，运维人员调低了攻击检测灵敏度，优化方案是在IPS上线前开展3轮以上的流量仿真测试，基于真实业务流量调优规则阈值，对存疑攻击流量先执行镜像告警，验证准确性后再启用拦截模式。4.零信任架构落地核心要求：一是所有访问主体无论处于政务内网还是外部公网，访问业务资源前都必须完成身份全维度认证，结合账号+终端环境校验+人脸核验的多因子认证模式，取消基于IP地址段的默认信任策略；二是针对每一项政务业务系统配置最小权限访问策略，基于岗位属性动态分配权限，实现业务访问权限的粒度细化到具体功能接口级别；三是对所有访问行为做持续的安全评估，基于访问主体的历史行为、终端风险等级、当前访问上下文动态调整访问权限，一旦发现异常行为立即触发权限降级、二次认证甚至会话中断响应。5.三级防护协同逻辑：当攻击流量带宽超过本地抗D设备的处理阈值时，由运营商引流将攻击流量全量调度至云端清洗中心，云清洗中心针对超大流量的UDP洪水、SYN洪水攻击做第一层粗清洗，将清洗后的合格流量回注至本地机房；本地抗D设备针对云清洗后的流量做第二层精细化清洗，识别过滤应用层的CC攻击、HTTP慢速攻击流量，将合法业务流量转发至业务服务器集群；服务器端部署的流量清洗插件针对到达服务器的残余攻击流量做最终校验，过滤绕过前两层防护的变形攻击报文，保证业务服务器的资源不被恶意流量占用。案例二（共18分）某高端装备制造企业2024年发生勒索病毒入侵事件，攻击者通过办公终端钓鱼邮件植入恶意代码，横向渗透至生产车间32台数控加工工控终端、2台核心业务ERP服务器，导致生产业务中断12小时，直接经济损失超700万元。为完成合规整改，企业启动全终端安全管控体系建设，部署EDR平台、终端准入系统、日志统一审计平台，满足《网络安全等级保护基本要求》GB/T22239-2019中关于终端安全、日志留存的强制性要求。问题1（4分）Windows操作系统默认的三类核心事件日志分别对应哪类场景的事件记录？请写出将Windows服务器安全日志留存周期配置为180天的具体操作路径，要求操作步骤可落地执行。问题2（5分）针对本次入侵事件中的勒索病毒攻击场景，请列出至少5项EDR系统可实现的行为级检测规则，在勒索病毒完成文件加密操作前实现精准拦截。问题3（4分）运维人员排查LinuxERP服务器配置时，发现开发人员误将/opt目录权限配置为777，同时服务器上存在多个非必要的SUID权限程序，请说明目录777权限配置的核心风险，以及排查Linux系统异常SUID权限程序的具体命令，列出至少3类可被攻击者用于本地提权的异常SUID程序。问题4（5分）企业办公终端包含普通办公PC、研发测试服务器、生产工控终端三类不同属性的终端，要求所有终端接入内网前必须完成安全合规校验，请对比802.1x准入、Portal准入、ARP准入、DHCP准入四种技术的适配性，选出最适合该工控场景的准入方案，并说明选型理由。案例二参考答案1.Windows三类核心事件日志：系统日志记录操作系统组件、服务运行产生的事件，包含驱动加载失败、服务异常重启等信息；安全日志记录系统账号登录、权限变更、资源访问等和安全审计相关的事件；应用程序日志记录业务软件、第三方服务运行过程中生成的事件信息。180天日志留存配置步骤：第一，打开服务器组策略编辑器，定位到“计算机配置-安全设置-事件日志”节点，设置安全日志最大存储容量为4GB，勾选“不覆盖事件，日志达到上限时自动归档”选项；第二，配置Windows自带任务计划，每天凌晨1点执行自动归档脚本，将前一天生成的安全日志备份至独立部署的日志审计服务器，禁止本地管理员权限用户随意删除、修改日志文件；第三，在域控上配置统一下发组策略，强制所有域内Windows服务器同步该配置，累计日志存储容量可支撑180天以上的全量安全日志留存要求，符合等保2.0三级日志不少于6个月的强制要求。2.