Съвместни курсове на Group-IB и Belkasoft: какво ще научим и на кого да дойде

Алгоритми и тактики за реагиране на инциденти в информационната сигурност, тенденции в текущите кибератаки, подходи за разследване на изтичане на данни в компаниите, изследване на браузъри и мобилни устройства, анализ на криптирани файлове, извличане на данни за геолокация и анализ на големи обеми от данни — всичко това и други теми могат да бъдат изучени на новите съвместни курсове на Group-IB и Belkasoft. През август ние обявиха представяме първия курс Belkasoft Digital Forensics, който стартира на 9 септември, и след като получихме много запитвания, решихме да разкажем по-подробно за това, какво ще изучават участниците, какви знания, компетенции и бонуси (!) ще получат тези, които достигнат края. Всичко по реда си.

Две в едно

Идеята за провеждане на съвместни обучителни курсове се появи след като участниците в курсовете на Group-IB започнаха да питат за инструмент, който да им помогне при разследването на компрометирани компютърни системи и мрежи, и който да обедини функционалността на различни безплатни утилити, които ние препоръчваме да се използват по време на реагиране на инциденти.

Според нас, такъв инструмент би могъл да бъде Belkasoft Evidence Center (вече говорихме за него в статията Игоря Михайлова „Ключ на старт: най-добрите софтуерни и хардуерни средства за компютърна криминалистика“). Затова ние, съвместно с компанията Belkasoft, разработихме два обучителни курса: Belkasoft Digital Forensics и Belkasoft Incident Response Examination.

ВАЖНО: курсовете са последователни и взаимосвязани! Belkasoft Digital Forensics е посветен на програмата Belkasoft Evidence Center, а Belkasoft Incident Response Examination — на разследването на инциденти с помощта на продуктите на Belkasoft. Тоест, преди да изучавате курса Belkasoft Incident Response Examination, силно препоръчваме да преминете обучението по курса Belkasoft Digital Forensics. Ако започнете направо с курса за разследване на инциденти, участникът може да срещне досадни пропуски в знанията относно използването на Belkasoft Evidence Center, намирането и изследването на криминалистични артефакти. Това може да доведе до ситуация, при която по време на обучението по курса Belkasoft Incident Response Examination участникът или няма да успее да усвои материала, или ще забави останалата група в получаването на нови знания, тъй като времето за обучение ще бъде използвано от инструктора за обяснение на материалите от курса Belkasoft Digital Forensics.

Компютърна криминалистика с Belkasoft Evidence Center

Цел на курса Belkasoft Digital Forensics — да запознае слушателите с програмата Belkasoft Evidence Center, да ги научи как да използват тази програма за събиране на доказателства от различни източници (облачни хранилища, оперативна памет (RAM), мобилни устройства, носители на информация (твърди дискове, флаш памети и др.), да усвоят основни криминалистични техники и методи за криминалистично изследване на артефакти от Windows, мобилни устройства, дампове на оперативната памет. Също така ще научите как да идентифицирате и документирате артефакти от браузъри и приложения за незабавни съобщения, да създавате криминалистични копия на данни от различни източници, да извличате данни за геолокация и да извършвате търсене на текстови последователности (търсене по ключови думи), да използвате хеш функции при провеждане на изследвания, да анализирате регистъра на Windows, да усвоите умения за изследване на неизвестни бази данни SQLite, основите на изследването на графични и видео файлове и аналитичните техники, прилагани по време на разследвания.

Курсът ще бъде полезен за експерти със специализация в областта на компютърно-техническата експертиза (компютърна експертиза); технически специалисти, които определят причините за успешни нахлувания, анализират веригите на събития и последиците от кибератаки; технически специалисти, които идентифицират и документират кражби (изтичания) на данни от вътрешни нарушители; специалисти по e-Discovery; служители на SOC и CERT/CSIRT; служители на службата за информационна сигурност; ентусиасти на компютърната криминалистика.

