Обучение по курсу "Цифровая криминалистика оперативной памяти"

О курсе

Курс "Цифровая криминалистика оперативной памяти" ориентирован на специалистов по безопасности, криминалистов и аналитиков, которые хотят освоить методики и технологии работы с оперативной памятью при расследовании инцидентов безопасности. В ходе курса слушатели изучат, как извлекать и анализировать данные из оперативной памяти, а также как использовать эти данные для расследования инцидентов, таких как атаки вредоносных программ, утечка данных или нарушения политики безопасности.

Курс полезен для:

• Криминалистов и аналитиков по безопасности, которые проводят расследования инцидентов на уровне систем и приложений.
• Специалистов по цифровой безопасности и инженеров SOC, которым нужно работать с данными оперативной памяти для расследования угроз и атак.
• Инженеров по инцидентам и специалистов по реагированию на инциденты, которым необходимо выявлять и исследовать следы атак в системной памяти.
• Системных администраторов и IT-специалистов, которые управляют безопасностью инфраструктуры и могут быть ответственны за анализ оперативной памяти на подозрительных системах.

Основные темы курса:

1. Введение в цифровую криминалистику оперативной памяти:
• Зачем и когда нужно проводить криминалистическое исследование оперативной памяти.
• Обзор типов данных, которые могут быть найдены в оперативной памяти: процессы, открытые файлы, сетевые соединения, ключи шифрования и т. д.
• Важность и уникальность данных в ОЗУ для расследования инцидентов.
2. Структура оперативной памяти и её роль в расследованиях:
• Как устроена оперативная память и как данные сохраняются в оперативной памяти при работе системы.
• Как злоумышленники используют память для хранения вредоносных программ, шифровальщиков, эксплойтов и других угроз.
• Разновидности атак, использующие операционную память: rootkits, malware и их скрытые следы.
3. Процессы и методики извлечения данных из оперативной памяти:
• Как захватывать дампы памяти с работающей системы.
• Использование специализированных инструментов для получения дампов оперативной памяти (например, FTK Imager, DumpIt, Volatility).
• Принципы извлечения данных с удалённых или поврежденных систем.
• Пример: как с помощью Volatility был проведён анализ памяти заражённой системы, что позволило восстановить следы атаки.
4. Инструменты для анализа оперативной памяти:
• Volatility Framework: использование для анализа дампов памяти и поиска следов атак, шифровальщиков и других вредоносных действий.
• Rekall: другой популярный инструмент для анализа памяти с открытым исходным кодом.
• Пример: как использование Rekall в одном из расследований позволило быстро обнаружить скрытые процессы, связанные с инцидентом безопасности.
5. Анализ вредоносных программ в оперативной памяти:
• Как обнаруживать и анализировать вредоносные процессы в ОЗУ.
• Определение поведения программ, таких как rootkits, trojans, ransomware, используя данные из памяти.
• Применение strings, signature-based scanning и других техник для поиска аномальных данных в оперативной памяти.
• Пример: как анализ данных из ОЗУ помог обнаружить программу-вымогатель, которая была скрыта в памяти после инжекции через уязвимость.
6. Поиск и восстановление данных, связанных с инцидентами:
• Как извлекать из оперативной памяти следы сетевых соединений, паролей, криптографических ключей, данных пользователей.
• Применение методов поиска специфических объектов, таких как HTTP-запросы, cookie-файлы, кешированные данные и журналы сессий.
• Пример: как с помощью анализа оперативной памяти был найден доступ к аккаунту, используемый злоумышленником.
7. Техники восстановления данных из оперативной памяти:
• Как восстанавливать данные, которые были ранее удалены или частично повреждены в ОЗУ.
• Применение различных методов, таких как восстановление битых структур данных, анализ дампов и клонированных систем.
• Пример: как были восстановлены данные из оперативной памяти на заражённой машине, чтобы доказать утечку данных.
8. Правовые аспекты и этические вопросы цифровой криминалистики памяти:
• Как собирать и использовать данные из оперативной памяти в рамках юридических норм.
• Влияние законодательства, таких как GDPR, на обработку данных из памяти.
• Пример: как соблюдение юридических норм помогло компании избежать санкций после проведения криминалистического расследования.
9. Интеграция цифровой криминалистики в корпоративную кибербезопасность:
• Как организовать процесс цифровой криминалистики в рамках общего плана реагирования на инциденты.
• Роль криминалистики оперативной памяти в экосистеме безопасности: взаимодействие с SIEM-системами, автоматизация анализа.
• Пример: как процесс цифровой криминалистики в памяти был интегрирован в стратегию реагирования на инциденты в крупной компании.
10. Лабораторные работы:

• Практические занятия с использованием Volatility и других инструментов для анализа данных оперативной памяти.
• Разбор реальных случаев расследования атак с использованием анализа памяти.
• Применение знаний для моделирования ситуаций и поиска следов атак в дампах памяти.

Пример из практики: Криминалистика оперативной памяти при расследовании инцидента

Шаг 1: Сбор данных из оперативной памяти
После того как был замечен необычный сетевой трафик на корпоративной системе, был принят процесс извлечения дампа оперативной памяти с помощью инструмента FTK Imager. Дамп был собран с минимальными изменениями на целевой системе, чтобы не повлиять на её работу.

Шаг 2: Анализ дампа памяти с использованием Volatility
Для анализа дампа использовался фреймворк Volatility, который позволил извлечь список активных процессов, сетевых соединений и загруженных модулей. В результате анализа была обнаружена необычная активность с неизвестными процессами, связанными с вредоносным ПО, которое использовало уязвимость в одном из приложений для инжекции в память.

Шаг 3: Раскрытие скрытых следов и восстановление данных
Дальнейшее исследование позволило найти остаточные данные, которые не были удалены из памяти, включая сетевые ключи и пароли, которые злоумышленники использовали для управления скомпрометированными машинами. Восстановление этих данных дало возможность закрыть инцидент и установить причину утечки информации.

Заключение

Курс "Цифровая криминалистика оперативной памяти" предоставляет слушателям необходимые инструменты для анализа данных оперативной памяти в контексте расследования инцидентов безопасности. Изучив методы работы с дампами памяти, слушатели смогут эффективно расследовать атаки, анализировать вредоносные программы и защитить корпоративные системы от угроз.

Для получения дополнительной информации о курсе и регистрации, посетите наш сайт linkas.ru.