Network and Information Security Administrator practice paper

1开展网络安全等级保护工作时，确定保护等级主要应依据什么？

1. A. 服务器购买价格
2. B. 系统受破坏后的影响对象和损害程度
3. C. 用户口令平均长度
4. D. 机房面积

2存储口令时采用带盐哈希，盐值主要有什么作用？

1. A. 自动阻止所有暴力猜测
2. B. 降低预计算攻击与相同口令哈希一致性
3. C. 让哈希可直接解密

3HMAC与普通无密钥哈希的关键区别是什么？

1. A. HMAC使用共享密钥认证消息
2. B. HMAC可压缩图片
3. C. 普通哈希可证明发送者身份

4某三级系统在做等级保护整改时，运维人员对边界防火墙策略进行梳理，发现有一条“允许任意源访问数据库服务器的1433端口”的规则，正确的处置方式是

1. A. 删除该规则并仅允许应用服务器网段访问数据库1433端口
2. B. 保留该规则但将动作改为记录日志以便审计
3. C. 保留该规则并将源地址改为办公网段以方便管理
4. D. 将该规则目的端口改为数据库监听端口之外的端口

5某单位完成等级测评后，测评报告指出“安全区域边界未对内部用户非授权外联行为进行有效管控”，运维人员准备整改，下列措施中最贴合该整改项的是

1. A. 在核心交换机上启用端口安全并绑定接入终端MAC地址
2. B. 在互联网出口防火墙上封禁高危端口并记录日志
3. C. 部署上网行为管理设备对内部用户外联进行审计与控制
4. D. 在服务器区部署入侵检测系统并配置告警规则

6在等保三级系统中，运维人员发现一台应用服务器的操作系统审计日志仅保留最近3天，而安全管理制度要求审计记录至少留存6个月，最应优先采取的处置措施是

1. A. 调整日志轮转策略并将日志集中转发至日志服务器长期保存
2. B. 将审计日志文件属性设为只读并关闭系统日志服务
3. C. 每日手动将日志复制到同服务器另一目录并压缩存放
4. D. 把审计功能关闭以避免日志占满磁盘影响业务运行

7安全管理员在巡检时发现一台数据库服务器上存在一个长期未使用的测试账户，且该账户仍具有较高权限，最符合账号治理要求的处置是

1. A. 确认业务无依赖后禁用或删除该账户并保留变更记录
2. B. 直接保留账户但把口令改为更复杂的新口令
3. C. 把该账户移交给新入职人员继续使用以节省配置时间
4. D. 仅将该账户加入监控名单但不调整其权限

8在配置VPN远程接入时，为降低账号被盗用后的影响，最有效的措施是

1. A. 对接入账号启用多因素认证并绑定设备证书
2. B. 将所有远程用户划入同一网段便于统一管理
3. C. 把VPN预共享密钥设置为较长且固定的字符串
4. D. 允许用户保存口令以实现客户端自动登录

9某安全事件中，管理员在日志中发现大量来自同一IP的登录失败记录，随后出现一次成功登录，最可能的事件类型是

1. A. 拒绝服务攻击
2. B. 口令暴力破解成功
3. C. 跨站脚本攻击
4. D. SQL注入攻击

10安全管理员拟对内部用户访问互联网行为进行管控，要求既能识别应用类型又能对加密流量做一定分析，应优先选择的设备类型是

1. A. 下一代防火墙并启用应用识别与解密策略
2. B. 传统包过滤防火墙并配置端口封禁规则
3. C. 入侵检测系统并设置为旁路镜像部署
4. D. 负载均衡设备并开启会话保持功能

11某三级信息系统完成等级测评后，测评机构出具了“基本符合”的结论，运维人员下一步应当优先处理的是

1. A. 对测评报告中提出的不符合项制定整改计划并跟踪闭环
2. B. 重新组织一次全量渗透测试以替代整改工作
3. C. 将系统备案证明张贴在机房入口处备查
4. D. 把测评报告归档后按原周期运行至下次测评

12某单位要在互联网区新增一台对外提供查询服务的服务器，按等级保护要求上线前应当完成的工作是

1. A. 完成安全测评与加固，并纳入边界访问控制策略
2. B. 直接上线运行，待下次年度测评时再统一整改
3. C. 仅做操作系统补丁更新后即可对外开放服务
4. D. 先开放全部端口试运行，业务稳定后再收敛策略

13安全运维中发现某服务器CPU占用异常升高且对外连接数激增，登录后看到大量可疑进程，下列取证操作顺序正确的是

1. A. 先删除可疑进程再导出系统日志
2. B. 先保存内存镜像和进程列表再处置
3. C. 先格式化系统盘再重装操作系统
4. D. 先关闭服务器电源再拆取硬盘取证

14安全事件处置中，发现主机被植入木马后首先应做的工作是

1. A. 隔离该主机并保护现场证据
2. B. 立即格式化硬盘重装系统
3. C. 直接删除木马文件后继续使用
4. D. 关闭整个机房所有设备电源

15某系统登录接口在连续输错口令后仅弹出验证码而不锁定账号，攻击者仍可低速尝试，针对该缺陷最有效的加固措施是

1. A. 提高验证码字符的扭曲程度和长度
2. B. 对同一账号和来源IP实施失败次数锁定
3. C. 将口令最小长度由八位提升到十位
