Kryminalistyka cyfrowa

103000 - Wydział Elektroniki i Technik Informacyjnych

KRYCY

1

Głównym celem przedmiotu jest wprowadzenie studentów do kryminalistyki cyfrowej jako interdyscyplinarnej dziedziny inżynierii cyberbezpieczeństwa, która wymaga stosowania wielu technik poznawanych w ramach innych przedmiotów fundamentalnych kierunku Cyberbezpieczeństwo.

W ramach przedmiotu omówione zostaną zagadnienia dotyczące kryminalistyki w świecie cyfrowym obejmującym sieci, systemy i użytkowników. Zostanie dokonany przegląd głównych technik i procedur pozyskiwania danych cyfrowych z systemów sprzętowo-programowych oraz sieci. W następnym kroku omówione zostaną techniki analizy tych danych w kierunku ustanowienia wiarygodnych dowodów cyfrowych w postępowaniach sądowych czy sporach prywatnych. Każdy obszar kryminalistyki cyfrowej zostanie scharakteryzowany właściwymi środkami technicznymi i nietechnicznymi. Ponadto przedmiot stanowi interdyscyplinarne połączenie nabytej wiedzy i umiejętności podczas innych przedmiotów na kierunku Cyberbezpieczeństwo.

Głównym celem przedmiotu jest wprowadzenie studentów do kryminalistyki cyfrowej jako interdyscyplinarnej dziedziny inżynierii cyberbezpieczeństwa, która wymaga stosowania wielu technik poznawanych w ramach innych przedmiotów fundamentalnych kierunku Cyberbezpieczeństwo.

W ramach przedmiotu omówione zostaną zagadnienia dotyczące kryminalistyki w świecie cyfrowym obejmującym sieci, systemy i użytkowników. Zostanie dokonany przegląd głównych technik i procedur pozyskiwania danych cyfrowych z systemów sprzętowo-programowych oraz sieci. W następnym kroku omówione zostaną techniki analizy tych danych w kierunku ustanowienia wiarygodnych dowodów cyfrowych w postępowaniach sądowych czy sporach prywatnych. Każdy obszar kryminalistyki cyfrowej zostanie scharakteryzowany właściwymi środkami technicznymi i nietechnicznymi. Ponadto przedmiot stanowi interdyscyplinarne połączenie nabytej wiedzy i umiejętności podczas innych przedmiotów na kierunku Cyberbezpieczeństwo.

Założeniem prowadzenia przedmiotu jest ukierunkowanie się na naukę praktyczną. Zajęcia wykładowe będą w większości poświęcone studiowaniu rzeczywistych sytuacji, w których realizują się omawiane zagadnienia. Zajęcia laboratoryjne będą oparte o wykonywanie praktycznych zadań inżynierskich ilustrujących zagadnienia wykładowe. Celem laboratorium jest praktyczne wprowadzenie studentów do systemowej kryminalistyki cyfrowej. Zadania laboratoryjne będą dotyczyły pozyskiwania dowodów cyfrowych z sieci i systemów, analizy dowodów cyfrowych oraz zarządzania incydentami naruszeń bezpieczeństwa komputerowego. W ramach zajęć projektowych studenci będą realizować zadanie typu studium przypadku na żywo z zakresu projektowania procesów zarządzania incydentami naruszeń bezpieczeństwa sieci, systemów i użytkowników. Ponadto przygotują krytyczną analizę materiałów źródłowych z zakresu kryminalistyki cyfrowej.

