网络与信息安全管理员 练习卷

1开展网络安全等级保护工作时，确定保护等级主要应依据什么？

1. A. 服务器购买价格
2. B. 系统受破坏后的影响对象和损害程度
3. C. 用户口令平均长度
4. D. 机房面积

2发现主机疑似遭勒索软件感染，初步处置最合适的是？

1. A. 立即删除全部日志
2. B. 继续连接共享盘完成工作
3. C. 立即向攻击者付款
4. D. 按预案隔离受影响主机并保全证据

3分析跨设备安全日志时，统一时间同步的主要目的是什么？

1. A. 准确关联事件发生顺序
2. B. 增加日志文件颜色
3. C. 代替身份认证
4. D. 消除所有网络攻击

4处置疑似钓鱼邮件时，哪些做法正确？（多选）

1. A. 点击附件确认是否恶意
2. B. 通过已知官方渠道核实请求
3. C. 按流程向安全人员报告并保留邮件信息
4. D. 立即把账号口令回复给发件人

5SQL注入防御中参数化查询主要解决什么？

1. A. 自动加快所有查询
2. B. 代替数据库备份
3. C. 分离数据与SQL语法

6网络地址转换是否等于完整安全防护？

1. A. 等于全部攻击防御
2. B. 可替代所有加密
3. C. 不等于

7避免会话固定攻击，登录成功后宜做什么？

1. A. 永久沿用匿名阶段标识
2. B. 把标识公开到首页
3. C. 重新生成会话标识

8用于漏洞扫描的授权范围应怎样界定？

1. A. 发现一个IP就扫描全部互联网
2. B. 以个人好奇代替授权
3. C. 明确目标时段与允许操作

9RTO主要描述什么？

1. A. 最长口令字符数
2. B. 数据表字段总数
3. C. 业务恢复所允许的时间目标

10安全审计中职责分离的作用是什么？

1. A. 保证不用任何审计
2. B. 让每个人拥有全部权限
3. C. 降低单人越权与舞弊风险

11某三级系统在做等级保护整改时，运维人员对边界防火墙策略进行梳理，发现有一条“允许任意源访问数据库服务器的1433端口”的规则，正确的处置方式是

1. A. 删除该规则并仅允许应用服务器网段访问数据库1433端口
2. B. 保留该规则但将动作改为记录日志以便审计
3. C. 保留该规则并将源地址改为办公网段以方便管理
4. D. 将该规则目的端口改为数据库监听端口之外的端口

12在配置Windows服务器远程管理时，为降低口令被暴力破解的风险，较合理的做法是

1. A. 启用账户锁定阈值并限制远程桌面来源地址
2. B. 将远程桌面端口改为非3389端口并长期不更新补丁
3. C. 关闭系统审计策略以减少登录失败记录
4. D. 为管理员账户设置与用户名相同的复杂口令

13运维人员在巡检时发现入侵检测设备产生大量“同一源IP对多个目标端口进行连接”的告警，最可能对应的攻击行为是

1. A. 端口扫描
2. B. SQL注入
3. C. 弱口令登录
4. D. 网页篡改

14某单位在开展安全事件应急演练时，需要验证备份数据的可用性，正确的做法是

1. A. 在隔离环境实际恢复备份数据并验证业务可用
2. B. 仅查看备份任务的执行成功日志
3. C. 仅核对备份文件的存储容量大小
4. D. 仅确认备份服务器磁盘剩余空间充足

15某系统采用基于USB Key的数字证书进行身份认证，用户反映插入Key后仍提示证书无效，运维检查发现Key内证书由单位内部CA签发而系统只信任外部CA，最合理的处理是

