26 道攻击框架与响应流程练习题及答案

CompTIA CySA+ 考试练习的全部攻击框架与响应流程练习题，附正确答案和简短解析。

1. 某安全运营中心(SOC)维护着约 300 条检测规则。管理层想知道团队会完全漏掉哪些攻击者行为。分析师把每条规则映射到一个公开的战术与技术行为目录上，并按每个条目被多少条规则覆盖来着色。这项工作实际产出的是什么？
- A.一份被监控主机上最可能被利用的漏洞排名清单，据此安排补丁工作的先后顺序
- B.一张覆盖度地图，标出目前缺乏任何检测的技术，用来指导新检测的建设方向✓ 答案
- C.一份每条规则在每个班次产生多少告警的统计，据此先调优或下线最嘈杂的规则
- D.一个归因判断，指出未来一年里最有可能把本组织选作攻击目标的那一个团伙
把现有规则映射到战术与技术目录上，就把规则清单变成了覆盖度图景：没有任何规则支撑的条目，正是会被静默放过的行为。该目录描述的是攻击者行为，因此它无法为主机漏洞排序、统计告警量，也无法把活动归因到某个团伙。
编号 QB-T5ZC22依据： CompTIA CySA+ CS0-004 Objective 3.1 (attack methodology frameworks); MITRE ATT&CK stated use for detection coverage assessment报告此题的问题
2. 分析师确认，入侵者在一台服务器上从进程内存中读取了凭据，随后又查询了目录服务中特权组的成员。团队想知道，在调查进行到这一步时，攻击者战术与技术目录能提供什么帮助。
- A.它显示凭据获取与探测之后通常会出现哪些行为，从而把狩猎对准最可能的下一步动作✓ 答案
- B.它指出这次入侵的责任团伙，因为每个技术条目只会被一个被追踪的攻击者使用
- C.它说明入侵者已潜伏多久，因为每个技术条目都记录了以天为单位的典型驻留时间
- D.它给出入侵者接下来必须遵循的顺序，因为目录条目是按发生次序编号的
行为目录按攻击者的目标来归类技术，因此已观察到的凭据获取与探测活动，可以指向攻击者通常接下来使用的行为，例如横向移动或持久化。该目录既不记录驻留时间，也不把某个技术唯一归属于某个团伙，更不会为入侵规定必须遵循的顺序。
编号 QB-DEEHAT依据： CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK tactic/technique structure (tactic = goal, technique = method)报告此题的问题
3. 一次联合演练结束后，攻击方的报告写的是"使用了一个已签名的系统二进制文件来运行载荷"，而防守方的报告写的是"看到了可疑的子进程"。两者描述的是同一活动，但管理层看不出它们说的是一回事。下次演练时最好的改进办法是什么？
- A.让两个团队都用同一份共享目录中的技术名称来标注活动，使两份记录能够逐条对上✓ 答案
- B.让防守方改用攻击方的措辞重写自己的记录，因为攻击者对该活动的描述才是权威的
- C.让两个团队把各自的发现都归到工单系统里同一个事件编号下，这样两份报告至少会一起出现
- D.让管理层只读攻击方的报告，因为这次演练是由实施模拟攻击的那个团队设计和执行的
共享的技术目录之所以存在，正是为了让攻防双方拥有共同语汇：当双方都记录同一个被命名的行为时，覆盖与缺口就可以互相比对。把报告归入同一个工单号、用对方的措辞重写，或只读其中一方，都无法把两种描述对应起来。
编号 QB-WWKPVT依据： CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK as common language for purple-team and detection work报告此题的问题
4. 邮件网关隔离了一封邮件，其附件文档中带有宏。该宏尚未运行，没有任何邮箱打开过它，也没有主机出现相关活动。按照七阶段入侵模型，已观察到的证据代表哪个阶段？
- A.武器化，因为宏与文档被组合在一起，形成了一个可用的载荷
- B.利用，因为环境内已出现带宏的文档，这本身就等于发生了代码执行
- C.投递，因为攻击工具已到达目标环境，但尚未针对任何东西运行✓ 答案
- D.安装，因为附件只要进入邮箱，就已经在环境中建立了立足点
