SOE-TEC-SEC-EXAM 军工企业信息安全岗招聘考试全真模拟卷(3套)：网络安全与保密

SOE-TEC-SEC-EXAM:军工企业信息安全岗招聘考试全真模拟卷(3套)：网络安全与保密文档类型：全真模拟试卷（含答案与解析）

适用对象：备考军工央企、十大军工集团及下属科研院所信息安全、网络安全、保密技术岗位的求职者

核心承诺：本书提供3套完整全真模拟试卷，每套包含单选题20道、多选题10道、判断题10道、案例分析题1道、论述题1道，所有题目均配备详尽解析与评分标准。本书配套1份高频考点速记工具模板、1份常见误区与避坑指南（含15条）、1份核心政策法规学习清单。摘要本书专为军工企业信息安全岗位招聘笔试编写，严格对标十大军工集团及国防科工局下属单位近年考情，提供《网络安全与保密》科目全真模拟卷3套。全书深度覆盖《中华人民共和国网络安全法》《中华人民共和国保守国家秘密法》《信息安全等级保护管理办法》等核心法规，以及网络攻防、密码学基础、安全管理体系等高频技术模块。每套试卷均含单选题20道、多选题10道、判断题10道、案例分析题1道、论述题1道，共42道完整试题，3套合计126道题。所有试题均附逐项详尽解析与主观题评分标准，可直接用于模拟实战与考前冲刺。本书还赠送高频考点速记工具模板1份、常见误区与避坑指南（含15条典型错误剖析）、核心政策法规学习清单（含12部必读法规索引）。建议读者将3套试卷分别用于阶段自测、模拟冲刺和考前回顾。使用说明与学习目标模拟实战环境：每套试卷建议独立计时完成，客观题部分总用时控制在90分钟以内，案例分析题与论述题各留出30分钟。答题时关闭所有参考资料，以真实考试状态应对。精研解析与评分标准：客观题逐项比对解析，不仅知其然更要知其所以然。主观题仔细研究评分标准中的采分点，这是直接来自命题维度的核心信息。三套卷循环使用策略：第一套用于入门自测，暴露薄弱环节；第二套用于专项突破后的验证；第三套用于考前全真模拟，若三套卷中同一考点反复出错，须回到教材或本书配套的速记工具模板专项攻克。学习目标明确化：

①掌握网络安全等级保护、涉密信息系统分级保护的核心要求与定级标准。

②熟练运用常见密码技术、身份认证机制、访问控制模型的原理与适用场景。

③能够依据《网络安全法》《保守国家秘密法》等法规对典型违规案例进行定性分析并提出整改方案。

④具备独立完成信息安全应急响应预案框架设计和安全管理体系建设方案撰写的能力。适用人群与阅读路径建议适用人群阅读路径建议行动指示应届生首次备考速记工具模板→第一套卷→逐题解析精读→误区指南→第二套卷→第三套卷优先记忆速记模板中的高频考点口诀，再进行模拟自测，避免盲目刷题有经验的社会招聘者第一套卷自测→定位薄弱点→针对性查阅解析与法规清单→第二套卷限时训练→第三套卷冲刺自测后必须统计各模块正确率，对低于60%的模块安排不少于3小时的专项复习其他国企信息安全岗求职者全部三套卷逐一完成→政策法规学习清单逐项核对→论述题范文模仿写作重点对比军工行业与其他行业在保密要求上的差异，论述题必须达到“能默写框架”的程度已入职员工的岗位技能提升案例分析题深度研讨→论述题结合本单位实际场景改写→误区指南对照自查重点将试卷中的案例与本单位安全管理制度进行对比，形成改进建议清单正文全真模拟卷（第1套）试卷结构说明：本套试卷满分100分。第一大题为单选题，共20题，每题1分；第二大题为多选题，共10题，每题2分，多选、少选、错选均不得分；第三大题为判断题，共10题，每题1分；第四大题为案例分析题，1题，共20分；第五大题为论述题，1题，共20分。一、单选题（共20题，每题1分。每题的备选项中，只有1个最符合题意。）第1题

按照《信息安全等级保护管理办法》，信息系统安全保护等级分为五级。其中，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，应定为第几级？

①第二级

②第三级

③第四级

④第五级参考答案：②解析

本题考察信息安全等级保护定级标准。

选项①第二级：适用于受到破坏后会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全的信息系统。不符合题干中“对国家安全造成损害”的描述。

选项②第三级：适用于受到破坏后会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害的信息系统。与题干描述完全吻合，故正确。

选项③第四级：适用于受到破坏后会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害的信息系统。题干中为“严重损害社会秩序”和“损害国家安全”，未达到第四级的“特别严重损害”和“严重损害国家安全”程度。

选项④第五级：适用于受到破坏后会对国家安全造成特别严重损害的信息系统。明显不符。第2题

依据《中华人民共和国保守国家秘密法》，国家秘密的密级分为绝密、机密、秘密三级。下列关于定密权限的说法，正确的是：

①设区的市、自治州一级的机关及其授权的机关、单位，可以确定绝密级、机密级和秘密级国家秘密

②县级机关、单位拥有独立的原始定密权，可以确定秘密级国家秘密

③中央国家机关、省级机关及其授权的机关、单位，可以确定绝密级、机密级和秘密级国家秘密

④任何机关、单位均有权根据实际工作需要确定相应密级，无需上级授权参考答案：③解析

本题考察定密权限的法律规定，属于高频考点。

选项①错误。《保守国家秘密法》规定，设区的市、自治州一级的机关及其授权的机关、单位，只能确定机密级和秘密级国家秘密，没有绝密级的定密权。

选项②错误。县级机关、单位没有独立的原始定密权。确需定密的，须报有定密权限的上级机关或单位确定。这是定密权限中的常见混淆点。

选项③正确。中央国家机关、省级机关及其授权的机关、单位可以确定绝密级、机密级和秘密级国家秘密。这与法律规定完全一致。

选项④错误。定密权限由法律规定，并非任何机关单位都有权自行确定。未经授权擅定密级属于违规行为。第3题

在网络安全防御体系中，部署于内网与外部网络边界，依据预先设定的安全策略对进出网络的数据包进行检查和过滤的设备是：

①入侵检测系统（IDS）

②防火墙（Firewall）

③虚拟专用网络网关（VPNGateway）

④安全审计系统（AuditSystem）参考答案：②解析

本题考察网络安全设备的核心功能区分。

选项①入侵检测系统（IDS）：主要功能是监听网络流量，发现异常行为或已知攻击特征并报警，属于旁路部署，不直接阻断数据包。题干描述的核心动作是“过滤”，而非“检测报警”。

选项②防火墙：部署在网络边界，通过预设的安全规则对进出流量进行允许或拒绝的判断，核心功能即为数据包过滤。与题干描述完全匹配。

选项③虚拟专用网络网关：用于在公共网络上建立加密的安全传输通道，核心功能是加密和隧道封装，而非基于安全策略进行包过滤。

选项④安全审计系统：负责采集和记录网络、系统日志，用于事后分析和溯源取证，不直接参与流量过滤。第4题

以下关于非对称加密算法RSA的描述，错误的是：

①RSA算法的安全性基于大整数因子分解的数学难题

②RSA算法既可以用于数据加密，也可以用于数字签名

③RSA算法的加密速度通常快于对称加密算法AES，因此常用于大量数据的实时加密传输

④在RSA密钥对中，公钥用于加密，私钥用于解密参考答案：③解析

本题考察非对称加密算法的基本原理和特性。

选项①正确。RSA算法的数学基础是欧拉定理，其安全性依赖于大整数分解为两个大素数的计算复杂度，这已经是公认的数学难题。

选项②正确。RSA算法具有双向性：用公钥加密、私钥解密可以实现数据保密性；用私钥加密（签名）、公钥解密（验证）可以实现数字签名功能。

选项③错误。这是本题的考点核心。非对称加密算法涉及复杂的模幂运算，计算开销远大于对称加密算法。在实际应用中，RSA的加密速度比AES慢数百甚至上千倍，因此不用于大量数据的直接加密传输。通常的做法是用RSA加密对称密钥，然后用对称密钥加密数据。