1. A. 将内部CA根证书导入系统信任库后重新认证
2. B. 要求用户更换为外部CA签发的USB Key
3. C. 在系统中关闭证书链校验以便登录
4. D. 把该用户账号改为静态口令认证方式

16某运维人员在巡检时发现一台服务器上杀毒软件服务已停止，且系统日志显示有异常账户被创建，按安全事件处置规范，下一步最恰当的操作是

1. A. 立即重启服务器并重新安装杀毒软件
2. B. 断开服务器网络连接后保护现场并上报
3. C. 删除异常账户并继续观察服务器状态
4. D. 直接格式化服务器后恢复业务数据

17某单位安全管理制度要求对重要数据定期备份，运维人员将备份文件与生产数据放在同一台服务器的同一磁盘分区，该做法最主要的问题是

1. A. 备份文件会占用生产数据所在分区的空间
2. B. 备份与生产同盘同机无法应对磁盘或主机故障
3. C. 备份文件未加密可能导致数据泄露
4. D. 备份周期无法满足数据恢复点目标要求

18防火墙管理员需要放行一条从外部访问内网Web服务器的HTTPS策略，在目的地址填写了Web服务器内网IP后，最应同步确认的配置项是

1. A. 是否已配置该内网IP对应的目的NAT映射并匹配转换后地址
2. B. 是否已把该服务器加入堡垒机资产列表并开启双因子认证
3. C. 是否已在该服务器上安装主机入侵检测并启用文件监控
4. D. 是否已为该服务器申请域名证书并在负载均衡上完成卸载

19运维人员需要在生产环境部署一台新的日志采集代理，该代理需要读取应用日志目录，最符合最小权限原则的授权方式是

1. A. 为该代理创建专用账户并仅授予日志目录的读取权限
2. B. 直接使用root账户运行代理以避免权限不足报错
3. C. 把代理加入管理员组并授予应用目录读写执行权限
4. D. 将日志目录权限改为777后由代理以普通账户读取

20某企业计划把内部办公系统发布到互联网，要求外部用户仅能访问登录页，管理员在边界设备上最合理的访问控制设计是

1. A. 按目的地址和端口放行登录页所需服务并限制来源地域
2. B. 将办公系统整段内网地址直接映射到公网并开放全部端口
3. C. 仅依靠应用系统自身登录口令控制而不在边界做限制
4. D. 把办公系统与互联网出口放在同一广播域以便快速访问
5. E. 为方便排障临时关闭边界入侵防御功能并保留映射

