2025年国家网络安全知识题库及答案

2025年国家网络安全知识题库及答案一、单项选择题（每题2分，共40分）1.《中华人民共和国网络安全法》自（）起正式施行。A.2016年11月7日B.2017年6月1日C.2017年11月7日D.2018年1月1日答案B2.根据《网络安全法》规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）存储。A.第三方云平台B.境外服务器C.境内D.本地终端答案C3.网络安全等级保护制度（等保2.0）的核心思想是（）。A.边界防护B.积极防御、综合防范C.物理隔离D.病毒查杀答案B4.根据《个人信息保护法》，处理个人信息应当遵循合法、正当、必要和（）原则，不得过度处理个人信息。A.诚信B.高效C.公开D.盈利答案A5.攻击者通过发送伪装成银行或官方机构的电子邮件，诱骗收件人点击恶意链接并输入账号密码，这种攻击方式属于（）。A.SQL注入B.网络钓鱼C.跨站脚本攻击D.拒绝服务攻击答案B6.勒索软件（Ransomware）感染计算机后，最典型的破坏行为是（）。A.窃取CPU算力进行挖矿B.监控键盘输入记录密码C.加密用户文件并索要赎金D.篡改网页内容发布不良信息答案C7.以下密码设置中，符合“强密码”安全要求的是（）。A.12345678B.password2025C.admin888D.Zx#9mP$vL2答案D8.员工发现办公电脑疑似感染勒索病毒，文件正在被批量加密，首要的应急处置操作是（）。A.立即重启计算机B.拔掉网线断开网络连接C.使用U盘拷贝重要文件D.运行杀毒软件进行全盘扫描答案B9.《中华人民共和国数据安全法》规定，国家建立数据（）保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。A.分类分级B.统一集中C.动态加密D.权限隔离答案A10.在公共场所连接免费的无密码Wi-Fi进行手机银行转账，面临的主要安全风险是（）。A.网络带宽不足导致转账失败B.手机电量消耗过快C.数据被中间人窃听或篡改D.手机系统自动升级答案C11.攻击者不直接利用技术漏洞，而是通过伪装身份、套取信任等方式，诱骗目标主动交出密码或敏感信息，这种攻击手段被称为（）。A.零日攻击B.社会工程学攻击C.供应链攻击D.高级持续性威胁（APT）答案B12.“零信任”网络安全架构的核心理念是（）。A.边界防御，内网可信B.一次认证，全网通行C.从不信任，始终验证D.物理隔离，绝对安全答案C13.国家网络安全宣传周通常在每年（）举办。A.4月B.6月C.9月D.11月答案C14.根据《中华人民共和国密码法》，密码分为核心密码、普通密码和（）。A.商用密码B.专用密码C.行业密码D.个人密码答案A15.防范电信网络诈骗的“三不一多”原则是指：未知链接不点击，陌生来电不轻信，个人信息不透露，以及（）。A.陌生网络不连接B.转账汇款多核实C.陌生软件不下载D.可疑二维码不扫描答案B16.SQL注入攻击主要针对的是（）层面的安全漏洞。A.物理层B.网络层C.应用层D.数据链路层答案C17.数据备份的“3-2-1原则”是指：保留3份数据副本，存储在2种不同的介质上，其中1份存放在（）。A.本地硬盘B.异地C.云端D.U盘答案B18.根据《个人信息保护法》，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的个人信息处理活动，应当事前进行（）。A.网络安全等级保护测评B.个人信息保护影响评估C.数据出境安全评估D.密码应用安全性评估答案B19.分布式拒绝服务攻击（DDoS）的主要目的是（）。A.窃取数据库中的敏感数据B.耗尽目标系统资源，使其无法提供正常服务C.在目标系统中植入后门程序D.劫持用户的网络会话答案B20.关键信息基础设施的安全保护应当做到“三同步”，即安全设施应当与主体工程同步规划、同步建设、（）。A.同步验收B.同步使用C.同步运维D.同步报废答案B二、多项选择题（每题3分，共30分）1.根据《网络安全法》，网络运营者应当履行下列哪些安全保护义务？A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.建立健全用户身份查验制度，对不提供真实身份信息的用户不提供相关服务答案ABCD解析《网络安全法》第二十一条明确规定了网络运营者的上述四项基本安全保护义务。2.以下属于《个人信息保护法》规定的“敏感个人信息”的有（）。A.生物识别信息B.宗教信仰C.特定身份D.医疗健康信息答案ABCD解析敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。3.防范网络钓鱼攻击的有效措施包括（）。A.仔细核对发件人邮箱地址的拼写B.不轻易点击邮件中的陌生链接或下载附件C.遇到要求提供密码或验证码的邮件，直接通过官方渠道核实D.开启邮件网关的反钓鱼和反垃圾邮件功能答案ABCD4.企业防范勒索软件攻击，应当采取以下哪些措施？A.定期离线备份重要数据，并验证备份的可恢复性B.及时更新操作系统和应用程序的安全补丁C.部署终端安全防护软件，开启实时防护功能D.遵循最小权限原则，严格限制共享文件夹的访问权限答案ABCD5.《数据安全法》规定，开展数据处理活动应当依照法律、法规的规定，建立健全哪些数据安全管理制度？A.全流程数据安全管理制度B.组织开展数据安全教育培训C.采取相应的技术措施和其他必要措施，保障数据安全D.建立数据交易中介服务机构备案制度答案ABC解析D选项属于数据交易相关的具体管理规定，并非所有数据处理活动都必须建立的通用基础管理制度。ABC为第二十七条明确规定的开展数据处理活动应建立健全的制度与措施。6.办公终端设备（如个人电脑、笔记本）的安全防护措施应包括（）。A.设置复杂的开机密码，并启用屏幕保护程序密码B.安装正版杀毒软件并定期更新病毒库C.离开座位时锁定屏幕（Win+L）D.随意使用来源不明的U盘拷贝文件答案ABC7.《关键信息基础设施安全保护条例》规定，关键信息基础设施涉及的重点行业和功能领域包括（）。A.公共通信和信息服务、能源B.交通、水利、金融C.公共服务、电子政务D.重要科技、国防科技工业答案ABCD8.社会工程学攻击中，攻击者常伪装的身份包括（）。A.IT部门技术支持人员B.公司高管或领导C.银行或公检法工作人员D.快递或外卖配送员答案ABCD9.设置账户密码时，应绝对避免以下哪些行为？A.使用生日、手机号或姓名拼音作为密码B.在所有网站和应用中使用相同的密码C.将密码明文写在便利贴上并贴在显示器旁D.使用包含大小写字母、数字和特殊字符的12位以上密码答案ABC10.发生网络安全事件后，应急处置的基本步骤包括（）。A.立即启动应急预案，采取阻断、隔离等措施控制事态B.保护现场，保留相关日志和证据C.按照规定向有关主管部门报告D.隐瞒事件详情，自行在内部悄悄修复答案ABC解析发生网络安全事件后，必须按规定上报，严禁瞒报、谎报、缓报。三、判断题（每题1分，共30分）1.《网络安全法》规定，国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。答案正确2.任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。答案正确3.个人信息处理者处理个人信息，应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。答案正确4.企业收集个人信息后，为了提升商业价值，可以未经用户同意直接将其提供给第三方合作伙伴。答案错误解析向第三方提供个人信息，必须向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。5.数据出境安全评估仅适用于关键信息基础设施运营者，普通企业向境外提供数据无需进行任何评估。答案错误解析普通企业如果向境外提供重要数据，或者自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的，也需要申报数据出境安全评估。6.《密码法》规定，核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。答案正确7.网络安全等级保护2.0标准将信息系统的安全保护等级分为五个级别，其中第一级为最高级别。答案错误解析等保2.0分为一至五级，第一级为最低级别（用户自主保护级），第五级为最高级别（专控保护级）。8.关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估。答案正确9.收到自称是“公安局”或“法院”的电话，称你涉嫌洗钱或诈骗，要求你将资金转入“安全账户”进行审查，应当立即配合转账以证清白。答案错误解析公检法机关不存在“安全账户”，也不会通过电话要求转账。这是典型的冒充公检法电信诈骗。10.只要电脑安装了杀毒软件，就可以完全免疫所有未知的新型网络病毒和勒索软件。答案错误解析杀毒软件主要依赖特征库和启发式规则，对未知的零日漏洞攻击或高度变异的新型勒索软件可能存在防护盲区，需结合补丁更新、备份等综合措施。11.在公共场合使用免密Wi-Fi时，进行网购支付或登录网银是绝对安全的。答案错误解析公共免密Wi-Fi极易被黑客搭建伪造（钓鱼Wi-Fi），存在极大的中间人窃听和数据劫持风险，严禁进行敏感金融操作。12.强密码的长度建议至少为8位，且应包含大写字母、小写字母、数字和特殊符号中的至少三种。答案正确13.发现社交账号或邮箱被盗，首要操作是立即修改密码，并检查账号的登录设备和授权应用，踢出异常设备。答案正确14.企业员工为了方便记忆，可以将工作账号和个人账号设置为相同的密码。答案错误解析一旦个人账号密码在其他平台泄露，攻击者可能利用“撞库”手段尝试登录企业工作账号，导致企业数据泄露。15.启用多因素认证（MFA/双重认证）可以显著提升账户的安全性，即使密码泄露，攻击者也难以登录。答案正确16.手机App在安装时，如果请求的权限（如通讯录、短信、位置）与其核心功能无关，用户应当拒绝授权或谨慎使用。答案正确17.根据《个人信息保护法》，个人发现其个人信息不准确或者不完整的，无权请求个人信息处理者更正、补充。答案错误解析个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。18.处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。答案正确19.物联网设备（如智能摄像头、智能门锁）出厂时通常有默认密码，用户在使用时无需修改，直接使用即可。答案错误解析默认密码通常是公开或极易被猜解的，必须修改为强密码，否则极易被黑客控制。20.云计算环境下，数据存储在云端，因此用户无需再对云端数据进行备份，所有安全责任均由云服务商承担。答案错误解析云安全遵循“责任共担”模型。云服务商负责“云本身”的安全，而用户负责“云内部”的数据安全，包括数据备份、访问控制等。21.大数据杀熟是指互联网平台利用大数据分析，对老用户或高频用户提供比新用户更高的价格，这属于侵犯消费者公平交易权的行为。答案正确22.在人工智能（AI）应用中，使用未经脱敏的真实客户数据训练AI模型，不存在任何法律和安全风险。答案错误解析未经脱敏直接使用真实客户数据训练模型，严重违反《个人信息保护法》和《数据安全法》，存在极大的数据泄露和合规风险。23.软件供应链安全是指不仅要保证自身开发的代码安全，还要确保引入的第三方开源组件、外部API和外包服务的安全。答案正确24.发现系统存在安全漏洞后，应当立即向公众公开漏洞细节和攻击代码，以便大家尽快了解风险。答案错误解析漏洞披露应遵循负责任的披露原则（如先通知厂商修复，再公开细节），直接公开攻击代码可能被恶意利用，危害网络安全。25.维护网络安全不仅是国家和企业的责任，也是每个公民应尽的义务。答案正确26.国家网络安全工作坚持“网络安全为人民、网络安全靠人民”的理念。答案正确27.任何个人和组织发送的电子信息、提供的应用软件，不得设置