При расследовании судебных экспертов часто просят восстановить действия подозреваемого в сети. Наиболее важные сетевые действия могут быть обобщены в двух категориях: электронная почта и привычки просмотра Web-сайтов. В этой лекции обсуждается комплект инструментальных средств, который должен использовать судебный аналитик для восстановления сетевой деятельности на машине подозреваемого. Здесь также распутываются некоторые зацепки, которые были обнаружены во время полевого испытания.
Приложение Internet Explorer. Поскольку оно легко доступно, многие пользователи выбирают его для использования в качестве заданного по умолчанию почтового клиента. Поэтому, судебный эксперт должен быть готов к восстановлению электронной почты, сгенерированной из этой программы. В этом разделе описано, как судебный аналитик может использовать Outlook Express несколько отличным от обычного пользователя способом, чтобы помочь установить направление дальнейшего расследования.
Чтобы установить Outlook Express, вы должны сначала установить Internet Explorer. После того как он установлен на судебном компьютере, его больше не нужно конфигурировать. Аналитик просто импортирует интересующую его электронную почту в свою копию Outlook Express на судебном компьютере. Это можно выполнить с помощью следующих действий.
Outlook Express и выберите File/Import/Messages (Файл/Импорт/Сообщения).Outlook Express выберите версию Outlook Express, которую вы хотите импортировать. Затем щелкните на Next (Далее).
Outlook Express обнаружил, что содержание каталога действительно является истинным хранилищем почты, он предлагает вам опцию выбора любой или всех доступных папок. Выберите соответствующую опцию (опции) и щелкните на Next (Далее).Необходимо знать места хранения почтовых файлов для различных версий Windows. В таблице 23.1 показаны типичные места расположения этих файлов.
| Операционная система | Типичные места хранения почты Outlook Express |
|---|---|
| Windows 2000 | C:\Documents and Settings\< имя пользователя >\Local Settings\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
| Windows NT | C:\winnt\profiles\< имя пользователя >\Local Settings\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
| Windows 95/98/Me | C:\Windows\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
Информация должна быть скопирована из файла улик в новый каталог прежде, чем вы импортируете ее в Outlook Express, потому что для работы Outlook Express требуется такой доступ к данным, который позволяет чтение и запись, а файлы улик, обычно, запрещают запись.
Приложение Outlook, устанавливаемое с комплектом Microsoft Office, часто встречается в корпоративных расследованиях. Электронную почту, созданную в Outlook, восстановить даже проще, чем электронную почту приложения Outlook Express. Файлы с расширением .Outlook для хранения электронной почты.
После того как папки личных файлов подозреваемого найдены, вы можете открыть их, выбирая File/Open/Outlook Outlook ).
После того как вы выбрали файл, он монтируется в дереве папок. Затем вы можете просмотреть электронную почту, календарь, задачи и контакты, содержащиеся в этих файлах, без вмешательства другой существующей в Outlook электронной почты. В следующем экранном снимке папка с названием "1 февраля 2002" является папкой личных файлов, открытой из файла, обнаруженного в нашем примере улик.
) имеют собственную версию почтовой программы, которая встречается так же часто, как Outlook Express. Подобно Outlook Express, файлы приложения Netscape, которые входят в почтовые папки, сохраняются в каталоге. Вместо простого импортирования, как мы делали в Outlook Express, или открытия файла, как это делается в Outlook, мы должны использовать более хитрое решение, чтобы получить доступ к электронной почте Netscape.
Первый шаг к использованию Netscape Messenger для импорта электронной почты заключается в нахождении каталогов, в которых он хранит электронную почту. В следующей таблице показаны пути к каталогам, в которых обычно сохраняются почтовые сообщения в Netscape.
Операционная система Типичное место хранения почты Netscape
| Операционная система | Типичное место хранения почты Netscape |
|---|---|
| Windows 2000 | C:\Documents и Settings\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
| Windows NT | C:\winnt\profiles\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
| Windows 95/98/Me | C:\Windows\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
Следующий шаг в восстановлении почты Netscape состоит в создании правильной почтовой учетной записи в пределах любого профиля на судебном компьютере. Здесь мы будем использовать заданный по умолчанию профиль, который автоматически установлен приложением Netscape (если потребуется, вы можете взять на себя хлопоты по создания "реального" профиля вместо использования профиля, заданного по умолчанию в Netscape ). Гораздо проще, однако, выбрать File/Import (Файл/Импорт), чтобы импортировать любую электронную почту приложения Outlook Express, которая уже существует на судебном компьютере. Мы выбираем для импортирования приложение Outlook Express, потому что оно установлено почти в каждой системе Windows. Мы делаем это не для того, чтобы действительно отыскать локальную электронную почту Outlook Express, а для создания необходимой структуры каталогов и изменения конфигурационных файлов в пределах Netscape, чтобы поставить себя в положение, пригодное для импорта электронной почты,
обнаруженной в файле улик. Как только вы завершите этот процесс, не забудьте удалить любую электронную почту, которая была импортирована из Outlook Express, потому что она была импортирована локально, а не из файлов улик. Если вы не удалите эти локально импортированные данные, вы создадите риск смешивания интересующей вас электронной почты с электронной почтой судебного компьютера.
