2022年下半年计算机软考信息安全工程师试题解析

1、网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息的属性是指网络信息安全的( )。

A.完整性 B.机密性 C.抗抵赖性 D.隐私性

【答案】B

【解析】本题考察的是网络信息安全基本属性。机密性：网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息。完整性：网络信息或系统未经授权不能进行更改的特性。抗抵赖性：防止网络信息系统相关用户否认其活动行为的特性。隐私性：有关个人的敏感信息不对外公开的安全属性。

2、网络信息系统的整个生命周期包括网络信息系统规划、网络信息系统设计、网络信息系统集成与实现、网络信息系统运行和维护、网络信息系统废弃5个阶段。网络信息安全管理重在过程，其中网络信息安全风险评估属于( )阶段。

A.网络信息系统规划 B.网络信息系统设计 C.网络信息系统集成与实现 D.网络信息系统运行和维护

【答案】A

【解析】

3、近些年国密算法和标准体系受到越来越多的关注，基于国密算法的应用也得到了快速发展。以下国密算法中，属于分组密码算法的是( )。

A.SM2 B.SM3 C.SM4 D.SM9

【答案】C

【解析】

4、域名服务是网络服务的基础，该服务主要是指从事域名根服务器运行和管理、顶级域名运行和管理、域名注册、域名解析等活动。《互联网域名管理办法》规定，域名系统出现网络与信息安全事件时，应当在( )内向电信管理机构报告。

A.6小时 B.12小时 C.24小时 D.3天

【答案】C

【解析】《互联网域名管理办法》第四十一条规定，域名根服务器运行机构、域名注册管理机构和域名注册服务机构应当遵守国家相关法律、法规和标准，落实网络与信息安全保障措施，配置必要的网络通信应急设备，建立健全网络与信息安全监测技术手段和应急制度。域名系统出现网络与信息安全事件时，应当在24小时内向电信管理机构报告。

5、《中华人民共和国密码法》对全面提升密码工作法治化水平起到了关键性作用，密码法规定国家对密码实行分类管理。依据《中华人民共和国密码法》的规定，以下密码分类正确的是( )。

A.核心密码、普通密码和商用密码 B.对称密码和非对称密码

C.分组密码、序列密码和公钥密码 D.散列函数、对称密码和公钥密码

【答案】A

【解析】《中华人民共和国密码法》第六条国家对密码实行分类管理。密码分为核心密码、普通密码和商用密码。

6、攻击树方法起源于故障树分析方法，可以用来进行渗透测试，也可以用来研究防御机制。以下关于攻击树方法的表述，错误的是( )

A.能够采取专家头脑风暴法，并且将这些意见融合到攻击树中去

B.能够进行费效分析或者概率分析

C.不能用来建模多重尝试攻击、时间依赖及访问控制等场景

D.能够用来建模循环事件

【答案】D

【解析】攻击树方法可以被Red Team用来进行渗透测试，同时也可以被Blue Team用来研究防御机制。攻击树的优点：能够采取专家头脑风暴法，并且将这些意见融合到攻击树中去；能够进行费效分析或者概率分析；能够建模超级复杂的攻击场景。攻击树的缺点：由于树结构的内在限制，攻击树不能用来建模多重尝试攻击、时间依赖及访问控制等场景；不能用来建模循环事件；对于现实中的大规模网络，攻击树方法处理起来将会特别复杂。

7、一般攻击者在攻击成功后退出系统之前，会在系统制造一些后门，方便自己下次入侵。以下设计后门的方法，错误的是( )。

A.放宽文件许可权 B.安装嗅探器 C.修改管理员口令 D.建立隐蔽信道

【答案】C

【解析】一次成功的入侵一般要耗费攻击者大量的时间与精力，所以精于算计的攻击者在退出系统之前会在系统中制造一些后门，以方便自己下次入侵，攻击者设计后门时一般会思考以下方法：放宽文件许可权；·重新开放不安全的服务，如REXD、TFTP等；修改系统的配置，如系统启动文件、网络服务配置文件等；替换系统本身的共享库文件；修改系统的源代码，安装各种特洛伊木马；·安装嗅探器；建立隐蔽信道。

8、从对信息的破坏性上看，网络攻击可以分为被动攻击和主动攻击，以下属于被动攻击的是( )。

A.拒绝服务 B.窃听 C.伪造 D.中间人攻击

【答案】B

【解析】被动攻击是指攻击者从网络上窃听他人的通信内容，一般进行流量分析，窃听、截获就是典型的被动攻击。主动攻击对信息进行篡改、伪造。主动攻击采用的手段是伪装、重放、篡改、拒绝服务等。

9、端口扫描的目的是找出目标系统上提供的服务列表。根据扫描利用的技术不同，端口扫描可以分为完全连接扫描、半连接扫描、SYN扫描、FIN扫描、隐蔽扫描、ACK扫描、NULL扫描等类型。其中，在源主机和目的主机的三次握手连接过程中，只完成前两次，不建立一次完整连接的扫描属于( )

A.FIN扫描 B.半连接扫描 C.SYN扫描 D.完全连接扫描

【答案】B

【解析】半连接扫描：在源主机和目的主机的三次握手连接过程中，只完成前两次，不建立一次完整连接的扫描。

10、通过假冒可信方提供网上服务，以欺骗手段获取敏感个人信息的攻击方式，被称为( )。

A.网络钓鱼 B.拒绝服务 C.网络窃听 D.会话劫持

【答案】A

【解析】网络钓鱼(Phishing)是一种通过假冒可信方(知名银行、在线零售商和信用卡公司等可信的品牌)提供网上服务，以欺骗手段获取敏感个人信息(如口令、信用卡详细信息等)的攻击方式。

11、拒绝服务攻击是指攻击者利用系统的缺陷，执行一些恶意的操作，使得合法的系统用户不能及时得到应得的服务或系统资源。常见的拒绝服务攻击有同步包风暴、UDP洪水、垃圾邮件、泪滴攻击、Surf攻击、分布式拒绝服务攻击等类型。其中，能够通过在IP数据包中加入过多或不必要的偏移量字段，使计算机系统重组错乱的是( )。

A.同步包风暴 B.UDP洪水 C.垃圾邮件 D.泪滴攻击

【答案】D

【解析】泪滴攻击（Teardrop Attack）：通过修改IP数据包中的偏移量字段，使系统重组错乱，导致服务中断。

12、1997年NIST发布了征集AES算法的活动，确定选择Rijndael作为AES算法，该算法支持的密钥长度不包括( )。

A.128比特 B.192比特 C.256比特 D.512比特

【答案】D

【解析】在AES标准规范中，分组长度只能是128位，密钥的长度可以使用128位、192位或者258位。密钥的长度不同，推荐加密轮数也不同，列如AES-128也就是密钥的长度为128位，加密轮数为10轮，AES-192为12轮，AES-256为14轮。

13、为了增强DES算法的安全性，NIST于1999年发布了三重DES算法–TDEA。设DES Ek()和DES Dk()分别表明以k为密钥的DES算法的加密和解密过程，P和O分别表明明文和密文消息，则TDEA算法的加密过程正确的是( )。

