2026年网络与信息安全管理员(三级)考试题库及答案

2026年网络与信息安全管理员(三级)考试题库及答案一、单项选择题（共40题，每题1分，每题仅有1个正确选项，错选、多选、漏选均不得分）1.根据2024年正式施行的《网络安全等级保护条例》及等保2.0三级管控细则，第三级网络保护对象的定期等级测评周期最长不得超过以下哪个时长？A.3个月B.6个月C.12个月D.24个月【答案】B【考点解析】2024年修订发布的《网络安全等级保护条例》明确将三级保护对象的测评周期从原有的每年一次收紧至每半年至少开展一次，针对涉及国计民生、能源交通、政务服务等核心领域的三级等保对象，还要求在重大活动保障期间追加专项测评，确保风险隐患清零。2.针对部署在自有服务器的生成式人工智能政务服务应用（所属单位为三级等保主体），以下哪项不属于《生成式人工智能服务安全基本要求》中明确要求管理员必须配置的管控策略？A.生成内容全流程留痕、日志留存不少于6个月B.训练数据来源合规性校验机制C.针对生成内容的涉政、涉敏关键词拦截规则D.模型核心参数每日自动对外公开披露【答案】D【考点解析】生成式人工智能的训练模型核心参数属于单位核心敏感资产，严禁随意对外披露，其余三项均属于合规管控的强制要求，同时还需配置生成内容人工复核机制，避免违规内容面向公众输出。3.根据《网络数据安全管理条例》要求，三级等保主体处理重要数据的过程中，数据全生命周期操作日志的最低留存时长不得低于以下哪个标准？A.6个月B.1年C.3年D.5年【答案】C【考点解析】2024年正式落地的《网络数据安全管理条例》明确规定，重要数据和核心数据的处理日志留存时长不得少于3年，满足事件溯源、合规审计、监管核查的多维度需求，普通个人信息操作日志留存时长不得少于6个月。4.针对CVSS漏洞评分体系下评分≥9.0分的Critical级高危漏洞，网络与信息安全管理员（三级）原则上需要在多长时间内完成漏洞修复或临时防护配置？A.24小时B.7个工作日C.15个工作日D.30个工作日【答案】A【考点解析】CVSS评分9分及以上的漏洞属于可被远程利用、无需身份验证即可获取服务器最高权限的超危漏洞，例如2024年曝光的Log4j3系列漏洞，这类漏洞要求三级管理员第一时间启动应急流程，24小时内完成补丁安装或者临时防护策略配置，杜绝攻击入侵风险。5.三级等保单位部署堡垒机实现运维操作管控，以下哪项不属于堡垒机必须覆盖的管控范围？A.网络设备运维操作B.服务器远程登录操作C.普通用户网页浏览操作D.数据库访问操作【答案】C【考点解析】堡垒机的核心管控对象是所有具备高权限的运维操作入口，普通用户网页浏览行为由上网行为审计平台负责管控，不属于堡垒机的覆盖范畴，三级等保要求所有运维操作必须全程录屏留痕，操作结束后实现双人复核机制。6.按照《关键信息基础设施安全保护条例》要求，三级等保主体同时属于关键信息基础设施运营者的，应当至少每多久开展一次全流程的应急演练？A.半年B.1年C.2年D.3年【答案】A【考点解析】关键信息基础设施运营者作为三级等保的高阶主体，要求每半年至少开展一次覆盖网络攻击、数据泄露、勒索病毒入侵等场景的实战化应急演练，每年将演练报告报送至属地网信部门和公安网安部门备案。7.以下哪项攻击行为属于DNS隧道攻击的典型特征，三级管理员在日常流量监测中可快速识别处置？A.大量域名解析请求数据包长度超过500字节B.用户访问HTTP网站自动跳转至HTTPS地址C.内网终端向公网DNS服务器发送每秒少于1次的解析请求D.域名响应数据包的TTL值设置为300秒【答案】A【考点解析】DNS隧道攻击是恶意流量将数据封装在DNS协议内实现对外传输，这类攻击的DNS请求数据包普遍携带加密的违规数据，长度远大于常规DNS请求（常规请求数据包长度不超过100字节），管理员监测到该类特征流量后第一时间阻断攻击源IP，排查失陷主机。8.针对敏感个人信息的处理，以下哪项操作不符合《个人信息保护法》的合规要求？A.处理生物识别、医疗健康等敏感个人信息取得单独的用户同意B.将收集到的10万条用户健康数据批量公开用于行业数据分析C.建立敏感个人信息访问权限审批机制，最小化分配访问权限D.