投递指的是把已武器化的载荷传送到目标：载荷已经存在，但尚未执行任何代码。武器化更早发生在攻击者自己的系统上；利用要求宏针对某个弱点真正运行；安装则要求立足点已经建立。
编号 QB-CNHVS3依据： CompTIA CySA+ CS0-004 Objective 3.1; Lockheed Martin Cyber Kill Chain stage definitions (Delivery)报告此题的问题
5. 有人要求分析师仅使用在受防护环境内部采集的遥测数据，为七阶段入侵模型的每个阶段都建立检测。其中有一个阶段无法这样覆盖。是哪个阶段，为什么？
- A.侦察，因为扫描和公开来源调研根本不会出现在防守方自己的日志记录中
- B.武器化，因为它是在攻击者自己的系统上完成的，不会在受防护网络中留下任何痕迹✓ 答案
- C.命令与控制，因为加密的信道无法被内部网络上的任何传感器记录下来
- D.达成目标，因为在日志中窃取数据看起来与普通的业务文件访问完全一样
武器化完全发生在攻击者自己的构建环境中，因此防守方没有任何受害侧痕迹可供检测。侦察往往确实会留在防守方日志里；命令与控制信道即使加密，也会留下流量与 DNS 证据；达成目标阶段在具备合适遥测时也是可以区分的。
编号 QB-V5Q2D4依据： CompTIA CySA+ CS0-004 Objective 3.1; Lockheed Martin Cyber Kill Chain — Weaponization occurs on adversary infrastructure报告此题的问题
6. 带宏的附件在财务部门的工作站上反复执行；随后一个计划任务会在每次启动时重新拉起载荷，主机开始联系外部控制端。管理层只肯为一项控制措施出钱。哪一个选项既能最早切断这条链，描述也正确？
- A.在出口处封堵控制端域名，这会阻断投递；而放在利用阶段的控制只有等数据已经外流时才起作用
- B.阻止邮件来源文档中的宏执行，这会阻断利用；而放在命令与控制阶段的控制生效得更晚✓ 答案
- C.按文件类型过滤入站附件，这会阻断武器化；放在那里的控制在攻击者构建载荷之前就已生效
- D.每晚清除计划任务，这会阻断安装；而放在投递阶段的控制只有等载荷已经持久化之后才起作用
分阶段模型的价值在于显示某项干预能消除其后的全部环节。阻止宏运行即挫败了利用，于是安装、命令与控制都不会发生。其余选项把阶段标错了：出口封堵作用在命令与控制，清除计划任务发生在安装之后，按类型过滤附件作用在投递而非武器化。
编号 QB-BN6JM2依据： CompTIA CySA+ CS0-004 Objective 3.1; Cyber Kill Chain used for control placement (earliest effective intervention)报告此题的问题
7. 一次复盘发现：入侵者使用从中间商处买来的有效凭据进入，没有运行任何恶意软件，利用窃取的令牌在多个云服务之间移动，并在六周内反复回到侦察活动。一位经理要求把报告按七个有序阶段来编排。最恰当的回应是什么？
- A.把它报告为完整走完七个阶段，因为任何成功的入侵都必须依次经过每一个阶段
- B.只报告有证据对应的阶段并把入侵标注为未完成，因为缺少阶段就意味着攻击目标没有达成
- C.把整个行动重述为单一的利用阶段，因为凭据滥用和令牌重用都属于利用的一种形式
- D.说明该活动存在循环并跳过了阶段，有序模型会强加一个这次入侵从未遵循的次序✓ 答案
线性分阶段模型是一种规划辅助工具，而不是对真实入侵行为的描述：以身份为中心的入侵可以完全跳过武器化、安装和恶意软件，并多次回到更早的活动。把证据硬塞进固定次序，会编造出数据并不支持的叙事，这正是对该模型最典型的误用。
编号 QB-U5CQ73依据： CompTIA CySA+ CS0-004 Objective 3.1; documented limitation of linear kill-chain models for non-malware, identity-based intrusions报告此题的问题
8. 一次调查目前只有一个确证的细节：入侵者控制端所在的托管地址。团队采用入侵分析的四顶点关系模型。仅凭这一个细节，他们能做什么？
