26 道事件响应实务练习题及答案

1. 1. 08:05 四条告警同时出现：端点代理报告某域控制器上有凭据转储工具正在写入磁盘；一台自助终端报告广告软件；邮件网关报告隔离了一封垃圾邮件；入侵传感器用 2009 年的 Linux 漏洞利用特征匹配到一台只运行 Windows 的主机。分析师应先处理哪一条告警，为什么？

   • A.凭据转储检测，因为这是身份层上正在发生的行为，会扩大攻击者的访问范围。✓ 答案
   • B.漏洞利用特征告警，因为网络传感器比端点代理更早地观察到攻击的推进过程。
   • C.自助终端的广告软件检测，因为已确认的恶意软件识别优先于尚未得到证实的可疑行为。
   • D.被隔离的垃圾邮件，因为电子邮件是最常见的入口，及早阻断可以避免后续阶段发生。

   分诊要按告警为真的可能性和后果大小排序。域控制器上的凭据转储是基于行为的告警，不易误报，一旦成立攻击者就能在任何地方完成认证；而广告软件、已被隔离的邮件，以及针对纯 Windows 主机触发的 Linux 特征，影响都很小或本身就是误报。

   编号 QB-CTCXPW依据： CompTIA CySA+ CS0-004 Objective 3.3 (incident response techniques: triage and prioritization); NIST SP 800-61 detection and analysis, prioritization by functional and information impact报告此题的问题

2. 2. 分析师确认一台财务工作站上有可疑进程，并且该进程保持着一条已建立的外连。服务台建议先重启机器把它清掉，然后分析师再继续。应当先做什么，为什么？

   • A.先采集内存镜像、进程列表和已建立的网络连接，因为重启会把这些易失的运行状态永久销毁。✓ 答案
   • B.先重启工作站让该进程停止扩散，等机器安静下来之后再对磁盘制作完整镜像。
   • C.先运行端点代理的清理程序隔离该文件，再从已清理但仍在运行的主机上采集内存。
   • D.直接断掉电源以冻结磁盘现状，之后再从 pagefile 中恢复该进程的相关数据。

   进程表、父子进程关系、注入的代码和已打开的套接字只存在于易失状态中。重启、断电或运行清理程序都会切断进程与远端地址之间的关联，因此易失数据的采集必须排在任何遏制或清理动作之前。

   编号 QB-UA7S4W依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition, order of volatility); RFC 3227 Guidelines for Evidence Collection and Archiving报告此题的问题

3. 3. 在维护窗口强制重启之前，响应人员在一台仍在运行的失陷主机上只有十分钟。可供采集的有：ARP 缓存与活动连接表、完整磁盘镜像、日志服务器上已归档的认证日志，以及昨晚的备份磁带。响应人员应先采集哪一项，为什么？

   • A.已归档的认证日志，因为日志轮转可能把它们删除，而它们支撑着整条事件时间线。
   • B.完整磁盘镜像，因为它是体量最大的证据，重启若打断采集会使镜像不可用。
   • C.ARP 缓存与活动连接表，因为这些状态只在主机仍在运行时才存在。✓ 答案
   • D.昨晚的备份磁带，因为它保存了攻击者做出进一步改动之前的主机状态。

   易失性顺序要求先采集最容易消失的数据。主机一旦重启，ARP 缓存和连接表立即消失；而磁盘、已经转存到日志服务器的日志以及磁带在重启后依然存在，可以事后采集。

   编号 QB-BTZKHV依据： RFC 3227 order of volatility; CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition and preservation)报告此题的问题

4. 4. 分析师需要检查一台疑似有攻击者在线的工作站。同事提出把域管理员凭据给他，以便能读取主机上所有受保护的位置。分析师应当怎么做？

   • A.使用域管理员凭据，因为只有完整权限才能读取主机上受保护的区域。
   • B.改用本地管理员口令，因为本地凭据无法被重放到其他任何系统上去。
   • C.使用在别处没有权限的账户或远程采集，因为交互式登录会暴露该凭据。✓ 答案
   • D.使用受影响用户本人的账户并在提示时提权，让操作混入正常的会话记录中。

