2026年信息安全工程师业务考试真题及参考答案

2026年信息安全工程师业务考试真题及参考答案一、判断题（每题1分，共10分）1.根据《中华人民共和国数据安全法》，关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。答案正确2.零信任架构的核心安全假设是“网络边界内部即为可信区域”，默认对内部网络访问主体授予永久信任权限。答案错误3.根据网络安全等级保护2.0相关要求，第三级信息系统应当每年至少开展一次等级测评，第四级信息系统应当每半年至少开展一次等级测评。答案正确4.MD5杂凑算法输出的摘要长度为128比特，目前由于其抗碰撞性已被攻破，不再推荐用于数字签名、完整性校验等安全密码场景。答案正确5.应对勒索病毒攻击时，唯一有效防护手段是部署网络防火墙，无需开展数据备份工作。答案错误6.Web应用防火墙（WAF）无需定期更新规则库即可防御所有类型的SQL注入、XSS等Web攻击。答案错误7.根据《中华人民共和国网络安全法》，网络运营者应当按照规定留存相关网络日志不少于六个月。答案正确8.与公钥加密算法相比，对称加密算法不存在密钥分发安全难题，更适合大规模开放网络环境下的加密通信。答案错误9.开展渗透测试、漏洞挖掘等安全测试活动前，必须获得被测系统所属单位的书面授权，严格在授权范围内开展测试，不得对授权范围外的系统造成影响。答案正确10.入侵检测系统（IDS）通常采用串联部署方式在网络边界位置，可以直接阻断检测到的恶意攻击流量。答案错误二、单项选择题（每题1分，共30分）1.根据《中华人民共和国密码法》，核心密码、普通密码用于保护国家秘密信息，且核心密码、普通密码属于（），其管理依照有关法律、行政法规和国家有关规定执行。A.商业秘密B.国家秘密C.工作秘密D.公开信息答案B2.下列密码算法中，属于我国商用密码标准中的非对称加密算法的是（）。A.SM4B.AESC.SM2D.3DES答案C3.网络安全等级保护2.0技术防护体系遵循“一个中心、三重防护”的设计思路，其中“一个中心”指的是（）。A.安全管理制度中心B.安全管理中心C.安全运维中心D.应急响应中心答案B4.攻击者通过发送伪造的ARP报文，将网关IP地址错误映射为攻击者主机的MAC地址，从而截获受害主机网络流量的攻击方式属于（）。A.SQL注入攻击B.ARP欺骗攻击C.DNS劫持攻击D.端口扫描攻击答案B5.下列关于HTTPS协议的描述，错误的是（）。A.HTTPS默认服务端口为443B.HTTPS在HTTP协议基础上结合SSL/TLS协议实现传输加密C.部署HTTPS后可以完全防御钓鱼网站诈骗D.HTTPS通过数字证书实现服务端身份认证答案C6.传统包过滤防火墙主要工作在OSI网络参考模型的哪一层？（）A.物理层B.数据链路层C.网络层D.应用层答案C7.根据《国家网络安全事件应急预案》，造成关键信息基础设施大面积中断、引发大范围社会秩序混乱，对国家安全造成特别严重损害的网络安全事件属于（）。A.Ⅰ级（特别重大）B.Ⅱ级（重大）C.Ⅲ级（较大）D.Ⅳ级（一般）答案A8.下列攻击方式中，不属于典型Web应用层攻击的是（）。A.反射型XSS跨站脚本攻击B.CSRF跨站请求伪造攻击C.缓冲区溢出攻击D.任意文件上传漏洞利用答案C9.Linux操作系统中，存储用户密码哈希值、仅root用户可读的配置文件是（）。A./etc/passwdB./etc/shadowC./etc/groupD./etc/hosts答案B10.下列恶意代码类型中，核心特征为加密受害主机核心文件、以解密密钥为条件向受害者索要赎金的是（）。A.远控木马B.传播型蠕虫C.勒索病毒D.触发型逻辑炸弹答案C11.零信任架构的核心访问控制原则是（）。A.网络位置决定信任等级，内网默认全通B.永不信任，始终验证，基于上下文动态授权C.一次认证即可获得永久访问权限D.外部访问需验证，内部访问无需控制答案B12.我国商用密码标准中的SM3杂凑算法，输出的消息摘要长度为（）比特。A.128B.160C.256D.512答案C13.下列漏洞类型中，属于业务逻辑漏洞的是（）。