全国计算机等级考试(NCRE)一级网络安全素质教育题及参考答案

全国计算机等级考试(NCRE)一级网络安全素质教育题及参考答案一、单项选择题（共30题，每题1.3分，共39分。下列每题给出的四个选项中，只有一个选项符合题目要求）1.《中华人民共和国网络安全法》的正式施行日期为以下哪一项？A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2021年9月1日2.按照《网络安全等级保护条例》要求，我国网络安全等级保护2.0体系将网络系统分为几个安全防护等级？A.3级B.4级C.5级D.6级3.以下关于密码设置的操作中，安全属性最高的是？A.使用自己的生日加姓名拼音作为支付账号密码B.不同平台账号使用完全相同的8位数字密码C.采用12位以上包含大小写字母、数字、特殊符号的组合密码，不同平台单独设置并通过本地加密密码管理器存储D.将所有账号密码记录在手机备忘录的未加密笔记中4.以下哪种网络攻击类型，其核心特征是通过加密受害者设备中的文档、照片等数据资源，索要加密货币作为解密赎金？A.钓鱼攻击B.勒索病毒攻击C.DDoS分布式拒绝服务攻击D.暴力破解攻击5.普通用户连接公共场合的无密码免费WiFi时，以下操作存在极高安全风险的是？A.连接WiFi后直接输入银行卡支付密码进行大额转账B.浏览公开的新闻资讯类网页C.连接官方运营的带有实名认证机制的公共WiFiD.通过VPN加密隧道访问互联网资源6.根据《中华人民共和国个人信息保护法》，敏感个人信息不包含以下哪个类别？A.生物识别信息B.匿名化处理后无法复原到特定自然人的统计数据C.医疗健康信息D.行踪轨迹信息7.收到发件人标注为“顺丰速运”的邮件，内容提示“您的快递因疫情滞留，点击链接提交身份证号和收货地址即可安排重新配送”，最合理的处置方式是？A.立刻点击链接填写信息，避免快递丢失B.点击链接后核验网站域名是否为顺丰官方域名再填写C.通过顺丰官方APP、官方客服热线核实快递状态，不点击陌生邮件内的链接D.把该邮件转发给身边有快递的朋友一起填写8.以下关于个人信息“删除权”的描述，符合《个人信息保护法》规定的是？A.只要用户提出删除申请，运营者必须在1小时内无条件删除所有相关数据B.当用户约定的存储期限届满、运营者不再提供相关服务、或者处理个人信息的目的已经实现时，用户有权要求个人信息处理者及时删除其个人信息C.运营者可以以“后台备份需要留存”为理由永久拒绝用户的删除申请D.只有司法机关才有权力要求平台删除个人用户的相关数据9.我国《关键信息基础设施安全保护条例》正式施行的时间是？A.2017年6月1日B.2021年9月1日C.2022年1月1日D.2023年1月1日10.以下哪一项不属于我国网络安全治理“三六九”工作体系中明确的网络安全“三同步”要求？A.同步规划B.同步建设C.同步运维D.同步使用11.用户收到自称是公安机关工作人员的来电，称用户名下的银行卡涉嫌参与重大洗钱案件，要求用户将所有资金转入指定的“安全核查账户”配合调查，以下哪种处置方式是正确的？A.立刻按照对方要求转账，配合公安办案B.挂断电话，拨打110或者当地派出所官方电话核实相关情况C.把自己的银行卡密码和短信验证码告知对方，方便对方核查资金D.把该消息转发给所有亲友，提醒大家都去转账核查12.以下哪种口令认证方式属于当前阶段安全强度最高的多因素认证组合？A.仅使用静态6位数字密码认证B.静态密码+手机短信验证码认证C.静态密码+硬件U盾动态口令核验+指纹生物识别认证D.仅使用人脸识别单一生物特征认证13.以下关于生成式人工智能服务使用的行为中，符合我国《生成式人工智能服务管理暂行办法》要求的是？A.利用生成式AI工具批量生成涉政谣言在社交平台传播B.向生成式AI服务输入自己未授权的他人隐私信息用于生成创作内容C.