Реагирование на компьютерные инциденты : прикладной курс

Содержание книги "Реагирование на компьютерные инциденты : прикладной курс"

Предисловие
Об авторе
От издательства
Часть I. ПОДГОТОВКА
Глава 1. Картина угроз
Мотивы злоумышленника
Методы атаки
Анатомия атаки
Современный злоумышленник
Заключение
Глава 2. Готовность к инцидентам
Подготовка процесса
Подготовка персонала
Подготовка технологии
Заключение
Часть II. РЕАГИРОВАНИЕ НА КИБЕРИНЦИДЕНТЫ
Глава 3. Удаленная сортировка
В поисках зла
Охрана учетных данных
Заключение
Глава 4. Инструменты удаленной сортировки
Windows Management Instrumentation
PowerShell
Фреймворки, используемые при реагировании на инциденты
Заключение
Глава 5. Создание дампа памяти
Порядок сбора улик
Сбор данных, хранящихся в памяти локальной системы
Сбор данных, хранящихся в памяти удаленной системы
Анализ памяти в реальном времени
Заключение
Глава 6. Создание образа диска
Защита целостности улик
Создание образа по типу dead-box
Создание образа во время работы системы
Создание образа виртуальной машины
Заключение
Глава 7. Мониторинг сетевой безопасности
Security Onion
Анализ текстового журнала
Заключение
Глава 8. Анализ журнала событий
Журналы событий
События, связанные с учетной записью
Доступ к объекту
Аудит изменений конфигурации системы
Аудит процессов
Аудит использования PowerShell
Использование PowerShell для запроса журналов событий
Заключение
Глава 9. Анализ памяти
Важность базовых показателей
Источники данных памяти
Использование Volatility и Rekall
Изучение процессов
Изучение служб Windows
Изучение сетевой активности
Обнаружение аномалий
Заключение
Глава 10. Анализ вредоносных программ
Аналитические онлайн-сервисы
Статический анализ
Динамический анализ
Реверс-инжиниринг
Заключение
Глава 11. Извлечение информации с образа жесткого диска
Инструменты компьютерной криминалистики
Анализ временных меток
Файлы ссылок и списки переходов
Папка Prefetch
Монитор использования системных ресурсов
Анализ реестра
Активность браузера
Журнал USN
Теневые копии томов
Автоматическая сортировка
Артефакты Linux/UNIX
Заключение
Глава 12. Анализ дальнейшего распространения по сети
Server Message Block
Атаки на Kerberos
PsExec
Запланированные задания
Команда sc
Протокол удаленного рабочего стола
Windows Management Instrumentation
Windows Remote Management
PowerShell Remoting
SSH-туннели и другие способы дальнейшего распространения по сети
Заключение
Часть III. УЛУЧШЕНИЕ
Глава 13. Непрерывное улучшение
Документировать и еще раз документировать
Утверждение мер по сглаживанию последствий
Опираемся на успехи и учимся на ошибках
Улучшение средств защиты
Заключение
Глава 14. Активные действия
Поиск киберугроз
Эмуляция действий злоумышленника
Заключение
Предметный указатель