2026年SOC安全运营工程师考试题库（附答案和详细解析）（0109）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.漏洞扫描与修复

B.集中日志采集、分析与关联

C.终端设备防病毒

D.邮件内容过滤

答案：B

解析：SIEM的核心是通过收集多源日志（如网络、系统、应用日志），进行归一化处理、关联分析和实时告警，帮助安全团队发现异常行为。A是漏洞管理系统功能，C是终端安全软件功能，D是邮件网关功能，均非SIEM核心。

以下哪种攻击类型属于APT（高级持续性威胁）的典型特征？

A.随机扫描的勒索软件

B.针对特定企业的长期渗透

C.利用已知漏洞的DDoS攻击

D.大规模钓鱼邮件群发

答案：B

解析：APT的核心特征是“针对性”和“持续性”，攻击者通常针对特定目标（如政府、关键基础设施）进行长期潜伏和渗透。A、C、D均为短期、广撒网的攻击方式，不符合APT定义。

在SOC日常运营中，“误报率”的主要影响因素是？

A.安全设备的品牌

B.日志采集的完整性

C.告警规则的准确性

D.网络带宽的大小

答案：C

解析：误报率指系统产生的无效告警占比，主要由规则配置（如阈值设置、关联逻辑）是否符合实际业务场景决定。A、D与误报无直接关联，B影响漏报而非误报。

等保2.0三级系统要求的年度测评频率是？

A.每半年一次

B.每年一次

C.每两年一次

D.每三年一次

答案：B

解析：根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），三级系统需每年至少进行一次第三方测评，二级系统每两年一次，一级无需强制测评。

以下哪种日志类型通常用于分析用户登录行为？

A.网络流量日志（NetFlow）

B.系统安全日志（WindowsEventID4624）

C.应用程序错误日志

D.防火墙NAT转换日志

答案：B

解析：Windows安全日志中的4624事件记录成功登录，4625记录失败登录，是分析用户登录行为的核心数据。A用于流量统计，C用于应用故障排查，D用于网络地址转换追踪。

勒索软件攻击的关键阶段不包括？

A.数据加密

B.横向移动

C.漏洞扫描

D.支付赎金

答案：C

解析：勒索软件攻击流程通常为：初始渗透（钓鱼/漏洞利用）→横向移动（扩大控制范围）→数据加密→勒索赎金要求→支付/数据恢复。漏洞扫描是攻击者前期reconnaissance（侦察）的手段，非关键阶段。

以下哪项是WAF（Web应用防火墙）的主要功能？

A.检测内网主机异常进程

B.阻断SQL注入和XSS攻击

C.监控服务器CPU使用率

D.管理员工账号权限

答案：B

解析：WAF通过规则匹配或AI模型识别针对Web应用的攻击（如SQL注入、XSS、CSRF），并阻断恶意请求。A是EDR功能，C是监控工具功能，D是IAM系统功能。

在事件响应流程中，“抑制阶段”的核心目标是？

A.收集攻击证据

B.防止攻击扩散

C.修复系统漏洞

D.总结事件经验

答案：B

解析：抑制阶段（Containment）的主要任务是通过隔离受感染设备、关闭漏洞端口等方式，阻止攻击进一步扩大影响。A属于检测分析阶段，C属于根除阶段，D属于总结阶段。

以下哪种协议常用于威胁情报共享？

A.STIX/TAXII

B.SNMP

C.BGP

D.ICMP

答案：A

解析：STIX（结构化威胁信息表达）和TAXII（可信自动化交换指标信息）是OASIS标准的威胁情报共享协议，用于在安全社区间传递IOC（攻击指标）等信息。B是网络管理协议，C是路由协议，D是网络诊断协议。

终端安全检测（EDR）的核心技术是？

A.基于特征的病毒库匹配

B.进程行为监控与溯源

C.网络流量深度包检测

D.员工安全意识培训

答案：B

解析：EDR（端点检测与响应）通过监控终端进程的全生命周期（如文件操作、注册表修改、网络连接），结合行为分析模型检测未知威胁，而非仅依赖传统特征库（A是AV功能）。C是NIDS功能，D是管理措施。

二、多项选择题（共10题，每题2分，共20分）

以下属于SOC安全运营核心目标的有？

A.降低安全事件对业务的影响

B.满足合规性要求（如等保、GDPR）

C.替代其他安全设备（如防火墙、IDS）

D.持续优化安全防护策略

答案：ABD

解析：SOC的核心是通过监控、分析、响应保障业务安全，同时满足合规要求并优化策略。C错误，SOC是协同平台，无法替代其他安全设备。

威胁情报的主要来源包括？

A.开源社区（如AlienVaultOTX）

B.商业情报服务（如FireEye）

C.企业内部威胁狩猎

D.用户误操作记录

答案：ABC

解析：威胁情报来源包括开源