2026年信息安全应急响应处置考核题库及答案

2026年信息安全应急响应处置考核题库及答案一、单项选择题（每题2分，共20题，共40分）1.应急响应流程中，以下哪个阶段是首要且贯穿始终的？A.检测B.遏制C.准备D.恢复答案：C解析：准备阶段是应急响应的基础，包括制定预案、建立团队、准备工具等，贯穿整个响应过程。2.下列哪项不属于应急响应中“遏制”阶段的主要目标？A.阻止攻击扩散B.隔离受感染主机C.彻底清除恶意代码D.限制攻击者进一步访问答案：C解析：彻底清除恶意代码属于根除阶段，遏制阶段主要是控制影响范围。3.在Windows系统中，以下哪个日志文件记录安全相关事件（如登录、权限变更）？A.应用程序日志B.系统日志C.安全日志D.转发事件日志答案：C4.以下哪种攻击方式最可能导致服务器CPU使用率异常升高，并造成服务中断？A.SQL注入B.DDoS攻击C.跨站脚本D.社会工程学攻击答案：B5.应急响应过程中，对攻击证据进行固定时，应优先遵循的原则是？A.先恢复系统再取证B.尽量减少对原始数据的修改C.只收集可读文件D.使用管理员权限直接操作答案：B解析：电子数据易失，应最小化操作痕迹，保持证据的原始性和完整性。6.以下哪个工具常用于Windows系统内存取证分析？A.WiresharkB.VolatilityC.NmapD.Metasploit答案：B7.下列哪项属于入侵检测系统（IDS）的主要功能？A.阻止网络攻击B.记录网络流量并告警C.修复系统漏洞D.加密通信数据答案：B8.网络安全事件分级中，可能导致重要业务中断6小时以上的事件通常可定性为？A.一般事件B.较大事件C.重大事件D.特别重大事件答案：C解析：根据常见分级标准，造成重要系统长时间中断、产生重大影响的事件通常定性为重大事件；特别重大事件一般涉及国家安全、大范围社会影响等。9.应急响应团队中，负责与外部机构、媒体及管理层沟通的是哪个角色？A.技术分析人员B.应急指挥人员C.法律顾问D.公关/沟通协调人员答案：D10.在Linux系统中，查看当前登录用户及登录源IP的命令是？A.whoB.psC.netstatD.last答案：A11.下列哪项不是Web应用防火墙（WAF）能有效防御的攻击？A.SQL注入B.XSS跨站脚本C.暴力破解D.基于签名的蠕虫传播答案：C解析：WAF主要防御应用层攻击，暴力破解通常需要结合验证码、账户锁定等机制进行缓解。12.根据《网络安全法》，网络运营者发现网络安全事件时，应当立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。这里的“有关主管部门”通常是指？A.公安机关B.网信部门C.工信部门D.市场监管部门答案：B解析：根据《网络安全法》第八条，国家网信部门负责统筹协调网络安全工作和相关监督管理工作。13.在应急响应中，对受感染的Web服务器进行取证分析时，首先应获取哪类证据（易失性从高到低）？A.磁盘镜像B.内存数据C.系统日志D.防火墙日志答案：B解析：易失性顺序：内存>网络连接>进程>磁盘，优先收集内存。14.以下哪种方法最不可能用于检测WebShell？A.检查Web访问日志中的异常POST请求B.对比网站文件与备案文件哈希C.分析用户正常浏览行为D.扫描常见WebShell特征答案：C15.应急响应中“根除”阶段完成后，应该立即进行的是？A.恢复系统B.再次检测C.编写报告D.关闭监控答案：A16.在使用GNU/Linux进行应急响应时，命令lsof-i的作用是？A.显示打开的文件B.显示网络连接及对应的进程C.显示系统启动日志D.显示磁盘使用情况答案：B17.以下哪项不属于应急响应预案中必须包含的内容？A.应急组织架构与职责B.事件分级标准C.具体攻击者身份信息D.响应流程与处置措施答案：C18.网络流量分析中，发现大量SYN包但未完成三次握手，最可能是？A.SYNFlood攻击B.SQL注入C.端口扫描D.正常网络波动答案：A解析：SYNFlood是典型的DDoS攻击，发送大量SYN包而不完成握手，耗尽目标资源。19.在Windows事件ID中，4625代表什么含义？A.登录成功B.登录失败C.账户锁定D.权限变更答案：B20.为避免应急响应过程中证据被污染，对于可能涉案的电子设备，下列做法正确的是？A.立即开机查看B.直接拆下硬盘挂载分析C.保持现场原状，由专业人员按规程取证D.将设备打包后交第三方任意处理答案：C二、多项选择题（每题3分，共10题，共30分；少选得1分，多选、错选不得分）1.