22 道网络安全概念练习题及答案

1. 1. 一位网络工程师描述了这样一项功能：它为主机分配逻辑地址，并在不同网络之间选择最佳路径。该功能由 OSI 模型的哪一层完成？

   • A.第 3 层网络层，使用 IP 地址在不同网络之间路由数据包✓ 答案
   • B.第 2 层数据链路层，负责在同一个本地网段内的设备之间传送帧
   • C.第 4 层传输层，使用端口号跟踪应用程序之间的会话
   • D.第 7 层应用层，为网页和邮件等最终用户服务组织并格式化请求

   逻辑寻址和路径选择正是网络层的职责：它使用 IP 地址决定数据包如何到达位于另一个网络中的目的地。数据链路层只在单个网段内传送帧，无法跨网络转发。

   编号 QB-FJBKEK依据： ISO/IEC 7498-1, OSI Reference Model — network layer; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (OSI and TCP/IP models)报告此题的问题

2. 2. 在四层的 TCP/IP 模型中，最底层是网络接入层（链路层）。它对应 OSI 模型中的哪些层？

   • A.OSI 第 1 层与第 2 层，因为物理信号传输与本地帧传送被合为一层✓ 答案
   • B.仅 OSI 第 1 层，因为帧的寻址改由该模型的网际层负责处理
   • C.OSI 第 2 层与第 3 层，因为本地帧传送与跨网络路由被合并
   • D.仅 OSI 第 3 层，因为布线与信号传输被视为位于协议栈之外

   TCP/IP 模型对 OSI 分层做了压缩：OSI 第 1、2 层合为网络接入层，第 3 层对应网际层，第 4 层对应传输层，第 5 至 7 层合为应用层。OSI 中没有任何一层被排除在 TCP/IP 模型之外。

   编号 QB-X26EUJ依据： RFC 1122, Requirements for Internet Hosts — Communication Layers (link layer); ISC2 CC Exam Outline, Networking and Cloud Security Concepts (OSI and TCP/IP models)报告此题的问题

3. 3. 某设备接收以太网帧，并只把每个帧从它学习到目的硬件地址的那个端口转发出去。该设备工作在 OSI 的哪一层？其数据单元叫什么？

   • A.第 1 层，数据单元是比特流，并从每个已连接端口重复发出
   • B.第 3 层，数据单元是数据包，按逻辑（IP）地址寻址
   • C.第 2 层，数据单元是帧，按硬件（MAC）地址寻址✓ 答案
   • D.第 4 层，数据单元是段，由一对端口号共同标识

   学习硬件地址并有选择地转发属于交换行为，这是数据链路层的功能，第 2 层的协议数据单元就是帧。集线器这类第 1 层设备根本不读取地址，只会把信号从所有端口重复发出。

   编号 QB-EJY89J依据： ISO/IEC 7498-1, OSI Reference Model — data link layer; IEEE 802.3 Ethernet frame format报告此题的问题

4. 4. 有人要求管理员“为 ping 开放端口”，以便 ICMP 回显请求能够穿过防火墙。这个要求的说法为什么是错的？

   • A.ICMP 工作在传输层，使用一个被防火墙默认拦截的保留端口，因此规则必须写明该端口
   • B.ICMP 工作在网络层，不携带端口号，因此规则必须放行 ICMP 协议本身以及所需的报文类型✓ 答案
   • C.ICMP 属于应用层协议，因此防火墙必须检查负载内容，而不是任何协议首部字段
   • D.ICMP 属于数据链路层协议，从不离开本地网段，因此防火墙根本不需要为它写规则

   端口属于传输层的 TCP 和 UDP。ICMP 在网络层由 IP 直接承载，它用报文类型和代码而不是端口来区分，因此针对 ping 的防火墙规则放行的是 ICMP 回显请求与回显应答，而不是某个端口号。

