2026年一级网络安全素质教育(网络安全基础)自测试题及答案

2026年一级网络安全素质教育(网络安全基础)自测试题及答案一、单项选择题（共20题，每题2分，总计40分。下列每小题的四个选项中，只有一个最符合题意的正确答案，多选、错选、不选均不得分）1.根据2024年正式修订施行的《网络安全等级保护条例》，我国网络安全等级保护制度将网络系统划分为5个逐级递增的安全保护等级，其中面向公众提供公共通信、政务服务、能源供应等核心服务的关键信息基础设施，法定最低应当落实第几级等级保护要求？A.第二级B.第三级C.第四级D.第五级2.以下不属于2025年国家网络安全通报中心重点预警的、基于生成式人工智能技术衍生的新型网络攻击类型是？A.批量生成高度定制化的个性化钓鱼邮件，精准诱导目标人员点击恶意附件B.利用深度伪造语音模拟企业负责人声音，诱导财务人员向指定账户转账C.构造特殊Prompt话术绕过大模型安全防护机制，窃取大模型训练集中存储的敏感用户数据D.针对家用智能摄像头终端发起弱密码暴力破解攻击，非法调取监控画面3.根据《中华人民共和国个人信息保护法》，网络运营者处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息时，依法应当满足的最低同意要求是？A.仅需在平台用户协议中公示相关处理规则即可自动获得用户授权B.取得用户的口头确认即可开展相关处理操作C.针对特定场景取得个人单独、明确、自愿作出的同意，不得默认授权、捆绑授权D.无需取得用户同意，出于商业盈利目的可以任意处理相关信息4.以下我国自主研发的商用密码算法中，属于非对称加密算法、可用于实现数字签名和密钥协商的是？A.SM2算法B.SM3算法C.SM4算法D.AES算法5.用户收到发件人显示为“社保经办服务中心”的短信，内容提示“您的2025年度社保补贴待领取，点击链接http://xxxx完成身份核验即可到账”，以下处置方式中安全性最高的是？A.直接点击短信内链接，填写身份证号、银行卡号和验证码完成申领B.挂断所有相关来电，直接删除短信即可，完全不相信任何社保补贴通知C.拨打当地人力资源和社会保障部门官方网站公示的公开服务热线，核实该通知的真实性后再按官方指引办理D.把短信转发给所有亲友，提醒大家共同点击申领补贴6.零信任架构是当前网络安全防护的主流落地框架，其核心防护逻辑是以下哪一项？A.单位内部局域网所有终端和访问请求天然可信，无需额外核验B.永不信任、持续验证、最小权限授权，所有访问请求无论来自内部还是外部都要进行全维度安全校验C.用户只要完成一次账号密码校验，就可以访问权限范围内的所有业务系统资源D.所有安全防护能力全部部署在网络出口位置，内网不需要额外部署防护措施7.针对当前主流的“双重勒索”攻击模式，即攻击者入侵系统后先加密所有本地业务数据、同时窃取全量敏感数据，以此双重要挟受害者支付赎金，以下前置防控措施中抵御效果最显著的是？A.安装一款免费的桌面杀毒软件即可完全规避攻击风险B.落实“3-2-1”数据备份策略，即存储3份数据副本、使用2种不同存储介质、至少保留1份离线物理隔离的备份数据，定期验证备份可用性C.所有业务系统断开互联网连接，从物理层面杜绝外部攻击D.所有业务系统账号统一设置为相同的16位以上强密码，避免攻击者暴力破解不同账号8.根据《中华人民共和国反电信网络诈骗法》，任何单位和个人不得非法买卖、出租、出借电话卡、物联网卡、银行账户、支付账户，若个人违反该规定，将面临最高多长时间的惩戒措施，期间不得使用相关移动支付、电话卡新办服务？A.1年B.2年C.3年D.5年9.以下关于公共区域免费WiFi使用的操作中，网络安全风险最低的是？A.