2022年度网络安全安全技术方向题库(带答案解析)

2022年度网络安全安全技术方向题库一、单选题1.下列哪项不是文件信息泄露的途径。A、网站目录备份B、默认的网站数据库文件C、网站提供的上传功能D、第三方源代码管理答案：C解析：上传功能属于网站提供的正常功能模块，其它选项均有文件信息泄露的风险，网站目录备份可能通过目录扫描被发现，默认的数据库文件可能暴露配置信息，不安全的第三方工具也可能造成源代码泄露。2.下列诈骗信息传播途径占比例最大的是A、电商网站B、社交工具C、搜索引擎D、分类信息答案：B。解析：社交工具是人们通过互联网社交的窗口，用户使用基数大。3.下列插件中，具有代理功能的是。

A、HackbarB、FoxyProxyC、ModifyHeadersD、ShowIP答案：B解析：FoxyProxy是一个高级代理管理工具，它能替代Firefox有限的代理功能。4.下列软件中，属于源代码审计工具的是。A、PCHunterB、webShellKillC、AZServerToolD、Seay答案：D解析：Seay是经典的源代码审计工具，PCHunter是windows系统信息查看软件，也可用于手工杀毒，WebShellKill是一款web后门专杀工具，AZServerTool是一款服务器安全工具。是下列哪种形式的配置文件。A、全局B、当前文件夹C、指定文件夹D、指定文件答案：A解析：是php的全局配置文件，这个文件控制了php许多方面的设置，性能也能在该文件的选项设置中体现。

6.下列php函数属于危险函数的是A、echoB、evalC、levenshteinD、php_check_syntax答案：B。解析：eval函数在php中是用于执行php代码的函数，属于危险函数，php一句话木马通常就用这个函数来编写。7.下列函数中，不属于包含函数的是A、requireB、includeC、include_onceD、levenshtein答案：D。解析：php中常见的文件包含函数有include、require、include_once、require_once。8.重命名一个文件或目录的函数是A、rmdirB、unlinkC、renameD、fopen答案：C。解析：rmdir用于删除文件夹，unlink用于删除文件，rename

用于重命名，fopen用于打开文件。9.下列函数中不属于命令执行函数的是A、exec()B、proc_open()C、system()D、echo()答案：D。解析：echo函数用于输出显示文本内容，其余三个函数均可执行系统命令。10.登录密码爆破属于哪一类漏洞。A、XSSB、SQL注入C、撞库D、CSRF答案：C解析：登录密码爆破属于逻辑层面的暴力破解漏洞，跟撞库性质相近。11.下列漏洞中，哪些不属于注入漏洞。A、命令执行B、XSSC、敏感信息泄漏D、SQL注入答案：C

解析：敏感信息泄露属于信息泄露类漏洞，其他三个都可归结为注入漏洞大类。12.本机文件包含漏洞不能包含哪些文件。A、日志文件B、本地网站文件C、远程木马文件D、session文件答案：C解析：本地文件包含漏洞只能包含本地文件，远程文件包含需要更苛刻的条件。13.下列注入漏洞不属于SQL注入的是。A、数字型注入B、字符型注入C、cookie注入D、跨站脚本注入答案：D解析：跨站脚本注入是XSS漏洞（也叫跨站脚本攻击），是利用攻击者向web页面插入恶意脚本代码等待用户访问触发，不属于SQL注入，SQL注入是针对数据库的攻击，能够获取和修改数据库数据。14.任意文件读取属于什么漏洞。A、文件操作漏洞B、数据库操作漏洞

C、XSS漏洞D、文件包含漏洞答案：A解析：任意文件读取，实际关联的实体是文件，属于文件操作漏洞。15.下列哪个操作不能通过越权漏洞来实现。A、修改管理员密码B、修改其他人账号密码C、删除网站代码D、查看其他人信息答案：C解析：越权漏洞属于网站对用户权限管理不当，导致用户可以代替其他用户执行相关操作，但无法删除网站代码。16.下列对跨站脚本攻击（XSS）的描述正确的是。A、XSS攻击指的是在web页面里插入恶意代码，当用户浏览该页面时嵌入web页面的代码会被执行B、XSS攻击是DOS攻击的一种变种C、XSS攻击就是CC攻击D、XSS攻击就是利用被控制的机器不断地向被攻击网站发送访问请求答案：A解析：XSS攻击全称叫跨站脚本攻击，利用在web页面插入恶意代码，等待用户浏览触发脚本代码。

