2025年网络空间安全考试试题及答案

2025年网络空间安全考试试题及答案第一部分单项选择题（每题1分，共20分。每题只有一个正确答案，错选、不选均不得分）1.根据2025年1月1日正式施行的《网络数据安全管理条例》，涉及多个地区、跨行业领域的重要数据目录，应由（）会同有关部门制定。A.省级网信部门B.国家网信部门C.行业主管部门D.公安部网络安全保卫局2.根据全国网络安全标准化技术委员会2024年发布的《生成式人工智能服务安全基本要求》，生成式AI服务提供者对训练数据来源的溯源日志留存期限，自服务终止之日起不得少于（）。A.6个月B.1年C.3年D.5年3.根据NISTSP800-207零信任架构标准，下列选项中不属于零信任架构核心逻辑组件的是（）。A.策略引擎B.策略执行点C.信任评估算法库D.策略管理员4.我国2024年正式纳入商用密码标准体系的自主可控抗量子密码算法是（）。A.RSA-4096B.SM9-IBEC.KyberD.LAC.PKE5.根据2024年修订的《网络安全等级保护基本要求》，第三级网络系统的强制等级测评周期为（）。A.每半年一次B.每年一次C.每两年一次D.每三年一次6.根据2024年修订的《汽车数据安全管理若干规定》，智能网联汽车默认收集的车外视频、图像数据涉及个人信息的，在车辆本地存储的最长时限为（），超出时限的应当自动删除，法律法规另有规定的除外。A.7天B.14天C.30天D.90天7.在攻防对抗场景中，攻击者常采用“无文件落地”技术绕过EDR终端检测，下列技术不属于该范畴的是（）。A.进程注入执行恶意代码B.反射式DLL加载C.注册表Run键值写入实现持久化D.无文件PowerShell内存执行8.根据《个人信息出境标准合同办法》，个人信息处理者与境外接收方订立标准合同完成备案后，出现下列哪种情形无需重新订立合同并履行备案手续（）。A.境外接收方处理个人信息的用途发生变更B.出境个人信息的保存期限延长6个月C.个人信息处理者法定代表人发生变更D.境外接收方数据传输方式变更导致安全风险显著升高9.根据《商用密码应用安全性评估管理办法》，第三级等保系统的下列场景中，必须使用合规国密算法实现安全保护的是（）。A.终端用户登录密码的哈希存储B.跨网络安全区域传输的重要数据完整性校验C.运维人员远程登录的会话加密D.对外服务网站的TLS证书认证10.根据2024年修订的《网络安全漏洞管理规定》，网络产品提供者发现或获知自身产品存在高危漏洞后，向工信部、公安部漏洞管理平台报送漏洞信息的时限要求为（）。A.24小时内B.48小时内C.72小时内D.7日内11.二阶SQL注入是Web应用常见的攻击方式，下列防护手段中无法有效防御二阶SQL注入的是（）。A.使用预编译SQL语句B.对输入内容进行严格白名单校验C.对数据库查询输出结果进行HTML实体编码D.对写入数据库的特殊字符进行转义处理12.反射放大型DDoS攻击是当前高发的流量攻击类型，下列选项中不属于该类攻击实现必要前提的是（）。A.攻击者能够伪造源IP地址为受害者IPB.被利用的反射服务存在请求包远小于响应包的放大特征C.反射服务不需要对请求方进行强身份认证D.反射服务必须部署在境外服务器节点13.ModbusTCP是工业控制系统广泛应用的通信协议，下列属于该协议固有安全缺陷的是（）。A.协议设计未内置身份认证机制，无合法消息来源校验能力B.采用弱加密算法传输控制指令，易被暴力破解C.协议传输带宽占用过高，易导致工业网络拥塞D.不支持长距离数据传输，仅适用于本地局域网通信14.根据《个人信息保护法》，下列选项中不属于敏感个人信息范畴的是（）。A.金融账户信息B.医疗健康记录C.用户公开发布的网页浏览记录D.人脸、指纹等生物识别信息15.根据2024年施行的《网络安全事件报告管理办法》，发生重大及以上等级网络安全事件时，事发单位应当在事件发现后（）内向属地网信、公安部门进行初报。A.1小时B.2小时C.4小时D.24小时16.