網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)試題(附答案)一、單項(xiàng)選擇題（每題2分，共20分）1.以下哪項(xiàng)是網(wǎng)絡(luò)安全CIA三元組的核心要素？A.可控性、可追溯性、可審計(jì)性B.機(jī)密性、完整性、可用性C.真實(shí)性、不可抵賴性、抗否認(rèn)性D.可靠性、可維護(hù)性、可擴(kuò)展性2.以下哪種攻擊方式通過向目標(biāo)服務(wù)器發(fā)送大量偽造的請(qǐng)求，使其無法處理正常用戶請(qǐng)求？A.SQL注入攻擊B.DDoS攻擊C.跨站腳本攻擊（XSS）D.緩沖區(qū)溢出攻擊3.HTTPS協(xié)議的安全基礎(chǔ)是以下哪種技術(shù)？A.數(shù)字簽名B.虛擬專用網(wǎng)（VPN）C.傳輸層安全協(xié)議（TLS/SSL）D.入侵檢測(cè)系統(tǒng)（IDS）4.以下哪類惡意軟件會(huì)通過加密用戶文件并索要贖金？A.蠕蟲B.木馬C.勒索軟件D.間諜軟件5.以下哪種身份認(rèn)證方式屬于“持有因素”？A.密碼B.指紋識(shí)別C.手機(jī)動(dòng)態(tài)驗(yàn)證碼D.人臉識(shí)別6.防火墻的主要功能是？A.查殺計(jì)算機(jī)病毒B.監(jiān)控網(wǎng)絡(luò)流量并過濾非法訪問C.加速網(wǎng)絡(luò)訪問速度D.修復(fù)系統(tǒng)漏洞7.以下哪項(xiàng)是對(duì)稱加密算法的典型代表？A.RSAB.AESC.ECCD.SHA-2568.釣魚攻擊的主要目的是？A.破壞目標(biāo)系統(tǒng)硬件B.獲取用戶敏感信息（如賬號(hào)密碼）C.占用網(wǎng)絡(luò)帶寬D.傳播惡意軟件9.以下哪種漏洞屬于操作系統(tǒng)層面的安全缺陷？A.SQL注入漏洞B.跨站請(qǐng)求偽造（CSRF）漏洞C.緩沖區(qū)溢出漏洞D.跨站腳本（XSS）漏洞10.網(wǎng)絡(luò)安全等級(jí)保護(hù)制度中，第二級(jí)信息系統(tǒng)的保護(hù)要求是？A.自主保護(hù)級(jí)B.指導(dǎo)保護(hù)級(jí)C.監(jiān)督保護(hù)級(jí)D.強(qiáng)制保護(hù)級(jí)二、填空題（每空2分，共20分）1.網(wǎng)絡(luò)安全的核心目標(biāo)可概括為CIA三元組，即________、________和________。2.防火墻按技術(shù)實(shí)現(xiàn)可分為包過濾防火墻、________防火墻和________防火墻。3.常見的加密算法分為對(duì)稱加密和非對(duì)稱加密，其中AES屬于________加密，RSA屬于________加密。4.雙因素認(rèn)證（2FA）通常結(jié)合“知識(shí)因素”（如密碼）和“________因素”（如手機(jī)令牌）或“________因素”（如指紋）。5.漏洞掃描工具按掃描方式可分為________掃描和________掃描，前者主動(dòng)向目標(biāo)發(fā)送請(qǐng)求，后者通過監(jiān)聽網(wǎng)絡(luò)流量分析漏洞。三、判斷題（每題2分，共20分。正確填“√”，錯(cuò)誤填“×”）1.防火墻可以完全防止所有類型的網(wǎng)絡(luò)攻擊（如病毒、木馬）。（）2.釣魚攻擊屬于社會(huì)工程學(xué)攻擊的一種，主要通過欺騙用戶獲取敏感信息。（）3.SSL（安全套接層）是TLS（傳輸層安全）的前身，兩者技術(shù)原理完全相同。（）4.哈希函數(shù)（如SHA-256）的輸出結(jié)果具有不可逆性，即無法從哈希值還原原始數(shù)據(jù)。（）5.零日漏洞（Zero-day）是指已經(jīng)被修復(fù)且公開的系統(tǒng)漏洞。（）6.訪問控制的“最小權(quán)限原則”要求用戶僅獲得完成任務(wù)所需的最低權(quán)限。（）7.網(wǎng)絡(luò)釣魚郵件中通常會(huì)包含誘導(dǎo)用戶點(diǎn)擊的惡意鏈接或附件。（）8.對(duì)稱加密算法的密鑰需要在通信雙方之間安全傳輸，否則可能導(dǎo)致密鑰泄露。（）9.入侵檢測(cè)系統(tǒng)（IDS）可以主動(dòng)阻止攻擊行為，無需人工干預(yù)。（）10.操作系統(tǒng)補(bǔ)丁的主要作用是修復(fù)已知的安全漏洞，提升系統(tǒng)安全性。（）四、簡答題（每題8分，共40分）1.請(qǐng)解釋網(wǎng)絡(luò)安全中的CIA三元組，并分別舉例說明其應(yīng)用場(chǎng)景。2.對(duì)稱加密與非對(duì)稱加密的主要區(qū)別是什么？各舉一例說明其典型應(yīng)用。3.簡述DDoS攻擊的原理，并列舉至少3種常見的防護(hù)措施。4.釣魚攻擊的常見手段有哪些？用戶應(yīng)如何防范釣魚攻擊？5.什么是訪問控制？請(qǐng)說明其主要類型（至少3種）及對(duì)應(yīng)的應(yīng)用場(chǎng)景。