【版区活动】安全区网络安全知识答题赢积分活动

白露为霜

活动地点：安全区
活动目的：增进对计算机安全的了解，丰富网络安全知识
活动内容：10个选择题+2个论述题+1道不计分的反馈题
活动时间：即日起至2026-9-15 23:59
活动加分准则：
每个题目10分，每分对应1经验。得分100及以上加1魅力，得满分2魅力。11题、12题除参与本贴奖励外，若内容优秀也可根据质量授予魅力或技术值的单独加分。13题不加分。
活动须知：
1.活动期间请遵守版规。对本活动贴所在的子版区有管理权限的会员不加分。
2.一人只能回复1贴。请在回帖中展示答案。
3.本次活动由安全区版主负责。

答案格式参考
1-10
AAAAA AAAAA
11、链接1
12、链接2
13、反馈内容

1. 某分析恶意样本沙箱系统需要实现：上传可疑文件后，自动触发「环境初始化→静态分析→动态运行监控→日志汇总→生成报告」的固定流水线流程，每个环节的输出是下一个环节的输入，最适合的架构是？
A. 虚拟机架构风格：​ 核心思想是人为构建一个统一的运行时抽象层，屏蔽底层硬件或平台的差异，使上层应用或代码能够在一致的环境中执行。不适合固定顺序的线性数据处理流水线
B. 管道-过滤器架构：​ 将系统拆分为多个独立处理单元（过滤器），数据像流水一样依次经过各个单元，前一单元输出作为后一单元输入，适合固定顺序、线性流转的数据处理流程
C. 微内核架构：​ 仅保留最小核心调度模块，其余业务功能全部做成可插拔插件，核心只负责插件管理、通信调度，适合功能灵活增减、插件动态扩展的场景
D. 事件驱动架构：​ 组件之间通过发送/监听事件触发动作，没有固定的流程顺序，某个环节完成后触发后续任意事件，适合异步、流程不固定的交互场景

2、某反病毒软件需要支持多种恶意代码检测引擎：静态特征匹配引擎、启发式行为分析引擎、云查杀引擎、AI模型检测引擎。要求新增检测引擎时，不需要修改客户端核心调度代码，客户端可以统一调用所有引擎完成扫描。同时客户端程序希望面向抽象编程，与具体检测引擎实现解耦。最适合采用的设计模式是？
A. 策略模式（Strategy Pattern）：定义一系列算法（检测引擎），将每个算法封装为独立类，使它们可以互相替换；客户端持有算法抽象接口，无需关心具体引擎实现，新增引擎只需新增实现类，符合开闭原则
B. 单例模式（Singleton Pattern）：保证一个类全局只有一个实例，常用于日志模块、配置管理；无法解决多种检测引擎动态切换与扩展的问题
C. 工厂方法模式（Factory Method Pattern）：定义一个创建对象的接口，由子类决定实例化哪一个类；侧重于对象创建解耦，但不直接解决运行时动态切换多种算法的问题
D. 观察者模式（Observer Pattern）：定义对象间一对多的依赖关系，当一个对象状态改变时自动通知所有依赖者；适用于事件通知场景，不适合统一调用多种检测算法

3、小张有一台陪伴自己多年的旧款办公笔记本，主板同时兼容Legacy与UEFI启动模式，硬盘为SATA固态硬盘，实测可正常安装并流畅运行下列任意一款Windows。他重装系统的硬指标之一是：装完后到2026年9月仍能正常接收微软官方安全补丁。启动盘里备了四个镜像：Windows 7 SP1 家庭普通版、Windows 10 22H2 专业版、Windows 10 企业版 LTSC 2019、Windows Vista 商业版 SP2。按上述要求，他应该选择的系统是？
A. Windows 7 SP1 家庭普通版
B. Windows 10 22H2 专业版
C. Windows 10 企业版 LTSC 2019
D. Windows Vista 商业版 SP2

4、小李日常使用电脑兼顾办公、炒股与游戏。工作时会接收同事的U盘拷贝大体积设计素材，闲暇时间在家打网游，偶尔外出也会连接商场、咖啡厅的公共WiFi浏览资讯。他电脑上已经部署了一套常驻式安全防护软件承担日常实时防护工作。近期听闻外来移动存储介质、开放网络环境容易传播恶意程序，他打算额外准备一款纯应急按需扫描工具，仅在怀疑文件存在风险时手动启动查杀，要求该工具不会在后台持续运行、不占用常驻内存、不提供实时文件监控防护，避免和现有主防软件产生冲突。下列安全软件中，符合小李需求的是？
A. 金山毒霸
B. Dr.Web CureIt!
C. Avast Free Antivirus
D. Microsoft Defender

