2026年网络安全管理员高级工模考试题与参考答案

2026年网络安全管理员高级工模考试题与参考答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）存储。A.境内B.境外C.境内和境外均可D.运营者指定的任何地点答案：A2.在信息安全领域，CIA三元组指的是（）。A.机密性、完整性、可用性B.机密性、身份认证、授权C.控制、隔离、审计D.保密、鉴别、抗抵赖答案：A3.以下哪种攻击属于被动攻击？（）A.IP欺骗B.拒绝服务攻击C.流量分析D.缓冲区溢出攻击答案：C4.用于检测网络入侵行为，并能够实时发出警报的系统是（）。A.防火墙B.入侵检测系统（IDS）C.防病毒网关D.虚拟专用网（VPN）答案：B5.在公钥基础设施（PKI）中，负责签发和吊销数字证书的权威机构是（）。A.注册机构（RA）B.证书颁发机构（CA）C.目录服务D.终端实体答案：B6.关于SSL/TLS协议，以下说法正确的是（）。A.仅能提供服务器端身份认证B.工作在OSI模型的网络层C.握手协议用于协商加密算法和建立安全通道D.记录协议负责传输应用层数据，不提供完整性保护答案：C7.下列哪项不是常见的哈希算法？（）A.MD5B.SHA-256C.RSAD.SM3答案：C8.在WindowsServer操作系统中，用于集中管理用户账户和计算机，并实现统一安全策略的服务是（）。A.DNSB.DHCPC.ActiveDirectoryD.IIS答案：C9.以下哪项技术主要用于防止跨站脚本（XSS）攻击？（）A.对用户输入进行过滤和转义B.使用HTTPS协议C.配置防火墙策略D.定期更新操作系统补丁答案：A10.根据等级保护2.0的要求，第三级信息系统应（）进行一次等级测评。A.每半年B.每年C.每两年D.每三年答案：B11.在Linux系统中，用于查看当前系统开放端口和对应进程的命令是（）。A.ifconfigB.netstat-tulnpC.psauxD.iptables-L答案：B12.下列协议中，默认使用明文传输的是（）。A.SSHB.HTTPSC.FTPSD.Telnet答案：D13.在风险评估过程中，“威胁利用脆弱性导致安全事件发生，并造成影响的可能性”是对（）的定义。A.资产价值B.脆弱性C.威胁D.风险答案：D14.关于WPA3安全协议，相较于WPA2的主要增强不包括（）。A.对管理帧进行加密保护B.使用192位加密套件C.采用同时身份验证（SAE）替代PSK，防止离线字典攻击D.取消了加密功能以提升速度答案：D15.下列哪项是零信任安全架构的核心原则？（）A.边界防御B.默认信任内部网络C.从不信任，始终验证D.依赖物理隔离答案：C16.在应急响应流程中，第一步通常是（）。A.抑制和遏制B.准备C.检测与分析D.恢复答案：B17.使用nmap进行TCPSYN扫描的命令参数是（）。A.-sTB.-sSC.-sUD.-sP答案：B18.关于数据备份策略，以下描述正确的是（）。A.完全备份所需存储空间最小，恢复速度最快B.差异备份每次备份自上次完全备份以来变化的所有数据C.增量备份每次备份自上次任何备份以来变化的所有数据D.通常采用完全备份、差异备份和增量备份的组合策略答案：D19.下列哪项技术主要用于防止SQL注入攻击？（）A.部署Web应用防火墙（WAF）B.使用参数化查询或预编译语句C.对数据库连接进行加密D.定期备份数据库答案：B20.在云计算安全中，“确保一个用户的行为不会影响其他用户的服务”是对（）的描述。A.数据隔离B.资源隔离C.虚拟化安全D.合规性答案：B二、多项选择题（每题2分，共20分，多选、少选、错选均不得分）1.以下属于社会工程学攻击手段的有（）。A.钓鱼邮件B.尾随进入门禁区域C.电话诈骗索要密码D.利用软件漏洞获取权限答案：ABC2.防火墙的常见技术类型包括（）。A.包过滤防火墙B.状态检测防火墙C.应用代理防火墙D.下一代防火墙（NGFW）答案：ABCD3.一个强密码策略应包含以下哪些要求？（）A.最小长度要求（如8位以上）B.复杂度要求（包含大小写字母、数字、特殊字符）C.定期更换（如90天）D.密码历史记录，防止重复使用答案：ABCD4.