При расследовании компьютерных инцидентов одним из важнейших действий является сбор улик. Так нам очень важно иметь дамп оперативной памяти, потому что из него можно получить информацию о том, какие процессы были запущены в системе, и, например, можно выделить и сделать дамп процессов, созданных вредоносом для последующего анализа данного дампа.
Также большое значение имеет информация о том, какие приложения запускал пользователь, какие документы открывал в офисных программах, какие сетевые соединения он устанавливал со сторонним ресурсами по таким протоколам как RDP и SSH. И помочь в решение этих и аналогичных задач нам может реестр Windows.
Все статьи подряд / Информационная безопасность / Хабр
Ваша реакция?
+1
+1
+1
+1
+1
+1
+1