A. P → DES EK1 → DES EK2 → DES EK3 →O

B. P → DES DK1 → DES DK2 → DES DK3 →O

C. P → DES EK1 → DES DK2 → DES EK3 →O

D. P → DES DK1 → DES EK2 → DES DK3 →O

【答案】C

【解析】NIST于1999年10月25日采用三重DES（TDEA）作为过渡期间的国家标准，以增强DES的安全性，并开始征集AES算法，其中TDEA算法的工作机制是使用DES对明文进行“加密→解密→加密”操作，即对DES加密后的密文进行解密再加密，而解密则相反。TDEA的加密过程：P → DES EK1 → DES DK2 → DES EK3 →O。TDEA的解密过程：P → DES DK1 → DES EK2 → DES DK3 →O

14、以下关于数字证书的叙述中，错误的是( )。

A.数字证书由RA签发 B.数字证书包含持有者的签名算法标识

C.数字证书的有效性可以通过验证持有者的签名验证 D.数字证书包含公开密钥拥有者信息

【答案】A

【解析】CA提供数字证书的申请、审核、签发、查询、发布以及证书吊销等生命周期的管理服务。

15、SSH是基于公钥的安全应用协议，可以实现加密、认证、完整性检验等多种网络安全服务。SSH由( )3个子协议组成。

A.SSH传输层协议、SSH用户认证协议和SSH连接协议

B. SSH网络层协议、SSH用户认证协议和SSH连接协议

C.SSH传输层协议、SSH密钥交换协议和SSH用户认证协议

D.SSH网络层协议、SSH密钥交换协议和SSH用户认证协议

【答案】A

【解析】SSH基于公钥的安全应用协议，由SSH传输层协议、SSH用户认证协议和SSH连接协议三个子协议组成，各协议分工合作，实现加密认证、完整性检查等多种安全服务。

16、针对电子邮件的安全问题，人们利用PGP(Pretty Good Privacy)来保护电子邮件的安全。以下有关PGP的表述，错误的是( )。

A.PGP的密钥管理采用RSA B.PGP的完整性检测采用MD5

C.PGP的数字签名采用RSA D.PGP的数据加密采用DES

【答案】D

【解析】PGP是一种加密软件，应用了多种密码技术，其中密钥管理算法选用RSA、数据加密算法IDEA、完整性检测和数字签名算法，采用了MD5和RSA以及随机数生成器，PGP将这些密码技术有机集成在一起利用对称和非对称加密算法的各自优点，实现了一个比较完善的密码系统。

17、PDRR信息模型改善了传统的只有保护的单一安全防御思想，强调信息安全保障的四个重大环节:保护(Protection)、检测(Detection)、恢复(Recovery)、响应(Response)。其中，信息隐藏是属于（ ）的内容。

A. 保护 B. 检测 C. 恢复 D. 响应

【答案】A

【解析】PDRR改善了传统的只有保护的单一安全防御思想，强调信息安全保障的四个重大环节。保护(Protection)的内容主要有加密机制、数据签名机制、访问控制机制、认证机制、信息隐藏、防火墙技术等。检测(Detection)的内容主要有入侵检测、系统脆弱性检测数据完整性检测、攻击性检测等。恢复(Recovery)的内容主要有数据备份、数据修复、系统恢复等。响应(Response)的内容主要有应急策略、应急机制、应急手段、入侵过程分析及安全状态评估等。

18、BLP 机密性模型用于防止非授权信息的扩散，从而保证系统的安全。其中主体只能向下读，不能向上读的特性被称为（ ）。

A.*特性 B. 调用特性 C. 简单安全特性 D. 单向性

【答案】C

【解析】BLP机密性模型包含简单安全特性规则和*特性规则。简单安全特性规则：主体只能向下读，不能上读。*特性规则：主体只能向上写，不能向下写。

19.、依据《信息安全技术网络安全等级保护测评要求》的规定，定级对象的安全保护分为五个等级，其中第三级称为（ ）。

A. 系统审计保护级 B. 安全标记保护级 C. 结构化保护级 D. 访问验证保护级

【答案】B

【解析】依据《信息安全技术网络安全等级保护测评要求》等技术标准，定期对定级对象的安全等级状况开展等级测评。其中，定级对象的安全保护等级分为五个，即第一级(用户自主保护级)、第二级(系统保护审计级)、第三级(安全标记保护级)、第四级(结构化保护级)、第五级(访问验证保护级)。

20、美国国家标准与技术研究院 NIST 发布了《提升关键基础设施网络安全的框架》，该框架定义了五种核心功能:识别(Identify)、保护(Protect)、检测(Detect)、响应(Respond)、恢复(Recover)，每个功能对应具体的子类。其中，访问控制子类属于（ ）功能。

A. 识别 B. 保护 C. 检测 D. 响应

【答案】B

【解析】保护（Protect）是指制定和实施合适的安全措施，确保能够提供关键基础设施服务，类型包括：访问控制、意识和培训、数据安全、信息保护流程和规程、维护、保护技术等。

21、物理安全是网络信息系统安全运行、可信控制的基础。物理安全威胁一般分为自然安全威胁和人为安全威胁。以下属于人为安全威胁的是（ ）。

A. 地震 B. 火灾 C. 盗窃 D. 雷电

【答案】C

【解析】物理安全威胁一般分为自然安全威胁和人为安全威胁。自然安全威胁包括地震、洪水、火灾、鼠害、雷电；人为安全威胁包括盗窃、爆炸、毁坏、硬件攻击。

22、互联网数据中心(IDC)是一类向用户提供资源出租基本业务和有关附加业务、在线提供 IT 应用平台能力租用服务和应用软件租用服务的数据中心。《互联网数据中心工程技术规范 (GB51195-2016)》规定 IDC 机房分为 R1、R2、R3 三个级别。其中，R2 级 IDC 机房的机房基础设施和网络系统应具备冗余能力，机房基础设施和网络系统可支撑的 IDC 业务的可用性不应小于（ ）。

A. 95% B. 99% C. 99.5% D. 99.9%

【答案】D

【解析】《互联网数据中心工程技术规范(GB51195-2016)》规定IDC机房分成RI、R2、R3三个级别。其中，各级IDC机房要求如下：R1级IDC机房的机房基础设施和网络系统的主要部分应具备必定的冗余能力，机房基础设施和网络系统可支撑的IDC业务的可用性不应小于99.5%；R2级IDC机房的机房基础设施和网络系统应具备冗余能力，机房基础设施和网络系统可支撑的IDC业务的可用性不应小于99.9%；R3级IDC机房的机房基础设施和网络系统应具备容错能力，机房基础设施和网络系统可支撑的1DC业务的可用性不应小于99.99%。

