2026年專業技術人員網絡安全素養試題庫及答案

2026年專業技術人員網絡安全素養試題庫及答案一、單項選擇題（本大題共20小題，每小題2分，共40分。每小題只有一個正確答案，請將正確選項前的字母填在題后括號內。）1.依據《中華人民共和國網絡安全法》，網絡運營者應當按照網絡安全等級保護制度的要求，采取技術措施，防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為。等級保護對象的安全保護等級分為（）。A.三級B.四級C.五級D.六級答案：C解析：網絡安全等級保護分為五個等級，從第一級到第五級，安全保護能力逐級增強。2.在密碼學中，RSA算法屬于（）。A.對稱加密算法B.非對稱加密算法C.哈希算法D.流密碼算法答案：B解析：RSA是典型的公鑰密碼體制，加密和解密使用不同的密鑰，屬于非對稱加密。3.下列哪項屬于典型的社交工程攻擊手段？（）A.SQL注入B.零日漏洞利用C.冒充IT部門人員誘導員工泄露密碼D.ARP欺騙答案：C解析：社交工程是利用人際交往的弱點進行攻擊，冒充權威人員誘導泄露敏感信息是典型手段。SQL注入屬于Web應用攻擊，零日漏洞利用屬于技術性攻擊，ARP欺騙屬于網絡協議攻擊。4.依據GB/T22239-2019《信息安全技術網絡安全等級保護基本要求》，第二級及以上系統應當每（）至少進行一次等級測評。A.半年B.一年C.兩年D.三年答案：B解析：等保2.0標準明確規定，第二級及以上系統每年至少開展一次等級測評。5.在數據安全法中，對重要數據的定義是指（）。A.任何商業數據B.一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益或者個人、組織合法權益的數據C.個人隱私數據D.企業財務數據答案：B解析：數據安全法對重要數據的定義強調其對國家安全、公共利益的影響，而非一般商業或隱私數據。6.以下關于密碼存儲的說法中，最安全的是（）。A.使用MD5哈希后存儲B.使用SHA-1哈希后存儲C.使用加鹽的bcrypt算法哈希后存儲D.使用Base64編碼后存儲答案：C解析：MD5和SHA-1已被證明存在碰撞漏洞且運算速度快，不利于抗暴力破解。Base64是編碼而非加密。bcrypt加鹽可以抵抗彩虹表攻擊，且計算速度慢，適合密碼存儲。7.某單位發生數據泄露事件，導致大量公民個人信息被非法獲取。根據《個人信息保護法》，該事件屬于（）級安全事件，應在（）小時內向主管部門報告。A.一般，24B.較大，12C.重大，24D.特別重大，48答案：A解析：根據《個人信息保護法》第五十七條，發生個人信息泄露的，應當立即采取補救措施，并通知履行個人信息保護職責的部門和個人。通知時限一般為24小時以內。8.在滲透測試中，用于識別目標主機開放端口和服務版本的技術稱為（）。A.漏洞掃描B.端口掃描C.暴力破解D.流量分析答案：B解析：端口掃描是信息收集階段的關鍵步驟，通過掃描發現目標主機開放的TCP/UDP端口及對應服務，為后續漏洞探測提供基礎。9.以下關于零信任安全模型的描述中，錯誤的是（）。A.默認不信任網絡內部的所有實體B.每次訪問請求都需要經過身份驗證和授權C.只有在網絡邊界外部才需要實施零信任策略D.需要持續驗證和監控答案：C解析：零信任的核心是“永不信任，始終驗證”，無論訪問來自網絡內部還是外部，都需要進行驗證和授權，其策略不應僅局限于網絡邊界。10.根據《關鍵信息基礎設施安全保護條例》，關鍵信息基礎設施的運營者應當優先采購（）。A.價格最低的產品B.安全可信的網絡產品和服務C.功能最全的產品D.外國品牌產品答案：B解析：條例第十四條要求運營者應當優先采購安全可信的網絡產品和服務，并可能通過安全審查。11.在Web應用中，通過構造特殊參數使服務器執行非預期的系統命令的攻擊方式稱為（）。A.跨站腳本攻擊（XSS）B.命令注入C.跨站請求偽造（CSRF）D.文件包含漏洞答案：B解析：命令注入是將惡意命令拼接到系統命令中，使服務器執行。XSS是客戶端腳本注入，CSRF是偽造用戶請求，文件包含是引入任意文件。12.下列關于防火墻的說法中，正確的是（）。A.防火墻可以完全阻止所有網絡攻擊B.防火墻可以檢測并阻止所有應用層攻擊C.