2025年SOC安全运营工程师考试题库（附答案和详细解析）（1218）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端设备病毒查杀

B.集中日志采集与事件关联分析

C.网络流量清洗（DDoS防护）

D.漏洞扫描与修复建议

答案：B

解析：SIEM的核心是通过收集多源日志（如网络设备、主机、应用日志），进行归一化处理和关联分析，实现安全事件的集中监控与告警。A属于EDR（终端检测与响应）功能，C属于DDoS防护设备功能，D属于漏洞管理平台功能。

勒索软件的典型传播途径中，最常见的是？

A.系统未修复的高危漏洞（如CVE-2021-1675）

B.钓鱼邮件附件或链接

C.移动存储设备（U盘自动播放）

D.社交工程电话诱导用户操作

答案：B

解析：根据2023年IBMX-Force报告，超70%的勒索软件攻击通过钓鱼邮件传播（如Emotet木马携带勒索有效载荷）。A是次要途径（需配合漏洞利用工具），C和D属于辅助传播方式。

以下哪种攻击类型属于APT（高级持续性威胁）？

A.针对某电商平台的DDoS攻击

B.利用Struts2漏洞的批量网站挂马

C.境外组织对能源企业持续6个月的渗透窃密

D.普通黑客通过弱口令爆破登录个人账号

答案：C

解析：APT的核心特征是“高级（使用0day/定制工具）、持续（长期潜伏）、定向（特定目标）”。C符合这三个特征；A是随机破坏型攻击，B是批量利用型攻击，D是机会主义攻击。

在日志分析中，“异常登录”的关键判断依据是？

A.登录IP地址的地理位置

B.登录时间与用户历史行为模式的偏差

C.登录设备的操作系统版本

D.登录账号的密码复杂度

答案：B

解析：异常登录需结合用户行为分析（UEBA），例如用户凌晨3点从从未登录过的IP登录，即使IP是国内的也可能异常。A（地理位置）可能因出差正常，C（系统版本）无直接关联，D（密码复杂度）属于预防措施而非检测依据。

以下哪项是WAF（Web应用防火墙）的主要防护对象？

A.内网主机的横向移动攻击

B.SQL注入、XSS等应用层攻击

C.网络层的SYNFlood攻击

D.恶意软件的内存驻留

答案：B

解析：WAF工作在OSI第七层（应用层），主要检测HTTP/HTTPS流量中的恶意payload（如SQL注入的“’OR1=1–”）。A属于内网监控范畴，C由网络防火墙或DDoS防护设备处理，D由EDR或杀毒软件检测。

应急响应流程中，“根除阶段”的核心任务是？

A.隔离受感染设备防止扩散

B.分析攻击路径与恶意样本

C.修复系统漏洞并清除残留恶意代码

D.恢复业务系统至正常状态

答案：C

解析：应急响应的标准流程为：准备→检测→遏制→根除→恢复→总结。根除阶段需彻底清除恶意代码（如后门文件、注册表项），修复攻击利用的漏洞（如打补丁、修改弱口令）。A是遏制阶段，B是检测分析阶段，D是恢复阶段。

以下哪种威胁情报类型对SOC实时检测最具价值？

A.战略情报（如某APT组织的长期目标）

B.战术情报（如恶意IP、哈希值、C2服务器）

C.操作情报（如攻击组织的基础设施架构）

D.法律情报（如数据泄露的合规要求）

答案：B

解析：战术情报包含可直接用于检测的IOC（指示物，如恶意文件哈希、C2域名），SOC可通过SIEM规则或防火墙策略快速阻断。A用于战略防御规划，C用于溯源分析，D用于合规管理。

等保2.0标准中，第二级（系统审计保护级）的核心要求是？

A.建立安全管理制度体系

B.实现对重要用户行为的审计和留存

C.部署入侵检测与防护系统

D.开展年度渗透测试与风险评估

答案：B

解析：等保2.0第二级要求“应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计”。A是基本要求（所有级别），C是第三级（系统监测保护级）要求，D是第三级及以上的合规要求。

以下哪项不属于漏洞管理的关键步骤？

A.漏洞扫描与识别

B.漏洞风险评估（CVSS评分）

C.漏洞利用代码编写

D.漏洞修复验证

答案：C

解析：漏洞管理流程包括：扫描→评估→修复→验证。C（编写利用代码）属于攻击者行为或渗透测试中的主动验证，非SOC常规漏洞管理内容。

在流量分析中，“C2通信”的典型特征是？

A.大流量UDP包（如视频流）

B.周期性小流量TCP连接（如每5分钟发送1次心跳）

C.随机端口的ICMP请求（如Ping洪水）

D.同源IP的大量SYN包（如SYNFlood）

答案：B

解析：C2（命令与控制）服务器通常通过加密的TCP连接（如HTTPS）与被控主机保持低频次、小流量的心跳通信（避免被检测）。A是正常业务流量，C是ICMP攻击特征，D是DDoS攻击特