Corso di Network Forensics

Lezione 1 • Tipi di prova nelle indagini di rete

Identifica le categorie di prove di rete, incluse le catture complete di pacchetti, i record di flusso e i log. Gli studenti comprendono cosa rivela ciascun tipo di prova e i suoi limiti forensi.

Lezione 2 • Metodologia dell'indagine forense

Introduce un processo strutturato e ripetibile per condurre indagini di network forensics. Stabilisce il flusso di lavoro che organizza tutte le competenze pratiche insegnate nei capitoli successivi.

Lezione 3 • Principi legali ed etici

Affronta i requisiti di autorizzazione, la catena di custodia e gli obblighi in materia di privacy nelle indagini di rete. Garantisce che gli studenti applichino le tecniche forensi entro confini leciti ed etici.

Lezione 4 • Fondamenti di comunicazione di rete

Rivede i livelli dello stack TCP/IP, i protocolli e la struttura dei pacchetti essenziali per l'analisi forense. Fornisce la base tecnica necessaria per tutte le successive attività di cattura e analisi.

Lezione 1 • Strumenti e tecniche di cattura dei pacchetti

Introduce strumenti a riga di comando e GUI per catturare traffico live e salvare file PCAP. Gli studenti si esercitano a catturare traffico filtrato e di sessione completa in ambienti di laboratorio.

Lezione 2 • Preservare l'integrità delle prove

Insegna le pratiche di hashing crittografico, blocco in scrittura e documentazione per le prove di rete. La preservazione dell'integrità garantisce che le prove rimangano ammissibili e difendibili durante tutta l'indagine.

Lezione 3 • Raccolta dei flussi di rete

Tratta la configurazione dell'esportazione NetFlow, sFlow e IPFIX e l'infrastruttura di raccolta. I dati di flusso integrano la cattura completa dei pacchetti quando l'archiviazione o la larghezza di banda sono limitate.

Lezione 4 • Aggregazione e centralizzazione dei log

Affronta la raccolta di log di firewall, DNS, proxy e autenticazione in un repository centrale. I log centralizzati consentono la correlazione tra diversi tipi di prova nelle fasi di analisi successive.

Lezione 1 • Identificare le anomalie di protocollo

Insegna il riconoscimento di pacchetti malformati, tunneling di protocollo e uso di porte non standard. Il rilevamento delle anomalie collega la conoscenza dei protocolli all'identificazione delle minacce nei capitoli successivi.

Lezione 2 • Wireshark: analisi approfondita

Tratta le funzionalità avanzate di Wireshark, inclusi filtri di visualizzazione, riassemblaggio dei flussi e statistiche. La padronanza di questo strumento accelera tutte le successive attività di analisi dei protocolli ed estrazione di artefatti.

Lezione 3 • Dissezione automatizzata dei protocolli

Introduce approcci automatizzati e basati su script per l'analisi dei protocolli utilizzando Python e tshark. L'automazione scala l'analisi oltre ciò che l'ispezione manuale può ottenere in catture di grandi dimensioni.

Lezione 4 • Analisi dei protocolli di rete fondamentali

Esamina i modelli di traffico e gli indicatori forensi di DNS, HTTP, SMTP, FTP e SMB. Comprendere il comportamento normale dei protocolli consente di rilevare usi impropri e anomalie.

Lezione 1 • Indagine sui log DNS e proxy

Si concentra sull'estrazione di indicatori di minaccia dai log delle query DNS e dai log di accesso ai proxy web. Queste fonti rivelano comunicazioni di comando e controllo, esfiltrazione di dati e uso di domini dannosi.

Lezione 2 • Analisi dei log di firewall e perimetrali

Insegna l'estrazione di record di connessione, eventi di negazione e violazioni delle policy dai log del firewall. I log perimetrali stabiliscono la cronologia e la portata dell'attività di rete esterna e laterale.

Lezione 3 • Correlazione degli eventi e costruzione della timeline

Introduce tecniche per correlare eventi tra log IDS, firewall, DNS e proxy in una timeline unificata. Le timeline sono il prodotto analitico principale utilizzato per ricostruire le sequenze di attacco.

Lezione 4 • Configurazione e messa a punto delle regole di rilevamento

Tratta la scrittura e la messa a punto di regole di rilevamento per ridurre il rumore e migliorare la fedeltà degli alert. Regole ben calibrate migliorano direttamente la qualità degli indizi forensi disponibili durante un'indagine.