23、目前，计算机及网络系统中常用的身份认证技术主要有：口令认证技术、智能卡技术、基于生物特征的认证技术等。其中不属于生物特征的是（ ）。

A. 数字证书 B. 指纹 C. 虹膜 D. DNA

【答案】A

【解析】基于生物特征认证就是利用人类生物特征来进行验证，目前指纹、人脸、视网膜、语音、DNA等生物特征信息可用来进行身份认证。

24、Kerberos 是一个网络认证协议，其目标是使用密钥加密为客户端/服务器应用程序提供强身份认证。以下关于 Kerberos 的说法中，错误的是（ ）。

A. 一般将认证服务器 AS 和票据发放服务器 TGS 统称为 KDC
B. 票据(Ticket)主要包括客户和目的服务方 Principal、客户方 IP 地址、时间戳、Ticket 生存期和会话密钥
C. Kerberos 利用对称密码技术，使用可信第三方为应用服务器提供认证服务
D. 认证服务器 AS 为申请服务的用户授予票据

【答案】D

【解析】Kerberos系统涉及四个基本实体：(1)Kerberos客户机，用户用来访问服务器设备(2)AS(认证服务器)，识别用户身份并提供TGS会话密钥；(3)TGS(票据发放服务器)，为申请服务的用户授予票据(Ticket)；(4)应用服务器，为用户提供服务的设备或系统。其中，一般将AS和TGS统称为KDC。票据(Ticket)是用于安全的传递用户身份所需要的信息的集合，主要包括客户方Principal、目的服务方Principal、客户方IP地址、时间戳(分发该Ticket的时间)、Ticket的生存期，以及会话密钥等内容。

25、一个 Kerberos 系统涉及四个基本实体: Kerberos 客户机、认证服务器 AS、票据发放服务器 TGS、应用服务器。其中，实现识别用户身份和分配会话密钥功能的是（ ）。

A. Kerberos 客户机 B. 认证服务器 AS C. 票据发放服务器 TGS D. 应用服务器

【答案】B

【解析】AS(认证服务器)，识别用户身份并提供TGS会话密钥。

26、访问控制机制是由一组安全机制构成，可以抽象为一个简单模型，以下不属于访问控制模型要素的是( )。

A. 主体 B. 客体 C. 审计库 D. 协议

【答案】D

【解析】访问控制机制的核心要素包括：

• 主体（发起访问请求的用户或进程）
• 客体（被访问的资源或数据）
• 访问控制数据库（记录主体对客体的权限）
• 审计库（记录访问操作的历史和结果）

协议一般指网络通信规则，不属于访问控制机制内部的组成部分，而是网络层的安全机制。

27、自主访问控制是指客体的所有者按照自己的安全策略授予系统中的其他用户对其的访问权。自主访问控制的实现方法包括基于行的自主访问控制和基于列的自主访问控制两大类。以下属于基于列的自主访问控制实现方法的是( )。

A. 访问控制表 B. 能力表 C. 前缀表 D. 口令
【答案】A

【解析】基于行的自主访问控制方法是在每个主体上都附加一个该主体可访问的客体的明细表，根据表中信息的不同又可分成三种形式，即能力表、前缀表和口令；基于列的自主访问控制机制是在每个客体上都附加一个可访问它的主体的明细表，它有两种形式，即保护位和访问控制表。

28、访问控制规则是访问约束条件集，是访问控制策略的具体实现和表现形式。目前常见的访问控制规则有：基于角色的访问控制规则、基于时间的访问控制规则、基于异常事件的访问控制规则、基于地址的访问控制规则等。当系统中的用户登录出现三次失败后，系统在一段时间内冻结账户的规则属于( )。

A. 基于角色的访问控制规则 B. 基于时间的访问控制规则

C. 基于异常事件的访问控制规则 D. 基于地址的访问控制规则

【答案】C

【解析】基于异常事件的访问控制规则利用异常事件来触发控制操作，以避免危害系统的行为进步升级。例如，当系统中的用户登录出现三次失败后，系统会在一段时间内冻结账户。

29、UNIX 系统中超级用户的特权会分解为若干个特权子集，分别赋给不同的管理员，使管理员只能具有完成其任务所需的权限，该访问控制的安全管理被称为( )。

A. 最小特权管理 B. 最小泄漏管理 C. 职责分离管理 D. 多级安全管理

【答案】A

【解析】特权是用户超越系统访问控制所拥有的权限，特权的管理应按最小化机制，防止特权误用。最小特权原则指系统中每一个主体只能拥有完成任务所必要的权限集。特权的分配原则是“按需使用”，这条原则保证系统不会将权限过多地分配给用户，从而可以限制特权造成的危害。题干就是最小特权管理的典型应用。

30、防火墙是由一些软件、硬件组合而成的网络访问控制器，它根据必定的安全规则来控制流过防火墙的数据包，起到网络安全屏障的作用。以下关于防火墙的叙述中错误的是( )。

A. 防火墙能够屏蔽被保护网络内部的信息、拓扑结构和运行状况
B. 白名单策略禁止与安全规则相冲突的数据包通过防火墙，其他数据包都允许
C. 防火墙可以控制网络带宽的分配使用
D. 防火墙无法有效防范内部威胁

【答案】B

【解析】防火墙的安全策略有两种类型：(1)白名单策略：只允许符合安全规则的包通过防火墙，其他通信包禁止；(2)黑名单策略：禁止与安全规则相冲突的包通过防火墙，其他通信包都允许。

31、Cisco IOS 的包过滤防火墙有两种访问规则形式：标准 IP 访问表和扩展 IP 访问表。
标准 IP 访问控制规则的格式如下：
access-list list-number[deny/permit]source[source-wildcard][log]
扩展 IP 访问控制规则的格式如下：
access-list list-number {deny/permit} protocol source source-wildcard source-qualifiers destination destination-wildcard destination-qualifiers [log/log-input]
针对标准 IP 访问表和扩展 IP 访问表，以下叙述中，错误的是（ ）。

A. 标准 IP 访问控制规则的 list-number 规定为 1~99
B. permit 表明若经过 Cisco IOS 过滤器的包条件匹配，则允许该包通过
C. source 表明来源的 IP 地址
D. source-wildcard 表明发送数据包的主机地址的通配符掩码，其中 0 表明“忽略”

【答案】D

【解析】source-wildcard表明发送数据包的主机IP地址的通配符掩码，其中1代表忽略，0代表需要匹配，any代表任何来源的IP包。

32、网络地址转换简称 NAT，NAT 技术主要是为了解决网络公开地址不足而出现的。网络地址转换的实现方式中，把内部地址映射到外部网络的一个 IP 地址的不同端口的实现方式被称为（ ）。

A. 静态 NAT B. NAT 池 C. 端口 NAT D. 应用服务代理

【答案】C

【解析】端口NAT（PAT，或称NAT重载）：它将多个内部私有IP地址映射到一个公有IP地址的不同端口上，从而极大地节省了公有IP地址资源。

33、用户在实际应用中一般将入侵检测系统放置在防火墙内部，这样可以（ ）。

A. 增强防火墙的安全性 B. 扩大检测范围 C. 提升检测效率 D. 降低入侵检测系统的误报率

【答案】C

【解析】将入侵检测系统置于防火墙内部，使得许多对网络的攻击第一会被防火墙过滤，也就是防火墙是首当其冲的，从而也就减少了对内部入侵检测系统的干扰，提高入侵检测系统的准确率，但是其检测能力不会变化。

