2026年信息安全工程师岗位考试题库附答案

2026年信息安全工程师岗位考试题库附答案一、单项选择题（每题1分，共20分）1.根据《网络安全等级保护条例》，我国网络安全等级保护共分为多少个级别？A.3级B.4级C.5级D.6级答案：C2.下列算法中，属于对称加密算法的是？A.RSAB.AESC.SM2D.ECC答案：B解析：RSA、SM2、ECC均属于非对称加密算法，AES是典型的对称分组加密算法。3.在OWASPTop102021榜单中，排名第一的Web安全风险是？A.注入攻击B.失效的访问控制C.跨站脚本（XSS）D.安全配置错误答案：B4.零信任架构的核心原则是？A.默认信任内部网络用户B.永不信任，始终验证C.边界防护为核心D.仅对外部用户做身份校验答案：B5.根据《中华人民共和国数据安全法》，我国数据分类中安全等级最高的是？A.重要数据B.一般数据C.核心数据D.敏感个人信息答案：C6.SSH服务的默认监听端口是？A.21B.22C.23D.80答案：B解析：21是FTP默认端口，23是Telnet默认端口，80是HTTP默认端口。7.哈希算法的核心特性不包括下列哪一项？A.单向不可逆B.输入任意长度输出长度固定C.可解密还原原始数据D.输入敏感（输入微小变化导致输出显著差异）答案：C8.国际通用的漏洞严重程度评分标准是？A.CVSSB.CVEC.CNNVDD.OWASP答案：A解析：CVE是漏洞编号体系，CNNVD是国家信息安全漏洞库，OWASP是Web安全组织。9.包过滤防火墙工作在OSI七层模型的哪一层？A.应用层B.传输层C.网络层D.数据链路层答案：C10.PKI（公钥基础设施）的核心组件是？A.注册机构RAB.认证中心CAC.证书库D.密钥恢复中心答案：B11.下列关于DDoS攻击的描述，错误的是？A.攻击目的是使目标服务不可用B.分布式发起，攻击流量大C.属于被动攻击类型D.常见类型包括SYN洪水、UDP洪水答案：C解析：DDoS属于主动攻击，会主动干扰目标系统的正常运行。12.防御SQL注入攻击最有效的代码层措施是？A.安装Web应用防火墙B.使用参数化查询（预处理语句）C.过滤用户输入的特殊字符D.定期备份数据库答案：B13.信息安全应急响应流程的第一个阶段是？A.检测阶段B.准备阶段C.遏制阶段D.根除阶段答案：B解析：应急响应遵循PDCERF模型，顺序为准备、检测、遏制、根除、恢复、跟踪总结。14.在云服务责任共担模型中，IaaS模式下由用户负责的安全事项是？A.物理服务器安全B.虚拟化层安全C.操作系统及应用安全D.数据中心基础设施安全答案：C15.我国自主研发的商用密码算法中，SM4属于哪类算法？A.非对称加密算法B.哈希摘要算法C.对称分组加密算法D.标识密码算法答案：C解析：SM2是非对称加密算法，SM3是哈希算法，SM9是标识密码算法。16.下列不属于跨站脚本（XSS）常见类型的是？A.存储型XSSB.反射型XSSC.DOM型XSSD.传输型XSS答案：D17.信息安全三大核心属性（CIA三元组）不包括？A.机密性B.完整性C.可用性D.不可否认性答案：D18.渗透测试流程的第一步通常是？A.漏洞扫描B.情报收集C.漏洞利用D.权限提升答案：B19.等保2.0提出的“一个中心，三重防护”中，“一个中心”指的是？A.安全运营中心B.安全管理中心C.数据安全中心D.身份认证中心答案：B20.大语言模型（LLM）应用中，攻击者通过构造特殊输入诱导模型输出违规内容或执行越权操作的攻击方式是？A.提示注入（PromptInjection）B.SQL注入C.命令注入D.XML注入答案：A二、多项选择题（每题2分，共20分）说明：多选、少选、错选均不得分。1.下列攻击类型中，属于主动攻击的有哪些？A.嗅探B.数据篡改C.DDoS攻击D.重放攻击答案：BCD解析：主动攻击是指攻击者主动对信息系统发起干扰、破坏或篡改的攻击行为，包括篡改、DDoS、重放等；嗅探属于被动攻击，仅窃取传输数据不干扰正常通信。