Treść wykładu

1. Wprowadzenie do kryminalistyki cyfrowej. (2 godz.)
   Pojęcia podstawowe; charakterystyka dziedziny; specjalizacje w ramach kryminalistyki cyfrowej: komputerowa, sieciowa, urządzeń mobilnych, analityczna. Digital Forensics jako element zarządzania cyberbezpieczeństwem; wykorzystanie kryminalistyki cyfrowej: dochodzenia śledcze sądowe, wywiad gospodarczy, compliance, spory prywatne, audyty wewnętrzne organizacji, śledztwa prywatne, fraudy; kryminalistyka cyfrowa jako ogólny proces ustalania tożsamości atakujących bezpieczeństwo w cyberprzestrzeni.
2. Aspekty prawne i społeczne kryminalistyki cyfrowej. (2 godz.)
   Standardy prowadzenia cyfrowych dochodzeń śledczych w kontekście legalności; standardy prowadzenia cyfrowych dochodzeń śledczych w kontekście sektora prywatnego; aspekty prawne działalności w zakresie cyfrowych dochodzeń śledczych; etyka działań specjalisty od digital forensics; stosowanie technik kryminalistyki cyfrowej w sektorze prywatnym: wywiad gospodarczy, compliance, spory prywatne, audyty wewnętrzne organizacji, śledztwa prywatne, fraudy; studia przypadków realnych projektów kryminalistyki cyfrowej – publiczny proces sądowy, spór prywatny, nadużycia, dziennikarstwo śledcze; inżyniera społeczna w kryminalistyce cyfrowej.
3. Metodyki pracy w kryminalistyce cyfrowej. (2 godz.)
   Procedury śledcze; kolekcjonowanie i pozyskiwanie danych; egzaminowanie cyfrowych dowodów śledczych w kontekście wiarygodności; raportowanie śledztwa cyfrowego; przegląd narzędzi specjalisty kryminalistyki cyfrowej.
4. Kryminalistyka cyfrowa w kontekście systemów sprzętowo-programowych. (4 godz.)
   Pozyskiwanie danych śledczych z pamięci urządzeń cyfrowych – komputery, urządzenia mobilne: metody, zabezpieczanie materiału dowodowego, praca z materiałem dowodowym, akwizycja danych; pozyskiwanie danych śledczych z systemów plików: metody, zabezpieczanie materiału dowodowego, praca z materiałem dowodowym, akwizycja danych.
5. Kryminalistyka cyfrowa w kontekście sieci. (4 godz.)
   Pozyskiwanie danych śledczych jako strumieni komunikacji: kontekst sieci, systemów i użytkowników; przechwytywanie sieciowych strumieni komunikacji – sieci przewodowe LAN i bezprzewodowe (WiFi, GSM/3G/4G/5G, NFC, ZigBee); Czyszczenie danych, parsowanie i właściwa interpretacja strumieni komunikacji; analiza pakietów – techniki i narzędzia.
6. Analiza złośliwego oprogramowania. (6 godz.)
   Podstawowe techniki przełamywania zabezpieczeń systemów operacyjnych i systemów komputerowych; przejmowanie kontroli i wykonywanie arbitralnego oprogramowania; złośliwe oprogramowanie (malware): rodzaje, podstawowe pojęcia, architektura; warsztat analityka malware; wprowadzenie do klasycznych technik detekcji i analizy malware – metody statyczne i dynamiczne; nowe techniki detekcji i analizy malware; techniki unikania detekcji i utrudniania analizy malware; sieci malware, czyli botnety: podstawowe pojęcia, elementy, architektura; analiza i detekcja botnetów (w kontekście analizy malware); ukrywanie kanałów C&C; trendy i case study: ransomware, IoT botnets, cryptojacking, steganografia, botnet-as-a-service.
7. Analityczna kryminalistyka cyfrowa. (6 godz.)
   Techniki i metody analizy pozyskanych materiałów ze źródeł cyfrowych (sprzęt, oprogramowanie, sieci); metodyki analitycznego ustanawiania dowodów cyfrowych. Przełamywanie technik utrudniających cyfrową analizę śledczą (anti-forensics). Big Data w kontekście kryminalistyki cyfrowej: odkrywanie głównych aktorów zagrożeń w dużych zbiorach danych. Techniki poszukiwań i prowokacji atakujących: biały wywiad, Dark Web, honeypots/honeynets.
8. Zarządzanie incydentami naruszeń bezpieczeństwa komputerowego. (4 godz.)
   Incydent naruszenia bezpieczeństwa komputerowego; metodyki i architektury zarządzania incydentami naruszeń bezpieczeństwa komputerowego. Zarządzanie cyberbezpieczeństwem: Threat Intelligence, SOC/CERT/CSIRT, zarządzanie incydentami, metodyki modelowania ryzyka i oceny zagrożeń w cyberprzestrzeni; Digital Forensics w kontekście Intrustion Kill Chain.

