cisaw安全运维试题及答案

cisaw安全运维试题及答案一、单项选择题（共20题，每题1分，总计20分。每题只有1个正确答案）1.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），第三级信息系统的漏洞扫描频率至少为（）A.每月1次B.每季度1次C.每半年1次D.每年1次2.通用漏洞评分系统（CVSS）是衡量漏洞危害程度的核心标准，其评分体系不包含以下哪个维度（）A.基础度量组B.时间度量组C.环境度量组D.资产价值度量组3.应急响应经典模型PDCERF将应急处置分为六个阶段，其中第一个阶段是（）A.检测阶段B.准备阶段C.遏制阶段D.恢复阶段4.根据等保2.0三级要求，网络和系统的安全审计日志至少应保存（）A.1个月B.3个月C.6个月D.12个月5.运维人员使用的动态口令令牌属于身份认证三因素中的哪一类（）A.所知因素B.所有因素C.特征因素D.行为因素6.包过滤型防火墙是最早的防火墙技术形态，其核心工作在OSI七层模型的哪一层（）A.数据链路层B.网络层C.传输层D.应用层7.入侵检测系统（IDS）的误报是指（）A.系统将正常的访问行为识别为攻击行为并产生告警B.系统将真实的攻击行为识别为正常行为未产生告警C.系统因硬件故障导致无法产生任何告警D.系统对同一攻击行为重复产生多条告警8.以下关于增量备份的描述，正确的是（）A.备份所有数据，无论数据是否发生变化B.仅备份上次全量备份以来发生变化的数据C.仅备份上次备份（无论全量还是增量）以来发生变化的数据D.备份数据的冗余度最高，恢复速度最快9.在云计算服务责任共担模型中，IaaS服务模式下，用户需要负责以下哪项安全工作（）A.物理机房安全B.虚拟化层安全C.操作系统补丁更新D.网络基础设施安全10.运维审计系统（俗称“堡垒机”）的核心功能不包括以下哪项（）A.账号统一管理B.操作行为审计C.数据加密存储D.访问权限控制11.以下不属于操作系统安全基线核查范畴的是（）A.账号口令复杂度设置B.不必要服务的关闭情况C.数据库管理员账号权限配置D.系统补丁更新情况12.安全运维变更管理的核心流程中，第一个环节是（）A.变更评估B.变更申请C.变更审批D.变更实施13.根据《国家网络安全事件应急预案》，网络安全事件分为四级，其中特别重大网络安全事件对应的级别是（）A.Ⅰ级B.Ⅱ级C.Ⅲ级D.Ⅳ级14.灾难恢复指标中，恢复点目标（RPO）是指（）A.灾难发生后，系统从停止运行到恢复正常业务的最长允许时间B.灾难发生后，系统能够恢复到的最近数据点的时间，代表可容忍的最大数据丢失量C.灾难恢复系统的最大可承载业务流量D.灾难恢复站点与主站点的地理距离要求15.运维人员权限分配应遵循最小权限原则，该原则的核心含义是（）A.运维人员应拥有尽可能少的系统账号B.仅授予运维人员完成其岗位职责所需的最小权限，避免权限过度分配C.运维人员的权限应定期回收，到期自动失效D.所有运维操作必须经过审批才能执行16.以下关于等保三级系统恶意代码防范运维管理要求的说法，错误的是（）A.应在服务器和终端均部署恶意代码防护工具B.恶意代码库应及时更新，确保防护有效性C.仅需在网络边界部署恶意代码防护设备，终端无需部署D.应定期对系统进行恶意代码全面扫描17.以下关于存储介质数据销毁的运维管理要求，说法正确的是（）A.存储过普通数据的介质报废时可直接丢弃，无需销毁B.存储过重要数据的磁性介质报废时，仅需删除文件即可C.存储过重要数据的介质报废前必须进行数据销毁，确保数据不可恢复D.固态硬盘（SSD）可通过消磁的方式实现彻底数据销毁18.运维人员离职时，安全运维管理的首要操作是（）A.要求运维人员交接工作文档B.撤销该人员的所有系统访问权限C.结算工资和福利D.收回办公设备19.入侵防御系统（IPS）通常采用哪种部署方式实现攻击的实时阻断（）A.