第1部分 简介 1
第1章 现实生活中的突发事件 1
1.1 影响响应的因素 1
目录 1
1.2 跨国犯罪 2
1.2.1 欢迎来到Invita . 2
1.2.2 PathStar阴谋 3
1.3 传统的黑客行为 4
1.4 小结 6
2.1 计算机安全事件的意义 7
第2章 应急响应过程简介 7
2.2 应急响应的目标 8
2.3 应急响应小组参与人员 8
2.4 应急响应方法 9
2.4.1 事前准备 10
2.4.2 发现事件 11
2.4.3 初始响应 12
2.4.4 制定响应策略 13
2.4.5 调查事件 17
2.4.6 报告 20
2.4.7 解决方案 21
2.5 小结 22
2.6 问题 22
第3章 为应急响应做准备 24
3.1 突发事件预防准备概述 24
3.2 识别风险 25
3.3 单个主机的准备工作 26
3.3.1 记录关键文件的加 密校验和 26
3.3.2 增加或者启用安全审核日志记录 29
3.3.3 增强主机防御 34
3.3.4 备份关键数据 35
3.3.5 对用户进行基于主机的安全教育 37
3.4 准备网络 37
3.4.1 安装防火墙和入侵侦测系统 38
3.4.2 在路由器上使用访问控制列表 38
3.4.3 创建有助于监视的网络拓扑结构 39
3.4.4 加密网络流量 40
3.4.5 要求身份验证 40
3.5 制订恰当的策略和规程 41
3.5.1 决定响应立场 42
3.5.2 理解策略如何辅助调查措施 44
3.5.3 制定可接受的使用策略 49
3.5.4 设计AUP 51
3.5.5 制定应急响应规程 52
3.6 创建响应工具包 53
3.6.1 响应硬件 53
3.6.2 响应软件 54
3.6.3 网络监视平台 54
3.6.4 文档 55
3.7 建立应急响应小组 55
3.7.1 决定小组的任务 55
3.7.2 对小组进行培训 56
3.8 小结 58
3.9 问题 58
第4章 应急响应 59
4.1 初始响应阶段概述 59
4.1.1 获取初步资料 60
4.1.2 应对措施备案 60
4.2 建立突发事件通知程序 60
4.3 记录事发详情 61
4.3.1 初始响应检查表 61
4.4 突发事件声明 63
4.3.2 案例记录 63
4.5 组建CSIRT 64
4.5.1 突发事件升级处理 64
4.5.2 执行突发事件通知 65
4.5.3 审视突发事件并配备合适的资源 66
4.6 执行例行调查步骤 68
4.7 约见 68
4.7.1 获得联系信息 69
4.7.2 约见系统管理员 70
4.7.3 约见管理人员 70
4.8 制定响应策略 71
4.7.4 约见终端用户 71
4.8.1 应对策略注意事项 72
4.8.2 策略验证 72
4.9 小结 73
4.10 问题 73
第2部分 数据收集 74
第5章 Windows系统下的现场数据收集 74
5.1 创建响应工具箱 74
5.1.1 常用响应工具 75
5.1.2 准备工具箱 76
5.2.1 用netcat传输数据 77
5.2 保存初始响应信息 77
5.2.2 使用cryptcat加密数据 79
5.3 获取易失性数据 79
5.3.1 组织并备案调查过程 80
5.3.2 收集易失性数据 81
5.3.3 编写初始响应脚本 89
5.4 进行深入的现场响应 90
5.4.1 收集最易失的数据 90
5.4.3 收集现场响应数据 91
5.4.2 创建深入的调查工具箱 91
5.5 制作司法鉴定复件的必要性 97
5.6 小结 98
5.7 问题 98
第6章 Unix系统下的现场数据收集 99
6.1 创建响应工具包 99
6.2 保存初始响应信息 100
6.3 在进行司法鉴定复制之前获得易失性数据 101
6.3.1 收集数据 101
6.4 进行深入的现场响应 110
6.4.1 侦测可装载内核模块rootkit 110
6.3.2 编写初始响应脚本 110
6.4.2 获得现场系统日志 112
6.4.3 获得重要的配置文件 113
6.4.4 查找系统中的非法嗅探器 113
6.4.5 查看／proc件系统 116
6.4.6 转储系统内存 119
6.5 小结 120
6.6 问题 121
第7章 司法鉴定复件 122
7.1 可作为呈堂作证的司法鉴定复件 122
7.1.3 被恢复的映像 123
7.1.1 司法鉴定复件 123
7.1.2 合格的司法鉴定复件 123
7.1.4 镜像 124
7.2 司法鉴定复制工具的要求 125
7.3 制作硬盘的司法鉴定复件 126
7.3.1 用dd和dcfldd复制 127
7.3.2 用开放数据复制工具进行复制 128
7.4 制作合格的司法鉴定硬盘复件 132
7.4.1 制作引导盘 132
7.4.2 用SafeBack制作合格的司法鉴定复件 134
7.4.3 用EnCase制作合格的司法鉴定复件 136
7.5 小结 139
7.6 问题 140
第8章 收集网络证据 141
8.1 网络证据 141
8.2 网络监视的目的 141
8.3 网络监视的类型 142
8.3.1 事件监视 142
8.3.2 陷阱跟踪监视 142
8.3.3 全内容监视 143
8.4 安装网络监视系统 144
8.4.1 确定监视的目标 144
8.4.2 选择合适的硬件 145
8.4.3 选择合适的软件 147
8.4.4 部署网络监视器 150
8.4.5 评价网络监视器 151
8.5 执行陷阱跟踪 152
8.5.1 用tcpdump进行陷阱跟踪 153
8.5.2 用WinDump进行陷阱跟踪 155
8.5.3 创建陷阱跟踪输出文件 155
8.6 用tcpdump进行全内容监视 156
8.6.1 过滤全内容数据 157
8.6.2 保存全内容数据文件 157
8.7 收集网络日志文件 158
8.9 问题 159
8.8 小结 159
第9章 证据处理 161
9.1 证据 161
9.1.1 最优证据规则 162
9.1.2 原始证据 162
9.2 证据处理 162
9.2.1 证据鉴定 163
9.2.2 保管链 163
9.2.3 据确认 164
9.3.1 证据系统描述 165
9.3 证据处理程序概述 165
9.3.2 数码照片 167
9.3.3 证据标签 167
9.3.4 证据标记 169
9.3.5 证据存储 169
9.3.6 证据日志 171
9.3.7 工作副本 172
9.3.8 证据备份 172
9.3.9 证据处置 173
9.3.10 证据管理员审核 173
9.5 问题 174
9.4 小结 174
第3部分 数据分析 175
第10章 计算机系统存储基础 175
10.1 硬盘与接口 175
10.1.1 快速发展的ATA标准 176
10.1.2 SCSI 179
10.2 准备硬盘 182
10.2.1 擦除存储介质 182
10.2.2 磁盘的分区和格式化 183
10.3 文件系统和存储层介绍 186
10.3.2 数据分类层 187
10.3.1 物理层 187
10.3.3 分配单元层 188
10.3.4 存储空间管理层 189
10.3.5 信息分类层和应用级存储层 190
10.4 小结 190
10.5 问题 191
第11章 数据分析技术 192
11.1 司法鉴定分析的准备工作 192
11.2 恢复司法鉴定复件 193
11.2.1 恢复硬盘的司法鉴定复件 193
11.2.2 恢复硬盘的合格司法鉴定复件 195
11.3 在Linux下准备分析用的司法鉴定复件 199
11.3.1 检查司法鉴定复件文件 201
11.3.2 联系司法鉴定复件文件与Linux环回设备 202
11.4 用司法鉴定套件检查映像文件 204
11.4.1 在EnCase中检查司法鉴定复件 204
11.4.2 在ForensicToolkit中检查司法鉴定复件 205
11.5 将合格的司法鉴定复件转换成司法鉴定复件 207
11.6 在Windows系统中恢复被删除的文件 209
11.6.1 使用基于Windows系统的工具来恢复FAT文件系统中的文件 209
11.6.2 使用Linux工具来恢复FAT文件系统中的文件 209
11.6.3 使用文件恢复的图形用户界面：Autopsy 213
11.6.4 使用Foremost恢复丢失的文件 216
11.6.5 在Unix系统中恢复被删除的文件 218
11.7 恢复未分配空间、自由空间和松弛空间 223
11.8 生成文件列表 225
11.8.1 列出文件的元数据 225
11.8.2 识别已知系统文件 228
11.9 准备用于查找字符串的驱动器 228
11.10 小结 233
11.11 问题 233
12.1 Windows系统中的证据存放位置 235
第12章 调查Windows系统 235
12.2 调查Windows 236
12.2.1 检查所有相关日志 236
12.2.2 进行关键字搜索 243
12.2.3 检查相关文件 244
12.2.4 识别未授权的用户账户或用户组 258
12.2.6 识别恶意进程 259
12.2.7 查找异常或隐藏的文件 260
12.2.8 检查未授权的访问点 261
12.2.9 检查由计划程序服务所运行的任务 264
12.2.10 分析信任关系 265
12.2.11 检查安全标识符 266
12.3 文件审核和信息窃取 266
12.4 对离职雇员的处理 268
12.4.1 检查搜索内容和使用过的文件 268
12.4.2 在硬盘上进行字符串搜索 269
12.5 小结 269
12.6 问题 269
