SANS FOR500: Windows Forensic Analysis

مدت: ۴۰ ساعت

این دوره مناسب شماست اگر...

مدیران شبکه
کسانی که در حوزه امنیت فعالیت دارند

پیش‌نیاز

CEH یا Sans SEC504

بعد از این دوره چه کاری می‌توانم انجام دهم؟

شما یاد میگیرید که چگونه اطلاعات مربوط به جرم شناسی را در سیستم های ویندوزی بازیابی، تجزیه و تحلیل کنید و در آنها صحت آنها را تایید کنید.

سرفصل‌ها

جرم‌شناسی دیجیتال و تجزیه و تحلیل پیشرفته داده‌ها

اجزای سیستم‌عامل ویندوز
- تفاوت‌های کلیدی در سیستم‌عامل‌های مدرن ویندوز
اصول اصلی جرم‌شناسی دیجیتال
- تمرکز بر تحلیل
- تعیین محدوده کاری
- ایجاد برنامه تحقیقاتی
پاسخ زنده و تکنیک‌های کسب داده‌های مبتنی بر تجزیه
- کسب حافظه RAM و رعایت ترتیب ناپایداری
- جرم‌شناسی مبتنی بر تجزیه و کسب سریع داده‌های قانونی
- شناسایی رمزگذاری
- استخراج رجیستری و فایل‌های قفل‌شده
- استفاده از سرویس سایه‌بان حجم (Volume Shadow Service)
- جمع‌آوری تجزیه KAPE
نصب و بررسی تصویر ویندوز
مروری بر سیستم فایل NTFS
فراداده‌های اسناد و فایل‌ها
کپی‌های سایه حجم (Volume Shadow Copies)
- بازیابی و تجزیه فایل و جریان‌ها
- اصول بازیابی داده‌ها
- بازیابی فراداده‌های سیستم فایل
- ابزارهای بازیابی فایل و جریان‌ها
- امضای‌های سفارشی برای بازیابی
تحلیل حافظه، فایل pagefile و فضای تخصیص‌نیافته
- بازیابی و بررسی آثار دیجیتالی (Artifacts)
- تحلیل برنامه‌های چت
- بازیابی داده‌های مرورگرهای اینترنت اکسپلورر، Edge، فایرفاکس، کروم و مرور خصوصی (InPrivate)
- ایمیل و ایمیل‌های مبتنی بر وب، شامل Yahoo، com و Gmail

تحلیل رجیستری، اجرای برنامه و جرم‌شناسی فضای ابری

جرم‌شناسی رجیستری به صورت عمیق (Registry Forensics In-Depth)
هسته رجیستری (Registry Core)
- هایوها، کلیدها و مقادیر رجیستری (Hives, Keys, and Values)
- زمان آخرین نوشتن در رجیستری (Registry Last Write Time)
- فهرست‌های MRU
- بازیابی کلیدهای حذف‌شده رجیستری (Deleted Registry Key Recovery)
- شناسایی هایوهای رجیستری خراب و بازیابی داده‌های گم‌شده
- جستجو و ایجاد تایملاین سریع برای چندین هایو رجیستری
پروفایل کاربران و گروه‌ها (Profile Users and Groups)
- کشف نام‌های کاربری و شناسه‌های امنیتی مربوطه (Discover Usernames and Relevant Security Identifiers)
- آخرین ورود به سیستم (Last Login)
- آخرین تلاش ناموفق ورود به سیستم (Last Failed Login)
- تعداد ورود به سیستم (Login Count)
- سیاست رمز عبور (Password Policy)
- پروفایل کردن حساب‌های محلی و دامنه (Local versus Domain Account Profiling)
اطلاعات اصلی سیستم (Core System Information)
- شناسایی مجموعه کنترل فعلی (Identify the Current Control Set)
- نام و نسخه سیستم (System Name and Version)
- مستندسازی منطقه زمانی سیستم (Document the System Time Zone)
- بررسی برنامه‌های نصب‌شده (Audit Installed Applications)
- بررسی شبکه‌های بی‌سیم، سیمی، VPN و پهن‌باند (Wireless, Wired, VPN, and Broadband Network Auditing)
- موقعیت جغرافیایی دستگاه از طریق پروفایل شبکه (Perform Device Geolocation via Network Profiling)
- شناسایی به‌روزرسانی‌های سیستم و زمان آخرین خاموش شدن (Identify System Updates and Last Shutdown Time)
- مکانیزم‌های ماندگاری بدافزار مبتنی بر رجیستری (Registry-Based Malware Persistence Mechanisms)
- شناسایی استفاده از وبکم و میکروفون توسط برنامه‌های غیرمجاز (Identify Webcam and Microphone Usage by Illicit Applications)
داده‌های جرم‌شناسی کاربر (User Forensic Data)
- شواهد مربوط به دانلود فایل‌ها (Evidence of File Downloads)
- تحلیل تاریخچه فایل‌های Office و Microsoft 365
- تحلیل تاریخچه جستجو در ویندوز 7، 8/8.1، 10/11 (Windows 7, Windows 8/8.1, Windows 10/11 Search History)
- مسیرها و دایرکتوری‌های تایپ شده (Typed Paths and Directories)
- اسناد اخیر (Recent Documents)
- جستجوی اسناد با ماکروهای مخرب فعال (Search for Documents with Malicious Macros Enabled)
- شواهد مربوط به دیالوگ‌های باز/ذخیره/اجرا (Open Save/Run Dialog Evidence)
- تاریخچه اجرای برنامه‌ها از طریق UserAssist، Prefetch، SRUM، FeatureUsage، و BAM/DAM
- هایوهای رجیستری UWP و MSIX
جرم‌شناسی فضای ابری (Cloud Storage Forensics)
- Microsoft OneDrive
- OneDrive Files on Demand
- Microsoft OneDrive for Business
- OneDrive Unified Audit Logs
- Google Drive for Desktop
- ثبت‌وقایع (Logging) Google Workspace (G Suite)
- فرمت داده‌های Google Protobuf
- Dropbox
- رمزگشایی Dropbox
- ثبت‌وقایع در Dropbox
- Box Drive
- همگام‌سازی و ثبت زمان‌ها (Synchronization and Timestamps)
- چالش‌های کسب داده‌های جرم‌شناسی (Forensic Acquisition Challenges)
- شمارش فعالیت‌های کاربر (User Activity Enumeration)
- خودکارسازی تجزیه پایگاه داده‌های SQLite (Automating SQLite Database Parsing)

