2026年《网络与信息安全管理员》模拟考试题含参考答案

2026年《网络与信息安全管理员》模拟考试题含参考答案一、单项选择题（共20题，每题2分，满分40分。每题只有1个正确答案）1.根据《中华人民共和国网络安全法》规定，网络运营者留存网络日志的最短期限为（）A.30天B.90天C.180天D.365天2.依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019，即等保2.0），第三级网络安全保护对象，应当至少多长时间开展一次正式等级测评（）A.半年B.1年C.2年D.3年3.根据《生成式人工智能服务管理暂行办法》，针对用户输入的敏感个人信息，生成式人工智能服务提供者应当遵循哪项核心要求（）A.默认存储用于模型迭代训练B.依法取得个人同意，默认不存储用户输入的敏感个人信息C.存储但不得对外共享D.存储不超过1年后自动删除4.零信任安全架构的核心思想是（）A.永不信任，始终验证B.内部默认信任，仅验证外部访问C.基于IP地址的静态信任D.一次认证，全程信任5.以下国密算法中，属于非对称加密算法，用于数字签名和公钥密钥交换的是（）A.SM2B.SM3C.SM4D.SM76.SQL注入攻击的核心攻击目标是（）A.终端用户浏览器B.Web应用后端的数据库C.企业核心交换机D.域名解析服务器7.根据《中华人民共和国个人信息保护法》，处理敏感个人信息无需满足的法定条件是（）A.取得个人的单独同意B.具有特定的目的和充分的必要性C.提前开展数据出境安全评估D.采取严格的安全保护措施8.以下攻击方式中，属于针对特定目标、特定人员定制化发送钓鱼内容的攻击类型是（）A.批量钓鱼B.鱼叉式钓鱼攻击C.水坑攻击D.短信钓鱼9.对称加密算法的核心特点是（）A.加密解密使用不同密钥B.加密速度慢，适合加密大文件C.加密解密使用相同密钥D.无需提前分发密钥10.网络安全应急响应中，遏制阶段的核心目标是（）A.定位攻击源和攻击入口B.防止攻击范围扩大、减少进一步损失C.彻底清除攻击残留D.恢复业务正常运行11.根据《数据安全法》，国家对数据实行分类分级保护，其中最高保护等级的数据是（）A.公开数据B.重要数据C.核心数据D.个人信息12.以下哪项符合机房物理访问控制的合规要求（）A.机房入口安排专人值守或部署电子门禁系统B.机房窗户无需安装防盗防护C.任意人员都可以进入机房拍照D.机房温湿度不需要监控13.以下哪种存储方式可以有效防范勒索软件加密造成的数据损失（）A.所有数据仅存储在本地生产服务器B.采用3-2-1备份策略C.所有备份数据直接连接生产网络D.仅备份一次即可满足要求14.跨站脚本攻击（XSS）的核心危害是（）A.窃取用户会话Cookie，冒用用户身份登录系统B.直接破坏服务器硬件C.泄露服务器底层操作系统源码D.导致数据库物理损坏15.等保2.0相比旧版等保1.0，新增的核心安全要求模块是（）A.物理安全B.网络安全C.数据安全和个人信息保护D.主机安全16.以下哪项不属于常见的身份认证核心因素（）A.知识因素（如口令）B.持有因素（如UKey）C.生物特征因素（如指纹）D.权限因素（如角色）17.根据《网络数据安全管理条例》，处理个人信息的运营者收到用户删除其个人信息的请求后，符合法定要求的操作是（）A.拒绝删除，保留用于业务审计B.在符合法定要求的前提下及时删除C.仅隐藏不删除D.要求用户支付删除费用才能删除18.以下哪项是DDoS攻击的核心特征（）A.窃取存储数据B.耗尽目标网络或服务器资源，导致合法用户无法访问C.注入恶意代码破坏系统D.伪造身份登录系统19.微分段技术在零信任架构中的核心作用是（）A.东西向流量隔离，防止攻击横向移动扩散B.