2025年网络安全考试试题及答案

2025年网络安全考试试题及答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国数据安全法》规定，国家对数据实行分类分级保护，其中一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会对国家安全、公共利益造成严重损害的数据属于哪一类？A.一般数据B.重要数据C.核心数据D.敏感个人数据参考答案：B解析：根据《数据安全法》及分类分级相关国家标准，核心数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会对国家安全造成特别严重损害的数据；重要数据是指会对国家安全、公共利益造成严重损害的数据；一般数据是指不会对国家安全和公共利益造成严重损害的数据，因此B选项正确。2.根据《网络安全等级保护条例》要求，运营者应当定期对等级保护对象进行安全测评，其中第三级网络安全等级保护对象的测评频率为？A.每1年1次B.每2年1次C.每半年1次D.每3年1次参考答案：A解析：《网络安全等级保护条例》明确规定，一级等级保护对象应当每年开展一次自查，二级等级保护对象每2年开展一次测评，三级等级保护对象每1年开展一次测评，四级等级保护对象每半年开展一次测评，因此A选项正确。3.根据《生成式人工智能服务管理暂行办法》，提供生成式人工智能服务应当遵守的安全合规要求，以下表述错误的是？A.训练数据应当符合知识产权、个人信息保护相关法律法规要求B.对生成内容进行审核，防止违法违规内容生成传播C.境内提供服务收集的用户信息存储可以直接存放在境外服务器D.应当落实网络安全等级保护制度，制定安全管理制度和应急预案参考答案：C解析：《生成式人工智能服务管理暂行办法》明确要求，在我国境内提供生成式人工智能服务过程中收集和产生的个人信息和重要数据，应当存储在境内；确需向境外提供的，应当依法依规开展数据出境安全评估，因此C选项表述错误，符合题意。4.根据《网络产品安全漏洞管理规定》，网络运营者发现其运营的信息系统存在高危安全漏洞后，应当在多长时间内完成漏洞修复或采取必要的风险管控措施？A.24小时B.48小时C.72小时D.1周参考答案：B解析：《网络产品安全漏洞管理规定》要求，网络运营者应当及时对其运营的网络和信息系统开展漏洞检测，发现高危漏洞后应当在48小时内完成修复或采取必要的防护措施，因此B选项正确。5.根据《中华人民共和国密码法》，核心密码用于保护下列哪类信息？A.绝密级国家秘密B.机密级国家秘密C.秘密级国家秘密D.重要商业秘密参考答案：A解析：《密码法》规定，核心密码用于保护绝密级国家秘密，普通密码用于保护机密级、秘密级国家秘密，商用密码用于保护不属于国家秘密的信息，因此A选项正确。6.根据《中华人民共和国个人信息保护法》，处理个人信息应当取得个人同意，以下不属于应当重新取得个人同意的情形是？A.变更个人信息处理目的B.变更个人信息处理方式C.扩大个人信息处理范围D.个人信息处理者变更工商注册地址参考答案：D解析：《个人信息保护法》规定，个人信息处理目的、处理方式、处理的个人信息范围发生变更的，应当重新取得个人同意；变更注册地址属于企业经营信息变更，不涉及个人信息处理核心事项变更，无需重新取得同意，因此D选项正确。7.零信任安全架构的核心原则是？A.永不信任，始终验证B.默认信任内部网络，仅防护外部边界C.一次验证永久授权D.基于静态IP授予访问权限参考答案：A解析：零信任架构打破了传统“内部可信、外部不可信”的边界防护思路，核心原则是“永不信任，始终验证”，基于用户身份、设备状态、访问环境等多个维度动态验证授权，因此A选项正确。8.跨站请求伪造（CSRF）攻击的核心原理是？A.利用用户浏览器对目标网站已认证的身份凭证，伪造恶意请求B.向目标网站注入恶意脚本，窃取用户Cookie信息C.读取用户本地磁盘中的敏感文件D.绕过服务器身份验证直接获取系统权限参考答案：A解析：跨站脚本攻击（XSS）的核心是注入恶意脚本窃取Cookie，CSRF攻击的核心是利用用户已有的登录会话，伪造用户的请求发起操作，因此A选项正确。9.以下加密算法中，属于非对称加密算法的是？A.AES-256B.RSAC.DESD.SM4参考答案：B解析：AES、DES、SM4都属于对称加密算法，RSA、SM2属于非对称加密算法，因此B选项正确。10.鱼叉式网络钓鱼攻击与普通网络钓鱼攻击的核心区别是？