2025年信息系统安全专家威胁建模与身份认证安全专题试卷及解析.docxVIP

2025年信息系统安全专家威胁建模与身份认证安全专题试卷及解析

2025年信息系统安全专家威胁建模与身份认证安全专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁建模过程中，STRIDE模型中的“T”代表什么威胁类型？

A、欺骗

B、篡改

C、信息泄露

D、拒绝服务

【答案】B

【解析】正确答案是B。STRIDE模型中，T代表Tampering（篡改），指对数据或代码进行未经授权的修改。A选项Spoofing（欺骗）是S，C选项InformationDisclosure（信息泄露）是I，D选项DenialofService（拒绝服务）是D。知识点：STRIDE威胁分类法。易错点：容易混淆STRIDE各字母对应的威胁类型，特别是T和I的顺序。

2、在OAuth2.0授权框架中，用于获取访问令牌的端点是什么？

A、AuthorizationEndpoint

B、TokenEndpoint

C、ResourceEndpoint

D、ClientEndpoint

【答案】B

【解析】正确答案是B。TokenEndpoint是OAuth2.0中专门用于交换授权许可获取访问令牌的端点。A选项AuthorizationEndpoint用于授权请求，C选项ResourceEndpoint是受保护的资源服务器端点，D选项ClientEndpoint不是标准端点。知识点：OAuth2.0核心端点。易错点：容易混淆AuthorizationEndpoint和TokenEndpoint的功能。

3、以下哪种攻击方式主要针对多因素认证中的第二因素（如短信验证码）？

A、钓鱼攻击

B、中间人攻击

C、SIM卡交换攻击

D、暴力破解攻击

【答案】C

【解析】正确答案是C。SIM卡交换攻击是专门针对基于短信的二次验证的攻击方式。A选项钓鱼攻击主要针对第一因素，B选项中间人攻击范围更广，D选项暴力破解主要针对密码。知识点：多因素认证安全风险。易错点：容易忽视针对特定认证因素的专门攻击方式。

4、在威胁建模中，DREAD模型中的“R”代表什么评估维度？

A、潜在损失

B、可复现性

C、所需资源

D、影响范围

【答案】C

【解析】正确答案是C。DREAD模型中R代表RequiredResources（所需资源），评估实施攻击需要的资源量。A选项Damage（潜在损失）是D，B选项Reproducibility（可复现性）是R，D选项AffectedUsers（影响范围）是A。知识点：DREAD风险评估模型。易错点：容易混淆DREAD各维度的具体含义。

5、在零信任架构中，以下哪个原则最核心？

A、默认信任内部网络

B、持续验证

C、单次认证

D、边界防护

【答案】B

【解析】正确答案是B。零信任的核心原则是从不信任，始终验证，强调持续验证。A选项与传统安全模型相反，C选项不符合零信任理念，D选项是传统边界安全思维。知识点：零信任安全架构。易错点：容易将零信任与传统边界安全混淆。

6、在JWT（JSONWebToken）中，用于防止令牌被篡改的部分是？

A、Header

B、Payload

C、Signature

D、Algorithm

【答案】C

【解析】正确答案是C。Signature部分通过密钥对Header和Payload进行签名，确保令牌完整性。A选项Header包含元数据，B选项Payload包含声明，D选项Algorithm是签名算法本身。知识点：JWT结构。易错点：容易混淆JWT各部分的功能。

7、在威胁建模过程中，以下哪个阶段最适合使用攻击树分析？

A、资产识别

B、威胁识别

C、漏洞分析

D、风险评级

【答案】B

【解析】正确答案是B。攻击树主要用于系统化地识别和分类潜在威胁。A选项资产识别是前期工作，C选项漏洞分析在威胁识别后，D选项风险评级是最后阶段。知识点：威胁建模方法。易错点：容易混淆各阶段适用的分析方法。

8、在生物识别认证中，以下哪种技术最容易受到重放攻击？

A、指纹识别

B、人脸识别

C、声纹识别

D、虹膜识别

【答案】C

【解析】正确答案是C。声纹最容易通过录音进行重放攻击。A、B、D选项都需要活体检测，相对更安全。知识点：生物识别安全风险。易错点：容易忽视不同生物识别技术的安全差异。

9、在OAuth2.0中，哪种授权流程最适合单页应用（SPA）？

A、AuthorizationCode

B、Implicit

C、ClientCredentials

D、ResourceOwnerPasswordCredentials

【答案】B

【解析】正确答案是B。Implicit流程专为无法安全存储客户端密钥的应用（如SPA）设计。A选项需要后端支持，C选项用于机器对机