HOME
Cisco CyberOps Professional CBRFIR (Forensic Analysis)

「Cisco CyberOps Professional CBRFIR (Forensic Analysis)」の記事一覧

攻撃者が「LOLBAS（Living Off The Land Binaries and Scripts）」を利用する主な理由はどれか。

OS標準の正規ツール（PowerShellやcertutil等）を悪用することで、セキュリティ製品の検知を逃れやすくな…

2026年3月7日

「TypedURLs」キーが格納されているレジストリハイブはどれか。

TypedURLsは、IEやエクスプローラーのアドレスバーに直接入力されたURLを保持し、ユーザープロファイルに…

2026年3月7日

イメージ作成の際、物理ドライブ全体をコピーする「Physical Image」と特定のパーティションのみの「Logical Image」の違いはどれか。

Physical Image（物理イメージ）は、ファイルシステム外の未割り当て領域やスラック領域もすべて取得する。

2026年3月7日

マルウェアがOSのAPI呼び出しを横取りするために行う「フック」の手法で、関数の先頭を書き換えるものはどれか。

インラインフックは、関数の開始部分をJMP命令に書き換えて自身のコードへ飛ばす手法である。

2026年3月7日

HTTPSトラフィックにおいて「SNI（Server Name Indication）」を確認する目的はどれか。

SNIは暗号化される前に送信されるため、クライアントがどのドメインにアクセスしようとしているかが判明す…

2026年3月7日

Windowsの「Jump Lists」において、ユーザーが手動で「ピン留め」した項目を確認する構造はどれか。

CustomDestinationsファイルには、ユーザーがアプリケーションのメニューに固定した項目が記録される。

2026年3月7日

メモリ上で「VAD（Virtual Address Descriptor）」が「EXECUTE_READWRITE」権限を持つ場合に疑われる事象はどれか。

読み取り・書き込み・実行のすべての権限が与えられたメモリ領域は、不正なコードの展開によく利用される。

2026年3月7日

NTFSの「$UsnJrnl（USNジャーナル）」を解析する主な利点はどれか。

USNジャーナルには、ファイルの作成、削除、名前変更などのイベントが順次記録されている。

2026年3月7日

「Live Response（ライブレスポンス）」において最初に行うべきアクションはどれか。

証拠の揮発性を考慮し、まずメモリやネットワーク接続などの消失しやすい情報を収集する。

2026年3月7日

「ShimCache」に記録されるフラグで、ファイルが実際に実行されたことを示すのはどれか。

Executed Flag（Windows 7以降）を確認することで、ファイルが単に存在しただけでなく実行されたかがわか…

2026年3月7日