2026年信息安全与网络防护职业资格考试试题及答案

2026年信息安全与网络防护职业资格考试试题及答案一、单项选择题（每题1分，共20分）1.我国网络安全领域的基础性法律是（）。A.《中华人民共和国数据安全法》B.《中华人民共和国网络安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国密码法》2.下列算法中，属于非对称加密算法的是（）。A.DESB.AESC.RSAD.SM43.在信息安全的CIA三元组中，"I"代表（）。A.完整性B.可用性C.机密性D.真实性4.根据网络安全等级保护2.0标准，等级保护对象的安全保护等级共分为（）。A.三级B.四级C.五级D.六级5.下列攻击方式中，属于被动攻击的是（）。A.拒绝服务攻击B.流量分析C.中间人攻击D.重放攻击6.传统包过滤防火墙主要工作在OSI参考模型的（）。A.物理层B.网络层C.会话层D.应用层7.攻击者通过在Web表单中注入恶意数据库查询语句，绕过身份验证或窃取数据，这种攻击属于（）。A.XSS攻击B.SQL注入攻击C.CSRF攻击D.文件包含攻击8.国密算法SM3输出的消息摘要长度是（）。A.128位B.160位C.256位D.512位9.下列措施中，能够有效防御ARP欺骗的是（）。A.部署防火墙B.配置静态ARP表项C.开启操作系统自动更新D.部署DNS安全扩展10.在PKI体系中，负责签发、更新和吊销数字证书的机构是（）。A.RAB.CAC.KMCD.VA11.下列关于零信任安全模型的描述，正确的是（）。A.默认信任边界内的所有网络流量B.只对互联网出口流量进行安全防护C.默认不信任任何访问主体，访问需持续验证D.仅适用于云上业务系统12.攻击者将恶意脚本代码写入论坛评论区，其他用户浏览页面时脚本自动执行并窃取其会话信息，该攻击属于（）。A.反射型XSSB.存储型XSSC.DOM型XSSD.命令注入攻击13.HTTPS协议默认使用的服务端口是（）。A.21B.80C.443D.808014.根据《中华人民共和国个人信息保护法》，处理敏感个人信息（如病历、生物识别信息）应当取得个人的（）。A.一般同意B.单独同意C.默示同意D.事后追认15.下列各项中，属于哈希函数核心特性的是（）。A.可逆性B.抗碰撞性C.输出长度可变D.需要密钥参与运算16.Web应用防火墙（WAF）的主要防护对象是（）。A.物理环境威胁B.Web应用层攻击C.链路层故障D.终端勒索软件17.一个完整的密码系统至少应包含五个要素：明文、密文、密钥以及（）。A.加密算法和解密算法B.哈希函数和数字签名C.公钥和私钥D.证书和证书颁发机构18.在PDRR安全模型中，四个环节不包括（）。A.Protection（防护）B.Detection（检测）C.Response（响应）D.Prediction（预测）19.下列设备中，能够对网络流量进行实时检测并在检测到恶意行为时实时阻断的是（）。A.IDSB.IPSC.漏洞扫描器D.日志审计系统20.攻击者向目标网络的广播地址发送大量伪造源地址的ICMP回应请求报文，导致网络拥塞，该攻击称为（）。A.SYNFloodB.Smurf攻击C.DNS劫持D.ARP欺骗二、多项选择题（每题2分，共20分）1.下列算法中，属于对称加密算法的有（）。A.AESB.DESC.RSAD.SM4E.ECC2.网络安全等级保护2.0通用安全要求中，属于技术要求的有（）。A.安全物理环境B.安全通信网络C.安全管理制度D.安全计算环境E.安全区域边界3.下列攻击手段中，属于社会工程学攻击的有（）。A.发送钓鱼邮件B.冒充技术支持人员索要口令C.伪装访客尾随进入机房D.发送畸形数据包触发缓冲区溢出E.在垃圾桶中翻找含敏感信息的废弃单据4.下列选项中，属于常见Web应用漏洞的有（）。A.SQL注入B.跨站脚本（XSS）C.跨站请求伪造（CSRF）D.命令注入E.双绞线线序错误5.下列技术中，可用于用户身份认证的有（）。A.静态口令B.动态令牌C.指纹识别D.数字证书E.磁盘阵列6.防火墙常见的部署模式包括（）。A.路由模式B.透明模式C.混合模式D.混杂模式E.广播模式7.密钥管理覆盖密钥的整个生命周期，其主要环节包括（）。A.密钥生成B.密钥分发C.密钥存储D.密钥更新E.密钥销毁8.针对DDoS攻击，下列防护措施有效的是（）。A.部署流量清洗设备B.配置速率限制策略C.使用黑洞路由丢弃攻击流量D.提升服务器CPU主频E.使用CDN分散源站访问压力9.我国现行有效的网络安全相关法律包括（）。A.《中华人民共和国网络安全法》B.《中华人民共和国数据安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国密码法》E.《中华人民共和国反电信网络诈骗法》10.关于数字签名，下列说法正确的有（）。A.使用发送方的私钥对消息摘要进行签名B.使用发送方的公钥验证签名的有效性C.数字签名可以提供抗抵赖性D.数字签名能够验证消息在传输中是否被篡改E.数字签名使用接收方的公钥生成三、判断题（每题1分，共10分）1.只要为重要数据设置了访问口令，以明文形式存储也是安全的。2.防火墙的部署可以完全替代入侵检测系统的作用。3.HTTPS协议能够同时提供传输数据加密和服务器身份认证功能。4.零信任安全模型的核心思想是"永不信任，始终验证"。5.等级保护第三级系统每年至少开展一次等级测评。6.只要建立了VPN加密隧道，所有传输数据就绝对安全。7.哈希函数可以将任意长度的输入消息映射为固定长度的摘要值。8.数据经过脱敏处理后即可无条件对外提供，无需再进行安全评估。9.蜜罐技术通过布置诱饵资源吸引攻击者，属于主动防御技术。10.网络安全应急响应处置过程中，应先尽快恢复业务，事件根因分析可以放弃。四、简答题（每题5分，共20分）1.简述对称加密与非对称加密的主要区别。2.什么是纵深防御？请举例说明至少三个层面的实现措施。3.简述CSRF攻击的原理及常见防御措施。4.简述网络安全等级保护定级的基本流程和定级要素。五、案例分析题（每题10分，共20分）1.某公司对外提供Web服务的服务器近期频繁出现访问缓慢、部分用户连接超时的情况。安全人员抓包发现，短时间内有大量来源IP分散的TCPSYN报文发往服务器80端口，且均未继续完成三次握手；服务器CPU占用率上升，半连接队列持续溢出。（1）请判断攻击类型并说明攻击原理。（2）提出至少三项针对性处置措施。2.某企业发生数据泄露事件：员工张某点击了一封伪装为"工资条"的钓鱼邮件附件，导致办公电脑感染远控木马。攻击者使用张某已登录的VPN通道进入企业内网，横向移动至数据库服务器，利用弱口令登录数据库并导出数据表，内容包含大量客户姓名、手机号、身份证号等信息。六、综合论述题（每题10分，共10分）1.结合《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》的要求，论述企业在大数据业务场景下应建立哪些数据安全管理制度和技术防护措施。一、管理制度层面（1）数据分类分级制度：定期对数据资产进行梳理和标识，划清一般数据、重要数据与核心数据的边界，并根据类别和级别实施差异化的保护措施。（2）全生命周期管理制度：对数据的收集、存储、使用、加工、传输、提供、公开、删除等环节，分别明确操作规范、审批权限和责任主体。（3）数据安全风险评估制度：按照《数据安全法》要求，对数据处理活动定期开展风险监测与评估，发现风险及时消除；涉及个人信息时依法开展个人信息保护影响评估。（4）数据安全事件应急预案：建立应急组织，明确事件的发现、报告、处置和恢复流程；发生安全事件时按规定及时补救，并向主管部门报告。（5）数据出境安全管理：向境外提供重要数据和个人信息时，依法通过国家网信部门组织的数据出境安全评估、个人信息保护认证或签订标准合同等途径，确保出境活动合法合规。（6）人员管理：明确数据安全负责人和管理机构，对关键岗位人员加强背景审查、签订保密协议，并定期开展数据安全培训。二、技术防护层面（1）身份认证与访问控制：对数据平台实施统一身份管理，遵循最小授权原则，推进零信任架构，对敏感数据访问进行细粒度管控。（2）数据加密：对重要数据和个人信息实施传输加密（TLS）与存储加密，密钥由密钥管理系统（KMS）统一生成、轮换和销毁。（3）数据脱敏与匿名化：在开发测试、外包加工、数据共享等场景下对敏感字段进行脱敏处理，降低泄露风险。（4）数据防泄漏（DLP）：对终端、网络和存储中的敏感数据外发行为进行识别、监控和阻断。（5）日志审计与溯源：对数据访问和操作行为进行全量记录，结合用户与实体行为分析（UEBA）发现内部越权、批量导出等异常行为。（6）备份与容灾：对重要数据实施本地备份与异地容灾，定期开展恢复演练，保障数据可用性。参考答案与解析一、单项选择题1.答案：B解析：《网络安全法》于2017年6月1日起施行，确立了网络安全等级保护、关键信息基础设施保护等基本制度，是网络安全领域的基础性法律。2.答案：C3.答案：A解析：CIA分别对应Confidentiality（机密性）、Integrity（完整性）、Availability（可用性）。4.答案：C5.答案：B解析：被动攻击以监听、窃取信息为目的，不修改数据，如网络嗅探与流量分析；其余选项均属主动攻击。6.答案：B7.答案：B8.答案：C9.答案：B解析：ARP欺骗通过伪造IP地址与MAC地址的映射关系实施。配置静态ARP表项或启用DHCPSnooping绑定可有效防御。10.答案：B11.答案：C解析：零信任的核心思想是"永不信任，始终验证"，不因网络位置而自动授予信任，适用于本地、云及混合环境。12.答案：B13.答案：C14.答案：B15.答案：B16.答案：B17.答案：A18.答案：D解析：PDRR模型由防护（Protection）、检测（Detection）、响应（Response）、恢复（Recovery）四个环节构成。19.答案：B解析：IDS侧重检测并告警，IPS在检测的基础上具备主动阻断能力。20.答案：B二、多项选择题1.答案：ABD2.答案：ABDE解析：技术类要求包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心；管理类要求包括安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理。3.答案：ABCE解析：社会工程学利用人的心理弱点实施攻击，而非直接利用技术漏洞。缓冲区溢出属于技术型攻击。4.答案：ABCD5.答案：ABCD6.答案：ABC解析：混杂模式指网卡的Promiscuous模式，广播模式属于以太网交换概念，二者均不属于防火墙部署模式。7.答案：ABCDE8.答案：ABCE9.答案：ABCDE10.答案：ABCD三、判断题1.答案：错误解析：明文存储的数据一旦被越权读取即直接泄露，应结合加密存储、访问控制与审计等手段共同保护。2.答案：错误3.答案：正确4.答案：正确5.答案：正确解析：根据等保2.0要求，第三级系统每年至少测评一次，第四级系统每半年至少测评一次。6.答案：错误7.答案：正确8.答案：错误9.答案：正确10.答案：错误解析：止损与恢复是应急响应的关键，但根因分析同样重要，否则类似事件可能再次发生，应急响应闭环不完整。四、简答题1.答案：（1）密钥使用方式不同：对称加密的加密和解密使用同一把密钥；非对称加密使用密钥对，公钥加密、私钥解密，或私钥签名、公钥验签。（2）安全性不同：对称加密的密钥在分发过程中易被窃取，需要额外的安全信道；非对称加密的私钥无需传输，安全性更高。（3）性能不同：对称加密运算简单、加解密速度快，适合大批量数据加密；非对称加密运算复杂、速度慢，多用于密钥交换、数字签名等小数据量场景。（4）典型算法：对称加密有AES、DES、SM4等；非对称加密有RSA、ECC、SM2等。2.答案：纵深防御是指在不同层面部署多重、互补的安全防护措施，使单一防线被突破后仍有后续防线抵御攻击，整体提升系统的健壮性。示例：（1）物理层面：机房门禁、视频监控、电磁屏蔽；（2）网络层面：防火墙、入侵检测与防御系统、VPN、网络分区分域；（3）主机层面：主机加固、补丁管理、防病毒软件、主机入侵检测；（4）应用层面：代码安全审计、WAF、输入输出校验；（5）数据层面：数据加密、备份容灾、数据脱敏；（6）管理层面：安全制度、人员培训、应急响应预案。3.答案：原理：CSRF（跨站请求伪造）利用浏览器自动携带Cookie的机制。用户在登录目标网站后，若在未退出的情况下访问攻击者构造的恶意页面，该页面会向目标网站发起预先构造的请求（如表单提交、URL访问），服务器无法区分请求是否由用户本人主动发起，从而执行转账、改密等非授权操作。防御措施：（1）在表单或请求中嵌入随机CSRFToken，服务端校验；（2）校验请求的Referer/Origin字段；（3）关键操作增加短信验证码、二次口令等强认证；（4）设置Cookie的SameSite属性，限制跨站发送。4.答案：定级流程：确定定级对象→初步确定安全保护等级→组织专家评审→主管部门审核→公安机关备案。定级要素：（1）受侵害的客体，包括公民、法人和其他组织的合法权益，社会秩序、公共利益，以及国家安全；（2）客体受侵害后的损害程度，分为一般损害、严重损害和特别严重损害。由上述要素组合确定保护对象的安全保护等级（第一级至第五级）。五、案例分析题1.答案：（1）攻击类型：分布式拒绝服务攻击（DDoS）中的SYNFlood攻击。攻击原理：攻击者发送大量伪造源地址的TCPSYN报文，服务器响应SYN-ACK后等待客户端ACK以完成三次握手，这些未完成的连接进入半连接队列并占用系统内存、CPU等资源。由于源地址伪造，ACK永远不会到达，半连接持续堆积直至队列溢出，服务器无法再为合法用户建立连接，导致正常业务不可用。（2）处置措施：①在边界防火墙或抗DDoS设备上启用SYNCookie机制，不对SYN报文立即分配资源；②配置连接速率限制和超时收缩策略，如缩短SYN超时时间、限制单IP新建连接数；③部署流量清洗服务，将异常流量牵引至清洗中心过滤后再回注；④在路由器上启用黑洞路由，对超过阈值的攻击流量进行丢弃；⑤保留攻击报文和日志，开展溯源分析并保存证据，必要时向公安机关报案。（答出任意三项即可）2.（1）指出本次事件暴露出的至少三个安全薄弱点。（2）分析攻击者进行内网横向移动可能采用的技术手段（至少两种）。（3）针对薄弱点提出整改建议。2.答案：（1）安全薄弱点：①员工安全意识