Чтобы проиллюстрировать только что описанное, создадим структуру каталогов и сделаем необходимые изменения в конфигурационных файлах Netscape так, чтобы мы могли импортировать почту Netscape.
После импорта локальной электронной почты Outlook Express вам надо удалить содержимое почты. К этому моменту вы будете иметь необходимую структуру каталогов и конфигурационные файлы, установленные так, чтобы импортировать электронную почту Netscape из данных улик. Поскольку для импорта электронной почты мы используем профиль, то импортированные данные будут отделены от другого содержимого (в данном случае мы используем профиль по умолчанию, но мы можем выбрать создание нового, используя уникальный номер дела того инцидента, который мы расследуем).
Заданный по умолчанию профиль в пределах Netscape теперь готов импортировать почту с компьютера подозреваемого. Каталог с именем imported mail (импортированная почта) - то место, куда мы копируем интересующую нас электронную почту Netscape.
Важно, чтобы вы понимали структуру каталога дерева почтового хранилища Netscape. Каталог Mail и его подкаталоги содержат файлы почтового хранилища. Каждая из дополнительных папок в каталоге Mail представляет различные почтовые учетные записи. Например, пользователь может иметь более одной почтовой учетной записи, управляемой различными провайдерами услуг, и каждая имеет свой собственный каталог в каталоге Mail.
В пределах каталога учетной записи имеется несколько обычных файлов, каждый из которых представляет почтовые ящики в пределах почтовой учетной записи. Мы скопируем эти файлы почтовых ящиков из каталога интересующей нас учетной записи и разместим их в почтовом каталоге правильной пользовательской учетной записи на нашем судебном компьютере для анализа. Это позволит нам просматривать интересующую нас электронную почту.
На следующем экране показана структура каталога на судебном компьютере. Каталог default автоматически создан приложением Netscape, и мы устанавливаем учетную запись, импортируя локальное хранилище электронной почты Outlook Express с судебного компьютера, как описано выше. Каталог default.new является каталогом хранения почты, который мы скопировали с машины подозреваемого. Просто скопируйте почтовые файлы в пределах каталогов учетной записи в каталог imported email на судебном компьютере.
Далее, откройте программу Netscape Messenger и просмотрите импортированную почтовую папку, которая появляется на левой панели окна. Обратите внимание, что в профиле default.new, который мы получили с машины подозреваемого, появляется несколько каталогов account. Процесс импортирования электронной почты, представленный ранее, нужно повторить для каждой учетной записи (или каталога-хранилища электронной почты Netscape ), обнаруженной на машине подозреваемого.
Служба
Служба
Служба profile (профиль) для предоставления различных входов в систему и адресов электронной почты, которые используются с клиентом
Клиенты службы , который содержит почти все когда-либо распространяемые версии. Клиенты свободно доступны для загрузки.
Файлы данных службы
Очевидно, клиент службы
AOL AOL После того как вы выполнили эти шаги, прокрутите экран вниз, чтобы найти почтовые папки. Следующий экран отображает почтовые папки для учетной записи fsorensics@
Содержимое почтовой папки можно внимательно просмотреть, дважды щелкнув на отдельных почтовых заголовках.
Вы можете просматривать заголовки SMTP для полученной электронной почты, щелкая на кнопке Details (Подробно) сверху индивидуального почтового сообщения, как показано на следующем экране.
Интересное различие между
Вы должны также обратить внимание на дополнительный каталог, расположенный под каталогом ниже organize, с именем CACHE, который может содержать более старые версии почтовых ящиков подозреваемого. Во многих расследованиях может оказаться ценной возможность анализа этих файлов, потому что, по мере добавления или удаления электронной почты на компьютере подозреваемого, изменения показываются, как снимки в каталоге CACHE. Используя описанные выше шаги, вы можете восстановить эти файлы.
Хотя в большинстве систем Unix захваченная почта располагается в единственном текстовом файле, следователь может манипулировать данными для облегчения просмотра и анализа. В этом разделе для восстановления почтовых файлов подозреваемого и анализа их содержимого будут использоваться инструментальные средства, имеющиеся в большинстве инсталляций систем Linux и FreeBSD.
