2025年信息系统安全专家日志关联分析与威胁狩猎专题试卷及解析.pdfVIP

2025年信息系统安全专家日志关联分析与威胁狩猎专题试卷及解析1

2025年信息系统安全专家日志关联分析与威胁狩猎专题试

卷及解析

2025年信息系统安全专家日志关联分析与威胁狩猎专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在进行威胁狩猎时，安全分析师发现某内网主机在短时间内向多个外部IP地址

的445端口发起大量连接尝试。这种行为最可能表明什么？

A、正常的Windows更新流量

B、蠕虫病毒传播行为

C、DNS解析失败重试

D、正常的网络扫描行为

【答案】B

【解析】正确答案是B。向多个外部IP的445端口发起连接是典型的蠕虫传播特

征，如WannaCry等勒索软件。A选项Windows更新使用特定服务器和端口；C选项

DNS问题不会产生445端口连接；D选项正常扫描通常有明确授权且不会如此密集。

知识点：端口扫描与恶意软件传播特征。易错点：容易将异常扫描误判为正常网络行为。

2、在SIEM系统中，以下哪种关联规则最适合检测横向移动攻击？

A、单一用户在1分钟内登录失败10次

B、同一账户在30分钟内从3个不同IP登录

C、防火墙连续阻止同一IP的连接请求

D、Web服务器产生大量404错误

【答案】B

【解析】正确答案是B。横向移动通常表现为同一账户在短时间内从多个不同位置

登录。A选项是暴力破解特征；C选项是外部攻击特征；D选项是Web应用攻击特征。

知识点：横向移动检测指标。易错点：容易混淆暴力破解与横向移动的特征。

3、在进行日志关联分析时，发现某管理员账户在凌晨3点执行了敏感操作，但该

账户通常只在工作时间使用。这种情况应该优先采取什么措施？

A、忽略该事件，可能是误报

B、立即禁用该账户

C、验证操作是否合法

D、增加该账户的监控级别

【答案】C

【解析】正确答案是C。异常时间操作需要首先验证合法性，避免误操作影响业务。

A选项过于被动；B选项可能影响正常业务；D选项不够及时。知识点：异常行为响应

流程。易错点：容易直接采取极端措施而忽略验证步骤。

2025年信息系统安全专家日志关联分析与威胁狩猎专题试卷及解析2

4、威胁狩猎中，以下哪种方法最适合发现未知的APT攻击？

A、基于签名的检测

B、威胁情报匹配

C、假设驱动的狩猎

D、规则基线检测

【答案】C

【解析】正确答案是C。假设驱动的狩猎通过主动假设攻击场景来发现未知威胁。A、

B、D都是被动检测方法。知识点：主动威胁狩猎方法论。易错点：容易依赖传统检测

方法而忽略主动狩猎。

5、在分析Windows安全日志时，事件ID4624和4634的组合通常表示什么？

A、账户锁定事件

B、特殊权限使用

C、用户登录和注销

D、进程创建事件

【答案】C

【解析】正确答案是C。4624是登录成功事件，4634是注销事件，组合表示完整的

会话。A选项对应4740；B选项对应4672；D选项对应4688。知识点：Windows事件

ID含义。易错点：容易混淆不同事件ID的含义。

6、在进行网络流量分析时，发现内网某主机定期向外部固定IP发送加密数据包，

且流量模式异常规律。这种行为最可能是什么？

A、正常的HTTPS通信

B、DNS查询

C、C2通信

D、NTP时间同步

【答案】C

【解析】正确答案是C。定期加密通信且模式规律是典型的C2通信特征。A选项

HTTPS流量通常不规律；B选项DNS使用53端口；D选项NTP使用123端口。知

识点：C2通信特征识别。易错点：容易将C2通信误判为正常加密流量。

7、在构建威胁狩猎假设时，以下哪个因素最不重要？

A、攻击者的TTPs

B、已知的漏洞利用方式

C、网络带宽使用情况

D、业务系统的关