2026年网络数据分析师专业技能认证考试试题及答案解析

2026年网络数据分析师专业技能认证考试试题及答案解析一、单项选择题（每题2分，共15题，共30分）1.在Wireshark显示过滤器中，只显示HTTP协议报文的正确定达式是？A.tcp.port==80B.httpC.http||tcp.port==443D.udp.port==80答案：B解析：显示过滤器http会显示包含HTTP协议解析信息的数据包；tcp.port==80只匹配TCP端口号，且HTTPS使用443端口。2.NetFlow流记录中通常不会包含下列哪项信息？A.源IP地址B.目的端口C.数据包应用负载内容D.流开始与结束时间答案：C解析：NetFlow记录的是流量元数据，包括五元组、时间戳、字节数和包数等，不记录数据包载荷内容。3.在MySQL中统计访问量最高的前10个URL，正确的SQL语句是？A.SELECTurl,COUNT(*)FROMaccess_logGROUPBYurlORDERBYCOUNT(*)DESCLIMIT10;B.SELECTurl,COUNT(*)FROMaccess_logORDERBYCOUNT(*)DESCGROUPBYurlLIMIT10;C.SELECTurl,COUNT(*)FROMaccess_logGROUPBYurlLIMIT10;D.SELECT*FROMaccess_logGROUPBYurlORDERBYCOUNT(*)DESCLIMIT10;答案：A解析：先按url分组，再用COUNT(*)统计次数，最后按次数降序并LIMIT10。4.有pandasDataFramedf，其中age列部分取值为空。下列哪种写法能把age列缺失值替换为该列平均值？A.df['age']=df['age'].fillna(df['age'].mean())B.df=df.replace({'age':df['age'].median()})C.df['age'].dropna(inplace=True)D.df=df.dropna(subset=['age'])答案：A解析：fillna(df['age'].mean())用均值填充缺失值并返回新列，再赋值回df['age']。5.某接口网络请求延迟的P95为120ms，下列说法正确的是？A.95%的请求延迟不超过120ms，5%超过120msB.95%的请求延迟正好为120msC.所有请求中最低的95个请求的平均延迟为120msD.5%的请求延迟不超过120ms答案：A6.下列哪种算法属于无监督异常检测算法？A.随机森林B.逻辑回归C.孤立森林D.朴素贝叶斯答案：C解析：孤立森林通过随机切割特征空间的方式识别离群点，不需要标注数据，属于无监督异常检测。7.在Linux上查看本机80端口是否处于监听状态，最合适的命令是？A.pingB.tracerouteC.ss-tlnp|grep:80D.nslookupexample答案：C解析：ss-tlnp显示当前TCP监听端口和对应进程，grep:80过滤80端口。8.TCP三次握手中，第二次握手报文的控制标志是？A.SYNB.ACKC.SYN+ACKD.FIN答案：C解析：第二次握手时服务器同时回应SYN和ACK，既确认客户端的SYN，又请求建立连接。9.绘制连续时间维度上的网络流量变化趋势，最合适的可视化图表是？A.饼图B.折线图C.雷达图D.漏斗图答案：B10.下列哪项不属于网络数据分析中典型的数据质量问题？A.客户端与服务端时钟不同步B.日志字段中存在空值和乱码C.用户姓名经过脱敏加密存储D.同一请求被多级代理重复记录答案：C解析：脱敏加密属于数据隐私保护手段，不是数据质量问题。11.关于HTTP状态码，以下描述正确的是？A.200表示请求成功B.301表示服务器内部错误C.403表示资源不存在D.500表示重定向答案：A解析：301是永久重定向，403是禁止访问，500是服务器内部错误。12.分析用户在网站内的访问路径，最合适的数据结构是？A.栈B.队列C.有向图D.哈希表答案：C解析：访问路径由页面跳转关系构成，可用有向图的节点表示页面、边表示跳转方向。13.在置信度不变的情况下，样本量增大时，总体均值置信区间宽度一般会？