Група-ИБ и Белкасофт заједнички курсеви: шта ћемо предавати и ко ће похађати

Алгоритми и тактике за реаговање на инциденте у информационој безбедности, трендови актуелних сајбер напада, приступи истраживању цурења података у компанијама, истраживање претраживача и мобилних уређаја, анализа шифрованих датотека, издвајање података о геолокацији и аналитика великих количина података – све ове и друге теме може се студирати на новим заједничким курсевима Гроуп-ИБ и Белкасофт. У августу смо најавио први курс Белкасофт дигиталне форензике, који почиње 9. септембра, и пошто смо добили велики број питања, одлучили смо да попричамо детаљније о томе шта ће студенти учити, која знања, компетенције и бонусе (!) ће добити они који доћи до краја. Идемо редом.

Два Све у једном

Идеја о одржавању заједничких курсева за обуку појавила се након што су учесници курса Групе-ИБ почели да се распитују о алату који би им помогао у истраживању компромитованих рачунарских система и мрежа, и комбиновао функционалност различитих бесплатних услужних програма које препоручујемо да користите током реаговања на инцидент.

По нашем мишљењу, такав алат би могао бити Белкасофт Евиденце Центер (већ смо говорили о томе у Чланак Игор Михајлов „Кључ за почетак: најбољи софтвер и хардвер за компјутерску форензику“). Стога смо заједно са Белкасофтом развили два курса обуке: Белкасофт дигитална форензика и Белкасофт испитивање одговора на инциденте.

ВАЖНО: курсеви су узастопни и међусобно повезани! Белкасофт Дигитал Форенсицс је посвећен програму Белкасофт Евиденце Центер, а Белкасофт Инцидент Респонсе Екаминатион је посвећен истрази инцидената који користе Белкасофт производе. То јест, пре проучавања курса Белкасофт Инцидент Респонсе Екаминатион, топло препоручујемо да завршите курс Белкасофт дигиталне форензике. Ако одмах почнете са курсом о истрагама инцидената, ученик може имати досадне празнине у знању у коришћењу Белкасофт Евиденце Центра, проналажењу и испитивању форензичких артефаката. То може довести до чињенице да током обуке на курсу Белкасофт Инцидент Респонсе Екаминатион, студент или неће имати времена да савлада градиво, или ће успорити остатак групе у стицању нових знања, јер ће време обуке бити потрошено од стране тренера који објашњава материјал из курса Белкасофт дигиталне форензике.

Компјутерска форензика са Белкасофт Евиденце Центер

Сврха курса Белкасофт дигитална форензика — упознајте ученике са програмом Белкасофт Евиденце Центер, научите их да користе овај програм за прикупљање доказа из различитих извора (складиштење у облаку, меморија са случајним приступом (РАМ), мобилни уређаји, медији за складиштење (хард дискови, флеш дискови, итд.), мастер основне форензичке технике и технике, методе форензичког испитивања Виндовс артефаката, мобилних уређаја, РАМ депонија. Такође ћете научити да идентификујете и документујете артефакте претраживача и програма за размену тренутних порука, креирате форензичке копије података из различитих извора, издвајате податке о геолокацији и претражујете за текстуалне секвенце (претрага кључних речи), користити хешове приликом спровођења истраживања, анализирати Виндовс регистар, овладати вештинама истраживања непознатих СКЛите база података, основама испитивања графичких и видео датотека и аналитичким техникама које се користе током истраживања.

Курс ће бити од користи стручњацима са специјализацијом из области компјутерске техничке форензике (рачунарска форензика); технички стручњаци који утврђују разлоге за успешан упад, анализирају ланац догађаја и последице сајбер напада; технички стручњаци који идентификују и документују крађу података (цурења) од стране инсајдера (интерног прекршиоца); Специјалисти за е-Дисцовери; Особље СПЦ и ЦЕРТ/ЦСИРТ; запослени у области информационе безбедности; ентузијасти компјутерске форензике.