Файл электронной почты Unix обычно располагается в каталоге /var/spool/mail/username в Linux, и в каталоге /var/mail/username в системе FreeBSD. Другие разновидности Unix имеют подобный каталог и структуру именования файлов. Этот файл содержит всю электронную почту для определенного пользователя с именем username, и каждое сообщение подписывается в этот файл. Файл можно рассматривать с помощью стандартных средств просмотра текстов, потому что формат файла не запатентован.
Если почтовый файл содержит много вложений или если подозреваемый сохранил тысячи сообщений, пролистывание текстового файла в редакторе общего назначения (см. лекцию "Средства просмотра файлов и редакторы общего назначения") может быть неэффективным и даже непрактичным. Кроме того, без использования специализированных декодеров файловых вложений, аналитик, читающий полный текстовый файл в редакторе общего назначения первоначально, скорее всего, не сможет рассмотреть какие-либо вложенные файлы. Поэтому у аналитика должна быть возможность управлять электронной почтой в почтовой программе, чтобы полностью проанализировать содержание и увеличить эффективность.
Электронная почта может быть восстановлена с помощью следующих действий.
forensic# ls -al Mailbox -rw-r--r-- 1 kjones 1000 15745 Mar 5 15:16 Mailbox forensic# cp Mailbox /var/mail/kjones
su системы, на пользователя, почтовый ящик которого был скопирован. В данном случае, пользователь - kjones.IE History - это инструмент, который вы можете использовать для обработки файлов данных, связанных с Web-броузерами. Инструмент IE History можно получить, отправив запрос по электронной почте ее автору, Скотту Пондеру (Scott Ponder) по адресу support@phillipsponder.com. Цель инструмента IE History сделать разбор двоичных файлов истории так, чтобы можно было проанализировать каждое посещение Web-сайта. Без инструментов такого типа отслеживание использования Web-броузера было бы затруднено, потому что содержимое этого файла нельзя прочесть полностью, используя средства общего назначения, предназначенные для просмотра файлов.
После запуска IE History вы должны увидеть экран, подобный показанному ниже.
Щелкните на кнопке Open
Инструмент IE History может обрабатывать много различных типов файлов, включая файлы истории деятельности в Internet Explorer и в Netscape Web. В таблице 23.2 суммированы места обычного расположения этих файлов.
| Операционная система | Web-броузер | Пути к файлам |
|---|---|---|
| Windows 95/98/Me | Internet Explorer |
\Windows\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows NT | Internet Explorer |
\Winnt\Profiles\< имя пользователя >\Local Settings\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows 2000 | Internet Explorer |
\Document and Settings\< имя пользователя >\Local Settings\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows 95/98/Me | Netscape |
\Windows\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Windows NT | Netscape |
\Winnt\Profiles\< имя пользователя >\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Windows 2000 | Netscape |
\Documents and Settings\< имя пользователя >\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Unix (Linux, BSD, etc.) | Netscape |
~< имя пользователя >/.netscape/ Любой файл index.dat является файлом истории. |
Другая функция инструмента IE History заключается в его способности сортировать обращения к интернету по адресам URL или по дате посещения. Более того, щелкая правой кнопкой мыши на отдельной строке и выбирая Go To URL, вы можете загружать URL в заданном по умолчанию броузере на судебном компьютере.
И последний тип файлов, который может транслировать инструмент IE History - это записи в Recycle Bin (Корзина) операционной системы Windows. Поскольку Windows, как известно, хранит удаленные файлы в Recycle Bin (Корзина) перед тем, как произвести истинное стирание их с диска, эти записи могут дать много ключей к тому, что подозреваемый удалял перед тем, как были собраны улики. В следующей таблице суммированы места расположения записей INFO2 в операционных системах Windows.
| Операционная система | Места расположения записей INFO2 в Recycle Bin (Корзина) |
|---|---|
| Windows 95/98/Me | \RECYCLED\INFO2 |
| Windows NT/2000 | \RECYCLER \<SID пользователя>\INFO2 |
После копирования записей из корзины компьютера подозреваемого загрузите файл INFO2 в инструмент IE History таким же способом, который используется для загрузки файлов index.dat или history.db. На следующей иллюстрации показан пример записи из корзины После того как она была загружена в IE History.
Пример из жизни. Пропавший подозреваемый
Вы являетесь судебным экспертом ЦРУ, в задачу которого входит анализ компьютера предполагаемого террориста. Агентство сообщает вам, что лэптоп и настольный компьютер подозреваемого были захвачены в его гостиничном номере сразу после того, как он исчез. Предполагается, что подозреваемый намеревался угнать самолет, направляющийся из Бельгии в Соединенные Штаты, с пока неизвестными последствиями.
Агентство хотело бы знать обо всех недавних контактах подозреваемого, а также мотивы и/или возможные последствия этой ситуации. Кроме того, любая сетевая связь между подозреваемым и другими людьми может дать указания о будущих действиях террористов и может помочь сохранить жизни невинных людей. После исследования судебной копии машины подозреваемого вы находите следующие программы, установленные или используемые.
