Эта брошюра содержит описание продукта Belkasoft Evidence

Эта брошюра содержит описание продукта
Belkasoft Evidence Center, включая редакцию
Enterprise
© Belkasoft™ 2012
Belkasoft Evidence Center
даёт ответы
Belkasoft Evidence Center помогает экспертам-криминалистам обнаруживать скрытые
и уничтоженные улики в считанные минуты. Поддерживая сотни различных
артефактов, инструмент может детектировать и извлекать данные из документов в
офисных форматах, интернет-чатов, социальных сетей, общение через веб-почту и
многопользовательские онлай-игры, историю работы в интернет-браузере и обмена
файлами в пиринговых сетях. Для работы с инструментом не требуется никакого
специального обучения или специфической квалификации — продукт можно
использовать с лёгкостью сразу же после первого запуска.
Цифровая компьютерная экспертиза
— Какие улики доступны на компьютере подозреваемого?
— Как быстро обнаружить улики без множества ручных поисков?
Belkasoft Evidence Center предлагает готовое решение для автоматического
обнаружения целого ряда типов цифровых улик.
Корпоративная безопасность
— Не скомпрометировал ли уволенный сотрудник ваши коммерческие тайны? Не
передавал ли он вашу интеллектуальную собственность третьим лицам?
— Используют ли ваши работники свои компьютеры только для выполнения того, за
что вы им платите?
Разведка и контрразведка
— С кем общался подозреваемый, используя компьютер в интернет-кафе?
— О чём шёл разговор, и не передавались ли какие-либо файлы?
2
Обзор Belkasoft Evidence Center
Флагманский криминалистический продукт компании позволяет экспертам по
безопасности и компьютерной криминалистике собирать и анализировать больше
цифровых улик, чем когда бы то ни было. Belkasoft Evidence Center автоматически
обнаруживает, извлекает и анализирует широкий круг типов историй, журнальных
файлов и прочих типов улик, оставляемых различными приложениями,
установленными или запускаемыми с компьютеров пользователей.
Низкоуровневый доступ к жёсткому диску и системным структурам не позволяет
скрыть от эксперта-криминалиста даже удалённые подозреваемым данные.
Всесторонний анализ изображений и видео надёжно определяет содержимое, такое
как лица, порнография и отсканированные тексты. Анализ оперативной памяти
находит улики в файлах гибернации, подкачки и в сохранённых образах памяти.
4
Основные преимущества
Belkasoft Evidence Center обладает рядом преимуществ
перед ручным поиском данных.
Поиск по всему компьютеру обнаруживает сотни типов улик.
Исследователи не должны знать или восстанавливать пароли,
а также обладать глубокими знаниями о множестве различных
приложений и форматов файлов.
Анализирует обнаруженные улики.
Определение лиц и порнографии в изображениях и видео-файлах, распознавание
отсканированного текста и анализ сетевого трафика в PCAP-файлах — только
некоторые из аналитических функций продукта, которые можно упомянуть.
Удобная визуализация и поиск.
С помощью Belkasoft Evidence Center можно легко просматривать найденные данные
и искать в них важные улики.
Безопасное и надёжное хранилище.
Вся информация надёжно хранится в базе данных. В многопользовательской
Enterprise-версии продукта механизм прав пользователей обеспечивает
безопасность данных.
Отчёты, которые можно предоставлять в суде.
Belkasoft Evidence Center предлагает мощную и удобно настраиваемую систему
генерации отчётов, что позволяет использовать эти отчёты в суде.
Работает сразу после установки.
Belkasoft Evidence Center не требует специального обучения и может быть
использован сразу после установки, благодаря интуитивно понятному, логичному и
продуманному интерфейсу.