南北向流量入侵检测防护C.数据加密存储D.用户身份认证20.数据脱敏技术的核心目的是（）A.让数据完全无法使用B.在不泄露敏感信息的前提下保留数据的业务可用性C.加密所有敏感数据D.删除所有个人信息字段二、多项选择题（共10题，每题3分，满分30分。多选、少选、错选均不得分）1.网络运营者落实数据安全主体责任，应当完成的核心工作包括（）A.建立数据分类分级台账B.定期开展数据安全风险评估C.对数据处理人员开展数据安全合规培训D.制定数据安全事件应急预案2.生成式人工智能服务的常见安全风险包括（）A.训练数据泄露敏感个人信息风险B.生成违法有害内容风险C.深度伪造内容用于电信诈骗风险D.模型知识产权侵权风险3.针对账号暴力破解攻击，有效的防范措施包括（）A.启用登录失败次数限制，异常登录自动锁定账号B.强制要求口令满足长度和复杂度要求C.对关键账号全面启用多因素认证（MFA）D.允许用户长期使用同一固定口令4.根据《数据出境安全评估办法》，以下哪些情形需要向国家网信部门申报数据出境安全评估（）A.关键信息基础设施运营者向境外提供个人信息或重要数据B.处理100万人以上个人信息的运营者向境外提供个人信息C.向境外提供10万人以上敏感个人信息D.国家网信部门明确要求应当申报评估的其他情形5.等保2.0“一个中心三重防护”架构中，“三重防护”指的是（）A.安全计算环境B.安全区域边界C.安全管理中心D.安全通信网络6.以下属于常见恶意代码类型的是（）A.病毒B.勒索软件C.木马D.蠕虫7.《个人信息保护法》赋予个人信息主体的法定权利包括（）A.知情权、决定权B.查阅、复制权C.更正、补充权D.删除权（被遗忘权）8.网络安全漏洞按照危害等级可划分为（）A.高危漏洞B.中危漏洞C.低危漏洞D.信息型漏洞9.零信任架构相比传统基于边界的安全架构，核心优势包括（）A.适配远程办公、多云互联的新型网络环境B.防范内部攻击者和账号泄露带来的横向移动风险C.基于持续信任评估实现动态访问控制D.默认对所有访问放行，提升访问效率10.网络安全事件应急响应的标准流程包括（）A.监测与预警B.应急启动C.遏制、根除、恢复D.复盘总结改进三、判断题（共10题，每题1分，满分10分。正确打√，错误打×）1.企业只要部署了防火墙和杀毒软件，就可以完全防范所有网络攻击。（）2.《关键信息基础设施安全保护条例》明确要求，关键信息基础设施运营者应当每年开展一次安全检测评估，并将评估结果报送相关主管部门。（）3.公开数据属于可公开获取的数据，因此可以随意使用，无需遵守任何合规要求。（）4.鱼叉式钓鱼攻击是针对不特定多数用户的批量钓鱼攻击，危害远低于普通钓鱼攻击。（）5.非对称加密算法中，公钥可以公开分发，私钥必须由用户本人妥善保密保管。（）6.数据备份的3-2-1策略标准定义是：保留3份完整数据备份，存储在2种不同类型的存储介质，1份备份离线存储。（）7.零信任架构完全否定传统网络边界防护，不需要保留任何边界防护措施。（）8.根据《个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当取得未成年人父母或者其他监护人的同意。（）9.同源漏洞扫描不会对业务系统造成任何影响，任何时间都可以开展扫描。（）10.用户口令的复杂度越高，被暴力破解或字典破解的难度就越大。（）四、案例分析题（共2题，每题10分，满分20分）1.某区域性连锁零售企业，为提升线上销售能力搭建了会员电商平台，累计收集120万注册用户的个人信息，包括姓名、手机号、收货地址、消费记录等，部分用户的支付记录中包含银行卡号后四位与身份证号信息。