Digital Forensics: วิธีการตรวจสอบว่า Facebook ถูกแฮก

Digital Forensics: วิธีการตรวจสอบว่า Facebook ของท่านกำลังถูกแฮกอยู่หรือไม่

บัญชี Facebook ถูกแฮกได้อย่างไร
การแฮกบัญชี Facebook นั้น โดยทั่วไปมักหมายถึงการที่บุคคลอื่นสามารถเข้าถึงบัญชี Facebook ของเจ้าของบัญชีได้โดยไม่ได้รับอนุญาต ซึ่งอาจเกิดได้จาก

• การไปใช้อุปกรณ์ (คอมพิวเตอร์ หรือโทรศัพท์) ที่มีการล็อกอินบัญชี Facebook ค้างไว้
• ผู้ประสงค์ร้ายสามารถเดารหัสผ่านของบัญชี Facebook ได้
• ผู้ใช้ตกเป็นเหยื่อของเว็บไซต์ปลอมที่ทำขึ้นมาเพื่อหลอกขโมยรหัสผ่าน
• เครื่องคอมพิวเตอร์ถูกติดตั้งซอฟต์แวร์ที่มีความสามารถในการขโมยรหัสผ่าน ที่มา

จะทราบได้อย่างไรว่าบัญชี Facebook ถูกแฮก
Facebook มีกระบวนการตรวจสอบและป้องกันการเข้าใช้งานในลักษณะที่ต้องสงสัยว่าอาจเป็นการแฮกบัญชีได้ เช่น จะมีการส่งอีเมลแจ้งเตือนว่ามีการล็อกอินจากอุปกรณ์ที่ไม่เคยถูกใช้ล็อกอินมาก่อนหน้านี้ หรือมีการล็อกอินจากต่างสถานที่ (เช่น คนละจังหวัดหรือคนละประเทศ) รวมถึงส่งอีเมลแจ้งเตือนและขอให้ยืนยันเมื่อมีการพยายามเปลี่ยนรหัสผ่านบัญชี Facebook เป็นต้น ซึ่งมาตรการเหล่านี้สามารถช่วยให้เจ้าของบัญชีตรวจสอบและป้องกับความเสียหายได้ในระดับหนึ่ง การตรวจสอบว่าบัญชี Facebook ถูกแฮกหรือไม่ สามารถดูได้ทั้งจากการแจ้งเตือนการล็อกอิน และข้อมูลการล็อกอินบัญชี Facebook

การตรวจสอบการแจ้งเตือนเมื่อมีการล็อกอินบัญชี Facebook

เมื่อมีการล็อกอินบัญชี Facebook จากคอมพิวเตอร์หรือโทรศัพท์มือถือที่ ไม่เคยถูกใช้ในการล็อกอินบัญชี Facebook ก่อนหน้านี้ (Facebook เรียกอุปกรณ์เช่นนี้ว่าบราวเซอร์หรืออุปกรณ์ที่ไม่รู้จัก) จะมีการแจ้งเตือนเพื่อยืนยันการล็อกอิน

การตรวจสอบข้อมูลการล็อกอินบัญชี Facebook

หากต้องการตรวจสอบว่าปัจจุบันมีอุปกรณ์ใดบ้างที่ล็อกอินเข้าใช้งานบัญชี Facebook นี้อยู่ สามารถทำได้โดยการตรวจสอบข้อมูลการล็อกอิน ซึ่งจะแสดงรายชื่ออุปกรณ์ วันเวลา สถานที่ รวมถึงหมายเลขไอพีที่ใช้ล็อกอิน (ข้อมูลไอพีของอุปกรณ์ที่ล็อกอินจะปรากฏเฉพาะการตรวจสอบผ่านเว็บไซต์) ซึ่งข้อมูลนี้จะแสดงเฉพาะอุปกรณ์ที่ยังสามารถใช้เข้าถึงบัญชี Facebook นี้ได้ หากอุปกรณ์ใดที่มีการล็อกเอาท์ไปแล้วจะไม่ปรากฏในรายการนี้
ทำอย่างไรหากพบว่าบัญชี Facebook ถูกแฮก
หากผู้ใช้สงสัยว่าบัญชี Facebook อาจถูกแฮก มีสิ่งที่ควรทำเบื้องต้น ตามลำดับ ดังนี้

1. เปลี่ยนรหัสผ่านทันที
2. รวบรวมข้อมูลหลักฐานต่างๆ ที่เกี่ยวข้อง
3. ระงับการใช้งาน Facebook บนอุปกรณ์อื่น

หมายเหตุ: สาเหตุที่ให้รวบรวมหลักฐานก่อน เนื่องจากข้อมูลที่ Facebook แสดงรายการอุปกรณ์ที่ล็อกอินไม่ได้แสดงประวัติการให้งานแต่เป็นรายการอุปกรณ์ที่กำลังล็อกอินอยู่ในปัจจุบัน หากสั่งระงับการใช้งาน Facebook บนอุปกรณ์อื่นไปแล้ว จะไม่สามารถย้อนกลับมาเก็บรวบรวมข้อมูลได้อีก

การรวบรวมข้อมูลหลักฐานต่างๆ ที่เกี่ยวข้อง

หากพบว่าบัญชี Facebook ถูกแฮกแล้วมีการนำไปใช้สร้างความเสียหาย ควรรวบรวมข้อมูลหลักฐานที่เกี่ยวข้องเพื่อนำไปใช้ลงบันทึกประจำวันหรือแจ้งความดำเนินคดี หลักฐานต่างๆ เช่น ข้อมูลสถานะการล็อกอินเข้าใช้งานบัญชี Facebook จากบุคคลอื่น อีเมลแจ้งเตือนการล็อกอินหรือแจ้งเตือนการเปลี่ยนรหัสผ่าน เป็นต้น
การรวบรวมข้อมูลหลักฐาน ควรทำทั้งการบันทึกภาพหน้าจอและสั่งพิมพ์ออกมาเป็นกระดาษ พร้อมระบุวันเวลาที่เกิดเหตุ แล้วนำข้อมูลดังกล่าวไปแจ้งความ ณ สถานีตำรวจในพื้นที่ เพื่อใช้ในการดำเนินคดีต่อไป


 ที่มา:กองปราบปราม #กองปราบปราม #CSDThailand
    https://bit.ly/2UVcCJB
    https://bit.ly/2kINpCm

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ


#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud#computerforensics

Digital Forensics: Email Investigation Part II.

