HOME
Cisco CyberOps Professional CBRFIR (Forensic Analysis)

「Cisco CyberOps Professional CBRFIR (Forensic Analysis)」の記事一覧

証拠保全用イメージ作成時に「ベリファイ（Verify）」を省略した場合のリスクはどれか。

物理的な読み取りエラーなどでイメージが正しく作成されていなかった場合、解析結果の妥当性が問われるこ…

2026年3月7日

Androidの「fstab」ファイルを調査する目的はどれか。

どのパーティションがどこにマウントされ、どのような保護（暗号化）がかかっているかを把握できる。

2026年3月7日

「AppCompatFlags\PersistedCategories」レジストリを調査してわかることはどれか。

ShimCacheやBAMと同様に、特定のバイナリがいつシステム上で認識・実行されたかの証拠となる。

2026年3月7日

Windows 10において「C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\INetCache」を調査する意義はどれか。

システム権限で動作するマルウェアが、システムユーザーのコンテキストでWeb通信を行った形跡が残る。

2026年3月7日

マルウェアがメモリ上にのみ存在し、ディスク上に実行ファイルを作成しない手法の総称はどれか。

レジストリやWMI、メモリ注入を悪用することで、従来のファイルスキャンによる検知を回避する。

2026年3月7日

NTFSの「$Standard_Information」属性と「$File_Name」属性のタイムスタンプが大きく乖離している場合に疑われるのはどれか。

$Standard_Informationはツールで変更しやすいが、$File_NameはOSによって更新されるため偽装の検知に役立…

2026年3月7日

「HTTP 404 Not Found」が特定のディレクトリに対して短時間に大量発生しているログが示す可能性が高い行為はどれか。

攻撃者がサーバー上の隠しディレクトリやファイルを特定するためにスキャンツールを使用している兆候であ…

2026年3月7日

「Event ID 4688」のログに含まれる情報で、攻撃の親子関係を特定するために重要な項目はどれか。

このIDを確認することで、どの親プロセスが不正な子プロセス（例：wscript.exeからpowershell.exe等）を起…

2026年3月7日

Volatilityでプロセスが保持している「特権（Privileges）」の有効/無効状態を確認するコマンドはどれか。

攻撃者がデバッグ権限（SeDebugPrivilege）などを有効化して権限昇格を図っていないかを確認できる。

2026年3月7日

侵害されたシステムの「Rootkit」を検出するために、ライブシステム上での結果とオフライン解析の結果を比較する手法を何と呼ぶか。

RootkitがOSのAPIを改ざんして隠蔽している場合、オフライン（クリーンな環境）での閲覧結果と差異が生じ…

2026年3月7日