資訊系統與作業安全

下列關於 MITRE ATT&CK 的敘述何者錯誤？

• 分為戰術（Tactics）、技術（Techniques）與子技術（Sub-Techniques）

• 僅適用於紅隊（Red Team）演練

• 可協助建立威脅模型

• 基於真實世界攻擊行為建構

APT 攻擊的特徵不包含以下哪一項？

• 短期性突襲

• 高度組織化

• 使用零日漏洞

• 有政府資助

下列關於 Windows 進程（Process）的描述，何者正確？

• 所有進程都必須由使用者手動啟動

• 進程之間可共用記憶體空間

• 每個進程擁有獨立的記憶體空間

• 一個進程只能包含一個執行緒

下列關於 Windows 服務（Service）的敘述何者正確？

• 必須由使用者登入後才能執行

• 與應用程式無關，不會佔用系統資源

• 一定會顯示在桌面工作列上

• 通常擁有較高權限，能在背景持續運作

哪個命令可查詢目前所有「正在執行」的 Windows 服務？

• Get-Process

• Get-WmiObject -Class Win32_Service

• Get-Service | Where-Object { $_.Status -eq 'Running' }

• net user

下列哪個是 PowerShell 管線 (pipeline) 符號的正確用法？

• cmd >> list.txt

• Get-Process // Select-Object

• Get-Process & Format-List

• Get-Process | Select-Object

在 PowerShell 中查詢登入成功事件（Event ID 4624），應使用下列哪一組指令？

• Get-EventLog -LogName System | Where-Object { $_.Id -eq 4624 }

• Get-WinEvent -LogName 'Security' | Where-Object { $_.Id -eq 4624 }

• Get-Service | Where-Object { $_.Id -eq 4624 }

• Get-Process | Where-Object { $_.Id -eq 4624 }

下列哪一項不是 Sysmon 的功能？

• 記錄命令列參數

• 記錄父子程序關係

• 記錄網路連線活動

• 擔任防毒軟體防護功能

在暴力破解攻擊中，以下哪一項事件 ID 用來記錄登入失敗？

• 4624

• 4625

• 4634

• 4688

下列哪個指令可用來觀察是否在非上班時間有可疑登入行為？

• Get-Process

• Get-SysmonEvent 4625

• Get-WinEvent -FilterHashtable {... ID = 4624}

• Get-Service | Where-Object { $_.Status -eq "Running" }