2026年网络安全工程师考试题库及参考答案解析

2026年网络安全工程师考试题库及参考答案解析一、单项选择题（每题1分，共20题，共20分）1.在OSI参考模型中，负责在两个通信实体之间建立、管理和终止会话的是哪一层？A.物理层B.数据链路层C.网络层D.传输层E.会话层参考答案：E答案解析：OSI参考模型共七层，从下至上依次为物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。其中会话层负责建立、管理和终止应用程序之间的会话。2.以下哪种加密算法属于非对称加密算法？A.AESB.DESC.RSAD.RC4参考答案：C答案解析：RSA是一种基于大素数分解困难性的非对称加密算法，使用公钥和私钥。AES、DES、RC4均属于对称加密算法。3.在信息安全中，CIA三元组不包括以下哪一项？A.机密性B.完整性C.可用性D.可审计性参考答案：D答案解析：CIA三元组是信息安全的核心原则，包括机密性、完整性和可用性。可审计性是安全治理和合规性的要求，不属于CIA三元组。4.下列哪种攻击属于被动攻击？A.拒绝服务攻击B.中间人攻击C.网络嗅探D.缓冲区溢出攻击参考答案：C答案解析：被动攻击是指攻击者在不干扰系统正常运行的情况下，截获、窃取信息，如网络嗅探。其他选项均为主动攻击，会直接对系统造成影响或破坏。5.用于检测网络入侵，并能够对攻击行为做出实时响应的系统是？A.防火墙B.入侵检测系统C.入侵防御系统D.漏洞扫描系统参考答案：C答案解析：入侵防御系统不仅能够检测入侵行为，还能实时阻断攻击。入侵检测系统主要侧重于检测和报警，防火墙主要进行访问控制，漏洞扫描系统用于发现系统弱点。6.在PKI体系中，负责签发和吊销数字证书的实体是？A.注册机构B.证书持有者C.证书验证者D.证书颁发机构参考答案：D答案解析：证书颁发机构是PKI体系的核心，负责签发、管理和吊销数字证书。注册机构负责审核用户身份并向CA提交证书申请。7.以下哪项不是《中华人民共和国网络安全法》规定的关键信息基础设施运营者的安全保护义务？A.设置专门安全管理机构和负责人B.定期进行网络安全应急演练C.对重要系统和数据库进行容灾备份D.所有数据必须存储在境内参考答案：D答案解析：《网络安全法》规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。选项D表述过于绝对。8.在风险评估中，风险值通常由哪两个因素决定？A.资产价值与安全措施B.威胁与脆弱性C.可能性与影响程度D.攻击者与攻击路径参考答案：C答案解析：风险评估中，风险是特定威胁利用资产脆弱性造成负面影响的可能性及其影响程度的组合。因此，风险值通常由风险事件发生的可能性（概率）和该事件一旦发生所造成的影响程度（损失）决定。9.SQL注入攻击主要利用了以下哪种漏洞？A.操作系统漏洞B.Web应用程序对用户输入验证不严C.网络协议漏洞D.数据库软件本身的漏洞参考答案：B答案解析：SQL注入攻击是通过将恶意的SQL代码插入到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令。其根本原因是应用程序未对用户输入进行充分的验证和过滤。10.下列哪种协议默认使用TCP端口443？A.HTTPB.FTPC.SSHD.HTTPS参考答案：D答案解析：HTTPS是HTTP的安全版本，通过SSL/TLS协议进行加密，默认使用TCP443端口。HTTP默认使用80端口，FTP控制端口是21，SSH默认使用22端口。11.在Windows系统中，用于存储用户密码哈希值的文件是？A.SAM文件B.SYSTEM文件C.BOOT.INI文件D.HOSTS文件参考答案：A答案解析：在Windows系统中，本地用户账户的密码哈希值存储在%SystemRoot%\system32\config\SAM文件中。该文件在系统运行时被锁定。12.以下哪项技术主要用于防止IP地址欺骗攻击？A.网络地址转换B.入站/出站过滤C.端口映射D.动态主机配置协议参考答案：B答案解析：IP地址欺骗是指攻击者伪造源IP地址发送数据包。入站过滤是指在网络边界路由器上检查进入网络的IP数据包，若其源地址属于内部网络地址范围，则丢弃，防止外部伪造内部IP。出站过滤是检查离开网络的数据包，确保源地址合法。13.下列哪种算法常用于计算消息的完整性校验值（如验证文件是否被篡改）？