网络安全等级测评师（中级）考试题库及参考答案

网络安全等级测评师（中级）考试题库及参考答案一、单项选择题（每题2分，共30题）信息系统安全保护等级，取业务信息安全等级与系统服务安全等级的（）。

A.较低者B.较高者C.平均值D.任意一个

答案：B

解析：GB/T22240，定级取两者较高值作为系统最终安全保护等级。三级等保系统，至少（）开展一次等级测评。

A.半年B.1年C.2年D.3年

答案：B

解析：第三级信息系统应当每年至少进行一次等级测评。下面不属于等保测评三种基本测评方法的是（）。

A.访谈B.核查C.测试D.渗透攻击

答案：D

解析：测评三方法：访谈、核查、测试。渗透属于测试手段，但不属于三类基础测评方法。GB/T22239-2019基本要求分为哪两大板块（）。

A.物理安全、网络安全

B.技术要求、管理要求

C.主机安全、应用安全

D.数据安全、备份恢复

答案：B下列算法属于国密对称加密算法的是（）。

A.MD5B.SM4C.RSAD.SHA256

答案：B

解析：SM4国密对称；MD5/SHA哈希；RSA非对称。机房电子门禁属于哪个安全层面（）。

A.物理安全B.网络安全C.主机安全D.应用安全

答案：A测评项目中，编制《测评方案》一般在哪个阶段（）。

A.测评准备阶段B.现场测评实施C.单项判定D.报告编制

答案：A二级系统安全能力目标描述正确的是（）。

A.能够防护来自国家级、有丰富资源威胁源攻击

B.防护外部少量资源威胁源，遭受破坏后可恢复部分功能

C.自主发现安全漏洞，完全抵御各类攻击

D.无恢复能力

答案：B单项测评结果判定不包含以下哪类结论（）。

A.符合B.部分符合C.不符合D.无效

答案：D

解析：单项测评判定结果：符合、部分符合、不符合三类。以下哪项不属于网络安全等级保护对象（）。

A.信息系统B.通信基础设施C.数据资源D.个人手机终端

答案：D访问控制中RBAC指（）。

A.自主访问控制B.强制访问控制C.基于角色访问控制D.基于属性访问控制

答案：C日志审计留存，三级系统要求日志至少保留（）。

A.1个月B.6个月C.3个月D.12个月

答案：C

解析：三级要求安全审计日志留存不少于6个月。下面哪项不属于主机安全测评控制点（）。

A.身份鉴别B.访问控制C.剩余信息保护D.边界防火墙策略

答案：D

解析：防火墙边界属于网络安全控制点。测评现场实施前，需要签署（）规避业务测试风险。

A.现场测评授权书B.保密协议C.测评委托协议D.全部都是

答案：D云计算平台等保，云租户测评对象范围（）。

A.仅租户应用

B.租户侧系统+云平台租户相关安全组件

C.整个云平台底层基础设施

D.仅云服务商管理部分

答案：B定级对象受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，属于（）。

A.一级B.二级C.三级D.四级

答案：C安全审计，审计记录不包括（）。

A.事件日期时间B.事件类型C.主体标识D.管理员家庭住址

答案：D剩余信息保护，主要目的是（）。

A.防止存储介质销毁/释放后残留信息被提取

B.防止病毒入侵

C.防止拒绝服务攻击

D.保障带宽稳定

答案：A工业控制系统等保扩展要求，不包含（）。

A.安全通信网络B.安全区域边界C.安全计算环境D.互联网内容审计

答案：D等保测评结论形成，第一步是（）。

A.单项测评结果判定B.整体测评C.风险分析D.报告编写

答案：A下列哪一项不属于应用安全测评项（）。

A.敏感标记B.会话管理C.代码审计D.操作系统账号策略

