Компьютерная криминалистика

Сентябрь 3, 2022

Главная
Алгебра
Компьютерная криминалистика

Содержание

2. Что такое компьютерная криминалистика? Ответвление криминалистики, сочетающее в себе восстановление и расследование материалов, найденных на электронных
3. Разделы
4. Задачи Найди улику в образе диска Найди улику в дампе трафика Найди улику в дампе ОП
5. Про анализ бинарников Бинарные файлы могут встречаться десятками в образе Каждый дизассемблировать смысла нет Проверить строки
6. Анализ оперативной памяти Volatility \\.\PhysicalMemory \\.\DebugMemory /dev/mem mdd Hex-editors (HxD, WinHex,..)
7. Загрузка ОС на примере Windows Включение питания Чтение команд из BIOS Анализ оборудования Поиск загрузочного носителя
8. Анализ файловых систем Данные файловой системы Данный содержимого Метаданные Данные имен файлов Прикладные данные
9. NTFS Наиболее распространенная файловая система для семейства ОС Windows Концепции Безопасность Надежность Поддержка носителей больших объёмов
10. Основные понятия NTFS Все данные – файлы MFT (Master File Table ~ «Главная файловая таблица» )
11. MFT (Master File Table) Запись в таблице для каждого файла и директории Все записи нумеруются. [0,1,…]
12. Запись MFT Занимает 1024 байта Первые 42 байта – фиксированный формат Остальное пространство под атрибуты
13. Запись MFT Первая запись – базовая Если атрибуты не помещаются в запись, то создается ещё одна
14. Файлы метаданных Занимают зарезервированные первые 16 записей MFT Первые 12 записей выделены и содержат файлы метаданных
15. Файлы метаданных
16. Файлы метаданных
17. Файлы метаданных
18. Атрибуты Все атрибуты имеют заголовок и содержимое Структура содержимого может быть разная у разных атрибутов Заголовок
19. Атрибуты Резидентные и нерезидентные Разреженные атрибуты Сжатые атрибуты($DATA)
20. Сжатие
21. Типы атрибутов Все типы имеют идентификатор, имя По идентификатору происходит упорядочивание атрибутов в записи
22. Восстановление данных 1. Восстановление разрушенных данных • Аппаратные и программные сбои • Воздействие вредоносного ПО •
23. Анализ данных и представление результатов 1. Анализ данных • Выбор инструментария (ПО, утилиты) • Интерпретация данных
24. Особенности Mobile forensics 1. Использование Flash, SSD в качестве основного носителя Работа с твердотельными носителями со
25. Особенности Network forensics 1. Большое количество компьютеров Необходимо применение специальных средств мониторинга, анализа и хранения сетевых
27. Скачать презентацию

Слайд 2

Что такое компьютерная криминалистика?
Ответвление криминалистики, сочетающее в себе восстановление и расследование

материалов, найденных на электронных носителях.

Криминалистика – наука, исследующая закономерности приготовления, совершения и раскрытия преступлений

Слайд 3

Разделы

Слайд 4

Задачи
Найди улику в образе диска
Найди улику в дампе трафика
Найди улику в

дампе ОП
Найди улику в бинарнике
Найди улику в RAM
…

Слайд 5

Про анализ бинарников
Бинарные файлы могут встречаться десятками в образе
Каждый дизассемблировать смысла

нет
Проверить строки командой strings

Слайд 6

$Анализ оперативной памяти Volatility \\.\PhysicalMemory \\.\DebugMemory /dev/mem mdd Hex-editors (HxD, WinHex,..)$

Анализ оперативной памяти
Volatility
\\.\PhysicalMemory \\.\DebugMemory
/dev/mem
mdd
Hex-editors (HxD, WinHex,..)

