2026年《网络与信息安全管理员》考试模拟练习题(附答案)

2026年《网络与信息安全管理员》考试模拟练习题(附答案)一、单项选择题（共20题，每题2分，共40分）1.根据《中华人民共和国个人信息保护法》，处理个人信息应当遵循的核心原则是（）A.最大收集原则B.最小必要原则C.公开透明原则D.知情同意原则2.根据网络安全等级保护2.0相关要求，第三级网络运营者应当至少多久开展一次等级保护测评（）A.1年B.2年C.3年D.半年3.零信任架构的核心思想是（）A.默认信任内部网络，永不验证外部访问B.永不信任，始终验证C.基于身份的默认信任D.基于网络位置的信任划分4.下列攻击类型中，属于被动攻击的是（）A.SQL注入攻击B.分布式拒绝服务攻击C.网络流量监听D.远程代码执行5.下列选项中，属于对称加密算法的是（）A.AESB.RSAC.SHA-256D.ECC6.根据《网络产品安全漏洞管理规定》，网络产品提供者收到漏洞信息报送后，应当在多少个工作日内完成漏洞修复（）A.30B.60C.90D.1207.IaaS云服务模式下，下列哪项安全责任由云租户承担（）A.物理机房基础设施安全B.虚拟化层安全防护C.存储硬件运维D.用户身份权限管理8.MD5哈希算法的输出摘要长度为（）A.128位B.160位C.256位D.512位9.ARP欺骗攻击主要发生在OSI七层模型的哪一层（）A.物理层B.数据链路层C.网络层D.应用层10.HTTPS协议的默认服务端口是（）A.80B.443C.8080D.844311.钓鱼攻击属于哪一类攻击范畴（）A.密码破解攻击B.社会工程学攻击C.缓冲区溢出攻击D.物理层攻击12.根据《中华人民共和国数据安全法》，我国对数据安全实行的核心保护制度是（）A.统一安全保护制度B.分类分级保护制度C.分层保护制度D.分级授权保护制度13.企业存储的生产业务数据被攻击者加密勒索，无法正常解密使用，攻击者的行为破坏了数据的哪项安全属性（）A.保密性B.完整性C.可用性D.不可否认性14.生成式人工智能服务提供者应当对生成的内容进行内容审核和安全评估，该项要求出自哪部法规文件（）A.《生成式人工智能服务管理暂行办法》B.《网络安全法》C.《数据安全法》D.《互联网信息服务管理办法》15.下列选项中，不属于物联网终端常见安全风险的是（）A.出厂默认弱口令B.固件无法更新C.传输数据未加密D.硬件计算能力不足16.关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当存储在境内，因业务需要确需向境外提供的，应当进行（）A.安全评估B.数据脱敏C.加密处理D.上报备案17.下列选项中，不属于入侵检测系统(IDS)主要功能的是（）A.监测异常网络流量B.阻断恶意攻击行为C.生成安全告警日志D.识别已知攻击特征18.Windows系统中，哪个命令可以查看当前机器的路由表信息（）A.ipconfigB.pingC.tracertD.routeprint19.企业防火墙配置规则中，“禁止所有外部地址访问内部服务器的3389端口”，主要目的是防范什么风险（）A.远程桌面暴力破解B.SQL注入C.XSS跨站攻击D.DDoS攻击20.网络安全应急响应的第一个环节是（）A.漏洞修复B.入侵排查C.事件检测与上报D.系统恢复二、多项选择题（共10题，每题3分，共30分）1.根据《中华人民共和国个人信息保护法》，个人信息处理的合法正当基础包括（）A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息2.网络安全等级保护2.0的标准体系覆盖哪些新兴领域的安全保护要求（）A.云计算B.大数据C.物联网D.工业控制系统3.下列选项中，属于敏感个人信息的是（）A.生物识别信息B.行踪轨迹信息C.不满十四周岁未成年人个人信息D.个人姓名信息4.下列选项中，属于常见社会工程学攻击类型的是（）A.钓鱼邮件攻击B.水坑攻击C.伪冒身份诈骗D.缓冲区溢出攻击5.零信任架构的核心设计原则包括（）A.永不信任，始终验证B.基于最小权限分配访问权限C.持续安全评估D.默认信任内部网络6.