- A.把这次入侵固定在有序阶段模型的某一点上，因为基础设施只出现在单一阶段
- B.直接确定攻击者的身份，因为控制端地址一律登记在实际使用它的那个人名下
- C.从这项基础设施出发，转向它所承载的能力以及曾与它通信的其他受害者，逐步补全全貌✓ 答案
- D.确认数据已被窃取，因为一个仍在使用的控制端地址证明外传就发生在该信道上
四顶点模型的核心公理是：任何一个已知顶点都可以作为支点去揭示其余顶点，因此单一的基础设施细节可以引向经由它投送的能力，以及曾接触过它的其他受害者。注册信息并不能确定身份，基础设施会跨阶段反复出现，而仅凭控制端地址也无法证明发生了数据丢失。
编号 QB-EN8J56依据： CompTIA CySA+ CS0-004 Objective 3.1; Diamond Model of Intrusion Analysis — pivoting axiom across adversary, capability, infrastructure, victim报告此题的问题
9. 分析团队在一周内收到三项请求：(1) 判断两起入侵是否出自同一操作者；(2) 找出当前检测漏掉了哪些攻击者行为；(3) 向高管说明哪一项控制措施能最早终止一次攻击行动。以下哪种模型分配是恰当的？
- A.(1) 用分阶段入侵模型，(2) 用关系模型，(3) 用行为目录，依据的是行动的阶段先后次序
- B.(1) 用行为目录，(2) 用分阶段入侵模型，(3) 用关系模型，依据的是共用的工具
- C.(1) 用关系模型，(2) 用行为目录，(3) 用分阶段入侵模型，依据的是各自的分析目的✓ 答案
- D.(1) 用关系模型，(2) 用分阶段入侵模型，(3) 用行为目录，依据的是阶段覆盖度
每个框架回答的是不同的问题：四顶点关系模型把攻击者、能力、基础设施与受害者关联起来，用于归因与支点转移；战术与技术目录表达行为，因而对应检测覆盖；有序阶段模型显示干预在何处能最早切断一次行动。互换之后得到的分析是所选模型无法支撑的。
编号 QB-X5EQQ6依据： CompTIA CySA+ CS0-004 Objective 3.1; stated analytic purpose of Diamond Model, MITRE ATT&CK and Cyber Kill Chain报告此题的问题
10. 某团队一直只在事件结案后给行为打上技术标识，纯粹作为一个报告步骤。新任负责人希望改为前瞻性地使用该目录。哪一种用法最能体现这一意图？
- A.在每个已结案工单上补加技术标识，使季度报告能够统计各团队观察到的技术数量
- B.规定任何告警在升级之前都必须给出技术名称，使每一次升级都带有一个目录引用编号
- C.选出对本组织威胁而言合理的技术，在任何告警出现之前就在现有遥测中搜寻其痕迹✓ 答案
- D.用该目录取代告警队列，让分析师每个班次都按技术编号的先后顺序逐个处理下去
前瞻性地使用行为目录，是把它当作狩猎假设的来源：先挑出相关攻击者可能使用的行为，再到已有的遥测数据中寻找其痕迹，无需任何告警作为起点。给结案工单打标签、把升级卡在标签上、或按编号顺序处理矩阵，都属于事后或事务性用法。
编号 QB-EN4HH2依据： CompTIA CySA+ CS0-004 Objective 3.1; hypothesis-driven use of ATT&CK for hunting and exercise design报告此题的问题
11. 一份报告草稿称入侵者使用了某个具名的凭据窃取技术。支撑证据只有一波登录失败激增，以及一个在主机被重建前始终未能识别的进程。正确的处理方式是什么？
- A.保留这个具名技术，因为它是登录激增最常见的解释，而且能让报告里有个具体结论
- B.把技术换成其所属的战术并视为已确认，因为战术这一层不需要任何证据支撑
- C.把报告中所有框架引用都删掉，因为只有检测产品给出的映射才算有效的映射
- D.把该行为记为未确认并附上所依据的证据，因为具名技术主张的内容多于实际所见✓ 答案
框架映射本身就是一种关于证据的主张，因此写出具体技术名称，等于断言观察到了该特定手法。在只有登录失败激增和一个未识别进程的情况下，诚实的记录方式是写下行为及其证据并标注为未确认。把证据硬套到标签上，或认为战术层不需要证据，都会污染后续基于该报告的分析。
