2026年网络安全从业人员业务模拟试题及答案

2026年网络安全从业人员业务模拟试题及答案一、单项选择题（每题2分，共20分）1.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，对数据实行分类分级保护。以下关于数据分类分级的说法，正确的是（）A.所有数据均需按照同一标准进行分级B.数据分类分级仅适用于政府数据，不适用于企业数据C.根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护D.数据分类分级由各企业自行决定，无需遵循国家规定【答案】C【解析】《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。A、B、D均不符合法律规定。2.某公司网络管理员在防火墙规则配置中，希望允许外部用户访问内部Web服务器的HTTPS服务，同时禁止其他所有入站流量。以下防火墙规则顺序中，最合理的是（）A.先拒绝所有，再允许HTTPSB.先允许HTTPS，再拒绝所有C.只需允许HTTPS，无需拒绝规则D.同时配置允许HTTPS和拒绝所有，顺序无关紧要【答案】B【解析】防火墙规则通常按顺序匹配，第一条匹配的规则生效。如果先拒绝所有，则后续允许HTTPS的规则永远不会被匹配。因此必须先允许HTTPS，再拒绝所有。C选项缺少显式拒绝，存在安全隐患，但若默认策略为拒绝，也可实现；不过最佳实践是显式允许后拒绝所有。B为最优。3.在渗透测试中，发现目标主机开放了TCP445端口，该端口最可能运行的服务是（）A.HTTPB.SMBC.SSHD.FTP【答案】B【解析】TCP445端口通常用于MicrosoftWindows的SMB（ServerMessageBlock）文件共享服务。HTTP为80/8080，SSH为22，FTP为21。4.关于零信任安全模型，以下描述错误的是（）A.默认不信任网络内部和外部的任何人、设备、系统B.需要基于身份认证和授权重新构建访问控制C.零信任意味着所有用户每次访问资源都必须进行多因素认证D.零信任仅适用于云环境，不适用于传统数据中心【答案】D【解析】零信任模型适用于各种环境，包括传统数据中心、云环境、混合架构等。A、B、C是零信任的核心原则。5.下列哪种攻击方式利用了Web应用程序对用户输入过滤不严的漏洞，将恶意脚本注入到页面中，当其他用户浏览时执行？A.SQL注入B.XSS（跨站脚本）C.CSRF（跨站请求伪造）D.SSRF（服务端请求伪造）【答案】B【解析】XSS攻击将恶意脚本注入到网页中，在受害者浏览器中执行。SQL注入针对数据库查询，CSRF利用用户已认证的身份发起请求，SSRF诱导服务器端发起请求。6.在Windows系统中，用于查看当前网络连接、路由表和网络接口信息的命令行工具是（）A.pingB.netstatC.tracertD.nslookup【答案】B【解析】netstat显示网络连接、路由表和网络接口统计信息。ping用于测试连通性，tracert用于路由追踪，nslookup用于DNS查询。7.根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，三级等级保护对象每年应至少进行一次等级测评。某单位三级系统在2025年6月完成测评，那么下一次测评时间不应晚于（）A.2026年6月B.2026年12月C.2027年6月D.2028年6月【答案】A【解析】三级系统每年至少进行一次测评，测评周期为一年，因此应在2026年6月前完成下一次测评。8.关于密码学中的对称加密与非对称加密，以下说法正确的是（）A.对称加密算法中，加密和解密使用不同的密钥B.非对称加密算法中，公钥用于解密，私钥用于加密C.对称加密算法通常比非对称加密算法在加解密速度上更快D.非对称加密算法的密钥长度通常比对称加密短【答案】C【解析】对称加密使用相同密钥进行加解密，速度快，适合大量数据加密；非对称加密使用公钥/私钥对，速度慢，但适合密钥交换和数字签名。公钥用于加密或验证签名，私钥用于解密或签名，B错误。非对称密钥长度通常更长（如RSA2048位），D错误。9.某安全设备能够实时监测网络流量，识别并阻止入侵行为，同时记录日志。该设备最可能是（）A.防火墙B.入侵检测系统（IDS）C.入侵防御系统（IPS）D.漏洞扫描器【答案】C【解析】IPS能够实时监测并主动阻断恶意流量，具有在线防护能力。IDS只能检测和告警，不能阻断。防火墙主要基于规则过滤，漏洞扫描器用于发现漏洞。10.依据《网络安全法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当依法进行（）A.安全评估B.用户授权C.加密处理D.备案登记【答案】A【解析】《网络安全法》第三十七条规定，关键信息基础设施的运营者应当将在中国境内收集和产生的个人信息和重要数据在境内存储。确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。二、多项选择题（每题3分，共15分，多选、少选、错选均不得分）11.以下属于网络安全等级保护“五个规定动作”的有（）A.定级B.备案C.安全建设整改D.等级测评E.监督检查【答案】ABCDE【解析】等级保护工作包括定级、备案、安全建设整改、等级测评和监督检查五个规定动作。12.常见的Web安全漏洞中，属于OWASPTop10（2021版）的有（）A.失效的访问控制B.加密失败C.注入D.安全日志记录和监控失败E.缓冲区溢出【答案】ABCD【解析】OWASPTop10（2021）包括：A01失效的访问控制、A02加密失败、A03注入、A04不安全设计、A05安全配置错误、A06易受攻击和过时的组件、A07身份识别和认证失败、A08软件和数据完整性故障、A09安全日志记录和监控失败、A10服务端请求伪造。缓冲区溢出不在其列。13.关于DDoS攻击的常见类型，以下属于应用层攻击的有（）A.SYNFloodB.HTTPFloodC.DNSQueryFloodD.UDPFloodE.Slowloris【答案】BCE【解析】SYNFlood、UDPFlood属于网络层/传输层攻击。HTTPFlood、DNSQueryFlood、Slowloris均属于应用层攻击，针对应用协议发起。14.在应急响应过程中，通常需要采集以下哪些证据？（）A.内存中的进程信息B.网络连接状态C.系统日志D.磁盘镜像E.用户输入的口令【答案】ABCD【解析】应急响应需要采集易失性数据（内存进程、网络连接）、系统日志、磁盘镜像等，但不应采集用户明文口令，这是违规且不必要的。15.关于密码存储的安全实践，推荐的做法有（）A.使用MD5对密码进行哈希后存储B.使用加盐的慢哈希算法（如bcrypt、scrypt、Argon2）存储密码C.使用明文存储密码以便于找回D.对密码进行加密存储而非哈希E.使用固定的盐值对所有用户密码加盐【答案】B【解析】安全存储密码应使用加盐的慢哈希算法，每个用户使用随机盐。MD5速度快且易破解，明文存储绝对禁止，加密存储不如哈希安全（因为密钥可能泄露），固定盐值无法抵御彩虹表。三、判断题（每题1分，共10分，正确打“√”，错误打“×”）16.防火墙的主要功能是检测并清除计算机病毒。（）【答案】×【解析】防火墙主要用于网络访问控制、过滤网络流量，不负责清除病毒。杀毒软件负责查杀病毒。17.在公钥密码体制中，任何人都可以使用接收者的公钥对消息加密，只有接收者的私钥才能解密。（）【答案】√【解析】公钥公开，用于加密；私钥私有，用于解密。18.一次一密（One-TimePad）是理论上绝对安全的加密算法，但实际应用很少，因为密钥管理与传输困难。（）【答案】√【解析】一次一密要求密钥与明文等长、完全随机且只用一次，密钥分发和管理极难，因此实际应用有限。19.SQL注入攻击只能通过GET请求参数实现，无法通过POST请求实现。（）【答案】×【解析】SQL注入可通过GET、POST、Cookie、HTTP头等多种方式注入。20.企业部署了入侵防御系统（IPS）后，就可以不需要防火墙了。（）【答案】×【解析】IPS和防火墙功能互补，防火墙侧重访问控制，IPS侧重入侵检测与阻断，两者应协同部署，不能互相替代。21.安全漏洞的CVSS评分越高，表示该漏洞被利用的难度越大。（）【答案】×【解析】CVSS评分越高表示漏洞严重性越高，不一定表示利用难度大。利用难度是CVSS的组成部分之一，评分高意味着影响严重，通常更容易被利用或危害更大。22.在Linux系统中，`chmod777`表示文件所有者、同组用户和其他用户均具有读、写、执行权限。（）【答案】√【解析】7=4+2+1，即读、写、执行权限。23.为了应对勒索病毒，最重要的防护措施之一是定期备份重要数据，并确保备份数据与生产环境隔离。（）【答案】√【解析】备份是应对勒索病毒的有效手段，隔离备份可防止被加密。24.根据网络安全法，网络运营者应当制定网络安全事件应急预案，并定期组织演练。（）【答案】√【解析】《网络安全法》第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。25.在安全测试中，使用Nmap对目标进行全端口扫描属于被动信息收集。（）【答案】×【解析】Nmap扫描主动向目标发送探测包，属于主动信息收集。四、简答题（每题5分，共25分）26.简述什么是CSRF攻击，并说明两种有效的防御措施。【答案】CSRF（跨站请求伪造）攻击是攻击者诱导已登录用户访问恶意网页，该网页在用户不知情的情况下，利用用户的身份向目标网站发送伪造请求，从而执行非用户意愿的操作（如修改密码、转账等）。其根本原因是目标网站仅依赖Cookie等自动携带的认证信息，无法区分请求是否由用户主动发出。防御措施：（1）使用CSRFToken：在表单中嵌入随机生成的Token，服务端校验Token是否有效。由于恶意网站无法读取目标网站的Token，因此请求会被拒绝。（2）验证请求来源：检查HTTP请求的Referer或Origin头，确保请求来自合法的站点。（3）二次验证：对敏感操作要求用户重新输入密码或进行短信验证码验证。（4）使用SameSiteCookie属性：设置Cookie的SameSite为Strict或Lax，阻止跨站请求携带Cookie。27.请说明HTTPS的握手过程中，客户端如何验证服务器证书的合法性。【答案】客户端验证服务器证书的合法性主要包括以下步骤：（1）证书链验证：客户端从服务器获取证书后，检查该证书是否由受信任的CA（证书颁发机构）签发，并逐级验证证书链，直到信任的根证书。（2）有效期检查：验证证书是否在有效期内，即当前时间在证书的起始日期和到期日期之间。（3）域名匹配：检查证书中的域名（SubjectAlternativeName或CommonName）是否与访问的域名一致。（4）吊销状态检查：通过CRL（证书吊销列表）或OCSP（在线证书状态协议）检查证书是否已被吊销。（5）签名验证：使用CA的公钥验证证书的数字签名，确保证书内容未被篡改。28.在Linux系统中，发现某个可疑进程占用大量CPU和网络带宽，请写出至少三种排查该进程的方法或命令。【答案】（1）使用`top`或`htop`命令查看CPU占用最高的进程，记录PID。（2）使用`psaux--sort=-%cpu|head`查看按CPU使用率排序的进程列表。（3）使用`netstat-antp`或`ss-antp`查看网络连接对应的进程PID和程序名称。（4）使用`lsof-i`列出所有打开的网络文件及其关联进程。（5）使用`strace-pPID`跟踪进程的系统调用，分析其行为。29.简述什么是供应链攻击，并列举一个典型的供应链攻击案例（可自述，不限于已知案例）。【答案】供应链攻击是指攻击者通过攻击软件或硬件供应链中的某个环节（如开发工具、第三方库、更新服务器、供应商系统等），在合法产品中植入恶意代码或后门，从而间接攻击最终用户或下游企业的攻击方式。由于供应链的信任传递特性，此类攻击隐蔽性强、影响范围广。典型案例如SolarWinds事件：2020年，攻击者入侵了SolarWinds公司的Orion平台构建环境，在其软件更新中植入恶意代码（后门），导致包括美国政府部门和多家财富500强企业在内的约18000个客户受到影响。30.依据《个人信息保护法》，处理个人信息应当遵循哪些原则？（至少写出四项）【答案】《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则。第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。第七条规定，处理个人信息应当遵循公开、透明原则，明示处理信息的目的、方式和范围。第八条规定，处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。五、案例分析题（每题15分，共30分）31.某金融公司近期遭受勒索病毒攻击，导致内部文件被加密，业务系统瘫痪。初步调查发现，攻击者通过钓鱼邮件将恶意附件投递给一名员工，该员工点击附件后，恶意宏脚本被执行，下载并运行了勒索病毒。病毒在内网横向传播，加密了多台服务器的文件。请回答以下问题：（1）分析此次攻击的入侵途径和横向传播可能利用的手段。（6分）（2）针对此类攻击，提出至少五项事前防护措施。（5分）（3）事件发生后，应如何开展应急响应？（4分）【答案】（1）入侵途径：攻击者通过社会工程学手段发送钓鱼邮件，以员工感兴趣的标题或内容诱导其打开恶意附件（如带宏的Office文档）。宏脚本在本地执行，下载并运行勒索病毒，建立初始立足点。横向传播可能利用的手段：利用SMB协议漏洞（如EternalBlue）在内网传播。通过弱口令爆破远程桌面（RDP）或管理员账户。利用Windows管理规范（WMI）、PowerShell远程执行命令。利用未修复的漏洞或默认共享（ADMIN、C使用PsExec等工具远程执行恶意程序。（2）事前防护措施：部署邮件网关，过滤恶意附件和钓鱼链接，对员工进行安全意识培训，提高识别钓鱼邮件能力。禁用Office宏脚本，或设置宏仅允许运行经过数字签名的代码。及时修补操作系统和应用程序漏洞，尤其是SMB相关漏洞。使用强密码策略，启用多因素认证，限制管理员账户的远程登录。实施网络分段，将重要服务器与普通终端隔离，限制不必要的445、139等端口的通信。部署终端防护软件（EDR），开启实时监控和行为分析，阻断勒索病毒运行。建立定期数据备份机制，备份数据离线保存或异地保存，并定期演练恢复。关闭不必要的文件共享和远程管理端口，遵循最小权限原则。（3）应急响应：立即隔离感染主机，切断网络连接，防止勒索病毒继续加密和传播。上报安全事件给相关管理层和监管机构，启动应急预案。保留现场证据（如恶意文件、日志、内存镜像），便于后续溯源和分析。评估影响范围，确定受影响的业务系统和数据。从备份恢复数据，优先恢复关键业务系统，在确保环境安全后再接入网络。排查并清除残留的后门和恶意工具，修复被利用的漏洞。总结事件原因，改进安全防护措施，防止再次发生。32.某企业开发了一款Web应用，用户登录后可以查看个人订单信息。安全测试人员对该应用进行渗透测试，发现以下问题：问题一：在URL中直接输入`/order?id=1001`，可以查看其他用户的订单详情，而无需任何额外授权。问题二：在登录表单中输入`admin'OR'1'='1`和任意密码，系统提示登录成功，并以admin身份进入系统。问题三：在搜索框输入`<script>alert('xss')</script>`，该脚本在用户浏览器中执行。请回答：（1）分别指出问题一、问题二、问题三对应的漏洞类型。（3分）（2）说明问题一和问题二产生的根本原因，并写出相应的修复方案。（6分）（3）针对问题三，提出至少两种有效的修复措施。（3分）（4）除了上述三个问题，该应用还可能存在哪些常见安全风险？请列举两种并简要说明。（3分）【答案】（1）问题一：越权漏洞（IDOR，不安全的直接对象引用），属于失效的访问控制。问题二：SQL注入漏洞。问题三：存储型或反射型XSS（跨站脚本）漏洞。（2）问题一根因：应用程序仅