下列选项中，属于Web应用层常见攻击的是（）A.SQL注入攻击B.XSS跨站脚本攻击C.CSRF跨站请求伪造D.ARP欺骗攻击7.恶意代码的常见类型包括（）A.计算机病毒B.蠕虫C.木马D.勒索病毒8.企业密码管理应当遵循的规范包括（）A.密码长度不低于8位，混合大小写字母、数字、特殊字符B.定期更换密码，周期不超过90天C.禁止同一账号多个场景复用相同密码D.管理员账号可以共享使用9.关键信息基础设施运营者应当履行的安全保护义务包括（）A.定期开展安全测评和风险评估B.对重要系统和数据进行异地备份C.制定网络安全事件应急预案，定期开展演练D.采购网络产品和服务应当进行安全审查10.企业开展数据备份应当遵循的原则包括（）A.定期备份B.异机存储C.异地备份D.定期验证备份可用性三、判断题（共10题，每题1分，共10分）1.非对称加密算法中，公钥可以公开对外发布，私钥必须由所有者严格保密。（）2.只要安装了杀毒软件，就可以完全防范所有类型的恶意代码攻击。（）3.哈希加密是不可逆加密算法，可以用于验证数据完整性，无法从哈希摘要还原出原始数据。（）4.根据《网络安全法》，关键信息基础设施运营者应当对其运营的网络和信息系统每年至少开展一次安全检测。（）5.DDoS攻击的主要目的是破坏目标系统的数据完整性，窃取核心数据。（）6.等级保护2.0要求，所有网络系统都必须按照统一标准定级保护，不需要根据实际危害划分等级。（）7.社会工程学攻击主要利用人的心理弱点，而非技术漏洞实施攻击。（）8.对个人信息进行匿名化处理后，不属于个人信息范畴，不受《个人信息保护法》约束。（）9.防火墙可以防范所有发生在网络层和应用层的攻击行为。（）10.企业发生个人信息泄露事件后，应当按照规定及时上报监管部门，并通知受影响的个人。（）四、案例分析题（共2题，每题10分，共20分）案例1：某地方三甲医院委托第三方软件公司开发了患者挂号缴费系统，系统存储了近50万患者的姓名、身份证号、医疗记录、联系方式等信息。系统交付后，医院仅测试了业务功能，未开展任何安全测试和等级保护测评，也未要求开发方提供代码安全审计报告。系统上线10个月后，监管部门检查发现该系统存在未授权访问漏洞，开发人员在代码中预留了远程管理后门，已有超过10万条患者敏感个人信息被泄露到互联网。问题1：该医院作为个人信息处理者和网络运营者，本次事件中违反了哪些我国现行法律法规要求？（4分）问题2：分析本次事件发生的主要管理与技术原因。（3分）问题3：提出3项以上可落地的整改措施。（3分）案例2：某中小电商企业将全部电商交易系统部署在公有云平台，云账号管理员为方便登录，将管理员密码设置为“mxds123”，且未开启多因素认证，为了异地登录方便，将SSH和RDP管理端口对全互联网开放。2025年11月，企业网站突然无法访问，经排查发现，攻击者通过暴力破解获取了云账号权限，在服务器中植入挖矿木马，耗尽了服务器所有计算资源，导致业务中断12小时，造成直接经济损失超过10万元。问题1：分析本次事件发生的主要原因。（4分）问题2：针对公有云环境下的业务系统，提出防范同类事件的具体安全措施。（6分）参考答案及解析一、单项选择题1.B解析：《个人信息保护法》第六条明确规定，处理个人信息应当遵循最小必要原则，即不得超出实现处理目的的最小范围收集个人信息，是个人信息处理的核心原则。2.A解析：等级保护制度要求，二级系统每2年至少测评一次，三级系统每年至少测评一次，四级系统每半年至少测评一次。3.B解析：零信任架构打破了传统基于网络位置的信任划分，核心思想为“永不信任，始终验证”。4.C解析：被动攻击不修改目标系统的数据或配置，仅通过监听获取信息，流量监听属于典型被动攻击，其余选项均为主动攻击。5.A解析：AES是典型对称加密算法，RSA、ECC为非对称加密算法，SHA-256为哈希算法。6.C解析：《网络产品安全漏洞管理规定》明确要求，网络产品提供者应当在90个工作日内完成漏洞修复，特殊情况无法按期修复的应当向监管部门说明情况并延期。7.D解析：IaaS模式下，云厂商负责物理基础设施、虚拟化层、硬件运维等底层安全，租户负责上层应用、数据、身份权限等安全。8.A解析：MD5算法输出固定为128位哈希摘要。9.B解析：ARP协议工作在数据链路层，ARP欺骗攻击发生在数据链路层。