2025年計(jì)算機(jī)基礎(chǔ)理論信息安全基本知識(shí)試題及參考答案一、單項(xiàng)選擇題（每題2分，共30分）1.以下哪種加密算法屬于對(duì)稱加密？A.RSAB.ECC（橢圓曲線加密）C.AES-256D.SHA-5122.哈希函數(shù)的主要特性不包括？A.單向性（不可逆）B.抗碰撞性（不同輸入產(chǎn)生不同輸出的概率極高）C.長度固定（輸入任意長度，輸出固定長度）D.可解密性（通過輸出還原輸入）3.在訪問控制模型中，“基于角色的訪問控制”簡稱為？A.DAC（自主訪問控制）B.MAC（強(qiáng)制訪問控制）C.RBAC（基于角色的訪問控制）D.ABAC（基于屬性的訪問控制）4.以下哪種攻擊屬于應(yīng)用層DDoS攻擊？A.SYNFloodB.ICMPFloodC.HTTPFloodD.UDPFlood5.TLS1.3協(xié)議相比TLS1.2的主要優(yōu)化是？A.支持更長的密鑰長度B.減少握手往返次數(shù)（從2RTT變?yōu)?RTT）C.新增國密算法支持（如SM2、SM4）D.強(qiáng)制使用ECDHE密鑰交換6.數(shù)據(jù)脫敏技術(shù)中，“將真實(shí)姓名替換為‘用戶A’‘用戶B’”屬于？A.匿名化B.泛化（數(shù)據(jù)模糊化）C.加密D.掩碼7.以下哪項(xiàng)是零信任架構(gòu)的核心原則？A.信任網(wǎng)絡(luò)邊界內(nèi)的所有設(shè)備B.持續(xù)驗(yàn)證訪問請(qǐng)求的合法性（NeverTrust,AlwaysVerify）C.僅通過防火墻實(shí)現(xiàn)安全防護(hù)D.依賴靜態(tài)的IP白名單進(jìn)行訪問控制8.SQL注入攻擊的本質(zhì)是？A.利用操作系統(tǒng)漏洞執(zhí)行惡意代碼B.將惡意SQL代碼注入應(yīng)用程序的輸入?yún)?shù)，篡改數(shù)據(jù)庫操作C.通過ARP欺騙劫持網(wǎng)絡(luò)流量D.利用緩沖區(qū)溢出漏洞獲取系統(tǒng)權(quán)限9.量子計(jì)算對(duì)現(xiàn)有密碼體系的最大威脅是？A.破解對(duì)稱加密算法（如AES）的密鑰擴(kuò)展過程B.快速分解大整數(shù)（威脅RSA）或求解離散對(duì)數(shù)（威脅ECC）C.破壞哈希函數(shù)的抗碰撞性D.干擾加密設(shè)備的物理層信號(hào)10.以下哪種技術(shù)用于檢測未知惡意軟件？A.特征碼掃描（Signature-basedDetection）B.沙盒（Sandbox）動(dòng)態(tài)分析C.黑名單過濾D.端口掃描11.物聯(lián)網(wǎng)（IoT）設(shè)備的典型安全風(fēng)險(xiǎn)不包括？A.默認(rèn)弱密碼（如“admin/admin”）B.固件更新機(jī)制缺失導(dǎo)致漏洞無法修復(fù)C.支持IPv6協(xié)議帶來的地址空間膨脹D.資源受限（計(jì)算/存儲(chǔ)能力弱）導(dǎo)致無法部署復(fù)雜安全防護(hù)12.數(shù)字簽名的主要目的是？A.加密數(shù)據(jù)內(nèi)容以防止泄露B.驗(yàn)證數(shù)據(jù)的完整性和發(fā)送者的身份真實(shí)性C.壓縮數(shù)據(jù)以減少傳輸帶寬D.實(shí)現(xiàn)數(shù)據(jù)的不可否認(rèn)性（Non-repudiation）和可追溯性13.以下哪項(xiàng)是網(wǎng)絡(luò)釣魚（Phishing）攻擊的典型特征？A.發(fā)送包含惡意附件的郵件，誘導(dǎo)用戶點(diǎn)擊B.通過DDoS攻擊使目標(biāo)網(wǎng)站癱瘓C.利用漏洞植入勒索軟件加密文件D.通過ARP欺騙篡改局域網(wǎng)內(nèi)的DNS解析14.數(shù)據(jù)泄露防護(hù)（DLP）系統(tǒng)的核心功能是？A.監(jiān)控并阻止敏感數(shù)據(jù)（如身份證號(hào)、銀行卡號(hào)）的非授權(quán)傳輸B.加密存儲(chǔ)在數(shù)據(jù)庫中的所有數(shù)據(jù)C.