2026年网络安全从业人员考试题库及答案

2026年网络安全从业人员考试题库及答案一、单项选择题（每题1分，共100分）1.《中华人民共和国网络安全法》自哪一年起施行？A.2016年B.2017年C.2018年D.2019年答案B解析《中华人民共和国网络安全法》于2016年11月7日经第十二届全国人民代表大会常务委员会第二十四次会议通过，自2017年6月1日起施行。2.根据《网络安全法》，网络运营者应当制定网络安全事件应急预案，并定期进行什么？A.漏洞扫描B.应急演练C.日志审计D.渗透测试答案B解析《网络安全法》第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；发生网络安全事件时，应当立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。3.网络安全等级保护制度将信息和信息系统安全保护等级分为几级？A.三级B.四级C.五级D.六级答案C解析根据《信息安全等级保护管理办法》，信息系统安全等级分为五级，第一级为自主保护级，第二级为指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。4.下列哪项属于网络安全等级保护第三级以上的系统应当每年至少开展一次的安全检测？A.等保测评B.渗透测试C.代码审计D.基线核查答案A解析根据等保2.0相关标准，第三级及以上信息系统每年至少开展一次等级保护测评，测评机构需具备相应资质。5.《中华人民共和国数据安全法》确立的数据分类分级保护制度要求对哪类数据实行更加严格的管理制度？A.一般数据B.重要数据C.个人数据D.企业数据答案B解析《数据安全法》第二十一条规定，国家建立数据分类分级保护制度……对列入目录的数据进行重点保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据，实行更加严格的管理制度。6.《中华人民共和国个人信息保护法》规定，处理个人信息应当遵循的原则不包括下列哪一项？A.合法原则B.正当原则C.必要原则D.免费原则答案D解析《个人信息保护法》第五条至第九条规定了处理个人信息应当遵循合法、正当、必要和诚信原则，公开透明原则，保证质量原则，责任原则等。"免费原则"不是法律规定的原则。7.根据《个人信息保护法》，处理敏感个人信息应当取得个人的什么？A.口头同意B.默示同意C.单独同意D.概括同意答案C解析《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。8.我国第一部专门针对密码应用和管理制定的法律是？A.《计算机信息系统安全保护条例》B.《中华人民共和国密码法》C.《电子签名法》D.《保守国家秘密法》答案B解析《中华人民共和国密码法》于2019年10月26日通过，自2020年1月1日起施行，是我国密码领域第一部综合性法律。9.《关键信息基础设施安全保护条例》规定，关键信息基础设施的运营者应当优先采购什么产品和服务？A.价格最低的B.国外知名品牌的C.安全可信的网络产品和服务D.功能最全的答案C解析《关键信息基础设施安全保护条例》第十九条规定，运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全审查办法进行安全审查。10.网络安全审查办法规定的网络安全审查重点评估的下列情形中，哪项不属于？A.产品和服务使用后带来的关键信息基础设施被非法控制的风险B.产品和服务供应中断对关键信息基础设施业务连续性的危害C.产品和服务价格是否最低D.产品和服务的安全性、开放性、透明性答案C解析网络安全审查重点评估的是产品和服务的安全性、可控性、供应链安全等国家安全风险因素，价格不是审查重点。11.下列哪种加密算法属于非对称加密算法？