http://wiki.linuxformat.ru/wiki/index.php?action=history&feed=atom&title=LXF134%3ADrBrown1 2026-05-13T13:06:56Z История изменений этой страницы в вики MediaWiki 1.19.20+dfsg-0+deb7u3 http://wiki.linuxformat.ru/wiki/index.php?title=LXF134:DrBrown1&diff=12609&oldid=prev 2011-09-17T09:54:58Z

<p>Новая: ==Вскрытие файловой системы== : Долой лупу и порошок для определения отпечатков пальцев – переходим н...</p> <p><b>Новая страница</b></p><div>==Вскрытие файловой системы==<br /> <br /> : Долой лупу и порошок для определения отпечатков пальцев – переходим на утилиты.<br /> <br /> <br /> Smart (Self-Monitoring Analysis and Report­ing Technology) – тех­но­ло­гия са­мо­кон­тро­ля, ана­ли­за и опо­ве­щения, раз­ра­бо­тан­ная ве­ду­щи­ми про­из­во­ди­те­ля­ми же­ст­ких дисков для пре­достав­ления под­роб­ной ди­аг­но­сти­че­ской ин­фор­ма­ции о со­стоянии на­ко­пи­те­ля. Идея тут в том, что­бы по­вы­сить на­деж­ность хранения, оп­ре­де­ляя при­бли­жение сбоя до то­го, как он про­изой­дет и вы по­стра­дае­те от про­стоя диска или по­те­ри дан­ных. Эта идея не но­ва. В «Косми­че­ской одис­сее: 2001», как вы помните, HAL 9000 пред­ска­зал сбой в ра­бо­те па­ра­бо­ли­че­ской ан­тен­ны ко­раб­ля AE35.<br /> <br /> Мой друг ез­дит по кли­ен­там, со­би­рая ком­пь­ю­те­ры для су­деб­но­го ана­ли­за. Хо­ро­шую ком­панию ему мог бы со­ста­вить ''Sleuthkit'' (http://www.sleuthkit.org) – на­бор ути­лит для де­таль­ной про­ве­рки фай­ло­вой систе­мы на ком­пь­ю­те­рах, ко­то­рые бы­ли ата­ко­ва­ны или мо­гут со­дер­жать «непод­хо­дя­щую» ин­фор­ма­цию. Ути­литы ра­бо­тают с фай­ло­вы­ми систе­ма­ми NTFS, FAT, HFS+, Ext2, Ext3, UFS1 и UFS2. Па­кет ''Sleuthkit'' со­дер­жит биб­лио­те­ку на ''C'' и око­ло 25 ути­лит команд­ной стро­ки и man-страниц. ''Autopsy'' – гра­фи­че­ская обо­лоч­ка для это­го ин­ст­ру­мен­та­рия.<br /> <br /> ''Sleuthkit'' вы­пол­няет «мерт­вый ана­лиз», когда систе­ма ана­ли­за ис­поль­зу­ет­ся для про­вер­ки диска или его об­раза из со­мнитель­ной систе­мы. Аль­тер­на­ти­ва – «жи­вой ана­лиз», при ко­то­ром со­мнитель­ная систе­ма про­ве­ря­ет­ся во вре­мя сво­ей ра­бо­ты. При этом ''Autopsy'' и ''Sleuthkit'' за­пуска­ют­ся с ком­пакт-диска в недо­ве­рен­ной сре­де. Это часто применя­ет­ся во вре­мя «от­ве­та на ин­ци­дент», когда ин­ци­дент под­твер­жда­ет­ся. По­сле это­го мож­но по­лу­чить фи­зи­че­ский доступ к систе­ме и вы­полнить «мерт­вый ана­лиз». Ис­поль­зуе­мые ''Autopsy'' тер­ми­ны от­ра­жа­ют серь­ез­ную при­ро­ду ее ра­бо­ты. В ней мож­но «от­крыть де­ло», на­зна­чить «сле­до­ва­те­лей» и по­местить ре­зуль­та­ты в «сейф с ули­ка­ми».<br /> <br /> Ути­ли­та вы­пол­няет тек­сто­вый по­иск в об­ра­зе фай­ло­вой систе­мы, да­же во фраг­мен­тах уда­лен­ных фай­лов. В ней мож­но по­стро­ить вре­мен­ную шка­лу ак­тив­но­сти фай­ло­вых систем, в том чис­ле на несколь­ких ком­пь­ю­те­рах. Ути­ли­та про­ве­ряет кон­троль­ные сум­мы MD5 фай­лов, сравнивает их с кон­троль­ны­ми сум­ма­ми «до­ве­рен­ных фай­лов» в ба­зе дан­ных и ищет «пло­хие» фай­лы. ''Sleuthkit'' не ав­то­ма­ти­зи­ру­ет про­цесс рас­сле­до­вания, но пре­достав­ля­ет сред­ства вы­полнения этой ра­бо­ты.<br /> <br /> ===Про­верь­те се­бя===<br /> <br /> Ес­ли вы хо­ти­те ис­сле­до­вать ка­кую-ни­будь фай­ло­вую сис­те­му, но не­дав­но ата­ко­ван­ных под ру­кой нет, не­сколь­ко под­хо­дя­щих об­ра­зов вме­сте с за­да­ча­ми на ис­сле­до­ва­ние мож­но най­ти по ад­ре­су http://old.honeynet.org/scans. Это по­мо­жет вам ско­ро­тать вре­мя дожд­ли­вы­ми лет­ни­ми день­ка­ми.</div>

Crazy Rebel