2025年全國大學生網絡安全知識競賽經典題庫及答案（共70題）1.以下哪一種數據告缺方式可以保證最高的RPO要求：A．同步復制B．異步復制C．定點拷貝復制D．基于磁盤的復制2.當公司計算機網絡受到攻擊，進行現場保護應當:1〉指定可靠人員看守2〉無特殊且十分必須原因禁止任何人員進出現場3〉應采取措施防人為地刪除或修改現場計算機信息系統保留的數據和其他電子痕跡4〉無行列且十分必須原因禁止任何人員接觸現場計算機A．1，2B．1，2，3C．2，3D．1，2，3，4&3.有一些信息安全事件是由于信息系統中多個部分共同作用造成的，人們稱這類事件為“多組件事故”，應對這類安全事件最有效的方法是：A．配置網絡入侵檢測系統以檢測某些類型的違法或誤用行為B．使用防病毒軟件，并且保持更新為最新的病毒特征碼C．將所有公共訪問的服務放在網絡非軍事區（DMZ）D.使用集中的日志審計工具和事件關聯分析軟件4.下列哪項是基于系統的輸入、輸出和文件的數目和復雜性測量信息系統的大小？A．功能點（FP）B．計劃評價與審查技術（PERT）C．快速應用開發（RAD）D．關鍵路徑方法（CPM）5.下面哪一項為系統安全工程能力成熟度模型提供了評估方法？A.ISSEB.SSAMC.SSRD.CEM6.一個組織的系統安全能力成熟度模型達到哪個級別以后，就可以考慮為過程域（PR）的實施提供充分的資源？A．2級――計劃和跟蹤B．3級――充分定義C．4級――最化控制D．5級――持續改進7.IT工程建設與IT安全工程建設脫節是眾多安全風險涌現的根源，同時安全風險也越來越多地體現在應用層。因此迫切需要加強對開發階段的安全考慮，特別是要加強對數據安全性的考慮，以下哪項工作是在IT項目的開發階段不需要重點考慮的安全因素？A．操作系統的安全加固B．輸入數據的校驗C．數據處理過程控制D．輸出數據的驗證8.以下哪一項對安全風險的描述是準確的？A、安全風險是指一種特定脆弱性利用一種或一組威脅造成組織的資產損失或損害的可能性。B、安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產損失事實。C、安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產損失或損害的可能性D、安全風險是指資產的脆弱性被威脅利用的情形。9.以下哪些不屬于脆弱性范疇？A、黑客攻擊B、操作系統漏洞C、應用程序BUGD、人員的不良操作習慣10.依據信息系統安全保障模型，以下那個不是安全保證對象A、機密性B、管理C、過程D、人員11.一個公司經常修正其生產過程。從而造成對處理程序可能會伴隨一些改動。下列哪項功能可以確保這些改動的影響處理過程，保證它們對系統的影響風險最小？A．安全管理B．變更控制C．問題追蹤D．問題升級程序12.應用軟件測試的正確順序是：A、集成測試，單元測試，系統測試，交付測試B．單元測試，系統測試，集成測試，交付測試C．交付測試，單元測試，集成測試，系統測試D．單元測試，集成測試，系統測試，交付測試13.哪個TCP/IP指令會得出下面結果？Interface:52InternetAddressPhysicalAddressTypeAo-ee-oo-5b-oe-acdynamicARPNetstatTracertNbtstat14.哪個TCP/IP協議能夠表明域里哪臺是郵件服務器？A、FTPB、nslookupC、tracertD、Telnet15、數據庫管理系統DBMS主要由哪兩大部分組成？A、文件管理器和查詢處理器B、事務處理器和存儲管理器C、存儲管理器和查詢處理器D、文件管理器和存儲管理器16.SQL語言可以在宿主語言中使用，也可以獨立地交互式使用。寄宿嵌入混合并行17.下列為對稱加密算法的例子為RijndaelRSADiffie-HellmanKnapsack18.下面哪種不是WINDOWS2000安裝后默認有的共享？C＄Ipc＄Admin＄Systemroot＄19.在WINDOWS2000系統中，用什么命令或工具可以看到系統上開放的端口和進程的對應關系？