2025年网络安全测评师考试试题及答案.docxVIP

2025年网络安全测评师考试试题及答案

一、单项选择题（每题2分，共20题，合计40分）

1.以下哪项不属于网络安全测评的核心目标？

A.识别系统潜在安全漏洞

B.验证安全控制措施有效性

C.提升网络传输速率

D.评估系统面临的风险等级

答案：C

2.某企业采用ISO27005作为风险评估标准，其风险评估流程中“风险分析”阶段的核心任务是？

A.确定资产价值与威胁源

B.计算风险发生的可能性与影响

C.制定风险应对策略

D.验证风险控制措施效果

答案：B

3.在渗透测试中，“内网横向移动”通常发生在哪个阶段？

A.信息收集

B.漏洞利用

C.维持访问

D.权限提升

答案：D（注：横向移动是指利用已获得的权限在内部网络中扩展控制范围，属于权限提升后的进一步操作）

4.以下哪个漏洞类型属于OWASP2024Top10中新增的“生成式AI滥用”（GenerativeAIAbuse）？

A.注入攻击（Injection）

B.AI模型训练数据中毒（DataPoisoning）

C.跨站脚本（XSS）

D.不安全的直接对象引用（IDOR）

答案：B

5.使用Nmap进行全端口扫描时，以下哪个命令参数组合最合理？

A.`nmapp165535sT`

B.`nmappsS`

C.`nmappU:11024sU`

D.`nmapp80,443sV`

答案：B（`p`表示全端口，`sS`为TCPSYN扫描，效率高且隐蔽）

6.某系统日志中出现大量“401Unauthorized”状态码，最可能的原因是？

A.服务器拒绝访问（403）

B.用户认证失败

C.资源未找到（404）

D.服务器内部错误（500）

答案：B

7.以下哪种加密算法属于非对称加密？

A.AES256

B.RSA

C.SHA3

D.DES

答案：B

8.在漏洞生命周期管理中，“漏洞验证”阶段的主要目的是？

A.确认漏洞是否存在及影响范围

B.修复漏洞并更新系统

C.监控漏洞修复后的系统状态

D.收集漏洞信息并分类

答案：A

9.某企业部署了WAF（Web应用防火墙），其核心功能是？

A.防止DDoS攻击

B.检测并阻断针对Web应用的恶意请求

C.加密传输数据

D.管理内部用户权限

答案：B

10.以下哪个工具常用于进行无线局域网（WLAN）的安全测评？

A.Wireshark

B.Aircrackng

C.Metasploit

D.Nessus

答案：B（Aircrackng专注于无线协议分析与破解）

11.在进行云安全测评时，“数据残留风险”主要关注？

A.云服务器带宽限制

B.数据删除后物理存储介质中是否残留可恢复信息

C.云服务商的SLA（服务级别协议）

D.跨租户网络隔离措施

答案：B

12.某系统存在SQL注入漏洞，攻击者通过输入`OR1=1`触发漏洞，该攻击利用了？

A.输入验证缺失

B.会话管理漏洞

C.访问控制缺陷

D.加密算法弱性

答案：A

13.以下哪项属于物联网（IoT）设备特有的安全测评要点？

A.固件升级安全性

B.数据库权限管理

C.Web应用身份认证

D.网络防火墙规则

答案：A（IoT设备依赖固件更新，其安全性直接影响设备生命周期）

14.在进行社会工程学测评时，“钓鱼邮件”的核心目标是？

A.获取用户敏感信息（如密码）

B.植入勒索软件

C.攻击企业邮件服务器

D.测试网络边界防护能力

答案：A

15.某企业采用零信任架构（ZeroTrust），其核心原则是？

A.内部网络完全可信

B.持续验证访问请求的合法性

C.仅允许已知设备接入

D.关闭所有非必要端口

答案：B

16.以下哪个CVE编号格式符合规范？

A.CVE2024ABCD123

B.CVE/2024/12345

C.CV

D.2024CVE1234

答案：C（CVE编号格式为CVE年份数字序列）

17.在漏洞扫描中，“误报”（FalsePositive）是指？

A.扫描工具未检测到实际存在的漏洞

B.扫描工具错误报告了不存在的漏洞

C.漏洞实际影响小