2026年网络安全管理员高级工模拟试题与参考答案

2026年网络安全管理员高级工模拟试题与参考答案一、单项选择题（共30题，每题1分，总计30分）1.等保2.0标准体系中，第三级信息系统的测评周期要求为（）A.每半年一次B.每年一次C.每两年一次D.每三年一次参考答案：B。解析：根据《网络安全等级保护测评要求》，第二级系统每两年开展一次等级测评，第三级及以上系统每年开展一次等级测评，属于强制合规要求。2.下列针对OWASPTop102025版新增风险项“AI模型供应链投毒”的防御措施，错误的是（）A.对第三方开源预训练模型进行哈希校验B.直接部署公开平台下载的LoRA微调模型到生产环境C.建立模型训练数据集溯源机制D.对模型推理接口设置输入输出内容审计规则参考答案：B。解析：公开平台未经过安全校验的微调模型可能植入后门、对抗样本触发器，直接部署会导致数据泄露、推理结果被篡改，必须经过沙箱检测、功能校验后方可上线。3.部署IPv6网络时，针对NDP协议欺骗攻击的最有效防御手段是（）A.开启端口安全B.部署RAGuard与SEND（安全邻居发现）机制C.配置ACL阻断ICMPv6报文D.启用DHCPv6Snooping参考答案：B。解析：NDP协议对应IPv4网络中的ARP协议，RAGuard可阻断非法路由器通告报文，SEND通过加密签名机制验证邻居报文合法性，是专门针对NDP欺骗的防御方案；阻断ICMPv6会导致IPv6地址解析、路径MTU发现等基础功能失效。4.零信任架构的核心访问控制原则是（）A.内网区域默认信任B.持续验证，永不信任C.基于IP地址划分信任域D.仅在外网访问时进行身份校验参考答案：B。解析：零信任打破传统网络边界信任模型，无论访问主体处于内网还是外网，每次访问资源都需要经过身份、环境、权限的多维度持续校验，不存在默认信任的网络区域。5.下列关于数据分类分级保护要求的表述，符合《网络数据安全管理条例》规定的是（）A.核心数据允许合作方在未审批情况下离线拷贝B.重要数据处理者应当每年开展一次数据安全风险评估C.一般数据无需设置任何访问权限控制D.个人敏感信息出境无需通过安全评估参考答案：B。解析：核心数据实行最严格的保护，严禁未经审批的离线导出；重要数据处理者需按年度开展风险评估并将评估结果报送监管部门；一般数据也需根据业务需求设置最小权限访问；个人敏感信息出境达到规定量级必须通过数据出境安全评估。6.针对Linux系统的Rootkit检测，下列工具中可通过对比系统调用表完整性发现恶意Rootkit的是（）A.chkrootkitB.rkhunterC.ossec-rootcheckD.以上都是参考答案：D。解析：chkrootkit、rkhunter、ossec-rootcheck均是开源Rootkit检测工具，通过对比系统关键文件哈希、系统调用表偏移、进程隐藏特征等方式识别内核级与用户级Rootkit。7.工业控制系统中，针对SCADA系统的防护要求，下列做法错误的是（）A.工控网与办公网之间部署工业防火墙并设置单向网闸B.直接在PLC控制器上安装商用杀毒软件C.关闭工控设备不必要的服务端口D.对工控操作日志留存不少于6个月参考答案：B。解析：PLC等工控设备计算资源有限，且操作系统多为定制化实时系统，无法兼容商用杀毒软件，安装杀毒软件可能导致工控程序运行异常、生产中断。8.某企业Web应用遭受CC攻击，攻击特征为大量合法IP地址请求动态查询接口，单IP请求频率仅为每分钟5次，总请求量超过业务承载能力3倍，下列防护手段中精准度最高的是（）A.直接封禁所有请求频率超过每分钟3次的IPB.配置基于用户会话Cookie的人机识别规则C.直接将域名解析到高防IP不做任何规则配置D.关闭动态查询接口参考答案：B。