Datautvinning från digitala lagringsmedia, 7.5 hp

Transkript

1 Datautvinning från digitala lagringsmedia, 7.5 hp Kursbeskrivning Mattias Weckstén Högskolan i Halmstad Våren 2010 Veckorna 12-21

2 1 Introduktion Datautvinning från digitala lagringsmedia är en grundläggande kurs i incidenthantering, med syfte att lägga en grund till fördjupande kurser i forensiska verktyg. Kursen löper över 7,5 hp halv fart och består av föreläsningar, inlämningsuppgifter och laborationer. Kontinuerligt uppdaterad information om kursen hittar du på: Följande personal kommer att jobba med kursen: Examinator Mattias Wecksten Kursansvarig Mattias Wecksten, anknytning 7396, rum F313 Övriga roller Labassistent

3 2 Kursens syfte och lärandemål Kursen ska ge studenten kunskaper om metoder relaterat till kriminaltekniska verktyg för att säkra och utvinna data från digitala lagringsmedia. Efter avslutad kurs ska studenten kunna: hantera några av de på marknaden förekommande verktygen för utvinning av data från digitala lagringsmedia. självständigt analysera ett system för vilket datautvinning ska ske. självständigt planera utvinning av data ur systemet baserat på en systemanalys. genomföra en praktisk datautvinning från ett givet system. 3 Kursens innehåll Kursen omfattar en teoretisk introduktion till datautvinning från digitala lagringsmedia vilket innebär: Översikt över: de på marknaden förekommande hårdvarorna inom området. de vanligaste dataformaten. de på marknaden förekommande verktygen för datautvinning. Metoder för: datautvinning från fysiska enheter så som hårddiskar eller cashminnen. datautvinning från logiska enheter så som epostsystem eller databaser. övervakning och logganalys. att dölja data. att kryptera data. att förhindra förändring av data. Analys av: informationsspridning och dess effekter. vanligt förekommande virus, maskar och trojaner och deras användningsområden. Praktiska övningar i datautvinning.

4 4 Kursmoment Här följer en detaljerad plan över kursens olika moment. I texten anges läsanvisningar kopplat till varje moment, kursiv läsning anges omgivet av parenteser. Vecka 12 F1 Kursintroduktion Vid detta tillfälle kommer kursen att presenteras av kursansvarig. Det blir en genomgång av den här kursbeskrivningen och du kan ställa frågor om det är något som är oklart. Formen för examinationsmomenten gås igenom och tidsramar för dessa fastslås. En översikt av ITforensikerns roll och arbetsuppgifter ges tillsammans med förutsättningarna för digital datautvinning. Föreläsningen avslutas med en demonstration av datautvinning från ett datorsystem. F2 Ämnesintroduktion Vad är en incident och hur identifierar man den? Hur utför man det preventiva arbetet? Förbered - 1 Läs utdrag 1 ur FörUndersökningsProtokollet (FUP) för målet Pirate Bay - Fundera på vad som sägs med bakgrund av dagens föreläsning - Fundera över vilka argument det finns för att använda checksummor? Hade man inte lika gärna kunnat jämföra hela filer med filer ur backupen? Läs kursboken s.1-73 Skriven uppgift A, 2000 tecken, Incidentkedjan i ett verkligt fall Hur fungerar MD5? Vilka svagheter har MD5?

5 Vecka 13 F3 Initial respons Incidenten har inträffat! Vilken blir vår initiala respons? Förbered - 2 Läs kursboken s Ni får ta till er avsnittet 10 (hårddisken) genom självstudier. Boken är en bra start men har några år på nacken. Er uppgift blir att hitta aktuell kompletterande information och sammanfatta detta i ett arbete. Skriven uppgift B, tecken, Hur fungerar hårddisken ur ett IT-forensiskt perspektiv Vecka 14 O M T E N T A V E C K A

6 Vecka 15 F4 Forensisk duplicering Vad krävs för att kunna använda utvunnet data som bevis? F5 Analystekniker Hur analyserar man den inhämtade datan för att utvinna informationen? Förbered - 3 Läs utdrag 2 ur förhandlingsprotokollet för målet Pirate Bay - Jämför och granska de två experternas utlåtanden. Läs kursboken s ( ) Skriven uppgift C, 2000 tecken, Svagheter i två expertutlåtanden dcfldd dd Forensic Carving A smart carving approach Reguljära uttryck AutoPsy

