12+
Оглавление - Логи не врут. Практическая форензика для параноиков
- ВВОДНАЯ: АКСИОМА НУЛЕВОГО ДОВЕРИЯ
- — Манифест параноика. Почему люди всегда врут, а машинный код — никогда
- — Принцип Локара. «Каждый контакт оставляет след». Даже если ты просто посмотрел на файл
- — Красные флажки. Три ситуации, когда нужно закрыть ноутбук и звонить адвокату
- МОДУЛЬ 1. АНАТОМИЯ WINDOWS: ОПЕРАЦИОНКА-СТУКАЧ
- Глава 1. Реестр (Registry): ДНК системы
- — Почему Реестр помнит программы, которые удалили год назад
- — UserAssist и MUICache: Как доказать, что софт не просто лежал на диске, а запускался
- — USBSTOR: История подключений флешек. Как найти ту самую флешку, которую «никто никогда не вставлял»
- Глава 2. LNK-файлы и Jumplists: Призраки файлов
- — Пользователь удалил файл, но ярлык в «Недавних» остался
- — Анализ списков быстрого доступа: восстанавливаем хронологию открытия документов
- — Инструментарий: LECmd и JLECmd (Эрик Циммерман — наш бог)
- Глава 3. Prefetch и ShimCache: Память о совместимости
- — Что такое Prefetch и как он сдает время запуска приложения с точностью до секунды
- — ShimCache (AppCompatCache): Улика, которая живет, даже если файл стерт шредером
- МОДУЛЬ 2. БРАУЗЕРЫ И ПОВЕДЕНИЕ: ЦИФРОВОЙ ПСИХОАНАЛИЗ
- Глава 4. Инкогнито не спасет
- — Как браузеры хранят историю: SQLite базы данных под микроскопом
- — WebCache и Cookies: Восстанавливаем сессии и доказываем вход в аккаунт
- — HSTS и DNS-кэш: Как узнать, на какие сайты ходили в режиме Инкогнито (спойлер: это возможно)
- Глава 5. Мессенджеры: О чем молчат базы данных
- — Вскрытие баз данных Telegram Desktop (main. db)
- — Почему «Удалить у всех» в чате не всегда удаляет запись с жесткого диска собеседника
- — Анализ вложений и папок cache: картинки, которые пользователь даже не открывал
- Глава 6. Таймлайн (Timeline Analysis): Собираем пазл
- — Сведение всех артефактов в единую временную шкалу
- — Как понять, что произошло в системе за 5 минут: Вставил флешку -> Открыл документ -> Запустил CCleaner -> Выдернул флешку
- — Инструмент: Timeline Explorer (Как не сойти с ума от миллиона строк в Excel)
- МОДУЛЬ 3. НЕКРОМАНТИЯ ДАННЫХ
- Глава 7. Carving (Карвинг): Вырезаем по живому
- — Как найти файл не по имени, а по сигнатуре (Hex-заголовкам)
- — Восстановление данных из неразмеченной области диска (Unallocated Space)
- — Почему SSD-диски и команда TRIM — главные враги форензика, и есть ли шанс их победить
- Глава 8. Снимок ОЗУ (RAM): Ловим мысли системы
- — Почему самое интересное хранится в оперативной памяти (пароли, ключи шифрования, несохраненные тексты)
- — Как сделать дамп памяти, пока комп включен (FTK Imager)
- — Основы Volatility: ищем процессы-невидимки и открытые сетевые соединения
- ФИНАЛ. ПРЕВРАЩАЕМ БАЙТЫ В ДОКАЗАТЕЛЬСТВА
- Глава 9. Отчет, который невозможно оспорить
- — Правило «5W1H» (Who, What, Where, When, Why, How)
- — Как перевести с «эльфийского» (технического) на человеческий язык для заказчика или суда
- — Хэширование отчета: защита своей работы от подделки
- БОНУС-ТРЕК: ANTI-FORENSICS
- — Как преступники пытаются нас обмануть: смена времени, вайперы, шифрование
- — Как распознать, что против тебя работает профи, и почему это делает задачу еще интереснее