A.RSAB.MD5C.ECCD.Diffie-Hellman参考答案：B答案解析：MD5是一种广泛使用的哈希函数，可以产生一个128位的哈希值，常用于验证数据完整性。RSA和ECC是非对称加密算法，Diffie-Hellman是密钥交换算法。14.在网络安全事件应急响应中，“抑制”阶段的主要目的是？A.确定事件的性质和影响范围B.防止事件的进一步扩大和蔓延C.彻底根除事件的原因D.恢复系统到正常状态参考答案：B答案解析：应急响应的典型阶段包括准备、检测与分析、抑制、根除、恢复、事后总结。抑制阶段是在确认安全事件后，采取紧急措施限制事件的影响范围，防止其造成更大的破坏。15.关于VPN，以下描述错误的是？A.IPsecVPN工作在网络层B.SSLVPN通常基于Web浏览器，无需安装特定客户端C.PPTP是一种过时的、安全性较差的VPN协议D.L2TP协议本身不提供加密功能参考答案：B答案解析：SSLVPN的访问方式有多种，其中无客户端模式（基于Web浏览器）确实常见，但全隧道模式通常需要安装轻量级客户端。选项B表述“通常基于Web浏览器，无需安装特定客户端”不够全面准确。其他选项描述均正确。16.下列哪一项是APT攻击的典型特征？A.攻击发起迅速，持续时间短B.主要目标是窃取大量普通用户信息C.攻击过程高度隐蔽、长期持续D.通常使用公开的、已知的攻击工具参考答案：C答案解析：APT攻击即高级持续性威胁，其典型特征是针对性、隐蔽性和长期持续性。攻击者通常有明确目标，使用0day漏洞或定制化恶意软件，长期潜伏在目标网络中窃取信息。17.在Linux系统中，用于查看当前系统开放端口和对应进程的命令是？A.ifconfigB.netstat-tulnpC.psauxD.iptables-L参考答案：B答案解析：`netstat-tulnp`命令可以查看当前监听状态的TCP/UDP端口及对应的进程ID和名称。`ifconfig`查看网络接口，`psaux`查看进程状态，`iptables-L`查看防火墙规则。18.零信任安全模型的核心原则是？A.边界防御B.默认信任内部网络C.从不信任，始终验证D.基于角色的访问控制参考答案：C答案解析：零信任安全模型的核心思想是“从不信任，始终验证”，即不再以网络位置（内外网）作为信任的基础，对所有访问请求，无论来自何处，都进行严格的身份验证和授权。19.以下哪项属于社会工程学攻击？A.DDoS攻击B.钓鱼邮件C.暴力破解D.XSS攻击参考答案：B答案解析：社会工程学攻击是利用人的心理弱点（如信任、好奇、贪婪）来获取敏感信息或诱导其执行某些操作。钓鱼邮件是典型的社会工程学攻击手段。其他选项属于技术攻击。20.根据等级保护2.0标准，安全保护等级共分为几级？A.三级B.四级C.五级D.六级参考答案：C答案解析：《信息安全技术网络安全等级保护基本要求》将网络安全保护等级分为第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级），共五级。二、多项选择题（每题2分，共10题，共20分。每题至少有两个正确选项，多选、少选、错选均不得分）1.以下哪些属于常见的Web应用安全漏洞？（）A.跨站脚本B.跨站请求伪造C.不安全的直接对象引用D.安全配置错误参考答案：A,B,C,D答案解析：OWASPTop10中列出的常见Web应用安全漏洞包括：注入、失效的身份认证、敏感信息泄露、XML外部实体、失效的访问控制、安全配置错误、跨站脚本、不安全的反序列化、使用含有已知漏洞的组件、不足的日志记录和监控。选项均在其涵盖范围内。2.下列协议中，哪些属于应用层协议？（）A.HTTPB.TCPC.SMTPD.IPE.DNS参考答案：A,C,E答案解析：在TCP/IP模型中，HTTP、SMTP、DNS均属于应用层协议。TCP属于传输层协议，IP属于网络层协议。3.关于对称加密和非对称加密，以下描述正确的有？（）A.对称加密加解密使用同一密钥，速度快B.非对称加密使用公钥和私钥，安全性基于数学难题C.非对称加密通常用于加密大量数据D.数字签名主要使用非对称加密技术实现参考答案：A,B,D答案解析：对称加密加解密密钥相同，算法效率高。非对称加密使用公钥和私钥对，安全性依赖于大数分解、离散对数等数学难题，但加解密速度慢，通常用于密钥交换和数字签名，不适合直接加密大量数据。4.防火墙的主要技术包括？