2025年信息系统安全专家网络流量与日志数据中的威胁情报提取专题试卷及解析.pdfVIP

2025年信息系统安全专家网络流量与日志数据中的威胁情报提取专题试卷及解析1

2025年信息系统安全专家网络流量与日志数据中的威胁情

报提取专题试卷及解析

2025年信息系统安全专家网络流量与日志数据中的威胁情报提取专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在分析网络流量时，以下哪种协议通常用于检测命令与控制（C2）通信？

A、HTTP

B、DNS

C、FTP

D、SMTP

【答案】B

【解析】正确答案是B。DNS协议常被恶意软件用于C2通信，因为其流量不易被

检测，且可以通过DNS查询传递隐藏信息。A、C、D选项虽然也可能被滥用，但DNS

是更常见的C2通道。知识点：DNS隧道技术。易错点：忽略DNS的隐蔽性。

2、以下哪种日志类型最适合用于检测横向移动行为？

A、防火墙日志

B、DNS日志

C、Windows安全日志

D、Web服务器日志

【答案】C

【解析】正确答案是C。Windows安全日志记录了登录、权限变更等事件，能有效

反映横向移动行为。A、B、D选项虽然也有价值，但不如C全面。知识点：横向移动

检测。易错点：忽视Windows日志的全面性。

3、在威胁情报提取中，以下哪种技术用于识别异常流量模式？

A、签名匹配

B、行为分析

C、端口扫描

D、数据加密

【答案】B

【解析】正确答案是B。行为分析通过学习正常流量模式，识别异常行为。A、C、D

选项不适用于模式识别。知识点：异常检测。易错点：混淆签名匹配与行为分析。

4、以下哪种工具常用于网络流量分析？

A、Wireshark

B、Metasploit

C、BurpSuite

2025年信息系统安全专家网络流量与日志数据中的威胁情报提取专题试卷及解析2

D、Nmap

【答案】A

【解析】正确答案是A。Wireshark是专业的网络协议分析工具。B、C、D选项功

能不同。知识点：网络分析工具。易错点：混淆工具用途。

5、在日志分析中，以下哪种字段通常用于关联不同事件？

A、时间戳

B、源IP

C、用户名

D、以上都是

【答案】D

【解析】正确答案是D。时间戳、源IP、用户名都是重要的关联字段。知识点：日

志关联分析。易错点：忽视多字段关联。

6、以下哪种攻击方式会生成大量DNS查询日志？

A、SQL注入

B、DNS放大攻击

C、跨站脚本

D、暴力破解

【答案】B

【解析】正确答案是B。DNS放大攻击会产生大量DNS查询。A、C、D选项不涉

及DNS。知识点：DNS攻击类型。易错点：混淆攻击特征。

7、在威胁情报提取中，以下哪种方法用于识别恶意域名？

A、域名长度分析

B、域名生成算法（DGA）

C、WHOIS查询

D、以上都是

【答案】D

【解析】正确答案是D。三种方法均可用于识别恶意域名。知识点：恶意域名检测。

易错点：忽视综合分析。

8、以下哪种日志格式最便于自动化分析？

A、纯文本

B、JSON

C、XML

D、CSV

【答案】B

2025年信息系统安全专家网络流量与日志数据中的威胁情报提取专题试卷及解析3

【解析】正确答案是B。JSON格式结构化程度高，易于解析。A、C、D选项各有

局限。知识点：日志格式选择。易错点：忽视结构化优势。

9、在流量分析中，以下哪种行为可能表示数据窃取？

A、大量出站流量

B、频繁端口扫描

C、异常登录尝试

D、以上都是

【答案】A

【解析】正确答案是A。大量出站流量是数据窃取的典型特征。B、C选项是其他攻

击行为。知识点：数据窃取检测。易错点：混淆攻击类型。

10、以下哪种技术用于加密流量的威胁检测？

A、深度包检测（DPI）

B、元数据分析

C、协议分析

D、以上都是

【答案】B

【解析】正确答案是B。元数据分析是加