2025年计算机网络安全考试试题及答案

2025年计算机网络安全考试试题及答案一、单项选择题（共15题，每题2分，总计30分。每题只有1个正确答案，错选、多选、不选均不得分）1.2024年正式实施的《网络安全等级保护3.0》系列标准中，核心防御框架新增的两大能力模块是（）A.密码保障、溯源反制B.入侵检测、漏洞扫描C.数据加密、身份认证D.日志审计、应急响应2.下列关于零信任架构“永不信任、始终验证”核心原则的描述，错误的是（）A.不默认信任任何内部网络的访问请求B.所有访问主体的权限遵循最小权限原则C.仅在首次访问时做身份验证，后续访问无需重复校验D.所有访问行为需做全链路审计3.NIST于2024年正式发布的后量子密码标准中，用于密钥交换场景的优先推荐算法是（）A.RSA-3072B.CRYSTALS-KyberC.ECC-256D.SM24.OWASP2024年发布的API安全Top10风险中，排名第一的风险类型是（）A.失效的用户认证B.失效的对象级授权（BOLA）C.过度数据暴露D.资源耗尽5.2024年修订的《中华人民共和国数据安全法》将数据划分的三个层级是（）A.公开数据、敏感数据、涉密数据B.一般数据、重要数据、核心数据C.个人数据、企业数据、政务数据D.普通数据、敏感数据、核心数据6.下列不属于2025年主流勒索软件攻击典型特征的是（）A.采用“加密+数据泄露+DDoS”三重勒索模式B.以供应链投毒为核心入侵路径C.仅针对Windows操作系统发起攻击D.利用生成式AI实现攻击全流程自动化7.生成式AI应用面临的典型prompt安全风险中，攻击者通过构造特殊输入诱导AI输出违反安全规则内容的攻击类型是（）A.Prompt泄漏B.提示注入C.越狱攻击D.训练数据投毒8.CVSS4.0漏洞评分体系中，新增的评分维度是（）A.攻击复杂度B.环境威胁自适应指标C.可用性影响D.权限要求9.车联网C-V2X通信场景中，用于实现消息身份合法性校验的核心支撑体系是（）A.防火墙系统B.入侵检测系统C.安全证书管理体系（SCMS）D.数据加密系统10.云原生安全场景中，微隔离技术的核心作用是（）A.阻止外部网络入侵B.限制容器、微服务之间的非法横向访问C.实现容器镜像安全扫描D.防护DDoS攻击11.下列关于IPv6安全扩展头的风险描述，错误的是（）A.路由扩展头可被用于绕过访问控制策略B.逐跳选项头可被用于构造放大攻击C.认证头（AH）可实现数据完整性校验，无安全风险D.封装安全载荷头（ESP）配置不当可导致数据泄露12.网络攻防演练场景中，下列属于违规攻击手段的是（）A.利用公开漏洞获取目标系统权限B.对目标系统发起DDoS攻击导致业务中断C.构造钓鱼邮件获取用户账号密码D.爬取目标网站公开数据获取敏感信息13.《个人信息保护法》规定，处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意？A.14B.16C.18D.1214.下列属于主动防御技术的是（）A.防火墙访问控制B.入侵检测日志审计C.威胁狩猎D.病毒查杀15.NISTSP800-61Rev.3应急响应框架中，新增的核心环节是（）A.遏制阶段B.根除阶段C.威胁狩猎环节D.恢复阶段二、填空题（共10题，每题2分，总计20分）1.等保3.0的核心防御体系框架是以____为核心，三重防护为基础，新增密码保障和溯源反制两大能力模块。2.NIST选定的后量子密码算法中，用于数字签名场景的主流推荐算法是____。3.零信任架构的三大核心技术组件是身份提供商（IdP）、____、策略执行点（PEP）。4.2024年OWASP发布的Web应用安全Top10中，排名第一的风险类型是____。5.生成式AI应用面临的典型prompt安全风险包括____、提示注入、越狱攻击三种核心类型。6.数据安全防护的“三同步”原则是指同步规划、同步建设、____。7.云原生安全中，用于记录软件所有组件及依赖关系的核心文档是____。8.CVSS4.0评分体系中，将攻击向量分为网络、相邻、本地、____四个层级。9.国密算法体系中，用于非对称加密的算法是____，用于哈希运算的算法是SM3。10.网络应急响应的核心原则中，____优先级高于数据恢复、高于攻击溯源。三、简答题（共4题，每题10分，总计40分）1.