2025年信息系统安全专家防火墙日志解读与分析专题试卷及解析.pdfVIP

2025年信息系统安全专家防火墙日志解读与分析专题试卷及解析1

2025年信息系统安全专家防火墙日志解读与分析专题试卷

及解析

2025年信息系统安全专家防火墙日志解读与分析专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在防火墙日志中，出现大量源IP地址相同但目标端口不断变化的连接尝试，最

可能表明什么攻击行为？

A、SQL注入攻击

B、端口扫描攻击

C、DDoS攻击

D、暴力破解攻击

【答案】B

【解析】正确答案是B。端口扫描攻击的特征是攻击者使用单一源IP对目标主机的

多个端口进行探测，以寻找开放的服务端口。A选项SQL注入攻击通常针对Web应

用，不会表现为端口变化；C选项DDoS攻击会使用大量不同源IP；D选项暴力破解

攻击通常针对特定服务端口。知识点：端口扫描攻击特征识别。易错点：容易将端口扫

描与DDoS混淆，关键区别在于源IP数量。

2、防火墙日志显示”action=denyreason=invalidpacket”，最可能的原因是？

A、违反访问控制策略

B、数据包校验失败

C、连接数超限

D、应用层协议不匹配

【答案】B

【解析】正确答案是B。“invalidpacket”通常指数据包格式错误或校验失败，如校验

和错误。A选项会显示”policydeny”；C选项会显示”connectionlimitexceeded”；D选项

会显示”applicationmismatch”。知识点：防火墙拒绝原因分类。易错点：需要区分不同

拒绝原因的日志表述差异。

3、在分析防火墙日志时，发现某内网IP持续向外部C2服务器发送加密流量，最

应该采取的措施是？

A、临时阻断该IP

B、立即隔离该主机

C、升级防火墙规则

D、记录并继续观察

【答案】B

2025年信息系统安全专家防火墙日志解读与分析专题试卷及解析2

【解析】正确答案是B。C2通信表明主机可能已被控，需要立即隔离防止横向扩散。

A选项阻断不够彻底；C选项治标不治本；D选项会延误处置。知识点：C2通信应急

响应。易错点：容易低估C2通信的严重性。

4、防火墙日志中”sessiontimeout”记录通常表示什么？

A、会话建立失败

B、会话超时断开

C、会话被强制终止

D、会话协商失败

【答案】B

【解析】正确答案是B。sessiontimeout表示会话因超时而正常断开。A选项会

显示”sessionsetupfailed”；C选项会显示”sessionterminated”；D选项会显示”session

negotiationfailed”。知识点：防火墙会话管理机制。易错点：需要区分各种会话终止原

因。

5、在分析防火墙NAT日志时，“prenat”和”postnat”字段分别表示什么？

A、转换前后的IP地址

B、转换前后的端口号

C、转换前后的协议类型

D、转换前后的MAC地址

【答案】A

【解析】正确答案是A。prenat记录转换前的原始IP，postnat记录转换后的IP。B

选项端口通常用”preport/postport”表示；C选项协议不会改变；D选项MAC地址不在

NAT日志中。知识点：NAT日志字段含义。易错点：容易混淆IP和端口的字段表示。

6、防火墙日志显示”action=allowreason=established”，表示什么？

A、新建连接被允许

B、已建立连接的流量被允许

C、连接重建被允许

D、异常连接被允许

【答案】B

【解析】正确答案是B。established表示属于已建立会话的返回流量。A选项会显

示”newconnection”；C选项会显示”connectionrebuilt”；D选项会显示”anomaly