17.下列选项中，对非持久型XSS攻击说法正确的是A、非持久型XSS攻击是一次性的B、非持久型XSS攻击可以持续攻击，具有持续性。C、非持久型XSS攻击是将攻击语句插入到服务器端D、非持久型XSS攻击可以对所有访问该网页的用户进行攻击答案：A解析：非持久型XSS也叫反射型XSS，是一次性的，触发一次就会失效，而持久型XSS的恶意代码通常是存储到了数据库中，只要数据库中的恶意代码一直存在，每次访问页面就都会触发，具有持续性。18.以下哪款工具可以判断目标网站是否使用了WAF。A、nmapB、nslookupC、wafw00fD、Ping答案：C解析：wafw00f是一款web应用程序WAF指纹识别工具，nmap常用于端口扫描，nslookup用于查询DNS记录，查询域名解析是否正常，ping用于检测网络连接情况和分析网络速度。19.风险评估过程中，通过相关工具发现网站漏洞后，接下来应该要进行的操作是A、上传后门B、总结并上报C、置之不理。

D、帮忙修复答案：B解析：在风险评估中发现了网站漏洞，应该阐述漏洞详情生成总结报告并上报。20.下列关于nc-lp31337-e/bin/bash的理解错误的是。A、打开并监听本地端口31337，等待主机连接B、-e代表将/bin/bash绑定在此端口上C、这是使用netcat反弹shell的命令D、使用的是反向连接方式反弹shell答案：D解析：打开并监听本地端口，等待主机连接属于正向连接的方式。21.下列哪些功能不是netcat能做到的。A、在两台主机之间通信B、在两台主机之间传输文件C、反弹主机shellD、漏洞扫描以及利用答案：D解析：netcat可以用于主机通信、传输文件、反弹shell，无法扫描漏洞。22.当发现攻击者进行SQL注入攻击被拦截并获取其IP地址时，应当如何处理。A、追踪攻击者的痕迹

B、备份并查看日志，保存证据C、不当回事D、直接告诫攻击者答案：B解析：发现有攻击者在进行攻击并记录了IP地址，最佳方法应该是备份并查看日志，保存证据，留待追责。______24.渗透测试中，最常用的端口扫描工具是A、AppscanB、SQLmapC、NmapD、Burpsuite答案：C。解析：Nmap常用于端口扫描，Appscan常用于网站漏洞扫描，SQLmap用于SQL注入扫描利用，Burpsuite是一款综合性渗透测试工具。

25.下列关于“一句话木马”说法错误的是。A、一句话木马就是将一句话木马当作服务端放入服务器，本地充当客户端去请求响应B、一句话木马由于简洁轻便更容易绕过WAF等软件C、一句话木马所存放目录只需要执行权限即可D、一句话木马只能由菜刀去链接答案：D解析：一句话木马可以通过webshell管理工具进行连接，不限于菜刀，其他的蚁剑、C刀等都可以。26.若Apache存在解析漏洞，上传下列哪个文件最有可能获取webshell。A、、、、答案：D解析：Apache多后缀文件名解析特性，从右到左依次解析，遇到无法解析的abc后缀就继续向左解析，遇到php可以解析就会把当做php文件解析。27.关于社工心理学，下列说法错误的是。A、穿着权威工作人员衣着容易让人信赖B、人类具有趋同性，会趋向于同一种选择C、投其所好是社工的基础技能D、只要学习社工心理学就可以做到绝对安全

答案：D解析：社工心理学是利用人性的各种弱点进行攻击，只要信息安全链条中有人的因素存在就不会有绝对的安全。28.以下哪种情形社工钓鱼可利用程度最大。A、某校园网站新闻页面B、某电商后台登录页面C、某国企邮件登录页面D、某公司堡垒机登录页面答案：C解析：国企的邮件系统涉及人员广，利用价值大，其它选项相比之下过于狭隘，利用程度有限。29.破解Wi-Fi过程中不会用到下列哪款工具。A、NessusB、KaliC、EWSAD、奶瓶答案：A解析：Nessus主要用于系统漏洞扫描。30.下面选项中，最推荐哪个保存密码的方式。A、脑记B、便签贴C、密码工具D、云笔记

