信息安全基础试题答案

信息安全基础试题答案一、单项选择题答案及考点解析1.根据《网络安全等级保护条例》，我国网络安全等级保护制度将网络按照破坏后危害程度划分为5个安全保护等级，答案选5。解析：等级划分核心依据是网络遭到攻击破坏后对国家安全、公共利益、公民合法权益的损害范围和严重程度：第一级为自主保护级，适用于小型私营企业普通办公系统，破坏后仅对公民权益造成轻微损害，无需备案；第二级为指导保护级，适用于一般企事业单位面向社会提供服务的非核心业务系统，破坏后对公民权益造成严重损害、对公共利益造成轻微损害，需到属地公安部门备案；第三级为监督保护级，适用于地市级以上政务服务系统、三甲医院核心医疗系统、金融机构核心交易系统，破坏后对公共利益造成严重损害、对国家安全造成损害，属国家强制监管的重点防护对象；第四级为强制保护级，适用于国家级核心政务系统、主干电网工控系统，破坏后对国家安全造成严重损害，需接受网信部门的常态化强制监管；第五级为专控保护级，适用于涉及国家核心秘密的极端重要信息系统，由国家专门部门制定特殊管控方案。2.我国《密码法》规定，用于保护不属于国家秘密信息的密码类别为商用密码，答案选商用密码。解析：我国密码分为核心密码、普通密码、商用密码三类，其中核心密码、普通密码用于保护国家秘密信息，受密码管理部门专控；商用密码广泛应用于金融、医疗、政务、电商等领域的非涉密信息加密，国内商用密码产品需符合国密算法标准，通过国家密码管理局的型号认定。3.远程桌面服务（RDP）默认使用的TCP端口号为3389，答案选3389。解析：常见业务协议默认端口的安全管控是主机安全运维的核心基础项，SSH远程管理协议默认端口22，文件传输协议FTP默认端口21，超文本传输协议HTTP默认端口80，加密超文本传输协议HTTPS默认端口443，域名解析协议DNS默认端口53，简单邮件传输协议SMTP默认端口25，运维过程中需对非必要对外开放的高危端口做访问源IP限制，避免攻击者通过端口扫描发起暴力破解攻击。4.以下算法中属于我国自主研发的国密非对称加密算法的是SM2，答案选SM2。解析：对称加密算法领域，AES为国际通用标准对称加密算法，SM4为我国国密对称加密算法；哈希摘要算法领域，SHA-256为国际通用哈希算法，SM3为我国国密哈希算法；非对称加密算法领域，RSA为国际通用非对称加密算法，SM2为我国国密非对称加密算法，SM9为我国国密标识密码算法，等保2.0三级及以上系统的核心数据加密场景需优先选用国密算法开展部署。5.根据《数据安全法》数据分类分级规则，一旦泄露会直接危害国家安全、国民经济命脉、核心民生保障的特殊数据类别为核心数据，答案选核心数据。解析：我国数据分级体系将全量数据划分为公开数据、内部数据、重要数据、核心数据四个层级，核心数据是数据安全防护的最高优先级对象，目前已有18个重点行业领域出台了专门的核心数据目录认定标准，核心数据的出境传输必须经过国家网信部门的严格安全评估，禁止任何未经审批的外流行为。二、多项选择题答案及考点解析1.以下属于网络安全等级保护2.0技术防护要求核心维度的有物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复，答案全选。解析：等保2.0体系与旧版等保1.0的核心差异是新增了云安全、大数据安全、物联网安全、工业控制系统安全、工业互联网安全五大新兴场景的扩展防护要求，管理维度包含安全管理制度建设、安全管理机构设置、人员安全管理、系统建设管理、运维安全管理五大类要求，实现了对全类型信息系统的防护覆盖。2.以下属于当前互联网常见高危Web安全漏洞的有SQL注入漏洞、XSS跨站脚本漏洞、CSRF跨站请求伪造漏洞、文件上传漏洞、命令执行漏洞，答案全选。解析：根据国家信息安全漏洞共享平台2024年发布的漏洞统计报告，Web应用漏洞占全年新增高危漏洞总量的37%，其中SQL注入漏洞可直接窃取后台数据库全量敏感数据，命令执行漏洞可直接获取服务器最高管理权限，文件上传漏洞允许攻击者上传木马文件控制Web服务，上述漏洞普遍具有利用门槛低、危害程度大的特征，是Web应用上线前安全检测的必测项。3.网络安全应急响应的标准流程包含的核心环节有准备阶段、检测阶段、遏制阶段、根除阶段、恢复阶段、总结阶段，答案全选。