2026年河北省公务员联考(网络安全)试题解析及核心考点

2026年河北省公务员联考(网络安全)试题解析及核心考点一、单项选择题（共30题，每题1.5分）1.在网络安全等级保护2.0标准中，关于第三级及以上等级保护对象的密码要求，下列说法正确的是（）。A.必须采用国产密码算法进行加密B.应采用密码技术保证重要数据在存储过程中的保密性C.只需要保证数据的完整性，不需要保证保密性D.密码技术可以自主选择，不需要经过国家密码管理部门认可【答案】B【解析】根据《网络安全等级保护基本要求》（GB/T22239-2019），第三级及以上安全要求中明确指出“应采用密码技术保证重要数据在存储过程中的保密性”，并要求使用国家密码管理部门认可的密码技术。虽然目前政策大力推国产化（信创），但标准条款的通用表述为B。A选项过于绝对，且标准表述侧重于技术要求而非单纯的产地强制，尽管实际落地中通常要求国密。D选项错误，必须经过认可。2.某公司内部网络被划分为多个VLAN，主要目的是为了（）。A.提高网络传输速度B.简化网络管理C.隔离广播风暴，提高网络安全性与性能D.扩大物理覆盖范围【答案】C【解析】VLAN（虚拟局域网）的主要作用之一是隔离广播域，限制广播风暴的传播范围，从而提升网络性能；同时，不同VLAN间的通信通常受访问控制列表限制，从而增强了安全性，将不同部门或安全级别的逻辑隔离。3.在公钥基础设施（PKI）系统中，数字证书的主要作用是（）。A.确保传输数据的完整性B.绑定公钥与持有者身份，由可信机构（CA）签发C.自动生成对称密钥D.防止拒绝服务攻击【答案】B【解析】数字证书的核心机制是由证书权威机构（CA）对用户的身份信息和公钥进行数字签名，从而将公钥与实体身份绑定，用于验证身份和公钥的真实性。4.攻击者通过向目标服务器发送大量的TCPSYN请求包，但不完成三次握手，从而导致目标服务器资源耗尽。这种攻击被称为（）。A.SYNFlood攻击B.UDPFlood攻击C.ICMPFlood攻击D.LandAttack【答案】A【解析】SYNFlood是利用TCP协议缺陷，发送大量SYN包使服务器维护大量半连接队列，导致正常连接无法建立，属于典型的DDoS攻击方式。5.按照《中华人民共和国网络安全法》的规定，关键信息基础设施的运营者在采购网络产品和服务，应当按照规定与提供者签订（）。A.保密协议B.安全保密协议C.网络安全审查合同D.采购合同【答案】B【解析】《网络安全法》第三十七条规定，关键信息基础设施的运营者在采购网络产品和服务，应当按照规定与提供者签订安全保密协议。6.下列关于防火墙状态的检测技术描述中，错误的是（）。A.状态检测防火墙可以跟踪会话状态B.状态检测防火墙只检查数据包的头部信息C.状态检测防火墙比包过滤防火墙安全性更高D.状态检测防火墙可以动态打开和关闭端口【答案】B【解析】状态检测防火墙不仅检查包头信息，还维护会话状态表，跟踪通信连接的状态（如SYN,ACK,FIN等），因此B选项错误。7.在OSI七层模型中，负责数据加密和解密主要在（）实现。A.物理层B.网络层C.传输层D.表示层【解析】表示层负责数据的编码、格式化、加密和解密等操作，确保一个系统的应用层发送的数据能被另一个系统的应用层读取。8.某Web应用程序存在SQL注入漏洞，攻击者输入`'OR1=1--`作为用户名，其目的是为了（）。A.引发数据库报错，泄露表结构B.绕过认证逻辑，非法登录系统C.执行存储过程D.删除数据库表【答案】B【解析】`'OR1=1--`是经典的万能密码注入。该语句使得SQL查询的WHERE条件永远为真（如`SELECT*FROMusersWHEREusername=''OR1=1--'ANDpassword='...'`），注释符`--`注释掉后续密码判断，从而绕过认证直接登录。