选项④正确。公钥公开，用于加密；私钥持有者私有，用于解密，这是非对称密码体制的基本逻辑。第5题

某军工企业的涉密信息系统按照相关标准确定为“机密级增强”保护等级。根据涉密信息系统分级保护的要求，该系统的物理安全策略中，对于机房出入管控的最低要求是：

①设置门禁系统，凭有效证件出入，无全程记录要求

②配置双因子认证的门禁系统，人员进出须登记并保存记录，且须防范尾随

③无需专门门禁，由安保人员目视检查即可

④只要安装视频监控，可以不做人员进出登记参考答案：②解析

本题考察涉密信息系统分级保护中物理安全管控的细节要求，是军工岗位的实操类高频考点。

选项①错误。“无全程记录要求”不符合机密级增强保护等级的要求。涉密机房必须保存完整的出入记录以备审计。

选项②正确。根据涉密信息系统分级保护相关管理规范，对于机密级以上涉密信息系统所在机房，必须实现双因子认证（如刷卡+密码或刷卡+生物识别），严格登记所有进出人员信息，记录保存期限符合规定，并且须采用物理隔离设施（如互锁门、尾随检测系统）防范尾随进入。

选项③错误。安保人员目视检查无法达到可审计、可追溯的技术管控要求。

选项④错误。视频监控是辅助手段，不能替代人员进出登记和门禁系统的准入控制功能。第6题

在TCP/IP协议栈中，负责在源主机和目的主机之间提供端到端可靠数据传输服务的协议是：

①IP协议

②UDP协议

③TCP协议

④ICMP协议参考答案：③解析

本题考察TCP/IP协议栈各层的核心协议功能，是网络基础中的必考知识点。

选项①IP协议：位于网络层，提供无连接的、尽力而为的数据报传输服务，不保证可靠性。可靠性的保障由传输层实现。

选项②UDP协议：位于传输层，提供无连接的、不可靠的数据传输服务，不进行确认和重传。

选项③TCP协议：位于传输层，通过三次握手建立连接、序列号与确认机制、超时重传、流量控制和拥塞控制等机制，在不可靠的IP层之上提供端到端的可靠字节流传输服务。符合题干描述。

选项④ICMP协议：位于网络层，用于在IP主机和路由器之间传递控制消息，如差错报告和网络诊断（ping命令即基于ICMP），不负责端到端数据传输。第7题

《中华人民共和国网络安全法》规定，网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。该要求主要体现了网络安全治理中的哪项原则？

①行业自律原则

②网络空间主权原则

③网络安全与信息化发展并重原则

④共同治理原则中的法定协助义务参考答案：④解析

本题考察对《网络安全法》核心原则的理解，需区分不同原则的内涵。

选项①行业自律原则：强调行业组织通过制定自律规范引导企业行为，题干描述的是法定的强制性义务，非自律范畴。

选项②网络空间主权原则：指国家对其网络空间拥有主权，有权管辖本国网络空间内的活动。题干中协助执法机关是配合主权行使的具体义务，但题干更侧重于运营者与国家机关之间的协助关系本身。

选项③发展并重原则：强调不能因安全而阻碍信息化发展，也不能因发展而忽略安全。与题干场景无关。

选项④共同治理原则中的法定协助义务：共同治理原则要求政府、企业、社会、个人等多方主体共同参与网络安全治理。其中，网络运营者配合执法机关的调查和侦查活动，是法律明确规定的协助义务，是共同治理中企业主体责任的重要体现。故选项④最为贴切。第8题

在信息安全风险管理中，将资产、威胁、脆弱性三者之间逻辑关系表述为“风险=资产价值×威胁频率×脆弱性严重程度”，由此推导，当某个Web应用系统存在SQL注入漏洞（脆弱性），且面临频繁的网络扫描攻击（威胁），但该系统仅用于展示完全公开的信息（资产价值极低），则综合风险等级最有可能为：

①高风险，因为漏洞一旦被利用将导致数据泄露

②高风险，因为威胁频率高

③低风险，因为资产价值低，即使被攻击也不会造成重大损失

④中等风险，因为威胁频率和脆弱性严重程度都很高参考答案：③解析

本题考察信息安全风险评估模型的综合运用，强调不能孤立看待单个因素。

风险是资产价值、威胁和脆弱性三个要素的函数。在题干场景下：

脆弱性方面，SQL注入是严重的漏洞；威胁方面，频繁的扫描说明威胁确实存在。

但是，关键变量在于资产价值。系统存储和展示的是完全公开的信息，意味着其保密性需求为零，完整性遭到破坏也仅影响公开信息的准确展示，可用性受损也不影响核心业务。因此，资产价值极低。

在三要素乘积模型中，任何一个因子趋于极低，风险总值必然趋于低水平。因此，尽管存在严重漏洞和频繁威胁，由于资产本身无保护价值，综合风险仍为低风险。

选项①②④的错误均在于忽略了资产价值这个决定性因子。第9题

数字签名技术是保障信息完整性和不可否认性的核心手段。发送者Alice使用自己的私钥对消息的摘要进行加密，生成数字签名，并将消息原文与签名一同发送给Bob。Bob为验证签名，应执行的操作是：

①使用Alice的公钥解密签名，将得到的摘要与自己对消息原文计算的摘要进行比对

②使用自己的私钥解密签名，确认消息来源

③使用Alice的私钥加密一份新消息，与收到的消息进行比对

④将签名发送至可信第三方认证中心进行验证参考答案：①解析

本题考察数字签名验证的技术流程，须区分签名生成与签名验证两个过程。

签名生成过程：Alice对原文进行哈希运算得到摘要，用Alice的私钥加密摘要，生成签名。

签名验证过程：Bob收到原文和签名后，首先用Alice的公钥解密签名，得到Alice计算出的原始摘要；然后Bob对收到的原文使用相同的哈希算法计算一个摘要；最后比对两个摘要是否一致。如果一致，证明该签名确由Alice的私钥生成（身份认证）且原文未被篡改（完整性验证）。

选项①完整描述了以上验证流程，正确。

选项②错误。解密签名应使用Alice的公钥，而非Bob自己的私钥。

选项③错误。验证签名是解密已生成的签名进行比对，而非重新加密新消息。

选项④错误。在直接数字签名模型下，验证过程由接收方独立完成，无需在线向第三方求证。第三方的角色在PKI体系中更多体现为公钥证书的签发和管理。第10题

以下关于计算机病毒、蠕虫、特洛伊木马三者区别的描述，最准确的是：

①病毒和蠕虫都需要寄生于其他可执行程序中才能传播，木马则独立运行

②蠕虫可以独立自我复制和传播，不需要用户干预；病毒需要附着在宿主程序上，通常需要用户交互才能传播；木马伪装成合法软件，诱骗用户安装，不具备自我复制能力

③三者没有本质区别，统称为恶意代码

④木马主要通过电子邮件传播，病毒和蠕虫主要通过网页脚本传播参考答案：②解析

本题考察恶意代码家族中三大经典类型的核心特征区分。

选项①错误。蠕虫的重要特征就是可以独立存在并自我复制传播，不需要寄生在其他程序中。病毒才需要寄生在宿主程序上。

选项②正确。三者的区分是安全基础中的高频考点。蠕虫是自包含程序，利用网络漏洞主动传播，无需人工干预（如冲击波蠕虫）；病毒是一段代码，必须附着在合法程序或文件中，当宿主被运行或打开时激活，多需用户交互（如宏病毒）；木马伪装成正常软件诱导用户下载运行，在被控端与控端之间建立连接，本身一般不自我复制。该选项准确概括了三者的核心区别。

选项③错误。虽然在广义上都属于恶意代码，但在技术原理、传播机制和防护策略上三者有明确差异，混为一谈无法指导实际安全防护工作。

选项④错误。传播途径并非其本质区别。蠕虫可通过邮件、漏洞等多种途径传播；病毒可存在于任何可执行载体；木马常通过社交工程随软件捆绑传播。第11题

依据《涉密信息系统集成资质管理办法》，涉密信息系统集成资质分为甲级和乙级。关于二者的业务范围，下列说法正确的是：

①甲级资质单位只能在全国范围内承接绝密级涉密信息系统集成业务

②乙级资质单位可以在全国范围内承接秘密级和机密级业务

③甲级资质单位可以在全国范围内承接绝密级、机密级、秘密级业务；乙级资质单位可以在注册地省、自治区、直辖市行政区域内承接机密级、秘密级业务

④甲级和乙级资质单位在业务承接范围上没有区别，仅在注册资本要求上不同参考答案：③解析

本题考察涉密信息系统集成资质等级对应的业务承接权限，是军工企业供应商管理和资质审查的必备知识。

选项①错误。甲级资质确实可以承接绝密级业务，且范围是全国，但表述为“只能”错误，甲级资质同样可以承接机密级和秘密级业务。

选项②错误。乙级资质单位只能在注册地所在的省级行政区域内承接业务，不能在全国范围承接，且乙级资质不可承接绝密级业务。

选项③正确。甲级资质全国范围有效，可承接绝密、机密、秘密各级涉密信息系统集成业务；乙级资质在注册地省、自治区、直辖市内有效，可承接机密级、秘密级业务。该描述与现行《涉密信息系统集成资质管理办法》的规定一致。

