2025年通信工程师考试通信系统安全防护与检测试卷及答案

2025年通信工程师考试通信系统安全防护与检测试卷及答案一、单项选择题（每题1分，共30分）1.通信系统安全的核心属性中，确保信息在存储、传输和处理过程中不被未授权的第三方获取的是（）A.完整性B.保密性C.可用性D.不可否认性2.攻击者通过窃听通信线路获取传输的明文数据，这种攻击属于（）A.主动攻击B.被动攻击C.重放攻击D.拒绝服务攻击3.包过滤防火墙对数据包的过滤依据不包括（）A.源IP地址B.目的端口号C.数据包载荷内容D.协议类型4.入侵检测系统中，通过将采集到的行为特征与已知的攻击模式库进行匹配来发现攻击的技术是（）A.异常检测B.误用检测C.状态检测D.协议分析5.IPSecVPN中，能够对整个IP数据包进行加密的模式是（）A.传输模式B.隧道模式C.混合模式D.桥接模式6.PKI体系中，负责签发和管理数字证书的核心机构是（）A.RAB.CAC.LDAPD.CRL7.下列加密算法中，属于非对称加密算法的是（）A.AESB.SM4C.RSAD.3DES8.哈希（Hash）算法的核心特性不包括（）A.单向性B.定长输出C.可逆性D.抗碰撞性9.分布式拒绝服务（DDoS）攻击主要破坏通信系统的（）A.保密性B.完整性C.可用性D.不可否认性10.网络安全应急响应的PDCERF模型中，第一个阶段是（）A.准备阶段B.检测阶段C.遏制阶段D.恢复阶段11.通信主机房开机时的常规温度要求应控制在（）范围内。A.10℃~15℃B.18℃~27℃C.25℃~30℃D.30℃~35℃12.SDH传输网中，复用段保护倒换的时间要求不大于（）A.10msB.50msC.100msD.1s13.5G通信系统中，针对网络切片的安全隔离技术主要实现的是（）A.不同切片业务的资源与数据相互独立B.切片内用户的身份匿名C.切片数据的端到端加密D.切片管理的访问控制14.基于角色的访问控制（RBAC）模型的核心设计思路是（）A.将权限直接分配给用户B.将权限分配给角色，角色分配给用户C.基于安全标签进行强制访问控制D.基于用户自主设置访问权限15.对通信用户的手机号、身份证号等敏感数据进行打码处理（如138**1234），该技术属于（）A.数据加密B.数据脱敏C.数据备份D.数据销毁16.通用漏洞评分系统（CVSS）中，漏洞严重程度的最高等级是（）A.高危B.严重C.紧急D.极高17.下列攻击类型中，不属于VoIP系统常见安全威胁的是（）A.呼叫劫持B.语音诈骗C.拒绝服务D.电磁泄漏18.企业通信网络中，防火墙最典型的部署位置是（）A.内部核心交换机与接入交换机之间B.内部网络与互联网边界处C.内部服务器与存储设备之间D.终端设备与接入交换机之间19.数字签名技术主要解决的安全问题是（）A.数据传输的保密性B.数据的完整性与不可否认性C.数据的存储可用性D.访问控制的合法性20.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险（）至少进行一次检测评估。A.每半年B.每年C.每两年D.每三年21.通信机房配置UPS系统的核心目的是保障供电的（）A.稳定性与连续性B.电压等级匹配C.功率因数校正D.节能降耗22.下列WLAN安全协议中，安全等级最高的是（）A.WEPB.WPAC.WPA2D.WPA323.与入侵检测系统（IDS）相比，入侵防御系统（IPS）的核心差异是（）A.能够检测攻击行为B.能够主动阻断攻击C.能够记录攻击日志D.能够产生告警24.根据网络安全等级保护第三级要求，安全审计日志的保存期限应不少于（）A.1个月B.3个月C.6个月D.12个月25.下列备份方式中，备份数据量最小、备份速度最快的是（）A.全量备份B.增量备份C.差异备份D.镜像备份26.IMS核心网中，负责用户身份认证与鉴权的网元是（）A.P-CSCFB.S-CSCFC.HSSD.MGCF27.渗透测试流程中，获取目标系统控制权后，进一步扩大权限、渗透内网的阶段是（）A.