Zakres laboratorium

W ramach projektu studenci w zespołach 2-osobowych będą mieli do wykonania 4 zadania praktyczne posiłkując się instruktażem Prowadzącego w zakresie:

1. Metod cyfrowej kryminalistyki śledczej w zakresie systemów sprzętowo-programowych: pozyskiwanie danych cyfrowych z urządzeń, pamięci i systemów plików na potrzeby ustanowienia dowodów cyfrowych.
2. Metod cyfrowej kryminalistyki śledczej w zakresie strumieni komunikacji: pozyskiwania danych z sieci przewodowych i bezprzewodowych, analizy i interpretacji danych sieciowych.
3. Metod analizy złośliwego oprogramowania statycznej i dynamicznej: analiza próbek, odkrywanie wektorów ataku i zastosowanych technik wykorzystania dziur w systemach.
4. Zarządzania incydentami naruszenia bezpieczeństwa komputerowego.

Zakres projektu

W ramach projektu zespoły 2-osobowe będą miały do wykonania projekt z zakresu zastosowania technik analitycznych w kryminalistyki cyfrowej. W ramach zadania zespół opracuje rozwiązanie analityczne postawionego problemu ora implementuje proof-of-concept swojego pomysłu. Podsumowaniem prac będzie raport przygotowany zgodnie ze standardami dla cyfrowych dochodzeń. Ponadto każdy zespół przeprowadzi prezentację ustną ze swoich prac.

Elementem projektu będzie także wykonanie przez każdego studenta przedmiotu krytycznego przeglądu literatury naukowej, technicznej i biznesowej z zakresu zagadnień cyfrowej kryminalistyki śledczej, zwieńczonej raportem.

Książki:

1. A. Harper et al.: Gray Hat Hacking: The Ethical Hacker's Handbook, 5th Ed.; 2018; McGraw-Hill Education.
2. J. Luttgens, M. Pepe, K. Mandia: Incident Response & Computer Forensics, 3rd Ed.; 2014; McGraw-Hill Education.
3. SP 800-61: Computer Security Incident Handling Guide; Rev.2; 2012; US NIST.
4. A. J. White, B. Clark: Blue Team Field Manual; 2017; CreateSpace Independent Publishing Platform.
5. B. Clark: Red Team Field Manual; 2014; CreateSpace Independent Publishing Platform.
6. M. Sikorski, A. Honig: Practical Malware Analisys: A Hands-on guide to dissecting malicious software; 2012; No Starch Press.
7. A. Ziaja: Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux; 2017; PWN.

Oprogramowanie:

• Systemy operacyjne Windows, Linux, MacOS – wersje klienckie i serwerowe;
• Oprogramowanie open source i komercyjne do realizacji zadań praktycznych z zakresu przedmiotu:
  • profesjonalne oprogramowanie do kryminalistyki cyfrowej – EnCase,
  • oprogramowanie do kryminalistyki cyfrowej w zakresie systemów sprzętowo-programowych,
  • oprogramowanie do krymininalistyki cyfrowej w zakresie sieci i komunikacji,
  • oprogramowanie do analizy danych i Big Data.

Sprawdzanie założonych efektów kształcenia realizowane jest przez:

• ocenę wiedzy i umiejętności związanych z realizacją zadań laboratoryjnych – ocenę sprawozdań z realizacji zadań;
• ocenę wiedzy i umiejętności związanych z realizacją zadań projektowych – ocena raportu i prezentacji z realizacji zadania praktycznego oraz raportu z przeglądu literatury;
• ocenę wiedzy i umiejętności wykazanych na egzaminie pisemnym o charakterze problemowym oraz – w przypadkach wątpliwości co do oceny – na egzaminie ustnym.

103600 - Instytut Telekomunikacji

103600 - Instytut Telekomunikacji