2025年信息系统安全专家人员访问控制策略专题试卷及解析.docxVIP

2025年信息系统安全专家人员访问控制策略专题试卷及解析

2025年信息系统安全专家人员访问控制策略专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在访问控制模型中，哪种模型通过强制访问控制（MAC）机制，基于安全标签实现信息分级保护？

A、自主访问控制（DAC）

B、基于角色的访问控制（RBAC）

C、BellLaPadula模型

D、ClarkWilson模型

【答案】C

【解析】正确答案是C。BellLaPadula模型是典型的强制访问控制模型，通过安全标签（如绝密、机密、秘密）实现信息分级保护，核心原则是“不上读、不下写”。A选项DAC由资源所有者自主分配权限；B选项RBAC通过角色分配权限；D选项ClarkWilson模型侧重商业环境完整性保护。知识点：访问控制模型分类。易错点：混淆RBAC与MAC的适用场景。

2、企业实施最小权限原则时，以下哪种做法最符合该原则？

A、为所有员工分配管理员权限

B、仅授予用户完成工作所需的最低权限

C、根据部门统一分配权限

D、定期轮换用户权限

【答案】B

【解析】正确答案是B。最小权限原则要求仅授予用户完成任务所必需的权限，A选项违反权限最小化；C选项可能导致权限过度分配；D选项权限轮换是安全措施但非最小权限核心。知识点：访问控制基本原则。易错点：将最小权限与权限轮换混淆。

3、在多因素认证中，以下哪项属于“用户所知”的认证因素？

A、指纹识别

B、USB安全密钥

C、密码

D、虹膜扫描

【答案】C

【解析】正确答案是C。多因素认证分为三类：所知（密码、PIN）、所有（硬件令牌、手机）、所是（生物特征）。A、D属于生物特征（所是），B属于硬件令牌（所有）。知识点：认证因素分类。易错点：混淆生物特征与硬件令牌的类别。

4、以下哪种访问控制技术通过动态评估用户行为和上下文信息调整权限？

A、静态访问控制

B、基于属性的访问控制（ABAC）

C、基于规则的访问控制

D、基于时间的访问控制

【答案】B

【解析】正确答案是B。ABAC通过用户属性、资源属性、环境条件动态决策，A选项静态控制无法动态调整；C选项基于固定规则；D选项仅考虑时间因素。知识点：动态访问控制技术。易错点：忽略ABAC的上下文感知特性。

5、在特权账号管理中，以下哪项措施最能有效防止权限滥用？

A、定期修改密码

B、实施特权会话管理

C、限制登录时间

D、使用复杂密码策略

【答案】B

【解析】正确答案是B。特权会话管理可实时监控、记录特权操作，A、D仅增强认证强度，C选项限制时间但无法监控行为。知识点：特权账号安全。易错点：将密码策略与会话管理等同。

6、以下哪种协议常用于企业单点登录（SSO）场景？

A、SSH

B、OAuth2.0

C、IPsec

D、TLS

【答案】B

【解析】正确答案是B。OAuth2.0是授权框架，支持跨系统SSO；A选项用于远程登录；C、D选项用于网络传输加密。知识点：SSO协议。易错点：混淆OAuth与TLS的功能。

7、在访问控制日志审计中，以下哪项内容最应优先关注？

A、成功登录次数

B、权限变更记录

C、系统运行时间

D、网络流量统计

【答案】B

【解析】正确答案是B。权限变更可能引发安全风险，A选项正常行为，C、D选项与访问控制无关。知识点：审计日志分析。易错点：忽略权限变更的敏感性。

8、以下哪种访问控制模型适用于云计算环境的多租户场景？

A、DAC

B、MAC

C、ABAC

D、RBAC

【答案】C

【解析】正确答案是C。ABAC支持细粒度、动态权限控制，适合云环境多租户；A、B、D模型灵活性不足。知识点：云环境访问控制。易错点：未考虑云环境的动态性需求。

9、在生物识别技术中，以下哪项属于行为特征？

A、人脸识别

B、指纹识别

C、声纹识别

D、静脉识别

【答案】C

【解析】正确答案是C。声纹是行为特征，A、B、D属于生理特征。知识点：生物特征分类。易错点：混淆生理与行为特征。

10、以下哪种攻击方式通过伪造合法身份获取访问权限？

A、SQL注入

B、钓鱼攻击

C、DDoS攻击

D、中间人攻击

【答案】B

【解析】正确答案是B。钓鱼攻击通过伪造身份骗取凭证，A选项攻击数据库，C选项拒绝服务，D选项劫持通信。知识点：身份伪造攻击。易错点：将钓鱼与中间人攻击混淆。

第二部分：多项选择题（共10题，每题2分）

1、以下哪些属于访问控制的三大核心要素？

A、主体

B、客体

C、操作

D、策略

E、审计

【答案】A、B、C

【解析】正确答案是A、B、C。访问控制核心是“谁（主体）对什么（客体）做什么（操作）”，D、E是辅助要素。知识点：访问控制基本概念。易错点：将策略误认为核心要素。

2、以下哪些措施可增强远程访问安全性？

A、VPN加密

B、多因素认证

C、禁用默