2025年网安题库及答案整-理

2025年网安题库及答案整理一、单项选择题1.根据《网络安全等级保护条例》及等保2.0相关标准，第三级网络/信息系统应当至少多长时间开展一次合规测评？A.1次/年B.2次/年C.1次/两年D.1次/半年答案：A解析：等保2.0合规要求明确，第二级网络/信息系统每两年至少开展一次测评，第三级每年至少一次，第四级每半年至少一次，因此本题选A。2.零信任架构的核心默认原则是以下哪一项？A.内部默认安全，外部默认威胁B.永不信任，始终验证C.基于身份的细粒度授权D.持续监控动态响应答案：B解析：零信任的核心基础原则就是“永不信任，始终验证”，打破了传统“内网可信、外网不可信”的边界信任假设，其余选项是零信任的实现特征而非核心原则，因此本题选B。3.根据《网络数据安全管理条例》，核心数据的出境或者处理活动应当由哪个部门组织开展安全评估？A.省级网信部门B.国家网信部门C.市级网信部门D.行业主管部门答案：B解析：《网络数据安全管理条例》明确规定，核心数据处理活动及核心数据出境应当由国家网信部门组织开展安全评估，重要数据处理活动及重要数据出境由省级网信部门组织评估，因此本题选B。4.我国《密码法》规定，核心密码、普通密码的保护对象是以下哪类信息？A.不属于国家秘密的信息B.商业秘密和个人信息C.国家秘密信息D.公开可流通信息答案：C解析：《密码法》第七条明确规定，核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息，因此本题选C。5.根据《生成式人工智能服务管理暂行办法》，以下关于生成式AI服务的安全要求，表述错误的是哪一项？A.提供者应当对AI生成内容进行多维度审核B.训练数据应当符合知识产权和个人信息保护规定C.仅需完成备案即可上线，无需安全评估D.应当留存用户交互日志不少于六个月答案：C解析：《生成式人工智能服务管理暂行办法》明确，提供面向公众的生成式AI服务，应当按照规定完成安全评估后才可上线对外开放，未完成安全评估的服务不得上线，因此C选项表述错误，本题选C。6.以下哪种攻击属于典型的应用层漏洞利用攻击？A.SYN洪水攻击B.DNS放大攻击C.SQL注入攻击D.端口扫描探测答案：C解析：SYN洪水攻击、DNS放大攻击属于传输层/网络层DDoS攻击，端口扫描属于攻击前的信息探测行为，SQL注入是利用Web应用对用户输入校验不足的漏洞窃取数据或控制服务器，属于典型的应用层攻击，因此本题选C。7.等保2.0相比等保1.0，新增了哪一项核心安全层面要求？A.物理安全B.网络安全C.应用安全D.安全管理中心答案：D解析：等保2.0构建了“一个中心三重防护”的安全架构，其中“一个中心”即安全管理中心，是等保1.0未明确提出的新增核心要求，因此本题选D。8.根据《个人信息保护法》，处理敏感个人信息不需要满足以下哪一项条件？A.取得个人的单独同意B.向个人告知处理敏感个人信息的必要性以及对个人权益的影响C.处理未成年人敏感个人信息需取得监护人同意D.仅需取得个人的一般同意即可答案：D解析：《个人信息保护法》明确规定，处理敏感个人信息必须取得个人的单独同意，仅取得一般同意不满足合规要求，因此D选项不符合规定，本题选D。9.以下哪种VPN适合移动办公场景下单个远程用户接入企业内网，且支持浏览器免客户端接入？A.站点到站点IPsecVPNB.SSLVPNC.MPLSVPND.GRE隧道VPN答案：B解析：SSLVPN基于HTTPS协议开发，适配移动终端，支持浏览器免客户端接入，适合单个远程用户接入企业内网，其余三类VPN多用于企业之间站点到站点的内网互联，因此本题选B。10.通用漏洞评分系统CVSSv3.0标准中，哪个分数区间对应高危漏洞？A.4.0-6.9分B.7.0-8.9分C.9.0-10.0分D.0.0-3.9分答案：B解析：CVSSv3.0标准漏洞分级规则为：0.0-3.9分低危，4.0-6.9分中危，7.0-8.9分高危，9.0-10.0分严重，因此高危漏洞对应区间为7.0-8.9分，本题选B。11.根据《关键信息基础设施安全保护条例》，保护部门对关键信息基础设施开展安全检查的最低频率要求是？A.至少每年一次B.至少每两年一次C.至少每半年一次D.至少每三年一次答案：A解析：《关键信息基础设施安全保护条例》第二十条明确规定，负责关键信息基础设施安全保护工作的部门，至少每年对管辖范围内的关键信息基础设施开展一次安全检查，因此本题选A。12.