使用经过备案的正规生成式AI工具创作原创非商用内容，使用前对生成结果的合规性进行核验D.利用生成式AI批量生成虚假的企业资质证明用于商务投标14.计算机感染病毒后，以下现象中不属于典型中毒特征的是？A.系统运行速度明显变慢，后台出现大量陌生未知进程B.磁盘存储空间莫名被大量占用，文件后缀名被统一修改为陌生标识C.鼠标、键盘自主不受控执行操作，弹窗大量无法关闭的广告窗口D.显示器因为老化出现轻微色差，部分显示区域亮度不均15.我国《未成年人网络保护条例》明确规定，网络产品和服务提供者应当针对未成年人使用其服务设置相应的功能不包括以下哪项？A.时间管理功能B.权限管理功能C.消费管理功能D.无限充值功能16.以下关于DDoS攻击的描述，正确的是？A.DDoS攻击的核心目的是窃取被攻击服务器内的所有敏感用户数据B.DDoS攻击通过控制大量被控主机向目标服务器发送海量访问请求，挤占带宽和服务器资源，导致正常用户无法访问目标服务C.普通家庭宽带用户的终端不可能被攻击者控制成为DDoS攻击的“肉鸡”节点D.DDoS攻击不会对任何互联网业务造成实际经济损失17.根据我国《网络安全法》要求，网络运营者应当按照规定留存相关的网络日志不少于多长时间？A.3个月B.6个月C.12个月D.24个月18.以下哪种行为属于合法合规的数据处理行为？A.未经用户同意，私自收集用户的通讯录、位置信息同步上传到境外服务器B.在用户明确拒绝信息采集后，强制要求用户授权非必要权限才能使用基础功能C.在App隐私政策中明确告知用户采集个人信息的类型、用途、范围，取得用户明示同意后在约定范围内使用相关数据D.把自己运营平台收集的10万条用户手机号数据打包出售给房地产营销公司牟利19.以下针对邮箱安全的操作中，安全性最高的是？A.所有平台注册都使用同一个工作邮箱，不设置独立密码保护B.定期登录邮箱清理陌生可疑邮件，开启邮箱二次验证功能，不打开陌生发件人发送的未知附件和链接C.使用工作邮箱注册各类娱乐、社交、电商平台账号D.把邮箱密码告知所有同事，共享账号使用20.以下哪项不属于零信任安全架构的核心原则？A.永远默认不信任任何主体，持续对访问请求进行身份核验和授权B.不基于网络物理边界判定访问权限C.一次身份核验永久信任，所有用户都可以无限制访问所有内部资源D.对所有访问行为进行全链路审计和动态权限管控21.当你收到短信提示“你的微信账号异地登录，点击链接立即锁定账号”，最合理的处置方式是？A.立刻点击短信内的链接输入微信账号密码进行锁定B.关闭短信，通过微信官方客户端的“登录设备管理”功能查看异常设备，修改密码并开启二次核验C.直接忽略该短信，不做任何操作D.把微信所有余额提现到陌生银行卡避免损失22.我国国家网络安全宣传周的固定举办时间是每年的？A.4月最后一周B.6月第一周C.9月第三周D.11月第二周23.以下关于物联网设备的安全操作，说法错误的是？A.家用智能摄像头要及时更新固件补丁，不使用厂商默认初始密码B.家用智能门锁可以设置强密码，关闭互联网远程开锁功能避免被暴力破解C.所有家用智能摄像头的监控画面都可以直接公开分享到社交平台，不需要做权限管控D.物联网设备使用过程中要及时关闭不需要的对外端口，避免被黑客扫描入侵24.按照我国《个人信息保护法》分类，处理个人信息数量达到多少的个人信息处理者，应当指定个人信息保护负责人，对个人信息处理活动负责？A.处理个人信息数量达到10万人的B.处理个人信息数量达到100万人的C.处理个人信息数量达到1000万人的D.处理个人信息数量达到1亿人的25.以下哪项不属于APT高级可持续威胁攻击的典型特征？A.攻击目标具有极强的针对性，通常瞄准政府、科研机构、关键信息基础设施单位B.攻击潜伏期长，会长期潜伏在目标网络中逐步窃取核心敏感数据C.攻击行为完全无目的性，随机入侵所有可访问的终端设备D.