（）A.包过滤B.状态检测C.应用代理D.漏洞扫描参考答案：A,B,C答案解析：防火墙的主要技术有包过滤（根据IP、端口等过滤）、状态检测（跟踪连接状态）、应用代理（作为应用层中介）。漏洞扫描是独立的安全评估技术，不属于防火墙技术。5.以下哪些措施可以有效防范DDoS攻击？（）A.增加网络带宽B.部署流量清洗设备C.配置合理的网络设备访问控制列表D.关闭所有不必要的服务和端口参考答案：A,B,C,D答案解析：增加带宽可以提升基础承载能力；流量清洗设备可以识别并过滤恶意流量；合理配置ACL可以限制异常流量；关闭不必要的服务端口可以减少攻击面。这些都是防范DDoS攻击的有效措施。6.在Windows域环境中，以下哪些属于强密码策略应包含的要求？（）A.密码最小长度B.密码必须包含大小写字母、数字和特殊字符C.密码历史记录，防止重复使用旧密码D.账户锁定阈值参考答案：A,B,C,D答案解析：强密码策略通常包括：启用密码复杂性要求（包含多种字符类型）、设置最小密码长度、设置密码最短使用期限、设置密码最长使用期限、强制密码历史、使用可逆加密存储密码（应禁用）、账户锁定策略（阈值、锁定时间等）。选项均符合。7.数据备份的主要类型有？（）A.完全备份B.增量备份C.差异备份D.热备份参考答案：A,B,C答案解析：按备份数据量划分，主要类型有完全备份（备份所有数据）、增量备份（备份自上次备份后变化的数据）、差异备份（备份自上次完全备份后变化的数据）。热备份是一种备份时业务不中断的状态，不属于按数据量划分的类型。8.以下关于蜜罐技术的描述，正确的有？（）A.蜜罐是一种主动防御技术B.蜜罐可以转移攻击者目标，保护真实资产C.蜜罐可以收集攻击者的工具、战术和意图信息D.部署蜜罐没有任何风险参考答案：A,B,C答案解析：蜜罐是故意设置的安全缺陷系统，用于吸引、诱骗攻击者，属于主动防御。它可以转移攻击、收集情报。但部署蜜罐存在被攻击者识别、被用作跳板攻击其他系统等风险，需谨慎部署和管理。9.以下哪些是《中华人民共和国数据安全法》中定义的数据处理活动？（）A.数据的收集B.数据的存储C.数据的使用D.数据的加工E.数据的传输参考答案：A,B,C,D,E答案解析：《数据安全法》第三条明确规定，数据处理活动包括数据的收集、存储、使用、加工、传输、提供、公开等。因此所有选项均正确。10.安全审计系统应具备的主要功能包括？（）A.事件采集与日志归一化B.实时事件分析与关联C.安全事件告警与响应D.审计数据长期存储与报告参考答案：A,B,C,D答案解析：一个完整的安全审计系统应能够从各种设备采集日志并归一化格式，进行实时分析和事件关联，对安全事件产生告警并支持响应，同时提供审计数据的长期存储、查询和报告生成功能。三、填空题（每空1分，共10空，共10分）1.在密码学中，将明文转换为密文的过程称为______。参考答案：加密2.用于唯一标识数字证书颁发机构的字段是______。参考答案：颁发者（Issuer）或颁发者唯一标识符3.SYNFlood攻击主要利用了TCP协议______次握手过程的缺陷。参考答案：三4.在访问控制模型中，基于主体所属组或角色进行权限分配的模型是______访问控制。参考答案：基于角色（RBAC）或基于规则5.我国负责统筹协调网络安全工作和相关监督管理的部门是______。参考答案：国家网信部门（国家互联网信息办公室）6.信息安全风险管理流程主要包括：资产识别、______识别、脆弱性识别、风险评估、风险处置和残余风险接受。参考答案：威胁7.在Linux系统中，修改文件`/etc/passwd`的权限为仅root用户可读写的命令是______。参考答案：chmod600/etc/passwd或chmodu=rw,go=/etc/passwd8.无线网络安全协议WPA2使用的加密标准是______。参考答案：AES-CCMP9.当计算机感染勒索软件后，文件通常会被攻击者使用______加密算法进行加密。参考答案：非对称（或具体如RSA、ECC）10.根据《网络安全法》，网络运营者应当制定网络安全事件应急预案，并______进行演练。参考答案：定期四、简答题（每题5分，共4题，共20分）1.简述什么是跨站脚本攻击，并列举两种主要的XSS类型。参考答案：跨站脚本攻击是一种将恶意脚本代码注入到其他用户信任的网页中，当用户访问该页面时，恶意脚本会被执行，从而达到攻击目的的安全漏洞。