Выявление и реагирование на инциденты информационной безопасности: анализ сетевого трафика и вредоносного кода, проведение расследования
Данный курс готовит специалистов по компьютерной криминалистике делая упор на детальное изучение рассматриваемых тем и их тщательную и очень детальную проработку на практике. В отличие от конкурентов, наш курс начинает с самых основ компьютерной криминалистики и проводит через все темы обеспечивая оптимальный баланс между теорией и практикой. Наши выпускники в состоянии начать работать в качестве начинающих специалистов-криминалистов в одной из криминалистических лабораторий, а дальнейший рост квалификации будет уже в рамках работы по данной специализации
от 85 000₽
Для физ. лиц - 141 500₽
Для организаций - 141 500₽
Ближайшая группа
09.11.2026-27.11.2026
Формат
Гибридный
Длительность
120 часов
Часы занятий
10:00–17:00
Целевая аудитория
Данный курс готовит специалистов по компьютерной криминалистике делая упор на детальное изучение рассматриваемых тем и их тщательную и очень детальную проработку на практике
Получаемые знания и навыки
Наш курс начинает с самых основ компьютерной криминалистики и проводит через все темы обеспечивая оптимальный баланс между теорией и практикой. Наши выпускники в состоянии начать работать в качестве начинающих специалистов-криминалистов в одной из криминалистических лабораторий, а дальнейший рост квалификации будет уже в рамках работы по данной специализации. В рамках практических заданий и лабораторных работ рассматриваются конкретные примеры использования средств обеспечения информационной безопасности информационной инфраструктуры организации В том числе:- система обнаружения вторжения (IDS) - Snort, Suricata или иная
- SIEM-системы - Snort, Splunk, OSSEC, ELK-стек либо решение от вендоров, проработка использования системы управления событиями безопасности
- виртуальные машины - VirtualBox, VMWare и т.д. (разворачивание стенда, моделирование и изучение произошедшего инцидента ИБ)
- работа с различными ОС на виртуальных машинах: MacOS, Linux, Windows (задача занятия - где и какие артефакты нужно искать в различных операционных системах)
- работа с журнальными файлами: Windows – Event Log Explorer, либо стандартный, Linux (задача занятия - где эти располагаются журналы и как их можно открывать через консоль)
- средства анализа сетевого трафика – WireShark (предпочтительно), tcpdump, tshark или иные (задача занятия - понять, из чего состоит сетевой трафик, как его анализировать, как его снимать, как искать подозрительную активность)
- web-анализ - BurpSuite, браузер Mozilla FireFox
- анализ БД
- реверс-инжиниринг (статический и динамический анализ вредоносного программного обеспечения) - IDA Pro, x64dbg, x32dbg (задача занятия – верхнеуровневое понимание принципов работы)
от 85 000₽
Для физ. лиц - 141 500₽
Для организаций - 141 500₽
Программа курса
- Разбор кейсов — примеры расследования компьютерных преступлений
- Характеристики цифровых улик
- Роль цифровых улик
- Источники потенциальных улик
- Готовность к криминалистическому расследованию
- Форма сбора вещественных доказательств
- Сбор и сохранение электронных улик
- Работа с включенными компьютерами
- Работа с выключенными компьютерами
- Работа с сетевым компьютером
- Работа с открытыми файлами и файлами автозагрузки
- Процедура выключения операционной системы
- Работа с рабочими станциями и серверами
- Работа с портативными компьютерами
- Работа с включенными портативными компьютерами
- Методология расследования: защита улик
- Управление уликами
- Порядок передачи и хранения улик
- Упаковка и транспортировка электронных улик
- Нумерация вещественных доказательств
- Хранение электронных вещественных доказательств
- Методология расследования: сбор данных
- Руководство по сбору данных
- Дублирование данных
- Проверка целостности образа
- Восстановление данных
- Методология расследования: анализ данных
- Процесс анализа данных
- Программное обеспечение для анализа данных
- Этап после расследования
- Методология расследования: экспертное свидетельствование
- Профессиональное поведение
- Что содержится в оперативной памяти
- Преимущества анализа оперативной памяти перед анализом жесткого диска
- Извлечение памяти Windows
- Хранение дампов оперативной памяти (сравнение форматов)
- Специфика pagefile.sys и swapfile.sys
- Описание стандартных процесов
- Действия с подозрительными DLL и EXE
- Другие типы объектов в оперативной памяти
- Обзор жестких дисков
- Жесткие диски (HDD)
- Твердотельные накопители (SSD)
- Физическая структура жесткого диска
- Логическая структура жесткого диска
- Типы интерфейсов жестких дисков
- Интерфейсы жестких дисков
- Треки
- Секторы
- Кластеры
- Плохие секторы
- Бит, байт и полубайт
- Адресация данных на жестком диске
- Плотность данных на жестком диске
- Расчет емкости диска
- Измерение производительности жесткого диска
- Разделы диска и процесс загрузки
- Дисковые разделы
- Блок параметров BIOS
- Главная загрузочная запись (MBR)
- Глобальный уникальный идентификатор (GUID)
- Что такое процесс загрузки?