34、虚拟专用网 VPN 技术把需要经过公共网络传递的报文加密处理后由公共网络发送到目的地。以下不属于 VPN 安全服务的是（ ）。

A. 合规性服务 B. 完整性服务 C. 保密性服务 D. 认证服务

【答案】A

【解析】VPN（虚拟专用网）核心的安全服务包括：

• 保密性服务：通过加密确保数据不被窃听。
• 完整性服务：确保数据在传输过程中未被篡改。
• 认证服务：确认通信双方的身份。

35、按照 VPN 在 TCP/IP 协议层的实现方式，可以将其分为链路层 VPN、网络层 VPN、传输层 VPN。以下 VPN 实现方式中，属于网络层 VPN 的是（ ）。

A. ATM B. 隧道技术 C. SSL D. 多协议标签交换 MPLS

【答案】B

【解析】在网络技术中，VPN 有多种实现方式。隧道技术是通过在公共网络上建立逻辑隧道来实现网络层 VPN 的。

36、IPSec 是 Internet Protocol Security 的缩写，以下关于 IPSec 协议的叙述中，错误的是（ ）。

A. IP AH 的作用是保证 IP 包的完整性和提供数据源认证
B. IP AH 提供数据包的机密性服务
C. IP ESP 的作用是保证 IP 包的保密性
D. IP Sec 协议是完整性验证机制

【答案】B

【解析】AH用于数据完整性认证和数据认证，不提供数据加密服务。

37、SSL 是一种用于构建客户端和服务器端之间安全通道的安全协议，包含：握手协议、密码规格变更协议、记录协议和报警协议。其中用于传输数据的分段、压缩及解压缩、加密及解密、完整性校验的是（ ）。

A. 握手协议 B. 密码规格变更协议 C. 记录协议 D. 报警协议

【答案】C

【解析】SSL/TLS协议的子协议分工如下：

• 握手协议：负责协商加密算法和建立安全参数。
• 密码规格变更协议：通知对方后续记录将使用新协商的加密套件。
• 记录协议：是工作的核心，负责对上层数据执行分段、压缩、加密、添加MAC（完整性校验） 等操作，然后传输。
• 报警协议：用于传递警告或错误信息。

38、IPSec VPN 的功能不包括（ ）。

A. 数据包过滤 B. 密钥协商 C. 安全报文封装 D. 身份鉴别

【答案】A

【解析】IPSec VPN的核心功能包括：

• 安全关联（SA）和密钥协商（通过IKE协议）
• 身份鉴别
• 安全报文封装（通过AH或ESP协议）

39、入侵检测模型 CIDF 认为入侵检测系统由事件产生器、事件分析器、响应单元和事件数据库 4 个部分构成，其中分析所得的数据，并产生分析结果的是（ ）。

A. 事件产生器 B. 事件分析器 C. 响应单元 D. 事件数据库

【答案】B

【解析】在CIDF模型中：

• 事件产生器：负责从网络或主机收集原始数据。
• 事件分析器：接收数据，并利用各种分析技术（如误用检测、异常检测）分析数据，产生分析结果（即判断是否为入侵）。
• 响应单元：根据分析结果做出反应（如报警、阻断连接）。
• 事件数据库：存储各种中间和最终数据。

40、误用入侵检测一般称为基于特征的入侵检测方法，是指根据已知的入侵模式检测入侵行为。常见的误用检测方法包括：基于条件概率的误用检测方法、基于状态迁移的误用检测方法、基于键盘监控的误用检测方法、基于规则的误用检测方法。其中 Snort 入侵检测系统属于（ ）。

A. 基于条件概率的误用检测方法 B. 基于状态迁移的误用检测方法
C. 基于键盘监控的误用检测方法 D. 基于规则的误用检测方法

【答案】D

【解析】Snort 是一款著名的开源入侵检测/防御系统。它的核心工作原理是使用一个庞大的规则库来匹配网络数据包。每条规则都描述了一种已知攻击或恶意活动的特征（模式）。当数据包与某条规则匹配时，Snort 就会触发警报或采取行动。这种通过预定义规则集来识别入侵的方法，正是基于规则的误用检测的典型实现。

41、根据入侵检测系统的检测数据来源和它的安全作用范围，可以将其分为基于主机的入侵检测系统 HIDS、基于网络的入侵检测系统 NIDS 和分布式入侵检测系统 DIDS 三种。以下软件不属于基于主机的入侵检测系统 HIDS 的是（ ）。

A. Cisco Secure ID B. SWATCH C. Tripwire D. 网页防篡改系统

【答案】A

【解析】基于主机的入侵检测系统 (HIDS)：安装在受保护的主机内部，监控该主机的系统日志、文件完整性、进程活动等。SWATCH（一个日志监控和报警工具）、Tripwire（一个文件完整性检查工具）和网页防篡改系统（保护网站文件）都主要依赖于对主机内部状态的监控，因此属于HIDS范畴。基于网络的入侵检测系统 (NIDS)：部署在网络关键点，通过捕获和分析网络流量来检测攻击。Cisco Secure ID（现已发展为其他产品）是思科公司的网络安全管理平台，其核心检测能力依赖于部署在网络中的传感器，用于分析网络数据包，因此它本质上是一个NIDS，而不是HIDS。

42、根据入侵检测应用对象，常见的产品类型有 WebIDS、数据库 IDS、工控 IDS 等。以下攻击中，不宜采用数据库 IDS 检测的是（ ）。

A. SQL 注入攻击 B. 数据库系统口令攻击 C. 跨站点脚本攻击 D. 数据库漏洞利用攻击

【答案】C

【解析】数据库IDS：专门监控数据库管理系统的活动和查询，用于检测针对数据库的特定攻击，如：SQL注入攻击（直接操作数据库查询）、数据库系统口令攻击（如暴力破解）和数据库漏洞利用攻击。

43、Snort 是典型的网络入侵检测系统，通过获取网络数据包，进行入侵检测形成报警信息。Snort 规则由规则头和规则选项两部分组成。以下内容不属于规则头的是（ ）。

A. 源地址 B. 目的端口号 C. 协议 D. 报警信息

【答案】D

【解析】Snort规则头主要定义了规则的动作（如alert, log, pass）、网络协议（如TCP, UDP, ICMP）、源和目的IP地址及端口，以及流量方向。而报警信息（如msg: “Possible exploit attempt”）是包含在规则选项部分中的，用于在规则触发时描述警报内容。

44、网络物理隔离系统是指通过物理隔离技术，在不同的网络安全区域之间建立一个能够实现物理隔离、信息交换和可信控制的系统，以满足不同安全区域的信息或数据交换。以下有关网络物理隔离系统的叙述中，错误的是（ ）。

A. 使用网间的两个独立主机不存在通信物理连接，主机对网间只有“读”操作
B. 双硬盘隔离系统在使用时必须不断重新启动切换，且不易于统一管理
C. 单向传输部件可以构成可信的单向信道，该信道无任何反馈信息
D. 单点隔离系统主要保护单独的计算机，防止外部直接攻击和干扰