解析：准备阶段需提前制定应急预案、储备应急工具、组建应急响应团队、定期开展应急演练；检测阶段需通过流量分析、日志审计确认入侵事件的影响范围、攻击入口、攻击者留有的后门；遏制阶段需第一时间切断攻击传播路径，比如封禁攻击者IP、下线受入侵的服务器节点，避免攻击范围进一步扩大；根除阶段需彻底清理服务器上的木马、后门程序，修复被利用的安全漏洞；恢复阶段需分批次将业务系统恢复至正常运行状态，同步恢复用户访问权限；总结阶段需完成入侵事件溯源、安全整改方案落地，避免同类攻击事件重复发生。4.以下属于个人信息处理活动需严格遵循的合法合规要求的有取得个人同意、明确处理目的、最小必要采集、公开处理规则、开展安全防护，答案全选。解析：《个人信息保护法》明确要求处理敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹等）必须取得个人的单独同意，不得通过默认勾选、捆绑服务等方式变相强制用户授权，个人信息的保存期限不得超出实现处理目的所必需的最短期限，处理活动全程需留存操作审计日志，日志留存时间不得少于6个月。三、判断题答案及考点解析1.采用8位长度包含大小写字母、数字、特殊字符的组合密码完全可以满足等保2.0三级系统的身份鉴别安全要求。答案为错误。解析：当前高性能GPU集群每秒可完成超过120亿次口令遍历校验，8位复杂度的组合密码可在72小时内被暴力破解完成，等保2.0三级系统明确要求身份鉴别口令长度不少于10位，需覆盖三类以上字符组合，且每90天强制更换口令，禁止使用最近5次历史口令，同时需搭配短信验证码、动态令牌等双因子身份鉴别机制，避免单一口令泄露引发账号被盗风险。2.开源软件的源代码完全公开，不存在安全隐患，可以直接部署到生产环境使用。答案为错误。解析：开源软件的源码公开属性既方便运维人员排查功能缺陷，也方便攻击者快速挖掘未公开的零日漏洞，2021年全球性高危漏洞Log4j2、2022年Spring4Shell漏洞、2023年ApacheStruts2漏洞均属于开源组件引发的重大安全事件，影响全球数百万台服务器，生产环境部署开源组件前必须通过软件成分分析（SCA）工具完成漏洞扫描，提前修复存在风险的组件版本，经过安全测试后再上线部署。3.DDoS攻击的核心原理是利用大量受控的僵尸网络主机向目标服务器发送海量请求，耗尽目标服务器的带宽、计算、存储资源，导致正常用户无法访问业务系统。答案为正确。解析：当前典型的DDoS攻击峰值流量已达到每秒数TB级别，普通的静态防火墙策略无法有效拦截流量型DDoS攻击，需部署专业的流量清洗设备，通过近源清洗、指纹识别、流量调度等技术将恶意攻击流量引流至清洗中心过滤，仅将正常业务流量回源到服务器，保障业务连续性。4.安全审计日志仅需要存储在本地服务器磁盘即可，不需要做异地备份。答案为错误。解析：攻击者入侵系统后通常第一时间篡改、删除本地审计日志掩盖攻击痕迹，安全审计日志必须同步上传至独立的日志服务器做异地备份，日志服务器配置为仅支持日志上传写入、禁止任意篡改删除的只读权限，日志留存时长对于等保二级系统不少于6个月，等保三级系统不少于6个月，关键信息基础设施的日志留存时长不少于12个月，满足执法溯源的合规要求。四、简答题答案及核心要点解析1.简述等保2.0全流程实施的核心操作步骤及各环节合规要求。答：等保2.0实施分为四个核心环节：第一是定级备案环节，组织对照《网络安全等级保护定级指南》梳理全量信息系统的业务属性，初步拟定安全保护等级，组织行业专家开展定级评审，定级结果经行业主管部门审核通过后，到属地公安机关网信部门完成系统备案，取得备案证明材料；涉及关键信息基础设施的系统需同步将定级材料上报至关键信息基础设施保护工作部门复核，涉密信息系统需按照保密管理部门要求完成分级保护测评，不适用通用等保测评体系。第二是建设整改环节，对照对应等级的等保基本要求，逐一排查现有系统的技术、管理防护短板，通过技术改造补齐防护能力缺口，比如三级系统需配备入侵检测系统、数据泄露防护系统、安全审计平台等专用安全设备，同时完善20余项核心安全管理制度，覆盖人员管理、运维操作、应急响应等全流程场景。第三是等级测评环节，委托具备国家网络安全等级保护测评资质的第三方机构开展合规测评，等保二级系统每两年至少开展一次测评，等保三级系统每年至少开展一次测评，等保四级系统每半年至少开展一次测评，测评得分需达到70分以上才算合规通过，测评报告需同步上报属地公安网信部门存档。