2026年网络安全知识竞赛题库及答案

2026年网络安全知识竞赛题库及答案一、单项选择题（共30题，每题1分）1.2025年正式实施的《网络数据安全管理条例》规定，处理超过______人个人信息的数据处理者，应当按照国家有关规定，落实网络安全等级保护三级以上要求，明确数据安全负责人和管理机构。A.10万B.50万C.100万D.500万答案：C2.我国网络安全等级保护2.0标准体系中，第三级系统的安全建设整改完成后，应当每______开展一次等级测评。A.半年B.1年C.2年D.3年答案：B3.下列关于零信任架构核心原则的表述，错误的是______。A.永不信任，始终验证B.默认最小权限访问C.假设网络边界已被突破D.基于网络位置授予访问权限答案：D4.常见密码算法中，属于非对称加密算法的是______。A.SM4B.AESC.RSAD.ZUC答案：C5.钓鱼邮件攻击中，攻击者通过伪造与官方域名高度相似的域名诱导用户点击，例如将“”伪造成“”，这类攻击手段属于______。A.域名仿冒（Typosquatting）B.跨站脚本攻击C.SQL注入D.目录遍历答案：A6.根据《个人信息保护法》，处理敏感个人信息应当取得个人的______。A.单独同意B.默示同意C.概括同意D.口头同意即可答案：A7.企业部署Web应用防火墙（WAF）主要针对的防护场景不包括______。A.SQL注入攻击B.CC攻击C.服务器固件漏洞利用D.跨站脚本攻击答案：C8.移动应用中常见的“动态加载DEX文件”技术如果被恶意利用，最可能造成的风险是______。A.应用耗电过快B.绕过应用商店审核植入恶意代码C.应用启动速度变慢D.内存占用过高答案：B9.下列密码设置方式中，安全性最高的是______。A.使用自己的生日数字组合B.使用“姓名拼音+手机号后6位”C.使用8位以上包含大小写字母、数字、特殊字符的无规律组合，且不同平台单独设置D.所有平台统一使用同一个复杂度较高的密码，避免遗忘答案：C10.等保2.0标准覆盖的防护对象不包括______。A.传统信息系统B.云计算平台C.离线纸质档案D.工业控制系统答案：C11.攻击者通过向目标系统发送大量伪造的ICMPecho请求包，占用网络带宽导致正常用户无法访问，这类攻击属于______。A.分布式拒绝服务攻击（DDoS）中的流量型攻击B.逻辑漏洞攻击C.权限提升攻击D.钓鱼攻击答案：A12.我国商用密码SM3算法的输出摘要长度是______。A.128位B.160位C.256位D.512位答案：C13.企业数据分类分级工作中，按照《数据安全法》要求，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据属于______。A.一般数据B.重要数据C.核心数据D.公开数据答案：B14.下列关于公共Wi-Fi使用的安全建议，错误的是______。A.不连接未加密、无认证的公开Wi-FiB.在公共Wi-Fi环境下进行网上银行转账操作C.连接公共Wi-Fi时关闭文件共享功能D.优先使用手机蜂窝移动网络处理敏感业务答案：B15.终端安全防护中，EDR产品的核心能力不包括______。A.终端行为监测与威胁狩猎B.终端恶意代码查杀C.终端漏洞修复D.骨干网路由调度答案：D16.漏洞按照CVSS3.1评分标准，评分在7.0-8.9区间的属于______漏洞。A.低危B.中危C.高危D.严重答案：C17.《关键信息基础设施安全保护条例》规定，运营者应当______至少开展一次网络安全应急演练。A.每季度B.每半年C.每年D.每两年答案：C18.下列关于日志留存要求的表述，符合《网络安全法》规定的是______。A.网络日志留存时间不少于3个月B.网络日志留存时间不少于6个月C.网络日志留存时间不少于12个月D.网络日志留存时间不少于18个月答案：B19.攻击者通过在正常网页中插入恶意脚本，当用户访问网页时脚本自动执行，窃取用户Cookie信息，这类攻击是______。