Форензика - Forensics

Фреймворки

• Forensic Framework Volatility
• Autopsy - цифровая криминалистическая платформа

Реал-тайм утилиты

Работа с образами (создание, клонирование)

• Виртуализация криминалистических образов в Windows
• AccessData FTK Imager против Arsenal Image Mounter...

Иногда при доступе к ПК нужно максимально и оперативно снять информацию, мы рассмотрим автоматизированную утилиту FastIR Collector
запуск (на картинке в shell запущен был cmd от Администратора

На выходе получаем вот такой список данных (утилита портабельна)):
Не скажу что утилита хороша но папка evt с *.evtx и файлик USBHistory.csv очень даже нужные - но много го нет.
[1 часть] Универсальный...

Восстановление данных с помошью программы winhex.
Происшествие: Сотрудник работал с текстовым документом, удалил из него информацию и сохранил под тем же именем.
Задача: восстановить предыдущую редакцию документа без потери информации.

Для имитации будем использовать текстовый документ формата docx. Создаем документ на флешки, и заполняем его информацией, для примера в исходный файл я ввел одной строкой единицы, сохранил документ, далее ввел двойки, сохранил, и так далее до пяти.
Задача восстановить документ до исходного состояния с единицами.

Запускаем программу Winhex с правами администратора, заходим Tools->open disk или клавиша F9.

Выбираем физический носитель на котором находится документ.

Откроется редактор данных, заходим Tools->Disk Tools -> File Recovery by Type,
...

Уже была статья бесплатные программы в Windows по нахождению данных в веб-браузерах (история, cookie, кеш) Forensics Windows Free tools in Web Browser Artifacts (history, cookie, cache)
Сейчас мы рассмотрим универсальный инструмент DB Browser for SQLite, с его помощью разберем данные артефакты в ручную и определим откуда программы берут такие данные как история, кеш, cookie.

Mozilla Firefox в которой есть вот такие (пример картинка) базы данных

• С помощью DB Browser for SQLite откроем файл базы данных places.sqlite который хранит аннотации, закладки, любимые значки, историю ввода, ключевые слова и историю просмотров (запись посещенных страниц).

...

При расследовании инцидентов часто на экспертизу попадают usb накопители, но методы изъятия из ПК или ноутбуков делают эти устройства потом не читаемыми, как пример такого устройства pqi usb flash 256 мб, при подключении в систему выдает "форматировать диск"
Мы рассмотрим такие программы:

• GetDataBack Simple
• R-Studio
• BlackLight 2018 Release 2
• AccessData Forensic Toolkit FTK
• X-Ways Forensics
• Recovery Explorer Professional
• 7-Data_Recovery
• MiniToolPowerDataRecovery
• OntrackEasyRecovery
• Recover My Files
• ForensicsMaster
• DMDE - DM Disk Editor and Data Recovery Software

GetDataBack Simple программа нормально отобразила файлы и папки и была запущена

В Форензике история посещений страниц в интернете это неотъемлемая часть экспертиз, в этот раз мы рассмотрим только явные следы (удаленные и.т.п это отдельные темы для рассмотрений).
Немного теории (места хранения не удаленных данных):

Продолжение статей:
[Начало] Forensics Windows Registry
[Продолжение] Forensics Windows Registry - ntuser.dat
Иногда для получения полной картины все данные реестра нужно собрать в одно цело с которым будет удобнее рассматривать все варианты произошедшего или исследования следов/артефактов.
Дано:

1. ntuser.dat извлечён из криминалистического образа (dd, raw, e01, 001 и.т.д)
2. файлы реестра SAM, SECURITY, SOFTWARE, SYSTEM, DEFAULT, DRIVERS полученные IREC или Triage или скопированы из...

• [Начало] Forensics Windows Registry
• [Продолжение] Forensics Windows Registry - ntuser.dat
• [Дополнение] Forensics Windows Registry - расшифровка и отображение всех записей UserAssist (к второму пункту статьи "Forensics Windows Registry - ntuser.dat")
• [Дополнение] Forensics Windows Registry - история запуска программ (дополнение к статье "Forensics Windows Registry - ntuser.dat")
• Продолжение этих статей: Forensics Windows Registers all in one program

...

В Форензике Реестр может выявить огромное количество информации о злоумышленнике.
Информация, которая может быть найдена в реестре, включает:

• Пользователи и время последнего использования системы
• Последнее используемое программное обеспечение
• Любые устройства, подключенные к системе, включая уникальные идентификаторы флеш-накопителей, жестких дисков, телефонов, планшетов и.т.д.
• Когда система подключена к определенной точке беспроводного доступа
• Что и когда файлы были доступны
• Список любых поисков, выполненных в системе
• И многое, многое другое

Что такое Реестр Windows?
Согласно Microsoft, статья . Eще описание.
Реестр Windows - это «центральная иерархическая база данных», предназначенная "Для хранения информации, необходимой для настройки системы для одного или нескольких пользователей, приложений и аппаратных устройств.
Реестр...

Так вышло что общение с WebWare Team меня с подвигло к написанию данной статьи.

Характер взлома с предыдущим сбором информации и компьютерно техническая экспертиза да и подготовка malware и её же reverse engineering часто используют одни и те же параметры изучения.

Они все получают выгоду от знания методов друг друга. Все зависит от того в каких целях применяются инструменты, а многие из них применимы в всех перечисленных мною направлениях, только на разных этапах работы.

Хочу напомнить о многими забытых инструментах Марка Руссиновича, не зря Microsoft их купила у него, сделала на некоторые gui и на сегодняшний день их Updated: July 5, 2018 и ой как чувствую не зря.

Начал я из далека но разрешите Вам представить , а кому напомнить.

AccessChk - позволяет узнать, к каким типам пользователей и групп доступа относятся файлы...