防火墻是網絡安全的第一道防線，但需要與其他安全措施配合使用D.防火墻可以替代入侵檢測系統答案：C解析：防火墻主要在網絡層和傳輸層進行訪問控制，不能完全阻止所有攻擊，也不能檢測所有應用層攻擊，無法替代IDS/IPS。13.根據我國《網絡安全法》的規定，網絡運營者收集、使用個人信息，應當遵循（）的原則。A.合法、正當、必要B.全面、準確、及時C.公開、共享、高效D.授權、留存、審計答案：A解析：《網絡安全法》第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則。14.以下哪個CVE編號對應的漏洞是Log4j2的遠程代碼執行漏洞？（）A.CVE-2021-44228B.CVE-2017-0144C.CVE-2019-0708D.CVE-2020-1472答案：A解析：CVE-2021-44228即著名的Log4Shell漏洞，影響ApacheLog4j2組件。CVE-2017-0144是永恒之藍，CVE-2019-0708是BlueKeep，CVE-2020-1472是Zerologon。15.在數據備份策略中，每周日進行一次全量備份，周一至周六每天進行增量備份。若周三上午系統崩潰，需要恢復數據時，正確的恢復順序是（）。A.直接恢復周三的增量備份B.先恢復上周日的全量備份，再依次恢復周一、周二的增量備份C.先恢復上周日的全量備份，再恢復周三的增量備份D.先恢復周二的增量備份，再恢復周三的增量備份答案：B解析：增量備份依賴上一次備份。恢復時必須先恢復最近一次全量備份，再按時間順序依次恢復后續所有增量備份，直至崩潰前的最后一次增量備份。16.下列哪種網絡攻擊方式利用了TCP三次握手的機制，發送大量半連接請求，導致目標服務器資源耗盡？（）A.SYNFlood攻擊B.DNS放大攻擊C.PingofDeathD.Smurf攻擊答案：A解析：SYNFlood通過發送大量SYN包但不完成三次握手，使服務器維持大量半連接，耗盡資源。DNS放大和Smurf屬于放大攻擊，PingofDeath屬于畸形報文攻擊。17.依據《數據安全法》，國家建立數據分類分級保護制度，對數據實行分類分級保護。其中（）數據應當予以嚴格保護。A.企業財務數據B.關系國家安全、國民經濟命脈、重要民生、重大公共利益的數據C.個人消費數據D.行業統計數據答案：B解析：數據安全法第二十一條明確，關系國家安全、國民經濟命脈、重要民生、重大公共利益的數據屬于核心數據，實行嚴格保護。18.以下關于AI安全的說法中，不正確的是（）。A.對抗樣本攻擊可以使AI模型產生錯誤分類B.數據投毒攻擊會影響AI模型的訓練質量C.AI模型不存在隱私泄露風險D.需要關注AI系統的可解釋性和公平性答案：C解析：AI模型在訓練數據中可能包含個人信息，模型本身也可能通過成員推斷攻擊等方式泄露隱私，因此存在隱私泄露風險。19.在事件應急響應中，第一步應當（）。A.收集和分析證據B.隔離受感染的系統C.通知管理層和相關部門D.制定應急響應計劃答案：D解析：應急響應的第一步是事先制定應急響應計劃，明確角色分工和流程，才能有效應對事件。事件發生后，首要操作是隔離，但計劃本身應先于事件存在。20.下列密碼中，強度最高的是（）。A.`123456`B.`password`C.`P@ssw0rd2026`D.`Tr0ub4dor&3`答案：D解析：密碼強度取決于長度、字符種類和不可預測性。`Tr0ub4dor&3`長度12位，包含大小寫字母、數字和特殊字符，且非字典詞。`P@ssw0rd2026`雖然包含多種字符，但包含常見詞根，容易被字典攻擊。二、多項選擇題（本大題共10小題，每小題3分，共30分。每小題有兩個或兩個以上正確答案，多選、少選、錯選均不得分。）1.以下屬于常見的Web應用安全威脅的有（）。A.SQL注入B.跨站腳本攻擊C.文件上傳漏洞D.分布式拒絕服務攻擊答案：ABCD解析：這四種均為OWASPTop10中列出的Web應用典型威脅，DDoS雖屬網絡層攻擊，但在Web應用場景中同樣常見。2.關于雙因素認證（2FA），以下說法正確的有（）。A.雙因素認證組合了兩種不同類型的認證因素B.常見的認證因素包括知識因素、持有因素和生物特征因素C.