2025年网络安全管理员中级工试题库与答案

2025年网络安全管理员中级工试题库与答案一、单项选择题（每题2分，共40分）1.以下哪种攻击方式利用了操作系统或应用程序的漏洞，通过发送特殊构造的数据包使目标系统崩溃？A.缓冲区溢出攻击B.SQL注入攻击C.跨站脚本攻击（XSS）D.拒绝服务攻击（DoS）答案：A解析：缓冲区溢出攻击通过向程序的缓冲区写入超出其容量的数据，覆盖相邻内存空间，导致程序崩溃或执行恶意代码；DoS主要通过耗尽资源使服务不可用，与漏洞利用无直接关联。2.以下哪项是传输层安全协议？A.SSL/TLSB.IPsecC.HTTPSD.SSH答案：A解析：SSL/TLS工作在传输层与应用层之间，为传输层提供加密；IPsec工作在网络层，HTTPS是应用层协议（HTTP+SSL/TLS），SSH是应用层安全协议。3.某企业网络中，管理员发现员工终端频繁访问非法网站，最有效的防护措施是？A.部署入侵检测系统（IDS）B.配置防火墙访问控制列表（ACL）C.启用终端杀毒软件D.部署网页防篡改系统答案：B解析：ACL可基于源/目的IP、端口、URL等规则限制对非法网站的访问；IDS是监测而非阻断，杀毒软件主要针对恶意程序，网页防篡改保护服务器页面。4.以下哪个工具常用于漏洞扫描？A.WiresharkB.NessusC.MetasploitD.Nmap答案：B解析：Nessus是专业漏洞扫描工具，可检测系统、服务的已知漏洞；Wireshark是抓包工具，Metasploit是渗透测试框架，Nmap是网络扫描工具（主要用于端口发现）。5.数据库管理员为防止敏感数据泄露，对用户表中的身份证号字段进行处理，最合理的措施是？A.加密存储B.哈希存储C.脱敏处理（如隐藏部分字符）D.压缩存储答案：C解析：脱敏处理（如将显示为“4401011234”）在保证业务可用性的同时保护隐私；加密需密钥管理，哈希不可逆但无法部分展示，压缩不涉及安全。6.以下哪项属于零日漏洞（Zero-dayVulnerability）？A.已被公开但厂商未修复的漏洞B.厂商已发布补丁但未安装的漏洞C.未被任何组织（包括厂商）发现的漏洞D.被黑客利用但未被记录的历史漏洞答案：C解析：零日漏洞指未被厂商或安全社区知晓的漏洞，首次利用时无补丁可用。7.配置防火墙时，默认策略应设置为？A.允许所有流量B.拒绝所有流量C.允许已知合法流量D.拒绝已知非法流量答案：B解析：“拒绝所有，允许例外”是防火墙的安全最佳实践，避免未授权流量通过。8.以下哪种加密算法属于对称加密？A.RSAB.ECCC.AESD.SHA-256答案：C解析：AES（高级加密标准）使用相同密钥加密和解密；RSA、ECC是公钥（非对称）加密，SHA-256是哈希算法。9.某公司部署了入侵防御系统（IPS），其核心功能是？A.监测网络流量并记录攻击行为B.实时阻断可疑攻击流量C.分析日志并生成安全报告D.对终端进行病毒扫描答案：B解析：IPS可在检测到攻击时主动阻断流量（如丢弃恶意数据包），而IDS仅监测告警。10.终端安全管理中，“最小权限原则”指的是？A.用户仅拥有完成工作所需的最少权限B.所有用户使用相同权限C.管理员拥有最高权限D.普通用户无文件修改权限答案：A解析：最小权限原则要求用户权限严格限制在完成任务所需范围内，降低误操作或恶意滥用风险。11.以下哪项是ARP欺骗攻击的原理？A.伪造DNS响应将用户导向恶意网站B.向网络发送大量伪造的ARP应答包，篡改目标IP与MAC的映射C.利用TCP三次握手缺陷耗尽服务器资源D.向目标主机发送超大ICMP数据包导致崩溃答案：B解析：ARP欺骗通过伪造ARP报文，使目标设备错误关联IP与MAC地址，导致流量被中间人截获。12.配置Linux系统的SSH服务时，为提高安全性，应禁用以下哪个功能？A.密钥认证B.密码认证C.根用户直接登录D.端口转发答案：C解析：禁用root用户直接SSH登录，强制通过普通用户登录后使用sudo提权，可降低暴力破解风险。13.以下哪个协议用于安全传输邮件？A.SMTPB.POP3C.IMAPD.SMTPS答案：D解析：SMTPS（SMTPoverSSL/TLS）为邮件发送提供加密；SMTP、POP3、IMAP默认不加密。14.某企业需要对内部网络流量进行深度检测，识别是否存在恶意代码传输，应部署以下哪种设备？A.边界防火墙B.入侵检测系统（IDS）C.下一代防火墙（NGFW）D.虚拟专用网（VPN）答案：C解析：NGFW支持深度包检测（DPI），可解析应用层内容（如识别恶意文件特征），而传统防火墙仅基于五元组过滤。15.以下哪项是Web应用防火墙（WAF）的主要功能？A.防止DDOS攻击B.过滤SQL注入、XSS等应用层攻击C.加密传输数据D.管理内网IP地址答案：B解析：WAF工作在应用层，针对HTTP/HTTPS流量检测并阻断SQL注入、XSS、CSRF等攻击。16.在WindowsServer中，用于管理用户账户和组策略的工具是？A.任务管理器B.本地安全策略C.活动目录（AD）D.服务管理器答案：C解析：活动目录（AD）是Windows环境下集中管理用户、计算机、组策略的核心工具；本地安全策略用于本地设备的安全设置。17.以下哪种日志类型可用于追踪用户对文件的修改操作？A.系统日志（SystemLog）B.应用日志（ApplicationLog）C.安全日志（SecurityLog）D.安装日志（SetupLog）答案：C解析：Windows安全日志记录审核事件（如文件访问、用户登录），需在本地安全策略中启用审核策略。18.某网络中，管理员发现DHCP服务器地址池被耗尽，可能的原因是？A.存在DHCP服务器欺骗攻击B.大量终端长时间占用IP地址C.防火墙阻断了DHCP请求D.DNS服务器故障答案：A解析：DHCP欺骗攻击中，非法DHCP服务器会向终端分配错误IP，导致合法地址池被快速耗尽；长时间占用IP会导致地址回收延迟，但不会突然耗尽。19.以下哪项是数字签名的主要目的？A.加密数据内容B.验证数据完整性和发送者身份C.压缩数据大小D.加速数据传输答案：B解析：数字签名通过私钥加密摘要，接收方用公钥验证，确保数据未被篡改且来源可信。20.配置无线路由器时，最安全的加密方式是？A.WEPB.WPAC.WPA2-PSKD.WPA3-SAE答案：D解析：WPA3-SAE（安全自动配置）取代了WPA2的PSK，支持更强的加密（如AES-256）和防暴力破解机制，是目前最安全的无线加密协议。二、填空题（每题2分，共20分）1.常见的端口扫描技术中，______扫描通过发送SYN包并观察响应，可在不建立完整TCP连接的情况下探测开放端口（如nmap的-sS选项）。答案：半开放（SYN）2.操作系统的安全加固措施中，关闭不必要的______（如Telnet、FTP）可减少攻击面。答案：服务/端口3.数据备份策略中，______备份仅备份自上次完全备份后修改过的数据，恢复时需结合完全备份和所有增量备份。答案：增量4.防火墙的三种基本工作模式是路由模式、透明模式和______模式。答案：NAT（网络地址转换）5.网络安全领域的“CIA三元组”指的是机密性（Confidentiality）、完整性（Integrity）和______（Availability）。答案：可用性6.Linux系统中，______命令可用于查看当前开放的端口和对应的进程（如netstat-ano）。答案：ss（或netstat）7.Web应用中，______漏洞允许攻击者在用户浏览器中执行恶意脚本（如窃取Cookies），常见于未对用户输入进行转义的场景。答案：跨站脚本（XSS）8.无线局域网（WLAN）中，______攻击通过伪造无线接入点（AP）诱使用户连接，窃取传输数据。答案：钓鱼WiFi（或假AP）9.数据库安全中，______控制（RBAC）根据用户角色分配不同的数据访问权限（如查询、修改、删除）。答案：基于角色的访问10.网络安全事件分级中，______事件指影响范围广、造成重大经济损失或社会影响的事件（如大规模数据泄露、关键信息基础设施瘫痪）。答案：特别重大（或Ⅰ级）三、判断题（每题1分，共10分。正确打“√”，错误打“×”）1.防火墙可以完全防止内部人员的恶意操作。（）答案：×解析：防火墙主要控制网络边界流量，无法阻止内部终端的本地恶意操作（如删除文件）。2.哈希算法（如MD5、SHA-256）是可逆的，可通过哈希值还原原始数据。（）答案：×解析：哈希算法是单向函数，无法从哈希值逆向推导出原始数据（碰撞概率极低但存在）。3.定期更新系统补丁（Patch）是防范漏洞攻击的有效措施。（）答案：√解析：补丁修复已知漏洞，是最直接的防护手段。4.为方便管理，应将所有服务器的管理员密码设置为相同且简单的字符串。（）答案：×解析：相同密码会导致“一密通”风险，简单密码易被暴力破解，违反最小权限和安全策略。5.入侵检测系统（IDS）可以主动阻断攻击流量。（）答案：×解析：IDS仅监测和告警，入侵防御系统（IPS）才具备主动阻断功能。6.加密后的数据库备份文件无需额外保护，因为加密已足够安全。（）答案：×解析：加密密钥的管理同样重要，若密钥泄露，加密数据仍可被解密。7.在Windows系统中，禁用Guest账户可以降低未授权访问风险。（）答案：√解析：Guest账户默认权限较低但可能被利用，禁用后减少攻击面。8.网络钓鱼（Phishing）攻击主要通过电话诈骗获取用户信息。（）答案：×解析：网络钓鱼多通过伪造邮件、网站诱导用户输入敏感信息，电话诈骗属于社会工程学的另一种形式。9.VPN（虚拟专用网）通过公网建立加密通道，实现私有网络的安全远程访问。（）答案：√解析：VPN利用隧道协议（如IPsec、SSL）加密传输数据，保障远程访问安全。10.日志审计的目的仅为满足合规要求，对事件追溯无实际作用。（）答案：×解析：日志审计可记录用户操作、设备状态，是事件调查和责任认定的关键依据。四、简答题（每题6分，共30分）1.简述TCP/IP四层模型的具体层次及各层的主要协议。答案：TCP/IP模型分为四层：（1）网络接口层（物理+数据链路层）：负责物理连接和帧传输，协议如Ethernet、PPP；（2）网络层：处理IP寻址和路由，协议如IP、ICMP、ARP；（3）传输层：提供端到端可靠/不可靠传输，协议如TCP、UDP；（4）应用层：支持具体应用服务，协议如HTTP、SMTP、DNS。2.列举三种常见的Web应用安全漏洞，并说明其危害。答案：（1）SQL注入：攻击者通过输入恶意SQL语句操纵数据库，导致数据泄露、删除或篡改；（2）跨站脚本（XSS）：注入恶意脚本到网页，窃取用户Cookies、会话信息或劫持浏览器；（3）文件上传漏洞：允许上传可执行文件（如PHP、ASP），攻击者借此获取服务器控制权。3.说明防火墙“状态检测”（StatefulInspection）的工作原理及优势。答案：状态检测防火墙跟踪每个连接的状态（如源/目的IP、端口、连接状态），建立状态表；当后续数据包到达时，仅需匹配状态表即可放行，无需重新检查所有规则。优势：提升处理效率，支持动态端口（如FTP主动模式），增强对TCP连接的防护（如防止SYN洪水攻击）。4.简述终端安全管理的主要措施（至少列出五项）。答案：（1）安装杀毒软件并定期更新病毒库；（2）启用防火墙和入侵防御功能；（3）实施补丁管理（自动/手动更新系统和软件）；（4）限制用户权限（如普通用户无管理员权限）；（5）启用磁盘加密（如BitLocker、LUKS）；（6）禁止安装未经审批的第三方软件；（7）定期进行安全审计（如检查开机启动项、进程列表）。5.当发现服务器被植入后门程序时，应采取哪些应急响应步骤？答案：（1）隔离受感染服务器（断开网络连接），防止攻击扩散；（2）保留现场证据（如内存dump、进程快照、日志文件）；（3）分析后门程序的功能（如远控、数据窃取）及传播途径；（4）清除后门（终止进程、删除文件、修复被篡改的系统配置）；（5）更新系统补丁，修复漏洞（如关闭被利用的服务/端口）；（6）恢复数据（使用未感染的备份）；（7）监控网络，确认无残留威胁；（8）撰写事件报告，总结经验并优化防护策略。五、综合题（每题10分，共20分）题目1：企业网络安全分析与防护设计某企业网络拓扑如下：核心交换机连接财务服务器（0）、办公终端（/24）、互联网出口（通过防火墙连接）。近期发生以下事件：-财务服务器被植入勒索软件，导致财务数据加密；-办公终端频繁弹出恶意广告，怀疑感染了广告软件。请分析可能的攻击路径，并设计针对性防护措施。答案：攻击路径分析：（1）财务服务器被勒索软件攻击的可能路径：-办公终端感染恶意软件后，通过内网横向传播（如弱口令、SMB漏洞）；-财务服务器未及时更新补丁（如WindowsSMB漏洞CVE-2017-0144）；-员工点击钓鱼邮件附件或访问恶意网站，下载勒索软件。（2）办公终端弹出恶意广告的可能路径：-访问恶意网站（如挂马网站）导致浏览器被劫持；-安装了捆绑广告软件的第三方软件（如免费工具、游戏）；-恶意DNS解析（DNS劫持）将合法网站指向广告页面。防护措施设计：（1）针对勒索软件：-对财务服务器实施严格的访问控制（防火墙ACL仅允许办公终端特定IP访问）；-启用Windows自动更新，及时修复系统漏洞（如关闭SMB1.0、启用防火墙入站规则）；-定期备份财务数据（离线存储+加密），备份前验证完整性；-部署终端安全软件（如EDR），监测异常文件加密行为并阻断；-员工安全培训（不点击陌生邮件附件、不访问可疑网站）。（2）针对办公终端广告软件：-部署Web内容过滤（如WAF或UTM设备），禁止访问已知恶意网站；-限制终端安装软件的权限（仅管理员可安装），启用软件白名单；-检查终端DNS设置，确保使用企业内部DNS服务器（防止DNS劫持）；-定期扫描终端（如使用Malwarebytes），清除广告软件和浏览器劫持插件；-启用浏览器安全设置（如弹出窗口阻止、脚本过滤）。题目2：日志分析与攻击溯源某公司防火墙日志如下（部分）：|时间|源IP|目的IP|协议|源端口|目的端口|动作||||||--|-|--||2023-10-0514:30|0|14|UDP|5353|53|允许||2023-10-0514:35|0|53|TCP|54321|443|允许||2023-10-0514:40|0|0|SMB|445|445|允许||2023-10-0514:45|0|