攻击手段极度隐蔽，会利用零日漏洞、定制化恶意代码规避常规安全检测26.以下针对电信网络诈骗的处置操作，错误的是？A.转账前通过官方渠道核实对方身份，不轻易向陌生个人账户转账B.遭遇诈骗后第一时间保留交易记录、聊天截图，拨打110报警并联系银行冻结涉案账户C.看到“刷单返利”“足不出户日入千元”的招聘广告立刻扫码参与D.不向任何人透露自己的银行卡短信验证码、支付密码信息27.我国首个《网络安全产业高质量发展三年行动计划》提出，到2023年我国网络安全产业规模要超过多少亿元？A.1000亿元B.2500亿元C.5000亿元D.10000亿元28.以下关于VPN服务的使用，符合我国法律法规要求的是？A.私自搭建非法VPN翻墙访问境外违规网站B.使用经过国家有关部门批准的企业专用VPN服务，远程接入企业内部办公系统处理工作C.利用非法VPN工具传播违规音视频内容D.向他人出售非法VPN账号牟利29.以下关于云存储服务的使用，安全操作是？A.把自己的身份证照片、银行卡照片、核心工作涉密文档全部上传到公开的无资质第三方云盘存储B.选择具备合规资质的主流云服务平台存储个人非敏感数据，开启云盘二次认证功能，对存储的敏感文件进行本地加密处理后再上传C.设置云盘账号密码为123456，分享敏感文件时设置为完全公开访问D.把大量违法违规视频资源上传到公共云盘公开分享30.以下行为中，不符合网络伦理规范要求的是？A.尊重他人知识产权，不随意盗版传播他人原创作品B.针对网络热点事件随意编造传播虚假信息，恶意造谣诽谤他人C.文明上网理性发言，抵制网络暴力行为D.未成年人合理控制上网时长，不沉迷网络游戏单项选择题参考答案及解析：1.答案：B。解析：《网络安全法》2016年11月7日由全国人大常委会表决通过，正式施行日期为2017年6月1日。2.答案：C。解析：网络安全等级保护2.0体系将防护等级划分为自主保护级、指导保护级、监督保护级、强制保护级、专控保护级共5个等级。3.答案：C。解析：其余三类操作均存在明显的弱口令、密码泄露风险，多要素组合密码搭配加密存储是当前最高效的密码管理方式。4.答案：B。解析：勒索病毒核心行为即加密用户本地数据索要赎金，其余攻击类型核心特征与题干描述不符。5.答案：A。解析：公共无密码WiFi往往缺乏加密防护，攻击者可通过嗅探工具窃取用户传输的明文敏感信息，金融支付类操作必须在可信加密网络环境下完成。6.答案：B。解析：匿名化处理后无法识别到特定自然人的数据不属于个人信息范畴，更不属于敏感个人信息。7.答案：C。解析：所有快递相关业务咨询必须通过官方渠道核验，不得直接点击陌生邮件内的未知链接，避免访问钓鱼网站泄露信息。8.答案：B。解析：《个人信息保护法》明确规定了用户在处理目的达成、服务终止等场景下享有个人信息删除权，运营者需依规响应。9.答案：B。解析：《关键信息基础设施安全保护条例》2021年4月27日国务院常务会议通过，2021年9月1日正式施行。10.答案：C。解析：网络安全“三同步”要求指同步规划、同步建设、同步使用，覆盖信息系统全生命周期管理。11.答案：B。解析：公检法机关不会通过电话要求群众转账到所谓“安全账户”，该类场景属于典型的冒充公检法电信诈骗，必须通过官方渠道核验。12.答案：C。解析：多因素认证需要通过三类以上不同维度的认证要素组合核验身份，相比单因素、双因素认证安全强度提升显著。13.答案：C。解析：其余三类操作均违反《生成式人工智能服务管理暂行办法》相关要求，属于违法违规行为。14.答案：D。解析：显示器硬件老化属于硬件设备自然损耗特征，与计算机病毒感染没有关联。15.答案：D。解析：《未成年人网络保护条例》要求平台必须设置消费管控机制，避免未成年人非理性大额充值。16.答案：B。