2026年信息安全技术考试试卷及答案

2026年信息安全技术考试试卷及答案一、单项选择题（每题1分，共20分）1.信息安全的核心三要素（CIA三元组）不包括下列哪一项？A.机密性（Confidentiality）B.可用性（Availability）C.真实性（Authenticity）D.完整性（Integrity）答案：C解析：CIA三元组指机密性、完整性、可用性。真实性属于其他安全属性范畴，不在CIA三元组之中。2.对称加密算法与公钥加密算法相比，其最大的优势是？A.密钥分发方便B.加解密速度快C.安全性更高D.支持数字签名答案：B解析：对称加密算法计算复杂度低，加解密速度快，适合大批量数据加密，但其密钥分发与管理是主要难点。3.以下哪个算法属于非对称加密算法？A.AESB.DESC.SM4D.RSA答案：D4.以下关于哈希函数特性的描述，错误的是？A.输入长度任意，输出长度固定B.正向计算容易，逆向计算困难C.不同的输入一定产生不同的哈希值D.任意微小的输入变化将导致输出发生巨大变化答案：C解析：哈希函数存在碰撞可能，即不同的输入可能产生相同的哈希值。"一定不同"表述过于绝对，抗碰撞性仅指在计算上难以找到碰撞。5.以下哪种攻击方式属于拒绝服务攻击（DoS）？A.SYNFlood攻击B.SQL注入攻击C.跨站脚本攻击（XSS）D.中间人攻击答案：A解析：SYNFlood利用TCP三次握手漏洞，发送大量半连接请求耗尽服务器资源，是典型的拒绝服务攻击手段。6.在SQL注入攻击中，攻击者通常通过操纵哪一部分来改变查询逻辑？A.HTTP响应头B.客户端脚本C.用户输入参数D.服务器配置文件答案：C7.以下关于访问控制模型的说法，正确的是？A.自主访问控制（DAC）中，系统管理员统一管理所有资源权限B.强制访问控制（MAC）中，主体不能随意将资源访问权授予其他主体C.基于角色的访问控制（RBAC）将权限直接分配给具体用户D.DAC比MAC具有更高的安全性答案：B解析：MAC基于安全标签和系统策略进行权限控制，用户不能随意传递权限，安全性高于DAC。RBAC将权限赋予角色而非直接赋予用户。8.以下哪个协议用于保障Web通信安全？A.FTPB.TelnetC.HTTPS（SSL/TLS）D.SNMP答案：C9.数字签名技术主要提供信息安全的哪些保障？A.机密性和完整性B.完整性和不可否认性C.可用性和机密性D.可控性和完整性答案：B10.以下哪种端口扫描方式最不易被目标系统日志记录？A.TCPConnect扫描B.TCPSYN半开扫描C.UDP扫描D.FIN扫描答案：D解析：FIN扫描发送设置了FIN标志的数据包，在端口关闭时返回RST，在端口开放时无响应，不完成完整TCP握手，不容易被目标系统记录。11.PKI体系的核心组件是？A.目录服务器B.证书认证机构（CA）C.Web服务器D.防火墙答案：B12.以下关于防火墙技术的说法，错误的是？A.包过滤防火墙工作在网络层B.状态检测防火墙能够跟踪连接状态C.应用代理防火墙工作在网络层D.下一代防火墙可集成入侵防御功能答案：C解析：应用代理防火墙工作在应用层，通过代理机制对应用流量进行深度检测和过滤。13.以下哪种数据备份方式恢复速度最快？A.完全备份B.增量备份C.差异备份D.日志备份答案：A14.以下哪个端口号对应SSH服务？A.21B.22C.23D.25答案：B15.以下哪项属于被动攻击？A.流量分析B.拒绝服务C.数据篡改D.伪造消息答案：A解析：被动攻击不改变系统数据，只进行监听和流量分析等行为，难以被检测，重在预防。16.彩虹表攻击主要针对以下哪种口令存储方式？A.明文存储B.加盐哈希存储C.未加盐的哈希存储D.对称加密存储答案：C解析：彩虹表是预先计算好的哈希链查找表，对未加盐的简单哈希口令可快速逆向破解。加盐后彩虹表将失效。17.以下哪项不是入侵检测系统（IDS）的典型部署方式？A.串联部署在网络出口B.旁路部署在核心交换机C.部署在服务器集群前端D.替代防火墙成为网络第一道防线答案：D解析：IDS通常以旁路方式部署，对网络流量进行监听分析，不能替代防火墙的功能。IPS才能串联部署并主动阻断。18.以下关于等级保护制度的描述，正确的是？A.等级保护仅适用于政府机构B.第二级系统每年至少进行一次测评C.等级保护对象分为五个安全保护等级D.等级保护测评由系统使用单位自行完成答案：C解析：网络安全法规定国家实行网络安全等级保护制度，等级保护对象分为五个安全保护等级；定级对象可以是任何网络和系统，测评须由具备资质的第三方测评机构完成。