2025年专业技术人员公需科目计算机网络信息安全与管理试题及答案

2025年专业技术人员公需科目计算机网络信息安全与管理试题及答案一、单项选择题（每题2分，共30分）1.零信任架构的核心假设是（）。A.内部网络绝对安全B.所有访问请求均不可信C.终端设备无需验证身份D.数据传输无需加密答案：B2.APT攻击（高级持续性威胁）的主要特征是（）。A.攻击目标随机且短暂B.利用已知漏洞快速获利C.长期潜伏并针对性渗透D.仅通过邮件附件传播答案：C3.根据《数据安全法》，数据分类分级的主要依据是（）。A.数据存储介质类型B.数据处理者的规模C.数据的重要程度及一旦泄露可能造成的危害D.数据产生的时间周期答案：C4.SSL/TLS协议的主要功能是（）。A.实现网络设备间的路由选择B.保障数据传输的机密性与完整性C.防止DDoS攻击D.管理IP地址分配答案：B5.《中华人民共和国网络安全法》正式实施的时间是（）。A.2016年11月7日B.2017年6月1日C.2021年9月1日D.2023年1月1日答案：B6.网络安全等级保护2.0（等保2.0）的保护对象扩展至（）。A.仅传统信息系统B.云计算、大数据、物联网等新型技术架构C.单一服务器设备D.物理机房环境答案：B7.防御DNS劫持的关键措施是（）。A.关闭DNS服务B.使用DNSSEC（域名系统安全扩展）C.增大DNS缓存时间D.仅使用本地DNS解析答案：B8.区块链技术的不可篡改性主要依赖（）。A.对称加密算法B.分布式账本与共识机制C.中央服务器验证D.哈希值随机提供答案：B9.强制访问控制（MAC）与自主访问控制（DAC）的主要区别是（）。A.MAC由系统强制分配权限，DAC由用户自主管理B.MAC仅用于内网，DAC用于外网C.MAC基于角色，DAC基于身份D.MAC权限不可变更，DAC可动态调整答案：A10.物联网设备面临的最突出安全风险是（）。A.计算能力过剩导致资源浪费B.固件更新频繁影响稳定性C.缺乏内置安全防护机制且易被批量攻击D.数据传输速率过低答案：C11.以下不属于网络安全“三同步”原则的是（）。A.同步规划B.同步建设C.同步使用D.同步淘汰答案：D12.数据脱敏技术中，“将身份证号后四位替换为”属于（）。A.加密B.匿名化C.去标识化D.掩码答案：D13.防范SQL注入攻击的最有效措施是（）。A.关闭数据库服务B.使用参数化查询（预编译语句）C.增大数据库端口号D.定期重启数据库服务器答案：B14.网络安全监测中，流量分析的核心目的是（）。A.统计网络带宽使用情况B.识别异常通信行为C.优化网络拓扑结构D.测试网络传输速率答案：B15.根据《个人信息保护法》，处理敏感个人信息的必要条件不包括（）。A.取得个人单独同意B.明确告知处理的必要性及对个人权益的影响C.采取严格的保护措施D.向第三方共享个人信息答案：D二、多项选择题（每题3分，共30分，多选、少选、错选均不得分）1.网络安全的基本要素包括（）。A.机密性B.完整性C.可用性D.可追溯性答案：ABC2.APT攻击的典型技术手段包括（）。A.0day漏洞利用B.钓鱼邮件植入木马C.长期会话维持D.大规模DDoS攻击答案：ABC3.数据脱敏的常用技术包括（）。A.替换（Masking）B.乱序（Shuffling）C.加密（Encryption）D.截断（Truncation）答案：ABCD4.等保2.0的关键要求包括（）。A.一个中心（安全管理中心）B.三重防护（计算环境、区域边界、通信网络）C.仅关注技术防护D.动态评估与持续改进答案：ABD5.零信任架构的核心组成部分包括（）。A.持续身份验证B.最小权限访问C.全流量检测D.信任边界扩展至用户答案：ABCD6.DNS安全防护的技术手段包括（）。A.DNSSECB.恶意域名黑名单C.递归解析器加固D.关闭UDP端口53答案：ABC7.区块链技术在网络安全中的应用场景包括（）。A.数据存证防篡改B.分布式身份认证（DID）C.智能合约自动化安全策略执行D.替代传统防火墙答案：ABC8.物联网设备面临的安全威胁包括（）。A.固件漏洞被利用B.弱口令导致设备被控制C.海量设备形成僵尸网络（Botnet）D.数据传输未加密答案：ABCD9.访问控制的主要模型包括（）。A.自主访问控制（DAC）B.强制访问控制（MAC）C.角色基访问控制（RBAC）D.规则基访问控制（RBAC）答案：ABC10.密码学的基本分支包括（）。A.对称加密B.非对称加密C.哈希函数D.数字签名答案：ABCD三、判断题（每题1分，共10分，正确填“√”，错误填“×”）1.零信任架构要求对所有访问请求进行动态验证，默认不信任任何用户或设备。（）答案：√2.APT攻击通常以短期、大规模破坏为目标，不追求长期潜伏。（）答案：×3.数据脱敏后的结果必须保证无法通过任何方式还原原始数据。（）答案：×（注：去标识化可能可还原，匿名化不可还原）4.SSL/TLS协议仅用于加密数据，不验证通信双方身份。（）答案：×（注：TLS包含身份认证）5.《网络安全法》要求网络运营者必须对用户进行实名制认证。（）答案：√（注：关键信息基础设施等场景需实名）6.