检测到文件被篡改，就能恢复原文件吗？

正确答案 A

发现异常与恢复原状是两个能力。题目已经确认检测并告警，同时明确没有恢复手段，所以A最准确。完整性服务可以提供检测，而不附带恢复，不能因为恢复做不到就否定已完成的检测。

把校验结果想成一个警报：它能告诉你数据与可信依据不符，却不因此保存了完整的历史内容。若要恢复，需要可用的原版本、可信副本或其他经过验证的恢复机制，恢复后还要再确认数据正确。题干特意说明校验依据受保护，是为了不把“攻击者能连校验依据一起改掉”的另一类问题混进来。这道题考的是保护范围，不主张只做告警就足够，也不把检测能力误称为阻止所有修改的能力。

选项分析

A

同时尊重检测已发生和没有恢复手段两项事实，正确区分了完整性框架中的检测与恢复能力。

B

校验结果并不自动包含重建原文件所需的内容，不能从发现异常直接推出能够恢复原状。

C

完整性服务可以按是否支持恢复分类，不带恢复并不使其检测功能失去完整性保护的意义。

D

修改发生说明未被完全阻止，但题干已确认随后检测并告警，把阻止和检测当成同一能力才会误选。

再巩固一步

• 完整性题按三个动作拆开：能否阻止、能否发现、能否恢复。题干提供哪项机制，结论就落在哪一项。