勒索病毒行为级检测规则：一是检测单个进程短时间内对超过100个不同格式的文档文件执行加密修改操作的行为，拦截批量加密用户数据的恶意进程；二是检测进程在系统全局目录下批量修改文件后缀名，生成带特定勒索病毒后缀的新文件的行为；三是检测非系统进程恶意结束系统卷影拷贝服务（VSS），删除系统历史备份文件的操作行为；四是检测进程尝试修改系统桌面壁纸、在用户桌面自动生成勒索通知文档的行为；五是检测进程调用系统加密API，对磁盘全分区执行遍历加密操作的异常行为。3./opt目录配置为777权限的风险是所有登录服务器的本地用户都可以在该目录下任意创建、修改、删除文件，攻击者入侵服务器后可以直接放置后门程序、篡改业务执行代码，普通权限用户也可以替换该目录下的业务执行程序实现提权操作。排查异常SUID程序的命令为find/-perm-u=s-typef2>/dev/null，可被用于提权的异常SUID程序包括vim、bash、cat、passwd、nmap等普通业务场景下不需要配置SUID权限的程序。4.最适配该工控场景的准入方案为802.1x准入技术，选型理由：ARP准入、DHCP准入属于旁路模式准入，管控力度弱，攻击者可以通过修改静态IP地址、伪造MAC地址绕过准入校验，不适合高安全要求的工控场景；Portal准入需要在终端弹出认证页面，部分老旧工控终端硬件性能极低，不支持网页认证弹窗功能，无法兼容工控终端运行环境；802.1x准入基于交换机端口级别实现接入管控，只有终端完成合规校验之后交换机端口才会转发业务流量，兼容性强，支持老旧工控终端的账号认证模式，不会对工控业务的实时性传输造成额外延迟，完全适配工业控制网络的特殊运行要求。案例三（共19分）某头部共享出行平台用户规模突破2.3亿，2025年启动数据安全合规体系升级，此前第三方渗透测试发现平台用户行程查询接口存在未授权访问漏洞，攻击者只需篡改请求报文中的用户ID参数即可批量下载全量用户近3年的行程轨迹、支付记录、身份证号、手机号等敏感数据，漏洞暴露后平台按照《数据安全法》《个人信息保护法》要求完成数据安全整改，申请国家网信办的数据安全管理认证。问题1（5分）请阐述该行程查询接口存在未授权访问漏洞的核心成因，若该接口采用JWT做身份认证，写出两种典型的JWT校验绕过手段，并给出完整的漏洞修复方案。问题2（5分）请说明数据分类分级工作的标准执行流程，结合《网络安全数据分类分级指引》要求，对该出行平台的用户数据做定级划分，明确标注一般数据、重要数据、核心数据三类数据分别覆盖的具体范围。问题3（5分）平台需要将生产环境的用户数据导入开发测试环境供研发人员调试使用，要求原始敏感数据不能在测试环境明文留存，请分别针对用户身份证号、用户手机号、用户实时行程轨迹三类敏感数据选取适配的脱敏技术，保证脱敏后的数据既可以满足测试业务逻辑校验需求，又不会泄露真实用户隐私。问题4（4分）平台为满足境外上市主体的合规审计要求，计划将用户数据做匿名化处理后传输至境外关联公司，请结合《个人信息保护法》的要求，说明个人信息跨境提供的三类合法路径，判断该场景下的匿名化数据传输是否属于个人信息跨境提供范畴，并给出合规依据。案例三参考答案1.未授权访问漏洞核心成因：接口后端逻辑仅校验用户登录状态的有效性，没有校验当前请求发起者是否具备该用户ID对应行程数据的访问权限，导致攻击者修改请求参数后可以越权访问任意其他用户的敏感数据。两种JWT校验绕过手段：一是接口后端未对JWT的签名有效性做校验，攻击者可以自行构造任意用户身份的JWT令牌直接通过认证；二是JWT头部的alg字段被修改为none，后端服务未禁止非对称加密算法的空签名模式，直接信任没有签名的JWT令牌。漏洞修复方案：在接口后端新增基于RBAC权限模型的资源访问校验逻辑，用户请求行程数据时先校验该账号的身份ID是否和请求查询的用户ID匹配，JWT校验环节强制开启签名合法性校验，禁止alg字段设置为none的JWT令牌通过认证，同时限制单用户的接口请求频率，防范批量遍历用户ID的爬取行为。