2026年信息安全管理师能力鉴定试卷及答案

2026年信息安全管理师能力鉴定试卷及答案一、单项选择题（共20题，每题1分，共20分。每题只有一个最符合题意的选项。）1.在信息安全属性中，确保信息在存储或传输过程中保持不被未授权的篡改、破坏的特性是指（）。A.保密性B.完整性C.可用性D.不可否认性2.根据我国《网络安全法》的规定，关键信息基础设施的运营者在采购网络产品和服务时，应当按照规定与提供者签订（）。A.保密协议B.安全保密协议C.知识产权协议D.数据处理协议3.在ISO/IEC27001标准中，用于建立、实施、维护和持续改进信息安全管理体系（ISMS）的PDCA模型中，“A”代表的是（）。A.Act（改进）B.Assess（评估）C.Analyze（分析）D.Audit（审计）4.以下关于对称加密算法的描述中，错误的是（）。A.加密和解密使用相同的密钥B.典型算法包括DES、AES、RC4C.密钥分发问题是对称加密的主要挑战之一D.其计算复杂度通常高于非对称加密算法5.在TCP/IP协议栈中，SSL/TLS协议主要工作在（），为应用层提供安全通信。A.网络层B.传输层C.会话层D.应用层6.某公司内部网络部署了入侵检测系统（IDS），管理员发现系统产生了大量的误报。为了降低误报率，最有效的措施是（）。A.关闭IDS系统B.调整检测规则的阈值和灵敏度C.增加更多的传感器D.将IDS切换为混杂模式7.访问控制模型中，基于“需要知道”原则，通过安全标签来强制访问控制的模型是（）。A.DAC（自主访问控制）B.MAC（强制访问控制）C.RBAC（基于角色的访问控制）D.ABAC（基于属性的访问控制）8.在数据库安全中，为了防止未授权用户通过推断某些非敏感数据而获取敏感信息，这种攻击被称为（）。A.SQL注入B.推断攻击C.暴力破解D.旁路攻击9.下列关于数字签名的说法，正确的是（）。A.数字签名使用发送者的公钥进行生成B.数字签名主要用于保证数据的机密性C.数字签名具有不可伪造性和不可否认性D.数字签名可以防止数据在传输中被窃听10.根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，对于第三级以上的网络系统，安全计算环境中的身份鉴别要求（）。A.仅需用户名/口令鉴别B.必须采用双因子或两种以上鉴别技术C.可以使用默认口令D.不需要定期更换口令11.在网络安全审计中，审计追踪的记录不应包含（）。A.事件类型B.主体身份C.客体身份D.用户的密码明文12.针对Web应用的XSS跨站脚本攻击，其核心危害在于（）。A.直接删除服务器数据库文件B.在客户端执行恶意脚本，窃取Cookie或会话令牌C.耗尽服务器CPU资源D.绕过防火墙规则13.零信任安全架构的核心原则是（）。A.信任内部网络，不信任外部网络B.从不信任，始终验证C.仅验证一次，长期有效D.依赖网络边界防御14.在业务连续性管理（BCM）中，RTO（RecoveryTimeObjective）指的是（）。A.数据可容忍的最大丢失时间B.业务中断后恢复到正常状态所需的时间目标C.业务中断的最大可容忍时间D.数据备份的频率15.以下哪种技术常用于防止ARP欺骗攻击？（）A.静态ARP绑定B.动态路由协议C.端口安全D.NAT转换16.公钥基础设施（PKI）的核心组成部分不包括（）。A.CA（证书颁发机构）B.RA（注册机构）C.证书库D.防火墙17.在云计算环境中，责任共担模型指出，云服务商和客户共同承担安全责任。在IaaS模式下，客户通常负责（）。A.物理安全B.虚拟化软件安全C.操作系统、应用程序及数据安全D.网络基础设施安全18.某恶意软件通过加密用户文件并勒索赎金来获利，这种恶意软件被称为（）。A.木马B.蠕虫C.勒索软件D.间谍软件19.我国《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。这体现了个人信息处理的（）原则。A.最小必要B.知情同意C.公开透明D.确保安全20.在安全开发生命周期（SDLC）中，代码审计活动主要在哪个阶段进行？（）A.需求分析B.设计C.编码/实现D.测试二、多项选择题（共10题，每题2分，共20分。