2026年软考信息安全工程师考试练习题及答案

2026年软考信息安全工程师考试练习题及答案一、单项选择题（共20题，每题1分，共20分）1.某企业采用SM4算法对内部文件进行加密，以下关于SM4的描述中，错误的是（）。A.属于对称加密算法B.密钥长度为128位C.分组长度为64位D.适用于数据块加密答案：C解析：SM4是我国自主设计的对称加密算法，密钥和分组长度均为128位，主要用于数据块加密，因此C选项错误。2.以下哪种攻击方式利用了操作系统的漏洞，通过向目标系统发送特定构造的数据包，导致系统崩溃或拒绝服务？（）A.SQL注入B.DDoSC.缓冲区溢出D.ARP欺骗答案：C解析：缓冲区溢出攻击利用程序在处理输入时未正确检查边界的漏洞，向缓冲区写入超出其容量的数据，覆盖其他内存区域，导致程序崩溃或执行恶意代码；DDoS是通过大量流量耗尽资源，与漏洞无关。3.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），第三级信息系统的安全通信网络要求中，应采用（）对通信过程中的重要数据进行加密传输。A.链路加密B.端到端加密C.混合加密D.会话加密答案：B解析：等保2.0第三级要求对重要数据采用端到端加密，确保数据在传输全程的机密性，链路加密仅保护链路段，无法满足更高等级要求。4.某公司部署了入侵检测系统（IDS），以下关于IDS的描述中，正确的是（）。A.基于特征的IDS能检测未知攻击B.基于异常的IDS误报率较低C.网络型IDS通常部署在网络出口D.主机型IDS不影响网络性能答案：C解析：网络型IDS通过镜像端口或分路器获取网络流量，通常部署在网络出口或关键节点；基于特征的IDS依赖已知攻击特征库，无法检测未知攻击；基于异常的IDS需建立正常行为基线，误报率较高；主机型IDS运行在主机上，会占用一定系统资源。5.以下哪项不属于零信任架构的核心原则？（）A.持续验证B.最小权限访问C.网络边界强化D.资源可见性答案：C解析：零信任架构强调“从不信任，始终验证”，取消传统网络边界，通过持续验证身份、设备、环境等因素动态授权，因此C选项（强化边界）与零信任理念相悖。6.某系统采用SHA-3算法提供数据摘要，以下关于SHA-3的描述中，错误的是（）。A.属于哈希算法B.输出长度可变C.抗碰撞性优于SHA-2D.基于Merkle-Damgård结构答案：D解析：SHA-3（Keccak算法）采用海绵结构，而非SHA-1/SHA-2的Merkle-Damgård结构，因此D选项错误。7.在WindowsServer2022中，用于管理用户权限的核心组件是（）。A.活动目录（AD）B.本地安全策略C.组策略对象（GPO）D.访问控制列表（ACL）答案：D解析：ACL是Windows中实现强制访问控制（MAC）和自主访问控制（DAC）的核心机制，直接定义用户/组对资源的访问权限；AD是目录服务，GPO用于集中配置策略，本地安全策略是策略管理工具。8.以下哪种安全协议用于在不可信网络上建立安全的IP层通信？（）A.TLSB.IPsecC.SSHD.HTTPS答案：B解析：IPsec工作在网络层，通过AH（认证头）和ESP（封装安全载荷）提供数据加密、完整性校验和身份认证，用于构建VPN等安全通道；TLS工作在传输层，SSH和HTTPS是应用层协议。9.某企业数据库系统出现敏感数据泄露，经分析发现日志中存在大量异常的SELECT语句，且用户权限为“只读”，最可能的攻击方式是（）。A.SQL注入B.拖库C.权限提升D.数据摆渡答案：A解析：只读用户通过SQL注入可绕过原有权限限制，执行额外的查询或修改操作；拖库通常指合法权限下的大规模数据导出；权限提升需获取更高权限；数据摆渡是通过存储介质转移数据，与日志中的异常查询无关。