信息安全工程师高频考点练习题

开发人员把生产API密钥提交到远程Git仓库，五分钟后发现并在新提交中删除该文件。此时正确的处置顺序是（）。

生产集群准备部署registry.example.com/pay:latest。安全团队发现latest标签曾被重新指向另一镜像。要降低供应链替换风险，最合适的控制是（）。

服务提供方收到一份签名有效且尚未过期的SAML断言，但断言中的Audience指向另一个系统，Recipient也不是本系统的断言消费地址。正确处理是（）。

用户登录时提交了当前30秒时间步生成的TOTP验证码，服务器验证成功。攻击者在该时间步结束前截获并再次提交完全相同的验证码。安全的验证系统应（）。

一封邮件显示SPF通过、DKIM也通过，但两项验证使用的域名都与用户看到的From域名example.com不满足DMARC对齐要求。DMARC结果最可能是（）。

对象存储中有数百万个大文件，每个文件由数据加密密钥DEK加密，DEK再由密钥加密密钥KEK包装。现在需要轮换KEK，合理做法是（）。

网站使用Content-Security-Policy允许带指定nonce的内联脚本执行，但开发人员把nonce固定为company2026并长期复用。最合适的改进是（）。

远程员工位于家庭路由器之后，客户端与VPN网关检测到路径上存在NAT。为提高IPsec数据流穿越NAT设备的兼容性，通常应采用（）。

域内用户已经获得TGT，但工作站时间比应用服务器慢10分钟。访问业务服务时返回时钟偏差错误。最合理的解释与处理是（）。

某单位为域名部署DNSSEC，希望既防止伪造解析记录，又不让网络旁路人员看到用户查询了哪些域名。关于DNSSEC的作用，正确的是（）。

某支付接口计划使用 TLS 1.3 的 0-RTT Early Data 降低重复连接延迟。安全评审认为转账请求不应直接放在 0-RTT 数据中，主要原因是（）。

某原生移动应用采用 OAuth 2.0 授权码流程。由于客户端无法安全保存固定密钥，设计者希望降低授权码被其他应用截获后换取令牌的风险。较合适的机制是（）。

在一个用于考试演算的小型RSA示例中，取素数p=11、q=17，公钥指数e=7。按φ(n)=(p-1)(q-1)且ed≡1 mod φ(n)计算，私钥指数d为（）。

甲公司只允许持有本单位证书的合作系统调用结算接口。双方决定在 TLS 握手阶段实施双向认证。与常见的单向 HTTPS 相比，该方案新增的关键验证是（）。

网站提供“输入图片 URL，由服务器下载并生成缩略图”功能。攻击者提交指向云环境链路本地元数据服务的 URL，试图让服务器代为读取凭据。该攻击主要属于（）。

某网站使用 WebAuthn 进行无密码或多因素认证。与把同一个密码输入不同网站相比，WebAuthn 更能抵抗仿冒站点窃取凭证，关键原因是（）。

攻击者长期抓取某 HTTPS 服务的加密流量。数月后，服务器证书对应的长期私钥泄露。若历史连接使用 ECDHE 密钥交换且临时私钥已妥善销毁，则通常（）。

某系统为每个用户生成独立随机盐，并准备保存 `KDF(password, salt)`。与直接使用一次快速 SHA-256 相比，选择带可调工作因子的密码 KDF，主要是为了（）。

系统使用 AES-GCM 保护接口报文。接收方拥有正确密钥和 Nonce，但解密时认证标签校验失败。安全的处理方式是（）。

某系统使用同一把 AES 密钥以 CBC 模式加密多条结构相近的业务报文，但为了便于实现，每次都使用相同的初始化向量 IV。攻击者即使不知道密钥，也可能观察到（）。

某移动 App 只信任预置的服务器证书或公钥指纹。即使攻击者通过某个异常 CA 证书链签发了看似有效的服务器证书，只要该证书或公钥不匹配 App 中固定的指纹，连接仍会被拒绝。该机制通常称为（）。