Lezione 1 • Rilevamento di scansioni e ricognizioni

Tratta l'identificazione di scansioni delle porte, scoperta di host ed enumerazione di servizi nei dati di traffico. Riconoscere l'attività di ricognizione consente un rilevamento precoce prima che avvenga lo sfruttamento.

Lezione 2 • Movimento laterale e minacce interne

Identifica i modelli di traffico associati a furto di credenziali, pass-the-hash e scansione interna. Il rilevamento delle minacce interne richiede l'analisi del traffico est-ovest spesso non visibile a livello perimetrale.

Lezione 3 • Traffico di comando e controllo malware

Insegna l'identificazione di beaconing, protocolli C2 e modelli di comunicazione malware nel traffico. Il rilevamento C2 è una competenza critica per confermare un compromesso attivo durante un'indagine.

Lezione 4 • Profilazione comportamentale e baseline

Stabilisce metodi per profilare il comportamento normale della rete per consentire il rilevamento delle anomalie. Una baseline affidabile è il prerequisito per distinguere i modelli di traffico legittimi da quelli dannosi.

Lezione 1 • Indagare sugli incidenti di rete cloud

Applica la metodologia forense alle intrusioni basate su cloud utilizzando log di flusso e tracce di audit. Gli studenti ricostruiscono l'attività dell'attaccante all'interno degli ambienti cloud utilizzando le prove di log disponibili.

Lezione 2 • Fondamenti di network forensics wireless

Tratta i tipi di frame 802.11, i metodi di cattura wireless e gli artefatti forensi specifici del Wi-Fi. Le prove wireless richiedono hardware di cattura specializzato e conoscenze di protocollo non necessarie per l'analisi cablata.

Lezione 3 • Riconoscimento dei modelli di attacco wireless

Identifica le firme di traffico di attacchi di deautenticazione, AP non autorizzati e scenari evil-twin. Riconoscere questi modelli consente agli investigatori di determinare come è stato compromesso l'accesso wireless.

Lezione 4 • Panoramica dell'architettura di rete cloud

Spiega le reti virtuali, i gruppi di sicurezza e il flusso di traffico nei principali ambienti cloud. La comprensione dell'architettura cloud è necessaria prima di raccogliere o interpretare le prove di rete cloud.

Lezione 1 • Ricostruzione del ciclo di vita dell'attacco

Applica modelli di kill-chain e framework di attacco per mappare le prove alle fasi dell'attaccante. La mappatura strutturata trasforma le prove grezze in una narrazione organizzata del comportamento dell'attaccante.

Lezione 2 • Correlazione delle prove tra le fonti

Insegna a unire dati PCAP, di flusso, log ed endpoint in un quadro probatorio unificato. La correlazione tra fonti diverse colma le lacune che nessun singolo tipo di prova può risolvere da solo.

Lezione 3 • Estrazione di indicatori di compromissione

Tratta l'estrazione sistematica di IP, domini, hash e indicatori comportamentali dalle prove. Gli IOC estratti supportano il rilevamento, il blocco e la condivisione di threat intelligence dopo un'indagine.

Lezione 4 • Redazione di report forensi

Tratta struttura, linguaggio e standard per produrre report di indagine forense difendibili. Un report ben scritto è il prodotto finale che comunica i risultati a un pubblico tecnico e non tecnico.

Lezione 1 • Automazione dei flussi di lavoro forensi tramite script

Insegna a costruire pipeline basate su Python che automatizzano l'estrazione, l'analisi e l'arricchimento delle prove. I flussi di lavoro automatizzati riducono il tempo dell'analista e migliorano la coerenza tra attività investigative ripetute.

Lezione 2 • Threat hunting con dati di rete

Applica tecniche di hunting guidate da ipotesi per trovare proattivamente minacce nelle prove di rete. Il threat hunting estende le competenze forensi oltre l'indagine reattiva verso la scoperta proattiva.

Lezione 3 • Strategie per l'analisi di PCAP su larga scala

Affronta l'indicizzazione, la suddivisione e l'interrogazione di file di cattura di grandi dimensioni che superano la capacità di analisi manuale. Un'analisi efficiente su larga scala è essenziale per le indagini su incidenti a livello aziendale.

Lezione 4 • Machine learning nella network forensics

Introduce tecniche di ML supervisionato e non supervisionato applicate alla classificazione del traffico di rete. Gli studenti comprendono dove il ML aggiunge valore e dove l'analisi umana rimane essenziale.