2026年网络安全工程师认证考试试题及答案

2026年网络安全工程师认证考试试题及答案一、单项选择题（每题1分，共40分）1.网络安全的核心属性中，确保信息不被未授权的用户获取的是？A.保密性B.完整性C.可用性D.不可否认性答案：A2.下列哪种密码算法属于非对称加密算法？A.AESB.DESC.RSAD.SM4答案：C解析：AES、DES、SM4均为对称加密算法，RSA是典型的非对称加密算法，采用公钥加密、私钥解密的机制。3.根据《中华人民共和国网络安全法》，国家实行网络安全（）保护制度。A.等级B.分级C.分类D.分层答案：A4.OWASPTop10（2021版）中排名第一的Web安全风险是？A.失效的访问控制B.注入攻击C.跨站脚本攻击D.不安全的设计答案：A解析：OWASPTop10（2021版）将失效的访问控制列为首位风险，这类漏洞会导致未授权用户访问敏感数据或执行越权操作。5.下列哪种技术仅用于验证数据的完整性，无法实现发送方身份认证？A.数字签名B.SHA-256哈希校验C.RSA加密D.数字证书答案：B解析：哈希算法通过生成固定长度的摘要验证数据是否被篡改，但不涉及身份信息绑定；数字签名、RSA加密、数字证书均可结合身份信息实现发送方认证。6.零信任架构的核心原则是？A.永不验证，始终信任B.默认信任内部网络C.永不信任，始终验证D.仅验证外部访问答案：C7.下列哪种攻击属于社会工程学攻击？A.SQL注入B.钓鱼邮件C.DDoS攻击D.缓冲区溢出答案：B8.关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每（）至少进行一次检测评估。A.半年B.一年C.两年D.三年答案：B9.下列哪种设备主要用于防护Web应用层面的攻击？A.防火墙B.IDSC.WAFD.IPS答案：C10.Linux系统中，用于存放系统日志的默认目录是？A./etcB./var/logC./homeD./root答案：B11.《中华人民共和国数据安全法》将数据按保护等级划分为三级，其中不包括？A.一般数据B.重要数据C.核心数据D.敏感数据答案：D解析：数据安全法确立了一般数据、重要数据、核心数据的三级分类分级框架，敏感数据属于个人信息保护法中的分类范畴。12.下列哪种VPN协议工作在网络层？A.IPSecB.SSLC.PPTPD.L2TP答案：A解析：IPSec工作在网络层，可实现端到端的加密传输；SSL工作在传输层与应用层之间；PPTP、L2TP属于二层隧道协议，工作在数据链路层。13.渗透测试标准流程中，第一个阶段是？A.信息收集B.漏洞扫描C.渗透攻击D.报告编写答案：A14.下列哪种哈希算法是我国自主研发的商用密码算法？A.MD5B.SHA-256C.SM3D.SHA-1答案：C15.跨站请求伪造的英文缩写是？A.XSSB.CSRFC.SQLiD.DDoS答案：B16.根据《中华人民共和国个人信息保护法》，处理个人信息应当遵循的原则不包括？A.合法B.正当C.必要D.有偿答案：D17.下列哪种攻击不属于拒绝服务攻击？A.SYN洪水B.UDP洪水C.SQL注入D.ICMP洪水答案：C18.网络安全等级保护2.0将信息系统的安全保护等级分为（）级。A.三B.四C.五D.六答案：C19.下列哪种技术可直接实现通信的不可否认性？A.对称加密B.数字签名C.哈希校验D.访问控制答案：B解析：数字签名通过私钥签名、公钥验证的机制，确保发送方无法否认已发送的信息，是实现不可否认性的核心技术。20.针对生成式AI大模型的“提示注入”攻击，本质上属于下列哪类安全风险？A.训练数据污染B.对抗样本攻击C.模型参数窃取D.