2026年专业技术人员网络安全素养试题库及答案

2026年专业技术人员网络安全素养试题库及答案一、单项选择题（本大题共20小题，每小题2分，共40分。每小题只有一个正确答案，请将正确选项前的字母填在题后括号内。）1.依据《中华人民共和国网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，采取技术措施，防范计算机病毒和网络攻击、网络侵入等危害网络安全行为。等级保护对象的安全保护等级分为（）。A.三级B.四级C.五级D.六级答案：C解析：网络安全等级保护分为五个等级，从第一级到第五级，安全保护能力逐级增强。2.在密码学中，RSA算法属于（）。A.对称加密算法B.非对称加密算法C.哈希算法D.流密码算法答案：B解析：RSA是典型的公钥密码体制，加密和解密使用不同的密钥，属于非对称加密。3.下列哪项属于典型的社交工程攻击手段？（）A.SQL注入B.零日漏洞利用C.冒充IT部门人员诱导员工泄露密码D.ARP欺骗答案：C解析：社交工程是利用人际交往的弱点进行攻击，冒充权威人员诱导泄露敏感信息是典型手段。SQL注入属于Web应用攻击，零日漏洞利用属于技术性攻击，ARP欺骗属于网络协议攻击。4.依据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第二级及以上系统应当每（）至少进行一次等级测评。A.半年B.一年C.两年D.三年答案：B解析：等保2.0标准明确规定，第二级及以上系统每年至少开展一次等级测评。5.在数据安全法中，对重要数据的定义是指（）。A.任何商业数据B.一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据C.个人隐私数据D.企业财务数据答案：B解析：数据安全法对重要数据的定义强调其对国家安全、公共利益的影响，而非一般商业或隐私数据。6.以下关于密码存储的说法中，最安全的是（）。A.使用MD5哈希后存储B.使用SHA-1哈希后存储C.使用加盐的bcrypt算法哈希后存储D.使用Base64编码后存储答案：C解析：MD5和SHA-1已被证明存在碰撞漏洞且运算速度快，不利于抗暴力破解。Base64是编码而非加密。bcrypt加盐可以抵抗彩虹表攻击，且计算速度慢，适合密码存储。7.某单位发生数据泄露事件，导致大量公民个人信息被非法获取。根据《个人信息保护法》，该事件属于（）级安全事件，应在（）小时内向主管部门报告。A.一般，24B.较大，12C.重大，24D.特别重大，48答案：A解析：根据《个人信息保护法》第五十七条，发生个人信息泄露的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知时限一般为24小时以内。8.在渗透测试中，用于识别目标主机开放端口和服务版本的技术称为（）。A.漏洞扫描B.端口扫描C.暴力破解D.流量分析答案：B解析：端口扫描是信息收集阶段的关键步骤，通过扫描发现目标主机开放的TCP/UDP端口及对应服务，为后续漏洞探测提供基础。9.以下关于零信任安全模型的描述中，错误的是（）。A.默认不信任网络内部的所有实体B.每次访问请求都需要经过身份验证和授权C.只有在网络边界外部才需要实施零信任策略D.需要持续验证和监控答案：C解析：零信任的核心是“永不信任，始终验证”，无论访问来自网络内部还是外部，都需要进行验证和授权，其策略不应仅局限于网络边界。10.根据《关键信息基础设施安全保护条例》，关键信息基础设施的运营者应当优先采购（）。A.价格最低的产品B.安全可信的网络产品和服务C.功能最全的产品D.外国品牌产品答案：B解析：条例第十四条要求运营者应当优先采购安全可信的网络产品和服务，并可能通过安全审查。11.在Web应用中，通过构造特殊参数使服务器执行非预期的系统命令的攻击方式称为（）。A.跨站脚本攻击（XSS）B.命令注入C.跨站请求伪造（CSRF）D.文件包含漏洞答案：B解析：命令注入是将恶意命令拼接到系统命令中，使服务器执行。XSS是客户端脚本注入，CSRF是伪造用户请求，文件包含是引入任意文件。12.下列关于防火墙的说法中，正确的是（）。A.防火墙可以完全阻止所有网络攻击B.