2026年公需科目工业控制系统网络安全防护模拟试题及答案

2026年公需科目工业控制系统网络安全防护模拟试题及答案第Ⅰ卷客观题（共60分）一、单项选择题（本大题共30小题，每小题1分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出。）1.工业控制系统（ICS）主要用于监控和控制工业过程，以下哪项不属于典型的ICS核心组件？A.数据采集与监视控制系统（SCADA）B.集散控制系统（DCS）C.可编程逻辑控制器（PLC）D.企业资源计划系统（ERP）2.在工业控制系统的安全CIA三要素中，通常与传统IT系统优先考虑“机密性”不同，ICS最优先考虑的要素是？A.机密性B.完整性C.可用性D.不可抵赖性3.震网病毒是针对工业控制系统的著名恶意代码，它主要利用了西门子SIMATICWinCC系统的哪个漏洞进行攻击？A.缓冲区溢出漏洞B.SQL注入漏洞C.默认密码漏洞D.打印机后台程序漏洞4.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019，即等保2.0），工业控制系统作为关键信息基础设施，其安全防护应遵循的总体方针是？A.重点保护网络系统，兼顾控制系统B.分区隔离、边界防护、综合防护C.仅依赖物理隔离，无需逻辑隔离D.完全封闭，拒绝任何外部连接5.在Purdue企业参考架构中，用于实现过程控制层级与企业网络层级之间数据交换与缓冲保护的区域被称为？A.制造执行系统（MES）区B.非军事区（DMZ）C.现场控制区D.核心生产区6.ModbusTCP协议广泛应用于工业以太网中，其默认端口号是？A.80B.443C.502D.1027.以下哪种技术能够有效防止工业网络中的广播风暴扩散，并实现不同网段间的逻辑隔离？A.集线器B.二层交换机C.工业防火墙D.调制解调器8.关于工业控制系统的补丁管理，以下描述正确的是？A.应当像办公网一样，第一时间安装所有系统补丁B.任何情况下都严禁安装补丁，以免影响生产C.需在测试环境中充分验证兼容性后，制定计划有序更新D.只有微软发布的补丁才需要关注9.深度包检测（DPI）技术在工业防火墙中的应用主要是为了？A.检测网络流量的大小B.识别和过滤基于工业协议的恶意指令和异常行为C.加密数据传输D.提高网络传输速度10.IEC62443标准系列中，专门描述“工业自动化与控制系统安全”技术要求的部分是？A.IEC62443-1-1B.IEC62443-2-1C.IEC62443-3-3D.IEC62443-4-111.在物理安全防护中，针对工业现场设备的防护措施不包括？A.机房门禁系统B.监控摄像C.USB端口封堵D.开放式无线接入12.某工控系统遭受攻击，攻击者通过向PLC发送大量伪造的控制指令，导致物理设备异常运行，这种攻击属于？A.旁路攻击B.中间人攻击（MITM）C.拒绝服务攻击D.社会工程学攻击13.用于保护存储在工控机或服务器中的敏感数据，即使设备丢失也不会泄露的技术是？A.访问控制列表（ACL）B.全盘加密C.防火墙D.入侵检测系统（IDS）14.S7Comm协议是哪个厂商的专有工业通信协议？A.罗克韦尔B.施耐德C.西门子D.三菱15.在进行工业控制系统风险评估时，计算风险值的公式通常表示为R=f(A,V,T)，其中R代表风险，T代表威胁，V代表脆弱性，则A代表？A.资产B.攻击C.面积D.算法16.下列关于工业控制系统中无线网络使用的安全建议，错误的是？A.使用最新的加密协议（如WPA3）B.禁用SSID广播以隐藏网络C.定期更换强密码D.使用默认的SSID和密钥以便于维护17.“黑盒子”测试在工业控制系统安全评估中是指？A.测试人员完全不了解系统内部结构，仅从外部进行模拟攻击B.测试人员拥有系统源代码和全部权限C.测试人员仅关注硬件物理安全D.测试人员必须切断网络进行离线测试18.