2025年信息系统安全专家威胁建模中的文档管理专题试卷及解析.docxVIP

2025年信息系统安全专家威胁建模中的文档管理专题试卷及解析

2025年信息系统安全专家威胁建模中的文档管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁建模过程中，以下哪类文档主要用于记录系统架构和组件间的交互关系？

A、威胁分析报告

B、安全需求文档

C、数据流图（DFD）

D、漏洞扫描报告

【答案】C

【解析】正确答案是C。数据流图（DFD）是威胁建模中用于可视化系统架构、数据流向和组件交互的核心文档。A选项威胁分析报告是威胁识别后的输出文档；B选项安全需求文档是设计阶段的输入；D选项漏洞扫描报告属于测试阶段产物。知识点：威胁建模文档类型。易错点：混淆DFD与威胁分析报告的功能定位。

2、根据STRIDE模型，以下哪项威胁类型最需要依赖文档中的权限矩阵进行评估？

A、欺骗（Spoofing）

B、篡改（Tampering）

C、抵赖（Repudiation）

D、信息泄露（InformationDisclosure）

【答案】A

【解析】正确答案是A。欺骗威胁涉及身份伪造，权限矩阵文档可明确各角色的访问边界，是评估此类威胁的关键依据。B选项篡改需关注数据完整性控制；C选项抵赖需审计日志支持；D选项信息泄露需加密策略文档。知识点：STRIDE威胁与文档关联性。易错点：忽视权限矩阵在身份验证场景的作用。

3、在文档版本控制中，以下哪种做法最符合安全文档管理要求？

A、仅保留最新版本以节省存储空间

B、使用时间戳命名所有历史版本

C、通过数字签名验证文档完整性

D、允许开发人员直接修改生产文档

【答案】C

【解析】正确答案是C。数字签名能确保文档未被篡改且来源可信，是安全文档管理的核心要求。A选项破坏审计追踪；B选项时间戳无法防篡改；D选项违反最小权限原则。知识点：文档完整性保护。易错点：混淆版本控制与完整性验证的区别。

4、威胁建模文档中，以下哪项内容最可能被归类为敏感信息？

A、系统功能描述

B、第三方组件版本号

C、管理员账户哈希值

D、网络拓扑图

【答案】C

【解析】正确答案是C。管理员账户哈希值属于高价值凭证，泄露后可直接威胁系统安全。A、B、D选项虽具参考价值，但直接危害性较低。知识点：敏感信息分级标准。易错点：低估凭证类信息的敏感性。

5、在文档评审流程中，以下哪类人员最应优先参与威胁建模文档的审核？

A、UI设计师

B、数据库管理员（DBA）

C、市场部经理

D、人力资源专员

【答案】B

【解析】正确答案是B。DBA熟悉数据存储和访问控制机制，能识别数据层面的威胁。A选项关注交互设计；C、D选项缺乏技术背景。知识点：跨职能评审团队构成。易错点：忽视技术专家在文档审核中的关键作用。

6、以下哪种文档格式最适合存储威胁建模中的决策依据？

A、PDF

B、Markdown

C、可扩展标记语言（XML）

D、JPEG图像

【答案】C

【解析】正确答案是C。XML支持结构化数据存储，便于记录威胁、决策和证据的关联关系。A选项适合静态展示；B选项缺乏语义标记；D选项无法承载文本决策。知识点：文档格式选择标准。易错点：仅考虑可读性而忽略结构化需求。

7、在威胁建模文档归档时，以下哪项元数据是法律合规性要求必须保留的？

A、文档创建者的咖啡偏好

B、最后修改时间

C、文档字数统计

D、字体颜色设置

【答案】B

【解析】正确答案是B。修改时间是审计追踪的关键元数据，满足GDPR等法规要求。A、C、D选项与合规性无关。知识点：文档元数据管理。易错点：混淆功能性元数据与合规性元数据。

8、以下哪项措施最能防止威胁建模文档中的信息过载？

A、限制文档长度不超过10页

B、使用分层文档结构

C、仅包含高威胁风险项

D、采用自然语言生成技术

【答案】B

【解析】正确答案是B。分层结构（如执行摘要/技术细节）可满足不同读者需求，避免信息过载。A选项过于机械；C选项可能遗漏中低风险；D选项尚未成熟应用。知识点：文档可读性优化。易错点：将简洁等同于简短。

9、在威胁建模文档的共享控制中，以下哪种场景最需要使用水印技术？

A、内部团队协作

B、向监管机构提交报告

C、开源社区发布

D、供应商安全评估

【答案】D

【解析】正确答案是D。供应商场景需防止文档外泄，水印可追溯泄露源头。A、B选项信任度高；C选项本就公开。知识点：文档泄露防护技术。易错点：忽视水印的威慑作用。

10、以下哪项是威胁建模文档与普通技术文档的核心区别？

A、包含系统架构图

B、记录安全决策依据

C、使用专业术语

D、遵循模板规范

【答案】B

【解析】正确答案是B。安全决策依据（如威胁接受理由）是威胁建模文档独有的关键内容。A、C、D选项在普通技术文档中也常见。知识点：威胁建模文档特性。易错点：混淆通用文档要求与安全特定要求。

第二部分：多项选择题（共