解析：该类CC攻击属于分布式低频CC，单IP频率接近正常用户，单纯基于IP频率封禁会导致大量正常用户被拦截；基于会话Cookie的人机识别可识别真实浏览器访问与自动化攻击脚本，在不影响正常用户的前提下拦截攻击流量。9.下列关于国密算法的应用场景，表述正确的是（）A.SM2属于对称加密算法，适用于大量数据加密B.SM3属于密码杂凑算法，可用于数据完整性校验C.SM4属于非对称加密算法，适用于数字签名D.SM9属于对称加密算法，适用于门禁卡身份认证参考答案：B。解析：SM2是非对称加密算法，用于数字签名、密钥交换；SM3是哈希算法，输出256位摘要，可用于完整性校验、数字签名摘要生成；SM4是对称分组加密算法，用于数据传输加密；SM9是标识非对称加密算法，无需数字证书即可实现身份认证。10.开展应急响应处置时，对被入侵服务器进行证据固定的第一优先级操作是（）A.立即重启服务器清除内存中的恶意进程B.对服务器内存镜像、磁盘快照进行哈希校验后固定C.直接登录服务器删除发现的恶意文件D.将服务器连接公网开展在线病毒查杀参考答案：B。解析：网络安全事件处置需遵循证据固定优先原则，重启、删除文件、联网操作都会破坏内存中的恶意进程、网络连接、日志等关键证据，必须先通过内存镜像、磁盘快照方式完成证据固定，再开展后续处置工作。11.下列漏洞类型中，属于逻辑漏洞的是（）A.SQL注入B.XSS跨站脚本C.越权访问D.缓冲区溢出参考答案：C。解析：越权访问是由于应用系统权限校验逻辑缺失导致的漏洞，属于逻辑漏洞；SQL注入、XSS、缓冲区溢出均属于代码注入类漏洞。12.Windows系统中，下列注册表键值最有可能被恶意代码设置实现持久化潜伏的是（）A.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunB.HKEY_CURRENT_USER\ControlPanel\DesktopC.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\FontsD.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Themes参考答案：A。解析：Run键是Windows系统最常见的自启动注册表位置，恶意代码通常会在该键下添加自身路径实现开机自启。13.针对无线网络的KRACK攻击，主要利用下列哪个协议的实现缺陷（）A.WEPB.WPA2C.WPA3D.WAPI参考答案：B。解析：KRACK（密钥重安装攻击）是针对WPA2协议四次握手过程的缺陷，攻击者可通过重传握手报文诱导客户端重新安装加密密钥，进而解密无线网络传输的数据。14.下列日志留存要求，符合《网络安全法》规定的是（）A.网络日志留存时间不少于3个月B.网络日志留存时间不少于6个月C.网络日志留存时间不少于12个月D.网络日志无需留存参考答案：B。解析：《网络安全法》第二十一条明确规定，网络运营者应当采取技术措施监测、记录网络运行状态、网络安全事件，留存相关网络日志不少于六个月。15.下列关于数据脱敏的表述，错误的是（）A.静态脱敏适用于开发测试环境的数据集批量脱敏B.动态脱敏适用于生产环境查询时的实时脱敏C.脱敏后的数据无需考虑可还原风险D.身份证号脱敏通常保留前6位与后4位参考答案：C。解析：若脱敏算法存在缺陷，如简单掩码、固定偏移替换，攻击者可通过彩虹表、关联分析还原原始数据，脱敏方案需经过不可逆性校验方可使用。16.钓鱼邮件攻击中，攻击者伪造发件人地址的技术手段主要利用下列哪个协议的缺陷（）A.SMTPB.POP3C.IMAPD.DNS参考答案：A。解析：SMTP协议默认未对发件人身份进行校验，攻击者可任意伪造发件人地址发送邮件，需通过SPF、DKIM、DMARC记录校验发件人身份。17.等保测评中，安全计算环境的控制点不包含下列哪项内容（）A.身份鉴别B.访问控制C.入侵防范D.物理访问控制参考答案：D。