信息收集阶段B.漏洞探测阶段C.漏洞利用阶段D.后渗透阶段28.通信设备的TEMPEST防护技术主要针对的安全威胁是（）A.电磁干扰B.电磁泄漏C.雷电冲击D.静电放电29.通信网络中的AAA技术不包括（）A.认证（Authentication）B.授权（Authorization）C.审计（Accounting）D.防护（Assurance）30.零信任安全架构的核心理念是（）A.内部网络全部可信，外部网络全部不可信B.永不信任，始终验证C.基于边界的安全防护D.以防火墙为核心的防御体系二、多项选择题（每题2分，共20分。每题的备选项中，有2个或2个以上符合题意，至少有1个错项。错选，本题不得分；少选，所选的每个选项得0.5分）1.通信系统安全的核心目标包括（）A.保密性B.完整性C.可用性D.不可否认性E.经济性2.通信系统物理安全防护的主要内容包括（）A.机房环境安全B.传输线路安全C.电磁泄漏防护D.物理访问控制E.应用层数据加密3.下列功能中，属于传统防火墙核心功能的有（）A.访问控制B.网络地址转换（NAT）C.入侵检测D.VPN支持E.病毒查杀4.对称加密算法的特点包括（）A.加解密速度快B.密钥分发安全风险高C.适合大流量数据加密D.可用于数字签名E.密钥管理复杂度低5.5G通信系统的安全增强特性包括（）A.网络切片安全隔离B.空口用户面加密C.服务化架构（SBA）安全D.物理层完全无漏洞E.统一认证框架6.下列技术中，属于通信系统安全检测技术的有（）A.漏洞扫描B.流量分析C.日志审计D.数据备份E.渗透测试7.我国网络安全等级保护2.0标准体系提出的“一个中心，三重防护”中的“三重防护”包括（）A.安全计算环境B.安全区域边界C.安全通信网络D.安全管理中心E.安全运维体系8.数据安全防护贯穿数据的全生命周期，包括（）等阶段的安全管控。A.数据采集B.数据传输C.数据存储D.数据销毁E.数据公开9.下列措施中，属于网络安全事件应急响应遏制阶段的有（）A.断开受感染主机的网络连接B.冻结可疑用户的账号权限C.清除系统中的恶意程序D.临时调整防火墙访问策略E.恢复业务系统正常运行10.根据《中华人民共和国数据安全法》，国家对数据实行分类分级保护，其中重要数据的范畴包括（）A.关系国家安全的数据B.关系国民经济命脉的数据C.关系重要民生的数据D.关系公共利益的数据E.个人信息数据三、简答题（每题5分，共20分）1.简述入侵检测系统（IDS）按检测对象分类的两种主要类型，并说明各自的部署方式与核心特点。2.简述SDH传输网中常用的两种自愈保护方式，并说明其保护原理。3.简述数字证书的核心作用及包含的主要内容（至少列出5项）。4.简述我国网络安全等级保护工作的主要实施流程。四、案例分析题（每题15分，共30分）1.案例背景：某省运营商核心通信机房承载着全省的移动核心网、数据通信网等关键业务，近期计划开展安全防护升级改造。已知该机房已通过网络安全等级保护第三级测评，本次改造需满足等保2.0三级要求，并应对日益增长的DDoS攻击、内网越权访问等安全威胁。请结合上述场景，回答下列问题：(1)该机房的物理安全防护应重点落实哪些措施？（5分）(2)针对DDoS攻击，应部署哪些安全防护技术手段？（5分）(3)针对内网越权访问问题，结合零信任架构应如何优化访问控制体系？（5分）2.案例背景：某大型企业的通信与信息系统包含办公网、业务专网、语音通信系统（VoIP）、视频会议系统等，委托第三方安全机构开展年度安全检测。检测过程中发现以下问题：参考答案与解析一、单项选择题1.答案：B解析：保密性是指信息不被未授权的个人、实体或过程获取或披露的特性；完整性侧重防止信息被篡改，可用性侧重合法用户可正常访问服务，不可否认性侧重防止行为主体否认操作。2.答案：B解析：被动攻击不修改数据内容，仅通过窃听、流量分析获取信息，仅破坏保密性；主动攻击会篡改、伪造、中断数据，破坏完整性或可用性。窃听是典型的被动攻击。3.答案：C解析：包过滤防火墙工作在网络层和传输层，仅根据IP包头、传输层包头的源目IP、源目端口、协议类型等字段过滤，不检查应用层载荷内容。4.答案：B解析：误用检测（特征检测）基于已知攻击模式库匹配，准确率高但无法检测未知攻击；异常检测基于正常行为基线判断偏离，可检测未知攻击但误报率较高。5.答案：B解析：IPSec传输模式仅加密IP载荷，保留原始IP头，常用于端到端通信；隧道模式加密整个原始IP数据包，新增外层IP头，常用于站点到站点VPN。6.答案：B解析：CA（证书认证机构）是PKI的核心，负责签发、吊销、管理数字证书；RA是注册审核机构，负责用户信息审核；LDAP提供证书目录查询服务；CRL是证书吊销列表。7.答案：C解析：AES、SM4、3DES均为对称加密算法，加解密使用同一密钥；RSA是非对称加密算法，使用公钥加密、私钥解密，或私钥签名、公钥验签。8.答案：C解析：哈希算法是单向不可逆的，无法从哈希值反推原始数据；同时具备定长输出、抗碰撞性（不同输入产生相同哈希值的概率极低）等特性。9.答案：C解析：DDoS攻击通过大量恶意流量占用目标系统的带宽、计算、存储资源，导致合法用户无法正常访问服务，直接破坏系统的可用性。10.答案：A解析：PDCERF应急响应模型分为准备（Preparation）、检测（Detection）、遏制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up）六个阶段，首阶段为准备阶段。11.答案：B解析：根据《数据中心设计规范》GB50174-2017，A级数据中心主机房开机时温度范围为18℃~27℃，相对湿度为40%~70%。12.答案：B解析：SDH传输网的保护倒换时间要求不大于50ms，以满足电信级业务的可用性要求，该指标适用于复用段保护、通道保护等多种保护方式。13.答案：A解析：安全隔离是5G切片安全的基础要求，确保不同切片的计算、存储、带宽资源以及业务数据相互独立，避免切片间的越权访问和干扰。14.答案：B解析：RBAC通过“用户-角色-权限”的三层映射，将权限与角色关联，用户通过所属角色获得对应权限，大幅简化多用户场景下的权限管理。15.答案：B解析：数据脱敏是指对敏感数据通过替换、掩码、打乱等方式进行变形，在不影响业务使用的前提下降低数据敏感度，防止敏感信息泄露。16.答案：B解析：CVSSv3.x版本将漏洞严重程度分为四级：0.0~3.9为低危，4.0~6.9为中危，7.0~8.9为高危，9.0~10.0为严重，其中严重为最高等级。17.答案：D解析：VoIP基于IP网络传输语音，常见威胁包括呼叫劫持、语音诈骗、信令篡改、DDoS攻击等；电磁泄漏是物理设备的通用安全问题，不属于VoIP系统特有的常见威胁。18.答案：B解析：防火墙的核心作用是实现不同安全域之间的访问控制，最典型的部署位置是内部可信网络与外部不可信网络（互联网）的边界，抵御外部网络攻击。19.答案：B解析：数字签名通过发送方私钥对数据摘要进行签名，接收方用公钥验签，可验证数据未被篡改（完整性），且确认发送方身份无法否认（不可否认性）。20.答案：B解析：《网络安全法》第三十八条规定，关键信息基础设施运营者应当每年至少进行一次网络安全检测评估，并将评估情况和改进措施报送相关监管部门。21.答案：A解析：UPS（不间断电源）在市电中断时可通过蓄电池持续供电，同时稳定输出电压、频率，保障通信设备供电的连续性和稳定性，避免断电导致业务中断。22.答案：D解析：WEP存在严重安全漏洞已被淘汰；WPA是过渡性协议；WPA2基于AES加密，安全性较高；WPA3是最新的WLAN安全标准，进一步增强了加密和认证安全性，等级最高。23.答案：B解析：IDS是旁路部署的检测系统，仅负责检测、告警、记录，不主动阻断攻击；IPS是串接部署的防御系统，在检测到攻击后可主动阻断，实现检测与防御一体化。24.答案：C解析：等保2.0第三级安全要求明确，安全审计日志的保存时间应不少于6个月，满足法律法规的追溯要求。25.