等保1.0主要针对传统信息系统，等保2.0扩展至云计算、物联网等新技术架构。（）答案：√7.DNS劫持仅影响域名解析结果，不会导致数据泄露。（）答案：×（注：可能引导至钓鱼网站窃取数据）8.区块链的不可篡改性是绝对的，一旦数据上链即无法修改。（）答案：×（注：51%攻击等场景可能篡改）9.强制访问控制（MAC）中，用户可以自主调整其他用户的访问权限。（）答案：×（注：权限由系统强制管理）10.物联网设备由于资源受限，无需定期更新固件补丁。（）答案：×四、简答题（每题6分，共30分）1.简述零信任架构的核心原则。答案：零信任架构的核心原则包括：（1）持续验证：对所有访问请求（用户、设备、应用）进行动态身份验证与授权；（2）最小权限：仅授予完成任务所需的最小访问权限；（3）全流量检测：对网络流量进行细粒度监控与分析；（4）动态信任评估：基于上下文（如位置、设备状态、时间）实时调整信任级别；（5）无默认信任：默认不信任任何内部或外部请求，需通过验证后再授权。2.简述APT攻击的典型特征及防御策略。答案：典型特征：（1）目标明确，针对特定组织（如政府、金融）；（2）长期潜伏（数月至数年）；（3）使用0day漏洞、钓鱼邮件等高级技术手段；（4）攻击链完整（reconnaissance→植入→渗透→数据窃取）。防御策略：（1）加强终端安全（如EDR端点检测响应）；（2）实施网络流量深度分析（如NTA网络流量分析）；（3）定期进行漏洞扫描与补丁管理；（4）提升员工安全意识（如钓鱼邮件演练）；（5）建立威胁情报共享机制。3.简述数据分类分级的实施步骤。答案：步骤包括：（1）数据资产梳理：识别组织内所有数据（如用户信息、业务数据、敏感文件）；（2）确定分类维度：按业务属性（如客户数据、财务数据）、敏感程度（如公开、内部、机密、绝密）等分类；（3）制定分级标准：根据数据泄露/篡改可能造成的危害（如轻微影响、重大经济损失、国家安全风险）划分等级；（4）标注与标识：为每类数据打标签并明确责任人；（5）动态更新：随着业务变化调整分类分级结果。4.简述等保2.0与等保1.0的主要区别。答案：（1）保护对象扩展：等保1.0主要针对传统信息系统，等保2.0覆盖云计算、大数据、物联网、工业控制系统等新技术架构；（2）防护要求升级：从“被动防御”转向“主动防御、动态防御、整体防控”；（3）强调安全管理中心：新增安全管理中心要求，实现集中监控、策略统一；（4）合规范围扩大：从“网络运营者”扩展至关键信息基础设施运营者、数据处理者等；（5）评估方式变化：引入“先评估后建设”“持续评估”机制，强调动态防护。5.简述《网络安全法》中关键信息基础设施运营者的特殊义务。答案：（1）安全保护义务：需自行或委托第三方进行安全检测评估（每年至少一次）；（2）数据本地化要求：在境内运营中收集和产生的重要数据应当在境内存储；（3）跨境传输审批：因业务需要确需向境外提供数据的，需经安全评估；（4）采购安全审查：采购网络产品和服务可能影响国家安全的，需通过国家安全审查；（5）应急处置：制定应急预案并定期演练，发生安全事件时立即报告并采取措施。五、案例分析题（每题10分，共20分）1.某金融机构近期发现核心业务系统存在异常数据外传，经检测确认是APT攻击所致。请分析该攻击可能经历的阶段，并提出针对性防御措施。答案：攻击阶段分析：（1）前期侦察：攻击者通过公开信息（如企业官网、员工社交媒体）收集目标系统架构、关键人员信息；（2）初次植入：利用钓鱼邮件向财务部门员工发送伪装成“审计通知”的恶意附件，植入远控木马（如CobaltStrike）；（3）横向渗透：木马获取本地权限后，通过内网扫描发现数据库服务器弱口令，横向移动至核心系统；（4）数据窃取：利用数据库管理工具导出客户交易记录，通过加密通道外传至境外服务器；（5）长期潜伏：清除日志并保留后门，以便后续再次入侵。防御措施：（1）技术层面：部署EDR（端点检测与响应）系统监控终端异常行为；启用数据库审计功能记录所有操作；实施网络微隔离，限制横向移动；（2）管理层面：加强员工安全培训（如识别钓鱼邮件）；定期变更数据库管理员口令并禁用弱口令；（3）应急层面：制定APT攻击专项应急预案，明确事件响应流程（如断网、隔离受感染设备、日志留存）；（4）情报层面：接入威胁情报平台，及时获取APT组织最新攻击工具特征。2.某电商平台因用户数据库未加密存储且访问权限管理混乱，导致50万条用户信息（含姓名、手机号、地址）泄露。请分析泄露原因，指出违反的相关法规，并提出改进措施。答案：泄露原因：（1）技术漏洞：用户数据（如手机号）以明文形式存储在数据库，未采用加密或哈希加盐处理；（2）权限管理缺陷：数据库默认开放公网访问，且开发人员拥有超级管理员权限，未实施最小权限原则；（3）监控缺失：未部署数据库审计系统，无法及时发现异常数据查询行为。违反法规：（1）《网络安全法》第二十一条（网络安全等级保护要求）、第四十二条（个人信息保护义务）；（2）《个人信息保护法》第二十四条（数据安全技术措施）、第二十九条（敏感个人信息处理要求）；（3）《数据安全法》第二十七条（数据分类分级保护）。改进措施：（1）技术加固：对用户信息进行加密存储（