NETSTATNETUSEFPORTURLSCAN20．為盡量防止通過瀏覽網頁感染惡意代碼，下列做法中錯誤的是：不使用IE瀏覽器，而使用Opera之類的第三方瀏覽器。關閉IE瀏覽器的自動下載功能。禁用IE瀏覽器的活動腳本功能。先把網頁保存到本地再瀏覽。21.自主訪問控制與強制訪問控制相比具有以下哪一個優點？A．具有較高的安全性B．控制粒度較大C．配置效率不高D．具有較強的靈活性22.以下關于ChineseWall模型說法正確的是A.Bob可以讀銀行a的中的數據，則他不能讀取銀行c中的數據B.模型中的有害客體是指會產生利益沖突，不需要限制的數據C.Bob可以讀銀行a的中的數據，則他不能讀取石油公司u中的數據D.Bob可以讀銀行a的中的數據，Alice可以讀取銀行b中的數據，他們都能讀取在油公司u中的數據，由則Bob可以往石油公司u中寫數據23.以下關于BLP模型規則說法不正確的是：A．BLP模型主要包括簡單安全規則和*-規則B．*-規則可以簡單表述為下寫C．主體可以讀客體，當且僅當主體的安全級可以支配客體的安全級，且主體對該客體具有自主型讀權限D．主體可以讀客體，當且僅當客體的安全級可以支配主體的安全級，且主體對該客體具有自主型讀權限24.以下關于RBAC模型說法正確的是：A．該模型根據用戶所擔任的角色和安全級來決定用戶在系統中的訪問權限B．一個用戶必須扮演并激活某種角色，才能對一個象進行訪問或執行某種操作C．在該模型中，每個用戶只能有一個角色D．在該模型中，權限與用戶關聯，用戶與角色關聯25.下列對常見強制訪問控制模型說法不正確的是：A．BLP影響了許多其他訪問控制模型的發展B．Clark-Wilson模型是一種以事物處理為基本操作的完整性模型C．ChineseWall模型是一個只考慮完整性的安全策略模型D．Biba模型是一種在數學上與BLP模型對偶的完整性保護模型26.訪問控制的主要作用是：A.防止對系統資源的非授權訪問B.在安全事件后追查非法訪問活動C.防止用戶否認在信息系統中的操作D.以上都是27.作為一名信息安全專業人員，你正在為某公司設計信息資源的訪問控制策略。由于該公司的人員流動較大，你準備根據用戶所屬的組以及在公司中的職責來確定對信息資源的訪問權限，最應該采用下列哪一種訪問控制模型？A．自主訪問控制（DAC）B．強制訪問控制(MAC)C．基于角色訪問控制(RBAC)D．最小特權(LEASTPrivilege)28.下列對kerberos協議特點描述不正確的是：A.協議采用單點登錄技術，無法實現分布式網絡環境下的認證—B.協議與授權機制相結合，支持雙向的身份認證C.只要用戶拿到了TGT并且TGT沒有過期，就可以使用該TGT通過TGS完成到任一個服務器的認證而不必重新輸入密碼D.AS和TGS是集中式管理，容易形成瓶頸，系統的性能和安全也嚴重依賴于AS和TGS的性能和安全29.以下對單點登錄技術描述不正確的是：A．單點登錄技術實質是安全憑證在多個用戶之間的傳遞或共享B．使用單點登錄技術用戶只需在登錄時進行一次注冊，就可以訪問多個應用C．單點登錄不僅方便用戶使用，而且也便于管理D．使用單點登錄技術能簡化應用系統的開發30.下列對標識和鑒別的作用說法不正確的是：A.它們是數據源認證的兩個因素B.在審計追蹤記錄時，它們提供與某一活動關聯的確知身份C.標識與鑒別無法數據完整性機制結合起來使用D.作為一種必要支持，訪問控制的執行依賴于標識和鑒別確知的身份31.下面哪一項不屬于集中訪問控制管理技術？A．RADIUSB．TEMPESTC．TACACSD．Diameter32.安全審計是系統活動和記錄的獨立檢查和驗證，以下哪一項不是審計系統的作用？A．輔助辨識和分析未經授權的活動或攻擊B．對與已建立的安全策略的一致性進行核查C．及時阻斷違反安全策略的致性的訪問D．幫助發現需要改進的安全控制措施33.下列對蜜網關鍵技術描述不正確的是：A.數據捕獲技術能夠檢測并審計黑客的所有行為數據B.數據分析技術則幫助安全研究人員從捕獲的數據中分析出黑客的具體活動，使用工具及其意圖C.通過數據控制能夠確保黑客不能利用蜜網危害第三方網絡的安全D.