2025年信息系统安全专家威胁狩猎中的日志采集与管理专题试卷及解析.pdfVIP

2025年信息系统安全专家威胁狩猎中的日志采集与管理专题试卷及解析1

2025年信息系统安全专家威胁狩猎中的日志采集与管理专

题试卷及解析

2025年信息系统安全专家威胁狩猎中的日志采集与管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁狩猎中，以下哪种日志类型最能反映终端用户的异常行为模式？

A、防火墙访问日志

B、DNS查询日志

C、Windows安全事件日志

D、Web服务器访问日志

【答案】C

【解析】正确答案是C。Windows安全事件日志记录了用户登录、文件访问、权限

变更等终端行为，是分析用户异常行为的核心数据源。A选项防火墙日志主要关注网络

流量，B选项DNS日志反映域名解析行为，D选项Web日志仅记录Web访问，都无

法全面反映终端用户行为。知识点：终端行为分析。易错点：容易忽视安全事件日志的

全面性而选择DNS日志。

2、在进行日志采集时，以下哪个时间戳格式最有利于跨时区日志关联分析？

A、本地时间格式

B、UTC时间格式

C、Unix时间戳

D、ISO8601格式

【答案】D

【解析】正确答案是D。ISO8601格式（23:29:19Z）包含时区信息，便

于全球日志统一分析。A选项本地时间会导致时区混乱，B选项UTC虽统一但可读性

差，C选项Unix时间戳需要转换。知识点：日志标准化。易错点：可能误选UTC时

间而忽略可读性要求。

3、威胁狩猎中最关键的日志采集原则是？

A、全面采集所有日志

B、仅采集高价值日志

C、平衡采集成本与安全价值

D、优先采集网络日志

【答案】C

【解析】正确答案是C。实际环境中需要根据威胁模型和资源限制进行平衡，B选

项过于保守可能遗漏线索，A选项不现实，D选项片面。知识点：日志采集策略。易错

点：容易陷入”越多越好”的误区。

2025年信息系统安全专家威胁狩猎中的日志采集与管理专题试卷及解析2

4、以下哪种日志存储方式最适合长期威胁狩猎分析？

A、原始文本文件

B、关系型数据库

C、时序数据库

D、NoSQL数据库

【答案】C

【解析】正确答案是C。时序数据库（如Elasticsearch）专为时间序列数据优化，支

持高效的时间范围查询和聚合分析。A选项查询效率低，B选项不适合非结构化日志，

D选项缺乏时间优化。知识点：日志存储架构。易错点：可能误选关系型数据库。

5、在日志采集过程中，以下哪项不是必须保留的元数据？

A、原始时间戳

B、日志源IP

C、日志采集代理版本

D、日志类型标识

【答案】C

【解析】正确答案是C。采集代理版本属于运维信息，对威胁分析价值有限。A、B、

D都是日志关联分析的关键要素。知识点：日志元数据管理。易错点：容易混淆运维元

数据和安全元数据。

6、威胁狩猎中最常用的日志关联技术是？

A、基于规则的关联

B、基于统计的关联

C、基于时间的关联

D、基于机器学习的关联

【答案】C

【解析】正确答案是C。时间关联是基础技术，其他方法通常需要先建立时间关联。

知识点：日志关联分析。易错点：可能高阶技术而忽视基础方法。

7、以下哪种日志采集方式对系统性能影响最小？

A、基于API的采集

B、基于文件监控的采集

C、基于Syslog的采集

D、基于数据库轮询的采集

【答案】C

【解析】正确答案是C。Syslog是轻量级协议，资源消耗小。A选项可能频繁调用

API，B选项需要持续监控文件变化，D选项数据库查询开销大。知识点：采集性能优

化。易错点：可能误选API方式。

2025年信息系统安全专家威胁狩猎中的日志采集与管理专题试卷及解析3

8、在