2026年《高级网络与信息安全管理员》考试练习题库及答案

2026年《高级网络与信息安全管理员》考试练习题库及答案一、单项选择题1.根据《网络安全等级保护条例》及现行等保2.0规范要求，第三级网络运营者应当至少多久开展一次全面的安全测评？A.6个月B.12个月C.24个月D.36个月参考答案：B解析：等保2.0规范明确，第二级网络运营者每两年开展一次测评，第三级每年开展一次，第四级每半年开展一次，因此本题选B。2.零信任安全架构的核心设计原则是？A.基于网络边界构建信任体系B.从不信任，永远验证，持续授权C.默认信任内部网络访问D.一次认证，全程信任参考答案：B解析：零信任架构打破了传统网络安全“内部可信、外部不可信”的边界信任假设，核心原则为“永不信任，始终验证”，基于最小权限原则进行持续授权，因此本题选B。3.根据《中华人民共和国数据安全法》，下列关于重要数据的描述，正确的是？A.重要数据是指一旦泄露可能危害国家安全、公共利益，不涉及个人利益的数据B.重要数据的具体目录由各行业主管部门制定，无需备案C.处理重要数据的网络运营者应当定期对数据安全风险进行评估，并向有关主管部门报送风险评估报告D.重要数据不得出境参考答案：C解析：根据《数据安全法》，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会危害国家安全、公共利益或者个人、组织合法权益的数据，A错误；重要数据目录由国家网信部门统筹制定，各地区各部门确定本地区本部门本领域的重要数据目录并报送备案，B错误；重要数据确需出境的，应当按照规定进行安全评估，D错误；C选项描述符合法律要求，因此本题选C。4.下列选项中，不属于多因素身份认证的是？A.登录密码+短信验证码B.U盾+指纹识别C.指纹识别+人脸识别D.银行卡密码+动态令牌参考答案：C解析：多因素身份认证要求同时结合两种及以上不同类型的身份认证因子，常见因子分为知识因子（密码、密保问题）、持有因子（U盾、手机、令牌）、生物因子（指纹、人脸）。C选项中指纹识别与人脸识别均属于生物因子，为同一种类型的认证因子，不属于多因素身份认证，因此本题选C。5.Heartbleed（心脏出血）漏洞属于以下哪类安全问题？A.内存越界读取漏洞B.缓冲区溢出漏洞C.SQL注入漏洞D.权限绕过漏洞参考答案：A解析：Heartbleed漏洞是OpenSSL库中存在的设计缺陷，攻击者可以利用该漏洞越界读取服务器内存中的敏感数据，包括私钥、用户会话信息等，本质属于内存越界读取漏洞，因此本题选A。6.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当留存用户对话日志不少于多久？A.3个月B.6个月C.1年D.2年参考答案：B解析：《生成式人工智能服务管理暂行办法》明确要求，生成式人工智能服务提供者应当对用户的输入、生成内容、日志信息进行留存，留存期限不少于六个月，因此本题选B。7.云服务安全责任共担模型中，以下哪项属于云客户应当自行负责的安全事项？A.云数据中心物理基础设施安全B.云服务器底层虚拟化安全C.客户部署在云服务器上的业务应用漏洞防护D.云平台网络边界防护参考答案：C解析：云安全责任共担模型中，云服务商负责云底层基础设施、物理安全、虚拟化层、平台层安全，客户负责自身部署的业务应用、数据、身份访问等上层安全，因此本题选C。8.下列哪种攻击方式属于DDoS攻击中的应用层攻击？A.SYN洪水攻击B.UDP洪水攻击C.DNS反射攻击D.HTTP慢连接攻击参考答案：D解析：SYN洪水、UDP洪水、DNS反射攻击均属于网络层/传输层DDoS攻击，HTTP慢连接攻击通过建立HTTP连接后低速发送请求，长期占用服务器连接资源，属于应用层DDoS攻击，因此本题选D。9.根据《个人信息保护法》，处理下列哪类个人信息不需要取得个人单独同意？A.敏感个人信息B.向第三方提供个人信息C.为履行法定职责处理个人信息D.公开个人敏感信息参考答案：C解析：根据《个人信息保护法》，为履行法定职责或者法定义务所必需处理个人信息，不需要取得个人同意，更不需要单独同意，C选项符合要求，因此本题选C。10.以下哪项是防止SQL注入攻击最有效的手段？A.对用户输入进行转义处理，使用预编译参数化语句B.禁止用户输入特殊字符C.关闭数据库远程访问D.修改数据库默认端口参考答案：A解析：防止SQL注入的核心是将用户输入与SQL语法语句分离，使用预编译参数化查询+输入转义是最有效的防护手段，单纯禁止特殊字符会影响正常业务，也无法完全防范绕过过滤的注入攻击，因此本题选A。11.下列哪种加密算法属于非对称加密算法？