EC-COUNCIL Computer Hacking Forensic Investigator (CHFI-v11) (312-49v11日本語版) 認定 312-49v11日本語 試験問題:

1. コンピュータ ハッキング フォレンジック調査員として、企業ネットワークの侵入インシデントを分析しています。メモリ エクスプロイトを利用したファイルレス マルウェア攻撃の痕跡を発見しました。兆候から、最初のペイロードはフィッシング メール経由で受信した悪意のある Word 文書によって配信されたことが示唆されています。対応および予防計画の一環として、検出されたファイルレス マルウェアの感染チェーンを断ち切るのに最も効果的な手順はどれですか。

A) 現在使用されている従来のウイルス対策ソリューションを最新のシグネチャベースのIDSに置き換える
B) 企業ネットワーク内のすべてのブラウザのFlashおよびJavaプラグインの脆弱性を修正する
C) 企業環境で JavaScript などのすべてのスクリプト言語の使用を無効にする
D) 組織全体で Office ドキュメントに埋め込まれたマクロに関する厳格なポリシーを実装する

2. ルーターの ARP テーブルには、それぞれの MAC アドレスに関連付けられた IP アドレスが含まれているため、ネットワーク攻撃の調査に役立ちます。
ARP テーブルには、Windows 7 の __________ コマンドを使用してアクセスできます。

A) C:\arp -d
B) C:\arp -s
C) C:\arp -a
D) C:\arp -b

3. 証言録取により、相手方の弁護士は裁判で専門家の証言を事前に確認することができます。次の証言録取のうち、標準的な方法ではないものはどれですか。

A) 相手側の弁護士が質問する
B) 両弁護士が出席している
C) 弁護士は1人だけ出席している
D) 陪審員も裁判官もいない

4. フォレンジック調査員は、セキュリティ侵害の疑いがあったため、企業のドメイン コントローラーのイベント ID ログを調査しています。調査員は、非常に短い期間にドメイン ユーザー アカウントが作成され、変更され、グループに追加されたことに気付きました。調査員は、変更が加えられたかどうかを確認するために、ローカル システムの監査ポリシーを相互検証する必要があることに気付きました。調査員が適切な監査ポリシー設定を持っていると仮定すると、次のどのイベント ID に重点を置く必要がありますか。

A) イベント ID 624
B) イベント ID 612
C) イベント ID 642
D) イベント ID 644

5. あなたは、最近証拠として収集されたハード ドライブを分析している法医学調査員です。ファイル システム内で意味のある証拠を見つけることができず、ドライブ消去ユーティリティが使用された可能性があると疑っています。Windows レジストリのソフトウェア ハイブ内のキーを確認しましたが、ドライブ消去ユーティリティは見つかりませんでした。
ハードドライブでドライブ消去ソフトウェアが使用されたことをどのように確認できますか?

A) インストールされているプログラムのリストを確認する
B) ドライブ消去ユーティリティが使用された疑いがあるが、証拠は見つからなかったことをレポートに記載してください。
C) さまざまなドライブ消去ユーティリティをオフラインで読み込み、以前の実行レポートをエクスポートします。
D) ハードドライブ上のビットレベルで明確な繰り返しパターンを探す

質問と回答：