2026年网络安全应急响应处置人员试题

2026年网络安全应急响应处置人员试题一、单项选择题（每题2分，共30分）1.应急响应流程PDCERF模型中，第一步通常是？A.检测B.准备C.抑制D.恢复答案：B解析：PDCERF模型按准备、检测、抑制、根除、恢复、跟进顺序展开，准备是第一阶段。2.Windows安全日志中，事件ID4625表示？A.账户成功登录B.账户登录失败C.账户注销D.特权分配答案：B3.在Linux系统中，查看当前已建立的网络连接并显示对应进程信息，最佳命令是？A.ifconfigB.netstat-anC.ss-tunapD.psaux答案：C解析：ss-tunap可显示TCP/UDP连接、端口及对应进程，比netstat-an更高效且满足进程信息需求。4.下列工具中，主要用于内存取证分析的是？A.WiresharkB.VolatilityC.NmapD.Autopsy答案：B解析：Volatility是主流内存取证框架，用于分析内存镜像中的进程、网络连接等。5.应急响应“抑制”阶段的首要目标是？A.彻底清除恶意程序B.恢复业务系统C.限制事件影响范围并防止恶化D.追踪攻击者答案：C6.以下关于钓鱼邮件的说法，错误的是？A.攻击者常伪造发件人地址B.邮件中链接域名可能与官方域名高度相似C.使用HTTPS的链接一定安全D.邮件常制造紧迫感催促点击答案：C解析：HTTPS仅保证传输加密，不能证明网站本身可信，钓鱼网站同样可使用HTTPS。7.Windows系统中，持久化启动项通常位于注册表的哪个键？A.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunB.HKEY_CURRENT_USER\ControlPanel\DesktopC.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ParametersD.HKEY_CLASSES_ROOT\exefile\shell答案：A8.在进行磁盘镜像取证时，为保证原始数据不被修改，应使用？A.直接复制磁盘分区B.写保护设备或硬件只读锁C.使用杀毒软件扫描后复制D.在目标系统上运行镜像工具答案：B9.以下哪种哈希算法目前不推荐用于证据完整性校验？A.SHA-256B.SHA-3C.MD5D.SHA-512答案：C解析：MD5已存在碰撞攻击，不再适合作为完整性校验的安全手段，推荐SHA-256及以上。10.Windows中记录PowerShell脚本块日志，用于检测恶意脚本的事件ID是？A.1102B.4104C.4688D.7045答案：B11.关于证据保管链（ChainofCustody），以下哪项做法是错误的？A.记录证据从收集到法庭提交的全过程B.每次移交由交接双方签字确认C.原始证据可随意复制并分发给无关人员D.存储介质应密封并防止篡改答案：C12.Linux系统中，用户密码哈希通常存储在哪个文件？A./etc/passwdB./etc/shadowC./etc/groupD./var/log/auth.log答案：B13.在HTTP流量中，Webshell外联通信最不可能出现以下哪种特征？A.请求URL包含eval或base64_decode等敏感函数名B.POST数据包含加密payloadC.访问正常业务页面频率显著异常D.所有流量均使用标准端口且内容完全正常答案：D14.关于内存取证，下列说法正确的是？A.内存易失，关机后数据丢失，所以应尽快采集B.内存数据不会包含网络连接信息C.内存取证必须在系统运行时进行，但无需考虑工具可靠性D.内存镜像文件比磁盘镜像小，因此不具证据价值答案：A15.以下哪种日志最可能记录Web服务器访问请求和响应状态？A.Windows安全日志B.Linuxauth.logC.Apacheaccess.logD.防火墙日志答案：C二、多项选择题（每题2分，共10分）1.下列属于应急响应PDCERF模型阶段的有？A.准备B.检测C.抑制D.根除E.代码审计F.跟进答案：ABCDF解析：PDCERF模型包括准备、检测、抑制、根除、恢复、跟进六个阶段，代码审计不属于该模型阶段。2.下列哪些属于OWASPTop10（2021）中的安全风险？A.SQL注入B.跨站脚本（XSS）C.服务器机房温湿度异常D.安全配置错误E.敏感数据泄露答案：ABDE解析：服务器机房温湿度异常属于物理安全范畴，不属于OWASPTop10应用安全风险。3.内存取证通常可以获得以下哪些信息？A.正在运行的进程列表B.已加载的内核模块C.网络连接状态D.进程打开的文件句柄E.磁盘未分配空间中已删除的文件答案：ABCD解析：磁盘未分配空间中的文件属于磁盘取证范畴，内存取证主要针对易失性数据。