防火墙可以检测并阻止所有应用层攻击C.防火墙是网络安全的第一道防线，但需要与其他安全措施配合使用D.防火墙可以替代入侵检测系统答案：C解析：防火墙主要在网络层和传输层进行访问控制，不能完全阻止所有攻击，也不能检测所有应用层攻击，无法替代IDS/IPS。13.根据我国《网络安全法》的规定，网络运营者收集、使用个人信息，应当遵循（）的原则。A.合法、正当、必要B.全面、准确、及时C.公开、共享、高效D.授权、留存、审计答案：A解析：《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。14.以下哪个CVE编号对应的漏洞是Log4j2的远程代码执行漏洞？（）A.CVE-2021-44228B.CVE-2017-0144C.CVE-2019-0708D.CVE-2020-1472答案：A解析：CVE-2021-44228即著名的Log4Shell漏洞，影响ApacheLog4j2组件。CVE-2017-0144是永恒之蓝，CVE-2019-0708是BlueKeep，CVE-2020-1472是Zerologon。15.在数据备份策略中，每周日进行一次全量备份，周一至周六每天进行增量备份。若周三上午系统崩溃，需要恢复数据时，正确的恢复顺序是（）。A.直接恢复周三的增量备份B.先恢复上周日的全量备份，再依次恢复周一、周二的增量备份C.先恢复上周日的全量备份，再恢复周三的增量备份D.先恢复周二的增量备份，再恢复周三的增量备份答案：B解析：增量备份依赖上一次备份。恢复时必须先恢复最近一次全量备份，再按时间顺序依次恢复后续所有增量备份，直至崩溃前的最后一次增量备份。16.下列哪种网络攻击方式利用了TCP三次握手的机制，发送大量半连接请求，导致目标服务器资源耗尽？（）A.SYNFlood攻击B.DNS放大攻击C.PingofDeathD.Smurf攻击答案：A解析：SYNFlood通过发送大量SYN包但不完成三次握手，使服务器维持大量半连接，耗尽资源。DNS放大和Smurf属于放大攻击，PingofDeath属于畸形报文攻击。17.依据《数据安全法》，国家建立数据分类分级保护制度，对数据实行分类分级保护。其中（）数据应当予以严格保护。A.企业财务数据B.关系国家安全、国民经济命脉、重要民生、重大公共利益的数据C.个人消费数据D.行业统计数据答案：B解析：数据安全法第二十一条明确，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于核心数据，实行严格保护。18.以下关于AI安全的说法中，不正确的是（）。A.对抗样本攻击可以使AI模型产生错误分类B.数据投毒攻击会影响AI模型的训练质量C.AI模型不存在隐私泄露风险D.需要关注AI系统的可解释性和公平性答案：C解析：AI模型在训练数据中可能包含个人信息，模型本身也可能通过成员推断攻击等方式泄露隐私，因此存在隐私泄露风险。19.在事件应急响应中，第一步应当（）。A.收集和分析证据B.隔离受感染的系统C.通知管理层和相关部门D.制定应急响应计划答案：D解析：应急响应的第一步是事先制定应急响应计划，明确角色分工和流程，才能有效应对事件。事件发生后，首要操作是隔离，但计划本身应先于事件存在。20.下列密码中，强度最高的是（）。A.`123456`B.`password`C.`P@ssw0rd2026`D.`Tr0ub4dor&3`答案：D解析：密码强度取决于长度、字符种类和不可预测性。`Tr0ub4dor&3`长度12位，包含大小写字母、数字和特殊字符，且非字典词。`P@ssw0rd2026`虽然包含多种字符，但包含常见词根，容易被字典攻击。二、多项选择题（本大题共10小题，每小题3分，共30分。每小题有两个或两个以上正确答案，多选、少选、错选均不得分。）1.以下属于常见的Web应用安全威胁的有（）。A.SQL注入B.跨站脚本攻击C.文件上传漏洞D.分布式拒绝服务攻击答案：ABCD解析：这四种均为OWASPTop10中列出的Web应用典型威胁，DDoS虽属网络层攻击，但在Web应用场景中同样常见。2.关于双因素认证（2FA），以下说法正确的有（）。A.双因素认证组合了两种不同类型的认证因素B.