PrepSnap logoPrepSnap
Pass

Question

1.
2.
3.
4.
Answer (Detailed Solution Below)

Option 1 : Capture physical memory first — it holds the volume encryption keys, process lists and network connections that vanish on shutdown / पहले भौतिक मेमोरी कैप्चर करें — इसमें वॉल्यूम एन्क्रिप्शन कुंजियाँ, प्रक्रिया सूचियाँ और नेटवर्क कनेक्शन हैं जो शटडाउन पर लुप्त हो जाते हैं

Advertisement

Detailed Solution

सही उत्तर Capture physical memory first — it holds the volume encryption keys, process lists and network connections that vanish on shutdown / पहले भौतिक मेमोरी कैप्चर करें — इसमें वॉल्यूम एन्क्रिप्शन कुंजियाँ, प्रक्रिया सूचियाँ और नेटवर्क कनेक्शन हैं जो शटडाउन पर लुप्त हो जाते हैं है।

Key Points
Helpful?
PrepSnapprepsnap.in • Part -A

Question:

Responders find ransomware actively encrypting files on a workstation whose encrypted volume is still mounted and unlocked. What is the correct first forensic action, and why? / प्रतिक्रियाकर्ताओं को वर्कस्टेशन पर रैंसमवेयर सक्रिय रूप से फ़ाइलें एन्क्रिप्ट करता मिलता है जिसका एन्क्रिप्टेड वॉल्यूम अभी भी माउंटेड और अनलॉक्ड है। सही पहला फॉरेंसिक कदम क्या है, और क्यों?

1.
Capture physical memory first — it holds the volume encryption keys, process lists and network connections that vanish on shutdown / पहले भौतिक मेमोरी कैप्चर करें — इसमें वॉल्यूम एन्क्रिप्शन कुंजियाँ, प्रक्रिया सूचियाँ और नेटवर्क कनेक्शन हैं जो शटडाउन पर लुप्त हो जाते हैं
2.
Pull the power plug immediately to freeze the ransomware / रैंसमवेयर रोकने हेतु तुरंत पावर प्लग खींचें
3.
Perform a graceful shutdown to preserve disk state cleanly / डिस्क अवस्था स्वच्छ संरक्षित करने हेतु सुचारु शटडाउन करें
4.
Image the disk first, since memory can be captured from the image later / पहले डिस्क इमेज करें, क्योंकि इमेज से बाद में मेमोरी कैप्चर की जा सकती है

Correct Answer: Capture physical memory first — it holds the volume encryption keys, process lists and network connections that vanish on shutdown / पहले भौतिक मेमोरी कैप्चर करें — इसमें वॉल्यूम एन्क्रिप्शन कुंजियाँ, प्रक्रिया सूचियाँ और नेटवर्क कनेक्शन हैं जो शटडाउन पर लुप्त हो जाते हैं

With the volume mounted, encryption keys and ransomware process artefacts live only in RAM — capturing memory first preserves them; both (b) and (c) destroy RAM contents, and graceful shutdown additionally lets the OS overwrite volatile traces. Option (d) is the trap: a disk image never contains live RAM. / वॉल्यूम माउंटेड होने पर, एन्क्रिप्शन कुंजियाँ और रैंसमवेयर प्रक्रिया कलाकृतियाँ केवल RAM में रहती हैं — पहले मेमोरी कैप्चर करने से वे संरक्षित होती हैं; (b) और (c) दोनों RAM सामग्री नष्ट करते हैं, और सुचारु शटडाउन OS को अस्थिर निशान अधिलेखित करने देता है। विकल्प (d) जाल है: डिस्क इमेज में कभी लाइव RAM नहीं होती।

Downloaded from PrepSnap (prepsnap.in)