2026数据库安全试题及答案

2026数据库安全试题及答案一、单项选择题（每题1分，共20分）1.数据库安全中「CIA三元组」不包括下列哪项？A.机密性（Confidentiality）B.完整性（Integrity）C.可用性（Availability）D.可审计性（Auditability）答案：D2.在基于角色的访问控制（RBAC）模型中，权限被授予的对象是？A.用户B.角色C.数据表D.数据库实例答案：B3.下列SQL命令中，用于撤销用户权限的是？A.REVOKEB.DENYC.REMOVED.DISCONNECT答案：A4.下列哪种技术可以最有效地抵御SQL注入攻击？A.对用户输入进行黑名单过滤B.使用参数化查询（PreparedStatement）C.在数据库前架设反向代理D.限制单条SQL的长度答案：B解析：参数化查询在数据库编译阶段已将SQL语句结构固定，用户输入只能作为参数值参与执行，无法改变语句语义。5.数据库透明数据加密（TDE）主要解决哪类安全问题？A.数据传输过程中被窃听B.存储介质丢失或被盗后敏感数据泄露C.SQL注入攻击D.跨站脚本攻击答案：B6.数据库审计日志中通常不包含下列哪项内容？A.用户登录时间B.执行的SQL语句C.数据库缓存命中率D.客户端IP地址答案：C7.某容灾方案要求系统中断后2小时内恢复业务，该指标属于？A.RPO=2小时B.RTO=2小时C.MTBF=2小时D.MTTR=2小时答案：B解析：RTO关注恢复时间，RPO关注数据丢失量。「2小时内恢复业务」属于时间指标，故选RTO。8.下列哪项不属于数据库面临的常见安全威胁？A.SQL注入B.内部人员越权访问C.备份文件泄露D.数据库表结构未规范答案：D9.在关系数据库中，下列哪种授权粒度最细？A.数据库级B.表级C.列级D.实例级答案：C解析：授权可从数据库、模式、表、列延伸至行级，列级授权比表级更容易控制敏感字段的访问范围。10.“为每个用户分配完成任务所需的最小权限”，这一原则称为？A.权限分离B.最小权限原则C.默认拒绝D.职责分离答案：B11.下列哪项属于数据库访问控制模型？A.RBACB.AESC.HTTPD.OWASP答案：A12.应用系统通过互联网访问数据库时，下列做法最安全的是？A.将数据库直接映射到公网地址B.统一通过堡垒机或VPN接入，并开启SSL/TLS加密C.在配置文件中明文保存数据库口令D.关闭数据库访问日志以提高性能答案：B13.请求URL中出现参数值'OR'1'='1，最可能是哪种攻击？A.XSSB.CSRFC.SQL注入D.文件包含答案：C14.数据库“三权分立”中，独立负责管理审计日志的是？A.DBAB.业务操作员C.安全审计员D.系统管理员答案：C解析：三权分立将DBA、安全管理员和审计员分离，审计员独立查看审计日志，防止管理员自审自销。15.数据库备份文件加密最直接目的是？A.减少备份数据量B.防止备份介质在传输或存储过程中被非法获取后泄露数据C.提高备份速度D.解决备份软件兼容性问题答案：B16.对测试环境中的真实身份证号进行模糊化处理，主要利用的技术是？A.数据脱敏B.数据压缩C.数据分片D.数据索引答案：A17.根据我国网络安全等级保护2.0要求，三级及以上系统应对数据库操作进行？A.安全审计B.完全加密C.逻辑删除D.定期重启答案：A解析：等保2.0三级要求对重要用户行为和重要安全事件进行审计，数据库审计是其中的核心控制项。18.数据库防火墙与传统数据库审计相比，其主要特点是？A.旁路部署，只能事后分析B.串行部署，可实时阻断异常SQLC.只能部署在应用服务器上D.仅对静态数据加密答案：B解析：数据库防火墙一般串联在数据库前，对SQL实时解析和过滤；数据库审计则多旁路部署，偏重事后追溯。19.