19 道调查工具与威胁狩猎练习题及答案
CompTIA CySA+ 考试练习的全部调查工具与威胁狩猎练习题，附正确答案和简短解析。
开始练习测验 →1. 某安全运营中心保留 7 天的全包捕获和 12 个月的流记录。现在要调查 30 天前的流量：当时一台内部工作站与一个后来被判定为命令控制主机的外部地址交换过数据。分析师从尚存的数据中还能确定什么？
- A.会话确实发生过，并可从流记录中判断传输了哪些文件，因为流记录会汇总所观察到的载荷。
- B.会话确实发生过，可得到时间、时长、端口、方向与字节数，但得不到其所承载的内容。✓ 答案
- C.什么都得不到，因为一旦对应的全包捕获超出保留期，流记录也会随之被清除。
- D.可得到完整的请求与响应正文，因为流记录专门为此保存每个会话开头的若干字节。
流记录保存的是元数据——地址、端口、时间戳、时长和字节数——按设计不保留载荷。因此一旦全包捕获的保留期过去，分析师仍能证明该通信发生过以及发生在何时，却永远无法还原传输的内容。正因为这种不对称，全包捕获成本高、只留数天，而流记录便宜、可留数月。
编号 QB-PJBH5D依据： CompTIA CySA+ CS0-004 Obj. 1.3 (packet capture vs. flow/session analysis); RFC 7011 (IPFIX) — flow records describe traffic metadata, not payload报告此题的问题
2. 一名员工转发了一个被邮件网关放行的文档附件。静态检查显示其中有一个宏会在运行时拼出一段很长的 Base64 字符串，文档内没有可读的 URL 或域名，文件摘要也不被任何信誉源收录。下一步应该做什么，为什么？
- A.在隔离的带监测环境中引爆该文档，因为它在运行时才构造出的行为只有真正执行时才能观察到。✓ 答案
- B.把文档上传到公开的多引擎扫描平台，因为摘要查不到只说明该文件还没被这些引擎收录。
- C.判为无害并结案，因为邮件网关已经放行，且没有任何信誉源把该摘要标记为恶意。
- D.把该文件摘要下发到全部终端做拦截指标，这样无需任何进一步分析就能处置该样本。
静态检查看不到样本只在执行时才拼装出来的行为。因此，宏在运行时才构造载荷的文档，必须在隔离且带监测的环境中真正执行，才能暴露它启动的进程、写入的文件和访问的网络目标。摘要查不到只说明此前没人提交过该文件，网关放行同样不构成结论。
编号 QB-83VZVE依据： CompTIA CySA+ CS0-004 Obj. 1.3 (static analysis vs. dynamic/sandbox detonation)报告此题的问题
3. 只有防火墙、代理和认证日志被转发到 SIEM。分析师需要确定某台工作站上的电子表格程序是否启动过脚本解释器，以及该解释器又启动了什么。哪个数据源能回答这个问题？
- A.在 SIEM 中用代理与认证事件做关联的规则，靠事件时间先后还原缺失的父子进程链。
- B.针对该工作站地址所做的边界抓包，其中会在会话里显示出解释器自身的映像名称。
- C.该主机上终端代理自身的进程遥测，它会把每个进程连同其父进程与命令行一并记录。✓ 答案
- D.该工作站的代理日志条目，其中会在 URL 旁标明发起每个外连请求的进程名。
进程父子关系和命令行只存在于主机层遥测中：终端代理会把每次进程创建连同父进程和参数一起记录，这正是本题要回答的内容。网络、代理和认证记录描述的是连接和登录，从不携带主机上是哪个进程发起的信息，因此基于这些数据源的任何关联规则都无法还原父子进程链。
编号 QB-QJPUAE依据： CompTIA CySA+ CS0-004 Obj. 1.3 (endpoint detection and response telemetry vs. network and log sources)报告此题的问题
4. 一名分析师在 SIEM 中写了一条关联规则：同一账户在一小时内从两个不同国家成功认证即告警。该规则现在每天触发数百次，几乎全都命中那些会话经由境外云接入网关出口、且手机使用境外运营商地址的员工。这说明了关联规则的什么特点？
