2025年网络空间安全与应用考试及答案

2025年网络空间安全与应用考试及答案一、单项选择题（本大题共20小题，每小题1分，共20分）1.根据《中华人民共和国密码法》规定，用于保护不属于国家秘密信息的密码类型是（）A.核心密码B.普通密码C.商用密码D.对称密码参考答案：C答案解析：《中华人民共和国密码法》明确规定，核心密码用于保护国家绝密级、机密级信息，普通密码用于保护国家秘密级信息，商用密码用于保护不属于国家秘密的信息，对称加密是按加密体制划分的密码类型，不是按保护对象划分的法定分类，因此C选项正确。2.根据网络安全等级保护2.0国家标准体系，我国网络安全保护等级共划分为几个级别（）A.3B.4C.5D.6参考答案：C答案解析：网络安全等级保护2.0将网络与信息系统的安全保护等级从低到高划分为5个级别，分别为第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）、第五级（专控保护级），因此C选项正确。3.当前生成式人工智能服务场景中，下列不属于训练数据环节安全风险的是（）A.未经授权使用受版权保护的文本、图像数据B.训练数据中混入未脱敏的敏感个人信息C.训练数据样本分布偏差导致模型输出存在性别、种族偏见D.模型推理服务部署阶段发生流量劫持导致数据泄露参考答案：D答案解析：流量劫持发生在模型部署、推理运行阶段，不属于训练数据环节的安全风险，ABC三项均为生成式AI训练数据环节的典型风险，因此D选项正确。4.“东数西算”工程跨区域算力调度场景中，面临的最突出核心安全风险是（）A.数据跨区域传输过程中的窃听、篡改风险B.西部数据中心制冷能耗过高C.边缘算力节点算力不足D.存储硬件自然损耗过快参考答案：A答案解析：“东数西算”工程的核心特征是跨区域数据流通与算力调度，大量敏感业务数据、用户数据在跨网传输过程中，面临被窃听、篡改、劫持的风险，是该场景最突出的核心安全风险，BCD三项分别属于能耗问题、算力资源问题、硬件运维问题，不属于核心安全风险，因此A选项正确。5.某电商网站用户登录页面存在漏洞，攻击者构造恶意访问地址`/login?username=admin'or1=1--`实现绕过验证非法登录管理员账号，该攻击类型属于（）A.跨站脚本攻击B.SQL注入攻击C.跨站请求伪造D.命令注入攻击参考答案：B答案解析：题干中的恶意载荷是典型的SQL注入攻击语句，攻击者通过将恶意SQL语法插入用户输入参数，拼接进后端SQL查询语句，实现修改查询逻辑绕过登录验证，因此该攻击属于SQL注入攻击，B选项正确。6.零信任安全架构的核心思想是（）A.默认信任内部网络，不信任外部网络B.永不信任，始终验证C.基于网络边界的访问控制D.一次身份认证，永久获得访问权限参考答案：B答案解析：零信任架构打破了传统“边界内可信、边界外不可信”的安全模型，核心思想为“永不信任，始终验证”，对所有访问主体的身份、权限、环境进行持续验证，因此B选项正确。7.根据《中华人民共和国个人信息保护法》规定，下列选项中不属于敏感个人信息的是（）A.生物识别信息B.宗教信仰信息C.个人职业信息D.医疗健康信息参考答案：C答案解析：《中华人民共和国个人信息保护法》第二十八条明确规定，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，个人职业信息属于一般个人信息范畴，不属于敏感个人信息，因此C选项正确。8.下列加密算法中，属于非对称加密算法的是（）A.AESB.DESC.RSAD.SM4参考答案：C答案解析：AES、DES是国际通用对称加密算法，SM4是我国商用对称加密算法，RSA是典型的非对称加密算法，广泛用于密钥交换、数字签名等场景，因此C选项正确。9.网络空间安全核心目标的CIA三元组不包含下列哪一项（）A.保密性（Confidentiality）B.完整性（Integrity）C.可用性（Availability）D.可审计性（Auditability）参考答案：D答案解析：网络空间安全的核心基础目标CIA三元组由保密性、完整性、可用性三个核心要素构成，可审计性是重要的安全扩展目标，不属于CIA三元组范畴，因此D选项正确。10.根据《关键信息基础设施安全保护条例》规定，关键信息基础设施运营者应当至少多久开展一次安全检测评估，并将评估结果报送关键信息基础设施安全保护工作部门（）A.半年B.一年C.三年D.五年参考答案：B答案解析：《关键信息基础设施安全保护条例》第十七条明确规定，关键信息基础设施运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次安全检测评估，因此B选项正确。11.攻击者将恶意脚本代码注入到正常网页中，诱导用户点击后窃取用户的cookie信息，该攻击类型是（）A.跨站脚本攻击（XSS）B.SQL注入攻击C.DDoS攻击D.缓冲区溢出攻击参考答案：A答案解析：跨站脚本攻击的核心特征是将恶意脚本注入正常网页，在用户浏览器端执行恶意脚本，实现窃取用户信息、劫持会话等攻击目的，因此A选项正确。12.我国网络安全等级保护工作中，第三级网络的测评要求是（）A.自主测评B.每两年测评一次C.每年测评一次D.每半年测评一次参考答案：C答案解析：根据等保2.0测评要求，第二级网络每两年测评一次，第三级网络每年测评一次，第四级网络每半年测评一次，因此C选项正确。13.下列攻击方式中属于分布式拒绝服务攻击（DDoS）的是（）A.利用大量控制主机向目标服务器发送海量请求，导致目标无法响应合法请求B.破解目标服务器管理员密码C.窃取目标数据库中的用户数据D.篡改网站首页内容参考答案：A答案解析：分布式拒绝服务攻击的核心是利用多台受控主机向目标发送海量无效请求，耗尽目标的带宽、计算等资源，导致目标无法为合法用户提供服务，因此A选项正确。14.数字签名的主要功能不包括（）A.防伪造B.防抵赖C.数据加密D.完整性验证参考答案：C答案解析：数字签名的核心功能包括身份认证、防伪造、防抵赖、完整性验证，数据加密是加密算法的功能，不属于数字签名的核心功能，因此C选项正确。15.《网络安全法》规定，网络日志的留存期限不得少于（）A.三个月B.六个月C.一年D.两年参考答案：B答案解析：《中华人民共和国网络安全法》第二十一条明确规定，网络运营者应当监测、记录网络运行状态，按照规定留存相关网络日志不少于六个月，因此B选项正确。16.下列选项中属于我国自主研发的商用密码算法的是（）A.RSAB.SHA-256C.SM2D.AES参考答案：C答案解析：SM2是我国国家密码管理局发布的椭圆曲线非对称商用密码算法，RSA、SHA-256、AES均为国际通用算法，因此C选项正确。17.工业控制系统（ICS）面临的特有安全风险是（）A.攻击者利用漏洞控制工控设备，影响物理生产过程B.网站被篡改C.用户信息泄露D.邮箱收到钓鱼邮件参考答案：A答案解析：工业控制系统直接对接物理生产设备，攻击者入侵后可控制物理设备，影响生产流程甚至引发安全生产事故，这是工控系统区别于传统信息系统的特有安全风险，因此A选项正确。18.数据脱敏的主要目的是（）A.提升数据存储效率B.降低敏感数据泄露风险，满足合规要求C.提升数据处理速度D.加密敏感数据参考答案：B答案解析：数据脱敏通过对敏感数据进行替换、掩码、哈希等处理，在保留数据可用性的同时去除敏感标识，主要目的是降低敏感数据泄露风险，满足个人信息保护等合规要求，因此B选项正确。19.网络钓鱼攻击的核心手段是（）A.发送海量垃圾邮件B.伪装成可信实体骗取用户敏感信息C.破解用户密码D.入侵网站服务器参考答案：B答案解析：网络钓鱼攻击的核心是通过伪装成银行、官方机构等可信实体，发送虚假邮件、短信、链接，骗取用户输入账号密码、银行卡号等敏感信息，因此B选项正确。20.《生成式人工智能服务管理暂行办法》要求，提供生成式人工智能服务应当按照规定对用户进行（）A.匿名注册B.身份核验C.无需实名认证D.付费注册参考答案：B答案解析：《生成式人工智能服务管理暂行办法》明确要求，提供生成式人工智能服务应当按照规定对用户进行真实身份信息核验，因此B选项正确。二、多项选择题（本大题共10小题，每小题2分，共20分，多选、少选、错选均不得分）1.网络安全等级保护2.0标准体系的保护对象包含下列哪些领域（）A.传统基础信息网络与通用信息系统B.云计算平台/系统C.工业控制系统D.物联网E.大数据平台/系统参考答案：ABCDE答案解析：等保2.0在传统保护对象基础上，拓展了保护范围，将云计算、大数据、物联网、工业控制系统、移动互联网应用等新兴技术领域纳入保护体系，实现了对所有网络主体的全覆盖，因此五个选项均正确。