20.500.12556/DKUM-55286 Postopki zajema in analiza ter pomen neobstojnih podatkov v digitalni forenziki diplomsko delo visokošolskega strokovnega študija Informacijska varnost Methods of acquiring and analysing volatile data and the importance of volatile data in the field of digital forensics V diplomski nalogi predstavljamo vejo digitalne forenzike, ki se ukvarja z zajemom, zavarovanjem in delom z neobstojnimi podatki. Neobstojni podatki so podatki, ki se hranijo v neobstojnem pomnilniku, dokler ima ta dostop do izvora energije. V trenutku, ko je dostop do elektrike prekinjen, se podatki postopoma, a razmeroma hitro izgubijo. V nalogi skušamo opozoriti na pomen neobstojnih podatkov v forenzičnih preiskavah, saj obsegajo med drugim tudi vse podatke in vse aplikacije, ki jih imamo trenutno naložene in zagnane. Z vidika varnosti pa so v pomnilniku shranjeni tudi vsi aktivni šifrirni ključi itd. V nalogi na začetku na kratko predstavimo osnovne pojme v zvezi s samim področjem. Nalogo nadaljujemo s predstavitvijo postopka zajema neobstojnih podatkov, kjer je poudarek tudi na načrtovanju zajema podatkov. Prav tako predstavimo nekatera programska orodja za zajem in analizo slik delovnega pomnilnika. Praktično prikažemo primer zajema neobstojnih podatkov iz delovnega pomnilnika s pomočjo izkoriščanja neposrednega dostopa do pomnilnika (ang. DMA) s pomočjo programske opreme Inception in vmesnika Firewire. Prav tako predstavimo programsko orodje Volatility. Opravimo tudi praktično analizo pomnilniških slik na primerih iskanja gesel v čistopisu, iskanja zgoščenih vrednosti iz registra, najdenega v pomnilniški sliki, karvanja datotek iz pomnilniške slike ter izvedemo enostavno analizo trojanskega konja Zeus s pomočjo prej pridobljene slike delovnega pomnilnika. This Graduation Theses deals with the research of digital forensics, specifically with volatile data in volatile memory. Volatile data is the data that is stored in volatile memory only as long as the memory has access to the source of energy. At the moment access to the electricity is interrupted, the data in this type of memory is gradually, but relatively quickly lost. In the thesis we are trying to present the importance of volatile data in volatile memory for forensic investigations, as this type of memory contains all the data from the applications that are currently running in the system. From the point of view of security, data is important as it could contain active encryption keys etc. We briefly present some basic concepts how memory works. Then we continue with the presentation of methods of acquiring volatile data, where a special emphasis is on planning the data capture. We also present some of the software tools that are needed to acquire and analyze images of working memory. Thesis’s practical content includes acquiring unstable data from the main memory through the exploitation of Direct Memory Access (DMA), with the use of software Inception and Firewire interface. We also present the basic practical use of software tools as Volatility for the purpose of carrying out analysis on the acquired memory images. Volatility is also used for acquiring plain view passwords stored in memory images, searching and extracting password hash values from the registry hives found in the image memory, carving files from a memory image and analyzing the Zeus Trojan horse with the help of memory forensic techniques. računalništvo pomnilniki podatki neobstojni podatki forenzične preiskave digitalna forenzika diplomske naloge volatile memory volatile data memory forensics true true false G. Bogovčič] Slovenski jezik Angleški jezik Diplomsko delo/naloga 2015-10-14 20:18:31 2015-11-18 16:15:04 2022-06-08 03:11:36 2021-05-14 03:18:33 2015 0 [Ljubljana 2015 [Ljubljana 64 str. 0000-00-00 NiDoloceno NiDoloceno NiDoloceno 0000-00-00 0000-00-00 0000-00-00 343.983:004.33(043.2) 3053034 URN:SI:UM:DK:3KC4RF5I VS_Bogovcic_Gregor_2015.pdf VS_Bogovcic_Gregor_2015.pdf 1 7CDFC305E797175CE53E5E265AEAE306 a0075226062adc5ce912107cbe9423b16e863653a3fc62fd907f20e1bddc4fe7 05af31c9-7c08-11eb-bb7a-00155d0001ca https://dk.um.si/Dokument.php?lang=slv&id=82591 Fakulteta za varnostne vede 0 0 0