高职第二学年(计算机网络技术)网络安全基础2026年阶段测试题及答案

高职第二学年(计算机网络技术)网络安全基础2026年阶段测试题及答案第一部分单项选择题（共20小题，每小题1分，满分20分。每小题只有一个正确答案，错选、不选均不得分）1.网络安全的核心目标通常被概括为CIA三元组，下列选项中不属于CIA三元组基本属性的是（）A.保密性B.完整性C.可用性D.排他性2.根据《网络安全等级保护条例（2024修订版）》要求，高职高专院校的学生学籍管理系统、缴费系统应当符合等保2.0（）的防护要求A.第二级B.第三级C.第四级D.第五级3.下列加密算法中，属于对称加密算法的是（）A.RSAB.AES-256C.ECCD.SHA-2564.2025年以来企业广泛部署的零信任架构，其核心设计原则是（）A.默认信任内部网络用户B.仅验证外部用户身份C.永不信任，始终验证D.仅对跨网访问做权限控制5.生成式AI应用的普及带来了新的攻击面，其中攻击者通过构造特殊提示词诱导AI绕过安全限制执行恶意操作的攻击方式属于（）A.Prompt注入攻击B.SQL注入攻击C.XSS攻击D.CSRF攻击6.ARP欺骗攻击是二层网络常见的攻击手段，其核心攻击效果是（）A.篡改IP地址与MAC地址的映射关系B.耗尽交换机的MAC地址表资源C.篡改路由表条目D.阻断DNS解析请求7.包过滤防火墙是最早出现的防火墙技术，其工作在OSI七层模型的（）A.数据链路层B.网络层C.传输层D.应用层8.下列关于入侵检测系统（IDS）和入侵防御系统（IPS）的描述，正确的是（）A.IDS为串行部署，可主动阻断攻击流量B.IPS为旁路部署，仅能产生告警信息C.IDS误报不会影响正常业务运行D.IPS不需要考虑误报率指标9.跨站脚本（XSS）攻击中，攻击代码被存储在目标服务器中，所有访问对应页面的用户都会触发攻击的类型属于（）A.反射型XSSB.存储型XSSC.DOM型XSSD.无源型XSS10.数据脱敏是个人信息保护的常用手段，其中将身份证号中间8位替换为星号、仅保留前6位和后4位的脱敏方式属于（）A.替换脱敏B.掩码脱敏C.加密脱敏D.洗牌脱敏11.SYN洪水是最常见的DDoS攻击类型之一，其利用的协议缺陷是（）A.TCP三次握手半连接资源有限B.UDP无连接不可靠C.ICMP无身份校验D.DNS递归查询放大12.下列VPN类型中，适合员工远程居家访问公司内部资源的是（）A.MPLSVPNB.IPSecsite-to-siteVPNC.L2TP/IPSec远程访问VPND.专线VPN13.根据通用漏洞评分系统CVSS3.1标准，某开源组件漏洞的评分为9.2分，该漏洞的风险等级为（）A.中危B.高危C.严重D.低危14.下列防范SQL注入攻击的措施中，防护效果最优、应用最广泛的是（）A.过滤用户输入中的单引号、分号等字符B.使用预编译SQL语句，禁止动态拼接SQLC.关闭数据库的错误回显功能D.定期备份数据库数据15.数字签名是身份认证和抗抵赖的核心技术，其主要依托的是（）的特性A.对称加密B.非对称加密C.哈希算法D.消息认证码16.下列安全设备中，核心作用是诱捕攻击者、转移攻击目标、收集攻击特征的是（）A.防火墙B.IDSC.蜜罐D.WAF17.网络准入控制（NAC）是内部网络安全防护的重要组件，其核心作用是（）A.过滤外部恶意流量B.检测内部攻击行为C.验证终端合规性，禁止未合规终端接入网络D.审计员工上网行为18.2025年勒索病毒攻击呈现针对教育、医疗行业的定向化趋势，其最主要的初始传播途径是（）A.漏洞利用B.钓鱼邮件附件C.U盘摆渡D.供应链攻击19.随着工业互联网、物联网的普及，边缘计算节点的安全防护受到广泛重视，下列属于边缘安全防护范畴的是（）A.云服务器安全配置B.5G基站侧接入设备身份校验C.核心交换机端口防护D.数据中心防火墙规则配置20.等保2.0第一级（自主保护级）系统不需要满足下列哪项管理要求（）A.制定基本的安全管理制度B.配备兼职安全管理人员C.每年开展一次等级测评D.定期开展安全自查第二部分多项选择题（共10小题，每小题2分，满分20分。每小题有2个及以上正确答案，全部选对得2分，漏选得1分，错选、不选得0分）1.2024-2026年全球网络安全面临的新型挑战包括（）A.