2026年信息安全专业知识考试试题及答案

2026年信息安全专业知识考试试题及答案一、单项选择题（每题1分，共30分）1.根据《网络安全等级保护条例》，我国网络安全等级保护制度将网络安全等级共划分为几级？A.3级B.4级C.5级D.6级2.下列算法中，属于对称加密算法的是？A.RSAB.SM2C.AES-256D.ECC3.哈希（散列）函数的核心特性不包括下列哪一项？A.单向不可逆性B.抗碰撞性C.可解密还原原文D.定长输出4.数字签名主要用于解决信息传输过程中的哪类安全问题？A.数据保密性B.数据完整性与不可否认性C.数据可用性D.数据存储容量优化5.下列哪种措施无法有效防御SQL注入攻击？A.使用预编译语句（PreparedStatement）B.对用户输入进行严格的合法性校验C.将数据库管理员密码设置为复杂强口令D.使用ORM框架的参数化查询接口6.攻击者在论坛帖子中插入恶意JavaScript代码，当其他用户浏览该帖子时脚本自动执行，这种XSS攻击属于？A.反射型XSSB.存储型XSSC.DOM型XSSD.被动型XSS7.下列哪种防御措施是针对CSRF（跨站请求伪造）攻击的？A.为Cookie设置HttpOnly属性B.验证请求Referer字段或添加CSRFTokenC.对输出到页面的内容进行HTML编码D.使用Web应用防火墙拦截SQL关键字8.状态检测防火墙主要工作在OSI七层模型的哪些层级？A.物理层与数据链路层B.网络层与传输层C.会话层与表示层D.应用层9.按照检测原理划分，入侵检测系统（IDS）可分为哪两大类？A.主机型和网络型B.异常检测和误用检测C.离线检测和实时检测D.主动检测和被动检测10.下列VPN协议中，工作在网络层的是？A.PPTPB.L2TPC.IPSecD.SSLVPN11.零信任架构的核心基本原则是？A.默认信任内部网络所有用户B.永不信任，始终验证C.仅对外部网络访问进行控制D.依赖防火墙作为边界安全核心12.下列攻击类型中，属于分布式拒绝服务（DDoS）攻击的是？A.SQL注入B.SYNFloodC.钓鱼攻击D.暴力破解13.根据《信息安全技术信息安全漏洞分类分级指南》，漏洞等级从高到低依次为？A.严重、高危、中危、低危、信息类B.高危、中危、低危、提示C.致命、严重、一般、轻微D.紧急、重要、一般、低14.Linux系统中，存储用户账户密码哈希值的文件是？A./etc/passwdB./etc/shadowC./etc/groupD./etc/hosts15.Windows系统中，用于配置本地安全策略的管理工具命令是？A.gpedit.mscB.services.mscC.secpol.mscD.regedit.exe16.根据《数据安全法》，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于？A.重要数据B.核心数据C.敏感数据D.一般数据17.根据《个人信息保护法》，处理个人信息应当遵循的原则不包括？A.合法、正当、必要和诚信原则B.公开、透明原则C.效益最大化原则D.目的明确、最小必要原则18.下列哪种技术不属于数据脱敏的常用实现方式？A.数据替换B.数据遮蔽C.数据备份D.数据泛化19.根据《数据出境安全评估办法》，下列哪种情形不需要向国家网信部门申报数据出境安全评估？A.处理100万人以上个人信息的处理者向境外提供个人信息B.出境数据包含核心数据C.处理100万以下个人信息的企业向境外提供本企业非敏感非重要经营数据D.关键信息基础设施运营者向境外提供个人信息20.PKI（公钥基础设施）的核心组件是？A.证书吊销列表（CRL）B.证书授权中心（CA）C.注册机构（RA）D.密钥管理中心（KMC）21.HTTPS协议默认使用的端口和底层安全协议是？A.80端口，SSL/TLSB.443端口，SSL/TLSC.8080端口，IPSecD.21端口，SSH22.