安全评估工程师面试题及答案.docxVIP

第PAGE页共NUMPAGES页

2026年安全评估工程师面试题及答案

一、单选题（共5题，每题2分）

1.题目：在信息系统安全等级保护测评中，某单位的信息系统被定级为三级，以下哪项措施不属于其基本安全要求？

A.人员安全管理制度

B.系统安全审计功能

C.定期进行渗透测试

D.数据库加密存储

答案：C

解析：三级系统的基本安全要求包括物理安全、网络安全、主机安全、应用安全、数据安全、管理安全等方面，其中人员安全管理制度、系统安全审计功能和数据库加密存储均属于基本要求。渗透测试属于测评过程中的测评方法，而非基本安全措施。

2.题目：某企业采用“零信任”安全架构，以下哪项原则与其最不符？

A.“永不信任，始终验证”

B.最小权限原则

C.基于角色的访问控制

D.多因素身份认证

答案：C

解析：“零信任”架构的核心是“永不信任，始终验证”，强调无论用户或设备是否在内部网络，均需进行身份验证和权限控制。最小权限原则和多因素身份认证均符合零信任理念，而基于角色的访问控制（RBAC）是传统权限管理方式，与零信任的动态验证机制不完全一致。

3.题目：在云安全配置核查中，以下哪项属于AWS云配置管理工具？

A.AzurePolicy

B.GCPSecurityCommandCenter

C.AWSConfig

D.IBMCloudCompliance

答案：C

解析：AWSConfig是AWS官方的云资源配置管理工具，用于自动记录和评估云资源配置。AzurePolicy、GCPSecurityCommandCenter和IBMCloudCompliance分别属于Azure、GCP和IBM的云管理工具。

4.题目：某企业数据库存储大量敏感数据，为防止数据泄露，应优先采用哪种加密方式？

A.透明数据加密（TDE）

B.传输层加密（TLS）

C.密码学哈希

D.对称加密

答案：A

解析：透明数据加密（TDE）是数据库层面的存储加密技术，可对静态数据进行加密，防止数据泄露。传输层加密（TLS）用于保护数据传输过程，密码学哈希主要用于数据完整性校验，对称加密虽然可用于静态数据加密，但TDE在数据库场景下更常用且高效。

5.题目：某企业发现内部员工可通过VPN绕过本地安全策略访问外部网站，以下哪项措施最能有效解决该问题？

A.禁用VPN服务

B.在VPN出口部署Web防火墙

C.限制VPN用户访问特定IP段

D.增加VPN密码复杂度

答案：B

解析：VPN绕过本地安全策略的关键在于未对VPN流量进行管控。在VPN出口部署Web防火墙可对流量进行深度检测和过滤，有效防止违规访问。禁用VPN影响业务，限制IP段和增加密码复杂度均无法解决流量绕过问题。

二、多选题（共5题，每题3分）

1.题目：在等保2.0测评中，三级系统需满足以下哪些物理安全要求？

A.安装视频监控系统

B.人员身份识别

C.机房环境监测

D.数据备份与恢复

答案：A、B、C

解析：三级系统的物理安全要求包括物理区域边界防护、访问控制、视频监控、环境监测等。数据备份与恢复属于数据安全范畴，不在物理安全要求内。

2.题目：以下哪些属于勒索软件的传播途径？

A.邮件附件

B.恶意软件下载

C.漏洞利用

D.社会工程学钓鱼

答案：A、B、C、D

解析：勒索软件可通过多种途径传播，包括邮件附件、恶意软件下载、利用系统漏洞、社会工程学钓鱼等。

3.题目：在容器安全防护中，以下哪些措施可降低容器逃逸风险？

A.容器运行时监控

B.容器镜像安全扫描

C.嵌入式安全模块（eBPF）

D.限制容器权限

答案：A、B、C、D

解析：容器逃逸防护需从镜像、运行时、网络、权限等多维度入手。镜像安全扫描可避免恶意代码注入，运行时监控可检测异常行为，eBPF技术可增强容器隔离，限制权限可减少攻击面。

4.题目：某企业部署了零信任网络访问（ZTNA），以下哪些场景适用？

A.远程办公访问

B.内部跨部门协作

C.移动设备接入

D.API网关安全

答案：A、C、D

解析：ZTNA适用于远程办公、移动设备接入和API网关等场景，内部跨部门协作通常依赖传统VLAN或RBAC，ZTNA的动态验证机制可能不适用。

5.题目：在漏洞管理流程中，以下哪些环节需重点关注？

A.漏洞扫描

B.风险评估

C.补丁修复

D.员工安全意识培训

答案：A、B、C

解析：漏洞管理核心流程包括扫描、评估、修复，员工培训属于安全意识提升范畴，不属于漏洞管理直接环节。

三、判断题（共5题，每题2分）

1.题目：在等保测评中，系统运维日志需保存至少6个月。

答案：正确

解析：根据等保2.0要求，三级系统日志保存