2025年信息安全工程师下午真题解析(附答案)

2025年信息安全工程师下午真题解析(附答案)试题一（20分）题干某省直政务云2024年完成业务系统全上云后，传统边界防火墙+IDS/IPS的安全架构已无法适配多云互联、跨部门访问、移动办公的安全需求，2025年启动零信任安全架构改造，部署的核心组件包括：身份与访问管理（IAM）模块、软件定义边界（SDP）网关、持续信任评估引擎、微隔离引擎、安全策略编排模块。改造完成后需符合《信息安全技术零信任参考架构》（GB/T42740-2023）要求，且满足政务云等保2.0三级防护标准。问题1.（6分）简述零信任架构的三项核心原则，结合政务云场景说明各原则的落地要求。2.（5分）分别说明题干中5类零信任核心组件的主要功能。3.（5分）对比零信任架构与传统边界安全架构的核心差异，从访问权限、防护范围、响应逻辑三个维度说明。4.（4分）列出该政务云零信任架构部署上线后可能存在的4类原生安全风险点。解析与参考答案1.零信任核心原则及落地要求：（1）永不信任，始终验证：默认拒绝所有访问请求，对每一次访问的主体、客体、环境都进行全维度校验，不基于网络位置判定信任等级。政务云场景落地要求：所有跨部门访问、移动办公访问、运维人员访问都必须先完成身份核验、终端环境核验、权限校验，即使是政务内网发起的访问也不能默认放行。（2）最小权限授权：仅为访问主体授予完成当前任务所需的最小权限，权限粒度细化到接口、数据字段级别，且设置权限有效期。政务云场景落地要求：跨部门数据共享仅开放特定数据接口的查询权限，禁止开放批量导出、修改权限；运维人员权限按操作场景拆分，单账号仅能操作对应业务模块，权限24小时自动回收。（3）持续信任评估：对访问主体的身份、终端环境、访问行为进行全生命周期的持续监测，一旦发现信任值低于阈值立即冻结权限。政务云场景落地要求：持续监测终端是否存在木马、是否有异常操作行为，一旦发现终端感染病毒、账号出现异地登录行为，立即中断当前访问并触发二次身份核验。（每点2分，共6分）2.核心组件功能：（1）IAM模块：负责统一身份管理、身份认证、权限分配，支持多因子认证、单点登录、权限生命周期管理，是零信任架构的身份数据源。（2）SDP网关：负责隐藏业务系统真实地址，所有访问请求必须先经过SDP网关的身份校验才能转发到业务系统，实现业务的“先认证后连接”。（3）持续信任评估引擎：负责收集身份、终端、行为、流量等多维度数据，构建信任评估模型，对访问主体的信任值进行动态计算，为权限调整提供依据。（4）微隔离引擎：负责云内业务系统之间的访问控制，粒度细化到工作负载级别，防止攻击者入侵单业务系统后横向移动。（5）安全策略编排模块：负责统一管理所有零信任安全策略，实现策略的自动下发、调整、审计，适配不同业务场景的安全需求。（每点1分，共5分）3.核心差异：（1）访问权限维度：传统边界架构基于网络位置授予权限，内网用户默认拥有较高访问权限；零信任架构基于身份、环境、行为的综合信任值授予权限，与网络位置无关。（2）防护范围维度：传统边界架构仅防护南北向边界流量，对云内东西向流量无有效防护；零信任架构覆盖南北向、东西向全流量，实现全场景访问控制。（3）响应逻辑维度：传统边界架构是静态防护，策略配置后长期生效，仅在发生安全事件后被动调整；零信任架构是动态防护，信任值实时更新，策略随信任值自动调整，实现主动防御。（答出1个维度得2分，3个维度得5分）4.原生安全风险点：（1）IAM组件权限溢出风险：如果IAM被攻击者入侵，可获取所有业务系统的访问权限，导致全域数据泄露。