HOME
Cisco CyberOps Professional CBRFIR (Forensic Analysis)

「Cisco CyberOps Professional CBRFIR (Forensic Analysis)」の記事一覧

攻撃者が「SMB（Server Message Block）」を悪用して横展開（Lateral Movement）を行う際に頻繁に使用するツールはどれか。

PsExecは正規の管理ツールだが、攻撃者によって侵害した端末から他端末へのコマンド実行に悪用される。

2026年3月7日

ハードドライブの「HPA（Host Protected Area）」にデータが隠されている可能性がある場合、取得時に使用すべき手法はどれか。

HPAは通常のOSからは見えないため、ファームウェアコマンドでHPAを一時的に解除して取得する必要がある。

2026年3月7日

「NetworkList」レジストリキーを調査して判明する情報はどれか。

SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signaturesに、SSIDやゲートウェイのMACアド…

2026年3月7日

マルウェアがデバッガの存在を検知するために「IsDebuggerPresent」APIを呼び出す際、内部的に参照しているデータ構造はどれか。

Process Environment Block (PEB)内の「BeingDebugged」フラグを確認することで、デバッグ状態を判定する。

2026年3月7日

DNSのリソースレコードの中で、特定のドメインに関連付けられた「テキスト情報」を保持し、トンネリングに悪用されるのはどれか。

TXTレコードは任意の文字列を格納できるため、攻撃者がデータのカプセル化によく利用する。

2026年3月7日

Windowsの「PowerShell」実行履歴がデフォルトで保存される「ConsoleHost_history.txt」の場所はどれか。

AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLineに、対話型セッションの履歴が保存される。

2026年3月7日

NTFSの「$MFT」自体が断片化している場合、その配置情報を保持しているのはどれか。

$MFTの最初のレコードには、$MFTファイル自身のデータラン（場所を示す情報）が記録されている。

2026年3月7日

Volatilityで特定のプロセスが所有する「環境変数（Pathなど）」を表示するコマンドはどれか。

envarsコマンドにより、攻撃者が設定した一時的な環境変数や実行時のパスを確認できる。

2026年3月7日

専門家が法廷で証言する際、その証言が信頼できる科学的根拠に基づいているかを判断する米国の基準はどれか。

Daubert Standardは、科学的手法の検証可能性、査読履歴、エラー率、一般受容性を評価基準とする。

2026年3月7日

「Jump Lists」の「AutomaticDestinations」ファイル名が「アプリのAppIDのハッシュ」である理由として適切なのはどれか。

アプリケーションごとに一意のハッシュ（AppID）をファイル名にすることで、履歴を個別に管理している。

2026年3月7日