9.下列哪种协议默认使用明文传输，存在被窃听风险？（）A.SSHB.HTTPSC.FTPD.SFTP【答案】C【解析】FTP（文件传输协议）默认使用明文传输账号密码和数据；SSH、HTTPS、SFTP均通过加密通道传输。10.在非对称加密算法中，用于签名的是发送方的（）。A.公钥B.私钥C.会话密钥D.共享密钥【答案】B【解析】非对称加密中，私钥由发送方持有并严格保密，用于签名；公钥公开，用于验证签名。11.我国于2021年9月1日起正式施行的数据安全领域的基础性法律是（）。A.《中华人民共和国网络安全法》B.《中华人民共和国数据安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国密码法》【答案】B【解析】《数据安全法》于2021年9月1日实施；《个人信息保护法》于2021年11月1日实施。12.漏洞扫描器与入侵检测系统（IDS）的主要区别在于（）。A.漏洞扫描器是被动的，IDS是主动的B.漏洞扫描器主动探测系统弱点，IDS被动监听网络流量C.漏洞扫描器用于防病毒，IDS用于防黑客D.漏洞扫描器工作在应用层，IDS工作在网络层【答案】B【解析】漏洞扫描器通过主动发送探测包来发现系统或服务的已知漏洞；IDS通常通过旁路监听方式，被动分析网络流量特征来发现入侵行为。13.在风险评估中，风险值通常计算公式为（）。A.风险=资产价值+威胁+脆弱性B.风险=资产价值×威胁×脆弱性C.风险=(资产价值+威胁)×脆弱性D.风险=资产价值/(威胁×脆弱性)【答案】B【解析】在信息安全风险评估的经典模型中，风险由资产、威胁、脆弱性三个要素决定，通常关系函数为R=14.IPSec协议中，负责加密数据的协议是（）。A.AHB.ESPC.IKED.SA【答案】B【解析】ESP（EncapsulatingSecurityPayload）封装安全载荷协议提供机密性（加密）、数据源验证、抗重放等服务；AH（AuthenticationHeader）仅提供认证和完整性，不加密。15.在身份认证中，基于“你知道什么”（如口令）、“你拥有什么”（如令牌）、“你是什么”（如指纹）的分类，这被称为（）。A.3A认证B.双因素认证C.三因素认证D.强认证【答案】C【解析】这是经典的认证三要素分类：知识因子、所有因子、生物因子。使用其中任意两种称为双因素认证，三种称为三因素认证。16.下列关于XSS（跨站脚本攻击）的描述，错误的是（）。A.存储型XSS恶意脚本持久化存储在服务器数据库中B.反射型XSS恶意脚本通过URL参数传递，非持久化C.DOM型XSS基于DOM树修改，不经过服务器D.所有XSS攻击都可以通过安装WAF完全防御【答案】D【解析】WAF（Web应用防火墙）可以过滤大部分已知的XSS攻击模式，但无法防御所有XSS攻击，特别是复杂的编码绕过或特定业务逻辑下的漏洞，且DOM型XSS完全发生在客户端，传统WAF较难检测。17.RSA算法的安全性基于（）。A.离散对数难题B.大整数分解难题C.椭圆曲线离散对数难题D.背包问题【答案】B【解析】RSA算法基于数论中的大整数分解难题，即将两个大素数乘积分解极其困难。18.网络钓鱼攻击者常利用URL混淆手段，下列哪个URL最具有迷惑性且可能是钓鱼网站？（）A.http://www.example/loginB.http://www.examp1e/loginC.https://example/loginD.http://login.example【答案】B【解析】B选项中使用了数字“1”代替字母“l”，这是一种典型的同形异义字或视觉欺骗手段，极易误导用户。19.等级保护对象遭到破坏时，运营单位应当按照（）制定应急预案。A.《网络安全法》B.