21安全管理员在巡检时发现一台数据库服务器上存在一个长期未使用的测试账户，且该账户仍具有较高权限，最符合账号治理要求的处置是

1. A. 确认业务无依赖后禁用或删除该账户并保留变更记录
2. B. 直接保留账户但把口令改为更复杂的新口令
3. C. 把该账户移交给新入职人员继续使用以节省配置时间
4. D. 仅将该账户加入监控名单但不调整其权限

22某管理员在配置SSH远程管理时，为兼顾安全与可用性，下列参数组合中最符合最小权限原则的是

1. A. 禁用root直接登录并限定可登录用户与来源地址
2. B. 允许root直接登录但将端口改为非默认端口
3. C. 启用口令登录并关闭公钥认证以简化密钥管理
4. D. 允许所有用户从任意地址登录但强制使用长口令

23在等级保护三级系统中，安全审计记录应重点保证的特性是

1. A. 记录的完整性、可追溯性以及防止未授权删除
2. B. 审计记录仅保存在业务主机本地磁盘即可
3. C. 审计日志按周覆盖以节省存储空间
4. D. 仅记录管理员登录成功的事件以减少日志量

24某员工收到自称IT部门要求点击链接重置邮箱口令的邮件，链接域名与公司真实域名仅差一个字母，正确处置方式是

1. A. 不点击链接并通过官方渠道向IT部门核实
2. B. 点击链接后立即修改口令以防止账号被锁
3. C. 回复邮件询问发件人是否为真实IT人员
4. D. 将邮件转发给同事确认链接是否可以打开

25某运维人员在配置Windows服务器远程管理时，为符合等级保护关于身份鉴别的要求，应优先选择下列哪种远程管理方式

1. A. 启用RDP并使用本地管理员账户密码登录
2. B. 启用RDP并限制仅管理网段可访问
3. C. 启用RDP并部署基于证书的智能卡登录
4. D. 启用RDP并关闭网络级身份验证以兼容旧客户端

26在等级保护三级系统中，关于安全审计记录留存时间，下列做法符合要求的是

1. A. 审计记录留存不少于一个月
2. B. 审计记录留存不少于三个月
3. C. 审计记录留存不少于六个月
4. D. 审计记录留存不少于十二个月

27在等级保护中，关于网络架构的边界防护，下列做法符合要求的是

1. A. 重要区域与一般区域之间采用逻辑隔离即可
2. B. 关键网络设备冗余部署并划分安全区域
3. C. 所有服务器放在同一网段便于管理
4. D. 边界防火墙仅记录日志不做访问控制

28在处置服务器被入侵的安全事件时，下列哪些操作属于规范的现场保护与取证步骤（多选）

1. A. 对内存中的进程和网络连接信息进行采集
2. B. 对磁盘做镜像备份后再进行分析
3. C. 立即删除可疑文件以恢复业务
4. D. 记录当前系统时间和登录用户信息
5. E. 直接重启服务器清除可疑进程

29某员工在办公终端访问内部系统时浏览器提示证书不受信任，其点击继续访问并输入了账号口令，从身份认证安全角度看该行为的主要风险是

1. A. 可能遭遇中间人攻击导致凭据被窃取
2. B. 浏览器缓存会因此被永久写坏
3. C. 内部系统会因证书错误而拒绝服务
4. D. 终端的时间同步会被证书校验重置

30在等级保护测评中，某二级系统的机房出入口未配置电子门禁，仅由值班人员人工登记出入，测评结论应判定为

1. A. 该项不符合物理访问控制要求
2. B. 该项符合要求因有人工登记记录
3. C. 该项符合要求因二级系统无门禁要求
4. D. 该项需结合机房面积再判定是否符合

31安全管理员拟对内部用户访问互联网行为进行管控，要求既能识别应用类型又能对加密流量做一定分析，应优先选择的设备类型是

1. A. 下一代防火墙并启用应用识别与解密策略
2. B. 传统包过滤防火墙并配置端口封禁规则
3. C. 入侵检测系统并设置为旁路镜像部署
4. D. 负载均衡设备并开启会话保持功能

32某企业已完成等级保护三级备案，现拟对核心业务系统开展等级测评，按规范流程应在测评前完成的工作是

1. A. 由系统运维人员自行完成整改并出具合规声明
2. B. 委托测评机构先做差距分析再确定测评范围
3. C. 向公安机关提交测评报告后再安排现场测评
4. D. 先关闭不必要的服务端口再通知测评机构进场

33安全事件处置中，管理员在服务器上发现可疑进程外联境外IP，正确的第一步处置是

1. A. 立即重启服务器以清除可疑进程
2. B. 直接删除可疑进程对应文件并上报
3. C. 隔离主机并保留现场证据后上报
4. D. 修改防火墙阻断该IP后继续观察

34某单位发生勒索软件事件，以下处置措施中符合安全事件处置规范的有（多选）

1. A. 断开受感染主机网络连接并保持内存现场
2. B. 对已加密文件立即用备份进行覆盖恢复
3. C. 记录事件时间线并保存日志与样本信息
4. D. 在未确认清除前将主机重新接入生产网
5. E. 按预案向主管部门和公安机关报告

35某员工反映登录业务系统时提示证书已过期，作为管理员首先应当核实的是

1. A. 服务器证书的有效期与系统时间是否一致
2. B. 该员工账号是否被加入了管理员组
3. C. 业务系统的数据库连接池是否耗尽
4. D. 机房核心交换机的端口是否出现环路

36某系统采用口令加短信验证码双因素认证，攻击者通过补办手机卡劫持了验证码，这说明该方案在哪个环节存在薄弱点

1. A. 短信验证码依赖运营商身份核验，属于带外信道信任风险
2. B. 口令复杂度策略设置过低导致可被暴力破解
3. C. 会话令牌未设置HttpOnly属性导致被脚本读取
4. D. 登录接口未限制请求频率导致可被撞库

37某Web服务器日志显示大量来自不同IP的同一账号登录失败记录，间隔均匀且失败后无成功登录，最可能的攻击行为是

1. A. 分布式撞库或口令喷洒攻击
2. B. 针对该服务器的DDoS流量攻击
3. C. 利用SQL注入读取数据库
4. D. 通过ARP欺骗劫持网关

38某三级系统发生安全事件后，运维人员在处置过程中应当同步开展的工作包括（多选）

1. A. 对受影响主机进行隔离并保护现场证据
2. B. 按预案向上级和监管部门报告事件情况
3. C. 在未确认原因前对全量业务系统进行重启
4. D. 记录处置时间线与关键操作形成事件报告
5. E. 将涉事账号口令改为默认口令便于恢复

