2025年信息系统安全专家威胁狩猎方法论与流程专题试卷及解析.docxVIP

2025年信息系统安全专家威胁狩猎方法论与流程专题试卷及解析

2025年信息系统安全专家威胁狩猎方法论与流程专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁狩猎中，假设驱动的狩猎方法主要依赖于什么？

A、随机日志抽样

B、基于威胁情报的假设

C、用户行为异常检测

D、自动化扫描工具

【答案】B

【解析】正确答案是B。假设驱动的威胁狩猎是基于威胁情报、攻击者TTPs（战术、技术和过程）或历史事件形成假设，然后主动验证这些假设。A选项随机抽样属于无结构化狩猎；C选项用户行为异常检测属于行为分析技术；D选项自动化扫描工具属于被动防御手段。知识点：威胁狩猎方法论。易错点：容易混淆假设驱动与无结构化狩猎的区别。

2、威胁狩猎流程中，数据收集阶段最关键的是？

A、收集尽可能多的数据

B、收集与假设相关的特定数据

C、只收集网络流量数据

D、依赖第三方安全工具数据

【答案】B

【解析】正确答案是B。威胁狩猎的数据收集应聚焦于验证假设所需的相关数据，而非盲目收集。A选项会导致数据过载；C选项过于片面；D选项忽略了内部数据源的重要性。知识点：威胁狩猎流程。易错点：容易陷入数据越多越好的误区。

3、MITREATTCK框架在威胁狩猎中的主要作用是？

A、提供漏洞扫描标准

B、描述攻击者行为模式

C、定义加密算法标准

D、评估系统性能指标

【答案】B

【解析】正确答案是B。MITREATTCK框架详细描述了攻击者的战术、技术和过程，是威胁狩猎的重要参考。A选项是CVE框架的作用；C选项是NIST的作用；D选项是性能监控工具的作用。知识点：威胁狩猎框架。易错点：容易混淆不同安全框架的用途。

4、在威胁狩猎中，基线建立的主要目的是？

A、设定系统性能标准

B、定义正常行为模式

C、配置防火墙规则

D、记录用户密码策略

【答案】B

【解析】正确答案是B。基线建立是为了定义系统的正常行为模式，以便识别异常活动。A选项属于性能管理；C选项属于网络防护；D选项属于身份管理。知识点：威胁狩猎基础。易错点：容易将基线与性能基线混淆。

5、威胁狩猎中，假设验证阶段最常用的技术是？

A、数据可视化

B、密码破解

C、端口扫描

D、漏洞利用

【答案】A

【解析】正确答案是A。数据可视化是验证假设的有效手段，能直观展示异常模式。B、C、D选项属于攻击技术，而非狩猎技术。知识点：威胁狩猎技术。易错点：容易将狩猎技术与攻击技术混淆。

6、在威胁狩猎中，持久化阶段的攻击者行为通常表现为？

A、创建计划任务

B、加密用户数据

C、发起DDoS攻击

D、篡改网页内容

【答案】A

【解析】正确答案是A。持久化是攻击者维持访问权限的手段，创建计划任务是常见方法。B选项属于勒索行为；C选项属于拒绝服务攻击；D选项属于网页篡改攻击。知识点：ATTCK战术。易错点：容易混淆不同攻击阶段的行为特征。

7、威胁狩猎中，横向移动的主要检测点是？

A、异常登录行为

B、大量数据外传

C、系统重启频繁

D、CPU使用率过高

【答案】A

【解析】正确答案是A。横向移动通常伴随异常登录行为，如非工作时间登录、多地点登录等。B选项属于数据窃取；C、D选项属于系统异常。知识点：威胁狩猎检测点。易错点：容易将横向移动与其他攻击行为混淆。

8、在威胁狩猎中，数据外传阶段最可能使用的协议是？

A、HTTP/HTTPS

B、DNS

C、FTP

D、以上都是

【答案】D

【解析】正确答案是D。攻击者可能使用多种协议进行数据外传，包括HTTP/HTTPS、DNS隧道、FTP等。知识点：数据外传技术。易错点：容易忽视DNS隧道等隐蔽手段。

9、威胁狩猎中，权限提升的常见迹象是？

A、用户账户频繁创建

B、系统日志异常增长

C、普通用户执行管理员操作

D、网络流量突增

【答案】C

【解析】正确答案是C。权限提升表现为普通用户执行管理员操作。A选项属于账户滥用；B选项可能是日志配置问题；D选项可能是正常业务流量。知识点：权限提升检测。易错点：容易将权限提升与其他异常行为混淆。

10、威胁狩猎的最终目标是？

A、捕获所有攻击者

B、消除所有漏洞

C、发现未知威胁

D、部署更多安全工具

【答案】C

【解析】正确答案是C。威胁狩猎的核心目标是发现未知威胁和潜伏攻击。A、B、D选项是安全防护的其他目标。知识点：威胁狩猎目标。易错点：容易混淆狩猎与防护的区别。

第二部分：多项选择题（共10题，每题2分）

1、威胁狩猎的数据源包括哪些？

A、系统日志

B、网络流量

C、终端行为数据

D、威胁情报

E、以上都是

【答案】A、B、C、D

【解析】正确答案是A、B、C、D。威胁狩猎需要多源数据，包括系统日志、网络流量、终端行为和威胁情报。E选项是干扰项。知识点：威胁狩猎数据源。易错点：容易忽视威胁情报的重要性。

2、假