全国计算机等级考试网络安全素质教育真题(含答案)

全国计算机等级考试网络安全素质教育真题(含答案)一、单项选择题（共35题，每题2分，共70分。下列每题给出的四个选项中，只有一个选项符合题目要求）1.根据《中华人民共和国网络安全法》规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，其中针对关键信息基础设施，在网络安全等级保护制度的基础上，实行____。A重点保护制度B强化保护制度C特殊保护制度D严格保护制度2.以下加密算法中，属于我国自主研发的通用非对称密码算法（国密核心标准）的是____。ASM2BSM3CSM4DSM93.以下恶意代码类型中，能够通过自身复制主动传播感染其他主机，且不需要附着在宿主正常程序上即可独立运行的是____。A计算机病毒B蠕虫C木马D间谍软件4.某网站攻击者在页面输入框提交特殊脚本代码，诱导用户访问时窃取本地Cookie信息，该攻击类型属于____。ASQL注入攻击B跨站脚本（XSS）攻击C缓冲区溢出攻击D拒绝服务攻击5.根据《个人信息保护法》，处理个人信息应当取得个人同意，以下关于个人同意的表述正确的是____。A个人一旦提交同意申请，就不能撤回授权B同意必须是自愿、明确、具体的，不得以“一揽子同意”的方式捆绑授权非必要服务C企业可以默认勾选“同意授权所有个人信息用途”选项，仅提示用户取消勾选即视为不同意D企业变更个人信息处理用途后，无需再次取得用户同意6.网络安全等级保护2.0体系中，将安全保护能力划分为5个等级，其中第三级对应的监管模式是____。A自主保护B指导保护C监督保护D强制保护7.以下网络攻击类型中，攻击者通过海量伪造请求占用目标服务器带宽、计算资源，导致正常用户无法访问服务的是____。ADDoS分布式拒绝服务攻击B中间人攻击C端口扫描攻击D暴力破解攻击8.我国《数据安全法》将数据划分为三个层级实施分类分级保护，其中对关系国家安全、国民经济命脉、重要民生、重大公共利益等数据实行更严格保护的是____。A重要数据B核心数据C敏感数据D关键数据9.以下身份认证方式中，属于多因素认证组合的是____。A同时使用用户名密码+短信验证码登录B同时输入两个不同的密码登录C同时验证指纹+面部识别登录D同时输入身份证号+手机号登录10.针对钓鱼邮件的防范，以下操作存在安全风险的是____。A收到标注“紧急通知：系统邮箱即将停用请点击链接验证账号”的邮件，第一时间点击链接完成信息提交B核实发件人域名是否为企业官方认证域名，对陌生发件人保持警惕C不下载后缀名为.exe、.bat、.js的陌生邮件附件D收到可疑邮件后第一时间转发至单位网络安全管理部门进行排查11.按照《关键信息基础设施安全保护条例》要求，运营者应当自行或者委托网络安全服务机构对其每年至少进行一次检测评估，评估报告报送至相关保护工作部门的周期是____。A每半年B每年C每两年D每季度12.以下关于虚拟专用网络（VPN）技术的作用表述错误的是____。A可以在公共网络中建立加密的专属数据传输通道B可以保障远程办公人员访问企业内部业务系统的传输安全C可以完全阻断终端侧的恶意代码向内部网络传播D可以实现不同地域的企业分支机构内网安全互联13.以下行为中，符合个人信息安全合规要求的是____。A人力资源专员将存储了数百份求职人员简历的U盘随意放置在公共办公桌面B运维人员将系统管理员账号密码明文记录在办公桌便签纸上C产品上线前对用户个人信息传输链路全程采用HTTPS加密方式保护D商家注册会员时强制要求用户提供身份证号、婚姻状况信息，否则不予办理普通消费会员14.网络安全事件应急响应PDCERF模型的六个阶段中，第一个阶段是____。A遏制阶段B准备阶段C检测阶段D恢复阶段15.以下密码设置行为中，安全性最高的是____。A所有平台统一使用同一个6位数字生日密码B使用12位以上包含大小写字母、数字、特殊符号的组合密码，不同平台单独设置，搭配密码管理器管理C将社交平台账号密码设置为和支付账号完全一致D为了方便记忆，使用自己的手机号全号作为登录密码16.攻击者伪装成企业IT运维人员，致电员工告知其办公系统存在漏洞，需要用户提供账号密码完成远程排查，该攻击手段属于典型的____。A社会工程学攻击B暴力破解攻击C漏洞利用攻击D数据包嗅探攻击17.我国《网络安全法》规定，关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储，因业务需要确需向境外提供的，应当按照要求进行____。A安全评估B备案登记C提前公示D加密处理18.以下安全技术中，主要用于监测并阻断网络攻击行为，实现对进出网络流量的访问控制的是____。A防火墙B负载均衡C数据库备份D域名解析服务19.以下关于物联网设备的安全使用行为，存在高风险的是____。A家用智能摄像头使用初始默认密码后未及时修改，且直接暴露在公网环境B定期升级智能门锁的固件版本，修补已知安全漏洞C不将智能家居核心控制设备映射至公网远程访问端口D不同场景的物联网设备接入独立的WiFi网络，与办公网络物理隔离20.以下属于哈希摘要算法的是____。ASHA-256BRSACAESDSM4单项选择题参考答案及解析1.答案：A。解析：《网络安全法》第三十一条明确规定关键信息基础设施在网络安全等级保护制度基础上实行重点保护，确保涉及国计民生核心系统的安全防护能力满足更高要求。2.答案：A。解析：SM2是我国自主研发的国密非对称椭圆曲线加密算法，SM3为哈希摘要算法，SM4为对称分组加密算法，SM9为标识密码算法，多用于特定身份认证场景，不属于通用非对称密码核心标准。3.答案：B。解析：蠕虫的核心特性是独立性与主动传播性，无需依附宿主程序即可运行，计算机病毒需要嵌入正常程序才能执行传播，木马以伪装为正常应用的形式窃取信息，间谍软件属于非自主传播的窃密类恶意程序。4.答案：B。解析：跨站脚本攻击（XSS）的典型实现方式是攻击者向Web页面注入恶意脚本，在用户侧执行后窃取本地敏感信息，SQL注入攻击主要针对数据库层面发起非法操作。5.答案：B。解析：《个人信息保护法》明确要求个人信息处理的同意机制必须遵循最小必要、自愿明确原则，用户有权随时撤回授权，企业不得通过默认勾选、捆绑服务的方式强迫用户同意非必要信息收集请求，处理用途变更后必须重新获取用户授权。6.答案：C。解析：网络安全等级保护2.0体系中，第一级自主保护、第二级指导保护、第三级监督保护、第四级强制保护、第五级专控保护，对应不同重要程度的信息系统监管要求。7.答案：A。解析：DDoS攻击通过控制大量肉鸡主机向目标服务器发送海量无效请求，耗尽目标带宽与运算资源，导致正常服务中断，其他攻击类型不会直接以占用全部服务资源实现拒绝访问为核心目标。8.答案：B。解析：《数据安全法》将数据分为一般数据、重要数据、核心数据三个层级，核心数据涉及最高级别的国家安全与公共利益，实施最严格的保护制度。9.答案：A。解析：多因素认证需要组合两种以上不同维度的认证要素，即“你知道的信息（密码）+你拥有的介质（手机验证码）”，其余三个选项均属于同一维度的认证要素组合，不属于多因素认证范畴。10.答案：A。解析：正规企业系统通知不会通过陌生邮件引导用户点击外部链接提交账号信息，此类操作是钓鱼邮件窃取账号密码的典型场景，极易导致账号被盗、终端感染恶意代码。11.答案：B。解析：《关键信息基础设施安全保护条例》明确要求关键信息基础设施运营者每年至少开展一次全面的安全检测评估，评估报告同步报送至对应行业监管部门留存。12.答案：C。解析：VPN仅能保障数据传输链路的加密安全，无法对终端侧的恶意代码进行查杀，也不能完全阻断恶意代码向内部网络的传播路径，仍需搭配终端安全防护、边界入侵检测等技术构建多层防护体系。13.答案：C。解析：用户个人信息传输全程采用HTTPS加密可有效防止传输过程中数据被嗅探、篡改，其余三个选项均属于典型的个人信息违规操作行为，存在严重泄露风险。14.答案：B。解析：应急响应PDCERF模型包含准备、检测、遏制、根除、恢复、跟踪六个阶段，提前做好预案演练、资源储备的准备工作是整个应急响应流程的基础环节。15.答案：B。解析：高复杂度、差异化的密码搭配密码管理器存储，可最大程度避免撞库破解风险，所有平台使用统一密码、弱密码均属于高风险密码设置行为。16.答案：A。解析：社会工程学攻击核心是利用人性弱点获取信息，而非通过技术漏洞窃取数据，伪装成运维人员索要账号密码是职场场景最常见的社会工程学攻击手段。17.答案：A。解析：境内收集产生的个人信息与重要数据出境必须依法依规开展数据出境安全评估，评估通过后方可合规向境外提供。18.答案：A。解析：防火墙作为网络边界核心防护设备，核心功能是对进出网络的流量进行访问规则匹配，阻断未授权的访问行为，实现网络边界的安全隔离。19.答案：A。解析：物联网设备使用默认弱密码且直接暴露在公网，极易被全网扫描工具发现并破解入侵，被控制后可成为僵尸网络节点发起DDoS攻击，甚至直接泄露摄像头监控画面。20.答案：A。解析：SHA-256是主流哈希摘要算法，具备单向不可逆特性，多用于数据完整性校验场景，其余三个选项分别属于非对称、对称加密算法范畴。二、多项选择题（共15题，每题2分，共30分。下列每题给出的四个选项中，至少有两个选项符合题目要求，错选、漏选、不选均不得分）1.以下属于《中华人民共和国个人信息保护法》定义的敏感个人信息范畴的有____。A生物识别信息B宗教信仰信息C医疗健康信息D行踪轨迹信息2.网络安全等级保护2.0的安全通用要求中，技术层面包含的核心防护维度有____。A物理安全B网络安全C主机安全D应用和数据安全3.以下属于常见的终端安全防护措施的有____。A定期升级操作系统与应用安全补丁，修补已知漏洞B安装正版杀毒软件并定期更新病毒特征库C关闭不必要的系统远程访问端口与共享服务D禁止使用移动存储介质拷贝任何数据4.以下行为违反《反电信网络诈骗法》相关规定的有____。A电信业务经营者为未提供真实身份信息的用户办理电话卡B互联网服务提供者对监测识别的涉诈异常账号未采取限制功能、暂停服务等处置措施C移动通信运营商限制用户办理电话卡的数量，同一用户最多持有5张同运营商电话卡D有关单位未依照规定履行个人信息保护职责，导致大量个人信息泄露被用于电信网络诈骗活动5.云安全防护体系中，属于云计算环境特有的安全风险点有____。A多租户环境下不同用户之间的资源隔离失效B云服务商运维人员越权访问用户存储的业务数据C传统边界防护设备无法适配云原生弹性伸缩的资源调度模式D本地硬盘物理损坏导致数据丢失6.以下属于我国现行网络安全领域核心法律法规的有____。A《中华人民共和国网络安全法》B《中华人民共和国数据安全法》C《中华人民共和国个人信息保护法》D《中华人民共和国反垄断法》7.针对SQL注入攻击的常见有效防护手段包括____。A对所有用户输入提交的内容进行严格的合法性校验，过滤特殊字符B采用预编译语句执行数据库操作，避免直接拼接用户输入内容到SQL语句中C部署Web应用防火墙（WAF）对攻击特征进行识别拦截D直接关闭所有Web应用的外部访问权限8.以下关于数据备份的表述正确的有____。