Компьютерная криминалистика в Windows [HackerU]

HackerU – израильская высшая школа информационных технологий и безопасности, главный поставщик кадров для международного рынка труда. В курсе охватывается широкий спектр процессов криминалистической экспертизы, выполняемой в ОС Windows: 1. Поиск доказательств на жестком диске 2. Обработка скрытых файлов, которые не видимы или не доступны и содержат информацию об использовании в прошлом 3. Отслеживание артефактов Windows, оставленных операционной системой для раскрытия информации об использовании компьютера 4. Выполнение криминалистической экспертизы для выявления фактов об использовании данных. Целевая аудитория: желающие получить более глубокие знания о киберрасследованиях и криминалистических процессах. Два уровня сложности: основной и продвинутый. 40 часов, дистанционное обучение 1) Компьютерная криминалистика: что это Продолжительность: 2 часа. Для любого компьютерного исследователя важно понимать, что он делает, для чего, какие задачи должен решить и что именно необходимо исследовать. Данный модуль посвящен ответам на данные вопросы. Основные темы: 1. Что такое компьютерная криминалистика 2. Цели и задачи компьютерной криминалистики 3. Лаборатория цифровой криминалистики: обязательное оснащение 2) Цифровые доказательства: что о них важно знать Продолжительность: 3 часа. В процессе своей деятельности компьютерному криминалисту придется работать с большим количеством различной цифровой информации, которая будет рассматриваться как источник неких фактов о правонарушении или инциденте. Очень важно знать, какие объекты исследования бывают, где они могут храниться и как грамотно заполучить цифровое доказательство. Предусмотрено решение практического задания. Цель практикума сформировать у слушателя понимание того, каким образом необходимо собирать цифровые доказательства при проведении криминалистического исследования, что важно при этом учитывать, какие инструменты лучше всего использовать, каким образом можно получить дамп оперативной памяти. Основные темы: 1. Цифровые доказательства 1.1. цифровая информация; 1.2. цифровые файлы и папки; 1.3. что такое цифровое доказательство и криминалистические артефакты; 1.4. источники цифровых доказательств 1.4.1. энергонезависимые носители цифровой информации (НЖМД, SSD, USB sticks, оптические носители). 1.4.2. оперативная память; 1.4.3. сетевой трафик. 2. Сбор цифровых доказательств 2.1. подходы к сбору; 2.2. инструменты. ПРАКТИКУМ: получение цифрового образа флешки размером до 2 ГБ с помощью бесплатного ПО; получение дампа оперативной памяти компьютера слушателя. 3) Операционные системы Microsoft Windows: общие сведения Продолжительность: 5 часов. Для компьютерного криминалиста важно знать, как устроена современная операционная система Windows и где в ней можно найти значимую информацию. Модуль посвящен рассказу о видах операционных систем Windows, их строении, описаны основные механизмы защиты ОС Windows, а также способы их обхода. Основные темы: 1. Операционные системы Microsoft Windows (далее ОС Windows): классификация, сравнение функциональности 2. Базовые компоненты ОС Windows 3. Основные механизмы и подсистемы защиты, предусмотренные в ОС Windows; 4. Файловые системы FAT и NTFS: структура и основные отличия; 5. Слабые места ОС Windows: как взламывают ОС Windows; 6. Способы сокрытия вредоносной деятельности: зазоры кластеров, шифрование, стеганография, обфускация. 4) Криминалистический анализ современных операционных систем Microsoft Windows: подходы и инструментарий Продолжительность: 23 часа. Современные ОС Windows могут быть ценным источником цифровых доказательств и криминалистических артефактов. В недрах файловой системы NTFS и реестра Windows могут храниться каталоги, файлы, отдельные байты информации, которая сможет помочь понять, почему произошло противоправное деяние или инцидент. В рамках данного модуля будут рассмотрены основные источники доказательственной информации, хранящейся в ОС Windows, продемонстрированы подходы к анализу данных источников, Предусмотрено решение серии практических заданий. Цель практикумов – сформировать у слушателей понимание того, где в современных ОС Windows могут быть обнаружены цифровые доказательства и криминалистические артефакты, а также выработать навык их извлечения и анализа. Основные темы: 1. Криминалистический анализ файлов ОС Windows: 1.1. поиск следов открытия файлов и папок; 1.2. поиск следов выполнения программного обеспечения; 1.3. поиск следов использования учетных данных; 1.4. поиск следов использования внешних носителей информации; 1.5. история браузера; 1.6. история сетевых подключений. ПРАКТИКУМ: работа с предварительно подготовленным образом виртуальной машины, поиск криминалистически значимой информации в файловой системе ОС Windows 10 2. Криминалистический анализ файлов реестра Windows: 2.1. поиск основной информации о системе; 2.2. поиск артефактов в NTUSER.dat; 2.3. поиск артефактов в SYSTEM; 2.4. поиск артефактов в SAM; 2.5. поиск артефактов в SECURITY. ПРАКТИКУМ: работа с предварительно подготовленным образом виртуальной машины, поиск криминалистически значимой информации в реестре ОС Windows 10 3. Криминалистический анализ хронологии событий в ОС Windows. Подходы и инструменты: 3.1. журналы ОС Windows; 3.2. построение TimeLine. ПРАКТИКУМ: работа с предварительно подготовленным образом виртуальной машины, построение супер timeline 4. Криминалистический анализ файловой системы NTFS. 4.1. подробно о структуре; 4.2. таблица MFT; 4.3. восстановление удаленных данных. ПРАКТИКУМ: работа с флешкой с файловой системой NTFS, изучение структуры NTFS, MFT, ручное восстановление удаленной информации. 5. Криминалистический анализ дампов RAM ПРАКТИКУМ: анализ содержимого предварительно полученного дампа памяти компьютеров слушателей. 5) Создание отчетов по результатам проведения криминалистического исследования ОС Windows Продолжительность: 3 часа. Не менее важной задачей для компьютерного криминалиста является грамотное оформление отчета по результатам проведенного им исследования. Важно понимать, что существуют определенные общепринятые нормы подготовки различных видов отчетов, начиная от отчета для внутреннего пользования, заканчивая заключением эксперта для предоставления в судебные или следственные органы. Основные темы: 1. Виды отчетов 2. Язык отчета 3. Особенности подготовки отчета для предоставления в суд 6) Финальный практикум: криминалистический анализ ОС Windows 10 Продолжительность: 4 часа В рамках финального практикума слушателю будет предложено провести полноценное компьютерное исследование заранее подготовленного образа с операционной системы Windows 10. Цель финального практикума сформировать у слушателей устойчивый навык проведения компьютерного forensic-исследования с последующим созданием отчета. Здесь будут отрабатываться следующие упражнения: - умение собрать и зафиксировать цифровые доказательства; - умение искать и анализировать информацию в файловой системе ОС Windows 10; - умение искать и анализировать информацию в реестре ОС Windows 10; - умение искать и анализировать содержимое оперативной памяти ОС Windows 10; - умение подготавливать грамотный и ёмкий отчет; - умение правильно применять разнообразные наборы специального программного обеспечения. Тот, кто соберет цифровые доказательства раньше всех/больше всех получает дополнительный приз. По итогам куса слушатели получают: Сертификат HackerU о повышении квалификации по направлению «Информационная безопасность. Специализация: Компьютерная криминалистика.»