5、 某安全厂商研发新一代云查杀反病毒平台，规划架构目标：海量历史恶意样本、正常文件元数据、终端行为日志长期低成本存储，支撑大模型离线训练与威胁狩猎；实时检测业务要求低延迟查询、高并发在线推理，需要强事务、标准化治理；检测引擎、样本管理、情报推送、模型服务拆分为独立微服务，支持弹性扩缩；终端轻量化Agent仅做特征提取，复杂AI检测上云；底层硬件选型需兼顾历史设备利旧与AI算力需求。关于该平台架构与设备选型，下列描述完全正确的是？
A. 采用湖仓一体化（Lakehouse）架构，统一对象存储底座，同时具备数据湖灵活存储非结构化样本与数仓ACID事务、Schema管控能力；AI训练读取原始样本，在线查杀微服务查询清洗特征表，避免数据冗余。硬件层面为追求极致稳定性，核心数仓节点全部选用大型机（Mainframe），利用其强大单机事务能力承载所有在线推理与批量训练负载
B. 传统Lambda架构（数据湖+独立数仓）最适合该场景，两套存储互不干扰；微服务之间全部采用同步HTTP强耦合调用以保证查杀实时性；底层采用纯x86通用服务器集群，大型机因架构封闭、I/O扩展性差，完全不适合任何安全数据分析场景
C. 湖仓一体架构下，使用Delta Lake/Iceberg提供事务支持；终端Agent、云端检测服务通过消息队列异步解耦，在线查杀链路可保留同步调用。硬件选型采用异构集群：历史遗留大型机仅承载核心交易型业务（如计费系统），AI训练与湖仓存储采用x86/GPU服务器集群，实现利旧与算力最优匹配
D. 云查杀AI大模型仅依赖Kafka消息队列缓存的实时上报样本做在线学习，不需要历史样本数据集，因此无需湖仓架构；大型机凭借极强纵向扩展能力，可直接部署GPU加速卡承载大模型训练，是AI安全平台的最优算力底座

6、老王是公司IT管理员，最近处理了一起安全事件：一名员工运行了看似正常的办公辅助工具，传统杀毒软件没有报警——该文件哈希不在任何特征库里，也没有被公开标记为恶意。但随后这台电脑开始悄悄向外发起异常网络连接，并释放出内存攻击载荷。老王事后复盘发现，传统杀毒依靠已知特征库，对没有特征、没有签名的新型攻击防护能力不足。为了补齐防御短板，老王计划部署一套端点安全方案，核心要求是：不单纯依赖文件特征匹配，能够持续记录终端上进程启动、网络连接、文件操作等完整行为，通过行为规律识别未知威胁；发生异常时可以回溯完整攻击链路，并且支持远程阻断、隔离等处置动作。下列选项中，最符合老王需求的方案类型是？
A. 传统杀毒软件，依靠恶意文件哈希特征库识别已知病毒
B. EDR（端点检测与响应），持续采集终端行为数据，基于行为分析检测未知威胁，支持威胁溯源与响应处置
C. 安全浏览器，能够检测恶意网站，阻止恶意脚本运行
D. 定期全盘扫描工具，仅支持计划任务查杀，不具备实时监控能力

7、某安全厂商研发新一代终端未知威胁检测引擎，引入大语言模型（LLM）结合RAG（检索增强生成）架构分析终端进程行为序列，用于识别无特征、无签名的未知恶意行为。系统将进程创建、文件写入、注册表修改、网络连接等行为抽象为离散事件符号，构建有限自动机（Finite Automaton）模型描述正常软件与恶意软件的行为状态转移规律。关于该引擎的架构设计与安全机理，下列描述完全正确的是？
A. RAG架构中，向量数据库仅存储已知恶意样本的特征哈希与YARA规则；检测时直接将终端实时行为序列转换为文本Prompt送入LLM，由大模型直接判断是否为未知威胁，无需自动机模型参与推理
B. 有限自动机模型中，正常软件的行为状态转移应限定在正常行为状态集合内；若行为序列驱动自动机进入接受状态（Accept State），则判定为潜在未知威胁。RAG负责从知识库检索相似历史行为图谱，为大模型提供上下文证据，辅助区分真实攻击与正常软件罕见行为（误报消减）
C. 为提升未知威胁检测率，应关闭RAG的外部知识检索功能，完全依赖LLM的自身参数记忆判断行为合法性；有限自动机仅用于正则匹配已知恶意行为模式，无法建模未知威胁的变长行为序列
D. 大模型RAG推理结果可直接作为终端阻断指令下发；自动机状态转移判定为异常时，无需结合RAG上下文校验，EDR应立即终止进程、回滚文件操作，以最大化防范未知威胁

