2025年SOC安全运营工程师考试题库（附答案和详细解析）（1011）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.网络流量加密

B.日志集中采集与分析

C.终端设备硬件监控

D.物理服务器环境监测

答案：B

解析：SIEM系统的核心是通过集中采集、存储、分析各类日志（如网络、系统、应用日志），实现安全事件的实时监控与关联分析。A为加密技术功能，C为IT运维监控范畴，D为物理安全管理，均非SIEM核心。

以下哪种威胁情报属于战术级情报？

A.某APT组织的长期活动规律

B.某恶意软件的C2服务器IP

C.全球网络攻击趋势年度报告

D.国家网络安全战略文件

答案：B

解析：战术级情报聚焦具体攻击活动的技术细节（如IP、哈希值），用于直接指导防御操作。A为战略级（组织特征），C为战略级（趋势分析），D为战略级（政策层面）。

下列日志类型中，最能反映用户异常操作行为的是？

A.网络流量日志（NetFlow）

B.系统认证日志（Auth.log）

C.应用程序交易日志（TransactionLog）

D.防火墙会话日志（SessionLog）

答案：B

解析：系统认证日志记录用户登录、权限变更等操作，可直接反映用户身份的异常行为（如非工作时间登录）。A侧重流量统计，C侧重业务流程，D侧重网络访问控制。

MITREATTCK框架中的“横向移动”属于哪个阶段？

A.初始访问（InitialAccess）

B.执行（Execution）

C.持久化（Persistence）

D.横向移动（LateralMovement）

答案：D

解析：ATTCK框架将攻击生命周期分为14个阶段，“横向移动”是独立阶段，指攻击者在目标网络内扩散控制的过程。其他选项为不同阶段名称。

SOC告警分级中，“关键级（Critical）”告警的典型场景是？

A.员工终端安装非授权软件

B.核心数据库出现异常数据导出

C.边界防火墙规则配置错误

D.内部邮件服务器连接超时

答案：B

解析：关键级告警需直接威胁核心资产（如数据库数据泄露），需立即响应。A为低风险（合规问题），C为中风险（配置错误可能被利用），D为中风险（服务可用性问题）。

以下哪项不是APT（高级持续性威胁）的典型特征？

A.长期持续性攻击（数月至数年）

B.使用0day漏洞或定制化工具

C.攻击目标多为个人用户

D.具备国家或组织背景支持

答案：C

解析：APT目标通常是政府、企业等关键机构，个人用户非主要目标。其他选项均为APT核心特征（持续性、高级工具、背景支持）。

EDR（端点检测与响应）的核心优势是？

A.占用终端资源少

B.仅检测已知恶意软件

C.提供攻击溯源与主动响应

D.替代防火墙实现网络隔离

答案：C

解析：EDR通过端点行为监控（如进程、文件操作）实现攻击检测，并支持远程隔离、日志提取等响应操作。A错误（EDR资源占用较高），B错误（支持未知威胁检测），D错误（网络隔离是防火墙功能）。

应急响应流程中，“遏制（Containment）”阶段的首要目标是？

A.恢复受影响系统至正常状态

B.防止攻击范围扩大

C.收集攻击证据用于溯源

D.更新安全策略避免复发

答案：B

解析：遏制阶段需快速限制攻击影响（如隔离主机、阻断C2通信），防止损失扩大。A为恢复阶段，C为取证阶段，D为改进阶段。

以下哪种漏洞扫描属于“主动式扫描”？

A.基于日志分析的漏洞发现

B.模拟攻击者发送探测包检测漏洞

C.通过资产清单匹配已知漏洞库

D.依赖用户反馈的漏洞上报

答案：B

解析：主动式扫描通过发送探测请求（如SQL注入测试、端口扫描）直接验证漏洞存在。A/C/D均为被动式（依赖已有数据或外部反馈）。

安全运营的“黄金三角”不包括以下哪项？

A.人员（People）

B.流程（Process）

C.技术（Technology）

D.成本（Cost）

答案：D

解析：安全运营的核心三要素是人员（技能）、流程（标准化操作）、技术（工具支持），成本是管理考量但非核心三角。

二、多项选择题（共10题，每题2分，共20分）

威胁狩猎（ThreatHunting）的常用方法包括？

A.基于已知IOC（指示物）的定向有哪些信誉好的足球投注网站

B.被动接收SIEM系统告警

C.假设驱动的攻击场景模拟

D.依赖第三方威胁情报的漏洞验证

答案：AC

解析：威胁狩猎是主动发现潜在威胁的过程，常用方法包括基于IOC的有哪些信誉好的足球投注网站（A）和假设驱动的场景验证（C）。B是传统监控模式，D属于漏洞管理范畴，均非狩猎方法。

日志分析的关键要素包括？

A.日志的完整性（无丢失）

B.日志的及时性（实时性）

C.日志的关联性（跨源关联）

D.