2026年SOC安全运营工程师考试题库（附答案和详细解析）（0110）.docxVIP

SOC安全运营工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SIEM（安全信息与事件管理）系统的核心功能？

A.终端病毒查杀

B.网络流量清洗

C.日志聚合与关联分析

D.物理服务器巡检

答案：C

解析：SIEM的核心是通过收集多源日志（如网络、终端、应用），进行标准化处理和关联分析，发现潜在威胁。A为杀毒软件功能，B为防火墙/IPS功能，D为运维范畴，均非SIEM核心。

安全事件分级的主要依据是？

A.告警触发的设备数量

B.事件的影响范围和破坏程度

C.攻击者的IP地址归属

D.事件发生的时间段

答案：B

解析：安全事件分级需综合评估影响（如数据泄露量、业务中断时长）和破坏程度（如是否导致核心系统瘫痪）。A、C、D为次要因素，不直接反映事件严重性。

以下哪种攻击属于APT（高级持续性威胁）的典型特征？

A.随机扫描的勒索软件攻击

B.针对特定目标的长期渗透

C.大规模DDoS流量攻击

D.利用已知漏洞的网页挂马

答案：B

解析：APT强调“针对性”和“持续性”，攻击者长期潜伏并收集敏感信息。A、C、D为常规攻击，无明确目标持续性。

日志完整性校验通常采用的技术是？

A.对称加密（如AES）

B.哈希算法（如SHA-256）

C.数字签名（如RSA）

D.消息认证码（HMAC）

答案：B

解析：哈希算法通过计算日志数据的固定长度摘要，可快速验证日志是否被篡改（摘要不变则完整）。A用于加密数据，C、D用于身份验证或防篡改但非主要校验方式。

威胁情报平台（TIP）的主要作用是？

A.实时阻断恶意IP访问

B.自动化生成漏洞修复补丁

C.整合、分析与分发威胁情报

D.替代安全分析师进行事件决策

答案：C

解析：TIP的核心是将分散的威胁情报（如IOC、攻击手法）标准化处理，支持SOC团队快速检索和应用。A为防火墙功能，B为漏洞管理系统功能，D夸大平台作用（需人工分析）。

网络流量分析（NTA）的关键指标不包括？

A.异常流量突发（如带宽激增）

B.非标准端口的通信（如8080端口HTTP）

C.源IP的地理位置分布

D.协议违规（如SMTP端口传输文件）

答案：C

解析：NTA关注流量内容、协议异常和行为模式（如A、B、D），源IP地理位置通常用于辅助分析（如境外IP异常访问），但非关键指标。

漏洞修复优先级的核心依据是？

A.漏洞发现的时间早晚

B.CVSS（通用漏洞评分系统）分值

C.受影响设备的采购时间

D.漏洞报告的提交部门

答案：B

解析：CVSS通过可利用性、影响范围等维度量化漏洞风险，是修复优先级的核心标准。其他选项与漏洞本身风险无关。

SOC（安全运营中心）的核心目标是？

A.减少安全设备采购成本

B.完全消除所有安全风险

C.持续监控与降低安全风险

D.替代其他IT部门的安全职责

答案：C

解析：SOC通过监控、响应、优化流程，将风险控制在可接受范围，而非消除所有风险（B错误）。A、D均偏离核心目标。

网络入侵检测系统（NIDS）通常部署在？

A.终端主机操作系统层

B.网络出口或关键节点

C.数据库服务器本地

D.员工个人移动设备

答案：B

解析：NIDS通过镜像或分流网络流量进行检测，需部署在网络关键节点（如出口、DMZ区）。A为HIDS（主机入侵检测）位置。

安全演练（如红蓝对抗）的主要目的是？

A.测试安全设备的最大处理性能

B.验证安全事件响应流程的有效性

C.评估员工的网络安全知识水平

D.展示SOC团队的技术能力

答案：B

解析：演练的核心是发现响应流程中的漏洞（如沟通延迟、操作失误），优化应急机制。A为压力测试目标，C为培训评估目标。

二、多项选择题（共10题，每题2分，共20分）

以下属于威胁情报主要来源的有？

A.开源情报平台（如AlienVaultOTX）

B.商业威胁情报服务（如FireEye）

C.暗网监控（如地下论坛交易信息）

D.企业内部安全事件总结

答案：ABCD

解析：威胁情报来源包括外部（开源/商业/暗网）和内部（自身事件分析），四者均为常见渠道。

安全事件响应的标准阶段包括？

A.准备（Preparation）

B.检测与分析（DetectionAnalysis）

C.抑制与根除（ContainmentEradication）

D.恢复与总结（RecoveryLessonsLearned）

答案：ABCD

解析：根据NISTSP800-61，事件响应分为准备、检测分析、抑制根除、恢复、总结五个阶段（选项覆盖全部核心阶段）。

日志分析在SOC中的主要作用包括？

A.追踪攻击路径（如从终端到数据库的跳转）

B.验证安全控制措施的有效性