答案：C解析：密码管理工具可以帮助加密保存各网站、各系统密码，避免遗忘，最大程度保证密码的安全性。31.以下在账号权限安全管理中行为正确的是A、给新入职员工分配管理员权限B、两人使用同一个账号对服务器进行维护C、按照不同的用户分配不同的账号D、将Linux的shadow文件权限设置成777答案：C。解析：新入职员工可能存在操作行为不规范、操作错误等行为，可能造成业务/系统的中断，A错误；应满足每人一个账号的原则，B错误；C正确；shadow文件为密码文件，应仅root具备读写权限，其他人均不应具备相关权限，D错误。32.以下操作最不可能存在安全风险的是。A、使用大写及小写字母，8位以上长度作为密码复杂度要求B、配置一年更换一次口令C、不配置强制密码历史D、账号登录错误5次后锁定账户答案：D解析：密码复杂度应符合“3种8位”的要求，A选项为2种复杂度；账户口令的生存期一般不超过90天，最长不超过180天，B选项错误；用户不能重复使用最近5次（含5次）内已使用的口令,C选项错误。

33.以下哪个协议较为安全。A、FTPB、TFTPC、SFTPD、以上都很不安全答案：C解析：TFTP及FTP均为明文传输数据，相比较而言，SFTP则为加密传输，且具备认证鉴权机制。34.根据网络安全法要求，采取监测、记录网络运行状态、网络安全事件的技术措施并按照规定留存相关的网络日志不少于多长时间。A、1个月B、3个月C、6个月D、1年答案：C解析：《网络安全法》中明确采取监测、记录网络运行状态、网络安全事件的技术措施并按照规定留存相关的网络日志不少于6个月，C选项正确。35.《GB/T20986-2007信息安全技术信息安全事件分类分级指南》中，事件分级不包括哪一项。A、信息系统的重要程度B、规模和服务范围C、社会影响D、系统损失

答案：B解析：《GB/T20986-2007信息安全技术信息安全事件分类分级指南》中，事件分级包括信息系统的重要程度、系统损失、社会影响，B错误。36.针对网站进行弱口令测试最主要的步骤是A、观察网站是否美观B、判断网站使用的哪种开发语言C、找到网站登录接口D、找到网站的IP地址答案：C。解析：弱口令测试需要找到网站登录相关接口。37.以下远程运维中，不存在风险行为的是。A、将可能存在安全风险的终端接入内部网络进行运维B、使用TLS协议加密传输通道C、仅记录运维操作日志中的操作人及操作时间D、使用DES算法加密敏感数据答案：B解析：A、将可能存在安全风险的终端接入内网运维，如终端存在漏洞，那么该终端漏洞就可能被利用进而入侵内网，篡改运维管理数据等。C、仅记录运维操作人员和操作时间，未记录操作行为，就可能导致发生安全风险，例如数据篡改、数据删除时，没有完整的日志数据进行溯源判断。D、使用DES算法加密敏感数据，DES为56+8位校验，容易被破解。

38.下列哪项是获得域名真实IP之后才可以做的。A、进一步扫描网站服务器端口B、爆破网站目录C、获取网站子域名D、收集网站whois信息答案：A解析：端口扫描必须获取计算机真实IP。39.针对防止敏感文件泄漏以下做法错误的是A、删除网站.git相关文件B、应用系统操作手册外传giteeC、禁止将系统开发源码上传githubD、删除网站.svn文件答案：B。解析：不应该把敏感文件上传到外部公开平台中。40.针对第三方资产，关于弱口令的说法正确的是A、获取主机管理平台、域名管理平台等权限B、只能访问对应系统。C、不需要结合其他攻击手法就能控制目标计算机D、只有第三方资产会存在弱口令答案：A解析：通过弱口令可以控制各种平台系统，所有系统都可能存在弱口令。

