2023 年 11 月更新的 SPLK-2003 考试试卷 - 通过认证考试 [Q15-Q34]

11 月 22, 2023 管理 0 条评论

4.7/5 - (3 选票)

最新 11-2023 SPLK-2003 考试试卷 - 通过认证考试

最新真实 Splunk SPLK-2003 考试试卷问题

成功完成 SPLK-2003 考试可获得 Splunk Phantom Certified Admin 认证，该认证可验证在生产环境中有效管理 Splunk Phantom 所需的知识和技能。Splunk Phantom Certified Admin 认证得到了全球雇主和组织的认可，表明个人致力于掌握最新的安全自动化和协调技术。

第 15 号 必须创建具有哪些角色的 Splunk 用户帐户才能与外部 Splunk Enterprise 实例一起配置 Phantom？

超级用户、管理员

Phantomcreate.

幻影搜索、幻影删除

管理员,用户

NO.16 以下哪项可以在 ROl 设置中进行配置？

分析员每月小时数。

失去的时间

全职雇员（FTE）人数。

分析员年薪。

说明
正确答案是 C，因为全职员工（FTE）人数是投资回报率（ROI）设置页面中可以配置的设置之一。该设置用于根据组织中的分析师人数计算投资回报率指标。答案 A 不正确，因为分析员每月工时不是可配置的设置，而是根据全职员工和每月平均工时计算出来的指标。答案 B 不正确，因为损失的时间不是可配置的设置，而是根据事件数量和每个事件的平均损失时间计算得出的指标。答案 D 不正确，因为分析员年薪不是可配置设置，而是基于全职员工和每个分析员平均工资的计算指标。参考：Splunk SOAR 管理指南》，第 131 页。

第 17 号 以下哪项适用于过滤块？

可以选择哪些区块可以访问容器数据。

可按租户、审批人或应用程序选择资产。

可用于选择数据供其他区块使用。

可按 70 或状态选择集装箱。

第 18 号 以下哪项是使用全局程序块的最佳做法？

在每次运行游戏本之初执行代码。

声明可在游戏程序块中选择的输出。

导入将在游戏本中使用的软件包。

在每次运行游戏本后执行自定义代码。

第 19 号 要允许来自 Phantom 的连接，必须在 Splunk 上配置以下哪些默认端口？

SplunkWeb (8088)、SplunkD (8089)、HTTP 收集器 (8000)

SplunkWeb (8089)、SplunkD (8088)、HTTP 收集器 (8000)

SplunkWeb (8421)、SplunkD (8061)、HTTP 收集器 (8798)

SplunkWeb (8000)、SplunkD (8089)、HTTP 收集器 (8088)

NO.20 哪个 Phantom VPE Nock S 用于向自定义列表添加信息？

行动区块

过滤块

应用程序接口块

决定块

第 21 号 资产能为应用程序功能提供什么？

资产提供运行操作所需的位置、凭证和其他参数。

资产提供运行操作所需的主机名、密码和其他工件。

资产提供运行操作所需的 Python 代码、REST API 和其他功能。

资产提供运行操作所需的防火墙、网络和数据源。

说明
正确答案是 A，因为资产提供了运行操作所需的位置、凭证和其他参数。资产是定义 Phantom 如何连接到防火墙、端点或威胁情报源等外部系统或设备的配置。资产指定应用程序、IP 地址或主机名、用户名和密码，以及在目标系统或设备上运行操作所需的任何其他设置。答案 B 不正确，因为资产不提供主机名、密码和运行操作所需的其他工件，而这些工件是可以由 playbook 创建或检索的数据对象。答案 C 不正确，因为资产不提供运行操作所需的 Python 代码、REST API 和其他功能，这些功能由应用程序提供。答案 D 不正确，因为资产不提供运行操作所需的防火墙、网络和数据源，这些是资产可以连接的外部系统或设备。
参考：参考：Splunk SOAR 管理指南，第 45 页。

第 22 号 以下哪项是使用全局程序块的最佳做法？

在每次运行游戏本之初执行代码。

声明可在游戏程序块中选择的输出。

导入将在游戏本中使用的软件包。

在每次运行游戏本后执行自定义代码。

说明
正确答案是 C，因为全局块可用于导入将在游戏本中使用的软件包。这对于导入外部库或自定义模块非常有用，它们能为游戏本提供额外的功能或逻辑。答案 A 不正确，因为全局块不能用于在每次运行游戏本之初执行代码，因为全局块只在加载游戏本时执行一次。答案 B 不正确，因为全局块不能用于声明可在游戏本块中选择的输出，因为输出是在产生输出的各个块中声明的。答案 D 不正确，因为全局块不能用于在每次运行游戏本后执行自定义代码，因为全局块只在游戏本加载时执行一次。参考：Splunk SOAR Playbook 开发指南》，第 34 页。

第 23 号 哪个 Phantom VPE Nock S 用于向自定义列表添加信息？

行动区块

过滤块

应用程序接口块

决定块

说明
过滤块用于向 Phantom VPE 中的自定义列表添加信息。过滤块允许用户指定列表名称和过滤表达式，以选择要添加到列表中的数据。操作块用于执行应用程序操作，API 块用于进行 REST API 调用，而决策块用于评估条件和分支游戏本的执行。参考第 14 页。

第 24 号 一个过滤块只配置了一个条件，即：artifact.*.cef .sourceAddress !- , 将允许以下哪个数据转发到下一个块？

空 IP 地址

非空 IP 地址

非空的目的地地址

空值

说明
如果过滤块只配置了一个条件，即：artifact.*.cef .sourceAddress !- ，则只允许非空 IP 地址转发到下一个过滤块。!- 操作符表示 "非空"。其他选项无效，因为它们要么包含空值，要么包含 sourceAddress 以外的其他字段。更多详情，请参阅过滤块。

NO.25 以下哪项描述了标签 m Phantom 的使用？

标签决定容器的服务级别协议（SLA）。

标签控制容器的默认七度、所有权和敏感性。

标签控制哪些应用程序可以在容器上执行操作。

标签决定创建容器时执行哪个（些）游戏本。

说明
正确答案是 D，因为标签决定了创建容器时执行哪个播放簿。
标签是可应用于容器的标记，用于对容器进行分类并触发自动播放。标签可以手动添加，也可以根据规则或摄取设置自动添加。答案 A 不正确，因为标签不能确定容器的服务级别协议 (SLA)，而 SLA 是衡量解决一个案例所需时间的指标。答案 B 不正确，因为标签不能控制容器的默认严重性、所有权和敏感性，这些属性可以独立于标签进行设置。答案 C 不正确，因为标签不能控制允许哪些应用程序在容器上执行操作，这些操作由资产配置和播放列表逻辑决定。参考：Splunk SOAR 用户指南》，第 23 页。

NO.26 在处理复杂数据通路时，哪个运算符用于访问另一个元素内部的子元素？

(管道)

*（星号）

（冒号）

(点)

NO.27 如果不在 Phantom 中自定义容器状态，容器有哪三种状态？

新建, 进行中, 关闭

低、中、高

擢升, 打开, 已解决

低、中、危

说明
正确答案是 C，因为如果不在 Phantom 中自定义容器状态，容器的三种状态类型是新建、打开和已解决。容器是一个数据对象，代表需要调查或补救的事件或事故。容器有一个状态属性，表示其当前状态。状态属性的默认值是新建、打开和已解决。新建表示容器已创建但尚未处理。打开 "表示容器正在被播放本或用户处理。已解决表示容器已处理并关闭。您可以在 Phantom UI 中通过管理 > 产品设置 > 容器状态自定义容器状态值。有关详细信息，请参阅 Splunk SOAR 文档。

NO.28 用户希望将其 Splunk 云实例用作 Phantom 的外部 Splunk 实例。需要在 Splunk 云实例上打开哪些端口才能实现这一目的？假设使用默认端口。

TCP 8088 和 TCP 8099。

TCP 80 和 TCP 443。

不支持 Splunk 云。

TCP 8080 和 TCP 8191。

说明
要将 Splunk Cloud 实例用作 Phantom 的外部 Splunk 实例的用户需要在 Splunk Cloud 实例上打开 TCP 8088 和 TCP 8099 端口。TCP 8088 用于 HTTP 事件收集器 (HEC) 服务，该服务允许 Phantom 向 Splunk Cloud 发送数据。TCP 8099 用于 Splunk REST API 服务，允许 Phantom 从 Splunk Cloud 查询数据。其他端口组合在此方案中无效。作为 Phantom 的外部 Splunk 实例，支持 Splunk Cloud。参考第 6 页。

NO.29 在此图片中，哪些容器字段会搜索到文本 "恶意软件"？

活动名称和人工制品名称。

活动名称、说明和评论。

活动名称或 ID。

说明
正确答案是 A，因为图片显示的是 Splunk SOAR 产品的搜索界面，用户可在此根据各种条件搜索事件和工件。图片显示，用户在搜索栏中输入了文本 "恶意软件"，这意味着搜索将查找名称中包含 "恶意软件 "一词的事件和工件。答案 B 不正确，因为搜索界面不会搜索备注或注释，它们是 Splunk SOAR 产品中的独立实体。答案 C 不正确，因为搜索界面不会搜索事件 ID（每个事件的唯一标识符）。参考：Splunk SOAR 用户指南》，第 21 页。

NO.30 假设从 /opt/phantom/bin 执行命令，且未进行其他备份，则完成 Splunk Phantom 部署的完整备份需要以下哪些步骤？

在命令行中输入：rode sudo python ibackup.pyc -setup，然后输入 audo phenv python ibackup.pyc
-备份。

在命令行输入：sudo phenv python ibackup.pyc -backup -backup-type full，然后输入 sudo phenv python ibackup.pyc -setup。

在用户界面内：从主菜单中选择管理工具 > 系统健康状况 > 备份。

在用户界面内：从主菜单中选择管理 > 产品设置 > 备份。

第 31 号 以下哪些是使用 Phantom REST APP 常做的事情示例

使用 Django 查询；使用 curl 创建容器并添加工件；删除临时列表。

使用 Django 查询；使用 Docker 创建容器并向其中添加工件；删除临时列表。

使用 Django 查询；使用 curl 创建容器并添加工件；添加操作块。

使用 SQL 查询；使用 curl 创建容器并向其中添加人工制品；删除临时列表。

第 32 号 在处理复杂数据路径时，哪个运算符用于访问另一个元素内部的子元素？

(管道)

*（星号）

（冒号）

(点)

说明
正确答案是 D，因为在处理复杂数据路径时，点（.）操作符用于访问另一个元素内部的子元素。例如，如果数据路径是 container['工件'][0]['cef']['sourceAddress']，则点操作符用于访问 cef 元素内部的 sourceAddress 子元素。答案 A 不正确，因为在处理复杂数据通路时，管道（！）操作符用于连锁多个过滤器或函数。例如，如果数据路径是 container['工件'][0]['cef']['sourceAddress']!startswith('10.')，则管道运算符用于将 startswith 函数应用到 sourceAddress 元素。答案 B 不正确，因为在处理复杂数据路径时，星号 (*) 操作符用于遍历数组的所有元素。例如，如果数据路径是 container['工件'][*]['cef']['sourceAddress']，星号操作符用于访问容器中所有工件的 sourceAddress 元素。答案 C 不正确，因为在处理复杂数据路径时，冒号（:）操作符用于指定数组中元素的范围。例如，如果数据路径是 container['工件'][0:5]['cef']['sourceAddress']，则冒号操作符用于访问容器中前五个工件的 sourceAddress 元素。参考资料：Splunk SOAR Playbook 开发指南》，第 28 页。

NO.33 以下哪项是将事件从 Splunk 转发到 Phantom 的配置步骤？

将 CIM 映射到 CEF 字段。

创建使用 event_forward.py 脚本向 Phantom 发送事件的 Splunk 警报。

将 CEF 映射到 CIM 字段。

创建保存的搜索，为 Phantom 上的新容器生成 JSON。

NO.34 必须创建具有哪些角色的 Splunk 用户帐户才能与外部 Splunk Enterprise 实例一起配置 Phantom？

超级用户、管理员

Phantomcreate.

幻影搜索、幻影删除

管理员,用户

说明
正确答案是 B，因为必须创建具有 phantomcreate 和 phantomedit 角色的 Splunk 用户账户，才能使用外部 Splunk Enterprise 实例配置 Phantom。这些角色授予创建和编辑 Phantom 容器以及来自 Splunk 事件的工件的必要权限。此集成不需要超级用户和管理员角色。有关详细信息，请参阅 Splunk SOAR 文档。

加载中 …