Разделы презентаций
- Разное
- Английский язык
- Астрономия
- Алгебра
- Биология
- География
- Геометрия
- Детские презентации
- Информатика
- История
- Литература
- Математика
- Медицина
- Менеджмент
- Музыка
- МХК
- Немецкий язык
- ОБЖ
- Обществознание
- Окружающий мир
- Педагогика
- Русский язык
- Технология
- Физика
- Философия
- Химия
- Шаблоны, картинки для презентаций
- Экология
- Экономика
- Юриспруденция
Компьютерная криминалистика
Содержание
- 1. Компьютерная криминалистика
- 2. Что такое компьютерная криминалистика?Ответвление криминалистики, сочетающее в
- 3. Разделы
- 4. ЗадачиНайди улику в образе дискаНайди улику в
- 5. Про анализ бинарниковБинарные файлы могут встречаться десятками в образеКаждый дизассемблировать смысла нетПроверить строки командой strings
- 6. Анализ оперативной памятиVolatility\\.\PhysicalMemory \\.\DebugMemory /dev/memmddHex-editors (HxD, WinHex,..)
- 7. Загрузка ОС на примере WindowsВключение питанияЧтение команд
- 8. Анализ файловых системДанные файловой системыДанный содержимогоМетаданныеДанные имен файловПрикладные данные
- 9. NTFSНаиболее распространенная файловая система для семейства ОС WindowsКонцепцииБезопасностьНадежностьПоддержка носителей больших объёмов
- 10. Основные понятия NTFSВсе данные – файлыMFT (Master
- 11. MFT (Master File Table)Запись в таблице для
- 12. Запись MFTЗанимает 1024 байтаПервые 42 байта – фиксированный форматОстальное пространство под атрибуты
- 13. Запись MFTПервая запись – базоваяЕсли атрибуты не
- 14. Файлы метаданныхЗанимают зарезервированные первые 16 записей MFTПервые
- 15. Файлы метаданных
- 16. Файлы метаданных
- 17. Файлы метаданных
- 18. АтрибутыВсе атрибуты имеют заголовок и содержимоеСтруктура содержимого
- 19. АтрибутыРезидентные и нерезидентныеРазреженные атрибутыСжатые атрибуты($DATA)
- 20. Сжатие
- 21. Типы атрибутовВсе типы имеют идентификатор, имяПо идентификатору происходит упорядочивание атрибутов в записи
- 22. Восстановление данных1. Восстановление разрушенных данных• Аппаратные и
- 23. Анализ данных и представление результатов1. Анализ данных•
- 24. Особенности Mobile forensics1. Использование Flash, SSD в
- 25. Особенности Network forensics1. Большое количество компьютеровНеобходимо применение
- 26. Проблемы хранения, передачи и обработки цифровых доказательств
- 27. Скачать презентанцию
Что такое компьютерная криминалистика?Ответвление криминалистики, сочетающее в себе восстановление и расследование материалов, найденных на электронных носителях.Криминалистика – наука, исследующая закономерности приготовления, совершения и раскрытия преступлений
Слайды и текст этой презентации
Слайд 2Что такое компьютерная криминалистика?
Ответвление криминалистики, сочетающее в себе восстановление и
расследование материалов, найденных на электронных носителях.
приготовления, совершения и раскрытия преступлений
Слайд 4Задачи
Найди улику в образе диска
Найди улику в дампе трафика
Найди улику
в дампе ОП
Найди улику в бинарнике
Найди улику в RAM
…
Слайд 5Про анализ бинарников
Бинарные файлы могут встречаться десятками в образе
Каждый дизассемблировать
смысла нет
Проверить строки командой strings
Слайд 6Анализ оперативной памяти
Volatility
\\.\PhysicalMemory \\.\DebugMemory
/dev/mem
mdd
Hex-editors (HxD, WinHex,..)