Netscape (и соответствующие почтовые программы).Internet Explorer (и следовательно Outlook Express ).Используя стандартные методы судебного анализа, вы решаете, что лучшие улики обычно находятся в электронной почте и в истории просмотров интернет-сайтов. Поэтому вы решаете сначала восстановить электронную почту, а затем исследовать сайты, посещенные в интернете. Порядок этой реконструкции произволен. Сразу же после завершения стадии реконструкции вы сравните и скоррелируете результаты.
Outlook Express. Так как электронная почта Outlook Express была обнаружена в судебных копиях, полученных с машин подозреваемого, вы решаете (произвольно), что сначала восстановите эту электронную почту. После импортирования файлов обнаружены почтовые сообщения, показанные на следующих рисунках.
Исследователи получили зацепку, указывающую, что адрес электронной почты, принадлежащий highflyer21060@yahoo.com может дать больше информации об исчезновении подозреваемого. Кроме того, эта информация может дать зацепку, которая выведет на другого потенциального заговорщика. Имейте в виду однако, что такую информацию можно получить только с надлежащими юридическими документами и только официальным лицам правоохранительных органов. Без надлежащего анализа электронной почты эта информация могла бы быть потеряна, поскольку почтовые файлы, отформатированные приложением Outlook Express обычно трудно находить без оригинального приложения.
Почта Netscape. Далее вы находите почтовый каталог, предназначенный для хранения электронной почты Netscape (места расположения этих файлов обсуждены в разделе Netscape в этой лекции). Используя методы реконструкции, описанные в этой лекции, вы обнаруживаете следующие почтовые сообщения.
Восстановление электронной почты Netscape с компьютера подозреваемого увеличило количество зацепок в проводимом расследовании. Дополнительный адрес электронной почты, highflyer@toughguy.net, использовался подозреваемым для связи с учетной записью почты Yahoo!, highflyer21060@yahoo.com. Кроме того, если содержание электронных сообщений заслуживает доверия, то создается впечатление, что план был отменен. Однако вы должны относиться к этой информации с осторожностью, поскольку она может быть столь же фальшивой и беспринципной, как и сам ее отправитель. Тем не менее, легко заметить, что эта информация не была бы обнаружена без восстановления электронной почты Netscape, найденной на интересующем нас компьютере.
Почтовые ящики Unix. На следующих иллюстрациях показано, как представляются почтовые файлы, найденные на компьютере подозреваемого после их восстановления способом, рассмотренным ранее в этой лекции в разделе "Почтовые ящики Unix".
Теперь у вас есть дополнительные зацепки! Если не известно, что подозреваемый пользовался адресом электронной почты bossman@toughguy.net, то вы можете прийти к одному из следующих заключений.
Так или иначе, теперь следствие имеет больше зацепок.
IE History. Чтобы исследовать, какие сайты подозреваемый посещал в интернете, вы анализируете файлы index.dat приложения Internet Explorer и файлы history.dat приложения Netscape, обнаруженные в захваченных уликах.
Используя таблицу, приведенную в разделе " IE History ", вы находите файлы index.dat, которые содержат URL-адреса и даты посещения их подозреваемым. При вводе каталога Content.IE5 вы находите файл index.dat и открываете его, используя инструмент IE History. После просмотра списка Web-сайтов, которые посещал подозреваемый, вы замечаете, что он определенно использовал этот компьютер, чтобы организовать свой маршрут авиапутешествия. Подозреваемый искал билеты из Брюсселя до Балтимора в районе 20 марта 2002 г. Вы просматриваете те же самые маршруты, которые подозреваемый просматривал, щелкая правой кнопкой мыши на URL-адресах и выбирая пункт меню Go To URL.
Вам потребуется повторить этот процесс на других Web-сайтах, посещенных с машины подозреваемого, чтобы получить полную картину его деятельности в интернете. Кроме того, вы видите, что подозреваемый пытался забронировать место в отеле Hilton в старом городе Александрии (штат Виргиния); расположенном рядом с Вашингтоном (округ Колумбия).
В заключение вы увидели, что объект разыскивал информацию, касающуюся путешествия, которое начинается в Брюсселе и заканчивается в пригороде столичного Вашингтона. Если бы вы не сумели восстановить историю просмотра интернет-сайтов, эта информация была бы потеряна. Теперь следователи могут начинать розыск в этих областях и усиливать охрану на международных рейсах.