A.跨站脚本攻击（XSS）B.SQL注入C.命令注入D.文件上传漏洞攻击答案：A20.个人信息处理者向境外提供个人信息，下列不属于法定合规路径的是______。A.通过国家网信部门组织的安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.直接与境外接收方签订自行拟定的合同即可传输D.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方权利义务答案：C21.工业控制系统安全防护中，生产控制大区与管理信息大区之间应当部署______实现边界隔离。A.普通防火墙B.工业网闸C.家用路由器D.入侵检测系统即可答案：B22.下列属于社会工程学攻击手段的是______。A.利用系统未打补丁获取权限B.通过冒充IT运维人员向员工索要系统账号密码C.爆破弱口令进入后台D.利用SQL注入拖库答案：B23.数据安全治理流程中，第一环节是______。A.数据分类分级B.数据加密C.数据备份D.数据脱敏答案：A24.下列关于人工智能生成内容（AIGC）服务的安全要求，符合《生成式人工智能服务管理暂行办法》规定的是______。A.服务提供者无需对生成内容进行审核B.服务提供者应当对生成的图片、视频等内容添加可识别的标识C.可以随意生成涉及他人肖像、隐私的内容D.训练数据无需获得知识产权授权答案：B25.勒索病毒攻击的典型特征是______。A.窃取用户文件后秘密外传，不影响本地文件使用B.加密用户本地文件，要求支付虚拟货币赎金换取解密密钥C.篡改浏览器主页，推送广告D.自动发送垃圾邮件答案：B26.软件供应链安全防护中，下列不属于常见风险点的是______。A.开源组件存在已知漏洞B.软件开发过程中被植入恶意代码C.软件更新包被篡改D.软件安装包占用存储空间过大答案：D27.国家网络安全宣传周是每年______举办。A.7月第一周B.8月第二周C.9月第三周D.10月第四周答案：C28.当发现个人电脑感染恶意程序后，第一步应当采取的措施是______。A.立即断开网络连接，防止恶意程序横向扩散B.直接格式化硬盘C.重启电脑继续使用D.立即登录网银等敏感账号查看资金情况答案：A29.我国自主研发的用于无线通信领域的对称密码算法是______。A.SM2B.SM9C.ZUC（祖冲之算法）D.SM3答案：C30.云安全责任共担模型中，对于IaaS（基础设施即服务）模式，下列属于云服务商责任的是______。A.租户部署在云主机上的应用安全B.云主机操作系统补丁更新C.云平台物理服务器、虚拟化层的安全D.租户上传到云存储中的数据加密答案：C二、多项选择题（共15题，每题2分，多选、少选、错选均不得分）1.2025年我国网络安全等级保护2.0的核心标准包括______。A.GB/T22239-2019《信息安全技术网络安全等级保护基本要求》B.GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》C.GB/T28448-2019《信息安全技术网络安全等级保护测评要求》D.GB/T22240-2020《信息安全技术网络安全等级保护定级指南》答案：ABCD2.下列属于常见个人敏感信息的有______。A.生物识别信息（指纹、人脸、虹膜）B.金融账户信息C.医疗健康信息D.行踪轨迹信息答案：ABCD3.企业应对勒索病毒攻击的有效防护措施包括______。A.定期对重要数据进行离线备份，定期验证备份可用性B.及时修复系统和应用高危漏洞，关闭不必要的端口C.部署终端检测与响应（EDR）系统，开启实时防护D.定期开展员工钓鱼邮件防范培训，不随意打开陌生邮件附件答案：ABCD4.我国网络安全领域的基础性法律包括______。A.《中华人民共和国网络安全法》B.《中华人民共和国数据安全法》C.《中华人民共和国个人信息保护法》D.《关键信息基础设施安全保护条例》答案：ABC5.