2026年计算机网络技术(网络安全审计)试题及答案

2026年计算机网络技术(网络安全审计)试题及答案一、单项选择题（本大题共20小题，每小题2分，共40分）1.网络安全审计的核心目标是以下哪一项A.查杀网络中的病毒与木马B.记录追踪网络活动，识别安全违规与风险，支撑溯源取证C.提升网络带宽吞吐量，优化网络性能D.替代防火墙实现网络访问控制答案：B解析：网络安全审计的核心是对网络活动记录分析，识别风险、支撑溯源，其他选项均不属于核心目标。2.根据《网络安全等级保护条例》及等保2.0相关要求，第三级网络的安全审计日志留存期限至少为A.30天B.60天C.90天D.180天答案：D解析：等保2.0明确要求三级及以上网络的审计日志留存期限不得少于6个月，即180天。3.以下哪一项属于典型的被动网络安全审计类型A.基于规则的实时入侵检测审计B.漏洞扫描主动探测审计C.对历史流量日志的攻击回溯分析审计D.渗透测试模拟攻击审计答案：C解析：被动审计不主动向目标网络发送探测流量，仅通过已有记录进行分析，对历史日志的回溯属于被动审计，其余选项均为主动审计。4.在网络安全审计中，用于唯一标识每个独立审计事件的核心字段是A.事件IDB.源IP地址C.事件类型D.时间戳答案：A解析：事件ID是为每个审计事件生成的唯一标识，用于区分不同事件，其余字段不具备唯一性。5.以下哪一项不属于合规网络安全审计中常用的合法流量采集技术A.交换机端口镜像B.NetFlow/IPFIX流采集C.HTTPS流量SSL解密D.ARP欺骗流量劫持答案：D解析：ARP欺骗流量劫持属于攻击手段，不符合合规审计的要求，其余选项均为合规审计常用的流量采集技术。6.Windows系统中，默认保存系统安全审计日志的格式及路径是A.C:\Windows\System32\config\samB.C:\ProgramFiles\CommonFiles\security.logC.C:\Windows\System32\winevt\Logs\Security.evtxD.C:\Windows\Debug\security.log答案：C解析：Windows系统从Vista版本后统一采用evtx格式存储事件日志，安全审计日志默认存储路径为C:\Windows\System32\winevt\Logs\Security.evtx。7.网络安全审计中，“审计轨迹（AuditTrail）”指的是A.审计人员开展现场检查的工作路线B.系统从初始状态到当前状态所有操作的记录序列，可用于还原操作过程C.审计规则在系统中的配置路径D.攻击利用漏洞的渗透路径答案：B解析：审计轨迹是所有操作的顺序记录集合，可用于还原完整操作过程，是溯源取证的核心基础。8.以下哪一项属于应用层安全审计的核心内容A.路由器端口流量统计审计B.操作系统登录日志审计C.Web应用的SQL注入攻击请求审计D.交换机VLAN配置变更审计答案：C解析：SQL注入攻击是针对Web应用层的攻击，对其请求的审计属于应用层安全审计范畴，其余选项分别属于网络层、系统层、网络设备层审计内容。9.在等保2.0的测评要求中，不属于安全审计必备指标的是以下哪一项A.审计范围覆盖服务器和重要客户端的每个操作系统用户与数据库用户B.审计记录包含事件的日期、时间、用户、事件类型、事件结果等核心内容C.审计记录需具备防篡改、防删除保护能力D.审计系统必须自带防火墙功能，能够对攻击进行实时阻断答案：D解析：安全审计的核心功能是记录、分析、告警，实时阻断是防火墙、入侵防御系统的功能，不是安全审计的必备要求。10.以下哪一种攻击行为的核心目的是破坏审计日志，掩盖攻击痕迹A.SQL注入攻击B.日志擦除攻击C.DDoS攻击D.跨站脚本攻击答案：B解析：日志擦除攻击指攻击者在入侵完成后，删除或修改系统审计日志，清除入侵痕迹，为后续溯源增加难度。11.IPFIX协议相比于传统NetFlowv9的核心优势是A.支持自定义流字段，可适配更多复杂的审计场景B.仅支持IPv4，不支持IPv6C.采集流量的资源开销更大D.