2025年网络与信息系统安全考试试题及答案

2025年网络与信息系统安全考试试题及答案一、单项选择题（共25题，每题2分，总计50分）1.根据2024年12月1日正式施行的《网络安全等级保护条例》要求，第三级网络的运营者应当至少多久开展一次等级保护合规测评，且测评报告需同步报送属地公安机关网安部门？A.每半年B.每年C.每两年D.每三年答案：B。解析：《网络安全等级保护条例》明确划定不同等级网络的测评周期：第一级网络每5年至少开展一次合规测评，第二级网络每2年至少一次，第三级网络每年至少一次，第四级网络每半年至少一次，且测评机构需具备国家网络安全等级保护工作协调小组办公室认定的测评资质，因此本题正确选项为B。2.根据2025年2月正式更新的《生成式人工智能服务安全评估细则》，向社会公众提供通用大模型服务的运营者，需在服务正式上线前完成的强制备案流程是？A.仅完成ICP备案B.完成算法备案+全维度安全评估C.仅向属地文旅部门备案D.无需备案答案：B。解析：新版细则明确要求，面向公众提供的参数规模大于等于100亿参数的生成式AI服务，上线前必须通过由国家网信部门组织的全维度安全评估，同步完成生成式AI算法备案，未完成备案的服务不得上线运营，因此本题正确选项为B。3.依据2024年修订的《关键信息基础设施安全保护条例》补充条款，关键信息基础设施运营者应当至少多久组织一次覆盖全核心业务场景的实战化攻防演练？A.每季度B.每半年C.每年D.每两年答案：C。解析：新规要求关基运营者每年至少开展一次实战化攻防演练，其中涉及能源、轨道交通、医疗应急等民生领域的关基运营者，每半年需组织一次专项应急演练，演练结果需同步报送行业主管部门和网信部门，因此本题正确选项为C。4.根据2024年更新的《数据出境安全评估申报指南》，处理多少量级以上个人信息的网络运营者，在向境外提供个人信息前必须正式申报国家数据安全层面的出境评估？A.1万人B.10万人C.100万人D.1000万人答案：B。解析：2024年新版申报指南调整了评估门槛，处理10万人以上个人信息、1000人以上敏感个人信息的运营者，只要涉及向境外提供数据的场景，必须正式申报国家数据出境安全评估，不再允许通过个人信息保护认证、标准合同备案等方式规避强制评估要求，因此本题正确选项为B。5.零信任架构的核心运行逻辑原则是？A.内部网络默认可信，外部网络默认不可信B.永不信任、始终验证、最小权限授权C.基于边界构建安全防护体系D.所有访问权限永久授权答案：B。解析：零信任架构完全摒弃传统的“内网外网”边界防护思路，核心原则为“永不信任、始终验证、最小权限授权”，所有用户、设备、应用的每一次访问请求都需要完成全要素身份校验，不存在默认可信的访问主体，因此本题正确选项为B。6.等保2.0标准中新增的安全管理中心层面要求，第三级网络必须部署的核心管控系统不包含以下哪一项？A.集中安全审计系统B.全流量威胁感知系统C.统一运维管控系统D.公共娱乐视频点播系统答案：D。解析：等保2.0第三级安全管理中心层面强制要求配置集中安全审计、全流量威胁感知、统一运维管控、集中密码管理四类核心系统，公共娱乐视频点播不属于安全管控类设施范畴，因此本题正确选项为D。7.针对SQL注入攻击的核心防护思路，以下表述错误的是？A.对所有用户输入的字符做严格的转义过滤B.直接拼接用户输入参数到数据库查询语句中C.预编译SQL语句，使用参数绑定机制D.部署Web应用防火墙（WAF）拦截异常注入请求答案：B。解析：直接拼接用户输入参数到SQL查询语句是引发SQL注入漏洞的核心诱因，所有正常的防护方案都会明确禁止该操作逻辑，其余三项均为SQL注入攻击的标准防护手段，因此本题正确选项为B。8.工业控制系统场景下的专属安全防护要求中，以下哪项操作符合2025年《工业控制系统安全防护指南》的规范？A.直接将工控生产网络接入公共互联网B.未经安全测试直接给工控设备安装通用Windows补丁C.工控生产网络与办公网络之间部署单向光闸实现物理隔离D.使用弱口令作为所有工控设备的登录密码答案：C。解析：工控场景下生产网络与办公网络必须实现安全隔离，单向光闸是满足物理隔离要求的主流防护设备，其余三项操作均属于高风险违规操作，极易引发工控设备宕机、生产业务中断等严重后果，因此本题正确选项为C。9.针对勒索病毒攻击的事前防护措施中，被称为最后一道防线的核心操作是？