解析：物理访问控制属于安全物理环境的控制点，不属于计算环境范畴。18.下列备份方式中，恢复速度最快、备份所需存储空间最大的是（）A.完全备份B.增量备份C.差异备份D.日志备份参考答案：A。解析：完全备份是对所有选定数据进行完整复制，恢复时仅需一套备份文件即可完成恢复，速度最快，但每次备份都占用完整存储空间，存储开销最大。19.针对勒索病毒的防御，下列措施中有效性最低的是（）A.定期对重要数据进行离线备份B.及时修补系统与应用的高危漏洞C.对终端配置默认禁止宏脚本执行策略D.频繁更新桌面壁纸参考答案：D。解析：离线备份是勒索病毒防御的最后防线，漏洞修补、宏策略可阻断常见勒索病毒传播路径，更新桌面壁纸与勒索病毒防御无直接关联。20.SDN网络中，针对控制器的DDoS攻击最可能导致下列哪种后果（）A.所有转发设备的流表规则失效，网络整体中断B.单个终端无法联网C.仅服务器区域访问异常D.域名解析失败参考答案：A。解析：SDN网络采用控制面与转发面分离架构，控制器负责统一向交换机下发流表规则，若控制器被DDoS攻击瘫痪，所有交换设备无法获取转发规则，将导致整个网络转发中断。21.下列密码策略中，符合等保三级系统身份鉴别要求的是（）A.密码长度不低于6位，仅使用数字B.密码90天强制更换，近5次密码不可重复C.密码永久有效不更换D.所有用户使用统一初始密码无需修改参考答案：B。解析：等保三级要求身份鉴别信息具有复杂度要求并定期更换，密码长度应不低于8位，包含数字、字母、特殊字符组合，定期更换且不可重复使用最近几次的密码。22.云环境中，下列安全责任由云租户承担的是（）A.云服务器物理硬件的安全运维B.云平台底层hypervisor的漏洞修补C.租户部署在云主机上的Web应用代码安全D.云数据中心的物理门禁安全参考答案：C。解析：根据云安全责任共担模型，云服务商负责云平台底层基础设施、物理硬件、虚拟化层的安全，租户负责自身部署的操作系统、应用、数据的安全。23.下列攻击方式中，属于供应链攻击的是（）A.攻击者通过破解员工弱口令登录企业OA系统B.攻击者在开源软件依赖包中植入恶意代码，开发者引入后导致企业服务器被入侵C.攻击者发送钓鱼邮件诱导员工点击木马附件D.攻击者利用Web应用SQL注入漏洞获取数据库权限参考答案：B。解析：供应链攻击是指攻击者通过污染软件供应链环节（如开源依赖包、商业软件升级通道、硬件固件等），在软件、硬件交付到用户前植入恶意代码，进而实现入侵的攻击方式。24.当检测到内网存在DNS隧道通信时，最可能说明下列哪种情况（）A.内网主机存在正常域名解析行为B.内网主机已被植入木马，正在通过DNS隧道外传数据C.本地DNS服务器配置错误D.网络带宽不足导致解析超时参考答案：B。解析：DNS隧道是将恶意数据封装在DNS查询报文中，绕过网络边界访问控制实现数据外传的攻击手段，正常域名解析报文长度固定、查询频率稳定，不存在长报文高频查询的情况。25.下列关于蜜罐技术的表述，正确的是（）A.蜜罐部署在业务网络中会干扰正常业务运行B.蜜罐是模拟真实业务漏洞的诱捕系统，用于发现未知攻击C.蜜罐可以直接阻断所有网络攻击D.蜜罐的部署成本与普通业务服务器一致参考答案：B。解析：蜜罐不承载真实业务流量，不会干扰正常业务；蜜罐通过模拟存在漏洞的业务系统诱导攻击者攻击，记录攻击行为与攻击样本，可发现新型攻击手段；蜜罐本身不具备直接阻断攻击的能力，需要联动防火墙、EDR等设备实现阻断。26.漏洞CVSS3.1评分体系中，评分为9.8分的漏洞属于（）A.低危漏洞B.中危漏洞C.高危漏洞D.严重漏洞参考答案：D。解析：CVSS3.1评分标准为：0.1-3.9分为低危，4.0-6.9分为中危，7.0-8.9分为高危，9.0-10.0分为严重漏洞。27.下列防火墙部署模式中，无需修改原有网络拓扑、不影响现有网络转发路径的是（）A.