【答案】A

【解析】在网闸技术中，的确 存在物理隔离，即内外网主机之间没有直接的物理连接。但是，数据交换是通过一个被称为“摆渡”的过程实现的，这一般涉及写和读两个步骤：第一，外网主机将数据写入网闸的中间缓存；然后，在控制开关切换后，内网主机从缓存中读取数据。因此，主机对网闸既有“写”操作，也有“读”操作，并非只有“读”操作。

45、网络物理隔离机制中，使用一个具有控制功能的开关读写存储安全设备，通过开关的设置来连接或者切断两个独立主机系统的数据交换，使两个或者两个以上的网络在不连通的情况下，实现它们之间的安全数据交换与共享，该技术被称为（ ）。

A. 双硬盘 B. 信息摆渡 C. 单向传输 D. 网间

【答案】D

【解析】网闸的核心功能通过固态开关读写介质连接两个独立网络系统，实现数据交换，主要功能包括：物理隔离：阻断网络直接连接，防止攻击；协议转换：将原始数据转换为非协议格式（如P2P传输）；安全审查：过滤病毒和恶意代码；单向传输：仅允许数据从可信网络向非可信网络单向流动。 技术特点：两个网络无物理连接，仅通过存储介质读写交换数据；支持自定义数据特征库和传输策略；适用于高保密需求场景，如政府机构、金融系统。

46、网络安全审计是指对网络信息系统的安全相关活动信息进行获取、记录存储、分析和利用的工作。在《计算机信息系统安全保护等级划分准则》(GB17859)中，不要求对删除客体操作具备安全审计功能时的计算机信息系统的安全保护等级属于（ ）。

A. 用户自主保护级 B. 系统审计保护级 C. 安全标记保护级 D. 结构化保护级

【答案】A

【解析】用户自主保护级：是安全保护的最低级别，不要求系统的安全审计功能。

47、操作系统审计一般是对操作系统用户和系统服务进行记录，主要包括用户登录和注销、系统服务启动和关闭、安全事件等。Windows 操作系统记录系统事件的日志中，只允许系统管理员访问的是（ ）。

A. 系统日志 B. 应用程序日志 C. 安全日志 D. 性能日志

【答案】C

【解析】安全日志：记录了诸如登录尝试、权限使用、策略更改等关键安全事件。由于其敏感性，默认情况下只有系统管理员才有权限访问和查看安全日志。

48、网络审计数据涉及系统整体的安全性和用户隐私，以下安全技术措施不属于保护审计数据安全的是（ ）。

A. 系统用户分权管理 B. 审计数据加密 C. 审计数据强制访问 D. 审计数据压缩

【答案】D

【解析】保护审计数据安全的目标是确保其机密性、完整性和可用性。系统用户分权管理：防止未授权用户访问审计数据。审计数据加密：保护审计数据的机密性。审计数据强制访问：通过强制访问控制策略保护数据。审计数据压缩是一种为了节省存储空间或提高传输效率的数据处理技术，其本身并不提供任何安全保护功能，因此不属于保护审计数据的安全措施。

49、以下网络入侵检测不能检测发现的安全威胁是（ ）。

A. 黑客入侵 B. 网络蠕虫 C. 非法访问 D. 系统漏洞

【答案】D

【解析】网络入侵检测系统（NIDS）通过分析网络流量来检测正在发生或已经发生的攻击行为（即动态威胁）。黑客入侵、网络蠕虫、非法访问：这些都是可以通过分析网络数据包中的恶意模式或异常行为被NIDS检测到的攻击行为或安全事件。系统漏洞是系统本身存在的静态安全弱点或缺陷，NIDS无法发现一个系统存在什么漏洞，它的工作是检测利用这些漏洞进行的攻击，发现漏洞是漏洞扫描器的功能。

50、网络信息系统漏洞的存在是网络攻击成功的必要条件之一。以下有关安全事件与漏洞对应关系的叙述中，错误的是（ ）。

A. Internet 蠕虫，利用 Sendmail 及 finger 漏洞
B. 冲击波蠕虫，利用 TCP/IP 协议漏洞
C. Wannacry 勒索病毒，利用 Windows 系统的 SMB 漏洞
D. Slammer 蠕虫，利用微软 MS SQL 数据库系统漏洞

【答案】B

【解析】冲击波蠕虫 (Blaster) 利用的是Windows操作系统DCOM RPC接口中的一个特定缓冲区溢出漏洞（MS03-026），并非利用TCP/IP协议栈本身的根本性漏洞。

51、网络信息系统的漏洞主要来自两个方面：非技术性安全漏洞和技术性安全漏洞。以下属于非技术性安全漏洞来源的是（ ）。

A. 网络安全策略不完善 B. 设计错误 C. 缓冲区溢出 D. 配置错误

【答案】A

【解析】非技术性安全漏洞：主要来源于管理和策略层面的不足。网络安全策略不完善（如缺乏密码策略、没有访问控制规定等）是典型的管理问题，属于非技术性漏洞。

52、以下网络安全漏洞发现工具中，具备网络数据包分析功能的是（ ）。

A. Flawfinder B. Wireshark C. MOPS D. Splint

【答案】B

【解析】Wireshark 是一款著名的网络协议分析器，其核心功能就是捕获和分析网络数据包。Flawfinder 和 Splint 是静态源代码分析工具，用于在代码中查找安全漏洞。MOPS 是一个用于验证程序模型是否符合安全属性的工具。

53、恶意代码能够经过存储介质或网络进行传播，未经授权认证访问或破坏计算机系统。恶意代码的传播方式分为主动传播和被动传播。（ ）属于主动传播的恶意代码。

A. 逻辑炸弹 B. 特洛伊木马 C. 网络蠕虫 D. 计算机病毒

【答案】C

【解析】主动传播：无需用户干预，能够自我复制并主动在网络中搜索和感染其他系统。网络蠕虫是典型的主动传播恶意代码。被动传播：需要依赖用户的某些操作（如运行程序、点击链接、打开文件）才能传播。逻辑炸弹（需特定条件触发）、特洛伊木马（诱骗用户执行）和计算机病毒（一般附着于宿主文件，需要用户运行宿主）都属于被动传播。

54、文件型病毒不能感染的文件类型是（ ）。

A. HTML 型 B. COM 型 C. SYS 型 D. EXE 类型

【答案】A

【解析】HTML 文件是文本格式的标记语言文件，不包含直接可执行的机器代码。传统的文件型病毒无法通过插入代码来感染它。虽然存在利用HTML漏洞的恶意脚本，但这属于网页脚本病毒或跨站脚本的范畴，而非传统意义上的文件型病毒。

55、网络蠕虫利用系统漏洞进行传播。根据网络蠕虫发现易感主机的方式，可将网络蠕虫的传播方法分成三类: 随机扫描、顺序扫描、选择性扫描。以下网络蠕虫中，支持顺序扫描传播策略的是（ ）。

A. Slammer B. Nimda C. Lion Worm D. Blaster

【答案】C

【解析】顺序扫描：从某个起始IP地址开始，按顺序（如逐个IP地址）扫描网络中的主机。Lion Worm 被记载采用了这种策略。

56、（ ）是指攻击者利用入侵手段，将恶意代码植入目标计算机，进而操纵受害机执行恶意活动。

A. ARP 欺骗 B. 网络钓鱼 C. 僵尸网络 D. 特洛伊木马

【答案】C

【解析】僵尸网络是指攻击者通过恶意软件（常被称为僵尸程序）感染大量计算机，形成一个受控网络（Botnet），攻击者可以操纵这些“僵尸”计算机执行DDoS攻击、发送垃圾邮件等恶意活动。

