Comments 27
Лично я, если бы был админом, поделился бы советом не заниматься не своим делом. Предположим, что админ (стрелочник) найдёт подозреваемого. И что? Владельцы бизнеса пойдут в суд, а доказательством будут слова админа? Засмеют в суде, админ — не квалифицированный эксперт. Или по понятиям, завести подозреваемого в лес и попросить раскаяться? Тогда админ становится соучастником преступления.
А если админ нашёл не того человека? Предположим, что «злоумышленник» зашел в учётную запись подозреваемого, пока тот был на обеде и быстро слил инфу? Что будет дальше — предположим, ошибка вскроется, когда подозреваемого уже вывезут в лес? Админа повезут на природу следующим?
В таких случаях лучше сказать, что ввиду недостатков системы, сделать ничего нельзя, но вот план, чтобы такого не повторилось.
Одно дело было достаточно серьезное, шантаж и вымогательство. Приходилось много объяснять полиции, что IP абонента никак не может напрямую связать его с преступными деянеями. Только как нить расследования, никак не больше.
В русском языке есть термины "криминалистика", "криминалистическая экспертиза" — слово "форензика" (калька с некоторых других языков) употребляется только теми, кто с этими терминами не знаком. И нет, не существует нюансов смысловой разницы, потому что для несуществующего термина нет устоявшегося определения.
Жуть какая! Всегда (последние лет 10) говорил руководству, что "восстановление последних действий никакого смысла не имеет", а если неблагонадёжный сотрудник имел злой-злой умысел и думающую голову, то тем более. В общем, если было принято решение сокращать штат, то это решение должно изначально включать риски утечки информации.
eventlogsourcesview.exe
lastactivityview.exe
myeventviewer.exe
recentfilesview.exe
turnedontimesview.exe
usbdeview.exe
winlogonview.exe
По названиям понятно — показывают произошедшие события.
А так-же просмотрщики кеша популярных браузеров.
Там довольно много такого…
Вместо разношёрстных тулз можно использовать замечательный комбайн Autopsy, который не только даёт возможность всего вышеперечисленного софта, но ещё и довольно простой. По качеству рекавери где-то на уровне winhex. Одна из самых шикарных функций — timeline. Вместо анализа данных с 10 разных утилит мы получаем автоматизированную систему.
Бытовая форензика: можно ли найти утечку с помощью бубна, удобрений и палок?