网络与信息安全管理员习题+参考答案.docxVIP

网络与信息安全管理员习题+参考答案

一、单项选择题（每题2分，共20分）

1.以下哪项是对称加密算法的典型特征？（）

A.使用公钥和私钥对

B.加密和解密使用相同密钥

C.适合数字签名场景

D.计算复杂度高，适合长文本加密

2.在OSI参考模型中，负责处理端到端加密的层次是（）。

A.网络层

B.传输层

C.会话层

D.应用层

3.以下哪种攻击方式属于应用层DDoS攻击？（）

A.SYNFlood

B.UDPFlood

C.HTTPFlood

D.ICMPFlood

4.某企业采用“角色-权限”关联的访问控制策略，员工根据岗位分配角色，角色绑定具体权限。这种模型属于（）。

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

5.以下哪项是漏洞扫描工具的核心功能？（）

A.监控网络流量中的异常行为

B.检测系统或应用中存在的安全弱点

C.阻止恶意代码的执行

D.对数据进行加密传输

6.关于防火墙的描述，错误的是（）。

A.包过滤防火墙基于IP和端口号进行规则匹配

B.状态检测防火墙能跟踪TCP连接的状态

C.应用层网关防火墙工作在OSI模型的会话层

D.下一代防火墙（NGFW）可识别应用类型并实施细粒度控制

7.某系统日志显示大量“404NotFound”请求，且请求路径包含随机字符串，最可能的攻击是（）。

A.SQL注入

B.XSS跨站脚本

C.目录遍历

D.暴力破解

8.以下哪种身份认证方式属于“双因素认证（2FA）”？（）

A.密码+短信验证码

B.指纹识别

C.智能卡

D.静态密码

9.某企业数据库存储用户密码时，正确的处理方式是（）。

A.明文存储

B.使用MD5单向哈希存储

C.使用SHA-256哈希加盐（Salt）存储

D.使用AES加密后存储

10.以下哪项是《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）中“安全通信网络”的控制项？（）

A.身份鉴别

B.访问控制

C.通信传输加密

D.入侵防范

二、多项选择题（每题3分，共15分，错选、漏选均不得分）

1.常见的网络钓鱼攻击手段包括（）。

A.伪造银行官方网站诱导输入账号密码

B.发送含恶意附件的邮件

C.通过社交媒体私信发送伪装成“系统通知”的链接

D.使用DDoS攻击瘫痪目标网站

2.以下属于主机安全加固措施的是（）。

A.关闭不必要的服务和端口

B.定期更新操作系统补丁

C.在网络边界部署防火墙

D.对管理员账户启用强密码策略

3.关于入侵检测系统（IDS）和入侵防御系统（IPS）的区别，正确的是（）。

A.IDS主要用于监控和报警，IPS可主动阻断攻击

B.IDS通常旁路部署，IPS需要串联在网络中

C.IDS基于特征库检测，IPS仅基于异常检测

D.IPS可能导致误判而阻断正常流量

4.数据脱敏的常用技术包括（）。

A.替换（如将真实姓名替换为“用户X”）

B.加密（如对身份证号进行AES加密）

C.掩码（如隐藏银行卡号中间几位）

D.随机化（如将真实年龄随机增减5岁）

5.网络安全应急响应的主要步骤包括（）。

A.事件检测与确认

B.事件分析与定级

C.事件处置与恢复

D.事后总结与改进

三、简答题（每题8分，共40分）

1.简述“最小权限原则”的核心含义，并说明在企业信息系统中的具体实施方法。

2.列举三种常见的Web应用安全漏洞，并分别说明其危害及修复措施。

3.比较对称加密算法（如AES）与非对称加密算法（如RSA）的优缺点，并说明各自的典型应用场景。

4.简述网络安全风险评估的基本流程，并说明每个阶段的主要任务。

5.某企业计划部署无线局域网（WLAN），请从安全角度提出至少五项关键配置建议。

四、案例分析题（共25分）

背景：某企业财务部门员工王某收到一封主题为“2023年度财务报表更新通知”的邮件，发件人显示为“财务部李经理”。邮件正文称“请点击附件下载最新报表模板”，附件名为“2023财务模板.docx”。王某未核实直接打开附件，导致电脑感染勒索病毒，财务系统文件被加密，无法访问。

问题：