2025信息网络安全考题(附答案)

2025信息网络安全考题(附答案)一、单项选择题（共20题，每题2分，共40分）1.根据《中华人民共和国网络安全法》规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险____至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。A.半年B.一年C.两年D.三年答案：B解析：《网络安全法》第三十八条明确规定，关键信息基础设施运营者需每年至少开展一次安全检测评估，并将结果报送相关主管部门。2.根据网络安全等级保护2.0标准体系，信息系统的安全保护等级划分为五级，其中第三级对应的保护能力描述正确的是____。A.能够应对一般性网络攻击，防护能力满足基本安全需求B.能够应对大规模网络攻击，被破坏后能在短时间内恢复，防护能力满足重要领域安全需求C.能够应对国家级高水平的网络攻击，保障系统在遭受攻击后仍能正常运行，防护能力满足核心系统安全需求D.能够应对极端复杂网络攻击，采取特殊安全措施保障安全，防护能力满足特别重要核心系统需求答案：B解析：等保2.0五级对应能力：一级为自主保护级，应对一般性网络攻击，对应A选项；二级为指导保护级，应对中等规模网络攻击，满足一般重要需求；三级为监督保护级，对应B选项，应对大规模攻击，短时间恢复，适用于重要领域信息系统；四级为强制保护级，对应C选项；五级为专控保护级，对应D选项。3.根据《中华人民共和国个人信息保护法》，下列不属于敏感个人信息的是____。A.生物识别信息B.特定身份信息C.医疗健康信息D.个人收货地址信息答案：D解析：《个人信息保护法》第二十八条规定，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。个人收货地址属于一般个人信息范畴，因此选D。4.根据《生成式人工智能服务管理暂行办法》，提供生成式人工智能服务应当坚持的发展原则是____。A.包容审慎、支持创新、依法治理、安全可控B.创新发展、服务大众、依法治国、公平公正C.国家主导、社会参与、开放共享、安全可控D.鼓励创新、依法治网、包容审慎、安全可控答案：D解析：《生成式人工智能服务管理暂行办法》第三条明确规定，生成式人工智能发展与治理坚持鼓励创新、依法治网、包容审慎、安全可控的原则，因此选D。5.零信任架构的核心设计理念是____。A.从不信任，始终验证B.内部可信，外部防控C.一次认证，全域通行D.边界防护，纵深防御答案：A解析：零信任打破了传统基于网络边界的信任假设，核心就是“从不信任，始终验证”，默认没有任何主体、设备、访问请求是默认可信的，所有访问都需要经过动态安全验证与授权。6.《中华人民共和国数据安全法》明确，____负责统筹协调网络数据安全和相关监管工作。A.国家网信部门B.国务院工业和信息化主管部门C.国务院公安部门D.国家发展改革部门答案：A解析：《数据安全法》第五条规定，国家网信部门负责统筹协调网络数据安全和相关监管工作，各主管部门依职责负责本行业、本领域的数据安全监管工作。7.根据《中华人民共和国密码法》，关键信息基础设施运营者应当使用____进行加密保护、安全认证，依法对信息系统开展密码应用安全性评估。A.通用密码B.商用密码C.核心密码D.普通密码答案：B解析：《密码法》第二十七条规定，关键信息基础设施运营者应当依法使用商用密码进行加密保护和安全认证，开展密码应用安全性评估。其中核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织均可依法使用。8.根据《汽车数据安全管理若干规定（试行）》，汽车数据处理者处理重要汽车数据，应当按照规定首先开展____。A.数据安全风险评估B.数据备案C.出境申报D.用户风险告知答案：A解析：《汽车数据安全管理若干规定（试行）》第十一条明确，汽车数据处理者处理重要汽车数据的，应当按照规定开展数据安全风险评估，形成风险评估报告报送相关主管部门。9.根据《国家网络安全事件应急预案》，网络安全事件分为四级，其中造成全国范围大面积关键服务中断，或对国家经济安全、社会稳定造成特别重大损害的事件属于____。A.特别重大事件（Ⅰ级）B.重大事件（Ⅱ级）C.较大事件（Ⅲ级）D.一般事件（Ⅳ级）答案：A解析：《国家网络安全事件应急预案》将网络安全事件划分为特别重大（Ⅰ级）、重大（Ⅱ级）、较大（Ⅲ级）、一般（Ⅳ级）四级，题干描述符合特别重大事件的定级标准。