网络安全考试试题含答案(三级等级保护测评)

网络安全考试试题含答案(三级等级保护测评)一、单项选择题（每题2分，共30分）1.依据《信息安全技术网络安全等级保护基本要求》（GB/T222392019），三级信息系统的物理访问控制应实现对机房区域的分层管理，以下哪项不符合要求？A.核心机房仅允许授权人员进入B.监控室与主机房共用同一门禁系统C.来访人员需登记并由专人陪同D.机房入口设置电子门禁系统2.三级系统网络安全要求中，关于边界防护的“访问控制”措施，以下描述错误的是？A.应在网络边界部署访问控制设备，启用访问控制功能B.访问控制策略应基于源地址、目的地址、源端口、目的端口和协议类型等要素C.应默认允许所有通信，仅禁止明确禁止的通信D.应定期审查和更新访问控制策略3.主机安全中，三级系统对操作系统身份鉴别的要求不包括？A.应实现用户身份标识唯一，身份鉴别信息复杂度符合要求B.应设置登录失败处理功能，如多次失败后自动锁定账户C.应启用会话超时自动终止功能D.应使用单因素认证（如仅密码）作为唯一鉴别方式4.应用安全中，三级系统要求“抗抵赖”措施需实现对重要操作的不可否认性，以下哪项属于抗抵赖技术？A.防火墙访问控制列表（ACL）B.数字签名C.入侵检测系统（IDS）D.漏洞扫描5.数据安全及备份恢复中，三级系统要求“数据备份恢复”应满足？A.仅需本地备份，无需异地备份B.备份数据保存时间不少于1个月C.应采用两种或两种以上介质（如磁盘、磁带）进行备份D.备份策略无需定期测试6.安全管理制度中，三级系统要求“安全策略”文档应？A.由IT部门单独制定，无需高层审批B.明确安全目标、范围和责任C.仅包含技术措施，不涉及管理流程D.每年更新一次，但无需记录更新原因7.安全管理机构中，三级系统要求“岗位设置”应？A.所有安全职责由网络管理员一人承担B.关键岗位设置安全管理岗、系统运维岗、安全审计岗等，并实现职责分离C.无需明确各岗位的安全责任D.安全管理机构无需与其他部门协作8.人员安全管理中，三级系统对“安全意识教育和培训”的要求是？A.新员工入职时仅需进行一次培训B.培训内容无需覆盖安全策略和操作规程C.应定期开展（至少每年一次），并保留培训记录D.培训对象仅包括技术人员，不涉及管理层9.系统建设管理中，三级系统“安全产品采购和使用”要求？A.可采购未通过国家相关部门认证的安全产品B.应确保安全产品的技术指标满足安全需求C.无需对安全产品的供应商进行资质审查D.安全产品部署后无需进行功能测试10.安全运维管理中，三级系统“恶意代码防范管理”要求？A.仅在服务器部署防恶意代码软件，终端无需部署B.防恶意代码软件无需定期更新病毒库C.应在关键网络节点部署网络版防恶意代码软件D.发现恶意代码后无需记录处理过程11.三级系统物理安全中，“防水和防潮”措施不包括？A.机房设置防水挡板或门槛B.机房内使用普通石膏板吊顶C.配备湿度自动调节设备D.定期检查机房漏水情况12.网络安全中，“入侵防范”要求应部署入侵检测系统（IDS），其主要功能是？A.阻断所有异常流量B.检测并记录网络中的攻击行为C.替代防火墙实现访问控制D.仅监测内网流量13.主机安全中，“安全审计”要求应开启审计功能，审计覆盖的对象不包括？A.用户登录行为B.系统资源使用情况C.非授权的删除操作D.网络带宽占用率14.应用安全中，“数据完整性”要求应采用技术手段保证数据在传输和存储过程中不被篡改，以下哪项是常用技术？A.加密传输（如TLS）B.哈希校验（如SHA256）C.访问控制列表（ACL）D.虚拟专用网（VPN）15.数据安全中，“数据脱敏”适用于以下哪种场景？