Linux初级工程师知识竞赛题库及答案（158题）

Linux初级工程师知识竞赛题库及答案（158题）
一、Linux基础
1、在创建Linux分区时，一定要创建（）两个分区
A、FAT/NTFS
B、FAT/SWAP
C、NTFS/SWAP
D、SWAP/根分区(正确答案)
2、在CentOS系统中，系统默认的（）用户对整个系统拥有完全的控制权。
A、root(正确答案)
B、guest
C、administrator
D、supervistor
3、当登录Linux时，一个具有唯一进程ID号的shell将被调用，这个ID是什么（）
A、NID
B、PID(正确答案)
C、UID
D、CID
4、默认情况下管理员创建了一个用户，就会在（）目录下创建一个用户主目录。
A、/usr
B、/home(正确答案)
C、/root
D、/etc
5、当使用mount进行设备或者文件系统挂载的时候，需要用到的设备名称位于（）目录。
A、/home
B、/bin
C、/etc
D、/dev(正确答案)
6、如果要列出一个目录下的所有文件需要使用命令行（）。
A、lsl
B、ls
C、ls-a(正确答案)
D、ls
7、哪个命令可以将普通用户转换成超级用户（）
A、super
B、passwd
C、tar
D、su(正确答案)
8、在vi编辑器里，命令"dd"用来删除当前的（）
A、行(正确答案)
B、变量
C、字
D、字符
9、在CentOS系统中，一般用（）命令来查看网络接口的状态
A、ping
B、ipconfig
C、winipcfg
D、ifconfig(正确答案)
10、vi中哪条命令是不保存强制退出（）
A、:wq
B、:wq!
C、:q!(正确答案)
D、:quit
11、Linux文件权限一共10位长度，分成四段，第三段表示的内容是（）。
A、文件类型
B、文件所有者的权限
C、文件所有者所在组的权限(正确答案)
D、其他用户的权限
12、在使用mkdir命令创建新的目录时，在其父目录不存在时先创建父目录的选项是（）。
A、-m
B、-d
C、-f
D、-p(正确答案)
13、某文件的组外成员的权限为只读;所有者有全部权限;组内的权限为读与写，则该文件的权限为（）。
A、467
B、674
C、476
D、764(正确答案)
14、下列关于/etc/fstab文件描述，正确的是（）。
A、fstab文件只能描述属于linux的文件系统
B、CD（）ROM和软盘必须是自动加载的
C、fstab文件中描述的文件系统不能被卸载
D、启动时按fstab文件描述内容加载文件系统(正确答案)
15、卸载一个软件包，应使用（）。
A、rpm-i
B、rpm-e(正确答案)
C、rpm-q
D、rpm-V
16、下面关于文件"/etc/sysconfig/network-scripts/ifcfg-eth0"的描述哪个是正确的？（）。
A、它是一个系统脚本文件
B、它是可执行文件
C、它存放本机的名字
D、它指定本机eth0的IP地址(正确答案)
17、若要将当前目录中的myfile.txt文件压缩成myfile.txt.tar.gz,则实现的命令为（）
A、tarcvfmyfile.txtmyfile.txt.tar.gz
B、tarzcvfmyfile.txtmyfile.txt.tar.gz
C、tarzcvfmyfile.txt.tar.gzmyfile.txt(正确答案)
D、tarcvfmyfile.txt.tar.gzmyfile.txt
18、改变文件所有者的命令为（）？
A、chmod
B、touch
C、chown(正确答案)
D、cat
19、在给定文件中查找与设定条件相符字符串的命令为（）。
A、grep(正确答案)
B、gzip
C、find
D、sort
20、建立一个新文件可以使用的命令为（）。
A、chmod
B、more
C、cp
D、touch(正确答案)
21、存放Linux基本命令的目录是什么（）？
A、/bin(正确答案)
B、/tmp
C、/lib
D、/root
22、用于文件系统直接修改文件权限管理命令为:（）
A、chown
B、chgrp
C、chmod(正确答案)
D、umask
23、显示系统主机名的命令是（）
A、uname-r
B、whoami
C、uname-n(正确答案)
D、whoami
24、怎样显示当前目录（）。
A、pwd(正确答案)
B、cd
C、who
D、ls
25、欲把当前目录下的file1.txt复制为file2.txt，正确的命令是（）。
A、copyfile1.txtfile2.txt
B、cpfile1.txt|file2.txt
C、catfile2.txtfile1.txt
D、catfile1.txt>file2.txt(正确答案)
26、如果您想列出当前目录以及子目录下所有扩展名为“.txt”的文件，那么您可以使用的命令是（）。
A、ls*.txt
