2026年软件资格考试信息安全工程师(中级)(基础知识、应用技术)合卷强化训练精练试题精析.docxVIP

2026年软件资格考试信息安全工程师(基础知识、应用技术)合卷(中级)强化训练精练试题精析

一、基础知识（共75题）

1、在信息安全领域，对称加密算法和非对称加密算法是两种基本类型。以下关于这两种加密算法的描述中，正确的是：

A.对称加密算法的加密密钥和解密密钥相同，加解密速度快，适合大量数据的加密。

B.非对称加密算法的加密和解密使用不同的密钥，其中一个密钥公开，另一个密钥保密，且无法通过公开密钥推算出私有密钥。

C.RSA是一种典型的非对称加密算法，其安全性基于大整数因子分解的困难性。

D.AES是一种典型的对称加密算法，其密钥长度可以是128位、192位或256位。

E.以上描述都正确。

答案：E

解析：

选项A正确描述了对称加密的核心特点：加密和解密使用同一个密钥，并且因其算法相对简单，处理速度较快，适用于加密海量数据，如文件加密、通信数据流加密等。

选项B正确描述了非对称加密的核心特点：使用公钥和私钥配对，公钥可公开分发，私钥必须严格保密。从公钥推导出私钥在计算上是不可行的。

选项C正确。RSA算法是应用最广泛的非对称加密算法，其安全性确实依赖于对大整数进行质因数分解这一数学难题的困难程度。

选项D正确。AES（高级加密标准）是当前最常用的对称加密算法之一，其密钥长度有128、192和256位三种选择，安全性高且效率出色。

由于A、B、C、D四个选项的陈述都是准确的，因此最全面的答案是E。

2、网络管理员在某台服务器的防火墙上发现一条可疑的入站规则，允许来自任意IP地址的TCP3389端口连接。这一规则最可能导致的安全风险是：

A.服务器遭受SQL注入攻击

B.服务器上的远程桌面服务（RDP）被暴力破解

C.服务器的文件共享服务（SMB）被未授权访问

D.服务器上的Web服务被跨站脚本攻击

答案：B

解析：

端口分析：TCP3389端口是微软远程桌面协议（RDP）的默认端口。开放此端口意味着允许外部网络通过RDP远程登录和管理该服务器。

规则风险分析：防火墙规则允许“任意IP地址”连接此端口，这意味着来自互联网上任何地方的攻击者都可以尝试连接到服务器的远程桌面服务。

攻击场景：攻击者会利用自动化工具，尝试使用常见的或弱密码（例如administrator/空口令或简单口令）进行大量登录尝试，即“暴力破解”攻击。一旦成功，攻击者将获得对服务器的完全控制权。

选项辨析：

A.SQL注入攻击通常针对Web应用的服务端口（如80、443），与RDP端口无关。

C.文件共享服务SMB通常使用TCP445端口，与3389端口无关。

D.跨站脚本攻击也是针对Web应用，与系统管理端口3389无关。

3、在信息安全领域，关于“最小特权原则”的描述，以下哪一项是正确的？

A.它要求系统管理员拥有所有权限，以便高效处理各种问题。

B.它指的是一个主体（如用户、进程）为了完成授权任务，所被授予的权限应是完成任务所需的最小权限集合。

C.它意味着所有用户都应被授予相同的权限，以体现公平性。

D.它建议为了简化管理，应为用户分配尽可能多的权限。

答案：B

解析：

最小特权原则是信息安全的一个核心原则。其核心思想是，任何主体（用户、应用程序、系统进程等）只应被授予执行其合法任务所必需的最低权限，且权限的授予时间也应仅限于完成任务所需的时间。选项A、C、D的描述都与最小特权原则背道而驰。A描述的是特权过大，C忽视了不同角色的不同职责需求，D则会导致权限滥用和安全风险增加。遵循最小特权原则可以有效限制因权限过高而导致的错误或恶意操作所造成的损害。

4、张工负责为一个Web应用设计访问控制方案。该应用包含普通用户和管理员两种角色。普通用户可以查看和编辑自己的信息，管理员可以管理所有用户的信息。下列哪种访问控制模型最适合描述此场景？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：C

解析：

基于角色的访问控制（RBAC）的核心思想是将权限分配给角色，再将角色分配给用户。用户通过扮演角色来获得权限。题目中明确划分了“普通用户”和“管理员”两种角色，并为每种角色定义了清晰的权限范围（普通用户只能操作自己的数据，管理员可以操作所有用户的数据），这非常符合RBAC模型的特点。

自主访问控制（DAC）的权限由资源所有者自主决定，不适合这种有严格角色划分和统一权限管理的场景。

强制访问控制（MAC）通常用于军事或政府等高安全性环境，基于安全标签（如密级）进行访问决策，与题目中描述的商业Web应用场景不符。

基于属性的访问控制（ABAC）使用多种属性（用户属性、资源属性、环境属性等）进行动态的、更细粒度的访问控制