2025年网络安全与信息保护课程考试试卷及答案

2025年网络安全与信息保护课程考试试卷及答案一、单项选择题（每题2分，共20分）1.在密码学中，AES（高级加密标准）属于以下哪种密码体制？A.非对称加密B.对称加密C.哈希函数D.数字签名答案B2.SHA-256是一种常用的安全哈希算法，其输出的摘要长度是？A.128bitB.160bitC.256bitD.512bit答案C3.防范跨站请求伪造（CSRF）攻击的主要手段不包括？A.验证HTTPReferer头B.使用Anti-CSRFTokenC.对输入数据进行HTML实体编码D.设置Cookie的SameSite属性答案C4.在基于角色的访问控制（RBAC）模型中，权限分配的核心实体是？A.用户B.角色C.客体D.组答案B5.IPsec协议族主要工作在OSI参考模型的哪一层，从而实现对上层协议的透明加密？A.数据链路层B.网络层C.传输层D.应用层答案B6.信息安全的CIA三要素是指机密性、完整性和？A.可用性B.可靠性C.不可否认性D.可控性答案A7.数字签名技术主要用于实现信息安全属性中的？A.数据机密性B.数据完整性与抗抵赖性C.系统可用性D.物理安全性答案B8.勒索软件（Ransomware）攻击的主要特征和目的是？A.窃取系统凭证并横向移动B.消耗网络带宽导致拒绝服务C.加密用户文件并索要赎金D.潜伏在系统中窃取商业机密答案C9.《中华人民共和国网络安全法》规定，国家实行网络安全？A.等级保护制度B.分级审查制度C.备案审批制度D.风险评估制度答案A10.在TLS/SSL协议中，HTTPS默认使用的TCP端口号是？A.80B.443C.8080D.3389答案B二、多项选择题（每题2分，共10分）1.以下属于对称加密算法的是？A.DESB.RSAC.AESD.SM4答案ACD解析RSA是非对称加密算法；DES、AES和国密SM4均属于对称加密算法。2.以下属于网络层安全防护技术或设备的是？A.IPsec网关B.网络入侵防御系统（NIPS）C.Web应用防火墙（WAF）D.路由器访问控制列表（ACL）答案ABD解析WAF主要工作在应用层，用于防护SQL注入、XSS等Web攻击；IPsec、NIPS和路由器ACL均主要在网络层进行流量过滤和防护。3.《中华人民共和国数据安全法》确立的重要数据安全制度包括？A.数据分类分级保护制度B.数据安全风险评估制度C.数据出境安全评估制度D.数据交易强制许可制度答案ABC解析数据安全法明确了分类分级、风险评估、应急响应、审查等制度。数据交易并非强制许可，而是鼓励合法流通。4.防范社会工程学攻击的有效措施包括？A.定期开展员工安全意识培训B.实施最小权限原则C.部署多因素身份认证（MFA）D.仅依赖防火墙阻断外部连接答案ABC解析社会工程学利用人的心理弱点，防火墙无法完全阻断（如内部员工主动泄露或受骗操作）。培训、最小权限和多因素认证能有效降低此类风险。5.零信任架构（ZeroTrust）的核心原则包括？A.从不信任，始终验证B.假设网络边界内部是安全的C.实施最小权限访问D.持续进行安全态势评估答案ACD解析零信任的核心是打破“内网即安全”的假设，不信任任何内外部网络，始终验证身份和上下文，并实施最小权限和持续评估。三、判断题（每题1分，共10分）1.非对称加密算法的加密和解密过程使用相同的密钥。答案错误2.数字证书由CA（证书授权中心）签发，用于将公钥与实体身份进行绑定。答案正确3.跨站脚本攻击（XSS）的主要目的是直接窃取数据库中的核心业务数据。答案错误4.在强制访问控制（MAC）模型中，系统根据安全标签和主体/客体的安全级别来决定访问权限，用户不能自主修改。答案正确5.哈希函数（如MD5、SHA-1）是可逆的，可以通过哈希值恢复原始数据。答案错误6.零日漏洞（0-day）是指软件厂商已经知晓并发布了官方修复补丁的安全漏洞。答案错误7.网络安全态势感知技术主要依赖于单一安全设备的日志进行威胁分析。答案错误8.数据脱敏是指在保持数据原有特征的前提下，对敏感数据进行处理，使其在非安全环境中无法识别特定主体。答案正确9.边界防火墙可以完全防御由内部网络合法用户发起的恶意攻击。答案错误10.个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得其父母或者其他监护人的同意。答案正确四、简答题（每题5分，共20分）1.简述对称加密与非对称加密的区别，并各列举两个典型算法。答案(1)区别：对称加密在加密和解密时使用相同的密钥，优点是速度快、效率高，适合大量数据加密；缺点是密钥分发和管理困难。非对称加密使用一对密钥（公钥和私钥），公钥加密、私钥解密（或私钥签名、公钥验签），解决了密钥分发问题，但计算复杂、速度慢。(2)典型算法：对称加密算法包括AES、DES（或3DES、SM4等）；非对称加密算法包括RSA、ECC（或SM2、ElGamal等）。2.简述什么是SQL注入攻击，并列举至少三种有效的防御措施。答案(1)概念：SQL注入是指攻击者通过在Web表单输入框、URL参数等位置插入恶意的SQL命令，欺骗后端数据库服务器执行非授权的任意查询，从而窃取、篡改数据或破坏数据库的攻击方式。(2)防御措施：①使用预编译语句（参数化查询），严格分离代码与数据；②对所有用户输入进行严格的验证和过滤（白名单机制）；③遵循最小权限原则，限制数据库连接账号的权限，禁止使用DBA权限连接；④部署Web应用防火墙（WAF）进行特征拦截。3.简述网络安全等级保护2.0（等保2.0）中“一个中心，三重防护”的具体内容。答案(1)一个中心：指安全管理中心。负责对系统的安全策略、安全事件、审计日志等进行集中管理和综合分析。(2)三重防护：①安全通信网络：保障网络通信的可靠性、保密性和完整性，包括网络架构安全、通信传输安全等。②安全区域边界：保障网络边界的访问控制、入侵防范和恶意代码防范，包括边界防护、访问控制、安全审计等。③安全计算环境：保障终端、服务器、应用和数据的安全，包括身份鉴别、访问控制、安全审计、数据完整性与保密性等。4.简述个人信息处理活动中“告知-同意”原则的核心要求。答案(1)告知要求：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知处理者的名称、处理目的、处理方式、保存期限以及个人行使权利的方式等事项。(2)同意要求：必须取得个人的自愿、明确同意。处理敏感个人信息或向境外提供个人信息时，需取得个人的单独同意；处理不满十四周岁未成年人信息需取得监护人同意。个人有权撤回其同意，处理者不得以个人不同意或撤回同意为由拒绝提供产品或服务（除非该信息为提供服务所必需）。五、综合应用与论述题（每题20分，共40分）1.案例分析：某大型医疗机构遭遇勒索软件攻击，导致大量患者电子病历被加密，核心业务系统瘫痪，医院被迫停诊3天。请结合信息安全基本属性（CIA），分析该事件造成的影响，并从技术、管理、物理三个维度提出该机构应如何构建完善的应急响应与恢复体系。答案(1)基于CIA属性的影响分析：①可用性（Availability）受损最严重：核心业务系统瘫痪，电子病历无法读取，导致医院停诊，直接破坏了医疗服务的连续性。②完整性（Integrity）受损：患者病历数据被恶意加密篡改，破坏了数据的原始状态和可用性。③机密性（Confidentiality）潜在风险：勒索软件在加密前通常会将数据外传（双重勒索），若患者隐私数据泄露，将严重违反《个人信息保护法》和医疗数据保密规定。(2)构建应急响应与恢复体系：①技术维度：•部署终端检测与响应（EDR）和防勒索专项防护，实现微隔离，防止勒索软件横向移动。•建立异地离线备份机制（如“3-2-1”备份策略），确保备份数据不被感染，并定期进行恢复演练。•实施网络流量异常监测，及时发现加密流量的突发特征。②管理维度：•制定完善的网络安全应急预案，明确事件上报、隔离、处置、恢复的标准流程（SOP）。•定期开展全员防钓鱼、防勒索的安全意识培训，规范补丁管理和权限审批流程。•建立跨部门应急指挥小组，定期组织实战化攻防演练。③物理维度：•加强机房和核心数据中心的物理访问控制，防止内部人员物理破坏或植入恶意硬件。•确保备用数据中心和备份存储介质的物理环境安全（防火、防水、防静电、温湿度控制）。2.论述题：随着云计算、移动办公和物联网的发展，传统基于网络边界的防御模型面临巨大挑战。请论述“零信任（ZeroTrust）”安全架构的核心理念，对比其与传统“边界防御”模型的区别，并说明在企业落地零信任架构时的关键实施步骤。答案(1)零信任架构的核心理念：零信任的核心理念是“从不信任，始终验证”（Nevertrust,alwaysverify）。它打破了传统网络中“内网即安全”的假设，认为威胁可能来自任何地方（内部或外部）。零信任要求对每一次访问请求进行严格的身份验证、授权和持续评估，将信任的锚点从网络位置转移到身份和上下文。(2)与传统“边界防御”模型的区别：①信任假设：传统模型假设内网是安全的，外网是危险的（“外硬内软”）；零信任模型假设网络处处充满威胁，不信任任何内外部的网络位置。②访问控制粒度：传统模型基于IP地址和网络区域进行粗粒度控制（如防火墙放行某网段）；零信任基于身份、设备状态、应用上下文进行细粒度控制（微隔离），实现“最小权限”。③验证机制：传统模型通常在边界进行一次认证，进入内网后畅通无阻；零信任要求持续验证，根据用户行为和环境变化动态调整权限。(3)企业落地零信任架构的关键实施步骤：①定义保护面（IdentifyProtectSurface）：梳理企业核心数据、资产、应用和服务，明确需要保护的关键目标，而不是盲目保护整个网络。②映射交易流（MapTransactionFlows）：分析用户、设备与应用之间的访问关系，绘制详细的网络流量和访问行为图谱，为策略制定提供依据。③构建零信任架构（ArchitectZeroTrust