执行以下语句后，user1拥有什么权限？GRANTSELECT,INSERTONtestdb.*TO'user1'@'localhost';A.对testdb库所有表的查询和插入权限B.对testdb库所有表的所有权限C.对所有数据库的查询权限D.仅允许从任意主机登录答案：A解析：testdb.*限定了该数据库下的所有表，SELECT,INSERT仅表示查询和插入权限，登录主机限定为localhost。20.发生数据库安全事件后，下列哪项资料是追溯责任人最重要的依据？A.数据库安装手册B.审计日志C.数据库配置文件D.建表语句答案：B二、多项选择题（每题2分，共10分；多选、错选不得分，少选得1分）1.下列属于数据库安全防护措施的有？A.访问控制B.数据加密C.安全审计D.扩大数据库缓存容量答案：A、B、C解析：扩大缓存属于性能优化手段，不直接提供安全保障。2.关于数据库备份与容灾，下列说法正确的有？A.RPO越小，通常需要越高的备份频率B.RTO表示业务允许中断的最长时间C.只做全量备份即可满足所有容灾场景D.异地容灾可以应对数据中心级故障答案：A、B、D解析：全量备份恢复简单但开销大，一般需要全量与增量/差异备份结合；A、B是RPO/RTO基本概念，D是容灾基本要求。3.数据库审计日志应重点记录的内容包括？A.操作发生时间B.操作用户标识和来源IPC.执行的SQL语句内容D.数据库缓存命中率答案：A、B、C解析：审计日志需要完整还原操作行为，不需要记录物理资源使用指标。4.为防范数据库高权限账号被滥用，适宜采取的措施有？A.按最小权限为账号授权B.对DBA特权操作启用实时审计C.定期复核账号权限并回收多余权限D.所有运维人员共用一个超级管理员账号答案：A、B、C解析：共用超级账号违背账号唯一性与可追溯原则，会放大内部管理风险。5.下列哪些情况容易诱发SQL注入？A.动态拼接SQL字符串且未对输入进行验证B.使用ORM框架但底层仍拼接SQLC.使用参数化查询D.应用程序开启详细错误回显答案：A、B、D解析：A、B使恶意输入可能被当作SQL结构执行；D虽不会直接注入，但会暴露数据库结构信息，辅助攻击；C是防护措施而非诱因。三、判断题（每题1分，共10分）1.TDE加密可以做到对应用程序透明，无需修改应用代码。答案：正确2.将数据库服务器部署在内网，就可以完全避免SQL注入攻击。答案：错误解析：SQL注入的发起端是应用程序；数据库位于内网并不能阻止攻击者通过Web漏洞间接执行恶意SQL。3.数据库审计日志属于敏感数据，应与业务数据一样受到访问控制保护。答案：正确4.在线删除数据库表记录前，应先确认审计日志已开启，保证操作可追溯。答案：正确5.将数据库备份文件与数据库文件存放在同一台服务器上，是保证数据安全的最佳做法。答案：错误解析：备份与生产库同机保存无法抵抗磁盘损坏、勒索软件等风险，应异机或异地存放。6.RPO值越小，允许丢失的数据越少，但对备份系统和网络的要求越高。答案：正确解析：RPO越小意味着备份频率越高、数据传输量越大，对基础设施要求也更高。7.数据库防火墙与数据库审计功能可以互相替代。答案：错误解析：数据库防火墙侧重实时拦截，数据库审计侧重事后追溯与合规取证，两者互补而非替代。8.SHA-256算法既可以用于完整性校验，也可以用于数据库敏感字段的可逆加密。答案：错误解析：SHA-256是单向哈希算法，不可逆，不能用于需要解密还原的敏感字段加密。9.只要部署了数据库审计系统，就没有必要再进行数据库账号权限管理。答案：错误解析：审计只能发现问题，不能替代权限管理这一基础防线。10.为了运维便利，开发人员可以使用应用系统的高权限账号直接登录生产数据库进行修改。答案：错误四、简答题（每题10分，共40分）1.简述数据库安全中“最小权限原则”的含义，并举例说明其实施方法。答案：最小权限原则要求每个数据库账号仅拥有完成其任务所必需的最小权限集合，不授予超出工作需求的额外权限。实施方法：（1）按业务角色划分权限，例如「只读报表账号」仅授予SELECT权限；（2）对临时性任务使用临时授权，到期自动回收；（3）定期审计账号权限，清理员工离职或转岗后遗留的权限；（4）对高权限操作（如DROP、TRUNCATE）通过审批流程临时开放。解析：该原则旨在缩小攻击面，防止因账号泄露或内部滥权造成数据大范围泄露或破坏，是数据库纵深防御体系中权限管理的基础。2.简述数据库访问控制中DAC与RBAC的区别。答案：DAC（自主访问控制）中，数据属主可以自行决定将权限授予其他用户，授权灵活但容易失控，常见实现是SQL的GRANT/REVOKE；RBAC（基于角色的访问控制）将权限授予角色，再将角色授予用户，由管理员统一管理，便于实现最小权限原则和职责分离。解析：DAC以属主个人意志为中心，侧重灵活性；RBAC以组织岗位为中心，侧重集中控制和可管理性，更适合企业级数据库环境。3.数据库备份文件若流入攻击者手中，可能造成哪些危害？如何从技术上降低该风险？答案：备份文件包含完整的业务数据和表结构，若未加密，攻击者可直接还原数据库，获取全部敏感数据。技术降低措施：（1）对备份文件加密，启用TDE或备份工具加密功能；（2）备份介质与生产数据物理隔离，异地存放；（3）严格限制备份文件的访问权限，设置专用备份账号；（4）对备份恢复操作进行安全审计；（5）定期开展备份恢复演练，验证加密配置是否生效。解析：备份文件是数据库的高价值副本，安全要求应与生产系统一致，不能因为「离线保存」而降低防护标准。4.简述数据库审计与数据库监控的区别与联系。答案：区别在于：数据库审计记录并保存用户操作，用于事后追溯和合规审计；数据库监控实时采集系统运行状态（如性能指标、连接数、错误日志），用于运维保障。联系在于：两者共同构成数据库安全保障体系，审计日志可作为监控告警的数据来源，监控发现的异常行为也能指引审计方向，实现「实时发现、事后溯源」的协同闭环。解析：审计回答「谁在什么时间做了什么」，监控回答「系统当前是否正常」，二者目标互补。五、案例分析题（共20分）1.阅读材料，回答问题。某金融机构的核心业务系统使用MySQL数据库存储客户个人信息和高敏感交易数据。近期安全团队检查发现以下问题：（1）运维人员长期使用root账号连接数据库，口令明文保存在项目配置文件中；（2）Web应用直接拼接SQL字符串，错误提示页会完整回显SQL语法错误；（3）数据库审计功能未开启，部分操作日志被DBA自行清除；（4）数据库服务器上同时运行FTP和日志服务。问题：（1）请从数据库安全角度，分析上述四类问题分别对应的安全风险。（8分）（2）请提出针对性的整改建议，并说明优先处理顺序及理由。（12分）答案：（1）四类风险分析如下：-问题①：特权账号失控与凭据泄露。root被多人共用，口令明文保存，一旦配置文件泄露，攻击者可直接获取数据库最高权限。-问题②：SQL注入风险。拼接SQL给攻击者提供注入恶意代码的机会，详细错误回显会暴露表结构和语法信息，降低攻击门槛。-问题③：审计缺失与审计可信度丧失。未开启审计，安全事件无法回溯；DBA可随意删除日志，违背三权分立原则，削弱事后追责能力。-问题④：攻击面扩大。在数据库服务器上运行FTP、日志服务等非必要组件，增加了服务器被入侵的路径，可能导致数据库被横向渗透。（2）整改建议：-立即处置：修改root口令并停止明文保存凭据，统一纳入密码保险箱管理；关闭详细错误回显，改为自定义错误页；开启数据库审计，将审计日志修改权限与DBA分离。-中期整改：使用参数化查询或ORM框架重写数据库访问代码；实施账号治理，一人一账号，按最小权限原则收权，对DBA账号启用多因素认证。-长期加固：