2025年网络与安全技术应用考试题及答案

2025年网络与安全技术应用考试题及答案一、单项选择题（每题2分，共30分）1.根据《网络安全等级保护条例》及等保2.0相关要求，第三级信息系统应当至少多久开展一次安全测评？A.每半年B.每年C.每两年D.每三年答案：B解析：我国网络安全等级保护制度明确要求，第二级信息系统每两年至少开展一次安全测评，第三级信息系统每年至少开展一次安全测评，第四级信息系统每半年至少开展一次安全测评，因此本题选择B。2.零信任架构的核心设计原则不包括以下哪项？A.永不信任，始终验证B.默认拒绝所有访问请求C.基于静态网络边界授予信任权限D.持续进行信任评估与动态授权答案：C解析：零信任架构颠覆了传统网络安全防护中“内部网络可信、外部网络不可信”的静态边界信任模型，核心原则为永不信任始终验证、默认拒绝、持续授权，基于静态边界授予权限是传统边界防护模型的核心思路，不属于零信任核心原则，因此本题选择C。3.根据我国《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者处理训练数据中的个人信息时，以下做法符合要求的是？A.直接使用公开网络爬取的个人信息，无需取得信息主体同意B.应当遵守个人信息保护相关法律法规，符合合法、正当、必要原则，涉及敏感个人信息的应当取得个人信息主体同意C.只要不用于商业用途就可以任意使用个人信息训练模型D.训练完成后可以永久留存训练数据中的个人信息答案：B解析：《生成式人工智能服务管理暂行办法》明确规定，生成式人工智能服务提供者应当对训练数据的合法性负责，处理个人信息应当遵守《个人信息保护法》要求，不得非法处理个人信息，涉及敏感个人信息应当取得个人信息主体同意，训练完成后应当按照法律要求对不必要的个人信息进行删除，因此本题选择B。4.公有云对象存储场景中，保障存储数据完整性最常用、最高效的技术是？A.AES对称加密B.RSA非对称加密C.哈希摘要校验D.数字签名答案：C解析：对称加密与非对称加密的核心作用是保障数据的保密性，数字签名的核心作用是实现身份认证与不可抵赖，哈希算法可以为任意长度的文件生成唯一的固定长度摘要，数据发生任何修改都会导致摘要值变化，通过对比摘要即可快速校验数据完整性，是云存储场景中保障数据完整性最常用的技术，因此本题选择C。5.以下哪项是生成式大模型场景中，提示注入攻击的典型危害？A.诱导大模型绕过安全对齐规则，生成违规内容或执行未授权指令B.大量调用大模型接口耗尽算力资源，导致正常服务无法访问C.在大模型训练阶段投毒，篡改模型参数导致模型输出错误D.窃取大模型服务的API密钥，未授权调用大模型服务答案：A解析：提示注入攻击是指攻击者通过构造嵌套恶意指令的提示词，绕过模型的安全防护规则，诱导模型生成违规内容、泄露训练数据中的敏感信息或者执行攻击者指定的未授权指令；大量调用接口耗尽算力属于DDoS攻击的危害，训练阶段投毒属于模型投毒攻击的危害，窃取API密钥属于身份窃取攻击的危害，因此本题选择A。6.根据《数据出境安全评估办法》，哪类数据出境必须向国家网信部门申报数据出境安全评估？A.处理10万人以上个人信息的处理者向境外提供个人信息B.向境外提供10万人以上个人信息C.向境外提供核心数据D.向境外提供一般数据答案：C解析：《数据出境安全评估办法》明确要求，核心数据出境、处理100万人以上个人信息的处理者向境外提供个人信息、出境数据中包含100万人以上个人信息等情形，必须申报出境安全评估，因此本题选择C。7.车联网场景中，以下哪项攻击可以直接导致车辆控制权被攻击者劫持？A.攻击车载T-BOX模块，篡改车辆控制指令B.窃取车辆娱乐系统的用户导航数据C.篡改车载娱乐系统的固件版本D.扫描车联网V2X平台的开放端口答案：A解析：车载T-BOX是车辆实现远程通信和控制的核心模块，攻击者攻破T-BOX后可以向车辆动力、制动系统发送篡改后的控制指令，直接劫持车辆控制权，其他选项仅涉及信息窃取或非核心模块攻击，不会直接导致车辆控制权被劫持，因此本题选择A。8.