2026年信息安全与数字取证考试试卷及答案

2026年信息安全与数字取证考试试卷及答案一、单项选择题（每题2分，共20分）1.下列哪种恶意软件类型主要用于隐藏自身踪迹并收集敏感信息？A.RootkitB.蠕虫C.勒索软件D.逻辑炸弹答案：A解析：Rootkit的核心特征是隐藏自身与相关进程，为攻击者提供持续的隐蔽访问能力，常用于窃取敏感信息；蠕虫侧重自我复制传播，勒索软件聚焦加密勒索。2.在Windows系统中，下列哪个注册表键存放了系统当前用户的自启动程序信息？A.HKEYLOCALMACHINE\HardwareB.HKEYCURRENTUSER\Software\Microsoft\Windows\CurrentVersion\RunC.HKEYCLASSESROOT\.exeD.HKEY_USERS\.DEFAULT\ControlPanel答案：B解析：...\CurrentVersion\Run键是常见的自启动位置，其下的程序会在用户登录时自动运行，是取证分析中排查持久化后门的重要检查点。3.数字取证中，"证据的完整性"主要依赖下列哪项技术来保障？A.加密存储B.Hash值校验C.数据压缩D.时间戳签名答案：B解析：通过计算并比对SHA-1、MD5等哈希值，可以精确验证取证镜像与原始介质是否一致，从而证明证据未被篡改。4.在一次事件响应中，分析人员需要在不改变原磁盘状态的情况下查看磁盘内容，最合适的方法是？A.直接启动原系统进行查看B.使用写阻断器制作磁盘镜像后再分析C.对磁盘进行格式化后重装系统D.通过网络远程访问原系统进行查看答案：B解析：使用硬件或软件写阻断器（WriteBlocker）进行写保护，然后创建磁盘镜像进行分析，既能读取数据又不改变原始介质的元数据和文件内容，符合取证规范。5.关于TCP三次握手，下列说法正确的是？A.每一步都不携带任何应用数据B.第三次握手报文将SYN和ACK标志位同时置1C.第三次握手报文仅携带ACK标志位D.第二次握手报文的序列号总是为1答案：C解析：第二次握手由服务器回复SYN=1、ACK=1的报文，第三次握手由客户端发送ACK=1的报文，并可将应用数据一并发出。6.下列哪个文件系统具有日志（Journaling）功能，且在断电后能更快恢复文件系统一致性？A.FAT32B.Ext4C.ISO9660D.HFS（无日志版）答案：B解析：Ext4是Linux下常见的日志文件系统，通过预写日志记录元数据变更，崩溃后可根据日志快速恢复一致性，避免长时间的数据检查。7.在Windows事件日志中，Linux系统中对应记录认证成功的事件通常由哪个日志文件负责？A./var/log/secureB./var/log/dmesgC./var/log/cronD./var/log/boot.log答案：A解析：在RedHat系Linux中，用户认证的成败记录写入/var/log/secure；Debian系则常记录在/var/log/auth.log。8.关于TimeStomp（时间戳篡改）技术，下列说法错误的是？A.可能修改文件的上次访问时间B.可能修改文件的创建时间C.仅能修改文件的修改时间D.取证时可通过文件系统元数据异常检测此类行为答案：C解析：TimeStomp可以同时对创建时间、修改时间和访问时间等多个NTFS时间戳进行修改，因此该说法过于绝对。9.IIS是下列哪家公司开发的Web服务器？A.甲骨文B.Apache基金会C.微软D.思科答案：C解析：IIS（InternetInformationServices）是微软公司随WindowsServer提供的Web服务器软件。10.下列哪项指标最能反映网络流量中是否有恶意外连行为？A.源IP地址的固定端口号B.大量短暂的出站SYN连接C.入站ICMP回显请求的TTL值D.