   交互式登录会把特权凭据放进一台可能仍被攻击者控制的机器的内存里，用域管理员登录等于把整个目录交出去。采集应使用在别处没有权限的专用账户，或通过代理远程完成；而本地管理员口令在同一批镜像中常被重复使用，同样不安全。

   编号 QB-TAUEXU依据： CompTIA CySA+ CS0-004 Objective 3.3 (incident response techniques: safe handling of compromised hosts); NIST SP 800-61 containment and analysis practices报告此题的问题

5. 5. 一名用户报告收到钓鱼邮件。分析师确认攻击者在该用户的云邮箱中持有一个活动会话，并创建了一条隐藏的转发规则。针对这个账户，分析师应先做什么？

   • A.吊销活动会话并带外重置凭据，然后电话联系用户，因为攻击者正在读这个邮箱。✓ 答案
   • B.往受影响的邮箱发送说明，请用户看到之后尽快自行修改自己的口令。
   • C.在取证时间线完成之前不要动这个账户，以免干扰攻击者正在进行的活动记录。
   • D.发布一条点名该邮箱的通告，让同事不要再回复从这个账户发来的邮件。

   攻击者就在邮箱里，任何发到该邮箱的提醒都会被他看到；而只改口令并不会终止已签发的令牌，转发规则也仍然生效。正确做法是先重置凭据并吊销会话、删除转发规则，再通过攻击者看不到的渠道通知用户。

   编号 QB-ATN9CU依据： CompTIA CySA+ CS0-004 Objective 3.3 (containment: account and session containment, out-of-band notification)报告此题的问题

6. 6. 一台笔记本电脑可能成为一起预计会被对方质疑的解雇案件中的证据。分析师即将对其硬盘进行采集。哪一组做法能让工作经得起质疑？

   • A.从笔记本自身的系统启动，导出需要的文件夹，并对每个导出的文件计算哈希作为证据。
   • B.把原始硬盘以只读方式挂载到分析系统上直接检查，之后再对相关文件计算哈希值。
   • C.通过写阻断器接入硬盘，制作逐位镜像并计算哈希，随后只检查经过校验的副本。✓ 答案
   • D.把用户配置目录复制到受保护的共享上，对每个复制的文件计算哈希，并让笔记本继续运行。

   写阻断器保证采集过程不会改动原始介质，逐位镜像加上记录下来的哈希值可以证明副本忠实，只分析副本则使原件保持被扣留时的状态，便于他人复核。启动被检机器或只导出部分文件夹会改写时间戳，并且丢失未分配空间中的证据。

   编号 QB-SAG4ST依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition: write blockers, bit-for-bit imaging, hashing and validation)报告此题的问题

7. 7. 检验进行到一半，分析师必须把证据硬盘交给下一班的同事，并口头说明了目前已做的工作。要让这次移交日后经得起质疑，必须具备什么？

   • A.下班后发给案卷的一封邮件，因为带时间戳的邮件能说明移交发生在什么时候。
   • B.一条监管链记录，写明日期、时间、双方姓名和原因，并由双方在移交时签字。✓ 答案
   • C.移交之后重新计算并保存镜像的哈希值，以此说明硬盘全程都在获授权的人手中。
   • D.在班次结束时补记到事件工单里的一条备注，因为工单是这起案件的权威记录。

   监管链是一份关于谁在何时因何持有证据的连续书面记录，移交必须在发生的当时记录并由双方签字。事后补发的邮件、工单备注或重新计算哈希都无法说明在那段时间里硬盘由谁保管，而这正是对方会攻击的地方。

   编号 QB-9TAX6T依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence handling: chain of custody); NIST SP 800-86 guidance on documenting evidence transfers报告此题的问题

8. 8. 在一次响应过程中，三名响应人员都在受影响的服务器上执行过命令。两周后报告要追问某个服务为什么被停掉、在什么时候停的，却没有人说得清。为什么必须有一份当场记录响应动作的日志？