雙因素認證可以完全替代密碼D.雙因素認證能有效降低因密碼泄露導致的風險答案：ABD解析：雙因素認證不替代密碼，而是在密碼基礎上增加第二層驗證。C項錯誤，其他三項正確。3.以下屬于《網絡安全法》規定的網絡運營者安全保護義務的有（）。A.制定內部安全管理制度和操作規程B.采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施C.采取監測、記錄網絡運行狀態、網絡安全事件的技術措施D.按照規定留存相關的網絡日志不少于六個月答案：ABCD解析：《網絡安全法》第二十一條規定了上述全部義務，包括制定安全制度、采取技術措施、監測記錄并留存日志不少于六個月。4.關于勒索軟件攻擊，以下說法正確的有（）。A.勒索軟件通常會加密受害者的文件B.支付贖金后一定能恢復文件C.定期備份是抵御勒索軟件的有效措施D.勒索軟件只通過電子郵件傳播答案：AC解析：支付贖金并不保證文件一定恢復，B錯誤。勒索軟件還可通過漏洞利用、弱口令、U盤等多種方式傳播，D錯誤。定期備份可以無贖金恢復數據，A、C正確。5.在安全編碼實踐中，以下屬于有效防御SQL注入的措施有（）。A.使用參數化查詢B.對用戶輸入進行白名單校驗C.使用存儲過程D.拼接SQL語句并過濾單引號答案：ABC解析：參數化查詢、白名單校驗和使用存儲過程都是推薦的安全編碼方式。D項僅過濾單引號不夠全面，攻擊方式多樣，不推薦手動過濾拼接。6.以下關于隱私保護的說法中，正確的有（）。A.隱私保護是數據安全的重要組成部分B.隱私保護僅涉及技術手段，不需要管理措施C.數據脫敏可以降低數據泄露的風險D.個人信息保護影響評估是高風險處理活動的必要環節答案：ACD解析：隱私保護需要技術手段和管理制度相結合，B錯誤。其他選項均正確。7.依據《關鍵信息基礎設施安全保護條例》，關鍵信息基礎設施的運營者應當履行的安全保護義務包括（）。A.設置專門安全管理機構和安全管理負責人B.對關鍵崗位人員進行安全背景審查C.定期組織應急演練D.每年至少進行一次網絡安全檢測和風險評估答案：ABCD解析：條例規定運營者應當設立專門機構、審查關鍵崗位人員、定期應急演練、每年至少進行一次檢測評估，以上選項均正確。8.以下關于供應鏈安全的說法中，正確的有（）。A.供應鏈安全是網絡安全的重要組成部分B.第三方組件的漏洞可能影響整個系統的安全C.供應鏈攻擊只發生在軟件層面D.應當建立供應商安全評估機制答案：ABD解析：供應鏈攻擊可以發生在硬件（如植入惡意芯片）、固件、軟件、服務等多個層面，C錯誤。其他選項正確。9.在網絡安全事件應急響應中，常用的證據保全措施包括（）。A.對原始介質進行哈希校驗B.使用寫保護設備復制證據C.記錄證據的保管鏈D.直接刪除可疑文件以清理系統答案：ABC解析：應急響應中不得隨意刪除可疑文件，這可能導致證據破壞和事件惡化。ABC均為正確的證據保全措施。10.以下關于云安全責任共擔模型的說法中，正確的有（）。A.云服務商負責云基礎設施的安全B.客戶負責自身應用和數據的安全C.責任共擔模型適用于所有云服務模式D.使用IaaS時，客戶無需配置虛擬機的安全組答案：ABC解析：在IaaS模式下，客戶需要自行配置虛擬機、操作系統、安全組等，D錯誤。責任共擔模型在所有云服務模式中均適用，只是責任邊界不同。三、判斷題（本大題共15小題，每小題1分，共15分。正確打“√”，錯誤打“×”。）1.使用HTTPS協議訪問網站可以確保數據在傳輸過程中完全不會被竊取。（×）解析：HTTPS提供傳輸加密，但無法防止終端設備被植入惡意軟件、DNS劫持等風險，且如果證書被偽造或客戶端不驗證證書，仍可能被中間人攻擊。2.強密碼策略要求密碼長度至少8位，并包含大小寫字母、數字和特殊字符。（√）解析：這是常見的強密碼基本要求。3.數據備份只需要備份數據文件，不需要備份系統配置和應用程序。（×）解析：完整恢復需要系統配置、應用程序和數據三者的備份，缺一不可。4.在應急響應中，第一時間拔掉被感染主機的網線是完全正確的處置方法。（√）解析：物理隔離是快速遏制勒索軟件等惡意擴散的有效手段，雖然可能影響取證，但在多數情況下是合理的緊急處置。5.軟件定義邊界（SDP）是零信任架構的一種實現技術。（√）解析：SDP通過隱藏網絡資源、按需建立連接來落實零信任理念。6.所有個人信息都屬于重要數據。（×）解析：個人信息和重要數據是不同概念。只有特定類型、特定規?；蛱囟▓鼍跋碌膫€人信息才可能被認定為核心數據或重要數據。7.SHA-256算法輸出的哈希值長度為256位，即32字節。（√）解析：SHA-256輸出256位（32字節）的哈希值。8.根據《密碼法》，我國對密碼實行分類管理，分為核心密碼、普通密碼和商用密碼。（√）解析：《密碼法》明確將密碼分為核心密碼、普通密碼和商用密碼三類。9.在滲透測試中，經過授權后，測試人員可以不受限制地對目標進行任何操作。（×）解析：即使獲得授權，滲透測試也有明確的范圍和時間限制，不得進行超出約定范圍的測試行為。10.網絡安全等級保護的定級對象主要包括信息系統、通信網絡設施和數據資源。（√）解析：等保2.0將定級對象擴展至基礎信息網絡、云計算平臺、大數據平臺、物聯網、工業控制系統等。11.使用公共Wi-Fi時，只要不輸入密碼，就不會有安全風險。（×）解析：公共Wi-Fi可能被攻擊者控制，未加密的流量可被竊聽，即使不輸入密碼，也可能遭受中間人攻擊。12.漏洞管理是等保2.0中安全管理中心層面的安全計算環境要求之一。（×）解析：漏洞管理在等保2.0中屬于安全管理制度層面，而非安全計算環境層面。13.在我國，關鍵信息基礎設施的運營者采購網絡產品和服務，可能影響國家安全的，應當通過國家安全審查。（√）解析：關鍵信息基礎設施安全保護條例規定，運營者采購可能影響國家安全的產品和服務，應依法通過國家安全審查。14.量子計算的發展將使現有RSA等公鑰密碼算法面臨重大安全威脅。（√）解析：Shor算法可在量子計算機上高效分解大整數，威脅RSA等基于大整數分解難題的密碼體制。15.數據分類分級的目的是為了限制數據的共享和開放。（×）解析：分類分級的目的是在保護安全的前提下促進數據依法合理有效利用，而非限制共享。四、填空題（本大題共10空，每空2分，共20分。）1.根據《網絡安全法》第二十一條，網絡運營者應當采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于______個月。答案：六2.OWASPTop10中，2021年排在第一位的Web應用安全風險是______。答案：訪問控制失效（或“失效的訪問控制”“BrokenAccessControl”）3.在密碼學中，哈希算法應滿足的三個基本性質是：抗原像性、抗第二原像性和______。答案：抗碰撞性4.我國《數據安全法》于______年______月______日起施行。答案：2021年9月1日5.NIST網絡安全框架（CSF）的五個核心功能是：識別、保護、檢測、______和恢復。答案：響應6.在等保2.0中，安全通信網絡主要涉及三個層面：網絡架構、通信傳輸和______。答案：可信驗證7.常見的端口掃描工具Nmap中，使用TCPSYN掃描方式時，半開掃描使用的參數是______。答案：-sS8.零信任的核心原則是“永不信任，______”。答案：始終驗證9.在數字簽名中，簽名者使用自己的______對消息摘要進行加密，驗證者使用簽名者的______進行解密驗證。答案：私鑰；公鑰10.根據《個人信息保護法》，處理個人信息應當遵循______、______、必要原則，不得過度收集個人信息。答案：合法；正當五、簡答題（本大題共5小題，每小題6分，共30分。）1.簡述什么是中間人攻擊（MITM），并舉出兩種常見的中間人攻擊場景及相應的防御措施。答案要點：中間人攻擊是指攻擊者位于通信雙方之間，能夠攔截、竊聽甚至篡改雙方通信內容，而雙方卻誤以為在直接通信的攻擊方式。常見場景及防御：（1）公共Wi-Fi環境下，攻擊者通過偽造同名熱點誘導用戶連接，進而截獲用戶通信數據。防御措施：使用VPN加密通信流量，或避免在公共網絡中進行敏感操作，并確保訪問網站使用HTTPS。（2）ARP欺騙攻擊，攻擊者在局域網內發送偽造的ARP響應，將網關MAC地址指向自身，從而截獲局域網內所有流量。防御措施：配置靜態ARP表，部署支持ARP防欺騙的交換機，或使用DHCPSnooping等安全特性。（3）SSL/TLS剝離攻擊，攻擊者在HTTPS握手前將HTTPS連接降級為HTTP，從而讀取明文流量。防御措施：網站啟用HSTS（HTTP嚴格傳輸安全），瀏覽器強制使用HTTPS。2.請簡述等級保護2.0中“一個中心、三重防護”的含義。答案要點：“一個中心”指安全管理中心，即在安全管理平臺層面，集中對安全設備、網絡設備、服務器、應用系統等進行集中監控、審計和管理，實現安全策略的統一管理?！叭胤雷o”指：（1）安全通信網絡：保障網絡傳輸的機密性、完整性和可用性，包括網絡架構安全、通信傳輸加密、可信驗證等。（2）安全區域邊界：對網絡邊界進行訪問控制、入侵防范、惡意代碼防范和安全審計。（3）安全計算環境：對服務器、終端、應用等計算設備進行身份鑒別、訪問控制、安全審計、入侵防范、數據完整性和保密性保護。三重防護層層遞進，覆蓋從網絡邊界到計算環境的縱深防御體系，安全管理中心貫穿其中，實現集中管控。3.什么是數據脫敏？簡述數據脫敏的主要方法及其應用場景。答案要點：數據脫敏是指在不改變數據基本格式的前提下，對敏感數據（如姓名、身份證號、手機號等）進行變形、遮蔽或替換，使其不再具有直接識別個人身份或泄露敏感信息的能力，同時保留數據的部分特征供開發測試使用。主要方法：（1）替換法：使用虛構數據替換真實數據，如用隨機姓名替換真實姓名。（2）遮蔽法：對部分字符進行遮蔽，如身份證號顯示前6位和后4位，中間用“*”代替。（3）加密法：對數據使用強加密算法加密后進行存儲或展示，需要時可解密還原（適用于授權訪問場景）。（4）泛化法：將精確值模糊為范圍值，如將年齡35歲替換為30-40歲區間。應用場景：開發測試環境數據準備、外包數據分析、系統演示、統計報表展示等場景，確保在不影響使用的前提下降低數據泄露風險。4.請簡述網絡安全應急響應的基本流程（至少五個階段），并說明每個階段的核心任務。答案要點：（1）準備階段：制定應急響應預案，明確組織架構和人員職責，準備應急工具包和備用設備，開展應急演練，確保相關人員熟悉流程。（2）檢測與分析階段：通過安全監控系統、日志審計和用戶報告等手段發現安全事件，對事件進行初步研判，確定事件類型、影響范圍和嚴重程度。（3）遏制階段：采取緊急措施阻止事件進一步擴散，如隔離受感染主機、切斷網絡連接、暫停相關服務、修改賬號口令等。（4）根除階段：清除惡意程序和后門，修補漏洞，加強安全配置，消除事件產生的根源，防止同類事件再次發生。（5）恢復階段：將系統恢復到正常運行狀態，從備份中恢復數據，對系統進行驗證測試，確保業務功能正常。（6）總結階段：對事件進行復盤分析，編寫事件總結報告，評估損失，更新應急預案，改進安全防護措施。5.請簡述個人信息保護影響評估（PIA）的概念及適用場景。答案要點：個人信息保護影響評估是指對個人信息處理活動可能對個人權益產生的影響進行事前評估的程序化過程。其目的是識別處理活動中存在的隱私風險，并采取相應措施降低風險。依據《個人信息保護法》第五十五條，有下列情形之一的，應當事前進行個人信息保護影響評估：（1）處理敏感個人信息；（2）利用個人信息進行自動化決策；（3）委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息；（4）向境外提供個人信息；（5）其他對個人權益有重大影響的個人信息處理活動。評估內容主要包括：個人信息的處理目的、處理方式是否合法、正當、必要；對個人權益的影響及安全風險；所采取的保護措施是否合法、有效并與風險程度相適應。六、案例分析題（本大題共3小題，第1小題5分，第2小題5分，第3小題5分，共15分。）【案例背景】某市政府部門的信息系統（等級保護三級）遭到網絡攻擊。監測數據顯示，攻擊者在凌晨2:00至3:00期間，通過暴力破解方式攻破了系統管理員賬號密碼，隨后在內網橫向移動，訪問了多臺服務器，并嘗試對數據庫進行數據導出。該數據庫存儲了市民的身份證號碼、聯系電話、家庭住址等個人信息。事發后，系統管理員立即切斷了受感染服務器的網絡連接，并向主管部門報告。問題1：根據上述事件，請分析攻擊者入侵過程中主要利用了哪些安全薄弱環節？（至少指出三點，并說明理由。）答案要點：（1）口令安全薄弱：系統管理員賬號使用了弱密碼，未能有效抵御暴力破解攻擊。等級保護三級要求應對登錄的