2026年SOC安全运营工程师考试题库（附答案和详细解析）（0613）.docxVIP

SOC安全运营工程师

一、单项选择题（共10题，每题1分，共10分）

在SOC（安全运营中心）中，安全分析师发现某台Web服务器在短时间内接收了大量来自同一源IP的HTTP请求，导致服务器响应缓慢。这是哪种类型的攻击现象？A.跨站脚本攻击B.拒绝服务攻击C.中间人攻击D.SQL注入攻击答案：B解析：本题考查DoS攻击的识别。大量来自同一源IP的请求占满服务器资源导致无法响应，符合分布式拒绝服务（DDoS）或拒绝服务（DoS）攻击的特征。A是XSS，C是MITM，D是SQL注入，均不直接导致服务器响应缓慢。

安全事件响应流程中，以下哪个阶段主要负责在事件发生后保护现场、分析证据并消除威胁？A.准备阶段B.检测阶段C.响应阶段D.恢复阶段答案：C解析：本题考查NIST事件响应模型。C选项”响应阶段”的核心任务是遏制、根除和恢复。A是准备，B是检测，D是恢复。

以下哪种日志通常用于检测系统内部的异常登录行为和权限提升尝试？A.应用程序日志B.安全审计日志C.系统日志D.计算机生成的文件答案：B解析：本题考查日志分析。安全审计日志专门记录安全相关的操作（如登录失败、权限变更、策略修改），是检测异常行为的关键。A通常记录业务操作，C记录系统运行状态。

在SIEM（安全信息和事件管理）系统中，关联规则主要用于什么目的？A.存储原始