2026年计算机网络工程师职业资格《网络安全技术》备考题库及答案

2026年计算机网络工程师职业资格《网络安全技术》备考题库及答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。）1.在ISO/OSI安全体系结构中，专门用于防止网络流量被分析的安全服务是（）。A.认证服务B.访问控制服务C.数据保密性服务D.数据完整性服务2.对称加密算法中，目前应用广泛且安全性较高的算法标准是（）。A.DESB.RSAC.AESD.MD53.在非对称加密体制中，用于解密私有数据的密钥是（）。A.公钥B.私钥C.会话密钥D.主密钥4.防火墙按照实现技术分类，不包括（）。A.包过滤防火墙B.应用层代理防火墙C.状态检测防火墙D.病毒查杀防火墙5.关于数字签名的描述，错误的是（）。A.数字签名可以解决信息的否认问题B.数字签名可以保证信息的完整性C.数字签名使用发送方的公钥进行验证D.数字签名使用接收方的私钥进行生成6.在PKI（公钥基础设施）体系中，核心组成部分是（）。A.CA（证书颁发机构）B.RA（注册机构）C.证书库D.密钥备份与恢复系统7.IPSec协议中，负责提供加密和认证功能的协议是（）。A.AHB.ESPC.IKED.ISAKMP8.入侵检测系统（IDS）中，基于行为的检测技术也被称为（）。A.误用检测B.特征检测C.异常检测D.模式匹配9.下列关于SSL/TLS协议的描述中，正确的是（）。A.SSL运行在网络层B.TLS握手过程不涉及身份认证C.HTTPS协议使用SSL/TLS来加密HTTP通信D.SSL只能用于Web浏览器10.常见的网络钓鱼攻击中，攻击者主要利用了（）。A.系统漏洞B.社会工程学C.暴力破解D.拒绝服务11.在VPN技术中，L2TP协议结合了（）协议来实现数据的加密。A.IPSecB.SSLC.PPTPD.SSH12.为了防止IP地址欺骗攻击，路由器通常采用的防御措施是（）。A.关闭ICMP回应B.启用URPF（UnicastReversePathForwarding）C.配置NATD.增加ACL规则13.计算机病毒的特征不包括（）。A.传染性B.潜伏性C.破坏性D.公开性14.在网络安全审计中，日志审计的主要作用不包括（）。A.追踪溯源B.取证C.性能优化D.入侵检测15.下列端口号中，默认用于HTTPS服务的是（）。A.80B.21C.443D.2216.在访问控制模型中，基于“标签”来控制信息流动的模型是（）。A.DACB.MACC.RBACD.ABAC17.ARP欺骗攻击的主要危害是（）。A.窃听网络数据B.耗尽服务器资源C.破坏数据库文件D.物理损坏网卡18.SSH协议主要用于替代（）服务。A.Telnet和FTPB.HTTP和SMTPC.DNS和DHCPD.POP3和IMAP19.在无线网络安全中，WPA2使用的加密协议是（）。A.WEPB.TKIPC.CCMP/AESD.RC420.漏洞扫描系统与入侵检测系统的区别在于（）。A.漏洞扫描是主动的，IDS是被动的B.漏洞扫描是被动的，IDS是主动的C.漏洞扫描用于实时阻断，IDS用于发现弱点D.两者功能完全相同二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。）21.网络安全的基本属性（CIA三元组）包括（）。A.机密性B.完整性C.可用性D.可控性E.可审查性22.常见的拒绝服务攻击类型包括（）。A.SYNFloodB.UDPFloodC.ICMPFloodD.SQL注入E.XSS攻击23.防火墙的常见体系结构包括（）。A.双重宿主主机体系结构B.屏蔽主机体系结构C.屏蔽子网体系结构D.分布式体系结构E.网状体系结构24.操作系统的安全机制主要包括（）。A.身份认证B.访问控制C.审计日志D.最小特权原则E.加密文件系统25.下列属于公钥加密算法的有（）。A.RSAB.ECCC.ElGamalD.AESE.3DES26.Web应用安全中，常见的攻击手段有（）。A.跨站脚本攻击（XSS）B.跨站请求伪造（CSRF）C.服务器端请求伪造（SSRF）D.文件包含漏洞E.缓冲区溢出27.关于特洛伊木马，下列说法正确的有（）。A.木马通常包含在合法程序中B.木马具有自我复制能力C.木马主要用于远程控制D.木马可以通过邮件附件传播E.杀毒软件无法检测木马28.数据备份策略中，常见的备份类型包括（）。A.完全备份B.增量备份C.差异备份D.镜像备份E.快照备份29.在网络安全风险评估中，风险值的计算要素通常包括（）。A.资产价值B.威胁严重程度C.漏洞利用难度D.安全防护成本E.管理人员数量30.HTTPS协议建立连接的过程中，涉及的安全步骤包括（）。A.TCP三次握手B.协商加密算法C.交换密钥D.验证服务器证书E.传输加密数据三、填空题（本大题共10小题，每小题1分，共10分。请将答案填写在题中的横线上。）31.在网络安全的五个层次中，物理层安全主要保障环境的________、电磁兼容性和设备安全。32.按照RSA算法，若公钥是，则私钥d满足ed≡1modφ(n)，其中φ(n)是________。32.按照RSA算法，若公钥是，则私钥d满足ed≡1modφ(n)，其中φ(n)是________。33.在OSI参考模型中，传输层的安全协议主要包括TLS和________。34.防火墙通过维护一个________表来跟踪连接状态，从而实现动态包过滤。35.ICMP协议的Type字段值为8时，表示________报文。36.Sniffer是一种网络________工具，可以捕获并分析网络数据包。37.在Linux系统中，用于设置文件权限的命令是________。38.Kerberos认证协议基于________，依赖于可信的第三方密钥分发中心。39.在Web安全中，为了防止XSS攻击，应对用户输入进行________。40.我国《网络安全法》正式施行的时间是________年6月1日。四、简答题（本大题共4小题，每小题5分，共20分。）41.简述对称加密算法与非对称加密算法的主要区别及各自优缺点。42.请解释什么是“中间人攻击”（MITM），并列举两种常见的防御手段。43.简述访问控制列表（ACL）的基本工作原理及其在路由器上的两种匹配规则（顺序匹配与隐式拒绝）。44.什么是虚拟专用网（VPN）？请列举VPN的三个主要应用场景。五、综合应用题（本大题共3小题，每小题30分，共90分。）45.阅读以下防火墙配置片段（基于CiscoACL语法），回答问题。```access-list100permittcp55anyeq80access-list100permittcp55anyeq443access-list100denytcpanyanyeq23access-list100denytcpanyanyeq21access-list100permitipanyanyinterfaceGigabitEthernet0/1ipaccess-group100in```(1)该ACL应用在哪个接口的哪个方向？（5分）(2)请详细解释前两条规则的作用。（10分）(3)来自外部网络（IP地址为）试图建立Telnet连接到内部主机0，数据包进入接口GigabitEthernet0/1时，会被允许通过吗？为什么？（10分）(4)如果要允许内部主机访问外部DNS服务（TCP/UDP53端口），应在ACL的什么位置添加什么规则？（5分）46.某企业计划构建Site-to-SiteIPSecVPN以连接总部和分公司的内部网络。总部网络为/16，分公司网络为/16。请结合IPSec协议栈原理，回答以下问题。(1)IPSec协议主要包含哪两个安全协议？它们各自提供什么安全服务？（10分）(2)简述IKE（InternetKeyExchange）协议在IPSecVPN建立过程中的作用，特别是IKESA（Phase1）和IPSecSA（Phase2）协商的主要区别。