2025年信息安全工程师岗位试题及答案.docxVIP

2025年信息安全工程师岗位试题及答案

一、单项选择题（每题2分，共30分）

1.零信任架构（ZeroTrustArchitecture）的核心思想是？

A.默认信任内网所有设备

B.持续验证访问请求的身份、设备及环境安全状态

C.仅通过防火墙实现边界防护

D.依赖传统的IP地址白名单进行访问控制

答案：B

解析：零信任的核心是“永不信任，始终验证”，要求对所有访问请求（无论来自内网还是外网）的身份、设备健康状态、访问环境等进行持续验证，打破传统的“网络边界信任”模型。

2.以下哪种哈希算法属于密码学哈希函数，且已被证明存在碰撞漏洞？

A.SHA-256

B.MD5

C.SHA-3

D.CRC32

答案：B

解析：MD5是经典的密码学哈希函数，但已被证明可以快速构造碰撞（如2004年的王小云攻击），不推荐用于需要抗碰撞性的场景（如数字签名）。SHA-256和SHA-3目前仍被认为是安全的，CRC32是校验和算法，不具备密码学安全性。

3.某企业部署了一台网络设备，其主要功能是根据源IP、目标IP、端口号和协议类型对流量进行过滤，该设备属于？

A.应用层防火墙

B.状态检测防火墙

C.包过滤防火墙

D.下一代防火墙（NGFW）

答案：C

解析：包过滤防火墙（网络层防火墙）基于IP、端口、协议等网络层/传输层信息进行过滤，不检查应用层内容；状态检测防火墙会跟踪连接状态；应用层防火墙和NGFW会深度解析应用层协议。

4.高级持续性威胁（APT）与普通网络攻击的最大区别是？

A.使用0day漏洞

B.攻击目标明确且持续时间长

C.传播速度快

D.主要针对个人用户

答案：B

解析：APT的核心特征是“高级”（使用定制化工具）、“持续”（长期潜伏）、“目标明确”（针对特定组织），与普通攻击的随机性、短期性有本质区别。

5.以下哪种访问控制模型最适合人员流动频繁的大型企业？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：C

解析：RBAC通过角色（如“财务主管”“系统管理员”）关联权限，当人员岗位变动时只需调整角色分配，无需逐一修改权限，适合人员流动大的场景。ABAC虽更灵活，但实现复杂度高。

6.数字签名的主要目的是确保数据的？

A.机密性

B.完整性

C.可用性

D.不可否认性

答案：D

解析：数字签名使用私钥签名、公钥验证，可证明签名者身份且无法抵赖（不可否认性），同时可验证数据完整性，但核心目的是不可否认性。

7.以下哪种Web安全漏洞最可能导致攻击者获取用户会话凭证（如Cookie）？

A.SQL注入

B.XSS（跨站脚本）

C.CSRF（跨站请求伪造）

D.文件上传漏洞

答案：B

解析：XSS攻击可注入恶意脚本，直接读取用户浏览器中的Cookie（如document.cookie），进而劫持会话。其他漏洞中，SQL注入主要窃取数据库数据，CSRF利用用户身份执行操作，文件上传可能导致任意代码执行。

8.日志审计的核心目的是？

A.提升系统性能

B.记录用户操作行为以便追溯

C.减少存储成本

D.防止DDoS攻击

答案：B

解析：日志审计通过收集、分析系统/网络日志，实现操作追溯、安全事件取证和合规性验证，是事后分析的关键手段。

9.以下哪种漏洞扫描属于“黑盒测试”？

A.扫描器已知目标系统架构和代码

B.扫描器仅通过网络探测获取信息

C.扫描器与目标系统共享管理权限

D.扫描器基于漏洞特征库进行匹配

答案：B

解析：黑盒测试模拟外部攻击者，仅通过公开信息（如IP、开放端口）探测漏洞；白盒测试则拥有系统内部信息（如代码、架构）。

10.SSL/TLS协议的主要作用是？

A.实现网络路由

B.保障传输层数据机密性和完整性

C.防止ARP欺骗

D.加速文件传输

答案：B

解析：SSL/TLS是传输层安全协议，通过加密（机密性）、消息认证码（完整性）和身份验证（服务器/客户端证书）保障通信安全。

11.以下哪种加密算法属于非对称加密？

A.AES

B.DES

C.RSA

D.3DES

答案：C

解析：RSA是典型的非对称加密算法（公钥加密、私钥解密）；AES、DES、3DES均为对称加密算法（同一密钥加密和解密）。

12.物联网（IoT）设备最常见的安全风险是？

A.算力