每题有两个或两个以上符合题意的选项，错选不得分，少选得部分分。）1.信息系统面临的主要安全威胁包括（）。A.信息泄露B.完整性破坏C.服务拒绝D.非授权使用E.物理环境灾害2.以下属于常见的网络安全防御技术有（）。A.防火墙B.入侵防御系统（IPS）C.VPN（虚拟专用网络）D.漏洞扫描系统E.数据库审计系统3.风险评估的主要步骤包括（）。A.资产识别与赋值B.威胁识别C.脆弱性识别D.风险计算E.安全控制措施选择4.关于SSH协议的安全配置，以下做法正确的有（）。A.禁止root用户直接远程登录B.修改默认的22端口C.仅使用密码认证D.启用基于公钥的认证E.禁用版本1协议5.在等级保护2.0中，安全管理中心包含的组件有（）。A.系统管理B.审计管理C.集中管控D.安全管理E.网络管理6.数据备份策略主要包括（）。A.全量备份B.增量备份C.差异备份D.实时备份E.快照备份7.针对SQL注入攻击的防御措施包括（）。A.使用预编译语句B.对用户输入进行严格的类型检查和过滤C.使用最小权限原则配置数据库连接D.在错误信息中隐藏数据库结构细节E.使用WAF（Web应用防火墙）8.以下属于我国关键信息基础设施行业领域的有（）。A.公共通信和信息服务B.能源C.金融D.交通E.卫生医疗9.物理安全主要涉及（）。A.机房选址与访问控制B.环境安全（防火、防水、防静电）C.设备防盗与防毁坏D.电磁兼容与防护E.供电安全10.安全事件响应的PDCERF模型包括的阶段有（）。A.准备B.检测C.遏制D.根除E.恢复和跟踪三、判断题（共10题，每题1分，共10分。请判断每题的表述是否正确，正确的填“A”，错误的填“B”。）1.防火墙可以完全防止内部网络受到所有类型的攻击。（）2.MD5和SHA-1算法目前被认为是安全的哈希算法，适合用于数字签名。（）3.当发生安全事件时，首要任务是立即断开网络连接，以防止损失扩大，然后再进行取证分析。（）4.在网络安全中，白名单机制通常比黑名单机制更安全，但也更难维护。（）5.只要对敏感数据进行加密存储，即使数据库被拖库，攻击者也无法获取明文信息，因此不需要其他防护措施。（）6.社会工程学攻击主要是利用人性的弱点（如好奇心、恐惧、贪婪）来获取敏感信息或访问权限。（）7.所有的网络扫描行为都是恶意的，应当被防火墙直接阻断。（）8.容器技术（如Docker）提供了强隔离性，因此容器内的应用不需要进行安全加固。（）9.在进行渗透测试前，必须获得授权，否则可能触犯法律。（）10.灾难恢复计划（DRP）只在自然灾害发生时才需要启动，人为破坏不需要启动。（）四、填空题（共10空，每空1分，共10分。）1.在OSI七层模型中，负责在网络层提供逻辑地址寻址和路由选择的层是第______层。2.我国《数据安全法》规定，国家建立数据分类分级保护制度，对数据实行______保护。3.RSA算法的安全性主要依赖于大整数______问题的困难性。4.在Linux系统中，用于查看当前网络连接状态的命令是______。5.计算机病毒的特征包括：寄生性、传染性、潜伏性、______和可触发性。6.Kerberos是一种基于可信第三方的网络认证协议，它使用______技术进行通信加密。7.在Web应用安全中，CSRF（Cross-SiteRequestForgery）的全称是______。8.为了防止重放攻击，认证协议中通常会引入______机制。9.信息安全风险评估的基本公式是：风险=威胁×脆弱性×______。10.______是一种通过伪造源IP地址和源端口，向目标主机发送大量SYN包，耗尽目标资源的攻击方式。五、简答题（共4题，每题5分，共20分。）1.请简述CIA三要素的具体含义及其在信息系统安全中的重要性。2.某企业计划上线一套新的客户关系管理系统（CRM），作为信息安全管理师，请列出在系统设计阶段应考虑的五个关键安全控制点。3.请对比说明对称加密算法与非对称加密算法的主要优缺点。4.什么是“纵深防御”？请结合网络边界、主机、应用和数据四个层面举例说明如何构建纵深防御体系。六、综合应用题（共2题，每题10分，共20分。）1.案例分析：某中型电商公司A，主要业务为在线销售。