2025年信息系统安全专家用户与实体行为分析异常检测专题试卷及解析.pdfVIP

2025年信息系统安全专家用户与实体行为分析异常检测专题试卷及解析1

2025年信息系统安全专家用户与实体行为分析异常检测专

题试卷及解析

2025年信息系统安全专家用户与实体行为分析异常检测专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在用户与实体行为分析（UEBA）系统中，以下哪项不属于典型的数据源？

A、网络流量日志

B、数据库审计记录

C、员工考勤记录

D、Windows安全事件日志

【答案】C

【解析】正确答案是C。UEBA系统主要关注与安全相关的行为数据，如网络流量、

数据库访问和系统事件日志。员工考勤记录虽然属于用户行为数据，但与安全威胁检测

的关联性较弱，通常不被纳入UEBA核心数据源。知识点：UEBA数据源分类。易错

点：容易误选D，因为Windows安全日志确实包含大量行为数据，但考勤记录更明显

不属于安全范畴。

2、在异常检测算法中，孤立森林（IsolationForest）最适用于哪种场景？

A、检测周期性异常模式

B、处理高维数据中的离群点

C、识别已知攻击特征

D、分析时间序列趋势

【答案】B

【解析】正确答案是B。孤立森林算法通过随机分割特征空间来高效识别离群点，特

别适合处理高维数据。选项A和D更适合时间序列分析算法，选项C属于基于签名的

检测方法。知识点：异常检测算法适用场景。易错点：容易混淆孤立森林与聚类算法的

应用场景。

3、以下哪项不属于UEBA系统中的实体（Entity）类型？

A、服务器IP地址

B、应用程序进程

C、用户账户

D、防火墙规则

【答案】D

【解析】正确答案是D。UEBA中的实体指可被监控的行为主体，如设备、账户、进

程等。防火墙规则属于配置项而非行为实体。知识点：UEBA实体分类。易错点：容易

将网络设备与配置规则混淆。

2025年信息系统安全专家用户与实体行为分析异常检测专题试卷及解析2

4、在行为基线建模中，移动平均法的主要局限性是什么？

A、计算复杂度过高

B、无法处理季节性变化

C、对突发异常敏感

D、需要大量历史数据

【答案】B

【解析】正确答案是B。移动平均法会平滑数据波动，难以捕捉周期性模式。选项

A错误（计算简单），选项C是其优点（能抑制噪声），选项D虽需历史数据但非主要

局限。知识点：时间序列建模方法。易错点：容易混淆移动平均与指数平滑的特性。

5、UEBA系统检测到某用户突然从异常地理位置登录，这属于哪种异常类型？

A、行为模式异常

B、权限滥用异常

C、上下文异常

D、资源访问异常

【答案】C

【解析】正确答案是C。地理位置变化属于上下文环境异常。选项A指操作习惯改

变，选项B涉及权限越界，选项D关注资源访问量变化。知识点：异常分类体系。易

错点：容易将地理位置误判为行为模式异常。

6、在UEBA系统中，风险评分计算通常不考虑以下哪个因素？

A、异常行为的持续时间

B、用户的历史风险等级

C、系统CPU使用率

D、异常行为的严重程度

【答案】C

【解析】正确答案是C。风险评分基于行为特征和用户属性，系统资源使用率属于

性能指标。知识点：风险评分模型。易错点：容易将系统状态指标误纳入风险评估。

7、以下哪项技术最适合处理UEBA中的非结构化日志数据？

A、正则表达式匹配

B、自然语言处理

C、关系型数据库

D、时间序列分析

【答案】B

【解析】正确答案是B。NLP技术能解析自由文本日志中的语义信息。选项A仅适

用于固定格式，选项C存储效率低，选项D处理结构化数据。知识点：日志数据处理

技术。易错点：容易低估NLP在日志分析中的作用。

2025年信息系统安全专家用户与实体行为分析异常检测专题试卷及解析