2026年网络安全专业人员认证试卷及答案

2026年网络安全专业人员认证试卷及答案一、单项选择题（每题1分，共40分）1.根据2025年修订的《中华人民共和国网络安全法》，关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每（）至少进行一次检测评估。A.半年B.一年C.两年D.三年2.下列选项中，不属于《中华人民共和国数据安全法》规定的数据安全制度的是（）。A.数据分类分级保护制度B.数据安全审查制度C.数据出境安全评估制度D.数据资产确权登记制度3.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当对生成的图片、视频等非文本内容添加（）标识，便于公众识别。A.水印B.电子水印C.可溯源D.内容分类4.网络安全等级保护2.0标准体系中的“一个中心三重防护”不包括（）。A.安全管理中心B.安全通信网络C.安全运维中心D.安全计算环境5.某单位的办公系统涉及大量公民个人信息，一旦遭到破坏会对社会公共利益造成严重损害，按照等级保护2.0的分级标准，该系统应定为（）级。A.第二级B.第三级C.第四级D.第五级6.下列加密算法中，属于非对称加密算法的是（）。A.AESB.SM4C.RSAD.3DES7.哈希算法的核心特性不包括（）。A.单向性B.碰撞抵抗性C.可逆性D.定长输出8.数字签名技术主要用于实现信息安全的哪项需求？（）A.保密性B.完整性C.不可否认性D.可用性9.PKI体系中，负责签发和管理数字证书的核心角色是（）。A.RAB.CAC.KMSD.LDAP10.我国自主研发的公钥密码算法是（）。A.SM2B.SM3C.SM4D.SM911.下列攻击类型中，属于被动攻击的是（）。A.SQL注入B.网络嗅探C.DDoS攻击D.跨站脚本攻击12.SQL注入攻击的核心原理是（）。A.利用系统缓冲区溢出漏洞B.将恶意SQL语句插入输入参数，欺骗数据库执行C.伪造用户身份登录系统D.向服务器发送大量请求导致服务不可用13.跨站脚本攻击（XSS）根据攻击方式可分为三类，其中不包括（）。A.反射型XSSB.存储型XSSC.DOM型XSSD.传输型XSS14.攻击者通过发送大量伪造源IP的SYN报文，占用服务器半开连接资源，导致服务不可用，这种攻击属于（）。A.UDPFloodB.SYNFloodC.ICMPFloodD.HTTPFlood15.零日漏洞（0day）指的是（）。A.刚被发现还未被修复的漏洞B.刚被修复的漏洞C.存在时间超过一年的漏洞D.未被公开也未被修复的漏洞16.下列防护措施中，不能有效防御勒索病毒的是（）。A.定期离线备份数据B.开启终端防火墙并封禁445端口C.使用弱口令便于运维操作D.部署终端检测与响应（EDR）系统17.入侵检测系统（IDS）和入侵防御系统（IPS）的核心区别是（）。A.IDS部署在网络边界，IPS部署在内网B.IDS仅检测告警，IPS可主动阻断攻击C.IDS检测网络攻击，IPS检测病毒D.IDS是硬件设备，IPS是软件系统18.安全信息和事件管理（SIEM）系统的核心功能不包括（）。A.日志集中收集B.关联分析告警C.安全事件溯源D.业务系统开发19.应急响应模型PDCERF中的“C”指的是（）。A.检测（Detection）B.遏制（Containment）C.根除（Eradication）D.恢复（Recovery）20.漏洞管理的标准流程是（）。A.漏洞发现→漏洞修复→漏洞验证→漏洞评估B.漏洞发现→漏洞评估→漏洞修复→漏洞验证C.漏洞评估→漏洞发现→漏洞修复→漏洞验证D.漏洞发现→漏洞修复→漏洞评估→漏洞验证21.最小权限原则的核心思想是（）。A.授予用户尽可能多的权限，方便工作B.仅授予主体完成其任务所必需的最小权限C.所有用户权限保持一致D.权限一旦授予不得修改22.风险评估的三个核心要素是资产、威胁和（）。A.漏洞B.风险C.资产价值D.防护措施23.下列选项中，不属于物理安全防护范畴的是（）。