Воронежский институт МВД России
Кафедра информационной безопасности
ПЛАН
проведения практического занятия
По дисциплине «Компьютерная разведка»
тематический модуль № 2
Тема 2. Компьютерная разведка в ходе процессуальных действий
Практическое занятие: Экспертные исследования компьютерных средств
Обсужден и одобрен
на заседании кафедры
протокол №____ от «__»______2012 г.
Разработал:
доцент кафедры информационной безопасности, к.ф.-м.н., доцент,
полковник полиции
_________________________С.П. Алексеенко
Воронеж 2012
1. Организационная часть - 3 минуты.
Прием рапорта, проверка наличия и готовности курсантов к занятию (внешний вид, тетради, ручки).
2. Вступительная часть - 2 минуты.
Объявление темы, цели занятия и учебных вопросов
3. Опрос по материалам лекции 15 минут
4. Изложение вопроса №1 - 10 минут
5. Изложение вопроса №2 - 10 минут
6. Изложение вопроса №2 - 10 минут
7. Практическая отработка материала – 25 минут
6. Ответы на вопросы - 5 минут
7. Подведение итогов - 2 минуты
8. Задание на самоподготовку - 3 минуты
Итого 90 минут
Форма проведения занятия – самостоятельная работа курсантов под руководством преподавателя, работа преподавателя и курсантов в форме диалога, устный (письменный) опрос по ранее изученному материалу.
Задание по подготовке к практическому занятию
1. Изучить материал лекций по теме №2.
2. Повторить основные понятия, относящиеся к вопросам Экспертные исследования компьютерных средств.
3. Подготовить ответы на контрольные вопросы, заданные на лекционных занятиях по теме №2.
Литература для подготовки:
1. Лукацкий А. Обнаружение атак (2-е издание)/ Лукацкий А. СПб.: BHV-СПб, 2003. - 608 с.
2. Программно-аппаратные средства обеспечения информационной безопасности. Защита в операционных системах/ Учебное пособие для вузов/ Проскурин В.Г., Крутов С.А., Мацкевич И.В.–М.: Радио и связь 2000. - 168 с.
3. Секреты хакеров. Безопасность Linux-готовые решения/ Пер. с англ.-М. Издательский дом «Вильямс», 2002.-544 с.
4. Скляров Д.В. Искусство защиты и взлома информации. - СПБ.: БХВ-Петербург, 2004.-288 с.: ил.
5. Расследование неправомерного доступа к компьютерной информации / Под ред. Н.Г. Шурухнова. - М.: Щит-М. 1999.
Практическое занятие
ЭКСПЕРТНЫЕ ИССЛЕДОВАНИЯ КОМПЬЮТЕРНЫХ СРЕДСТВ
Время: 2 ч.
Вопрос 1. Обнаружения, фиксации и изъятия компьютерной информации;
Подготовка к обыску
Помимо стандартных действий, которые необходимо выполнить при подготовке к проведению обыска, следует обязательно выяснить, имеется ли в данном помещении компьютерная техника. При наличии таковой необходимо установить:
количество компьютеров и их типы;
наличие автономных источников питания;
используемые носители информации;
наличие локальной сети и выхода в другие сети с помощью модема, радиомодема или выделенных линий;
используемое прикладное программное обеспечение;
наличие систем защиты информации и шифрования, их типы;
возможности использования средства экстренного уничтожения компьютерной информации.
В случае проведения обыска на предприятии необходимо дополнительно выяснить:
количество компьютеров на предприятии и их распределение по службам и помещениям;
объединены ли компьютеры в локальную сеть.
Если такое объединение существует, то необходимо установить:
кто на предприятии отвечает за сетевую систему и программное обеспечение, т.е. является администратором системы;
количество и типы используемых серверов;
количество и типы рабочих мест;
типы используемых операционных сетевых систем;
прикладное программное обеспечение, используемое в сети (например, сетевые базы данных, система документооборота и пр.);
наличие резервных копий серверных дисков и баз данных и место их хранения;
наличие выхода в другие, в том числе и глобальные, сети;
используются ли распределенные сети или почтовые программы для связи с удаленными подразделениями организации или с другими предприятиями;
используются ли системы шифрования и защиты информации, если до, то какие;
используются ли другие средства компьютерной связи (например, модемы и радиомодемы, выделенные линии);
наличие выхода в Интернет и системы электронной почты.