为了防止移动存储介质（如U盘）在工控网和办公网之间交叉使用导致病毒传播，最有效的管理手段是？A.格式化U盘B.实施移动介质“专盘专用”并禁用自动播放功能C.使用大容量U盘D.仅允许使用只读U盘19.等保2.0中，对于工业控制系统安全计算环境的身份鉴别要求，双因子认证是指？A.用户名+密码B.密码+密码C.两种不同性质的认证机制，如口令+数字证书D.两次输入相同密码20.OPC（OLEforProcessControl）Classic协议基于哪个底层通信技术？A.TCP/IPB.DCOM/COMC.UDPD.HTTP21.下列哪种设备通常位于工业控制网络的最底层，直接连接传感器和执行器？A.HMI（人机界面）B.RTU（远程终端单元）C.PLC（可编程逻辑控制器）D.历史数据库22.针对工业控制系统的入侵防御系统（IPS）部署时，应特别注意？A.必须串联部署在所有网络节点B.设置为“阻断模式”以免误报影响生产C.先进行“监听模式”学习，建立正常行为基线后再启用防护D.只能部署在企业网边界23.2026年随着AI技术在工业中的应用，以下哪项不是AI带来的新型安全风险？A.对抗样本攻击导致模型误判B.训练数据投毒C.自动化漏洞挖掘与利用D.物理锁具老化24.工业数据分类分级是数据安全的基础，以下哪种数据通常被划分为最高级别（核心数据）？A.公开的设备说明书B.生产线的实时控制指令C.员工的食堂菜谱D.企业官网的访问日志25.应急响应计划（IRP）中，PDCERF模型不包括以下哪个阶段？A.准备B.检测C.销毁D.恢复26.在工业协议中，DNP3（DistributedNetworkProtocol）主要应用于哪个行业？A.汽车制造B.电力和公用事业C.食品加工D.纺织印染27.逻辑隔离与物理隔离相比，主要的优势在于？A.绝对安全，无法被穿透B.成本低，便于数据交换与管理C.不需要任何防火墙设备D.能够完全防止物理接触攻击28.工业控制系统的安全日志审计，日志保存时间应满足法律法规要求，一般不少于？A.1个月B.3个月C.6个月D.6个月以上（通常建议6个月至1年）29.下列哪项属于工控系统的“安全管理中心”在等保2.中要求的集中管控功能？A.只有管理员的账号管理B.集中管理物理钥匙C.集中管理安全设备、策略、审计和运维D.仅负责网络带宽分配30.针对老旧工控设备（如WindowsXP系统）无法打补丁的情况，最佳实践是？A.立即报废更换B.忽略安全风险继续使用C.通过网络分段、虚拟补丁技术进行防护D.直接连接互联网获取远程支持二、多项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的五个备选项中至少有两个是符合题目要求的，错选、多选、少选均不得分。）31.工业控制系统（ICS）与传统信息技术（IT）系统相比，具有哪些显著不同的特征？A.性能需求高，对实时性要求严格B.系统生命周期长，设备更新换代慢C.协议专有，标准化程度低D.可用性优先级高于机密性E.使用通用的商业软件为主32.以下哪些是《网络安全法》中明确规定的关键信息基础设施运营者（CIIO）的安全义务？A.设置专门安全管理机构和安全管理负责人B.对该重要行业从业人员进行安全教育培训C.定期进行网络安全检查和风险评估D.采购网络产品和服务必须通过国家安全审查E.发生安全事故时，立即向公安机关报告33.常见的工业网络攻击路径包括哪些？A.通过供应链预置后门B.利用远程维护通道（如VPN）漏洞C.感染移动存储介质并在内网摆渡D.针对无线通信截获与篡改E.物理破坏机房设施34.针对PLC的控制逻辑攻击，可能造成的物理后果包括？A.离心机转速异常导致设备损坏C.化学阀门开启错误导致有毒物质泄漏C.电力切换开关误操作导致大面积停电D.只有系统蓝屏，无物理影响E.传送带速度过快导致产品堆积报废35.下列哪些属于工业防火墙应具备的深度协议解析能力？A.ModbusTCPB.OPCC.S7CommD.HTTP/HTTPSE.DNP336.