0Pricing
Cyber Security Academy · Lekcja

Analiza osi czasu i raportowanie

Tworzenie i przedstawianie przebiegu zdarzeń

Analiza osi czasu i raportowanie to bezpłatna lekcja Cyber Security Academy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Cyber Security Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Dlaczego osie czasu mają znaczenie

Oś czasu informatyki śledczej układa zdarzenia chronologicznie, dzięki czemu śledczy może zobaczyć pełny przebieg: początkowy dostęp, ruch boczny, utrzymanie dostępu i eksfiltrację.

Rozproszone artefakty niewiele znaczą w izolacji. Oś czasu przekształca tysiące zdarzeń opatrzonych znacznikami czasu w spójną narrację, którą może zrozumieć analityk, kierownik lub sąd.

Super oś czasu

Super oś czasu łączy znaczniki czasu ze wszystkich dostępnych źródeł w jednym posortowanym widoku: czasy MACB systemu plików, rejestr, logi zdarzeń, historię przeglądarki, funkcję prefetch i logi sieciowe.

Projekt Plaso (log2timeline) jest standardowym narzędziem, które tworzy znormalizowaną bazę danych osi czasu z różnorodnych artefaktów.

# Build a Plaso storage file from an image
log2timeline.py --storage-file case.plaso evidence.dd

# Output a filtered CSV timeline
psort.py -o l2tcsv -w timeline.csv case.plaso \
  'date > "2024-06-01" AND date < "2024-06-05"'

Normalizacja stref czasowych

Znaczniki czasu pochodzą z systemów używających różnych stref czasowych i formatów. Ich mieszanie prowadzi do fałszywej kolejności zdarzeń i błędnych wniosków.

  • Należy normalizować wszystko do UTC na potrzeby analizy
  • Należy zapisywać źródłową strefę czasową każdego artefaktu
  • Należy uwzględniać rozbieżność zegarów między hostami

Aby uniknąć błędnej interpretacji, w raporcie należy zawsze jawnie podawać strefę czasową.

Pivotowanie i filtrowanie

Surowy super timeline może zawierać miliony wierszy. Kluczem jest pivotowanie: należy zacząć od znanego zdarzenia (alertu, podrzucenia złośliwego oprogramowania) i rozszerzać analizę na sąsiednie momenty.

  • Najpierw ograniczyć analizę do właściwego przedziału czasu
  • Pivotować po użytkowniku, hoście lub procesie
  • Szukać skupisk aktywności wokół kluczowych momentów

Narzędzia takie jak Timesketch pozwalają zespołom wspólnie oznaczać zdarzenia i dodawać do nich adnotacje.

# Load a timeline into Timesketch for collaborative analysis
timesketch_importer --sketch_id 7 \
  --timeline_name 'Host-A super timeline' timeline.csv

Świadomość antyforensyki

Atakujący próbują zacierać ślady na osiach czasu:

  • Timestomping: fałszowanie wartości MACB
  • Czyszczenie logów: wymazywanie dzienników zdarzeń
  • Bezpieczne usuwanie: nadpisywanie plików

Należy porównywać ze sobą niezależne źródła. Jeśli znacznik czasu $STANDARD_INFORMATION pliku w MFT różni się od jego znacznika czasu w $FILE_NAME, należy podejrzewać timestomping. Wyczyszczone logi często pozostawiają własny ślad kryminalistyczny (np. identyfikator zdarzenia 1102).

Mapowanie na model

Potwierdzone zdarzenia należy przypisać do uznanego modelu, aby ustalenia były porównywalne i kompletne:

  • MITRE ATT&CK: taktyki i techniki (np. T1059 wykonywanie poleceń, T1070 usuwanie wskaźników)
  • Cyber Kill Chain: od rozpoznania do działań na celu

Mapowanie na model pomaga obrońcom identyfikować luki i zapewnia raportom wspólne słownictwo.

Odróżnianie ustaleń od opinii

Raport, którego można bronić, wyraźnie rozdziela trzy kwestie:

  • Fakty: to, co bezpośrednio pokazują dowody (plik istnieje, suma skrótu jest zgodna)
  • Ustalenia: uzasadnione wnioski wynikające z faktów
  • Opinie i ograniczenia: interpretacja wraz z określeniem niepewności

Nie należy wyciągać przesadnych wniosków. Należy równie uczciwie odnotować, czego dowody nie pokazują, jak to, co pokazują.

Struktura raportu

Jasny raport z informatyki śledczej zazwyczaj zawiera:

  • Streszczenie dla kadry kierowniczej dla odbiorców nietechnicznych
  • Zakres i upoważnienie
  • Metodykę i narzędzia (wraz z wersjami)
  • Wykaz dowodów i sumy skrótów
  • Ustalenia i oś czasu
  • Wnioski i zalecenia
  • Załączniki z artefaktami w surowej postaci

Pisanie dla dwóch grup odbiorców

Raporty są przeznaczone zarówno dla kadry kierowniczej, jak i dla recenzentów technicznych. Streszczenie dla kadry kierowniczej musi przedstawiać wpływ i ryzyko prostym językiem, natomiast główna część raportu musi zawierać wystarczająco dużo szczegółów technicznych, aby inny analityk mógł odtworzyć i zweryfikować analizę.

W streszczeniu należy unikać żargonu, a w głównej części raportu — ogólników. Każde ustalenie powinno dać się powiązać z konkretnymi dowodami, dla których obliczono sumy skrótów.

Możliwość obrony ustaleń i zeznania biegłego

Jeśli sprawa trafia do sądu, analityk może zeznawać jako biegły. Raport i notatki muszą wytrzymać przesłuchanie krzyżowe:

  • Metody są zwalidowane i powtarzalne
  • Łańcuch dowodowy jest zachowany
  • Wnioski są proporcjonalne do dowodów
  • Wersje narzędzi i ich ograniczenia są ujawnione

Możliwość obrony ustaleń buduje się przez cały czas trwania sprawy, a nie dodaje na końcu.

Potwierdzanie ustaleń wieloma źródłami

Pojedynczy artefakt rzadko dowodzi, że zdarzenie miało miejsce. Solidne osie czasu potwierdzają każde twierdzenie za pomocą niezależnych źródeł.

  • Wykonanie programu: prefetch + Amcache + dziennik zdarzeń + połączenie sieciowe
  • Logowanie: zdarzenie zabezpieczeń + rejestr + zdalny dziennik uwierzytelniania

Gdy kilka niepowiązanych artefaktów wskazuje na to samo, ustalenie jest solidne. Gdy są sprzeczne, przed wyciągnięciem wniosku należy zbadać przyczynę tej sprzeczności.

Szybki test

Proszę sprawdzić swoją wiedzę o osiach czasu i raportowaniu.

Podsumowanie

Zakończyli Państwo proces analizy kryminalistycznej:

  • Super timelines (Plaso/log2timeline) łączą wszystkie źródła artefaktów
  • Normalizować do UTC i uwzględniać rozbieżność zegarów
  • Pivotować i filtrować na podstawie znanych zdarzeń; zwracać uwagę na antyforensics
  • Mapować ustalenia na MITRE ATT&CK
  • Rozdzielać fakty, ustalenia i opinie
  • Pisać raporty, których można bronić i które można odtworzyć, przeznaczone dla obu grup odbiorców

Mogą już Państwo opracować i przedstawić kompletną narrację śledczą.

Często zadawane pytania

Czy lekcja „Analiza osi czasu i raportowanie” jest bezpłatna?

Tak — pełny tekst „Analiza osi czasu i raportowanie” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Cyber Security Academy, przejdź na CoddyKit PRO. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Analiza osi czasu i raportowanie”?

Tworzenie i przedstawianie przebiegu zdarzeń Ćwiczysz Cyber Security Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Cyber Security Academy?

Nie wymagamy żadnego doświadczenia. Cyber Security Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.

Ile czasu zajmuje lekcja „Analiza osi czasu i raportowanie”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Cyber Security Academy?

Tak. Każda lekcja Cyber Security Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

  1. Podstawy informatyki śledczej i łańcuch dowodowy
  2. Obrazowanie dysków i analiza systemu plików
  3. Informatyka śledcza sieci z PCAP
  4. Analiza osi czasu i raportowanie
← Powrót do Cyber Security Academy