2025年SOC安全运营工程师考试题库（附答案和详细解析）（1027）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端漏洞扫描

B.集中日志管理与关联分析

C.主机入侵检测（HIDS）

D.网络流量清洗

答案：B

解析：SIEM的核心是通过收集、存储、分析多源日志（如网络、系统、应用日志），并进行关联分析以发现安全事件；A是漏洞扫描工具功能，C是HIDS功能，D是WAF/防火墙功能，均非SIEM核心。

ATTCK框架的主要作用是？

A.评估漏洞风险等级（如CVSS评分）

B.对攻击行为进行标准化建模

C.提供开源威胁情报共享平台

D.规范合规审计流程

答案：B

解析：ATTCK（AdversarialTactics,Techniques,andCommonKnowledge）是MITRE提出的攻击行为知识库，用于描述攻击者的战术（Tactics）和技术（Techniques）；A是CVSS的作用，C是MISP等平台的功能，D是合规标准（如ISO27001）的范畴。

以下哪种攻击类型属于“横向移动”阶段？

A.钓鱼邮件投递恶意软件

B.通过远程桌面（RDP）访问域控

C.利用CVE-2023-1234漏洞获取初始访问

D.加密文件勒索赎金

答案：B

解析：横向移动（LateralMovement）指攻击者在已入侵主机后，尝试访问同一网络内其他主机（如通过RDP、SMB等协议）；A是初始访问，C是漏洞利用（初始访问），D是数据加密（影响阶段）。

日志分析中“时间戳不一致”通常提示？

A.日志存储设备故障

B.攻击者篡改系统时间

C.网络延迟导致日志滞后

D.日志采集工具配置错误

答案：B

解析：攻击者可能通过修改系统时间（如绕过日志审计）导致不同设备日志时间戳不一致；A、C、D会导致日志缺失或延迟，但不会直接导致时间戳错乱。

以下哪项不属于SOC日常监控的“关键指标”？

A.平均事件响应时间（MTTR）

B.服务器CPU利用率

C.恶意IP访问次数

D.误报率（FalsePositiveRate）

答案：B

解析：SOC监控关注安全相关指标（如攻击次数、响应效率、误报率）；CPU利用率是运维监控指标，非安全运营核心。

终端检测与响应（EDR）的核心能力是？

A.网络流量深度包检测（DPI）

B.主机进程行为监控与溯源

C.防火墙规则动态调整

D.漏洞扫描结果自动化修复

答案：B

解析：EDR通过在终端部署代理，监控进程、文件、注册表等行为，并支持攻击溯源与响应；A是NIDS功能，C是防火墙功能，D是漏洞管理系统功能。

威胁情报的“TTPs”指的是？

A.威胁类型、目标、优先级

B.战术、技术、过程（Tactics,Techniques,Procedures）

C.时间、工具、平台（Time,Tools,Platforms）

D.威胁源、目标、防护（Threat,Target,Protection）

答案：B

解析：TTPs是ATTCK框架中描述攻击行为的核心要素，即攻击者的战术（Tactics）、技术（Techniques）和过程（Procedures）。

以下哪种场景最可能触发“误报”？

A.已知恶意IP尝试连接内部服务器

B.财务部门员工在非工作时间访问OA系统

C.防火墙记录到大量ICMP请求（Ping洪水）

D.杀毒软件检测到系统关键文件被修改

答案：B

解析：误报指非恶意事件被标记为安全事件（如合规访问被误判）；A、C、D均可能为真实攻击（恶意IP、DDoS、文件篡改）。

SOC团队进行“威胁狩猎”的主要目的是？

A.验证现有监控规则的有效性

B.主动发现未被检测到的潜在威胁

C.生成合规审计报告

D.优化日志存储成本

答案：B

解析：威胁狩猎（ThreatHunting）是主动搜索环境中可能存在的隐藏威胁（如APT长期潜伏），区别于被动事件响应。

以下哪项是“零信任架构”的核心原则？

A.最小化网络暴露面

B.默认不信任任何用户/设备

C.基于角色的访问控制（RBAC）

D.部署多层级防火墙

答案：B

解析：零信任（ZeroTrust）的核心是“从不信任，始终验证”，要求所有访问（无论内外）必须通过持续身份验证和授权。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC事件响应流程关键阶段的有？（）

A.准备（Preparation）

B.检测与分析（DetectionAnalysis）

C.漏洞扫描（VulnerabilityScanning）

D.后处理（Post-IncidentActivity）

答案：ABD

解析：标准事件响应流程（如NIST