2025年网络安全防护考试及答案

2025年网络安全防护考试及答案一、单项选择题（共20题，每题1分，满分20分）1.根据2024年12月正式实施的《中华人民共和国网络数据安全管理条例》，关键信息基础设施运营者处理个人信息达到多少规模时，应当依法申报数据安全审查？A.50万人以上B.100万人以上C.150万人以上D.200万人以上答案：B解析：《网络数据安全管理条例》第二十三条明确规定，关键信息基础设施运营者处理一百万人以上个人信息的，或者开展一百万人以上个人信息出境活动的，应当按照国家有关规定申报数据安全审查，因此B选项正确。2.据国家计算机网络应急技术处理协调中心（CNCERT）2025年1月发布的《2024年中国网络安全态势报告》，2024年我国境内监测到的AI赋能型网络攻击事件同比增长幅度为以下哪项？A.87.2%B.124.5%C.213.7%D.345.1%答案：C解析：CNCERT公开报告显示，随着生成式AI技术的普及，攻击者利用AI降低攻击门槛、提升攻击精准度的趋势明显，2024年AI赋能型攻击事件同比增长213.7%，占全年新增网络安全事件的41.2%，是增长最快的攻击类型，因此C选项正确。3.按照《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019，即等保2.0）要求，四级信息系统的安全测评周期至少为？A.半年一次B.一年一次C.两年一次D.三年一次答案：A解析：等保2.0框架下，网络安全等级测评周期明确要求为：三级信息系统每年至少开展一次安全测评，四级信息系统每半年至少开展一次安全测评，因此A选项正确。4.企业部署自定义生成式AI大模型应用时，针对提示注入攻击的防护，以下哪项措施优先级最低？A.对用户输入进行内容过滤与语义校验B.对大模型输出进行安全审核C.采用隔离架构将训练数据与用户查询逻辑隔离D.提升大模型的参数规模答案：D解析：提示注入攻击的核心是攻击者通过构造特殊输入诱导大模型绕过安全规则，访问非授权数据或执行非授权指令，单纯提升大模型参数规模无法解决安全规则漏洞问题，其余三项均为当前行业公认的提示注入攻击有效防护措施，因此D选项优先级最低，为正确答案。5.针对勒索病毒攻击，当前主流防护架构中，以下哪项是勒索病毒成功加密数据后恢复业务的核心保障措施？A.安装终端杀毒软件B.配置多副本离线隔离备份C.关闭不必要的公网端口D.定期安装系统安全补丁答案：B解析：杀毒软件部署、端口关闭、补丁更新均为事前预防措施，若勒索病毒成功突破防线加密核心数据，只有离线隔离的多副本备份能够实现无赎金业务恢复。据CNCERT2025年公开数据，2024年发生勒索攻击的企业中，拥有合规离线备份的企业92%可以在72小时内恢复全部业务，未做合规备份的企业仅18%能够完全恢复业务，符合当前行业实际防护逻辑，因此B选项正确。6.根据《个人信息保护法》要求，以下哪类信息不属于敏感个人信息？A.生物识别信息B.宗教信仰信息C.个人姓名与普通通讯地址D.医疗健康信息答案：C解析：《个人信息保护法》第二十八条明确规定，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，普通姓名与通讯地址不属于敏感个人信息范畴，因此C选项正确。7.当前主流零信任网络访问架构（ZTNA）中，以下哪项是实现访问控制的核心依据？A.用户身份与当前终端安全状态B.用户所在网络位置C.用户所属部门D.访问请求发起时间答案：A解析：零信任架构打破了传统“内网即可信”的假设，核心逻辑是基于用户身份、终端安全状态的持续验证，结合最小权限原则分配访问权限，与网络位置无关，因此A选项正确。8.针对深度伪造电信诈骗的防护，以下哪项措施对普通用户而言性价比最高、效果最明确？A.不接陌生来电B.