Получить ответы на все перечисленные вопросы не всегда представляется возможность, но выяснить расположение компьютеров и серверов на предприятии необходимо. При отсутствии полной информации по данным вопросам целесообразно включить в группу, производящую обыск, эксперта по компьютерной технике. Если такой возможности нет, то следователю необходимо предварительно получить консультацию у любого другого специалиста в области компьютерных технологий, исходя из наличия имеющейся информации.
Проведение обыска
При проведении обыска основной задачей руководителя следственной группы и специалистов применительно к компьютерным средствам является обеспечение сохранности информации, имеющейся в компьютерах и на компьютерных носителях информации. Для этого необходимо:
предотвратить отключение энергоснабжения предприятия, обеспечив охрану распределительного щита;
запретить сотрудникам предприятия и прочим лицам производить какие-либо манипуляции с компьютерами и носителями информации;
оградить работающие компьютеры от случайных нажатий на клавиши клавиатуры и кнопки системных блоков и устройств;
предупредить всех сотрудников следственной группы о недопустимости самостоятельной манипуляции с компьютерной техникой и носителями информации;
в случае использования телефонной линии для связи с другими сетями обеспечить отключение телефона;
удалить из помещений, в которых находятся компьютеры и носители информации, все взрывчатые, едкие и легковоспламеняющиеся материалы.
В дальнейшем следует точно определить местоположение компьютеров; при этом помнить, что портативные компьютеры типа notebook легко умещаются в небольшую сумку.
При наличии в осматриваемом помещении локальной сети следует точно установить местоположение серверов. Как правило, на крупных предприятиях под серверную выделена специальная комната, вход в которую ограничен. Однако помимо центральной серверной в отделах могут находиться местные локальные серверы. Определить местоположение компьютеров при наличии локальной сети поможет проводка. Достаточно проследить трассы кабеля или коробов (в случае, когда кабель спрятан в специальный короб).
Следует обратить внимание на неподключенные разъемы на коаксиальном кабеле и свободные розетки (розетки для подключения компьютеров в локальную сеть, использующие витую пару, имеют вид импортных телефонных розеток), так как в этих местах, возможно, находились компьютеры или подключались портативные компьютеры, которые в момент проведения обыска могут находиться в другом месте или могут быть спрятаны.
Особое внимание следует обратить на места хранения дискет и других носителей информации. Если при внешнем осмотре компьютеров в их составе обнаружены устройства типа стримера, магнитооптического накопителя и им подобные, то необходимо найти места хранения носителей информации к соответствующим накопителям.
На предприятиях, имеющих развитую локальную сеть, как правило, производится регулярное архивирование информации на какой-либо носитель. Следует определить место хранения данных копий.
Обязательно следует выявить администратора системы и провести его опрос, при котором необходимо выяснить:
какие операционные системы установлены на каждом из компьютеров;
какое программное обеспечение используется;
какие программы защиты и шифрования используются;
где хранятся общие файлы данных и резервные копии;
пароли супервизора и администраторов системы;
имена и пароли пользователей.
Далее специалист по компьютерам, участвующий в обыске, используя данные, полученные от администратора системы, может произвести копирование информации на заранее приготовленные носители. Это могут быть обычные дискеты, однако при большом объеме изымаемых файлов рекомендуется использовать более современные носители информации (например, магнитооптический диск или дополнительный жесткий диск). Носители, на которые была переписана информация, должны быть упакованы в пластиковые коробки (если это жесткий диск, то его необходимо упаковать в антистатический пакет и предотвратить его свободное перемещение в упаковке при транспортировке), которые необходимо опечатать в соответствии с требованиями УПК.
Порядок выключения компьютера
В случае необходимости изъятия компьютеров следует произвести корректный выход из системы для предотвращения порчи данных, находящихся в памяти компьютера. Рассмотрим порядок выключения компьютера для каждой из операционных систем. Перечисленные ниже действия адресованы специалисту, выполняющему операцию выхода из системы.
MS-DOS и его клоны
Если на экране компьютера Вы видите командную строку «С:\>» (где: С:\> – так называемое приглашение DOS; С – текущий диск, может быть любая буква латинского алфавита; между буквой диска и символом «>» может находиться любая другая информация), то, вероятнее всего, Вы находитесь в системе MS-DOS.
