19 道事件报告与运营指标练习题及答案

1. 1. 分析师正在撰写事件记录。证据是代理日志中的一条记录，显示某工作站通过 TLS 向一个陌生外部主机发送了 1.8 GB 数据；终端日志显示该工作站在几分钟前运行过压缩打包工具。没有该压缩包内容的清单。记录应如何表述这一情况？

   • A.把代理传输和打包进程作为已观察到的证据记录下来，并把文件共享数据可能已外泄写成带有置信度以及仍缺哪些证据的分析判断。✓ 答案
   • B.把该传输直接记为已确认的文件共享数据外泄，因为在打包工具运行之后向陌生主机发出 1.8 GB 的 TLS 流量没有别的合理解释。
   • C.只记录这两条日志条目，把任何解释都排除在书面案卷之外，因为分析性措辞日后可能在诉讼中被对方律师质疑。
   • D.在恢复出压缩包内容之前先记为疑似误报，并把传输细节从记录中略去，以免领导层为一个未经证实的结论而紧张。

   事件记录日后要站得住脚，读者必须能分清哪些是测量到的、哪些是推断出来的。代理日志的字节数和打包进程属于观察结果，而“数据已外泄”是推断，因此应作为带置信度的分析判断写入，并说明还需要什么证据才能证实或推翻。删掉假设会让响应工作失去方向，而把假设写成事实则最经不起审查。

   编号 QB-HZ4RQA依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report): separating observed fact from analytic judgement报告此题的问题

2. 2. 在遏制阶段有三名响应人员分别采取了行动：一人在边界封禁了一个外部地址，一人停用了一个用户账户，一人把一台笔记本从网络上断开。工单里只写了“主机已遏制、账户已处理、流量已封禁”。对这份记录最重要的修正是什么？

   • A.把每项行动写成独立条目，注明执行人、生效的准确时间以及所作用的系统。✓ 答案
   • B.补上边界封禁所用的工具类别和规则语法，以便其他分析师日后能复现同一条过滤规则。
   • C.附上严重性评级和业务影响估计，使该条目与执行摘要中将要写的内容保持一致。
   • D.把描述改写成已执行的处置手册步骤编号，因为手册本身已经规定了每一步的负责人。

   响应记录必须回答“谁、在什么时间、对哪个系统做了什么”，因为遏制行动本身就会改变证据和环境。每项行动若缺少执行人和时间戳，就无法重建时间线、无法证明变更是获授权的，也无法把攻击者的活动与响应人员的操作区分开。工具语法、严重性和手册步骤编号都是有用的背景，但都不能确立责任归属和先后顺序。

   编号 QB-2HAWAB依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report): documented actions taken, with time and actor报告此题的问题

3. 3. 团队报告称此次入侵仅限于两台服务器，且没有横向移动的证据。服务器区的认证日志已集中采集，但大约三分之一的工作站没有把终端遥测数据转发上来。范围一节应如何撰写？

   • A.把已确认的范围写成最终结论并就此定稿，因为对全部集中日志的彻底检索都没有发现越过这两台服务器的任何活动迹象。
   • B.写明只要存在遥测盲区就根本无法确定范围，并把这一节留待工作站监控覆盖部署完成之后再补写。
   • C.写明已确认的范围，并说明“无横向移动”这一结论只对会转发遥测数据的资产成立，同时点出未受监控的网段。✓ 答案
   • D.写明已确认的范围，并补充说未受监控的工作站可推定是干净的，因为期间该网段没有用户报告过异常现象。

   “没有发现某事的证据”这一结论的强度取决于背后的可见性，所以范围表述必须带上可检索范围的边界。点明那三分之一没有覆盖的工作站，把一个过度结论变成有边界的发现，同时也把一个真实的盲区记录下来供复盘处理。仅因无人抱怨就推定未受监控的主机干净，是把假设当成结论；而完全拒绝给出范围，则扣留了相关方需要的信息。

   编号 QB-JZF3WB依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting: documented scope and residual uncertainty报告此题的问题

4. 4. 一次入侵已持续六个小时，响应负责人一直在随时回答陆续找上来的经理、法务和两名高管的问题，随着新发现不断出现，每次回答都略有不同。沟通方式应作何改变？

   • A.把所有问题转给法务团队给出授权答复，由一个审阅者控制关于此次事件的每一句说法在任何人听到之前的内容。
   • B.只要有新发现就立刻答复每一个提问的人，使任何相关方手上的信息都不会有哪怕几分钟的滞后。
   • C.改为按固定间隔发布情况通报，由一名指定的协调人统一发出，并把已确认的发现与当前的工作假设分开表述。✓ 答案
   • D.暂停对相关方的通报，等遏制得到验证后再发布一份完整说明，使管理层不会看到任何尚未定论的内容。