解析：DDoS攻击核心目标是挤占目标服务资源导致正常用户无法访问，普通用户终端也可能被感染成为攻击节点，会造成严重业务损失。17.答案：B。解析：《网络安全法》明确要求网络运营者留存网络日志不少于6个月，满足事件溯源调查需求。18.答案：C。解析：其余三类操作均属于违法违规处理个人信息的行为，严重违反《网络安全法》《个人信息保护法》相关规定。19.答案：B。解析：邮箱承载大量个人敏感信息，开启二次核验、定期清理可疑邮件能够有效降低被入侵风险。20.答案：C。解析：零信任核心原则是“永不信任、持续验证”，不存在一次核验永久授权的规则。21.答案：B。解析：所有账号异常登录提醒都要通过官方客户端操作核验，不得点击短信内的未知钓鱼链接。22.答案：C。解析：国家网络安全宣传周自2014年起连续举办，固定时间为每年9月第三周。23.答案：C。解析：家用智能摄像头监控画面涉及用户个人隐私，一旦公开分享极易被滥用引发隐私泄露风险，必须严格管控访问权限。24.答案：B。解析：处理个人信息达到100万人的个人信息处理者应当设置专门的个人信息保护负责人，统筹合规管理工作。25.答案：C。解析：APT攻击有极强的目标针对性，攻击成本极高，不会随机入侵无关终端设备。26.答案：C。解析：“刷单返利”类属于典型的电信网络诈骗手段，不存在高额返利的可能，参与后大概率会造成资金损失。27.答案：B。解析：工信部发布的网络安全产业三年行动计划明确提出，2023年网络安全产业规模突破2500亿元的发展目标。28.答案：B。解析：我国对VPN服务实行严格管理，只有经过正规审批的企业专用VPN服务可用于合法办公场景，私自搭建、售卖非法VPN均属于违法行为。29.答案：B。解析：敏感数据本地加密后再上传云存储，能够最大程度规避云服务侧数据泄露带来的风险。30.答案：B。解析：编造传播网络谣言、诽谤他人属于严重违反网络伦理甚至违反法律的行为，需承担相应法律责任。二、多项选择题（共15题，每题2分，共30分。下列每题给出的五个选项中，至少有两个选项符合题目要求，错选、少选、多选均不得分）1.以下属于典型社会工程攻击手段的有哪些？A.伪装成单位领导通过微信要求财务人员立刻转账到指定账户B.伪装成运营商客服以“您的手机号积分可兑换百元话费”为由诱导用户点击钓鱼链接填写验证码C.以“扫码免费领玩偶”为由诱导用户扫描带有木马下载程序的二维码D.通过公开渠道泄露的社工库数据匹配用户账号密码E.通过0day漏洞直接入侵未打补丁的服务器获取数据2.根据《中华人民共和国数据安全法》，我国将数据按照重要程度实行分类分级保护，以下属于核心数据特征的有？A.关系国家安全、国民经济命脉、重要民生、重大公共利益B.泄露后可能直接危害国家主权、安全和发展利益C.是国家层面实行重点保护的数据类别D.所有互联网企业日常运营产生的用户行为数据都属于核心数据E.核心数据的处理活动必须接受严格的安全管控3.以下操作能够有效防御勒索病毒攻击的有？A.定期对本地核心数据进行离线异机备份，备份设备平时物理断开与网络的连接B.及时更新操作系统和应用软件的安全补丁，封堵已知漏洞C.部署正规终端安全防护软件，开启勒索病毒专项防护功能D.所有终端设备全部设置最高权限开放，关闭所有安全防护策略E.不打开陌生邮件的未知附件、不访问陌生可疑网站，从源头降低感染风险4.按照《个人信息保护法》规定，处理下列哪些类型的个人信息需要取得单独的书面同意？A.处理敏感个人信息B.向境外提供个人信息C.基于个人同意处理个人信息后，将处理目的变更为原约定之外的场景D.处理匿名化后的公共统计数据E.公开处理他人的肖像、行踪轨迹等敏感信息5.以下属于关键信息基础设施范畴的行业领域有？A.公共通信和信息服务行业B.能源、交通、水利行业C.金融、公共服务、电子政务行业D.军事国防核心涉密领域E.完全不接入互联网的小型个体便利店收银系统6.