Следует отметить, что некоторые задачи могут вызывать сессию DOS. Поэтому необходимо определить, действительно ли это приглашение MS-DOS или приглашение DOS-сессии. Для этого на клавиатуре наберите «exit» и нажмите клавишу Еnter («Ввод»). Как правило, все DOS-сессии по этой команде прекращают свою работу и возвращаются на экран запущенного приложения.
Если этого не произошло, а на экран было выведено сообщение о неправильно набранной команде или неверном имени файла, то можно выключить компьютер нажатием кнопки выключения питания на системном блоке.
В случае, если после команды «exit» произошел выход в экран задачи, то следует предварительно закрыть работающую программу. Если Вы не можете обнаружить на экране меню или подсказку по выходу из приложения, то нажмите клавишу F1. Почти все DOS-приложения при нажатии этой клавиши вызывают встроенную подсказку, в которой можно найти инструкцию по выходу из программы. В случае отсутствия встроенной подсказки нажмите клавишу Esc, либо F10, либо комбинацию клавиш Alt+X, Alt+Q, Ctrl+C. Эти комбинации клавиш наиболее часто используются DOS-приложениями для завершения работы. если Вам так и не удалось выйти в DOS, то, возможно, Вы находитесь в DOS-приложении, запущенном из другой операционной системы (например, Windows). Чтобы проверить это, нажмите комбинацию клавиш Alt+Tab, Ctrl+Esc, Alt+Esc. Если после нажатия одной из этих комбинаций одно приложение сменилось другим, значит, вы, действительно, находитесь не в системе DOS, а в другой операционной системе.
Дополнительно удостовериться, что вы находитесь в системе DOS, можно, набрав в строке приглашения DOS команду «ver». При этом на экране появится сообщение о типе операционной системы и ее версии.
В крайнем случае можно, с согласия руководителя следственной группы, просто выключить компьютер сетевым выключателем.
Windows 3.1 – 3.11
Эта система, как уже говорилось выше, является надстройкой над операционной системой DOS и запускается после загрузки DOS. Windows представляет собой графический оконный интерфейс. Если вы находитесь в Windows, то завершить работу в этой системе и выйти в DOS можно с помощью комбинации клавиш Alt+F4. При этом система будет запрашивать о подтверждении закрытия приложений или выхода в DOS. Если из Windows были запущены одна или несколько DOS-задач, то система выдаст сообщение о невозможности закрыть данные DOS-приложения. В этом случае подведите курсор мыши на клавишу отмены Cancel и нажмите ее. Затем с помощью комбинации клавиш Alt+Tab переключитесь в запущенное DOS-приложение и в соответствии с рекомендациями, изложенными для DOS, закройте его. После этого можно продолжить попытки выйти из Windows с помощью комбинации клавиш Alt+F4.
После того как система Windows закончит свою работу и Вы увидите приглашение DOS, можно выключить компьютер.
Windows 95, 98, 2000, Windows NT Workstation, Windows NT Server
Все эти операционные системы - с графическим интерфейсом. Для того чтобы завершить работу этих систем, подведите указатель мыши к кнопке Start («Пуск») и нажмите ее. При этом откроется дополнительное меню. С помощью мыши выберите в нем пункт «Shutdown» («Завершение работы») и нажмите левую клавишу мыши. Через некоторое время на экране появится окно «Завершение работы». Подведите указатель мыши к светлому кружку, расположенному слева от надписи «Shutdown the computer» («Выключить компьютер»), и нажмите левую клавишу мыши. При этом в светлом кружке появится черная точка. Затем подведите указатель мыши к клавише с надписью ОК («Да») и нажмите левую клавишу мыши. Признаком того, что система начала завершение работы, является появление на экране картинки с логотипом Windows 95 или Windows NT (в редких случаях вместо этой картинки может появиться другая, заданная пользователем). После того как система завершит работу, она или сама выключит питание компьютера, или выведет на экран сообщение о том, что работа системы завершена и теперь можно выключить компьютер (или аналогичное по смыслу сообщение на английском языке). Следует отметить, что большинство современных компьютеров, работающих под управлением Windows 95 (в том числе и notebook), сами производят выключение питания.