输出内容违规答案：B解析：提示注入通过构造恶意输入（对抗性提示）绕过模型的安全限制，诱导模型输出非预期内容，属于对抗样本攻击的特殊形式。21.下列哪种访问控制模型是基于用户角色分配权限的？A.DACB.MACC.RBACD.ABAC答案：C22.防火墙的常见工作模式不包括？A.路由模式B.透明模式C.混合模式D.旁路模式答案：D解析：防火墙常见工作模式为路由（三层）、透明（二层）、混合模式，需串接在网络链路中实现流量拦截；旁路模式是IDS等检测设备的典型部署方式。23.勒索软件通常会加密用户文件并索要赎金，下列哪种措施最能有效降低勒索软件造成的业务损失？A.安装杀毒软件B.定期离线备份数据C.设置强密码D.关闭不必要的端口答案：B解析：其他措施可降低感染概率，但定期离线备份是数据被加密后可快速恢复业务、避免核心损失的最有效手段。24.根据《国家网络安全事件应急预案》，网络安全事件共分为（）级。A.三B.四C.五D.六答案：B25.下列哪项不属于身份认证的三大核心因素？A.所知（你知道的信息）B.所有（你拥有的物品）C.所是（你的生物特征）D.所在（你所处的位置）答案：D26.Web应用中，下列哪种措施无法直接防护跨站脚本（XSS）攻击？A.输入过滤B.输出编码C.设置HttpOnlyCookieD.使用HTTPS答案：D解析：HTTPS用于保障传输层数据的保密性与完整性，无法防护应用层的XSS攻击；输入过滤、输出编码、HttpOnly均为XSS常用防护手段。27.下列哪种商用密码算法属于非对称加密算法？A.SM1B.SM2C.SM3D.SM4答案：B解析：SM1、SM4为对称加密算法，SM3为哈希算法，SM2是我国自主研发的非对称加密算法。28.入侵检测系统（IDS）的核心作用是？A.阻断攻击流量B.检测并告警攻击行为C.过滤非法访问D.修补系统漏洞答案：B29.下列哪种数据脱敏方式属于不可逆脱敏？A.格式保留加密B.数据掩码C.对称加密D.数字水印答案：B解析：数据掩码（如将手机号中间四位替换为*）是不可逆的，无法恢复原始数据；加密类脱敏均可通过密钥还原原始内容。30.零信任架构中的“最小权限原则”是指？A.用户默认拥有所有权限，按需回收B.仅授予用户完成工作所需的最小权限C.内部用户权限高于外部用户D.管理员拥有系统全部权限答案：B31.下列哪种攻击方式主要利用操作系统或应用的内存边界检查缺陷？A.缓冲区溢出攻击B.SQL注入攻击C.钓鱼攻击D.CSRF攻击答案：A32.网络安全等级保护2.0中，第三级信息系统的安全测评周期为每（）至少一次。A.半年B.一年C.两年D.三年答案：B33.下列哪种协议用于实现加密的安全邮件传输？A.SMTPB.POP3C.S/MIMED.IMAP答案：C解析：SMTP、POP3、IMAP均为普通邮件传输/接收协议，默认明文传输；S/MIME通过数字签名和加密技术实现邮件的保密性、完整性与身份认证。34.云安全“责任共担模型”的核心含义是？A.云服务商承担全部安全责任B.用户承担全部安全责任C.云服务商与用户按服务模式划分安全责任边界D.第三方测评机构承担安全责任答案：C35.下列哪种工具是专业的漏洞扫描工具？A.NmapB.NessusC.WiresharkD.BurpSuite答案：B解析：Nmap是端口扫描工具，Nessus是主流漏洞扫描工具，Wireshark是网络抓包分析工具，BurpSuite是Web渗透测试工具。36.根据《中华人民共和国个人信息保护法》，下列哪种情形下个人信息处理者不需要事前开展个人信息保护影响评估（PIA）？A.处理敏感个人信息B.向境外提供个人信息C.公开个人信息D.处理普通个人信息用于内部统计答案：D37.APT攻击的主要特点不包括？