Свободно распространяемый инструментарий для расследования инцидентов

В этой части мы рассмотрим свободно распространяемое программное обеспечение (то есть бесплатные и доступные для свободного скачивания и установки) для чтения журналов и расследования инцидентов.

Event Log Explorer 3.2.

Свободное ПО для некоммерческого использования с простым интерфейсом. (Рис. 2).

Рис 2. Интерфейс Event Log Explorer

Методика и описание стенда исследования средств расследования компьютерных инцидентов

За основу возьмем общенаучный метод — наблюдение. Исходя из того, что объектом исследования посредством чтения логов является информация, можно сказать, что все органы чувств — будь то зрение, слух или осязание — не в могут воспринять компьютерную информацию непосредственно. В то же время, вокруг много объектов, которые не воспринимаются человеком напрямую — слухом, взглядом и тактильными ощущениями. Для того чтобы видеть «невидимое» существует огромное количество инструментов на выбор — рентген, телескоп, интерферометр и т. д. С помощью этих «посредников» человек наблюдает и изучает то, что невозможно увидеть глазом. Дело лишь в принципа действия таких посредников.

В случае с компьютерной информацией роль этих посредников настолько велика, что качество начинает преобладать над количеством. В компьютерной сфере практически невозможно знать каждого «в лицо». Также сложно представить, насколько видоизменилась входящая информация в конце, когда мы уже видим ее своими глазами.

Представьте, вы специалист по криминалистике, и вы обнаружили отпечатки обуви на месте преступления. Эти отпечатки вы воспринимаете непосредственно, своими глазами. Однако если для того чтобы увидеть следы вам нужны очки или линзы, вы сразу понимаете, как их использовать, поскольку принцип действия прост и ясен. Соответственно вы как специалист вместе с понятыми заносите улику в дело прекрасно понимая механизм появления следа, то есть сомнений что это след преступника не остается.

В мире компьютерной информации все по-другому.

Предположим, что вы находясь на «месте происшествия», если быть точнее на диске сервера, в журнале событий приметили лог. Своими органами чувств вы это не воспринимаете непосредственно. Для того чтобы интерпретировать и увидеть эту запись, необходимо посредничество технических средств, таких как:

Процессор, оперативная память, чипсет.

Внутренняя прошивка устройств.

BIOS.

Операционная система.

Драйвера подключенных к системе устройств.

Программа для просмотра файла.

Драйвера экрана.

Шрифты.

Монитор, клавиатура, мышка и т. д.

Теперь можно понять насколько много посредников в восприятии компьютерной информации человеком. Все вышеперечисленное от разных производителей. Стандарты разные и каждый день обновляются. Причем для некоторых из устройств описание не предусмотрено. Можно сделать вывод, что ни в одном из устройств нельзя быть уверенным, поскольку каждый злоумышленник знает об уязвимостях, дырах и багах в программном обеспечении. Итак, отличительной чертой наблюдения за компьютерной информацией является дифференцированость, например, изображения и объектом за которым выполняется наблюдение. Это значит, что разница между тем, что мы видим на экране и целью, представляющей конкретный интерес может быть не просто велика, они могут быть совершенно разными объектами.

Для исследования инцидентов посредством журнала событий нам понадобится развернутая тестовая структура. Развернута она будет посредством установки виртуальной машины, за основу возьмем оболочку VMware Workstation, куда установим неактивированую версию системы Microsoft Windows Server 2012, процесс установки системы мы опустим, поскольку это не является целью нашей работы. В дополнении к Server 2012 поставим также 2 копии неактивированого Windows 8 (64-битную версию).