21 道网络安全练习题及答案

1. 1. 某网络团队为每个固件镜像发布一个加密哈希值，下载者可以用它来核对文件是否被改动过。这项措施主要保护 CIA 三要素中的哪个属性？

   • A.完整性✓ 答案
   • B.审计记录
   • C.机密性
   • D.可用性

   哈希是单向摘要：文件哪怕只改动一个比特，得到的哈希值也会完全不同，因此比对哈希可以发现未经授权的修改，这正是完整性的定义。机密性依靠加密和访问控制来保障，可用性依靠冗余、备份和抗拒绝服务措施来保障；审计记录根本不属于 CIA 三要素。

   编号 QB-TZXJ39依据： CompTIA Network+ — Network Security domain (CIA triad)报告此题的问题

2. 2. 一台路由器所运行的固件在其 Web 管理界面中存在一个尚未修补的缺陷。按照标准的安全术语，这个未修补的缺陷本身属于下列哪一项？

   • A.威胁主体（攻击者）
   • B.漏洞利用载荷
   • C.风险暴露程度
   • D.漏洞（脆弱性）✓ 答案

   漏洞指的是弱点或缺陷本身；威胁是可能利用该弱点的行为主体或事件；利用代码是真正针对该弱点实施攻击的具体技术或程序；风险则是威胁利用该漏洞的可能性与由此造成影响的综合结果。把这四个词区分清楚是常考的词汇题。

   编号 QB-AHSDG8依据： CompTIA Network+ — Network Security domain (security terminology)报告此题的问题

3. 3. 与传统的边界防护模型相比，下列哪项陈述最准确地描述了零信任架构？

   • A.无论请求来自网络内部还是外部，都必须经过身份验证和授权✓ 答案
   • B.设备只要通过了边界防火墙，在内部就被视为可信
   • C.只要主机使用 RFC 1918 私有地址，就自动获得信任
   • D.只检查来自互联网的入站流量，内部流量不作检查

   零信任取消了基于网络位置的隐式信任："从不信任，始终验证"意味着每一次请求都要校验身份、设备状态和策略，并按最小权限授予访问权，同时持续复核。传统边界模型恰恰相反，把防火墙内部的一切都当作可信，一旦攻击者取得立足点就能横向移动。

   编号 QB-SZK8W7依据： CompTIA Network+ — Networking Concepts domain (zero trust architecture)报告此题的问题

4. 4. 一台集中式服务器记录了哪位技术人员登录了交换机、登录时间以及输入了哪些配置命令。这条记录属于 AAA 中的哪个环节？

   • A.记账/审计（Accounting）✓ 答案
   • B.身份验证（Authentication）
   • C.授权（Authorization）
   • D.身份标识（Identification）

   记账（Accounting）记录的是已通过身份验证的用户实际做了什么——会话何时开始和结束、使用了哪些资源、执行了哪些命令，它使事后追溯成为可能。身份验证用于证明用户是谁，授权决定该用户可以做什么，而身份标识只是尚未被证实的身份声明。

   编号 QB-9HE3B7依据： CompTIA Network+ — Network Security domain (authentication, authorization and accounting)报告此题的问题

5. 5. 在使用 IEEE 802.1X 的有线网络中，接入层交换机端口会阻断新接入笔记本电脑的所有数据流量，直到该电脑的凭据被中央服务器验证通过为止。该交换机端口在 802.1X 中承担哪个角色？

   • A.请求者（Supplicant）
   • B.认证服务器（Authentication server）
   • C.证书颁发机构（CA）
   • D.认证者（Authenticator）✓ 答案

   802.1X 定义了三个角色：请求者是申请接入的客户端，认证者是充当门卫的交换机端口或无线接入点，认证服务器（通常是 RADIUS）负责作出判定。认证者先让端口处于非受控状态，只允许基于局域网的 EAP（EAPOL）认证流量通过，并把这些 EAP 报文转发给服务器，只有在认证成功后才开放受控状态放行数据流量。