涉及转账操作必须通过线下或官方渠道二次核实C.安装AI识别软件D.不使用社交软件答案：B解析：当前深度伪造技术已经可以实现高精度的人脸、声音伪造，单纯的软件识别无法做到100%准确，最可靠的防护方式是所有涉及资金转账的请求，必须通过线下面对面、官方客服电话等可信渠道二次核实，因此B选项正确。9.关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据，应当储存在哪里？A.可以自由选择存储位置B.境内，确需出境的应当依法进行安全评估C.必须存储在境内，不允许出境D.存储在境外的应当向监管部门备案答案：B解析：《数据安全法》第三十一条明确规定，关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定，确需出境的应当依法开展安全评估，因此B选项正确。10.针对工业控制系统（ICS）的网络安全防护，以下哪项做法是错误的？A.工业控制网络与企业办公网络做逻辑隔离B.直接将工业控制设备暴露在公网方便远程维护C.定期对控制系统做漏洞扫描与补丁更新D.对远程维护操作采用身份认证与访问审计答案：B解析：工业控制系统多数存在老旧漏洞，直接暴露在公网会被攻击者批量扫描利用，极易引发生产安全事故，因此B选项做法错误，为正确答案。11.云环境下，云服务客户（租户）的安全责任不包括以下哪项？A.租户应用程序的安全B.租户存储数据的安全C.云数据中心物理基础设施的安全D.租户操作系统的安全配置答案：C解析：根据云安全责任共担模型，云服务商负责云底层基础设施、物理机房的安全，租户负责自身应用、数据、操作系统配置的安全，因此C选项不属于租户安全责任，正确。12.以下哪项是钓鱼邮件攻击最核心的特征？A.邮件附件携带病毒B.伪装成合法机构诱导用户泄露账号密码等敏感信息C.邮件发送地址为陌生地址D.邮件内容包含广告信息答案：B解析：钓鱼邮件的核心目的是骗取用户敏感信息，携带病毒是附件型钓鱼的附属特征，不是核心特征，因此B选项正确。13.根据《网络产品安全漏洞管理规定》，网络产品提供者发现产品存在安全漏洞后，应当怎么做？A.及时修复漏洞，并告知使用者，按规定向漏洞库报送B.隐瞒漏洞防止被攻击者利用C.等漏洞被公开后再修复D.只修复影响大的漏洞，小漏洞不需要处理答案：A解析：《网络产品安全漏洞管理规定》明确要求，产品提供者发现漏洞后应当及时修复、告知使用者、按规定报送，因此A选项正确。14.2025年针对AI大模型训练数据的合规要求，以下哪项做法是合法的？A.抓取互联网公开未授权内容直接用于训练B.使用获得商用授权的合法数据集开展训练C.未经同意收集用户个人信息用于训练D.复制其他大模型的训练数据用于自身模型训练答案：B解析：《生成式人工智能服务管理暂行办法》要求训练数据必须合法，因此B选项做法合法，正确。15.跨站脚本攻击（XSS）的核心危害是以下哪项？A.窃取用户的会话cookie，冒充用户身份操作B.破坏服务器硬盘数据C.导致服务器宕机D.获取服务器管理员权限答案：A解析：跨站脚本攻击是发生在客户端的攻击，核心危害是窃取用户会话信息，冒充用户身份，因此A选项正确。16.SQL注入攻击的产生原因是以下哪项？A.服务器数据库版本过低B.未对用户输入的SQL语句做过滤，将用户输入带入数据库执行C.数据库端口开放D.数据库密码强度过低答案：B解析：SQL注入产生的核心原因是开发人员未做输入校验，将用户输入直接拼接进SQL语句带入执行，因此B选项正确。17.以下哪项不属于身份认证中的多因素认证？A.密码加手机验证码B.密码加指纹识别C.两个不同网站的相同密码D.UKey加个人识别码答案：C解析：多因素认证要求结合两个及以上不同类型的认证因子，两个相同密码属于同一认证因子，不属于多因素认证，因此C选项正确。18.数据脱敏的核心目的是什么？