A.针对特定组织或特定个人定制攻击内容B.攻击覆盖范围更广，面向不特定多数用户C.仅通过短信载体发起攻击D.不需要伪造官方网站参考答案：A解析：普通网络钓鱼攻击为广撒网模式，面向不特定多数用户，鱼叉式网络钓鱼针对特定目标，收集目标信息后定制钓鱼内容，攻击成功率更高，因此A选项正确。11.以下哪个是我国自主研发的商用密码算法？A.SHA-1B.ECCC.SM2D.Diffie-Hellman参考答案：C解析：SM2、SM3、SM4、SM9都是我国自主研发的商用密码算法，其余选项均为国外算法，因此C选项正确。12.根据《关键信息基础设施安全保护条例》，下列不属于关键信息基础设施的是？A.面向公众提供服务的大型银行核心业务系统B.大型城市的电力调度控制系统C.企业内部员工办公OA系统D.国家级民用航空空中交通管理系统参考答案：C解析：关键信息基础设施是指面向公众提供公共服务，一旦遭到破坏会危害国家安全、公共利益的重要基础设施，企业内部办公OA不属于关键信息基础设施范畴，因此C选项正确。13.SQL注入攻击的攻击目标是？A.网站后台数据库B.用户终端浏览器C.网络传输链路D.DNS服务器参考答案：A解析：SQL注入攻击是通过将恶意SQL语句插入到用户输入参数中，传入后台数据库执行非法操作，实现窃取、篡改数据库数据的目的，攻击目标是网站后台数据库，因此A选项正确。14.数据分类分级工作的核心目的是？A.区分数据重要程度，实施差异化安全保护B.方便数据统计分类C.满足数据开放要求D.方便数据出境传输参考答案：A解析：数据分类分级的核心目的是识别不同数据的敏感程度和重要程度，对核心数据、重要数据、一般数据实施不同强度的安全保护，提升数据安全保护效率，因此A选项正确。15.以下哪个是防止DDoS攻击的有效防护手段？A.流量清洗B.数据加密C.入侵检测D.身份认证参考答案：A解析：DDoS攻击通过发送大量流量占用目标网络带宽和服务资源，流量清洗可以识别并过滤攻击流量，保障正常业务流量通行，是DDoS防护的核心手段，因此A选项正确。16.根据《网络安全法》，网络运营者对用户操作日志留存的最低要求是？A.日志留存不少于六个月B.日志留存不少于三个月C.日志留存不少于一年D.无需留存日志参考答案：A解析：《网络安全法》明确要求，网络运营者应当留存网络日志不少于六个月，因此A选项正确。17.以下不属于APT攻击特点的是？A.攻击目标明确B.攻击持续时间长C.攻击技术水平高D.攻击目的以窃取流量为主，不会长期潜伏参考答案：D解析：APT攻击是高级持续性威胁攻击，特点是目标明确、技术先进、长期潜伏，以长期窃取敏感信息为目的，因此D选项表述错误，符合题意。18.远程桌面协议RDP默认使用的端口是？A.22B.3389C.80D.443参考答案：B解析：端口22默认是SSH协议，80默认是HTTP，443默认是HTTPS，3389默认是Windows远程桌面RDP协议，因此B选项正确。19.以下哪个安全控制措施符合访问控制中的最小权限原则？A.仅授予员工完成工作必需的系统访问权限B.员工离职后不收回访问权限C.授予部门所有员工全系统访问权限D.将管理员权限授予所有普通用户参考答案：A解析：最小权限原则要求仅为主体授予完成任务所必需的最小权限，避免权限过大带来的安全风险，因此A选项符合要求。20.当发生个人信息泄露事件后，个人信息处理者应当按照规定及时通知哪些主体？A.仅公安机关B.仅受影响的个人C.监管部门和受影响的个人D.仅网信部门不需要通知个人参考答案：C解析：《个人信息保护法》规定，发生个人信息泄露事件后，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和受影响的个人，因此C选项正确。二、多项选择题（每题2分，共20分）1.根据《中华人民共和国个人信息保护法》，处理敏感个人信息需要满足的条件包括？A.取得个人的单独同意B.具有特定的目的和充分的必要性C.采取严格的安全保护措施D.仅需要取得一般同意即可参考答案：ABC解析：敏感个人信息是指一旦泄露会危害人身财产安全的个人信息，包括生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹等信息，根据《个保法》要求，处理敏感个人信息需要取得个人单独同意，具有特定目的和充分必要性，并且采取严格的安全保护措施，因此ABC正确。2.生成式人工智能服务提供者应当落实的安全管理要求包括？A.