�а�ледники Холм�а. �збука криминали�тики

[Igor Michailov]

Соб�твенно �абжи по теме
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Mount Image Pro. Руководство пользователя на русском языке (для версии 1.05).

Введение в Mount Image Pro

Mount Image Pro - утилита для судебных экспертов и специалистов по восстановлению данных, которая может монтировать образы накопителей как логические диски в ОС Windows.


Особенности
• Новое! Отображение свойств образов (файл-образы накопителей) EnCase и SMART в детальном представлении программы Проводник Windows.
• Новое! Отображение свойств образов EnCase и SMART при наведении указателя мыши на образ.
• Новое! Отображение свойств образов EnCase и SMART в панели «Свойства» (“Properties”) программы Проводник Windows
• Монтирование файлов-образов EnCase® . Поддержка версий 2, 3 и 4, включая сжатые, и образы, защищённые паролём.
• Монтирование файлов-образов SMART .
• Монтирование файлов-образов в формате raw, например, созданных с использованием программы “dd” в Linux.
• Лёгкое управление мульти-сегментными образами (образами накопителей, разделенных на несколько фрагментов). Образы в формате Raw можно разместить на нескольких дисках и в сети.
• Отображение имён дисков на любых или на всех разделах в образе.
• Отображение целых образов как единое логическое имя диска для исследования неиспользованного / неразделенного (“Unused/Non partitioned”) дискового пространства.
• Монтирование файловых систем NTFS, FAT, FAT16, FAT32.
• Совместимость с драйверами файловых систем третьих фирм таких, как Linux EXT2 или EXT3.
• Просмотр сжатых файлов и папок без необходимости восстанавливать образ на физический носитель.
• Работа с «физическими» (образ всего накопителя) и «логическими» (образ логического раздела) образами.
• Поддержка режима доступа «только для чтения» (“Read-Only ”) для защиты целостности данных. Образы EnCase ® всегда отображаются в режиме «только для чтения» (“Read-Only”).
• Простое и удобное использование правой кнопки мыши в программе Проводник Windows для работы с образами.
• Широкие параметры командной строки для работы с исполняемым файлом.
• Полная поддержка сети. Монтирование образов с центрального сервера.

...


Подробнее : http://computer-forensics-lab.org/lib/?rid=41
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Обзор экспертного ПО за 2006 год показывает возросший уровень ProDiscover IR:
http://www.scmagazine.com/us/grouptest/details/5d15d987-9848-b31f-d33e-b62b91a5c87d/forensic+tools+2006/

На сайте производителя есть бесплатное ПО ProDiscover Basic 4.62.

Подробнее:
Название:ProDiscover
Источник: http://computer-forensics-lab.org/


Семейство программ ProDiscover предназначено для защиты информации. Они позволяют системным администраторам, консультантам и исследователям (экспертам) находить необходимую информацию на диске компьютера. Если Вы подозреваете, что в Вашу систему произошло вторжение или ищите доказательства по гражданским искам или уголовным делам - ProDiscover облегчит Вашу работу, повысит ее продуктивность и сохранит информацию, необходимую для дальнейшего судопроизводства. Выполненное в соответствии со спецификацией Disk Imagin Tool Specification 3.1.6 Национального института стандартов (США) семейство программ ProDiscover позволяет:

•Реагировать на вторжение
Быстро и адекватно идентифицирует вторжение в Вашу систему, не повреждая ее. Возвращает захваченную систему в режим on-line и собирает данные, необходимые для правового преследования злоумышленника, вторгшегося в систему.
•Осуществлять корпоративную политику проведения расследования
Проверяет политику безопасности или проведения расследования преступления в сети вашей компании.
•Проводить цифровые исследования
Улучшает производительность и гарантирует соблюдение правовых норм при совершении любой операции при сборе доказательств. Ведет быстрый поиск в большом количестве данных и находит нужные Вам документы. Сохраняет критически важные метаданные и документирует полученные Вами результаты.
•Проводить судебную экспертизу
Находит всю информацию, даже ту, что скрыта в защищенной области диска (область данных, расположенная на накопителе между физически последним адресом диска и максимальным адресом диска), данные, находящиеся в файловых потоках NTFS или в зазорах файловой системы. Создаются контрольные суммы для всех файлов и сравниваются со значениями базы контрольных сумм, созданной программой Hashkeeper Национального агентства по наркотикам (США). Автоматически создает отчеты и базу доказательств для дальнейшего ее представления в суде.