A.水平/垂直越权访问B.栈缓冲区溢出C.联合查询型SQL注入D.存储型XSS漏洞答案A14.根据《中华人民共和国个人信息保护法》，处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应当取得个人的（）。A.默示同意B.单独同意C.事后追认D.无需同意答案B15.经典网络安全应急响应PDCERF模型将应急响应流程分为六个阶段，依次为准备、检测、遏制、根除、恢复和（）。A.溯源反制B.总结跟踪C.报案追责D.复盘重保答案B16.下列访问控制模型中，通过为主体和客体分配安全标签，按照安全级别强制实现访问控制，用户无法自主修改权限的是（）。A.DAC自主访问控制B.MAC强制访问控制C.RBAC基于角色的访问控制D.ABAC基于属性的访问控制答案B17.攻击者向目标主机发送大量源地址伪造的TCPSYN报文，占满目标主机半连接队列，导致合法用户无法正常建立TCP连接的拒绝服务攻击是（）。A.SYNFlood攻击B.PingofDeath攻击C.Teardrop分片攻击D.钓鱼邮件攻击答案A18.下列设备中，部署在不同安全域边界，依据预设安全策略对进出网络流量进行过滤和控制的核心边界安全设备是（）。A.二层交换机B.核心路由器C.防火墙D.网络集线器答案C19.下列关于公钥基础设施（PKI）的描述，错误的是（）。A.证书认证机构（CA）是PKI体系的核心，负责数字证书的签发、撤销和生命周期管理B.数字证书用于证明证书持有者身份与对应公钥的绑定关系C.证书吊销列表（CRL）用于发布已被撤销的数字证书信息D.PKI仅能用于HTTPS网站加密，无法支持电子邮件加密、电子签名、代码签名等场景答案D20.渗透测试过程中，测试人员不掌握被测系统的内部架构、源代码、账号权限等信息，完全模拟外部攻击者视角开展的测试属于（）。A.黑盒测试B.白盒测试C.灰盒测试D.代码审计答案A21.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当自行或者委托符合资质的网络安全服务机构，（）至少对其网络安全性和潜在风险开展一次检测评估。A.每月B.每季度C.每年D.每两年答案C22.下列数据备份方式中，每次备份仅备份自上一次任意类型备份后发生变化的数据，备份速度最快但恢复流程最复杂的是（）。A.全量备份B.增量备份C.差量备份D.离线冷备份答案B解析增量备份仅备份上次备份（全量/增量/差量）后变化的数据，备份速度最快；恢复时需要按顺序恢复全量备份与该全量点后的所有增量备份，恢复流程最长、复杂度最高。差量备份仅备份上次全量备份后变化的数据，恢复时仅需全量备份+最近一次差量备份即可，恢复速度快于增量备份。23.下列身份验证组合中，不属于多因素认证的是（）。A.静态登录密码+手机短信验证码B.指纹识别+人脸识别C.实体门禁卡+开机口令D.静态登录密码+硬件UKey数字证书答案B解析多因素认证要求组合至少两种不同类别的认证因素，认证因素分为三类：知识因素（所知，如密码、口令）、持有因素（所有，如UKey、手机、门禁卡）、生物因素（所是，如指纹、人脸）。选项B中指纹、人脸均属于生物因素，属于同一类别，不构成多因素认证。24.Windows操作系统中，默认权限级别最高、用于运行系统核心服务的内置账户是（）。A.AdministratorB.SYSTEMC.GuestD.普通User账户答案B解析SYSTEM是Windows系统内置的本地系统账户，权限高于管理员账户Administrator，负责运行系统内核级核心进程，拥有对系统的完全控制权限。25.下列环节中，不属于数据全生命周期安全防护范畴的是（）。A.数据采集B.数据传输C.数据存储D.数据非法交易答案D26.攻击者通过在可被用户访问的Web页面中插入恶意JavaScript脚本，当普通用户访问页面时脚本在用户浏览器中执行，从而窃取用户Cookie、伪造用户操作的攻击方式是（）。A.SQL注入攻击B.XSS跨站脚本攻击C.CSRF跨站请求伪造攻击D.操作系统命令注入攻击答案B27.