Narzędzia informatyczne - wykład XIII

Wielkość: px

Rozpocząć pokaz od strony:

Download "Narzędzia informatyczne - wykład XIII"

Beata Komorowska
3 lat temu
Przeglądów:

1 Narzędzia informatyczne - wykład XIII Odzyskiwanie danych Katedra Informatyki Politechnika Częstochowska Rok akademicki 2019/2020 1/29

2 Plan wykładu Pakiet The Sleuth Kit /29

3 Informatyka śledcza I Zastosowanie: w celu: naukowo opracowanych i sprawdzonych metod: zabezpieczania, zbierania, weryfikacji, identyfikacji, analizy, interpretacji, dokumentowania oraz prezentowania cyfrowego materiału dowodowego pozyskanego z różnorodnych cyfrowych źródeł danych ujawnienia i rekonstrukcji zdarzeń mających charakter kryminalny, prowadzących do nadużyć lub mających charakter nieautoryzowanych czynności zmierzających do zakłócenia innych, legalnych działań. 3/29

4 Informatyka śledcza II Źródła cyfrowego materiału dowodowego: zawartość magnetycznych nośników danych, zawartość optycznych nośników danych, zrzuty zawartości pamięci j, zrzuty pakietów ruchu sieciowego. Informatyka śledcza = poszukiwanie śladów. 4/29

5 Informatyka śledcza III Proces cyfrowej analizy śledczej: gromadzenie danych, analiza danych, prezentacja wniosków. Artefakt Cenny i trudny do pozyskania przedmiot o potężnych mocach a. a z Wikipedii 5/29

6 Informatyka śledcza III Proces cyfrowej analizy śledczej: gromadzenie danych, analiza danych, prezentacja wniosków. Artefakt Cenny i trudny do pozyskania przedmiot o potężnych mocach a. a z Wikipedii 5/29

7 stanowiska badawczego I dostępność narzędzi Open Source, budowanie pakietów oprogramowania (kompilator, interpreter), obrazy nośników danych: surowe binarne obrazy dysków, kontenery binarnych obrazów dysków, środowisko pracy: Linux, Windows. 6/29

8 stanowiska badawczego II Stacja robocza z systemem Linux: najczęściej stosowane rozwiązanie, wymaga podstawowej wiedzy o systemie (cd, ls, mkdir...) oraz zainstalowania i skonfigurowania niezbędnych dodatkowych pakietów, praca z binarnymi obrazami nośników danych: losetup, pakiety: FUSE, MountEWF, AFFuse, XMount.... 7/29

9 stanowiska badawczego III Stacja robocza z systemem Windows: budowanie pakietów oprogramowania, praca z binarnymi obrazami nośników danych: ImDIsk, praca z systemami : Ext2Fsd, HFS Explorer,... 8/29

10 zawartości nośników danych identyfikacja, przetwarzanie, analiza, abstrakcyjny model systemu : dysk, wolumin, system, jednostka danych, metadane, nazwa pliku. 9/29

11 Pakiet The Sleuth Kit I zaprojektowany przez Briana Carriera, zestaw narzędzi przeznaczonych do analizy śledczej, wbudowana obsługa binarnych obrazów dysków typu RAW i innych formatów, narzędzia konsolowe pakietu: mm- to narzędzia pracujące na woluminach dysków (ang. media management), fs- to narzędzia działające na strukturach systemu, blk- to narzędzia pracujące na warstwie jednostek danych (warstwie bloków danych), i- to narzędzia działające na warstwie metadanych (warstwa i-węzłów), f- to narzędzia przeznaczone do działania na warstwie nazw. 10/29

12 Pakiet The Sleuth Kit II Narzędzia konsolowe pakietu: j- narzędzia do pracy z dziennikami systemu, img- narzędzia przeznaczone do pracy z plikami binarnych kopii nośników danych, -stat narzędzia, które wyświetlają ogólne informacje o danym elemencie, -ls narzędzia, które wyświetlają zawartość danej warstwy, cat - narzędzia, które pozwalają na pozyskanie zawartości danej warstwy. 11/29

13 Pakiet The Sleuth Kit III Narzędzia warstwy woluminu: mmstat, mmls, mmcat. Narzędzia warstwy systemu : fsstat. Narzędzia warstwy jednostek danych: blkstat, blkls. 12/29

14 Pakiet The Sleuth Kit IV Narzędzia warstwy metadanych: istat, ikls, icat. Narzędzia warstwy nazw : fls: opcje trybu interaktywnego: -d, -l, -m, -p, -r, -u, -z, -s. 13/29

15 i odtwarzanie partycji Polecenie sigfind sigfind [-b bsize ] [-o offset ] [-t template ] [-lv] [ hex_signature ] file Narzędzie TestDisk naprawa tabeli partycji, odzyskanie skasowanej partycji, odzyskanie i przebudowa sektora rozruchowego FAT32 z kopii zapasowej, naprawa tabeli FAT, odzyskanie i przebudowa sektora rozruchowego NTFS, naprawa MFT za pomocą mirrora MFT, lokalizacja backupa superblocka ext2 / ext3 / ext4, przywracanie z systemów FAT, exfat, NTFS i ext /29

