Shelupanov_A_A_-_Forenzika_Teoria_i_praktika_rassledovania_kiberprestupleniy_-_2020
.pdfУнифицированная методика производства КТЭ |
61 |
Win7 NTUSER.DAT\Soffware\Microsoff\Windows\Shell\Bag
MRU
Win7 NTUSER.DAT\Software\Microsoft \ Windows \ Shell \
Bags;
•Prefetch-файлы (.pf) могут быть использованы для опре деления информации о последних используемых файлах и устройствах, они располагаются в директории C:\Windows\
Prefetch.
Задача определения информации о файлах (задача поиска файлов), в том числе удаленных. Артефакты:
•Win7 Search WordWheelQuery — артефакт, содержащий ин формацию о поисковых запросах, вводимых в меню Пуск в ОС Windows 7. Расположение: Win7 NTUSER.DAT Hive NTUSER.DAT \ Software \ Microsoft \Windows\CurrentVersion \Explorer\WordWheelQuery;
•Thumbs, db — артефакт, являющийся скрытым файлом. Со держит информацию об изображениях, имеющихся и имев шихся в директории, т. е. даже после их удаления из нее. Артефакт располагается в любой директории, где были про смотрены изображения в режиме эскизов, многие камеры со здают этот файл автоматически;
•Win7 Thumbnails — в ОС Vista/Win7 файлы thumbs.db от сутствуют, информация сохраняется отдельно для каждого пользователя, в директории : \Users\\AppData\Local\Microsoft\Windows\Explorer;
•корзина — Анализ корзины важен, так как зачастую зна чимые удаленные файлы были удалены именно через эту директорию. Расположение:
•Win7: Системная директория корзины C:\$R.ecycle.bin;
•артефакты, браузеров — эта группа артефактов будет рас смотрена ниже при описании артефактов задачи определе ния интернет-активности пользователя;
•Last visited MRU — см. описание выше.
Задача определения использования/подключения
USB-устройств. Артефакты:
•системный реестр: NTUSER.DAT ветка: NTUSER // Softwa re / Microsoft / Windows / CurrentVersion / Explorer/Mount Points2/;
62 |
Раздел 3 |
• |
ключи реестра — ключи системного реестра, содержащие |
|
информацию о ранее подключаемых USB-устройствах. Рас |
|
положены по адресу SYSTEM \ CurrentControlSet \ Enum \ |
|
USBSTOR и SYSTEM\CurrentControlSet\Enum\USB; |
•First/Last Time (недавно и давно подключаемые) — арте факты, содержащие информацию о подключении конкрет ных USB-устройств, их серийного номера, даты подключе ния. Расположение: журнал Plug and Play (недавно под ключаемые): Win7 C:\Windows\inf\setupapEdevdog;
•идентификация пользователя — если стоит задача опреде ления пользователя, которым было подключено USB-устрой ство, то необходимо проанализировать:
оGUID пользователей в ключе реестра SYSTEM\Mounted Devices;
оключ реестра NTUSER.DAT \ Software \ Microsoft\Windows\CurrentVtrsion\Explorer\MountPomts2;
•имя раздела — информация об имени, присвоенном носи телю при подключении, может быть определена при ана лизе артефактов системного реестра, расположенных в нем по адресу: Win7: SOFTWARE\Microsoft\Windows Portable Devices\Dtvices и SYSTEM'\MountedDevices;
•LNK Files — см. описание выше;
•Event Logs — информация об установке Plug and Play драйве ров логируется (журналируется) в системном журнале Win dows. Важно отметить, что сохраняется информация о под ключении не только для USB-устройств.
Задача определения информации о запуске программ.
Артефакты:
•User Assist — артефакт запуска графических приложений, содержащийся в системном реестре по адресу: NTUSER. DAT\Software\Microsoft\Windows\Currentversion\Explorer\ UserAssist\{GUID}\Cfunt;
•LastVisited MRU — см. описание выше;
•Run MRU (Start->Run) — артефакт, образующийся в ре зультате запуска кем-либо команд открыть, запустить.
