2026年SOC安全运营工程师考试题库（附答案和详细解析）（0101）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.漏洞扫描与修复

B.集中日志采集、分析与关联

C.终端设备硬件监控

D.网络流量限速控制

答案：B

解析：SIEM的核心功能是通过收集多源日志（如网络、主机、应用），进行标准化处理、关联分析和实时监控，帮助安全团队发现异常事件。A为漏洞管理系统功能，C为IT运维监控功能，D为网络设备基础功能，均非SIEM核心。

在ATTCK框架中，“持久化（Persistence）”属于以下哪个层级？

A.战术（Tactics）

B.技术（Techniques）

C.过程（Procedures）

D.数据源（DataSources）

答案：A

解析：ATTCK框架采用“战术-技术-过程”三层结构，战术（Tactics）是攻击者的目标阶段（如初始访问、持久化、横向移动），技术（Techniques）是实现战术的具体方法（如注册表修改），过程（Procedures）是技术的具体执行步骤。因此“持久化”属于战术层。

以下哪种威胁情报类型最适合用于指导SOC团队调整入侵检测规则？

A.战略情报（Strategic）

B.战术情报（Tactical）

C.操作情报（Operational）

D.公开情报（Open-source）

答案：C

解析：操作情报（Operational）包含具体的IOC（指示物，如恶意IP、哈希值）和攻击特征，可直接用于更新防火墙规则、IDS特征库等；战术情报侧重攻击手法，战略情报侧重威胁趋势，公开情报需验证后使用，均不如操作情报直接指导规则调整。

某日志中出现“401Unauthorized”状态码，最可能对应的安全事件是？

A.暴力破解登录尝试

B.SQL注入攻击

C.DDoS流量洪泛

D.恶意文件上传

答案：A

解析：HTTP401状态码表示未授权访问，常见于用户尝试使用错误凭证登录（如暴力破解）；SQL注入通常对应500错误或异常SQL查询日志，DDoS可能导致503服务不可用，恶意文件上传可能涉及413有效载荷过大或200成功响应。

以下哪项不属于SOC团队的日常监控范围？

A.关键服务器CPU使用率

B.防火墙策略变更记录

C.员工邮件附件病毒扫描结果

D.第三方云服务API调用日志

答案：A

解析：SOC关注安全相关事件，CPU使用率属于IT运维监控范畴（非安全事件）；B（防火墙策略变更可能引入风险）、C（邮件附件病毒）、D（云API异常调用）均涉及安全风险，属于SOC监控范围。

在应急响应中，“遏制（Containment）”阶段的核心目标是？

A.恢复业务系统至正常状态

B.防止攻击影响进一步扩大

C.分析攻击路径与手段

D.收集法律证据

答案：B

解析：应急响应阶段包括准备、检测、遏制、根除、恢复、总结。遏制阶段的目标是通过隔离受感染设备、关闭漏洞等方式阻止攻击扩散；A是恢复阶段，C是分析阶段，D是贯穿全流程的任务。

以下哪种协议常用于安全设备（如防火墙、IDS）与SIEM系统的日志传输？

A.SMTP

B.Syslog

C.FTP

D.SNMP

答案：B

解析：Syslog是标准的日志传输协议，广泛用于设备向日志服务器或SIEM发送日志；SMTP是邮件传输协议，FTP是文件传输协议，SNMP是网络管理协议（用于监控设备状态）。

当检测到某IP频繁访问内部OA系统登录页面（每分钟20次），最合理的初步判断是？

A.该IP正在进行暴力破解攻击

B.该IP是合法运维人员的设备

C.该IP感染了勒索病毒

D.该IP发起了DDoS攻击

答案：A

解析：暴力破解攻击的典型特征是高频次尝试登录（远超正常用户访问频率）；合法运维通常使用固定IP且访问频率低，勒索病毒主要表现为文件加密，DDoS以流量洪泛为特征，均不符合该场景。

以下哪个工具最适合用于威胁狩猎（ThreatHunting）？

A.漏洞扫描器（如Nessus）

B.沙箱（如Cuckoo）

C.流量分析工具（如Wireshark）

D.终端检测与响应（EDR）系统

答案：D

解析：威胁狩猎需要主动搜索隐藏的威胁，EDR系统可收集终端全行为日志（如进程、文件、网络连接），支持自定义查询和异常检测；漏洞扫描器侧重漏洞发现，沙箱用于恶意文件分析，Wireshark适合实时流量分析但缺乏终端上下文。

在安全合规性检查中，“等保2.0”要求的“三重防护”不包括？

A.技术防护

B.管理防护

C.物理防护

D.人员防护

答案：D

解析：等保2.0的三重防护体系包括技术（网络、主机、应用安全）、管理（制度、流程、培训）、物理（机房、设备物理安全）防护