2026 年大学计算机网络(网络监控)试题及答案

2026年大学计算机网络(网络监控)试题及答案一、单项选择题（每题2分，共20分）1.2026年主流网络监控架构普遍采用eBPF技术实现无侵入式流量采集，以下关于eBPF网络监控的描述错误的是（）A.可在内核态直接完成流量过滤、统计，无需将全量流量拷贝至用户态B.支持对TCP、UDP、QUIC、HTTP/3等多协议的解析与字段提取C.采集进程崩溃会导致内核网络栈异常，可用性低于传统libpcap采集方案D.可结合BTF（BPFTypeFormat）实现跨内核版本的监控程序兼容性答案：C解析：eBPF程序加载前会经过内核验证器的安全校验，可避免内存越界、死循环等问题，采集进程崩溃不会影响内核稳定性，可用性远高于libpcap方案，其余选项描述均符合eBPF技术特性。2.零信任架构下的网络监控与传统边界监控的核心差异是（）A.仅监控南北向流量，不监控东西向流量B.以身份为核心对每一次访问会话进行全路径监控审计C.无需部署流量探针，仅依赖终端Agent上报数据即可完成全量监控D.不再需要遵循等保2.0的日志留存要求答案：B解析：零信任核心原则是“永不信任、始终验证”，需对每一次访问的身份、授权、行为、路径进行全链路审计，A选项错误，零信任需重点监控东西向内部流量；C选项错误，仍需网络层探针补充终端上报的盲区；D选项错误，零信任架构仍需满足等保、个保法等合规要求。3.针对IPv6环境下的网络监控，以下哪种地址标识可唯一关联终端用户的全网访问行为，且符合IPv6地址动态分配的场景（）A.接口标识符（IID）B.临时IPv6地址C.IPv6前缀+DHCPv6唯一标识符（DUID）D.链路本地地址答案：C解析：IID多为随机生成、临时IPv6地址定期更新，均无法固定关联用户；链路本地地址仅在二层链路有效，不可用于跨网段行为关联；DUID是DHCPv6客户端的固定唯一标识，结合分配的IPv6前缀可精准关联用户全网访问行为。4.以下哪项是AI大模型赋能网络异常检测的核心优势，区别于传统规则匹配、统计分析方法（）A.无需标注流量样本即可实现100%的检测准确率B.可识别未知的0day攻击流量、隐蔽信道传输等无明确特征的异常行为C.检测时延远低于传统规则匹配方案，适合万兆以上高带宽场景D.无需依赖流量基线即可完成异常判定答案：B解析：大模型的泛化能力可覆盖无明确特征的未知威胁，是其核心优势；A选项错误，大模型仍需标注样本训练，且不可能达到100%准确率；C选项错误，大模型推理时延远高于规则匹配，通常用于离线分析或二次校验；D选项错误，大模型的异常判定仍需基于正常流量的训练基线。5.网络监控中常用的遥测技术Telemetry与传统SNMP、NetFlow的核心差异是（）A.Telemetry是推模式，可实现亚秒级的网络状态数据上报B.Telemetry仅支持物理设备的数据采集，不支持虚拟化资源C.Telemetry的带宽占用远低于SNMPGet轮询D.Telemetry无需设备支持，可通过镜像流量实现数据采集答案：A解析：Telemetry采用主动推模式上报数据，采样频率可达10ms级，远高于SNMP的分钟级轮询；B选项错误，Telemetry支持虚机、容器、云服务等虚拟化资源的数据采集；C选项错误，高频上报的带宽占用高于SNMP轮询；D选项错误，Telemetry需要设备/平台原生支持。6.等保3级要求网络监控日志的留存时长至少为（）A.30天B.90天C.6个月D.1年答案：C解析：依据《网络安全等级保护基本要求》，三级系统安全日志留存时长不少于6个月。7.针对容器化云原生环境的网络监控，以下哪种技术可实现Pod级别的流量可视化，且无需修改Pod的网络配置（）A.