2025年网络信息安全管理员职业技能等级考试(三级)网络安全防护试题详解

2025年网络信息安全管理员职业技能等级考试(三级)网络安全防护试题详解一、单项选择题（本模块共40题，每题1分，共40分，以下为高频易错真题详解）题干：依据《网络安全等级保护测评要求》（GB/T28448-2019）及2024年更新的测评补充细则，三级网络系统的核心业务数据备份恢复要求中，离线备份的频率最低为？选项：A.每周一次B.每半月一次C.每月一次D.每季度一次参考答案：A解析：2024年等保测评补充细则明确调整了三级系统的备份要求：核心业务数据本地备份需每日至少1次，离线备份需每周至少1次，重要业务场景需提升至每日离线备份。本题常见误区为混淆二级、三级系统的备份要求，二级系统离线备份最低频率为每月1次，三级系统为每周1次，因此本题选A。题干：某政务服务平台收集用户的人脸、身份证号等敏感个人信息，依据《个人信息保护法》及2025年实施的《敏感个人信息处理合规指引》，该平台对敏感个人信息的访问日志留存期限最低为？选项：A.6个月B.1年C.3年D.5年参考答案：C解析：针对敏感个人信息的操作日志留存要求，《敏感个人信息处理合规指引》明确规定：访问、修改、删除、导出敏感个人信息的操作日志留存期限不得少于3年，普通个人信息操作日志留存不得少于1年，普通网络设备、系统日志留存不得少于6个月。考生易混淆等保通用日志6个月的留存要求，忽略敏感个人信息的特殊合规要求，因此本题选C。题干：按照《零信任架构技术要求》（GB/T43694-2024），网络安全管理员三级从业人员部署零信任访问控制时，核心决策依据不包括以下哪项？

选项：A.访问主体身份B.访问环境风险C.访问资源属性D.访问链路带宽参考答案：D解析：零信任“永不信任、始终验证”的核心逻辑中，访问控制决策的三个核心维度为：访问主体的身份权限、访问终端的环境风险（是否存在恶意程序、是否为常用登录地等）、访问资源的安全等级。访问链路带宽属于网络传输性能指标，不属于安全访问控制的决策依据，因此本题选D。题干：某企业三级等保系统遭遇勒索软件攻击，导致核心业务中断，依据《网络安全事件报告管理办法》，管理员应当在发现事件后多久内上报属地网信部门？选项：A.2小时B.4小时C.8小时D.24小时参考答案：B解析：网络安全事件上报时限分为三个层级：关键信息基础设施发生一般及以上事件的，2小时内上报；三级等保重要网络系统发生一般及以上事件的，4小时内上报；普通非重要网络系统发生事件的，24小时内上报。本题明确为三级等保系统，因此选B。题干：以下哪种入侵检测系统（IDS）的部署方式能够捕获网络中所有的流量，且不会影响网络的正常运行？选项：A.串联模式B.旁路模式C.混合模式D.代理模式参考答案：B解析：IDS为被动检测设备，旁路模式通过交换机端口镜像复制全量网络流量进行检测，无需串联到业务链路中，不会成为单点故障，也不会对网络传输性能产生影响。串联模式为入侵防御系统（IPS）的部署方式，链路故障时可能导致业务断网；代理模式为WAF、防火墙的常用部署模式，因此本题选B。题干：依据《网络安全等级保护基本要求》（GB/T22239-2019），三级等保系统的身份鉴别要求中，远程管理运维人员必须采用哪种鉴别方式？