2.根据《中华人民共和国数据安全法》，开展数据处理活动应当遵守的原则包括（）A.合法B.正当C.必要D.诚信E.公正参考答案：ABCD答案解析：《数据安全法》第三条明确规定，开展数据处理活动应当依照法律、法规，遵循合法、正当、必要、诚信原则，因此ABCD四个选项正确。3.生成式人工智能服务的典型安全风险包括（）A.生成违法违规有害信息B.侵害知识产权和个人信息权益C.被用于实施诈骗、诽谤等违法犯罪活动D.算法偏见引发歧视问题E.模型权重泄露引发知识产权风险参考答案：ABCDE答案解析：当前生成式人工智能安全风险覆盖内容合规、权益保护、违法利用、算法公平、知识产权等多个维度，五个选项均属于生成式AI的典型安全风险，因此全部正确。4.常见的SQL注入攻击防护手段包括（）A.使用参数化查询（预编译语句）B.对用户输入的特殊字符进行转义过滤C.分配最小权限的数据库连接账号D.关闭数据库错误信息对外输出E.定期开展漏洞扫描与渗透测试参考答案：ABCDE答案解析：参数化查询从根源避免了SQL注入风险，输入过滤转义可以拦截恶意载荷，最小权限可以限制注入攻击的影响范围，关闭错误输出可以避免攻击者获取数据库结构信息，定期测评可以及时发现残留漏洞，五个选项均为有效的防护手段，因此全部正确。5.零信任架构的核心设计原则包括（）A.永不信任，始终验证B.最小权限访问C.持续风险评估D.微隔离E.基于边界信任参考答案：ABCD答案解析：基于边界信任是传统网络安全模型的原则，零信任否定了边界信任模型，ABCD均为零信任的核心设计原则，因此正确选项为ABCD。6.敏感个人信息处理需要满足的条件包括（）A.具有特定的目的和充分的必要性B.取得个人的单独同意C.进行事前个人信息保护影响评估D.依法取得相关行政许可E.无需告知个人处理规则参考答案：ABC答案解析：根据《个人信息保护法》，处理敏感个人信息需要满足具有特定目的和充分必要性、取得个人单独同意、开展事前个人信息保护影响评估三个核心条件，并非所有敏感个人信息处理都需要行政许可，同时必须告知处理规则，因此正确选项为ABC。7.下列选项中属于对称加密算法特点的是（）A.加密解密使用相同密钥B.加密速度快，适合加密大量数据C.密钥分发难度大D.加密强度高于非对称加密E.加密解密使用不同密钥参考答案：ABC答案解析：对称加密加密解密使用相同密钥，具有加密速度快的优势，适合加密大文件批量数据，但是存在密钥分发困难的问题，加密强度与算法实现有关，并不一定高于非对称加密，加密解密用不同密钥是非对称加密的特点，因此正确选项为ABC。8.关键信息基础设施包括下列哪些领域的重要设施（）A.公共通信B.能源交通C.水利金融D.公共服务E.政务科技参考答案：ABCDE答案解析：《关键信息基础设施安全保护条例》明确，关键信息基础设施覆盖公共通信、能源、交通、水利、金融、公共服务、政务、科技等重要领域，一旦遭到破坏会严重危害国家安全、公共利益，因此五个选项均正确。9.DDoS攻击的常见防护手段包括（）A.流量清洗B.购买高防带宽C.使用CDN分发D.源地址验证E.关闭不必要的端口服务参考答案：ABCDE答案解析：流量清洗可以过滤无效攻击流量，高防带宽可以提升流量承载能力，CDN可以将业务分散到边缘节点，避免源站直接承受攻击，源地址验证可以拦截伪造源地址的攻击流量，关闭不必要的端口服务可以减少攻击面，五个选项均为有效的DDoS防护手段，因此全部正确。10.网络空间安全面临的新兴安全威胁包括（）A.生成式AI驱动的精准钓鱼攻击B.深度伪造诈骗C.AI赋能的漏洞自动化利用D.供应链攻击E.车联网安全威胁参考答案：ABCDE答案解析：随着人工智能、物联网、自动驾驶等技术的发展，生成式AI钓鱼、深度伪造、AI漏洞利用、供应链攻击、车联网安全威胁均成为当前网络空间安全领域的新兴威胁，因此五个选项均正确。三、简答题（本大题共4小题，每小题10分，共40分）1.简述网络空间安全CIA三元组的具体含义。参考答案：CIA三元组是网络空间安全最核心的三个目标，具体含义如下：（1）保密性：指信息不被未授权的主体访问、泄露，确保只有合法授权的用户才能访问敏感信息，防止信息泄露给未授权主体，常见技术手段包括加密、访问控制等（3分）。