选项④错误。两类资质在业务范围、承接地域、最低管理层级要求等方面均有显著区别。第12题

网络攻击的常用手段中，“SQL注入攻击”主要针对的漏洞类型是：

①操作系统内核缓冲区溢出漏洞

②Web应用程序对用户输入数据的验证不严，将恶意SQL语句插入后端数据库执行

③网络层IP碎片包重组漏洞

④中间人劫持TCP会话漏洞参考答案：②解析

本题考察SQL注入攻击的原理定位。

选项①错误。操作系统内核缓冲区溢出漏洞是二进制层面的内存安全漏洞，攻击者通过写入超长数据覆盖函数返回地址等实现代码执行。SQL注入发生在应用层，不直接涉及内核。

选项②正确。SQL注入的本质是应用程序在构造数据库查询语句时，未对用户输入的特殊字符（如单引号、注释符）进行有效过滤或参数化处理，导致攻击者输入的SQL片段被数据库引擎当作指令执行，从而实现非授权查询、篡改、删除数据甚至控制服务器。这是Web应用安全中危害最严重的漏洞之一。

选项③错误。IP碎片包重组漏洞属于网络层攻击手法，典型如Teardrop攻击，利用系统在重组IP分片时的缺陷导致拒绝服务，与SQL无关。

选项④错误。中间人劫持TCP会话是网络层的攻击技术，攻击者插入通信双方之间截获或篡改通信内容，不涉及数据库查询语言。第13题

某单位对一台存储有“秘密”级国家秘密信息的计算机进行了报废处理。正确的报废流程是：

①直接送交具备一般固体废弃物回收资质的单位进行物理销毁

②由单位信息部门格式化硬盘后，作为非密计算机捐赠或出售

③必须履行清点、登记、审批手续，送交当地保密行政管理部门指定的涉密载体销毁机构进行彻底销毁，并取得销毁凭证

④拆除硬盘后由本单位两人以上在场进行物理砸毁即可，无需登记参考答案：③解析

本题考察涉密载体销毁的合规流程，属于保密管理实务中的刚性要求。

选项①错误。存储过国家秘密信息的载体，其销毁必须由保密行政管理部门指定的专门机构进行，不得混同于一般固体废弃物。一般回收单位不具备保密销毁资质和管控条件。

选项②错误。经过格式化或删除操作后，数据仍可通过技术手段恢复。涉密计算机在未经过专业消磁或物理彻底销毁的情况下，严禁降密使用或转为民用，严禁擅自赠送、出售。

选项③正确。涉密载体销毁必须严格遵守以下程序：先由使用部门提出销毁申请，履行清点、核对、登记、报批手续；经单位保密工作机构或指定部门审批同意后，由专人押运至当地保密局指定的涉密载体销毁机构；销毁过程须有两人以上监销；销毁完成后取得由销毁机构开具的销毁凭证，归档备查。

选项④错误。虽然两人以上在场砸毁是物理销毁的一种方式，但不能替代审批登记和销毁凭证环节。完整的合规流程必须包含完整的审计追踪链条。第14题

在PKI（公钥基础设施）体系中，负责签发、吊销数字证书，并发布证书吊销列表（CRL）的核心实体是：

①注册机构（RA）

②证书认证机构（CA）

③证书持有者（Subscriber）

④依赖方（RelyingParty）参考答案：②解析

本题考察PKI体系各实体的角色与职责。

选项①注册机构（RA）：是CA的辅助机构，主要负责受理用户的证书申请，对申请者的身份进行审核，审核通过后向CA提交签发证书的请求。RA本身不签发证书。

选项②证书认证机构（CA）：PKI体系的核心和信任锚点。CA用自己的私钥为证书申请者的公钥及其身份信息签名，生成数字证书。同时，CA负责在证书有效期内，当证书持有者私钥泄露或身份变更时，吊销证书并发布证书吊销列表（CRL）供依赖方查询。符合题干所有描述。

选项③证书持有者：证书的申请和使用主体，拥有与证书中公钥对应的私钥。

选项④依赖方：接收并信任证书持有者提供的证书，并使用CA的公钥验证证书有效性的一方。第15题

《中华人民共和国网络安全法》中关于关键信息基础设施运营者在中国境内收集和产生的个人信息和重要数据，应当在境内存储。因业务需要确需向境外提供的，应当遵循的程序是：

①经本单位网络安全负责人批准即可

②按照国务院相关部门制定的办法进行安全评估

③只要获得数据主体的书面同意即可向境外提供

④向任何第三方机构备案后即可参考答案：②解析

本题考察《网络安全法》的数据本地化存储与出境安全评估条款，是近年来监管执法的重点领域。

选项①错误。单位网络安全负责人批准只是内部流程中的一环，不能替代法律规定的安全评估程序。数据出境的审批权限不在单一运营者内部。

选项②正确。《网络安全法》第三十七条明确规定：“因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。”此处的“安全评估”是法定前置程序，非经评估不得出境。目前该条款的具体实施办法已通过《数据出境安全评估办法》等文件进一步细化。

选项③错误。个人同意不能免除安全评估义务。对关键信息基础设施运营者而言，重要数据和个人信息出境的安全评估是强制性义务，不属于仅靠告知同意即可处分的权利范围。

选项④错误。“备案”与“安全评估”是两个不同的法律程序。法定要求是经过安全评估，而非简单备案。第16题

在操作系统安全配置基线中，下列哪项做法最符合“最小权限原则”？

①为了方便管理，为所有系统管理员分配root或Administrator权限

②创建一个普通用户账号，只有在需要进行系统管理操作时，才临时使用su或sudo提权执行相应命令

③禁止所有用户修改自己主目录下的文件权限

④定期将所有用户加入管理员组，在完成操作后再移出参考答案：②解析

本题考察最小权限原则的内涵与实践应用。

最小权限原则要求每个主体（用户、进程）仅被授予完成其工作任务所必需的最小权限集合，不多也不少。

选项①违反最小权限原则。所有管理员均拥有最高权限，一旦某个管理员账号被攻破，攻击者即获得完全控制权。管理员也应根据角色进行权限细分。

选项②正确。日常使用普通权限账号进行操作，仅在必要时通过提权工具临时获得特权，执行完特定管理任务后权限自动回归。这最大限度地减少了特权进程的运行时间窗口，降低了因误操作或恶意代码利用高权限造成破坏的风险。这是Linux/Unix系统安全管理的经典最佳实践。

选项③错误。用户对自己主目录下的文件权限拥有控制权是必要的，完全禁止属于权限不足，同样违反最小权限原则。正确的做法是根据需要授予，而非一刀切禁止。

选项④错误。频繁将用户加入管理员组并移除，不仅增加管理开销，而且存在时间窗口漏洞——用户可能在拥有权限期间执行非必要的特权操作，或在移出前建立后门账号。这不满足权限的实时最小化要求。第17题

下列攻击类型中，主要利用TCP协议三次握手过程中的缺陷，耗尽服务器连接资源的拒绝服务攻击是：

①PingofDeath

②SYNFlood（同步泛洪）

③DNS放大攻击

④ARP欺骗参考答案：②解析

本题考察各类拒绝服务攻击的技术原理区分。

选项①PingofDeath：通过向目标发送超大的ICMP数据包，导致目标系统在处理分片重组时缓冲区溢出，属于利用IP层漏洞的攻击。

选项②SYNFlood：攻击者利用TCP三次握手过程，向服务器发送大量SYN报文但不完成后续握手（不回应服务器的SYN+ACK，或伪造源IP使响应无法到达），导致服务器为每个半开连接分配资源并维护在SYN-RCVD状态。当大量这样的半连接累积后，服务器的连接队列被耗尽，无法接受新的合法连接。这与题干描述完全吻合。

选项③DNS放大攻击：利用DNS递归查询中请求包小、响应包大的特点，伪造受害者IP向开放DNS解析器发送查询请求，使响应流量放大后涌向受害者，属于反射型放大攻击，而非利用TCP连接资源。