选项：A.静态密码鉴别B.动态口令鉴别C.双因素鉴别D.生物特征鉴别参考答案：C解析：三级等保访问控制要求明确规定：远程运维必须采用两种及以上鉴别因素组合的双因子认证，例如“静态密码+USBKey”“动态口令+生物特征”等，单因素认证（静态密码、动态口令、生物特征单独使用）均不符合要求，因此本题选C。题干：企业部署生成式AI大模型用于内部文档处理，为了避免敏感数据泄露，以下防护措施中错误的是？选项：A.对输入大模型的文档进行敏感数据识别，过滤核心数据、敏感个人信息B.限制大模型的训练数据来源，禁止使用企业内部的敏感数据进行训练C.允许员工直接将未脱敏的核心业务文档上传到公共大模型进行处理D.对大模型的输出内容进行审核，避免泄露敏感数据参考答案：C解析：依据《生成式人工智能服务管理暂行办法》要求，企业使用公共大模型处理内部数据时，不得上传未脱敏的敏感数据、核心数据，公共大模型的训练数据机制可能导致上传数据泄露，因此C选项的操作不符合安全要求，本题选C。二、多项选择题（本模块共20题，每题2分，共40分，选错不得分，少选每个正确选项得0.5分，以下为高频易错真题详解）题干：某电商平台部署的Web应用防火墙（WAF），能够实现以下哪些防护功能？选项：A.SQL注入攻击拦截B.XSS跨站脚本攻击拦截C.DDoS传输层流量清洗D.网页后门文件查杀E.敏感数据泄露脱敏参考答案：ABE解析：WAF工作在OSI七层模型的应用层，针对HTTP/HTTPS流量进行安全检测，核心功能包括：应用层攻击拦截（SQL注入、XSS、命令执行等）、响应内容敏感信息过滤脱敏、CC攻击防护等。C选项传输层DDoS流量清洗为抗DDoS设备的核心功能，不属于WAF的标配功能；D选项网页后门文件查杀为主机EDR、杀毒软件的功能，因此本题选ABE。本题常见误区为误选C，部分WAF具备小流量抗D能力，但三级考试中明确区分不同安全设备的核心功能边界，因此C不入选。题干：对WindowsServer2022操作系统进行安全加固，符合三级等保要求的操作有？选项：A.禁用默认管理员账户administrator并新建同名陷阱账户B.开启操作系统审计策略，覆盖登录、权限变更、对象访问等事件C.设置账户登录失败5次后锁定账户30分钟D.开启默认共享C、ADMIN解析：三级等保主机安全加固要求中，默认共享存在权限泄露、横向渗透风险，必须禁用，因此D选项错误。其余选项均为标准加固操作：禁用默认管理员账户并设置同名陷阱账户可迷惑攻击者，全量审计策略符合安全审计全覆盖要求，账户锁定策略可防范暴力破解攻击，禁用不必要服务可减少系统攻击面，因此本题选ABCE。题干：依据《数据安全法》及2024年发布的《核心数据识别指南》，企业对核心数据的全生命周期管理过程中，需要落实的安全措施包括？选项：A.对核心数据的访问实施双人审批机制B.核心数据的传输必须采用国密算法加密C.核心数据的存储介质应当标注密级并实施物理隔离存储D.核心数据的出境应当经过国家网信部门安全评估E.核心数据的销毁应当采用消磁、粉碎等不可逆方式参考答案：ABCDE解析：核心数据为最高安全等级的数据，全生命周期管控要求包括：访问控制需双人审批、传输存储需采用SM2/SM3/SM4等国密算法加密、存储介质需标注密级并与普通数据物理隔离、出境需通过国家网信部门安全评估、销毁需采用不可逆方式避免数据恢复，所有选项均符合要求，因此本题全选。题干：以下属于网络安全管理员三级从业人员需要掌握的漏洞扫描工具的有？选项：A.NmapB.NessusC.XshellD.AWVSE.Wireshark参考答案：ABD解析：三级职业技能要求明确需掌握常见漏洞扫描工具的使用：Nmap为端口扫描、主机发现工具，可支持基础漏洞探测；Nessus为专业的系统、组件漏洞扫描工具；AWVS为Web应用漏洞扫描工具，三类均属于漏洞扫描相关工具。Xshell为远程运维终端工具，Wireshark为流量抓包分析工具，不属于漏洞扫描工具，因此本题选ABD。题干：某企业要对存储的过期敏感个人信息进行销毁，符合合规要求的销毁方式有？选项：A.逻辑删除B.格式化存储介质C.对磁盘进行多次覆写D.对机械硬盘进行消磁E.对固态硬盘进行物理粉碎参考答案：CDE解析：逻辑删除仅删除文件系统索引，格式化仅重建文件分配表，两种方式均可通过数据恢复工具还原数据，不符合敏感数据销毁的不可逆要求。多次覆写、机械硬盘消磁、存储介质物理粉碎均为不可逆销毁方式，符合合规要求，因此本题选CDE。三、实操题（本模块共2题，每题10分，共20分，以下为典型真题详解）实操题1题干：某企业三级等保系统拓扑为：互联网→抗DDoS设备→防火墙→WAF→核心交换机→（业务服务器区、运维管理区、数据库区），现要求你作为网络安全管理员完成以下安全配置任务：（1）配置防火墙访问控制策略，仅允许运维管理区的/24段通过SSH协议访问数据库区的/24段，拒绝所有其他地址访问数据库的22端口；（2）配置WAF规则，拦截包含union、select等SQL注入特征的URL请求，同时放行企业内部测试IP段/8的所有请求；（3）配置核心交换机的端口安全策略，每个接入端口最大允许接入的MAC地址数量为2，发生违规后自动关闭端口并告警。参考答案及评分标准（总10分，每小问3分，操作规范1分）防火墙配置（以华为USG6000系列为例，3分）：步骤1：确认域间关系，运维管理区属于trust域，数据库区属于DMZ域，进入trust到DMZ的域间策略配置视图（1分）。步骤2：配置ACL规则：rulepermittcpsource55destination55destination-porteq22；ruledenytcpsourceanydestination55destination-porteq22（1分）。步骤3：将ACL应用到域间出方向策略，启用策略并验证：用非运维段IP访问数据库22端口被拒绝，运维段IP可正常访问（1分）。扣分点：反掩码配置错误（将55写为）扣1分，未配置拒绝所有其他访问的规则扣1分。WAF配置（以奇安信WAF为例，3分）：步骤1：新建SQL注入防护规则，匹配特征为URL参数/请求体包含union、select、insert、delete等SQL关键字，动作设置为拦截（1分）。步骤2：新建IP白名单规则，源IP段为/8，优先级设置为高于SQL注入防护规则，动作为放行（1分）。步骤3：启用规则并验证：用非10段IP访问包含注入特征的URL返回403拦截页面，10段IP访问正常放行（1分）。扣分点：白名单优先级低于防护规则导致白名单不生效扣2分，仅配置union、select两个关键字不符合全覆盖要求扣1分。核心交换机配置（以华为S5700系列为例，3分）：步骤1：批量进入接入端口视图（interfacerangeGigabitEthernet0/0/1to0/0/24），开启端口安全功能：port-securityenable（1分）。步骤2：配置端口最大MAC地址数：port-securitymax-mac-num2，配置违规动作：port-securityprotect-actionshutdown，配置SNMP告警规则将端口关闭事件上报至运维平台（1分）。步骤3：验证：端口接入3台设备时自动关闭并产生告警（1分）。扣分点：未开启端口安全功能直接配置参数导致配置不生效扣2分，违规动作仅配置告警未关闭端口扣1分。操作规范（1分）：所有配置变更前备份原有配置，变更后留存配置日志，符合变更管理要求。实操题2题干：某企业三级等保系统遭遇挖矿病毒入侵，现象为业务服务器CPU占用率持续100%，存在未知外联IP的443端口流量，要求你完成应急响应处置任务：（1）按照PDCERF应急响应流程，写出完整的处置步骤；（2）定位挖矿病毒的持久化机制，列举3种常见的持久化路径并说明清除方法；（3）写出后续的加固措施，避免再次发生同类入侵。

