2026年《网络与信息安全管理员》考试模拟练习题(附参考答案)

2026年《网络与信息安全管理员》考试模拟练习题(附参考答案)一、单项选择题（每题1分，共20分）1.根据《网络安全等级保护条例》，第三级网络安全保护对象的安全保护等级监管要求是A.自主保护B.指导保护C.监督保护D.强制保护2.OSI七层参考模型中，负责数据格式转换、加密解密的层级是A.网络层B.传输层C.会话层D.表示层3.下列算法中，属于典型对称加密算法的是A.RSAB.ECCC.AESD.DSA4.钓鱼攻击本质上属于哪一类攻击类型A.社会工程学攻击B.缓冲区溢出攻击C.拒绝服务攻击D.端口扫描攻击5.行业内定义的“零日漏洞”指的是以下哪种情况A.发现后超过0天未修复的漏洞B.厂商未公开漏洞信息、未发布官方修复补丁的漏洞C.CVSS漏洞评分为0的低危漏洞D.对系统不会造成实际危害的漏洞6.身份认证的三大核心验证因素不包括以下哪一项A.你知道什么B.你拥有什么C.你本身是什么D.你曾经做过什么7.传统包过滤防火墙的工作层级是OSI模型的A.物理层、数据链路层B.网络层、传输层C.会话层、表示层D.应用层、表示层8.SQL注入攻击产生的核心原因是A.数据库版本过低B.未对用户输入内容做合法性过滤校验C.服务器开放数据库端口D.操作系统存在漏洞9.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的A.概括同意B.单独同意C.口头同意D.无需同意10.Linux容器技术实现资源隔离的核心技术是A.Hyper-VB.DockerC.cgroup与namespaceD.KVM11.安全事件发生后，网络安全应急响应的首个核心工作环节是A.根除威胁B.检测定位C.遏制扩散D.系统恢复12.下列哈希算法中，目前未被证明存在有效碰撞漏洞、可用于安全场景的是A.MD5B.SHA-1C.SHA-256D.CRC3213.SYN洪水攻击利用了哪一种协议的设计缺陷A.TCPB.UDPC.ICMPD.HTTP14.我国国家网络安全宣传周的固定举办时间是每年的A.3月第一周B.5月第二周C.9月第三周D.11月第四周15.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当至少多久开展一次安全评估A.半年B.1年C.2年D.3年16.下列访问控制模型中，属于自主访问控制（DAC）的核心特征是A.由系统强制分配权限B.资源所有者决定权限分配C.根据角色分配权限D.根据属性动态分配权限17.数字签名技术无法实现以下哪一项安全目标A.身份认证B.数据完整性校验C.不可否认性D.数据保密性加密18.企业要求员工离职后1个工作日内必须注销所有业务系统账号，该要求遵循的安全原则是A.最小权限原则B.权限分离原则C.及时回收权限原则D.永不信任原则19.下列地址中，属于私网IP地址段的是A.5B.C.2D.20.勒索软件攻击完成加密后，攻击者通常要求受害者支付什么类型的赎金A.人民币转账B.美元支票C.比特币等加密货币D.黄金抵押二、多项选择题（每题2分，共20分）1.网络空间安全核心目标CIA三元组包含以下哪几项内容A.保密性B.完整性C.可用性D.不可否认性2.下列算法中，属于非对称加密算法的有A.RSAB.SM2C.ECCD.AES3.常见的Web应用层安全漏洞包含以下哪几项A.SQL注入B.XSS跨站脚本C.CSRF跨站请求伪造D.命令注入4.网络安全等级保护2.0标准提出的“一个中心三重防护”架构中，“三重防护”指的是A.安全管理中心防护B.通信网络防护C.区域边界防护D.计算环境防护5.根据《中华人民共和国个人信息保护法》，处理个人信息应当取得个人同意的情形有A.处理敏感个人信息B.向第三方提供他人个人信息C.处理个人信息用于履行法定职责D.为订立合同必需处理个人信息6.以下属于恶意代码常见类型的有A.计算机病毒B.蠕虫C.木马D.勒索软件7.下列认证方式中，属于生物特征身份认证的有A.指纹识别B.人脸识别C.虹膜识别D.U盾认证8.标准网络安全应急响应流程包含以下哪些核心阶段A.应急准备阶段B.检测分析阶段C.遏制根除阶段D.恢复总结阶段9.数据全生命周期安全防护包含以下哪些阶段A.数据采集B.数据存储C.数据传输D.数据销毁10.零信任架构的核心设计原则包含以下哪几项A.永不信任，始终验证B.基于最小权限分配C.假设内部网络就是安全的D.持续评估安全状态三、判断题（每题1分，共10分，正确打√，错误打×）1.