2026年网络安全与信息保护课程考试试卷及答案

2026年网络安全与信息保护课程考试试卷及答案一、单项选择题（每题2分，共20分）1.下列哪种密码体制属于非对称密码体制？A.AESB.DESC.RSAD.SM4答案：C解析：RSA是典型的非对称密码体制，使用公钥加密、私钥解密。AES、DES、SM4均为对称密码体制。2.在网络安全等级保护中，下列哪一项不属于安全等级保护的五个级别？A.第一级（用户自主保护级）B.第二级（系统审计保护级）C.第三级（安全标记保护级）D.第六级（绝对安全保护级）答案：D解析：等级保护共分五级，第六级不存在。3.下列关于哈希函数的说法，错误的是？A.哈希函数输入任意长度消息，输出固定长度摘要B.哈希函数具有抗碰撞性C.哈希函数是可逆的，可以从摘要还原原始消息D.哈希函数具有雪崩效应答案：C解析：哈希函数是单向函数，从摘要无法（在计算上不可行地）还原原始消息，这是其基本性质之一。4.下列哪种攻击方式属于主动攻击？A.窃听B.流量分析C.中间人攻击D.电磁泄漏截获答案：C解析：主动攻击包括篡改、伪造、重放、拒绝服务等，中间人攻击会修改或转发伪造信息，属于主动攻击。窃听、流量分析、电磁泄漏截获均为被动攻击。5.在SQL注入攻击中，攻击者主要利用的是？A.操作系统漏洞B.Web应用程序对用户输入的过滤不严C.网络协议的缺陷D.数据库加密强度不足答案：B解析：SQL注入的本质是程序未对用户输入进行充分校验和过滤，导致恶意SQL代码被拼接到查询语句中执行。6.下列端口号中，HTTPS服务默认使用哪个？A.21B.25C.80D.443答案：D解析：443是HTTPS默认端口，80为HTTP，21为FTP，25为SMTP。7.在数字签名方案中，签名者使用什么密钥进行签名？A.接收者的公钥B.签名者的私钥C.接收者的私钥D.签名者的公钥答案：B解析：数字签名使用签名者自己的私钥签名，接收者使用签名者的公钥验证签名，从而实现身份认证和不可否认性。8.下列哪项不是防火墙的主要功能？A.包过滤B.状态检测C.杀灭网络中的病毒文件D.应用层代理答案：C解析：防火墙主要工作在网络层和应用层，进行访问控制与过滤，不具备主动查杀病毒文件的功能，杀毒由防病毒软件完成。9.在PKI（公钥基础设施）体系中，负责签发和管理数字证书的机构是？A.RAB.CAC.CRLD.LDAP答案：B解析：CA（CertificateAuthority，证书颁发机构）负责签发、吊销和管理数字证书。RA是注册机构，承担身份审核职能。10.下列哪种密码学技术用于保障数据传输的完整性？A.对称加密B.非对称加密C.消息认证码（MAC）D.数字水印答案：C解析：MAC结合共享密钥和哈希算法，能够检测消息在传输过程中是否被篡改，是保障完整性的核心技术。数字水印主要用于版权保护。二、判断题（每题2分，共20分）1.在对称加密中，加密和解密使用相同的密钥。答案：正确2.防火墙可以完全阻止所有网络攻击。答案：错误解析：防火墙无法防御所有攻击（如内部攻击、应用层新型攻击、社会工程学攻击等），它只是整体安全防护体系中的一环。3.数字证书的作用之一是将用户的公钥与其身份信息进行绑定。答案：正确4.密码学中的"零知识证明"允许证明者向验证者证明自己知道某个秘密，而不泄露该秘密的任何信息。答案：正确5.只要系统安装了杀毒软件，就不会感染恶意软件。答案：错误解析：杀毒软件存在查杀滞后性，无法识别所有未知病毒和新型恶意软件，仍需配合补丁管理、行为监控等多层防御。6.网络钓鱼通常通过伪装成可信机构来诱导用户泄露敏感信息。答案：正确7.等级保护第三级系统的测评周期为每年至少一次。答案：错误解析：根据《信息安全等级保护管理办法》，第三级系统每年至少测评一次，第四级每半年至少一次。8.在DDoS攻击中，攻击者通常利用大量受控主机同时向目标发送请求。答案：正确9.根据《中华人民共和国网络安全法》，网络运营者不经用户同意即可收集用户个人信息。答案：错误解析：网络安全法明确规定，网络运营者收集、使用个人信息应当经用户同意，遵循合法、正当、必要原则。10.VPN技术可以在公共网络上建立加密通道，实现安全传输。答案：正确三、简答题（每题8分，共32分）1.简述对称加密与非对称加密的主要区别，并各举一例算法。答案：(1)密钥使用：对称加密加密解密使用同一密钥；非对称加密使用公钥加密、私钥解密（或私钥签名、公钥验证）。(2)运算速度：对称加密算法简洁高效，适合大数据量加密；非对称加密涉及大数运算，速度较慢。(3)密钥管理：对称加密需要解决密钥分发与管理的难题，通信双方共享同一密钥，n个用户需n((4)安全性：对称加密的安全性依赖于密钥的保密；非对称加密的安全性依赖于数学难题（如大整数分解、离散对数等）。(5)典型算法：对称加密如AES、DES、SM4；非对称加密如RSA、ECC、SM2。2.什么是中间人攻击（MITM）？请给出两种常见的攻击方式及防范措施。答案：中间人攻击是攻击者隐匿在通信双方之间，独立与双方通信并转发或篡改消息，使双方误以为在直接通信的攻击方式。