在 HTTPS 连接中，客户端需要确认服务器证书是否已被吊销。某方案由服务器提前向 CA 的 OCSP 响应服务获取带签名的证书状态响应，并在 TLS 握手时一并发送给客户端，减少客户端自己再去查询 OCSP 服务的开销。该机制通常称为（）。

某安全协议既需要让通信双方协商出后续加密使用的会话密钥，又需要证明某条消息确实由持有私钥的一方发出且内容未被篡改。关于密钥交换和数字签名，下列说法较准确的是（）。

某电子合同平台使用发送方私钥对合同摘要进行签名，接收方用发送方公钥验证合同来源和完整性；同时，接收方还需要通过 CA 签发的证书确认这个公钥确实属于发送方。关于数字签名和数字证书，下列说法较准确的是（）。

浏览器访问 HTTPS 网站时，会校验服务器证书，确认站点身份和证书链可信；握手过程中双方协商出后续通信使用的对称密钥，真正传输业务数据时主要用这个密钥进行加密。关于 TLS 握手中证书、公钥和会话密钥的理解，较准确的是（）。

某网站服务器证书仍在有效期内，域名也匹配，但该证书对应的私钥曾疑似泄露。浏览器或客户端除了检查证书链、有效期和域名外，还需要确认该证书是否已经被 CA 撤销。常见的证书吊销检查机制包括（）。

某接口请求使用 HMAC 进行签名，但安全测试发现攻击者如果截获一次合法请求，短时间内重复发送同一请求，服务器仍可能接受。团队决定在签名内容中加入时间戳和随机数 nonce，并在服务端检查时间窗口和 nonce 是否重复。这样做主要是为了防范（）。

某网站发现攻击者可以诱导已登录用户访问恶意页面，并借助浏览器自动携带目标站点 Cookie 的特性，向目标站点发起转账、修改邮箱等请求。网站将关键 Cookie 设置为 SameSite=Lax 或 SameSite=Strict，主要是为了（）。

发送方使用自己的私钥对消息摘要进行签名，接收方使用发送方的公钥验证签名。该机制最直接用于保障消息来源真实性、完整性，并支持（）。

某企业按岗位角色分配系统权限，例如财务主管、普通会计、审计人员分别拥有不同菜单和数据操作权限。员工岗位变化时，管理员主要调整其角色归属，而不是逐条给每个人配置权限。该访问控制方式更接近（）。

某网站允许用户使用第三方账号登录。用户在授权服务器完成登录和授权后，网站先拿到一个授权码，再由后端服务用授权码换取访问令牌。这样设计的主要目的之一是（）。

在商用密码应用中，某系统需要一种公钥密码算法用于签名和密钥交换，需要一种杂凑算法生成消息摘要，还需要一种分组密码算法对业务数据进行对称加密。下列对应关系较合理的是（）。

某程序把用户输入直接复制到固定长度缓冲区中，没有检查输入长度。攻击者提交超长数据后，可能覆盖相邻内存甚至影响程序控制流。为了降低这类风险，更合适的做法是（）。

某公司要把生产库中的用户手机号、身份证号提供给测试团队做联调。安全负责人要求先生成一份不可直接还原真实身份的测试数据副本；同时，生产系统后台仍按用户角色控制敏感字段展示，普通客服只能看到部分号码。关于这两类做法，下列说法更准确的是哪一项？

某网站已经支持 HTTPS，但安全人员担心用户首次输入 http:// 开头地址时，被中间人诱导继续使用明文 HTTP，导致登录 Cookie 或敏感请求暴露。网站希望浏览器以后强制使用 HTTPS 访问该域名。较合适的安全机制是（）。

某网站经常遭遇 SQL 注入、XSS、恶意扫描和异常请求。安全团队在 Web 应用前部署安全设备或云防护服务，对 HTTP/HTTPS 请求进行规则检测、拦截和记录。这类防护通常称为（）。

某接口调用方和服务端共享一个密钥。调用方把请求参数与密钥一起计算 HMAC，并把结果随请求发送。服务端用同一密钥重新计算并比对结果，以判断请求是否被篡改以及是否来自掌握密钥的一方。该机制主要用于（）。