局域网内广播帧的数量答案：B解析：大量短暂的出站SYN连接，尤其是间隔和目的的端口随机，常是主机主动外联、产生通信隧道的迹象，从而需要进一步检查流量中的载荷特征。二、多项选择题（每题4分，共20分）1.关于数字证据的保全，下列说法正确的有？A.应当用写阻断器保护原始介质B.对原始介质进行哈希校验C.不应在原始介质上执行程序D.证据的转移链（ChainofCustody）需要被记录答案：ABCD解析：数字证据保全要求最小化干预、建立原始镜像、保存哈希值，并完整记录证据的保管与移交过程，供法庭审查证据真实性。2.在Windows系统中，下列哪些位置可能留下用户的行为痕迹？A.页面文件pagefile.sysB.预读取文件.pf（Prefetch）C.快捷方式.lnk文件D.系统休眠文件hiberfil.sys答案：ABCD解析：页面文件与休眠文件可能保留内存中的凭证和文件内容片段；Prefetch反映程序执行痕迹；.lnk文件常指向用户打开的文件和移动设备记录，均是取证的重要数据源。3.关于网络流量取证，正确的说法有？A.应尽量记录原始数据包（全包捕获）而非仅记录NetFlow元数据B.捕获流量时应保留每个数据包的绝对时间戳C.加密流量完全无法进行取证分析D.可使用会话重组技术还原HTTP明文传输的内容答案：ABD解析：加密流量虽不能直接从载荷中还原明文，但流方向、长度、时间等元数据仍可用于行为分析，因此不能说“完全无法分析”。4.下列哪些属于密码破解常用的技术手段？A.字典攻击B.暴力穷举C.彩虹表攻击D.撞库攻击答案：ABCD解析：字典攻击利用常用密码表，暴力枚举尝试所有组合，彩虹表用预计算的哈希链加速查找，撞库则尝试在其他平台泄露的密码。5.关于《个人信息保护法》（PIPL），下列说法正确的是？A.在中国境内处理自然人个人信息的活动，适用本法B.处理敏感个人信息应当取得个人的单独同意C.个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计D.匿名化处理后的信息不属于个人信息答案：ABCD解析：PIPL适用于中国境内处理个人信息的活动，且对敏感个人信息设定了“单独同意”与更严格的保护要求，并对匿名化信息豁免适用。三、判断题（每题2分，共20分）1.数字取证中，必须关机后才能对计算机进行证据提取。答案：错误解析：应根据系统状态灵活决策。对于运行中的系统，直接关机可能丢失内存中的密钥和未落盘的证据，可在满足法律与安全的前提下先进行内存获取。2.Windows的事件日志可以完整记录用户输入的所有键盘击键信息。答案：错误解析：事件日志记录系统、应用及安全事件，不记录键盘输入；键盘记录需依赖专门的hook或间谍软件。3.MFT（主文件表）是NTFS文件系统的核心结构之一。答案：正确4.现代取证中，固态硬盘（SSD）上直接删除的文件比机械硬盘（HDD）更容易恢复。答案：错误解析：SSD的TRIM命令会主动擦除被逻辑删除的数据块，导致文件内容难以恢复；机械硬盘更易通过底层扇区扫描恢复未覆盖数据。5.在程序运行时，内存中可能存在明文形式的密码，因此内存取证的时机极为重要。答案：正确6.流量取证时，只要抓到了数据包，就可以直接还原出所有原始文件。答案：错误解析：还需识别应用协议、处理分片与重组、解密流量、处理自包含数据块等，且并非所有文件都能被发现或还原。7.对磁盘镜像的哈希校验是取证过程中最关键的操作之一，它证明了证据未被篡改。答案：正确8.同一块硬盘在不同时间进行两次采集，只要两次得到的哈希值一致，就能证明采集过程无错误。答案：正确解析：哈希值一致说明两次镜像逐比特级一致，能有效证明取证镜像与原始介质数据的同一性与完整性。9.中国现行《刑法》中，非法侵入计算机信息系统罪仅针对计算机信息系统和安全保护技术措施，不存在“情节严重”的要求。