Сообщений в теме: 110

[d0ct0rfs]

Я же давал "Модель угроз" .... Взрослую. т.е. не для школоты.

Ну раз пошла такая пьянка, то в понедельник/вторник, вытащу на обсуждения камрада из ФСТЕКА , который вообще то ИСПДН занимается.
( Он просто в отъезде)

[ahtak]

а какие есть проги для я удаления следов деятельности посоветуйте и еще
как и какие файлы поглядеть в которых можно увидеьт был ли когда ли бо на компе инет

[iqmaster]

ahtak (10 Ноябрь 2016 - 16:51) писал:

а какие есть проги для я удаления следов деятельности посоветуйте и еще
как и какие файлы поглядеть в которых можно увидеьт был ли когда ли бо на компе инет

Молоток и замена HDD - 100% вариант.

А так, для не очень посвященных проверяющих, низкоуровневое форматирование, многократное заполнение нулями HDD с полной переустановкой системы. Способ не 100%, но на беглый взгляд нормально

[ГАРИК]

ahtak (10 Ноябрь 2016 - 16:51) писал:

а какие есть проги для я удаления следов деятельности посоветуйте и еще
как и какие файлы поглядеть в которых можно увидеьт был ли когда ли бо на компе инет

Например, программа поиска и гарантированного уничтожения информации на дисках "TERRIER" (в Инете можно не искать)
И, например, USB Oblivion любой версии - доступно для скачивания

[GREEN]

Гарик, гарантированого, уверен?
Акрониксом еще зачистить, хотя бы в три проходки

[iqmaster]

Сравнительный анализ известных методов уничтожения информации с энергонезависимых носителей

Известен ряд методов уничтожения информации, хранимой на энергонезависимых носителях. Эти методы можно условно классифицировать по методу воздействия на носитель:

- программные методы - основаны на использовании стандартных команд управления накопителей на жестких магнитных носителях (НЖМД);
- аппаратные методы - реализуются с помощью специального оборудования, воздействующего на магнитные диски.

По способу воздействия аппаратные методы классифицируются на несколько подгрупп:

методы, перестраивающие доменную структуру магнитного носителя без разрушения его конструкции;

методы, связанные с разрушением конструкции носителя.

Программные методы уничтожения информации

Все программные методы уничтожения информации можно по степени надежности разделить на 3 уровня:

Уровень 0. Наиболее простая и часто применяемая форма уничтожения информации на НЖМД. Вместо полной перезаписи жесткого диска в загрузочный сектор, основную и резервную таблицы разделов записывается последовательность нулей. Тем самым усложняется доступ к данным, хранящимся на диске. Сами данные не уничтожаются.
Полный доступ к информации на НЖМД легко восстанавливается с помощью посекторного чтения.

Уровень обеспечивает наибольшую скорость, но не может использоваться при обработке информации, утечка которой нежелательна.

Уровень 1. Запись последовательности нулей или единиц в сектора, содержащие уничтожаемую информацию. Программный доступ к перезаписанным данным невозможен. Однако существует возможность восстановления информации после перезаписи. В ее основе лежит наличие остаточной намагниченности краевых областей дисковых дорожек, несущей информацию о предыдущих записях.

Для восстановления информации, удаленной этим методом, могут быть применены технологии типа магнитной силовой микроскопии.

Скорость уничтожения информации значительно ниже, чем в предыдущем уровне, и определяется скоростью работы (а именно - скоростью записи) НЖМД.

Уровень 2. Использование нескольких циклов перезаписи информации. С увеличением числа циклов перезаписи усложняется задача восстановления удаленных данных. Это обуславливается естественным дрейфом пишущей головки НЖМД каждого следующего цикла. Вероятность перезаписи краевых областей дорожек возрастает. Следовательно, резко повышается сложность процесса восстановления уничтоженных данных.

Полной гарантии необратимого разрушения информации нет и в этом случае, поскольку программно невозможно управлять траекторией движения блока головок НЖМД и процессом перемагничивания битовых интервалов. Также уничтожение информации затруднено из-за сложности оценки факторов, оказывающих влияние на точность позиционирования головок.