路由模式B.透明模式C.混合模式D.NAT模式参考答案：B。解析：透明模式下防火墙工作在数据链路层，相当于二层交换机，无需配置接口IP地址，接入网络时不需要修改原有网络的路由配置与拓扑结构，对现有网络无影响。28.针对RASP（运行时应用自我保护）技术的表述，错误的是（）A.RASP部署在应用服务器内部，可监控应用运行时的函数调用B.RASP可以识别并拦截0Day漏洞攻击C.RASP部署不需要修改应用代码或安装插件D.RASP可结合上下文判断攻击行为，误报率低于WAF参考答案：C。解析：RASP需要通过安装应用服务器插件、注入agent的方式嵌入应用运行环境，才能获取应用运行时的上下文信息。29.个人信息处理中，下列哪项不属于个人敏感信息（）A.身份证号码B.银行账号C.公开的工作单位地址D.医疗健康记录参考答案：C。解析：个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，导致个人名誉、身心健康受到损害或歧视性待遇的个人信息，已经公开的工作单位地址不属于敏感信息范畴。30.下列关于网络安全应急预案演练的说法，错误的是（）A.应急预案演练需要提前制定演练方案，明确演练范围与回退机制B.实战演练可以直接在核心生产系统开展，无需预先评估风险C.演练完成后需要形成演练报告，对发现的问题及时整改D.演练可分为桌面推演、模拟演练、实战演练等多种形式参考答案：B。解析：核心生产系统开展实战演练前必须进行充分的风险评估，设置应急回退机制，避免演练操作导致真实业务中断。二、多项选择题（共10题，每题2分，总计20分；多选、少选、错选均不得分）1.下列属于网络安全等级保护2.0规定的安全通用要求层面的有（）A.安全物理环境B.安全通信网络C.安全区域边界D.安全管理中心参考答案：ABCD。解析：等保2.0安全通用要求包含安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个技术层面，以及安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个管理层面。2.下列攻击手段中，可用于内网横向移动的有（）A.利用SMB漏洞进行永恒之蓝攻击B.Pass-the-Hash（哈希传递）攻击C.WMI远程执行命令D.钓鱼邮件附件点击参考答案：ABC。解析：钓鱼邮件属于初始入侵手段，不属于内网横向移动手段；永恒之蓝、哈希传递、WMI远程执行均是攻击者获取内网单台主机权限后，向其他内网主机扩散的横向移动技术。3.Web应用防护中，可有效防御SQL注入攻击的措施有（）A.使用预编译SQL语句B.对用户输入进行严格的白名单校验C.数据库账号遵循最小权限原则D.关闭数据库错误信息回显参考答案：ABCD。解析：预编译SQL语句可将SQL代码与用户输入分离，从根本上避免SQL注入；白名单校验可阻断非法输入字符；最小权限原则可限制注入攻击的危害范围；关闭错误回显可避免攻击者获取数据库结构信息。4.终端安全管理（EDR）系统的核心功能包含（）A.终端恶意代码查杀B.终端进程行为监控C.终端外设端口管控D.终端漏洞补丁分发参考答案：ABCD。解析：EDR是下一代终端安全防护系统，具备病毒查杀、行为检测、外设管控、补丁管理、威胁溯源等核心功能。5.下列符合数据安全全生命周期防护要求的环节有（）A.数据采集时遵循最小必要原则，获得用户授权B.数据存储时采用加密存储方式，设置访问权限C.数据传输时采用TLS加密通道，防止传输窃听D.数据销毁时采用消磁、物理粉碎等方式，避免数据恢复参考答案：ABCD。解析：数据全生命周期包含采集、传输、存储、处理、交换、销毁六个环节，每个环节都需采取对应的安全防护措施。6.下列属于DDoS攻击常见类型的有（）A.SYNFlood攻击B.UDPFlood攻击C.HTTP慢速攻击D.DNS放大攻击参考答案：ABCD。