Алгоритм сбора и анализа криминалистических артефактов на рабочей станции под управлением ОС Windows

Диплом (ВКР) по теме «Алгоритм сбора и анализа криминалистических артефактов на рабочей станции под управлением ОС Windows»

В этой статье — полное руководство по написанию ВКР на тему «Алгоритм сбора и анализа криминалистических артефактов на рабочей станции под управлением ОС Windows» для студентов Финансового университета по специальности 10.03.01 «Информационная безопасность». Приведены реальные схемы, примеры кода на Python, чек-листы проверки, требования ФСТЭК и ГОСТ 34.602-2020. Всё, что нужно для успешной защиты — в одном месте.

Нужен разбор вашей темы Алгоритм сбора и анализа криминалистических артефактов на рабочей станции под управлением ОС Windows? Получите бесплатную консультацию: @Diplomit | +7 (987) 915-99-32 (WhatsApp)

Актуальность темы

Кибератаки на корпоративные рабочие станции растут: по данным отчёта Kaspersky за 2024 год, 62% инцидентов в финансовых организациях начинаются с заражения ПК сотрудников. При этом 41% компаний не имеют чёткого алгоритма сбора криминалистических артефактов. Это создаёт риски при расследовании утечек и несоответствии требованиям ФСТЭК и ФСБ.

На практике студенты часто используют готовые инструменты (например, FTK Imager), но не разрабатывают собственные алгоритмы — а это требование многих вузов, включая Финансовый университет. Ваша ВКР может закрыть этот пробел: вы не просто опишете процесс, а реализуете программный модуль для автоматизации сбора данных.

Цель и задачи

Цель: разработка алгоритма и программного модуля для автоматизированного сбора и анализа криминалистических артефактов на рабочих станциях под управлением Windows 10/11.

Задачи:

1. Проанализировать типы артефактов: журналы событий, MRU-списки, временные файлы, записи реестра.
2. Моделировать процесс сбора в нотации BPMN (по ГОСТ Р ИСО/МЭК 38500-2015).
3. Разработать алгоритм с учётом требований целостности и неизменности данных (ФСТЭК).
4. Реализовать прототип на Python с использованием библиотек pywin32, regipy, dfvfs.
5. Оценить эффективность: время выполнения, объём собираемых данных, совместимость с антивирусами.

Задачи соответствуют структуре методички Финансового университета: анализ → проектирование → разработка → оценка.

Объект и предмет исследования

• Объект: процесс расследования киберинцидентов в финансовой организации (например, АО «Трансфинанс»).
• Предмет: алгоритмы сбора и анализа криминалистических артефактов на рабочих станциях под Windows.

Не дублируйте: объект — это процесс или организация, предмет — конкретная технология или метод.

Рекомендуемая структура дипломной работы

Пример введения для Финансовый университет

Рост числа кибератак на финансовые учреждения требует совершенствования методов цифровой криминалистики. В 2023 году 37% инцидентов в банках были связаны с внутренними угрозами (источник: ФСТЭК, Отчёт о кибербезопасности, 2024). Ключевым этапом расследования является сбор криминалистических артефактов — данных, остающихся после действий пользователя или вредоносного ПО.

На сегодняшний день отсутствуют специализированные алгоритмы для автоматизированного анализа артефактов на рабочих станциях под Windows в условиях финансовых организаций. Существующие решения (например, Autopsy, Belkasoft) не адаптированы под внутренние политики и требования к защите информации.

Цель ВКР: разработка алгоритма и программного модуля для автоматизированного сбора и анализа криминалистических артефактов на рабочих станциях под управлением Windows.

Задачи: анализ артефактов, моделирование процесса, разработка алгоритма, программная реализация, оценка эффективности.

Этапы разработки алгоритма

Ключевые артефакты для сбора:

• Журналы событий Windows (Event Logs) — путь: C:WindowsSystem32winevtLogs
• MRU-списки — последние файлы, папки, запускаемые программы (реестр: HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorer...)
• Пути доступа к сетевым ресурсам — Net Use, MRU в реестре
• Временные файлы — %TEMP%, Recent
• Запускаемые службы и задачи — Task Scheduler, Services

Пример кода на Python (сбор MRU-списков)

import winreg
import os
from datetime import datetime

def get_mru_programs():
    key_path = r"SoftwareMicrosoftWindowsCurrentVersionExplorerRunMRU"
    try:
        key = winreg.OpenKey(winreg.HKEY_CURRENT_USER, key_path)
        mru_list = []
        i = 0
        while True:
            try:
                name, value, _ = winreg.EnumValue(key, i)
                if name not in ['MRUList']:
                    mru_list.append({
                        'program': value,
                        'timestamp': datetime.now().isoformat()
                    })
                i += 1
            except OSError:
                break
        winreg.CloseKey(key)
        return mru_list
    except Exception as e:
        print(f"Ошибка чтения MRU: {e}")
        return []

# Пример вызова
mru_data = get_mru_programs()
for item in mru_data:
    print(item)
  

Код должен быть адаптирован под ваше ТЗ: добавьте логирование, шифрование результата, проверку прав доступа.

Типичные ошибки при написании ВКР

Частые вопросы по теме

Вопросы, которые часто задают студенты

• В: Какие артефакты наиболее значимы для расследования? О: Журналы событий, MRU, реестр, временные файлы — они показывают действия пользователя.
• В: Можно ли тестировать алгоритм на виртуальной машине? О: Да, рекомендуется использовать VM с Windows 10/11 и предустановленными артефактами (например, открытыми файлами, историей браузера).

Чек-лист перед защитой

Требования к списку литературы Финансовый университет

Оформляйте источники по ГОСТ Р 7.0.100-2018. Примеры корректных источников:

1. ФСТЭК России. Методические рекомендации по обеспечению цифровой криминалистики. — 2023. — URL: https://www.fstec.ru/dokumenty/metodicheskie-rekomendatsii
2. Carrier, B. File System Forensic Analysis. — Addison-Wesley, 2024. — 480 p.
3. Костин А.Ю. Цифровая криминалистика: практика расследования инцидентов. — М.: ДМК Пресс, 2023. — 350 с.

Избегайте Википедии. Используйте CyberLeninka и eLibrary.