节点端口镜像B.eBPF内核态探针C.ServiceMeshSidecarD.VXLAN报文解析答案：B解析：eBPF内核态探针可直接从节点内核层采集流量，关联Pod元数据，无需修改Pod配置；节点端口镜像无法精准关联Pod流量；ServiceMesh需要注入Sidecar修改Pod配置；VXLAN报文解析仅能获取隧道端点信息，无法关联Pod级数据。8.以下哪种加密流量检测技术不会侵害用户通信隐私，符合《个人信息保护法》要求（）A.全流量SSL/TLS中间人解密，提取明文内容审计B.基于JA3/JA3S指纹、TLS握手特征、流量统计特征的无解密检测C.强制要求用户上传加密密钥用于监控审计D.拦截所有加密通信，仅允许未加密HTTP流量传输答案：B解析：无解密检测仅基于报文头、统计特征分析，不获取通信明文内容，符合隐私合规要求；其余选项均存在非法获取用户通信内容、侵害个人信息权益的问题，违反《个人信息保护法》规定。9.网络监控中分布式拒绝服务攻击（DDoS）的流量baseline建模，不需要采集以下哪项数据（）A.正常时段的流量带宽峰值、均值B.正常时段的TCPSYN、UDP、ICMP报文占比C.正常时段的源IP地址分布、访问目标端口分布D.正常时段的终端CPU、内存使用率答案：D解析：终端CPU、内存使用率属于资产监控数据，与流量基线建模无关。10.以下哪项是SRv6网络中流量监控的特有难点（）A.报文头没有固定的端口字段，无法基于端口区分业务B.SRv6报头包含分段路由列表，报文转发路径可变，传统逐跳监控无法关联全路径C.SRv6报文均为加密报文，无法解析外层头字段D.SRv6仅支持IPv6网络，无法兼容IPv4流量监控答案：B解析：SRv6支持自定义转发路径，传统逐跳监控无法关联全路径流量，是其特有监控难点；A选项错误，SRv6报文包含标准传输层端口字段；C选项错误，SRv6外层报文头为明文；D选项错误，SRv6可封装IPv4报文传输，兼容IPv4流量监控。二、填空题（每空1分，共10分）1.网络监控中常用的流量镜像技术分为______镜像（本地端口镜像）、RSPAN（远程端口镜像）、ERSPAN（封装远程端口镜像）三类。答案：SPAN2.万兆以上高带宽场景下，流量采集通常采用______技术，按固定比例抽取部分流量进行分析，在保证统计准确性的前提下降低采集负载。答案：流量采样3.零信任架构下的网络监控核心遵循“______、持续验证、永不信任”的基本原则，实现每会话的全链路审计。答案：最小权限4.针对HTTP/3协议的流量监控，需要解析______传输层协议的报文头，区别于HTTP/1、HTTP/2依赖的TCP协议。答案：QUIC5.《网络安全法》要求网络运营者应当按照规定留存相关的网络日志不少于______个月。答案：66.云原生环境下，Kubernetes集群的网络监控需要关联______、Namespace、Service等元数据，实现资源维度的流量统计。答案：Pod7.网络遥测技术Telemetry采用______模式向监控平台上报数据，区别于SNMP的拉模式轮询。答案：主动推送（推）8.加密流量异常检测中，常用的______指纹是对TLS客户端Hello报文的扩展字段、加密套件列表等信息哈希生成的唯一标识，可用于识别恶意客户端。答案：JA39.eBPF程序加载到内核前需要通过______的安全校验，避免出现内存越界、死循环等问题影响内核稳定性。答案：BPF验证器（eBPF验证器）10.网络监控的异常检测分为特征检测和______检测两类，前者依赖已知攻击特征匹配，后者基于流量基线识别偏离正常行为的异常。答案：异常三、简答题（每题10分，共40分）1.