旁路部署B.串接部署C.离线部署D.镜像部署20.根据《信息安全技术信息系统灾难恢复规范》（GB/T20988-2007），等保三级信息系统的灾难恢复能力至少应达到（）A.第2级B.第3级C.第4级D.第5级二、多项选择题（共10题，每题2分，总计20分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.安全运维管理的核心目标包括（）A.保障信息系统的保密性B.保障信息系统的完整性C.保障信息系统的可用性D.最大化提升系统的业务性能E.满足合规性要求2.漏洞管理的全流程闭环管理包含以下哪些环节（）A.漏洞监测与发现B.漏洞验证与评估C.漏洞修复与处置D.漏洞验证与闭环E.漏洞归档与复盘3.应急响应工作中常用的工具有（）A.Wireshark（网络抓包分析工具）B.ELK（日志收集分析平台）C.Nessus（漏洞扫描工具）D.ProcessExplorer（进程查看分析工具）E.MicrosoftOffice（办公软件）4.安全审计日志的核心价值包括（）A.入侵检测与威胁发现B.故障排查与问题定位C.合规审计与责任追溯D.业务性能优化E.安全事件复盘5.云服务模式中，SaaS模式下用户需要负责的安全工作有（）A.用户账号与权限管理B.数据分类分级与保护C.应用层漏洞修复D.底层基础设施安全E.物理机房安全6.安全基线核查的常见对象包括（）A.操作系统B.数据库C.中间件D.网络设备E.办公家具7.数据备份的常见策略类型包括（）A.全量备份B.增量备份C.差异备份D.离线备份E.持续数据保护（CDP）8.第三方运维人员管理的安全要求包括（）A.签署保密协议和安全责任书B.运维操作前需提交申请并获得审批C.开放所有系统权限以方便运维操作D.运维操作过程全程审计E.运维结束后及时回收所有权限9.等保2.0三级系统备份与恢复管理的要求包括（）A.制定正式的备份与恢复策略B.定期对重要数据进行备份C.备份介质无需异地存放D.定期开展备份恢复测试E.重要系统应提供冗余能力10.应急响应复盘阶段的核心工作包括（）A.还原事件发生全过程，分析根本原因B.评估应急处置过程的有效性和不足C.制定改进措施，完善安全防护体系D.对事件责任人进行行政处罚E.更新应急预案，优化处置流程三、判断题（共10题，每题1分，总计10分。正确打“√”，错误打“×”）1.根据等保2.0要求，第二级信息系统的漏洞扫描至少每半年开展一次。（）2.差异备份是指备份上次备份（无论全量还是增量）以来所有发生变化的数据。（）3.入侵检测系统（IDS）采用串接部署方式，可实时阻断攻击流量。（）4.堡垒机可以实现运维操作的全量审计，满足等保的安全审计要求。（）5.等保三级系统的安全审计日志至少保存3个月即可满足合规要求。（）6.IaaS服务模式下，云服务提供商负责客户虚拟机操作系统的安全补丁更新。（）7.RTO（恢复时间目标）的值越小，代表业务系统灾难恢复的速度要求越高。（）8.安全基线核查仅需在系统上线前开展一次，运维阶段无需重复进行。（）9.网络安全事件应急响应的首要原则是第一时间恢复业务，减少业务中断时间。（）10.运维权限分配应遵循最小权限原则，避免因权限过度分配导致内部安全风险。（）四、简答题（共3题，每题10分，总计30分）1.请简述安全运维中漏洞管理的全流程及各阶段的核心工作要求。2.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），请列出第三级信息系统安全运维管理的核心控制项（至少8项）并简要说明其要求。3.请简述应急响应经典模型PDCERF的六个阶段及各阶段的核心任务。五、案例分析题（共1题，总计20分）【背景资料】某三甲医院的核心业务系统（HIS系统）已通过网络安全等级保护三级测评，运维团队由2名系统运维人员、1名网络运维人员组成，未配置专职安全运维人员。