   • A.它能证明这几名响应人员具备在受影响服务器上执行相应操作所需要的资质。
   • B.它能降低平均响应时间，因为后续班次可以直接重复同样的命令而不必重新研读。
   • C.它省去了单独的监管链记录，因为同一份日志同时覆盖了证据保管和分析两方面。
   • D.它让调查能把响应人员做出的改动与入侵者做出的改动区分开，从而使结论站得住脚。✓ 答案

   响应人员本身就会改变被调查的系统。记录谁在什么时间、出于什么原因执行了什么操作，才能把每一处改动正确归因，避免把响应人员的动作当成攻击者的行为写进报告，也使结论可以被复核。

   编号 QB-RA5SKS依据： CompTIA CySA+ CS0-004 Objective 3.3 (documentation of response actions); NIST SP 800-61 incident documentation报告此题的问题

9. 9. 生产线上的一台可编程控制器每五分钟向一个外部地址发出一次回连信标。厂务管理层表示，本批生产还剩十一小时，期间该控制器不能断电也不能拔网线。分析师应采取什么遏制措施？

   • A.等到下一个计划停机时段再关停这台控制器，为了保住产量而接受这段延迟。
   • B.下发只允许必需控制流量的规则，阻断信标目的地址，并对该主机保持密切监控。✓ 答案
   • C.先不动这台控制器，改为在相邻主机和网络边界上增加检测规则作为补偿手段。
   • D.在控制器继续运行的同时重装系统，从而在不中断控制回路的前提下清除恶意软件。

   当系统不能下线时，遏制就转为补偿性控制：把它的流量限制到工艺真正需要的范围、切断命令信道、提高监控强度，这样既止住扩散又不停产。只加检测而不动流量等于让信道继续开放，而给一台正在运行的控制器重装系统并不是遏制动作。

   编号 QB-8TXKZR依据： CompTIA CySA+ CS0-004 Objective 3.3 (containment options and segmentation); compensating controls for systems that cannot be taken out of service报告此题的问题

10. 10. 端点遥测显示某服务器上存在一个交互式的入侵者会话，命令正在被实时输入。分析师需要在保住证据、又不让对方察觉响应已经开始的前提下遏制这台主机。哪一个动作最合适？

    • A.立即给主机断电，让入侵者在察觉到响应之前就失去这个会话。
    • B.禁用网卡或把主机移入隔离网段，同时让它保持在开机运行状态。✓ 答案
    • C.在边界防火墙上阻断命令控制地址，并且让这台主机继续保持联网。
    • D.修改该主机上的本地管理员口令，在不产生任何停机的情况下切断访问。

    在网卡层面断网或移入隔离 VLAN，可以终止横向移动和数据外传，同时内存、运行进程和会话状态都保留下来供采集。断电会毁掉这些易失证据；只在防火墙上封一个地址，主机仍可在内网横向移动；而改口令并不能终止一个已经建立的会话。

    编号 QB-WGWEZY依据： CompTIA CySA+ CS0-004 Objective 3.3 (containment: isolation and quarantine versus destructive actions)报告此题的问题

11. 11. 一起云账户失陷事件中，团队六小时前已重置该用户口令，但攻击者仍在用同一账户发信和读取文件。哪一种解释和处置是正确的？

    • A.目录复制会延迟口令变更的生效，所以攻击者的访问反正会在一天之内自行失效。
    • B.已签发的会话令牌和刷新令牌比口令变更活得更久，必须予以吊销并重新注册设备。✓ 答案
    • C.攻击者一定是在用另一个账户，所以重置是有效的，接下来应转去追查那个账户。
    • D.很可能没有强制多因素认证，因此现在把它启用就能终止攻击者当前的这个会话。

    会话令牌和刷新令牌是独立于口令签发的，在被显式吊销之前一直有效，所以单纯重置口令并不会把攻击者踢下线。云身份的遏制除了重置凭据，还必须吊销令牌、清除攻击者新增的认证方式并重新注册设备。

    编号 QB-EZ3MKZ依据： CompTIA CySA+ CS0-004 Objective 3.3 (containment in cloud and hybrid environments: session and token revocation)报告此题的问题

