2026年计算机信息安全工程师考试试题及答案

2026年计算机信息安全工程师考试试题及答案一、单项选择题（每题1分，共20分）1.在信息安全风险评估过程中，以下哪项是识别资产价值的首要考虑因素？A.资产的购买成本B.资产对业务运营的关键程度C.资产的折旧率D.资产的物理位置答案：B2.根据《中华人民共和国网络安全法》，网络运营者发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。此处的“有关主管部门”通常不包括？A.国家网信部门B.国务院电信主管部门C.市场监督管理部门D.公安部门答案：C3.在公钥基础设施（PKI）中，负责签发和吊销数字证书的实体是？A.注册机构（RA）B.证书持有者C.证书验证者D.证书颁发机构（CA）答案：D4.以下哪种攻击类型主要利用了TCP协议的三次握手过程？A.跨站脚本攻击（XSS）B.分布式拒绝服务攻击（DDoS）C.SYN洪水攻击D.SQL注入攻击答案：C5.关于AES加密算法，以下描述正确的是？A.AES是一种非对称加密算法B.AES的分组长度固定为128位，密钥长度只能是128位C.AES算法基于Rijndael算法，其安全性依赖于大数分解的困难性D.AES算法属于分组密码，加解密过程使用相同的密钥答案：D6.在访问控制模型中，“主体依据其被授予的权限访问客体，且权限不能传递给其他主体”，这描述的是哪种原则？A.最小特权原则B.职责分离原则C.强制访问控制原则D.无传递性原则答案：D7.用于检测网络入侵，通过监控网络流量并与已知攻击特征进行匹配的技术是？A.基于主机的入侵检测系统（HIDS）B.基于网络的入侵检测系统（NIDS）C.基于异常的入侵检测系统D.安全信息和事件管理（SIEM）答案：B8.在Windows操作系统中，用于存储本地用户密码哈希值的核心文件是？A./etc/passwdB./etc/shadowC.SAM文件D.NTUSER.DAT答案：C9.根据等级保护2.0的要求，第三级安全保护等级的网络运营者应当对网络安全等级保护状况至少每年进行几次自查？A.一次B.两次C.三次D.四次答案：A10.在安全开发生命周期（SDL）中，威胁建模阶段的主要目的是？A.编写安全代码B.识别潜在的安全威胁并确定缓解措施优先级C.进行渗透测试D.部署Web应用防火墙答案：B11.以下关于哈希函数安全特性的描述，错误的是？A.抗碰撞性是指找到两个不同的输入得到相同哈希值在计算上不可行B.单向性是指从哈希值推导出原始输入在计算上不可行C.雪崩效应是指输入的微小变化会导致输出哈希值产生巨大变化D.SHA-256算法产生的哈希值长度是256字节答案：D12.在渗透测试的授权阶段，最重要的交付物是？A.渗透测试报告B.获取的系统权限C.测试使用的工具列表D.由客户签署的授权测试书面文件答案：D13.下列协议中，默认情况下安全性最差的是？A.SSHv2B.TLS1.3C.SNMPv3D.Telnet答案：D14.以下哪项技术主要用于防止跨站请求伪造（CSRF）攻击？A.对用户输入进行严格的过滤和转义B.在表单中添加并验证随机生成的令牌（Token）C.使用HTTPS协议传输数据D.设置HttpOnlyCookie属性答案：B15.关于虚拟专用网（VPN），以下描述正确的是？A.PPTP协议由于其强大的加密性，是目前最推荐的VPN协议B.IPSec协议工作在OSI模型的传输层C.SSLVPN通常基于TCP443端口工作，易于穿越防火墙D.L2TP协议自身提供数据加密功能答案：C16.在数字取证中，为了确保证据的完整性，通常对原始证据介质进行位对位复制后，需要计算并比对什么？A.文件创建时间B.内存快照C.哈希值（如MD5、SHA-1）D.系统日志答案：C17.以下哪种情况最可能违反了数据安全中的“数据最小化”原则？A.仅收集完成业务功能所必需的个人信息B.在用户注销账户后立即删除其所有个人数据C.为了潜在的营销分析需求，收集用户的所有浏览记录D.对存储的敏感数据进行加密答案：C18.在云计算安全模型中，由云服务提供商和客户共同承担的安全责任领域是？A.物理基础设施安全（如数据中心、服务器硬件）B.虚拟化层安全C.应用程序安全与身份访问管理D.网络边界防火墙配置答案：D19.用于描述和评估系统脆弱性的标准化语言是？A.SQLB.CVEC.CVSSD.STIX答案：C20.在物联网（IoT）安全中，设备固件空中升级（FOTA）过程面临的主要安全风险是？A.设备计算资源过剩B.升级包在传输过程中被篡改或替换C.升级过程耗时过长D.升级后设备功耗增加答案：B二、多项选择题（每题2分，共20分，多选、少选、错选均不得分）1.根据《关键信息基础设施安全保护条例》，运营者应当设置专门安全管理机构，并对机构负责人和关键岗位人员进行安全背景审查。以下哪些岗位通常被视为关键岗位？（）A.系统管理员B.网络工程师C.安全审计员D.前台接待人员答案：ABC2.以下哪些算法属于非对称加密算法？