5
Обзор функций
Поддержаны все основные интернет-чаты, веб-браузеры и почтовые клиенты
Улики извлекаются для всех популярных социальных сетей
Анализ офисных документов извлекает текст, встроенные объекты и метаданные
Определяются зашифрованные файлы
Поддержаны файловые системы и приложения под ОС Windows, Mac OS X и Linux
Встроенная поддержка образова в форматах E01, Ex01, S01 и DD
Анализ оперативной памяти и "карвинг" жёстких дисков
Изображения и видео анализируются на наличиие лиц, отсканированных текстов и
порнографии
Сетевой модуль анализирует перехваченный сетевой трафик
Продукт интегрирован с EnCase v.7 и Passware
Результаты анализа надёжно хранятся в высокопроизводительной СУБД
Данные можно разбивать по делам и хранить отдельно
Поддержаны огромные дела (например, содержащие несколько почтовых ящиков
размером 10Гб)
Всесторонняя поддержка многопользовательского взаимодействия
Удобно настраиваемые отчёты в форматах txt, HTML, XML, CSV и PDF
Лицензирование с помощью электронного ключа или USB-ключа
Переведен на английский, немецкий, китайский, русский и арабский языки
6
Функции
Обнаруживает сотни типов цифровых улик
Belkasoft Evidence Center надёжно ищет цифровые улики, созданные всеми наиболее
популярными интернет-мессенджерами, веб-браузерами, почтовыми клиентами,
социальными сетями, многопользовательскими онлайн-играми, офисными
приложениями. Продукт извлекает данные журналов, истории, разговоры, изображения
и документы, сохранённые в разделах Windows, Linux и Mac.
Восстанавливает скрытые и уничтоженные улики
Учитывая множество устройств, которые "стоят в очереди" на анализ, эксперту
приходится искать улики с большой скоростью. В таких условиях глубокий ручной анализ
не всегда возможен, что часто приводит к тому, что существенные доказательства
утекают, как песок сквозь пальцы. Belkasoft Evidence Center может обнаружить скрытые,
перемещённые и переименованные файлы, с помощью "карвинга" найти и восстановить
данные, намеренно удалённые с диска.
Высокопроизводительное управление делами
Управляйте делами с лёгкостью! Добавляйте и просматривайте улики к любому делу в
любое время. Быстрая СУБД Microsoft SQL Server поддерживает дела, содержащие
терабайты информации, обеспечивая быстрый поиск, фильтрацию и генерацию отчётов.
Различные типы улик видны с одного взгляда
Belkasoft Evidence Center предоставляет исследователям удобный и наглядный
интерфейс для просмотра всех данных дела. Эксперт может окинуть интернет-чаты,
почту, документы и прочую активность пользователя одним взглядом.
Анализирует разделы Windows, Linux и Mac OS
Belkasoft Evidence Center ищет информацию на дисках, отформатированных под все
основные файловые системы, поддерживаемые Windows, Linux и Mac OS X, и распознаёт
различные типы цифровых улик, специфичных для этих ОС. В частности, поддержаны
десятки Linux- и Mac-специфичных интернет-мессенджеров. Способность обнаруживать
цифровые улики для всех трёх основных ОС делает Belkasoft Evidence Center
уникальным и по-настоящему универсальным инструментом.
7
Функции
Поддержка изображений и видео
Продукт поддерживает поиск, добавление и изучение изображений и видео.
Доступен анализ EXIF-свойств, а также фильтрация по этим свойствам. Изображения
со встроенными в EXIF GPS-координатами можно увидеть на Google Maps или Google
Earth, чтобы просмотреть места, где они были сняты. Продукт разбивает видеофайлы на ключевые кадры, таким образом существенно уменьшая время, требуемое
для анализа видео.
Анализ изображений и видео
Belkasoft Evidence Center обнаруживает улики в изображениях и видео, надёжно
определяя лица, порнографию и отсканированный текст.
Анализ документов
Belkasoft Evidence Center анализирует офисные документы, созданные в Microsoft
Office, Open Office и инструментах для редактирования PDF. Продукт обнаруживает
такие файлы и извлекает метаданные, текст и встроенные объекты.