答案：错误解析：非法侵入计算机信息系统罪要求侵入的是特定领域的计算机信息系统，且有些情形需达到“情节严重”标准才构成犯罪。10.在浏览器取证中，浏览历史记录一定能准确地还原用户的所有上网行为。答案：错误解析：用户可清除历史、使用隐私模式，或采用代理与VPN，因此浏览历史仅能提供有限线索，不能视为完整行为记录。四、简答题（每题6分，共24分）1.简述数字取证的基本步骤。答案：数字取证的基本步骤一般包括：（1）实时响应与现场保护：在保证人员安全的前提下，避免对原始数据的破坏；（2）证据识别与保全：确认数字证据的位置、介质类型，并记录现场信息；（3）证据提取与复制：使用写阻断等手段制作原始介质的镜像，并计算哈希值；（4）数据分析：对镜像进行文件系统、应用层和网络数据分析，寻找有用证据；（5）证据呈现与报告：整理发现，形成可读的鉴定意见与报告，并出庭作证。2.列举至少三种在Windows系统中可能残留用户操作痕迹的数据源。•注册表：记录最近打开文件、执行过的程序、连接过的USB设备等信息；•预读取文件（.pf）：记录最近运行程序的信息；•快捷方式（.lnk）：记录用户打开过的文件和文件夹路径；•事件日志：记录登录、系统操作等行为；•浏览器历史记录和缓存：记录访问的网页与下载行为。3.什么是数据删除和格式化？为什么它们不意味着数据被彻底销毁？答案：删除文件通常只是将文件系统中的索引项标记为“已删除”，释放存储空间供后续写入使用；格式化则是重新创建文件系统结构，数据所在的数据区如果没有被新数据覆盖，仍然可以通过底层扫描进行恢复。因此，删除和格式化后原数据可能仍然残留在存储介质中，只有通过多次覆写、物理销毁或使用特定数据销毁工具才能较为可靠地彻底销毁数据。4.简述区块链技术在数字证据存证中的优势及不足。答案：优势：区块链具有去中心化、不可篡改和可追溯的特点，可以为数字证据的哈希值提供可信的时间戳与完整性证明，帮助验证证据在特定时间点是否存在以及是否被篡改。不足：区块链无法保证上链前证据的真实性——原始介质是否被污染、提取过程是否合规、链上哈希对应的原始数据是否可靠，均需要链下的取证规范和程序保证来解决，区块链本身不能替代完整的取证流程。五、案例分析题（16分）某公司内部服务器S于2026年1月5日14:00左右出现异常：网络监控发现大量来自内网IP5的出站流量，且该主机在非业务时间频繁与外部IP7建立连接。安全团队在主机A上提取到以下印记：-攻击者通过钓鱼邮件投递了带有恶意宏的Word文档；-文档执行后释放了PowerShell加载器；-PowerShell加载器从hxxp://7/shell.ps1下载了C2（命令与控制）脚本；-系统计划任务中新增了名为“Updater”的持久化任务，每隔30分钟运行一次该脚本。请回答：1.该攻击链包含哪几个主要阶段？（4分）2.作为取证分析人员，你会从主机A的哪些数据源提取关键证据来还原攻击过程？（至少回答4类数据源）（6分）3.上述证据中，哪些属于易失性数据？为什么取证时应优先采集？（6分）答案：1.该攻击链主要包括：-初始访问/鱼叉式钓鱼（通过恶意宏文档投递载荷）；-载荷执行与部署（Word宏释放PowerShell加载器）；-命令与控制（C2）通信（下载并执行shell.ps1，外联C2服务器）；-持久化（通过计划任务创建后门实现长期驻留）。2.可从主机A提取以下关键数据源：-内存（RAM）：可能包含PowerShell进程内容、C2脚本明文、网络连接状态、注入代码等易失性数据；-磁盘镜像：包含Word文档原件、宏代码、PowerShell脚本残留、计划任务定义、Prefetch文件、浏览器下载缓存等；-Windows事件日志：安全日志（登录事件）、PowerShell操作日志（ScriptBlock日志）、计划任务触发记录；-注册表：自启动项目、最近执行记录、USB设备使用痕迹；-网络流量日志：主机A与