A.AESB.DESC.SM4D.RSA答案D解析RSA是典型的非对称加密算法。AES、DES、SM4均为对称加密算法。12.对称加密算法中，加密和解密使用的密钥关系是？A.加密密钥与解密密钥不同，但可互相推导B.加密密钥与解密密钥相同或可互相推导C.加密密钥与解密密钥完全不同D.加密密钥公开，解密密钥保密答案B解析对称加密算法的特点是加密密钥和解密密钥相同或实质上等同，即从一个密钥可以推导出另一个密钥。13.我国自主研发的对称密码算法是？A.AESB.SM2C.SM4D.ECC答案C解析SM4是我国国家密码管理局发布的商用分组密码算法，属于对称加密算法。SM2是我国自主设计的椭圆曲线公钥密码算法，属于非对称算法。14.我国自主研发的非对称密码算法SM2基于什么数学难题？A.大整数分解问题B.离散对数问题C.椭圆曲线离散对数问题D.背包问题答案C解析SM2算法基于椭圆曲线离散对数问题（ECDLP），相比RSA的大整数分解问题，在相同安全强度下密钥长度更短。15.SM3密码杂凑算法输出的摘要长度是？A.128位B.160位C.256位D.512位答案C解析SM3算法是我国国家密码管理局发布的密码杂凑算法，其输出摘要长度为256位。16.下列哪种算法属于哈希（散列）算法？A.RSAB.SHA-256C.RC4D.Diffie-Hellman答案B解析SHA-256（安全散列算法256位）属于哈希算法。RSA是非对称加密，RC4是流密码，Diffie-Hellman是密钥交换协议。17.数字签名的主要作用是？A.加密数据B.保证数据的机密性C.保证数据的完整性和不可否认性D.压缩数据答案C解析数字签名利用哈希函数和公钥密码技术，实现对数据完整性的验证和来源的不可否认性。加密主要保证机密性。18.PKI（公钥基础设施）的核心组件是？A.防火墙B.证书颁发机构（CA）C.入侵检测系统D.虚拟专用网络答案B解析PKI的核心是CA（CertificateAuthority，证书颁发机构），负责签发和管理数字证书。19.X.509数字证书中不包含下列哪项信息？A.证书持有者的公钥B.证书持有者的私钥C.证书有效期D.证书序列号答案B解析数字证书是公开信息，包含持有者的公钥、身份信息、有效期、序列号及CA的签名等，绝不包含私钥。私钥由持有者自己安全保管。20.在SSL/TLS握手过程中，客户端验证服务器身份主要依靠？A.IP地址B.MAC地址C.数字证书D.端口号答案C解析SSL/TLS协议通过服务器数字证书实现身份认证。客户端通过验证证书的合法性（如信任链、有效期、域名匹配等）来确认服务器身份。21.下列哪项属于典型的被动攻击？A.中间人攻击B.流量嗅探C.拒绝服务攻击D.SQL注入答案B解析被动攻击是指攻击者不修改数据、不破坏系统，仅监听或窃取信息，如流量嗅探（Sniffing）。中间人攻击、拒绝服务攻击和SQL注入均属于主动攻击。22.以下哪种攻击方式利用的是用户对合法网站的信任，通过伪造网站骗取用户信息？A.钓鱼攻击B.拒绝服务攻击C.暴力破解D.缓冲区溢出答案A解析钓鱼攻击（Phishing）通过伪装成合法的机构或网站，诱导用户提交敏感信息，利用的是用户对合法实体的信任。23.SYNFlood攻击属于哪一类攻击？A.信息泄露攻击B.拒绝服务攻击C.恶意代码攻击D.物理攻击答案B解析SYNFlood通过发送大量半连接请求，耗尽服务器资源，使其无法响应正常请求，属于典型的拒绝服务（DoS/DDoS）攻击。24.下列哪种技术可以最有效地防御DDoS攻击？A.安装杀毒软件B.修改系统密码C.流量清洗D.关闭防火墙答案C解析流量清洗（TrafficScrubbing）通过专业的抗DDoS设备或云清洗服务，过滤恶意流量，是目前防御大规模DDoS攻击最有效的手段之一。25.跨站脚本攻击（XSS）的本质原因是？A.未对用户输入进行充分过滤和输出编码B.数据库配置不当C.