该平台上线后未开展网络安全等级保护备案与测评，也未建立定期数据安全风险评估机制，2025年10月该平台发生数据泄露，近10万用户的个人信息被泄露到暗网售卖。请回答以下问题：（1）该企业违反了我国哪些现行网络与数据安全相关法律法规？（4分）（2）请列出该企业应当采取的核心整改措施。（6分）2.某国企单位原有远程办公方案采用传统SSLVPN，仅基于账号口令认证，只要账号口令正确即可接入单位内部核心网络，2025年以来先后发生3起员工账号口令泄露事件，导致攻击者非法接入内部网络，窃取了3份涉密业务文件，造成严重安全风险。该单位计划升级改造，部署零信任远程访问方案。请回答以下问题：（1）传统SSLVPN方案为什么会频繁出现账号泄露后的非法接入事件？（4分）（2）请简述零信任远程访问方案相比传统VPN的核心优势。（6分）参考答案一、单项选择题1.C解析：《中华人民共和国网络安全法》第二十一条第三款明确规定，网络运营者留存网络日志不得少于六个月，即180天。2.B解析：等保2.0制度明确要求，第三级网络安全保护对象每年至少开展一次正式等级测评，二级保护对象每两年至少开展一次。3.B解析：《生成式人工智能服务管理暂行办法》明确要求，生成式AI服务提供者不得违规存储用户输入的敏感个人信息，处理用户敏感个人信息应当依法取得个人同意，默认不存储敏感个人信息。4.A解析：零信任安全架构的核心原则是“永不信任，始终验证”，不存在默认可信的主体、网络或访问请求。5.A解析：我国商用密码体系中，SM2是非对称加密算法，用于数字签名和密钥交换；SM3是哈希摘要算法，SM4是对称加密算法，SM7是用于非接触式IC卡的对称算法。6.B解析：SQL注入攻击通过构造恶意SQL语句，非法获取、篡改Web应用后端数据库中的数据，核心攻击目标是业务数据库。7.C解析：只有向境外提供敏感个人信息、重要数据等法定情形才需要开展数据出境安全评估，处理境内敏感个人信息无需提前开展安全评估，其余三项均为处理敏感个人信息的法定必备条件。8.B解析：鱼叉式钓鱼攻击是针对特定组织、特定岗位人员定制化设计钓鱼内容的精准攻击，比普通批量钓鱼攻击的隐蔽性和成功率更高。9.C解析：对称加密算法的核心特点是加密和解密使用相同密钥，加密速度快，适合加密大容量文件，缺点是需要提前安全分发密钥。10.B解析：网络安全应急响应的遏制阶段核心目标是切断攻击传播路径，限制攻击扩散范围，避免损失进一步扩大；定位攻击源是检测阶段目标，清除攻击残留是根除阶段目标，恢复业务是恢复阶段目标。11.C解析：《中华人民共和国数据安全法》将数据划分为核心数据、重要数据、一般数据三个等级，核心数据是最高保护等级的数据，关系国家安全、国民经济命脉和重大公共利益。12.A解析：机房物理访问控制合规要求明确，机房入口应当安排专人值守或部署电子门禁系统，登记出入人员信息，无关人员不得随意进入机房。13.B解析：3-2-1备份策略是业界公认的防范勒索软件攻击的有效方案，核心要求是保留3份完整数据、存储在2种不同介质、1份备份离线存储，避免勒索软件加密所有存储数据。14.A解析：跨站脚本攻击（XSS）通过注入恶意前端脚本，窃取用户的会话Cookie信息，进而冒用用户身份登录目标系统，窃取敏感数据。15.C解析：等保2.0适配新的网络安全和合规要求，相比旧版等保1.0，新增了数据安全和个人信息保护专项要求，突出了对数据资产的保护。16.D解析：身份认证的三大核心因素是知识因素、持有因素、生物特征因素，权限是身份认证通过后分配的访问权限，不属于身份认证因素。17.B解析：个人信息主体依法行使删除权的，运营者应当在符合法定要求的前提下及时删除用户个人信息，不得拒绝删除或违规收取费用。18.B解析：分布式拒绝服务攻击（DDoS）的核心特征是通过控制大量肉鸡发送海量访问请求，耗尽目标网络或服务器的资源，导致合法用户无法正常访问服务。19.A解析：微分段技术通过对数据中心内部工作负载进行细粒度划分，实现东西向流量隔离，有效防止攻击者入侵后横向移动扩散，是零信任架构的核心技术之一。20.B解析：数据脱敏技术的核心目的是通过替换、脱敏等方式去除数据中的敏感信息，在不泄露敏感信息的前提下保留数据的业务可用性，可用于开发测试、数据共享等场景。二、多项选择题1.ABCD解析：以上四项均为网络运营者落实数据安全主体责任的法定要求和必要工作内容。2.ABCD解析：以上四项均为当前生成式人工智能服务面临的典型安全风险。3.ABC解析：D选项允许用户长期使用同一口令会大幅提升口令泄露后的安全风险，不属于暴力破解攻击的有效防范措施。4.ABCD解析：以上四项均符合《数据出境安全评估办法》规定的应当申报安全评估的情形。5.ABD解析：等保2.0的“一个中心三重防护”架构中，“一个中心”指安全管理中心，“三重防护”分别为安全通信网络、安全区域边界、安全计算环境。6.ABCD解析：病毒、勒索软件、木马、蠕虫均属于常见的恶意代码类型。7.ABCD解析：以上四项均为《中华人民共和国个人信息保护法》明确赋予个人信息主体的法定权利。8.ABCD解析：当前网络安全漏洞行业统一划分标准，将漏洞按照危害等级划分为高危漏洞、中危漏洞、低危漏洞、信息型漏洞四个等级。9.ABC解析：D选项错误，零信任架构默认不信任任何访问请求，所有访问都需要经过持续验证，不会默认放行。10.ABCD解析：监测预警、应急启动、遏制根除恢复、复盘总结是标准网络安全应急响应的完整流程。三、判断题1.×解析：不存在可以100%防范所有攻击的安全防护方案，网络安全防护是动态的体系化工程，需要持续运营和改进。2.√解析：《关键信息基础设施安全保护条例》第十七条明确要求，关键信息基础设施运营者应当每年对其运营的网络和系统开展一次安全检测评估，并将评估报告报送相关保护工作部门。3.×解析：公开数据仍然需要遵守知识产权保护、个人信息保护等法律法规要求，不得随意收集、使用和交易。4.×解析：鱼叉式钓鱼攻击是针对特定目标的定制化精准攻击，隐蔽性和危害性远高于普通批量钓鱼攻击。5.√解析：非对称加密算法的核心设计就是公钥公开用于加密/验证，私钥保密用于解密/签名。6.√解析：3-2-1备份策略的定义符合国际通用的行业标准要求。7.×解析：零信任架构是不依赖传统网络边界，而非完全不需要边界防护，实际部署中通常结合传统边界防护形成纵深防御体系。8.√解析：《中华人民共和国个人信息保护法》第三十一条明确规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。9.×解析：漏洞扫描会发送大量测试数据包，可能导致业务系统负载升高，影响业务正常运行，通常需要选择业务低峰期开展扫描。10.√解析：口令复杂度越高，字典破解和暴力破解的覆盖概率越低，破解难度越大。四、案例分析题1.（1）该企业违反的法律法规包括：《中华人民共和国网络安全法》（要求网络运营者落实等级保护备案测评义务）、《中华人民共和国数据安全法》（要求落实数据分类分级保护、定期开展风险评估）、《中华人民共和国个人信息保护法》（要求落实个人信息安全保护措施）、《网络安全等级保护条例》（要求非涉密网络运营者落实等级保护主体责任）。（4分，答对3部以上即可得满分）（2）核心整改措施：①立即按照法律法规要求，向属地网信部门、市场监管部门和行业主管部门报告数据泄露事件，通知受影响用户告知泄露风险，指导用户做好风险防范；②尽快完成平台的网络安全等级保护备案，委托具备资质的等级测评机构开展等级测评，落实等保要求的各项安全防护措施