2025年信息系统安全专家安全运营中心安全编排自动化响应剧本开发专题试卷及解析.pdfVIP

2025年信息系统安全专家安全运营中心安全编排自动化响应剧本开发专题试卷及解析1

2025年信息系统安全专家安全运营中心安全编排自动化响

应剧本开发专题试卷及解析

2025年信息系统安全专家安全运营中心安全编排自动化响应剧本开发专题试卷及

解析

第一部分：单项选择题（共10题，每题2分）

1、在SOAR（安全编排自动化与响应）中，以下哪个组件主要负责将各种安全工

具和系统整合在一起，实现自动化流程的编排？

A、SIEM

B、Playbook

C、SOAR引擎

D、威胁情报平台

【答案】C

【解析】正确答案是C。SOAR引擎是SOAR平台的核心组件，负责执行剧本、调

用API、协调不同安全工具之间的交互，是实现自动化流程编排的关键。A选项SIEM

（安全信息和事件管理）主要负责日志收集和事件关联分析，是SOAR的数据来源之一，

但不负责编排。B选项Playbook（剧本）是定义自动化流程的规则集，是SOAR执行

的内容，而不是执行组件。D选项威胁情报平台提供上下文信息，是SOAR的辅助系

统。知识点：SOAR核心组件功能。易错点：容易混淆SOAR引擎和剧本的概念，剧本

是“做什么”，引擎是“怎么做”。

2、在开发一个SOAR剧本时，安全分析师希望根据IP地址的地理位置信息来决

定是否阻断该IP。这个操作最适合使用以下哪种技术来实现？

A、正则表达式匹配

B、API调用外部威胁情报库

C、本地数据库查询

D、人工审核

【答案】B

【解析】正确答案是B。IP地址的地理位置信息通常由专业的威胁情报库或地理位

置服务提供，通过API调用是获取这些实时、动态信息的标准方式。A选项正则表达

式用于文本模式匹配，无法获取地理位置。C选项本地数据库可能包含过时的信息，无

法保证准确性。D选项人工审核与自动化响应的目标相悖。知识点：SOAR剧本中的数

据获取方式。易错点：可能会误以为所有信息都能在本地找到，而忽略了外部API在

丰富事件上下文中的关键作用。

3、一个SOAR剧本在执行过程中，需要暂停并等待人工输入，例如确认是否要隔

离一台关键服务器。在剧本设计中，这通常被称为？

2025年信息系统安全专家安全运营中心安全编排自动化响应剧本开发专题试卷及解析2

A、条件分支

B、循环

C、人工介入点

D、异常处理

【答案】C

【解析】正确答案是C。人工介入点（Humanintheloop）是SOAR剧本设计中一个

非常重要的概念，它允许自动化流程在关键决策点暂停，等待安全分析师的判断和输

入，然后再继续执行。A选项条件分支是基于预设规则自动选择路径，无需人工干预。

B选项循环是重复执行某段代码。D选项异常处理是应对流程中出现的错误情况。知

识点：SOAR剧本设计模式。易错点：容易将需要人工确认的步骤与简单的条件判断混

淆。

4、在SOAR环境中，为了确保剧本的可重用性和模块化，开发者应该优先采用哪

种设计原则？

A、将所有逻辑写在一个庞大的剧本中

B、创建可被多个剧本调用的子剧本或自定义动作

C、为每个特定事件编写独立的、一次性剧本

D、尽量避免使用变量，以简化剧本

【答案】B

【解析】正确答案是B。创建子剧本或自定义动作是实现代码复用、模块化和维护

性的最佳实践。例如，可以将“隔离主机”、“查询IP信誉”等通用功能封装成独立的模块，

供不同剧本调用。A选项会导致剧本臃肿、难以维护。C选项会造成大量重复工作，违

背了SOAR提高效率的初衷。D选项合理使用变量是剧本灵活性的基础，避免使用变

量会极大限制剧本的适用范围。知识点：SOAR剧本开发最佳实践。易错点：初学者可

能会倾向于为每个问题都从头写一个完整的剧本，而忽略了模块化带来的长期效益。

5、当SOAR剧本执行失败时，为了便于排查问题，最重要的日志信息应该包含什

么？

A、仅记录剧本开始和结束时间

B、记录每个步骤的输入、输出、执行状态和错误信息

C、只记录最终的成功或失败结果

D、记录所有参与剧本执行的服务器的CPU和内存使用率

【答案】B

【解析】正确答案是B。详细的执行日志是故障排查的生