《数据安全法》C.网络安全等级保护相关标准D.公司内部喜好【答案】C【解析】根据网络安全等级保护制度要求，运营单位需依据相关标准（如GB/T22239等）制定应急预案并进行演练。20.在Linux系统中，用于查看当前系统网络连接状态的命令是（）。A.psB.netstatC.topD.ls【答案】B【解析】netstat命令用于显示网络状态、路由表、接口统计等；ps查看进程，top查看系统资源动态，ls查看文件。21.某文件的特征哈希值为MDA.保持不变B.只有一位发生变化C.发生剧烈变化（雪崩效应）D.变为原值加1【答案】C【解析】哈希函数具有雪崩效应，即使输入数据发生微小变化，输出的哈希值也会产生巨大的、不可预测的变化。22.下列属于逻辑隔离技术的是（）。A.VLANB.防火墙C.网闸D.物理断开【答案】A【解析】逻辑隔离指在逻辑上划分区域，物理连接仍存在。VLAN是典型的逻辑隔离；防火墙属于访问控制设备；网闸属于物理/逻辑强隔离设备；物理断开是物理隔离。23.2024年某政府网站发生数据泄露事件，经查为内部人员违规导出数据。这属于哪类安全威胁？（）A.外部黑客攻击B.恶意代码C.内部威胁D.自然灾害【答案】C【解析】由内部授权人员非授权操作或恶意行为造成的威胁属于内部威胁。24.HTTPS协议默认使用的端口号是（）。A.80B.443C.8080D.22【答案】B【解析】HTTP默认端口80，HTTPS默认端口443，SSH默认端口22。25.在密码学中，满足D(A.单向哈希函数B.对称加密算法C.公钥加密算法（加解密方向）D.消息认证码【答案】C【解析】公钥加密算法（如RSA）在用于加解密时，用公钥加密E，私钥解密D，满足可逆性。对称加密也满足，但选项特指公钥加密算法的数学特性描述，且在公钥语境下常强调加解密密钥分离但运算可逆。注：对称加密也满足此公式，但在单选题中，若选项同时存在对称和公钥，需结合语境。此处若考察可逆加密算法共性，C更侧重描述公钥体系的加解密运算关系（因为公钥本身还用于签名验证）。实际上，对称加密也符合。但在考题中，若考察公钥体系特性，常选C。若必须严谨，此题设计意图为公钥算法的可逆性。26.关于Web应用防火墙（WAF），下列说法正确的是（）。A.WAF可以替代传统的防火墙B.WAF主要工作在应用层，防御HTTP/HTTPS攻击C.WAF不能防御SQL注入D.WAF不需要更新规则库【答案】B【解析】WAF专注于Web流量（应用层），防御XSS、SQL注入等Web攻击；不能替代网络层防火墙；需要定期更新规则以应对新漏洞。27.下列哪项不属于个人信息保护法中的敏感个人信息？（）A.生物识别信息B.宗教信仰C.特定身份D.车牌号【答案】D【解析】根据《个人信息保护法》，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。普通车牌号通常被视为一般个人信息（除非关联特定敏感场景），相比之下D最不敏感。28.计算机病毒的特征不包括（）。A.传染性B.潜伏性C.突发性D.公开性【答案】D【解析】计算机病毒具有传染性、潜伏性、破坏性、隐蔽性等特征，但不具备公开性，其设计初衷通常是隐蔽的。29.在网络安全应急响应中，PDCERF模型不包括哪个阶段？（）A.准备B.检测C.恢复D.销毁【答案】D【解析】PDCERF模型包括：准备、检测、遏制、根除、恢复、跟踪总结。30.下列关于大数据安全的描述，错误的是（）。A.大数据安全不仅关注数据内容，还关注计算过程安全B.数据汇聚可能降低非敏感数据的敏感度C.大数据技术可能引入新的隐私泄露风险D.数据全生命周期都需要安全防护【答案】B【解析】数据汇聚通常会导致非敏感数据经过关联分析后变得敏感，即敏感度上升或产生新的隐私风险，而不是降低。