Python Forensics - Các chỉ số của sự thỏa hiệp

Chỉ báo Thỏa hiệp (IOC) được định nghĩa là "phần dữ liệu pháp y, bao gồm dữ liệu được tìm thấy trong các mục hoặc tệp nhật ký hệ thống, xác định hoạt động có khả năng gây hại trên hệ thống hoặc mạng."

Bằng cách giám sát IOC, các tổ chức có thể phát hiện các cuộc tấn công và hành động nhanh chóng để ngăn chặn các vi phạm đó xảy ra hoặc hạn chế thiệt hại bằng cách dừng các cuộc tấn công trong các giai đoạn trước đó.

Có một số trường hợp sử dụng, cho phép truy vấn các hiện vật pháp y như -

Tìm kiếm một tệp cụ thể của MD5
Tìm kiếm một thực thể cụ thể, thực thể thực sự được lưu trữ trong bộ nhớ
Mục nhập cụ thể hoặc tập hợp các mục nhập, được lưu trữ trong sổ đăng ký Windows

Sự kết hợp của tất cả những điều trên mang lại kết quả tốt hơn trong việc tìm kiếm hiện vật. Như đã đề cập ở trên, Windows registry cung cấp một nền tảng hoàn hảo trong việc tạo và duy trì IOC, hỗ trợ trực tiếp trong việc tính toán pháp lý.

Phương pháp luận

Tìm kiếm các vị trí trong hệ thống tệp và cụ thể là bây giờ trong sổ đăng ký Windows.
Tìm kiếm bộ hiện vật đã được thiết kế bởi các công cụ pháp y.
Tìm kiếm các dấu hiệu của bất kỳ hoạt động bất lợi nào.

Vòng đời điều tra

Vòng đời điều tra tuân theo IOC và nó tìm kiếm các mục nhập cụ thể trong sổ đăng ký.

Stage 1: Initial Evidence- Bằng chứng về sự xâm phạm được phát hiện trên máy chủ hoặc trên mạng. Những người phản hồi sẽ điều tra và xác định giải pháp chính xác, đó là một chỉ số pháp y cụ thể.
Stage 2: Create IOCs for Host & Network- Sau khi thu thập dữ liệu, IOC được tạo, điều này có thể dễ dàng với Windows registry. Tính linh hoạt của OpenIOC cung cấp vô số hoán vị về cách một Chỉ báo có thể được tạo ra.
Stage 3: Deploy IOCs in the Enterprise - Khi IOC được chỉ định đã được tạo, người điều tra sẽ triển khai các công nghệ này với sự trợ giúp của API trong sổ đăng ký Windows.
Stage 4: Identification of Suspects- Việc triển khai IOC giúp xác định các nghi phạm một cách bình thường. Ngay cả các hệ thống bổ sung sẽ được xác định.
Stage 5: Collect and Analyze Evidence - Các bằng chứng chống lại nghi phạm được thu thập và phân tích phù hợp.
Stage 6: Refine & Create New IOCs - Nhóm điều tra có thể tạo các IOC mới dựa trên bằng chứng và dữ liệu của họ được tìm thấy trong doanh nghiệp và thông tin tình báo bổ sung, đồng thời tiếp tục tinh chỉnh chu trình của họ.

Hình minh họa sau đây cho thấy các giai đoạn của Vòng đời Điều tra -