   不断推送零散发现比放慢节奏更糟，因为早期判断会变，各人手上版本不同，就会依据互相矛盾的事实做决定。由一名协调人按固定间隔发布情况通报，能让所有人同一时间看到同一幅图景，也迫使撰写者标明哪些已确认、哪些只是假设。而一直沉默到事件结束，则让管理层在事件期间无法获得做业务决策所需的信息。

   编号 QB-3HN8GC依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — communication plan (stakeholder identification; communication channels)报告此题的问题

5. 5. 正在为董事会撰写执行摘要，董事会不会阅读关于此次事件的任何其他材料。调查仍在继续，根本原因尚未确认。最合适的内容是什么？

   • A.一份平实的说明：发生了什么、目前已知的业务影响、当前状态、需要作出的决定，以及哪些结论仍是暂定的。✓ 答案
   • B.一份逐条列出分析师迄今每项操作、以及从各主机提取到的指标的时间线，让董事会看到所做工作的深度。
   • C.一份不带任何限定语的已确认根本原因与修复计划，因为向董事会汇报不应该显得犹疑不定。
   • D.一份把攻击者已观察到的技战术映射到公开框架的对照表，并附上用于捕捉同类活动再次出现的检测逻辑。

   执行摘要的存在意义，是让只读这一页的人能做出决定，因此它围绕影响、状态、所求事项以及每项结论的置信度来组织。把尚未确认的原因写成既定事实，正是日后结论改变时摧毁可信度的做法；而指标清单、逐主机时间线和框架映射，是这类读者不会使用的技术附件。明确说出哪些部分仍是暂定的，才能让其余内容可信。

   编号 QB-KZTD3D依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — executive summary报告此题的问题

6. 6. 一次入侵正在进行，已知攻击者掌握着公司身份提供方的有效凭据，而公司邮件和聊天平台都由该身份提供方前置认证。响应团队接下来还需协同工作数小时。应当怎么做？

   • A.在事先约定好的、不依赖受影响身份与邮件系统的通道上协同，并在案卷中记录选择该通道的理由。✓ 答案
   • B.继续使用公司聊天平台，但建立一个仅限响应人员的私有频道，使讨论不被其他任何员工看到。
   • C.继续使用公司邮件，但对事件邮件线程加密，这样即使邮箱被访问，内容仍然无法被读取。
   • D.把协同转移到每名响应人员各自选定的个人手机通讯账号上，使任何公司管理的服务都不承载相关内容。

   当入侵者掌握着团队要用来沟通的平台的身份凭据时，这些平台本身就属于已被攻陷的范围：攻击者可以读到方案、看到遏制安排的时间并据此调整。事先约定好的带外通道既保住了机密性，又能作为有意识的决定被记录下来；而临时改用个人账号，会让协同过程无据可查，且处于留存与法律保全要求之外。在攻击者能打开的邮箱里给线程加密并不解决问题。

   编号 QB-4HZJND依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — operational security awareness (communication channels)报告此题的问题

7. 7. 分析师确认一台财务服务器上存在来自公司外部地址的交互式会话，并被安装了一个来源不明的服务。公司的响应计划把这种情况列为符合事件判定标准。分析师首先应当做什么？

   • A.直接通知法务团队和监管联络人，因为涉及财务系统的入侵会产生对外报告的义务。
   • B.先拔掉该服务器的网线开始遏制，因为攻击者每多访问一分钟，需要修复的破坏就更大。
   • C.按计划的判定标准宣布事件成立并通知事件负责人，由此启动有记录的响应流程并为后续行动取得授权。✓ 答案
   • D.先采集内存镜像和运行进程列表，因为一旦主机上有任何改动，该会话的易失性证据就会消失。

   发现事态与宣布事件是两件不同的事：宣布是“已满足计划中判定标准”的有记录决定，它才是启动计时、激活响应团队与沟通方案、并赋予分析师采取破坏性行动权限的那一步。取证和遏制本身都是正确步骤，但在宣布之前执行，就是对一台已成为证据的系统做未获授权的改动；而对外通报属于管理层与法务的决定，不是分析师的第一步动作。

   编号 QB-MZ6R8E依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — incident declaration and escalation报告此题的问题

8. 8. 安全运营经理报告了由自动化工作流在无分析师介入的情况下关闭的告警占比。这项指标能合理说明什么，又可能怎样误导人？

   • A.它说明运营对入侵的响应速度，而当分析师开始在每次调查上花更长时间时，它会虚高。
   • B.它说明自动化吸收了多少例行工作，而当工作流自动关闭从未验证过的告警类别时，它会虚高。✓ 答案
   • C.它说明当前在用的各条检测规则的准确度，而每当团队新增会产生更多告警的规则时，它就会虚低。
   • D.它说明队列中真阳性所占的比例，而当某个嘈杂的日志源被完全停止采集时，它会虚低。

   这是一项工作量指标：它说明队列中有多大比例根本不需要人介入，这正是自动化的价值所在，也把分析师的时间释放出来用于调查。但它完全不能说明这些关闭是否正确——当工作流在悄悄处理掉真实检测时，它上升得和清掉真正噪声时一样快，所以必须与真阳性率以及对自动关闭结果的抽样复核一起解读。

   编号 QB-VGH8F5依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (alert volume, true-positive rate) read together rather than alone报告此题的问题

9. 9. 夜班分析师要把一起仍在进行的入侵交接给白班。哪种交接做法最好？

   • A.把摘要用邮件发给将要向白班交代的经理，让案件记录里不留任何可能日后被证明有误的临时笔记。
   • B.在工位上口头讲一遍夜里发生的情况和已经做过的处置，让接班分析师可以当场提问并立刻接手后续工作。
   • C.给接班分析师发一条消息，列出涉及的所有告警编号，事件经过留给对方重新查看控制台自行还原。
   • D.在案件记录中写下交接：当前严重性、已采取行动及其结果、未完成事项及其负责人、下一步计划与待批事项。✓ 答案

   交接的意义在于让 24x7 运营在换班处不丢失上下文：接班分析师必须知道当前状态、已经尝试过什么及其结果、还有哪些事项未完成及其负责人、以及哪些审批正在进行中，否则就会重复劳动或漏掉某个遏制步骤。写进案件记录才可审计、且不依赖某个人，仅靠口头或只给告警编号做不到这一点；而临时笔记本身是时间线的一部分，不该被隐去。

   编号 QB-DZPD26依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — shift/incident handover报告此题的问题

10. 10. 事后复盘会议正在排期。上一次复盘产出的文档无人落实，而且因为当时有一名分析师事后受到处分，员工不愿坦诚发言。哪种做法最有可能带来改变？

    • A.把参会范围限制在资深响应人员和经理，使讨论坦诚，结论不被资历较浅者的猜测带偏。
    • B.让每位参与者书面写下自己在此次响应中犯下的错误，使问责明确，从而避免任何人再重复同样的失误。
    • C.审视响应流程而不是个人表现，并在结束时形成按优先级排序、各有负责人和完成日期的行动项。✓ 答案
    • D.把会议限定为对事件时间线的事实性还原，并把结论交给管理层去决定接下来应当改变什么。

    经验教训复盘要真正带来改变，前提是人们愿意说出实际出了什么问题，而且产出是有人必须承担的工作。聚焦流程能保住坦诚，因为预期会被追责的响应人员会有选择地描述事件；而给每一项配上负责人和日期，才把一条观察变成可以跟踪到完成的事项。把资历较浅的响应人员排除在外，等于排除了最先看到告警的人；把一份没有指向的时间线交给管理层，正是上一份文档最终无人落实的原因。

    编号 QB-AA7HWN依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (lessons learned)报告此题的问题

11. 11. 复盘查明三件事：受影响服务器上根本没有部署应用程序白名单；邮件网关扫描了该附件并放行；终端代理发出了正确的告警，却在饱和的队列里将近一天无人处置。按顺序应如何归类？

    • A.一项缺失的控制、一项被管理员配置错误的控制，以及一项因代理根本没有产生告警而失效的控制。
    • B.一处被业务接受的控制缺口、一项完全按设计正常工作的控制，以及一项在入侵过程中被攻击者关停的控制。
    • C.一项缺失的控制、一项运行了却没能拦住的控制，以及一项起了作用但其输出从未被处置的控制。✓ 答案
    • D.同一个根本原因的三种表现，全部可以通过把终端代理换成检测即自动阻断的产品来解决。

    这三种失效需要不同的纠正措施，这正是分类的意义：从未部署的控制需要的是落地实施；运行了却漏掉的控制需要的是调优或换一种检测方法；而发出了正确告警却无人查看的控制，需要修的是处置能力和告警质量。再买一个产品并不会改变那个把告警吞掉的队列；而代理确实产生了告警，把它算作检测失败会把整改方向带偏。

    编号 QB-SSZBBN依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (root cause analysis, lessons learned)报告此题的问题

12. 12. 复盘记录里写着“沟通不畅”和“我们应当加强监控”。经理要求把每条经验教训转化为可跟踪的事项。哪一项的写法是合格的？

    • A.安全运营中心将在额外采集所需预算获批之后，加强对受影响服务器网段的监控力度。
    • B.由检测工程师为本次所用技战术新增并测试一条规则，指定复核人，并在下个迭代周期内完成。✓ 答案
    • C.团队将通过更频繁的同步会以及更早地在所有相关小组间共享信息，来改进事件期间的协同配合。
    • D.全体分析师将阅读事后报告，并向经理确认自己已理解此次响应过程中出了什么问题。

    一条经验教训只有在明确了唯一负责人、具体交付物、验证方式和日期之后，才会变成改进，因为只有这样日后才能证明它到底做了还是没做。“改进协同”和“加强监控”只表达了意愿，没有负责人、没有验证、也没有截止日期，而后者还被挂在一个可能永远不会到来的审批后面；让大家确认读过报告，则完全不改变任何一项控制。

    编号 QB-9AU6RM依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (lessons learned; recommendations with owners)报告此题的问题

13. 13. 一起由钓鱼邮件引发的入侵结束后，事后报告已获签署。复盘的哪一项产出最直接地降低同样的活动再次得手且不被发现的可能？

    • A.针对所观察到技战术的、已经测试过的检测规则，加上告知下一名分析师如何处置的手册更新。✓ 答案
    • B.在风险登记册中为该事件建立一条记录并给出残余风险评级，在下一次季度治理委员会会议上复审。
    • C.向全公司发出说明该钓鱼邮件特征的通知，提醒员工今后通过举报按钮上报可疑邮件。
    • D.采购一层额外的邮件过滤能力，使本次事件中到达的那一类附件在投递之前就被阻断。

    题目问的是“再次得手且不被发现”，而唯一能填补检测盲区的产出，是针对已观察到的行为编写并测试检测规则，再把下一名分析师应如何响应写进文档。风险登记册条目只是记录了暴露，并不改变任何检测能力；意识宣传能降低被点击的概率，却不能降低活动被漏检的概率；而新增过滤只处理了一类附件的投递，同一技战术依旧无人监控。

    编号 QB-RSNZ5M依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting outputs feeding detection and documentation updates报告此题的问题

14. 14. 事件结束后团队产出了三样东西：(1) 查明某台面向互联网的服务未打补丁，从而使攻击者得以初始访问；(2) 因值班上报路径失灵而决定调整升级阈值；(3) 一份记录时间线、范围、已采取行动和建议的文档。哪种对应关系是正确的？

    • A.(1) 是修复处置，(2) 是事后报告，(3) 是根本原因分析。
    • B.(1) 是根本原因分析，(2) 是一条经验教训，(3) 是事后报告。✓ 答案
    • C.(1) 是一条经验教训，(2) 是根本原因分析，(3) 是事后报告。
    • D.(1) 是事后报告，(2) 是修复处置，(3) 是一条经验教训。

    根本原因分析回答的是“这起事件为什么有可能发生”，而暴露在互联网上的服务未打补丁，正是这种底层失效。经验教训针对的是团队的响应方式，因此在值班上报路径失灵后调整升级阈值属于这一类。事后报告则是承载上述两者、并连同时间线、范围和已采取行动一起记录下来的正式文档；重装或打补丁属于修复处置，根本不是报告。

    编号 QB-CAW69R依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — post-incident reporting (after action report, lessons learned, root cause analysis)报告此题的问题

15. 15. 经理想要一个指标回答“入侵者在我们知晓之前活动了多久”，另一个指标回答“知晓之后过了多久我们才采取行动去阻止”。按此顺序应选哪一对？

    • A.平均修复时间，然后是平均响应时间。
    • B.平均检测时间，然后是平均响应时间。✓ 答案
    • C.平均检测时间，然后是平均结案时间。
    • D.平均响应时间，然后是平均检测时间。

    平均检测时间（mean time to detect）衡量的是从事态发生到运营团队知晓之间的延迟，这个数字界定了对手在无人察觉的情况下活动了多久。平均响应时间（mean time to respond）衡量的是从知晓那一刻到对威胁采取有效行动之间的时间。平均结案时间涵盖整个案件生命周期直到文档完成与正式关闭，因此回答这两个问题都用不上它。

    编号 QB-USQZNQ依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to detect, mean time to respond)报告此题的问题

16. 16. 一台主机当天就被重装并恢复服务；受影响的服务在本周晚些时候在全网完成补丁；案件连同文档在下一周正式关闭。后两个里程碑分别计入哪个指标？

    • A.平均结案时间，然后是平均修复时间。
    • B.平均修复时间，然后是平均响应时间。
    • C.平均响应时间，然后是平均修复时间。
    • D.平均修复时间，然后是平均结案时间。✓ 答案

    修复指的是根本原因被消除的那一刻，因此在全网为该脆弱服务打上补丁，才是平均修复时间停表的地方；重装一台主机只是恢复了服务，原因依然存在。文档完成后的正式关闭是案件生命周期的终点，计入平均结案时间；由于它还包含技术修复之后的报告工作，这一指标通常是四个区间里最长的。

    编号 QB-BAJU3Q依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to remediate, mean time to close)报告此题的问题

17. 17. 首席信息安全官需要向董事会申请预算，为运营目前看不到的网段部署遥测采集。哪种呈现方式最有可能支持这项决定？

    • A.上一季度处理的告警总数、队列量的同比增长，以及为跟上这一增长所需的人员编制。
    • B.关键资产中日志已进入平台的比例、检测时长的趋势，以及未受监控网段本可以呈现出什么。✓ 答案
    • C.运营当前能够检测的技战术清单，映射到公开的对手框架，并标出每个战术的覆盖缺口。
    • D.去年宣布成立的事件数量及其严重性评级，以及同一期间已修复的漏洞数量。

    预算决定取决于盲区的代价，因此论证必须把“关键资产中实际被监控的比例”与盲区带来的后果、以及这笔投入意在改善的趋势连起来。技战术覆盖对照表是很好的内部工程产物，但它要求董事会去判断他们无法评估的战术；而告警总数、人员编制算术和已宣布事件数量，只描述了活动量，并没有说明还有什么是看不见的。

    编号 QB-TSCPGP依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs reported to stakeholders; executive summary framing for decision-makers报告此题的问题

18. 18. 平均响应时间在最近三个报告周期里持续改善，但后来发现有两起入侵曾被提前当作误报关闭。最可能的解释是什么，用什么能查出来？

    • A.自动化如今比分析师更快完成遏制，从而缩短了计时；把它与平均结案时间并列即可确认工作流确实有效。
    • B.分析师人数的增长快于告警量，从而缩短了计时；把它与人均处理告警量并列即可确认这一改善是真实的。
    • C.检测规则变得更加精准，从而缩短了计时；把它与误报率并列即可确认改善来自规则调优工作。
    • D.含义不明的告警被未经验证就关闭，从而缩短了计时；把它与真阳性率以及对已关闭告警的质量抽查并列即可暴露。✓ 答案

    任何基于时间的指标，都可以通过降低“算作结案”的标准而被改善，所以一个把难判告警按误报处理掉的运营团队，会报出更快的响应时间，实际上却漏掉了入侵。这正是计时类指标绝不能单独上报的原因：把它与检测准确度、以及对已关闭告警判定过程的抽样复核并列，才能区分真正的提速与质量崩塌。其余几种解读都是真实改善的可能原因，但都无法解释为什么入侵被当作误报关闭。

    编号 QB-6AS68H依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — metrics and KPIs (mean time to respond, true-positive rate) interpreted together报告此题的问题

19. 19. 法务顾问告知本次事件将触发对公司外部的通报义务。技术响应本身没有任何改变。这对团队的文档工作意味着什么改变？

    • A.临时工作笔记一旦被后续结论取代就应从案件中删除，使最终记录里不含任何事后被证明有误的表述。
    • B.分析师应趁细节还新鲜自行起草对外通报文本，待技术遏制工作核实完成之后再发出。
    • C.案件记录应只限事件负责人访问，其他响应人员先把观察记在个人笔记里，等事件结束再说。
    • D.事实、时间、执行人和决定必须在发生时即时记录，并在法务复核下留存，使对外通报有记录可依。✓ 答案

    一旦适用对外通报义务，案件记录就不再只是内部工作产物，而成为组织日后必须为之负责的陈述的证据基础，因此在事发当时如实记录事实、时间戳、执行人和决定，并在法务复核下留存，才是让通报站得住脚的前提。删除被取代的笔记，恰好摧毁了记录赖以存在的审计链条；分析师并不负责撰写或发布对外通报；而把观察散落在个人笔记里，等于让它们完全脱离留存范围。

    编号 QB-NSKZMG依据： CompTIA CySA+ CS0-004 Exam Objectives, Objective 4.2 — communication plan (legal team, regulatory reporting agencies) and incident documentation报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →