2025年信息系统安全专家安全编排中的漏洞优先级评估专题试卷及解析.pdfVIP

2025年信息系统安全专家安全编排中的漏洞优先级评估专题试卷及解析1

2025年信息系统安全专家安全编排中的漏洞优先级评估专

题试卷及解析

2025年信息系统安全专家安全编排中的漏洞优先级评估专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在安全编排自动化与响应（SOAR）中，漏洞优先级评估（VPT）的核心目标是

什么？

A、尽可能多地发现系统漏洞

B、根据业务影响和威胁情报对漏洞进行排序

C、完全自动化漏洞修复过程

D、生成详细的漏洞扫描报告

【答案】B

【解析】正确答案是B。VPT的核心目标是通过结合漏洞的严重性、资产的业务价

值、实际威胁利用可能性等多维度因素，对海量漏洞进行智能排序，帮助安全团队优先

处理最关键的漏洞。A是漏洞扫描的目标，C是漏洞管理的理想状态但非VPT核心，

D是漏洞扫描工具的功能。知识点：VPT基本概念。易错点：容易将VPT与漏洞扫描

或自动化修复混淆。

2、以下哪个因素通常不属于VPT评估模型中的关键维度？

A、CVSS评分

B、资产业务价值

C、漏洞发现时间

D、IT部门预算

【答案】D

【解析】正确答案是D。VPT评估模型通常包括技术维度（如CVSS评分）、业务

维度（如资产价值）、威胁维度（如是否存在公开利用代码）等。IT部门预算属于管理

资源因素，不直接影响漏洞本身的优先级。知识点：VPT评估维度。易错点：可能误

认为所有管理因素都应纳入评估。

3、在安全编排流程中，VPT与威胁情报平台（TIP）的集成主要为了解决什么问

题？

A、获取漏洞的CVSS评分

B、验证漏洞是否存在于特定资产

C、了解漏洞是否被活跃利用

D、自动化生成漏洞修复工单

【答案】C

2025年信息系统安全专家安全编排中的漏洞优先级评估专题试卷及解析2

【解析】正确答案是C。TIP提供最新的威胁情报，包括漏洞利用代码、攻击活动

等信息，这些数据能帮助VPT更准确判断漏洞的实际威胁程度。A通常来自NVD等

漏洞库，B来自扫描工具，D是SOAR平台的功能。知识点：VPT与TIP集成价值。

易错点：容易混淆不同安全平台的功能边界。

4、当两个漏洞的CVSS评分相同但资产价值不同时，VPT系统应该如何处理？

A、随机排序

B、优先处理高价值资产的漏洞

C、优先处理低价值资产的漏洞

D、同时处理两个漏洞

【答案】B

【解析】正确答案是B。VPT的核心逻辑是结合技术评分和业务价值，当技术评分

相同时，应优先保护高价值资产。A和C违背了VPT原则，D在资源有限时不可行。

知识点：VPT决策逻辑。易错点：可能过度依赖技术评分而忽视业务因素。

5、在安全编排中，VPT结果通常用于触发哪种类型的自动化动作？

A、全系统漏洞扫描

B、高优先级漏洞的自动隔离

C、生成安全事件报告

D、创建并分配修复工单

【答案】D

【解析】正确答案是D。VPT结果最常见的应用是自动创建针对高优先级漏洞的修

复工单并分配给相应团队。A是扫描阶段动作，B可能影响业务连续性，C是报告功

能。知识点：VPT在SOAR中的应用场景。易错点：可能误以为VPT会直接触发阻

断动作。

6、以下哪种情况会显著提高漏洞的VPT优先级？

A、漏洞存在于测试环境

B、漏洞CVSS评分较低但存在公开利用代码

C、漏洞发现已超过90天

D、漏洞影响非核心业务系统

【答案】B

【解析】正确答案是B。存在公开利用代码意味着漏洞被实际利用的风险高，即使

CVSS评分不高也应优先处理。A、D降低优先级，C可能增加紧迫性但不如B直接。

知识点：威胁情报对VPT的影响。易错点：可能仅关注CVSS评分而忽视威胁情报。

7、VPT系统与CMDB（配置管理数据库）集成的主要目的是什么？

A、获取漏洞的详细技术信息