57、拒绝服务攻击是指攻击者利用系统的缺陷，执行一些恶意操作，使得合法用户不能及时得到应得的服务或者系统资源。常见的拒绝服务攻击包括：UDP 风暴、SYN Flood、ICMP 风暴、Smurf 攻击等。其中，利用 TCP 协议中的三次握手过程，通过攻击使大量第三次握手过程无法完成而实施拒绝服务攻击的是（ ）。

A. UDP 风暴 B. SYN Flood C. ICMP 风暴 D. Smurf 攻击

【答案】B

【解析】SYN Flood攻击 是一种典型的DoS攻击。攻击者向服务器发送大量的TCP连接请求（SYN包），但不完成第三次握手（不发送ACK包）。这会导致服务器维护大量半开连接队列，耗尽资源，从而使合法用户无法建立新的TCP连接。

58、如果某数据库中数据记录的规范为<姓名，出生日期，性别，电话>，其中一条数据记录为: <张三，1965 年 4 月 15 日，男，12345678>。为了保护用户隐私，对其进行隐私保护处理，处理后的数据记录为: <张*，1960 — 1970 年生，男，1234****>，这种隐私保护措施被称为（ ）。

A. 泛化 B. 抑制 C. 扰动 D. 置换

【答案】A

【解析】泛化用更宽泛、更模糊的值替换原始数据中的准确值，以降低标识性。题目中将准确的出生日期“1965年4月15日”替换为范围“1960—1970年生”，将完整的电话号码“12345678”部分隐藏为“1234****”，都是典型的泛化操作。

59、信息安全风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量，是对威胁、脆弱点以及由此带来的风险大小的评估。一般将信息安全风险评估实施划分为评估准备、风险要素识别、风险分析和风险处置 4 个阶段。其中对评估活动中的各类关键要素资产、威胁、脆弱性、安全措施进行识别和赋值的过程属于（ ）阶段。

A. 评估准备 B. 风险要素识别 C. 风险分析 D. 风险处置

【答案】B

【解析】风险要素识别：此阶段的核心任务就是识别并赋值（即确定重大性或等级）评估所涉及的关键要素，包括资产、威胁、脆弱性和已有的安全措施。

60、计算机取证主要围绕电子证据进行，电子证据必须是可信、准确、完整、符合法律法规的。电子证据内眼不能够直接可见，必须借助适当的工具的性质，是指电子证据的（ ）。

A. 高科技性 B. 易破坏性 C. 无形性 D. 机密性

【答案】C

【解析】电子证据具有多种特性：

• 无形性：电子证据以二进制数据的形式存储于磁性或电子介质中，其本身是肉眼不可直接感知和识别的，必须通过计算机、专业软件等特定工具才能转化为可被人理解的形式（如文本、图像）。
• 高科技性：涉及证据的收集、固定、分析等环节技术含量高。
• 易破坏性：电子证据容易被修改、删除且不留痕迹。
• 机密性：可能涉及个人隐私或商业机密。

61、按照网络安全测评的实施方式，测评主要包括安全管理检测、安全功能检测、代码安全审计、安全渗透、信息系统攻击测试等。其中《信息安全技术信息系统等级保护安全设计技术要求》（GB/T25070-2019)等国家标准是（ ）的主要依据。

A. 安全管理检测 B. 信息系统攻击测试 C. 代码安全审计 D. 安全功能检测

【答案】D

【解析】《信息安全技术 信息系统等级保护安全设计技术要求》（GB/T25070-2019）这个标准的核心内容是规定了不同安全保护等级的信息系统应具备的安全技术要求和设计框架。这些技术要求具体体目前系统的各种安全功能上（如身份鉴别、访问控制、安全审计等）。因此，该标准是进行安全功能检测，即验证系统是否实现了标准所要求的安全功能的主要依据。

62、 网络安全渗透测试的过程可以分为委托受理、准备、实施、综合评估和结题5个阶段，其中确认渗透时间，执行渗透方案属于（ ）阶段。

A. 委托受理 B. 准备 C. 实施 D. 综合评估

【答案】C

【解析】网络安全渗透测试的五个阶段为：委托受理：双方确认测试需求、目标范围及合规性，签订协议；准备阶段：制定测试方案，包括漏洞扫描、渗透策略等，并获取授权；实施阶段：执行渗透测试，利用漏洞进行攻击，并记录过程；综合评估：对测试结果进行风险分析，形成评估报告：结题阶段：提交报告并给出整改提议，完成后续跟踪。

63、日志文件是纯文本文件，日志文件的每一行表明一个消息，由（ ）4个域的固定格式组成。

A. 时间标签、主机名、生成消息的子系统名称、消息
B. 主机名、生成消息的子系统名称、消息、备注
C. 时间标签、主机名、消息、备注
D. 时间标签、主机名、用户名、消息

【答案】A

【解析】这是系统日志（尤其是Syslog等标准日志）常见的固定格式。一条日志记录一般包含：时间标签：事件发生的时间；主机名：产生该日志消息的主机标识；生成消息的子系统名称（或进程/服务名）：指明是系统中哪个组件产生的消息；消息：事件的具体内容。

64、在 Windows 系统中需要配置的安全策略主要有账户策略、审计策略、远程访问、文件共享等。以下不属于配置账户策略的是（ ）。

A. 密码复杂度要求 B. 账户锁定阈值 C. 日志审计 D. 账户锁定计数器

【答案】C

【解析】日志审计属于审计策略的配置范畴，位于“计算机配置 -> Windows设置 -> 安全设置 -> 本地策略 -> 审计策略”。

65、随着数据库所处的环境日益开放，所面临的安全威胁也日益增多，其中攻击者假冒用户身份获取数据库系统访问权限的威胁属于（ ）。

A. 旁路控制 B. 隐蔽信道 C. 口令破解 D. 伪装

【答案】D

【解析】伪装是指攻击者冒充合法用户的身份以获取未经授权的访问权限。

66、多数数据库系统有公开的默认账号和默认密码，系统密码有些就存储在操作系统中的普通文本文件中，如：Oracle 数据库的内部密码就存储在（ ）文件中。

A. listener.ora B. strXXX.cmd C. key.ora D. paswrD.cmd

【答案】B

【解析】在Oracle数据库中，内部密码（用于数据库实例启动等内部认证）传统上存储在名为 orapw<ORACLE_SID> 的文件中。在某些上下文或旧版本中，这个文件可能通过脚本（如 strXXX.cmd，其中XXX可能是SID）被引用或生成。

67、数据库系统是一个复杂性高的基础性软件，其安全机制主要有标识与鉴别访问控制、安全审计、数据加密、安全加固、安全管理等，其中（ ）可以实现安全角色配置、安全功能管理。