При расследовании судебных экспертов часто просят восстановить действия подозреваемого в сети. Наиболее важные сетевые действия могут быть обобщены в двух категориях: электронная почта и привычки просмотра Web-сайтов. В этой лекции обсуждается комплект инструментальных средств, который должен использовать судебный аналитик для восстановления сетевой деятельности на машине подозреваемого. Здесь также распутываются некоторые зацепки, которые были обнаружены во время полевого испытания.
Приложение Internet Explorer. Поскольку оно легко доступно, многие пользователи выбирают его для использования в качестве заданного по умолчанию почтового клиента. Поэтому, судебный эксперт должен быть готов к восстановлению электронной почты, сгенерированной из этой программы. В этом разделе описано, как судебный аналитик может использовать Outlook Express несколько отличным от обычного пользователя способом, чтобы помочь установить направление дальнейшего расследования.
Чтобы установить Outlook Express, вы должны сначала установить Internet Explorer. После того как он установлен на судебном компьютере, его больше не нужно конфигурировать. Аналитик просто импортирует интересующую его электронную почту в свою копию Outlook Express на судебном компьютере. Это можно выполнить с помощью следующих действий.
Outlook Express и выберите File/Import/Messages (Файл/Импорт/Сообщения).Outlook Express выберите версию Outlook Express, которую вы хотите импортировать. Затем щелкните на Next (Далее).Outlook Express обнаружил, что содержание каталога действительно является истинным хранилищем почты, он предлагает вам опцию выбора любой или всех доступных папок. Выберите соответствующую опцию (опции) и щелкните на Next (Далее).Необходимо знать места хранения почтовых файлов для различных версий Windows. В таблице 23.1 показаны типичные места расположения этих файлов.
| Операционная система | Типичные места хранения почты Outlook Express |
|---|---|
| Windows 2000 | C:\Documents and Settings\< имя пользователя >\Local Settings\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
| Windows NT | C:\winnt\profiles\< имя пользователя >\Local Settings\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
| Windows 95/98/Me | C:\Windows\Application Data\Identities\< уникальная длинная строка >\Microsoft\Outlook Express\ |
Информация должна быть скопирована из файла улик в новый каталог прежде, чем вы импортируете ее в Outlook Express, потому что для работы Outlook Express требуется такой доступ к данным, который позволяет чтение и запись, а файлы улик, обычно, запрещают запись.
Приложение Outlook, устанавливаемое с комплектом Microsoft Office, часто встречается в корпоративных расследованиях. Электронную почту, созданную в Outlook, восстановить даже проще, чем электронную почту приложения Outlook Express. Файлы с расширением .Outlook для хранения электронной почты.
После того как папки личных файлов подозреваемого найдены, вы можете открыть их, выбирая File/Open/Outlook Outlook ).
После того как вы выбрали файл, он монтируется в дереве папок. Затем вы можете просмотреть электронную почту, календарь, задачи и контакты, содержащиеся в этих файлах, без вмешательства другой существующей в Outlook электронной почты. В следующем экранном снимке папка с названием "1 февраля 2002" является папкой личных файлов, открытой из файла, обнаруженного в нашем примере улик.
) имеют собственную версию почтовой программы, которая встречается так же часто, как Outlook Express. Подобно Outlook Express, файлы приложения Netscape, которые входят в почтовые папки, сохраняются в каталоге. Вместо простого импортирования, как мы делали в Outlook Express, или открытия файла, как это делается в Outlook, мы должны использовать более хитрое решение, чтобы получить доступ к электронной почте Netscape.
Первый шаг к использованию Netscape Messenger для импорта электронной почты заключается в нахождении каталогов, в которых он хранит электронную почту. В следующей таблице показаны пути к каталогам, в которых обычно сохраняются почтовые сообщения в Netscape.
Операционная система Типичное место хранения почты Netscape
| Операционная система | Типичное место хранения почты Netscape |
|---|---|
| Windows 2000 | C:\Documents и Settings\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
| Windows NT | C:\winnt\profiles\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
| Windows 95/98/Me | C:\Windows\Application Data\Mozilla\profiles\< имя пользователя >\< уникальное имя файла >.slt\Mail\ |
Следующий шаг в восстановлении почты Netscape состоит в создании правильной почтовой учетной записи в пределах любого профиля на судебном компьютере. Здесь мы будем использовать заданный по умолчанию профиль, который автоматически установлен приложением Netscape (если потребуется, вы можете взять на себя хлопоты по создания "реального" профиля вместо использования профиля, заданного по умолчанию в Netscape ). Гораздо проще, однако, выбрать File/Import (Файл/Импорт), чтобы импортировать любую электронную почту приложения Outlook Express, которая уже существует на судебном компьютере. Мы выбираем для импортирования приложение Outlook Express, потому что оно установлено почти в каждой системе Windows. Мы делаем это не для того, чтобы действительно отыскать локальную электронную почту Outlook Express, а для создания необходимой структуры каталогов и изменения конфигурационных файлов в пределах Netscape, чтобы поставить себя в положение, пригодное для импорта электронной почты,
обнаруженной в файле улик. Как только вы завершите этот процесс, не забудьте удалить любую электронную почту, которая была импортирована из Outlook Express, потому что она была импортирована локально, а не из файлов улик. Если вы не удалите эти локально импортированные данные, вы создадите риск смешивания интересующей вас электронной почты с электронной почтой судебного компьютера.