选项④ARP欺骗：在局域网内伪造ARP响应，将攻击者的MAC地址与合法IP绑定，实现中间人攻击或网络断流，不属于利用TCP连接机制的拒绝服务攻击。第18题

关于商业秘密与工作秘密的表述，以下正确的是：

①商业秘密就是国家秘密中的秘密级事项，工作秘密就是尚未定密的内部事项

②商业秘密的权利人是特定的民事主体，国家秘密的权利人是国家；工作秘密是机关单位在公务活动中产生的不属于国家秘密的内部敏感信息

③三者可以等同，都受《保守国家秘密法》保护

④工作秘密泄露后只会影响单位形象，不会承担法律责任参考答案：②解析

本题考察三种需要保护的信息类型的法律属性区分，极易混淆。

选项①错误。商业秘密与国家秘密是两个完全不同法律体系下的概念。商业秘密由《反不正当竞争法》等保护，权利人是企业等民事主体；国家秘密由《保守国家秘密法》保护，权利人是国家。两者虽可能有交叉（极少情况），但不能画等号。

选项②正确。商业秘密是技术信息和经营信息，其权利主体是特定的企业或个人，保密价值在于经济利益；国家秘密的事项由法律规定的程序和范围确定，权利人是国家，保密价值在于国家安全和利益；工作秘密是机关、单位在日常工作中产生或获取的，不属于国家秘密但不宜对外公开的内部敏感信息。

选项③错误。三者受不同的法律规范调整，不能等同。工作秘密的泄露主要依据机关单位内部管理规定和相关行政法规追责，一般不直接适用《保守国家秘密法》。

选项④错误。泄露工作秘密若造成严重后果，同样可能依据公务员法、政务处分法乃至刑法中相关规定追究纪律和法律责任。第19题

入侵检测系统（IDS）的检测技术主要包括误用检测（MisuseDetection）和异常检测（AnomalyDetection）。关于这两种技术的对比，正确的是：

①误用检测无法发现已知攻击的变种，异常检测可以

②误用检测的误报率通常低于异常检测；异常检测可以发现未知攻击，但需要建立正常行为基线

③异常检测不需要任何特征库，误用检测需要建立正常行为基线

④误用检测适用于检测内部人员的违规操作，异常检测仅适用于检测外部攻击参考答案：②解析

本题考察IDS两大检测技术的原理与特性对比，需准确区分。

误用检测（基于特征/规则）：将网络行为与已知的攻击模式库（特征库）进行匹配，匹配成功则报警。优点是误报率低；缺点是只能检测特征库中已有的攻击，无法检测零日攻击或已知攻击的变种（除非变种特征也被入库）。

异常检测（基于行为）：首先通过一段时间的机器学习建立系统或网络的正常行为基线，然后将当前行为与基线比较，偏离超出阈值即报警。优点是可以发现未知攻击和内部滥用；缺点是误报率较高（某些合法但罕见的行为可能触发报警），且需要不断更新基线以适应业务变化。

选项①错误。误用检测无法发现未知攻击和变种是公认的缺陷，描述正确。但异常检测对于已经习得并纳入基线的已知攻击的变种，因其行为偏离基线，是可以发现的。

选项②正确。误用检测匹配精确规则，误报率相对较低；异常检测能够检测偏离基线的任何行为，包括未知攻击，这正是其核心优势。该描述准确且全面。

选项③错误。误用检测需要的是攻击特征库，异常检测才需要建立正常行为基线。本选项将两者弄反。

选项④错误。两种技术均可用于检测内外部威胁，并非按攻击来源进行分工。第20题

依据国家有关规定，涉密人员离岗离职实行脱密期管理。一般情况下，核心涉密人员的脱密期为：

①1年至2年

②2年至3年

③3年至5年

④6个月至1年参考答案：③解析

本题考察涉密人员脱密期管理的量化规定，数据须准确记忆。

根据《涉密人员保密管理指南（试行）》及相关规定，涉密人员离岗离职必须实行脱密期管理。脱密期内，涉密人员在出国（境）、就业等方面受到一定限制，并须定期向原单位报告情况。

脱密期的具体期限通常根据其此前接触、知悉的国家秘密密级和数量确定。

核心涉密人员的脱密期一般为3年至5年。

重要涉密人员的脱密期一般为2年至3年。

一般涉密人员的脱密期一般为1年至2年。

选项③符合核心涉密人员脱密期限标准。选项①为一般涉密人员期限，选项②为重要涉密人员期限，选项④不符合上述任何一类人员标准。二、多选题（共10题，每题2分。每题的备选项中，有2个或2个以上符合题意，至少1个错项。多选、错选，本题不得分；少选，所选的每个选项得0.5分。）第21题

《中华人民共和国网络安全法》明确规定了网络运营者应当履行的安全保护义务。下列各项中，属于网络运营者法定义务的有：

①制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任

②采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施

③对所有网络服务提供者进行背景审查，并对所有用户实施实名认证

④采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月

⑤采取数据分类、重要数据备份和加密等措施参考答案：①②④⑤解析

本题考察《网络安全法》第二十一条规定的网络运营者安全保护义务核心条款，是考试的绝对重点。

选项①正确。对应法律条文中“确定网络安全负责人”的制度建设要求。

选项②正确。对应采取防范计算机病毒、网络攻击等技术措施的要求。

选项③错误。“对所有网络服务提供者进行背景审查”是干扰项。法律要求的是网络运营者对用户实行实名制管理，但未要求对“所有网络服务提供者”进行审查。网络运营者之间是平等民事主体，无权互相审查。

选项④正确。对应采取监测、记录和留存日志的要求。六个月是法定的最低留存期限，这一数字必须精准记忆。

选项⑤正确。对应采取数据分类、重要数据备份和加密等措施的要求。这五项均属于网络运营者等级保护制度下的具体义务。第22题

在访问控制模型中，以下关于强制访问控制（MAC）和自主访问控制（DAC）的描述，正确的有：

①MAC根据主体和客体的安全标记来决定访问权限，用户不能随意改变权限

②DAC中，客体的所有者可以自主决定将访问权限授予其他主体

③MAC适用于对机密性要求极高的军事和安全部门

④在MAC中，即使用户是文件的所有者，也可能无法将该文件的读权限授予安全级别低于文件的用户

⑤DAC比MAC提供更强的安全保障，因为它更灵活参考答案：①②③④解析

本题考察两种经典访问控制模型的原理与对比。

选项①正确。MAC的核心特征就是由系统基于主客体的安全标签（如绝密、机密、秘密）和访问规则（如Bell-LaPadula模型的“不向上读、不向下写”强制规则）实施访问控制，用户个人无法修改标签或转让权限。

选项②正确。DAC的核心特征就是“所有者全权决定”。客体的属主可以自主地将其拥有的权限授予任何其他主体，控制粒度灵活。典型代表是Linux/Windows的文件权限位。

选项③正确。MAC模型适用于具有严格层级化密级管理需求的环境，军事组织、政府情报部门是其典型应用场景。

选项④正确。在MAC模型下，访问决策由系统根据安全标签强制执行，即使你是文件内容的创建者（所有者），只要你本人当前的安全级别低于文件标签，你也不能读取该文件；同样，若你拥有读取高密级文件的权限，你也不能将其复制到低密级区域。所有者权限被强制安全策略所覆盖。

选项⑤错误。DAC由于权限可任意传递，容易出现权限扩散、信息被非授权复制到非安全区域等问题，无法有效防止特洛伊木马等攻击。MAC通过强制策略阻止了权限传递，一般认为在高安全等级要求下，MAC的安全保障强度高于DAC。灵活性不代表更强安全。第23题

以下关于网络安全应急响应流程的表述，正确的有：

①应急响应流程通常包括准备、检测、抑制、根除、恢复、跟踪总结等阶段

②在“检测”阶段，主要任务是确认安全事件的发生、类型、影响范围

③“抑制”阶段的目的是立刻将被攻击的系统关闭或断网，无论是否影响核心业务

④“根除”阶段是指彻底清除攻击者留下的后门、恶意代码，并修复导致事件的漏洞

⑤“跟踪总结”阶段应组织复盘，形成事件总结报告，并据此改进安全策略参考答案：①②④⑤解析

本题考察网络安全应急响应的标准化流程（PDCERF模型），是安全运维和应急管理的核心框架。

选项①正确。PDCERF模型将应急响应分为准备（Preparation）、检测（Detection）、抑制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪总结（Follow-up）六个阶段，已得到业界广泛认可。

选项②正确。检测阶段的首要任务是及时发现事件并通过分析确定事件性质，包括事件类型（如DDoS、勒索软件、数据泄露）、受影响资产范围、攻击来源初步判断等，为后续决策提供依据。

选项③错误。此选项是常见错误认识。抑制的核心目的是限制事件扩散，降低损失，但所采取的措施必须经过权衡。立即断网或关机是最简单的手段，但可能中断关键业务，且会导致内存证据、网络连接状态等易失证据永久丢失，不利于后续取证分析。正确的做法是优先采取对业务影响最小且能有效限制扩散的措施，如ACL隔离、关闭特定端口、封锁IP等。只有在极端失控情况下才能考虑断网关机。

选项④正确。根除阶段的目标是彻底清除威胁。不仅要删除恶意文件，还要找出并修补攻击者利用的漏洞，重置所有被攻破的账号密码，确保系统内不留任何后门和残余风险。

选项⑤正确。跟踪总结阶段至关重要，但常被忽略。通过复盘，分析事件深层原因，评估响应过程的有效性，修订应急预案，更新防御体系，是持续改进安全能力的闭环环节。第24题

根据国家保密法规，以下行为中哪些属于严重违规，可能被依法追究刑事责任？

①将涉密计算机接入互联网

②通过普通快递邮寄标有“秘密”级的文件

③在非涉密计算机上存储、处理涉密信息

④携带涉密笔记本电脑外出时，将电脑全程锁在酒店保险柜内，并设置了开机密码

⑤在私人社交软件群中转发标有“内部资料”的工作通知参考答案：①②③⑤解析

本题考察保密违规行为的定性，尤其需要区分一般违规与管理到位的行为。

选项①属于严重违规。涉密计算机绝对禁止以任何方式接入互联网，包括有线、无线、蓝牙等方式。此行为属于“将涉密信息系统接入互联网及其他公共信息网络”，后果严重的可能构成犯罪。

选项②属于严重违规。涉密载体的传递必须通过机要交通、机要通信或专人押运等保密渠道，禁止通过普通邮政、快递等无保密措施的渠道传递。

选项③属于严重违规。严禁在非涉密计算机及信息系统中存储、处理、传输国家秘密信息。此行为容易导致涉密信息失控。

选项④不属于违规行为，且属于较好的安全管理实践。在外出期间，笔记本电脑在不使用时锁入保险柜是推荐的物理保护措施，设置开机密码是基本的技术保护措施。携带涉密设备外出需要办理审批，但该项描述中未体现出“未审批”情节，单从描述的行为来看是合规的。

选项⑤属于违规行为，但“内部资料”不一定属于国家秘密。若该内部资料被确定为国家秘密，则此行为属于泄密；若为一般工作秘密，虽受其他纪律约束，但一般不直接依据《保守国家秘密法》追究刑事责任。不过，题干中“可能被依法追究刑事责任”采用的是广义表述，在考试中，通过互联网传输工作秘密信息同样是高风险违规行为。综合考虑，选为违规行为更为妥当。第25题

关于网络安全态势感知系统，以下说法正确的有：

①态势感知系统仅能够收集日志，不具备主动预警能力

②态势感知系统的目标是在海量安全数据基础上，实现安全事件的可视化、可度量、可预警、可响应

③态势感知系统通常需要汇聚网络流量、主机日志、安全设备告警等多源数据

④态势感知系统可以完全替代防火墙、IDS等传统安全设备

⑤利用大数据分析和人工智能技术对安全事件进行关联分析，是态势感知系统的关键技术之一参考答案：②③⑤解析

本题考察态势感知系统的能力定位，需准确区分其与传统安全设备的关系。

选项①错误。态势感知系统的重要能力就是基于关联分析和威胁情报，实现对未知威胁的主动发现和早期预警，而非被动收集日志。

选项②正确。态势感知的核心就是“看见”全局态势，通过对整体安全状态的实时可视化，使安全团队能够理解正在发生的事情，度量风险，及时预警，并辅助决策响应。

选项③正确。多源异构数据的汇聚是态势感知的数据基础。只有融合了网络侧流量、主机侧日志、应用层日志以及防火墙、IDS、WAF等各类安全设备的告警日志，才能形成全局视角，消除单点设备的信息孤岛。

选项④错误。态势感知系统是“大脑”和“指挥中心”，防火墙、IDS是“四肢”和“传感器”。前者为后者提供协同联动的分析决策能力，但不能替代后者执行具体的访问控制和检测功能。两者是协同关系，非替代关系。

选项⑤正确。面对海量安全数据，传统规则匹配方式力不从心。利用大数据平台进行数据治理，利用机器学习模型进行异常行为发现、关联规则挖掘和攻击链还原，是态势感知系统的核心技术支撑。第26题

下列哪些技术或机制能够有效增强Web应用的安全性，防范常见Web攻击？

①对用户的所有输入进行严格的过滤和输出转义

②使用参数化查询或预编译语句防止SQL注入

③在HTTP响应头中设置HttpOnly属性标记Cookie，防止客户端脚本访问

④仅在前端使用JavaScript进行输入合法性校验

⑤实施内容安全策略（CSP），限制网页可以加载和执行的资源来源参考答案：①②③⑤解析

本题考察Web应用纵深防御技术体系。

选项①正确。输入过滤和输出转义是防范跨站脚本（XSS）、SQL注入等注入类攻击的基本防线。输入时按白名单过滤，输出时根据上下文（HTML、JavaScript、CSS等）进行编码转义。

选项②正确。SQL注入的本质是将数据与指令混合。参数化查询（预编译）将SQL语句结构与参数值分离，确保用户输入只被当作数据，不会改变语句逻辑，是防范SQL注入最根本、最有效的手段。

选项③正确。将Cookie标记为HttpOnly后，浏览器禁止JavaScript等客户端脚本读取该Cookie，这可以有效防范XSS攻击者窃取用户会话Cookie，实现会话劫持。

选项④错误。前端校验仅用于提升用户体验，安全防御绝不能依赖前端校验。攻击者可以直接构造HTTP请求绕过浏览器，因此所有安全校验必须在服务器端再次进行确认。

选项⑤正确。内容安全策略（CSP）通过HTTP响应头告知浏览器允许加载哪些来源的资源（脚本、样式、图片等），并限制内联脚本的执行。这是防范XSS和数据注入攻击的有效纵深防御机制。第27题

在军工企业供应链安全管理中，对信息系统供应商的服务人员进行现场运维操作时，必须遵守的安全管控措施包括：

①服务人员可以不受限制地访问与运维任务相关的任何信息系统

②签署保密承诺书，明确其安全责任和义务

③由单位内部专人全程陪同和监督

④所有操作必须通过堡垒机进行，实现操作审计和权限控制

⑤服务人员可自行携带笔记本电脑接入内部网络进行调试参考答案：②③④解析

本题考察第三方人员管理这一高风险场景的管控要求，属于军工企业安全运维实战题。

选项①错误。必须遵循最小权限原则和按需授权原则，服务人员只能访问其执行特定任务所必需的最少系统资源，禁止越权访问。

选项②正确。所有外部人员进场前必须签署保密承诺书，明确告知其法律义务和违规后果，这是法律和管理层面的基本动作。

选项③正确。全程陪同和监督是防止外部人员违规操作或恶意行为的核心人防手段，不得让其单独操作。

选项④正确。堡垒机（操作审计系统）是技术防线的核心。所有运维操作应通过堡垒机进行单点登录、权限控制和全程录像记录，确保所有操作可追溯、可审计。

选项⑤错误。严禁外部人员未经授权的设备接入内部网络，这是防止病毒传入和数据外传的基本要求。必须使用经过安全检查的单位专用设备，或在严格隔离的调试区使用其自带设备。第28题

关于密码学中的哈希函数（HashFunction），以下描述正确的有：

①哈希函数可以将任意长度的输入映射为固定长度的输出

②哈希函数具有单向性，即从哈希值逆向推导出原始输入在计算上是不可行的

③哈希函数必须保证任意两个不同的输入产生不同的输出

④常用的哈希算法包括MD5、SHA-1和SHA-256，其中MD5和SHA-1已被证明存在碰撞攻击

⑤哈希函数可以用于数字签名、消息完整性校验和存储口令参考答案：①②④⑤解析

本题考察哈希函数的核心特性与应用。

选项①正确。这是哈希函数的基本定义。不论输入数据多大，输出哈希值的长度是固定的（如SHA-256输出256位）。

选项②正确。单向性或抗原像攻击性是安全哈希函数的基本要求之一。

选项③错误。根据鸽巢原理，将无限映射到有限必然存在碰撞。哈希函数的安全要求是“抗碰撞性”，即在计算上无法有效找到两个不同的输入产生相同的哈希值，而不是保证绝对不产生。本题混淆了“碰撞存在”与“碰撞不可行”。此外，MD5和SHA-1的碰撞实例已被公开找到，故已不再安全。