简述2025年主流勒索软件攻击的典型特征及对应防护方案。2.简述零信任架构在企业远程办公场景下的部署实现逻辑。3.简述后量子密码算法迁移的核心实施步骤及注意事项。4.简述生成式AI应用的核心安全风险及对应的管控措施。四、综合应用题（共2题，每题30分，总计60分）1.某省级政务云平台2025年完成等保3.0三级测评整改，平台承载12个政务系统，存储200万公民个人敏感信息，近期收到威胁情报显示有APT组织针对政务系统发起供应链攻击。结合所学知识设计一套覆盖全层级的纵深防御体系，需明确各层级核心技术手段、管控规则及运营要求。2.某新能源车企的车联网平台近期监测到三类安全风险：一是部分V2X通信消息被伪造，诱导车辆执行错误操作；二是多款车型的车机系统存在远程Root漏洞，可被攻击者控制车辆核心功能；三是用户行车轨迹、生物识别数据存在泄露风险。结合车联网安全标准设计完整的解决方案，需明确风险处置优先级、技术实现路径及合规要求。参考答案一、单项选择题答案及解析1.答案：A。解析：等保3.0在2.0“一个中心、三重防护”基础上，新增密码保障体系和溯源反制能力，强化主动防御属性。2.答案：C。解析：零信任要求对所有访问请求做持续、动态的身份校验与权限评估，而非仅首次访问验证。3.答案：B。解析：CRYSTALS-Kyber是NIST选定的后量子密码体系中优先用于密钥交换的算法，可抵御量子计算对传统非对称加密的破解风险。4.答案：B。解析：失效的对象级授权（BOLA）连续三年位列OWASPAPI安全Top10榜首，占API安全事件的40%以上。5.答案：B。解析：2024年修订的《数据安全法》明确将数据划分为一般数据、重要数据、核心数据三个层级，实行分级分类防护。6.答案：C。解析：2025年主流勒索软件已实现跨平台攻击，覆盖Windows、Linux、macOS、物联网设备等多类终端。7.答案：C。解析：越狱攻击指攻击者构造特殊prompt绕过AI内容安全策略，诱导其输出违法违规内容。8.答案：B。解析：CVSS4.0新增环境威胁自适应指标，可结合目标系统实际部署场景动态调整漏洞评分，提升评分准确性。9.答案：C。解析：安全证书管理体系（SCMS）是车联网C-V2X通信的核心安全支撑，可实现消息签名、身份认证、证书撤销等功能。10.答案：B。解析：微隔离技术核心作用是实现云原生环境下容器、微服务、工作负载之间的细粒度访问控制，阻止攻击者横向移动。11.答案：C。解析：认证头（AH）若配置不当，可被攻击者利用发起反射攻击或绕过访问控制策略，存在安全风险。12.答案：B。解析：攻防演练明确禁止发起可能导致目标业务中断的DDoS攻击、破坏性攻击等违规手段。13.答案：A。解析：《个人信息保护法》明确规定处理不满14周岁未成年人个人信息需取得监护人同意。14.答案：C。解析：威胁狩猎属于主动防御技术，通过主动挖掘潜在威胁，而非被动等待攻击告警。15.答案：C。解析：NISTSP800-61Rev.3在原有应急响应四阶段基础上新增威胁狩猎环节，强化事前风险发现能力。二、填空题答案1.安全管理中心2.CRYSTALS-Dilithium3.策略引擎（PE）4.失效的访问控制5.Prompt泄漏6.同步使用7.软件物料清单（SBOM）8.物理9.SM210.业务恢复三、简答题参考答案1.典型特征（4分）：①三重威胁模式：加密文件+数据泄露威胁+DDoS攻击的三重勒索组合，勒索金额平均提升300%；②供应链投毒为核心入侵路径：通过开源组件漏洞、第三方服务商供应链植入恶意代码，占入侵事件的62%；③AI赋能攻击自动化：利用大语言模型生成高度定制化鱼叉钓鱼邮件，自动化识别高价值资产，攻击效率提升80%；④无文件攻击占比超70%：直接在内存中执行恶意代码，绕过传统杀毒软件检测。防护方案（6分）：①备份体系建设：落实3-2-1-1备份原则（3份备份、2种存储介质、1份异地备份、1份离线备份），每季度开展备份恢复演练；②供应链安全管控：建立全量软件SBOM清单，定期扫描开源组件漏洞，对第三方服务商实行安全准入评估；③端点安全升级：全量部署EDR/XDR工具，配置内存扫描、行为分析规则，识别无文件攻击；④邮件安全防护：升级集成AI深度伪造检测能力的邮件网关，识别AI生成的钓鱼邮件；⑤威胁情报联动：接入APT组织威胁情报库，提前匹配攻击特征，实现提前预警。