Чтобы проиллюстрировать только что описанное, создадим структуру каталогов и сделаем необходимые изменения в конфигурационных файлах Netscape так, чтобы мы могли импортировать почту Netscape.
После импорта локальной электронной почты Outlook Express вам надо удалить содержимое почты. К этому моменту вы будете иметь необходимую структуру каталогов и конфигурационные файлы, установленные так, чтобы импортировать электронную почту Netscape из данных улик. Поскольку для импорта электронной почты мы используем профиль, то импортированные данные будут отделены от другого содержимого (в данном случае мы используем профиль по умолчанию, но мы можем выбрать создание нового, используя уникальный номер дела того инцидента, который мы расследуем).
Заданный по умолчанию профиль в пределах Netscape теперь готов импортировать почту с компьютера подозреваемого. Каталог с именем imported mail (импортированная почта) - то место, куда мы копируем интересующую нас электронную почту Netscape.
Важно, чтобы вы понимали структуру каталога дерева почтового хранилища Netscape. Каталог Mail и его подкаталоги содержат файлы почтового хранилища. Каждая из дополнительных папок в каталоге Mail представляет различные почтовые учетные записи. Например, пользователь может иметь более одной почтовой учетной записи, управляемой различными провайдерами услуг, и каждая имеет свой собственный каталог в каталоге Mail.
В пределах каталога учетной записи имеется несколько обычных файлов, каждый из которых представляет почтовые ящики в пределах почтовой учетной записи. Мы скопируем эти файлы почтовых ящиков из каталога интересующей нас учетной записи и разместим их в почтовом каталоге правильной пользовательской учетной записи на нашем судебном компьютере для анализа. Это позволит нам просматривать интересующую нас электронную почту.
На следующем экране показана структура каталога на судебном компьютере. Каталог default автоматически создан приложением Netscape, и мы устанавливаем учетную запись, импортируя локальное хранилище электронной почты Outlook Express с судебного компьютера, как описано выше. Каталог default.new является каталогом хранения почты, который мы скопировали с машины подозреваемого. Просто скопируйте почтовые файлы в пределах каталогов учетной записи в каталог imported email на судебном компьютере.
Далее, откройте программу Netscape Messenger и просмотрите импортированную почтовую папку, которая появляется на левой панели окна. Обратите внимание, что в профиле default.new, который мы получили с машины подозреваемого, появляется несколько каталогов account. Процесс импортирования электронной почты, представленный ранее, нужно повторить для каждой учетной записи (или каталога-хранилища электронной почты Netscape ), обнаруженной на машине подозреваемого.
Служба
Служба
Служба profile (профиль) для предоставления различных входов в систему и адресов электронной почты, которые используются с клиентом
Клиенты службы , который содержит почти все когда-либо распространяемые версии. Клиенты свободно доступны для загрузки.
Файлы данных службы
Очевидно, клиент службы
AOL AOL После того как вы выполнили эти шаги, прокрутите экран вниз, чтобы найти почтовые папки. Следующий экран отображает почтовые папки для учетной записи fsorensics@
Содержимое почтовой папки можно внимательно просмотреть, дважды щелкнув на отдельных почтовых заголовках.
Вы можете просматривать заголовки SMTP для полученной электронной почты, щелкая на кнопке Details (Подробно) сверху индивидуального почтового сообщения, как показано на следующем экране.
Интересное различие между
Вы должны также обратить внимание на дополнительный каталог, расположенный под каталогом ниже organize, с именем CACHE, который может содержать более старые версии почтовых ящиков подозреваемого. Во многих расследованиях может оказаться ценной возможность анализа этих файлов, потому что, по мере добавления или удаления электронной почты на компьютере подозреваемого, изменения показываются, как снимки в каталоге CACHE. Используя описанные выше шаги, вы можете восстановить эти файлы.
Хотя в большинстве систем Unix захваченная почта располагается в единственном текстовом файле, следователь может манипулировать данными для облегчения просмотра и анализа. В этом разделе для восстановления почтовых файлов подозреваемого и анализа их содержимого будут использоваться инструментальные средства, имеющиеся в большинстве инсталляций систем Linux и FreeBSD.
