Podstawowa metodologia śledcza

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Pracujesz w firmie zajmującej się cyberbezpieczeństwem? Chcesz zobaczyć swoją firmę reklamowaną w HackTricks? A może chcesz mieć dostęp do najnowszej wersji PEASS lub pobrać HackTricks w formacie PDF? Sprawdź PLAN SUBSKRYPCJI!
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Zdobądź oficjalne gadżety PEASS & HackTricks
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź mnie na Twitterze 🐦@carlospolopm.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do repozytorium hacktricks i hacktricks-cloud.

Tworzenie i montowanie obrazu

{% content-ref url="../../generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md" %} image-acquisition-and-mount.md {% endcontent-ref %}

Analiza złośliwego oprogramowania

To nie jest konieczny pierwszy krok do wykonania po uzyskaniu obrazu. Ale możesz używać tych technik analizy złośliwego oprogramowania niezależnie, jeśli masz plik, obraz systemu plików, obraz pamięci, pcap... więc warto mieć na uwadze te działania:

{% content-ref url="malware-analysis.md" %} malware-analysis.md {% endcontent-ref %}

Inspekcja obrazu

Jeśli otrzymasz obraz śledczy urządzenia, możesz rozpocząć analizę partycji, używanego systemu plików i odzyskiwanie potencjalnie interesujących plików (nawet usuniętych). Dowiedz się, jak to zrobić:

{% content-ref url="partitions-file-systems-carving/" %} partitions-file-systems-carving {% endcontent-ref %}

W zależności od używanych systemów operacyjnych i nawet platformy, należy szukać różnych interesujących artefaktów:

{% content-ref url="windows-forensics/" %} windows-forensics {% endcontent-ref %}

{% content-ref url="linux-forensics.md" %} linux-forensics.md {% endcontent-ref %}

{% content-ref url="docker-forensics.md" %} docker-forensics.md {% endcontent-ref %}

Dogłębna inspekcja konkretnych typów plików i oprogramowania

Jeśli masz bardzo podejrzany plik, to w zależności od typu pliku i oprogramowania, które go utworzyło, mogą być przydatne różne sztuczki.
Przeczytaj następującą stronę, aby dowiedzieć się kilku interesujących sztuczek:

{% content-ref url="specific-software-file-type-tricks/" %} specific-software-file-type-tricks {% endcontent-ref %}

Chciałbym szczególnie wspomnieć o stronie:

{% content-ref url="specific-software-file-type-tricks/browser-artifacts.md" %} browser-artifacts.md {% endcontent-ref %}

Inspekcja dumpu pamięci

{% content-ref url="memory-dump-analysis/" %} memory-dump-analysis {% endcontent-ref %}

Inspekcja pcap

{% content-ref url="pcap-inspection/" %} pcap-inspection {% endcontent-ref %}

Techniki anty-śledcze

Miej na uwadze możliwość zastosowania technik anty-śledczych:

{% content-ref url="anti-forensic-techniques.md" %} anti-forensic-techniques.md {% endcontent-ref %}

Polowanie na zagrożenia

{% content-ref url="file-integrity-monitoring.md" %} file-integrity-monitoring.md {% endcontent-ref %}