网络安全等级保护2.0要求分为技术要求和管理要求两大类，下列选项中属于技术要求类控制点的是（）。A.安全管理制度B.安全管理机构C.安全计算环境D.安全人员管理答案C28.下列商用密码算法中，属于对称分组加密算法、主要用于数据加密保护的是（）。A.SM2B.SM3C.SM4D.SM9答案C29.应急响应人员发现内网主机感染勒索病毒后，第一时间应当采取的处置措施是（）。A.立即断开受感染主机的网络连接，防止病毒横向扩散B.直接重启受感染主机清除病毒C.第一时间联系攻击者支付赎金解密文件D.立即格式化全网所有主机硬盘重装系统答案A30.云计算服务的责任分担模型中，云服务提供商负责底层机房、服务器、存储、网络等基础设施的安全，客户负责自行部署的操作系统、应用程序、业务数据安全的服务模式是（）。A.IaaS（基础设施即服务）B.PaaS（平台即服务）C.SaaS（软件即服务）D.DaaS（数据即服务）答案A三、多项选择题（每题2分，共20分。每题的备选项中，有2个或2个以上符合题意，多选、少选、错选均不得分）1.下列法律法规中，属于我国网络安全领域核心“三法一条例”框架的有（）。A.《中华人民共和国网络安全法》B.《中华人民共和国数据安全法》C.《中华人民共和国个人信息保护法》D.《关键信息基础设施安全保护条例》答案ABCD解析我国网络安全领域核心上位法框架由《网络安全法》《数据安全法》《个人信息保护法》三部法律，以及配套的《关键信息基础设施安全保护条例》行政法规组成，简称“三法一条例”。2.下列关于传统边界防火墙的能力边界描述，说法正确的有（）。A.传统防火墙默认无法防御来自内部网络之间的横向攻击B.传统防火墙无法识别和阻断加密隧道中承载的恶意流量C.传统防火墙基于五元组过滤流量，无法识别应用层攻击内容D.传统防火墙可以不依赖规则库直接防御所有零日漏洞攻击答案ABC解析零日漏洞没有公开的特征和防护规则，传统防火墙无法识别和防御此类攻击，因此选项D错误。3.经典身份认证体系中的三类核心认证因素包含（）。A.知识因素（个人所知的信息，如密码、口令）B.持有因素（个人拥有的实物，如UKey、硬件令牌）C.生物因素（个人固有特征，如指纹、人脸、虹膜）D.运气因素（随机事件匹配结果）答案ABC4.下列安全措施中，可用于防御SQL注入攻击的有（）。A.部署Web应用防火墙（WAF），配置SQL注入防护规则B.代码层使用预编译SQL语句，避免拼接SQL命令C.对用户输入内容进行严格的白名单校验D.数据库使用最高权限账户运行，提升抗攻击能力答案ABC解析数据库运行应遵循最小权限原则，避免应用使用最高权限账户连接数据库，否则SQL注入发生后攻击者可直接获取数据库最高权限，扩大危害，因此选项D错误。5.根据《中华人民共和国网络安全法》，网络运营者应当履行的法定网络安全保护义务包括（）。A.制定内部安全管理制度和操作规程，明确网络安全负责人B.采取防范计算机病毒、网络攻击、网络侵入等安全风险的技术措施C.采取技术措施监测、记录网络运行状态和安全事件，留存网络日志不少于六个月D.严格落实网络安全等级保护制度要求，履行等级保护义务答案ABCD6.下列关于对称加密与非对称加密的对比描述，说法正确的有（）。A.对称加密算法加解密速度快，适合大流量数据的加密传输和存储B.非对称加密算法密钥分发难度低，可用于数字签名、密钥协商场景C.对称加密算法的密钥管理复杂度随用户规模增长快速上升D.非对称加密算法加解密速度快于对称加密，适合大量数据加密答案ABC解析非对称加密算法基于复杂的数学难题计算，加解密速度远低于对称加密算法，仅适合小数据量的加密（如密钥协商、数字签名），不适合大规模数据加密，因此选项D错误。7.网络安全应急响应流程中，遏制阶段的核心目标是限制攻击影响范围、防止事态扩大，下列措施属于遏制阶段可采取的有（）。A.立即断开受感染主机的网络连接B.在边界防火墙封禁攻击源IP地址C.临时关闭存在被利用漏洞的对外服务端口D.清除系统中植入的恶意后门和病毒程序答案ABC解析清除系统恶意程序、后门属于根除阶段的工作内容，不属于遏制阶段的措施，因此选项D错误。8.网络安全等级保护2.0将传统信息系统之外的新型网络业态纳入保护范围，具体包含（）。