2024年5月，该HIS系统遭受勒索病毒攻击，导致门诊、住院业务中断8小时，大量患者就诊数据被加密。事后应急复盘发现以下问题：（1）系统近6个月未开展漏洞扫描，HIS系统所使用的WindowsServer服务器存在多个高危远程代码执行漏洞，勒索病毒通过暴露在公网的远程桌面端口（3389）暴力破解后利用漏洞扩散；（2）服务器仅部署了传统杀毒软件，病毒库更新周期为每周一次，未部署终端检测与响应（EDR）系统，未能检测到新型勒索病毒；（3）数据备份策略为每日全量备份至本地外接硬盘，备份硬盘始终连接在服务器上，备份数据与生产数据同时被加密，无异地备份；（4）事件发生后，运维人员第一时间尝试重装系统恢复业务，未对受感染主机进行隔离，导致病毒在12小时内扩散至5台业务服务器；（5）运维团队仅在等保测评时编写过通用应急预案，从未开展过应急演练，事件发生时无明确的处置分工，处置流程混乱。【问题】（1）结合案例背景，分析该医院在安全运维管理中存在的主要问题（8分）（2）结合等保2.0三级安全运维要求，针对上述问题提出具体的整改措施（12分）参考答案及解析一、单项选择题参考答案及解析1.答案：B解析：根据GB/T22239-2019三级系统安全运维管理中漏洞和风险管理要求，结合等级保护测评实施指南，三级系统漏洞扫描至少每季度开展1次，二级系统至少每半年1次，一级系统至少每年1次。2.答案：D解析：CVSSv3.1评分体系包含三个核心维度：基础度量组（衡量漏洞固有危害）、时间度量组（衡量漏洞随时间的变化影响，如补丁成熟度、利用代码可用性）、环境度量组（衡量漏洞在特定部署环境下的实际影响）。资产价值是风险评估的核心要素，不属于CVSS的评分维度。3.答案：B解析：PDCERF模型全称为Preparation（准备）、Detection（检测）、Containment（遏制）、Eradication（根除）、Recovery（恢复）、Follow-up（跟踪复盘），其中准备阶段是应急响应的前置基础，为整个处置工作提供资源、流程和人员保障。4.答案：C解析：GB/T22239-2019明确要求第三级信息系统的安全审计日志应至少保存6个月，且审计记录需设置访问权限，防止被篡改、删除或覆盖。5.答案：B解析：身份认证三因素分别为：所知因素（用户知晓的信息，如密码、密保问题）、所有因素（用户持有的物理/逻辑介质，如动态令牌、U盾、手机SIM卡）、特征因素（用户的生物特征，如指纹、人脸）。动态口令令牌属于持有类介质，对应所有因素。6.答案：B解析：包过滤防火墙通过检查IP数据包的源/目的地址、协议类型、端口号等网络层及传输层头部信息实现访问控制，核心工作层级为网络层；应用层防火墙（如WAF）工作在应用层，可解析应用层协议内容。7.答案：A解析：误报（FalsePositive）是指安全设备将正常行为误判为攻击并产生告警；漏报（FalseNegative）是指设备未能识别真实攻击，未产生告警；重复告警属于告警降噪优化范畴，不属于误报或漏报。8.答案：C解析：全量备份备份所有指定数据，恢复速度最快但冗余度最高；差异备份仅备份上次全量备份以来变化的数据；增量备份仅备份上次备份（含全量或增量）以来变化的数据，备份速度快但恢复流程复杂，需依赖全量备份和所有中间增量备份。9.答案：C解析：IaaS（基础设施即服务）模式下，云厂商负责物理机房、虚拟化层、网络硬件等底层基础设施安全；用户负责操作系统、中间件、应用、数据、账号权限等上层资源的安全，操作系统补丁更新属于用户责任范畴。10.答案：C解析：堡垒机是实现运维4A管理的核心工具，即账号（Account）统一管理、认证（Authentication）统一管控、授权（Authorization）细粒度分配、审计（Audit）全量记录。数据加密存储属于数据安全防护范畴，不是堡垒机的核心功能。11.