2026年网络安全教育认证考试网络安全威胁识别与应对试题及答案

2026年网络安全教育认证考试网络安全威胁识别与应对试题及答案一、单项选择题（每题1分，共30分）1.按照网络攻击的性质划分，下列属于被动攻击的是？A.篡改网页内容B.流量窃听C.DDoS攻击D.SQL注入答案：B解析：被动攻击不修改数据、不破坏系统，以窃取信息为核心，流量窃听、流量分析均属于被动攻击；主动攻击会对数据或系统进行篡改、破坏，A、C、D均属于主动攻击。2.下列恶意代码中，不需要宿主文件、可独立通过网络自我复制传播的是？A.计算机病毒B.蠕虫C.木马D.间谍软件答案：B解析：蠕虫的核心特征是可独立自我复制、主动传播，无需依附宿主文件；病毒需要寄生在宿主文件中，木马伪装成正常程序诱使用户运行，间谍软件以窃取信息为主要目的，均不具备主动自我复制传播能力。3.勒索软件的核心危害是？A.窃取用户隐私数据B.加密用户文件并索要赎金C.控制用户设备组成僵尸网络D.篡改系统配置答案：B4.下列攻击方式中，属于社会工程学范畴的是？A.暴力破解密码B.SQL注入C.钓鱼邮件D.缓冲区溢出答案：C解析：社会工程学利用人的心理弱点而非技术漏洞获取信息或权限，钓鱼邮件通过伪装身份诱骗用户操作，属于典型的社会工程学攻击；A、B、D均为技术类漏洞攻击。5.“零日漏洞”（Zero-day）的核心定义是？A.刚刚被发现且厂商已发布补丁的漏洞B.已公开但尚未被利用的漏洞C.尚未被公开、厂商也未发布补丁的漏洞D.存在时间超过一年的高危漏洞答案：C6.下列攻击中，针对Web应用服务器端数据库的常见攻击是？A.XSS攻击B.SQL注入C.CSRF攻击D.水坑攻击答案：B解析：SQL注入通过构造恶意SQL语句，利用Web应用对用户输入校验不足的漏洞，窃取、篡改服务器端数据库数据；XSS、CSRF主要针对客户端用户，水坑攻击针对目标常访问的网站。7.入侵检测系统（IDS）的核心作用是？A.主动阻断正在发生的攻击B.检测并发现网络或系统中的攻击行为C.过滤进出网络的数据包D.加密网络传输数据答案：B解析：IDS是检测类设备，仅负责发现攻击并告警，不具备主动阻断能力；主动阻断是IPS的功能，包过滤是防火墙的功能，加密传输是VPN等加密设备的功能。8.应急响应流程（PDCERF）中，“遏制”阶段的核心目标是？A.制定应急预案并开展演练B.确认事件是否真的发生C.阻止攻击进一步扩散，降低损失D.彻底清除攻击残留，恢复系统答案：C解析：PDCERF六个阶段为准备（Preparation）、检测（Detection）、遏制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up）。遏制阶段的核心是限制攻击范围，防止损失扩大。9.下列哪种攻击通常利用公共WiFi环境实施，窃取用户传输的敏感数据？A.中间人攻击B.勒索软件攻击C.供应链攻击D.内部威胁答案：A解析：中间人攻击通过在通信双方之间插入恶意节点，窃取或篡改传输数据，公共WiFi缺乏有效身份验证，是中间人攻击的高发场景。10.存储型XSS攻击的核心特征是？A.恶意脚本存储在服务器端数据库中，用户访问页面时触发B.恶意脚本通过URL参数传递，服务器反射后在客户端执行C.恶意脚本通过修改页面DOM结构执行，不经过服务器处理D.恶意脚本利用浏览器插件漏洞执行答案：A解析：XSS分为存储型、反射型、DOM型三类。存储型XSS的恶意代码永久存储在服务器端（如数据库、论坛帖子），用户访问对应页面时自动触发，危害最大。11.下列属于内部威胁的是？A.外部黑客通过漏洞入侵服务器B.运维人员误操作删除核心数据C.竞争对手雇佣黑客攻击网站D.勒索软件通过钓鱼邮件传入企业答案：B解析：内部威胁的来源包括内部人员的恶意行为、误操作，以及第三方接入人员的风险等；A、C、D的攻击来源均为外部，属于外部威胁。12.DDoS攻击的核心目的是？A.窃取目标系统的敏感数据B.篡改目标系统的网页内容C.消耗目标系统资源，使其无法提供正常服务D.