Иногда не сразу удается обнаружить на экране кнопку Start («Пуск»). Как правило, это происходит из-за того, что некоторые пользователи убирают с экрана рабочую панель с этой кнопкой, используя стандартные возможности Windows. Эта панель появится на экране, как только Вы подведете указатель мыши к краю экрана. По умолчанию панель расположена в нижней части экрана, однако пользователь по своему желанию может переместить ее к любому краю. Если Вам так и не удалось обнаружить панель с кнопкой Start («Пуск»), то для завершения работы системы Вы можете использовать комбинацию клавиш Alt+F4.
Если в процессе завершения работы система обнаружила запущенное DOS-приложение, то она выдаст сообщение о том, что перед завершением работы вы должны закрыть все работающие DOS-приложения. С помощью комбинации клавиш Alt+Tab переключитесь на это приложение и выйдите из него в соответствии с рекомендациями для DOS. Затем повторите попытку выйти из системы.
Возможно, в процессе завершения работы система обнаружит какую-либо задачу с несохраненными данными. В этом случае она выдаст сообщение о том, в каком приложении и какой файл не был сохранен с предложением сохранить его. В нижней части этого сообщения вы увидите три кнопки. Нажав клавишу ОК («Да»), Вы перезапишите имеющийся на диске файл в соответствии с информацией, введенной в приложение. Нажав клавишу No («Нет»), Вы сохраните имеющийся файл на диске неизменным, потеряв те исправления, которые были внесены в процессе работы приложения. Нажав клавишу Cancel («Отмена»), Вы остановите процесс завершения работы системы и попадете в то приложение, в котором имеются несохраненные данные. Как поступить с несохраненными данными, решает руководитель следственной группы. Однако если при обыске присутствует специалист по компьютерам, то он сможет без труда сохранить эти данные на дискете или в файле с другим именем. Дискета с сохраненными данными должна быть приобщена к протоколу обыска в соответствии с установленным УПК порядком.
Так как перечисленные системы являются сетевыми, то вполне возможно, что к компьютеру, который Вы пытаетесь выключить, подключены по сети пользователи с других компьютеров. В этом случае система выдаст следующее сообщение: «К компьютеру подключены пользователи (2). Завершение работы приведет к их отключению. Продолжить?» (или аналогичное сообщение на английском языке). В скобках, в конкретном примере (2), указано количество пользователей, подключенных к данному компьютеру. В этом случае возможно, что эти пользователи имеют открытые и несохраненные файлы на компьютере, который Вы пытаетесь выключить. Следует ответить Cancel («Нет») на сообщение компьютера и попытаться сначала описанным выше способом выключить другие компьютеры, а затем вернуться к этому.
Посмотреть список файлов, открытых на данном компьютере другими пользователями, можно через меню «Пуск/Программы/ Стандартные/Служебные программы/Инспектор сети».
В крайнем случае на запрос о продолжении можно ответить Yes («Да»), однако в этом случае изменения, внесенные другими пользователями в файлы, будут утеряны.
Особо следует сказать о завершении работы системы Windows NT Server, так как эта сетевая операционная система, как правило, обслуживает других пользователей сети. Компьютеры с этой операционной системой необходимо выключать в последнюю очередь, после того как будут выключены все пользовательские компьютеры.
Узнать, какая из этих трех операционных систем работает на компьютере, можно следующим образом. Выберите меню «Пуск/Настройка/Панель управления». В открывшемся окне подведите курсор мыши на символ вопросительного знака, находящийся в верхней части этого окна, и нажмите левую клавишу мыши. В открывшемся окне среди прочей информации вы сможете прочитать название операционной системы.
OS/2 и OS/2 Warp Connect
При подготовке к выключению компьютера, на котором предположительно установлена система OS/2, необходимо определить, какие задачи на данный момент выполняются.
Для этого нажмите комбинацию клавиш Ctrl+Esc, – на экране появится список выполняемых задач. Используя клавиши управления курсором, выберите из представленного списка пункт с названием «DeskTop» и нажмите клавишу Enter; при этом система переключится на отображение основного рабочего экрана. После этого подведите курсор мыши к свободной области рабочего экрана системы и нажмите правую кнопку манипулятора; в открывшемся меню выберите пункт «System Shutdown…», после чего система выведет запрос на подтверждение закрытия активных окон, завершения активных задач и подготовки системы к выключению.
