2026年《网络与信息安全管理员》考试模拟练习题及答案

2026年《网络与信息安全管理员》考试模拟练习题及答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.根据《中华人民共和国网络安全法》规定，关键信息基础设施运营者应当留存网络日志不少于（）。A.1个月B.3个月C.6个月D.12个月2.零信任架构的核心原则是（）。A.边界防护，内部可信B.永不信任，始终验证C.一次验证，永久信任D.外网防护，内网开放3.根据《中华人民共和国个人信息保护法》，下列不属于敏感个人信息的是（）。A.生物识别信息B.行踪轨迹信息C.普通姓名信息D.不满十四周岁未成年人的个人信息4.网络安全等级保护2.0制度中，适用于涉及国家安全、国计民生的核心关键信息基础设施系统，其安全保护等级最低不应低于（）。A.二级B.三级C.四级D.五级5.下列攻击类型中，属于APT攻击典型特征的是（）。A.短时间大规模流量攻击B.低潜伏性、随机攻击C.针对性强、长期潜伏持续性攻击D.仅针对个人用户的钓鱼攻击6.SQL注入攻击的本质是（）。A.利用网站对用户输入的合法性校验不足，插入恶意SQL语句，篡改执行数据库逻辑B.向目标服务器发送大量连接请求耗尽系统资源C.在网页中插入恶意脚本窃取用户Cookie信息D.利用加密勒索破解用户系统口令7.下列加密算法中，属于非对称加密算法的是（）。A.AESB.RSAC.DESD.SM48.根据《数据安全法》对数据的分类分级要求，数据分为核心数据、（）和一般数据三个类别。A.敏感数据B.个人信息C.重要数据D.公开数据9.下列跨站脚本攻击（XSS）类型中，属于存储型XSS的特点是（）。A.恶意脚本存储在目标服务器，所有访问用户都会受到攻击B.恶意代码仅通过URL参数触发，不存储在服务器C.恶意代码基于前端DOM环境触发，不与服务器交互D.仅针对管理员用户触发10.防火墙技术中，工作在OSI模型应用层，能够对应用层数据进行内容过滤的防火墙类型是（）。A.包过滤防火墙B.状态检测防火墙C.应用层网关防火墙（代理防火墙）D.网络层防火墙11.根据《网络数据安全管理条例》，处理超过（）个人信息的个人信息处理者，应当按照国家有关规定开展个人信息保护影响评估，并向履行个人信息保护职责的部门报送报告。A.10万人B.50万人C.100万人D.1000万人12.下列漏洞中，属于近年来影响范围最广泛的Java开源框架远程代码执行漏洞是（）。A.Heartbleed漏洞B.Log4j2漏洞C.EternalBlue漏洞D.DirtyCOW漏洞13.生成式人工智能服务提供者按照《生成式人工智能服务管理暂行办法》要求，对生成的内容应当采取的安全管理措施是（）。A.生成前风险防控，生成后内容审核B.仅审核用户输入，不需要审核输出C.不需要任何审核，由用户自行负责D.生成前审核，不需要生成后审核14.下列安全防护手段中，不属于身份认证多因素认证的是（）。A.密码+短信验证码B.人脸+指纹识别C.用户名+密码D.UKey+动态口令15.网络安全应急响应的标准流程中，正确的顺序是（）。A.检测-抑制-根除-恢复-总结B.抑制-检测-根除-恢复-总结C.检测-根除-抑制-恢复-总结D.总结-检测-抑制-根除-恢复16.提示注入攻击是针对生成式AI的典型攻击，其核心原理是（）。A.通过注入恶意提示指令，诱导AI绕过安全规则，生成违规内容或窃取训练数据信息B.破解AI服务的加密算法，获取服务器权限C.向AI服务发送大量请求，导致服务瘫痪D.篡改AI训练数据，投毒污染模型17.根据《中华人民共和国密码法》，（）用于保护国家核心秘密信息，密码强度和管理要求最高。A.核心密码B.普通密码C.商用密码D.民用密码18.下列攻击方式中，属于分布式拒绝服务攻击（DDoS）的是（）。A.攻击者通过多个受控主机同时向目标发送大量无效请求，导致目标无法提供正常服务B.攻击者窃取用户口令后登录目标系统窃取数据C.攻击者将恶意代码嵌入到正常软件中，窃取用户信息D.攻击者钓鱼诱导用户输入账号密码19.网络资产梳理中，下列不属于信息系统有形资产的是（）。A.服务器硬件B.网络交换机设备C.系统用户数据D.机房配套设施20.