建立训练数据合法性审核机制，不得使用非法获取的训练数据B.对用户的输入信息进行安全审核，防范违法违规内容生成C.建立生成内容安全核查机制，对生成内容进行审核过滤D.对注册用户进行真实身份信息认证参考答案：ABCD解析：以上四项均为《生成式人工智能服务管理暂行办法》明确要求生成式人工智能服务提供者应当落实的安全管理要求，因此全选。3.网络安全等级保护2.0的“一个中心三重防护”体系中，“三重防护”包含以下哪些部分？A.通信网络防护B.区域边界防护C.计算环境防护D.安全管理防护参考答案：ABC解析：等级保护2.0的“一个中心三重防护”中，一个中心是安全管理中心，三重防护分别是通信网络防护、区域边界防护、计算环境防护，因此ABC正确。4.根据《数据出境安全评估办法》，下列哪些情形下，数据处理者向境外提供数据应当申报数据出境安全评估？A.关键信息基础设施运营者向境外提供个人信息或者重要数据B.处理100万人以上个人信息的个人信息处理者向境外提供个人信息C.出境数据中包含100GB以上重要数据D.累计向境外提供10万人以上个人信息参考答案：ACD解析：根据《数据出境安全评估办法》，处理100万人以上个人信息的个人信息处理者向境外提供个人信息才需要申报安全评估，10万人不需要，因此B错误，ACD正确。5.常见的Web应用安全漏洞包括以下哪些？A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.命令注入参考答案：ABCD解析：以上四类均为常见的Web应用层安全漏洞，因此全选。6.网络安全应急响应的核心阶段包括？A.监测预警B.应急处置C.溯源分析D.恢复总结参考答案：ABCD解析：标准网络安全应急响应流程分为监测预警、应急处置、溯源分析、恢复复盘总结四个核心阶段，因此全选。7.以下属于物联网安全主要风险的有？A.终端设备安全防护能力弱，容易被攻破控制B.设备默认密码普遍存在，容易被暴力破解C.数据传输过程缺乏加密，容易被窃取D.物联网设备数量多，管理难度大参考答案：ABCD解析：以上都是物联网场景下的典型安全风险，因此全选。8.关键信息基础设施运营者应当履行的安全保护义务包括？A.对重要系统和数据库进行容灾备份B.制定网络安全事件应急预案，定期开展应急演练C.每年至少开展一次安全测评D.境内收集产生的个人信息和重要数据应当在境内存储参考答案：ABCD解析：以上四项均为《关键信息基础设施安全保护条例》规定的运营者应当履行的安全保护义务，因此全选。9.口令攻击常见的方法包括？A.暴力破解B.字典攻击C.钓鱼窃取D.拖库撞库参考答案：ABCD解析：以上四种均为常见的口令获取攻击方法，因此全选。10.数据安全治理的核心内容包括？A.明确数据安全责任主体B.建立数据分类分级制度C.落实数据安全保护技术措施D.建立数据安全风险监测和应急处置机制参考答案：ABCD解析：以上四项均为数据安全治理体系的核心组成内容，因此全选。三、判断题（正确打√，错误打×，每题1分，共10分）1.网络安全等级保护2.0将云计算、大数据、物联网、工业控制系统等新兴技术领域的系统全部纳入等级保护监管范围。（）参考答案：√解析：等保1.0主要针对传统信息系统，等保2.0拓展了保护范围，将各类新兴领域的网络和系统都纳入等级保护管理，因此表述正确。2.根据《数据安全法》，核心数据可以随意向境外组织提供，不需要审批。（）参考答案：×解析：核心数据是关系国家安全的重要数据，核心数据出境应当经过严格的安全评估和审批程序，不得随意向境外提供，因此表述错误。3.XSS攻击按照实现方式可以分为存储型XSS、反射型XSS和DOM型XSS三类。（）参考答案：√解析：这是XSS攻击的标准分类方式，因此表述正确。4.个人信息处理者处理个人信息，只要取得了用户同意就可以任意使用个人信息，不受其他限制。（）参考答案：×解析：取得用户同意只是处理个人信息的合法基础之一，处理行为还应当符合合法、正当、必要、诚信等原则，不得超出告知的范围处理个人信息，因此表述错误。5.APT攻击通常是有组织的高级攻击，目的是长期潜伏窃取目标敏感信息，攻击持续性强。（）参考答案：√解析：APT攻击的核心特点就是高级、持续，由有组织的攻击团队发起，以长期窃取敏感信息为目的，因此表述正确。6.对称加密算法的加密和解密使用相同的密钥，非对称加密使用不同的密钥。（）参考答案：√解析：这是对称加密和非对称加密的核心区别，因此表述正确。7.备份数据不需要做加密处理，存储在本地就可以保障安全。