2026年国家网络安全宣传周试题及答案

2026年国家网络安全宣传周试题及答案一、单项选择题（共30题，每题1.5分）1.2026年国家网络安全宣传周通常定于每年的哪个时间段举行？A.第一周B.第二周C.第三周D.第四周2.根据《中华人民共和国网络安全法》，网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。若用户不提供真实身份信息，网络运营者该怎么办？A.暂时提供服务，稍后补全B.拒绝提供服务C.向公安机关报告后提供服务D.仅提供基础浏览服务3.下列哪项不属于《中华人民共和国数据安全法》中定义的数据处理活动？A.数据的收集B.数据的存储C.数据的销毁D.数据的物理传输（如硬盘搬运）4.在网络安全等级保护制度中，被定为第三级及以上的信息系统的运营者，应当如何处理其网络安全等级保护备案材料？A.无需备案B.向所在地公安机关备案C.向上级主管部门备案D.向国家网信部门备案5.关于密码安全，下列哪种做法被认为是相对最安全的？A.使用生日作为密码B.使用“12345678”作为密码C.使用包含大小写字母、数字和特殊符号的12位以上组合D.所有网站使用同一个复杂的密码6.2026年网络安全宣传周的重点主题可能包含“人工智能安全”。关于生成式人工智能（AIGC）的安全风险，下列哪项描述是错误的？A.可能生成虚假信息（Deepfake），用于诈骗B.可能泄露训练数据中的个人隐私C.完全不可控，没有任何技术手段可以规避风险D.可能生成恶意代码或钓鱼邮件7.收到一封声称来自银行，要求点击链接核对账户信息的邮件，这属于哪种网络攻击手段？A.SQL注入B.跨站脚本攻击（XSS）C.钓鱼攻击D.拒绝服务攻击8.《个人信息保护法》规定，处理个人信息应当遵循合法、正当、诚信和____原则。A.效益优先B.必要C.公开透明D.任意使用9.在使用公共Wi-Fi（如咖啡厅、机场）时，下列哪种行为是高危操作？A.浏览新闻网页B.登录网上银行进行转账操作C.查看天气D.观看在线视频10.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当进行____。A.简单备份B.安全评估C.口头汇报D.内部审批11.下列哪项不属于社会工程学攻击的常见形式？A.假冒技术支持人员索要密码B.在垃圾桶里翻找含有敏感信息的废纸（尾随）C.利用软件漏洞直接获取服务器权限D.通过电子邮件发送携带恶意软件的附件12.移动终端设备（手机）安装软件时，应用请求“通讯录”、“短信”等与功能无关的权限时，用户应该？A.为了使用软件，一律允许B.一律拒绝，并卸载该软件C.根据软件实际功能需求，选择性允许D.修改手机设置后自动允许13.零日漏洞（Zero-dayVulnerability）是指？A.已经存在了10年的漏洞B.还没有被软件厂商发现或修复的漏洞C.没有任何危害的漏洞D.只在零点发作的漏洞14.防火墙的主要作用是？A.防止火灾B.查杀计算机病毒C.控制网络进出的数据流，防止非法入侵D.加密数据传输15.《中华人民共和国反电信网络诈骗法》规定，电信业务经营者、银行业金融机构、非银行支付机构应当建立____机制，及时发现异常电话卡、银行账户、支付账户。A.客户投诉B.反电信网络诈骗内部控制C.随机抽查D.市场营销16.勒索病毒攻击的主要目的是？A.破坏硬件设备B.窃取用户照片C.加密用户数据并勒索赎金D.提升网络速度17.为了保障数据安全，对重要数据进行备份时，最佳策略是遵循____原则。A.3-2-1原则（3份副本，2种介质，1个异地）B.仅在本地备份C.仅在云端备份D.仅备份一次18.下列关于HTTPS协议的说法，正确的是？A.是超文本传输协议，数据明文传输B.比HTTP更不安全C.在HTTP的基础上加入了SSL/TLS协议，数据传输加密D.不需要CA证书19.物联网设备的安全风险主要不包括？A.固件更新不及时B.默认密码未修改C.设备算力太强导致耗电D.缺乏加密传输20.某公司员工离职后，其账号权限未被及时收回，后来利用该账号泄露了公司数据。这属于哪类安全问题？A.内部威胁B.外部攻击C.自然灾害D.