Algorithmau a thactegau ar gyfer ymateb i ddigwyddiadau diogelwch gwybodaeth, tueddiadau mewn ymosodiadau seiber cyfredol, dulliau o ymchwilio i ollyngiadau data mewn cwmnïau, ymchwilio i borwyr a dyfeisiau symudol, dadansoddi ffeiliau wedi'u hamgryptio, echdynnu data geolocation a dadansoddeg symiau mawr o ddata - y rhain i gyd a phynciau eraill gellir ei astudio ar gyrsiau newydd ar y cyd rhwng Group-IB a Belkasoft. Ym mis Awst rydym cwrs Fforensig Digidol cyntaf Belkasoft, sy’n dechrau ar Fedi 9, ac ar ôl derbyn nifer fawr o gwestiynau, fe benderfynon ni siarad yn fanylach am yr hyn y bydd myfyrwyr yn ei astudio, pa wybodaeth, cymwyseddau a bonysau (!) fydd yn cael eu derbyn gan y rhai a fydd yn cyrraedd y diwedd. Pethau cyntaf yn gyntaf.
Dau Pawb yn un
Ymddangosodd y syniad o gynnal cyrsiau hyfforddi ar y cyd ar ôl i gyfranogwyr y cwrs Grŵp-IB ddechrau holi am declyn a fyddai’n eu helpu i ymchwilio i systemau a rhwydweithiau cyfrifiadurol sydd wedi’u peryglu, a chyfuno ymarferoldeb cyfleustodau amrywiol am ddim yr ydym yn argymell eu defnyddio yn ystod ymateb i ddigwyddiad .
Yn ein barn ni, gallai teclyn o'r fath fod yn Ganolfan Dystiolaeth Belkasoft (rydym eisoes wedi siarad amdano yn Igor Mikhailov “Allweddol i'r cychwyn: y meddalwedd a'r caledwedd gorau ar gyfer fforensig cyfrifiadurol”). Felly, rydym ni, ynghyd â Belkasoft, wedi datblygu dau gwrs hyfforddi: Fforensig Digidol Belkasoft и Archwiliad Ymateb i Ddigwyddiad Belkasoft.
PWYSIG: mae'r cyrsiau'n ddilyniannol ac yn rhyng-gysylltiedig! Mae Fforensig Digidol Belkasoft yn ymroddedig i raglen Canolfan Dystiolaeth Belkasoft, ac mae Archwiliad Ymateb i Ddigwyddiad Belkasoft yn ymroddedig i ymchwilio i ddigwyddiadau gan ddefnyddio cynhyrchion Belkasoft. Hynny yw, cyn astudio cwrs Arholiad Ymateb i Ddigwyddiad Belkasoft, rydym yn argymell yn gryf cwblhau cwrs Fforensig Digidol Belkasoft. Os dechreuwch ar unwaith gyda chwrs ar ymchwilio i ddigwyddiadau, efallai y bydd gan y myfyriwr fylchau gwybodaeth annifyr wrth ddefnyddio Canolfan Dystiolaeth Belkasoft, i ddod o hyd i arteffactau fforensig a'u harchwilio. Gall hyn arwain at y ffaith, yn ystod hyfforddiant ar gwrs Arholiad Ymateb i Ddigwyddiad Belkasoft, na fydd y myfyriwr naill ai'n cael amser i feistroli'r deunydd, neu'n arafu gweddill y grŵp i gaffael gwybodaeth newydd, gan y bydd yr amser hyfforddi yn cael ei dreulio. gan yr hyfforddwr yn esbonio'r deunydd o'r cwrs Fforensig Digidol Belkasoft.
Fforensig cyfrifiadurol gyda Chanolfan Dystiolaeth Belkasoft
Pwrpas y cwrs Fforensig Digidol Belkasoft — cyflwyno myfyrwyr i raglen Canolfan Dystiolaeth Belkasoft, eu haddysgu i ddefnyddio'r rhaglen hon i gasglu tystiolaeth o ffynonellau amrywiol (storio cwmwl, cof mynediad ar hap (RAM), dyfeisiau symudol, cyfryngau storio (gyriannau caled, gyriannau fflach, ac ati), meistr technegau fforensig sylfaenol, dulliau archwilio fforensig o arteffactau Windows, dyfeisiau symudol, dympiau RAM. Byddwch hefyd yn dysgu adnabod a dogfennu arteffactau porwyr a rhaglenni negeseuon gwib, creu copïau fforensig o ddata o ffynonellau amrywiol, echdynnu data geolocation a chwilio ar gyfer dilyniannau testun (chwilio yn ôl allweddeiriau), defnyddio hashes wrth wneud ymchwil, dadansoddi cofrestrfa Windows, meistroli sgiliau archwilio cronfeydd data SQLite anhysbys, hanfodion archwilio ffeiliau graffeg a fideo, a thechnegau dadansoddol a ddefnyddir yn ystod ymchwiliadau.