檢測并清除終端設(shè)備上的惡意軟件D.優(yōu)化網(wǎng)絡(luò)帶寬使用效率15.以下哪種協(xié)議用于安全傳輸電子郵件？A.SMTPB.POP3C.S/MIME（安全多用途互聯(lián)網(wǎng)郵件擴(kuò)展）D.IMAP二、填空題（每題2分，共20分）1.對(duì)稱加密算法AES的分組長度是______比特，常見密鑰長度包括128、192、256比特。2.非對(duì)稱加密算法RSA的數(shù)學(xué)基礎(chǔ)是______問題的困難性（如大整數(shù)分解）。3.哈希函數(shù)MD5的輸出長度是______比特，因其易碰撞已被棄用。4.TLS協(xié)議的握手過程中，客戶端和服務(wù)器通過______交換生成會(huì)話密鑰，確保密鑰協(xié)商的安全性。5.最小權(quán)限原則（PrincipleofLeastPrivilege）要求用戶或進(jìn)程僅獲得完成任務(wù)所需的______權(quán)限。6.數(shù)據(jù)脫敏的常見方法包括匿名化、泛化、______（如將手機(jī)號(hào)顯示為“1385678”）等。7.零信任架構(gòu)的核心是“持續(xù)驗(yàn)證”，通過______（如設(shè)備狀態(tài)、用戶位置、行為模式）動(dòng)態(tài)評(píng)估訪問請(qǐng)求的風(fēng)險(xiǎn)。8.量子密碼的典型代表是______，其基于量子力學(xué)的測不準(zhǔn)原理實(shí)現(xiàn)無條件安全的密鑰分發(fā)。9.蜜罐（Honeypot）根據(jù)交互程度可分為低交互蜜罐（僅模擬部分服務(wù)）和______蜜罐（模擬完整系統(tǒng)環(huán)境）。10.勒索軟件（Ransomware）的主要攻擊手段是加密用戶文件，并要求受害者支付______（如比特幣）解鎖。三、簡答題（每題8分，共40分）1.比較對(duì)稱加密與非對(duì)稱加密的優(yōu)缺點(diǎn)，并舉例說明各自的典型應(yīng)用場景。2.解釋“最小權(quán)限原則”在訪問控制中的具體實(shí)現(xiàn)方式，并說明其對(duì)信息安全的意義。3.分析SQL注入攻擊的原理，并列舉至少3種有效的防御措施。4.簡述TLS協(xié)議如何保障網(wǎng)絡(luò)通信的機(jī)密性、完整性和身份認(rèn)證。5.數(shù)據(jù)泄露是企業(yè)面臨的重大安全風(fēng)險(xiǎn)，列舉3種常見的數(shù)據(jù)泄露途徑，并提出對(duì)應(yīng)的防護(hù)策略。四、綜合分析題（共10分）某企業(yè)內(nèi)網(wǎng)發(fā)生安全事件：多臺(tái)員工終端出現(xiàn)文件被加密、桌面彈出“支付0.5比特幣解鎖”的提示，同時(shí)日志顯示大量終端在事件前訪問過陌生郵件鏈接。請(qǐng)結(jié)合信息安全知識(shí)，完成以下分析：（1）判斷該事件的攻擊類型，并說明依據(jù)；（3分）（2）推測攻擊者的攻擊路徑（至少3個(gè)步驟）；（4分）（3）提出針對(duì)此類攻擊的長期防護(hù)措施（至少3條）。（3分）參考答案一、單項(xiàng)選擇題1.C2.D3.C4.C5.B6.A7.B8.B9.B10.B11.C12.B13.A14.A15.C二、填空題1.1282.大整數(shù)分解3.1284.密鑰交換算法（如ECDHE、RSA）5.最小必要6.掩碼7.多因素認(rèn)證（MFA）或上下文信息8.量子密鑰分發(fā)（QKD）/BB84協(xié)議9.高交互10.加密貨幣三、簡答題1.對(duì)稱加密與非對(duì)稱加密的比較優(yōu)點(diǎn)：對(duì)稱加密計(jì)算速度快（如AES），適合加密大量數(shù)據(jù)；非對(duì)稱加密解決了密鑰分發(fā)問題（如RSA用于傳輸對(duì)稱密鑰），支持?jǐn)?shù)字簽名。缺點(diǎn)：對(duì)稱加密的密鑰管理復(fù)雜（需安全傳輸和存儲(chǔ)），無法實(shí)現(xiàn)身份認(rèn)證；非對(duì)稱加密計(jì)算開銷大，不適合加密長數(shù)據(jù)。