二、多选题41.下列属于敏感文件泄漏的是A、.DS_Store文件泄漏B、.git文件泄漏C、SVN源码泄漏D、gsk文件泄漏答案：ABC解析：.DS_Store文件、.git文件、SVN源码文件都可能包含网站敏感信息，配置不当导致泄漏的话甚至可能泄漏网站源码，gsk文件属于普通文本文件。。可以对下面哪些参数进行注入攻击。A、RefererB、POST参数C、COOKIED、User-Agent答案：ABCD解析：SQLmap使用--data参数可以对POST参数做测试，调整--level等级可以对http头注入做测试。43.下列选项中，能够使用持久型XSS攻击实现的是A、盗取管理员cookie，进入后台B、盗取用户cookie，登录用户账号C、通过网页挂载木马D、对数据库进行修改，获取管理员密码答案：ABC。

解析：XSS无法对数据库进行操作，XSS全称叫做跨站脚本攻击，是向网站页面插入恶意脚本代码等待用户访问触发，前三个选项均属于对XSS漏洞的利用。44.下列文件中，能够被php识别的是A、phpsB、phptC、phtmlD、php5答案：ABCD。解析：php可以通过修改配置文件设置能够解析的后缀名。45.下列对于命令“nc-v-w110.73.31.9-z1-1000”的描述正确的是。A、-w1是让netcat在两次扫描之间需要等待1秒钟B、ip是指定扫描的目标主机C、-z是指让netcat开启零输入输出模式D、1-1000指定了扫描的端口范围答案：ABCD解析：nc的-w参数指定扫描时间间隔，-z开启零输入输出模式。46.通过定向功能分析法审计代码，下列功能可能存在漏洞的是。A、文件上传B、找回密码C、登录认证

D、数据库备份恢复答案：ABCD解析：定向功能分析代码审计可以针对特定功能的相关代码进行审计，以功能模块来划分比较明确。程序在安装的过程中，可能会存在哪些漏洞。A、无验证功能，任意重装B、变量覆盖导致重装C、判断lock后跳转无exitD、解析漏洞答案：ABCD解析：网站在安装过程中，可能会由于没有验证功能、变量覆盖、代码判断不严谨等因素导致网站可以重新安装。48.文件操作漏洞对计算机有哪些危险。A、下载任意文件B、读取任意文件C、修改任意文件D、删除任意文件答案：ABCD解析：文件操作漏洞关联的实体是文件，涉及对文件的读取、下载、修改、删除等操作。49.越权漏洞产生的原因是。A、没有严密控制账号体系B、账号之间权限没有控制好

C、权限判定参数可以被修改D、数据库查询参数未做过滤答案：ABC解析：越权漏洞是因为网站应用对用户的身份判断不严谨，导致用户权限控制出现了偏差。50.如何防护任意文件下载漏洞。A、严格控制下载目录B、使用POST方式传递参数C、严格控制文件后缀D、客户端过滤参数答案：AC解析：严格控制下载目录和文件后缀能够有效防护任意文件下载漏洞，通过客户端过滤参数很容易被绕过。51.以下哪些是防止内部资产存在漏洞的防护措施。A、杜绝使用弱口令以及默认密码B、对内部资产开展安全评估、基线检查工作C、更新服务补丁、中间件版本D、将内部资产、外部资产做好区域隔离和边界防护答案：ABCD解析：杜绝使用弱口令以及默认密码，对内部资产开展安全评估、基线检查工作，更新服务补丁、中间件版本，将内部资产、外部资产做好区域隔离和边界防护都是防护措施。52.针对敏感信息泄露有哪些防护手段。

A、禁止将各种内部平台手册、vpn账号密码外传其他平台B、杜绝用户使用弱口令C、在内网服务器上部署安全加固软件D、内网部署高级威胁监测设备答案：ABCD解析：禁止将各种内部平台手册、vpn账号密码外传其他平台，杜绝用户使用弱口令，在内网服务器上部署安全加固软件，内网部署高级威胁监测设备都是针对敏感信息泄漏的防护手段。53.哪些方式可以加强内部网络防护。A、检查公司的所有内网网段，尽量全部接入安全设备B、检查交换机、路由器的访问隔离策略，特别是与DMZ区、办公区有关的网络隔离情况C、不用设置任何VLAN，只要能上网就行D、办公区、运维区不需要隔离答案：AB解析：进行内网防护，需要将内网都接入安全设备，检查内网。54.如何防范弱口令。A、加强安全意识教育B、定期对托管在第三方的资产开展安全评估工作C、设置的密码符合安全策略D、使用多重验证登录答案：ABCD解析：加强安全意识教育，定期对托管在第三方的资产开展安全评估工作，设置的密码符合安全策略，使用多重验证登录都是

