2026年網絡工程師網絡安全模擬卷

2026年網絡工程師網絡安全模擬卷1.單選題（每題2分，共30分）1.1在TLS1.3握手過程中，用于實現前向保密的核心機制是A.RSA密鑰傳輸B.靜態DH參數C.EphemeralDiffie-HellmanD.預共享密鑰PSK1.2某企業采用零信任架構，下列哪項最能體現“永不信任、持續驗證”原則A.內網服務器間通信免認證B.用戶每次訪問資源均需動態評估信任分數C.VPN隧道建立后不再進行二次認證D.核心交換機啟用靜態ACL1.3針對IPv6鄰居發現協議（NDP）的“偽造路由器通告”攻擊，最有效的緩解技術是A.關閉ICMPv6B.RAGuardC.DHCPv6GuardD.SeND協議+CG1.4在容器環境中，若攻擊者通過逃逸獲得宿主機root權限，最可能利用的漏洞類別是A.內核提權B.SQL注入C.XSSD.CSRF1.5某Web應用使用JWT作為會話令牌，簽名算法為HS256。若攻擊者獲取了密鑰，可造成的危害是A.僅讀取令牌內容B.篡改令牌并重新簽名C.無法偽造令牌D.只能重放舊令牌1.6關于DNSSEC的“鏈式信任”模型，下列說法正確的是A.根區私鑰由ICANN離線保管B.子zone的DS記錄由父zone私鑰簽名C.解析器無需驗證RRSIGD.NSEC3用于隱藏區域傳輸1.7在SD-WAN場景下，為檢測加密隧道內是否存在惡意流量，最適合部署的組件是A.防火墻B.IDSC.具有TLS解密的NDRD.傳統WAF1.8某APT組織利用DNS-over-HTTPS（DoH）外傳數據，企業防御側應優先采取A.封鎖所有UDP53端口B.解密并審查所有HTTPS流量C.部署支持DoH的代理并強制轉發D.禁用瀏覽器DoH功能1.9針對機器學習模型的“模型逆向攻擊”主要威脅是A.訓練數據泄露B.模型文件被刪除C.推理階段DDoSD.超參數被篡改1.10在5G核心網中，用于實現用戶面功能（UPF）下沉至邊緣的關鍵接口是A.N1B.N4C.N9D.N121.11某企業采用SASE架構，其“安全Web網關”組件主要解決A.東西向微隔離B.遠程用戶上網安全C.容器鏡像簽名D.區塊鏈共識1.12關于量子計算對現有公鑰密碼的威脅，下列算法中目前被認為可抵抗Shor算法的是A.RSA-3072B.ECC-P256C.KyberD.DSA1.13在Linux內核中，針對“臟管道”漏洞（CVE-2022-0847）的利用，攻擊者主要篡改的是A.頁表項B.只讀文件頁緩存C.進程憑證結構D.系統調用表1.14某云租戶發現其S3Bucket被異常下載，CloudTrail日志顯示調用源為“assumed-role/CW”，進一步確認該角色僅授予了CloudWatch權限，最可能的攻擊路徑是A.角色信任策略過于寬松B.BucketACL公開C.KMS密鑰泄露D.VPCEndpoint被劫持1.15在WindowsAD環境中，若攻擊者利用“基于資源的約束委派（RBCD）”實現橫向移動，需首先控制A.域管賬戶B.具有SPN的服務賬戶C.任意普通用戶D.被委派主機的msDS-AllowedToActOnBehalfOfOtherIdentity屬性2.多選題（每題3分，共30分）2.1以下哪些技術可同時提供數據機密性與完整性A.AES-GCMB.ChaCha20-Poly1305C.HMAC-SHA256D.RSA-OAEP2.2關于HTTP/3的安全特性，正確的是A.強制使用TLS1.3B.基于QUIC的0-RTT存在重放風險C.頭部壓縮使用QPACKD.默認端口為TCP4432.3在零信任網絡中，持續信任評估引擎可采集的上下文數據包括A.用戶地理位置B.終端補丁級別C.當前網絡延遲D.數據分級標簽2.4以下哪些屬于常見的側信道攻擊A.SpectreB.MeltdownC.RowhammerD.Heartbleed2.5針對機器學習“投毒攻擊”的防御手段有A.訓練數據過濾B.模型剪枝C.差分隱私D.梯度聚合2.6在Kubernetes中，可防止容器逃逸的安全機制有A.SeccompB.AppArmorC.SELinuxD.NetworkPolicy2.7關于RPKI的正確描述A.使用X.509證書封裝ROAB.可防止BGP路徑劫持C.由RIR負責簽發D.需路由器開啟BGPsec2.8以下哪些算法屬于NISTPQC第三輪finalists中的簽名方案A.DilithiumB.FalconC.RainbowD.SPHINCS+2.9在DevSecOps流水線中，可用于檢測開源組件漏洞的工具A.SnykB.OWASPDependency-CheckC.GrafeasD.kube-bench2.10關于同態加密，下列說法正確的是A.CKKS支持浮點數近似計算B.BFV支持整數運算C.全同態無需BootstrappingD.目前性能可滿足高頻交易實時性3.判斷題（每題1分，共10分）3.1TLS1.3的0-RTT模式對重放攻擊完全免疫。（）3.2在Windows中，啟用CredentialGuard后，NTLMHash仍可從內存中提取。（）3.3DNS-over-TLS使用853端口，而DNS-over-HTTPS使用443端口。