以下针对密码安全的描述，正确的有？A.定期更换重要账号的密码，避免长期使用同一密码B.不要把密码告知任何陌生人，哪怕对方自称是平台客服、公安人员C.为了记忆方便，所有社交、金融、工作账号使用同一组密码D.不要在公共电脑上选择“记住密码”功能登录个人账号E.可以在各类社交平台公开分享自己的账号密码，方便好友使用7.以下属于网络暴力典型表现形式的有？A.基于未经核实的网络谣言对当事人进行群体性恶意谩骂、人身攻击B.恶意泄露当事人的姓名、家庭住址、联系方式等个人隐私信息进行“人肉搜索”C.恶意发起群体举报、骚扰当事人的亲友、工作单位逼迫当事人满足不合理要求D.针对热点事件理性发言、客观讨论，尊重当事人合法权益E.恶意P图丑化当事人形象，传播造谣性质的诽谤内容8.《网络安全法》明确规定的网络运营者应当履行的安全保护义务包括以下哪些选项？A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施E.可以随意向第三方提供用户收集的所有个人信息，不需要经过用户同意9.以下关于生成式AI内容安全的操作，符合合规要求的有？A.训练生成式AI模型时使用的训练数据必须获得对应的知识产权授权，不得盗用他人原创内容B.生成式AI服务提供者必须落实内容安全管理机制，及时过滤违法违规生成内容C.用户使用生成式AI生成内容后，要对生成内容的准确性、合规性进行人工核验，不得直接用于正式商用场景D.利用生成式AI批量生成深度伪造虚假人物视频，用于造谣诽谤他人E.向未成年人提供生成式AI服务时，要设置符合未成年人身心健康要求的内容防沉迷机制10.以下属于典型钓鱼攻击特征的有？A.网站域名和官方平台域名高度相似，仅存在个别字符差异B.页面内容诱导用户填写账号密码、银行卡号、短信验证码等敏感信息C.网站没有正规SSL安全证书，地址栏标注不安全提示D.是官方平台发布的安全公告页面E.通过陌生短信、邮件、社交消息渠道诱导用户点击访问多项选择题参考答案及解析：1.答案：ABCD。解析：E选项属于纯技术漏洞入侵手段，不涉及社会工程层面的人员欺骗要素，不属于社会工程攻击范畴。2.答案：ABCE。解析：普通互联网企业的用户行为数据不属于核心数据范畴，只有符合国家核心利益保护要求的数据才会被纳入核心数据管理。3.答案：ABCE。解析：D选项关闭安全防护策略会极大提升勒索病毒感染风险，完全不符合防御要求。4.答案：ABCE。解析：匿名化后的统计数据不属于个人信息，处理该类数据不需要获得个人的单独授权同意。5.答案：ABCD。解析：小型个体便利店的收银系统不涉及国计民生核心领域，不属于关键信息基础设施保护范畴。6.答案：ABD。解析：多账号共用同一套密码、公开分享密码都会极大提升账号泄露风险，属于典型的不安全操作。7.答案：ABCE。解析：D选项属于合法理性的网络参与行为，不属于网络暴力范畴。8.答案：ABCD。解析：未经用户同意随意向第三方提供个人信息属于违法违规行为，网络运营者必须依法履行用户信息保护义务。9.答案：ABCE。解析：利用生成式AI制作深度伪造内容诽谤他人属于违法行为，要承担相应的民事、刑事责任。10.答案：ABCE。解析：钓鱼网站本质是仿冒官方站点骗取用户敏感信息，所有特征都指向非官方仿冒属性，D选项属于官方正规页面特征。三、判断题（共15题，每题1分，共15分）1.只要不点击陌生邮件里的附件，直接点击陌生邮件内的链接绝对不会感染恶意代码。（）2.处理不满十四周岁未成年人的个人信息，任何场景下都必须无条件征得其监护人同意，不存在任何例外条款。（）3.发现自己的个人信息被平台违规泄露后，用户可以向网信部门、公安机关举报投诉，依法维护自身合法权益。（）4.普通个人用户只要安装了杀毒软件，就可以完全防御所有未知网络攻击，不需要再做其他安全防护操作。（）5.我国网络安全等级保护制度是我国网络安全领域的基本国策、基本制度，所有网络运营者都应当按照要求落实等级保护测评和防护义务。（）6.为了工作方便，可以把单位内部涉密的工作文档随意上传到公共网盘同步，方便随时下载使用。（）7.收到中奖通知提示“恭喜你获得苹果手机一台，点击链接填写收货地址和200元手续费即可领奖”，这种属于典型的中奖诈骗，不能随意转账。（）8.不同国家和地区的网络空间不是法外之地，任何主体在我国境内开展网络活动都必须遵守我国的相关法律法规要求。（）9.使用公共打印机打印文件时，打印结束后要第一时间取走所有打印文件，避免残留的敏感信息被无关人员窃取。（）10.DDoS攻击的成本极低，不会对目标企业造成任何实际的经营损失，不需要对该类攻击进行防御。（）11.《网络安全法》明确规定，境外的机构、组织、个人从事攻击、侵入、干扰、破坏等危害中华人民共和国的关键信息基础设施的活动，造成严重后果的，依法追究法律责任。（）12.为了提升工作效率，员工可以把自己的工作账号、密码随意转借外来维保人员使用，不需要做身份核验和操作监督。（）13.个人为了方便，可以把自己的银行卡、电话卡出借给他人使用，不需要承担任何后续法律责任。（）14.物联网智能摄像头的密码不需要修改，一直使用厂商默认的初始弱密码也不会存在任何被入侵的风险。（）15.网络安全防护是动态的持续过程，需要根据新的攻击威胁不断优化防护策略，不能一劳永逸。（）判断题参考答案及解析：1.答案：错。解析：部分恶意链接可以利用浏览器的零日漏洞，不需要用户下载附件直接访问即可触发恶意代码执行，存在极高感染风险。2.答案：错。解析：《未成年人网络保护条例》同时规定了法律、行政法规另有规定的例外场景，比如公共卫生突发事件流调、紧急救助等不需要提前获得监护人同意。3.答案：对。解析：公民个人信息权益受到侵害时，可以通过行政投诉、司法诉讼等多种渠道依法维权。4.答案：错。解析：不存在100%防御能力的安全产品，杀毒软件无法覆盖所有零日漏洞攻击，用户还要养成良好的安全使用习惯。5.答案：对。解析：网络安全等级保护制度是我国网络安全治理的基础性制度，覆盖所有网络运营主体。6.答案：错。解析：涉密文档严禁接入公共互联网同步，该行为会导致国家秘密泄露，违反保密法律法规要求。7.答案：对。解析：此类中奖诈骗目的是骗取用户所谓的手续费、个税费用，不存在真实中奖场景。8.答案：对。解析：我国对管辖范围内的网络活动享有司法管辖权，任何主体都没有法外特权。9.答案：对。解析：打印后的纸质文件包含大量敏感信息，及时取走可以避免信息泄露风险。10.答案：错。解析：高强度DDoS攻击可以直接导致企业线上业务全面中断，造成的直接和间接经济损失可达数百万元，必须落实相关防护举措。11.答案：对。解析：《网络安全法》明确赋予我国执法机关对境外危害我关键信息基础设施行为的追责权限，可以实施冻结财产等反制措施。12.答案：错。解析：工作账号转借他人会导致操作行为不可控，极易引发内部数据泄露风险，外来维保人员操作必须全程由内部员工陪同监督。13.答案：错。解析：个人出售、出借“两卡”如果被用于电信网络诈骗、洗钱等违法犯罪活动，本人需要承担相应的刑事法律责任。14.答案：错。解析：大量物联网设备的默认弱密码会被全球黑客扫描入侵，被控制成为僵尸网络节点，甚至导致监控画面泄露，存在极高安全风险。15.答案：对。解析：网络安全攻防是动态对抗过程，不存在绝对安全的防护状态，需要持续优化安全防护体系。四、综合应用题（共1题，16分）场景描述：某高校大一学生张某日常网络安全意识薄弱，日常有以下行为：所有社交、支付、游戏平台均使用统一的“zhang123456”作为账号密码，手机开启了陌生WiFi自动连接功能，经常扫码领取街头的“免费冰淇淋”，周末校外逛街时直接连接不知名商家的无密码WiFi进行大额网购支付，收到自称班主任的微信好友