电子数据取证分析师二级技师 详细题库

工控设备网络流量提取与固定方法 题目预览

• 第 1 题 单选题
  在基于网络设备的流量捕获中，用于捕获流量的关键设备通常是（ ）。
  • A. 入侵检测系统
  • B. 防火墙
  • C. 交换机或路由器
  • D. 数据库服务器
  解析：在基于网络设备的流量捕获方法中，核心是利用网络中的交换机和路由器等设备自带的流量镜像或端口镜像功能，将经过设备的流量复制一份发送到指定的分析端口，从而实现流量的捕获。
• 第 2 题 单选题
  为实现对特定工控网络流量的捕获，通常需要在网络设备上配置（ ）功能。
  • A. 端口镜像
  • B. 访问控制列表
  • C. 网络地址转换
  • D. 动态主机配置协议
  解析：端口镜像（Port Mirroring）是交换机上的一项功能，它可以将一个或多个端口的流量复制到指定的监控端口，从而实现对特定链路流量的捕获，这是在网络设备上进行流量捕获的常用技术。
• 第 3 题 单选题
  在配置网络设备进行流量捕获时，为了确保捕获数据的完整性，应优先选择（ ）的链路。
  • A. 带宽利用率最低
  • B. 关键业务必经
  • C. 物理距离最短
  • D. 网络层级最高
  解析：为了确保捕获的流量能够全面反映被监控对象的网络活动，特别是对于工控设备，应选择关键业务数据流必经的链路进行捕获，这样才能获取到最相关和完整的数据。
• 第 4 题 单选题
  通过路由器进行流量捕获时，可以利用其提供的（ ）特性来获取流经路由器的数据包。
  • A. NetFlow
  • B. QoS
  • C. VPN
  • D. OSPF
  解析：NetFlow是思科公司开发的一种网络协议，用于收集IP流量信息。通过配置路由器导出NetFlow数据，可以获取流经路由器的流量统计信息和部分数据内容，是一种常见的流量捕获与分析手段。
• 第 5 题 判断题
  基于网络设备的流量捕获方法可以无需在目标主机上安装任何代理软件。
  • A. 对
  • B. 错
  解析：基于网络设备的流量捕获（如端口镜像、NetFlow）是在网络基础设施层面进行操作，通过配置交换机、路由器等设备来实现，因此不需要在终端主机上安装任何软件。
• 第 6 题 判断题
  利用交换机的端口镜像功能捕获流量时，镜像端口的速度必须低于被镜像端口的速度。
  • A. 对
  • B. 错
  解析：镜像端口（即目的端口）的速度应不低于被镜像端口（即源端口）的速度，否则在高流量情况下可能导致数据包丢失，影响流量捕获的完整性。
• 第 7 题 多选题
  在进行基于网络设备的工控流量捕获时，需要考虑的关键因素包括（ ）。
  • A. 网络设备的型号与支持的功能
  • B. 镜像端口的带宽容量
  • C. 捕获数据包的过滤策略
  • D. 网络拓扑结构
  • E. 工控设备的操作系统版本
  解析：网络设备的型号决定了其是否支持端口镜像等流量捕获功能（A）。镜像端口的带宽需要足够大以避免丢包（B）。合理的过滤策略可以聚焦于关键流量，提高分析效率（C）。网络拓扑决定了流量路径，从而影响镜像点的选择（D）。工控设备的操作系统版本（E）通常与网络层面的流量捕获无直接关联。
• 第 8 题 多选题
  以下哪些技术或协议可以用于从网络设备获取流量信息？（ ）
  • A. sFlow
  • B. SNMP
  • C. Port Mirroring
  • D. Wireshark
  • E. NetFlow
  解析：sFlow（A）是一种网络设备采用的流量采样技术。Port Mirroring（C）是交换机上直接复制流量的功能。NetFlow（E）是路由器等设备提供的流量统计与导出协议。SNMP（B）主要用于网络设备管理，其流量信息较为宏观，不用于详细数据包捕获。Wireshark（D）是一个运行在计算机上的协议分析软件，其本身不是从网络设备获取流量的协议或技术，而是可以接收来自端口镜像等来源的数据。