Digital Forensics: Email Investigation Part II.

การสืบค้นข้อมูลทางอินเทอร์เน็ต

การสืบค้นข้อมูลจาก (Email )จดหมายอิเล็กทรอนิกส์

การรวบรวมพยานหลักฐาน

 

ที่มา:
ขอขอบคุณท่าน พันตำรวจเอก สันติพัฒน์ พรหมะจุล  ตำรวจภูธรภาค ๑ ขออนุญาตแชร์เป็นวิทยาทาน

อ่านเพิ่มเติม: DIGITAL FORENSICS: EMAIL INVESTIGATION PART I.

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#การสืบค้นข้อมูลทางอินเทอร์เน็ต

#การสืบค้นข้อมูลจากอีเมล

#การรวบรวมพยานหลักฐาน

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

การกู้ข้อมูลจากฮาร์ดดิสก์ที่ถูกน้ำท่วม

จากเหตุการณ์น้ำท่วมที่ผ่านมา ส่งผลให้คอมพิวเตอร์ของหน่วยงาน สถานประกอบการ หรือบุคคลทั่วไป หลายแห่งจมอยู่ใต้น้ำ ซึ่งอาจมีข้อมูลที่สำคัญอยู่ในฮาร์ดดิสก์ และมีความจำเป็นต้องทำการกู้ข้อมูล (Data recovery) เพื่อให้สามารถดำเนินกิจการต่อไปได้โดยเร็วที่สุด แต่การกู้ข้อมูลนั้นมีหลายสิ่งที่ควรรู้และต้องคำนึงในการปฏิบัติ เพื่อไม่ให้เกิดความเสียหายต่อฮาร์ดดิสก์โดยไม่ตั้งใจ ดังนั้น การรู้จักการทำงานของฮาร์ดดิสก์ รูปแบบความเสียหาย วิธีการการแก้ไข และขั้นตอนการปฏิบัติในการกู้ข้อมูล ก็จะสามารถช่วยป้องกันความเสียหายและเพิ่มโอกาสในการกู้ข้อมูลกลับคืนมาได้

โครงสร้างการทำงานของฮาร์ดดิสก์

ปัจจุบัน มีการใช้งานฮาร์ดดิสก์อยู่ 2 แบบ คือแบบจานแม่เหล็ก และแบบ Solid-state (SSD) ซึ่งทั้ง 2 แบบมีโครงสร้างและการทำงานที่แตกต่างกัน ส่งผลให้มีความแตกต่างในเรื่องของการเก็บข้อมูลและการกู้ข้อมูลตามไปด้วย
ฮาร์ดดิสก์แบบจานแม่เหล็ก

รูปที่ 1 ฮาร์ดดิสก์แบบจานแม่เหล็ก

นิยมใช้ในคอมพิวเตอร์ทั่วไป รวมถึงกล้องวีดีโอบางรุ่น เนื่องจากมีขนาดความจุค่อนข้างสูงและมีราคาที่ลดลงมาอยู่ในระดับที่ไม่สูงมาก ฮาร์ดดิสก์แบบแม่เหล็กจะใช้แผ่นจานโลหะเพื่อเก็บข้อมูล โดยมีมอเตอร์หมุนอยู่ภายใน และใช้หัวอ่านในการอ่านและเขียนข้อมูลลงในแผ่นจานในการอ่านหรือเขียนข้อมูลจะใช้หลักการเปลี่ยนทิศทางของสนามแม่เหล็ก เพื่อเก็บข้อมูลในรูปแบบของเลขฐาน 2
ในขณะที่ฮาร์ดดิสก์ทำงาน หัวอ่านจะลอยอยู่เหนือแผ่นจานประมาณ 10 นาโนเมตร [2] (เส้นผมของมนุษย์มีเส้นผ่านศูนย์กลางเฉลี่ย 99 ไมโครเมตร) แผ่นจานจะหมุนด้วยความเร็วสูง ซึ่งในปัจจุบันมีความเร็วในการหมุนประมาณ 7200 - 10000 รอบต่อนาที (ประมาณ 270 กิโลเมตรต่อชั่วโมง) ดังนั้นหากฮาร์ดดิสก์มีการสั่นสะเทือนเกิดขึ้นในขณะที่หัวอ่านกำลังทำงาน ก็มีโอกาสสูงที่หัวอ่านจะไปขูดกับแผ่นจานแม่เหล็ก ซึ่งส่งผลให้ฮาร์ดดิสก์เสียหายอย่างถาวรได้
ฮาร์ดดิสก์แบบ Solid-state​

รูปที่ 2 ฮาร์ดดิสก์แบบ Solid-state [3]

ฮาร์ดดิสก์แบบ Solid-state ใช้หลักการเดียวกันกับอุปกรณ์เก็บข้อมูลแบบพกพา เช่น Flash drive ซึ่งเป็นอุปกรณ์เก็บข้อมูลรูปแบบใหม่ที่ไม่มีชิ้นส่วนที่เป็นการหมุนหรือหัว อ่านอยู่ภายใน โดยจะเปลี่ยนมาใช้การเก็บข้อมูลบน NAND Chip ซึ่งเป็นการอ่านและเขียนข้อมูลโดยใช้ไฟฟ้า ส่งผลให้ฮาร์ดดิสก์แบบ Solid-state สามารถอ่านเขียนข้อมูลได้เร็วกว่าฮาร์ดดิสก์แบบจานแม่เหล็ก แต่เนื่องจากมีราคาที่ค่อนข้างสูง และมีความจุน้อยกว่าฮาร์ดดิสก์แบบจานแม่เหล็ก จึงนิยมใช้ในอุปกรณ์ที่ต้องการการพกพาสะดวกและมีน้ำหนักเบา เช่น คอมพิวเตอร์โน้ตบุคแบบ Ultra-thin หรือโทรศัพท์มือถือบางรุ่น
ฮาร์ดดิสก์แบบ Solid-state จะแบ่งพื้นที่ในการเก็บข้อมูลออกเป็นบล็อก (หรือ Cell) ซึ่งแต่ละบล็อกมีจำนวนครั้งในการเขียนหรือลบข้อมูลอยู่จำกัด ถ้าใช้ครบจำนวนครั้งที่กำหนด บล็อกนั้นจะไม่สามารถใช้งานได้อีก [4] นอกจากนี้การเก็บข้อมูลจะไม่ได้เก็บแบบต่อเนื่องเหมือนฮาร์ดดิสก์แบบจานแม่เหล็ก แต่จะใช้วิธี Logical mapping ซึ่งเป็นการเชื่อมโยงข้อมูลที่เก็บอยู่จริงในหน่วยความจำให้เป็นไฟล์ข้อมูลสำหรับคอมพิวเตอร์ ซึ่งส่วนที่ทำหน้าที่ดังกล่าวเรียกว่า Controller

