信息安全管理與評估 第二階段 網(wǎng)絡安全事件響應數(shù)字取證調(diào)查應用程序安全

信息安全管理與評估第二階段網(wǎng)絡安全事件響應數(shù)字取證調(diào)查應用程序安全第二階段競賽項目試題本文件為信息安全管理與評估項目競賽-第二階段試題，第二階段內(nèi)容包括：網(wǎng)絡安全事件響應、數(shù)字取證調(diào)查和應用程序安全。本次比賽時間為180分鐘。介紹競賽有固定的開始和結(jié)束時間，參賽隊伍必須決定如何有效的分配時間。請認真閱讀以下指引?。?）當競賽結(jié)束，離開時請不要關(guān)機；（2）所有配置應當在重啟后有效；（3）除了CD-ROM/HDD/NET驅(qū)動器，請不要修改實體機的配置和虛擬機本身的硬件設置。所需的設備、機械、裝置和材料所有測試項目都可以由參賽選手根據(jù)基礎(chǔ)設施列表中指定的設備和軟件完成。評分方案本項目階段分數(shù)為35分。項目和任務描述隨著網(wǎng)絡和信息化水平的不斷發(fā)展，網(wǎng)絡安全事件也層出不窮，網(wǎng)絡惡意代碼傳播、信息竊取、信息篡改、遠程控制等各種網(wǎng)絡攻擊行為已嚴重威脅到信息系統(tǒng)的機密性、完整性和可用性。因此，對抗網(wǎng)絡攻擊，組織安全事件應急響應，采集電子證據(jù)等技術(shù)工作是網(wǎng)絡安全防護的重要部分?，F(xiàn)在，A集團已遭受來自不明組織的非法惡意攻擊，您的團隊需要幫助A集團追蹤此網(wǎng)絡攻擊來源，分析惡意攻擊攻擊行為的證據(jù)線索，找出操作系統(tǒng)和應用程序中的漏洞或者惡意代碼，幫助其鞏固網(wǎng)絡安全防線。本模塊主要分為以下幾個部分：網(wǎng)絡安全事件響應數(shù)字取證調(diào)查應用程序安全本部分的所有工作任務素材或環(huán)境均已放置在指定的計算機上，參賽選手完成后，填寫在電腦桌面上“信息安全管理與評估競賽-第二階段答題卷”中。選手的電腦中已經(jīng)安裝好Office軟件并提供必要的軟件工具（Tools工具包）。工作任務第一部分網(wǎng)絡安全事件響應任務1：應急響應A集團的WebServer服務器被黑客入侵，該服務器的Web應用系統(tǒng)被上傳惡意軟件，系統(tǒng)文件被惡意軟件破壞，您的團隊需要幫助該公司追蹤此網(wǎng)絡攻擊的來源，在服務器上進行全面的檢查，包括日志信息、進程信息、系統(tǒng)文件、惡意文件等，從而分析黑客的攻擊行為，找出關(guān)鍵的證據(jù)信息。本任務素材清單：Server服務器虛擬機（Vmware）。受攻擊的Server服務器已整體打包成虛擬機文件保存，請選手自行導入分析。注意：Server服務器的基本配置參見附錄，若題目中未明確規(guī)定，請使用默認配置。請根據(jù)賽題環(huán)境及任務要求提交正確答案。任務1：應急響應序號任務要求答案1任務要求12任務要求23任務要求34......第二部分數(shù)字取證調(diào)查任務2：操作系統(tǒng)取證A集團某服務器系統(tǒng)感染惡意程序，導致系統(tǒng)關(guān)鍵文件被破壞，信息被竊取。請分析A集團提供的系統(tǒng)鏡像和內(nèi)存鏡像，找到惡意程序及破壞系統(tǒng)的證據(jù)信息。本任務素材清單：操作系統(tǒng)鏡像、內(nèi)存鏡像。請根據(jù)賽題環(huán)境及任務要求提交正確答案。任務2：操作系統(tǒng)取證序號任務要求答案1任務要求12任務要求23任務要求34......任務3：網(wǎng)絡數(shù)據(jù)包分析A集團的網(wǎng)絡安全監(jiān)控系統(tǒng)發(fā)現(xiàn)惡意份子正在實施高級可持續(xù)攻擊（APT），并抓取了部分可疑流量包。請您根據(jù)捕捉到的流量包，搜尋出網(wǎng)絡攻擊線索，分解出隱藏的惡意程序，并分析惡意程序的行為。本任務素材清單：捕獲的網(wǎng)絡數(shù)據(jù)包文件。請根據(jù)賽題環(huán)境及任務要求提交正確答案。任務3：網(wǎng)絡數(shù)據(jù)包分析序號任務要求答案1任務要求12任務要求23任務要求34......任務4：計算機單機取證對給定取證鏡像文件進行分析，搜尋證據(jù)關(guān)鍵字（線索關(guān)鍵字為“evidence1”、“evidence2”、……、“evidence10”，有文本形式也有圖片形式，不區(qū)分大小寫），請?zhí)崛『凸潭ū荣愐蟮臉说淖C據(jù)文件，并按樣例的格式要求填寫相關(guān)信息，證據(jù)文件在總文件數(shù)中所占比例不低于15%。取證的信息可能隱藏在正常的、已刪除的或受損的文件中，您可能需要運用編碼轉(zhuǎn)換技術(shù)、加解密技術(shù)、隱寫技術(shù)、數(shù)據(jù)恢復技術(shù)，還需要熟悉常用的文件格式（如辦公文檔、壓縮文檔、圖片等）。本任務素材清單：取證鏡像文件。請按要求完成該部分的工作任務。任務4：計算機單機取證證據(jù)編號在取證鏡像中的文件名鏡像中原文件Hash碼（MD5，不區(qū)分大小寫）evidence1ev