2024下半年11月10日信息安全工程师综合知识考试真题及答案.docxVIP

2024下半年11月10日信息安全工程师综合知识考试练习题及答案

一、单项选择题（共60题，每题1分，每题的备选项中，只有1个最符合题意）

1.依据《信息安全技术网络安全等级保护基本要求》（GB/T222392019），第三级信息系统的安全通用要求中，属于“安全通信网络”层面的控制措施是：

A.应实现网络设备或安全设备的冗余配置

B.应启用访问控制功能，依据安全策略控制用户对资源的访问

C.应定期进行漏洞扫描，扫描周期不超过1个月

D.应对重要节点进行安全监测，监测内容包括攻击行为、异常流量等

答案：D

解析：安全通信网络层面的控制措施包括网络架构、通信传输、边界防护、访问控制、安全审计等。选项D属于安全监测，属于通信网络层面；A属于安全计算环境的冗余和容灾；B属于访问控制，可能涉及计算环境或通信网络，但第三级要求中访问控制更多在计算环境；C属于安全运维管理的漏洞管理。

2.以下关于量子密码学的描述，错误的是：

A.量子密钥分发（QKD）基于量子不可克隆定理实现无条件安全

B.BB84协议是最早提出的QKD协议，使用光子偏振态编码信息

C.量子密码可以完全替代传统公钥密码，解决量子计算带来的破解风险

D.实际应用中，QKD系统需要结合经典通信信道传输同步信息

答案：C

解析：量子密码（如QKD）主要解决密钥分发的安全问题，而非替代所有传统公钥密码。量子计算可能破解RSA、ECC等公钥算法，但对称加密（如AES）在量子计算下仍有较高安全性，因此量子密码与传统密码是互补关系，而非完全替代。

3.某企业部署了基于零信任架构的访问控制系统，其核心设计原则不包括：

A.持续验证访问请求的上下文（设备、用户、位置、时间等）

B.默认拒绝所有未经验证的访问请求

C.依赖网络边界作为主要安全屏障

D.根据动态风险评估动态调整访问权限

答案：C

解析：零信任架构的核心是“永不信任，始终验证”，打破传统网络边界依赖，强调对每个访问请求的持续验证和动态授权。选项C是传统边界安全的特征，不符合零信任原则。

4.在Linux系统中，用于查看当前用户已加载的安全模块（如SELinux）状态的命令是：

A.sestatus

B.getenforce

C.auditctl

D.sysctla

答案：B

解析：getenforce命令用于显示SELinux的当前模式（Enforcing、Permissive或Disabled）；sestatus是查看SELinux详细状态的命令（需安装policycoreutils工具包），但更直接的状态查看是getenforce；auditctl用于管理审计规则；sysctl用于查看/修改内核参数。

5.依据《个人信息保护法》，处理敏感个人信息时，除取得个人单独同意外，还应满足的条件不包括：

A.具有特定的目的和充分的必要性

B.采取严格的保护措施

C.公开处理敏感个人信息的必要性和规则

D.向个人信息主体提供删除敏感信息的“一键删除”功能

答案：D

解析：《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。同时，第三十条要求处理敏感个人信息应当具有特定的目的和充分的必要性，并采取严格的保护措施。公开处理规则是第四十七条的要求。“一键删除”是个人信息主体的权利（第四十七条），但非处理敏感信息的必要条件。

6.以下关于区块链安全的描述，正确的是：

A.区块链的“51%攻击”仅适用于PoW共识机制的链

B.智能合约漏洞（如重入漏洞）仅影响合约开发者，不涉及用户资金安全

C.联盟链由于参与节点受限，因此比公链更易受到女巫攻击

D.私钥丢失后可通过区块链的去中心化特性恢复

答案：A

解析：51%攻击的本质是控制超过50%的算力（PoW）或权益（PoS）来篡改交易记录，PoW链（如比特币）是主要目标；PoS链的类似攻击称为“长程攻击”。智能合约漏洞（如TheDAO事件）会直接导致用户资金损失；女巫攻击需要伪造大量节点身份，联盟链节点需身份验证，比公链更难；私钥丢失后无法恢复，因为区块链不存储私钥的备份。

7.某单位需对重要业务系统进行渗透测试，以下操作规范中错误的是：

A.测试前与系统运维方签订书面授权协议

B.在非业务高峰期执行测试，避免影响业务连续性

C.测试过程中记录所有操作步骤和发现的漏洞

D.对测试中获取的业务数据进行分析后公开测试报告

答案：D

解析：渗透测试中获取的业务数据属于敏感信息，测试报告