简述eBPF技术在当前网络监控场景中的核心优势，以及相比传统libpcap采集方案的性能提升点。参考答案：核心优势：①无侵入性：无需修改业务系统网络配置、无需注入Sidecar容器，即可在内核态实现流量采集、字段提取、统计分析，对业务负载影响极低；②多协议原生支持：可原生解析TCP、UDP、QUIC、HTTP/2、HTTP/3、SRv6等新旧协议，适配IPv6、云原生、SRv6等新型网络环境；③内核态预处理能力：可在内核态直接完成流量过滤、聚合、统计，无需将全量流量拷贝至用户态，大幅降低CPU、内存开销；④全栈数据关联：可关联内核网络栈的连接状态、进程ID、容器/Pod元数据、物理设备端口等信息，实现从应用到物理网络的全链路数据关联。性能提升点：①流量拷贝开销降低90%以上：传统libpcap需要将流量从内核态拷贝到用户态再处理，eBPF在内核态完成预处理后仅上传必要的统计数据或命中规则的流量，带宽和内存开销大幅降低；②采集性能可达libpcap的5-10倍：万兆带宽场景下，libpcap全量采集通常占用2核以上CPU，eBPF采集仅占用0.5核左右，且无丢包；③支持更高的采样精度：eBPF可实现亚微秒级的流量时间戳采集，精度远高于libpcap的毫秒级时间戳，适合时延敏感的业务监控。2.简述零信任架构下网络监控体系的设计要点，以及与传统边界监控架构的区别。参考答案：设计要点：①全路径会话审计：对每一次访问请求的身份信息、授权结果、转发路径、访问行为、返回结果进行全链路采集与审计，覆盖终端、网络、应用、数据各层；②身份维度的关联分析：以用户身份、设备身份、应用身份为核心关联所有监控数据，替代传统基于IP地址的关联模式，适配动态IP、远程办公、多云部署等场景；③持续信任评估：结合网络监控数据对访问主体的信任度进行实时评估，若出现异常访问行为立即触发权限收缩、访问拦截等处置动作；④东西向流量全覆盖：对数据中心内部、多云之间的东西向流量进行同等粒度的监控，避免传统边界监控的内部盲区。与传统边界监控的区别：①监控边界不同：传统监控仅关注南北向边界流量，零信任监控覆盖所有网络路径的所有流量；②关联维度不同：传统监控基于IP、端口关联流量，零信任监控基于身份关联流量；③监控目标不同：传统监控以防范外部攻击为主，零信任监控以防范内部、外部的所有未授权访问为主；④处置联动不同：传统监控以告警为主，零信任监控可直接联动访问控制组件实现动态处置。3.简述网络监控体系建设中符合《个人信息保护法》《网络安全法》的合规边界，以及避免隐私侵权的核心措施。参考答案：合规边界：①不得采集法律法规禁止采集的个人信息，包括生物识别、宗教信仰、医疗健康等敏感个人信息，确需采集的需取得个人单独同意；②不得对加密通信进行无授权的中间人解密，不得强制要求用户提供加密密钥；③日志留存不得超出必要期限，满足等保要求的前提下不得超期存储个人信息；④监控数据仅可用于网络安全防护、故障排查等合法用途，不得泄露、出售、非法向他人提供。核心措施：①采用无解密加密流量检测技术，基于流量指纹、统计特征进行异常检测，不获取通信明文内容；②对监控数据中的个人信息进行脱敏处理，对用户手机号、身份证号、访问的敏感URL等字段进行掩码或哈希处理；③建立监控数据访问权限控制机制，仅授权的安全运维人员可访问相关数据，且所有访问行为留存审计日志；④开展定期的合规评估，对监控体系的采集范围、存储周期、使用场景进行合规审计，及时调整不符合要求的配置。4.简述AI大模型在网络异常检测中的应用场景，以及落地过程中的常见难点。