定期对敏感个人信息的存储安全性开展风险评估【答案】B【考点解析】批量公开敏感个人信息属于严重违规行为，一旦发生将面临最高5000万元或者年营业额5%的行政处罚，三级管理员需要定期排查全单位的敏感数据流向，避免出现违规对外流转的情况。9.以下哪项不属于零信任架构落地过程中，三级管理员需要配合配置的核心管控规则？A.所有访问请求无论来源是内网还是外网都需要完成身份校验B.默认拒绝所有未被明确授权的访问请求C.为内网所有用户开放核心数据库的完全访问权限D.持续对访问主体的身份安全状态进行动态评估【答案】C【考点解析】零信任的核心原则是“永不信任、始终验证、最小授权”，为所有用户开放核心数据库完全权限完全违背最小授权原则，会带来极大的数据泄露风险。10.等保2.0安全管理中心的三大核心组成模块不包含以下哪项？A.安全审计系统B.集中管控系统C.资产管理系统D.防病毒单机版程序【答案】D【考点解析】安全管理中心实现对全网所有安全设备、网络设备、服务器的统一管控，单机版防病毒程序属于终端侧的单点防护工具，不属于安全管理中心的组成范畴，三级等保要求必须部署集中式EDR终端防护平台替代零散的单机防病毒软件。11.某三级等保单位收到属地公安部门下发的重大活动保障要求，以下哪项操作不符合保障期间的安全管控规范？A.7*24小时安排专人值守安全运营中心平台B.临时暂停所有非必要的系统变更操作C.直接断开核心业务系统的公网连接，拒绝所有外部访问D.每日按时向监管部门报送网络安全状况零报告【答案】C【考点解析】重大活动保障期间需在保障安全的前提下维持核心业务系统的正常运行，直接断网属于影响民生服务的违规操作，正确做法是升级WAF、EDR等安全设备的防护规则阈值，加大攻击拦截力度，保障业务连续性。12.以下哪项特征可以直接判定某封邮件属于恶意钓鱼邮件，管理员可以第一时间配置规则拦截？A.发件人域名与单位官方域名高度相似仅相差1个字符，附件包含后缀为.exe的可执行文件B.发件人为单位内部行政人员，附件是人事考核通知PDF文档C.发件人为合作单位官方邮箱，附件是加盖公章的合作协议扫描件D.发件人为税务部门官方邮箱，附件是涉税通知文档【答案】A【考点解析】仿冒官方域名+携带可执行文件附件是钓鱼邮件的典型特征，这类附件一旦被点击运行就会触发勒索病毒植入或者远控木马安装，三级管理员需要定期更新钓鱼邮件特征库，开展全员安全意识培训，避免用户点击恶意附件。13.三级等保单位开展商用密码应用与安全性评估，以下哪项不属于核心业务系统必须使用密码技术实现的防护能力？A.数据传输过程采用SM2/SM3/SM4国密算法加密B.用户身份采用基于国密证书的多因素身份认证C.核心数据存储过程明文裸存不做任何加密处理D.操作日志采用哈希摘要技术校验防止被恶意篡改【答案】C【考点解析】核心业务系统的重要数据存储环节必须通过国密算法加密，明文裸存属于等保和密评的双重高危不符合项，直接影响测评结果合格性。14.排查终端弱口令的过程中，以下哪项口令复杂度符合三级等保的账号口令配置要求？A.123456B.adminC.Qwe@123456D.与用户名完全一致【答案】C【考点解析】三级等保要求所有高权限账号口令长度不得少于8位，同时包含大写字母、小写字母、数字、特殊字符四类元素中的三类以上，每90天至少更换一次口令，禁止使用连续数字、用户名、常见字符组合作为口令。15.以下哪项是内网终端感染挖矿木马的典型特征，管理员可以快速识别排查？A.CPU长期占用率维持在95%以上，后台运行无知名数字签名的陌生进程B.系统运行过程中弹出正版Windows激活提示C.办公软件打开正常的Word文档无乱码现象D.终端网络访问流量稳定在10Mbps以下【答案】A【考点解析】挖矿木马会占用终端绝大部分算力开展虚拟货币计算，直接表现为CPU、GPU资源长期满载，且对应的进程没有正规厂商的数字签名，三级管理员发现该类告警后第一时间终止进程，溯源木马植入渠道完成彻底查杀。16.Web应用防火墙（WAF）的核心防护能力不包含以下哪项？A.SQL注入攻击拦截B.XSS跨站脚本攻击拦截C.线下办公设备的物理砸毁防护D.