Python Forensics - ตัวบ่งชี้การประนีประนอม

ตัวบ่งชี้การประนีประนอม (IOC) ถูกกำหนดให้เป็น "ชิ้นส่วนของข้อมูลทางนิติวิทยาศาสตร์ซึ่งรวมถึงข้อมูลที่พบในรายการบันทึกระบบหรือไฟล์ที่ระบุกิจกรรมที่อาจเป็นอันตรายในระบบหรือเครือข่าย"

ด้วยการตรวจสอบ IOC องค์กรต่างๆสามารถตรวจจับการโจมตีและดำเนินการอย่างรวดเร็วเพื่อป้องกันการละเมิดดังกล่าวไม่ให้เกิดขึ้นหรือจำกัดความเสียหายโดยหยุดการโจมตีในระยะก่อนหน้านี้

มีกรณีการใช้งานบางอย่างที่อนุญาตให้สืบค้นสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์เช่น -

  • กำลังมองหาไฟล์เฉพาะโดย MD5
  • ค้นหาเอนทิตีเฉพาะซึ่งเก็บไว้ในหน่วยความจำ
  • รายการเฉพาะหรือชุดของรายการซึ่งเก็บไว้ในรีจิสทรีของ Windows

การรวมกันทั้งหมดข้างต้นให้ผลลัพธ์ที่ดีกว่าในการค้นหาอาร์ติแฟกต์ ดังที่กล่าวไว้ข้างต้นรีจิสทรีของ Windows เป็นแพลตฟอร์มที่สมบูรณ์แบบในการสร้างและบำรุงรักษา IOC ซึ่งช่วยโดยตรงในการคำนวณทางนิติวิทยา

ระเบียบวิธี

  • ค้นหาตำแหน่งในระบบไฟล์และเฉพาะสำหรับตอนนี้ในรีจิสทรีของ Windows

  • ค้นหาชุดของสิ่งประดิษฐ์ซึ่งได้รับการออกแบบโดยเครื่องมือทางนิติวิทยาศาสตร์

  • มองหาสัญญาณของกิจกรรมที่ไม่พึงประสงค์ใด ๆ

วงจรชีวิตของการสืบสวน

Investigative Life Cycle เป็นไปตาม IOC และค้นหารายการเฉพาะในรีจิสทรี

  • Stage 1: Initial Evidence- ตรวจพบหลักฐานการประนีประนอมทั้งบนโฮสต์หรือบนเครือข่าย ผู้เผชิญเหตุจะตรวจสอบและระบุวิธีการแก้ปัญหาที่แน่นอนซึ่งเป็นตัวบ่งชี้ทางนิติวิทยาศาสตร์ที่เป็นรูปธรรม

  • Stage 2: Create IOCs for Host & Network- หลังจากรวบรวมข้อมูลแล้วจะมีการสร้าง IOC ซึ่งเป็นไปได้อย่างง่ายดายด้วยการลงทะเบียน Windows ความยืดหยุ่นของ OpenIOC ให้การเรียงสับเปลี่ยนจำนวนไม่ จำกัด เกี่ยวกับวิธีการสร้างตัวบ่งชี้

  • Stage 3: Deploy IOCs in the Enterprise - เมื่อสร้าง IOC ที่ระบุแล้วผู้ตรวจสอบจะปรับใช้เทคโนโลยีเหล่านี้ด้วยความช่วยเหลือของ API ในการลงทะเบียน Windows

  • Stage 4: Identification of Suspects- การปรับใช้ IOC ช่วยในการระบุตัวผู้ต้องสงสัยด้วยวิธีปกติ แม้แต่ระบบเพิ่มเติมจะถูกระบุ

  • Stage 5: Collect and Analyze Evidence - รวบรวมและวิเคราะห์พยานหลักฐานของผู้ต้องสงสัย

  • Stage 6: Refine & Create New IOCs - ทีมสืบสวนสามารถสร้าง IOC ใหม่โดยอาศัยหลักฐานและข้อมูลที่พบในองค์กรและหน่วยสืบราชการลับเพิ่มเติมและปรับปรุงวงจรของพวกเขาต่อไป

ภาพประกอบต่อไปนี้แสดงขั้นตอนของวงจรชีวิตเชิงสืบสวน -