12. 12. 从一台服务器上取得的攻击者工具中含有某服务账户的明文口令，而该账户被多个自动化作业使用。经理询问现在事件范围有多大。哪种说法是正确的？

    • A.取得工具的那台服务器在范围内，因为口令正是在这台机器上被暴露出来的。
    • B.文档记载会使用该账户的系统在范围内，因为服务账户被未登记使用的情况很少见。
    • C.在事件时间窗内记录到该账户成功登录的主机在范围内，其他主机则不在范围内。
    • D.该凭据曾经有效的每个系统、应用和作业都在范围内，直到逐一排查清楚。✓ 答案

    凭据并不局限于被发现的那台主机。范围界定要跟着凭据走，凡是会接受该凭据的系统、服务和计划作业都必须检查并排除；没有成功登录记录只能说明日志覆盖不全，不能说明没被使用。

    编号 QB-VGJ4UX依据： CompTIA CySA+ CS0-004 Objective 3.3 (scoping the incident and impact analysis before declaring containment)报告此题的问题

13. 13. 某工作站在恶意软件被隔离后做了清理，白天一整天运行正常。凌晨 03:00 同一恶意软件再次出现，而且最近三个晚上都是在 03:00 出现。这说明了什么？

    • A.检测特征不完整，因此用更新后的引擎做一次全盘扫描就能终止这种反复感染。
    • B.用户每天早上都会重新打开原始附件，所以真正能解决问题的是安全意识培训。
    • C.样本只是被隔离而没有被删除，所以把隔离区清空就能让它不再重新出现。
    • D.有计划任务、服务或自启动项在重新下载载荷，必须把它找出来并清除掉。✓ 答案

    按固定时间重复感染是持久化机制的特征，而不是特征库不足的表现。清除阶段必须找出并删除那个重新下载载荷的计划任务、服务或自启动项，并修补被利用的根本原因，否则主机会不断自我重新感染。

    编号 QB-DZQ9EY依据： CompTIA CySA+ CS0-004 Objective 3.3 (eradication: removal of persistence mechanisms and root cause)报告此题的问题

14. 14. 根据认证记录和进程证据，某文件服务器上可确认的最早攻击者活动是 3 月 14 日。系统保留了最近三十天的每晚备份，业务方要求恢复 4 月 2 日那份，因为它最新。团队应当怎么做？

    • A.恢复 3 月 14 日之前的备份，再应用经过校验的数据变更，因为之后的备份可能带着入侵痕迹。✓ 答案
    • B.恢复 4 月 2 日那份最新备份，因为它能立刻把最新的数据完整交还给业务方使用。
    • C.恢复 4 月 2 日那份并用更新后的引擎扫描，认为这样就能清掉攻击者留下的东西。
    • D.在同一网段恢复并接回 4 月 2 日那份，先观察一周，然后再重新信任这台服务器。

    在可确认的最早攻击者活动之后生成的任何备份都可能包含植入物、攻击者创建的账户或其改动，恢复它等于把失陷状态一起带回来。恢复必须从入侵之前的已知良好时点开始，之后再把确有需要且经过校验的数据变更重新应用上去。

    编号 QB-YGM4C3依据： CompTIA CySA+ CS0-004 Objective 3.3 (recovery: restoration from a known-good state); NIST SP 800-61 recovery guidance报告此题的问题

15. 15. 一台失陷的应用服务器已完成清除工作：用标准基准镜像重建、补丁已打、已做加固。经理希望立刻把它加回负载均衡池。分析师应当坚持什么？

    • A.先验证修复效果、确认相关指标已经消失，然后在加强监控的前提下解除隔离。✓ 答案
    • B.现在就接回去，依靠端点代理在此前那类活动重新出现时发出告警即可。
    • C.现在就接回去，因为用标准基准镜像重建本身就意味着攻击者留下的东西已被清除。
    • D.保持隔离直到事后复盘报告签署完毕，然后在下一个变更窗口里再把它接回去。

    恢复阶段包含一个明确的验证步骤，必须在解除隔离之前完成：确认修复有效、相关指标已消失，然后在高于日常的监控强度下恢复服务。重建可能把同一套有漏洞的配置原样装回去，而等到报告签署才接回只是无谓地延长停机。