B、find.–name“.txt”(正确答案)
C、lsd.txt
D、find.“.txt”
27、如何删除一个非空子目录/tmp（）。
A、del/tmp/*
B、rm-rf/tmp(正确答案)
C、rm-Ra/tmp/*
D、rmrf/tmp/*
28、存放用户帐号的文件是（）。
A、shadow
B、group
C、passwd(正确答案)
D、Gshadow
29、下面哪个系统目录中包含Linux使用的外部设备（）。
A、/bin
B、/dev(正确答案)
C、/boot
D、/home
30、从后台启动进程，应在命令的结尾加上符号（）
A、&(正确答案)
B、@
C、#
D、$
31、文件exer1的访问权限为rw-r--r--，现要增加所有用户的执行权限和同组用户的写权限，下列命令正确的是（）
A、chmoda+x,g+wexer1(正确答案)
B、chmod765exer1
C、chmodo+xexer1
D、chmodg+wexer1
32、下列那一个指令可以设定使用者的密码（）
A、pwd
B、newpwd
C、passwd(正确答案)
D、password
33、下列那一个指令可以显示目录的大小（）
A、dd
B、df
C、du(正确答案)
D、dw
34、对文件重命名的命令为（）
A、rm
B、move
C、mv(正确答案)
D、mkdir
35、Linux有三个查看文件的命令，若希望在查看文件内容过程中可以用光标上下移动来查看文件内容，应使用（）命令。
A、cat
B、more
C、less(正确答案)
D、menu
36、关闭linux系统（不重新启动）可使用命令（）。
A、Ctrl+Alt+Del
B、halt(正确答案)
C、shutdown-rnow
D、reboot
37、在下列命令中，不能显示文本文件内容的命令是:（）。
A、more
B、less
C、tail
D、join(正确答案)
二、网络基础
1、以下配置静态路由命令正确是？（）
A、iproute192.168.10.00.0.0.0192.168.100.2
B、ipv6route2000:30::/64192.168.100.2
C、iproute192.168.10.0/24192.168.100.2(正确答案)
D、ipv6route-static2000:30::/642000:100::1/64
2、C类地址192.168.1.139/24的子网广播地址是（）
A、192.168.1.255(正确答案)
B、255.255.255.255
C、0.0.0.0
D、192.168.255.255
3、二层交换机不具有下面哪些功能（）
A、转发过滤
B、回路避免
C、路由转发(正确答案)
D、地址学习
4、如何配置交换机的端口镜像功能？（）
A、镜像端口[端口号]
B、监视端口[端口号];镜像端口[端口号](正确答案)
C、设置端口镜像[端口号]
D、配置端口镜像[端口号]
5、TCP/IP协议分为四层，分别为应用层、传输层、网络层和网络接口层，不属于应用层协议的是（）
A、snmp
B、telnet
C、udp(正确答案)
D、ftp
6、showuser-bindstatic命令的含义是。（）
A、显示用户静态绑定的信息(正确答案)
B、显示接口绑定信息
C、显示登录用户信息
7、如何查看交换机的MAC地址表？（）
A、showmac-address(正确答案)
B、showarp
C、displaymac-address
D、nomac-address
8、怎样配置交换机的IP地址和子网掩码为192.168.100.1/24？（）
A、ipaddress192.168.10.1/24
B、iproute192.168.100.1/24
C、ipaddress192.168.100.1/24(正确答案)
D、iproute192.168.10.1/24
9、要从一台主机远程登录到另一台主机，使用的应用程序为（）
A、HTTP
B、PING
C、TRACERT
D、TELNET(正确答案)
10、portjoin-vlansbatch10untagged命令解释为将端口加入到vlan10且不标记（）
A、FALSE
B、TRUE(正确答案)
11、如何创建交换机的访问控制列表（）？
A、displayACL[编号](正确答案)
B、showACL[编号]
C、noACL[编号](正确答案)
D、ACL[编号](正确答案)
12、以下不属于TCP/IP四层模型的是（）
A、网络接口层
B、数据链路层(正确答案)
C、传输层
D、应用层
13、能正确描述了数据封装的过程的是（）
A、数据->数据段->数据包->数据帧->数据流(正确答案)
B、数据段->数据包->数据帧->数据流->数据
C、数据流->数据段->数据包->数据帧->数据
D、数据->数据段->数据包->数据流->数据帧
14、下面选项中的哪些地址为源时能匹配中下面的ACL条件？（）