Bydd y cwrs yn ddefnyddiol i arbenigwyr sy'n arbenigo ym maes fforensig technegol cyfrifiadurol (fforensig cyfrifiadurol); arbenigwyr technegol sy'n pennu'r rhesymau dros ymyrraeth lwyddiannus, yn dadansoddi'r gadwyn o ddigwyddiadau a chanlyniadau ymosodiadau seiber; arbenigwyr technegol yn nodi ac yn dogfennu lladrad data (gollyngiadau) gan rywun mewnol (troseddwr mewnol); arbenigwyr e-ddarganfod; staff SOC a CERT/CSIRT; gweithwyr diogelwch gwybodaeth; selogion fforensig cyfrifiadurol.
Cynllun cwrs:
- Canolfan Dystiolaeth Belkasoft (BEC): camau cyntaf
- Creu a phrosesu achosion yn BEC
- Casglu tystiolaeth ddigidol ar gyfer ymchwiliadau fforensig gyda BEC
- Defnyddio hidlwyr
- Cynhyrchu adroddiadau
- Ymchwil ar Raglenni Negeseuon Gwib
- Ymchwil Porwr Gwe
- Ymchwil Dyfeisiau Symudol
- Tynnu data geolocation
- Chwilio am ddilyniannau testun mewn achosion
- Tynnu a dadansoddi data o storfeydd cwmwl
- Defnyddio nodau tudalen i amlygu tystiolaeth arwyddocaol a ganfuwyd yn ystod ymchwil
- Archwilio ffeiliau system Windows
- Dadansoddiad Cofrestrfa Windows
- Dadansoddiad o gronfeydd data SQLite
- Dulliau Adfer Data
- Technegau ar gyfer archwilio tomenni RAM
- Defnyddio cyfrifiannell hash a dadansoddiad hash mewn ymchwil fforensig
- Dadansoddiad o ffeiliau wedi'u hamgryptio
- Dulliau ar gyfer astudio ffeiliau graffig a fideo
- Y defnydd o dechnegau dadansoddol mewn ymchwil fforensig
- Awtomeiddio gweithredoedd arferol gan ddefnyddio'r iaith raglennu Belkascripts adeiledig
- Gwersi ymarferol
Cwrs: Arholiad Ymateb i Ddigwyddiad Belkasoft
Pwrpas y cwrs yw dysgu hanfodion ymchwiliad fforensig i ymosodiadau seiber a’r posibiliadau o ddefnyddio Canolfan Dystiolaeth Belkasoft mewn ymchwiliad. Byddwch yn dysgu am brif fectorau ymosodiadau modern ar rwydweithiau cyfrifiadurol, yn dysgu dosbarthu ymosodiadau cyfrifiadurol yn seiliedig ar fatrics MITER ATT&CK, cymhwyso algorithmau ymchwil system weithredu i sefydlu ffaith cyfaddawdu ac ail-greu gweithredoedd ymosodwyr, dysgu ble mae arteffactau wedi'u lleoli. nodi pa ffeiliau a agorwyd ddiwethaf , lle mae'r system weithredu yn storio gwybodaeth am sut y cafodd ffeiliau gweithredadwy eu llwytho i lawr a'u gweithredu, sut roedd ymosodwyr yn symud ar draws y rhwydwaith, a dysgu sut i archwilio'r arteffactau hyn gan ddefnyddio BEC. Byddwch hefyd yn dysgu pa ddigwyddiadau mewn logiau system sydd o ddiddordeb o safbwynt ymchwilio i ddigwyddiadau a chanfod mynediad o bell, a dysgu sut i ymchwilio iddynt gan ddefnyddio BEC.
Bydd y cwrs yn ddefnyddiol i arbenigwyr technegol sy'n pennu'r rhesymau dros ymyrraeth lwyddiannus, yn dadansoddi cadwyni o ddigwyddiadau a chanlyniadau ymosodiadau seibr; gweinyddwyr systemau; staff SOC a CERT/CSIRT; staff diogelwch gwybodaeth.
Trosolwg o'r Cwrs
Mae Cyber Kill Chain yn disgrifio prif gamau unrhyw ymosodiad technegol ar gyfrifiaduron (neu rwydwaith cyfrifiadurol) y dioddefwr fel a ganlyn:
Mae gweithredoedd gweithwyr SOC (CERT, diogelwch gwybodaeth, ac ati) wedi'u hanelu at atal tresmaswyr rhag cyrchu adnoddau gwybodaeth gwarchodedig.
Os yw ymosodwyr yn treiddio i'r seilwaith gwarchodedig, yna dylai'r personau uchod geisio lleihau'r difrod o weithgareddau'r ymosodwyr, penderfynu sut y cynhaliwyd yr ymosodiad, ail-greu digwyddiadau a dilyniant gweithredoedd yr ymosodwyr yn y strwythur gwybodaeth dan fygythiad, a chymryd mesurau i atal y math hwn o ymosodiad yn y dyfodol.
Mae’r mathau canlynol o olion i’w gweld mewn seilwaith gwybodaeth dan fygythiad, sy’n dangos bod y rhwydwaith (cyfrifiadur) wedi’i beryglu:
Gellir dod o hyd i bob olion o'r fath gan ddefnyddio rhaglen Canolfan Dystiolaeth Belkasoft.
Mae gan BEC fodiwl “Ymchwiliad i Ddigwyddiad”, lle, wrth ddadansoddi cyfryngau storio, gosodir gwybodaeth am arteffactau a all helpu'r ymchwilydd wrth ymchwilio i ddigwyddiadau.
Mae BEC yn cefnogi archwilio'r prif fathau o arteffactau Windows sy'n nodi gweithrediad ffeiliau gweithredadwy ar y system sy'n cael ei hymchwilio, gan gynnwys ffeiliau Amcache, Userassist, Prefetch, BAM/DAM, , dadansoddiad o ddigwyddiadau system.
Gellir cyflwyno gwybodaeth am olion sy'n cynnwys gwybodaeth am weithredoedd defnyddwyr mewn system dan fygythiad yn y ffurf ganlynol:
Mae'r wybodaeth hon, ymhlith pethau eraill, yn cynnwys gwybodaeth am redeg ffeiliau gweithredadwy:
Gwybodaeth am redeg y ffeil 'RDPWInst.exe'.
Gellir dod o hyd i wybodaeth am bresenoldeb ymosodwyr mewn systemau dan fygythiad yn allweddi cychwyn cofrestrfa Windows, gwasanaethau, tasgau wedi'u hamserlennu, sgriptiau mewngofnodi, WMI, ac ati. Mae enghreifftiau o ganfod gwybodaeth am ymosodwyr yn cael eu cysylltu â'r system i'w gweld yn y sgrinluniau canlynol:
Cyfyngu ar ymosodwyr rhag defnyddio'r trefnydd tasgau trwy greu tasg sy'n rhedeg sgript PowerShell.
Cydgrynhoi ymosodwyr gan ddefnyddio Windows Management Instrumentation (WMI).
Cydgrynhoi ymosodwyr gan ddefnyddio sgript Logon.
Gellir canfod symudiad ymosodwyr ar draws rhwydwaith cyfrifiadurol dan fygythiad, er enghraifft, trwy ddadansoddi logiau system Windows (os yw'r ymosodwyr yn defnyddio'r gwasanaeth RDP).
Gwybodaeth am gysylltiadau RDP a ganfuwyd.
Gwybodaeth am symudiad ymosodwyr ar draws y rhwydwaith.
Felly, gall Canolfan Dystiolaeth Belkasoft helpu ymchwilwyr i nodi cyfrifiaduron dan fygythiad mewn rhwydwaith cyfrifiadurol yr ymosodwyd arno, dod o hyd i olion lansiad malware, olion sefydlogi yn y system a symudiad ar draws y rhwydwaith, ac olion eraill o weithgarwch ymosodwyr ar gyfrifiaduron dan fygythiad.
Disgrifir sut i gynnal ymchwil o'r fath a chanfod yr arteffactau a ddisgrifir uchod yng nghwrs hyfforddi Arholiad Ymateb i Ddigwyddiad Belkasoft.
