Συστημική εγκληματολογία: ένας πλήρης και πρακτικός οδηγός

Informatec Digital » Πόροι » Συστημική εγκληματολογία: ένας πλήρης και πρακτικός οδηγός

Η εγκληματολογία υπολογιστών και η κυβερνοασφάλεια έχουν γίνει βασικό εργαλείο για τις επιχειρήσεις, τις υπηρεσίες επιβολής του νόμου και τους εγκληματολόγους. Ζούμε κολλημένοι στα τηλέφωνά μας, τους υπολογιστές μας και κάθε είδους συνδεδεμένες συσκευές, επομένως κάθε περιστατικό αφήνει ένα ψηφιακό ίχνος που, εάν αναλυθεί σωστά, μπορεί να είναι κρίσιμο σε μια τεχνική ή νομική έρευνα.

Αν και μπορεί να ακούγεται σαν ένας πολύ προηγμένος κλάδος σήμερα, η ψηφιακή εγκληματολογία άρχισε να διαμορφώνεται τη δεκαετία του 1980 με τη διάδοση των προσωπικών υπολογιστών, έγινε επαγγελματίας τη δεκαετία του 1990 και μόλις στις αρχές του 21ου αιώνα χώρες όπως οι Ηνωμένες Πολιτείες άρχισαν να τυποποιούν τις διαδικασίες, ειδικά ενόψει της βίαιης αύξησης των εγκλημάτων στον κυβερνοχώρο και της αποκέντρωσης των αρχών επιβολής του νόμου.

Τι είναι η συστημική εγκληματολογία και γιατί είναι τόσο σημαντική;

Όταν μιλάμε για συστημική εγκληματολογία, αναφερόμαστε στον τεχνικό-επιστημονικό κλάδο που εντοπίζει, διατηρεί, εξάγει και αναλύει ψηφιακά στοιχεία από οποιαδήποτε συσκευή ικανή να αποθηκεύει ή να επεξεργάζεται δεδομένα: υπολογιστές, κινητά τηλέφωνα, tablet, εξωτερικούς σκληρούς δίσκους, συστήματα IoT, drones, συνδεδεμένα οχήματα, διακομιστές cloud, δίκτυα κ.λπ.

Ο στόχος δεν είναι απλώς η ανάκτηση αρχείων ή η διαπίστωση «τι συνέβη», αλλά η αξιόπιστη ανακατασκευή των γεγονότων που σχετίζονται με ένα περιστατικό : ποια συστήματα παραβιάστηκαν, ποια τεχνική χρησιμοποιήθηκε, ποιες πληροφορίες εκλάπησαν, ποιος είχε πρόσβαση και σε ποια χρονική στιγμή, και όλα αυτά με τρόπο που να μπορεί να υπερασπιστεί κανείς στο δικαστήριο εάν χρειαστεί.

Αυτός ο τύπος ανάλυσης βασίζεται σε αυστηρές μεθόδους για την απόκτηση και επεξεργασία ηλεκτρονικών αποδεικτικών στοιχείων, ώστε να αποφευχθεί η αλλοίωση της αρχικής τους κατάστασης. Εξ ου και η έμφαση στην ακεραιότητα, την αλυσίδα φύλαξης και την παραδεκτότητα: εάν τα αποδεικτικά στοιχεία έχουν υποστεί λανθασμένο χειρισμό, έχουν μολυνθεί ή δεν έχουν τεκμηριωθεί σωστά, μπορούν να απορριφθούν από έναν δικαστή και να ακυρώσουν όλες τις προηγούμενες εργασίες.

Καθώς η κοινωνία έχει μετατοπιστεί στο διαδίκτυο, με την άνοδο του cloud computing, της απομακρυσμένης εργασίας και των συνδεδεμένων συσκευών , η ποσότητα των δεδομένων που παράγονται ανά άτομο έχει εκτοξευθεί. Αυτό αποτελεί μια τεράστια πρόκληση για τους αναλυτές, αλλά και μια ευκαιρία: όσο μεγαλύτερο είναι το ψηφιακό αποτύπωμα, τόσο μεγαλύτερες είναι οι πιθανότητες ακριβούς ανακατασκευής ενός περιστατικού κυβερνοασφάλειας ή ενός τεχνολογικού εγκλήματος.

Αυτός είναι ο λόγος για τον οποίο η ψηφιακή εγκληματολογία θεωρείται ουσιαστικός κλάδος της επιστημονικής αστυνόμευσης και της σύγχρονης κυβερνοασφάλειας . Υποστηρίζει ποινικές και αστικές έρευνες, βοηθά στον προσδιορισμό της ευθύνης σε περιπτώσεις τεχνολογικής απάτης, εργασιακών διαφορών, παραβιάσεων δεδομένων και επιθέσεων ransomware , και χρησιμεύει επίσης για τη βελτίωση της εσωτερικής ασφάλειας και των πολιτικών άμυνας.

