2025年网络安全网络安全意识培训试卷含答案

2025年网络安全网络安全意识培训试卷含答案一、单项选择题（每题2分，共30分。每题只有一个正确答案，请将正确选项字母填入括号内）1.2025年1月1日正式施行的《中华人民共和国数据安全法》配套行政法规是（）。A.《个人信息出境标准合同办法》B.《网络数据安全管理条例》C.《关键信息基础设施安全保护条例》D.《网络安全等级保护2.0标准》答案：B2.某员工收到一封主题为“2025年工资补贴调整”的邮件，发件人邮箱域名与公司官方域名仅差一个字母，并附带名为“补贴.exe”的附件。该攻击手法最准确的归类是（）。A.鱼叉式钓鱼B.鲸钓C.域名抢注D.商业邮件妥协（BEC）答案：A3.在零信任架构中，用于动态评估访问主体信任度的核心组件是（）。A.SIEMB.SDPC.PKID.TrustEngine（信任引擎）答案：D4.2025年主流浏览器均已强制启用的HTTPS证书透明度日志查询接口是（）。A.CT1.0B.CT2.0C.CT3.0D.CT2025答案：B5.某企业使用AES256GCM加密本地磁盘，其密钥托管在TPM2.0芯片中。若攻击者物理窃取硬盘但无法获得TPM，则其最可行的破解路径是（）。A.冷启动攻击B.侧信道分析C.暴力破解256位密钥D.重放攻击答案：A6.2025年3月，微软补丁日修复的CVE20250791属于（）。A.远程代码执行B.权限提升C.拒绝服务D.信息泄露答案：A7.根据ISO/IEC27001:2022，对供应商进行远程审计时，必须首先签署的文件是（）。A.NDAB.SLAC.DPAD.MSA答案：A8.2025年国内首次将“深度合成”内容纳入监管范围，其主管部门是（）。A.国家网信办B.工信部C.公安部D.市场监管总局答案：A9.在Windows1124H2中，默认阻止Office宏运行的安全机制是（）。A.ASR规则B.VBA沙箱C.MarkoftheWebD.TrustedCloud答案：C10.某单位采用NISTSP800633的AAL3级身份验证，下列符合要求的是（）。A.单因素硬件加密狗B.双因素+加密硬件+多步验证C.生物识别+短信验证码D.静态密码+邮箱验证码答案：B11.2025年5月，Google宣布对其根证书策略进行更新，要求新签发的SSL证书最长有效期为（）。A.90天B.180天C.270天D.365天答案：A12.某IoT设备固件采用签名验证，但公钥硬编码在只读分区，攻击者通过UART接口篡改启动参数可绕过。该漏洞根因属于（）。A.缺乏安全启动B.缺乏加密启动C.缺乏远程attestationD.缺乏固件混淆答案：A13.2025年国内《汽车数据安全管理若干规定》要求重要数据出境需通过的数据出境评估方式是（）。A.自评估B.第三方评估C.省级以上网信部门评估D.工信部备案答案：C14.在Linux内核6.8中，默认启用的防御“内核堆喷射”攻击的机制是（）。A.SLAB_RANDOMB.KASLRC.KERNEL_HEAP_GUARDD.SLAB_FREELIST_HARDENED答案：D15.2025年主流勒索软件家族普遍采用“三重勒索”策略，下列不属于三重勒索环节的是（）。A.加密数据B.泄露数据C.DDoS攻击D.硬件烧毁答案：D二、多项选择题（每题3分，共30分。每题有两个或两个以上正确答案，多选、少选、错选均不得分，请将正确选项字母填入括号内）16.以下哪些属于2025年新版《网络安全等级保护》第三级对云计算扩展要求中的“镜像安全”控制点（）。A.镜像签名验证B.镜像漏洞扫描C.镜像运行时完整性监控D.镜像源代码审计答案：A、B、C17.关于量子计算对现有公钥密码的影响，下列说法正确的有（）。A.Shor算法可在多项式时间内破解RSAB.Grover算法可将AES256有效密钥长度减半C.2025年NIST已发布CRYSTALSKYBER正式标准D.传统ECC在量子时代仍可提供128位等效安全答案：A、B、C18.2025年国内《个人信息保护法》执法案例中，被认定为“敏感个人信息”的有（）。A.