（）A.RSAB.AESC.ECC（椭圆曲线加密）D.3DES答案：AC3.一个完整的信息安全事件应急响应流程通常包含以下哪些阶段？（）A.准备B.检测与分析C.遏制、根除与恢复D.事后总结与改进答案：ABCD4.下列哪些是有效的无线网络安全增强措施？（）A.使用WPA3替代WEP或WPA2B.隐藏无线网络SSID广播C.启用MAC地址过滤D.禁用DHCP服务，采用静态IP分配答案：ABCD5.在Web应用安全中，以下哪些措施可以有效防范SQL注入攻击？（）A.使用参数化查询（预编译语句）B.对用户输入进行严格的输入验证和过滤C.在数据库错误信息中显示详细的SQL语句结构D.使用存储过程E.遵循最小权限原则配置数据库访问账户答案：ABDE6.以下关于防火墙技术的描述，正确的有？（）A.包过滤防火墙工作在网络层，通过检查IP包头信息进行过滤B.状态检测防火墙能够基于连接状态进行过滤，安全性高于简单包过滤C.应用代理防火墙工作在应用层，能理解应用层协议，但性能开销较大D.下一代防火墙（NGFW）集成了IPS、应用识别与控制等功能答案：ABCD7.以下哪些属于社会工程学攻击的常见形式？（）A.钓鱼邮件B.尾随进入限制区域C.分布式拒绝服务攻击D.假冒技术支持人员套取密码答案：ABD8.在Linux系统中，以下哪些文件或目录的权限设置可能存在安全隐患？（）A./etc/passwd权限为-rw-r--r--B./etc/shadow权限为-rw-------C.用户家目录权限为drwxrwxrwxD./tmp目录权限为drwxrwxrwt答案：C9.以下哪些是数据泄露防护（DLP）系统通常采用的核心检测技术？（）A.内容匹配（如关键词、正则表达式）B.文件指纹匹配C.基于统计学的机器学习分析D.端口扫描答案：ABC10.关于区块链技术中的共识机制，以下描述正确的有？（）A.工作量证明（PoW）消耗大量计算资源，但安全性较高B.权益证明（PoS）根据持有代币的数量和时间来选择记账节点，更节能C.拜占庭容错（BFT）类算法主要适用于节点数量较少、可信度较高的联盟链或私有链场景D.所有共识机制的目标都是确保分布式账本数据的一致性和不可篡改性答案：ABCD三、填空题（每空1分，共10分）1.在信息安全三要素CIA中，C代表______，I代表______，A代表______。答案：机密性；完整性；可用性2.在SSL/TLS协议握手过程中，用于协商生成会话密钥的密钥交换算法常见的有RSA密钥交换和______密钥交换。答案：迪菲-赫尔曼（Diffie-Hellman）3.我国实行网络安全等级保护制度，网络安全保护等级共分______级。答案：五4.在恶意代码分类中，能够自我复制和传播，但通常需要寄生在其它程序或文件中的是______。答案：病毒5.Metasploit框架中，用于攻击的代码模块称为______。答案：渗透攻击模块（ExploitModule）6.在访问控制列表（ACL）中，一条典型的拒绝所有流量的规则通常表示为：denyipany______。答案：any7.安全审计中的“AAA”框架是指认证（Authentication）、授权（Authorization）和______。答案：计费/审计（Accounting）8.在密码学中，将明文转换为密文的过程称为______。答案：加密四、简答题（每题5分，共25分）1.简述对称加密与非对称加密的主要区别，并各举一个典型算法。答案：对称加密使用相同的密钥进行加密和解密，加解密速度快，适合大量数据加密，但密钥分发和管理困难，典型算法如AES、DES。非对称加密使用公钥和私钥配对，公钥公开，私钥保密，解决了密钥分发问题，但加解密速度慢，适合密钥交换和数字签名，典型算法如RSA、ECC。2.什么是零信任安全架构？其核心原则是什么？答案：零信任安全架构是一种安全模型，其核心思想是“从不信任，始终验证”。它不默认信任网络内部或外部的任何主体（用户、设备、应用），对所有访问请求都进行严格的身份验证、授权和加密。核心原则包括：明确验证所有访问请求；应用最小权限访问原则；假设网络已被渗透，进行分段和微隔离，并持续监控和分析所有流量和活动。3.简述在渗透测试中，获取一个Windows系统权限后，常用的本地信息收集和权限维持手段（各列举两种）。答案：本地信息收集：1）使用`whoami/all`、`netuser`、`netlocalgroupadministrators`等命令收集用户、组和权限信息。2）使用`systeminfo`、`tasklist`、`netstat-ano`等命令收集系统配置、进程和网络连接信息。权限维持手段：1）创建隐藏的后门用户或提升现有用户权限。2）部署计划任务（schtasks）或服务，在特定时间或系统启动时执行恶意载荷。3）注入恶意代码到合法进程的内存中（进程注入）。4.简述SQL注入攻击的基本原理，并说明联合查询注入（Union-basedInjection）的关键步骤。