2025年SOC安全运营工程师考试题库（附答案和详细解析）（1220）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

SIEM（安全信息与事件管理）系统的核心功能是？

A.终端设备漏洞扫描

B.集中日志管理与关联分析

C.网络流量加密传输

D.物理服务器访问控制

答案：B

解析：SIEM的核心是通过收集、标准化、关联多源日志（如网络设备、服务器、应用日志），实现安全事件的集中监控与分析。A是漏洞扫描工具功能，C是VPN或加密协议功能，D是物理安全措施，均非SIEM核心。

以下哪类攻击属于“横向移动”阶段的典型行为？

A.通过钓鱼邮件投递恶意附件

B.利用漏洞获取目标服务器权限

C.在域内扫描其他主机并尝试爆破

D.加密并勒索用户文件

答案：C

解析：横向移动是攻击者在控制初始目标后，尝试渗透同一网络内其他设备的阶段（如域内扫描、凭证窃取）。A是初始感染，B是权限获取，D是数据破坏（勒索），均非横向移动。

威胁情报的TIP（威胁情报平台）主要用于？

A.实时阻断恶意IP访问

B.存储、分析与分发威胁数据

C.生成漏洞修复补丁

D.模拟APT攻击路径

答案：B

解析：TIP的核心是整合多源威胁情报（如IOC、攻击手法），进行标准化处理并分发给安全工具（如防火墙、WAF）。A是防火墙功能，C是补丁管理系统功能，D是攻击模拟工具（如CALDERA）功能。

安全事件分级的主要依据是？

A.攻击者使用的武器库名称

B.事件对业务的影响程度

C.事件发生的具体时间

D.攻击源的地理位置

答案：B

解析：事件分级需基于业务影响（如数据泄露量、系统宕机时长、资产价值），以确定响应优先级。A、C、D均不直接反映事件危害程度。

以下哪项是EDR（端点检测与响应）的核心能力？

A.网络流量深度包检测

B.终端进程行为监控与追溯

C.云服务器漏洞自动修复

D.邮件内容垃圾过滤

答案：B

解析：EDR通过在终端部署代理，监控进程、文件、注册表等行为（如异常进程启动、恶意文件写入），并支持追溯攻击路径。A是NTA（网络流量分析）功能，C是漏洞管理功能，D是邮件网关功能。

ATTCK框架的主要作用是？

A.记录已知漏洞的修复方案

B.描述攻击者战术、技术和过程（TTPs）

C.评估网络设备的安全基线

D.生成渗透测试报告模板

答案：B

解析：ATTCK是MITRE发布的攻击者行为知识库，按“战术（如初始访问）-技术（如钓鱼邮件）-子技术”分层描述，用于指导防御策略。A是CVE或漏洞库功能，C是配置核查工具功能，D是报告模板工具功能。

日志完整性校验的主要目的是？

A.减少日志存储占用空间

B.防止日志被篡改或删除

C.提高日志检索速度

D.过滤冗余日志信息

答案：B

解析：通过哈希值（如SHA-256）或数字签名校验日志完整性，确保日志未被攻击者删除或伪造，是合规（如等保2.0）和事件溯源的关键要求。A是日志压缩功能，C是索引优化功能，D是日志过滤功能。

以下哪种场景最可能触发“误报”？

A.防火墙拦截已知恶意IP的访问

B.SIEM检测到异常的高频SSH登录失败

C.基于规则的WAF拦截正常用户的SQL查询

D.EDR阻断勒索软件的文件加密行为

答案：C

解析：误报指安全工具将合法行为误判为攻击（如WAF规则过严拦截正常SQL参数）。A、B、D均为合理检测场景。

安全运营中的“白名单”策略适用于？

A.未知威胁的快速阻断

B.严格控制允许的操作或访问

C.替代入侵检测系统（IDS）

D.降低日志存储成本

答案：B

解析：白名单通过明确允许的对象（如IP、进程、用户）限制操作，适用于高安全等级场景（如关键服务器）。A是黑名单功能，C无法替代IDS，D与日志存储无关。

以下哪项是“威胁狩猎”的典型特征？

A.基于已知规则的实时监控

B.主动寻找未被检测到的潜在威胁

C.自动生成漏洞修复建议

D.定期进行安全设备巡检

答案：B

解析：威胁狩猎是主动分析（如日志、流量）寻找异常行为（如APT长期潜伏），区别于被动的规则检测。A是常规监控，C是漏洞管理，D是运维工作。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC日常监控的关键数据来源的有？

A.网络设备（如防火墙、交换机）日志

B.终端设备（如PC、服务器）的进程日志

C.员工的个人社交媒体动态

D.应用系统（如OA、ERP）的操作日志

答案：ABD

解析：SOC监控需覆盖网络、终端、应用的安全相关日志（如访问、操作、异常行为）。C属于个人隐私数据，不在监控范围内。

安全事件响应流程通常包括哪些阶段？

A.准备（Preparation）

B.检测与分析（DetectionAnalysis）

C.抑制与根除（ContainmentErad