Для продолжения нажмите клавишу Enter или подведите курсор мыши к клавише ОК и нажмите левую клавишу манипулятора. В случае наличия большого количества активных задач система будет выдавать запросы на подтверждение закрытия текущей активной задачи. Подведите курсор мыши к кнопке OК и нажмите левую клавишу (перемещение по предлагаемым кнопкам управления в активных окнах возможно также с помощью клавиш управления курсором). После некоторого времени на экране появится сообщение о том, что система готова к выключению.
При невозможности подготовить систему к выключению указанным выше способом можно использовать комбинацию клавиш Ctrl+Alt+Del. В крайнем случае, с согласия руководителя следственной группы, просто выключите компьютер.
Novell NetWare
Novell NetWare является многозадачной сетевой операционной системой и предназначена для установки на сервер. Как правило, это - отдельно стоящий компьютер. Вполне возможно, что у данного сервера будет отсутствовать монитор, но обычно для удобства администрирования системы на сервере оставляют самый простой (монохромный) монитор. Если монитор отсутствует, следует без выключения сервера подсоединить к нему любой монитор от другого компьютера. Для переключения с задачи на задачу используйте комбинацию клавиш Alt+Esc.
Для завершения работы системы сначала выключите все другие компьютеры, используемые в качестве рабочих станций. Затем с помощью комбинации клавиш Alt+Esc переключитесь на экран консоли. Этот экран по внешнему виду напоминает экран DOS. Однако в качестве приглашения командной строки используется не символ «> », а символ двоеточия.
На экране консоли наберите команду «DOWN» и нажмите клавишу Enter («Ввод»). Система начнет процесс завершения работы. Если в сети остались невыключенные компьютеры, подключенные к данному серверу, то сервер выведет список файлов, открытых пользователями, выдаст сообщение «*** WARNING *** There are active files open.» и запросит подтверждение операции завершения работы: «Down server? n».
Нажмите клавишу Enter («Ввод»), отыщите еще не выключенные компьютеры и выключите их. После этого повторите команду «DOWN» на консоли сервера.
После того как система завершит работу, она выдаст сообщение: «Туре exit for DOS». После этого питание компьютера можно отключить.
UNIX-системы
В настоящее время в мире существует несколько клонов операционной системы UNIX. К сожалению, многие поставщики этой ОС не придерживаются единой системы команд, что делает затруднительным обзор необходимых действий для корректного завершения работы. Однако, даже не зная, какая конкретно модификация этой операционной системы используется, можно дать общие рекомендации для остановки ОС с наименьшим вредом для содержащейся на компьютере информации.
Для начала необходимо закрыть все графические приложения, которые запущены. Для этого подведите курсор мыши к изображению панели с меню и выберите пункт «File». В открывшемся подменю необходимо выбрать команду «Close» (или аналогичную по смыслу). Графическая оболочка UNIX-систем частично похожа на оболочку Windows. Следователь или специалист, привлеченный к обыску, зная операционную среду Windows, может интуитивно произвести необходимые действия для закрытия графических приложений.
Как правило, все серверы, использующие в качестве операционной систему UNIX, находятся в терминальном режиме, внешний вид которого похож на DOS. Находясь в терминальном режиме, следует набрать команду «Shutdown». Эта команда корректно закроет открытые приложения и остановит ОС. В некоторых версиях UNIX для этой команды необходимо указать ключи. Можно попробовать остановить эту ОС с помощью команды «Shutdown–h», где h (halt) является ключом, сообщающим команде, что необходимо остановить систему. Можно попробовать набрать команду «Halt». Следует отметить, что даже если эти команды не смогут остановить систему, вреда данным они не принесут.
Если перечисленные способы не привели к желаемому результату, можно попробовать применить более грубый способ – команду «Init». Действия этой команды не всегда могут быть предсказуемыми и в общем случае могут привести к потере данных (например, таких, как открытые файлы). Однако может возникнуть ситуация, когда ее использование вполне оправдано. Наберите в терминальном режиме команду «Init0», которая отключит от системы всех пользователей (если такие были) и закроет все процессы системы. При этом система выдаст сообщение об остановке работающих системных сервисных программ («The system is down» или аналогичное по смысловому содержанию) и выведет приглашение для ввода команды (при этом, как правило, вид приглашения будет отличаться от использовавшегося до закрытия системы).