第四是监督检查环节，配合网信、公安、行业主管部门开展常态化安全检查，对检查过程中发现的漏洞风险及时完成整改，持续保持系统的安全防护能力符合等级保护要求。2.简述对称加密算法与非对称加密算法的核心差异及典型落地应用场景。答：两类加密算法的核心差异体现在四个维度：一是密钥数量差异，对称加密要求通信双方共享完全相同的1个密钥，非对称加密体系中每个用户持有公钥、私钥配对的两个独立密钥，公钥可对外公开分发，私钥由用户本地严格保密不对外传输。二是加解密效率差异，对称加密算法计算逻辑简单，加解密速度极快，AES国密SM4算法的加解密速率可达到每秒数GB，适合大体积数据的加密处理；非对称加密算法基于大数分解、椭圆曲线数学原理构建，计算复杂度极高，加解密速度慢，RSA、SM2算法仅适合小体积数据的加密处理。三是密钥分发难度差异，对称加密的共享密钥传输过程容易被攻击者截获，大规模多用户场景下的密钥分发管理成本极高；非对称加密的公钥可通过公开渠道任意传播，不存在私钥泄露风险，密钥分发管理难度极低。四是应用场景差异：对称加密主要用于本地磁盘全盘加密、大体积业务文件加密、HTTPS通信链路中的业务数据加密，实现明文数据的快速保密性转换；非对称加密主要用于数字签名、身份鉴别、对称加密会话密钥的协商分发场景，利用私钥签名、公钥验签的特性保障数据的不可篡改、不可抵赖属性，当前主流的国密改造方案均采用“非对称加密协商会话密钥+对称加密加密业务数据”的组合模式，兼顾加密效率和密钥分发安全性，符合国内商用密码合规要求。3.简述数据安全分类分级工作的落地实施全流程及对应管控要求。答：数据分类分级需遵循GB/T41479《信息安全技术数据分类分级规则》的标准要求落地，全流程分为四个步骤：第一步是全量数据资产梳理，盘点组织内部所有存储、处理、传输的数据资产，明确每个数据资产的归属责任部门、存储位置、流转路径、访问授权角色，形成动态更新的数据资产台账，杜绝出现数据资产黑户。第二步是数据分类，按照业务属性将全量数据划分为公共数据、个人信息、行业业务数据三大类，公共数据为政务部门履职过程中采集生产的公共属性数据，个人信息为可识别关联到特定自然人的各类信息，行业业务数据为金融、医疗、能源等行业在业务生产过程中产生的专属业务数据。第三步是数据分级，按照数据一旦被泄露、篡改、破坏后的影响范围和危害程度，划分为1级公开数据、2级内部数据、3级重要数据、4级核心数据四个层级，逐一完成所有数据资产的级别标识。第四步是分级精准管控：对1级公开数据，经过内容合规审核后可对外公开发布，无需额外加密防护；对2级内部数据，限制访问权限范围，仅向组织内部授权工作人员开放，禁止未审批的对外共享；对3级重要数据，采用国密算法加密存储，公网传输过程全程加密，对外共享前必须完成数据脱敏处理，去除身份证号、手机号等敏感字段，禁止批量下载外发；对4级核心数据，实现全链路加密防护，所有访问操作必须经过双人授权，操作日志永久留存，禁止任何未经国家主管部门审批的出境流转行为，从技术和管理层面杜绝数据泄露风险。五、案例分析题答案及要点解析给定场景：某省会城市医疗健康平台上线后未开展等保定级备案，平台存储全市270万居民的新冠疫苗接种记录、就诊病历、医保结算信息，运营期间攻击者利用未及时修复的ApacheStruts2远程命令执行漏洞入侵服务器，窃取全量居民敏感个人信息在暗网售卖，导致12万余名居民后续接到精准医保诈骗电话，引发恶劣社会影响。第一问：该医疗健康平台应当至少符合哪个等级的等保防护要求？答案为第三级，该平台属于面向公众提供公共服务的关键信息基础设施，处理超过10万人的敏感个人信息，一旦遭到破坏会对公共利益造成严重损害，满足等保三级的定级标准。第二问：运营单位违反了哪些国内现行信息安全法律法规要求？一是违反《网络安全法》第二十一条规定，未落实网络安全等级保护制度，未履行安全防护、备案义务；二是违反《关键信息基础设施安全保护条例》要求，作为地市级关键信息基础设施运营者，未履行高危漏洞72小时通报及整改义务，未定期开展应急演练；三是违反《数据安全法》第二十七条规定，未建立全流程数据安全管理制度，未对重要数据采取加密防护措施；四是违反《个人信息保护法》第五十一条规定，未对海量敏感个人信息采取去标识化、访问权限控制等安全保护措施，导致大规模个人信息泄露事件发生