生成式AI自动化攻击B.开源软件供应链攻击C.边缘计算节点攻击D.跨云环境数据泄露2.非对称加密算法的典型应用场景包括（）A.大体积文件加密B.数字签名C.密钥交换D.身份认证3.下列属于防火墙主流实现技术的有（）A.包过滤技术B.状态检测技术C.应用层网关技术D.Web应用防护（WAF）技术4.下列属于Web应用常见攻击类型的有（）A.SQL注入B.XSS跨站脚本C.CSRF跨站请求伪造D.文件上传漏洞5.零信任架构的核心组件包括（）A.身份提供商（IdP）B.策略引擎（PE）C.策略执行点（PEP）D.访问代理6.数据安全生命周期覆盖数据从产生到销毁的全流程，下列属于数据安全生命周期阶段的有（）A.数据采集B.数据存储C.数据传输D.数据销毁7.下列属于DDoS攻击常用防御手段的有（）A.流量清洗B.黑洞路由C.CDN静态资源分发D.源地址验证8.钓鱼邮件是最常见的社会工程学攻击载体，下列属于钓鱼邮件典型特征的有（）A.发件人域名与官方域名存在微小差异B.内容要求用户紧急操作，否则将产生损失C.附带.exe、.scr等可执行附件D.正文中的链接跳转地址与描述地址不符9.终端安全是网络安全防护的最后一公里，下列属于终端安全防护措施的有（）A.部署终端检测与响应系统（EDR）B.定期推送安装系统补丁C.安装终端杀毒软件D.配置主机防火墙10.根据《中华人民共和国网络安全法》要求，网络运营者应当履行的安全义务包括（）A.落实网络安全等级保护制度B.及时处置网络安全事件并上报监管部门C.严格保护用户个人信息，不得非法泄露D.配合网信部门、公安机关的监督检查第三部分判断题（共10小题，每小题1分，满分10分。正确填√，错误填×）1.网络安全是纯技术问题，只要部署足够的安全设备就能完全避免安全事件。（）2.SHA-256哈希算法可以用于验证数据的完整性，若数据被篡改，对应的哈希值会发生变化。（）3.边界防火墙可以有效阻挡来自内部网络的攻击行为。（）4.CSRF跨站请求伪造攻击的核心是利用用户在目标网站的已登录状态，诱导用户发起未授权的操作请求。（）5.只要对敏感数据进行加密存储，就可以完全避免数据泄露风险。（）6.零信任架构对内部网络用户和外部网络用户采取相同的身份验证和权限校验策略，不存在默认信任的主体。（）7.IDS的误报是指将正常的业务流量判定为攻击行为，产生无效告警。（）8.勒索病毒加密后的文件都可以通过公开的解密工具恢复，不需要支付赎金。（）9.等保2.0的防护对象仅覆盖传统IT系统，不适用于云计算、物联网、工业控制系统等新型场景。（）10.生成式AI工具的训练数据泄露属于软件供应链安全风险范畴。（）第四部分简答题（共4小题，每小题5分，满分20分）1.简述网络安全CIA三元组的核心含义，并分别列举1种破坏对应属性的常见攻击方式。2.对比对称加密算法和非对称加密算法的优缺点，分别说明其适用场景。3.简述入侵检测系统（IDS）和入侵防御系统（IPS）的核心区别，分别说明其部署方式。4.简述SQL注入攻击的核心原理，列举3种主流的防范措施。第五部分案例分析题（共2小题，每小题10分，满分20分）1.某高职2026年新上线学生选课系统，上线一周内发生3起安全事件：①多名学生登录系统后，修改请求参数中的用户ID即可查看其他学生的选课记录、个人联系方式等信息；②系统官方首页被篡改，张贴违规广告内容；③选课开放高峰期系统频繁崩溃，正常学生无法访问。请分别分析3起事件对应的攻击类型，针对每类攻击提出2种可行的防护措施。2.某互联网企业2026年部署内部生成式AI办公助手，上线1个月发生2起安全事件：①市场部员工上传未公开的新产品定价方案到AI助手请求生成营销文案，一周后该定价方案出现在竞争对手的公开宣传材料中，溯源发现用户输入的敏感数据被纳入AI公共训练数据集；②攻击者发送钓鱼邮件诱导员工复制特殊提示词到AI助手，触发Prompt注入后，AI助手自动向该员工的所有企业微信联系人发送钓鱼链接。请分析两起事件对应的核心安全风险，提出5种生成式AI办公场景的通用防护措施。