A.攻击目标明确B.攻击持续时间长C.攻击手段单一D.隐蔽性强答案：C38.下列哪种技术可有效降低网络嗅探攻击的风险？A.使用交换式网络B.使用集线器组网C.明文传输数据D.开放多余服务端口答案：A解析：集线器采用广播式转发，所有流量均可被同网段设备嗅探；交换机基于MAC地址点对点转发数据，可大幅降低嗅探风险，配合加密传输可进一步提升安全性。39.数字证书的签发与管理机构是？A.RA（注册审核机构）B.CA（证书认证机构）C.KDC（密钥分发中心）D.LDAP（轻量目录访问协议）答案：B40.下列关于网络安全应急响应流程的顺序，正确的是？A.准备→检测→遏制→根除→恢复→总结B.检测→准备→遏制→恢复→根除→总结C.准备→遏制→检测→根除→恢复→总结D.检测→准备→根除→遏制→恢复→总结答案：A二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.下列属于OWASPTop10（2021版）明确列出的Web安全风险的有？A.失效的访问控制B.加密机制失效C.不安全的设计D.缓冲区溢出答案：ABC解析：OWASPTop10（2021版）包含失效的访问控制、加密机制失效、注入、不安全的设计、安全配置错误等10类Web应用层风险；缓冲区溢出属于系统层安全风险，未被列入Web安全Top10。2.下列属于我国自主研发的商用密码算法的有？A.SM2B.SM3C.SM4D.RSA答案：ABC解析：SM2（非对称加密）、SM3（哈希）、SM4（对称加密）均为我国国家密码管理局发布的商用密码算法；RSA是国外研发的非对称加密算法。3.下列属于网络安全等级保护2.0技术层面要求的有？A.安全物理环境B.安全通信网络C.安全区域边界D.安全管理制度答案：ABC解析：等保2.0技术要求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面；安全管理制度属于管理层面的要求。4.下列属于社会工程学攻击方式的有？A.钓鱼邮件B.电话诈骗C.尾随进入机房D.SQL注入答案：ABC解析：社会工程学攻击利用人的心理弱点、信任关系获取信息或权限，钓鱼邮件、电话诈骗、尾随均属于此类；SQL注入属于技术类Web攻击，不依赖人为心理弱点。5.数据安全的核心目标包括？A.保密性B.完整性C.可用性D.流通性答案：ABC解析：数据安全的核心目标与网络安全一致，包括保密性、完整性、可用性；数据流通性是数据要素市场化的发展要求，不属于安全核心目标。6.下列关于零信任架构的说法，正确的有？A.默认不信任任何内部或外部用户、设备B.基于持续验证动态授予访问权限C.依赖网络边界划分信任域D.遵循最小权限原则答案：ABD解析：零信任架构打破了传统基于网络边界的信任模型，默认不信任任何主体，通过持续身份验证、权限动态评估、最小权限授权实现安全防护，因此C选项错误。7.下列属于入侵防御系统（IPS）主要功能的有？A.实时检测攻击行为B.主动阻断攻击流量C.生成安全告警D.自动修补系统漏洞答案：ABC解析：IPS是串接部署的安全设备，可实时检测、告警并主动阻断攻击流量，但无法自动修补系统漏洞，漏洞修补需人工操作完成。8.下列属于个人敏感信息的有？A.生物识别信息B.宗教信仰信息C.医疗健康信息D.公开的工作单位信息答案：ABC解析：根据《个人信息保护法》，敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受损或人身、财产安全受危害的信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等；公开的工作单位信息属于普通个人信息。