2026年度全国大学生网络安全知识竞赛题库及答案

2026年度全国大学生网络安全知识竞赛题库及答案一、单项选择题（共20题，每题1分，共20分）1.2024年修订的《中华人民共和国网络安全法》正式施行时间为（）A.2024年1月1日B.2024年12月1日C.2025年1月1日D.2026年1月1日答案：B解析：2024年10月24日第十四届全国人民代表大会常务委员会第十二次会议修订通过《中华人民共和国网络安全法》，自2024年12月1日起施行，完善了关键信息基础设施保护、数据安全、个人信息保护、网络违法信息处置等方面的制度要求。2.网络安全等级保护2.0制度将网络安全保护等级划分为（）个级别A.3B.4C.5D.6答案：C解析：等保2.0将保护对象的安全等级从低到高划分为第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）、第五级（专控保护级）共5个级别。3.根据《中华人民共和国数据安全法》，关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于（）A.一般数据B.重要数据C.核心数据D.敏感数据答案：C解析：数据安全法确立了数据分类分级保护制度，核心数据是最高保护等级的数据，实行最严格的管理制度，任何组织、个人非法获取、出售、提供核心数据均属于严重违法行为。4.根据《中华人民共和国个人信息保护法》，下列不属于敏感个人信息的是（）A.生物识别信息B.宗教信仰信息C.姓名信息D.行踪轨迹信息答案：C解析：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，普通姓名信息不属于敏感个人信息范畴。5.根据《中华人民共和国密码法》，核心密码、普通密码用于保护（）A.所有商业信息B.国家秘密信息C.个人信息D.企业经营数据答案：B解析：密码法将密码分为核心密码、普通密码和商用密码三类，核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。6.SQL注入攻击的主要攻击目标是（）A.网站服务器操作系统B.网站后台数据库C.用户终端设备D.网络防火墙答案：B解析：SQL注入是攻击者通过在web请求参数中插入恶意SQL语句，绕过前端验证后在后台数据库执行恶意命令，实现窃取、篡改、删除数据库数据，甚至控制服务器的攻击手段，核心攻击目标为数据库系统。7.存储型跨站脚本攻击（XSS）最常窃取的用户身份凭证是（）A.用户登录密码B.用户身份证号C.浏览器CookieD.用户银行卡号答案：C解析：存储型XSS是攻击者将恶意脚本代码上传存储到网站服务器，当其他用户访问对应页面时，恶意脚本自动执行，窃取用户浏览器存储的登录态Cookie，攻击者可利用窃取的Cookie冒充用户登录账号，无需获取用户明文密码。8.零信任架构的核心原则是（）A.默认信任内部网络所有主体B.永不信任、始终验证C.仅对外部访问主体做身份验证D.仅对高权限用户做身份验证答案：B解析：零信任打破了传统网络架构“默认信任内部主体”的逻辑，核心原则为“永不信任、始终验证”，对所有访问主体无论处于内网还是外网，均需要持续进行身份验证、权限评估，遵循最小权限原则授予访问权限。9.勒索软件攻击通常要求受害者通过（）支付赎金，以规避资金追踪A.银行转账B.微信转账C.支付宝转账D.比特币等匿名虚拟货币答案：D解析：虚拟货币具有匿名性、去中心化、交易难以溯源的特征，因此成为网络黑产、勒索软件攻击者索要赎金的首选支付方式，我国明确禁止虚拟货币相关业务活动，遭遇勒索软件攻击后支付赎金的行为不受法律保护。10.钓鱼邮件最典型的识别特征是（）A.发件人邮箱后缀为官方域名B.邮件内容无诱导性表述C.要求用户点击陌生链接、下载不明附件或提供敏感信息D.邮件内容经过官方加密传输答案：C解析：钓鱼邮件通常伪装为官方机构、学校、企业等主体发送邮件，核心特征是通过中奖、异常通知、政务办理等话术诱导用户点击恶意链接、下载携带病毒的附件，或要求用户提供账号密码、身份证号、银行卡号等敏感信息。11.网络安全等级保护第三级的信息系统，应当至少（）开展一次等级保护测评A.每半年B.每年C.每两年D.