2026年信息安全工程师职业能力考核试题及答案

2026年信息安全工程师职业能力考核试题及答案一、单项选择题（每题1分，共30分）1.信息安全的基本属性中，防止信息被未授权篡改的属性是？A.保密性B.完整性C.可用性D.不可否认性2.下列算法中，属于非对称加密算法的是？A.DESB.AESC.RSAD.SM43.SYN洪水攻击主要利用TCP协议的哪项特性实现攻击效果？A.三次握手机制中服务器需为半连接分配资源B.TCP报文的校验和机制存在漏洞C.TCP协议支持分片传输D.TCP协议的流量控制机制4.ARP欺骗攻击主要作用于OSI参考模型的哪一层？A.物理层B.数据链路层C.网络层D.传输层5.下列关于IDS和IPS的描述，正确的是？A.IDS是入侵防御系统，IPS是入侵检测系统B.IDS可以主动阻断攻击行为，IPS只能被动检测C.IDS一般部署在网络旁路，IPS一般部署在网络串路D.IDS和IPS的功能完全相同，只是部署位置不同6.Linux系统中，某文件的权限设置为755，以下说法正确的是？A.文件所有者只有读权限B.同组用户有写权限C.其他用户有执行权限D.所有用户都有写权限7.缓冲区溢出攻击的本质是？A.利用程序的内存操作漏洞覆盖关键内存数据B.攻击者通过暴力破解获取系统权限C.攻击者通过社会工程学获取用户口令D.利用网络协议的缺陷进行拒绝服务攻击8.下列恶意代码中，能够自我复制并通过网络主动传播的是？A.木马B.蠕虫C.勒索病毒D.间谍软件9.OWASPTop102021中排名第一的安全风险是？A.注入B.失效的身份认证C.损坏的访问控制D.安全配置错误10.下列攻击中，主要通过欺骗用户浏览器执行恶意脚本实现的是？A.SQL注入B.XSS攻击C.CSRF攻击D.命令注入11.多因素认证是提升身份认证安全性的重要手段，下列属于多因素认证的是？A.用户名+密码B.密码+短信验证码C.指纹+人脸D.以上都是12.数据安全生命周期中，不包含以下哪个阶段？A.数据采集B.数据传输C.数据销毁D.数据审计13.根据《中华人民共和国个人信息保护法》，下列不属于敏感个人信息的是？A.生物识别信息B.医疗健康信息C.工作单位信息D.行踪轨迹信息14.信息安全管理体系（ISMS）的核心标准是？A.ISO/IEC27001B.ISO/IEC27002C.ISO/IEC27005D.ISO/IEC2770115.风险评估的四个核心要素是？A.资产、威胁、脆弱性、风险B.资产、威胁、漏洞、风险C.资产、攻击、脆弱性、影响D.资产、威胁、脆弱性、影响16.下列风险处置方式中，属于风险转移的是？A.关闭存在高风险的业务系统B.购买网络安全保险C.部署防火墙降低攻击风险D.接受低风险的残留风险17.应急响应流程中，在检测到安全事件后，首要的步骤是？A.根除攻击源B.遏制攻击扩散C.恢复系统正常运行D.进行事件总结18.网络安全等级保护2.0标准中，第三级系统的测评周期为？A.每半年一次B.每年一次C.每两年一次D.每三年一次19.物理安全中，TEMPEST技术主要用于防护？A.电磁泄漏B.火灾C.水灾D.非法入侵20.零信任架构的核心思想是？A.默认信任内部网络用户B.永不信任，始终验证C.仅在边界进行访问控制D.依赖防火墙实现安全防护21.云安全责任共担模型中，由云服务商负责的安全是？A.云平台基础设施的安全B.用户数据的保密性C.业务应用的安全D.账号权限的管理22.下列算法中，属于国产商用密码哈希算法的是？A.MD5B.SHA-256C.SM3D.SM423.IPSecVPN主要工作在OSI参考模型的哪一层？A.数据链路层B.网络层C.传输层D.应用层24.以下关于防火墙功能的描述，错误的是？A.可以实现网络地址转换（NAT）B.可以过滤不符合安全策略的数据包C.可以防御所有类型的网络攻击D.