9.下列措施中，可有效防护SQL注入攻击的有？A.使用预编译SQL语句（PreparedStatement）B.对用户输入进行严格的合法性校验C.部署Web应用防火墙（WAF）D.使用SSL加密传输数据答案：ABC解析：预编译语句可实现代码与数据分离，避免SQL语句被用户输入篡改；输入校验可过滤恶意字符；WAF可拦截常见注入攻击流量；SSL加密仅保障传输层安全，无法防护应用层的SQL注入漏洞。10.下列属于APT攻击典型特征的有？A.攻击目标针对性强B.攻击持续周期长C.常使用0day漏洞D.攻击手段单一答案：ABC解析：APT（高级持续性威胁）具有目标明确、持续时间长、技术手段先进（常结合0day漏洞、社工、木马等多种手段）、隐蔽性强等特点，攻击手段多样，因此D选项错误。三、判断题（每题1分，共10分）1.对称加密算法的加密密钥和解密密钥完全相同。答案：正确2.网络安全等级保护2.0仅适用于传统基础信息网络，不适用于云计算、物联网等新型信息系统。答案：错误解析：等保2.0实现了对传统信息系统、云计算平台、大数据平台、物联网、工业控制系统、移动互联网等各类信息系统的全覆盖。3.数字签名可以实现数据传输的保密性。答案：错误解析：数字签名用于实现身份认证和不可否认性，不具备数据加密功能，无法保障数据的保密性。4.入侵检测系统（IDS）需要串接在网络链路中才能实现攻击检测。答案：错误解析：IDS通常采用旁路镜像部署，通过复制流量实现检测，无需串接在链路中；串接部署是IPS、防火墙等拦截类设备的要求。5.根据《中华人民共和国网络安全法》，未成年人因年龄小可以免于承担非法侵入他人网络的法律责任。答案：错误6.零信任架构要求对所有访问请求进行持续的身份验证和权限校验，而非一次性验证。答案：正确7.数据脱敏就是对数据进行加密处理，只有持有密钥的用户才能解密查看原始数据。答案：错误解析：数据脱敏包括可逆脱敏和不可逆脱敏两类，加密属于可逆脱敏的一种，但数据脱敏还包括掩码、替换、虚构等不可逆方式，并非仅指加密。8.跨站脚本攻击的英文缩写为XSS，全称是Cross-SiteScripting。答案：正确9.关键信息基础设施运营者可以随意向境外提供在境内运营中收集和产生的重要数据。答案：错误解析：根据《网络安全法》《数据安全法》，关键信息基础设施运营者向境外提供重要数据，应当依法经过国家网信部门组织的安全评估。10.漏洞扫描可以发现所有的系统安全漏洞，包括未知的0day漏洞。答案：错误解析：漏洞扫描依赖已知漏洞特征库，只能发现已收录的已知漏洞，无法发现0day等未公开的未知漏洞。四、案例分析题（每题10分，共30分）1.某电商平台安全团队接到用户反馈，多名用户账户出现异常登录、余额被盗刷的情况。经排查，平台登录接口存在SQL注入漏洞，攻击者通过注入获取了10万余条用户账号密码的哈希值，并破解了部分弱密码用户的账户；同时攻击者在商品详情页的评论区植入了存储型XSS脚本，可窃取访问用户的Cookie信息。请结合上述场景回答下列问题：（1）请列出至少4条SQL注入攻击的防护措施（4分）（2）请简述XSS攻击的三种常见类型，并列出至少3条XSS防护措施（3分）（3）请简述本次安全事件应急响应的核心步骤（3分）答案：（1）SQL注入防护措施：①使用预编译SQL语句（PreparedStatement），实现SQL代码与用户输入的分离，避免注入篡改；②对用户输入进行严格的合法性校验，过滤特殊字符与SQL关键字；③部署Web应用防火墙（WAF），拦截常见的注入攻击流量；④采用最小权限原则配置数据库账号，禁止使用root等高权限账号连接业务数据库；⑤对用户密码等敏感数据进行加盐哈希存储，降低数据泄露后的破解风险。