2025年信息系统安全专家API安全风险评估方法专题试卷及解析.docxVIP

2025年信息系统安全专家API安全风险评估方法专题试卷及解析

2025年信息系统安全专家API安全风险评估方法专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在进行API安全风险评估时，以下哪项不属于OWASPAPISecurityTop10中列出的风险？

A、失效的对象级别授权

B、安全配置错误

C、过多的数据暴露

D、服务器端请求伪造（SSRF）

【答案】B

【解析】正确答案是D。OWASPAPISecurityTop10（2019）包括：B2019失效的对象级别授权、B2019失效的用户认证、B2019过多的数据暴露、B2019缺乏资源和速率限制、B2019失效的函数级别授权、B2019批量分配、B2019安全配置错误、B2019注入、B2019不当的资源管理、B2019日志和监控不足。服务器端请求伪造（SSRF）虽然是一个严重漏洞，但它并未被单独列为APITop10的条目，其相关风险可能体现在“不当的资源管理”或“失效的对象级别授权”中。选项B“安全配置错误”是APITop10中的B201906。因此，D是本题的正确答案。

知识点：OWASPAPISecurityTop10。

易错点：考生容易混淆OWASPWebApplicationTop10和APISecurityTop10的具体条目。SSRF在WebTop10中是A10，但在APITop10中不是独立条目，这是常见的混淆点。

2、API安全评估中，威胁建模的主要目的是什么？

A、修复所有已发现的漏洞

B、从攻击者视角识别潜在威胁和攻击路径

C、编写详细的API文档

D、对API进行性能压力测试

【答案】B

【解析】正确答案是B。威胁建模是一种系统化的方法，用于在系统设计阶段或评估阶段，识别、理解和沟通潜在的威胁和攻击面。其核心目的是“像攻击者一样思考”，从而提前发现并缓解风险。选项A“修复漏洞”是威胁建模之后的活动。选项C“编写文档”和选项D“性能测试”与威胁建模的核心目的无关。

知识点：威胁建模（ThreatModeling）在API安全中的应用。

易错点：将威胁建模与漏洞扫描、渗透测试等具体的安全测试活动混淆。威胁建模更侧重于宏观的、结构化的风险识别，而非具体漏洞的发现。

3、在评估RESTfulAPI的安全性时，以下哪个HTTP方法通常被认为是最高风险的操作，需要最严格的授权检查？

A、GET

B、HEAD

C、POST

D、DELETE

【答案】D

【解析】正确答案是D。在RESTful架构中，HTTP方法对应不同的操作。GET和HEAD用于获取资源，通常是幂等的，风险相对较低。POST用于创建资源，存在一定风险。而DELETE方法用于删除服务器上的资源，这是一个具有破坏性的、不可逆的操作。一旦被未授权利用，可能导致数据永久丢失，因此它被认为是最高风险的操作之一，必须实施最严格的访问控制和授权检查。

知识点：RESTfulAPI方法的安全性与幂等性。

易错点：考生可能认为POST因为可以创建数据而风险最高，但DELETE的破坏性和不可逆性使其在授权层面需要更严格的审查。

4、为了防止API因暴力破解或滥用导致服务不可用，最有效的控制措施是？

A、使用HTTPS加密传输

B、实施严格的输入验证

C、部署速率限制（RateLimiting）和节流（Throttling）

D、对所有API端点进行强身份认证

【答案】C

【解析】正确答案是C。速率限制和节流是专门用于控制客户端在特定时间窗口内可以发起的请求数量的技术。这是防御拒绝服务攻击、暴力破解、爬虫等滥用行为最直接和有效的手段。选项A、B、D都是重要的API安全措施，但它们主要解决的是机密性、完整性和身份验证问题，而不是直接针对资源耗尽型的滥用攻击。

知识点：API滥用防护与速率限制。

易错点：考生可能会选择D，认为强认证可以解决一切。但即使通过认证的恶意用户或程序也可能发起滥用攻击，速率限制是应对这种情况的必要补充。

5、在进行API安全自动化测试时，DAST（动态应用安全测试）工具的主要工作原理是？

A、分析API的源代码或字节码来查找漏洞

B、在API运行时，向其发送大量恶意构造的请求并分析响应

C、检查API的配置文件和部署环境是否符合安全基线

D、人工模拟攻击者的行为进行渗透测试

【答案】B

【解析】正确答案是B。DAST（动态应用安全测试）是一种“黑盒”测试技术，它在应用运行时对其进行测试。对于API，DAST工具会扮演客户端角色，根据API规范（如OpenAPI/Swagger）或通过爬虫发现端点，然后发送各种正常、异常或恶好的请求，通过分析API的响应（如状态码、响应体、响应时间）来发现安全漏洞。选项A描述的是SA