Цифровая криминалистика (компьютерная криминалистика, digital forensics) – дисциплина, которая занимается поиском, фиксацией, сохранением и анализом цифровых следов на компьютерах, серверах, мобильных устройствах, в сети и облаках. Результаты используются для расследования инцидентов информационной безопасности, внутренних расследований и как доказательства в суде.
Основные этапы
- Идентификация источников данных.
- Сохранение: снятие образов дисков и памяти с контролем целостности (хеши), фиксация цепочки хранения доказательств.
- Анализ: файловые системы, журналы, реестр, артефакты браузеров и приложений, память, сетевой трафик.
- Отчёт с выводами, понятный неспециалистам.
Направления
- Криминалистика рабочих станций и серверов.
- Анализ оперативной памяти.
- Мобильная криминалистика.
- Сетевая криминалистика.
- Реагирование на инциденты (DFIR).
Инструменты
Средства снятия образов и анализа с открытым кодом и коммерческие, в том числе российские; EDR-системы с функциями сбора артефактов.