Зашифрованные файлы
Belkasoft Evidence Center обнаруживает зашифрованные файлы, содержащиеся на
диске или образе диска. Продукт показывает тип шифрации и рекомендует тип атаки,
требуемой для дешифрации. Если на компьютере эксперта установлен EnCase 7 с
Passware или отдельно Passware Forensic Kit, есть возможность расшифровать эти
файлы прямо из интерфейса Belkasoft, благодаря интеграции с EnCase и Passware.
Поддержка взаимодействия пользователей
Расширенная поддержка взаимодействия, доступная в редакции Enterprise продукта
Belkasoft Evidence Center, позволяет нескольким специалистам одновременно
работать над одним или разными делами, хранящимися в сетевой базе данных.
Надежный механизм прав обеспечивает контроль доступа с помощью права на
чтение и запись, выдаваемых различным пользователям.
8
Функции
Поиск по жёстким дискам, образам дисков и памяти
Если в вашу лабораторию поступил целый набор конфискованных жёстких дисков, и
вы не имеете ни малейшего представления, какими инструментами пользовались
владельцы этих дисков для общения, Belkasoft Evidence Center является идеальным
решением. Продукт осуществляет полный поиск по всему жёсткому диску или образу,
ища все поддерживаемые типы цифровых улик и обнаруживая чаты интернетмессенджеров, активность браузеров, а также сохранённые в них пароли и куки,
почту, офисные документы, зашифрованные файлы, а также детектирует
изображения и видео, содержащие лица, текст или порнографию.
Ищет на всех или выбранных разделах
Ищет на всём диске или отдельных папках
Может искать все или выбранные типы артефактов
Поддерживает поиск в образах EnCase (E01, Ex01), DD и SMART (S01)
"Карвинг" данных находит скрытые, перемещённые или удалённые улики
Анализ оперативной памяти обнаруживает артефакты, которые никогда не
хранились на жёстком диске
Анализ улик
Belkasoft Evidence Center поддерживает удобный анализ обнаруженных улик.
Не требует паролей учётных записей пользователей
Не требует входа под учётной записью пользователя для получения информации
Не требует прав на запись, корректно работает с устройствами защиты от записи
Работа в режиме "только для чтения" не изменяет исходный носитель
"Карвинг" улик
Belkasoft Evidence Center может обнаруживать скрытые, перемещённые,
переименованные и удалённые улики, использую технику карвинга данных. Карвинг
доступен для множества популярных форматов, таких как Skype, ICQ, Miranda,
Windows Live Messenger, AIM, Trillian, Yahoo! Messenger, и т.д.
9
Функции
Анализ оперативной памяти
Продукт поддерживает анализ оперативной памяти. Этот тип анализа позволяет
обнаружить артефакты, хранящиеся в непостоянной памяти (ОЗУ). Многие типы
артефактов никогда не хранятся в журналах или файлах истории и могут быть
обнаружены лишь с помощью подобного анализа.
Это единственный способ найти следы веб-приложений, таких как социальные сети
(Facebook, Google+, Twitter, ВКонтакте, Одноклассники), веб-почта (Gmail, Mail.ru),
чаты многопользовательских онлайн-игр (World of Warcraft, Lineage) и т.п. Кроме того,
многие интернет-мессенджеры позволяют отключить сохранение истории, так что
даже карвинг жёсткого диска не сможет извлечь историю для такого случая.
Единственный шанс найти такие истории — использовать анализ оперативной
памяти.
Анализ файлов гибернации и подкачки
Анализ файлов гибернации и подкачки — существенная часть анализа оперативной
памяти. В то время как образ оперативной памяти снимается с включённого
компьютера (что встречается не всегда), файлы гибернации и подкачки "выживают"
после перезагрузки и полного выключения компьютера и содержат части
оперативной памяти от предыдущей сессии. В частности, они могут содержать самые
последние разговоры и письма.
Belkasoft Evidence Center позволяет анализировать файлы гибернации и подкачки на
наличие артефактов оперативной памяти, таких как, к примеру, чаты Facebook или
письма GMail.