10.下列选项中，属于高级持续性威胁（APT）攻击核心特征的是____。A.攻击目标广泛，攻击持续时间短，以批量牟利为主要目的B.目标精准，长期潜伏，持续窃取敏感信息或破坏核心业务系统C.通过分布式拒绝服务攻击瘫痪目标系统，以勒索为目的D.传播速度快，感染范围广，以窃取普通用户信息为目的答案：B解析：APT攻击是指高级持续性威胁，核心特征为攻击方具备高水平技术能力，针对特定核心目标，通过多阶段渗透长期潜伏，持续开展窃密或破坏活动，攻击周期通常长达数月甚至数年，因此B选项正确。11.依据网络安全等级保护相关要求，三级信息系统安全等级测评的频率要求是____。A.每半年一次B.每年一次C.每两年一次D.每三年一次答案：B解析：等保2.0明确要求，三级信息系统应当每年开展一次等级测评，四级信息系统每半年开展一次等级测评，因此本题选B。12.根据《数据出境安全评估办法》，处理____个人信息的个人信息处理者向境外提供个人信息，应当向国家网信部门申报数据出境安全评估。A.一百万人以上B.五十万人以上C.一百五十万人以上D.二十万人以上答案：A解析：《数据出境安全评估办法》第四条规定，处理一百万人以上个人信息的个人信息处理者向境外提供个人信息的，应当主动申报出境安全评估，因此选A。13.下列不属于网络空间安全物理层安全防护范围的是____。A.机房环境防雷防火B.服务器防物理入侵C.通信链路防窃听D.操作系统漏洞修复答案：D解析：操作系统漏洞修复属于主机系统层安全防护范畴，不属于物理层安全。物理层安全主要针对物理设施、硬件设备、通信链路物理层面的安全防护，因此选D。14.零信任架构中，负责基于动态上下文信息制定访问授权策略的核心组件是____。A.策略引擎B.安全边界网关C.入侵检测系统D.下一代防火墙答案：A解析：零信任架构的核心组件包括策略引擎、策略授权点、访问控制器等，其中策略引擎负责基于用户身份、设备安全状态、访问环境风险等动态上下文，制定对应的访问授权策略，实现动态验证授权，因此选A。15.根据《网络数据安全管理条例》，数据处理者应当按照规定对其处理的重要数据进行____登记，明确数据相关核心属性。A.分类分级B.数据目录C.权属信息D.风险等级答案：B解析：《网络数据安全管理条例》第十七条规定，数据处理者应当按照规定对其处理的重要数据进行目录登记，明确数据的类型、数量、存储位置、处理方式、共享出境情况等核心信息。16.撞库攻击的本质是利用____获取合法账号访问权限。A.已在其他平台泄露的用户账号密码数据批量尝试登录B.系统零日漏洞绕过身份认证C.钓鱼网站窃取用户实时输入的账号信息D.木马程序窃取终端存储的账号密码答案：A解析：撞库攻击是指攻击者利用已经从其他平台泄露的用户账号密码组合，批量尝试登录目标平台获取合法权限，核心就是基于已泄露数据批量碰撞验证，因此选A。17.生成式人工智能大模型训练阶段，数据合规的核心要求是____。A.训练数据应当合法合规，不得侵害他人知识产权、个人信息权益B.训练数据可以自由使用公开互联网信息，无需获得授权C.训练数据只要不包含违法内容就可以用于商用D.开源数据集可以任意用于商用训练答案：A解析：根据《生成式人工智能服务管理暂行办法》，训练数据的获取和使用应当符合法律法规要求，尊重知识产权、个人信息等合法权益，因此A选项正确，其余选项均不符合合规要求。18.工业控制系统（ICS）安全防护的核心痛点是____。A.大量设备采用老旧系统，普遍存在未修补高危漏洞，对可用性要求远高于安全性B.工业控制系统不接入互联网，不存在外部攻击风险C.工业控制系统防护不需要和IT安全体系做协同D.工业控制系统不需要落实等级保护要求答案：A解析：工业控制系统广泛应用于能源、交通、水利、制造等关键领域，大量设备运行老旧操作系统（如WindowsXP），厂商停止维护，高危漏洞无法常规修补，同时工业系统对业务可用性要求极高，不能随意停机打补丁，这是当前工业控制安全防护的核心痛点，因此A正确。19.安全左移的核心理念是指____。A.将安全防护、风险检测工作提前到软件开发、系统上线前的早期阶段，降低安全修复成本B.将安全防护设备部署在网络入口左侧边界C.将安全日志存储在专有左侧存储节点D.将安全运维工作安排在工作日上午开展答案：A解析：安全左移是DevSecOps体系中的核心理念，改变传统系统上线后再开展安全防护的模式，将安全工作前置到需求分析、设计、开发、测试阶段，尽早发现和修复安全风险，大幅降低安全修复成本，因此A正确。