آیتم‌های شل و پروفایل‌سازی دستگاه‌های قابل حمل

جرم‌شناسی آیتم‌های شل (Shell Item Forensics)
- فایل‌های میانبر (LNK) - شواهدی از باز شدن فایل‌ها
- لیست‌های Jump در ویندوز 7-10 - شواهدی از باز شدن فایل‌ها و اجرای برنامه‌ها
- تحلیل ShellBag - شواهد دسترسی به پوشه‌ها
بررسی‌های جرم‌شناسی USB و BYOD
- سازنده/مدل/نسخه
- شماره سریال منحصر به فرد
- آخرین حرف درایو اختصاص‌یافته
- MountPoints2و نقشه ‌برداری درایو بر اساس هر کاربر (شامل اشتراک‌های نقشه‌برداری‌شده)
- نام و شماره سریال حجم درایو
- نام کاربری که از دستگاه USB استفاده کرده است
- زمان اولین اتصال دستگاه USB
- زمان آخرین اتصال دستگاه USB
- زمان آخرین قطع اتصال دستگاه USB
- ظرفیت درایو
- ممیزی دستگاه‌های BYOD در مقیاس بزرگ
- شناسایی دستگاه‌های HID USB مخرب

تحلیل ایمیل، جستجوی ویندوز، SRUM، و لاگ‌های رویداد

جرم‌شناسی ایمیل (Email Forensics)
- شواهد ارتباطات کاربر (Evidence of User Communication)
- نحوه کار ایمیل (How Email Works)
- بررسی سرآیند ایمیل (Email Header Examination)
- اصالت ایمیل (Email Authenticity)
- تعیین موقعیت جغرافیایی فرستنده (Determining a Sender's Geographic Location)
- سرآیندهای MAPI توسعه‌یافته (Extended MAPI Headers)
- جرم‌شناسی ایمیل مبتنی بر میزبان (Host-Based Email Forensics)
- بازیابی موارد قابل بازیافت از Exchange (Exchange Recoverable Items)
- کسب شواهد و خروجی ایمیل از Exchange و M365
- جستجوی تطبیقی و eDiscovery در Exchange و M365
- لاگ‌های واحد حسابرسی در Microsoft 365 (Unified Audit Logs in Microsoft 365)
- ثبت وقایع در Google Workspace (G Suite Logging)
- تحلیل Google Vault
- بازیابی داده‌ها از کاربران Google Workspace
- ایمیل‌های مبتنی بر وب و فضای ابری (Web and Cloud-Based Email)
- کسب داده‌های وب‌میل (Webmail Acquisition)
- جستجو و بررسی ایمیل (Email Searching and Examination)
- آثار باقیمانده ایمیل موبایل (Mobile Email Remnants)
- تحقیقات درباره نقض امنیت ایمیل‌های تجاری (Business Email Compromise Investigations)
بررسی آثار سیستم‌عامل ویندوز (Forensicating Additional Windows OS Artifacts)
- جرم‌شناسی پایگاه داده جستجوی ویندوز (Windows Search Index Database Forensics)
- بازیابی و تعمیر پایگاه داده Extensible Storage Engine (ESE)
- تحلیل Thumbcache ویندوز (Windows Thumbcache Analysis)
- تحلیل سطل زباله ویندوز (Windows Recycle Bin Analysis) (XP، ویندوز 7-10)
- System Resource Usage Monitor (SRUM)
- شبکه‌های متصل، مدت زمان اتصال و استفاده از پهنای باند (Connected Networks, Duration, and Bandwidth Usage)
- برنامه‌های اجراشده و میزان ارسال/دریافت داده‌ها برای هر برنامه (Applications Run and Bytes Sent/Received Per Application)
- اعلان‌های فشاری برنامه‌ها (Application Push Notifications)
- مصرف انرژی (Energy Usage)
تحلیل لاگ رویدادهای ویندوز (Windows Event Log Analysis)
- لاگ‌های رویداد مهم برای یک محقق جرم‌شناسی دیجیتال (Event Logs of Importance to a Digital Forensic Investigator)
- فایل‌های لاگ EVTX و EVT
- ردیابی استفاده از حساب‌ها، از جمله RDP، حملات رمز عبور Brute Force و استفاده از حساب‌های محلی غیرمجاز
- اثبات دستکاری زمان سیستم (Prove System Time Manipulation)
- ردیابی دستگاه‌های BYOD و خارجی (Track BYOD and External Devices)
- ثبت هشدارهای Microsoft Office (Microsoft Office Alert Logging)
- موقعیت‌یابی دستگاه از طریق لاگ‌های رویداد (Geo-locate a Device via Event Logs)

جرم‌شناسی مرورگرهای وب (Web Browser Forensics)

جرم‌شناسی مرورگر (Browser Forensics)
- تاریخچه (History)
- کش مرورگر (Cache)
- جستجوها (Searches)
- دانلودها (Downloads)
- درک زمان‌بندی‌های مرورگر (Understanding Browser Timestamps)
Chrome:
- موقعیت فایل‌های Chrome (Chrome File Locations)
- تطبیق URL‌ها و جداول بازدیدها برای زمینه تاریخی (Correlating URLs and Visits Tables for Historical Context)
- تاریخچه و انواع انتقال صفحه (History and Page Transition Types)
- فایل تنظیمات Chrome (Chrome Preferences File)
- داده‌های وب، میانبرها و پایگاه‌های داده پیش‌بینی عملکرد شبکه (Web Data, Shortcuts, and Network Action Predictor Databases)
- زمان‌بندی‌های Chrome (Chrome Timestamps)
- بررسی کش (Cache Examinations)
- تاریخچه دانلودها (Download History)
- ذخیره‌سازی وب: IndexedDB، ذخیره‌سازی محلی، ذخیره‌سازی جلسه و سیستم فایل خصوصی مبدا (Web Storage: IndexedDB, Local Storage, Session Storage, and Origin Private File System)
- بازیابی جلسه Chrome (Chrome Session Recovery)
- ویژگی پروفایل‌های Chrome (Chrome Profiles Feature)
- پوشه snapshots کرومیوم (Chromium Snapshots folder)
- شناسایی همگام‌سازی دستگاه‌های Chrome (Identifying Cross-Device Chrome Synchronization)
Edge:
- مرورگر Edge و تفاوت آن با Chrome (Chromium Edge vs. Google Chrome)
- تاریخچه، کش، ذخیره‌سازی وب، کوکی‌ها، تاریخچه دانلودها و بازیابی جلسه در Edge (History, Cache, Web Storage, Cookies, Download History, and Session Recovery)
- مجموعه‌های Edge (Microsoft Edge Collections)
- حالت اینترنت اکسپلورر در Edge (Edge Internet Explorer Mode)
- افزونه‌های Chrome و Edge (Chrome and Edge Extensions)
- همگام‌سازی آثار Edge و ردیابی پروفایل‌های متعدد (Edge Artifact Synchronization and Tracking Multiple Profiles)
Internet Explorer:
- اصول اولیه اینترنت اکسپلورر (Internet Explorer Essentials) و مرورگری که نمی‌میرد (The Browser That Will Not Die)
- بررسی پایگاه دادهdat (WebCache.dat Database Examination)
- دسترسی محلی به فایل در اینترنت اکسپلورر (Internet Explorer and Local File Access)
Electron و WebView2:
- برنامه‌های Electron و WebView2 و جرم‌شناسی کلاینت‌های چت (Electron and WebView2 Applications and Chat Client Forensics)
- ساختار برنامه‌های Electron (Electron Application Structure)
- کش کرومیوم در Electron (Electron Chromium Cache)
- ساختار LevelDB و ابزارها (LevelDB Structure and Tools)
- تجزیه دستی LevelDB (Manual Parsing of LevelDB)
- تجزیه‌گرهای تخصصی LevelDB (Specialized LevelDB parsers)
Firefox:
- مکان آثار Firefox (Firefox Artifact Locations)
- فایل‌های SQLite و به‌روزرسانی‌های Firefox Quantum (SQLite Files and Firefox Quantum Updates)
- تاریخچه دانلودها در Firefox (Download History)
- بررسی Cache2 در Firefox (Firefox Cache2 Examinations)
- داده‌های بازدید دقیق (Detailed Visit Type Data)
- تاریخچه فرم‌ها (Form History)
- بازیابی جلسه در Firefox (Session Recovery)
- افزونه‌های Firefox (Firefox Extensions)
- همگام‌سازی دستگاه‌های Firefox (Firefox Cross-Device Synchronization)
مرور خصوصی و بازیابی آثار مرورگر:
- مرور خصوصی و بازیابی آثار مرورگر (Private Browsing and Browser Artifact Recovery)
- مرور خصوصی در Chrome، Edge، و Firefox (Chrome, Edge, and Firefox Private Browsing)
- تحقیق درباره مرورگر Tor (Investigating the Tor Browser)
- شناسایی حذف انتخابی پایگاه داده (Identifying Selective Database Deletion)
- بازیابی و تحلیل پایگاه داده‌های SQLite و ESE (SQLite and ESE Database Carving and Examination of Additional Browser Artifacts)
- بازیابی رکوردهای حذف‌شده پایگاه داده (Deleted Database Record Recovery)
- اشیاء ذخیره‌سازی وب و DOM (DOM and Web Storage Objects)
- بازسازی صفحات وب ذخیره‌شده (Rebuilding Cached Web Pages)
- شجره‌نامه مرورگر (Browser Ancestry)
- گرفتن اطلاعات اعتبار ذخیره‌شده در مرورگر (Capturing Stored Browser Credentials)