SwitchA(config)>acl2000
SwitchA(acl-l3-extend-2000)>ruledenysource-ip10.1.1.0255.255.1.0
A、10.1.1.0/32
B、10.1.2.1/32
C、10.1.3.1/32(正确答案)
D、10.1.4.1/32
15、以下那个选项是能启用端口的？（）
A、noshutdown(正确答案)
B、默认启用，不做动作
C、shutdown
D、startenable
16、在排除同VLAN内的主机不能互通的故障时，以下描述中错误的是哪一项？（）
A、执行showmac-address查设备学习的MAC地址对应接口、所属VLAN是否正确
B、执行showiproute命令查看是否存在到达主机的路由(正确答案)
C、执行showinterfacebrief命令查看需要互通端口的物理状态
D、以上都错误
17、根据镜像作用的端口模式划分，以下选项错误的是（）
A、中继镜像(正确答案)
B、入口镜像
C、出口镜像
D、双向镜像
18、在配置基于VLAN的MAC地址漂移检测功能后，如果MAC地址发生漂移时，则可根据需求配置接口做出的动作。下列哪个不是可以配置的动作？（）
A、接口阻断
B、VLAN阻塞(正确答案)
C、发送告警
D、MAC地址阻塞
19、在OSI7层模型中，网络层的功能主要是（）
A、确定数据包从源端到目的端如何选择路由(正确答案)
B、在信道上传输原始的比特流
C、确保到达对方的各段信息正确无误
D、加强物理层数据传输原始比特流的功能并且进行流量调控
20、在园区网络中通过使用链路聚合，堆叠技术可以提高网络可靠性。（）
A、TRUE(正确答案)
B、FALSE
21、物理层上信息传输的基本单位称为（）
A、位(正确答案)
B、段
C、帧
D、报文
22、关于基于端口的镜像说法错误的是？（）
A、一个交换机上可以有两个观察端口
B、一个观察端口可以监控多个镜像端口
C、一个镜像端口可以被多个观察端口监控
D、可以直接配置镜像端口，不需要先设好观察端口(正确答案)
23、如何配置交换机的端口镜像以进行入侵检测系统（IDS）或入侵防御系统（IPS）的流量监测？（）
A、在交换机上创建特定的ACL来捕获入侵流量
B、配置源端口和目标端口之间的镜像会话(正确答案)
C、启用端口安全功能以防止未经授权的访问
D、在交换机上启用DHCPSnooping来监视网络流量。
24、以下关于LACP模式的链路聚合的描述，正确的是哪一选项？（）
A、LACP模式下不能设置活动端口的数量
B、LACP模式下链路两端的设备相互发送LACP报文(正确答案)
C、LACP模式下所有活动接口都参与数据的转发，分担负载流量
D、LACP模式下最多只能有4个活动端口
25、下列对于端口镜像的理解错误的有（）
A、DCS交换机缺省状态下端口镜像不会镜像所有的接收和发送数据
B、端口镜像中的目的端口速率必须大于等于源端口，否则可能会丢弃数据(正确答案)
C、在使用端口镜像时，不能创建多对一的镜像，以避免造成数据丢失
D、对于ACL流量采集方式，支持在端口的方向（出向、入向和双向三种）上进行绑定
26、聚合端口最多可以捆绑多少条相同带宽标准的链路？（）
A、2
B、8(正确答案)
C、4
D、6
27、如何配置交换机的静态路由？（）
A、使用路由器命令配置静态路由。
B、在交换机上设置默认网关。
C、配置路由表来指定目标网络和下一跳地址(正确答案)
D、启用动态路由协议以自动学习和更新路由信息
28、RSTP收敛速度比STP要快，以下原因中描述错误的是（）
A、在RSTP里面引入了边缘端口的概念，边缘端口不参与RSTP运算，可以由Dissable直接转到Forwarding状态
B、如果网络中一个指定端口失效那么网络中最优的Alternate端口将成为指定端口，进入Forwarding状态
C、如果网络中一个根端口失效，那么网络中最优的Alternate端口将成为极端口，进入Forwarding状态(正确答案)
D、RSTP中，某端口被选举为指定端口后，会先进入Discarding状态，再通过Proposal/Akgreemarnt机制快速进入Forwarding状态
29、STP的主要目的是（）
A、防止广播风暴
B、防止网络中出现信息回路造成网络瘫痪(正确答案)
C、防止信息丢失
D、使网桥具备网络层功能
30、堆叠系统中的交换机角色不包括？（）
A、主交换机
B、从交换机
C、侯选交换机(正确答案)
D、备交换机
三、全流量部署
1、如下图所示，为客户网络拓扑图，如果只给1路镜像，需实现全网流量采集与威胁检测及溯源分析，建议镜像流量接在哪个位置（）
A.出口防火墙
B.核心交换机(正确答案)
C.内网防火墙
D.DMZ防火墙
2.网安全流量硬盘容量使用完毕后，会（）
A.停止采集流量
B.覆盖早期的pcap流量数据(正确答案)
C.覆盖早期分析完的日志数据
D.停止服务
3.关于高级威胁，以下说法正确的是（）
A.高级威胁只会发生在国家级涉密领域，普通政府机关单位、企业不会成为高级威胁的攻击目标;
B.高级威胁包含新型未知威胁、高级隐蔽攻击手法、APT高级d持续性攻击等，单纯依靠传统的特征检测方法很难发现;(正确答案)
C.随着网络安全技术的发展和应用，高级威胁事件已经越来越少;
D.传统的防火墙、IDS、IPS能够防范绝大多数的高级威胁攻击。
4.关于高级威胁检测与溯源分析产品的接入方式，以下说法正确的是（）
A.设备串联接入在交换机与防火墙之间，进行安全管理;
B.设备通过旁路部署的方式，获取镜像流量进行采集分析，不会影响现有网络环境;(正确答案)
C.设备通过网络设备专有的NetFlow日志端口获取流量日志进行采集分析;
D.设备无法对离线保存的pcap等数据包文件进行接入分析。
5.高级威胁检测与溯源分析产品可以检测以下哪些威胁（）
A.恶意IP、恶意链接、病毒、木马、蠕虫、挖矿勒索等常见的已知特征威胁;
B.主机扫描、暴力破解、SQL注入、目录遍历、命令执行、隐蔽隧道等异常攻击行为;
C.新型威胁变种、新型未知威胁、0day漏洞攻击、APT持续性威胁等高级威胁;
D.以上三类威胁均可检测。(正确答案)
6.关于高级威胁检测与溯源分析产品能力，以下说法错误的是（）
A.产品可以检测已知未知，也能检测未知威胁;
B.产品能够在等保2.0对网络入侵防范和流量安全审计等基本要求的基础上，帮助单位提升等保合规建设水平，建立覆盖“一个中心、三重防御”的三位一体纵深安全防护体系;
C.产品无法对海量分散的告警信息进行关联聚合，无法对安全事件进行分级告警;(正确答案)
D.产品能够结合留存的原始流量进行数据包会话级别的溯源分析，并提供安全事件确认、受控主机定位、影响范围排查、攻击过程分析、快速应急处置等全面的事件分析和回溯排查处置能力。
7.以下哪个比喻更符合高级威胁检测与溯源分析产品的定位（）
A.大楼门禁
B.海关边检
C.电子眼
D.全景监控(正确答案)
8.高级威胁检测与溯源分析设备能够适应以下哪种网络环境（）
A.互联网
B.政务外网
C.工作专网
D.以上三项均支持(正确答案)
9.关于高级威胁检测与溯源分析设备的应用场景，说法错误的是（）
A、产品可以作为态势感知平台的前端全流量探针设备，可多级部署，实现流量的采集、监测、分析，并回传数据到平台进行关联分析，执行平台下发的相关指令;
B、产品可以在安全事件发生后，接入目标网络在线流量或历史流量进行回溯分析，帮助客户快速定位受控主机，溯源攻击过程，确认受影响范围，提出应急处置建议;
C、在HW场景中，产品可实现对目标网络的安全防护，及时发现单位收到的各类网络攻击，对告警的安全事件进行溯源分析，追溯攻击源头，协助分析人员形成分析报告;
D、部署智能部署在单位互联网出口位置，无法在接入内部关键区域（如服务器区）核心交换机的镜像流量。(正确答案)
10.高级威胁检测与溯源分析产品标准版相对专业版的区别是（）
A、标准版无法采集全流量
B、标准版无法进行威胁检测
C、标准版无法进行事件分析
D、标准版无法进行文件动态沙箱分析(正确答案)
11.高级威胁检测与溯源分析产品优势不包括（）
A、具备10余年的高级威胁实战对抗经验，对高级未知威胁检测能力优越;
B、可对全流量原始数据进行留存，并提供数据包会话级别的全流量回溯分析能力;
C、具备事件自动聚合和精准的分类定级告警机制，可大幅提升威胁告警的准确率，避免真正的风险被淹没在海量的告警中，减少漏报和误报;
D、可与防火墙、IPS、WAF、EDR等安全设备进行快速的联动处置，并提供SOAR自动化编排处置能力。(正确答案)
12.高级威胁检测与溯源分析产品无法登录，有可能是（）
A、授权到期;
B、设置了访问控制;
C、服务停止;
D、以上都有可能。(正确答案)
13.以下说法错误的是（）
A、问道支持syslog的方式将告警日志发送到态势感知平台;
B、问道支持客户端的方式查看分析数据;
C、全息支持syslog的方式将告警日志发送到态势感知平台;(正确答案)
D、全息支持客户端的方式查看分析数据。
1.中国网安高级威胁监测与溯源分析系统的主要特点（）
A.全维度全攻击链的威胁监测(正确答案)
B.丰富的APT组织基因库(正确答案)
C.多维度的攻击态势展示
D.强大的协同联动能力
E.精准的事件分级告警能力(正确答案)
F.点面结合的监测防御纵深(正确答案)
2.全流量实施前需要调研的内容（）
A.机柜空间位置(正确答案)
B.电源接口及功率(正确答案)
C.网络拓扑(正确答案)
D.出口带宽(正确答案)
E.镜像数量及接口类型(正确答案)
F.所需耗材及规格(正确答案)
G.办公人员资产信息
四、综合日志审计
1.资产指什么？（）
A.对组织有价值的任何东西
B.网络设备和计算机系统
C.承载业务的设备或系统
D.带IP、能被管理的设备或系统(正确答案)
2.日志系统目前支持的标准化种类大概有多少？（）
A.2000种左右
B.100种左右
C.1000种左右(正确答案)