参考答案及评分标准（总10分，第一小问4分，第二小问3分，第三小问3分）

1.PDCERF应急响应流程（4分）：步骤1：准备阶段：清点应急工具包（进程查看工具、抓包工具、日志分析工具、杀毒工具），获取服务器管理员权限，明确业务中断等级（1分）。步骤2：检测阶段：查看进程列表定位高CPU占用的未知进程，查看网络连接确认外联矿池IP，排查SSH日志、Web日志、系统日志定位入侵入口（弱口令、Web漏洞、供应链漏洞等）（1分）。步骤3：抑制阶段：断开受感染服务器网络避免横向扩散，备份重要业务数据和病毒样本用于溯源（1分）。步骤4：根除阶段：结束挖矿进程、删除病毒文件、清除持久化配置，修复入侵入口漏洞；恢复阶段：恢复服务器网络，验证业务正常、无异常外联；总结阶段：编写应急报告上报管理部门，制定加固方案（1分）。扣分点：遗漏抑制阶段断网操作扣2分，流程顺序错误扣1分。常见持久化机制及清除方法（3分，每种1分）：①定时任务持久化：Linux排查crontab列表、/etc/crontab、/var/spool/cron/目录下的未知定时任务，删除恶意下载、执行脚本的任务；Windows排查任务计划程序，删除未知触发式任务。②系统服务持久化：Linux排查/etc/systemd/system/、/etc/init.d/目录下的未知自启动服务，执行systemctldisable服务名禁用自启动，删除对应服务文件；Windows排查services.msc，禁用未知自启动服务并删除对应程序。③启动脚本/注册表持久化：Linux排查/etc/profile、~/.bashrc等用户登录执行脚本，删除恶意命令；Windows排查注册表HKEY_LOCAL_MACHINE，删除对应键值。

扣分点：仅列路径未说明清除方法扣1.5分，所列路径不属于挖矿病毒常见持久化方式每项扣1分。后续加固措施（3分，每条1分，答出3条即可）：①弱口令整改：所有服务器、应用密码设置为8位以上含大小写、数字、特殊字符的复杂