在工控安全建设中，落实“安全分区”原则时，常见的分区类型包括？A.核心生产区（控制区）B.非核心生产区（操作区）C.企业管理区（IT区）D.测试开发区E.互联网接入区37.关于工控系统的漏洞挖掘，以下说法正确的有？A.模糊测试是发现工控协议漏洞的有效手段B.逆向工程常用于分析固件中的后门C.漏洞挖掘必须在生产线上实时进行才能获得准确结果D.应建立受控的测试环境进行漏洞研究E.旁路分析可以监听总线上的明文指令38.工业控制系统应急响应预案应包含哪些主要内容？A.应急组织架构与职责分工B.事件分级与响应流程C.备份与恢复策略D.事后总结与改进措施E.员工的私人联系方式39.下列哪些措施属于工控系统的“网络边界防护”？A.部署工业防火墙B.部署网闸（数据隔离交换系统）C.关闭不必要的端口和服务D.实施强身份认证E.配置路由访问控制列表（ACL）40.针对工控主机的安全加固，有效的措施包括？A.关闭非必要的服务（如Server服务，RemoteRegistry）B.删除默认共享C.禁用Guest账号D.安装杀毒软件并设置为实时扫描E.允许所有用户拥有管理员权限以便操作41.工业数据安全的防护技术包括？A.数据加密传输与存储B.数据脱敏C.数据备份与容灾D.数据库审计E.数据销毁42.下列关于工控系统安全运维的说法，正确的有？A.所有的运维操作必须有记录和审计B.允许外包运维人员使用个人电脑直接接入生产网C.关键操作应执行“双人复核”机制D.临时账号使用完毕后应立即注销E.运维连接应采用加密通道（如SSH、VPN）43.等保2.0中，安全物理环境层面的控制点包括？A.防盗窃和防破坏B.防火防潮C.温湿度控制D.电磁防护E.供电保障44.下列哪些协议属于工业实时以太网协议？A.EtherNet/IPB.PROFINETC.ModbusTCPD.EthernetPowerlinkE.HTTP45.面向2026年的工业互联网安全，零信任架构的引入主要解决了什么问题？A.内网即安全的假设失效B.远程访问的安全认证问题C.细粒度的访问控制D.减少对网络边界的过度依赖E.完全取代防火墙第Ⅱ卷主观题（共40分）三、填空题（本大题共10空，每空1分，共10分。请将答案填写在答题卡指定位置。）46.IEC62443标准将工业自动化与控制系统（IACS）的安全等级（SL）分为0到4级，其中SL4代表___________。47.在工控安全中，_______是指未经授权修改或破坏工业控制系统代码、配置或硬件指令的行为。48.为了防止网络风暴在工业网络中蔓延，通常会采用_________技术或VLAN划分来限制广播域。49.OPCUA相比OPCClassic，最大的改进是引入了平台无关性和___________机制。50.工业控制系统的生命周期一般包括设计、实施、运行、维护和_________阶段。51.在风险评估中，资产价值越高、脆弱性越严重、威胁越频繁，则风险值越_________（填“高”或“低”）。52.常见的工控恶意代码“_________”专门针对可编程逻辑控制器（PLC）进行感染和篡改。53.等保2.0要求，应对远程访问的用户进行___________，限制其访问的最小范围。54.在物理安全中，关键设备的供电应采用___________供电，以防市电中断导致生产停滞。55.数据库审计系统主要用于记录和监控对数据库的___________操作，以实现事后追溯。四、简答题（本大题共4小题，每小题5分，共20分。）56.简述工业控制系统与传统IT系统在安全防护需求上的主要区别（至少列举三点）。57.请列举并简要解释工业控制系统“深度防御”策略的三个主要层级。58.什么是“中间人攻击”（MITM）？在工业通信环境中，攻击者利用该技术可能造成什么危害？59.根据《关键信息基础设施安全保护条例》，运营者在网络安全保护方面应当履行哪些主要职责？