ความเสียหายที่อาจเกิดขึ้นได้กับฮาร์ดดิสก์

ความเสียหายทางการภาพ (Physical damage)
ความเสียหายที่เกิดขึ้นกับฮาร์ดดิสก์แบบจานแม่เหล็ก จะเกิดกับส่วนของจานแม่เหล็กที่ใช้สำหรับบันทึกข้อมูล ไม่ว่าจะเป็นการอยู่ภายใต้สนามแม่เหล็กที่ความแรงสูงจนข้อมูลที่เก็บอยู่ผิดเพี้ยน หรือหัวอ่านกระแทกกับจานข้อมูล ทำให้เข้าถึงข้อมูลในส่วนนั้นไม่ได้ เป็นต้น ซึ่งถึงแม้ว่าในขณะที่ปิดเครื่อง หัวอ่านของฮาร์ดดิสก์จะถูกเก็บให้ไปอยู่ในที่ที่ปลอดภัยแล้วก็ตาม แต่การที่ฮาร์ดดิสก์ตกจากที่สูงก็มีโอกาสที่จะเกิดความเสียหายได้เช่นกัน หากหัวอ่านชำรุด แต่แผ่นจานแม่เหล็กยังสามารถใช้งานได้อยู่ ก็ยังสามารถให้ผู้เชี่ยวชาญทำการถอดจานแม่เหล็กเพื่อนำไปอ่านข้อมูลออกมาใส่ในฮาร์ดดิสก์อื่นได้ แต่หากแผ่นจานแม่เหล็กชำรุดเสียหาย โอกาสที่จะกู้ข้อมูลได้ก็น้อยลงไปด้วย [5] [6]
สำหรับฮาร์ดดิสก์แบบ Solid-state ถ้าส่วน Controller เสียหาย การกู้ข้อมูลจะทำได้ยากมากหรือแทบเป็นไปไม่ได้เลย เนื่องจากการกู้ข้อมูลต้องแกะเอา NAND Chip ออกมาคัดลอกข้อมูล แล้วนำชิ้นส่วนของข้อมูลที่ได้มาวิเคราะห์เพื่อสร้างตารางข้อมูลใหม่ นอกจากนี้วิธีการเก็บข้อมูลในฮาร์ดดิสก์แบบ Solid-state ยังแตกต่างกันออกไปตามวิธีการของผู้ผลิต ปัจจุบันยังไม่มีซอฟต์แวร์ที่ใช้ในการกู้ข้อมูลในลักษณะนี้ จำเป็นต้องให้ผู้เชี่ยวชาญทำเท่านั้น [7] [8] [9] [10]
ในประเทศไทย มีบริษัทที่ให้บริการกู้ข้อมูลในฮาร์ดดิสก์ในกรณีที่เกิดความเสียหายทาง กายภาพ เช่น ศูนย์กู้ข้อมูล IDR หรือ ศูนย์กู้ข้อมูล i-CU เป็นต้น ซึ่งค่าใช้จ่ายในการกู้ข้อมูลก็จะแตกต่างกันออกไปแล้วแต่กรณี อย่างไรก็ตาม ThaiCERT ไม่ได้มีส่วนเกี่ยวข้องกับผู้ให้บริการกู้ข้อมูลดังกล่าว
ความเสียหายที่เกิดขึ้นกับข้อมูล (Logical damage)
เป็นความเสียหายที่เกิดขึ้นจากการใช้งาน ซึ่งเกี่ยวข้องกับไฟล์หรือระบบโครงสร้างของการเก็บข้อมูล ไม่ว่าจะเป็น การเผลอลบข้อมูล การ Format ฮาร์ดดิสก์ หรือการเขียนข้อมูลทับ ซึ่งความเสียหายในส่วนนี้สามารถกู้คืนได้ด้วยซอฟต์แวร์ โดยปัจจุบันมีซอฟต์แวร์ที่ใช้สำหรับกู้ข้อมูลอยู่จำนวนมาก ผู้ใช้สามารถดาวน์โหลดมาใช้งานได้ฟรี เช่น Recuva หรือ TeskDisk เป็นต้น [11]
ทำอย่างไรหากฮาร์ดดิสก์จมน้ำ
หากฮาร์ดดิสก์จมน้ำ ไม่ว่าฮาร์ดดิสก์จะเสียหายอย่างไรก็ตาม ยังพอมีโอกาสที่จะกู้ข้อมูลได้ การกู้ข้อมูลจากฮาร์ดดิสก์ที่มีความเสียหายทางกายภาพนั้นไม่สามารถทำได้ด้วยตนเอง แต่สามารถขอความช่วยเหลือในการกู้ข้อมูลจากผู้เชี่ยวชาญได้ ข้อแนะนำในการปฏิบัติในการเก็บและจัดส่งฮาร์ดดิสก์ให้กับบริษัทที่ให้บริการกู้ข้อมูล มีดังนี้

ฮาร์ดดิสก์แบบจานแม่เหล็ก
ไม่ควรทำการกู้ข้อมูลด้วยตนเองโดยเด็ดขาด เพราะเมื่อฮาร์ดดิสก์จมน้ำ หัวอ่านอาจจะไปติดอยู่กับจานข้อมูล ถ้าจ่ายไฟเข้าไปจะเกิดการหมุนของหัวอ่าน ซึ่งอาจจะไปขูดกับจานข้อมูล ทำให้ฮาร์ดดิสก์เสียหายถาวรได้
อย่าทำให้ฮาร์ดดิสก์แห้ง เพราะเมื่อฮาร์ดดิสก์แห้งจะเกิดคราบและเศษฝุ่นเกาะติดอยู่ที่จานหรือหัวอ่านได้