Πρακτικές εφαρμογές της εγκληματολογικής ανάλυσης στην κυβερνοασφάλεια

Στον τομέα της κυβερνοασφάλειας, η ψηφιακή εγκληματολογία χρησιμοποιείται για τη διερεύνηση περιστατικών όπως εισβολές, κλοπή διαπιστευτηρίων, βιομηχανική κατασκοπεία, δολιοφθορά ή παραβιάσεις δεδομένων . Η ιδέα είναι ότι, μόλις εντοπιστεί ή υπάρξει υποψία για ένα περιστατικό, το περιβάλλον ασφαλίζεται και ξεκινά μια ελεγχόμενη διαδικασία συλλογής και εξέτασης ψηφιακών αποδεικτικών στοιχείων.

Αυτή η εργασία λαμβάνει χώρα σε ένα απομονωμένο, ελεγχόμενο και προσεκτικά τεκμηριωμένο περιβάλλον , χρησιμοποιώντας εξειδικευμένα εργαλεία που επιτρέπουν την εξέταση δίσκων, memory dumps , system logs, δικτυακής κίνησης και άλλων αντικειμένων χωρίς να τροποποιηθεί το πρωτότυπο. Στόχος είναι να απαντηθούν βασικά ερωτήματα: πώς απέκτησε πρόσβαση ο εισβολέας, τι ακριβώς έκανε, σε ποια δεδομένα είχε πρόσβαση, για πόσο καιρό παρέμεινε μέσα και αν παραμένουν backdoors.

Εκτός από τη διευκρίνιση του τι συνέβη, η εγκληματολογία στον κυβερνοχώρο είναι απαραίτητη για τον ορισμό ή την προσαρμογή μέτρων προστασίας : κανόνες τείχους προστασίας, διαμορφώσεις EDR, τμηματοποίηση δικτύου, πολιτικές κωδικών πρόσβασης, εκπαίδευση χρηστών κ.λπ. Πολλοί οργανισμοί αξιοποιούν τα ευρήματα μιας ανάλυσης ειδικών για να ενημερώσουν το ISMS τους, να επανεξετάσουν τη συμμόρφωσή τους με τους κανονισμούς (για παράδειγμα, με το ISO 27001) ή να ενισχύσουν τους κρίσιμους ελέγχους.

Έχει επίσης μια σαφώς νομική πτυχή: τα ευρήματα μπορούν να παρουσιαστούν σε μια έκθεση εγκληματολογικής έρευνας που μπορεί να χρησιμοποιηθεί ως αποδεικτικό στοιχείο σε νομικές διαδικασίες, είτε ποινικές, αστικές, εργατικές είτε διοικητικές. Αυτή η έκθεση συνήθως περιλαμβάνει τη μεθοδολογία που χρησιμοποιήθηκε, τα αποδεικτικά στοιχεία που εξετάστηκαν, τα αποτελέσματα που ελήφθησαν και τα τεχνικά συμπεράσματα που εξηγούνται με τρόπο κατανοητό από τους δικαστές και τους δικηγόρους.

Επιπλέον, η εγκληματολογία στον κυβερνοχώρο παρέχει ένα επιπλέον πλεονέκτημα: τροφοδοτεί πρακτικές ηθικού hacking και penetration testing . Η κατανόηση του τρόπου με τον οποίο οι κυβερνοεγκληματίες επιτίθενται στην πραγματικότητα επιτρέπει τον σχεδιασμό πολύ πιο ρεαλιστικών δοκιμών διείσδυσης και καλύτερων στόχων για τη βελτίωση της υποδομής ενός οργανισμού.

Εξέλιξη και επαγγελματική άνοδος της ψηφιακής εγκληματολογίας

Η ανάπτυξη της ψηφιακής εγκληματολογίας δεν είναι μόνο τεχνολογική, αλλά και επαγγελματική. Όλο και περισσότερες εταιρείες, δικηγορικά γραφεία και δημόσιοι φορείς χρειάζονται εξειδικευμένες υπηρεσίες εγκληματολογίας υπολογιστών για σύνθετα περιστατικά: απάτη κρυπτονομισμάτων, κλοπή ταυτότητας, εγκλήματα μίσους στα μέσα κοινωνικής δικτύωσης, κατασκοπεία μεταξύ ανταγωνιστών και ούτω καθεξής.

Διεθνείς οργανισμοί όπως η INTERPOL έχουν αναπτύξει εργαστήρια ψηφιακής εγκληματολογίας αναφοράς , παγκόσμιες κατευθυντήριες γραμμές για τη δημιουργία εθνικών εργαστηρίων και βέλτιστες πρακτικές για τον χειρισμό ηλεκτρονικών αποδεικτικών στοιχείων. Προωθούν επίσης προγράμματα κατάρτισης, ανάπτυξη ικανοτήτων και δίκτυα εμπειρογνωμόνων που μοιράζονται γνώσεις και μελέτες περιπτώσεων.