План на курса:

• Belkasoft Evidence Center (BEC): първи стъпки
• Създаване и обработка на случаи в BEC
• Събиране на цифрови доказателства в рамките на криминалистичното изследване с помощта на BEC

• Използване на филтри
• Създаване на отчети
• Изследване на приложения за незабавни съобщения

• Изследване на уеб браузъри

• Изследване на мобилни устройства
• Извличане на данни за геолокация

• Търсене на текстови последователности в случаи
• Извличане и анализ на данни от облачни хранилища
• Използване на отметки за подчертаване на значими доказателства, открити по време на изследването
• Изследване на системни файлове на Windows

• Анализ на регистъра на Windows
• Анализ на бази данни SQLite

• Методи за възстановяване на данни
• Техники за изследване на дампове на оперативната памет
• Използването на хеш-калкулатор и хеш-анализ в криминалистични изследвания
• Анализ на криптирани файлове
• Методи за изследване на графични и видеофайлове
• Използване на аналитични техники в криминалистични изследвания
• Автоматизация на рутинни действия с помощта на вградения програмен език Belkascripts

• Практически занятия

Курс: Belkasoft Incident Response Examination

Целта на курса е да изучите основите на криминалистичното разследване на кибератаки и възможностите за използване на Belkasoft Evidence Center при разследването. Ще научите за основните вектори на съвременните атаки към компютърни мрежи, ще се научите да класифицирате компютърни атаки въз основа на матрицата MITRE ATT&CK, да прилагате алгоритми за изследване на операционни системи с цел установяване на фактите за компрометиране и реконструкция на действията на атакуващите, ще разберете къде се намират артефактите, които показват последно отворените файлове, къде в операционната система се съхранява информация за зареждането и изпълнението на файловете, как атакуващите са се движели в мрежата, и ще се научите да изследвате тези артефакти с помощта на BEC. Също така ще научите какви събития в системните журнали представляват интерес за разследване на инциденти и установяване на факт за отдалечен достъп и как да ги изследвате с помощта на BEC.

Курсът ще бъде полезен на технически специалисти, които определят причините за успешни атаки, анализират веригите на събития и последствията от кибератаки; системни администратори; служители на SOC и CERT/CSIRT; служители на службата за информационна сигурност.

Обзор на курса

Cyber Kill Chain описва основните етапи на всяка техническа атака срещу компютри (или компютърни мрежи) на жертвата, както следва:

Действията на служителите на SOC (CERT, информационна сигурност и др.) са насочени към предотвратяване на проникването на злонамерени лица в защитените информационни ресурси.

Ако злоумышленниците все пак са проникнали в защитената инфраструктура, посочените по-горе лица трябва да се опитат да минимализират щетите от действията на атакуващите, да определят по какъв начин е била извършена атаката, да реконструират събитията и последователността на действията на атакуващите в компрометираната информационна структура и да предприемат мерки за предотвратяване на подобен тип атаки в бъдеще.

В компрометираната информационна инфраструктура могат да бъдат намерени следните типове следи, указващи на компрометиране на мрежата (компютъра):

Всички подобни следи могат да бъдат намерени с помощта на програмата Belkasoft Evidence Center.

В BEC има модул „Разследване на инциденти“, където при анализа на информационни носители се поставят сведения за артефакти, които могат да помогнат на изследователя при разследването на инциденти.

BEC поддържа изследването на основни типове артефакти на Windows, указващи на стартиране на изпълними файлове в изследваната система, включително файлове Amcache, Userassist, Prefetch, BAM/DAM, Хронология на Windows 10, анализ на системни събития.

Информацията за следите, съдържащи сведения за действията на потребителя в компрометираната система, може да бъде представена по следния начин:

Тази информация включва, между другото, данни за стартиране на изпълними файлове:

Информация за стартиране на файла ‘RDPWInst.exe’.

Сведения за закрепването на атакуващите в компрометираните системи могат да бъдат открити в ключовете за стартиране в регистъра на Windows, услугите, планираните задачи, Logon скриптовете, WMI и т.н. Примери за открития на данни за закрепване в системата на атакуващите могат да бъдат видими на следните екранни снимки:

Закрепване на атакуващите с помощта на планировчика на задачи, чрез създаване на задача, която стартира PowerShell скрипт.