2.常见的访问控制模型包括哪些？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案：ABCD3.根据《数据出境安全评估办法》，重要数据和个人信息出境的合法路径包括哪些？A.国家网信部门组织的安全评估B.个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.企业自行评估后直接出境答案：ABC4.下列属于Web应用层常见安全漏洞的有哪些？A.SQL注入B.跨站脚本（XSS）C.ARP欺骗D.跨站请求伪造（CSRF）答案：ABD解析：ARP欺骗属于网络层攻击，不属于Web应用层漏洞。5.零信任架构的核心组件包括哪些？A.身份提供方（IdP）B.策略决策点（PDP）C.策略执行点（PEP）D.持续信任评估模块答案：ABCD6.下列属于信息安全应急响应常用工具的有哪些？A.Wireshark（流量分析）B.Volatility（内存取证）C.Splunk（日志分析）D.AdobePhotoshop（图像编辑）答案：ABC7.等保2.0安全技术要求涵盖的层面包括哪些？A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案：ABCD8.密码技术的典型应用场景包括哪些？A.数据加密存储与传输B.身份认证C.数字签名D.数据完整性校验答案：ABCD9.下列属于恶意代码常见类型的有哪些？A.病毒B.蠕虫C.木马D.勒索软件答案：ABCD10.云环境面临的特有安全挑战包括哪些？A.数据泄露与数据主权风险B.供应商锁定风险C.共享技术架构漏洞D.合规责任边界模糊答案：ABCD三、判断题（每题1分，共10分）1.HTTPS协议可以加密客户端与服务器之间的传输数据，因此可以完全防御SQL注入攻击。答案：错误解析：HTTPS仅保障传输层的机密性与完整性，无法防御应用层的SQL注入攻击，SQL注入的防御需在代码层采用预处理、参数化查询等措施。2.对称加密算法的密钥管理难度低于非对称加密算法。答案：错误解析：对称加密需要通信双方提前安全共享密钥，密钥分发与管理难度高；非对称加密仅需公开公钥，私钥本地保存，密钥管理复杂度更低。3.等保2.0适用于在我国境内建设、运营、维护和使用网络的所有运营者。答案：正确4.存储型XSS攻击仅能窃取用户Cookie，无法对服务器端造成危害。答案：错误解析：存储型XSS可通过攻击管理员账号、结合后台漏洞实现提权、上传webshell等操作，对服务器端造成严重危害。5.数字签名可以同时保障数据的完整性和不可否认性。答案：正确6.漏洞扫描工具可以发现目标系统的所有未知漏洞。答案：错误解析：漏洞扫描工具基于已知漏洞特征库进行检测，无法发现0day等未知漏洞。7.数据脱敏的核心目的是在数据开发、测试、分析等场景中，降低敏感数据泄露风险。答案：正确8.防火墙可以有效防御来自企业内部的攻击行为。答案：错误解析：传统防火墙主要部署在网络边界，防御外部攻击，对内部横向移动等内部攻击防护能力有限。9.黑盒渗透测试是指测试人员完全不掌握目标系统内部结构、代码、账号等信息，仅从外部模拟攻击者进行测试。答案：正确10.根据《个人信息保护法》，处理个人信息必须取得个人同意，无任何例外情形。答案：错误解析：个人信息处理存在法定例外情形，如为订立、履行合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件等，无需取得个人同意。四、简答题（每题10分，共30分）1.简述信息安全应急响应的核心阶段及各阶段的主要工作内容。答案：信息安全应急响应通常遵循PDCERF模型，共6个核心阶段：(1)准备阶段：提前制定应急预案、组建应急团队、储备技术工具与资源、开展应急演练；(2)检测阶段：通过安全设备、日志分析等方式监测异常事件，研判事件性质与危害程度，确认安全事件属实；(3)遏制阶段：采取临时措施控制事件扩散范围，避免危害进一步扩大，如隔离受感染主机、封禁攻击IP、切断非必要网络连接；(4)根除阶段：彻底清除事件根源，如删除恶意代码、修补漏洞、重置泄露的账号权限、排查入侵路径；(5)恢复阶段：逐步恢复业务系统正常运行，验证系统安全性与业务可用性，避免二次感染；(6)跟踪总结阶段：复盘事件原因与处置过程，形成事件报告，优化应急预案与防护体系，落实整改措施。