Εν τω μεταξύ, η ζήτηση για εξειδικευμένους επαγγελματίες αυξάνεται ραγδαία. Εκτιμήσεις όπως αυτές του Γραφείου Στατιστικών Εργασίας των ΗΠΑ δείχνουν διψήφια αύξηση στις θέσεις εργασίας στον τομέα της εγκληματολογίας υπολογιστών τα επόμενα χρόνια, με προφίλ που συνδυάζουν εις βάθος τεχνικές γνώσεις και κατανόηση του ισχύοντος νομικού πλαισίου.

Για την κάλυψη αυτής της ανάγκης, έχουν προκύψει εκπαιδευτικά σεμινάρια (bootcamps) και εντατικά προγράμματα κυβερνοασφάλειας και ηθικής πειρατείας , μαζί με τεχνικές πιστοποιήσεις (CPHE, CSFPC, CSIO, CSCE, μεταξύ άλλων) και προηγμένη εκπαίδευση σε πρότυπα ασφάλειας πληροφοριών όπως το ISO 27001. Πολλές εταιρείες κυβερνοασφάλειας διαθέτουν ομάδες διαπιστευμένων εμπειρογνωμόνων και τα δικά τους εργαστήρια για την ανάλυση υλικού, λογισμικού, δικτύων και εφαρμογών.

Σε αυτό το πλαίσιο, εμφανίζονται επίσης πολύ συγκεκριμένες υπηρεσίες, όπως η επιχειρηματική συμβουλευτική στον τομέα της ψηφιακής εγκληματολογίας , όπου αναλύεται ένα συγκεκριμένο περιστατικό (ηλεκτρονικό ψάρεμα (phishing), διαρροή δεδομένων, εσωτερική απάτη, δολιοφθορά κ.λπ.), ανακτώνται διαγραμμένα ή κατεστραμμένα δεδομένα, υποστηρίζεται η εταιρεία στη νομική διαδικασία και σχεδιάζονται διορθωτικά μέτρα για την αποτροπή επανάληψης της κατάστασης.

Είδη εγκληματολογικής ανάλυσης στον τεχνολογικό τομέα

Εντός του ευρέος φάσματος της ψηφιακής εγκληματολογίας, διακρίνονται συνήθως αρκετές ειδικότητες με βάση τον τύπο του μέσου ή του περιβάλλοντος που αναλύεται. Κάθε μία έχει τις δικές της συγκεκριμένες τεχνικές και εργαλεία, αν και όλες μοιράζονται την ίδια φιλοσοφία: την αξιόπιστη διατήρηση, ανάλυση και παρουσίαση ψηφιακών αποδεικτικών στοιχείων.

Από τη μία πλευρά, υπάρχουν οι παραδοσιακές ψηφιακές αναλύσεις επιτραπέζιων και φορητών υπολογιστών , που στοχεύουν στην ανάκτηση αρχείων, στη μελέτη της δραστηριότητας των χρηστών και στην ανακατασκευή χρονοδιαγραμμάτων συμβάντων. Αυτό περιλαμβάνει συστήματα αρχείων, αρχεία καταγραφής λειτουργικών συστημάτων, εφαρμογές γραφείου, προγράμματα περιήγησης ιστού και ούτω καθεξής.

Ένας άλλος σημαντικός κλάδος είναι η ανάλυση κινητών συσκευών (smartphones, tablets, PDAs και παρόμοιες συσκευές). Αυτές οι συσκευές αποθηκεύουν έναν τεράστιο όγκο ευαίσθητων δεδομένων: άμεσα μηνύματα, email, γεωγραφική τοποθεσία, φωτογραφίες, τραπεζικές εφαρμογές και άλλα. Τα εργαλεία εγκληματολογίας για κινητά επιτρέπουν την εξαγωγή και την αποκωδικοποίηση πληροφοριών ακόμη και όταν ο χρήστης έχει επιχειρήσει να διαγράψει συνομιλίες ή να μορφοποιήσει τη συσκευή ή ακόμα και να ανακτήσει διαγραμμένα αρχεία από το Android.

Υπάρχει επίσης η ανάλυση λογισμικού , η οποία εστιάζει στη διερεύνηση κώδικα εφαρμογής για να διαπιστωθεί εάν έχει κλαπεί, παραποιηθεί ή παραβιαστεί. Είναι απαραίτητη σε περιπτώσεις πνευματικής ιδιοκτησίας, ανάλυσης κακόβουλου λογισμικού ή επαλήθευσης της ακεραιότητας κρίσιμων εφαρμογών.

Τέλος, ξεχωρίζει η ανάλυση της μνήμης και του χώρου αποθήκευσης , εστιάζοντας στη μελέτη του περιεχομένου των σκληρών δίσκων, των μονάδων USB, των SSD και της ίδιας της μνήμης RAM. Αυτό περιλαμβάνει την ανάκτηση διαγραμμένων δεδομένων, την ανάλυση κρυπτογραφημένων τόμων, την ανίχνευση υπολειμμάτων κακόβουλου λογισμικού και την αναγνώριση δεδομένων που δεν εγγράφονται ποτέ στον δίσκο αλλά παραμένουν στη μνήμη για ένα χρονικό διάστημα.