常见的认证因素包括知识因素、持有因素和生物特征因素C.双因素认证可以完全替代密码D.双因素认证能有效降低因密码泄露导致的风险答案：ABD解析：双因素认证不替代密码，而是在密码基础上增加第二层验证。C项错误，其他三项正确。3.以下属于《网络安全法》规定的网络运营者安全保护义务的有（）。A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施D.按照规定留存相关的网络日志不少于六个月答案：ABCD解析：《网络安全法》第二十一条规定了上述全部义务，包括制定安全制度、采取技术措施、监测记录并留存日志不少于六个月。4.关于勒索软件攻击，以下说法正确的有（）。A.勒索软件通常会加密受害者的文件B.支付赎金后一定能恢复文件C.定期备份是抵御勒索软件的有效措施D.勒索软件只通过电子邮件传播答案：AC解析：支付赎金并不保证文件一定恢复，B错误。勒索软件还可通过漏洞利用、弱口令、U盘等多种方式传播，D错误。定期备份可以无赎金恢复数据，A、C正确。5.在安全编码实践中，以下属于有效防御SQL注入的措施有（）。A.使用参数化查询B.对用户输入进行白名单校验C.使用存储过程D.拼接SQL语句并过滤单引号答案：ABC解析：参数化查询、白名单校验和使用存储过程都是推荐的安全编码方式。D项仅过滤单引号不够全面，攻击方式多样，不推荐手动过滤拼接。6.以下关于隐私保护的说法中，正确的有（）。A.隐私保护是数据安全的重要组成部分B.隐私保护仅涉及技术手段，不需要管理措施C.数据脱敏可以降低数据泄露的风险D.个人信息保护影响评估是高风险处理活动的必要环节答案：ACD解析：隐私保护需要技术手段和管理制度相结合，B错误。其他选项均正确。7.依据《关键信息基础设施安全保护条例》，关键信息基础设施的运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人B.对关键岗位人员进行安全背景审查C.定期组织应急演练D.每年至少进行一次网络安全检测和风险评估答案：ABCD解析：条例规定运营者应当设立专门机构、审查关键岗位人员、定期应急演练、每年至少进行一次检测评估，以上选项均正确。8.以下关于供应链安全的说法中，正确的有（）。A.供应链安全是网络安全的重要组成部分B.第三方组件的漏洞可能影响整个系统的安全C.供应链攻击只发生在软件层面D.应当建立供应商安全评估机制答案：ABD解析：供应链攻击可以发生在硬件（如植入恶意芯片）、固件、软件、服务等多个层面，C错误。其他选项正确。9.在网络安全事件应急响应中，常用的证据保全措施包括（）。A.对原始介质进行哈希校验B.使用写保护设备复制证据C.记录证据的保管链D.直接删除可疑文件以清理系统答案：ABC解析：应急响应中不得随意删除可疑文件，这可能导致证据破坏和事件恶化。ABC均为正确的证据保全措施。10.以下关于云安全责任共担模型的说法中，正确的有（）。A.云服务商负责云基础设施的安全B.客户负责自身应用和数据的安全C.责任共担模型适用于所有云服务模式D.使用IaaS时，客户无需配置虚拟机的安全组答案：ABC解析：在IaaS模式下，客户需要自行配置虚拟机、操作系统、安全组等，D错误。责任共担模型在所有云服务模式中均适用，只是责任边界不同。三、判断题（本大题共15小题，每小题1分，共15分。正确打“√”，错误打“×”。）1.使用HTTPS协议访问网站可以确保数据在传输过程中完全不会被窃取。（×）解析：HTTPS提供传输加密，但无法防止终端设备被植入恶意软件、DNS劫持等风险，且如果证书被伪造或客户端不验证证书，仍可能被中间人攻击。2.强密码策略要求密码长度至少8位，并包含大小写字母、数字和特殊字符。（√）解析：这是常见的强密码基本要求。3.数据备份只需要备份数据文件，不需要备份系统配置和应用程序。（×）解析：完整恢复需要系统配置、应用程序和数据三者的备份，缺一不可。4.在应急响应中，第一时间拔掉被感染主机的网线是完全正确的处置方法。（√）解析：物理隔离是快速遏制勒索软件等恶意扩散的有效手段，虽然可能影响取证，但在多数情况下是合理的紧急处置。5.软件定义边界（SDP）是零信任架构的一种实现技术。（√）解析：SDP通过隐藏网络资源、按需建立连接来落实零信任理念。6.所有个人信息都属于重要数据。（×）解析：个人信息和重要数据是不同概念。只有特定类型、特定规模或特定场景下的个人信息才可能被认定为核心数据或重要数据。7.SHA-256算法输出的哈希值长度为256位，即32字节。（√）解析：SHA-256输出256位（32字节）的哈希值。8.根据《密码法》，我国对密码实行分类管理，分为核心密码、普通密码和商用密码。（√）解析：《密码法》明确将密码分为核心密码、普通密码和商用密码三类。9.在渗透测试中，经过授权后，测试人员可以不受限制地对目标进行任何操作。（×）解析：即使获得授权，渗透测试也有明确的范围和时间限制，不得进行超出约定范围的测试行为。10.网络安全等级保护的定级对象主要包括信息系统、通信网络设施和数据资源。（√）解析：等保2.0将定级对象扩展至基础信息网络、云计算平台、大数据平台、物联网、工业控制系统等。11.使用公共Wi-Fi时，只要不输入密码，就不会有安全风险。（×）解析：公共Wi-Fi可能被攻击者控制，未加密的流量可被窃听，即使不输入密码，也可能遭受中间人攻击。12.漏洞管理是等保2.0中安全管理中心层面的安全计算环境要求之一。（×）解析：漏洞管理在等保2.0中属于安全管理制度层面，而非安全计算环境层面。13.在我国，关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家安全审查。（√）解析：关键信息基础设施安全保护条例规定，运营者采购可能影响国家安全的产品和服务，应依法通过国家安全审查。14.量子计算的发展将使现有RSA等公钥密码算法面临重大安全威胁。（√）解析：Shor算法可在量子计算机上高效分解大整数，威胁RSA等基于大整数分解难题的密码体制。15.数据分类分级的目的是为了限制数据的共享和开放。（×）解析：分类分级的目的是在保护安全的前提下促进数据依法合理有效利用，而非限制共享。四、填空题（本大题共10空，每空2分，共20分。）1.根据《网络安全法》第二十一条，网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于______个月。答案：六2.OWASPTop10中，2021年排在第一位的Web应用安全风险是______。答案：访问控制失效（或“失效的访问控制”“BrokenAccessControl”）3.在密码学中，哈希算法应满足的三个基本性质是：抗原像性、抗第二原像性和______。答案：抗碰撞性4.我国《数据安全法》于______年______月______日起施行。答案：2021年9月1日5.NIST网络安全框架（CSF）的五个核心功能是：识别、保护、检测、______和恢复。答案：响应6.在等保2.0中，安全通信网络主要涉及三个层面：网络架构、通信传输和______。答案：可信验证7.常见的端口扫描工具Nmap中，使用TCPSYN扫描方式时，半开扫描使用的参数是______。答案：-sS8.零信任的核心原则是“永不信任，______”。答案：始终验证9.在数字签名中，签名者使用自己的______对消息摘要进行加密，验证者使用签名者的______进行解密验证。答案：私钥；公钥10.根据《个人信息保护法》，处理个人信息应当遵循______、______、必要原则，不得过度收集个人信息。答案：合法；正当五、简答题（本大题共5小题，每小题6分，共30分。）1.简述什么是中间人攻击（MITM），并举出两种常见的中间人攻击场景及相应的防御措施。答案要点：中间人攻击是指攻击者位于通信双方之间，能够拦截、窃听甚至篡改双方通信内容，而双方却误以为在直接通信的攻击方式。常见场景及防御：（1）公共Wi-Fi环境下，攻击者通过伪造同名热点诱导用户连接，进而截获用户通信数据。防御措施：使用VPN加密通信流量，或避免在公共网络中进行敏感操作，并确保访问网站使用HTTPS。（2）ARP欺骗攻击，攻击者在局域网内发送伪造的ARP响应，将网关MAC地址指向自身，从而截获局域网内所有流量。防御措施：配置静态ARP表，部署支持ARP防欺骗的交换机，或使用DHCPSnooping等安全特性。