2025年SOC安全运营工程师考试题库（附答案和详细解析）（1005）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.漏洞扫描与修复

B.集中日志管理与关联分析

C.终端病毒查杀

D.网络流量加密传输

答案：B

解析：SIEM的核心是通过收集、标准化、存储日志，并基于规则或AI进行关联分析，发现异常事件。A是漏洞管理系统功能，C是EDR（端点检测与响应）功能，D是VPN或加密协议功能，均非SIEM核心。

以下哪种攻击类型属于“横向移动”阶段的典型行为？

A.通过钓鱼邮件投递恶意软件

B.利用漏洞获取本地管理员权限

C.扫描内网主机开放端口

D.加密主机文件索要赎金

答案：C

解析：ATTCK框架中，横向移动指攻击者在已渗透主机上，通过扫描、凭证窃取等方式入侵其他内网主机。A是初始访问，B是权限提升，D是数据加密（勒索软件典型行为），均不属于横向移动。

日志分析中，“事件相关性”主要用于解决以下哪个问题？

A.减少日志存储占用空间

B.识别单一日志无法体现的复杂攻击链

C.提升日志采集效率

D.过滤重复的系统心跳日志

答案：B

解析：单一日志可能仅记录孤立事件（如登录失败），通过关联多源日志（如登录失败+异常文件下载）可还原攻击链。A是日志归档/压缩功能，C是采集工具优化，D是日志去重，均与相关性无关。

以下哪个指标最能反映SOC团队的事件响应效率？

A.平均检测时间（MTTD）

B.日志存储容量

C.威胁情报更新频率

D.安全设备覆盖率

答案：A

解析：MTTD（MeanTimetoDetect）和MTTR（MeanTimetoRespond）是衡量响应效率的核心指标。B是基础设施能力，C是情报时效性，D是防御覆盖范围，均不直接反映响应效率。

关于ATTCK框架的描述，正确的是？

A.仅适用于企业内网防御

B.是漏洞编号的标准化体系

C.包含战术（Tactics）-技术（Techniques）-过程（Procedures）三层模型

D.由CVE组织维护更新

答案：C

解析：ATTCK（AdversarialTactics,Techniques,andCommonKnowledge）是MITRE维护的攻击行为知识库，分层描述攻击者的战术（如横向移动）、技术（如SMB协议利用）、具体过程。A错误，框架适用于全场景；B是CVE功能；D由MITRE维护。

以下哪种场景最适合使用EDR（端点检测与响应）工具？

A.监控防火墙规则命中情况

B.分析网络流量中的DDoS攻击

C.检测主机上的恶意进程行为

D.审计数据库用户访问日志

答案：C

解析：EDR专注于端点（主机）的进程监控、文件操作、内存活动等，可检测恶意软件行为。A是防火墙日志分析，B是NIDS（网络入侵检测系统）功能，D是数据库审计系统功能。

安全运营中“白名单”策略的主要目的是？

A.允许所有已知合法流量通过

B.禁止所有未明确允许的操作

C.记录所有异常行为日志

D.自动化阻断高风险攻击

答案：B

解析：白名单策略遵循“最小权限”原则，仅允许明确授权的程序、IP、操作，其余均禁止，可有效降低未知风险。A是黑名单（允许所有除明确禁止）的反向逻辑，C是日志记录功能，D是WAF/IPS的功能。

以下哪种日志类型通常不包含用户身份信息？

A.邮件服务器登录日志

B.Web应用访问日志

C.防火墙NAT转换日志

D.域控制器认证日志

答案：C

解析：防火墙NAT日志主要记录源/目的IP转换、端口映射等网络层信息，通常不包含用户身份（需结合应用层日志关联）。A记录邮箱账号，B记录HTTP请求的用户会话（如Cookie），D记录域用户认证过程。

威胁情报的“TTPs”指的是？

A.威胁类型、目标、优先级

B.战术、技术、过程

C.攻击工具、传输协议、有效载荷

D.威胁源、传播路径、影响范围

答案：B

解析：TTPs（Tactics,Techniques,Procedures）是威胁情报中描述攻击者行为模式的核心要素，对应ATTCK框架的分层结构。A是威胁评估维度，C是攻击工具特征，D是威胁路径分析。

以下哪项属于“误报”的典型场景？

A.攻击者通过漏洞成功入侵服务器

B.SIEM因规则配置错误，将合法管理员的批量操作标记为“异常登录”

C.蜜罐系统检测到扫描行为

D.终端检测到已知勒索软件特征

答案：B

解析：误报指系统将正常行为错误识别为威胁。A是真实攻击（漏报可能），C是蜜罐的正常触发（非误报），D是正确检测（非误报）。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC日常运营核心流程的有？（）

A.安全事件监控与预警

B.漏洞扫描与修复