2026年IT安全公司信息安全工程师考试试题及答案解析

2026年IT安全公司信息安全工程师考试试题及答案解析一、单项选择题（每题1分，共20分）1.在信息安全领域，CIA三元组指的是：A.机密性、完整性、可用性B.机密性、身份认证、不可否认性C.完整性、可用性、可控性D.机密性、完整性、可审计性答案：A解析：CIA三元组是信息安全的核心基础模型，分别代表机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。它定义了信息安全保护的基本目标。2.以下哪项是《中华人民共和国网络安全法》中定义的关键信息基础设施运营者应履行的安全保护义务？A.设置专门安全管理机构和安全管理负责人B.每年至少进行一次全面的渗透测试C.强制使用国产密码算法D.数据必须存储在境内答案：A解析：根据《网络安全法》第三十四条，关键信息基础设施的运营者应设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位人员进行安全背景审查。B、C、D选项所述内容虽可能与部分法规或政策相关，但并非该法条明确规定的普遍性核心义务。3.在对称加密算法中，AES（高级加密标准）支持的最小密钥长度是：A.56位B.128位C.192位D.256位答案：B解析：AES是一种分组对称加密算法，其分组长度固定为128位，支持的密钥长度有三种：128位、192位和256位。因此，其最小密钥长度为128位。56位是DES算法的密钥长度。4.用于检测和防御应用层攻击（如SQL注入、跨站脚本）的安全设备或模块是：A.防火墙B.入侵防御系统（IPS）C.Web应用防火墙（WAF）D.防病毒网关答案：C解析：Web应用防火墙（WAF）专门设计用于保护Web应用程序，通过分析HTTP/HTTPS流量，能够有效识别和阻断SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等应用层攻击。传统防火墙和IPS主要工作在网络层和传输层，对复杂应用层攻击的识别能力有限。5.在PKI（公钥基础设施）体系中，负责签发和吊销数字证书的权威机构是：A.注册机构（RA）B.证书颁发机构（CA）C.证书存储库D.终端实体答案：B解析：证书颁发机构（CA）是PKI的核心信任锚点，负责创建、签发、管理和吊销数字证书。注册机构（RA）负责审核用户身份并向CA提交证书申请，但不直接签发证书。6.以下哪种攻击属于社会工程学攻击？A.SYNFloodB.钓鱼邮件C.缓冲区溢出D.ARP欺骗答案：B解析：社会工程学攻击利用人的心理弱点（如信任、好奇、贪婪）来获取敏感信息或诱导其执行危险操作。钓鱼邮件通过伪造可信来源的邮件诱骗用户点击恶意链接或提供凭证，是典型的社会工程学手段。其他选项属于网络层或软件漏洞攻击。7.根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第三级安全保护等级要求的安全审计范围应覆盖：A.每个用户B.每个安全管理员C.每个数据库操作D.每个安全区域内的每个用户答案：A解析：根据等保2.0第三级安全审计要求（），审计范围应覆盖到每个用户，对重要用户行为和重要安全事件进行审计。这比第二级“覆盖到每个安全区域内的每个用户”要求更为严格和全面。8.在风险评估过程中，计算风险值的常用公式是：A.风险=资产价值×威胁频率B.风险=威胁×脆弱性C.风险=可能性×影响D.风险=（资产价值×威胁×脆弱性）答案：C解析：在标准风险评估方法论中，风险通常被量化为风险事件发生的可能性（或概率）与该事件发生后对组织造成的影响（或损失）的乘积，即风险值=可能性×影响。其他选项是简化或不完整的表达。9.用于实现网络设备间安全通信，提供数据机密性、完整性保护的协议是：A.HTTPB.SNMPC.IPSecD.Telnet答案：C解析：IPSec（InternetProtocolSecurity）是一组协议套件，工作在IP层，可为IP网络通信提供透明的加密、认证和完整性保护，常用于构建VPN。