Сетевая криминалистика

This article needs additional citations for verification. Please help improve this article by adding citations to reliable sources. Unsourced material may be challenged and removed. Find sources: "Network forensics" – news · newspapers · books · scholar · JSTOR (April 2011) (Learn how and when to remove this message)

Part of a series on
Forensic science
Physiological Anthropology Biology Bloodstain pattern analysis Dentistry DNA phenotyping DNA profiling Forensic genealogy Entomology Epidemiology Limnology Medicine Palynology Pathology Podiatry Toxicology
Social Psychiatry Psychology Psychotherapy Social work Verbal autopsy
Criminalistics Accounting Body identification Chemistry Colorimetry Election forensics Facial reconstruction Fingerprint analysis Firearm examination Footwear evidence Forensic arts Profiling Gloveprint analysis Palmprint analysis Questioned document examination Vein matching Forensic geophysics Forensic geology Social network analysis
Digital forensics Computer exams Data analysis Database study Malware analysis Mobile devices Network analysis Photography Video analysis Audio analysis
Related disciplines Electrical engineering Engineering Fire investigation Fire accelerant detection Fractography Linguistics Materials engineering Polymer engineering Statistics Traffic collision reconstruction
Related articles Crime scene CSI effect DNA in forensic entomology Perry Mason syndrome Pollen calendar Skid mark Trace evidence
Outline Category
v t e

Сетевая криминалистика — это подраздел цифровой криминалистики, относящийся к мониторингу и анализу трафика компьютерных сетей в целях сбора информации, юридических доказательств или обнаружения вторжений . ^[1] В отличие от других областей цифровой криминалистики, сетевые расследования имеют дело с изменчивой и динамической информацией. Сетевой трафик передается, а затем теряется, поэтому сетевая криминалистика часто является упреждающим расследованием. ^[2]

Сетевая криминалистика обычно имеет два применения. Первое, связанное с безопасностью, включает мониторинг сети на предмет аномального трафика и выявление вторжений. Злоумышленник может стереть все файлы журналов на скомпрометированном хосте; таким образом, сетевые доказательства могут быть единственными доказательствами, доступными для криминалистического анализа. ^[3] Вторая форма относится к правоохранительным органам. В этом случае анализ захваченного сетевого трафика может включать такие задачи, как повторная сборка переданных файлов, поиск ключевых слов и разбор человеческого общения, такого как электронные письма или сеансы чата.

Для сбора сетевых данных обычно используются две системы: метод грубой силы «поймай, как сможешь» и более интеллектуальный метод «остановись, посмотри, послушай».

Сетевая криминалистика — сравнительно новая область криминалистики. Растущая популярность Интернета в домах означает, что вычисления стали сетецентричными, и данные теперь доступны за пределами цифровых доказательств на дисках . Сетевая криминалистика может проводиться как отдельное расследование или вместе с компьютерным криминалистическим анализом (где она часто используется для выявления связей между цифровыми устройствами или реконструкции того, как было совершено преступление). ^[2]

Маркусу Рануму приписывают определение сетевой криминалистики как «захвата, записи и анализа сетевых событий с целью обнаружения источника атак на безопасность или других проблемных инцидентов» ^{[4] .}

По сравнению с компьютерной криминалистикой, где доказательства обычно сохраняются на диске, сетевые данные более изменчивы и непредсказуемы. У следователей часто есть только материал для изучения, были ли установлены пакетные фильтры, брандмауэры и системы обнаружения вторжений для предупреждения нарушений безопасности. ^[2]

Системы, используемые для сбора сетевых данных для судебно-медицинской экспертизы, обычно бывают двух видов: ^[5]

• "Catch-it-as-you-can" – это когда все пакеты, проходящие через определенную точку трафика, захватываются и записываются в хранилище с последующим анализом в пакетном режиме. Этот подход требует больших объемов хранилища.
• "Остановись, посмотри и послушай" – это когда каждый пакет анализируется элементарным способом в памяти, и только определенная информация сохраняется для будущего анализа. Этот подход требует более быстрого процессора , чтобы справляться с входящим трафиком.