二、多项选择题（共15题，每题2分）31.网络安全等级保护2.0标准将安全保护等级分为五级，其中第三级的安全要求包括（）。A.身份鉴别B.访问控制C.安全审计D.数据保密性【答案】ABCD【解析】等保2.0第三级要求涵盖了安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等多个方面，身份鉴别、访问控制、安全审计、数据保密性均为其核心控制点。32.下列属于常见的网络攻击手段有（）。A.中间人攻击B.SQL注入C.跨站脚本攻击（XSS）D.特洛伊木马【答案】ABCD【解析】这些都是经典的网络攻击手段。中间人攻击拦截通信；SQL注入和XSS针对Web应用；特洛伊木马伪装成合法软件。33.《中华人民共和国个人信息保护法》规定，处理个人信息应当遵循的原则包括（）。A.合法、正当、必要原则B.诚信原则C.最小必要原则D.公开透明原则【答案】ABC【解析】《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。最小必要原则是“必要”原则的具体体现，也是核心原则之一。公开透明通常体现在告知义务中，但核心原则条款主要强调A、C及诚信。34.防火墙可以部署在以下哪些位置？（）A.网络边界B.内部VLAN之间C.服务器前端D.终端主机内部【答案】ABC【解析】防火墙常用于网络边界（南北向流量），也可以部署在内部数据中心不同安全域之间（东西向流量），或作为服务器前端的虚拟防火墙。部署在终端主机内部通常称为主机防火墙或个人防火墙，也是防火墙的一种形态，但传统考试中若侧重网络架构，常选ABC。若包含主机防火墙概念，D也是对的。考虑到“全球顶级出题大师”的严谨性，主机防火墙也是防火墙。但通常“防火墙”指网络设备。在此选择最典型的网络位置：A、B、C。35.对称加密算法的优点包括（）。A.加密解密速度快B.密钥管理简单C.适合加密大量数据D.支持数字签名【答案】AC【解析】对称加密算法（如AES、DES）运算速度快，适合对大量数据进行加密。其缺点是密钥分发和管理困难（密钥管理复杂），且不支持数字签名（非对称加密用于签名）。36.导致信息泄露的主要途径有（）。A.黑客入侵数据库B.内部人员违规拷贝C.存储介质丢失D.网络传输被嗅探【答案】ABCD【解析】信息泄露途径多样，包括外部攻击、内部威胁、物理介质丢失、传输过程未加密被截获等。37.下列关于SSH协议的说法，正确的有（）。A.SSH是SecureShell的缩写B.SSH可以替代Telnet进行远程登录C.SSH默认使用22端口D.SSH传输的数据是明文【答案】ABC【解析】SSH（SecureShell）是加密的网络协议，用于远程登录和管理，替代明文传输的Telnet和rsh，默认端口22，数据是加密传输的，故D错误。38.网络安全审计系统的主要功能包括（）。A.识别并记录网络活动B.重现攻击过程C.追踪溯源D.自动阻断所有攻击【答案】ABC【解析】审计系统主要负责记录、分析、报警和溯源。自动阻断攻击通常是IPS（入侵防御系统）或防火墙的功能，审计系统侧重于“记录和事后分析”，虽然部分系统联动阻断，但核心功能不包括“自动阻断所有”。39.下列属于应用层协议的有（）。A.HTTPB.DNSC.SMTPD.ARP【答案】ABC【解析】HTTP、DNS、SMTP均为应用层协议；ARP（地址解析协议）工作在网络层（或数据链路层）。40.为了保障移动终端安全，应采取的措施包括（）。A.设置屏幕锁B.安装杀毒软件C.及时更新系统补丁D.随意连接公共Wi-Fi【答案】ABC【解析】设置锁屏、安装防护软件、更新补丁是基础安全措施。随意连接公共Wi-Fi存在中间人攻击风险，应避免。41.关于数字签名，下列说法正确的有（）。A.可以验证消息的完整性B.可以验证消息的来源C.具有不可抵赖性D.可以保证消息的机密性【答案】ABC【解析】数字签名利用私钥签名，公钥验证，提供完整性、身份认证和不可抵赖性。数字签名不提供机密性（不加密内容），若需机密性需配合加密技术。42.工业控制系统（ICS）安全关注的重点不同于传统IT网络，主要包括（）。A.系统的可用性B.实时性要求C.生命周期的长期性D.资产的保密性优先【答案】ABC【解析】工控系统首要保障可用性和实时性，设备更新周期长。传统IT优先保障保密性，而工控环境中保密性往往排在可用性之后。43.容器技术（如Docker）面临的安全风险包括（）。A.镜像漏洞B.容器逃逸C.未限制的特权模式D.网络横向移动【答案】ABCD【解析】容器安全风险贯穿全生命周期：基础镜像可能包含漏洞；运行时配置不当（如特权模式）可能导致容器逃逸；容器间网络隔离不当可能导致横向移动。44.下列属于恶意代码分析技术的是（）。A.静态分析B.动态分析C.代码审计D.哈希比对【答案】ABD【解析】恶意代码分析主要分为静态分析（不运行代码分析结构）、动态分析（沙箱运行观察行为）。哈希比对是识别手段。代码审计通常指对源代码的审计，属于静态分析范畴，但在恶意代码（通常无源码）语境下，主要指静态和动态分析。45.网络安全态势感知的主要内容包括（）。A.态势评估B.态势预测C.威胁预警D.漏洞扫描【答案】ABC【解析】态势感知包括：当前态势评估、未来态势预测、威胁预警与响应。漏洞扫描是获取数据的基础手段，不属于态势感知本身的处理层级内容。三、判断题（共15题，每题1分）46.在网络安全中，零信任架构的核心原则是“从不信任，始终验证”。（）【答案】正确【解析】零信任架构假定网络内部和外部一样充满危险，不基于网络位置授予信任，对所有访问请求进行持续验证。47.MD5算法被认为是安全的，适合用于数字签名。（）【答案】错误【解析】MD5存在碰撞漏洞，已被证明不再具有抗碰撞性，不适合用于数字签名或密码存储等高安全性场景。48.只有国家网信部门负责关键信息基础设施安全保护工作。（）【答案】错误【解析】《网络安全法》规定，国家网信部门统筹协调，公安部门、国务院电信主管部门等都在各自职责范围内负责安全保护工作。49.预防计算机病毒的最有效方法是定期查杀病毒。（）【答案】错误【解析】定期查杀是被动手段，最有效的方法是“预防为主”，包括安装防护软件、修补漏洞、不打开不明来源文件等主动防御措施。50.HTTPS协议通过SSL/TLS在HTTP之下提供安全保护，确保数据传输机密性。（）【答案】正确【解析】HTTPS=HTTP+SSL/TLS，提供加密、身份认证和完整性保护。51.只要使用了强密码，账号就是绝对安全的。（）【答案】错误【解析】强密码只是安全的一环，还存在服务器被拖库、中间人劫持会话、撞库、社会工程学等其他风险。52.所有的网络攻击行为都会导致服务中断。（）【答案】错误【解析】窃取数据、监听通信等攻击行为旨在获取信息，不一定导致服务中断（如APT攻击）。53.数据备份是应对勒索病毒攻击的最后防线。（）【答案】正确【解析】勒索病毒加密文件后，若无备份，往往只能支付赎金（且不一定能解密）。离线备份是恢复数据的最有效手段。54.IPsecVPN可以在两个网络之间建立安全的加密通道。（）【答案】正确【解析】IPsecVPN广泛用于站点到站点（Site-to-Site）的加密隧道建立。55.社会工程学攻击利用人性的弱点而非技术漏洞。（）【答案】正确【解析】社会工程学通过欺骗、诱导等手段操纵人员泄露敏感信息，攻击对象是人而非系统。56.只有操作系统需要打补丁，应用软件不需要。（）【答案】错误【解析】应用软件（如Web中间件、办公软件）的漏洞同样被黑客利用，必须及时更新。57.