A. 访问控制 B. 安全审计 C. 安全加固 D. 安全管理

【答案】D

【解析】数据库安全机制各有分工：

• 访问控制：决定用户对数据对象能执行什么操作。
• 安全审计：记录和监控安全相关事件。
• 安全加固：通过配置和补丁提升系统自身安全性。
• 安全管理：是一个综合性的过程，包括对安全角色、用户权限、安全策略、安全功能（如审计开关、加密设置）等进行配置和管理。

68、交换机是构成网络的基础设备，主要功能是负责网络通信数据包的交换传输。其中工作于 OSI 的数据链路层，能够识别数据中的 MAC，并根据 MAC 地址选择转发端口的是（ ）。

A. 第一代交换机 B. 第二代交换机 C. 第三代交换机 D. 第四代交换机

【答案】B

【解析】OSI 模型中，第二代以太网交换机主要工作在数据链路层。数据链路层负责将物理层的比特流组合成帧，并进行差错控制和流量控制等。交换机在这一层实现数据包的交换传输，从而提高网络通信效率。

69、以下不属于网络设备提供的 SNMP 访问控制措施的是（ ）。

A. SNMP 权限分级机制 B. 限制 SNMP 访问的 IP 地址 C. SNMP 访问认证 D. 关闭 SNMP 访问

【答案】D

【解析】关闭SNMP访问是一种彻底禁用该服务的安全管理操作，它本身并不是一种对访问进行控制的机制，而是撤销了访问的可能性。

70、网络设备的常见漏洞包括拒绝服务漏洞、旁路、代码执行、溢出、内存破坏等。CVE-2000-0945 漏洞显示思科 Catalyst 3500 XL 交换机的 Web 配置接口允许远程攻击者不需要认证就执行命令，该漏洞属于（ ）。

A. 拒绝服务漏洞 B. 旁路 C. 代码执行 D. 内存破坏

【答案】C

【解析】代码执行：漏洞允许攻击者在目标系统上执行任意的命令或代码。题目描述“允许远程攻击者不需要认证就执行命令”正是代码执行漏洞的典型特征。

71-75、Perhaps the most obvious difference between private-key andpublic-key encryption is that the former assumes complete secrecyof all cryptographic keys, whereas the latter requires secrecy foronly the private key.Although this may seem like a minor distinction ,the ramifications are huge: in the private-key setting thecommunicating parties must somehow be able to share the (71) key without allowing any third party to learn it, whereas in the public-key setting the (72) key can be sent from one party to the other overa public channel without compromising security.For partiesshouting across a room or, more realistically , communicating overa public network like a phone line or the nternet, public-keyencryption is the only option.

Another important distinction is that private-key encryption schemesuse the (73) key for both encryption and decryption, whereas publickey encryption schemes use (74) keys for each operation.That is public-key encryption is inherently asymmetric.This asymmetry in thepublic-key setting means that the roles of sender and receiver are notinterchangeable as they are in the private-key setting; a single key-pair allows communication in one direction only.(Bidirectionalcommunication can be achieved in a number of ways; the point is thata single invocation of a public-key encryption scheme forces adistinction between one user who acts as a receiver and other userswho act as senders.)ln addition, a single instance of a (75) encryptionscheme enables multiple senders to communicate privately with asingle receiver,in contrast to the private-key case where a secret keyshared between two parties enables private communication onlybetween those two parties.

A.main B.same C.public D.secret

A.stream B.different C.public D.secret

A.different B.same C.public D.private

A.different B.same C.public D.private

A.private-key B.public-key C.stream D.Hash

【答案】D C B A B

【解析】私钥加密与公钥加密最明显的区别或许在于：前者要求所有密码密钥完全保密，而后者仅需对私钥保密。 这看似细微的差别却带来深远影响：在私钥环境中，通信双方必须在不被第三方知晓的前提下共享（密钥）；而在公钥环境中，（公钥）可通过公共信道传输且不危及安全。对于隔空对话的场景，或更现实地说，通过电话线或互联网等公共网络通信的场景，公钥加密是唯一选择。

另一重大区别在于：私钥加密方案使用（一样的） 密钥执行加密和解密，而公钥加密方案使用(不同的) 密钥完成相应操作。 这种公钥加密固有的非对称性，意味着发送方与接收方的角色不可像私钥加密那样互换——单个密钥对仅支持单向通信（双向通信可通过多种方式实现，关键在于单次公钥加密过程会明确区分作为接收方的用户与作为发送方的其他用户）。此外，(公钥) 加密方案的单个实例可实现多个发送方与单个接收方的私密通信，而私钥加密中共享密钥仅能保证特定两方之间的私密通信。

试题一 阅读下列说明和图，回答问题1至问题5，将解答填入答题纸的对应栏内。

【说明】已知某公司网络环境结构主要由三个部分组成，分别是DMZ区、内网办公区和生产区，其拓扑结构如图1-1所示。信息安全部的王工正在按照等级保护2.0的要求对部分业务系统开展安全配置。图1-1当中，网站服务器的IP地址是192.168.70.140，数据库服务器的IP地址是192.168.70.141，信息安全部计算机所在网段为192.168.11.1/24，王所使用的办公电脑IP地址为192.168.11.2。

【问题1】为了防止生产网受到外部的网络安全威胁，安全策略要求生产网和其他网之间部署安全隔离装置，隔离强度达到接近物理隔离。请问图中X最有可能代表的安全设备是什么?

【问题2】防火墙是网络安全区域边界保护的重大技术，防火墙防御体系结构主要有基于双宿主主机防火墙、基于代理型防火墙和基于屏蔽子网的防火墙。图1-1拓扑图中的防火墙布局属于哪种体系结构类型?

【问题3】一般网络安全需要建立四道防线，第一道是保护，阻止网络入侵；第二道是监测，及时发现入侵和破坏；第三道是响应，攻击发生时确保网络打不垮；第四道是恢复，使网络在遭受攻击时能以最快速度起死回生。请问拓扑图1-1中防火墙1属于第几道防线?

【问题4】图1-1中防火墙1和防火墙2都采用Ubuntu系统自带的iptables防火墙，其默认的过滤规则如图1-2所示。

(1) 请说明上述防火墙采取的是白名单还是黑名单安全策略。

(2) 图 1-2 显示的是iptables哪个表的信息，请写出表名。

(3) 如果要设置iptables防火墙默认不允许任何数据包进入，请写出相应命令。

【问题5】DMZ区的网站服务器是允许互联网进行访问的，为了实现这个目标，王工需要对防火墙1进行有效配置。同时王工还需要通过防火墙2对网站服务器和数据库服务器进行日常运维。

(1) 防火墙1应该允许哪些端口通过？

(2) 请编写防火墙1上实现互联网只能访问网站服务器的iptables过滤规则。

(3) 请写出王工电脑的子网掩码。

(4) 为了使王工能通过SSH协议远程运维DMZ区中的服务器，请编写防火墙2的iptables过滤规则。

【答案】

【问题1】网闸

【问题2】基于屏蔽子网的防火墙

【问题3】第一道防线

【问题4】（1）黑名单（2）Filter（3）iptables -P FORWARD DROP

【问题5】（1）80和443

（2）iptables -A FORWARD -d 192.168.70.140/24 -p tcp –dport 80 -j ACCEPT

iptables -A FORWARD -d 192.168.70.140/24 -p tcp –dport 443 -j ACCEPT

iptables -P FORWARD DROP

（3）255.255.255.0

（4）iptables -A FORWARD -s 192.168.11.2 -d 192.168.70.140/24 -p tcp –dport 22 -j ACCEPT

iptables -A FORWARD -s 192.168.70.140/24 -d 192.168.11.2 -p tcp –sport 22 -j ACCEPT

