2026年信息安全与网络治理考试试题及答案

2026年信息安全与网络治理考试试题及答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。错选、多选或未选均无分。）1.在信息安全的基本属性中，确保信息在存储或传输过程中保持不被未授权的篡改、破坏的特性被称为（）。A.保密性B.完整性C.可用性D.不可否认性2.对称加密算法与非对称加密算法的主要区别在于（）。A.加密速度不同B.是否支持数字签名C.加密和解密是否使用相同的密钥D.算法的复杂程度3.在ISO/IEC27000系列标准中，具体用于建立、实施、运行、监控、评审、保持和改进信息安全管理体系（ISMS）的国际标准是（）。A.ISO/IEC27001B.ISO/IEC27002C.ISO/IEC27005D.ISO/IEC270004.下列关于SQL注入攻击的描述中，错误的是（）。A.攻击者通过在Web表单输入框中恶意构造SQL语句进行攻击B.参数化查询是防御SQL注入的有效手段之一C.SQL注入攻击只能针对数据库进行查询操作，不能修改数据D.使用存储过程可以降低SQL注入的风险5.数字签名技术用于解决网络传输中的（）问题。A.保密性与完整性B.完整性与不可否认性C.可用性与保密性D.访问控制与保密性6.HTTPS协议中，默认使用的端口号是（）。A.80B.443C.8080D.227.防火墙技术中，状态检测技术（StatefulInspection）相对于包过滤技术的主要优势在于（）。A.处理速度更快B.能够检查应用层协议内容C.能够跟踪连接状态，提供更高的安全性D.不需要配置规则8.我国《网络安全法》正式施行的时间是（）。A.2016年11月7日B.2017年6月1日C.2018年5月1日D.2019年1月1日9.在密码学中，哈希函数（如SHA-256）的特性不包括（）。A.输入长度可变，输出长度固定B.具有单向性，即从哈希值难以推导出原始消息C.具有抗碰撞性，即难以找到两个不同的输入产生相同的输出D.具有可逆性，即可以从哈希值还原出原始消息10.社会工程学攻击中，攻击者通过伪造可信实体（如银行、公司）发送电子邮件诱导用户泄露敏感信息的攻击方式被称为（）。A.钓鱼攻击B.尾随攻击C.垃圾桶搜寻D.水坑攻击11.下列哪种VPN协议使用了IPsec协议族进行加密和认证？（）A.PPTPB.L2TPC.SSLVPND.L2TP/IPsec12.访问控制模型中，基于用户所属的角色来分配权限的模型是（）。A.DAC（自主访问控制）B.MAC（强制访问控制）C.RBAC（基于角色的访问控制）D.ABAC（基于属性的访问控制）13.风险评估的基本公式是：风险=（）。A.威胁×脆弱性B.威胁×资产价值C.资产价值×脆弱性D.威胁×脆弱性×资产价值14.入侵检测系统（IDS）的主要功能不包括（）。A.监控网络流量B.分析系统日志C.发现入侵行为并报警D.实时阻断非法的网络攻击15.在PKI（公钥基础设施）体系中，负责发布和管理数字证书的权威机构是（）。A.RA（注册机构）B.CA（证书颁发机构）C.KMC（密钥管理中心）D.LDAP目录服务器16.为了防止重放攻击，通常在认证协议中加入（）。A.用户名B.密码C.时间戳或随机数D.数字证书17.在Linux系统中，用于设置文件权限的命令是（）。A.chownB.chgrpC.chmodD.usermod18.数据备份策略中，每天备份一次，且只备份当天相对于上一次备份发生变化的数据，这种策略被称为（）。A.全量备份B.增量备份C.差异备份D.镜像备份19.某种恶意软件潜伏在系统中，不立即发作，等待特定时间或事件触发后才执行破坏操作，这种恶意软件被称为（）。A.蠕虫B.特洛伊木马C.逻辑炸弹D.勒索软件20.下列关于零日漏洞（Zero-dayVulnerability）的描述，正确的是（）。A.指已经被软件厂商修复并发布补丁的漏洞B.指已经被公开披露但尚未被利用的漏洞C.指官方尚未知晓或尚未发布补丁的漏洞，攻击者可能已掌握D.指不存在任何风险的漏洞二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在题后的括号内。错选、多选、少选或未选均无分。）21.操作系统安全加固的主要措施包括（）。A.关闭不必要的服务和端口B.定期安装系统补丁和更新C.设置强密码策略D.启用详细的日志审计E.安装杀毒软件22.常见的网络攻击类型包括（）。A.DDoS攻击B.中间人攻击C.跨站脚本攻击（XSS）D.DNS欺骗E.暴力破解23.我国《数据安全法》中规定的数据安全制度包括（）。A.数据分类分级保护制度B.数据安全风险评估制度C.数据安全审查制度D.数据出境安全管理制度E.数据交易管理制度24.对称加密算法DES（DataEncryptionStandard）由于其密钥长度较短（56位），目前已不再安全。