2025年網(wǎng)絡(luò)安全與隱私保護(hù)試卷及答案一、單項(xiàng)選擇題（每題1分，共20分。每題只有一個(gè)正確答案，請(qǐng)將正確選項(xiàng)字母填入括號(hào)內(nèi)）1.2024年11月生效的《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》要求，個(gè)人信息出境前需完成的安全評(píng)估最遲應(yīng)在合同生效后多少日內(nèi)向省級(jí)以上網(wǎng)信部門備案？A.15日?B.30日?C.45日?D.60日答案：B2.在TLS1.3握手過(guò)程中，用于實(shí)現(xiàn)前向保密的核心機(jī)制是：A.RSA密鑰傳輸?B.靜態(tài)DH?C.ECDHE?D.PSK答案：C3.依據(jù)GB/T222392019《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》，第三級(jí)系統(tǒng)應(yīng)對(duì)關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)實(shí)施：A.入侵檢測(cè)?B.惡意代碼防護(hù)?C.流量清洗?D.以上全部答案：D4.安卓13引入的“隱私儀表板”功能主要依賴的權(quán)限模型是：A.DAC?B.MAC?C.運(yùn)行時(shí)權(quán)限?D.能力能力表答案：C5.下列哪一項(xiàng)不屬于NISTSP80053Rev.5中“供應(yīng)鏈風(fēng)險(xiǎn)管理”控制家族？A.SR1?B.SA15?C.SR3?D.SR6答案：B6.在零信任架構(gòu)中，用于持續(xù)評(píng)估訪問主體信任等級(jí)的關(guān)鍵技術(shù)組件是：A.SIEM?B.PolicyEngine?C.SDP?D.IDS答案：B7.根據(jù)《數(shù)據(jù)安全法》，對(duì)“重要數(shù)據(jù)”進(jìn)行出境安全評(píng)估的負(fù)責(zé)主體是：A.公安部?B.國(guó)家網(wǎng)信辦?C.行業(yè)主管部門?D.數(shù)據(jù)處理者自身答案：B8.SM4分組密碼算法采用的輪函數(shù)結(jié)構(gòu)屬于：A.Feistel?B.SP網(wǎng)絡(luò)?C.LaiMassey?D.ARX答案：B9.在iOS17的“NameDrop”功能中，交換聯(lián)系人信息時(shí)默認(rèn)使用的無(wú)線技術(shù)是：A.BluetoothLE+UWB?B.NFC?C.WiFiAware?D.紅外答案：A10.依據(jù)ISO/IEC27701:2019，對(duì)PII控制者進(jìn)行隱私風(fēng)險(xiǎn)管理時(shí)，需額外補(bǔ)充的控制域是：A.信息安全策略?B.人力資源安全?C.隱私特定控制?D.通信安全答案：C11.2025年3月曝光的“TunnelVision”攻擊針對(duì)的是：A.IPsec?B.MPLSVPN?C.DHCPOption121?D.GRE答案：C12.在Windows1123H2中，默認(rèn)阻止通過(guò)SMBguest訪問共享的安全策略注冊(cè)表鍵值位于：A.HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters?B.HKLM\SOFTWARE\Policies\Microsoft\Windows\System?C.HKCU\Network?D.HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies答案：A13.根據(jù)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》，運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品或服務(wù)可能影響國(guó)家安全的，應(yīng)當(dāng)申報(bào)：A.