南开大学22春“信息安全”《网络安全技术》期末考试高频考点版(带答案)试卷号：1

南开大学22春“信息安全”《网络安全技术》期末考试高频考点版(带答案)试卷号：1一、单项选择题（共15小题，每小题2分，共30分。每小题只有一个正确答案，错选、不选均不得分）1.根据ITU-TX.800（OSI安全体系结构）标准，下列选项中不属于核心安全服务的是（）A.身份鉴别服务B.访问控制服务C.数据完整性服务D.流量调度服务2.SYN洪水攻击属于OSI模型哪一层的典型攻击手段？（）A.数据链路层B.网络层C.传输层D.应用层3.下列对称加密算法中，属于分组加密算法且当前被广泛应用于金融、政务等领域数据加密的是（）A.RSAB.AES-256C.RC4D.MD54.公钥基础设施（PKI）的核心信任锚点是（）A.注册机构RAB.证书认证中心CAC.证书吊销列表CRLD.数字证书5.通用入侵检测框架（CIDF）中，负责采集网络或终端流量、日志等原始数据的组件是（）A.事件产生器B.事件分析器C.响应单元D.事件数据库6.企业防火墙的DMZ（非军事区）中，最适宜部署的设备是（）A.内部财务数据库服务器B.员工办公终端C.对外公开官网服务器D.核心交换机7.下列VPN隧道协议中，属于三层隧道协议且可实现跨公网的站点间加密通信的是（）A.PPTPB.L2TPC.IPSecD.SSLVPN8.下列关于DDoS（分布式拒绝服务）攻击的特征描述，错误的是（）A.攻击源分散，溯源难度高B.攻击流量大，易造成链路拥塞C.仅针对应用层服务发起攻击D.常利用肉鸡、僵尸网络发起攻击9.下列特性中，不属于密码学哈希函数核心特性的是（）A.单向性B.定长输出C.抗碰撞性D.可解密恢复原始数据10.数字签名场景下，通常使用哪种密钥对消息摘要进行加密生成签名？（）A.发送方的公钥B.发送方的私钥C.接收方的公钥D.接收方的私钥11.访问控制模型中，RBAC模型的核心是根据（）分配访问权限A.用户身份B.用户角色C.安全级别D.资源标签12.与传统病毒相比，蠕虫的核心传播特征是（）A.需要寄生在宿主文件中B.可自主利用漏洞进行网络传播C.仅能通过U盘传播D.必须诱导用户点击执行13.SQL注入攻击的核心原理是（）A.利用Web应用对用户输入的校验缺陷，将恶意SQL语句插入到执行逻辑中B.利用TCP协议缺陷伪造大量请求占用服务器资源C.利用Web服务器配置漏洞获取服务器控制权D.利用浏览器同源策略缺陷窃取用户Cookie14.容灾体系中，RPO（恢复点目标）的定义是（）A.灾难发生后业务系统恢复到正常运行状态的最长允许时间B.灾难发生后可容忍的最大数据丢失量对应的时间点C.灾难发生后容灾中心的切换完成时间D.灾难发生后数据备份的最短时间间隔15.下列无线局域网安全协议中，针对WPA2的KRACK漏洞进行了安全增强，当前作为主流无线安全标准的是（）A.WEPB.WPAC.WPA3D.WAPI■单项选择题参考答案：1.D2.C3.B4.B5.A6.C7.C8.C9.D10.B11.B12.B13.A14.B15.C二、多项选择题（共5小题，每小题3分，共15分。每小题有2-4个正确答案，多选、少选、错选均不得分）1.网络安全的核心基本属性包括（）A.保密性B.完整性C.可用性D.可追溯性2.下列关于传统包过滤防火墙的局限性描述，正确的有（）A.无法识别应用层协议的攻击行为B.无法防范来自内部网络的攻击C.无法对TCP会话状态进行监测D.无法实现基于IP地址的访问控制3.入侵检测系统按照数据源分类，可分为（）A.基于网络的入侵检测系统（NIDS）B.基于主机的入侵检测系统（HIDS）C.异常检测型入侵检测系统D.误用检测型入侵检测系统4.公钥密码算法可应用于下列哪些场景？（）A.数字签名B.对称密钥协商C.数据加密传输D.身份鉴别5.Kerberos身份认证协议的核心组件包括（）A.认证服务器ASB.票据授予服务器TGSC.客户端D.应用服务器■多项选择题参考答案：1.ABCD2.ABC3.AB4.ABCD5.ABCD三、判断题（共10小题，每小题1分，共10分。正确填“√”，错误填“×”）1.ARP欺骗攻击仅能在同一个广播域（局域网）内发起，无法跨网段实施。