根据《云计算服务安全评估办法》，面向党政机关提供服务的云平台，其网络安全等级保护级别应当不低于（）。A.第二级B.第三级C.第四级D.无强制级别要求17.根据《软件供应链安全管理规范》，企业在选型开源软件组件时，应当优先选择（）。A.开源社区下载量最高的版本B.长期支持（LTS）且已修复已知高危漏洞的版本C.官方最新发布的测试版本D.无任何已知漏洞记录的版本18.WAF绕过技术中，通过对攻击载荷进行URL编码、Unicode编码、Base64编码等多重转换绕过规则检测的方式属于（）。A.HTTP参数污染B.编码混淆C.分块传输D.协议解析不一致19.电子数据取证过程中，下列操作不符合司法取证规范的是（）。A.对涉案源盘进行位对位复制生成镜像副本B.通过硬件只读锁连接源盘进行数据读取C.直接在涉案源盘上安装取证工具提取文件D.计算镜像文件的SHA-256哈希值固定证据20.深度伪造内容检测是2025年AI安全治理的核心技术方向，下列选项中不属于主流深度伪造检测技术路径的是（）。A.基于像素级生成噪声痕迹分析B.基于生物特征一致性校验C.基于内容关键词敏感词匹配D.基于生成模型指纹特征识别第二部分多项选择题（每题2分，共20分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当履行的法定安全义务包括（）。A.每年至少开展一次网络安全检测和风险评估B.优先采购安全可信的网络产品和服务C.对重要系统和数据库进行多副本容灾备份D.明确专门网络安全管理机构，配备专职安全管理人员2.当前生成式AI服务落地应用面临的典型安全风险包括（）。A.训练数据投毒导致生成内容存在偏见、错误引导B.被恶意利用生成恶意代码、钓鱼邮件等网络攻击工具C.训练数据未获得合法授权导致生成内容侵犯知识产权D.深度伪造生成内容被用于电信诈骗、谣言传播等违法活动3.下列关于零信任架构落地实践的说法，正确的有（）。A.遵循“永不信任、始终验证”的核心原则B.访问控制策略基于身份、设备、环境等多维度信息动态调整C.默认划分内网安全域，内网来源的访问请求无需重复验证D.落实最小权限原则，根据访问主体实际需求动态授予权限4.工业控制系统网络区别于传统IT网络的特有安全风险包括（）。A.设备生命周期长达10-20年，大量老旧系统存在未修复漏洞且无法随意停机打补丁B.主流工控协议普遍缺乏身份认证、加密传输机制，易被劫持篡改C.工控系统被攻击可能引发生产停滞、设备损坏甚至人员伤亡等物理层面后果D.工控终端普遍部署EDR、NDR等检测设备，过高的误报率会影响正常生产5.根据《个人信息保护法》，个人信息处理者处理个人信息时，无需取得个人同意的合法情形包括（）。A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，紧急情况下保护自然人生命财产安全所必需D.在公共场所安装图像采集设备用于维护公共安全，且设置显著提示标识6.2024年修订的网络安全等级保护2.0标准中，第三级系统的安全技术要求覆盖的维度包括（）。A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心7.网络钓鱼攻击的典型特征包括（）。A.仿冒官方域名、页面视觉设计，诱导用户误认为是官方服务B.利用“账号异常”“限时福利”等紧迫、诱导性话术引导用户操作C.要求用户输入账号密码、银行卡号、验证码等敏感信息D.所有钓鱼链接均使用HTTP非加密协议，可直接通过协议类型识别8.第三级信息系统开展商用密码应用安全性评估时，密码应用防护要求覆盖的层面包括（）。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全E.密码管理制度与人员建设9.企业开展数据分类分级工作应当遵循的核心原则包括（）。A.合法合规原则，严格按照国家、行业标准开展分类分级B.就高从严原则，当数据同时符合多个级别判定标准时，按最高级别防护C.