Thursday, December 22, 2005

The age of "Nintendo forensics"...

...is coming to a close. Or, racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, it needs to. Looking around, seeing what's going on in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 community, and in particular, in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 news, I have to think that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 days of blindly imaging a system and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n running searches for keywords or images are going to be a thing of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 past soon.

Windows systems in particular hold a wealth of information. There are areas of systems that are largely unexplored by many forensic analysts, particularly on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 law enforcement side of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 house. Now, I know that this is in large part due to case loads, staffing, training, and simply time. However, more knowledgeable law enforcement officers (at all levels...local, state, and even federal) as well as more knowledgeable system administrators (and even CIOs) will serve to level cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 playing field between cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 good guys and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bad guys.

What am I talking about? I'm talking about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that Windows XP and 2003 are becoming more prevalent by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 day, and soon Vista will be in production and on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 streets. We (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 forensic community) can no longer operate from an MS-DOS standpoint.

Don't get me wrong...data reduction through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 use of searches, file hashes, etc., is still extremely useful. However, a search for an ASCII string may turn up very little when searching cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Windows Registry. One needs to understand cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 format of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Registry (even on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 binary level) and how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Registry is structured. The same holds true with ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r file formats...OLE/compound documents (MS Word being cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most prevalent example), PE files, Event Log files, INFO2 files, and even shortcuts. Yes, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are tools that can be run to pull information from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 files but does cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 person running cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tool understand what's happening "under cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hood"?

Now, some of you are going to say, "Hey, I don't need to know how to locate and program cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 computer systems in my car in order to drive a car.", and I'd say, "You're right." However, what I'm talking about is pulling more comprehensive information from an image of a Windows system, and building a better case. In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 face of more sophisticated malware, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 expanding use of rootkits, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 increase of publicized anti-forensic techniques, I'm beginning to see how a greater level of knowledge is necessary.

2 comments:

Anonymous said...

I am so much in agreement with you here. I always used to think that computer forensics positions were only available to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 people who knew that level of detail about a system, or at least knew some level of detail and knew how to find out about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 things cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y didn't know. Unfortunately, as I'm starting to find out, this always isn't cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case. (I know cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are people out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re with this level of knowledge - but I have not been able to work with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m yet)

The problem I have run into is that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 forensic investigators where I have worked have things like Encase certification and can follow cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SOPs in regards to imaging a computer, etc, but if you ask cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m how things like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 registry work, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y'd have no clue.

Do you have any suggestions in regards to this? I know your book and training is definitely a good place to go but what else out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re can be used to get this kind of knowledge?

H. Carvey said...

"...computer forensics positions were only available to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 people who knew that level of detail about a system, or at least knew some level of detail and knew how to find out about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 things cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y didn't know."

Yeah, like you said, that really doesn't seem to be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case at all.

Do you have any suggestions in regards to this?

Where to go to get more detailed training? To be honest, I really don't know. I have received word that some folks have found some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 available training courses to be beneficial, but after digging into it a bit with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m, what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se amount to, really, is getting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attendees to actually start looking in places like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Registry, using single keys. For example, having cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 contents of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 HKLM\..\Run key on an imaged system.

Anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r popular key is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TimeZoneInformation key.

However, as far as really detailed analysis...correlating multiple keys, as well as correlating keys with information found in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file system...well, this isn't being taught...not that I'm aware of.

Keep in mind that vendors will provide what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 market asks for...so what that's telling me is that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re simply isn't cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 recognition of this kind of analysis in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 marketplace. It's not very often that you'll see someone offering something new and innovative in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 general marketplace, b/c that sort of thing doesn't survive (it does do well at BlackHat Training, for example, but that's a completely different audience).

I've been looking at providing something like this. Locating interested people to attend isn't difficult...locating interested people who can pay and actually attend is anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r thing entirely. Maybe a better approach would be to teach cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 basic stuff first (competing with everyone else who already does this), and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n adding cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 advanced stuff immediately following.

Thanks for your comments.