.

0 (hodnocen0 x )

BK

Vyd. 1.

Praha : Computer Press, 2002

xxii,410 s. : il.

ISBN 80-7226-682-9 (brož.)

Komunikace & sítě

Profi

angličtina

Přeloženo z angličtiny

Obsahuje rejstřík

Data - ochrana - příručky

Firewally (sítě počítačové) - příručky

Zabezpečení počítačových sítí - příručky

000078286

PODĚKOVÁNÍ XV // PŘEDMLUVA XVI // ÚVOD XVIII // // POZNÁVÁNÍ SOUVISLOSTÍ: ZÁKLADY REAKCE NA INCIDENT 1 // Kapitola 1 // TI VENKU A TI UVNITŘ: PŘÍPADOVÁ STUDIE 3 // ZNESNADNĚNÍ ÚTOČNÍKOVY SITUACE 4 // VNITŘNÍ NEPŘÍTEL 5 // INFORMACE ZÍSKANÉ POMOCÍ SOUDNÍHO PŘÍKAZU 18 U.S.C. § 2703 11 // TAKŽE? 12 // Kapitola 2 // ÚVOD DO REAKCÍ NA INCIDENTY___13 // CÍLE 14 // METODOLOGIE REAKCE NA INCIDENT 14 // PŘÍPRAVA NA INCIDENT 16 // DETEKOVÁNÍ INCIDENTŮ 16 // POČÁTEČNÍ REAKCE 17 // FORMULACE STRATEGIE REAKCE NA INCIDENT 18 // Důležitá rozhodnutí 19 // Prezentace možných postupů managementu 20 // FORENZNÍ DUPLIKACE KRITICKÝCH DAT 21 // VYŠETŘOVÁNÍ 21 // IMPLEMENTACE BEZPEČNOSTNÍCH OPATŘENÍ 22 // MONITOROVÁNÍ SÍTĚ 23 // Rozhodnutí KDE a JAK monitorovat 24 // Rozhodnutí CO monitorovat 24 // Obsah // OBNOVA 25 // Identifikace rozsahu poškození 25 // Výběr strategie obnovy 26 // DOKUMENTACE 26 // TAKŽE? 27 // Kapitola 3 // PŘÍPRAVA REAKCE NA INCIDENT 29 // IDENTIFIKACE VAŠICH VITÁLNÍCH AKTIV 30 // PŘÍPRAVA JEDNOTLIVÝCH POČÍTAČŮ 31 // Zaznamenávání kryptografických kontrolních součtů důležitých souborů 32 // Spuštění nebo rozšíření auditu systému 34 // Logy aplikací 30 // Zabezpečení serveru 39 // Záloha důležitých dat 40 // Vzdělávání uživatelů v problematice bezpečnosti počítače 41 // PŘÍPRAVA SÍTĚ 42 // Instalace firewallů a IDS 42 // Použití filtrů 43 // Návrh sítové topologie usnadňující monitorování 43 // Šifrování síťového provozu 44 // Vyžadování autentizace 45 // IMPLEMENTACE ODPOVÍDAJÍCÍ BEZPEČNOSTNÍ POLITIKY A PROCEDUR // Definování vašeho postoje k incidentu Vypracování politiky přípustného využití Postup návrhu uživatelské politiky Procedury reakce na incidenty // TVORBA TOOLKITU REAKCE NA INCIDENTY //