7 Vecka 16 F6 Bevishantering När vi väl har skaffat oss bevisdata måste det hanteras korrekt under hela undersökningen. F7 Datainsamling - Windows Systemet är identifierat. Hur går vi tillväga för att säkra data med minimal åverkan? L1 Laboration Datautvinning, checksummor och kontaminering. Förbered - 4 Läs utdrag 3 och 4 från FUP och jämför hur man valt att dokumentera med bokens strategi. Uppgift D, Sätt samman en egen forensisk verktygslåda - Utgå från förslagen i boken - Samarbeta gärna i hela klassen - Dokumentera - Glöm inte att generera checksummor och kontrollera beroenden Läs kursboken s Okända lösenord Rainbowtables Sandman

8 Vecka 17 F8 Datainsamling UNIX/ LINUX Hur skiljer sig datainsamling i UNIX/ LINUX från datainsamling i ett Windowssystem? F9 Routeranalys Vilka spår lämnas kvar i routrar och hur kan vi hantera den? L2 Laboration Datainsamling initial respons. Förbered - 5 Läs kursboken s Hur används nmap

9 Vecka 18 F10 Analys av Windowsbaserade system Hur går man mest effektivt tillväga för att analysera ett Windowsbaserat datorsystem? F11 Analys av UNIX/ LINUX-baserade system Hur går man mest effektivt tillväga för att analysera ett UNIX/ LINUX-baserat datorsystem? Förbered - 6 Läs kursboken s Thumbdrive-prints USB-device artefacts LiveView Windows eventlogs

10 Vecka 19 F12 Avlyssning Hur går avlyssning till, vad är syftet och vilka är begränsningarna? F13 Nätverksanalys Hur kan nyttig information utvinnas från den data vi avlyssnat? L3 Laboration Datautvinning av Windowssystem och data-analys i AutoPsy. Förbered - 7 Läs kursboken s AdWare tcpdump Antisniff FreeBSD Avlyssning

11 Vecka 20 F14 Analys av hackerverktyg / forensisk rapport Hur går man tillväga om man stöter på ett helt nytt okänt hackerverktyg som infekterat ditt system? Vad skiljer mellan olika typer av rapporter. Hur skriver man rapport för en person som är expert på ett annat område än det IT-forensiska? L4 Laboration Analys av en trojan i ett Linuxsystem. Förbered - 8 Läs kursboken s Zip bomb Hit by a bus Antiforensics --- TrueCrypt Sub7-analys i AutoPsy Övningstentor

12 5 Kursmoment Obligatoriska moment För att få ut slutbetyg för genomförd kurs krävs att man: deltagit vid samtliga laborationer (4 stycken) med resultatet godkänd. skrivit tentamen med resultatet 3, 4 eller 5. Valfria moment De skrivna uppgifterna A-C och miniprojektet uppgift D är valfria. De som genomför momenten och blir godkända kommer att tillgodoräknas bonuspoäng om slutresultatet blir U eller 3 på den skriftliga tentamens ordinarie skrivtillfälle. Varje avklarat moment ger 4 bonuspoäng. 6 Betygskriterier För betyget 3 krävs att studenten kan: redogöra för grundläggande uttryck och begrepp. arbeta med förekommande forensiska verktyg. planera och genomföra datautvinning samt forensisk analys. För betyget 4 krävs att studenten dessutom kan: applicera och resonera runt grundläggande uttryck och begrepp. För betyget 5 krävs att studenten kan: analysera och argumentera runt givna situationer med utgångspunkt i grundläggande uttryck och begrepp. 7 Litteraturlista Kursens huvudlitteratur som finns att tillgå gratis på ebrary är: Mandia, Proise, Pepe, Incident Response & Computer Forensics, ISBN X Som referenslitteratur (användbar i flera kurser) rekommenderas: Jones, Bejtlich, Rose, Farmer, Venema, Carrier, The Computer Forensics Library, ISBN

13 8 Tidsplanering För att underlätta er möjlighet att påverka er utbildning så följer här en översikt av hur stor del de olika momenten i kursen tar i anspråk. Timbudget Föreläsning Labbar Administration För att underlätta er studieplanering hittar du här en mall för studieplan. Studieplan för DT F F F F 13 F F F F F F 16 L L F F F F 17 L L F F F F 18 F F F F 19 L L F F F F 20 L L F F 21 F = Föreläsning L = Labb U = Uppgift A-D B = Inläsning T = Tentaprep. Varje ruta är en timma. Hela kursen är 200 timmar.