（答出任意4条即可得满分）（2）XSS攻击的三种类型：存储型XSS、反射型XSS、DOM型XSS。防护措施：①对用户输入进行过滤，移除或转义恶意脚本标签；②对输出到前端页面的内容进行HTML编码，避免脚本被浏览器执行；③为Cookie设置HttpOnly属性，防止XSS攻击窃取用户Cookie；④部署内容安全策略（CSP），限制可执行脚本的来源与权限。（类型答对得1分，防护措施答出3条得2分）（3）应急响应核心步骤：①遏制阶段：临时关停存在漏洞的接口，修补SQL注入与XSS漏洞，阻断攻击者的攻击路径；②根除阶段：清理数据库与页面中植入的恶意脚本，排查所有业务接口是否存在同类漏洞，加固数据库访问权限；③恢复阶段：逐步恢复业务正常运行，强制所有用户重置密码，通知受影响用户采取安全措施；④总结阶段：出具事件调查报告，完善安全防护体系，定期开展漏洞扫描与渗透测试。（答出核心逻辑即可得满分）解析：本题考核Web安全核心漏洞的防护与应急响应能力，SQL注入的核心防护思路是分离代码与数据，XSS的核心是管控输入输出与浏览器执行权限，应急响应需遵循PDCERF标准流程结合实际场景落地。2.某市级政务服务系统承载市民办事、信息查询、证件办理等核心业务，根据《网络安全等级保护条例》要求，该系统被定为第三级网络安全保护等级。系统上线前，单位需完成等级保护备案与测评工作。请结合上述场景回答下列问题：（1）请简述网络安全等级保护2.0的五个核心技术层面要求（5分）（2）请列出第三级信息系统等级保护测评的主要流程（3分）（3）请说明等保2.0中安全管理中心的核心作用（2分）答案：（1）五个核心技术层面要求：①安全物理环境：保障机房物理环境安全，包括防火、防水、防静电、防雷击、物理访问控制、防盗窃等；②安全通信网络：保障网络架构与传输安全，包括网络架构设计、通信传输加密、带宽冗余、网络设备防护等；③安全区域边界：保障网络边界安全，包括边界访问控制、入侵防范、恶意代码防护、边界完整性检查等；④安全计算环境：保障服务器、终端、应用、数据等计算资源的安全，包括身份鉴别、访问控制、漏洞防护、数据保密与完整性校验等；⑤安全管理中心：实现安全集中管控，包括系统管理、审计管理、安全管理、集中告警与态势感知等。（每个层面1分，共5分）（2）等级保护测评主要流程：①备案阶段：向属地公安机关网安部门提交等级保护备案材料，审核通过后取得备案证明；②差距分析与整改：对照等保2.0标准开展自查，梳理安全差距，完成技术与管理层面的整改；③正式测评：委托具备等保测评资质的机构开展现场测评，形成测评报告，测评得分达到70分以上为符合；④监督检查：公安机关定期对第三级以上系统进行监督检查，运营单位每年需开展一次测评。（答出备案、整改、测评三个核心环节即可得满分）（3）安全管理中心的核心作用：实现对全网安全设备、业务系统、数据资产的集中管理、监控与审计，统一配置安全策略，集中处置安全事件，提升安全防护的整体效率与协同能力。（意思相近即可得分）解析：本题考核等保2.0的核心框架与落地流程，第三级系统是政务、金融等行业最常见的中高级保护级别，要求每年开展一次测评，技术层面的五个层面是等保体系的核心知识。3.某互联网公司2025年上线了一款基于生成式AI的内容创作工具，用户可上传个人素材生成定制文案、图像等内容。2026年该工具陆续出现多起安全事件：一是部分用户上传的个人隐私素材因存储权限配置不当被泄露；二是攻击者通过提示注入攻击诱导AI生成色情、暴力等违法违规内容；三是公司在训练模型时未经授权使用了受版权保护的图文内容，引发知识产权纠纷。请结合上述场景回答下列问题：（1）请指出该公司在数据安全方面存在的主要问题，