Слайд 7

Загрузка ОС на примере Windows
Включение питания
Чтение команд из BIOS
Анализ оборудования
Поиск загрузочного

носителя в порядке очереди
Выполнение загрузочного кода из первого сектора диска
Выполнение загрузочного кода раздела

Слайд 8

Анализ файловых систем
Данные файловой системы
Данный содержимого
Метаданные
Данные имен файлов
Прикладные данные

Слайд 9

NTFS
Наиболее распространенная файловая система для семейства ОС Windows
Концепции
Безопасность
Надежность
Поддержка носителей больших объёмов

Слайд 10

Основные понятия NTFS
Все данные – файлы
MFT (Master File Table ~ «Главная

файловая таблица» )
Пространство выделяется кластерами – (группы смежных секторов)

Слайд 11

MFT (Master File Table)
Запись в таблице для каждого файла и директории
Все

записи нумеруются. [0,1,…]
Нулевая запись – запись на себя
Может быть фрагментирована по секторам
Расширяется системой, но не сужается

Слайд 12

Запись MFT
Занимает 1024 байта
Первые 42 байта – фиксированный формат
Остальное пространство под

атрибуты

Слайд 13

Запись MFT
Первая запись – базовая
Если атрибуты не помещаются в запись, то

создается ещё одна запись с ссылкой на базовую

Слайд 14

Файлы метаданных
Занимают зарезервированные первые 16 записей MFT
Первые 12 записей выделены и

содержат файлы метаданных
4 записи [12-15] выделены, но являются пустыми

Слайд 15

Файлы метаданных

Слайд 16

Файлы метаданных

Слайд 17

Файлы метаданных

Слайд 18

Атрибуты
Все атрибуты имеют заголовок и содержимое
Структура содержимого может быть разная у

разных атрибутов
Заголовок хранит тип, размер, имя атрибута
Запись может иметь несколько однотипных атрибутов (у каждого уникальный id)

Слайд 19

Атрибуты
Резидентные и нерезидентные
Разреженные атрибуты
Сжатые атрибуты($DATA)

Слайд 20

Сжатие

Слайд 21

Типы атрибутов
Все типы имеют идентификатор, имя
По идентификатору происходит упорядочивание атрибутов в

записи

Слайд 22

Восстановление данных
1. Восстановление разрушенных данных
• Аппаратные и программные сбои
• Воздействие вредоносного

ПО
• Ошибки и намеренные действия пользователей
2. Восстановление «закрытых» данных
• Данные, закрытые паролем
• Кодированные и шифрованные данные
• Данные в «скрытых» областях
3. Восстановление с систем хранения данных
• RAID системы и внешние DAS системы
• Сетевые хранилища NAS
• Виртуальные и распределенные хранилища данных
4. Разнообразие технологий хранения данных
• Типы накопителей
• Интерфейсы
• Способы организации хранения данных

Слайд 23

Анализ данных и представление результатов
1. Анализ данных
• Выбор инструментария (ПО, утилиты)
•

Интерпретация данных
• Корректная постановка вопросов эксперту
2. Представление результатов
• Доказательность собранных данных

Слайд 24

Особенности Mobile forensics
1. Использование Flash, SSD в качестве
основного носителя
Работа с твердотельными

носителями со сложной организацией памяти
2. Закрытость платформы
Трудность обеспечения полноты копии из-за сложностей с организацией прямого доступа к памяти
3. Многообразие реализаций
4. Технические сложности из-за миниатюризации

Слайд 25

Особенности Network forensics
1. Большое количество компьютеров
Необходимо применение специальных средств мониторинга, анализа

и хранения сетевых данных
2. Обмен данными с Интернет
Необходимо предварительное накопление и хранение данных в специальных системах (аналогия - видеорегистраторы)
3. Беспроводные сети
Проблемы Computer forensics

Компьютерная криминалистика

Содержание

Что такое компьютерная криминалистика?Ответвление криминалистики, сочетающее в себе восстановление и расследование

Разделы

ЗадачиНайди улику в образе дискаНайди улику в дампе трафикаНайди улику в

Про анализ бинарниковБинарные файлы могут встречаться десятками в образеКаждый дизассемблировать смысла

Анализ оперативной памятиVolatility\\.\PhysicalMemory \\.\DebugMemory /dev/memmddHex-editors (HxD, WinHex,..)

