2026年(计算机网络信息安全管理员)技能知识考试题与答案

2026年(计算机网络信息安全管理员)技能知识考试题与答案一、单项选择题（共20题，每题1分，满分20分）1.根据《网络安全等级保护条例》及关键信息基础设施安全保护要求，我国关键信息基础设施运营者应当将其核心网络和系统的安全保护等级至少确定为（）A.第二级B.第三级C.第四级D.第五级答案：B解析：根据我国关键信息基础设施安全保护相关规定，关键信息基础设施的核心业务系统安全保护等级不得低于第三级，因此B选项正确。2.零信任安全架构的核心思想是（）A.默认信任内部网络，仅防护外部威胁B.永不信任，始终验证C.基于网络边界划分信任域D.统一身份认证即可永久授权答案：B解析：零信任架构打破了传统“内部可信、外部不可信”的边界防护逻辑，核心思想为“永不信任，始终验证”，对所有访问请求进行动态身份与权限校验，因此B选项正确。3.根据《数据安全法》《数据分类分级规则》，关系国家安全、国民经济命脉、重要民生、重大公共利益，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会对国家安全、公共利益造成特别严重损害的数据属于（）A.核心数据B.重要数据C.一般数据D.公开数据答案：A解析：我国数据分类分级框架中，核心数据为最高级别，定义即为对国家安全、公共利益造成特别严重损害的数据，因此A选项正确。4.在云计算共享责任模型中，IaaS服务模式下，客户需要承担的安全责任是（）A.数据中心物理基础设施安全B.虚拟化层安全防护C.用户部署的操作系统、应用程序与业务数据安全D.云平台底层网络安全防护答案：C解析：IaaS模式下，云服务商负责物理基础设施、底层虚拟化层、云平台底层网络的安全防护，客户负责自身部署的操作系统、应用、数据以及访问权限的安全管理，因此C选项正确。5.根据《生成式人工智能服务管理暂行办法》，下列不属于生成式人工智能服务提供者法定安全义务的是（）A.落实网络安全等级保护制度B.对训练数据的合法性进行审核C.允许未实名用户生成涉及国家秘密的内容D.建立生成内容安全审核机制答案：C解析：生成式人工智能服务提供者应当要求用户进行真实身份信息核验，不得为未实名用户提供服务，同时禁止生成违法违规内容，因此C选项不属于法定义务，正确。6.我国自主研发的国密算法SM2属于哪类密码算法（）A.对称分组密码算法B.非对称公钥密码算法C.密码哈希算法D.序列密码算法答案：B解析：国密算法体系中，SM2为非对称公钥密码算法，用于数字签名与密钥交换，SM4为对称分组密码算法，SM3为密码哈希算法，因此B选项正确。7.下列防护措施中，无法有效防范SQL注入攻击的是（）A.对用户输入进行严格的合法性验证B.对特殊字符进行转义处理C.采用预编译语句机制D.向访问者返回详细的数据库错误信息答案：D解析：向外部返回详细数据库错误信息会泄露数据库结构、路径等敏感信息，为攻击者实施SQL注入提供帮助，无法防范攻击，因此D选项符合题意。8.网络安全应急响应的正确流程排序是（）①准备阶段②遏制阶段③检测阶段④恢复阶段⑤根除阶段⑥总结改进阶段A.①②③④⑤⑥B.①③②⑤④⑥C.①③②④⑤⑥D.①②③⑤④⑥答案：B解析：标准网络安全应急响应流程为：准备→检测→遏制→根除→恢复→总结改进，因此B选项排序正确。9.鱼叉式钓鱼攻击的核心特点是（）A.向大量不特定用户群发钓鱼邮件B.针对特定组织或个人精准设计钓鱼内容C.通过篡改DNS解析实现钓鱼D.在附件中植入恶意木马答案：B解析：鱼叉钓鱼是针对性攻击，区别于普通群发钓鱼，攻击者会针对特定目标设计邮件内容与诱饵，成功率远高于普通钓鱼，因此B选项正确。10.目前企业网络中应用最广泛的，基于岗位角色分配访问权限的访问控制机制是（）A.DAC自主访问控制B.MAC强制访问控制C.RBAC基于角色访问控制D.ABAC基于属性访问控制答案：C解析：RBAC基于角色访问控制将权限与岗位角色绑定，用户通过分配角色获得权限，便于管理，是当前企业应用最广泛的访问控制机制，因此C选项正确。11.国际通用漏洞编号标准CVE的全称是（）A.通用漏洞与暴露枚举B.公共漏洞分类标准C.网络漏洞共享平台D.国际漏洞风险评级体系答案：A解析：CVE的全称为CommonVulnerabilitiesandExposures，即通用漏洞与暴露枚举，是国际通用的漏洞统一编号标准，因此A选项正确。