2026年《网络与信息安全管理员》考试练习题及答案

2026年《网络与信息安全管理员》考试练习题及答案一、单项选择题（共20题，每题只有1个正确答案）1.我国网络安全治理领域的基础性法律是以下哪部？A.《中华人民共和国数据安全法》B.《中华人民共和国网络安全法》C.《中华人民共和国个人信息保护法》D.《关键信息基础设施安全保护条例》答案：B解析：《中华人民共和国网络安全法》是我国网络空间治理的基础性法律，确立了网络安全治理的基本框架和规则，其余法律法规均为网络安全领域特定范畴的专项立法。2.以下哪种访问控制模型中，主体和客体均配置安全标签，由系统强制主体服从访问控制规则，广泛应用于金融、政务等高安全等级系统？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案：B解析：自主访问控制（DAC）由资源所有者自主分配访问权限；强制访问控制（MAC）由系统统一分配安全标签，强制约束访问规则，安全性更高；基于角色的访问控制（RBAC）通过角色分配权限，是企业常用模型；基于属性的访问控制（ABAC）通过主体、客体属性动态判断访问权限。3.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者处理训练数据中的个人信息，应当满足哪项要求？A.可直接使用公开渠道抓取的个人信息B.仅需做去标识化处理无需满足其他要求C.符合个人信息保护相关法律法规，具备合法处理基础D.仅需取得概括同意即可处理敏感个人信息答案：C解析：《生成式人工智能服务管理暂行办法》明确要求，生成式AI服务提供者应当保证训练数据的合法性，处理个人信息应当符合《个人信息保护法》要求，处理敏感个人信息应当取得个人单独同意。4.HTTPS协议默认使用的端口是以下哪项？A.80B.443C.8080D.22答案：B解析：80是HTTP默认端口，443是HTTPS默认端口，8080是常用代理服务端口，22是SSH远程登录默认端口。5.根据《数据分类分级规则》（GB/T41479-2022），重要数据的定义是以下哪项？A.一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会对国家安全、公共利益造成危害的数据B.一旦泄露只会损害特定自然人合法权益的数据C.对国家安全有核心影响的数据D.可对外公开的数据答案：A解析：我国数据分为公开数据、一般数据、重要数据、核心数据四级，核心数据是一旦泄露会严重危害国家安全的数据，重要数据是会危害国家安全、公共利益的数据，个人信息属于可能损害特定自然人权益的数据。6.以下哪项属于非对称加密算法？A.AESB.DESC.RSAD.SM4答案：C解析：AES、DES、SM4（我国国产商用对称加密算法）均属于对称加密算法，加密和解密使用相同密钥；RSA是典型的非对称加密算法，加密用公钥、解密用私钥，我国国产非对称加密算法为SM2。7.跨站脚本攻击（XSS）最核心的常见危害是以下哪项？A.破坏数据库物理存储介质B.窃取用户会话Cookie，冒充用户身份发起操作C.直接耗尽服务器带宽资源D.破坏服务器硬件答案：B解析：XSS攻击分为存储型、反射型、DOM型三类，核心原理是向网页注入恶意脚本，在用户浏览器端执行，最常见的用途是窃取用户会话Cookie，冒充用户登录，窃取用户敏感信息。8.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当至少多久开展一次安全检测评估？A.每半年B.每年C.每两年D.每三年答案：B解析：《关键信息基础设施安全保护条例》第十七条明确规定，关键信息基础设施运营者应当自行或者委托专门机构对关键信息基础设施每年至少进行一次安全检测评估。9.以下哪项攻击不属于社会工程学攻击范畴？A.钓鱼邮件攻击B.冒充运维人员进入机房窃取数据C.暴力破解用户密码D.冒充单位领导要求财务人员转账答案：C解析：社会工程学攻击是利用人的心理弱点、信任漏洞获取信息或权限的攻击方式，暴力破解密码是基于技术手段的自动化破解攻击，不属于社会工程学攻击。10.以下哪款工具是开源的网络漏洞扫描工具？A.WiresharkB.NmapC.OpenVASD.阿里云盾答案：C解析：Wireshark是开源网络抓包工具，Nmap是开源端口扫描工具，OpenVAS是开源全功能漏洞扫描工具，阿里云盾是商业云安全产品。11.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的哪项同意？A.口头同意B.单独同意C.默示同意D.