2025年SOC安全运营工程师考试题库（附答案和详细解析）（1126）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端漏洞扫描

B.日志聚合与关联分析

C.网络流量清洗

D.主机入侵防御

答案：B

解析：SIEM的核心是通过收集、存储、分析跨设备的日志数据，实现威胁事件的关联与可视化（如Splunk、ElasticSIEM）。A是漏洞扫描工具功能（如Nessus），C是DDoS防护设备功能（如F5），D是HIPS（主机入侵防御系统）功能，均非SIEM核心。

在ATTCK框架中，“Persistence（持久化）”属于哪个阶段？

A.初始访问

B.执行

C.防御规避

D.横向移动

答案：B

解析：ATTCK框架将攻击生命周期分为14个阶段，“持久化”属于“执行（Execution）”后的“持久化（Persistence）”阶段，用于维持对目标系统的控制。A是初始进入，C是绕过防御，D是横向扩展，均不符合。

以下哪种日志类型通常不包含用户行为信息？

A.防火墙会话日志

B.Windows安全事件日志（EventID4624）

C.Web服务器访问日志（ApacheAccessLog）

D.网络设备Syslog（设备状态告警）

答案：D

解析：Syslog通常记录设备运行状态（如接口Down/Up），不包含用户操作细节；A记录源IP/目的IP等会话信息，B记录用户登录事件，C记录HTTP请求用户代理等，均含用户行为。

某企业发现员工终端频繁连接境外C2服务器，最可能的攻击类型是？

A.勒索软件

B.APT攻击

C.DDoS攻击

D.暴力破解

答案：B

解析：APT（高级持续性威胁）常通过C2（命令与控制）服务器长期控制终端，符合“频繁连接境外”特征；勒索软件以加密文件为主，DDoS是流量攻击，暴力破解是认证攻击，均无C2交互。

以下哪项不属于安全事件分级的依据？

A.影响范围（如部门/全公司）

B.资产价值（如核心数据库/普通办公终端）

C.攻击手段（如钓鱼/漏洞利用）

D.恢复时间（如1小时内/超过24小时）

答案：C

解析：事件分级依据通常包括影响范围、资产价值、恢复难度等（如Gartner事件分级标准），攻击手段本身不直接决定等级（例如钓鱼可能导致高等级数据泄露）。

关于威胁情报，以下描述正确的是？

A.开源情报（OSINT）可信度高于商业情报

B.IoC（指标）仅包含IP地址和域名

C.结构化情报（STIX/TAXII）便于机器自动化处理

D.威胁情报无需与企业资产关联即可使用

答案：C

解析：STIX（结构化威胁信息表达式）和TAXII（传输协议）是标准化格式，支持机器解析与自动化响应；A错误，OSINT可能包含误报；B错误，IoC还包括哈希值、文件路径等；D错误，需结合企业资产（如仅关注企业使用的软件漏洞）。

某SOC团队发现某IP被多个威胁情报平台标记为恶意，但该IP是企业合作厂商的办公地址，此时应如何处理？

A.立即封禁该IP

B.标记为“误报”并加入白名单

C.通知厂商核查是否被入侵

D.忽略该告警

答案：C

解析：需验证威胁情报与实际场景的关联性：合作厂商IP可能被攻击者劫持，应联系对方核查（如确认被入侵则封禁，未被入侵则白名单）。直接封禁（A）或忽略（D）可能导致业务中断或遗漏攻击，B需先确认原因。

以下哪项是日志完整性保护的常用技术？

A.日志加密传输

B.哈希校验（如SHA-256）

C.日志脱敏处理

D.日志压缩存储

答案：B

解析：哈希校验可确保日志未被篡改（如定期计算日志文件哈希并与原始对比）；A是传输安全，C是隐私保护，D是存储优化，均不直接保护完整性。

在终端安全监控中，“进程树异常”通常指？

A.高CPU占用率的进程

B.父进程与子进程逻辑不匹配（如文档进程启动命令行）

C.未签名的第三方进程

D.超过30天未更新的进程

答案：B

解析：异常进程树（如Word文档启动cmd.exe）是典型的攻击特征（如宏病毒）；A是性能问题，C是签名验证，D是版本管理，均非进程树异常。

以下哪项不属于SOC合规性要求的常见标准？

A.GDPR（通用数据保护条例）

B.ISO27001（信息安全管理体系）

C.NISTSP800-61（事件响应指南）

D.ITIL（信息技术基础架构库）

答案：D

解析：ITIL是IT服务管理框架，与安全合规无直接关联；A（数据隐私）、B（安全管理）、C（事件响应）均是SOC合规常见标准。

二、多项选择题（共10题，每题2分，共20分）

以下属于SIEM系统核心组件的有？（）

A.日志采集器（Agent/Collector）

B.规则引擎（关联分析模块）