2026年《网络与信息安全管理员》考试单选练习题及答案

2026年《网络与信息安全管理员》考试单选练习题及答案1.根据《生成式人工智能服务管理暂行办法》，我国境内提供生成式人工智能服务，提供者应当落实哪项主体责任，对生成内容的合法性、合规性负责？A.网络运营者主体责任B.网络安全主体责任C.信息内容安全主体责任D.算法安全主体责任2.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019，即等保2.0标准），第三级网络安全保护对象的安全测评频率要求是？A.至少每年开展一次测评B.至少每半年开展一次测评C.至少每两年开展一次测评D.至少每季度开展一次测评3.零信任是当前主流的网络安全架构，其核心设计原则是？A.永不信任，始终验证B.默认信任，内部网络无需验证C.基于边界防护，内部默认可信D.身份优先，信任永久授予4.下列加密算法中，属于非对称加密算法的是？A.AESB.DESC.RSAD.SM45.根据《信息安全技术信息系统物理安全技术要求》（GB/T21052-2007），信息系统A级物理安全机房的建筑耐火等级要求不低于？A.一级B.二级C.三级D.四级6.防御SQL注入攻击的核心有效手段是？A.对用户输入中的特殊字符进行过滤删除B.使用预编译语句，采用参数化查询C.限制用户输入内容的长度D.部署Web应用防火墙（WAF）拦截攻击7.根据《中华人民共和国数据安全法》，我国对数据实行分类分级保护制度，下列属于国家核心数据范畴的是？A.关系国家安全、国民经济命脉、重要民生、重大公共利益的核心敏感数据B.一旦遭到篡改、破坏、泄露，可能危害国家安全、公共利益的数据C.一旦遭到篡改、破坏、泄露，仅会损害个人合法权益的数据D.面向社会公开的公共数据8.下列攻击场景中，属于存储型跨站脚本（XSS）攻击的是？A.用户点击攻击者构造的含恶意脚本的链接，脚本仅在当前用户浏览器执行，不会存储到服务端B.攻击者将恶意脚本提交到网站的公开评论区，所有访问该页面的用户都会触发脚本执行C.攻击者利用浏览器解析漏洞劫持用户会话，插入恶意脚本D.攻击者诱导用户访问伪造的钓鱼网站，窃取用户登录凭证9.下列关于强制访问控制（MAC）的描述，正确的是？A.由资源所有者自主决定向其他主体授予访问权限，灵活性高B.安全级别由系统管理员统一分配，任何主体都不能随意更改自身或客体的安全级别C.是当前民用办公系统最常用的访问控制模型D.通过角色分配访问权限，方便批量管理用户权限10.通用漏洞评分系统（CVSS）3.1版本中，高危漏洞的评分范围是？A.0.0~3.9B.4.0~6.9C.7.0~8.9D.9.0~10.011.根据《国家网络安全事件应急预案》，网络安全事件分为四级，其中造成全国范围内大范围骨干网络瘫痪、大量国家级政务服务系统中断运行的事件属于？A.一般网络安全事件B.较大网络安全事件C.重大网络安全事件D.特别重大网络安全事件12.我国商用密码体系中，SM2算法属于哪类密码算法？A.对称分组密码算法B.椭圆曲线非对称加密算法C.哈希散列算法D.序列密码算法13.下列选项中，不属于网络钓鱼攻击典型特征的是？A.伪装成银行、政务机构等权威主体发送诱导信息B.伪造与合法域名高度相似的钓鱼站点窃取用户敏感信息C.利用系统漏洞获取服务器权限后植入后门程序D.诱导用户点击恶意链接或输入账号密码等敏感信息14.DNS缓存污染攻击造成的主要危害是？A.导致DNS服务器硬件故障宕机无法提供解析服务B.将用户对合法域名的解析请求指向攻击者控制的错误IP地址C.窃取用户DNS查询报文，非法获取用户的网站访问记录D.耗尽DNS服务器的计算资源，造成拒绝服务攻击15.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的什么同意？A.口头同意B.书面同意C.单独同意D.概括同意16.根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，下列不属于等级保护安全要求五大核心层面的是？A.安全物理环境B.安全管理中心C.安全业务应用D.安全区域边界17.缓冲区溢出攻击产生的根本原因是？A.服务器物理内存空间不足，无法支撑程序运行B.程序未对用户输入数据的长度做合法校验，导致输入数据溢出到相邻内存区域，覆盖原有数据C.操作系统自带的内存保护机制失效D.应用程序引用的开源代码自带漏洞18.HTTPS协议通过HTTP结合哪种协议实现加密传输，保障传输数据的完整性和保密性？