2025年信息安全工程师认证考试试卷及答案解析.docxVIP

2025年信息安全工程师认证考试试卷及答案解析

一、单项选择题（共20题，每题2分，共40分）

1.以下哪种加密算法属于非对称加密，且基于椭圆曲线数学问题？

A.AES256

B.RSA2048

C.ECCsecp256r1

D.ChaCha20

答案：C

解析：ECC（椭圆曲线加密）基于椭圆曲线离散对数问题，属于非对称加密；RSA基于大整数分解，AES和ChaCha20为对称加密。

2.某企业发现员工通过邮件外发敏感数据，最有效的技术控制措施是？

A.部署DLP（数据防泄漏）系统

B.加强员工安全意识培训

C.限制邮件附件大小

D.定期审计邮件日志

答案：A

解析：DLP系统可通过内容识别、策略控制主动阻止敏感数据外泄，是技术层面最直接的措施；培训和审计为管理手段，限制附件大小无法精准识别敏感内容。

3.以下哪项是TLS1.3握手过程中不再使用的机制？

A.会话票据（SessionTicket）

B.预主密钥（PreMasterSecret）

C.证书验证（CertificateVerification）

D.密钥交换（KeyExchange）

答案：B

解析：TLS1.3优化了握手流程，取消了预主密钥，直接通过密钥交换生成主密钥（MasterSecret），减少了握手延迟。

4.某Web应用出现“用户输入的用户名被拼接至SQL查询语句”的漏洞，该漏洞属于？

A.CSRF（跨站请求伪造）

B.XSS（跨站脚本）

C.SQL注入（SQLInjection）

D.SSRF（服务器端请求伪造）

答案：C

解析：未对用户输入进行有效过滤，直接拼接至SQL语句会导致SQL注入；XSS涉及HTML注入，CSRF利用用户会话，SSRF攻击服务器端资源。

5.以下哪种访问控制模型最适合动态变化的云环境，支持基于用户属性、环境条件的策略决策？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：D

解析：ABAC通过用户属性（如部门、职位）、资源属性（如敏感度）、环境属性（如IP、时间）动态决策访问权限，适应云环境的灵活性；RBAC基于固定角色，灵活性较低。

6.量子计算对现有密码体系的最大威胁是？

A.破解对称加密算法（如AES）

B.破解哈希函数（如SHA256）

C.破解非对称加密算法（如RSA、ECC）

D.破坏数字签名的不可否认性

答案：C

解析：量子计算机的Shor算法可高效解决大整数分解和椭圆曲线离散对数问题，直接威胁RSA和ECC等非对称加密；Grover算法对对称加密和哈希的影响较小（仅缩短有效密钥长度）。

7.某企业部署了入侵检测系统（IDS），但未能检测到新型恶意软件，最可能的原因是？

A.IDS采用误用检测（特征检测）

B.IDS采用异常检测（行为检测）

C.IDS部署在核心交换机旁路

D.IDS日志未开启详细记录

答案：A

解析：误用检测依赖已知攻击特征库，无法检测未知攻击（零日攻击）；异常检测通过基线模型发现异常行为，可检测新型威胁。

8.以下哪个协议用于安全地传输电子邮件内容？

A.SMTP

B.POP3

C.IMAP

D.S/MIME

答案：D

解析：S/MIME（安全多用途互联网邮件扩展）支持邮件内容的加密和数字签名；SMTP、POP3、IMAP为普通邮件传输协议。

9.某物联网设备使用弱密码（如“123456”），攻击者通过暴力破解获取权限后，控制设备发起DDoS攻击。该事件的根本原因是？

A.网络边界防护不足

B.设备身份认证机制脆弱

C.缺乏入侵防御系统（IPS）

D.日志审计不完整

答案：B

解析：弱密码导致身份认证失效是根本原因；其他选项为防护或检测措施，非根本问题。

10.以下哪项是ISO/IEC27001信息安全管理体系（ISMS）的核心要素？

A.风险评估与处理

B.漏洞扫描频率

C.防火墙规则数量

D.员工安全培训时长

答案：A

解析：ISO27001强调基于风险的方法，通过风险评估识别威胁与脆弱性，制定控制措施；其他选项为具体实施手段。

11.某系统日志显示“用户A在非工作时间（23:00）登录系统，尝试访问受限目录”，最可能的安全事件类型是？

A.数据泄露

B.权限滥用

C.暴力破解