2025年SOC安全运营工程师考试题库（附答案和详细解析）（1002）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.漏洞扫描与修复

B.集中日志管理与关联分析

C.终端病毒查杀

D.网络流量控制

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、主机、应用），进行标准化、关联分析和事件聚合，实现威胁检测与合规审计。A为漏洞管理工具功能，C为杀毒软件功能，D为防火墙功能，均非SIEM核心。

ATTCK框架的主要作用是？

A.漏洞风险等级评估

B.攻击行为建模与知识共享

C.加密算法强度验证

D.威胁情报评分

答案：B

解析：ATTCK（AdversarialTactics,Techniques,andCommonKnowledge）是MITRE提出的攻击行为知识库，覆盖攻击者的战术（Tactics）和技术（Techniques），用于指导防御策略设计。A是CVSS的作用，C是密码学范畴，D是威胁情报平台功能。

安全事件应急响应中，最优先的步骤是？

A.清除恶意程序

B.确认事件真实性与影响范围

C.通知管理层

D.修复系统漏洞

答案：B

解析：应急响应需遵循“确认-遏制-根除-恢复-复盘”流程，首要步骤是验证事件是否真实（如排除误报）并评估影响，避免资源浪费。A、D属于后续根除阶段，C属于沟通环节，非最优先。

以下哪种日志属于非结构化日志？

A.Syslog（RFC5424格式）

B.Nginx访问日志（自定义格式）

C.Windows事件日志（XML格式）

D.数据库审计日志（表格化记录）

答案：B

解析：非结构化日志无固定字段格式（如纯文本），需通过正则表达式解析；结构化日志（A、C、D）有预定义字段（如时间、用户、操作）。Nginx默认日志（如$remote_addr-$remote_user[$time_local]$request$status）为半结构化，若自定义格式可能更接近非结构化。

网络流量分析（NTA）中，用于识别异常通信的关键指标是？

A.源IP地址段

B.会话持续时间异常（如短时间大量连接）

C.MAC地址

D.域名解析记录（DNS）

答案：B

解析：NTA通过分析流量特征（如连接频率、持续时间、数据量）识别异常（如DDoS、C2通信）。A、C是基础网络标识，D是域名解析信息，均非直接用于异常检测的核心指标。

威胁检测中发现大量误报时，最合理的处理方式是？

A.关闭该检测规则

B.调整规则阈值或优化关联条件

C.忽略所有警报

D.直接升级为安全事件

答案：B

解析：误报通常因规则过于敏感（如阈值过低）或关联条件不足，需优化规则（如提高触发阈值、增加上下文关联）。A会导致漏报，C放弃检测，D增加无效响应，均不合理。

漏洞管理中，确定修复优先级的主要依据是？

A.漏洞发现时间

B.CVSS（通用漏洞评分系统）分值

C.受影响设备数量

D.漏洞描述长度

答案：B

解析：CVSS通过基础指标（攻击复杂度、影响范围）、时间指标（修复难度）和环境指标（业务影响）综合评分（0-10分），是行业公认的漏洞优先级评估标准。A、C是辅助因素，D无关联。

网络入侵检测系统（NIDS）的典型部署模式是？

A.网桥模式（透明转发）

B.路由模式（参与三层转发）

C.旁路监听（镜像流量）

D.NAT模式（地址转换）

答案：C

解析：NIDS通过监听网络镜像流量（如交换机端口镜像）分析威胁，不影响原有网络路径。A、B是防火墙或交换机的工作模式，D是地址转换技术，均非NIDS部署方式。

安全事件分级的核心依据是？

A.攻击者IP地址归属

B.事件对业务的影响范围与损失程度

C.事件发生的具体时间（如工作日/节假日）

D.关联日志的数量

答案：B

解析：事件分级需基于业务影响（如数据泄露量、系统宕机时间、用户受影响范围），以确定响应资源投入。A、C、D与影响程度无直接关联。

保障日志完整性的关键技术是？

A.日志加密（如AES）

B.哈希校验（如SHA-256）

C.日志脱敏（如掩码处理）

D.日志压缩（如Gzip）

答案：B

解析：日志完整性指日志未被篡改，哈希校验通过比对原始日志与存储日志的哈希值验证完整性。A保障必威体育官网网址性，C保护隐私，D优化存储，均不直接验证完整性。

二、多项选择题（共10题，每题2分，共20分）

以下属于威胁情报主要来源的有？

A.开源情报（OSINT，如安全论坛、漏洞库）

B.暗网监控（如非法交易平台）

C.厂商共享（如安全公司威胁报告）

D.用户上报（如内部员工异常行为反馈）

答案：ABCD

解析：威胁情报来源包括公开渠道（OSINT）、半公开/私有渠道（暗网、厂商共享）及