网络带宽不足D.服务器操作系统版本过旧答案A解析XSS攻击的根本原因在于Web应用未对用户输入进行有效过滤，也未在输出时进行合适的编码，导致恶意脚本在用户浏览器中执行。26.反射型XSS攻击与存储型XSS攻击的主要区别是？A.攻击者是否使用了JavaScriptB.恶意脚本是否被持久化存储在服务器端C.是否影响用户浏览器D.是否需要用户交互答案B解析存储型XSS将恶意脚本持久化存储在服务器（如数据库、文件等），用户访问相关页面时被执行；反射型XSS则通过URL等请求参数即时反射，不持久化存储。27.SQL注入攻击的根本原因是？A.数据库版本过低B.应用程序未对用户输入进行合法性校验，直接将输入拼接进SQL语句C.Web服务器未打补丁D.网络协议存在漏洞答案B解析SQL注入的根本原因是开发人员未对用户输入进行严格过滤和参数化处理，将不可信数据直接拼接进SQL查询语句，改变了查询语义。28.下列哪项措施可以有效防御SQL注入攻击？A.使用存储过程B.使用参数化查询（预编译语句）C.关闭数据库错误提示D.使用动态拼接SQL语句答案B解析参数化查询（PreparedStatement等）将SQL结构与数据分离，用户输入仅作为参数值传递，无法改变查询结构，是防御SQL注入最有效的手段。29.CSRF（跨站请求伪造）攻击利用的是？A.服务器端的代码漏洞B.浏览器对用户会话Cookie的自动携带机制C.数据库的权限配置缺陷D.DNS解析的漏洞答案B解析CSRF利用的是浏览器在发送请求时自动携带目标网站的Cookie（尤其是会话Cookie）的机制。攻击者诱导用户在已登录状态下访问恶意页面，触发向目标网站发送伪造请求。30.下列哪种方法可以有效防御CSRF攻击？A.在表单中添加随机Token并验证B.使用HTTPS协议C.过滤用户输入D.设置Cookie的HttpOnly属性答案A解析在表单中嵌入随机Token并在服务端验证，是防御CSRF最常用且有效的方法。HTTPS主要保证传输加密；输入过滤主要防XSS/SQL注入；HttpOnly属性主要防止Cookie被脚本窃取。31.文件上传漏洞中，下列哪种验证方式最安全？A.仅检查文件扩展名B.仅检查Content-TypeC.使用白名单校验扩展名并校验文件内容D.仅检查文件大小答案C解析仅检查扩展名或Content-Type均可被轻易绕过。最安全的方式是使用白名单校验文件扩展名，同时结合文件内容校验（如读取文件头魔数），并对上传目录禁止脚本执行权限。32.目录遍历（路径穿越）漏洞产生的原因是？A.未对用户传入的文件路径参数进行过滤，使攻击者可访问任意目录B.服务器磁盘空间不足C.Web服务器权限配置过高D.网络传输未加密答案A解析目录遍历漏洞是应用程序未对用户输入的文件路径进行安全过滤，攻击者通过../等特殊字符跳出受限目录，访问系统任意文件。33.在Linux系统中，下列哪个命令用于查看当前用户具有sudo权限？A.whoamiB.idC.sudo-lD.passwd答案C解析sudo-l命令列出当前用户被允许执行（和禁止执行）的sudo命令列表，是权限探测的常用命令。34.Linux系统中，下列哪个文件存储了用户账户信息？A./etc/passwdB./etc/shadowC./etc/groupD./etc/profile答案A解析/etc/passwd存储用户账户基本信息；/etc/shadow存储加密后的密码及密码策略信息；/etc/group存储组信息；/etc/profile是系统全局环境变量配置文件。35.Linux系统中，查看系统开放端口和服务信息的常用命令是？A.psB.netstatC.lsD.top答案B解析netstat（或ss）用于显示网络连接、路由表、端口监听状态等信息，是检查系统开放端口和服务的重要工具。36.Windows系统中，用于查看当前系统网络连接和端口状态的命令是？