2026年信息安全知识比赛试题及答案

2026年信息安全知识比赛试题及答案一、单项选择题（每题2分，共40分）1.信息安全的基本目标（CIA三元组）不包括下列哪一项？A.保密性B.完整性C.可用性D.可移植性答案：D2.关于对称加密算法，下列说法正确的是？A.加密密钥与解密密钥不同B.加密密钥与解密密钥相同C.需要使用公钥进行加密D.不需要任何密钥答案：B3.下列哪种算法属于非对称加密算法？A.AESB.DESC.RSAD.SM4答案：C解析：AES、DES、SM4均为对称加密算法；RSA使用公钥与私钥的密钥对，属于非对称加密。4.“撞库”攻击通常利用的是？A.系统零日漏洞B.用户在多个平台使用相同账号口令C.蓝牙协议缺陷D.打印机漏洞答案：B解析：撞库是指攻击者使用已泄露的账号口令组合，在其他系统批量尝试登录，成功率高的主要原因是用户习惯复用口令。5.Web应用中，通常用于维持用户登录状态的凭证是？A.CookieB.UDP报文C.ARP表D.MAC地址答案：A6.防范钓鱼邮件最有效的做法是？A.设置复杂密码B.安装多款杀毒软件C.保持警惕，不点击可疑链接和附件D.关闭操作系统自动更新答案：C7.PKI体系中，负责签发和管理数字证书的机构是？A.CAB.DNSC.DHCPD.RAID答案：A8.TLS握手完成后，实际用于保护数据机密性的是？A.对称会话密钥B.服务器私钥C.客户端公钥D.初始向量答案：A解析：TLS握手阶段通过非对称加密协商出会话密钥，后续数据使用对称加密，兼顾安全与性能。9.DDoS攻击主要破坏信息安全的哪一属性？A.保密性B.完整性C.可用性D.真实性答案：C10.SQL注入漏洞产生的根本原因是？A.用户输入被拼接进SQL语句且未有效过滤或参数化B.数据库密码太短C.服务器没有安装杀毒软件D.使用低版本数据库不支持加密答案：A11.下列哪项是哈希函数的典型特征？A.可逆，可以从散列值还原原文B.输出长度固定C.加密和解密需要使用相同密钥D.输出长度随输入长度变化答案：B12.XSS攻击最直接的危害是？A.在用户浏览器中执行恶意脚本B.直接删除服务器操作系统文件C.更换用户计算机的网卡D.修改路由器固件答案：A13.我国《中华人民共和国网络安全法》正式施行的时间是？A.2015年B.2017年C.2019年D.2021年答案：B14.WPA2协议通常采用的加密方式是？A.WEPB.TKIPC.AES-CCMPD.MD5答案：C解析：WPA2以AES-CCMP作为核心加密机制，安全性明显高于WEP和初期的WPA/TKIP。15.社会工程学攻击主要利用的是？A.人的心理弱点，如信任、好奇或恐惧B.操作系统内核漏洞C.无线信号被干扰D.服务器散热不足答案：A16.在IP层提供数据加密和身份认证的安全协议是？A.SSLB.IPSecC.HTMLD.SMTP答案：B17.下列不属于VPN主要功能的是？A.建立加密隧道B.远程用户身份认证C.访问控制D.保证终端设备永不感染病毒答案：D18.异地容灾的主要目的是？A.加快网页加载速度B.防止单一物理站点发生灾难导致业务中断C.替代桌面杀毒软件D.自动修复程序代码漏洞答案：B19.“最小权限原则”的含义是？A.所有用户都应为管理员B.只授予完成工作所必需的最小权限C.将全部网络端口关闭D.所有密码设置为系统默认密码答案：B20.下列哪组认证方式属于多因素认证（MFA）？A.密码+短信验证码B.用户名+密码C.指纹+人脸识别D.姓名+身份证号答案：A解析：MFA需要来自知识、拥有、固有等不同类型中的至少两种因素；密码是“所知”，短信验证码是“所有”。二、多项选择题（每题3分，共30分）1.下列哪些属于常见的恶意软件类型？A.病毒B.蠕虫C.木马D.勒索软件答案：ABCD解析：病毒需要宿主程序传播，蠕虫可自我复制，木马伪装成正常程序，勒索软件加密文件索取赎金，都属于典型恶意软件。2.信息安全CIA三元组包括下列哪些属性？A.保密性B.完整性C.可用性D.可追溯性答案：ABC解析：保密性防止未授权访问，完整性保证数据未被篡改，可用性保证业务按需可用。可追溯性虽然重要，但不属于CIA三元组定义。3.下列哪些做法有助于防范勒索软件？A.及时为操作系统和第三方软件安装安全补丁B.定期进行离线备份C.关闭Office宏和可疑脚本D.在邮件中直接下载并运行来自陌生人的附件答案：ABC解析：运行陌生附件是勒索软件常见传播方式，D项会显著增加感染风险。4.关于口令的安全存储，下列说法正确的有？A.推荐使用bcrypt、scrypt或argon2等慢哈希算法B.存储口令时应加入随机盐值C.