39某系统采用口令认证，管理员按规范设置口令策略，下列口令策略配置能有效抵抗在线暴力破解的是

1. A. 口令最小长度8位且90天更换一次
2. B. 口令锁定阈值为5次失败后锁定30分钟
3. C. 口令必须包含用户名且区分大小写
4. D. 口令允许重复使用最近3次历史口令

40某三级系统完成等级测评后，测评机构指出安全计算环境层面存在高风险项，整改时应优先处理的是

1. A. 操作系统未安装最新补丁但已启用主机防火墙
2. B. 数据库账户权限过大且存在空口令账户
3. C. 机房未配置门禁但已部署视频监控
4. D. 网络设备日志未集中存储但本地留存6个月

41安全运维中发现某服务器CPU占用异常升高且对外连接数激增，登录后看到大量可疑进程，下列取证操作顺序正确的是

1. A. 先删除可疑进程再导出系统日志
2. B. 先保存内存镜像和进程列表再处置
3. C. 先格式化系统盘再重装操作系统
4. D. 先关闭服务器电源再拆取硬盘取证

42某单位开展安全事件应急响应，针对一起网页篡改事件，下列处置措施中符合规范的有（多选）

1. A. 第一时间对受影响页面做快照和日志留存
2. B. 根据事件级别启动相应应急预案并上报
3. C. 直接删除被篡改文件后立即恢复业务访问
4. D. 排查同网段其他主机是否存在相同入侵痕迹
5. E. 在未确认根因前将系统重新接入生产网络

