2025年SOC安全运营工程师考试题库（附答案和详细解析）（1101）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端病毒查杀

B.集中日志分析与关联

C.网络漏洞扫描

D.DDoS流量清洗

答案：B

解析：SIEM的核心功能是收集、存储、分析日志数据，并通过关联分析发现安全事件（如攻击链特征）。A为EDR（终端检测响应）功能，C为漏洞扫描工具功能，D为DDoS防护设备功能。

威胁情报中的“TTPs”通常指：

A.目标、工具、流程

B.战术、技术、过程

C.时间、类型、优先级

D.攻击、传输、防护

答案：B

解析：TTPs（Tactics,Techniques,Procedures）是威胁行为体的战术（如横向移动）、技术（如恶意软件）和过程（如攻击步骤），是威胁情报的核心要素。其他选项为干扰项，不符合标准定义。

在MITREATTCK框架中，“InitialAccess”属于哪一层级？

A.技术（Techniques）

B.子技术（Sub-techniques）

C.战术（Tactics）

D.对抗措施（Mitigations）

答案：C

解析：ATTCK框架分为战术（如初始访问、持久化）和技术（如钓鱼邮件、漏洞利用）两层，“InitialAccess”是战术层的第一个阶段。其他选项层级错误。

以下哪种日志通常不包含用户登录行为信息？

A.系统日志（SystemLog）

B.应用日志（ApplicationLog）

C.网络流量日志（NetworkFlowLog）

D.认证日志（AuthenticationLog）

答案：C

解析：网络流量日志记录IP、端口、流量大小等网络通信信息，不直接包含用户登录行为（如用户名、认证结果）；其他日志均涉及用户操作记录。

安全事件响应流程的正确顺序是：

A.准备→检测→分析→遏制→根除→恢复→总结

B.检测→准备→分析→遏制→恢复→根除→总结

C.准备→分析→检测→遏制→根除→恢复→总结

D.检测→分析→准备→遏制→恢复→根除→总结

答案：A

解析：标准响应流程为“准备（预案）→检测（发现事件）→分析（确认影响）→遏制（阻止扩散）→根除（清除威胁）→恢复（系统修复）→总结（复盘改进）”，其他选项顺序错误。

在告警分诊中，“误报”通常是由于以下哪种原因导致？

A.攻击者使用新型漏洞

B.安全设备规则过于宽松

C.日志采集不完整

D.安全策略配置冲突

答案：B

解析：误报主要因检测规则（如SIEM关联规则）阈值设置过松，导致正常操作被误判为攻击；A会导致漏报，C、D影响检测覆盖而非误报率。

EDR（终端检测与响应）的核心优势是：

A.替代防火墙实现边界防护

B.实时监控终端进程并溯源攻击

C.提供全局网络流量分析

D.自动化完成漏洞修复

答案：B

解析：EDR通过在终端部署代理，监控进程、文件、网络等行为，支持攻击路径溯源（如恶意进程链）；A为防火墙功能，C为SIEM或NTA功能，D为漏洞管理工具功能。

SOC安全运营的核心目标是：

A.完全消除安全风险

B.快速发现并处置威胁，降低业务影响

C.替代运维团队管理基础设施

D.生成合规性审计报告

答案：B

解析：SOC的核心是通过持续监控和响应，将安全事件对业务的影响最小化；A不可能实现（风险无法完全消除），C、D是辅助目标。

蜜罐（Honeypot）在SOC中的主要作用是：

A.替代IDS进行入侵检测

B.诱捕攻击者并分析其攻击手法

C.存储重要数据的备份

D.加速网络流量转发

答案：B

解析：蜜罐通过模拟易受攻击的系统吸引攻击者，收集其工具、技术和行为数据（如恶意软件样本、攻击步骤），用于威胁分析；A为IDS功能，C、D与蜜罐无关。

APT（高级持续性威胁）的典型特征不包括：

A.攻击目标具有高价值（如政府、关键基础设施）

B.攻击周期短（数小时内完成）

C.使用定制化恶意软件

D.长期持续监控目标

答案：B

解析：APT通常持续数月甚至数年，通过长期潜伏获取敏感数据；其他选项均为APT典型特征（高价值目标、定制工具、持续性）。

二、多项选择题（共10题，每题2分，共20分）

SOC安全运营的主要流程阶段包括（）。

A.威胁情报分析

B.事件响应处置

C.漏洞扫描修复

D.安全运营监控

答案：ABD

解析：SOC核心流程为“监控（实时采集日志）→分析（告警分诊）→响应（事件处置）→总结（改进策略）”，威胁情报分析是支撑流程的输入；C属于漏洞管理，是独立的安全活动。

以下哪些措施可用于保障日志的完整性？（）

A.对日志文件进行哈希校验

B.采用数字签名技术

C.设置日志写后只读权限

D.对日志内容进行