解析：SYNFlood、UDPFlood属于网络层、传输层DDoS攻击，HTTP慢速攻击属于应用层DDoS攻击，DNS放大攻击属于反射型DDoS攻击。7.网络安全日常运维中，需要定期开展的工作有（）A.服务器与网络设备的漏洞扫描B.安全设备规则库升级C.安全日志审计分析D.重要数据备份有效性校验参考答案：ABCD。解析：漏洞扫描、规则升级、日志审计、备份校验均是日常运维的常规工作，需按周、月、季度周期开展，及时发现安全风险。8.下列关于VPN技术的表述，正确的有（）A.IPsecVPN适用于站点到站点的网络互联B.SSLVPN适用于终端用户远程访问内网资源C.VPN传输的数据均经过加密处理D.VPN可以完全替代防火墙的访问控制功能参考答案：ABC。解析：IPsecVPN多用于总部与分支站点之间的网络层互联，SSLVPN基于浏览器即可实现远程用户安全访问；VPN的核心是建立加密传输隧道，但不具备精细化访问控制、攻击防护能力，无法替代防火墙功能。9.下列属于社会工程学攻击手段的有（）A.冒充IT运维人员给员工打电话索要系统密码B.在公司办公楼附近丢弃带有木马程序的U盘C.伪造公司HR邮箱发送入职通知附件诱骗员工点击D.利用系统未打补丁的漏洞获取服务器权限参考答案：ABC。解析：社会工程学攻击是利用人的心理弱点骗取信息、诱导用户执行恶意操作的攻击方式，利用技术漏洞入侵不属于社会工程学范畴。10.网络安全事件分级中，符合特别重大网络安全事件（Ⅰ级）判定标准的有（）A.导致基础电信网络大面积瘫痪，影响用户超过1000万户B.关键信息基础设施核心业务系统中断超过8小时C.核心数据泄露造成特别严重的社会影响D.单个企业官网被篡改参考答案：ABC。解析：单个企业官网被篡改属于一般网络安全事件，远达不到特别重大事件标准。三、判断题（共10题，每题1分，总计10分）1.只要部署了防火墙、入侵检测系统等安全设备，网络就不会遭受入侵。（）参考答案：×。解析：安全设备仅能降低安全风险，无法100%阻断所有攻击，结合人员管理、流程制度、持续监测才能构建有效防护体系。2.漏洞扫描发现的所有漏洞都需要立即进行修补，无需评估修补影响。（）参考答案：×。解析：漏洞修补前必须评估补丁兼容性与业务影响，在测试环境验证通过后再在生产环境实施，避免补丁导致业务中断。3.企业内部使用的办公系统不需要落实网络安全等级保护要求。（）参考答案：×。解析：所有非涉密信息系统都需要按照网络安全等级保护制度要求落实相应的防护措施，内部系统同样属于等保覆盖范围。4.数据加密后就绝对不会发生泄露风险。（）参考答案：×。解析：如果加密密钥管理不当、加密算法被破解，加密后的数据依然存在泄露风险，加密只是数据防护的手段之一。5.发现网络入侵事件后，应当第一时间断开所有服务器的网络连接，不需要考虑业务影响。（）参考答案：×。解析：应急处置需要在保障业务连续性的前提下开展，应根据事件影响范围采取精准隔离措施，避免一刀切断网导致重大业务中断。6.WAF可以防御所有Web层攻击，不需要对应用代码进行安全开发。（）参考答案：×。解析：WAF存在绕过风险，无法防御所有逻辑漏洞，安全开发是Web安全的根本，WAF属于补充防护手段。7.弱口令是企业网络最常见的安全风险之一，是很多入侵事件的初始入口。（）参考答案：√。解析：根据历年网络安全事件统计，超过30%的入侵事件是由于员工账号使用弱口令被暴力破解导致的。8.网络安全是技术部门的工作，与其他业务部门员工无关。（）参考答案：×。解析：网络安全人人有责，业务部门员工是钓鱼攻击、社会工程学攻击的主要目标，需要具备基本的安全意识才能构建全员防护体系。9.离线备份的存储介质需要定期进行恢复测试，避免备份数据损坏无法使用。（）参考答案：√。解析：仅备份不验证备份有效性，当发生勒索病毒、硬件故障等问题时，可能出现备份文件损坏无法恢复的情况，必须定期开展恢复测试。