43防火墙部署在内外网边界时，最应优先配置的规则策略是

1. A. 默认拒绝所有流量再按需放行
2. B. 默认允许所有流量再按需阻断
3. C. 仅阻断已知恶意IP地址列表
4. D. 仅放行HTTP与HTTPS两种协议

44某员工收到短信称其账号异常需点击链接验证，点击后页面要求输入动态口令，正确判断是

1. A. 这是钓鱼攻击应停止输入并报告
2. B. 这是正常的账号安全验证流程
3. C. 这是运营商发送的实名认证通知
4. D. 这是系统升级后的新登录入口

45在等级保护三级系统测评中，关于安全审计记录保存时间，符合要求的是

1. A. 审计记录应保存不少于六个月
2. B. 审计记录保存一周即可
3. C. 审计记录只需保存当天
4. D. 审计记录保存时间无要求

46某三级系统发生安全事件，处置小组在事件抑制阶段可采取的正确措施包括（多选）

1. A. 断开受感染主机网络连接
2. B. 修改受影响账号的口令
3. C. 对关键日志进行备份留存
4. D. 立即对外公布事件全部细节
5. E. 直接删除所有可疑文件不记录

47运维人员在边界防火墙上为方便远程维护，临时开放了内网主机的远程桌面端口到互联网，维护结束后正确的处置是

1. A. 保留该策略并改为仅允许原维护IP访问
2. B. 立即删除该临时策略并核查期间访问日志
3. C. 保留该策略但将端口号更换为非常用端口
4. D. 删除该策略并同步关闭主机系统防火墙

48主机安全巡检发现某账户的登录Shell被设置为可交互Shell且该账户属于服务专用账户，合理的整改操作是

1. A. 将登录Shell改为不可登录并核查该账户使用记录
2. B. 直接删除该账户并重建同名的普通用户
3. C. 为该账户设置更长的复杂口令后保留Shell
4. D. 将该账户加入管理员组以便统一审计

49运维人员在配置VPN接入时，要求总部与分支机构之间建立加密隧道并验证对端身份，应优先选用的协议组合是

1. A. 使用明文隧道协议并依赖应用层加密
2. B. 使用IPsec的ESP加密并启用对端证书认证
3. C. 使用端口转发工具映射内网远程桌面端口
4. D. 使用未加密的隧道并仅靠口令认证对端

50某企业发生疑似数据泄露事件，处置小组在遏制阶段可采取的规范操作包括（多选）

1. A. 对涉事主机进行网络隔离并保留现场
2. B. 重置涉事账户口令并核查权限配置
3. C. 立即对外发布事件完整细节以安抚用户
4. D. 封禁确认恶意的外联IP地址
5. E. 关闭全部安全设备日志以减少存储占用

51安全事件处置中，运维人员发现某服务器疑似被植入webshell，在保留证据环节优先应当做的是

1. A. 立即重启服务器以清除可疑进程
2. B. 对内存、日志和可疑文件做镜像或备份固定
3. C. 直接删除可疑文件并恢复业务
4. D. 先修改服务器管理员口令再排查

52某单位发生勒索软件事件后，管理员在隔离受感染主机时，正确的网络处置操作是

1. A. 在交换机上关闭该主机所连端口或将其划入隔离VLAN
2. B. 直接拔掉主机电源以阻止加密扩散
3. C. 仅在该主机上禁用网卡驱动后继续联网排查
4. D. 把该主机IP改为静态地址以免被攻击

53某管理员在防火墙上做NAT映射，把内网Web服务器的管理端口也一并映射到公网，从边界防护角度看，正确的处置是

1. A. 只映射业务必需端口，管理端口通过VPN或堡垒机访问
2. B. 把管理端口改为非常用端口后再映射到公网
3. C. 对管理端口映射加口令认证后继续开放到公网
4. D. 限制管理端口映射的并发连接数后开放到公网

54某单位需对三级信息系统开展等级保护测评，运维人员在整理测评材料时发现部分安全通用要求的证明材料缺失，以下做法中符合规范的是

1. A. 先出具测评结论，后续补充缺失材料
2. B. 暂停测评，待材料补齐后再继续实施
3. C. 用同类型系统的材料复制后直接归档
4. D. 由测评人员根据经验现场判断后记录

55安全事件处置中，运维人员发现某主机对外发起大量异常连接，正确的第一处置动作是

1. A. 立即格式化该主机硬盘后重装系统
2. B. 先断网隔离再保留现场进行取证分析
3. C. 直接删除可疑进程后继续观察
4. D. 重启该主机看异常是否消失

56运维人员需要在生产网络中部署一台新服务器，为减少暴露面，在接入网络前最应完成的操作是

1. A. 先接入网络再逐步关闭不需要的服务
2. B. 关闭不必要的端口和服务并更新补丁
3. C. 仅修改服务器主机名后直接上线
4. D. 安装杀毒软件后保持默认配置上线

57入侵检测系统产生大量告警，其中一类告警反复出现但经核实为正常业务行为，运维人员最合理的处理方式是

1. A. 关闭入侵检测系统以消除告警
2. B. 直接删除该类告警的日志记录
3. C. 在规则中增加白名单并持续观察
4. D. 忽略所有同类告警不再处理

58防火墙管理员准备放行一条从互联网到内网Web服务器的入站规则，按最小权限原则应优先将目的地址限定为

1. A. 该Web服务器的业务IP地址
2. B. 该Web服务器所在网段地址
3. C. 该Web服务器所连交换机地址
4. D. 该Web服务器所在VLAN网关地址

59某Web应用在登录接口未限制失败次数，攻击者可持续尝试口令，为降低这类风险，应用层最直接有效的加固措施是

1. A. 对同一账号连续失败登录实施锁定或延迟
2. B. 对登录页面启用HTTPS加密传输
3. C. 对登录请求增加图形验证码展示
4. D. 对登录成功后的会话设置超时时间

60某公司网站被篡改，应急人员到达现场后，为保留可追溯证据，对受感染服务器最规范的第一步操作是

1. A. 对内存和磁盘做镜像并记录现场状态
2. B. 立即重装操作系统恢复网站页面
3. C. 先删除可疑木马文件再重启服务
4. D. 先断开电源拔掉硬盘送修检测

61某二级系统运维人员为方便远程维护，在防火墙上长期开放3389端口到互联网，仅修改了默认端口号，该做法的主要风险是

1. A. 远程桌面服务仍暴露且易被爆破入侵
2. B. 修改端口会导致系统无法正常启动
3. C. 开放端口会影响内网DNS解析速度
4. D. 远程维护会显著增加磁盘读写负担

62某员工在内部办公终端上收到一封声称来自IT部门的邮件,要求点击链接重新激活邮箱账号,链接域名与公司真实域名仅相差一个字母,该员工最恰当的处置方式是

1. A. 不点击链接,通过官方渠道向IT部门电话核实邮件真伪
2. B. 先点击链接查看页面内容,确认是否为钓鱼网站再上报
3. C. 回复该邮件询问发件人具体部门与工号信息
4. D. 将邮件转发给同事请其帮忙判断链接是否安全

63某系统采用基于角色的访问控制,管理员为方便临时让新员工同时拥有'财务录入'与'财务审核'两个角色,该做法违反的核心安全原则是

1. A. 职责分离原则,录入与审核不应由同一人兼任
2. B. 最小权限原则,新员工不应获得任何角色
3. C. 特权账号管理原则,临时权限须由上级审批
4. D. 数据分类分级原则,财务数据须标记密级

64管理员在对Web服务器进行安全加固时,将网站目录权限设置为Web服务账户可读可执行、其他账户无任何权限,但应用仍需要向指定上传目录写入文件,正确的权限配置思路是