某网站不直接保存用户明文密码，而是为每个用户生成随机盐值，将密码与盐值组合后再进行哈希存储。这样做主要是为了（）。

某移动应用的 Access Token 有效期较短，而 Refresh Token 可用于换取新的 Access Token。如果 Refresh Token 被攻击者窃取，攻击者可能在较长时间内持续获取访问令牌。该风险主要说明 Refresh Token 应当（）。

某前后端分离系统在用户登录后签发一个包含用户标识、过期时间和签名的令牌。后续请求携带该令牌，服务端校验签名和有效期后识别用户身份，而不必每次都查询集中式会话。该令牌机制常见的是（）。

浏览器访问 HTTPS 网站时，会检查服务器证书是否由受信任 CA 签发，证书域名是否匹配、是否过期，并沿证书链验证到可信根证书。这个过程主要是为了确认（）。

某系统疑似被攻击。安全人员同时查看防火墙、Web 服务器、数据库、主机登录和应用审计日志，按时间线把异常 IP、请求路径、登录行为和数据访问记录串起来判断攻击过程。这种分析方法更接近于（）。

某单位上线一批 Linux 服务器前，需要按统一要求关闭不必要服务、限制默认账户、设置口令策略、调整 SSH 登录配置并开启必要日志。上述工作更接近于（）。

某单位要求运维人员访问服务器时先登录统一平台，再由平台代为连接目标主机，并记录登录人、操作时间、命令和会话过程，便于事后追溯。较适合承担这种集中管控和审计功能的是（）。

某网站希望浏览器在跨站请求场景下不要随意携带敏感 Cookie，减少攻击者借用户登录态发起危险操作的机会。设置 Cookie 的 SameSite 属性，主要有助于降低（）。

某单位在 Web 系统安全建设中，同时部署边界防火墙、Web 应用防护、身份认证、最小权限、日志审计和备份恢复，而不是只依赖单一防护设备。这种安全建设思路主要体现了（）。

某网站在用户登录前后使用同一个 Session ID。攻击者如果提前诱导用户使用一个已知 Session ID，用户登录成功后攻击者可能利用该会话标识访问用户账号。为降低这类风险，较合理的做法是（）。

某论坛把用户昵称直接拼接到 HTML 页面中展示。攻击者把昵称改成带有脚本片段的内容，其他用户打开页面时浏览器可能执行该脚本。为了降低这类 XSS 风险，更合适的处理方式是（）。

用户已经登录某网站，攻击者诱导用户访问恶意页面，试图借用户浏览器携带的登录态向原网站提交转账请求。为了降低这类 CSRF 风险，网站较常用的措施是（）。

某单位计划在网络出口部署安全设备，希望不仅能发现异常入侵行为，还能在策略允许时主动阻断攻击流量。与 IDS 相比，IPS 更突出的特点是（）。

运维人员发现某服务器在凌晨突然向外发送大量异常流量，怀疑可能被入侵。作为安全事件应急响应，较合适的第一步是（）。

某系统为普通业务人员开通账号时，只授予其完成岗位工作所必需的功能权限，不额外开放管理员权限。这个做法体现了（）。

若 10 个用户之间任意两人都需要使用不同的对称密钥进行安全通信，则共需要多少个对称密钥？

发送方对文件计算摘要值，接收方收到文件后重新计算摘要并进行比较，以判断文件是否被篡改。该做法主要用于验证（）。

某系统要求接收方能够验证消息确实由发送方发出，并且发送方事后不能否认已经发送过该消息。通常应采用（）。

在密码技术中，加密和解密使用同一把密钥的加密方式通常称为什么？

某系统不是直接给每个用户逐项分配权限，而是先给角色分配权限，再把用户分配到相应角色。该访问控制思想属于哪一种模型？

Web 应用中，为防止用户输入被拼接成恶意 SQL 语句，开发时最应优先采用哪一种措施？

在公钥基础设施 PKI 中，数字证书通常用于把公钥和某个主体身份绑定起来，以证明该公钥属于相应主体。数字证书的主要作用是？

在信息安全中，用于把任意长度消息映射为固定长度摘要，且常用于完整性校验的算法称为什么？

为了验证消息来源真实性并防止发送方否认，通常可以使用哪种密码技术？