2026年陕西省公安机关人民警察公务员考试（网络安全管理职位专业科目）考前模拟试题及答案

2026年陕西省公安机关人民警察公务员考试（网络安全管理职位专业科目）考前模拟试题及答案一、单项选择题（共30题，每题1.5分，共45分）1.在OSI七层模型中，负责为网络层提供可靠数据传输服务，确保数据无差错、不丢失、不重复且按序到达的层是（）。A.物理层B.数据链路层C.网络层D.传输层2.某公安机关在侦查一起网络赌博案件时，需要对涉案服务器进行电子数据取证。为了确保电子数据的完整性和不可抵赖性，取证人员首先应当对原始介质进行（）。A.格式化处理B.病毒查杀C.哈希值计算并记录D.数据压缩3.根据《中华人民共和国网络安全法》的规定，网络运营者应当制定网络安全事件应急预案。在发生网络安全事件时，应立即启动应急预案，采取相应的补救措施，并按照规定向（）报告。A.上级主管部门B.公安机关C.有关主管部门D.网信部门4.在TCP/IP协议栈中，用于将主机名解析为IP地址的协议是（）。A.ARPB.RARPC.DNSD.ICMP5.某恶意代码通过修改系统引导扇区，从而在系统启动前获得控制权。这种恶意代码属于（）。A.蠕虫B.特洛伊木马C.引导区病毒D.宏病毒6.在密码学中，发送方用自己的私钥对数据进行签名，接收方用发送方的公钥进行验证。这主要提供了信息安全的（）服务。A.机密性B.完整性C.不可否认性D.可用性7.防火墙是网络安全的重要防护设备。下列关于防火墙工作原理的描述中，错误的是（）。A.包过滤防火墙主要根据包头信息进行过滤B.应用层代理防火墙可以检查应用层协议数据C.状态检测防火墙可以跟踪连接状态D.防火墙可以完全防止内部网络用户的攻击行为8.在Windows操作系统中，用于查看当前网络连接状态（包括本地地址、外部地址、PID等）的命令行工具是（）。A.ipconfigB.pingC.netstatD.tracert9.SQL注入攻击是Web应用中最常见的安全漏洞之一。其主要原因是应用程序没有对用户输入进行严格的过滤，直接将其拼接到（）中执行。A.HTML标签B.JavaScript代码C.SQL查询语句D.CSS样式表10.公安机关在办理案件时，发现某关键电子证据被嫌疑人删除。为了恢复被删除的数据，技术人员不应采取的操作是（）。A.立即对涉案硬盘进行镜像备份B.在原硬盘上安装数据恢复软件C.使用专业的取证工具分析镜像文件D.记录数据恢复的详细过程和结果11.HTTPS协议通过在HTTP下加入SSL/TLS层来实现安全传输。在HTTPS握手过程中，客户端和服务器交换（）来协商加密参数。A.数字证书B.公钥和私钥C.会话密钥D.用户名和密码12.根据《计算机信息网络国际联网安全保护管理办法》，任何单位和个人不得从事下列危害计算机信息网络安全的活动。下列行为中，不属于该办法明确禁止的是（）。A.未经允许进入计算机信息网络或者使用计算机信息网络资源B.未经允许对计算机信息网络功能进行删除、修改或者增加C.在网络上发布商业广告D.故意制作、传播计算机病毒等破坏性程序13.某内网网段为/24，若将其划分为4个子网，每个子网最多能容纳的主机数为（）。A.62B.64C.126D.12814.入侵检测系统（IDS）是对网络传输进行即时监视，在发现可疑传输时发出报警。按照检测数据来源，IDS主要分为基于主机的IDS和（）。A.基于应用的IDSB.基于网络的IDSC.基于特征的IDSD.基于异常的IDS15.在Linux系统中，文件权限通常用10个字符表示，如“-rwxr-xr--”。其中，第4到第6个字符“r-x”表示的权限是（）。A.文件所有者的权限B.文件所属组的权限C.其他用户的权限D.系统管理员的权限16.某APP在收集用户个人信息时，未公开收集使用规则，且未明示收集的目的、方式和范围。这种行为违反了（）。A.《中华人民共和国网络安全法》B.《中华人民共和国数据安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国电子商务法》17.数字取证中的“哈希值”具有唯一性。如果两个文件的哈希值相同，则说明这两个文件（）。A.文件名一定相同B.文件大小一定相同C.文件内容完全一致D.文件创建时间一定相同18.ARP协议的主要功能是将IP地址解析为MAC地址。ARP欺骗攻击利用了ARP协议的（）缺陷。A.无连接B.无认证C.广播D.单播19.某单位网站遭受了DDoS攻击，攻击特征是来自大量不同IP的TCPSYN包，导致服务器连接队列耗尽。这种攻击被称为（）。A.UDPFloodB.ICMPFloodC.SYNFloodD.HTTPFlood20.在电子数据取证分析中，VolaA.pslistB.netstatC.connscanD.hivelist21.对称加密算法与非对称加密算法相比，其主要优点是（）。A.密钥管理更简单B.加密解密速度更快C.支持数字签名D.更安全22.我国实行的网络安全等级保护制度（等保2.0）将信息系统保护等级分为五级。其中，对于受到破坏后会对社会秩序和公共利益造成特别严重损害的系统，应定为（）。A.第一级B.第二级C.第三级D.第四级23.警察在办理一起利用微信群传播淫秽物品案件时，需要提取群聊记录作为证据。下列关于电子数据提取的描述，正确的是（）。A.只需截图打印即可作为定案依据B.需要提取完整的电子数据原始载体，并计算哈希值C.可以复制粘贴到Word文档后作为电子数据提交D.只要有两名侦查人员签字即可，无需固定原始数据24.在Web安全中，XSS（跨站脚本攻击）的主要危害不包括（）。A.窃取用户CookieB.劫持用户会话C.直接篡改服务器数据库D.钓鱼攻击25.某台计算机的IP地址为0，子网掩码为。则该计算机的网络地址是（）。A.B.C.D.26.在公钥基础设施（PKI）中，CA（证书颁发机构）的主要作用是（）。A.存储用户的私钥B.颁发和管理数字证书C.加密用户数据D.防火墙策略配置27.《刑法》第二百八十五条第二款规定了非法获取计算机信息系统数据罪。下列行为中，构成该罪的是（）。A.制作计算机病毒B.违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统C.违反国家规定，侵入前款规定以外的计算机信息系统，采用技术手段获取该计算机信息系统中存储、处理或者传输的数据D.破坏计算机信息系统功能28.使用Wireshark抓包分析时，若想只捕获特定IP地址（例如）的流量，应该使用的过滤表达式是（）。A.ip.addr==B.ip.src==C.ip.dst==D.host29.关于日志审计在网络安全中的作用，下列说法不正确的是（）。A.可以帮助管理员发现网络入侵的痕迹B.可以用于事后追溯和取证C.日志文件可以随意删除，不影响系统运行D.可以满足合规性要求30.某单位内部网络部署了IDS，报警显示内网某主机对外网发起了异常的ICMP请求流量。这可能是该主机感染了（）。A.勒索病毒B.僵尸网络（Botnet）C.逻辑炸弹D.直接访问授权二、多项选择题（共15题，每题2分，共30分。多选、少选、错选均不得分）31.网络安全的主要属性（CIA三要素）包括（）。A.机密性B.完整性C.可用性D.可控性32.下列关于IPv6地址特征的描述，正确的有（）。A.地址长度为128位B.采用十六进制表示C.不存在广播地址D.使用点分十进制格式33.电子数据收集提取应当符合相关技术标准，保证电子数据的完整性。下列属于电子数据完整性保护方法的有（）。A.计算电子数据的完整性校验值B.对电子数据进行备份C.对电子数据计算哈希值D.封存电子数据原始存储介质34.根据《公安机关办理刑事案件程序规定》，侦查人员可以利用技术手段对案件进行调查。对于计算机犯罪案件，常见的侦查措施包括（）。A.网络追踪B.技术侦查C.电子数据检查D.远程勘验35.常见的Web应用防火墙（WAF）可以防御的攻击类型包括（）。A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.