Which of the following tools are used for detecting changes in a system during behavioral analysis?

Đáp án đúng: "Regshot". Regshot chụp ảnh registry, tuỳ chọn cả thư mục tệp, trước và sau khi chạy mẫu, rồi so hai ảnh để liệt kê khoá, giá trị và tệp được thêm, xoá hay sửa; vì công cụ cho ra đúng danh sách khác biệt nên nó khớp nhất với việc phát hiện thay đổi (detecting changes) trên hệ thống. Cần nói rõ chỗ tranh cãi: "Process Monitor" cũng ghi được mọi thao tác lên registry và tệp theo thời gian thực, nên nó cũng giúp thấy thay đổi, nhất là khi cần biết tiến trình nào gây ra; khác biệt là ProcMon ghi luồng sự kiện để người phân tích tự lọc, còn Regshot cho thẳng kết quả so sánh trạng thái trước sau, nên khi chỉ chọn một công cụ thì Regshot là đáp án. Bác: "Wireshark" bắt và giải mã gói tin mạng, cho thấy mẫu liên lạc với ai chứ không cho biết hệ thống bị đổi gì. "Netcat" là tiện ích đọc ghi kết nối TCP/UDP, trong lab thường dùng để giả lập máy chủ hay lắng nghe cổng, không phải công cụ phát hiện thay đổi.