2026年网络安全基础认知竞赛试题及答案

2026年网络安全基础认知竞赛试题及答案一、单项选择题（每题1分，共10分）1.根据2025年修订的《生成式人工智能服务管理暂行办法》，下列哪类主体不需要作为责任主体履行网络安全等级保护2.0制度的相关要求？A.提供公开生成式AI服务的头部互联网平台企业B.面向公众提供免费生成式AI绘图服务的个人开发者C.仅在本单位内部面向员工提供生成式AI办公工具，不对外提供任何服务的企业内部研发部门D.为生成式AI服务提供公共算力租赁服务的第三方IDC运营商答案：C2.网络安全基础属性中，“真实性”指的是以下哪项特性？A.信息在存储传输过程中不被未授权篡改，始终保持一致B.未授权用户无法访问获取敏感信息，信息不会泄露C.通信实体的身份、信息来源可被确认为其所声称的状态D.系统和服务可被合法用户持续正常访问，不会中断答案：C3.下列哪种攻击属于生成式人工智能训练阶段的数据投毒攻击？A.在大模型推理阶段构造特殊提示词注入，绕过安全规则诱导模型生成有害内容B.在预训练数据中插入大量带后门标记的污染样本，使得模型触发对应标记时输出攻击者预设内容C.修改输入图片的微量像素生成对抗样本，诱导AI图像识别模型输出错误分类结果D.调用大模型公开API接口多次交互，窃取模型权重参数实现模型复刻答案：B4.根据网络安全等级保护2.0制度要求，第三级网络/系统的运营者应当至少多久开展一次正式的等级测评？A.半年B.1年C.2年D.3年答案：B5.零信任架构的核心设计原则不包括以下哪项？A.永不信任，始终验证B.默认信任企业内部边界内的所有访问请求C.基于身份的细粒度授权D.假定内部网络已经被攻破答案：B6.根据我国《数据安全法》以及《数据分类分级规则》国家标准，关系国家安全、国民经济命脉、重要民生、重大公共利益的最高敏感级别数据属于哪一级？A.核心数据B.重要数据C.敏感数据D.一般数据答案：A7.下列哪种攻击属于典型的鱼叉式钓鱼攻击？A.向企业所有员工群发包含恶意附件的钓鱼邮件，诱导任意用户点击B.针对企业CFO量身定制邮件内容，伪造公司合作银行的身份发送带恶意链接的对账邮件C.在公共场所搭建免费WiFi窃听用户明文传输的账号密码D.将恶意代码注入正规网站的首页，使得所有访问该网站的用户设备被感染答案：B8.当前HTTPS协议已淘汰下列哪种不安全的加密协议？A.TLS1.2B.TLS1.3C.SSL3.0及更早版本D.QUIC加密层答案：C9.应对勒索病毒攻击，当前业界普遍认可的正确做法是？A.直接支付勒索赎金获取解密密钥，保证数据快速恢复B.中毒后立即格式化所有存储介质，不需要尝试数据恢复C.提前采用3-2-1备份策略存储离线备份，中毒后通过备份恢复数据D.关闭所有外部网络访问，禁止任何外部数据传入企业网络答案：C10.以下哪项不属于智能家居物联网设备常见的安全隐患？A.设备出厂自带默认密码，用户未修改被暴力破解B.设备无固件更新机制，存在已知漏洞无法修复C.设备采集的用户隐私数据未加密就上传厂商服务器D.设备本地算力不足，无法运行端侧大模型应用答案：D二、多项选择题（每题2分，共20分）1.生成式人工智能带来的新型网络安全风险包括以下哪些？A.AI深度伪造诈骗，通过生成目标人物的音视频骗取信任实施诈骗B.AI辅助社会工程学攻击，自动生成高度逼真的钓鱼邮件内容C.模型提取攻击，窃取大模型训练数据中的敏感个人信息D.AI生成免杀恶意代码，降低攻击者实施攻击的技术门槛答案：ABCD2.网络安全等级保护2.0中，第三级系统安全管理中心要求包含以下哪几个核心模块？A.系统管理B.安全审计C.集中管控D.日志存储答案：ABC3.下列身份认证方式中，属于多因素认证的是？A.同时输入登录密码和手机短信验证码B.同时验证指纹和人脸两种生物特征C.刷银行卡加上输入支付密码D.IP地址加MAC地址绑定认证答案：ABC4.下列网络攻击类型中，属于被动攻击的是？A.窃听网络中传输的明文数据B.通过流量分析获取通信双方的通信频率和目标身份C.对服务器登录口令发起暴力破解D.中途篡改传输中的订单信息答案：AB5.根据我国《个人信息保护法》规定，处理敏感个人信息应当满足以下哪些条件？A.取得个人的单独同意B.具有特定的目的和充分的必要性C.