網絡安全考試試題含答案(三級等級保護測評)一、單項選擇題（每題2分，共30分）1.依據《信息安全技術網絡安全等級保護基本要求》（GB/T222392019），三級信息系統(tǒng)的物理訪問控制應實現對機房區(qū)域的分層管理，以下哪項不符合要求？A.核心機房僅允許授權人員進入B.監(jiān)控室與主機房共用同一門禁系統(tǒng)C.來訪人員需登記并由專人陪同D.機房入口設置電子門禁系統(tǒng)2.三級系統(tǒng)網絡安全要求中，關于邊界防護的“訪問控制”措施，以下描述錯誤的是？A.應在網絡邊界部署訪問控制設備，啟用訪問控制功能B.訪問控制策略應基于源地址、目的地址、源端口、目的端口和協(xié)議類型等要素C.應默認允許所有通信，僅禁止明確禁止的通信D.應定期審查和更新訪問控制策略3.主機安全中，三級系統(tǒng)對操作系統(tǒng)身份鑒別的要求不包括？A.應實現用戶身份標識唯一，身份鑒別信息復雜度符合要求B.應設置登錄失敗處理功能，如多次失敗后自動鎖定賬戶C.應啟用會話超時自動終止功能D.應使用單因素認證（如僅密碼）作為唯一鑒別方式4.應用安全中，三級系統(tǒng)要求“抗抵賴”措施需實現對重要操作的不可否認性，以下哪項屬于抗抵賴技術？A.防火墻訪問控制列表（ACL）B.數字簽名C.入侵檢測系統(tǒng)（IDS）D.漏洞掃描5.數據安全及備份恢復中，三級系統(tǒng)要求“數據備份恢復”應滿足？A.僅需本地備份，無需異地備份B.備份數據保存時間不少于1個月C.應采用兩種或兩種以上介質（如磁盤、磁帶）進行備份D.備份策略無需定期測試6.安全管理制度中，三級系統(tǒng)要求“安全策略”文檔應？A.由IT部門單獨制定，無需高層審批B.明確安全目標、范圍和責任C.僅包含技術措施，不涉及管理流程D.每年更新一次，但無需記錄更新原因7.安全管理機構中，三級系統(tǒng)要求“崗位設置”應？A.所有安全職責由網絡管理員一人承擔B.關鍵崗位設置安全管理崗、系統(tǒng)運維崗、安全審計崗等，并實現職責分離C.無需明確各崗位的安全責任D.安全管理機構無需與其他部門協(xié)作8.人員安全管理中，三級系統(tǒng)對“安全意識教育和培訓”的要求是？A.新員工入職時僅需進行一次培訓B.培訓內容無需覆蓋安全策略和操作規(guī)程C.應定期開展（至少每年一次），并保留培訓記錄D.培訓對象僅包括技術人員，不涉及管理層9.系統(tǒng)建設管理中，三級系統(tǒng)“安全產品采購和使用”要求？A.可采購未通過國家相關部門認證的安全產品B.應確保安全產品的技術指標滿足安全需求C.無需對安全產品的供應商進行資質審查D.安全產品部署后無需進行功能測試10.安全運維管理中，三級系統(tǒng)“惡意代碼防范管理”要求？A.僅在服務器部署防惡意代碼軟件，終端無需部署B(yǎng).防惡意代碼軟件無需定期更新病毒庫C.應在關鍵網絡節(jié)點部署網絡版防惡意代碼軟件D.發(fā)現惡意代碼后無需記錄處理過程11.三級系統(tǒng)物理安全中，“防水和防潮”措施不包括？A.機房設置防水擋板或門檻B(tài).機房內使用普通石膏板吊頂C.配備濕度自動調節(jié)設備D.定期檢查機房漏水情況12.網絡安全中，“入侵防范”要求應部署入侵檢測系統(tǒng)（IDS），其主要功能是？A.阻斷所有異常流量B.檢測并記錄網絡中的攻擊行為C.替代防火墻實現訪問控制D.僅監(jiān)測內網流量13.主機安全中，“安全審計”要求應開啟審計功能，審計覆蓋的對象不包括？A.用戶登錄行為B.系統(tǒng)資源使用情況C.非授權的刪除操作D.網絡帶寬占用率14.應用安全中，“數據完整性”要求應采用技術手段保證數據在傳輸和存儲過程中不被篡改，以下哪項是常用技術？A.加密傳輸（如TLS）B.哈希校驗（如SHA256）C.訪問控制列表（ACL）D.虛擬專用網（VPN）15.數據安全中，“數據脫敏”適用于以下哪種場景？