Слайд 7Загрузка ОС на примере Windows
Включение питания
Чтение команд из BIOS
Анализ оборудования
Поиск
загрузочного носителя в порядке очереди
Выполнение загрузочного кода из первого сектора
дискаВыполнение загрузочного кода раздела
Слайд 8Анализ файловых систем
Данные файловой системы
Данный содержимого
Метаданные
Данные имен файлов
Прикладные данные
Слайд 9NTFS
Наиболее распространенная файловая система для семейства ОС Windows
Концепции
Безопасность
Надежность
Поддержка носителей больших
объёмов
Слайд 10Основные понятия NTFS
Все данные – файлы
MFT (Master File Table ~
«Главная файловая таблица» )
Пространство выделяется кластерами – (группы смежных
секторов)
Слайд 11MFT (Master File Table)
Запись в таблице для каждого файла и
директории
Все записи нумеруются. [0,1,…]
Нулевая запись – запись на себя
Может быть
фрагментирована по секторамРасширяется системой, но не сужается
![MFT (Master File Table)Запись в таблице для каждого файла и директорииВсе записи нумеруются. [0,1,…]Нулевая запись – запись](/img/tmb/2/149323/10f8b9ded30447b0772b7090603c1050-800x.jpg "Компьютерная криминалистика MFT (Master File Table)Запись в таблице для каждого файла и директорииВсе")
Слайд 12Запись MFT
Занимает 1024 байта
Первые 42 байта – фиксированный формат
Остальное пространство
под атрибуты
Слайд 13Запись MFT
Первая запись – базовая
Если атрибуты не помещаются в запись,
то создается ещё одна запись с ссылкой на базовую
Слайд 14Файлы метаданных
Занимают зарезервированные первые 16 записей MFT
Первые 12 записей выделены
и содержат файлы метаданных
4 записи [12-15] выделены, но являются пустыми
![Файлы метаданныхЗанимают зарезервированные первые 16 записей MFTПервые 12 записей выделены и содержат файлы метаданных4 записи [12-15] выделены,](/img/tmb/2/149323/013ed9e58d390122c42e4164dcc36905-800x.jpg "Компьютерная криминалистика Файлы метаданныхЗанимают зарезервированные первые 16 записей MFTПервые 12 записей выделены и")
Слайд 18Атрибуты
Все атрибуты имеют заголовок и содержимое
Структура содержимого может быть разная
у разных атрибутов
Заголовок хранит тип, размер, имя атрибута
Запись может иметь
несколько однотипных атрибутов (у каждого уникальный id)
Слайд 21Типы атрибутов
Все типы имеют идентификатор, имя
По идентификатору происходит упорядочивание атрибутов
в записи
Слайд 22Восстановление данных
1. Восстановление разрушенных данных
• Аппаратные и программные сбои
• Воздействие
вредоносного ПО
• Ошибки и намеренные действия пользователей
2. Восстановление «закрытых» данных
•
Данные, закрытые паролем• Кодированные и шифрованные данные
• Данные в «скрытых» областях
3. Восстановление с систем хранения данных
• RAID системы и внешние DAS системы
• Сетевые хранилища NAS
• Виртуальные и распределенные хранилища данных
4. Разнообразие технологий хранения данных
• Типы накопителей
• Интерфейсы
• Способы организации хранения данных
Слайд 23Анализ данных и представление результатов
1. Анализ данных
• Выбор инструментария (ПО,
утилиты)
• Интерпретация данных
• Корректная постановка вопросов эксперту
2. Представление результатов
• Доказательность
собранных данных
Слайд 24Особенности Mobile forensics
1. Использование Flash, SSD в качестве
основного носителя
Работа с
твердотельными носителями со сложной организацией памяти
2. Закрытость платформы
Трудность обеспечения полноты
копии из-за сложностей с организацией прямого доступа к памяти3. Многообразие реализаций
4. Технические сложности из-за миниатюризации
Слайд 25Особенности Network forensics
1. Большое количество компьютеров
Необходимо применение специальных средств мониторинга,
анализа и хранения сетевых данных
2. Обмен данными с Интернет
Необходимо предварительное
накопление и хранение данных в специальных системах (аналогия - видеорегистраторы)3. Беспроводные сети
Проблемы Computer forensics
Слайд 26Проблемы хранения, передачи и обработки цифровых доказательств в компьютерной криминалистике. Предотвращение утечек
информации.
Особенности:
- Предотвращение утечек цифровых доказательств (информационная безопасность)
- Предотвращение утечек информации
(профилактика ИТ-инцидента)Применение средств информационной безопасности должно учитывать возможность проведения расследования методами компьютерной криминалистики
Предотвращение утечки информации и ИТ-инцидентов