Он расположен в системном реестре по адресу NTUSER. DAT\Software\Microfoft\Windows\CurrentVetrion\Explofet\ RunMRU;
Унифицированная методика производства КТЭ |
63 |
•Prefetch — см. описание выше;
•Jump Lists — см. описание выше;
•Event Logs — артефакты о запуске программ, содержащиеся
всистемном журнале Windows.
Задача определения физического нахождения (лока лизации) пользователя. Артефакты:
•Time Zone (временная зона) — артефакт, расположенный в системном реестре, и содержащий информацию о временной зоне. Расположение: SYSTEM\CurrentControlSet\Control\ TimeZonelnformation;
•Vista/W7 Network History — артефакт, содержащий инфор мацию о сетевых подключениях компьютера, типе сети (про водная, беспроводная) и т.д. Расположение: SOFTWARE\ Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged; SOFTWARE\Microsoft\Windows NT\Current Version\NetworkList\Signatures\Managed; SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network List\Nla\Cache;
•Cookies — артефакт, анализируемый для получения инфор мации о посещенных пользователем сайтах. Для разных бра узеров располагаются в разных директориях;
•Search Terms (поисковые запросы в браузерах) — артефакт, содержащий информацию о дате и времени посещения сай тов, числе посещений, поисковых запросах. Он расположен для разных браузеров в разных директориях;
•IP-adpec — информация об IP-адресе, которая, например, может быть получена из системного реестра, используется для определения нахождения пользователя.
Задача определения информации об учетной записи.
Артефакты:
•информация о смене пароля — артефакты, содержащие ин формацию о последней смене пароля пользователем, распо ложены в C:\windows\system32\config\SAM и системном ре естре по адресу SAM\ Domains\Account\Users;
•успешная/неуспешная авторизация — артефакты, содер жащие информацию об успешных авторизациях и ее попыт ках (неуспешных авторизациях), расположены в системном журнале по адресу: Win7 %system root%\System32\winevt\ logs\Security.evtx;
64 |
Раздел 3 |
•системный журнал — подробная информация об учетной записи, запуске ОС, приложений, установке приложений, се тевых соединениях содержится в системном журнале ОС;
•RDP-соединения — артефакт, содержащий информацию о соединениях по протоколу RDP (в том числе информацию об IP-адресе устройства, подключившегося по RDP) и располо женный по адресу. Win7 %system root%\System32\winevt\ logs\Security.evtx;
•авторизация пользователя — артефакты, содержащие ин формацию об авторизации пользователя в ОС, расположе ны по адресу C:\windows\system32\config\SAM и в систем ном реестре: SAM\Domains\Account\Users.
Задача определения интернет-активности пользова теля [49]. Браузер Internet Explorer (IE) предоставляется вмес те с ОС Microsoft Windows как составная часть инсталляционного пакета ОС. Артефактами IE являются:
•файлы index.dat. Данные файлы содержат записи о досту пе к url, включая поисковые запросы, доступ к Веб-почте. Данный артефакт часто считается основным источником су дебной информации при анализе IE браузера;
•«избранное» IE. «Избранное» — закладки в Internet Explorer, оставленные пользователем при движении в сети. «Избран ное» пользователя можно найти (в Windows ХР) в директо рии \Documents and Settings\user\Favorites. Помимо содер жимого «Избранного» эксперт может найти ценную инфор мацию в файле MAC times. Данный файл иллюстрирует время создания файла, время последнего доступа к файлу, время внесения последних изменений;
•Cookies IE. Cookies Internet Explorer находятся по пути Users \ %username% \ AppData\Roaming\Microsoft\Windows\ Cookies (в ОС Vista и Windows 7). IE представляет cookies пользователя виде текстовых файлов — они могут быть про смотрены непосредственно;
•Cache IE (кэш). Кэш браузера — это файлы, которые оста ются в системе в результате активности пользователя в сети Internet. В Windows Vista и Windows 7: Users\ %username%\ AppData\Local\Microsoft\Windows\Temporary Internet Files\ Content.IE5.
