信息安全工程师一年仅考一次，2026年下半年信息安全工程师10月24日开考，综合知识、案例分析连考，考试时间为10月24日8:30—12:30。信管网将在考后及时为大家整理2026年下半年信息安全工程师案例分析识真题答案及解析，更新状态——已更新完整。

历年信息安全工程师《案例分析》真题：https://www.cnitpm.com/exam/6_2_1.html

☛大家觉得这次考试难度怎么样？→2026年下半年信息安全工程师考后难度调查投票

相关阅读：

●2026年下半年信息安全工程师真题答案及解析汇总

●2026年下半年软考真题答案及解析汇总

2026年下半年信息安全工程师案例分析真题（完整版，考友回忆）

【答案/解析及估分地址：https://www.cnitpm.com/exam/6_2_1.html】

试题一 Android 应用安全与权限管理(15 分)

某地图导航类 App 的 AndroidManifest.xml 片段如下：

APK 解包后的目录结构(节选)：

【问题】

1.1(2 分) Android APK 的签名信息存储在哪个目录下?写出该目录下三个核心文件，并简述签名校验的信任链过程。

1.2(2 分) Android 应用中声明"使用系统权限"的标签是什么?

1.3(2 分) 上述 Manifest 中， INTERNET 与 READ_PHONE_STATE 分别用于申请什么能力?

1.4(2 分) INTERNET 与 READ_PHONE_STATE 在 Android 权限保护级别(Protection Level)上分别属于哪一类?

1.5(2 分) 该应用是一个地图类 App。从最小权限原则出发，应保留哪些权限、删除哪些权限?

1.6(5 分) 根据场景判断对应的 OWASP Mobile Top 10(M 系列)分类：

1.6.1 应用日志中明文打印了用户 Token 和会话 ID;

1.6.2 应用引入了存在已知漏洞的第三方 SDK;

1.6.3 android:allowBackup="true" ，导致数据可通过 adb backup 导出。

试题二Windows访问控制(15分)

【背景】

某单位对一台Windows服务器做安全核查，重点检查账户标识、文件访问控制与权限配置。

【问题】

2.1(2分)在访问控制模型中，下列属于"访问控制主体"的是(多选):A.用户B.文件C.数据D.进程E.系统资源

2.2(4分)

(1)下列SID中，代表本地超级管理员(Administrator)的是()

A.S-1-5-21-xxXX-xxx-500

B.S-1-5-21-xxXX-xxx-501

C.S-1-5-21-xxXX-xxx-1004

D.S-1-5-21-xxXX-xxx-1001

(2)Windows命令行中，查看当前登录用户SID信息的命令是( )。

2.3(4分)查看c:/windows/system32/config/SAM的“高级安全设置“窗口，其中所有者(Owner)为SYSTEM,权限条目含SYSTEM(完全控制)、Administrators(完全控制)等。

(1)“自主访问控制“对应窗口中的哪个标签/结构?( )(权限/审核/有效访问)

(2)"系统访问控制(审计)“对应哪个标签/结构?( )(权限/审核/有效访问)

(3)对于客体而言，访问控制表(ACL)的表达式(即ACL由什么构成)是什么?

2.4(5分)已知某文件的1s-1输出为：

-rw-r-r--1 root root 4096 Jan 110:00 passwd.sh

(1)该文件的所有者是谁?

(2)与该所有者同组的其他用户拥有什么权限?

(3)该文件权限用数字表示是多少?

(4)该文件权限的表达方式属于哪种访问控制类型?(DAC/MAC/RBAC)

试题三 网络安全模型与攻击链分析(15 分)

【背景】

某主机安全设备记录到如下事件序列：

【问题】

3.1(2分)CIA是信息安全的基础要素，分别是什么?

3.2(3分)分别指出下列行为违反了CIA三要素中的哪一个：

①导出用户数据9.8GB;②清除安全日志;③系统数据被加密、无法访问。

3.3(2分)在“网络攻击链(Kill Chain)“模型中，下列行为分别属于哪个阶段：

①创建隐蔽账号xxx;②清除安全日志。

3.4(2分)在MITRE ATT&CK框架中，下列行为分别属于哪个战术(Tactic):

①端口扫描;②导出9.8 GB数据。

3.5(3分)在PDRR模型(Protection-Detection-Response-Recovery)中，下列措施分别属于哪个阶段：

①部署安全补丁;②隔离受感染主机;③从备份恢复数据。

3.6(3分)在NIST CSF五大功能中，下列活动分别属于哪一功能：

①评估系统风险;②监测网络流量异常;③隔离受感染主机

试题四Ubuntu/Linux账户与口令安全(15分)

【背景】

某单位一台Ubuntu服务器需做账户与口令安全核查。已知：

/etc/passwd中一行：

ubuntu:x:1000:1000:ubuntu1,,,,/home/ubuntu:/bin/bash

/etc/shadow中对应一行：

ubuntu:56saltShashstring:19800:0:99999:7:::

【问题】

4.1(2分)Linux系统中，用户与UID的映射关系存储在哪个文件中?

4.2(5分)

(1)该用户名是哪个字段?

(2)该用户是普通用户还是管理员用户?判断依据是什么?

(3)第二字段(x)代表什么信息?

(4)第二字段可以为空吗?若为空代表什么含义?

(5)用户口令实际存储在哪个文件?该文件的权限通常是多少?

4.3(2分)/etc/shadow中65开头的那一长串加密口令属于哪种加密方式?是否可逆?

4.4(2分)修改用户密码的命令是什么?

4.5(2分)普通用户执行passwd修改自己密码时，需要依赖Linux特殊权限中的哪一个?(SUID/SGID/Sticky)

4.6(2分)该特殊权限有什么特殊含义?存在什么安全风险?

试题五 SSH 服务安全配置(15 分)

【背景】

某 Ubuntu 服务器的 /etc/ssh/sshd_config 片段如下：

LoginGraceTime 2m

StrictModes yes

MaxAuthTries 6

MaxSessions 10

PasswordAuthentication yes

PermitRootLogin yes

UsePAM yes

【问题】

5.1(3分)SSH协议主要实现了哪些安全特性?(从以下选项中选：完整性验证、保密性、可用性、认证、不可抵赖)

5.2(5分)

(1)SSH服务端默认监听端口是多少?

(2)SSH服务端配置文件所在目录是什么?该目录权限(数字表示)是多少?

(3)SSH客户端密钥与配置通常放在哪个目录?该目录推荐权限是多少?私钥文件推荐权限是多少?

5.3(3分)

(1)默认私钥文件名是什么?

(2)默认公钥文件名是什么?

(3)服务端允许哪些公钥登录的配置文件叫什么?

5.4(2分)针对上述配置片段：

(1)该配置最大的安全问题是什么?

(2)重启SSH服务的命令是什么(systemd系统)?

5.5(2分)

(1)Ubuntu系统的SSH日志在哪个文件?

(2)针对SSH服务的口令暴力破解攻击，该日志文件中最常出现的特征字符串是什么?