（2）信任评估模型误判风险：模型参数设置不合理可能导致合法用户被拒绝访问，或者异常访问被放行，影响业务可用性或安全性。（3）SDP网关单点故障风险：所有业务流量都经过SDP网关，一旦网关被DDoS攻击攻陷，会导致所有业务系统无法访问。（4）微隔离策略配置冲突风险：多业务系统的微隔离策略配置不当可能导致业务之间正常访问被阻断，影响业务协同。（每点1分，共4分）试题二（20分）题干某电商企业2025年上线嵌入开源大模型的AI客服系统，支持用户文本咨询、上传文档解析、订单信息查询等功能，上线1个月后发生多起安全事件：事件1：攻击者构造恶意Prompt，诱导AI客服输出未公开的内部员工薪资数据、供应商合作底价；事件2：攻击者上传嵌入恶意JavaScript代码的PDF文档，AI客服解析文档后触发XSS攻击，窃取访问客服系统的管理员Cookie，登录后台篡改了多条活动规则；事件3：安全人员排查发现AI客服的订单查询接口存在SQL注入漏洞，攻击者已通过该漏洞拖取12万条用户手机号、收货地址等敏感数据。问题1.（5分）事件1属于什么类型的攻击？简述该类攻击的3类常用防护措施。2.（5分）事件2中的XSS属于什么类型？简述该类XSS的修复方案，至少列出5项。3.（5分）针对事件3的SQL注入漏洞，简述3类常用的检测方法，并说明预编译语句防御SQL注入的核心原理。4.（5分）结合题干场景，给出大模型嵌入Web应用的通用安全防护框架，至少包含5个模块。解析与参考答案1.事件1属于Prompt注入攻击（大模型提示词注入攻击），防护措施如下：（1）Prompt白名单过滤：对用户输入的Prompt进行关键词过滤，禁止包含“内部数据”“薪资”“底价”等敏感关键词的请求进入大模型。（2）输出内容审核：对大模型生成的输出内容进行敏感信息检测，一旦发现包含内部敏感数据立即拦截，返回默认应答。（3）大模型知识库隔离：将内部敏感数据和公开知识库做物理隔离，大模型仅能访问公开知识库和用户授权可查询的业务数据，禁止访问未授权的内部敏感数据。（攻击类型2分，防护措施每点1分，共5分）2.事件2中的XSS属于存储型XSS（恶意代码存储在服务器端，每次访问解析文档时触发），修复方案如下：（1）对用户上传的所有文档进行恶意代码检测，过滤文档中嵌入的JavaScript、HTML标签等可执行代码。（2）对文档解析后的输出内容做HTML实体编码，将<、>、"、'、&等特殊字符转义为对应可执行标识，防止浏览器将其解析为脚本。（3）设置HTTP响应头的Content-Security-Policy（CSP），禁止执行内联脚本、未授权域名的外部脚本，限制Cookie的可访问范围。（4）给Cookie设置HttpOnly、Secure、SameSite属性，防止XSS攻击窃取Cookie。（5）对文档解析功能的输入输出做严格的类型校验，仅允许解析文本、图片等非可执行内容，禁止解析任何带有可执行逻辑的附件内容。（XSS类型1分，修复方案每点1分，答出5点得4分，共5分）3.SQL注入检测方法：（1）静态代码检测：扫描应用源代码，检测是否存在未做参数校验、拼接SQL语句的代码段，识别潜在的SQL注入漏洞。（2）动态流量检测：通过WAF监测访问流量，识别包含UNION、SELECT、OR1=1等SQL注入特征的请求，拦截异常访问。（3）渗透测试：通过人工或自动化工具对业务接口进行注入测试，输入特殊字符构造SQL语句，验证是否能执行非法的数据库操作，发现已存在的注入漏洞。