2025年數(shù)據(jù)庫(kù)安全性考試試題及答案一、單項(xiàng)選擇題（每題2分，共20分）1.某金融機(jī)構(gòu)數(shù)據(jù)庫(kù)系統(tǒng)需遵循“最小權(quán)限原則”，以下哪種操作符合該原則？A.為所有開發(fā)人員分配數(shù)據(jù)庫(kù)管理員（DBA）權(quán)限B.僅為會(huì)計(jì)部門用戶授予查詢客戶賬戶余額的權(quán)限C.允許測(cè)試人員在生產(chǎn)環(huán)境中執(zhí)行數(shù)據(jù)刪除操作D.為臨時(shí)項(xiàng)目組分配永久讀取權(quán)限答案：B2.數(shù)據(jù)庫(kù)透明加密（TDE）通常作用于哪個(gè)層級(jí)？A.應(yīng)用程序代碼層B.數(shù)據(jù)庫(kù)存儲(chǔ)文件層C.用戶會(huì)話連接層D.網(wǎng)絡(luò)傳輸層答案：B3.以下哪種技術(shù)最能有效防御SQL注入攻擊？A.在應(yīng)用層對(duì)輸入數(shù)據(jù)進(jìn)行長(zhǎng)度限制B.使用參數(shù)化查詢（PreparedStatement）C.對(duì)數(shù)據(jù)庫(kù)端口進(jìn)行防火墻白名單限制D.定期更新數(shù)據(jù)庫(kù)管理系統(tǒng)（DBMS）補(bǔ)丁答案：B4.某電商平臺(tái)數(shù)據(jù)庫(kù)日志顯示，某用戶在1分鐘內(nèi)連續(xù)執(zhí)行200次用戶信息查詢操作，這最可能觸發(fā)哪種安全機(jī)制？A.數(shù)據(jù)脫敏B.訪問控制列表（ACL）C.異常行為檢測(cè)（ABM）D.靜態(tài)加密答案：C5.根據(jù)《數(shù)據(jù)安全法》要求，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者的重要數(shù)據(jù)備份應(yīng)滿足“離線存儲(chǔ)”條件，以下哪種方式符合要求？A.將備份文件存儲(chǔ)在云服務(wù)商提供的對(duì)象存儲(chǔ)（OSS）中B.每周將備份磁帶運(yùn)送至異地物理庫(kù)房C.使用數(shù)據(jù)庫(kù)自帶的實(shí)時(shí)主從復(fù)制功能D.將備份文件加密后存儲(chǔ)在生產(chǎn)服務(wù)器的附加磁盤中答案：B6.數(shù)據(jù)庫(kù)哈希（Hash）函數(shù)的主要用途是？A.對(duì)敏感數(shù)據(jù)進(jìn)行可逆加密B.驗(yàn)證數(shù)據(jù)完整性和存儲(chǔ)用戶密碼C.實(shí)現(xiàn)不同數(shù)據(jù)庫(kù)間的數(shù)據(jù)同步D.優(yōu)化查詢性能答案：B7.動(dòng)態(tài)數(shù)據(jù)脫敏（DDM）與靜態(tài)數(shù)據(jù)脫敏（SDM）的核心區(qū)別在于？A.動(dòng)態(tài)脫敏僅在開發(fā)環(huán)境使用，靜態(tài)脫敏在生產(chǎn)環(huán)境使用B.動(dòng)態(tài)脫敏實(shí)時(shí)處理查詢結(jié)果，靜態(tài)脫敏處理存儲(chǔ)數(shù)據(jù)C.動(dòng)態(tài)脫敏使用對(duì)稱加密，靜態(tài)脫敏使用非對(duì)稱加密D.動(dòng)態(tài)脫敏由數(shù)據(jù)庫(kù)內(nèi)核實(shí)現(xiàn)，靜態(tài)脫敏需應(yīng)用層開發(fā)答案：B8.某企業(yè)采用公有云數(shù)據(jù)庫(kù)服務(wù)（如AWSRDS），在SaaS模式下，以下哪項(xiàng)安全責(zé)任通常由云服務(wù)商承擔(dān)？A.數(shù)據(jù)庫(kù)用戶權(quán)限管理B.數(shù)據(jù)庫(kù)所在物理服務(wù)器的物理安全C.