План курса:

• Белкасофт Евиденце Центер (БЕЦ): први кораци
• Креирање и обрада предмета у БЕЦ
• Прикупите дигиталне доказе за форензичке истраге са БЕЦ-ом

• Коришћење филтера
• Извештавање
• Истраживање о програмима за размену тренутних порука

• Истраживање веб претраживача

• Истраживање мобилних уређаја
• Екстраховање података о геолокацији

• Тражење текстуалних секвенци у падежима
• Екстракција и анализа података из складишта у облаку
• Коришћење обележивача за истицање значајних доказа пронађених током истраживања
• Преглед Виндовс системских датотека

• Анализа Виндовс регистра
• Анализа СКЛите база података

• Методе опоравка података
• Технике за испитивање РАМ депонија
• Коришћење хеш калкулатора и хеш анализе у форензичким истраживањима
• Анализа шифрованих датотека
• Методе проучавања графичких и видео датотека
• Употреба аналитичких техника у форензичким истраживањима
• Аутоматизујте рутинске радње користећи уграђени програмски језик Белкасцриптс

• Практичне вежбе

Курс: Белкасофт Инцидент Респонсе Екаминатион

Сврха курса је да научи основе форензичке истраге сајбер напада и могућности коришћења Белкасофт Евиденце Центра у истрази. Научићете о главним векторима савремених напада на рачунарске мреже, научити да класификујете рачунарске нападе на основу матрице МИТЕР АТТ&ЦК, примените алгоритме истраживања оперативног система да бисте утврдили чињеницу компромитовања и реконструисали акције нападача, научићете где се налазе артефакти који назначите које су датотеке последње отворене, где оперативни систем чува информације о томе како су извршне датотеке преузете и извршене, како су се нападачи кретали кроз мрежу и научите како да испитате ове артефакте користећи БЕЦ. Такође ћете научити који догађаји у системским евиденцијама су од интереса са становишта истраге инцидената и детекције удаљеног приступа, и научићете како да их истражите користећи БЕЦ.

Курс ће бити користан техничким стручњацима који утврђују разлоге за успешан упад, анализирају ланце догађаја и последице сајбер напада; систем администратори; Особље СПЦ и ЦЕРТ/ЦСИРТ; особље за безбедност информација.

Преглед курса

Цибер Килл Цхаин описује главне фазе сваког техничког напада на рачунаре жртве (или рачунарску мрежу) на следећи начин:

Радње запослених у СПЦ (ЦЕРТ, информациона безбедност итд.) усмерене су на спречавање уљеза да приступе заштићеним информационим ресурсима.

Уколико нападачи ипак продру у заштићену инфраструктуру, онда горе наведене особе треба да покушају да минимизирају штету од активности нападача, утврде како је напад изведен, реконструишу догађаје и редослед акција нападача у компромитованој информационој структури и предузму мере за спречавање ове врсте напада у будућности.

Следећи типови трагова се могу наћи у компромитованој информационој инфраструктури, што указује да је мрежа (рачунар) компромитована:

Сви такви трагови могу се пронаћи помоћу програма Белкасофт Евиденце Центер.

БЕЦ има модул “Инцидент Инвестигатион” где се, приликом анализе медија за складиштење, постављају информације о артефактима који могу помоћи истраживачу приликом истраге инцидената.

БЕЦ подржава испитивање главних типова Виндовс артефаката који указују на извршавање извршних датотека на систему који се истражује, укључујући Амцацхе, Усерассист, Префетцх, БАМ/ДАМ датотеке, Виндовс 10 временска линија,анализа системских догађаја.

Информације о траговима које садрже информације о радњама корисника у компромитованом систему могу се представити у следећем облику:

Ове информације, између осталог, укључују информације о покретању извршних датотека:

Информације о покретању датотеке 'РДПВИнст.еке'.

Информације о присуству нападача у компромитованим системима могу се наћи у кључевима за покретање Виндовс регистратора, услугама, заказаним задацима, скриптама за пријаву, ВМИ итд. Примери откривања информација о нападачима који су повезани са системом могу се видети на следећим снимцима екрана:

Ограничавање нападача помоћу планера задатака креирањем задатка који покреће ПоверСхелл скрипту.

