淺談 事件調查&數位鑑識&惡意程式分析 - 資安

小弟只是一個版主常常一起打嘴砲的肥宅工程師之一，上週答應了版主寫一篇短文聊聊資訊安全在”防禦”面上，實際的工作內容會要做什麼。先說這一篇只會探討標題上面的三個部分，並沒有涵蓋所有的防禦方式，所以如果真的有興趣的朋友歡迎自己找尋更多資訊，或可以詢問版主(逃。

首先，關於事件調查&數位鑑識這兩者其實嚴格上來說性質是不太相同的，我相信有在該領域工作的人都會理解，不過有時候企業在接案子或是跟客戶溝通的時候，時常不會多去做說明…畢竟客戶不是花錢請你來做名詞解釋，他們花錢是來買解決方案的。從nttsecurity[1]的網站也看得出來，他們也沒有做過多的說明。下面我會根據我個人的見解分成三段來講解事件調查&數位鑑識&惡意程式分析。

@事件調查

首先，關於事件調查，英文為Incident Response，主要的目的其實有三個，找出受駭/被入侵原因，確認受損/外洩程度及還原資料/服務的應變措施，因為當你找尋顧問或專家來做事件調查時，想必一定是有很明顯的資安問題，例如：駭客攻擊/檔案加密/資料外洩…等，不然我相信一般人不會特別去請人來幫忙做事件調查。題外話，不過在台灣也是有聽過資安健檢這個詞，所以可能也還是有突然健檢就一個不小心被檢查到有問題，然後變成要做事件調查的案例…XD。

@數位鑑識

第二個要提到的是數位鑑識，英文為Digital forensics，數位鑑識嚴格來說算是需具有法律效力的一種搜集證據方式[2]，因為數位鑑識有一些會用到的工具也是有過法律認證的，這邊我們就不細談，因為那些機器/工具，我個人也只有看過沒有用過，有興趣的朋友可以看” 《一日系列第四十集》一日刑警”[3]
影片時間26:44以後會有講解到數位鑑識在做什麼(雖然都被馬光了XD)。當然數位鑑識也不是只有上面所論述的需要透過特殊機器或裝置才能做的一種手段，上述的數位鑑識比較像是今天要”抓賄選/貪污”等等一些被”刪除的資料”時，會用到的工具，如果今天是為了抓”駭客”，單獨調查一台主機上面的可疑行為或可疑訊息，透過windows內建的cmd，netstat tool，sysinternal tool，memory forensic
tools等，也算是鑑識的一種，換句話說，就是利用簡便的工具在不破壞該主機的環境下，做到辨識可疑行為、找尋可疑檔案及發現可疑連線等蛛絲馬跡。不過，現實的環境往往不會這麼美好，畢竟客戶迫切的需要回復，所以有時候也會整個主機的硬碟DD，帶回實驗室後再做鑑識。

@惡意程式分析

再來是惡意程式分析，英文為Malware analysis，大家聽到惡意程式分析往往會想到就是要一定要看組合語言，其實惡意程式分析也不是都一定是用C/C++去寫的…程式語言越來越多，所以各種程式都可以寫成惡意程式，但是如果對惡意程式分析有興趣的朋友也千萬不要逃避學習組合語言，因為這已經算是基本功。分析惡意程式的重點在於，如何判斷他是惡意的？如果像是蠕蟲，勒索軟體，MBR
virus[4]這種破壞型惡意程式當然好判斷，那如果這一支程式只是連上網路下載一個exe檔案呢？這就會要根據他下載的檔案內容或是去找尋這支程式起始點，看是駭客主動下指令去啟動的？還是有其他檔案丟下他並跑起來等。

@以故事來區別不同的行為

最後，我也用一個我個人遇到的案子來講解上述三者的不同的內容，某天某日某客戶遭遇了勒索軟體入侵，客戶通報廠商業務，請事件調查小組來進行調查與回報，但由於客戶與調查小組分隔兩國，調查小組只能以遠端桌面進行數位鑑識以及透過回收相關資安產品的紀錄檔來做分析，然而網路連線不穩定，遠端鑑識成效也不好，已加密的主機硬碟，現場support也不會做DD轉成image檔，後來只好整顆硬碟寄給調查小組，拿到實驗室進行硬碟的鑑識工作，並拉出內部所有可疑的檔案，讓惡意程式分析師進行惡意程式分析，分析完畢後再匯報給鑑識人員&調查小組，由調查小組븊整理所有資訊，包括找出攻擊進入點，受損程度評估以及給出可行性的回復措施，再報告給客戶並協助做回復的動作。
這個案例是將內容分得很細，但不代表就是分三種人去做這樣的事情…XD，整個事件有可能只分兩種人或甚至是一種人，就是統稱資安顧問，然後可能他還只是一個人QQ…真的很血汗。

@總結

我個人認為這三個名詞發生的順序比較像是 發生事件>>事件調查>>數位鑑識>>惡意程式分析>>回報事件&回復



以上只是肥宅工程師個人的見解，各位大大勿戰，如有問題歡迎找版主(逃

[1]https://www.nttsecurity.com/en-uk/services/technical-consulting/incident-response-forensics/overview
[2]http://www.phycos.com.tw/articles/87
[3]https://www.youtube.com/watch?v=u89-ujFTPqk
[4]http://www.ntfs.com/mbr-virus.htm

--