Загрузка ОС на примере WindowsВключение питанияЧтение команд из BIOSАнализ оборудованияПоиск загрузочного

Анализ файловых системДанные файловой системыДанный содержимогоМетаданныеДанные имен файловПрикладные данные

NTFSНаиболее распространенная файловая система для семейства ОС WindowsКонцепцииБезопасностьНадежностьПоддержка носителей больших объёмов

Основные понятия NTFSВсе данные – файлыMFT (Master File Table ~ «Главная

MFT (Master File Table)Запись в таблице для каждого файла и директорииВсе

Запись MFTЗанимает 1024 байтаПервые 42 байта – фиксированный форматОстальное пространство под

Запись MFTПервая запись – базоваяЕсли атрибуты не помещаются в запись, то

Файлы метаданныхЗанимают зарезервированные первые 16 записей MFTПервые 12 записей выделены и

Файлы метаданных

Файлы метаданных

Файлы метаданных

АтрибутыВсе атрибуты имеют заголовок и содержимоеСтруктура содержимого может быть разная у

АтрибутыРезидентные и нерезидентныеРазреженные атрибутыСжатые атрибуты($DATA)

Сжатие

Типы атрибутовВсе типы имеют идентификатор, имяПо идентификатору происходит упорядочивание атрибутов в

Восстановление данных1. Восстановление разрушенных данных• Аппаратные и программные сбои• Воздействие вредоносного

Анализ данных и представление результатов1. Анализ данных• Выбор инструментария (ПО, утилиты)•

Особенности Mobile forensics1. Использование Flash, SSD в качествеосновного носителяРабота с твердотельными

Особенности Network forensics1. Большое количество компьютеровНеобходимо применение специальных средств мониторинга, анализа

Похожие презентации

Что такое компьютерная криминалистика?
Ответвление криминалистики, сочетающее в себе восстановление и расследование

Задачи
Найди улику в образе диска
Найди улику в дампе трафика
Найди улику в

Про анализ бинарников
Бинарные файлы могут встречаться десятками в образе
Каждый дизассемблировать смысла

Анализ оперативной памяти
Volatility
\\.\PhysicalMemory \\.\DebugMemory
/dev/mem
mdd
Hex-editors (HxD, WinHex,..)

Загрузка ОС на примере Windows
Включение питания
Чтение команд из BIOS
Анализ оборудования
Поиск загрузочного

Анализ файловых систем
Данные файловой системы
Данный содержимого
Метаданные
Данные имен файлов
Прикладные данные

NTFS
Наиболее распространенная файловая система для семейства ОС Windows
Концепции
Безопасность
Надежность
Поддержка носителей больших объёмов

Основные понятия NTFS
Все данные – файлы
MFT (Master File Table ~ «Главная

MFT (Master File Table)
Запись в таблице для каждого файла и директории
Все

Запись MFT
Занимает 1024 байта
Первые 42 байта – фиксированный формат
Остальное пространство под

Запись MFT
Первая запись – базовая
Если атрибуты не помещаются в запись, то

Файлы метаданных
Занимают зарезервированные первые 16 записей MFT
Первые 12 записей выделены и

Атрибуты
Все атрибуты имеют заголовок и содержимое
Структура содержимого может быть разная у

Атрибуты
Резидентные и нерезидентные
Разреженные атрибуты
Сжатые атрибуты($DATA)

Типы атрибутов
Все типы имеют идентификатор, имя
По идентификатору происходит упорядочивание атрибутов в

Восстановление данных
1. Восстановление разрушенных данных
• Аппаратные и программные сбои
• Воздействие вредоносного

Анализ данных и представление результатов
1. Анализ данных
• Выбор инструментария (ПО, утилиты)
•

Особенности Mobile forensics
1. Использование Flash, SSD в качестве
основного носителя
Работа с твердотельными

Особенности Network forensics
1. Большое количество компьютеров
Необходимо применение специальных средств мониторинга, анализа