为了替代DES，提出的算法包括（）。A.AESB.3DESC.RSAD.IDEAE.Blowfish25.恶意代码的传播途径包括（）。A.电子邮件附件B.恶意网页C.可移动存储设备（U盘）D.网络共享文件E.软件供应链26.在信息安全事件应急响应中，PDCERF模型包括的阶段有（）。A.准备B.检测C.遏制D.根除E.恢复和跟踪27.下列关于数据库安全的说法，正确的有（）。A.应该使用最小权限原则配置数据库账户B.敏感字段在存储时应进行加密处理C.数据库管理员账号应该定期更换密码D.默认数据库端口（如MySQL的3306）应该直接暴露在公网E.数据库备份文件应该进行加密保护28.网络安全审计系统的作用主要包括（）。A.记录网络活动B.识别违反安全策略的行为C.提供电子证据D.阻断所有网络攻击E.恢复被删除的数据29.属于个人信息保护基本原则的有（）。A.合法、正当、必要原则B.最小必要原则C.知情同意原则D.公开透明原则E.确保安全原则30.下列技术中，可以用于身份认证的有（）。A.口令认证B.智能卡C.生物特征识别（指纹、虹膜）D.动态令牌E.IP地址认证三、填空题（本大题共10小题，每小题1分，共10分。请在每小题的空格中填上正确答案。错填、不填均无分。）31.在网络治理中，__________是指网络运营商、互联网服务提供者等主体在提供网络服务过程中，应当遵守的法律义务和道德规范。32.常见的Web应用防火墙（WAF）主要工作在OSI七层模型的__________层。33.在公钥密码体制中，RSA算法的安全性基于大整数分解的困难性，而ECC算法的安全性基于__________问题的困难性。34.我国《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为__________原则。35.在TCP/IP协议栈中，用于传输文件的FTP协议默认使用__________端口进行控制连接。36.常见的拒绝服务攻击中，SYNFlood攻击利用了TCP协议__________过程中的缺陷。37.为了保证信息的不可否认性，通常采用__________技术。38.在网络安全等级保护制度（等保2.0）中，将信息系统安全保护等级分为__________级。39.Kerberos认证协议中，负责发放票据授予票据（TGT）的服务器是__________。40.简单网络管理协议（SNMP）目前广泛使用的版本是__________，该版本引入了基于用户的安全模型（USM）。四、简答题（本大题共5小题，每小题6分，共30分。）41.简述对称加密算法和非对称加密算法的优缺点，并说明为什么在实际应用中通常结合使用两者。42.什么是“中间人攻击”（Man-in-the-MiddleAttack）？请列举两种防御中间人攻击的方法。43.简述我国《网络安全法》中规定的“关键信息基础设施”的范围及其安全保护要求。44.请解释什么是“跨站请求伪造”（CSRF）攻击，并描述一种有效的防御策略。45.简述网络安全的“纵深防御”策略及其核心思想。五、综合应用题（本大题共3小题，共40分。）46.（10分）RSA算法计算题。假设Alice选取了两个素数p=3，q=11。(1)请计算模数n和欧拉函数φ(n)。(2)若Alice选取公钥指数e=7，请计算私钥d。(3)若Bob想向Alice发送明文消息M=2，请计算密文C。(4)请演示Alice使用私钥d对密文C进行解密的过程，验证是否能恢复出明文M。47.（15分）案例分析：某电商平台Web服务器日志分析。作为某电商公司的安全运维人员，你监控到Web服务器的访问日志中出现大量异常记录。以下是两条典型的日志记录片段：记录1：GET/product.php?id=1'OR'1'='1HTTP/1.1Host:User-Agent:Mozilla/5.0(compatible;AttackBot/1.0)记录2：POST/loginHTTP/1.1Host:Content-Type:application/x-www-form-urlencodedContent-Length:45username=admin&password=<script>alert(document.cookie)</script>(1)请分析记录1和记录2分别属于哪种类型的Web攻击？并简要说明其攻击原理。(2)针对记录1中的攻击，如果在后端PHP代码中使用PDO预处理语句（PreparedStatements），能否有效防御？请解释原因。(3)针对记录2中的攻击，如果该内容被直接存储到数据库中，且后台管理页面未对输出进行过滤，当管理员访问该页面时会发生什么？这属于哪种存储型攻击？(4)为了防御上述两类攻击，除了代码层面的修复，还可以部署哪种安全设备？请列举两个。48.（15分）综合论述题：企业数据安全治理体系建设。