Βασικά εγκληματολογικά αντικείμενα σε συστήματα Windows

Στην πράξη, τα περισσότερα εταιρικά περιστατικά επηρεάζουν τα περιβάλλοντα των Windows. Αυτά τα συστήματα δημιουργούν μεγάλο αριθμό εγκληματολογικών τεχνουργημάτων : μικρά ίχνη δραστηριότητας που, όταν αναλυθούν σωστά, επιτρέπουν στους ερευνητές να συμπεράνουν τι έχει κάνει ένας χρήστης ή ένας εισβολέας σε έναν συγκεκριμένο υπολογιστή.

Η ψηφιακή εγκληματολογία στα Windows επικεντρώνεται στην αναγνώριση, τη διατήρηση και τη μελέτη αυτών των αντικειμένων χωρίς να διακυβεύεται η ακεραιότητά τους . Παρόλο που τα δεδομένα είναι διασκορπισμένα σε διαφορετικές περιοχές του συστήματος και ορισμένα είναι ασταθή, πολλά από αυτά μπορούν να συλλεχθούν σχετικά εύκολα και προσφέρουν πληροφορίες τεράστιας αποδεικτικής αξίας.

Μεταξύ των πιο σχετικών είναι τα αρχεία καταγραφής συμβάντων, τα αρχεία Prefetch, οι συντομεύσεις (LNK), το Μητρώο των Windows με αντικείμενα όπως Shimcache, Amcache και ShellBags, καθώς και πληροφορίες σχετικά με συνδεδεμένες συσκευές, προγράμματα εκκίνησης και αρχεία που ανοίχτηκαν πρόσφατα.

Οι αναλυτές συνδυάζουν αυτά τα τεχνουργήματα με δεδομένα δικτύου, αρχεία καταγραφής μνήμης, αρχεία καταγραφής εφαρμογών και πλατφόρμες SIEM όπως το Wazuh για να ανακατασκευάσουν λεπτομερή χρονοδιαγράμματα , να δοκιμάσουν την εκτέλεση κακόβουλων εργαλείων, να επιδείξουν τη χρήση συγκεκριμένων λογαριασμών ή να εντοπίσουν την εξαγωγή πληροφοριών σε εξωτερικές συσκευές.

Τόσο στις ποινικές όσο και στις εσωτερικές έρευνες, αυτά τα στοιχεία βοηθούν στη σύνδεση των τεχνικών ενεργειών με τα άτομα και τις ευθύνες , κάτι θεμελιώδες όταν πρόκειται για πειθαρχικές απολύσεις, συμβατικές διαφορές, παραβιάσεις πολιτικών ή δικαστικών διαδικασιών γενικότερα.

Αρχεία καταγραφής συμβάντων και η αποδεικτική τους αξία

Τα αρχεία καταγραφής συμβάντων των Windows είναι μια από τις πλουσιότερες πηγές πληροφοριών. Αποθηκεύουν ένα λεπτομερές ιστορικό συμβάντων συστήματος, ασφάλειας και εφαρμογών , το οποίο καταγράφεται σε αρχεία με την επέκταση .evtx που βρίσκονται στο C:\Windows\System32\winevt\Logs\.

Από εγκληματολογικής άποψης, τα αρχεία καταγραφής ασφαλείας παρουσιάζουν ιδιαίτερο ενδιαφέρον , όπου καταγράφονται οι αποτυχημένες προσπάθειες σύνδεσης (συμβάν 4625), οι επιτυχημένες συνδέσεις (συμβάν 4624), οι κρίσιμες αλλαγές στις πολιτικές ασφαλείας (συμβάν 4719) και πολλές άλλες ενέργειες που σχετίζονται με την αυθεντικοποίηση και τον έλεγχο πρόσβασης.

Η ανάλυση αυτών των συμβάντων σάς επιτρέπει να εντοπίσετε απόπειρες εισβολής, επιθέσεις ωμής βίας, κλιμακώσεις δικαιωμάτων ή πρόσβαση εκτός ωραρίου λειτουργίας . Είναι επίσης πολύ χρήσιμη για τον εντοπισμό των λογαριασμών που χρησιμοποιήθηκαν κατά τη διάρκεια ενός συμβάντος, από ποιες διευθύνσεις IP συνδέθηκαν ή εάν τροποποιήθηκαν οι παράμετροι ελέγχου για να καλυφθούν τα ίχνη τους.

Τα αρχεία καταγραφής συστήματος και εφαρμογών παρέχουν επίσης ενδείξεις: απροσδόκητες επανεκκινήσεις, σφάλματα υπηρεσίας, εγκατάσταση ύποπτων προγραμμάτων οδήγησης, αποτυχίες εφαρμογών ασφαλείας... Με εργαλεία όπως το Πρόγραμμα προβολής συμβάντων των Windows (eventvwr.msc), τα εργαλεία Sysinternals ή τα σενάρια PowerShell, ο αναλυτής μπορεί να φιλτράρει, να εξάγει και να συσχετίσει μεγάλους όγκους πληροφοριών.

