2025年信息系统安全专家EnCase取证软件综合应用专题试卷及解析.pdfVIP

2025年信息系统安全专家ENCASE取证软件综合应用专题试卷及解析1

2025年信息系统安全专家EnCase取证软件综合应用专题

试卷及解析

2025年信息系统安全专家EnCase取证软件综合应用专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在EnCase中，用于创建逻辑证据文件（L01）的功能是？

A、AddDevice

B、CreateImage

C、LogicalEvidenceFile

D、DisktoImage

【答案】C

【解析】正确答案是C。LogicalEvidenceFile是EnCase中专门用于创建逻辑证据

文件的功能，可以提取特定文件或文件夹。A选项AddDevice用于添加物理设备，B

选项CreateImage用于创建完整的磁盘镜像，D选项DisktoImage是创建磁盘镜像的

另一种方式。知识点：EnCase证据文件类型。易错点：容易混淆逻辑证据文件和物理

镜像的创建方式。

2、EnCase中用于分析文件签名（FileSignature）的过滤器位于？

A、FileTypeFilter

B、HashFilter

C、FileSignatureFilter

D、MetadataFilter

【答案】C

【解析】正确答案是C。FileSignatureFilter专门用于根据文件签名分析文件类型，

可以识别文件扩展名与实际内容不符的情况。A选项FileTypeFilter仅根据扩展名过

滤，B选项HashFilter用于哈希值比对，D选项MetadataFilter用于元数据过滤。知

识点：EnCase过滤器功能。易错点：容易混淆文件签名和文件类型过滤器的区别。

3、在EnCase中，用于恢复已删除文件的关键步骤是？

A、运行FileCarver

B、查看UnallocatedClusters

C、检查RecycleBin

D、使用FileSignatureAnalysis

【答案】B

【解析】正确答案是B。UnallocatedClusters（未分配簇）是已删除文件数据可能存

在的区域，通过分析这些区域可以恢复删除的文件。A选项FileCarver用于文件雕刻，

2025年信息系统安全专家ENCASE取证软件综合应用专题试卷及解析2

B选项RecycleBin仅回收站文件，D选项FileSignatureAnalysis用于文件类型识别。

知识点：文件恢复原理。易错点：容易忽略未分配簇的重要性。

4、EnCase中用于验证证据完整性的哈希算法不包括？

A、MD5

B、SHA1

C、SHA256

D、CRC32

【答案】D

【解析】正确答案是D。CRC32是校验和算法，不是加密哈希算法，EnCase主要

使用MD5、SHA1和SHA256验证证据完整性。知识点：哈希算法类型。易错点：容易

混淆校验和与加密哈希的区别。

5、在EnCase中，用于分析网络活动的功能是？

A、InternetHistory

B、NetworkActivity

C、RegistryAnalysis

D、ProcessList

【答案】B

【解析】正确答案是B。NetworkActivity专门用于分析网络连接、端口使用等网

络活动。A选项InternetHistory仅浏览器历史，C选项Registry分析注册表，D选项

ProcessList查看进程列表。知识点：EnCase网络分析功能。易错点：容易混淆网络活

动与浏览器历史。

6、EnCase中用于创建时间线的功能是？

A、TimelineView

B、EventLog

C、FileActivity

D、SystemLog

【答案】A

【解析】正