2026年信息安全与网络治理考试试题及答案

2026年信息安全与网络治理考试试题及答案一、单项选择题（每题1.5分，共30分）1.在对称密码体制中，加密密钥与解密密钥的关系是（）。A.相同或容易相互推导B.完全不同且无法推导C.只有公钥部分相同D.仅在特定协议下相同答案：A解析：对称密码体制的特点是加密和解密使用相同密钥，或由一方容易推导出另一方。2.下列哪种算法属于非对称密码算法？（）A.AESB.SM4C.RSAD.DES答案：C3.在RSA算法中，若取p=3，q=A.20B.33C.24D.30答案：A解析：n=p×4.下列哪项不属于网络安全CIA三要素？（）A.机密性B.完整性C.可用性D.不可否认性答案：D解析：CIA三要素为机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。不可否认性属于网络安全扩展目标之一。5.以下哪种攻击方式属于拒绝服务攻击？（）A.SQL注入B.SYNFloodC.跨站脚本攻击D.中间人攻击答案：B解析：SYNFlood通过发送大量半连接请求耗尽目标系统资源，使合法用户无法访问服务，属于典型的拒绝服务攻击。6.防火墙工作在OSI模型的哪一层或哪些层？（）A.仅物理层B.仅应用层C.网络层及以上D.仅数据链路层答案：C解析：传统包过滤防火墙工作在网络层和传输层，状态检测防火墙可工作到应用层，因此防火墙一般工作在网络层及以上层次。7.下列关于数字签名的说法，正确的是（）。A.使用发送方私钥加密摘要生成数字签名B.使用接收方公钥加密摘要生成数字签名C.使用发送方公钥加密原文生成数字签名D.数字签名无法防止否认答案：A解析：数字签名使用发送方私钥对消息摘要进行加密，接收方用发送方公钥验证签名，可实现身份认证和防否认。8.根据《中华人民共和国网络安全法》，网络运营者应当如何处置用户个人信息？（）A.可以随意提供给第三方B.应当保密，不得泄露、篡改、毁损C.可长期保存而不删除D.经内部审批后即可公开答案：B9.《中华人民共和国数据安全法》自（）起施行。A.2017年6月1日B.2020年1月1日C.2021年9月1日D.2022年5月1日答案：C10.根据《中华人民共和国个人信息保护法》，处理个人信息前，个人信息处理者应当（）。A.向个人告知并取得其同意B.向监管部门备案C.对信息进行匿名化处理D.取得单位领导批准答案：A11.下列哪一项属于被动攻击？（）A.流量分析B.消息篡改C.拒绝服务D.重放攻击答案：A解析：被动攻击不修改数据，只进行监听和流量分析，难以被察觉；其余选项均属于主动攻击。12.在HTTPS协议中，TLS握手阶段用于协商密钥的算法是（）。A.仅对称加密算法B.仅哈希算法C.非对称加密算法结合对称加密算法D.仅流密码算法答案：C解析：TLS握手阶段使用非对称加密协商会话密钥，后续通信使用对称加密保证传输效率。13.以下哪个端口通常用于远程桌面协议（RDP）？（）A.21B.22C.3389D.443答案：C14.计算机病毒的特征不包括（）。A.传染性B.隐蔽性C.免疫性D.破坏性答案：C15.关于哈希函数的性质，下列说法错误的是（）。A.输入任意长度，输出固定长度B.具备抗原像攻击性C.不同输入可能产生相同输出且难以找到碰撞D.可以通过哈希值反推出原始消息答案：D解析：哈希函数是单向函数，计算上不可逆，无法从哈希值反推出原始消息。16.漏洞的生命周期顺序正确的是（）。A.发现→公开→修复→利用B.发现→利用→公开→修复C.发现→公开→利用→修复D.利用→发现→公开→修复答案：C解析：漏洞从被研究者发现，到公开披露，再到被攻击者利用，最后由厂商发布补丁修复，这是典型的生命周期顺序。17.以下哪项属于基于生物特征的身份认证方式？（）A.静态密码B.智能卡C.指纹识别D.USBKey答案：C18.网络钓鱼攻击的主要特征表现为（）。A.发送大量垃圾邮件占用带宽B.伪造可信来源骗取用户敏感信息C.通过暴力破解获取系统密码D.在局域网内进行ARP欺骗答案：B19.下列关于零信任安全的描述，不正确的是（）。A.默认不信任网络内任何设备B.需要持续验证身份与权限C.仅信任防火墙内部的设备D.遵循"最小权限"原则答案：C解析：零信任安全模型的核心是"从不信任，始终验证"，不再区分内网外网，对任何设备都不默认信任。20.