Hardware // Software // Nástroje určené k monitorování sítí 56 // USTANOVENÍ TÝMU REAKCE NA INCIDENTY 56 // Definice cílů 57 // Sestavení týmu 57 // Školení poskytovaná specialisty na incidenty 58 // TAKŽE? 59 // Část 2 // NASAZOVÁNÍ RUKAVIC: SEZNÁMENI S TECHNICKÝMI DETAILY // Kapitola 4 // PATRACÍ POSTUPY // POČÁTEČNÍ VYŠETŘOVÁNÍ uo // Kladení dotazů o incidentu 64 // POČÁTEČNÍ INFORMACE 0 INCIDENTU 65 // Analýza topologie sítě 65 // Ověření platných politik 66 // VYŠETŘOVÁNÍ INCIDENTU 67 // Vedení výslechů 67 // Počáteční analýza systému 68 // FORMULACE STRATEGIE REAKCE NA INCIDENT 69 // Určení vhodného typu reakce 70 // Rozpoznání typu útoku 70 // Klasifikace napadeného systému 71 // Zhodnocení dalších vlivů 72 // Podpora managementu 72 // TAKŽE? 72 // 73 // Kapitola 5 // POČÍTAČOVÉ VYŠETŘOVÁNÍ 75 // Běžné chyby při manipulaci s důkazy // Pravidla pro manipulaci s důkazy (Best Evidence Rules) // Opatření k zabezpečení úschovy důkazů // POČÁTEČNÍ REAKCE // Dočasná data // Analýza živého systému // FORENZNÍ DUPLIKOVANÍ SYSTÉMU // Různé přístupy k procesu duplikace Prověření konfigurace systému Duplikační nástroje // SAFEBACK // Vytvoření bootovací diskety // Vytvoření duplikátu pomocí programu Safeback // DUPLIKACE POMOCÍ UTILIT OPERAČNÍHO SYSTÉMU UNIX // Vytvoření bootovacího disku Vytvorení obrazu disku pomoci dd // POUŽITÍ PROGRAMU ENCASE // Vytváření důkazních souborů Prohlížení důkazního média // VYHLEDÁVÁNÍ DŮKAZŮ // PROČ PROVÁDĚT SÍTOVÝ DOZOR? // SÍŤOVÉ DŮKAZY // Opatření k zabezpečení úschovy důkazů // SÍŤOVÉ SOUDNICTVÍ // Výzvy síťového soudnictví // PŘÍPRAVA VAŠEHO SYSTÉMU // Zvolte vhodný software // Umístění a bezpečnost monitorovacího softwaru //

PROVÁDĚNÍ DOZORU // Monitorování protokolu telnet Monitorování protokolu FTP Monitorování webového provozu // INTERPRETACE SÍŤOVÉHO ÚTOKU TAKŽE? // Fyzická analýza Logická analýza Kde se důkazy nacházejí TAKŽE? Kapitola 6 SÍŤOVÉ PROTOKOLY A TRASOVÁNÍ DAT // PROTOKOLY TCP/IP A JEJICH PRINCIPY 112 113 // ENKAPSULACE 115 // Hlavička IP-datagramu 119 // Hlavička TCP segmentu 122 // Hlavička UDP-paketu 124 // SNIFFERY 125 // TRASOVÁNÍ 127 // Ukládání zachycených dat do souborů 129 // TAKŽE? // Kapitola 7 141 // PROVÁDĚNÍ SÍŤOVÉHO DOZORU // Kapitola 8 // POKROČILÝ SÍÍOVÝ DOZOR 167 // HLAVNÍ CÍLE ÚTOČNÍKŮ 168 // Činnosti, které obvykle nejsou monitorovány 168 // Činnosti, které lze jen těžko odhalit 1 eg // Činnosti, které lze jen těžko zpětně přehrát 170 // Činnosti, které je obtížné vysledovat až ke zdrojové adrese IP 171 // Co největší zkomplikování sběru důkazů 171 // Zachování hodnověrné popiratelnosti 172 // NASTAVOVÁNÍ SKRYTÝCH KANÁLŮ ICMP 172 // Rozeznání skrytých kanálů Loki 175 // Rozeznání nové generace skrytých kanálů protokolu ICMP 190 // NASTAVOVÁNÍ SKRYTÝCH KANÁLŮ PROSTŘEDNICTVÍM BEZSTAVOVÉHO PROTOKOLU TCP 182 // Zkoumání bezstavového protokolu TCP 182 // Rozpoznání nastavení skrytých kanálů prostřednictvím bezstavového protokolu TCP 183 // NASTAVOVÁNÍ KANÁLŮ PROTOKOLU HTTP 184 // ODHALENÍ ILEGÁLNÍCH SERVERŮ 188 // TAKŽE? 189 // // VYŠETŘOVÁNÍ: OPERAČNÍ SYSTÉMY 191 // Kapitola 9 // POČÁTEČNÍ REAKCE NA WINDOWS NT/2000 193 // VYTVOŘENÍ SADY ZÁCHRANNÝCH NÁSTROJŮ 194 // Popisky sady nástrojů 194 // Obsah sady nástrojů 195 // UKLÁDÁNÍ INFORMACÍ ZÍSKANÝCH BĚHEM POČÁTEČNÍ ODEZVY 197 // ZÍSKÁNÍ NESTÁLÝCH DAT PŘED FORENZNÍ DUPLIKACÍ I99 // Organizování a dokumentování vyšetřování 200 //

