CYB-06 — Zabezpieczanie materiału: logi i PCAP

To podstawowe laboratorium dydaktyczne, nie pełny kurs informatyki śledczej. Nie zapewnia prawnej dopuszczalności materiału i nie zastępuje procedur organizacji ani konsultacji prawnej.

Zakres zapisuj przed rozpoczęciem. Zmiana celu, odbiorcy albo rodzaju danych wymaga ponownej decyzji osoby uprawnionej, a nie milczącego rozszerzenia wcześniejszej zgody.

Logi pobierz z CYB-05 — Korelacja logów i podstawy SIEM. Zweryfikuj jego manifest SHA-256 i wybierz tylko pliki potrzebne do zadania.

Jeżeli masz własny PCAPNG z CYB-02, możesz go wykorzystać po potwierdzeniu pochodzenia i zakresu. Nie pozyskuj zastępczego ruchu z przypadkowej sieci.

Pakiet nie zawiera gotowego PCAP ani odpowiedzi. SHA256SUMS.txt obejmuje pięć pozostałych plików tego katalogu.

LAB09/
  00_PRZYJECIE/
  01_ORYGINAL/
  02_KOPIA_ROBOCZA/
  03_EKSPORTY/
  04_RAPORT/
  05_REJESTR/

Każda kopia, tabela, zrzut i redakcja wskazuje ID materiału źródłowego. Zmiana nazwy pliku nie zmienia ID, a utworzenie nowej zawartości wymaga nowego identyfikatora.

1. Zapisz adres strony, datę i czas pobrania, osobę przyjmującą oraz cel analizy.
2. Dla każdego wybranego pliku zanotuj nazwę, rozmiar, typ i stały identyfikator.
3. Porównaj SHA-256 z manifestem CYB-05 przed utworzeniem kopii roboczej.
4. Skopiuj tylko potrzebne pliki do 02_KOPIA_ROBOCZA i ponownie oblicz sumy.
5. W raporcie oddziel informacje zapisane w logu od informacji wywnioskowanych.
6. Przygotuj krótki eksport jednego zdarzenia, nadaj mu ID X* oraz własny SHA-256.

Nie wykonuj ponownie pełnego ćwiczenia korelacyjnego. Celem jest udokumentowanie pochodzenia, niezmienności i przekształceń materiału.

1. Wybierz interfejs LAB-CYBER i potwierdź jego adres; nie wybieraj interfejsu sieci rzeczywistej.
2. Zapisz nazwę hosta, interfejs, narzędzie, wersję, strefę oraz planowany zakres.
3. Ustal ograniczenie czasu i zanotuj moment rozpoczęcia przechwytywania.
4. Wygeneruj wyłącznie ARP, ICMP między VM-ANALITYK i VM-SERWER oraz opcjonalne HTTP do własnego nginx.
5. Zatrzymaj przechwytywanie przed analizą i zapisz czas zakończenia.
6. Zapisz plik jako PCAPNG w 01_ORYGINAL; tryb promiscuous nie jest wymagany, gdy zakres jest widoczny bez niego.
7. Niezwłocznie nadaj ID, oblicz SHA-256 i zapisz metadane.
8. Utwórz kopię roboczą, porównaj sumy i dopiero ją otwórz do analizy.

PCAP pokazuje ruch widoczny w konkretnym punkcie, interfejsie i czasie. Nie jest kompletnym obrazem całej sieci. Jeżeli LAB-CYBER nie działa, pomiń pozyskanie, wykonaj część logową i jawnie opisz ograniczenie.

Daty utworzenia, modyfikacji i dostępu pochodzące z systemu plików mogą zmieniać się przy kopiowaniu, rozpakowaniu lub zapisie. Zapisuj je jako obserwowane wartości z określonego systemu, nie jako samodzielny dowód czasu zdarzenia.

Zwykły arkusz lub plik tekstowy ułatwia ewidencję, ale nie jest kryptograficznie zabezpieczonym systemem. Korekty dopisuj jawnie z bieżącym czasem; nie antydatuj i nie nadpisuj błędu tak, jakby nie wystąpił.