异常CC攻击拦截【答案】C【考点解析】WAF是部署在Web业务前端的流量安全防护设备，针对Web层的常见攻击进行拦截，不具备物理设备的防砸毁功能，物理资产防护属于机房物理安全管控范畴。17.按照机房安全管控要求，三级等保机房的温度应当稳定维持在以下哪个区间内，保障服务器正常运行？A.10摄氏度以下B.18-24摄氏度C.30-35摄氏度D.35摄氏度以上【答案】B【考点解析】机房温度过高会导致服务器硬件过热宕机，温度过低会导致设备运行异常，标准三级机房的温度管控区间为18-24摄氏度，湿度管控区间为40%-60%，同时部署温湿度传感器实时告警。18.以下哪项操作会直接导致核心业务系统面临公网入侵的高风险？A.将远程桌面3389端口直接在公网映射开放，且未配置访问控制策略B.通过堡垒机跳转完成服务器运维操作C.运维人员通过专属VPN通道接入内网开展运维D.针对运维账号配置登录失败5次即锁定1小时的防护策略【答案】A【考点解析】将3389、22等高风险运维端口直接暴露在公网，会直接被全球网络空间的端口扫描资产探测工具识别，短时间内就会遭受百万级以上的暴力破解攻击，极易被攻击者拿到服务器最高权限，所有高风险端口禁止直接对公网开放。19.网络安全事件发生后，三级管理员按照《网络安全事件报告管理办法》要求，向属地监管部门上报一般网络安全事件的最长时限不得超过？A.1小时B.24小时C.72小时D.7天【答案】A【考点解析】三级等保主体发生涉及数据泄露、系统宕机的一般安全事件后，需要在1小时内向属地网信和公安网安部门上报事件信息，不得迟报、瞒报、漏报。20.以下哪项数据属于《网络数据安全管理条例》定义的核心数据范畴？A.单位内部员工日常考勤打卡数据B.影响关键信息基础设施稳定运行的调度指令数据C.普通用户的公开社交平台动态数据D.企业对外公开的招聘公告信息【答案】B【考点解析】核心数据是指一旦泄露、篡改、损毁会直接影响国家安全、国计民生的超敏感数据，能源、交通、政务领域的核心调度数据均属于核心数据范畴，需要按照最高等级的管控策略实施防护。二、多项选择题（共20题，每题2分，每题有2-4个正确选项，多选、少选、错选均不得分）1.网络与信息安全管理员（三级）在重大网络安全保障期间，必须落实的值守工作内容包含以下哪些项？A.7*24小时在岗实时监测全网安全态势平台告警B.接到高危安全告警后15分钟内完成初步核查研判，定位风险点C.每日按照监管要求向属地网信、公安网安部门报送网络安全“零报告”D.未经上级和业务部门双重审批，擅自对核心生产业务系统开展攻击性渗透测试【答案】ABC【考点解析】重大保障期间严禁无审批开展任何影响业务稳定性的测试操作，所有测试动作必须提前提交申请，确认操作风险和回滚方案之后方可在非业务窗口开展。2.以下哪些操作符合三级等保对象终端安全基线的配置要求？A.关闭终端不必要的远程桌面、文件共享服务端口，减少攻击面B.为终端操作系统配置定期自动更新补丁的策略，高危补丁72小时内完成安装C.禁用普通终端用户的操作系统最高管理员权限，避免用户随意安装未知软件D.终端不配置任何开机密码，任何人可以随意物理访问登录【答案】ABC【考点解析】终端无密码访问会导致物理触碰终端的人员可以直接获取所有本地存储的敏感数据，严重违反终端基线管控要求，属于典型的高风险配置。3.勒索病毒攻击入侵内网之后，三级管理员第一时间需要开展的应急处置动作包含以下哪些项？A.第一时间断开失陷主机的物理网络连接，避免加密行为横向扩散到其他核心服务器B.保留攻击现场的所有日志和病毒样本，严禁直接格式化硬盘删除所有现场证据C.排查内网其他终端、服务器是否存在相同攻击特征的失陷行为，彻底清理所有失陷节点D.直接将所有未备份的加密数据通过付费向黑客索要解密密钥，快速恢复业务【答案】ABC【考点解析】遭受勒索病毒攻击后严禁直接向黑客支付赎金，一方面会造成资产损失，另一方面会助长网络黑产攻击气焰，同时支付赎金后也无法保证100%获取可用的解密密钥，正确做法是使用提前离线冷备份的干净数据恢复业务系统。4.以下哪些属于三级等保单位必须部署的安全审计类管控措施？A.