（10分）(3)在配置IPSec时，需要定义感兴趣流量（ACL）。请写出该场景下总部路由器上定义感兴趣流量的ACL配置思路（通用语法或伪代码即可）。（5分）(4)如果网络中存在NAT设备（如总部出口路由器做NAT），可能会影响IPSecVPN的建立。请说明原因及通常的解决方案。（5分）47.某Web服务器日志显示，攻击者试图通过输入框输入`'OR'1'='1`的字符串。(1)请判断攻击者正在实施哪种类型的Web攻击？并简述其攻击原理。（10分）(2)这种攻击成功的根本原因是什么？（5分）(3)作为网络安全工程师，请从代码开发和数据库配置两个层面，分别给出至少两种有效的防御措施。（10分）(4)除了上述攻击外，Web应用还常面临CSRF攻击。请简要解释CSRF攻击的原理，并给出一种常用的防御方案。（5分）【参考答案及解析】一、单项选择题1.C【解析】数据保密性服务旨在防止信息泄露给未授权的实体，包括防止流量分析（通过填充流量掩盖通信模式）。2.C【解析】DES已被破解，RSA是非对称加密，MD5是哈希函数。AES是目前最标准的对称加密算法。3.B【解析】在非对称加密中，私钥由持有者自己保管，用于解密或签名；公钥公开，用于加密或验签。4.D【解析】病毒查杀是杀毒软件的功能，不是防火墙的实现技术分类。5.D【解析】数字签名使用发送方的私钥生成，使用发送方的公钥验证。6.A【解析】CA（证书颁发机构）是PKI的核心，负责签发和管理证书。7.B【解析】ESP（封装安全载荷）提供加密、数据源认证和完整性服务；AH只提供认证和完整性，不加密。8.C【解析】基于行为的检测通过分析系统/网络行为是否偏离正常基线来发现入侵，称为异常检测。9.C【解析】SSL/TLS是传输层安全协议，HTTPS是HTTPoverSSL/TLS。10.B【解析】网络钓鱼通常通过伪造可信网站诱导用户输入信息，利用的是人的心理弱点，即社会工程学。11.A【解析】L2TP本身不加密，常与IPSec结合使用（L2TPoverIPSec）来提供机密性。12.B【解析】URPF（单播反向路径转发）通过检查数据包源地址是否可达来防止IP欺骗。13.D【解析】病毒具有传染性、潜伏性、破坏性、隐蔽性等，但不具备公开性（公开性指公开代码或存在）。14.C【解析】日志审计主要用于安全事件追踪、取证和违规检测，性能优化主要靠性能监控工具。15.C【解析】HTTPS默认端口为443，HTTP为80。16.B【解析】MAC（强制访问控制）基于安全标签；DAC（自主访问控制）基于用户身份；RBAC（基于角色）。17.A【解析】ARP欺骗将网关MAC映射为攻击者MAC，导致流量经过攻击者，从而实现窃听（中间人攻击）。18.A【解析】SSH是加密的远程登录协议，用于替代明文传输的Telnet和FTP。19.C【解析】WPA2使用CCMP（基于AES）进行加密；WEP和TKIP安全性较差。20.A【解析】漏洞扫描是主动探测系统弱点；IDS是被动监听网络流量。二、多项选择题21.ABC【解析】CIA是机密性、完整性、可用性；可控性和可审查性是扩展属性。22.ABC【解析】SQL注入和XSS属于应用层攻击，不属于典型的拒绝服务攻击类型。23.ABC【解析】防火墙经典体系结构包括双重宿主主机、屏蔽主机、屏蔽子网。24.ABCDE【解析】身份认证、访问控制、审计、最小特权、加密文件系统均为OS安全机制。25.ABC【解析】RSA、ECC、ElGamal是非对称（公钥）算法；AES、3DES是对称算法。26.ABCD【解析】缓冲区溢出虽然可用于Web攻击，但更多是通用软件漏洞；前四项是典型的Web攻击。27.ACD【解析】木马通常不具备自我复制能力（那是蠕虫/病毒的特征），但可以伪装、控制和传播。28.ABC【解析】备份策略主要分为完全备份、增量备份、差异备份。29.ABC【解析】风险=资产×威胁×脆弱性。