第13章 调查Unix系统 270
13.1 Unix调查步骤概述 270
1 3.2.1 网络日志 271
13.2 审查相关日志 271
13.2.2 主机日志记录 274
13.2.3 用户操作日志 275
13.3 搜索关键字 276
13.3.1 使用grep进行字符串搜索 277
13.3.2 使用find命令进行文件搜索 278
13.4 审查相关文件 278
13.4.1 事件时间和时间／日期戳 279
13.4.2 特殊文件 280
13.5.2 组账户调查 284
13.5.1 用户账户调查 284
13.5 识别未经授权的用户账户或用户组 284
13.6 识别恶意进程 285
13.7 检查未经授权的访问点 286
13.8 分析信任关系 286
13.9 检测可加载木马程序的内核模块 287
13.9.1 现场系统上的LKM 287
13.9.2 LKM元素 288
13.9.3 LKM检测工具 289
13.10 小结 292
13.11 问题 292
14.1.1 网络通信分析工具 293
第14章 网络通信分析 293
14.1 寻找基于网络的证据 293
14.1.2 检查用tcpdump收集的网络通信 294
14.2 用tcptrace生成会话数据 295
14.2.1 分析捕获文件 295
14.2.2 解释tcptrace输出 297
14.2.3 用Snort提取事件数据 298
14.2.4 检查SYN数据包 298
14.2.5 解释Snort输出 302
14.3 用tcpflow重组会话 302
14.3.2 解释tcpflow输出 303
14.3.1 FTP会话 303
14.3.3 查看SSH会话 307
14.4 用Ethereal重组会话 309
14.5 改进tcpdump过滤器 311
14.6 小结 312
14.7 问题 312
第15章 黑客工具研究 317
15.1 工具分析的目的 317
15.2 文件编译方式 317
15.2.2 动态链接的程序 318
15.2.1 静态链接的程序 318
15.2.3 用调试选项编译程序 319
15.2.4 精简化的程序 320
15.2.5 用UPX压缩的程序 320
15.2.6 编译技术和文件分析 322
15.3 黑客工具的静态分析 324
15.3.1 确定文件类型 325
15.3.2 检查ASCII和Unicode字符串 326
15.3.3 在线研究 328
15.4.1 创建沙箱环境 329
15.4 黑客工具的动态分析 329
15.3.4 检查源代码 329
15.4.2 Unix系统上的动态分析 331
15.4.3 Windows系统下的动态分析 339
15.5 小结 343
15.6 问题 343
第16章 研究路由器 344
16.1 在关机之前获得易失性数据 344
16.1.1 建立路由器连接 345
16.1.2 记录系统时间 345
16.1.3 判断登录到路由器的人 345
16.1.4 确定路由器的正常运行时间 346
16.1.5 判断侦听套接字 347
16.1.6 保存路由器的配置 348
16.1.7 查看路由表 349
16.1.8 检查接口配置 350
16.1.9 查看ARP缓存 350
16.2 寻找证据 351
16.2.1 处理直接威胁事件 351
16.2.2 处理路由表操纵事件 353
16.2.3 处理信息失窃事件 353
16.2.4 处理拒绝服务攻击 354
16.3.1 理解访问控制列表 355
16.3 用路由器作为响应工具 355
16.3.2 用路由器进行监测 357
16.3.3 响应DDoS攻击 358
16.4 小结 359
16.5 问题 359
第17章 撰写计算机司法鉴定报告 360
17.1 什么是计算机司法鉴定报告 360
17.1.1 什么是鉴定报告 360
17.1.2 报告的目标 361
17.2 撰写报告的指导方针 362
17.2.2 了解分析目的 363
17.2.1 迅速并清楚地记录调查步骤 363
17.2.3 组织报告 364
17.2.4 使用模板 364
17.2.5 使用一致的标识符 365
17.2.6 使用附件和附录 365
17.2.7 让同事阅读报告 365
17.2.8 使用MD5哈希 366
17.2.9 包括元数据 366
17.3 计算机司法鉴定报告模板 367
17.3.2 目标 368
17.3.1 执行摘要 368
17.3.3 经过分析的计算机证据 369
17.3.4 相关调查结果 370
17.3.5 支持性细节 370
17.3.6 调查线索 372
17.3.7 附加的报告部分 373
17.4 小结 374
17.5 问题 374
第4部分 附录 375
附录A 问题解答 375
附录B 应急响应表格 393