全网所有网络设备、安全设备、服务器的运行日志统一汇总到专属日志审计平台存储B.配置日志异常告警规则，针对管理员删除日志、短时间内大量失败登录等行为实时告警C.禁止未授权的人员访问、修改审计日志数据D.日志存储10天之后直接自动永久删除，不做长期留存【答案】ABC【考点解析】三级等保要求日志审计数据至少留存6个月，重要数据操作日志留存不少于3年，满足事件溯源的要求，不能仅存储10天就删除。5.针对数据出境的合规管控，三级等保主体处理重要数据需要向境外提供的，必须落实以下哪些要求？A.提前完成数据安全评估，向属地网信部门提交出境安全评估申请B.与境外接收方签署严格的数据安全保护协议，明确双方安全责任C.对数据出境之后的全生命周期流转过程进行持续安全监测D.无需任何审批流程，直接把重要数据通过邮件传输到境外服务器【答案】ABC【考点解析】重要数据出境必须通过国家网信部门组织的数据出境安全评估，未经评估通过的严禁任何形式的重要数据跨境传输。三、判断题（共20题，每题1分，正确选√，错误选×）1.三级等保单位的管理员为了运维方便，可以把核心业务系统的管理员账号共享给第三方运维厂商的所有人员使用，不需要进行任何操作审计。（×）【考点解析】第三方人员运维必须单独分配最小权限的临时账号，禁止共享最高权限账号，所有操作全程留痕，运维结束之后立即注销临时账号。2.部署在互联网出入口的下一代防火墙可以完全阻断所有来自内网的横向渗透攻击，不需要配置其他额外防护措施。（×）【考点解析】防火墙主要防护南北向的公网到内网流量，针对已经突破边界进入内网的东西向横向移动攻击几乎没有防护能力，需要配合EDR、零信任内网分段等技术实现纵深防护。3.等保三级测评完成之后出具的整改承诺书可以替代实际整改动作，不需要真的整改测评发现的高风险漏洞。（×）【考点解析】等保2.0要求所有测评发现的高危漏洞必须全部闭环整改，监管部门会开展后续“回头看”抽查，发现未整改的主体会面临最高100万元的行政处罚。4.三级管理员日常开展漏洞扫描工作之前，必须提前告知业务部门，确认扫描时间窗口避开业务高峰，避免扫描流量引发业务系统卡顿甚至宕机。（√）【考点解析】漏洞扫描产生的大量数据包会对性能较弱的业务系统造成冲击，必须提前做好预案，在非业务高峰期开展扫描工作。5.涉及国家秘密的三级网络可以直接连接公共互联网，不需要做任何物理隔离管控。（×）【考点解析】涉密信息系统必须严格执行物理隔离，严禁直接或者间接接入公共互联网，违反该要求会造成严重的国家秘密泄露风险。四、案例实操题（共2题，每题20分）1.某地级市人社服务中心核心社保业务系统属于三级等保对象，2026年4月17日值班的三级管理员收到EDR平台连续告警，发现社保大厅的3台自助服务终端触发疑似勒索病毒行为，部分本地存储的群众社保报销材料文档已经出现后缀名统一变更、无法打开的加密现象，且告警显示该失陷终端已经尝试向社保核心数据库服务器发起远程访问请求。请结合三级网络与信息安全管理员的岗位职责，简述完整的应急处置全流程要点以及后续闭环整改要求。【参考答案要点】第一阶段是紧急控险，第一时间到现场物理断开3台失陷终端的网线，彻底阻断病毒的内网横向传播路径，核对安全设备告警日志，确认核心数据库服务器尚未被入侵，立即将数据库服务器的访问控制策略调整为默认拒绝所有非白名单IP访问，避免失陷终端触碰到核心数据资产。第二阶段是初步研判，提取失陷终端的病毒样本、系统进程日志、上网行为日志，核查该批终端近期接收的邮件、插入的U盘记录，确认本次攻击源头是工作人员点击了伪装成社保通知的钓鱼邮件附件导致病毒植入，同时完成全网终端的全量扫描，确认没有其他失陷节点。第三阶段是合规上报，按照监管要求在1小时内向上级人社管理部门、属地网信部门和公安网安部门上报本次安全事件，如实提交事件发生时间、影响范围、初步原因排查结果，全程保留攻击相关的所有证据，不得擅自删除系统日志。第四阶段是业务恢复，使用此前离线存储的终端系统干净镜像重新安装部署3台自助服务终端，安装所有最新安全补丁，升级EDR的勒索病毒防护规则，完成终端安全基线核查，确认无风险之后再重新接入业务网络，快速恢复群众社保自助服务。第五阶段是复盘整改，针对本次事件暴露的