应急响应：计算机犯罪调查

　　随着计算机技术与网络技术的逐渐成熟和推广，可以说计算机犯罪了日益猖獗的地步。在发生了突发事件之后，经常需要及时恢复受危及的系统、寻找攻击者的蛛丝马迹、获取黑客的犯罪证据、为诉诸法律做好一切准备。本书不仅仅提供了对付突发事件的应急响应所需的技术细节，还为读者提供了解决突发事件所需要考虑的重要事项。KevinMandia是Foundstone公司的计算机司法鉴定主管，并且是一位著名的司法鉴定和应急响应专家。他曾经训练过400名FBI成员和来自美国国务院、美国中央情报局、美国国家宇航局、加拿大皇家骑警、美国空军和其他政府部门的成员。他曾经解决过最复杂的国际性入侵案件，目前正协助司法部门侦破儿起高难度的案件。您可以通过电子邮件与他联系：Kevin@incidentresponsebook.com。本书总共分为5个部分：第1部分讲述了应急响应的基础；第2部分研究了应急响应的技术细节，包括关于如何制定策略的指导、司法鉴定过程，以及在应急响应过程中涉及的各种网络技术综述；第3部分讨论了针对WindowsNT、Windows2000、UNIX等操作系统的突发事件和初始响应以及调查过程；第4部分讨论了对最流行的Web服务器攻击、路由器攻击和应用程序服务器攻击的响应。本书对于计算机网络安全工作者有志于从事网络安全工作的人来说是一本价值极高的必备参考书。

　　KevinMandia是Foundstone公司的计算机司法鉴定主管，并且是一位著名的司法鉴定和应急响应专家。他曾经训练过400名FBI成员和来自美国国务院、美国中央情报局、美国国家宇航局、加拿大皇家骑警、美国空军和其他政府部门的成员。他曾经解决过最复杂的国际性入侵案件，目前正协助司法部门侦破儿起高难度的案件。您可以通过电子邮件与他联系：Kevin@incidentresponsebook.com。

致谢                  
 前言                  
 简介                  
 第1部分　初步了解                  
 第1章  内部情况与外部倩况：一次案例研究                  
 1. 1  阻止攻击                  
 1. 2  内部的真实情况                  
 1. 3  结束语                  
 第2章  应急响应介绍                  
 2. 1  应急响应的目标                  
 2. 2  应急响应方法论                  
 2. 3  事先准备                  
 2. 4  突发事件检测                  
 2. 5  初始响应                  
 2. 6  响应战略规划                  
 2. 6. 1  确定响应战略                  
 2. 6. 2  将响应战略的选择提交管理部门                  
 2. 7  司法鉴定副本                  
 2. 8  调查                  
 2. 9  安全措施实现                  
 2. 10  网络监视                  
 2. 10. 1  确定监视的位置和方式                  
 2. 10. 2  确定监视内容                  
 2. 11  恢复                  
 2. 11. 1  考虑受危及的内容                  
 2. 11. 2  选择恢复战略                  
 2. 12  报告                  
 2. 13  结束语                  
 第3章  为应急响应做准备                  
 3. 1  确定重要的资产                  
 3. 2  准备独立主机                  
 3. 2. 1  记录重要文件的加密校验和                  
 3. 2. 2  增加或启用安全审核记录                  
 3. 2. 3  建立主机的防御能力                  
 3. 2. 4  备份关键数据                  
 3. 2. 5  对用户进行主机安全方面的培训                  
 3. 3  网络的准备工作                  
 3. 3. 1  安装防火墙和入侵侦测系统                  
 3. 3. 2  在路由器上使用访问控制列表                  
 3. 3. 3  创建有助于监视的网络拓扑结构                  
 3. 3. 4  对网络流量进行加密                  
 3. 3. 5  要求认证                  
 3. 4  确立适当的策略和程序                  
 3. 4. 1  确定响应立场                  
 3. 4. 2  理解策略帮助调查步骤的方式                  
 3. 4. 3  制定可接受的使用策略(AUP)                  
 3. 4. 4  设计AUP                  
 3. 4. 5  制定应急响应程序                  
 3. 5  创建响应工具包                  
 3. 5. 1  响应硬件                  
 3. 5. 2  响应软件                  
 3. 5. 3  网络监视平台                  
 3. 6  组建应急响应队伍                  
 3. 6. 1  确定应急响应队伍的任务                  
 3. 6. 2  应急响应队伍的组建                  
 3. 6. 3  应急响应培训与专业机构                  
 3. 7  结束语                  
                   
 第2部分　全力出击                  
 第4章  调查指导方针                  
 4. 1  进行初步评估                  
 4. 2  突发事件通知清单                  
 4. 2. 1  检查网络拓扑结构                  
 4. 2. 2  检验策略                  
 4. 3  调查突发事件                  
 4. 3. 1  会见人员                  
 4. 3. 2  采取实际行动                  
 4. 4  制定响应策略                  
 4. 4. 1  确定适当的响应类型                  
 4. 4. 2  确定攻击类型                  
 4. 4. 3  对受害系统进行分类                  
 4. 4. 4  考虑其他影响                  
 4. 4. 5  获得管理部门的批准                  
 4. 5  结束语                  
 第5章  计算机司法鉴定过程                  
 5. 1  学习管理证据                  
 5. 1. 1  证据管理中的常见错误                  
 5. 1. 2  最佳证据标准                  
 5. 1. 3  保管链                  
 5. 2  执行初始响应                  
 5. 2. 1  易失的数据                  
 5. 2. 2  现场系统检查                  
 5. 3  执行司法鉴定复制                  
 5. 3. 1  执行司法鉴定复制的方法                  
 5. 3. 2  检查低层系统配置                  
 5. 3. 3  执行司法鉴定复制的工具                  
 5. 4  使用Safeback                  
 5. 4. 1  创建DOS启动盘                  
 5. 4. 2  使用Safeback创建司法鉴定副本                  
 5. 5  使用UNIX实用程序执行司法鉴定复制                  
 5. 5. 1  创建UNIX启动盘                  
 5. 5. 2  使用dd创建司法鉴定映像                  
 5. 6  使用EnCase                  
 5. 6. 1  使用EnCase创建证据文件                  
 5. 6. 2  使用EnCase预览证据驱动器                  
 5. 7  执行司法鉴定分析                  
 5. 7. 1  进行物理分析                  
 5. 7. 2  逻辑分析                  
 5. 7. 3  了解证据所在位置                  
 5. 8  结束语                  
 第6章  学习网络协议并执行俘获和追踪                  
 6. 1  理解TCP／IP                  
 6. 2  封装                  
 6. 2. 1  IP报头                  
 6. 2. 2  TCP报头                  
 6. 2. 3  UDP报头                  
 6. 3  使用嗅探器                  
 6. 4  执行俘获和追踪                  
 6. 5  结束语