（）3.4eBPF程序一旦加載到內核，任何普通用戶均可卸載。（）3.5使用AES-256-CBC+HMAC-SHA256比AES-256-GCM更安全，因為采用分離MAC。（）3.6量子密鑰分發（QKD）可抵抗中間人攻擊，但無法防止DoS。（）3.7在5G網絡切片中，不同切片共享同一UPF實例不會引入跨切片攻擊面。（）3.8區塊鏈的“51%攻擊”可導致雙花，但無法篡改歷史區塊內容。（）3.9同一份數據使用SHA-256與RIPEMD-160雙哈希，可抵抗長度擴展攻擊。（）3.10使用ChaCha20-Poly1305時，Nonce重復會導致密鑰恢復。（）4.填空題（每空2分，共20分）4.1在Linux內核中，針對“任意地址寫任意數據”類漏洞，常用的利用技術是______，其核心通過改寫______結構實現提權。4.2NIST推薦的量子安全密鑰封裝算法Kyber的安全基礎是______問題。4.3在TLS1.3中，用于加密握手消息的密鑰派生函數為______，其基于______哈希。4.4針對容器鏡像的“供應鏈攻擊”，可采用______（填一種簽名規范）對鏡像進行簽名，并在______（填組件）中驗證。4.5在Windows中，若攻擊者獲得SeImpersonatePrivilege，常通過______組件創建SYSTEM令牌，該組件默認監聽端口______。5.簡答題（每題10分，共30分）5.1描述BGPsec與RPKI在防止BGP劫持中的差異與協同點，并給出部署順序建議。5.2某云原生應用使用Istio服務網格，mTLS已默認開啟。現需對特定API做“基于用戶身份”的細粒度授權，請給出完整技術路徑（含CRD、策略示例）。5.3解釋“機器學習模型竊取”攻擊的原理，并提出三種不同層面的防御方案。6.綜合應用題（30分）6.某金融企業計劃2026年上線“量子增強”密鑰管理系統，需滿足以下需求：1)支持后量子算法Kyber1024與Dilithium5；2)現有RSA/ECC設備需平滑過渡，不能一次性替換；3)需符合GM/T0054-2023《信息系統密碼應用基本要求》第三級；4)需支持FIPS140-3Level3硬件模塊。任務：a)設計混合密鑰協商流程，給出數學描述（用LaTeX），并說明如何抵抗“降級攻擊”。（10分）b)給出PKI遷移路徑，包括證書鏈結構、生命周期管理、CRL/OCSP改造方案。（10分）c)針對“量子之后”的密鑰歸檔，提出長期機密性保護方案，并估算最小安全參數。（10分）7.計算題（30分）7.1某IDS傳感器采用BloomFilter存儲惡意URL哈希，已知：預期元素數n=5×10^6目標誤報率p=0.1%求：a)理論最優哈希函數個數k與位數組大小m（用LaTeX公式計算）。（10分）b)若每個哈希函數輸出64位，計算實際內存占用（單位MB）。（5分）7.2在Diffie-Hellman密鑰交換中，使用橢圓曲線Curve25519，已知基點G的階n為2^252+27742317777372353535851937790883648493。若私鑰d隨機選取，求：a)公鑰P=[d]G的坐標壓縮表示長度（單位字節）。（5分）b)若采用HKDF-SHA256派生128位會話密鑰，給出LaTeX公式并計算最小熵損失。（10分）8.答案與解析1.單選題1.1C1.2B1.3B1.4A1.5B1.6A1.7C1.8C1.9A1.10C1.11B1.12C1.13B1.14A1.15D2.多選題2.1AB2.2ABC2.3ABCD2.4ABC2.5ACD2.6ABC2.7ABC2.8ABD2.9ABC2.10AB3.判斷題3.1×3.2×3.3√3.4×3.5×3.6√3.7×3.8√3.9√3.10√4.填空題4.1提權利用、cred4.2Module-LWE4.3HKDF、SHA-2564.4cosign、AdmissionController4.5RogueWinRM、59855.簡答題（要點）5.1BGPsec提供路徑簽名，RPKI提供前綴起源驗證；先部署RPKI再上線BGPsec，避免路由震蕩。5.2創建AuthorizationPolicy，匹配request.headers[user-id]，結合RequestAuthentication驗證JWT，示例：```yamlapiVersion:security.istio.io/v1beta1kind:AuthorizationPolicymetadata:name:api-user-aclspec:selector:matchLabels:app:paymentrules:when:key:request.headers[user-id]values:["alice"]```5.3攻擊者通過查詢-響應迭代逼近模型參數；防御：1)差分隱私加噪；2)輸出截斷/Top-K屏蔽；3)法律合約+水印追蹤。6.綜合應用題a)混合協商：&ClientHello.extensions→supported降級保護：Server需返回“supported_groups”確認，若缺失kyber1024則終止并報警。b)PKI遷移：采用雙證書鏈，根CA下簽發“混合子CA”，新證書包含pqc-ext（OID.4.1.44445）