（3）SSL/TLS剥离攻击，攻击者在HTTPS握手前将HTTPS连接降级为HTTP，从而读取明文流量。防御措施：网站启用HSTS（HTTP严格传输安全），浏览器强制使用HTTPS。2.请简述等级保护2.0中“一个中心、三重防护”的含义。答案要点：“一个中心”指安全管理中心，即在安全管理平台层面，集中对安全设备、网络设备、服务器、应用系统等进行集中监控、审计和管理，实现安全策略的统一管理。“三重防护”指：（1）安全通信网络：保障网络传输的机密性、完整性和可用性，包括网络架构安全、通信传输加密、可信验证等。（2）安全区域边界：对网络边界进行访问控制、入侵防范、恶意代码防范和安全审计。（3）安全计算环境：对服务器、终端、应用等计算设备进行身份鉴别、访问控制、安全审计、入侵防范、数据完整性和保密性保护。三重防护层层递进，覆盖从网络边界到计算环境的纵深防御体系，安全管理中心贯穿其中，实现集中管控。3.什么是数据脱敏？简述数据脱敏的主要方法及其应用场景。答案要点：数据脱敏是指在不改变数据基本格式的前提下，对敏感数据（如姓名、身份证号、手机号等）进行变形、遮蔽或替换，使其不再具有直接识别个人身份或泄露敏感信息的能力，同时保留数据的部分特征供开发测试使用。主要方法：（1）替换法：使用虚构数据替换真实数据，如用随机姓名替换真实姓名。（2）遮蔽法：对部分字符进行遮蔽，如身份证号显示前6位和后4位，中间用“*”代替。（3）加密法：对数据使用强加密算法加密后进行存储或展示，需要时可解密还原（适用于授权访问场景）。（4）泛化法：将精确值模糊为范围值，如将年龄35岁替换为30-40岁区间。应用场景：开发测试环境数据准备、外包数据分析、系统演示、统计报表展示等场景，确保在不影响使用的前提下降低数据泄露风险。4.请简述网络安全应急响应的基本流程（至少五个阶段），并说明每个阶段的核心任务。答案要点：（1）准备阶段：制定应急响应预案，明确组织架构和人员职责，准备应急工具包和备用设备，开展应急演练，确保相关人员熟悉流程。（2）检测与分析阶段：通过安全监控系统、日志审计和用户报告等手段发现安全事件，对事件进行初步研判，确定事件类型、影响范围和严重程度。（3）遏制阶段：采取紧急措施阻止事件进一步扩散，如隔离受感染主机、切断网络连接、暂停相关服务、修改账号口令等。（4）根除阶段：清除恶意程序和后门，修补漏洞，加强安全配置，消除事件产生的根源，防止同类事件再次发生。（5）恢复阶段：将系统恢复到正常运行状态，从备份中恢复数据，对系统进行验证测试，确保业务功能正常。（6）总结阶段：对事件进行复盘分析，编写事件总结报告，评估损失，更新应急预案，改进安全防护措施。5.请简述个人信息保护影响评估（PIA）的概念及适用场景。答案要点：个人信息保护影响评估是指对个人信息处理活动可能对个人权益产生的影响进行事前评估的程序化过程。其目的是识别处理活动中存在的隐私风险，并采取相应措施降低风险。依据《个人信息保护法》第五十五条，有下列情形之一的，应当事前进行个人信息保护影响评估：（1）处理敏感个人信息；（2）利用个人信息进行自动化决策；（3）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（4）向境外提供个人信息；（5）其他对个人权益有重大影响的个人信息处理活动。评估内容主要包括：个人信息的处理目的、处理方式是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。六、案例分析题（本大题共3小题，第1小题5分，第2小题5分，第3小题5分，共15分。）【案例背景】某市政府部门的信息系统（等级保护三级）遭到网络攻击。监测数据显示，攻击者在凌晨2:00至3:00期间，通过暴力破解方式攻破了系统管理员账号密码，随后在内网横向移动，访问了多台服务器，并尝试对数据库进行数据导出。该数据库存储了市民的身份证号码、联系电话、家庭住址等个人信息。事发后，系统管理员立即切断了受感染服务器的网络连接，并向主管部门报告。问题1：根据上述事件，请分析攻击者入侵过程中主要利用了哪些安全薄弱环节？（至少指出三点，并说明理由。）答案要点：（1）口令安全薄弱：系统管理员账号使用了弱密码，未能有效抵御暴力破解攻击。等级保护三级要求应对登录的