4.下列哪些是DDoS攻击常见类型？A.SYNFloodB.UDPFloodC.DNS反射放大攻击D.HTTPFloodE.ARP欺骗答案：ABCD解析：ARP欺骗通常用于局域网中间人攻击，不直接归为DDoS攻击类型。5.在Windows安全日志中，以下哪些事件ID与账户认证相关？A.4624B.4625C.4648D.4672E.4688答案：ABCD解析：4624成功登录、4625登录失败、4648显式凭据登录、4672分配特殊权限均与认证过程相关；4688是进程创建事件。三、判断题（每题1分，共10分）1.发现主机被入侵后，应立即关闭主机电源以保护磁盘证据。答案：错误解析：直接断电会丢失内存等易失性证据，应先按易失性顺序采集内存信息，否则可能破坏重要线索。2.在数字取证中，对原始证据进行哈希校验时应优先使用SHA-256算法。答案：正确3.在Linux系统中，/var/log目录通常用于存放系统日志文件。答案：正确4.Windows事件日志默认存储在C:\Windows\System32\winevt\Logs目录下。答案：正确5.防火墙日志能够完整记录所有应用层攻击行为。答案：错误解析：防火墙主要工作在网络层和传输层，对加密流量或应用层攻击的检测能力有限。6.在应急响应中，对恶意样本进行动态分析时，应在物理隔离或受控的沙箱环境中运行。答案：正确7.网络流量中出现大量TCPSYN数据包但未见最终ACK完成握手，可能是SYNFlood攻击。答案：正确8.内存取证的镜像文件应通过硬件写保护或专用工具采集，以避免修改原始证据。答案：正确9.钓鱼邮件中的链接只要使用了HTTPS协议，就一定是安全的。答案：错误10.应急响应结束后，可以不编写应急响应报告。答案：错误四、简答题（每题5分，共20分）1.简述PDCERF应急响应模型各阶段的含义。答案：P（准备）：提前制定响应计划、组建团队、部署监控与取证工具；D（检测）：发现并确认安全事件；C（抑制）：采取隔离、断网等措施限制事件影响范围；E（根除）：彻底清除恶意代码、后门、攻击路径并修复漏洞；R（恢复）：恢复系统与业务至正常状态；F（跟进）：复盘总结，改进安全策略与响应能力。2.简述主机被入侵后，应优先收集的易失性证据（至少列举4类并按易失性从高到低排序）。答案：按易失性从高到低依次为：CPU寄存器与缓存、内存（物理内存镜像）、网络连接状态、正在运行的进程、打开的端口、登录会话、临时文件系统（如/tmp）等。实际处置中应优先采集内存镜像、netstat连接信息、进程列表、登录账户等易失数据。3.简述判断钓鱼邮件的常见特征（至少4个）。答案：发件人地址伪造或使用相似域名；邮件内容带有紧急威胁或利益诱惑；包含不明链接或附件；链接实际指向与显示文本不一致；邮件存在拼写错误或语法不通；要求提供账号密码等敏感信息；邮件头中SPF/DKIM验证失败等。4.简述Windows安全日志中事件ID4624和4625的含义，并说明它们在应急响应中的价值。答案：4624表示账户成功登录，4625表示账户登录失败。通过分析4625的大量连续失败记录可发现暴力破解攻击；通过4624的登录类型、源IP、账户名和时间等信息可判断攻击者是否成功入侵、是否发生横向移动以及攻击来源。五、案例分析题（每题15分，共30分）1.某公司对外提供服务的Web服务器首页被篡改，并发现存在可疑Webshell文件。请描述应急响应处置流程，并说明如何固定证据。答案：(1)检测与确认：核实篡改内容，记录发现时间、影响页面、文件路径，确认Webshell存在；(2)抑制：将服务器从网络隔离或限制外部访问，防止Webshell外联或进一步攻击，避免直接关机或重启；(3)证据固定：对服务器进行内存镜像和磁盘镜像，计算哈希值；完整保存Web访问日志、系统日志、可疑Webshell文件副本、网络连接快照；建立证据保管链；(4)根除：分析Webshell特征和利用路径，删除恶意文件，修复漏洞，重置相关账户密码，排查其他后门；(5)恢复：从可信备份恢复网页文件，验证业务功能正常，重新部署安全基线；(6)跟进：编写应急响应报告，总结攻击原因，完善监控与防护措施。解析：本案例考察完整PDCERF流程，重点在于抑制与证据固定的关系：不能直接格式化或关机，否则会丢失内存中的易失性证据，也难以追踪攻击者。2.某企业内网多台服务器文件被加密，桌面弹出勒索信息，疑似勒索病毒爆发。请描述应急处置步骤，包括抑制、根除、恢复及后续防范。答案：(1)隔离与抑制：立即断开受害服务器网络连接，阻断勒索病毒横向扩散；检查其他主机，隔离可疑主机；禁用受感染账户，修改共享密码，关闭不必要的端口和服务；(2)取证分析：保存加密文件样本、勒索信息、系统日志、内存镜像等，确认勒索病毒家族