A.ipconfigB.netstatC.pingD.tracert答案B解析netstat在Windows和Linux中均可用于查看网络连接、监听端口等信息。ipconfig查看IP配置，ping测试连通性，tracert路由追踪。37.Windows系统注册表Run键的用途是？A.存储系统日志B.配置系统启动时自动运行的程序C.存储用户密码D.管理系统服务答案B解析HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和HKEY_CURRENT_USER\...\Run等键值用于指定系统启动时自动运行的程序，是持久化后门的常用位置。38.下列哪项属于安全基线（SecurityBaseline）的范畴？A.关闭不必要的端口和服务B.安装游戏软件C.开启共享文件夹D.关闭系统防火墙答案A解析安全基线是一组信息系统最小安全保证的配置要求，通常包括关闭不必要的端口和服务、删除多余账号、配置日志审计、设置强密码策略等。39.配置服务器安全基线时，对账号策略的正确做法是？A.允许密码永不过期B.设置密码最小长度和复杂度要求C.允许共享账号D.关闭登录失败锁定策略答案B解析强密码策略（最小长度、复杂度）和登录失败锁定是账号安全基线的核心要求。共享账号和密码永不过期都会增加安全风险。40.对Linux系统进行安全加固时，关于SSH服务的正确配置是？A.允许root用户直接远程登录B.使用默认端口22且不限制来源IPC.禁用密码登录，仅允许密钥登录D.开放所有用户的SSH访问权限答案C解析禁用SSH密码登录、仅允许密钥认证，并禁止root直接远程登录、限制来源IP，是SSH安全加固的常见措施。41.下列哪种认证方式属于多因素认证（MFA）？A.用户名+密码B.密码+短信验证码C.用户名+安全问题D.指纹识别答案B解析多因素认证要求使用两个或以上不同类型的认证因素。密码属于"所知"，短信验证码属于"所有"（手机），两者组合即多因素认证。42.在密码学中，Kerberos协议主要用于？A.网络加密传输B.身份认证C.病毒查杀D.漏洞扫描答案B解析Kerberos是一种网络身份认证协议，通过可信第三方（KDC）使用票据（Ticket）机制实现用户和服务之间的相互认证，广泛应用于WindowsActiveDirectory环境。43.OAuth2.0协议的核心用途是？A.加密传输数据B.授权第三方应用访问用户资源C.防止DDoS攻击D.管理数字证书答案B解析OAuth2.0是开放授权标准，允许用户授权第三方应用在有限权限范围内访问其存储在另一服务商上的资源，而无需共享用户密码。44.下列关于单点登录（SSO）的描述，正确的是？A.用户需要为每个系统分别输入用户名和密码B.用户只需登录一次即可访问所有互信的应用系统C.SSO只能基于密码实现D.SSO会增加用户记忆密码的负担答案B解析单点登录（SingleSign-On）的核心是用户在一次认证后，即可在参与SSO的多个应用系统间免登录切换访问，提升用户体验并减少密码疲劳。45.轻量级目录访问协议（LDAP）默认使用哪个端口？A.80B.443C.389D.3306答案C解析LDAP默认端口为389（明文），LDAPS（加密）默认端口为636。80为HTTP，443为HTTPS，3306为MySQL。46.RADIUS协议通常用于下列哪类场景？A.网络接入认证（如Wi-Fi、VPN）B.数据库加密C.Web页面缓存D.邮件内容过滤答案A解析RADIUS（远程认证拨号用户服务）是一种AAA（认证、授权、计费）协议，广泛用于网络接入设备（如Wi-Fi控制器、VPN网关）的集中认证。47.下列关于零信任安全模型的核心思想，描述正确的是？A.信任内部网络，只防御外部攻击B.默认不信任任何人和设备，持续验证C.