2025年SOC安全运营工程师考试题库（附答案和详细解析）（1106）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端设备防病毒

B.集中日志管理与分析

C.网络流量加密传输

D.物理服务器硬件监控

答案：B

解析：SIEM的核心是通过收集、标准化、关联分析多源日志（如网络、主机、应用日志），实现安全事件的集中监控与告警。A为EDR（终端检测与响应）功能，C为VPN或加密协议功能，D为运维监控范畴，均非SIEM核心。

威胁情报的TIP（威胁情报平台）主要用于？

A.执行漏洞扫描

B.存储与管理结构化威胁数据

C.阻断恶意网络连接

D.生成员工安全培训材料

答案：B

解析：TIP的核心是整合多源威胁情报（如IOC、攻击手法），进行结构化存储、去重、关联分析，为SOC提供决策支持。A为漏洞扫描工具功能，C为防火墙/IPS功能，D为安全意识培训系统功能。

ATTCK框架中“横向移动”属于以下哪个层级？

A.威胁源（Actor）

B.战术（Tactics）

C.技术（Techniques）

D.缓解措施（Mitigations）

答案：B

解析：ATTCK框架采用“战术-技术-过程（TTP）”分层结构，其中“横向移动”（LateralMovement）是攻击者在渗透内网时的战术目标（如从终端到服务器），技术层为具体实现方式（如SMB横向移动）。

以下哪类日志最常用于检测Web应用层攻击？

A.防火墙会话日志

B.主机系统日志（SystemLog）

C.Web服务器访问日志（AccessLog）

D.域控制器安全日志

答案：C

解析：Web服务器访问日志记录了HTTP请求的详细信息（如URL、User-Agent、状态码），可直接分析SQL注入、XSS等应用层攻击特征。A侧重网络层流量，B侧重系统操作（如进程启动），D侧重认证授权事件。

应急响应流程中“根除阶段”的主要目标是？

A.隔离受感染设备

B.修复漏洞并清除残留恶意代码

C.恢复业务系统运行

D.编写事件报告

答案：B

解析：应急响应六阶段为：准备→检测分析→抑制→根除→恢复→总结。根除阶段需彻底清除恶意代码（如后门、木马），修复攻击利用的漏洞（如未授权访问），防止二次感染。A为抑制阶段目标，C为恢复阶段目标。

以下哪项不属于漏洞管理的关键指标（KPI）？

A.漏洞修复率

B.平均修复时间（MTTR）

C.漏洞扫描覆盖率

D.员工安全意识评分

答案：D

解析：漏洞管理KPI需直接反映漏洞全生命周期管理效果，包括扫描覆盖率（是否全面检测）、修复率（是否及时处理）、MTTR（修复效率）。D属于安全意识培训范畴。

APT（高级持续性威胁）的典型特征不包括？

A.攻击周期长（数月至数年）

B.针对特定目标定向攻击

C.使用0day漏洞

D.以勒索软件为主要攻击手段

答案：D

解析：APT强调“持续性”和“定向性”，常使用鱼叉钓鱼、0day漏洞、长期潜伏等手段，目标多为政府、关键基础设施。勒索软件（如WannaCry）属于广域攻击，非APT典型特征。

以下哪种访问控制模型最适用于需要动态权限调整的云环境？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：D

解析：ABAC通过用户属性（如部门、项目角色）、资源属性（如敏感度）、环境属性（如IP位置）动态计算权限，适合云环境中资源动态扩展、权限需求复杂的场景。RBAC依赖固定角色，灵活性较低。

沙箱（Sandbox）技术在恶意文件分析中的核心作用是？

A.直接清除恶意文件

B.模拟真实环境执行文件以观测行为

C.加密存储恶意样本

D.生成病毒特征库

答案：B

解析：沙箱通过隔离环境模拟用户终端（如Windows系统），执行可疑文件并监控其行为（如进程创建、注册表修改），从而分析其恶意性。A为杀毒软件功能，C为样本库管理功能，D为威胁情报分析功能。

安全基线（SecurityBaseline）的主要作用是？

A.定义网络带宽使用上限

B.设定系统/设备的最小安全配置标准

C.记录员工安全培训时长

D.监控服务器CPU使用率

答案：B

解析：安全基线是经过验证的、符合组织安全策略的最小安全配置集合（如禁用默认账户、启用防火墙规则），用于统一规范资产安全状态。A为QoS功能，D为性能监控范畴。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC（安全运营中心）核心职责的有？

A.24×7监控安全事件

B.编写企业安全策略文档

C.执行漏洞修复操作

D.开展威胁狩猎

答案：AD

解析：SOC核心职责包括实时监控、事件响应、威胁狩猎、