参考答案：应用场景：①未知威胁检测：识别传统规则无法覆盖的0day攻击、隐蔽信道、新型勒索软件通信等异常流量；②告警降噪：对海量监控告警进行关联分析、优先级判定，过滤误告警，可将运维人员的告警处理量降低70%以上；③根因分析：结合全链路监控数据自动定位网络故障、攻击事件的根因，缩短故障排查时间；④攻击路径溯源：基于流量日志自动还原攻击的全路径，识别攻击入口、横向移动路径、受害资产。落地难点：①标注样本不足：网络攻击样本数量少、更新快，大模型训练需要的高质量标注样本获取难度大；②推理时延高：大模型的推理开销大，难以适配万兆以上高带宽流量的实时检测需求；③误报率控制难：大模型的泛化能力强，但容易出现误判，需要结合规则引擎进行二次校验；④可解释性差：大模型的检测结果缺乏可解释性，难以满足等保要求的审计溯源需求，需要结合可解释AI技术给出判定依据。四、综合案例分析题（每题15分，共30分）1.某大型企业2026年完成云原生转型，部署了2个Kubernetes集群（共1200个节点、1.2万个Pod），同时落地零信任架构实现员工远程办公访问，网络出口带宽为100G，要求建设一套覆盖物理网络、云原生集群、零信任访问的全栈网络监控体系。请给出监控方案的核心设计，包括采集层、分析层、应用层的核心组件，以及性能优化、合规保障的关键措施。参考答案：核心架构设计①采集层：物理网络侧在核心交换机、出口路由器部署Telemetry探针，实现亚秒级端口流量、转发状态上报，同时部署ERSPAN流量镜像，对出口流量进行1:1000采样采集；云原生集群侧在每个Kubernetes节点部署eBPF内核探针，采集Pod级流量数据、连接状态、网络时延，关联Pod、Namespace、Service元数据，无需注入Sidecar；零信任侧在零信任访问代理（ZTAProxy）部署会话日志采集探针，采集每一次访问的身份信息、授权结果、访问目标、行为数据。②分析层：实时分析模块采用流处理框架Flink对采集到的实时数据进行处理，实现DDoS攻击检测、未授权访问识别、网络故障告警等实时分析，时延控制在1秒以内；AI分析模块部署微调后的网络安全大模型，对历史流量数据进行离线分析，识别未知威胁、隐蔽信道，同时对实时告警进行降噪和根因分析；关联分析模块基于身份标识、会话ID对物理网络、云原生、零信任的监控数据进行关联，实现全链路的会话追溯。③应用层：可视化模块提供物理网络拓扑、云原生网络拓扑、零信任访问态势的可视化展示，支持按业务、身份、资源维度查询流量统计数据；运维处置模块联动防火墙、零信任访问控制组件、Kubernetes网络策略组件，实现异常流量自动拦截、未授权访问自动阻断、故障自动自愈；审计模块满足等保3级要求，所有监控日志留存6个月，支持按身份、时间、事件类型进行审计溯源。性能优化措施采集层采用内核态预处理、流量采样技术，将采集到的全量数据压缩80%后再上报，降低带宽开销；分析层采用分布式架构，按业务维度分片处理数据，支持水平扩展，适配100G带宽的采集需求；存储层采用冷热数据分离存储，热数据（近7天）存储在SSD，冷数据（超过7天）存储在对象存储，降低存储成本。合规保障措施出口流量采用无解密加密检测技术，不对HTTPS、HTTP/3流量进行中间人解密，避免隐私侵权；对日志中的个人敏感信息进行脱敏处理，所有访问监控数据的行为留存审计日志；定期开展合规审计，确保采集范围、存储周期符合法律法规要求。2.某运营商骨干网出现异常流量告警，经初步排查为新型DDoS攻击，攻击流量混合了加密的QUIC报文、伪造源IP的TCPSYN报文，总流量峰值达2.3Tbps，传统基于规则的检测系统未识别到该攻击。请给出该攻击的检测与处置方案，说明用到的核心技术、检测流程、处置措施。参考答案：核心技术选用采用Telemetry亚秒级流量采集，从骨干网路由器采集实时的端口流量、报文类型分布、源IP地址分布数据，采样间隔为100ms；采用预训练的DDoS检测大