Apt all data на этом уровне позволяет пользователю фильтровать различные события. С помощью этих инструментов страницы веб-сайтов, вложения электронной почты и другой сетевой трафик могут быть реконструированы только в том случае, если они передаются или принимаются незашифрованными. Преимущество сбора этих данных заключается в том, что они напрямую связаны с хостом. Если, например, известен IP-адрес или MAC-адрес хоста в определенное время, все данные, отправленные на этот IP-адрес или MAC-адрес или с него, могут быть отфильтрованы.

Чтобы установить связь между IP и MAC-адресом, полезно более подробно рассмотреть вспомогательные сетевые протоколы. Таблицы протокола разрешения адресов (ARP) содержат список MAC-адресов с соответствующими IP-адресами.

Для сбора данных на этом уровне сетевая интерфейсная карта (NIC) хоста может быть переведена в « беспорядочный режим ». При этом весь трафик будет передаваться на ЦП, а не только трафик, предназначенный для хоста.

Однако если злоумышленник или атакующий знает, что его соединение может прослушиваться, он может использовать шифрование для защиты своего соединения. В наши дни практически невозможно взломать шифрование, но тот факт, что соединение подозреваемого с другим хостом все время зашифровано, может указывать на то, что другой хост является сообщником подозреваемого.

На сетевом уровне Интернет-протокол (IP) отвечает за направление пакетов, сгенерированных TCP, через сеть (например, Интернет), добавляя информацию об источнике и месте назначения, которая может быть интерпретирована маршрутизаторами по всей сети. Сотовые цифровые пакетные сети, такие как GPRS , используют похожие протоколы, такие как IP, поэтому методы, описанные для IP, работают и с ними.

Для правильной маршрутизации каждый промежуточный маршрутизатор должен иметь таблицу маршрутизации, чтобы знать, куда отправить пакет дальше. Эти таблицы маршрутизации являются одним из лучших источников информации при расследовании цифрового преступления и попытке выследить злоумышленника. Для этого необходимо проследить пакеты злоумышленника, изменить маршрут отправки и найти компьютер, с которого пришел пакет (т. е. злоумышленника).

Учитывая распространение шифрования TLS в Интернете, по ^[update]оценкам на апрель 2021 года половина всех вредоносных программ использует TLS для обхода обнаружения. ^[6] Анализ зашифрованного трафика проверяет трафик для идентификации зашифрованного трафика, поступающего от вредоносных программ и других угроз, путем обнаружения подозрительных комбинаций характеристик TLS, обычно в необычных сетях ^[7] или серверах. ^[8] Другой подход к анализу зашифрованного трафика использует сгенерированную базу данных отпечатков пальцев, ^[9] хотя эти методы подвергались критике за то, что их легко обходят хакеры ^{[10] [11]} и что они неточны.

Интернет может быть богатым источником цифровых доказательств, включая просмотр веб-страниц, электронную почту, новостные группы , синхронный чат и одноранговый трафик. Например, журналы веб-сервера могут использоваться для того, чтобы показать, когда (или если) подозреваемый получил доступ к информации, связанной с преступной деятельностью. Учетные записи электронной почты часто могут содержать полезные доказательства; но заголовки электронной почты легко подделываются, и поэтому сетевая криминалистика может использоваться для доказательства точного происхождения инкриминирующего материала. Сетевая криминалистика также может использоваться для того, чтобы выяснить, кто использует конкретный компьютер ^[12], путем извлечения информации об учетной записи пользователя из сетевого трафика.

Беспроводная криминалистика — это подраздел сетевой криминалистики. Основная цель беспроводной криминалистики — предоставить методологию и инструменты, необходимые для сбора и анализа (беспроводного) сетевого трафика , который может быть представлен в качестве действительного цифрового доказательства в суде. Собранные доказательства могут соответствовать простым данным или, при широком использовании технологий Voice-over-IP (VoIP), особенно по беспроводной связи, могут включать голосовые разговоры.

Анализ трафика беспроводной сети аналогичен анализу трафика проводных сетей, однако могут быть приняты во внимание дополнительные меры безопасности беспроводной сети .

• Обзор сетевых криминалистических инструментов и наборов данных (2021)
• Криминалистика Вики (2010)