- Основные системные файлы Windows
- Процесс загрузки Windows
- Идентификация таблицы разделов GUID
- Анализ заголовка и записей GPT
- Артефакты GPT
- Процесс загрузки Linux
- Файловые системы
- Общие сведения о файловых системах
- Типы файловых систем
- Файловые системы Windows
- Файловые системы Linux
- Виртуальная файловая система (VFS)
- Система хранения RAID
- Уровни RAID
- Защищенные области хоста (HPA)
- Анализ файловой системы
- Выделение однородных массивов данных
- Анализ файла изображения (JPEG, BMP, шестнадцатеричный вид форматов файлов изображений)
- Анализ файла PDF
- Анализ файлов Word
- Анализ файлов PPT
- Анализ файлов Excel
- Шестнадцатеричный вид популярных форматов файлов (видео, аудио)
- Анализ файловой системы
- Концепции сбора и дублирования данных, типы систем сбора данных
- Получение данных в реальном времени
- Порядок волатильности
- Типичные ошибки при сборе изменчивых данных
- Методология сбора изменчивых данных
- Получение статических данных
- Статические данные
- Эмпирические правила
- Дубликаты образов
- Побитовая копия и резервная копия
- Проблемы с копированием данных
- Шаги по сбору и дублированию данных
- Подготовка формы передачи улик
- Включение защиты от записи на носителях-уликах
- Подготовка целевого носителя: руководство NIST SP 800-88
- Определение формата сбора данных
- Методы сбора данных
- Определение лучшего метода сбора данных
- Выбор инструмента для сбора данных
- Сбор данных с RAID-дисков
- Удаленное получение данных
- Ошибки при сборе данных
- Планирование нештатных ситуаций
- Рекомендации по сбору данных
- Что такое антифорензика и ее цели
- Техники антифорензики
- Удаление данных / файлов, что происходит при удалении файла в Windows
- Восстановление файлов
- Средства восстановления файлов в Windows
- Восстановление файлов в Linux
- Восстановление удаленных разделов
- Защита паролем
- Типы паролей
- Работа взломщика паролей
- Техники взлома паролей
- Пароли по умолчанию
- Использование радужных таблиц для взлома хэшей
- Аутентификация Microsoft
- Взлом системных паролей
- Обход паролей BIOS
- Инструменты для сброса пароля администратора, паролей приложений, системных паролей
- Стеганография и стеганализ
- Скрытие данных в структурах файловой системы
- Обфускация следов
- Стирание артефактов
- Перезапись данных и метаданных
- Шифрование
- Шифрующая файловая система (EFS)
- Инструменты восстановления данных EFS
- Шифрованные сетевые протоколы
- Упаковщики
- Руткиты, шаги для их обнаружения
- Минимизация следов
- Эксплуатация ошибок криминалистических инструментов
- Детектирование криминалистических инструментов
- Меры противодействия антифорензике
- Инструменты, затрудняющие криминалистическую экспертизу
- Введение в криминалистическую экспертизу ОС
- Криминалистическая экспертиза Windows
- Методология криминалистической экспертизы Windows
- Сбор энергозависимой информации (системное время, зарегистрированные пользователи, открытые файлы, информация о сети, сетевые подключения, информация о процессах, сопоставление процессов и портов, память процесса, состояние сети, файлы очереди печати и др.)
- Сбор энергонезависимой информации (файловые системы, настройки реестра, идентификаторы безопасности (SID), журналы событий, файл базы данных ESE, подключенные устройства, файлы гибернации, файл подкачки, скрытые альтернативные потоки и др.)
- Анализ памяти Windows (виртуальные жесткие диски (VHD), дамп памяти, механизм создания процесса, анализ содержимого памяти, анализ памяти процесса, извлечение образа процесса, сбор содержимого из памяти процесса)
- Анализ реестра Windows (устройство реестра, структура реестра, реестр как файл журнала, анализ реестра, системная информация, информация о часовом поясе, общие папки, беспроводные идентификаторы SSID, служба теневого копирования томов, загрузка системы, вход пользователя, активность пользователя, ключи реестра автозагрузки, USB-устройства, монтируемые устройства, отслеживание активности пользователей, ключи UserAssist)
- Кэш, Cookie и анализ истории (Mozilla Firefox, Google Chrome, Microsoft Edge и Internet Explorer)
- Анализ файлов Windows (точки восстановления системы, Prefetch-файлы, ярлыки, файлы изображений)
- Исследование метаданных (типы метаданных, метаданные в разных файловых системах, метаданные в файлах PDF, метаданные в документах Word, инструменты анализа метаданных)
- Журналы (типы событий входа в систему, формат файла журнала событий, организация записей событий, структура ELF_LOGFILE_HEADER, структура записи журнала, журналы событий Windows 10, криминалистический анализ журналов событий)
- Инструменты криминалистического анализа Windows
- Криминалистическая экспертиза LINUX
- Команды оболочки
- Файлы журнала Linux
- Сбор энергозависимых данных
- Сбор энергонезависимых данных
- Область подкачки
- Введение в сетевую криминалистику (анализ по журналам и в реальном времени, сетевые уязвимости, сетевые атаки, где искать доказательства)
- Основные понятия ведения журналов (лог-файлы как доказательство, законы и нормативные акты, законность использования журналов, записи о регулярно проводимой деятельности в качестве доказательства)
- Корреляция событий
- Типы корреляции событий
- Пререквизиты для корреляции событий
- Подходы к корреляции событий
- Обеспечение точности лог-файлов
- Записывать все
- Сохранение времени
- Цель синхронизации времени компьютеров
- Протокол сетевого времени (NTP)
- Использование нескольких датчиков
- Управления журналами
- Функции инфраструктуры управления журналами
- Проблемы с управлением журналами
- Решение задач управления журналами
- Централизованное ведение журнала
- Протокол Syslog
- Обеспечение целостности системы
- Контроль доступа к журналам
- Цифровая подпись, шифрование и контрольные суммы
- Анализ журналов
- Механизм сетевого криминалистического анализа
- Средства сбора и анализа журналов
- Анализ журналов маршрутизатора
- Сбор информации из таблицы ARP
- Анализ журналов брандмауэра, IDS, Honeypot, DHCP, ODBC
- Исследование сетевого трафика
- Сбор улик посредством сниффинга
- Анализаторы сетевых пакетов
- Документирование сетевых улик
- Реконструкция улик
- Концепции и типы вредоносного ПО
- Различные способы проникновения вредоносного ПО в систему
- Обычные методы, используемые злоумышленниками для распространения вредоносного ПО в интернете
- Компоненты вредоносного ПО
- Криминалистическая экспертиза вредоносных программ
- Зачем анализировать вредоносное ПО
- Идентификация и извлечение вредоносных программ
- Лаборатория для анализа вредоносных программ
- Подготовка тестового стенда для анализа вредоносных программ
- Инструменты для анализа вредоносных программ
- Общие правила анализа вредоносных программ
- Организационные вопросы анализа вредоносных программ
- Типы анализа вредоносных программ
- Статический анализ
- Статический анализ вредоносных программ: отпечатки файлов
- Онлайн-службы анализа вредоносных программ
- Локальное и сетевое сканирование вредоносных программ
- Выполнение поиска строк
- Определение методов упаковки / обфускации
- Поиск информации о переносимых исполняемых файлах (PE)
- Определение зависимостей файлов
- Дизассемблирование вредоносных программ
- Средства анализа вредоносных программ
- Динамический анализ
- Мониторинг процессов, файлов и папок, реестра, активности сети, портов, DNS, вызовов API, драйверов устройств, программ автозагрузки, служб Windows
- Анализ вредоносных документов
- Проблемы анализа вредоносных программ
- Подготовка отчета об исследовании
- Классификация отчетов
- Руководство по написанию отчета
- Рекомендации по написанию отчета
- Показания эксперта-свидетеля
- Кто такой эксперт-свидетель и его роль
- Технический свидетель и эксперт-свидетель
- Свидетельство в суде
- Общий порядок судебных разбирательств
- Общая этика при свидетельстве
- Значение графики в показаниях
- Как избежать проблем с показаниями
- Свидетельствование во время прямой экспертизы
- Свидетельствование во время перекрестного допроса
- Показания, приобщенные к материалам дела
- Работа со СМИ
Стоимость и условия оплаты
от 85 000₽
Для физ. лиц - 141 500₽
Для организаций - 141 500₽
Записаться на курс можно
Расписание курсов
CS-IBF
Выявление и реагирование на инциденты информационной безопасности: анализ сетевого трафика и вредоносного кода, проведение расследования
09.11.2026-27.11.2026
Гибридный
120 часов
10:00–17:00
85 000₽
85 000₽
Для физ. лиц - 141 500₽
Для организаций - 141 500₽