等保測(cè)評(píng)?B.安全審查?C.密碼應(yīng)用評(píng)估?D.風(fēng)險(xiǎn)評(píng)估答案：B14.在DNSSEC驗(yàn)證鏈中，用于證明“.cn”區(qū)文件完整性的記錄類型是：A.DNSKEY?B.DS?C.NSEC3?D.RRSIG答案：B15.下列關(guān)于同態(tài)加密的說(shuō)法正確的是：A.CKKS方案支持精確整數(shù)運(yùn)算?B.BFV方案支持浮點(diǎn)近似運(yùn)算?C.BGV方案基于LWE?D.CKKS方案基于RLWE且支持浮點(diǎn)答案：D16.在Kubernetes1.29中，用于限制容器對(duì)宿主機(jī)PID命名空間訪問的安全上下文屬性是：A.allowPrivilegeEscalation?B.hostPID?C.runAsNonRoot?D.seccompProfile答案：B17.根據(jù)《個(gè)人信息保護(hù)法》，個(gè)人信息處理者應(yīng)當(dāng)定期對(duì)其處理個(gè)人信息遵守法律、行政法規(guī)的情況進(jìn)行：A.等保測(cè)評(píng)?B.合規(guī)審計(jì)?C.滲透測(cè)試?D.風(fēng)險(xiǎn)評(píng)估答案：B18.在ARMv9架構(gòu)中，用于隔離敏感代碼與操作系統(tǒng)的新增安全特性是：A.TrustZone?B.CCA?C.SGX?D.MPK答案：B19.2024年BlackHat大會(huì)上展示的“LOTL”攻擊主要利用：A.固件漏洞?B.無(wú)文件技術(shù)?C.硬件側(cè)信道?D.供應(yīng)鏈污染答案：B20.在GDPR第49條“克減條款”中，允許將個(gè)人數(shù)據(jù)傳輸至第三國(guó)的情形不包括：A.數(shù)據(jù)主體明示同意?B.履行合同必要?C.控制者重大經(jīng)濟(jì)利益?D.法律主張建立與行使答案：C二、多項(xiàng)選擇題（每題2分，共20分。每題有兩個(gè)或兩個(gè)以上正確答案，多選、少選、錯(cuò)選均不得分）21.以下哪些屬于《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》定義的“重要數(shù)據(jù)”？A.人臉數(shù)據(jù)車外采集超過(guò)1萬(wàn)人次?B.車輛軌跡連續(xù)覆蓋10km以上?C.涉及軍事管理區(qū)地理信息?D.充電網(wǎng)運(yùn)行數(shù)據(jù)答案：A、C、D22.關(guān)于AESGCM模式，下列說(shuō)法正確的有：A.提供機(jī)密性與完整性?B.需要nonce唯一?C.支持任意長(zhǎng)度IV?D.可并行計(jì)算答案：A、B、D23.在Linux內(nèi)核6.7中，用于緩解“StackRot”漏洞的編譯選項(xiàng)包括：A.fstackclashprotection?B.fnoomitframepointer?C.CONFIG_STACKDEPOT?D.CONFIG_VMAP_STACK答案：A、C、D24.以下哪些技術(shù)可用于防止GPS欺騙攻擊？A.雙頻接收機(jī)?B.加密信號(hào)（如GPSM碼）?C.慣性導(dǎo)航融合?D.基站輔助定位答案：A、B、C、D25.依據(jù)《密碼法》，商用密碼產(chǎn)品檢測(cè)認(rèn)證目錄由哪些部門聯(lián)合發(fā)布？A.國(guó)家密碼管理局?B.市場(chǎng)監(jiān)管總局?C.工信部?D.公安部答案：A、B26.在iMessage聯(lián)系人密鑰驗(yàn)證（CKV）中，用戶比對(duì)的是：A.設(shè)備ECDSA公鑰哈希?B.用戶身份密鑰哈希?C.蘋果根證書指紋?D.聯(lián)系人頭像哈希答案：A、B27.以下哪些屬于NISTSP800207零信任原則？A.動(dòng)態(tài)授權(quán)?B.最小權(quán)限?C.假定已泄露?D.以網(wǎng)絡(luò)邊界為信任基礎(chǔ)答案：A、B、C28.