2026年SOC安全运营工程师考试题库（附答案和详细解析）（0102）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

SIEM（安全信息与事件管理）系统的核心功能是？

A.网络流量加速

B.日志集中存储与关联分析

C.硬件设备监控

D.员工考勤管理

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、系统、应用日志），进行归一化处理和关联分析，识别潜在安全事件。A为负载均衡功能，C为监控工具功能，D为OA系统功能，均不符合SIEM定义。

ATTCK框架的主要作用是？

A.评估网络带宽

B.描述攻击者战术与技术

C.优化数据库查询

D.管理员工权限

答案：B

解析：ATTCK（AdversarialTactics,Techniques,andCommonKnowledge）是MITRE提出的攻击者行为知识库，用于描述攻击生命周期中的战术（Tactics）和技术（Techniques）。其他选项与框架无关。

勒索软件的典型特征是？

A.窃取用户隐私数据

B.加密用户文件并索要赎金

C.占用内存导致系统崩溃

D.伪装成正常软件运行

答案：B

解析：勒索软件（Ransomware）的核心行为是通过加密用户文件或系统，迫使受害者支付赎金以获取解密密钥。A是间谍软件特征，C是拒绝服务攻击（DoS）特征，D是木马的伪装手段。

安全事件分级的主要依据不包括？

A.影响的用户数量

B.事件发生的时间

C.数据泄露的敏感性

D.业务中断的时长

答案：B

解析：安全事件分级通常基于影响范围（用户数量）、影响程度（数据敏感性、业务中断时长），而事件发生时间（如白天/夜间）不直接决定分级。

根据等保2.0要求，三级信息系统的日志保留周期至少为？

A.30天

B.60天

C.90天

D.180天

答案：C

解析：等保2.0《网络安全等级保护基本要求》规定，第三级系统日志保留时间应不少于90天，以满足追溯和审计需求。

威胁情报的主要来源不包括？

A.暗网监控

B.内部漏洞扫描报告

C.开源情报（OSINT）

D.第三方情报平台（如IBMX-Force）

答案：B

解析：威胁情报是关于潜在威胁的信息（如攻击者工具、TTPs），内部漏洞扫描报告属于资产脆弱性信息，不属于威胁情报。

网络流量镜像（PortMirroring）的主要目的是？

A.提高网络传输速度

B.为安全设备提供分析流量

C.防止数据泄露

D.平衡网络负载

答案：B

解析：流量镜像将网络流量复制到监控端口，供IDS、SIEM等安全设备分析，不影响原流量传输速度或负载。

沙箱（Sandbox）分析的核心作用是？

A.修复系统漏洞

B.模拟执行可疑文件以检测恶意行为

C.加密敏感数据

D.监控员工上网行为

答案：B

解析：沙箱通过隔离环境模拟执行未知文件，观察其行为（如调用恶意API、连接C2服务器），从而识别恶意软件。其他选项与沙箱功能无关。

安全事件响应的优先步骤是？

A.立即公开发布事件声明

B.遏制事件影响范围

C.全面恢复受影响系统

D.修改所有用户密码

答案：B

解析：根据NIST事件响应指南，优先步骤是“遏制（Containment）”，防止事件扩散（如隔离受感染主机），再进行根除、恢复等步骤。

零信任模型的核心原则是？

A.信任内部网络所有设备

B.最小化权限与持续验证

C.开放所有端口方便访问

D.仅验证首次连接

答案：B

解析：零信任（ZeroTrust）强调“永不信任，始终验证”，要求所有访问（无论内外）需动态验证身份、设备状态等，并授予最小必要权限。

二、多项选择题（共10题，每题2分，共20分）

SIEM系统通常包含以下哪些模块？（）

A.数据采集器（Collector）

B.日志归一化引擎（Normalization）

C.关联分析规则库（CorrelationRules）

D.可视化仪表盘（Dashboard）

答案：ABCD

解析：SIEM核心模块包括数据采集（收集多源日志）、归一化（统一格式）、关联分析（基于规则/机器学习识别事件）、可视化（展示监控状态）。

常见的日志类型包括？（）

A.操作系统日志（如WindowsEventLog）

B.网络设备日志（如防火墙会话日志）

C.应用程序日志（如Web服务器访问日志）

D.物理环境日志（如机房温度记录）

答案：ABC

解析：安全运营关注的日志主要为信息系统相关日志（系统、网络、应用），物理环境日志属于运维监控范畴，通常不纳入SOC核心分析。

APT（高级持续性威胁）攻击的典型特征有？（）

A.攻击周期长（数月至数年）

B.针对特定目标（如政府、企业）

C.使用0day漏洞或定制化工具

D.随机扫描互联网设备

答案：ABC