Spuštění důvěryhodného příkazového řádku cmd.exe 201 // Určování uživatelů přihlášených do systému 202 // Určení otevřených portů a naslouchajících aplikací 203 // Výpis všech spuštěných procesů 205 // Výpis aktuálních a nedávných spojení 207 // Dokumentace příkazů použitých během počáteční reakce 207 // Vytvoření dávky pro počáteční reakci 208 // PROVÁDĚNÍ HLOUBKOVÉ, AKTIVNÍ REAKCE 209 // Získávání protokolů událostí během aktivní reakce 209 // Prozkoumávání registru béhem aktivní odezvy 213 // Obsah // Získání údajů o času poslední modifikace, vytvoření a přístupu ke všem souborům Získávání systémových hesel Výpis systémové paměti RAM // JE FORENZNÍ DUPLIKACE NUTNÁ? // TAKŽE? // Kapitola 10 // VYŠETŘOVÁNÍ OPERAČNÍHO SYSTÉMU WINDOWS NT/2000 // KDE SE V OPERAČNÍM SYSTÉMU WINDOWS NT/2000 NACHÁZÍ DŮKAZY ZŘÍZENÍ FORENZNÍ PRACOVNÍ STANICE // Přezkoumávání logických souborů Manipulace s hesly // Provádění počáteční analýzy nižší úrovně VYŠETŘOVÁNÍ SYSTÉMU WINDOWS NT/2000 // Průzkum všech příslušných souborů logů // Vyhledávání klíčových slov // Prozkoumávání důležitých souborů // Identifikace neoprávněných uživatelských účtů nebo skupin // Identifikace podvodných procesů // Hledání neobvyklých nebo skrytých souborů // Kontrola neoprávněných přístupových bodů // Průzkum úkolů spuštěných pomocí služby Scheduler Service // Analýza vztahů důvěry // Průzkum bezpečnostních identifikátorů (SID) // AUDIT SOUBORŮ A KRÁDEŽ INFORMACÍ CO UDĚLAT PO ODCHODU ZAMĚSTNANCE Průzkum vyhledávání a použitých souborů Řízení vyhledávání řetězců na pevném disku // TAKŽE? //

Kapitola 11 // POČÁTEČNÍ REAKCE V UNIXOVÝCH SYSTÉMECH // VYTVOŘENÍ SADY NÁSTROJŮ PRO REAKCI // UKLÁDÁNÍ INFORMACÍ ZÍSKANÝCH BĚHEM POČÁTEČNÍ REAKCE // ZÍSKÁNÍ NESTÁLÝCH DAT PŘED FORENZNÍ DUPLIKACI // Spouštění důvěryhodného příkazového řádku // Kdo je v systému přihlášen // Odhalení sad administrátorských nástrojů LKM // Zjišťování otevřených portů a aplikací, které odposlouchávají // Průzkum systému souborů /proč // Zametání stop // PROVEDENÍ KVALITNÍ AKTIVNÍ REAKCE // Zjištění doby úprav, přístupu a vytvoření všech souborů Získávání systémových logů během aktivní reakce Získávání důležitých konfiguračních souborů Výpis systémové paměti RAM // TAKŽE? // Kapitola 12 VYŠETŘOVÁNÍ UNIXU // PŘÍPRAVA k PRŮZKUMU RESTAUROVANÉHO OBRAZU // Zavádění nativního operačního systému Provádění počáteční analýzy nižší úrovně ŘÍZENÍ VYŠETŘOVÁNÍ SYSTÉMU UNIX Průzkum důležitých souborů logů Vyhledávání klíčových slov Průzkum důležitých souborů Identifikace neoprávněných uživatelských účtů a skupin Kontrola neoprávněných přístupových bodů Analýzy vztahů důvěry TAKŽE? // Část 4 // ANALÝZA PLATFORMOVĚ NEZÁVISLÝCH TECHNOLOGIÍ // Kapitola 13 // VYŠETŘOVÁNÍ SMÉROVAČŮ // ZÍSKÁVÁNÍ NESTÁLÝCH DAT PŘED VYPNUTÍM // Vytvoření spojení se směrovačem Zaznamenávání systémového času Zjišťování přihlášených uživatelů Zjištění provozní doby směrovače Určování naslouchajících socketů Ukládání konfigurace směrovače Prozkoumávání směrovací tabulky Kontrola konfigurací rozhraní Prohlížení vyrovnávací paměti ARP HLEDÁNÍ DŮKAZŮ // Postup při přímém ohrožení Postup při krádeži informací //