物理断网攻击36.恶意代码的传播途径包括（）。A.电子邮件附件B.恶意网页挂马C.U盘等可移动存储设备D.系统漏洞利用37.在Windows注册表中，很多恶意软件会设置启动项以实现持久化。下列注册表路径中，常用于自启动的有（）。A.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunB.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunC.HKEY_CLASSES_ROOTD.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services38.关于虚拟专用网（VPN）技术，下列说法正确的有（）。A.可以实现远程安全访问内网资源B.通常使用IPSec或SSL/TLS协议C.可以在公网上建立加密隧道D.VPN连接一旦建立，绝对安全，无需其他防护39.社会工程学攻击是网络攻击中常见的手法。下列属于社会工程学攻击形式的有（）。A.钓鱼邮件B.假冒技术支持人员C.在垃圾箱翻找敏感信息（尾随）D.利用缓冲区溢出漏洞40.在网络取证中，分析Web服务器日志时，重点关注的内容包括（）。A.访问源IP地址B.访问时间C.请求的URLD.User-Agent信息41.根据网络安全等级保护制度要求，第三级以上信息系统应当履行的安全保护义务包括（）。A.定期开展网络安全等级测评B.制定安全事件应急预案C.对重要数据进行备份D.建立安全管理制度42.下列协议中，属于明文传输（未加密）的协议有（）。A.TelnetB.FTPC.SSHD.HTTP43.针对APT（高级持续性威胁）攻击，检测和防御的难点在于（）。A.攻击者使用0day漏洞B.攻击手段隐蔽，长期潜伏C.流量伪装成正常业务流量D.攻击者通常来自外部，无法溯源44.公安机关网络安全保卫部门的主要职责包括（）。A.监督、检查计算机信息系统安全保护工作B.查处危害计算机信息系统安全的违法犯罪案件C.负责计算机信息系统安全专用产品的销售管理D.承担计算机病毒和有害数据的防治工作45.关于数据备份策略，常见的类型有（）。A.完全备份B.增量备份C.差异备份D.镜像备份三、判断题（共20题，每题0.5分，共10分）46.只要有搜查证，公安机关就可以强制要求网络服务提供者提供解密技术支持，以获取涉案加密数据。（）47.MAC地址是固化在网卡上的物理地址，在全网范围内是全球唯一的。（）48.在Linux系统中，root用户拥有最高权限，可以执行任何操作，因此系统安全主要依赖于对root账户的保护。（）49.防火墙和入侵检测系统（IDS）联动，可以实现阻断攻击的功能，此时IDS实际上充当了入侵防御系统（IPS）的角色。（）50.数字签名技术不仅能保证数据的完整性，还能保证数据的机密性。（）51.电子数据的原始介质无法封存时，可以只提取电子数据并打印，无需计算完整性校验值。（）52.所有的网络攻击行为都触犯刑法，需要追究刑事责任。（）53.在进行电子数据检验时，应当使用正版或经授权的软件工具，以确保分析结果的合法性和准确性。（）54.对称加密算法中，加密密钥和解密密钥是相同的，或者由其中一个可以很容易推导出另一个。（）55.Cookie通常由服务器生成，发送给浏览器，浏览器会在后续请求中携带Cookie，用于维持会话状态。（）56.网络拓扑结构是指网络中各种设备（计算机、路由器、交换机等）之间物理连接的布局形状。（）57.为了方便记忆，可以将重要的系统密码设置成简单的“123456”或与用户名相同的密码，只要不告诉别人即可。（）58.钓鱼网站通常伪装成合法的网站（如银行、电商页面），诱导用户输入敏感信息，这属于Web攻击。（）59.计算机取证分析中，时间戳的准确性非常重要，通常需要统一时区进行分析。（）60.只要安装了杀毒软件，计算机就绝对不会感染病毒。（）61.在我国，关键信息基础设施的运营者采购网络产品和服务，应当按照规定通过网络安全审查。