搜索

[7908] 2014-03-26_走进计算机取证分析的神秘世界

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-03-26_走进计算机取证分析的神秘世界 走 进 计 算 机 取 证 分 析 的 神 秘 世 界 白 河 · 愁   F r e e B u f   2 0 1 4 - 0 3 - 2 6 1 .   介 绍 介 绍 计 算 机 技 术 是 人 们 生 活 的 重 要 组 成 部 分 ， 而 且 它 正 在 迅 速 增 长 ， 同 样 发 生 在 计 算 机 犯 罪 方 面 ， 如 金 融 诈 骗 ， 非 法 入 计 算 机 技 术 是 人 们 生 活 的 重 要 组 成 部 分 ， 而 且 它 正 在 迅 速 增 长 ， 同 样 发 生 在 计 算 机 犯 罪 方 面 ， 如 金 融 诈 骗 ， 非 法 入 侵 ， 身 份 盗 窃 和 盗 窃 知 识 产 权 。 为 了 对 付 这 些 计 算 机 相 关 的 犯 罪 ， 计 算 机 取 证 中 起 着 非 常 重 要 的 作 用 。 侵 ， 身 份 盗 窃 和 盗 窃 知 识 产 权 。 为 了 对 付 这 些 计 算 机 相 关 的 犯 罪 ， 计 算 机 取 证 中 起 着 非 常 重 要 的 作 用 。   “ 计 算 机 取 证 包 括 获 取 和 分 析 数 字 信 息 用 作 证 据 在 民 事 ， 刑 事 或 行 政 案 件 （ 尼 尔 森 ， B . 等 人 ， 2 0 0 8 ） ” 。         计 算 机 取 证 调 查 通 常 调 查 从 计 算 机 硬 盘 或 其 他 存 储 设 备 获 取 的 取 证 数 据 ， 并 遵 循 标 准 的 政 策 和 程 序 ， 以 确 定 这 些 设 备 是 否 已 被 泄 露 和 未 经 授 权 的 访 问 或 篡 改 。 计 算 机 取 证 调 查 以 团 队 的 形 式 进 行 共 组 ， 并 使 用 各 种 方 法 （ 例 如 静 态 和 动 态 ） 和 工 具 （ 例 如 P r o D i s c o v e r 或 E n c a s e ） 调 查 计 算 机 安 全 事 件 ， 确 保 计 算 机 网 络 系 统 安 全 。 一 个 成 功 的 计 算 机 取 证 调 查 必 须 熟 悉 相 关 的 在 自 己 的 国 家 计 算 机 犯 罪 的 各 种 法 律 和 法 规 （ 1 9 9 0 如 计 算 机 滥 用 法 ， 英 国 ） 和 各 种 电 脑 操 作 系 统 （ 如 W i n d o w s 和 L i n u x ） 和 网 络 操 作 系 统 （ 例 如 视 窗 N T   ）   。 据 尼 尔 森 ， B . 等 人 ， （ 2 0 0 8 年 ） ， 公 共 调 查 及 私 人 或 企 业 调 查 是 两 个 不 同 的 类 别 ， 属 于 计 算 机 取 证 调 查 。 公 众 调 查 会 由 政 府 机 构 进 行 ， 私 人 调 查 会 由 私 人 电 脑 法 医 小 组 进 行 。 本 报 告 将 集 中 在 私 人 调 查 ， 由 于 事 件 发 生 在 位 于 卢 顿 新 开 办 的 中 小 企 业 。         该 报 告 包 括 一 个 计 算 机 模 型 调 查 ， 数 据 收 集 和 它 的 类 型 ， 并 购 的 证 据 ， 取 证 工 具 ， 恶 意 调 查 ， 计 算 机 取 证 的 法 律 问 题 ， 最 后 这 份 报 告 还 提 供 了 必 要 的 建 议 ， 对 策 和 政 策 ， 以 确 保 这 一 中 小 企 业 在 一 个 安 全 的 网 络 环 境 。 2 .   案 列 学 习 案 列 学 习         一 个 总 部 设 在 伦 敦 的 小 公 司 的 一 个 在 线 管 理 系 统 最 近 注 意 到 在 一 些 账 户 和 产 品 记 录 里 存 在 一 些 异 常 记 录 ， 简 单 检 查 系 统 日 志 发 现 一 些 I P 地 址 通 过 防 火 墙 向 外 发 送 大 量 数 据 。 同 时 一 些 用 户 也 反 映 在 订 单 处 理 时 出 现 一 些 不 正 常 的 消 息 并 且 经 常 跳 转 到 一 些 看 起 来 不 合 法 的 支 付 页 面 。         该 公 司 使 用 了 一 个 通 用 的 电 子 商 务 套 件 （ o s c o m m e r c e ） ， 并 有 一 个 有 六 人 I T 支 持 人 员 的 小 团 队 ， 但 他 们 不 觉 得 自 己 有 能 进 行 一 次 全 面 的 恶 意 软 件 / 取 证 调 查 的 专 业 知 识 。         由 于 增 加 在 高 科 技 领 域 的 竞 争 ， 该 公 司 是 急 于 确 保 他 们 的 系 统 没 有 被 破 坏 ， 他 们 已 经 采 用 数 字 取 证 调 查 ， 以 确 定 任 何 恶 意 行 为 是 否 已 经 发 生 ， 并 确 保 有 他 们 的 系 统 中 没 有 恶 意 软 件 。         你 的 任 务 是 给 I T 团 队 提 供 建 议 如 何 查 找 和 净 化 受 恶 意 软 件 感 染 的 计 算 机 并 确 保 在 其 处 所 或 在 网 络 上 没 有 其 他 机 器 已 经 被 感 染 。 该 小 组 还 希 望 你 开 展 数 字 取 证 调 查 ， 看 看 你 是 否 能 追 查 问 题 的 原 因 ， 并 在 必 要 时 ， 准 备 对 肇 事 者 的 情 况 。         公 司 使 用 W i n d o w s 服 务 器 ， I T 团 队 每 月 会 打 基 本 的 补 丁 包 ， 但 是 团 队 也 发 现 一 些 电 脑 似 乎 没 有 打 补 丁 。 交 付 物 交 付 物         在 这 个 任 务 里 需 要 你 提 交 一 个 5 0 0 0 字 的 报 告 ， 包 含 这 些 内 容 ： •   恶 意 软 件 调 查 •   数 字 取 证 调 查         需 要 提 供 合 理 的 理 由 说 明 为 什 么 选 择 特 定 的 方 法         需 要 提 供 电 子 取 证 的 过 程 以 及 符 合 的 法 律 的 取 证 要 求