Анализ сетевого трафика
Вы можете анализировать файлы сетевого трафика (PCAP), созданные посредством
различных сетевых перехватчиков ("снифферов"), таких как WireShark. Belkasoft
Evidence Center реконструирует чаты интернет-мессенджеров наиболее популярных
протоколов: Oscar (используемый, например, ICQ и AIM) и XMPP (используемый,
например, Jabber и Facebook).
10
Функции
Исследование извлечённых улик
Belkasoft Evidence Center позволяет анализировать и исследовать извлечённые улики с
помощью удобного визуального интерфейса. С его помощью вы можете:
Увидеть все контакты и/или почтовые папки пользователя
Просмотреть все разговоры с определённым "другом" или письма в определённой
почтовой папке
Сортировать, искать и фильтровать информацию
Производить расширенные поиски с использованием словарных файлов,
содержащих заранее подобранные ключевые слова
Опытные пользователи могут искать информацию с помощью регулярных выражений,
находя текстовую информацию с нечётко известными заранее значениями (к примеру,
заранее неизвестные номера кредитных карт). Предопределённые поисковые запросы
помогут менее опытным пользователям достичь впечатляющих результатов за
минимальное время.
Закладки
Пользователи могут помечать извлечённую информацию с помощью именованых
закладок, которые сохраняются в базе данных.
Закладки позволяют увидеть все помеченные данные, перейти от закладки к
исходному элементу и наоборот, от исходного элемента к закладке. Элементы,
добавленные в закладку, подсвечиваются цветом, который явно выделяет
помеченные данные в списке всех элементов.
11
Функции
Удобная система генерации отчётов
Belkasoft Evidence Center поддерживает мощную систему генерации отчётов,
позволяющую пользователям генерировать исчерпывающие отчёты в широком
наборе форматов.
Экспорт цифровых улик в текст, HTML, XML, PDF или CSV
Экспорт всех данных или с ограничением по времени или контакту
Избирательный экспорт позволяет сохранить только выбранные или добавленные в
закладку улики
Большие дела могут быть разбиты при экспорте на несколько файлов, содержащих
историю одного контакта или одну почтовую папку
Отчёты могут быть разбиты на небольшие файлы предопределённого размера
Шаблоны отчётов гибко настраиваемы, позволяя удаление или смену логотипа,
настройку колонтитулов, вставку содержания, а также изменения шрифтов и цветов
12
Функции
Поддержанные интернет-мессенджеры
Belkasoft Evidence Center поддерживает более 70 интернет-мессенджеров для
Windows, Mac OS X и Linux. Этот список постоянно растёт. Некоторые из
поддерживаемых мессенджеров приведены ниже.
ICQ (все версии, начиная с 97a и до ICQ 7)
Mail.Ru Agent
Skype versions 2, 3, 4, 5, восстановление chatsync
QIP и QIP Infium
Rambler Virtus
Miranda
Microsoft MSN / LiveMessenger
Yahoo! Messenger
MySpace IM
SIM
Google Hello
Trillian
QQ 2008
Digsby
Pidgin
AIM
Gadu-Gadu
Qutim и многие другие
Мы активно работаем для добавления новых приложений в наш список
поддерживаемого ПО. Полную и всегда актуальную информацию вы можете найти по
адресу: http://belkasoft.com/bec/en/Instant_Messenger_Support.asp
13
Функции
Поддержанные браузеры
Поддержаны все основные браузеры:
Microsoft Internet Explorer
Mozilla Firefox
Opera
Apple Safari
Google Chrome
Поддержанные почтовые клиенты
Поддержаны следующие настольные почтовые клиенты:
Microsoft Outlook (2003, 2007, 2010)
Microsoft Outlook Express
Mozilla Thunderbird
RITLabs The Bat!
Windows Live Mail
Также поддержаны популярные сервисы веб-почты и облачные сервисы:
Gmail
Hotmail
Yahoo mail
Dropbox
Flickr
Skydrive
и многие другие.
14
Редакция Enterprise
Belkasoft предлагает клиент-серверную редакцию Evidence Center, называемую
“Enterprise”. Редакция Enterprise позволяет нескольким специалистам
взаимодействовать при работе над одними и теми же делами. Информация о деле
хранится в центральной СУБД, доступной по локальной сети.
