2026年SOC安全运营工程师考试题库（附答案和详细解析）（0107）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

SIEM（安全信息与事件管理系统）的核心功能是？

A.终端设备漏洞扫描

B.集中日志采集、关联分析与事件报警

C.网络流量深度包检测（DPI）

D.邮件钓鱼内容过滤

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、主机、应用），进行标准化处理、关联分析和实时报警，帮助SOC团队快速发现异常事件。A为漏洞扫描工具功能（如Nessus），C为IDS/IPS功能，D为邮件网关功能，均非SIEM核心。

ATTCK框架的主要作用是？

A.评估漏洞修复优先级（如CVSS评分）

B.描述攻击者的战术（Tactics）与技术（Techniques）

C.提供威胁情报共享标准（如STIX/TAXII）

D.定义安全事件响应流程（如NISTSP800-61）

答案：B

解析：ATTCK（AdversarialTactics,Techniques,andCommonKnowledge）是MITRE推出的攻击者行为知识库，按战术（如初始访问、横向移动）和技术（如钓鱼邮件、权限提升）分类。A是CVSS的作用，C是STIX/TAXII的作用，D是NIST等标准的作用。

以下哪种日志类型通常不包含用户登录行为信息？

A.系统日志（WindowsEventLog）

B.防火墙会话日志

C.SSH服务器认证日志

D.数据库审计日志

答案：B

解析：防火墙会话日志主要记录流量源目IP、端口、协议等网络层信息，不包含用户身份（需结合应用层日志）。A记录用户登录成功/失败事件，C记录SSH认证过程，D记录数据库用户操作，均包含用户行为。

勒索软件攻击的典型特征是？

A.目标主机内存占用异常升高

B.大量文件被加密并修改扩展名（如.encrypted）

C.网络流量中出现大量ICMP请求（Ping洪水）

D.系统进程列表中出现异常的svchost.exe进程

答案：B

解析：勒索软件通过加密用户文件并索要赎金，典型表现是文件扩展名被篡改（如.xxx、.encrypted）。A可能是挖矿木马特征，C是DDoS特征，D需结合进程路径/父进程判断（正常svchost为系统进程）。

以下哪项属于SOC日常监控的“异常基线”范围？

A.服务器CPU利用率长期稳定在30%-50%

B.财务系统凌晨2点出现用户登录

C.办公网出口流量峰值为1Gbps

D.邮件服务器每天接收1000封外部邮件

答案：B

解析：异常基线需基于“正常模式”判断，财务系统通常仅在工作时间使用，凌晨登录属于偏离基线的异常。A/C/D是长期稳定的正常模式，不属于异常。

安全事件分级的核心依据是？

A.事件涉及的IP地址数量

B.事件对业务可用性、数据完整性的影响程度

C.事件发生的时间段（如工作日/节假日）

D.事件关联的日志条目数量

答案：B

解析：事件分级需根据《信息安全事件分类分级指南》，核心是影响程度（如是否导致业务中断、数据泄露）。A/C/D是辅助指标，非核心依据。

以下哪种工具主要用于端点行为监控与响应？

A.Wazuh（开源HIDS）

B.PaloAltoNGFW

C.VirusTotal（文件分析平台）

D.MISP（威胁情报共享平台）

答案：A

解析：Wazuh是主机入侵检测系统（HIDS），通过代理收集端点日志，监控文件变更、进程异常等行为并响应。B是网络防火墙，C是文件沙箱分析，D是威胁情报管理，均非端点行为监控工具。

等保2.0三级系统要求的“安全审计”应覆盖？

A.仅网络设备操作日志

B.重要网络设备、主机、应用的用户操作

C.终端设备的软件安装记录

D.员工办公电脑的网页浏览记录

答案：B

解析：等保2.0要求三级系统审计覆盖“重要设备、系统和数据库的运行日志和用户操作日志”，确保可追溯。A范围过窄，C/D非“重要”对象，不符合要求。

以下哪种攻击属于“横向移动”阶段？

A.通过钓鱼邮件投递恶意文档（初始访问）

B.获取普通用户权限后窃取域管理员凭证（权限提升）

C.使用窃取的凭证登录域控服务器（横向移动）

D.加密域控服务器文件索要赎金（影响阶段）

答案：C

解析：横向移动（LateralMovement）指利用已控主机的凭证/漏洞，访问同一网络内其他主机。A是初始访问，B是权限提升，D是数据破坏。

威胁情报的“可行动性”指？

A.情报来源的权威性（如FireEye、CrowdStrike）

B.情报包含IP/哈希/域名等具体指标（IOC），可用于检测或阻断

C.情报发布的时效性（如24小时内的新威胁）

D.情报覆盖的攻击类型广度（如APT、勒索软件、挖矿木马）

答案：B

解析：可行动性（A