（）2.MD5哈希算法具备强抗碰撞性，当前可安全应用于数字签名验签场景。（）3.状态检测防火墙的转发性能普遍优于包过滤防火墙，适合部署在高带宽出口场景。（）4.IPSec协议可工作在传输模式和隧道模式两种模式下，站点间VPN通信通常采用隧道模式。（）5.RTO（恢复时间目标）指的是灾难发生后，业务系统从中断到恢复正常运行的最长允许时间。（）6.强制访问控制（MAC）模型中，用户可根据自身需求自主调整资源的访问权限。（）7.SQL注入攻击仅能通过HTTPGET请求的参数发起，对POST请求参数无法实施攻击。（）8.数字签名技术可实现通信过程的不可否认性，防止发送方事后否认发送过对应消息。（）9.蠕虫属于独立型恶意代码，不需要寄生在宿主文件中即可自主传播。（）10.防火墙可有效拦截来自内部网络的横向渗透攻击行为，防范内部数据泄露。（）■判断题参考答案：1.√2.×（MD5已被证实存在碰撞漏洞，不可用于高安全等级的数字签名场景）3.×（状态检测防火墙需要维护TCP会话状态表，转发性能低于无状态的包过滤防火墙）4.√5.√6.×（MAC模型的权限由系统统一强制分配，用户无自主调整权限）7.×（SQL注入可针对任意可控输入点发起，包括POST参数、Cookie等）8.√9.√10.×（传统防火墙的访问控制逻辑基于边界，无法识别和拦截内部网络的横向攻击行为）四、名词解释（共4小题，每小题4分，共16分）1.零信任架构（ZTA）2.入侵防御系统（IPS）3.公钥基础设施（PKI）4.灾难恢复能力等级（GB/T20988标准定义）■名词解释参考答案：1.零信任架构是基于“永不信任，始终验证”核心原则设计的网络安全架构（1分），打破了传统边界安全“默认内部主体可信”的假设（1分），对所有访问请求均进行身份鉴别、授权校验和安全评估，遵循最小权限原则授予访问权限（1分），可有效防范边界被突破后的横向渗透攻击，适用于多云、远程办公等多场景的安全防护（1分）。2.入侵防御系统是属于主动防护类的网络安全设备（1分），部署在网络流量的转发路径上，可实时采集并分析网络流量（1分），通过特征匹配、异常行为检测等方式识别入侵行为（包括漏洞利用、木马通信、SQL注入等）（1分），并在攻击扩散前主动阻断攻击行为，相比入侵检测系统（IDS）具备主动阻断能力（1分）。3.公钥基础设施是为解决公钥信任问题构建的一套安全体系（1分），核心组件包括证书认证中心（CA）、注册机构（RA）、证书存储与发布系统、证书吊销列表（CRL）等（1分），通过签发数字证书将用户身份与公钥进行绑定（1分），可实现身份鉴别、数据加密、数字签名、不可否认性等安全功能，是当前网络信任体系的核心基础（1分）。4.根据GB/T20988《信息安全技术信息系统灾难恢复规范》，灾难恢复能力等级是衡量信息系统灾难恢复能力的分级标准（1分），共分为6个等级，从第1级（基本支持）到第6级（数据零丢失），不同等级对应不同的RPO、RTO指标和容灾建设要求（2分），企业可根据业务的重要性选择对应等级的容灾建设方案（1分）。五、简答题（共3小题，每小题7分，共21分）1.简述SYN洪水攻击的实现原理与常见防御手段。2.对比包过滤防火墙、应用层网关（代理）防火墙、下一代防火墙（NGFW）的核心差异。3.简述勒索软件的典型攻击链与企业端的核心防护措施。■简答题参考答案：1.实现原理：SYN洪水攻击是利用TCP三次握手协议的缺陷发起的拒绝服务攻击（1分）。攻击者伪造大量源IP地址不存在的SYN请求包发送给目标服务器，服务器收到SYN包后返回SYN+ACK响应包，由于源IP为伪造地址，服务器始终无法收到客户端返回的ACK确认包，导致服务器的TCP半连接队列被占满（2分），正常用户的SYN请求无法被处理，最终服务器无法提供正常服务（1分）。防御手段：①启用SYNCookie机制，服务器不维护半连接队列，而是根据SYN包计算Cookie值，只有收到对应ACK包验证合法后才分配连接资源（1分）；②调整TCP半连接队列长度、SYN重传次数等内核参数，提升服务器对SYN洪水的耐受能力（1分）；③在网络出口部署DDoS清洗设备，对伪造源IP的SYN包进行过滤；在运营商侧部署源地址验证机制，阻断伪造源地址的流量（1分）。