2025年信息系统安全专家威胁情报平台与IOC在木马检测中的运用专题试卷及解析.docxVIP

2025年信息系统安全专家威胁情报平台与IOC在木马检测中的运用专题试卷及解析

2025年信息系统安全专家威胁情报平台与IOC在木马检测中的运用专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在威胁情报中，以下哪项属于最基础的IOC（入侵指标）类型？

A、攻击者的TTPs（战术、技术和程序）

B、恶意软件的哈希值

C、攻击组织的背景信息

D、漏洞利用的技术细节

【答案】B

【解析】正确答案是B。哈希值（如MD5、SHA256）是识别特定恶意软件文件或样本的最直接、最基础的IOC。A选项TTPs属于更高层次的威胁情报，描述攻击行为模式而非具体指标。C选项攻击组织背景属于战略级情报。D选项漏洞利用细节属于战术情报，但不是可直接用于检测的IOC。知识点：IOC分类（基础指标、行为指标、战术指标）。易错点：容易将TTPs与IOC混淆，前者描述如何攻击，后者描述什么被用于攻击。

2、威胁情报平台在木马检测中，最核心的价值体现在？

A、提供零日漏洞的预警

B、自动化关联分析多源IOC

C、生成详细的攻击报告

D、模拟木马行为特征

【答案】B

【解析】正确答案是B。威胁情报平台的核心能力是整合多源情报（如病毒库、黑名单、蜜罐数据）并自动化关联分析，提升检测效率。A选项零日漏洞预警属于漏洞情报范畴。C选项攻击报告是输出结果而非核心价值。D选项行为模拟属于沙箱技术。知识点：威胁情报平台功能架构。易错点：容易将平台输出结果（报告）与核心处理能力（关联分析）混淆。

3、以下哪种IOC类型最容易被攻击者通过简单修改规避？

A、C2服务器IP地址

B、恶意域名

C、文件数字证书指纹

D、PE文件特征码

【答案】D

【解析】正确答案是D。特征码检测基于固定字节序列，攻击者可通过加壳、混淆等手段轻易修改。A、B选项网络型IOC需要攻击者重新配置基础设施，成本较高。C选项证书指纹涉及PKI体系，伪造难度大。知识点：IOC的持久性与规避难度。易错点：忽视不同IOC类型的生命周期差异。

4、在STIX2.1标准中，用于描述木马样本的IOC对象类型是？

A、indicator

B、malwareanalysis

C、observeddata

D、tool

【答案】C

【解析】正确答案是C。observeddata对象用于记录具体观测到的数据（如文件哈希、网络连接），适合描述木马样本。A选项indicator是检测规则，B选项是分析报告，D选项是攻击工具的抽象描述。知识点：STIX数据模型。易错点：混淆indicator（检测规则）与observeddata（原始证据）的使用场景。

5、威胁情报平台在木马检测中，通常不会直接使用以下哪种数据源？

A、VirusTotal多引擎扫描结果

B、暗网论坛交易数据

C、企业防火墙日志

D、国家漏洞库（CNNVD）

【答案】D

【解析】正确答案是D。漏洞库提供漏洞信息而非直接IOC，属于漏洞情报范畴。A、B、C选项均可提供木马相关的IOC（哈希、C2地址等）。知识点：威胁情报数据源分类。易错点：误认为所有安全数据源都适用于IOC检测。

6、以下哪种技术最适合检测使用域前置（DomainFronting）技术的木马？

A、静态特征码匹配

B、JA3/JA3S指纹分析

C、DNS查询监控

D、SSL证书透明度日志分析

【答案】B

【解析】正确答案是B。域前置会隐藏真实C2域名，但JA3/JA3S指纹可识别TLS握手特征。A选项静态特征码无法检测网络流量。C选项DNS查询被伪装为合法域名。D选项证书日志只能看到CDN证书。知识点：高级C2通信检测技术。易错点：忽视传统DNS检测在域前置场景下的失效性。

7、威胁情报平台更新IOC频率的最佳实践是？

A、每日定时更新

B、实时流式更新

C、每周批量更新

D、按需手动更新

【答案】B

【解析】正确答案是B。木马C2基础设施变化迅速，实时更新才能保证检测时效性。A选项每日更新可能错过快速变化的IOC。C、D选项延迟更大。知识点：威胁情报时效性管理。易错点：忽视现代威胁情报的实时性要求。

8、在木马检测中，以下哪种IOC需要结合上下文信息才能有效使用？

A、已知恶意IP地址

B、文件MD5哈希值

C、注册表键值路径

D、异常网络连接端口

【答案】D

【解析】正确答案是D。端口本身可能合法，需结合协议、流量特征等上下文判断。A、B、C选项都是确定性指标。知识点：IOC的上下文依赖性。易错点：忽视网络型IOC的误报风险。

9、威胁情报平台在处理木马IOC时，最应关注的数据质量维度是？

A、数据完整性

B、数据准确性

C、数据多样性

D、数据时效性

【答案】D

【解析】正确答案是D。木马IOC生命周期短，时效性直接影响检测效果。A、B、C选项虽然重要，但时效性是首要考虑。知识点：