   编号 QB-RZ8WQ6依据： IEEE 802.1X port-based network access control standard报告此题的问题

6. 6. 下列哪项陈述正确地区分了 TACACS+ 与 RADIUS？

   • A.RADIUS 把授权与身份验证分开，而 TACACS+ 把两者合并
   • B.RADIUS 加密整个报文，而 TACACS+ 只保护密码字段
   • C.TACACS+ 是开放标准，而 RADIUS 是单一厂商的专有协议
   • D.TACACS+ 加密整个报文，并把 AAA 三项功能分开处理✓ 答案

   TACACS+ 加密整个负载，并把身份验证、授权和记账当作彼此独立的功能，因此管理员通过一次身份验证后，仍可以逐条命令地进行授权，这正是它适合设备管理的原因。RADIUS 才是开放标准，基于 UDP 传输，只保护密码字段，并且把身份验证与授权合并处理，更适合无线、VPN 和 802.1X 这类网络接入判定。

   编号 QB-8H3R56依据： CompTIA Network+ — Network Security domain (identity and access management)报告此题的问题

7. 7. 某网站门户先要求用户输入密码，然后再要求回答一个个人安全问题。为什么这**不**算多因素认证？

   • A.多因素认证至少需要三个凭据
   • B.第二个输入框在传输过程中没有加密保护
   • C.RADIUS 服务器无法校验安全问题的答案
   • D.两项都属于"你所知道的"，因此只是一个因素✓ 答案

   多因素认证要求凭据来自不同的因素类别——你所知道的、你所拥有的、你本身具备的，再加上你所在的位置或时间窗口等辅助属性。两项都属于"你所知道的"，仍然只是一个类别，一次肩窥、一次钓鱼或一次密码库泄露就可能同时暴露两者。改用令牌验证码、推送确认或生物特征才能真正引入第二个类别。

   编号 QB-QZVJJ5依据： CompTIA Network+ — Network Security domain (multifactor authentication)报告此题的问题

8. 8. 某机构希望权限随岗位职能而定：新员工一旦被加入"服务台"组，就自动获得该岗位所需的、且仅限于所需的权限。这描述的是哪种访问控制方法？

   • A.强制访问控制（MAC）
   • B.自主访问控制（DAC）
   • C.基于角色的访问控制（RBAC）✓ 答案
   • D.基于规则的访问控制

   基于角色的访问控制把权限绑定到角色或组，而不是绑定到个人，因此开通和回收权限只需调整角色成员身份，同一岗位的所有人都适用同一套规则；由于角色本身就按岗位所需的最低限度来设定，最小权限原则也能在规模化场景下落实。其余三种模型依据的完全是别的东西：强制访问控制按系统强制的安全标签和许可级别授予访问权，自主访问控制由每个资源的所有者自行决定谁可以使用，基于规则的访问控制则按时间段、源地址等条件对所有人一视同仁地放行或拦截。

   编号 QB-FHJ3CE依据： CompTIA Network+ — Network Security domain (authorization and least privilege)报告此题的问题

9. 9. 某路由器接口上入方向应用了一个 ACL，语句顺序为：（1）deny tcp any 10.10.0.0/16；（2）permit tcp any host 10.10.5.20 eq 443。用户反映无法访问 10.10.5.20 上的 HTTPS 服务器。原因是什么？

   • A.ACL 自上而下匹配、首次命中即停止，拒绝语句先命中✓ 答案
   • B.ACL 必须同时应用到 VLAN 接口上才会生效
   • C.列表末尾的隐式允许覆盖了前面两条已配置的语句
   • D.HTTPS 使用 UDP，因此 TCP 的允许语句永远匹配不到它

   ACL 自上而下逐条处理，命中第一条匹配项后就停止，因此把范围较大的拒绝语句放在具体的允许语句之前，会悄悄挡住本该放行的流量；正确做法是把具体的允许语句排在更宽泛的拒绝语句之前。此外，列表末尾隐含的是"全部拒绝"，而不是隐含允许，所以任何需要放行的流量都必须有明确的允许语句。

   编号 QB-XZCWRD依据： CompTIA Network+ — Network Security domain (access control lists)报告此题的问题

10. 10. 某公司需要对外提供一台公共 Web 服务器和一台可从互联网访问的 DNS 服务器。按照标准的安全区域设计，这些系统应当放在哪里？

    • A.放在访客无线 VLAN 上，访客不用 VPN 也能访问
    • B.放在内部用户 VLAN 上，由防火墙转发所需端口
    • C.放在屏蔽子网中，与互联网和内部局域网都做过滤隔离✓ 答案
    • D.直接放在互联网边缘，前面不做任何过滤