（列举五项）五、综合案例分析题（本大题共1题，共10分。）60.案例背景：某大型汽车制造企业为了实现数字化转型，引入了大量的工业机器人和MES系统，并将原有的封闭式工控网络与企业管理网进行了互联互通。该企业的网络架构大致为：L3层为企业管理网（ERP、OA），L2层为生产管理网（MES、Historian），L1层为现场控制网（PLC、机器人控制器）。在最近的一次安全审计中，发现了以下问题：1.L3与L2层之间仅部署了一台普通商用防火墙，且策略为“允许所有”。2.维护人员经常使用笔记本电脑直接接入L1层交换机进行调试，该笔记本电脑同时连接过互联网。3.在L2层的一台历史数据库服务器上发现了勒索病毒痕迹，且该服务器使用了弱口令（admin/123456）。4.部分老旧的PLC设备存在已知的缓冲区溢出漏洞，但因生产任务重无法停机更换。问题：(1)请指出该企业在工控安全架构和运维上存在的具体隐患。（4分）(2)针对发现的勒索病毒事件，请描述应急响应的基本流程。（3分）(3)针对老旧PLC设备的漏洞问题，在无法停机更换的情况下，可以采取哪些技术或管理措施进行风险缓解？（3分）参考答案及详细解析一、单项选择题1.D解析：ERP属于企业级的信息管理系统，不属于直接监控和控制物理过程的工业控制系统（ICS）核心组件。ICS主要包括SCADA、DCS、PLC等。2.C解析：在工业环境中，保障生产连续、设备稳定运行是首要任务。系统停机可能导致巨大的经济损失甚至人员伤亡，因此“可用性”通常排在第一位，其次是完整性（防止指令被篡改），最后是机密性。3.D解析：震网病毒利用了Windows系统的多个漏洞，其中在攻击SCADA系统时，利用了西门子WinCC系统中使用硬编码数据库密码相关的漏洞，以及打印机后台程序漏洞（MS10-061）进行传播。4.B解析：等保2.0以及《工业控制系统安全防护指南》均强调“安全分区、网络专用、横向隔离、纵向认证”的原则，核心是分区隔离和边界防护，结合综合防护措施。完全封闭是不现实的，仅依赖物理隔离也不够。5.B解析：在Purdue模型和典型工控安全架构中，DMZ（非军事区）被用作隔离区，放置需要双向通信的服务器（如历史数据库、应用服务器），用于缓冲和控制企业网（IT）与控制网（OT）之间的直接访问。6.C解析：ModbusTCP协议的默认端口号是502。这也是安全扫描中识别Modbus服务的重要特征。7.C解析：工业防火墙不仅具有传统防火墙的网络层访问控制功能，还具备应用层协议深度解析（DPI）能力，能够识别工业协议指令，从而实现更精细的隔离和防护。8.C解析：工控环境对稳定性要求极高，补丁可能导致兼容性问题或驱动失效。因此，必须先在测试环境中充分验证，确认不影响业务后，再制定严格的变更管理计划进行更新。9.B解析：深度包检测（DPI）技术能够深入检查数据包的载荷部分，结合工业协议的规则库，识别出异常的指令（如非法的写操作、停止指令）以及隐藏在正常协议载荷中的恶意代码。10.C解析：IEC62443-3-3主要描述系统安全等级和保障等级（SLA），具体针对工业自动化和控制系统的技术安全要求。1-1是术语，2-1是程序，4-1是产品开发要求。11.D解析：开放式无线接入会引入巨大的安全风险，属于违反物理安全规定的行为。A、B、C均为物理安全的有效措施。12.C解析：发送大量指令导致资源耗尽或设备异常运行，属于拒绝服务攻击或资源耗尽攻击的范畴。13.B解析：全盘加密技术可以保护存储在磁盘上的数据，即使物理设备被盗或丢失，没有解密密钥也无法读取数据。14.C解析：S7Comm是西门子S7系列PLC使用的专有协议。15.A解析：风险计算通用公式为Risk=Assets×Threat×Vulnerability（风险=资产×威胁×脆弱性）。题目中A对应Assets（资产）。16.D解析：使用默认的SSID和密钥是极不安全的，极易被破解和接入。其他均为安全加固建议。17.A解析：黑盒子测试是指测试人员在不了解系统源代码、内部逻辑和架构的情况下，模拟外部黑客视角进行的攻击测试。18.B解析：移动介质是工控网病毒传播的主要途径。实行“专盘专用”（办公网、生产网U盘分开）并禁用自动播放，是有效的隔离和防感染措施。19.C解析：双因子认证是指使用两种不同类别的认证凭证，例如“你知道的”（密码）+“你拥有的”（U盾、数字证书、动态令牌）。仅用户名+密码属于单因子。20.B解析：OPCClassic基于微软的DCOM（分布式组件对象模型）技术，配置复杂且端口动态，难以通过传统防火墙防护。OPCUA则是基于面向服务的架构，使用TCP/IP，安全性更高。21.C解析：PLC位于最底层（Level1/0），直接读取传感器数据并控制执行器。RTU通常用于SCADA系统远程站点，HMI用于人机交互，历史数据库用于存储数据。22.C解析：工业网络流量具有高度的周期性和确定性。IPS如果直接上线阻断，极易因误报导致生产事故。因此，通常先以“监听模式”或“学习模式”运行，建立正常流量基线，并经过充分测试后才逐步开启阻断功能。23.D解析：物理锁具老化是传统的物理损耗，不属于AI技术应用带来的新型风险。A、B、C均为AI应用引入的新风险。24.B解析：生产线的实时控制指令直接关系到生产安全和设备运行，一旦被篡改或泄露后果严重，通常被划分为核心数据或最高级别数据。说明书是公开的，菜谱和日志敏感度较低。25.C解析：PDCERF模型包括：Preparation（准备）、Detection（检测）、Containment（抑制）、Eradication（根除）、Recovery（恢复）、Follow-up（跟踪/总结）。不包含“销毁”。26.B解析：DNP3协议主要用于电力、水处理等公用事业行业的SCADA系统。27.B解析：物理隔离安全性最高但不便管理；逻辑隔离（如VLAN、防火墙）在保证一定安全性的前提下，成本较低，且便于跨区域的数据交换和统一管理。28.D解析：根据《网络安全法》及等保2.0要求，关键系统的审计日志通常要求保存不少于6个月。为了溯源和取证，一般建议保存时间更长。29.C解析：安全管理中心要求对系统中的安全设备（防火墙、IDS等）、安全策略、审计日志和运维过程进行集中管控，而非单一功能的管理。30.C解析：对于无法更换的老旧系统，采用网络隔离、微隔离、虚拟补丁（在主机或网络层防御漏洞利用）是有效的过渡性防护措施。二、多项选择题31.ABCD解析：工控系统强调实时性（A）、生命周期长（B）、协议专有（C）、可用性优先（D）。E选项错误，工控系统大量使用嵌入式专用系统和老旧系统，通用商业软件相对较少。32.ABCDE解析：根据《网络安全法》第三十一条及关于CII的要求，以上所有选项均为运营者的法定义务。33.ABCDE解析：供应链、远程通道、移动介质、无线、物理破坏均是常见的攻击路径或切入点。34.ABCE解析：A、B、C、E均描述了逻辑代码攻击导致的物理后果。D选项错误，系统蓝屏通常也会导致生产停机，具有物理影响，且逻辑攻击的目的是破坏物理过程。35.ABCE解析：Modbus,OPC,S7Comm,DNP3均为典型的工业协议。HTTP/HTTPS是通用IT协议，虽然工业防火墙也能解析，但在“工业协议”语境下，A、B、C、E更典型。若题目未限定“仅工业协议”，D也可算，但通常考试侧重工业专用协议。此处严格按工业协议选ABCE最准确。36.ABC解析：典型的工控安全分区包括核心生产区（控制层）、非核心生产区（操作/监控层）、企业管理区。测试开发和互联网接入区通常作为独立区域，但不是最核心的生产分区定义。37.ABDE解析：模糊测试（A）、逆向工程（B）、旁路分析（E）是常用的漏洞挖掘技术。C选项错误，严禁在生产线上进行破坏性或高风险的漏洞挖掘测试。38.ABCD解析：应急预案应包含组织、流程、技术恢复、总结改进。