SMĚROVAČE JAKO NÁSTROJE PRO REAKCI // Seznámení s ACL (Access Control List) // Monitorování pomocí směrovačú Reakce na útoky DDoS // TAKŽE? // Kapitola 14 // VYŠETŘOVÁNÍ WEBOVÝCH ÚTOKU // DŘÍVE, NEŽ TO SPUSTÍTE HLEDÁNÍ DŮKAZU // Zkoumání souborů logů Vyšetřování zohavení webových stránek Vyšetřování útoků na aplikační úrovni Určování zdroje útoků // TAKŽE? // Kapitola 15 // VYŠETŘOVÁNÍ APLIKAČNÍCH SERVERŮ // VYŠETŘOVÁNÍ INCIDENTŮ NA SERVERECH DNS // Řešení přímých útoků // Vyšetřování zkorumpování vyrovnávací paměti // VYŠETŘOVÁNÍ INCIDENTŮ NA SERVERECH FTP // Řešení přímé kompromitace Vyšetřování zneužití úložného prostoru // VYŠETŘOVÁNÍ INCIDENTŮ SPOJENÝCH SE SLUŽBOU RPC // VYUŽITÍ ZÁZNAMŮ CHATOVACÍHO PROGRAMU PŘI VYŠETŘOVÁNÍ INCIDENTU // ŘEŠENÍ INCIDENTŮ SPOJENÝCH S BALÍKEM MICROSOFT OFFICE // Hledání stop v dokumentech Office Dešifrování dokumentů Office _ // ZJIŠŤOVÁNÍ ZDROJE APLIKAČNÍCH ÚTOKŮ // OBNOVOVÁNÍ KOMPROMITOVANÝCH APLIKAČNÍCH SERVERU // TAKŽE? // Kapitola 16 // VYŠETŘOVÁNÍ NÁSTROJŮ HACKERŮ // JAKÝM ZPŮSOBEM JSOU SOUBORY KOMPILOVÁNY // Staticky linkované programy Stripované programy Programy zabalené pomocí UPX // STATICKÁ ANALÝZA NÁSTROJU HACKERA // Určení typu souboru Revize řetézcú ASCII a UNICODE Online průzkum Revize zdrojového kódu // DYNAMICKÁ ANALÝZA NÁSTROJŮ HACKERA // Vytvorení testovacího prostředí Dynamická analýza systému Windows // TAKŽE? // ČÁST 5 // DODATKY // DODATEK A // ZJIŠŤOVÁNÍ IDENTITY VE VIRTUÁLNÍM SVĚTĚ // VYŠETŘOVÁNÍ ADRES IP // Nslookup // Traceroute nebo traced Využití databáze Whois Vyšetřování dynamických adres IP // VYŠETŘENÍ ADRES MAC STOPOVÁNÍ E-MAILU // Stopování fakemailu //

VYŠETŘENÍ E-MAILOVÝCH ADRES, PŘEZDÍVEK, UŽIVATELSKÝCH JMEN A NÁZVŮ HOSTITELŮ // DODATEK B // POLITIKA INFORMAČNÍHO ZABEZPEČENÍ A PŘÍPUSTNÉHO VYUŽITÍ // OBLASTI POLITIKY INFORMAČNÍHO ZABEZPEČENÍ 400 // POLITIKY PŘÍPUSTNÉHO VYUŽITÍ 401 // Ukázka politiky přípustného využití 401 // DODATEK C // ZODPOVĚDNÉ ORGANIZACE 403 // REJSTŘÍK 405