Перейти до змісту

Докази та інтерпретація

Цифрова криміналістика — це не просто читання полів. Це рішення про те, яке спостереження підтверджує поле, наскільки сильним є це підтвердження і що могло б спричинити те саме спостереження без жодного злого наміру.

Чотири корисні категорії доказів

Категорія Значення Приклади
Наявність Шлях або файл був відомий Windows Запис файлу в Amcache, запис ShimCache, запис $MFT
Виконання Windows зафіксувала запуск програми або стан виконання Час запуску в Prefetch; підтримуваний прапорець виконання ShimCache
Взаємодія користувача Користувач або програма звернулися до елемента чи відкрили його RecentDocs, Jump List, LNK у папці Recent
Системна активність Windows зафіксувала використання ресурсів або конфігурацію Лічильники SRUM, конфігурація служб, дія TaskCache

Артефакт може підтверджувати більше ніж одну категорію, але ніколи не підвищуйте його категорію автоматично. Наприклад, запис Amcache з підозрілим шляхом підтверджує наявність. Відповідний час запуску в Prefetch додає сильніший доказ виконання. Запис створення в USN і шлях у $MFT можуть підтвердити, що файл був на диску, а карантин Defender може пояснити, чому він зник.

Часові позначки — це твердження, а не універсальна істина

З'ясуйте, що спричинило кожну часову позначку:

  • Часові позначки $STANDARD_INFORMATION і $FILE_NAME описують метадані NTFS і можуть розходитися.
  • Час запуску в Prefetch описує зафіксований запуск, але зберігаються лише нещодавні часи запуску.
  • Час у ShimCache зазвичай є часом останньої зміни кешованого файлу, а не часом виконання.
  • Час останнього запису ключа реєстру стосується ключа загалом, а не окремого значення.
  • RecentDocs надає час ключа найновішому елементу; старіші елементи мають порядок, але зазвичай не мають часу відкриття.
  • Часові позначки SRUM часто визначають інтервал агрегації, а не точний час мережевої операції.

Під час аналізу використовуйте UTC, зберігайте вихідне значення, якщо воно доступне, і документуйте будь-яке перетворення.

Позитивні та негативні докази

Наявність добре вивченого запису може бути сильним позитивним доказом. Відсутність зазвичай є слабшим доказом, оскільки артефакти перезаписуються по колу, кеші мають обмежений розмір, збирання може бути неповним, параметри різняться, а засоби очищення існують. Кажіть «не виявлено в зібраному артефакті» замість «цього не відбувалося».

Драбина підтвердження

  1. Перевірте вихідний файл і шлях збирання.
  2. Переконайтеся, що парсер не повідомив про суттєві пошкодження або незастосовані журнали транзакцій.
  3. Інтерпретуйте поле відповідно до сторінки артефакту.
  4. Знайдіть незалежний артефакт, що підтверджує ту саму дію.
  5. За наявності перевірте журнали подій, мережеву телеметрію, пам'ять або вміст файлів.
  6. Зафіксуйте точну версію Juntei, команду, фільтри та хеш джерела.

Формулюйте висновки відповідно до сили доказів

Віддавайте перевагу формулюванню «Prefetch фіксує запуск tool.exe о 10:02:11Z», а не «зловмисник запустив шкідливе програмне забезпечення рівно о 10:02:11Z». Друге твердження додає особу та намір, яких Prefetch сам по собі встановити не може.