2025年网络安全管理师资格考试模拟试卷及答案.docxVIP

2025年网络安全管理师资格考试模拟试卷及答案

一、单项选择题（每题1分，共20题，合计20分）

1.依据《网络安全法》及《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当在网络安全等级保护制度的基础上，履行特别保护义务。以下哪项不属于特别保护义务的核心要求？

A.明确安全责任人和安全管理机构

B.定期开展网络安全检测评估

C.优先采购国产网络安全产品

D.制定并实施网络安全事件应急预案

答案：C

解析：特别保护义务强调责任落实、检测评估、应急响应等，不强制要求“优先采购国产产品”，而是遵循安全可控原则。

2.某企业拟实施零信任架构改造，其核心设计原则不包括以下哪项？

A.持续验证访问请求的身份、设备、环境安全状态

B.基于最小权限动态分配资源访问权限

C.所有流量必须经过中心网关进行认证和授权

D.打破传统网络边界，采用“永不信任、始终验证”策略

答案：C

解析：零信任架构强调“动态访问控制”而非“中心网关强制流量绕行”，现代零信任更支持分布式验证。

3.依据《数据安全法》，数据处理者应当按照数据分类分级保护制度，对数据实行分类分级管理。以下关于数据分类分级的描述中，错误的是？

A.分类侧重数据的业务属性（如用户数据、业务数据），分级侧重数据的敏感程度（如一般、重要、核心）

B.核心数据的处理活动需向省级数据安全监管部门备案

C.数据分类分级应结合行业特点和企业实际业务需求

D.重要数据的出境需通过安全评估或签订标准合同

答案：B

解析：核心数据的处理活动需向国家数据安全监管部门（如国家网信部门）备案，而非省级。

4.某金融机构发现其支付系统日志中存在异常高频的账户查询请求，源IP地址为境外某服务器。经分析，该请求未携带有效会话令牌，但通过伪造用户UA头绕过了部分WAF规则。此类攻击最可能属于？

A.SQL注入攻击

B.CSRF跨站请求伪造

C.API无认证访问攻击

D.DDoS分布式拒绝服务攻击

答案：C

解析：API接口未严格校验认证令牌（如JWT、APIKey），攻击者通过伪造请求头绕过简单防护，符合API无认证访问特征。

5.依据《个人信息保护法》，个人信息处理者因业务需要向境外提供个人信息时，以下哪项是必须履行的义务？

A.取得个人单独同意

B.完成数据出境安全评估

C.删除个人信息中的生物识别特征

D.向用户提供境外接收方的详细商业合同

答案：A

解析：向境外提供个人信息需取得个人“单独同意”（而非普通同意）；安全评估仅适用于关键信息基础设施运营者或处理100万人以上个人信息的情况。

6.某企业部署了基于行为分析的异常检测系统（UEBA），其核心技术不包括以下哪项？

A.用户历史行为基线建模

B.机器学习算法（如随机森林、神经网络）

C.流量镜像采集与深度包解析

D.静态代码漏洞扫描

答案：D

解析：UEBA关注用户/实体行为异常，静态代码扫描属于应用安全检测技术，与行为分析无关。

7.在风险管理中，“残余风险”是指？

A.已识别但未采取控制措施的风险

B.采取控制措施后仍留存的风险

C.未被识别的潜在风险

D.因控制措施失效导致的新增风险

答案：B

解析：残余风险是控制措施实施后剩余的风险，需持续监控。

8.某单位网络中，办公终端通过AD域控进行集中认证，同时部署了802.1X协议进行接入控制。若终端未安装指定的防病毒软件，域控将拒绝其登录。这种组合控制属于？

A.物理访问控制

B.逻辑访问控制+技术访问控制

C.管理访问控制+物理访问控制

D.行政访问控制+逻辑访问控制

答案：B

解析：AD域控（逻辑认证）+802.1X（网络接入技术控制）+防病毒软件检查（技术合规性检查），属于逻辑与技术控制结合。

9.依据《网络安全等级保护基本要求》（GB/T22239-2019），三级信息系统的“安全通信网络”要求中，以下哪项是必须实现的？

A.网络设备支持热插拔冗余

B.重要通信链路实现双向身份认证

C.全网部署入侵防御系统（IPS）

D.定期对网络带宽使用情况进行统计分析

答案：B

解析：三级系统要求“重要通信链路采用密码技术进行双向身份认证”（见1.3.2通信传输部分）。

10.某企业云平台发生数据泄露事件，经调查发现是由于对象存储（OSS）Bucket未设置访问权限，导致匿名用户可直接下载数据。此类漏洞属于？

A.配置错误（Misconfigurati