精确地理位置轨迹（连续记录超30天）B.14岁以下未成年人面部识别特征C.用户近3年体检报告中的BMI指数D.用户每月电费缴费金额答案：A、B、C19.以下哪些技术可有效防御AI深度伪造（Deepfake）语音诈骗（）。A.声纹活体检测B.多通道音频水印C.端到端加密通话D.实时声纹PKI证书答案：A、B、D20.2025年主流浏览器支持的“隐私沙箱”技术包括（）。A.TopicsAPIB.FLEDGEC.AttributionReportingD.Cookiedeprecation答案：A、B、C、D21.在DevSecOps流水线中，下列属于“左移”安全实践的有（）。A.代码提交前自动触发SASTB.依赖库SCA扫描C.生产环境RASP监控D.IaC模板合规检查答案：A、B、D22.2025年新版《商用密码管理条例》规定，下列场景必须采用“国密算法”的有（）。A.政务云SSLVPNB.电网SCADA远程控制C.第三方支付App与银行网关通信D.外资企业内部OA系统答案：A、B、C23.关于Windows1124H2的“内核隔离”功能，下列说法正确的有（）。A.基于VBS实现B.可防止内核驱动注入C.与HVCI协同工作D.关闭后BitLocker自动解锁答案：A、B、C24.2025年国内《数据出境安全评估办法》中，触发“10万人个人信息”门槛的统计口径包括（）。A.累计出境人次B.去重后自然人数量C.敏感个人信息1万人D.一般个人信息10万人答案：B、C、D25.以下哪些属于2025年NISTCSF2.0新增核心功能（）。A.GovernB.IdentifyC.RespondD.Recover答案：A三、填空题（每空2分，共20分。请将正确答案填写在横线上）26.2025年3月，IETF发布的TLS1.3扩展草案中，用于支持后量子密钥交换的扩展名称为________。答案：tls13_pq_kex27.在Linux系统中，可通过命令________查看当前内核是否启用KASLR。答案：cat/proc/sys/kernel/kaslr28.2025年国内《网络暴力信息治理规定》要求平台对违法信息在________小时内完成处置。答案：629.某企业采用AES256XTS模式加密磁盘，其有效密钥长度为________位。答案：51230.2025年主流勒索软件采用ChaCha20Poly1305加密用户文件，该算法属于________对称加密模式。答案：AEAD31.在Windows11中，用于阻止无签名驱动加载的策略名称是________。答案：CodeIntegrityPolicy32.2025年NIST发布的后量子数字签名标准算法CRYSTALSDILITHIUM其公钥尺寸大约为________字节（取整到百位）。答案：130033.国内《关键信息基础设施安全保护条例》要求运营者至少每________年进行一次网络安全风险评估。答案：134.2025年新版《个人信息保护法》罚款上限为上年营业额________或5000万元人民币，取高者。答案：5%35.在零信任架构中，用于动态访问控制的协议缩写为________。答案：SDP四、判断题（每题1分，共10分。正确请填“√”，错误请填“×”）36.2025年所有HTTPS证书必须支持CT2.0日志，否则浏览器会报错。（）答案：√37.Windows11家庭版默认启用BitLocker加密，但密钥仅保存在本地TPM，不备份到微软账户。（）答案：×38.2025年国内《汽车数据安全管理若干规定》要求车载摄像头采集车外行人面部数据必须进行匿名化处理。（）答案：√39.量子计算机在2025年已可破解2048位RSA密钥，因此全球已停止使用RSA。（）答案：×40.2025年主流浏览器已全面禁用第三方Cookie，因此广告追踪已无法跨站实现。（）答案：×41.在Linux内核6.8中，默认启用“内核堆保护”机制，可防止slab堆喷射攻击。（）答案：√42.2025年国内《网络暴力信息治理规定》要求平台建立“一键防护”功能，用户可关闭陌生人评论。（）答案：√43.2025年NISTSP80053Rev6已发布，新增“量子安全”控制族。