A.重要數據本地備份B.測試環(huán)境使用真實用戶個人信息C.生產環(huán)境數據異地容災D.日志文件歸檔保存二、多項選擇題（每題3分，共30分，多選、錯選、漏選均不得分）1.三級信息系統(tǒng)物理安全的“環(huán)境安全”要求包括？A.機房應設置在建筑內避開強電磁干擾的區(qū)域B.機房應配備火災自動消防系統(tǒng)（如氣體滅火裝置）C.機房供電應采用雙路市電+備用發(fā)電機的冗余供電方式D.機房溫度應保持在20℃25℃，濕度保持在40%70%2.網絡安全“網絡架構”要求中，三級系統(tǒng)需實現？A.網絡設備冗余部署（如雙核心交換機）B.業(yè)務網絡與辦公網絡邏輯隔離C.關鍵網絡節(jié)點無單點故障D.所有終端直接連接互聯網3.主機安全“身份鑒別”的增強要求（三級特有）包括？A.采用雙因素認證（如密碼+動態(tài)令牌）B.鑒別信息長度不少于8位，包含數字、字母和特殊符號C.登錄失敗鎖定時間不少于30分鐘D.支持遠程管理時使用SSH協(xié)議而非Telnet4.應用安全“通信安全”要求包括？A.重要業(yè)務數據傳輸采用加密協(xié)議（如HTTPS）B.通信過程中需驗證通信雙方的身份C.僅需在傳輸層加密，無需在應用層加密D.加密算法應符合國家密碼管理要求（如SM4）5.數據安全“數據備份恢復”的具體措施包括？A.本地實時備份+異地定期備份（如每日一次）B.備份數據需進行加密存儲C.每季度進行一次恢復測試，驗證備份有效性D.備份介質存放在與機房同一樓層的保險柜中6.安全管理制度“制度制定”要求包括？A.制定安全策略、管理制度、操作規(guī)程等多層次文檔B.制度需經安全管理機構審批后發(fā)布C.制度內容應明確責任部門和執(zhí)行流程D.制度無需根據實際情況更新7.安全管理機構“協(xié)作溝通”要求包括？A.與公安機關、行業(yè)主管部門建立聯絡機制B.定期召開安全工作會議（如每季度一次）C.僅需內部溝通，無需與外部機構協(xié)作D.明確安全事件報告的流程和時限8.人員安全管理“離崗安全”要求包括？A.離崗人員需交回所有訪問憑證（如賬號、門禁卡）B.無需對離崗人員的設備和數據進行清理C.與離崗人員簽訂保密協(xié)議（如有）D.無需對離崗人員的工作交接進行記錄9.系統(tǒng)建設管理“安全方案設計”要求包括？A.設計文檔需包含安全目標、安全措施、技術指標等內容B.方案需經過專家評審并形成評審記錄C.僅需考慮技術措施，無需涉及管理措施D.方案應符合三級等保的基本要求和擴展要求10.安全運維管理“安全事件處置”要求包括？A.制定安全事件應急預案并定期演練（如每年一次）B.事件發(fā)生后需記錄事件類型、影響范圍、處置過程等信息C.重大安全事件（如數據泄露）需在24小時內向公安機關報告D.事件處置完成后無需進行總結和改進三、填空題（每空2分，共20分）1.三級信息系統(tǒng)的安全測評周期為______年一次。2.網絡邊界應部署______設備，實現對非授權訪問的阻斷。3.主機操作系統(tǒng)的審計記錄應至少保存______個月。4.應用系統(tǒng)的身份鑒別信息（如密碼）應采用______方式存儲（如哈希加鹽）。5.數據備份應采用______和______相結合的方式，確保數據可恢復。6.安全管理制度應形成“安全策略—管理制度—______”的三層文件體系。7.關鍵崗位人員應簽訂______協(xié)議，明確安全責任。8.系統(tǒng)建設過程中，安全產品應通過______認證（如國家信息安全產品認證）。9.安全運維中，應定期對系統(tǒng)進行______掃描，發(fā)現并修復安全漏洞。四、簡答題（共20分）（一）封閉型簡答題（每題5分，共10分）1.簡述三級信息系統(tǒng)物理安全中“訪問控制”的具體措施。2.說明三級系統(tǒng)網絡安全中“訪問控制策略”的制定原則。（二）開放型簡答題（10分）某三級信息系統(tǒng)在測評中發(fā)現Web應用存在SQL注入漏洞，且未對用戶登錄失敗次數進行限制。請結合三級等保要求，分析該問題的風險，并提出整改建議。五、應用題（20分）某企業(yè)擬建設三級信息系統(tǒng)，網絡拓撲如下：核心交換機連接服務器區(qū)（含Web服務器、數據庫服務器）、辦公終端區(qū)和互聯網出口（通過防火墻連接）?，F有安全措施：防火墻僅配置默認拒絕策略，未明確允許的流量；服務器操作系統(tǒng)未啟用審計功能；數據庫數據僅本地每日備份；安全管理制度僅有1份《網絡設備操作手冊》。請根據三級等保要求，指出該企業(yè)現有措施的不符合項，并提出整改建議（需覆蓋技術和管理層面）。參考答案一、單項選擇題1.B2.C3.D4.B5.C6.B7.B8.C9.B10.C11.B12.B13.D14.B15.B二、多項選擇題1.ABCD2.ABC3.ABCD4.ABD5.ABC6.ABC7.ABD8.AC9.ABD10.ABC三、填空題1.12.訪問控制（或防火墻/IPS）3.64.密碼學5.本地；異地6.操作規(guī)程7.安全保密8.國家信息安全9.漏洞四、簡答題（一）封閉型簡答題1.物理訪問控制的具體措施包括：機房劃分不同區(qū)域（如主機房、監(jiān)控室、輔助區(qū)），實行分層管理；核心區(qū)域（如主機房）設置電子門禁系統(tǒng)，僅授權人員可進入；來訪人員需登記身份信息、訪問時間、訪問目的，并由專人全程陪同；門禁系統(tǒng)應記錄訪問人員、時間等信息，保存至少6個月。2.訪問控制策略的制定原則：基于最小授權原則，僅允許必要的通信（默認拒絕，明確允許）；策略應包含源地址、目的地址、源端口、目的端口、協(xié)議類型等要素；策略需覆蓋所有網絡邊界（如內外網邊界、不同安全域邊界）；定期審查策略（至少每季度一次），根據業(yè)務變化更新；策略應明確允許和拒絕的行為，避免模糊表述。（二）開放型簡答題風險分析：SQL注入漏洞可能導致攻擊者非法訪問、篡改或刪除數據庫數據，嚴重影響數據完整性和可用性；未限制登錄失敗次數可能導致暴力破解攻擊，獲取用戶賬號權限，進而非法操作應用系統(tǒng)。整改建議：技術層面：①修復SQL注入漏洞：使用參數化查詢、存儲過程等方式防止用戶輸入直接拼接SQL語句；對輸入數據進行嚴格校驗（如類型、長度、特殊字符過濾）；②限制登錄失敗次數：設置連續(xù)登錄失敗5次后鎖定賬戶，鎖定時間不少于30分鐘；支持賬戶解鎖（如自動解鎖或管理員手動解鎖）；③啟用應用系統(tǒng)的審計功能，記錄登錄失敗、SQL錯誤等事件，保存至少6個月。管理層面：①更新安全管理制度，明確應用系統(tǒng)漏洞修復的流程和時限（如高危漏洞24小時內修復）；②對開發(fā)和運維人員進行安全培訓，覆蓋Web安全防護（如OWASPTOP10）和訪問控制策略設計。五、應用題不符合項及整改建議：技術層面：1.防火墻策略不符合：僅默認拒絕，未明確允許的流量。整改：基于最小授權原則，根據業(yè)務需求制定詳細的訪問控制策略（如允許HTTP/HTTPS訪問Web服務器、SSH訪問管理終端），并記錄策略生效時間和審批人。2.服務器未啟用審計功能：無法追蹤用戶操作和異常行為。整改：在服務器操作系統(tǒng)（如Windows/Linux）中啟用審計功能，配置審計規(guī)則（如登錄、文件修改、進程啟動），設置審計日志存儲路徑（非系統(tǒng)盤），保存至少6個月。3.數據庫僅本地備份：無異地備份，存在單點故障風險。整改：采用“本地實時備份+異地每日增量備份”策略，備份數據加密存儲（如AES256），異地備份介質存放在與機房物理隔離的場所（如同城災備中心），每季度進行恢復測試并記錄結果。管理層面：1.安全管理制度不完整：僅有操作手冊，缺乏策略和規(guī)程。整改：建立三層制度體系：安全策略（明確安全目標、責任部門）；管理制度（如《數據備份管理辦法》《安全事件處置流