软件故障21.下列哪种技术常用于实现用户身份的双因素认证（2FA）？A.用户名+密码B.密码+短信验证码C.密码+密码D.指纹+指纹22.在网络攻击中，攻击者通过控制大量僵尸网络向目标服务器发送海量请求，导致服务器瘫痪，这种攻击称为？A.DDoS攻击（分布式拒绝服务攻击）B.APT攻击（高级持续性威胁）C.中间人攻击D.重放攻击23.《网络安全法》规定，网络运营者应当制定____，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。A.销售计划B.网络安全事件应急预案C.招聘计划D.年度财务报表24.关于家庭路由器的安全设置，错误的做法是？A.修改默认的管理员账号和密码B.定期更新路由器固件C.关闭WPS功能D.将Wi-Fi密码设置为“12345678”25.跨站脚本攻击（XSS）主要是利用了Web应用程序对____过滤不严的漏洞。A.图像数据B.用户输入C.数据库连接D.网络协议26.在2026年的网络安全态势中，针对智能网联汽车的攻击日益增多。下列哪项不属于智能汽车面临的安全风险？A.远程控制车门、引擎B.侵犯车内乘客隐私（录音、摄像）C.车载娱乐系统中毒D.汽车油耗自然增加27.数据脱敏是指对某些敏感信息通过____规则进行数据的变形，实现敏感隐私数据的可靠保护。A.加密B.脱敏C.删除D.压缩28.网络钓鱼攻击中，攻击者常伪装成合法机构，诱骗用户点击恶意链接。为了防范此类攻击，用户应重点检查？A.链接的URL域名是否拼写正确B.邮件的排版是否美观C.发件人的头像是否真实D.邮件发送的时间29.下列关于区块链安全的描述，错误的是？A.智能合约可能存在代码漏洞B.私钥丢失意味着资产丢失C.区块链数据完全不可篡改，因此上链的数据一定是真实的D.51%攻击是共识机制的一种潜在风险30.网络安全审查办法规定，关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过____。A.网络安全审查B.ISO27001认证C.等级保护测评D.内部审计二、多项选择题（共15题，每题3分。多选、少选、错选均不得分）1.国家网络安全宣传周旨在提升全民网络安全意识和技能。常见的网络安全威胁包括哪些？A.计算机病毒B.木马马C.勒索软件D.钱包丢失2.根据《中华人民共和国个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这体现了哪些原则？A.目的明确原则B.目的限制原则C.最小必要原则D.公开透明原则3.下列哪些行为属于侵犯公民个人信息的违法行为？A.未经同意，出售客户电话号码B.在公共场所安装人脸识别摄像头未告知C.公司内部员工因工作需要查询必要客户信息D.黑客入侵数据库窃取用户身份证号4.为了防范网络诈骗，公众应养成的“三不一多”习惯是指？A.未知链接不点击B.陌生来电不轻信C.个人信息不透露D.转账汇款多核实5.关于计算机病毒的清除和防范，正确的做法有？A.安装并及时更新杀毒软件B.不随意打开不明来源的邮件附件C.及时下载安装操作系统补丁D.关闭防火墙以提升速度6.下列哪些设备或系统属于关键信息基础设施（CII）的范畴？A.公共通信和信息服务系统B.能源系统（电力、石油）C.金融系统（银行、证券）D.个人家庭电脑7.2026年随着人工智能技术的发展，AI换脸、AI拟声诈骗频发。下列哪些特征可以帮助识别此类诈骗？A.对方要求转账到“安全账户”B.视频通话中人物嘴型与声音偶尔不同步C.对方以各种理由拒绝实时视频，仅发送短视频D.对方知道你的部分个人信息8.企业在进行网络安全建设时，应重点关注的安全防护技术包括？A.入侵检测系统（IDS）B.入侵防御系统（IPS）C.Web应用防火墙（WAF）D.数据防泄漏（DLP）9.下列关于密码使用的安全建议，正确的有？A.不要在不同的网站使用相同的密码B.定期更换重要账号的密码C.将密码写在便利贴上贴在电脑旁D.使用密码管理器生成和存储复杂密码10.《网络安全法》规定，网络运营者不得收集与其提供的服务无关的个人信息。违反此规定的，可能面临哪些处罚？A.责令改正B.