Windows 系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生..

免费智能真题库 > 历年试卷 > 信息安全工程师 > 2022年下半年信息安全工程师下午试卷案例

第3题

知识点：攻击者异常硬件

Windows 系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因,或者寻找受到攻击时攻击者留下的痕迹有一天，王工在夜间的例行安全巡检过程中，发现有异常日志告警，通过查看 NTA 全流量分析设备，找到了对应的可疑流量，请分析其中可能的安全事件。

问题：3.1 访问 windows 系统中的日志记录有多种方法，请问通过命令行窗口快速访问日志的命令名字(事件查看器)是什么?

问题：3.2 Windows 系统通过事件D来记录不同的系统行为，图3-1的事件ID为4625，请结合任务类别，判断导致上述日志的最有可能的情况。备选项:
A、本地成功登录 B、网络失败登录 C、网络成功登录 D、本地失败登录

问题：3.3 王工通过对攻击流量的关联分析定位到了图 3-2所示的网络分组，请指出上述攻击针对的是哪一个端口。

问题：3.4 如果要在Wireshark当中过滤出上述流量分组请写出在显示过滤框中应输入的过滤表达式

问题：3.5 Windows 系统为了实现安全的远程登录使用了 tls 协议，请问图 3-2 中，服务器的数字证书是在哪一个数据包中传递的?通信双方是从哪一个数据包开始传递加密数据的?请给出对应数据包的序号。

问题：3.6 网络安全事件可分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他事件。请问上述攻击属于哪一种网络安全事件?

问题：3.7 此类攻击针对的是三大安全目标即保密性、完整性、可用性中的哪一个?


知识点讲解
· 攻击者 · 异常 · 硬件

攻击者

根据网络攻击来源，攻击者可分成两大类：内部人员和外部人员。根据网络攻击的动机与目的，常见的攻击者可以分为六种：间谍、恐怖主义者、黑客、职业犯罪分子、公司职员和破坏者。

异常

异常是一种形式的异常控制流，它一部分是由硬件实现的，一部分是由操作系统实现的。因为它们有一部分是由硬件实现的，所以具体细节将随系统的不同而有所不同。然而，对于每个系统而言，基本的思想都是相同的。

异常（exception）就是控制流中的突变，用来响应处理器状态中的某些变化。异常可以分为四类：中断（interrupt）、陷阱（trap）、故障（fault）和中止（abort）。下表对这些类别的属性做了小结。

异常的类别

（1）陷阱。陷阱是有意的异常，是执行一条指令的结果。就像中断处理程序一样，陷阱处理程序将控制返回到下一条指令。陷阱最重要的用途是在用户程序和内核之间提供一个像过程一样的接口，叫做系统调用。

用户程序经常需要向内核请求服务，例如读一个文件、创建一个新的进程、加载一个新的程序或者中止当前进程。为了允许对这些内核服务的受控的访问，处理器提供了一条特殊的syscall指令，当用户程序想要请求服务n时，可以执行这条指令。执行syscall指令会导致一个到异常处理程序的陷阱，这个处理程序对参数解码，并调用适当的内核程序。

（2）故障。故障由错误情况引起，它可能被故障处理程序修正。当一个故障发生时，处理器将控制转移给故障处理程序。如果处理程序能够修正这个错误情况，它就将控制返回到故障指令，从而重新执行它。否则，处理程序返回到内核中的abort例程，abort例程会中止引起故障的应用程序。

（3）中止。中止是不可恢复的致命错误造成的结果，典型的是一些硬件错误，例如DRAM或者SRAM位被损坏时发生的奇偶错误。中止处理程序从不将控制返回给应用程序。处理程序将控制返回给一个abort例程，该例程会中止这个应用程序。

硬件

硬件是计算机物理设备的总称，也称为硬件设备，通常是电子的、机械的、磁性的或光的元器件或装置，一般分为中央处理器、存储器和输入、输出设备。

题号导航 2022年下半年信息安全工程师下午试卷案例

本试卷我的完整做题情况



	第3题在手机中做本题