2025年SOC安全运营工程师考试题库（附答案和详细解析）（0926）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端设备漏洞扫描

B.集中日志采集、标准化与关联分析

C.网络流量深度包检测（DPI）

D.病毒特征库实时更新

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、主机、应用），进行标准化处理后，基于规则或AI实现事件关联分析，发现安全事件。A属于漏洞扫描工具功能（如Nessus），C属于NTA（网络流量分析）工具功能（如Darktrace），D属于杀毒软件（如卡巴斯基）功能。

在ATTCK框架中，“横向移动（LateralMovement）”属于哪个阶段？

A.初始访问（InitialAccess）

B.执行（Execution）

C.持久化（Persistence）

D.命令与控制（CommandandControl）

答案：B

解析：ATTCK框架将攻击生命周期分为14个阶段，“横向移动”指攻击者在已控制主机上尝试访问其他主机（如通过SMB、RDP），属于“执行”阶段后的扩展步骤。A是初始入侵阶段，C是维持权限阶段，D是与C2服务器通信阶段。

以下哪种日志最适合用于检测暴力破解攻击？

A.网络流量日志（NetFlow）

B.防火墙会话日志

C.服务器SSH登录日志

D.应用程序业务日志

答案：C

解析：暴力破解攻击的关键特征是短时间内多次失败登录尝试，SSH登录日志（如/var/log/auth.log）会记录每次登录的用户名、IP、成功/失败状态，直接反映暴力破解行为。A主要记录流量统计（如源目IP、字节数），B记录防火墙规则匹配情况，D记录业务操作（如用户下单），均无法直接体现登录失败频率。

以下哪项不属于威胁情报中的IOC（攻击指标）？

A.恶意文件SHA-256哈希值

B.攻击者C2服务器IP地址

C.钓鱼邮件中的恶意链接域名

D.攻击组织使用的社会工程话术

答案：D

解析：IOC是可被检测的技术指标，包括哈希、IP、域名、文件路径等；社会工程话术属于TTP（攻击战术、技术、流程），是攻击者的行为模式，不属于可直接检测的IOC。

当SOC监控到某服务器CPU利用率持续90%以上且无业务高峰时，优先采取的措施是？

A.立即重启服务器

B.查看进程列表定位高消耗进程

C.断开服务器网络连接

D.升级服务器硬件配置

答案：B

解析：异常资源占用需先定位根源（如恶意进程、死循环程序），再决定后续操作。A可能导致数据丢失或服务中断，C属于应急响应中的“抑制”步骤（需确认是攻击后），D属于长期优化，非优先措施。

以下哪种攻击检测技术属于“异常检测”？

A.基于已知病毒特征码的扫描

B.基于规则的SQL注入检测（如检测“’OR1=1–”）

C.基于基线的用户行为分析（如某员工凌晨3点访问敏感数据）

D.基于CVE漏洞库的漏洞利用检测

答案：C

解析：异常检测通过建立正常行为基线（如用户访问时间、频率），识别偏离基线的行为（如异常时间访问）；A/B/D均属于“签名检测”，依赖已知攻击特征或漏洞规则。

在应急响应中，“根除（Eradication）”阶段的核心目标是？

A.隔离受感染设备防止扩散

B.彻底清除攻击者留下的后门和恶意文件

C.恢复业务系统到正常状态

D.撰写事件报告并复盘改进

答案：B

解析：应急响应阶段包括准备、检测与分析、抑制、根除、恢复、总结。根除阶段需清除攻击痕迹（如木马、非法账户、计划任务），防止攻击者再次利用；A是抑制阶段，C是恢复阶段，D是总结阶段。

以下哪项是EDR（端点检测与响应）的典型功能？

A.网络流量的深度包检测（DPI）

B.终端进程行为的实时监控与阻断

C.全网资产的漏洞扫描与风险评估

D.安全事件的集中关联分析与告警

答案：B

解析：EDR部署于终端，通过监控进程、文件、注册表等行为（如恶意进程启动、敏感文件删除）实现检测与响应；A是NIDS（网络入侵检测系统）功能，C是漏洞扫描工具功能，D是SIEM功能。

当收到钓鱼邮件威胁情报（含恶意链接）时，SOC的首要操作是？

A.通知全员警惕该邮件

B.在邮件网关部署URL过滤规则

C.分析恶意链接的落地页内容

D.对已点击链接的用户终端进行扫描

答案：B

解析：威胁情报的核心价值是“前置防御”，通过邮件网关阻断恶意链接（如将域名加入黑名单）可直接阻止攻击扩散；A是辅助措施，C是情报分析步骤，D是事后补救。

以下哪项符合安全运营中的“最小权限原则”？

A.为所有员工分配管理员权限以便快速操作

B.仅为财务人员开放财务系统访问权限

C.允许开发人员直接访问生产数据库

D.所有服务器使用相同的超级管理员账号

答案：B