下列行为中，违反《中华人民共和国网络安全法》的是（）。A.定期对系统进行渗透测试B.在系统遭受攻击后按规定上报C.绕过安全防护措施进行未授权访问D.对重要数据进行异地备份答案：C二、多项选择题（每题2分，共20分）1.以下属于对称加密算法的有（）。A.AESB.DESC.RSAD.SM4E.ECC答案：ABD解析：AES、DES、SM4均为对称加密算法；RSA和ECC属于非对称加密算法。2.下列属于网络安全等级保护定级要素的有（）。A.业务信息受到破坏时所侵害的客体B.对客体侵害的严重程度C.系统的物理部署位置D.单位的经济效益答案：AB解析：根据《信息安全等级保护管理办法》，等级保护定级依据受侵害客体及侵害严重程度两个要素确定。3.下列哪些措施可以有效防范暴力破解攻击？（）A.设置复杂密码策略B.限制登录失败次数C.启用多因素认证D.关闭防火墙答案：ABC解析：复杂密码、失败锁定、多因素认证均可有效抵御暴力破解；关闭防火墙反而会降低安全性。4.关于入侵检测系统（IDS）与入侵防御系统（IPS）的比较，下列说法正确的有（）。A.IDS被动监测网络流量B.IPS可以实时阻断攻击流量C.IDS通常以旁路方式部署D.IPS部署不当会影响正常业务答案：ABCD解析：IDS以旁路方式部署，被动监测并告警；IPS串联在链路中，可主动阻断攻击，但若规则配置不当可能影响业务。5.根据《中华人民共和国个人信息保护法》，个人信息处理者不得（）。A.以概括授权方式过度收集个人信息B.采用"大数据杀熟"进行差异化定价C.向第三方提供匿名化处理后的信息D.因用户拒绝提供非必要信息而拒绝提供服务答案：ABD解析：匿名化处理后的信息不属于个人信息，向第三方提供无需取得个人授权，C项合法。6.以下关于区块链技术特性的描述，正确的有（）。A.去中心化B.数据不可篡改C.匿名性与可追溯性并存D.完全依赖中心机构维护答案：ABC解析：区块链不依赖中心机构，而是通过分布式节点共同维护账本，D项错误。7.属于社会工程学攻击的方式包括（）。A.假装IT运维人员索要用户密码B.通过伪造网站诱导用户输入账号C.利用系统漏洞直接获取管理员权限D.在停车场捡拾公司员工丢弃的敏感文件答案：ABD解析：利用系统漏洞属于技术性攻击手段，不属于社会工程学范畴。8.安全日志审计的主要目标包括（）。A.安全事件溯源B.异常行为检测C.满足合规性要求D.提高网络速度答案：ABC9.下列属于恶意代码类型的有（）。A.勒索病毒B.木马程序C.蠕虫D.间谍软件答案：ABCD10.关于关键信息基础设施保护，下列说法正确的有（）。A.关键信息基础设施运营者应当自行或委托网络安全服务机构定期检测评估B.关键信息基础设施优先采购安全可信的网络产品和服务C.关键信息基础设施运营者在中国境内运营中收集和产生的个人信息和重要数据应当在境内存储D.任何个人和组织不得从事危害关键信息基础设施的活动答案：ABCD三、判断题（每题1分，共10分）1.公钥加密算法中，私钥用于加密、公钥用于解密，两者不能互换使用。答案：错误解析：公钥和私钥在功能上是对称的，公钥加密须用私钥解密，私钥签名须用公钥验证，用途取决于具体应用场景，并非"不能互换"。2.防火墙可以完全阻止所有网络攻击。答案：错误3.信息系统安全等级保护分为五级，第一级最高。答案：错误解析：等级保护分为五级，第五级最高，适用于重要国家关键系统。4.数据脱敏技术可以在保留数据可用性的同时降低数据泄露风险。答案：正确5.人工智能技术只能用于网络防护，不能被攻击者利用。答案：错误6.根据《中华人民共和国网络安全法》，国家实行网络安全等级保护制度。答案：正确7.MD5算法目前仍可安全地用于数字签名场景。答案：错误解析：MD5已被证明存在碰撞攻击风险，已被SM3、SHA-256等安全哈希算法取代，不应用于数字签名等重要场景。8.部署态势感知平台后即可确保网络绝对安全。答案：错误9.网络运营者为提高服务体验，可以在未经用户同意的情况下收集用户通讯录信息。答案：错误10.发现系统存在安全漏洞后，应立即公开漏洞详情以提醒其他用户。答案：错误解析：立即公开漏洞细节可能被攻击者利用，应遵循负责任披露流程，先通知厂商并发布补丁后再审慎公开。四、简答题（每题5分，共20分）1.简述对称加密与非对称加密的主要区别。答案：(1)密钥数量不同：对称加密仅使用单个密钥进行加解密，非对称加密使用公私钥对；(2)加解密速度不同：对称加密运算速度快、效率高，非对称加密运算复杂、速度慢；(3)密钥管理不同：对称加密密钥分发与管理困难，非对称加密公钥可公开、私钥保密，便于密钥分发；(4)安全功能不同：对称加密主要用于数据保密，非对称加密还可用于数字签名、身份认证等场景。2.简述网络安全的"纵深防御"策略。答案："纵深防御"是指通过多层次的防护措施形成一个完整的安全防御体系。主要包括：(1)物理安全层面：机房管控、门禁系统等；(2)网络安全层面：防火墙、入侵检测/防御系统、VPN等；(3)主机安全层面：操作系统加固、补丁管理、防病毒软件等；(4)应用安全层面：安全编码、Web应用防火墙等；(5)数据安全层面：加密存储、数据备份、访问控制等。各层防御相互协同，任何一层被突破时，其他层仍可有效减缓或阻断威胁。3.根据《中华人民共和国数据安全法》，国家建立的数据安全管理制度主要包括哪些？答案：(1)数据分类分级保护制度；(2)数据安全审查制度；(3)数据安全风险评估、报告、信息共享、监测预警机制；(4)数据安全应急处置机制；(5)数据安全出境管理制度；(6)数据安全监管管理制度。4.简述企业发生数据泄露事件后的标准应急响应流程。答案：(1)检测与确认：通过监控告警或用户报告发现异常，确认泄露事实与影响范围；(2)隔离与遏制：断开受影响系统网络连接，防止泄露扩大；(3)取证与根因分析：保存日志与证据，分析攻击路径和数据泄露根因；(4)清除与恢复：清除恶意代码，修补漏洞，恢复受影响系统运行；(5)通知与上报：按照法律法规要求，向监管机构和受影响用户履行告知义务；(6)总结与改进：复盘事件，评估损失，完善安全措施和应急预案。五、论述题（每题10分，共10分）1.结合《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，论述我国网络空间安全法律治理体系的总体架构、核心制度及其内在逻辑关系。答案：我国已构建起以三部基础性法律为核心，以行政法规、部门规章、国家标准为配套的网络空间安全法律治理体系，形成"三法鼎立"的总体格局。（一）总体架构(1)《网络安全法》（2017年施行）确立了网络安全的基本框架，是国家网络安全领域的基础性法律；(2)《数据安全法》（2021年施行）聚焦数据处理活动安全，建立数据分类分级保护、数据安全审查、数据出境管理等制度；(3)《个人信息保护法》（2021年施行）专门规范个人信息处理活动，确立"告知—同意"规则，保障个人权益。（二）核心制度(1)网络安全等级保护制度：对所有网络运营者提出分等级保护要求；(2)关键信息基础设施保护制度：对国家重点行业和领域实行特殊保护；(3)数据分类分级制度：按照数据的重要程度和危害程度实施差异化保护；(4)个人信息处理规则：明确合法、正当、必要原则和最小化收集要求；(5)数据出境安全评估制度：重要数据和个人信息跨境流动须经过安全评估。（三）内在逻辑关系三部法律依次递进、相互衔接、各有侧重。《网络安全法》侧重"网络"层面，保护网络运行安全和网络空间主权；《数据安全法》侧重"数据"层面，统筹数据安全与数据开发利用，保障国家数据安全；《个人信息保护法》侧重"人格权益"层面，保护公民个人信息权益，激发数字经济活力。三者共同构成"从网络到数据、从数据到个人"的完整保护链条。（四）治理理念法律体系体现了"发展与安全并重、促进与规范并举"的治理理念。一方面通过确立安全底线惩戒违法行为，另一方面为数字经济发展留出合理空间，构建政府监管、企业自治、社会监督、公民参与的多方协同治理格局。六、案例分析题（每题10分，共10分）1.某电商平台发生数据泄露事件，经调查发现以下情况：(1)攻击者利用平台Web应用存在的SQL注入漏洞，获取了后台数据库管理员的账号与密码；(2)该管理员账号未启用多因素认证，密码为"123456"；(3)数据库中的200万条用户信息（包括姓名、手机号、收货地址、身份证号）未进行加密存储；(4)事件发生后，该平台未及时向监管部门报告，也未通知受影响的用户；(5)平台未按网络安全等级保护要求开展一年一度的等级测评。请回答：（1）分析本次事件中反映出的平台在技术和管理方面存在的问题。答案：技术层面：①Web应用存在SQL注入漏洞，说明缺乏安全的软件开发流程和上线前代码审计；应使用参数化查询/预编译语句等措施消除注入风险；②数据库敏感数据明文存储，违