2025年SOC安全运营工程师考试题库（附答案和详细解析）（1205）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

SIEM（安全信息与事件管理）系统的核心功能是？

A.终端设备漏洞扫描

B.集中日志管理与关联分析

C.网络流量实时加密

D.邮件内容恶意代码过滤

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、主机、应用），进行标准化处理和关联分析，识别潜在安全事件。A为漏洞扫描工具功能，C为加密设备功能，D为邮件网关功能，均非SIEM核心。

以下哪项属于ATTCK框架中的“战术（Tactics）”层？

A.钓鱼（Phishing）

B.横向移动（LateralMovement）

C.远程服务（RemoteServices）

D.恶意软件（Malware）

答案：B

解析：ATTCK框架分为“战术（Tactics）”（攻击阶段，如初始访问、横向移动）、“技术（Techniques）”（具体手段，如钓鱼）、“过程（Procedures）”（具体操作）。B是战术层，A是技术层，C和D是技术或工具类别。

安全运营中“告警降噪”的主要目的是？

A.减少日志存储成本

B.提高真实威胁的检出率

C.降低网络带宽消耗

D.简化SIEM系统配置

答案：B

解析：告警降噪通过过滤误报、合并重复告警，聚焦高价值威胁，避免分析师被海量低质量告警淹没。A、C是日志管理的间接效果，D与降噪无关。

以下哪种日志最适合用于检测横向移动攻击？

A.防火墙访问日志

B.终端进程日志

C.邮件传输日志

D.Web应用访问日志

答案：B

解析：横向移动常涉及终端间的进程通信（如远程桌面、PowerShell），终端进程日志可记录异常进程启动或跨设备连接行为。A侧重网络边界，C侧重邮件，D侧重Web应用，均非核心。

零信任架构的核心原则是？

A.默认信任内网所有设备

B.持续验证访问请求的合法性

C.仅通过IP地址验证身份

D.限制所有外部访问

答案：B

解析：零信任强调“永不信任，始终验证”，对每次访问请求（无论内外网）进行身份、设备状态、环境风险等多维度验证。A违反零信任，C是传统静态验证，D过于绝对。

以下哪项属于APT（高级持续性威胁）的典型特征？

A.攻击目标随机且短期

B.使用公开已知漏洞

C.长期潜伏并持续收集数据

D.仅通过钓鱼邮件发起攻击

答案：C

解析：APT的核心是针对特定目标（如政府、企业）的长期、隐蔽攻击，常结合0day漏洞和定制化工具。A是普通攻击特征，B是脚本小子行为，D是攻击手段之一但非典型。

安全事件响应流程的第一阶段是？

A.事件遏制（Containment）

B.事件分析（Analysis）

C.事件准备（Preparation）

D.事件报告（Reporting）

答案：C

解析：标准应急响应流程为：准备（预案、工具、团队）→检测与分析→遏制→根除与恢复→总结。C是前置阶段，无准备无法有效响应其他阶段。

以下哪类威胁情报对SOC实时检测最具价值？

A.战略级情报（如某国家APT组织动向）

B.战术级情报（如攻击组织使用的C2域名）

C.操作级情报（如行业安全趋势报告）

D.法律级情报（如数据保护法规更新）

答案：B

解析：战术级情报包含具体可落地的IOC（IndicatorofCompromise，如恶意IP、哈希值），可直接导入SIEM/EDR进行实时阻断。A侧重长期规划，C侧重趋势分析，D侧重合规。

漏洞生命周期中“POC公开”阶段的主要风险是？

A.漏洞被攻击者利用的可能性剧增

B.漏洞修复补丁正式发布

C.漏洞首次被厂商发现

D.漏洞对业务系统无实际影响

答案：A

解析：POC（概念验证）代码公开后，攻击者可直接利用其复现漏洞，此时若未及时修复（补丁可能尚未发布或未部署），系统暴露于高风险中。B是补丁发布阶段，C是发现阶段，D错误。

网络流量分析（NTA）中“异常流量”的判断依据不包括？

A.流量大小与历史基线偏差

B.流量目的IP的地理分布

C.流量使用的传输协议类型

D.用户主动标记的“正常流量”

答案：D

解析：异常流量判断基于基线（A）、协议合规性（C）、IP信誉（B）等客观指标；用户主动标记属于人工干预，非系统自动判断依据。

二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）

以下属于SOC日常监控的关键数据源有？

A.防火墙日志

B.终端EDR（端点检测与响应）数据

C.数据库慢查询日志

D.员工考勤系统记录

答案：ABC

解析：SOC监控需覆盖网络（A）、终端（B）、应用（C）等安全相关数据源；D与安全无关，无需监控。

威胁情报的主要应用场景包括？

A.优化入侵检测规则（IDS/IPS）

B.提前预警潜在攻击团伙动