Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
2.ZABEZPIECZANIEDANYCH
Minusemwykonywaniazabezpieczeniawsposóbtradycyjnyjestzpew-
nościączas,którymusimynatopoświęcić.Samowykonywanieobrazu
dyskumożetrwaćwielegodzin,adochodzijeszczeindeksowaniejego
zawartości,szukaniesłówkluczowychitd.Ostatecznie,wszystkieczyn-
nościtrwajązwyklekilkadni,zależnieodpojemnościdyskówiodtego,
czegoszukamy.Plusemzkoleijestdokładnośćanalizyorazintegralność
danych,dlategotenrodzajpodejścianiezostaniewpełnizastąpiony.
Zkoleipodejścieodstronyreagowanianaincydentyjestnastawione
szczególnienatzw.liveforensics,czyteżliveresponse.Wjegoprzy-
padkuoperujemyprzedewszystkimnadziałającymkomputerze.Metoda
tapoleganawykonywaniuoperacjibezpośrednionaanalizowanymsys-
temie:sprawdzaniuplików,połączeńsieciowych,kontużytkownikówitd.
Możemyteżwykonaćkopiędyskubezwyłączaniakomputera.Często
wprzypadkutakiejanalizyzabezpieczasięrównieżzrzutpamięciRAM,
ponieważprzechowywanesątamulotneinformacjepozwalającena
odtworzeniestanu,wjakimkomputerbyłwchwiliwykonywaniazrzutu.
Jeślizrobimyobrazdysku,apominiemyzrzutpamięci,toutracimy
informacjeoportachotwartychwsystemieczydziałającychprocesach.
Oczywiścietakieinformacjeteżmożna,przynajmniejczęściowoodtwo-
rzyćzdanychzapisanychnadysku,jednakjesttoniewspółmierniebar-
dziejproblematyczneniżbadaniepamięci.Tensposóbmaswojezalety
wprzypadkuszyfrowanychdysków,ponieważmożemyuzyskaćdostęp
popierwszedoodszyfrowanychdanychiwykonaćobrazaktualnego
stanunośnika,apodrugieistniejemożliwośćodczytaniakluczyszyfru-
jącychzpamięci7.Liveforensicsmaniestetysporominusówiwykonując
jakiekolwiekoperacjenadysku,jednocześnieryzykujemybezpowrot-
nymnadpisaniemistotnychinformacji.Wykorzystującwtrakcieanalizy
informacjezpotencjalnieskompromitowanegosystemu,narażamysięna
możliwość,iżdanetemogąbyćsfałszowanenapoziomiejądrasystemu
przezrootkita.Głównązaletątakiegopodejściawprzypadkuistotnych
systemów,którychniedostępnośćmusibyćminimalizowana,jestprzede
7WprzypadkuLinuxiLUKSnaprzykładhttps://0x00sec.org/t/breaking-encryption-
hashed-passwords-luks-devices/811(http://adamziaja.com/book/?gkj3),awprzypadkuWindows
iBitLockernaprzykładzapomocąmodułudoVolatilityhttps://github.com/elceef/bitlocker
(http://adamziaja.com/book/?ubc9)
18
