Фаза реконструкции событий

  В последней фазе расследования на базе найденных улик определяются события, происходившие в системе. В соответствии с нашим определением расследования мы пытаемся найти ответы на вопросы о цифровых событиях в системе. Допустим, в фазе поиска улик были обнаружены файлы, нарушающие корпоративную

политику или закон, но факт их обнаружения не дает никакой информации о событиях. Выясняется, что один из файлов появился в результате определенного события — загрузки по сети; также следует попытаться определить, какое приложение загрузило его. Был ли это веб-браузер или какая-то вредоносная программа? Известен ряд случаев использования вредоносных программ для защиты при обнаружении незаконных материалов или других цифровых улик [George, 2004; Brenner, Carrier, and Henninger, 2004]. Иногда после фазы реконструкции цифровых событий удается связать эти цифровые события с физическими.
Для реконструкции событий эксперт должен хорошо знать приложения и ОС, установленные на компьютере, чтобы строить гипотезы на основании их возможностей. Например, цифровые события в Windows 95 отличаются от событий Windows ХР, а разные версии браузера Mozilla порождают разные события. Такой тип анализа выходит за рамки книги, но некоторые общие рекомендации можно найти в [Casey, 2004]. 
<< | >>
Источник: Кэрриэ Б.. Криминалистический анализ файловых систем. 2007

Еще по теме Фаза реконструкции событий:

  1. 1. Социальная реконструкция
  2. 6.5.4. Выбор оптимального проекта реконструкции фабрики — химчистки
  3. 4. Реконструкция или деконструкция «более реальной реальности»?
  4. 4 фазы демографического взрыва и фаза вымирания
  5. СОЦИАЛЬНАЯ СТРУКТУРА ГОРОДСКОГО НАСЕЛЕНИЯ РОССИИ В 1737 г.: ОПЫТ РЕКОНСТРУКЦИИ
  6. Фаза 2. Поиск решения
  7. Фаза сохранения системы
  8. Фаза поиска улик
  9. ФИНАЛЬНАЯ ФАЗА (БРОНЗА IV)
  10. Фаза 1. Анализ условия задачи
  11. Первая фаза расспроса клиента
  12. Вторая фаза расспроса клиента
  13. ПОЗДНЯЯ ФАЗА МЕСТНОГО ГАЛЬШТАТА
  14. Глава 9. История киданей. Возникновения Великой Русской Средневековой Империи по китайским летописям (реконструкция)
  15. 4 . 7. Специальные события
  16. 18.3. Аудит событий после отчетной даты
  17. 5.21. События после окончания отчетного периода
  18. Групповость как событие
  19. § 1. ОСНОВНЫЕ СОБЫТИЯ ПО АНТИЧНЫМ И КИТАЙСКИМ ИСТОЧНИКАМ
  20. Общественные события