        报 告 中 需 要 提 供 取 证 过 程 中 所 使 用 工 具 和 技 术 评 估 他 们 的 效 果 以 及 现 存 的 问 题 （ 特 别 是 跨 国 界 的 取 证 导 致 的 相 关 法 律 问 题 ） 3 .   A s s o c i a t i o n   o f   C h i e f   P o l i c e   O f f i c e r s   ( A C P O ) A s s o c i a t i o n o f   C h i e f   P o l i c e   O f f i c e r s   （ A C P O ） 提 出 了 4 个 原 则 ， 从 事 数 字 取 证 的 技 术 人 员 必 须 遵 循 这 些 原 则 ： P r i n c i p l e   1 :   存 储 在 计 算 机 或 存 储 介 质 数 据 不 能 被 修 改 或 变 更 ， 因 为 这 些 数 据 可 能 以 后 会 在 法 庭 上 作 为 证 据 提 出 。 P r i n c i p l e   2 :   一 个 人 必 须 足 以 胜 任 处 理 计 算 机 或 存 储 介 质 上 的 原 始 数 据 ， 如 果 有 必 要 ， 他 / 她 也 应 该 能 够 给 自 己 的 行 为 的 相 关 性 和 过 程 的 证 据 的 解 释 。 P r i n c i p l e   3 :   基 于 电 子 取 证 过 程 的 所 有 审 计 追 踪 和 其 他 文 档 需 要 被 创 建 和 保 存 。 一 个 独 立 的 第 三 方 能 够 检 查 这 些 过 程 并 能 获 取 相 同 的 结 果 。 P r i n c i p l e   4 :   负 责 取 证 的 个 人 必 须 在 法 律 和 A C P O 的 原 则 下 全 面 负 责 取 证 过 程 4 .   计 算 机 调 查 模 型 计 算 机 调 查 模 型         据 K r u s e   I I , W . G . ,   a n d   H e i s e r ,   J . G . ( 2 0 1 0 ) ， 电 子 取 证 是 要 验 证 、 保 存 、 提 取 、 记 录 每 一 个 过 程 ， 并 验 证 这 些 证 据 ， 分 析 他 们 找 到 根 本 原 因 ， 并 通 提 供 建 议 或 解 决 方 案 。         “ 计 算 机 取 证 是 一 个 新 的 领 域 ， 并 有 缺 少 一 致 性 的 法 规 和 标 准 化 ” （ U S - C E R T ， 2 0 1 2 ） 。 每 个 电 子 取 证 模 型 是 专 注 于 某 一 领 域 ， 例 如 执 法 部 门 或 电 子 证 据 发 现 。 目 前 还 没 有 被 普 遍 接 受 的 任 何 单 一 数 字 取 证 调 查 模 型 。 人 们 普 遍 认 为 ， 数 字 取 证 模 型 框 架 必 须 灵 活 ， 以 便 它 可 以 支 持 任 何 类 型 的 事 件 和 新 技 术 （ A d a m , R . ,   2 0 1 2 ） 。         K e n t ,   K . , e t . a l , （ 2 0 0 6 ） 根 据 V e n t e r （ 2 0 0 6 ） 的 想 法 开 发 的 一 个 基 本 的 数 字 取 证 调 查 模 型 称 为 四 步 取 证 过 程 （ F S F P ） ， 数 字 取 证 调 查 可 以 通 过 甚 至 可 以 通 过 非 技 术 人 员 进 行 。 该 模 型 比 任 何 其 他 模 式 更 加 灵 活 ， 使 组 织 可 以 采 用 基 于 已 发 生 的 事 件 选 择 最 适 合 的 模 型 。 这 些 都 是 我 们 选 择 这 个 模 型 作 为 为 这 次 调 查 的 原 因 。 F S F P 包 含 以 下 四 个 基 本 过 程 ， 如 该 图 所 示 ：       “ P r e s e r v e   a n d   D o c u m e n t   E v i d e n c e ” 箭 头 表 示 在 取 证 各 个 过 程 中 需 要 保 存 和 记 录 所 有 的 证 书 ， 以 便 证 据 可 以 在 法 庭 中 提 交 。 我 们 将 在 下 面 的 部 分 将 讨 论 每 个 F S F P 调 查 模 型 和 每 一 个 过 程 。 5 .   调 查 范 围 调 查 范 围 在 这 例 子 中 取 证 调 查 的 范 围 ：
-   验 证 恶 意 软 件 行 为 （ 5 个 方 面 ： W h y ,   W h e n ,   W h e r e ,           W h a t ,   W h o ） -   验 证 网 络 的 安 全 性 -   如 果 网 络 被 污 染 ， 查 找 受 到 影 响 的 范 围 -   如 果 需 要 ， 验 证 过 程 的 合 法 性 -   提 供 补 救 措 施 加 固 系 统 6 .   调 查 的 法 律 挑 战 调 查 的 法 律 挑 战 根 据 N e l s o n , B . ,   e t   a l . ,   ( 2 0 0 8 ) ， 取 证 过 程 中 会 遇 到 的 法 律 挑 战 ： -   确 定 是 否 需 要 执 法 部 门 的 协 助 ， 如 果 是 的 话 ， 他 们 可 能 会 在 调 查 期 间 为 您 提 供 帮 助 ， 或 者 在 调 查 结 束 后 向 法 律 部 门 提 交 的 调 查 报 告 。 -   获 得 书 面 的 授 权 访 问 许 可 ， 除 非 在 另 外 一 个 事 件 响 应 中 已 经 获 得 许 可 。 -   同 法 律 顾 问 讨 论 ， 以 确 定 取 证 不 当 可 能 造 成 的 法 律 问 题 -   确 保 客 户 端 的 证 书 和 隐 私 问 题 能 被 考 虑 7 .   初 步 准 备 初 步 准 备 很 明 显 ， 我 们 在 调 查 之 前 需 要 做 一 个 准 备 ， 以 便 有 效 的 进 行 调 查 ， 准 备 工 作 如 下 ： -   收 集 正 在 评 估 客 户 端 的 所 有 信 息 ， 类 似 事 件 严 重 性 -   确 定 调 查 对 中 小 企 业 业 务 的 影 响 ， 如 网 络 停 机 时 间 ， 从 事 件 恢 复 的 持 续 时 间 ， 收 入 损 失 和 机 密 信 息 丢 失 。 -   获 得 网 络 拓 扑 图 和 网 络 设 备 信 息 。 -   识 别 外 接 存 储 设 备 ， 如 录 音 笔 ， 闪 存 ， 外 置 硬 盘 ， C D ， D V D ， 存 储 卡 和 远 程 计 算 机 。 -   验 证 这 次 取 证 使 用 的 取 证 工 具 -   使 用 “ n e t m o n ” 工 具 在 恶 意 行 为 仍 在 运 行 的 时 候 捕 捉 实 事 的 网 络 流 量 。 -   记 录 在 取 证 过 程 中 的 所 有 行 为 ， 这 些 记 录 有 可 能 在 法 庭 上 作 为 证 据 提 交 。 -   镜 像 目 标 设 备 的 硬 盘 并 使 用 M D 5 计 算 哈 希 值 。 8 .   收 集 收 集         “ 收 集 阶 段 是 这 个 过 程 的 第 一 阶 段 需 要 识 别 ， 标 签 ， 记 录 ， 并 获 得 从 可 能 相 关 数 据 来 源 的 数 据 ， 指 导 方 针 和 处 理 程 序 都 需 要 保 持 数 据 的 完 整 性 。 ” （ C J C S M 6 5 1 0 . 0 1 B ， 2 0 1 2 ） 。 在 一 个 计 算 机 取 证 调 查 中 可 以 收 集 两 种 不 同 类 型 的 数 据 ： 易 失 性 数 据 和 非 易 失 性 数 据 （ 持 久 性 数 据 ） 。 易 失 性 数 据 是 存 在 当 系 统 上 ， 当 断 电 时 擦 除 ， 如 内 存 （ R A M ） ； 注 册 表 和 缓 存 。 非 易 失 性 数 据 是 电 源 开 启 或 关 闭 时 一 直 存 在 系 统 上 ， 例 如 ： 在 高 清 文 件 。 由 于 存 在 不 稳 定 的 数 据 ， 一 台 计 算 机 取 证 调 查 必 须 知 道 获 取 数 据 的 最 佳 方 式 。 证 据 可 以 在 本 地 或 远 程 进 行 收 集 。 8 . 1   易 失 性 数 据 ： 易 失 性 数 据 ：         下 图 显 示 了 如 何 捕 获 易 失 性 数 据 。 取 证 工 作 站 和 目 标 机 器 必 须 位 于 同 一 个 局 域 网 中 ， 在 这 种 情 况 下 “ C r y p t c a t & # 0 3 9 ; 工 具 可 用 于 在 取 证 工 作 站 监 听 在 目 标 机 器 器 的 端 口 。 在 目 标 机 器 上 使 用 打 开 c m d . e x e ， 然 后 使 用 下 面 的 命 令 ： c r y p t c a t   < i p   a d d r e s s >   6 5 4 3 - k   k e y 在 取 证 工 作 站 使 用 下 面 命 令 ： c r y p t c a t   - l   - p   6 5 4 3   - k   k e y > >   < f i l e   n a m e >
下 图 列 出 了 图 形 界 面 的 工 具 ： 使 用 各 种 工 具 获 取 取 证 数 据 H B G r a y ’ s F a s t D u m p   –   本 地 物 理 内 存 采 集 H B G r a y ’ s F - R e s p o n s e   –   远 程 物 理 内 存 采 集 i p c o n f i g   – 收 集 目 标 系 统 的 细 节 信 息 n e t u s e r s a n d   q u s e r s   –   检 验 用 户 登 录 日 志 d o s k e y / h i s t o r y –   收 集 命 令 历 史 n e t f i l e   – 验 证 服 务 和 驱 动         最 后 ， 收 集 剪 贴 板 中 的 内 容 也 是 非 常 重 要 的 一 个 计 算 机 取 证 调 查 。 在 运 行 的 机 器 上 可 以 获 得 更 多 的 证 据 ， 因 此 ， 如 果 异 常 仍 然 存 在 ， 那 么 我 们 可 以 从 正 在 运 行 的 进 程 ， 网 络 连 接 和 存 储 在 内 存 中 的 数 据 检 索 了 大 量 的 重 要 证 据 。 所 以 必 须 确 保 受 影 响 的 电 脑 不 是 为 了 收 集 这 些 证 据 关 机 。 8 . 2   非 易 失 性 数 据 非 易 失 性 数 据         获 取 易 失 性 数 据 后 ， 我 们 开 始 捕 获 非 易 失 性 数 据 。 第 一 步 需 要 复 制 整 个 操 作 系 统 ， 这 一 步 也 叫 做 取 证 镜 像 。 镜 像 可 以 保 存 没 有 任 何 修 改 和 变 更 的 原 始 的 数 据 作 为 证 据 在 法 庭 上 提 交 。 取 证 镜 像 可 以 通 过 取 证 工 具 E n C a s e , P r o D i s c o v e r   和   F T K 制 作 ， 取 证 调 查 员 使 用 一 个 磁 盘 块 写 工 具 连 接 到 目 标 系 统 ， 并 通 过 使 用 这 些 取 证 工 具 将 目 标 驱 动 器 的 全 部 内 容 复 制 到 另 一 个 存 储 设 备 。 硬 盘 克 隆 是 做 整 个 系 统 的 复 制 ， 取 证 镜 像 与 硬 盘 克 隆 的 不 同 是 取 证 镜 像 只 能 用 取 证 工 具 访 问 ， 硬 盘 克 隆 可 以 加 载 到 任 意 系 统 上 访 问 。 硬 盘 克 隆 只 包 含 原 始 数 据 ， 硬 盘 的 每 一 个 位 将 被 复 制 ， 并 没 有 其 他 额 外 的 内 容 将 被 添 加 。 取 证 镜 像 包 含 一 些 额 外 的 数 据 ， 如 哈 希 和 时 间 戳 ， 并 压 缩 了 空 的 磁 盘 块 。 取 证 镜 像 使 用 M D 5 或 S H A - 2 值 确 保 数 字 证 据 的 完 整 性 。 ( N e l s o n , B . , e t   a l . ,   2 0 0 8 ) 数 据 采 集 可 以 通 过 离 线 和 在 线 的 调 查 完 成 。 取 证 镜 像 可 以 通 过 离 线 调 查 完 成 。 在 线 网 络 传 输 数 据 可 以 通 过 e t h e r e a l 或 者 W i r e s h a r k 收 集 ， 防 火 墙 日 志 、 杀 毒 软 件 日 志 和 域 控 制 日 志 可 以 通 过 调 差 非 易 失 性 数 据 获 得 。 同 样 需 要 搜 集 W e b 服 务 器 日 志 、 w i n d o w s 事 件 日 志 、 数 据 库 日 志 、 I D S 日 志 和 应 用 日 志 。 一 旦 我 们 收 集 了 所 有 的 数 字 证 据 ， 我 们 需 要 在 取 证 链 （ 收 集 、 保 存 、 传 输 、 法 庭 呈 现 ） 做 好 记 录 。 为 了 保 证 取 证 链 的 完 整 性 ， 从 开 始 取 证 到 调 查 结 束 作 为 报 告 提 交 过 程 都 需 要 使 用 文 档 记 录 。        