两种主要类型：（1）反射型XSS：恶意脚本作为请求的一部分发送给服务器，服务器将其“反射”回响应页面中并立即执行。通常需要诱骗用户点击特定链接。（2）存储型XSS：恶意脚本被永久存储在目标服务器上（如数据库、论坛帖子），当其他用户浏览包含该脚本的页面时触发执行。2.简述防火墙和入侵检测系统的主要区别。参考答案：（1）部署方式：防火墙通常串联部署在网络边界，作为访问控制网关；IDS通常旁路部署，监听网络流量，不影响正常业务流。（2）主要功能：防火墙的核心功能是访问控制，基于规则允许或拒绝流量通过；IDS的核心功能是监测和报警，发现潜在的入侵行为并告警。（3）工作层次：现代防火墙可工作在2-7层；IDS主要针对网络流量和系统日志进行分析。（4）主动性：防火墙是主动防御，直接决定流量命运；IDS是被动检测，不直接干预流量。3.什么是业务连续性管理？其核心环节包括哪些？参考答案：业务连续性管理是一套一体化的管理过程，通过识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运行带来的影响，提供一个框架来建立组织的恢复能力，确保关键业务功能在中断后能在规定时间内恢复。核心环节包括：业务影响分析、风险评估、制定业务连续性策略、制定和实施业务连续性计划、演练与测试、维护与评审。4.简述在渗透测试中，信息收集阶段的主要工作内容。参考答案：（1）公开信息收集：利用搜索引擎、社交媒体、公开数据库等收集目标组织架构、员工信息、技术栈等。（2）网络拓扑发现：通过DNS查询、IP段扫描、网络路由追踪等手段，探测目标网络范围和结构。（3）主机发现：使用Ping扫描、ARP扫描等方式识别存活主机。（4）端口扫描与服务识别：使用Nmap等工具扫描目标主机开放端口，识别运行的服务及其版本。（5）漏洞信息搜集：根据识别的服务版本，查找公开的漏洞信息。（6）其他信息：收集子域名、关联资产、Web应用目录结构等。五、应用题（共3题，第1题8分，第2题10分，第3题12分，共30分）1.（计算/分析类）某公司Web服务器遭受DDoS攻击，攻击流量峰值达到5Gbps。该公司网络出口总带宽为1Gbps。现计划采购流量清洗服务，清洗中心部署在运营商侧，清洗后回注带宽仍为1Gbps。假设攻击流量全部为异常流量，正常业务流量恒定为200Mbps。请问：（1）在不采取任何措施的情况下，正常业务是否受到影响？为什么？（2）启用流量清洗服务后，若清洗设备的处理能力足够，正常业务是否能够保证通畅？为什么？参考答案：（1）会受到影响。因为网络出口总带宽（1Gbps）小于攻击流量峰值（5Gbps），出口链路会被完全拥塞。正常业务流量（200Mbps）无法通过已被占满的1Gbps出口链路，导致服务不可用。（2）能够保证通畅。因为流量清洗中心部署在运营商侧，所有流量（攻击流量5Gbps+正常流量200Mbps）首先到达清洗中心。清洗设备识别并过滤掉5Gbps的攻击流量，只将200Mbps的正常业务流量通过1Gbps的回注链路发送给目标服务器。由于正常业务流量（200Mbps）小于回注链路带宽（1Gbps），因此业务可以通畅访问。2.（分析/综合类）某金融企业核心数据库服务器（Linux系统）被入侵，安全工程师怀疑攻击者通过SSH暴力破解获取了root权限。请分析：（1）如何通过系统日志（如`/var/log/secure`）验证SSH暴力破解的猜测？（2）列举至少三项针对SSH服务的安全加固措施，以防止此类攻击再次发生。（3）入侵发生后，除了修复漏洞，还应进行哪些主要的应急响应步骤？参考答案：（1）查看`/var/log/secure`日志文件，搜索“Failedpasswordforroot”或“Failedpasswordforinvaliduser”等关键词。如果发现在短时间内（如几分钟内）有大量来自相同或不同IP地址的此类失败登录记录，尤其是针对root用户的，则可以初步验证SSH暴力破解的猜测。进一步可以结合“Acceptedpassword”记录查看是否在大量失败后出现成功的登录。（2）安全加固措施：①禁止root用户直接通过SSH登录。修改`/etc/ssh/sshd_config`，设置`PermitRootLoginno`。②使用密钥认证替代密码认证，并设置强密码保护私钥。③修改SSH默认端口（22）为一个非标准端口。④配置防火墙（如iptables）或