关于漏洞扫描和渗透测试的区别，以下说法正确的有（）。A.漏洞扫描通常是自动化的，而渗透测试包含大量人工分析B.漏洞扫描旨在发现潜在弱点，渗透测试旨在验证弱点可利用性及影响C.渗透测试一定比漏洞扫描发现更多漏洞D.两者都是网络安全评估的重要手段答案：ABD5.以下哪些是《中华人民共和国数据安全法》中规定的数据分类分级保护要求？（）A.根据数据在经济社会发展中的重要程度进行分类分级B.对列入核心数据目录的数据实行更加严格的管理制度C.所有数据都必须存储在境内D.重要数据的处理者应当明确数据安全负责人和管理机构答案：ABD6.虚拟专用网（VPN）常用的隧道协议有（）。A.PPTPB.L2TP/IPsecC.OpenVPND.IKEv2/IPsec答案：ABCD7.在Linux系统中，可以用来进行文件完整性检查的命令或工具有（）。A.md5sumB.sha1sumC.AIDE（高级入侵检测环境）D.Tripwire答案：ABCD8.以下关于安全运营中心（SOC）主要功能的描述，正确的有（）。A.集中收集和分析各类安全设备、系统日志B.进行安全事件的监控、预警、分析和响应C.管理安全漏洞的全生命周期D.通常不涉及对物理安全的监控答案：ABC9.可能导致数据泄露的途径包括（）。A.内部员工无意间将敏感数据发送到公共邮箱B.存储敏感数据的服务器未加密且暴露在公网C.合作伙伴系统被入侵导致数据外泄D.废弃的硬盘未经安全擦除即丢弃答案：ABCD10.在部署Web服务器安全时，应考虑的措施有（）。A.关闭不必要的服务和端口B.及时更新Web服务器软件及组件补丁C.配置适当的访问控制列表（ACL）和文件权限D.部署SSL证书启用HTTPS答案：ABCD三、填空题（每空1分，共15分）1.在对称加密算法中，加密和解密使用______的密钥。答案：相同2.网络地址转换（NAT）技术主要用于解决______地址不足的问题，并能隐藏内部网络结构。答案：IPv43.信息安全事件分为特别重大事件、重大事件、较大事件和______事件。答案：一般4.在Windows系统中，用于查看和配置本地安全策略的命令是______。答案：secpol.msc5.______是一种通过伪装成合法网站或服务，诱骗用户提交敏感信息（如用户名、密码）的攻击方式。答案：网络钓鱼（Phishing）6.在访问控制模型中，基于角色的访问控制（RBAC）通过将权限分配给______，再将角色分配给用户来实现权限管理。答案：角色7.恶意软件中，能够自我复制和传播，但通常需要寄生在其它程序中的是______。答案：病毒8.在OSI七层模型中，防火墙主要工作在______层和______层。（按从低到高顺序填写）答案：网络传输（或34）9.安全审计日志应满足______性、______性和完整性要求，防止被非法篡改或删除。答案：保密可用（或可用保密，但通常顺序为可用性、保密性、完整性，此处根据语境，填“可用”和“保密”或反之皆可，但“保密”更贴近防非法访问的含义）10.在灾难恢复计划（DRP）中，______是指从灾难发生到系统恢复运行所能容忍的最大时间。答案：恢复时间目标（RTO）11.利用多个独立的、不同类型的证据来验证同一事实，以增强证据的可靠性和证明力，这被称为证据的______。答案：关联性（或相互印证）12.在云计算服务模型中，用户能够管理操作系统、应用程序，而云服务商负责底层基础设施的是______模型。答案：基础设施即服务（IaaS）四、简答题（共25分）1.（5分）简述什么是APT攻击及其主要特点。答案：APT（高级持续性威胁）攻击是一种针对特定目标进行的、复杂的、长期的网络攻击。其主要特点包括：①目标明确，通常针对政府、企业等拥有高价值信息的组织；②手段先进，综合运用多种攻击技术（如0day漏洞、社会工程学、定制化恶意软件等）；③潜伏期长，攻击者长期潜伏在目标网络中，持续窃取信息；④组织性强，通常由有组织的犯罪团体或国家背景的黑客发起。2.（5分）简述在Windows域环境中，如何通过组策略（GPO）强制所有域用户计算机设置屏幕锁定时间为10分钟。