在 开 展 进 一 步 的 处 理 之 前 ， 我 们 需 要 按 位 镜 像 磁 盘 ， 需 要 访 问 整 个 磁 盘 的 卷 和 复 制 原 始 媒 体 ， 包 括 已 经 删 除 的 文 件 。 磁 盘 镜 像 完 后 ， 需 要 使 用 哈 希 值 保 证 获 取 的 数 据 是 真 实 的 、 完 整 的 。 数 据 的 完 整 性 在 整 个 调 查 过 程 中 都 需 要 注 意 ， 证 据 文 件 的 哈 希 值 需 要 保 存 在 多 个 地 方 。 大 多 数 工 具 以 只 读 的 实 现 不 修 改 证 据 文 件 的 目 的 ， 外 部 存 储 设 备 、 W i n d o w s N T 服 务 器 的 硬 盘 在 这 种 情 况 下 必 须 要 取 证 。 9 .   检 查 检 查         一 旦 我 们 收 集 了 所 有 的 可 能 证 据 ， 我 们 需 要 考 虑 使 用 各 种 取 证 工 具 做 检 查 。 需 要 检 查 的 位 置 包 括 文 件 系 统 、 注 册 表 、 网 络 和 数 据 ， 如 下 ： 9 . 1   文 件 系 统 检 查 文 件 系 统 检 查         N T F S 是 一 种 新 的 文 件 系 统 技 术 ， N T F S 磁 盘 可 以 看 做 事 一 个 文 件 。 M F T 是 主 要 文 件 表 包 含 所 有 文 件 和 磁 盘 的 信 息 ， 也 是 N T F S 的 第 一 个 文 件 ， M F T 的 记 录 也 称 为 元 数 据 。 文 件 存 储 在 M F T 中 有 2 种 方 式 ： 常 驻 的 和 非 常 驻 的 。 小 于 5 1 2 b y t e 的 文 件 存 储 在 M F T 内 被 认 为 是 常 驻 的 ， 大 于 5 1 2 b y t e 的 是 存 储 在 M F T 之 外 被 认 为 是 非 常 驻 的 。 在 W i n d o w s N T 中 删 除 一 个 文 件 ， 文 件 会 被 系 统 重 新 命 名 并 移 到 回 收 站 中 ， 操 作 系 统 存 储 着 文 件 路 径 和 文 件 名 2 种 信 息 。 如 果 文 件 被 在 回 收 站 删 除 ， 文 件 在 磁 盘 中 的 簇 被 标 记 为 可 以 重 新 写 数 据 。 N T F S 比 F A T 更 有 效 率 ， 因 为 可 以 更 快 的 回 收 被 删 除 的 空 间 。 N T F S 磁 盘 是 一 种 数 据 流 ， 意 味 着 可 以 被 附 加 另 外 一 个 文 件 ， 数 据 流 可 以 按 如 下 的 方 式 存 储 ： C : e c h o   t e x t _ m e s s   > f i l e 1 . t x t : f i l e 2 . t x t 文 件 可 以 使 用 如 下 命 令 检 索 C : m o r e   <   f i l e 1 . t x t : f i l e 2 . t x t       W 2 K . S t r e a m 和 W i n 2 K . T e a m 是 使 用 数 据 流 开 发 的 病 毒 ， 作 用 是 改 变 原 始 的 数 据 流 。 作 为 一 个 研 究 者 ， 我 们 必 须 意 识 到 W i n d o w s 文 件 系 统 的 F A T 和 N T F S 的 区 别 （ N e l s o n , B . ,   e t .   a l . ,   2 0 0 8 ） 。 9 . 2   W i n d o w s 注 册 表 检 查 注 册 表 检 查         据   ( C a r v e y ,   H . ,   2 0 0 5 )   一 个 注 册 表 可 以 被 作 为 是 一 个 日 志 文 件 ， 因 为 他 包 含 取 证 调 查 员 认 为 是 关 键 的 东 西 ， 如 在 F I L E T I M E 中 最 后 文 件 修 改 时 间 。 通 过 分 析 系 统 的 注 册 表 ， 解 决 组 织 内 部 和 外 部 的 问 题 ， 维 护 组 织 的 声 誉 ， 这 真 神 奇 。         从 w i n 9 8 开 始 ， 注 册 表 就 是 W i n d o w s 系 统 的 关 键 组 成 ， W i n d o w s 的 注 册 表 通 常 结 构 是 “ H i v e s ” ： -   H K E Y _ C L A S S E S _ R O O T :   确 保 所 需 的 程 序 被 执 行 。 -   H K E Y _ C U R R E N T _ U S E R :           包 含 当 前 登 录 到 系 统 的 用 户 的 一 般 信 息 -   H K E Y _ L O C A L _ M A C H I N E :   包 含 系 统 的 硬 件 和 驱 动 信 息 -   H K E Y _ U S E R S :   包 含 特 定 系 统 的 用 户 所 有 信 息 。 -   H K E Y _ C U R R E N T _ C O N F I G :   存 储 系 统 目 前 的 配 置 信 息 W i n d o w s 注 册 表 包 含 易 失 性 和 非 易 失 性 信 息 。 这 意 味 着 取 证 分 析 员 需 要 熟 悉 W i n d o w s 注 册 表 的 键 值 、 数 据 。 A u t o s t a r t   L o c a t i o n :   自 启 动 注 册 表 项 目 H K E Y _ L O C A L _ M A C H I N / S O F T W A R E / M i c r o s o f t / W i n d o w s N T / C u r r e n t V e r s i o n / I m a g e F i l e   E x e c u t i o n   O p t i o n   用 于 重 定 向 程 序 功 能 ， 可 以 利 用 重 定 向 到 一 个 木 马 文 件 。 分 析 人 员 可 以 检 查 自 启 动 位 置 ， 以 判 断 问 题 是 出 在 恶 意 软 件 、 用 户 误 操 作 或 攻 击 者 导 致 的 原 因 ， 可 以 使