答案：D，操作系统账号属于主机安全。三级系统身份鉴别，应支持（）鉴别技术。

A.单因子B.两种或两种以上组合身份鉴别C.仅口令D.仅短信

答案：B下面哪一项不属于等保管理要求（）。

A.安全管理制度B.安全管理机构C.人员安全管理D.数据传输加密

答案：D，传输加密属于技术要求。漏洞扫描属于测评方法中的（）。

A.访谈B.核查C.测试D.综合分析

答案：C介质销毁，涉密/重要存储介质优先采用（）。

A.简单删除文件B.格式化C.物理销毁D.复制覆盖1次

答案：C网络边界设备，防火墙主要作用（）。

A.边界访问控制B.病毒查杀C.数据库加密D.日志存储

答案：A等保工作的五个核心环节，排序正确的是（）。

A.定级→备案→建设整改→等级测评→监督检查

B.备案→定级→整改→测评→检查

C.定级→测评→备案→整改→检查

D.定级→备案→测评→整改→检查

答案：A整体测评，不分析哪一项关系（）。

A.安全控制间B.安全区域间C.安全层面间D.员工绩效关系

答案：D数据备份，三级系统重要数据应具备（）。

A.本地备份B.异地备份能力C.仅云端备份D.无需备份

答案：B中级测评师职责，错误的是（）。

A.独立编制测评方案、测评指导书

B.负责项目质量管控，组织单项、整体测评分析

C.负责测评报告编制，给出客观测评结论

D.仅现场执行漏洞扫描，不参与方案设计

答案：D二、多项选择题（每题3分，多选少选均不得分，共15题）等保技术要求包含哪几个层面（）。

A.物理安全B.网络安全C.主机安全D.应用安全E.数据安全及备份恢复

答案：ABCDE定级三要素包含（）。

A.受侵害客体B.对客体的侵害程度C.系统承载业务D.系统运维人员

答案：ABC测评过程风险，包含（）。

A.测试操作导致业务中断B.系统敏感信息泄露C.引入恶意代码D.账号锁定

答案：ABCD安全管理要求十大类包含（）。

A.安全管理制度B.安全管理机构C.人员安全管理D.系统建设管理E.系统运维管理

答案：ABCDE三级系统应用安全访问控制，正确的有（）。

A.设置敏感标记

B.依据敏感标记控制资源访问

C.限制登录失败次数

D.会话超时自动退出

答案：ABCD现场测评行为规范，正确的是（）。

A.不伪造、篡改测评证据、记录

B.遵守被测评单位机房管理规定

C.测评工具提前杀毒，不携带恶意程序

D.不私自拷贝业务敏感数据

答案：ABCD下面哪些属于物理安全控制点（）。

A.防火、防水防潮B.防静电C.防盗窃防破坏D.机房出入门禁监控

答案：ABCD整体测评需要分析（）。

A.不符合项、部分符合项之间关联

B.安全控制措施之间互补/抵消作用

C.跨区域安全措施联动缺陷

D.安全层面之间短板带来综合风险

答案：ABCD常见身份鉴别方式（）。

A.口令B.生物特征C.USBKeyD.短信验证码

答案：ABCD测评报告内容包含（）。

A.测评目的依据、对象范围

B.测评方法、测评过程

C.单项测评结果、整体测评分析

D.安全问题风险分析、测评结论、整改建议

答案：ABCD下列哪些属于安全事件（）。

A.系统被入侵、数据泄露

B.恶意代码感染

C.拒绝服务攻击

D.账号越权访问

答案：ABCD云计算扩展要求包含（）。

A.虚拟化安全B.镜像安全C.云租户隔离D.云平台运维审计

答案：ABCD测评指导书的管理要求（）。

A.版本管控B.内部评审C.按需更新D.随意修改

答案：ABC数据安全包含（）。

A.数据保密性B.完整性C.可用性D.数据销毁

答案：ABCD等保测评中测试方法包含（）。

