Live forensics και απομακρυσμένη ανταπόκριση σε περιστατικά : θεωρητική και πειραματική αξιολόγηση του Velociraptor

Abstract

Η παρούσα διπλωματική εργασία αποσκοπεί στην θεωρητική και πειραματική αξιολόγηση του Velociraptor, μίας πλατφόρμας ανοιχτού κώδικα για τη Ψηφιακή Εγκληματολογία και Ανταπόκριση σε Περιστατικά (DFIR), με έμφαση στις δυνατότητές της για live forensic ανάλυση και απομακρυσμένη ανταπόκριση σε σύγχρονα περιβάλλοντα. Αφορμή για την έρευνα αποτέλεσε ο εντοπισμός ερευνητικών κενών στη βιβλιογραφία ως προς τη συστηματική ακαδημαϊκή τεκμηρίωση τέτοιων εργαλείων, ιδίως όσον αφορά την απόδοσή τους σε σενάρια εκμετάλλευσης πραγματικών ευπαθειών, τη διατήρηση της εγκληματολογικής ακεραιότητας κατά την απομακρυσμένη συλλογή και τη σύγκρισή τους με παραδοσιακές dead-box forensic τεχνικές. Για τον σκοπό αυτό, η εργασία συνδυάζει συστηματική ανασκόπηση της βιβλιογραφίας στους τομείς της ψηφιακής εγκληματολογίας, του incident response, του volatile memory forensics και της απομακρυσμένης συλλογής δεδομένων, με μια ελεγχόμενη πειραματική μελέτη μέσα στο εικονικό περιβάλλον ενός home lab. Στο πλαίσιο αυτό αναπτύχθηκε ένα προσαρμοσμένο VQL artifact για την ανίχνευση των forensic artifacts της ευπάθειας CVE-2026-21510, μιας πραγματικής ευπάθειας του Windows Shell που αξιοποιεί κακόβουλα LNK αρχεία με ενσωματωμένα UNC paths, μέσω της μεθοδολογικής προσέγγισης της ελεγχόμενης προσομοίωσης (controlled artifact simulation). Τα ευρήματα κατέδειξαν ότι το Velociraptor εντόπισε επιτυχώς τα forensic artifacts και στις τέσσερις κατηγορίες αξιολόγησης, με χρόνους απόκρισης της τάξης των δευτερολέπτων, μηδενικά false positives σε καθαρό περιβάλλον και αυτόματη τεκμηρίωση που διασφαλίζει την εγκληματολογική ακεραιότητα. Συμπερασματικά, η εργασία αναδεικνύει ότι το Velociraptor υπερτερεί σε σενάρια όπου ο χρόνος είναι κρίσιμος, η κλίμακα μεγάλη ή όπου απαιτείται η ανάκτηση πτητικών δεδομένων, λειτουργώντας μαζί με τις παραδοσιακές προσεγγίσεις, ενώ παρέχει πρακτικές κατευθύνσεις για σύγχρονες ομάδες SOC και IR και προτείνει επεκτάσεις προς enterprise, cloud και SIEM/SOAR λύσεις.