以下哪一项是我国自主研发的非对称加密国密算法？A.SM2B.SM3C.SM4D.SM7答案：A解析：SM2是基于椭圆曲线的非对称加密国密算法，SM3是密码哈希算法，SM4是对称分组密码算法，SM7是适用于门禁等场景的对称密码算法，因此本题选A。13.《网络数据安全管理条例》规定，处理个人信息达到多少规模的处理者，应当指定个人信息保护负责人？A.一百万人B.五十万人C.一百五十万人D.二百万人答案：A解析：《网络数据安全管理条例》明确，处理一百万人以上个人信息的个人信息处理者，应当指定个人信息保护负责人，并向监管部门报送负责人信息，因此本题选A。二、多项选择题1.等保2.0架构中“一个中心三重防护”的“三重防护”包含以下哪几个部分？A.安全计算环境防护B.安全区域边界防护C.安全通信网络防护D.安全运维管理防护答案：ABC解析：等保2.0的“三重防护”分别为安全通信网络、安全区域边界、安全计算环境，加上安全管理中心共同构成“一个中心三重防护”架构，安全运维管理属于安全管理体系内容，不属于三重防护范畴，因此本题选ABC。2.根据《数据出境安全评估办法》，以下哪些情形需要主动申报数据出境安全评估？A.处理100万人以上个人信息的处理者向境外提供个人信息B.向境外提供核心数据C.向境外提供10万人以上敏感个人信息D.国家网信部门规定需要评估的其他情形答案：ABCD解析：《数据出境安全评估办法》第五条明确规定，上述四种情形均属于应当申报数据出境安全评估的范畴，因此本题选ABCD。3.零信任架构的核心关键技术组件包含以下哪几项？A.身份治理与访问管理B.持续信任评估C.动态访问控制D.微分段隔离答案：ABCD解析：零信任以身份为核心，需要完善的身份治理体系支撑访问管理，通过持续对访问主体、客体的风险进行动态评估，基于评估结果调整授权策略，同时通过微分段缩小攻击扩散范围，四项均属于零信任的核心关键技术组件，因此本题选ABCD。4.OWASPTop102021版Web应用安全风险中，包含以下哪几项风险类型？A.注入B.失效的访问控制C.加密失败D.不安全的设计答案：ABCD解析：OWASPTop102021版十大风险依次为：失效的访问控制、加密失败、注入、不安全的设计、安全配置错误、易受攻击的过时组件、身份识别失效、软件和数据完整性故障、安全日志和监控不足、服务器端请求伪造（SSRF），题干所列四项均在十大风险范围内，因此本题选ABCD。5.根据《生成式人工智能服务管理暂行办法》，生成式AI服务提供者应当落实以下哪些合规义务？A.建立健全违法违规内容审核机制B.落实网络安全等级保护制度C.保护训练数据的知识产权D.保护用户个人信息权益答案：ABCD解析：《生成式人工智能服务管理暂行办法》明确要求提供者落实上述全部安全与合规义务，因此本题选ABCD。6.国际通用网络安全应急响应流程包含以下哪几个核心阶段？A.准备阶段B.检测与分析阶段C.遏制与根除阶段D.恢复与总结改进阶段答案：ABCD解析：国际通用PDCERF应急响应模型包含准备、检测、遏制、根除、恢复、跟进改进六个核心阶段，题干所列选项涵盖了所有核心阶段，因此本题选ABCD。7.以下哪些属于对称加密算法？A.AESB.DESC.RSAD.SM4答案：ABD解析：RSA是典型的非对称加密算法，AES、DES是国际通用对称加密算法，SM4是我国国密对称分组加密算法，因此本题选ABD。8.物联网安全当前面临的主要风险点包含以下哪几项？A.终端固件漏洞多，弱口令问题普遍B.终端算力有限，无法部署常规安全防护措施C.终端数量多分布广，统一安全管理难度大D.多数终端通信未加密，容易被窃听篡改答案：ABCD解析：物联网场景的核心特征是海量低端传感终端，受成本、算力限制，上述四项均是当前物联网面临的核心安全风险，因此本题选ABCD。三、判断题1.网络运营者只要不对外泄露用户敏感个人信息，就可以未经用户同意收集使用。答案：错误解析：根据《个人信息保护法》规定，收集处理敏感个人信息必须取得个人的单独同意，未经同意收集本身就属于违法行为，无论是否对外泄露都不符合合规要求。2.所有定级的等保网络系统，都必须委托第三方测评机构开展测评。答案：错误解析：根据等级保护管理规定，第二级网络系统可以由运营者自行开展安全测评，仅第三级及以上等级的系统才要求必须由具备资质的第三方测评机构开展测评。3.零信任架构要求，无论访问请求来自企业内部网络还是外部网络，都必须进行身份验证和授权。