可以记录访问日志25.Windows系统中，以下哪个用户组的权限最高？A.AdministratorsB.PowerUsersC.UsersD.Guests26.数据脱敏技术的主要目的是？A.提高数据的访问速度B.保护敏感数据的保密性C.保证数据的完整性D.实现数据的备份恢复27.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者应当对其网络的安全性和风险至少多久进行一次检测评估？A.每季度B.每半年C.每年D.每两年28.下列攻击中，属于拒绝服务攻击的是？A.SQL注入攻击B.DDoS攻击C.钓鱼攻击D.中间人攻击29.等保2.0技术要求中的“一个中心”指的是？A.安全管理中心B.运维管理中心C.数据中心D.监控中心30.工业控制系统（ICS）安全与传统IT安全的主要差异不包括？A.可用性要求更高B.设备生命周期更长C.更关注数据保密性D.实时性要求更高二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.信息安全的基本属性包括以下哪些？A.保密性B.完整性C.可用性D.不可否认性2.下列算法中，属于对称加密算法的有？A.DESB.AESC.RSAD.SM43.OWASPTop102021中，属于注入类安全风险的有？A.SQL注入B.命令注入C.跨站脚本（XSS）D.XPath注入4.网络安全等级保护2.0的安全管理要求包含以下哪些层面？A.安全管理制度B.安全管理机构C.安全管理人员D.安全建设管理E.安全运维管理5.风险处置的常见方式包括？A.风险规避B.风险转移C.风险降低D.风险接受6.应急响应的核心流程包含以下哪些阶段？A.准备阶段B.检测与分析阶段C.遏制、根除与恢复阶段D.总结与改进阶段7.下列属于社会工程学攻击方式的有？A.钓鱼邮件B.电话诈骗C.尾随进入办公区D.SQL注入8.恶意代码的常见传播途径包括？A.电子邮件附件B.移动存储介质（如U盘）C.恶意网站下载D.系统漏洞利用9.下列属于国产商用密码算法的有？A.SM2B.SM3C.SHA-3D.SM410.零信任架构的核心原则包括？A.永不信任B.始终验证C.最小权限D.默认允许三、判断题（每题1分，共10分）1.非对称加密算法中，公钥可以公开分发，私钥必须由所有者妥善保管，不得泄露。2.入侵检测系统（IDS）可以主动阻断正在发生的攻击行为。3.网络安全等级保护第三级系统的测评周期为每两年一次。4.木马病毒具有自我复制和主动传播的能力。5.ISO/IEC27001是信息安全管理体系的要求标准，可用于第三方认证。6.SQL注入漏洞仅存在于Web应用的登录页面，其他页面不会存在该漏洞。7.防火墙可以有效防御来自内部网络的攻击行为。8.数据脱敏技术可以在不改变数据格式的前提下，对敏感数据进行变形处理，降低数据敏感度。9.多因素认证是指同时使用两种或两种以上相同类型的认证因子进行身份验证。10.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，对数据实行分类分级保护。四、案例分析题（每题10分，共40分）案例一某电商平台的用户反馈账户资金被盗，经安全团队排查，确认攻击者通过商品评论区的输入框注入了恶意脚本，当用户访问含恶意脚本的商品详情页时，浏览器会自动执行脚本并窃取用户的登录Cookie，攻击者利用窃取的Cookie登录用户账户进行盗刷。请回答以下问题：1.该攻击属于哪种类型的Web安全攻击？请简述其攻击原理。（4分）2.该攻击类型按照实现方式可分为哪几类？本次事件属于哪一类？（3分）3.请列举至少3种针对该类攻击的防御措施。（3分）1.该攻击属于跨站脚本（XSS）攻击。（1分）攻击原理：攻击者向Web页面中注入恶意的脚本代码，当用户使用浏览器访问该页面时，恶意脚本会在用户浏览器中执行，从而窃取用户敏感信息、诱导操作或发起其他攻击。（3分）2.XSS攻击按照实现方式可分为三类：存储型XSS、反射型XSS、DOM型XSS。（2分）本次事件中恶意脚本被存储到商品评论数据中，用户访问页面时加载执行，属于存储型XSS。（1分）3.防御措施（答出任意3点即可，每点1分）：-对用户输入的内容进行严格的过滤和转义，移除或编码恶意脚本标签；-对输出到HTML页面的内容进行编码处理，防止脚本被浏览器解析执行；-设置Cookie的HttpOnly属性，禁止JavaScript读取Cookie内容；-实施内容安全策略（CSP），限制页面可执行的脚本来源；-定期开展Web应用安全扫描和渗透测试，及时发现并修复XSS漏洞。案例二某市级政务服务系统承载了全市企业开办、社保查询等多项公共服务业务，根据《网络安全法》和等级保护2.0相关要求，该系统需按照第三级要求开展等级保护建设和测评。请回答以下问题：1.请简述网络安全等级保护2.0的五个等级及其核心适用场景。（5分）2.等保2.0技术要求的“一个中心、三重防护”具体指什么？（3分）3.第三级等级保护系统的测评结论分为哪几个等级？（2分）1.五个等级及适用场景（每级1分）：-第一级：一般系统，受到破坏后对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；-第二级：重要系统，受到破坏后对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；-第三级：重要系统，受到破坏后对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；-第四级：特别重要系统，受到破坏后对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；-第五级：极端重要系统，受到破坏后对国家安全造成特别严重损害。2.“一个中心”指安全管理中心；（1分）“三重防护”分别指安全通信网络、安全区域边界、安全计算环境。（2分）3.等级测评结论分为优、良、中、差四个等级。（2分）案例三某企业需要建设内部办公系统的密码保护体系，要求实现以下目标：①办公终端与服务器之间传输的敏感数据不被窃听和篡改；②电子合同的签署具备不可否认性；③关键系统的身份认证采用国产密码算法。请回答以下问题：1.针对目标①，应选择对称加密还是非对称加密实现传输加密？请说明原因。（3分）2.针对目标②，实现不可否认性需要用到什么密码技术？请简述其工作原理。（4分）3.请列举3种可用于目标③的国产商用密码算法，并说明其类型。（3分）1.应采用对称加密与非对称加密结合的混合加密机制。（1分）原因：对称加密算法加密速度快、效率高，但密钥分发困难；非对称加密算法可解决密钥分发问题，但加密速度慢，不适合大量数据的传输加密。因此实际应用中通常用非对称加密协商对称密钥，再用对称密钥加密传输数据，兼顾安全性和效率。（2分）2.需要用到数字签名技术。（1分）工作原理：发送方使用自己的私钥对消息的哈希值进行加密生成数字签名，将消息和签名一起发送给接收方；接收方使用发送方的公钥对签名进行解密，得到原始哈希值，同时对收到的消息计算哈希值，将两个哈希值进行对比，如果一致则说明消息未被篡改，且确实由发送方发出，从而实现不可否认性。（3分）3.国产商用密码算法（答出任意3种即可，每种1分，需说明类型）：-SM2：非对称加密算法（或公钥密码算法），可用于身份认证、数字签名；-SM3：密码哈希算法，可用于完整性校验、数字签名；-SM4：对称加密算法，可用于数据加密；-SM9：标识密码算法，可用于身份认证、数据加密。案例四某企业近期连续发生3起终端安全事件，均为员工点击钓鱼邮件中的恶意附件，导致终端被植入勒索病毒，造成部分业务数据被加密。经统计，钓鱼邮件均伪装成公司人力资源部发送的“薪资调整通知”，诱导员工点击附件查看详情。请回答以下问题：1.钓鱼邮件的常见欺骗手段有哪些？请列举至少3种。（3分）2.从技术和管理两个层面，提出针对钓鱼邮件攻击的防护措施。（5分）3.企业开展员工信息安全意识培训的核心内容应包含哪些？请列举至少2点。（2分）1.常见欺骗手段（答出任意3种即可，每点1分）：-伪造发件人地址，伪装成内部部门、合作伙伴或官方机构；-使用具有诱导性的邮件主题，如“薪资通知”“发票逾期”“账户异常”等，利用用户的好奇心或恐慌心理；-伪造邮件内容样式，模仿官方邮件的格式、logo、签名等，提升迷惑性；-附件或链接伪装成正常文档，实际包含恶意代码或钓鱼网站链接；-利用社会工程学技巧，制造紧急感，要求用户立即操作。2.技术层面防护（答出任意2点即可，每点1分，共2分）：-部署邮件安全网关，对入站邮件进行病毒查杀、钓鱼检测、发件人身份校验（如SPF、DKIM、DMARC）；-在终端部署防病毒软件和端点检测与响应系统（EDR），及时发现和阻断恶意代码；-对邮件中的可疑链接和附件进行沙箱检测，隔离未知风险；-部署网络钓鱼模拟测试系统，定期测试员工的安全意识水平。管理层面防护（答出任意3点即可，每点1分，共3分）：-建立完善的信息安全管理制度，明确邮件使用规范和安全事件上报流程；-定期开展信息安全意识培训，提升员工对钓鱼邮件的识别能力；-制定应急响应预案，发生钓鱼攻击事件后及时开展处置和溯源；-对点击钓鱼邮件的员工进行针对性培训和考核，强化安全意识。3.安全意识培训核心内容（答出任意2点即可，每点1分）：-钓鱼邮件、钓鱼网站的识别方法；-密码安全规范（如密码复杂度、定期更换、不共用密码）；-数据安全规范（如敏感数据的传输、存储要求）；-社会工程学攻击的常见手段和防范方法；-安全事件的上报流程和责任人。参考答案与解析一、单项选择题1.答案：B解析：保密性是防止未授权泄露，完整性是防止未授权篡改，可用性是保证合法用户可正常访问，不可否认性是防止行为抵赖。2.答案：C解析：DES、AES、SM4均为对称加密算法，RSA是基于大整数分解难题的非对称加密算法。3.答案：A4.答案：B解析：ARP协议是地址解析协议，工作在数据链路层，用于实现IP地址到MAC地址的映射。5.答案：C解析：IDS（入侵检测系统）旁路部署，仅检测告警；IPS（入侵防御系统）串接部署，可主动阻断攻击。6.答案：C解析：Linux文件权限由三位八进制数表示，分别对应所有者、同组用户、其他用户；7=4+2+1（读+写+执行），5=4+1（读+执行），因此其他用户有读和执行权限。7.答案：A8.答案：B解析：木马、间谍软件、勒索病毒一般不具备自我复制和主动传播的能力，蠕虫的核心特性是可自我复制并主动传播。9.答案：C10.答案：B解析：XSS（跨站脚本）攻击是向页面注入恶意脚本，用户浏览器访问时执行脚本实现攻击；SQL注入、命令注入是针对服务端的攻击；CSRF是欺骗用户浏览器发起伪造请求。11.答案：B解析：多因素认证要求使用不同类型的认证因子（知识类、持有类、生物特征类等），密码和短信验证码分别属于知识类和持有类，属于不同因子；指纹和人脸都属于生物特征类，属于同一因子。12.答案：D解析：数据安全生命周期通常包括采集、传输、存储、处理、交换、销毁六个阶段，数据审计是安全控制措施，不属于生命周期阶段。13.答案：C解析：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。14.答案：A解析：ISO/IEC27001是ISMS的要求标准，用于认证；27002是实践指南，27005是风险管理标准，27701是隐私信息管理体系标准。15.答案：D解析：风险评估的核心要素包括资产（具有价值的信息或资源）、威胁（可能对资产造成损害的潜在原因）、脆弱性（资产可被威胁利用的弱点）、影响（威胁发生后造成的损失）。16.答案：B解析：关闭系统属于风险规避；购买保险属于风险转移（将风险损失转移给保险公司）；部署防护措施属于风险降低；接受残留风险属于风险接受。17.答案：B解析：应急响应的核心流程为准备→检测→遏制→根除→恢复→总结，检测到事件后首先要遏制攻击，防止损失进一步扩大。18.答案：B解析：根据等保2.0相关要求，第三级及以上等级的网络应当每年至少进行一次等级测评。19.答案：A解析：TEMPEST是一种针对电子设备电磁泄漏发射的防护技术，防止敏感信息通过电磁信号泄漏。20.答案：B解析：零信任架构打破了传统的边界信任模型，默认不信任任何用户、设备、网络，所有访问都需要经过身份验证和授权。21.答案：A解析：云安全责任共担模型中，云服务商负责云基础设施（物理设施、虚拟化层、云服务基础架构）的安全，用户负责自身部署的应用、数据、账号等的安全。22.答案：C解析：SM3是我国自主研发的商用密码哈希算法，输出长度为256位；SM4是对称加密算法；MD5、SHA-256是国外算法。23.答案：B解析：IPSec是网络层安全协议，在IP层实现加密和认证，对应的VPN工作在网络层；SSLVPN工作在传输层/应用层。24.答案：C解析：防火墙主要用于边界访问控制，无法防御所有类型的攻击，例如内部攻击、绕过防火墙的攻击、应用层未知漏洞攻击等。25.答案：A26.答案：B解析：数据脱敏是对敏感数据进行变形处理，降低数据敏感度，防止数据在开发、测试、分析等场景中泄露，核心目的是保护保密性。27.答案：C解析：《网络安全法》第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估。28.答案：B解析：DDoS（分布式拒绝服务）攻击通过大量伪造请求耗尽目标资源，使目标无法提供正常服务，属于拒绝服务攻击。29.答案：A解析：等保2.0技术要求的核心框架为“一个中心，三重防护”，其中一个中心指安全管理中心，三重防护指安全通信网络、安全区域边界、安全计算环境。30.答案：C解析：工业控制系统优先保障生产可用性和实时性，设备生命周期长，对保密性的要求通常低于传统IT系统。二、多项选择题1.答案：ABCD解析：信息安全的核心属性包括保密性、完整性、可用性（简称CIA三元组），扩展属性包括不可否认性、可控性、真实性等。2.答案：ABD解析：对称加密算法的加密密钥和解密密钥相同，常见的有DES、AES、SM4等；RSA是非对称加密算法。3.答案：ABD解析：注入类风险是指攻击者将恶意数据插入到应用程序中，被解释执行的攻击，包括SQL注入、命令注入、XPath注入等；XSS属于单独的安全风险类别。4.答案：ABCDE解析：等保2.0的安全管理要求分为五个层面：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理，覆盖了安全管理的全生命周期。5.答案：ABCD解析：风险处置的四种基本方式为风险规避（停止风险相关活动）、风险转移（将风险转移给第三方，如保险、外包）、风险降低（采取防护措施降低风险）、风险接受（主动接受残留风险）。6.答案：ABCD解析：应急响应流程通常分为准备、检测与分析、遏制、根除、恢复、总结与改进六个阶段，四个选项均属于核心阶段。7.答案：ABC解析：社会工程学攻击是利用人的心理弱点进行欺骗的攻击方式，钓鱼邮件、电话诈骗、尾随都属于社会工程学攻击；SQL注入是技术类攻击。8.答案：ABCD解析：恶意代码可以通过多种途径传播，包括邮件附件、移动存储、恶意网站、漏洞利用、网络共享等。9.答案：ABD解