A.云计算平台/云服务B.物联网系统C.移动互联应用D.工业控制系统答案ABCD9.下列关于漏洞管理工作的要求，说法正确的有（）。A.应当定期对信息系统开展漏洞扫描，及时发现安全风险B.对高危、critical级漏洞应当第一时间采取补丁修复、访问控制、虚拟补丁等缓解措施C.漏洞修复完成后必须开展业务验证和安全验证，确认修复有效且不影响业务正常运行D.漏洞修复后无需持续跟踪，只要一次性打补丁即可永久解决风险答案ABC解析漏洞管理是全生命周期闭环流程，修复后需要持续监测漏洞复发、补丁失效等问题，同时随着新漏洞的披露持续开展风险排查，不存在一次性永久解决的情况，因此选项D错误。10.下列技术措施中，属于数据安全防护技术体系的有（）。A.数据存储加密、传输加密B.敏感数据脱敏C.定期数据备份与恢复演练D.数据泄露防护（DLP）答案ABCD四、简答题（每题6分，共18分）1.简述零信任架构的核心设计原则。答案零信任架构的核心设计原则包括：(1)永不信任、始终验证：不对任何位置（内网/外网）的访问主体默认授予信任，对每一次访问请求都需要核验身份、权限、终端环境等信息；(2)最小权限访问：仅授予访问主体完成当前工作任务所需的最小权限，默认无任何访问权限；(3)动态授权与持续评估：基于访问主体的行为风险、终端安全状态、访问环境上下文动态调整访问权限，对访问行为进行持续信任评估；(4)全链路加密保护：所有访问流量默认全程加密，不依赖网络边界提供安全保障；(5)全面审计与可追溯：对所有访问行为进行全量日志记录和关联分析，实现所有操作可审计、可追溯；(6)假设失陷：默认网络已经存在入侵风险，不依赖单一安全机制实现防护，通过分层防御降低攻击造成的影响。（每个要点1分，共6分，表述相近可酌情给分）2.简述网络安全等级保护2.0第三级系统技术要求的五个核心安全域，以及各安全域的核心防护目标。答案等保2.0三级系统技术要求围绕“一个中心、三重防护”设计，包含五个核心安全域：(1)安全物理环境：保障物理机房的物理访问控制、防盗窃防破坏、温湿度控制、供电安全、防火防水等物理层面安全，避免物理因素导致系统故障或数据泄露；（1分）(2)安全通信网络：保障网络架构冗余合理、通信传输过程的完整性和保密性、网络设备可信运行，避免网络单点故障、传输数据被窃听篡改；（1分）(3)安全区域边界：实现不同安全域之间的边界访问控制、入侵防范、恶意代码防范、安全审计，阻断跨域攻击路径；（1分）(4)安全计算环境：对服务器、终端、应用、数据库等计算资源实现身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据安全保护，保障计算环境内的资源安全；（1分）(5)安全管理中心：实现对全网安全策略的集中管理、安全事件的集中审计、安全运维的集中管控，支撑整体安全体系的统一运营。（2分）（共6分，表述相近可酌情给分）3.某单位对外提供服务的Web服务器被攻击者入侵并植入Webshell，请简述应急响应的标准处置流程。答案针对Web入侵事件的标准处置流程如下：(1)隔离遏制：第一时间在保留现场证据（内存镜像、磁盘快照、日志备份）的前提下，对受入侵服务器进行网络隔离，阻断攻击者的控制通道，防止攻击者横向移动到其他主机或批量窃取数据；（1分）(2)检测研判：通过分析Web访问日志、服务器系统日志、文件变更记录、进程和网络连接信息，确认攻击入口（漏洞类型）、攻击时间、攻击者操作路径、影响范围（是否窃取数据、是否留存其他后门、是否篡改网页内容）；（2分）(3)根除处置：修复被利用的Web漏洞，彻底清除服务器上留存的Webshell、后门账号、恶意程序，关闭非必要服务和端口；（1分）(4)恢复验证：在确认系统无残留后门、漏洞已修复的前提下，将业务系统恢复上线，持续监测服务器的网络流量、文件变更、访问行为，确认攻击活动已完全终止；（1分）(5)总结改进：形成事件处置报告，梳理防护短板，优化WAF规则、日志审计、漏洞扫描等防护措施，完善应急预案，避免同类事件再次发生。（1分）（共6分，表述相近可酌情给分）五、综合案例分析题（每题11分，共22分）1.