A.AESB.DESC.RSAD.SM4参考答案：C解析：AES、DES、SM4均属于对称加密算法，RSA是典型的非对称加密算法，因此本题选C。12.关键信息基础设施的认定主体是？A.国务院公安部门B.国务院网信部门C.关键信息基础设施运营者自行认定D.国务院行业主管部门参考答案：B解析：根据《关键信息基础设施安全保护条例》，关键信息基础设施由国务院网信部门统筹认定工作，因此本题选B。13.以下哪项属于网络安全态势感知的核心功能？A.对全网安全事件进行监测、分析、预警，直观呈现整体安全状态B.彻底消除所有网络安全风险C.替代所有安全防护设备D.自动修复所有系统漏洞参考答案：A解析：网络安全态势感知的核心是通过采集多源安全数据，整合分析实现整体安全状态呈现和安全风险预警，不能替代防护设备，也无法自动修复所有漏洞、消除所有风险，因此本题选A。14.钓鱼攻击最常结合哪种社会工程学手段？A.伪造可信身份诱导用户泄露敏感信息B.物理潜入办公区域窃取信息C.直接暴力破解服务器密码D.利用系统漏洞获取权限参考答案：A解析：钓鱼攻击的核心是通过伪造官方、熟人等可信身份，诱导用户点击恶意链接、下载恶意文件或者输入账号密码等敏感信息，属于典型的基于社会工程学的攻击手段，因此本题选A。15.根据《网络安全事件报告管理办法》，发生重大网络安全事件后，运营者应当最迟多久上报监管部门？A.12小时B.24小时C.48小时D.72小时参考答案：B解析：《网络安全事件报告管理办法》明确要求，发生重大网络安全事件，运营者应当在24小时内向属地网信部门和行业主管部门上报，因此本题选B。二、多项选择题1.根据《网络数据安全管理条例》，网络运营者处理个人信息时，不得实施下列哪些行为？A.过度收集个人信息B.未经用户同意向他人提供个人信息C.非法买卖个人信息D.以欺诈、胁迫等方式诱导用户同意处理个人信息参考答案：ABCD解析：《网络数据安全管理条例》明确禁止网络运营者过度收集个人信息、非法买卖提供个人信息、以欺诈胁迫方式诱导授权等行为，以上选项全部正确。2.等保2.0安全通用要求技术部分分为哪几个层面？A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心参考答案：ABCDE解析：等保2.0安全通用要求技术层面分为五个核心部分，分别是安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，以上选项全部正确。3.下列选项中，属于常见Web应用安全漏洞的有？A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.目录遍历漏洞E.未授权访问漏洞参考答案：ABCDE解析：上述五类漏洞均属于Web应用场景中高发的安全漏洞，全部正确。4.下列哪些情形下，网络运营者向境外提供个人信息或者重要数据，应当申报数据出境安全评估？A.关键信息基础设施运营者向境外提供数据B.出境数据中包含重要数据C.处理100万人以上个人信息的运营者向境外提供个人信息D.向境外提供累计超过10万人的个人信息参考答案：ABC解析：根据《数据出境安全评估办法》，关键信息基础设施运营者出境数据、出境数据含重要数据、处理100万人以上个人信息的运营者出境个人信息，应当申报安全评估；向境外提供10万人以上不满100万人个人信息不需要申报，因此D选项错误，本题选ABC。5.生成式人工智能服务提供者应当落实的安全保护义务包括？A.对训练数据的合法性进行审核，不得侵犯知识产权和个人权益B.对生成的内容进行内容安全审核，防范生成违法违规内容C.落实用户真实身份信息认证管理D.建立健全安全管理制度和应急处置机制E.定期开展安全风险评估，报送风险评估报告参考答案：ABCDE解析：以上五项均属于《生成式人工智能服务管理暂行办法》要求生成式AI服务提供者落实的安全义务，全部正确。6.网络安全应急响应的主要阶段包括？A.监测预警B.应急处置C.溯源分析D.恢复加固E.总结改进参考答案：ABCDE解析：完整的网络安全应急响应流程包括事前的监测预警、事中应急处置、溯源分析、事后恢复加固和总结改进，全部正确。7.下列关于数字签名的描述，正确的有？A.数字签名可以验证发送者身份的真实性B.数字签名可以保证数据的完整性，防止数据被篡改C.数字签名需要使用发送者的私钥进行加密D.数字签名可以防止发送者事后抵赖参考答案：ABCD解析：数字签名是通过密码算法实现的身份验证机制，核心功能包括身份认证、完整性校验、防抵赖，实现过程是发送者使用私钥对信息摘要加密，接收者使用公钥验证，以上描述全部正确。8.勒索病毒的常见传播途径包括？A.钓鱼邮件附件B.未修复漏洞的远程服务利用C.弱口令暴力破解远程桌面D.移动存储设备摆渡攻击参考答案：ABCD解析：勒索病毒的主要传播途径包括钓鱼邮件、漏洞攻击、弱口令破解、摆渡攻击等，以上选项全部正确。9.下列属于主流访问控制模型的有？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）参考答案：ABCD解析：DAC、MAC、RBAC、ABAC都是当前主流的访问控制模型，适用于不同场景的权限管理，全部正确。10.高级持续性威胁（APT）攻击的特点包括？A.攻击目标明确，多针对政府、核心企业等高价值目标B.攻击持续时间长，长期在目标网络中潜伏C.攻击手段复杂，结合零日漏洞、社会工程学等多种手段D.核心目的是窃取目标的核心敏感数据参考答案：ABCD解析：APT攻击是指组织化的攻击者对特定目标进行的长期持续性攻击，具备目标明确、潜伏时间长、手段复杂、核心目的是窃取数据的特点，以上选项全部正确。三、判断题1.《网络安全法》规定，关键信息基础设施运营者应当对其系统的安全性和风险每年至少进行一次评估。参考答案：正确解析：根据《网络安全法》第三十七条，关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况报送相关主管部门。2.存储型跨站脚本攻击（XSS）的危害大于反射型XSS，因为恶意脚本会永久存储在目标服务器上。参考答案：正确解析：存储型XSS将恶意脚本存入服务器数据库，所有访问对应页面的用户都会触发攻击，反射型XSS仅单次触发，因此存储型XSS危害更大，描述正确。3.对称加密算法的加密密钥和解密密钥不同，无法通过加密密钥推导出解密密钥。参考答案：错误解析：非对称加密算法的加密密钥和解密密钥不同，对称加密算法的加密密钥和解密密钥相同，本题描述错误。4.零信任架构要求完全取消网络边界，不允许存在内部网络区域划分。参考答案：错误解析：零信任只是打破传统边界信任假设，不默认内部网络所有访问都是可信的，并不要求取消网络边界划分，本题描述错误。5.运营者发生数据安全事件后，应当按照规定及时向网信部门报告，不得迟报、漏报、瞒报。参考答案：正确解析：根据《数据安全法》《网络安全法》要求，发生网络安全、数据安全事件应当及时上报监管部门，不得迟报瞒报，描述正确。6.CSRF跨站请求伪造攻击的本质是利用网站对用户浏览器的信任，冒充用户发起恶意请求。参考答案：正确解析：CSRF攻击通过诱导用户访问恶意页面，利用用户浏览器中保存的目标网站认证会话，冒充用户向目标网站发起请求，描述正确。7.DDoS攻击的核心目的是窃取目标系统中的核心敏感数据。参考答案：错误解析：DDoS攻击的核心目的是通过消耗目标的带宽、计算、存储等资源，导致目标服务无法为正常用户提供访问，核心目的不是窃取数据，描述错误。8.根据《个人信息保护法》，个人有权要求网络运营者更正、删除其个人信息，有权依法注销个人账号。参考答案：正确解析：《个人信息保护法》明确赋予个人对自身个人信息的知情权、决定权、更正权、删除权、账号注销权，描述正确。9.内容分发网络（CDN）无法缓解DDoS攻击的影响。参考答案：错误解析：CDN可以实现流量分流、静态资源缓存，能够有效缓解流量型DDoS攻击的影响，提升服务可用性，描述错误。10.安全基线配置核查是指检查系统、设备是否符合最低安全配置要求，关闭不必要的服务和端口，移除默认账号、弱口令等风险配置。参考答案：正确解析：安全基线是系统安全的最低要求，基线核查的核心就是验证配置是否符合要求，消除基础安全风险，描述正确。四、案例分析题案例：某省级政务服务平台面向公众提供社保查询、业务办理服务，共存储300万用户个人信息，其中包含80万条敏感个人信息（身份证、人脸信息、银行卡号等），该平台按照要求划定为等保三级系统。2025年10月，该平台发生数据泄露事件，经溯源排查，事件起因和经过如下：①平台开发阶段遗留的测试后台接口未删除，该接口未配置访问权限控制，未接入身份认证，可直接批量获取用户全量数据；②平台运营方近2年未开展漏洞扫描和安全测评，应急预案超过18个月未更新，近3年未开展应急演练；③事件发生后，平台运营方为避免影响声誉，私自对漏洞和攻击痕迹进行清理，7天后才向属地网信部门和政务主管部门报告，也未告知受影响的个人用户。问题1：本次事件中，平台运营方违反了哪些法律法规和安全规范要求？（10分）问题2：请简述平台运营方在本次事件发生后应当采取哪些正确的应急处置措施？（10分）参考答案：问题1：违反的要求包括：（1）违反网络安全等级保护要求：三级等保明确要求每年开展一次安全测评，定期开展漏洞扫描和隐患整改，该平台2年未开展测评和漏洞扫描，未落实等级保护安全管理要求；同时未按要求定期更新应急预案、开展应急演练，违反等保安全管理规范要求。（3分）（2）违反数据安全管理