A.安装杀毒软件B.配置防火墙访问策略C.部署与业务网络完全物理隔离的离线冷备份系统D.开启系统自动更新答案：C。解析：当主机系统已经被勒索病毒加密的极端场景下，只有完全物理隔离的离线冷备份数据可以不受病毒影响，保障业务可以快速恢复，是勒索病毒防护体系中的最后一道核心防线，其余措施均属于前置防护手段，无法在极端攻击场景下保障数据完整性，因此本题正确选项为C。10.根据《网络安全法》要求，网络运营者留存用户网络日志的最低时限不得少于多久？A.10天B.30天C.6个月D.12个月答案：C。解析：《网络安全法》第二十一条明确规定，网络运营者应当按照规定留存相关的网络日志不少于六个月，满足网络安全事件溯源、违法犯罪案件调查的取证需求，因此本题正确选项为C。11.以下哪一项属于等保2.0中定义的高风险安全漏洞，会直接导致第三级网络的等保测评结果判定为不合格？A.个别普通员工账号设置了8位数字的密码B.业务系统存在可远程利用的未授权访问漏洞，可直接获取服务器最高权限C.部分办公电脑未安装桌面管理软件D.机房走廊的一个监控摄像头临时离线答案：B。解析：等保2.0测评规范明确规定，若测评过程中发现存在可直接获取核心服务器最高权限的远程高风险漏洞，且无法现场完成整改的，直接判定本次等保测评结果不合格，其余选项均属于一般风险项，可通过后续整改完成闭环，不直接影响最终测评结论。12.大模型训练数据安全治理的核心要求中，以下哪项操作是合规的？A.未经授权抓取全网所有版权内容用于大模型训练B.故意将恶意代码生成逻辑植入大模型训练数据C.对训练数据做全量清洗，过滤违法违规内容、涉密内容和未授权版权内容D.将涉及用户隐私的原始数据直接导入大模型训练集答案：C。解析：大模型训练前必须完成全量数据清洗，过滤违规内容、涉密内容和未获授权的第三方版权内容，其余三项操作均属于违规操作，会引发数据泄露、知识产权侵权等合规风险。13.网络安全事件发生后，网络运营者应当在多长时间内向属地公安机关网安部门和行业主管部门上报事件基本情况？A.2小时B.24小时C.72小时D.7天答案：A。解析：根据《网络安全事件报告管理办法》，一级、二级、三级网络安全事件发生后，运营者需在2小时内上报属地监管部门，不得迟报、瞒报、谎报。14.以下哪一项不属于常见的身份认证多因子组合验证要素？A.账号密码+手机动态验证码B.账号密码+人脸识别C.账号密码+员工工牌照片D.账号密码+UKey硬件令牌答案：C。解析：多因子身份认证要求至少从“你知道的信息、你拥有的硬件、你本身的生物特征”三类不同维度中选取两类要素完成验证，员工工牌照片属于可被复制的静态图像内容，不满足多因子验证的安全要求。15.数据分类分级规范中，一旦泄露会直接危害国家安全、公共利益的核心数据，被划分为以下哪一个级别？A.公开数据B.一般数据C.重要数据D.核心数据答案：D。解析：我国数据安全分类分级标准将数据划分为公开数据、一般数据、重要数据、核心数据四个层级，其中核心数据一旦泄露会直接危害国家安全、主权和发展利益，属于最高保护级别的数据类型。16.针对跨站脚本攻击（XSS）的核心防护手段，以下表述正确的是？A.不对用户输出到页面的内容做任何转义处理B.对所有用户可控的输出内容做HTML实体转义，过滤特殊字符C.允许用户直接上传任意类型的文件到服务器D.直接在页面中执行用户提交的所有JavaScript代码答案：B。解析：对用户可控的页面输出内容做HTML实体转义，过滤<、>、'、"等特殊字符，是防范XSS攻击的最核心技术手段，其余选项均会直接引发XSS漏洞风险。17.根据2025年《车联网安全防护细则》要求，车联网运营者留存车辆运行数据的周期不得少于多久？A.1个月B.3个月C.6个月D.12个月答案：D。解析：新版车联网安全细则明确要求，车联网服务运营者必须将车辆位置、运行状态、交互日志等核心数据留存不少于12个月，满足交通事故溯源、安全事件调查的取证需求。18.以下哪一种加密算法属于我国自主可控的商用密码对称加密算法？A.RSAB.SHA-256C.SM4D.AES-256答案：C。解析：SM4是我国国家密码管理局认定的自主可控商用对称加密算法，RSA是非对称加密算法，SHA-256是哈希摘要算法，AES-256是美国推出的对称加密算法，因此本题正确选项为C。19.