    屏蔽子网是专门承载面向互联网服务的独立网段，其位置安排使不可信客户端能访问已发布的服务，而该网段本身不能主动向可信的内部网络发起连接。这种隔离正是设计目的：即使公共 Web 服务器被攻陷，攻击者也只是落在一个隔离区域，而不是直接进入放着文件服务器和办公终端的局域网。

    编号 QB-FUX2UQ依据： CompTIA Network+ — Network Security domain (trusted and untrusted zones, screened subnet)报告此题的问题

11. 11. 某安全团队希望监视生产链路上的可疑流量模式，但硬性要求是：监测系统绝不能延迟或丢弃正常流量。下列哪种部署方式满足该要求？

    • A.旁路部署的 IDS，由镜像（SPAN）端口喂送流量副本✓ 答案
    • B.在每台内部客户端前面部署的 Web 应用防火墙
    • C.在互联网边缘串接、工作在阻断模式的 IPS
    • D.终结并改写每一条客户端会话的代理服务器

    IDS 采用旁路部署，检查的是镜像端口送来的流量副本，因此只能检测并告警；生产报文根本不经过它，误报最多浪费分析人员的时间，而不会造成业务中断。IPS 则是串接在链路中的，正因如此它才能实时阻断，但同样也可能增加时延，或在特征误判时丢弃正常会话。

    编号 QB-YB58ER依据： CompTIA Network+ — Networking Concepts domain (IDS and IPS appliances)报告此题的问题

12. 12. 某工厂运行着老旧的 SCADA 和工业控制设备，厂商已不再为其提供补丁，而且它们无法支持现行的身份验证或加密机制。最合适的网络层控制措施是什么？

    • A.把控制器移到与工程师工作站相同的 VLAN 上
    • B.把控制器隔离在专属 VLAN 中，并严格过滤其进出流量✓ 答案
    • C.在每台老旧控制器上安装终端杀毒代理
    • D.通过端口转发把控制器发布到互联网上

    当设备本身无法加固或打补丁时，补偿性控制就是缩小"谁能访问它"和"它能访问谁"的范围：把它放进专属网段并对流量做过滤，可以限制横向移动，缩小一旦网络中出现失陷时的影响范围。嵌入式控制器通常根本装不了杀毒代理，而把它们和通用工作站合并或直接暴露到互联网，只会扩大攻击面。

    编号 QB-EUKQNP依据： CompTIA Network+ — Network Security domain (network segmentation enforcement)报告此题的问题

13. 13. 技术人员正在部署刚拆箱的新交换机和新无线接入点。下列哪项加固措施针对的是新安装网络设备上最常被利用的薄弱环节？

    • A.隐藏无线 SSID，使网络无法被发现
    • B.修改两台设备出厂时的默认管理员凭据✓ 答案
    • C.保持所有交换机端口开启，以便随时接入新设备
    • D.启用 Telnet，以便从一开始就能管理这些设备

    厂商的默认用户名和密码都写在说明书里、也被公开汇总，因此在任何新的交换机、接入点、路由器或摄像机上，第一步就是修改它们；关闭未使用的端口和服务则清除其余不必要的攻击面。同一轮加固还应把明文管理方式换成加密方式——用 SSH 取代 Telnet、用 HTTPS 取代 HTTP、用 SNMPv3 取代团体字符串；而隐藏 SSID 只是不在信标帧中广播名称，任何无线分析工具都能识破。

    编号 QB-XBSV8Q依据： CompTIA Network+ — Network Security domain (device hardening)报告此题的问题

14. 14. 公司大堂里的访客连接到一个无线网络，其 SSID 与公司正式 SSID 完全相同、信号还异常强，随后页面弹出一个登录界面，窃取他们的公司账号凭据。这描述的是哪种攻击？