避免产生弱口令的方式。55.针对敏感服务端口的防护措施有哪些。A、周期性对服务器进行漏洞扫描B、重要业务系统设置独立的安全区域C、关闭不必要的服务端口D、部署高级威胁监测设备答案：ABCD解析：周期性对服务器进行漏洞扫描，重要业务系统设置独立的安全区域，关闭不必要的服务端口，部署高级威胁监测设备都属于敏感服务端口的防御措施。56.以下可以防止网站存在文件上传漏洞的措施是A、针对上传的文件不给执行权限B、采用白名单方式进行校验C、更新网站编辑器版本为最新D、关闭文件上传功能答案：ABCD。解析：针对上传的文件不给执行权限，采用白名单方式进行校验，更新网站编辑器版本为最新，关闭文件上传功能都是用来防御文件上传漏洞的。57.针对网站敏感文件泄漏有哪些防护措施。A、加强安全意识培训B、禁止开发人员将源码外传C、加强对服务器敏感文件、目录的访问控制

D、清除.git、.svn以及网站的备份文件答案：ABCD解析：加强安全意识培训，禁止开发人员将源码外传，加强对服务器敏感文件、目录的访问控制，清除.git、.svn以及网站的备份文件都是防治敏感文件泄漏的防御手段。58.邮箱口令被破解之后有什么危害。A、获取邮箱中的敏感资料B、利用邮箱进行钓鱼攻击C、不影响邮箱正常使用，不用关心D、事后修改一下密码就行，没有影响答案：AB解析：邮箱账户被破解，可以获取敏感资料，发邮件进行钓鱼。59.针对系统服务端口有哪些防护手段。A、关闭内网远程服务B、服务器上部署安全加固软件C、部署全流量监控设备D、提高系统安全基线答案：ABCD解析：关闭内网远程服务，服务器上部署安全加固软件，部署全流量监控设备，提高系统安全基线都是针对系统服务端口的防护手段。60.以下哪些是防止网站存在漏洞的防护措施。A、升级中间件至最新版本

B、升级编辑器为最新版本C、定期对网站进行漏洞扫描D、加强对网站配置以及服务器配置的安全检查工作答案：ABCD解析：升级中间件至最新版本，升级编辑器为最新版本，定期对网站进行漏洞扫描，加强对网站配置以及服务器配置的安全检查工作都是提升网站安全性的防护措施。三、判断题61.在中设置allow_url_include=off后，网站程序能够包含远程文件。A、正确B、错误答案：B解析：远程文件包含的条件需要中设置allow_url_include=on。62.通过使用不易被识别的验证码，且不根据sessid生成验证码内容，能够有效防止爆破攻击。A、正确B、错误答案：A解析：通过验证码防止暴力破解，需要保证验证码的复杂度，且不存在绕过验证码的逻辑漏洞。63.使用正则表达式对输入的参数进行过滤，能够修补和防御命令注

入漏洞。A、正确B、错误答案：A解析：正则表达式可以根据设置的规则，很好的对输入内容进行过滤。64.当allow_url_include和allow_url_fopen都设置为off时，能够直接包含共享文件。A、正确B、错误答案：A解析：allow_url_include和allow_url_fopen的配置对包含共享文件没有影响。65.使用完善的waf脚本且对SQL语句中的参数进行处理，能够修补和杜绝SQL注入漏洞。A、正确B、错误答案：A解析：SQL注入漏洞的防御可以利用waf软件过滤，也可以在代码层面对输入参数进行处理等。66.越权漏洞分为平行越权和垂直越权。A、正确B、错误