随着《数据安全法》和《个人信息保护法》的实施，某大型互联网科技公司计划建立完善的数据安全治理体系。该公司拥有海量的用户个人信息、交易数据以及核心算法代码。请结合数据安全治理的框架，回答以下问题：(1)数据安全治理通常包含哪些核心要素？（至少列举四个）(2)请为该公司设计一个数据分类分级的策略框架，说明如何将数据划分为不同级别（如L1-L4），并针对不同级别提出差异化的保护措施。(3)在数据全生命周期（收集、存储、使用、加工、传输、提供、公开）中，“数据提供”（如数据共享、数据出境）环节面临哪些主要安全风险？(4)针对数据出境场景，根据我国相关法律法规，企业应当通过哪些安全评估机制？参考答案及解析一、单项选择题1.B2.C3.A4.C5.B6.B7.C8.B9.D10.A11.D12.C13.D14.D15.B16.C17.C18.B19.C20.C二、多项选择题21.ABCDE22.ABCDE23.ABCDE24.ABE25.ABCDE26.ABCDE27.ABCE28.ABC29.ABCDE30.ABCD三、填空题31.网络运营者安全义务32.应用（或第七）33.椭圆曲线离散对数34.最小必要35.2136.三次握手37.数字签名38.五39.票据授予服务器（TGS）40.v3四、简答题41.对称加密算法优点：加解密速度快，适合处理大量数据；缺点：密钥分发困难，缺乏数字签名功能。非对称加密算法优点：密钥管理方便（公钥公开），支持数字签名和密钥交换；缺点：计算复杂，加解密速度慢。结合使用：利用非对称加密算法加密并传输对称密钥（会话密钥），然后利用对称加密算法加密实际传输的数据，既解决了密钥分发问题，又保证了数据传输效率。42.中间人攻击是指攻击者秘密拦截并可能篡改两个通信方之间消息的攻击方式，攻击者让双方都以为他们在直接与对方通信。防御方法：(1)使用强加密协议（如TLS/SSL）进行通信；(2)验证服务器的数字证书，防止连接到伪造的服务器；(3)使用公钥基础设施（PKI）进行严格身份认证。43.范围：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施。安全保护要求：国家对关键信息基础设施实行重点保护。关键信息基础设施的运营者应当履行安全保护义务，包括建立健全安全保护制度和责任制、设置专门安全管理机构和安全管理负责人、对从业人员进行安全教育和培训、定期进行网络安全检测和风险评估等。44.跨站请求伪造（CSRF）是一种攻击，它迫使终端用户在当前已通过身份验证的Web应用程序上执行非本意的操作。防御策略：使用CSRFToken。在用户会话中生成一个随机且唯一的Token，将其嵌入在表单中，并在服务器端验证请求头或表单参数中的Token是否与会话中的Token一致，不一致则拒绝请求。45.纡深防御策略是一种信息安全策略，通过在信息系统内部部署多层重叠的安全控制措施来保护信息资产。核心思想：假设单一防御措施可能会失效，因此通过建立多层次的防线（如边界防火墙、网络入侵检测、主机防病毒、应用层防护、数据加密等），使得当某一层防线被突破时，其他层仍能提供保护，从而提高系统的整体安全性和抗攻击能力。五、综合应用题46.解：(1)计算模数n和欧拉函数φ(n)：n=p*q=3*11=33φ(n)=(p-1)*(q-1)=2*10=20(2)计算私钥d：公钥e=7。根据公式e*d≡1(modφ(n))，即7*d≡1(mod20)。寻找d，使得7d除以20余1。尝试d=3，7*3=21，21mod20=1。所以私钥d=3。(3)计算密文C：加密公式C=M^emodnC=2^7mod332^7=128128/33=3余29(33*3=99,128-99=29)所以密文C=29。(4)解密过程：解密公式M=C^dmodnM=29^3mod3329^3=29*29*29=24389计算24389mod33。可以简化计算：29mod33=-4(即29≡-4mod33)(-4)^3=-6464mod3364+33*2=-64+66=2或者直接计算：24389/33=739余2。所以解密得到的明文M=2，与原始明文一致，验证成功。47.解：(1)记录1属于SQL注入攻击。原理：攻击者在输入字段中注入恶意的SQL代码（如OR'1'='1'），欺骗后端数据库执行非授权的SQL命令，从而绕过认证或获取敏感数据。记录2属于跨站脚本攻击（XSS）。原理：攻击者在输入中注入恶意脚本代码（如<script>...</script>），如果服务器未过滤直接回显，该脚本将在受害者的浏览器中执行，窃取Cookie等敏感信息。(2)能有效防御。原因：PDO预处理语句将SQL语句的结构与数据参数分离开来，数据库会将参数视为纯数据处理，而不会将其解释为SQL代码的一部分，从而从根本上阻止了SQL注入的发生。(3)当管理员访问该页面时，嵌入的恶意脚本<script>alert(document.cookie)</script>会在