2025年網(wǎng)絡(luò)空間安全與信息保護(hù)的基礎(chǔ)知識(shí)考試卷及答案一、單項(xiàng)選擇題（每題2分，共30分）1.以下哪項(xiàng)不屬于網(wǎng)絡(luò)空間安全的核心目標(biāo)？A.數(shù)據(jù)機(jī)密性B.系統(tǒng)可用性C.網(wǎng)絡(luò)可擴(kuò)展性D.信息完整性2.下列加密算法中，屬于非對(duì)稱(chēng)加密的是？A.AES-256B.RSAC.DESD.ChaCha203.某攻擊者通過(guò)偽造合法用戶的MAC地址接入企業(yè)無(wú)線網(wǎng)絡(luò)，這種攻擊方式屬于？A.ARP欺騙B.DNS劫持C.SQL注入D.會(huì)話劫持4.根據(jù)《個(gè)人信息保護(hù)法》，個(gè)人信息處理者向境外提供個(gè)人信息時(shí)，不需要履行的義務(wù)是？A.進(jìn)行個(gè)人信息保護(hù)影響評(píng)估B.取得個(gè)人單獨(dú)同意C.與境外接收方訂立數(shù)據(jù)傳輸合同D.向用戶公開(kāi)境外接收方的所有商業(yè)信息5.以下哪種技術(shù)用于檢測(cè)網(wǎng)絡(luò)中異常流量行為，屬于主動(dòng)防御手段？A.防火墻（靜態(tài)規(guī)則過(guò)濾）B.入侵檢測(cè)系統(tǒng)（IDS）C.蜜罐技術(shù)D.漏洞掃描器6.關(guān)于哈希函數(shù)的描述，錯(cuò)誤的是？A.輸入任意長(zhǎng)度數(shù)據(jù)，輸出固定長(zhǎng)度哈希值B.不同輸入可能生成相同哈希值（碰撞）C.可通過(guò)哈希值逆向還原原始數(shù)據(jù)D.常用于驗(yàn)證數(shù)據(jù)完整性7.某企業(yè)員工使用弱密碼（如“123456”）登錄內(nèi)部系統(tǒng)，最可能面臨的安全風(fēng)險(xiǎn)是？A.拒絕服務(wù)攻擊（DDoS）B.暴力破解攻擊C.社會(huì)工程學(xué)攻擊D.中間人攻擊（MITM）8.以下哪項(xiàng)是物聯(lián)網(wǎng)（IoT）設(shè)備特有的安全挑戰(zhàn)？A.計(jì)算資源受限導(dǎo)致無(wú)法部署復(fù)雜加密B.網(wǎng)絡(luò)帶寬不足C.用戶密碼管理困難D.操作系統(tǒng)漏洞9.根據(jù)《網(wǎng)絡(luò)安全法》，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者應(yīng)當(dāng)自行或委托第三方每年至少進(jìn)行幾次網(wǎng)絡(luò)安全檢測(cè)評(píng)估？A.1次B.2次C.3次D.4次10.以下哪種認(rèn)證方式屬于“雙因素認(rèn)證（2FA）”？A.用戶名+密碼B.指紋識(shí)別+面部識(shí)別C.密碼+短信驗(yàn)證碼D.智能卡+USBKey11.APT（高級(jí)持續(xù)性威脅）攻擊的主要特征是？A.利用已知漏洞快速發(fā)起攻擊B.目標(biāo)明確且長(zhǎng)期潛伏C.通過(guò)大規(guī)模釣魚(yú)郵件傳播D.主要針對(duì)個(gè)人用戶12.數(shù)據(jù)脫敏技術(shù)中，“將身份證號(hào)的中間8位替換為”屬于？A.掩碼處理B.匿名化C.泛化D.加密13.以下哪項(xiàng)不屬于網(wǎng)絡(luò)安全防護(hù)的“縱深防御”原則？A.在邊界部署防火墻，內(nèi)網(wǎng)部署入侵防御系統(tǒng)（IPS）B.對(duì)敏感數(shù)據(jù)同時(shí)采用加密存儲(chǔ)和訪問(wèn)控制C.定期更新系統(tǒng)補(bǔ)丁D.僅依賴(lài)單一安全設(shè)備（如僅用防火墻）14.關(guān)于零信任架構(gòu)（ZeroTrust）的描述，正確的是？