五、綜合分析題（20分）某企業(yè)的Web服務(wù)器近期頻繁遭受攻擊，日志顯示用戶提交的表單數(shù)據(jù)中包含“'OR'1'='1”等異常字符，且數(shù)據(jù)庫部分敏感數(shù)據(jù)被非法讀取。請(qǐng)分析可能的攻擊類型、攻擊原理，并提出至少5項(xiàng)針對(duì)性的防護(hù)措施。答案一、單項(xiàng)選擇題1.B2.B3.C4.C5.C6.B7.B8.B9.C10.B二、填空題1.機(jī)密性、完整性、可用性2.狀態(tài)檢測(cè)、應(yīng)用層網(wǎng)關(guān)（或代理）3.對(duì)稱、非對(duì)稱4.持有、生物特征5.主動(dòng)、被動(dòng)三、判斷題1.×（防火墻無法查殺病毒，需結(jié)合殺毒軟件）2.√3.×（TLS是SSL的升級(jí)版本，技術(shù)更安全）4.√5.×（零日漏洞是未被修復(fù)且未公開的漏洞）6.√7.√8.√9.×（IDS主要是監(jiān)測(cè)，入侵防御系統(tǒng)（IPS）可主動(dòng)阻止）10.√四、簡答題1.CIA三元組是網(wǎng)絡(luò)安全的三大核心目標(biāo)：-機(jī)密性（Confidentiality）：確保信息僅被授權(quán)方訪問。例如：郵件加密（如PGP）防止內(nèi)容泄露。-完整性（Integrity）：確保信息在傳輸或存儲(chǔ)過程中未被篡改。例如：文件哈希校驗(yàn)（如SHA-256）驗(yàn)證文件是否被修改。-可用性（Availability）：確保授權(quán)用戶能及時(shí)訪問所需資源。例如：網(wǎng)站使用負(fù)載均衡和災(zāi)備系統(tǒng)，避免因服務(wù)器故障導(dǎo)致無法訪問。2.主要區(qū)別：-對(duì)稱加密：加密和解密使用同一密鑰，速度快但密鑰分發(fā)困難。典型應(yīng)用：AES（高級(jí)加密標(biāo)準(zhǔn)）用于加密大文件或網(wǎng)絡(luò)傳輸中的數(shù)據(jù)。-非對(duì)稱加密：使用公鑰（加密）和私鑰（解密），解決了密鑰分發(fā)問題但速度較慢。典型應(yīng)用：RSA用于HTTPS握手階段交換對(duì)稱密鑰。3.DDoS攻擊原理：通過控制大量傀儡機(jī)（僵尸網(wǎng)絡(luò)）向目標(biāo)服務(wù)器發(fā)送海量請(qǐng)求（如ICMP、TCPSYN），耗盡其帶寬或計(jì)算資源，導(dǎo)致無法響應(yīng)正常用戶。防護(hù)措施：-使用專業(yè)DDoS防護(hù)服務(wù)（如云清洗）；-限制單位時(shí)間內(nèi)單個(gè)IP的請(qǐng)求量；-升級(jí)網(wǎng)絡(luò)帶寬和服務(wù)器性能；-部署入侵防御系統(tǒng)（IPS）檢測(cè)異常流量；-啟用流量牽引和黑洞路由，屏蔽攻擊源。4.釣魚攻擊常見手段：-偽造官方郵件/短信（如銀行、電商），誘導(dǎo)點(diǎn)擊惡意鏈接；-仿冒真實(shí)網(wǎng)站（釣魚網(wǎng)站），騙取用戶輸入賬號(hào)密碼；-利用社交平臺(tái)發(fā)送虛假中獎(jiǎng)信息，要求填寫個(gè)人信息。防范方法：-不點(diǎn)擊陌生鏈接，通過官方渠道核實(shí)信息；-檢查網(wǎng)站URL是否為官方域名（如https://www.銀行真實(shí)域名）；-啟用郵箱/賬號(hào)的雙重驗(yàn)證；-安裝反釣魚瀏覽器插件，攔截惡意網(wǎng)站。5.訪問控制是限制對(duì)資源的訪問，確保只有授權(quán)用戶可操作的安全機(jī)制。主要類型：-強(qiáng)制訪問控制（MAC）：系統(tǒng)根據(jù)安全標(biāo)簽（如絕密、機(jī)密）決定訪問權(quán)限，適用于高安全等級(jí)場(chǎng)景（如政府、軍事系統(tǒng)）。-自主訪問控制（DAC）：資源所有者自行設(shè)置權(quán)限（如文件的讀/寫/執(zhí)行），適用于企業(yè)內(nèi)部文件管理。-基于角色的訪問控制（RBAC）：根據(jù)用戶角色（如管理員、普通員工）分配權(quán)限，適用于大型企業(yè)的權(quán)限管理（如OA系統(tǒng)）。五、綜合分析題可能的攻擊類型：SQL注入攻擊。攻擊原理：攻擊者在表單輸入中插入惡意SQL代碼（如“'OR'1'='1”），由于服務(wù)器未對(duì)用戶輸入進(jìn)行嚴(yán)格校驗(yàn)，惡意代碼被拼接成SQL語句執(zhí)行。例如，原查詢?yōu)椤癝ELECTFROMusersWHEREusername='{輸入}'”，插入惡意字符后變?yōu)椤癝ELECTFROMusersWHEREusername=''OR'1'='1'”，導(dǎo)致無條件查詢，泄露所有用戶數(shù)據(jù)。防護(hù)措施：1.采用參數(shù)化查詢（預(yù)編譯語句），將用戶輸入與SQL語句分離，避免代碼拼接；2.對(duì)用戶輸入進(jìn)行嚴(yán)格校驗(yàn)（如