2026年网络安全管理员职业资格考试试题及答案

2026年网络安全管理员职业资格考试试题及答案一、单项选择题（本大题共20小题，每小题2分，共40分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。）1.在OSI参考模型中，负责提供端到端的可靠传输服务，并处理流量控制和拥塞控制的层级是（）。A.数据链路层B.网络层C.传输层D.会话层2.网络管理员在配置防火墙时，为了防止IP地址欺骗攻击，应该遵循以下哪种原则？（）A.允许外部网络发送源地址为内部网段的流量进入B.允许内部网络发送源地址为非内部网段的流量流出C.拒绝外部网络发送源地址为内部网段的流量进入D.拒绝所有内部网络向外部网络的访问请求3.在公钥基础设施（PKI）系统中，负责签发和撤销数字证书的核心组件是（）。A.RA（注册机构）B.CA（证书颁发机构）C.LDAP目录服务器D.KDC（密钥分发中心）4.某企业网络遭遇了SYNFlood攻击，这是一种典型的（）。A.拒绝服务攻击B.跨站脚本攻击C.SQL注入攻击D.中间人攻击5.下列关于HTTPS协议的描述中，错误的是（）。A.HTTPS使用TCP端口443进行通信B.HTTPS在HTTP的基础上加入了SSL/TLS协议C.HTTPS可以防止数据在传输过程中被窃听和篡改D.HTTPS不需要申请数字证书即可建立安全连接6.在Linux系统中，用于查看当前系统开放的网络连接及其对应进程的命令是（）。A.netstat-anpB.ifconfig-aC.route-nD.ping-c47.为了确保Windows服务器的安全性，管理员应定期更新系统补丁。除了WindowsUpdate，以下哪种工具常用于在企业环境中集中管理补丁分发？（）A.WiresharkB.WSUS（WindowsServerUpdateServices）C.NmapD.SysinternalsSuite8.在数据库安全中，攻击者通过在输入字段中插入恶意的SQL代码来欺骗数据库服务器执行非授权操作的攻击方式被称为（）。A.XSS（跨站脚本攻击）B.CSRF（跨站请求伪造）C.SQLInjectionD.XXE（XML外部实体注入）9.IPSecVPN协议族中，负责加密数据包的载荷并提供机密性的协议是（）。A.AH（AuthenticationHeader）B.ESP（EncapsulatingSecurityPayload）C.IKE（InternetKeyExchange）D.ISAKMP10.某文件经过MD5哈希算法运算后生成的128位摘要值，主要用于确保数据的（）。A.机密性B.完整性C.可用性D.不可否认性11.网络安全管理员在分析入侵检测系统（IDS）的日志时，发现大量针对TCP445端口的扫描流量，该端口通常与哪种服务相关？（）A.Web服务B.文件共享服务C.邮件服务D.远程登录服务12.在访问控制模型中，基于“需要知道”原则，访问权限由数据拥有者决定，且具有灵活性的模型是（）。A.DAC（自主访问控制）B.MAC（强制访问控制）C.RBAC（基于角色的访问控制）D.ABAC（基于属性的访问控制）13.下列关于虚拟专用网（VPN）技术的描述，正确的是（）。A.PPTP协议比L2TP/IPsec更安全，因为PPTP支持更强的加密算法B.SSLVPN不需要安装客户端软件，通常通过浏览器访问C.VPN只能用于远程访问，不能用于站点到站点的互联D.VPN技术无法穿越NAT设备14.在网络安全风险评估中，风险值通常通过公式计算得出，该公式是（）。A.风险=资产价值+威胁+脆弱性B.风险=资产价值×威胁×脆弱性C.风险=(资产价值+威胁)/脆弱性D.风险=威胁×脆弱性/资产价值15.某攻击者伪造ARP响应包，将网关的IP地址映射到自己的MAC地址，从而截获局域网内其他用户的数据包，这种攻击被称为（）。A.MAC洪泛攻击B.ARP欺骗C.DNS欺骗D.ICMP重定向攻击16.在身份认证中，结合了密码（你知道什么）、智能卡（你有什么）和指纹（你是什么）的方式被称为（）。A.双因素认证B.单因素认证C.多因素认证D.强认证17.Web应用防火墙（WAF）主要工作在OSI模型的哪一层？（）A.网络层B.传输层C.应用层D.数据链路层18.为了防止内部员工通过U盘窃取敏感数据，管理员应该在终端主机上部署哪种技术？（）A.IDSB.DLP（数据防泄漏）C.VPND.NAC（网络准入控制）19.在应急响应中，当确认系统遭受入侵后，为了保留证据和防止攻击扩散，首要采取的措施是（）。A.立即重启服务器B.断开网络连接C.删除恶意文件D.升级系统补丁20.我国《网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施的运营者，还应当履行（）。A.数据跨境安全评估B.关闭非必要端口的义务C.每日进行漏洞扫描D.公开源代码的义务二、多项选择题（本大题共10小题，每小题3分，共30分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在题后的括号内。多选、少选、错选均不得分。）1.下列属于常见的恶意软件类型的有（）。A.特洛伊木马B.蠕虫病毒C.勒索软件D.逻辑炸弹E.间谍软件2.在配置防火墙访问控制列表（ACL）时，管理员需要遵循的原则包括（）。A.最小权限原则B.默认拒绝原则C.深度防御原则D.简单易记原则E.最大开放原则3.SSH协议相比Telnet协议，主要的安全优势包括（）。A.数据传输加密B.支持公钥认证C.防止中间人攻击D.传输速度快E.支持文件传输（SFTP）4.关于对称加密算法和非对称加密算法的描述，正确的有（）。A.对称加密算法加解密速度快，适合加密大量数据B.非对称加密算法加解密速度慢，通常用于加密会话密钥C.RSA是一种典型的非对称加密算法D.AES是一种典型的对称加密算法E.非对称加密算法的密钥管理比对称加密算法更复杂5.网络安全审计系统的主要功能包括（）。A.采集网络设备和服务器中的日志B.分析用户行为，识别异常操作C.提供事后追查依据D.实时阻断网络攻击E.自动修复系统漏洞6.下列哪些端口属于默认的高危端口，建议在非必要情况下关闭？（）A.TCP23(Telnet)B.TCP80(HTTP)C.TCP3389(RDP)D.UDP53(DNS)E.TCP445(SMB)7.在进行信息系统安全等级保护备案时，需要提交的材料通常包括（）。A.系统安全保护等级定级报告B.信息系统备案表C.系统拓扑结构图D.测评机构出具的测评报告E.安全建设整改方案8.常见的Web应用安全漏洞包括（）。A.SQL注入B.文件包含C.命令执行D.敏感信息泄露E.点击劫持9.实施网络准入控制（NAC）的目的是（）。A.确保接入网络的设备符合安全策略（如已安装杀毒软件）B.防止非法设备接入内网C.隔离受损设备D.提高网络传输带宽E.替代防火墙的功能10.应急响应的四个主要阶段（PDCERF模型）包括（）。A.准备阶段B.检测阶段C.遏制阶段D.根除阶段E.恢复阶段三、判断题（本大题共15小题，每小题1分，共15分。请判断下列各题的正误，正确的打“√”，错误的打“×”。）1.ICMPv6协议在IPv6网络中是可选的，不像IPv4中的ICMP那样重要。（）2.盐值在密码存储中可以增加彩虹表攻击的难度。（）3.只要使用了强加密算法，数据就是绝对安全的，不需要考虑密钥管理的安全性。（）4.在Linux系统中，将关键系统文件设置为不可变属性可以防止被修改，这是一种有效的加固手段。（）5.数字签名不仅能够验证数据的完整性，还能实现发送方的身份认证和不可抵赖性。（）6.所有防火墙都能检测并阻断应用层的攻击行为。（）7.社会工程学攻击通常利用人性的弱点（如好奇、恐惧、贪婪）来获取敏感信息。（）8.网络地址转换（NAT）技术可以有效隐藏内部网络拓扑结构，因此NAT是一种安全设备。（）9.完整性备份是指备份所有选定的数据，无论它们自上次备份后是否发生变化。（）10.在等级保护2.0标准中，第三级及以上系统要求每年至少进行一次等级保护测评。（）11.只有当攻击者成功获取了服务器的root权限或Administrator权限时，才算作发生了网络安全事件。（）12.异常入侵检测通常基于已知的攻击特征库进行匹配。（）13.使用Wireshark抓取本地回环地址（）的流量时，需要安装特定的驱动程序或调整设置。（）14.现代操作系统中的DEP（数据执行保护）技术主要用于防止缓冲区溢出攻击。（）15.公有云服务商负责云基础设施的安全，租户负责云上业务系统和数据的安全，这种责任共担模式是错误的。（）四、填空题（本大题共10小题，每小题2分，共20分。请将正确答案填在题中的横线上。）1.在TCP/IP协议栈中，负责将IP地址解析为MAC地址的协议是________。2.在网络安全中，________是指攻击者通过大量的无效请求耗尽服务器资源，导致合法用户无法访问服务的攻击方式。3.数字证书遵循________标准格式，通常包含公钥、持有者信息、颁发机构信息和有效期等。4.Windows系统中，用于查看当前活动会话和本地用户组的命令行工具是________。5.________攻击利用了Web应用程序对用户输入缺乏过滤的漏洞，将恶意脚本代码注入到页面中，当其他用户浏览时执行。6.在Linux系统中，权限设置为rwxr-xr--的文件，其八进制权限表示为________。7.________是一种用于远程登录和管理网络设备的协议，它使用UDP161端口进行通信。8.为了防范重放攻击，认证协议中通常会引入________机制，确保每次请求的唯一性。9.我国实施网络安全等级保护制度的核心标准是________（GB/T22239-2019）。10.在日志分析中，________事件通常指用户尝试使用不存在的用户名或错误密码进行登录的行为。五、简答题（本大题共4小题，每小题5分，共20分。）1.请简述“零信任”安全架构的核心原则。2.请列举至少五种提高Web服务器安全性的加固措施。3.简述DDoS攻击（分布式拒绝服务攻击）与DoS攻击的区别，并列举一种常见的DDoS防御手段。4.请解释什么是“横向移动”，并说明其在攻击链中的作用。六、综合应用题（本大题共3小题，共45分。）1.防火墙配置与分析（15分）某公司网络拓扑如下：内部网段（/24）通过防火墙连接至互联网（Internet）。防火墙有三个接口：E0（连接内部网，IP：）、E1（连接DMZ区，IP：）、E2（连接外网，IP：）。公司在DMZ区部署了一台Web服务器（IP：0）和一台邮件服务器（IP：0）。网络安全管理员需要编写防火墙规则以满足以下安全策略：(1)允许内部网络用户访问互联网的所有服务。(2)允许互联网用户访问DMZ区的Web服务（TCP80）和邮件服务（TCP25、TCP110）。(3)禁止互联网用户直接访问内部网络。(4)禁止DMZ区的服务器主动访问内部网络（防止被攻陷后作为跳板）。(5)默认拒绝所有其他通信。请根据上述策略，补充下表中的防火墙规则（规则按匹配顺序从上到下执行，Source为源地址，Destination为目的地址，Service为服务/端口，Action为动作）。注意：接口方向。规则序号源地址目的地址服务/协议动作备注1/24AnyAnyAccept内部访问外网2Any0TCP/80Accept外网访问Web3Any0TCP/25,110Accept外网访问邮件4Any/24AnyDeny保护内网5/24/24AnyDeny隔离DMZ到内网6AnyAnyAnyDeny默认拒绝(1)请指出上述规则表中是否存在逻辑错误或潜在的安全隐患，并说明理由。（5分）(2)如果管理员希望在规则2和规则3中，只允许特定IP段（如/16）访问Web和邮件服务器，应如何修改规则？（5分）(3)状态检测防火墙通常会记录连接状态表。假设内部主机0访问外部Web服务器的TCP80端口，请描述防火墙在处理该连接的回包（从外部服务器返回的数据包）时，是如何利用状态表进行判断的？（5分）2.入侵检测与日志分析（15分）作为网络安全管理员，你在监控公司Web服务器日志时发现了以下异常记录。Web服务器运行Apache+PHP，数据库为MySQL。日志片段A（Apacheaccess_log）：`00--[15/May/2026:10:23:45+0800]"GET/product.php?id=1'UNIONSELECT1,username,passwordFROMusers---HTTP/1.1"2001234`日志片段B（Apacheerror_log）：`[client00]PHPWarning:mysqli_fetch_array()expectsparameter1tobemysqli_result,booleangivenin/var/www/html/product.phponline15`日志片段C（系统secure日志）：`May1510:25:10webserversshd[2345]:Failedpasswordforrootfrom00port54321ssh2`(1)根据日志片段A和B，请判断攻击者正在尝试什么类型的攻击？并简要分析攻击载荷的含义。（5分）(2)针对日志片段A中的攻击特征，请给出两条具体的防御或修复建议。（4分）(3)日志片段C显示了什么行为？结合前两个日志片段，请分析攻击者可能的攻击路径和意图。（6分）3.应急响应与事件处理（15分）某日，公司财务部门多台员工电脑突然出现文件被加密的情况，文件后缀名被改为“.locked”，并在桌面出现“勒索信”，要求支付比特币以换取解密密钥。财务部门员工立即报告给网络安全管理员。(1)请列出针对此次勒索软件攻击事件的应急响应步骤（至少6个步骤）。（6分）(2)在“遏制”阶段，管理员应该采取哪些具体的技术措施来防止攻击扩散到其他部门？（4分）(3)事件处理完毕后，需要进行复盘和总结。请撰写一份简短的“事件总结报告”大纲，该报告应包含哪些关键部分？（5分）参考答案与解析一、单项选择题1.C2.C3.B4.A5.D6.A7.B8.C9.B10.B11.B12.A13.B14.B15.B16.C17.C18.B19.B20.A二、多项选择题1.ABCDE2.ABC3.ABCE4.ABCDE5.ABC6.ACE7.AB8.ABCDE9.ABC10.ABCDE三、判断题1.×2.√3.×4.√5.√6.×7.√8.×9.×10.√11.×12.×13.√14.√15.×四、填空题1.ARP（AddressResolutionProtocol）2.DoS（DenialofService）或拒绝服务3.X.5094.netlocalgroup或netuser5.XSS（CrossSiteScripting）或跨站脚本6.7547.SNMP（SimpleNetworkManagementProtocol）8.时间戳或随机数/Nonce9.信息安全技术网络安全等级保护基本要求10.暴力破解或BruteForce五、简答题1.零信任安全架构的核心原则包括：(1)永不信任，始终验证：无论请求来自网络内部还是外部，都必须经过严格的身份验证和授权。(2)最小权限访问：仅授予用户和设备完成特定任务所需的最小访问权限。(3)假设已被攻陷：假设网络环境中已经存在威胁，不再以网络边界作为主要防御手段，而是基于身份和上下文进行动态访问控制。2.提高Web服务器安全性的加固措施：(1)及时更新Web服务器软件（如Apache,Nginx,IIS）及操作系统补丁。(2)关闭不必要的服务和端口，禁用不必要的HTTP方法（如PUT,DELETE,TRACE）。(3)安装并配置Web应用防火墙（WAF）。(4)部署HTTPS，强制使用SSL/TLS加密传输，并配置强加密算法。(5)对用户输入进行严格的过滤和验证，防止SQL注入、XSS等攻击。(6)隐藏服务器版本信息，防止信息泄露。(7)设置安全的文件权限，确保Web目录不可写。3.DDoS攻击与DoS攻击的区别及防御：区别：DoS攻击通常是一台主机攻击目标，而DDoS攻击利用多台受控主机（僵尸网络）同时向目标发起攻击，攻击规模更大，更难防御。防御手段：流量清洗（通过专业的清洗中心引流）、CDN加速（隐藏源站IP）、限制连接频率（在防火墙或WAF上限流）、黑洞路由等。4.横向移动及其作用：定义：横向移动是指攻击者在突破一台主机后，利用该主机作为跳板，通过凭证窃取、漏洞利用等手段，访问同一网络环境内的其他主机。作用：在攻击链中，横向移动主要用于扩大战果，寻找更有价值的目标（如数据库服务器、域控制器），并持久化控制网络环境，为后续的数据窃取或破坏创造条件。六、综合应用题1.防火墙配置与分析(1)潜在问题分析：规则1“允许内部访问外网”过于宽泛。虽然符合业务需求，但缺乏细粒度控制，可能导致内部主机感染恶意软件后随意外联C&C服务器。规则2和3允许“Any”访问DMZ服务器，容易导致来自互联网的恶意扫描和攻击。规则5虽然禁止了DMZ访问内网，但未禁止DMZ访问外网。如果Web服务器被攻陷，攻击者可以作为跳板攻击外部网络或下载恶意工具，且防火墙状态表可能会允许回包进入内网（如果攻击者伪造连接）。缺少针对防火墙自身的管理访问规则（如SSH、HTTPS管理端口），容易被全端口暴露或完全阻断。缺少ICMP控制规则，可能导致Ping洪水或利用ICMP进行隧道传输。(2)修改规则：将规则2和3中的源地址“Any”修改为“/16”。修改后的规则2：规则序号源地址目的地址服务/协议动作备注2/160TCP/80Accept(3)状态检测防火墙判断回包过程：当内部主机0发起连接时，防火墙检查规则1，匹配成功，允许通过。防火墙在连接状态表中创建一条新记录：{源IP:0,源端口:xxxx,目的IP:,目的端口:80,协议:TCP,状态:已建立}。当外部Web服务器返回的数据包到达防火墙时，数据包特征为：源IP:,源端口:80,目的IP:0,目的端口:xxxx。防火墙首先检查状态表，发现存在一条匹配的记录，且状态允许回包，因此直接允许该数据包通过，无需再次进行复杂的规则匹配。这保证了只有属于已建立合法会话的回包才能进入内部网络。2.入侵检测与日志分析(1)攻击类型与载荷分析：攻击类型：SQL注入攻击。载荷分析：`id=1'UNIONSELECT1,username,passwordFROMusers---``1'`：尝试闭合原本的SQL查询字符串（如`SELECT*FROMproductWHEREid='1'`），引入单引号导致语法中断。`UNIONSELECT1,username,passwordFROMusers`：利用UN联合查询，将`users`表中的`username`和`password`字段拼接到原查询结果中。`---`：注释掉后续的SQL语句，防止产生语法错误。目的：绕过前端验