【網(wǎng)絡(luò)安全】安全等級(jí)保護(hù)測(cè)評(píng)培訓(xùn)試題集及答案一、單項(xiàng)選擇題（每題2分，共20題，合計(jì)40分）1.依據(jù)《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T222392019），第三級(jí)信息系統(tǒng)的安全保護(hù)要求中，“安全通信網(wǎng)絡(luò)”層面需滿足的關(guān)鍵指標(biāo)不包括（）。A.網(wǎng)絡(luò)設(shè)備支持基于五元組的訪問(wèn)控制B.重要通信鏈路具備冗余備份機(jī)制C.網(wǎng)絡(luò)邊界部署入侵檢測(cè)系統(tǒng)（IDS）D.無(wú)線網(wǎng)絡(luò)采用WEP協(xié)議加密2.關(guān)于網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)周期，下列說(shuō)法正確的是（）。A.第一級(jí)系統(tǒng)每3年至少測(cè)評(píng)1次B.第二級(jí)系統(tǒng)每2年至少測(cè)評(píng)1次C.第三級(jí)系統(tǒng)每年至少測(cè)評(píng)1次D.第四級(jí)系統(tǒng)每半年至少測(cè)評(píng)1次3.以下不屬于“安全管理制度”測(cè)評(píng)項(xiàng)的是（）。A.制定《網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》B.定期對(duì)安全策略進(jìn)行評(píng)審和修訂C.記錄防火墻規(guī)則變更操作D.明確安全管理機(jī)構(gòu)的職責(zé)分工4.某金融機(jī)構(gòu)核心業(yè)務(wù)系統(tǒng)被定為第三級(jí)，其“安全計(jì)算環(huán)境”層面中，操作系統(tǒng)安全要求不包括（）。A.啟用最小特權(quán)賬戶策略B.定期進(jìn)行漏洞掃描并修復(fù)C.對(duì)管理員登錄進(jìn)行雙因素認(rèn)證D.允許默認(rèn)共享文件夾開放訪問(wèn)5.在等級(jí)保護(hù)測(cè)評(píng)中，“數(shù)據(jù)備份與恢復(fù)”的測(cè)評(píng)要點(diǎn)不包括（）。A.備份數(shù)據(jù)的加密存儲(chǔ)方式B.備份介質(zhì)的異地存放距離C.恢復(fù)測(cè)試的執(zhí)行頻率D.數(shù)據(jù)庫(kù)事務(wù)日志的保留周期6.關(guān)于“安全管理中心”的技術(shù)要求，第三級(jí)系統(tǒng)需實(shí)現(xiàn)的功能是（）。A.集中監(jiān)控網(wǎng)絡(luò)設(shè)備的CPU使用率B.對(duì)安全設(shè)備日志進(jìn)行統(tǒng)一收集和分析C.僅記錄防火墻的操作日志D.僅監(jiān)控終端設(shè)備的在線狀態(tài)7.以下場(chǎng)景中，符合“用戶身份鑒別”測(cè)評(píng)要求的是（）。A.系統(tǒng)允許使用弱密碼（如“123456”）登錄B.管理員賬戶連續(xù)輸錯(cuò)5次密碼后自動(dòng)鎖定30分鐘C.普通用戶密碼每90天強(qiáng)制修改1次，但允許重復(fù)使用舊密碼D.登錄失敗提示具體原因（如“密碼錯(cuò)誤”或“賬戶不存在”）8.某企業(yè)辦公網(wǎng)絡(luò)部署了入侵防御系統(tǒng)（IPS），在測(cè)評(píng)中發(fā)現(xiàn)其未開啟針對(duì)勒索軟件的特征庫(kù)更新，這違反了（）層面的要求。A.安全物理環(huán)境B.安全通信網(wǎng)絡(luò)C.安全區(qū)域邊界D.安全計(jì)算環(huán)境9.關(guān)于“安全運(yùn)維管理”，第三級(jí)系統(tǒng)的測(cè)評(píng)要求不包括（）。A.建立設(shè)備臺(tái)賬并記錄資產(chǎn)責(zé)任人B.遠(yuǎn)程維護(hù)時(shí)使用SSH協(xié)議替代TelnetC.日常維護(hù)操作僅需單人執(zhí)行D.對(duì)重要操作進(jìn)行審計(jì)并保留6個(gè)月以上10.以下不屬于“數(shù)據(jù)安全”測(cè)評(píng)項(xiàng)的是（）。A.敏感數(shù)據(jù)在傳輸過(guò)程中使用TLS1.2加密B.數(shù)據(jù)庫(kù)表結(jié)構(gòu)設(shè)計(jì)符合第三范式C.客戶身份證號(hào)在顯示時(shí)進(jìn)行脫敏處理（如“42011234”）D.備份數(shù)據(jù)恢復(fù)后驗(yàn)證業(yè)務(wù)功能完整性11.某教育機(jī)構(gòu)教務(wù)系統(tǒng)被定為第二級(jí)，其“安全物理環(huán)境”的測(cè)評(píng)要求中，無(wú)需滿足的是（）。A.機(jī)房安裝門禁系統(tǒng)限制人員進(jìn)出B.服務(wù)器電源采用雙路供電C.配備氣體滅火裝置D.監(jiān)控錄像保存30天以上12.在等級(jí)保護(hù)測(cè)評(píng)中，“滲透測(cè)試”的主要目的是（）。A.驗(yàn)證系統(tǒng)的性能容量B.發(fā)現(xiàn)系統(tǒng)潛在的安全漏洞C.評(píng)估網(wǎng)絡(luò)帶寬使用情況D.檢查安全設(shè)備的品牌合規(guī)性13.關(guān)于“安全策略”的制定要求，第三級(jí)系統(tǒng)需明確的內(nèi)容不包括（）。A.不同安全等級(jí)區(qū)域的訪問(wèn)控制規(guī)則B.員工網(wǎng)絡(luò)安全培訓(xùn)的頻次和內(nèi)容C.系統(tǒng)上線前的安全測(cè)試流程D.辦公電腦安裝非官方軟件的審批權(quán)限14.以下場(chǎng)景中，違反“安全審計(jì)”要求的是（）。A.日志記錄包含用戶操作時(shí)間、類型、結(jié)果等要素B.審計(jì)日志存儲(chǔ)在被審計(jì)設(shè)備本地C.審計(jì)管理員定期分析日志并生成報(bào)告D.對(duì)審計(jì)日志的修改操作進(jìn)行單獨(dú)記錄15.某醫(yī)院HIS系統(tǒng)（第三級(jí)）在測(cè)評(píng)中發(fā)現(xiàn)，部分終端未安裝殺毒軟件，這違反了（）層面的要求。A.安全物理環(huán)境B.安全通信網(wǎng)絡(luò)C.安全計(jì)算環(huán)境D.安全管理中心16.關(guān)于“等級(jí)保護(hù)備案”的流程，正確的順序是（）。①編制《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告》②向公安機(jī)關(guān)提交備案材料③確定信息系統(tǒng)的安全保護(hù)等級(jí)④審核通過(guò)后領(lǐng)取備案證明A.③→①→②→④B.①→③→②→④C.③→②→①→④D.①→②→③→④17.第三級(jí)系統(tǒng)“安全區(qū)域邊界”要求中，需實(shí)現(xiàn)的功能是（）。A.僅允許特定IP地址訪問(wèn)核心業(yè)務(wù)系統(tǒng)B.所有網(wǎng)絡(luò)流量通過(guò)靜態(tài)路由轉(zhuǎn)發(fā)C.邊界設(shè)備使用默認(rèn)管理員賬戶D.不限制跨區(qū)域的文件傳輸類型18.以下不屬于“云計(jì)算安全擴(kuò)展要求”的是（）。A.云服務(wù)商需提供獨(dú)立的安全審計(jì)接口B.租戶數(shù)據(jù)需實(shí)現(xiàn)邏輯隔離C.云主機(jī)操作系統(tǒng)需使用國(guó)產(chǎn)化版本D.云平臺(tái)需具備惡意代碼檢測(cè)能力19.某企業(yè)ERP系統(tǒng)（第二級(jí)）未部署入侵檢測(cè)系統(tǒng)（IDS），在測(cè)評(píng)中是否合規(guī)？（）A.合規(guī)，第二級(jí)系統(tǒng)無(wú)強(qiáng)制要求B.不合規(guī)，所有系統(tǒng)均需部署IDSC.合規(guī)，但需通過(guò)其他措施補(bǔ)償D.不合規(guī)，第二級(jí)系統(tǒng)需部署IDS20.在等級(jí)保護(hù)測(cè)評(píng)中，“安全管理機(jī)構(gòu)”的測(cè)評(píng)要點(diǎn)不包括（）。A.設(shè)立專門的網(wǎng)絡(luò)安全管理部門B.明確安全管理員、審計(jì)管理員、系統(tǒng)管理員的職責(zé)分離C.定期召開安全工作會(huì)議并形成記錄D.所有員工必須簽訂《網(wǎng)絡(luò)安全保密協(xié)議》二、多項(xiàng)選擇題（每題3分，共10題，合計(jì)30分，少選、錯(cuò)選均不得分）1.依據(jù)GB/T222392019，第三級(jí)系統(tǒng)“安全物理環(huán)境”的要求包括（）。A.機(jī)房設(shè)置電子門禁系統(tǒng)，記錄進(jìn)出人員及時(shí)間B.重要設(shè)備部署防雷擊裝置C.配備溫濕度監(jiān)控設(shè)備并實(shí)時(shí)告警D.無(wú)關(guān)人員經(jīng)審批后可進(jìn)入機(jī)房2.以下屬于“安全通信網(wǎng)絡(luò)”層面測(cè)評(píng)項(xiàng)的是（）。A.網(wǎng)絡(luò)設(shè)備支持訪問(wèn)控制列表（ACL）B.重要通信鏈路采用冗余設(shè)計(jì)C.對(duì)網(wǎng)絡(luò)流量進(jìn)行惡意代碼檢測(cè)D.部署虛擬專用網(wǎng)絡(luò)（VPN）保障遠(yuǎn)程訪問(wèn)安全3.第三級(jí)系統(tǒng)“安全計(jì)算環(huán)境”中，操作系統(tǒng)的安全要求包括（）。A.禁用默認(rèn)共享和不必要的服務(wù)B.對(duì)管理員賬戶啟用雙因素認(rèn)證C.定期進(jìn)行漏洞掃描并修復(fù)高危漏洞D.允許普通用戶安裝任意軟件4.關(guān)于“數(shù)據(jù)安全”的測(cè)評(píng)要點(diǎn)，正確的有（）。A.敏感數(shù)據(jù)存儲(chǔ)時(shí)需加密或脫敏B.數(shù)據(jù)備份需至少包含全備份和增量備份C.數(shù)據(jù)恢復(fù)測(cè)試需模擬實(shí)際故障場(chǎng)景D.云環(huán)境中租戶數(shù)據(jù)需與其他租戶數(shù)據(jù)混合存儲(chǔ)5.以下符合“安全管理要求”的場(chǎng)景是（）。A.企業(yè)制定《網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)流程》并每年演練1次B.安全管理員、系統(tǒng)管理員、審計(jì)管理員由同一人兼任C.員工入職時(shí)簽署《網(wǎng)絡(luò)安全責(zé)任承諾書》D.安全策略每2年評(píng)審1次，未發(fā)生重大變更時(shí)可延長(zhǎng)6.等級(jí)保護(hù)測(cè)評(píng)的主要流程包括（）。A.前期準(zhǔn)備（資料收集、現(xiàn)場(chǎng)勘查）B.方案編制（確定測(cè)評(píng)對(duì)象、指標(biāo)）C.現(xiàn)場(chǎng)測(cè)評(píng)（訪談、檢測(cè)、記錄）D.報(bào)告編制（問(wèn)題描述、結(jié)論建議）7.第三級(jí)系統(tǒng)“安全區(qū)域邊界”需實(shí)現(xiàn)的控制措施有（）。A.基于IP地址、端口、協(xié)議的訪問(wèn)控制B.對(duì)進(jìn)入內(nèi)部區(qū)域的流量進(jìn)行惡意代碼檢測(cè)C.跨區(qū)域通信使用加密協(xié)議（如IPSec）D.允許所有外部IP訪問(wèn)內(nèi)部辦公系統(tǒng)8.以下屬于“安全運(yùn)維管理”要求的是（）。A.建立設(shè)備臺(tái)賬并動(dòng)態(tài)更新B.遠(yuǎn)程維護(hù)時(shí)使用堡壘機(jī)進(jìn)行集中管理C.日常維護(hù)操作需雙人復(fù)核D.重要操作日志僅保留30天9.關(guān)于“等級(jí)保護(hù)定級(jí)”，正確的說(shuō)法是（）。A.定級(jí)對(duì)象是承載單一業(yè)務(wù)或功能的信息系統(tǒng)B.第三級(jí)系統(tǒng)需滿足“受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害”C.定級(jí)結(jié)果需經(jīng)行業(yè)主管部門審核D.定級(jí)報(bào)告需包含系統(tǒng)基本信息、業(yè)務(wù)影響分析等內(nèi)容10.云計(jì)算環(huán)境下的等級(jí)保護(hù)擴(kuò)展要求包括（）。A.云服務(wù)商需提供獨(dú)立的安全管理接口B.租戶數(shù)據(jù)需實(shí)現(xiàn)物理隔離或強(qiáng)邏輯隔離C.云平臺(tái)需具備多租戶安全審計(jì)能力D.云主機(jī)操作系統(tǒng)必須使用WindowsServer三、判斷題（每題1分，共10題，合計(jì)10分）1.第一級(jí)信息系統(tǒng)無(wú)需開展等級(jí)保護(hù)測(cè)評(píng)。（）2.等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)需取得公安機(jī)關(guān)頒發(fā)的《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)推薦證書》。（）3.第三級(jí)系統(tǒng)的安全審計(jì)日志需保留至少6個(gè)月。（）4.網(wǎng)絡(luò)邊界的訪問(wèn)控制設(shè)備只需部署在出口處，無(wú)需在內(nèi)部區(qū)域間部署。（）5.數(shù)據(jù)脫敏技術(shù)可用于保護(hù)敏感信息在顯示時(shí)的安全性。（）6.安全策略只需由技術(shù)部門制定，無(wú)需管理層審批。（）7.滲透測(cè)試可替代常規(guī)的漏洞掃描，無(wú)需重復(fù)開展。（）8.第二級(jí)系統(tǒng)的安全管理機(jī)構(gòu)可由其他部門兼任，無(wú)需獨(dú)立設(shè)置。（）9.云計(jì)算環(huán)境中，租戶的安全責(zé)任完全由云服務(wù)商承擔(dān)。（）10.等級(jí)保護(hù)測(cè)評(píng)中發(fā)現(xiàn)的問(wèn)題需在測(cè)評(píng)報(bào)告中明確描述，并提出整改建議。（）四、簡(jiǎn)答題（每題5分，共4題，合計(jì)20分）1.簡(jiǎn)述網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0相對(duì)于1.0的主要變化。2.請(qǐng)列舉第三級(jí)信息系統(tǒng)“安全計(jì)算環(huán)境”中主機(jī)安全的5項(xiàng)具體要求。3.等級(jí)保護(hù)測(cè)評(píng)中，如何驗(yàn)證“安全管理制度”的有效性？4.某企業(yè)核心業(yè)務(wù)系統(tǒng)（第三級(jí)）在測(cè)評(píng)中發(fā)現(xiàn)“重要操作未進(jìn)行審計(jì)記錄”，請(qǐng)分析可能的原因及整改措施。五、案例分析題（共20分）背景：某城市商業(yè)銀行核心業(yè)務(wù)系統(tǒng)（第三級(jí)）委托測(cè)評(píng)機(jī)構(gòu)開展等級(jí)保護(hù)測(cè)評(píng)。測(cè)評(píng)過(guò)程中發(fā)現(xiàn)以下問(wèn)題：（1）生產(chǎn)機(jī)房未安裝溫濕度監(jiān)控設(shè)備，部分服務(wù)器因溫度過(guò)高出現(xiàn)宕機(jī)；（2）核心數(shù)據(jù)庫(kù)僅每周進(jìn)行1次全備份，未進(jìn)行增量備份，且備份介質(zhì)存放在機(jī)房同一房間；（3）系統(tǒng)管理員、安全管理員、審計(jì)管理員由同一人擔(dān)任；（4）遠(yuǎn)程維護(hù)時(shí)使用Telnet協(xié)議，傳輸過(guò)程未加密；（5）用戶登錄僅使用靜態(tài)密碼認(rèn)證，未啟用多因素認(rèn)證。問(wèn)題：1.以上問(wèn)題分別違反了等級(jí)保護(hù)基本要求中的哪些層面（物理環(huán)境、通信網(wǎng)絡(luò)、計(jì)算環(huán)境、區(qū)域邊界、管理要求）？（5分）2.針對(duì)每個(gè)問(wèn)題提出具體整改建議。（15分）參考答案一、單項(xiàng)選擇題1.D2.C3.C4.D5.B6.B7.B8.C9.C10.B11.C12.B13.D14.B15.C16.A17.A18.C19.A20.D二、多項(xiàng)選擇題1.ABC2.ABD3.ABC4.ABC5.AC6.ABCD7.ABC8.ABC9.ABCD10.ABC三、判斷題1.×2.√3.√4.×5.√6.×7.×8.√9.×10.√四、簡(jiǎn)答題1.主要變化包括：（1）覆蓋范圍擴(kuò)展，從傳統(tǒng)信息系統(tǒng)延伸至云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等新興技術(shù)架構(gòu)；（2）提出“一個(gè)中心，三重防護(hù)”框架（安全管理中心、計(jì)算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)）；（3）強(qiáng)化動(dòng)態(tài)防御，強(qiáng)調(diào)持續(xù)監(jiān)測(cè)和風(fēng)險(xiǎn)評(píng)估；（4）明確安全通用要求與擴(kuò)展要求（如云計(jì)算、移動(dòng)互聯(lián)等）的結(jié)合；（5）調(diào)整安全等級(jí)劃分依據(jù)，更注重對(duì)公民、社會(huì)、國(guó)家的危害程度。2.主機(jī)安全要求包括：（1）操作系統(tǒng)啟用最小特權(quán)賬戶策略，限制默認(rèn)賬戶權(quán)限；（2）定期進(jìn)行漏洞掃描，修復(fù)高危漏洞并記錄；（3）對(duì)管理員登錄啟用雙因素認(rèn)證（如密碼+動(dòng)態(tài)令牌）；（4）禁用不必要的服務(wù)、端口和協(xié)議（如Telnet、FTP）；（5）對(duì)重要文件和目錄設(shè)置嚴(yán)格的訪問(wèn)控制權(quán)限（如只讀、讀寫分離）；（6）啟用審計(jì)功能，記錄登錄、文件操作、權(quán)限變更等事件。（任意5項(xiàng)）3.驗(yàn)證“安全管理制度”有效性的方法：（1）文檔審查：檢查制度是否覆蓋物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)等全層面，是否明確責(zé)任主體和流程；（2）訪談確認(rèn)：與安全管理人員、運(yùn)維人員溝通，確認(rèn)是否熟悉制度內(nèi)容及執(zhí)行要求；（3）現(xiàn)場(chǎng)核查：抽查制度執(zhí)行記錄（如培訓(xùn)記錄、應(yīng)急演練記錄、變更審批單），驗(yàn)證是否按制度實(shí)施；（4）效果評(píng)估：通過(guò)歷史事件（如安全事件）分析，判斷制度是否有效預(yù)防或處理問(wèn)題。4.可能原因：（1）審計(jì)策略未配置或配置錯(cuò)誤（如未啟用關(guān)鍵操作審計(jì)項(xiàng)）；（2）審計(jì)功能未啟用（如數(shù)據(jù)庫(kù)審計(jì)模塊關(guān)閉）；（3）審計(jì)日志存儲(chǔ)容量不足，導(dǎo)致記錄丟失；（4）管理人員缺乏審計(jì)意識(shí)，未重視審計(jì)配置。整改措施：（1）啟用系統(tǒng)/設(shè)備的審計(jì)功能，配置審計(jì)策略（如記錄用戶登錄、數(shù)據(jù)修改、權(quán)限變更等操作）；（2）擴(kuò)大審計(jì)日志存儲(chǔ)容量，或配置日