A.机房门禁系统B.机房消防系统C.数据备份系统D.机房防雷接地系统24.安全审计的核心作用不包括（）。A.追溯安全事件B.发现违规操作C.提升系统性能D.满足合规要求25.云安全责任共担模型中，IaaS服务模式下，用户需要负责的安全层面是（）。A.物理基础设施安全B.虚拟化层安全C.操作系统安全D.数据中心安全26.SaaS服务模式下，云服务商和用户的安全责任分界点是（）。A.虚拟化层B.操作系统层C.应用层D.数据层27.工业控制系统（ICS）的典型特点不包括（）。A.可用性要求高B.实时性要求高C.对网络带宽要求高D.设备生命周期长28.车联网V2X技术中的“X”不包括（）。A.车与车（V2V）B.车与路（V2I）C.车与人（V2P）D.车与云（V2C）29.生成式AI大模型的prompt注入攻击是指（）。A.向大模型注入恶意代码B.通过构造特殊提示词，绕过大模型的安全限制C.窃取大模型的训练数据D.占用大模型的计算资源导致服务不可用30.零信任架构的核心原则是（）。A.内网可信，外网不可信B.永不信任，始终验证C.基于边界的防护D.基于角色的访问控制31.下列身份认证方式中，属于多因素认证的是（）。A.用户名+密码B.指纹识别C.密码+短信验证码D.人脸刷脸32.防火墙的默认工作模式不包括（）。A.路由模式B.透明模式C.混合模式D.代理模式33.下列协议中，用于远程桌面加密传输的是（）。A.TelnetB.SSHC.RDPD.FTP34.数据备份策略中的“3-2-1原则”指的是（）。A.3份备份、2种介质、1份异地/离线B.3种介质、2份备份、1份异地C.3天备份一次、2种介质、1份离线D.3份备份、2天一次、1份异地35.个人信息保护法中规定，处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。A.12B.14C.16D.1836.按照《国家网络安全事件应急预案》，下列不属于网络安全事件分级类别的是（）。A.特别重大事件B.重大事件C.较重事件D.较大事件37.下列技术中，不能用于数据脱敏的是（）。A.掩码B.加密C.替换D.哈希38.网络地址转换（NAT）技术的主要安全作用是（）。A.防止病毒入侵B.隐藏内部网络拓扑和私网地址C.过滤恶意流量D.检测入侵行为39.下列选项中，属于Web应用防火墙（WAF）主要防护对象的是（）。A.数据库系统B.操作系统C.Web应用D.网络边界40.等保2.0中，安全管理中心的三个子中心不包括（）。A.系统管理中心B.审计管理中心C.安全管理中心D.运维管理中心二、多项选择题（每题2分，共30分。多选、少选、错选均不得分）1.下列属于《中华人民共和国个人信息保护法》规定的敏感个人信息的有（）。A.生物识别信息B.宗教信仰信息C.医疗健康信息D.行踪轨迹信息2.网络安全等级保护2.0的“三重防护”包括（）。A.安全通信网络B.安全区域边界C.安全计算环境D.安全物理环境3.下列属于对称加密算法的有（）。A.AESB.SM4C.RSAD.DES4.下列属于主动攻击的有（）。A.网络嗅探B.SQL注入C.DDoS攻击D.篡改网页内容5.下列防护措施中，可有效防御SQL注入攻击的有（）。A.使用预编译语句（PreparedStatement）B.对用户输入进行严格过滤和校验C.部署Web应用防火墙（WAF）D.开启网页防篡改功能6.应急响应PDCERF模型包含的阶段有（）。A.准备阶段B.检测阶段C.遏制阶段D.恢复阶段7.风险评估的核心要素包括（）。A.资产B.威胁C.脆弱性D.安全措施8.云安全责任共担模型中，IaaS模式下用户需要负责的安全内容有（）。A.操作系统安全B.应用系统安全C.数据安全D.物理服务器安全9.工业控制系统（ICS）的典型安全风险包括（）。A.设备老旧，缺乏安全防护B.网络边界模糊，内外网混用C.协议专有，缺乏加密和认证D.定期升级补丁，安全防护完善10.生成式AI大模型的典型安全风险包括（）。A.训练数据泄露B.生成虚假有害内容C.提示词注入攻击D.算力不足导致服务卡顿11.零信任架构的核心技术包括（）。A.身份认证与访问控制B.微隔离C.持续信任评估D.边界防火墙12.下列属于多因素认证组合的有（）。A.密码+指纹B.密码+短信验证码C.密码+密保问题D.人脸+虹膜13.数据脱敏的常用技术包括（）。A.掩码B.替换C.哈希D.对称加密14.下列属于网络安全服务资质类别的有（）。A.风险评估服务B.应急处理服务C.安全集成服务D.软件开发服务15.关键信息基础设施的运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份D.制定网络安全事件应急预案，并定期进行演练三、判断题（每题1分，共10分）1.网络安全等级保护2.0标准仅适用于信息系统，不适用于云计算、物联网、工业控制系统等新兴场景。2.非对称加密算法的加密速度比对称加密算法更快，适合加密大量数据。3.数字证书是由权威的CA机构签发的，用于证明证书持有者的身份信息和公钥的合法性。4.反射型XSS攻击的恶意脚本存储在服务器端，用户访问页面时会自动执行。5.入侵防御系统（IPS）可以部署在网络边界，对进出的流量进行实时检测和阻断。6.最小权限原则要求仅授予用户完成工作所需的最小权限，权限分配遵循“按需分配”原则。7.云安全责任共担模型中，SaaS模式下用户不需要承担任何安全责任。8.工业控制系统的安全防护优先级是保密性优先，其次是完整性和可用性。9.生成式人工智能服务提供者应当按照国家有关规定，对生成的内容进行审核，防止生成违法违规内容。10.数据出境安全评估是所有数据出境前必须履行的法定程序。四、案例分析题（每题10分，共20分）1.某中型制造企业2026年4月遭遇新型勒索病毒攻击，核心ERP系统和生产控制系统的部分文件被加密，攻击者索要30万美元赎金并威胁泄露窃取的生产数据。经应急团队排查，攻击入口为外包运维人员的VPN账号被暴力破解，该账号使用了弱口令且未开启多因素认证；企业内网未做分区隔离，病毒攻破边界后迅速横向扩散至核心业务区；企业仅做了本地备份，备份服务器也被病毒加密，无法用于恢复。请回答以下问题：（1）请按照PDCERF应急响应模型，简述该事件的完整处置流程。（4分）（2）请指出本次事件中企业存在的3项核心安全短板。（3分）（3）请针对上述短板，提出3项针对性的改进措施。（3分）2.某科技公司2026年2月上线了一款面向C端用户的生成式AI写作产品，注册用户量超过200万。2026年6月，监管部门在专项检查中发现该产品存在以下问题：参考答案与解析一、单项选择题1.答案：B解析：修订后的《网络安全法》维持了关键信息基础设施年度检测评估的要求，第三级网络等级保护测评也要求每年至少一次。2.答案：D解析：数据资产确权登记不属于《数据安全法》明确规定的法定制度，其余三项均为法定核心制度。3.答案：C解析：办法明确要求生成式AI服务提供者对生成内容添加可溯源标识，防范虚假信息传播。4.答案：C解析：“一个中心三重防护”指安全管理中心，以及安全通信网络、安全区域边界、安全计算环境。5.答案：B解析：第三级网络受到破坏后，会对国家安全、社会公共利益造成严重损害，符合题干描述。6.答案：C7.答案：C解析：哈希算法是单向不可逆的，无法通过哈希值反推原始数据。8.答案：C解析：数字签名基于非对称加密，可验证发送方身份，防止发送方抵赖，实现不可否认性。9.答案：B解析：CA（证书认证机构）是PKI的核心，负责证书的签发、吊销和管理；RA是注册审核机构，负责身份审核。10.答案：A解析：SM2是椭圆曲线公钥密码算法，SM3是哈希算法，SM4是对称加密算法，SM9是标识密码算法。11.答案：B解析：被动攻击不修改数据，仅窃听或窃取信息，网络嗅探属于典型被动攻击；其余均为主动攻击。12.答案：B13.答案：D14.答案：B15.答案：D解析：零日漏洞是指已经被发现但未被公开、厂商也未发布补丁的漏洞，攻击者可在厂商修补前利用。16.答案：C17.答案：B18.答案：D19.答案：B解析：PDCERF分别对应准备（Preparation）、检测（Detection）、遏制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up）。20.答案：B21.答案：B22.答案：A解析：风险=资产价值×威胁发生概率×脆弱性（漏洞）严重程度，资产、威胁、脆弱性是风险评估的核心三要素。23.答案：C解析：数据备份属于数据安全范畴，其余均为物理安全防护措施。24.答案：C25.答案：C解析：IaaS模式下，云服务商负责物理设施、虚拟化层、数据中心安全，用户负责操作系统、应用、数据的安全。26.答案：C解析：SaaS模式下，云服务商负责从基础设施到应用层的全部安全，用户仅负责自身数据和账号的安全。27.答案：C解析：工控系统多采用专有协议，数据量小，对带宽要求低，但对可用性、实时性要求极高，设备更新慢、生命周期长。28.答案：D解析：V2X包括V2V（车与车）、V2I（车与路）、V2P（车与人）、V2N（车与网络），不包括V2C。29.答案：B30.答案：B31.答案：C解析：多因素认证需要结合两种及以上不同类型的认证因子（知识因子、持有因子、生物因子），密码属于知识因子，短信验证码属于持有因子，组合后为多因素认证。32.答案：D33.答案：C解析：RDP是远程桌面协议，支持加密传输；Telnet、FTP是明文传输；SSH是远程命令行加密协议。34.答案：A35.答案：B36.答案：C解析：网络安全事件分为特别重大、重大、较大、一般四个级别，无“较重事件”分级。37.答案：B解析：数据脱敏是对敏感数据进行不可逆变形处理，加密是可逆的，不属于常规脱敏技术。38.答案：B39.答案：C40.答案：D解析：安全管理中心包含系统管理、审计管理、安全管理三个子中心，实现三权分立。二、多项选择题1.答案：ABCD解析：根据《个人信息保护法》第二十八条，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。2.答案：ABC解析：“一个中心三重防护”指安全管理中心，以及安全通信网络、安全区域边界、安全计算环境，安全物理环境属于基础要求但不属于三重防护范畴。3.答案：ABD解析：RSA属于非对称加密算法，其余均为对称加密算法。4.答案：BCD解析：主动攻击会修改数据或破坏系统，SQL注入、DDoS、网页篡改均属于主动攻击；网络嗅探属于被动攻击，仅窃取信息不修改数据。5.答案：ABC解析：网页防篡改主要防护网页内容被篡改，无法防御SQL注入攻击；其余三项均为SQL注入的有效防御措施。6.答案：ABCD解析：PDCERF模型包括准备（Preparation）、检测（Detection）、遏制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up）六个阶段。7.答案：ABC解析：风险评估的核心三要素是资产、威胁、脆弱性，安全措施是降低风险的手段，不属于核心要素。8.答案：ABC解析：IaaS模式下，云服务商负责物理基础设施、虚拟化层的安全，用户负责操作系统、应用、数据和账号的安全。9.答案：ABC解析：工控系统普遍存在设备老旧、补丁更新困难、协议缺乏安全设计、边界不清晰等安全风险，D选项属于安全优势而非风险。10.答案：ABC解析：算力不足属于性能问题而非安全风险，其余三项均为生成式AI的核心安全风险。11.答案：ABC解析：零信任打破传统边界防护理念，核心技术包括身份为中心的访问控制、微隔离、持续信任评估等，边界防火墙是传统边界防护的核心设备。12.答案：AB解析：多因素认证需要结合不同类型的认证因子：知识因子（密码、密保问题）、持有因子（短信验证码、U盾）、生物因子（指纹、人脸、虹膜）。C选项均为知识因子，D选项均为生物因子，不属于多因素认证。13.答案：ABC解析：数据脱敏的核心是使敏感数据不可识别且不可逆，对称加密是可逆的，不属于常规脱敏技术；掩码、替换、哈希均为常用脱敏方法。14.答案：ABC解析：常见的网络安全服务资质包括风险评估、应急处理、安全集成、安全运维、安全咨询等，软件开发服务不属于网络安全专项服务资质。15.答案：ABCD解析：以上四项均为《网络安全法》规定的关键信息基础设施运营者的法定安全保护义务。三、判断题1.答案：错误解析：等保2.0扩展了适用范围，覆盖了云计算、移动互联、物联网、工业控制系统、大数据等新兴场景。2.答案：错误解析：对称加密算法加密速度快，适合加密大量数据；非对称加密算法速度慢，通常用于加密密钥或数字签名。3.答案：正确4.答案：错误解析：存储型XSS的恶意脚本存储在服务器端，反射型XSS的恶意脚本通过URL参数传递，需要诱导用户点击特殊链接才会触发。5.答案：正确6.答案：正确7.答案：错误解析：SaaS模式下用户仍需承担自身数据安全、账号安全、访问控制等责任，云服务商负责基础设施到应用层的安全。8.答案：错误解析：工控系统的核心需求是可用性，其次是完整性，最后才是保密性，与传统信息系统的优先级相反。9.答案：正确10.答案：错误解析：只有达到《数据出境安全评估办法》规定的阈值（如关键信息基础设施运营者出境数据、处理100万人以上个人信息的处理者出境数据等）才需要申报安全评估，并非所有数据出境都需要。四、案例分析题1.答案：（1）处置流程：①准备阶段：启动应急预案，成立应急响应小组，准备取证工具、防护设备、备份资源等；②检测阶段：确认勒索病毒感染范围，梳理受影响的业务系统和数据，定位攻击入口，判断病毒类型和传播路径；③遏制阶段：断开受感染主机的网络连接，封禁VPN异常账号，临时关闭核心业务区与其他区域的连通，防止病毒进一步扩散；④根除阶段：清除受感染主机中的病毒和后门，修复VPN账号弱口令问题，开启多因素认证，修补内网存在的其他漏洞；⑤恢复阶段：优先使用离线备份（如有）恢复核心业务系统和数据，验证系统可用性和安全性后，逐步恢复业务上线；⑥跟踪阶段：对事件进行复盘总结，优化安全策略和应急预案，开展全员安全培训，持续监测网络状态防止再次发生。（答出4个阶段及核心内容即可得满分）（2）核心安全短板：①账号安全管理缺失：外包运维VPN账号使用弱口令，未开启多因素认证，账号权限未做最小化限制；②网络架构不合理：内网未按业务分区进行隔离，缺乏横向访问控制，病毒可轻易扩散至核心区域；③备份机制不完善：仅采用本地备份，未落实离线/异地备份策略，备份数据被病毒加密无法使用；④边界防护能力不足：VPN未设置暴力破解防护机制，缺乏入侵检测和异常行为监测能力。（答出3项即可得满分）（3）改进措施：①强化账号安全管理：所有运维和VPN账号强制使用强口令，开启多因素认证，落实最小权限原则，定期审计账号权限；②优化网络架构：按业务类型划分为办公区、生产区、核心业务区等不同安全域，部署微隔离和访问控制策略，限制横向移动权限；③完善数据备份机制：遵循3-2-1备份原则，保留3份备份、使用2种介质、至少1份离线/异地备份，定期验证备份可用性；④提升边界防护能力：在VPN入口增加暴力破解防护、异常登录检测，部署下一代防火墙和入侵防御系统，实时监测边界流量。（答出3项即可得满分）解析：本题以勒索病毒攻击为典型场景，考核应急响应模型的应用、安全风险识别和防护能力，需结合企业实际运维场景，从技术、管理、流程等多个维度分析，答案需具备可落地性。2.①产品未按要求开展网络安全等级保护定级备案和测评，经初步判定该产品符合第三级网络要求；②产品未对用户上传的输入内容进行敏感信息过滤，部分用户上传的个人隐私信息被纳入大模型训练数据，存在数据泄露风险；③产品未落实用户实名制要求，匿名用户可随意使用，存在生成违法有害信息的风险；④产品未建立内容审核机制，多次出现生成虚假诈骗信息、低俗色情内容的情况。请回答以下问题：（1）请指出该公司的行为违反了哪些现行网络安全法律法规（至少列出3部）。（3分）（2）请结合等级保护2.0第三级要求，说明该产品在安全计算环境层面应落实的核心安全措施（至少4项）