Σε πολλές περιπτώσεις, συγκεκριμένα βοηθητικά προγράμματα ή πλαίσια όπως το Plaso (Log2Timeline) χρησιμοποιούνται για τη μετατροπή αυτών των εγγραφών σε μια ενοποιημένη χρονογραμμή , η οποία στη συνέχεια εξετάζεται με εργαλεία όπως το Timeline Explorer, διευκολύνοντας τον εντοπισμό ύποπτων μοτίβων και τη συσχέτιση με άλλα αντικείμενα.

Προανάκτηση: ίχνος εκτελεσμένων προγραμμάτων

Ο μηχανισμός Prefetch των Windows σχεδιάστηκε για να βελτιώνει την απόδοση του συστήματος, αλλά από εγκληματολογικής άποψης, είναι καθαρός χρυσός. Κάθε φορά που εκτελείται μια εφαρμογή, τα Windows μπορούν να δημιουργήσουν ένα αρχείο Prefetch με την επέκταση .pf στον φάκελο C:\Windows\Prefetch\.

Αυτά τα αρχεία περιέχουν δεδομένα σχετικά με το ποιο εκτελέσιμο αρχείο εκκινήθηκε, από ποια διαδρομή, πόσες φορές και σε ποιους κατά προσέγγιση χρόνους . Ακόμα κι αν το αρχικό πρόγραμμα έχει διαγραφεί από τον δίσκο, η ιχνηλάτησή του ενδέχεται να εξακολουθεί να υπάρχει στο Prefetch, βοηθώντας στην απόδειξη ότι εκτελέστηκε στο σύστημα.

Η συμπεριφορά του Prefetch έχει εξελιχθεί: σε εκδόσεις όπως τα Windows XP έως τα Windows 7 περιοριζόταν σε 128 αρχεία. Από τα Windows 8 και μετά συνδυάζεται με το Superfetch (SysMain) και το μέγιστο μέγεθος αυξάνεται, επιτρέποντας ένα πλουσιότερο και πιο λεπτομερές ιστορικό των εφαρμογών που χρησιμοποιήθηκαν.

Στην πράξη, οι αναλυτές χρησιμοποιούν εργαλεία όπως το PECmd ή το WinPrefetchView για να εξαγάγουν και να απεικονίσουν πληροφορίες από αυτά τα αρχεία: ονόματα εκτελέσιμων αρχείων, διαδρομές, συσχετισμένες χρονικές σημάνσεις και σχετικά αρχεία που φορτώνονται κατά την εκτέλεση, καθώς και βοηθητικά προγράμματα όπως το Process Explorer για τη διερεύνηση σχετικών διεργασιών.

Αυτές οι πληροφορίες μπορούν να χρησιμοποιηθούν για τον εντοπισμό εκτελέσεων κακόβουλου λογισμικού, εργαλείων απομακρυσμένης διαχείρισης, σεναρίων πλευρικής κίνησης ή ύποπτων βοηθητικών προγραμμάτων που χρησιμοποιούνται από έναν εισβολέα εσωτερικών χρηστών. Επιπλέον, μπορούν να επιβεβαιώσουν τις αναφορές χρηστών σχετικά με το ποιες εφαρμογές χρησιμοποίησαν και πότε, κάτι που είναι πολύ χρήσιμο σε εσωτερικές έρευνες ή παραβιάσεις δεδομένων.

Αρχεία LNK: συντομεύσεις που λένε σχεδόν τα πάντα

Τα αρχεία LNK, κοινώς γνωστά ως συντομεύσεις των Windows, αποτελούν ένα ακόμη τεχνούργημα εγκληματολογικής ανάλυσης με τεράστιο ενδιαφέρον. Κάθε συντόμευση αποθηκεύει μεταδεδομένα σχετικά με το αρχείο ή τον φάκελο προορισμού : αρχική διαδρομή, συσκευή αποθήκευσης, συσχετισμένες ημερομηνίες και άλλες ιδιότητες.

Αυτά τα αρχεία δημιουργούνται, για παράδειγμα, στην επιφάνεια εργασίας του χρήστη ή στον φάκελο πρόσφατων εγγράφων (C:\Users\<όνομα χρήστη>\AppData\Roaming\Microsoft\Windows\Recent\), επιτρέποντας την ανακατασκευή των αρχείων που έχουν ανοιχτεί πρόσφατα και από πού.

Σε εγκληματολογικά περιβάλλοντα, τα αρχεία LNK είναι πολύ χρήσιμα για την ανίχνευση εξαγωγής δεδομένων σε εξωτερικούς δίσκους , καθώς μπορούν να αποθηκεύσουν λεπτομέρειες συσκευών USB, όπως σειριακούς αριθμούς ή γράμματα μονάδων δίσκου. Ακόμα και αν το αρχείο προορισμού έχει διαγραφεί ή η μονάδα USB δεν είναι πλέον συνδεδεμένη, η συντόμευση μπορεί να διατηρήσει βασικές πληροφορίες.

Εργαλεία όπως το LECmd ή το ShellBagsExplorer σάς επιτρέπουν να εξάγετε και να αναλύετε αυτά τα δεδομένα μαζικά, βοηθώντας στον εντοπισμό προσβάσιμων διαδρομών δικτύου, ευαίσθητων ονομάτων αρχείων και εργασιακών συνηθειών των χρηστών. Τα σενάρια PowerShell μπορούν επίσης να χρησιμοποιηθούν για την καταγραφή και ταξινόμηση συντομεύσεων κατά ημερομηνία τελευταίας τροποποίησης.

Όλα αυτά βοηθούν στην ανακατασκευή της ακολουθίας των ενεργειών του χρήστη πριν, κατά τη διάρκεια και μετά από ένα περιστατικό: ποια έγγραφα άνοιξε, αν τα αντέγραψε σε μια μονάδα USB, αν έτρεξε προγράμματα από έναν άγνωστο φάκελο κ.λπ., ενισχύοντας ή αντικρούοντας εκδοχές γεγονότων σε μια εσωτερική σύγκρουση ή νομική διαδικασία.

Μητρώο των Windows: Ρύθμιση παραμέτρων, διατήρηση και ίχνη χρήσης

Το Μητρώο των Windows είναι μια ιεραρχική βάση δεδομένων όπου το λειτουργικό σύστημα και πολλές εφαρμογές αποθηκεύουν ρυθμίσεις, λίστες πρόσφατων στοιχείων και δεδομένα σχετικά με συσκευές . Από εγκληματολογικής άποψης, αποτελεί ένα χρυσωρυχείο πληροφοριών για την κατανόηση του τρόπου συμπεριφοράς ενός υπολογιστή και των όσων έχουν συμβεί σε αυτόν.

Μεταξύ άλλων, το Μητρώο περιέχει προγράμματα που ξεκινούν αυτόματα μαζί με το σύστημα , ιδανικά για τον εντοπισμό επίμονου κακόβουλου λογισμικού ή εργαλείων απομακρυσμένης διαχείρισης που φορτώνουν σε κάθε εκκίνηση. Περιλαμβάνει επίσης κλειδιά που συλλέγουν δακτυλικά αποτυπώματα συνδεδεμένων συσκευών USB, βοηθώντας στην παρακολούθηση εξωτερικών μονάδων δίσκου που χρησιμοποιούνται για την αντιγραφή δεδομένων.

Μια άλλη ομάδα σχετικών τεχνουργημάτων είναι τα Shimcache και Amcache . Το πρώτο σάς επιτρέπει να γνωρίζετε ποιες εφαρμογές έχουν εκτελεστεί στο σύστημα (αν και όχι πάντα με ακριβή ώρα), ενώ το δεύτερο παρέχει πολύ πιο ακριβείς λεπτομέρειες: όνομα αρχείου, διαδρομή, κατακερματισμό SHA1 και διάφορες χρονικές σημάνσεις που σχετίζονται με την εκτέλεση.

Επιπλέον, τα ShellBags που είναι αποθηκευμένα σε συγκεκριμένα κλειδιά μητρώου σάς επιτρέπουν να ανακατασκευάσετε τους φακέλους στους οποίους έχει περιηγηθεί ο χρήστης στην εξερεύνηση αρχείων, ακόμη και αν αυτοί οι φάκελοι έχουν διαγραφεί αργότερα. Αυτό παρέχει μια πολύ σαφή εικόνα για τις τοποθεσίες που έχουν επισκεφθεί και μπορεί να αποκαλύψει προσπάθειες απόκρυψης ή χειραγώγησης δεδομένων.

Για την ανάλυση του Μητρώου, χρησιμοποιούνται εργαλεία όπως το Registry Explorer, το RECmd ή το RegRipper , τα οποία αυτοματοποιούν την εξαγωγή των σχετικών ενοτήτων και παρουσιάζουν τις πληροφορίες σε αναγνώσιμη μορφή για τον αναλυτή. Και πάλι, αυτά συχνά συνδυάζονται με άλλες πηγές για την επικύρωση των ευρημάτων και την ενίσχυση των συμπερασμάτων.

Φάσεις μιας καλογραμμένης εγκληματολογικής ανάλυσης μέσω υπολογιστή

Πέρα από τα εργαλεία και τον εξοπλισμό, αυτό που είναι κρίσιμο είναι η τήρηση μιας εύτακτης και μεθοδικής διαδικασίας . Μια αποδιοργανωμένη εγκληματολογική ανάλυση μπορεί να ακυρώσει τα αποδεικτικά στοιχεία, να δημιουργήσει αμφιβολίες σε μια δίκη ή να οδηγήσει σε παρερμηνείες.

Στην πράξη, συνήθως διακρίνονται διάφορα στάδια. Πρώτον, μια αρχική μελέτη της ψηφιακής σκηνής , όπου προσδιορίζονται τα εμπλεκόμενα συστήματα, ασφαλίζεται το περιβάλλον για την αποφυγή περαιτέρω ζημιών και αποφασίζεται το εύρος της ανάλυσης. Αυτή είναι η στιγμή για να αποκλειστεί η περιττή πρόσβαση, να διατηρηθούν τα αρχεία καταγραφής και να συμφωνηθεί με τον οργανισμό ο τρόπος εκτέλεσης της εργασίας.

Στη συνέχεια, ακολουθεί η αναγνώριση και η καταλογογράφηση των αποδεικτικών στοιχείων : μια απογραφή συσκευών, λογαριασμών, υπηρεσιών, αντιγράφων ασφαλείας και οποιωνδήποτε άλλων στοιχείων που ενδέχεται να περιέχουν σχετικά δεδομένα. Εδώ, είναι απαραίτητο να αποφασιστεί ποια συστήματα θα απεικονιστούν εγκληματολογικά και να ιεραρχηθούν κατά προτεραιότητα ανάλογα με την κρισιμότητα και την αστάθεια των πληροφοριών.

Η φάση συλλογής δεδομένων περιλαμβάνει τη δημιουργία αντιγράφων bit-by-bit από δίσκους, διαμερίσματα, μνήμη ή κοντέινερ, συνήθως χρησιμοποιώντας φυσικά μπλοκαρίσματα εγγραφής για να αποφευχθεί η αλλοίωση του πρωτοτύπου. Αυτή είναι η βάση των πάντων. Εάν αυτό το στάδιο εκτελεστεί εσφαλμένα, η υπόλοιπη εργασία μπορεί να είναι απαράδεκτη.

Μόλις τα δεδομένα ασφαλιστούν, ξεκινά η πραγματική ανάλυση : αναθεώρηση αρχείων, αρχείων καταγραφής, εγγραφών, memory dumps, τεχνουργημάτων των Windows και οποιωνδήποτε άλλων σχετικών πηγών. Τα αυτοματοποιημένα εργαλεία συνδυάζονται με χειροκίνητη αναθεώρηση, κατασκευάζονται χρονοδιαγράμματα και τα κομμάτια ενώνονται μέχρι να προκύψει μια σαφής εικόνα του συμβάντος.

Το τελικό βήμα είναι η σύνταξη της έκθεσης εμπειρογνωμόνων , η οποία περιγράφει λεπτομερώς τις ενέργειες που έγιναν, τη μεθοδολογία που εφαρμόστηκε, τα στοιχεία που εξετάστηκαν και τα τεχνικά συμπεράσματα. Πρέπει να είναι γραμμένη με ακρίβεια, αλλά και σε γλώσσα προσιτή σε μη τεχνικούς, επειδή συχνά θα παρουσιάζεται σε δικαστές, δικηγόρους ή συντονιστικές επιτροπές.

Βέλτιστες πρακτικές για εγκληματολογική ανάλυση σε συστήματα Windows

Για να είναι έγκυρη μια εγκληματολογική έρευνα στα Windows, δεν αρκεί να γνωρίζουμε τα ευρήματα. Είναι απαραίτητο να τηρούμε μια σειρά από ορθές πρακτικές που μειώνουν την πιθανότητα σφαλμάτων και εγγυώνται την ορθότητα των συμπερασμάτων.

Το πρώτο βήμα είναι να αποκτήσετε μια πιστή, επαληθεύσιμη και αναπαραγώγιμη εγκληματολογική εικόνα του αναλυμένου συστήματος, υπολογίζοντας και καταγράφοντας τους κατακερματισμούς πριν και μετά την αντιγραφή. Αυτό επιτρέπει την εργασία σε διπλότυπα ανά πάσα στιγμή, αφήνοντας το πρωτότυπο άθικτο σε περίπτωση που απαιτείται ανεξάρτητη επαλήθευση.

Μια άλλη βασική σύσταση είναι η δημιουργία λεπτομερών χρονοδιαγραμμάτων που ενσωματώνουν πληροφορίες από αρχεία καταγραφής συμβάντων, Prefetch, Registry, αρχεία LNK, ShellBags κ.λπ. Εργαλεία όπως το Plaso (Log2Timeline) βοηθούν στη δημιουργία μιας ενιαίας χρονολογίας, η οποία στη συνέχεια εξετάζεται για τον εντοπισμό ύποπτων συσχετίσεων μεταξύ συμβάντων.

Είναι επίσης σημαντικό να ιεραρχήσετε την ανάλυση με βάση το πλαίσιο του συμβάντος . Δεν είναι όλα τα αντικείμενα εξίσου σημαντικά σε κάθε περίπτωση: σε μια επίθεση ransomware, τα προγράμματα εκκίνησης και η δραστηριότητα κρυπτογράφησης θα έχουν μεγάλο ενδιαφέρον. Σε μια παραβίαση δεδομένων, το ιστορικό των συσκευών USB και οι πρόσφατες συντομεύσεις θα είναι πιο σημαντικές.

