网络与信息安全管理员 练习卷

1开展网络安全等级保护工作时，确定保护等级主要应依据什么？

1. A. 服务器购买价格
2. B. 系统受破坏后的影响对象和损害程度
3. C. 用户口令平均长度
4. D. 机房面积

2分析跨设备安全日志时，统一时间同步的主要目的是什么？

1. A. 准确关联事件发生顺序
2. B. 增加日志文件颜色
3. C. 代替身份认证
4. D. 消除所有网络攻击

3SQL注入防御中参数化查询主要解决什么？

1. A. 自动加快所有查询
2. B. 代替数据库备份
3. C. 分离数据与SQL语法

4避免会话固定攻击，登录成功后宜做什么？

1. A. 永久沿用匿名阶段标识
2. B. 把标识公开到首页
3. C. 重新生成会话标识

5RTO主要描述什么？

1. A. 最长口令字符数
2. B. 数据表字段总数
3. C. 业务恢复所允许的时间目标

6某三级系统在做等级保护整改时，运维人员对边界防火墙策略进行梳理，发现有一条“允许任意源访问数据库服务器的1433端口”的规则，正确的处置方式是

1. A. 删除该规则并仅允许应用服务器网段访问数据库1433端口
2. B. 保留该规则但将动作改为记录日志以便审计
3. C. 保留该规则并将源地址改为办公网段以方便管理
4. D. 将该规则目的端口改为数据库监听端口之外的端口

7运维人员在巡检时发现入侵检测设备产生大量“同一源IP对多个目标端口进行连接”的告警，最可能对应的攻击行为是

1. A. 端口扫描
2. B. SQL注入
3. C. 弱口令登录
4. D. 网页篡改

8某系统采用基于USB Key的数字证书进行身份认证，用户反映插入Key后仍提示证书无效，运维检查发现Key内证书由单位内部CA签发而系统只信任外部CA，最合理的处理是

