阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。

案例一 安全测评工程师小张对某单位的信息系统进行安全渗透测试时，首先获取A系统部署的WebServer版本信息，然后利用A系统的软件中间件漏洞，发现可以远程在A系统服务器上执行命令。小张控制A服务器后，尝试并成功修改网页。通过向服务器区域横向扫描，发现B和C服务器的root密码均为123456，利用该密码成功登录到服务器并获取root权限。

案例二 网络管理员小王在巡查时，发现网站访问日志中有多条非正常记录。 其中，日志1访问记录为: 'and updatexml（l，concat（Ox7e，（SELECT MD5（1234），0x7e），1） 日志2访问记录为 ，indexN2）}/alert（url）；url+=，小王立即采取措施，加强Web安全防范。

案例三 某信息系统在2018年上线时，在公安机关备案为等级保护第三级，单位主管认为系统已经定级，此后无须再做等保安全评测。

【问题1】（6分） 信息安全管理机构是行使单位信息安全管理职能的重要机构，各个单位应设立（1 信息安全 ）领导小组，作为本单位信息安全工作的最高领导决策机构。设立信息安全管理岗位并明确职责，至少应包含安全主管和“三员”岗位，其中“三员”岗位中:（2 安全管理员 ）岗位职责包括信息系统安全监督和网络安全管理，沟通、协调和组织处信息安全事件等；系统管理员岗位职责包括网络安全设备和服务器的配置、部署、运行维护和日常管理等工作；

（3 安全审计员 ）岗位职责包括对安全、网络、系统、应用、数据库等管理人员的操作行为进行审计，监督信息安全制度执行情况。

1.请分析案例一信息系统存在的安全隐患和问题（至少回答5点）；

2.针对案例一存在的安全隐患和问题，提出相应的整改措施（至少回答4点）。

安全问题：**WebServer版本信息泄露；中间件存在未修复漏洞；Web/中间件运行权限过高；网站缺少防篡改措施；服务器存在弱口令；多服务器共用相同root密码；root高权限账户管理不规范；服务器之间缺少安全隔离；缺乏入侵检测和安全审计。

整改措施：**隐藏WebServer版本信息；及时升级中间件、安装安全补丁；按照最小权限原则配置Web服务；部署网页防篡改；采用强口令并禁止密码复用；加强root等特权账户管理；通过防火墙/ACL进行服务器安全隔离；部署WAF、IPS/IDS及主机安全防护；加强日志审计和异常告警。

解析：开放题的送分题，针对题干一个个填就行。

1.案例二中，日志1所示访问记录是（4 SQL注入 ）攻击，日志2所示访问记录是（5 XSS ）攻击

2.案例二中，小王应采取哪些措施加强web安全防范？

参考答案：对输入进行检查，部署WAF网页防火墙

查看关键字， updatexml 、 SELECT MD5(1234) 、 concat 等典型SQL语句和数据库函数，攻击者试图通过URL参数构造恶意SQL语句，因此属于 SQL注入攻击 。

url.substring、 alert(url) 等JavaScript代码，说明攻击者试图向Web页面注入并执行恶意JavaScript脚本，因此属于 XSS跨站脚本攻击 。

案例三中，单位主管的做法明显不符合网络安全等级保护制度要求，请问，该信息系统应该至少（6 1 ）年进行一次等保安全评测，该信息系统的网络日志至少应保存（7 6 ）个月。

案例三中的系统在2018年已经定级并备案为 等级保护第三级 ，但“定级一次，以后就不用测评”的认识是错误的。

对于 三级系统 ，需要持续落实等级保护要求，包括定级、备案、建设整改、等级测评和监督检查等。三级系统不是“一测了之”，原则上应 每年至少开展一次等级测评 。

网络日志方面，根据《网络安全法》相关要求

采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关网络日志 不少于六个月 。

2026年软考网工及网规招生------------

想一次拿证，强烈建议参加我们的在线 培训，因为网工有 一半 是超纲的内容，而网规考试范围广泛，需要有效的辅导！

真题训练讲解： 2周 通过考试

• ▪高级交换模块（有线网络+无线网络）
• ▪高级路由模块（IGP/BGP/多协议/PBR/IPV6/MPLSVPN)
• ▪网络安全（安全基础/法律法规/网络攻防/防火墙/VPN//其他安全设备）
• ▪Linux模块（Linux系统管理/web服务/安全）

3）真题模块： 考试 题型分析、真题讲解、答题技巧等

4、培训费用：有优惠，欢迎咨询

网规知识点精讲： 1.5个月 （与网工同步）

网规案例、真题、论文： 1个月

2、培训内容（基于网规第3版）

第一篇为网络规划与设计综合知识

第 1 章介绍计算机网络基础知识，

第 2 章介绍网络互连与互联网，

第 3 章介绍网络规划与设计的知识和方法，

第 5 章介绍网络安全的知识，

第 6 章介绍标准化和网络安全法规；

第 8 章介绍网络故障分析与处理案例，

第 9 章介绍网络安全部署案例，

第 10 章介绍网络规划与设计论文写作的指导思想和写作技巧