2026年SOC安全运营工程师考试题库（附答案和详细解析）（0615）.docxVIP

SOC安全运营工程师

一、单项选择题（共10题，每题1分，共10分）

在SOC（安全运营中心）中，安全分析师接收到一份告警日志，提示某服务器在短时间内发送了大量的网络连接请求，但未发现明显的文件上传或下载行为。最可能属于以下哪种类型的攻击？A.DDoS攻击B.SQL注入攻击C.扫描探测D.网页篡改

答案：C解析：在SOC运营中，短时间内大量发送连接请求而未伴随文件传输，通常意味着攻击者正在对目标网络进行端口或服务的扫描探测，以寻找可利用的漏洞。DDoS攻击通常导致带宽饱和，SQL注入涉及特定SQL语句，网页篡改涉及内容修改。

以下哪种日志通常用于在SIEM（安全信息和事件管理）系统中进行威胁狩猎和溯源分析？A.应用程序访问日志B.系统调用日志（Syslog）C.进程创建和命令行参数日志D.网络流量元数据日志

答案：C解析：进程创建和命令行参数日志能够详细记录攻击者执行的具体命令，这是进行威胁狩猎和攻击链分析的关键证据，能够还原攻击者的具体操作步骤。Syslog记录系统事件，应用日志记录业务行为，流量日志记录数据传输，不如进程日志具体。

SOC运营团队在遵循“最小权限原则”时，以下哪项操作是符合该原则的？A.给予普通运维人员超级管理员权限以便快速处理故障B.为临时外包人员开通仅能访问特定测试服务器的账号C.允许研发人员访问生产环境的所有