    • A.双胞胎 AP（evil twin）✓ 答案
    • B.非法 AP（rogue AP）
    • C.去认证攻击
    • D.MAC 泛洪

    双胞胎接入点的本质特征是"冒充"：攻击者的接入点克隆一个已知 SSID（往往连 BSSID 也一并克隆），并以更强的信号压过真实接入点，使客户端连到它上面，从而让攻击者处于中间位置并伪造强制门户页面。非法接入点只是指接入到网络中的未授权 AP，比如员工自带的家用路由器，它未必冒充公司网络；是否"冒充"正是两者的区分点。

    编号 QB-HUNQ6T依据： CompTIA Network+ — Network Security domain (wireless attacks)报告此题的问题

15. 15. 在多台工作站上，arp -a 的输出显示默认网关的 IP 地址和另一台主机的 IP 地址都映射到同一个 MAC 地址，并且发往网关的流量正在被截获。这属于哪种攻击？

    • A.DNS 投毒
    • B.DHCP 欺骗
    • C.ARP 投毒✓ 答案
    • D.VLAN 跳跃

    ARP 本身没有任何认证机制，攻击者可以发送未经请求的或无偿的 ARP 应答，把自己的 MAC 地址绑定到网关的 IP 上，从而污染所有收到该应答的主机的 ARP 缓存。两个 IP 地址解析到同一个 MAC 地址正是典型症状，其后果是攻击者取得中间人（on-path）位置，可以嗅探、篡改流量或制造拒绝服务。

    编号 QB-2CUVRT依据： IETF RFC 826 (Address Resolution Protocol); CompTIA Network+ — Network Security domain报告此题的问题

16. 16. 员工在浏览器中输入的是正确的内部薪资系统主机名，却打开了一个以假乱真的欺诈登录页面。地址栏中的主机名没有错，而解析器中该名称的缓存记录却指向一个陌生的外部 IP 地址。最符合的是哪种攻击？

    • A.ARP 投毒
    • B.DNS 投毒✓ 答案
    • C.仿冒域名（typosquatting）
    • D.鱼叉式钓鱼

    DNS 投毒篡改的是解析器（或 hosts 文件）中的缓存记录，使一个拼写完全正确的合法名称解析到攻击者控制的地址——这正是网址看起来没问题、目的地却是假站点的原因。仿冒域名依赖用户把名称打错，鱼叉式钓鱼依赖用户点击别人发来的链接，而 ARP 投毒作用在本地网段的第二层，并不会改动解析器为某个名称缓存的记录。DNSSEC 通过对记录签名提供来源认证和完整性来对抗这种攻击，但它并不加密 DNS；加密由 DoH 和 DoT 提供。

    编号 QB-GUADZR依据： IETF RFC 1035 (Domain Names — Implementation and Specification); CompTIA Network+ — Network Security domain报告此题的问题

17. 17. 下列哪项交换机配置更改最直接地缓解了利用双重标签实施的 VLAN 跳跃攻击？

    • A.在所有接入端口上启用动态中继协商
    • B.调大中继链路的 MTU，让双重标签帧被丢弃
    • C.把所有主机都放进默认 VLAN，这样就不用打标签
    • D.把中继链路的本征 VLAN 设为专用的空闲 VLAN✓ 答案

    在双重标签攻击中，攻击者发送带有两层 802.1Q 标签的帧；第一台交换机因为外层标签与本征 VLAN 相同而将其剥离（本征 VLAN 是不打标签传输的），随后按内层标签把帧转发到受害者所在的 VLAN。把本征 VLAN 指定为一个没有任何主机的空闲 VLAN，就抽掉了外层标签所依赖的载体；同时禁止接入端口协商中继，则封堵了另一种 VLAN 跳跃手法——交换机欺骗。

    编号 QB-ZBGJKS依据： IEEE 802.1Q VLAN tagging standard; CompTIA Network+ — Network Security domain报告此题的问题

18. 18. 一台交换机突然开始把单播帧从每个端口都转发出去，接在某个接入端口上的笔记本电脑因此可以捕获其他主机之间的通信。发生了什么？哪项功能可以防止这种情况？

    • A.交换机 CAM 表被伪造的源 MAC 地址灌满；端口安全可以防止✓ 答案
    • B.路由环路引发了广播风暴；启用 NAT 可以防止
    • C.全网 ARP 缓存同时失效；缩短 DHCP 租期可以防止
    • D.交换机丢失了默认网关；添加一条静态路由可以防止