E选项“员工私人联系方式”不合适，应使用统一的应急联络表，且隐私保护不应直接写入公开预案细节。39.ABCE解析：防火墙（A）、网闸（B）、端口管理（C）、ACL（E）均属于网络边界防护手段。D项属于身份认证，更多属于主机或应用层防护，虽辅助边界防护，但严格分类不归为“网络边界”设备/配置。40.ABC解析：关闭服务（A）、删除共享（B）、禁用Guest（C）是基础加固措施。D项在工控机需谨慎，实时杀毒可能影响工控软件运行；E项严重违规。41.ABCDE解析：A、B、C、D、E均是数据安全全生命周期中的关键技术或管理环节。42.ACDE解析：操作有记录（A）、双人复核（C）、临时账号注销（D）、加密通道（E）都是好的运维实践。B项严重违规，个人电脑未受控直接接入是巨大风险。43.ABCDE解析：防盗、防火、温湿度、电磁、供电均为物理环境安全的关键控制点。44.ABCD解析：EtherNet/IP,PROFINET,ModbusTCP,Powerlink均为工业实时以太网协议。HTTP是通用Web协议。45.ABCD解析：零信任假设内网不再安全，解决了内网信任问题（A）、远程访问安全（B）、细粒度控制（C）、减少边界依赖（D）。E项错误，零信任是架构理念，不是完全取代防火墙，防火墙仍是执行策略的重要组件。三、填空题46.最高安全等级（或：防范有隐蔽资源的威胁主体）解析：IEC62443中SL4表示能够抵抗有组织的、拥有高级资源和专业技术的攻击者的威胁。47.篡改解析：篡改是指对系统代码、配置或数据的非授权修改。48.端口隔离（或：VLAN）解析：通过端口隔离或VLAN技术可以限制广播包的传播范围。49.内置安全（或：加密/认证）解析：OPCUA集成了安全模型，支持加密和认证，解决了OPCClassic依赖DCOM带来的安全问题。50.退役解析：系统生命周期包括设计、实施、运行、维护和退役/废弃。51.高解析：风险由资产、威胁、脆弱性决定，任一因素增大通常导致风险增高。52.Stuxnet（或：震网）解析：震网病毒是首个专门针对工业控制系统的蠕虫病毒。53.限制访问范围（或：最小权限原则）解析：远程访问必须遵循最小权限原则，限制其只能访问必要的资源。54.UPS（不间断电源）解析：UPS是保障工控设备在断电情况下持续运行的关键设施。55.增删改查解析：审计系统主要记录数据库的查询、插入、更新、删除等操作。四、简答题56.答：(1)可用性优先级不同：ICS将人员和设备安全放在首位，极度强调系统可用性，不允许随意停机打补丁；IT系统通常将机密性放在首位。(2)性能与实时性要求不同：ICS对延迟和抖动非常敏感，必须保证确定性的响应时间；IT系统通常容忍一定的延迟。(3)设备生命周期与更新不同：ICS设备（如PLC）通常使用10-20年，系统老旧，难以频繁升级；IT设备更新换代快（3-5年）。(4)协议标准不同：ICS使用专有、缺乏安全设计的工业协议（如Modbus,DNP3）；IT系统主要使用标准通用的TCP/IP协议栈。(5)风险容忍度不同：ICS面临的是物理世界的人身安全风险和环境风险；IT系统主要是数据泄露和资产损失风险。57.答：(1)物理安全层：通过门禁、监控、电磁防护等手段，保护硬件设备不被物理破坏、盗窃或干扰。(2)网络安全层：通过防火墙、网闸、VLAN划分、访问控制等技术，实现网络分区隔离，保护网络通信链路的安全，防止未授权访问和网络攻击。(3)主机与应用层：对服务器、工作站、PLC等设备进行加固，包括补丁管理、防病毒、身份鉴别、白名单机制等，保障终端设备和应用软件的安全运行。58.答：定义：中间人攻击（MITM）是指攻击者秘密拦截并可能篡改两个正在通信方之间的消息，使双方误以为他们在直接与对方通信。危害：在工业通信环境中，MITM攻击者可以：(1)窃取信息：监听控制指令和敏感的生产数据（如配方、工艺参数）。(2)篡改指令：修改从HMI发送到PLC的控制命令（如改变设定值、启停设备），导致生产事