答案：C解析：操作系统安全基线核查针对操作系统本身的配置安全性，包括账号口令策略、服务配置、补丁管理、日志配置、访问控制等。数据库管理员账号权限配置属于数据库安全基线核查范畴。12.答案：B解析：规范的变更管理流程为：变更申请→变更评估（风险、影响范围分析）→变更审批（按变更等级由对应负责人审批）→变更实施（按审批方案执行）→变更验证（验证效果与安全性）→变更归档（全流程记录存档）。变更申请是流程的起始环节。13.答案：A解析：《国家网络安全事件应急预案》将网络安全事件分为四个等级：Ⅰ级（特别重大）、Ⅱ级（重大）、Ⅲ级（较大）、Ⅳ级（一般），对应响应级别依次降低。14.答案：B解析：RPO（RecoveryPointObjective，恢复点目标）衡量灾难发生后系统可恢复到的最近数据备份点的时间，代表可容忍的最大数据丢失量；RTO（RecoveryTimeObjective，恢复时间目标）衡量业务从中断到恢复正常的最长允许时间，代表恢复速度要求。15.答案：B解析：最小权限原则是安全运维的核心原则之一，指仅为主体（用户、进程、服务等）授予完成其既定任务所必需的最小权限，避免因权限过大引发安全风险。A、C、D选项分别属于账号数量管理、权限生命周期管理、操作审批管理范畴，不是最小权限的核心含义。16.答案：C解析：等保2.0三级系统恶意代码防范要求采用“边界+终端”多层防护体系，既要在网络边界部署防病毒网关，也要在服务器、终端部署恶意代码防护客户端，实现全节点覆盖。17.答案：C解析：根据数据安全管理要求，存储数据的介质报废前需按数据级别采取对应销毁措施，重要数据介质必须进行可靠销毁，确保数据不可恢复。A选项普通数据介质也需销毁以避免数据泄露；B选项删除文件仅清除文件索引，数据可通过技术手段恢复；D选项固态硬盘采用闪存存储介质，消磁无法破坏闪存数据，需通过物理销毁或专用擦除工具实现彻底销毁。18.答案：B解析：根据等保2.0人员安全管理要求，人员离岗时应立即撤销其所有系统访问权限，回收身份认证介质，防止离岗人员持有限权引发安全风险，这是安全角度的首要操作。A、D属于离岗流程内容，C属于人事管理范畴。19.答案：B解析：IPS（入侵防御系统）需要实时拦截攻击流量，因此必须采用串接（Inline）部署方式，所有流量经过IPS检测后再转发，发现攻击立即阻断；IDS（入侵检测系统）通常采用旁路镜像部署，仅检测流量不阻断，不影响网络正常运行。20.答案：B解析：GB/T20988-2007将灾难恢复能力分为6个等级，其中第3级为电子传输和部分设备支持，要求RPO≤24小时、RTO≤12小时，与等保三级系统的备份与恢复要求匹配；等保二级系统至少达到第2级，四级系统至少达到第5级。二、多项选择题参考答案及解析1.答案：ABCE解析：安全运维的核心目标是保障信息系统的保密性、完整性、可用性（信息安全三要素），同时确保系统符合等保、数据安全法等法规的合规要求。D选项最大化提升业务性能属于IT性能管理范畴，不属于安全运维目标。2.答案：ABCDE解析：规范的漏洞管理是全流程闭环管理，包含五个核心环节：①漏洞监测与发现：通过扫描、渗透测试、厂商通告、威胁情报等渠道发现漏洞；②漏洞验证与评估：验证漏洞真实性，排除误报，评估危害等级与影响范围；③漏洞修复与处置：按优先级制定修复方案，无法立即修复的采取临时缓解措施；④漏洞验证与闭环：修复后重新检测，确认漏洞消除；⑤漏洞归档与复盘：记录全流程数据，优化防护体系。3.答案：ABCD解析：应急响应工具覆盖多个技术维度：Wireshark用于流量抓包分析，排查攻击路径；ELK用于日志收集分析，定位攻击痕迹；Nessus用于漏洞扫描，发现可利用漏洞；ProcessExplorer用于主机进程分析，识别恶意程序。Office属于通用办公工具，不属于应急响应专用工具。4.答案：ABCE解析：安全审计日志的核心价值包括：①安全检测：通过异常日志发现入侵行为；②故障排查：通过日志定位系统故障原因；③合规审计：满足法规要求，作为责任追溯依据；④事件复盘：还原攻击路径，分析事件原因。D选项业务性能优化依赖性能监控数据，不是安全日志的核心价值。5.答案：AB解析：SaaS（软件即服务）模式下，云厂商负责应用、平台、基础设施、物理机房等全栈底层安全；用户负责账号权限管理、自身业务数据安全（分类分级、加密、备份）、访问控制配置。应用层漏洞修复、底层基础设施、物理机房均为云厂商责任。6.答案：ABCD解析：安全基线是信息系统必须达到的最低安全配置标准，常见核查对象包括操作系统、数据库、中间件、网络设备、安全设备等IT资产。办公家具不属于信息系统资产，不在核查范畴内。7.答案：ABCE解析：备份策略指备份的执行方式与数据范围，常见类型包括全量备份、增量备份、差异备份、持续数据保护（CDP）。离线备份是备份数据的存储方式（如磁带、离线硬盘），不属于策略类型。8.答案：ABDE解析：等保2.0对第三方运维人员的管控要求包括：资质审核、签署保密协议、操作审批、最小权限分配、全程审计、操作后权限回收等。C选项开放所有权限违反最小权限原则，会带来极大安全风险。9.答案：ABDE解析：GB/T22239-2019三级系统备份与恢复管理要求：①制定正式备份策略，明确备份范围、频率、存储要求；②重要数据至少每天备份一次；③备份介质异地存放，环境符合安全要求；④定期开展恢复测试，确保备份可用；⑤重要系统提供冗余能力，避免单点故障。C选项错误，三级要求备份介质异地存放。10.答案：ABCE解析：应急复盘的核心是总结经验、优化防护与应急体系，工作包括：还原事件过程、分析根本原因、评估处置效果、制定改进措施、更新预案、优化流程、开展针对性培训。对责任人的处罚属于人事或法务流程，不是应急复盘的核心工作。三、判断题参考答案及解析1.答案：√解析：根据等保测评实施指南，二级系统漏洞扫描至少每半年1次，三级至少每季度1次，符合规范要求。2.答案：×解析：题干描述的是增量备份的特征；差异备份是仅备份上次全量备份以来发生变化的数据。3.答案：×解析：IDS（入侵检测系统）采用旁路镜像部署，仅检测攻击不阻断；IPS（入侵防御系统）采用串接部署，可实时阻断攻击。4.答案：√解析：堡垒机可实现运维操作的全量记录与审计，包括命令操作、文件传输、屏幕录像等，满足等保安全审计要求。5.答案：×解析：等保三级系统要求安全审计日志至少保存6个月，3个月不符合合规要求。6.答案：×解析：IaaS模式下，用户负责虚拟机操作系统及以上层级的安全，包括补丁更新、配置加固等；云厂商负责虚拟化层及底层基础设施安全。7.答案：√解析：RTO是业务从中断到恢复正常的最长允许时间，值越小代表恢复速度要求越高，业务中断容忍度越低。8.答案：×解析：安全基线核查需定期开展（三级系统至少每季度1次），且系统变更、补丁更新后需补充核查，确保配置持续符合安全要求。9.答案：×解析：网络安全事件应急响应的首要原则是遏制事件扩散，防止损失进一步扩大；恢复业务需在遏制、根除攻击后有序开展，避免病毒二次扩散。10.答案：√解析：最小权限原则是安全运维的核心原则，可有效降低内部人员违规操作、权限滥用的风险。四、简答题参考答案1.漏洞管理是安全运维的核心工作，全流程闭环管理包含5个核心阶段，各阶段要求如下：（1）漏洞监测与发现阶段（2分）：建立多渠道漏洞发现机制，通过定期漏洞扫描、渗透测试、厂商安全通告、威胁情报、白帽提交等方式发现系统漏洞；三级系统至少每季度开展1次全面漏洞扫描，每年至少1次渗透测试。（2）漏洞验证与评估阶段（2分）：对发现的漏洞进行真实性验证，排除误报；结合CVSS评分、资产重要性、影响范围、利用难度等对漏洞进行风险分级，分为高危、中危、低危三个等级，明确处置优先级。（3）漏洞修复与处置阶段（2分）：按优先级制定修复方案，高危漏洞要求72小时内完成修复，中危漏洞15天内修复，低危漏洞30天内修复；无法立即修复的漏洞需采取临时缓解措施（如端口封禁、访问控制、WAF防护规则），降低风险。（4）漏洞验证与闭环阶段（2分）：漏洞修复完成后，需通过重新扫描、渗透测试等方式验证修复效果，确认漏洞已消除且未影响业务正常运行；验证不通过的需重新制定修复方案，直至闭环。（5）漏洞归档与复盘阶段（2分）：记录漏洞全生命周期信息（发现时间、等级、修复方案、验证结果等），建立漏洞管理台账；每季度复盘漏洞产生原因，优化安全防护策略和基线配置，从根源减少漏洞出现。2.GB/T22239-2019中第三级信息系统安全运维管理包含14项控制类，核心控制项及要求如下（答出任意8项即可得满分）：（1）资产管理（1分）：建立全量资产台账，明确资产归属、价值、重要等级，定期开展资产盘点，确保资产账实相符。（2）漏洞和风险管理（1分）：定期开展漏洞扫描（每季度至少1次）和渗透测试（每年至少1次），建立漏洞闭环管理机制，及时修复安全漏洞。（3）配置管理（1分）：制定各系统、设备的安全基线，定期开展基线核查（每季度至少1次），确保配置符合安全要求。（4）变更管理（1分）：建立规范的变更管控流程，所有变更需经过申请、风险评估、审批后实施，实施后验证变更效果与安全性。（5）备份与恢复管理（1分）：制定正式备份策略，重要数据至少每天备份一次，备份介质异地存放；每季度至少开展1次备份恢复测试，确保备份可用。（6）恶意代码防范管理（1分）：建立“边界+终端”的恶意代码防护体系，及时更新恶意代码库，定期开展全面恶意代码扫描。（7）安全事件处置（1分）：建立安全事件监测、报告、处置机制，明确事件分级标准和处置流程，及时处置安全事件并留存记录。（8）应急预案管理（1分）：制定覆盖常见场景的应急预案，明确角色分工和处置流程；每半年至少开展1次应急演练，每年至少更新1次预案。（9）外包运维管理（1分）：对外包运维服务商进行资质审核，签署保密协议和安全责任书；对外包人员操作进行审批、审计和权限管控。（10）人员安全管理（1分）：配备足够的运维人员，明确岗位职责，定期开展安全培训和考核，与运维人员签订保密协议。3.PDCERF模型是国际通用的应急响应经典模型，包含六个阶段，各阶段核心任务如下：（1）准备阶段（Preparation）（1.5分）：建立应急响应体系，包括组建应急团队、制定应急预案、储备应急工具与资源、开展应急培训和演练，为应急处置提供基础保障。（2）检测阶段（Detection）（1.5分）：通过安全设备、人工上报、外部通报等渠道监测安全事件，确认事件真实性，初步判断事件类型、影响范围、危害程度，启动对应级别的响应。（3）遏制阶段（Containment）（1.5分）：采取措施控制事件扩散，防止损失进一步扩大，常见措施包括隔离受感染主机、封禁攻击IP、切断攻击路径、关闭可疑服务等，同时注意保护证据。（4）根除阶段（Eradication）（1.5分）：彻底清除攻击根源，包括删除恶意程序、修补安全漏洞、清理后门账号、修复被篡改的配置与数据，确保攻击不会再次发生。（5）恢复阶段（Recovery）（2分）：在确认风险消除后，按照优先级逐步恢复业务系统正常运行，验证系统功能和安全性，加强监测，防止业务恢复后再次被攻击。（6）跟踪阶段（Follow-up）（2分）：开展事件复盘，还原攻击过程，分析根本原因，评估处置效果；制定技术和管理改进措施，更新应急预案和防护策略，开展针对性培训，避免同类事件再次发生。五、案例分析题参考答案（1）该医院在安全运维管理中存在的主要问题（8分，答出4点即可得满分，每点2分）：①漏洞管理完全缺失：未按等保三级要求每季度开展漏洞扫描，服务器高危漏洞长期未修复，且远程桌面端口暴露公网无访问控制，为攻击者提供了入侵入口。②恶意代码防护能力不足：仅部署传统杀毒软件，病毒库更新频率低，