Для того чтобы успешно проводить расследования инцидентов информационной безопасности необходимо обладать практическими навыками работы с инструментами по извлечению цифровых артефактов. В этой статье будет представлен список полезных ссылок и инструментов для проведения работ по сбору цифровых доказательств.
Основная цель при проведении таких работ — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.
Термин "forensics" является сокращенной формой "forensic science", дословно "судебная наука", то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой. Русский термин "форензика" означает не всякую криминалистику, а именно компьютерную.
Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).
Основная сфера применения форензики — анализ и расследование событий, в которых фигурируют компьютерная информация как объект посягательств, компьютер как орудие совершения преступления, а также какие-либо цифровые доказательства.
Для полноценного сбора и анализа информации используются различные узкоспециализированные утилиты, которые будут рассмотрены ниже. Хочу предупредить, что при проведении работ по заключению в том или уголовном деле скорее всего будет рассматриваться наличие тех или иных сертификатов и соответствий ПО (лицензии ФСТЭК). В этом случае придется использовать комбинированные методы по сбору и анализу информации, либо писать выводы и заключение на основании полученных данных из несертифицированных источников.
Фреймворки
Реал-тайм утилиты
Работа с образами (создание, клонирование)
Извлечение данных
Работа с RAM
Сетевой анализ
Артефакты Windows (извлечение файлов, историй загрузок, USB устройств и т.д.)
Исследование OS X
Internet Artifacts
Анализ временных интервалов
Hex редакторы
Конверторы
Анализ файлов
Обработка образов дисков
Итог
Для проведения работ по исследованию и сбору цифровых доказательств необходимо придерживаться принципов неизменности, целостности, полноты информации и ее надежности. Для этого необходимо следовать рекомендациям к ПО и методам проведения расследований.
Основная цель при проведении таких работ — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.
Термин "forensics" является сокращенной формой "forensic science", дословно "судебная наука", то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой. Русский термин "форензика" означает не всякую криминалистику, а именно компьютерную.
Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).
Основная сфера применения форензики — анализ и расследование событий, в которых фигурируют компьютерная информация как объект посягательств, компьютер как орудие совершения преступления, а также какие-либо цифровые доказательства.
Для полноценного сбора и анализа информации используются различные узкоспециализированные утилиты, которые будут рассмотрены ниже. Хочу предупредить, что при проведении работ по заключению в том или уголовном деле скорее всего будет рассматриваться наличие тех или иных сертификатов и соответствий ПО (лицензии ФСТЭК). В этом случае придется использовать комбинированные методы по сбору и анализу информации, либо писать выводы и заключение на основании полученных данных из несертифицированных источников.
Фреймворки
- — Digital Forensics Framework — платформа с открытым исходным кодом для проведения работ по извлечению и исследованию данных.
- — PowerForensics утилита, написанная на PowerShell, предназначенная для исследования жестких дисков.
- — The Sleuth Kit (TSK) — это библиотека на языке C и коллекция инструментов командной строки, которые позволяют исследовать образы дисков.
Реал-тайм утилиты
- — GRR Rapid Response: инструмент для расследования и анализа инцидентов.
- — Mozilla InvestiGator — распределенная реал-тайм платформа для расследования и анализа инцидентов.
Работа с образами (создание, клонирование)
- — улучшенная версия консольной утилиты dd.
- — еще одна улучшенная версия dd.
- — FTK Imager- просмотр и клонирования носителей данных в среде Windows.
- — просмотр и клонирования носителей данных в среде Linux.
Извлечение данных
- — улучшенная версия популярной утилиты strings.
- — выявления email, IP-адресов, телефонов из файлов.
- эта утилита использует расширенные методы статического анализа для автоматической деобфускации данных из двоичных файлов вредоносных программ.
- — утилита для извления данных и файлов изображений.
Работа с RAM
- — фреймворк, отличающийся высокой скоростью работы.
- — извлечение паролей KeePass из памяти.
- — анализ дампов RAM, написанный на python.
- — Volatility Framework представляет собой набор утилит для разностороннего анализа образов физической памяти.
- — веб-интерфейс для Volatility framework.
Сетевой анализ
- — инструменты для анализа трафика для облегчения анализа безопасности крупных сетей.
- — известнейший сетевой сниффер.
Артефакты Windows (извлечение файлов, историй загрузок, USB устройств и т.д.)
- — обширный сборщик информации о системе Windows (реестр, файловая система, сервисы, автозагрузка и т.д.)
- — кросплатформенный анализатор реестра Windows.
- — лист сравнения MFT-парсеров (MFT — Master File Table).
- — MFT-парсер.
- — парсер журналов NTFS.
- — — парсер журналов USN.
- — восстановление NTFS данных.
- — анализ NTFS данных.
Исследование OS X
- — OS X аудитор.
Internet Artifacts
- — извлечение информации из Google Chrome.
- — анализ истории Google Chrome/Chromium.
Анализ временных интервалов
- — извлечение и агрегация таймстапов.
- — анализ таймстапов.
Hex редакторы
- — HEX редактор OS X.
- — Windows версия Synalyze It.
- — маленький и быстрый HEX редактор.
- — кросс-платформенный HEX редактор.
- — HEX редактор в тимплейтами.
- — кросс-платформенный HEX редактор со сравнением файлов.
Конверторы
- — мультиинструмент для кодирования, декодирования, сжатия и анализа данных.
- — конвертирование бинарных данных.
Анализ файлов
- — тимплейты для редактора 010.
- — парсер различных видов файлов на python.
- — HFS+ составляющие для Synalysis
- — составляющие для различных файловых систем.
- — файловые составляющие для Synalyze It!
- — файловые составляющие для WinHex и X-Ways
Обработка образов дисков
- — утилита командной строки для быстрого монтирования образов дисков
- — Libewf библиотека и утилиты доступа и обработки форматов EWF, E01.
- — конвертирования образов дисков.
Итог
Для проведения работ по исследованию и сбору цифровых доказательств необходимо придерживаться принципов неизменности, целостности, полноты информации и ее надежности. Для этого необходимо следовать рекомендациям к ПО и методам проведения расследований.