2025年信息系统安全专家EDR工具在威胁狩猎中的使用专题试卷及解析.pdfVIP

2025年信息系统安全专家EDR工具在威胁狩猎中的使用专题试卷及解析1

2025年信息系统安全专家EDR工具在威胁狩猎中的使用

专题试卷及解析

2025年信息系统安全专家EDR工具在威胁狩猎中的使用专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁狩猎过程中，EDR工具最核心的价值是什么？

A、提供网络流量分析

B、实时监控终端行为并记录详细数据

C、修复系统漏洞

D、生成合规报告

【答案】B

【解析】正确答案是B。EDR（EndpointDetectionandResponse）的核心功能是持

续监控终端设备的行为，收集并存储详细的遥测数据，为威胁狩猎提供原始素材。A选

项是NDR工具的功能；C选项属于漏洞管理范畴；D选项是SIEM或GRC工具的典

型功能。知识点：EDR基础功能。易错点：容易将EDR与NDR或漏洞管理工具混淆。

2、以下哪项是EDR工具在威胁狩猎中常用的数据源？

A、防火墙日志

B、DNS查询记录

C、进程创建链

D、Web代理日志

【答案】C

【解析】正确答案是C。进程创建链是EDR特有的终端级数据源，能完整展示攻

击者在系统内的活动轨迹。A、B、D选项虽然也是重要数据源，但属于网络或基础设

施层面，非EDR直接提供。知识点：EDR数据源类型。易错点：可能误选DNS记录，

但需注意EDR主要关注终端行为。

3、威胁狩猎师使用EDR工具时，最关注以下哪种攻击指标？

A、IP地址

B、文件哈希值

C、进程树异常

D、域名

【答案】C

【解析】正确答案是C。进程树异常能直接反映终端内的恶意活动模式，是EDR威

胁狩猎的核心关注点。A、B、D选项是传统IOC指标，EDR更侧重行为分析。知识

点：EDR狩猎指标。易错点：容易混淆传统IOC与行为指标的区别。

4、EDR工具的”回溯分析”功能在威胁狩猎中的作用是？

2025年信息系统安全专家EDR工具在威胁狩猎中的使用专题试卷及解析2

A、预测未来攻击

B、重建历史攻击路径

C、加密通信流量

D、自动阻断威胁

【答案】B

【解析】正确答案是B。回溯分析允许狩猎师重建攻击者在终端上的完整活动时间

线。A选项属于威胁预测范畴；C选项是加密工具的功能；D选项是EDR的响应功能

而非狩猎功能。知识点：EDR核心功能。易错点：可能误选D，但需区分狩猎与响应

的区别。

5、在EDR威胁狩猎中，“父进程异常”通常指？

A、合法进程被恶意代码注入

B、系统进程启动了非常规子进程

C、进程CPU占用率异常

D、进程内存泄漏

【答案】B

【解析】正确答案是B。父进程异常是典型的终端行为异常，如svchost.exe启动

cmd.exe。A选项描述的是进程注入；C、D选项属于性能问题。知识点：终端行为分析。

易错点：容易将进程异常与性能问题混淆。

6、EDR工具的”隔离终端”功能主要用于？

A、威胁狩猎阶段

B、威胁确认后的应急响应

C、日常监控

D、数据备份

【答案】B

【解析】正确答案是B。隔离终端是应急响应措施，用于阻止威胁扩散。A选项狩

猎阶段需要保持终端在线；C、D选项与隔离功能无关。知识点：EDR响应功能。易错

点：可能误选A，但狩猎阶段通常不采取隔离措施。

7、以下哪项是EDR工具区别于传统杀毒软件的关键特征？

A、病毒特征库

B、行为分析引擎

C、文件扫描功能

D、定时更新

【答案】B

【解析】正确答案是B。行为分析是EDR的核心技术，能检测未知威胁。A、C、D

都是传统杀毒软件的典型特征。知识点：EDR技术特点。易错点：容易忽略行为分析

2025年信息系统安全专家EDR工具在威胁狩猎中的使用专题试卷及解析