2026年网络安全知识竞赛题库及答案解析

2026年网络安全知识竞赛题库及答案解析一、单项选择题（每题1分，共30分）1.下列哪种攻击方式属于社会工程学攻击？A.SQL注入B.钓鱼邮件C.暴力破解D.中间人攻击答案B解析钓鱼邮件通过伪装成可信来源诱导受害者点击恶意链接或泄露信息，利用的是人的心理弱点而非技术漏洞，属于典型的社会工程学攻击。2.对称加密算法中，加密和解密使用的密钥关系是？A.相同B.不同但相关C.完全不同D.无关联答案A解析对称加密（如AES、DES）使用同一把密钥进行加密和解密，密钥管理是对称加密的主要安全挑战。3.下列哪种算法属于非对称加密算法？A.AESB.DESC.RSAD.3DES答案C解析AES、DES、3DES均为对称加密算法。RSA使用公钥加密、私钥解密，属于非对称加密算法。4.防火墙的主要功能不包括？A.包过滤B.状态检测C.查杀病毒D.应用层代理答案C解析防火墙的核心功能是包过滤、状态检测和应用层代理。查杀病毒是防病毒软件的职责，虽然部分下一代防火墙集成了防病毒模块，但并非防火墙的主要功能。5.下列哪个端口号对应HTTPS协议？A.21B.23C.80D.443答案D解析21为FTP控制端口，23为Telnet端口，80为HTTP端口，443为HTTPS端口。6.我国《网络安全法》正式施行的时间是？A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2021年9月1日答案B解析《网络安全法》于2016年11月7日通过，自2017年6月1日起施行。7.SQL注入攻击主要是利用了？A.操作系统漏洞B.应用程序对用户输入过滤不严C.网络协议缺陷D.硬件设计缺陷答案B解析SQL注入的根源在于应用程序未对用户输入进行严格的验证和参数化处理，导致恶意SQL代码被拼接执行。8.下列哪种恶意软件具有自我复制并主动传播的能力？A.木马B.蠕虫C.间谍软件D.勒索软件答案B解析蠕虫可通过网络自动复制和传播，无需宿主文件或用户交互。木马需要诱导用户执行，间谍软件和勒索软件本身不具备主动传播能力。9.DDoS攻击的全称是？A.DistributedDenialofServiceB.DirectDenialofServiceC.DynamicDataOperationSystemD.DistributedDataOverService答案A解析DDoS（分布式拒绝服务攻击）通过控制大量僵尸主机同时向目标发起请求，耗尽目标资源使其无法提供正常服务。10.密码存储时，下列哪种方式最安全？A.明文存储B.MD5直接存储C.加盐哈希（如bcrypt）D.Base64编码存储答案C解析明文和Base64编码均可逆，MD5无盐哈希易被彩虹表破解。加盐哈希（bcrypt、scrypt、argon2等）引入随机盐值并设计高计算代价，能有效抵御彩虹表和暴力破解。11.下列哪种网络攻击属于被动攻击？A.窃听B.篡改C.伪造D.拒绝服务答案A解析被动攻击（如窃听、流量分析）不修改数据流，难以被发现；篡改、伪造和拒绝服务均属于主动攻击。12.网络安全等级保护中，确定系统安全保护等级的主要依据是？A.系统投资金额B.业务信息及系统服务受侵害时受侵害客体和侵害程度C.网络设备数量D.用户人数答案B解析根据《信息安全技术网络安全等级保护定级指南》（GB/T22240），定级要素包括受侵害的客体和造成侵害的程度两个维度。13.数字签名的主要作用是？A.加密数据内容B.提供身份认证和数据完整性验证C.压缩数据传输量D.加速网络传输答案B解析数字签名基于非对称加密和哈希算法，接收方可用发送方公钥验证签名，从而确认发送者身份并检测数据是否被篡改。14.下列哪种协议用于加密远程登录管理？A.TelnetB.FTPC.SSHD.SMTP答案C解析SSH（SecureShell）通过加密隧道提供安全的远程登录服务。Telnet和FTP使用明文传输，SMTP用于邮件发送。15.XSS攻击的全称是？A.CrossSiteScriptingB.ExtraSecureScriptC.XMLSimpleSyntaxD.CrossSystemSecurity答案A解析XSS（跨站脚本攻击）指攻击者向网页中注入恶意脚本代码，当用户浏览时脚本在浏览器中执行，窃取Cookie、会话信息等。16.个人信息处理中"最小必要原则"是指？A.只收集最少人数的人信息B.只收集与处理目的直接相关的最少信息C.以最短时间保存信息D.最少人员有权访问信息答案B解析最小必要原则要求个人信息处理者不得过度收集信息，收集范围应当限于实现处理目的的最小范围。17.下列哪项属于网络安全等级保护2.0的扩展安全要求？A.安全物理环境B.云计算安全扩展要求C.安全管理制度D.安全运维管理答案B解析等保2.0在通用安全要求之外，针对云计算、物联网、工业控制、移动互联、大数据等新技术新应用提出了扩展安全要求。18.WAF（Web应用防火墙）的主要作用是？A.防止DDoS流量攻击B.防护Web应用层攻击（如SQL注入、XSS）C.防止物理入侵D.加密网络传输流量答案B解析WAF部署在Web应用前端，通过规则引擎和行为分析识别并拦截SQL注入、XSS、文件包含等应用层攻击。19.沙箱（Sandbox）技术主要用于？A.在隔离环境中运行可疑程序并观察其行为B.加速程序运行速度C.压缩程序文件体积D.加密程序源代码答案A解析沙箱为可疑程序提供一个受限的虚拟运行环境，安全人员可在不影响真实系统的前提下分析程序行为，常用于恶意代码检测。20.下列关于VPN的说法，正确的是？A.VPN可以保证绝对安全B.VPN通过加密隧道保护数据传输C.VPN只能用于远程办公D.VPN会必然导致网络不可用答案B解析VPN在公共网络上建立加密隧道，保护数据在传输过程中的机密性和完整性，但并不能保证绝对安全，也不仅限于远程办公场景。21.下列哪项不是暴力破解攻击的有效防范措施？A.设置复杂密码B.启用账户锁定策略C.增加密码长度D.明文传输密码答案D解析明文传输密码会使密码在网络传输中被截获，与暴力破解无关且会引入更严重的安全风险。复杂密码、账户锁定和增加密码长度均可有效对抗暴力破解。22.下列哪种方式最有助于降低勒索软件攻击造成的损失？A.定期备份重要数据并离线存储B.向攻击者支付赎金C.关闭所有网络端口D.所有系统使用同一密码答案A解析离线备份可确保即使系统被勒索软件加密，也能快速恢复数据。支付赎金会助长犯罪且不保证数据恢复，关闭所有端口不现实，统一密码会扩大攻击面。23.零信任安全模型的核心思想是？A.信任内网所有设备B.永不信任，始终验证C.只信任防火墙内部流量D.信任已通过一次认证的用户答案B解析零信任模型默认不信任任何网络位置和访问主体，所有访问请求均需经过身份验证、授权和持续风险评估。24.数据脱敏是指？A.删除所有敏感数据B.对敏感数据进行变形、遮蔽等处理，使其在不影响使用的前提下降低敏感度C.对数据加密后存储D.将数据备份到异地机房答案B解析数据脱敏（如姓名替换、手机号中间四位遮蔽）用于开发测试、数据分析等场景，在保留数据可用性的同时保护个人隐私。25.下列哪项不是CSRF攻击的有效防御措施？A.使用Anti-CSRFTokenB.校验Referer字段C.设置SameSiteCookie属性D.在Cookie中明文存储会话ID答案D解析CSRF（跨站请求伪造）利用用户已登录的身份发起非法请求。Token、Referer校验和SameSite属性均可有效防御，而明文存储会话ID反而会加剧会话劫持风险。26.下列哪项属于计算机病毒的典型特征？A.隐蔽性、传染性、破坏性B.安全性、稳定性、高效性C.兼容性、可移植性、开放性D.可读性、可写性、可执行性答案A解析计算机病毒具有隐蔽性（难以发现）、传染性（自我复制传播）和破坏性（损害系统或数据）三大典型特征。27.在PKI（公钥基础设施）体系中，负责签发和管理数字证书的机构是？A.RA（注册机构）B.CA（证书颁发机构）C.CRL（证书吊销列表）D.OCSP（在线证书状态协议）答案B解析CA负责证书的签发、更新和吊销。RA负责用户注册审核，CRL和OCSP用于查询证书的吊销状态。28.下列哪个命令可用于检查网络连通性？A.pingB.netstatC.tasklistD.regedit答案A解析ping通过发送ICMP回显请求检测目标主机是否可达。netstat用于查看网络连接和端口状态，tasklist查看进程列表，regedit是注册表编辑器。29.我国《个人信息保护法》正式施行的时间是？