只关注边界防火墙D.只需要对管理员进行身份认证答案B解析零信任（ZeroTrust）的核心是"从不信任，始终验证"，不再以网络边界作为信任边界，而是对每个访问请求进行持续的身份验证和权限校验。48.零信任架构中的关键技术不包括？A.微隔离B.身份与访问管理（IAM）C.软件定义边界（SDP）D.蜜罐诱捕答案D解析零信任架构的核心技术包括微隔离、IAM、SDP、持续风险评估等。蜜罐是诱捕技术，不属于零信任的核心技术体系。49.防火墙工作在OSI模型的哪一层（传统包过滤防火墙）？A.物理层B.数据链路层C.网络层D.应用层答案C解析传统包过滤防火墙工作在网络层（第三层），基于IP地址、端口号、协议类型等包头信息进行访问控制。应用层防火墙（WAF）则工作在第七层。50.下一代防火墙（NGFW）与传统防火墙相比，最大的区别是？A.增加了网口数量B.具备应用识别和深度包检测能力C.体积更小D.价格更便宜答案B解析NGFW将传统防火墙与深度包检测（DPI）、应用层识别、入侵防御（IPS）等功能深度融合，能够识别并控制具体的应用流量。51.入侵检测系统（IDS）与入侵防御系统（IPS）的核心区别是？A.IDS是被动检测告警，IPS是主动阻断防御B.IDS部署在网络出口，IPS部署在服务器C.IDS只能检测病毒，IPS只能检测入侵D.两者没有区别答案A解析IDS（入侵检测系统）以旁路方式部署，对流量进行监测和告警，不阻断攻击；IPS（入侵防御系统）以串联方式部署，能够实时检测并主动阻断恶意流量。52.蜜罐（Honeypot）技术的主要作用是？A.加密网络流量B.诱捕和分析攻击者行为C.提高网站访问速度D.替代防火墙答案B解析蜜罐通过部署仿真或虚假的系统/服务，诱骗攻击者攻击，从而记录和分析攻击者的行为特征、攻击工具和技术手段，达到防御和溯源的目的。53.安全信息和事件管理（SIEM）系统的核心功能不包括？A.日志收集与集中管理B.安全事件的关联分析C.实时告警D.漏洞自动修复答案D解析SIEM的核心功能是日志集中采集、归一化、关联分析和告警，它不直接修复漏洞，而是为安全分析和响应提供支撑。54.虚拟专用网络（VPN）的主要功能是？A.提升计算机运行速度B.在公共网络上建立加密的专用通信隧道C.替代杀毒软件D.扩展硬盘存储空间答案B解析VPN（VirtualPrivateNetwork）通过在公共网络（如互联网）上建立加密隧道，实现远程用户或分支机构与内部网络之间的安全通信。55.下列哪种协议是SSLVPN常用的协议？A.HTTPSB.FTPC.SMTPD.SNMP答案A解析SSLVPN基于SSL/TLS协议，通常通过HTTPS（443端口）进行安全访问，具有无需安装客户端、穿越防火墙方便等优点。56.IPsecVPN工作在OSI模型的哪一层？A.应用层B.传输层C.网络层D.物理层答案C解析IPsec（Internet协议安全）工作在网络层，对IP数据包进行加密和认证，保护网络层以上的所有通信数据。57.Web应用防火墙（WAF）主要防御下列哪类攻击？A.DDoS攻击（网络层大流量）B.SQL注入、XSS等Web应用攻击C.物理入侵D.硬件故障答案B解析WAF（WebApplicationFirewall）专注于应用层安全防护，主要通过规则匹配和行为分析防御SQL注入、XSS、CSRF、文件包含等Web攻击。58.下列哪种设备通常部署在组织网络的出口，实现对内外网流量的访问控制？A.交换机B.路由器C.防火墙D.集线器答案C解析防火墙是部署在网络边界（内网与外网之间）的安全设备，根据安全策略对进出的流量进行过滤和控制。59.漏洞扫描工具的主要功能是？A.实时阻断攻击B.主动探测系统和应用的安全漏洞C.加密网络通信D.备份数据答案B解析漏洞扫描器通过主动发送探测数据包，识别目标系统开放的端口、服务、版本及存在的已知安全漏洞（CVE）和错误配置。