Файл электронной почты Unix обычно располагается в каталоге /var/spool/mail/username в Linux, и в каталоге /var/mail/username в системе FreeBSD. Другие разновидности Unix имеют подобный каталог и структуру именования файлов. Этот файл содержит всю электронную почту для определенного пользователя с именем username, и каждое сообщение подписывается в этот файл. Файл можно рассматривать с помощью стандартных средств просмотра текстов, потому что формат файла не запатентован.
Если почтовый файл содержит много вложений или если подозреваемый сохранил тысячи сообщений, пролистывание текстового файла в редакторе общего назначения (см. лекцию "Средства просмотра файлов и редакторы общего назначения") может быть неэффективным и даже непрактичным. Кроме того, без использования специализированных декодеров файловых вложений, аналитик, читающий полный текстовый файл в редакторе общего назначения первоначально, скорее всего, не сможет рассмотреть какие-либо вложенные файлы. Поэтому у аналитика должна быть возможность управлять электронной почтой в почтовой программе, чтобы полностью проанализировать содержание и увеличить эффективность.
Электронная почта может быть восстановлена с помощью следующих действий.
forensic# ls -al Mailbox -rw-r--r-- 1 kjones 1000 15745 Mar 5 15:16 Mailbox forensic# cp Mailbox /var/mail/kjones
su системы, на пользователя, почтовый ящик которого был скопирован. В данном случае, пользователь - kjones.IE History - это инструмент, который вы можете использовать для обработки файлов данных, связанных с Web-броузерами. Инструмент IE History можно получить, отправив запрос по электронной почте ее автору, Скотту Пондеру (Scott Ponder) по адресу support@phillipsponder.com. Цель инструмента IE History сделать разбор двоичных файлов истории так, чтобы можно было проанализировать каждое посещение Web-сайта. Без инструментов такого типа отслеживание использования Web-броузера было бы затруднено, потому что содержимое этого файла нельзя прочесть полностью, используя средства общего назначения, предназначенные для просмотра файлов.
После запуска IE History вы должны увидеть экран, подобный показанному ниже.
Щелкните на кнопке Open
Инструмент IE History может обрабатывать много различных типов файлов, включая файлы истории деятельности в Internet Explorer и в Netscape Web. В таблице 23.2 суммированы места обычного расположения этих файлов.
| Операционная система | Web-броузер | Пути к файлам |
|---|---|---|
| Windows 95/98/Me | Internet Explorer |
\Windows\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows NT | Internet Explorer |
\Winnt\Profiles\< имя пользователя >\Local Settings\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows 2000 | Internet Explorer |
\Document and Settings\< имя пользователя >\Local Settings\History\History.IE5\ Любой файл index.dat является файлом истории. |
| Windows 95/98/Me | Netscape |
\Windows\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Windows NT | Netscape |
\Winnt\Profiles\< имя пользователя >\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Windows 2000 | Netscape |
\Documents and Settings\< имя пользователя >\Application Data\Mozilla\Profiles\< название профиля >\< каталог профиля >\ Любой файл index.dat является файлом истории. |
| Unix (Linux, BSD, etc.) | Netscape |
~< имя пользователя >/.netscape/ Любой файл index.dat является файлом истории. |
Другая функция инструмента IE History заключается в его способности сортировать обращения к интернету по адресам URL или по дате посещения. Более того, щелкая правой кнопкой мыши на отдельной строке и выбирая Go To URL, вы можете загружать URL в заданном по умолчанию броузере на судебном компьютере.
И последний тип файлов, который может транслировать инструмент IE History - это записи в Recycle Bin (Корзина) операционной системы Windows. Поскольку Windows, как известно, хранит удаленные файлы в Recycle Bin (Корзина) перед тем, как произвести истинное стирание их с диска, эти записи могут дать много ключей к тому, что подозреваемый удалял перед тем, как были собраны улики. В следующей таблице суммированы места расположения записей INFO2 в операционных системах Windows.
| Операционная система | Места расположения записей INFO2 в Recycle Bin (Корзина) |
|---|---|
| Windows 95/98/Me | \RECYCLED\INFO2 |
| Windows NT/2000 | \RECYCLER \<SID пользователя>\INFO2 |
После копирования записей из корзины компьютера подозреваемого загрузите файл INFO2 в инструмент IE History таким же способом, который используется для загрузки файлов index.dat или history.db. На следующей иллюстрации показан пример записи из корзины После того как она была загружена в IE History.
Пример из жизни. Пропавший подозреваемый
Вы являетесь судебным экспертом ЦРУ, в задачу которого входит анализ компьютера предполагаемого террориста. Агентство сообщает вам, что лэптоп и настольный компьютер подозреваемого были захвачены в его гостиничном номере сразу после того, как он исчез. Предполагается, что подозреваемый намеревался угнать самолет, направляющийся из Бельгии в Соединенные Штаты, с пока неизвестными последствиями.
Агентство хотело бы знать обо всех недавних контактах подозреваемого, а также мотивы и/или возможные последствия этой ситуации. Кроме того, любая сетевая связь между подозреваемым и другими людьми может дать указания о будущих действиях террористов и может помочь сохранить жизни невинных людей. После исследования судебной копии машины подозреваемого вы находите следующие программы, установленные или используемые.
Netscape (и соответствующие почтовые программы).Internet Explorer (и следовательно Outlook Express ).Используя стандартные методы судебного анализа, вы решаете, что лучшие улики обычно находятся в электронной почте и в истории просмотров интернет-сайтов. Поэтому вы решаете сначала восстановить электронную почту, а затем исследовать сайты, посещенные в интернете. Порядок этой реконструкции произволен. Сразу же после завершения стадии реконструкции вы сравните и скоррелируете результаты.
Outlook Express. Так как электронная почта Outlook Express была обнаружена в судебных копиях, полученных с машин подозреваемого, вы решаете (произвольно), что сначала восстановите эту электронную почту. После импортирования файлов обнаружены почтовые сообщения, показанные на следующих рисунках.
Исследователи получили зацепку, указывающую, что адрес электронной почты, принадлежащий highflyer21060@yahoo.com может дать больше информации об исчезновении подозреваемого. Кроме того, эта информация может дать зацепку, которая выведет на другого потенциального заговорщика. Имейте в виду однако, что такую информацию можно получить только с надлежащими юридическими документами и только официальным лицам правоохранительных органов. Без надлежащего анализа электронной почты эта информация могла бы быть потеряна, поскольку почтовые файлы, отформатированные приложением Outlook Express обычно трудно находить без оригинального приложения.
Почта Netscape. Далее вы находите почтовый каталог, предназначенный для хранения электронной почты Netscape (места расположения этих файлов обсуждены в разделе Netscape в этой лекции). Используя методы реконструкции, описанные в этой лекции, вы обнаруживаете следующие почтовые сообщения.
Восстановление электронной почты Netscape с компьютера подозреваемого увеличило количество зацепок в проводимом расследовании. Дополнительный адрес электронной почты, highflyer@toughguy.net, использовался подозреваемым для связи с учетной записью почты Yahoo!, highflyer21060@yahoo.com. Кроме того, если содержание электронных сообщений заслуживает доверия, то создается впечатление, что план был отменен. Однако вы должны относиться к этой информации с осторожностью, поскольку она может быть столь же фальшивой и беспринципной, как и сам ее отправитель. Тем не менее, легко заметить, что эта информация не была бы обнаружена без восстановления электронной почты Netscape, найденной на интересующем нас компьютере.
Почтовые ящики Unix. На следующих иллюстрациях показано, как представляются почтовые файлы, найденные на компьютере подозреваемого после их восстановления способом, рассмотренным ранее в этой лекции в разделе "Почтовые ящики Unix".
Теперь у вас есть дополнительные зацепки! Если не известно, что подозреваемый пользовался адресом электронной почты bossman@toughguy.net, то вы можете прийти к одному из следующих заключений.
Так или иначе, теперь следствие имеет больше зацепок.
IE History. Чтобы исследовать, какие сайты подозреваемый посещал в интернете, вы анализируете файлы index.dat приложения Internet Explorer и файлы history.dat приложения Netscape, обнаруженные в захваченных уликах.
Используя таблицу, приведенную в разделе " IE History ", вы находите файлы index.dat, которые содержат URL-адреса и даты посещения их подозреваемым. При вводе каталога Content.IE5 вы находите файл index.dat и открываете его, используя инструмент IE History. После просмотра списка Web-сайтов, которые посещал подозреваемый, вы замечаете, что он определенно использовал этот компьютер, чтобы организовать свой маршрут авиапутешествия. Подозреваемый искал билеты из Брюсселя до Балтимора в районе 20 марта 2002 г. Вы просматриваете те же самые маршруты, которые подозреваемый просматривал, щелкая правой кнопкой мыши на URL-адресах и выбирая пункт меню Go To URL.
Вам потребуется повторить этот процесс на других Web-сайтах, посещенных с машины подозреваемого, чтобы получить полную картину его деятельности в интернете. Кроме того, вы видите, что подозреваемый пытался забронировать место в отеле Hilton в старом городе Александрии (штат Виргиния); расположенном рядом с Вашингтоном (округ Колумбия).
В заключение вы увидели, что объект разыскивал информацию, касающуюся путешествия, которое начинается в Брюсселе и заканчивается в пригороде столичного Вашингтона. Если бы вы не сумели восстановить историю просмотра интернет-сайтов, эта информация была бы потеряна. Теперь следователи могут начинать розыск в этих областях и усиливать охрану на международных рейсах.
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.