2026年恶意软件查杀隔离处置考核题库及答案

2026年恶意软件查杀隔离处置考核题库及答案一、单项选择题（每题2分，共20分）1.下列关于恶意软件隔离目的的说法，不正确的是（）。A.阻断与C2服务器的通信B.防止横向移动感染其他主机C.保留内存和磁盘中的易失证据D.立即销毁被感染主机上的所有数据2.发现疑似主机感染远控木马后，下列应急处置措施中最合理的是（）。A.立即拔掉电源，防止数据被窃取B.直接格式化硬盘并重装系统C.断网隔离，保留现场，记录可疑进程与网络连接D.运行多个不同杀毒软件同时全盘扫描3.勒索软件最典型的行为特征是（）。A.修改浏览器主页并弹出广告B.加密用户文件并索要赎金C.仅窃取键盘输入记录D.消耗大量CPU资源进行挖矿4.下列检测方式中，主要基于文件静态特征的是（）。A.沙箱动态行为分析B.网络异常流量监测C.文件哈希与字符串特征匹配D.进程内存注入分析5.下列哪项不属于恶意软件常见持久化机制？（）A.注册表Run键B.计划任务C.系统服务D.定期修改用户密码6.检测无文件恶意软件时，最有效的取证对象是（）。A.磁盘临时文件夹中的所有文件B.系统内存、进程和注册表异常C.桌面快捷方式D.回收站中的已删除文件7.蠕虫与普通病毒最主要的区别在于（）。A.蠕虫不能自我复制B.蠕虫可自主通过网络传播，无需宿主文件C.病毒比蠕虫传播更快D.蠕虫只会感染移动存储设备8.处理疑似感染恶意软件的U盘时，下列做法正确的是（）。A.插入主机后直接双击打开B.禁用自动播放，在隔离主机上只读挂载检查C.先格式化U盘再查看内容D.将U盘接入生产网络共享给管理员9.文件哈希比对常用的算法是（）。A.CRC32B.MD5和SHA-256C.Base64D.URL编码10.关于感染主机的网络隔离，下列说法正确的是（）。A.只断开互联网连接，内网可保持互通B.将主机从网络中断开或划入隔离VLAN，并限制东西向流量C.隔离后立即关闭主机电源D.让用户继续使用主机但禁止访问外网二、多项选择题（每题3分，共30分）1.恶意软件应急处置通常包括哪些阶段？（）A.检测与确认B.隔离与控制C.清除与修复D.恢复与复盘2.下列哪些属于恶意软件动态分析常用手段？（）A.沙箱执行样本B.监控进程、文件和注册表行为C.抓取网络流量D.计算文件哈希3.对感染主机实施隔离时，可采取的措施包括（）。A.断开感染主机网络连接或划入隔离VLANB.禁用该主机对共享目录的访问C.在防火墙或交换机上阻断相关端口D.立即断电并封存主机4.勒索软件应急处置中，合理的做法有（）。A.立即隔离被感染主机B.保留勒索信和加密样本C.阻断网络共享权限D.立即支付赎金以尽快恢复业务5.Windows系统中，恶意软件常用持久化位置包括（）。A.注册表Run键B.计划任务C.WMI事件订阅D.临时文件夹中不存在的文件6.EDR相比传统杀毒软件的主要优势包括（）。A.侧重持续行为监测与威胁狩猎B.可记录端点行为并支持溯源C.完全不需要更新特征库D.对未知威胁具有更好的检测潜力7.恶意软件分析报告中通常应包含（）。A.样本哈希值B.感染路径和持久化位置C.处置建议D.IOC（失陷指标）8.蠕虫大规模爆发时，优先隔离对象应包括（）。A.已确认感染的主机B.存在相关漏洞且未修补的高风险主机C.与感染主机有密切业务交互的核心服务器D.与事件无关的外部合作伙伴终端9.无文件恶意软件常用的技术包括（）。A.PowerShell内存执行B.WMI事件订阅C.进程注入D.在系统目录写入可执行文件并持久化10.清除恶意软件时，正确的做法有（）。A.在排查清楚持久化机制后，使用专用工具清除B.清除前备份关键业务数据C.清除后验证系统补丁和安全配置D.