概括同意答案：B解析：《个人信息保护法》明确规定，处理敏感个人信息（生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹等）应当取得个人的单独同意，不能通过用户协议概括授权。12.DNS欺骗攻击的核心目的是以下哪项？A.将合法域名解析到恶意IP地址，实现流量劫持B.破坏DNS服务器硬件设备C.窃取DNS服务器全部域名解析数据D.耗尽DNS服务器的计算资源答案：A解析：DNS欺骗攻击通过篡改域名解析结果，将用户访问的合法域名指向攻击者控制的恶意IP，进而实现钓鱼攻击、流量窃取。13.网络安全应急响应流程的第一步是以下哪项？A.修复漏洞B.遏制攻击扩散C.检测发现安全事件D.恢复系统业务答案：C解析：标准网络安全应急响应流程为：安全准备→检测发现事件→遏制攻击扩散→根除攻击源→恢复系统业务→复盘总结，第一步为检测确认安全事件。14.零信任架构的核心思想是以下哪项？A.永远信任，偶尔验证B.从不信任，永远验证C.内部信任，外部验证D.一次验证，永久信任答案：B解析：零信任架构打破了传统“内部网络可信、外部网络不可信”的边界思维，核心思想为“从不信任，永远验证，最小权限”，默认任何主体都不可信，每次访问都需要重新验证权限。15.SQL注入攻击的实现原理是以下哪项？A.向用户输入入口注入恶意SQL语句，篡改后端数据库执行逻辑B.向服务器发送大量数据包占用带宽资源C.在服务器硬盘植入病毒破坏硬件D.暴力破解数据库管理员密码答案：A解析：SQL注入攻击利用应用程序未对用户输入做过滤净化的漏洞，将恶意SQL语句注入后端数据库，实现数据窃取、数据篡改甚至服务器权限获取。16.根据《网络数据安全管理条例》，处理多少人以上个人信息的个人信息处理者，应当每年向省级以上网信部门报送个人信息处理合规情况？A.10万B.50万C.100万D.500万答案：C解析：《网络数据安全管理条例》明确规定，处理一百万人以上个人信息的个人信息处理者，应当每年向省级以上网信部门报送个人信息处理情况及合规审计报告。17.我国自主研发的商用密码哈希算法是以下哪项？A.SHA-256B.MD5C.SM3D.HMAC答案：C解析：SM3是我国官方发布的商用密码哈希算法，SHA-256是美国标准哈希算法，MD5是已被破解的legacy哈希算法，HMAC是基于哈希的消息认证码算法，不属于哈希算法本身。18.传统包过滤防火墙主要工作在OSI七层模型的哪一层？A.物理层和数据链路层B.网络层和传输层C.应用层D.表示层答案：B解析：包过滤防火墙基于IP地址、端口、协议类型等信息过滤流量，工作在网络层和传输层；应用层防火墙（WAF等）工作在应用层。19.计算机感染勒索病毒后，以下哪种处置方式是最不可取的？A.立即断开网络，防止病毒横向扩散B.直接支付勒索金换取解密密钥C.备份感染样本后开展排查处置D.向当地公安网安部门报案答案：B解析：支付勒索金不仅会助长网络犯罪，且多数情况下攻击者收到赎金后也不会提供可用的解密密钥，我国法规明确禁止、不建议向勒索攻击者支付赎金，因此是最不可取的处置方式。20.网络安全等级保护2.0制度中，信息系统安全等级从低到高一共分为几级？A.3级B.4级C.5级D.6级答案：C解析：网络安全等级保护将信息系统分为5个安全等级，第一级为自主保护级，第五级为专控保护级。二、多项选择题（共10题，每题有2个及以上正确答案）1.网络与信息安全管理员的核心日常工作内容包括以下哪些？A.网络安全设备（防火墙、IDS、WAF等）日常运维B.企业内部数据分类分级梳理C.定期开展漏洞扫描、隐患整改D.网络安全事件应急处置答案：ABCD解析：以上四项均属于网络与信息安全管理员的核心工作职责。2.根据《中华人民共和国个人信息保护法》，以下哪些属于敏感个人信息范畴？A.生物识别信息B.行踪轨迹信息C.医疗健康信息D.个人姓名信息答案：ABC解析：敏感个人信息指一旦泄露容易导致自然人的人格尊严、人身财产安全受到危害的个人信息，包括生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹等，个人姓名属于一般个人信息。3.常见的DDoS攻击类型包括以下哪些？A.流量型DDoS攻击B.资源耗尽型DDoS攻击C.应用层DDoS攻击D.会话劫持攻击答案：ABC解析：DDoS攻击按照攻击层级分为流量型（如UDP洪水）、资源耗尽型（如TCPSYN洪水）、应用层（如HTTP洪水）三类，会话劫持是独立的攻击类型，不属于DDoS。4.零信任架构的核心原则包括以下哪些？A.最小权限访问B.持续身份验证C.微分段隔离D.