Friday, May 5, 2023

Digital Forensics:Windows Forensics

Digital Forensics:Windows Forensics

Windows Forensics

นิติวิทยาระบบปฎิบัติการวินโดว์

วิธีการสืบหาพบานหลักฐานดิจิทัลที่เกิดจากการใช้งานระบบปฎิบัติการวินโดว์ต้องมีความเข้าใจในหล้ักการทำงานของวินโดว์ รีจีสทรี เข้าใจข้อมูลบันทึกเหตุการณ์ กิจกรรมการใช้งานระบบปฎิบัติการวินโดว์ เข้าใจข้อมูลประวัติการใช้งานต่างๆ ที่ถูกเก็บไว้ใน Prefecth LNK Files, Jump และ Internet History รวมถึงต้องเข้าใจววิธีการหาประวัติการเชื่อมต่อของอุปกรณ์ยูเอสบีต่างๆ เช่น แฟลชไดรฟ์ นอกจากนี้ต้องเรียนรู้วิธีการและเครื่องมือต่างๆ สำหรับการอ่าน ข้อมูลเหล่านี้มาใช้ประกอบเป็นพยานหลักฐานดิจิทัล

Windows Forensics
ชนิดข้อมูลระบบปฎิบัติการวินโดว์

Volatile memory

หน่วยความจำแบบลบเลือนได้ ซึ่งเป็นหน่วยความจำที่ต้องใช้กระแสไฟฟ้าหล่อเลี้ยง เพื่อเก็บข้อมูล  หากเกิดไฟฟ้าดับข้อมูลและโปรแกรมคำสั่งจะสูญหายไป   หน่วยความจำประเภทนี้ เช่น (RAM) ของเครื่องคอมพิวเตอร์ สมาร์ตโฟน เป็นต้น

Non-Volatile memory:

อุปกรณ์ที่ใช้ในการเก็บข้อมูลที่ไม่สูญหายไป เมื่อไม่มีการจ่ายกระแสไฟฟ้าและสามารถที่จะเก็บข้อมูลต่างๆ ไว้ภายในตัวสืบค้นข้อมูลได้ โดยที่ข้อมูลไม่สูญหายนั้นเอง โดยอุปกรณ์ประเภทนี้ได้แก่  Hard Disk Drive, SSD Drive, แฟลชไดรฟ และสื่อบันทึกข้อมูลแบบอืนๆ ที่สามารถเคลื่อนย้ายได้

Windows Forensics

เครื่องมือที่ใช้สำหรับการจตรวจพิสูจน์หลัักฐานระบบปฎิบัติการวินโดว์

  • JumpListView:  เป็นฟรีโปรแกรมที่ใช้สำหรับเปิดดูประวัติรายการที่ถูกเปิดใช้งานล่าสุด เช่นไฟล์โฟลเดอร์ หรือเว็บไซต์
  • WinPrefetchView: โปรแกรมที่ใช้ดูประวัติรายละเอียดต่างๆ ของ Prefetch ซึ่งสามารถแสดงรายละเอียดได้ดีกว่าดูจากโฟลเดอร์ของ Prefetch
  • USBDeview:  โปรแกรมที่ใช้ดูประวัติการเชือมต่ออุปกรณ์ยูเอสบี ซึ่งละเอียด และเข้่าใจได้ง่ายกว่าดูใน  Registry
  • RegistryExplorer: โปรแกรมที่ใช้สำหรับเปิด และแก้ไขค่าในวินโดว์รีจีสทรี
  • SQLiteViewer : เป็นออนไลน์แอปพลิเคชั่นใช้สำหรับเปิดฐานข้อมูล SQLite

บันทึกเหตุการณ์และการดำเนินการที่เกี่ยวข้อง

การค้นหาและพิสูจน์หลักฐานดิจิทัล มีความจำเป็นต้องใช้ข้อมูลจากหลายส่วน ๆ มาประกอบกัน เช่น ในกรณีที่ผู้ต้องสงสัยใช้คอมพิวเตอร์ในการติดต่อซื้อสิ่งผิดกฎหมาย โดยได้ใช้เบราว์เซอร์ทำการดาวน์โหลดรูปสินค้าจากเว็บไซต์ และส่งรูปดังกล่าวไปให้ผู้ลักลอบขายสินค้าผิดกฎหมายผ่านไลน์แอปพลิเคชัน (LINE) เรามีความจำเป็นต้องใช้ข้อมูลจากหลายแหล่งข้อมูลในการพิสูจน์หลักฐานดิจิทัล เช่น

  1. Prefetch เพื่อแสดงว่าผู้ต้องสงสัยได้เปิดใช้งานเบราว์เซอร์และไลน์แอพพลิเคชัน
    ในช่วงเวลาที่มีการส่งข้อมูลกัน
  2. LNK ไฟล์ และ Jump List เพื่อแสดงการใช้งานไฟล์ต่าง ๆ เช่น รูปภาพที่ดาวน์โหลดมาจากอินเทอร์เน็ต
  3. Browser History โดยดูจากทั้งเมนู History และ Download เพื่อหาประวัติย้อนหลังว่า
    ผู้ต้องสงสัยได้เข้ามาใช้เบราว์เซอร์ในการค้นหาและดาวน์โหลดสินค้าเป้าหมายเมื่อไร เวลาใด
  4. ค้นหารูปดาวน์โหลดมาและส่งผ่านไลน์แอปพลิเคชัน

การใช้ฟังก์ชันพื้นฐานของวินโดว์อาจจะไม่เพียงพอต่อการรวบรวมข้อมูลต่าง ๆ เหล่านี้ ดังนั้น การใช้ซอฟต์แวร์ฟรี หรือ ต้องซื้อเข้ามาช่วยจึงเป็นสิ่งสำคัญมาก (นิติวิทยาระบบปฏิบัติการวินโดว์ Windows Forensics ,19 Mar 24, acisonline)


อ่านเพิ่มเติม: Windows Forensics
                      Windows artifacts

ที่มา Thaicert , NCSA ,ACIS

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

No comments:

Post a Comment