應(yīng)用場景：對(duì)稱加密用于加密文件、數(shù)據(jù)庫（如AES加密存儲(chǔ)數(shù)據(jù)）；非對(duì)稱加密用于密鑰交換（如TLS握手）、數(shù)字簽名（如代碼簽名、電子合同）。2.最小權(quán)限原則的實(shí)現(xiàn)與意義實(shí)現(xiàn)方式：-用戶層面：根據(jù)崗位職責(zé)分配權(quán)限（如財(cái)務(wù)人員僅訪問財(cái)務(wù)系統(tǒng)，無法訪問研發(fā)數(shù)據(jù)）；-進(jìn)程層面：限制服務(wù)進(jìn)程僅能訪問必要的文件/端口（如Web服務(wù)器以低權(quán)限用戶運(yùn)行，禁止訪問系統(tǒng)關(guān)鍵目錄）；-系統(tǒng)層面：關(guān)閉不必要的服務(wù)和端口（如禁用未使用的SSH、Telnet服務(wù)）。意義：減少攻擊面，若某賬戶/進(jìn)程被攻陷，攻擊者僅能獲取有限權(quán)限，降低橫向滲透風(fēng)險(xiǎn)。3.SQL注入攻擊原理與防御原理：攻擊者向應(yīng)用程序輸入惡意SQL代碼（如“'OR'1'='1”），篡改原SQL語句邏輯（如繞過登錄驗(yàn)證、讀取/刪除數(shù)據(jù)庫表）。防御措施：-使用參數(shù)化查詢（PreparedStatement），將用戶輸入與SQL語句分離；-對(duì)輸入數(shù)據(jù)進(jìn)行嚴(yán)格校驗(yàn)（如限制特殊字符、長度）；-數(shù)據(jù)庫賬戶使用最小權(quán)限（如Web應(yīng)用連接數(shù)據(jù)庫僅授予查詢權(quán)限，禁止DROP、DELETE操作）；-開啟數(shù)據(jù)庫審計(jì)日志，監(jiān)控異常SQL操作。4.TLS協(xié)議的安全保障機(jī)制機(jī)密性：通過對(duì)稱加密（如AES-GCM）加密傳輸數(shù)據(jù)，密鑰由客戶端和服務(wù)器通過密鑰交換算法（如ECDHE）協(xié)商生成；完整性：使用哈希函數(shù)（如SHA-256）生成消息認(rèn)證碼（HMAC），驗(yàn)證數(shù)據(jù)在傳輸中未被篡改；身份認(rèn)證：服務(wù)器通過數(shù)字證書（由CA簽發(fā)）向客戶端證明身份，客戶端可選提供證書（雙向TLS）向服務(wù)器證明身份。5.數(shù)據(jù)泄露途徑與防護(hù)策略常見途徑：-內(nèi)部誤操作：員工誤將敏感文件上傳至公共云盤；-外部攻擊：黑客通過釣魚郵件植入木馬，竊取本地文件；-接口漏洞：API接口未做權(quán)限校驗(yàn)，導(dǎo)致第三方非法調(diào)用獲取數(shù)據(jù)。防護(hù)策略：-內(nèi)部：部署DLP系統(tǒng)監(jiān)控終端/網(wǎng)絡(luò)的敏感數(shù)據(jù)傳輸，限制USB存儲(chǔ)設(shè)備使用；-外部：加強(qiáng)員工安全培訓(xùn)（如識(shí)別釣魚郵件），部署入侵檢測系統(tǒng)（IDS）監(jiān)測異常流量；-接口：對(duì)API接口實(shí)施嚴(yán)格的身份認(rèn)證（如OAuth2.0）和訪問控制（如速率限制、權(quán)限分級(jí)）。四、綜合分析題（1）攻擊類型：勒索軟件攻擊。依據(jù)：終端文件被加密，攻擊者要求支付加密貨幣解鎖，符合勒索軟件的典型特征；事件前終端訪問陌生郵件鏈接，可能是釣魚郵件誘導(dǎo)下載惡意軟件。（2）攻擊路徑推測：①攻擊者發(fā)送釣魚郵件，郵件中包含偽裝成正常文件（如文檔、圖片）的惡意附件或鏈接；②員工點(diǎn)擊鏈接或打開附件，惡意軟件（勒索軟件變種）被下載并執(zhí)行；③惡意軟件掃描終端文件，使用非對(duì)稱加密（如RSA）加密用戶文檔、圖片等數(shù)據(jù)；④加密完成后，彈出勒索提示，要求受害者支付比特幣至指定錢包地址以獲取解密密鑰。（3）長期防護(hù)措施：①員工培訓(xùn)：定期開展釣魚郵件識(shí)別、陌生鏈接/附