植入后门长期控制目标系统答案：C13.下列工具中，属于终端威胁检测与响应类的是？A.防火墙B.SIEMC.EDRD.IDS答案：C解析：EDR即终端检测与响应（EndpointDetectionandResponse），部署在终端设备上，负责检测和响应终端侧的威胁；防火墙是边界防护设备，SIEM是安全信息与事件管理平台，IDS是入侵检测系统，均不属于终端类防护工具。14.“水坑攻击”的主要攻击思路是？A.向大量用户发送伪装成正规机构的邮件B.攻陷目标群体经常访问的网站，植入恶意代码C.利用软件供应链渠道植入恶意代码D.通过暴力破解获取目标账号权限答案：B解析：水坑攻击的思路是“守株待兔”，攻击者先攻陷目标人群（如某企业员工、某行业从业者）常访问的网站，等待目标访问时被植入恶意代码。15.CVSS漏洞评分体系中，高危漏洞的评分范围是？A.0.1-3.9B.4.0-6.9C.7.0-8.9D.9.0-10.0答案：C解析：CVSS3.x评分标准中，0.1-3.9为低危，4.0-6.9为中危，7.0-8.9为高危，9.0-10.0为严重（临界）。16.下列关于CSRF攻击的说法，正确的是？A.攻击者需要获取用户的账号密码才能实施攻击B.攻击利用用户已登录的身份，冒充用户执行操作C.攻击的核心是窃取服务器端数据库数据D.攻击只能通过钓鱼邮件传播答案：B解析：CSRF即跨站请求伪造，攻击者利用用户浏览器已保存的身份认证信息，诱使用户访问恶意页面，冒充用户向服务器发起请求，无需获取用户密码。17.僵尸网络（Botnet）的核心用途不包括？A.发起DDoS攻击B.发送垃圾邮件C.窃取加密货币钱包密钥D.数据备份与恢复答案：D18.下列哪项是钓鱼网站的典型特征？A.域名与正规网站高度相似，存在细微拼写错误B.页面内容与正规网站完全不同C.网站加载速度极快D.不需要输入账号密码即可使用答案：A解析：钓鱼网站通常伪装成正规网站（如银行、电商、企业办公系统），域名与正规域名高度相似（如将taobao写为taoba0），页面几乎完全一致，目的是诱骗用户输入账号密码等敏感信息。19.威胁建模方法STRIDE中，“S”代表的威胁类型是？A.篡改（Tampering）B.抵赖（Repudiation）C.欺骗（Spoofing）D.信息泄露（InformationDisclosure）答案：C解析：STRIDE是微软提出的威胁建模方法，六个字母分别对应：Spoofing（欺骗）、Tampering（篡改）、Repudiation（抵赖）、InformationDisclosure（信息泄露）、DenialofService（拒绝服务）、ElevationofPrivilege（权限提升）。20.勒索软件最常见的初始传播途径不包括？A.钓鱼邮件附件B.漏洞利用C.正规软件官方更新渠道D.恶意广告跳转答案：C21.下列属于基于异常的入侵检测技术特点的是？A.依赖已知攻击特征库，无法检测未知攻击B.通过建立正常行为基线，识别偏离基线的异常行为C.误报率极低，不会漏报已知攻击D.仅能检测网络层攻击，无法检测应用层攻击答案：B解析：基于特征的入侵检测依赖攻击特征库，准确率高但无法检测未知攻击；基于异常的入侵检测通过建立正常行为模型，识别异常行为，可检测未知攻击，但误报率相对较高。22.“蜜罐”系统的核心作用是？A.替代业务系统提供服务，提升访问速度B.诱捕攻击者，收集攻击行为数据C.过滤恶意流量，阻断DDoS攻击D.加密存储核心业务数据答案：B23.数据泄露的主要原因不包括？A.内部人员违规外传数据B.外部黑客入侵窃取数据C.配置不当导致敏感数据公开D.数据加密存储答案：D24.下列攻击中，属于供应链攻击的是？A.攻击者通过钓鱼邮件获取员工账号B.攻击者利用某开源组件漏洞入侵使用该组件的企业C.攻击者通过公共WiFi窃取用户聊天记录D.攻击者暴力破解管理员账号密码答案：B解析：供应链攻击是指攻击者攻击供应链环节（如软件供应商、开源组件、硬件供应商），通过受污染的产品或服务入侵下游目标，B选项利用开源组件漏洞属于典型的供应链攻击。25.应急响应中，下列哪项工作属于“准备阶段”？A.对攻击源进行溯源分析B.恢复业务系统的正常运行C.制定应急预案并定期开展演练D.隔离受感染的终端设备答案：C解析：准备阶段是应急响应的前置工作，包括预案制定、人员培训、工具储备、定期演练等，目的是在事件发生时能够快速响应。26.下列关于零信任架构的核心思想，说法正确的是？A.内部网络所有设备和用户都是可信的B.仅在网络边界进行身份验证，内部无需验证C.永不信任，始终验证，最小权限D.仅对外部用户进行身份验证，内部用户无需验证答案：C27.DOM型XSS与其他两类XSS的核心区别是？A.恶意代码存储在服务器端数据库中B.攻击完全发生在客户端，恶意代码不经过服务器处理C.攻击需要用户主动点击恶意链接才能触发D.攻击只能针对IE浏览器实施答案：B28.下列哪项是识别内部恶意威胁的核心指标？A.员工工作时长B.员工访问敏感数据的行为是否偏离正常基线C.员工的绩效考核结果D.员工的学历背景答案：B29.遭受勒索软件攻击后，下列做法错误的是？A.立即隔离受感染设备，防止扩散B.直接支付赎金以最快速度恢复数据C.排查攻击入口，防止再次被攻击D.优先通过备份恢复数据答案：B解析：支付赎金不仅会造成直接经济损失，还可能面临数据无法恢复、二次勒索的风险，且违反我国相关法律法规要求，不应作为优先选项。30.威胁情报的核心价值是？A.提升威胁检测的准确性和响应速度B.替代防火墙等防护设备C.直接修复系统漏洞D.实现完全自动化的安全运营答案：A二、多项选择题（每题2分，共20分。每题至少有2个正确答案，多选、少选、错选均不得分）1.下列攻击类型中，属于主动攻击的有？A.流量窃听B.篡改网页C.DDoS攻击D.SQL注入E.流量分析答案：BCD解析：主动攻击会对数据、系统进行篡改或破坏，影响系统可用性、完整性；被动攻击以窃取信息为目的，不修改数据，不破坏系统运行，A、E属于被动攻击。2.钓鱼邮件的典型识别要点包括？A.发件人域名与正规机构域名存在细微差异B.邮件内容带有紧急、恐吓性措辞，催促用户尽快操作C.邮件附件为.exe、.js等可执行文件格式D.邮件正文中的链接地址与显示文字不一致E.邮件内容全部为文字，无任何图片答案：ABCD解析：钓鱼邮件通常具有身份伪造、制造紧迫感、携带恶意附件或链接等特征；是否包含图片不是识别钓鱼邮件的依据，正规邮件也可能只有文字。3.下列属于DDoS攻击常见类型的有？A.SYN洪水攻击B.UDP洪水攻击C.CC攻击D.SQL注入攻击E.ICMP洪水攻击答案：ABCE解析：DDoS即分布式拒绝服务攻击，通过大量僵尸设备向目标发起请求，消耗目标资源。SYN、UDP、ICMP洪水属于网络层/传输层DDoS，CC攻击属于应用层DDoS；SQL注入是漏洞利用类攻击，不属于DDoS范畴。4.社会工程学攻击的常见手段包括？A.伪装成IT运维人员骗取账号密码B.尾随员工进入涉密办公区域（尾形攻击）C.在公共区域放置带有恶意程序的U盘（诱饵攻击）D.利用系统漏洞入侵服务器E.冒充领导要求财务人员转账（冒充诈骗）答案：ABCE解析：社会工程学利用人的心理弱点而非技术漏洞实施攻击，D属于技术类漏洞攻击，不属于社会工程学范畴。5.下列属于内部威胁场景的有？A.离职员工违规拷贝核心研发数据B.运维人员误操作删除核心业务数据C.外包开发人员在系统中预留后门D.外部黑客通过SQL注入窃取用户数据E.内部员工因利益出售客户个人信息答案：ABCE解析：内部威胁的来源包括企业内部正式员工、外包人员、合作方人员等的恶意行为或误操作；D属于外部威胁。6.常见的网络威胁检测技术包括？A.特征匹配检测B.异常行为检测C.沙箱动态分析D.威胁情报匹配E.数据备份与恢复答案：ABCD解析：威胁检测技术用于发现攻击行为，E属于数据安全防护与恢复措施，不属于检测技术。7.零日漏洞的典型特点包括？A.隐蔽性强，攻击者可利用时间长B.危害程度高，暂无官方补丁C.仅能影响Windows系统D.利用成本低，所有攻击者均可轻松获取E.防御难度大，基于特征的防护设备无法检测答案：ABE解析：零日漏洞是指尚未被公开、厂商未发布补丁的漏洞，隐蔽性强、危害大、防御难度高；零日漏洞可影响各类系统，并非仅针对Windows，且这类漏洞通常价格高昂，普通攻击者难以获取。8.应急响应“根除阶段”的主要工作内容包括？A.清除系统中的恶意代码、后门账户B.修复被利用的系统漏洞C.隔离受感染的网络区域D.全面排查网络中是否存在其他受感染设备E.恢复业务系统的正常运行答案：ABD解析：根除阶段的核心是彻底清除攻击残留，消除攻击再次发生的条件；C属于遏制阶段的工作，E属于恢复阶段的工作。9.供应链攻击的常见攻击路径包括？A.攻击软件供应商的更新服务器，植入恶意代码B.利用广泛使用的开源组件漏洞入侵下游用户C.通过钓鱼邮件获取企业员工账号D.在硬件生产或运输环节植入恶意芯片E.利用外包运维人员的访问权限入侵企业系统答案：ABDE解析：供应链攻击针对供应链的各个环节（软件、硬件、服务、人员），通过受污染的供应链环节入侵目标；C属于直接针对目标的攻击，不属于供应链攻击范畴。10.勒索软件的典型防御措施包括？A.定期备份核心数据并离线存储B.禁用不必要的端口和服务C.及时更新系统和软件补丁D.加强员工安全意识培训，防范钓鱼邮件E.安装终端防护软件并定期扫描答案：ABCDE解析：勒索软件的防御需要从技术、管理、人员等多维度入手，以上选项均为有效的防御措施。三、判断题（每题1分，共10分）1.计算机病毒可以脱离宿主文件独立运行和传播。答案：错误解析：病毒必须寄生在宿主文件中，需要用户运行宿主文件才能触发；蠕虫可以脱离宿主独立自我复制传播。2.存储型XSS攻击的危害远大于反射型XSS，因为恶意代码会永久存储在服务器端。答案：正确3.内部威胁仅指内部员工的恶意攻击行为，不包括误操作和第三方人员风险。答案：错误解析：内部威胁包括内部人员的恶意行为、误操作，以及外包、合作方等第三方接入人员带来的风险。4.入侵防御系统（IPS）不仅可以检测攻击行为，还可以主动阻断正在发生的攻击。答案：正确解析：IDS仅负责检测和告警，IPS在IDS的基础上增加了主动阻断功能。5.只要发件人地址是熟悉的同事或合作伙伴，邮件就一定是安全的，无需警惕。答案：错误解析：攻击者可以通过伪造发件人地址、盗用他人邮箱等方式发送钓鱼邮件，即使是熟悉的发件人也需要核实邮件内容的真实性。6.防火墙可以完全防御所有类型的DDoS攻击。答案：错误解析：普通防火墙只能过滤部分网络层DDoS攻击，对于应用层DDoS（如CC攻击）和大流量DDoS防御效果有限，需要专业的抗DDoS设备配合。7.遭受勒索软件攻击后，应立即对受感染设备进行格式化，以彻底清除病毒。答案：错误解析：遭受攻击后应先隔离受感染设备，保留攻击证据以便溯源排查，再进行后续的清除和恢复工作，直接格式化会丢失攻击线索，也可能导致数据无法恢复。8.水坑攻击通常针对特定目标群体，具有较强的定向性。答案：正确解析：水坑攻击会先攻陷目标群体常访问的网站，等待目标主动访问时触发攻击，属于定向攻击的一种。9.威胁情报仅包括从外部获取的黑客组织、漏洞等信息，不包括企业内部的安全日志、漏洞数据。答案：错误解析：威胁情报分为外部情报和内部情报，内部的安全日志、漏洞信息、资产信息等是威胁分析的重要基础，也属于威胁情报的范畴。10.零信任架构的核心是“默认不信任，持续验证”，无论用户来自内部还是外部，都需要进行身份和权限验证。答案：正确四、简答题（每题10分，共20分）1.请从攻击性质、攻击来源、攻击载体三个维度，对常见网络安全威胁进行分类，并分别列举2个典型实例。答案：(1)按攻击性质划分，分为被动攻击和主动攻击：•被动攻击：以窃取信息为核心，不修改数据、不破坏系统运行，典型实例包括流量窃听、流量分析（2分）。•主动攻击：会篡改、破坏数据或系统，影响可用性、完整性，典型实例包括DDoS攻击、SQL注入攻击（2分）。