Редакция Enterprise — идеальное решение для больших и средних организаций,
полицейских и судебных департаментов, в которых зачастую над одним делом
работает команда экспертов-криминалистов или же есть требование хранить все
данные централизованно. Редакция Enterprise позволяет управлять пользователями
и назначать разрешения и права, позволяя или запрещая доступ к определённым
делам или активностям (к примеру, можно разрешить лишь просмотр дела, но не его
редактирование).
15
Выберите идеальную редакцию
Вы можете выбрать из четырёх редакций: Forensic IM Analyzer, Evidence Center Pro,
Forensic Studio Ultimate и Enterprise. Первые три являются автономными решениями
и идеальны для частных криминалистов или корпоративных департаментов
безопасности, тогда как более мощная редакция Enterprise позволяет большим
отделам безопасности или полицейским департаментам иметь команду экспертов,
работающих над одним и тем же делом. Портативные версии всех редакций дают
исследователям возможность работать вне лаборатории, к примеру, для решения
задач "triage".
Ниже вы можете найти сравнение редакций:
Функция\ Редакция
Forensic IM
Analyzer
Анализ Skype, Yahoo
Messenger, ICQ и прочих
чатов (70+ типов чатов)
Evidence Center Forensic Studio
Enterprise
Pro
Ultimate
+
+
+
+
Подключение образов
EnCase/DD
+
+
+
+
+
+
+
+
+
+
Интеграция с EnCase v.7
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
Анализ браузеров
Анализ почты
Карвинг удалённых
данных
Анализ оперативной
памяти
Анализ изображений
Анализ видео
Анализ документов
Определение шифрации,
интеграция с Passware
Управление
пользователями
+
Управление правами
+
Совместная работа над
делами
+
Кроме того, опция работы с USB-ключом позволяет переносить лицензию между
различными компьютерами.
16
Лицензирование на USB-ключах
Belkasoft Evidence Center позволяет удобное использование USB-лицензий вместо
цифровых ключей, привязанных к конкретному компьютеру.
Версия с USB-ключами ("плавающая лицензия") поможет вам сэкономить и получить
большую гибкость, если вы используете Belkasoft Evidence Center на нескольких
компьютерах. USB-ключ позволяет быстро перенести вашу лицензию с одного
компьютера на другой, уменьшая, таким образом, количество лицензий, которые вы
должны приобрести.
Например, в департаменте работает 6 экспертов. Каждый специалист имеет доступ к
2 станциям и одному персональному лаптопу. В обычном случае требуется закупить
18 лицензий, чтобы лицензировать каждый компьютер с продуктом. USB-ключ
позволит вам купить только 6 лицензий, одну для каждого специалиста, таким
образом значительно сэкономив по сравнению с покупкой обычной лицензии.
Обратите, однако, внимание, что USB-ключи требуют физической доставки, что
может занять от нескольких дней до целого месяца, в зависимости от вашего
местоположения. Обычные ключи, с другой стороны, предоставляются сразу же по
завершению покупки.
Обучение
Belkasoft предлагает как удалённое обучение, так и обучение
на площадке заказчика. Мы предлагаем пользователям
Belkasoft Evidence Center восьмичасовой обучающий курс.
Количество обучаемых не должно превосходить 7 человек
одновременно. Онлайн-обучение проводится через сервис
GoToMeeting.
Возможно обучение на площадке заказчика. Заказчики,
желающие провести обучение в своём офисе, должны
оплатить транспортные расходы, а также расходы на
проживание и питание.
17
Отзывы наших заказчиков
— Это просто удовольствие – работать с вашим продуктом изучения интернетмессенджеров! Великолепный продукт, позволяющий получить обзор значимых
разговоров по-настоящему быстро!
Holger Morgenstern, независимый эксперт-криминалист, Германия.