   编号 QB-W2T3PH依据： RFC 792, Internet Control Message Protocol报告此题的问题

5. 5. 当用户数据在发送主机的协议栈中自上而下传递时，每经过一层会发生什么？

   • A.每一层都再次加密数据，使下面各层无法读取其内容
   • B.每一层先去掉上一层写入的首部，再向下传递数据
   • C.每一层都在收到的上层信息前面加上自己的首部✓ 答案
   • D.每一层都重写源地址，使最后只剩下最底层的地址

   这就是封装：自上而下时，每一层都用自己的首部把收到的内容包裹起来，所以段会变成数据包、再变成帧。接收主机则做相反的解封装，自下而上逐层剥去首部。

   编号 QB-DJMW3H依据： ISO/IEC 7498-1, OSI Reference Model — encapsulation of service data units报告此题的问题

6. 6. 传输层端口号按惯例分为三个范围。哪个范围是“知名端口”范围，它是留给什么用的？

   • A.49152–65535，留给广泛使用的服务器服务，并由各厂商永久固定
   • B.1024–49151，留给广泛使用的服务器服务，且只发放给操作系统
   • C.0–1023，留给网页、邮件、目录访问等广泛使用的服务器服务✓ 答案
   • D.0–65535 作为不划分的单一范围，任何服务都可随意占用端口

   0 至 1023 是知名端口范围，用于标识标准的服务器服务；1024 至 49151 是注册端口；49152 至 65535 是动态（临时）端口，客户端在一次连接期间临时借用。

   编号 QB-V2FRGG依据： IANA Service Name and Transport Protocol Port Number Registry — port range assignments报告此题的问题

7. 7. 下列服务与其默认端口的对应关系中，哪一项是正确的？

   • A.服务器消息块（SMB）文件共享 — TCP 445✓ 答案
   • B.安全 LDAP（LDAPS）目录查询 — TCP 389
   • C.不加密的 POP3 邮件收取 — TCP 995
   • D.Telnet 远程终端会话连接 — TCP 22

   SMB 文件共享监听 TCP 445。其余三项都把协议与其对应版本弄反了：LDAPS 用 636，389 是明文 LDAP；明文 POP3 用 110，995 是基于 TLS 的 POP3；Telnet 用 23，22 属于 SSH。

   编号 QB-CJ9KWF依据： IANA Service Name and Transport Protocol Port Number Registry报告此题的问题

8. 8. 一名承包商称 172.32.14.9 属于 RFC 1918 定义的私有地址，因此可以在公司内部随意重复使用。下列哪种说法是正确的？

   • A.该地址是私有地址，因为保留块覆盖 172.0.0.0 至 172.255.255.255
   • B.该地址是私有地址，因为凡是以 172 开头的地址都保留给组织内部重复使用
   • C.该地址是公网地址，因为 RFC 1918 的私有块止于 172.31.255.255✓ 答案
   • D.该地址是公网地址，因为 RFC 1918 只保留 10.0.0.0/8 供组织重复使用

   RFC 1918 保留的是 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16。172 开头的私有块止于 172.31.255.255，因此 172.32.14.9 是分配给他人的公网可路由地址，内部占用它最终会导致无法访问真正的持有者。

   编号 QB-43X3QR依据： RFC 1918, Address Allocation for Private Internets报告此题的问题

9. 9. 一位经理认为，因为外部看不到内部地址，所以有了网络地址转换（NAT）就不再需要防火墙。对这一说法的最佳评价是什么？

   • A.NAT 会永久阻断所有入站连接，因此组织在边界上不再需要任何过滤
   • B.NAT 会逐个会话比对规则库，因此重复了有状态防火墙本来要做的检查工作
   • C.NAT 会加密每个数据包中的地址信息，使内部主机在公网上保持机密
   • D.NAT 把私有地址映射为公网地址，附带遮蔽了内部编址，但它并不执行任何安全策略✓ 答案

   NAT 是一种编址机制，其目的是节约公网地址；遮蔽内部结构只是副作用，而非安全策略。它不会针对内容、应用或用户做出允许或拒绝的判断，因此仍然需要防火墙来执行规则。

   编号 QB-KJRW4R依据： RFC 3022, Traditional IP Network Address Translator; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (IPv4 addressing)报告此题的问题

