2026年网络安全应急响应专项考核试卷.docxVIP

2026年网络安全应急响应专项考核试卷

1.（单选）某单位在凌晨02:15收到防火墙高频告警，发现内网主机8对公网IP7的443端口发起每秒3000次的短连接。作为值班分析师，你首先应执行的操作是

A.立即在边界ACL封禁7

B.将8隔离至SinkholeVLAN并抓取内存镜像

C.通知业务部门停机检修

D.在EDR上下发全盘扫描任务

2.（单选）WindowsServer2022事件ID4625日志中，若LogonType=10且FailureReason=“Theuserhasnotbeengrantedtherequestedlogontypeatthismachine”，则最可能的攻击阶段是

A.初始访问

B.权限提升

C.防御规避

D.影响

3.（单选）对一台疑似被植入Rootkit的Linux主机做在线取证，下列命令中最可能暴露内核级隐藏文件的是

A.ls-la/usr/bin

B./usr/bin/busyboxls-la/usr/bin

C.stat/usr/bin/sshd

D.file/usr/bin/sshd

4.（单选）在内存取证中，若Volatility的malfind插件显示某进程VAD为PAGE_EXECUTE_READWRITE，Protection为0x40，则该特征最符