Недостатком методов этого уровня является низкая скорость уничтожения информации.

Разработано большое количество рекомендаций, определяющих состав маскирующих последовательностей, записываемых в сектора данных при использовании методов 2-го уровня.

В идеальном случае маскирующие последовательности должны подбираться таким образом, чтобы перемагнитить каждый битовый интервал в записи максимальное число раз. Выбор метода уничтожения зависит от метода кодирования информации, используемой на целевом носителе.

Выбор конкретного метода также зависит от уровня секретности информации, подвергаемой уничтожению. Во многих странах существуют государственные стандарты, строго регламентирующие состав и количество проходов при уничтожении информации с НЖМД. Большой популярностью пользуется метод, определенный Министерством обороны США.

Согласно этому методу, должна быть выполнена троекратная перезапись информации:

1. Запись в каждый байт перезаписываемой области случайно выбранного байта;
2. Запись в каждый байт перезаписываемой области дополнения к нему;
3. Запись в перезаписываемой области последовательности случайно выбранных байт.

Данный метод носит произвольный характер и не учитывает особенностей работы конкретных НЖМД.

Министерство обороны США признает этот факт и при уничтожении информации высшей категории секретности запрещает использование программных методов.

Помимо методов, определяемых государственными стандартами, существует целый ряд методов, предложенных независимыми экспертами в области информационной безопасности.

Наиболее распространенными из них являются два метода - Б. Шнайдера и П. Гутмана.

Шнайдер предложил метод уничтожения информации, состоящий из семи проходов: первые два - запись единиц и нулей соответственно, и последние пять - запись случайных данных. Однако ни количество проходов, ни выбор маскирующих последовательностей не обоснованы. Вместо этого Шнайдер оставляет следующее уведомление: Последние исследования Национального института стандартов и технологий, выполненные с помощью электронных туннельных микроскопов, показали, что даже этого может быть недостаточно. Честно говоря, если ваши данные достаточно ценны, можете считать, что их полное удаление с магнитного носителя невозможно. Сожгите носитель или сотрите его в порошок. Дешевле купить новый носитель, чем потерять ваши секреты.

Обоснование выбора маскирующих последовательностей проводится для метода Гутмана. Метод состоит из 27 проходов, ориентированных на уничтожение записей, закодированных методами MFM и различными распространенными модификациями RLL. Маскирующие последовательности подобраны таким образом, чтобы обеспечить максимально возможное число переключений знака намагниченности каждого битового интервала. Это значительно затрудняет восстановление перезаписанных данных, поскольку делает нетривиальным раздельное считывание наложенных друг на друга записей.

В различных накопителях могут применяться разные методы кодирования (например, в современных жестких дисках MFM- и RLL-кодирование в чистом виде не используется). Детальные спецификации методов, применяемых в конкретных накопителях, в общем случае недоступны. Поэтому в состав метода добавлены 8 проходов со случайной маскирующей последовательностью (4 в начале и 4 в конце).

Метод Гутмана не имеет больших практических преимуществ перед методами, описанными ранее. Практически, любой НЖМД, произведенный после 1997 года, использует различные модификации PRML, спецификации которых держатся производителем в секрете.

Аппаратные методы уничтожения информации

Повышенную надежность уничтожения информации, хранимой на НЖМД, обеспечивают аппаратные методы уничтожения. Недостатком этих методов является полный вывод очищаемого накопителя из строя.

Перестройка доменной структуры магнитного носителя

Оптимальным подходом для обеспечения надежности уничтожения информации без физического уничтожения носителя является использование методов, приводящих к перестройке структуры магнитного материала рабочих поверхностей носителя. Для этого необходимо устранить неоднородности вектора намагниченности на дорожках НЖМД. Изменение структуры намагниченности магнитного слоя может быть выполнено несколькими принципиально различными способами:

- путем быстрого нагрева материала рабочего слоя носителя до точки потери намагниченности носителя (точки Кюри);
- путем размагничивания рабочих поверхностей носителя;
- путем намагничивания рабочих поверхностей носителя до максимально возможных значений намагниченности (насыщения);
- комбинированный. Нагревание и намагничивание, либо нагревание и размагничивание.