在WindowsHelloforBusiness中，用于保護(hù)生物特征模板的安全機(jī)制包括：A.TPM2.0隔離?B.VBS安全島?C.AES加密?D.生物特征散列化答案：A、B、C、D29.關(guān)于聯(lián)邦學(xué)習(xí)隱私攻擊，下列說(shuō)法正確的有：A.成員推理可推斷樣本是否參與訓(xùn)練?B.屬性推理可推斷敏感屬性?C.模型逆向可恢復(fù)原始輸入?D.梯度泄露可重建訓(xùn)練數(shù)據(jù)答案：A、B、C、D30.在Android14中，針對(duì)“后臺(tái)啟動(dòng)前臺(tái)服務(wù)”的限制包括：A.需聲明FOREGROUND_SERVICE_SPECIAL_USE?B.限制每分鐘啟動(dòng)次數(shù)?C.需用戶可見通知?D.需運(yùn)行時(shí)權(quán)限答案：A、C三、填空題（每空1分，共20分）31.在TLS1.3中，用于加密握手消息的密鑰稱為________。答案：handshaketrafficsecret32.SM2橢圓曲線公鑰密碼算法采用的曲線名稱為________。答案：SM2P256V133.根據(jù)《個(gè)人信息保護(hù)法》，個(gè)人信息處理者應(yīng)當(dāng)保存?zhèn)€人敏感信息的最短時(shí)間為________。答案：無(wú)最短法定時(shí)間，但應(yīng)限于實(shí)現(xiàn)處理目的的最短時(shí)間34.在Kubernetes中，NetworkPolicy資源依賴的底層插件必須支持________層隔離。答案：L3/L435.2025年1月1日起施行的《未成年人網(wǎng)絡(luò)保護(hù)條例》要求，網(wǎng)絡(luò)服務(wù)提供者處理不滿________周歲未成年人個(gè)人信息應(yīng)取得監(jiān)護(hù)人同意。答案：1436.在Windows11中，用于存儲(chǔ)憑據(jù)的基于虛擬化的安全隔離容器稱為________。答案：CredentialGuard37.在DNSoverHTTPS（DoH）中，默認(rèn)推薦的媒體類型為________。答案：application/dnsmessage38.根據(jù)ISO/IEC27001:2022，附錄A控制措施總數(shù)為________項(xiàng)。答案：9339.在ARMTrustZone中，安全世界與正常世界的切換通過(guò)指令________完成。答案：SMC40.在GDPR中，數(shù)據(jù)保護(hù)官（DPO）必須直接向________匯報(bào)。答案：最高管理層41.在Linux中，用于限制進(jìn)程系統(tǒng)調(diào)用的安全機(jī)制是________。答案：seccomp42.2024年發(fā)布的《生成式人工智能服務(wù)管理暫行辦法》要求，提供者應(yīng)在________小時(shí)內(nèi)對(duì)違法內(nèi)容完成處置。答案：343.在零信任架構(gòu)中，用于描述網(wǎng)絡(luò)實(shí)體身份與屬性的數(shù)據(jù)結(jié)構(gòu)稱為________。答案：身份憑證（identitycredential）44.在iOS17中，NameDrop功能默認(rèn)使用________框架實(shí)現(xiàn)近距離發(fā)現(xiàn)。答案：NearbyInteraction45.在密碼學(xué)中，將高熵密鑰拆分為n份，其中任意t份可重構(gòu)密鑰的方案稱為________方案。答案：Shamir秘密共享46.在HTTP/3中，傳輸層協(xié)議由TCP改為________。答案：QUIC47.在Android14中，針對(duì)后臺(tái)應(yīng)用訪問剪貼板的限制間隔為________毫秒。答案：3600000（1小時(shí)）48.在NISTSP80063B中，推薦的最長(zhǎng)密碼有效期為________。答案：無(wú)強(qiáng)制期限，僅建議根據(jù)威脅評(píng)估動(dòng)態(tài)調(diào)整49.