1. A. 仅对上传目录授予Web账户写权限,其余目录保持只读
2. B. 对整个网站目录授予Web账户读写权限以便上传
3. C. 将上传目录权限设为所有人可写以避免权限冲突
4. D. 把Web服务账户加入管理员组以简化权限配置

65某单位开展安全事件应急演练,模拟核心交换机故障导致业务中断,下列处置环节中符合应急响应规范的有（多选）

1. A. 先确认故障影响范围并启动相应级别应急预案
2. B. 在处置同时指定专人记录时间线与操作内容
3. C. 故障恢复后组织复盘并修订应急预案中暴露的缺陷
4. D. 为尽快恢复业务直接重启全部网络设备不做记录
5. E. 由最先发现故障的值班人员独立完成全部处置

66某员工反映登录VPN后无法访问内网财务系统，但能访问OA，管理员核查发现VPN地址池与财务网段之间缺少放通策略，这属于哪一环节的配置缺失

1. A. 身份认证策略
2. B. 边界访问控制策略
3. C. 主机安全加固策略
4. D. 数据备份策略

67运维人员在巡检时发现堡垒机上有大量失败登录记录，来源为单一内网IP且用户名遍历字典，正确的下一步处置是

1. A. 封禁该IP并核查对应主机是否失陷
2. B. 仅重置被尝试账号的口令
3. C. 关闭堡垒机的审计日志功能
4. D. 把该IP加入白名单继续观察

68在等级保护第三级要求中，关于安全审计记录的留存时间，通常应满足不少于多长时间

1. A. 一个月
2. B. 三个月
3. C. 六个月
4. D. 十二个月

69某企业按等级保护要求对第三级系统开展测评，运维人员在整理边界设备配置时，发现防火墙会话表中存在大量来自同一外网IP的短连接，下一步最应优先核查的是

1. A. 该IP是否属于已知扫描器的特征库记录
2. B. 防火墙会话老化时间是否设置过长
3. C. 内网服务器是否开启了不必要的端口
4. D. 边界路由是否启用了源地址校验

70安全管理员收到告警：某内网主机在凌晨向境外IP持续发送DNS查询且域名随机，最恰当的初步处置是

1. A. 立即在边界封禁该境外IP并观察
2. B. 先对该主机做流量留存再隔离主机
3. C. 重启该主机的DNS客户端服务
4. D. 将该主机DNS指向改为内部递归服务器

71安全事件处置中，分析人员发现某主机存在异常外联但杀毒软件未告警，最应优先采集的易失性证据是

1. A. 主机磁盘镜像文件
2. B. 内存中的进程与网络连接信息
3. C. 系统近30天的安全日志
4. D. 主机所在网段的交换机配置

72某单位对重要业务系统做安全加固，要求补丁管理流程可审计，符合规范的做法是

1. A. 在生产环境直接安装最新补丁并观察
2. B. 先在测试环境验证补丁再按窗口灰度上线
3. C. 由运维人员凭经验选择性安装补丁
4. D. 关闭自动更新并由厂商远程推送补丁

73安全管理员在核查账户口令策略时发现部分系统仍允许空口令登录，按身份认证管理要求应优先处置的是

1. A. 强制所有账户启用口令复杂度策略
2. B. 对空口令账户立即禁用或改密
3. C. 把登录方式改为仅支持证书认证
4. D. 将所有账户口令有效期缩短为30天

74运维人员接到告警称某主机向外网发起大量DNS查询，经查该主机安装了未经审批的挖矿程序，按安全事件处置流程首先应做的是

1. A. 立即重装该主机操作系统
2. B. 断开该主机网络并保留现场
3. C. 直接删除挖矿程序文件
4. D. 通知业务方自行清理

75某单位准备将日志服务器接入网络安全设备，要求日志留存满足审计追溯需要，运维人员配置时最应关注的是

1. A. 日志存储介质的读写速度
2. B. 日志时间同步与完整性保护
3. C. 日志文件的压缩比例
4. D. 日志界面的颜色区分

76某企业已完成等保三级测评，测评报告中提出“应配置双因素认证”，运维人员计划在堡垒机登录环节落实该要求，以下做法最符合规范的是

1. A. 静态口令加手机短信验证码后登录堡垒机
2. B. 静态口令加浏览器保存的登录密码自动填充
3. C. 静态口令加同机部署的口令管理器自动填充
4. D. 静态口令加同域控下另一台主机的同名账号口令

77某单位在等级保护测评中被告知“应保证网络各个部分的带宽满足业务高峰期需要”，从运维角度落实该项要求最恰当的做法是

1. A. 对关键链路做流量基线采集并按高峰期利用率规划扩容阈值
2. B. 为所有交换机端口统一限速为同一数值以均衡带宽使用
3. C. 在核心交换机上开启广播风暴抑制以降低带宽占用
4. D. 将服务器网卡全部由千兆更换为万兆以提升链路容量

