Forenzní trénink 1: Úvod do forenzní analýzy
Na této stránce naleznete všechny potřebné informace o školení.
| Poznámka Toto školení není pořádáno v pravidelných intervalech – pokud máte zájem o účast, napište nám na sluzby@cesnet.cz. |
|---|
Základní informace
| Název školení | Forenzní trénink 1: Úvod do forenzní analýzy |
|---|---|
| Lektoři | Ing. Aleš Padrta, Ph.D., Ing. Radomír Orkáč |
| Popis školení | Obsahem dvoudenního školení je úvod do forenzní analýzy IT, kdy se účastníci pod vedením zkušených školitelů naučí základní principy forenzní analýzy, postup při zajišťování dat, vytváření časové osy (ze souborového systému a dalších informací) a její následnou analýzu, během které jsou postupně objevovány jednotlivé stopy vedoucí k vytvoření komplexního obrazu analyzovaného incidentu. Účastníci si také vyzkouší jak zjištěné výsledky prezentovat vhodnou formou. Výukové bloky se skládají z teoretického úvodu, praktického „hands-on“ cvičení v prostředí počítačové laboratoře a také prezentace vzorového řešení. |
| Součásti školení | Účastníci obdrží materiály používané během školení a certifikát o absolvování. Občerstvení během přestávek na kávu je zajištěno, stejně tak oběd během obou dnů. Večer prvního dne školení je k dispozici bezplatná a dobrovolná doplňková aktivita ve formě odborného večerního programu (Forensic Night @ CESNET). |
| Jazyk školení | Školení bude vedeno v českém jazyce. |
| Délka školení | 2 dny (12 hodin) |
| Požadované schopnosti | GNU/Linux (alespoň na uživatelské úrovni, znalost práce v příkazové řádce) |
Časový harmonogram
| První den školení | ||
|---|---|---|
| 8.50 | 9.10 | Registrace |
| 9.10 | 9.20 | Uvítání |
| 9.20 | 9.45 | Úvod do forenzní analýzy |
| 9.45 | 10.50 | Zajištění podkladů |
| 10.50 | 11.10 | Přestávka na kávu |
| 11.10 | 12.30 | Časová osa souborového systému |
| 12.30 | 13.30 | Oběd |
| 13.30 | 16.00 | Časová osa událostí (část I) |
| Druhý den školení | ||
| 9.00 | 9.45 | Časová osa událostí (část II) |
| 9.45 | 10.30 | Případ s MS Windows (část I) |
| 10.30 | 10.50 | Přestávka na kávu |
| 10.50 | 11.50 | Případ s MS Windows (část II) |
| 11.50 | 12.10 | Prezentace výsledků (část I) |
| 12.10 | 13.10 | Oběd |
| 13.10 | 15.00 | Prezentace výsledků (část II) |
| 15.00 | 15.10 | Ukončení kurzu |
Popis výukových bloků
Úvod do forenzní analýzy
- Proč je forenzní analýza potřeba a v čem se liší od „obyčejné“
- Pozice forenzní analýzy při vyšetřování bezpečnostního incidentu
- Základní principy (neměnit data, best evidence, řetězec odvození, opakovatelnost, neutralita, srozumitelnost)
- Obecný postup pro forenzní analýzu
Zajištění podkladů
- Jaké podklady lze zajistit
- Příprava před zajišťováním
- Pořadí zajišťování podkladů (s ohledem na volatilitu/prchlivost)
- Snaha minimalizovat zásahy do zajištěných dat
- Ukázka postupu
- Představení základních nástrojů (
dd,nc,sha256sum, …) - Praktické cvičení – vzdálené zajištění dat
Časová osa souborového systému
- Motivace – většina činností v systému pracuje se soubory
- Představení časových značek MACB
- Připomenutí souborových systémů (data, metadata, inode, partitions, …)
- Intepretace časových značek
- Připojení souborového systému (
mount) - Časové vyhledávání v připojeném systému (
find) - Příprava časové osy (Sleuthkit,
fls,mactime) - Praktické cvičení – vytvoření časové osy souborového systému a její analýza
Časová osa událostí
- Časové značky mimo souborový systém (exif, logy, prefetch, …)
- Timeline vs. supertimeline (výběrová časová osa vs. kompletní časová osa)
- Nástroj pro vytváření supertimeline (framework plaso)
- Časové zóny a jejich úskalí
- Praktické cvičení – vytvoření supertimeline a její analýza
Případ s MS Windows
- Rozšířené možnosti frameworku plaso (filtrování, tagování)
- Základy analýzy MS Windows – souborový systém a logy
- Praktické cvičení – vytvoření supertimeline a její analýza
Prezentace výsledků
- Proč je prezentace důležitá
- Srozumitelnost a jak jí dosáhnout
- Neutralita a jak jí dosáhnout
- Opakovatelnost v prezentaci a jak jí dosáhnout
- Co musí obsahovat závěrečná zpráva
- Co musí obsahovat prezentace výsledků
- Praktické cvičení – prezentace výsledků analýzy z bloku Časová osa událostí nebo Případ s MS Windows (vybraní absolventi prezentují své postupy)