شرح الموضوع
كما ناقشنا سابقًا، عند وقوع حادث أمني، من المهم أن يتم جمع الأدلة على ما حدث بشكل صحيح.
فحص إجراءات جمع الأدلة الجنائية بعد وقوع الحادث الأمني
الأدلة الجنائية: لماذا نجمعها؟
عند وقوع حادث أمني، من المهم أن يتم جمع الأدلة على ما حدث بشكل صحيح.
جمع الأدلة الجنائية
- السبب الأول: قد تكون هناك حاجة لدعم مقاضاة المتورطين.
- السبب الثاني: الفهم الكامل لما حدث بالضبط سيساعد على تقليل احتمالية حدوثه مرة أخرى.
الإجراءات الجنائية المكتبية
الإجراءات الجنائية المكتبية
- أولًا: عزل الحاسوب وإزالته، أو مصادرة الحاسوب المحمول الفردي من الفرد.
- لماذا الصورة: يُوضع القرص الأصلي في وحدة تخزين آمنة لإثبات أن عملية التحقيق لم تغير أي شيء على القرص.
- تحليل البيانات: أدوات تستعيد الملفات المحذوفة، وبحث في كل الملفات عن عبارة ذات صلة أو لتصفية أنواع ملفات لا علاقة لها بالموضوع.
- مثال: إذا يُعتقد أن الحاسوب متورط في هجوم حقن لغة SQL، فيُبحث عن أوامر SQL المختلفة ذات الصلة.
- الملفات والإعدادات: يُتحقق من وقت تثبيت آخر تحديثات نظام التشغيل وآخر تحديث لبرنامج مكافحة الفيروسات، ومن الملفات المُنزَّلة ورسائل البريد والمرفقات التي فُتحت.
- سجلات النظام: تحتفظ بالكثير من المعلومات عن الأحداث؛ سجلات أحداث Windows تحفظ تفاصيل زمنية لتسجيل الدخول ومحاولات تسجيل الدخول غير الناجحة.
- نشاط المستخدم: وقت الدخول والخروج من سجلات النظام، والملفات التي أنشأها وحذفها، وتلك التي نزلها من الإنترنت، والبريد الإلكتروني وسجل تصفح الويب.
- تحليل البرامج الضارة: سجلات تشغيل برامج مكافحة الفيروسات عند عمليات المسح وعند تنزيل أحدث ملفات تعريف الفيروسات.
ما المعلومات التي تحتفظ بها سجلات أحداث Windows عن تسجيل دخول المستخدمين؟
الإجراءات الجنائية المباشرة
الإجراءات الجنائية المباشرة
- لماذا: بمجرد إيقاف تشغيل الحاسوب يتم فقدان محتويات ذاكرة الوصول العشوائي (RAM).
- البرامج الضارة: التي تعمل في الذاكرة قد تحتوي على أدلة مهمة، مثل عنوان IP الذي يتم الاتصال به.
- الملفات المؤقتة: تنشئها التطبيقات في أثناء تشغيلها (مثل Microsoft Word) ويتم حذفها عند إغلاق التطبيق.
- ما يضيع أيضًا: مفاتيح التشفير، ورسائل الدردشة، ومحتويات الحافظة، واتصالات الشبكة المفتوحة.
- الحل: برنامج التقاط ذاكرة الوصول العشوائي المباشر يسجل محتواها لتحليله لاحقًا.
- مثال: بيانات محرك أقراص مشفرة بأداة مثل Bitlocker لا يمكن قراءتها ما لم يسجل مستخدم معتمد دخوله.
الإجراءات الجنائية للشبكة
الإجراءات الجنائية للشبكة
- المصدر: شبكة المؤسسة قد تكون مصدرًا للاختراق، إذ يجد المتسللون طريقًا إلى شبكة LAN من الإنترنت.
- الاختبار: لتحديد التقنية الدقيقة المستخدمة في الهجوم.
- قبل الاختبار: اتفق على منهجية اختبار الشبكة مع الفريق الجنائي المشرف، وتأكد أنها مناسبة واحصل على الإذن.
- تعطيل النظام: يجب ألا يعطل الاختبار النظام المباشر؛ محاكاة هجوم قطع الخدمة قد تمنعه من العمل.
- الأدوات: السلبية (جمع الأدلة من خلال مراقبة ما يحدث) والنشطة (إجراء التغييرات بنشاط وجمع النتائج).
- البنية التحتية: جدران الحماية تُكوَّن لإنشاء سجلات الاتصالات التي تقبلها وترفضها، وقد تجمع أجهزة التوجيه سجلات النشاط.
- أجهزة أخرى: تُراجع الإعدادات على المحولات ونقاط الوصول اللاسلكية، وتحتفظ سجلات مكافحة البرامج الضارة بأي ملفات مشبوهة، وتحتفظ بعض نقاط الوصول بسجل للأجهزة المرفقة وقائمة بعناوين MAC المسموح بها.
مناقشة
ما نوع المعلومات التي قد تجدها في سجل جدار الحماية أو جهاز التوجيه؟
التحليل الجنائي المنهجي لنظام مشبوه
التحليل المنهجي للنظام المشبوه
- لماذا المنهجية: لاستخدام الأدلة في مقاضاة المتورطين يجب جمعها بطريقة منهجية دقيقة مع تسجيل كل خطوة في تقرير مفصل.
- دوّن التفاصيل مبكرًا: اكتب أو سجّل صوتيًا كل ما تفعله في أقرب وقت ممكن.
- اجمع لقطات النظام: احتفظ بلقطات الشاشة ونسخ السجلات والملفات للتحليل لاحقًا.
- سجّل أي تغيير: لاحظ بعناية أي تغيير سببه التحقيق، عن قصد أو خطأ.
- وثّق مرئيًا: أنشئ صورًا ومقاطع فيديو بحسب طبيعة الحادث.
- تحقق من الصلة: تأكد أن الأدلة تخص الحادث الفعلي وليست إنذارًا كاذبًا، ثم حلل لاحقًا.
- الإنذار الكاذب: يُتحقق من المواعيد لمعرفة ما إذا كانت الأدلة مرتبطة بوقت وقوع الهجوم.
- في البداية: من الأفضل جمع أدلة لست متأكدًا من صلتها ثم إجراء تحليل مفصل لاحقًا.
تقييم الأدلة
تقييم الأدلة والتوصيات
بمجرد جمع الأدلة، ماذا نسأل عن كل عنصر؟
- التقرير: يشرح ما تظهره الأدلة ويقدم وصفًا تفصيليًا خطوة بخطوة لكيفية تنفيذ الهجوم.
- التوصيات: يقدم التقرير توصيات للمساعدة على تجنب مشكلات مماثلة في المستقبل.
- السياسات والإجراءات: مثل سياسة استخدام الإنترنت والاتفاقيات مع المؤسسات الخارجية كمزودي الخدمات السحابية.
- التدريب: للتأكد أن الموظفين يفهمون متطلبات سياسات الشركة المتعلقة بأمن تكنولوجيا المعلومات ويلتزمون بها.
- الحماية الإضافية: أساليب الحماية المادية والبرامج والأجهزة.
التوصيات
ما التوصيات التي قد يقدمها تقرير الحادث للمساعدة على تجنب مشكلات مماثلة في المستقبل؟