应急响应准备阶段的主要工作包括？A.制定应急预案B.组建应急响应团队C.部署安全监控与审计系统D.对系统进行渗透测试答案：ABC解析：准备阶段核心是预案、团队、资源准备；渗透测试不属于应急准备常规工作，但可作为安全评估的一部分。2.下列哪些属于常见的恶意代码类型？A.蠕虫B.木马C.勒索软件D.防火墙答案：ABC3.Windows系统日志中，安全日志通常记录哪些事件？A.用户登录/注销B.文件访问C.进程启动D.系统启动/关闭答案：AB解析：安全日志默认聚焦认证、授权、策略变更等；进程启动需启用详细跟踪，不属于常规默认记录；系统启动/关闭属于系统日志。4.应急响应团队中通常包括哪些角色？A.应急指挥人员B.系统管理员C.网络管理员D.法务/公关人员答案：ABCD5.以下哪些属于网络层DDoS攻击？A.SYNFloodB.UDPFloodC.HTTPFloodD.ICMPFlood答案：ABD解析：HTTPFlood属于应用层攻击，其余属于网络层/传输层。6.在应急响应中，判断系统是否被植入后门的常见检查点包括？A.异常进程B.新增用户账户C.计划任务D.网络连接答案：ABCD7.以下哪些工具可用于网络流量捕获与分析？A.WiresharkB.TcpdumpC.SnortD.Nmap答案：ABC解析：Nmap是端口扫描工具，不用于流量捕获分析；Snort可作为IDS捕获和检测。8.电子证据的特征通常包括？A.易失性B.易篡改性C.可恢复性D.不可复制性答案：ABC解析：电子证据可复制，所以D错误。9.以下哪些属于《网络安全法》规定的网络运营者安全保护义务？A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击的技术措施C.留存网络日志不少于六个月D.对重要数据进行加密存储答案：ABCD10.应急响应结束后，编写总结报告应当包含的内容有？A.事件概述与影响B.处置过程与时间线C.根源分析与改进建议D.攻击者详细个人信息答案：ABC解析：报告中不需要公开攻击者个人隐私信息，但需记录攻击源等必要信息。三、判断题（每题1分，共10题，共10分）1.应急响应第一要务是查明攻击者身份，而不是恢复业务。答案：错误解析：应急响应优先保障业务连续性和降低损失，查明攻击者身份是后续工作。2.入侵检测系统（IDS）能够完全阻止所有网络攻击。答案：错误3.在取证过程中，应尽量使用经过验证的写保护设备读取存储介质。答案：正确4.Windows注册表不存储任何与恶意软件有关的持久化信息。答案：错误解析：注册表Run键、服务等是常见持久化位置。5.应急响应中的“遏制”阶段通常先于“根除”阶段。答案：正确6.网络安全事件发生后，所有系统必须立即断开网络，即使这意味着业务完全中断。答案：错误解析：应根据影响范围权衡，可先隔离受影响网段，避免扩大影响，不一定全局断网。7.安全事件应急响应只涉及技术部门，与其他部门无关。答案：错误8.内存数据在断电后立即丢失，因此在取证时应优先收集。答案：正确9.可以使用未经认证的公共云盘存储应急响应证据。答案：错误10.应急响应演练的目的是发现预案缺陷，提升团队协作能力。答案：正确四、简答题（每题10分，共2题，共20分）1.请简述信息安全事件应急响应流程（PDCERF模型）各阶段名称及主要工作内容。答案：(1)准备（Preparation）：制定应急响应预案，组建响应团队，部署必要的监控和审计工具，进行培训和演练。(2)检测（Detection）：通过监控告警、日志分析、用户报告等途径发现安全事件，并确认事件性质、影响范围。(3)遏制（Containment）：采取隔离措施，如断开网络、封禁IP、关闭服务等，限制事件扩散，保护其他系统。(4)根除（Eradication）：查找并消除事件根源，如清除恶意代码、修补漏洞、删除后门、加固系统。(5)恢复（Recovery）：将受影响的系统、业务恢复到正常状态，并验证其安全性。(6)跟踪（Follow-up）：编写事件总结报告，总结经验教训，改进安全措施，进行后续监控。解析：PDCERF是经典应急响应模型，各阶段顺序不可颠倒，准备贯穿始终。2.某公司Web服务器被上传WebShell，请列举你在应急响应过程中应重点收集和分析的5类证据或信息，并说明每类证据的作用。答案：(1)Web访问日志：定位攻击者IP、访问时间、上传路径和恶意请求，还原攻击过程。(2)服务器文件系统：查找