（）62.端口扫描是攻击者为了发现目标主机上开放的服务而进行的操作，任何未经授权的端口扫描都是非法的。（）63.NetBIOS协议主要用于局域网内的计算机名称解析，由于存在安全隐患，在公网环境中应关闭相关端口。（）64.容器技术（如Docker）通过隔离机制提供了安全性，因此容器内的应用可以直接以root权限运行，无需担心宿主机安全。（）65.电子数据勘验笔录应当由勘验人员、见证人签名或者盖章，见证人无法找到或者拒绝签名的，应当在笔录中注明情况。（）四、情景分析题（共4大题，每题包含若干小题，共35分）【情景一】某市公安局网安支队接到辖区内一家大型互联网公司报案，称其核心数据库服务器遭受非法入侵，导致大量用户个人信息（包括姓名、身份证号、手机号等）被窃取。技术人员通过调取防火墙和Web服务器日志，发现攻击者利用了一个未修补的Web接口漏洞（SQL注入）获取了数据库权限，并通过数据库管理工具将敏感数据导出至本地，随后打包成加密压缩文件上传至境外服务器。66.根据上述描述，攻击者实施攻击的过程中，使用了哪些技术手段？（）（多选）A.暴力破解B.SQL注入C.提权D.数据导出与外传67.关于该公司数据库服务器遭受的入侵事件，下列说法正确的是？（）（多选）A.该事件属于网络安全事件B.该公司应当立即启动应急预案C.该公司可以直接自行处理，无需向公安机关报告D.可能构成侵犯公民个人信息罪68.为了从涉案的Web服务器日志中提取攻击者的IP地址，侦查人员可以使用下列哪些工具或命令？（）（多选）A.grepB.awkC.WiresharkD.Nmap69.在取证分析阶段，技术人员发现攻击者在服务器上留下了Webshell。关于Webshell，下列描述正确的是？（）（多选）A.Webshell是一段恶意脚本代码B.攻击者通过Webshell可以远程控制服务器C.Webshell通常隐藏在正常的Web文件中D.Webshell只能以PHP语言编写70.针对此类SQL注入攻击，最有效的防御措施是？（）（单选）A.部署防火墙B.使用预编译语句或参数化查询C.定期更换管理员密码D.隐藏数据库表名【情景二】某单位员工张某因对领导不满，利用职务之便，在深夜登录单位内部服务器，删除了核心业务系统的数据库文件，导致系统瘫痪，业务中断长达24小时，给单位造成重大经济损失。网安部门介入调查后，通过日志分析锁定张某为嫌疑人，并在其办公电脑中发现了相关操作记录和残留的脚本文件。71.张某的行为涉嫌构成下列哪种犯罪？（）（单选）A.非法侵入计算机信息系统罪B.破坏计算机信息系统罪C.非法获取计算机信息系统数据罪D.非法控制计算机信息系统罪72.在调查张某办公电脑时，为了确保电子数据的法律效力，正确的操作步骤包括？（）（多选）A.开机检查电脑配置B.断开网络连接，防止数据被远程销毁C.制作硬盘镜像D.在镜像文件上进行分析73.假设张某使用了文件粉碎工具试图销毁证据。关于数据恢复的可能性，下列说法正确的是？（）（单选）A.数据一旦被粉碎，绝对无法恢复B.只要硬盘扇区未被覆盖，部分数据可能通过专业手段恢复C.只有SSD硬盘上的数据被粉碎后无法恢复，HDD可以恢复D.只有格式化后的数据才能恢复，粉碎后的不能74.该单位在事件发生后，为了恢复业务，优先采取的措施应当是？（）（单选）A.报警抓人B.利用备份数据进行系统恢复C.安装杀毒软件D.修补系统漏洞75.此案例反映出该单位在内部安全管理中存在的主要问题是？（）（多选）A.权限管理过宽，普通员工可删除核心数据B.缺乏审计机制，未能及时发现异常操作C.数据备份策略不完善D.防火墙配置错误【情景三】某市发生一起利用伪基站发送诈骗短信的案件。犯罪嫌疑人利用车载设备，伪装成运营商基站，强制向周围用户手机发送包含钓鱼链接的短信，诱骗受害人点击链接输入银行卡信息，随后实施盗刷。76.伪基站设备主要利用了GSM网络中的哪项机制缺陷？（）（单选）A.加密机制B.认证机制C.基站识别机制D.漫游机制77.侦查人员在侦办此类案件时，可以采取的技术侦查措施包括？（）（多选）A.信号测向定位B.流量分析C.电子围栏D.网络监听78.关于受害人点击钓鱼链接后的风险，下列描述正确的是？（）（多选）A.手机可能被植入木马B.银行卡信息可能被窃取C.通讯录可能被上传D.手机硬件可能被物理损坏79.为了防范此类诈骗短信，用户应当注意？（）（多选）A.不轻信来历不明的中奖、退税等信息B.点击短信链接前仔细核对域名C.安装国家反诈中心APPD.直接将手机卡拔出80.该案件中，犯罪嫌疑人的行为可能同时触犯多个罪名，包括？（）（多选）A.诈骗罪B.破坏计算机信息系统罪C.非法获取公民个人信息罪D.妨害信用卡管理罪【情景四】某公安机关获取到一份加密的涉案电子文档（.docx），嫌疑人拒绝交代密码。该文档采用了AES-256加密算法。为了获取证据，技术人员需要对该文档进行密码破解或绕过。81.针对AES加密的文档，最常用的破解方法是？（）（单选）A.暴力破解B.字典攻击C.彩虹表攻击D.量子计算攻击82.假设嫌疑人使用的密码是由8位数字组成。若采用暴力破解，且计算机每秒尝试10^8个密码，理论上最多需要多长时间？（）（单选）A.0.1秒B.1秒C.10秒D.100秒83.除了直接破解密码，技术人员还可以尝试哪些途径获取文档内容？（）（多选）A.查找未加密的临时文件或副本B.分析内存镜像寻找密码或密钥C.尝试利用Office自身的漏洞进行绕过D.强制嫌疑人交代84.在密码学中，AES算法属于哪种类型的加密？（）（单选）A.非对称加密B.对称加密C.哈希函数D.摘要算法85.此案例给电子数据取证带来的启示是？（）（多选）A.电子数据加密技术增加了取证难度B.取证人员需要掌握密码分析技术C.法律手段（如传唤、审讯）与技术手段相结合至关重要D.只要加密就无法取证五、计算题（共2题，每题5分，共10分）86.已知某公司申请到的C类IP地址块为。现在需要将其划分为8个子网。请计算：(1)子网掩码应扩展多少位？（写出计算过程或直接回答）(2)写出新的子网掩码（点分十进制形式）。(3)第一个子网的网络地址和可用的主机IP地址范围。87.在一次网络攻击追踪中，发现攻击流量特征如下：攻击者发送了大量的数据包，每个数据包的载荷大小为1024字节。假设传输层使用UDP协议，IP头部长度为20字节，UDP头部长度为8字节，以太网帧头部长度为14字节。请计算：(1)每个数据包在网络层（IP层）的总长度是多少字节？(2)每个以太网帧的总长度是多少字节？(3)若链路带宽为100Mbps，理论上每秒最多能传输多少个这样的数据包？（结果保留整数）参考答案及解析一、单项选择题1.【答案】D【解析】传输层（TransportLayer）负责端到端的通信，主要协议TCP提供可靠的数据传输服务，确保数据无差错、不丢失、不重复且按序到达。网络层负责路由寻址，数据链路层负责帧传输，物理层负责比特传输。2.【答案】C【解析】电子数据取证的首要原则是保持原始介质的完整性。在接触原始介质前，应先进行镜像备份，并对原始介质或镜像文件计算哈希值（如MD5或SHA-256）作为数字指纹，以证明数据未被篡改。格式化、查杀、压缩都可能破坏原始数据或改变其状态。3.【答案】C【解析】根据《网络安全法》第二十五条，网络运营者应当制定网络安全事件应急预案...按照规定向有关主管部门报告。通常根据事件等级和性质，向网信部门、公安机关或行业主管部门报告，统称“有关主管部门”。4.【答案】C【解析】DNS（DomainNameSystem）域名系统，用于将人类可读的主机名转换为机器可读的IP地址。ARP是IP转MAC，RARP是MAC转IP，ICMP用于控制消息传递（如ping）。5.【答案】C【解析】引导区病毒感染磁盘的主引导记录（MBR）或系统引导扇区，当系统启动时，病毒代码先于操作系统获得控制权。蠕虫是利用网络自我复制，木马是伪装成合法软件，宏病毒寄生在文档宏中。6.【答案】C【解析】数字签名利用发送方的私钥加密摘要，接收方用发送方公钥解密验证。因为私钥仅发送方持有，因此可以验证消息的来源（身份认证）并保证发送方无法否认发送过该消息（不可否认性）。虽然它也保证完整性，但“不可否认性”是公钥签名特有的核心服务。7.【答案】D【解析】防火墙主要用于防范外部网络对内部网络的攻击，对于内部网络用户发起的攻击或内部信任关系被破坏后的攻击，防火墙通常无法有效防范（除非配置了内网防火墙策略）。8.【答案】C【解析】netstat命令用于显示网络连接、路由表和网络接口统计信息。ipconfig查看IP配置，ping测试连通性，tracert跟踪路由。9.【答案】C【解析】SQL注入的核心在于将用户输入的数据直接拼接到SQL查询语句中，导致数据库引擎将用户输入当作代码执行。10.【答案】B【解析】数据恢复的第一原则是保护现场。在原硬盘上安装软件会写入数据，可能覆盖已删除的数据区，导致永久性丢失数据。必须先镜像，在镜像上操作。11.【答案】A【解析】在SSL/TLS握手过程中，服务器会发送数字证书给客户端，证书中包含服务器的公钥和身份信息，客户端验证证书后，使用公钥加密预主密钥发送给服务器，从而协商出会话密钥。12.【答案】C【解析】《计算机信息网络国际联网安全保护管理办法》第六条禁止了A、B、D选项的行为。发布商业广告只要符合法律法规，不属于危害计算机信息网络安全的行为。13.【答案】A【解析】/24表示前24位为网络位。划分4个子网，需要借用2位主机位（=4）。新的掩码为/26，即11111111.11111111.11111111.11000000（92）。主机位剩下6位，每个子网主机数为−14.【答案】B【解析】IDS按数据源分为基于主机（HIDS）和基于网络（NIDS）。基于特征和基于异常是按检测方法分类的。15.【答案】B【解析】Linux文件权限10字符：第1位是文件类型，第2-4位是所有者权限，第5-7位是所属组权限，第8-10位是其他用户权限。16.【答案】C【解析】《个人信息保护法》明确规定，处理个人信息应当遵循合法、正当、必要和诚信原则，公开处理规则，明示处理信息的目的、方式和范围。未公开规则、未明示目的违反了该法。17.【答案】C【解析】哈希函数将任意长度的数据映射为固定长度的哈希值。如果两个文件哈希值相同，在极大概率下（忽略碰撞）意味着文件内容完全一致。文件名、大小、时间都可以改变而不影响哈希值。18.【答案】B【解析】ARP协议在设计时缺乏认证机制。主机收到ARP请求或响应时，会无条件更新自己的ARP缓存表，攻击者可以发送伪造的ARP响应包，将网关IP映射到攻击者的MAC地址，从而实施中间人攻击。19.【答案】C【解析】SYNFlood利用TCP三次握手的缺陷，向服务器发送大量SYN包，但不完成第三次握手，导致服务器维护大量半连接队列，耗尽资源。20.【答案】A【解析】Volatility中，pslist（或psscan）用于查看进程列表；netstat/connscan用于查看网络连接；hivelist用于查看注册表配置单元。21.【答案】B【解析】对称加密（如AES、DES）算法相对简单，计算速度快，适合处理大量数据。非对称加密（如RSA）计算复杂，速度慢，通常用于密钥交换和数字签名。22.【答案】C【解析】根据《网络安全等级保护定级指南》，第三级信息系统是指“破坏后会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成损害”。23.【答案】B【解析】电子数据的提取应当保证完整性。截图属于复制品，证明力较弱。必须提取原始载体（如手机本身或数据库文件），并计算哈希值固定。24.【答案】C【解析】XSS（跨站脚本）攻击是在客户端浏览器执行恶意脚本，可以窃取Cookie、会话劫持、钓鱼等。它无法直接篡改服务器端的数据库（除非结合其他漏洞）。25.【答案】B【解析】网络地址=IP地址AND子网掩码。0(10101100.00010000.00000101.00001010)AND(11111111.11111111.00000000.00000000)=。26.【答案】B【解析】CA是证书颁发机构，负责签发、管理和吊销数字证书。它不存储私钥，不直接加密数据。27.【答案】C【解析】《刑法》285-1是非法侵入计算机信息系统罪（仅限国家事务等特定系统）；285-2是非法获取计算机信息系统数据罪（侵入其他系统获取数据）；286是破坏计算机信息系统罪。C选项完全符合285-2的描述。28.【答案】A【解析】在Wireshark中，ip.addr==x.x.x.x表示匹配源地址或目标地址为x.x.x.x。ip.src仅匹配源，ip.dst仅匹配目标。host是tcpdump的语法。29.【答案】C【解析】日志文件对于安全审计和故障排查至关重要，随意删除日志不仅违反安全管理制度，还可能掩盖犯罪线索，属于违规操作。30.【答案】B【解析】僵尸网络（Botnet）是指被恶意代码（Bot）控制的大量主机。Bot通常会接收C&C服务器的指令，对外发起DDoS攻击或发送垃圾邮件，ICMP请求流量常被用于DDoS。二、多项选择题31.【答案】ABC【解析】信息安全的核心三要素是机密性、完整性、可用性。可控性通常作为扩展属性，不属于核心CIA。32.【答案】ABC【解析】IPv6地址长度128位，使用冒号分隔的十六进制表示（如2001:db8::1），取消了广播地址，使用组播。点分十进制是IPv4的格式。33.【答案】ACD【解析】完整性保护方法包括：计算完整性校验值（哈希值）、封存原始介质、记录处理过程。备份是保护数据可用性的手段，不是直接证明完整性的方法（虽然备份也有校验值）。34.【答案】ABCD【解析】《公安机关办理刑事案件程序规定》规定了网络技术侦查、远程勘验、网络在线提取、电子数据检查等措施。35.【答案】ABC【解析】WAF部署在Web应用前，专门防护HTTP/HTTPS层面的攻击，如SQL注入、XSS、CSRF等。物理断网是物理层面的，WAF无法防护。36.【答案】ABCD【解析】恶意代码传播途径多样，包括邮件、网页挂马（漏洞利用）、移动存储介质（自动运行）、系统漏洞（如“永恒之蓝”利用445端口）。37.【答案】AB【解析】Run键值是Windows中最常见的自启动注册表路径。Services键值用于服务启动，也是常见位置，但题目问的是“自启动”通常指用户态启动，AB最典型。D也是服务启动，也算对。但在多选中，ABD均可，若必须选最典型的，AB。本题全选ABD更严谨，因为服务也是自启动的一种。修正：D选项Services也是恶意软件常用的持久化机制。故选ABD。38.【答案】ABC【解析】VPN用于加密隧道访问内网，常用IPSec和SSL协议。但VPN不是万能的，若客户端中毒，VPN会成为攻击内网的通道，因此D错误。39.【答案】ABC【解析】社会工程学利用人性的弱点。钓鱼邮件、假冒身份、尾随进入、垃圾翻找都是社会工程学。缓冲区溢出属于纯技术攻击。40.【答案】ABCD【解析】Web日志包含访问时间、源IP、URL、User-Agent（浏览器类型）、Referer、状态码等，都是分析攻击的重要线索。41.【答案】ABCD【解析】等保2.0要求第三级以上系统需定期测评、制定应急预案、数据备份、建立安全管理制度等。42.【答案】ABD【解析】Telnet（23）、FTP（21）、HTTP（80）都是明文传输。SSH（22）是加密传输。43.【答案】ABC【解析】APT攻击具有高级、持续性、针对性的特点。常利用0day、长期潜伏、流量加密或伪装。攻击者来源可能来自外部也可能有内鬼，且溯源困难是难点之一，但D选项“无法溯源”说法过于绝对，溯源难是事实，但不是检测防御的“技术难点”本身，技术难点在于发现。ABC更贴切。44.【答案】ABCD【解析】网安部门职责包括监督、检查、查处案件、安全产品销售管理（虽然现在职能有所调整，但在相关法规中仍有提及）、病毒防治等。45.【答案】ABC【解析】备份策略主要分为完全备份、增量备份（备份上次备份后的变化）、差异备份（备份上次完全备份后的变化）。镜像备份通常指完全复制磁盘，属于完全备份的一种形式。三、判断题46.【答案】错误【解析】虽然法律规定有关组织应当提供技术支持，但并不意味着只要有搜查证就可以“强制”要求提供解密算法（这可能涉及国家安全或厂商商业秘密），且嫌疑人有拒绝自证其罪的权利（虽然实务中会通过各种手段获取），但措辞上“强制要求提供解密技术支持”过于绝对且涉及法律争议。更准确地说，可以要求提供协助，但不能直接等同于强制给密码。47.【答案】正确【解析】MAC地址在网络接口卡（NIC）生产时烧录，理论上全球唯一。48.【答案】正确【解析】Linux的root用户类似于Windows的Administrator，拥有最高权限。系统安全很大程度上依赖于保护root账户不被盗用，以及最小权限原则的落实。49.【答案】正确【解析】IDS本身是被动监听。如果联动防火墙进行阻断，IDS实际上起到了IPS的作用。50.【答案】错误【解析】数字签名保证完整性和不可否认性，但不保证机密性。因为签名过程通常是对原文的哈希进行加密，原文本身是明文的（除非结合加密传输）。51.【答案】错误【解析】无论何种情况，提取电子数据都应当计算完整性校验值以保证其未被篡改，这是电子数据证据效力的核心要求。52.【答案】错误【解析】网络攻击行为是否构成犯罪，需看情节是否严重。未造成严重后果的攻击可能仅违反《治安管理处罚法》，不一定是犯罪。53.【答案】正确【解析】使用正版或授权软件是确保证据合法性的要求，防止因软件本身的后门或算法问题导致证据被质疑。54.【答案】正确【解析】对称加密算法的特点是加密解密使用同一个密钥或成对密钥（可互推）。55.【答案】正确【解析】Cookie机制就是由服务器生成，客户端存储，并在后续请求中带回，用于状态管理。56.【答案】正确【解析】网络拓扑描述物理连接布局。57.【答案】错误【解析】弱密码是安全的大忌，极易被暴力破解或字典攻击，严重违反安全策略。58.【答案】正确【解析】钓鱼网站利用社会工程学和Web技术，诱导用户泄露信息，属于Web攻击范畴。59.【答案】正确【解析】在跨网域取证或分析分布式日志时，统一时区（UTC）对于还原攻击时间线至关重要。60.【答案】错误【解析】杀毒软件只能查杀已知的病毒（特征库），对0day病毒或变种无法完全防范，且需要用户主动更新。61.【答案】正确【解析】《网络安全法》及配套办法规定，CII运营者采购网络产品和服务需通过网络安全审查。62.【答案】正确【解析】未经授权的扫描属于探测行为，破坏了计算机信息系统的正常运行秩序或侵犯隐私，是违法的。63.【答案】正确【解析】NetBIOS协议在137-139端口，容易泄露信息，应在公网边界关闭。64.【答案】错误【解析】容器内的root用户通常对应宿主机的root用户，直接以root运行容器风险极高，一旦容器逃逸，宿主机将被完全控制。65.【答案】正确【解析】根据《公安机关办理刑事案件电子数据勘验检查规则》，见证人无法找到或拒绝签字的，应当在笔录中注明。四、情景分析题66.【答案】BCD【解析】描述中提到“利用Web接口漏洞（SQL注入）”对应B；“获取数据库权限”涉及提权C；“导出...上传”对应D。未提及暴力破解A。67.【答案】ABD【解析】属于网络安全事件A；应启动预案B；用户信息泄露涉嫌侵犯公民个人信息罪D；C错误，因为“公民个人信息泄露”属于应当向公安机关报告的情形。68.【答案】AB【解析】grep和awk是Linux下强大的文本处理工具，常用于分析日志文件。Wireshark用于分析抓包文件（pcap），Nmap用于扫描，不适合直接分析文本日志。69.【答案】ABC【解析】Webshell是脚本代码（ASP,PHP,JSP等），用于远程控制，常混迹于正常文件中。D错误，不仅限于PHP。70.【答案】B【解析】防御SQL注入最有效的方法是使用预编译语句（参数化查询），从底层杜绝拼接。A、C、D均不能从根本上解决SQL注入漏洞。71.【