- 635
- 733
- 15 Янв 2017
Для того чтобы успешно проводить расследования инцидентов информационной безопасности необходимо обладать практическими навыками работы с инструментами по извлечению цифровых артефактов. В этой статье будет представлен список полезных ссылок и инструментов для проведения работ по сбору цифровых доказательств.
Основная цель при проведении таких работ — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.
Термин "forensics" является сокращенной формой "forensic science", дословно "судебная наука", то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой. Русский термин "форензика" означает не всякую криминалистику, а именно компьютерную.
Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).
Основная сфера применения форензики — анализ и расследование событий, в которых фигурируют компьютерная информация как объект посягательств, компьютер как орудие совершения преступления, а также какие-либо цифровые доказательства.
Для полноценного сбора и анализа информации используются различные узкоспециализированные утилиты, которые будут рассмотрены ниже. Хочу предупредить, что при проведении работ по заключению в том или уголовном деле скорее всего будет рассматриваться наличие тех или иных сертификатов и соответствий ПО (лицензии ФСТЭК). В этом случае придется использовать комбинированные методы по сбору и анализу информации, либо писать выводы и заключение на основании полученных данных из несертифицированных источников.
Фреймворки
- Для просмотра ссылки Войди
или Зарегистрируйся — Digital Forensics Framework — платформа с открытым исходным кодом для проведения работ по извлечению и исследованию данных. - Для просмотра ссылки Войди
или Зарегистрируйся — PowerForensics утилита, написанная на PowerShell, предназначенная для исследования жестких дисков. - Для просмотра ссылки Войди
или Зарегистрируйся — The Sleuth Kit (TSK) — это библиотека на языке C и коллекция инструментов командной строки, которые позволяют исследовать образы дисков.
- Для просмотра ссылки Войди
или Зарегистрируйся — GRR Rapid Response: инструмент для расследования и анализа инцидентов. - Для просмотра ссылки Войди
или Зарегистрируйся — Mozilla InvestiGator — распределенная реал-тайм платформа для расследования и анализа инцидентов.
- Для просмотра ссылки Войди
или Зарегистрируйся — улучшенная версия консольной утилиты dd. - Для просмотра ссылки Войди
или Зарегистрируйся — еще одна улучшенная версия dd. - Для просмотра ссылки Войди
или Зарегистрируйся — FTK Imager- просмотр и клонирования носителей данных в среде Windows. - Для просмотра ссылки Войди
или Зарегистрируйся — просмотр и клонирования носителей данных в среде Linux.
- Для просмотра ссылки Войди
или Зарегистрируйся — улучшенная версия популярной утилиты strings. - Для просмотра ссылки Войди
или Зарегистрируйся — выявления email, IP-адресов, телефонов из файлов. - Для просмотра ссылки Войди
или Зарегистрируйся эта утилита использует расширенные методы статического анализа для автоматической деобфускации данных из двоичных файлов вредоносных программ. - Для просмотра ссылки Войди
или Зарегистрируйся — утилита для извления данных и файлов изображений.
- Для просмотра ссылки Войди
или Зарегистрируйся — фреймворк, отличающийся высокой скоростью работы. - Для просмотра ссылки Войди
или Зарегистрируйся — извлечение паролей KeePass из памяти. - Для просмотра ссылки Войди
или Зарегистрируйся — анализ дампов RAM, написанный на python. - Для просмотра ссылки Войди
или Зарегистрируйся — Volatility Framework представляет собой набор утилит для разностороннего анализа образов физической памяти. - Для просмотра ссылки Войди
или Зарегистрируйся — веб-интерфейс для Volatility framework.
- Для просмотра ссылки Войди
или Зарегистрируйся — инструменты для анализа трафика для облегчения анализа безопасности крупных сетей. - Для просмотра ссылки Войди
или Зарегистрируйся — известнейший сетевой сниффер.
- Для просмотра ссылки Войди
или Зарегистрируйся — обширный сборщик информации о системе Windows (реестр, файловая система, сервисы, автозагрузка и т.д.) - Для просмотра ссылки Войди
или Зарегистрируйся — кросплатформенный анализатор реестра Windows. - Для просмотра ссылки Войди
или Зарегистрируйся — лист сравнения MFT-парсеров (MFT — Master File Table). - Для просмотра ссылки Войди
или Зарегистрируйся — MFT-парсер. - Для просмотра ссылки Войди
или Зарегистрируйся — парсер журналов NTFS. - Для просмотра ссылки Войди
или Зарегистрируйся — — парсер журналов USN. - Для просмотра ссылки Войди
или Зарегистрируйся — восстановление NTFS данных. - Для просмотра ссылки Войди
или Зарегистрируйся — анализ NTFS данных.
- Для просмотра ссылки Войди
или Зарегистрируйся — OS X аудитор.
- Для просмотра ссылки Войди
или Зарегистрируйся — извлечение информации из Google Chrome. - Для просмотра ссылки Войди
или Зарегистрируйся — анализ истории Google Chrome/Chromium.
- Для просмотра ссылки Войди
или Зарегистрируйся — извлечение и агрегация таймстапов. - Для просмотра ссылки Войди
или Зарегистрируйся — анализ таймстапов.
- Для просмотра ссылки Войди
или Зарегистрируйся — HEX редактор OS X. - Для просмотра ссылки Войди
или Зарегистрируйся — Windows версия Synalyze It. - Для просмотра ссылки Войди
или Зарегистрируйся — маленький и быстрый HEX редактор. - Для просмотра ссылки Войди
или Зарегистрируйся — кросс-платформенный HEX редактор. - Для просмотра ссылки Войди
или Зарегистрируйся — HEX редактор в тимплейтами. - Для просмотра ссылки Войди
или Зарегистрируйся — кросс-платформенный HEX редактор со сравнением файлов.
- Для просмотра ссылки Войди
или Зарегистрируйся — мультиинструмент для кодирования, декодирования, сжатия и анализа данных. - Для просмотра ссылки Войди
или Зарегистрируйся — конвертирование бинарных данных.
- Для просмотра ссылки Войди
или Зарегистрируйся — тимплейты для редактора 010. - Для просмотра ссылки Войди
или Зарегистрируйся — парсер различных видов файлов на python. - Для просмотра ссылки Войди
или Зарегистрируйся — HFS+ составляющие для Synalysis - Для просмотра ссылки Войди
или Зарегистрируйся — составляющие для различных файловых систем. - Для просмотра ссылки Войди
или Зарегистрируйся — файловые составляющие для Synalyze It! - Для просмотра ссылки Войди
или Зарегистрируйся — файловые составляющие для WinHex и X-Ways
- Для просмотра ссылки Войди
или Зарегистрируйся — утилита командной строки для быстрого монтирования образов дисков - Для просмотра ссылки Войди
или Зарегистрируйся — Libewf библиотека и утилиты доступа и обработки форматов EWF, E01. - Для просмотра ссылки Войди
или Зарегистрируйся — конвертирования образов дисков.
Для проведения работ по исследованию и сбору цифровых доказательств необходимо придерживаться принципов неизменности, целостности, полноты информации и ее надежности. Для этого необходимо следовать рекомендациям к ПО и методам проведения расследований.