รูปที่ 3 คราบฝุ่นที่ติดอยู่บนฮาร์ดดิสก์เมื่อน้ำแห้ง [12]

อย่าทำให้ฮาร์ดดิสก์สั่นสะเทือน เนื่องจากหัวอ่านอาจจะขูดกับแผ่นจาน ทำให้ฮาร์ดดิสก์เสียหายได้
ทำให้ฮาร์ดดิสก์อยู่ในสภาพที่จมน้ำแบบที่ยังคงเป็นอยู่ โดยอาจจะนำฮาร์ดดิสก์ใส่ในภาชนะที่ปิดมิดชิด เช่น กล่องโฟม หรือ กล่องใส่อาหาร แล้วส่งให้กับผู้เชี่ยวชาญเพื่อทำการกู้ข้อมูลต่อไป [13]

ฮาร์ดดิสก์แบบ Solid-state
สำหรับฮาร์ดดิสก์แบบ Solid-state (หรือ Flash drive) เนื่องจากเป็นแผงวงจร จึงสามารถทนทานต่อการจมน้ำได้บ้าง หากฮาร์ดดิสก์ถูกน้ำควรรีบนำฮาร์ดดิสก์ออกมาทำให้แห้งโดยเร็วด้วยการใช้พัดลมเป่า ไม่ควรใช้ไดรเป่าผมหรือนำไปตากแดด จากนั้นเมื่อแน่ใจว่าฮาร์ดดิสก์แห้งสนิทแล้วสามารถนำไปใช้งานต่อได้ แต่หากฮาร์ดดิสก์จมน้ำเป็นเวลานาน มีโอกาสที่จะทำให้แผงวงจรหรืออุปกรณ์ภายในขึ้นสนิมได้ ควรรีบทำให้แห้งแล้วส่งไปยังศูนย์กู้ข้อมูลเพื่อให้ผู้เชี่ยวชาญดำเนินการ ต่อไป [14]
การกู้ข้อมูลจากฮาร์ดดิสก์ที่ถูกลบหรือเขียนข้อมูลทับ
หากฮาร์ดดิสก์ไม่ได้เสียหายทางกายภาพ แต่ข้อมูลสูญหายเนื่องจากอุบัติเหตุในระหว่างการใช้งาน เช่น การเผลอลบไฟล์เอกสารสำคัญ หรือฮาร์ดดิสก์ถูก Format ยังสามารถใช้ซอฟต์แวร์ทำการกู้ข้อมูลได้ เนื่องจากเมื่อระบบทำการลบไฟล์ จะไม่ลบข้อมูลจริงทิ้ง แต่จะลบส่วนที่เป็นการอ้างอิงตำแหน่ง (Index) ของข้อมูลแทน หมายความว่า “ชื่อ” ที่ใช้ในการอ้างอิงตำแหน่งของข้อมูลนั้นจะหายไป แต่ตัวข้อมูลยังคงอยู่ เมื่อฮาร์ดดิสก์แบบแม่เหล็กเขียนข้อมูลใหม่ทับข้อมูลเดิม จะไม่ได้เปลี่ยนบิทของข้อมูลเดิมจาก 0 เป็น 1 หรือ 1 เป็น 0 เป๊ะๆ แต่จะมีการเหลื่อมอยู่บ้าง ถ้าสามารถอ่านข้อมูลดิบที่อยู่บนดิสก์ แล้วทำการวิเคราะห์รูปแบบ (Pattern) ของการเปลี่ยนค่าจาก 0 เป็น 1 หรือ 1 เป็น 0 ได้ จะสามารถรู้ว่า ข้อมูลตรงส่วนนี้เคยมีค่าเป็นอะไรมาก่อน นอกจากนี้ยังสามารถใช้กล้องสแกนแถบแม่เหล็กในฮาร์ดดิสก์ เพื่อดูค่าการจัดเรียงของสนามแม่เหล็กในดิสก์ได้ [15] อย่างไรก็ตาม การทำลายข้อมูลบนฮาร์ดดิสก์นั้นก็ยังสามารถทำได้อยู่ จากการวิจัยพบว่า ถ้าเขียนทับข้อมูลนั้นมากกว่า 25 ครั้งจะไม่สามารถกู้ข้อมูลกลับคืนมาได้ [16] [17] [18]

การป้องกันข้อมูลสูญหาย
ในการป้องกันข้อมูลสูญหาย วิธีที่ดีที่สุดคือการสำรองข้อมูลอยู่อย่างสม่ำเสมอ ซึ่งการสำรองข้อมูลก็สามารถทำได้หลายวิธี เช่น ใช้การต่อฮาร์ดดิสก์แบบ RAID เพื่อสำรองข้อมูลไปยังฮาร์ดดิสก์อีกลูกหนึ่งโดยอัตโนมัติ หรือนำข้อมูลที่สำคัญไปฝากไว้กับผู้ให้บริการฝากข้อมูลบนอินเทอร์เน็ต

ข้อมูลเพิ่มเติม Download

Data Remanence in Semiconductor Devices: http://www.cypherpunks.to/~peter/usenix01.pdf
List of data recovery software: http://en.wikipedia.org/wiki/List_of_data_recovery_software
Reliably Erasing Data From Flash-Based Solid State Drives: http://www.usenix.org/events/fast11/tech/full_papers/Wei.pdf
Redundant array of independent disks: http://en.wikipedia.org/wiki/Redundant_array_of_independent_disks

อ้างอิง จาก สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์  (ETDA) Electronic Transactions Development Agency
http://en.wikipedia.org/wiki/Hard_drive
http://www.pcguide.com/ref/hdd/op/heads/op_Height.htm
http://en.wikipedia.org/wiki/Solid-state_drive
http://www.datarecovery.net/articles/solid-state-drive-architecture.html
http://en.wikipedia.org/wiki/Data_remanence
http://en.wikipedia.org/wiki/Data_loss
http://www.datarecovery.net/solid-state-drive-recovery.html
http://www.datarecoverytools.co.uk/2010/02/21/is-ssd-data-recovery-possible-and-different-from-hard-drive-data-recovery/
http://www.recovermyflashdrive.com/articles/how-flash-drives-fail
http://www.recovermyflashdrive.com/articles/5-things-you-should-know-about-flash-drives
http://en.wikipedia.org/wiki/Data_recovery
http://www.dataclinic.co.uk/advanced-data-recovery-water-damaged-hard-disk-drive.htm
http://www.storagesearch.com/disklabs-art3-floods.html
http://www.associatedcontent.com/article/2556459/how_to_salvage_a_usb_flash_drive_from.html
http://www.nber.org/sys-admin/overwritten-data-guttman.html
http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html
http://www.anti-forensics.com/disk-wiping-one-pass-is-enough
http://www.anti-forensics.com/disk-wiping-one-pass-is-enough-part-2-this-time-with-screenshots

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์ #พยานหลักฐานดิจิทัล

Digital Forensics:DKIM

Digital Forensics:DKIM

DKIM (DomainKeys Identified Mail) เป็นระบบที่ช่วยป้องกันการดักจับ Spam Mail วิธีหนึ่ง ซึ่งเป็นที่นิยมใช้กันมากขึ้นเรื่อย ๆ โดยเฉพาะผู้ให้บริการฟรีอีเมล์ทั้งหลาย เช่น Gmail, Hotmail (Outlook), Yahoo เป็นต้น

DKIM คืออะไร?

Domain Keys Identified Mail (DKIM) คือ การเพิ่มลายเซ็นดิจิทัลที่ส่วนหัวของอีเมล (Email Header) ที่คุณส่งออกไป ช่วยให้เซิร์ฟเวอร์เมลปลายทางของผู้ติดต่อสามารถตรวจสอบได้ว่าคุณใช้เซิร์ฟเวอร์เมลของคุณในการส่งหรือไม่ โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบแทรกกลางการสื่อสาร (Man-in-the-Middle)

http://rejoiner.com/resources/what-is-a-dkim-record/

SPF คืออะไร?

Sender Policy Framework (SPF) เป็นวิธีการหนึ่งที่จะช่วยตรวจสอบว่าแคมเปญอีเมลที่ผู้ติดต่อได้รับนั้นเป็นแคมเปญที่มาจากโดเมนของคุณจริงหรือไม่ โดยผู้ที่เป็นเจ้าของโดเมนจะต้องทำการระบุว่าอีเมลที่ส่งจากโดเมนนั้น ๆ จะถูกส่งออกด้วยเซิร์ฟเวอร์เครื่องใด หรือหมายเลข IP Address อะไรบ้าง โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบฟิชชิ่ง

DKIM และ SPF ถูกออกแบบมาเพื่อตรวจจับการปลอมแปลงทางอีเมล ป้องกันไม่ให้ผู้ให้บริการอีเมล (Email Service Provider: ESP) ปลอมแปลงที่อยู่ในการส่ง ซึ่งเป็นเทคนิคที่มักใช้ในการหลอกลวงทางอีเมลและฟิชชิ่ง

https://www.cyberpunk.rs/spf-email-validation-protocol

SPF Record หรือ Sender Policy Framework คือ ค่าที่ระบุ Server email ที่ได้รับอนุญาติให้ส่ง email ในนาม Domain ผู้ส่งซึ่งจะระบุเป็น IP Address ของ mail server

Credit:

 http://rejoiner.com/resources/what-is-a-dkim-record

https://postmarkapp.com/guides/dkim

/set-up-custom-domain-authentication-with-dkim-and-spf

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics: Cryptocurrency Coincheck

Digital Forensics: Cyber Threats > Cryptocurrency

“โจรกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์” เงินกว่า 530 ล้านดอลลาร์ถูกขโมยจาก Coincheck

ทางผู้บริหารเว็บเทรดสัญชาติญี่ปุ่นนาม Coincheck ได้ยืนยันในการแถลงข่าวอย่างเป็นทางการเมื่อคืนนี้ว่ามีผู้ไม่หวังดีได้เข้ามาแฮ็กและปล้นเงินกว่า 530 ล้านดอลลาร์จริง ๆ แต่ก็ได้กล่าวว่าสกุลเงินดิจิตอลอื่นๆ ภายในเว็บ รวมถึง Ripple (ที่ตอนแรกถูกสันนิษฐานว่าโดนแฮ็กด้วยเช่นกัน) ไม่ได้ถูกปล้นหรือได้รับผลกระทบใดๆ ทั้งสิ้น โดยคาดว่าเร็ว ๆ นี้จะมีข้อมูลคืบหน้าในเรื่องของ “การปล้นครั้งมโหฬารที่สุดในประวัติศาสตร์เว็บเทรด Cryptocurrency” ที่เกิดขึ้นเมื่อเที่ยงวานนี้ นี่คือข้อมูลทั้งหมดที่เราทราบ ณ ตอนนี้

นี่คือการปล้นครั้งใหญ่ที่สุดในประวัติศาสตร์ของเว็บเทรด Cryptocurrency

ในงานแถลงข่าว ผู้บริหาร Coincheck ยืนยันว่าแฮ็กเกอร์ได้ขโมยเหรียญ NEM จำนวนกว่า 500 ล้านเหรียญ ซึ่งมีมูลค่าอยู่ที่ประมาณ 530 ล้านดอลลาร์ อย่างไรก็ตาม สำนักข่าว Nikkei Veritas ได้ทวีตจากในงานดังกล่าวว่า จำนวนเงินทั้งหมดที่ถูกขโมยนั้น ยังไม่เป็นที่แน่ชัดจนกว่าเจ้าหน้าที่จะดำเนินการตรวจสอบอย่างละเอียดเรียบร้อยแล้ว

การแฮ็กครั้งนี้ทำให้ Coincheck ได้กลายเป็นเว็บเทรด Cryptocurrency ที่ถูกปล้นครั้งยิ่งใหญ่ที่สุดในประวัติศาสตร์ แทนที่เว็บ Mt. Gox ที่เคยถูกกวาดเงินไปกว่า 850,000 Bitcoins ซึ่งมีมูลค่าประมาณ 350 ล้านดอลลาร์ในปี 2014

ถ้ามองจากเปอร์เซ็นต์ของมูลค่าตลาดรวม (total market cap) ณ ช่วงเวลาที่มีการโจรกรรมแล้ว ถือว่าเว็บ Mt. Gox นั้นได้ถูกปล้นในเปอร์เซ็นต์ที่มากกว่า แต่จำนวนเงินนั้นก็ต่ำกว่าที่ Coincheck เพิ่งได้สูญเสียไปจากการปล้นนี้

มีรายงานเพิ่มเติมว่า ทางแฮ็กเกอร์ได้โอนย้ายเงินที่ขโมยจำนวนกว่า 300,000 XEM ไปยังอีกบัญชี ต่อมาบัญชีทั้งสองนี้ได้ถูกตราผ่านระบบ mosaic แล้วว่าเป็น ‘แฮ็กเกอร์’ เพื่อเป็นการเตือนไม่ให้เว็บเทรดแห่งอื่น รับเงินจากสองบัญชีนี้

 

ทางแฮ็กเกอร์ได้แฮ็กแค่ wallet NEM ของเว็บเพียงเท่านั้น

ทางผู้บริหาร Coincheck กล่าวว่าการแฮ็กได้เกิดขึ้นเฉพาะกับ wallet ของเหรียญ NEM เท่านั้น โดยเงินใน wallet อื่น ๆ ในเว็บยังคงปลอดภัย

การประกาศนี้ทำให้นักเทรดจำนวนมากรู้สึกโล่งอกขึ้นมาทันที เพราะในช่วงแรกนั้น รายงานข่าวต่าง ๆ ได้รายงานราวกับว่าแฮกเกอร์ได้แทรกซึมเข้าไปยัง wallet สกุลอื่น ๆ ด้วย โดยเฉพาะการที่บอทตรวจสอบบัญชีของ Ripple ได้ตรวจสอบพบการทำธุรกรรมของ XRP มูลค่า 110 ล้านดอลลาร์ที่ส่งจาก Coincheck ไปยัง wallet แห่งหนึ่งที่บรรจุ XRP รวมกว่า 3 พันล้านดอลลาร์

อย่างไรก็ตาม ธุรกรรมนี้เป็นเพียงมาตรการการรักษาความปลอดภัยที่ Coincheck ได้ดำเนินไว้ หลังได้เกิดการแทรกซึมเข้าไปใน wallet NEM

โดยทางผู้บริหารของ NEM Foundation ได้เน้นย้ำว่าการแฮ็กครั้งนี้ไม่ได้มีส่วนเกี่ยวข้องอะไรกับระบบรักษาความปลอดภัยภายในเหรียญ XEM ทั้งสิ้น และกล่าวว่าทั้งหมดนี้ล้วนเป็นความผิดพลาดของ Coincheck เท่านั้น

Coincheck เก็บเงินไว้ใน Hot Wallet มากเกินไป

ทางผู้บริหาร Coincheck ได้ออกมายอมรับในงานแถลงข่าวว่าพวกเขาได้ทำการเก็บเงินส่วนมากไว้ใน “Hot wallet” ซึ่งจะมีช่องโหว่สูงมาก ถ้าพวกแฮ็กเกอร์สามารถแทรกซึมเข้ามาในเซิร์ฟเวอร์ได้

หลังจากที่อัตราการแฮ็กได้เพิ่มขึ้นจนกลายเป็นเรื่องที่ต้องจับตามองอยู่โดยตลอด เว็บเทรดที่มีชื่อเสียงต่างก็ได้นำเงินส่วนมากไปเก็บไว้ใน Cold wallet ซึ่งเป็นระบบ wallet ที่ offline และอยู่ในพื้นที่ที่ปลอดภัย

โดย Coincheck ได้แถลงว่า “การจัดการเงินบน Cold wallet นั้นยากลำบากสำหรับพวกเรา” นั่นจึงเป็นสาเหตุให้การแฮ็กครั้งนี้หนักและรุนแรงกว่าการโจรกรรมบนเว็บเทรด Cryptocurrency ครั้งก่อน ๆ เป็นอย่างมาก

และที่แย่กว่านี้ก็คือ ทาง Coincheck นั้นไม่ได้ทำการเปิดระบบ Multisignature Smart Contract ของ NEM ซึ่งเป็นระบบที่จะเพิ่มระดับความปลอดภัยไปอีกหนึ่งชั้นให้กับตัว wallet เลย

NEM ไม่มีแผนที่จะเปิด Fork เพื่อนำเงินที่ถูกขโมยกลับมา

เนื่องจากมีการแฮ็กเหรียญ XEM จำนวนมาก ซึ่งเมื่อเทียบกับจำนวนเหรียญที่ไหลเวียนในระบบทั้งหมดก็ถือว่าเป็นสัดส่วนที่มหาศาล จึงมีการสันนิษฐานโดยทันทีว่า NEM จะทำการ Hard fork เพื่อที่จะกู้คืนเงินจากแฮ็กเกอร์ เหมือนกับที่ Ethereum เคยได้ทำหลังเกิดการโจรกรรม DAO ในปี 2016

แต่ว่า Lon Wong ประธานของ NEM Foundation ก็ได้ประกาศผ่าน Twitter ว่าเขาไม่สนับสนุนที่จะเปิด Fork

ในเวลาต่อมา เขาก็ได้กล่าวว่าการแฮ็กครั้งนี้ได้เกิดขึ้นเนื่องจากมาตรการความปลอดภัยของ Coincheck ที่ ‘หละหลวม’ และกล่าวว่า NEM source code ไม่ได้มีความผิดพลาดอะไรทั้งนั้น ทั้งนี้นาย Wong สนับสนุนให้เว็บเทรด Cryptocurrency ต่างๆ เปิดใช้ระบบ Multi-Signature Smart Contract เพื่อความปลอดภัย

Coincheck ต้องการจะเปิดทำการต่อไป – และคืนเงินให้แก่ลูกค้า

สุดท้ายแล้ว ทางผู้บริหารของ Coincheck กล่าวว่าพวกเขาประสงค์ที่จะทำการเปิดเว็บเทรดต่อไป และจะคืนเงินให้กับลูกค้าที่เคราะห์ร้าย โดยยังไม่ได้ให้รายละเอียดว่าจะทำการคืนเงินในรูปแบบใด

นักข่าวของ Bloomberg สาขา Tokyo นามว่านาย Yuji Nakamura ได้รายงานว่า Coincheck ยังไม่ได้รับ “ใบอนุญาตในการเปิดบริการแลกเปลี่ยน” จากหน่วยงานการเงินของรัฐบาลญี่ปุ่น นามว่า Financial Services Agency (FSA) เลย ซึ่งได้เลยวันกำหนดการมาตั้งแต่เดือนตุลาคมแล้ว แต่ว่าทาง FSA ได้ขยายระยะปลอดหนี้ (Grace period) ให้กับบริษัทแห่งนี้

ระดับความเสียหายที่เกิดขึ้นจากโจรกรรม รวมถึงระบบความปลอดภัยที่ไม่เพียงพอนั้น ทำให้นักวิเคราะห์ต่างสงสัยกันว่าทาง FSA นั้นจะตัดสินใจจัดการกับบริษัทแห่งนี้หรือไม่ โดยบริษัท Coincheck อาจถูก FSA สั่งปิดก็เป็นได้

โดยนาย Yuji Nakamura นักข่าวของ Bloomberg  ได้ทำการสรุปงานแถลงข่าวบน Twitter ดังนี้:

“ประเด็นหลักที่ได้จากงานแถลงของ Coincheck:

• NEM โดนกระทบอย่างเดียว
• วางแผนที่จะเริ่มเปิดเว็บเทรดต่อ
• ให้แผนการคืนเงินลูกค้าที่ไม่ชัดเจน
• ไม่ได้ใช้ multi-signature [รูป emoji หัวกะโหลก]
• ไม่ยอมรับว่าระบบความปลอดภัยมีความอ่อนแอ
• ไม่แน่ใจว่าโดนแฮ็กจากในหรือนอกประเทศ
• CEO แทบไม่ได้พูดอะไร”

 By Gawin Ratanasirimongkol

# https://siamblockchain.com/author/gawin/

 #https://siamblockchain.com/2018/01/27/biggest-theft-history-know-far-530-million-coincheck-hack/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:Incident Response & Computer Forensics

Digital Forensics:Incident Response & Computer Forensics

Incident Response & Computer Forensics, Third Edition

Online   Digital Forensics Course

Textbook

Incident Response & Computer Forensics, Third Edition by by Jason Luttgens, Matthew Pepe, and Kevin Mandia
Publisher: McGraw-Hill Education; 3 edition (August 1, 2014)
Sold by: Amazon Digital Services, LLC
ASIN: B00JFG7152
Kindle edition: $36, Paper edition: $16 (prices I saw on 4-10-16 at Amazon)
Buy from Amazon ($15 - $40)

Catalog Description

Forensics tools, methods and procedures for investigating computers. Data recovery techniques and evidence collection, protection of evidence, expert witness skills and computer crime investigation techniques. Analysis of various file systems and specialized diagnostic software to retrieve data. Prepares in part for CompTIA Security+ and maps to Computer Investigation Specialists exam. CSU Examine computer media to discover evidence.

Prerequisite: Students should have taken CNIT 120 or have equivalent familiarity with the fundamentals of security.

After successful completion of this course, students will be able to:
Outcome 1: Define and describe computer forensics investigations.
Outcome 2: Compare and contrast the various operating systems and file systems.
Outcome 3: Evaluate and choose appropriate software, hardware, and tools to equip a Forensics Lab.
Outcome 4: Retrieve and analyze data from a suspect's computer.
Outcome 5: Create investigative reports and act as an expert witness.

Schedule

 1 Real-World Incidents 

2 IR Management Handbook

3 Pre-Incident Preparation

4 Getting the Investigation Started on the Right Foot
5 Initial Development of Leads 

6 Discovering the Scope of the Incident
7 Live Data Collection 

8 Forensic Duplication  

9 Network Evidence

 10 Enterprise Services

11 Analysis Methodology

12 Investigating Windows Systems (Part 1)
(Video for second half of class was lost)

 12 Investigating Windows Systems (Part 2)

12 Investigating Windows Systems (Part 3)

13 Investigating Mac OS X Systems

14 Investigating Applications

16 Report Writing  

17 Remediation Introduction

Speaker Biography

Conrad del Rosario Graduated law school in 1991 and have worked as a prosecutor for over 20 years. Worked in various criminal units at the SF DA's office including domestic violence, sexual assault, and narcotics before working identity theft and high technology crimes. Currently the managing attorney for the Economic Crimes Unit, part of our White Collar Division, where I oversee 5 attorneys including the high technology and identity theft teams. Currently assigned to the Rapid Enforcement Allied Computer Team (REACT) Task Force which is a consortium of local law enforcement agencies investigating high technology crimes based out of Silicon Valley, member of HTCIA, and currently a certified instructor for Peace Officer Standards and Training (POST) in the area of High Technology Investigations.

Links

Links for Chapter Lectures

Ch 1a: Deconstructing a Credit Card's Data
Ch 1b: Mitigating Fraud Risk Through Card Data Verification
Ch 1c: What data is stored on a payment card's magnetic stripe?
Ch 2a: The OpenIOC Framework

Ch 3a: Free Email Certificate | Secure SSL Certificate from Comodo
Ch 3b: Digitally Sign & Encrypt Emails
Ch 3c: 3 Alternatives to the Now-Defunct TrueCrypt for Your Encryption Needs
Ch 3d: VeraCrypt - Home
Ch 3e: Security Onion
Ch 3f: Network Security Toolkit (NST 24)
Ch 3g: Skynet Solutions : EasyIDS
Ch 3h: NIST Computer Forensic Tool Testing Program
Ch 3i: Evidence Tags and Chain of Custody Forms
Ch 3j: Searching and Seizing Computers and Obtaining Electronic Evidence in Criminal Investigations
Ch 3k: Federal Rules of Evidence
Ch 3l: Security Technical Implementation Guides (STIGs) for host hardening
Ch 3k: Securing Windows Service Accounts (Part 1)
Ch 3l: Download Splunk Enterprise for free
Ch 3m: GitHub - mcholste/elsa: Enterprise Log Search and Archive
Ch 3n: Snare SIEM Software Products
Ch 3o: SIEM, Security Information Event Management, ArcSight | Hewlett Packard Enterprise
Ch 3p: RSA enVision SIEM | EMC RSA
Ch 3q: Building a DNS Blackhole with FreeBSD
Ch 3r: Windows DNS Server Sinkhole Domains Tool | SANS Institute