Η αυτοματοποίηση επαναλαμβανόμενων εργασιών είναι ένα άλλο βασικό σημείο. Η χρήση εργαλείων και σεναρίων για τη συλλογή, το φιλτράρισμα και τη σύνοψη εγκληματολογικών δεδομένων εξοικονομεί χρόνο, μειώνει τα ανθρώπινα λάθη και απελευθερώνει περισσότερο χώρο για ανάλυση υψηλού επιπέδου. Ακόμα κι έτσι, καμία σοβαρή αναφορά δεν πρέπει να βασίζεται αποκλειστικά σε αυτοματοποιημένα αποτελέσματα: η κριτική αξιολόγηση από τον αναλυτή είναι πάντα απαραίτητη.

Τέλος, είναι ζωτικής σημασίας να καταγράφεται κάθε βήμα της διαδικασίας σε ένα αρχείο καταγραφής ανάλυσης . Η καταγραφή των εντολών που εκτελούνται, των εικόνων που δημιουργούνται, των εργαλείων που χρησιμοποιούνται και των εκδόσεων, καθώς και τυχόν περιστατικών κατά τη διάρκεια της διαδικασίας, βοηθά στη διατήρηση μιας σαφούς αλυσίδας επιμέλειας και επιτρέπει την υπεράσπιση της εργασίας σε νομικά ή ελεγκτικά περιβάλλοντα.

Ο ρόλος των εγκληματολογικών εμπειρογνωμόνων και των εξειδικευμένων εργαστηρίων

Όλο αυτό το τεχνικό οικοσύστημα απαιτεί επαγγελματίες με έναν σύνθετο συνδυασμό δεξιοτήτων. Ένας καλός ειδικός στον κυβερνοχώρο όχι μόνο γνωρίζει πώς να χρησιμοποιεί εργαλεία, αλλά έχει και βαθιά κατανόηση των λειτουργικών συστημάτων, των δικτύων, του υλικού, των νομικών κανονισμών και των δικαστικών διαδικασιών.

Πολλές εταιρείες κυβερνοασφάλειας έχουν δημιουργήσει υπερσύγχρονα εργαστήρια εγκληματολογικής έρευνας , εξοπλισμένα με εξειδικευμένο λογισμικό για ανάλυση κινητών συσκευών, εξαγωγή και αποκωδικοποίηση δεδομένων, εργαλεία ανάλυσης δικτύου, πλατφόρμες ανάλυσης κακόβουλου λογισμικού και συγκεκριμένες λύσεις κυβερνο-ευφυΐας.

Αυτά τα εργαστήρια προσφέρουν υπηρεσίες εγκληματολογικής ανάλυσης σε όλους τους τύπους υλικού και λογισμικού : υπολογιστές, tablet, κινητά τηλέφωνα (Windows, Android, iOS), σκληρούς δίσκους, μονάδες USB, εφαρμογές ανταλλαγής μηνυμάτων όπως WhatsApp, email, βάσεις δεδομένων, ιστοσελίδες, εσωτερικά δίκτυα και άλλα.

Εκτός από τη διεξαγωγή της ίδιας της ανάλυσης, προετοιμάζουν ολοκληρωμένες εκθέσεις εμπειρογνωμόνων που πληρούν τις διαδικαστικές απαιτήσεις και παρέχουν υποστήριξη σε δίκες, διαιτησίες ή εξωδικαστικούς συμβιβασμούς. Πολλές από αυτές τις ομάδες κατέχουν αναγνωρισμένες πιστοποιήσεις στην ασφάλεια πληροφοριών και το ηθικό hacking, γεγονός που ενισχύει την τεχνική τους αξιοπιστία.

Εν τω μεταξύ, εταιρείες με εκτεταμένη εμπειρία στον προγραμματισμό και τα συστήματα συμπληρώνουν τις υπηρεσίες εγκληματολογικής ανάλυσης που παρέχουν με δοκιμές διείσδυσης και προληπτικές συμβουλές . Με αυτόν τον τρόπο, όχι μόνο ανταποκρίνονται σε προηγούμενα περιστατικά, αλλά αξιοποιούν και την εμπειρία που έχουν αποκτήσει για να ενισχύσουν την άμυνα, να εκπαιδεύσουν τους υπαλλήλους και να μειώσουν την επιφάνεια μελλοντικών επιθέσεων.

Εξετάζοντας τον κλάδο στο σύνολό του, η εγκληματολογία συστημάτων έχει γίνει ένα απαραίτητο εργαλείο για την πλήρη κατανόηση των κυβερνοεπιθέσεων, τον προσδιορισμό της ευθύνης, την ανάκτηση πληροφοριών και τη βελτίωση της ασφάλειας . Σε ένα περιβάλλον όπου το κυβερνοέγκλημα είναι ανεξέλεγκτο και τα δεδομένα έχουν γίνει κρίσιμο πλεονέκτημα, η ύπαρξη εμπειρογνωμόνων και ισχυρών διαδικασιών κάνει τη διαφορά μεταξύ της τυφλής αντίδρασης και της λήψης τεκμηριωμένων, αποτελεσματικών και νομικά υπερασπίσιμων αποφάσεων.