A.信任所有內(nèi)部用戶，僅不信任外部用戶B.默認(rèn)不信任任何訪問(wèn)請(qǐng)求，需持續(xù)驗(yàn)證身份和環(huán)境C.依賴(lài)傳統(tǒng)邊界防護(hù)（如防火墻）保障安全D.僅適用于云環(huán)境15.某系統(tǒng)日志顯示大量異常IP嘗試登錄，且每次嘗試的密碼不同，最可能的攻擊類(lèi)型是？A.字典攻擊B.暴力破解C.會(huì)話劫持D.跨站腳本攻擊（XSS）二、多項(xiàng)選擇題（每題3分，共15分，多選、少選、錯(cuò)選均不得分）1.網(wǎng)絡(luò)空間安全的“三要素”包括？A.機(jī)密性（Confidentiality）B.完整性（Integrity）C.可用性（Availability）D.可追溯性（Accountability）2.以下屬于數(shù)據(jù)泄露防護(hù)（DLP）技術(shù)的有？A.郵件內(nèi)容過(guò)濾（檢測(cè)敏感信息外發(fā)）B.數(shù)據(jù)庫(kù)加密存儲(chǔ)C.終端文件操作監(jiān)控（如禁止復(fù)制到U盤(pán)）D.防火墻端口控制3.物聯(lián)網(wǎng)設(shè)備常見(jiàn)的安全風(fēng)險(xiǎn)包括？A.固件漏洞未及時(shí)更新B.默認(rèn)弱密碼（如未修改出廠密碼）C.通信協(xié)議不安全（如使用未加密的HTTP）D.用戶隱私數(shù)據(jù)過(guò)度采集4.根據(jù)《數(shù)據(jù)安全法》，數(shù)據(jù)處理者應(yīng)當(dāng)建立健全的數(shù)據(jù)安全管理制度包括？A.數(shù)據(jù)分類(lèi)分級(jí)制度B.數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估制度C.數(shù)據(jù)安全應(yīng)急處置制度D.數(shù)據(jù)交易備案制度5.以下哪些措施可提升移動(dòng)應(yīng)用（App）的安全性？A.采用HTTPS加密傳輸用戶數(shù)據(jù)B.對(duì)存儲(chǔ)在本地的敏感數(shù)據(jù)進(jìn)行加密C.僅申請(qǐng)必要的手機(jī)權(quán)限（如不申請(qǐng)與功能無(wú)關(guān)的定位權(quán)限）D.使用第三方SDK時(shí)不校驗(yàn)其安全性三、判斷題（每題1分，共10分，正確填“√”，錯(cuò)誤填“×”）1.對(duì)稱(chēng)加密算法（如AES）的加密和解密使用相同密鑰，因此密鑰管理比非對(duì)稱(chēng)加密更簡(jiǎn)單。（）2.防火墻可以完全阻止所有網(wǎng)絡(luò)攻擊，因此企業(yè)只需部署防火墻即可保障安全。（）3.個(gè)人信息“匿名化”處理后，無(wú)法通過(guò)其他信息復(fù)原個(gè)人身份，因此不再受《個(gè)人信息保護(hù)法》約束。（）4.漏洞掃描器（VulnerabilityScanner）可以主動(dòng)發(fā)現(xiàn)系統(tǒng)中存在的安全漏洞，并直接修復(fù)漏洞。（）5.釣魚(yú)攻擊（Phishing）主要通過(guò)技術(shù)手段（如木馬）竊取信息，與用戶意識(shí)無(wú)關(guān)。（）6.區(qū)塊鏈技術(shù)的“不可篡改”特性是通過(guò)哈希鏈和共識(shí)機(jī)制實(shí)現(xiàn)的。（）7.云計(jì)算環(huán)境中，“云服務(wù)提供商（CSP）”對(duì)客戶數(shù)據(jù)的安全負(fù)全部責(zé)任，客戶無(wú)需額外防護(hù)。（）8.量子計(jì)算可能對(duì)RSA等非對(duì)稱(chēng)加密算法的安全性構(gòu)成威脅，因?yàn)槠淠芸焖俜纸獯笳麛?shù)。