Компьютерная криминалистика (форензика): подборка полезных ссылок

Для того чтобы успешно проводить расследования инцидентов информационной безопасности необходимо обладать практическими навыками работы с инструментами по извлечению цифровых артефактов. В этой статье будет представлен список полезных ссылок и инструментов для проведения работ по сбору цифровых доказательств.

Основная цель при проведении таких работ — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.

Термин "forensics" является сокращенной формой "forensic science", дословно "судебная наука", то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой. Русский термин "форензика" означает не всякую криминалистику, а именно компьютерную. Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).

Основная сфера применения форензики — анализ и расследование событий, в которых фигурируют компьютерная информация как объект посягательств, компьютер как орудие совершения преступления, а также какие-либо цифровые доказательства.

Для полноценного сбора и анализа информации используются различные узкоспециализированные утилиты, которые будут рассмотрены ниже. Хочу предупредить, что при проведении работ по заключению в том или уголовном деле скорее всего будет рассматриваться наличие тех или иных сертификатов и соответствий ПО (лицензии ФСТЭК). В этом случае придется использовать комбинированные методы по сбору и анализу информации, либо писать выводы и заключение на основании полученных данных из несертифицированных источников.

Фреймворки

— Digital Forensics Framework — платформа с открытым исходным кодом для проведения работ по извлечению и исследованию данных. — PowerForensics утилита, написанная на PowerShell, предназначенная для исследования жестких дисков. — The Sleuth Kit (TSK) — это библиотека на языке C и коллекция инструментов командной строки, которые позволяют исследовать образы дисков.

Реал-тайм утилиты

— GRR Rapid Response: инструмент для расследования и анализа инцидентов. — Mozilla InvestiGator — распределенная реал-тайм платформа для расследования и анализа инцидентов.

Работа с образами (создание, клонирование)

— улучшенная версия консольной утилиты dd. — еще одна улучшенная версия dd. — FTK Imager- просмотр и клонирования носителей данных в среде Windows. — просмотр и клонирования носителей данных в среде Linux.

Извлечение данных

— улучшенная версия популярной утилиты strings. — выявления email, IP-адресов, телефонов из файлов. эта утилита использует расширенные методы статического анализа для автоматической деобфускации данных из двоичных файлов вредоносных программ. — утилита для извления данных и файлов изображений.

Работа с RAM

— фреймворк, отличающийся высокой скоростью работы. — извлечение паролей KeePass из памяти. — анализ дампов RAM, написанный на python. — Volatility Framework представляет собой набор утилит для разностороннего анализа образов физической памяти. — веб-интерфейс для Volatility framework.

Сетевой анализ

— инструменты для анализа трафика для облегчения анализа безопасности крупных сетей. — известнейший сетевой сниффер.

Артефакты Windows (извлечение файлов, историй загрузок, USB устройств и т.д.)

— обширный сборщик информации о системе Windows (реестр, файловая система, сервисы, автозагрузка и т.д.) — кросплатформенный анализатор реестра Windows. — лист сравнения MFT-парсеров (MFT — Master File Table). — MFT-парсер. — парсер журналов NTFS. — — парсер журналов USN. — восстановление NTFS данных. — анализ NTFS данных.

Исследование OS X

— OS X аудитор.

Internet Artifacts

— извлечение информации из Google Chrome. — анализ истории Google Chrome/Chromium.

Анализ временных интервалов

— извлечение и агрегация таймстапов. — анализ таймстапов.

Hex редакторы

— HEX редактор OS X. — Windows версия Synalyze It. — маленький и быстрый HEX редактор. — кросс-платформенный HEX редактор. — HEX редактор в тимплейтами. — кросс-платформенный HEX редактор со сравнением файлов.

Конверторы

— мультиинструмент для кодирования, декодирования, сжатия и анализа данных. — конвертирование бинарных данных.

Анализ файлов

— тимплейты для редактора 010. — парсер различных видов файлов на python. — HFS+ составляющие для Synalysis — составляющие для различных файловых систем. — файловые составляющие для Synalyze It! — файловые составляющие для WinHex и X-Ways

Обработка образов дисков

— утилита командной строки для быстрого монтирования образов дисков — Libewf библиотека и утилиты доступа и обработки форматов EWF, E01. — конвертирования образов дисков.

Для проведения работ по исследованию и сбору цифровых доказательств необходимо придерживаться принципов неизменности, целостности, полноты информации и ее надежности. Для этого необходимо следовать рекомендациям к ПО и методам проведения расследований. В следующей статье я приведу примеры практического использования утилит для анализа образов памяти.