某市级政务服务单位承载着线上政务办理、企业申报、个人事项查询等核心公共服务功能，其对外服务的政务系统被定为网络安全等级保护第三级。近期该单位接到上级网络安全通报，系统存在疑似被入侵痕迹，单位安全工程师开展排查时发现以下情况：（1）系统使用某开源Web框架开发，上线1年以来未开展过漏洞扫描，框架存在已公开30天的高危远程代码执行漏洞，未进行补丁修复；（2）Web服务目录下发现3个加密的恶意.jsp文件，经鉴定为攻击者上传的Webshell后门，后门已被攻击者多次访问；（3）Web访问日志显示，某境外IP于3天前利用该远程代码执行漏洞上传了Webshell，通过后门查询并导出了数据库中存储的2.3万条个人用户敏感信息（包含身份证号、手机号、办事记录）；（4）系统仅在网络边界部署了传统包过滤防火墙，未部署WAF、IDS、数据库审计等安全设备；系统访问日志仅在本地留存3个月，未进行集中收集和定期审计。问题1：请结合案例材料，分析该单位在网络安全管理、技术防护中存在的主要问题。（6分）问题2：针对上述问题，请提出针对性的安全整改建议。（5分）答案：问题1（共6分，每点1分，表述相近可酌情给分）：(1)等级保护要求落实不到位：作为三级等保系统，未达到等保基本要求的安全防护能力，存在设备缺失、日志留存不足、漏洞管理缺失等多项差距；(2)漏洞管理机制缺失：未建立常态化漏洞扫描和补丁修复流程，高危漏洞公开30天未修复，导致系统长期暴露在攻击风险下；(3)安全防护体系不健全：仅部署传统防火墙，缺少WAF、IDS/IPS、数据库审计等应用层和数据层防护能力，无法发现和阻断Web攻击、异常数据访问行为；(4)安全监测与审计能力缺失：未集中收集和审计日志，攻击发生3天后才经外部通报发现，无法及时发现入侵行为；日志留存时间仅3个月，不符合《网络安全法》要求的不少于6个月的规定；(5)数据安全防护薄弱：核心个人敏感信息数据库未做严格权限控制和异常访问监测，攻击者获取Webshell权限后即可直接批量导出敏感数据，未设置敏感数据操作告警和拦截机制；(6)应急响应能力不足：未建立常态化安全监测和应急处置机制，无法在入侵发生初期及时遏制，导致大量个人信息泄露，事件影响扩大。问题2（共5分，每点1分，表述相近可酌情给分）：(1)严格落实等级保护三级建设要求，按照等保标准补齐防护能力：在边界部署WAF、IDS/IPS、数据库审计等安全设备，建设集中日志审计平台，将系统日志留存时间提升至6个月以上，实现全量日志的集中存储和分析；(2)建立闭环漏洞管理机制：定期开展漏洞扫描、渗透测试，对高危漏洞建立台账，在规定时限内完成补丁修复或虚拟补丁防护，避免系统长期带高危漏洞运行；(3)强化Web系统和数据安全防护：全面排查并清除系统中留存的Webshell和后门，修复被利用的远程代码执行漏洞；对数据库配置最小权限访问，敏感个人信息采用加密存储、脱敏展示，对批量数据导出等异常行为设置告警和拦截；(4)建设常态化安全监测能力：部署态势感知、SIEM等安全运营平台，对Web攻击、异常文件变更、敏感数据访问等行为进行7*24小时监测，提升攻击发现的及时性；(5)完善应急响应体系：制定Web入侵、数据泄露等场景的专项应急预案，定期开展应急演练；事件处置完成后按照规定向监管部门上报事件情况，对泄露的个人信息采取告知、补救等措施。2.某国有能源企业作为关键信息基础设施运营者，为落实《密码法》《商用密码应用安全性评估管理办法》要求，计划对核心生产调度系统开展商用密码应用改造。在改造方案研讨会上，相关人员提出如下观点：（1）工程师小张认为：系统已经部署了防火墙、入侵检测系统、防病毒等安全设备，能够抵御外部网络攻击，没有必要再投入资金进行密码改造，属于重复建设；（2）工程师小李认为：数据传输环节不需要做复杂加密，只需要用MD5算法对传输的报文计算摘要校验，就可以同时满足数据保密性和完整性保护要求；（3）工程师小王认为：核心生产数据存储时用MD5算法加密就可以防止数据泄露，因为MD5是不可逆算法，无法解密；（4）技术负责人提出：系统改造应当采用符合国家要求的商用密码算法，身份认证使用SM2数字证书