2026年计算机网络安全考试试题及答案细解

2026年计算机网络安全考试试题及答案细解一、单项选择题（每题2分，共20分）1.下列选项中，不属于网络安全CIA三元组核心属性的是？A.机密性B.完整性C.可用性D.不可否认性2.下列加密算法中，属于非对称加密算法的是？A.AES-256B.SM2C.SM4D.3DES3.黑客实施网络攻击的通用流程中，通常第一步执行的操作是？A.漏洞利用B.信息收集C.权限提升D.痕迹清理4.能够工作在OSI第七层（应用层），对应用层内容进行深度检测的防火墙类型是？A.包过滤防火墙B.状态检测防火墙C.应用层网关（代理）防火墙D.电路层网关5.下列身份认证方式中，属于“你所拥有”（Somethingyouhave）认证因素的是？A.指纹B.登录密码C.USBKeyD.面部识别6.下列访问控制模型中，基于用户角色分配权限，广泛适用于企业内部权限管理的是？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）7.按照检测数据来源划分，部署在网络关键节点，通过捕获网络流量进行攻击检测的IDS类型是？A.基于主机的IDS（HIDS）B.基于网络的IDS（NIDS）C.异常检测型IDSD.误用检测型IDS8.下列关于SHA-256哈希算法的描述，错误的是？A.输入任意长度的消息，输出固定长度的256位摘要B.两个不同的输入，一定不会产生相同的摘要C.无法通过摘要反推出原始输入消息D.输入发生1比特的变化，输出摘要会发生显著变化9.下列VPN协议中，工作在网络层，能够对IP数据包进行加密封装的是？A.PPTPB.L2TPC.IPSecD.SSLVPN10.零信任安全架构的核心设计原则是？A.默认信任内部网络用户B.一次认证，终身有效C.永不信任，始终验证D.仅通过边界防火墙防护内部网络二、多项选择题（每题3分，共15分。多选、少选、错选均不得分）1.下列攻击类型中，属于主动攻击的有？A.网络嗅探B.DDoS攻击C.SQL注入D.流量分析2.下列组件中，属于PKI（公钥基础设施）核心组成部分的有？A.CA（证书颁发机构）B.RA（注册审核机构）C.CRL（证书吊销列表）D.对称加密密钥库3.下列关于防火墙局限性的描述，正确的有？A.无法防范来自内部网络的攻击行为B.无法防范绕过防火墙的非法连接C.无法对应用层流量进行任何检测D.无法防御未知的零日漏洞攻击4.网络安全应急响应的典型流程包含下列哪些阶段？A.准备阶段B.检测与分析阶段C.遏制、根除与恢复阶段D.总结改进阶段5.下列技术中，可用于保护数据传输过程中机密性的有？A.SSL/TLS加密B.磁盘加密C.IPSecVPND.数字签名三、判断题（每题1分，共10分）1.DES加密算法的有效密钥长度为56位，属于对称加密算法。2.ARP欺骗攻击通过伪造IP地址与MAC地址的映射关系，可实现流量窃取或中间人攻击。3.自主访问控制（DAC）模型中，资源的所有者不能将资源的访问权限授予其他用户。4.入侵检测系统（IDS）能够主动阻断检测到的攻击行为，而入侵防御系统（IPS）仅能告警不能阻断。5.数字签名技术能够保证数据传输的机密性，防止数据被窃听。6.蠕虫病毒不需要依附宿主程序，能够通过网络主动扫描并传播到存在漏洞的主机上。7.防火墙的默认拒绝规则比默认允许规则的安全性更高。8.SQL注入攻击只能发生在网站登录页面，其他类型的Web页面不存在注入风险。9.零信任安全架构要求仅对外部网络的访问进行身份验证，内部网络用户可直接访问所有资源。10.SHA-1哈希算法由于抗碰撞性不足，已不推荐用于高安全性要求的场景。四、简答题（每题5分，共25分）1.简述网络安全中CIA三元组的含义及各属性的定义。2.简述对称加密算法与非对称加密算法的核心区别，以及各自的典型适用场景。3.简述防火墙的主要功能。4.简述DDoS（分布式拒绝服务）攻击的定义，以及常见的攻击类型。5.简述数字证书的定义及核心作用。五、综合分析题（每题10分，共30分）1.已知RSA加密算法中，选取两个大素数p=5，q=(1)计算私钥d的值（写出完整计算过程）；（6分）(2)若明文m=8，计算对应的密文2.某企业边界防火墙部署在三个安全区域之间：Untrust区（外部互联网）、Trust区（内部办公网络，网段/24）、DMZ区（对外服务区，网段/24）。防火墙默认规则为“全部拒绝”，仅允许管理员配置的规则通过。DMZ区部署两台服务器：Web服务器IP为0，对外提供HTTP（80/tcp）、HTTPS（443/tcp）服务；邮件服务器IP为0，对外提供SMTP（25/tcp）、POP3（110/tcp）服务。结合网络安全最小权限原则和区域安全等级要求，分析以下三条访问控制规则是否合理，并说明理由：(1)规则1：允许Trust区所有主机访问Untrust区的任意端口。（3分）(2)规则2：允许Untrust区所有主机访问DMZ区0的80/tcp、443/tcp端口。（3分）(3)规则3：允许DMZ区0主动发起对Trust区00数据库服务器（3306/tcp）的访问。（4分）3.某电商网站接到大量用户反馈：在网站搜索商品时，页面会弹出虚假中奖广告，且部分用户的登录状态被窃取，导致账号被盗。安全工程师排查发现以下线索：①搜索框输入的内容会直接回显在搜索结果页面；②攻击者在搜索框中输入恶意代码后，代码会在其他用户的浏览器中执行；③网站未对用户输入的内容进行过滤和转义，且Cookie未设置HttpOnly属性。请根据上述信息回答以下问题：(1)该网站遭受的是哪种类型的Web攻击？请说明判断依据。（4分）(2)简述该攻击的完整实现流程。（3分）(3)请提出至少3条针对性的防范措施。（3分）参考答案与解析一、单项选择题1.答案：D解析：CIA三元组是网络安全最核心的三个基础属性，分别为机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。不可否认性属于网络安全的扩展属性，不属于CIA三元组范畴。2.答案：B解析：SM2是我国商用密码标准中的非对称加密算法，基于椭圆曲线密码实现。AES-256、SM4、3DES均为对称加密算法，加密和解密使用同一密钥。3.答案：B解析：网络攻击的典型流程为信息收集（踩点）、漏洞探测、漏洞利用、权限提升、权限维持、痕迹清理。信息收集是攻击的前提，攻击者通过收集目标的域名、IP段、开放端口、系统版本等信息，为后续攻击做准备。4.答案：C解析：应用层网关防火墙工作在OSI应用层，通过代理机制接管用户的应用层请求，可对HTTP、FTP等应用层协议的内容进行深度检测和过滤。包过滤防火墙工作在网络层，状态检测防火墙工作在网络层/传输层，电路层网关工作在会话层。5.答案：C解析：身份认证的三大核心因素为：你所知道的（如密码、验证码）、你所拥有的（如USBKey、身份证、动态令牌）、你是谁（如指纹、面部识别等生物特征）。指纹和面部识别属于生物特征因素，密码属于知识因素。6.答案：C解析：RBAC（基于角色的访问控制）的核心是将权限与角色绑定，用户通过分配角色获得对应权限，便于权限的批量管理和调整，是企业中应用最广泛的访问控制模型。DAC由资源所有者自主分配权限，MAC由系统强制分配安全标签，ABAC基于多属性动态判断权限。7.答案：B解析：IDS按数据来源可分为基于主机的HIDS（采集系统日志、文件完整性等主机侧数据）和基于网络的NIDS（采集网络流量数据）。异常检测和误用检测是按照检测方法的分类，不属于按数据来源的划分。8.答案：B解析：哈希算法的抗碰撞性是“计算上不可行”，即现有计算能力下难以找到两个不同输入产生相同摘要，但理论上碰撞是必然存在的（因为输入空间远大于输出空间），并非“一定不会产生相同摘要”，因此B选项错误。其余选项均为哈希算法的核心特性。9.答案：C解析：IPSec是工作在OSI网络层的VPN协议，通过AH和ESP协议实现IP数据包的完整性校验和加密封装。PPTP和L2TP工作在数据链路层/PPP层，SSLVPN工作在传输层/应用层，基于SSL/TLS协议实现。10.答案：C解析：零信任架构打破了传统“内网即可信”的边界安全假设，核心原则是“永不信任，始终验证”，无论用户来自内部还是外部网络，都需要经过持续的身份验证和授权才能访问资源，适应当前云化、远程办公的复杂网络环境。二、多项选择题1.答案：BC解析：主动攻击与被动攻击的核心区别是：攻击者是否主动对目标系统或数据进行修改、干扰或恶意交互。