HTTP、SNMP、Telnet本身不提供强安全机制，且Telnet传输明文，极不安全。10.在Windows操作系统中，用于存储本地用户密码哈希值的文件是：A.system.iniB.SAM文件C.win.iniD.boot.ini答案：B解析：SAM（SecurityAccountsManager）文件是Windows系统中存储本地用户账户信息（包括经过加密的密码哈希值）的核心数据库文件，通常位于%SystemRoot%\system32\config目录下，受系统强力保护。11.下列哪种备份策略在恢复时只需要最近一次全量备份和最后一次增量备份的数据？A.全量备份B.差分备份C.增量备份D.归档备份答案：B解析：差分备份备份自上一次全量备份以来所有发生变化的数据。恢复时，只需要最近一次全量备份和最近一次差分备份即可完成。而增量备份备份的是上一次备份（无论是全量还是增量）以来的变化，恢复时需要最近一次全量备份和之后所有的增量备份。12.在安全开发生命周期（SDL）中，威胁建模阶段的主要目的是：A.编写安全代码B.识别潜在的安全威胁和漏洞C.进行渗透测试D.部署WAF答案：B解析：威胁建模是SDL的核心环节，旨在系统化地识别应用程序可能面临的威胁、攻击路径和潜在漏洞，以便在设计阶段就考虑和实施相应的安全控制措施，降低安全风险。13.用于检测主机上是否存在已知漏洞的扫描类型是：A.端口扫描B.漏洞扫描C.网络拓扑发现D.性能扫描答案：B解析：漏洞扫描通过主动向目标主机发送特定的探测包，分析响应，并与漏洞特征库进行比对，从而发现目标系统上存在的已知安全漏洞。端口扫描仅用于发现开放端口和服务。14.下列哪项是零信任安全架构的核心原则？A.边界防御B.默认信任内部网络C.永不信任，始终验证D.基于IP地址的访问控制答案：C解析：零信任安全模型的核心原则是“永不信任，始终验证”，即不默认信任网络内外的任何主体（用户、设备、应用），对所有访问请求进行严格的身份认证、授权和持续验证。15.在数字取证中，为了确保证据的完整性，最常用的技术是：A.数据压缩B.计算哈希值C.数据加密D.数据备份答案：B解析：哈希函数（如SHA-256、MD5）能够为电子数据生成唯一的“数字指纹”。在取证时，对原始证据介质计算哈希值并记录，后续任何对数据的分析都在其副本上进行。通过比对哈希值，可以验证证据自获取以来是否被篡改，确保其完整性。16.GDPR（通用数据保护条例）中规定的数据主体权利不包括：A.被遗忘权B.数据可携权C.免费无限次访问权D.限制处理权答案：C解析：GDPR赋予数据主体多项权利，包括访问权、更正权、被遗忘权（删除权）、限制处理权、数据可携权、反对权等。但访问权通常规定在合理且不过度频繁的情况下免费提供，而非“免费无限次访问”。17.下列哪种加密算法属于非对称加密算法？A.AESB.RSAC.RC4D.3DES答案：B解析：RSA是一种广泛使用的非对称（公钥）加密算法，基于大数分解的数学难题。AES、RC4、3DES均属于对称加密算法。18.在应急响应流程中，遏制阶段的主要目标是：A.根除事件原因B.防止事件影响进一步扩大C.全面恢复业务D.进行事后总结答案：B解析：应急响应通常包含准备、检测、遏制、根除、恢复、总结等阶段。遏制阶段是在确认安全事件后，立即采取隔离受影响系统、断开网络连接、关闭服务等措施，以限制攻击的扩散和影响的扩大。19.下列哪项技术主要用于防止跨站请求伪造（CSRF）攻击？A.输入验证B.输出编码C.使用CSRFTokenD.设置HttpOnlyCookie答案：C解析：CSRF攻击利用用户已登录的身份，诱骗其浏览器向目标网站发送非本意的请求。最有效的防御措施是在关键请求（如表单提交、状态变更）中加入一个随机的、不可预测的CSRFToken，服务器验证该Token的有效性。HttpOnlyCookie主要用于缓解XSS攻击窃取Cookie。20.根据我国《密码法》，用于保护不属于国家秘密的信息的密码是：A.核心密码B.普通密码C.商用密码D.个人密码答案：C解析：《密码法》将密码分为核心密码、普通密码和商用密码。核心密码、普通密码用于保护国家秘密信息。