用   S y s I n t e r n a l s . c o m   的 A u t o R u n s 工 具 协 助 分 析 。 U s e r   A c t i v i t y :   用 户 行 为 可 以 在 H K E Y _ C U R E E N T _ U S E R 中 创 建 的 H K E Y _ U S E R S I D 查 找 。 N T U S E R . D A T   包 含 用 户 注 册 表 的 相 关 配 置 信 息 ， 检 查 这 里 可 能 会 获 得 用 户 行 为 的 相 关 线 索 。 M o s t   R e c e n t   U s e d   ( M R U )   L i s t :   M R U 包 含 用 户 最 近 的 具 体 行 为 ， 并 可 能 由 此 推 断 出 将 来 的 行 为 。 H K E Y _ C U R R E N T _ U S E R / S o f t w a r e / M i c r o s o f t W i n d o w s / C u r r e n t V e r s i o n / E x p l o r e r / R u n M R U   维 护 一 个 详 细 的 用 户 命 令 列 表 ， 运 行 的 每 个 命 令 都 会 在 里 面 增 加 一 个 键 值 。         取 证 分 析 人 员 可 以 研 究 这 块 注 册 表 值 来 判 断 问 题 是 由 于 用 户 原 因 或 者 是 恶 意 软 件 原 因 导 致 。         U s e r A s s i s t :   U s e r A s s i s t 在 H K E Y _ C U R R E N T _ U S E R / S o f t w a r e / M c i r o s o f t / W i n d o w s / C u r r e n t V e r s i o n / E x p l o r e r / U s e r A s s i s t 包 含 2 个 键 值 ， 看 起 来 像 是 每 个 应 用 、 对 象 保 持 的 加 密 记 录 的 全 局 唯 一 标 识 符 （ U s e r A s s i s t 键 主 要 包 含 你 经 常 打 开 的 E X E 文 件 信 息 和 链 接 ） ， 里 面 可 能 会 包 含 恶 意 软 件 被 用 户 激 发 的 记 录 ， 使 用 U s e r A s s i s t v i e w 可 以 解 密 和 查 看 相 关 内 容 。         U S B   r e m o v a b l e   S t o r a g e :   所 有 连 接 过 系 统 的 设 备 都 会 在 注 册 表 里 留 下 一 条 记 录 ， 在 H K E Y _ L O C A L _ M A C H I N E / S y s t e m / C o n t r o l S e t 0 0 x / E n u m / U S B S T O R z 中 可 以 查 看 ， 下 图 是 一 个 U S B 设 备 的 I D 调 查 员 可 以 通 过 分 析 连 接 到 系 统 上 的 U S B 设 备 来 寻 找 相 关 线 索 。 W i r e l e s s   S S I D s :   电 脑 上 使 用 的 无 线 S S I D 可 以 通 过 在 H K E Y _ L O C A L _ M A C H I N E / S o f t w a r e / M i c r o s o f t / W Z C S V C / P a r a m e t e r s / I n t e r f a c e （ W i n d o w s 8 上 位 置 在 H K E Y _ L O C A L _ M A C H I N E / S o f t w a r e / M i c r o s o f t / W l a n S V C / I n t e r f a c e s ） 上 看 到 ， 他 们 的 子 项 看 起 来 像 是 一 个 全 局 唯 一 标 识 符 ， 上 面 揭 示 了 系 统 连 接 过 的 每 一 个 无 线 的 S S I D ， 右 键 点 击 修 改 会 看 到 明 文 的 S S I D 。 I P 地 址 和 其 他 网 络 信 息 可 以 在 H K E Y _ L O C A L _ M A C H I N E / S y s t e m / C u r r e n t C o n t r o l S e t / S e r v i c e s / T C P I P / I n t e r f a c e s / G U I D 下 找 到 。 W i n d o w s 的 注 册 表 是 调 查 取 证 的 重 要 信 息 来 源 ， 如 果 调 查 员 知 道 在 哪 里 会 获 得 有 用 数 据 ， 可 以 分 析 那 些 页 面 存 在 重 定 向 、 跟 踪 用 户 活 动 和 网 络 配 置 等 相 关 的 信 息 。 9 . 3   网 络 取 证 调 查 网 络 取 证 调 查         收 集 和 采 集 在 网 络 中 发 生 的 事 情 叫 网 络 取 证 ， 有 时 候 也 叫 做 数 据 包 采 集 或 数 据 包 挖 掘 。 目 的 受 搜 集 网 络 数 据 包 流 量 ， 如 ： 邮 件 、 网 页 浏 览 等 信 息 ， 并 保 证 这 些 信 息 的 来 源 一 致 ， 可 以 执 行 更 深 入 的 调 查 。         网 络 取 证 有 两 种 主 要 的 方 式 。 第 一 个 是 与 安 全 相 关 的 ， 其 中 一 个 网 络 监 控 系 统 监 控 可 疑 的 流 量 和 任 何 类 型 的 入 侵 。 这 是 因 为 攻 击 者 可 能 删 除 受 感 染 的 主 机 的 所 有 日 志 文 件 ， 所 以 在 这 种 情 况 下 ， 基 于 网 络 的 证 据 是 发 挥 在 取 证 分 析 的 主 要 作 用 。 网
