2025年网络安全专家国家职业资格考核试题及答案.docxVIP

2025年网络安全专家国家职业资格考核试题及答案

一、单项选择题（每题2分，共20分）

1.根据《中华人民共和国数据安全法》第二十一条，国家建立数据分类分级保护制度，其中“关系国家安全、国民经济命脉、重要民生、重大公共利益等数据”应属于哪一级？

A.一般数据

B.重要数据

C.核心数据

D.敏感数据

2.以下哪种攻击方式利用了操作系统或应用程序在处理输入时未正确验证边界的漏洞？

A.SQL注入

B.缓冲区溢出

C.DNS劫持

D.ARP欺骗

3.零信任架构的核心原则是？

A.网络分段隔离

B.持续验证访问请求

C.静态信任边界

D.仅允许已知设备接入

4.在渗透测试中，“内网横向移动”的主要目标是？

A.获取目标网络拓扑

B.从边界设备突破至核心系统

C.利用已控制主机扩展权限范围

D.清除攻击痕迹

5.某企业部署了基于主机的入侵检测系统（HIDS），其主要监测对象不包括？

A.进程异常行为

B.网络流量特征

C.文件系统变更

D.注册表修改记录

6.下列哪项不属于区块链系统的安全风险？

A.51%算力攻击

B.智能合约漏洞

C.量子计算破解加密

D.DNS解析错误

7.根据《网络安全等级保护基本要求（2.0）》，第三级信息系统的安全通信网络要求中，“应采用密码技术保证通信过程中数据的完整性”，此处的密码技术通常不包括？

A.哈希算法（如SHA256）

B.数字签名

C.对称加密（如AES）

D.消息认证码（MAC）

8.在恶意软件分析中，“沙箱”技术的主要作用是？

A.提取恶意代码特征库

B.模拟真实运行环境观察行为

C.解密加密的有效载荷

D.追踪恶意软件传播路径

9.某单位需构建工业控制系统（ICS）安全防护体系，针对SCADA系统的防护重点应优先考虑？

A.部署下一代防火墙（NGFW）

B.确保控制协议（如Modbus）的认证与加密

C.对操作站进行病毒扫描

D.限制工程师站的互联网访问

10.以下关于AI驱动的网络攻击的描述，错误的是？

A.可自动化生成钓鱼邮件内容

B.能通过对抗样本绕过传统检测模型

C.依赖人工编写攻击规则

D.可预测目标系统的漏洞利用成功率

二、多项选择题（每题3分，共15分，少选、错选均不得分）

1.依据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应履行的安全保护义务包括？

A.制定网络安全事件应急预案并定期演练

B.优先采购境内网络产品和服务

C.自行对重要系统进行漏洞检测

D.按照规定报送网络安全监测预警信息

2.以下属于APT（高级持续性威胁）攻击特征的有？

A.长期潜伏（数月至数年）

B.利用0day漏洞

C.目标明确（特定组织或个人）

D.采用大规模DDoS干扰防御

3.云计算环境下，数据安全面临的特有风险包括？

A.多租户隔离失效

B.云服务商内部人员越权访问

C.物理服务器硬件故障

D.数据跨境流动合规性问题

4.网络安全渗透测试的阶段通常包括？

A.信息收集与目标识别

B.漏洞利用与权限提升

C.痕迹清除与报告撰写

D.长期驻留与数据窃取

5.以下哪些技术可用于实现物联网（IoT）设备的身份认证？

A.预共享密钥（PSK）

B.X.509数字证书

C.蓝牙MAC地址绑定

D.动态令牌（OTP）

三、判断题（每题1分，共10分，正确填“√”，错误填“×”）

1.《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。（）

2.缓冲区溢出攻击仅能针对C/C++等编译型语言编写的程序，对Java等解释型语言无效。（）

3.网络钓鱼攻击中，攻击者伪造的网站IP地址与真实网站IP地址一定不同。（）

4.无线局域网（WLAN）中，WPA3协议相比WPA2增强了对暴力破解的防护，支持SAE（安全平等认证）机制。（）

5.在数据库安全中，“行级加密”是指对表中特定列的数据进行加密存储，而“字段级加密”是指对单条记录的部分字段加密。（）

6.工业控制系统（ICS）的安全防护应优先保证可用性，其次考虑完整性和必威体育官网网址性。（）

7.量子密钥分发（QKD）技术可实现理论上无条件安全的密钥交换，但受限于传输距离和设备成本，目前尚未大