Bài8 Điều tra số

Tại sao Memory Forensics quan trọng trong điều tra số?

• Vì nó tăng dung lượng lưu trữ

• Vì nó phát hiện mã độc ẩn như rootkit và keylogger trong RAM

• Vì nó xóa dữ liệu không cần thiết

• Vì nó cài đặt hệ điều hành mới

Ý nghĩa của việc phân tích tiến trình trong RAM là gì?

• Để tăng tốc độ CPU

• Để xác định các tiến trình khả nghi hoặc mã độc đang chạy

• Để sao lưu dữ liệu

• Để giảm dung lượng RAM

Tại sao Volatility được sử dụng trong Memory Forensics?

• Vì nó hỗ trợ phân tích chi tiết dữ liệu trong RAM

• Vì nó xóa dữ liệu RAM

• Vì nó tăng dung lượng ổ đĩa

• Vì nó tự động sao lưu dữ liệu

Tại sao vùng nhớ hệ thống trong RAM quan trọng trong điều tra số?

• Vì nó chứa thông tin về cấu hình phần cứng

• Vì nó lưu trữ dữ liệu tạm thời có thể tiết lộ hành vi mã độc

• Vì nó tăng dung lượng lưu trữ

• Vì nó bảo vệ dữ liệu khỏi virus

Ý nghĩa của việc kiểm tra danh sách tiến trình trong phân tích dữ liệu RAM là gì?

• Để tăng tốc độ CPU

• Để phát hiện các tiến trình khả nghi hoặc mã độc đang chạy

• Để sao lưu dữ liệu

• Để giảm dung lượng RAM

Tại sao VirtualBox được sử dụng trong môi trường thực hành Memory Forensics?

• Vì nó tăng dung lượng lưu trữ

• Vì nó cung cấp máy ảo để thực hiện phân tích an toàn mà không ảnh hưởng hệ thống thực

• Vì nó hỗ trợ cài đặt hệ điều hành mới

• Vì nó xóa dữ liệu không cần thiết

Ý nghĩa của việc phân tích kết nối mạng trong RAM là gì?

• Để phát hiện các kết nối bất thường hoặc lệnh điều khiển từ xa

• Để xóa dữ liệu không cần thiết

• Để tăng tốc độ mạng

• Để cài đặt phần mềm mới

Để phát hiện một tiến trình ẩn và kiểm tra các tham số dòng lệnh của nó, bạn sẽ sử dụng những lệnh Volatility nào? (Chọn 2)

• vol.py -f --profile= psxview

• vol.py -f --profile= malfind

• vol.py -f --profile= cmdline

• vol.py -f --profile= imageinfo

Bạn đang phân tích một bản dump bộ nhớ để tìm bằng chứng về một tiến trình độc hại và các tệp liên quan. Những lệnh Volatility nào bạn sẽ sử dụng? (Chọn 2)

• vol.py -f --profile= pslist

• vol.py -f --profile= dumpfiles --pid

• vol.py -f --profile= connscan

• vol.py -f --profile= imageinfo

Cần phân tích một bản dump bộ nhớ để xác định các lệnh đã được thực thi và liệt kê các tiến trình liên quan. Những lệnh Volatility nào chúng ta sẽ sử dụng? (Chọn 2)

• vol.py -f --profile= cmdscan

• vol.py -f --profile= pslist

• vol.py -f --profile= imageinfo

• vol.py -f --profile= malfind