等保2.0安全管理体系中，要求建立三员分立管理制度，三员不包括下列哪个角色（）。A.系统管理员B.安全审计员C.外包运维人员D.安全管理员二、多项选择题（共10题，每题2分，每题有2个及以上正确答案，错选、少选不得分）1.网络与信息安全管理员的核心工作职责包括下列哪些内容（）。A.落实单位内部网络与信息安全管理制度，开展日常安全运维B.梳理排查单位网络资产，开展漏洞扫描、风险评估等基础工作C.监测网络安全事件，按照流程处置安全告警、入侵等异常情况D.参与应急响应演练，配合开展安全事件调查和整改2.根据《中华人民共和国个人信息保护法》，个人信息处理者处理个人信息应当具备的合法正当基础包括（）。A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为公共利益所必需，以及符合处理者合法利益需求3.网络安全等级保护2.0的整体安全框架由哪几部分构成（）。A.安全通用要求B.安全扩展要求C.安全管理中心要求D.安全开发要求4.勒索病毒的常见传播途径包括下列哪些（）。A.钓鱼邮件携带恶意附件B.利用未修补的系统漏洞进行传播C.弱口令暴力破解远程桌面、SSH等管理接口D.通过移动存储介质交叉使用传播5.零信任架构的核心组件包括下列哪些（）。A.身份治理与标识管理B.持续信任评估C.动态访问控制授权D.物理边界防护体系6.下列属于常见Web应用安全漏洞的有（）。A.SQL注入B.跨站脚本攻击（XSS）C.文件上传漏洞D.CSRF跨站请求伪造7.网络安全应急响应中，证据固定应当遵循的原则包括（）。A.不破坏原始证据B.全程留痕可追溯C.优先提取易丢失的证据D.可以直接修改原始证据固定线索8.关键信息基础设施运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人，开展人员背景审核B.定期对从业人员进行网络安全教育、技术培训和技能考核C.定期开展风险评估，向监管部门报送安全风险报告D.对重要系统和数据进行容灾备份9.生成式人工智能服务中，常见的安全风险包括（）。A.生成违法违规内容，传播不良信息B.训练数据泄露个人信息和知识产权C.提示注入攻击绕过安全防护规则D.深度伪造身份信息用于电信诈骗10.下列关于口令安全的要求，正确的有（）。A.口令长度不低于8位，包含大小写字母、数字和特殊字符B.避免使用生日、姓名、手机号等容易被猜测的内容作为口令C.不同系统应当使用不同的口令，定期更换口令D.可以长期使用同一口令，避免忘记三、判断题（共10题，每题1分，正确打√，错误打×）1.安装杀毒软件和防火墙后，就可以完全防范所有网络安全威胁。（）2.关键信息基础设施运营者必须将境内存储的重要数据备份在境外，防止本地故障丢失。（）3.个人信息处理者处理敏感个人信息，必须取得个人的单独同意，不得通过默认勾选概括授权。（）4.零信任架构默认不存在可信的内部或外部网络，所有访问主体都需要持续验证授权。（）5.SQL注入攻击只能窃取数据库数据，不能篡改或删除数据。（）6.对称加密算法的加密速度快，适合对大量业务数据进行加密处理。（）7.网络安全等级保护备案是我国强制要求，二级及以上信息系统必须完成备案。（）8.钓鱼攻击主要是通过伪装成可信实体骗取用户敏感信息，是当前最常见的网络攻击方式之一。（）9.数据脱敏是指对敏感数据进行变形处理，在不泄露原始敏感数据的同时保留数据的使用价值。（）10.安全审计只需要记录管理员操作，不需要记录普通用户操作日志。（）四、案例分析题（共30分）某省级政务服务中心2025年上线了一款“一网通办”移动政务APP，为群众提供社保查询、公积金办理、不动产登记等服务，APP收集了用户的身份证号、人脸信息、银行卡号、行踪轨迹等敏感信息，用户注册时默认勾选同意隐私协议，未对敏感个人信息处理单独征求用户同意。该中心未按照要求对APP对应的信息系统进行网络安全等级保护定级备案，系统日常运维由2名兼职行政人员负责，系统管理员账号一直使用上线时的初始密码“123456”未更换，服务器存在公开披露的Log4j2远程代码执行高危漏洞，由于中心从未定期开展漏洞扫描，漏洞披露后3年仍未安装补丁修复。2026年1月，该中心系统被黑客入侵，黑客通过漏洞获取服务器最高权限，窃取了全部120万注册用户的个人信息，同时加密了中心核心业务数据库，向中心索要价值500万元的比特币勒索赎金，导致中心全省政务服务中断48小时，造成严重不良社会影响。