每三年答案：B解析：根据等保2.0管理要求，第三级信息系统应当每年至少开展一次等级保护测评，第四级信息系统应当每半年至少开展一次等级保护测评。12.根据《数据出境安全评估办法》，数据出境安全评估结果的有效期为（）A.1年B.2年C.3年D.5年答案：B解析：数据出境安全评估结果有效期为2年，有效期内出现数据出境用途变更、接收方变更、数据类型变更等情形的，需要重新申请安全评估。13.根据《中华人民共和国个人信息保护法》，个人信息处理者处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意A.12B.14C.16D.18答案：B解析：个人信息保护法明确将不满14周岁未成年人的个人信息列为敏感个人信息，处理该类信息应当取得监护人同意，同时制定专门的个人信息处理规则。14.DDoS攻击的核心危害是（）A.窃取目标系统的敏感数据B.篡改目标系统的业务数据C.消耗目标系统的带宽、计算资源导致服务不可用D.直接获取目标系统的管理员权限答案：C解析：分布式拒绝服务攻击（DDoS）是攻击者控制大量肉鸡设备同时向目标系统发送大量无效请求，占满目标系统的带宽、服务器计算资源，导致正常用户的访问请求无法被响应，最终造成目标服务瘫痪。15.下列密码中属于弱密码的是（）A.Xy@972_k1fQB.123456C.Z#m202607kLdD.P@ssw0rd_2026答案：B解析：弱密码指容易被暴力破解、社会工程学猜测的密码，包括简单数字组合、键盘连续字符、常用词汇组合等，123456属于全球范围内最常被使用的弱密码，破解耗时不超过1秒。16.网络防火墙的核心功能是（）A.阻挡所有类型的网络攻击B.按照预设规则对进出网络的流量进行访问控制C.修复系统存在的所有漏洞D.查杀终端设备中的所有病毒答案：B解析：防火墙是部署在网络边界的访问控制设备，核心功能是基于预设的安全策略对进出内网的流量进行过滤，拦截非法访问请求，但无法防护内部攻击、绕过防火墙规则的攻击，也不具备漏洞修复、终端杀毒功能。17.通用漏洞披露的全球统一编号前缀为（）A.CVEB.CNNVDC.CNVDD.CVS答案：A解析：CVE（CommonVulnerabilitiesandExposures）是全球通用的漏洞披露编号体系，每个公开披露的漏洞都会分配唯一的CVE编号，用于全球范围内漏洞信息的统一标识与共享，CNNVD为国家信息安全漏洞库编号前缀，CNVD为国家信息安全漏洞共享平台编号前缀。18.发现网络安全事件后，应当第一时间采取的处置步骤是（）A.直接删除攻击痕迹B.第一时间进行溯源，定位攻击者身份C.采取遏制措施，防止事件影响范围进一步扩大D.直接重启受影响的服务器答案：C解析：网络安全应急响应的核心优先级为降低事件危害，发现事件后首先应当采取断网、隔离受感染设备、封禁攻击IP等遏制措施，防止攻击范围扩散、数据泄露规模扩大，之后再进行溯源、取证、恢复等操作。19.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当对用户的输入信息、生成内容和服务日志进行留存，留存期限不得少于（）A.1个月B.3个月C.6个月D.12个月答案：C解析：《生成式人工智能服务管理暂行办法》明确要求生成式AI服务提供者落实安全管理责任，留存相关日志不少于6个月，用于违法事件溯源、投诉举报处置等工作。20.下列关于暗网的表述正确的是（）A.暗网所有内容均合法合规B.暗网可以通过普通浏览器直接访问C.暗网通常采用TOR等匿名网络技术隐藏访问者身份与地址D.访问暗网不受我国法律约束答案：C解析：暗网是采用匿名通信技术、隐藏服务器地址与访问者身份的网络空间，无法通过普通浏览器直接访问，暗网中存在大量非法交易、数据售卖、违法信息传播等黑产活动，我国法律明确禁止从事、参与暗网相关违法活动，访问暗网实施违法行为的将依法追究责任。二、多项选择题（共15题，每题2分，共30分，多选、少选、错选均不得分）1.根据《中华人民共和国网络安全法》，网络运营者应当履行的安全保护义务包括（）A.落实网络安全等级保护制度B.制定网络安全事件应急预案，定期开展演练C.采取数据分类、加密、备份等措施保障数据安全D.及时处置网络中传播的违法信息答案：ABCD解析：网络安全法明确规定了网络运营者的安全保护义务，涵盖等级保护落实、应急预案管理、数据安全保护、违法信息处置、用户信息保护等多个维度，未履行义务的将面临警告、罚款、停业整顿等处罚。