CHFI؛ پرونده‌ی یک صبح شنبه و پنج صحنه‌ی جرم‌شناسی دیجیتال

ساعت ۸ صبح شنبه، مدیر مالی یک شرکت زنگ می‌زند: «فایل‌های حسابداری پاک شده و یکی از کارمندها دیروز استعفا داده.» از این لحظه هر کلیکی که روی آن کامپیوتر زده شود، می‌تواند مدرک را نابود کند. کار CHFI، مدرک جرم‌شناسی دیجیتال EC-Council، دقیقاً همین است: پیدا کردن حقیقت بدون خراب کردن صحنه، طوری که نتیجه جلوی مدیر یا دادگاه قابل دفاع باشد. این صفحه قبلاً فهرست بیست درس نسخه‌ی قدیمی CHFI را داشت. این بار همان پرونده‌ی شنبه‌صبح را قدم‌به‌قدم دنبال می‌کنیم و در هر صحنه می‌بینیم CHFI امروز چه چیزی یاد می‌دهد.

صحنه‌ی اول: دست نزنید، ثبت کنید

اولین غریزه‌ی هر ادمین این است که کامپیوتر را روشن کند و «یک نگاه بیندازد». همین نگاه، تاریخ دسترسی صدها فایل را عوض می‌کند. محقق اول صحنه را ثبت می‌کند: عکس از صفحه و اتصال‌ها، فهرست افرادی که به دستگاه دست زده‌اند، و شروع زنجیره‌ی نگهداری (Chain of Custody)؛ برگه‌ای که نشان می‌دهد مدرک از لحظه‌ی برداشتن تا گزارش نهایی دست چه کسی بوده است. مدرکی که زنجیره‌اش پاره شده، هر چقدر هم درست باشد، قابل دفاع نیست.

صحنه‌ی دوم: اول چیزی که زودتر می‌پرد

اگر دستگاه روشن است، خاموش کردنش یعنی از دست دادن حافظه‌ی RAM: پروسه‌های در حال اجرا، اتصال‌های شبکه، و گاهی کلید رمزگشایی دیسک. قاعده‌ی «ترتیب ناپایداری» (Order of Volatility) می‌گوید از ناپایدارترین شروع کنید:

صحنه‌ی سوم: کپی دقیق، با اثر انگشت

محقق هیچ‌وقت روی دیسک اصلی کار نمی‌کند. دیسک با یک Write Blocker (قطعه‌ای که نوشتن روی دیسک را سخت‌افزاری قفل می‌کند) به دستگاه تحلیل وصل می‌شود، یک Image کامل گرفته می‌شود، و از هر دو، هش SHA-256 محاسبه می‌شود. یکی بودن دو هش یعنی کپی دقیقاً همان اصل است؛ همین عدد در گزارش نهایی ثبت می‌شود. ابزار رایگان FTK Imager برای همین کار رایج است.

صحنه‌ی چهارم: ساختن خط زمانی

حالا روی کپی، سؤال اصلی جواب داده می‌شود: چه کسی، چه زمانی، چه کرد؟ محقق ردپاها را کنار هم می‌گذارد تا یک خط زمانی بسازد:

• رخدادهای ویندوز: ورود و خروج کاربر، اتصال فلش، و پاک شدن لاگ‌ها (که خودش یک رخداد ثبت می‌کند).
• رجیستری و آثار اجرا: کدام برنامه کی اجرا شده، کدام فایل اخیراً باز شده، کدام دستگاه USB وصل شده.
• سیستم فایل: زمان ایجاد، تغییر و حذف فایل‌ها، و بازیابی فایل‌های پاک‌شده از فضای خالی دیسک.
• ایمیل و مرورگر و ابر: فایل به کجا فرستاده شد؟ آپلود شد یا روی فلش رفت؟

در پرونده‌ی ما، خط زمانی نشان می‌دهد ساعت ۱۷:۴۲ جمعه یک فلش وصل شده، پوشه‌ی حسابداری کپی شده، و ده دقیقه بعد فایل‌ها پاک شده‌اند. ابزار متن‌باز Autopsy برای همین تحلیل‌ها ساخته شده است. تحلیل ویندوز عمیق‌ترین بخش این کار است و دوره‌ی جداگانه‌ی خودش را دارد.

صحنه‌ی پنجم: گزارشی که یک غیرمتخصص بفهمد

نتیجه برای مدیر، وکیل یا قاضی نوشته می‌شود، نه برای متخصص. گزارش خوب می‌گوید چه مدرکی، چطور و با چه ابزاری برداشته شد، هش‌ها چه بودند، چه چیزی پیدا شد و چه چیزی پیدا نشد. محقق نظر شخصی نمی‌دهد؛ فقط آنچه شواهد نشان می‌دهد. اگر پرونده به دادگاه برسد، معمولاً باید از طریق کارشناس رسمی مطرح شود؛ قوانین هر کشور را جداگانه بررسی کنید.

CHFI دیروز و امروز

فهرست قدیمی این صفحه بیست درس داشت که دو تایش فقط آموزش دو نرم‌افزار تجاری (FTK و EnCase) بود. نسخه‌ی ۱۱ همان پایه را نگه داشته، ولی صحنه‌ی جرم امروز را پوشش می‌دهد:

کارت آزمون

CHFI برای چه کسی است؟

CEH یاد می‌دهد مهاجم چطور وارد می‌شود؛ CHFI یاد می‌دهد بعد از ورودش چطور ردش را پیدا کنید. اگر در تیم امنیت (SOC)، پاسخ به حادثه، حسابرسی یا واحد حقوقی و بازرسی کار می‌کنید، CHFI به کارتان نزدیک‌تر است. اگر هنوز پایه‌ی امنیت ندارید، از Security+ شروع کنید؛ و اگر طرف حمله برایتان جذاب‌تر است، ماشین زمان CEH را بخوانید.

تمرین را روی آزمایشگاه شخصی انجام دهید، نه روی دستگاه واقعی کسی. نقشه‌اش در آزمایشگاه شبکه روی لپ‌تاپ هست، و توزیع‌های آماده‌ی جرم‌شناسی مثل SIFT و CAINE را در جعبه‌ابزار لینوکس امنیتی معرفی کرده‌ایم. مسیر کامل دوره‌های دفاعی را هم در نقشه‌ی راه متخصص امنیت سایبری SANS ببینید.

پرسش‌های رایج