网络分段可以有效防止APT攻击的横向移动。（）【答案】正确【解析】通过网络分段（VLAN、微隔离）限制不同区域的通信，可以限制攻击者在入侵单一节点后在内部网络中的横向扩散。58.数字水印技术用于保护版权，不影响数据的正常使用。（）【答案】正确【解析】数字水印将标识信息嵌入数据中，通常不可见或难以察觉，用于版权追踪，不影响正常使用（鲁棒性）。59.在公钥密码体制中，公钥和私钥是可以相互推导出来的。（）【答案】错误【解析】公钥和私钥在数学上相关联，但无法由公钥高效推导出私钥（基于计算复杂度难题）。60.漏洞披露后，厂商通常会立即发布补丁，因此攻击者无法利用该漏洞。（）【答案】错误【解析】在补丁发布前和发布后的一段时间内（补丁更新周期），攻击者可以利用未打补丁的系统进行攻击（0day或Nday利用）。四、简答题（共4题，每题5分）61.请简述TCP/IP协议中TCP三次握手的过程，并说明SYNFlood攻击是如何利用这一过程的。【答案】TCP三次握手过程：1.客户端发送一个SYN包（SYN=1,Seq=x）给服务器，进入SYN_SENT状态。2.服务器收到SYN包，回复一个SYN+ACK包（SYN=1,ACK=1,Seq=y,Ack_num=x+1），进入SYN_RCVD状态。3.客户端收到SYN+ACK包，发送一个ACK包（ACK=1,Seq=x+1,Ack_num=y+1）给服务器，双方进入ESTABLISHED状态。SYNFlood攻击原理：攻击者伪造大量源IP地址，向服务器发送大量TCPSYN请求包。服务器收到后回复SYN+ACK包，并建立半连接（TCB），等待客户端的ACK。由于源IP是伪造的，服务器永远收不到ACK，导致服务器维护大量半连接队列，直至资源耗尽，无法响应正常用户的连接请求。62.请列举至少五种常见的Web应用漏洞，并分别给出简短的防范建议。【答案】1.SQL注入：建议：使用预编译语句或ORM框架；对输入进行严格过滤。2.跨站脚本攻击（XSS）：建议：对输出数据进行HTML实体编码；使用CSP（内容安全策略）。3.跨站请求伪造（CSRF）：建议：使用Anti-CSRFToken；验证Referer头；SameSiteCookie属性。4.文件上传漏洞：建议：限制上传文件类型和后缀名；重命名文件；上传目录不可执行。5.命令注入：建议：避免直接调用系统命令；使用特定函数库替代；严格过滤输入字符。6.敏感信息泄露：建议：禁止在错误信息中显示堆栈；禁止在生产环境开启调试模式。63.根据《中华人民共和国数据安全法》，什么是数据分类分级保护制度？建立该制度的目的是什么？【答案】定义：数据分类分级保护制度是指国家建立数据分类分级保护制度，按照数据对国家安全、公共利益或者个人、组织合法权益的重要性，以及遭到篡改、破坏、泄露或者非法获取、非法利用后的危害程度，对数据进行分类分级，并制定相应的保护策略。目的：1.突出重点：确保核心数据和重要数据得到优先和重点保护。2.精准施策：根据数据级别匹配不同的安全管控措施，优化资源配置。3.保障安全：防范数据泄露、篡改等风险，维护国家主权、安全和发展利益。64.简述非对称加密算法与对称加密算法的区别，并说明为什么在实际网络通信中通常结合使用两者。【答案】区别：1.密钥数量：对称加密使用一个密钥（加解密密钥相同）；非对称加密使用一对密钥（公钥和私钥）。2.运算速度：对称加密速度快，效率高；非对称加密计算复杂，速度慢。3.用途：对称加密用于加密大量数据；非对称加密用于加密小数据（如密钥）、数字签名和密钥交换。4.密钥分发：对称加密密钥分发困难；非对称加密公钥可公开分发。结合使用的原因（混合加密）：利用非对称加密的安全性来协商或传输对称密钥（解决密钥分发问题），然后利用对称加密的高效性来加密实际的通信数据（解决性能问题）。