下列哪种口令策略最能有效抵御暴力破解攻击？A.口令长度不少于6位，仅包含数字B.口令长度不少于8位，包含大小写字母、数字和特殊字符，且定期更换C.使用用户生日作为口令D.使用常用英文单词作为口令23.攻击者伪装成IT运维人员给企业员工打电话，谎称系统升级需要提供账号密码，这种攻击方式属于？A.钓鱼攻击B.社会工程学攻击C.中间人攻击D.跨站脚本攻击24.在IaaS云服务模式中，用户不需要承担哪项安全责任？A.虚拟机操作系统补丁更新B.物理服务器硬件安全C.应用程序安全配置D.业务数据备份25.物联网设备面临的主要安全挑战不包括？A.设备计算资源有限，难以部署复杂安全机制B.设备数量庞大，难以统一管理C.设备默认口令普遍，易被攻陷D.设备功耗过高，导致使用寿命短26.下列哪种攻击属于针对AI模型的对抗样本攻击？A.通过输入精心构造的微小扰动图片，让图像识别模型错误分类B.通过暴力破解获取AI模型的训练数据C.通过DDoS攻击使AI服务不可用D.通过SQL注入窃取AI平台的用户数据27.网络安全等级保护2.0的技术要求中，不包括下列哪个层面？A.安全物理环境B.安全通信网络C.安全管理机构D.安全区域边界28.信息安全应急响应的标准流程顺序正确的是？A.准备-检测-遏制-根除-恢复-跟踪总结B.检测-准备-遏制-恢复-根除-跟踪总结C.遏制-检测-准备-根除-恢复-跟踪总结D.准备-遏制-检测-根除-恢复-跟踪总结29.下列哪种恶意代码不需要依附宿主程序，能够独立自我复制传播？A.木马B.蠕虫C.宏病毒D.引导区病毒30.信息安全风险评估的核心三要素是？A.资产、威胁、脆弱性B.资产、风险、事件C.威胁、漏洞、攻击D.资产、威胁、风险二、多项选择题（每题2分，共20分）1.下列属于非对称加密算法典型应用场景的有？A.数字签名B.密钥交换C.大文件批量加密D.身份认证2.下列属于Web应用层常见攻击类型的有？A.SQL注入B.XSSC.SYNFloodD.CSRF3.传统网络层防火墙的主要功能包括？A.基于ACL的包过滤访问控制B.网络地址转换（NAT）C.应用层病毒查杀D.VPN隧道支持4.数据安全生命周期通常包含哪些阶段？A.数据采集B.数据传输C.数据存储D.数据销毁5.根据《个人信息保护法》，下列属于敏感个人信息的有？A.生物识别信息B.宗教信仰信息C.特定身份信息D.行踪轨迹信息6.下列属于零信任架构核心组件的有？A.身份提供商（IdP）B.持续信任评估引擎C.策略执行点（PEP）D.边界防火墙7.下列属于哈希（散列）算法的有？A.SM3B.SHA-256C.MD5D.SM48.在信息安全应急响应的遏制阶段，可采取的合理措施有？A.切断受感染主机的网络连接B.关闭受攻击的服务端口C.全面修补系统所有漏洞D.备份受感染系统的现场镜像9.在SaaS云服务模式下，下列安全责任中由云服务商承担的有？A.服务器硬件运维安全B.应用程序代码安全C.用户业务数据的加密与备份D.平台系统的补丁更新10.下列哪些系统需要按照《网络安全等级保护条例》开展等级保护工作？A.国家机关政务系统B.金融机构业务系统C.中小学校园网站D.个人建设的非经营性博客三、判断题（每题1分，共10分）1.对称加密算法的加密密钥和解密密钥相同，而非对称加密算法的加密密钥和解密密钥不同，且可以从公钥推导出私钥。2.防火墙能够有效防御来自网络内部的攻击。3.入侵防御系统（IPS）可以串联部署在网络中，对检测到的攻击行为进行实时阻断。4.根据《数据安全法》，数据处理者应当对其开展的数据处理活动的数据安全负责。5.SQL注入攻击只能发生在Web应用的登录页面。6.数字证书的作用是证明证书持有人的身份与其所持公钥的对应绑定关系。7.零信任架构要求仅对来自外部网络的访问进行身份验证。8.数据脱敏技术可以在不泄露敏感信息的前提下，让数据安全用于开发、测试、数据分析等场景。9.木马病毒能够通过自我复制主动传播到其他计算机。10.网络安全等级保护第三级系统，应当每年至少开展一次等级测评。四、简答题（每题5分，共20分）1.简述网络安全等级保护2.0的“一个中心，三重防护”技术体系架构。2.简述对称加密与非对称加密的优缺点及适用场景。3.简述Web应用中XSS攻击的三种主要类型及核心区别。4.简述数据安全与信息安全的联系与区别。五、综合分析题（每题10分，共20分）1.某电商网站近期频繁出现用户账号被盗、购物车被篡改、用户浏览商品时自动弹出诈骗页面等问题，安全人员排查发现以下线索：(1)用户登录页面的用户名输入框未做输入过滤，可通过构造特殊语句绕过密码验证直接登录；(2)商品评论区可以提交带<script>标签的内容，其他用户查看评论时会弹出异常窗口；(3)用户修改收货地址的接口仅验证了用户登录状态，未校验请求的来源合法性。请分别指出该网站存在的三类安全漏洞名称，并针对每类漏洞提出至少2条具体防御措施。2.某医疗科技公司收集了约500万用户的就诊记录、人脸生物识别信息等健康数据，为开展AI辅助诊断模型研发，该公司拟将上述数据提供给境外某AI企业进行联合训练。请结合《数据安全法》《个人信息保护法》《数据出境安全评估办法》等法律法规，回答以下问题：(1)该公司处理的医疗健康、生物识别信息属于什么类型的个人信息？处理该类信息有哪些特殊法定要求？(2)该公司拟向境外提供数据的行为是否需要申报数据出境安全评估？请说明法律依据。(3)若该公司需要使用上述数据开展AI模型训练，可采取哪些数据安全技术措施保障数据安全？参考答案与解析一、单项选择题1.答案：C解析：网络安全等级保护2.0体系将网络安全等级从低到高分为第一级到第五级，其中第五级为最高防护等级。2.答案：C解析：RSA、SM2、ECC均为非对称加密算法，AES是典型的对称分组加密算法。3.答案：C解析：哈希函数是单向散列算法，仅能将任意长度输入转换为固定长度摘要，无法通过摘要反向还原原始数据。4.答案：B5.答案：C解析：SQL注入的核心是利用用户输入构造恶意SQL语句，数据库密码强度与注入攻击的发生没有直接关联。6.答案：B解析：存储型XSS的恶意脚本会被持久化存储在服务器（如数据库）中，用户访问对应页面时自动触发，危害范围最广。7.答案：B解析：HttpOnly和HTML编码是XSS攻击的防御措施，拦截SQL关键字用于防御SQL注入。8.答案：B解析：状态检测防火墙在包过滤基础上增加了传输层连接状态跟踪能力，可识别TCP连接的合法状态，比传统包过滤更安全。9.答案：B解析：主机型和网络型是按部署位置划分的类别，异常检测和误用检测是核心的两类检测原理。10.答案：C解析：PPTP、L2TP工作在数据链路层，IPSec工作在网络层，SSLVPN工作在应用层。11.答案：B12.答案：B解析：SYNFlood利用TCP三次握手缺陷，通过大量伪造源IP的SYN请求消耗服务器连接资源，是典型的DDoS攻击方式。13.答案：A14.答案：B解析：/etc/passwd存储所有用户的基本信息，对所有用户可读；密码哈希单独存储在/etc/shadow中，仅root用户可访问。15.答案：C解析：gpedit.msc是组策略编辑器，services.msc是服务管理器，regedit.exe是注册表编辑器。16.答案：B解析：核心数据是国家最重要的数据类型，实行比重要数据更严格的管理制度。17.答案：C18.答案：C解析：数据备份是数据可用性保障手段，不属于数据脱敏技术；脱敏技术用于隐藏敏感信息，使数据可安全用于开发、测试等场景。19.答案：C解析：只有涉及重要数据、核心数据、关键信息基础设施运营者出境个人信息、处理100万人以上个人信息等法定情形才需要申报安全评估。20.答案：B解析：CA负责签发、管理和吊销数字证书，是PKI体系的信任核心。21.答案：B22.答案：B23.答案：B解析：社会工程学攻击利用人的心理弱点和信任关系获取敏感信息，伪装身份骗取密码是典型的社工攻击场景。24.答案：B解析：IaaS模式下，云服务商负责物理基础设施的安全，用户负责操作系统、应用、数据层面的安全，即云安全共担责任模型。25.答案：D解析：功耗过高属于硬件性能问题，不属于信息安全范畴的挑战。26.答案：A解析：对抗样本攻击是AI模型层面的特有攻击方式，通过添加人眼不可察觉的微小扰动导致模型输出错误结果。27.答案：C解析：安全管理机构属于管理要求层面；技术要求包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面。28.答案：A解析：行业通用的应急响应流程为PDCERF模型，依次为准备、检测、遏制、根除、恢复、跟踪总结。29.答案：B解析：蠕虫是独立可执行程序，能够主动扫描网络、自我复制传播；木马、病毒均需要依附宿主程序存在。30.答案：A解析：风险的计算公式为：风险=资产价值×威胁发生概率×脆弱性严重程度，资产、威胁、脆弱性是风险评估的核心三要素。二、多项选择题1.答案：ABD解析：非对称加密运算速度慢，不适合大文件批量加密，通常用于数字签名、密钥交换、身份认证等轻量级加密场景；大文件加密一般使用对称加密算法。2.答案：ABD解析：SYNFlood是网络层的DDoS攻击，不属于Web应用层攻击范畴。3.答案：ABD解析：传统网络层防火墙工作在网络层/传输层，不具备应用层病毒查杀能力，该功能属于下一代防火墙或UTM设备的扩展功能。4.答案：ABCD解析：数据安全生命周期覆盖数据从产生到销毁的全流程，包括采集、传输、存储、处理、交换、销毁等核心阶段，题目中的四个选项均属于生命周期范畴。5.答案：ABCD解析：《个人信息保护法》明确规定，生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息均属于敏感个人信息，处理时需要取得个人单独同意。6.答案：ABC解析：零信任架构以身份为核心，核心组件包括身份提供商、信任评估引擎、策略决策点、策略执行点等；边界防火墙是传统边界安全模型的核心设备，不属于零信任的核心组件。7.答案：ABC解析：SM4是我国商用对称加密算法，SM3、SHA-256、MD5均为哈希算法；需注意MD5已被证明存在碰撞漏洞，不推荐用于高安全等级场景。8.答案：ABD解析：遏制阶段的核心目标是阻止攻击扩散、降低损失，措施包括隔离受感染设备、关闭攻击入口、保留现场证据等；修补系统漏洞属于根除阶段的工作，用于彻底清除攻击根源。9.答案：ABD解析：SaaS模式下，云服务商负责从基础设施到应用层的全栈安全，包括服务器硬件、平台系统、应用程序的安全；用户数据的所有权和安全责任由用户承担，用户需负责数据的备份、加密和访问权限管理。10.答案：ABC解析：等级保护制度覆盖国家机关、企事业单位和其他组织建设运营的网络系统，个人非经营性网络系统不需要开展等级保护。三、判断题1.答案：错误解析：非对称加密的公钥是公开的，私钥是保密的，从公钥推导出私钥在计算上不可行，这是非对称加密的安全性基础。2.答案：错误解析：防火墙主要部署在网络边界，用于防御外部网络对内部的攻击，无法识别和阻断内部网络发起的攻击行为。3.答案：正确解析：IDS是旁路部署，仅具备检测告警能力；IPS是串联部署，能够在检测到攻击时直接阻断，具备主动防御能力。4.答案：正确5.答案：错误解析：只要存在用户输入直接拼接SQL语句的功能点都可能发生SQL注入，不限于登录页面，包括查询、表单提交、订单处理等各类功能模块。6.答案：正确7.答案：错误解析：零信任的核心原则是“永不信任，始终验证”，无论访问来自内部还是外部网络，都需要进行持续的身份验证和权限校验。8.答案：正确9.答案：错误解析：木马是远程控制类恶意代码，不具备主动自我复制传播能力，通常通过欺骗用户下载执行传播；蠕虫才具备主动扫描、自我复制传播的特性。10.答案：正确解析：根据等级保护相关规定，第三级系统每年至少进行一次等级测评，第四级系统每半年至少进行一次等级测评。四、简答题1.答案：(1)一个中心：安全管理中心，负责集中管控全网的安全策略、安全事件、安全审计和运维操作，实现统一安全运营。（1分）(2)三重防护：①安全通信网络：保障网络架构合理、通信传输过程的保密性与完整性，包括网络架构优化、通信加密、可信验证等要求。（1分）②安全区域边界：对不同安全等级的网络区域边界进行访问控制和入侵防范，包括边界防护、访问控制、入侵防范、恶意代码防范等要求。（1分）③安全计算环境：保障服务器、终端、数据库等计算节点的安全，包括身份鉴别、访问控制、安全审计、入侵防范、数据安全等要求。（1分）整体形成“中心管控、分层防护”的纵深防御体系。（1分）2.答案：(1)对称加密：优点：运算速度快、加密效率高，适合大流量、大数据量的加密场景；缺点：密钥分发困难，多用户场景下密钥管理复杂度高，无法实现不可否认性；适用场景：大文件加密、实时通信加密（如VPN隧道数据加密、数据库存储加密）。（2.5分）(2)非对称加密：优点：密钥分发安全（公钥公开、私钥自留），可实现数字签名和不可否认性；缺点：运算速度慢、计算开销大，不适合大量数据加密；适用场景：密钥交换、数字签名、身份认证、小批量敏感数据加密。（2.5分）3.答案：(1)存储型XSS：恶意脚本被持久化存储在服务器数据库中，用户访问对应页面时自动加载执行，属于持久型XSS，危害范围最广。（1分）(2)反射型XSS：恶意脚本通过URL参数传递，服务器将参数拼接到响应HTML中返回给浏览器，需要诱骗用户点击恶意链接才能触发，属于非持久型XSS。（1分）(3)DOM型XSS：恶意脚本通过修改页面DOM结构执行，攻击过程不需要服务器参与，完全在客户端浏览器侧完成。（1分）核心区别：存储型XSS的恶意代码存储在服务端，反射型XSS的恶意代码由服务端从请求参数中反射回页面，DOM型XSS的攻击全程不经过服务端，仅在客户端触发。（2分）4.答案：(1)联系：数据安全是信息安全的核心组成部分，信息安全的核心目标（保密性、完整性、可用性，即CIA三要素）在数据层面直接体现为数据安全的保护目标。（2分）(2)区别：①范围不同：信息安全覆盖物理安全、网络安全、系统安全、应用安全、数据安全、人员管理等多个层面，数据安全仅聚焦于数据全生命周期的安全保护；②保护对象不同：信息安全的保护对象包括信息系统、网络环境、数据、人员、流程等，数据安全的保护对象是数据本身；③防护视角不同：信息安全更偏向技术与管理体系的整体边界防护，数据安全更偏向以数据为中心的全流程精细化管控。（3分，每点1分）五、综合分析题1.答案：(1)漏洞1：SQL注入漏洞（登录页面输入框未过滤，可构造恶意SQL绕过验证）。（1分）防御措施：①使用参数化查询/预编译语句，禁止直接拼接SQL语句；②对用户输入进行严格的合法性校验和特殊字符转义；③使用ORM框架的安全查询接口，避免执行原生拼接SQL。（答出2条即可得2分）(2)漏洞2：存储型XSS漏洞（评论区可提交恶意脚本，其他用户查看时执行）。（1分）防御措施：①对用户提交的内容进行HTML标签过滤或实体编码，移除或转义<script>等危险标签；②对输出到前端页面的所有内容进行HTML实体编码，防止脚本解析执行；③为Cookie设置HttpOnly属性，防止XSS攻击窃取用户登录凭证；④部署Web应用防火墙（WAF），拦截包含恶意脚本的请求。（答出2条即可得2分）(3)漏洞3：CSRF（跨站请求伪造）漏洞（修改地址接口仅验证登录状态，未校验请求来源）。（1分）防御措施：①在敏感操作请求中添加随机CSRFToken，服务端验证Token合法性；②验证请求的Referer字段，确保请求来自本站可信域名；③对修改地址、支付等敏感操作增加二次身份验证（如短信验证码、支付密码）；④为Cookie设置SameSite属性，限制跨站请求携带用户Cookie。（答出2条即可得2分）漏洞与场景