Цифровая форенз

1.

ЦИФРОВАЯ КРИМ ИНАЛИСТИК А
Цифровая форензика
и компьютерная
криминалистика
Эксперт за анализом цифровых улик
Что это, как это работает — и реальные примеры
расследований
Презентация · Digital Forensics

2.

ОПРЕДЕЛЕНИЕ
Где применяется
Расследование
преступлений
Что такое
цифровая
форензика?
Корпоративная
безопасность
Судебные дела и
экспертиза
Аудит и комплаенс
Раздел криминалистики, который
занимается восстановлением и
анализом данных с электронных
устройств.
Главный вопрос: что, когда, как и кто
сделал.
Кибератаки
Восстановлени
е
Доказательства
взломы, утечки,
мошенничество
удалённых и
скрытых данных
для суда и
внутренних дел

3.

ПРОЦЕСС
Как это работает: 5 этапов
Строгий процесс гарантирует, что доказательства не изменятся и будут приняты судом
Идентификация
Анализ
Отчёт
Найти устройства и
источники данных
Файлы, журналы,
удалённые данные
Заключение и
презентация суду
Сбор и копия
Документ.
Точная побитовая
копия (image)
Зафиксировать
действия и хеши

4.

Н А П РА В Л Е Н И Я
Направления цифровой форензики
Источников данных много —
и у каждого свой метод
Дисковая
Память (RAM)
Диски, SSD, USB —
удалённые файлы
Пароли, ключи, процессы
в памяти
Сетевая
Мобильная
Трафик, журналы,
вторжения
SMS, звонки, гео,
мессенджеры
Облачная
Почта
Облако, серверные логи,
ВМ
Заголовки писем, фишинг

5.

П РА В И Л А
Главные принципы работы
Без соблюдения этих правил доказательство теряет силу в суде
Работа с копией
Целостность (хеш)
Исследуют не оригинал, а точную
побитовую копию
MD5/SHA-256 подтверждают, что данные
не менялись
Цепочка владения
Точное время
Chain of custody: кто, когда и зачем имел
доступ
Все события на единой временной шкале
(timeline)

6.

ПРИМЕР 1
Восстановление удалённых файлов
Ситуация
Сотрудник «удалил» важные документы перед увольнением, думая, что они
исчезли навсегда.
Почему это возможно: при удалении файл не стирается физически — ОС
лишь помечает место как «свободное». Пока поверх не записаны новые
данные, файл восстановим.
Autopsy · FTK · EnCase · PhotoRec
Образ диска
Carving
Восстановление
Проверка хеша

7.

ПРИМЕР 2
Расследование кибератаки
Веб-сервер взломан, данные клиентов утекли. Нужно понять: как
проник злоумышленник, что сделал и что похитил.
Журналы сервера
Подозрительные запросы и точка входа
Дамп памяти
Активные вредоносные процессы в RAM
Сетевой трафик
Куда уходили данные — IP злоумышленника
Хронология
Timeline: вход → закрепление → кража
Команда экспертов
восстанавливает картину атаки
шаг за шагом

8.

ПРИМЕР 3
Метаданные и мобильная криминалистика
Скрытые данные в фото
Данные со смартфона
Каждый файл хранит EXIF — невидимую
информацию о себе:
Сообщения и звонки
GPS-координаты места съёмки
Геолокация
Дата и точное время
Модель устройства / камеры
Приложения
Изменялся ли файл и чем
мессенджеры, браузер, соцсети
включая удалённые из SQLite
история перемещений GPS/сети
Timeline активности
→ Фото выдаёт место и время, даже если это
отрицают.
что и когда делал пользователь

9.

ИНСТРУМЕНТЫ
Чем работают
криминалисты
Autopsy / Sleuth Kit
Бесплатный анализ дисков и ФС
EnCase / FTK
Профи-пакеты для расследований
Volatility
Анализ дампов оперативной памяти
Wireshark
Захват и анализ сетевого трафика
Cellebrite
Извлечение данных из телефонов
dd / hashing
ПО, которому доверяют правоохранительные
органы по всему миру
Создание образов и проверка хеша

10.

ИТОГИ
Сложности и выводы
Основные сложности
Ключевой вывод
Шифрование
данные защищены ключом
Цифровая форензика превращает невидимые
цифровые следы в надёжные доказательства.
Объёмы и облако
Почти любое действие оставляет цифровой след.
Скорость
Главное — собрать его корректно, не повредив.
RAM исчезает при отключении
Целостность и документирование решают всё.
Сфера растёт вместе с киберугрозами.
массивы на разных серверах
Анти-форензика
намеренное сокрытие следов

11.

Спасибо за внимание!
Цифровая форензика и компьютерная криминалистика
Исполнитель:
___________________________________