2025年SOC安全运营工程师考试题库（附答案和详细解析）（1214）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

SIEM（安全信息与事件管理）系统的核心功能不包括以下哪项？

A.日志收集与标准化

B.实时事件关联分析

C.漏洞扫描与修复

D.安全事件告警与可视化

答案：C

解析：SIEM的核心功能是日志集中管理（A）、通过规则或机器学习进行事件关联分析（B）、生成告警并可视化展示（D）。漏洞扫描与修复是漏洞管理系统（如Nessus）的功能，因此C错误。

ATTCK框架中“Persistence（持久化）”属于以下哪个维度？

A.战术（Tactics）

B.技术（Techniques）

C.过程（Procedures）

D.数据源（DataSources）

答案：A

解析：ATTCK框架分为“战术（Tactics）”（攻击阶段，如初始访问、持久化）和“技术（Techniques）”（具体攻击方法，如注册表修改）。持久化是攻击的战术目标，因此选A，B错误；C和D属于框架的扩展维度，非核心分类。

日志分析中“三要素”通常指？

A.源IP、目标IP、端口号

B.时间戳、事件主体、事件内容

C.用户ID、操作类型、操作结果

D.设备类型、日志等级、日志大小

答案：B

解析：日志分析的核心是准确定位事件发生的时间（时间戳）、涉及的对象（事件主体，如用户/设备）、具体行为（事件内容）。A是网络日志的部分字段，C是用户操作日志的部分字段，D是日志元数据，均不全面，因此选B。

以下哪种攻击属于“横向移动”阶段？

A.通过钓鱼邮件投递恶意软件

B.利用漏洞获取本地管理员权限

C.使用窃取的凭证访问域控服务器

D.加密主机文件索要赎金

答案：C

解析：横向移动（LateralMovement）指攻击者在已控制主机后，利用凭证或漏洞渗透其他主机。A是初始访问，B是权限提升，D是数据加密（勒索软件的最终阶段），因此选C。

勒索软件攻击的关键检测指标不包括？

A.异常的文件加密操作（如大量.docx→.encrypted）

B.主机与未知C2服务器频繁通信

C.系统备份服务被禁用

D.员工收到垃圾邮件

答案：D

解析：垃圾邮件是攻击的初始载体（可能包含钓鱼链接），但并非勒索软件本身的关键指标。A（加密行为）、B（与控制服务器通信）、C（破坏备份防止恢复）均为勒索软件的典型行为，因此选D。

以下哪项是SOC团队的核心职责？

A.开发企业核心业务系统

B.定期进行安全意识培训

C.管理企业人力资源

D.维护员工办公设备

答案：B

解析：SOC（安全运营中心）的核心职责包括威胁检测、事件响应、安全培训等。A是开发团队职责，C是HR职责，D是IT运维职责，因此选B。

安全事件分级的主要依据是？

A.事件发生的时间

B.事件影响的资产价值、范围及修复难度

C.事件涉及的员工数量

D.事件日志的大小

答案：B

解析：安全事件分级需基于影响程度（如关键系统瘫痪、用户数据泄露）、资产重要性（如核心数据库）及修复成本。A、C、D与事件严重程度无直接关联，因此选B。

以下哪种设备主要用于检测网络层异常流量？

A.WAF（Web应用防火墙）

B.IDS（入侵检测系统）

C.堡垒机

D.负载均衡器

答案：B

解析：IDS通过分析网络流量检测已知或异常行为（如SQL注入、DDoS）；WAF侧重应用层（如HTTP协议）防护；堡垒机用于账号权限管理；负载均衡器用于流量分配。因此选B。

威胁情报的“TIP”指？

A.威胁情报平台（ThreatIntelligencePlatform）

B.威胁指标（IndicatorofCompromise）

C.战术技术过程（TTPs）

D.威胁检测规则（ThreatDetectionRule）

答案：A

解析：TIP是威胁情报管理平台的缩写，用于收集、分析、分发情报；IoC是威胁指标（B），TTPs是攻击手法（C），D是检测规则，因此选A。

应急响应流程的最后一步是？

A.遏制（Containment）

B.根除（Eradication）

C.恢复（Recovery）

D.总结（LessonsLearned）

答案：D

解析：应急响应标准流程为：准备→检测→遏制→根除→恢复→总结。总结阶段用于复盘改进，因此选D。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC日常运营核心任务的有？

A.监控安全设备（如IDS、WAF）日志

B.定期更新安全策略（如防火墙规则）

C.开发新的业务功能模块

D.分析威胁情报并关联内部事件

答案：ABD

解析：SOC日常任务包括日志监控（A）、策略优化（B）、情报分析（D）；C是开发团队职责，因此排除。

勒索软件攻击的预防措施包括？