Wymagania formalne zależą od organizacji, umowy i jurysdykcji. W laboratorium używamy określeń „materiał”, „artefakt”, „dane źródłowe” lub „materiał potencjalnie dowodowy”, a nie kategorycznego „dowód sądowy”.

Nie wymagamy deszyfrowania TLS ani pozyskiwania kluczy sesyjnych. Brak pakietu lub wpisu może wynikać z miejsca obserwacji, filtra, utraty, czasu albo retencji i nie daje pewności, że zdarzenie nie wystąpiło.

Każde stwierdzenie wiąż z ID materiału. Interpretacji i hipotez nie zapisuj jak faktów, a wniosek zawsze zestaw z dowodami przeciwnymi, brakami oraz poziomem pewności.

Przygotuj bezpieczny fragment raportu lub tabelę zawierającą wyłącznie pola potrzebne odbiorcy. Każdy zredagowany, pseudonimizowany lub wyeksportowany plik otrzymuje nową nazwę, ID, SHA-256, powiązanie ze źródłem i opis zmian.

Dla każdego przypadku uzupełnij osobę podejmującą decyzję i czas korekty. Jeżeli pochodzenia lub analizowanej wersji nie można ustalić, nie przypisuj wyniku do oryginału.

Raport obejmuje zakres i autoryzację, środowisko, identyfikatory, metadane, sumy, kopie, rejestry, analizę, eksporty, fakty, interpretacje, ochronę danych, błędy, zakończenie i ograniczenia.

1. Zamknij narzędzia i zakończ wszystkie operacje odczytu.
2. Zapisz eksporty, nadaj im identyfikatory i oblicz SHA-256.
3. Uzupełnij rejestr czynności oraz każde przekazanie.
4. Ponownie sprawdź SHA-256 oryginałów i wyjaśnij rozbieżności.
5. Sprawdź kompletność raportu, źródła i ograniczenia.
6. Określ retencję, miejsce przechowywania i osoby z dostępem.
7. Usuń wyłącznie zbędne kopie tymczasowe po uzyskaniu zgody i odnotuj tę czynność.
8. Nie usuwaj oryginałów bez wyraźnej autoryzacji.

Laboratorium celowo nie zawiera automatycznego polecenia kasującego katalogi.

1. Dlaczego identyfikator materiału nie powinien zależeć od nazwy pliku?
2. Co potwierdza zgodność SHA-256, a czego nie potwierdza?
3. Które metadane systemu plików mogą zmienić się podczas kopiowania?
4. Dlaczego upoważnienie do analizy nie oznacza automatycznie upoważnienia do publikacji?
5. Jak udokumentować przypadkowe zapisanie oryginału bez ukrywania błędu?
6. Dlaczego brak pakietu w PCAP nie dowodzi, że zdarzenie nie wystąpiło?
7. Czym pseudonimizacja różni się od pełnej anonimizacji?
8. Jakie ryzyko powstaje, gdy eksport nie wskazuje źródłowego ID?

Rezultatem jest uporządkowany, zweryfikowany i opisany zestaw materiałów, a nie deklaracja prawnej dopuszczalności. NIST SP 800-61 Rev. 3 jest aktualnym źródłem dotyczącym reagowania. NIST SP 800-86 i SP 800-92 z 2006 r. oraz RFC 3227 z 2002 r. są starszymi materiałami referencyjnymi; nie są aktualnym prawem ani procedurą obowiązującą każdą organizację.

• Lekcja: Reagowanie na incydenty
• Lekcja: Analiza pakietów — Wireshark
• Lekcja: Monitoring bezpieczeństwa — IDS, IPS i SIEM
• Lekcja: Odporność i odtwarzanie
• CYB-02: Analiza anomalii w Wiresharku
• CYB-05: Korelacja logów i podstawy SIEM
• NIST SP 800-61 Rev. 3 — Incident Response Recommendations
• NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response
• NIST SP 800-92 — Guide to Computer Security Log Management
• RFC 3227 — Guidelines for Evidence Collection and Archiving
• Wireshark User’s Guide
• Wireshark — capinfos manual page
• Microsoft Learn — Get-FileHash
• Microsoft Learn — certutil
• GNU Coreutils — narzędzia SHA-2
• CISA — Use Logging on Business Systems