Student simulira neku aktivnost koja je forenzički zanimljiva (npr. napad zlonamjernog sofvera), i onda korak po korak radi istragu, opisuje ostavljene tragove i slično.
Zanimljive aktivnosti: napad zlonamjernog softvera, mrežni napadi, zlonamjerno ponašanje korisnika na računalu (npr. izbrisao/izmijenio neke bitne datoteke)…
Primjer: Studija slučaja - forenzička analiza računala napadnutog ransomware-om Locky
Student pokrene virtualni stroj, zarazi ga Locky ransomware-om, napravi sliku memorije, sliku diska i snimi mrežni prometa te ih zatim forenzički analizira i objašnjava tragove koje je ransomware ostavio.
Primjerice, “ovo je mrežni promet kada Locky komunicira sa C&C poslužiteljem da dobije ključ za šifriranje, ovo tu je proces Locky-a (u slici memorije), njegov PID je <pid>, u trenutku snimanja memorije je imao <ove datoteke> otvorene, <ovo tu> je izvršna datoteka Locky-a (na disku)” itd.
I na kraju zaključci dobiveni iz forenzičkih tragova - u 12:35 je pokrenut ransomware, u 12:37 je krenuo šifrirati datoteke (datoteka abc.doc je prva šifrirana), u 12:40 je šifriranje završilo i poruka je prikazan korisniku…
Ideje za konkretne tragove je moguće pronaći u “write-up” analizama kao što je ova
Naravno nije potrebno raditi reverzni inženjering ili dubinsku analizu.
Bitno - u slučaju rukovanja zlonamjernim softverom je potreban veliki oprez da se ne zarazi vlastito računalo. Potrebno je imati sigurnosne kopije svih bitnih podataka i zlonamjerni softver pokretati samo u “čistom” virtualnom stroju (gdje se nista prijavljivali na nikakve Web stranice, bez ikakvih Vaših datoteka itd.)