给予警告C.没收违法所得D.吊销营业执照11.社会工程学攻击利用人性的弱点（如贪婪、恐惧、好奇、助人为乐）。下列哪些场景可能涉及社会工程学？A.陌生人声称中奖，要求先交税B.同事发来“紧急会议通知”附件，实际上并未开会C.快递员打电话称包裹丢失，要求点击链接退款D.系统自动提示密码错误12.App过度索权是当前移动安全的痛点。下列哪些权限属于敏感权限，App在申请时应谨慎授权？A.读取通讯录B.读取短信/彩信C.访问摄像头/麦克风D.获取设备信息（如IMEI）13.网络安全事件应急响应中，常见的处置步骤包括？A.抑制：限制攻击范围B.根除：消除攻击源C.恢复：恢复系统正常运行D.跟踪：总结经验，追踪溯源14.下列关于云安全的描述，正确的有？A.云服务商和客户共同承担安全责任B.云环境中的数据不需要加密C.虚拟机逃逸是云安全的一种潜在威胁D.使用强身份认证（如MFA）保护云控制台15.2026年网络安全宣传周强调“网络安全进基层”。基层包括哪些场景？A.校园B.社区C.企业D.农村地区三、判断题（共20题，每题1分。对的选A，错的选B）1.国家网络安全宣传周是由中央宣传部、中央网信办、教育部、工业和信息化部、公安部、中国人民银行、国家广播电视总局、全国总工会、共青团中央、全国妇联等部门联合举办的。A.正确B.错误2.只要计算机安装了杀毒软件，就绝对不会感染病毒或木马。A.正确B.错误3.《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度。A.正确B.错误4.在浏览器地址栏中，如果看到“https”和锁形图标，说明该网站绝对安全，可以放心输入任何信息。A.正确B.错误5.个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息。A.正确B.错误6.使用U盘、移动硬盘等可移动存储设备时，应先进行病毒查杀，再打开文件。A.正确B.错误7.所有的黑客攻击都是恶意的，旨在破坏数据。A.正确B.错误8.弱口令（如admin、123456）是导致网络账户被盗的主要原因之一。A.正确B.错误9.关键信息基础设施的运营者，应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次网络安全检测和评估。A.正确B.错误10.为了方便记忆，可以将银行卡密码设置成与生日一致。A.正确B.错误11.网络运营者发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。A.正确B.错误12.公共Wi-Fi虽然免费，但黑客可以搭建虚假Wi-Fi窃取用户数据，因此不建议在公共Wi-Fi下进行敏感操作。A.正确B.错误13.删除文件到回收站并清空后，文件在硬盘上的数据就被彻底清除，无法被恢复。A.正确B.错误14.任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。A.正确B.错误15.只有大型企业才会成为黑客攻击的目标，个人用户没有价值，黑客不会攻击。A.正确B.错误16.软件更新提示通常包含安全补丁，及时更新软件是防范漏洞攻击的有效手段。A.正确B.错误17.在网络社交平台上，可以随意晒出登机牌、火车票、车牌号等照片，不会造成隐私泄露。A.正确B.错误18.数字签名技术可以验证数据的完整性和发送者的身份。A.正确B.错误19.网络安全等级保护制度是中国网络安全保障体系的核心制度。A.正确B.错误20.遇到网络诈骗，无论金额大小，都应当保留证据并及时报警。A.正确B.错误四、填空题（共15题，每题2分）1.2026年国家网络安全宣传周将继续沿用“____”的核心理念，强调网络安全是全社会的共同责任。2.《中华人民共和国网络安全法》自____年6月1日起施行。3.网络安全事件（Incident）是指由于自然或人为原因，对网络造成危害，或对社会造成负面影响的事件。按照严重程度，通常分为特别重大、重大、较大和____四级。4.在密码学中，____算法是一种非对称加密算法，常用于数字签名和密钥交换。5.