发现可疑文件后不经分析直接删除三、判断题（每题1分，共10分）1.网络隔离等同于将感染主机完全断电关机。2.一次全盘扫描未检出恶意软件，即可判定系统已经彻底恢复。3.勒索软件加密后的文件一定可以通过安装杀毒软件全部解密恢复。4.恶意软件样本应在与生产网络隔离的沙箱环境中分析。5.两个文件的哈希值相同，可以认定文件内容相同。6.处置感染主机前，应优先保全磁盘镜像和内存信息。7.蠕虫能够在没有用户操作的情况下通过网络自动传播。8.应急响应中为了快速恢复业务，可以先重装系统而不保留任何证据。9.APT攻击通常具有明确目标、长期潜伏和持续性特征。10.部署边界防火墙后，内网恶意软件横向移动就不会发生。四、简答题（每题10分，共20分）1.简述主机感染恶意软件后的标准隔离与处置流程。2.简述勒索软件感染后不建议支付赎金的理由，并说明恢复工作要点。五、案例分析题（共20分）某企业内网多个部门主机出现文件后缀被改为.locked，桌面出现勒索信，部分共享目录和数据库备份目录被加密。初步排查发现，一台终端在前一日打开了钓鱼邮件附件。请回答以下问题：1.作为应急响应人员，你首先采取的三项隔离与保护措施是什么？请说明理由。2.如何初步判断感染源与传播路径？3.清除阶段需要完成哪些关键验证与恢复工作？参考答案与解析一、单项选择题1.答案：D解析：隔离的核心是控制影响范围并保全证据，不应立即销毁数据，数据销毁不是隔离措施。2.答案：C解析：直接断电会丢失内存等易失证据，直接重装会破坏现场；应先隔离并及时采集易失数据。3.答案：B解析：勒索软件以加密文件、索要赎金为核心行为，A、C、D分别对应广告软件、键盘记录器和挖矿木马。4.答案：C解析：文件哈希、字符串、导入表等属于静态特征；沙箱、流量监测、内存分析更偏动态或行为层面。5.答案：D解析：恶意软件常通过启动项、计划任务、服务、WMI等方式持久化，修改用户密码一般不是持久化手段。6.答案：B解析：无文件恶意软件通常驻留内存或利用系统工具、注册表、WMI等，需重点分析内存和系统运行状态。7.答案：B解析：蠕虫可利用网络漏洞、弱口令等自主传播，不依赖宿主文件，这是与普通病毒的关键区别。8.答案：B解析：应禁用自动播放，在隔离环境下以只读方式检查U盘，避免触发恶意软件和造成扩散。9.答案：B解析：MD5、SHA-1、SHA-256常用于恶意样本哈希比对；Base64、URL编码不是哈希算法，CRC32安全性弱，不单独用于鉴定。10.答案：B解析：隔离应同时控制内外网横向流量；直接断电可能丢失内存证据，继续使用会破坏现场。二、多项选择题1.答案：ABCD解析：完整处置流程通常包括检测确认、隔离控制、清除修复、恢复复盘等阶段，形成闭环。2.答案：ABC解析：计算文件哈希属于静态分析手段，A、B、C均关注样本运行时的行为特征。3.答案：ABC解析：直接断电可能丢失内存等易失证据，除非存在持续破坏等紧急情况，一般不作为首选隔离措施。4.答案：ABC解析：不建议支付赎金，支付不能保证恢复文件，还可能助长犯罪并引发二次勒索。5.答案：ABC解析：A、B、C都是常见持久化机制，D不具备开机自启等持久化特征。6.答案：ABD解析：EDR并非完全摆脱特征库，但其行为分析和溯源能力使其对未知威胁的检测能力通常更强。7.答案：ABCD解析：完整报告应包含样本信息、感染路径、持久化位置、IOC和处置建议，便于全网排查与加固。8.答案：ABC解析：已感染主机、高风险未修补主机和紧密关联的核心服务器均可能成为传播源或被扩散，应优先隔离控制。9.答案：ABC解析：无文件恶意软件通常不落盘或极少落盘，D属于传统文件型恶意软件行为。10.