答案：A解析：通常把越权漏洞划分为平行越权（同级用户之间的越权）和垂直越权（不同级用户之间的越权，通常指管理员用户与普通用户）。67.$_GET可以用于接收表单的值。A、正确B、错误答案：A解析：表单也可以通过GET方式提交。注入又可以称为“PHP注入”，“JSP注入”。A、正确B、错误答案：B解析：SQL注入是针对数据库的攻击，各种语言（ASP、PHP、JSP）都有可能存在。69.假如MySQL数据库注入点存在，“select/**/user()/**/from/**/dual”该语句可以成功注入绕过空格过滤。A、正确B、错误答案：A解析：将SQL语句中的空格替换为MySQL数据库能识别的注释符号/**/可以绕过空格的过滤且语句能够正常执行。

可以进行表单注入。A、正确B、错误答案：A解析：SQLmap使用--data参数可以进行POST测试，-r参数可以读取文件中的数据包进行测试。71.开发人员缺乏职业道德，在开发的代码中预留后门及逻辑炸弹不属于开发人员风险。A、正确B、错误答案：B解析：开发人员缺乏职业道德，在开发的代码中预留后门及逻辑炸弹属于开发人员风险。72.业务人员是指在组织中担负具体专项经济业务，如生产、计划、跟单、财会、统计、物价、广告、客服等具体业务的工作人员。同时指负责某项具体业务操作的人员。A、正确B、错误答案：A解析：业务人员是指在组织中担负具体专项经济业务，如生产、计划、跟单、财会、统计、物价、广告、客服等具体业务的工作人员。同时指负责某项具体业务操作的人员。

73.软件供应链的安全是供应链上软件设计与开发的各个阶段中来自本身的编码过程、工具、设备或供应链上游的代码、模块和服务的安全，以及软件交付渠道安全的总和。A、正确B、错误答案：A解析：软件供应链的安全是供应链上软件设计与开发的各个阶段中来自本身的编码过程、工具、设备或供应链上游的代码、模块和服务的安全，以及软件交付渠道安全的总和。74.应用开源技术提高开发效率已经成为企业的主流选择。A、正确B、错误答案：A解析：应用开源技术可以降低公司成本，并且可以提高效率，所以成为主流选择。75.信息安全等级保护在人员配备方面的要求可以一人兼任多个岗位，节约单位成本。A、正确B、错误答案：B解析：要求配备专职安全管理人员，不可兼任。76.安全管理机构的设置是部门内的事情，无需要求领导同意批准。A、正确

B、错误答案：B解析：安全管理机构的授权和审批，需要审批部门及批准人对关键活动进行审批。77.安全管理规章制度制定与管理工作要规范化、程序化、提高建章立制质量，结合实际情况A、正确B、错误答案：A解析：安全管理规章制度制定与管理工作要规范化、程序化、提高建章立制质量。78.录用人具备不具备基本的专业技术水平和安全管理知识问题不大，关键是学历、资历等方面要求一定要符合要求。A、正确B、错误答案：B解析：人员录用应该保证被录用人具备基本的专业技术水平和安全管理知识，对被录用人的身份、背景、专业资格和资质进行审查。79.系统定级要以书面的形式定义安全保护等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等。A、正确B、错误

答案：A解析：系统定级要以书面的形式定义安全保护等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等，并且以书面的形式说明确定一个信息系统为某个安全保护等级的方法和理由，然后由组织相关部门和有关安全技术专家对信息系统的定级结果的合理性和正确性进行论证和审定。80.机房供配电、空调、温湿度控制等设施需要指定专人或专门的部门定期进行维护管理。A、正确B、错误答案：A解析：环境管理中指出要对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理；配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理。81.介质管理要求，对存储介质的使用过程、送出维修以及销毁进行严格的管理，保密性较高的信息存储介质未经批准不得自行销毁。A、正确B、错误答案：A解析：对于介质管理应该建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定；有介质的归档和查询记录，并对存档介质的目录清单定期盘点；对于需要送出维修或销毁的介质，应首先清除介质中的敏感数据，防止信息的非法泄漏。

82.系统安全管理要求对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求。A、正确B、错误答案：A解析：系统安全管理要求指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户；对系统账户进行分类管理，权限设定应当遵循最小授权要求；对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求。83.恶意代码防范管理要求在读取移动存储设备(如软盘、移动硬盘、光盘)上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也要进行病毒检查。A、正确B、错误答案：A解析：恶意代码防范管理要求在读取移动存储设备(如软盘、移动硬盘、光盘)上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也要进行病毒检查；指定专人对网络和主机进行恶意代码检测并保存检测记录；建立恶意代码防范管理制度，对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定。