（）答案：√44.2025年主流手机SoC已集成后量子算法加速器，可硬件加速CRYSTALSKYBER。（）答案：√45.2025年国内《数据出境安全评估办法》允许企业先出境后评估，只需30日内补交材料。（）答案：×五、简答题（每题10分，共40分）46.简述2025年新版《网络数据安全管理条例》对“重要数据”识别规则的核心内容，并给出两条企业落地建议。答案：核心内容：1.明确重要数据指一旦泄露、篡改、非法使用可能直接影响国家安全、经济运行、社会稳定、公共健康和安全的数据；2.采用“目录+识别指南”双轨制，国家层面发布重要数据识别指南，行业主管部门制定行业目录，企业需每年开展自查并上报。落地建议：1.建立数据资产测绘平台，对全量数据进行分类分级打标，结合行业目录自动识别重要数据；2.在数据出境、共享、委托处理环节设置“重要数据”审批流，未经内部评估与报备禁止操作。47.说明AI深度伪造语音诈骗的技术原理，并给出企业可部署的三层技术防御方案。答案：技术原理：攻击者利用少量公开语音样本（如领导会议录音）通过生成对抗网络（GAN）或扩散模型训练声纹，生成高保真伪造语音，再通过电话或语音会议指令财务转账。防御方案：第一层接入侧——部署声纹活体检测SDK，实时提取声纹特征并与注册声纹比对，检测合成痕迹（频谱异常、相位不连续）；第二层传输侧——采用SRTP+ZTNA加密通话，防止中间人注入伪造语音流；第三层决策侧——建立“语音指令二次确认”制度，凡涉及资金操作必须通过另一独立通道（如企业加密IM）二次确认，并引入时间窗口延迟机制。48.某政务云采用零信任架构，描述其“动态信任评估”流程，并给出触发访问降级或拒绝的三种风险信号。答案：流程：1.用户发起访问请求，SDP控制器收集主体身份、设备健康、网络位置、行为基线等多维信号；2.TrustEngine实时计算信任分数，结合策略引擎比对最小权限策略；3.若分数高于阈值，颁发短期JWT令牌并允许访问；若低于阈值，触发降级（限制访问范围、增加多因子）或拒绝。风险信号：1.设备健康评分低于60分（如未打补丁、越狱、Root）；2.用户行为异常，如5分钟内登录IP跨越两个国家且物理移动速度大于900km/h；3.访问请求携带的证书指纹出现在当日CRL吊销列表。49.说明2025年勒索软件“三重勒索”模式演变趋势，并给出企业应急响应关键步骤。答案：演变趋势：1.加密前先窃取数据，威胁公开；2.若受害者拒付，对关键业务系统发起DDoS，制造停机压力；3.联合供应链上下游共同勒索，如同时向客户发送泄露样本。应急响应关键步骤：1.立即隔离受影响网段，关闭横向移动通道，保留现场内存与磁盘镜像；2.启动备份系统，优先恢复AD、DNS、ERP等核心服务，确保备份干净且离线；3.通知监管机构与保险公司，同步联系专业取证团队，评估数据泄露范围；4.根据评估结果决定是否支付赎金，若支付需通过第三方谈判并验证解密工具；5.事后进行全网加固：部署EDR、网络分段、零信任、离线备份、员工演练。六、综合应用题（20分）50.背景：某大型电商平台在2025年6月大促期间遭遇一次复杂供应链攻击。攻击者先入侵第三方物流插件更新服务器，篡改CI脚本，在构建阶段植入后门（CVE20251234），随后利用合法数字签名发布插件更新；平台运营方自动拉取更新后，后门在凌晨3点激活，窃取商家Token、消费者订单数据共2.3TB，并通过DNS隧道外传；6小时后，攻击者发送勒索邮件，要求支付300万美元等值比特币，否则公开数据。问题：（1）绘制攻击时间线（时区UTC+8）并标注关键节点；（2）指出供应链环节存在的三大安全缺失；（3）给出企业可长期落地的“安全左移+右移”综合防护方案，需覆盖技术、管理、法律三个维度，并量化关键指标。答案：（1）时间线02:00——攻击者推送恶意插件版本v3.1.7至官方更新服务器；02:30——平台CI/CD自动拉取更新，触发灰度发布；03:00——后门激活，开始收集Token与订单数据；03:10——数据通过DNS隧道分批外传，每包小于512字节，使用DoH加密；09:00——安全团队发现异常DNS流量，启动应急；0