1. A. 将内部CA根证书导入系统信任库后重新认证
2. B. 要求用户更换为外部CA签发的USB Key
3. C. 在系统中关闭证书链校验以便登录
4. D. 把该用户账号改为静态口令认证方式

9某单位安全管理制度要求对重要数据定期备份，运维人员将备份文件与生产数据放在同一台服务器的同一磁盘分区，该做法最主要的问题是

1. A. 备份文件会占用生产数据所在分区的空间
2. B. 备份与生产同盘同机无法应对磁盘或主机故障
3. C. 备份文件未加密可能导致数据泄露
4. D. 备份周期无法满足数据恢复点目标要求

10运维人员需要在生产环境部署一台新的日志采集代理，该代理需要读取应用日志目录，最符合最小权限原则的授权方式是

1. A. 为该代理创建专用账户并仅授予日志目录的读取权限
2. B. 直接使用root账户运行代理以避免权限不足报错
3. C. 把代理加入管理员组并授予应用目录读写执行权限
4. D. 将日志目录权限改为777后由代理以普通账户读取

11安全管理员在巡检时发现一台数据库服务器上存在一个长期未使用的测试账户，且该账户仍具有较高权限，最符合账号治理要求的处置是

1. A. 确认业务无依赖后禁用或删除该账户并保留变更记录
2. B. 直接保留账户但把口令改为更复杂的新口令
3. C. 把该账户移交给新入职人员继续使用以节省配置时间
4. D. 仅将该账户加入监控名单但不调整其权限

12在等级保护三级系统中，安全审计记录应重点保证的特性是

1. A. 记录的完整性、可追溯性以及防止未授权删除
2. B. 审计记录仅保存在业务主机本地磁盘即可
3. C. 审计日志按周覆盖以节省存储空间
4. D. 仅记录管理员登录成功的事件以减少日志量

13某运维人员在配置Windows服务器远程管理时，为符合等级保护关于身份鉴别的要求，应优先选择下列哪种远程管理方式

1. A. 启用RDP并使用本地管理员账户密码登录
2. B. 启用RDP并限制仅管理网段可访问
3. C. 启用RDP并部署基于证书的智能卡登录
4. D. 启用RDP并关闭网络级身份验证以兼容旧客户端

14在等级保护中，关于网络架构的边界防护，下列做法符合要求的是

1. A. 重要区域与一般区域之间采用逻辑隔离即可
2. B. 关键网络设备冗余部署并划分安全区域
3. C. 所有服务器放在同一网段便于管理
4. D. 边界防火墙仅记录日志不做访问控制

15某员工在办公终端访问内部系统时浏览器提示证书不受信任，其点击继续访问并输入了账号口令，从身份认证安全角度看该行为的主要风险是

1. A. 可能遭遇中间人攻击导致凭据被窃取
2. B. 浏览器缓存会因此被永久写坏
3. C. 内部系统会因证书错误而拒绝服务
4. D. 终端的时间同步会被证书校验重置

16安全管理员拟对内部用户访问互联网行为进行管控，要求既能识别应用类型又能对加密流量做一定分析，应优先选择的设备类型是

1. A. 下一代防火墙并启用应用识别与解密策略
2. B. 传统包过滤防火墙并配置端口封禁规则
3. C. 入侵检测系统并设置为旁路镜像部署
4. D. 负载均衡设备并开启会话保持功能

17安全事件处置中，管理员在服务器上发现可疑进程外联境外IP，正确的第一步处置是

1. A. 立即重启服务器以清除可疑进程
2. B. 直接删除可疑进程对应文件并上报
3. C. 隔离主机并保留现场证据后上报
4. D. 修改防火墙阻断该IP后继续观察

18某员工反映登录业务系统时提示证书已过期，作为管理员首先应当核实的是

1. A. 服务器证书的有效期与系统时间是否一致
2. B. 该员工账号是否被加入了管理员组
3. C. 业务系统的数据库连接池是否耗尽
4. D. 机房核心交换机的端口是否出现环路

19某Web服务器日志显示大量来自不同IP的同一账号登录失败记录，间隔均匀且失败后无成功登录，最可能的攻击行为是

1. A. 分布式撞库或口令喷洒攻击
2. B. 针对该服务器的DDoS流量攻击
3. C. 利用SQL注入读取数据库
4. D. 通过ARP欺骗劫持网关

20某系统采用口令认证，管理员按规范设置口令策略，下列口令策略配置能有效抵抗在线暴力破解的是

1. A. 口令最小长度8位且90天更换一次
2. B. 口令锁定阈值为5次失败后锁定30分钟
3. C. 口令必须包含用户名且区分大小写
4. D. 口令允许重复使用最近3次历史口令

21安全运维中发现某服务器CPU占用异常升高且对外连接数激增，登录后看到大量可疑进程，下列取证操作顺序正确的是

1. A. 先删除可疑进程再导出系统日志
2. B. 先保存内存镜像和进程列表再处置
3. C. 先格式化系统盘再重装操作系统
4. D. 先关闭服务器电源再拆取硬盘取证

22防火墙部署在内外网边界时，最应优先配置的规则策略是

1. A. 默认拒绝所有流量再按需放行
2. B. 默认允许所有流量再按需阻断
3. C. 仅阻断已知恶意IP地址列表
4. D. 仅放行HTTP与HTTPS两种协议

23在等级保护三级系统测评中，关于安全审计记录保存时间，符合要求的是

1. A. 审计记录应保存不少于六个月
2. B. 审计记录保存一周即可
3. C. 审计记录只需保存当天
4. D. 审计记录保存时间无要求

24运维人员在边界防火墙上为方便远程维护，临时开放了内网主机的远程桌面端口到互联网，维护结束后正确的处置是

1. A. 保留该策略并改为仅允许原维护IP访问