(2)按攻击来源划分，分为外部威胁和内部威胁：•外部威胁：来自企业外部的攻击者发起的攻击，典型实例包括黑客入侵、勒索软件攻击（2分）。•内部威胁：来自企业内部人员（正式员工、外包、合作方等）的威胁，典型实例包括内部数据泄露、运维误操作（2分）。(3)按攻击载体划分，分为恶意代码类、社会工程类、漏洞利用类等：•恶意代码类：以恶意程序为载体，典型实例包括病毒、蠕虫（1分）。•社会工程类：利用人的心理弱点，典型实例包括钓鱼邮件、冒充诈骗（1分）。（注：分类逻辑清晰、实例合理即可酌情给分）解析：本题考查网络安全威胁的基础分类框架，三个维度是威胁识别的核心逻辑，考生需掌握不同分类维度下的威胁特征与典型实例。2.请简述网络安全应急响应的六个阶段（PDCERF模型）及各阶段的核心目标。答案：PDCERF模型将应急响应分为六个阶段，各阶段核心目标如下：(1)准备阶段（Preparation）：提前做好应急响应的各项准备工作，包括制定应急预案、组建应急团队、储备应急工具、定期开展应急演练等，确保事件发生时能够快速响应（2分）。(2)检测阶段（Detection）：通过安全设备、人员报告等渠道发现安全事件，确认事件的真实性、初步判断事件类型和影响范围（2分）。(3)遏制阶段（Containment）：采取措施限制攻击的扩散范围，防止损失进一步扩大，如隔离受感染设备、封禁恶意IP、切断可疑连接等（2分）。(4)根除阶段（Eradication）：彻底清除攻击残留，消除攻击再次发生的条件，如删除恶意代码和后门账户、修复被利用的漏洞、排查全网受影响设备等（2分）。(5)恢复阶段（Recovery）：逐步恢复业务系统的正常运行，验证系统安全性，确保恢复后不会再次被攻击（1分）。(6)跟踪阶段（Follow-up）：对事件进行复盘总结，分析事件原因，完善应急预案和防护措施，避免同类事件再次发生（1分）。解析：PDCERF是应急响应的核心模型，是威胁应对的基础流程，考生需准确记忆各阶段的顺序和核心工作内容，注意遏制与根除、恢复与跟踪的区别。五、案例分析题（每题20分，共20分）###场景描述某中型汽车零部件制造企业2026年3月出现多起异常事件：1.多名一线员工收到发件人为“集团人力资源部”的邮件，标题为《2026年第一季度工资调整通知》，要求点击邮件内链接登录系统确认工资信息，多名员工点击后出现电脑卡顿、浏览器频繁弹窗广告的情况。2.企业核心MES（制造执行系统）连续3个工作日在上午9点-11点出现访问卡顿、甚至瘫痪的情况，导致生产线停摆，直接经济损失超百万元。3.运维人员排查时发现，存储核心工艺图纸的文件服务器中，大量.dwg格式的图纸被加密，文件名后缀变为“.enc26”，服务器桌面上留有勒索信，要求72小时内支付50枚比特币以获取解密密钥，否则将公开所有工艺图纸。请结合上述场景，回答下列问题：1.请分析该企业先后遭遇了哪三类典型网络安全威胁？（6分）2.针对上述三类威胁，分别说明核心识别要点。（6分）3.请结合企业实际场景，给出从技术、管理、人员三个维度的威胁应对与防护改进方案。（8分）答案：####问题1（6分）该企业先后遭遇的三类网络安全威胁分别为：(1)社会工程学攻击（钓鱼邮件攻击）：攻击者伪装成人力资源部发送钓鱼邮件，诱骗员工点击恶意链接，植入恶意程序（2分）。(2)DDoS攻击（拒绝服务攻击）：攻击者针对MES系统发起定向DDoS攻击，消耗系统资源，导致系统无法正常提供服务，生产线停摆（2分）。(3)勒索软件攻击：攻击者入侵文件服务器，加密核心工艺图纸数据，索要比特币赎金，属于典型的勒索软件攻击，且兼具数据泄露威胁（2分）。####问题2（6分）三类威胁的核心识别要点：(1)钓鱼邮件识别要点：-发件人身份伪造：发件域名与正规集团域名存在差异，或冒充内部部门名义发送（1分）。-内容制造紧迫感：以工资调整、福利发放等员工关注的内容为诱饵，催促用户尽快操作（1分）。-携带恶意链接/附件：链接地址指向非官方域名，或附