2026年重大活动网络安全保障考试题

2026年重大活动网络安全保障考试题一、单项选择题（每题2分，共15题，共30分）1.重大活动网络安全保障工作通常划分为准备、临战、实战和总结四个阶段，其中"实战阶段"的核心任务是（）。A.制定保障方案和应急预案B.开展漏洞扫描和渗透测试C.落实7×24小时值班值守与监测处置D.组织复盘总结并固化成果答案：C解析：准备阶段侧重方案制定与应急演练，临战阶段侧重检查整改与风险清零，实战阶段以监测预警、值班值守和应急处置为核心，总结阶段开展复盘固化。2.依据《网络安全法》，关键信息基础设施的运营者在境内运营中收集和产生的个人信息和重要数据，因业务需要确需向境外提供的，应当依法进行（）。A.安全评估B.等保测评C.渗透测试D.代码审计答案：A解析：《网络安全法》第三十七条规定，关键信息基础设施运营者确需向境外提供数据的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。3.下列哪项不属于重保前开展资产梳理的目的（）。A.摸清互联网暴露面B.识别僵尸资产和未知资产C.收敛攻击面D.提升业务访问速度答案：D解析：资产梳理服务于安全防护，目的是摸清底数、发现风险、收敛暴露面，与业务性能优化无关。4.重保值班期间，安全监测人员发现疑似网络安全事件，正确的做法是（）。A.先观察一段时间再决定是否报告B.按应急预案先行处置并同步上报C.自行修复后补报D.等待领导指示后再处理答案：B解析：重保期间实行"边处置边报告"原则，不得迟报、漏报、瞒报，也不得擅自处置后不报告。5.在重大活动网络安全保障中，"0-day漏洞（零日漏洞）"是指（）。A.已公开但尚未修复的漏洞B.尚未公开且厂商未发布补丁的漏洞C.危害等级为低危的漏洞D.只能在物理接触条件下利用的漏洞答案：B解析：0-day漏洞指在公开披露和补丁发布前即被攻击者掌握的漏洞，因无防护手段而危害极大。6.在DDoS攻击防护中，"近源清洗"是指（）。A.在本地机房部署流量清洗设备B.在骨干网运营商侧部署清洗节点，靠近攻击源进行流量过滤C.通过增加服务器数量分摊流量D.仅依赖服务器自带的防火墙答案：B解析：近源清洗将清洗能力下沉到骨干网和运营商侧，在攻击流量进入目标网络前完成过滤，可有效减轻链路拥塞。7.依据《国家网络安全事件应急预案》，网络安全事件划分为（）。A.2级B.3级C.4级D.5级答案：C解析：网络安全事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）四级。8.重保期间，安全监测发现某重点网站首页被篡改并植入非法链接，正确的处置顺序是（）。A.备份现场数据，隔离下线，分析溯源，修复后恢复上线B.直接格式化磁盘后重新发布网站C.不向任何人报告，自行删除非法链接D.先恢复业务，事后补做日志分析答案：A解析：处置必须坚持"先取证、后处置、再恢复"，直接格式化或先恢复业务都会破坏证据、扩大影响。9.依据网络安全等级保护制度要求，第三级信息系统开展等级测评的频次应为（）。A.每半年至少一次B.每年至少一次C.每两年至少一次D.无需开展答案：B解析：等保2.0制度要求第三级及以上信息系统每年至少开展一次等级测评，第二级系统一般每两年一次。10.下列技术手段中，最适合用于发现内网主机与外部地址之间隐蔽隧道通信的是（）。A.Web应用防火墙B.全流量分析系统C.漏洞扫描器D.网页防篡改系统答案：B解析：全流量分析系统通过对流量元数据和载荷的深度解析，可发现DNS隧道、ICMP隧道等异常通信模式。11.重保期间，某业务系统出现大量异常登录失败记录，随后出现一次成功登录。最应优先采取的措施是（）。A.忽略该事件B.立即修改口令并核查该账号后续操作C.重启数据库D.卸载安全软件答案：B解析：大量失败后出现成功登录，高度疑似暴力破解成功，应立即重置口令并核查账号行为，防止横向扩散。12.关于防范钓鱼邮件，下列说法错误的是（）。A.不随意点击邮件中的可疑链接和附件B.不在不明网站输入账号口令C.可将可疑邮件转发给同事帮助确认D.发现钓鱼邮件应及时报告安全团队答案：C解析：转发可疑邮件会扩大钓鱼攻击的受害面，正确做法是直接报告安全团队，由专业人员研判处置。13.下列哪类材料在网络安全事件溯源取证中的法律效力相对较弱（）。A.流量分析系统留存的全量原始报文B.服务器登录日志和数据库审计记录C.