（）9.日志審計(jì)的主要目的是記錄用戶操作，而非實(shí)時(shí)阻止攻擊。（）10.生物識(shí)別（如指紋、人臉）是絕對(duì)安全的認(rèn)證方式，不會(huì)被偽造或破解。（）四、簡(jiǎn)答題（每題6分，共30分）1.簡(jiǎn)述“最小權(quán)限原則（PrincipleofLeastPrivilege）”的核心思想，并舉例說(shuō)明其在企業(yè)系統(tǒng)中的應(yīng)用。2.請(qǐng)描述SSL/TLS協(xié)議在客戶端與服務(wù)器建立安全連接時(shí)的握手過(guò)程（至少列出4個(gè)關(guān)鍵步驟）。3.比較“滲透測(cè)試（PenetrationTesting）”與“漏洞掃描（VulnerabilityScanning）”的區(qū)別（從目標(biāo)、方法、結(jié)果三個(gè)維度說(shuō)明）。4.數(shù)據(jù)生命周期包括“產(chǎn)生-存儲(chǔ)-傳輸-使用-歸檔-銷(xiāo)毀”六個(gè)階段，說(shuō)明每個(gè)階段需采取的主要安全措施。5.列舉《個(gè)人信息保護(hù)法》中規(guī)定的個(gè)人信息處理者應(yīng)當(dāng)履行的至少5項(xiàng)義務(wù)。五、綜合分析題（每題15分，共15分）某金融機(jī)構(gòu)的網(wǎng)上銀行系統(tǒng)近期發(fā)生用戶賬戶資金被盜事件，經(jīng)初步調(diào)查，部分受害者曾點(diǎn)擊過(guò)可疑郵件鏈接，且賬戶登錄IP地址異常（非用戶常用地區(qū)）。請(qǐng)結(jié)合網(wǎng)絡(luò)安全知識(shí)，分析可能的攻擊路徑，并提出至少5項(xiàng)針對(duì)性的防護(hù)措施。參考答案一、單項(xiàng)選擇題1.C2.B3.A4.D5.C6.C7.B8.A9.A10.C11.B12.A13.D14.B15.B二、多項(xiàng)選擇題1.ABC2.ABC3.ABCD4.ABC5.ABC三、判斷題1.×（對(duì)稱(chēng)加密密鑰需安全傳輸，管理復(fù)雜度更高）2.×（防火墻無(wú)法防御未知漏洞攻擊或內(nèi)部威脅）3.√（匿名化后不屬于個(gè)人信息）4.×（漏洞掃描器僅發(fā)現(xiàn)漏洞，修復(fù)需人工或補(bǔ)丁工具）5.×（釣魚(yú)攻擊依賴(lài)用戶點(diǎn)擊誘導(dǎo)鏈接）6.√（哈希鏈保證數(shù)據(jù)關(guān)聯(lián)，共識(shí)機(jī)制防止篡改）7.×（客戶需負(fù)責(zé)數(shù)據(jù)分類(lèi)、訪問(wèn)控制等）8.√（量子計(jì)算可破解基于大整數(shù)分解的RSA）9.√（日志用于事后追溯）10.×（生物特征可被偽造，如3D打印指紋）四、簡(jiǎn)答題1.最小權(quán)限原則核心思想：用戶或進(jìn)程僅被授予完成任務(wù)所需的最小權(quán)限，避免因權(quán)限過(guò)高導(dǎo)致的安全風(fēng)險(xiǎn)。應(yīng)用示例：企業(yè)財(cái)務(wù)系統(tǒng)中，普通會(huì)計(jì)僅擁有查詢和錄入憑證的權(quán)限，無(wú)刪除或修改歷史數(shù)據(jù)的權(quán)限；服務(wù)器管理員賬戶與日常辦公賬戶分離，避免日常操作使用高權(quán)限賬號(hào)。2.SSL/TLS握手過(guò)程關(guān)鍵步驟：（1）客戶端發(fā)送“ClientHello”，包含支持的TLS版本、加密套件列表等；（2）服務(wù)器響應(yīng)“ServerHello”，選定TLS版本和加密套件，發(fā)送服務(wù)器證書(shū)（含公鑰）；（3）客戶端驗(yàn)證服務(wù)器證書(shū)有效性（如CA簽名、域名匹配），生成隨機(jī)數(shù)（預(yù)主密鑰）并用服務(wù)器公鑰加密后發(fā)送；（4）服務(wù)器用私鑰解密預(yù)主密鑰，雙方基于預(yù)主密鑰生成會(huì)話密鑰；（5）客戶端和服務(wù)器分別發(fā)送“Finished”消息，使用會(huì)話密鑰加密驗(yàn)證數(shù)據(jù)，完成握手。