（2）完整性：指信息在存储、传输过程中不被未授权的主体篡改、破坏，保证信息从源端到目的端的一致性、完整性，常见技术手段包括哈希校验、数字签名等（3分）。（3）可用性：指合法用户需要访问信息或服务时，能够正常获得服务，不会因为攻击或故障导致合法用户无法访问，保障服务持续可用，常见防护手段包括冗余备份、DDoS防护、容灾备份等（4分）。2.简述跨站脚本攻击（XSS）的分类及防护手段。参考答案：跨站脚本攻击按照攻击触发方式可以分为三类：（1）存储型XSS：恶意脚本存储在目标服务器的数据库、文件等存储介质中，用户访问页面时自动触发，危害最大，常见于论坛留言、用户评论等场景（2分）。（2）反射型XSS：恶意脚本作为请求参数发送给服务器，反射回用户浏览器执行，需要诱导用户点击恶意链接触发，常见于搜索框、登录跳转等场景（2分）。（3）DOM型XSS：恶意脚本不经过服务器后端处理，完全依靠前端DOM解析触发，攻击逻辑完全在前端执行（1分）。XSS攻击的主要防护手段：（1）对所有用户输入进行严格验证过滤，对特殊脚本字符如<、>、"、'等进行转义处理（2分）。（2）对输出到页面的用户可控内容进行编码，避免浏览器解析为恶意脚本（1分）。（3）设置HttpOnly属性，禁止JavaScript读取cookie，降低XSS攻击窃取会话的危害（1分）。（4）使用内容安全策略（CSP），限制浏览器只能执行信任源的脚本，拦截恶意脚本执行（1分）。3.简述关键信息基础设施运营者的核心安全保护义务。参考答案：根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者的核心安全保护义务包括：（1）设置专门安全管理机构和安全管理负责人，对安全管理负责人和关键岗位人员进行安全背景审查（2分）。（2）定期对从业人员进行网络安全教育、技术培训和技能考核（2分）。（3）对重要系统和数据库进行容灾备份，定期开展应急演练，制定应急预案并及时处置安全事件（2分）。（4）每年至少开展一次安全检测评估，按照要求将评估结果报送保护工作部门（2分）。（5）在国家安全机关调查打击危害关键信息基础设施安全活动时，提供技术支持和协助，落实数据安全、个人信息保护等相关法律要求的其他义务（2分）。4.简述数据分类分级的核心意义。参考答案：数据分类分级是数据安全保护的基础工作，核心意义包括：（1）满足合规要求：我国《数据安全法》《网络安全法》等法律法规明确要求对数据进行分类分级保护，落实分类分级是企业满足监管合规要求的基础（3分）。（2）明确保护重点：通过分类分级可以梳理出企业的核心重要数据、敏感个人信息，将有限的安全资源投入到高价值核心数据的保护中，避免资源浪费，提升安全防护效率（3分）。（3）支撑安全管控：基于分类分级结果，可以针对不同级别的数据制定差异化的安全防护策略，比如对核心数据采取更严格的加密、访问控制、审计措施，对一般数据采取基础防护，实现精准防护（2分）。（4）应对数据安全事件：分类分级结果可以帮助企业在发生数据安全事件时，快速判定事件影响等级，采取对应级别的响应处置措施，降低事件危害，满足监管上报要求（2分）。四、综合应用题（本大题共1小题，共20分）题目：某地方城市商业银行建设了线上手机银行APP、核心业务系统、用户数据中心，存储了超过500万个人客户的身份信息、金融账户信息、交易数据，核心业务系统属于关键信息基础设施，按照要求已经完成网络安全等级保护三级备案。结合网络空间安全知识，回答以下问题：（1）该银行核心业务系统面临的主要安全风险有哪些？（10分）（2）针对上述风险，给出对应的安全防护方案。（10分）参考答案：（1）该银行核心业务系统面临的主要安全风险包括：①数据安全风险：银行存储了大量敏感个人信息和金融核心数据，面临内部人员违规导出数据、外部攻击者窃取数据、数据流转过程中泄露等风险，一旦发生数据泄露会严重损害用户权益，引发合规风险（2分）。②应用安全风险：手机银行APP、网上银行门户面临SQL注入、XSS、缓冲区溢出等常见应用漏洞风险，同时还面临API未授权访问、接口参数篡改等新兴API安全风险，攻击者可利用漏洞非法获取用户账号信息（2分）。③身份仿冒与诈骗风险：攻击者利用钓鱼短信、