采取严格的安全保护措施D.提前向当地网信部门申请备案答案：ABC6.零信任架构的核心关键技术包括以下哪几项？A.持续身份验证B.微分段网络隔离C.最小权限动态授权D.核心边界防火墙防护答案：ABC7.人工智能安全领域的对抗样本攻击可造成以下哪些危害？A.干扰自动驾驶的交通标志识别，导致识别错误引发行驶风险B.绕过人脸识别门禁系统，冒名通过身份验证入侵内部区域C.在用户原始作品中添加微量噪声，防止AI模型未经授权抓取训练D.诱导大模型生成符合需求的合法内容，提升大模型输出质量答案：ABC8.针对钓鱼攻击的有效防护措施包括以下哪些？A.定期对员工开展钓鱼演练和安全培训，提升安全意识B.部署邮件安全网关，对发件人身份、附件、链接进行安全检测C.要求所有重要业务账户开启多因素认证，降低密码泄露后的风险D.禁止员工接收任何外部邮件，仅允许内部邮件通信答案：ABC9.网络安全应急响应的完整流程包含以下哪些阶段？A.安全监测与预警B.攻击遏制与风险清除C.系统恢复与业务重建D.事后复盘与规则优化答案：ABCD10.下列操作中，可以有效降低家用WiFi网络安全风险的是？A.修改路由器的默认管理地址和管理员密码B.开启WPA3加密协议替代老旧的WPA2协议C.关闭WPS快速配对功能，防止暴力破解D.分离访客网络和家庭内部网络，禁止访客访问内网资源答案：ACD三、判断题（每题1分，共10分）1.网络安全中的保密性指的是信息不被未授权篡改的特性。（）答案：错误2.国家对关键信息基础设施实行重点保护，关键信息基础设施运营者应当每年至少开展一次容灾备份演练。（）答案：正确3.提示词注入攻击是针对生成式大模型的常见攻击方式，攻击者通过构造特殊提示词绕过安全对齐，诱导模型生成有害内容。（）答案：正确4.跨站脚本攻击（XSS）只能窃取用户会话Cookie，无法篡改网页内容。（）答案：错误5.零信任架构仅适用于大型企业，中小微企业不需要部署轻量化零信任防护体系。（）答案：错误6.根据我国《网络安全法》规定，网络运营者应当对收集的用户信息严格保密，建立健全用户信息保护制度。（）答案：正确7.DDoS攻击的核心目的是通过消耗目标系统的带宽和资源，使得合法用户无法正常访问目标服务。（）答案：正确8.只要安装了主流杀毒软件，就可以完全防范所有类型的恶意代码攻击。（）答案：错误9.我国《数据出境安全评估办法》规定，核心数据出境必须申报安全评估，重要数据出境也需要按照相关要求履行合规程序。（）答案：正确10.SQL注入攻击通过在用户输入中插入恶意SQL语句，欺骗服务器执行非授权操作，窃取数据库中的敏感信息。（）答案：正确四、简答题（每题10分，共40分）1.简述网络安全三要素保密性、完整性、可用性的基本含义。答案：网络安全三要素是支撑网络安全防护的核心基础，各自含义如下：第一，保密性，指网络信息不被未授权主体访问、披露和使用的特性，核心是防止敏感信息泄露给无关人员，例如用户的支付密码、企业的商业机密、国家的涉密信息都需要满足保密性要求，一般通过数据加密、访问控制、权限分级等技术保障保密性。第二，完整性，指网络信息在存储、传输和使用的全流程中，不被未授权主体篡改、破坏、删减的特性，保证信息从生成到接收使用全流程的一致性和准确性，一般通过哈希校验、数字签名、传输层加密校验等技术保障完整性，防止攻击者中途篡改信息内容误导接收方。第三，可用性，指合法用户需要访问信息或者使用系统服务时，能够正常获得对应服务，不会因为攻击、故障等原因导致服务无法访问的特性，可用性是网络服务提供价值的基础，一般通过负载均衡、容灾备份、DDoS防护、集群部署等技术保障可用性，支撑业务持续稳定运行。2.简述什么是深度伪造，列举2种深度伪造在网络安全领域的典型危害。答案：深度伪造是指利用生成式对抗网络、大语言模型、扩散模型等人工智能技术，对文本、图像、音频、视频等内容进行自动生成、编辑和合成，得到高度逼真内容的技术。深度伪造在网络安全领域的典型危害包括：第一，AI诈骗，攻击者可以收集目标人物公开的音视频资料，生成目标亲友、领导、金融机构工作人员的伪造音视频，骗取受害者信任，进而实施诈骗，2025年国内多地发生多起AI深度伪造诈骗案件，单案涉案金额最高超过千万元，已经成为当前增长最快的电信诈骗类型之一。