这样既保证了安全性，又保证了通信效率。五、A.计算分析题（共1题，10分）65.某公司内部网络规划中，使用了子网掩码来划分网段。已知服务器的IP地址为30，子网掩码为92。(1)请计算该服务器所在的子网网络地址是多少？(2)请计算该子网的可用主机IP地址范围是多少？(3)该子网的广播地址是多少？(4)如果该子网内另一台主机IP配置为29，它们之间能否直接通信？【答案】(1)计算子网网络地址：IP地址：30->二进制：11000000.10101000.00001010.10000010子网掩码：92->二进制：11111111.11111111.11111111.11000000进行“与”运算：网络部分：11000000.10101000.00001010.10000000转换为十进制：28故子网网络地址为：28(2)计算可用主机IP地址范围：子网掩码192对应二进制最后两位为0，即主机位有2位(−2网络地址是.128(二进制...10000000)最小主机IP：.129(二进制...10000001)最大主机IP：.130(二进制...10000010)[注：.131是广播地址]故可用主机范围是：29-30(3)计算广播地址：将主机位全部置1。...10000011->128+3=131故广播地址为：31(4)通信判断：另一台主机IP为29。根据(2)计算结果，.129是该子网内的有效主机IP。两者处于同一子网（28/26），且配置正确，可以直接通信。六、B.综合应用题（共2题，每题10分）66.案例分析：勒索病毒事件处置某市级医院的信息中心发现其核心HIS（医院信息系统）服务器在凌晨突然无法访问，系统管理员登录检查发现所有数据库文件（.sql,.mdf等）和关键文档均被加密，文件后缀被更改，且每个文件夹下出现了一个“_readme.txt”的勒索信，要求支付比特币以换取解密密钥。该医院立即启动了网络安全应急预案。请结合上述场景，回答以下问题：(1)根据攻击特征，判断这是什么类型的网络安全事件？(2)在应急响应的“遏制”阶段，管理员应采取哪些紧急措施？(3)在“根除”和“恢复”阶段，该医院应如何操作？(4)为防止此类事件再次发生，该医院应建立哪些长期的安全防护机制？【答案】(1)事件类型：这是一起典型的勒索软件攻击事件。特征包括：文件加密、后缀修改、出现勒索信、索要赎金。(2)遏制阶段措施：1.隔离受损系统：立即断开受感染服务器的网络连接（拔线或禁用网卡），防止病毒横向传播到其他服务器或终端。2.隔离相邻网段：若有证据表明已扩散，应对相关VLAN或网段进行隔离。3.关闭非必要服务：如文件共享、RDP等，阻断攻击利用通道。4.现场保护：保留现场日志、内存镜像、勒索信样本，供后续取证分析，但不要在感染状态下进行深度分析以免破坏证据或加剧感染。(3)根除与恢复阶段操作：1.根除：在离线环境中，使用杀毒软件或专用工具对系统进行全盘扫描，清除勒索病毒程序及其残留；修补被利用的漏洞。2.恢复：利用干净的离线备份（全量+增量）恢复数据和系统。确保备份数据未被加密（检查备份完整性）。恢复系统后，立即修改所有相关系统的管理员密码。逐步将恢复后的系统接入网络，并进行业务验证。(4)长期防护机制：1.数据备份：建立“3-2-1”备份策略（3份副本、2种介质、1份异地），并定期进行恢复演练，确保备份有效。2.边界防护：部署下一代防火墙、IPS，封堵高危端口（如445,3389）。3.终端安全：在所有服务器和终端安装EDR（端点检测与响应）或杀毒软件，开启实时防护。4.漏洞管理：建立补丁管理机制，及时修补操作系统和应用软件的高危漏洞。5.安全意识：对医护人员和IT人员进行安全培训，不打开不明邮件附件，不点击钓鱼链接。6.最小权限：限制系统