请结合材料回答下列问题：1.请指出该政务服务中心违反了我国哪些现行法律法规要求？（10分）2.请结合案例分析该单位在网络与信息安全管理和技术层面存在哪些核心问题？（10分）3.针对该单位存在的问题，请给出具体的可落地整改措施。（10分）参考答案及解析一、单项选择题参考答案及解析1.答案：C解析：《中华人民共和国网络安全法》第二十一条明确规定，网络运营者应当留存网络日志不少于六个月，关键信息基础设施运营者同样适用该强制要求，因此选择C选项。2.答案：B解析：零信任架构打破了传统“内网可信、外网不可信”的边界防护思路，核心原则为“永不信任，始终验证”，默认任何访问主体和网络都不可信，所有访问请求都需要经过持续身份验证和动态授权，因此选择B选项。3.答案：C解析：根据《个人信息保护法》第二十八条，敏感个人信息指一旦泄露或非法使用，易导致自然人的人格尊严受侵害或人身财产安全受危害的个人信息，包含生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人信息，普通姓名不属于敏感个人信息范畴，因此选择C选项。4.答案：C解析：网络安全等级保护共分为五级，一级为一般系统自主保护，二级为普通系统指导保护，三级为重要系统监督保护，四级为核心关键信息基础设施强制保护，五级为涉及国家核心秘密的专控保护，因此核心关键信息基础设施最低不低于四级，选择C选项。5.答案：C解析：APT（高级持续性威胁）攻击的核心特征是针对特定目标，长期潜伏、持续渗透窃取核心信息，因此选择C选项。6.答案：A解析：SQL注入攻击的本质是利用Web应用对用户输入的校验不足，将恶意SQL语句插入到查询参数中，欺骗数据库执行非授权操作，可实现数据窃取、篡改、删除甚至服务器提权，因此选择A选项。7.答案：B解析：RSA是典型的非对称加密算法，AES、DES、SM4均属于对称加密算法，因此选择B选项。8.答案：C解析：《数据安全法》明确我国数据分类分级的法定框架为核心数据、重要数据、一般数据三类，因此选择C选项。9.答案：A解析：存储型XSS将恶意脚本永久存储在目标服务器的数据库、文件等存储介质中，所有访问对应页面的用户都会触发攻击，危害最大，因此选择A选项。10.答案：C解析：应用层网关防火墙（代理防火墙）工作在OSI模型应用层，可对应用层的内容进行解析和过滤，因此选择C选项。11.答案：C解析：《网络数据安全管理条例》明确规定，处理一百万人以上个人信息的个人信息处理者，应当依法开展个人信息保护影响评估并报送监管部门，因此选择C选项。12.答案：B解析：Log4j2是Java开源日志框架，2021年披露的远程代码执行漏洞影响范围覆盖全球数十亿设备，是近年来影响最广泛的高危漏洞之一，因此选择B选项。13.答案：A解析：《生成式人工智能服务管理暂行办法》要求，提供者应当落实生成前风险防控、生成后内容审核的全流程安全管理措施，因此选择A选项。14.答案：C解析：多因素认证要求结合两种及以上不同类型的认证因子，用户名+密码都属于知识型认证因子，属于单因素认证，因此选择C选项。15.答案：A解析：国内通用的网络安全应急响应标准流程为：安全检测确认事件→抑制攻击扩散→根除攻击根源→恢复系统业务→总结经验优化防护，因此选择A选项。16.答案：A解析：提示注入攻击是生成式AI特有的攻击方式，核心是通过构造恶意提示指令，绕过AI的安全对齐规则，诱导生成违规内容或泄露训练数据信息，因此选择A选项。17.答案：A解析：《密码法》规定，核心密码用于保护国家核心秘密信息，普通密码用于保护国家普通秘密信息，商用密码用于保护非国家秘密信息，因此选择A选项。18.答案：A解析：分布式拒绝服务攻击（DDoS）就是利用大量受控僵尸主机同时向目标发送无效请求，耗尽目标的带宽、计算资源，导致目标无法提供正常服务，因此选择A选项。19.答案：C解析：有形资产指具备物理实体的资产，用户数据属于无形资产，因此选择C选项。20.答案：C解析：三员分立指系统管理员、安全管理员、安全审计员三个角色相互分离、相互制约，外包运维人员不属于三员法定角色，因此选择C选项。二、多项选择题参考答案及解析1.