第六部分实操题（共1小题，满分10分）某中型企业网络拓扑为：互联网→边界路由器→核心交换机→（DMZ区web服务器/接入交换机→终端设备），现需构建基础安全防护体系，满足以下需求：①防护外部对DMZ区web服务器的应用层攻击；②实时监测内部全网络的异常流量和攻击行为，留存攻击日志；③验证终端合规性，未安装杀毒软件、系统补丁版本低于要求的终端禁止接入内部网络；④审计内部员工的互联网访问行为，留存访问日志满足等保合规要求。请分别说明满足每个需求所需部署的安全设备/系统，以及对应的部署位置。参考答案及解析第一部分单项选择题1.答案：D。解析：CIA三元组包括保密性（Confidentiality）、完整性（Integrity）、可用性（Availability），排他性不属于核心属性。2.答案：B。解析：教育行业的学生学籍、缴费等涉及大量个人信息和关键业务的系统，属于等保2.0第三级防护范畴。3.答案：B。解析：RSA、ECC为非对称加密算法，SHA-256为哈希算法，AES-256是当前应用最广泛的对称加密算法。4.答案：C。解析：零信任的核心原则是“永不信任，始终验证”，不对任何主体（包括内部用户）做默认信任，所有访问都需要经过身份验证和权限校验。5.答案：A。解析：Prompt注入是针对生成式AI的专属攻击方式，攻击者通过构造特殊提示词绕过AI安全策略，诱导AI执行恶意操作。6.答案：A。解析：ARP欺骗的核心是伪造ARP响应报文，篡改目标主机或交换机的ARP表中IP和MAC的映射关系，实现流量劫持、中间人攻击等效果。7.答案：B。解析：包过滤防火墙基于IP地址、端口号等网络层和传输层字段过滤流量，核心工作层次为网络层。8.答案：C。解析：IDS为旁路部署，仅做流量监测和告警，误报不会影响正常业务；IPS为串行部署，可主动阻断攻击，误报会导致正常业务被阻断，因此对误报率要求极高。9.答案：B。解析：存储型XSS的攻击代码被持久化存储在服务器中，所有访问对应页面的用户都会触发攻击，危害范围最大。10.答案：B。解析：掩码脱敏是指保留数据的部分格式，将敏感字段的部分内容用特殊字符替换，是身份证号、手机号等个人信息最常用的脱敏方式。11.答案：A。解析：SYN洪水攻击向目标发送大量伪造源IP的SYN报文，目标回复SYN+ACK后无法收到ACK报文，耗尽半连接资源，导致正常TCP连接无法建立。12.答案：C。解析：L2TP/IPSec远程访问VPN为个人用户提供加密的远程接入通道，适合员工居家访问内部资源；其余选项均为站点到站点的VPN类型，适用于不同办公地点的网络互联。13.答案：C。解析：CVSS3.1评分中，0-3.9为低危，4.0-6.9为中危，7.0-8.9为高危，9.0-10.0为严重。14.答案：B。解析：预编译SQL将SQL语句逻辑和用户输入完全分离，从根源上避免了SQL注入的可能性，是防护效果最优的方案。15.答案：B。解析：数字签名使用发送方的私钥对数据哈希值加密，接收方用公钥解密验证，依托非对称加密的特性实现身份认证和抗抵赖。16.答案：C。解析：蜜罐是故意部署的诱饵系统，模拟存在漏洞的业务系统，诱捕攻击者，收集攻击特征，转移攻击者对真实业务系统的注意力。17.答案：C。解析：NAC的核心作用是终端准入校验，只有符合安全要求的终端才能接入内部网络，避免不安全的终端成为攻击入口。18.答案：B。解析：CNCERT发布的2025年勒索病毒攻击报告显示，钓鱼邮件附件占勒索病毒初始传播途径的68%，是最主要的传播方式。19.答案：B。解析：边缘安全防护覆盖靠近用户侧的网络节点，5G基站侧接入设备属于边缘节点，其余选项均为核心侧和云端的安全防护范畴。20.答案：C。解析：等保2.0第三级及以上系统需要每年开展一次等级测评，第一级系统不需要开展强制性等级测评。第二部分多项选择题1.答案：ABCD。解析：四个选项均为2024年以来全球范围内增长最快的网络安全新型挑战。2.答案：BCD。解析：非对称加密加解密效率低，不适合大体积文件加密，其余选项均为其典型应用场景。3.答案：ABCD。解析：四个选项均为防火墙的主流实现技术，其中WAF是专门针对Web应用层的防火墙技术。4.答案：ABCD。解析：四个选项均为OWASPTop10中列出的Web应用常见攻击类型。5.答案：ABCD。解析：四个选项均为零信任架构的核心组件，共同实现身份验证、权限判定、访问控制的全流程。6.答案：ABCD。解析：数据安全生命周期包括采集、存储、传输、处理、使用、销毁六个核心阶段，四个选项均属于生命周期范畴。