2.下列属于敏感个人信息的有（）A.人脸、指纹等生物识别信息B.个人医疗健康记录C.个人银行账户交易记录D.个人行踪轨迹信息答案：ABCD解析：以上四类信息一旦泄露将直接危害自然人人身、财产安全，均属于个人信息保护法明确规定的敏感个人信息范畴，处理该类信息需要取得个人单独同意，且遵守更严格的保护要求。3.网络安全等级保护2.0的保护对象覆盖（）A.传统基础信息网络B.云计算平台、大数据平台C.物联网系统、工业控制系统D.移动互联网应用、智能设备答案：ABCD解析：等保2.0扩展了保护对象范围，覆盖传统信息系统、新型信息基础设施，实现了对所有类型网络和信息系统的全场景覆盖。4.下列属于常见网络钓鱼手段的有（）A.伪装为官方机构发送钓鱼邮件，诱导用户下载带毒附件B.发送诈骗短信，诱导用户点击仿冒官方网站链接填写敏感信息C.搭建仿冒校园办事大厅的钓鱼网站，窃取学生账号密码D.发布虚假兼职广告，诱导用户下载携带病毒的虚假兼职APP答案：ABCD解析：网络钓鱼是通过伪装可信主体诱导用户主动提供敏感信息或下载恶意程序的攻击手段，涵盖邮件、短信、网站、APP等多个传播渠道，是高校学生遭遇频次最高的网络攻击类型之一。5.根据《中华人民共和国数据安全法》，我国数据分类分级保护制度将数据分为（）三个等级A.一般数据B.重要数据C.核心数据D.敏感数据答案：ABC解析：数据安全法确立了三级数据分类体系，一般数据指对国家安全、公共利益影响较小的数据，重要数据指一旦泄露会危害国家安全、公共利益的数据，核心数据为最高保护等级数据。6.零信任架构的核心关键技术包括（）A.统一身份与权限管理B.持续信任评估C.动态访问控制D.最小权限授权答案：ABCD解析：零信任架构通过以上四类技术实现对访问主体的全流程管控，打破传统内网信任逻辑，有效提升网络边界模糊场景下的安全防护能力。7.下列属于勒索软件有效防范措施的有（）A.定期对重要数据进行离线备份B.不随意点开陌生邮件附件、陌生短信链接C.及时安装操作系统、应用程序的安全补丁D.安装终端杀毒软件，定期进行病毒查杀答案：ABCD解析：勒索软件的防范需要从攻击入口阻断、漏洞修复、数据备份多个维度落实，其中离线备份是遭受勒索软件攻击后无需支付赎金即可恢复数据的最有效手段。8.根据《中华人民共和国个人信息保护法》，个人信息主体享有的权利包括（）A.查阅、复制其个人信息B.要求更正、补充不准确的个人信息C.要求删除其个人信息（被遗忘权）D.要求将个人信息转移至指定的个人信息处理者（可携带权）答案：ABCD解析：个人信息保护法明确了个人信息主体的七项权利，以上四类均属于法定权利，个人信息处理者应当建立便捷的权利申请受理与处理渠道，不得拒绝个人的合法权利诉求。9.下列属于常见Web应用安全漏洞的有（）A.SQL注入漏洞B.跨站脚本（XSS）漏洞C.跨站请求伪造（CSRF）漏洞D.任意文件上传漏洞答案：ABCD解析：以上四类均属于OWASPTop10列出的高频Web安全漏洞，是黑客攻击网站系统最常利用的漏洞类型。10.我国网络安全事件分为（）四个等级A.特别重大网络安全事件B.重大网络安全事件C.较大网络安全事件D.一般网络安全事件答案：ABCD解析：根据《国家网络安全事件应急预案》，网络安全事件按照危害程度、影响范围从高到低划分为特别重大、重大、较大、一般四个等级，对应不同的应急响应处置流程。11.根据《中华人民共和国密码法》，密码分为（）三类A.核心密码B.普通密码C.商用密码D.民用密码答案：ABC解析：密码法确立了三类密码分类管理体系，核心密码、普通密码用于保护国家秘密，商用密码用于保护非国家秘密信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。12.下列属于网络黑产活动的有（）A.买卖社交账号、游戏账号等网络账号B.流量劫持篡改用户访问的网站内容C.非法爬取个人信息并在暗网售卖D.提供DDoS攻击租用服务答案：ABCD解析：网络黑产指利用互联网技术实施的非法牟利活动，以上四类均属于我国法律明确禁止的网络黑产活动，参与、实施以上活动将依法追究行政、刑事责任。13.生成式人工智能服务存在的安全风险包括（）A.生成虚假不实信息，误导公众B.训练数据泄露，侵犯用户个人信息权益C.生成的内容侵犯他人知识产权D.被不法分子用于实施诈骗、编造虚假证据等违法活动答案：ABCD解析：生成式AI技术的快速应用也带来了多维度的安全风险，以上四类均为当前已广泛出现的AI安全风险，也是监管层面重点管控的方向。14.下列属于数据脱敏常用技术手段的有（）A.掩码替换（如将手机号中间四位替换为）B.加密处理C.泛化处理（如将具体年龄替换为年龄区间）D.伪造替换（如用虚假的身份信息替换真实敏感信息）答案：ABCD解析：数据脱敏是指对敏感数据进行变形处理，实现敏感信息的保护，以上四类均为常用的脱敏技术，可满足不同场景下的数据使用需求。15.网络安全应急响应的主要工作内容包括（）A.持续监测网络异常行为，及时发现安全事件B.对事件的危害程度、影响范围进行研判定级C.采取技术措施处置事件，溯源攻击来源D.整改安全隐患，加固系统防护能力答案：ABCD解析：应急响应覆盖事件发现、研判、处置、溯源、整改全流程，是降低安全事件危害、防范同类事件再次发生的核心工作。三、判断题（共15题，每题1分，共15分）1.国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。（）答案：√解析：这是网络安全法明确规定的关键信息基础设施重点保护制度，关键信息基础设施发生安全事件将严重危害国家安全、公共利益。2.个人信息处理者为了提升服务效率，可以在未告知用户的情况下收集用户的行踪轨迹信息。（）答案：×解析：行踪轨迹属于敏感个人信息，收集该类信息需要明确告知用户收集目的、方式、范围，且取得用户的单独同意，未经同意收集属于违法行为。3.密码长度达到8位就不属于弱密码。（）答案：×解析：弱密码的判定依据为破解难度，如“12345678”“aaaaaaa”等长度达到8位的简单组合仍然属于弱密码，极易被暴力破解。4.防火墙可以完全阻挡内部网络发起的攻击行为。（）答案：×解析：防火墙主要部署在网络边界，对内部网络之间的访问请求通常不做过滤，无法阻挡内部发起的攻击行为。5.商用密码可以用于保护绝密级国家秘密信息。（）答案：×解析：商用密码仅可用于保护非国家秘密信息，核心密码、普通密码用于保护国家秘密信息，其中核心密码可保护绝密级、机密级、秘密级国家秘密，普通密码可保护机密级、秘密级国家秘密。6.收到陌生短信声称“你的校园卡存在异常，点击链接登录办事大厅即可解锁，逾期将冻结使用”，应当直接点击链接填写账号密码办理。（）答案：×解析：此类短信属于典型的钓鱼诈骗短信，链接为仿冒官方的钓鱼网站，填写账号密码后信息将被攻击者窃取，应当通过官方渠道核实信息真伪。7.网络安全等级保护第三级的信息系统，每两年开展一次等级保护测评即可。（）答案：×解析：等保三级系统要求每年至少开展一次等级保护测评，确保系统安全防护能力持续符合等级保护要求。8.数据出境只要不涉及核心数据就不需要申请安全评估。（）答案：×解析：重要数据出境、处理100万人以上个人信息的个人信息处理者向境外提供个人信息、自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的，均需要申请数据出境安全评估。9.存储型XSS攻击只能窃取用户Cookie，无法篡改网站页面内容。（）答案：×解析：存储型XSS的恶意脚本存储在网站服务器，攻击者可通过恶意脚本实现篡改页面内容、弹出诈骗广告、跳转钓鱼网站等多种恶意操作。10.个人有权要求个人信息处理者删除其个人信息，即法定被遗忘权。（）答案：√解析：个人信息保护法明确规定了个人的被遗忘权，符合法定情形的个人可以要求处理者删除其个人信息。11.为了方便记忆，可以将所有网络平台的账号密码设置为同一个。（）答案：×解析：使用统一密码会导致“撞库”风险，一旦某一个平台的密码泄露，攻击者可以使用该密码登录用户所有平台的账号，造成大规模损失。12.系统安全补丁发布后应当立即全量安装，不需要进行兼容性测试。（）答案：×解析：部分安全补丁可能存在与现有业务系统不兼容的问题，直接全量安装可能导致业务系统瘫痪，应当先在测试环境进行兼容性测试，确认无影响后再逐步安装。13.网络运营者可以未经用户同意，将其收集的用户个人信息共享给合作的第三方企业。（）答案：×解析：向第三方提供个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。14.遭遇勒索软件攻击后，第一时间支付赎金是最优解决方案。（）答案：×解析：支付赎金不仅会助长黑产嚣张气焰，也无法保证数据能够完全恢复，甚至可能遭遇二次勒索，应当优先通过备份恢复、技术解密等方式恢复数据，同时及时报警。15.生成式人工智能服务提供者应当对生成的内容进行审核，防止生成违法违规内容。（）答案：√解析：《生成式人工智能服务管理暂行办法》明确要求服务提供者落实内容审核主体责任，对生成内容的合法性负责。四、案例分析题（共3题，共35分）1.案例背景：某高校大二学生小李收到一封发件人显示为“xx大学教务处<jwc@xxunviersity-edU.cn>”的邮件，邮件内容为“你2026年春季学期3门课程成绩存在异常，可能影响毕业资格，附件为成绩异常申诉流程，需在3个工作日内提交申诉材料，逾期不予受理”，附件为名为“申诉流程.exe”的可执行文件。小李未核实邮件真伪，点击安装附件后，电脑被加密锁死，桌面弹出勒索窗口要求24小时内支付1000元等值比特币解锁，同时攻击者窃取了小李存储在电脑中的校园网账号密码、身份证号、银行卡号信息，使用小李的校园网账号在校园论坛发布违法信息。请回答以下问题：（1）小李本次遭遇了哪些类型的网络攻击？（2）小李的操作存在哪些不当之处？（3）该事件发生后的正确处置流程是什么？答案：（1）遭遇的攻击类型包括：①钓鱼邮件攻击：攻击者伪装为教务处发送诱导性邮件，携带恶意附件；②勒索软件攻击：附件为勒索软件，运行后加密电脑文件索要赎金；③身份窃取攻击：窃取小李的各类账号、敏感信息；④账号冒用攻击：利用窃取的校园网账号发布违法信息。（2）不当操作包括：①未核实邮件真伪：未通过教务处官方渠道核实成绩异常信息，轻信陌生邮件内容；②运行陌生可执行文件：直接点击运行陌生的exe格式附件，未进行病毒查杀；③敏感信息未加密存储：将账号密码、身份证号、银行卡号等敏感信息明文存储在电脑中，未做加密保护；④未安装终端安全防护软件：电脑未安装杀毒软件，无法拦截已知的勒索软件病毒。（3）正确处置流程：①第一时间断开电脑网络，防止勒索软件在局域网内扩散，避免攻击者继续窃取数据；②向学校网络中心、保卫处报案，说明事件情况，申请封禁被盗的校园网账号，避免违法信息进一步传播；③保留电脑中的勒索信息、恶意附件等证据，向公安机关报警；④如果存在重要数据的离线备份，可在全盘杀毒后恢复数据；如果无备份，可联系网络安全专业机构尝试技术解密，不得私自支付赎金；⑤全面修改所有网络平台的账号密码，排查银行卡是否存在异常交易，必要时冻结银行卡；⑥整改安全隐患，安装正规杀毒软件，定期更新系统补丁，后续不得随意运行陌生附件、点击陌生链接。2.案例背景：2026年5月，某高校学生信息管理系统被发现存在SQL注入漏洞，攻击者利用该漏洞窃取了12万条在校学生、毕业生的个人信息，包括姓名、身份证号、手机号、家庭住址、银行卡号、在校成绩等，随后该批数据被以2万元的价格在暗网售卖，后续有超过300名学生接到冒充“助学贷款中心”“学校资助办”的诈骗电话，累计被骗金额达120万元。请回答以下问题：（1）该高校违反了哪些法律法规的相关要求？（2）SQL注入漏洞可以通过哪些技术手段防范？（3）事件发生后，该高校应当采取哪些补救措施？答案：（1）违反的法律法规包括：①《网络安全法》：未落实网络安全等级保护制度，未采取技术措施防范网络攻击、数据泄露，未履行网络运营者安全保护义务；②《数据安全法》：未落实数据分类分级保护制度，未采取有效措施保障学生数据安全，导致重要数据、敏感个人信息泄露；③《个人信息保护法》：未履行个人信息保护义务，处理敏感个人信息未采取严格的保护措施，造成个人信息泄露后未及时告知用户、履行上报义务；④《网络安全等级保护条例》：未按照等保要求对学生信息管理系统（等保三级系统）开展定期测评、漏洞整改，安全防护能力未达到等级保护要求。（2）SQL注入防范手段包括：①对web请求参数进行严格的输入校验，过滤特殊字符；②使用预编译SQL语句，禁止拼接SQL语句；③部署web应用防火墙（WAF），拦截SQL注入攻击请求；④关闭数据库不必要的权限，严格限制数据库账号的操作权限；⑤定期开展漏洞扫描，及时修复发现的SQL注入漏洞。（3）补救措施包括：