應(yīng)用層SQL注入攻擊防護(hù)D.業(yè)務(wù)數(shù)據(jù)的加密密鑰管理答案：B9.數(shù)據(jù)庫(kù)審計(jì)日志的最小保留周期應(yīng)至少滿足？A.1個(gè)月B.6個(gè)月（符合GDPR要求）C.1年D.3年（符合《網(wǎng)絡(luò)安全法》要求）答案：B10.針對(duì)數(shù)據(jù)庫(kù)特權(quán)賬戶（如sa、sys）的安全管理，以下哪項(xiàng)措施最關(guān)鍵？A.為每個(gè)特權(quán)賬戶設(shè)置相同的強(qiáng)密碼B.啟用多因素認(rèn)證（MFA）并定期輪換密碼C.將特權(quán)賬戶密碼存儲(chǔ)在數(shù)據(jù)庫(kù)配置文件中D.允許特權(quán)賬戶通過公網(wǎng)直接登錄答案：B二、填空題（每題2分，共20分）1.數(shù)據(jù)庫(kù)訪問控制模型中，基于角色的訪問控制縮寫為______。答案：RBAC2.數(shù)據(jù)庫(kù)加密技術(shù)可分為存儲(chǔ)加密、傳輸加密和______加密三類。答案：應(yīng)用層（或“字段級(jí)”）3.防止未授權(quán)用戶通過數(shù)據(jù)庫(kù)備份文件恢復(fù)敏感數(shù)據(jù)的關(guān)鍵措施是______。答案：備份數(shù)據(jù)加密（或“對(duì)備份文件加密”）4.SQL注入攻擊的本質(zhì)是將用戶輸入的______當(dāng)作代碼執(zhí)行。答案：數(shù)據(jù)（或“字符串”）5.數(shù)據(jù)庫(kù)容災(zāi)方案中，“RPO”指的是______。答案：恢復(fù)點(diǎn)目標(biāo)（或“最大允許數(shù)據(jù)丟失量”）6.數(shù)據(jù)脫敏的常見方法包括替換、掩碼、隨機(jī)化和______。答案：截?cái)啵ɑ颉盁o效化”）7.數(shù)據(jù)庫(kù)審計(jì)的核心目的是實(shí)現(xiàn)操作的______。答案：可追溯性（或“審計(jì)追蹤”）8.漏洞掃描工具對(duì)數(shù)據(jù)庫(kù)進(jìn)行檢測(cè)時(shí)，需重點(diǎn)關(guān)注______漏洞（如CVE編號(hào)對(duì)應(yīng)的已知高危漏洞）。答案：未修復(fù)的（或“未打補(bǔ)丁的”）9.云數(shù)據(jù)庫(kù)環(huán)境中，“數(shù)據(jù)駐留”要求指的是數(shù)據(jù)必須存儲(chǔ)在______。答案：指定地理區(qū)域（或“特定國(guó)家/地區(qū)”）10.依據(jù)《個(gè)人信息保護(hù)法》，處理個(gè)人信息時(shí)應(yīng)遵循______原則，即最小化收集必要信息。答案：最小必要三、簡(jiǎn)答題（每題8分，共40分）1.簡(jiǎn)述基于屬性的訪問控制（ABAC）與基于角色的訪問控制（RBAC）的主要區(qū)別。答案：RBAC通過預(yù)定義角色（如“會(huì)計(jì)”“客服”）分配權(quán)限，權(quán)限與角色綁定，適用于組織架構(gòu)穩(wěn)定的場(chǎng)景；ABAC則基于用戶屬性（如部門、職位、時(shí)間）、資源屬性（如數(shù)據(jù)敏感等級(jí)）和環(huán)境屬性（如IP地址、設(shè)備類型）動(dòng)態(tài)計(jì)算權(quán)限，靈活性更高，適用于需細(xì)粒度控制的復(fù)雜場(chǎng)景（如跨部門臨時(shí)項(xiàng)目訪問）。2.數(shù)據(jù)庫(kù)存儲(chǔ)加密可分為全庫(kù)加密和字段級(jí)加密，說明兩者的適用場(chǎng)景及優(yōu)缺點(diǎn)。答案：全庫(kù)加密對(duì)整個(gè)數(shù)據(jù)庫(kù)文件（如.mdf、.ibd）加密，由數(shù)據(jù)庫(kù)內(nèi)核自動(dòng)處理，優(yōu)點(diǎn)是配置簡(jiǎn)單、對(duì)應(yīng)用透明；缺點(diǎn)是無法針對(duì)敏感字段單獨(dú)控制，密鑰丟失可能導(dǎo)致全部數(shù)據(jù)不可用，適用于對(duì)整體安全性要求較高但數(shù)據(jù)敏感等級(jí)差異小的場(chǎng)景（如內(nèi)部日志數(shù)據(jù)庫(kù)）。字段級(jí)加密僅對(duì)特定字段（如身份證號(hào)、銀行卡號(hào)）加密，需應(yīng)用層或數(shù)據(jù)庫(kù)擴(kuò)展支持，優(yōu)點(diǎn)是敏感數(shù)據(jù)隔離，密鑰管理更靈活；缺點(diǎn)是開發(fā)復(fù)雜度高，可能影響查詢性能（如無法對(duì)加密字段直接索引），適用于包含高度敏感數(shù)據(jù)的業(yè)務(wù)系統(tǒng)（如銀行用戶信息表）。3.列舉至少4種檢測(cè)SQL注入攻擊的技術(shù)，并說明其原理。答案：（1）輸入驗(yàn)證：檢查用戶輸入是否符合預(yù)定義規(guī)則（如僅允許數(shù)字、字母），阻斷包含特殊字符（如“;”“--”）的輸入；（2）日志分析：通過數(shù)據(jù)庫(kù)審計(jì)日志監(jiān)控異常SQL語(yǔ)句（如高頻UNIONSELECT、EXEC命令）；（3）Web應(yīng)用防火墻（WAF）：基于特征庫(kù)識(shí)別注入模式（如“'OR1=1--”）并攔截請(qǐng)求；（4）動(dòng)態(tài)污點(diǎn)分析：跟蹤用戶輸入在應(yīng)用程序中的流動(dòng)，檢測(cè)輸入是否被直接拼接到SQL語(yǔ)句中；（5）漏洞掃描工具（如SQLMap）：模擬攻擊測(cè)試，自動(dòng)發(fā)現(xiàn)可注入點(diǎn)。4.說明數(shù)據(jù)庫(kù)備份與容災(zāi)的區(qū)別，并列舉容災(zāi)方案設(shè)計(jì)的3個(gè)關(guān)鍵指標(biāo)。答案：備份是將數(shù)據(jù)復(fù)制到存儲(chǔ)介質(zhì)（如磁帶、磁盤），用于數(shù)據(jù)誤刪或邏輯錯(cuò)誤時(shí)恢復(fù)；容災(zāi)是通過冗余架構(gòu)（如異地多活）保障系統(tǒng)在災(zāi)難（如地震、機(jī)房斷電）下的可用性，目標(biāo)是“業(yè)務(wù)不中斷”。容災(zāi)方案的關(guān)鍵指標(biāo)包括：（1）RPO（恢復(fù)點(diǎn)目標(biāo)，允許丟失的最大數(shù)據(jù)量）；（2）RTO（恢復(fù)時(shí)間目標(biāo)，系統(tǒng)從故障到恢復(fù)的時(shí)間）；（3）容災(zāi)等級(jí)（如熱備、溫備、冷備）。5.云數(shù)據(jù)庫(kù)相比傳統(tǒng)本地?cái)?shù)據(jù)庫(kù)，新增了哪些安全挑戰(zhàn)？（至少4點(diǎn)）答案：（1）數(shù)據(jù)主權(quán)風(fēng)險(xiǎn)：云服務(wù)商可能將數(shù)據(jù)存儲(chǔ)在境外，需遵守不同司法管轄區(qū)的法律；（2）共享環(huán)境風(fēng)險(xiǎn)：多租戶共用底層資源，存在側(cè)信道攻擊（如緩存攻擊）風(fēng)險(xiǎn)；（3）服務(wù)商信任風(fēng)險(xiǎn)：云服務(wù)商可能因內(nèi)部操作或數(shù)據(jù)泄露導(dǎo)致用戶數(shù)據(jù)受損；（4）接口安全風(fēng)險(xiǎn)：API接口需防范越權(quán)調(diào)用、身份偽造（如簽名篡改）；（5）數(shù)據(jù)遷移風(fēng)險(xiǎn)：數(shù)據(jù)上云/下云過程中可能因傳輸未加密或工具漏洞導(dǎo)致泄露；（6）合規(guī)復(fù)雜性：需同時(shí)滿足本地法規(guī)（如《數(shù)據(jù)安全法》）和云服務(wù)商條款（如AWS的服務(wù)協(xié)議）。