84.等级保护2.0新标准的制定主要是为适应新技术的发展，解决云计算、物联网、移动互联和工控领域信息系统的等级保护工作的需要。A、正确B、错误答案：A解析：等级保护2.0新标准的制定主要是为适应新技术的发展，解决云计算、物联网、移动互联和工控领域信息系统的等级保护工作的需要。85.在测评期间，多次查到主要网络设备CPU负载峰值长期超过90%也没关系，只要年平均的CPU使用不超过60%即可。A、正确B、错误答案：B解析：防火墙最近一年内的CPU使用平均值为20%，满足业务高峰需要。在业务高峰期时的带宽使用率低于60%，满足业务高峰的需要。86.系统服务保证相关要求包括电力供应、软件容错、备份与恢复、资源控制。A、正确B、错误答案：A解析：系统服务保证相关要求包括电力供应、软件容错、备份与恢复、资源控制。

87.应提高所有用户的防病毒意识，及时告知防病毒软件版本，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查。A、正确B、错误答案：A解析：应提高所有用户的防病毒意识，及时告知防病毒软件版本，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查。88.应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作环境的存储介质进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密性较高的存储介质可以自行销毁。A、正确B、错误答案：B解析：应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作环境的存储介质进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密性较高的存储介质未经批准不得自行销毁。89.授权和审批部分要求，应根据各个部门和岗位的职责明确授权审

批事项、审批部门和批准人等。A、正确B、错误答案：A解析：授权和审批部分要求，应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。90.资源控制要求应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存，但不包括网络资源的使用情况。A、正确B、错误答案：B解析：应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况。91.安全审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等。A、正确B、错误答案：A解析：安全审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等。92.安全审计要求应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，审计记录可以根据自身需要进行删除、修改和覆盖。

A、正确B、错误答案：B解析：审计记录不可人为进行修改、删除等操作。93.需求方提出测试需求是网络安全众测平台服务流程的第一阶段。A、正确B、错误答案：A解析：网络安全众测平台服务流程：平台服务细化为六个阶段，分别是需求方提出测试需求、签订合作协议、发布测试项目、平台组织白帽测试、审核提交漏洞、漏洞验证处理、总结交付。94.网络安全众测平台对授权测试人员发现的漏洞无需进行二次验证。A、正确B、错误答案：B解析：网络安全众测平台需要对授权测试人员发现的漏洞进行严格的二次验证，提高发现漏洞的准确性；95.网络安全众测平台服务内容包括Web应用安全测试、移动应用安全测试、系统及应用安全测试等。A、正确B、错误答案：A解析：网络安全众测平台服务内容包括Web应用安全测试、移

动应用安全测试、系统及应用安全测试、设备漏洞挖掘、网信产品安全测试等。96.流量审计不属于网络安全众测服务平台的主要功能。A、正确B、错误答案：B解析：网络安全众测服务平台主要功能包括测试项目授权及管理、测试账户管理认证及评价、漏洞提交审核及评价、流量审计及数据监管等。97.网络安全众测服务过程包括准备阶段、实施阶段、后处理阶段。A、正确B、错误答案：A解析：网络安全众测服务过程包括准备阶段、实施阶段、后处理阶段。98.网络安全众测服务的基本要素包括众测需求方、众测组织方、众测审计方和授权测试方。A、正确B、错误答案：A解析：网络安全众测服务的基本要素包括众测需求方、众测组织方、众测审计方和授权测试方。

99.网络安全众测服务平台具有协作共享的特征。A、正确B、错误答案：A解析：网络安全众测服务平台采用分布式协作的方式解决信息化产品测试问题，具有协作共享的特征，整合了测试需求和测试人才资源，具有测试程度深、问题发现覆盖面广、可信度高、性价比高的优点。100.众测不属于众包服务模式。A、正确B、错误答案：B解析：众测是众包服务模式的一种，英文称为Crowd-sourcing，把工作任务以自由自愿的形式分包给非特定的个人或团体，是互联网技术和互联网经济发展到一定阶段必然出现的协作工作模式。