سؤال امتحان CFE: تدريب يومي لامتحان فاحص الاحتيال المعتمد (CFE) — المجال: Investigation.
السؤال
محقيق في الاحتيال يجد حاسوبًا محمولًا قيد التشغيل في مكتب موظف يشتبه تورطه في تلاعب بالسجلات المالية. ما هو الإجراء الأكثر ملاءمة كخطوة أولى للحفاظ على الأدلة الرقمية؟
اعرض الإجابة والشرح
الإجابة الصحيحة: ب. إذا كان الجهاز قيد التشغيل، جمع الذاكرة المتطايرة (RAM) وحالة النظام الجارية أولاً ثم إنشاء نسخة جنائية متطابقة (bit‑for‑bit) وتوثيق سلسلة الحيازة
الاختيار الصحيح هو جمع الذاكرة المتطايرة وحالة النظام أولاً ثم إنشاء صورة جنائية متطابقة وتوثيق سلسلة الحيازة. الذاكرة المتطايرة (RAM) تحتوي على معلومات قابلة للفقدان عند إيقاف التشغيل (مفاتيح جلسات، عمليات جارية، اتصالات شبكية) ولذا يجب التقاطها قبل أي إيقاف. إنشاء نسخة bit‑for‑bit وتوثيق القيم الهاشية يحافظ على سلامة الدليل. الخيار الأول خاطئ لأن الإيقاف يفقد البيانات المتطايرة. الخيار الثالث خاطئ لأن فصل القرص ماديًا أثناء التشغيل يعرض الملفّات للتلف ويخالف إجراءات السلامة. الخيار الرابع خاطئ لأن إعادة التشغيل تغير حالة النظام وتدمر آثار للذاكرة الجارية، كما قد تفقد معلومات هامة غير مخزنة على القرص.
هل تريد المزيد من التدريب؟
استعد لامتحان فاحص الاحتيال المعتمد (CFE) مع حزمة التحضير لشهادة CFE 2026 (المادة الجديدة).