A.IPSecB.SSL/TLSC.SSHD.L2TP19.网络安全防御体系中，蜜罐技术的核心作用是？A.直接拦截所有恶意流量，保护真实业务系统B.诱骗攻击者访问，收集攻击信息、发现新型攻击手段，溯源攻击行为C.对业务系统的访问流量做负载均衡，提升服务可用性D.主动扫描业务系统的漏洞，帮助管理员提前修复风险20.下列DDoS攻击类型中，属于应用层DDoS攻击的是？A.SYN洪水攻击B.ICMP洪水攻击C.HTTP慢连接攻击D.UDP洪水攻击21.下列数据备份类型中，仅需要最后一次的备份文件就可以完成完整数据恢复的是？A.增量备份B.差异备份C.完全备份D.增量差异备份22.根据《中华人民共和国网络安全法》，网络运营者留存网络日志的期限不得少于？A.三个月B.六个月C.十二个月D.二十四个月23.相较于IPSecVPN，下列关于SSLVPN的优势描述正确的是？A.更适合站点到站点的企业内网互联，支持全流量互访B.不需要在客户端安装专用客户端软件，通过浏览器即可完成远程接入C.对所有网络层流量加密，安全性高于SSLVPND.配置更复杂，对终端设备的兼容性要求更高24.下列攻击方式中，属于典型社会工程学攻击的是？A.攻击者冒充企业IT运维人员打电话给员工，以系统升级为由骗取员工的办公系统账号密码B.攻击者利用网站SQL注入漏洞窃取后台数据库的用户信息C.攻击者对目标系统扫描开放端口，寻找可利用的漏洞入口D.攻击者给目标用户发送携带病毒附件的钓鱼邮件25.根据《生成式人工智能服务管理暂行办法》，下列关于生成式人工智能训练数据的要求，说法正确的是？A.可以自由使用所有互联网公开数据训练模型，无需考虑知识产权问题B.训练数据中包含个人信息的，应当依法取得个人同意，不得非法收集个人信息用于训练C.提供者仅需要审核模型生成的输出内容，无需对训练数据的合法性进行审核D.训练数据中可以包含国家秘密，只要不对外输出涉及国家秘密的内容即可26.根据《网络安全等级保护条例》，第三级网络运营者应当在安全保护等级确定后多少日内，向监管部门备案？A.10日B.15日C.30日D.60日27.下列哪个选项属于对称加密算法的特点？A.加密速度快，密钥短，适合加密大量数据B.加密速度慢，适合加密小量数据，可用于数字签名C.公钥可以公开，不需要安全信道交换密钥D.密钥管理复杂，安全性不依赖于算法保密性参考答案及解析1.答案：C解析：《生成式人工智能服务管理暂行办法》明确规定，提供生成式人工智能服务应当落实信息内容安全主体责任，建立健全信息内容审核、训练数据管理、生成内容管理等安全管理制度，对生成内容的合法性负责。其他选项中，A选项网络运营者主体责任是《网络安全法》对所有网络运营者的通用要求，B选项安全主体责任是泛称，D选项算法安全主体责任不是本法明确要求的核心落实对象，因此C正确。2.答案：A解析：根据《网络安全等级保护条例》及等保2.0相关要求，第二级等级保护对象测评频率为至少每两年一次，第三级等级保护对象测评频率为至少每年一次，第四级等级保护对象测评频率为至少每半年一次，因此本题选A。3.答案：A解析：零信任架构打破了传统网络安全“基于边界信任、内部默认安全”的假设，核心设计原则为“永不信任，始终验证”，所有访问请求都需要经过身份认证、权限校验，无论请求来自网络内部还是外部，因此A正确，BCD均为传统边界防护的思路，不符合零信任核心原则。4.答案：C解析：非对称加密算法使用公钥、私钥一对不同的密钥完成加密解密，常见的非对称加密算法包括RSA、ECC、SM2等；对称加密算法使用同一密钥完成加密解密，常见算法包括AES、DES、3DES、SM4等，因此本题选C。5.答案：B解析：根据GB/T21052-2007标准，信息系统物理安全分为A、B、C三级，其中A级为最高级，要求机房建筑的耐火等级不低于二级，B级要求不低于三级，因此本题选B。6.答案：B解析：SQL注入攻击的本质是攻击者将恶意SQL语句插入到用户输入中，欺骗数据库服务器执行非授权的恶意查询。使用预编译语句的参数化查询，将用户输入与SQL语句语法分离，无论用户输入什么内容都只会被识别为参数，不会被解析为SQL语法，是防御SQL注入的核心最有效手段。过滤特殊字符、长度限制、WAF都可以作为辅助防御手段，但都存在被绕过的可能，不是核心有效手段，因此本题选B。7.答案：A解析：根据《数据安全法》，国家核心数据是关系国家安全、国民经济命脉、重要民生、重大公共利益的核心敏感数据，是最高级别的数据保护类别；B选项描述的是重要数据的范畴，C是一般数据，D是公开数据，因此本题选A。