8、某EDR厂商研发新一代脚本恶意代码检测引擎，需要对抗无文件攻击、内存加载恶意脚本、脚本代码运行时动态生成等绕过手段。攻击者常利用脚本语言（PowerShell / Python / VBScript等）的动态特性，在运行时拼接、解密、编译执行恶意代码。关于脚本引擎内部机制、编译原理与终端安全检测技术，下列描述完全正确的是？
A. PowerShell的Invoke-Expression、Python的exec()、JScript的eval()均属于动态编译/动态代码生成机制；脚本引擎会在编译期（Compile-time）完成全部语法分析与中间代码生成，因此终端安全软件只能在脚本文件落盘时基于静态特征检测恶意代码
B. 现代脚本引擎（如.NET CLR、V8、CPython）执行流程包含：词法分析→语法分析→语义分析→中间表示（IR）生成→优化→解释执行或JIT编译。EDR可在JIT编译阶段或脚本引擎AST（抽象语法树）构建完成后插入钩子，获取动态生成的解密后代码，从而检测内存中拼接的恶意脚本
C. 攻击者使用Base64编码、字符串拆分、变量替换等混淆手段后，脚本的抽象语法树（AST）结构会发生根本性改变，因此基于AST的安全检测方案无法应对代码混淆，必须完全依赖沙箱动态执行检测
D. 脚本语言的动态类型系统与运行时反射机制对终端检测无影响；EDR只需在用户态挂钩脚本解释器的文件读写API即可完整捕获所有脚本行为，无需深入脚本引擎内部插桩

9、某安全团队研发跨平台恶意代码检测引擎，需要支持分析在Wine兼容层下运行的Windows恶意程序。攻击者利用Wine环境绕过传统终端防护，执行跨平台恶意载荷。关于Wine运行机制、恶意行为检测原理与对抗技术，下列描述完全正确的是？
A. Wine是轻量级虚拟机，完整模拟Windows内核与底层硬件；在Wine中运行的Windows恶意程序可以触发Linux宿主机Windows反病毒软件的内核驱动监控，传统EDR检测方案可直接完整覆盖Wine环境
B. Wine仅实现Windows用户态API，不兼容Windows内核驱动模型；传统依赖Windows内核回调、ETW、minifilter驱动的恶意行为检测手段在Wine环境中无法生效。有效检测思路是在Wine服务端层面监控API调用翻译流程，同时在Linux宿主机侧结合ptrace、eBPF、seccomp等机制监控系统调用，构建跨层行为分析链路
C. 在Wine中运行的恶意程序只能访问Wine模拟的虚拟注册表与文件映射，无法对Linux宿主机文件系统、进程空间造成任何实际危害；因此无需针对Wine环境设计专门检测机制，依靠宿主机Linux防火墙即可完全阻断威胁
D. 利用Wine运行无文件攻击时，恶意代码直接在内存中解密执行，不会写入磁盘；Wine的API翻译层会自动对内存中的恶意代码进行静态扫描并阻断，无需额外部署安全组件

10、同事小陈午休时收到一条短信，内容显示他的网盘账号存在异常登录，需要立即核验身份，附带了一条跳转链接。出于安全习惯，他没有立刻点击，先把链接复制到电脑浏览器里查看地址栏信息。打开页面后，浏览器地址栏左侧挂着闭合的锁型图标，网址前缀为https://。页面视觉高度仿造官方登录界面，账号、密码输入框一应俱全。小陈隐约记得，不能仅凭浏览器里的几个标识判断网站安全，很多钓鱼网站同样能够部署加密证书。下列对于网页访问风险、加密协议与钓鱼网站特征的描述，完全正确的是？
A. 只要地址栏显示https://与锁型图标，代表网站身份经过严格核验，可以放心填入账号密码
B. HTTPS依靠SSL/TLS协议实现加密传输，能够防范传输过程中数据被中间人窃听、篡改；但加密协议仅保障传输通道安全，无法证明网站本身合法，钓鱼网站同样可以申请证书
C. 未启用加密的HTTP协议会对传输数据加密，公共WiFi环境下不用担心账号信息被同局域网设备抓取
D. 钓鱼网站只能使用HTTP协议搭建，所有HTTPS站点均不存在钓鱼、诈骗风险

11、介绍你正在使用的杀毒软件，用 300 字左右描述你为什么选择它、是否推荐使用，在国外杀毒软件区（或者国内杀毒软件区，卡巴斯基区，含子版块）单独发帖，在本活动帖回复中列出链接即可。

12、什么是“银狐”木马？结合攻击传播链路、主流对抗技术特征阐述其运行原理，同时可以描述终端感染后的直观中毒特征，运行原理相关分析不限于上述提示角度，可结合真实案例、公开安全报告自由拓展；并从个人终端、企业环境、应急处置等多个维度，完整论述综合防范方案。正文不少于500字，帖子需单独发布在安全区合适的子版区，标题自拟，鼓励结合亲身见闻或者真实攻防案例展开讨论，尽量贴合实际场景。在本活动帖回复中列出链接即可。

13、本题不计入总分。请写下你在完成本次活动过程中产生的疑问、感到困惑的知识点。你也可以写下任何希望获得进一步讲解、反馈或额外学习支持的内容。