Разрушение конструкции носителя

Методы этой группы применяют, когда необходима гарантия уничтожения информации. Они подразделяются на:

- механические, пиротехнические;
- химические;
- термические, металлотермические;
- радиационные.

Источник


P.S. Использовал как-то способ несколько циклов перезаписи информации. 10-кратная перезапись HDD небольшими файлами в 1 Кб показалась мне вполне убедительной. Конечно, при помощи электронного микроскопа говорят можно восстановить байты, но сомневаюсь, что кто-то будет с этим заморачиваться. Тут нужен ну очень серьёзный повод.

[ahtak]

обливионом пользуемся много лет да от флешек и тд спасает
больше интересует другое
какими прогами ищут документы с дсп и секреткой какойто прогой же ищут насколько я знаю
второй вопрос в каких то файлах или какими то прогами ищут был ли когда либо комп к инету подключен или в каких то файлах это видят вот с этим подскажите где это могут смотреть

[GREEN]

ahtak (11 Ноябрь 2016 - 04:10) писал:

какими прогами

ГАРИК (10 Ноябрь 2016 - 22:01) писал:

программа поиска и гарантированного уничтожения информации на дисках "TERRIER" (в Инете можно не искать)

[iqmaster]

ahtak (11 Ноябрь 2016 - 04:10) писал:

обливионом пользуемся много лет да от флешек и тд спасает
больше интересует другое
какими прогами ищут документы с дсп и секреткой какойто прогой же ищут насколько я знаю
второй вопрос в каких то файлах или какими то прогами ищут был ли когда либо комп к инету подключен или в каких то файлах это видят вот с этим подскажите где это могут смотреть

Обычно хранят следы это файлы журнала Windows, cookies, временные файлы интернета, история и кэш браузеров, index.dat. В реестре следы подключения USB модемов. Настроенные беспроводные и проводные подключения.

Неплохо со всем этим справляется CCleaner или History Eraser. Однако при желании все можно восстановить. USB Oblivion неплох, однако полностью следы из реестра не удаляет.

А поиск. Приходят обычно с Terrier 2.0 или 3.0 "Программа поиска и уничтожения информации на дисках «Terrier»". Купить можно тут.

Я пользуюсь частенько WinHex. Им также можно искать текст в файлах посекторно на физическом уровне, включая удаленные файлы.

[ahtak]

по поводу журналов винды как удалить подумаю как удалить все о флешках кукисы и истории это понятно можно руками но лучше утилки буду использовать
НО есть проблема с подключениями и сетевыми адресами проблема в том что приходили какие то дядьки и нашли что в 13 году у компа были такие то айпишники такие то шлюзы и тд ..... где они мля это взяли в каких файлах это может храниться при том условии что сетевые адреса после 13 года менялись 4 раза уже на ваще иные сети.... как мля и чем они это узнали они не говорят .... а мне вот теперь это хочется знать и понимать как это удалить и как с этим бороться ......
в том году был слух что фейсы ездят с какойто прогой "КРОТ" называется что делает и как работает ни кто не знает гугл тоже ....
вот мне ща самое важное про поиск параметров сети где это хранится и как они это достали ???????7

[iqmaster]

ahtak (11 Ноябрь 2016 - 16:59) писал:

вот мне ща самое важное про поиск параметров сети где это хранится и как они это достали ???????7

Чистите ARP и DNS-кэш. Затем сбросьте стек TCP/IP к «заводским» настройкам.

Команды:

netsh interface ip delete arpcache

netsh winsock reset

netsh int ip reset c:resetlog.txt

После каждой команды перезагружаемся. Файл resetlog.txt удаляем.

Вы вообще кто по должности? Простые вещи спрашиваете.

-----------------------------------------
А вообще я ранее упоминал. Лучшее средство format c: раз десять с заменой HDD.