以下哪项技术是当前对抗AI深度伪造视频诈骗最有效的检测手段？A.静态密码认证B.多模态生物特征检测结合视频内容真伪鉴别技术C.IP地址地理位置校验D.人工文字内容审核答案：B解析：深度伪造视频通过AI生成人脸、语音等伪造内容，传统审核手段无法有效识别，采用多模态生物特征检测结合AI内容鉴别的技术，可以识别生成内容的像素分布、生物特征异常，有效检测深度伪造内容，因此本题选择B。9.工业控制系统网络安全防护中，下列做法不符合安全要求的是？A.工业控制网与互联网采用物理隔离或逻辑隔离B.定期对工业控制设备进行漏洞扫描，及时修复高危漏洞C.直接将工业控制设备的调试端口对互联网开放D.对工业控制系统的运维操作采用权限分级管理答案：C解析：工业控制系统多涉及关键基础设施运行，直接开放调试端口到互联网会导致攻击者可以直接访问控制设备，引发生产安全事故，不符合安全要求，因此本题选择C。10.Web应用中，存储型XSS跨站脚本攻击的危害不包括以下哪项？A.窃取用户登录会话cookie，冒充用户身份登录B.篡改网站内容，诱导用户访问恶意网站C.直接删除服务器上的所有数据库数据D.对访问用户植入恶意木马程序答案：C解析：XSS跨站脚本攻击主要作用于客户端浏览器，攻击者通过XSS可以窃取用户会话、篡改页面内容、植入木马，直接删除服务器数据库数据是SQL注入攻击的典型危害，不属于XSS的危害，因此本题选择C。11.以下哪项是AES-256加密算法的类型？A.对称加密算法B.非对称加密算法C.哈希摘要算法D.数字签名算法答案：A解析：AES是典型的对称分组加密算法，AES-256指密钥长度为256位的AES加密，因此本题选择A。12.物联网设备被攻击者劫持后，最常被用于发起哪类攻击？A.SQL注入攻击B.DDoS攻击C.XSS跨站脚本攻击D.提示注入攻击答案：B解析：被劫持的物联网设备数量庞大，攻击者通常将其组建为僵尸网络，发起大规模分布式拒绝服务DDoS攻击，因此本题选择B。13.我国《网络安全法》规定，关键信息基础设施运营者应当至少多久开展一次安全评估？A.每一年B.每两年C.每三年D.每五年答案：C解析：《关键信息基础设施安全保护条例》明确要求，关键信息基础设施运营者应当至少每三年开展一次安全评估，将评估结果报送保护工作部门，因此本题选择C。14.以下哪项攻击属于社会工程学攻击？A.利用操作系统漏洞入侵服务器B.伪装成HR诱导员工点击恶意链接泄露账号密码C.暴力破解服务器SSH账号密码D.利用SQL注入漏洞窃取数据库数据答案：B解析：社会工程学攻击的核心是利用人的心理弱点，通过伪装、欺骗获取敏感信息或权限，不属于技术层面的漏洞利用，因此本题选择B。15.数据安全领域中，数据脱敏的核心作用是？A.加密数据防止泄露B.去除数据中的敏感信息，保留数据业务可用性C.压缩数据减少存储空间D.备份数据防止数据丢失答案：B解析：数据脱敏通过替换、变形等方式去除数据中的敏感信息，不会影响数据的业务可用性，可以有效降低数据共享、测试场景下的敏感信息泄露风险，因此本题选择B。二、多项选择题（每题4分，共40分）1.当前我国网络与信息安全防护体系中，重点保护对象包括以下哪些类别？A.关键信息基础设施B.生成式人工智能服务C.核心数据与重要数据D.车联网与工业控制系统答案：ABCD解析：我国《网络安全法》明确将关键信息基础设施作为核心保护对象，近年来随着数字化转型推进，生成式人工智能、车联网、工业控制系统等新兴场景成为安全防护重点，核心数据与重要数据是数据安全保护的核心对象，因此四个选项均正确。2.完整的零信任访问体系包含哪些核心组件？A.统一身份治理与身份源管理B.持续信任评估引擎C.动态访问控制策略引擎D.最小权限授权机制答案：ABCD解析：根据NISTSP800-207零信任架构标准，零信任体系的核心组件包括统一身份管理、持续信任评估、访问策略引擎、动态最小权限授权四个部分，四个选项均属于核心组件，因此全选。3.根据《数据安全法》对数据的分级分类要求，核心数据的识别特征包括？A.一旦遭到篡改、泄露、非法利用，会危害国家安全B.对国家政治、经济、国防、科技等核心领域具有重要战略价值C.