2.数据分类分级执行流程：第一步梳理平台全量数据资产清单，完成数据资产的归属部门、存储位置、流转路径梳理；第二步依据国家行业分类分级标准制定平台自定义的数据分类分级规则；第三步通过自动化数据识别工具完成全量存量数据的敏感属性标记，标注每一类数据的级别；第四步对分级结果做评审备案，针对不同级别数据制定对应的差异化防护策略。该平台数据定级结果：一般数据为用户公开头像、昵称等非敏感信息，泄露后不会对用户个人权益造成影响；重要数据为用户手机号、身份证号、支付账号哈希值、历史订单数据等个人敏感信息，泄露后会危害用户人身财产安全；核心数据为超过10万规模的用户行程轨迹汇聚数据、平台全国范围的车辆调度数据，泄露后可能危害公共安全和社会秩序。3.三类数据的脱敏方案：用户身份证号采用保留前2位、后2位，中间14位替换为随机数字的掩码+随机化组合脱敏方式，既可以测试身份证号格式校验逻辑，又不会泄露真实身份证号信息；用户手机号采用中间4位打码替换为星号，剩余7位数字做映射置换的脱敏方式，保留11位手机号的格式特征，满足短信发送、格式校验的测试场景需求；用户实时行程轨迹采用坐标偏移+范围扰动的脱敏方式，在保留轨迹路径整体趋势的前提下，对经纬度坐标做随机米级偏移，无法通过脱敏后的轨迹反推真实用户的出行路径。4.个人信息跨境提供三类合法路径：一是通过国家网信办组织的个人信息出境安全评估；二是按照国家网信部门的规定经专业机构进行个人信息保护认证；三是按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。该场景下的匿名化数据传输不属于个人信息跨境提供范畴，合规依据为《个人信息保护法》中明确规定，匿名化处理后的信息无法被识别到特定自然人且不能被复原，不属于个人信息的范畴，因此不需要履行个人信息出境的审批流程。案例四（共18分）某省属本科高校在2025年全国网络安全攻防演练期间，蓝队运维人员通过EDR告警发现一台对外提供服务的选课系统Web服务器存在异常外联行为，经初步排查该服务器已被攻击者植入冰蝎WebShell，攻击者正在尝试通过该服务器横向渗透校内教务系统域控服务器。问题1（4分）按照《信息安全技术信息安全事件处置指南》GB/T20986-2023的要求，标准应急响应流程分为7个核心阶段，请写出7个阶段的完整名称，并说明在遏制阶段处置该Web服务器冰蝎WebShell入侵事件的3项核心操作要求。问题2（4分）攻击者拿到Web服务器权限后采用Pass-the-Hash（哈希传递）技术开展内网横向移动，请说明该攻击技术的实现原理，以及蓝队可部署的3项针对性检测措施。问题3（5分）蓝队完成攻击事件遏制之后开展溯源分析工作，请说明从Web访问日志到域控安全日志的完整攻击链溯源分析路径，以及最终输出的攻防演练事件溯源报告必须包含的5项核心要素。问题4（5分）按照《网络安全事件报告管理办法》要求，本次事件最终排查发现攻击者已经下载存储在Web服务器上的12万条学生个人信息，判定为一般网络安全事件，请说明该事件的上报要求，以及事件闭环整改的核心工作流程。案例四参考答案1.应急响应7个阶段分别为：准备阶段、检测阶段、遏制阶段、根除阶段、恢复阶段、跟踪阶段、总结阶段。遏制阶段核心操作要求：第一，立即断开该选课系统Web服务器的外部网络访问权限，保留服务器的所有运行状态、原始日志证据，禁止直接重启服务器导致内存中的恶意代码痕迹丢失；第二，临时将选课系统切换到备用灾备环境，保障正常的学生选课业务不受影响；第三，配置边界防火墙规则拉黑当前已知的所有攻击源IP地址，阻断攻击者后续的访问路径。2.哈希传递攻击原理：攻击者入侵Windows主机后，dump出本地存储的账号NTLM哈希值，不需要破解出账号的明文密码，直