Семейство ProDiscover включает в себя:
ProDiscover for Windows :
Программа для судебных экспертов. Является полностью интегрированным приложением Windows для сбора, анализа, управления и составления отчетов при поиске информации на исследуемом диске компьютера по приемлемой цене. ProDiscover for Windows поддерживает все версии операционных систем Winwdows, основанных на таких файловых системах, как FAT 12/16/32 и динамических разделах NTFS.
Подробнее: http://computer-forensics-lab.org/lib/?cid=10

ProDiscover Forensics :
ProDiscover Forensics, обеспечивая все возможности ProDiscover for Windows, включает, дополнительно, поддержку таких файловых систем, как SUN Solaris UFS и Linux Ext 2/3.
Подробнее: http://computer-forensics-lab.org/lib/?cid=11

ProDiscover Investigator :
ProDiscover Investigator позволяет собирать данные с сетевого компьютера и осуществлять их полное исследование: осуществлять предпросмотр диска, создавать копию диска, осуществлять анализ компьютера через любую сеть, использующую протокол TCP/IP. ProDiscover Investigator содержит утилиты и скрипты для скрытой установки клиентской части программы на исследуемый компьютер.
Подробнее: http://computer-forensics-lab.org/lib/?cid=12

ProDiscover Incident Response :
Данная программа является полным серверным приложением и позволяет просматривать работающий диск компьютера, создавать копию диска и проводить его анализ. ProDiscover Incident Response содержит специализированные утилиты для быстрого реагирования на кибератаки.
Подробнее: http://computer-forensics-lab.org/lib/?cid=13


Другие материалы про ПО семейства ProDiscover доступны по ссылке: http://computer-forensics-lab.org/lib/?rid=22
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Капинус О.В.
Михайлов И.Ю.
Marat


AccessData Forensic Toolkit*



Наблюдаемый рост числа компьютерных преступлений требует от судебных экспертов и специалистов в области компьютерной безопасности применения новейших технологий для противодействия киберпреступности. Forensic Toolkit (FTK) – инструмент для судебных экспертов, занимающихся производством компьютерно-технических экспертиз. В данный продукт фирма разработчик (AccessData) вложила свой опыт за период более 30 лет в области восстановления паролей и дешифрования файлов.
Кроме того, в данный продукт AccessData включила уникальные разработки:
1) dtSearch® - технология, осуществляющая индексирование исследуемой информации и позволяющая проводить настраиваемый, многофункциональный, контекстный поиск.
2) Stellent’s Outside In Viewer Technology® - технология, позволяющая просматривать файлы более чем 270 различных форматов.
3) Known File Filter (KFF) может использоваться для сортировки исследуемой информации по категориям. Это позволяет эксперту оперативно отделить файлы, не представляющие криминалистический интерес, и заострить свое внимание на файлах, которые содержат криминалистически значимую информацию.

FTK интегрируется с программным продуктом фирмы AccessData, предназначенным для восстановления паролей и дешифрования файлов (Password Recovery Toolkit ).
FTK– программный продукт, позволяющий провести полное исследование компьютера в рамках судебной экспертизы.

Функциональные возможности FTK:
1) Удобство в работе:
• Предварительный просмотр файлов более 270 форматов и кодировок, благодаря технологии Stellent’s Outside In Viewer Technology®.
• FTK Explorer осуществляет быструю навигацию по исследуемой системе и показ изображений графических файлов.
• Сохраняет результаты всех действий и операций, выполненных в ходе экспертизы.
• Генерирует соответствующие отчеты.
• Совместим с программными продуктами Password Recovery Toolkit и Distributed Network Attack®.
2) Расширенный поиск:
• Полная индексация текстовой информации на исследуемом носителе позволяет мгновенно выводить результаты контекстного поиска.
• Режим расширенного поиска для графических файлов формата JPEG и файлов – текстовых элементов Web-страниц.
• Поиск информации по заданным параметрам.
• Автоматическое восстановление удаленных файлов и логических разделов.
• Построение библиотек файлов (hashsets), типичных для экспертной практики, с целью их применения при автоматизированном анализе информации.
3) Работа с файловыми системами и копиями носителей:
• Поддерживает работу в файловых системах: NTFS, сжатую NTFS, FAT 12/16/32 и Linux ext2 и ext3.
• Поддерживает работу с копиями носителей (файл-образами), полученных с помощью программных средств: Encase, SMART, Snapback, Safeback и Linux DD.
4) Анализ баз почтовых клиентов и архивов:
• Поддерживает базы программ - почтовых клиентов: Outlook, Outlook Express, AOL, Netscape, Yahoo, Earthlink, Eudora, Hotmail и MSN.
• Позволяет просматривать, производить поиск, распечатывать и экспортировать из почтовых баз электронные письма или вложения.
• Восстанавливает электронные письма, помещенные в папку «Черновики», или удаленные электронные письма.
• Автоматически извлекает файлы из архивов, созданных программами: PKZIP, WinZip, WinRAR, GZIP и TAR.