4. D. 在登录页面增加用户隐私政策提示

16安全事件处置中，运维人员发现某服务器疑似被植入webshell，在保留证据环节优先应当做的是

1. A. 立即重启服务器以清除可疑进程
2. B. 对内存、日志和可疑文件做镜像或备份固定
3. C. 直接删除可疑文件并恢复业务
4. D. 先修改服务器管理员口令再排查

17防火墙策略中有一条规则为源地址任意、目的地址为内网Web服务器、目的端口80、动作为允许，该规则长期未做访问来源限制，从边界防护角度最应优先采取的整改措施是

1. A. 将该规则的日志功能关闭以减少告警量
2. B. 把目的端口由80改为443后继续放行
3. C. 把源地址收敛为实际提供访问的地址段
4. D. 将该规则调整到策略列表的最后一条

18某三级信息系统在等保测评中需要核查身份鉴别措施，运维人员发现管理员登录堡垒机时仅使用用户名口令，测评项最可能判定为哪类不符合

1. A. 身份鉴别措施不足
2. B. 访问控制粒度不够
3. C. 安全审计记录缺失
4. D. 入侵防范策略失效

19某二级系统运维人员为方便远程维护，在防火墙上长期开放3389端口到互联网，仅修改了默认端口号，该做法的主要风险是

1. A. 远程桌面服务仍暴露且易被爆破入侵
2. B. 修改端口会导致系统无法正常启动
3. C. 开放端口会影响内网DNS解析速度
4. D. 远程维护会显著增加磁盘读写负担

20某单位发生数据泄露事件后,应急小组在处置过程中将受影响主机直接格式化重装系统,该做法造成的最主要后果是

1. A. 破坏入侵痕迹与恶意样本,导致事件原因无法溯源
2. B. 延长了业务中断时间,影响系统恢复进度
3. C. 导致备份数据失效,无法进行数据恢复
4. D. 违反等级保护对系统可用性的要求

21某网站遭篡改后已恢复页面，按安全事件处置规范，恢复后还应优先完成哪项工作

1. A. 留存证据并排查入侵入口
2. B. 立即重装所有终端操作系统
3. C. 关闭网站对外服务一个月
4. D. 删除所有系统日志以保护隐私

22安全事件处置中，分析人员发现某主机存在异常外联但杀毒软件未告警，最应优先采集的易失性证据是

1. A. 主机磁盘镜像文件
2. B. 内存中的进程与网络连接信息
3. C. 系统近30天的安全日志
4. D. 主机所在网段的交换机配置

23管理员配置边界防火墙策略时，将“允许内网访问外网任意服务”与“允许外网访问内网任意服务”写成同一条双向放通规则，主要风险是

1. A. 规则数量过多影响设备性能
2. B. 外网可主动访问内网扩大暴露面
3. C. 内网用户无法访问外网服务
4. D. 日志无法记录双向流量

24某业务系统日志中出现大量来自同一境外 IP 的登录失败记录，间隔均匀且用户名各不相同，处置时首先应判定该行为属于

1. A. 针对口令认证的自动化暴力破解尝试
2. B. 利用应用漏洞的文件上传攻击行为
3. C. 通过DNS隧道进行的数据外传行为
4. D. 针对数据库端口的SQL注入探测行为

25安全管理员在巡检时发现IDS告警显示内网主机向境外IP持续发起DNS查询，正确的下一步操作是

1. A. 立即断开该主机网线并封禁境外IP段
2. B. 先抓取主机进程与DNS日志确认是否为恶意行为
3. C. 通知用户在主机上安装杀毒软件后继续观察
4. D. 调整IDS策略将该类告警降级以减少误报

26运维人员发现边界防火墙出现大量来自同一境外IP对内部数据库端口的探测报文，按规范处置流程下一步应优先执行哪项操作

1. A. 在防火墙上封禁该IP并留存日志记录
2. B. 立即关闭数据库对外端口并重启服务
3. C. 联系境外运营商投诉该IP的滥用行为
4. D. 对数据库进行全量数据备份后再观察

27某企业按等级保护要求对三级系统开展安全建设，运维人员在确定安全通用要求中的“访问控制”条款适用性时，最应依据的是

1. A. 系统承载业务的重要程度和受侵害后的影响
2. B. 机房所在建筑物的物理防护等级
3. C. 操作系统厂商提供的默认安全配置
4. D. 网络设备采购时的品牌与型号清单

28某单位发生勒索软件事件，部分终端文件被加密，处置人员下一步最恰当的操作是

1. A. 隔离受感染终端并保护现场，再评估备份可用性
2. B. 立即格式化受感染终端并重装操作系统
3. C. 先支付赎金获取解密工具以恢复业务
4. D. 先重启全部终端观察是否恢复正常

29某单位需对进出核心机房的运维人员实施身份鉴别，采用指纹加口令的双因素认证，其中指纹属于

1. A. 你所知道的因素
2. B. 你所拥有的因素
3. C. 你所具有的特征因素
4. D. 你所处位置的因素

30某系统管理员发现服务器存在异常外联，初步判断可能已被植入后门，在提取证据时正确的顺序是

1. A. 先采集内存与网络连接再关机断电保存硬盘
2. B. 先关机断电再拆硬盘送检以固定全部证据
3. C. 先重装系统恢复业务再回溯日志查找原因
4. D. 先删除可疑文件再采集日志以避免影响分析