A.缩小数据存储体积B.去除数据中的敏感信息，使得数据可以安全用于开发、测试等场景C.加密数据防止泄露D.提升数据处理速度答案：B解析：数据脱敏的核心目的是去除敏感信息，保留数据的可用性，实现数据的安全利用，因此B选项正确。19.网络安全事件发生后，运营者应当首先做哪项工作？A.关闭所有服务器防止扩散B.处置风险防止危害扩大，留存相关证据，按规定向监管部门报告C.对外封锁消息防止影响声誉D.立刻通知所有用户答案：B解析：《网络安全事件应急预案》明确要求，事件发生后应当第一时间控制风险、防止扩大、留存证据、上报监管，因此B选项正确。20.针对物联网设备的网络安全防护，以下哪项做法最合理？A.使用设备默认密码，方便管理B.将所有物联网设备直接接入办公内网C.更改默认强密码，将物联网设备划分到独立VLAN隔离D.不需要更新物联网设备固件答案：C解析：物联网设备默认密码、未隔离是被攻击的主要原因，合理做法是更改强密码、隔离在独立区域，因此C选项正确。二、多项选择题（共10题，每题2分，满分20分，多选、少选、错选均不得分）1.根据《生成式人工智能服务管理暂行办法》，我国生成式AI服务提供者应当履行的网络安全义务包括以下哪些？A.对训练数据的合法性进行审核B.对生成内容进行内容安全审核C.落实网络安全等级保护制度D.对用户信息进行保护，不得非法泄露用户个人信息答案：ABCD解析：《生成式人工智能服务管理暂行办法》明确要求，生成式AI服务提供者应当履行数据安全、内容安全、网络安全主体责任，上述四项均为法定安全义务，因此全选。2.2025年主流零信任网络访问架构（ZTNA）遵循的核心原则包括以下哪些？A.永不信任，始终验证B.基于最小权限分配访问权限C.持续评估用户与终端的安全状态D.默认开放内部网络访问权限答案：ABC解析：零信任架构的核心是打破传统“内网可信”的假设，默认拒绝所有访问，通过持续验证、最小权限实现精细化访问控制，因此D选项错误，ABC正确。3.AI驱动型网络钓鱼与传统批量钓鱼邮件相比，具备哪些新的典型特征？A.能够基于公开信息精准定制与收件人身份匹配的内容，欺骗性远高于传统钓鱼B.可以批量生成不同内容的钓鱼邮件，降低钓鱼内容重复率，绕过传统垃圾邮件过滤规则C.攻击制作成本远低于传统精准钓鱼攻击D.能够结合深度伪造生成语音、视频内容，大幅提升社会工程学攻击的成功率答案：ABCD解析：AI技术降低了精准钓鱼的制作门槛，提升了钓鱼内容的定制化程度和绕过检测的能力，上述四项均为当前AI钓鱼的典型特征，因此全选。4.关键信息基础设施包括以下哪些行业的重要信息系统？A.能源、交通行业B.水利、金融行业C.政务、通信行业D.广播电视、国防工业行业答案：ABCD解析：《关键信息基础设施安全保护条例》明确规定，上述行业的重要信息系统均属于关键信息基础设施范畴，因此全选。5.以下哪些属于2025年常见的AI安全风险？A.训练数据包含有毒样本导致模型输出有害内容B.提示注入攻击导致敏感训练数据泄露C.大模型被用于生成零日漏洞利用代码D.深度伪造用于诈骗与虚假信息传播答案：ABCD解析：上述四类风险均为当前已经被证实存在的AI安全风险，因此全选。6.数据泄露防护（DLP）系统可以防护以下哪些场景的数据泄露？A.内部员工通过邮件发送敏感数据B.内部员工通过U盘拷贝敏感数据C.敏感数据上传到公开云存储D.外部攻击者通过SQL注入窃取数据答案：ABC解析：DLP主要针对内部违规流出、外部违规导入场景的数据泄露防护，SQL注入属于外部攻击漏洞利用，DLP无法直接防护，因此ABC正确。7.以下哪些做法符合密码安全管理要求？A.不同平台使用不同的密码B.定期更换密码C.启用多因素认证D.把密码记录在公开共享文档中答案：ABC解析：把密码记录在公开文档会导致密码泄露，不符合安全要求，因此ABC正确。