通過數據控制、捕獲和分析，能對活動進行監視、分析和阻止34.以下哪種無線加密標準中哪一項的安全性最弱？A．WepB．wpaC．wpa2D．wapi35.路由器的標準訪問控制列表以什么作為判別條件？A.數據包的大小B.數據包的源地址C.數據包的端口號D.數據包的目的地址36.通常在設計VLAN時，以下哪一項不是VIAN規劃方法？A．基于交換機端口B．基于網絡層協議C．基于MAC地址D．基于數字證書37.防火墻中網絡地址轉換（MAT）的主要作用是：A．提供代理服務B．隱藏內部網絡地址C．進行入侵檢測D．防止病毒入侵38.哪一類防火墻具有根據傳輸信息的內容（如關鍵字、文件類型）來控制訪問連接的能力？A．包過濾防火墻B．狀態檢測防火墻C．應用網關防火墻D．以上都不能39.以下哪一項不屬于入侵檢測系統的功能？A．監視網絡上的通信數據流B．捕捉可疑的網絡活動C．提供安全審計報告D．過濾非法的數據包40.下面哪一項不是通用IDS模型的組成部分:A.傳感器B.過濾器C.分析器D.管理器41.windows操作系統中,令人欲限制用戶無效登錄的次數,應當怎么做?A.在”本地安全設置”中對”密碼策略”進行設置B.在”本地安全設置”中對”用戶鎖定策略”進行設置C.在”本地安全設置”中對”審核策略”進行設置D.在”本地安全設置”中對”用戶權利措施”進行設置42.下列哪一項與數據庫的安全的直接關系？A.訪問控制的程度B．數據庫的大小C．關系表中屬性的數量D．關系表中元組的數量43.ApacheWeb服務器的配置文件一般位于//local/spache/conf目錄.其中用來控制用戶訪問Apache目錄的配置文件是:A.httqd.confB.srm.confC.access.confD.inetd.conf44.關于計算機病毒具有的感染能力不正確的是:A.能將自身代碼注入到引導區B.能將自身代碼注入到限區中的文件鏡像C.能將自身代碼注入文本文件中并執行D.能將自身代碼注入到文檔或模板的宏中代碼45.蠕蟲的特性不包括:A.文件寄生B.拒絕服務C.傳播快D.隱蔽性好46.關于網頁中的惡意代碼,下列說法錯誤的是:A.網頁中的惡意代碼只能通過IE瀏覽器發揮作用B.網頁中的惡意代碼可以修改系統注冊表C.網頁中的惡意代碼可以修改系統文件D.網頁中的惡意代碼可以竊取用戶的機密文件47.當用戶輸入的數據被一個解釋器當作命令或查詢語句的一部分執行時,就會產生哪種類型的漏洞?A.緩沖區溢出B.設計錯誤C.信息泄露D.代碼注入48.下列哪一項不是信息安全漏洞的載體?A.網絡協議B.操作系統C.應用系統D.業務數據49.攻擊者使用偽造的SYN包,包的源地址和目標地址都被設置成被攻擊方的地址,這樣被攻擊方會給自己發送SYN-ACK消息并發回ACK消息,創建一個連接,每一個這樣的連接都將保持到超時為止,這樣過多的空連接會耗盡被攻擊方的資源,導致拒絕服務.這種攻擊稱為之為:A.Land攻擊B.Smurf攻擊C.PingofDeath攻擊D.ICMPFlood50.以下哪個攻擊步驟是IP欺騙(IPSPoof)系列攻擊中最關鍵和難度最高的?A.對被冒充的主機進行拒絕服務,使其無法對目標主機進行響應B.與目標主機進行會話,猜測目標主機的序號規則C.冒充受信主機想目標主機發送數據包,欺騙目標主機D.向目標主機發送指令,進行會話操作51.以下針對Land攻擊的描述,哪個是正確的?A.Land是一種針對網絡進行攻擊的方式,通過IP欺騙的方式向目標主機發送欺騙性數據報文,導致目標主機無法訪問網絡B.Land是一種針對網絡進行攻擊的方式,通過向主機發送偽造的源地址為目標主機自身的連接請求,導致目標主機處理錯誤形成拒絕服務C.Land攻擊是一種利用協議漏洞進行攻擊的方式,通過發送定制的錯誤的數據包使主機系統處理錯誤而崩潰D.Land是一種利用系統漏洞進行攻擊的方式,通過利用系統漏洞發送數據包導致系統崩潰52.下列對垮站腳本攻擊(XSS)描述正確的是:A.XSS攻擊指的是惡意攻擊者往WEB頁面里插入惡意代碼,當用戶瀏覽該頁之時,嵌入其中WEB里面的代碼會被執行,從而達到惡意攻擊用戶的特殊目的.B.XSS攻擊是DDOS攻擊的一種變種C.XSS.