60.渗透测试与漏洞扫描的主要区别是？A.渗透测试不仅发现漏洞，还会尝试利用漏洞验证危害B.漏洞扫描比渗透测试更深入C.两者没有区别D.渗透测试不需要授权答案A解析漏洞扫描是自动化、非破坏性的漏洞发现过程；渗透测试则模拟真实攻击者的手法，尝试利用漏洞获取权限或数据，验证漏洞的实际危害程度，通常需要明确授权。61.渗透测试的授权和范围确认属于哪个阶段？A.信息收集阶段B.漏洞分析阶段C.前期交互阶段D.后渗透阶段答案C解析渗透测试标准流程（如PTES）中，前期交互（Pre-engagement）阶段包括确定测试范围、目标、时间窗口、授权书签署和测试规则等。62.在渗透测试的信息收集阶段，nslookup和dig工具主要用于？A.端口扫描B.DNS信息查询C.漏洞利用D.密码破解答案B解析nslookup和dig是用于查询DNS信息的工具，可获取域名对应的IP地址、MX记录、NS记录等信息，是信息收集阶段常用的工具。63.使用Nmap进行TCPSYN半开扫描时，使用的是哪种扫描技术？A.TCPConnect扫描B.SYN扫描（半开扫描）C.UDP扫描D.ACK扫描答案B解析Nmap的SYN扫描（-sS）通过发送SYN包，根据返回的SYN/ACK或RST判断端口状态，不完成完整的三次握手，因此称为半开扫描。64.在Metasploit框架中，exploit的含义是？A.漏洞扫描B.渗透攻击（利用漏洞获取控制权）C.密码破解D.日志清理答案B解析Metasploit框架中，Exploit（渗透攻击模块）是实际利用系统漏洞、执行攻击载荷并获取目标系统控制权的代码模块。65.在Metasploit中，payload的作用是？A.发现漏洞B.在漏洞利用成功后，在目标系统上执行的代码（如反弹Shell）C.加密通信流量D.扫描开放端口答案B解析Payload（攻击载荷）是漏洞利用成功后在目标系统上运行的一段代码，用于实现攻击者的意图，如建立反向Shell、添加用户、上传工具等。66.反弹Shell（ReverseShell）相比正向Shell的优势是？A.不需要编写代码B.可以穿透常见的防火墙入站限制C.速度更快D.不需要目标系统联网答案B解析反弹Shell由目标系统主动向外连接攻击者的监听端口，可以绕过防火墙"只允许出站连接"的限制，因此在内网渗透中广泛使用。67.下列哪项属于后渗透阶段（Post-Exploitation）的常见操作？A.端口扫描B.权限提升C.漏洞验证D.子域名枚举答案B解析后渗透阶段包括权限提升、横向移动、信息收集、持久化控制、痕迹清理等操作。端口扫描属于信息收集阶段，漏洞验证属于漏洞分析阶段。68.在Linux系统中，下列哪条命令可以查看当前用户的历史命令记录？A.historyB.lastC.wD.uname答案A解析history命令显示当前用户在Shell中执行过的历史命令。last显示用户登录记录，w显示当前登录用户，uname显示系统内核信息。69.在Windows事件日志中，事件ID4625表示？A.系统启动B.账户登录失败C.账户登录成功D.系统关机答案B解析Windows安全事件日志中，事件ID4624表示账户登录成功，事件ID4625表示账户登录失败。大量4625事件可能表明存在暴力破解攻击。70.应急响应（IncidentResponse）的第一阶段是？A.遏制（Containment）B.准备（Preparation）C.检测与分析（Detection&Analysis）D.根除（Eradication）答案B解析业界通用的应急响应生命周期模型（如SANS的PICERL模型）中，第一阶段是准备（Preparation），包括组建应急响应团队、制定预案、准备工具等。准备阶段完成后，才依次是检测与分析、遏制、根除、恢复和总结。71.在应急响应中，对受感染主机进行"取证"的首要原则是？A.