2025年网络与信息安全意识培训测试题

2025年网络与信息安全意识培训测试题一、单项选择题（每题2分，共30分。每题只有一个正确答案，请将正确选项的字母填入括号内）1.2025年3月，某员工收到一封主题为“工资补贴调整通知”的邮件，发件人显示为hr@，但邮件头中的ReturnPath指向外部域名。下列哪项处置方式最符合企业邮件安全规范？（）A.直接点击邮件内链接填写银行卡号B.回复邮件询问详情C.将邮件标记为垃圾邮件并报告SOCD.转发给同事确认是否也收到答案：C2.在零信任架构中，对“持续信任评估”理解正确的是（）A.用户登录成功后即获得永久访问令牌B.每次HTTP请求都需重新进行多因子认证C.根据用户行为、设备状态等动态调整权限D.仅在网络边界部署一次性认证网关答案：C3.2025年1月，某AI客服系统被曝出“提示词注入”漏洞，攻击者通过聊天窗口诱导模型输出企业内部知识库文件路径。该漏洞最贴切的CWE编号是（）A.CWE79（XSS）B.CWE89（SQL注入）C.CWE77（命令注入）D.CWE1336（提示词注入）答案：D4.某员工在咖啡厅使用公共WiFi登录公司OA，为防止中间人攻击，下列哪项措施最有效？（）A.关闭笔记本电脑蓝牙B.启用系统内置VPN客户端并校验证书C.将DNS改为D.使用隐藏SSID答案：B5.2025年5月，NIST发布《后量子密码迁移路线图》草案，建议优先替换的算法是（）A.RSA2048B.AES256C.SHA384D.ECDHP256答案：A6.某单位采用“数据分类分级”制度，将客户身份证照片标记为“核心数据，等级4”，其备份策略应满足（）A.每日增量、云端明文存储B.每周全量、异地加密存储C.实时同步、本地明文存储D.每月光盘刻录、办公室抽屉保管答案：B7.2025年新版《个人信息保护法实施条例》新增“敏感个人信息处理日志留存期限”，要求不少于（）A.1个月B.3个月C.6个月D.36个月答案：D8.某员工收到微信好友发来“2025年最新补贴名单.xlsx”，文件打开后弹出“启用宏”提示，下列说法正确的是（）A.宏文件不可能含恶意代码B.若发件人是熟人，可放心启用C.应先提交沙箱检测D.将文件后缀改为.pdf即可安全打开答案：C9.在Windows1124H2中，默认启用的“内核级内存保护”技术名称是（）A.CFGB.CETC.VBSD.HVCI答案：D10.2025年6月，某云厂商对象存储桶因“ACL继承”机制错误，导致用户可下载他人备份。该问题属于（）A.SSRFB.权限配置错误C.供应链投毒D.日志泄露答案：B11.某单位使用FIDO2密钥登录，若密钥丢失，管理员应优先（）A.立即停用该密钥对应的公私钥对B.在AD中删除用户账户C.格式化用户电脑D.通知用户自行购买新密钥答案：A12.2025年新版《网络安全事件分级指南》规定，涉及1000万以上个人信息泄露的事件应定为（）A.特别重大（Ⅰ级）B.重大（Ⅱ级）C.较大（Ⅲ级）D.一般（Ⅳ级）答案：A13.某开发团队采用“安全左移”实践，在CI/CD流水线中嵌入SCA工具，其主要目的是（）A.检测源代码语法错误B.识别第三方组件已知漏洞C.优化算法复杂度D.压缩镜像体积答案：B14.2025年7月，某手机银行App被曝出“剪贴板劫持”漏洞，攻击者可读取用户复制的一次性验证码。该漏洞最佳修复方案是（）A.禁止App访问网络B.验证码输入框禁用剪贴板C.将验证码有效期缩短至5秒D.使用短信链接代替验证码答案：B15.某单位开展“钓鱼演练”，员工甲收到仿冒邮件后点击链接并输入密码，10秒后意识到被骗，立即修改密码。根据ISO/IEC27035，该事件处于（）A.准备阶段B.检测阶段C.遏制阶段D.根除阶段答案：B二、多项选择题（每题3分，共30分。每题有两个或两个以上正确答案，多选、少选、错选均不得分）16.2025年8月，某企业采用“生成式AI助手”编写营销文案，为防范数据泄露，应至少采取哪些措施？（）A.部署本地私有化大模型B.启用提示词过滤与脱敏C.允许员工上传任意客户名单D.记录并审计所有提问与回答E.与云厂商签署数据不出境协议答案：A、B、D、E17.下列哪些行为可能违反《数据跨境传输安全评估办法》？（）A.将含车牌照片的数据库备份到境外云服务器B.员工出差时随身携带加密笔记本，内含客户合同C.