78运维人员为满足等保对“重要数据本地备份”的要求，在数据库服务器本地磁盘创建了每日全量备份，评审时被认为存在明显不足，主要原因是

1. A. 备份与源数据同主机存放无法应对主机级故障与勒索加密
2. B. 每日全量备份占用空间过大导致备份窗口超出业务空闲时段
3. C. 本地磁盘备份未启用压缩与去重导致存储成本高于异地备份
4. D. 全量备份恢复时间过长不满足业务对恢复点目标的严格要求

79某主机被确认为已感染勒索软件，运维人员在处置时对已加密的重要文件采取了“先解密再恢复”的思路，该思路不可行的根本原因是

1. A. 现代勒索软件加密密钥仅存于攻击者侧本地无法自行推导
2. B. 加密文件已被覆盖写入导致原始数据块被彻底擦除
3. C. 操作系统还原点会随加密动作同步更新使还原失效
4. D. 文件系统日志会记录加密过程从而阻止解密操作执行

80某运维人员需在等级保护三级系统中新增一台对外提供Web服务的服务器，按规范最先应完成的工作是

1. A. 完成安全区域边界访问控制策略配置并留存记录
2. B. 将服务器直接接入核心交换机并开放80端口
3. C. 先部署杀毒软件再申请互联网出口映射
4. D. 在服务器上启用远程桌面便于后续维护

81安全管理员在巡检时发现IDS告警显示内网主机向境外IP持续发起DNS查询，正确的下一步操作是

1. A. 立即断开该主机网线并封禁境外IP段
2. B. 先抓取主机进程与DNS日志确认是否为恶意行为
3. C. 通知用户在主机上安装杀毒软件后继续观察
4. D. 调整IDS策略将该类告警降级以减少误报

82某系统采用双因子认证，用户输入密码后又收到短信验证码，但短信验证码可被同一手机号重复使用多次，该缺陷属于

1. A. 第二因子未实现一次性使用要求
2. B. 第一因子密码复杂度不足
3. C. 双因子认证未启用加密通道
4. D. 短信通道未做号码白名单限制

83运维人员在内网发现一台未登记资产开放了3389端口，正确的处置流程是

1. A. 先确认资产归属与业务用途再决定是否封禁
2. B. 直接封禁3389端口并上报安全事件
3. C. 将该主机加入黑名单并断开交换机端口
4. D. 在防火墙上全局禁止3389端口访问

84某单位需对三级信息系统开展等级保护测评，按照定级备案流程，在完成自主定级后应首先进行哪项工作

1. A. 组织专家评审并报公安机关备案
2. B. 委托测评机构开展差距测评
3. C. 采购安全产品完成整改建设
4. D. 向工信部门提交定级报告审核

85管理员配置访问控制策略时，将某业务系统对外的默认规则设为允许，再对已知危险源逐个添加拒绝规则，这种做法存在的主要风险是

1. A. 未覆盖的新型威胁可能被默认放行
2. B. 拒绝规则过多导致设备性能下降
3. C. 允许规则与拒绝规则会产生冲突告警
4. D. 日志中无法记录被拒绝的连接行为

86某单位在防火墙上对内部服务器做端口映射时，将管理端口22直接映射到公网并设置弱口令，从边界防护角度该配置最应优先整改的是

1. A. 取消公网映射改为堡垒机跳转访问
2. B. 将口令长度增加到十二位以上
3. C. 把映射端口由22改为其他端口
4. D. 为该服务器单独增加一条审计规则

87运维人员在处理安全告警时，对一条来源不明的高危告警未经核实直接标记为误报关闭，该操作违反的安全运营原则是

1. A. 告警应经研判确认后再做闭环处理
2. B. 高危告警必须当天升级到管理层
3. C. 所有告警均需提交外部机构协查
4. D. 关闭告警前必须重启相关业务系统

88防火墙管理员发现一条“允许任意源访问内网数据库端口”的规则长期存在，但业务系统并未使用该端口，规范处置该规则的第一步应是

1. A. 先确认该规则近期命中日志和业务依赖再决定处置
2. B. 立即删除该规则并在变更系统补录工单
3. C. 将该规则目的地址改为内网网段后继续保留
4. D. 把该规则移动到规则列表最底部并保持启用