Cynllun cwrs:
- Tueddiadau cyberattack. Technolegau, offer, nodau ymosodwyr
- Defnyddio modelau bygythiad i ddeall tactegau, technegau a gweithdrefnau ymosodwr
- Cadwyn lladd seiber
- Algorithm ymateb i ddigwyddiad: adnabod, lleoleiddio, cynhyrchu dangosyddion, chwilio am nodau heintiedig newydd
- Dadansoddiad o systemau Windows gan ddefnyddio BEC
- Canfod dulliau o haint sylfaenol, lledaeniad rhwydwaith, cydgrynhoi, a gweithgaredd rhwydwaith o malware gan ddefnyddio BEC
- Nodi systemau heintiedig ac adfer hanes haint gan ddefnyddio BEC
- Gwersi ymarferol
Cwestiynau CyffredinBle mae'r cyrsiau'n cael eu cynnal?
Cynhelir cyrsiau ym mhencadlys Group-IB neu mewn safle allanol (canolfan hyfforddi). Mae'n bosibl i hyfforddwr deithio i safleoedd gyda chwsmeriaid corfforaethol.
Pwy sy'n cynnal y dosbarthiadau?
Mae hyfforddwyr yn Group-IB yn ymarferwyr sydd â blynyddoedd lawer o brofiad o gynnal ymchwil fforensig, ymchwiliadau corfforaethol ac ymateb i ddigwyddiadau diogelwch gwybodaeth.
Mae cymwysterau hyfforddwyr yn cael eu cadarnhau gan nifer o dystysgrifau rhyngwladol: GCFA, MCFE, ACE, EnCE, ac ati.
Mae ein hyfforddwyr yn hawdd dod o hyd i iaith gyffredin gyda'r gynulleidfa, gan esbonio'n glir hyd yn oed y pynciau mwyaf cymhleth. Bydd myfyrwyr yn dysgu llawer o wybodaeth berthnasol a diddorol am ymchwilio i ddigwyddiadau cyfrifiadurol, dulliau o adnabod a gwrthsefyll ymosodiadau cyfrifiadurol, a chael gwybodaeth ymarferol go iawn y gallant ei defnyddio yn syth ar ôl graddio.
A fydd y cyrsiau'n darparu sgiliau defnyddiol nad ydynt yn gysylltiedig â chynhyrchion Belkasoft, neu a fydd y sgiliau hyn yn amherthnasol heb y feddalwedd hon?
Bydd y sgiliau a enillwyd yn ystod yr hyfforddiant yn ddefnyddiol heb ddefnyddio cynhyrchion Belkasoft.
Beth sy'n cael ei gynnwys yn y profion cychwynnol?
Mae profion cynradd yn brawf o wybodaeth am hanfodion fforensig cyfrifiadurol. Nid oes unrhyw gynlluniau i brofi gwybodaeth am gynhyrchion Belkasoft a Group-IB.
Ble alla i ddod o hyd i wybodaeth am gyrsiau addysgol y cwmni?
Fel rhan o gyrsiau addysgol, mae Group-IB yn hyfforddi arbenigwyr mewn ymateb i ddigwyddiadau, ymchwil malware, arbenigwyr seiber-wybodaeth (Threat Intelligence), arbenigwyr i weithio yn y Ganolfan Gweithredu Diogelwch (SOC), arbenigwyr mewn hela bygythiadau rhagweithiol (Threat Hunter), ac ati. . Mae rhestr gyflawn o gyrsiau perchnogol gan Group-IB ar gael .
Pa fonysau y mae myfyrwyr sy'n cwblhau cyrsiau ar y cyd rhwng Group-IB a Belkasoft yn eu derbyn?
Bydd y rhai sydd wedi cwblhau hyfforddiant mewn cyrsiau ar y cyd rhwng Group-IB a Belkasoft yn derbyn:
- tystysgrif cwblhau'r cwrs;
- tanysgrifiad misol am ddim i Ganolfan Dystiolaeth Belkasoft;
- Gostyngiad o 10% ar brynu Canolfan Dystiolaeth Belkasoft.
Rydym yn eich atgoffa bod y cwrs cyntaf yn dechrau ddydd Llun, 9 Medi, - peidiwch â cholli'r cyfle i ennill gwybodaeth unigryw ym maes diogelwch gwybodaeth, fforensig cyfrifiadurol ac ymateb i ddigwyddiadau! Cofrestru ar gyfer y cwrs .
FfynonellauWrth baratoi'r erthygl, fe wnaethom ddefnyddio'r cyflwyniad gan Oleg Skulkin “Defnyddio fforensig yn seiliedig ar westeiwr i gael dangosyddion cyfaddawdu ar gyfer ymateb llwyddiannus i ddigwyddiadau a yrrir gan gudd-wybodaeth.”
Ffynhonnell: hab.com