信息安全技术试题和答案.docxVIP

信息安全技术试题和答案

一、单项选择题（每题2分，共20分）

1.以下哪种加密算法属于非对称加密？

A.AES-256

B.DES

C.RSA

D.RC4

2.某系统采用基于角色的访问控制（RBAC），当用户权限需要调整时，通常优先修改的是？

A.用户与角色的关联关系

B.用户的直接权限

C.角色的权限集合

D.角色与组织的关联关系

3.在TCP/IP协议栈中，以下哪项攻击主要针对传输层？

A.DNS欺骗

B.SYNFlood

C.SQL注入

D.ARP欺骗

4.数字证书的核心作用是？

A.保证数据机密性

B.验证通信双方身份

C.实现数据完整性校验

D.提供抗抵赖能力

5.以下哪项不属于物联网（IoT）设备特有的安全风险？

A.固件漏洞难以更新

B.资源受限导致加密算法简化

C.大规模设备的身份认证压力

D.SQL注入攻击

6.某企业部署了入侵防御系统（IPS），其核心功能是？

A.监控网络流量并记录日志

B.检测攻击行为并主动阻断

C.对已知攻击特征进行匹配报警

D.分析流量异常但不干预

7.在Windows系统中，用于管理用户账户权限的核心工具是？

A.任务管理器

B.本地安全策略

C.设备管理器

D.系统配置

（msconfig）

8.以下哪种哈希算法已被证明存在碰撞漏洞，不建议用于安全场景？

A.SHA-256

B.MD5

C.SHA-3

D.SM3

9.零信任架构（ZeroTrust）的核心原则是？

A.默认信任内网所有设备

B.持续验证访问请求的身份与环境

C.仅通过边界防火墙保护资源

D.依赖单一因素认证（如密码）

10.某网站用户登录时，服务器返回“403Forbidden”错误，最可能的原因是？

A.服务器无法解析请求的URL

B.用户未提供有效的会话凭证

C.用户IP被列入黑名单或权限不足

D.服务器资源耗尽

二、填空题（每题2分，共20分）

1.对称加密算法中，AES的分组长度固定为____位。

2.网络安全领域中，“CIA三元组”指的是机密性、完整性和____。

3.常见的DDoS攻击中，利用放大效应的典型攻击类型是____（如利用DNS或NTP服务）。

4.操作系统的安全加固措施中，关闭不必要的服务和____是降低攻击面的关键步骤。

5.区块链技术中，防止双花攻击的核心机制是____。

6.在PKI体系中，负责颁发和管理数字证书的机构称为____。

7.移动终端安全中，iOS系统的应用程序沙盒机制主要用于限制____。

8.数据库安全中，通过预编译语句（PreparedStatement）可以有效防御____攻击。

9.无线局域网（WLAN）中，WPA3协议相比WPA2增强了对____攻击的防护（如KRACK）。

10.安全审计的核心目的是____和追踪系统中的安全事件。

三、简答题（每题8分，共40分）

1.简述DES与AES算法的主要区别。

2.说明SQL注入攻击的原理，并列举至少3种防御措施。

3.比较入侵检测系统（IDS）与入侵防御系统（IPS）的功能差异。

4.解释“最小权限原则”在信息安全中的应用，并举例说明。

5.分析云计算环境下数据泄露的主要风险点，并提出2项针对性防护措施。

四、综合题（每题10分，共20分）

1.某企业部署了一套基于SSL/TLS的HTTPS网站，但近期监测到用户访问时出现“证书不受信任”的提示。请分析可能的原因，并给出排查与修复步骤。

2.某公司内部网络发生员工账号被盗用事件，导致敏感文档泄露。假设你是安全工程师，需设计一套包含技术、管理和流程的综合解决方案，降低此类事件再次发生的风险。

--

答案及解析

一、单项选择题

1.C（RSA是非对称加密算法，其余为对称或流加密）

2.C（RBAC通过修改角色权限实现批量用户权限调整）

3.B（SYNFlood攻击利用TCP三次握手漏洞，针对传输层）

4.B（数字证书的核心是验证身份，机密性由加密保证，完整性由哈希，抗抵赖由签名）

5.D（SQL注入主要针对数据库应用，非IoT特有）

6.B（IPS不仅检测还主动阻断，IDS仅检测报警）

7.B（本地安全策略用于配置账户权限、审计等）

8.B（MD5已被证实存在碰撞漏洞，不推荐使用）

9.