预编译核心原理：预编译语句会将SQL语句的结构和参数分开，提前将SQL语句的结构编译完成，后续传入的参数只会被当作字符串处理，不会被当作SQL语句的一部分执行，避免攻击者注入的恶意SQL语句被执行。（检测方法每点1分，原理2分，共5分）4.大模型嵌入Web应用的通用安全防护框架：（1）输入安全模块：负责对用户输入的Prompt、上传的文件、查询参数等做安全过滤，拦截包含恶意指令、恶意代码的输入。（2）权限隔离模块：负责大模型的数据访问权限控制，按用户角色、身份划分大模型可访问的知识库范围，禁止越权访问。（3）内容审核模块：负责对大模型的输出内容做敏感信息、虚假信息、违法内容检测，拦截不符合要求的输出。（4）行为审计模块：负责记录所有用户的输入、大模型的输出、调用者的身份信息、调用时间等审计数据，留存不少于6个月，用于安全事件溯源。（5）模型安全模块：负责定期检测大模型是否存在被投毒、被微调的情况，及时修复模型的安全漏洞，更新模型的安全规则。（每点1分，共5分）试题三（20分）题干某城市商业银行2025年完成核心业务系统的信创改造，服务器采用鲲鹏920处理器、openEuler22.03LTS操作系统、达梦8数据库，上线前需按照等保2.0三级要求完成主机安全配置核查，核查发现4项问题：1.操作系统存在3个弱口令运维账户，且未开启登录失败锁定策略；2.达梦数据库开启了SYSDBA账户的远程登录权限，未设置IP白名单限制；3.操作系统安全审计日志仅保留7天，未做异地备份；4.服务器未开启可信启动功能，存在Rootkit植入风险。问题1.（6分）简述openEuler操作系统用户权限管理的核心配置要点，至少列出6项。2.（5分）针对题干中达梦数据库的安全风险，给出对应的加固措施，至少列出5项。3.（4分）简述信创服务器可信启动的完整执行流程。4.（5分）针对该银行的等保2.0三级要求，给出主机安全审计的核心配置策略，至少列出5项。解析与参考答案1.openEuler用户权限管理配置要点：（1）删除所有无用账户、测试账户，仅保留业务必需的账户，禁止共享账户。（2）配置密码复杂度策略，要求密码长度不少于12位，包含大小写字母、数字、特殊字符，密码有效期不超过90天。（3）开启登录失败锁定策略，连续5次登录失败后锁定账户30分钟，防止暴力破解。（4）禁用root账户远程登录，所有运维操作使用普通账户登录，通过sudo授权执行高权限操作，sudo操作日志单独留存。（5）按最小权限原则分配用户权限，普通账户仅拥有业务所需的目录、文件访问权限，禁止授予超出业务范围的权限。（6）定期核查用户权限，每季度清理过期账户、冗余权限，避免权限溢出。（每点1分，共6分）2.达梦数据库加固措施：（1）修改SYSDBA账户的默认密码，配置符合复杂度要求的强密码，定期更换。（2）关闭SYSDBA账户的远程登录权限，SYSDBA仅允许本地登录，远程运维使用权限更低的专属运维账户。（3）配置数据库访问IP白名单，仅允许业务系统服务器、运维终端的IP访问数据库，禁止其他IP访问。（4）开启数据库的操作审计功能，对所有账户的登录、查询、修改、删除操作都进行审计，审计日志单独存储。（5）按业务模块拆分数据库账户，每个业务系统仅拥有对应业务表的读写权限，禁止跨业务模块访问数据。（每点1分，共5分）3.可信启动执行流程：（1）服务器上电后，首先执行可信根CRTM（核心可信度量根），度量BIOS固件的完整性，校验通过后执行BIOS。（2）BIOS度量BootLoader的完整性，校验通过后执行BootLoader。（3）BootLoader度量操作系统内核的完整性，校验通过后执行操作系统内核。（4）操作系统内核度量系统服务、驱动程序的完整性，校验通过后完成系统启动，所有度量结果都存储在TPM/TCM芯片中，可用于后续的可信验证。（每点1分，共4分）4.等保2.0三级主机审计配置策略：（1）审计范围覆盖所有用户的登录操作、权限变更操作、文件访问操作、系统配置修改操作、关键业务进程的执行操作。（2）审计日志内容包含事件发生时间、事件主体、事件客体、事件类型、执行结果等关键字段，无缺省。（3）审计日志留存时间不少于6个月，满足等保2.0三级的留存要求。（4）审计日志做异地备份，防止本地存储的日志被攻击者篡改或删除，备份日志仅授权审计人员访问。（5）开启审计日志异常告警，一旦出现审计日志被删除、修改，或者出现大量异常登录、异常操作的审计记录，立即触发告警通知安全人员。（每点1分，共5分）试题四（15分）题干某跨境电商企业2025年启动密码应用合规改造，需符合《中华人民共和国密码法》《数据出境安全评估办法》《密码应用安全性评估规范》要求，业务场景包括：1.用户身份证、银行卡号等敏感个人信息的存储加密；2.移动端APP与服务端之间的传输链路加密；3.出境用户订单数据的完整性校验和溯源；4.商家与平台的交易合同签订的不可否认性保障。问题1.（6分）针对题干中的4个业务场景，分别给出适用的国密算法，并说明理由。2.（4分）结合场景说明SM2算法和SM9算法在该企业密码应用中的适用差异。3.（3分）简述该企业开展密码应用安全性评估（密评）的3项核心核查项。4.（2分）简述该企业数据出境场景下的2项密码应用合规要点。解析与参考答案1.各场景适用国密算法及理由：（1）敏感个人信息存储加密：适用SM4分组密码算法，SM4是我国自主可控的对称加密算法，加密效率高，适合结构化数据的存储加密，密钥管理难度低，符合等保2.0三级存储加密要求。（2）传输链路加密：适用TLS1.3国密套件（SM2/SM3/SM4），采用SM2算法做身份认证、SM3做哈希校验、SM4做传输内容加密，可实现全链路的国密合规传输，替代传统的RSA/AES套件。（3）出境订单数据完整性校验和溯源：适用SM3密码杂凑算法，SM3输出长度256位，抗碰撞能力强，可对订单数据生成唯一的哈希值，作为数据的唯一标识，用于校验数据是否被篡改，同时可作为溯源依据。（4）交易合同不可否认性保障：适用SM2签名算法，利用SM2的非对称加密特性，商家和平台分别使用私钥对合同签名，公钥可公开验证签名的真实性，防止事后抵赖，符合《电子签名法》的要求。（每点1.5分，共6分）2.SM2和SM9的适用差异：（1）密钥管理方式：SM2是基于PKI体系的非对称算法，需要CA机构签发数字证书，密钥和身份绑定需要证书作为载体，适合企业内部员工、固定商家的身份认证、签名场景；SM9是基于标识密码的算法，无需申请数字证书，可直接将用户手机号、邮箱等标识作为公钥，密钥由KGC生成，适合C端用户量大、证书部署难度高的移动端APP用户身份认证场景。（2）部署成本：SM2需要部署CA系统、证书管理系统，部署和运维成本较高；SM9仅需部署KGC密钥管理中心，无需为每个用户签发证书，适合该企业千万级C端用户的密码应用场景，可大幅降低部署成本。（每点2分，共4分）3.密评核心核查项：（1）密码算法合规性核查：核查所有密码应用场景是否采用国家密码管理部门认可的国密算法，是否存在使用未获准的境外密码算法的情况。（2）密钥管理安全核查：核查密钥的生成、存储、分发、使用、销毁全生命周期的管理是否符合要求，密钥是否采用硬件加密机存储，是否存在密钥明文存储、泄露的风险。