introduction to it forensic technology and it security · sektor, icke allokerad disk, slack...

Introduction to IT forensic technology and IT security

Partitions and filesAccessData FTK Imager and FTK

(Forensic ToolKit)Digital investigator knowledge and skills

Logga bevis med forensiska verktyg

• AccessData FTK (Forensic Tool Kit) och de flesta andra forensiska tool kit (se lista senare) har funktionalitet för– Rapport av undersökningen och loggning av information– Återskapa raderade filer och inbäddade filer i filer– Hitta data/filer i slack-space och free-space– Carving för att hitta data och filer– Olika typer av filsystem– Rapporter om funna filer på disken och deras hash– Filtypsanalyser av header (filer med fel filsuffix)– Time-lines för filer i systemet– Mycket mera…

• Verktygens kostnad är från fria -> mycket dyra

Sorterade filer efter indexering av ett case (image)

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 15.5 A depiction of platters, tracks, sectors, clusters, and heads on a computer disk.

Track, sector and cluster

LBA (Logical Block Addressing)• LBA, kallas även Linear Base

Address – Är den vanligaste adresserings

metoden• Cylinder-Head-Sector (CHS)

schema• LBA har 48 bits adressering

– Geometri translation i BIOS– 128 pebibyte (PiB, 2^50) om 512

byte sektorer används

Beginning End

Linear Model

Platter Model

Beginning End

LBA=0 Index=i

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 15.6 Simplified depiction of disk structure with two partitions, each containing a FAT formatted volume.

DOS/MBR PartitionerVBR (Volume Boot Record)

DOS/MBR Partitioner• Partitionsinformationen är alltid lagrad på cylinder

0, head 0, sector 1 (sector 0 i vissa program) dvs. den första sektorn

• Master Boot Record (MBR) – de första 512 byten

File System Forensic Analysis - Brian Carrier

MBR 446-509

Locical disk?Physical disk?

Endiannesshttp://en.wikipedia.org/wiki/Endianness

• Byte och bit ordningen för att representera data

• Little endian– Intel x86, LSB at lowest adress

• Big endian– Motorola, MSB at lowest adress

• Bi endian– I princip alla andra processorarkitekturer - inställningsbar– ARM, MIPS, SPARC, IA64 etc.

• Word exempel– 0x39 LE– 0x93 BE 0x1023

6

0x1024

9

0x1025

3

Adress

Data

0x1026

5

Word

DOS/MBR Partitioner• Disk/partition parameters 446 - 509• 4 primary partitions can be created on DOS disks

– Boot code points to VBR (Volume Boot Record) or Boot sector

1 0 3 2 5 4 7 6 9 8 11 10 13 12 15 14

= 0x00960525 = 98311717= 0x0000003F = 63= 0x63BFFE= 0x07= 0x000101= 0x00

Tolkning av ett 16 byte partition entry – omvandla LE word till BE byte-indexoch läs som LE eller BE

File System Forensic Analysis - Brian Carrier

Big Endian

Några DOS Partition typer

DiskExplorer MBR

Formatering av diskarhttp://support.microsoft.com/?kbid=302686

• Quick format (Windows)– Tar bara bort FAT/MFT (File Allocation Table)/(Master File Table) – Allt annat är kvar på disken

• Regular format (Windows)– Som quick format men scannar även efter bad sectors

• ”Low level format” utility från disktillverkare– Gör write-read verify och andra kontroller av disken

• ”Low level format” från fabrik– Servo, sector layout, defect management etc.– Håller för diskens livstid, kan inte göras om

• Återställa MBR – odokumenterat kommando– FDISK /MBR (DOS/Windows)

• VISTA/7 från Windows RE (Recovery Environment)– bootrec /FixMbr och bootrec /FixBoot

Create a bit-stream image 1

• DOS - diskcopy– a:\>diskcopy [drive1] [drive2] /V

• Linux – dd (disk dumper?)– http://en.wikipedia.org/wiki/Dd_(Unix) – dd if=/dev/floppy of=/evidence/floppyImage.dat– Paramatrar: bs=4096 conv=noerror count=1

Hårdvaruskrivskydds

device

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 16.4 Comparing bitstream copying to regular copying.