等保2.0安全通信网络层面的强制要求中，第三级网络的核心业务数据传输过程必须采用什么加密机制保障传输安全？A.明文传输B.未做身份校验的HTTP协议传输C.符合国家规范的商用密码加密传输D.无任何防护的公共网络直接传输答案：C。解析：等保2.0第三级要求核心业务数据的传输过程必须采用符合国家密码管理要求的商用密码算法完成加密，严禁核心敏感数据明文传输。20.以下哪一项属于网络安全管理层面的“三同步”原则要求？A.网络安全设施与主体业务系统同步规划、同步建设、同步使用B.服务器、存储、网络设备同步采购C.业务系统上线、下线、更新同步操作D.安全人员、运维人员、开发人员同步排班答案：A。解析：网络安全“三同步”原则明确要求安全防护设施必须与主体业务系统做到同步规划、同步建设、同步使用，不得出现业务系统已经上线运行但安全防护设施完全缺失的情况。21.钓鱼邮件攻击的典型特征不包含以下哪一项？A.发件人地址伪装成单位官方通知邮箱B.邮件内容诱导用户点击陌生恶意链接、下载带病毒附件C.邮件来自用户熟悉的内部同事，内容经过官方核验无风险D.邮件标题设置为“工资调整通知”“紧急疫情通知”等诱导性内容答案：C。解析：经过官方核验无风险的内部正常工作邮件不属于钓鱼邮件范畴，其余三项均为钓鱼邮件的典型特征。22.依据《个人信息保护法》要求，处理个人信息应当遵循的核心原则不包含以下哪一项？A.合法、正当、必要、诚信原则B.公开透明原则C.过度收集、随意滥用原则D.目的限定、最小必要原则答案：C。解析：个人信息保护法明确要求处理个人信息必须遵循合法、正当、必要、诚信、公开透明、目的限定、最小必要原则，严禁过度收集、随意滥用个人信息。23.以下哪一项漏洞属于典型的高危供应链安全漏洞？A.服务器管理员账号设置了简单密码B.开源组件Log4j存在远程代码执行漏洞C.办公电脑的桌面壁纸不符合单位要求D.防火墙端口配置错误开放了8080端口答案：B。解析：Log4j是全球广泛使用的开源日志组件，存在的远程代码执行漏洞属于典型的软件供应链安全漏洞，影响全球数百万套业务系统的安全运行。24.IPv6网络场景下的专属安全防护要求中，以下表述正确的是？A.直接关闭所有IPv6网络的防火墙防护，不需要做任何访问控制策略B.针对IPv6地址空间庞大的特性，部署专门的IPv6威胁感知系统完成异常流量监测C.所有IPv6网络的主机不需要安装安全防护软件D.直接将所有IPv6业务端口完全暴露在公网中答案：B。解析：IPv6地址空间量级远大于IPv4，传统的IPv4安全防护设备无法完整覆盖IPv6流量，必须部署专门适配IPv6协议的全流量威胁感知系统，才能实现异常攻击行为的有效监测。25.网络安全应急响应的标准处置流程的正确顺序是？A.阻断遏制-检测研判-上报通知-恢复业务-溯源分析-总结优化B.检测研判-阻断遏制-上报通知-恢复业务-溯源分析-总结优化C.直接恢复业务-再做研判分析D.先溯源分析再阻断攻击答案：B。解析：标准的网络安全应急响应流程按照先后顺序为检测研判、阻断遏制、上报通知、恢复业务、溯源分析、总结优化，确保事件处置过程合规、损失降到最低。二、多项选择题（共10题，每题3分，总计30分，多选少选均不得分）1.等保2.0标准的五个核心安全防护层面包含以下哪几项？A.物理环境安全层面B.安全通信网络层面C.安全区域边界层面D.安全计算环境层面E.安全管理中心层面答案：ABCDE。解析：等保2.0摒弃了传统等保1.0的10个保护要求框架，重构为物理环境安全、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个核心防护层面，覆盖技术和管理全维度要求。2.关键信息基础设施运营者需要履行的法定安全保护义务包含以下哪几项？A.设置专门的安全管理机构，配备专职的安全保护人员B.定期开展安全检测和风险评估，及时修补安全漏洞C.采购的网络产品和服务必须通过国家安全审查D.制定专项应急预案并定期组织演练E.对重要系统和数据库进行容灾备份答案：ABCDE。解析：《关键信息基础设施安全保护条例》明确规定了关基运营者的上述全部法定义务，未履行义务的运营者最高可被处以100万元以上的罚款，相关责任人可被处以10万元以上罚款。3.生成式AI服务的内容安全治理要求包含以下哪几项？A.建立生成内容的实时审核机制，及时过滤违法违规内容B.