Форензика и OSINT

Информация о самой информации. Основные понятия

Метаданные - информация о самой информации. Иногда полезным является знать не только информацию, но и данные о самой информации, где, когда и кем она была создана. Для того, чтобы заводить разговоры о чём-либо, нужно знать о чём говоришь, следуя этой философии, узнаем у Гугла, что такое метаданные.

Он гласит: "Метаданные — это субканальная информация об используемых данных. Структурированные данные, представляющие собой характеристики описываемых сущностей для целей их идентификации, поиска, оценки, управления ими", не совсем понятная формулировка этого определения? Я тоже так думаю, намного понятней, если сказать:" Информация о любом творении информационных технологий, будто фотография, текстовый документ или же исполняемый файл"? Ну и собственно о плане этой статьи:

• Анализ метаданных фотоматериалов.
• Анализ метаданных прочих файлов, методы сбора информации для...

Этот сайт ещё называют Гугл для “хакеров”. Это постоянно обновляемая база данных с более чем 70 источниками: CVE, эксплойты, статьи, скрипты.



Также вы можете получать ежедневные новости. Уязвимости нулевого дня повторяются день за днём,год от года. Некоторые из них появляются так быстро, что специалисты не успевают их исправить. Знания - это сила! Будьте первым, кто получитет новости о новой уязвимости, как только она появится!

Приложения от Vulners:
Vulners-Scanner - это сканер уязвимостей на основе PoC, использующий API vulners.com. Обнаруживает операционную систему, собирает установленные пакеты и проверяет уязвимости в ней. В настоящее время он поддерживает сбор пакетов для операционных систем на основе Debian (debian, kali, kali) и Rhel (redhat, centos, fedora).

Плагин Vulners NSE - это отличное решение для полной скорости сканирования уязвимостей с использованием...

Журналы событий обеспечивают контрольный журнал, который записывает пользовательские события и действия на компьютере и являются потенциальным источником доказательств в цифровой криминалистике исследования. Иногда требуется получить логи событий за определенный момент времени, и уже в этом отрезке времени изучать события, именно для этого и написана программа EventFinder2.

EventFinder2 от Mike Peterson of Nullsec.us. Эта утилита, написанная на C #, позволит следователю быстро получить дружественный к Excel экспорт всех журналов Windows EVTX в течение указанного промежутка времени, отсортированных по временному порядку. Затем данные могут быть легко отсортированы и отфильтрованы для облегчения быстрого анализа.

EventFinder2 дает возможность искать по заданному временому отрезку как в работающей ОС так же и в сохраненных файлах *.evtx с других систем (Read From Directory Path)
Пример запущеной программы:

Результат появится на рабочем столи в виде файла...

Многие вирусописатели и хакеры используют Punto Switcher для задач кейлоггера (включая функцию дневник), не забывая установить пароль от лишних глаз.
Стандартное место для punto-switcher-setup-4.4.3-bild-407
C:\Users\{USER}\AppData\Roaming\Yandex\Punto Switcher\User Data
но файл Дневника - "diary.dat"...

Event Log Explorer for Windows event log analysis

Журналы событий обеспечивают контрольный журнал, который записывает пользовательские события и действия на компьютере и являются потенциальным источником доказательств в цифровой криминалистике исследования.

Не всегда хватает инструмента Windows для поиска и изучения событий.

На официальном сайте можно скачать обе версии и зарегистрировать их на себя, производитель позволяет такую операцию, вот мой пример



Мне нравится использовать обе версии.

Event Log Explorer - эффективное программное решение для просмотра, анализа и мониторинга событий, записанных в журналах событий Microsoft Windows. Event Log Explorer значительно упрощает и ускоряет анализ журналов событий (безопасность, приложение, система, настройка, служба каталогов, DNS и другие).

Event Log Explorer расширяет стандартную функциональность Windows Event Viewer и предоставляет множество...

FastIR Collector - это инструмент для сбора данных «Fast Forensic». Традиционная криминалистика достигла своего предела с постоянным развитием информационных технологий. С экспоненциально растущим размером жестких дисков их копирование может занять несколько часов, а объем данных может быть слишком большим для быстрого и эффективного анализа.

«Fast Forensic» позволяет ответить на эти вопросы. Он направлен на извлечение ограниченного, но с высокой информационной ценностью объема данных. Эти целевые данные являются наиболее последовательными и важными для аналитика реагирования на инциденты и позволяют аналитику быстро собирать артефакты и, таким образом, иметь возможность быстро принимать решения о случаях.

FastIR Collector предназначен для извлечения наиболее известного артефакта Windows, используемого различными вредоносными программами. Это помогает аналитику быстро принимать решения о состоянии приобретенной системы: взломана она или нет.
Классические инструменты судебной...

Forensic Scanner это мини комбайн содержащий в себе 44 готовых инструмента.
Шаг 1. Смонтируйте файл образа. Первый шаг к использованию сканера Forensic - это монтирование файла образа как доступного тома.
Есть ряд инструментов и методов, доступных для этого...

Загрузочный образ Windows 10 Version 1709 Redstone3 build 16299*
This is a minimalist 32 WinPE/WinFE with a GUI shell (BBLean - based on BlackBox for Windows) - originally created for system deployment.
Загрузка с защитой от записи на исследуемый объект
программы:
Linux Reader 3.4;
FTK Imager 3.1.1.8;
7-Zip 18.06 добавлен
7-Zip plugins на данный момент плагин Forensic7z
поддерживает изображения в следующих форматах:
Экспертный формат сжатия свидетелей ASR (.S01)
Encase Формат файла изображения (.E01, .Ex01)
Encase Логический формат файла изображения (.L01, .Lx01)
Расширенный формат криминалистики (.AFF)
AccessData FTK Imager Логическое изображение (.AD1).

при нажатии правой кнопкой на рабочем столе получаем...

zero-click forensic imaging (IO) - инструмент для криминалистической визуализации с нулевым кликом, разработанный для использования в условиях высокой нагрузки. IO автоматически включает программную блокировку записи, обнаруживает изменения на подключенных устройствах и начинает создавать изображения E01 с подключенного целевого носителя без какого-либо вмешательства пользователя. Кроме того, журналы ввода-вывода включают критическую информацию об устройстве, которая требуется экспертам MEDEX (судебно-медицинская экспертиза), такую как тип устройства, модель, имя, размер, геометрия, хэши MD5 и SHA1, серийный номер оборудования, серийный номер тома для каждого раздела и VID устройства. / PID.

Кроме того, IO был спроектирован с нуля, чтобы обеспечить одновременную обработку и анализ данных наряду с визуализацией. Не влияя на общее время визуализации, IO создает отчеты по сортировке, которые включают общее количество файлов и извлеченную информацию о географическом местоположении из...