尽快重启系统B.保护现场数据的原始性和完整性C.立即删除可疑文件D.格式化硬盘答案B解析数字取证的首要原则是保护证据的完整性，避免对原始数据进行任何修改。应先对内存和磁盘进行镜像备份，再进行分析。72.计算机取证中，对硬盘进行"写保护"操作的目的是？A.防止硬盘损坏B.防止在取证分析过程中修改原始数据C.提高硬盘读取速度D.防止病毒感染答案B解析写保护（WriteBlocker）确保取证分析时只能读取、不能写入原始存储介质，从而保证电子证据的完整性和法律有效性。73.在Windows取证中，下列哪项信息最能反映系统最近运行过的程序？A.回收站内容B.预读取文件（Prefetch）和用户最近访问记录C.屏幕保护程序设置D.桌面壁纸答案B解析Windows的Prefetch文件夹记录了程序启动的痕迹，用户最近访问的文档记录（如Recent文件夹、JumpList等）也能反映运行过的程序。74.内存取证中，常用工具Volatility主要用于？A.分析磁盘文件系统B.分析内存镜像中的进程、网络连接、注入代码等C.破解系统密码D.恢复删除的文件答案B解析Volatility是业界知名的内存取证框架，用于分析物理内存镜像，提取运行的进程、网络连接、内核模块、可疑注入等关键信息。75.日志分析中，下列哪种日志最适合用于追踪Web攻击行为？A.系统事件日志B.Web访问日志C.DHCP日志D.打印日志答案B解析Web访问日志（如Apache/Nginx/IIS访问日志）记录了所有HTTP请求的源IP、URL、UA、状态码等信息，是分析SQL注入、XSS等Web攻击的关键数据源。76.在Linux系统中，记录用户登录和注销等认证信息的日志文件是？A./var/log/messagesB./var/log/secureC./var/log/cronD./var/log/boot.log答案B解析/var/log/secure（在基于RedHat的系统中）记录用户登录、sudo使用、SSH认证等安全相关事件。Debian/Ubuntu系统对应的日志为/var/log/auth.log。77.下列哪种恶意代码特征属于"蠕虫"？A.需要附着在其他程序上才能传播B.能够自我复制并主动通过网络传播C.只能在单个文件中存在D.不会消耗系统资源答案B解析蠕虫（Worm）是一种能够自我复制、不依赖宿主文件、通过网络（如漏洞、邮件、移动介质等）主动传播的恶意代码。病毒则需要附着在宿主程序上。78.勒索软件（Ransomware）的主要攻击行为是？A.删除操作系统文件B.加密用户文件并勒索赎金C.窃取用户密码D.占用CPU资源挖矿答案B解析勒索软件通过对用户文件进行强加密，并弹出勒索提示要求支付赎金（通常为加密货币）以换取解密密钥，是目前危害最严重的恶意软件类型之一。79.挖矿木马（Cryptojacking）的主要特征是？A.加密用户文件B.消耗大量CPU/GPU资源进行加密货币挖矿C.窃取浏览器CookieD.删除系统日志答案B解析挖矿木马在未经用户授权的情况下，利用被感染主机的CPU/GPU资源进行加密货币挖掘，导致主机性能明显下降、电费激增。80.僵尸网络（Botnet）是指？A.一组被恶意软件控制并可供攻击者远程操控的联网设备B.一种防火墙设备C.一个病毒样本库D.一种加密算法答案A解析僵尸网络是由攻击者（Botmaster）通过恶意软件控制的众多被感染主机（僵尸主机）组成的网络，常被用于发起DDoS攻击、发送垃圾邮件等。81.在Windows系统中，查看系统服务启动类型的命令是？A.ipconfigB.scqueryC.netuserD.tasklist答案B解析scquery命令用于查询Windows服务状态和配置信息，包括服务的启动类型（自动、手动、禁用等）。tasklist用于查看进程列表。82.恶意代码分析中，静态分析（StaticAnalysis）是指？