10. 10. 下列哪项描述了 IPv6 与 IPv4 在编址结构上的差异？

    • A.IPv6 使用 128 位地址，且完全没有广播，改用组播和任播投递✓ 答案
    • B.IPv6 使用 64 位地址并保留广播，这正是其地址空间大于 IPv4 的原因
    • C.IPv6 使用 128 位地址，但每个网络都必须用 NAT，因为其地址不可路由
    • D.IPv6 使用以十六进制书写的 32 位地址，这使它的表示法比 IPv4 更短

    IPv6 把地址长度从 32 位扩大到 128 位，这正是解决 IPv4 地址枯竭的办法，同时它完全取消了广播，改用组播和任播。由于地址空间巨大，也不再需要用 NAT 来延展公网地址。

    编号 QB-KQY62J依据： RFC 4291, IP Version 6 Addressing Architecture报告此题的问题

11. 11. 某供应商声称，公司迁移到 IPv6 后会“自动加密所有流量”。安全从业者应如何评估这一说法？

    • A.该说法错误：IPv6 完全没有机密性机制，必须封装在 IPv4 隧道中才能受到保护
    • B.该说法正确：IPv6 首部由协议本身加密，中间设备无法读取其中承载的内容
    • C.该说法正确：IPv6 地址空间大得多，没有对应的接口标识符就无法读懂流量
    • D.该说法错误：IPsec 在 IPv6 协议族中可用，但仍必须由管理员配置并管理密钥✓ 答案

    IPsec 是作为 IPv6 协议族的一部分设计的，因此能力是具备的，但“具备能力”不等于“已经启用”：没有策略、对端和密钥，流量仍像 IPv4 一样明文传输。地址长度与机密性无关。

    编号 QB-486CMJ依据： RFC 8200, Internet Protocol, Version 6 (IPv6) Specification; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (IPv6)报告此题的问题

12. 12. 远程员工通过公司 VPN 访问内部系统。下列哪项最准确地说明了 VPN 保护什么、又不保护什么？

    • A.它能保护客户端免受恶意软件侵害，因为流量在隧道内都会先经过扫描
    • B.它能用加密和身份验证保护传输中的流量，但保护不了已被感染的客户端✓ 答案
    • C.它能保护企业网络的可用性，因为隧道内的会话不会受到拒绝服务影响
    • D.它能对雇主隐藏用户身份，因为隧道会掩盖隧道内流量真正的发送方

    VPN 为穿越不可信网络的数据提供机密性、完整性和身份验证，但它完全不涉及两端端点的安全状态。因此接入笔记本上的恶意软件会顺着隧道直接进入企业网络。

    编号 QB-JQMUUG依据： NIST SP 800-77, Guide to IPsec VPNs; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (VPN)报告此题的问题

13. 13. 某远程接入 VPN 被配置为：只有发往公司系统的流量进入隧道，普通网页浏览则直接从用户家庭线路出去。这样做会带来什么安全后果？

    • A.上网流量会被检查两次，一次在家、一次在网关，只会白白拖慢连接速度
    • B.上网流量绕过了企业的过滤与检查，因此在那里发生的入侵不会被安全团队看到✓ 答案
    • C.上网流量仍然由 VPN 客户端加密，因此这种安排不会损失任何可见性或控制力
    • D.上网流量会迫使隧道不断重新协商密钥，这才是这种安排的主要弱点所在

    这就是分离隧道。由于发往互联网的那部分流量根本不经过企业网关，网页过滤、日志记录和内容检查都对它无效；一旦端点经由该路径被攻陷，它手上却还握着一条通往内网的活隧道。

    编号 QB-38TZEH依据： NIST SP 800-77, Guide to IPsec VPNs — split tunneling risk报告此题的问题