公司网络架构为典型的DMZ区（部署Web服务器和应用服务器）、内网区（部署数据库服务器和核心业务系统）。近期，公司频繁遭到Web攻击，且内部员工曾发生过因误操作导致核心数据泄露的事件。问题：(1)针对Web攻击，请列举至少三种技术防护措施，并简要说明其部署位置和作用。（4分）(2)为了防止内部数据泄露，除了制定管理制度外，请列举至少三种技术手段。（3分）(3)假设攻击者通过Web应用漏洞获取了Web服务器的控制权，为了限制其进一步横向移动到数据库服务器，网络层面应采取什么隔离措施？（3分）2.风险评估计算与分析：某信息资产“财务数据库服务器”被评估。已知条件：资产价值：根据业务重要性，赋值为5（等级1-5，5最高）。威胁频率：根据历史数据和行业情况，该服务器面临“SQL注入”攻击的频率赋值为4（等级1-5，5最高）。脆弱性严重程度：经漏洞扫描，发现存在未过滤输入的高危漏洞，赋值为5（等级1-5，5最高）。风险计算公式采用：风险值R=资产价值A×威胁T×脆弱性V。风险等级划分标准：0-20：低风险21-50：中风险51-80：高风险81-100：极高风险问题：(1)请计算该资产面临SQL注入攻击的风险值，并确定其风险等级。（4分）(2)针对该风险，请提出至少两条具体的处置建议（降低威胁、降低脆弱性或降低资产价值）。（6分）参考答案与解析一、单项选择题1.B[解析]完整性是指信息在未经授权的情况下不能被篡改或破坏。2.B[解析]《网络安全法》第三十七条规定，关键信息基础设施的运营者在采购网络产品和服务，应当按照规定与提供者签订安全保密协议。3.A[解析]PDCA循环中，A是Act，即处置/改进，采取措施以持续改进过程绩效。4.D[解析]对称加密算法（如AES）的计算速度通常快于非对称加密算法（如RSA），非对称计算复杂度高。5.B[解析]SSL/TLS协议位于传输层（TCP）之上，应用层之下，为传输层提供安全服务。6.B[解析]误报是指将正常行为误判为攻击。调整规则阈值和灵敏度是优化IDS检测精度的关键。7.B[解析]MAC（强制访问控制）基于安全标签，用于高安全级别环境，实施“上读下写”等策略。8.B[解析]推断攻击是指通过查询合法数据并分析结果，从而推断出未授权访问的敏感信息。9.C[解析]数字签名利用私钥生成，公钥验证，解决了真实性和不可否认性问题，不保证机密性。10.B[解析]等保2.0三级及以上要求采用双因子或组合鉴别技术。11.D[解析]审计记录中不应包含用户密码等敏感明文信息，以防审计日志泄露导致二次风险。12.B[解析]XSS攻击本质是在受害者浏览器中注入恶意脚本执行，从而劫持会话或进行恶意操作。13.B[解析]零信任架构的核心原则是“从不信任，始终验证”，不再以网络边界为信任基础。14.B[解析]RTO（RecoveryTimeObjective）是指恢复时间目标，即业务中断后恢复业务功能所需的时间。15.A[解析]静态ARP绑定将IP地址与MAC地址固定，可有效防止ARP欺骗。16.D[解析]防火墙是网络安全设备，不属于PKI体系的核心组件。PKI核心包括CA、RA、证书库、策略管理系统等。17.C[解析]IaaS模式下，云服务商负责物理到虚拟化层，客户负责操作系统及以上层（OS、中间件、数据、应用）。18.C[解析]勒索软件通过加密用户数据并勒索赎金。19.A[解析]最小必要原则是指只处理与目的有关的最少信息。20.D[解析]代码审计通常在实现阶段或测试阶段进行，用于发现代码层面的安全漏洞。二、多项选择题1.ABCDE[解析]信息系统威胁涵盖技术攻击（信息泄露、完整性破坏、拒绝服务、未授权使用）以及物理环境灾害。2.ABCDE[解析]所有选项均为常见的网络安全防御技术或设备。3.ABCDE[解析]风险评估流程包括资产识别、威胁识别、脆弱性识别、风险计算，并基于此选择控制措施。4.ABDE[解析]SSH安全配置应禁止root直连、改端口、用公钥认证、禁用V1。仅使用密码认证相对较弱，不是最佳实践。5.ABD[解析]等保2.0安全管理中心包括系统管理、审计管理和安全管理。6.ABC[解析]常见备份策略为全量、增量、差异。实时和快照通常属于技术实现手段或特定场景策略。7.ABCDE[解析]所有选项均为防御SQL注入的有效手段。