2025年信息系统安全专家安全编排中的AI驱动的响应策略专题试卷及解析.pdfVIP

2025年信息系统安全专家安全编排中的AI驱动的响应策略专题试卷及解析1

2025年信息系统安全专家安全编排中的AI驱动的响应策

略专题试卷及解析

2025年信息系统安全专家安全编排中的AI驱动的响应策略专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AI驱动的安全编排、自动化与响应（SOAR）系统中，以下哪项是AI模型

在威胁检测阶段最核心的任务？

A、自动生成安全策略

B、从海量日志中识别异常行为模式

C、执行隔离受感染主机的操作

D、生成安全事件报告

【答案】B

【解析】正确答案是B。AI在威胁检测阶段的核心价值在于其强大的模式识别能力，

能够从海量的、看似无关的日志数据（如网络流量、终端行为、系统日志）中学习和识

别出代表潜在威胁的异常行为模式。A选项是响应或策略执行阶段的任务；C选项是自

动化响应执行阶段的典型操作；D选项是事后分析与报告阶段的任务。知识点：AI在

SOAR中的威胁检测应用。易错点：容易将AI在不同阶段（检测、分析、响应、报告）

的功能混淆，误选A或C。

2、当AI驱动的响应策略系统面临一个从未见过的零日漏洞攻击时，其最可能依

赖哪种技术来做出初步响应决策？

A、基于已知签名的特征匹配

B、强化学习

C、静态规则库

D、监督学习分类器

【答案】B

【解析】正确答案是B。零日漏洞攻击没有已知的签名或特征，因此A和C选项无

效。监督学习分类器（D）依赖于已标注的训练数据，对于未知攻击类型效果有限。而

强化学习通过与环境（网络环境）的交互和试错来学习最优策略，它不依赖于预先定义

的攻击特征，而是根据当前系统状态（如异常进程、网络连接）和预设的奖励/惩罚机

制（如隔离主机获得正奖励，数据泄露获得负奖励）来探索最佳响应动作，最适合处理

未知威胁。知识点：AI技术在未知威胁响应中的应用。易错点：容易忽视不同机器学

习范式（监督、无监督、强化）的适用场景，误选D。

3、在安全编排中，AI模型用于预测攻击的下一步意图，这主要属于哪个环节？

A、威胁检测

B、威胁狩猎

2025年信息系统安全专家安全编排中的AI驱动的响应策略专题试卷及解析2

C、攻击预测与归因

D、自动化响应

【答案】C

【解析】正确答案是C。攻击预测与归因是AI在安全编排中的高级应用，它不仅仅

是发现已经发生的攻击，更是通过分析攻击者的行为序列、战术、技术和程序（TTPs），

结合威胁情报，来预测攻击者可能的下一步行动，并尝试识别攻击者身份或组织。A是

发现攻击行为；B是主动搜寻潜在威胁；D是执行响应动作。知识点：AI在安全编排

中的高级分析功能。易错点：可能将“预测”与“检测”混淆，误选A。

4、为了确保AI驱动的响应策略不会因误报而对业务造成严重影响，以下哪项是

实施前最关键的步骤？

A、最大化模型的检测率

B、进行充分的沙箱测试和模拟演练

C、使用最复杂的深度学习模型

D、收集尽可能多的历史数据

【答案】B

【解析】正确答案是B。AI模型，尤其是用于安全响应的，其决策直接影响业务连

续性。因此，在部署到生产环境之前，必须在与真实环境隔离的沙箱或高度仿真的模拟

环境中进行充分测试。这可以验证模型在各种场景下的行为，评估误报和漏报的影响，

并优化响应剧本，确保自动化操作的安全性。A、C、D都是提升模型性能的方法，但

都不能直接保证策略部署的安全性，B是控制风险的关键。知识点：AI安全系统的部

署与验证流程。易错点：过于关注模型本身的性能指标（如A、C、D），而忽视了工程

实践中的风险控制。

5、在AI驱动的SOAR平台中，“剧本”的概念是指什么？

A、AI模型的训练数据集

B、由安全专家预定义的、可被AI触发和执行的一系列响应动作的集合

C、描述攻击者行为的TTPs框架

D、系统生成的原始告警日志

【答案】B

【解析】正确答案是B。在SOAR中，“剧本”或“Playbook”是其核心概念，它将标准

化的响应流程（