为了防止网页篡改，网站通常会部署____技术，确保网页内容在传输过程中未被篡改。6.____(APT)攻击是一种隐蔽的、持久的、高级别的网络威胁，通常由国家背景或有组织的黑客团体发起。7.数据备份的三要素是：备份类型（全量/增量/差异）、备份频率和____。8.网络安全审计是指对系统记录和活动进行独立的审查和检查，以测试系统控制的充分性，并确保遵循既定的____和操作规程。9.在网络攻击中，____攻击通过向数据库注入恶意的SQL代码，从而窃取或篡改数据库中的数据。10.____是指未经授权访问或使用网络、计算机系统或应用程序的行为。11.2026年，随着《生成式人工智能服务管理暂行办法》的深入实施，提供生成式AI服务的提供者应当承担____生产者的责任。12.蜜罐（Honeypot）是一种主动安全防御技术，其目的是诱捕攻击者，从而____攻击行为。13.网络安全等级保护2.0标准中，将云计算、移动互联、物联网、工业控制系统和____等新技术新应用纳入了标准体系。14.在进行网络交易时，应确保支付环境安全，尽量使用官方App或____，避免在第三方链接中支付。15.网络安全宣传周期间，各地会举办校园日、电信日、法治日、金融日、青少年日、个人信息保护日等____活动。五、简答题（共5题，每题5分）1.请简述“零信任”安全架构的核心思想及其与传统边界安全模型的区别。2.根据《个人信息保护法》，处理敏感个人信息（如生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等）应当满足哪些特定条件？3.针对日益猖獗的“AI换脸”诈骗，请列举至少三种防范此类新型诈骗的具体措施。4.简述网络钓鱼攻击的一般流程，并说明用户应如何识别一封钓鱼邮件。5.请解释什么是“中间人攻击”（Man-in-the-MiddleAttack），并列举一种防范技术。六、案例分析题（共3题，每题10分）1.案例背景：某大型互联网公司在2026年遭遇了一起严重的数据泄露事件。经调查发现，该公司的一名内部研发人员利用职务之便，在离职前通过个人U盘拷贝了大量用户的核心数据（包含身份证号、手机号、哈希后的密码等），并试图在暗网出售。同时，公司审计发现，该员工在操作过程中，公司的数据防泄漏（DLP）系统并未报警，且其离职账号在离职后一周内仍拥有访问权限。问题：(1)请分析该公司在数据安全管理方面存在的主要漏洞（至少三点）。(2)依据《中华人民共和国数据安全法》和《网络安全法》，该公司可能面临哪些法律责任？(3)针对此类内部威胁，企业应采取哪些技术和管理措施进行防范？2.案例背景：2026年某日，某市多家医院遭受勒索病毒攻击，医疗系统瘫痪，患者无法正常挂号和缴费，部分急救设备受到影响。攻击者要求支付价值500万美元的比特币作为赎金。经初步排查，攻击源于某台接入内网的医疗物联网设备，该设备使用的是出厂默认密码，且长期未进行固件更新，被黑客利用作为跳板攻入了内网核心业务区。问题：(1)请分析此次攻击成功的关键路径。(2)医疗行业属于关键信息基础设施行业，此次事件对社会造成了严重影响。请简述关键信息基础设施运营者在应对此类攻击时应履行的安全保护义务。(3)如果你是医院的信息安全负责人，针对物联网设备的安全，你会制定怎样的管理策略？3.案例背景：李女士接到一个自称是其“女儿”打来的视频电话。视频中，“女儿”的面容和声音与真人极度相似，称自己在学校急需缴纳一笔培训费用，否则会被退学，并催促李女士立刻转账到指定账户。李女士因爱女心切，未加核实便转账5万元。事后联系学校才知并无此事，意识到遭遇了“AI换脸/拟声”诈骗。问题：(1)请结合2026年的技术背景，分析此类诈骗利用了哪些技术手段？(2)从法律角度看，提供生成式AI技术服务的平台在防止此类技术被滥用方面应承担什么责任？(3)作为普通公民，在遇到此类“熟人”视频借钱/救急的场景时，应如何进行有效的身份核验？七、参考答案一、单项选择题1.C2.B3.D4.B5.C6.C7.C8.B9.B10.B11.C12.C13.B14.C15.B16.C17.A18.C19.C20.A21.B22.A23.B24.D25.B26.D27.B28.A29.C30.A二、多项选择题1.ABC2.ABC3.ABD4.ABCD5.ABC6.ABC7.ABC8.ABCD9.ABD10.ABC11.ABC12.ABCD13.ABCD14.ACD15.ABCD三、判断题1.A2.B3.A4.B5.A6.A7.B8.A9.A10.B11.A12.A13.B14.A15.B16.A17.B18.A19.A20.A四、填空题1.网络安全为人民，网络安全靠人民2.20173.一般4.RSA（或椭圆曲线密码算法ECC）5.HTTPS（或网页防篡改系统）6.高级持续性威胁7.备份存储位置8.政策9.SQL注入10.非法入侵11.内容12.分析/记录13.大数据14.官方网站15.主题日五、简答题1.答案要点：核心思想：零信任架构的核心原则是“永不信任，始终验证”。即无论用户或设备位于网络边界内部还是外部，在访问任何资源之前，都必须进行严格的身份验证和授权。区别：传统边界安全模型依赖防火墙构建“城堡-护城河”模式，默认内部网络是可信的，一旦边界被突破，攻击者可以横向移动。零信任模型则假设网络内部已经充满威胁，对所有访问请求进行动态、持续的上下文检查（如身份、设备健康度、位置、行为等），最小化权限，限制横向移动。2.答案要点：根据《个人信息保护法》，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。同时，处理敏感个人信息应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。3.答案要点：(1)核实身份：在涉及转账、汇款等敏感操作时，务必通过电话（回拨原有号码）、见面或其他独立渠道多方核实对方身份，不要仅凭视频或语音就轻信。(2)观察细节：在视频通话中，注意观察对方的面部表情、嘴型与声音是否同步，是否有画面抖动、模糊或AI生成的痕迹。(3)设置障碍：询问对方只有真实熟人知道的私密问题（如上次见面的细节、共同朋友的昵称等），AI往往难以回答这些即时性的、非公开的细节问题。(4)提高警惕：对于所谓的“紧急情况”、“限时操作”保持高度警惕，骗子常利用人的恐慌心理。4.答案要点：流程：攻击者进行侦察->伪造合法的邮件/网站（如伪装成银行、公司IT部门）->诱导用户点击链接或下载附件->用户在虚假页面输入敏感信息或下载恶意软件->攻击者获取信息或控制主机。识别方法：(1)检查发件人地址：看是否为官方域名，注意拼写错误。(2)检查URL链接：鼠标悬停在链接上（不点击），查看实际跳转地址是否为官方网址。(3)检查内容：看是否有错别字、语法错误，以及是否使用恐吓、紧急语气诱导操作。(4)不轻信索要密码、验证码的邮件。5.答案要点：解释：中间人攻击是一种攻击者秘密拦截并可能改变两个认为正在直接与对方通信的方之间的消息的攻击。攻击者通过独立于双方连接，使得他们误以为是在通过私密连接与对方直接交谈，实际上所有消息都经过攻击者。防范技术：使用强加密协议（如TLS/SSL），并启用证书固定（CertificatePinning）或严格验证服务器证书；使用VPN（虚拟专用网络）创建加密通道；避免在不安全的公共网络进行敏感操作。六、案例分析题1.参考答案：(1)漏洞分析：1)账号生命周期管理缺陷：员工离职后账号权限未及时回收，存在僵尸账号风险。2)终端安全管理不足：允许个人U盘接入工作电脑并拷贝数据，缺乏有效的端口管控或U盘加密审计。3)数据防泄漏（DLP）失效：敏感数据被拷贝时未触发报警，说明DLP策略配置不当或被绕过。4)核心数据未加密或加密强度不够：密码仅经过哈希，若加盐策略不当易被破解，且身份证号等敏感信息可能明文存储。(2)法律责任：依据《数据安全法》，未履行数据安全保护义务，可能面临责令改正、警告、罚款（对单位最高可处一百万元，对直接负责人员可处一万元以上十万元以下罚款）；情节严重的，可能被吊销相关业务许可证。若造成大量数据泄露，可能构成拒不履行信息网络安全管理义务罪或侵犯公民个人信息罪的相关责任。(3)防范措施：技术措施：部署终端安全管理系统，禁止未经授权的USB设备使用；优化DLP策略，对敏感数据的导出进行严格阻断和审计；实施最