第二，舆论煽动与名誉侵权，攻击者可以伪造公众人物、政治人物的不当言论视频或者图像，在网络平台大范围传播，破坏当事人民誉，甚至引发大规模网络舆论混乱，影响社会稳定，也可以批量生成伪造的热点事件内容，误导公众认知，制造网络对立。3.简述企业防范勒索病毒攻击的核心措施。答案：企业防范勒索病毒需要从技术、管理、流程多维度构建防护体系，核心措施包括：第一，建立符合3-2-1原则的数据备份体系，即保留3份不同版本的核心数据，存储在2种不同类型的存储介质上，其中至少1份备份存储在离线、不可写的隔离介质中，避免备份数据也被勒索病毒加密，当中毒后可以通过备份快速恢复数据，不需要支付赎金，同时定期开展备份恢复演练，确保备份可用。第二，建立常态化漏洞管理机制，定期对企业终端、服务器、网络设备进行漏洞扫描，及时更新系统补丁和固件，关闭不必要的对外端口和服务，关闭不必要的远程访问权限，避免攻击者利用未修复的漏洞入侵企业网络传播勒索病毒。第三，提升员工安全意识，定期开展钓鱼攻击演练和安全培训，提醒员工不要随意点击陌生链接、下载陌生附件，不要从非官方渠道下载软件，切断勒索病毒最常见的社会工程学入口。第四，部署分层防护体系，在网络边界部署下一代防火墙，在邮件入口部署邮件安全网关，在终端部署EDR终端检测与响应系统，及时检测和阻断勒索病毒的入侵和传播，对异常批量加密操作进行自动拦截和告警。第五，实施最小权限访问控制和网络隔离，采用微分段技术隔离不同业务区域，限制普通用户的文件读写权限，避免攻击者入侵后横向移动，加密全企业所有核心数据。4.简述零信任的核心设计理念。答案：零信任是打破传统边界防护逻辑的新型网络安全架构，核心设计理念可以总结为三点：第一，永不信任，始终验证，零信任彻底抛弃了传统“内部安全、外部危险”的边界防护逻辑，不默认信任任何访问请求，无论是来自企业外部还是企业内部的访问请求，都需要对访问主体的身份、设备安全状态、访问环境进行全流程验证，不存在任何默认信任的访问主体。第二，最小权限访问，零信任遵循最小权限原则，仅给每个访问主体分配完成对应业务需求所必需的最小访问权限，不分配多余的权限，一旦访问主体完成业务需求就及时收回权限，避免攻击者入侵后利用过高权限横向移动，窃取更多核心资源。第三，持续评估动态调整，零信任不是一次验证就永久授权，而是会持续监测访问主体的行为、设备状态、环境变化，持续评估访问风险，动态调整访问权限，一旦发现异常行为或者风险，立即终止访问，及时处置风险，避免风险进一步扩散。五、综合分析题（共20分）某中型互联网企业开展面向C端用户的生活服务业务，累计收集了1200万用户的个人信息，包括姓名、手机号、身份证号、收货地址等敏感信息，2025年末企业新上线了基于大模型的智能客服系统，为了提升训练效果，直接使用了过往收集的用户和客服的历史对话数据作为训练数据，没有对数据做去敏处理。该企业将大模型系统部署在公有云服务器上，仅采用账号密码的方式管理服务器，没有开启其他认证方式，服务器的系统补丁平均每半年更新一次，也没有对核心数据和模型做离线备份，仅在公有云存储上保留了一份在线备份。请结合该场景回答问题：（1）该企业当前存在哪些主要的网络安全与数据安全风险？（2）针对这些风险给出对应的整改建议。答案：（1）该企业存在的安全风险主要有以下几类：第一，合规风险，该企业处理大量敏感个人信息，使用用户历史对话数据训练大模型，没有获得用户的单独同意，也没有做个人信息保护影响评估，违反了《个人信息保护法》和2025年修订的《生成式人工智能服务管理暂行办法》的合规要求，面临监管处罚的风险。第二，大模型安全风险，训练数据中包含大量未去敏的用户敏感个人信息，攻击者可以通过模型提取攻击、提示词注入等方式获取训练数据中的用户信息，造成大规模数据泄露，同时大模型没有做安全加固，容易被诱导生成有害内容，引发安全事件。第三，系统身份安全风险，公有云服务器仅采用密码认证，没有开启多因素认证，容易被暴力破解，攻击者可以轻易获取服务器权限，且管理端口一般对外开放，没有做IP访问限制，进一步提升了入侵风险。第四，漏洞管理风险，服务器系统补丁半年更新一次，大量高危漏洞会长期暴露在公网，攻击者可以利用已知漏洞轻易入侵系统。第五，数据备份风险，仅保留一份在线备份，如果发生勒索病毒攻击，备份数据也会被加密，无法恢复数据，会导致