连接未设置密码的商场公共WiFi，直接进行网上银行转账支付操作B.连接认证信息明确为商场官方运营的加密WiFi，仅使用其浏览公开的普通新闻资讯，不登录任何金融、办公账号C.连接名称为“免费高速5GWiFi”的无密码热点，直接登录公司内部办公系统处理涉密文件D.公共WiFi不存在安全风险，日常移动场景下优先选择公共WiFi访问各类平台节省流量10.网络日志留存是网络安全合规的基本要求，根据我国现有网络安全相关法律法规，普通非关键信息基础设施的网络运营者，应当将网络运行状态、网络安全事件相关的日志数据至少留存多长时间？A.不少于1个月B.不少于6个月C.不少于12个月D.不少于36个月11.以下身份认证方式中，属于多因素身份认证组合的是？A.仅输入6位数字PIN码登录系统B.同时输入账号密码、插入硬件数字UKey、刷脸核验三个独立验证因子完成系统登录C.仅通过人脸扫描完成身份核验登录D.仅通过短信验证码完成身份核验登录12.当发现自己的身份证信息被他人冒用注册了多家公司、用于从事电信网络诈骗活动时，以下处置流程优先级最高的是？A.直接拨打110向公安机关报案，提交相关身份证明材料，留存报案回执B.联系涉事公司要求对方支付“身份使用费”后配合完成信息变更C.自认倒霉，后续不使用身份证办理相关业务即可D.到本地社交媒体平台发布相关信息制造舆情，倒逼相关部门处理13.以下哪种数据分类属于我国《数据安全法》定义的“核心数据”范畴？A.普通电商平台收集的用户收货地址信息B.关系国家安全、国民经济命脉、重要民生、重大公共利益等领域的核心数据，如未公开的核设施运行数据、全国人口普查原始汇总数据C.企业日常经营产生的普通办公文档D.个人发布在社交平台的公开动态内容14.员工在工作中使用生成式人工智能大模型处理业务时，以下操作符合网络安全规范的是？A.为了提升文案生成效率，直接把公司未公开的核心业务数据、客户敏感信息输入公共大模型平台要求其生成分析报告B.使用经过单位内部安全部门审批、部署在单位私有云环境的专属大模型处理内部非涉密业务数据C.把单位涉密文件全部复制粘贴到公共大模型平台，要求其完成摘要整理工作D.直接将大模型生成的未经过内容审核的文案作为单位官方对外公告发布15.以下针对钓鱼邮件的识别操作，描述错误的是？A.收到要求紧急点击链接修改账号密码的邮件时，要先核对发件人邮箱域名是否为单位官方域名，避免被伪装发件人误导B.钓鱼邮件普遍存在发件人信息异常、内容制造焦虑感、附带陌生可执行附件等特征C.只要邮件主题标注为单位内部通知，就可以直接点击附件内的exe格式程序查看内容D.可以通过鼠标悬停在链接上方，查看链接实际跳转地址是否与文字描述内容一致16.关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，应当按照以下哪项法定要求执行？A.可以随意向境外传输，不需要经过任何安全评估B.应当自行或者委托数据安全评估机构对数据出境活动进行安全评估，评估合格之后按照相关规定完成出境报备流程C.只要向用户公示相关出境规则，就可以直接向境外传输所有用户数据D.仅向合作的境外企业传输重要数据不需要任何审批流程17.以下系统安全补丁管理的操作流程，最符合安全规范的是？A.新发布的系统安全补丁不需要经过任何测试，直接在内网所有核心业务系统上批量安装，第一时间封堵漏洞B.定期跟踪官方发布的安全补丁信息，先在离线的测试环境中验证补丁兼容性、排查补丁可能引发的业务故障，再选择业务低峰期分批完成生产环境补丁安装，同步记录更新日志C.所有旧版本系统不需要安装任何补丁，补丁安装会影响系统运行速度D.等漏洞被黑客利用发起攻击之后再安装补丁，提前安装没有实际意义18.按照《国家网络安全事件应急预案》的分类分级标准，网络安全事件中导致全国范围大量用户个人信息泄露、影响超过1000万用户正常使用网络服务的事件，属于哪一级别的事件？A.特别重大网络安全事件B.重大网络安全事件C.较大网络安全事件D.一般网络安全事件19.以下关于IPv6网络环境下的安全防护描述，错误的是？A.IPv6地址资源足够丰富，攻击者不需要依赖地址扫描就可以直接针对已知的重要目标IPv6地址发起定向攻击，传统基于IPv4的网段扫描防御机制不再完全适用B.IPv6协议本身不存在任何安全漏洞，部署IPv6之后网络系统天然就具备更高的安全等级C.部署IPv6网络时需要同步配套IPv6专属的入侵检测、访问控制、日志审计安全设备，不能直接沿用IPv4时代的全部防护策略D.部分老旧终端不支持IPv6协议，平滑过渡阶段需要做好双栈网络的安全隔离，避免IPv4侧的安全风险传导到IPv6侧20.以下行为中符合网络安全从业人员职业规范的是？A.利用工作中获取的权限，非法下载单位存储的全量用户敏感信息出售牟利B.发现负责维护的业务系统存在高危漏洞，第一时间上报单位安全部门，同步配合漏洞修复工作，不对外泄露漏洞细节C.未经单位授权，私自对外发布单位业务系统的漏洞细节，在行业社交平台展示自己的技术能力D.把自己负责维护的服务器最高权限账号密码分享给外部好友，方便对方渗透测试学习二、多项选择题（共10题，每题3分，总计30分。下列每小题的五个选项中，有两个或两个以上符合题意的正确答案，多选、少选、错选、不选均不得分）1.根据《中华人民共和国网络安全法》，网络运营者应当履行的法定安全保护义务包括以下哪些选项？A.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施E.所有业务系统完全不向公众开放，切断所有互联网连接2.以下属于典型社交工程攻击手段的选项有哪些？A.伪装成单位运维部门工作人员致电普通员工，以“系统升级核验账号”为由索要用户的账号密码信息B.在单位园区公共茶水间、食堂区域放置印有“扫码免费领取定制咖啡”字样的恶意二维码贴纸，诱导员工扫码下载木马程序C.从公开社交平台收集员工的生日、亲属姓名、母校名称等个人信息，用于破解员工设置的弱密码账号D.伪装成单位快递配送人员，以“大件快递需要签收”为由骗开办公室门，将植入木马的U盘遗落在办公区域E.利用业务系统未安装补丁的SQL注入漏洞，直接入侵后台数据库窃取用户数据3.2025年国家网信办发布的《生成式人工智能服务安全评估细则》中，明确要求生成式AI服务提供者必须落实的安全防护要求包括以下哪些选项？A.对生成式AI生成的内容进行全流程安全审核，防止生成违法违规、虚假误导内容B.建立用户数据保护机制，不得非法收集、存储、处理用户输入的敏感个人信息C.针对生成深度伪造内容的场景，必须在内容显著位置添加可溯源的水印标识，明确标注内容为AI生成D.训练数据处理阶段不得侵害他人知识产权，不得非法获取受版权保护的内容用于训练模型E.无需采取任何未成年人保护措施，向所有用户无限制开放全部AI生成功能4.以下属于典型终端安全风险场景的选项有哪些？A.办公终端同时接入单位内部涉密局域网和公共互联网，没有部署任何隔离措施B.员工随意插入来源不明的外部U盘到办公终端，直接打开U盘中的陌生文件C.办公终端操作系统开启自动更新功能，定期安装官方发布的安全补丁D.员工使用办公终端访问境外非法色情、赌博网站，导致终端被植入木马远控程序E.为了方便多人员工使用，所有办公终端均关闭系统登录密码验证，开机直接进入桌面5.个人在日常网络活动中可以采取哪些措施防范个人信息过度泄露风险？A.各类平台注册账号时，非必要不授权访问通讯录、相册、位置信息等敏感权限B.快递收货地址、外卖配送地址尽量不填写详细的家庭门牌号，可选择填写到小区驿站代收点C.废弃的包含个人信息的快递面单、火车票、机票票据，提前用涂鸦笔涂抹覆盖所有个人敏感信息之后再丢弃D.不在公开社交平台发布带有定位信息的私人行程、孩子学校名称等内容，避免被不法分子利用实施精准诈骗E.为了获得平台赠送的小额优惠券，主动向平台提交身份证号、银行卡号等所有敏感信息6.网络安全事件应急响应的标准流程，包括以下哪些核心环节？A.准备阶段：提前制定应急预案、储备应急物资、定期开展应急演练B.检测阶段：通过监控系统和人工核验，确认网络安全事件的发生范围、影响程度、攻击来源C.遏制阶段：快速采取断网、关闭涉事端口、下架恶意内容等措施，防止事件影响范围进一步扩大D.根除阶段：全面排查攻击入口，清除系统内残留的木马、病毒、后门程序，修复所有安全漏洞E.恢复阶段：验证系统安全状态，分批恢复业务运行，同步完成安全加固，避免同类事件再次发生7.等保2.0体系中，要求网络系统落实的五个层面安全防护要求，除了网络安全层面之外还包括以下哪些选项？A.物理安全层面：保障机房环境、服务器硬件设施的物理防护，防止物理盗窃、火灾、水灾等风险B.主机安全层面：保障服务器、终端设备的身份认证、访问控制、漏洞防护能力C.应用安全层面：保障业务Web系统、小程序等应用的防注入、防篡改、防越权访问能力D.数据安全层面：保障数据的备份、加密、脱敏存储、传输全流程安全E.人员安全层面：建立完善的人员安全管理、权限管控、离岗审计机制8.以下针对勒索软件攻击的预防和处置措施，描述正确的有哪些？A.日常落实离线冷备份机制，确保核心数据的备份数据和生产环境物理隔离，不会被同步加密B.一旦确认遭遇勒索软件攻击，第一时间断网，避免攻击扩散到整个局域网的其他终端和服务器C.留存完整的攻击现场证据，第一时间向当地公安机关网络安全保卫部门报案，不要私自向攻击者支付赎金D.不需要定期演练勒索攻击场景下的业务恢复流程，等事件发生之后临时处置即可E.及时更新操作系统、业务系统的安全补丁，关闭不必要的远程访问端口，避免攻击者利用漏洞直接入侵9.以下属于未成年人网络权益保护法定要求的选项有哪些？A.网络产品和服务提供者不得向未成年人提供诱导其沉迷的产品和服务B.处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意C.学校应当合理使用网络开展教学活动，加强学生的网络安全素质教育和个人信息保护意识培养D.任何单位和个人都可以在网络上随意发布未成年人的个人肖像、隐私信息，不需要经过监护人同意E.网络游戏服务提供者应当按照国家有关规定和标准，对游戏产品进行分类，作出提示，并采取技术措施，不得让未成年人接触不适宜的游戏或者游戏功能10.以下关于密码技术应用的描述，符合我国《密码法》要求的选项有哪些？A.政务系统、关键信息基础设施应当优先选用我国自主可控的商用密码算法开展加密防护B.核心密码、普通密码用于保护国家秘密信息，受到法律严格保护C.任何单位和个人不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动D.普通民众日常场景下可以自主选择使用商用密码技术保护自己的个人信息、金融财产安全E.所有密码产品都不需要经过国家相关部门的检测认证，企业可以随意生产销售密码产品三、判断题（共10题，每题1分，总计10分。请根据网络安全相关知识判断描述正误，正确打√，错误打×）1.为了提升跨部门协作效率，可以直接把单位涉密业务系统的管理员账号密码共享给外部合作的第三方技术人员使用，只要对方口头承诺不会泄露信息即可。2.