A.变宽B.变窄C.不变D.先变宽后变窄答案：B解析：标准误为SE=s14.下列正则表达式片段中，最能准确匹配合法IPv4地址（每段0至255）的是？A.\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}B.[0-9]{4}\.[0-9]{4}\.[0-9]{4}\.[0-9]{4}C.(25[0-5]|2[0-4]\d|1?\d?\d)\.(25[0-5]|2[0-4]\d|1?\d?\d)\.(25[0-5]|2[0-4]\d|1?\d?\d)\.(25[0-5]|2[0-4]\d|1?\d?\d)D.\d{1,2}\.\d{1,2}\.\d{1,2}\.\d{1,2}答案：C解析：A和D都会匹配如999这样的非法段，C对每段做了0-255的范围限制。15.在Hadoop生态中，HDFS主要用于？A.分布式存储B.批量计算C.实时流计算D.任务调度答案：A二、多项选择题（每题3分，共5题，共15分；多选、少选、错选均不得分）1.网络数据预处理中，常见操作包括？A.补齐或删除缺失的时间戳B.将来源IP按子网聚合C.去除完全重复的访问日志记录D.修改业务系统的源代码答案：ABC解析：预处理只处理数据本身，不修改业务系统代码。2.关于Wireshark捕获过滤器和显示过滤器，下列说法正确的有？A.两者语法不同B.捕获过滤器在数据包写入内存前生效C.显示过滤器只影响显示，不改变已捕获的数据包D.两者可以在同一会话中互换使用答案：ABC解析：捕获过滤器使用BPF语法，显示过滤器使用Wireshark专用语法，二者不能互换使用。3.下列指标中，可以用来衡量网络服务质量的有？A.吞吐量（bps）B.往返时延（RTT）C.丢包率D.数据库连接数答案：ABC解析：数据库连接数反映应用后端状态，不直接衡量网络传输质量。4.关于相关系数r，下列说法正确的有？A.r的取值范围为[B.r=C.r>D.|r答案：ACD解析：r=5.下列哪些方法可以用于识别网络爬虫流量？A.User-Agent特征B.访问频率与并发数统计C.robots.txt协议遵守情况D.请求URL中是否包含随机后缀或规律性参数答案：ABCD三、判断题（每题1分，共10题，共10分）1.在SQL中，COUNT(*)统计结果不会忽略NULL值行；而COUNT(column)会忽略该列为NULL的行。答案：正确2.网络延迟的P95越大，说明绝大多数请求的延迟越低。答案：错误3.用户点击流数据具有先后顺序，使用马尔可夫链可以建模用户从当前页面跳转到下一页面的转移概率。答案：正确4.在ECharts中，line类型的series可以同时显示多条时间序列曲线。答案：正确5.数据脱敏只适用于身份证号等个人隐私，不适用于IP地址。答案：错误6.df.groupby('date')['pv'].sum().plot(kind='bar')可以绘制每日PV柱状图。答案：正确7.同一份网络日志中，时间戳格式不一致不会影响后续分析结果。答案：错误8.TCP连接的建立需要三次握手，释放连接需要四次挥手。答案：正确9.在HiveSQL中，WHERE子句中可以使用COUNT(*)进行条件过滤。答案：错误10.对客户端IP做白名单校验后，即可完全信任该IP对应的请求，无需再校验身份。答案：错误四、简答题（每题5分，共4题，共20分）1.简述网络数据分析的基本流程，并说明每个环节的核心任务。答案：（1）数据采集：获取服务器日志、网络流量、设备指标等原始数据；（2）数据清洗：处理缺失值、重复记录和异常值，统一时间戳与地址格式；（3）特征提取：从原始字段中生成请求频率、字节数、状态码分布等分析特征；（4）分析与建模：通过统计或机器学习方法发现规律、识别异常；（5）可视化与报告：用图表呈现结论，输出可解释的分析报告。2.给定表access_log，包含字段log_timeTIMESTAMP、client_ipSTRING、request_urlSTRING、http_statusINT。写出SQL统计2026年6月1日每个URL的请求次数，并按请求次数降序返回前5个URL。SELECTrequest_url,COUNT(*)ASrequest_cnt

FROMaccess_log

WHERElog_time>='2026-06-0100:00:00'

ANDlog_time<'2026-06-0200:00:00'

GROUPBYrequest_url

ORDERBYrequest_cntDESC

LIMIT5;3.简述3种常见网络异常流量检测方法及其原理。答案：（1）阈值检测：为PV、连接数、带宽等指标设置基线阈值，超过阈值即触发告警；（2）统计基线检测：利用历史数据计算均值、标准差或分位数，再通过Z-Score或分位数偏离程度判断异常；（3）无监督机器学习检测：使用孤立森林、DBSCAN等算法在无标签数据中发现离群点或异常簇。4.简述NetFlow与SNMP在网络数据采集方面的主要区别。答案：NetFlow基于流记录，由路由器或交换机对经过的流量按五元组聚合后输出，包含时间、端口、字节数和包数，适合流量分析、安全审计和异常检测；SNMP是设备管理协议，通过周期性轮询获取设备接口流量、CPU、内存等状态，适合设备运行监控和容量管理。五、综合分析题（共25分）某企业Web服务器集群的访问日志已存入Hive表web_access_log，主要字段如下：-log_time：TIMESTAMP，请求时间；-client_ip：STRING，客户端IP；-request_url：STRING，请求URL；-http_status：INT，HTTP状态码；-bytes：BIGINT，返回字节数。2026年5月1日至5月3日按天汇总后的部分指标如下表：日期PV独立IP数5xx响应数峰值QPS2026-05-016,200,000184,2001,8609202026-05-026,720,000186,5005,3101,4602026-05-035,840,000175,8001,720890（1）请写出基于HiveSQL从原始表web_access_log统计2026年5月1日至5月3日每日PV、独立IP数、5xx响应数和5xx错误率（百分比）的查询语句。（2）请计算5月2日相对于5月1日PV的环比增长率，以及5月1日、5月2日两天的5xx错误率，并结合独立IP数和峰值QPS的变化，判断5月2日是否存在明显异常。（3）若需进一步确认是否存在自动化攻击流量，请列出至少4个需要重点分析的维度和统计特征，并说明一种基于5分钟窗口识别突发流量异常的判定方法。答案：（1）HiveSQL查询语句如下：SELECTTO_DATE(log_time)ASdate,

COUNT(*)ASpv,

COUNT(DISTINCTclient_ip)ASuv,

SUM(IF(http_statusBETWEEN500AND599,1,0))ASerror_cnt,

ROUND(SUM(IF(http_statusBETWEEN500AND599,1,0))*100.0/COUNT(*),4)ASerror_rate_pct

FROMweb_access_log

WHERElog_time>='2026-05-0100:00:00'

ANDlog_time<'2026-05-0400:00:00'

GROUPBYTO_DATE(log_time)

ORDERBYdate;说明：pv用COUNT(*)统计请求总数；uv使用COUNT(DISTINCTclient_ip)近似表示；5xx响应数通过条件聚合得到。（2）计算过程如下：5月2日相比5月1日PV环比增长率：67200005月1日5xx错误率：18605月2日5xx错误率：53105月2日独立IP数较5月1日增长约1.25%，而PV增长8.39%，峰值QPS从920增长至1460，增幅约58.70%，同时5xx错误率从0.0300%上升至0.0790%，约为前一天的2.63倍。综合判断：5月2日存在明显异常特征。独立IP数增幅不大，但请求量和峰值QPS大幅增长，且5xx错误率同步升高，说明流量可能来自少数高频客户端或自动化脚本，而非大量真实用户自然增长。但要最终确认是否为攻击，还需结合源