10.商用密码应用安全性评估（密评）是等保三级及以上关键信息基础设施的强制要求。（）参考答案：√。解析：根据《密码法》要求，关键信息基础设施运营者应当使用商用密码进行保护，每年开展一次商用密码应用安全性评估。四、简答题（共2题，每题10分，总计20分）1.请简述企业发生勒索病毒攻击事件后的标准化应急响应流程。参考答案：（1）事件发现与告警确认（2分）：通过EDR告警、终端异常反馈（文件后缀被篡改、弹出勒索提示）确认事件真实性，初步统计受影响终端、服务器的数量与范围，判断勒索病毒家族变种。（2）风险隔离与扩散遏制（2分）：第一时间将受感染主机从网络中隔离（断开物理网络、关闭无线连接，禁止直接关机避免内存证据丢失），关闭核心交换机上受影响网段的横向移动端口（如SMB139/445、RDP3389、WMI135端口），临时阻断跨网段访问权限，防止病毒向核心业务服务器、备份系统扩散；若备份系统与业务网连通，立即暂停备份任务并隔离备份存储节点。（3）证据固定与溯源分析（2分）：对受感染主机进行内存镜像、磁盘快照留存，记录病毒样本哈希、加密文件特征、注册表自启动项、网络连接日志，通过日志溯源攻击入口（如钓鱼邮件、漏洞利用、弱口令爆破等），明确攻击时间线与感染源头。（4）漏洞修复与病毒清除（2分）：根据溯源发现的攻击入口修补对应漏洞（如修复永恒之蓝等高危漏洞、重置所有弱口令账号、封堵钓鱼邮件发件人），在离线环境下使用专杀工具清除受感染主机上的勒索病毒程序，检查系统是否存在残留后门。（5）业务恢复与复盘优化（2分）：优先从干净的离线备份中恢复核心业务数据，验证业务系统可用性后逐步恢复网络连接；事件处置完成后形成复盘报告，针对暴露的防护短板优化终端防护策略、提升员工安全意识、完善备份机制，避免同类事件再次发生。2.请简述零信任架构在企业网络落地的核心实施步骤。参考答案：（1）身份体系构建（2分）：建立统一身份管理平台（IAM），对所有人员、终端、设备、应用分配唯一数字身份，实现全场景身份统一管理，作为零信任访问控制的主体基础。（2）业务资源梳理（2分）：梳理企业所有业务系统、数据资源的访问关系，定义资源的敏感级别，取消传统基于网络区域的默认信任规则，按照最小权限原则为每个身份配置对应资源的访问权限。（3）访问控制策略部署（2分）：在网络边界、服务器前端、应用前端部署零信任网关，所有访问请求必须经过身份多因素认证、终端环境安全校验（是否安装EDR、是否存在恶意程序、是否为合规终端）、权限匹配校验后方可放行，不再以内网/外网作为信任判断依据。（4）持续信任评估（2分）：对访问行为进行持续监测，结合用户行为基线、威胁情报数据动态调整信任等级，当发现访问行为异常（如异地登录、批量下载敏感数据）时，立即触发二次认证、会话阻断等控制措施，实现动态访问控制。（5）可视化运营优化（2分）：建立统一的零信任运营平台，对所有访问日志、身份行为、拦截事件进行可视化展示，持续优化访问控制策略，逐步淘汰传统VPN、内网区域信任机制，最终实现所有业务访问的零信任覆盖。五、综合应用题（共1题，总计20分）某三甲医院计划上线新的智慧医疗信息系统，包含HIS（医院信息系统）、EMR（电子病历系统）、PACS（影像存储系统）三个核心业务模块，存储有大量患者个人敏感信息、诊疗数据，按照等保三级要求进行建设，面向内部医护人员、就诊患者、医保对接单位提供服务。请结合网络安全管理员高级工的工作要求，回答以下问题：1.请列出该系统作为三级等保对象，在安全区域边界需要部署的核心安全设备及作用（8分）；2.请针对该系统存储的患者医疗敏感数据，设计全生命周期的数据安全防护方案（8分）；3.请说明该系统正式上线前需要完成的合规性工作（4分）。参考答案：1.安全区域边界的设备部署及作用（8分）：（1）下一代防火墙（2分）：部署在互