30.ABCDE【解析】HTTPS建立连接包含TCP握手、SSL握手（协商算法、交换密钥、验证证书）及加密传输。三、填空题31.物理防护32.欧拉函数33.SSL34.连接状态35.请求回显（或Ping请求）36.监听37.chmod38.对称加密39.过滤或转义40.2017四、简答题41.【答案】区别：(1)密钥数量：对称加密使用同一密钥（或易推导的一对密钥）进行加密和解密；非对称加密使用公钥和私钥对，公钥加密私钥解密，或私钥签名公钥验签。(2)速度：对称加密速度快，适合大量数据；非对称加密计算复杂，速度慢。(3)用途：对称加密用于数据传输加密；非对称加密用于密钥交换和数字签名。优缺点：对称加密优点是效率高，缺点是密钥分发困难。非对称加密优点是解决了密钥分发问题，缺点是速度慢。42.【答案】定义：中间人攻击是指攻击者秘密拦截并可能篡改两个合法通信方之间消息的攻击方式。攻击者使双方确信他们在直接与对方通信，实际上所有消息都经过攻击者。防御手段：(1)使用强加密协议（如TLS/SSL）并验证服务器证书，防止被伪造服务器欺骗。(2)使用公钥基础设施（PKI）进行身份认证，确保通信方身份真实。(3)在通信通道中加入延迟检测或密钥确认机制。43.【答案】原理：ACL由一系列permit或deny语句组成，路由器根据数据包的源地址、目的地址、端口号等属性与ACL规则进行比对，决定数据包的转发或丢弃。匹配规则：(1)顺序匹配：路由器自上而下匹配ACL规则，一旦匹配成功（无论permit还是deny），立即停止后续匹配并执行相应动作。(2)隐式拒绝：如果ACL被创建，但在所有显式规则后都没有匹配项，路由器默认在最后有一条“拒绝所有”的隐含规则。44.【答案】定义：VPN（虚拟专用网）利用公网基础设施（如Internet）建立专用的逻辑网络，通过加密隧道技术保证数据在公网传输时的机密性和安全性。应用场景：(1)远程接入：员工出差或在家通过互联网安全访问公司内部资源。(2)Site-to-Site互联：连接不同地理位置的公司分支机构网络。(3)企业合作伙伴互联：安全地与供应商、客户网络进行数据交换。五、综合应用题45.【答案】(1)该ACL应用在GigabitEthernet0/1接口的入方向。(2)前两条规则允许源地址为/24网段的主机访问任意IP地址的TCP80端口（HTTP）和TCP443端口（HTTPS）。即允许内网用户访问Web服务。(3)不会被允许通过。分析：数据包方向是In（进入路由器接口），源IP是外部，目的端口是23（Telnet）。ACL匹配过程：规则1、2检查源IP是否为/24，不匹配。规则3是`denytcpanyanyeq23`，匹配任意源到任意目的的Telnet流量。因此，数据包在此被拒绝。(4)应在规则1之前添加（或者根据具体需求，通常允许类规则在前，建议在`deny`规则之前）。规则示例：`access-list100permitudp55anyeq53`和`access-list100permittcp55anyeq53`。46.【答案】(1)两个安全协议：AH（AuthenticationHeader）和ESP（EncapsulatingSecurityPayload）。AH：提供数据源认证、数据完整性和反重放保护，不加密数据。ESP：提供数据加密（机密性）、数据源认证、数据完整性和反重放保护。(2)IKE作用：自动协商并动态生成IPSec所需的加密密钥和参数。IKESA(Phase1)：建立一个安全通道，用于保护后续的IKE协商。主要认证对等体身份，协商加密算法，生成密钥材料。IPSecSA(Phase2)：在IKESA的保护下，协商具体的IPSec安全参数（如使用ESP还是AH、具体的加密算法、密钥、生存期等），用于保护实际的用户数据流。(3)ACL配置思路：定义源地址为总部网络55，目的地址为分公司网络55。伪代码：`permitip5555`(4)原因：IPSecESP协议