仅保存的安全设备告警截图D.Web应用防火墙记录的原始攻击请求日志答案：C解析：截图易于被篡改、完整性难以证明；原始报文、系统日志和审计记录具有更好的客观性与不可抵赖性。14.重保实战期间，发现某Web服务器被植入网页木马，安全团队立即对该服务器的外网访问进行隔离。该处置措施属于应急响应中的（）。A.检测与分析B.抑制C.根除D.恢复答案：B解析：抑制（Containment）指通过封禁、隔离、下线等手段控制事件影响范围，防止事态扩大，与根除、恢复阶段相区分。15.依据《数据安全法》，国家建立（）制度，对数据实行分类分级保护。A.数据全流程安全管理制度B.数据分类分级保护制度C.数据跨境流动评估制度D.数据加密存储制度答案：B解析：《数据安全法》第二十一条明确规定，国家建立数据分类分级保护制度，并据此确定重要数据目录实施重点保护。二、多项选择题（每题3分，共10题，共30分；多选、错选、漏选均不得分）1.重大活动网络安全保障方案通常包括下列哪些内容（）。A.组织机构与职责分工B.保障范围与重点对象清单C.监测预警与应急响应流程D.值班值守安排与联络机制E.业务系统完整源代码答案：ABCD解析：保障方案聚焦组织、对象、流程、值守等保障要素，不包含业务系统源代码，E明显不属于方案内容。2.重保前，对重点保障系统开展安全自查时，常用的技术检查手段包括（）。A.漏洞扫描B.渗透测试C.安全基线核查D.源代码审计E.业务数据迁移答案：ABCD解析：漏洞扫描、渗透测试、基线核查和代码审计均为典型的安全检测手段；业务数据迁移与安全检查无关。3.下列属于Web应用常见攻击类型的有（）。A.SQL注入B.XSS跨站脚本攻击C.CSRF跨站请求伪造D.文件上传漏洞利用E.ARP欺骗答案：ABCD解析：ABCD均为针对Web应用的经典攻击方式；ARP欺骗属于内网链路层攻击，不属于Web应用攻击范畴。4.重大活动保障期间，加强供应链与第三方安全管理的主要措施包括（）。A.对软硬件供应商开展安全背景评估B.对第三方运维人员实行最小权限授权并全程审计C.对采购上线的软硬件产品进行安全检测D.与供应商签订安全保密协议E.拒绝所有供应商人员入场答案：ABCD解析：E过于绝对，保障期间对必要的外部人员应严格管控而非一律拒绝，重点在于"管住"而不是"堵死"。5.关于重保期间的日志管理，下列说法正确的有（）。A.网络日志留存时间不少于6个月B.日志应覆盖登录行为、系统操作、网络流量等关键环节C.日志应采取防篡改、防删除措施D.只需在发生安全事件后才开始记录日志E.应对设备开启时间同步，保证日志时间一致性答案：ABCE解析：《网络安全法》规定网络日志留存不少于6个月；D错误，日志应全过程持续记录，而非事后补录。6.下列属于攻击者常用隐蔽隧道与隐蔽传输技术的有（）。A.DNS隧道B.ICMP隧道C.通过明文HTTP批量传输大文件D.SSH反向隧道E.利用合法CDN域名中转数据答案：ABDE解析：隐蔽隧道旨在将恶意流量伪装成正常通信以规避检测；C中明文HTTP传输无隐蔽性，易被安全设备识别。7.重保期间发现网站被挂马，正确的处置措施包括（）。A.第一时间将被挂马页面隔离下线并保留现场B.提取恶意代码样本开展分析，判断挂马规模与来源C.排查并修复被利用的漏洞D.对本单位其他网站和系统开展同类排查E.立即重装系统，无需保留任何数据答案：ABCD解析：挂马通常具有批量性，须同源排查；E错误，重装系统前必须保留证据，否则将严重影响溯源分析。8.按照网络安全应急响应的一般模型，应急响应过程的主要阶段包括（）。A.准备B.检测与分析C.抑制、根除与恢复D.事件后总结E.追责处罚答案：ABCD解析：E不属于应急响应的标准阶段，事后追责属于管理与法务范畴，应急响应模型的核心是准备、检测分析、抑制、根除、恢复和总结的闭环。9.依据《关键信息基础设施安全保护条例》，运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人B.对关键信息基础设施每年至少进行一次网络安全检测和风险评估C.定期对从业人员开展网络安全教育培训D.制定网络安全事件应急预案并定期进行应急演练E.可自行决定不向主管部门报告安全事件答案：ABCD解析：E错误，条例明确要求运营者发生安全事件后按规定向主管部门报告，不得隐瞒不报。10.关于重保期间的人员与权限管理，下列说法正确的有（）。A.实行最小权限原则，按岗位职责授权B.对离场人员及时回收门禁、账号和VPN权限C.对外部运维人员实行陪同作业与操作审计D.