19.RTO（恢复时间目标）是指？A.灾难发生后系统必须恢复正常运行的最长时间B.灾难发生时最多可接受的数据丢失量C.备份数据保留的时间长度D.系统连续运行的平均时间答案：A解析：RTO衡量业务中断的可容忍时间；RPO（恢复点目标）衡量可容忍的数据丢失量。20.以下哪种恶意代码具有自我复制能力且不需要宿主文件？A.计算机病毒B.蠕虫C.木马D.逻辑炸弹答案：B解析：病毒需要宿主文件传播；木马不具备自我复制能力；蠕虫通过系统漏洞自主传播，无需宿主文件。二、多项选择题（每题2分，共20分）1.以下属于对称加密算法的有？A.AESB.DESC.3DESD.RSAE.SM4答案：ABCE2.以下关于SQL注入攻击的防御措施，正确的有？A.使用参数化查询B.对用户输入进行严格过滤和校验C.使用拼接字符串构造SQL语句D.最小化数据库账号权限E.关闭数据库错误信息回显答案：ABDE解析：拼接SQL字符串是导致注入漏洞的根本原因之一，属于不安全编码方式，不能作为防御措施。3.以下属于双因素认证组合的有？A.密码+短信验证码B.指纹+人脸识别C.智能卡+PIN码D.虹膜识别+声纹识别E.密码+USBKey答案：ACE解析：双因素认证需要组合两种不同类别的认证因素。指纹+人脸、虹膜+声纹同属"生物特征"这一类别，不算严格的双因素认证。4.以下哪些属于Windows系统安全加固的常用措施？A.禁用不必要的系统服务B.启用Windows防火墙C.关闭默认共享D.使用弱口令便于记忆E.及时安装安全补丁答案：ABCE5.以下关于VPN的描述，正确的有？A.VPN可以加密隧道内的通信数据B.VPN可以隐藏客户端的真实IP地址C.VPN可以完全防止病毒和木马的感染D.VPN技术可用于远程办公场景E.VPN通信建立在公共网络之上答案：ABDE解析：VPN只解决加密传输和身份认证问题，不对终端安全负责，不能防止病毒和木马感染。6.安全审计的主要目标包括？A.追溯安全事件的责任人B.检测未授权的访问行为C.实时阻断所有攻击流量D.为安全策略改进提供依据E.替代防火墙实现边界防护答案：ABD解析：安全审计以日志和监控为基础，侧重于事后追溯和分析，不具备实时阻断能力，也不能替代防火墙。7.以下哪些措施有助于加强数据库安全？A.对敏感字段进行加密存储B.使用最小权限原则管理数据库账号C.定期进行数据库备份D.禁用数据库审计日志以减少磁盘占用E.对数据库访问进行IP白名单限制答案：ABCE解析：审计日志是数据库安全监控和事态追溯的重要依据，不应禁用。8.以下关于网络安全纵深防御策略的描述，正确的有？A.强调单一安全产品的绝对可靠B.通过多层防御降低单点失效风险C.仅依赖防火墙即可实现全面防护D.网络安全、主机安全和应用安全协同联动E.将安全管理与安全技术相结合答案：BDE9.PKI体系的核心组成部分包括？A.证书认证机构（CA）B.注册机构（RA）C.证书库D.密钥备份与恢复系统E.证书撤销系统答案：ABCDE10.以下关于社会工程学攻击的说法，正确的有？A.利用人的心理弱点而非技术漏洞B.鱼叉式钓鱼是其常见形式之一C.部署防火墙可以完全防御社会工程学攻击D.安全意识培训是有效的防御手段E.尾随攻击属于物理社会工程学攻击答案：ABDE解析：防火墙属于技术控制手段，无法抵御针对人的心理操纵攻击，需要从管理和意识培训层面加以防范。三、判断题（每题1分，共10分）1.对称加密算法中，通信双方使用相同的密钥进行加解密。答案：正确2.MD5算法目前仍然适用于数字签名等对安全性要求较高的场景。答案：错误解析：MD5已被证明可产生哈希碰撞，安全性不足，不应用于数字签名等高安全场景。3.在Web应用中，HTTPS使用对称加密和非对称加密相结合的混合加密机制。答案：正确4.数字签名使用发送方的私钥进行签名，接收方使用发送方的公钥验证签名。答案：正确5.防火墙能够对应用层攻击进行深度检测和完全防御。答案：错误解析：传统防火墙缺乏应用层深度检测能力，即便下一代防火墙也无法对应用层攻击实现完全防御。6.入侵检测系统（IDS）可以主动阻断恶意攻击流量。答案：错误解析：IDS以旁路方式提供检测和告警，不具备主动阻断能力；具备阻断功能的是入侵防御系统（IPS）。7.最小权限原则要求每个用户仅拥有完成工作所必需的最小权限。答案：正确8.纵深防御策略强调通过多层安全机制来保护信息系统，即使某一层被突破，其他层仍能提供防护。答案：正确9.社会工程学攻击仅通过网络实施，不涉及面对面的接触。