答案：正确解析：零信任打破了传统基于网络边界的信任假设，认为内部和外部都存在攻击风险，因此所有访问请求都必须经过验证授权，符合零信任核心原则。4.我国法规明确禁止核心数据向境外提供。答案：正确解析：根据《数据安全法》《数据出境安全评估办法》相关规定，核心数据属于最高级别的受保护数据，禁止向境外提供，因此表述正确。5.SQL注入攻击仅能窃取数据库数据，无法获取服务器权限。答案：错误解析：SQL注入漏洞利用成功后，攻击者可以通过堆叠查询、命令执行等方式获取服务器的系统权限，甚至控制整台服务器，因此表述错误。6.去标识化的个人信息不属于个人信息，处理时不需要遵守《个人信息保护法》要求。答案：错误解析：《个人信息保护法》明确，去标识化的个人信息仍然属于个人信息范畴，处理者依然需要履行安全保护义务，仅完全无法识别到特定个人且不能复原的匿名化信息，才不属于个人信息。7.生成式AI服务提供者应当留存用户交互日志不少于六个月，以备监管溯源。答案：正确解析：《生成式人工智能服务管理暂行办法》明确要求提供者留存用户日志不少于六个月，符合法规要求，因此表述正确。8.DDoS攻击的核心目的是耗尽目标网络或系统资源，使其无法向合法用户提供服务。答案：正确解析：分布式拒绝服务攻击（DDoS）通过发送大量无效请求占用目标的带宽、算力等资源，导致合法用户无法正常访问，核心目的就是实现拒绝服务，因此表述正确。四、案例分析题案例1：某省级政务服务平台，面向全省公众提供社保查询、不动产登记办理等服务，存储了全省2200万居民的个人身份信息、社保信息、财产信息，其中包含大量敏感个人信息。该平台按照等保要求定级为第三级，计划将非核心业务托管给某第三方公有云服务商，同时因国际科研合作需要，向境外某科研机构提供12万条经过去标识化处理的人口统计数据，不包含任何可识别到个人的信息。请结合上述案例回答以下问题：问题1：该平台定级为第三级是否符合合规要求？请说明依据。问题2：平台运营者和第三方云服务商分别需要承担哪些等保安全责任？问题3：该平台向境外提供数据是否需要申报数据出境安全评估？请说明依据。参考答案：问题1：该平台定级为第三级符合合规要求。依据《网络安全等级保护定级指南》，省级面向公众提供服务的重要政务平台，涉及百万级以上居民个人信息和政务数据的，应当定为第三级；仅涉及核心政务秘密、国家关键敏感政务职能的系统才需要定为第四级及以上，本案例中该平台为普通省级政务服务平台，因此定级第三级符合要求。问题2：依据等保2.0云计算扩展要求，双方责任划分如下：①平台运营者责任：对自身业务数据和用户个人信息的安全负主体责任，负责确定数据分类分级结果，落实业务层访问控制、数据保护要求；负责业务应用的安全开发、漏洞管理和用户侧应急响应；配合第三方测评机构开展等保测评，对数据共享活动的合规性负责。②云服务商责任：负责云基础设施的物理安全、网络安全、虚拟化层安全防护；为运营者提供符合对应安全等级要求的云服务能力，开放必要的安全监控权限；配合运营者开展等保测评，提供云平台层面的安全测评材料；建立云平台应急响应机制，及时处置云层面的安全事件。问题3：该场景不需要申报数据出境安全评估。依据《数据出境安全评估办法》，需要申报评估的情形为：向境外提供核心数据、处理100万人以上个人信息的处理者向境外提供个人信息、向境外提供10万人以上敏感个人信息、其他法定情形。本次出境的是经过去标识化处理、无法识别到特定个人的公开人口统计数据，不属于核心数据、重要数据，也不包含个人信息，因此不需要申报数据出境安全评估。案例2：某互联网企业推出一款面向公众的生成式AI聊天机器人产品，训练数据爬取了互联网公开的大量用户原创版权内容，爬取了公开网络中的百万级用户个人信息，产品上线前未开展安全评估，仅在用户隐私政策中概括性告知会收集用户输入内容，未明确告知用户个人信息会用于模型训练，也未取得用户同意。产品运行半年后被网信部门约谈要求整改，请结合案例回答问题：该企业存在哪些不合规行为？应当如何整改？参考答案：该企业存在以下不合规行为：①上线面向公众的生成式AI服务未按要求开展安全评估，违反《生成式人工智能服务管理暂行办法》的强制性要求；②训练数据使用了未获得版权方授权的原创内容，侵犯著作权人的知识产权，违反著作权法相关规定；③未经用户同意收集使用用户个人信息用于模型训练，针对敏感个人信息未取得单独同意，违反《个人信息保护法》相关规定；④未落实网络安全等级保护制度，未建立违法生成内容审核机制，无法拦截违法违规内容，违反网络安全相关法规要求。对应整改措