Консолидовање нападача користећи Виндовс Манагемент Инструментатион (ВМИ).

Консолидовање нападача помоћу скрипте за пријаву.

Кретање нападача преко компромитоване рачунарске мреже може се открити, на пример, анализом Виндовс системских евиденција (ако нападачи користе РДП услугу).

Информације о откривеним РДП везама.

Информације о кретању нападача широм мреже.

На тај начин, Белкасофт Евиденце Центер може помоћи истраживачима да идентификују компромитоване рачунаре у нападнутој рачунарској мрежи, пронађу трагове покретања малвера, трагове фиксације у систему и кретања по мрежи, као и друге трагове активности нападача на компромитованим рачунарима.

Како спровести такво истраживање и открити горе описане артефакте описано је у курсу обуке Белкасофт Инцидент Респонсе Екаминатион.

План курса:

• Трендови сајбер напада. Технологије, алати, циљеви нападача
• Коришћење модела претњи за разумевање тактике, техника и процедура нападача
• Ланац сајбер убијања
• Алгоритам одговора на инциденте: идентификација, локализација, генерисање индикатора, потрага за новим инфицираним чворовима
• Анализа Виндовс система коришћењем БЕЦ-а
• Откривање метода примарне инфекције, ширења мреже, консолидације и мрежне активности малвера помоћу БЕЦ-а
• Идентификујте заражене системе и вратите историју инфекције користећи БЕЦ
• Практичне вежбе

FAQГде се одржавају курсеви?
Курсеви се одржавају у седишту Групе-ИБ или на екстерном месту (центру за обуку). Могуће је да тренер путује на сајтове са корпоративним клијентима.

Ко води наставу?
Тренери у Гроуп-ИБ су практичари са дугогодишњим искуством у спровођењу форензичких истраживања, корпоративних истрага и реаговања на инциденте у вези са информационом безбедношћу.

Квалификације тренера потврђују бројни међународни сертификати: ГЦФА, МЦФЕ, АЦЕ, ЕнЦЕ итд.

Наши тренери лако проналазе заједнички језик са публиком, јасно објашњавајући и најсложеније теме. Студенти ће научити много релевантних и занимљивих информација о истраживању компјутерских инцидената, методама идентификовања и сузбијања компјутерских напада и стећи право практично знање које могу применити одмах по завршетку студија.

Да ли ће курсеви пружити корисне вештине које нису повезане са Белкасофт производима или ће ове вештине бити неприменљиве без овог софтвера?
Вештине стечене током обуке биће корисне без коришћења Белкасофт производа.

Шта је укључено у почетно тестирање?

Примарно тестирање је провера знања из основа компјутерске форензике. Нема планова за тестирање знања о производима Белкасофт и Гроуп-ИБ.

Где могу пронаћи информације о образовним курсевима компаније?

У оквиру едукативних курсева, Гроуп-ИБ обучава специјалисте за реаговање на инциденте, истраживање малвера, стручњаке за сајбер обавештајну делатност (Тхреат Интеллигенце), специјалисте за рад у Безбедносном оперативном центру (СОЦ), специјалисте за проактивни лов на претње (Тхреат Хунтер) итд. . Доступна је комплетна листа власничких курсева из Гроуп-ИБ овде.

Које бонусе добијају студенти који заврше заједничке курсеве између Гроуп-ИБ и Белкасофта?
Они који су завршили обуку на заједничким курсевима између Гроуп-ИБ и Белкасофта добиће:

1. сертификат о завршеном курсу;
2. бесплатна месечна претплата на Белкасофт Евиденце Центер;
3. 10% попуста на куповину Белкасофт Евиденце Центра.

Подсећамо да први курс почиње у понедељак, КСНУМКС септембар, - не пропустите прилику да стекнете јединствено знање из области информационе безбедности, компјутерске форензике и реаговања на инциденте! Пријава за курс овде.

izvoriУ припреми чланка користили смо презентацију Олега Скулкина „Коришћење форензике засноване на домаћину да бисмо добили показатеље компромиса за успешан одговор на инциденте заснован на обавештајним подацима.“

Извор: ввв.хабр.цом