При прохождении обучения по компьютерной климиналистки по курсу CHFI v9 нам продемонстрировали на деле, то как и чем работают настоящие компьютерные криминалисты.
Для того чтобы успешно проводить расследования инцидентов информационной безопасности необходимо обладать практическими навыками работы с инструментами по извлечению цифровых артефактов. В этой статье будет представлен список полезных ссылок и инструментов для проведения работ по сбору цифровых доказательств.
Основная цель при проведении таких работ — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.
Термин «forensics» является сокращенной формой «forensic science», дословно «судебная наука», то есть наука об исследовании доказательств — именно то, что в русском именуется криминалистикой.
Русский термин «форензика» означает не всякую криминалистику, а именно компьютерную.
Некоторые авторы разделяют компьютерную криминалистику (computer forensics) и сетевую криминалистику (network forensic).
Основная сфера применения форензики — анализ и расследование событий, в которых фигурируют компьютерная информация как объект посягательств, компьютер как орудие совершения преступления, а также какие-либо цифровые доказательства.
Для полноценного сбора и анализа информации используются различные узкоспециализированные утилиты, которые будут рассмотрены ниже.
Хочу предупредить, что при проведении работ по заключению в том или уголовном деле скорее всего будет рассматриваться наличие тех или иных сертификатов и соответствий ПО.
В этом случае придется использовать комбинированные методы по сбору и анализу информации, либо писать выводы и заключение на основании полученных данных из несертифицированных источников.
В этой статье представлены бесплатные инструменты для проведения расследования инцидентов информационной безопасности.
Дисковые инструменты и сбор данных
- Arsenal Image Mounter утилита для работы с образами дисков в Windows, доступ к разделам и томам и т. д.
- DumpIt утилита для создания дампа физической памяти компьютеров Windows, 32/64 бит. Может работать с USB-накопителя.
- EnCase Forensic Imager утилита для создания доказательных файлов EnCase.
- Encrypted Disk Detector утилита для выявления зашифрованных томов TrueCrypt, PGP или Bitlocker.
- EWF MetaEditor утилита для редактирования метаданных EWF (E01).
- FAT32 Format утилита для форматирования дисков большой емкости в FAT32.
- Forensics Acquisition of Websites браузер, предназначенный для захвата веб-страниц для проведения расследований.
- FTK Imager просмотр и клонирование носителей данных в среде Windows.
- Guymager многопоточный утилита с GUI для создания образов дисков под управлением Linux.
- Live RAM Capturer утилитая для извлечения дампа RAM, в том числе защищенный анти-отладочной или антидампинговой системой.
- NetworkMiner инструмент сетевого анализадля обнаружения ОС, имени хоста и открытые портов сетевых узлов с помощью перехвата пакетов / анализа PCAP.
- Magnet RAM Capture утилита для захвата RAM от Windows XP до Windows 10, Win Server 2003, 2008, 2012.
- OSFClone утилита live CD/DVD/USB для создания dd или AFF образов.
- OSFMount утилита для монитирования образов дисков, также позволяет создавать RAM-диски.
Анализ электронной почты
- EDB Viewer утилита для просмотра файлов EDB Outlook без сервера Exchange.
- Mail Viewer утилита для просмотра файлов Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
- MBOX Viewer утилита для просмотра электронных писем и вложений MBOX.
- OST Viewer утилита для просмотра файлов OST Outlook без сервера Exchange.
- PST Viewer утилита для просмотра файлов PST Outlook без сервера Exchange.
Анализ файлов и данных
- analyzeMFT утилита парсинга MFT из файловой системы NTFS, позволяя анализировать результаты с помощью других инструментов.
- bstrings утилита поиска в двоичных данных, включая поиск регулярных выражений.
- CapAnalysis утилита просморта PCAP.
- Crowd Response консольное приложение Windows для помощи в сборе системной информации для реагирования на инциденты и обеспечения безопасности.
- Crowd Inspect утилита для получения информации о сетевых процессах, перечислении двоичных файлов, связанных с каждым процессом. Создает запросы к VirusTotal и другим онлайн-средствам анализа вредоносных программ и служб репутации.
- DCode утилита преобразует различные типы данных в значения даты / времени.
- Defraser утилита для обнаружения полных и частичных данных о мультимедийных файлах в нераспределенном пространстве.
- eCryptfs Parser утилита рекурсивно анализирует заголовки каждого файла eCryptfs в выбранном каталоге.
- Encryption Analyzer утилита для анализа защищенных паролем и зашифрованных файлов, анализирует сложность шифрования отчетов и варианты дешифрования для каждого файла.
- ExifTool утилита для чтения и редактирования данных Exif в большом количестве типов файлов.
- File Identifier онлайн анализ типа файлов (более 2000).
- Forensic Image Viewer утилита для извлечения данных из изображений.
- Link Parser утилита для рекурсивного анализа папок, извлекающая более 30 атрибутов из файлов Windows .lnk (shortcut).
- Memoryze анализ образов RAM, включая анализ «page» файлов.
- MetaExtractor утилита для извеления мета-информации из офисных документов и pdf.
- Shadow Explorer утилита для просмотра и извлечения файлов из теневых копий.
Инструменты для Mac OS
- Audit утилита для вывода аудита и журналов OS X.
- Disk Arbitrator блокирует монтирование файловых систем, дополняя блокиратор записи при отключении арбитража диска.
- FTK Imager CLI for Mac OS консольная версия для Mac OS утилиты FTK Imager.
- IORegInfo утилита для отображении информации по подключенным к компьютеру устройствам (SATA, USB и FireWire, программные RAID-массивы). Может определять информацию раздела, включая размеры, типы и шину, к которой подключено устройство.
- mac_apt утилита для работы с образами E01, DD, DMG.
- Volafox утилита для анализа памяти в Mac OS X.
Мобильные устройства
- iPBA2 утилита анализа резервных копий iOS.
- iPhone Analyzer утилита анализа файловой структуры Pad, iPod и iPhone.
- ivMeta утилита для извлечения модели телефона и версии программного обеспечения, а также временные данные и данные GPS с видео iPhone.
- Rubus утилита для деконструирования резервных файлов Blackberry .ipd.
- SAFT извлечение SMS, журналов звонков и контактов из Android устройств.
Фреймворки
- dff — Digital Forensics Framework — платформа с открытым исходным кодом для проведения работ по извлечению и исследованию данных.
- PowerForensics — PowerForensics утилита, написанная на PowerShell, предназначенная для исследования жестких дисков.
- The Sleuth Kit — The Sleuth Kit (TSK) — это библиотека на языке C и коллекция инструментов командной строки, которые позволяют исследовать образы дисков.
Реал-тайм утилиты
- grr — GRR Rapid Response: инструмент для расследования и анализа инцидентов.
- mig — Mozilla InvestiGator — распределенная реал-тайм платформа для расследования и анализа инцидентов.
Работа с образами (создание, клонирование)
- dc3dd — улучшенная версия консольной утилиты dd.
- adulau/dcfldd — еще одна улучшенная версия dd.
- FTK Imager — FTK Imager- просмотр и клонирования носителей данных в среде Windows.
- Guymager — просмотр и клонирования носителей данных в среде Linux.
Извлечение данных
- bstrings — улучшенная версия популярной утилиты strings.
- bulk_extractor — выявления email, IP-адресов, телефонов из файлов.
- floss эта утилита использует расширенные методы статического анализа для автоматической деобфускации данных из двоичных файлов вредоносных программ.
- photorec — утилита для извления данных и файлов изображений.
Работа с RAM
- inVtero.net — фреймворк, отличающийся высокой скоростью работы.
- KeeFarce — извлечение паролей KeePass из памяти.
- Rekall — анализ дампов RAM, написанный на python.
- volatility — Volatility Framework представляет собой набор утилит для разностороннего анализа образов физической памяти.
- VolUtility — веб-интерфейс для Volatility framework.
Сетевой анализ
- SiLK Tools — инструменты для анализа трафика для облегчения анализа безопасности крупных сетей.
- Wireshark — известнейший сетевой сниффер.
Артефакты Windows (извлечение файлов, историй загрузок, USB устройств и т.д.)
- FastIR Collector — обширный сборщик информации о системе Windows (реестр, файловая система, сервисы, автозагрузка и т.д.)
- FRED — кросплатформенный анализатор реестра Windows.
- MFT-Parsers — лист сравнения MFT-парсеров (MFT — Master File Table).
- MFTExtractor — MFT-парсер.
- NTFS journal parser — парсер журналов NTFS.
- NTFS USN Journal parser — — парсер журналов USN.
- RecuperaBit — восстановление NTFS данных.
- python-ntfs — анализ NTFS данных.
Исследование OS X
- OSXAuditor — OS X аудитор.
Internet Artifacts
- chrome-url-dumper — извлечение информации из Google Chrome.
- hindsight — анализ истории Google Chrome/Chromium.
Анализ временных интервалов
- plaso — извлечение и агрегация таймстапов.
- timesketch — анализ таймстапов.
Hex редакторы
- 0xED — HEX редактор OS X.
- Hexinator — Windows версия Synalyze It.
- HxD — маленький и быстрый HEX редактор.
- iBored — кросс-платформенный HEX редактор.
- Synalyze It! — HEX редактор в тимплейтами.
- wxHex Editor — кросс-платформенный HEX редактор со сравнением файлов.
Конверторы
- CyberChef — мультиинструмент для кодирования, декодирования, сжатия и анализа данных.
- DateDecode — конвертирование бинарных данных.
Анализ файлов
- 010 Editor Templates — тимплейты для редактора 010.
- Contruct formats — парсер различных видов файлов на python.
- HFSPlus Grammars — HFS+ составляющие для Synalysis
- Sleuth Kit file system grammars — составляющие для различных файловых систем.
- Synalyse It! Grammars — файловые составляющие для Synalyze It!
- WinHex Templates — файловые составляющие для WinHex и X-Ways
Обработка образов дисков
- imagemounter — утилита командной строки для быстрого монтирования образов дисков
- libewf — Libewf библиотека и утилиты доступа и обработки форматов EWF, E01.
- xmount — конвертирования образов дисков.
Итог
Для проведения работ по исследованию и сбору цифровых доказательств необходимо придерживаться принципов неизменности, целостности, полноты информации и ее надежности.
Для этого необходимо следовать рекомендациям к ПО и методам проведения расследований.