2.三类防火墙的核心差异可从工作层级、检测维度、安全性、性能、适用场景五个维度对比：①工作层级：包过滤防火墙工作在网络层、传输层，仅识别IP、端口、协议头等四层及以下信息；应用层网关防火墙工作在应用层，可识别具体应用协议的内容；下一代防火墙可覆盖2-7层的全栈协议识别（2分）。②检测维度：包过滤防火墙仅基于静态五元组规则做访问控制，不检测会话状态和应用内容；应用层网关防火墙基于代理模式对应用层内容做全量检测；下一代防火墙融合了状态检测、应用识别、入侵防御、URL过滤、病毒查杀等多维度检测能力（2分）。③安全性与性能：包过滤防火墙安全性最低，但转发性能最高；应用层网关防火墙安全性最高，但性能最低，代理开销大；下一代防火墙平衡了安全性与性能，是当前市场的主流产品（2分）。④适用场景：包过滤防火墙适用于低安全等级、高带宽的简单访问控制场景；应用层网关防火墙适用于高安全等级、低流量的特定应用防护场景；下一代防火墙适用于企业互联网出口、数据中心边界等综合防护场景（1分）。3.勒索软件典型攻击链分为7个阶段：①投递阶段：攻击者通过钓鱼邮件、漏洞利用、恶意广告、U盘摆渡等方式将勒索软件投递到目标环境（1分）；②植入阶段：恶意代码在终端执行并落地；③持久化阶段：勒索软件修改注册表、计划任务等实现开机自启动；④权限提升阶段：利用系统漏洞或配置缺陷获取管理员权限；⑤横向移动阶段：利用窃取的凭证、漏洞等渗透到服务器、数据库等核心资产；⑥数据加密阶段：对终端、服务器上的文档、数据库等所有文件采用强加密算法加密，删除系统备份文件；⑦勒索通知阶段：弹出勒索提示，要求受害者支付比特币等虚拟货币换取解密密钥（2分）。企业端核心防护措施：①数据备份：定期对核心数据做离线、异地备份，定期验证备份数据的可恢复性，是应对勒索软件最有效的手段（1分）；②基础防护：及时修复系统、应用的高危漏洞，部署邮件安全网关拦截钓鱼邮件，终端部署EDR/XDR检测恶意代码执行（1分）；③访问控制：核心业务系统采用最小权限原则，限制普通用户的管理员权限，部署零信任架构限制横向访问权限（1分）；④运营管理：定期开展员工安全意识培训，制定勒索软件应急响应预案，定期开展应急演练（1分）。六、综合应用题（共1题，8分）某中型企业的原有网络架构为：互联网出口部署传统包过滤防火墙，内部划分为办公终端区、服务器区两个区域，服务器区同时部署对外官网、内部OA系统、财务数据库三类业务系统。近期企业发生三起安全事件：1.对外官网首页被篡改，发布非法言论；2.财务数据库数据被窃取，疑似发生内部人员越权访问；3.大量员工点击钓鱼邮件附件后终端被植入挖矿木马，占用大量内网带宽。请结合网络安全技术，针对该企业的安全需求给出完整的优化方案，说明每项措施的作用。■综合应用题参考答案：针对该企业的安全痛点，可从边界防护、区域隔离、应用防护、终端防护、身份与访问控制、安全运营六个维度开展优化：1.边界防护优化：将传统包过滤防火墙替换为下一代防火墙（NGFW），同时部署邮件安全网关、Web应用防火墙（WAF）（1分）：NGFW可实现应用识别、入侵防御、URL过滤能力，拦截常见的漏洞利用、恶意通信行为；邮件安全网关可对邮件内容进行检测，拦截携带恶意附件、钓鱼链接的邮件，从入口阻断挖矿木马的投递；WAF部署在官网服务器前端，可拦截SQL注入、XSS、网页篡改等针对Web应用的攻击，防范官网被篡改（1分）。2.区域隔离优化：在防火墙新增DMZ区，将对外官网服务器迁移至DMZ区，仅开放80/443端口的公网访问权限；服务器区内部通过微隔离技术划分OA子网、财务数据库子网，两个子网之间默认拒绝访问，仅允许OA系统的指定IP访问财务数据库的业务端口（1分）：通过区域隔离缩小攻击面，即使官网被入侵也无法直接访问内部核心业务系统，限制攻击横向扩散（1分）。3.应用与数据防护优化：财务数据库启用数据加密存储，部署数据库审计系统对所有访问数据库的行为进行日志审计，设置异常访问告警规则（比如非工作时间访问数据库、批量导出数据等行为）（1分）：可及时发现越权访问、数据窃取行为