2025年信息系统安全专家安全运营中心端点检测与响应系统告警研判专题试卷及解析.docxVIP

2025年信息系统安全专家安全运营中心端点检测与响应系统告警研判专题试卷及解析

2025年信息系统安全专家安全运营中心端点检测与响应系统告警研判专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在EDR告警研判中，当检测到某终端进程频繁尝试连接已知的恶意C2服务器IP地址时，最优先的处置措施是什么？

A、隔离该终端网络连接

B、立即重启终端设备

C、记录日志并持续观察

D、升级终端杀毒软件

【答案】A

【解析】正确答案是A。因为C2连接表明终端可能已被控制，隔离网络可防止横向移动和数据泄露。B选项重启可能导致证据丢失；C选项观察会延误处置时机；D选项升级杀毒无法阻断当前攻击。知识点：EDR应急响应流程。易错点：可能误选D，但隔离是更紧急的处置措施。

2、以下哪项是EDR系统与传统杀毒软件的核心区别？

A、实时监控能力

B、基于行为的检测

C、病毒库更新机制

D、系统资源占用

【答案】B

【解析】正确答案是B。EDR的核心优势在于基于行为的检测，而传统杀毒主要依赖特征码。A、C、D选项两者都具备，但不是本质区别。知识点：EDR技术原理。易错点：可能误选A，但传统杀毒也有实时监控功能。

3、在分析EDR告警时，发现某进程在短时间内创建了大量子进程，这种行为最可能关联的攻击手法是？

A、凭证窃取

B、进程注入

C、横向移动

D、无文件攻击

【答案】B

【解析】正确答案是B。大量子进程创建是进程注入的典型特征。A、C、D选项通常不会表现为这种模式。知识点：恶意行为分析。易错点：可能误选C，但横向移动更多表现为网络连接行为。

4、EDR系统中父进程验证功能的主要目的是？

A、检测权限提升

B、识别异常进程链

C、监控内存使用

D、记录文件操作

【答案】B

【解析】正确答案是B。父进程验证用于识别异常的进程启动链，如Office启动cmd。A选项权限提升需要其他检测手段；C、D选项属于基础监控功能。知识点：EDR检测机制。易错点：可能误选A，但父进程验证更关注进程关系而非权限。

5、当EDR检测到终端出现内存注入告警时，最需要关注的关联事件是？

A、异常网络连接

B、系统重启记录

C、用户登录行为

D、磁盘空间变化

【答案】A

【解析】正确答案是A。内存注入通常与C2通信相关，异常网络连接是重要关联指标。B、C、D选项关联性较弱。知识点：告警关联分析。易错点：可能误选C，但登录行为与内存注入无直接关联。

6、EDR系统中的狩猎模式(HuntingMode)主要用于？

A、自动阻断威胁

B、主动搜索潜在威胁

C、生成合规报告

D、优化系统性能

【答案】B

【解析】正确答案是B。狩猎模式是EDR的主动威胁发现功能。A选项是自动响应；C选项属于SIEM功能；D选项与狩猎无关。知识点：EDR功能模块。易错点：可能误选A，但狩猎是检测而非阻断。

7、在EDR告警分级中，检测到勒索软件行为通常应被标记为？

A、低危

B、中危

C、高危

D、信息

【答案】C

【解析】正确答案是C。勒索软件会造成严重数据损失，属于高危威胁。A、B、D选项严重性不足。知识点：告警分级标准。易错点：可能误选B，但勒索软件的破坏性决定其高危级别。

8、EDR系统检测到PowerShell无文件攻击时，最有效的取证方法是？

A、检查启动项

B、分析内存镜像

C、查看浏览器历史

D、扫描硬盘文件

【答案】B

【解析】正确答案是B。无文件攻击的恶意代码存在于内存中，内存分析是关键。A、C、D选项可能无法发现证据。知识点：数字取证技术。易错点：可能误选D，但无文件攻击不依赖磁盘文件。

9、EDR系统中MITREATTCK框架的主要作用是？

A、定义告警格式

B、提供攻击技术分类

C、优化存储策略

D、管理用户权限

【答案】B

【解析】正确答案是B。ATTCK是攻击技术的知识库，用于分类和映射威胁。A、C、D选项与框架无关。知识点：威胁情报标准。易错点：可能误选A，但ATTCK不定义格式。

10、在EDR告警研判中，白名单误报的典型场景是？

A、已知恶意软件

B、合法软件更新

C、异常网络连接

D、权限提升行为

【答案】B

【解析】正确答案是B。合法软件更新可能触发行为检测误报。A、C、D选项通常不是误报。知识点：误报分析。易错点：可能误选C，但异常连接很少是合法行为。

第二部分：多项选择题（共10题，每题2分）

1、EDR系统告警研判时需要关注的上下文信息包括？

A、进程树关系

B、网络连接状态

C、用户权限级别

D、系统补丁情况

E、终端地理位置

【答案】A、B、C、D

【解析】A、B、C、D都是关键上下文信息，E地理位置通常不直接影响研判。知识点：告警分析要素。易错点：可能误选E，但地理位置与端点行为无直接关联。

2、以下哪些属于EDR系统的核心检测能力？

A、