A.重要数据本地备份B.测试环境使用真实用户个人信息C.生产环境数据异地容灾D.日志文件归档保存二、多项选择题（每题3分，共30分，多选、错选、漏选均不得分）1.三级信息系统物理安全的“环境安全”要求包括？A.机房应设置在建筑内避开强电磁干扰的区域B.机房应配备火灾自动消防系统（如气体灭火装置）C.机房供电应采用双路市电+备用发电机的冗余供电方式D.机房温度应保持在20℃25℃，湿度保持在40%70%2.网络安全“网络架构”要求中，三级系统需实现？A.网络设备冗余部署（如双核心交换机）B.业务网络与办公网络逻辑隔离C.关键网络节点无单点故障D.所有终端直接连接互联网3.主机安全“身份鉴别”的增强要求（三级特有）包括？A.采用双因素认证（如密码+动态令牌）B.鉴别信息长度不少于8位，包含数字、字母和特殊符号C.登录失败锁定时间不少于30分钟D.支持远程管理时使用SSH协议而非Telnet4.应用安全“通信安全”要求包括？A.重要业务数据传输采用加密协议（如HTTPS）B.通信过程中需验证通信双方的身份C.仅需在传输层加密，无需在应用层加密D.加密算法应符合国家密码管理要求（如SM4）5.数据安全“数据备份恢复”的具体措施包括？A.本地实时备份+异地定期备份（如每日一次）B.备份数据需进行加密存储C.每季度进行一次恢复测试，验证备份有效性D.备份介质存放在与机房同一楼层的保险柜中6.安全管理制度“制度制定”要求包括？A.制定安全策略、管理制度、操作规程等多层次文档B.制度需经安全管理机构审批后发布C.制度内容应明确责任部门和执行流程D.制度无需根据实际情况更新7.安全管理机构“协作沟通”要求包括？A.与公安机关、行业主管部门建立联络机制B.定期召开安全工作会议（如每季度一次）C.仅需内部沟通，无需与外部机构协作D.明确安全事件报告的流程和时限8.人员安全管理“离岗安全”要求包括？A.离岗人员需交回所有访问凭证（如账号、门禁卡）B.无需对离岗人员的设备和数据进行清理C.与离岗人员签订保密协议（如有）D.无需对离岗人员的工作交接进行记录9.系统建设管理“安全方案设计”要求包括？A.设计文档需包含安全目标、安全措施、技术指标等内容B.方案需经过专家评审并形成评审记录C.仅需考虑技术措施，无需涉及管理措施D.方案应符合三级等保的基本要求和扩展要求10.安全运维管理“安全事件处置”要求包括？A.制定安全事件应急预案并定期演练（如每年一次）B.事件发生后需记录事件类型、影响范围、处置过程等信息C.重大安全事件（如数据泄露）需在24小时内向公安机关报告D.事件处置完成后无需进行总结和改进三、填空题（每空2分，共20分）1.三级信息系统的安全测评周期为______年一次。2.网络边界应部署______设备，实现对非授权访问的阻断。3.主机操作系统的审计记录应至少保存______个月。4.应用系统的身份鉴别信息（如密码）应采用______方式存储（如哈希加盐）。5.数据备份应采用______和______相结合的方式，确保数据可恢复。6.安全管理制度应形成“安全策略—管理制度—______”的三层文件体系。7.关键岗位人员应签订______协议，明确安全责任。8.系统建设过程中，安全产品应通过______认证（如国家信息安全产品认证）。9.安全运维中，应定期对系统进行______扫描，发现并修复安全漏洞。四、简答题（共20分）（一）封闭型简答题（每题5分，共10分）1.简述三级信息系统物理安全中“访问控制”的具体措施。2.说明三级系统网络安全中“访问控制策略”的制定原则。（二）开放型简答题（10分）某三级信息系统在测评中发现Web应用存在SQL注入漏洞，且未对用户登录失败次数进行限制。请结合三级等保要求，分析该问题的风险，并提出整改建议。五、应用题（20分）某企业拟建设三级信息系统，网络拓扑如下：核心交换机连接服务器区（含Web服务器、数据库服务器）、办公终端区和互联网出口（通过防火墙连接）。现有安全措施：防火墙仅配置默认拒绝策略，未明确允许的流量；服务器操作系统未启用审计功能；数据库数据仅本地每日备份；安全管理制度仅有1份《网络设备操作手册》。请根据三级等保要求，指出该企业现有措施的不符合项，并提出整改建议（需覆盖技术和管理层面）。参考答案一、单项选择题1.B2.C3.D4.B5.C6.B7.B8.C9.B10.C11.B12.B13.D14.B15.B二、多项选择题1.ABCD2.ABC3.ABCD4.ABD5.ABC6.ABC7.ABD8.AC9.ABD10.ABC三、填空题1.12.访问控制（或防火墙/IPS）3.64.密码学5.本地；异地6.操作规程7.安全保密8.国家信息安全9.漏洞四、简答题（一）封闭型简答题1.物理访问控制的具体措施包括：机房划分不同区域（如主机房、监控室、辅助区），实行分层管理；核心区域（如主机房）设置电子门禁系统，仅授权人员可进入；来访人员需登记身份信息、访问时间、访问目的，并由专人全程陪同；门禁系统应记录访问人员、时间等信息，保存至少6个月。2.访问控制策略的制定原则：基于最小授权原则，仅允许必要的通信（默认拒绝，明确允许）；策略应包含源地址、目的地址、源端口、目的端口、协议类型等要素；策略需覆盖所有网络边界（如内外网边界、不同安全域边界）；定期审查策略（至少每季度一次），根据业务变化更新；策略应明确允许和拒绝的行为，避免模糊表述。（二）开放型简答题风险分析：SQL注入漏洞可能导致攻击者非法访问、篡改或删除数据库数据，严重影响数据完整性和可用性；未限制登录失败次数可能导致暴力破解攻击，获取用户账号权限，进而非法操作应用系统。整改建议：技术层面：①修复SQL注入漏洞：使用参数化查询、存储过程等方式防止用户输入直接拼接SQL语句；对输入数据进行严格校验（如类型、长度、特殊字符过滤）；②限制登录失败次数：设置连续登录失败5次后锁定账户，锁定时间不少于30分钟；支持账户解锁（如自动解锁或管理员手动解锁）；③启用应用系统的审计功能，记录登录失败、SQL错误等事件，保存至少6个月。管理层面：①更新安全管理制度，明确应用系统漏洞修复的流程和时限（如高危漏洞24小时内修复）；②对开发和运维人员进行安全培训，覆盖Web安全防护（如OWASPTOP10）和访问控制策略设计。五、应用题不符合项及整改建议：技术层面：1.防火墙策略不符合：仅默认拒绝，未明确允许的流量。整改：基于最小授权原则，根据业务需求制定详细的访问控制策略（如允许HTTP/HTTPS访问Web服务器、SSH访问管理终端），并记录策略生效时间和审批人。2.服务器未启用审计功能：无法追踪用户操作和异常行为。整改：在服务器操作系统（如Windows/Linux）中启用审计功能，配置审计规则（如登录、文件修改、进程启动），设置审计日志存储路径（非系统盘），保存至少6个月。3.数据库仅本地备份：无异地备份，存在单点故障风险。整改：采用“本地实时备份+异地每日增量备份”策略，备份数据加密存储（如AES256），异地备份介质存放在与机房物理隔离的场所（如同城灾备中心），每季度进行恢复测试并记录结果。管理层面：1.安全管理制度不完整：仅有操作手册，缺乏策略和规程。整改：建立三层制度体系：安全策略（明确安全目标、责任部门）；管理制度（如《数据备份管理办法》《安全事件处置流