零信任架构的核心技术组件包括______。A.身份治理与访问管理（IAM）B.软件定义边界（SDP）C.微隔离（Microsegmentation）D.持续信任评估引擎答案：ABCD6.下列关于开源组件安全管理的做法，正确的有______。A.建立开源组件准入审核机制，引入前核查组件的许可证、已知漏洞情况B.定期对系统中使用的开源组件进行漏洞扫描，及时升级存在高危漏洞的组件C.对开源组件进行二次安全测试，排查是否存在后门或恶意代码D.为了降低开发成本，直接从非官方第三方站点下载开源组件使用答案：ABC7.下列属于SQL注入攻击可能造成的危害有______。A.数据库中的敏感数据被窃取B.数据库被恶意篡改、删除C.攻击者获取服务器权限，植入webshellD.服务器硬盘物理损坏答案：ABC8.移动应用APP常见的个人信息违规收集行为包括______。A.未公开个人信息处理规则，强制用户同意收集非必要个人信息B.超出用户授权范围收集位置、通讯录等信息C.用户不同意打开权限就直接拒绝提供核心服务D.未提供个人信息删除、注销账号的便捷渠道答案：ABCD9.网络安全应急响应的标准流程包括______。A.准备阶段B.检测与分析阶段C.遏制、根除与恢复阶段D.事后复盘与改进阶段答案：ABCD10.商用密码应用安全性评估（密评）中，需要评估的密码应用维度包括______。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案：ABCD11.下列属于钓鱼攻击常见特征的有______。A.邮件发件人域名与官方域名存在细微差异B.内容包含紧迫感描述，例如“您的账户将于24小时内冻结，请立即点击链接验证”C.要求用户输入账号密码、银行卡验证码等敏感信息D.附件名称为“订单详情.exe”“通知.docm”等可执行或带宏的文件答案：ABCD12.数据脱敏是数据安全防护的重要手段，下列属于常见脱敏规则的有______。A.手机号中间4位替换为*号B.身份证号仅保留前6位和后4位C.对精确地址进行模糊化处理，仅保留到区县层级D.对交易金额添加随机偏移值，用于测试环境数据使用答案：ABCD13.工业控制系统安全防护的核心原则包括______。A.安全分区B.网络专用C.横向隔离D.纵向认证答案：ABCD14.下列关于个人信息权益保护的做法，符合法律规定的有______。A.个人有权向个人信息处理者查阅、复制其个人信息B.个人发现个人信息不准确的，有权请求更正、补充C.个人有权要求个人信息处理者删除违反法律规定收集的个人信息D.个人有权随时撤回之前作出的个人信息处理同意，个人信息处理者应当提供便捷的撤回渠道答案：ABCD15.常见的云安全风险包括______。A.云平台配置错误导致存储桶公开可访问B.多租户环境下的隔离失效C.云服务账号被盗用导致资源被滥用D.云服务商出现服务中断影响业务可用性答案：ABCD三、判断题（共20题，每题1分，对的打√，错的打×）1.为了方便记忆，可以将工作系统的密码和个人社交、购物平台的密码设置为同一个。（×）答案解析：多平台复用密码一旦某个平台发生数据泄露，会导致所有关联账号面临被盗风险，应当做到不同平台使用独立密码。2.收到银行官方号码发送的短信链接，可以直接点击进入操作，不会有安全风险。（×）答案解析：攻击者可以利用伪基站技术伪造任意发件人号码发送钓鱼短信，即使显示为官方号码也应当核实域名后再操作，优先使用官方APP访问相关业务。3.等保2.0实施后，企业不需要再做等级保护定级、备案工作，直接自行建设防护措施即可。（×）答案解析：等保2.0要求运营者依法履行定级、备案、建设整改、等级测评、监督检查的法定流程。4.SM2算法是我国自主研发的非对称公钥密码算法，可用于数字签名、密钥协商等场景。（√）5.数据备份只要做了云端备份就足够，不需要做离线冷备份。