公众人物的个人信息不受《个人信息保护法》保护，可以随意公开传播其所有隐私内容。3.单位内部建立完善的网络安全责任制度，明确不同岗位人员的安全权责，将网络安全培训纳入新员工入职必训环节，是从人员管理层面降低网络安全风险的有效手段。4.只要安装了主流杀毒软件，网络系统就可以完全规避所有黑客攻击风险，不需要额外部署其他防护措施。5.物联网时代智能家居设备的使用场景中，不要随意将智能摄像头的管理员默认密码设置为“admin”“123456”这类弱密码，定期检查设备固件版本及时更新安全补丁，可有效防止设备被黑客控制。6.根据《网络安全法》要求，开展网络安全等级测评的周期至少为每两年一次，关键信息基础设施的等级测评周期不得超过一年。7.发送电子邮件时，不能随意点击陌生附件，尤其是后缀名为.exe、.bat、scr的可执行附件，这类文件大概率带有木马病毒程序。8.为了方便在外办公的员工访问内部系统，直接把远程桌面端口3389向互联网完全开放，不需要添加任何身份验证和访问控制限制，是合规的操作方式。9.单位对外发布公开信息之前，必须落实信息发布审核机制，安排专人对发布内容进行涉密信息、敏感信息排查，避免内部敏感数据通过公开渠道泄露。10.当发现网络上有网站非法售卖大量公民个人信息时，可以视而不见，没有义务向公安机关或者网信部门举报相关违法线索。四、案例分析题（共1题，总计20分）某城市公立三甲医院信息科工作人员接到值班人员上报，医院的医疗挂号系统、电子病历系统全部瘫痪，业务无法正常开展，医院窗口收到大量患者信息被泄露的传闻。经初步排查，攻击者通过医院官方网站的一个未打补丁的旧版本插件漏洞入侵了后台服务器，植入了勒索软件，加密了全量的患者电子病历数据、挂号就诊数据，同时窃取了超过200万条包含患者身份证号、手机号、诊疗记录的敏感个人信息，攻击者留言要求医院支付价值300万人民币的虚拟货币赎金，否则将全部数据公开发布。结合网络安全基础相关知识，回答以下问题：1.该医院作为提供公共医疗服务的单位，是否属于法定的关键信息基础设施运营者？应当落实的最低网络安全等级保护级别是什么？2.结合本次事件，指出该医院此前在网络安全防护层面存在至少3项明显的缺失问题。3.简述该医院当前阶段应当采取的合规应急处置流程，以及后续可以从哪些维度完善防护体系避免同类事件再次发生。参考答案与详细解析一、单项选择题1.答案：B。解析：根据2024年修订的《网络安全等级保护条例》，关键信息基础设施属于关系国计民生的重要系统，法定最低保护等级为第三级，第四级适用于涉及国家秘密、核心军工等极端重要的系统，第五级为专控级仅适用于国家级核心安全系统。2.答案：D。解析：针对智能摄像头的弱密码暴力破解属于传统攻击模式，不涉及生成式AI技术应用，其余三项均为近年新出现的AI衍生攻击模式。3.答案：C。解析：《个人信息保护法》明确要求处理敏感个人信息必须获得用户单独、明确同意，不得采用捆绑协议、默认勾选的方式变相获取授权。4.答案：A。解析：SM2是我国自主非对称加密算法，SM3为哈希摘要算法，SM4为对称加密算法，AES是美国制定的国际通用对称加密算法。5.答案：C。解析：陌生短信附带的链接大概率为钓鱼链接，必须通过官方公开渠道核实信息真实性，不能直接点击操作或者随意转发。6.答案：B。解析：零信任的核心逻辑就是打破传统“内网可信”的假设，对所有访问请求持续核验，按照最小权限原则分配资源访问权限。7.答案：B。解析：3-2-1离线备份策略是目前抵御双重勒索攻击最有效的前置手段，即便攻击者加密了生产侧所有数据，依然可以通过离线备份快速恢复业务，避免支付赎金。8.答案：C。解析：《反电信网络诈骗法》明确规定相关违规人员最高可被采取3年的支付、电话卡新办惩戒措施。9.答案：B。解析：未认证的公共WiFi普遍存在中间人攻击风险，仅浏览公开资讯不涉及敏感账号操作，风险可控，其他三类操作均存在极高的个人信息泄露、财产被盗风险。10.答案：B。解析：普通网络运营者日志留存的法定最低时限为6个月，关键信息基础设施运营者需要至少留存12个月以上。11.答案：B。解析：多因素身份认证要求采用三个不同维度的独立验证因子，任意单因子验证都属于单因素认证，安全性不足。12.答案：A。解析：遭遇个人信息被冒用从事违法活动的场景，第一优先级是向公安机关报案留存证据，通过法定流程撤销相关冒用的登记信息，维护自身合法权益。13.答案：B。解析：《数据安全法》定义的核心数据是关系国家安全、国民经济命脉的极端重要数据，其余选项均不属于核心数据范畴。14.答案：B。解析：使用经过内部安全审批的私有部署大模型处理非涉密业务数据符合安全规范，将敏感信息、涉密信息输入公共大模型会引发严重的数据泄露风险。15.答案：C。解析：单位内部通知发送exe格式附件的概率极低，这类附件大概率为恶意程序，不能直接点击运行。16.答案：B。解析：关键信息基础设施运营者向境外传输重要数据，必须提前完成数据出境安全评估，向网信部门报备通过之后才能开展传输操作。17.答案：B。解析：安全补丁安装必须经过测试环境验证之后再分批上线，避免补丁兼容性问题引发业务中断，其余操作均存在明显安全风险。18.答案：A。解析：根据国家网络安全事件应急预案标准，影响千万级用户以上信息安全的事件属于特别重大网络安全事件。19.答案：B。解析：IPv6协议本身依然存在各类安全风险，部署IPv6之后不能直接沿用IPv4的全部防护策略，需要配套对应的安全能力。20.答案：B。解析：网络安全从业人员必须遵守职业规范，不得私自泄露系统漏洞信息、出售用户数据，发现安全风险第一时间上报处置是法定责任。二、多项选择题1.答案：ABCD。解析：网络运营者不需要切断所有互联网连接，只需要按照规范做好安全防护即可。2.答案：ABCD。解析：E选项属于纯技术漏洞利用攻击，不涉及欺骗人员的社交工程特征，其余四项均为典型的社交工程手段，通过诱导人做出错误操作实现攻击目的。3.答案：ABCD。解析：生成式AI服务必须落实未成年人保护机制，针对未成年人使用场景配套青少年模式，限制不必要的高风险功能。4.答案：ABDE。解析：操作系统开启自动更新定期安装补丁是正向的终端安全防护操作，其余四项均属于高风险的终端使用行为。5.答案：ABCD。解析：不能为了小额优惠随意向平台提交敏感个人信息，避免信息被过度采集滥用。6.答案：ABCDE。解析：五个选项完整覆盖了网络安全应急响应从准备到恢复的全流程标准环节。7.答案：ABCDE。解析：等保2.0的防护要求覆盖物理、网络、主机、应用、数据、管理、人员全维度，五个选项全部符合要求。8.答案：ABCE。解析：勒索攻击属于高发网络安全事件，单位必须定期开展应急演练，熟悉业务恢复流程，确保事件发生后可以快速处置降低损失。9.答案：ABCE。解析：任何单位和个人都不得非法随意传播未成年人的隐私信息、肖像信息，必须经过监护人同意才能合规使用相关内容。10.答案：ABCD。解析：我国《密码法》明确要求商用密码产品必须经过国家相关检测机构的认证检测合格之后才能上市销售，禁止未经检测的密码产品在关键信息基础设施场景中使用。三、判断题1.×。解析：涉密系统的管理员账号必须专人专用，不得共享给外部人员，避免引发敏感信息泄露风险。2.×。解析：所有公民的个人信息均受《个人信息保护法》平等保护，公众人物的隐私信息同样不能被随意传播。3.√。解析：人员安全意识是网络安全防护的第一道防线，落实常态化安全培训可以有效降低人为