4-Амалий машғулот. Мавзу: Ахборот хавфсизлиги инцидентларининг тергови

Лог-файллар. Логларни нусхалаш бир нечта усул билан амалга оширилиши мумкин:

• 
  фақат ёзувларни нусхалаш билан (масалан маълум бир IP-адресга га тегишли бўлган);
  
• 
  лог-файлларни тўлақонли нусхалаш;
  
• 
  маълумотларни сақлаш қурилмасини тўлақонли нусхалаш.
  

Қайси усулда нусхалашни танлашда асосий фактор бу: лог-файлларнинг ишончлилиги, изланишлар доираси, лог-файлларнинг ўзгариш даражаси ва ҳажмига қаралади. Бошқа ҳолларда маълумот сақлаш қурилмасини тўлақонли нусхалаган фойдалидир.
Тармоқ трафиги. Тармоқ пакетларидан (dump) нусха олиш учун қуйидаги дастурлардан фойдаланиш мумкин:

• 
  tcpdump;
  
• 
  Wireshark.
  

Бунинг учун тармоққа уланиш талаб қилинади ва тармоқнинг бу қисмидан криминалистика учун керак бўладиган барча пакетлар ўтиши талаб қилинади. Бундай нусхалаш пайтида dump нусхаланиш вақтини камайтириши керак бўлади.
3 даража: Таҳлил. Бу даражада барча йиғилган маълумотлар таҳлил қилинади ва бунда қуйидаги алгоритмлардан фойдаланилади:

• 
  ўрганилаётган объект ҳақида тўлиқ маълумот йиғилади (дисклардан, dumpдан, тармоқ трафигидан ва ҳ.к.);
  
• 
  маълумотларни шаффофлигини таъминлаб бериш;
  
• 
  маълумотларни яширин тарзда ўрганиб чиқиш (шифрланган маълумотларни ўрганиш);
  
• 
  энергияга муҳтож маълумотлар сақлаш қурилмаларини ўрганиб чиқиш ва қайта тиклаш.
  

Криминалистик изланиш деганда йўқолган ёки ўчириб ташланган маълумотларни излари орқали қидириб топиш назарда тутилади. Бундай излар ахборот тизимларида жуда кўп бўлади, оддийгина белгилашлардан, ўзгаришлардан, виртуал хотира фрагментларидан, MAC адреслардан мослаб танланади.
Криминалистик изланишлар учун қуйидаги дастурлардан фойдаланиш мумкин:

• 
  EnCase Forensic;
  
• 
  Forensic Toolkit;
  
• 
  The Sleuth Kit.
  

Қайта тиклаш учун эса қуйидаги дастурлардан фойдаланилади:

• 
  Foremost;
  
• 
  PhotoRec.
  

Тармоқ dump хотирасини таҳлил этиш учун ишлатиши мумкин бўлган дастурлар:

1. 
   Тармоқ пакети турини аниқлаш учун (масалан ёпиқ файлларни қидириш учун).
   
2. 
   Тармоқ орқали юбориладиган хабарларни очиб кўриш учун.
   

Биринчи ҳолатда қуйидаги дастурлар ёрдам беради:

• 
  Wireshark;
  
• 
  Network Miner.
  

Иккинчи ҳолатда эса тармоқ анализатор дастурлари эмас, пакетларни ушлаб олиш тизимларидан фойдаланишга тўғри келади. Бундай қидирув маълум бир калит сўзлар орқали қидиришга айтилади.