（×）答案解析：云端备份如果遭遇勒索病毒加密、云服务故障等情况可能导致备份失效，重要数据应当按照“3-2-1”备份原则（3份副本、2种存储介质、1份离线异地备份）开展备份工作。6.只要安装了杀毒软件，电脑就绝对不会感染恶意程序。（×）答案解析：杀毒软件依赖病毒特征库识别恶意程序，无法完全防御0day漏洞攻击、定制化恶意程序，还需要配合漏洞修复、安全意识提升等综合防护措施。7.个人信息处理者处理不满14周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。（√）8.企业在开展安全测试时，可以直接对公共互联网上的任意系统开展漏洞扫描，不需要获得授权。（×）答案解析：未经授权对他人信息系统开展漏洞扫描、渗透测试属于违法行为，可能违反《网络安全法》《刑法》相关规定。9.宏病毒是一种寄存在Office文档宏代码中的恶意程序，开启“禁用所有宏”功能可以有效防范这类风险。（√）10.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当依法通过国家网信部门会同国务院有关部门组织的国家安全审查。（√）11.防火墙可以100%阻挡所有外部网络攻击。（×）答案解析：防火墙只能按照预设规则过滤流量，无法防护内部攻击、0day漏洞攻击、加密流量中的恶意代码等风险。12.弱口令是企业内网最常见的安全风险之一，常见弱口令包括“admin@123”“P@ssw0rd”“公司名+123”等容易被爆破的组合。（√）13.向他人出售公民个人信息，无论数量多少都不会触犯刑法，仅需要承担民事责任。（×）答案解析：根据《刑法》第二百五十三条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的构成侵犯公民个人信息罪，需要承担刑事责任。14.企业内部网络是完全安全的，不需要做访问控制和流量监测。（×）答案解析：网络攻击越来越多通过钓鱼邮件等方式从内部终端突破边界，内网也需要部署微隔离、内网流量监测等防护措施，防范横向移动攻击。15.启用双因素认证（2FA）可以大幅降低账号被盗风险，即使密码泄露，攻击者没有第二个验证因子也无法登录账号。（√）16.废弃的旧电脑、旧硬盘直接卖给废品回收站即可，不需要对存储数据进行消磁或物理销毁。（×）答案解析：未彻底清除数据的存储介质被丢弃后，可能被不法分子恢复数据导致敏感信息泄露，存储敏感数据的介质报废时应当采用消磁、物理粉碎等方式彻底销毁数据。17.生成式人工智能服务提供者应当依法履行网络信息安全义务，采取有效措施防止生成虚假有害信息。（√）18.跨站请求伪造（CSRF）攻击可以在用户不知情的情况下，利用用户已登录的身份权限执行非授权操作。（√）19.只要是从正规应用商店下载的APP，就不存在违规收集个人信息的问题。（×）答案解析：部分上架应用商店的APP也可能存在超范围收集个人信息、内置恶意SDK等问题，安装时仍然需要注意权限申请情况，拒绝非必要权限。20.网络安全是技术部门的工作，和公司其他部门员工没有关系。（×）答案解析：网络安全人人有责，员工的安全意识是防护链条中最重要的环节，所有员工都应当掌握基础网络安全知识，遵守安全管理制度。四、简答题（共3题，每题10分）1.简述《网络安全法》规定的网络运营者应当履行的安全保护义务。答案：（1）落实网络安全等级保护制度，制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（2分）（2）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（2分）（3）采取监测、记录网络运行状态、网络安全事件的技术措施，按照规定留存相关网络日志不少于6个月；（2分）（4）采取数据分类、重要数据备份和加密等措施；（2分）（5）法律、行政法规规定的其他义务，包括及时处置安全风险、发生网络安全事件时立即启动应急预案、配合监管部门监督检查等。（2分）2.简述企业防范钓鱼邮件攻击的综合性管控措施。答案：（1