2.简述零信任架构的核心思想与关键落地措施。答案：核心思想：以身份为中心，默认不信任任何内外部实体，对每次访问请求都进行持续的身份验证与授权校验，遵循“永不信任，始终验证”的原则，实现最小权限访问。关键落地措施：(1)统一身份管理：建立全量身份体系（人员、设备、应用），实现统一身份认证与单点登录；(2)最小权限授权：基于角色、属性、场景等维度为主体分配最小必要权限，权限按需动态调整；(3)持续信任评估：结合设备安全状态、访问行为、环境风险等因素持续评估信任等级，异常时触发二次验证或权限回收；(4)微隔离：对网络、应用、数据进行细粒度隔离，限制攻击横向移动范围；(5)全链路审计：对所有访问行为进行日志记录与审计，支持溯源分析。3.简述等保2.0“一个中心，三重防护”的具体内涵。答案：“一个中心，三重防护”是等保2.0安全技术体系的核心框架：(1)一个中心：指安全管理中心，承担全网安全策略统一管理、安全事件集中分析、安全态势感知、应急调度等职能，是整个安全体系的管控核心；(2)三重防护：①通信网络安全：保障网络传输链路的可靠性、机密性与完整性，防范网络链路攻击、非法接入等风险；②区域边界安全：在不同安全等级的网络区域边界部署防护设备，实现访问控制、入侵检测、边界隔离等能力，防范跨区域攻击；③计算环境安全：保障服务器、终端、应用、数据等计算资源的安全，包括身份鉴别、访问控制、漏洞防护、数据加密等措施。五、案例分析题（每题10分，共20分）1.某电商平台用户反馈，自己登录平台账号后点击了陌生私信中的活动链接，随后发现账户收货地址被篡改，且产生了非本人操作的订单。请结合上述场景回答以下问题：(1)该场景属于哪种典型Web安全攻击？（2分）(2)请简述该攻击的实现原理。（4分）(3)请列举3种以上针对该攻击的有效防御措施。（4分）答案：(1)该攻击为跨站请求伪造（CSRF）攻击。(2)攻击原理：攻击者利用用户已在目标网站完成身份认证的会话状态，诱导用户访问攻击者构造的恶意页面；恶意页面自动向目标网站发起业务操作请求，由于浏览器默认会自动携带用户在目标网站的Cookie等身份凭证，目标服务器无法区分请求是用户主动发起还是被诱导发起，从而执行非用户意愿的操作（如篡改信息、下单等）。(3)防御措施：①请求Token校验：在请求中加入随机生成的CSRFToken，服务器端校验Token与会话绑定关系，攻击者无法获取合法Token；②关键操作增加人机验证：如短信验证码、图形验证码等，确认操作是用户主动发起；③校验Referer字段：通过请求头的Referer字段验证请求来源是否为本站合法页面；④Cookie设置SameSite属性：限制跨站请求携带Cookie，从根源降低CSRF攻击风险；⑤采用Token身份认证：如JWT机制，将身份凭证放在请求头中，而非自动携带的Cookie中。2.某企业研发员工为了居家办公方便，私自将包含12万条客户姓名、手机号、住址的订单数据表格上传至公网个人网盘，随后该文件因网盘分享链接泄露被公开传播，造成大规模个人信息泄露。请结合上述场景回答以下问题：(1)该事件违反了我国哪些核心法律法规？（3分）(2)请从技术、管理两个维度，列举企业应采取的数据安全管控措施，避免同类事件再次发生。（7分）答案：(1)违反的核心法律法规包括：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，情节严重的还将触犯《中华人民共和国刑法》中侵犯公民个人信息罪相关条款。(2)管控措施：管理维度（3分）：①建立数据分类分级制度，明确客户个人信息属于敏感数据，制定严格的访问、使用