商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。二、多项选择题（每题2分，共20分，多选、少选、错选均不得分）1.下列哪些属于OWASPTop10（2021版）中列出的主要Web应用安全风险？（）A.失效的访问控制B.加密机制失效C.注入D.不安全的设计E.硬件故障答案：A,C,D解析：OWASPTop102021版的前十大风险为：A01:失效的访问控制、A02:加密机制失效、A03:注入、A04:不安全的设计、A05:安全配置错误、A06:易受攻击和过时的组件、A07:身份认证和授权失效、A08:软件和数据完整性故障、A09:安全日志和监控故障、A10:服务端请求伪造（SSRF）。B选项“加密机制失效”是具体风险项。E选项“硬件故障”不属于应用层安全风险范畴。2.以下哪些是有效的双因素认证（2FA）组合示例？（）A.密码+短信验证码B.指纹+人脸识别C.智能卡+PIN码D.密码+安全问题E.U盾+动态口令答案：A,C,E解析：双因素认证要求结合以下三种因素中的任意两种：所知（如密码、PIN）、所有（如智能卡、U盾、手机）、所是（如指纹、人脸）。A（所知+所有）、C（所有+所知）、E（所有+所知）是有效组合。B是两个“所是”因素，属于单因素（生物特征）的两种形态。D是两个“所知”因素。3.在Linux系统中，以下哪些命令或文件可用于管理用户和权限？（）A.useradd/usermodB.chmod/chownC./etc/passwdD./etc/shadowE.netstat答案：A,B,C,D解析：useradd/usermod用于添加/修改用户；chmod修改文件权限，chown修改文件属主；/etc/passwd存储用户账户信息；/etc/shadow存储加密后的用户密码哈希值。netstat用于显示网络连接、路由表等信息，与用户权限管理无关。4.下列哪些协议或服务在默认情况下使用明文传输，存在嗅探风险？（）A.FTPB.SSHC.TelnetD.HTTPE.SMTP（无SSL/TLS）答案：A,C,D,E解析：FTP（控制连接）、Telnet、HTTP以及未启用SSL/TLS加密的SMTP协议，在传输数据（包括认证信息）时均使用明文，容易被网络嗅探工具截获。SSH协议全程加密，安全性高。5.一个完整的信息安全策略体系通常包含以下哪些层级？（）A.安全方针（Policy）B.标准（Standard）C.指南（Guideline）D.流程和规程（Procedure）E.技术配置手册答案：A,B,C,D解析：一个成熟的信息安全策略体系是分层级的：安全方针（Policy）是高层指导性文件；标准（Standard）是必须遵守的强制性规则；指南（Guideline）是推荐的最佳实践；流程和规程（Procedure）是具体的操作步骤。技术配置手册可视为规程的一种具体形式，但通常不作为一个独立的通用层级。三、填空题（每空1分，共10分）1.在访问控制模型中，基于用户所属角色进行权限分配的模型称为______访问控制。答案：基于角色的（或RBAC）解析：RBAC（Role-BasedAccessControl）将权限与角色关联，用户通过被赋予角色来获得相应权限，简化了权限管理。2.用于将公钥与实体身份绑定的电子文件称为______。答案：数字证书解析：数字证书由CA签发，遵循X.509标准，包含了公钥、持有者身份信息以及CA的数字签名，用于证明公钥的归属。3.在TCP/IP协议栈中，能够提供无连接、不可靠传输服务的协议是______协议。答案：UDP（用户数据报协议）解析：UDP（UserDatagramProtocol）是一种无连接的传输层协议，不保证数据包的顺序、可靠交付，但开销小、速度快。4.信息安全事件管理国际标准ISO/IEC27035中，将事件响应分为五个阶段：准备、______、遏制、根除、恢复与总结。答案：检测与评估（或识别）解析：ISO/IEC27035定义的信息安全事件管理生命周期通常包括：准备、检测与报告、评估与决策、响应、事后总结。