Унифицированная методика производства КТЭ |
65 |
Браузер Mozilla’s Firefox — это второй по популярности браузер в мире после Internet Explorer:
•Firefox 3 сохраняет данные истории в файлы базы данных SQLite 3, которые достаточно просто просматриваются с по мощью инструментов с открытым исходным кодом. Formhi story. sqlite: содержит данные, вводимые пользователем. Эти данные включают в себя: имена, адреса, адреса элек тронной почты, номера телефонов, Веб-почту, поисковые за просы. Downloads, sqlite^: содержит данные о загружаемых файлах. Gookies.sqlite: содержит данные о cookies. Places, sqlite: содержит данные Internet history (данные Интернетактивности пользователя);
•Cache (кэш). В различных операционных системах кэш Firefox сохраняется в разных местах: ОС Windows Vista/7 — \Users \%username% \AppData\Roaming \Mozilla\Firefox\Pro- files; ОС Linux - / home/$username/ .mozilla/firefox/Profiles;
•Сохраненные данные сессии. При некорректном завершении работы с браузером (например, отключение электричества) создается файл sessionstore.js в директории профиля поль зователя. Данный файл содержит информацию, необходи мую браузеру для восстановления сессии. Для более ком фортного анализа информации данного файла предпочти тельнее использование не текстового программного редакто ра, а просмотрщика. В качестве просмотрщика может быть использовано программное обеспечение с открытым исход ным кодом, например JSON Viewer-,
•расширения. Firefox поддерживает установку расширений, которые могут улучшить или изменить работу с браузером. Данные расширения содержатся в файле extensions.rdf, в
каталоге пользователя. Иногда эти данные также полезны при производстве экспертизы.
Chrome — это браузер, разработанный Google и являющий
ся программным обеспечением с открытым исходным кодом. Об артефактах в Chrome:
•как в Firefox, так и в Chrome для хранения данных поль зователя используются базы данных SQLite. В различных ОС база данных хранятся в различных местах: в Windows Vista/7 — \Users\%username%\AppData\Local\Google\Chro-
66 |
Раздел 3 |
Объекты
экспертизы
Выводы преды дущих стадий
Рабочий план проведения исследований
Обобщить
информацию, полученную на
предыдущих |
-1 Обобщенная |
|
стадияхдля |
информация’ |
|
интерпретации |
|
|
артефактов |
|
Интерпрети |
|
Рассмотреть |
|
|
рованная |
|
|
(интерпретировать) |
информация |
|
артефакты, необхо |
И |
|
димые для решения |
|
|
задачи определения |
|
информации о |
|
|
|
загрузке файла |
Интерпрети |
|
|
|
|
|
|
|
Рассмотреть (интер |
рованная |
|
|
информация |
|
|
|
претировать) артефакты, |
|
|
-► |
необходимые для реше |
И |
|
ния задачи определения |
|
||
|
информации об откры- |
|
|
|
тии/создании файла |
|
Интерпрети |
|
|
|
|
|
Рассмотреть |
рованная |
|
|
(интерпретировать) |
информация |
артефакты, необхо |
_______ |
|
димые для решения |
||
|
||
задачи о поиске |
|
|
файла |
|
Рассмотреть (интер претировать) арте факты, необходимые для решения задачи об использовании/
подключении USB
Эксперт
Рис. 3.4. IDEFO-диаграмма производства
Унифицированная методика производства КТЭ |
67 |
синтезирующей стадии КТЭ
68 |
Раздел 3 |
me\Default; в Linux — /h^om^e/^^UE^e^i^iic^mcj/.cc^nfigr/^c^o^le^-^c^h^i^c^- me/Default;
•Cookies — это база данных SQLite, используемая для веде ния истории cookies. Информация, содержащаяся в этой ба зе данных, содержит информацию о времени создания фай ла cookie, времени последнего доступа к нему и хост-файлу cookie;
