2025年信息系统安全专家威胁狩猎平台部署与优化专题试卷及解析.pdfVIP

2025年信息系统安全专家威胁狩猎平台部署与优化专题试卷及解析1

2025年信息系统安全专家威胁狩猎平台部署与优化专题试

卷及解析

2025年信息系统安全专家威胁狩猎平台部署与优化专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁狩猎平台部署初期，以下哪项是确定数据采集范围时最优先考虑的因素？

A、存储成本预算

B、网络带宽限制

C、潜在威胁行为者的攻击路径

D、合规性审计要求

【答案】C

【解析】正确答案是C。威胁狩猎的核心是主动发现未知威胁，因此数据采集范围

应优先覆盖潜在攻击者最可能利用的路径和资产，确保狩猎活动的有效性。A、B、D虽

然也是重要考虑因素，但属于资源约束和合规性要求，应在满足狩猎需求的基础上进行

权衡。知识点：威胁狩猎数据采集策略。易错点：容易将资源限制（A、B）或合规性

（D）作为首要考虑因素，而忽略了狩猎活动的核心目标。

2、以下哪种技术最适合用于检测横向移动活动中的异常行为？

A、静态签名匹配

B、基于机器学习的异常检测

C、端口扫描检测

D、文件完整性监控

【答案】B

【解析】正确答案是B。横向移动通常表现为一系列看似正常但组合起来异常的行

为（如异常的登录时间、非典型的访问模式），基于机器学习的异常检测能够有效识别

这些偏离基线的行为。A只能检测已知威胁，对未知的横向移动技术无效；C只能检测

扫描行为，无法发现后续的移动；D主要关注文件变化，与横向移动的关联性较弱。知

识点：横向移动检测技术。易错点：可能误选C，因为端口扫描是横向移动的常见前兆，

但它无法覆盖所有横向移动技术。

3、在优化威胁狩猎查询性能时，以下哪种方法最可能显著提升大规模日志数据的

查询速度？

A、增加查询结果的缓存时间

B、对高频查询字段建立索引

C、减少查询返回的字段数量

D、使用更高级的查询语言

【答案】B

2025年信息系统安全专家威胁狩猎平台部署与优化专题试卷及解析2

【解析】正确答案是B。索引是数据库优化的核心手段，对高频查询字段建立索引

可以大幅减少数据扫描量，显著提升查询速度。A缓存能提升重复查询速度，但对首次

查询无效；C能减少网络传输和解析时间，但效果不如索引显著；D查询语言的提升主

要影响表达能力和易用性，对性能影响有限。知识点：查询性能优化。易错点：可能误

选C，因为它确实能提升性能，但索引是更根本的优化手段。

4、威胁狩猎平台中，以下哪个组件主要负责将原始日志数据转化为结构化、可查

询的格式？

A、数据采集器

B、数据解析器

C、数据存储引擎

D、查询引擎

【答案】B

【解析】正确答案是B。数据解析器的核心功能是将不同来源、不同格式的原始日

志（如Syslog、JSON）进行解析、清洗和标准化，转化为统一的结构化数据，便于后

续存储和查询。A负责收集数据；C负责存储数据；D负责执行查询。知识点：威胁狩

猎平台架构。易错点：可能混淆数据采集器和解析器的功能。

5、在威胁狩猎中，假设驱动的方法（Hypothesisdriven）与无监督方法（Unsupervised）

的主要区别在于？

A、假设驱动依赖已知威胁指标，无监督不依赖

B、假设驱动需要分析师先验知识，无监督不需要

C、假设驱动检测已知威胁，无监督检测未知威胁

D、假设驱动是自动化的，无监督是手动的

【答案】B

【解析】正确答案是B。假设驱动的狩猎需要分析师基于威胁情报、攻击框架等先

验知识提出假设，然后验证；无监督方法则通过算法自动发现数据中的异常模式，无需

先验假设。A的描述不准确，假设驱动不一定依赖已知指标；C过于绝对，假设驱动也

能发现未知威胁；D的描述完全错误。知识点：威胁狩猎方法论。易错点：可能误选A

或C，对两种方法的理解不够深入。

6、以下哪项指标最适合用于衡量威胁狩猎平台检测高级持续性威胁（APT）的有

效性？

A、告警数量

B、平均检测时间（MTTD）

C、误报