2026年信息系统安试题(附答案)

2026年信息系统安试题(附答案)一、单项选择题（每题2分，共20分）1.根据2025年修订的《信息系统安全等级保护基本要求》，第三级信息系统的安全通用要求中，“安全通信网络”层面新增的强制要求是（）。A.实现网络设备的冗余部署B.采用密码技术保证通信过程中数据的完整性C.对网络流量进行异常检测并记录D.部署基于AI的威胁预测系统2.某企业使用SM4算法对用户敏感数据进行加密，若密钥长度为128位，分组模式采用CBC，则初始化向量（IV）的最小长度应为（）。A.64位B.128位C.256位D.512位3.以下关于零信任架构（ZeroTrustArchitecture）的描述中，错误的是（）。A.核心原则是“永不信任，始终验证”B.允许内部网络中的设备自动获得访问权限C.需对所有访问请求进行持续身份验证和授权D.通常结合软件定义边界（SDP）实现最小权限访问4.2025年某金融机构发生数据泄露事件，经调查发现攻击者通过伪造合法用户的生物特征（指纹）绕过了多因素认证（MFA）。该攻击主要利用了MFA的哪类缺陷？（）A.时间同步误差B.生物特征模板泄露C.短信验证码劫持D.硬件令牌物理窃取5.某企业部署了基于主机的入侵检测系统（HIDS），其核心监测对象不包括（）。A.系统日志文件B.进程执行状态C.网络数据包内容D.文件系统完整性6.根据《数据安全法实施条例（2025修订）》，关键信息基础设施运营者在向境外提供重要数据前，应当通过（）。A.数据安全影响评估B.个人信息保护认证C.网络安全审查D.密码应用安全性评估7.以下哪种攻击方式属于“供应链攻击”？（）A.攻击者入侵企业官网植入恶意脚本B.黑客通过篡改软件供应商的更新包注入后门C.利用系统漏洞对目标服务器实施远程代码执行D.通过钓鱼邮件诱导员工下载恶意文件8.某系统采用RBAC（基于角色的访问控制）模型，若需限制某角色在非工作时间访问敏感数据，应通过扩展（）属性实现。A.角色-权限关联B.用户-角色分配C.时间约束D.地理位置约束9.量子计算对现有密码体系的威胁主要体现在（）。A.破解对称加密算法的密钥扩展过程B.加速大数分解和离散对数问题的求解C.破坏哈希函数的抗碰撞性D.干扰密码设备的物理层通信10.某企业采用DLP（数据防泄漏）系统保护内部数据，其核心功能不包括（）。A.识别并阻止敏感数据通过邮件外发B.监控移动存储设备的接入与数据拷贝C.对数据库查询操作进行审计D.检测并清除终端设备中的恶意软件二、填空题（每题3分，共15分）1.2025年发布的《网络安全审查办法》明确，掌握超过（）用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报审查。2.数字签名的核心作用是保证数据的（）、（）和不可否认性。（请按顺序填写）3.工业控制系统（ICS）中，典型的安全通信协议是（），其通过身份认证和数据加密保障控制指令传输的安全性。4.云安全中的“左移安全”（ShiftLeftSecurity）强调在（）阶段就融入安全设计，而非仅在部署后进行检测。5.对抗样本攻击主要针对（）系统，通过微小修改输入数据导致模型输出错误结果。三、简答题（每题8分，共40分）1.简述SSL/TLS1.3协议相比1.2版本在安全性上的主要改进。2.列举数据脱敏的常用方法，并说明静态脱敏与动态脱敏的区别。3.说明渗透测试与漏洞扫描的主要区别，以及渗透测试的关键步骤。4.阐述物联网（IoT）设备面临的典型安全风险，并提出至少3项针对性防护措施。5.根据《个人信息保护法》，个人信息处理者在处理敏感个人信息时需满足哪些特殊要求？四、综合分析题（每题25分，共50分）1.某医疗云平台存储了患者电子病历（包含姓名、身份证号、诊断结果等敏感信息），近期发生多起患者信息泄露事件。经初步调查，攻击者通过伪造合法医生的账号登录系统，下载并导出了大量病历数据。假设你是该平台的安全工程师，请完成以下任务：（1）分析可能的攻击路径（至少3条）；（2）提出针对性的防护措施（至少5项）；（3）设计应急响应流程，包括事件发现、确认、处置和复盘的关键步骤。2.