3.滲透測(cè)試與漏洞掃描的區(qū)別：（1）目標(biāo)：滲透測(cè)試模擬真實(shí)攻擊，驗(yàn)證系統(tǒng)整體防護(hù)能力；漏洞掃描僅發(fā)現(xiàn)已知漏洞。（2）方法：滲透測(cè)試需人工模擬攻擊（如社會(huì)工程、漏洞利用），可能破壞系統(tǒng)；漏洞掃描依賴(lài)自動(dòng)化工具匹配漏洞庫(kù)。（3）結(jié)果：滲透測(cè)試輸出攻擊路徑和風(fēng)險(xiǎn)影響分析；漏洞掃描輸出漏洞列表及修復(fù)建議。4.數(shù)據(jù)生命周期各階段安全措施：（1）產(chǎn)生：明確數(shù)據(jù)分類(lèi)（如敏感/非敏感），標(biāo)注采集目的和范圍；（2）存儲(chǔ)：加密存儲(chǔ)敏感數(shù)據(jù)（如AES加密），設(shè)置訪問(wèn)控制（如RBAC）；（3）傳輸：使用TLS/IPSec加密傳輸，校驗(yàn)數(shù)據(jù)完整性（如哈希值）；（4）使用：限制數(shù)據(jù)訪問(wèn)權(quán)限（最小權(quán)限原則），記錄操作日志；（5）歸檔：定期備份（離線存儲(chǔ)），備份數(shù)據(jù)加密并校驗(yàn)完整性；（6）銷(xiāo)毀：物理銷(xiāo)毀（如磁盤(pán)格式化+覆蓋寫(xiě)入）或邏輯銷(xiāo)毀（徹底刪除數(shù)據(jù)庫(kù)記錄），確保不可恢復(fù)。5.《個(gè)人信息保護(hù)法》規(guī)定的處理者義務(wù)（至少5項(xiàng)）：（1）遵循“合法、正當(dāng)、必要”原則，公開(kāi)處理規(guī)則；（2）制定并公布個(gè)人信息處理目錄（類(lèi)型、方式、保存期限）；（3）采取技術(shù)措施（如加密、去標(biāo)識(shí)化）和管理措施保障安全；（4）在發(fā)生數(shù)據(jù)泄露時(shí)，及時(shí)通知用戶并向監(jiān)管部門(mén)報(bào)告；（5）為用戶提供查詢、更正、刪除個(gè)人信息的渠道；（6）對(duì)處理敏感個(gè)人信息取得用戶單獨(dú)同意，并進(jìn)行影響評(píng)估。五、綜合分析題可能的攻擊路徑分析：（1）釣魚(yú)郵件攻擊：攻擊者向用戶發(fā)送偽裝成銀行的釣魚(yú)郵件，誘導(dǎo)用戶點(diǎn)擊鏈接，鏈接指向仿冒的銀行網(wǎng)站（釣魚(yú)網(wǎng)站），竊取用戶輸入的賬號(hào)密碼；（2）惡意軟件感染：釣魚(yú)鏈接可能攜帶木馬程序（如鍵盤(pán)記錄器），用戶點(diǎn)擊后木馬植入終端，竊取鍵盤(pán)輸入的密碼或動(dòng)態(tài)驗(yàn)證碼；（3）身份冒用：攻擊者獲取用戶賬號(hào)密碼后，利用異常IP登錄（如通過(guò)代理服務(wù)器），繞過(guò)簡(jiǎn)單的地理位置驗(yàn)證，轉(zhuǎn)移資金；（4）會(huì)話劫持：若用戶未退出登錄或使用不安全Wi-Fi，攻擊者可能通過(guò)中間人攻擊劫持會(huì)話，直接操作賬戶。針對(duì)性防護(hù)措施：（1）強(qiáng)化用戶安全意識(shí)培訓(xùn)：定期開(kāi)展釣魚(yú)郵件識(shí)別教育，告知用戶不點(diǎn)擊可疑鏈接、不泄露驗(yàn)證碼；（2）多因素認(rèn)證（MFA）：登錄時(shí)要求“密碼+短信驗(yàn)證碼+設(shè)備指紋”三重驗(yàn)證，異常IP登錄需二次驗(yàn)證（如人臉識(shí)別）；（3）釣