12.物联网终端设备最普遍存在的安全漏洞是（）A.运算能力不足B.无法安装杀毒软件C.出厂默认弱口令D.硬件损坏答案：C解析：绝大多数低成本物联网终端出厂时设置统一默认弱口令，且很多用户不会修改，是攻击者入侵物联网终端最常用的入口，属于最普遍的安全问题，因此C选项正确。13.DNS欺骗攻击的核心危害是（）A.消耗服务器带宽流量B.篡改域名解析结果，将用户引导至恶意网站C.窃取用户Cookie信息D.破坏网络物理设备答案：B解析：DNS欺骗攻击通过篡改DNS解析记录，将用户合法域名解析到攻击者控制的恶意IP，实现钓鱼、窃密等目的，因此B选项正确。14.在生产业务运行过程中，根据访问者的身份、场景动态对敏感数据进行掩码遮盖，不改变原始数据存储内容的脱敏技术是（）A.静态脱敏B.动态脱敏C.数据加密D.数据哈希答案：B解析：动态脱敏技术实现在数据访问环节根据访问者权限动态屏蔽敏感数据，不修改原始存储数据，多用于生产环境的敏感数据访问管控；静态脱敏是对离线数据进行脱敏处理生成脱敏副本，因此B选项正确。15.下列安全设备中，能够实现网络之间物理层隔离，仅允许授权数据摆渡的是（）A.防火墙B.入侵检测系统C.网闸D.VPN网关答案：C解析：网闸全称安全隔离网闸，基于物理断开、逻辑摆渡的原理实现不同安全等级网络之间的隔离，隔离强度远高于防火墙，因此C选项正确。16.APT高级持续性威胁攻击不具备下列哪个特点（）A.针对特定核心目标B.长期潜伏驻留C.高隐蔽性规避检测D.短期快速发动大规模攻击获利答案：D解析：APT攻击多为有组织的国家级、专业化攻击，目标为窃取核心机密或破坏关键业务，通常会长期潜伏，逐步渗透，不会短期快速发动大规模攻击，因此D选项符合题意。17.Web站点给Cookie设置HttpOnly属性的主要安全作用是（）A.加密Cookie内容防止泄露B.阻止客户端JavaScript脚本读取Cookie，防御XSS攻击窃取会话C.只允许HTTPS传输CookieD.防止Cookie被跨站请求伪造盗用答案：B解析：HttpOnly属性限制客户端脚本对Cookie的访问，XSS攻击通过注入脚本窃取会话Cookie，HttpOnly可以有效防御这一过程，因此B选项正确。18.根据网络安全等级保护管理要求，第三级网络/系统的定期等级保护测评周期为（）A.每6个月一次B.每12个月一次C.每24个月一次D.每36个月一次答案：B解析：等保管理要求中，第二级系统每2年测评一次，第三级系统每年测评一次，第四级系统每半年测评一次，因此B选项正确。19.下列攻击方式中，属于社会工程学攻击的是（）A.利用系统漏洞获取权限B.冒充客服诱导用户泄露账户密码C.DDoS攻击占用服务器带宽D.SQL注入窃取数据库数据答案：B解析：社会工程学攻击利用人的心理弱点，通过欺骗、诱导获取敏感信息或权限，不属于技术漏洞利用，因此冒充客服属于社会工程学攻击，B选项正确。20.我国《网络数据安全管理条例》要求，关键信息基础设施运营者存储在境外的核心数据应当（）A.每年进行一次安全评估B.进行加密存储即可C.不需要申报D.迁回境内存储答案：D解析：我国数据安全相关法规要求，核心数据应当在境内存储，确需向境外提供的应当进行安全评估，因此D选项正确。二、多项选择题（共10题，每题2分，满分20分，多选、少选、错选均不得分）1.计算机网络信息安全管理员的日常核心工作内容包括（）A.梳理企业网络资产，开展分类分级管理B.定期开展漏洞扫描与隐患整改C.配置调整防火墙、入侵检测等安全设备策略D.组织开展网络安全应急演练E.负责企业业务系统的功能开发答案：ABCD解析：业务系统功能开发属于软件开发岗位的工作内容，不属于网络信息安全管理员的核心日常工作，因此E不入选，正确选项为ABCD。2.零信任安全架构的核心关键组件包括（）A.统一身份管理与持续信任评估B.动态细粒度访问控制C.微分段网络隔离D.持续安全监测与合规审计E.固定边界信任划分答案：ABCD解析：零信任摒弃了传统的固定边界信任模型，因此E选项错误，其余均为零信任架构的核心组件，正确选项为ABCD。3.根据《个人信息保护法》，处理个人信息应当遵循的基本原则包括（）A.合法、正当、诚信原则B.公开透明原则C.