CYB-06 — Zabezpieczanie materiału: logi i PCAP
MATERIAŁ DYDAKTYCZNY ALFA-LAB

CEL

Pakiet zawiera puste szablony do udokumentowania przyjęcia, kopiowania, analizy,
przekazania i zakończenia pracy z logami oraz własnym plikiem PCAPNG. Nie jest to
pełny kurs informatyki śledczej, porada prawna ani gwarancja dopuszczalności
materiału w postępowaniu.

PLIKI

- szablon-rejestru-materialu.txt — identyfikatory, pochodzenie, metadane i sumy;
- szablon-rejestru-czynnosci.txt — chronologiczny zapis operacji;
- szablon-przekazania.txt — udokumentowanie zmiany osoby odpowiedzialnej;
- szablon-raportu.txt — raport studenta bez klucza odpowiedzi;
- SHA256SUMS.txt — sumy kontrolne wszystkich pozostałych plików tego katalogu.

MATERIAŁ ŹRÓDŁOWY

Zestaw nie zawiera gotowego PCAP ani kopii logów z CYB-05.

Logi syntetyczne ALFA-LAB pobierz ze strony:
/materialy/sieci-komputerowe/laboratoria/lab-08-korelacja-logow-siem/

Krótki PCAPNG wykonaj samodzielnie wyłącznie w izolowanej LAB-CYBER. Ogranicz
przechwycenie do własnego ruchu testowego, na przykład ARP, ICMP między własnymi
maszynami i HTTP do własnego nginx. Jeżeli LAB-CYBER nie działa, wykonaj część
dotyczącą logów i zapisz to ograniczenie. Nie przechwytuj przypadkowej sieci.

AUTORYZACJA I STOP

- Pozyskuj i analizuj wyłącznie własne lub dostarczone dane.
- Nie używaj Bridged Adapter.
- Nie rejestruj ruchu sieci publicznej, firmowej ani uczelnianej.
- Nie przechwytuj cudzych danych logowania, tokenów ani sekretów.
- Nie przesyłaj surowego PCAP do publicznych usług.
- Nie publikuj danych identyfikujących osoby lub systemy.
- Przerwij pracę, jeżeli zakres albo zgoda są niejasne.
- Zapisuj każdą czynność wpływającą na materiał.

SPOSÓB PRACY

1. Utwórz katalog LAB09 poza repozytorium i chronionymi katalogami systemowymi.
2. Zachowaj oryginały bez zmian, a analizę prowadź na zweryfikowanej kopii.
3. Nadaj każdemu materiałowi stały identyfikator niezależny od nazwy pliku.
4. Zapisz źródło, czas, strefę, osobę, cel, narzędzie i lokalizacje plików.
5. Oblicz SHA-256 przy przyjęciu, po kopiowaniu i po zakończeniu pracy.
6. Każdy eksport lub zredagowany plik traktuj jako nowy artefakt z własną sumą.
7. Jawnie dokumentuj rozbieżności, błędy i ograniczenia.

KONTROLA SHA-256

Windows PowerShell:
Get-FileHash -Algorithm SHA256 ".\szablon-raportu.txt"

Windows certutil:
certutil -hashfile ".\szablon-raportu.txt" SHA256

Linux:
sha256sum "./szablon-raportu.txt"

Porównaj wynik z SHA256SUMS.txt. Zgodność pomaga wykazać brak zmiany od chwili
utworzenia manifestu, lecz nie potwierdza autora, prawdziwości zawartości ani
pełnego łańcucha postępowania. Kontrola dostępu i dokumentacja pozostają konieczne.