一旦遭到篡改、泄露，会危害公共利益D.一旦遭到篡改、泄露，会损害单个公民的合法权益答案：AB解析：我国数据分级分类标准明确，核心数据是指泄露后危害国家安全、具备核心战略价值的数据；重要数据是指泄露后会危害公共利益的数据；一般数据是指泄露后仅损害公民个人合法权益的数据，因此AB为核心数据特征，正确。4.生成式大模型面临的常见安全风险包括以下哪些？A.训练数据投毒风险B.提示注入攻击风险C.敏感数据泄露风险D.违规内容生成风险答案：ABCD解析：生成式大模型全生命周期都存在安全风险，训练阶段存在训练数据投毒、非法数据使用风险，应用阶段存在提示注入攻击、敏感数据泄露、违规内容生成等风险，四个选项均正确。5.网络钓鱼攻击的常见伪装形式包括以下哪些？A.伪装成单位官方办公邮件，要求点击链接更新账号密码B.伪装成快递服务商短信，要求点击链接查询物流信息C.伪装成社交平台好友账号，发送带有恶意链接的文件D.向公众发送官方政策解读文章，引导访问政府官方网站答案：ABC解析：网络钓鱼攻击的核心是伪装成可信主体诱导用户点击恶意链接、下载恶意文件或泄露敏感信息，D选项为正常官方服务，不属于钓鱼攻击，因此ABC正确。6.关键信息基础设施运营者应当履行的安全义务包括以下哪些？A.定期开展安全评估，将评估报告报送监管部门B.对重要系统和数据进行容灾备份C.优先采购安全可信的网络产品和服务D.建立健全安全管理制度和应急响应预案答案：ABCD解析：《关键信息基础设施安全保护条例》明确要求关键信息基础设施运营者需要履行定期安全评估、容灾备份、安全采购、应急管理等多项安全义务，四个选项均符合要求，因此全选。7.以下哪些技术属于常见的Web应用防护技术？A.Web应用防火墙（WAF）B.注入攻击检测与防护C.跨站脚本攻击过滤D.僵尸网络DDoS防护答案：ABC解析：WAF是Web应用防护的核心设备，注入攻击防护、XSS过滤都是Web应用防护的核心功能，僵尸网络DDoS防护属于网络层流量防护的范畴，主要防护大流量DDoS攻击，不属于Web应用层防护技术，因此ABC正确。8.企业内部数据防泄露（DLP）体系可以覆盖以下哪些场景？A.终端数据外带防护，防止员工通过U盘、邮件外发敏感数据B.网络传输防护，检测并拦截敏感数据通过互联网向外传输C.存储防护，对存储在服务器中的敏感数据进行识别和脱敏D.水印防护，对内部敏感文档添加不可见水印，泄露后可溯源答案：ABCD解析：当前数据防泄露体系覆盖终端、网络、存储、溯源全流程，四个选项都是DLP体系的常见功能，因此全选。9.常见的物联网设备安全风险包括以下哪些？A.设备默认密码未修改，容易被暴力破解接管B.设备固件存在未公开漏洞，无法及时更新修复C.设备采集的用户敏感数据未加密传输，容易被窃取D.设备被劫持后加入僵尸网络发起DDoS攻击答案：ABCD解析：物联网设备多数算力有限、安全防护能力不足，存在默认口令、固件漏洞、数据未加密等问题，被劫持后常被用于发起DDoS攻击，四个选项均属于物联网设备常见安全风险，因此全选。10.发生网络安全事件后，运营者应当采取的正确处置流程包括？A.立即按照应急预案处置，切断攻击路径，防止危害扩大B.按照规定及时向监管部门上报事件，不得迟报、瞒报C.留存攻击相关的日志、流量等证据，配合监管部门调查D.事件处置完成后开展复盘，完善安全防护体系和应急预案答案：ABCD解析：《网络安全事件应急预案》明确要求，网络安全事件处置应当遵循防止危害扩大、及时上报、留存证据、复盘优化的流程，四个选项均正确，因此全选。三、判断题（每题1分，共10分）1.等保2.0标准将云计算、大数据、物联网、工业控制系统、移动互联网五类新兴场景纳入覆盖范围。答案：正确解析：相比等保1.0，等保2.0扩展了适用范围，针对五类新兴数字化场景制定了专门的安全要求，因此说法正确。2.生成式人工智能服务提供者只要不向公众提供服务，用于内部研发就不需要遵守任何安全要求。答案：错误解析：《生成式人工智能服务管理暂行办法》覆盖所有生成式人工智能服务，即使是内部研发使用的大模型也需要遵守数据安全、内容安全等相关要求，因此说法错误。