2. B. 立即删除该临时策略并核查期间访问日志
3. C. 保留该策略但将端口号更换为非常用端口
4. D. 删除该策略并同步关闭主机系统防火墙

25运维人员在配置VPN接入时，要求总部与分支机构之间建立加密隧道并验证对端身份，应优先选用的协议组合是

1. A. 使用明文隧道协议并依赖应用层加密
2. B. 使用IPsec的ESP加密并启用对端证书认证
3. C. 使用端口转发工具映射内网远程桌面端口
4. D. 使用未加密的隧道并仅靠口令认证对端

26安全事件处置中，运维人员发现某服务器疑似被植入webshell，在保留证据环节优先应当做的是

1. A. 立即重启服务器以清除可疑进程
2. B. 对内存、日志和可疑文件做镜像或备份固定
3. C. 直接删除可疑文件并恢复业务
4. D. 先修改服务器管理员口令再排查

27某管理员在防火墙上做NAT映射，把内网Web服务器的管理端口也一并映射到公网，从边界防护角度看，正确的处置是

1. A. 只映射业务必需端口，管理端口通过VPN或堡垒机访问
2. B. 把管理端口改为非常用端口后再映射到公网
3. C. 对管理端口映射加口令认证后继续开放到公网
4. D. 限制管理端口映射的并发连接数后开放到公网

28安全事件处置中，运维人员发现某主机对外发起大量异常连接，正确的第一处置动作是

1. A. 立即格式化该主机硬盘后重装系统
2. B. 先断网隔离再保留现场进行取证分析
3. C. 直接删除可疑进程后继续观察
4. D. 重启该主机看异常是否消失

29入侵检测系统产生大量告警，其中一类告警反复出现但经核实为正常业务行为，运维人员最合理的处理方式是

1. A. 关闭入侵检测系统以消除告警
2. B. 直接删除该类告警的日志记录
3. C. 在规则中增加白名单并持续观察
4. D. 忽略所有同类告警不再处理

30某Web应用在登录接口未限制失败次数，攻击者可持续尝试口令，为降低这类风险，应用层最直接有效的加固措施是

1. A. 对同一账号连续失败登录实施锁定或延迟
2. B. 对登录页面启用HTTPS加密传输
3. C. 对登录请求增加图形验证码展示
4. D. 对登录成功后的会话设置超时时间

31某二级系统运维人员为方便远程维护，在防火墙上长期开放3389端口到互联网，仅修改了默认端口号，该做法的主要风险是

1. A. 远程桌面服务仍暴露且易被爆破入侵
2. B. 修改端口会导致系统无法正常启动
3. C. 开放端口会影响内网DNS解析速度
4. D. 远程维护会显著增加磁盘读写负担

32某系统采用基于角色的访问控制,管理员为方便临时让新员工同时拥有'财务录入'与'财务审核'两个角色,该做法违反的核心安全原则是

1. A. 职责分离原则,录入与审核不应由同一人兼任
2. B. 最小权限原则,新员工不应获得任何角色
3. C. 特权账号管理原则,临时权限须由上级审批
4. D. 数据分类分级原则,财务数据须标记密级

33某单位开展安全事件应急演练,模拟核心交换机故障导致业务中断,下列处置环节中符合应急响应规范的有（多选）

1. A. 先确认故障影响范围并启动相应级别应急预案
2. B. 在处置同时指定专人记录时间线与操作内容
3. C. 故障恢复后组织复盘并修订应急预案中暴露的缺陷
4. D. 为尽快恢复业务直接重启全部网络设备不做记录
5. E. 由最先发现故障的值班人员独立完成全部处置

34运维人员在巡检时发现堡垒机上有大量失败登录记录，来源为单一内网IP且用户名遍历字典，正确的下一步处置是

1. A. 封禁该IP并核查对应主机是否失陷
2. B. 仅重置被尝试账号的口令
3. C. 关闭堡垒机的审计日志功能
4. D. 把该IP加入白名单继续观察

35某企业按等级保护要求对第三级系统开展测评，运维人员在整理边界设备配置时，发现防火墙会话表中存在大量来自同一外网IP的短连接，下一步最应优先核查的是

1. A. 该IP是否属于已知扫描器的特征库记录
2. B. 防火墙会话老化时间是否设置过长
3. C. 内网服务器是否开启了不必要的端口
4. D. 边界路由是否启用了源地址校验

36安全事件处置中，分析人员发现某主机存在异常外联但杀毒软件未告警，最应优先采集的易失性证据是

1. A. 主机磁盘镜像文件
2. B. 内存中的进程与网络连接信息
3. C. 系统近30天的安全日志
4. D. 主机所在网段的交换机配置

37安全管理员在核查账户口令策略时发现部分系统仍允许空口令登录，按身份认证管理要求应优先处置的是

1. A. 强制所有账户启用口令复杂度策略
2. B. 对空口令账户立即禁用或改密
3. C. 把登录方式改为仅支持证书认证
4. D. 将所有账户口令有效期缩短为30天

38某单位准备将日志服务器接入网络安全设备，要求日志留存满足审计追溯需要，运维人员配置时最应关注的是

1. A. 日志存储介质的读写速度
2. B. 日志时间同步与完整性保护
3. C. 日志文件的压缩比例
4. D. 日志界面的颜色区分

39某单位在等级保护测评中被告知“应保证网络各个部分的带宽满足业务高峰期需要”，从运维角度落实该项要求最恰当的做法是

1. A. 对关键链路做流量基线采集并按高峰期利用率规划扩容阈值
2. B. 为所有交换机端口统一限速为同一数值以均衡带宽使用
3. C. 在核心交换机上开启广播风暴抑制以降低带宽占用
4. D. 将服务器网卡全部由千兆更换为万兆以提升链路容量