Изъятие компьютеров
При изъятии компьютеров необходимо:
путем опроса персонала порознь выяснить сетевые имена пользователей и их пароли;
изъять все компьютеры и магнитные носители;
при осмотре документов обратить особое внимание на рабочие записи сотрудников, где могут содержаться пароли и коды доступа;
составить список всех нештатных и временно работающих специалистов фирмы с целью обнаружения программистов и других специалистов по вычислительной технике, работающих на данную фирму. По возможности установить их паспортные данные, адреса и места постоянной работы.
Следует отметить, что при изъятии технических средств можно не производить изъятие мониторов.
При осмотре должны быть установлены:
конфигурация компьютера (с четким описанием всех устройств);
номера моделей и серийные номера каждого из устройств;
инвентарные номера, присваиваемые бухгалтерией при постановке оборудования на баланс предприятия;
прочая информация, имеющаяся на фабричных ярлыках.
Кроме того, все изъятые системные блоки должны быть опечатаны таким образом, чтобы исключить возможность их включения в сеть и разборки.
Иногда в процессе изъятия может возникнуть необходимость описания содержимого жесткого диска. Сразу стоит оговориться, что такую операцию можно осуществить только для компьютеров с установленной файловой системой FAT16 или FAT32, не являющихся выделенными серверами в сети. Эти файловые системы используются в следующих операционных системах:
MS‑DOS и его клоны (FAT16);
Windows и Windows for Workgroups (FAT16);
Windows 95, 98 (FAT16, FAT32);
Windows NT, Windows NT Server (эта ОС может использовать две разновидности файловых систем FAT16 и NTFS, поэтому описанная ниже процедура может быть произведена только на разделе FAT16).
Для описания содержимого жестких дисков специалист, участвующий в обыске, должен заранее подготовить загрузочную дискету от операционной системы Windows 95 OSR2, русская версия. Лучше использовать эту версию ОС, так как она работает с двумя файловыми системами (FAT16 и FAT32) и с файлами и каталогами, имеющими длинные имена и символы национального алфавита в наименовании. Затем при включении компьютера (до того, как начался процесс загрузки ОС) необходимо выйти в BIOS Setup. BIOS Setup – это специальная программа, хранящаяся в энергонезависимой памяти компьютера, которая позволяет производить основные настройки компьютера и сохранять их. Обычно при загрузке персонального компьютера выводится надпись с указанием клавиши, которую необходимо нажать для выхода в BIOS. Часто в организациях инженеры, следящие за техникой, устанавливают пароли на вход в Setup компьютеров. Путем опроса персонала необходимо выяснить эти пароли. Если это не удалось, то пароль можно дезактивировать с помощью специальной перемычки, находящейся на системной плате компьютера, или отключением батарейки (аккумулятора), питающей энергонезависимую память компьютера. Однако данную операцию во избежание порчи оборудования следует проводить только высококвалифицированным специалистам.
Если удалось войти в BIOS, необходимо проверить, установлен ли в BIOS дисковод «А:» и определить его тип, а также параметр, отвечающий за порядок загрузки системы. В параметре следует указать, что система в первую очередь должна производить загрузку с этого дисковода. Затем нужно выйти из BIOS с сохранением внесенных изменений, вставить в дисковод загрузочную дискету и произвести загрузку операционной системы. После того как операционная система выдаст приглашение для ввода команды, необходимо ввести команду: «dir c: /s > disk_c.txt».
При этом на дискете будет сформирован текстовый файл с именем disk_c.txt с полным содержанием каталогов диска С. Если на компьютере имеется несколько жестких дисков, необходимо повторить данную процедуру для каждого диска, меняя его обозначение (С на D, E и т.д.) и имя файла, в котором содержимое каталогов соответствующего диска будет сохраняться. Например, для диска D команда будет выглядеть следующим образом: «dir d: /s > disk_d.txt».
Так как современные диски обладают значительным объемом и на них может содержаться большое количество файлов, возможно, потребуется несколько дискет. Данные дискеты необходимо опечатать соответствующим образом и приложить к протоколу изъятия.