答案：主要步骤包括：①在域控制器上打开“组策略管理”控制台；②创建一条新的组策略对象（GPO）或编辑现有的作用于域或特定OU的GPO；③在GPO编辑器中，导航至“计算机配置”->“策略”->“管理模板”->“控制面板”->“个性化”；④找到并启用“屏幕保护程序超时”策略，将其设置为“600”秒（10分钟）；⑤同时启用“在恢复时显示登录屏幕”策略；⑥将GPO链接到包含目标计算机账户的组织单位（OU）上；⑦在客户端计算机上运行`gpupdate/force`命令刷新组策略或等待其自动更新。3.（5分）什么是双因素认证（2FA）？请列举两种常见的双因素认证形式。答案：双因素认证是一种通过组合两种不同类别的凭证来验证用户身份的安全机制。这三种类别通常包括：你知道的东西（如密码）、你拥有的东西（如手机、硬件令牌）、你固有的特征（如指纹、面部识别）。常见的两种形式：①动态口令（OTP）：用户输入密码后，还需输入由手机APP（如GoogleAuthenticator）或硬件令牌生成的、随时间变化的一次性密码。②短信验证码：用户输入密码后，系统向用户注册的手机号发送一次性验证码，用户需输入该验证码完成登录。4.（10分）简述一次完整的渗透测试流程通常包含哪些主要阶段，并简要说明每个阶段的核心任务。答案：一次完整的渗透测试通常包含以下五个主要阶段：①前期交互阶段：与客户确定测试范围、目标、规则（如可接受的测试时间、是否允许拒绝服务攻击等），签订授权协议。②信息收集阶段：使用公开或非侵入性的手段收集目标信息，包括网络架构、域名、IP地址、员工信息、使用的技术栈等。③威胁建模与漏洞分析阶段：基于收集的信息，分析潜在的攻击面、威胁向量，并利用工具或手动方式扫描、分析目标系统存在的安全漏洞。④漏洞利用阶段：尝试利用已发现的漏洞，获取系统访问权限、提升权限或窃取数据，验证漏洞的实际危害。⑤后渗透测试与报告阶段：在成功渗透后，模拟攻击者的后续行为（如横向移动、权限维持、数据窃取），评估可能造成的业务影响。最后，整理所有发现、利用过程、证据截图，形成详细报告，包括漏洞描述、风险等级、复现步骤及修复建议。五、综合应用题（共20分）场景描述：某公司内部部署了一台面向员工的WebOA系统（IP:00），用于日常办公流程处理。近期，安全管理员通过日志分析发现OA系统登录页面存在大量异常的登录尝试，怀疑遭到暴力破解攻击。同时，有员工报告收到可疑邮件，邮件中包含一个指向“公司年终福利调查”的链接，链接地址类似公司域名但略有不同。问题1（6分）：针对OA系统的暴力破解攻击，作为安全管理员，请提出至少三种在服务器或应用层面可以实施的即时防护或缓解措施。答案：①账户锁定策略：在OA系统或认证服务器上设置账户锁定阈值，例如连续5次登录失败后，临时锁定该账户30分钟，防止攻击者持续尝试。②增强验证码：在登录页面启用强验证码（如扭曲字符、滑块、行为验证等），确保每次登录尝试都需要人工交互，有效自动化脚本攻击。③限制登录尝试频率：在Web服务器（如Nginx/Apache）或应用层面，对来自同一IP地址的登录请求频率进行限制，例如每分钟最多允许10次登录尝试，超出则暂时拒绝或延迟响应。④启用双因素认证（2FA）：强制要求所有员工为OA账户启用双因素认证，即使密码被破解，攻击者也无法直接登录。问题2（6分）：员工收到的可疑邮件很可能是什么类型的攻击？除了告知员工不要点击链接，还应立即采取哪些后续调查和处置行动？答案：①这很可能是钓鱼邮件攻击，旨在诱骗员工访问伪造的网站，进而窃取员工的OA系统账号密码或其他敏感信息。②后续调查和处置行动包括：a.邮件分析：检查邮件头信息，分析发件人真实地址、邮件服务器路径；对邮件中的链接进行安全分析（如使用沙箱环境访问，或通过URL分析工具检查其指向的IP和域名信誉）。b.内部通报：立即通过内部通讯渠道（如企业微信、邮件等）向全体员工发布安全警告，详细描述该钓鱼邮件的特征，提醒员工注意甄别。c.技术阻断：如果确认了钓鱼网站URL，立即在公司网络出口防火墙、Web安全网关或DNS服务器上封禁该域名或IP地址，防止员工误点击后访问。d.日志监控：加强OA系统和邮件系统的日志监控，重点关注是否有员工账户在收到邮件后出现异常登录行为。问题3（8分）：为防止类似安全事件再次发生，请