Криминалистика компьютерной памяти на практике

Предисловие от издательства
Отзывы и пожелания
Список опечаток
Нарушение авторских прав
Об авторах
О рецензентах
Предисловие
Целевая аудитория
Структура книги
Как извлечь максимум пользы из этой книги
Скачайте цветные изображения
Условные обозначения
Оставайтесь на связи
Поделитесь своими мыслями
ЧАСТЬ I. ОСНОВЫ КРИМИНАЛИСТИКИ ПАМЯТИ
Глава 1. Зачем нужна криминалистика памяти?
Основные преимущества криминалистики памяти
Без следов
Найди меня в памяти
Фреймворки
Living off the land
На страже конфиденциальности
О целях и методологии расследования
Устройство потерпевшего
Устройство подозреваемого
О проблемах КТЭ памяти
Инструменты
Критические системы
Нестабильность
Резюме
Глава 2. Создание дампов памяти
Введение в управление памятью
Адресное пространство
Виртуальная память
Разбиение на страницы
Разделяемая память
Стек и куча
Что такое анализ живой памяти?
Windows
Linux и macOS
Получение полного и частичного образов памяти
Популярные инструменты и методы создания дампа
памяти
Виртуальная или физическая
Локальная или удаленная
Как выбрать
Пора
Резюме
ЧАСТЬ II. КОМПЬЮТЕРНО-ТЕХНИЧЕСКАЯ
ЭКСПЕРТИЗА В WINDOWS
Глава 3. Получение образа памяти в Windows
Проблемы получения образа памяти в Windows
Подготовка к получению образа памяти в Windows
Создание образа памяти с помощью FTK Imager
Создание образа памяти с помощью WinPmem
Создание образа памяти с помощью Belkasoft RAM
Capturer
Создание образа памяти с помощью Magnet RAM
Capture
Резюме
Глава 4. Реконструкция пользовательской
активности
Технические требования
Анализ запущенных приложений
Введение в Volatility
Идентификация профиля
Поиск активных процессов
Поиск завершившихся процессов
Поиск открытых документов
Документы в памяти процесса
Исследование истории браузера
Анализ Chrome с помощью плагина yarascan
Анализ Firefox с помощью bulk_extractor
Анализ Tor с помощью Strings
Исследование коммуникационных приложений
Почта, почта, почта
Мессенджеры
Восстановление паролей пользователя
Hashdump
Cachedump
Lsadump
Пароли в открытом виде
Обнаружение криптоконтейнеров
Исследование реестра Windows
Виртуальный реестр
Установка MemProcFS
Работа с реестром Windows
Резюме
Глава 5. Обнаружение вредоносных программ и их
анализ средствами компьютерно-технической
экспертизы в Windows
Поиск вредоносных процессов
Имена процессов
Обнаружение аномального поведения
Анализ аргументов командной строки
Командные аргументы процессов
История команд
Исследование сетевых подключений
Процесс-инициатор
IP-адреса и порты
Обнаружение внедрений в память процесса
Внедрение динамически компонуемой библиотеки
Удаленное внедрение DLL
Рефлексивное внедрение DLL
Внедрение переносимых исполняемых файлов
Выдалбливание процесса
Подмена процесса
Поиск свидетельств присутствия
Автостарт на этапе загрузки или входа в систему
Создание учетной записи
Создание и модификация системных процессов
Запланированная задача
Создание хронологий
Хронологии событий в файловой системе
Хронологии событий в памяти
Резюме
Глава 6. Альтернативные источники
энергозависимых данных
Исследование файлов гибернации
Получение файла гибернации
Анализ файла hiberfil.sys
Изучение файла страничного обмена и файла
подкачки
Получение файлов страничного обмена
Анализ pagefile.sys
Поиск строк
Выпиливание файлов
Анализ аварийных дампов
Создание дампа памяти
Имитация отказа системы
Создание дампа процесса
Анализ аварийных дампов
Аварийные дампы системы
Анализ дампа процесса
Резюме
ЧАСТЬ III. КОМПЬЮТЕРНО-ТЕХНИЧЕСКАЯ
ЭКСПЕРТИЗА В LINUX
Глава 7. Создание дампа памяти в Linux
Проблемы, связанные с созданием дампа памяти в
Linux
Подготовка к созданию дампа памяти в Linux
Создание дампа памяти с помощью LiME
Создание дампа памяти с помощью AVML
Создание профиля Volatility
Резюме
Глава 8. Реконструкция действий пользователя
Технические требования
Исследование запущенных программ
Анализ истории Bash
Поиск открытых документов
Восстановление файловой системы
Проверка истории браузера
Изучение коммуникационных приложений
Поиск смонтированных устройств
Обнаружение криптоконтейнеров
Резюме
Глава 9. Обнаружение вредоносных действий
Исследование сетевой активности
Анализ вредоносной активности
Исследование объектов ядра
Резюме
ЧАСТЬ IV. КОМПЬЮТЕРНО-ТЕХНИЧЕСКАЯ
ЭКСПЕРТИЗА В MACOS
Глава 8. Создание дампа памяти в macOS
Проблемы получения дампа памяти в macOS
Подготовка к получению дампа памяти в macOS
Получение дампа памяти с помощью osxpmem
Создание профиля Volatility
Резюме
Глава 11. Обнаружение и анализ вредоносной
активности в macOS
Особенности анализа macOS с помощью Volatility
Технические требования
Исследование сетевых подключений
Анализ процессов и их памяти
Восстановление файловой системы
Получение данных из пользовательских
приложений
Поиск вредоносной активности
Кратко
Предметный указатель