通过HTTPSAPI调用境外AI接口进行图片识别D.在境内服务器处理境外用户订单E.未经评估向境外合作方传输100万人以上个人信息答案：A、C、E18.2025年9月，某单位部署“量子增强随机数发生器”用于密钥生成，其优势包括（）A.可证明的随机性B.降低密钥协商延迟C.抵御量子计算穷举D.兼容现有RSA证书E.满足GM/T00052025标准答案：A、C、E19.关于“深度伪造（Deepfake）”检测技术，下列说法正确的有（）A.频域分析可识别眨眼频率异常B.添加可见水印可彻底防止伪造C.区块链存证可用于溯源真实视频D.训练数据需覆盖最新GAN架构E.检测模型需定期更新以对抗升级算法答案：A、C、D、E20.某单位使用Kubernetes1.30，以下哪些配置可降低容器逃逸风险？（）A.启用PodSecurityPolicy（或PodSecurityStandards）B.将容器运行时改为runC最新版C.关闭kubelet匿名访问D.为所有容器添加CAP_SYS_ADMIN能力E.使用Seccomp与AppArmor配置文件答案：A、B、C、E21.2025年10月，某企业收到监管机构通报，发现官网被植入“信用卡盗刷脚本”，其可能利用的入口包括（）A.第三方JavaScript供应链B.管理员弱口令C.CDN缓存投毒D.服务器SSH密钥泄露E.数据库外联端口暴露答案：A、B、C、D22.关于“隐私计算”中的联邦学习，下列说法正确的有（）A.原始数据不出域B.需交换模型参数C.可完全避免成员推理攻击D.需使用同态加密或差分隐私加固E.参与方需共识算法防止投毒答案：A、B、D、E23.2025年11月，某单位实施“办公网零信任”改造，下列哪些属于“设备信任评估”维度？（）A.操作系统版本与补丁级别B.是否安装EDR并在线C.用户家庭宽带运营商D.设备证书有效期E.地理位置与历史基线偏差答案：A、B、D、E24.某员工发现个人GitHub仓库被推送含公司源代码的commit，已公开48小时，应采取的应急措施包括（）A.立即强制回滚并删除历史记录B.向公司SRC报告C.在issue区公开告知“代码已泄露”D.申请GitHubDMCA删除缓存E.更改所有相关密钥与令牌答案：A、B、D、E25.2025年12月，某单位采用“AI驱动SOC”进行日志分析，其优势包括（）A.自动聚合多源日志B.基于行为基线检测未知威胁C.完全替代人工研判D.可解释性满足审计要求E.通过强化学习持续优化模型答案：A、B、E三、判断题（每题1分，共10分。正确打“√”，错误打“×”）26.2025年起，欧盟NIS2指令要求关键行业企业必须在24小时内向主管部门报告重大事件。（）答案：√27.在Windows11中，启用“智能应用控制（SAC）”后，所有未签名软件都会被直接阻止，无法通过企业CA证书例外。（）答案：×28.2025年发布的TLS1.3扩展草案允许后量子密钥交换与经典算法混合协商。（）答案：√29.“数据脱敏”与“数据匿名化”在技术上完全等价，可互换使用。（）答案：×30.2025年新版《网络安全审查办法》将“境外上市”纳入审查触发条件之一。（）答案：√31.使用ChaCha20Poly1305比AESGCM在移动端更省电，因为前者无需硬件AES指令。（）答案：√32.2025年主流浏览器已默认禁用第三方Cookie，因此CSRF攻击已彻底消失。（）答案：×33.“安全多方计算（MPC）”可以在不泄露各自输入的前提下，计算任意函数。（）答案：√34.2025年NISTSP80053修订版新增“AI系统安全”控制族。（）答案：√35.量子计算机在2025年已可破解2048位RSA，因此企业应立即停用所有公钥体系。（）答案：×四、填空题（每空2分，共20分）36.2025年2月，OpenAI发布“ModelSpec”指南，提出AI系统应遵循的三项核心原则：________、________、________。答案：帮助用户、遵守法律、不伤害他人37.在IPv6网络中，用于替代ARP的协议是________，其通过________消息实现地址解析。答案：ND（NeighborDiscovery）、NeighborSolicitation38.2025年7月，IETF发布RFC9500，正式将________算法纳入HTTP/3的默认对称加密套件，取代________。