01Amaç ve kapsam
Kapanışta kaybolacak kanıtı korumak ve toplamanın kendisinin yol açtığı değişiklikleri belgelemek.
Karşılaşıldığında açık olan ve yetki ile risk değerlendirmesinin canlı toplamayı gerekçelendirdiği iş istasyonları ve sunucular. Mobil cihazlar SOP-05 kapsamındadır.
02Ön koşullar
- Hash değerleri önceden kaydedilmiş, yazma korumalı harici ortamda bilinen iyi araçlar.
- Tam bellek imajı için yeterli kapasitede steril hedef ortam.
- Canlı toplamanın gerekçeli olduğuna dair kaydedilmiş bir karar (şifreleme, uzaktan silme riski, çalışan kötü amaçlı süreç, çalışma durumu gerektiren sorular).
03Adımlar
Durumu fotoğraflayın ve not edin
Ekran içeriği, referans saate göre gösterilen saat, görünür uygulamalar, ağ göstergeleri. Enter'a ya da güç düğmesine basmayın.
KayıtFotoğraflar; saat sapması.
Ağ yalıtımına karar verin
Kabloyu çekmek veri sızdırmayı ve uzaktan silmeyi durdurur ancak canlı oturumları bitirir ve betikleri tetikleyebilir. Kararı ve zamanı kaydedin; yalıtıyorsanız ana bilgisayardaki arabirim durumu korunsun diye anahtar tarafında bağlantıyı kesmeyi tercih edin.
KayıtYalıtım kararı ve zamanı.
Önce belleği alın
Bellek edinim aracını harici ortamdan çalıştırın, hedef ortama yazın. Araç, sürüm, başlangıç ve bitiş zamanı, çıktı boyutu ve hash değerini kaydedin. Aracın kendi sürecinin artık imajda olduğunu not edin.
KayıtBellek edinim kaydı.
Çalışma durumu verilerini toplayın
Sırayla: sistem saati ve çalışma süresi, oturum açmış kullanıcılar, komut satırları ve üst süreçleriyle süreç listesi, ağ bağlantıları ve dinleyen portlar, ARP ve yönlendirme tabloları, açık dosyalar ve tanıtıcılar, yüklü sürücüler, bağlı birimler ve şifreleme durumu, pano. Her komutun çıktısı komut, zaman ve hash değeriyle hedef ortama yazılır.
KayıtHash değerli komut günlüğü.
Hukuka uygun olduğunda şifreleme durumunu koruyun
Şifreli birimler bağlıysa ve yetki izin veriyorsa mantıksal birimi erişilebilirken imajlayın ya da kurtarma bilgisini işletim sisteminin belgelenmiş yönetim arabirimi üzerinden kaydedin. Anahtarları imajda ya da raporda değil, vaka kaydıyla saklayın.
KayıtŞifreleme durumu ve eylemler.
Kapatın ya da devredin
Sisteme el konulabiliyorsa kontrollü kapatma; aksi hâlde toplanan veriler korunarak sürdürülen işletim için sistem sahibine belgelenmiş devir. Ardından depolama ortamı için SOP-04 ile devam edin.
KayıtKapatma ya da devir satırı.
04Üretilen kayıtlar
- Durum fotoğrafları ve saat sapması
- Karar günlüğü (canlı toplama, yalıtım)
- Hash değerli bellek edinim kaydı
- Çıktı başına hash değerli komut günlüğü
05Tuzaklar
- Araçları şüpheli sistemin kendi diskinden çalıştırmak, ele geçirilmiş olabilecek ikili dosyalarını kullanır ve kanıta yazar.
- Çalışma durumu verilerini bellekten önce toplamak, toplamanın önemli belleği üzerine yazmasına izin verir.
- Kaydedilmiş işletim sistemi yapısı olmayan bellek imajı sonradan güvenilir biçimde ayrıştırılamaz.
- Bellekte bulunan anahtarlar ya da kimlik bilgileri başka sistemlere ya da hesaplara erişim izni değildir.