常见攻击方式：(1)ARP欺骗：在局域网内伪造ARP响应，将目标主机的流量导向攻击者。(2)SSL剥离/伪造证书：在HTTPS通信中拦截加密握手过程，替换或降级加密连接，或伪造证书骗取信任。防范措施：(1)使用加密协议（如TLS）并严格验证服务器证书；(2)网络层采取DHCPSnooping、端口安全、动态ARP检测（DAI）等技术防止ARP欺骗；(3)通信双方在敏感场景下使用带外方式进行密钥或指纹验证。3.简述网络安全等级保护的基本流程。答案：等级保护的基本流程包括：(1)定级：确定信息系统的安全保护等级；(2)备案：将定级结果向公安机关备案；(3)建设整改：按照相应等级的安全要求进行安全建设与整改；(4)等级测评：委托测评机构对系统安全状况进行测评；(5)监督检查：公安机关及主管部门对等保工作开展监督检查。4.简述纵深防御（DefenseinDepth）理念的核心思想，并列举至少四层防御措施。答案：纵深防御的核心思想是构建多层次的、相互补充的安全防护体系，使攻击者需要突破多重防线才能达成目标，单层防御失效时仍有其他层提供保护。典型防御层次：(1)物理安全：门禁系统、机房监控、硬件防篡改；(2)网络安全：防火墙、入侵检测/防御系统（IDS/IPS）、VPN；(3)主机安全：操作系统加固、补丁管理、主机入侵检测；(4)应用安全：代码审计、Web应用防火墙（WAF）、输入验证；(5)数据安全：加密存储、访问控制、数据备份与容灾；(6)安全管理：安全策略、人员培训、应急响应机制。四、综合分析题（每题14分，共28分）1.某企业Web服务器遭受攻击，安全人员通过流量日志发现一段时间内存在大量形如'OR'1'='1的HTTP请求参数，且数据库出现数据被批量导出的迹象。请综合所学知识回答：(1)判断该攻击属于何种类型，并说明攻击原理。(2)分析攻击者可能利用了哪些安全缺陷。(3)给出至少四项针对性防护措施。答案：(1)该攻击属于SQL注入攻击。攻击原理是：Web应用程序未对用户输入进行严格的过滤和参数化处理，将用户可控的参数直接拼接到SQL查询语句中，导致恶意构造的SQL代码被执行。例如'OR'1'='1使WHERE条件恒为真，攻击者借此绕过身份验证或绕过条件限制，进而可导出、篡改甚至删除数据库数据。(2)可能利用的安全缺陷包括：•代码层：SQL语句采用字符串拼接方式构造，未使用参数化查询或预编译语句；•输入验证层：未对特殊字符（如单引号、分号、注释符）进行过滤和转义；•权限配置层：数据库账号权限过大，如以DBA或root权限连接应用程序；•错误处理层：应用返回了详细的数据库错误信息，为攻击者提供了探测依据；•安全防护层：缺少WAF、数据库审计等安全设备。(3)针对性防护措施：•使用参数化查询（PreparedStatement）或存储过程，避免SQL语句拼接；•对用户输入进行白名单校验与特殊字符过滤；•遵循最小权限原则，应用连接数据库账号仅授予所需的最小权限；•隐藏数据库错误信息，避免向用户暴露敏感细节；•部署WAF，配置SQL注入拦截规则；•开启数据库访问审计，对异常查询行为进行实时监控与告警；•定期进行代码安全审计与渗透测试。2.某单位计划建设一套业务信息系统，该系统拟通过互联网向公众提供服务，并涉及大量个人信息和重要业务数据。请回答：(1)按照网络安全等级保护标准，该系统定级时应重点考虑哪些因素？一般应定为几级？(2)若系统定为第三级，请从技术和管理两个角度各列举至少三项必须落实的安全措施。(3)结合《中华人民共和国网络安全法》和《中华人民共和国个人信息保护法》，说明该系统在个人信息保护方面应履行哪些法定义务。答案：(1)定级时重点考虑的因素：•业务信息被破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益的危害程度；•系统服务被破坏后对国家、社会、经济运行秩序的危害程度；•系统涉及的业务重要性、服务范围、服务对象及数据敏感程度。该系统通过互联网向公众提供服务并涉及个人信息和重要业务数据，一般应定为第三级。(2)第三级系统必须落实的技术措施（至少三项）：•身份鉴别：采用双因素认证或数字证书，对登录用户进行强身份鉴别；•访问控制：实行最小权限管理，划分安全域，配置严格的访问控制策略；•安全审计：对操作系统、数据库和应用系统进行日志记录与审计，留存日志不少于六个月；•入侵防范：部署IDS/IPS、WAF，及时发现和阻断攻击行为；•数据安全：对重要数据进行加密存储和加密传输，建立数据备份与恢复机制；•通信安全：使用VPN或TLS保障远程管理及数据传输的机密性与完整性。必须落实的管理措施（至少三项）：•安全管理制度：制定信息安全管理总体方针、操作规程及安全策略；•人员安全管理：对关键岗位人员进行安全审查，开展安全培训与考核，签署保密协议；•系统运维管理：制定系统运维规范，实行变更管理和配置管理，定期进行漏洞扫描与风险评估；•应急管理：制定网络安全事件应急预案，定期组织应急演练。(3)在个人信息保护方面应履行的法定义务：•遵循合法、正当、必