四、綜合題（每題10分，共20分）1.某銀行擬設(shè)計(jì)用戶信息數(shù)據(jù)庫(kù)（包含字段：用戶ID、姓名、身份證號(hào)、手機(jī)號(hào)、賬戶余額），請(qǐng)從訪問控制、加密、審計(jì)三方面設(shè)計(jì)安全方案。答案：（1）訪問控制：采用RBAC+行級(jí)/字段級(jí)控制。①角色劃分：柜員（僅查詢本網(wǎng)點(diǎn)用戶姓名、手機(jī)號(hào)）、信貸員（查詢身份證號(hào)、賬戶余額）、DBA（僅維護(hù)權(quán)限，無數(shù)據(jù)查詢權(quán)）；②行級(jí)控制：通過數(shù)據(jù)庫(kù)行訪問控制（如PostgreSQL的RLS）限制柜員僅能訪問所屬網(wǎng)點(diǎn)用戶；③字段級(jí)控制：對(duì)身份證號(hào)、賬戶余額字段設(shè)置“僅信貸員可見”權(quán)限，姓名、手機(jī)號(hào)對(duì)柜員開放。（2）加密：①傳輸加密：應(yīng)用與數(shù)據(jù)庫(kù)間使用TLS1.3加密連接，禁止明文傳輸；②存儲(chǔ)加密：對(duì)身份證號(hào)、賬戶余額字段使用AES-256加密（密鑰由硬件安全模塊HSM管理），手機(jī)號(hào)使用哈希加鹽（SHA-256+隨機(jī)鹽）存儲(chǔ)；③備份加密：全量備份文件使用非對(duì)稱加密（RSA），私鑰由銀行安全部門保管，禁止云存儲(chǔ)。（3）審計(jì)：①啟用數(shù)據(jù)庫(kù)審計(jì)功能（如MySQL的AuditPlugin），記錄所有數(shù)據(jù)查詢、修改操作（包括用戶、時(shí)間、IP、SQL語(yǔ)句）；②對(duì)身份證號(hào)、賬戶余額的查詢操作設(shè)置“關(guān)鍵審計(jì)事件”，觸發(fā)實(shí)時(shí)告警至安全團(tuán)隊(duì)；③審計(jì)日志每日自動(dòng)同步至離線存儲(chǔ)（磁帶），保留至少3年（符合《金融數(shù)據(jù)安全分級(jí)指南》要求）。2.某電商數(shù)據(jù)庫(kù)近日發(fā)生用戶信息泄露（包含10萬(wàn)條手機(jī)號(hào)、地址），經(jīng)初步排查，攻擊路徑為：黑客通過某前端頁(yè)面的搜索框注入惡意SQL語(yǔ)句，獲取數(shù)據(jù)庫(kù)連接權(quán)限后導(dǎo)出數(shù)據(jù)。請(qǐng)分析攻擊過程中的安全漏洞，并提出修復(fù)措施。答案：（1）漏洞分析：①前端輸入未做嚴(yán)格驗(yàn)證：搜索框允許用戶輸入包含“'”“OR”等特殊字符，未過濾或轉(zhuǎn)義；②應(yīng)用代碼存在SQL拼接：開發(fā)人員使用字符串拼接方式提供SQL語(yǔ)句（如“SELECTFROMusersWHEREname='”+input+“'”），未使用參數(shù)化查詢；③數(shù)據(jù)庫(kù)權(quán)限過高：應(yīng)用連接數(shù)據(jù)庫(kù)的賬戶擁有“SELECT”全表權(quán)限，未限制僅查詢必要字段；④審計(jì)缺失：數(shù)據(jù)庫(kù)未記錄異常高頻查詢操作，導(dǎo)致攻擊未被及時(shí)發(fā)現(xiàn)。（2）修復(fù)措施：①輸入驗(yàn)證：前端對(duì)搜索框輸入進(jìn)行正則校驗(yàn)（僅允許中文、字母、數(shù)字），后端使用OWASPESAPI庫(kù)再次過濾特殊字符；②代碼優(yōu)化：將SQL拼接改為參數(shù)化查詢（如Java的PreparedStatement），確保用戶輸