14. 14. 两台网关建立 IPsec 连接，把各自背后的网络连通；每个原始数据包都被封装进一个由网关发往网关的新数据包中。这里使用的是哪种模式？它保护什么？

    • A.传输模式；它保护整个原始数据包，通常用于网关与网关之间的连接
    • B.隧道模式；它保护整个原始数据包，包括其原始的源地址和目的地址✓ 答案
    • C.隧道模式；它只保护负载，原始地址信息仍然可见以便沿途路由
    • D.传输模式；它只保护负载，通常用于局域网内主机与主机之间的会话

    隧道模式把整个原始数据包（连同其首部）封装进两台网关之间的新外层数据包，因此不仅数据受保护，内部编址也被保护。传输模式只保护负载，用于两台终端主机之间。

    编号 QB-NQPUCM依据： RFC 4301, Security Architecture for the Internet Protocol — tunnel and transport modes报告此题的问题

15. 15. 有状态检测防火墙与简单的包过滤防火墙相比，区别在哪里？

    • A.它只逐个检查每个数据包的源地址、目的地址和端口，彼此互不关联
    • B.它在状态表中记录已建立的连接，并放行属于这些连接的返回流量✓ 答案
    • C.它终止每条连接并代表客户端重新发起，以便对其中的内容进行检查
    • D.它把负载与已知攻击的特征进行比对，并丢弃任何命中特征的数据包

    有状态检测在连接表中跟踪每个会话的状态，因此能区分合法的回应与未经请求的入站数据包。无状态包过滤在数据包之间没有记忆，只能依靠静态规则。

    编号 QB-68VZXM依据： NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — stateful inspection报告此题的问题

16. 16. 某公司需要放行一款获批的协作应用，同时阻止其他同样使用 TCP 443 的程序。哪种防火墙能力可以做到这一点？

    • A.应用识别能力：它识别产生流量的具体程序，而不是只凭端口号来判断✓ 答案
    • B.无状态包过滤：它把每个数据包的目的端口与允许的端口号清单逐一比对
    • C.地址转换：它改写出站会话的源地址，使只有获准的主机才能对外通信
    • D.静态路由：它把获准流量送往指定路径，并丢弃从其他接口进来的流量

    当众多不同应用共用同一个端口时，只针对 443 端口写的规则无法区分它们。应用识别会检查会话并判定具体是哪个应用，因此才能做到放行一款程序、拒绝其余程序。

    编号 QB-MQBH7K依据： NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — application firewalls and application awareness报告此题的问题

17. 17. 团队正在配置一台新防火墙，并就规则库应以什么规则收尾展开讨论。哪种做法体现了标准原则，为什么？

    • A.上班时间拒绝流量、夜间放行，因为夜里有监控人员在岗值守
    • B.凡未被明确拒绝的一律允许，业务流量就不会因为缺少某条规则而中断
    • C.内部流量全部允许、只拒绝入站流量，因为内部用户处于受信任的区域内
    • D.凡未被明确允许的一律拒绝，任何流量都必须先有书面规则为依据才能通过✓ 答案

    默认拒绝是在网络层贯彻最小权限：规则库以隐式拒绝收尾，凡是组织没有主动批准的流量一律丢弃。默认允许则会让防火墙对所有没人想起来去封堵的服务门户大开。

    编号 QB-58HPSK依据： NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — default deny ruleset policy报告此题的问题

18. 18. 某接入点在个人模式下同时支持 WPA2 和 WPA3。下列哪项最好地说明了为什么 WPA3 更安全？

    • A.它的握手过程会隐藏无线网络名称，使攻击者找不到网络来发起攻击
    • B.它的握手过程能抵抗攻击者用抓取的帧离线猜测口令，并提供前向保密✓ 答案
    • C.它的握手过程用 RC4 流密码取代 AES，速度更快且更难被攻破
    • D.它的握手过程取消了口令，设备只凭自身硬件地址即可完成身份验证

    在 WPA2 个人模式下，攻击者可以抓取四次握手，然后离线穷举候选口令。WPA3 个人模式用对等同时认证（SAE）取代该交换过程，从而挫败离线字典攻击，并为每次会话提供前向保密。

    编号 QB-QQDHQP依据： Wi-Fi Alliance WPA3 security specification — Simultaneous Authentication of Equals (SAE)报告此题的问题