[d0ct0rfs]

ahtak (11 Ноябрь 2016 - 16:59) писал:

по поводу журналов винды как удалить подумаю как удалить все о флешках кукисы и истории это понятно можно руками но лучше утилки буду использовать НО есть проблема с подключениями и сетевыми адресами проблема в том что приходили какие то дядьки и нашли что в 13 году у компа были такие то айпишники такие то шлюзы и тд ..... где они мля это взяли в каких файлах это может храниться при том условии что сетевые адреса после 13 года менялись 4 раза уже на ваще иные сети.... как мля и чем они это узнали они не говорят .... а мне вот теперь это хочется знать и понимать как это удалить и как с этим бороться ...... в том году был слух что фейсы ездят с какойто прогой "КРОТ" называется что делает и как работает ни кто не знает гугл тоже .... вот мне ща самое важное про поиск параметров сети где это хранится и как они это достали ???????7

Всё это узнается ( вот УЖАС !!!) из командной строки.

Так, что изучайте мануалы по CMD.EXE

Чистите ARP и DNS-кэш. Затем сбросьте стек TCP/IP к «заводским» настройкам.
Команды:
netsh interface ip delete arpcache
netsh winsock reset
netsh int ip reset c:resetlog.txt

В довесок, вычистить полностью arp

командой #arp -d
обязательно чистить таблицу маршрутов
командой #route -f

Естественно чистим кеши браузеров и сносим все tmp файлики, которые персонально для особо "крутых" хранятся в исключительно "скрытых" папках.
Причем, покондовое удаление , ни хрена не даст !
Все найденное для уничтожение добро, сначала ПЕРЕНОСИМ на том диске в отдельную папку, и от туда чистим "kremlin" или чем то похожим.

[ahtak]

iqmaster

я инженер группы автоматизации , вещи то может и простые но это все не то все что вы написали знаю и было сделано ..... но где то они это взяли
d0ct0rfs

Всё это узнается ( вот УЖАС !!!) из командной строки. нет в том то и дело все что можно было проверить я попробовал и удалил и ничего не нашел
но он где то это все взяли и ты так и не ответил на вопрос !!!!самое важное про поиск параметров сети где это хранится и как они это достали где это хранится , и посмотри условия что все было удалено и айпи поменяны после того 3 раза , расскажи тогда конкретно или лучше на примере где хранятся конкретно все эти сетевыеадреса , НЕ ПРОСТО скажи удали той то командой , А скажи где и скажи тогда как это посмотреть раз ты говоришь из командной строки приведи пример этой строки тогда чтоб увидеть все айпи которые когда то вводились

[Deadushka]

Простой пример: Назначить в ручную IP-адрес сетевой карте, а потом физически удалить из компа, и попробовать прописать этот же IP, но уже физически другой железке. Что получится? Получится, "фиг-вам".. Система выдаст ошибку, что этот адрес используется другим сетевым устройством... Так что копайте и изучайте устройство Windows...

Цитата

как они это достали

командой regedit.exe

Цитата

где это хранится

Известно где, в реестре, больше то негде..


P.S.
Почему с такой иронией написал? Да потому, что вы не то что с windows не можете поладить, вам уже написали самое простое, что можно было сделать, так вы ещё и форумом пользоваться не умеете, я отправил вам в личку сообщение с целью помочь, но вы его проигнорировали.. Так что книгу в зубы например от Марка Русиновича - "Внутреннее устройство Windows" и вперёд изучать...

[ahtak]

Deadushka ок



признаю я тупой



НО Вы так и не ответили на вопрос который я задал вы все пишите опять смотри там смотри смотри тут я попросил конкретный пример а не посылание куда либо я прошу помощи и нормального ответа с примерами а не отправления читать книги , а я скажу почему отправляете потому что сами не можете привести пример напишите команду или последовательность действий раз вы такой гуру а я посмотрю как это получится , НО ни кто из вас ни пример строки которая покажет адреса ни пример ветки с реестра так и не показал где бы это было видно , а все что можете это куда то послать что то читать а сами на конкретный вопрос ответить не можете