选项④正确。MD5和SHA-1已被密码学界宣布破解，我国密码管理局也已明令淘汰。SHA-256目前仍被认为是安全的。在实际应用中应使用SHA-256或SM3等国密算法。

选项⑤正确。三个应用场景均正确：数字签名通常先对原文哈希再加密；消息完整性校验通过比对发送前后的哈希值实现；存储口令时为了安全通常存储口令的哈希值和盐值，而非明文。第29题

某涉密会议召开期间，以下哪些做法符合保密管理规定？

①进入会场前，所有人员将手机存入会场外的手机屏蔽柜

②使用无线麦克风和蓝牙音箱增强会议扩音效果

③会场内禁止参会人员携带智能手表、智能手环等智能穿戴设备

④对会场周边进行电磁信号监测，防范无线窃听

⑤会议文件在会上统一发放，会后由会务组统一回收、清点、登记，并统一销毁参考答案：①③④⑤解析

本题考察涉密会议现场保密管理的典型做法。

选项①正确。手机属于带有拾音、摄像、定位和无线传输功能的设备，必须禁止带入涉密会议场所，存入屏蔽柜或放置在会场外是标准做法。

选项②错误。无线麦克风和蓝牙音箱通过无线电波传输信号，极易被截获。涉密会议应使用有线扩音设备。

选项③正确。智能手表、智能手环同样具备录音、通信和数据传输能力，属于须管控的电子设备。

选项④正确。在涉密会议召开期间进行环境电磁频谱监测，是发现可疑信号、防范无线窃听的技术对抗措施，属于较高规格会议的常见安保动作。

选项⑤正确。涉密会议文件的管理必须形成闭环。会上发放，会后立即清退，由会务组逐一核对份数和页码后密封，交由保密部门送指定销毁机构，不得留存个人手中，也不得作为一般会议资料随意丢弃。第30题

为满足等保2.0标准中关于“可信验证”的要求，信息系统可采取的技术措施有：

①基于可信根对系统引导程序、操作系统内核、应用程序等进行可信度量和验证

②当检测到系统或程序的完整性被破坏时，系统可进行报警或阻断操作

③采用数字证书对代码进行数字签名，运行时验证签名有效性

④可信验证只需在系统启动时进行一次，运行时无需持续度量

⑤可基于可信计算模块构建信任链，实现从系统启动到应用运行的全链条可信参考答案：①②③⑤解析

本题考察等保2.0中可信计算相关要求，是近年新增和强化的安全理念。

选项①正确。等保2.0将可信验证纳入基本要求。其核心思想是构建从可信根（通常为硬件可信计算模块TCM/TPCM）开始的信任链，一级度量一级，实现对BIOS、OSLoader、内核、应用程序的完整性和预期行为验证。

选项②正确。度量的目的是响应。当发现关键文件或内存代码段被篡改，完整性校验失败时，系统应采取预设的响应措施，包括报警或阻断启动/运行。

选项③正确。数字签名是进行静态可信度量的常见手段，系统或应用软件发布时附带数字签名，安装或加载时由系统依据信任证书链验证签名。

选项④错误。动态可信度量是重要的发展方向。等保2.0强调不仅是启动时的静态度量，也包括运行时的动态行为度量。只进行一次度量无法发现运行中注入的恶意代码等动态攻击。

选项⑤正确。这正是可信计算的核心思想：建立一条从信任根到应用层的完整信任链，确保整个计算环境可控。三、判断题（共10题，每题1分。判断正误，正确的在括号内填“√”，错误的填“×”。）第31题

《中华人民共和国网络安全法》于2017年6月1日起正式施行，是我国网络安全领域的基础性法律。（）参考答案：√解析

本题考察《网络安全法》的生效时间和法律地位。2016年11月7日第十二届全国人大常委会第二十四次会议通过，2017年6月1日起施行。它是我国第一部全面规范网络空间安全管理的基础性法律，在网络安全法律体系中处于核心地位。时间和定性均正确。第32题

入侵防御系统（IPS）通常以串行方式部署在网络路径中，能够实时阻断检测到的攻击流量。（）参考答案：√解析

本题考察IPS与IDS的部署方式区别。IDS通常为旁路部署，重在检测报警。IPS以串行方式（in-line）部署于网络路径中，所有流量必须经过IPS处理。当IPS检测到恶意流量时，可以直接丢弃数据包、阻断会话，实现实时主动防御。这是IPS区别于IDS的核心特征。题干描述正确。第33题

在涉密信息系统中，为了方便管理员进行远程维护，可以临时开启远程桌面服务，维护结束后立即关闭即可。（）参考答案：×解析

本题考察涉密信息系统安全管理中的绝对禁止事项。涉密信息系统严禁开启任何远程访问服务。临时开启造成的安全隐患（如开启期间被非授权接入、开启后忘记关闭、配置残留等）不被“立即关闭”所消解。远程维护必须在现场进行，或通过专用的涉密运维通道且经过严格审批。该操作违反保密基本要求。第34题

RBAC（基于角色的访问控制）模型的核心思想是将权限授予用户，而不是授予角色。（）参考答案：×解析

本题考察RBAC模型的基本逻辑。RBAC的核心思想是在用户和权限之间引入“角色”作为中间层。管理时先将权限分配给角色，再将用户指派给一个或多个角色。用户通过所拥有的角色来获得相应的权限集合。题干将顺序说反，正确逻辑是“将权限授予角色，再将角色授予用户”。第35题

公钥加密（非对称加密）中，加密和解密使用相同的密钥。（）参考答案：×解析

本题考察对称与非对称加密的根本区别。非对称加密的核心理念就是密钥成对出现，一个公钥，一个私钥，数学上相关但不能互相推导。加密时使用一个密钥，解密时必须使用配对的另一个密钥。加密和解密使用相同密钥的是对称加密算法，如AES、DES。第36题

根据国家有关标准，网络安全等级保护的对象包括网络基础设施、信息系统、大数据、云计算平台、物联网、工业控制系统等。（）参考答案：√解析

本题考察等保2.0保护对象的范围扩展。与等保1.0主要关注信息系统不同，等保2.0将保护对象扩展为“网络安全等级保护对象”，明确将基础信息网络、云计算平台/系统、大数据平台/应用、物联网、工业控制系统等纳入了等级保护的范围，实现了全覆盖。第37题

收到一封带有附件的可疑电子邮件，只要不点击附件中的可执行文件，打开Word或PDF文档查看是不会造成任何安全威胁的。（）参考答案：×解析

本题考察社会工程学攻击中利用文档漏洞进行攻击的意识。Word和PDF文档本身可以嵌入宏病毒、利用解析器缓冲区溢出漏洞或嵌入恶意脚本。攻击者常诱骗用户“启用内容”以执行恶意宏，或者利用未修复的阅读器漏洞实现代码执行。因此，不运行exe不代表绝对安全。正确的做法是不打开任何来源可疑的附件。第38题

所有网络安全事件无论大小，一旦发现都必须立即向公安机关报案。（）参考答案：×解析

本题考察《网络安全法》关于安全事件报告的规定。根据该法，网络运营者在发生危害网络安全的事件时，应当立即启动应急预案，采取补救措施，并“按照规定向有关主管部门报告”。这里的主管部门是网信部门和行业主管监管部门，而非常规性的“一律向公安机关报案”。只有当事件涉嫌犯罪时，才向公安机关报案。题干存在两个错误：一是“所有”事件程序不必一样；二是报告对象不准确。第39题

定期对数据进行备份是防范数据丢失的有效措施，可以完全替代其他安全防护手段。（）参考答案：×解析

本题考察纵深防御理念和安全措施互补性。备份解决的是数据在丢失、损毁或被加密（如勒索软件）后的恢复问题，是可用性的最后一道防线，但备份不能阻止入侵、不能防止数据被窃取（即不能保护保密性）、不能替代实时访问控制。安全防护是多层次、多维度的，任何一种单一技术都不能完全替代其他技术。第40题

在制定信息安全策略时，应当遵循“技术优先于管理”的原则，因为技术手段更加客观可靠。（）参考答案：×解析

本题考察信息安全治理的核心哲学。信息安全领域普遍认同“三分技术，七分管理”的原则。再先进的安全技术，如果缺乏配套的管理制度、人员培训、审计监督和持续改进，都将形成同虚设。安全策略是管理的纲领性文件，技术是落实管理要求的手段。因此，管理是基础，是前提，不是技术优先。四、案例分析题（共1题，20分）案例材料

某军工集团下属研究所承担着一项涉密科研项目。为方便项目组成员在不同办公地点随时调阅技术文件，项目组长李某在未向单位保密办报批的情况下，将一批项目相关文档（经鉴定，其中部分属于“机密”级国家秘密）上传至某商业网盘，并将分享链接和密码通过微信群发送给项目组全体6名成员，提醒大家“勿外传”。后该网盘平台遭遇撞库攻击，李某的账号被攻破，这批文档被攻击者下载，并在境外暗网论坛被公开售卖，造成严重泄密。请你根据《中华人民共和国保守国家秘密法》《中华人民共和国网络安全法》及相关保密管理规定，分析该事件中存在的违规行为、泄密原因，并提出一份包含具体整改措施的方案。参考答案与评分标准（一）违规行为定性（8分）核心违规行为：违规将涉密信息上传至互联网商业平台。（4分）

根据《保守国家秘密法》第二十六条，禁止在互联网及其他公共信息网络或者未采取保密措施的有线和无线通信中传递国家秘密。李某将“机密”级国家秘密文档上传至商业网盘的行为，将涉密信息完全置于非受控的网络环境中，属于严重泄密行为，直接违反了上述规定。（采分点：指出法条核心禁令，将行为定性为“将涉密信息置于非受控环境”可得全分。）违规行为二：未经审批擅自将涉密载体带出可控范围并进行二次分发。（2分）

李某未向单位保密办报批，自行决定上传并分享，属于擅自扩大国家秘密的知悉范围。单位内部的保密审批和知悉范围控制程序被完全绕过。违规行为三：使用非保密通信渠道传递涉密信息。（2分）

通过微信这一即时通讯工具传递涉密文件的链接和密码，属于在非保密通信渠道中传递涉密信息，同样违反保密规定。此外，项目组6名成员通过个人设备接收并访问，导致涉密信息在非涉密终端上落地，扩大了泄密风险面。（二）泄密原因深度分析（6分）人员保密意识淡薄是根本原因。（2分）

项目组长李某作为核心涉密人员，片面追求工作便利，严重缺乏保密法制观念和红线意识。其“勿外传”的提醒暴露出将保密等同于私人信任，混淆了个人承诺与国家法定义务的边界，未能认识到互联网环境的风险。保密管理制度执行失效是直接原因。（2分）

单位的涉密载体审批流程、保密教育培训效果、涉密人员日常行为监督等制度均在此事件中失效。如果制度被严格执行，李某没有条件绕开审批擅自完成上传操作。这反映出制度从文件柜走入工作实践存在严重断档。技术防护与监控手段缺失是重要原因。（2分）

单位可能缺乏对涉密终端外发数据的监控（如网络数据防泄漏系统DLP），未能及时阻断向商业网盘的大文件上传行为。同时，对涉密人员在外网活动的异常行为缺乏感知能力，导致泄密发生后不能第一时间发现和止损。（三）整改措施（6分）立即启动应急响应，开展危害评估与止损。（2分）

第一时间封堵李某及相关群成员的网盘账号、要求群成员删除本地文件（若已下载）；固定电子证据；会同国家安全机关、保密行政管理部门和网信部门，评估泄密范围及对国家安全和利益的损害程度；尽可能追踪暗网信息，研究阻断传播的技术方案。强化全周期保密教育，重塑人员意识。（2分）

针对本次事件召开全员保密警示教育大会，用身边真实案例讲清违规后果与法律责任。对所有涉密人员进行一次重新考核，考核不合格者暂停涉密资格。将类似泄密案例纳入常态化警示教材，突出“互联网泄密”风险的专门教育。重构技术防护体系，扎紧技防篱笆。（2分）

立即部署并优化终端数据防泄漏系统，对涉密终端向外发送包含关键词、高密级标志的文档以及向商业网盘、邮箱、即时通讯工具等大流量上传的行为进行实时监控和阻断。强制涉密人员工作区域与互联网物理隔离，严禁涉密终端以任何方式接入公共网络。加强身份认证管理，禁止涉密系统使用与外部网站相同的弱口令。评分细则说明：定性部分罪名准确即给分；原因分析要体现“人员-管理-技术”三个维度，维度齐全且分析深入可得满分；整改措施须对应原因，具有可操作性。五、论述题（共1题，20分）题目

结合《中华人民共和国网络安全法》和等保2.0核心标准，论述军工企业应如何构建“一个中心、三重防护”的网络安全综合防御体系，并重点阐述安全管理中心在其中应发挥的核心作用。参考答案与评分标准军工企业关系国家安全，其网络安全防御必须从传统被动防御向主动、动态、体系化的纵深防御演进。《网络安全法》第二十一条明确了国家实行网络安全等级保护制度，等保2.0标准则提出了“一个中心、三重防护”的总体技术设计思想，为军工企业构建防御体系提供了法律依据和技术框架。一、“三重防护”的具体构建（10分）“三重防护”指以安全计算环境、安全区域边界、安全通信网络三个维度构筑纵深防线。安全计算环境（4分）

这是防御的立足点，目标是保障信息系统中所有节点（服务器、终端、移动设备、应用系统）自身的安全。

军工企业应：

第一，对所有操作系统和数据库实施安全基线配置，关闭高危端口，遵循最小安装原则。

第二，强化身份鉴别机制，核心系统全面推行多因子认证，彻底淘汰静态口令。

第三，实施强制访问控制策略，对涉密数据按密级打标，依据安全策略规则进行细粒度权限管控。

第四，引入可信计算技术，基于硬件可信根对操作系统引导程序、内核和应用进行可信度量，构建从开机到应用运行的完整信任链，防范恶意代码篡改和未知攻击。（采分点：须明确可信验证在计算环境中的关键地位。）安全区域边界（3分）

这是防御的关口，目标是对流经边界的数据流进行精确管控。

军工企业应：

第一，部署下一代防火墙、入侵防御系统，基于应用、用户、内容进行精细化边界访问控制。

第二，强化无线边界管控，对涉密区域实施全频段无线信号屏蔽和监测，严防通过无线方式绕过边界。

第三，采用网络准入控制技术，确保只有符合安全策略的合规设备才能接入内部网络，阻断非法外联。安全通信网络（3分）

这是防御的动脉，目标是保障数据在网络中传输的机密性和完整性。

军工企业应：

第一，广域网传输链路必须采用国家密码管理局批准的密码算法进行链路加密或VPN加密。

第二，按照“业务分区、网络分级、纵深防护”的原则对网络进行横向分区和纵向分级，在分区边界设置安全控制点。

第三，对通信过程中的关键节点实施冗余备份，确保关键业务的通信高可用性。二、“一个中心”——安全管理中心的核心作用（10分）“一个中心”即安全管理中心，它并非一套单独的硬件，而是对系统管理、审计管理、安全管理和集中管控功能的统称，是三重防护的“大脑”和“指挥中枢”。（采分点：必须阐明中心的定位，不是设备堆砌。）作为集中管控的调度中心（3分）

安全管理中心应实现对全域网络设备、安全设备、服务器、终端、应用系统运行状态和告警信息的集中监测，打破安全孤岛。它必须能够基于态势感知技术，融合多源数据，实现攻击行为的关联分析和攻击链还原，从全局视角呈现安全态势，使管理员从被动处理海量日志转向主动发现和研判高级威胁。作为策略分发的策略中心（3分）

安全管理中心应成为安全策略的唯一权威下发点。所有访问控制策略、基线配置策略、恶意代码查杀策略等，均应通过管理中心统一制定并自动下发至三重防护的各个执行点上，确保策略的一致性和同步性。严禁在单个设备上手动修改策略，以防止配置漂移和留下安全短板。作为全生命周期的审计中心（2分）

安全管理中心汇聚所有节点的操作系统日志、数据库审计日志、网络设备日志、安全设备告警、用户操作审计录像，形成时间序列上不可篡改的审计大数据。通过对这些数据的深度挖掘，不仅能够满足事后调查取证的需要，更能从中发现潜在的内部违规和缓慢进行的APT攻击，实现“审计驱动”的安全管理。作为应急响应的指挥中心（2分）

一旦发生重大安全事件，安全管理中心应提供集成的应急预案流程管理平台，能够通过自动化编排与响应功能（SOAR），协调三重防护的各个组件进行联动封锁：例如在确认某终端感染勒索病毒后，自动下发策略至边界防火墙阻断其对外连接，同时调用EDR在主机侧隔离该机器，并通知管理员。这能将应急响应从人工操作提升为半自动化乃至自动化闭环处理，极大缩短响应时间。综上，军工企业以“一个中心、三重防护”为蓝图，《网络安全法》为根本遵循，方可构建起立体、纵深、智能的网络安全防御体系，切实履行“保守国家秘密、维护国家安全”的军工使命。评分标准：三重防护每点5分，共15分；安全管理中心论述5分。要点齐全、论述有深度、能结合军工特点可得高分。本章小结（第1套卷）

