مكافحة التحليل الجنائي الرقمي

مستودع لتتبع تقنيات مكافحة التحليل الجنائي

تم إعداد هذه القائمة بناءً على استجابة مجتمع #DFIR والتقنيات التي نغطيها حاليًا في دورة مكافحة التحليل الجنائي لدينا.

هل لديك أي أفكار رائعة لمكافحة التحليل الجنائي لمشاركتها؟ #DFIR #DigitalForensics

https://twitter.com/binaryz0ne/status/1618828773268520961

متعلق بالبيانات والويب والتطبيقات

• التلاعب بتنسيقات الملفات: -- PDF: تعديل بنية الملف لإخفاء الكائنات -- ZIP: تعديل بنية الملف لإخفاء بيانات/ملفات أخرى -- DOCX: استخراج وإخفاء محتوى آخر داخل البنية، كل ما عليك فعله هو تغييرها إلى .xml -- RAR, 7zip: تعديل بنيتها لاحتواء/إخفاء بيانات أخرى -- إلخ
• إخفاء البيانات
• إخفاء المعلومات -- LSB
• التشفير -- EFS, Bit Locker, GnuPG, AES -- TreuCrypt, VeraCrypt, إلخ -- أخرى "قم بتشفير كل الأشياء" @rwx_08, https://twitter.com/rwx_08/status/1618904019816292355
• "إذا كنت تستخدم ويب شيل (web shell)، فقم بتعطيل تسجيل IIS عبر appcmd" @keydet89, https://twitter.com/keydet89/status/1618952758287286273

متعلق بنظام التشغيل والافتراضية والسحابة

• GOD Mode
• الروتكيت
• مفاتيح/قيم التسجيل المحذوفة والنسخ الظلية (Shadow Copies)
• إخفاء البيانات في سجل ويندوز (Registry)
• جهاز افتراضي محمول (Portable VM)
• "أحضر أشياءك الضارة على جهاز افتراضي واحذفه عندما تنتهي" @keydet89, https://twitter.com/keydet89/status/1618954586685075459
• "التلاعب بزمن مفاتيح سجل ويندوز (Timestomping)" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "عند مغادرتك للنظام، قم بمسح ShimCache" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "كانت لديّ قضية حديثة حيث يقوم فدية Dharma بحذف VSS وسجلات الأحداث عبر سكربت يسمى "purgememory.ps1". وهذا مشابه إلى حد كبير لما ذكرته هذه المقالة" @r3nzsec, https://twitter.com/r3nzsec/status/1618862323221004289
• "#mobile -استخدم صور iCloud -مزامنة البيانات -أوقف تشغيل صور iCloud -احذف الملفات المحلية -في الاستخدام اليومي اترك iCloud معطلاً -التقط وسائط جديدة -قم بتشغيل المزامنة عند الحاجة / اعرض البيانات المتزامنة ثم أوقفها مرة أخرى وكرر إذا تم الحصول على الجهاز الفعلي، يجب على الممتحن البحث عن آثار استخدام iCloud" @Scott_Kjr, https://twitter.com/Scott_Kjr/status/1619157873011085312

متعلق بالسجلات

• تعديل سجلات Linux وApache
• التلاعب بزمن السجلات (Timestomp)
• "تحرير الإدخالات الموجودة في ملفات EVTX" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "يمكنك تحرير الإدخالات الموجودة داخل ملفات EVTX لتغيير ما تقوله إدخالات السجل. لا تثق بسجلاتك ؛)" @inversecos, https://twitter.com/inversecos/status/1618863346991890433
• "تعطيل سجلات WEVTX المختلفة" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "تم مسح سجل التدقيق: https://youtu.be/00EwvDKaKyQ أحد المفضلة لديّ" @Cyb3rSn0rlax, https://twitter.com/Cyb3rSn0rlax/status/1619002937296179200

متعلق بنظام الملفات

• نفق ملفات NTFS (File Tunneling)
• إخفاء البيانات في المساحة الراكدة (Slack Space) (مثل استخدام Slacker)
• وحدات التخزين المخفية (WDM, Diskpart, TrueCrypt/VeraCrypt, إلخ)
• تدفقات البيانات البديلة (ADS)
• التلاعب بزمن الملفات (Timestomping)
• إخفاء البيانات في سمات $EA
• إفساد نظام الملفات: تدمير البيانات ومسحها
• "التلاعب بزمن سمة FN في MFT (معظم المحللين لا يعرفون أن هذا ممكن حتى)"
• "التلاعب بـ $J لتجنب اكتشاف التلاعب بالزمن (timestomp)"
• "اعتمادًا على النظام، قم بتعطيل دفتر تغييرات USN (USN change journal)"
• "إخفاء المعلومات في أقراص SSD، هناك طريقة لإخفاء المعلومات في أقراص SSD بحيث لا يمكن قراءتها من قبل البرامج الثابتة (firmware) ونظام التشغيل لاحقًا. لقد عملت على ذلك عندما كنت طالب ماجستير منذ زمن طويل، وكانت لديه إمكانات كبيرة في ذلك الوقت." @ask_mecca, https://twitter.com/ask_mecca/status/1618886955395350528

متعلق بالوقت (إضاعة وقت المحلل بتضليله)

• "أعطِ المحلل شيئًا ليعثر عليه حتى يتوقف عن البحث - لا تدع الأمر يصل إلى المستوى 2+" @MattETurner, https://twitter.com/MattETurner/status/1618844853403799555

فيديوهات

فيديو جيد عن مكافحة التحليل الجنائي AF، https://www.youtube.com/watch?v=A4GYhGDCRSM

أفكار رائعة

• "" النقطة الأساسية التي يجب فهمها هي:

1. ليس عليك بالضرورة القيام بمكافحة التحليل الجنائي في معظم الحالات؛ فغالبًا لا يكون ذلك ضروريًا.
2. لا تحذف الأدلة عندما يمكنك تكوين النظام بحيث لا يتم إنشاؤها أبدًا."" @Keydet89, https://twitter.com/keydet89/status/1618954586685075459

المزيد قادم...