A重要业务数据应当采用“三地三副本”的备份机制B定期开展备份数据恢复演练，验证备份文件的可用性C异地备份存储的介质应当与生产环境物理隔离D备份数据无需进行加密存储，仅需做好访问权限控制即可9.以下属于常见的社会工程学攻击场景的有____。A伪装成快递人员致电用户索要个人取件验证码B冒充单位领导在工作群内要求财务人员转账至指定账户C伪装成客服告知用户购买的商品存在质量问题，要求提供银行卡号完成退款D利用公开的弱密码漏洞入侵用户办公电脑窃取文件10.根据《网络安全法》规定，网络运营者应当履行的安全义务包括____。A制定内部安全管理制度和操作规程，确定网络安全负责人B采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D按照规定定期开展等级保护测评工作多项选择题参考答案及解析1.答案：ABCD。解析：《个人信息保护法》明确将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为敏感个人信息，此类信息一旦泄露极易危害人身财产安全、人格尊严。2.答案：ABCD。解析：网络安全等级保护2.0技术要求包含物理安全、网络安全、主机安全、应用安全、数据安全五个维度，全面覆盖信息系统全层级防护需求。3.答案：ABC。解析：禁止使用所有移动存储介质属于极端影响业务效率的不合理措施，不属于常规终端防护要求，可通过对移动存储介质进行病毒扫描、权限管控实现安全使用。4.答案：ABD。解析：对电话卡数量进行合理限制是《反电信网络诈骗法》明确要求的基础管控措施，其余三个选项均属于明确违反法规要求的涉诈违规行为。5.答案：ABC。解析：本地硬盘物理损坏属于传统本地机房环境下的通用风险，不属于云计算场景特有的风险点。6.答案：ABC。解析：《反垄断法》属于市场秩序监管领域的专项法律，不属于网络安全领域核心立法范畴。7.答案：ABC。解析：关闭所有Web应用外部访问权限属于完全停止业务服务的极端操作，不属于可落地的防护手段。8.答案：ABC。解析：备份数据同样属于核心敏感资产，必须进行加密存储，防止备份介质丢失后发生大规模数据泄露事件。9.答案：ABC。解析：利用漏洞入侵电脑属于技术层面的攻击行为，不属于利用人性弱点开展的社会工程学攻击范畴。10.答案：ABCD。解析：以上所有选项均为《网络安全法》明确规定网络运营者必须履行的基础安全保护义务。三、判断题（共15题，每题2分，共30分。正确选√，错误选×）1.为了提高跨部门办公效率，企业员工可以将内部涉密文件通过私人微信传输给同部门的同事，提高文件传输速度。2.同一用户的不同系统账号，为了方便记忆，完全可以设置相同的高复杂度密码，不会产生任何安全风险。3.根据《网络安全法》要求，网络日志留存时间不得少于6个月，满足网络攻击溯源、事件合规审计的要求。4.当发现单位内部网络出现大规模病毒感染事件时，第一时间应当切断被感染主机的网络连接，防止恶意代码进一步扩散。5.所有单位在开展个人信息处理活动时，必须每年对外发布个人信息保护社会责任报告，接受社会监督。6.家用WiFi路由器可以直接使用默认管理员密码，没有必要修改，不会遭遇黑客入侵。7.关键信息基础设施运营者应当采购依法具备资质的国产网络安全产品，在核心防护环节优先使用自主可控技术体系。8.收到“中奖通知”邮件要求点击链接填写个人身份证号、银行卡号领取奖品时，为了顺利领奖可以如实提交所有信息。9.非对称加密算法体系中，公钥可以对外公开，私钥必须由所有者严格保密，不能对外泄露。10.安装APP时，APP申请“访问通讯录、读取地理位置”等和核心服务无关的权限时，用户有权拒绝授权，APP不得以此为由拒绝提供基础服务。11.漏洞是网络安全永恒的风险点，任何信息系统都不可能实现100%无安全漏洞。12.DDoS攻击可以通过部署足够大带宽的服务器完全避免，不需要额外的流量清洗设备。13.12岁以下未成年人的个人信息属于敏感个人信息，处理此类信息必须取得未成年人监护人的明确同意。14.员工离职时，企业IT管理部门应当第一时间禁用该员工所有的系统账号权限，防止出现离职后越权访问内部系统的风险。15.加密后的密文只要密钥保管安全，就不会被任何攻击手段破解。判断题参考答案及解析1.×。解析：私人微信属于外部公域通信工具，传输内部涉密文件存在严重的泄露风险，违反保密管理规定。2.×。解析：多个系统使用同一密码一旦发生一处泄露，所有关联系统的账号都会被攻击者窃取，属于典型的弱安全配置行为。3.√。解析：《网络安全法》明确规定网络日志留存最低期限为6个月，满足溯源审计的合规要求。4.√。解析：病毒爆发初期第一时间断网遏制扩散，是将事件影响范围降到最低的首要操作。5.×。解析：只有处理个人信息数量达到国家网信部门规定规模的个人信息处理者，才需要按照要求定期发布个人信息保护社会责任报告，并非所有单位都需要履行该义务。6.×。解析：使用默认弱密码的家用路由器极易被黑客入侵，被篡改DNS配置后跳转至钓鱼网站，窃取用户支付账号密码。7.√。解析：《关键信息基础设施安全保护条例》明确要求核心系统优先采购安全可信的自主可控产品，保障供应链安全。8.×。解析：此类中奖邮件多为电信诈骗场景，收集用户敏感信息后会用于盗刷银行卡、实施后续诈骗等违法活动。9.√。解析：非对称加密的核心特性就是公钥公开用于加密，私钥私密用于解密签名，二者数学关联但无法从公钥推导私钥。10.√。解析：《个人信息保护法》明确要求个人信息处理遵循最小必要原则，不得申请与服务无关的权限，更不得以此为由拒绝提供基础服务。11.√。解析：软硬件系统的开发复杂度持续提升，新漏洞会随着技术发展不断被发现，不存在绝对零漏洞的信息系统。12.×。解析：单纯提升带宽无法抵御大流量DDoS攻击，必须搭配专业的流量清洗设备，将攻击流量过滤后再把正常流量回源到服务器。13.√。解析：《个人信息保护法》将不满十四周岁未成年人的个人信息列为敏感个人信息，处理活动必须取得监护人同意。14.√。解析：及时回收离职人员权限是身份权限管理的核心要求，避免出现权限残留引发的越权访问风险。15.×。解析：加密算法的安全性依赖于算法强度、密钥长度、密钥保管机制多重因素，不存在绝对无法破解的加密方案。四、案例分析题（共2题，每题60分，共120分）案例1场景：某高校大三学生小李课余时间在短视频平台看到“足不出户日赚300元，无门槛刷单返利”的广告，点击链接后进入一个无任何官方备案信息的陌生APP，客服告知小李第一笔充值100元可返利120元，小李完成操作后确实收到返利，后续客服引导小李充值3000元参与联单任务，告知完成3单可一次性返利4500元，但小李充值后客服以“联单数据校验失败、操作超时、个人征信异常需要刷流水验证”等理由，要求小李累计充值12万元，后续客服失联，小李意识到遭遇电信诈骗后报警。结合场景回答问题：1.本次刷单诈骗事件中，攻击者利用的核心攻击心理是什么？请列举3种同类型的常见电信网络诈骗场景。2.结合本次事件，简述普通用户防范此类电信网络诈骗的3类核心操作要点。3.按照《反电信网络诈骗法》要求，短视频平台针对此类违规广告应当履行哪些法定安全义务？参考答案：1.攻击者核心利用的是用户的贪婪逐利心理，通过小额返利建立信任后诱导大额充值，最终完成诈骗。同类常见场景包括：冒充公检法人员致电用户要求将资金转入“安全账户”核验身份的诈骗、虚假投资理财平台诱导用户充值的诈骗、冒充亲友索要转账的诈骗。2.核心防范要点包括：所有要求提