40某主机被确认为已感染勒索软件，运维人员在处置时对已加密的重要文件采取了“先解密再恢复”的思路，该思路不可行的根本原因是

1. A. 现代勒索软件加密密钥仅存于攻击者侧本地无法自行推导
2. B. 加密文件已被覆盖写入导致原始数据块被彻底擦除
3. C. 操作系统还原点会随加密动作同步更新使还原失效
4. D. 文件系统日志会记录加密过程从而阻止解密操作执行

41安全管理员在巡检时发现IDS告警显示内网主机向境外IP持续发起DNS查询，正确的下一步操作是

1. A. 立即断开该主机网线并封禁境外IP段
2. B. 先抓取主机进程与DNS日志确认是否为恶意行为
3. C. 通知用户在主机上安装杀毒软件后继续观察
4. D. 调整IDS策略将该类告警降级以减少误报

42运维人员在内网发现一台未登记资产开放了3389端口，正确的处置流程是

1. A. 先确认资产归属与业务用途再决定是否封禁
2. B. 直接封禁3389端口并上报安全事件
3. C. 将该主机加入黑名单并断开交换机端口
4. D. 在防火墙上全局禁止3389端口访问

43管理员配置访问控制策略时，将某业务系统对外的默认规则设为允许，再对已知危险源逐个添加拒绝规则，这种做法存在的主要风险是

1. A. 未覆盖的新型威胁可能被默认放行
2. B. 拒绝规则过多导致设备性能下降
3. C. 允许规则与拒绝规则会产生冲突告警
4. D. 日志中无法记录被拒绝的连接行为

44运维人员在处理安全告警时，对一条来源不明的高危告警未经核实直接标记为误报关闭，该操作违反的安全运营原则是

1. A. 告警应经研判确认后再做闭环处理
2. B. 高危告警必须当天升级到管理层
3. C. 所有告警均需提交外部机构协查
4. D. 关闭告警前必须重启相关业务系统

45安全管理员在巡检时发现一台服务器杀毒软件病毒库已三个月未更新，但系统补丁为最新，正确的风险判断是

1. A. 补丁最新不能替代病毒库更新，仍存在恶意代码检测失效风险
2. B. 补丁已最新说明系统无漏洞，病毒库滞后不影响安全
3. C. 病毒库滞后只影响扫描速度，不影响查杀效果
4. D. 服务器未联网故病毒库无需更新，可维持现状

46某单位发生勒索软件事件，部分终端文件被加密，处置人员下一步最恰当的操作是

1. A. 隔离受感染终端并保护现场，再评估备份可用性
2. B. 立即格式化受感染终端并重装操作系统
3. C. 先支付赎金获取解密工具以恢复业务
4. D. 先重启全部终端观察是否恢复正常

47运维人员配置SSH远程管理服务器时，为降低被暴力破解风险，除修改默认端口外最应同时采取的措施是

1. A. 启用密钥认证并禁用口令登录
2. B. 启用root直接远程登录
3. C. 允许空口令账户登录
4. D. 关闭登录失败日志记录

48某企业信息系统定级为三级，在等级保护测评中发现审计记录仅保存在本地磁盘且未设置留存期限，按等级保护要求应优先整改为

1. A. 将审计记录定期备份到同一主机另一分区
2. B. 将审计记录集中采集到日志服务器并设置留存不少于六个月
3. C. 将审计记录压缩后覆盖写入原文件节省空间
4. D. 将审计记录导出到管理员个人移动硬盘保管

49某单位计划对重要业务系统开展等级保护测评，在确定测评对象时正确的做法是

1. A. 仅测评边界防火墙和入侵检测设备
2. B. 按定级对象覆盖主机、网络、应用与数据等层面
3. C. 只测评对外提供服务的Web应用系统
4. D. 只测评最近一年内发生过安全事件的部分

50某单位按等级保护要求对三级系统开展定级备案后，下一步应优先完成的工作是

1. A. 组织专家对系统进行等级测评并出具报告
2. B. 在公安机关办理备案手续并取得备案证明
3. C. 自行开展安全建设整改并上线运行
4. D. 委托第三方开展风险评估并公示结果