A.2020年1月1日B.2021年11月1日C.2022年1月1日D.2023年6月1日答案B解析《个人信息保护法》于2021年8月20日通过，自2021年11月1日起施行。30.攻击者利用深度伪造（Deepfake）技术伪造某公司高管视频，指使财务人员转账。此类攻击主要利用了？A.系统漏洞B.人的信任心理C.网络协议缺陷D.硬件故障答案B解析深度伪造诈骗是社会工程学攻击的升级形式，利用伪造的视听信息获取受害人的信任，从而诱导其执行转账等操作。二、多项选择题（每题2分，共10题，20分）1.下列属于常见网络攻击方式的有？A.SQL注入B.DDoS攻击C.鱼叉式钓鱼D.中间人攻击答案ABCD解析四种方式均为常见网络攻击。SQL注入属于应用层攻击，DDoS属于可用性攻击，鱼叉式钓鱼属于社会工程学攻击，中间人攻击属于通信链路攻击。2.数据备份策略中，常见的备份方式包括？A.全量备份B.增量备份C.差异备份D.数据清洗答案ABC解析全量备份备份所有数据，增量备份仅备份自上次备份后变化的数据，差异备份备份自上次全量备份后变化的数据。数据清洗属于数据质量管理范畴。3.下列属于强密码特征的有？A.长度不少于8位B.包含大小写字母、数字和特殊字符C.不使用生日、电话号码等个人信息D.多个账户使用同一密码便于记忆答案ABC解析强密码应具备足够的长度、复杂的字符组合，并避免使用可猜测的个人信息。多账户共用密码会产生"撞库"风险。4.防范社会工程学攻击的措施包括？A.开展员工安全意识培训B.建立严格的身份验证流程C.对敏感信息实施分级管理D.对外公开员工个人信息答案ABC解析安全意识培训、身份验证和敏感信息分级管理可有效降低社会工程学攻击的成功率。公开员工个人信息会为攻击者提供社工素材。5.网络安全等级保护2.0安全通用要求包括下列哪些层面？A.安全物理环境B.安全通信网络C.安全区域边界D.安全管理中心答案ABCD解析等保2.0安全通用要求涵盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理制度、安全管理机构和人员等十大层面。6.下列属于非对称加密算法的有？A.RSAB.ECCC.AESD.SM2答案ABD解析RSA、ECC（椭圆曲线密码）和SM2（国密非对称算法）均属于非对称加密。AES是典型的对称加密算法。7.根据《个人信息保护法》，个人信息处理者应当遵循的原则包括？A.合法、正当、必要B.公开透明C.目的明确D.超出授权范围随意使用答案ABC解析《个人信息保护法》确立了合法正当必要、公开透明、目的明确、最小范围、准确完整、安全保障等处理原则，禁止超范围处理个人信息。8.下列哪些措施有助于提升Web应用安全性？A.对用户输入进行严格验证B.对输出内容进行编码C.使用参数化查询访问数据库D.关闭详细的错误信息回显答案ABCD解析输入验证可防注入类攻击，输出编码可防XSS，参数化查询可防SQL注入，关闭详细错误回显可防止信息泄露，四者均是Web安全加固的常用手段。9.下列属于生物特征认证方式的有？A.指纹识别B.人脸识别C.虹膜识别D.短信验证码答案ABC解析指纹、人脸、虹膜均属于生物特征，具有唯一性和不可复制性。短信验证码属于"所持"因素的动态令牌，不属于生物特征。10.关于零信任安全模型，下列说法正确的有？A.默认不信任任何网络位置B.基于身份和上下文进行持续验证C.所有访问请求均需经过授权D.只适用于云环境答案ABC解析零信任的核心原则是不信任任何网络位置、持续验证、最小权限授权。它适用于传统数据中心、云环境和混合架构，并非仅限云环境。三、判断题（每题1分，共10题，10分）1.使用公共Wi-Fi时可以随意登录网上银行。答案错误解析公共Wi-Fi缺乏加密保护，攻击者可实施中间人攻击窃取账号密码。应避免在公共Wi-Fi下进行网银等敏感操作，必要时使用VPN。2.HTTPS协议可以保证数据传输的机密性和完整性。答案正确3.防火墙可以完全阻止所有网络攻击。答案错误解析防火墙主要工作在网络层，无法防御应用层攻击（如SQL注入）、社会工程学攻击和内部威胁等。4.定期修改密码可以降低账户被破解的风险。答案正确5.收到的邮件附件，只要发件人是熟人就可以放心打开。答案错误解析熟人邮箱可能被劫持或仿冒，附件可能携带恶意代码。