    MAC 泛洪攻击会发送大量源地址伪造的帧，直到交换机的 CAM 表被填满；由于无处记录新表项，交换机进入"失效开放"状态，把单播帧从所有端口泛洪出去，攻击者因而能嗅探到本应只发往目的端口的流量。端口安全可以限制单个端口可学习的 MAC 地址数量，并在超限时对端口执行关闭、限制或保护动作。

    编号 QB-KUCDHV依据： CompTIA Network+ — Network Security domain (port security and Layer 2 attacks)报告此题的问题

19. 19. 攻击者向大量对外开放的互联网服务发送体积很小的伪造 UDP 查询，并把受害者的 IP 地址填入源地址字段，于是每个服务都会向受害者返回一个大得多的响应，最终把受害者的链路撑爆。这种攻击应如何描述？

    • A.DNS 缓存投毒攻击
    • B.中间人（on-path）拦截攻击
    • C.撞库攻击
    • D.反射放大式 DDoS 攻击✓ 答案

    伪造源地址使第三方服务把应答"反射"给受害者，而应答报文远大于查询报文，流量因此被放大——攻击者只需很小的带宽就能制造洪流。被攻击的属性是可用性：数据既没有被读取也没有被篡改，只是链路和服务被耗尽，这正是拒绝服务攻击区别于针对机密性或完整性攻击之处。

    编号 QB-4CJJ4W依据： CompTIA Network+ — Network Security domain (DoS and DDoS attacks)报告此题的问题

20. 20. 下列哪项陈述描述了无线局域网中个人模式（预共享密钥）与企业模式（802.1X）之间的结构性差异？

    • A.预共享密钥模式下的 MAC 过滤，识别用户的强度与 802.1X 相当
    • B.预共享密钥模式验证的是共享口令，而不是某个具体的用户✓ 答案
    • C.在预共享密钥模式下隐藏 SSID，就能获得 802.1X 那样的按用户识别
    • D.预共享密钥模式下无线帧不加密，而企业模式下才加密

    两种模式都会对空口链路加密；真正持久的区别在于"验证的是什么"。预共享密钥验证的是"谁知道这个共享口令"，因此没有按用户追责的能力，也无法单独吊销某个人的权限，一旦有人离职就得为所有设备重新配置密钥。企业模式引入 802.1X 和认证服务器，为每位用户提供各自的凭据，可以逐个记录日志和吊销。隐藏 SSID 和 MAC 过滤根本算不上认证——信标帧和 MAC 地址都很容易被观察和伪造。

    编号 QB-VSM838依据： IEEE 802.11 wireless security amendments; IEEE 802.1X port-based network access control standard报告此题的问题

21. 21. 一名持工牌的员工刷卡打开通往配线间走廊的门，一个没有工牌的陌生人紧跟其后进入。这属于哪种攻击？哪种控制措施专门用来阻止它？

    • A.翻垃圾搜集情报，用粉碎废弃文件来对抗
    • B.肩窥，用防窥屏来对抗
    • C.尾随进入，用门禁缓冲间（互锁门）来对抗✓ 答案
    • D.借口欺诈，用邮件内容过滤来对抗

    尾随进入是指跟着有权限的人穿过受控门，闯入者自始至终没有出示任何凭据——这是直通配线间、配线架和交换机控制台的捷径。门禁缓冲间一次只允许一人通过，外门关闭且本人完成身份验证之前内门不会打开；安全意识培训则教育员工不要替人拉门。其他选项把真实存在的手法与各自不同的对策配在了一起。

    编号 QB-CAF3G7依据： CompTIA Network+ — Network Security domain (physical security and social engineering)报告此题的问题

练习题依据 CompTIA Network+ 考试的各个领域，以及该考试所基于的公开标准（IEEE 802.3 与 802.11、IEEE 802.1Q 与 802.1X、IANA 端口注册表、IETF RFC 文档以及 TIA-568 布线标准）编写。CompTIA 和 Network+ 是 CompTIA 的商标；本网站与 CompTIA 无关联，也未获其认可。考试大纲会定期修订——报考前请查阅你所报版本的官方现行大纲。 关于 Network+ 考试 →