2025年信息系统安全专家云平台（AWS_Azure_阿里云）环境取证专题试卷及解析.pdf

2025年信息系统安全专家云平台（AWS_AZURE_阿里云）环境取证专题试卷及解析1

2025年信息系统安全专家云平台（AWS_Azure_阿里

云）环境取证专题试卷及解析

2025年信息系统安全专家云平台（AWS_Azure_阿里云）环境取证专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、在AWS云环境中，当需要调查EC2实例的磁盘活动时，以下哪种服务最适合

用于捕获原始磁盘镜像？

A、CloudTrail

B、VPCFlowLogs

C、EC2InstanceStoreSnapshot

D、AWSConfig

【答案】C

【解析】正确答案是C。EC2InstanceStoreSnapshot可以创建实例存储卷的完整

镜像，是获取原始磁盘数据的标准方法。A选项CloudTrail记录API调用，不包含磁

盘内容；B选项VPCFlowLogs只记录网络流量；D选项AWSConfig记录资源配置

历史，不涉及磁盘内容。知识点：云环境磁盘取证技术。易错点：容易混淆CloudTrail

和磁盘镜像功能。

2、Azure环境中，当需要分析虚拟机内存取证时，应优先使用哪种工具？

A、AzureMonitor

B、AzureSecurityCenter

C、AzureDump

D、AzureDiagnosticExtension

【答案】C

【解析】正确答案是C。AzureDump是专门用于获取AzureVM内存转储的工具。

A选项AzureMonitor主要用于性能监控；B选项AzureSecurityCenter是安全态势管

理工具；D选项DiagnosticExtension用于收集诊断数据，但不支持完整内存转储。知

识点：云环境内存取证技术。易错点：容易误选DiagnosticExtension，认为它能收集

所有诊断数据。

3、阿里云ECS实例的取证分析中，以下哪种日志文件最可能记录SSH登录失败

事件？

A、/var/log/messages

B、/var/log/secure

C、/var/log/yum.log

D、/var/log/cron

2025年信息系统安全专家云平台（AWS_AZURE_阿里云）环境取证专题试卷及解析2

【答案】B

【解析】正确答案是B。/var/log/secure是Linux系统专门记录安全相关事件的日

志文件，包括SSH登录尝试。A选项messages记录系统消息；C选项yum.log记录软

件包安装；D选项cron记录计划任务。知识点：Linux系统日志分析。易错点：容易混

淆messages和secure日志的区别。

4、在AWSS3存储桶取证中，如何验证对象的完整性？

A、检查MD5哈希值

B、查看版本历史

C、启用服务器端加密

D、使用访问日志

【答案】A

【解析】正确答案是A。MD5哈希值是验证文件完整性的标准方法。B选项版本历

史只能查看变更记录；C选项加密保护机密性而非完整性；D选项访问日志记录访问行

为。知识点：数字取证中的完整性验证。易错点：容易混淆加密和完整性验证的概念。

5、AzureKeyVault取证时，如何获取密钥使用记录？

A、查看活动日志

B、检查诊断设置

C、导出访问策略

D、分析审计日志

【答案】D

【解析】正确答案是D。审计日志专门记录KeyVault的密钥操作。A选项活动日

志记录平台级操作；B选项诊断设置用于监控；C选项访问策略定义权限而非使用记

录。知识点：云密钥管理取证。易错点：容易混淆活动日志和审计日志的范围。

6、阿里云RDS实例的数据库取证中，哪种方法最适合获取事务日志？

A、物理备份

B、逻辑备份

C、Binlog解析

D、慢查询日志

【答案】C

【解析】正确答案是C。Binlog记录所有数据库变更，是事务取证的关键。A选项

物理备份包含数据但不是实时日志；B选项逻辑备份是数据导出；D选项慢查询