答案：基本原理：攻击者通过将恶意的SQL代码插入到Web应用的输入参数中，传递到后端数据库执行，从而绕过验证、窃取、篡改或删除数据库数据。联合查询注入关键步骤：1）判断注入点：通过输入`‘`、`and1=1`、`and1=2`等测试参数是否被数据库执行。2）确定字段数：使用`orderby`子句递增排序字段数，直到报错，确定查询结果的列数。3）确定回显位：使用`unionselect1,2,3...`等语句，观察页面中数字显示的位置，确定数据回显的列。4）提取信息：在回显位替换为数据库函数，如`unionselect1,database(),user(),version()...`，逐步获取数据库名、表名、列名和具体数据。5.什么是业务连续性管理（BCM）？其与灾难恢复计划（DRP）的主要区别是什么？答案：业务连续性管理（BCM）是一个整体的管理过程，旨在识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运营带来的影响，从而建立一个具有弹性的组织，有效应对威胁，保护关键利益相关方的利益、声誉、品牌和价值创造活动。灾难恢复计划（DRP）是BCM的一个子集，更侧重于在灾难（如火灾、洪水、重大系统故障）发生后，恢复IT基础设施、数据和应用程序的技术性流程和步骤。BCM的范围更广，涵盖人员、流程、场所、技术和信息等所有方面，目标是维持或快速恢复整体业务运营；而DRP更专注于技术系统的恢复。五、综合应用题（第1题10分，第2题15分，共25分）1.某公司内部网络拓扑结构如下：办公区（VLAN10）、服务器区（VLAN20）、DMZ区（VLAN30）通过一台核心三层交换机互联，该交换机作为各VLAN的网关。公司出口由一台防火墙连接互联网，防火墙内网口连接核心交换机。DMZ区部署了对外提供服务的Web服务器（0）和邮件服务器（0）。请基于此场景，设计防火墙的访问控制策略（规则），要求满足以下安全需求：（1）互联网用户只能访问DMZ区的Web服务器的80/443端口和邮件服务器的25（SMTP）、110（POP3）、143（IMAP）、465（SMTPS）、993（IMAPS）端口。（2）办公区用户（VLAN10）可以访问互联网（任意目的地址和端口），可以访问服务器区（VLAN20）和DMZ区的所有服务器。（3）服务器区（VLAN20）的服务器只能被办公区访问，不能主动访问互联网和DMZ区。（4）默认禁止所有其他未明确允许的流量。请以规则表形式（包含规则号、源区域/地址、目的区域/地址、服务/端口、动作）写出关键策略规则（假设防火墙接口已绑定相应安全区域：Untrust-外网，Trust-内网（含办公区和服务器区），DMZ-DMZ区。办公区网段：/24，服务器区网段：/24）。答案：规则号源区域/地址目的区域/地址服务/端口动作1UntrustDMZ/0tcp/80,tcp/443允许2UntrustDMZ/0tcp/25,tcp/110,tcp/143,tcp/465,tcp/993允许3Trust//24Untrustany允许4Trust//24Trust//24any允许5Trust//24DMZany允许6anyanyany拒绝（注：规则顺序至关重要。通常按从具体到一般的顺序排列，拒绝规则在最后。实际配置中可能还需考虑状态检测、NAT、防病毒等策略，本题仅考查基础访问控制逻辑。）2.你作为某金融机构的安全工程师，收到安全运营中心（SOC）的告警，发现内网一台重要服务器（IP：00）存在异常外连行为，连接到一个可疑的外部IP（）的TCP4444端口。初步怀疑该服务器已被入侵。请详细描述你接下来进行应急响应和取证调查的步骤（至少包含六个关键步骤），并说明在每一步中你计划采取的具体行动或使用的技术/工具（至少提及三种工具）。答案：步骤一：准备与确认。立即查阅并确认应急响应预案。确保拥有必要的调查工具包（如干净的U盘或光盘，内含可信的取证和分析工具）。联系系统相关负责人，告知情况并获取必要的调查授权。同时，通知可能受影响的业务部门。步骤二：初步隔离与遏制。在不惊动攻击者的前提下（如需），通过网络设备（如交换机ACL或防火墙）立即阻断服务器00对可疑IP的所有出站连接，以及从该可疑IP的所有入站连接。如果条件允许且业务影响可接受，考虑将该服务器从核心网络隔离（如拔掉网线或置于独立VLAN）。步骤三：现场证据保全。前往服务器物理位置或通过带外管理口（如iDRAC、iLO）进行访问。避免直接在可能被篡改的系统上操作。1）使用干净的启动介质（如CD或U盘）引导服务器至一个可信的、只读的操作系统环境（如KaliLinuxLiveCD）。2）在关机前，若内存中可能有关键信息（如恶意进程、网络连接），使用工具（如Volatility）对物理内存进行镜像和转储。3）对服务器的整个硬盘驱动器使用专业取证工具（如FTKImager、dd命令）创建位对位的精确镜像（证据盘），并计算镜像的哈希值（MD5/SHA-1）进行完整性校验。对原始