— Я был очень впечатлён результатами, полученными с помощью Belkasoft Forensic IM
Analyzer. Продукт показал себя лёгким в инсталляции и интуитивно понятным в
использовании. Не встретилось совершенно никаких проблем с определением и
представлением сохранённых чатов, которые я искал, и я также был особенно
поражён молниеносной реакцией службы поддержки, помогавшей с вопросами об
интернет-чатами, не относящимися к продукту.
R Ross, старший эксперт-криминалист, HM Revenue and Customs, Англия.
— Это превосходная программа, которую я порекомендовал бы каждому
компьютерному эксперту -криминалисту в мире, использующему английский язык!!!
Tzachi Segal, Cyber Crime Unit, полиция Израиля.
— Belkasoft Forensic IM Analyzer был исключительно полезен во многих исследованиях.
Приложение очень просто в использовании и результат представляется в удобном
виде отчёта. Особенно полезна возможность экспорта в Excel.
Immo Bornhagen, ComFor-IT, Германия.
— Спасибо вам, вы сэкономили большое количество рабочих часов нашему отделу.
Robert, полиция Онтарио, Electronic Crime Section, Канада.
— Работает как чудо! Продукт более чем прост в использовании!
Andreas D., профессиональный криминалист, Германия. Andreas помогал Belkasoft с
бета-тестированием продукта.
— Ваш продукт очень универсален и является отличным вспомогательным
инструментом. Прочие инструменты не настолько хороши в генерации "читаемых"
отчётов для суда.
Wolfgang L., эксперт-криминалист, полиция Германии.
18
Наши заказчики
Наши решения выбирают такие заказчики, как ФСБ, ФСКН, Следственный Комитет
Российской Федерации, Министерство внутренних дел РФ, а также ФБР, армия США,
полиции Беларуси, Эстонии, Латвии, Германии, Норвегии, Австралии, Новой Зеландии
и многих других стран; банк Петрокоммерц, компании PricewaterhouseCoopers, Ernst
& Young и прочие. Мы горды представить некоторых наших заказчиков:
Более полный список заказчиков вы можете найти по адресу
http://belkasoft.com/home/en/Customers.asp
19
Почему Evidence Center?
Уменьшение стоимости расследования
Экономия времени на расследование
Меньшее количество специфических знаний, требуемых от криминалиста
Идеален для triage
Взаимодействие нескольких экспертов, работающих над одним или разными
делами
Скачайте продукт прямо сейчас с belkasoft.com
О Belkasoft
Криминалистика стала проще
Основанная в 2002, Belkasoft является независимым производителем ПО,
специализируясь в цифровой криминалистике для платформы Windows.
Руководствуясь нашим девизом "Делая криминалистику проще", мы помогаем
экспертам по безопасности в IT и экспертам-криминалистам, создавая для них
решения, работающие "out of the box": наши инструменты не требуют глубокого,
исключительно специфического знания изучаемых систем или форматов файлов для
своей работы.
Продукт Belkasoft Evidence Center 2012 объединил в себе многие более ранние
инструменты компании в решение "всё в одном". Продукты Belkasoft используются в
криминалистических расследованиях, обеспечении правопорядка, разведке и
обеспечении корпоративной безопасности. Заказчики Belkasoft включают ФСБ,
ФСКН, Следственный комитет РФ, МВД, полицейские департаменты в Германии,
Норвегии, Австралии, Новой Зеландии, компании PricewaterhouseCoopers и Ernst &
Young.
Реквизиты ООО «Белкасофт»
ИНН: 7802732330, КПП: 780201001, ОГРН: 1107847393675, ОКПО: 69191806, ОКОГУ:
49013, ОКАТО: 40265563000, ОКФС: 16, ОКОПФ: 65.
Юридический адрес: Россия, 194291, г. Санкт-Петербург, пр. Луначарского, д.33, лит.
А, пом. 14-Н
Belkasoft является зарегистрированной торговой маркой. Патенты ожидают решения.
Контактная информация
Поддержка:
support@belkasoft.com
Бизнес-вопросы, отношения с инвесторами, предложения о партнёрстве:
business@belkasoft.com
Все прочие вопросы:
contact@belkasoft.com
Телефон: +7 812 921 12 01
21