试题二 阅读下列说明和图，回答问题1至问题5，将解答填入答题纸的对应栏内。

【说明】Linux系统中所有内容都是以文件的形式保存和管理的，即一切皆文件。普通文本、音视频、二进制程序是文件，目录是文件，硬件设备（键盘、监视器、硬盘、打印机）是文件，就连网络套接字等也都是文件。在Linux Ubuntu系统下执行ls -l命令后显示的结果如图2-1所示。

【问题1】请问执行上述命令的用户是普通用户还是超级用户？

【问题2】(1) 请给出图 2-1 中属于普通文件的文件名。

(2) 请给出图 2-1 中的目录文件名。

(3) 请给出图 2-1 中的符号链接文件名。

【问题3】符号链接作为Linux系统中的一种文件类型，它指向计算机的另一个文件或文件夹。符号链接类似于Windows中的快捷方式。如果要在当前目录下，创建图2-1中所示的符号链接，请给出相应命令。

【问题4】当源文件（或目录）被移动或者被删除时，指向它的符号链接就会失效。

(1) 请给出命令，实现列出 /home 目录下各种类型（如：文件、目录及子目录）的所有失效链接。

(2) 在(1)基础上，完善命令以实现删除所有失效链接。

【问题5】Linux系统的权限模型由文件的所有者、文件的组、所有其他用户以及读（r）、写（w）、执行（x）组成。

(1) 请写出第一个文件的数字权限表明。

(2) 请写出最后一个文件的数字权限表明。

(3) 请写出普通用户执行最后一个文件后的有效权限。

(4) 请给出去掉第一个文件的 'x' 权限的命令。

(5) 执行(4)给出的命令后，请说明 root 用户能否进入该文件。

【答案】

【问题1】普通用户

【问题2】（1）crond.pid、abc（2）openvpn（3）shm->/dev/shm

【问题3】ls -s /dev/shm shm

【问题4】（1）find /home-xtype l（2）find /home-xtype l -delete

【问题5】（1）755（2）755（3）可读、不可写、可执行（4）chmod a-x openvpn（5）执行(4)命令后，第一个文件的所有者root权限为可读、可写、不可执行，不可执行即不能进入该文件

试题三 阅读下列说明和图，回答问题1至问题9，将解答填入答题纸的对应栏内。

【说明】Widows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的缘由，或者寻找受到攻击时攻击者留下的痕迹。

有一天，王工在夜间的例行安全巡检过程中，发现有异常日志告警，通过查看NTA全流量分析设备，找到了对应的可疑流量，请分析其中可能的安全事件。

【问题1】Windows系统提供的日志有三种类型，分别是系统日志、应用程序日志和安全日志，请问图3-1得日志最有可能来自哪种类型得日志？

【问题2】请选择Windows系统所采用得记录日志信息的文件格式后缀名。备选项：

A.log B.txt C.xml D.evt

【问题3】访问Windows系统中的日志记录有多种方法，请问通过命令行窗口快速访问日志的命令名字（事件查看器）是什么？

【问题4】Windows系统通过事件ID来记录不同的系统行为，图3-1的事件ID为4625，请结合任务类型，判断导致上述日志的最有可能的情况。备选项：

A.本地成功登录 B.网络失败登录 C.网络成功登录 D.本地失败登录

【问题5】王工通过对攻击流量的关联分析定位到了图3-2所示的网络分组，请指出上述攻击针对的是哪一个端口。

【问题6】如果要在Wireshark当中过滤出上述流量分组，请写出在显示过滤框中应输入的过滤表达式。

【问题7】Windows系统为了实现安全的远程登录使用了tls协议，请问图3-2中，服务器的数字证书是在哪一个数据包中传递的？通信双方是从哪一个数据包开始传递加密数据的？请给出对应数据包的序号。

【问题8】网络安全事件可分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾备性事件和其他事件。请问上述攻击属于哪一种网络安全事件？

【问题9】此类攻击针对的是三大安全目标即保密性、完整性、可用性中的哪一个？

【答案】

【问题1】安全日志

【问题2】D

【问题3】eventvwr

【问题4】B

【问题5】3389

【问题6】ip.addr == 192.168.69.69 and ip.addr == 192.168.1.100

【问题7】12162 12168

【问题8】网络攻击事件

【问题9】保密性

试题四 阅读下列说明和图，回答问题1至问题5，将解答填入答题纸的对应栏内。

【说明】网络安全侧重于防护网络和信息化的基础设施，特别重点关注重大系统和设施、关键信息基础设施以及新产业、新业务和新模式的有序和安全。数据安全侧重于保障数据在开放、利用、流转等处理环节的安全以及个人信息隐私保护。网络安全与数据安全紧密相连，相辅相成。数据安全要实现数据资源异常访问行为分析，高度依赖网络安全日志的完整性。随着网络安全法和数据安全法的落地，数据安全已经进入法制化时代。

【问题1】2022年7月21日，国家互联信息办公室公布的对滴滴全球股份有限公司依法作出网络安全审查相关行政处罚的决定，开出了80.26亿的罚单，请分析一下，滴滴全球股份有限公司违反了哪些网络安全法律法规？

【问题2】根据《中华人民共和国数据安全法》，数据分类分级已经成为企业数据安全治理的必选题。一般企业按数据敏感程度划分，数据可以分为一级公开数据、二级内部数据、三级秘密数据、四级机密数据。请问，一般员工个人信息属于几级数据？

【问题3】隐私可以分为身份隐私、属性隐私、社交关系隐私、位置轨迹隐私等几大类，请问员工的薪水属于哪一类隐私？

【问题4】隐私保护常见的技术措施有抑制、泛化、置换、扰动和裁剪等。若某员工的月薪为8750元，经过脱敏处理后，显示为5k~10k，这种处理方式属于哪种技术措施？

【问题5】密码学技术也可以用于实现隐私保护，利用加密技术阻止非法用户对隐私数据的未授权访问和滥用。若某员工的用户名为“admin”，计划用RSA对用户名进行加密，假设选取的两个素数p=47，q=71，公钥加密指数e=3。请问：

（1）上述RSA加密算法的公钥是多少？

（2）请给出上述用户名的16进制表明的整数值。

（3）直接利用（1）中的公钥对（2）中的整数值进行加密是否可行？请简述缘由。

（4）请写出对该用户名进行加密的计算公式。

【答案】

【问题1】《网络安全法》、《数据安全法》、《个人信息保护法》

【问题2】三级

【问题3】属于隐私

【问题4】泛化

【问题5】（1）（3,3337）（2）0x61646D696E（3）不行，由于明文长度不能超过模数n

（4）密文=明文^e mod n