المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

معلومات عامة

المقدمة

يصف هذا المستند المعلومات ذات الامتيازات التي يمكن أن تجمعها لقطة Forensic من نقاط النهاية.

تمت المساهمة بواسطة بيدرو ميدينا، مهندس برامج Cisco.

المتطلبات الأساسية

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- وحدة التحكم Cisco "Secure Endpoint"

- Cisco "Orbital"

المتطلبات

- الوصول إلى "نقطة النهاية الآمنة" مع مستخدم مسؤول أو غير مسؤول

- الوصول إلى Cisco "المداري"

ملاحظة: إذا كان المستخدم الخاص بك غير مسؤول، فيجب عليك طلب تمكين ميزة "لقطات جنائية لغير المسؤولين" من خلال فريق دعم TAC.

معلومات عامة

وبمجرد طلب لقطة للطب الشرعي، سيتم تقديم المعلومات على شكل جدول، استنادا إلى المعلومات المطلوبة، يمكن للمستخدم العثور على أي معلومات مطلوبة استنادا إلى جدول الوصف هذا:

الاسم

ماذا يعني

المخاوف المتعلقة بالخصوصية

عناصر AutoExec

العناصر التي يتم تشغيلها عند بدء تشغيل الجهاز

None

مراقبة تشفير Bitlocker

حالة التشفير لكل محرك أقراص يتم تحميله

بعض الرؤية في إصدارات غير مشفرة من الملفات

مراقبة جدول ذاكرة التخزين المؤقت ل DNS

المجالات التي تم البحث عنها مؤخرا

محفوظات المستعرض الأخيرة.

يستضيف بيانات الملف

العناصر في ملف الأجهزة المضيفة

None

البرامج المثبتة على المضيف

التطبيقات المثبتة

None

منافذ الاستماع

قوائم البرامج التي تفتح مستمعي الشبكة

None

تجزئات الوحدات النمطية المحملة

تجزئة قيم تشغيل ملفات مكتبة الارتباط الديناميكي (DLL)

None

عمليات الوحدات النمطية المحملة

اسم العمليات الجاري تشغيلها ومسار ومعرف العملية الخاص بها

None

الوحدات النمطية المحملة مقابل العمليات

تعيين معرف الوحدة النمطية من الوحدات النمطية المحملة إلى PID من جدول العمليات

None

جلسات تسجيل الدخول

المستخدمون الذين تم تسجيل دخولهم، بما في ذلك مستخدمو النظام

None

محركات أقراص معينة

نقاط التحميل المحلية والبعيدة، نوع نظام الملفات، معلومات قسم التمهيد، معلومات التشفير.

None

إتصالات الشبكة - العمليات

تخطيط إتصالات الشبكة الداخلية والصادرة بمعرف شخصي محدد، وعرض سطر أوامر بدء التشغيل الذي بدأ العملية.

التعرض المحتمل لاتصالات الشبكة الخاصة بتطبيقات معينة، والتي قد تكون خاصة.

واجهات الشبكة

قائمة بجميع واجهات الشبكة المادية والافتراضية على الجهاز

None

سجل توصيفات الشبكة

قائمة الشبكات التي قام الجهاز بالاتصال بها.

التعرض المحتمل لمعرف SSID ل WiFi.

إصدار نظام التشغيل

إصدار نظام التشغيل

None

محفوظات PowerShell

قائمة بكافة أوامر PowerShell التي يتم تشغيلها على الجهاز وتخزينها على النظام.

إمكانية كشف كلمات المرور، ومفاتيح API السرية، والبيانات الحساسة الأخرى التي تم ترميزها إلى برامج نصية.

دليل الإحضار المسبق

ميزة إدارة الذاكرة - سيحاول نظام التشغيل التحميل المسبق للجداول التي يتم تحميلها بشكل متكرر لتوفير وقت بدء التشغيل.

التعرض لعادات المستخدم.

بيانات الملفات الأخيرة

أحدث الملفات التي تم إستخدامها / الوصول إليها

التعرف على عادات المستخدم وأسماء الملفات الخاصة.

يتم الآن تشغيل تجزئة الملف

الاسم، المسار، سطر الأوامر، PID، مالك كافة الملفات التنفيذية قيد التشغيل.

None

تشغيل مراقبة الخدمات

الاسم ونوع الخدمة و PID ونوع بدء التشغيل لكافة الخدمات قيد التشغيل

None

المهام المجدولة

قائمة بكافة المهام التلقائية التي تم تعيينها لتشغيلها بشكل دوري على النظام

None

الموارد المشتركة

افتح شارسو في النظام

None

عناصر بدء التشغيل

العناصر التي يتم تشغيلها عند بدء تشغيل الجهاز - مختلفة عن AutoEXEC في أن هذه العناصر يتم تخزينها في مفاتيح السجل

None

مراقبة حالة شبكة النظام

إحصائيات الشبكة

None

بيانات ملف الدليل المؤقت

الملفات المؤقتة التي تم إنشاؤها بواسطة العمليات

تعرض محتمل لمحفوظات إستعراض المستخدم.

شهادات الجذر الموثوق فيها

عملية تفريغ بيانات مخزن الشهادات الجذر الموثوق بها

None

مفتاح تسجيل uBSTOR

محفوظات أجهزة USB المتصلة

كشف الأرقام التسلسلية للجهاز.

مجموعات المستخدمين

المجموعات المحلية الموجودة على الجهاز

None

مراقبة المستخدم

عرض الملفات التي تم تنفيذها مؤخرا

التعرض المحتمل للسلوك المخفي، مثل تشغيل التشفير أو أدوات المسح.

المستخدمون

المستخدمون المحليون على الجهاز

None

المستخدمون - تم تسجيل الدخول

المستخدمون المحليون الذين تم تسجيل دخولهم إلى الجهاز حاليا

None

مراقبة عوامل تصفية حدث WMI

مراقبة سجل الأحداث لعناصر محددة

None

مراقبة منتجات AV من Windows

الذي تم تثبيت برنامج مكافحة الفيروسات على النظام، إن وجد

None

مراقبة إدخالات BAM ل Windows

يقدم دليلا على تنفيذ الملفات

يمكن أن تكشف السلوكيات

متغيرات بيئة Windows

إظهار معلومات المسار ومتغيرات النظام، وما إلى ذلك.

None

إصلاحات Windows الساخنة

قائمة بكافة برامج التصحيح المثبتة

None

بحث عن مجالات Windows NT

قائمة المجالات التي يمكن للجهاز المصادقة عليها

None

مراقبة Windows ShellBags

يوفر معلومات حول وصول المستخدم إلى المجلدات وتفضيلات لعرض ذلك المجلد، إلخ.

التعرض لعادات المستخدم.

مراقبة Windows ShimCache

تعقب التوافق مع الملفات التنفيذية

تعرض سلوكيات المستخدم.

مراقبة امتدادات الكروم

قوائم امتدادات الكروم

تعرض سلوكيات المستخدم.

Windows Office MRU

تسرد أحدث الملفات المستخدمة لكل تطبيق من تطبيقات Office

كشف أسماء الملفات الحساسة، سلوك المستخدم