2025年信息安全工程师资格考试卷及答案.docxVIP

2025年信息安全工程师资格考试卷及答案

一、单项选择题（共20题，每题1分，共20分）

1.以下哪种加密算法属于非对称加密且基于椭圆曲线数学问题？

A.AES256

B.RSA2048

C.ECC256

D.DES

答案：C

解析：ECC（椭圆曲线加密）基于椭圆曲线离散对数问题，属于非对称加密；RSA基于大整数分解，AES和DES为对称加密。

2.某企业数据库日志中发现异常SQL语句：`SELECTFROMusersWHEREusername=adminOR1=1`，该攻击类型属于？

A.XSS跨站脚本攻击

B.SQL注入攻击

C.CSRF跨站请求伪造

D.DDoS分布式拒绝服务

答案：B

解析：攻击者通过拼接`OR1=1`使WHERE条件恒真，属于典型SQL注入攻击特征。

3.依据《信息安全技术网络安全等级保护基本要求》（GB/T222392019），第三级信息系统的安全审计应满足：

A.审计覆盖到每个用户，记录登录、操作等行为的时间、类型、结果

B.仅审计管理员操作，无需记录普通用户

C.审计记录保存时间不少于3个月

D.审计内容不包含用户身份标识

答案：A

解析：等保三级要求审计覆盖所有用户，记录完整行为信息，保存时间不少于6个月。

4.以下哪项是零信任架构的核心原则？

A.网络边界防御优先

B.持续验证访问请求的信任状态

C.仅允许已知设备接入

D.依赖传统防火墙隔离内外网

答案：B

解析：零信任强调“永不信任，始终验证”，持续评估访问主体的身份、设备状态、环境风险等。

5.某物联网设备使用MQTT协议传输数据，为防止中间人攻击，最有效的防护措施是？

A.启用TLS/SSL加密通道

B.限制设备IP访问白名单

C.定期重启设备

D.增加设备物理锁

答案：A

解析：MQTT默认未加密，通过TLS/SSL建立加密通道可防止数据被窃听或篡改。

6.以下哪项不属于数据脱敏的常用方法？

A.数据替换（如将真实姓名替换为“用户A”）

B.数据变形（如将手机号1381234）

C.数据加密（如AES加密存储）

D.数据截断（如只保留身份证前6位）

答案：C

解析：数据脱敏是对敏感数据进行“去标识化”处理，使其无法还原真实信息；加密后的数据仍可通过密钥还原，不属于脱敏。

7.某企业部署WAF（Web应用防火墙）后，发现正常用户请求被误拦截，可能的原因是？

A.WAF规则库未更新

B.WAF采用了宽松的检测模式

C.WAF部署在反向代理位置

D.WAF开启了“仅记录”模式

答案：A

解析：规则库未更新可能导致误将正常请求识别为攻击（误报）；宽松模式会减少拦截，“仅记录”不会拦截，部署位置不影响误报。

8.以下哪种访问控制模型最适合大型企业的角色管理？

A.DAC（自主访问控制）

B.MAC（强制访问控制）

C.RBAC（基于角色的访问控制）

D.ABAC（基于属性的访问控制）

答案：C

解析：RBAC通过“角色”关联用户和权限，适合企业中按部门、职责划分权限的场景。

9.量子计算对现有密码体系的最大威胁是？

A.破解哈希算法（如SHA256）

B.加速对称加密算法（如AES）

C.破解基于离散对数的公钥算法（如RSA、ECC）

D.破坏物理层网络传输

答案：C

解析：量子计算机可通过Shor算法高效解决大整数分解和离散对数问题，威胁RSA、ECC等公钥算法。

10.某系统日志显示大量ICMP请求（Ping）指向内部服务器，但响应包极少，可能发生了？

A.DNS劫持攻击

B.Smurf攻击（放大反射DDoS）

C.ARP欺骗攻击

D.暴力破解攻击

答案：B

解析：Smurf攻击利用ICMP广播地址发送大量请求，目标IP为受害者，导致受害者被大量响应包淹没（响应包极少可能因网络带宽耗尽）。

11.依据《个人信息保护法》，处理敏感个人信息时，除取得个人同意外，还需满足：

A.公开处理规则

B.提供最小必要信息

C.进行个人信息保护影响评估（PIA）

D.告知处理目的、方式和范围

答案：C

解析：敏感个人信息处理需额外开展PIA，评估风险并提出保护措施。

12.以下哪种漏洞扫描工具主要用于Web应用漏洞检测？

A.Nessus

B.OpenVAS

C.AWVS（AcunetixWeb