📝 تجربه من با USN Journal در فارنزیک دیجیتال
در یکی از پروژه‌های تحلیل حادثه، به نقطه‌ای رسیدیم که لاگ‌های سنتی سیستم تقریباً پاک یا دستکاری شده بودند. برای یافتن رد مهاجم، سراغ USN Journal رفتیم؛ ژورنال سیستم NTFS که همه تغییرات فایل‌ها را حتی پس از حذف آنها؛ثبت می‌کند.
این کشف برایم شبیه ورق زدن دفترچه مخفی سیستم بود: هر ورودی، یک سرنخ از زمانی که فایلی ایجاد، ویرایش یا حذف شده است. با استفاده از ابزارهای متن‌باز مانند MFTECmd، توانستیم خط زمانی دقیقی از فعالیت مهاجم بسازیم؛ حتی لحظه نصب ابزارهای مخرب و پاک‌سازی آثار را بازیابی کردیم.
مهم‌ترین درس:
در فارنزیک، همیشه یک لایه عمیق‌تر وجود دارد. مهاجم ممکن است لاگ‌های رویداد را پاک کند، اما زیرساخت‌هایی مثل USN Journal را فراموش کند. از آن زمان، بررسی USN جزو چک‌لیست استاندارد من در تحلیل دیسک شد.
در دنیای امنیت، همان‌طور که در اقتصاد یا روانشناسی هم می‌بینیم، ردپاها معمولاً در جایی ماندگار می‌شوند که کمتر به چشم می‌آیند.
#آکادمی_روزبه
در یکی از پروژه‌های تحلیل حادثه، به نقطه‌ای رسیدیم که لاگ‌های سنتی سیستم تقریباً پاک یا دستکاری شده بودند. برای یافتن رد مهاجم، سراغ USN Journal رفتیم؛ ژورنال سیستم NTFS که همه تغییرات فایل‌ها را حتی پس از حذف آنها؛ثبت می‌کند.
این کشف برایم شبیه ورق زدن دفترچه مخفی سیستم بود: هر ورودی، یک سرنخ از زمانی که فایلی ایجاد، ویرایش یا حذف شده است. با استفاده از ابزارهای متن‌باز مانند MFTECmd، توانستیم خط زمانی دقیقی از فعالیت مهاجم بسازیم؛ حتی لحظه نصب ابزارهای مخرب و پاک‌سازی آثار را بازیابی کردیم.
مهم‌ترین درس:
در فارنزیک، همیشه یک لایه عمیق‌تر وجود دارد. مهاجم ممکن است لاگ‌های رویداد را پاک کند، اما زیرساخت‌هایی مثل USN Journal را فراموش کند. از آن زمان، بررسی USN جزو چک‌لیست استاندارد من در تحلیل دیسک شد.
در دنیای امنیت، همان‌طور که در اقتصاد یا روانشناسی هم می‌بینیم، ردپاها معمولاً در جایی ماندگار می‌شوند که کمتر به چشم می‌آیند.
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment