网络安全面试实用试题.docxVIP

网络安全面试实用试题

一、核心基础概念高频面试真题

1.请准确阐述CVSS3.1评分体系的核心维度、分级阈值及漏洞处置场景的落地逻辑

标准答题要点：CVSS3.1评分体系共分为三个度量组，加权计算最终0-10分的漏洞风险值：第一组为基础度量组，覆盖不受时间和环境影响的固有漏洞属性，包含攻击向量（AV:N/A/L/P，分别对应网络、相邻、本地、物理访问）、攻击复杂度（AC:L/H，对应低/高复杂度利用门槛）、权限需求（PR:N/L/H，对应无需权限/普通用户权限/管理员权限）、用户交互（UI:N/R，对应无需用户交互/需要用户主动操作）、范围影响（S:U/C，对应仅影响所属安全域/跨域影响其他资产）、保密性影响、完整性影响、可用性影响8个核心子项；第二组为时间度量组，用于评估漏洞随时间变化的利用成熟度，包含漏洞代码公开状态、补丁可用性、第三方信用评级三个子项；第三组为环境度量组，用于结合企业自身资产属性做定制化校准，包含资产涉密等级、资产重要度、已部署防护措施三个子项。官方明确的分级阈值为：0.0分无风险、0.1-3.9分低危、4.0-6.9分中危、7.0-8.9分高危、9.0-10.0分严重。落地处置层面需匹配响应时效要求：严重级漏洞（如Log4j2、SpringBoot默认配置漏洞）要求72小时内完成全网资产扫描，边界暴露资产第一时间做访问限制，补丁验证通过后全量修复；高