16 Haszowanie obliczanie wartości kryptograficznej funkcji skrótu różnych obiektów, MD5, SHA1, zalety: zmiana jednego bitu w strumieniu wejściowym = nowa wartość funkcji skrótu, weryfikacja integralności cyfrowego materiału dowodowego, pomoc w odnalezieniu i wyszukiwaniu tych samych na dysku, polecenia w Linuksie: md5sum, sha1sum lub md5deep, hashdeep. 15/29

17 Haszowanie rozmyte pakiet ssdeep, przykład: Sumy kontrolne : Rozmyte wartości funkcji skrótu: 16/29

18 Data Carving odzyskiwanie istotnych informacji z nieuporządkowanych strumieni danych (z niealokowanej przestrzeni nośnika danych), przeszukiwanie strumieni danych pod kątem występowania: specyficznych ciągów bajtów (nagłówki ), określaniu lokalizacji znaczników końca, zapisywanie strumienia danych pomiędzy nagłówkiem a znacznikiem końca pliku. narzędzia: Foremost, Scalpel, PhotoRec. 17/29

19 Tworzenie binarnych kopii nośników danych utworzenie binarnej reprezentacji oryginalnego nośnika jak najbardziej zbliżonej do oryginału (bit po bicie), poszukiwanie ważnych informacji wśród skasowanych danych, niewykorzystana przestrzeń na końcu pliku, polecenie dd, polecenie dcfldd, polecenie dc3dd. 18/29

20 Odzyskiwanie danych w Windowsie obsługiwane systemy i ich cechy: FAT, NTFS: tablica MFT, funkcja gettime(), aktywne strumienie danych, rejestr, dzienniki zdarzeń, pliki prefetch, pliki skrótów i wykonywalne. 19/29

21 Odzyskiwanie danych w Linuksie I budowa systemu ext: warstwa systemu, warstwa nazwy, warstwa metadanych, warstwa jednostek danych, narzędzia księgujące skasowane dane, menadżer dysków logicznych, proces uruchamiania systemu i usług. 20/29

22 Odzyskiwanie danych w Linuksie II organizacja systemu linux i artefakty: partycjonowanie, hierarchia systemu, prawa dostępu do i ich atrybuty, konta użytkowników i ich katalogi domowe, logi, zaplanowane zadania. 21/29

23 Odzyskiwanie danych w MacOS system HFS+, specjalne pliki systemu HFS+, artefakty systemu go MacOS, artefakty związane z aktywnością użytkownika w MacOS. 22/29

24 Artefakty internetowe artefakty przeglądarek sieciowych: przeglądarka Explorer, przeglądarka Firefox, przeglądarka Chrome, przeglądarka Safari, artefakty poczty elektronicznej: PST, mbox, maildir. 23/29

25 I proces analizy : identyfikacja zawartości, wyodrębnienie metadanych, zdjęcia i pliki graficzne: imagemagick: identify, pliki w formacie JPEG, pliki w formacie GIF, pliki w formacie PNG, pliki w formacie TIFF. 24/29

26 II pliki audio: pliki w formacie MP3, pliki w formacie MPEG-4 Audio, pliki w formacie ASF/WMA. pliki wideo: pliki w formacie MPEG-1, MPEG-2, MPEG-4 Video, pliki w formacie AVI, pliki w formacie ASF/WMV, pliki w formacie MOV, pliki w formacie MKV. 25/29

27 III pliki archiwum: pliki w formacie ZIP, pliki w formacie RAR, pliki w formacie 7-ZIP, pliki w formacie TAR, GZIP, BZIP2. pliki dokumentów: dokumenty pakietu Office, pliki w formacie ODF, pliki w formacie RTF, pliki w formacie PDF. 26/29

28 Graficzne środowiska wspomagające analizę śledczą PyFLAG, Digital Forensics Framework, pakiet fiwalk, FTK Imager, ProDiscover Free, Windows File Analyzer, LogParser, Nira Sorfera, Highlighter. 27/29

29 Wykorzystano następujące materiały: Cory Altheide, Harlan Carvey: Informatyka śledcza. Przewodnik po narzędziach open source, Helion A Road Map for Digital Forensic Research, Digital Forensics Research Workshop, 28/29

30 Dziękuję za uwagę! 29/29

Podobne dokumenty

Agenda warsztatów z informatyki śledczej (5 dni)

Agenda warsztatów z informatyki śledczej (5 dni) Dzień 1 9.15-9.30 Wprowadzenie 9.30-11.00 Pojęcie dowodu elektronicznego Polskie i Europejskie regulacje prawne Obsługa incydentów bezpieczeństwa wg SANS