Компьютерная криминалистика Windows

Компьютерная криминалистика: чем занимается специалист в Blue Team

Деление на Red Team и Blue Team пришло из американской военной терминологии: красные атакуют, синие защищают, purple teaming объединяет оба навыка. Компьютерный криминалист работает в защите. По-английски направление называют computer forensics, отсюда «форензика», а у нас говорят о цифровой, компьютерной или компьютерно-технической экспертизе.

Задача компьютерного криминалиста: выявить инцидент, понять, как он произошёл, и установить, кто за ним стоит.

Технические инциденты без чьего-то умысла, вроде сбоя железа или ошибки программы, остаются зоной системных администраторов. Если же в сеть проникли третьи лица и зашифровали данные, начинается работа криминалиста: откуда зашли, какие следы оставили, о чём эти следы говорят. Дальше атрибуция: хулиганы, политически мотивированная атака или APT-группировка, уже засветившаяся своими инструментами. Зная группировку, можно предугадать её типичные индикаторы компрометации и прочесать по ним всё, что уцелело. И осторожно с бэкапами: в них могут оказаться бэкдоры и старые пароли.

Хакер в кино это бандит, который грабит банк не оружием, а через уязвимости. А мы телохранители, мы охраняем информацию. Сколько фильмов вы знаете про телохранителей? Никакой романтики.

Максим Антипов

Расследование инцидентов и реагирование — разный темп

Расследование инцидента по собранным данным идёт спокойно: улики собраны, клиенту обозначен срок, следы можно разбирать без спешки. Реагирование на инцидент устроено иначе.

Если атакующие ещё в сети, решает скорость: чем быстрее подтвердится взлом, тем быстрее появится план, как их выбить.

Выбивать нужно аккуратно, чтобы они не поняли, что их заметили, и не перешли к разрушительным действиям.

Самое простое решение: отрубить внешний канал и разбираться дальше. Если инфраструктуру можно увести в офлайн, так обычно и делают. Если нельзя, приходится разбираться, что можно закрыть и что критично. И атаки любят начинать в пятницу вечером.

Не надо считать себя супер-хакером, который сейчас залезет к атакующему и вычислит его по IP, как показывают в фильмах. На той стороне, как правило, люди не глупые. Надо просто делать свою работу.

Максим Антипов

Как стать компьютерным криминалистом: база для старта

Чтобы стать компьютерным криминалистом, нужно понимать, что происходит в системе, когда ты создаёшь или удаляешь файл. Без этого в криминалистике тяжело. Минимум для старта:

• операционная система: переменные среды, чем драйвер отличается от исполняемого файла, разница между 32- и 64-разрядными системами;
• файловые системы: чем FAT отличается от NTFS хотя бы на базовом уровне;
• сети: протоколы, порты, сегментация, межсетевые экраны и системы обнаружения вторжений;
• Linux: большинство инструментов криминалиста работает именно на нём;
• скрипты: PowerShell, Bash, Python. Рутины много, и без автоматизации в ней закапываешься;
• законодательство: 73-ФЗ об экспертной деятельности, 152-ФЗ о персональных данных, требования к критической инфраструктуре, УПК;
• английский: всё новое чаще выходит на английском, а на международных проектах и в зарубежных командировках без него никуда.

Пригодятся и навыки администратора: поднять виртуалку, настроить подсети, прокси, песочницу и чинить стенд, когда обновились библиотеки. Kali нужна и защитнику: на тестовом стенде можно повторить атаку и посмотреть, какие следы она оставляет. Хороший справочник: книга Windows Internals, около 900 страниц. Читать её подряд не нужно, лучше открывать под конкретную задачу.

Старые системы списывать рано: Windows XP и 2000 до сих пор встречаются в инфраструктурах, контроллеры домена работают на Windows Server 2003 и 2008. Бизнес не меняет то, что работает.

Путь в форензику через SOC и карьерный рост

Сразу со студенческой скамьи в криминалисты попадают редко, вход обычно через SOC (центр мониторинга и реагирования на инциденты). Если сравнивать, SOC это пехота, а криминалисты ближе к спецназу. Младший аналитик SOC уже должен понимать, как работает SIEM-система и зачем нужна корреляция событий.

Рост устроен просто. Первая линия эскалирует непонятное на вторую, вторая на третью. Если ты сам решил несколько задач, которые полагалось эскалировать, это аргумент для разговора о грейде и зарплате.

Внутренний SOC компании даёт глубокое знание одной инфраструктуры. Сервисный SOC обслуживает много организаций, от банков до транспорта и торговли. Чем больше клиентов, тем выше шанс, что кого-то из них атакуют, поэтому насмотренность получается шире: больше группировок и инструментов.

Дальше два направления. Горизонтально: специализация на Windows, Linux, базах данных, мобильных устройствах, облаках, вирусном анализе, а также пентест и threat hunting, включая ретроспективный анализ, когда заказчик подозревает взлом, но доказать его не может. Вертикально: эксперт, ведущий специалист, руководитель лаборатории, директор по ИБ.

Вакансии и собеседование компьютерного криминалиста

Материалов по ИБ много, и в них легко захлебнуться. Фильтром служит вакансия компьютерного криминалиста. Найди ту, куда хочешь попасть, и раздели требования на три категории:

• зелёная: знаешь и спокойно ответишь на собеседовании;
• жёлтая: слышал, но плаваешь. Если информация публичная (закон, ГОСТ, документация), подтягивай до зелёной;
• красная: видишь впервые. Лучше честно сказать, что не знаешь: если это специфика компании, адекватный работодатель готов учить.

Но если знание лежит в открытом доступе, а кандидат говорит «не знаю», работодатель начинает подозревать лень.