•History — это база данных SQLite, содержащая наиболее ин тересную информацию об активности пользователя, поде ленную на таблицы. Наибольший интерес представляют таб лицы: downloads, urls, visits;
•Lo/in Data — это база данных SQLite, содержащая инфор мацию о сохраненных учетных данных. В ОС Linux здесь может содержаться информация о паролях;
•Web Data — это база данных SQLite, содержащая инфор мацию, сохраненную пользователям для осуществления воз можности автозаполнения. Эта информация может вклю чать информацию об именах, адресах, номерах кредитных карт и т.д.;
•Thumbnails — это база данных SQLite, содержащая миниа тюры изображений посещенных сайтов;
•Bookmarks — это файл, содержащийся в директории про филя пользователя и содержащий закладки пользователя в браузере. Этот файл содержит объекты JSON и может быть просмотрен с помощью любого JSON-просмотрщика или просто текстовым редактором;
•Local State — этот файл используется для восстановления работы в Chrome после некорректного завершения работы. Файл содержит объекты JSON;
•Cache (кэш) в Chrome представлен виде index-файла, четы рех пронумерованных файлов данных (от data_0 до data_3) и множества файлов, начинающихся с «f» и оканчивающихся на комбинацию из шести шестнадцатеричных цифр.
На рис. 3.4 представлена IDEFO-диаграмма производства синтезирующей стадии КТЭ.
Унифицированная методика производства КТЭ |
69 |
3.5. Результирующая стадия
Результирующая стадия — это стадия, на которой проис ходит подведение итогов, оцениваются результаты проведенных исследований. На данной стадии выполняется окончательное оформление исследовательской (и если требуется вводной) час ти заключения.
На рис. 3.5 представлена IDEFO-диаграмма производства ре зультативной стадии КТЭ.
Рис. 3.5. IDEFO-диаграмма производства результативной стадии КТЭ
3.6. Формирование выводов
Формирование выводов — на этой стадии оформляются вы воды по экспертизе. Результаты этой стадии оформляются в разделе заключения «Выводы». В Выводах должны быть обя зательно отражены все вопросы экспертизы и ответы на них.
Вывод по каждому вопросу должен быть развернутым, же лательно указание ссылок на пункты, страницы исследователь ской части, исходя из которых сделаны выводы.
На рис. 3.6 представлена IDEFO-диаграмма производства ста дии формирования выводов КТЭ.
70 |
Раздел 3 |
Рис. 3.6. IDEFO-диаграмма производства стадии формирования выводов КТЭ
3.7. Заключение эксперта
Согласно требованиям законодательства, в заключении экс перта обязательно указываются [3-7]:
•дата, время и место производства судебной экспертизы;
•на основании чего производится судебная экспертиза;
•информация о должностном лице, назначившем судебную экспертизу;
•информация об экспертном учреждении и эксперте (ФИО эксперта, специальность, образование, занимаемая долж ность, стаж работы, ученая степень и (или) ученое звание);
•информация о предупреждении эксперта об ответственности за дачу заведомо ложного заключения;
•вопросы, поставленные на разрешение экспертизы;
•объекты исследований и материалы, представленные для производства судебной экспертизы;
•данные о лицах, которые присутствовали при производстве экспертизы;
•состав и результаты исследований с перечнем использован ных методик;
•выводы по вопросам, поставленным перед экспертом, и их обоснование.
Вслучае необходимости экспертом подаются ходатайства (ходатайства могут быть заявлены на любой стадии исследова ния):
•об ознакомлении с материалами дела, имеющими отношение
кпредмету экспертизы;