    编号 QB-GZS9X3依据： CompTIA CySA+ CS0-004 Objective 3.3 (recovery: validation of remediation and release from isolation)报告此题的问题

16. 16. 事后复盘确定了这样一条链条：一名承包商点击钓鱼链接并输入了凭据；攻击者随后登录了不要求第二因素的远程访问服务；接着一台未打补丁的服务器使其得以横向移动。哪一项发现才是此次未授权访问的根本原因？

    • A.承包商在钓鱼页面上输入了凭据，这是事件时间线上出现的第一个环节。
    • B.服务器上缺失的那个补丁，正是它让攻击者得以从那里进入其他系统。
    • C.攻击者使用了有效账户，这让恶意登录看起来跟承包商的日常工作一样。
    • D.远程访问缺少第二个认证因素，这使得一个被盗的口令单独就能生效。✓ 答案

    根本原因是使失陷成为可能的那个条件，而不是时间线上的第一个事件。被盗口令之所以能用，是因为远程访问只认单一因素，所以纠正措施是在那里强制多因素认证；服务器缺补丁解释的是后续横向移动，而不是最初的进入。

    编号 QB-XG9S62依据： CompTIA CySA+ CS0-004 Objective 3.3 (post-incident activity: root cause analysis and corrective action)报告此题的问题

17. 17. 法务通知安全团队，涉及一名即将离职员工的诉讼已可合理预见，并点名了该员工的笔记本电脑。运维那边已排定今天对这台笔记本重装系统以便再分配。必须怎么处理？

    • A.今天照常重装这台笔记本，但保留防病毒日志，它们记录了调查所需要的全部内容。
    • B.依照保全令保存这台笔记本及其取证镜像，推迟重装直到法务解除保全要求。✓ 答案
    • C.先记录硬盘的哈希值再重装系统，这样以后仍可以据此重建原来的磁盘内容。
    • D.先导出用户的文档再重装系统，因为导出的副本已经满足了对材料的保全义务。

    法律保全令会中止正常的保留与销毁流程，并优先于把设备清空再分配的运维需求，分析师在此处的处置权限就到这里为止。导出的文档、防病毒日志和一个记录下来的哈希值，都无法保全诉讼可能需要的未分配空间、各类痕迹和设备状态。

    编号 QB-FZEXR2依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence preservation: legal hold and its effect on remediation)报告此题的问题

18. 18. 14:00，分析师判断唯一能完全阻止这次在线入侵的遏制手段是把面向客户的支付服务下线，而分析师对该服务并没有处置权。正确的下一步是什么？

    • A.立刻把服务下线，因为遏制的处置权本来就归宣布事件成立的那位分析师。
    • B.把下线决定上报给事件指挥官和业务负责人，同时先落实目前已获授权的有限遏制措施。✓ 答案
    • C.在采取任何遏制措施之前等待支付服务商的书面指导，因为这里涉及第三方系统。
    • D.把建议记录在事件沟通频道里，继续调查，直到有别人决定采纳并动手执行。

    停掉一项带来收入的服务是超出分析师权限的业务决策，因此分析师应带着建议、影响评估和备选方案上报，由事件指挥官和业务负责人决定。在等待期间，分析师有权实施的那部分遏制措施要先做，因为干等会让入侵继续进行。

    编号 QB-SGG4BU依据： CompTIA CySA+ CS0-004 Objective 3.3 (escalation criteria and authority boundaries during response)报告此题的问题

19. 19. 一台云虚拟机被确认失陷。它挂载了一个可访问对象存储的身份角色，团队需要一种既能遏制又能保住证据的做法。哪一组动作最合适？

    • A.把卷卸下来做镜像并停止实例，这样既保住了磁盘也切断了入侵者对它的访问。
    • B.终止该实例并让伸缩组自动替换它，这样可以把入侵者彻底从这个环境里清出去。
    • C.对卷做快照，把实例移入一个只做隔离的安全组，并吊销该角色的活动会话。✓ 答案
    • D.轮换管理凭据并让实例继续运行，以便更长时间地观察它产生的网络流量。

    快照保住了磁盘状态，只做隔离的安全组在不摧毁实例及其内存的前提下切断流量，吊销角色会话则收回了入侵者真正在用的那份凭据。终止实例会把证据一起销毁，而直接停机会丢掉尚未采集的易失状态。

    编号 QB-AZN9WU依据： CompTIA CySA+ CS0-004 Objective 3.3 (containment and evidence acquisition in cloud environments: snapshots, isolation, role session revocation)报告此题的问题

20. 20. 一条告警针对的容器已被编排系统销毁并替换，它总共只运行了四分钟，集群上不再留有该容器的文件系统或内存。现在最好的证据来源是什么？

    • A.在集群里重新运行同一镜像以复现行为，并从新起的容器上采集内存数据。
    • B.对工作节点的磁盘做镜像，因为被销毁容器的文件系统会留在那里直到节点重启。
    • C.向云服务商索取被删除容器的虚拟化层内存转储，他们会为客户保留这类数据。
    • D.采集控制平面审计记录和已外送的容器日志，并取回该镜像及其来源信息。✓ 答案

    短生命周期负载的证据留在容器之外：控制平面审计记录显示是谁调度了什么，已外送的日志保存着运行期输出，镜像及其仓库来源信息说明实际运行的是什么。重新运行镜像只是制造新数据，并不能保全已经发生的事实；服务商也不会为客户保留已删除负载的内存。

    编号 QB-TEW9GV依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition limits for containerized and ephemeral cloud workloads; shared responsibility)报告此题的问题

21. 21. 某剧本会自动隔离任何出现中等置信度检测的主机。上周它先后隔离了一台域控制器和一台支付网关，而这两条检测最终都被证实为误报。哪一项改动最合适？

    • A.保留自动富化和自动建单，但在隔离关键系统之前必须先由分析师批准。✓ 答案
    • B.停用这个剧本，把主机隔离退回人工队列，由每班值守分析师手动处理。
    • C.把上周被隔离的那两台系统加入例外，其他所有主机继续保持自动隔离。
    • D.把触发门槛提高到只有高置信度检测才隔离主机，并保持该动作完全自动执行。

    自动化可以放手去做富化、建单和通知，但具有破坏性或会影响业务的动作需要一个人工决策点，尤其是在置信度不高或涉及关键系统时。只提高门槛，自动化仍然可能把支付网关下线；而全部退回人工，则白白放弃了剧本原本带来的速度。

    编号 QB-AXQ4WU依据： CompTIA CySA+ CS0-004 Objective 3.3 with the V4 automation and orchestration content (human approval gates for destructive or high-impact actions)报告此题的问题

22. 22. 一个人工智能助手对一起入侵做了摘要，指认某台主机为起点，并建议隔离它认定受影响的四十台主机。分析师还没有看过底层遥测数据。分析师应当怎么做？

    • A.现在就隔离这四十台主机，因为助手读过的遥测数据远超分析师能读的量。
    • B.在动手之前先用原始遥测数据核对助手的结论，因为生成的结论可能并没有证据支撑。✓ 答案
    • C.丢弃这份摘要并从头人工重做分诊，因为生成的输出不可以进入调查记录之中。
    • D.把摘要作为事件评估结论发给管理层，同时开始隔离它所指认出来的那些主机。

    生成式摘要可能给出遥测数据并不支持的结论，所以它的输出只是调查线索，而不是决策依据。在采取会造成实际业务影响的动作之前，分析师必须用原始数据核实被指认的主机和受影响清单；而经过核实后，助手的产出仍然可以使用。

    编号 QB-SEJXAU依据： CompTIA CySA+ CS0-004 (V4 artificial intelligence content applied to Objective 3.3: analyst verification of generated findings before response action)报告此题的问题

23. 23. 在还没有制作任何镜像之前，一名初级分析师以为这样有帮助，在一台可疑工作站上运行了临时文件和浏览器清理工具。后果是什么，现在应当怎么做？

    • A.受影响的只是未分配空间；时间线依然成立，镜像仍会显示全部的用户活动记录。
    • B.这台工作站现在干净了；可以继续制作镜像，并基于剩下的数据继续开展分析工作。
    • C.时间线证据已被破坏；应记录这个动作及其时间，并在报告中说明由此产生的缺口。✓ 答案
    • D.该工具自己的日志可以替代它删掉的内容；时间线可以改由那份记录重新构建。

    清理工具删除和覆盖的正好是构建时间线所依赖的那些证据，包括临时文件、浏览器历史和访问时间戳，这些都无法恢复。正确做法是记录这一动作、执行人和发生时间，并在结论中明确指出由此造成的证据缺口，避免报告建立在一个无法解释的空洞之上。

    编号 QB-9XCSQT依据： CompTIA CySA+ CS0-004 Objective 3.3 (evidence preservation; documenting responder actions and evidentiary gaps)报告此题的问题

24. 24. 一台主机已被隔离，其上的恶意软件已清除。代理日志显示，在同一时间段内还有另外三个子网中的四台主机访问过同一个信标域名。经理希望宣布事件已被遏制。正确的立场是什么？

    • A.在访问过该域名的每一台主机都被识别并隔离或排除之前，遏制都还没有真正完成。✓ 答案
    • B.只要在代理上对全公司范围阻断该信标域名，就可以宣布事件已经进入遏制状态了。
    • C.对已确认的那台主机而言遏制成立，其他子网的情况应作为一个独立的新事件另案处理。
    • D.等到被隔离的那台主机重建完成就可以宣布遏制，因为它正是信标流量的来源所在。

    遏制是针对事件范围宣布的，而不是针对单台主机，因此必须先把出现同一指标的那四台主机找出来，并分别隔离或排除。在代理上封掉域名只是压掉了一条信道，入侵者的立足点和可能存在的第二条信道仍然保留着。

    编号 QB-RE7M5T依据： CompTIA CySA+ CS0-004 Objective 3.3 (scoping and impact analysis before declaring containment)报告此题的问题

25. 25. 一个面向互联网的应用正在被某个漏洞利用，而厂商补丁还要两周才发布，同时该服务不能下线。哪一组遏制步骤是正确的？

    • A.加强监控，在厂商补丁发布并通过测试之前，不对这个应用本身做任何改动。
    • B.把该应用下线两周，因为只有把服务撤掉才能真正制止这种漏洞利用行为。
    • C.先在反向代理上阻断该利用路径作为短期遏制，再把打补丁和架构整改作为长期遏制。✓ 答案
    • D.在补丁发布之前每晚用标准基准镜像重建服务器，把攻击者留下的东西清掉。

    短期遏制用补偿性控制立即止住利用行为，例如在反向代理上过滤掉该利用路径；长期遏制则是补丁到位后走变更流程实施的永久修复。只监控不动手等于让漏洞继续可被利用，而每晚重建既挡不住利用，也没有触及成因。

    编号 QB-8XZEJS依据： CompTIA CySA+ CS0-004 Objective 3.3 (short-term versus long-term containment and compensating controls)报告此题的问题

26. 26. 分析师在采集时记录了磁盘镜像的 SHA-256 值，把镜像复制到分析工作站后又重新计算了一次哈希，两个值不一致。分析师应当怎么做？

    • A.继续分析并记下新的哈希值，今后就用这个值来标识正在使用的这份工作副本。
    • B.用第二种算法对副本计算哈希，如果这个值与原先记录下来的值一致就继续分析。
    • C.把传输过程中的压缩当作原因，只对案件真正需要的那些单个文件做校验就行。
    • D.停下来，记录这一不一致并重新采集或重新复制，因为这份工作副本并不忠实。✓ 答案

    哈希值是对副本完整性的校验手段，不一致说明这份工作副本与采集时的内容并不相同，不能用于分析或作为报告依据。正确做法是记录这一不一致并重新复制或重新采集；用另一种算法去计算一份错误副本的哈希，只是给错误数据再添一个值而已。

    编号 QB-QEU9YR依据： CompTIA CySA+ CS0-004 Objective 3.3 (data integrity validation: hashing at acquisition and re-verification after transfer)报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →