2025年信息安全工程师国家职业资格考试试题及答案解析

2025年信息安全工程师国家职业资格考试试题及答案解析一、单项选择题（每题3分，共24分）1.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。该规定体现的原则是？A.数据最小化原则B.数据本地化原则C.数据可携带原则D.数据开放共享原则答案：B解析：网络安全法第三十七条规定，关键信息基础设施运营者应当在境内存储个人信息和重要数据，即数据本地化原则。2.在AES加密算法中，当密钥长度为128位时，加密轮数为？A.10轮B.12轮C.14轮D.16轮答案：A解析：AES算法中，128位密钥对应10轮迭代加密，192位对应12轮，256位对应14轮。3.某Web应用为每个用户会话生成唯一的SessionID，并在用户退出时销毁该ID。这种机制主要防御的是？A.SQL注入B.跨站脚本攻击（XSS）C.会话固定攻击（SessionFixation）D.跨站请求伪造（CSRF）答案：C解析：会话固定攻击的核心是攻击者预先设置或“固定”用户的SessionID，应用在登录后不更换SessionID则导致攻击成功。登录后重新生成SessionID可有效防御。4.在Linux系统中，普通用户需要通过sudo执行管理员命令。与直接使用root账户相比，sudo机制的主要安全优势是？A.完全消除命令注入风险B.支持命令审计与最小权限分配C.加快命令执行速度D.无需输入任何密码答案：B解析：sudo能够实现细粒度的命令授权、用户操作留痕与审计，而root权限过大且难以追溯。5.以下哪种哈希算法属于国密标准，且输出长度为256位？A.MD5B.SHA-1C.SM3D.SHA-256答案：C解析：SM3是中国国家密码管理局发布的密码杂凑算法，输出256位摘要，广泛应用于金融和电子政务等领域。6.防火墙规则中“默认拒绝，按需放行”的配置策略，主要体现了哪种安全设计思想？A.纵深防御B.最小权限C.安全隔离D.冗余设计答案：B解析：最小权限原则要求主体只获得完成工作所需的最小访问权限。“默认拒绝、按需放行”正是该思想的典型应用。7.在风险评估中，某资产价值为50万元，暴露因子为30%，若该资产发生一次安全事件造成的年度损失概率为20%，则该资产的年度预期损失（ALE）为？A.1.5万元B.3万元C.7.5万元D.15万元答案：B解析：暴露因子为30%，资产价值50万元，则单次损失期望SLE=50×30%8.内存取证分析中，Volatility工具常用于提取进程列表、网络连接与注册表信息。这种取证方式属于？A.静态取证B.动态取证C.网络取证D.日志取证答案：B解析：内存取证分析的是运行中的系统状态信息，属于动态取证范畴。二、多项选择题（每题6分，共18分）1.依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），等级保护2.0的安全通用要求包括以下哪些方面？A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全运维管理答案：ABCDE解析：等级保护2.0通用要求包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心及安全管理制度六个部分，本题中A、B、C、D、E均属于其中内容，其中安全管理中心对应“安全管理中心”层。2.在Web应用防火墙（WAF）中，以下哪些攻击行为可以被检测并拦截？A.SQL注入B.XSS跨站脚本C.慢速HTTP拒绝服务攻击D.参数污染攻击E.零日漏洞利用攻击答案：ABCD解析：WAF通过规则匹配、行为分析等方式可识别并拦截A、B、C、D各类攻击；零日漏洞利用攻击由于漏洞特征未知，WAF难以通过现有规则进行识别，仅可部分缓解。3.企业发生信息安全事件后，应急响应流程通常包括以下哪些阶段？A.准备B.检测与分析C.抑制与根除D.恢复E.事后总结与改进答案：ABCDE解析：NISTSP800-61与国内GB/T20985均将应急响应划分为准备、检测与分析、抑制、根除、恢复、事后总结等阶段，A～E均属于完整应急响应过程。三、判断题（每题3分，共18分）1.在VPN通信中，PPTP协议由于加密强度较高，至今仍被推荐作为远程访问的安全方案。答案：错误解析：PPTP使用MPPE加密，已被证实存在严重安全漏洞，不建议在安全性要求较高的场景中使用，应选择IPsec、WireGuard等更强方案。2.数据库透明加密（TDE）可以对数据库文件、备份文件以及内存中的数据同时进行加密。答案：错误解析：TDE主要加密磁盘上的数据库文件和备份文件，数据在内存中以明文形式存在，并不能对内存数据加密。3.在网络七层模型中，传输层提供的是端到端的数据传输服务。