Avancerade forensiska verktyg I

Administrativ information

Kursplan (pdf)
Kurslitteratur:	Bunting, S. (2007) EnCase Computer Forensics, includes DVD: The Official EnCE: EnCase Certified Examiner Study Guide John Wiley & Sons. ISBN-13: 978-0470181454
Kurskod:	DT2005
Kursen ingår i:	Se kursplan
Schema:	[Länk]
Kursansvarig:	Mattias Weckstén
Övrig personal:
Examinator:	Mattias Weckstén

DInformation

7/2 Schemat är nu åtgärdat. Case går v.8,  praktiskt prov v.9, omprov och omlabbar v.10

Läsplan

vecka 3 Ch1 Computer Hardware, Ch3 First Response
vecka 4 Ch4 Acquiring Digital Evidence, Ch5 EnCase concepts
vecka 5 Ch6 EnCase environment, Ch2 File Systems
vecka 6 Ch7 Understanding, searching for and bookmarking data
vecka 7 Ch8 File signature analysis and hash analysis
vecka 8 Ch9 Windows Operating System Artifacts
vecka 9 Ch10 Advanced EnCase
vecka 10 Eget arbete med case och praktiskt prov.

Föresläsningsanteckningar 2012

19/1 Ch3 [Video] (online)
24/1 Ch4 [Video] (online)
26/1 Ch5 [Video] (online)
31/1 Ch6 [Video] (online)
2/2 Ch2 [Video] (online)
7/2 Ch7 [Video] (online)
14/2 Ch8 [Video] (pending)

Föresläsningsanteckningar 2011

Intro (pdf, 200 kB)
HW + First response (pdf, 350 kB)
Acquiring (pdf, 620 kB)
Concepts (pdf, 310 kB)
Environment (pdf, 250 kB)
File systems (pdf, 340 kB)
Searching & bookmarking (pdf, 1 MB)
File signatures & hashing (pdf, 170 kB)
Windows Artifacts (pdf, 180 kB)
Advanced EnCase (pdf, 180 kB)

Duggor

Dugga 1: 19/1, 10.15, Kap. 3
Dugga 2: 24/1, 13.15, Kap. 4
Dugga 3: 26/1, 10.15, Kap. 5
Dugga 4: 31/2, 13.15, Kap. 6
Dugga 5: 2/2, 10.15, Kap. 2
Dugga 6: 7/2, 10.15, Kap. 7
Dugga 7: 14/2, 10.15, Kap. 8
Dugga 8: 21/2, 10.15, Kap. 9
Dugga 9: 28/2, 10.15, Kap. 10

Inlämning

Labbar

Labb 1 (pdf, 120 kB)
Labb 2
Labb 3
Labb 4

Labbsystem

Tenta

Medtag blyertspenna och radergummi!
Anteckna alla svar i provhäftet. För över svaren till blanketten. Koda siffersvar.
Svar får endast lämnas på tilldelade svarsblanketter.
Svar som inte går att läsa automatiskt är samma som att lämna blankt.
Exempel på svarshäfte (pdf, 340 kB).

Gammalt praktiskt prov (pdf, 8 kB)
Gammal tenta (pdf, 27 kB) Lösningsmall

Case

Under vecka 8-10 kommer vi att genomföra en praktisk laboration eller ett "case". Ni kommer att tilldelas ett okänt system i en okänd miljö där ni under mycket kort tid (30 minuter) kan jobba med systemet. Detta betyder att ni i er plan måste ta hänsyn till vad som måste göras på plats och vad som kan göras hemma i labbet. Caset är ett grupparbete för 3 personer och är tänkt att redovisas som en forensisk rapport av ett tilldelat system. Detaljerad information kommer via email.

Extramaterial

Explore_FAT32 [Slides (pdf, 900 kB)] [Notes (pdf, 950 kB)] [Raw-dd] [Encase]
Toolbox (lösenordet är föreläsarens förnamn i lowercase)
Tips

Forensisk hårdvara

Tableau

Forensisk mjukvara

WinHex
Raptor
OSForensics

Övrig mjukvara

WinDirStat
RegExCoach

Övrigt

Lest We Remember: Cold Boot Attacks on Encryption Keys
Principles of Digital Evidence Collection
Forensic Examination of Digital Evidence: A Guide for Law Enforcement
Olika GREP-uttryck
Rekonstruktion av IE-filer och trashcan (Odessa->White papers)

Referenslitteratur

Bejtlich, R., Jones, K.J., Rose, C.W. (2007) Computer Forensics Library Boxed Set Addison-Wesley. ISBN-13: 978-0321525642