rootkit|如何挖掘通过Rootkit进行犯罪活动的证据？深信服蓝军攻防专家在CCS 2021中给出了答案( 二 )

深信服蓝军高级威胁攻防研究专家肖秋平
肖秋平表示，从防守方的角度出发，主要可以通过内存、网络流量和磁盘文件三个维度对Rootkit进行取证。
内存取证：内存取证的对象是系统在运行时保存在内存中的数据，将运行系统的物理内存中的数据保存到固定的存储介质上，从而达到把易失性的内存数据转化成非易失性的文件。
网络流量取证：网络流量取证是抓取、记录和分析网络流量以发现安全攻击或其他的问题事件的来源，通过流量取证可以获取攻击者的流量特征及其使用的网络基础设施。
磁盘文件取证：磁盘文件取证的对象是保存在存储介质(硬盘)中的数据，通过分析硬盘中的文件，以发现与安全事件相关的异常文件。
此外，肖秋平在演讲中提到，攻击者使用Rootkit最关键的地方在于实现其所需功能的前提条件下，尽可能隐藏自身，实现所需功能意味着Rootkit必须要与系统进行交互，这也就说明Rootkit运行过程中的数据必然是符合操作系统需求的数据结构。此外，由于隐藏是相对用户而言，因此可以通过对比用户态数据来源列表和内核态中更底层的能够表示隐藏内容的数据结构，来确定是否发生未知异常数据的隐藏行为。
CCS 2021新型网络违法犯罪打击防范分论坛，从新型网络犯罪产业链研究、预警防范、侦查打击、反制策略、取证技术等层面，邀请全国警企相关专家进行分享与交流，共同探讨网络犯罪打击治理工作，为有效打击防范各类新型网络违法犯罪贡献力量，更好地维护人民群众财产安全与合法权益。深信服一直注重网络安全攻防技术研究，通过攻击和防御双方的视角，从多维度分析和解决网络安全问题是深信服蓝军主要的研究方向之一，未来，深信服将不断提高专业技术造诣，深度洞察网络安全威胁，持续为网络安全赋能。
【 rootkit|如何挖掘通过Rootkit进行犯罪活动的证据？深信服蓝军攻防专家在CCS 2021中给出了答案】雷锋网雷锋网

rootkit|如何挖掘通过Rootkit进行犯罪活动的证据？ 深信服蓝军攻防专家在CCS 2021中给出了答案( 二 )

rootkit|如何挖掘通过Rootkit进行犯罪活动的证据？深信服蓝军攻防专家在CCS 2021中给出了答案( 二 )