攻擊就是CC攻擊D.XSS攻擊就是利用被控制的機器不斷地向被網站發送訪問請求,迫使NS連接數超出限制,當CPU資源或者帶寬資源耗盡,那么網站也就被攻擊垮了,從而達到攻擊目的53.下列哪一項不屬于FUZZ測試的特性?A.主要針對軟件漏洞或可靠性錯誤進行測試.B.采用大量測試用例進行激勵響應測試C.一種試探性測試方法,沒有任何依據&D.利用構造畸形的輸入數據引發被測試目標產生異常54.對攻擊面(Attacksurface)的正確定義是:A.一個軟件系統可被攻擊的漏洞的集合,軟件存在的攻擊面越多,軟件的安全性就越低B.對一個軟件系統可以采取的攻擊方法集合,一個軟件的攻擊面越大安全風險就越大C.一個軟件系統的功能模塊的集合,軟件的功能模塊越多,可被攻擊的點也越多,安全風險也越大D.一個軟件系統的用戶數量的集合,用戶的數量越多,受到攻擊的可能性就越大,安全風險也越大55.以下哪個不是軟件安全需求分析階段的主要任務?A.確定團隊負責人和安全顧問B.威脅建模C.定義安全和隱私需求(質量標準)D.設立最低安全標準/Bug欄56.風險評估方法的選定在PDCA循環中的那個階段完成？A.實施和運行B.保持和改進C.建立D.監視和評審57.下面關于ISO27002的說法錯誤的是:A.ISO27002的前身是ISO17799-1B.ISO27002給出了通常意義下的信息安全管理最佳實踐供組織機構選用,但不是全部C.ISO27002對于每個措施的表述分”控制措施”、“實施指南”、和“其它信息”三個部分來進行描述D．ISO27002提出了十一大類的安全管理措施，其中風險評估和處置是處于核心地位的一類安全措施58.下述選項中對于“風險管理”的描述正確的是：A．安全必須是完美無缺、面面俱到的。B．最完備的信息安全策略就是最優的風險管理對策。C．在解決、預防信息安全問題時，要從經濟、技術、管理的可行性和有效性上做出權衡和取舍D．防范不足就會造成損失；防范過多就可以避免損失。59.風險評估主要包括風險分析準備、風險素識別、風險分析和風險結果判定四個主要過程，關于這些過程，以下的說法哪一個是正確的?A.風險分析準備的內容是識別風險的影響和可能性B．風險要素識別的內容是識別可能發生的安全事件對信息系統的影響程度C．風險分析的內容是識別風險的影響和可能性D．風險結果判定的內容是發現系統存在的威脅、脆弱和控制措施60.你來到服務器機房隔壁的一間辦公室，發現窗戶壞了。由于這不是你的辦公室，你要求在這辦公的員工請維修工來把窗戶修好。你離開后，沒有再過問這事。這件事的結果對與持定脆弱性相關的威脅真正出現的可能性會有什么影響？A．如果窗戶被修好，威脅真正出現的可能性會增加B．如果窗戶被修好，威脅真正出現的可能性會保持不變C．如果窗戶沒被修好，威脅真正出現的可能性會下降D．如果窗戶沒被修好，威脅真正出現的可能性會增加61.在對安全控制進行分析時，下面哪個描述是錯誤的？A．對每一項安全控制都應該進行成本收益分析，以確定哪一項安全控制是必須的和有效的B．應選擇對業務效率影響最小的安全措施C．選擇好實施安全控制的時機和位置，提高安全控制的有效性D．仔細評價引入的安全控制對正常業務帶來的影響，采取適當措施，盡可能減少負面效應62.以下哪一項不是信息安全管理工作必須遵循的原則？A．風險管理在系統開發之初就應該予以充分考慮，并要貫穿于整個系統開發過程之中B．風險管理活動應成為系統開發、運行、維護、直至廢棄的整個生命周期內的持續性工作C．由于在系統投入使用后部署和應用風險控制措施針對性會更強，實施成本會相對較低D．在系統正式運行后，應注重殘余風險的管理，以提高快速反應能力63.對于信息系統風險管理描述不正確的是：A.漏洞掃描是整個安全評估階段重要的數據來源而非全部B．風險管理是動態發展的，而非停滯、靜態的C．風險評估的結果以及決策方案必須能夠相互比較才可以具有較好的參考意義D．風險評估最重要的因素是技術測試工具64.下列哪一項準確地描述了脆弱性、威脅、暴露和風險之間的關系？A