20.根据《中华人民共和国个人信息保护法》，发生或者可能发生个人信息泄露事件后，个人信息处理者应当在____内将相关情况通知履行个人信息保护职责的部门和受影响个人。A.发现泄露后七十二小时B.发现泄露后二十四小时C.处置完成后三日内D.收到用户投诉后七十二小时答案：A解析：《个人信息保护法》第五十五条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，情况复杂的应当在发现泄露后七十二小时内通知履行个人信息保护职责的部门和受影响个人。二、多项选择题（共10题，每题3分，共30分；多选、少选、错选均不得分）1.根据《网络安全法》，关键信息基础设施运营者应当履行的安全义务包括____。A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取监测、记录网络运行状态、网络安全事件的技术措施，留存相关日志不少于六个月C.对重要系统和数据库进行容灾备份D.自行或者委托专业机构每年开展一次安全检测评估答案：ABCD解析：以上四项均为《网络安全法》第三十四条、第三十八条明确规定的关键信息基础设施运营者应当履行的安全义务。2.网络安全等级保护2.0相比等级保护1.0，新增的内容包括____。A.安全管理中心通用要求B.云计算安全扩展要求C.移动互联安全扩展要求D.大数据安全扩展要求E.工业控制安全扩展要求答案：ABCDE解析：等保1.0的通用要求包含物理环境、网络、主机、应用、数据五个层面，等保2.0新增了安全管理中心通用要求，同时针对云计算、移动互联网、大数据、工业控制系统、物联网五个新兴技术领域，新增了对应的安全扩展要求，因此全选。3.根据《个人信息保护法》，处理个人信息应当遵循的基本原则包括____。A.合法、正当、必要和诚信B.目的限制C.最小必要D.公开透明E.质量保证F.责任明确答案：ABCDEF解析：《个人信息保护法》第五条至第九条明确了个人信息处理的六项基本原则，分别为合法正当必要诚信原则、目的限制原则、最小必要原则、公开透明原则、质量保证原则、责任明确原则，因此全选。4.生成式人工智能服务提供者应当落实的安全义务包括____。A.对生成内容进行合规审核，防范生成违法违规内容B.落实网络安全等级保护制度，保障训练数据和服务运行安全C.保护用户个人信息，不得非法泄露用户输入的个人信息D.按规定完成安全评估和备案答案：ABCD解析：以上四项均为《生成式人工智能服务管理暂行办法》明确要求生成式AI服务提供者应当履行的安全义务。5.下列属于OWASP发布的常见Web应用安全风险的是____。A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.文件上传漏洞E.失效的身份认证答案：ABCDE解析：以上五类均属于OWASPTOP10常见Web应用安全风险范畴，都是当前Web应用中发生率最高的安全漏洞类型。6.数据分类分级作为数据安全治理的基础工作，核心作用包括____。A.明确数据保护优先级，针对性实施不同强度的防护措施B.满足法律法规对数据安全监管的合规要求C.为数据安全评估、数据出境、数据交易提供基础依据D.提升数据存储和共享效率答案：ABC解析：数据分类分级的核心目标是明确数据安全保护等级，支撑监管合规，为各类数据安全管理活动提供依据，提升存储共享效率不属于其核心作用，因此选ABC。7.密码应用安全性评估（密评）覆盖信息系统全生命周期的哪些阶段？____。A.规划设计阶段B.建设实施阶段C.运行维护阶段D.废弃销毁阶段答案：ABC解析：密评工作覆盖信息系统全生命周期，包括规划设计阶段的方案安全性评估，建设实施阶段的过程评估，运行维护阶段的定期评估，废弃销毁阶段不属于常规密评的强制覆盖范围，因此选ABC。8.零信任架构的核心技术体系包括____。A.持续身份验证B.最小权限动态授权C.实时动态风险评估D.微分段网络隔离答案：ABCD解析：零信任的核心技术支撑包括持续身份验证、基于风险的动态最小权限授权、微分段实现网络内部隔离、全链路安全监测审计，四个选项均正确。9.下列属于常见网络钓鱼攻击衍生类型的是____。A.邮件钓鱼B.短信钓鱼（Smishing）C.语音钓鱼（Vishing）D.鱼叉式钓鱼E.水坑钓鱼答案：ABCDE解析：以上五类均为常见的网络钓鱼攻击类型，鱼叉式钓鱼针对特定目标精准投递钓鱼内容，水坑钓鱼针对特定群体常用网站投毒，都属于钓鱼攻击的衍生类型。