2025年信息系统安全专家威胁建模中的攻击模式分析专题试卷及解析.docxVIP

2025年信息系统安全专家威胁建模中的攻击模式分析专题试卷及解析

2025年信息系统安全专家威胁建模中的攻击模式分析专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁建模过程中，STRIDE模型中的T代表哪种威胁类型？

A、欺骗

B、篡改

C、拒绝服务

D、威胁

【答案】D

【解析】正确答案是D。STRIDE是微软提出的威胁建模方法，其中T代表Threat（威胁），S代表Spoofing（欺骗），R代表Repudiation（否认），I代表InformationDisclosure（信息泄露），D代表DenialofService（拒绝服务），E代表ElevationofPrivilege（权限提升）。知识点：STRIDE威胁分类模型。易错点：容易将T误认为欺骗（Spoofing）或篡改（Tampering）。

2、在攻击模式分析中，注入攻击主要针对哪个安全属性？

A、机密性

B、完整性

C、可用性

D、不可否认性

【答案】B

【解析】正确答案是B。注入攻击（如SQL注入）通过向系统输入恶意数据来篡改系统行为或数据，主要破坏数据完整性。知识点：攻击模式与安全属性对应关系。易错点：可能误选机密性，但注入攻击主要不是窃取信息而是修改数据。

3、以下哪种攻击模式属于中间人攻击的变种？

A、钓鱼攻击

B、会话劫持

C、暴力破解

D、跨站脚本

【答案】B

【解析】正确答案是B。会话劫持是中间人攻击的一种，攻击者通过截获或预测会话令牌来接管合法用户会话。知识点：攻击模式分类。易错点：钓鱼攻击虽然也是欺骗类攻击，但不属于中间人攻击范畴。

4、在威胁建模中，数据流图（DFD）主要用于什么？

A、识别攻击路径

B、加密算法选择

C、性能优化

D、用户界面设计

【答案】A

【解析】正确答案是A。数据流图是威胁建模的重要工具，通过可视化系统组件间的数据交互来识别潜在攻击路径。知识点：威胁建模工具与方法。易错点：可能误选其他系统设计用途，但DFD在安全领域主要用于威胁分析。

5、重放攻击主要破坏哪个安全目标？

A、身份认证

B、数据加密

C、访问控制

D、日志审计

【答案】A

【解析】正确答案是A。重放攻击通过截获并重新发送合法认证数据来冒充合法用户，直接破坏身份认证机制。知识点：攻击模式与安全目标关系。易错点：可能误选访问控制，但重放攻击本质是绕过认证而非直接突破访问控制。

6、在CAPEC分类中，利用API滥用属于哪个类别？

A、注入攻击

B、社会工程学

C、软件攻击

D、硬件攻击

【答案】C

【解析】正确答案是C。CAPEC（通用攻击模式枚举和分类）将API滥用归类为软件攻击类别，指通过非预期方式使用API接口。知识点：CAPEC攻击分类体系。易错点：可能误选注入攻击，但API滥用范围更广。

7、侧信道攻击主要利用什么信息？

A、系统漏洞

B、物理实现特征

C、用户密码

D、网络协议缺陷

【答案】B

【解析】正确答案是B。侧信道攻击通过分析系统物理实现（如功耗、电磁辐射）来获取敏感信息，而非直接利用逻辑漏洞。知识点：侧信道攻击原理。易错点：容易与传统漏洞利用混淆。

8、在威胁建模中，攻击面指什么？

A、系统漏洞总数

B、可能被攻击的入口点集合

C、攻击者数量

D、防御措施清单

【答案】B

【解析】正确答案是B。攻击面是指系统中所有可能被攻击者利用的入口点集合，包括API、接口、协议等。知识点：攻击面概念。易错点：可能误认为漏洞数量，但攻击面更关注潜在入口而非已知漏洞。

9、零日漏洞攻击模式的主要特征是什么？

A、利用已知漏洞

B、厂商已发布补丁

C、漏洞尚未公开披露

D、仅影响旧版系统

【答案】C

【解析】正确答案是C。零日漏洞指已被发现但尚未公开披露或修复的漏洞，攻击者可在防御方不知情时利用。知识点：零日漏洞特征。易错点：可能误选已知漏洞，但零日漏洞的核心是未知性。

10、在威胁建模中，威胁代理指什么？

A、防御系统

B、攻击者或攻击工具

C、安全策略

D、加密算法

【答案】B

【解析】正确答案是B。威胁代理指能够实施威胁的实体，包括黑客、恶意软件或内部人员等。知识点：威胁建模要素。易错点：可能误选防御相关概念，但威胁代理特指攻击方。

第二部分：多项选择题（共10题，每题2分）

1、以下哪些属于STRIDE威胁模型中的威胁类别？

A、欺骗

B、篡改

C、信息泄露

D、拒绝服务

E、权限提升

【答案】A、B、C、D、E

【解析】STRIDE模型包含所有五个选项：欺骗(Spoofing)、篡改(Tampering)、信息泄露(InformationDisclosure)、拒绝服务(DenialofService)、权限提升(ElevationofPrivilege)。知识点：STRIDE完整分类。易错点：容