Create a bit-stream image 2

File end File start File end File start

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 17.4 Diagram of file with a logical size that is larger than its valid data length, leaving uninitialized space.

File size

Sector border Cluster border

Sectors are usually 512 byte, which is the smallest writable size - clusters are usually 4 kB in size

Söka efter data i slack space“Cluster level searching”

• Kallas även för file carving (datacarve i accessdata)• Söker igenom hela disken på byte nivå inklusive boot

sektor, icke allokerad disk, slack space… ALLT!• Hittade filer eller fragment av filer kan sparas till nya filer

i caset– Gamla raderade filer eller filer som finns inbäddade i andra filer

• Sökverktyget måste ha stöd för och kunna identifiera både HEX, ASCII och Unicode tecken m.m.

• Långsammare än ”content level searching”• Går ut på att söka efter textsträngar och efter fil- headers

och footers• Man måste i stort sett veta vad man letar efter om inte

bra stöd finns i verktyget– Scalpel är ett bra verktyg, härstammar från Foremost– TestDisk & PhotoRec

File mangling• Är konsten att modifiera en fil för att dölja innehållets

format - i syfte försvåra att rätt applikation kan använda filen– Analysera filens suffix, header signatur och format

• Tusentals format existerar!– http://www.webopedia.com/quick_ref/fileextensions.asp eller

http://filext.com/ – http://www.wotsit.org - programmer's file and data format

resource • File mangling metoder

– Ändra filens suffix– Ändra filens association i registret

• Ikonen för filen ändras• Rätt program startar inte som default

Inspektera filheaders för signaturer

• Om tveksamhet förekommer ang. suffix inspektera med hex editor

• De flesta filer har en unik signatur– .dll, .sys, .ocx, .drv, .exe och några till börjar med

”MZ” eller 4D5A i hex– Grafiska filer brukar ha suffixet med i headern

• Att inspektera många filer är inget litet jobb– Görs automatiskt i forensiska verktygen

• AccessData – Outside In Technology från Stellent– Man kan göra ett eget script eller program för detta

ganska lätt– Technology Pathways har en signaturlista de tagit

fram tillsammans med Harlan Carvey

Image-format• Format som har extra info, t.ex. EWF

• Unix/Linux dd (raw) format

Källa:afflib.org

FTK Imager image-format

• FTK imager kan skapa– Raw dd– SMART– Encase

• FTK imager läser

FTK imager gränssnitt

Interpreters

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 16.9 Forensic date and time decoder. These times are generally GMT and must be adjusted for time zones.

http://www.digital-detective.co.uk/

Other time decoders

Drive FreespaceNär FTK Imager hittar en kontinuerlig “klump” med ledig diskyta

(unallocated space) så namnger den och identifierar ytan med det kluster den börjar med

Nedan kan vi se en 262140 KB klump som börjar på kluster 3 och en annan 2624 KB klump som börjar på kluster 65790 osv.

Exporting Files / Folders

Hash Values

Results in a CSV file

Acquisition

Verification

Encase / DD ??

Verified based on image format

News in FTK imager 3.x

News in FTK imager 3.x

Tekniker att gömma data• Det finns många sätta att gömma data på, de

mest kända– Raderade filer? (ett specialfall)– Hidden file attribute– Alternate Data Streams (ADS)– Steganografi– Slack space/ej allokerade kluster– File mangling– Ofta spenderas en stor del av tiden i en forensisk

undersökning inom detta område• Krävande och tidsödande men samtidigt intressant

Gömda filer• Attrib +h kommandot• Show hidden files option i

explorer• Det finns normalt sett många

gömda filer i ett system– Malware eller normalt?

• Explorer är inte optimal– HFind från Foundstone är bättre

• Linux/Unix/Mac– Filer som börjar med ’.’

Figure 1.1

Copyright © 2011 Academic Press Inc.©2011 Eoghan Casey. Published by Elsevier Inc. All rights reserved.