Known File Filter (KFF):
• Идентифицирует файлы операционных систем и прикладных программ.
• Идентифицирует файлы, содержащие детскую порнографию и другие файлы, содержащие криминалистически значимую информацию.
• Поддерживает работу баз Hash Sets, созданные NIST и Hashkeeper.
• Создает собственные базы.

Registry Viewer осуществляет:
• Прямой доступ к информации и дешифрование зашифрованной информации на носителе.
• Просмотр файлов системного реестра.
• Генерацию отчетов.
• Данная программа совместима с другими программными продуктами AccessData.


http://computer-forensics-lab.org/img/ftk1.jpg
Удобный интерфейс.

http://computer-forensics-lab.org/img/ftk2.jpg
Окно опции: Graphic Search & Preview.

http://computer-forensics-lab.org/img/ftk3.jpg
Окно опции: Case Content Summary.

http://computer-forensics-lab.org/img/ftk4.jpg
Окно просмотра данных электронной почты

http://computer-forensics-lab.org/img/ftk5.jpg
Окно просмотра результатов контекстного поиска

http://computer-forensics-lab.org/img/ftk6.jpg
Просмотр данных, сохраненных в файле index.dat

http://computer-forensics-lab.org/img/ftk7.jpg
Просмотр данных сохраненных в файле Thumbs.db

http://computer-forensics-lab.org/img/ftk8.jpg
Просмотр миниатюр графических файлов, сохраненных в Thumbs.db


* - составлено по материалам сайта www.accessdata.com

Дополнительная информация:
Обновления для программы FTK:
http://www.accessdata.com/ftkuser/index.html
Демо-версия программы FTK:
http://www.accessdata.com/Product04_Download.htm
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Последний раз обновлено 20.08.2006

"Эта книга посвящается всем сотрудникам правоохранительных органов, которые должны тщательно исследовать огромные объемы данных с помощью устаревшего оборудования, при слабой подготовке, и при отсутствии времени."
Кевин Мандиа, Крис Проспис



Защита от вторжений. Расследование компьютерных преступлений.
Кевин Мандиа, Крис Проспис
Изд. «ЛОРИ» / 2005 / 585582229Х

Подробнее : http://computer-forensics-lab.org/lib/?cid=68


Защита от хакеров. Анализ 20 сценариев взлома.[/b]
Майк Шиффман
Издательский дом «Вильямс» / 2002 / 5845903181
Подробнее: http://computer-forensics-lab.org/lib/?cid=76


Анти-хакер. Средства защиты компьютерных сетей.
К.Дж.Джонс, М.Шема, Б.с.Джонсон
СП ЭКОМ / 2003 / 5957000140
Подробнее: http://computer-forensics-lab.org/lib/?cid=77


Судебно-экспертное исследование компьютерных средств и систем.
А.И. Усов
ЭКЗАМЕН / 2003 / 5946924109
Подробнее: http://computer-forensics-lab.org/lib/?cid=78


Судебная компьютерно-техническая экспертиза.
Е.Р. Россинская, А.И. Усов
«Право и закон» / 2001 / 5785800705
Подробнее: http://computer-forensics-lab.org/lib/?cid=79


Privacy Protection and Computer Forensics, Second Edition[/b]
By Michael Caloyannides
Hardcover / October 2004 / 1580538304
Подробнее: http://computer-forensics-lab.org/lib/?cid=48


File System Forensic Analysis
By Brian Carrier
Paperback / March 2005 / 0321268172
Подробнее: http://computer-forensics-lab.org/lib/?cid=49