10.DevSecOps（开发安全运营一体化）的核心特点包括____。A.安全融入软件开发运营全流程，开发、安全、运维团队协同联动B.安全自动化，将安全检测集成到CI/CD流水线C.安全责任共担，全流程参与人员都承担对应的安全责任D.安全左移，尽早发现修复安全漏洞答案：ABCD解析：DevSecOps打破了传统开发、安全、运维团队割裂的模式，将安全嵌入软件开发运营全流程，实现安全左移、自动化检测、责任共担，四个选项均符合DevSecOps的核心特点。三、判断题（共10题，每题1分，共10分；正确选√，错误选×）1.国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的关键信息基础设施，实行重点保护。（）答案：√解析：符合《网络安全法》第三十一条的明确规定。2.处理个人信息取得个人同意后，同意不得撤回。（）答案：×解析：《个人信息保护法》明确规定，个人有权随时撤回其同意，个人信息处理者应当提供便捷的撤回同意的渠道。3.网络运营者不得向任何第三方提供用户个人信息。（）答案：×解析：经过个人明确同意或者符合法定情形的，网络运营者可以依法向第三方提供个人信息，并非绝对禁止。4.零信任架构完全替代了传统防火墙、入侵检测等安全设备，不需要再部署传统安全设备。（）答案：×解析：零信任是一种全新的安全架构理念，并非完全替代传统安全设备，而是在传统安全防护基础上重构信任体系，传统安全设备依然是零信任架构的重要组成部分。5.《数据安全法》明确，国家对数据实行分类分级保护制度，对重要数据进行重点保护，对核心数据实行严格保护。（）答案：√解析：符合《数据安全法》第二十一条的明确规定。6.SQL注入攻击的本质是攻击者将恶意SQL代码插入到用户输入参数中，欺骗数据库服务器执行非授权的恶意操作。（）答案：√解析：该描述符合SQL注入攻击的核心定义，表述正确。7.密码应用安全性评估仅针对新建信息系统，已经上线运行的系统不需要开展密评。（）答案：×解析：已经上线运行的关键信息基础设施和等保三级以上系统，需要定期开展密码应用安全性评估，要求与新建系统一致。8.DDoS（分布式拒绝服务）攻击的核心目的是消耗目标系统的网络带宽或系统资源，导致目标系统无法为合法用户提供服务。（）答案：√解析：该描述符合DDoS攻击的核心特征，表述正确。9.生成式人工智能服务提供者不得向境外提供在中国境内收集的敏感个人信息和重要数据。（）答案：√解析：符合《生成式人工智能服务管理暂行办法》对生成式AI数据出境的监管要求，表述正确。10.只要不牟利，对公共网络开展渗透测试不需要经过授权就可以进行。（）答案：×解析：根据《网络安全法》，未经系统所有者明确授权，对任何网络和信息系统开展渗透测试、漏洞探测等活动，都属于非法攻击行为，需要获得授权后方可开展。四、案例分析题（共1题，20分）某省级政务服务平台，面向全省公众提供政务事项办理、个人信息查询、企业资质审批等服务，平台存储全省1200万用户的个人身份信息、企业经营敏感信息，属于国家网络安全等级保护三级信息系统，同时纳入关键信息基础设施范畴。2024年10月，该平台被曝出存在严重安全漏洞，攻击者利用平台Web应用的未授权文件上传漏洞获得服务器后台权限，窃取了超过50万条用户敏感个人信息，部分信息已被放到暗网售卖，造成恶劣社会影响。经监管部门调查，发现该平台存在以下问题：①平台上线前未开展等级测评和密码应用安全性评估，上线运营三年也未按要求开展定期测评；②开发团队为方便调试，在正式上线的Web应用中保留了默认测试后台账号，口令为弱口令“admin123”；③平台未部署Web应用防火墙，未对访问日志进行留存和实时监测，攻击者持续渗透三个月才被发现；④平台存储用户敏感个人信息未做加密处理，直接以明文形式存储在公开可访问的数据库中。请结合上述案例，回答以下问题：（1）该平台运营者违反了我国哪些现行法律法规的要求？请列出至少三部，并分别说明违反的具体要求。（10分）（2）针对该平台存在的安全问题，提出对应的整改措施。（10分）参考答案：（1）该平台运营者违反的法律法规要求如下：①违反《中华人民共和国网络安全法》：《网络安全法》第二十一条明确要求，网络运营者应当按照网络安全等级保护制度要求履行安全保护义务，定期开展安全测评；第三十八条要求关键信息基础设施运营者每年至少开展一次安全检测评估，并报送结果。该平台作为三级等保关键信息基础设施，未按要求开展等级测评和定期检测评估，违反了上述规定。②违