8.ABCDE[解析]《关键信息基础设施安全保护条例》规定的行业包括公共通信、能源、金融、交通、水利、医疗卫生、科教等。9.ABCDE[解析]物理安全涵盖机房环境、设备硬件、电磁、供电等多个方面。10.ABCDE[解析]PDCERF模型包含准备、检测、遏制、根除、恢复、跟踪总结阶段。三、判断题1.B[解析]防火墙无法防范内部攻击、病毒传播（部分）以及未知的新型攻击。2.B[解析]MD5和SHA-1已被证明存在碰撞漏洞，不再推荐用于数字签名等高安全性场景，建议使用SHA-256等。3.B[解析]虽然遏制是重要的，但如果是取证场景，立即断网可能导致内存数据丢失或破坏攻击现场，应视情况先进行内存镜像等取证操作，再断网。但在一般应急响应中，首要任务通常是遏制，但“立即断网”不是唯一且绝对正确的首要动作，需视具体攻击类型而定（如勒索软件可能需要先隔离主机）。题目表述过于绝对。4.A[解析]白名单默认拒绝所有，仅允许已知，安全性高于黑名单，但维护难度大。5.B[解析]加密存储是必要的，但还需要访问控制、密钥管理、应用层防注入等综合措施，仅加密不能完全保证安全。6.A[解析]社会工程学正是利用人性弱点。7.B[解析]网络扫描可能是管理员进行的资产探测或漏洞扫描，不一定是恶意攻击。8.B[解析]容器隔离性不如虚拟机，共享宿主机内核，仍需安全加固。9.A[解析]渗透测试必须获得授权，否则属于非法入侵。10.B[解析]灾难恢复计划（DRP）适用于任何导致业务中断的重大灾难，包括人为破坏、大范围故障等。四、填空题1.3[解析]网络层是OSI模型的第3层。2.分类分级[解析]《数据安全法》确立数据分类分级保护制度。3.大整数分解[解析]RSA基于大整数分解难题。4.netstat[解析]netstat用于显示网络连接、路由表等。5.破坏性[解析]病毒特征包括寄生性、传染性、潜伏性、破坏性、可触发性。6.对称加密[解析]Kerberos在票据传输等环节主要使用对称加密（如DES/AES）。7.跨站请求伪造[解析]CSRF全称Cross-SiteRequestForgery。8.时间戳[解析]引入时间戳或随机数防止重放攻击。9.资产价值[解析]风险=威胁×脆弱性×资产价值。10.SYNFlood[解析]利用TCP握手缺陷，发送大量SYN包耗尽资源。五、简答题1.答：CIA三要素是信息安全的基石：保密性：确保信息只被授权的个人、实体或进程访问，防止信息泄露给未授权方。重要性在于保护商业机密、个人隐私和国家安全。完整性：确保信息在存储或传输过程中保持准确和完整，未被未授权地篡改、破坏。重要性在于保证数据和系统的可信度，防止欺诈。可用性：确保授权用户在需要时可以访问和使用信息及资源。重要性在于保障业务连续性，避免因服务中断造成损失。2.答：在CRM系统设计阶段应考虑的关键安全控制点包括：(1)身份认证与访问控制：设计强密码策略、多因素认证（MFA）及基于角色的最小权限访问控制（RBAC）。(2)输入验证：对所有用户输入进行严格的格式、长度和类型检查，防止注入攻击。(3)数据加密：设计对敏感数据（如客户身份证号、联系方式）在传输层（SSL/TLS）和存储层（数据库加密）进行加密。(4)审计日志：设计完善的日志记录机制，记录关键操作（登录、查询、修改、导出），便于审计和追溯。(5)会话管理：设计安全的会话超时机制、防会话固定及会话令牌保护。3.答：对称加密：优点：算法计算简单，加解密速度快，适合处理大量数据。缺点：密钥分发和管理困难，缺乏有效的身份认证机制。非对称加密：优点：密钥管理方便（公钥公开，私钥保密），支持数字签名和密钥交换，解决了身份认证问题。缺点：算法复杂，计算量大，加解密速度远慢于对称加密，不适合处理长数据。4.答：纵深防御是指在信息系统中设置多层重叠的安全控制措施，以防御不同类型的威胁，防止单点失效导致整体突破。网络边界层：部署防火墙、WAF、抗DDoS设备，过滤恶意流量，阻断攻击。主机层：安装防病毒软件、EDR（端点检测与响应）、配置主机防火墙（iptables），加固操作系统，及时打补丁。应用层：实施代码审计、输入验证、输出编码、安全配置管理，防止应用层漏洞被利用。数据层：实施数据加密、敏感数据脱敏、数据库访问控制及备份，确保数据的