题干描述是常见简化版，空格处应为“检测”或“识别”。5.利用哈希函数的抗碰撞性，可以验证数据的______。答案：完整性解析：哈希函数能够为任意长度的数据生成固定长度的摘要。即使原始数据发生微小改变，其哈希值也会发生巨大变化。通过比对哈希值，可以验证数据在传输或存储过程中是否被篡改，从而确保其完整性。6.在网络安全领域，APT是______的缩写，指高级持续性威胁。答案：AdvancedPersistentThreat解析：APT（AdvancedPersistentThreat）指由具备高级能力的攻击者发起的，针对特定目标进行长期、持续、复杂的网络攻击活动。7.根据《信息安全技术个人信息安全规范》（GB/T35273-2020），个人敏感信息一旦泄露可能导致个人受到歧视或者人身、财产受到______。答案：严重危害解析：该标准明确定义，个人敏感信息一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等。填空处为“严重危害”。8.在防火墙技术中，______型防火墙工作在OSI模型的网络层，通过检查数据包的源地址、目的地址、端口号等信息来决定是否允许通过。答案：包过滤（或网络层）解析：包过滤防火墙是最早的防火墙类型，工作在网络层（和传输层），根据预先设定的规则（ACL）对IP数据包的头部信息进行检查和过滤。9.在密码学中，用于确保发送方无法否认其已发送信息的行为，称为______。答案：不可否认性（或抗抵赖性）解析：不可否认性是信息安全的重要属性之一，指通过技术手段（如数字签名）防止通信实体否认其曾参与某项通信或交易行为。10.在虚拟化安全中，______是指攻击者通过虚拟机逃逸攻击，从客户机虚拟机侵入到宿主机或其他虚拟机的安全威胁。答案：虚拟机逃逸（或VMEscape）解析：虚拟机逃逸是虚拟化环境中最严重的安全威胁之一，指攻击者利用虚拟机软件（Hypervisor）的漏洞，突破客户机操作系统的隔离限制，获得宿主机操作系统或其他虚拟机的控制权。四、简答题（每题5分，共20分）1.简述对称加密与非对称加密的主要区别，并各举一个典型算法。答案：主要区别：1.密钥不同：对称加密使用同一个密钥进行加密和解密，密钥必须保密；非对称加密使用一对密钥（公钥和私钥），公钥公开，私钥保密。2.速度不同：对称加密算法计算速度快，适合加密大量数据；非对称加密算法计算复杂，速度慢，不适合加密大数据量。3.用途不同：对称加密主要用于数据的加密存储和传输；非对称加密主要用于密钥交换、数字签名和身份认证。典型算法：对称加密如AES、DES；非对称加密如RSA、ECC。2.简述在渗透测试过程中，获取目标系统shell权限后，通常需要进行哪些后续操作（至少列举三项）。答案：获取shell后，通常进行以下后续操作：1.权限提升：尝试利用本地漏洞将当前用户权限提升至系统最高权限（如root/Administrator）。2.信息收集：进一步收集系统信息，如网络配置、用户列表、进程列表、安装的软件及补丁情况、敏感文件（配置文件、密码文件）等。3.建立持久化访问：通过创建后门账户、安装木马、设置计划任务、修改服务等方式，确保在连接断开后仍能重新控制目标系统。4.横向移动：利用已获取的凭据或漏洞，尝试访问和控制网络内的其他主机。5.数据窃取或破坏：根据测试目标，寻找并窃取敏感数据，或证明可对系统造成破坏（此步骤需在授权范围内极其谨慎地进行）。3.什么是业务连续性计划（BCP）？其与灾难恢复计划（DRP）的主要关注点有何不同？答案：业务连续性计划（BCP）是一个全面的管理过程，旨在识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运营带来的影响，并提供一个框架来建立组织的恢复能力，确保关键业务功能在中断期间和之后能够持续运营。它关注的是维持整个组织的业务运营。灾难恢复计划（DRP）是BCP的一个子集，更侧重于在灾难（如火灾、洪水、重大系统故障）发生后，恢复特定的IT系统、基础设施、数据和应用程序到可运行状态的技术性措施和流程。DRP主要关注IT技术和数据中心的恢复。