Python Forensics - ตัวบ่งชี้การประนีประนอม
ตัวบ่งชี้การประนีประนอม (IOC) ถูกกำหนดให้เป็น "ชิ้นส่วนของข้อมูลทางนิติวิทยาศาสตร์ซึ่งรวมถึงข้อมูลที่พบในรายการบันทึกระบบหรือไฟล์ที่ระบุกิจกรรมที่อาจเป็นอันตรายในระบบหรือเครือข่าย"
ด้วยการตรวจสอบ IOC องค์กรต่างๆสามารถตรวจจับการโจมตีและดำเนินการอย่างรวดเร็วเพื่อป้องกันการละเมิดดังกล่าวไม่ให้เกิดขึ้นหรือจำกัดความเสียหายโดยหยุดการโจมตีในระยะก่อนหน้านี้
มีกรณีการใช้งานบางอย่างที่อนุญาตให้สืบค้นสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์เช่น -
- กำลังมองหาไฟล์เฉพาะโดย MD5
- ค้นหาเอนทิตีเฉพาะซึ่งเก็บไว้ในหน่วยความจำ
- รายการเฉพาะหรือชุดของรายการซึ่งเก็บไว้ในรีจิสทรีของ Windows
การรวมกันทั้งหมดข้างต้นให้ผลลัพธ์ที่ดีกว่าในการค้นหาอาร์ติแฟกต์ ดังที่กล่าวไว้ข้างต้นรีจิสทรีของ Windows เป็นแพลตฟอร์มที่สมบูรณ์แบบในการสร้างและบำรุงรักษา IOC ซึ่งช่วยโดยตรงในการคำนวณทางนิติวิทยา
ระเบียบวิธี
ค้นหาตำแหน่งในระบบไฟล์และเฉพาะสำหรับตอนนี้ในรีจิสทรีของ Windows
ค้นหาชุดของสิ่งประดิษฐ์ซึ่งได้รับการออกแบบโดยเครื่องมือทางนิติวิทยาศาสตร์
มองหาสัญญาณของกิจกรรมที่ไม่พึงประสงค์ใด ๆ
วงจรชีวิตของการสืบสวน
Investigative Life Cycle เป็นไปตาม IOC และค้นหารายการเฉพาะในรีจิสทรี
Stage 1: Initial Evidence- ตรวจพบหลักฐานการประนีประนอมทั้งบนโฮสต์หรือบนเครือข่าย ผู้เผชิญเหตุจะตรวจสอบและระบุวิธีการแก้ปัญหาที่แน่นอนซึ่งเป็นตัวบ่งชี้ทางนิติวิทยาศาสตร์ที่เป็นรูปธรรม
Stage 2: Create IOCs for Host & Network- หลังจากรวบรวมข้อมูลแล้วจะมีการสร้าง IOC ซึ่งเป็นไปได้อย่างง่ายดายด้วยการลงทะเบียน Windows ความยืดหยุ่นของ OpenIOC ให้การเรียงสับเปลี่ยนจำนวนไม่ จำกัด เกี่ยวกับวิธีการสร้างตัวบ่งชี้
Stage 3: Deploy IOCs in the Enterprise - เมื่อสร้าง IOC ที่ระบุแล้วผู้ตรวจสอบจะปรับใช้เทคโนโลยีเหล่านี้ด้วยความช่วยเหลือของ API ในการลงทะเบียน Windows
Stage 4: Identification of Suspects- การปรับใช้ IOC ช่วยในการระบุตัวผู้ต้องสงสัยด้วยวิธีปกติ แม้แต่ระบบเพิ่มเติมจะถูกระบุ
Stage 5: Collect and Analyze Evidence - รวบรวมและวิเคราะห์พยานหลักฐานของผู้ต้องสงสัย
Stage 6: Refine & Create New IOCs - ทีมสืบสวนสามารถสร้าง IOC ใหม่โดยอาศัยหลักฐานและข้อมูลที่พบในองค์กรและหน่วยสืบราชการลับเพิ่มเติมและปรับปรุงวงจรของพวกเขาต่อไป
ภาพประกอบต่อไปนี้แสดงขั้นตอนของวงจรชีวิตเชิงสืบสวน -