FIGURE 17.9 DataLifter being used to carve files from two blobs of unallocated space and one blob of file slack from a system.

http://www.datalifter.com

Carving for files

http://www.cgsecurity.org/wiki/PhotoRec

FTK Interface

Menu Commands

Toolbars

Overview Tab

Explore Tab

Graphics Tab

E-Mail Tab

Search Tab

Bookmark Tab

FTK Case Files

<casename>.ftk

Creating a New Case

New Case Information

Examiner Information

Case Log Options

Process Options

Refining Case Evidence

Defining Index Parameters

Selecting Case Evidence

Evidence Information

FTK Time Zone Settings• FTK requires selection of a

time zone for any FAT volume

• FAT times are converted to GMT in the case databaseo FAT vs. NTFS

• Removable Mediao Should get the settings of

associated computers if they exist

o Use local settings if they do not

Setup Completion

AccessData Registry Viewer

Password Recovery ToolKitDictionary Tools...Manage Profiles...

Right or double click to get more properties and information about the recovery jobNote! May need to be started as admin

DI - ”mjuka” färdigheter

• Undersökande/analyserande färdigheter– Logisk

• Effektiv vid interaktion med människor, ”social förmåga” att kunna ”ta” människor– Behövs vid intervjuer med vittnen och brottslingar

• Skriva och kommunicera– Måste kunna förklara så alla förstår och

skriva/dokumentera på ett professionellt sätt• Objektivitet och professionalism

– Bevis kan svänga om till den misstänktes fördel– Omsorg om detaljer är en nyckelfaktor– Förbli fokuserad på fakta

DI tekniska färdigheter 1• En DI använder ofta mycket tekniskt avancerade

specialverktyg– Operativsystemets verktyg och egenskaper, script

• Time, date, events, loggar, tasklist … etc.– Windows resource kit eller speciella 3:dje parts verktyg

• Acctinfo, pview, pviewer etc.• Psinfo (sysinternals), Forensic Toolkit (Foundstone, McAfee), etc.

– CF toolkits• AccessData – FTK, http://www.accessdata.com • Guidance – Encase, http://www.guidancesoftware.com• Vogon – Gentree, http://www.vogon.co.uk• Paraben - http://www.paraben.com• X-Ways - http://www.x-ways.net• Smart ASR data - http://www.asrdata.com• ProDiscover - http://www.techpathways.com• ILOOK – ILook Investigator, http://www.ilook-forensics.org• i2 - Analyst Notebook, http://www.i2.co.uk

DI tekniska färdigheter 2

• UNIX/Linux har en stor mängd fria verktyg som kan användas för både nät och datorundersökning– The Sleuth Kit (TSK) http://www.sleuthkit.org, PTK, etc.

• Live CDs/VMware– Forensic Wiki: http://www.forensicwiki.org/Tools– DEFT, Helix3 etc.– SANS Investigative Forensic Toolkit (SIFT) Workstation

• Många fler… http://www.e-evidence.info/vendors.html• Nätverk

– Protokollanalysatorer, brandväggar, IDS, olika nätverksloggar• Hex-editorer - stegeanografi verktyg etc.• Uppbyggnad av binära filer och assembler för analys• Hårdvara - ALLT!

– Embedded systems…

DI OS tekniska färdigheter 1

• Avancerad kunskap om främst Windows-system– Men även: Mac OSX, GNU/Linux, Android etc.

• Filsystem– Transaktionsloggar, metadata som t.ex. ADS (Alternate

Data Streams – NTFS kompabilitet med HFS men används för mycket annat)

• Krypteringstekniker, verktyg, algoritmer, applikationer osv…– EFS, TrueCrypt, RSA, DES, PKI, Certifikat

• Processer, dynamiskt länkade filer, drivrutiner– Svchost (Microsoft Service Host Process), CSRSS

(Client/Server Runtime Server Subsystem), LSASS (Local Security Authority Service)

CF OS tekniska färdigheter 2

• Autentiseringsprocess, biometri och auditing (logisk logg som ökar spårbarheten i system)– Kerberos, CHAP, SID (security identifier)

• Patch management, signaturer• Service, system och applikationsloggning

– system.evtx, application.evtx, security.evtx– syslog.log, messages.log– Microsoft System Center Operations Manager

• Kännedom om attackerares verktyg, arbetssätt och systems svagheter, exploits, rootkits etc.– Olika slags attacker, elevera user credentials, dölja

filer/processer, remote access etc.