编号 QB-2XVYXU依据： CompTIA CySA+ CS0-004 Objective 3.1; ATT&CK mapping guidance — confidence must reflect available evidence报告此题的问题
12. 一位分析师写道："目标是获取口令；手法是从进程内存中读取口令；具体实现是把一个已签名的转储工具改名后从临时目录运行。"这三层描述分别对应框架中的哪些术语？
- A.目标是战术，手法是技术，从该目录运行的改名工具则是具体过程✓ 答案
- B.目标是技术，手法是战术，改名后的工具则是该战术下的一个子技术
- C.目标是具体过程，手法是技术，而战术是工具运行所在的那个临时目录
- D.三者都是不同层级的技术，因为战术只描述网络活动而不描述主机活动
在行为目录中，战术是攻击者的目标，技术是达成该目标的方式，而具体过程是某个攻击者实际采用的落地实现。战术既适用于网络活动也适用于主机活动，而文件路径永远不可能是战术。
编号 QB-FNFUP3依据： CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK definitions of tactic, technique and procedure报告此题的问题
13. 调查进行到一半，团队发现关注的那些主机从未转发进程创建事件，而代理日志的滚动清理时间远早于推测的入侵起点。以下哪种说法最准确地描述了这一失败？
- A.检测阶段失败了，因为告警本身就应该携带分析师所需要的那段进程历史
- B.分析阶段失败了，因为分析师本应从磁盘上残存的痕迹重建出完整的事件序列
- C.恢复阶段失败了，因为把这些主机从备份还原就能把缺失的日志数据取回
- D.准备阶段失败了，因为日志覆盖与留存须事先决定，案件开始后无法凭空造出数据✓ 答案
决定记录什么、从哪些主机记录、保留多久，都是必须在事件发生之前完成的准备工作，因为从未采集的遥测数据事后无法用任何工具或手段找回。备份能还原系统状态，却无法还原从未生成或已被清理掉的审计记录。
编号 QB-X5AP43依据： CompTIA CySA+ CS0-004 Objective 3.2 (preparation phase); NIST SP 800-61r3 preparedness — logging and data collection decided in advance报告此题的问题
14. 一条关联规则针对异常认证发出了告警。随后分析师确认该次登录确属攻击者活动，识别出同一来源还接触过的另外四个账户，并宣布事件成立。这依次对应哪些阶段？
- A.规则触发属于分析，确认与定范围属于检测，因为检测要到范围明确后才结束
- B.规则触发和确认都属于检测，而分析只有在遏制措施全部到位之后才开始
- C.规则触发属于检测，确认活动、界定受影响账户并宣布事件都属于分析✓ 答案
- D.规则触发属于准备，而确认、定范围和宣布事件共同构成了检测阶段
检测是让一个可能的事件浮现出来，无论来源是规则、传感器还是人工报告。分析是另一个独立阶段：分析师在其中判定是真报还是误报、界定还有哪些对象受影响、划定严重级别并宣布事件；这些判断工作并不需要等到遏制之后。
编号 QB-GNT6V4依据： CompTIA CySA+ CS0-004 Objective 3.2 — detection and analysis listed as separate lifecycle phases报告此题的问题
15. 一条端点告警确认某台面向互联网的服务器上存在 web shell。值班经理要求立刻隔离该主机并结案。在可以信赖遏制效果之前，必须先满足什么条件？
- A.先修补被利用的漏洞，因为只要入口缺陷仍然敞开，遏制就无法维持住
- B.先用最新的备份还原该服务器，使关键业务服务在案件调查期间仍能继续运行
- C.先把根本原因写成文档并获批，因为在原因确认之前任何案件都不得遏制
- D.先确定影响范围，否则带有同一立足点的其他主机、账户和云资源仍会敞着✓ 答案
遏制只有针对整个入侵才有效，因此必须先在分析阶段界定出所有受影响的主机、账户和云资源；在第二个立足点仍存活的情况下只隔离一台服务器，等于让入侵者还能回来。修补与还原分属根除和恢复阶段，而遏制也绝不需要等待一份已签批的根因说明。
编号 QB-Y5NZ94依据： CompTIA CySA+ CS0-004 Objective 3.2 — scoping during analysis precedes containment报告此题的问题
16. 关停一台已被攻陷的应用服务器可以立即中止正在进行的入侵，但同时也会终止某项面向客户服务的唯一运行实例，并摧毁团队理解事件所需的运行时状态。此时妥当的做法是什么？
- A.分析师立即关停主机，因为在任何事件中制止损害都优先于调查所能带来的价值
- B.分析师把决定交给平台团队，因为面向客户服务的可用性属于运维方面的事务
- C.分析师在分析结束之前不去碰该主机，因为遏制绝不能改动正在被调查的系统
- D.分析师把这一取舍上报给事件负责人与业务责任人，结合已宣布的严重级别共同权衡✓ 答案
遏制本质上是在速度、业务影响与调查价值之间做取舍，而这一平衡应由已宣布的严重级别，以及对两边都负责的人——事件负责人与业务责任人——共同确定。分析师独自行动，要么摧毁对入侵的理解，要么让入侵继续；把决定完全交给运维，则等于抹掉了安全判断。
编号 QB-HN6H26依据： CompTIA CySA+ CS0-004 Objective 3.2 — containment decisions driven by severity classification and defined IR roles报告此题的问题
17. 恶意软件在数小时内从十一台主机上被清除，当晚服务即恢复。至今仍无人查明入侵者最初是如何进入的。两天后，同样的恶意软件出现在九台主机上。以下哪种说法最能解释这一结果？
- A.根除只清掉了症状，而入口路径仍然敞开，于是入侵通过同一原因再次出现✓ 答案
- B.遏制一直没有解除，被隔离网段中留存的恶意软件在监控恢复时重新进入主机
- C.恢复推进得太快，残存的恶意软件副本随着还原到重建主机上的备份又回来了
- D.检测规则调优不当，第二波其实是同一次感染被重复上报，并非真正的再感染
根除既要清除威胁，也要消除使威胁得以成立的条件；在被利用的服务、泄露的凭据或缺失的控制措施依然存在的情况下删掉恶意软件，只处理了症状，沿同一路径再次感染是可预见的结果。这正是必须先弄清根本原因，才能宣布根除完成的原因。
编号 QB-Z5ZBF5依据： CompTIA CySA+ CS0-004 Objective 3.2 — eradication removes threat and root enabler before recovery报告此题的问题
18. 入侵者的持久化机制已被清除，被利用的服务已打上补丁，受影响的凭据也已轮换。团队现在希望把这些系统放回生产环境。恢复阶段必须确立什么？
- A.还原后的系统功能正常并处于复发监控之下，且所用还原点早于被攻陷的时间✓ 答案
- B.案件工单已关闭且经验总结会已安排，因为恢复阶段标志着正式响应流程的结束
- C.每个受影响的系统都从厂商原始介质重建，因为经过加固的镜像此后不能再被信任
- D.业务责任人以书面形式接受残余风险，因为恢复会把剩余暴露的责任移交出去
恢复阶段要把系统恢复到正常运行，并证明它们值得被信任：验证功能是否正常、确认所用还原点早于被攻陷时间以免把威胁又带回来，并通过加强监控观察是否复发。关闭工单和召开复盘会属于恢复之后的事后活动阶段。
编号 QB-EENTUQ依据： CompTIA CySA+ CS0-004 Objective 3.2 — recovery validates restored systems and monitors for recurrence报告此题的问题
19. 在调查仍在进行时，团队停用了入侵者使用的两个账户，在出口防火墙上封堵了控制端地址，并把一台受影响的云实例移入受限网络组。这些工作属于哪个阶段？
- A.属于根除，因为停用账户和封堵地址已经把入侵者的工具从环境中清除掉了
- B.属于即时形式的遏制，因为在威胁本身仍然存在的情况下，入侵的影响范围正在被限制住✓ 答案
- C.属于恢复，因为这些连接一旦被封堵，整个环境就被带回到了安全的运行状态
- D.属于检测，因为封堵那些已知的恶意地址正是让后续恶意活动浮现出来的方式
即时（短期）遏制是在不声称已清除威胁的前提下，限制正在进行的入侵还能造成多大损害：停用账户、封堵指标、把云实例隔入受限组，都是在威胁及其成因仍然存在时切断其触及范围。根除才是清除威胁及其根本成因，恢复则是随后还原并验证服务。
编号 QB-WWFN9Q依据： CompTIA CySA+ CS0-004 Objective 3.2 — short-term (immediate) containment versus eradication报告此题的问题
20. 一起已确认的入侵涉及一套老旧的制造应用系统，它在数月内无法打补丁，而下线又会导致生产停摆。对受影响网段的即时隔离已经到位。在这种情况下，长期遏制指的是什么？
- A.永久接受该风险，因为无法打补丁的应用系统就以一份书面例外来结束整个响应
- B.用补偿性控制和网络访问限制把风险压住，直到真正的修复变得可行为止✓ 答案
- C.按固定周期反复执行那次即时隔离，直到厂商补丁到位、应用可以升级为止
- D.每周用镜像重建一次应用服务器，使任何被重新带入的东西都按固定周期被清掉
长期遏制的作用是在彻底修复仍不可能时让业务继续运转：通过网段划分、收紧访问路径、被动监控等补偿性控制，把残余风险压住，直到该应用可以打补丁或被替换。它是通往根除的过渡手段，既不是风险接受，也不是按周重建的排班表。
编号 QB-76CAY4依据： CompTIA CySA+ CS0-004 Objective 3.2 — long-term containment with compensating controls; OT availability constraints报告此题的问题
21. 为了在周末前恢复服务，团队在周五用备份还原了二十台服务器，并计划下周再修补那个被利用的面向互联网的缺陷。最可能出现的结果是什么？
- A.只要遏制用的防火墙规则还在，还原后的服务器就是安全的，打补丁的先后无关紧要
- B.还原后的服务器是受保护的，因为从备份还原会把存在缺陷的组件换成干净版本
- C.还原后的服务器仍通过同一缺陷暴露，会在补丁窗口到来之前被再次攻陷✓ 答案
- D.还原后的服务器不可能再被感染，因为入侵者的工具在还原前已从每台主机清除
恢复不能跑到根除前面：备份中带着同样未打补丁的软件，先还原就等于把完全相同的可利用面重新放回互联网上。临时的遏制规则不能替代把缺陷真正关闭，而清除攻击工具也丝毫不改变入口本身。
编号 QB-QNHFJ5依据： CompTIA CySA+ CS0-004 Objective 3.2 — eradication (patching the exploited weakness) precedes recovery报告此题的问题
22. 一位夜班分析师认为，仅凭一次异常认证就应当宣布重大事件，并在凌晨两点呼叫高管。决定是否作出这一宣布的依据是什么？
- A.分析师本人对严重程度的判断，因为最接近证据的人最有资格作出这一宣布
- B.把已形成文档的宣布标准套用到证据上，这些标准规定了何者构成事件以及由谁宣布✓ 答案
- C.该规则在整夜里产生的告警总数，因为告警数量是公认的重要性衡量标准
- D.受影响用户的职级高低，因为账户的重要程度决定了这起案件所处的级别
宣布事件是一项有明确规定的决策，而不是个人偏好：预案规定了事件必须满足哪些标准，以及各级别由哪个角色有权宣布，这正是夜班升级能够保持一致且站得住脚的原因。告警量和受影响用户的职级可以作为严重级别的输入，但它们本身都不是判定标准。
编号 QB-86QM56依据： CompTIA CySA+ CS0-004 Objective 3.2 — incident declaration criteria and defined escalation authority报告此题的问题
23. 目前有两起案件：一台文件服务器已不可用，但上面只有公开的市场宣传文件；另一台数据库仍在正常对外服务，但入侵者正在读取受监管的客户记录。团队的分级方案综合考虑功能影响、信息影响和可恢复性。这两起案件应如何排序？
- A.文件服务器那起更高，因为服务中断是可度量的影响，而数据被访问只是潜在影响
- B.数据库那起案件更高，因为信息影响与可恢复性要与功能丧失一并纳入权衡✓ 答案
- C.两起同级，因为每起都只影响一个系统，严重程度取决于受影响系统的数量
- D.两起都要等根本原因查明再排序，因为在原因明确之前无法确定严重程度
严重级别是由功能影响、信息影响和可恢复性共同决定的，因此受监管记录正在被持续访问，其级别高于一项数据本就公开的服务中断：信息影响以及泄露难以挽回这一点占了主导。严重级别是在分析阶段依据已观察到的影响来划定的，远早于查明根本原因。
编号 QB-RNVSQ6依据： CompTIA CySA+ CS0-004 Objective 3.2 — severity and prioritisation by functional impact, information impact, recoverability报告此题的问题
24. 分析显示入侵者读取了一个含有客户个人记录的目录。分析师起草了一封给受影响客户的通知邮件，并请值班经理发出。为什么这条路径是错的？
- A.通知须按沟通预案进行，由指定责任人发出，并有法务和管理层参与其中✓ 答案
- B.只要系统仍处于遏制状态就无需通知，因为在恢复结束之前都不算确认发生了损失
- C.通知由服务台负责，因为公司里所有对客户的对外联络本来就归服务台管
- D.通知本属分析师的职责，但必须等到案件结案、最终报告获得签批之后才能发出
告知谁、由谁告知、多快告知、说到多细，都由沟通预案规定并由指定责任人执行，因为对外通知会带来法律、监管和声誉后果，而分析师并不处在权衡这些后果的位置上。分析师的角色是把经核实的事实提供给这一流程，而不是自行发起对外通知。
编号 QB-963YA7依据： CompTIA CySA+ CS0-004 Objective 3.2 and Domain 4 — stakeholder identification and communication plan ownership报告此题的问题
25. 服务已恢复，案件正式结案。事件负责人安排了一次所有参与者都出席的复盘会。除了形成一份关于事发经过的书面记录之外，这一阶段还应当交付什么？
- A.一个关于谁该负责的结论，以便在案件记忆尚新的时候把个人责任记录下来
- B.一个已关闭的工单并销毁全部案件材料，使下一起案件不带着旧有假设开始
- C.把已采取的遏制步骤重述一遍，以便下一次可以照原样重复完全相同的步骤
- D.回流到准备阶段的改进：更新处置手册、修订检测规则，并列出带责任人的控制缺口✓ 答案
事后活动的意义在于把闭环接回准备阶段：复盘要把所学转化为更新后的处置手册、更好的检测能力，以及带有时限的整改任务分工，使下一次响应起点更高。追责会压制复盘所依赖的坦诚，而照抄遏制步骤则忽略了下一起事件并不相同。
编号 QB-SN85W7依据： CompTIA CySA+ CS0-004 Objective 3.2 — post-incident activity feeds lessons learned back into preparation报告此题的问题
26. 在两次事件之间，某团队调优了三条嘈杂的关联规则，编写了一份商务邮件诈骗处置手册，并为值班分析师安排了对云审计日志的常设只读权限。这些工作属于哪个阶段，为什么时机很重要？
- A.属于准备，因为这类能力必须事先就存在，无法在处理一起进行中的案件时临时建立✓ 答案
- B.属于事后活动，因为调优和编写手册只会发生在案件之后，用来收尾上一起事件
- C.属于检测，因为这些工作的目的就是让告警能触发，所以归入让恶意活动浮现的那个阶段
- D.属于分析，因为调优后的规则和已开通的权限正是分析师判断已到达告警的依据
准备是在需要之前先把能力建起来的阶段：调优后的规则、写好的处置手册、预先开通的权限、日志覆盖以及经过训练的角色分工。这些都无法在事件进行中临时建成——那时时间压力和系统状态的变化，使新的采集手段和新的审批都难以干净地拿到。
编号 QB-A6EAG8依据： CompTIA CySA+ CS0-004 Objective 3.2 — preparation phase scope (tooling, playbooks, access, alert tuning)报告此题的问题

本考试的其他主题

架构与日志来源19 道免费练习题恶意活动指标19 道免费练习题调查工具与威胁狩猎19 道免费练习题流程改进、自动化与 AI19 道免费练习题漏洞扫描方法19 道免费练习题扫描结果分析19 道免费练习题优先级排序、缓解与控制措施19 道免费练习题事件响应实务26 道免费练习题漏洞报告与沟通19 道免费练习题事件报告与运营指标19 道免费练习题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。官方 CySA+ 考试大纲 →

2. 分析师确认，入侵者在一台服务器上从进程内存中读取了凭据，随后又查询了目录服务中特权组的成员。团队想知道，在调查进行到这一步时，攻击者战术与技术目录能提供什么帮助。

4. 邮件网关隔离了一封邮件，其附件文档中带有宏。该宏尚未运行，没有任何邮箱打开过它，也没有主机出现相关活动。按照七阶段入侵模型，已观察到的证据代表哪个阶段？

5. 有人要求分析师仅使用在受防护环境内部采集的遥测数据，为七阶段入侵模型的每个阶段都建立检测。其中有一个阶段无法这样覆盖。是哪个阶段，为什么？

6. 带宏的附件在财务部门的工作站上反复执行；随后一个计划任务会在每次启动时重新拉起载荷，主机开始联系外部控制端。管理层只肯为一项控制措施出钱。哪一个选项既能最早切断这条链，描述也正确？

8. 一次调查目前只有一个确证的细节：入侵者控制端所在的托管地址。团队采用入侵分析的四顶点关系模型。仅凭这一个细节，他们能做什么？

9. 分析团队在一周内收到三项请求：(1) 判断两起入侵是否出自同一操作者；(2) 找出当前检测漏掉了哪些攻击者行为；(3) 向高管说明哪一项控制措施能最早终止一次攻击行动。以下哪种模型分配是恰当的？

10. 某团队一直只在事件结案后给行为打上技术标识，纯粹作为一个报告步骤。新任负责人希望改为前瞻性地使用该目录。哪一种用法最能体现这一意图？

11. 一份报告草稿称入侵者使用了某个具名的凭据窃取技术。支撑证据只有一波登录失败激增，以及一个在主机被重建前始终未能识别的进程。正确的处理方式是什么？

12. 一位分析师写道："目标是获取口令；手法是从进程内存中读取口令；具体实现是把一个已签名的转储工具改名后从临时目录运行。"这三层描述分别对应框架中的哪些术语？

13. 调查进行到一半，团队发现关注的那些主机从未转发进程创建事件，而代理日志的滚动清理时间远早于推测的入侵起点。以下哪种说法最准确地描述了这一失败？

14. 一条关联规则针对异常认证发出了告警。随后分析师确认该次登录确属攻击者活动，识别出同一来源还接触过的另外四个账户，并宣布事件成立。这依次对应哪些阶段？

15. 一条端点告警确认某台面向互联网的服务器上存在 web shell。值班经理要求立刻隔离该主机并结案。在可以信赖遏制效果之前，必须先满足什么条件？

16. 关停一台已被攻陷的应用服务器可以立即中止正在进行的入侵，但同时也会终止某项面向客户服务的唯一运行实例，并摧毁团队理解事件所需的运行时状态。此时妥当的做法是什么？

17. 恶意软件在数小时内从十一台主机上被清除，当晚服务即恢复。至今仍无人查明入侵者最初是如何进入的。两天后，同样的恶意软件出现在九台主机上。以下哪种说法最能解释这一结果？

18. 入侵者的持久化机制已被清除，被利用的服务已打上补丁，受影响的凭据也已轮换。团队现在希望把这些系统放回生产环境。恢复阶段必须确立什么？

19. 在调查仍在进行时，团队停用了入侵者使用的两个账户，在出口防火墙上封堵了控制端地址，并把一台受影响的云实例移入受限网络组。这些工作属于哪个阶段？

20. 一起已确认的入侵涉及一套老旧的制造应用系统，它在数月内无法打补丁，而下线又会导致生产停摆。对受影响网段的即时隔离已经到位。在这种情况下，长期遏制指的是什么？

21. 为了在周末前恢复服务，团队在周五用备份还原了二十台服务器，并计划下周再修补那个被利用的面向互联网的缺陷。最可能出现的结果是什么？

22. 一位夜班分析师认为，仅凭一次异常认证就应当宣布重大事件，并在凌晨两点呼叫高管。决定是否作出这一宣布的依据是什么？

24. 分析显示入侵者读取了一个含有客户个人记录的目录。分析师起草了一封给受影响客户的通知邮件，并请值班经理发出。为什么这条路径是错的？

25. 服务已恢复，案件正式结案。事件负责人安排了一次所有参与者都出席的复盘会。除了形成一份关于事发经过的书面记录之外，这一阶段还应当交付什么？

26. 在两次事件之间，某团队调优了三条嘈杂的关联规则，编写了一份商务邮件诈骗处置手册，并为值班分析师安排了对云审计日志的常设只读权限。这些工作属于哪个阶段，为什么时机很重要？

本考试的其他主题