信息安全工程师基本考试题及答案.docxVIP

信息安全工程师基本考试题及答案

一、单项选择题（每题2分，共20题，总分40分）

1.信息安全的核心三要素不包括以下哪项？

A.保密性（Confidentiality）

B.完整性（Integrity）

C.可用性（Availability）

D.不可抵赖性（Non-repudiation）

答案：D

解析：信息安全的基本三要素是保密性、完整性和可用性（CIA），不可抵赖性是扩展属性，属于安全服务的一部分，但非核心三要素。

2.以下哪种加密算法属于对称加密？

A.RSA

B.ECC（椭圆曲线加密）

C.AES

D.哈希算法（如SHA-256）

答案：C

解析：对称加密使用相同的密钥进行加密和解密，AES（高级加密标准）是典型对称算法；RSA和ECC是非对称加密，哈希算法属于摘要算法，不涉及加密解密过程。

3.以下哪项是网络层的安全协议？

A.SSL/TLS

B.IPsec

C.HTTPS

D.SSH

答案：B

解析：IPsec工作在网络层，用于保护IP数据包；SSL/TLS和HTTPS工作在传输层或应用层，SSH是应用层协议。

4.缓冲区溢出攻击的主要目标是？

A.破坏数据完整性

B.绕过访问控制

C.执行任意代码

D.耗尽系统资源

答案：C

解析：缓冲区溢出攻击通过向程序缓冲区写入超出其容量的数据，覆盖相邻内存区域（如栈帧），最终控制程序执行流程，实现任意代码执行。

5.以下哪种漏洞属于应用层漏洞？

A.ARP欺骗

B.SQL注入

C.DNS缓存污染

D.碎片攻击

答案：B

解析：SQL注入是由于应用程序对用户输入未做充分校验，导致恶意SQL代码被执行，属于应用层漏洞；ARP欺骗、DNS缓存污染属于网络层攻击，碎片攻击是传输层攻击。

6.以下哪项是最小权限原则的最佳实践？

A.为管理员账户分配所有系统权限

B.为普通用户分配仅完成任务所需的最小权限

C.定期提升用户权限以满足临时需求

D.所有用户共享同一管理员账户

答案：B

解析：最小权限原则要求用户或进程仅获得完成任务所需的最小权限，以降低误操作或恶意行为的影响范围。

7.以下哪种恶意软件通过自我复制传播，无需宿主程序？

A.病毒（Virus）

B.蠕虫（Worm）

C.木马（Trojan）

D.勒索软件（Ransomware）

答案：B

解析：蠕虫可独立运行并通过网络自我复制传播，无需附着在宿主程序上；病毒需宿主程序激活，木马伪装成合法程序，勒索软件通过加密数据勒索。

8.数字证书的核心作用是？

A.加密数据

B.验证通信双方身份

C.存储用户私钥

D.生成随机密钥

答案：B

解析：数字证书由CA（证书颁发机构）签发，包含公钥、用户身份等信息，用于验证通信对方的身份真实性。

9.以下哪项是IDS（入侵检测系统）的主要功能？

A.阻止未授权访问

B.监控网络流量并检测异常行为

C.加密传输数据

D.修复系统漏洞

答案：B

解析：IDS是监控设备，用于检测入侵行为并报警；阻止未授权访问是防火墙的功能，加密由VPN或TLS实现，漏洞修复需人工或补丁管理系统。

10.以下哪种访问控制模型基于角色分配权限？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：C

解析：RBAC根据用户角色（如“财务人员”“工程师”）分配权限，DAC由对象所有者自主控制权限，MAC由系统强制规定安全级别，ABAC基于用户属性（如部门、位置）动态授权。

11.以下哪项是哈希算法的典型特征？

A.可逆性

B.固定长度输出

C.密钥依赖性

D.支持解密

答案：B

解析：哈希算法将任意长度输入转换为固定长度输出（如SHA-256输出256位），具有不可逆性、无密钥（或可选密钥）、碰撞抵抗性等特征。

12.以下哪种攻击利用了操作系统或应用程序的未修复漏洞？

A.社会工程学攻击

B.零日攻击（Zero-dayAttack）

C.暴力破解

D.中间人攻击

答案：B

解析：零日攻击针对未被公开或修复的漏洞（0天漏洞），攻击者在官方补丁发布前利用；社会工程学依赖心理欺骗，暴力破解通过穷举尝试，中间人攻击截获通信。

13.以下哪项是Web应用防火墙（WAF）的主要防护对象？