络 取 证 的 第 二 个 方 式 涉 及 到 有 关 执 法 部 门 ， 在 那 里 已 被 捕 获 的 网 络 流 量 可 以 通 过 关 键 字 搜 索 和 人 类 传 播 的 分 析 。 9 . 3 . 1   网 络 取 证 的 工 具 和 技 术 网 络 取 证 的 工 具 和 技 术         我 们 可 以 用 一 个 取 证 启 动 D V D / C D - R O M 盘 ， U S B 闪 存 驱 动 器 ， 甚 至 是 软 盘 进 行 任 何 操 作 。 首 先 ， 我 们 需 要 转 储 的 内 存 ， 首 选 使 用 足 够 大 U S B 闪 存 进 行 。 如 果 需 要 收 集 非 易 失 性 数 据 和 实 时 数 据 ， 我 们 还 必 须 进 行 风 险 评 估 ， 以 评 估 所 有 操 作 是 否 安 全 ， 这 些 数 据 可 能 在 一 个 调 查 中 非 常 有 用 。 整 个 过 程 我 们 应 该 使 用 取 证 工 具 包 ， 因 为 这 将 有 助 于 满 足 调 查 取 证 的 要 求 。 这 些 工 具 应 该 是 可 信 的 ， 可 以 是 商 业 或 开 源 工 具 。           应 该 使 用 可 靠 的 工 具 在 机 器 上 收 集 一 些 非 常 重 要 和 需 要 谨 慎 处 理 的 信 息 ， 如 ： -   P r o c e s s   l i s t i n g s . 进 程 列 表 -   S e r v i c e   l i s t i n g s . 服 务 列 表 -   S y s t e m   i n f o r m a t i o n . 系 统 信 息 -   L o g g e d   o n   a n d   r e g i s t e r e d           u s e r s . 登 录 和 已 注 册 用 户 -   N e t w o r k   c o n n e c t i o n s . 网 络 连 接 -   R e g i s t r y   i n f o r m a t i o n . 注 册 表 信 息 -   B i n a r y   d u m p   o f   m e m o r y . 内 存 转 储 ( 7 s a f e , 2 0 1 3 )         有 许 多 不 同 种 类 的 网 络 取 证 工 具 ， 每 一 个 不 同 的 功 能 。 有 些 只 是 数 据 包 嗅 探 和 其 他 包 括 处 理 识 别 ， 指 纹 识 别 ， 定 位 ， 测 绘 ， 电 子 邮 件 通 讯 ， 网 络 服 务 等 。 下 表 列 出 了 一 些 可 用 于 网 络 取 证 及 其 功 能 的 开 源 工 具 。 T o o l P l a t f o r m W e b   S i t e A t t r i b u t e s T C P D u m p W i n d u m p U n i x   &   W i n d o w s w w w . t c p d u m p . o r g F N e t S t u m b l e r W i n d o w s w w w . n e t s t u m b l e r . c o m F W i r e s h a r k U n i x   &   W i n d o w s w w w . w i r e s h a r k . o r g F S l e u t h   K i t U n i x w w w . s l e u t h k i t . o r g F   R   C A r g u s U n i x w w w . q o s i e n t . c o m / a r g u s F   L S N O R T W i n d o w s   / U n i x w w w . s n o r t . o r g F F :   过 滤 和 收 集 ; L :   日 志 分 析 ;   R :   重 组 数 据 流 ;   C :   关 联 数 据 ;   A :   应 用 层 视 图 9 . 4   数 据 取 证 调 查 数 据 取 证 调 查         数 据 库 是 数 据 是 代 表 文 件 或 文 件 集 合 的 形 式 的 信 息 的 集 合 。 从 数 据 库 中 检 索 的 数 据 可 以 通 过 一 组 查 询 来 完 成 。 数 据 库 取 证 可 以 被 定 义 为 计 算 机 调 查 中 的 应 用 与 分 析 技 术 ， 收 集 数 据 库 中 的 证 据 并 在 法 庭 上 展 示 。 数 据 库 包 含 敏 感 数 据 ， 会 有 更 高 的 机 会 的 因 为 一 个 安 全 漏 洞 被 入 侵 者 攻 击 并 获 取 这 些 个 人 信 息 。         在 案 例 研 究 中 提 到 ， 从 数 据 库 发 送 出 大 量 的 数 据 ， 所 以 现 在 的 取 证 团 队 的 任 务 是 通 过 取 证 工 具 的 帮 助 执 行 对 数 据 库 的 取 证 调 查 。 数 据 库 取 证 专 注 于 识 别 ， 保 存 和 分 析 数 据 。 访 问 数 据 库 的 用 户 需 要 从 数 据 库 服 务 器 得 到 授 权 和 认 证 的 。 一 旦 授 权 完 成 后 ， 只 有 该 用 户 可 以 访 问 的 数 据 或 修 改 数 据 。 现 在 ， 如 果 我 们 检 查 数 据 库 的 审 计 日 志 ， 我 们 可 以 得 到 谁 得 到 的 权 限 来 访 问 数 据 的 用 户 的 列 表 。 取 证 团 队 需 要 查 找 的 数 据 库 的 远 程 连 接 的 I P 地 址 。         本 次 调 查 也 可 以 帮 助 我 们 了 解 是 否 存 在 被 用 户 故 意 删 除 的 任 何 数 据 行 ， 并 恢 复 它 们 ， 而 且 也 有 助 于 我 们 来 证 明 或 反 驳 的 数 据 安 全 漏 洞 ， 并 它 可 以 帮 助 我 们 确 定 数 据 库 遭 到 的 侵 入 的 范 围 。 W i n d o w s f o r e n s i c   t o o l   v 1 . 0 . 0 3 使 用 执 行 的 D M V （ 分 布 式 管 理 视 图 ） 和 D B C C （ 数 据 库 一 致 性 检 查 ） 命 令 来 收 集 足 以 如 前 所 述 证 据 或 否 决 入 侵 。 1 0 .   分 析 分 析        
首 先 ， 我 们 需 要 分 析 我 们 收 集 和 审 查 证 据 。 我 们 会 研 究 证 据 中 是 否 包 含 任 何 隐 藏 的 文 件 或 不 寻 常 的 文 件 。 然 后 ， 我 们 也 会 看 是 否 有 任 何 运 行 的 异 常 进 程 ， 或 打 开 异 常 的 接 口 ， 或 异 常 的 应 用 程 序 请 求 。 然 后 ， 我 们 会 检 查 异 常 帐 户 。 我 们 还 可 以 找 到 系 统 的 补 丁 是 否 更 新 。 通 过 这 些 分 析 的 结 果 ， 我 们 会 知 道 是 否 有 恶 意 活 动 。 然 后 ， 我 们 将 制 定 进 一 步 的 战 略 取 证 调 查 ， 如 全 面 内 存 分 析 ， 文 件 系 统 ， 事 件 关 联 和 时 间 线 分 析 的 完 整 分 析 。 根 据 这 个 案 例 ， 有 网 络 系 统 的 恶 意 活 动 ， 它 也 证 实 了 我 们 的 初 步 分 析 。 为 了 找 到 恶 意 代 码 ， 我 们 要 做 的 恶 意 软 件 的 可 执 行 文 件 的 分 析 。 恶 意 软 件 的 可 执 行 文 件 的 分 析 可 以 分 为 静 态 分 析 和 行 为 分 析 。 1 1 .   恶 意 软 件 分 析 恶 意 软 件 分 析         根 据 V e r i z o n 的 “ 2 0 1 2 年 数 据 泄 漏 调 查 报 告 ” 的 报 告 ， 9 9 ％ 的 漏 洞 导 致 在 数 天 或 更 少 的 时 间 数 据 被 泄 露 ， 而 8 5 ％ 花 了 几 个 星 期 的 调 查 。 这 是 安 全 部 门 的 严 重 挑 战 ， 因 为 攻 击 者 在 一 个 受 控 的 环 境 中 获 得 了 大 量 的 时 间 。 更 多 的 “ 自 由 时 间 ” 会 导 致 更 多 的 数 据 被 盗 和 更 严 重 的 损 害 。       执 行 恶 意 软 件 取 证 时 需 要 注 意 ： 在 W i n d o w s P C 上 的 某 些 部 分 保 存 了 恶 意 软 件 的 安 装 和 使 用 标 识 的 方 式 和 数 据 。 法 律 部 门 需 要 审 计 纳 入 记 录 的 哈 希 值 ， 签 字 ， 打 包 文 件 ， 碰 撞 日 志 ， 系 统 还 原 点 和 页 面 缓 存 。 现 在 的 文 件 系 统 和 事 件 日 志 调 查 可 以 分 辨 恶 意 软 件 在 系 统 上 的 行 为 。 高 级 专 家 可 以 关 注 一 些 关 键 点 ， 如 系 统 自 启 动 区 ， 判 断 恶 意 软 件 的 安 装 时 间 ， 寻 找 恶 意 软 件 的 特 征 关 键 词 用 于 查 找 其 他 受 感 染 的 主 机 。 认 识 到 普 通 的 攻 击 特 征 ， 包 括 邮 件 攻 击 、 浏 览 器 访 问 历 史 和 非 授 权 的 登 录 。         A c c o r d i n g t o   S y n g r e s s   “ M a l w a r e   F o r e n s i c s   –   I n v e s t i g a t i n g   a n d   A n a l y z i n g   M a l i c i o u s   C o d e , 2 0 0 3 ″   t h e r e   s h o u l d   b e   d o n e   a n   i n v e s t i g a t i o n   b a s e d o n   t h e   f o l l o w i n g :         恶 意 软 件 分 析 需 达 到 如 下 目 的 ： -   查 找 已 知 的 恶 意 软 件 -   回 顾 已 安 装 的 程 序 -   检 查 预 读 文 件 -   检 查 可 执 行 文 件 -   检 查 自 启 动 -   检 查 计 划 任 务 -   检 查 日 志 -   检 查 用 户 帐 户 -   检 查 文 件 系 统 -   检 查 注 册 表 -   还 原 点 -   关 键 词 搜 索         在 执 行 恶 意 软 件 分 析 之 前 ， 需 要 先 建 立 分 析 环 境 ， 使 用 虚 拟 机 和 g h o s t 可 以 协 助 进 行 分 析 。 1 1 . 1   静 态 分 析 静 态 分 析         静 态 软 件 分 析 是 不 需 要 运 行 恶 意 软 件 就 可 以 分 析 的 一 种 方 法 ， 相 比 动 态 分 析 ， 静 态 分 析 因 为 恶 意 软 件 没 有 运 行 而 更 安 ， 同 样 也 更 安 全 ， 同 样 也 没 有 删 除 或 变 更 文 件 。 最 好 是 使 用 不 同 的 操 作 系 统 进 行 分 析 ， 因 为 双 击 的 误 操 作 可 能 导 致 恶 意 软 件 运 行 。 有 许 多 静 态 分 析 方 法 ， 如 ： 文 件 指 纹 、 病 毒 扫 描 、 包 检 测 、 数 据 串 、 文 件 系 统 的 F E 格 式 或 反 汇 编 。 1 1 . 2   动 态 分 析 动 态 分 析         动 态 分 析 是 一 种 运 行 恶 意 软 件 并 观 察 其 行 为 的 分 析 方 法 ， 也 被 叫 做 行 文 分 析 。 动 态 分 析 不 是 安 全 的 行 为 ， 需 要 先 建 立 一 个 安 全 的 分 析 环 境 。 有 许 多 动 态 分 析 工 具 ， 不 过 S y s I n t e r n a l s   的 r o c e s s   M o n i t o r 和 W i r e s h a r k 是 最 常 用 的 分 析 工 具 。 在 许 多 恶 意 软 件 分 析 实 例 里 ， 一 个 简 单 的 静 态 和 动 态 分 析 可 以 发 现 恶 意 软 件 的 所 有 答 案
1 2 .   发 现 发 现         在 调 查 到 现 在 阶 段 ， 我 们 总 结 所 有 的 发 现 ： -   持 续 的 远 程 访 问 公 司 计 算 机 的 攻 击 者 身 份 -   取 证 分 析 证 明 计 算 机 已 经 被 感 染 。 -   在 一 些 系 统 上 ， 升 级 补 丁 没 有 打 上 。 -   在 一 些 感 染 的 计 算 机 上 发 现 可 疑 的 恶 意 软 件 。 -   恶 意 软 件 的 功 能 和 和 目 标 让 我 们 得 出 结 论 ， 这 是 “ 垃 圾 邮 件 ” 发 送 软 件 -   检 测 到 攻 击 者 能 够 使 用 恶 意 软 件 访 问 客 户 端 系 统 ， 在 客 户 端 访 问 支 付 网 关 的 使 用 跳 转 到 另 外 的 地 址 。 1 3 .   纠 正 措 施 纠 正 措 施         确 定 攻 击 者 能 够 通 过 客 户 端 的 系 统 中 的 恶 意 软 件 在 客 户 使 用 支 付 网 关 时 提 供 恶 意 的 网 站 链 接 。 这 里 可 以 总 结 2 个 重 要 的 结 论 。 -   大 多 数 描 述 的 方 法 在 某 种 程 度 上 涉 及 到 人 的 因 素 ， 因 此 ， 员 工 需 要 定 期 培 训 ， 安 全 培 训 将 提 高 网 络 的 安 全 性 ; -   黑 客 通 过 入 侵 合 法 网 站 然 后 发 布 恶 意 程 序 的 大 量 案 列 收 哦 明 即 使 是 一 个 称 职 的 用 户 恶 意 软 件 仍 然 可 以 感 染 他 的 电 脑 。 因 此 ， 我 们 需 要 采 取 一 些 安 全 措 施 措 施 ： 杀 毒 软 件 ， 及 时 安 装 系 统 的 更 新 ， 以 及 监 控 互 联 网 流 量 。         防 止 恶 意 软 件 的 主 要 对 策 有 ： -   认 证 和 密 码 保 护 -   杀 毒 软 件 -   防 火 墙 （ 软 件 或 者 硬 件 的 ） -   D M Z   ( d e m i l i t a r i z e d   z o n e ) -   I D S   ( I n t r u s i o n   D e t e c t i o n   S y s t e m ) -   包 过 滤 -   路 由 和 交 换 -   代 理 服 务 -   V P N   ( V i r t u a l   P r i v a t e   N e t w o r k s ) -   登 录 和 审 计 -   访 问 控 制 时 间 -   在 公 共 域 中 保 护 系 统 是 不 可 能 的 在 我 们 的 实 例 中 ， 最 有 用 的 是 下 面 2 个 ： -   防 火 墙 -   登 录 审 计         防 火 墙 检 查 进 入 到 用 户 的 计 算 机 上 的 所 有 网 页 。 每 个 网 页 被 拦 截 和 分 析 恶 意 代 码 。 如 果 由 用 户 访 问 的 网 页 包 含 恶 意 代 码 ， 会 阻 止 访 问 ， 同 时 会 它 显 示 了 所 请 求 的 页 面 被 感 染 的 通 知 。 如 果 网 页 不 包 含 恶 意 代 码 ， 用 户 可 以 继 续 访 问 。 通 过 日 志 记 录 ， 我 们 意 味 着 可 以 收 集 和 储 存 有 关 出 现 在 信 息 系 统 中 的 事 件 的 信 息 。 举 例 来 说 ， 谁 当 试 图 登 录 到 系 统 ， 以 及 这 次 尝 试 在 什 么 时 候 结 束 ， 哪 些 信 息 资 源 被 使 用 ， 谁 改 过 这 些 信 息 等 等 。         审 计 是 将 积 累 的 数 据 进 行 分 析 ， 将 几 乎 实 时 的 的 数 据 进 行 比 较 ， 执 行 日 志 审 计 要 达 到 以 下 的 目 标 ：
-   审 计 普 通 用 户 和 管 理 员 -   提 供 重 建 时 间 的 的 选 择 -   检 测 尝 试 违 反 信 息 安 全 的 记 录 -   提 供 信 息 以 验 证 和 分 析 1 3 . 1   安 全 策 略 安 全 策 略 国 际 标 准 I S O / I E C 2 7 0 0 0 系 列 中 有 如 何 制 定 和 实 施 组 织 信 息 安 全 策 略 的 相 关 内 容 实 用 的 规 则 有 以 下 几 个 部 分 -   安 全 策 略 -   组 织 信 息 俺 钻 -   资 产 管 理 -   人 力 资 源 安 全 -   物 理 和 环 境 安 全 -   通 信 和 操 作 安 全 -   访 问 控 制 -   信 息 系 统 的 购 买 、 开 发 和 维 护 -   信 息 安 全 事 件 管 理 -   商 业 持 续 性 管 理 -   遵 从 法 律 和 规 范         在 互 联 网 上 的 业 务 需 求 需 要 考 虑 如 下 几 个 问 题 ： 为 满 足 组 织 需 求 需 要 什 么 样 的 软 件 和 硬 件 与 组 织 措 施 ？ 什 么 是 风 险 ？ 应 该 用 什 么 道 德 标 准 ， 组 织 开 展 与 互 联 网 的 业 务 需 要 遵 从 什 么 样 样 的 道 德 标 准 ？ 谁 为 此 负 责 ？ 在 回 答 这 些 问 题 的 基 础 上 组 织 安 全 策 略 的 概 念 。 下 来 的 部 分 包 含 在 互 联 网 安 全 的 工 作 假 设 安 全 策 略 的 片 段 。 这 些 片 段 主 要 是 基 于 对 安 全 设 备 的 类 型 进 行 分 析 设 计 。 全 策 略 主 要 包 含 两 类 ： 技 术 策 略 （ 包 含 使 用 的 软 硬 件 ） 和 管 理 策 略 （ 员 工 使 用 和 运 行 系 统 ） 。 C o m m o n S e c u r i t y   P o l i c y   f o r   a n   O r g a n i s a t i o n : 一 个 组 织 的 通 用 安 全 策 略 任 何 信 息 系 统 必 须 要 有 安 全 策 略 安 全 策 略 鼻 血 被 高 级 管 理 层 接 受 安 全 策 略 应 该 是 简 单 和 容 易 理 解 的 形 式 能 被 所 有 员 工 接 受 安 全 策 略 应 该 包 含   定 义 信 息 安 全 的 对 象 、 范 围 和 机 制 ， 允 许 定 义 被 共 同 使 用   领 导 对 信 息 安 全 的 立 场 和 原 则   识 别 信 息 安 全 的 通 用 和 特 定 职 责   与 安 全 策 略 相 关 的 指 导 和 细 则 安 全 策 略 必 须 满 足 以 下 要 求   符 合 国 家 和 国 际 法 律   包 含 在 安 全 问 题 上 对 个 人 的 培 训   包 含 检 测 和 防 御 恶 意 软 件 的 说 明   定 义 违 反 安 全 策 略 的 后 果   考 虑 商 业 持 续 性 需 求
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理