10.根据《个人信息保护法》，处理敏感个人信息时，除取得个人同意外，还应（）。A.进行个人信息保护影响评估B.向省级网信部门备案C.公开处理规则D.提供删除个人信息的便捷方式答案：A解析：《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意，并进行个人信息保护影响评估；备案、公开规则和提供删除方式是一般个人信息处理的要求。11.以下关于区块链安全的描述中，正确的是（）。A.区块链的不可篡改性依赖于共识算法B.智能合约漏洞不会影响链上资产安全C.51%攻击仅适用于联盟链D.私钥丢失后可通过公钥恢复答案：A解析：区块链通过哈希链和共识算法（如PoW、PoS）保证数据不可篡改；智能合约漏洞（如重入攻击）可能导致资产损失；51%攻击适用于公链（如比特币）；私钥是资产所有权的唯一凭证，丢失后无法恢复。12.某物联网系统中，传感器通过MQTT协议与云平台通信，为防止中间人攻击，应采用（）。A.双向SSL/TLS认证B.预共享密钥（PSK）C.消息摘要验证D.流量过滤答案：A解析：MQTT默认使用TLS加密，但为防止中间人攻击需实现双向认证（客户端和服务器互相验证证书）；PSK适用于轻量级场景但安全性较低；消息摘要无法防止数据篡改；流量过滤是防护手段而非认证方式。13.以下哪项属于物理安全防护措施？（）A.防火墙策略配置B.服务器机房门禁系统C.数据库审计日志D.终端设备杀毒软件答案：B解析：物理安全涉及场地安全、设备安全等，门禁系统用于控制机房访问；防火墙、审计日志和杀毒软件属于逻辑安全措施。14.在渗透测试中，“信息收集”阶段的主要目的是（）。A.验证系统漏洞B.获取目标系统权限C.绘制目标网络拓扑D.清除攻击痕迹答案：C解析：信息收集阶段通过公开信息、扫描工具等获取目标IP、域名、服务类型等，绘制网络拓扑，为后续漏洞探测提供依据；验证漏洞属于漏洞扫描阶段，获取权限是渗透阶段，清除痕迹是后渗透阶段。15.某企业采用动态访问控制（DAC），以下关于DAC的描述中，错误的是（）。A.资源所有者可自主分配权限B.适用于企业内部灵活的权限管理C.无法防止越权访问D.通常与角色访问控制（RBAC）结合使用答案：C解析：DAC允许资源所有者（如文件属主）设置其他用户的访问权限，能在一定程度上防止越权，但存在“权限传递”风险（如A给B权限，B给C权限）；RBAC通过角色集中管理权限，常与DAC互补。16.以下哪种加密算法属于非对称加密？（）A.AESB.RSAC.RC4D.DES答案：B解析：RSA是典型的非对称加密算法，使用公钥加密、私钥解密；AES、RC4、DES均为对称加密算法。17.某Web应用出现“文件包含漏洞”，攻击者最可能利用该漏洞（）。A.执行任意代码B.窃取用户会话CookieC.绕过身份认证D.篡改数据库记录答案：A解析：文件包含漏洞允许攻击者包含服务器上的任意文件（如PHP脚本），若包含恶意文件可执行代码；窃取Cookie通常利用XSS，绕过认证多为会话劫持，篡改数据库需SQL注入。18.根据《网络安全法》，关键信息基础设施的运营者应当（）进行网络安全检测和风险评估。A.每半年B.每年C.每两年D.每三年答案：B解析：《网络安全法》第三十八条规定，关键信息基础设施的运营者应当每年进行网络安全检测和风险评估，并将结果报送相关部门。19.以下关于蜜罐技术的描述中，正确的是（）。A.蜜罐是生产系统的冗余备份B.高交互蜜罐模拟真实服务更全面C.蜜罐的主要目的是提升系统性能D.低交互蜜罐易被攻击者识别答案：B解析：高交互蜜罐运行真实操作系统和服务，模拟更全面，可获取更多攻击数据；蜜罐是诱捕攻击者的工具，非备份或性能优化；低交互蜜罐仅模拟部分服务，攻击者可能通过异常响应识别。20.某企业部署了统一身份认证（UAM）系统，其核心功能是（）。A.集中管理用户账号和权限B.加密用户登录过程C.记录用户操作日志D.防止暴力破解攻击答案：A解析：UAM的核心是通过单点登录（SSO）等技术，实现用户账号、权限的集中管理，减少重复认证；加密登录是传输层安全（如TLS）的功能，日志记录是审计要求，防止暴力破解属于认证策略（如验证码）。二、多项选择题（共10题，每题2分，共20分，每题至少有2个正确选项，错选、漏选均不得分）21.以下属于Web应用常见安全漏洞的有（）。A.跨站脚本（XSS）B.缓冲区溢出C.跨站请求伪造（CSRF）D.路径遍历答案：ACD解析：XSS、CSRF、路径遍历均为Web应用层漏洞；缓冲区溢出是程序漏洞，常见于C/C++编写的客户端或服务器程序。22.以下哪些措施可提升无线局域网（WLAN）的安全性？（）A.使用WPA3替代WPA2B.关闭SSID广播C.启用MAC地址过滤D.采用WEP加密答案：ABC解析：WPA3比WPA2更安全（支持SAE认证，防暴力破解）；关闭SSID广播可减少被扫描到的概率；MAC地址过滤可限制接入设备；WEP已被证明存在严重漏洞（如IV碰撞），不推荐使用。23.根据《信息安全技术云计算服务安全能力要求》（GB/T31167-2014），云服务提供商应保障的安全能力包括（）。A.数据隔离B.隐私保护C.弹性计算D.事件响应答案：ABD解析：云计算安全能力要求涵盖数据安全（隔离、加密）、隐私保护（个人信息处理）、事件响应（应急处置）等；弹性计算是服务能力，非安全能力。24.以下关于数字签名的描述中，正确的有（）。A.数字签名使用发送方私钥加密摘要B.可验证数据完整性C.可确认发送方身份D.需结合哈希算法使用答案：ABCD解析：数字签名流程为：发送方用哈希算法提供数据摘要，用私钥加密摘要得到签名；接收方用公钥解密签名，重新计算摘要对比，可验证完整性和身份，因此全选。25.某企业需防范内部员工的越权访问，可采用的措施有（）。A.实施最小权限原则B.部署堡垒机C.启用强制访问控制（MAC）D.定期进行权限审计答案：ABCD解析：最小权限限制用户仅获取必要权限；堡垒机集中管理运维权限；MAC通过系统强制分配权限（如SELinux）；定期审计可发现冗余权限，均能防范越权。26.以下属于物联网（IoT）安全挑战的有（）。A.设备资源受限，难以部署复杂加密B.大量设备接入导致管理难度大C.通信协议（如ZigBee）存在漏洞D.数据量大，存储安全压力高答案：ABCD解析：IoT设备通常计算/存储资源有限（如传感器），难以支持AES-256等高强度加密；海量设备需统一管理（如固件更新）；专用协议（ZigBee、LoRa）可能存在设计缺陷；终端采集的大量数据（如位置、环境）存储需防泄露，因此全选。27.以下哪些是量子密码的特点？（）A.基于量子力学的不可克隆定理B.可提供无条件安全C.依赖计算复杂度D.主要用于密钥分发答案：ABD解析：量子密码（如量子密钥分发QKD）基于量子不可克隆定理，理论上提供无条件安全（无法被窃听而不被发现），主要用于提供和分发一次性密钥；传统公钥密码依赖计算复杂度（如RSA依赖大整数分解）。28.某企业发生数据泄露事件，应急响应流程应包括（）。A.事件确认与分类B.漏洞修复与补丁部署C.数据恢复与系统重建D.事件报告与经验总结答案：ABCD解析：应急响应标准流程包括：准备（预案制定）、检测（事件确认）、遏制（隔离系统）、根除（修复漏洞）、恢复（数据/系统重建）、总结（报告与改进），因此全选。29.以下关于区块链共识算法的描述中，正确的有（）。A.PoW（工作量证明）能耗较高B.PoS（权益证明）解决了PoW的中心化问题C.DPoS（委托权益证明）适用于联盟链D.PBFT（实用拜占庭容错）适合公链答案：ABC解析：PoW需大量计算（如比特币挖矿），能耗高；PoS根据持币量和时长选择记账节点，减少算力依赖；DPoS通过选举代表验证交易，效率高，适合联盟链；PBFT需节点间通信达成共识，适合私有链/联盟链，公链节点多、网络延迟大，不适用。30.以下属于数据脱敏技术的有（）。A.数据替换（如将真实姓名替换为“用户1”）B.数据加密（如对身份证号进行AES加密）C.数据截断（如保留手机号前3位和后4位）D.数据混淆（如将出生日期随机偏移3-5天）答案：ACD解析：数据脱敏是将敏感数据转换为非敏感形式（如替换、截断、混淆），确保无法还原真实信息；加密属于数据保护手段，解密后可恢复原始数据，不属于脱敏。三、案例分析题（共2题，每题20分，共40分）31.某制造企业部署了工业互联网平台，连接了500台智能机床、100台AGV（自动导引车）和生产管理系统（ERP）。近期监测到以下异常：（1）多台智能机床的加工程序被篡改，导致产品次品率上升；（2）AGV导航路径出现偏差，部分车辆碰撞损坏；（3）ERP系统中生产订单数据被删除，备份数据库无法恢复（备份介质损坏）。问题：（1）分析可能的攻击路径及漏洞类型；（2）提出针对性的防护措施。答案：（1）攻击路径及漏洞类型分析：①智能机床程序篡改：可能通过工业协议（如Modbus、OPCUA）漏洞入侵，攻击者利用未授权访问或弱认证（如默认密码）登录机床控制系统，篡改PLC（可编程逻辑控制器）程序；②AGV导航偏差：可能因无线通信（如Wi-Fi、UWB）被中间人攻击，伪造导航指令；或AGV固件存在漏洞，被植入恶意代码修改路径算法；③ERP数据删除：可能通过供应链攻击（如ERP插件/补丁被植入勒索软件），或内部员工误操作/恶意删除；备份失效可能因未定期验证备份有效性（如备份介质物理损坏未及时替换，或备份策略未覆盖全量数据）。（2）防护措施：①工业设备安全：启用工业协议认证（如ModbusTCP添加HMAC校验），禁用默认密码，定期更新PLC固件；划分工业控制网络（OT网络）与企业IT网络的逻辑隔离（如工业防火墙），限制跨区访问；②AGV通信安全：采用双向TLS加密无线通信，定期更换PSK（预共享密钥）；部署无线入侵检测系统（WIDS），监测异常导航指令；③ERP系统及数据安全：启用多因素认证（MFA），限制管理员权限（最小权限原则）；实施“3-2-1”备份策略（3份备份、2种介质、1份离线存储），定期验证备份可恢复性；部署文件完整性检测（FIM），监控ERP数据库文件的修改操作；④整体防护：建立工业安全监测平台，采集OT网络流量、设备日志，通过AI分析异常行为（如非工作时间的程序修改）；开展员工安全培训（如识别钓鱼邮件、避免使用默认密码），签订保密协议。32.某金融机构开发了一款移动支付APP，上线后用户反馈：（1）部分用户登录时收到“账号异地登录”提示，但实际未在异地操作；（2）交易记录中出现未授权的小额支付（50元以下）；（3）APP在后台持续获取位置信息，即使未使用定位功能。问题：（1）分析可能的安全风险及原因；（2）提出APP安全优化建议。答案：（1）安全风险及原因：①异地登录提示异常：可能因会话管理漏洞（如会话ID被劫持），攻击者通过XSS、中间人攻击获取用户会话令牌，模拟异地登录；或APP未校验登录设备特征（如IMEI、IP地址），导致误判；②未授权小额支付：可能因支付接口未做二次验证（如小额免密限额被滥用），攻击者通过撞库获取用户账号密码后，利用免密支付漏洞发起小额交易；或支付接口存在CSRF漏洞，诱导用户点击恶意链接触发支付；③后台获取位置信息：可能因APP申请了超出必要范围的权限（如“访问位置信息”为敏感权限，但未在隐私政策中明确用途），违反《个人信息保护法》的“最小必要”原则；或代码中存在逻辑错误，未在用户关闭定位后停止调用位置接口。（2）安全优化建议：①会话管理：采用基于令牌（JWT）的会话管理，设置短有效期（如15分钟），结合设备指纹（IMEI+设备型号+操作系统）绑定会话；登录时增加风险校验（如IP地址与常用地址差异过大时，触发短信验证码或人脸识别）；②支付安全：限制免密支付额度（如单日累计不超过200元），超过额度需二次验证（指纹/密码）；支付接口添加CSRF令牌（如每次请求提供随机token），验证Referer头防止跨站请求；对支付请求进行频率限制（如每分钟最多3次），防止批量小额攻击；③权限管理：遵循“最小必要”原则，仅在用户使用定位功能（如附近商户查询）时申请位置权限，后台关闭时停止获取；在隐私政策中明确位置信息的收集目的、使用方式，获得用户单独同意；④代码安全：对APP进行静态代码审计（SAST），检查是否存在硬编码密钥、未加密的敏感数据存储（如将支付密码明文存储在SharedPreferences）；启用混淆/加固（如使用爱加密、360加固），防止反编译获取业务逻辑；⑤监测与响应：部署移动应用安全监测（MASP），实时监控异常登录、高频支付等行为，触发警报后自动冻结账号；开通用户反馈渠道，对未授权交易快速核实并赔付，提升信任度。四、综合题（共1题，20分）33.某跨国企业计划构建覆盖总部（北京）、海外分公司（纽约、伦敦）和研发中心（深圳）的安全防护体系。要求满足等保2.0三级、GDPR合规，支持远程办公（5000名员工）和云服务（阿里云、AWS）的安全接入。请设计该企业的安全防护体系，需涵盖网络层、系统层、应用层、数据层和管理层面的措施。答案：该企业安全防护体系设计如下：一、网络层安全1.边界防护：总部与分公司间部署IPsecVPN，结合SD-WAN优化跨洲流量，通过BGP路由实现链路冗余；云服务（阿里云、AWS）通过VPCpeering连接企业内网，云边界部署云防火墙（如阿里云WAF、AWSShield），配置访问控制列表（ACL）限制仅允许业务端口（如443、3389）；互联网出口部署下一代防火墙（NGFW），启用入侵防御（IPS）、应用识别（如禁止P2P下载）、URL过滤（屏蔽恶意网站）。2.内网隔离：划分安全域：办公区（员工终端）、生产区（ERP、CRM系统）、研发区（代码仓库、测试环境）、DMZ区（对外Web服务器），域间通过防火墙策略控制（如办公区仅允许访问生产区80/443端口）；工业控制网络（如有生产线）单独划分OT域，与IT域通过工业防火墙隔离，仅允许白名单协议（如Modbus、OPCUA）通信。3.远程办公安全：员工通过零信任访问平台（如Zscaler、华为零信任）接入内部系统，需验证身份（MFA）、设备状态（安装杀毒软件、补丁更新）、位置（非高危地区）；部署SSLVPN，限制并发连接数（如单账号最多2个设备在线），会话超时设置为30分钟无操作自动断开。二、系统层安全1.终端安全：员工终端安装统一端点管理（UEM）软件，强制安装杀毒软件（如卡巴斯基、火绒），定期扫描恶意文件；启用系统补丁自动更新（WindowsServer2022的WSUS、Linux的yum），重要系统（如财务服务器）手动测试补丁后72小时内安装；禁止终端安装非授权软件（通过组策略或MDM限制应用商店外的安装），USB接口默认禁用（仅授权设备可接入）。2.服务器安全：采用最小化安装（如WindowsServer核心版、CentOS最小安装），关闭不必要的服务（如Telnet、FTP）；启用强制访问控制（如SELinux、AppArmor），限制进程仅访问必要资源；管理账号（如root、Administrator）启用双因素认证（如短信+硬件令牌），禁止直接远程登录（需通过堡垒机跳转）。三、应用层安全1.Web应用防护：对外Web应用部署WAF（如F5BIG-IP、腾讯云WAF），防御X