A.漏洞扫描B.配置核查C.渗透测试D.功能验证

答案：ABCD三、判断题（每题1分，共15题）一级信息系统不需要备案，不强制开展等级测评。（√）单项测评结果“部分符合”，代表该项完全不满足标准要求。（×）

解析：部分符合，部分满足要求，但存在缺陷。整体测评只需要统计不符合项数量，不用分析风险关联。（×）三级系统日志审计，要保护审计记录不被未授权删除、修改。（√）定级对象只能是信息系统，数据资源不能单独作为定级对象。（×）测评人员可以在业务高峰期直接执行压力、渗透测试。（×）国密算法优先用于重要敏感数据存储、传输保护。（√）主机剩余信息保护，仅针对硬盘，内存不需要。（×）测评结论，不能只看符合项数量，要结合风险综合判定。（√）防火墙属于主机安全控制点。（×）中级测评师可独立开发测评指导书，并参与评审。（√）业务信息安全等级、系统服务安全等级，取较低值定级。（×）等保管理要求仅针对管理制度文档，不需要落地执行核查。（×）异地备份，目的是应对机房整体灾难，保障业务恢复。（√）访谈获取的信息，不需要核查证据，可直接判定结果。（×）四、简答题（每题6分，共4题）1.简述等保测评单项测评→整体测评的工作步骤单项测评：对每一个测评指标，通过访谈、核查、测试采集证据，判定：符合/部分符合/不符合。整体测评：分析安全控制之间、区域之间、层面之间的关联；分析不符合、部分符合项叠加带来的风险。风险分析：评估威胁利用安全缺陷的可能性，评估发生后的危害。综合判定，形成等级测评结论；输出测评报告与整改建议。2.简述中级等级测评师的能力要求熟悉等保法规政策、标准体系，理解GB/T22239、GB/T28448等标准；掌握访谈、核查、测试三类测评方法；能够独立编制测评方案、开发测评指导书，版本管控；能组织现场测评，完成单项测评判定、整体测评风险分析；独立编写测评报告，客观给出测评结论，提出合理整改建议；掌握测评项目管理、质量管控、现场风险管控，具备沟通协调能力。3.GB/T22239-2019，三级系统身份鉴别相比二级，增加哪些核心要求？应采用两种或两种以上组合的鉴别技术对用户身份鉴别；应对登录用户进行访问控制，限制登录失败次数，自动锁定账号；会话超时自动退出；重要资源设置敏感标记，基于标记控制访问。4.简述现场测评的风险控制措施项目前期签署委托协议、保密协议、现场测评授权书；测试避开业务高峰；测试前备份系统配置、数据；测评工具提前查杀恶意代码；破坏性测试（渗透、压力测试）提前审批，限定范围；安排被测评单位运维人员全程陪同；做好证据与数据保密，现场资料不得私自外传。五、案例综合分析题（20分）案例：某医院HIS系统，自主定级三级，机房门禁损坏，无视频监控；服务器操作系统存在高危漏洞，管理员账号仅简单口令；无异地备份；审计日志只保存1个月；应用系统无敏感标记；管理制度齐全，但制度未落地执行。问题：1.识别本案例技术层面主要安全问题（10分）2.说明单项测评后，整体测评分析需要关注什么？（6分）3.给出整改思路（4分）参考答案1.技术安全问题物理安全：机房门禁失效，缺少视频监控，物理访问失控。主机安全：操作系统高危漏洞未修复；身份鉴别仅单一口令，不符合三级双因子鉴别要求。数据备份：仅本地备份，缺少异地备份机制。审计：日志存储仅1个月，不满足三级至少留存6个月。应用安全：重要业务资源无敏感标记，无法基于敏感标记做访问控制。2.整体测评关注点多个缺陷叠加风险：物理门禁失效，加上主机弱口令、高危漏洞，攻击者一旦进入机房可直接接管服务器；无异地备份，发生机房灾难会造成业务数据完全丢失；日志留存不足，安全事件发生后无法追溯。要分析多个安全缺陷之间联动放大风险，不能孤立看待每一条不符合项。3.整改思路修复机房门禁，部署视频监控