19. 19. 为了保护无线网络，管理员提议停止广播网络名称，并只允许清单上已知的硬件地址接入。应当如何评价这一提议？

    • A.地址过滤是有力的控制，而隐藏名称毫无用处，因为名称由设备厂商自行选定
    • B.两项都是有力的控制：网络会变得不可见，未知设备也无法与其建立关联
    • C.隐藏名称是有力的控制，而地址过滤毫无用处，因为地址是本地分配的
    • D.两项都只是隐蔽手段：名称和地址都会出现在流量中，地址还能被伪造✓ 答案

    即使隐藏网络名称，合法客户端发出的帧中仍会出现该名称；硬件地址本来就是明文可见的，并且在软件中随手就能改。两者都不做身份验证，真正的控制仍然是加密和按用户的身份验证。

    编号 QB-88KPAQ依据： NIST SP 800-153, Guidelines for Securing Wireless Local Area Networks — SSID hiding and MAC address filtering报告此题的问题

20. 20. 某高管的手机与车载套件配对。一名攻击者在几米之外，在机主毫无察觉的情况下取走了手机中的联系人列表和存储的短信。这属于哪种蓝牙攻击？

    • A.取消认证攻击：强行把设备踢下当前链路，迫使它必须重新与链路建立关联
    • B.蓝牙骚扰（bluejacking）：通过蓝牙连接向附近设备发送未经请求的消息
    • C.战争驾驶（war driving）：在移动途中绘制无线网络及其信号强度的分布
    • D.蓝牙窃取（bluesnarfing）：未经授权地通过蓝牙连接复制设备中的数据✓ 答案

    蓝牙窃取是从蓝牙设备上盗取数据，属于机密性受损；蓝牙骚扰只是推送不请自来的消息，属于滋扰。让设备不处于可被发现状态、只在可信场所配对，可同时降低这两种风险。

    编号 QB-ZNNC92依据： NIST SP 800-121, Guide to Bluetooth Security; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (wireless: Bluetooth)报告此题的问题

21. 21. 安全团队希望把标准的月度补丁周期套用到运行某化工厂生产线的控制器上。为什么工业控制环境需要不同的做法？

    • A.无需打补丁，因为控制协议会对每条指令做身份验证，并拒绝未经签名的命令
    • B.机密性优先，因此必须立即为控制器打补丁，哪怕生产线因此被迫停车也在所不惜
    • C.安全（人身）与可用性优先，变更要等到计划停机窗口，其间以网络隔离作为补偿控制✓ 答案
    • D.补丁是自动的，因为控制系统厂商发布的更新可以在不中断运行的情况下安装

    在运营技术环境中，优先次序是反过来的：一次计划外重启可能伤人或毁掉一整批产品，因此可用性和人身安全高于机密性。补丁要等到获批的变更窗口，在此之前由网络隔离与监控来承担风险。

    编号 QB-G6G7PZ依据： NIST SP 800-82, Guide to Operational Technology (OT) Security — differences between OT and IT security priorities报告此题的问题

22. 22. 后勤团队在整栋楼里安装了数百个联网传感器和摄像头。以下哪一组特征使这类嵌入式设备难以保护？

    • A.出厂默认口令、更新途径有限甚至缺失，以及在已停止支持的软件上长期服役✓ 答案
    • B.出厂口令强度很高、厂商更新频繁，且使用寿命短，需要定期更换整批设备
    • C.各自配备强劲处理器和完整操作系统，管理工具与企业服务器完全一致
    • D.设计上彼此隔离、自身没有网络接口，也无法与楼宇之外的系统通信

    嵌入式与物联网设备出厂时带有众所周知的默认口令，往往没有可用的固件更新途径，而且在软件停止维护之后仍会继续服役多年。通常的对策是把它们隔离到独立网段，并在安装时逐台改掉所有默认设置。

    编号 QB-YNA24Z依据： NISTIR 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks报告此题的问题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。 官方 CC 考试大纲 →