动态调整原则，根据业务变化、法规更新定期调整分类分级结果D.自主定级原则，企业可自行确定重要数据级别，无需向监管部门备案10.2024年以来我国高发的网络安全攻击类型包括（）。A.利用AI换脸、语音克隆技术实施的电信网络诈骗B.针对企业核心业务数据的勒索软件攻击C.利用开源组件漏洞发起的软件供应链攻击D.控制家用智能设备组建僵尸网络发起的大规模DDoS攻击第三部分判断题（每题1分，共10分。正确填√，错误填×）1.根据《网络安全法》，网络运营者对收集的用户信息严格保密，只要获得用户明确同意，即可将用户信息任意提供给第三方使用。（）2.零信任架构下，用户完成一次身份认证后即可持续访问授权范围内的所有系统资源，访问有效期内无需重复验证。（）3.主流勒索软件通常采用对称加密算法加密受害者本地文件，再通过攻击者公钥非对称加密文件解密密钥，兼顾加密效率和密钥安全性，受害者支付赎金后可获得密钥解密文件。（）4.个人信息处理者处理不满14周岁未成年人的个人信息，应当取得未成年人父母或其他监护人的单独同意。（）5.部署WAF（Web应用防火墙）后即可100%防御SQL注入、XSS等Web攻击，无需再开展应用层代码安全加固。（）6.我国商用密码算法SM2、SM3、SM4、SM9属于国家秘密，任何单位和个人不得擅自公开、使用。（）7.网络安全应急演练中，为最大化发现系统安全隐患，参演队伍可在未获得资产所属单位书面授权的情况下，对目标系统开展漏洞扫描、渗透测试操作。（）8.根据《数据安全法》，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据，实行最严格的管理制度。（）9.钓鱼邮件的发件人地址显示为官方域名的，可直接判定为真实官方邮件，不存在钓鱼风险。（）10.工业控制系统与办公网络之间部署物理隔离网闸后，即可完全阻断外部攻击路径，工控网络不存在被入侵风险。（）第四部分简答题（每题5分，共20分）1.简述2025年企业落地应用生成式AI服务时，应当落实的核心安全防护措施。2.简述企业开展数据分类分级工作的基本流程。3.简述关键信息基础设施运营者落实供应链安全管理的核心要求。4.简述网络安全事件应急响应的标准化工作流程。第五部分综合分析题（每题15分，共30分）1.某省级三甲医院2025年上线智慧医疗综合服务平台，平台覆盖线上挂号、电子病历查询、在线问诊、医保结算、联网医疗设备管理等功能，按照网络安全等级保护第三级要求建设，存储有230万条患者的就诊记录、生物识别核验信息、医保账户信息，平台对接省级医保结算系统、全市120急救调度系统，被属地网信部门认定为关键信息基础设施。结合场景回答以下问题：（1）该平台作为三级等保对象和关键信息基础设施，应当履行哪些法定网络安全合规义务？（6分）（2）该平台存储的患者信息中哪些属于敏感个人信息？针对这类信息应当采取哪些针对性防护措施？（5分）（3）若该平台遭遇勒索软件攻击，导致部分电子病历被加密、患者数据疑似泄露，院方应当按照什么流程规范开展处置？（4分）2.某新能源汽车企业2025年在售智能网联汽车搭载L3级自动驾驶系统、智能车机系统、远程车控功能，可实现远程启动、自动驾驶数据记录、车外环境采集、用户驾驶行为分析等功能，车辆通过T-BOX连接企业车联网云平台，用户可通过手机APP完成车辆控制、状态查询。2025年3月，企业接安全研究人员报送，称其车机系统蓝牙模块存在高危漏洞，攻击者可在近距离通过蓝牙连接实现车辆解锁、干扰制动系统；同时有用户反馈，车辆采集的车外视频数据被企业员工违规上传至公共视频平台，造成路人隐私泄露。结合车联网安全相关法规回答以下问题：（1）针对安全研究人员报送的高危漏洞，该企业应当按照什么规范要求开展漏洞处置工作？（6分）（2）该企业在车联网数据处理过程中存在哪些合规风险？应当落实哪些数据安全管理要求？（5分）（3）针对车联网系统面临的网络攻击风险，该企业应当从哪些层面构建纵深安全防护体系？（4分）参考答案一、单项选择题1.B2.C3.C4.D5.B6.B7.C8.C9.B10.B11.C12.D13.A14.C15.A16.B17.B18.B19.C20.C二、多项选择题1.ABCD2.ABCD3.ABD4.ABC5.ABCD6.ABCDE7.ABC8.ABCDE9.ABC10.ABCD三、判断题1.×2.×3.√4.√5.×6.×7.×8.√9.×10.×四、简答题1.企业生成式AI应用落地的核心安全措施包括：一是训练数据安全管理，对训练数据开展合规审核，排查侵权、敏感、偏见内容，建立训练数据全链路溯源机制，按要求留存溯源日志，涉及个人信息的训练数据需获得合法授权并开展去标识化处理；二是模型安全防护，上线前开展对抗性测试，防御提示注入、模型越狱、训练数据投毒等攻击，部署多维度内容审核机制，对生成内容开展涉政、涉黄、涉恐、恶意代码等风险拦截；三是使用场景管控，明确内部AI使用边界，禁止员工将核心商业秘密、客户敏感个人信息输入公共大模型，处理敏感数据需部署本地化私有大模型；四是合规备案管理，面向公众提供生成式AI服务的，需按要求履行安全评估、算法备案手续，建立生成内容知识产权审核机制，避免侵权风险；五是监测应急机制，建立AI使用行为监测体系，及时发现违规输入、违规生成行为，制定AI安全事件应急预案，发生风险第一时间处置并上报。2.数据分类分级的基本流程为：一是资产梳理，全面盘点全量数据资产，明确数据来源、存储位置、处理流程、使用主体、流转路径、对外提供规则，形成完整的数据资产清单；二是属性识别，从数据一旦遭篡改、破坏、泄露后的影响对象（国家安全、公共利益、个人权益、组织合法权益）、影响程度两个维度，识别数据的安全属性；三是分类定级，按照国家、行业标准将数据划分为公共数据、个人信息、企业数据等大类，结合业务属性细分二级、三级类目；根据危害程度从高到低将数据划分为核心数据、重要数据、一般数据三个级别，个人信息进一步细分为敏感个人信息、一般个人信息；四是审核备案，组织内部业务、安全部门及外部专家对分类分级结果开展审核，重要数据、核心数据目录按要求报行业主管部门、网信部门备案；五是动态调整，每年至少开展一次分类分级复核，当业务场景、数据敏感程度、法规要求发生变化时及时调整定级结果和防护策略。3.CII运营者供应链安全管理核心要求包括：一是采购环节管控，优先采购安全可信的网络产品和服务，采购前审查供应商资质、安全能力、过往安全记录，采购可能影响国家安全的产品服务需通过国家网络安全审查；二是协议责任约束，与供应商签订安全保密协议，明确漏洞通报时限、补丁更新责任、禁止预留后门、数据保护义务、服务终止后的安全交接要求；三是上线安全检测，采购的软硬件产品上线前开展漏洞扫描、恶意代码检测、后门排查，对集成的开源组件开展成分分析，排查高危漏洞、开源许可证风险；四是运行期持续管控，定期评估供应商安全能力，跟踪产品漏洞通报信息，及时修复高危漏洞，对供应商远程运维通道实行多因子认证、全程审计、最小权限管控；五是应急保障，制定供应链安全事件应急预案，当发生供应商产品高危漏洞、供应链投毒、服务中断等事件时，第一时间采取隔离、替换、补救措施，保障业务连续性，按要求向监管部门上报事件。4.网络安全应急响应标准化流程为：一是准备阶段，组建专职应急响应团队，制定分类分级应急预案，配备应急工具、设备，定期开展应急演练，落实系统和数据容灾备份机制，保障日志留存满足溯源要求；二是检测与报告阶段，通过安全设备告警、人员上报等渠道发现事件，初步研判事件性质、影响范围、危害等级，按照规定时限向监管部门上报事件初报信息；三是遏制阶段，第一时间采取阻断措施，包括隔离受感染主机、封禁恶意IP、停用失陷账号、阻断攻击链路，防止事件扩散影响核心业务；四是根除与恢复阶段，排查攻击根源，彻底清除攻击者植入的后门、恶意程序、持久化机制，修复被利用的漏洞，完成系统加固后逐步恢复受影响业务和数据，恢复过程中校验数据完整性，避免被篡改数据上线；五是复盘改进阶段，事件处置完成后开展溯源复盘，分析事件根因和处置过程中的不足，形成事件处置报告，针对性完善防护策略、应急预案，开展人员安全培训，避免同类事件重复发生。