目的限定原则D.最小必要原则E.过度采集原则答案：ABCD解析：过度采集个人信息违反个保法的最小必要原则，因此E选项错误，其余均为法定原则，正确选项为ABCD。4.下列属于常见Web应用层安全漏洞的是（）A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.命令注入E.ARP地址欺骗答案：ABCD解析：ARP地址欺骗属于数据链路层网络攻击，不属于Web应用层漏洞，因此E不入选，正确选项为ABCD。5.混合云架构下企业面临的特有安全风险包括（）A.多租户共享隔离风险B.云存储配置错误导致数据公开泄露C.云API接口滥用风险D.跨云数据传输泄露风险E.云服务商可用性中断风险答案：ABCDE解析：混合云结合私有云与公有云，上述所有风险均为云环境下的特有安全风险，因此全选。6.生成式人工智能应用带来的主要安全风险包括（）A.训练数据泄露企业敏感信息B.生成违法违规内容C.深度伪造用于诈骗D.模型投毒导致输出错误结果E.核心知识产权流失答案：ABCDE解析：生成式AI的安全风险覆盖数据安全、内容安全、知识产权安全多个层面，上述均为常见风险，因此全选。7.网络安全应急预案应当包含的核心内容有（）A.应急组织架构与责任分工B.分级分类安全事件处置流程C.安全监测预警机制D.应急资源保障清单E.预案演练与修订机制答案：ABCDE解析：完整的网络安全应急预案需要覆盖组织、流程、预警、资源、迭代更新全环节，因此全选。8.我国国密算法的典型应用场景包括（）A.电子政务中的身份认证B.金融支付数据加密C.电子文件数字签名D.区块链交易哈希验证E.量子密码通信答案：ABCD解析：国密算法已经广泛应用于电子政务、金融、区块链等领域，量子密码通信属于新型密码技术，不属于国密算法的典型应用，因此E不入选，正确选项为ABCD。9.下列防范社会工程学攻击的有效措施包括（）A.定期开展全员安全意识培训B.建立严格的敏感信息核验制度C.要求员工不随意向外部透露企业敏感信息D.对未知身份的请求保持核查警惕E.关闭所有对外网络端口答案：ABCD解析：关闭所有对外端口会导致正常业务无法开展，不属于合理防范措施，因此E不入选，正确选项为ABCD。10.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当履行的特殊安全义务包括（）A.定期开展安全风险评估B.对核心系统进行容灾备份建设C.按要求报送网络安全事件D.核心数据境内存储E.落实网络安全等级保护制度答案：ABCDE解析：上述均为关键信息基础设施运营者的法定特殊安全义务，因此全选。三、判断题（共10题，每题1分，满分10分）1.网络安全等级保护2.0中，技术层面安全通用要求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面。（）答案：√解析：等保2.0对原等保1.0的技术要求框架进行了优化，调整为上述五个技术层面，表述正确。2.零信任架构认为只有内部网络是可信域，因此只需要对外部访问进行验证。（）答案：×解析：零信任核心为永不信任，无论访问来自内部还是外部，都需要进行身份与权限验证，表述错误。3.国密算法SM4是对称分组密码算法，用于数据加密。（）答案：√解析：国密体系中SM4为128位对称分组密码算法，广泛用于磁盘加密、数据加密等场景，表述正确。4.跨站脚本攻击（XSS）可以通过对用户输入进行过滤转义有效防范。（）答案：√解析：XSS攻击的核心是注入恶意脚本，对用户输入进行过滤转义可以破坏恶意脚本的执行，有效防范攻击，表述正确。5.PaaS服务模式下，云服务商负责应用层安全与客户业务数据安全防护。（）答案：×解析：共享责任模型中，PaaS模式下客户负责自身开发部署的应用与数据安全，云服务商负责平台底层基础设施安全，表述错误。6.处理敏感个人信息必须取得个人的单独同意，不得通过默认同意获取授权。（）答案：√解析：《个人信息保护法》明确要求处理敏感个人信息应当取得个人单独同意，表述正确。7.APT攻击通常会利用零日漏洞进行渗透，具有很高的隐蔽性。（）答案：√解析：APT攻击多为专业组织发起，常利用未公开的零日漏洞突破防护，长期潜伏，表述正确。8.静态数据脱敏是对原始生产数据进行修改，脱敏后直接存储用于开发测试。