只要不影响业务正常运行，高危漏洞可以延迟6个月以上修复。2.SHA-1算法的安全性高于SHA-256算法。3.相同硬件条件下，对称加密算法的运算速度远快于非对称加密算法。4.钓鱼攻击只能通过电子邮件传播，无法通过短信、社交软件等渠道传播。5.零信任架构的核心思想是“永不信任，始终验证”。6.根据《中华人民共和国网络安全法》，网络运营者留存网络日志的时间不得少于三个月。7.XSS跨站脚本攻击只能盗取用户Cookie，无法篡改网页内容。8.最小权限原则指给用户分配完成工作所需的最大权限，方便业务开展。9.我国商用密码体系中，SM2是非对称加密算法，SM4是对称加密算法。10.我国数据分类分级规则中，核心数据的保护要求高于重要数据和一般数据。四、案例分析题（每题25分，共50分）1.某本地生活服务企业为开展会员运营，收集了12万注册用户的个人信息，包括姓名、手机号、身份证号、银行卡号、收货地址、消费记录等。该企业为降低运营成本，将存储用户信息的云数据库配置为公开访问权限，未设置身份验证规则，且未对敏感数据做加密存储。2025年8月，企业安全运维人员发现数据库被非法入侵，全部用户信息被黑客窃取，引发大规模用户信息泄露事件。请结合法律法规和安全规范回答以下问题：(1)案例中涉及的个人信息里，哪些属于《个人信息保护法》定义的敏感个人信息？(2)该企业在数据安全防护方面存在哪些违规和不当操作？(3)发生数据泄露事件后，该企业应当依法采取哪些处置措施？2.某政务单位的办事查询系统经等级保护测评定为第三级，2025年11月新上线面向公众的预约查询模块后，运维人员发现服务器异常：CPU占用率长期维持在90%以上，出口带宽被占满，外部正常用户无法正常访问系统。经排查，服务器收到大量来自不同IP地址的SYN连接请求，所有请求都未完成TCP三次握手，耗尽了服务器的TCP半连接资源。请回答以下问题：(1)该系统当前遭受的是什么攻击？简述该攻击的原理。(2)结合第三级等级保护要求，该单位应当采取哪些防护措施防范此类攻击？参考答案一、单项选择题1.C2.D3.C4.A5.B6.D7.B8.B9.B10.C11.B12.C13.A14.C15.B16.B17.D18.C19.A20.C二、多项选择题1.ABC2.ABC3.ABCD4.BCD5.AB6.ABCD7.ABC8.ABCD9.ABCD10.ABD三、判断题1.×2.×3.√4.×5.√6.×7.×8.×9.√10.√四、案例分析题第1题参考答案(1)根据《个人信息保护法》，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，本案例中身份证号、银行卡号属于敏感个人信息，姓名、手机号、收货地址、消费记录属于一般个人信息。(2)该企业存在的违规和不当操作包括：①未按照《个人信息保护法》《数据安全法》要求，对敏感个人信息采取加密、去标识化等安全保护措施；②存储用户敏感信息的云数据库未配置访问控制策略，开放公开访问权限，违反了数据访问安全管控要求；③未建立定期漏洞扫描、安全监测机制，未能及时发现入侵行为，导致数据被批量窃取；④未建立数据安全管理制度和数据泄露应急响应预案，缺乏事前防范能力。(3)发生数据泄露后，该企业应当采取的处置措施包括：①立即启动应急响应，断开被入侵数据库的公网连接，修复被利用的漏洞，遏制泄露范围进一步扩大；②按照法律法规要求，在规定时间内向当地网信部门、公安机关报告泄露事件，不得瞒报、漏报；③及时告知受影响的用户泄露事件情况，提示用户修改密码、关注银行卡账户安全，采取必要措施降低用户损失；④配合监管部门开展事件调查，对内部相关责任人进行问责，全面整改数据安全管理制度，补充技术防护措施，避免同类事件再次发生。第2题参考答案(1)该系统当前遭受的是SYN洪水DDoS拒绝服务攻击。攻击原理：攻击者利用TCP三次握手的设计缺陷，向目标服务器发送大量伪造源IP地址的SYN连接请求；服务器收到SYN请求后，会分配半连接资源并回复SYN+ACK报文，等待攻击者回复ACK报文完成连接；由于源IP地址是伪造的，攻击者不会返回ACK报文，导致服务器的半连接资源被逐渐耗尽，无法处理正常用户的连接请求，最终导致系统瘫痪，正常用户无法访问服务。(2)结合第三级等级保护要求，应当采取的防护措施包括：①技术层面：开启服务器SYNCookie功能，优化TCP半连接资源管理，过滤无效SYN请求；部署专业DDoS流量清洗设备，对异常攻击流量进行清洗，仅转发合法流量到目标服务器；配置防火墙访问规则，限制单IP地址的并发半连接数量，拦截异常恶意请求；采用负载均衡集