D.不限
3.内置标准化支持种类？（）
A.主机、网络设备
B.中间件、安全设备
C.主机、网络设备、中间件、安全设备
D.主机、网络设备、中间件、安全设备、应用(正确答案)
4.以下关于日志设备接口信息描述错误的是？（）
A.默认的管理口是eth5(正确答案)
B.eth5口默认地址是172.16.254.1/24
C.默认业务口是eth0
D.eth0口默认地址是192.168.1.100/24
5.资产的基本安全属性是什么？（）
A.机密性、完整性和可用性(正确答案)
B.可追溯性
C.抗抵赖性
D.真实性
6.以下关于设备初次登陆说法错误的是？（）
A.连接eth0口，浏览器输入https://192.168.0.100:4430(正确答案)
B.默认控制台账号密码为admin/admin
C.初始登陆强制修改密码
D.控制台登陆界面是没办法查看版本信息的
7.日志事件标准化是指什么（）
A.重新翻译和解释日志
B.从原始事件中提取信息填入事件设计好的字段(如事件名称、源地址、目的地址等)，屏蔽不同设备、不同类型事件格式之间的差异，便于后续程序的统一分析和处理(正确答案)
C.重新组织和编排事件
8.日志分析系统是否支持免费开发日志标准化？（）
A.支持(正确答案)
B.不支持
9.日志系统目前默认的关联分析策略有多少？（）
A.100种左右
B.200种左右
C.300种左右(正确答案)
D.不限
10.日志系统目前支持日志的查询模式有？（）
A.普通模式
B.高级模式
C.专家模式
D.以上都支持(正确答案)
11.以下哪个选项是日志系统产生的背景？
A.信息分散(正确答案)
B.原始信息数据量庞大(正确答案)
C.集中监控难度大(正确答案)
D.集中管理难度大(正确答案)
12.日志系统目前支持资产添加的方式有？
a）资产新增(正确答案)
b）列表导入(正确答案)
c）资产自动发现转资产(正确答案)
13.日志系统目前支持部署的方式有？
a）单机部署(正确答案)
b）分布式部署(正确答案)
c）集群部署(正确答案)
14.有力竞争对手有哪几个？
a)安恒(正确答案)
b)启明(正确答案)
c)深信服(正确答案)
d)阿里
15.内置关联分析的策略场景有？
a)堡垒机绕行(正确答案)
b)非工作时间访问审计(正确答案)
c)密码猜测(正确答案)
d)端口扫描(正确答案)
五、安全运营平台部署
下列哪个命令可以关闭selinux策略？
A、setenforce-1
B、setenforce1
C、setenforce2
D、setenforce0(正确答案)
2、下列哪个命令可以重启应用模块isomp-gatway？
A、supervisorctlrebootisomp-gateway
B、supervisorctlstartisomp-gateway
C、supervisorctlrestartisomp-gateway(正确答案)
D、systemctlrestartisomp-gateway
3、运营平台的运行日志存放在下列哪个目录下？
A、/var/log
B、/home/logs/isomp(正确答案)
C、/etc/isomp
D、/var/log/isomp
4、运营平台所在服务器会对所有IP开放哪些端口？
A、8080，6088
B、443，6088(正确答案)
C、443，8088
D、443，80
5、重启Mysql服务的命令是什么？
A、systemctlrestartmysqld(正确答案)
B、systemctlrestartmysql
C、/usr/lib/share/mysql/mysqldrestart
D、mysqlrestart
6、下列组件中哪个不属于运营平台安装过程中所使用的组件？
A、kafka(正确答案)
B、nginx
C、mysql
D、minio
7、运营平台中的nginx的重启命令是下列哪一个？
A、nginxstart
B、startnginx
C、systemctlstartnginx
D、nginx-sreload(正确答案)
8、IP地址192.168.10.110是什么的地址？
A、公司中心侧服务的公网地址
B、公司中心侧服务的vpn地址(正确答案)
C、客户的私有地址
D、不能确定
9、如运营平台部署在ip为192.168.1.222的服务器上，其组件rabbitmq的web管理页面访问地址是:
A、http://192.168.1.222:443
B、http://192.168.1.222:5672
C、http://192.168.1.222:15672(正确答案)
D、http://192.168.1.222:6088
10、在态感系统中，接收第三方日志使用的哪个端口？
A、tcp/514
B、udp/514(正确答案)
C、tcp/443
D、upd/8001
11、命令./elasticsearch-setup-passwordsinteractive作用是什么？
A、启动elasticsearch
B、设置elasticsearch的用户名和密码(正确答案)
C、重启elasticsearch
D、不知道
12、端口9092是下列哪个组件对外开放的端口？
A、nacos
B、nginx
C、minio
D、kafka(正确答案)
13、态感系统部署时，配置的hosts内容isomp-server是哪个服务的域名？
A、公司公网服务地址
B、公司vpn服务地址
C、运营平台用户侧地址(正确答案)
D、不清楚
14、态感系统运行需要依赖运营平台的哪个组件？
A、nginx
B、mysql(正确答案)
C、seata
D、不依赖
15、运营平台所使用的时区是哪一个？
A、Asia/Harbin
B、Asia/Chongqing
C、Asia/Shanghai(正确答案)
D、Asia/Urumqi
六、安全运营平台使用
、平台功能中不包含以下哪个（）
A、日志审计(正确答案)
B、安全告警研判
C、资产管理
D、服务闭环跟踪
2、日志泛化过程中日志必要字段描述不正确的是（）
A、四元组
B、五元组(正确答案)
C、事件级别
D、动作
3、以下哪个不是部署前准备（）
A、检查设备时间时区
B、检查设备系统，性能，存储要求是否满足部署要求
C、检查日志格式和文档是否一致(正确答案)
D、检查网络情况，iptable，本地防火墙等
4、以下哪个是运营平台中心侧的服务域名（）
A、isosp.30wish.net(正确答案)
B、vsoc.30soc.com
C、socc.30wish.net
D、itsms.30wish.net
5、以下对于资产中心的初始化操作过程描述哪个是正确的？
A、资产建模→关系建模→添加资产→资产关联→提交审批(正确答案)
B、添加资产→添加业务应用→提交审批
C、资产建模→添加资产→提交审批→变更资产
D、添加资产→编辑资产→添加应用资产→资产关联
6、以下对于日志泛化的描述哪个是正确的？
A、一个安全设备只需要泛化一个规则
B、泛化插件不可用复用
C、一个安全设备可能需要多个泛化插件(正确答案)
D、日志泛化后不需要测试验证
7、以下对于研判中心那个描述正确？
A、研判中心不能看到告警
B、研判中心不可以通过研判存在风险后生产风险处置工单
C、研判中心在本地不能研判的时候通过流程上报中心侧帮助研判(正确答案)
D、研判中心告警不能看到告警关联日志
8、以下对于服务管理哪个是正确的？
A、流程不能更改不能定制
B、表单不可复用不可修改
C、通过服务可绑定流程表单及角色节点(正确答案)
D、服务不可按照事件级别设置交付时间
9、以下对用户角色哪个是正确的？
A、一个用户可以赋予多个角色(正确答案)
B、用户名可以重复
C、用户可以随意删除
D、一个角色只能有一个用户
10、以下哪个不是运营中心的功能？
A、运营总览
B、工单管理
C、风险处置(正确答案)
D、个人工作台
11、对于流程设置以下说法哪个是正确的？
A、一个流程节点只能由一个账号执行
B、一个流程只能设置3个节点
C、在并行网关前的任务需要都完成后才能进行到下一个节点(正确答案)
D、选择多个账号后没有选择多人执行也需要所有所选账号完成节点任务
12、以下对于任务哪个描述是错误的？
A、任务可以选择日周月为周期
B、任务可以设置过去的时间(正确答案)
C、重保任务可以通过专题任务设置
D、一次性任务也可以通过任务中心提前预约下发
13、以下那个不是重保场景的阶段？
A、准备阶段
B、实战阶段
C、攻击阶段(正确答案)
D、总结阶段
14、以下对于托管的描述哪个是正确的？
A、托管服务只可以5*8服务
B、托管服务可以制定服务周期和时间(正确答案)
C、托管服务不可用提前设定
D、托管需要不需要用户同意
15、以下哪个不需要和中心侧连接？
A、在线咨询
B、专家支持
C、用户账号开设(正确答案)
D、托管管理
16、以下不是系统默认角色？
A、用户
B、本地管理员
C、部门经理(正确答案)
D、初级研判工程师
17、以下对托管服务认识错误的是？
A、托管服务会由中心侧服务工程师对用户本地告警进行研判
B、托管就是一切交给远程工程师本地工程师什么都不需要做了(正确答案)
C、托管服务是为了补足现场人力及能力，拓展5*8以外的服务。
D、托管不会上传用户本地原始数据。
18、以下对于工单的描述哪个是不正确的？
A、级别分为紧急，高，中，低
B、工单会有已闭环，未闭环，已超时的状态
C、超时的工单不需要再执行(正确答案)
D、工单的执行过程中可以查看整体流程
19、以下对于平台授权哪个是不正确的？
A、平台授权是由中心侧下发的
B、服务授权到期后需要更新授权
C、用户不需要提供联系人(正确答案)
D、授权会包含用户地区及行业信息
20、以下对于运营平台哪个说法是正确的？
A、平台是态势感知类平台
B、平台是日志审计类产品
C、平台将各种安全服务产品梳理成标准服务流程通过平台开展运营流转(正确答案)
D、平台是一个工单平台
七、全流量研判分析
1、产业互动全流量产品正确的名称（）
A、威胁态势感知
B、日志分析平台
C、威胁检测系统
D、高级威胁检测与溯源分析系统(正确答案)
2、告警日志模块中，攻击描述为口令暴力破解的，可以直接封禁（）[判断题]*
A、是
B、否(正确答案)
3、【首页】模块不展示（）数据
A、威胁统计
B.近7日风险数据趋势
C.核心进程(正确答案)
D.运行情况
4、告警日志的威胁等级不包含（）
A.疑
B.危
C.高
D.低(正确答案)
5、场景分析功能不包括（）模块
A.木马邮件检测
B.异常主机检测
C.挖矿行为检测
D.开源情报检测(正确答案)
6、溯源分析功能不包括（）模块
A.线索查证
B.后门查证(正确答案)
C.威胁情报生产
D.行为查证
7、想要了解内网中IP为192.168.10.153的资产与test.30wish.com(192.168.3.254)的流量情况，可行的操作是:（）
A.在告警日志模块中筛查，源IP等于192.168.10.153并且目的IP等于192.168.3.254(正确答案)
B.在威胁事件模块中筛查，源域名等于test.30wish.com并且目的IP等于192.168.10.153
C.在资产管理中，搜索资产IP等于192.168.10.153的资产(正确答案)
D.在告警日志模块中筛查，源IP等于192.168.3.254并且目的IP等于192.168.10.153(正确答案)
8、在hvv中，通过情报发现被钓鱼且存在反连情况，可以查看（）模块。
A.HTTP木马检测
B.邮件查证
C.异常通信检测
D.以上都是(正确答案)
9、对于全流量捕获结果需要进行二次处理，可以（）
A.在告警日志模块选中流量，点击导出数据，下载到本地
B.在会话分析中，导出Pcap包
C.在数据详情中直接复制请求/响应信息
D.以上都可以(正确答案)
10、在hvv中，应该启动（）功能
A.首页概况设置30秒自动刷新
B.告警日志设置1分钟自动刷新
C.威胁事件设置1分钟自动刷新
D.以上都设置(正确答案)
11、某项目现场被通报安全事件，但是全流量中搜索后没有具体告警信息，这时可以（）
A.在威胁情报生产中新增黑名单信息(正确答案)
B.在威胁情报生产中将内网资产添加到白名单中(正确答案)
C.可能是0day攻击，筛选并导出通报资产流量进行二次分析(正确答案)
D.反馈通报为误报
12、现有项目现场收到挖矿域名相关的安全通报，需要工程师进行流量分析，以下对流量性质判断与处置最准确的是（）
A.根据通报内容，在全流量中搜索威胁等级为危、高的流量，封禁源/目的IP。
B.根据通报内容，封禁通报中下提到的IP地址、域名或端口。
C.根据通报内容，通过开源情报搜索挖矿域名相关IP，经过与项目内资产对比后后在全流量中搜索挖矿相关内容并阻隔，在受影响的机器上进行查杀并持续监控，直到不再有挖矿流量。(正确答案)
D.根据通报内容，封禁所有在挖矿行为检测中的非资产IP和域名。
13、某项目现场，应用存在登录窗口，全流量中出现大量账户暴力破解告警，在处理流程中，以下（）操作是正确的
A.筛选攻击类型为账户暴力破解的流量，整理所有非中国地区IP后统一封禁
B.筛选攻击类型为账户暴力破解的流量，整理所有非资产IP后统一封禁
C.筛选应用相关的所有流量，查看是否存在登录成功流量(正确答案)
D.将此类告警归类为误报，忽略相关流量
14、现某大型金融公司多个部门（甲方）由我司人员（乙方）进行渗透测试与定期巡检，巡检人员在机房全流量上发现多个内网服务器有大量攻击流量，以下那种方式是不正确的（）
A.联系渗透测试成员，核对攻击行为后排除误报
B.筛选并分析攻击成功的流量，对非资产IP进行封禁(正确答案)
C.联系资产对应的具体甲方部门负责人，核实是否还有其他厂商在进行渗透测试或攻防演练
D.将过滤筛查时间段设置为从上次检测开始
15、某项目现场，通报服务器192.168.46.55（ec:d6:8a:59:f5:3c）通过DNS服务器192.168.3.1访问域名pool.minexmr[.]com（136.243.49.177）、t.zer9g[.]com（103.224.212.222）和服务器192.168.46.65（a4:dc:be:f7:d2:0b）通过DNS服务器192.168.3.1访问域名t.zz3r0[.]com（88.214.207.96）、t.zker9[.]com（216.245.213.78），以下哪条筛选规则是不准确的？（）
A.(源IP=192.168.46.55并且(目的IP=136.243.49.177或者目的IP=103.224.212.222)(正确答案)
B.(源IP=192.168.46.55或者源MAC=ec:d6:8a:59:f5:3c)并且(目的IP=192.168.3.1或者目的IP=136.243.49.177或者目的IP=103.224.212.222)
C.(源IP=192.168.46.65或者源MAC=a4:dc:be:f7:d2:0b)并且(目的IP=88.214.207.96或者目的IP=216.245.213.78)
D.(源IP=192.168.46.65或者源IP=192.168.46.55)并且(目的IP=136.243.49.177或者目的IP=216.245.213.78)
16、某项目现场在第二季度巡检后，发现主机192.168.50.163存在木马程序，释放挖矿病毒，访问w.fbniunws[.]com和v.ldbnpioerno[.]com（31.0.70.44、31.0.247.76、31.0.74.250），现需要进行内网资产全面评估与溯源分析，以下筛选规则最准确的是（）
A.(攻击时间区间2050-02-1100:00:00-2050-05-1123:59:59)并且(源IP=192.168.50.163)
B.源IP=192.168.50.163或者目的IP=31.0.70.44或者目的IP=31.0.247.76或者目的IP=31.0.74.250
C.目的IP=31.0.70.44或者目的IP=31.0.247.76或者目的IP=31.0.74.250(正确答案)
E.(攻击时间区间2050-02-1100:00:00-2050-05-1123:59:59)并且(源IP=192.168.50.163)并且(目的IP=31.0.70.44或者目的IP=31.0.247.76或者目的IP=31.0.74.250)
17、第一次分析某客户的全流量告警，应该（）
A、直接看设备中的告警
B、提前向现场运维要设备部署区域、客户资产清单等基础信息(正确答案)
C、只看设备中命中威胁等级为高的告警
D、在分析告警的时候再和现场运维沟通
18、在全流量中发现告警，发现攻击者请求内容为http://127.0.0.1/sqllib/Less-1/？id=-1%27union%20select%201,group（）concat(schema（）name),3%20from%20information（）schema.schemata–+，攻击者的攻击方式为:
A、SQL注入(正确答案)
B、跨站脚本攻击
C、上传木马
D、爆破账户密码
19、你在设备上发现了一条告警，被攻击的端口为3389，该端口最有可能是（）:
A、mysql数据库开放端口
B、redis数据库开放端口
C、Windows远程桌面的服务端口(正确答案)
D、ssh端口
20、在全流量设备上发现用户存在弱口令登录行为，你不应该（）:
A、记录后继续分析，检查是否还有其他用户使用相同弱口令
B、通知现场的运维，进行告警验证
C、直接登录发现弱口令的账号，查看里面的敏感信息(正确答案)
D、编写报告时，记录该问题
21、在分析时，你发现全流量设备存储的数据时间跨度很长，数据量巨大，告警非常多，你不应该（）:
A、直接进行分析(正确答案)
B、通知现场运维注意设备内存情况
C、加载合适时间段的告警后开始分析
D、针对客户的资产创建子快照，针对分析
22、在分析CS架构的全流量设备时，你想具体分析192.168.49.60对192.168.20.30的80端口使用的http协议的攻击，你应该如何写搜索表达式（）:
A、(ip.dst==192.168.20.30and(protocol==HTTPand((port.dst==80)andip.src==192.168.49.60)))(正确答案)
B、(ip.dst==192.168.49.60and(protocol==HTTPand((port.dst==80)andip.src==192.168.20.30)))
C、(ip.dst==192.168.20.30and(protocol==TCPand((port.dst==80)andip.src==192.168.49.60)))
D、(ip.dst==192.168.49.60and(protocol==TCPand((port.src==80)andip.src==192.168.20.30)))
23、在第一次分析某客户流量告警时，发现有一内网IP对内网其他应用有持续的攻击行为，你的判断/做法是（）:
A、这个资产失陷了，记录下来写在报告中
B、核对资产清单后询问运维是否是扫描器行为再做判断(正确答案)
C、失陷主机在尝试横向移动，赶紧让用户封禁这个IP
D、一看就是用户的扫描器，把该IP加入白名单
24、对于全流量设备发现的告警，你的态度是（）
A、无条件相信设备的告警
B、设备显示什么告警都直接记录在报告中
C、每一条告警都具体分析
D、分析最具特征的告警，对告警进行验证后再提交(正确答案)
25、当你发现了一个IP与一个矿池域名存在交互，你与客户确认后得知这个IP是一台小交换机，你的建议是（）
A、建议客户把这台小交换机的流量给到全流量设备后做具体定位(正确答案)
B、让客户检查这一台小交换机
C、让客户逐一排查接在这台小交换机下的设备
D、无法做到准确定位，直接忽略