答案：B解析：全量备份备份所有数据，备份量大、速度慢；增量备份仅备份上次任意类型备份后变化的数据，备份量最小、速度最快；差异备份备份上次全量备份后变化的数据，备份量介于两者之间。26.答案：C解析：HSS（归属用户服务器）是IMS的核心用户数据网元，存储用户签约信息、身份信息，负责用户的鉴权与认证；P-CSCF是用户接入IMS的入口；S-CSCF负责会话控制；MGCF负责与传统电路域互通。27.答案：D解析：渗透测试通常分为信息收集、漏洞探测、漏洞利用、后渗透、报告撰写五个阶段；后渗透阶段是在获得目标控制权后，进行权限提升、横向移动、数据窃取等操作，模拟攻击者的后续行为。28.答案：B解析：TEMPEST技术是一种针对电子设备电磁泄漏发射的防护技术，通过屏蔽、滤波、接地等手段，防止设备运行时产生的电磁信号被窃听还原，保障信息安全。29.答案：D解析：AAA是认证（验证用户身份）、授权（分配访问权限）、计费（记录资源使用情况）三个功能的合称，是通信网络访问控制的核心技术体系。30.答案：B解析：零信任架构打破了传统“内部可信、外部不可信”的边界防护思路，核心是“永不信任，始终验证”，对任何访问请求都进行身份认证、权限校验和风险评估，最小权限授权。二、多项选择题1.答案：ABCD解析：通信系统安全的核心属性包括保密性、完整性、可用性、不可否认性、可控性等；经济性是系统设计的优化目标，不属于安全核心目标。2.答案：ABCD解析：物理安全是保护通信系统的设备、线路、环境等物理实体免受破坏和威胁的防护措施，包括环境安全、设备安全、线路安全、电磁防护、物理访问控制等；应用层数据加密属于应用层安全防护范畴。3.答案：ABD解析：传统防火墙的核心功能包括访问控制、NAT地址转换、VPN支持、流量统计、日志审计等；入侵检测是IDS/IPS的核心功能，病毒查杀是防病毒系统的功能，下一代防火墙虽可能集成相关模块，但不属于传统防火墙的核心功能。4.答案：ABC解析：对称加密算法加解密使用同一密钥，速度快、效率高，适合大流量数据加密；但密钥分发需要安全通道，多用户场景下密钥管理复杂度高，且无法实现数字签名（非对称加密可支持数字签名）。5.答案：ABCE解析：5G安全较4G有显著增强，包括切片安全隔离、SBA服务化架构安全、统一认证框架、空口用户面与控制面加密、隐私保护增强等；任何通信系统都无法做到完全无漏洞，D选项表述过于绝对。6.答案：ABCE解析：安全检测技术是发现系统安全隐患、攻击行为的技术手段，包括漏洞扫描、流量分析、日志审计、入侵检测、渗透测试等；数据备份是安全防护中的数据可用性保障措施，不属于检测技术范畴。7.答案：ABC解析：等保2.0的核心架构是“一个中心，三重防护”，一个中心指安全管理中心，三重防护指安全计算环境、安全区域边界、安全通信网络，覆盖从网络到终端、从边界到内部的全链路防护。8.答案：ABCD解析：数据全生命周期通常包括采集、传输、存储、处理、交换、销毁六个阶段，安全防护需覆盖全流程；数据公开是数据交换的一种特定场景，不属于通用的生命周期阶段，且并非所有数据都需要公开。9.答案：ABD解析：遏制阶段的核心目标是阻止攻击扩散、缩小影响范围，断开受感染主机网络、冻结可疑账号、调整防火墙策略阻断攻击流量均属于遏制措施；清除恶意程序属于根除阶段，恢复业务属于恢复阶段。10.答案：ABCD解析：《数据安全法》第二十一条规定，关系国家安全、国民经济命脉、重要民生、公共利益等的重要数据，实行重点保护；个人信息数据有专门的保护规则，不属于重要数据的法定范畴。三、简答题1.答案：入侵检测系统按检测对象可分为基于网络的IDS（NIDS）和基于主机的IDS（HIDS）两类：(1)基于网络的IDS（NIDS）：部署在网络关键节点（如核心交换机镜像端口），通过抓取网络流量进行分析，检测网络中的攻击行为；特点是不影响业务性能、可覆盖整个网段的攻击检测，但无法检测加密流量和主机内部的攻击行为。（3分）(2)基于主机的IDS（HIDS）：部署在单个主机/服务器上，通过分析主机的系统日志、进程、文件变化等检测攻击；特点是检测精度高、可检测主机内部的异常行为，但需要在每台主机上安装代理，部署维护成本较高。