对生成的涉及公众利益的内容添加可溯源的水印标识C.禁止生成煽动颠覆国家政权、暴力恐怖、色情低俗等违法内容D.故意生成虚假信息误导公众E.对用户输入的诱导性恶意提问做拦截处置答案：ABCE。解析：生成式AI服务提供者必须落实内容安全主体责任，严禁故意生成虚假信息误导公众，其余选项均属于合规的治理要求。4.勒索病毒全流程深度防御体系包含的核心环节有？A.事前的边界威胁拦截、终端安全加固、离线冷备份部署B.事中的异常威胁实时告警、攻击快速阻断C.事后的业务快速恢复、攻击溯源排查、漏洞整改闭环D.遭遇攻击后直接支付赎金拿回加密数据，不需要上报监管部门E.定期组织勒索病毒应急演练，提升人员处置能力答案：ABCE。解析：遭遇勒索病毒攻击后，严禁直接支付赎金，否则会助长网络黑灰产的攻击气焰，同时支付赎金还存在二次被加密、数据依然泄露的风险，运营者必须第一时间上报监管部门，依托备份系统完成业务恢复。5.商用密码应用安全性评估的核心评估维度包含以下哪几项？A.物理和环境安全密码应用B.网络和通信安全密码应用C.设备和计算安全密码应用D.应用和数据安全密码应用E.密码应用管理安全答案：ABCDE。解析：商用密码应用安全性评估（密评）从上述五个维度对信息系统的密码使用合规性、有效性、正确性完成全维度校验，第三级以上网络、关基系统必须完成密评工作。6.跨境数据流动的合规路径包含以下哪几项？A.申报国家数据出境安全评估B.通过国家网信部门认可的个人信息保护认证C.与境外接收方签订符合国家标准的标准合同并完成备案D.未经任何审批直接将核心数据传输到境外服务器E.委托具备资质的第三方机构完成出境数据的安全风险评估答案：ABCE。解析：我国《数据出境安全评估办法》明确了数据出境的三类合规路径：申报国家数据出境安全评估、完成个人信息保护认证、签订标准合同备案，所有出境数据必须经过风险评估，严禁未经审批直接向境外传输核心敏感数据。7.以下属于常见的Web应用安全漏洞的有？A.SQL注入漏洞B.跨站脚本（XSS）漏洞C.未授权访问漏洞D.文件上传漏洞E.CSRF跨站请求伪造漏洞答案：ABCDE。解析：上述五类漏洞均属于OWASPTop10榜单中排名靠前的高发Web应用安全漏洞，每年导致数百万套业务系统被攻击入侵。8.零信任架构落地的核心技术组件包含以下哪几项？A.统一身份管理系统B.持续信任评估引擎C.动态访问控制网关D.终端安全检测响应系统E.传统边界防火墙答案：ABCD。解析：零信任架构完全弱化传统边界防火墙的核心防护作用，依托统一身份管理、持续信任评估、动态访问控制、终端安全检测四类核心组件实现全访问链路的动态校验。9.网络安全事件应急处置过程中的数据取证要求包含以下哪几项？A.不破坏原始攻击证据的完整性，保障证据链闭环B.对取证过程做全程录像，记录取证人员操作流程C.取证完成后对原始证据介质做哈希校验，确保证据未被篡改D.随意删除服务器上的原始攻击日志E.取证人员必须具备合法的取证资质答案：ABCE。解析：取证过程中严禁随意删除服务器上的原始攻击日志，否则会破坏证据的合法性，导致后续的案件调查、事件溯源工作无法正常开展。10.个人信息处理活动中必须保障的个人信息主体权利包含以下哪几项？A.知情权B.决定权C.查询权D.删除权E.更正权答案：ABCDE。解析：《个人信息保护法》明确规定个人信息主体依法享有上述全部权利，运营者必须建立对应的响应机制，在法定时限内响应用户的权利申请。三、判断题（共10题，每题2分，总计20分，正确填√，错误填×）1.第三级网络的等保测评结果只要得分达到70分以上，无论是否存在高风险漏洞，都可以直接判定为测评合格。（×）答案解析：等保2.0第三级网络的合格判定标准为得分≥70分且不存在未整改的高风险漏洞，两个条件必须同时满足，否则判定为不合格。2.向公众提供生成式AI服务的运营者，可以不用对生成的内容承担内容安全主体责任，所有违法内容的责任全部由用户自行承担。（×）答案解析：生成式AI服务提供者是内容安全的第一责任主体，必须对生成的所有内容承担合规责任，不能将责任全部推卸给用户。3.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据和个人信息应当在境内存储，确需向境外提供的，必须依法完成安全评估。（√）答案解析：该要求为《网络安全法》明确规定的强制条款，所有关