7.答案：ABCD。解析：四个选项均为DDoS攻击的常用防御手段，从流量过滤、资源分散、源地址校验等多个维度实现防护。8.答案：ABCD。解析：四个选项均为钓鱼邮件的典型识别特征。9.答案：ABCD。解析：四个选项均为终端安全防护的核心措施，构建从威胁检测、漏洞修复到边界防护的全链路终端安全体系。10.答案：ABCD。解析：四个选项均为《网络安全法》明确规定的网络运营者安全义务。第三部分判断题1.答案：×。解析：网络安全是“三分技术，七分管理”，管理缺失是大部分安全事件的核心诱因。2.答案：√。解析：哈希算法具有唯一性，数据任何微小的篡改都会导致哈希值发生显著变化，可用于完整性校验。3.答案：×。解析：边界防火墙主要防护来自外部网络的攻击，无法检测和阻断内部网络发起的攻击行为。4.答案：√。解析：CSRF攻击的核心是利用用户的登录态，诱导用户在不知情的情况下发起操作请求。5.答案：×。解析：若加密密钥泄露、或者有权限的内部人员非法导出数据，加密后的数据依然存在泄露风险。6.答案：√。解析：零信任架构不存在默认信任域，内部用户和外部用户的所有访问都需要经过同等严格的验证。7.答案：√。解析：误报是IDS的核心性能指标之一，指将正常流量判定为攻击，漏报是指未识别出真实的攻击流量。8.答案：×。解析：大部分勒索病毒使用高强度的非对称加密算法，没有密钥的情况下无法破解，仅少数老旧勒索病毒有公开解密工具。9.答案：×。解析：等保2.0扩展了防护对象，覆盖云计算、物联网、工业控制系统、移动互联等新型场景。10.答案：√。解析：生成式AI的训练数据属于AI产品供应链的核心环节，训练数据泄露属于供应链安全风险。第四部分简答题1.参考答案：CIA三元组是网络安全的核心目标，具体含义如下：①保密性：指信息仅能被授权的主体访问、修改，未授权主体无法获取敏感信息，破坏该属性的常见攻击为数据拖库攻击；②完整性：指信息在存储、传输过程中不被未授权的主体篡改，破坏该属性的常见攻击为网站篡改攻击；③可用性：指服务可以持续被授权用户正常访问，破坏该属性的常见攻击为DDoS攻击。（答出三个属性含义各1分，攻击示例各0.5分，共5分）2.参考答案：①对称加密算法优点：加解密速度快、算力开销低，适合大体积数据处理；缺点：密钥分发困难，多主体通信时密钥管理复杂度高，无法实现抗抵赖。适用场景：大文件加密、传输层流量加密（如TLS会话加密）。②非对称加密算法优点：密钥分发简单，公钥可公开传输，支持数字签名实现抗抵赖；缺点：加解密速度慢、算力开销大，不适合大体积数据处理。适用场景：密钥交换、数字签名、小体积敏感数据加密。（答出两类算法优缺点各2分，适用场景1分，共5分）3.参考答案：核心区别：①IDS为被动监测系统，仅能识别攻击并产生告警，无法主动阻断攻击；IPS为主动防御系统，可识别攻击并直接阻断攻击流量。②部署方式：IDS采用旁路部署，通过核心交换机的镜像端口采集流量，不接入业务链路，不会影响正常业务运行；IPS采用串行部署，接入业务链路，所有流量都需要经过IPS转发，误报可能导致正常业务被阻断。（答出核心区别2分，部署方式各1.5分，共5分）4.参考答案：核心原理：攻击者将恶意SQL代码插入到Web请求的输入参数中，服务端未对输入做校验直接将参数拼接到SQL语句中执行，导致攻击者可以非法获取、篡改数据库数据，甚至获取服务器权限。（2分）防范措施：①使用预编译SQL语句，将SQL逻辑和用户输入完全分离，从根源避免注入风险；②对用户输入做严格的校验和过滤，拦截SQL关键字和特殊字符；③配置数据库最小权限，限制Web应用连接数据库的账号权限，禁止删库、修改表结构等高风险操作。（答出3种措施各1分，共3分，合计5分）第五部分案例分析题1.参考答案：①事件1为水平越权攻击，攻击者登录后修改请求中的用户ID参数，即可访问其他用户的敏感信息。防护措施：服务端对所有请求做权限校验，验证当前登录用户的身份是否有权限访问请求的资源；对请求参数做加密处理，避免用户直接修改明文参数。（3分）②事件2为网页篡改攻击，攻击者通过Web漏洞获取服务器权限，篡改首页文件。防护措施：部署Web应用防火墙（WAF），拦截SQL注入、文件上传等攻击流量；配置网站页面完整性校验，发现页面被篡改后自动恢复备份版本。（3分）③