A.在沙箱中运行恶意代码并观察行为B.在不执行代码的情况下，通过反汇编、字符串提取等方式分析代码C.使用杀毒软件扫描D.监控恶意代码的网络流量答案B解析静态分析是在不运行恶意代码的情况下，通过文件格式解析、字符串提取、反汇编、反编译等手段分析代码逻辑和意图。动态分析则是在受控环境中执行代码并观察行为。83.下列哪种工具属于恶意代码动态分析沙箱？A.IDAProB.CuckooSandboxC.GhidraD.OllyDbg答案B解析CuckooSandbox是开源的自动化恶意代码动态分析系统，可在隔离环境中运行样本并自动生成行为分析报告。IDAPro、Ghidra、OllyDbg属于静态/动态调试分析工具。84.在恶意代码分析中，计算文件哈希值（如MD5、SHA-256）的主要目的是？A.加密文件B.唯一标识恶意样本并与威胁情报库比对C.压缩文件体积D.提升文件运行速度答案B解析文件哈希值是文件的唯一数字指纹，通过哈希匹配可以在VirusTotal等威胁情报平台中快速查询样本的查杀情况和恶意属性。85.在分析恶意代码的网络行为时，常用的方法不包括？A.在沙箱中运行并抓取网络流量B.查看DNS请求记录C.分析C2（命令与控制）服务器的通信特征D.直接在生产服务器上运行样本答案D解析分析恶意代码必须在隔离的受控环境（如沙箱、虚拟机）中进行，绝不能在生产环境运行，否则可能造成实际危害。86.恶意代码的"持久化（Persistence）"机制是指？A.代码编写得更长B.恶意代码在系统重启后仍能自动运行C.恶意代码加密更复杂D.恶意代码传播速度更快答案B解析持久化是恶意代码在目标系统重启、用户注销后依然能自动执行的机制，常见手段包括注册表Run键、计划任务、服务、启动文件夹等。87.威胁情报（ThreatIntelligence）中的IOC（失陷指标）通常不包括下列哪项？A.恶意IP地址B.恶意域名C.恶意文件哈希D.漏洞的CVE编号答案D解析IOC（IndicatorsofCompromise）是用于识别系统是否已被入侵的客观证据，包括恶意IP、域名、URL、文件哈希、注册表项、进程名等。CVE编号是漏洞的公开标识，不属于IOC。88.在威胁建模方法中，STRIDE模型的字母"S"代表？A.Spoofing（仿冒）B.Sniffing（嗅探）C.Scanning（扫描）D.Spamming（垃圾邮件）答案A解析STRIDE是微软提出的威胁建模方法，包括Spoofing（仿冒）、Tampering（篡改）、Repudiation（否认）、InformationDisclosure（信息泄露）、DenialofService（拒绝服务）、ElevationofPrivilege（权限提升）。89.CVSS（通用漏洞评分系统）v3.0中，基础分（BaseScore）最高为？A.5.0B.7.0C.10.0D.100.0答案C解析CVSSv3.0的基础分值为0.0至10.0，其中0.1-3.9为低危，4.0-6.9为中危，7.0-8.9为高危，9.0-10.0为严重。90.下列关于CVE（通用漏洞披露）的描述，正确的是？A.CVE是一种漏洞利用工具B.CVE是公开的漏洞标识编号体系，由CVE编号机构统一分配C.CVE是杀毒软件的名称D.CVE是防火墙的配置标准答案B解析CVE（CommonVulnerabilitiesandExposures）是公开的漏洞标识体系，为每个公开披露的安全漏洞分配全球唯一的编号，格式为CVE-年份-序号。91.软件开发安全中，SDL（安全开发生命周期）的核心目标是？A.加快软件开发速度B.在软件开发的各个阶段系统性融入安全控制，减少漏洞C.降低软件开发成本D.精简软件功能答案B解析SDL（SecurityDevelopmentLifecycle）是微软提出的安全开发方法论，强调在