89安全管理员在巡检时发现一台服务器杀毒软件病毒库已三个月未更新，但系统补丁为最新，正确的风险判断是

1. A. 补丁最新不能替代病毒库更新，仍存在恶意代码检测失效风险
2. B. 补丁已最新说明系统无漏洞，病毒库滞后不影响安全
3. C. 病毒库滞后只影响扫描速度，不影响查杀效果
4. D. 服务器未联网故病毒库无需更新，可维持现状

90某三级系统需在互联网侧提供Web服务，按等级保护要求，最应部署在互联网边界与Web服务器之间的防护措施是

1. A. Web应用防火墙并配置针对应用层攻击的防护策略
2. B. 主机入侵检测系统并仅开启端口扫描告警
3. C. 数据库审计系统并仅记录查询语句
4. D. 漏洞扫描系统并设置每日定时全量扫描

91某单位发生勒索软件事件，部分终端文件被加密，处置人员下一步最恰当的操作是

1. A. 隔离受感染终端并保护现场，再评估备份可用性
2. B. 立即格式化受感染终端并重装操作系统
3. C. 先支付赎金获取解密工具以恢复业务
4. D. 先重启全部终端观察是否恢复正常

92运维人员在防火墙上配置访问控制策略时，为便于日后排查问题，通常应在每条规则后添加的最关键要素是

1. A. 规则的命中计数
2. B. 规则的功能描述
3. C. 规则的生效时间段
4. D. 规则的优先级序号

93运维人员配置SSH远程管理服务器时，为降低被暴力破解风险，除修改默认端口外最应同时采取的措施是

1. A. 启用密钥认证并禁用口令登录
2. B. 启用root直接远程登录
3. C. 允许空口令账户登录
4. D. 关闭登录失败日志记录

94安全事件应急处置流程中，在完成事件遏制后、恢复业务前，必须进行的环节是

1. A. 立即删除所有日志
2. B. 取证与根因分析
3. C. 直接重启全部设备
4. D. 通知媒体发布声明

95某企业信息系统定级为三级，在等级保护测评中发现审计记录仅保存在本地磁盘且未设置留存期限，按等级保护要求应优先整改为

1. A. 将审计记录定期备份到同一主机另一分区
2. B. 将审计记录集中采集到日志服务器并设置留存不少于六个月
3. C. 将审计记录压缩后覆盖写入原文件节省空间
4. D. 将审计记录导出到管理员个人移动硬盘保管

96安全设备产生大量告警，值班人员对每一条告警都逐一深挖溯源，导致高危事件被淹没，按安全事件处置规范应先做的是

1. A. 对告警按资产重要性和威胁类型分级并优先处置高危
2. B. 关闭低危告警的采集以降低告警总量
3. C. 把全部告警转为工单交由业务部门逐条确认
4. D. 将告警留存期缩短到一天以减少检索范围

97某单位计划对重要业务系统开展等级保护测评，在确定测评对象时正确的做法是

1. A. 仅测评边界防火墙和入侵检测设备
2. B. 按定级对象覆盖主机、网络、应用与数据等层面
3. C. 只测评对外提供服务的Web应用系统
4. D. 只测评最近一年内发生过安全事件的部分

98某单位将等级保护三级系统的重要审计日志仅保存在业务服务器本地，且服务器磁盘空间不足时会自动覆盖最早日志，最应优先整改的是

1. A. 扩大业务服务器本地磁盘容量避免覆盖
2. B. 将审计日志实时转存到独立日志服务器并设置留存期限
3. C. 把日志覆盖周期从一周调整为一个月
4. D. 为业务服务器增加磁盘阵列提高写入速度

99某单位按等级保护要求对三级系统开展定级备案后，下一步应优先完成的工作是

1. A. 组织专家对系统进行等级测评并出具报告
2. B. 在公安机关办理备案手续并取得备案证明
3. C. 自行开展安全建设整改并上线运行
4. D. 委托第三方开展风险评估并公示结果

100在基于令牌的身份认证系统中，为防止令牌被窃取后长期冒用，最有效的设计措施是

1. A. 缩短令牌有效期并配合刷新令牌机制
2. B. 将令牌明文存储在客户端本地缓存
3. C. 使用固定密钥对令牌进行对称加密
4. D. 在令牌中仅存放用户名不设过期时间