منذ 9 ساعات
أهلا بك عزيزي المتابع لموقع (journey for learn) نقدم دورات بكوبونات متاحة لاول 1000 تسجيل مجاني فقط وكوبونات اخري لفترة محدودة فاذا كنت تريد ان تحصل علي كل الكورسات علي موقعنا وان تكون اول المسجلين في الكورسات المجانية قم بتسجيل الدخول أوقم بالدخول علي وسائل التواصل الاجتماعي وخصوصا التليجرام نوضح الوصف المختصر والطويل للدورات لكي تعرف الدروس التي سوف تتعلمها بسهولة ويسر :
تغطية تفصيلية لمجال الاختبار: محلل الطب الشرعي المعتمد من GIAC (GCFA) للحصول على شهادة GCFA، يجب عليك إثبات قدرتك على البحث عن الخصوم المتقدمين وتحديد هويتهم ومواجهتهم. تم تصميم بنك الاختبار التدريبي هذا ليعكس المجالات الصارمة للاختبار الرسمي:- الاستجابة للحوادث والطب الشرعي (30%): إتقان جمع البيانات المتقلبة، وتحليل صور الذاكرة العميقة، والمهارة الحاسمة لإعادة بناء الجدول الزمني لتتبع تحركات المهاجم.
- تحليل البرامج الضارة (25%): اكتساب الكفاءة في كل من التحليل الثابت والديناميكي، واستخدام بيئات الحماية، وربط مؤشرات التسوية. (IOCs).
- الطب الشرعي للذاكرة (20%): الحصول على الصور من نظامي التشغيل Windows وLinux، والكشف عن عمليات حقن التعليمات البرمجية، وإتقان الأدوات مثل Volatility وRECmd.
- الطب الشرعي لنظام الملفات (15%): التنقل في هياكل NTFS/FAT، واستعادة العناصر المحذوفة، والتحقيق في سجلات MFT $ للبيانات المخفية.
- إعداد التقارير والتوثيق (10%): تطوير تقارير الطب الشرعي التي تحافظ على سلسلة الحراسة وترجمة النتائج الفنية للجماهير القانونية أو التنفيذية.
- السؤال 1: أثناء تحقيق الطب الشرعي للذاكرة باستخدام إطار عمل Volatility، ما هو المكون الإضافي الأكثر فعالية لتحديد العمليات المخفية أو غير المرتبطة التي قد تشير إلى وجود برنامج rootkit؟
- أ. قائمة pslist
- ب. بسسكان
- ج. بيستري
- د. قائمة dll
- E. مقابض
- F. cmdscan
- الإجابة الصحيحة: ب
- الشرح:
- ب (صحيح): يقوم psscan بفحص كائنات العملية من خلال البحث عن علامات التجمع، مما يسمح له بالعثور على العمليات التي تم إلغاء ربطها من قائمة العمليات النشطة بواسطة برنامج rootkit.
- أ (غير صحيح): تعتمد قائمة pslist على قائمة العمليات المرتبطة بشكل مزدوج؛ غالبًا ما تختبئ الجذور الخفية عن طريق إزالة نفسها من هذه القائمة المحددة.
- C (غير صحيح): يعرض pstree العلاقة بين الوالدين والطفل ولكنه لا يزال يعتمد على القائمة القياسية التي يمكن معالجتها.
- D (غير صحيح): تعرض dlllist مكتبات الارتباط الديناميكي المحملة لعملية معينة ولكنها لا تجد العمليات المخفية.
- E (غير صحيح): يسرد المقابض المقابض المفتوحة لعملية ما، وهو مفيد للتحليل ولكن ليس للعثور على عملية مخفية/غير مرتبطة. الهياكل.
- F (غير صحيحة): يبحث cmdscan عن سجل سطر الأوامر في الذاكرة، وليس عن كائنات العملية نفسها.
- السؤال 2: في نظام ملفات NTFS، ما هي السمة المحددة داخل جدول الملفات الرئيسي ($MFT) التي تحتوي على الطوابع الزمنية للملف القياسي (MACB) المستخدمة بشكل شائع لتحليل المخطط الزمني؟
- أ. $DATA
- ب. $FILENAME
- ج. $STANDARD_INFORMATION
- د. $INDEX_ROOT
- ه. $BITMAP
- ف. $ATTRIBUTE_LIST
- الإجابة الصحيحة: C
- الشرح:
- C (صحيح): تحتوي السمة $STANDARD_INFORMATION على الطوابع الزمنية الأكثر استخدامًا (تم إنشاؤها، وتعديلها، والوصول إليها، وتعديل MFT) وهي الهدف الأساسي لتحليل المخطط الزمني.