答案：ABCD解析：网络与信息安全管理员作为一线安全运维岗位，核心职责覆盖制度落实、资产梳理、安全监测、应急处置全流程基础安全工作，四项均属于岗位核心工作职责，因此全选。2.答案：ABCD解析：《个人信息保护法》第十三条明确规定，个人信息处理的合法基础包括上述四类情形，因此全选。3.答案：ABC解析：等保2.0的安全要求框架由安全通用要求、安全扩展要求、安全管理中心要求三部分构成，安全开发要求不属于框架法定构成部分，因此选择ABC。4.答案：ABCD解析：勒索病毒的传播途径多样，钓鱼邮件、漏洞利用、弱口令破解、移动介质传播都是当前主流传播方式，因此全选。5.答案：ABC解析：零信任摒弃了传统边界防护思路，核心组件包括身份标识管理、持续信任评估、动态访问授权，物理边界防护不属于零信任核心组件，因此选择ABC。6.答案：ABCD解析：SQL注入、XSS、文件上传漏洞、CSRF跨站请求伪造都是当前Web应用最常见的安全漏洞，因此全选。7.答案：ABC解析：证据固定过程中必须保证原始证据的完整性，绝对不得修改原始证据，因此D错误，ABC正确。8.答案：ABCD解析：《关键信息基础设施安全保护条例》明确规定了上述四项都是CII运营者必须履行的安全保护义务，因此全选。9.答案：ABCD解析：生成违法违规内容、数据泄露、提示注入攻击、深度伪造诈骗都是当前生成式AI服务面临的典型安全风险，因此全选。10.答案：ABC解析：长期使用同一口令会大幅提升口令泄露后被滥用的风险，因此要求定期更换口令，D错误，ABC正确。三、判断题参考答案及解析1.答案：×解析：杀毒软件和防火墙仅能防范已知安全威胁，无法防范零日漏洞、社会工程学攻击等新型未知威胁，因此说法错误。2.答案：×解析：《网络安全法》明确规定，关键信息基础设施运营者在境内收集产生的重要数据应当存储在境内，不得擅自向境外存储，因此说法错误。3.答案：√解析：《个人信息保护法》明确要求，处理敏感个人信息必须取得个人的单独同意，不得通过默认勾选概括授权，因此说法正确。4.答案：√解析：零信任的核心逻辑就是不存在绝对可信的网络，无论访问主体来自内网还是外网，都需要进行持续验证和动态授权，因此说法正确。5.答案：×解析：SQL注入攻击不仅可以窃取数据，还可以实现数据篡改、删除，甚至获取服务器系统权限，因此说法错误。6.答案：√解析：对称加密算法计算复杂度低，加密解密速度远快于非对称加密，适合加密大量业务数据，因此说法正确。7.答案：√解析：网络安全等级保护是我国强制推行的网络安全保护制度，二级及以上信息系统必须完成定级备案，三级及以上系统要求定期开展等级测评，因此说法正确。8.答案：√解析：钓鱼攻击由于攻击成本低、成功率高，是当前普及度最高的网络攻击方式，超过半数的网络安全事件都与钓鱼攻击相关，因此说法正确。9.答案：√解析：数据脱敏是敏感数据隐私保护的常用技术，通过替换、脱敏、加密等方式变形原始敏感数据，使得脱敏后的数据不包含真实敏感信息，同时可满足开发、测试、数据分析等场景的使用需求，因此说法正确。10.答案：×解析：安全审计需要覆盖所有用户的操作行为，包括普通用户和管理员，才能完整追溯安全事件的操作流程，因此说法错误。四、案例分析题参考答案1.该政务服务中心违反的法律法规要求包括：（1）违反《中华人民共和国网络安全法》，未履行网络安全保护主体义务，未按照要求开展网络安全等级保护定级备案和测评，未及时修补高危安全漏洞，未落实身份认证、安全监测等核心安全管理制度，未设置专门安全管理机构；（2）违反《中华人民共和国个人信息保护法》，处理敏感个人信息未取得用户单独同意，采用默认勾选概括授权的违规方式，未履行个人信息安全保护义务，未落实敏感个人信息加密保护要求；（3）违反《中华人民共和国数据安全法》，未落实政务数据和个人信息的分类分级保护要求，未对核心业务数据开展容灾备份；（4）违反《关键信息基础设施安全保护条例》，省级政务服务系统属于关键信息基础设施，未落实CII运营者的各项安全保护要求。（每点2.5分，答对4点得满分，其他合理表述可酌情给分）2.该单位存在的核心问题分为管理和技术两个层面：管理层面：①未设置专职网络安全岗位，由兼职人员负责运维，岗位职责不清晰，未落实三员分立等安全管理制度；②未落实等级保护法定要求，未开展定