某能源企业计划部署工业互联网平台，连接下属20座发电厂的PLC（可编程逻辑控制器）、SCADA（监控与数据采集系统）和智能电表。平台需支持远程设备监控、指令下发和数据汇总。请从网络安全、设备安全、数据安全三个层面，设计该平台的安全防护体系，要求包含具体技术手段和管理措施。答案一、单项选择题1.D（2025年等保2.0修订版新增AI威胁预测要求）2.B（CBC模式IV需与分组长度一致，SM4分组长度128位）3.B（零信任不默认信任内部网络）4.B（生物特征模板泄露可被用于伪造）5.C（HIDS监测主机内部，网络数据包由NIDS处理）6.C（关键信息基础设施数据出境需通过网络安全审查）7.B（篡改供应商软件属于供应链攻击）8.C（时间约束用于限制访问时段）9.B（量子计算威胁基于大数分解的RSA等算法）10.D（DLP不负责恶意软件清除，属AV功能）二、填空题1.100万2.真实性；完整性3.MODBUS/TCP（或OPCUA，需结合2025年主流协议）4.开发（或软件生命周期早期）5.机器学习（或AI）三、简答题1.SSL/TLS1.3的改进：①简化握手流程，减少往返次数（从2RTT到1RTT）；②废弃不安全的加密算法（如DES、SHA-1）；③引入0-RTT技术提升性能；④加强前向保密（所有密钥均为临时提供）；⑤明确禁止重协商，防止重放攻击。2.数据脱敏方法：掩码（如身份证号显示后4位）、替换（用虚构数据替代）、变形（打乱数据格式）、加密（如可逆脱敏）。静态脱敏：对存储数据预处理，提供脱敏副本供测试使用；动态脱敏：根据访问者权限实时对查询结果脱敏，保障生产环境数据安全。3.区别：漏洞扫描是自动化检测已知漏洞，渗透测试是模拟攻击验证系统抗攻击能力。关键步骤：信息收集（主动/被动扫描）、漏洞探测（利用工具或手动验证）、漏洞利用（获取权限）、深度渗透（横向移动）、报告输出（风险评估与修复建议）。4.IoT安全风险：固件漏洞（更新困难）、弱认证（默认密码）、通信未加密（易被嗅探）、资源限制（无法部署复杂安全机制）。防护措施：强制固件自动更新机制、禁用默认凭证并要求强密码、采用TLS1.3或DTLS加密通信、部署轻量级入侵检测（如基于边缘计算的异常流量分析）。5.特殊要求：①取得个人单独同意；②说明处理敏感信息的必要性和对个人权益的影响；③采取严格的加密、访问控制等保护措施；④制定并公开敏感信息处理规则；⑤定期进行个人信息保护影响评估（PIPA）并保存记录。四、综合分析题1.（1）攻击路径：①医生账号密码被暴力破解（弱密码）；②钓鱼邮件诱导医生泄露账号令牌（如会话Cookie）；③利用平台身份认证漏洞（如会话固定攻击）；④内部人员滥用权限（越权访问）。（2）防护措施：①强制多因素认证（MFA，如短信+硬件令牌）；②部署账号行为分析系统（检测异常登录地点/时段）；③实施最小权限原则（医生仅能访问本科室患者数据）；④对敏感数据访问进行加密（如病历内容使用SM4加密存储）；⑤定期进行渗透测试，修复身份认证模块漏洞。（3）应急响应流程：①发现：日志监控系统报警（异常下载量/非工作时间登录）；②确认：安全团队验证泄露数据真实性，定位受影响账号；③处置：冻结涉事账号，启用备份数据恢复未泄露部分，通知患者启动隐私保护措施（如密码重置）；④复盘：分析攻击入口，修复系统漏洞，更新安全策略，对员工进行安全培训。2.安全防护体系设计：（1）网络安全：①工业控制网络与办公网络物理隔离（或逻辑隔离，如VLAN+防火墙）；②部署工业防火墙，基于白名单过滤PLC/SCADA通信指令；③对远程访问（如运维通道）采用VPN+MFA，禁止公网直接暴露设备接口；④定期进行网络流量分析（如检测异常Modbus/TCP指令）。（2）设备安全：①所有IoT设备启用固件签名验证，防止非法固件更新；②为PLC设置强密码（禁用默认密码），定期轮换；③部署设备健康监测系统（如检测设备异常重启、通信频率突变）；④对关键设备（如SCADA服务器）进行冗余部署，防止单点故障。（3）数据安全：①采集数据时分类标记（如实时监控数据、历史统计数据），敏感数据（如电表读数）使用SM4加密存储；②数据传输采用DTLS1.3加密，关键指令（如设备控制命令）附加数字签名；③建立数据访问审计系统，记录