（）答案：×解析：静态数据脱敏是对原始数据进行副本复制，对副本进行脱敏处理，不会修改原始生产数据，表述错误。9.多因素身份认证可以有效降低弱口令、密码泄露带来的安全风险。（）答案：√解析：多因素认证要求至少两种不同维度的身份验证，即使密码泄露，攻击者也无法通过其他验证维度，因此可以降低风险，表述正确。10.只要部署了防火墙和杀毒软件，企业网络就不会发生安全事件。（）答案：×解析：安全防护是动态过程，防火墙无法防护内部攻击、零日漏洞攻击，杀毒软件无法防范未知病毒和社会工程学攻击，表述错误。四、案例分析题（共1题，满分50分）案例背景：某国内大型汽车零部件制造企业，2025年完成数字化转型，采用私有云+公有云混合架构，核心业务包括部署在私有云的ERP财务系统、MES生产制造系统，部署在公有云的对外客户服务平台，企业引入生成式AI辅助产品设计，现有办公终端1200台，生产物联网传感终端620台。近期企业发生三起安全事件：①市场部员工收到仿冒公司总经理的钓鱼邮件，点击带木马的附件后，办公电脑被植入远控木马，该员工拥有ERP系统客户信息查询权限，攻击者窃取了超过4万条客户个人信息，引发用户投诉；②生产车间部分物联网传感终端使用厂商出厂默认弱口令，攻击者通过互联网扫描发现后入侵终端，篡改生产参数，导致1200余件产品不合格，直接经济损失180万元；③员工在使用第三方公有云生成式AI设计工具时，上传了未公开的新一代汽车核心零部件设计图纸，导致设计图纸被AI服务商纳入训练数据集泄露，核心技术流失。问题1（20分）：请结合案例，从管理和技术两个层面分析该企业存在的网络安全问题。参考答案：管理层面问题：（1）资产全生命周期管理缺失：未对所有物联网终端、云上SaaS资产进行统一梳理登记，未识别到物联网终端默认口令的安全隐患；（2）全员安全意识培训不到位：未针对鱼叉钓鱼、敏感数据外传开展专项培训，员工无法识别仿冒钓鱼攻击，也不清楚不能向未授权第三方AI工具上传核心敏感数据；（3）数据分类分级保护机制未落地：未明确核心技术图纸、客户个人信息的分级保护要求，未制定敏感数据外传审批管控规则；（4）定期安全检查制度缺位：未定期开展口令合规检查、漏洞扫描，长期未发现弱口令、未打补丁等普遍安全隐患；（5）第三方服务商安全管理缺失：未对生成式AI服务商开展事前数据安全评估，未签订数据安全保密协议，未明确约定服务商禁止使用用户上传数据训练自有模型，缺少数据安全责任约束。技术层面问题：（1）终端安全防护能力不足：办公终端未部署EDR终端检测与响应系统，无法及时发现并处置远控木马；（2）身份认证机制薄弱：未强制要求所有设备、系统修改初始口令，未对ERP、MES等核心系统启用多因素认证，弱口令、静态口令风险普遍存在；（3）网络访问控制不合理：生产物联网终端未做内网隔离，开放不必要的互联网访问端口，未实施微分段限制攻击者横向移动；（4）边界安全防护不到位：未部署专门的邮件安全网关，缺少钓鱼邮件检测、恶意附件沙箱分析能力，无法拦截仿冒钓鱼邮件；（5）敏感数据防护缺失：未部署DLP数据泄漏防护系统，无法对终端、网络出口的敏感数据外传进行监测拦截，核心敏感数据未加密存储。问题2（30分）：请给出具体整改方案，并结合合规要求说明本次事件的数据泄露处置流程。参考答案：一、具体整改方案1.管理层面整改：（1）完成全网资产梳理：对所有办公终端、物联网终端、云上业务系统、数据资产进行统一登记，完成数据分类分级，明确核心数据、重要数据的保护责任到人；（2）建立常态化安全培训机制：每季度开展全员安全培训，针对钓鱼攻击识别、敏感数据保护、生成式AI合规使用开展专项培训，每年组织至少1次钓鱼演练，提升员工安全意识；（3）建立定期安全检查机制：每月开展漏洞扫描、口令合规检查，每季度开展一次渗透测试，建立隐患整改闭环跟踪机制，对逾期未整改的责任人进行问责；（4）完善第三方服务商安全管理：对所有第三方SaaS服务商开展数据安全评估，与生成式AI服务商重新签订数据安全协议，明确禁止服务商使用用户上传的敏感数据训练模型，约定数据泄露的赔偿责任。2.技术层面整改：（1）全网办公终端部署EDR终端检测与响应系统，开启实时行为监测，对远控木马、异常文件传输行为自动告警处置；（2）部署邮件安全网关，启用钓鱼邮件检测、发件人身份校验、恶意附件沙箱分析功能，拦截仿冒钓鱼邮件；（3）部署D