（）参考答案：×解析：备份数据包含大量敏感信息，应当进行加密存储，防止备份数据泄露，因此表述错误。8.零信任架构要求所有访问请求都需要经过验证，不区分内部和外部访问。（）参考答案：√解析：零信任不默认任何内部访问都是可信的，所有访问请求都需要经过动态验证，因此表述正确。9.网络钓鱼攻击仅通过电子邮件发起，不会通过短信、社交软件发起。（）参考答案：×解析：当前钓鱼攻击的载体越来越多元化，短信钓鱼、社交软件钓鱼都非常普遍，因此表述错误。10.运营者发现网络安全漏洞后，不得在漏洞修复前向社会公开漏洞信息。（）参考答案：√解析：根据《网络产品安全漏洞管理规定》，在产品提供者完成漏洞修复前，不得擅自公开漏洞信息，防止被攻击者利用发起攻击，因此表述正确。四、简答题（每题6分，共24分）1.简述我国《网络安全法》规定的网络运营者应当履行的基本安全义务。参考答案：（1）落实网络安全等级保护制度，按照等级保护要求开展安全建设和防护；（2）对用户身份进行真实身份信息核验，落实网络实名制要求；（3）按照规定留存网络日志不少于六个月；（4）对收集的用户个人信息采取加密、去标识化等必要安全措施，保障个人信息安全，不得非法泄露、出售用户个人信息；（5）制定网络安全事件应急预案，定期开展演练，发生安全事件时及时处置并上报监管部门；（6）不得利用网络从事危害国家安全、侵犯他人合法权益等违法活动，对平台内的违法内容及时发现处置。2.简述零信任安全架构的核心优势。参考答案：（1）打破了传统边界防护的局限，适应当前远程办公、云办公、移动办公的场景，解决了传统防护无法应对内部威胁、网络边界模糊的问题；（2）实现了动态访问控制，基于身份、设备状态、访问环境、业务属性等多维度实时验证授权，大幅降低了越权访问的风险；（3）有效缩小了攻击面，通过最小权限授权限制攻击者横向移动，攻击者即使攻破单个节点也无法扩散攻击，提升了整体安全性；（4）完善了安全审计能力，对所有访问行为都可以进行全链路记录审计，满足合规要求，也方便入侵后的溯源处置。3.简述什么是数据脱敏，以及数据脱敏的主要作用。参考答案：数据脱敏是指对原始敏感数据进行技术变形处理，通过替换、掩码、洗牌、加密脱敏等方式，去除数据中的敏感个人信息、商业秘密等内容，同时保留数据原始的业务属性和可用性的技术。数据脱敏的主要作用包括：（1）保护敏感信息，避免敏感数据在开发测试、数据共享、第三方合作等非生产场景泄露；（2）满足合规要求，符合《个人信息保护法》《数据安全法》对敏感数据保护的强制要求；（3）平衡数据安全与数据利用，在不泄露敏感信息的前提下，充分挖掘数据价值，支撑业务研发、数据分析、数据共享等需求。4.简述常见的网络钓鱼攻击识别要点。参考答案：（1）域名核验：钓鱼网站通常使用仿冒域名，和官方域名存在细微差异，比如更换字母、添加二级域名前缀，需要仔细核对域名的真实性；（2）内容判断：钓鱼内容通常会制造焦虑诱导操作，比如“账户冻结，请立即登录验证”“身份证过期，请点击链接更新”，官方机构不会以这种方式要求用户输入敏感信息；（3）索要信息识别：凡是要求用户直接输入账号密码、银行卡号、身份证号、短信验证码的陌生链接，基本都是钓鱼攻击；（4）链接验证：点击陌生链接前，可将鼠标悬浮在链接上查看实际跳转地址，不要直接点击来源不明的链接。五、案例分析题（共26分）案例：某地方三级公立医院，2024年上线了新的线上预约挂号和缴费系统，该系统存储了超过50万名患者的个人身份信息、就诊记录、医保信息等敏感数据，该医院将系统定级为二级等保对象，仅安排了一名行政人员兼职负责系统安全，未定期开展漏洞扫描和安全测评，也未对存储的患者敏感数据进行加密处理。2025年1月，攻击者通过全网扫描发现该系统存在未授权访问高危漏洞，利用漏洞直接下载了所有患者的敏感数据，随后攻击者向医院勒索500万元加密货币，否则将在暗网公开所有数据，医院此时才发现系统被入侵，但由于系统未开启完整的安全审计功能，无法追溯攻击者的入侵路径。问题1：结合本案例，分析该医院存在哪些网络安全违规和管理缺陷？（12分）问题2：针对本次勒索攻击事件，说明医院应当采取哪些正确的处置措施？（14分）参考答案：问题1：该医院存在的问题主要包括三个层面：（1）合规层面：①违反等级保护要求，二级等保系统应当每两年开展一次安全测评，该医院未定期开展测评和漏洞扫描，未落实等级保护的安全防护要求，数据加密、安全审计等基本安全控制措施缺失，不满足等级保护的合规要求；②违反《个人信息保护法》要求，处理大量患者敏感