可以将口令明文保存在数据库中D.使用未加盐的MD5哈希即可满足安全要求答案：AB解析：明文存储一旦数据库泄露即全部暴露；无盐MD5易被彩虹表快速破解，安全强度不足。5.下列哪些措施可以保护数据机密性？A.对存储数据进行AES加密B.通过网络传输时使用TLS加密C.使用RAID磁盘镜像D.配置严格的文件访问控制权限答案：ABD解析：RAID主要提供可用性和容错能力，不能防止未授权读取，不属于机密性保护手段。6.关于防火墙，下列说法正确的有？A.可以基于IP地址和端口进行过滤B.能够识别所有应用层的未知攻击C.常用于网络边界安全防护D.有状态防火墙会维护连接状态信息答案：ACD解析：防火墙可能具备部分深度检测能力，但无法识别所有未知攻击，不能夸大其作用。7.下列哪些属于渗透测试的典型阶段？A.信息收集B.漏洞扫描与分析C.漏洞利用D.编写渗透测试报告答案：ABCD解析：一次完整渗透测试通常包括授权与准备、信息收集、漏洞发现、利用、后利用和报告编制等阶段。8.下列哪些可以作为身份认证凭证？A.口令B.智能卡C.指纹D.数字证书答案：ABCD解析：分别属于“所知”“所有”“固有”和“证书”类凭证，均可在身份认证中发挥作用。9.移动端面临的主要安全威胁包括？A.恶意App窃取通讯录B.钓鱼短信C.越狱或Root后系统防护失效D.公共Wi-Fi中间人攻击答案：ABCD10.关于区块链安全，下列说法正确的有？A.区块链通过多节点冗余保存数据，能降低单点故障导致的数据丢失风险B.区块链上的交易记录具有不可篡改性C.区块链系统绝对不可能被攻击D.智能合约代码漏洞可能导致数字资产损失答案：ABD解析：区块链并非绝对安全，治理机制、共识协议、智能合约和私钥管理等方面仍可能受到攻击。三、判断题（每题1分，共10分）1.使用公共Wi-Fi时，只要不在页面上输入密码，就一定不会有安全风险。答案：错误解析：公共Wi-Fi存在中间人攻击、流量监听等风险，即使不输入密码，未加密通信同样可能泄露敏感数据。2.及时更新操作系统安全补丁是防范已知漏洞的重要措施。答案：正确3.部署HTTPS后，网站就可以完全替代防火墙和入侵检测系统。答案：错误解析：HTTPS只保护传输数据的机密性和完整性，不能替代边界防护、恶意流量检测等安全手段。4.只要密码长度足够长，是否包含数字、字母和符号并不重要。答案：错误解析：长度是关键因素之一，但组合复杂度可显著扩大暴力破解和字典攻击的搜索空间，仍应要求足够的复杂度。5.多因素认证要求用户使用至少两种不同类别的认证要素进行身份验证。答案：正确6.数据备份只需要做一次，后续不需要更新。答案：错误7.在我国，向境外提供重要数据应当依法进行数据出境安全评估。答案：正确8.安全审计日志是事后追踪安全事件的重要依据，因此需要采取防篡改和防删除措施。答案：正确9.哈希函数可以看作加密算法，能够通过逆运算还原原始明文。答案：错误解析：哈希函数是单向函数，无法通过散列值还原原始输入，设计上也不要求可逆。10.零信任模型默认网络内部与外部均不可信，需要对每一次访问请求进行身份验证和授权。答案：正确四、简答题（每题10分，共20分）1.简述“纵深防御”的概念，并列举至少4个常见的信息安全防护层次或措施。答案：纵深防御（DefenseinDepth）是一种通过设置多道相互补充的安全防线来保护信息资产的安全策略。其核心思想是：即使某一层防护失效，其他层次的防护仍能阻止或减缓攻击，避免因单一故障点造成整体失守。常见的信息安全防护层次或措施包括：(1)物理安全：门禁系统、视频监控、机房环境控制；(2)网络安全：防火墙、入侵检测/防御系统、VPN、网络分区；(3)主机安全：操作系统补丁管理、主机加固、防病毒软件；(4)应用安全：安全编码规范、输入校验、应用防火墙；(5)数据安全：数据加密、访问控制、备份与容灾；(6)管理安全：安全策略与制度、人员安全意识培训、应急响应预案。解析：答题时需先解释纵深防御的核心原则，再给出多层次防护实例。措施覆盖物理、网络、主机、应用、数据、管理等不同维度即可。2.简述SQL注入漏洞的原理，并提出至少3条防护措施。答案：SQL注入漏洞的根本原因是应用程序将用户输入直接拼接进SQL语句，且未对输入进行充分校验或安全处理。攻击者通过构造特殊字符和SQL语法，改变原有查询语句的逻辑，从而绕过认证、越权读取数据、篡改数据库内容，甚至执行系统命令。例如，登录语句若写为SELECT*FROMusersWHEREusername='...'ANDpassword='...'，攻击者可能输入admin'OR'1'='1，使条件恒真而绕过密码验