应核实发件人地址、确认邮件内容，并对附件进行安全扫描后再打开。6.杀毒软件安装后不需要定期更新病毒库。答案错误解析新型病毒和变种不断出现，只有定期更新病毒库，杀毒软件才能识别和查杀最新威胁。7.云服务中的数据安全责任完全由云服务商承担。答案错误解析云安全遵循"责任共担"模型。云服务商负责"云的安全"（基础设施），用户负责"云中的安全"（数据、应用、访问配置等）。8.双因素认证比单因素认证更安全。答案正确9.系统开放的网络端口越多，安全性越高。答案错误解析开放端口越多，攻击面越大。应遵循最小开放原则，仅开放业务必需的端口，并定期核查端口开放情况。10.数据经过强加密后，即使被窃取也无法直接读取明文内容。答案正确四、简答题（每题5分，共4题，20分）1.简述社会工程学攻击的常见形式及防范措施。答案（1）常见形式：钓鱼邮件/短信，伪装成银行、公司或熟人诱导点击恶意链接或附件；假冒身份电话，冒充领导、客服或公检法人员套取信息；尾随进入受控区域；翻找废弃文件获取敏感信息等。（2）防范措施：加强员工安全意识培训；建立严格的身份验证流程（如双人复核、电话回拨确认）；对敏感信息实施分级管理和最小权限访问；部署邮件安全网关、反钓鱼技术手段；建立异常行为报告和应急处置机制。2.简述纵深防御（DefenseinDepth）策略的含义与主要内容。答案纵深防御是一种多层次、多手段叠加的安全防护策略，核心思想是"任何单一防护措施都可能失效，需要在多个层面部署互补的安全控制"，即使某一层被突破，其他层仍能阻止或减缓攻击。主要内容包括：（1）物理安全：机房门禁、监控、环境控制；（2）网络安全：防火墙、入侵检测/防御系统、VPN、网络分区隔离；（3）主机安全：系统补丁、主机加固、防病毒软件；（4）应用安全：安全编码规范、WAF、输入输出验证；（5）数据安全：加密存储、备份恢复、访问控制；（6）管理安全：安全制度、人员培训、应急响应预案。3.简述《数据安全法》确立的数据分类分级保护制度的基本要求。答案《数据安全法》第二十一条规定，国家建立数据分类分级保护制度：（1）根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；（2）国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护；（3）关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于核心数据，实行更加严格的管理制度；（4）各地区、各部门按照规定确定本地区、本部门以及相关行业、领域的重要数据具体目录，并对列入目录的数据进行重点保护。4.简述企业应如何制定安全的密码管理策略。答案（1）密码复杂度要求：长度不少于12位，包含大小写字母、数字和特殊字符；（2）密码唯一性：不同系统使用不同密码，避免"撞库"攻击；（3）密码存储：采用加盐哈希（如bcrypt、argon2）存储，严禁明文或可逆编码存储；（4）密码更换策略：对关键系统定期强制更换密码，避免长期使用同一密码；（5）启用多因素认证：对核心业务系统和管理后台强制启用MFA；（6）辅助工具：推广使用企业级密码管理器，降低员工记忆负担，避免因妥协而使用弱密码。五、案例分析题（每题10分，共2题，20分）1.某公司财务人员收到一封显示发件人为CEO的紧急邮件，邮件要求立即向某供应商账户转账50万元，并称"正在开会，不方便电话沟通"。财务人员转账后，经与CEO核实发现并未发出该指令。请分析：（1）该攻击属于什么类型？（2）此类攻击的主要特征有哪些？（3）企业应采取哪些防范措施？答案：（1）属于商业电子邮件诈骗（BEC，BusinessEmailCompromise），是鱼叉式钓鱼与社会工程学结合的典型攻击形式，也称"CEO诈骗"或"仿冒领导诈骗"。（2）主要特征：-伪造发件人地址或仿冒相似域名（如使用与真实域名相近的变体）；-冒充高管身份，利用职权压力制造紧迫感；-以"正在开会""出差"等理由拒绝通过电话或其他渠道核实；-目标明确，通常指向财务、人事等掌握资金或敏感信息的岗位；-要求转账汇款、购买礼品卡、提供员工个人信息等具体动作。（3）防范措施：-建立大额转账双重审批制度，财务操作前必