（2分）2.答案：SDH传输网常用的自愈保护方式包括通道保护环和复用段保护环两类：(1)通道保护环：基于通道层的保护，通常为双纤单向环，业务信号在工作通道和保护通道同时传输，接收端选择质量更好的信号；保护倒换由通道状态触发，倒换时间快，适用于分散型业务。（2.5分）(2)复用段保护环：基于复用段层的保护，通常为双纤双向环，正常时工作光纤传输业务，保护光纤空闲；当工作光纤故障时，通过APS协议自动将业务切换到保护光纤；保护倒换由复用段状态触发，带宽利用率高，适用于集中型业务。（2.5分）3.答案：数字证书是PKI体系中证明用户身份的电子凭证，核心作用是实现身份认证、数据完整性保护和不可否认性，支撑加密通信、电子签名等安全应用。（2分）数字证书包含的主要内容有：证书版本号、证书序列号、签名算法标识、颁发者名称、有效期、主体名称、主体公钥、颁发者数字签名等。（3分，列出任意5项即可得满分）4.答案：网络安全等级保护工作主要包括五个核心阶段：(1)定级：信息系统运营使用单位根据标准确定系统的安全保护等级，经主管部门审核后报公安机关备案。（1分）(2)备案：运营单位持定级材料到属地公安机关网安部门办理备案手续，取得备案证明。（1分）(3)建设整改：按照对应等级的安全要求，开展安全技术建设和管理整改，落实安全防护措施。（1分）(4)等级测评：委托符合资质的测评机构对信息系统进行等级测评，验证是否符合相应等级的安全要求。（1分）(5)监督检查：公安机关对运营单位的等保工作进行监督检查，运营单位定期开展复测和持续改进。（1分）四、案例分析题1.答案：(1)物理安全防护重点措施（5分，每点1分，答出任意5点即可）：①机房出入口设置门禁系统，实现身份认证和访问记录，重要区域配置双人双锁机制；②机房全覆盖视频监控系统，覆盖所有出入口、通道、设备区，监控日志保存不少于6个月；③落实机房环境安全管控，配置精密空调、UPS、气体消防系统，保障温湿度、供电、防火符合A级机房标准；④配置电磁屏蔽设施，防止电磁泄漏，重要核心设备部署电磁屏蔽机柜；⑤传输线路采用隐蔽敷设方式，关键链路采用双路由物理备份，防止线路被破坏；⑥建立机房物理访问管理制度，外来人员需审批登记，由专人陪同进入。(2)DDoS攻击防护技术手段（5分，每点1分）：①在网络边界部署本地DDoS清洗设备，对异常流量进行识别和清洗，过滤攻击流量；②采用“云端清洗中心+本地防护”的多级防护架构，大流量攻击时由运营商级清洗中心进行云端引流清洗；③配置带宽扩容和冗余链路，提升带宽冗余度，避免中小规模攻击导致链路拥塞；④启用防火墙、路由器的流量限速、源地址验证、SYNCookie等基础防护功能，抵御常见的网络层DDoS攻击；⑤建立DDoS攻击监测预警机制，实时监测流量异常，提前启动防护预案和应急响应。(3)基于零信任的内网访问控制优化（5分，每点1分）：①打破传统“内网默认可信”的假设，对所有内网访问请求进行身份认证，无论访问来源是内部还是外部；②采用最小权限原则，根据用户角色、业务需求授予最小访问权限，避免过度授权；③引入持续信任评估机制，结合用户行为、终端安全状态、访问环境等因素动态调整权限，发现异常及时吊销权限；④对核心业务系统进行微隔离，实现不同业务域、不同服务器之间的细粒度访问控制，防止攻击横向扩散；⑤建设统一身份认证体系，实现所有业务系统的单点登录和集中权限管控，全程审计所有访问行为。解析：本题结合运营商核心机房的实际改造场景，综合考察物理安全、DDoS防护、零信任架构三个核心考点，要求考生将理论知识与通信行业实际场景结合，符合通信工程师实务考试的能力考察要求。2.①业务系统存在多个高危漏洞，其中核心业务服务器存在远程代码执行漏洞，且未及时修补；②VoIP系统的SIP信令未加密，存在被窃听和呼叫劫持的风险；③安全审计日志仅保存1个月，且未开展定期审计分析；④应急响应预案仅包含文档，未开展过应急演练。请结合上述场景，回答下列问题：(1)通信系统安全检测通常包含哪些主