10.B解析：HTTP默认端口为80，HTTPS默认端口为443。11.B解析：钓鱼攻击通过伪冒合法身份诱导用户泄露信息，属于典型社会工程学攻击。12.B解析：《数据安全法》明确规定，国家对数据实行分类分级保护制度。13.C解析：勒索病毒加密用户数据，导致合法用户无法正常访问使用，破坏了数据的可用性。14.A解析：《生成式人工智能服务管理暂行办法》明确要求生成式AI服务提供者应当落实内容审核和安全评估制度。15.D解析：物联网终端普遍计算能力有限，但不属于安全风险范畴，其余三项均为常见物联网终端安全风险。16.A解析：《数据安全法》要求，关键信息基础设施运营者向境外提供境内重要数据和个人信息的，应当按照规定开展安全评估。17.B解析：入侵检测系统（IDS）仅具备检测和告警功能，不具备主动阻断攻击的能力，主动阻断是入侵防御系统（IPS）的功能。18.D解析：routeprint命令可查看Windows系统路由表，ipconfig查看IP配置，ping测试连通性，tracert跟踪路由路径。19.A解析：3389是Windows远程桌面服务的默认端口，禁止外部访问主要防范远程桌面暴力破解攻击。20.C解析：网络安全应急响应的流程为：事件检测与上报→入侵排查与分析→风险处置→系统恢复→总结复盘，第一个环节为事件检测与上报。二、多项选择题1.ABCD解析：以上四项均属于《个人信息保护法》规定的合法个人信息处理基础。2.ABCD解析：等级保护2.0扩展了保护范围，将云计算、大数据、物联网、移动互联网、工业控制系统全部纳入标准体系。3.ABC解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人个人信息，姓名属于一般个人信息。4.ABC解析：缓冲区溢出攻击属于技术漏洞攻击，其余三项均属于社会工程学攻击。5.ABC解析：零信任不信任任何身份和位置，默认信任内部网络是传统网络安全架构的思想，因此D错误。6.ABC解析：ARP欺骗攻击发生在数据链路层，不属于Web应用层攻击。7.ABCD解析：以上四项均属于常见恶意代码类型。8.ABC解析：管理员账号禁止共享使用，因此D错误。9.ABCD解析：以上四项均属于关键信息基础设施运营者的法定安全保护义务。10.ABCD解析：以上四项均为数据备份应当遵循的核心原则，缺一不可。三、判断题1.√解析：非对称加密的核心规则就是公钥公开、私钥保密。2.×解析：杀毒软件只能防范已知病毒和恶意代码，无法防范零日漏洞攻击和未知恶意代码。3.√解析：哈希加密为单向不可逆算法，仅可用于完整性验证。4.√解析：《网络安全法》第三十四条明确规定了该项要求。5.×解析：DDoS攻击的主要目的是耗尽目标系统资源，破坏目标系统的可用性，并非窃取数据。6.×解析：等级保护根据系统一旦被破坏后的危害程度划分五级，不同等级对应不同保护要求。7.√解析：社会工程学攻击利用人的安全意识漏洞，而非技术漏洞。8.√解析：匿名化处理后的信息无法识别到特定个人，不属于个人信息范畴。9.×解析：防火墙无法防范内部攻击、部分应用层攻击（如合法端口的SQL注入）等攻击行为。10.√解析：《个人信息保护法》明确规定了个人信息泄露事件的上报和通知要求。四、案例分析题案例1参考答案1.违反的法律法规要求：①违反《网络安全法》第二十一条，未落实网络安全等级保护制度要求，未开展等级保护测评；②违反《个人信息保护法》第四十条，处理大量个人信息未定期开展个人信息处理活动合规审计；③违反《关键信息基础设施安全保护条例》第十七条，医疗卫生机构属于关键信息基础设施运营者，未按要求每年开展安全检测评估；④违反《网络产品安全漏洞管理规定》，未建立上线前漏洞检测和漏洞整改机制。2.主要原因：①管理原因：医院第三方开发管理缺位，未落实系统上线前安全管控要求，未建立定期安全检测机制，安全责任落实不到位；②技术原因：未对开发代码进行安全审计，未部署Web应用防火墙、入侵检测等安全防护设备，未定期开展漏洞扫描，访问权限管控不到位。3.整改措施：①立即关停涉事系统，排查数据泄露范围，按法律法规要求上报监管部门，通知受影响患者，配合监管部门调查处置；②对系统全量代码进行安全审计，移除后门、修复所有高危漏洞，完成