简言之，BCP关注“业务不停”，范围更广；DRP关注“IT恢复”，是BCP的技术实现部分。4.简述在安全编码中，为了防止SQL注入攻击，开发者可以采取哪些主要防护措施？答案：1.使用参数化查询（预编译语句）：这是最有效的方法。将SQL语句的结构与数据参数分离，数据库驱动程序会确保参数被安全地处理，不会被解释为SQL代码。2.使用存储过程：在数据库端定义好的存储过程，并通过参数调用，也能在一定程度上防止注入，但需注意在存储过程内部避免动态拼接SQL。3.对输入进行严格的验证和过滤：对用户输入的数据类型、长度、格式、取值范围进行白名单验证。但仅依赖过滤是不安全的。4.使用ORM框架：对象关系映射框架（如Hibernate,MyBatis）通常内置了参数化查询机制，能自动处理参数转义。5.遵循最小权限原则：为数据库应用程序账户分配仅能满足其功能所需的最小权限，避免使用高权限账户（如sa，root）连接数据库。6.避免在错误信息中泄露数据库结构细节。五、应用题（共30分）1.综合案例分析题（15分）某电子商务公司“购易网”近期发生一起安全事件。攻击者利用网站订单查询接口的漏洞，通过批量遍历订单ID参数，获取了大量其他用户的订单信息，包括收货人姓名、电话、地址和购买商品详情。技术调查发现，该接口在验证用户身份后，未能对后续的订单ID访问权限进行二次校验，导致已登录用户可查询任意订单号的数据。请根据上述案例回答以下问题：（1）该安全漏洞属于OWASPTop10中的哪一类风险？请说明理由。（3分）（2）请详细分析此漏洞产生的根本原因。（4分）（3）请为该漏洞设计具体的修复方案，需包含技术和管理两个层面的措施。（8分）答案：（1）属于“失效的访问控制”（BrokenAccessControl）。理由：该接口在用户身份认证通过后，未能实施正确的授权检查。系统只验证了“用户是否登录”，但没有验证“当前登录的用户是否有权访问其请求的特定订单ID对应的资源”，导致越权访问（此处是水平越权）发生。（2）根本原因分析：1.设计缺陷：在系统设计阶段，对订单查询功能的访问控制逻辑设计不完善，误认为身份认证等同于资源访问授权。2.开发缺陷：在代码实现时，开发人员仅在前端或初次请求时检查了登录状态，在后台处理订单ID查询请求的业务逻辑中，缺少对“当前登录用户ID与请求的订单所属用户ID是否匹配”的强制校验。3.测试缺失：在安全测试（特别是权限相关测试）环节存在疏漏，未能通过渗透测试或代码审计发现此水平越权漏洞。4.安全意识不足：开发团队对访问控制的重要性认识不足，未能遵循“默认拒绝”和“最小权限”的安全原则。（3）修复方案：技术层面：1.代码修复：在服务器端订单查询业务逻辑的入口处，添加强制性的权限校验。伪代码示例：`if(currentUserId!=order.getUserId()){thrownewAccessDeniedException();}`。确保每次数据访问都经过权限判断。2.使用安全的API设计：考虑重构API，使其不直接暴露顺序增长的订单ID。可以使用难以预测的随机标识符（如UUID）作为订单号，或使用当前用户上下文自动过滤数据，避免在请求参数中传递资源ID。3.引入安全框架：利用现有的安全框架（如SpringSecurity）的注解（如`@PreAuthorize`）或方法，在方法级别统一实现访问控制逻辑。4.加强日志审计：对订单查询操作进行详细日志记录，包括操作者、时间、查询的订单ID等，便于事后监控和追溯异常行为。管理层面：1.安全开发培训：立即对全体开发人员进行安全编码培训，重点讲解OWASPTop10风险，特别是访问控制类漏洞的原理、危害及防范措施。2.完善SDL流程：将威胁建模和代码安全审查（尤其是权限逻辑审查）作为上线前的强制环节。在需求设计和评审阶段就明确各功能的访问控制要求。3.强化测试环节：将水平/垂直越权测试用例纳入常规的自动化安全测试和手动渗透测试范围。定期进行专项的权限漏洞扫描。4.事件响应与复盘：针对本次事件进行彻底复盘，形成案例库，更新公司的安全编码规范，防止同类问题再次发生。2.计算与分析题