五、综合分析题1.（1）法定合规义务包括：一是等级保护义务，按照三级等保要求落实物理、网络、边界、计算环境、管理中心的三重防护要求，每年至少开展一次等级测评，定期开展漏洞扫描、风险评估，对发现的问题及时整改；二是CII专项保护义务，明确专门网络安全管理机构，配备专职安全管理负责人和从业人员，每年至少开展一次全面网络安全检测和风险评估，重要系统和数据落实容灾备份，定期开展应急演练，采购涉及国家安全的产品服务通过网络安全审查；三是数据安全义务，开展数据分类分级，识别重要数据、核心数据目录，建立数据全生命周期防护制度，重要数据出境严格履行安全评估程序；四是密码应用义务，按照密评要求落实国密算法在身份认证、传输加密、存储加密、完整性校验场景的应用，每年至少开展一次商用密码应用安全性评估；五是个人信息保护义务，处理患者敏感个人信息需取得单独同意，公开个人信息处理规则，保障个人信息主体的查阅、复制、更正、删除、可携带等权利，定期开展个人信息保护影响评估；六是应急处置义务，建立7*24小时安全监测机制，发生重大网络安全事件1小时内上报属地网信、公安、卫健、医保部门，配合监管部门开展事件调查。（2）属于敏感个人信息的包括：患者人脸、指纹等生物识别信息，电子病历、诊断记录等医疗健康信息，医保账户、支付账户等金融信息，就诊行踪轨迹信息，不满14周岁儿童患者的全部个人信息。防护措施包括：一是技术层面，对敏感个人信息采用国密算法加密存储、加密传输，基于最小必要原则设置访问权限，对所有敏感信息访问行为进行全程日志审计，留存不少于6个月；二是合规层面，处理敏感个人信息前履行单独同意义务，明确告知处理目的、方式、存储期限，不得超出诊疗需求收集敏感信息；三是管理层面，定期开展个人信息保护影响评估，评估报告留存至少3年，建立敏感信息泄露通知机制，发生泄露及时告知患者和监管部门，采取补救措施；四是对外提供管理，确需向第三方提供患者敏感信息的，应当开展去标识化处理，取得患者单独同意，并对第三方数据处理行为进行全程监督。（3）处置流程为：一是立即启动应急预案，第一时间隔离受感染服务器和终端，断开受影响区域与医保平台、120调度系统的连接，防止勒索病毒横向扩散，重点保障急诊、手术、重症监护等核心诊疗业务连续运行；二是快速研判上报，组织技术力量确认病毒变种、加密范围、数据泄露规模，在1小时内向属地公安、网信、卫健部门上报事件情况，联系具备资质的网络安全应急机构开展技术支援，严禁擅自向攻击者支付赎金；三是根除恢复，彻底排查攻击入口，清除病毒和攻击者留下的持久化后门，修复被利用的系统漏洞，通过离线备份恢复被加密的电子病历数据，校验数据完整性后，在确认系统无残余风险的前提下逐步恢复业务；四是复盘改进，事件处置完成后开展溯源分析，明确攻击路径和管理漏洞，完善防护体系，按规定向患者告知数据泄露范围和应对措施，配合公安机关开展案件侦破工作。2.（1）高危漏洞处置要求：一是漏洞报送，接到漏洞报告后48小时内完成漏洞真实性、危害等级验证，将高危漏洞信息报送工信部网络安全威胁和漏洞信息共享平台、公安部门，不得隐瞒、拖延漏洞报送；二是补丁研发，立即组织技术团队开发漏洞修复补丁，高危漏洞需在确认后15日内完成补丁开发和安全测试，通过OTA机制向所有受影响车辆推送升级包，升级包采用国密算法签名，防止被篡改植入恶意代码；三是用户告知，通过车机系统、手机APP明确告知用户漏洞风险和升级操作指引，引导用户及时完成补丁更新，对无法通过OTA升级的老旧车型，通过线下服务网点提供免费漏洞修复服务；四是漏洞响应渠道建设，建立公开的漏洞接收和奖励机制，对合规报送漏洞的安全研究人员按规定给予奖励，不得恶意追究合规漏洞披露人员的法律责任；五是漏洞闭环管理，补丁推送后开展回归测试，确认漏洞完全修复且无衍生风险，将漏洞处置情况向监管部门反馈；六是全面排查，针对本次漏洞暴露的问题，对全车机系统、车