默认内部网络已被攻破答案：ABCD解析：以上四项均为零信任架构的核心设计原则。5.数据安全全生命周期管理覆盖以下哪些阶段？A.数据收集B.数据存储C.数据使用D.数据销毁答案：ABCD解析：数据安全全生命周期覆盖数据收集、存储、使用、加工、传输、提供、公开、销毁全流程。6.以下哪些属于常见的身份认证因素？A.知识因素（如密码、口令）B.持有因素（如U盾、硬件令牌）C.生物特征因素（如指纹、人脸）D.位置因素答案：ABCD解析：身份认证可基于单一或多种因素组合，以上四类均为合法的身份认证因素。7.根据《中华人民共和国网络安全法》，网络运营者应当履行的安全保护义务包括以下哪些？A.制定内部安全管理制度，明确网络安全负责人B.采取防范网络攻击、网络侵入的技术措施C.留存网络日志不少于六个月D.对重要系统和数据库进行容灾备份答案：ABCD解析：以上四项均为《网络安全法》第二十一条明确要求网络运营者履行的安全保护义务。8.以下哪些攻击属于社会工程学攻击范畴？A.钓鱼邮件攻击B.尾随进入受限办公区域C.水坑攻击D.暴力破解密码答案：ABC解析：暴力破解是基于技术的自动化攻击，不属于利用人类弱点的社会工程学攻击。9.商用密码应用安全性评估（密评）覆盖信息系统哪些阶段？A.规划设计阶段B.建设运行阶段C.运维阶段D.销毁阶段答案：ABC解析：密评覆盖信息系统从规划、建设到运维的全流程，不包含系统销毁阶段。10.网络安全事件处置完成后，应当开展哪些后续工作？A.复盘总结事件发生原因B.整改安全短板，完善安全管理制度C.修复漏洞，加固安全配置D.开展全员网络安全培训答案：ABCD解析：事件处置完成后需要复盘提升，避免同类事件再次发生，以上工作均为必要环节。三、判断题（共10题）1.只要设置了长度大于10位的复杂密码，系统就绝对安全，不需要定期扫描漏洞或更换密码。答案：错误解析：复杂密码只能提升攻击难度，无法保证绝对安全，系统仍可能存在未修复的安全漏洞，需要定期开展防护工作。2.根据《中华人民共和国个人信息保护法》，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。答案：正确解析：《个人信息保护法》明确赋予个人知情权、决定权，个人有权要求个人信息处理者解释说明个人信息处理规则和处理情况。3.HTTPS协议加密了传输内容，因此使用HTTPS的网站一定是合法安全的网站。答案：错误解析：HTTPS仅保证传输过程加密，钓鱼网站、恶意网站也可以申请HTTPS证书，因此HTTPS网站不必然合法安全。4.零信任架构默认内部网络也是不可信的。答案：正确解析：零信任打破了传统边界防护思维，默认任何位置的主体都不可信，无论是否处于企业内部网络。5.对称加密算法的加密密钥和解密密钥相同，或者可以相互推导。答案：正确解析：对称加密算法的核心特征就是加密解密密钥相同，非对称加密的公钥和私钥无法相互推导。6.关键信息基础设施运营者应当对重要系统和数据进行异地备份。答案：正确解析：《关键信息基础设施安全保护条例》明确要求关键信息基础设施运营者对重要系统和数据进行异地备份，保障业务连续性。7.将用户口令存储为明文比存储加盐后的哈希值更安全。答案：错误解析：明文存储口令一旦数据库泄露，所有口令会直接泄露，存储加盐后的哈希值可以避免明文泄露，提升安全性。8.我国网络安全法要求网络运营者留存网络日志的时间不得少于六个月。答案：正确解析：《网络安全法》第二十一条明确规定，网络运营者应当按照规定留存网络日志不少于六个月。9.勒索病毒只会通过钓鱼邮件传播。答案：错误解析：勒索病毒可以通过漏洞利用、网页挂马、移动存储介质、钓鱼邮件等多种渠道传播，邮件只是最常见的传播渠道之一。10.核心数据是我国数据分类分级中安全保护等级最高的数据类型。答案：正确解析：我国数据分类分级中，核心数据是对国家安全具有核心影响的数据，是保护等级最高的类型。四、案例分析题案例背景某国内互联网企业B，拥有1500万注册用户，收集存储了用户姓名、手机号、身份证号、支付账户等信息，2025年8月，B企业的用户管理系统存在未修复的未授权访问漏洞，被攻击者利用窃取了超过900万条用户个人信息，B企业安全管理员在一周后才通过第三方漏洞通报发现异常，未第一时间上报监管部门，也未及时通知受影响用户，导致泄露的个人信息被倒卖，数千名用户遭遇精准诈骗。问题1.B企业在本次事件中存在哪些违规行为？2.作为网络与信息安全管理员，发现数据泄露事件后应当按照什么流程规范处置？参考答案1.B企业存在的违规行为包括：（1）未履行网络安全保护义务，未建立常态化漏洞扫描整改机制，未及时发现修复系统漏洞