Incident Response: Computer Forensics Toolkit
By Douglas Schweitzer
Paperback / April 2003 / 0764526367
Подробнее: http://computer-forensics-lab.org/lib/?cid=50


Windows Forensics and Incident Recovery
By Harlan Carvey
Paperback / July 2004 / 0321200985
Подробнее: http://computer-forensics-lab.org/lib/?cid=51


Digital Evidence and Computer Crime, 2nd Edition
By Eoghan Casey
Paperback / February 2004 / 0121631044
Подробнее: http://computer-forensics-lab.org/lib/?cid=52


Investigating Child Exploitation and Pornography : The Internet, Law and Forensic Science
By Eoghan Casey & Monique Ferraro
Hardcover / October 2004 / 0121631052
Подробнее: http://computer-forensics-lab.org/lib/?cid=53


Cyber Crime Investigator's Field Guide
By Bruce Middleton
Paperback / November 2001 / 0849311926
Подробнее: http://computer-forensics-lab.org/lib/?cid=54


Computer Forensics: Computer Crime Scene Investigation
By John R. Vacca
Paperback / May 2002 / 1584500182
Подробнее: http://computer-forensics-lab.org/lib/?cid=55


Computer Forensics Jumpstart
By Michael Solomon, Neil Broom, Diane Barrett
Paperback / November 2004 / 078214375X
Подробнее: http://computer-forensics-lab.org/lib/?cid=56


Computer and Intrusion Forensics
By George Mohay, Alison Anderson, Byron Collie, Olivier de Vel, Rod McKemmish
Hardcover / April 2003 / 1580533698
Подробнее: http://computer-forensics-lab.org/lib/?cid=57


Scene of the Cybercrime
By Debra Littlejohn Shinder, Ed Tittel
Paperback / August 2002 / 1931836655
Подробнее: http://computer-forensics-lab.org/lib/?cid=58


Effective Incident Response Team
By Julie Lucas, Brian Moeller
Paperback / September 2003 / 0201761750
Подробнее: http://computer-forensics-lab.org/lib/?cid=59


Anti-Hacker Tool Kit, Second Edition
By Mike Shema and Bradley C. Johnson
Paperback / June 2002/ 0072230207
Подробнее: http://computer-forensics-lab.org/lib/?cid=60


Cyber Forensics: A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes
By Albert J. Marcella Jr & Robert S. Greenfield
Paperback / January 2002 / 0849309557
Подробнее: http://computer-forensics-lab.org/lib/?cid=61


Incident Response and Computer Forensics, Second Edition
by Chris Prosise, et all
Paperback / June 2001 / 0072131829
Подробнее: http://computer-forensics-lab.org/lib/?cid=62


Crime and the Internet
By David Wall (Editor)
Paperback / December 2001 / 0415244293
Подробнее: http://computer-forensics-lab.org/lib/?cid=63


Computers: Systems, Terms and Acronyms, 14th Edition
By M. Susan Hodges
Paperback / April 2003 / 096684226X
Подробнее: http://computer-forensics-lab.org/lib/?cid=64


Internet Forensics
By Robert Jones
Paperback / October 2005 / 059610006X
Подробнее: http://computer-forensics-lab.org/lib/?cid=65
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Последний раз обновлено 20.08.2006
Аппаратные и программные средства для исследования сотовых телефонов (ссылки на производителей):

Аппаратные средства:

Forensic Mobile Toolkit
http://www.radio-tactics.com/forensic_mobile.htm

DataPilot Cell Phone Sync Backup Software - DataPilot Secure View
http://www.susteen.com/lawenforcement.htm

Logicube CellDEK® - Computer Forensic Software For Cell Phone Data Extraction
http://www.logicubeforensics.com/products/hd_duplication/celldek.asp

Paraben's Cell Seizure ToolBox:
http://www.paraben-forensics.com/catalog/product_info.php?cPath=26&products_id=109&osCsid=20087bc6beea0acf287d0b2a596cd9fb

USB/COM Universal box :
http://www.gsm-shop.com.ua/index.php?pid=266&PHPSESSID=355fa52845bc8332f3d9d2a5354a8731

Много всякого железа для сотовых:
http://www.gsm-shop.com.ua/index.php

Digital Evidence Forensic Investigations - Mobile Phone SIM cards:
http://www.orate.co.uk/Mobiles/Forensics.html