3.只要部署了防火墙，企业网络就不会发生安全入侵事件。答案：错误解析：防火墙仅能实现基础的网络边界访问控制，无法防御应用层攻击、内部攻击、零日漏洞攻击等多种安全威胁，因此说法错误。4.数据脱敏技术可以有效降低敏感数据泄露后的危害，保留数据的可用性。答案：正确解析：数据脱敏通过对敏感数据进行变形、替换，在保留数据业务可用性的前提下，防止敏感信息的真实泄露，因此说法正确。5.零信任架构仅适用于大型企业，中小微企业无法部署零信任防护体系。答案：错误解析：当前零信任已经推出轻量化部署方案，中小微企业可以根据自身需求部署轻量化零信任访问网关，实现基础的身份验证与访问控制，因此说法错误。6.SQL注入攻击可以获取数据库中的全量敏感数据，危害远大于普通的Web应用攻击。答案：正确解析：SQL注入攻击允许攻击者直接操作网站后台数据库，窃取甚至篡改删除全量数据，是危害最高的Web应用攻击类型之一，因此说法正确。7.深度伪造技术只能用于生成虚假视频，无法生成虚假语音和虚假图片。答案：错误解析：深度伪造技术可以生成虚假视频、语音、图片、文本等多种类型的伪造内容，因此说法错误。8.网络运营者应当对收集的用户信息严格保密，不得泄露、篡改、毁损收集的个人信息。答案：正确解析：《个人信息保护法》明确要求网络运营者应当承担个人信息保密责任，因此说法正确。9.态势感知系统可以对全网安全事件进行实时监测、分析和告警，提升整体安全防护能力。答案：正确解析：态势感知系统通过汇总多源安全数据，实现全局安全状态的可视化监测与告警，是当前企业和关键信息基础设施运营者必备的安全工具，因此说法正确。10.密钥是加密解密的核心，加密系统的安全性依赖于密钥的保密性，而非加密算法本身。答案：正确解析：现代密码学的核心原则是，加密算法是公开的，安全性完全依赖于密钥的保密性，因此说法正确。四、案例分析题（共20分）案例背景：某大型零售企业，2024年完成全渠道数字化转型，搭建了线上电商平台、线下门店会员系统，存储了全国3000万会员的姓名、手机号、收货地址、支付记录等个人信息，企业核心业务系统部署在公有云平台。2025年初企业开展内部安全审计，发现以下安全问题：①线上电商平台的用户登录接口未限制登录尝试次数，不支持多因素认证；②公有云对象存储中存储会员信息的存储桶配置了公开读权限，开发人员配置错误未修改；③部分线下门店的POS收银系统使用默认厂商管理员密码，两年未更新；④企业未定期开展漏洞扫描，近三年未开展安全应急演练；⑤会员系统的用户数据导出未做权限控制，任何员工都可以导出全量会员信息。问题1：请结合网络安全与数据安全相关要求，分析该零售企业存在的具体安全风险（10分）问题2：针对上述问题给出具体的整改方案（10分）参考答案：问题1：该零售企业存在的安全风险分析如下：（1）身份认证与访问控制风险：用户登录接口未限制尝试次数，容易发生暴力破解攻击，窃取普通用户账号，不支持多因素认证进一步放大了账号被盗的风险；POS系统使用默认密码，攻击者接入门店网络后可以轻易接管收银系统，窃取交易数据甚至篡改交易信息；会员数据导出未做权限控制，容易发生内部人员窃密，引发大规模数据泄露事件。（2）云配置错误导致的数据泄露风险：存储会员敏感信息的存储桶开放公开读权限，任何互联网用户都可以直接下载全量会员信息，属于高危配置错误，会直接导致大规模个人信息泄露，违反《个人信息保护法》要求，企业将面临监管处罚和用户索赔风险。（3）安全运维与应急管理风险：企业未定期开展漏洞扫描，无法及时发现系统存在的安全漏洞，给攻击者留下可乘之机；未开展应急演练，发生安全事件后无法及时有序处置，会扩大事件带来的业务影响和合规风险，可能导致业务中断造成大额经济损失。（4）合规风险：该零售企业处理超过100万人的个人信息，核心业务系统按照等保要求应当定为二级以上信息系统，需要定期开展安全测评和风险评估，当前企业安全防护措施不符合《网络安全法》《个人信息保护法》相关法律法规的要求，面临监管部门的行政处罚风险。问题2：具体整改方案如下：（1）身份与访问控制整