Собеседование обычно идёт так:

1. 1

   HR по чек-листу: типы событий в журналах аудита, инструменты для разбора образа.

2. 2

   Техническое интервью с руководителем подразделения: языки программирования, CTF, инструменты, прошлые обязанности.

3. 3

   Иногда дополнительный этап: интервью на английском.

4. 4

   Почти всегда тестовое задание: триаж или образ, список вопросов, срок и отчёт.

Работодателю важно, что кандидат уже трогал руками: чем SIFT Workstation отличается от Kali, что такое KAPE, FTK, EnCase.

Большая часть такого софта открыта, его можно погонять дома на обычном ноутбуке. Начать с нуля стоит с CTF по форензике и с Wireshark: по нему много открытых дампов трафика.

Компьютерно-техническая экспертиза: заключение эксперта и суд

В компьютерной экспертизе заключение эксперта ложится в основу обвинения. Если эксперт сделал работу некачественно, виновный может остаться без наказания.

Самые частые расследования внутренние: компания хочет понять, как её взломали и как не допустить повтора. Если она идёт в правоохранительные органы, работа ведётся в рамках гражданского, административного или уголовного производства, и самые строгие требования к заключению и к эксперту в уголовном деле. После уголовного дела бизнес может подать гражданский иск о возмещении ущерба. Это долго, но возможно.

Коммерческие программы эксперта должны быть легально куплены и подтверждены документами.

Улики нужно изъять и задокументировать технически и юридически корректно, иначе в суде они не будут иметь веса.

Это особенно важно при поиске инсайдера. Частая линия защиты: «меня подставили, это был вирус». В одном деле о хищении денег на компьютере сотрудника действительно нашлись вирусы, но разбор их функционала показал, что к деньгам они отношения не имеют, а действия самого человека имеют. Вместе с видеонаблюдением это закрыло вопрос.

Цифровые улики, триаж и отчёт по инциденту

Цифровой след оставляют компьютеры и серверы, флешки, телефоны, навигаторы, видеорегистраторы, блоки управления в автомобилях, бортовые самописцы, устройства интернета вещей. Если с устройством ничего сделать нельзя, это тоже нужно обосновать.

Раньше снимали образы с двух-трёх компьютеров и разбирали их за две-три недели. Сейчас инфраструктура доходит до десятков тысяч хостов, и основной формат триаж: срез тех мест системы, где она фиксирует значимые следы. Реагирование на инцидент в такой сети идёт по шагам:

1. 1

   Отправная точка: срабатывание в SIEM или ELK.

2. 2

   Из срабатывания берут IP-адреса, имена хостов и пользователей и смотрят, кто заходил на хост, откуда и куда ходил дальше.

3. 3

   По этим данным собирается список хостов для триажа.

4. 4

   Триажи прогоняются автоматически по правилам YARA и Sigma: если из 10 000 хостов затронуты полторы тысячи, вручную их не переварить.

Если пользователь почистил куки, следы остаются вокруг устройства: прокси, логи провайдера, сетевое оборудование.

Отчёт пишется для двух читателей. Администратору нужны технические подробности: неправильные политики, отсутствующие патчи. Руководителю нужно понять, что делать: выделить бюджет на межсетевой экран, обновить Windows, обучить бухгалтерию распознавать фишинг. Идеальный результат: найдены все заражённые хосты и индикаторы, атакующих выбили раньше, чем они успели навредить.

Ошибки при реагировании на инцидент, из-за которых пропадают улики

• Системный администратор тушит пожар сам: переустанавливает систему или прогоняет антивирус, который удаляет всё найденное. Логи не сохранены, образ памяти не снят, после перезагрузки бесфайловое ВПО исчезает.
• Изъятые объекты описаны с ошибками, например неправильно переписаны серийные номера дисков и флешек. Адвокаты исключают такие доказательства по формальным основаниям.
• Неквалифицированные люди запускают не те программы не в той последовательности.

Защита от этого: план реагирования и плейбуки. Это как журнал пожарной безопасности: каждый знает, что делает лично он, если сработало средство защиты. Бывает, что рекомендации после мелкого инцидента не выполнены, и заказчика ломают повторно тем же путём.

Криминалистика Windows: артефакты, память и тренды атак

Карта тем, которые стоит изучить в криминалистике Windows:

• сбор артефактов: где они лежат и чем их собирать;
• ручной поиск следов вредоносного ПО, когда антивирус молчит или уже всё удалил;
• дампы оперативной памяти: всё чаще встречается бесфайловое ВПО, поэтому перезагружать сервер плохая идея;
• NTFS: как происходит удаление, почему данные можно восстановить, чем здесь SSD отличается от жёсткого диска;
• реестр, артефакты закрепления и запуска программ;
• журналирование: что Microsoft рекомендует включать в аудите;
• артефакты браузеров, ведь заражение часто приходит из интернета.

Инструменты форензики открытые: SIFT Workstation, Plaso для таймлайна, Volatility для анализа памяти, утилиты Эрика Циммермана, разбор MFT.

Главный тренд: атакующие всё реже пишут сложное ВПО с обходом антивирусов и всё чаще используют встроенные средства системы: certutil, PowerShell, cmd.

Так меньше шума, а заметить такое сложнее. Встречались случаи, когда на контроллере домена базу Active Directory и реестр снимали с помощью FTK Imager, инструмента самих криминалистов.

AI помогает писать скрипты для рутины, например для разбора логов. Чем подробнее разложишь задачу на шаги, тем меньше итераций и точнее результат.

Если вы используете код, сгенерированный AI, и он вам что-то сломает, виноваты будете вы, а не AI. Поэтому использую, но проверяю каждый шаг.

Максим Антипов