چالش جرم‌شناسی ویندوز (Windows Forensics Challenge)

پایان‌نامه جرم‌شناسی دیجیتال (Digital Forensics Capstone):
- ترکیب تمام مهارت‌ها و تکنیک‌های آموخته‌شده در یک چالش جامع.
تحلیل (Analysis):
- پردازش و بررسی یک مجموعه کامل از شواهد جدید.
- شناسایی و یافتن شواهد حیاتی با استفاده از روش‌های تحلیل شواهدی که در طول دوره آموخته شده است.
بررسی انواع داده‌ها:
- حافظه: تجزیه و تحلیل حافظه برای یافتن شواهد مهم.
- رجیستری: بررسی رجیستری ویندوز برای کشف فعالیت‌های مخفی.
- چت: تجزیه و تحلیل چت‌های بازیابی‌شده از برنامه‌ها.
- مرورگر: بررسی تاریخچه مرورگر و فعالیت‌های اینترنتی.
- فایل‌های بازیابی‌شده: تحلیل فایل‌های بازیابی‌شده برای کشف اطلاعات کلیدی.
- آثار همگام‌سازی‌شده: بررسی داده‌های همگام‌سازی‌شده بین دستگاه‌ها.
- بدافزار نصب‌شده: شناسایی و بررسی بدافزارهای نصب‌شده بر روی سیستم.
گزارش‌دهی (Reporting):
- ساخت خط زمانی تحقیقات (Investigative Timeline): بازسازی دقیق رویدادها با استفاده از شواهد به دست آمده.
- پاسخ به سوالات حیاتی تحقیق: پاسخ به سوالات کلیدی مرتبط با تحقیقات با استفاده از شواهد واقعی.
- تمرین نوشتن خلاصه اجرایی و تولید گزارش: تمرین مهارت‌های نوشتن خلاصه‌ای فنی و تولید گزارش کامل از یافته‌های تحقیقاتی.
- ارائه نتایج پرونده: ارائه یافته‌های فنی پرونده به صورت دقیق و حرفه‌ای.

درباره دوره

تمرکز دوره SANS FOR500: Windows Forensic Analysis بر روی افزایش و بهبود دانش فارنزیک مبتنی بر سیستم‌ عامل ویندوز می باشد. دانش فارنزیک و آرتیفکت‌ها هسته اصلی امنیت اطلاعات هستند. تمرکز عمیقی بر روی جرم شناسی سیستم های مایکروسافتی دارد. در این دوره با تجزیه و تحلیل و احراز جرم شناسی دیجیتالی تحت ویندوز آشنا خواهید شد.