Ch 5a: Report Crimes Against Children | Department of Justice

Ch 7a: Redline User Guide
Ch 7b: LINReS | Network Intelligence India Pvt. Ltd.(NII Consulting), Mumbai
Ch 7c: LiME – Linux Memory Extractor
Ch 7d: Memoryze for Mac
Ch 7e: Use the Mandiant Redline memory analysis tool for threat assessments

Ch 8a: Host protected area - Wikipedia
Ch 8b: Device configuration overlay - Wikipedia

Ch 9a: Basic Snort Rules Syntax and Usage
Ch 9b: Snort: Re: Rule for detecting ssh
Ch 9c: OptiView XG Network Analysis Tablet
Ch 9c: Network TAPs
Ch 9d: Security Onion
Ch 9e: Chapter 9 Scenario PCAPs - Incident Response and Computer Forensics, 3rd Edition
Ch 9f: Download NetWitness Investigator
Ch 9g: Old NetWitness Project

Ch 10a: Analyze Microsoft DHCP Server Log Files
Ch 10b: More About Microsoft DHCP Audit and Event Logging
Ch 10c: DHCP | Internet Systems Consortium
Ch 10d: Linux How To/Tutorial: Checking DHCP Logs
Ch 10e: using the ISC DHCP log function for debugging
Ch 10f: BIND | Internet Systems Consortium
Ch 10g: DNSCAP - DNS traffic capture utility | DNS-OARC
Ch 10h: IT Information Systems Management Software | LANDESK
Ch 10i: Parsing Landesk Registry Entries FTW
Ch 10k: LANDesk SoftMon Monitoring Information
Ch 10l: How to browse Software License Monitoring data ... |LANDESK User Community
Ch 10m: RegRipper
Ch 10n: GitHub - keydet89/RegRipper2.8
Ch 10o: GitHub - jprosco/registry-tools: Registry Forensics Tools
Ch 10p: Client Management Suite | Symantec
Ch 10q: Altiris Inventory Solutionâ„¢ 7.1 SP2 from Symantecâ„¢ User Guide
Ch 10r: Symantec Quarantined VBN file decoder
Ch 10s: John McAfee calls McAfee anti-virus "one of the worst products on the ... planet"
Ch 10t: Removing a PHP Redirector
Ch 10u: Understanding IIS 7 log files - Stack Overflow

Ch 11i: Filesystem Timestamps: What Makes Them Tick?
Ch 11j: File System Forensic Analysis: Brian Carrier
Ch 11k: Uuencoding - Wikipedia
Ch 11l: National Software Reference Library
Ch 11m: Nsrllookup
Ch 11n Security Firm Bit9 Hacked, Used to Spread Malware (2013)

Other Links

Yelp/osxcollector: A forensic evidence collection & analysis toolkit for OS X
ProcDump
SecureZeroMemory function (Windows)
Under My Thumbs -- Revisiting Windows thumbnail databases
Using Mandiant Redline to discover Meterpreter process injection - YouTube
Elcomsoft Advanced mobile forensics: iOS (iPhone and iPad), Windows Phone and BlackBerry 10
Aid4Mail Now (Free Trial)

New Unsorted Links

Ch 11a: Sawmill Web Log Analysis Sample - Dashboard
Ch 12a: File Times (Windows)
Ch 12b: SetMace: Manipulate timestamps on NTFS
Ch 12c: SANS Windows Artifact Analysis Poster
Ch 12d: Known Alternate Stream Names
Ch 12e: Bulk Removing Zone.Identifier Alternate Data Streams From Downloaded Windows Files
Ch 12f: Streams
Ch 12g: Manipulating Alternate Data Streams with PowerShell
Ch 12h: INDXParse: Tool suite for inspecting NTFS artifacts.
Ch 12i: Parse INDX
Ch 12j: Fsutil usn: the USN Change Journal
Ch 12k: Vssadmin
Ch 12l: View the content of Windows Prefetch (.pf) files
Ch 12k: FixEvt repairs corrupted Windows event logs
Ch 12n: Job File Parser
Ch 12o: SetRegTime
Ch 12p: Windows USER - Wikipedia
Ch 12q: Windows 7 Shellbags | SANS Institute
Ch 12r: MRU-Blaster
Ch 12s: Registry Decoder
Ch 12t: JLECmd: Automatic and Custom Destinations jump list parser with Windows 10 support
Ch 12u: Rifiuti2
Ch 12t: Hiberfil.sys - ForensicsWiki
Ch 12u: Zeus Malware Analysis using the Volatility Framework (Part I)
Installing Rekall on Windows
Download google/rekall � GitHub
RecuperaBit - A Tool For Forensic File System Reconstruction
Ch 12v: The VAD Tree: A Process-Eye View of Physical Memory
Ch 13a: iBored Disk Editor for Mac
Ch 13b: The MacPorts Project -- Download & Installation
Ch 13c: OS X 10.9: where are password hashes stored
Ch 13d: What type of hash are a Mac's password stored in?
Ch 13e: How to crack macbook admin password
Ch 13f: How to Convert plist Files to XML or Binary in Mac OS X
Ch 14a: BrowsingHistoryView - View browsing history of your Web browsers
Ch 14b: Extensible Storage Engine (ESE) Database File (EDB) format
Ch 14c: ESEDatabaseView - View/Open ESE Database Files (Jet Blue / .edb files)
Ch 14d: IECacheView - Internet Explorer Cache Viewer
Ch 14e: Freeware Web Browser Tools Package
Ch 14f: Google Chrome - ForensicsWiki
Ch 14g: Browser Popularity
Ch 14h: File:Browser usage share, 2009--2016, StatCounter.svg - Wikipedia
Ch 14i: How to Read and Analyze the Email Header Fields and Information about SPF, DKIM, SpamAssassin
Ch 14j: Inspect documents for hidden data and personal information
iOS Secure Boot 101 Slides from Axi0mX
Hibr2Bin: Comae Hibernation File Decompressor
A glimpse of iOS 10 from a smartphone forensic perspective
Mobile Forensics Monkey Wrench: iOS 10.2 and Encryption
iOS Forensics (7/25/17)
Evidence Acquisition and Analysis from iCloud



Ref.
Computer Forensics
121_F10

CNIT 126: Practical Malware Analysis

CNIT 152: Incident Response

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