仅能采集二层数据链路层流量答案：A解析：IPFIX（IPFlowInformationExport）是IETF制定的标准化流协议，在NetFlowv9基础上扩展了自定义流字段能力，支持IPv6，适配更多审计场景。12.针对数据库的安全审计，最核心的审计内容是A.数据库存储空间占用统计B.数据库用户的所有操作行为记录与分析C.数据库备份文件大小统计D.数据库服务器CPU利用率监控答案：B解析：数据库安全审计的核心是监控所有用户的操作行为，识别越权访问、数据窃取等违规行为，其余选项均为性能监控内容，不是安全审计核心。13.网络安全审计系统中，多源日志关联分析的核心作用是A.压缩审计日志大小，节省存储空间B.将分散在不同来源的独立事件关联，发现孤立日志无法识别的隐藏攻击行为C.加快日志查询的速度D.自动清理过期日志，释放存储空间答案：B解析：一次完整的攻击会在网络、系统、应用多个层面留下日志，关联分析可以将分散的事件串联还原攻击链，发现隐藏的攻击行为。14.以下哪一项属于合规性网络安全审计的核心范畴A.检查网络安全防护是否满足等级保护2.0的相关要求B.入侵事件发生后对攻击路径进行溯源C.对新上线系统进行漏洞扫描安全测评D.测试防火墙访问规则的有效性答案：A解析：合规性审计是验证网络安全建设是否符合法律法规、监管标准要求的审计活动，检查等保合规属于典型的合规性审计。15.当审计日志存储空间即将耗尽时，合规的网络安全审计系统首先应采取的动作是A.直接自动覆盖最早的日志，存储新日志B.停止存储新日志，不通知管理员C.触发存储告警，通知管理员进行日志归档或存储空间扩容D.自动加密所有日志节省存储空间答案：C解析：合规要求审计日志不得随意删除覆盖，因此存储空间不足时首先需要触发告警通知管理员处置，保护现有日志的完整性。16.以下哪一项是我国专门针对网络安全审计产品出台的国家标准A.GB/T22239-2019B.GB/T20278-2016C.GB/T18336-2015D.GB/T35273-2020答案：B解析：GB/T20278-2016《信息安全技术网络安全审计产品技术要求》是我国专门针对网络安全审计产品的国家标准；GB/T22239-2019是等级保护基本要求，GB/T18336-2015是信息技术安全性评估准则，GB/T35273-2020是个人信息安全规范。17.零信任架构下的网络安全审计，最强调的审计内容是A.网络边界进出流量审计B.每一次访问请求的身份与操作审计C.核心路由器路由表审计D.机房物理环境审计答案：B解析：零信任架构的核心是“永不信任，始终验证”，要求对所有访问请求不管来自内网还是外网都进行验证和审计，因此核心是每一次访问请求的身份与操作审计。18.以下哪一项不属于企业内网安全审计的常见场景A.员工违规接入未授权WiFi热点审计B.员工违规访问内部敏感文件审计C.外网DDoS攻击流量清洗审计D.内部人员越权操作核心数据库审计答案：C解析：外网DDoS攻击流量清洗是外网边界防护的内容，不属于内网安全审计的场景。19.日志格式化处理在网络安全审计流程中的核心作用是A.将不同来源、不同格式的异构日志转换为统一格式，便于后续分析B.加密日志防止日志内容泄露C.删除无用日志节省存储空间D.将日志传输到异地备份存储答案：A解析：不同厂商、不同设备的日志格式存在差异，格式化处理将异构日志转换为统一格式，是后续关联分析的基础。20.对HTTPS加密流量进行内容层面的安全审计，必须具备的技术能力是A.TCP分片重组B.SSL/TLS合规解密C.IP地址解析D.路由嗅探答案：B解析：HTTPS流量通过SSL/TLS加密，不解密无法获取应用层内容，因此要实现内容层面的审计必须具备合规解密能力。二、多项选择题（本大题共10小题，每小题3分，共30分，多选、少选、错选均不得分）1.网络安全审计按照审计对象分类，可分为以下哪几类A.网络设备审计B.操作系统审计C.应用系统审计D.数据库审计E.用户行为审计答案：ABCDE解析：按照审计对象的不同，网络安全审计可分为网络设备审计、操作系统审计、应用系统审计、数据库审计、用户行为审计五大类，覆盖网络全场景。2.完整的网络安全审计流程包含以下哪些核心环节A.审计数据采集B.审计数据预处理（格式化、去重、过滤）C.审计分析（规则匹配、关联分析、异常识别）D.告警生成与响应处置E.审计日志存储与归档答案：ABCDE解析：完整的网络安全审计流程从数据采集开始，依次经过预处理、分析、告警响应、存储归档五个核心环节，形成闭环。3.以下哪些属于网络安全审计必须记录的核心审计字段A.事件发生时间戳B.源与目的IP地址、端口号C.操作主体的身份标识D.事件类型与事件执行结果E.操作内容摘要答案：ABCDE解析：以上五类字段都是审计溯源必需的核心信息，是等保要求必须记录的内容。4.根据等保2.0第三级系统要求，安全审计需要满足以下哪些要求A.审计范围覆盖所有重要节点的各类用户操作B.保护审计记录，避免未授权修改、删除和覆盖C.定期对审计日志进行分析，生成合规审计报表D.能够对安全事件和违规行为进行溯源定位E.审计进程本身受到保护，避免被未授权中断答案：ABCDE解析：以上五项均为等保2.0第三级系统对安全审计的明确要求。5.常见的网络安全审计分析方法包括以下哪几种A.基于规则的匹配分析B.基于统计基线的异常分析C.基于机器学习的用户行为建模分析D.多源日志关联分析E.人工溯源分析答案：ABCDE解析：以上五类均为当前网络安全审计领域常用的分析方法。6.以下哪些属于符合法规要求的加密流量审计技术A.获得用户和监管授权的中间人代理解密B.基于流量统计特征的无解密异常审计C.端侧应用日志导出协同审计D.未授权窃取用户私钥解密E.SSL降级攻击解密答案：ABC解析：未授权窃取私钥、SSL降级解密都属于违规行为，不符合合规审计要求，因此不纳入。7.网络安全审计中，典型的异常用户行为包括以下哪些A.非工作时间的大量敏感数据下载操作B.连续多次登录失败后成功登录的操作C.同一IP地址持续正常访问业务首页D.从未登录过的异地区域发生登录操作E.批量删除数据库审计日志的操作答案：ABDE解析：同一IP持续访问正常业务页面属于正常行为，其余选项均为典型的异常行为。8.网络安全审计对企业的核心价值包括以下哪些A.满足《网络安全法》、等级保护等法律法规的监管要求B.安全事件发生后能够进行攻击溯源，提供司法取证的电子证据C.完全避免所有网络安全事件的发生D.帮助企业发现内部违规操作，防范内部数据泄露风险E.满足金融、医疗等特定行业的监管合规要求答案：ABDE解析：网络安全审计能够降低安全风险，无法完全避免所有安全事件，因此C选项错误。9.网络安全审计产品按照部署方式分类，可分为以下哪几类A.旁路部署审计系统B.在线部署审计系统C.基于代理的审计系统D.无代理的审计系统E.公有云审计服务答案：ABCDE解析：以上分类均符合网络安全审计产品的部署方式划分标准。10.云环境下的网络安全审计，相比于传统物理网络新增的审计内容包括A.云虚拟机实例配置变更审计B.云存储对象访问权限审计C.云租户网络隔离策略审计D.云平台管理员操作行为审计E.云宿主机底层资源访问审计答案：ABCDE解析：以上内容都是传统物理网络不存在，云环境特有的安全审计内容。三、判断题（本大题共10小题，每小题1分，共10分，正确填√，错误填×）1.网络安全审计只需要记录攻击事件，不需要记录正常用户操作。（×）解析：正常用户操作记录是对比异常行为、溯源定位的基础，所有操作都需要记录留存。2.等保2.0要求一级网络也需要开启基本的安全审计功能。（√）解析：等保各级系统都要求开启安全审计，仅要求程度不同，一级也需要基本审计能力。3.旁路部署的网络安全审计系统不会对原有网络的正常运行产生影响。（√）解析：旁路部署仅采集端口镜像的复制流量，不参与业务流量转发，因此不会影响原有网络运行。4.网络安全审计日志只要存储在本地服务器就可以，不需要做异地备份。（×）解析：为避免本地服务器故障、攻击者破坏日志导致审计记录丢失，审计日志需要定期异地备份。5.通过NetFlow采集的流量数据可以直接获取应用层操作内容，不需要进一步解析。（×）解析：NetFlow仅采集流的统计信息，如五元组、流量大小等，无法直接获取应用层的内容，需要进一步解析。6.用户越权操作属于网络安全审计需要识别和告警的违规行为。（√）解析：越权操作是内部数据泄露主要原因之一，属于核心的违规审计内容。7.符合规范要求的网络安全审计日志可以作为司法取证的电子证据使用。（√）解析：符合《电子数据法》要求的审计日志具备法律效力，可以作为司法取证的依据。8.零信任架构下，网络安全审计只需要审计跨网络边界的访问，不需要审计内网访问。（×）解析：零信任不区分内网外网，所有访问都需要审计验证，因此内网访问也需要审计。9.对于加密流量，无法开展任何有效的安全审计。（×）解析：加密流量可以通过合规解密、流量特征分析、端侧日志协同等方式开展有效审计。10.定期生成网络安全审计报表是合规要求的必要环节。（√）解析：等保等监管要求都要求定期生成审计报表，验证安全状态，因此属于必要环节。四、简答题（本大题共3小题，每小题10分，共30分）1.简述网络安全审计的核心定义与主要目标。答案：网络安全审计是指对网络空间内各类网络活动、系统操作、用户行为进行自动采集、记录、存储、分析，识别安全风险、违规行为，满足合规要求与安全溯源的网络安全防护过程，核心目标包括五个方面：一是记录留存所有网络与系统活动痕迹，为安全事件发生后的溯源取证提供完整依据；二是实时识别违规操作、攻击行为，及时发出安全告警，支撑安全响应处置；三是满足国家《网络安全法》、等级保护制度、行业监管要求，通过合规测评；四是发现内部违规行为，防范内部人员数据泄露风险；五是梳理网络安全运行状态，发现系统配置漏洞、安全策略缺陷，持续优化安全防护体系。2.简述等保2.0中对第三级网络安全审计的具体要求。答案：根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第三级网络的安全审计具体要求包括：一是审计范围要求，审计范围需覆盖服务器、重要客户端上的每个操作系统用户和数据库用户，覆盖所有重要的网络操作、系统操作和用户操作；二是审计内容要求，审计记录必须包含事件的日期、时间、发起者身份信息、事件类型、事件描述、执行结果等核心字段；三是日志保护要求，必须采取保护措施避免审计记录被未授权修改、删除或覆盖，同时审计进程本身需要受到保护，防止被攻击者未授权中断；四是分析告警要求，系统需要能够对违规事件生成审计报表，对违规行为进行实时告警；五是日志留存要求，审计日志的留存时间不得少于6个月，满足溯源和监管的基本要求。3.简述云环境下网络安全审计面临的主要挑战。答案：云环境相比传统物理网络架构，网络安全审计面临的核心挑战包括：一是审计边界模糊，云环境采用多租户共享基础设施的模式，安全责任分为云服务商责任和租户责任，审计范围和责任界定模糊，难以开展独立审计；二是资产动态性强，云虚拟机弹性伸缩、资源动态调度，IP地址、网络拓扑频繁变化，静态审计规则难以匹配动态变化的资产，容易出现审计盲区；三是加密审计难度大，云业务大量采用HTTPS加密传输，解密涉及用户隐私保护和合规要求，无解密审计的精度不足，合规解密的技术和合规成本较高；四是日志整合难度大，云环境下数据和日志分散在对象存储、数据库、虚拟机、网络节点等多个位置，不同数据源格式异构，多源日志关联分析的复杂度远高于传统网络；五是日志存储压力大，云环境业务规模大，日均产生TB级甚至PB级的审计日志，存储和分析的性能成本远高于传统物理网络；六是合规适配复杂，不同行业的云租户需要满足不同的监管要求，云服务模式多样，审计难以适配不同租户的个性化合规要求。五、综合分析题（本题20分）某国内三甲医院的核心业务系统存储了超过500万患者的个人信息与诊疗数据，已完成等级保护第三级备案测评。近期某第三方数据平台发现大量该院患者信息在网络兜售，医院需要开展网络安全审计溯源定位泄露路径，请结合网络安全审计知识回答以下问题：（1）本次溯源审计需要从哪些来源采集审计数据？（2）本次审计需要重点排查哪些异常行为，定位泄露路径？答案：（1）本次针对患者数据泄露的溯源审计，需要采集的审计数据来源包括：①网络层面：核心交换机的端口镜像流量、内网出口防火墙的访问日志、NetFlow流数据、入侵检测系统告警日志、内网WiFi接入认证日志，所