Закрепване на атакуващите с помощта на инструмента за управление на Windows (Windows Management Instrumentation, WMI).

Закрепване на атакуващите с помощта на Logon скрипт.

Преместването на атакуващите в компрометирана компютърна мрежа може да бъде открито, например, чрез анализ на системните журнали на Windows (при използване на услугата RDP от атакуващите).

Информация за откритите RDP-съединения.

Информация за преминаването на атакуващите през мрежата.

Така Belkasoft Evidence Center може да помогне на изследователите да открият компрометирани компютри в атакуваната компютърна мрежа, да намерят следи от стартиране на зловредни програми, следи от закрепване в системата и преместване в мрежата, както и други следи от активността на нападателите на компрометирани компютри.

В курса на обучение Belkasoft Incident Response Examination се описва как да се провеждат подобни изследвания и да се откриват гореспоменатите артефакти.

План на курса:

• Тенденции в извършването на кибератаки. Технологии, инструменти, цели на злонамерените лица
• Използване на модели на заплахи за разбиране на тактиките, техниките и процедурите на нападателите
• Кибер убиец верига
• Алгоритъм за реагиране на инциденти: идентификация, локализация, формулиране на индикатори, откриване на нови заразени възли
• Анализ на Windows системи с помощта на BEC
• Откриване на методи за първично заразяване, разпространение в мрежата, закрепване и мрежова активност на зловреден софтуер с помощта на BEC
• Откриване на заразени системи и възстановяване на хронологията на заразяването с помощта на BEC
• Практически занятия

ЧЗВКъде се провеждат курсовете?
Курсовете се провеждат в централния офис на Group-IB или на външна локация (в учебен център). Възможно е треньорът да посети корпоративните клиенти.

Кой провежда занятията?
Треньорите в компанията Group-IB са практици с многогодишен опит в провеждането на криминалистични изследвания, корпоративни разследвания и реакции на инциденти в информационната сигурност.

Квалификациите на треньорите са потвърдени с многобройни международни сертификати: GCFA, MCFE, ACE, EnCE и т.н.

Нашите треньори лесно намират общ език с аудиторията, достъпно обяснявайки дори най-сложните теми. Слушателите получават много актуална и интересна информация за разследването на компютърни инциденти, методи за откриване и противодействие на компютърни атаки, и получават реални практически знания, които могат да приложат веднага след завършване на обучението.

Ще предоставят ли курсовете полезни умения, които не са свързани с продуктите на Belkasoft, или без софтуера тези умения няма да бъдат приложими?
Уменията, получени по време на тренировките, ще бъдат полезни и без използване на продуктите на Belkasoft.

Какво включва първоначалното тестване?

Първичното тестване е тест за познания по основите на компютърната криминалистика. Провеждането на тестиране за познания по продуктите на компаниите Belkasoft и Group-IB не е планирано.

Къде мога да намеря информация за образователните курсове на компанията?

В рамките на образователните курсове Group-IB подготвя специалисти по реагиране на инциденти, изследване на злонамерени програми, специалисти по киберразузнаване (Threat Intelligence), специалисти за работа в Security Operation Center (SOC), специалисти по проактивно търсене на заплахи (Threat Hunter) и др. Пълен списък с авторски курсове от компанията Group-IB е наличен тук.

Какви бонуси получават участниците, завършили съвместните курсове на Group-IB и Belkasoft?
Успешно завършилите съвместните курсове на Group-IB и Belkasoft ще получат:

1. сертификат за завършен курс;
2. безплатна месечна абонаментна услуга за Belkasoft Evidence Center;
3. отстъпка от 10% при закупуване на Belkasoft Evidence Center.

Напомняме, че първият курс стартира в понеделник, 9 септември, — не пропускайте възможността да получите уникални знания в областта на информационната сигурност, компютърната криминалистика и реагиране на инциденти! Записване за курса тук.

ИзточнициПри подготовката на статията беше използвана презентацията на Олег Склулкин „Използване на базирана на хост криминалистика за получаване на индикатори за компрометиране за успешен отговор на инциденти, основан на разузнаване“.

Източник: habr.com