答案：正确解析：传输层负责进程间端到端的可靠或不可靠传输，而网络层负责路径选择与寻址。4.在沙箱中运行恶意样本后，网络流量行为可以被记录并用于提取恶意样本的通信特征。答案：正确解析：沙箱通过模拟真实系统环境，可监控恶意软件的进程行为与网络通信行为，从而提取C2地址等特征。5.NTP反射放大攻击的成因是攻击者伪造源IP地址向NTP服务器发送小体积请求，使服务器向受害目标发送大体积响应。答案：正确解析：NTP协议中的monlist命令可产生放大倍数极高的响应，配合源地址伪造形成反射放大攻击。6.IEEE802.1X是一种基于端口的网络访问控制协议，可对接入网络的设备进行认证。答案：正确解析：802.1X通过封禁未认证设备接入交换机端口，实现网络接入控制。四、案例分析题（第1题12分，第2题14分，第3题14分，共40分）1.某公司内部系统采用非对称加密算法RSA保障文件传输安全。在一次评审中，安全工程师提出应同时使用对称加密算法AES对传输内容进行加密，并用RSA对AES密钥进行加密。请回答：（1）说明该方案中对称加密与非对称加密分别承担的角色。（4分）（2）简述该混合加密方案相对于“仅使用RSA加密全部数据”的优势。（4分）（3）这套方案能否抵御中间人攻击？为什么？（4分）答案：（1）AES用于对业务数据明文进行对称加密，RSA用于对AES会话密钥进行非对称加密，并将密文与加密后的密钥一起传输给对方。（2）优势有两点：一是效率更高。RSA算法加密和解密速度远低于AES，对于大文件全部使用RSA加密开销巨大，使用AES加密数据可显著提升性能；二是安全性更优。RSA仅加密较短的会话密钥，减小了密钥泄露面，同时AES密钥在每次会话中动态生成，避免长期密钥直接加密海量数据。（3）该方案单独看并不能抵御中间人攻击（MITM）。因为中间人攻击的关键问题是通信双方无法确认对方公钥的真实身份，攻击者可在双方协商密钥时替换自己的公钥，从而截获并解密数据。RSA密钥本身也需要通过PKI/CA数字证书进行真实性验证，否则混合加密机制同样会被中间人绕过。解析：本题考查对称/非对称加密的组合使用与公钥信任模型。核心得分点在于认识到MITM的防范需要依赖数字证书与证书链验证，单纯密码算法组合无法解决公钥身份认证问题。2.某企业位于机房的Web服务器突然遭受大量SYN报文攻击，导致服务器无法正常响应外部用户请求。请回答：（1）判断该攻击属于哪种类型的拒绝服务攻击？简述其攻击原理。（4分）（2）在服务器系统层面可以采取哪些缓解措施？（写出至少4项）（6分）（3）若进一步分析攻击来源，有哪些溯源取证手段？（写出至少3项）（4分）答案：（1）该攻击属于SYNFlood拒绝服务攻击。其原理是攻击者向服务器发送大量伪造源地址的SYN报文，服务器为每个SYN报文分配连接控制块并回复SYN-ACK，随后等待客户端ACK确认。由于源地址为伪造地址，客户端永远不会回复ACK，服务器资源被大量的半开连接耗尽，无法再接收合法用户的连接请求。（2）缓解措施包括：开启SYNCookies，监控并限制单IP源地址的连接速率；缩短SYN超时时间（如将tcpsynackretries调低）；增大TCP半开连接队列上限并优化backlog处理能力；部署防DDoS设备或流量清洗服务，过滤异常源地址流量；在网络边界通过ACL限制可疑网段访问。（3）溯源取证手段包括：通过抓包分析攻击报文的源IP分布特征，识别真实攻击源或跳板主机；结合路由设备NetFlow/sFlow流量记录进行回溯；收集攻击时间窗口内的网络安全设备告警日志、服务器系统日志进行时间线关联分析。解析：SYNFlood是典型的资源耗尽型DoS攻击。本题答题需围绕“半开连接占用资源”的核心机制作答，缓解措施应覆盖TCP协议参数调优、边界过滤与流量清洗三个层面。3.某医院拟将患者电子病历系统迁移至政务云平台，需按照网络安全等级保护第三级要求进行建设。请回答：（1）依据GB/T22239-2019，在云计算环境中主要增加或强化了哪四类安全要求对象？（4分）（2）针对移动终端接入病历系统的场景，应在安全区域边界中部署什么安全措施？（至少写出3项）（6分）（3）医院作为责任方、云服务商作为运营方的责任边界应如何划定？（4分）答案：（1）在云计算环境中，等级保护要求新增了“云平台”自身作为定级对象，同时强化了对“云租户”的安全防护要求，包括安全物理环境（由云服务商负责）、安全通信网络、安全区域边界、安全计算环境，以及新增的“安全管理中心”中针对云平台的集中管控要求。（2）安全措施包括：部署下一代防火墙或IPS设备，对移动接入流量进行访问控制和入侵检测；部署准入控制网关，实施终端合规性检查；建立VPN加密隧道，确保远程访问通道的机密性；部署云WAF或安全组策略，限制移动端与病历系统的通信端口和协议；启用全流量