8.答案：B解析：跨站脚本XSS分为三类：存储型、反射型、DOM型。存储型XSS的特点是恶意脚本会永久存储在服务端的数据库、页面文件中，所有访问该页面的用户都会触发脚本执行，危害最大。A选项描述的是反射型XSS，脚本不会存储在服务端，仅在当前请求中执行，因此本题选B。9.答案：B解析：强制访问控制（MAC）是一种系统级的访问控制模型，所有主体和客体的安全级别都由系统管理员统一分配，主体不能随意更改安全级别，安全性高，常用于军方、金融等高安全需求的系统。A选项描述的是自主访问控制（DAC）的特点，D选项描述的是基于角色的访问控制（RBAC）的特点，因此本题选B。10.答案：C解析：CVSS3.1版本将漏洞按评分分为四个等级：0.0~3.9为低危，4.0~6.9为中危，7.0~8.9为高危，9.0~10.0为严重（危急），因此本题选C。11.答案：D解析：《国家网络安全事件应急预案》将网络安全事件分为特别重大（Ⅰ级）、重大（Ⅱ级）、较大（Ⅲ级）、一般（Ⅳ级）四级，造成全国范围骨干网瘫痪、大量国家级服务中断的属于最高级别的特别重大网络安全事件，因此本题选D。12.答案：B解析：我国商用密码算法体系中，SM2是椭圆曲线非对称加密算法，SM3是哈希散列算法，SM4是对称分组密码算法，因此本题选B。13.答案：C解析：网络钓鱼是一种基于社会工程学的攻击，核心是通过伪装成合法主体，诱导用户主动泄露敏感信息，C选项描述的是漏洞入侵后留后门的技术攻击行为，不属于钓鱼攻击的特征，因此本题选C。14.答案：B解析：DNS缓存污染是指攻击者向DNS服务器缓存中注入错误的域名解析记录，导致用户访问合法域名时被解析到错误的IP地址，通常用于钓鱼攻击、流量劫持，因此本题选B。15.答案：C解析：《个人信息保护法》明确规定，处理敏感个人信息应当取得个人的单独同意，不能通过用户协议的概括同意获取授权，因此本题选C。16.答案：C解析：等保2.0标准的五大安全层面分别是：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，安全业务应用不属于五大核心层面，因此本题选C。17.答案：B解析：缓冲区溢出攻击的根本原因是程序设计存在缺陷，未对用户输入数据的长度进行边界校验，当输入长度超过程序缓冲区的分配空间时，多余的数据会溢出到相邻的内存区域，攻击者可以通过构造特殊输入覆盖程序的返回地址，从而执行任意恶意代码，因此本题选B。18.答案：B解析：HTTPS是在HTTP的基础上，通过SSL/TLS协议加密传输内容，实现传输的保密性和完整性，因此本题选B。IPSec用于网络层VPN加密，SSH用于远程终端加密，L2TP是第二层隧道协议，均不符合。19.答案：B解析：蜜罐是一种诱捕攻击者的防御技术，本身不承载真实业务，通过伪装成有价值的目标诱骗攻击者攻击，从而收集攻击者的攻击手段、工具、行为信息，发现新型攻击并溯源，因此本题选B。20.答案：C解析：DDoS攻击分为网络层/传输层DDoS和应用层DDoS，SYN洪水、ICMP洪水、UDP洪水都属于网络层/传输层DDoS，HTTP慢连接、CC攻击都属于应用层DDoS，针对Web应用发起攻击，因此本题选C。21.答案：C解析：完全备份是对所有需要备份的数据进行完整备份，备份完成后会清除所有文件的备份标记，恢复时仅需要最后一次的完全备份文件即可完成全部恢复。增量备份仅备份上次备份后变化的数据，恢复时需要从上次完全备份到所有增量备份的文件才能恢复；差异备份备份上次完全备份后变化的数据，恢复需要完全备份加最后一次差异备份，因此本题选C。22.答案：B解析：《中华人民共和国网络安全法》第二十一条明确规定，网络运营者应当留存网络日志不少于六个月，因此本题选B。23.答案：B解析：SSLVPN工作在应用层，基于HTTPS协议，支持通过浏览器接入，不需要安装专用客户端，对终端兼容性好，适合单个用户远程接入企业内部应用；IPSecVPN工作在网络层，适合站点到站点的企业内网互联，配置更复杂，因此本题选B。24.答案：A解析：社会工程学攻击是利用人的心理弱点、社会关系信任，而非技术漏洞，获取敏感信息或权限，A选项通过冒充身份骗取信息，是典型的社会工程学攻击。B、C都是技术攻击，D选项钓鱼邮件虽然也用到社会工程，但核心是传播恶意代码，本题A是最典型的社会工程学攻击，因此选A。25.答案：B解析：《生成式人工智能服务管理暂行办法》明