允许临时人员在无审批情况下接入内网E.关键岗位设置AB角备份，防止人员缺位答案：ABCE解析：D严重违反重保管理要求。临时接入必须履行审批、最小授权和全程审计，任何人员不得无审批接入内网。三、判断题（每题1分，共10题，共10分）1.重大活动网络安全保障只需关注互联网暴露面，内网安全可以忽略。答案：错误2.重保期间发生网络安全事件时，可以等待事件处置完毕后再向主管部门报告。答案：错误解析：应坚持"边处置边报告"，第一时间报告，不得迟报、漏报、瞒报。3.部署了网页防篡改系统后，就无需再部署Web应用防火墙。答案：错误解析：两者能力互补，防篡改保障内容完整性，WAF防御Web应用攻击，不能相互替代。4.重保期间，对生产系统开展漏洞扫描不会影响业务运行，可以随时进行。答案：错误解析：漏洞扫描可能消耗系统资源并触发业务异常，应安排在业务低峰期并做好应急预案。5.《网络安全法》规定，网络运营者应当采取技术措施，并按照规定留存相关的网络日志不少于六个月。答案：正确6.重保值班期间，安全监测人员发现疑似攻击行为后，可以自行决定是否上报。答案：错误解析：监测发现异常必须按规定流程上报研判，不得擅自决定。7.防御DDoS攻击只能通过增加带宽实现。答案：错误解析：除带宽扩容外，还可采用流量清洗、近源清洗、CDN防护、黑洞路由等组合手段。8.零信任安全模型的核心思想是"从不信任，始终验证"。答案：正确解析：零信任默认不信任任何访问主体，对所有访问请求进行持续验证和最小授权。9.重保结束后，所有安全策略和账号权限可以立即全部放开，不需要回收。答案：错误解析：总结阶段应及时回收临时账号与权限，关闭临时策略，防止留下后门和隐患。10.钓鱼攻击只针对普通网民，不会针对重大活动保障单位的工作人员。答案：错误解析：重大活动期间，攻击者常针对保障单位人员实施鱼叉式钓鱼和社会工程学攻击，是重点防范对象。四、简答题（每题5分，共4题，共20分）1.简述重大活动网络安全保障中"资产梳理"的主要对象和目的。答案：（1）主要对象：网络设备、主机服务器、业务应用系统、Web站点、域名与IP地址、API接口、数据库与数据资产、安全设备，以及第三方外包和供应链相关资产等。（2）主要目的：全面摸清资产底数，识别未知资产、僵尸资产和"影子IT"，发现并收敛互联网暴露面，为安全加固、策略配置、监测预警和应急处置提供完整的基础台账。解析：本题按要点给分，答出资产对象得2分，答出目的得3分，意思相近、表述完整即可得分。2.简述网络安全事件应急响应的一般处置流程。答案：一般按照"准备—检测与分析—抑制—根除—恢复—总结"的闭环流程开展：（1）准备：制定应急预案，组建应急队伍，储备应急物资并开展演练；（2）检测与分析：通过监测手段发现事件，研判事件类型、影响范围和危害程度；（3）抑制：采取封禁、隔离、下线等措施，控制影响范围，防止事态扩大；（4）根除：清除恶意代码和后门，修补漏洞，消除事件根源；（5）恢复：在确认安全后恢复系统业务，并持续观察运行状态；（6）总结：开展复盘分析，完善防护措施与应急预案。解析：本题按要点给分，答出完整闭环框架得1分，六个阶段核心任务各占约0.7分，表述准确、顺序合理即可得满分。3.重保期间，网站被篡改后恢复上线前，应完成哪些工作？答案：（1）保留现场：备份被篡改页面、恶意代码样本及相关日志，做好证据固定；（2）清除后门：排查并清除网站中的webshell、木马、可疑账号和后门程序；（3）修复漏洞：定位并修复被攻击者利用的漏洞，加固服务器和应用配置；（4）重置口令：修改网站后台、数据库、服务器等高权限账号口令；（5）安全检测后恢复：开展全量漏洞扫描和恶意代码查杀，确认安全后恢复上线并持续加强监测。解析：本题按要点给分，5个要点各1分，强调"先取证、后处置、再恢复"的正确顺序。4.简述《数据安全法》确立的数据分类分级保护制度的基本要求。答案：《数据安全法》规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据实施重点保护。解析：本题按要点给分，答出制度总体要求得2分，答出分级依据（重要程度与危害程度）得1.5分，答出重要数据目录重点保护得1.5分。五、案例分析题（共10分）某重大活动保障期间，某重点保障单位值班人员通过安全监测平台发现以下异常：（1）14时32分，某对外服务网站出现大量来自境外IP的端口扫描流量；（2）14时47分，该网站首页被篡改，页面显示异常宣传内容；（