DDoS攻击通过发送大量流量干扰目标服务，SQL注入通过构造恶意输入篡改数据库操作，均属于主动攻击。网络嗅探和流量分析仅被动监听网络数据，不修改流量，属于被动攻击。2.答案：ABC解析：PKI是基于非对称密码实现的、用于管理数字证书生命周期的安全基础设施，核心组成包括CA（签发证书的权威机构）、RA（负责用户身份审核的注册机构）、证书库、CRL（用于公布已吊销证书的列表）、终端实体等。对称加密密钥库不属于PKI的核心组件。3.答案：ABD解析：防火墙的核心是边界访问控制，存在固有局限性：仅能管控经过自身的流量，无法处理内部网络发起的攻击，也无法防范用户私接网络等绕过防火墙的行为；基于已知规则和特征工作，无法防御没有对应特征的零日攻击。应用层网关、下一代防火墙（NGFW）具备应用层流量检测能力，因此C选项错误。4.答案：ABCD解析：网络安全应急响应是一个动态闭环的流程，典型分为四个阶段：准备阶段（提前储备工具、人员、预案）、检测与分析阶段（发现安全事件并研判危害）、遏制根除与恢复阶段（控制攻击范围、清除恶意内容、恢复业务）、总结改进阶段（复盘事件、优化防护体系）。5.答案：AC解析：数据机密性分为传输中机密性和静态数据机密性。SSL/TLS加密应用层传输数据，IPSecVPN加密网络层IP数据包，二者均用于保护数据传输过程中的机密性，防止被窃听。磁盘加密针对存储状态的静态数据；数字签名主要用于验证数据完整性和身份不可否认性，不提供机密性保护。三、判断题1.答案：正确解析：DES是经典的对称加密算法，密钥总长度为64位，其中8位为奇偶校验位，有效密钥长度为56位。2.答案：正确3.答案：错误解析：自主访问控制（DAC）的核心特点是资源所有者拥有权限分配权，可自主决定将访问权限授予其他用户；强制访问控制（MAC）才由系统统一分配安全标签，用户无法自主修改权限。4.答案：错误解析：IDS通常旁路部署，仅负责检测攻击并触发告警，不直接阻断网络流量；IPS串接部署在网络链路中，具备主动阻断攻击的能力。5.答案：错误解析：数字签名基于非对称密码实现，核心作用是验证数据完整性、确认发送者身份、防止抵赖，不具备数据加密功能，无法保证数据的机密性。6.答案：正确解析：蠕虫与普通病毒的核心区别是：蠕虫是独立的程序，不需要依附宿主文件，可通过网络主动利用漏洞传播，自我复制能力更强，传播速度更快。7.答案：正确解析：默认拒绝规则遵循最小权限原则，仅允许明确配置的流量通过，默认阻止所有其他流量；默认允许规则仅阻止明确配置的流量，存在较大的安全风险。8.答案：错误解析：SQL注入的本质是用户输入被当作SQL语句执行，只要Web应用存在动态拼接SQL且未对输入做严格校验的场景（如商品查询、订单提交、用户注册等），都可能存在注入风险，不限于登录页面。9.答案：错误解析：零信任的核心原则是“永不信任，始终验证”，打破传统的内外网边界信任假设，无论用户来自内部还是外部网络，都需要经过身份验证和授权才能访问资源。10.答案：正确解析：SHA-1的输出长度为160位，目前已被证实存在可实际利用的碰撞漏洞，高安全场景已逐步替换为SHA-2、SHA-3系列哈希算法。四、简答题1.答案：CIA三元组是网络安全的三个核心基础属性，具体如下：(1)机密性（Confidentiality）：确保信息仅被授权用户访问，不泄露给未授权的实体或个人；(2)完整性（Integrity）：确保信息在存储、传输过程中不被未授权的修改、破坏、插入或丢失，保持数据的准确性和一致性；(3)可用性（Availability）：确保授权用户在需要时能够正常、可靠地访问系统和数据资源，不会因为攻击或故障导致服务中断。解析：CIA三元组是所有网络安全技术和管理措施的核心设计目标，后续的不可否认性、可审计性等属性均是在此基础上的扩展。2.答案：核心区别：(1)密钥体系：对称加密使用同一密钥完成加密和解密；非对称加密使用公钥和私钥一对密钥，公钥公开、私钥私有，用公钥加密的内容只能用对应的私钥解密，反之亦然。(2)加密效率：对称加密运算速度快、效率高，适合大数据量加密；非对称加密运算复杂度高、速度慢，适合小数据量加密。(3)密钥分发：对称加密的密钥分发存在安全风险，需要安全通道传递密钥；非对称加密可公开公钥，密钥分发简单。（3分，答出2点核心区别即可得满分）适用场景：对称加密常用于大文件加密、传输数据的实时加密；非对称加密常用于密钥交换、数字签名、身份认证等场景。（2分）解析：实际应用中通常将二者结合使用，比如SSL/TLS协议就是通过非对称加密交换对称会话密钥，再用对称密钥加密传输的应用数据，兼顾安全性和效率。3.答案：防火墙是部署在网络边界的访问控制设备，主要功能包括：(1)访问控制：根据预设的安全规则，允许或拒绝特定流量进出网络，是防火墙的核心功能；(2)网络地址转换（NAT）：隐藏内部网络拓扑结构，同时节约公网IP地址资源；(3)网络区域隔离：划分不同安全等级的区域（如内网、DMZ、外网），隔离安全风险，防止区域间的横向渗透；(4)日志与审计：记录所有经过防火墙的流量和安全事件，用于事后溯源和合规审计；(5)扩展功能：部分下一代防火墙还具备VPN支持、入侵防御、病毒过滤、应用层内容过滤等功能。（答出任意5点得满分，答出4点得4分，以此类推）4.答案：DDoS攻击的定义：攻击者控制大量被入侵的僵尸主机，同时向目标系统或网络发起大量恶意请求，耗尽目标的带宽、计算、存储等资源，导致合法用户无法正常访问服务的攻击方式。（2分）常见攻击类型：(1)流量型攻击：如UDP洪水、ICMP洪水，通过发送大量无效数据包耗尽目标的带宽资源；(2)协议型攻击：如SYN洪水，利用TCP协议的三次握手缺陷，耗尽目标的TCP连接资源；(3)应用层攻击：如HTTP洪水、CC攻击，通过模拟合法用户的应用层请求，耗尽目标应用的处理资源。（3分，每类1分）5.答案：数字证书的定义：由权威的第三方CA（证书颁发机构）签发的电子文档，用于证明证书持有者的真实身份与其公开密钥的绑定关系，是公钥基础设施（PKI）的核心载体。（2分）核心作用：(1)身份认证：验证通信对方的真实身份，防止身份冒充；(2)数据完整性校验：配合数字签名技术，验证传输过程中的数据是否被篡改；(3)不可否认性：基于数字签名，防止发送者抵赖已发送的消息；(4)支持安全加密通信：通过可信的公钥实现安全的密钥交换，保障数据机密性。（3分，答出任意3点即可得满分）五、综合分析题1.答案：(1)私钥计算过程：第一步：计算RSA模数n=p×q=5×11=55；（1分）第二步：计算欧拉函数φ((2)密文计算过程：RSA加密公式为c=me (mod n)，代入参数m=8、e=7、n解析：本题考查RSA非对称加密的核心计算原理，涉及欧拉函数、模逆运算、模幂运算三个关键步骤。实际应用中RSA使用的素数长度通常为2048位及以上，本题使用小素数仅用于原理演示，实际场景中无法通过暴力破解得到私钥。2.答案：(1)不合理。（1分）理由：根据最小权限原则，不应允许内部主机访问外部网络的所有端口。开放全端口会导致内部用户可访问高危服务、下载恶意代码，也可能被外部攻击者利用反向连接等手段窃取数据、入侵内部主机。应仅开放业务必需的端口（如HTTP、HTTPS、DNS等常用服务端口）。（2分）(2)合理。（1分）理由：Web服务器的定位是对外提供公开服务，允许外部用户访问其HTTP和HTTPS服务端口符合业务需求；规则仅开放了必要的服务端口，未开放多余端口，遵循最小权限原则，同时限制了访问目标为Web服务器的指定端口，不会暴露DMZ区其他资源。（2分）(3)不合理。（1分）理由：防火墙三个区域的安全等级从高到低为Trust区>DMZ区>Untrust区，通常禁止低安全等级区域主动访问高安全等级区域。DMZ区是对外服务区，被入侵的风险远高于内部网络，若允许DMZ的Web服务器主动访问内部数据库，一旦Web服务器被攻陷，攻击者可直接利用该权限访问内部核心数据库，造成敏感数据泄露。正确的做法是严格控制访问方向，确有业务需求时应配置细粒度的访问规则（如仅允许特定SQL操作、部署数据库审计等），且尽量避免DMZ主动发起对内网的访问。（3分）解析：本题考查防火墙区域划分与访问控制的设计原则，核心是最小权限原则和区域安全等级差异。访问控制规则设计需遵循“默认拒绝、最小权限、纵深防御”的思路，在满足业务需求的前提下尽可能缩小攻击面。3.答案：(1)该网站遭受的是存储型跨站脚本攻击（存储型XSS）。（1分）判断依据：①