2025年信息系统安全专家防火墙与机器学习在威胁检测中的应用专题试卷及解析.pdfVIP

2025年信息系统安全专家防火墙与机器学习在威胁检测中的应用专题试卷及解析1

2025年信息系统安全专家防火墙与机器学习在威胁检测中

的应用专题试卷及解析

2025年信息系统安全专家防火墙与机器学习在威胁检测中的应用专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在防火墙技术中，以下哪种类型的防火墙能够理解并控制应用层的数据流？

A、包过滤防火墙

B、状态检测防火墙

C、应用层防火墙

D、电路级网关

【答案】C

【解析】正确答案是C。应用层防火墙（也称为代理防火墙）工作在OSI模型的应

用层，能够深入检查数据包的内容，理解特定应用的协议，从而实现更精细的访问控制。

A选项包过滤防火墙工作在网络层，仅根据IP地址、端口号等信息进行过滤，无法理

解应用层数据。B选项状态检测防火墙虽然能跟踪连接状态，但主要工作在网络层和传

输层。D选项电路级网关在会话层工作，不检查应用数据内容。知识点：防火墙分类及

工作原理。易错点：容易混淆状态检测防火墙和应用层防火墙的检测深度，状态检测防

火墙关注连接状态而非应用内容。

2、在机器学习应用于威胁检测时，下列哪个算法最常用于无监督异常检测？

A、决策树

B、支持向量机（SVM）

C、K均值聚类

D、随机森林

【答案】C

【解析】正确答案是C。K均值聚类是一种无监督学习算法，它通过将数据点分组

到不同的簇中来发现数据中的结构，不需要预先标记的数据。在威胁检测中，它可以将

正常行为聚类，而偏离这些簇的数据点则被视为异常。A、B、D选项（决策树、SVM、

随机森林）都属于监督学习算法，需要有标记的训练数据（即已知的正常和攻击样本）

才能进行模型训练。知识点：机器学习算法分类（监督/无监督）及其在安全领域的应用

场景。易错点：可能会误选SVM，因为SVM也可以用于异常检测（如OneClassSVM），

但K均值是更基础和典型的无监督聚类算法。

3、下一代防火墙（NGFW）与传统防火墙相比，其核心增强功能通常不包括以下

哪项？

A、应用识别与控制

B、入侵防御系统（IPS）集成

2025年信息系统安全专家防火墙与机器学习在威胁检测中的应用专题试卷及解析2

C、用户身份识别

D、仅基于IP地址和端口的过滤

【答案】D

【解析】正确答案是D。仅基于IP地址和端口的过滤是传统防火墙（如包过滤防火

墙）的基本特征。NGFW的核心增强功能正是超越了这种简单的过滤方式。A选项应

用识别与控制是NGFW的关键特性，能识别并管控如微信、抖音等具体应用。B选项

集成IPS功能，使其能主动检测并阻断已知的攻击行为。C选项用户身份识别功能，允

许基于用户或用户组而非仅仅是IP地址来制定策略。知识点：下一代防火墙（NGFW）

的定义和核心功能。易错点：容易将传统防火墙的功能误认为是NGFW的增强功能，

需要明确NGFW是“超越”传统防火墙的。

4、在机器学习模型训练中，如果训练集中恶意样本远少于正常样本，这种情况被

称为？

A、过拟合

B、欠拟合

C、类别不平衡

D、数据泄露

【答案】C

【解析】正确答案是C。类别不平衡是指在分类问题中，不同类别的样本数量差异

悬殊。在威胁检测场景中，正常流量远多于攻击流量，是典型的类别不平衡问题。A选

项过拟合指模型在训练集上表现很好，但在未知数据上表现差，与样本数量比例无关。

B选项欠拟合指模型过于简单，未能捕捉数据中的规律。D选项数据泄露指在训练过程

中使用了本不应知晓的测试集信息。知识点：机器学习中的常见问题。易错点：可能会

将类别不平衡与过拟合联系起来，因为严重的类别不平衡可能导致模型偏向多数类，从

而在少数类上表现不佳，但这不是过拟合的定义。

5、防火墙的“隐身模式”（StealthMode）通常指的是什么？

A、防火墙不响应任何来自外部的探测请求

B、防火墙对所有流量都进行加密

C、防火墙自身不设置IP地址

D、防火墙自动学习并生成安全策略

【答案】A

【解析】正确答案是A。隐身模式（或称“拒绝所有ICMP请求”）是一种安全配置，

使防火墙不响应如ping之类的ICMP探测包，从而在网络扫描中“不可