答案：ABC解析：直接删除可疑文件可能破坏关键证据，也可能遗漏关联组件；应先分析并针对持久化机制彻底清除。三、判断题1.答案：错误解析：隔离通常保留主机运行以便取证，断电关机可能丢失内存等易失证据。2.答案：错误解析：无文件恶意软件、Rootkit等可能逃避常规扫描，需结合行为、内存和日志分析。3.答案：错误解析：杀毒软件主要清除恶意程序，不能保证解密文件；部分勒索软件难以逆向解密。4.答案：正确解析：隔离沙箱可防止样本扩散并避免影响生产环境。5.答案：正确解析：密码学哈希碰撞概率极低，实际工作中可据此认定文件内容同一性。6.答案：正确解析：内存等易失证据可能因重启或时间推移而丢失，早期保全证据十分关键。7.答案：正确解析：蠕虫可利用漏洞、弱口令等自动传播，不依赖用户操作。8.答案：错误解析：直接重装会破坏关键证据，应在保全证据、查明原因后再恢复。9.答案：正确解析：APT即高级持续性威胁，通常目标明确、潜伏时间长、攻击链条复杂。10.答案：错误解析：横向移动常利用内部协议、弱口令、共享和系统漏洞，边界防火墙难以完全阻止。四、简答题1.答案：(1)确认告警：核对告警来源、主机状态、影响范围和业务重要性；(2)网络隔离：断开感染主机网络或划入隔离VLAN，限制东西向流量；(3)证据保全：采集内存镜像、磁盘镜像、日志、可疑进程、网络连接等易失证据；(4)分析溯源：分析样本、持久化点、感染路径和C2通信，确定传播范围；(5)恶意清除：针对持久化机制清除恶意软件，同时修补漏洞、弱口令等风险点；(6)恢复监控：验证安全后逐步恢复业务，持续监控并开展复盘改进。解析：流程的核心是先控制影响、保全证据，再分析清除，最后恢复并复盘，避免盲目重装或直接关机。2.答案：不建议支付赎金的理由：(1)支付赎金不能保证攻击者提供有效解密工具；(2)会助长勒索软件犯罪，形成恶性循环；(3)可能被攻击者标记为愿意付款的目标，导致后续再次遭受攻击。恢复工作要点：(1)立即隔离被感染主机，阻断网络共享和横向传播；(2)保留勒索信、加密样本、系统和安全日志；(3)检查备份情况，确认备份未被感染且完整性校验通过；(4)使用备份恢复或官方解密工具尝试恢复；(5)修复漏洞、加固系统、禁用高风险共享，恢复后持续监控。解析：支付赎金不是可靠的恢复方案，应优先通过隔离、取证和备份恢复解决问题，并加固环境防止复发。五、案例分析题1.答案：(1)立即将已确认感染的主机和可疑终端断网，或划入隔离VLAN。理由：阻断勒索软件与C2服务器的通信，防止继续加密和横向传播。(2)禁用相关主机对共享目录、数据库备份目录的访问，必要时临时收紧共享权限。理由：勒索软件常通过共享目录传播和加密，限制权限可降低数据损失面。(3)在保证安全的前提下保全证据，采集内存镜像、磁盘镜像、可疑进程、网络连接和安全日志。理由：保留攻击痕迹和加密行为信息，为后续分析感染源、传播路径和样本提供依据。解析：首要目标是控制影响范围并保护证据，不能急于重装或支付赎金，也不能立即断电导致内存证据丢失。2.答案：(1)从邮件网关和安全日志中查找钓鱼邮件附件的投递记录，确认最早打开附件的时间、用户和终端；(2)对比各被感染主机文件被加密的先后时间，结合共享目录访问日志，还原传播时序；(3)检查可疑终端的进程、网络连接、计划和启动项，确认是否存在勒索软件样本及其C2通信；(4)分析登录日志和横向移动行为，判断攻击者是否利用被感染账号或漏洞向内网扩散；(5)结合漏洞扫描结果，确认是否存在可利用的SMB、RDP或弱口令等传播条件。解析：感染源判断应基于时间线、日志和样本行为，传播路径分析重点围绕共享、漏洞利用和账号横向移动。3.答案：(1)确认所有持久化机制已被清除，包括启动项、计划任务、服务、