Καλώς ήρθατε πίσω.
Μόλις ένα περιστατικό περιοριστεί, η επόμενη ερώτηση
είναι τι ακριβώς συνέβη;
Εκεί μπαίνει στο παιχνίδι το cybersecurity forensics.
Σε αυτό το μάθημα, θα μάθετε πώς οι αναλυτές ερευνούν περιστατικά ασφαλείας.
Αποκαλύπτουν το μονοπάτι της επίθεσης και διατηρούν digital evidence
για εσωτερική αναθεώρηση ή ακόμα και νομική δράση.
Το Cybersecurity
forensics είναι η επιστήμη της εξέτασης συστημάτων, αρχείων,
και logs για να καθοριστεί πώς συνέβη μια επίθεση.
Ποια συστήματα επηρεάστηκαν;
Ποια δεδομένα μπορεί να έχουν παραβιαστεί;
Ποιος μπορεί να ήταν πίσω από αυτό;
Αυτή η έρευνα υποστηρίζει το incident response,
ενισχύει τις άμυνες, και μπορεί επίσης να υποστηρίξει νομική δράση ή επιβολή του νόμου.
Οι forensic αναλυτές αντλούν αποδεικτικά στοιχεία από logs συστήματος και εφαρμογών
disk images (snapshots δίσκων),
memory dumps (περιεχόμενα ζωντανής RAM),
καταγραφές network traffic,
email metadata και headers.
Κάθε κομμάτι βοηθά στην ανακατασκευή του attack timeline και στην επαλήθευση
του τι αγγίχτηκε ή κλάπηκε.
Όταν το forensics χρησιμοποιείται σε νομική ή πειθαρχική δράση,
η διατήρηση του Chain of Custody είναι κρίσιμη.
Αυτό σημαίνει τεκμηρίωση του πού αποθηκεύτηκαν τα αποδεικτικά στοιχεία,
ποιος είχε πρόσβαση σε αυτά, και πότε, πώς προστατεύτηκαν από παραποίηση.
Ακόμα και ένα μικρό λάθος εδώ μπορεί να κάνει τα αποδεικτικά στοιχεία μη αποδεκτά στο δικαστήριο.
Γι' αυτό οι αναλυτές χρησιμοποιούν αυστηρά πρωτόκολλα κατά τον χειρισμό δεδομένων.
Η forensic εργασία βασίζεται σε εξειδικευμένα εργαλεία.
Παραδείγματα περιλαμβάνουν το FTK
(Forensic Toolkit) για ανάλυση αρχείων και δίσκων.
Autopsy: open source σουίτα για εξέταση εικόνων και logs.
Volatility:
πλαίσιο memory forensics.
Wireshark:
network traffic analysis.
Αυτά τα εργαλεία βοηθούν τους αναλυτές να εξάγουν, να διατηρούν,
και να ερμηνεύουν δεδομένα με ακρίβεια και ασφάλεια.
Το Forensics δεν αφορά μόνο την απόδοση ευθυνών.
Αφορά τη μάθηση.
Μια πλήρης έρευνα αποκαλύπτει πώς μπήκε ο επιτιθέμενος.
Ποιες άμυνες απέτυχαν;
Πώς να ενισχύσουμε τα συστήματα στο μέλλον.
Τα forensic ευρήματα τροφοδοτούν απευθείας ενημερωμένες security policies,
καλύτερους κανόνες εντοπισμού και εξυπνότερη εκπαίδευση χρηστών.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη.
Τι περιλαμβάνει το cybersecurity forensics;
Α κρυπτογράφηση σκληρών δίσκων.
Β συγγραφή νέου κώδικα.
Γ διερεύνηση περιστατικών χρησιμοποιώντας digital evidence.
Δ επαναφορά κωδικών πρόσβασης χρηστών.
Παύση για σκέψη.
Η σωστή απάντηση είναι Γ.
Το Forensics είναι η έρευνα και ανάλυση
ψηφιακών αποδεικτικών στοιχείων μετά από ένα συμβάν ασφαλείας.
Ερώτηση δύο γιατί πρέπει οι αναλυτές να διατηρούν ένα Chain of Custody;
Α για να παρακολουθούν συνδέσμους phishing.
Β για να επαναφέρουν δικαιώματα εργαζομένων.
Γ για να διασφαλίσουν ότι τα αποδεικτικά στοιχεία είναι αξιόπιστα και νομικά έγκυρα.
Δ για να βελτιώσουν τις ταχύτητες λήψης.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Γ χωρίς κατάλληλο Chain of Custody,
τα αποδεικτικά στοιχεία θα μπορούσαν να απορριφθούν στο δικαστήριο.
Τελευταία ερώτηση.
Ποιο εργαλείο χρησιμοποιείται συνήθως για την ανάλυση μνήμης συστήματος;
A Wireshark B Autopsy.
Γ Volatility Δ Nessus.
Σκεφτείτε το καλά.
Η σωστή επιλογή απάντησης είναι Γ.
Το Volatility είναι ένα πλαίσιο που χρησιμοποιείται για memory forensics.
Εξαιρετική δουλειά.
Τώρα καταλαβαίνετε
πώς η forensic έρευνα υποστηρίζει το threat detection και το incident response,
και πώς τα digital evidence μπορούν να ενισχύσουν τις άμυνες ή να υποστηρίξουν νομική δράση.
Στη συνέχεια, ένα hands on εργαστήριο όπου θα αναλύσετε ένα
προσομοιωμένο περιστατικό ασφαλείας και θα περπατήσετε μέσα από πραγματικά βήματα απόκρισης.
Ας τα φέρουμε όλα μαζί.