答案：ChaCha20Poly1305、AESGCM39.根据《关键信息基础设施安全保护要求》（GB/T392042025），CII运营者应每年至少开展________次应急演练，并将演练报告保存________年。答案：1、340.在Kubernetes中，NetworkPolicy资源通过________插件实现，默认策略是________。答案：CNI、Allowall41.2025年，国家网信办发布《人脸识别合规指引》，要求采集人脸前应单独告知并获取________同意，且不得与________捆绑授权。答案：明示、其他服务42.量子密钥分发（QKD）中，用于检测窃听的物理原理是________，其误码率阈值一般设为________%。答案：量子不可克隆定理、343.2025年主流EDR产品普遍采用________技术对抗“无文件攻击”，其通过监控________实现。答案：行为分析、API调用序列44.在零信任架构中，________协议用于实现设备身份与网络位置解耦，其基于________完成双向认证。答案：mTLS、X.509证书45.2025年，GitHub推出“SecretScanningPartner”计划，当检测到________格式的令牌时，将自动向________发送告警。答案：AWSAKIA、厂商SOC五、简答题（每题10分，共30分）46.场景：2025年4月，某公司员工在出差期间使用酒店WiFi登录OA系统，事后发现账号被异地登录并下载大量客户数据。请分析可能存在的攻击路径，并提出三条可落地的改进措施，需覆盖技术、管理、培训维度。答案：攻击路径：1.酒店WiFi为伪造AP（eviltwin），实施中间人攻击，截获登录凭证；2.攻击者利用SSLStrip降级HTTPS，获取明文密码；3.公司OA未启用多因子认证，攻击者直接重放密码登录；4.下载数据阶段未启用终端DLP，导致批量导出无告警。改进措施：技术：1.为所有远程办公场景强制启用公司VPN，采用双向mTLS+硬件令牌，VPN网关部署证书固定与HSTS；2.OA系统启用FIDO2多因子认证，并设置异地登录风险模型，触发二次验证或自动冻结；3.终端部署EDR与DLP，对>100条客户数据导出行为实时阻断并上报SOC。管理：1.修订《远程接入管理办法》，明确“先VPN后业务”为红线，违反者扣减年度绩效；2.建立“出差网络白名单”，员工需提前报备酒店名称，IT部门提供经审核的4G热点；3.引入第三方渗透测试，每半年模拟eviltwin攻击并通报结果。培训：1.开发沉浸式微课《出差五步法》，用AR模拟eviltwin场景，员工需完成交互式通关；2.每季度推送“钓鱼WiFi”警示案例，采用真实录屏展示数据泄露后果；3.设立“安全积分”，员工发现并上报可疑AP可获得积分兑换假期，2025年目标上报率≥80%。47.2025年10月，某医疗集团上线“AI辅助诊断”系统，使用联邦学习聚合多家医院数据。请说明该系统在隐私合规方面需满足的特殊要求，并给出数据出境评估的四个关键审查点。答案：特殊要求：1.根据《个人信息保护法》第38条，敏感个人信息出境需通过安全评估；2.联邦学习虽“数据不出域”，但模型参数可能泄露训练分布，需进行成员推理攻击风险评估；3.应取得患者单独同意，并在《隐私政策》中明示“AI模型训练”为使用目的；4.参与医院需作为共同数据处理者签署《联邦学习数据处理协议》，明确责任边界；5.模型更新过程需可审计，满足《医疗器械网络安全注册审查指南》2025版对“可追溯”要求。数据出境评估四个关键审查点：1.参数梯度是否包含可识别信息：采用差分隐私（ε≤1）并提交第三方报告；2.接收方所在国家或地区是否通过adequacydecision：若未通过，需签署SCC并补充技术措施；3.再转移风险：模型是否会被境外云厂商进一步训练，需约定“仅聚合不落地”；4.数据主体权利保障：境外接收方是否提供查询、删除、撤回同意渠道，响应时限不超过15个工作日。48.2025年11月，某金融公司遭遇“AI语音深度伪造”攻击，攻击者模拟CEO声音指令财务转账300万美元。请给出事件发生后72小时内的应急响应步骤，并说明如何利用“多因子声纹+语义水印”技术防