完成第1套卷后，请自评各题型得分率。重点回顾：第2题（定密权限）、第5题（分级保护物理安全）、第6题（TCP/UDP区别）、第11题（集成资质业务范围）、第15题（数据出境安全评估）、第20题（脱密期限）。若以上题目有误，说明法规记忆细节有待强化。论述题务必动手写出框架再比对参考答案，切忌“看过即会”。全真模拟卷（第2套）试卷结构说明：本套试卷满分100分。第一大题为单选题，共20题，每题1分；第二大题为多选题，共10题，每题2分，多选、少选、错选均不得分；第三大题为判断题，共10题，每题1分；第四大题为案例分析题，1题，共20分；第五大题为论述题，1题，共20分。一、单选题（共20题，每题1分。每题的备选项中，只有1个最符合题意。）第1题

《中华人民共和国保守国家秘密法》规定，国家秘密的保密期限，除另有规定外，绝密级不超过___年，机密级不超过___年，秘密级不超过___年。

①30年，20年，10年

②20年，10年，5年

③50年，30年，15年

④40年，20年，10年参考答案：①解析

本题考察国家秘密保密期限的法定上限，属核心数字记忆考点。

根据《保守国家秘密法》第十五条，国家秘密的保密期限，除另有规定外，绝密级不超过三十年，机密级不超过二十年，秘密级不超过十年。选项①的数值与法律原文完全一致，正确。选项②③④的数值组合均与法律规定不符。军工企业大量业务涉及机密级和秘密级国家秘密，其保密期限确定规则是岗位必备知识。第2题

在信息系统安全中，CIA三要素是指信息安全的三个基本属性。其中，确保信息不被非授权的个人、实体或进程访问或使用的特性称为：

①完整性（Integrity）

②可用性（Availability）

③保密性（Confidentiality）

④不可否认性（Non-repudiation）参考答案：③解析

本题考察CIA三要素的定义区分，是信息安全最基础的概念框架。

选项①完整性：指保护信息不被未经授权的篡改或破坏，确保信息准确和完整。

选项②可用性：指确保经过授权的用户在需要时可以及时、可靠地访问和使用信息及信息系统。

选项③保密性：即题干所述，确保信息不泄露给非授权的个人、实体或进程。与定义完全吻合。

选项④不可否认性：也称抗抵赖性，指通信双方不能否认曾发送或接收过信息。属于信息安全属性，但不属于经典CIA三要素。第3题

以下关于防火墙技术中“状态检测”（StatefulInspection）机制的描述，正确的是：

①状态检测防火墙仅检查数据包的源IP和目的IP，不关心连接状态

②状态检测防火墙通过维护一个状态连接表，跟踪每个会话的通信状态，仅允许符合已建立会话状态的流量通过

③状态检测防火墙工作在OSI模型的第三层，无法理解第四层的TCP/UDP协议

④状态检测防火墙不需要任何规则配置，可自动学习合法流量参考答案：②解析

本题考察防火墙核心技术代际的区分。

选项①错误。仅检查源和目的IP属于包过滤防火墙（第一代）的典型特征。

选项②正确。状态检测防火墙是第三代防火墙技术，它通过分析TCP三次握手、UDP的请求应答对应关系等，在内存中维护一个动态的状态连接表。当数据包到达时，不仅检查规则表，还会查询连接状态表，只有属于已建立合法连接的报文才被允许通过。这比简单包过滤更安全、更高效。

选项③错误。状态检测防火墙必须理解第四层TCP/UDP协议状态，才能判断连接属于新建、已建立还是关闭。工作层次不限于第三层。

选项④错误。状态检测防火墙依然依赖管理员配置的安全策略规则来判定初始连接请求是否合法，状态表是在规则允许的基础上动态建立的，不能完全脱离规则自动学习。第4题

以下算法中，属于我国国家密码管理局发布的商用密码算法中的非对称加密算法是：

①SM1

②SM2

③SM3

④SM4参考答案：②解析

本题考察国密算法体系中各算法类型的准确对应，属必考前沿技术点。

选项①SM1：对称加密算法，算法不公开，通常以硬件芯片形式提供。

选项②SM2：椭圆曲线公钥密码算法（非对称），基于椭圆曲线离散对数问题，用于数字签名和密钥交换。正确。

选项③SM3：密码杂凑算法（哈希），输出256比特摘要，用于完整性校验和数字签名预处理。

选项④SM4：对称加密算法，分组长度128比特，密钥长度128比特，用于数据加密保护。第5题

某军工企业需要将一份“机密”级的纸质文件传递给另一城市的协作单位。正确的传递方式是：

①通过邮政特快专递（EMS）寄送

②由机要交通或机要通信部门传递，或指派专人专车押运

③将文件扫描后加密压缩，通过互联网邮箱发送

④委托出差同事顺路携带参考答案：②解析

本题考察涉密载体传递的合规渠道，属于反复出现的高频考点。

选项①错误。EMS属于普通邮政渠道，不具备传递国家秘密的安全保障条件，严禁使用。

选项②正确。根据保密法及其实施条例，传递国家秘密载体应当通过机要交通、机要通信或者指派专人负责传递，严禁通过普通邮政或快递传递。专人专车押运时须二人以上同行。

选项③错误。将涉密文件扫描后通过互联网传递，等同于将涉密信息接入互联网，属于严重的违规泄密行为。加密压缩不能替代物理隔离和保密信道。

选项④错误。委托同事顺路携带属于随意扩大知悉和接触范围，且无法保证传递过程中的安全管控。第6题

在信息安全风险评估中，关于“威胁”和“脆弱性”关系的准确描述是：

①威胁是因，脆弱性是果

②威胁是利用脆弱性导致安全事件的潜在可能性，两者结合才构成风险

③有脆弱性就一定有威胁，有威胁就一定会导致安全事故

④消除所有脆弱性即可完全规避风险，无需关注威胁变化参考答案：②解析

本题考察风险三要素之间的哲学关系。

选项①错误。威胁和脆弱性是风险的两种独立但关联的要素，不存在简单的因果关系。

选项②正确。威胁是可能对资产造成损害的潜在因素（如黑客、地震）；脆弱性是资产自身能被威胁利用的弱点（如系统漏洞）。只有当威胁利用了相应的脆弱性时，才会导致安全事件，形成实际风险。单独存在威胁或脆弱性，不必然形成损失。

选项③错误。有脆弱性不代表一定有相应威胁（如一个孤立系统存在漏洞，但没有攻击者能接入）；有威胁也不一定导致事件（若系统没有可被利用的脆弱性）。

选项④错误。威胁是动态变化的，新的攻击手段不断涌现。即使理论上消除了所有已知脆弱性，零日漏洞（未知脆弱性）仍然可能被威胁利用。所以风险无法绝对消除，只能管理在可接受水平。第7题

以下哪种技术可以有效防范局域网内的ARP欺骗攻击？

①部署防火墙

②在交换机上进行IP与MAC地址静态绑定

③安装杀毒软件

④开启操作系统的自动更新功能参考答案：②解析

本题考察ARP欺骗攻击的针对性防范措施。

ARP欺骗的原理是攻击者伪造ARP响应报文，将自己的MAC地址与网关IP或其他主机IP绑定，诱骗受害者将数据包发送至攻击者机器上。

选项①错误。防火墙主要工作在第三层及以上，处理的是IP地址和端口。ARP是链路层协议，在局域网内部直接通信，数据包通常不经过默认网关，因此无法通过防火墙检测和阻断ARP欺骗。

选项②正确。在交换机上配置静态ARP绑定，将正确的IP地址和MAC地址的对应关系固定下来，服务器或主机不再响应和接受其他动态ARP响应报文。这是从根源上杜绝ARP欺骗最有效的手段。同时配合DAI（动态ARP检测）等技术效果更佳。

选项③错误。杀毒软件主要防御病毒、木马等恶意代码，不涉及链路层协议攻击的防御。

选项④错误。操作系统补丁可以修复操作系统层面的漏洞，ARP欺骗利用的是TCP/IP协议族的固有设计缺陷，与系统补丁无关。第8题

根据《网络安全法》，网络运营者收集、使用个人信息，应当遵循的原则中，下列表述不正确的是：

①合法、正当、必要的原则

②公开收集、使用规则，明示收集、使用信息的目的、方式和范围

③