2025年信息系统安全专家安全运营中心情报驱动的威胁狩猎实战专题试卷及解析.docxVIP

2025年信息系统安全专家安全运营中心情报驱动的威胁狩猎实战专题试卷及解析

2025年信息系统安全专家安全运营中心情报驱动的威胁狩猎实战专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在情报驱动的威胁狩猎中，以下哪项是威胁情报的核心价值？

A、提供攻击者的身份信息

B、指导狩猎方向并提高效率

C、替代传统的安全检测工具

D、确保100%的威胁发现率

【答案】B

【解析】正确答案是B。威胁情报的核心价值在于为威胁狩猎提供方向性指导，帮助安全团队聚焦高风险威胁，从而提高狩猎效率。A选项虽然有价值但不是核心，C选项错误，情报是补充而非替代，D选项不现实，没有工具能保证100%发现率。知识点：威胁情报在威胁狩猎中的作用。易错点：容易误选A，认为身份信息最重要，但实际狩猎更关注行为模式。

2、以下哪种技术最适合用于检测横向移动中的异常行为？

A、静态代码分析

B、网络流量基线分析

C、防火墙规则审计

D、漏洞扫描

【答案】B

【解析】正确答案是B。横向移动通常表现为网络流量异常，基线分析能有效识别这些异常。A选项用于代码安全，C选项侧重访问控制，D选项用于漏洞发现，均不适用于行为检测。知识点：横向移动检测技术。易错点：可能误选C，但防火墙规则无法检测已绕过控制的内部行为。

3、在威胁狩猎中，MITREATTCK框架的主要作用是？

A、生成加密密钥

B、提供攻击技术的通用分类

C、替代SIEM系统

D、自动化响应流程

【答案】B

【解析】正确答案是B。MITREATTCK框架为攻击技术提供标准化分类，帮助狩猎团队理解攻击者行为。A、C、D选项均与框架功能无关。知识点：MITREATTCK框架应用。易错点：可能误选D，但框架本身不涉及自动化响应。

4、以下哪项是威胁狩猎与被动响应的主要区别？

A、是否使用自动化工具

B、是否基于假设主动搜索

C、是否需要人工分析

D、是否依赖日志数据

【答案】B

【解析】正确答案是B。威胁狩猎的核心是基于假设主动搜索潜在威胁，而被动响应是触发式应对。A、C、D选项两者都可能涉及。知识点：威胁狩猎与被动响应的区别。易错点：容易误选A，认为自动化是关键区别，但核心区别在于主动性。

5、在情报驱动的狩猎中，IOC（IndicatorsofCompromise）的最佳用途是？

A、预测未来攻击

B、验证已知威胁的存在

C、替代行为分析

D、生成攻击剧本

【答案】B

【解析】正确答案是B。IOC主要用于验证已知威胁的存在，如恶意IP或文件哈希。A选项需要TTP（战术、技术和程序）信息，C选项错误，IOC不能替代行为分析，D选项与IOC无关。知识点：IOC的应用场景。易错点：可能误选A，但IOC本身不具备预测能力。

6、以下哪种方法最适合发现无文件攻击？

A、磁盘镜像分析

B、内存取证

C、网络包捕获

D、配置文件审计

【答案】B

【解析】正确答案是B。无文件攻击主要在内存中执行，内存取证是最佳检测方法。A、C、D选项均无法有效检测内存中的恶意活动。知识点：无文件攻击检测技术。易错点：可能误选C，但网络流量可能无法捕获内存行为。

7、在威胁狩猎中，假设生成的主要依据是？

A、随机猜测

B、威胁情报和历史攻击数据

C、厂商安全公告

D、用户反馈

【答案】B

【解析】正确答案是B。假设生成应基于威胁情报和历史攻击数据，确保有针对性。A选项不专业，C、D选项信息有限。知识点：威胁狩猎假设生成方法。易错点：可能误选C，但厂商公告通常滞后于实际攻击。

8、以下哪项是威胁狩猎团队最应关注的指标？

A、防火墙拦截次数

B、狩猎发现的高级威胁数量

C、杀毒软件告警数

D、系统补丁覆盖率

【答案】B

【解析】正确答案是B。威胁狩猎的核心目标是发现高级威胁，其他指标更多属于基础安全工作。知识点：威胁狩猎效果评估指标。易错点：可能误选A，但防火墙拦截多为低级威胁。

9、在情报驱动的狩猎中，TTP（战术、技术和程序）的价值在于？

A、快速阻断已知IP

B、理解攻击者行为模式

C、生成恶意软件签名

D、修复系统漏洞

【答案】B

【解析】正确答案是B。TTP帮助理解攻击者的行为模式，指导狩猎策略。A、C、D选项分别对应IOC、签名和漏洞管理。知识点：TTP的应用价值。易错点：可能误选A，但TTP更关注行为而非具体指标。

10、以下哪种工具最适合用于威胁狩猎中的数据可视化？

A、文本编辑器

B、BI仪表盘

C、命令行终端

D、PDF阅读器

【答案】B

【解析】正确答案是B。BI仪表盘能有效可视化狩猎数据，帮助识别异常模式。A、C、D选项均不适合数据可视化。知识点：威胁狩猎工具选择。易错点：可能误选C，但命令行难以直观展示数据关系。

第二部分：多项选择题（共10题，每题2分）

1、以下哪些属于威胁情报的类型？

A、战略情报