Der Forensic Card Reader
http://www.becker-partner.de/forensic/intro_.htm

PhoneFile PRO + CardMan USB:
https://www.smartcardfocus.com/shop/ilp/se~16/ssn~/p/index.shtml

Various readers for SIM-sized smartcards:
http://www.smartcardfocus.com/shop/ilp/se~4/ssn~36230401397118103581721082005/p/index.shtml

ForensicSIM
http://www.evidencetalks.com/forensic_toolsets/mobile_phone_forensics.php

Программы:

OPM

http://www.opm-2.com/download/download.asp?file=opm2forensic.zip

http://www.opm-2.com/download/opm2pictures.exe

http://www.opm-2.com/download/download.asp?type=language&file=opm_forensic.RUS.zip

MobilEdit
http://www.mobiledit.com/

Cell Seizure v2.0
http://www.paraben-forensics.com/catalog/index.php?cPath=25

PhoneBase 2
http://www.phonebase.info/

.XRY
http://www.msab.com/en/product.jsp?categoryId=25&productId=25

BKForensics:

Software: BKForensics will begin the release of their cell phone software in
late fall of 2005

L-extractor: Conduct a logical dump of cell phones with this
software.

P-extractor Suite: Obtain a physical dump of cell phones. The
hardware/software is manufacturer specific.

smstractor: Extraction of SMS from the flash file will be a click away.
Examiners will have the ability to identify and extract SMS messages
from the physical dump of a cell phone.

Pictractor: Extract and resolve images residing in the physical flash
files of a cell phone.

MMStractor: Have the ability to extract "MMS" messages from a cell
phone

More: http://www.bkforensics.com/product.html

TULP2G - The Netherlands Forensic Institute (NFI) Distribution
Before contacting the Netherlands Forensic Institute, be sure to contact the local NFI partner in your country because they may be able to solve your problem. If this doesn't work, you can reach the developers of TULP using e-mail at the following address:
tulp2g@holmes.nl
or snail:
Netherlands Forensic Institute
Digital Technology department
Laan van Ypenburg 6
2497 GB Den Haag
The Netherlands
Tel. +31 (0)70 888 6666
http://tulp2g.sourceforge.net/
http://sourceforge.net/project/showfiles.php?group_id=119389

Вот здесь описания разного экспертного ПО (платного и бесплатного), в том
числе для исследования сотовых телефонов:
http://www.forensic-computing.ltd.uk/tools.htm#phone_investigation

http://www.e-evidence.info/cellular.html
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Название: Оценка данных, находящихся в удалённых файлах и перезаписанных «поверх» другими файлами.
Перевод: Храмов С.А.


Данное описание показывает: как легко могут быть ошибочно истолкованы сведения о файлах, которые были удалены, либо удалены и перезаписаны «поверх» другими файлами...

Подробнее: http://computer-forensics-lab.org/lib/?cid=88
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Автор: Nathan Weilbacher
Перевод: Храмов С.А.
Название : Доказательственное значение .LNK файлов.

"В конце прошлого лета в наш адрес обратилась одна юридическая фирма, представляющая клиента, подозревающего, что один из его служащих завладел конфиденциальными сведениями до его увольнения. Нам был передан ноутбук, использованный указанным служащим, список ключевых слов, сообщены временные рамки и инструкции о поиске любых свидетельств того, что данный служащий скопировал конфиденциальные сведения на сменный носитель. Конечно, обстоятельства данного случая были более многочисленны, однако я буду касаться только тех, которые имеют значение для рассматриваемого в статье аспекта..."

Подробнее: http://computer-forensics-lab.org/lib/?cid=92
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Автор : Олег Зайцев
Название : Методики обнаружения вредоносного ПО.

В данной статье описаны базовые методики анализа компьютера, доступные даже начинающему пользователю. Описанные утилиты позволяют провести анализ компьютера и решить типовые задачи, связанные с выявлением вредоносных программ без применения антивируса.

Подробнее: http://computer-forensics-lab.org/lib/?cid=91
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/

[Igor Michailov]

Понравился, содержанием, вот этот ресурс:
FILExt - The File Extension Source
http://filext.com/
Советую обратить внимание.
_________________
Компьютерно-техниче�ка� �к�пертиза.
http://computer-forensics-lab.org


�а�ледники Холм�а. �збука криминали�тики.
http://www.abckrim.ru/forum/