- ب (غير صحيح): يحتوي $FILENAME أيضًا على طوابع زمنية، ولكن يتم تحديثها غالبًا بشكل أقل تكرارًا يتم استخدامها للكشف عن "timestomping" من خلال مقارنتها بـ $STANDARD_INFORMATION.
- أ (غير صحيح): يحتفظ $DATA بالمحتوى الفعلي للملف أو المؤشرات إلى المجموعات.
- D (غير صحيح): يتم استخدام $INDEX_ROOT لفهرسة الدليل.
- E (غير صحيح): $BITMAP يتتبع حالة تخصيص السجلات.
- F (غير صحيح): يتم استخدام $ATTRIBUTE_LIST فقط عندما يحتوي الملف على العديد من السمات التي لا يمكن احتواؤها في سجل MFT واحد.
- السؤال 3: أثناء إجراء تحليل ديناميكي للبرامج الضارة في وضع الحماية، لاحظت أن البرامج الضارة تحاول الاستعلام عن "معرف المنتج" في سجل Windows ثم تنتهي على الفور. ما هو السبب الأرجح لهذا السلوك؟
- أ. تحاول البرامج الضارة تحديث نفسها.
- ب. تقوم البرامج الضارة بإجراء فحص مكافحة الطب الشرعي/مكافحة VM.
- ج. تبحث البرامج الضارة عن كلمات المرور المخزنة.
- د. تحاول البرامج الضارة تشفير السجل.
- E. تتحقق البرامج الضارة من وجود ترخيص Windows صالح للتشغيل.
- F. تعمل البرامج الضارة على إنشاء آلية استمرارية.
- الإجابة الصحيحة: ب
- الشرح:
- ب (صحيح): تستعلم العديد من التهديدات المتقدمة عن مفاتيح تسجيل محددة أو معرفات أجهزة معينة لاكتشاف ما إذا كانت تعمل في بيئة افتراضية أو تحليلية (وضع الحماية) وسوف "تنتهي ذاتيًا" لتجنب الكشف.
- أ (غير صحيح): تتضمن التحديثات الذاتية عادةً عمليات رد اتصال عبر الشبكة، وليس مجرد استعلام سجل متبوعًا بـ الإنهاء.
- C (غير صحيح): تتضمن سرقة كلمة المرور عادةً خلايا تسجيل مختلفة (مثل SAM) أو ملفات بيانات المتصفح.
- D (غير صحيح): سيستمر التشفير (برنامج الفدية) في التشغيل بدلاً من إنهائه بعد فحص واحد.
- E (غير صحيح): لا تهتم البرامج الضارة عمومًا بشرعية ترخيص نظام التشغيل.
- F (غير صحيح): يتضمن الاستمرار إضافة مفاتيح إلى "تشغيل" أو مجلدات "RunOnce"، وليس مجرد الاستعلام عن معرف المنتج.
- مرحبًا بك في أكاديمية اختبارات ممارسة الاختبارات لمساعدتك في الاستعداد لمحلل الطب الشرعي المعتمد (GCFA) من GIAC.
- يمكنك إعادة إجراء الاختبارات عدة مرات كما تريد.
- هذا بنك أسئلة أصلي ضخم.
- يمكنك الحصول على الدعم من المدرسين إذا كان لديك الأسئلة.
- كل سؤال له شرح مفصل.
- متوافق مع الهاتف المحمول مع تطبيق Udemy.
- ضمان استرداد الأموال لمدة 30 يومًا إذا لم تكن راضيًا.
ما هي المتطلبات الأساسية لدخول الدورة والتسجيل فيها على موقعنا؟ رحلة التعلم:
(احصل على الدورة للدخول إلى الموقع والتسجيل)
يجب أن يكون لديك بريد إلكتروني (حساب بريد) تتذكره لنفسك وأيضًا يجب أن تتذكر كلمة مرور البريد الإلكتروني الذي ستسجل به ، وإذا لم يكن لديك حساب بريد إلكتروني ، فمن الأفضل إنشاء حساب (Gmail)
0 تعليقات
تسجيل دخول
