Forensics (case. spm)

Question 1

En server er blevet kompromitteret, Hvad gør du som digital forensics?

Answer 1

Bevar systemet urørt, lav en bit-for-bit kopi med write-blocker, beregn hash for at bevise integritet, og analyser kopien for spor af angrebet.

Question 2

Under en undersøgelse skal du sikre beviser uden at ændre data, Hvilke to metoder bruger du?

Answer 2

Write-blocker for at forhindre ændringer og hashing for at dokumentere, at data er identiske før og efter kopiering.

Question 3

Du analyserer en computers RAM og finder skjulte processer, Hvilken type forensics og hvilket værktøj bruger du?

Answer 3

Memory forensics med værktøjet Volatility til at finde skjult malware, adgangskoder og netværksforbindelser.

Question 4

Du finder en slettet fil, der stadig kan gendannes, Hvorfor kan du gendanne den, og hvad betyder det?

Answer 4

Filen er ikke destrueret; kun referencen er slettet. Data ligger stadig på disken, indtil de overskrives.

Question 5

En medarbejder har slettet vigtige dokumenter, Hvilken teknik bruger du til at genskabe data?

Answer 5

File carving – gendan filer direkte fra diskens datablokke, selv uden filsystemets metadata.

Question 6

En mistænkt hævder, at data er ændret under undersøgelsen, Hvordan beviser du, at bevismaterialet er ægte?

Answer 6

Ved at dokumentere chain of custody og vise, at hashværdierne for data er de samme før og efter analyse.

Question 7

Du skal analysere logfiler efter et angreb, Hvad leder du efter?

Answer 7

Fejl i loginforsøg, ugyldige brugere, usædvanlige IP’er eller aktivitet på mærkelige tidspunkter – tegn på uautoriseret adgang.

Question 8

Du sammenligner tidspunktet for ændringer i filer, Hvilken metode bruger du, og hvorfor?

Answer 8

Timeline analysis – bruges til at rekonstruere rækkefølgen af hændelser og finde, hvornår angrebet skete.

Question 9

En angriber har forsøgt at skjule sine spor ved at ændre eller slette data, Hvilke udfordringer står du overfor?

Answer 9

Anti-forensics som obfuskation, sletning og wiping – gør det svært at finde beviser.

Question 10

Du finder rester af gamle filer i ubrugt plads på disken, Hvad kaldes det, og hvorfor er det vigtigt?

Answer 10

Slack space – kan indeholde dele af slettede filer, som kan fungere som vigtige beviser.

Question 11

Du skal beskrive processen i din undersøgelse, Hvordan sikrer du, at den er gyldig og brugbar?

Answer 11

Følg NIST-modellen: Collection, Examination, Analysis, Reporting – og dokumentér hvert trin grundigt.

Question 12

En virksomhed er blevet ramt af ransomware, Hvad er første skridt i en forensisk undersøgelse?

Answer 12

Isolér systemet for at forhindre spredning, tag et fuldt disk-image, og analyser malwareens aktivitet via memory og logfiler.