答案：错误解析：社会工程学攻击可以通过钓鱼邮件、电话诈骗等方式实施，也可通过伪装身份尾随进入办公区域等物理方式实施。10.数据库的访问日志记录可以作为安全审计的重要依据。答案：正确四、简答题（每题6分，共30分）1.简述对称加密与非对称加密的主要区别。答案：1.密钥数量不同：对称加密使用同一把密钥进行加解密；非对称加密使用公钥/私钥对。2.运算速度不同：对称加密运算简单，速度快；非对称加密运算复杂，速度慢。3.密钥管理不同：对称加密密钥分发和管理困难；非对称加密公钥可公开分发，解决了密钥分发问题。4.安全用途不同：对称加密适用于大批量数据加密；非对称加密适用于密钥交换、数字签名等。2.简述SSL/TLS握手的主要过程。答案：1.客户端发送ClientHello消息，包含支持的TLS版本、加密套件列表和随机数。2.服务端回复ServerHello，选定加密套件并返回数字证书和随机数。3.客户端验证证书的合法性与有效性。4.客户端生成预主密钥（Pre-MasterSecret），使用服务端公钥加密后发送给服务端。5.双方基于预主密钥，分别计算出相同的会话密钥。6.双方互发Finished消息确认握手完成，后续使用会话密钥进行对称加密通信。3.简述SQL注入攻击的常见类型及基本防御方法。答案：常见类型：1.联合查询注入（UNION-based）：通过UNION合并查询结果获取额外数据。2.布尔盲注：通过页面响应差异推断数据库信息。3.时间盲注：通过延时函数判断条件真伪。4.报错注入：利用数据库报错信息获取数据。防御方法：1.使用参数化查询（PreparedStatement）。2.对用户输入进行白名单校验和过滤。3.最小化数据库账号权限。4.隐藏数据库错误信息，避免信息泄露。5.使用WAF对恶意载荷进行检测和拦截。4.简述分布式拒绝服务攻击（DDoS）的基本原理及常见类型。答案：基本原理：攻击者控制大量傀儡机（僵尸网络），同时在短时间内向目标发送海量请求或数据包，耗尽目标系统的网络带宽、系统资源或应用连接能力，导致正常用户无法访问。常见类型：1.带宽消耗型攻击：如UDPFlood、ICMPFlood，通过洪水流量占满带宽。2.协议攻击：如SYNFlood、ACKFlood，利用协议漏洞耗尽连接资源。3.应用层攻击：如HTTPFlood、DNSQueryFlood，针对应用服务的处理能力进行攻击。5.简述自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）的主要区别。答案：1.DAC：资源所有者自主决定其他主体的访问权限，权限管理灵活但安全性较低。2.MAC：系统根据安全标签和统一策略进行权限控制，主体不能随意传递权限，安全性高，适合军事等高安全环境。3.RBAC：通过角色作为中间层管理权限，将权限授予角色而非个体用户，管理员只需为用户分配角色，简化了权限管理，适合企业通用场景。五、综合分析题（每题10分，共20分）1.某大型企业计划建设一套面向员工的统一身份认证系统，要求支持多业务系统的单点登录，员工可通过密码、短信验证码或生物特征方式登录。请结合信息安全知识，从认证方式、安全协议、密码存储和会话管理四个方面提出设计方案。答案：1.认证方式设计：采用多因素认证体系，基础认证因素为密码，可选第二因素为短信验证码或生物特征（如指纹、人脸识别）。对于敏感系统或高权限操作，强制使用双因素认证。生物特征数据不宜明文存储在数据库中，需使用专用安全模块进行加密保存，且生物特征仅作为口令的补充而非替代。2.安全协议设计：采用SAML2.0或OAuth2.0/OpenIDConnect协议实现单点登录。推荐使用OAuth2.0结合OpenIDConnect，使用HTTPS/TLS保障传输安全，通过授权码模式完成身份认证和授权流程，防止令牌在传输过程中被截获。3.密码存储设计：禁止明文或使用简单哈希存储密码。口令使用加盐的强哈希算法处理，推荐PBKDF2、bcrypt或scrypt，并设置合理的迭代次数以增大暴力破解成本。对登录接口采取速率限制和账号锁定策略，防止暴力破解。4.会话管理设计：会话令牌使用安全的随机数生成，设置合理的过期时间；启用会话失效机制，用户退出或密码修改后立即销毁旧会话；敏感操作要求二次认证；会话Cookie设置Secure和HttpOnly属性，防止跨站脚本窃取会话信息；部署集中式会话管理，支持会话撤销和全系统登出。2.某银行网上业务系统遭到攻击，安全团队在日志中发现大量异常登录尝试和部分用户信息被导出。经初步调