（3）密码功能有效性核查：核查加密、签名、完整性校验等密码功能是否正常生效，是否存在加密功能未启用、数据明文存储传输的情况。（每点1分，共3分）4.数据出境密码应用合规要点：（1）出境的重要数据和敏感个人信息必须采用国密算法加密，密钥存储在境内，不得向境外机构提供加密密钥，确需提供的必须经过国家密码管理部门批准。（2）出境数据必须采用国密算法生成完整性校验值，留存出境数据的哈希值和签名记录，便于后续的数据溯源和安全事件核查。（每点1分，共2分）试题五（25分）题干2025年3月，某汽车零部件制造企业遭受AI驱动的新型勒索攻击，攻击者通过AI生成高度仿真的高管身份鱼叉邮件，投递带有勒索病毒的附件，运维人员打开附件后勒索病毒快速横向传播，加密了生产MES系统、办公OA系统共12TB核心数据，攻击者索要300比特币赎金，威胁不支付赎金就将数据泄露到暗网。企业立即启动网络安全应急预案，成立应急响应小组开展处置工作。问题1.（8分）按照PDCERF应急响应模型，简述6个阶段的核心工作内容，结合本次勒索攻击事件说明各阶段的具体工作。2.（6分）简述AI生成的鱼叉钓鱼邮件和传统钓鱼邮件的3点核心差异，给出3类AI钓鱼邮件的检测方法。3.（5分）简述本次勒索攻击事件的溯源核心要点，至少列出5项。4.（6分）简述企业完成勒索攻击数据恢复后的长效防护优化措施，至少列出6项。解析与参考答案1.PDCERF六个阶段的工作内容：（1）准备阶段：提前制定应急响应预案，储备备份数据、应急工具、应急人员，定期开展应急演练。本次事件中，准备阶段的工作包括核查备份数据的可用性，梳理所有业务系统的资产清单，联系第三方应急响应机构支援。（2）检测阶段：监测安全事件的发生，确定事件的类型、影响范围、危害程度。本次事件中，检测阶段的工作包括排查所有服务器、终端的感染情况，确认被加密的系统范围、数据量，判断勒索病毒的家族类型。（3）遏制阶段：采取措施防止事件进一步扩大，减少损失。本次事件中，遏制阶段的工作包括立即断离被感染的设备，切断感染主机的网络连接，关闭未使用的端口和服务，防止勒索病毒进一步横向传播。（4）根除阶段：清除攻击者留下的恶意程序、后门账户，修复安全漏洞，消除攻击根源。本次事件中，根除阶段的工作包括查杀所有设备上的勒索病毒，删除攻击者留下的后门账户、webshell，修复邮件系统的附件检测漏洞、终端的系统漏洞。（5）恢复阶段：恢复被破坏的系统和数据，恢复业务正常运行。本次事件中，恢复阶段的工作包括使用离线备份数据恢复被加密的系统和数据，逐层验证业务系统的可用性，确认无恶意程序残留后逐步恢复网络连接。（6）跟踪阶段：开展事件复盘，完善安全防护体系，防止类似事件再次发生。本次事件中，跟踪阶段的工作包括出具事件分析报告，排查可能存在的其他安全隐患，调整安全防护策略，开展员工安全意识培训。（每阶段1分，结合事件说明共2分，总分8分）2.核心差异：（1）仿真度差异：AI钓鱼邮件可模仿特定人员的写作风格、语气、常用术语，甚至可结合公开的企业内部沟通内容生成高度仿真的邮件内容，传统钓鱼邮件内容模板化，容易识别。（2）精准度差异：AI钓鱼邮件可利用爬取的公开信息对目标进行精准画像，针对不同岗位的人员生成匹配其工作场景的邮件内容，传统钓鱼邮件是广撒网，针对性差。（3）变异能力差异：AI可快速生成不同内容、不同附件类型的钓鱼邮件变种，绕过传统的基于特征的邮件安全网关检测，传统钓鱼邮件变种少，特征库容易覆盖。检测方法：（1）行为特征检测：监测邮件发送者的IP、发送时间、发送频率