2025年信息系统安全专家威胁狩猎绩效考核与激励专题试卷及解析.docxVIP

2025年信息系统安全专家威胁狩猎绩效考核与激励专题试卷及解析

2025年信息系统安全专家威胁狩猎绩效考核与激励专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁狩猎活动中，以下哪项是“假设驱动”狩猎方法的核心特征？

A、依赖自动化工具全面扫描网络流量

B、基于攻击者TTPs主动构建假设并验证

C、被动等待安全告警触发调查

D、定期执行漏洞扫描和补丁管理

【答案】B

【解析】正确答案是B。假设驱动的威胁狩猎是指安全专家基于对攻击者行为模式（TTPs）的理解，主动提出关于潜在威胁的假设，然后通过数据分析和调查来验证或推翻这些假设。这种方法强调主动性和前瞻性。A选项描述的是被动监测，C选项是响应式安全，D选项是基础安全运维，均不符合假设驱动的定义。知识点：威胁狩猎方法论。易错点：将假设驱动与自动化工具扫描混淆，后者只是狩猎的辅助手段而非核心特征。

2、在绩效考核中，衡量威胁狩猎团队有效性的关键指标（KPI）通常是？

A、处理的工单数量

B、发现的未知威胁数量和质量

C、安装的安全软件数量

D、编写的安全策略文档页数

【答案】B

【解析】正确答案是B。威胁狩猎的核心价值在于发现传统防御手段未能检测到的未知威胁和高级持续性威胁（APT）。因此，发现的未知威胁的数量（如新的IOC、攻击路径）和质量（如威胁的严重性、影响范围）是衡量其有效性的关键。A、C、D选项更偏向于安全运维或合规工作，不能直接反映威胁狩猎的核心产出。知识点：威胁狩猎绩效指标。易错点：将工单数量等过程性指标误认为核心产出指标。

3、MITREATTCK框架在威胁狩猎中主要用于？

A、加密网络通信

B、标准化和分类攻击者的行为与技术

C、生成恶意软件样本

D、管理用户身份和访问权限

【答案】B

【解析】正确答案是B。MITREATTCK是一个全球可访问的adversarytacticsandtechniquesknowledgebase，它为威胁狩猎提供了共同的语言和框架，帮助狩猎者理解攻击者的行为模式，构建假设，并系统性地寻找相应技术的痕迹。A、C、D选项分别对应网络安全、恶意软件分析和身份管理，与ATTCK的核心用途无关。知识点：MITREATTCK框架应用。易错点：将ATTCK与具体的安全工具或技术混淆，它是一个知识库和模型，而非执行工具。

4、为了激励威胁狩猎人员，以下哪种激励方式最能有效促进其发现高级威胁的主动性？

A、仅根据处理告警的数量发放奖金

B、设立“重大威胁发现奖”和“创新狩猎方法奖”

C、要求所有团队成员工作时间完全一致

D、仅提供基础的岗位工资，无额外激励

【答案】B

【解析】正确答案是B。有效的激励机制应与威胁狩猎的核心目标（发现高级威胁、创新方法）对齐。设立专项奖励可以直接激励团队成员投入更多精力进行深度分析和创造性思考。A选项可能导致“刷量”而忽视质量，C选项限制了灵活性，D选项则缺乏激励。知识点：安全团队激励设计。易错点：认为任何形式的奖金都能激励，忽视了激励与核心产出对齐的重要性。

5、在威胁狩猎过程中，当发现一个可疑的PowerShell进程时，以下哪个数据源对于确认其恶意性最关键？

A、DNS查询日志

B、进程创建日志及其命令行参数

C、防火墙访问控制列表

D、用户登录历史记录

【答案】B

【解析】正确答案是B。PowerShell的恶意性通常体现在其执行的命令和脚本内容。进程创建日志（尤其是包含详细命令行参数的日志，如SysmonEventID1）能直接展示该进程具体做了什么，是判断其行为是否恶意的最直接证据。A、C、D是辅助数据，但无法直接揭示PowerShell进程的内部行为。知识点：终端取证与数据分析。易错点：过于依赖网络侧数据（如DNS）而忽略了终端侧更直接的证据。

6、威胁狩猎与事件响应的主要区别在于？

A、使用的工具不同

B、威胁狩猎是主动的，事件响应是被动的

C、团队人员技能要求不同

D、工作时间不同

【答案】B

【解析】正确答案是B。最核心的区别在于工作模式：威胁狩猎是主动出击，假设网络中已存在未被发现的威胁并进行搜寻；事件响应是在安全事件发生后进行被动处置。A、C、D选项可能存在差异，但并非根本性区别。知识点：威胁狩猎与事件响应的对比。易错点：将表面差异（如工具）误认为本质区别。

7、在设计威胁狩猎绩效考核体系时，应避免以下哪种做法？

A、将发现的威胁与业务影响关联

B、设置可量化的、明确的狩猎目标

C、仅以“发现的威胁数量”作为唯一考核指标

D、鼓励团队成员分享狩猎成果和经验

【答案】C

【解析】正确答案是C。仅以数量为唯一指标会导致团队成员追求数量而忽视质量，例如只关注容易发现的低级威胁。一个好的考核体系应是多维度的，结合数量、质量、业务影响、团队协作等。A、B、D都