网络安全试卷及答案

上周给网络工程专业的网络学生出了一套期中测验卷，批改到凌晨两点，安全案越批越觉得这份卷子本身比学生答案更有意思。试卷索性把卷子和参考答案一起整理出来，及答供同行参考，网络也供自学者自测。安全案

试卷共四道大题，试卷满分一百分。及答第一题是网络选择题，考的安全案是基础概念。比如“下列哪种攻击属于被动攻击？试卷”选项有DDoS、嗅探、及答SQL注入、网络勒索软件。安全案标准答案是试卷嗅探。有意思的是，有七个学生选了勒索软件，问他们为什么，说“勒索软件会加密文件，文件被动了，不就是被动攻击吗？”——这逻辑倒也没全错，但攻击的主动被动，看的是攻击者是否与目标系统产生交互。嗅探只是听，不碰，像小偷在门外听屋里有没有人；勒索软件是破门而入把电视机搬走，妥妥的主动攻击。

第二题是简答题，让解释“零日漏洞”的含义。大部分学生能写出“厂商尚未发现或尚未修补的漏洞”，但只有两个学生提到“零日”这个名字来源于漏洞公开与补丁发布之间的时间差为零天。有个学生写得很形象：“就像你家的锁芯是新型的，小偷研究出来了，但锁匠还不知道，所以暂时没人能修。”我给了满分，虽然表述不严谨，但抓住了精髓。

第三题是实操题，给了一段抓包记录，让学生找出其中的TCP三次握手过程。这道题错误率最高。很多学生能认出SYN和ACK标志位，但分不清哪个包对应哪一次握手。有个学生把第二次握手的SYN+ACK包单独拆开，说“这是两次握手合并成一次了”——他忘了TCP允许标志位叠加。这个错误很典型，说明教材上的示意图和真实报文之间，隔着一条需要亲手抓包才能填平的沟。

第四题是论述题，问“防火墙和入侵检测系统（IDS）的核心区别是什么，各举一个适用场景”。收上来的答案里，最让我印象深刻的是一个平时成绩中等的女生写的。她说防火墙像小区门口的保安，按名单放行，名单上没有的一律不让进；IDS像楼里的监控摄像头，不拦人，但看到有人撬门就报警。然后她补了一句：“所以防火墙适合用来防外部攻击，IDS更适合发现内部人员搞小动作——比如实习生偷偷拷走客户资料。”这个类比不算完美，但她的场景选择比很多照搬教材的学生精准得多。教材上写“防火墙部署在网络边界，IDS部署在关键网段”，但她能想到内部威胁，说明她真理解了。

参考答案里，我特意加了一道附加题，不计分，纯思考：“如果让你设计一套防御方案，但只能选一种设备，你选防火墙还是IDS？为什么？”这道题没有标准答案。选防火墙的，理由大多是“先挡住再说”；选IDS的，理由大多是“挡不住的时候至少要知道”。有个学生写：“我选IDS，因为防火墙漏掉的东西，IDS能告诉我；但IDS报警了，防火墙却不会自己学会拦截——所以最好两个都要，但只能选一个的话，我选知道敌人怎么进来的那个。”这话有点绕，但透着实战思维。

整份卷子批完，最大的感受是：网络安全这门课，光背概念没用。学生能把“纵深防御”的定义默写得一字不差，但问他公司服务器被勒索了第一步该干嘛，十个里有八个愣住。正确答案是断网、备份、查日志，但很多人第一反应是“先打补丁”——都已经被加密了，打补丁防谁呢？

最后说句掏心窝的话：这套卷子不是用来考倒学生的，是用来逼他们从“背名词”转向“想场景”的。如果你自己测了一遍，发现选择题错了一半，别慌，这恰恰说明你该去装个虚拟机，亲手发几个恶意包试试了。纸上谈兵，永远成不了网安老兵。