2026年SOC安全运营工程师考试题库（附答案和详细解析）（0912）.docxVIP

SOC安全运营工程师

一、单项选择题（共10题，每题1分，共10分）

下列哪项是SIEM平台的核心功能？

A.自动修补系统漏洞

B.收集多源日志并进行关联分析

C.替代终端杀毒软件

D.直接阻断所有外部网络流量

答案：B

解析：SIEM核心价值在于将防火墙、服务器、应用、端点等分散日志统一收集、归一化并做关联分析，从而发现跨设备的安全告警。A属于漏洞管理工具，C属于EDR/防病毒软件，D属于防火墙或IPS能力，均非SIEM核心功能。

SOC分析师收到一条高危告警后，首先应当执行哪项操作？

A.立即隔离所有终端设备

B.验证告警真实性并收集上下文信息

C.直接删除相关日志证据

D.等待其他同事处理

答案：B

解析：SOC工作强调先分析后行动。验证告警涉及资产、时间、用户、原始日志、威胁情报等上下文，判断是否为真阳性后再决定响应措施。A隔离可能过度响应，C破坏证据，D不符合主动运营原则。

MITREATTCK框架的主要用途是：

A.描述攻击者在各阶段使用的战术、技术与过程

B.自动生成防火墙策略

C.计算漏洞的经济损失

D.监控员工上网行为

答案：A

解析：MITREATTCK系统化梳理了攻击者从初始访问到影响目标所采用的战术（Tactics）和技术（Techniques），是SOC团队进行检测覆盖分析、威胁狩猎和红队模拟的重要参考框架。

安全设备产生了大量