- A.这类规则根本无法编写，因为账户所在国家是推导出来的数据，任何关联引擎都不允许以推导字段为条件。
- B.这条规则逻辑本身没有问题，只要把时间窗放长即可，因为拉长间隔就能消除造成噪声的巧合。
- C.规则能表达时间窗内的共同出现，却不能表达是否合法，需要本地上下文（如已知出口地址段）才有意义。✓ 答案
- D.这里用关联这种构造本身就不对，因为先后顺序和时间只属于在原始网络流量上做的特征匹配。
关联规则能表达事件之间的关系——时间窗内的共同出现、先后顺序和次数阈值——但它并不知道这种关系是否合法，因此告警质量来自用本环境知识去富化规则，例如本机构自有网关的出口地址段和常见运营商地址范围。把时间窗放长只会让同一条规则匹配到更多组合，而不是更少。
编号 QB-938C3G依据： CompTIA CySA+ CS0-004 Obj. 1.3 (SIEM correlation and analysis; context enrichment for alert fidelity)报告此题的问题
5. 分析师把一个可疑可执行文件的 SHA-256 摘要提交给文件信誉服务，得到的回答是「未收录」。该程序是一小时前由一个被终端代理标记为异常的进程写入磁盘的。应该如何解读这个「未收录」结果？
- A.该文件已被一个极大的样本库判定为干净，因此可以把主机交还用户并关闭这张工单。
- B.此前没有人提交过与该摘要相同的样本，这对刚编译出来的程序很正常，本地分析必须继续。✓ 答案
- C.该服务索引的是另一种摘要算法，改算这个文件的 MD5 值就能取回真正存在的结论。
- D.该文件被加壳了，而加壳会改变摘要，所以必须先脱壳，信誉服务才可能给出结论。
信誉查询只回答一个问题：以前是否有人见过完全相同的字节序列。因此「未收录」并不等于干净——攻击者经常按目标重新编译或填充载荷，使其摘要独一无二——正确做法是结合写入该文件的进程链，继续做本地静态与动态分析。
编号 QB-RJ27GF依据： CompTIA CySA+ CS0-004 Obj. 1.3 (hashing utilities and file reputation analysis; limits of digest-based verdicts)报告此题的问题
6. 一封窃取凭据的钓鱼邮件进入了三个邮箱，分析师希望确定真正投递它的基础设施，以便排查是否还有其他收件人。该邮件的 From 显示名与一位高管相同，Reply-To 指向一个免费邮箱服务商，另有一个 X-Originating-IP 头，Received 链共五跳。哪一项是最可靠的追查线索？
- A.X-Originating-IP 头，因为发送客户端在邮件离开网络前会在其中写入真实地址。
- B.Reply-To 地址，因为回复必须到达操作者手中，所以它指向投递这封邮件的那套基础设施。
- C.From 显示名，因为在认证检查通过之后，网关会把该字段改写为已验证的发送域名。
- D.Received 链中由本机构自有入站网关写入的那一跳，因为它上游的各跳都由发送方提供。✓ 答案
每个接收方邮件传输代理都会在邮件头部前置自己的 Received 追踪字段，因此这条链只有从你自己控制的第一跳往下才可信；它上面的各跳，以及 From、Reply-To 和任何 X- 开头的头字段，都是发送方自行填写、可以伪造的文本。所以本机构网关写入的那一跳给出的才是真正投递该邮件的地址，也是可以在邮件库中横向排查的字段。
编号 QB-A3KP8H依据： RFC 5321 §4.4 (trace information: Received fields prepended by each receiving MTA); CompTIA CySA+ CS0-004 Obj. 1.3 (email header analysis)报告此题的问题
7. 在核心交换机的镜像口上抓取了一个 4 GB 的捕获文件。团队需要确定某个内部应用是否仍以明文把账户凭据发送给运行在 TCP 23 上的老旧服务。哪种做法能回答这个问题？
- A.计算该捕获文件的摘要并提交给信誉服务，看这些流量是否早已被认定为恶意。