8.针对供应链网络安全攻击，以下哪些防护措施是有效的？A.对第三方供应商开展安全尽职调查B.对第三方软件源码开展安全审计C.部署软件成分分析工具检测开源组件漏洞D.只采购经过安全认证的网络产品答案：ABCD解析：上述措施均可以有效降低供应链攻击风险，因此全选。9.以下哪些属于网络安全主体责任的内容？A.建立健全网络安全管理制度B.开展网络安全宣传教育培训C.定期开展安全检测与风险评估D.制定网络安全事件应急预案并定期演练答案：ABCD解析：《网络安全法》明确要求网络运营者应当履行上述主体责任，因此全选。10.2024年《网络数据安全管理条例》要求，数据处理者开展以下哪些活动应当申报数据安全审查？A.处理一百万人以上个人信息的关键信息基础设施运营者B.出境一百万人以上个人信息C.处理超过100GB重要数据的大型企业D.国家网信部门规定的其他需要申报审查的活动答案：ABD解析：《网络数据安全管理条例》明确规定上述ABD三种情形需要申报数据安全审查，因此ABD正确。三、判断题（共10题，每题1分，满分10分）1.企业内部办公网络采用物理隔离方式与互联网断开，因此不需要开展网络安全防护工作。（）答案：错误解析：物理隔离网络依然面临移动介质摆渡攻击、内部人员违规操作、供应链植入恶意程序、内部越权访问等安全风险，按照《网络安全法》要求，任何运营网络的主体都需要落实安全防护责任，因此该说法错误。2.根据《个人信息保护法》，处理敏感个人信息应当取得个人的单独同意，法律、行政法规另有规定的除外。（）答案：正确解析：《个人信息保护法》第二十八条、第二十九条明确规定，处理敏感个人信息应当取得个人的单独同意，因此该说法正确。3.AI生成内容不存在知识产权问题，可以自由商用。（）答案：错误解析：当前我国法律明确要求，AI生成内容利用了他人拥有知识产权的训练数据，生成内容的商用需要符合知识产权相关规定，因此该说法错误。4.开放远程桌面服务（RDP）到公网，并且不设置强密码和多因素认证，是被勒索病毒攻击的常见原因。（）答案：正确解析：CNCERT数据显示，2024年超过30%的勒索攻击是利用公网开放的未做安全防护的远程桌面入侵，因此该说法正确。5.企业可以将未脱敏的用户敏感个人信息共享给第三方用于商业用途，不需要取得用户同意。（）答案：错误解析：《个人信息保护法》要求，共享个人信息应当取得个人同意，因此该说法错误。6.零信任架构要求对所有访问请求，无论来自内网还是外网，都需要进行身份验证和授权。（）答案：正确解析：零信任的核心逻辑就是不区分内外网，所有访问都需要验证，因此该说法正确。7.点击陌生邮件中的链接、下载陌生邮件的附件是感染恶意程序的主要途径之一。（）答案：正确，该说法符合当前网络攻击的传播特征，因此正确。8.只要安装了杀毒软件，就不会感染任何恶意程序了。（）答案：错误解析：杀毒软件只能检测已知恶意程序，无法防护零日恶意程序，因此该说法错误。9.运营者应当对网络安全从业人员定期开展安全培训，提升安全防护意识和能力。（）答案：正确，符合网络安全主体责任要求，因此正确。10.生成式AI服务提供者不需要对用户生成的内容负责，所有责任由用户承担。（）答案：错误解析：《生成式人工智能服务管理暂行办法》要求，生成式AI服务提供者应当对用户生成的违法违规内容履行审核、处置义务，因此该说法错误。四、案例分析题（共2题，每题25分，满分50分）案例1：A省某地级市政务服务中心2024年10月上线新一代政务服务APP，整合了全市12个部门的政务服务数据，包含个人身份信息、社保信息、不动产信息等，该平台按照等保2.0要求定级为三级信息系统，平台开发运维工作整体外包给第三方B公司。2025年2月，当地网信部门接到举报，该平台有120万用户的个人信息在互联网地下交易市场流传。经溯源调查，事件原因如下：B公司开发人员为了方便在项目交付后远程调试，在APP的后端服务器预留了未公开的管理员测试接口，该接口未做身份验证控制，且接口文档存储在公开可访问的代码托管平台，被攻击者爬虫抓取后利用，攻击者通过接口批量下载了全量用户数据。本次事件未造成核心政务系统瘫痪，但导致大量个人信息泄露。问题1：请结合现行法律法规，分析本次事件中政务服务中心（运营单位）和B公司（开发运维服务商）分别存在哪些违规行为？（10分）问题2：请结合2025年网络安全防护要求，列出运营单位应当采取的整改措施。（15分）参考答案：问题1：（1）运营单位（政务服务中心）的违规行为：①未落实网络安全主体责任，对第三方外包服务商的开发运维活动未开展全流程有效安全监管，未按照三级等保要求落实安全测试、权限管控、安全监测等核心要求，违反《网络安全法》第二十一条关于网络运营者落实安全保护义务的规定；②未按照《个人信息保护法》要求落实个人信息全流程安全管控责任，对承载大量敏感个人信息的平台未开展合规性审查，违反个人信息保护相关规定；③未按照《网络数据安全管理条例》要求建立数据安全风险监测机制，未及时发现未授权访问漏洞，数据泄露后未第一时间启动处置流程，违反数据安全管理相关规定。（6分）（2）开发运维服务商B公司的违规行为：①违规预留未授权测试接口，未按照安全开发规范开展代码开发，未在交付前披露隐藏的敏感接口，违反《网络安全法》第二十七条以及《网络产品安全漏洞管理规定》关于漏洞披露和安全开发的要求；②违规将包含敏感接口信息的内部文档上传至公开代码托管平台，未落实代码安全管理要求，是本次事件发生的直接原因，对事件后果负有直接责任。（4分）问题2整改措施：①立即处置风险隐患：删除后端服务器所有不必要的预留测试接口，全面排查所有代码和存储资源中的隐藏敏感信息，关闭所有非必要的公网开放端口与权限，对服务器进行全面恶意代码扫描，要求所有管理员账号更换为强密码并强制启用多因素认证；（3分）②依法开展事件处置：按照《数据安全法》《个人信息保护法》要求，及时向属地网信部门、政务服务主管部门报告事件，对泄露涉及的用户逐一发送告知提醒，采取技术措施防止泄露信息被进一步滥用，配合监管部门开展事件调查；（3分）③完善第三方外包安全管理体系：修订第三方服务商安全管理规范，明确要求所有外包开发项目必须落实安全开发生命周期（SDL）要求，项目交付前必须委托第三方合规机构开展渗透测试，在服务合同中明确服务商的安全责任与违约责任，定期对服务商的运维操作开展安全审计；（3分）④升级安全防护体系：按照三级等保要求补充完善安全控制措施，部署Web应用防火墙（WAF）、入侵检测系统（IDS）、数据泄露防护系统（DLP），对所有后端接口的访问行为开展实时监测，建立异常访问自动告警机制，落实7*24小时安全值班制度；（3分）⑤建立长效风险管控机制：完成整改后委托合规测评机构重新开展等级测评，针对本次事件暴露的风险开展全平台数据安全风险评估，建立每季度一次的全平台漏洞扫描机制，每年至少开展一次全员安全培训和应急演练，提升整体安全防护能力。（3分）案例2：某国内零售企业C公司，2024年底上线基于开源大模型微调的智能客服系统，面向消费者提供订单查询、售后咨询、商品推荐等服务，智能客服系统存储了近三年来180万用户的历史对话记录，其中包含用户收货地址、联系电话、消费记录等个人信息，所有用户对话数据均未做脱敏直接用于大模型微调训练。2025年3月，安全测试人员发现，通过构造特殊提示词，可以诱导智能客服输出其他用户的历史对话内容，导致大量个人信息泄露，该漏洞已经被攻击者利用，部分泄露信息已经在互联网扩散。问题1：请分析本次事件产生的核心原因。（10分）问题2：列出针对生成式AI智能客服的安全防护改进措施。（15分）参考答案：问题1核心原因：①训练数据与推理环境隔离不到位：C公司未将用户历史对话训练数