2.部署逻辑（10分）：①身份统一管理：搭建企业统一身份提供商（IdP），整合所有业务系统账号，对远程办公人员、第三方运维人员实行多因素认证（MFA），禁用弱口令、静态口令；②权限最小化分配：基于角色权限管理（RBAC）+属性权限管理（ABAC）的组合模式，按照岗位、工作场景分配最小必要权限，权限有效期实行自动过期机制；③动态策略校验：所有远程访问请求首先经过策略引擎校验，结合访问主体身份、访问时间、访问地点、终端环境安全状态等多维度属性动态评估，不符合规则的请求直接拦截；④流量全链路审计：对所有远程办公流量做全量加密传输与日志留存，留存时长不少于6个月，对异常访问行为（如异地登录、高频访问敏感数据）自动触发告警与二次身份校验；⑤终端环境校验：远程访问前自动扫描终端安全状态，存在未打补丁、安装恶意软件的终端禁止接入内部网络。3.实施步骤（6分）：①资产盘点：梳理全量密码应用场景，包括密钥交换、数字签名、数据加密等场景的算法使用情况，建立密码资产清单；②风险评估：评估现有算法面临的量子计算破解风险，按照业务重要性、数据敏感等级划分迁移优先级；③算法选型：优先选用NIST及国密局认定的后量子密码算法，密钥交换场景选用CRYSTALS-Kyber或国密后量子算法，签名场景选用CRYSTALS-Dilithium；④并行迁移：采用新旧算法并行运行的模式，逐步替换原有RSA、ECC等传统算法，避免业务中断；⑤测试验证：迁移完成后开展兼容性、安全性、性能测试，确保不影响业务正常运行；⑥合规测评：邀请第三方测评机构开展密码应用安全性评估，符合等保3.0密码防护要求。注意事项（4分）：①优先迁移核心业务场景：涉及核心数据、重要数据的加密场景优先迁移，一般业务场景可延后迁移；②做好密钥管理：建立后量子密码密钥全生命周期管理体系，避免密钥泄露；③预留兼容性接口：兼容现有传统密码算法，满足存量设备的访问需求；④关注算法标准更新：及时跟进后量子密码算法的最新标准与漏洞情况，及时升级补丁。4.核心安全风险（4分）：①Prompt安全风险：包括Prompt泄漏、提示注入、越狱攻击，可导致敏感信息泄露、生成违法违规内容；②训练数据安全风险：训练数据包含敏感信息、侵权内容，可导致数据泄露、知识产权纠纷；③生成内容安全风险：生成内容存在虚假信息、深度伪造内容，可引发诈骗、舆情风险；④模型安全风险：模型被投毒、窃取，可导致模型输出被控制、知识产权被侵犯。管控措施（6分）：①Prompt安全防护：部署Prompt防火墙，配置攻击特征库，识别注入、越狱等攻击行为，对敏感Prompt实行脱敏处理；②训练数据管控：开展训练数据脱敏、清洗，删除敏感信息、侵权内容，建立训练数据溯源机制；③内容安全审核：部署AI生成内容检测工具，对输出内容做合规审核，识别虚假信息、深度伪造内容，过滤违法违规内容；④模型安全防护：对模型部署水印、溯源技术，防止模型被窃取，定期开展模型安全测试，识别投毒风险；⑤合规管理：落实《生成式人工智能服务管理暂行办法》要求，对生成内容做标识，留存操作日志不少于6个月。四、综合应用题参考答案1.纵深防御体系设计（30分）：①身份安全层（6分）：部署零信任架构，所有访问请求（内部人员、运维人员、公众用户）首先经过身份校验，管理员、运维人员启用生物识别+UKey的多因素认证，基于最小权限原则分配访问权限，所有操作全量审计，日志留存不少于6个月。②网络安全层（6分）：划分独立安全域，不同政务系统之间部署微隔离，域间访问实行严格访问控制，部署IPS、APT检测系统，匹配APT组织供应链攻击特征，实时拦截恶意流量，所有外部访问流量经过WAF、抗DDoS系统清洗。③数据安全层（6分）：开展数据分类分级，200万公民敏感信息划分为核心数据，存储端采用国密SM4加密，传输端采用TLS1.3+SM2签名，访问核心数据实行双人审批、脱敏处理，所有数据操作留痕，部署数据泄露防护（DLP）系统，拦截敏感数据非法外传。④供应链安全层（6分）：建立所有政务系统的SBOM清单，定期扫描开源组件漏洞，上线前开展第三方渗透测试，第三方开发人员提交代码需经过安全审计，禁用未知来源的第三方组件，对第三方服务商开展年度安全评估。⑤运营安全层（6分）：建立7*24小时安全运营值守机制，每周开展威