- B.把该捕获重放给基于特征的传感器，并把没有命中任何规则当作传输已加密的证明。
- C.调取同一时段路由器的流记录，把每个会话的字节数与预期大小逐条比对核实。
- D.在协议分析器中打开该捕获，过滤 TCP 23 并跟踪该流以读取往来字节。✓ 答案
只有全包捕获保存了载荷，而协议分析器可以按端口过滤并重组应用层流，使凭据交换能按其在链路上传输的原样被读出。流记录的字节数和特征命中只说明会话存在或匹配了某条规则，都无法显示传输了哪些字符，因此都不能证实或排除明文认证。
编号 QB-SJDHNG依据： CompTIA CySA+ CS0-004 Obj. 1.3 (packet capture and protocol analysis: stream reassembly)报告此题的问题
8. 一个样本在自动化分析环境中引爆后，两分钟就退出，既没有写文件也没有任何网络连接。同一程序的静态字符串中包含虚拟化驱动的名称、对本机是否存在办公文档的检查，以及一次长时间的睡眠调用。最合理的结论和下一步动作是什么？
- A.该样本很可能识破了分析环境；应延长运行时间并补齐真实主机痕迹，之后再下结论。✓ 答案
- B.静态字符串是误导，编译器本来就常嵌入驱动名称；应改为把该程序提交给更多分析服务。
- C.是分析环境出了问题；重建环境后照原样再跑两分钟，因为重建干净主机能让规避检查失效。
- D.该样本没有任何活动；记为无害并把其摘要加入环境白名单，以后不必再重复运行。
具备沙箱感知能力的恶意代码会检查虚拟化痕迹、明显空白的用户配置或过短的观察窗口，并靠睡眠熬过去，因此带监测的运行没有动作并不能证明样本无害；这里提取到的字符串正是这些检查。必须先延长观察时间，并让分析环境在外观和行为上像一台被日常使用的工作站，然后才能下结论。
编号 QB-334C29依据： CompTIA CySA+ CS0-004 Obj. 1.3 (dynamic analysis and sandbox-evasion behaviour)报告此题的问题
9. 终端代理在一台工作站上记录到这条命令行：powershell.exe -nop -w hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA... ，其父进程是一个邮件客户端。哪一步能最快确定这次执行的意图？
- A.离线解码该 Base64 参数并阅读还原出的脚本，其中会写明它调用的对象和要连接的地址。✓ 答案
- B.直接拿这段编码字符串到指标情报源中检索，因为编码后的参数才是防守方互相交换的持久痕迹。
- C.在一台备用工作站上原样执行整条命令并观察控制台输出，因为脚本会打印它正在下载的内容。
- D.把 powershell.exe 本身提交给信誉服务，因为对解释器的结论能确定这次执行是否属于恶意。
编码后的命令参数只是混淆，不是加密：把 Base64 离线解码成文本即可还原脚本，立刻看到它要访问的目标和要执行的动作，而且不必执行任何代码。这段编码内容每次生成都会变化，因此不是好指标；而解释器本身是合法签名的系统程序，所以这种「就地取材」的手法必须依据父进程和命令行来判断，而不是文件信誉。
编号 QB-JJW6F8依据： CompTIA CySA+ CS0-004 Obj. 1.3 (decoding obfuscated payloads; abuse of living-off-the-land binaries)报告此题的问题
10. 狩猎团队需要得到被监控网段上过去一个月每一条连接的记录，内容包括协议、时长、字节数以及每次 TLS 握手中请求的服务器名称。保存一个月的载荷在成本上不可行。哪种监控方案能满足这一需求？
- A.同一镜像口上的特征型传感器，其告警记录已经描述了本月该网段承载过的每一条连接。
- B.路由器的流记录，它会在地址、端口和每个会话字节数之外，列出每次握手中的服务器名称。
- C.被动传感器解析流量并为每条连接写出协议元数据日志（含握手字段），但不保留载荷。✓ 答案
- D.以降低精度的方式保留一个月全包捕获，即把每个数据包截断到开头若干字节，丢弃其余部分。
网络安全监控传感器解析实时流量，为每条连接写出一条紧凑的协议日志，其中包含请求的服务器名称等应用层字段，这正是能在不保存载荷的前提下留下一个月可检索历史的原因。特征型传感器只记录命中规则的事件，而路由器流记录只有五元组、时间和计数，完全不含应用层内容。
编号 QB-VCD535依据： CompTIA CySA+ CS0-004 Obj. 1.3 (network security monitoring: protocol metadata logging vs. signature IDS vs. flow data)报告此题的问题
11. 分属不同部门的六台工作站各自向不同的外部地址发起了出站 TLS 会话。在每一次会话中，服务端出示的都是指纹相同的自签名证书，颁发者字符串为 localhost，有效期两年。这支持什么结论，分析师应如何继续追查？
- A.被访问的是六个互不相关的错配内部服务；把各自证书改好即可，无需再做调查。
- B.不解密就无法判断这些会话；应先在出口路径部署解密检查，再据此得出任何结论。
- C.这六台主机上在用同一套工具；应以该证书指纹为线索继续搜寻其他会话和更多地址。✓ 答案
- D.这里持久的痕迹是那些地址；在边界把六个地址全部封堵，证书细节属于无关噪声。
服务端证书指纹是攻击者自身工具留下的痕迹，因此同一份自签名证书出现在互不相关的主机和互不相关的地址上，就把这些会话归到了同一套工具上。相比运营者几分钟就能更换的单个地址，该指纹是强得多的追查线索，而且无需解密即可回溯搜寻历史数据。
编号 QB-DVJAN5依据： CompTIA CySA+ CS0-004 Obj. 1.3–1.4 (certificate and host artefacts as investigative pivots; Pyramid of Pain — tooling artefacts outrank addresses)报告此题的问题
12. 一份行业报告描述了某入侵集：先通过某厂商远程接入设备的漏洞取得初始访问，随后滥用受害方的身份提供方签发长期有效的令牌，再在一个云存储服务中暂存数据。报告列出了 60 个地址和 8 个哈希。阅读该报告的机构使用的是另一家厂商的接入设备，但用的是同一个身份提供方和同一个存储服务。这份报告在该机构为何具有可行动性？
- A.身份与存储环节对应本机构在用的技术，这些行为可转化为本地检测项与配置核查项。✓ 答案
- B.全都不适用，因为报告点名作为入口的那款远程接入设备在本环境中根本没有部署。
- C.全部同等适用，因为入侵集报告描述的是攻击者，而不是受害方使用的具体产品。
- D.那 60 个地址和 8 个哈希才是可行动的部分，收到报告后最重要的就是把它们全部封堵。
情报之所以可行动，是因为它能改变本环境中的某件事。因此报告中涉及本机构确实在用的技术的环节——在身份提供方滥用令牌签发、在云存储服务中暂存数据——可以转化为检测规则、狩猎任务和配置核查项。与本机构根本没有部署的设备相关的指标属于值得了解的背景，而不是值得投入的工作；批量封堵过期地址是只花力气、不增加覆盖的做法。
编号 QB-WCRF86依据： CompTIA CySA+ CS0-004 Obj. 1.4 (threat intelligence properties: relevance and applicability to the environment)报告此题的问题
13. 一份情报报告列出了 40 个地址、12 个域名、3 个文件哈希，以及一项被描述的行为：由已签名的脚本宿主创建一个名称伪装成厂商更新任务的计划任务。六周后，其中 38 个地址已不再响应，3 个哈希也全部改变。哪一项仍具有检测价值，为什么？
- A.报告列出的地址，因为跨战役复用基础设施使地址清单成为此类报告中最持久的内容。
- B.报告列出的文件哈希，因为编译好的载荷必须字节一致，其加载器才能在各受害主机上运行它。
- C.报告列出的域名，因为注册与证书的成本使域名成为短期内最难替换的那类痕迹。
- D.报告描述的那项行为，因为重建一套可用的持久化手法，其代价远高于更换基础设施。✓ 答案
地址、域名和文件哈希对攻击者来说更换成本极低，因此很快失效；而一套可用的持久化手法体现的是工程投入和操作习惯，所以针对该行为写出的检测在基础设施和二进制文件都更换之后仍会触发。这种从最易更换的指标到战术与技术的持久性排序，正是「痛苦金字塔」要表达的核心。
编号 QB-EVWMT6依据： CompTIA CySA+ CS0-004 Obj. 1.4 (indicator durability); Pyramid of Pain (D. Bianco) — TTPs are the costliest artefacts for an adversary to change报告此题的问题
14. 某情报源中有一条单一来源的条目，把一个地址标记为活跃的命令控制地址，置信度为低，首次发现日期是九个月前。该地址属于一家大型托管商的共享地址段，而本机构自有遥测在保留期内没有任何指向该地址的连接。一名分析师提议今天就把它加入边界拒绝清单。哪种处理是稳妥的？
- A.现在就封堵，因为拒绝清单条目成本低又可撤销，低置信度指标仍然胜过本地没有观测到的情况。
- B.把它作为低优先级狩猎线索和检测富化信息保留，因为低置信度下封堵共享地址会破坏正常服务。✓ 答案
- C.应当整条丢弃，因为单一来源且置信度低的条目在任何防御流程中都不具备存在价值。
- D.按确认事件升级，因为任何情报源给出的命令控制标签都意味着范围内至少已有一台主机被攻陷。
置信度与来源可靠性决定分析师如何处置一份情报，而不只是决定它是否入库：一条单一来源、低置信度、九个月前首见、且位于共享托管地址段的条目，足以支撑做富化和回溯狩猎；而在边界封堵还会切断共享该地址的所有正常服务。本地完全没有观测记录，说明目前还达不到宣布事件的门槛。
编号 QB-XC4TD7依据： CompTIA CySA+ CS0-004 Obj. 1.4 (intelligence confidence levels, source reliability and timeliness)报告此题的问题
15. 某团队希望把一次入侵中获得的认知分享给行业共享社区。草稿包中既有攻击者的域名和一段持久化手法描述，也有内部主机名、受影响员工的邮箱地址以及一条指向内部工单的链接。正确的处理方式是什么？
- A.原样分享整个包，因为接收方需要原始材料才能判断，而且可以信任他们自行丢弃内部内容。
- B.分享可归因于攻击者的痕迹和手法描述，去掉内部与个人标识，并写明再分发的限制。✓ 答案
- C.在入侵被公开披露之前什么都不分享，因为任何提前发布带来的责任风险都超过防御收益。
- D.只分享那些域名，因为手法描述属于自有检测逻辑，共享社区对它并没有正当用途。
只有当接收方拿到可归因于攻击者的内容——基础设施，尤其是其他人能用来检测的行为——分享才有用；也只有在删除受害者与内部细节、并附上处理和再分发要求之后，分享才是安全的。因此对内容做净化同时满足这两点；原样抛出会暴露本机构和该员工，而完全不分享则放弃了防御价值。
编号 QB-FV9YY7依据： CompTIA CySA+ CS0-004 Obj. 1.4 (information sharing and collaboration; handling and redistribution designations)报告此题的问题
16. 有人提出一项狩猎任务：「在 DNS 日志里找找有没有异常」。狩猎负责人要求把它重述成能够判断结果成立与否的形式。下列哪种重述才是可用的假设？
- A.环境中某处的 DNS 正在被滥用；证据是把该时段解析过的每一个域名逐条看完。
- B.有内部主机正在通过 DNS 外传数据；证据是持续出现指向同一注册域名的超长高熵标签。✓ 答案
- C.有些 DNS 应答是恶意的；证据是对每一个向内部客户端返回域名不存在结果的应答都告警。
- D.解析器产生的流量比上一季度更多；证据是全部客户端的查询总量出现明显上升。
狩猎假设必须写明一种具体的攻击者行为、能承载该行为的遥测数据，以及可以证实或否证它的可观测证据，这样搜索才能得出站得住脚的「有」或「没有」。「有没有异常」和「某处被滥用」无法被否证，只会变成随意浏览；而流量趋势和对域名不存在应答的告警衡量的是别的东西，不是所问的行为。
编号 QB-YCF5K8依据： CompTIA CySA+ CS0-004 Obj. 1.4 (hypothesis-driven threat hunting; testing and documenting conclusions)报告此题的问题
17. 一次针对基于注册表的持久化手法的狩猎，检索了 90 天的终端遥测数据，没有任何发现。终端代理安装在 82% 的工作站上，并且确实会记录对所涉注册表键的写入。这个否定结果能够正当支持什么结论？
- A.这次狩猎白费了工夫，因为只有以事件处置能用上的确认发现收尾，狩猎才产生价值。
- B.环境中不存在这种持久化手法，因此可把该假设标记为已否证并从狩猎待办中移除。
- C.在这 90 天内，被覆盖主机上不存在该行为，而未覆盖的 18% 以及更早的活动仍属未知。✓ 答案
- D.该代理对注册表的记录有问题，否则这么常见的手法不可能在 90 天数据里完全不出现。
否定的狩猎结果受可见性和保留期限制：它只能支持「在现有遥测数据中、在被覆盖的主机和所检索的时间段内，未出现该行为」这一结论，仅此而已。诚实的产出是一份写明范围及其盲区的记录——本例中是没有安装代理的那 18% 工作站，以及超出 90 天保留期的时间——而这本身就是关于覆盖度的有用发现。
编号 QB-GVMA69依据： CompTIA CySA+ CS0-004 Obj. 1.4 (documenting and testing hunt conclusions; visibility and coverage gaps)报告此题的问题
18. 一次狩猎发现三台主机上有脚本解释器从用户可写目录加载了库文件。相关文件已被删除，主机也已清理。要让这次狩猎留下持久价值，还必须做什么？
- A.把该行为写成自动化检测，针对正常活动做调优，并用重放的样例确认它确实会触发。✓ 答案
- B.把这条手工查询排成每月执行一次，因为曾经查出过东西的查询就是这里的持久控制。
- C.把这三个库文件的摘要加入拦截清单，这样环境中任何主机上同样的加载都不会再发生。
- D.把该发现记入狩猎报告和事件记录，因为把这个模式写下来才使它以后可以复用。
狩猎的回报来自：把发现的行为转化为经过针对正常活动调优、并验证确实会触发的自动化检测，因为这样就不必重复手工搜索，而且下一次发生时就能当场捕获。文件摘要一旦库被重新编译就会失效，而每月一次的手工查询会让环境在两次运行之间处于失明状态。
编号 QB-RCYSCY依据： CompTIA CySA+ CS0-004 Obj. 1.4 (threat hunting outcomes: new detections and reduced attack surface)报告此题的问题
19. 在一个繁忙的星期里，一位经理把两名狩猎人员调去处理告警队列，理由是这两份工作都是「看日志」。准确的区别是什么，这次调配的代价又是什么？
- A.分诊与狩猎其实是同一件事，只是量不同，因此代价仅仅是狩猎比原计划晚一些恢复。
- B.狩猎只是工具不同，因为狩猎者用的是同一个控制台和同样的保存查询，实质上没有任何损失。
- C.狩猎是分析师关不掉的告警的升级路径，因此代价是队列里最难的工单处理时间变长。
- D.分诊从既有规则的告警出发，狩猎从尚无规则覆盖之行为的假设出发，因此发现盲区的工作停摆。✓ 答案
告警分诊是被动的：工作来自已经存在的规则，每一条都有既定的处置路径。狩猎是主动且由假设驱动的，它刻意去搜索没有任何规则触发的遥测区域。因此暂停狩猎并不只是把某个队列往后拖——它中止的是唯一能发现检测盲区的活动，而只要狩猎人员还在处理队列，这些盲区就一直敞着。
编号 QB-9V5YXY依据： CompTIA CySA+ CS0-004 Obj. 1.4 (threat hunting as proactive, hypothesis-driven work distinct from alert-driven triage)报告此题的问题
本考试的其他主题
练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →