2025年信息系统安全专家安全运营中心威胁情报的战术、技术与过程映射专题试卷及解析.docxVIP

2025年信息系统安全专家安全运营中心威胁情报的战术、技术与过程映射专题试卷及解析

2025年信息系统安全专家安全运营中心威胁情报的战术、技术与过程映射专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在MITREATTCK框架中，攻击者通过伪造合法软件更新来植入恶意代码的行为，最可能归类于以下哪个战术？

A、持久化（Persistence）

B、防御规避（DefenseEvasion）

C、执行（Execution）

D、初始访问（InitialAccess）

【答案】D

【解析】正确答案是D。伪造软件更新属于典型的初始访问手段，攻击者通过欺骗用户执行恶意更新来获取系统访问权限。A选项持久化是指维持系统访问权限的技术；B选项防御规避是绕过安全检测的技术；C选项执行是指在目标系统上运行恶意代码。知识点：ATTCK框架的战术分类。易错点：容易混淆初始访问与执行的区别，前者强调获取访问权限，后者强调代码运行。

2、安全运营中心（SOC）在分析威胁情报时，发现某攻击组织频繁使用PowerShell无文件攻击技术。该技术主要属于ATTCK框架的哪个战术？

A、权限提升（PrivilegeEscalation）

B、横向移动（LateralMovement）

C、执行（Execution）

D、数据渗出（Exfiltration）

【答案】C

【解析】正确答案是C。PowerShell无文件攻击的核心是在内存中直接执行恶意代码，属于执行战术。A选项权限提升是获取更高权限；B选项横向移动是网络内扩散；D选项数据渗出是窃取数据。知识点：ATTCK战术与技术映射。易错点：可能误选权限提升，因为PowerShell常被用于提权，但题目强调的是执行这一核心行为。

3、威胁情报分析中，IOC（IndicatorsofCompromise）与TTP（Tactics,Techniques,andProcedures）的主要区别在于？

A、IOC是静态特征，TTP是动态行为

B、IOC是动态行为，TTP是静态特征

C、两者本质相同，只是命名不同

D、IOC用于防御，TTP用于攻击

【答案】A

【解析】正确答案是A。IOC是可观测的静态指标（如IP、哈希值），TTP描述攻击者的行为模式。B选项表述相反；C选项错误，两者有本质区别；D选项片面，两者均可用于防御。知识点：威胁情报核心概念。易错点：容易混淆两者的定义，需记住IOC是是什么，TTP是怎么做。

4、在威胁情报的生命周期中，分析阶段的主要任务是？

A、收集原始数据

B、将数据转化为可操作的情报

C、分发情报给相关方

D、评估情报的有效性

【答案】B

【解析】正确答案是B。分析阶段的核心是对原始数据进行关联、验证和解读，生成可操作的情报。A选项是收集阶段；C选项是分发阶段；D选项是反馈阶段。知识点：威胁情报生命周期。易错点：可能误选收集阶段，但题目明确问的是分析阶段。

5、某SOC团队发现攻击者通过钓鱼邮件获取初始访问权限后，使用Mimikatz工具窃取凭证。这一攻击链最符合ATTCK框架的哪个战术序列？

A、初始访问→权限提升→凭证访问

B、初始访问→凭证访问→横向移动

C、初始访问→执行→凭证访问

D、初始访问→防御规避→凭证访问

【答案】B

【解析】正确答案是B。钓鱼邮件属于初始访问，Mimikatz窃取凭证属于凭证访问，后续通常用于横向移动。A选项权限提升不是必须步骤；C选项执行不是核心；D选项防御规避与题目无关。知识点：ATTCK战术链分析。易错点：容易忽略攻击链的连贯性，需按实际攻击流程排序。

6、威胁情报平台（TIP）的核心功能不包括？

A、IOC聚合与去重

B、攻击链可视化

C、实时流量监控

D、情报评分与优先级排序

【答案】C

【解析】正确答案是C。实时流量监控是SIEM或IDS的功能，TIP专注于情报管理。A、B、D都是TIP的核心功能。知识点：威胁情报平台功能。易错点：可能误选攻击链可视化，但现代TIP通常支持此功能。

7、在STIX（StructuredThreatInformationeXpression）标准中，用于描述攻击者行为模式的数据结构是？

A、Indicator

B、Malware

C、AttackPattern

D、Tool

【答案】C

【解析】正确答案是C。AttackPattern用于描述攻击者的行为模式（即TTP）。A选项Indicator是IOC；B选项Malware是恶意软件；D选项Tool是攻击工具。知识点：STIX数据模型。易错点：容易混淆Indicator与AttackPattern，前者是静态特征，后者是行为模式。

8、SOC团队在分析威胁情报时，发现某IP地址同时出现在多个开源情报源中，但信誉评分差