在WindowsDefenderApplicationControl（WDAC）中，策略文件采用________格式編碼。答案：XML50.在Linux內(nèi)核中，用于實(shí)現(xiàn)地址空間布局隨機(jī)化的機(jī)制縮寫為________。答案：ASLR四、簡(jiǎn)答題（每題6分，共30分）51.簡(jiǎn)述TLS1.3與TLS1.2在握手延遲方面的差異，并說(shuō)明其如何提升移動(dòng)網(wǎng)絡(luò)用戶體驗(yàn)。答案：TLS1.2完整握手需2RTT，而TLS1.3通過(guò)將密鑰交換與參數(shù)協(xié)商壓縮為1RTT，并在會(huì)話復(fù)用場(chǎng)景下支持0RTT。移動(dòng)網(wǎng)絡(luò)高丟包、高延遲場(chǎng)景下，減少一次RTT可降低握手時(shí)延約30100ms，顯著提升首屏渲染速度；0RTT復(fù)用可消除握手延遲，實(shí)現(xiàn)瞬時(shí)頁(yè)面加載，減少用戶等待感知。52.概述《個(gè)人信息保護(hù)法》中“敏感個(gè)人信息”的定義及處理該類信息的特殊要求。答案：敏感個(gè)人信息指一旦泄露或非法使用，易導(dǎo)致人格尊嚴(yán)或人身財(cái)產(chǎn)安全受到嚴(yán)重危害的信息，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡及不滿14周歲未成年人信息。處理時(shí)需取得單獨(dú)同意，告知處理必要性及影響，采取嚴(yán)格保護(hù)措施，進(jìn)行事前個(gè)人信息保護(hù)影響評(píng)估，并記錄處理情況至少三年。53.說(shuō)明Kubernetes中PodSecurityPolicy（PSP）被廢棄后的替代方案及其優(yōu)勢(shì)。答案：替代方案為PodSecurityStandards（PSS）與OPAGatekeeper/Kyverno。PSS提供內(nèi)置的Privileged、Baseline、Restricted三級(jí)策略，無(wú)需編寫復(fù)雜RBAC，降低運(yùn)維成本；Gatekeeper支持自定義CRD策略，可審計(jì)、告警、阻斷，擴(kuò)展性強(qiáng)；Kyverno提供YAML聲明式策略，無(wú)需學(xué)習(xí)Rego語(yǔ)言，社區(qū)模板豐富，適配GitOps工作流。54.簡(jiǎn)述GPS欺騙攻擊對(duì)電網(wǎng)同步相量測(cè)量裝置（PMU）的潛在危害及兩種防御技術(shù)。答案：攻擊者可偽造GPS時(shí)間信號(hào)，導(dǎo)致PMU時(shí)間戳錯(cuò)誤，破壞全網(wǎng)同步，引發(fā)保護(hù)誤動(dòng)、潮流計(jì)算錯(cuò)誤甚至大面積停電。防御技術(shù)：1.多源時(shí)間同步，采用北斗+GLONASS+地面光纖授時(shí)，通過(guò)一致性校驗(yàn)剔除異常源；2.信號(hào)質(zhì)量監(jiān)測(cè)，利用雙頻接收機(jī)檢測(cè)載波相位跳變與信噪比異常，觸發(fā)告警并切換備用時(shí)鐘。55.說(shuō)明同態(tài)加密在醫(yī)療AI云推理場(chǎng)景中的應(yīng)用流程，并指出其性能瓶頸。流程：1.醫(yī)院在本地用公鑰加密影像數(shù)據(jù)，上傳密文至云；2.云服務(wù)器在密文域運(yùn)行預(yù)訓(xùn)練模型（如CKKS方案支持浮點(diǎn)近似），生成加密預(yù)測(cè)結(jié)果；3.醫(yī)院下載密文結(jié)果，用私鑰解密獲得診斷。性能瓶頸：密文膨脹約1001000倍，計(jì)算耗時(shí)比明文高34個(gè)數(shù)量級(jí)，需大內(nèi)存與GPU加速；密鑰管理復(fù)雜，需防止私鑰泄露。五、應(yīng)用題（共60分）56.計(jì)算與分析題（12分）某企業(yè)計(jì)劃部署基于屬性的加密（ABE）方案保護(hù)外包數(shù)據(jù)。已知：密文策略采用AND門，屬性全集{“Dept:RD”,“Role:Manager”,“Clearance:High”}；用戶私鑰僅含屬性{“Dept:RD”,“Clearance:High”}；密文策略為“Dept:RDANDRole:Manager”。問：1.該用戶能否解密？2.若不能，需如何調(diào)整策略或?qū)傩裕?.給出策略布爾表達(dá)式與屬性集合的最小匹配判定算法偽代碼。答案：1.不能，因用戶缺少“Role:Manager”。2.調(diào)整策略為“Dept:RDORClearance:High”，或給用戶增加屬性“Role:Manager”。3.偽代碼：```match(policy,attrs):ifpolicy.type==AND:forattrinpolicy.attrs:ifattrnotinattrs:returnFalsereturnTrueifpolicy.type==OR:forattrinpolicy.attrs:ifattrinattrs:returnTruereturnFalse```57.風(fēng)險(xiǎn)評(píng)估題（12分）某車聯(lián)網(wǎng)平臺(tái)收集車輛VIN、位置、速度、駕駛員人臉，每日增量5TB，保存3年。請(qǐng)：1.按GB/T352732020識(shí)別數(shù)據(jù)類別與級(jí)別；2.列出三項(xiàng)最高風(fēng)險(xiǎn)；3.給出風(fēng)險(xiǎn)處置措施。答案：1.數(shù)據(jù)類別：個(gè)人敏感信息（人臉、精確位置）、重要數(shù)據(jù)（車輛運(yùn)行批量數(shù)據(jù)）。級(jí)別：人臉與連續(xù)軌跡為敏感級(jí)，VIN與速度為一般個(gè)人，批量軌跡構(gòu)成重要數(shù)據(jù)。2.最高風(fēng)險(xiǎn)：a.未加密傳輸導(dǎo)致位置批量泄露；b.內(nèi)部人員超期留存人臉用于非授權(quán)分析；c.跨境傳輸未評(píng)估被境外情報(bào)利用。3.處置：a.采用TLS1.3+SM4SM3套件端到端加密；b.部署數(shù)據(jù)脫敏與零信任網(wǎng)關(guān)，最小權(quán)限訪問；c.啟動(dòng)數(shù)據(jù)出境安全評(píng)估，簽署標(biāo)準(zhǔn)合同并備案。58.滲透測(cè)試題（12分）測(cè)試員獲得一內(nèi)網(wǎng)Web應(yīng)用上傳點(diǎn)，后端使用ImageMagick7.1.00，已知存在CVE202244268（PNG注釋泄露）。請(qǐng)：1.寫出構(gòu)造惡意PNG的exploit步驟；2.給出讀取/etc/passwd的ImageMagick命令；3.提出兩條加固建議。答案：1.步驟：a.制作含tEXtchunk的PNG，key為“profile”，value為“/etc/passwd”的base64；b.上傳后服務(wù)器自動(dòng)轉(zhuǎn)換，tEXt被寫入臨時(shí)文件；c.訪問轉(zhuǎn)換結(jié)果下載泄露文件。2.命令：convertinput.pngprofile"/etc/passwd"output.png3.加固：a.升級(jí)至7.1.051以上版本；b.使用policy.xml禁用profile、label等危險(xiǎn)選項(xiàng)，啟用沙箱。59.合規(guī)審計(jì)題（12分）某SDK被通報(bào)違規(guī)收集IMEI。審計(jì)發(fā)現(xiàn)：初始化時(shí)通過(guò)TelephonyManager.getDeviceId()讀取；僅在Android9以下系統(tǒng)執(zhí)行；隱私政策未明示。請(qǐng)：1.指出違反的法規(guī)條款；2.給出代碼整改片段（Kotlin）；3.列出向監(jiān)管部門提交的整改報(bào)告目錄。答案：1.違反《個(gè)人信息保護(hù)法》第13、17條（告知同意），第6條（最小必要）。2.代碼：```if(Build.VERSION.SDK_INT>=Build