2009 10-24 foss-e-computer-forensics

FOSS nella Computer Forensics

Davide GabriniDigital Forensic Jedi

Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009

Il pinguino investigatore:

l’open source per l’informatica

forense

Intercettazioni

Credits

Applicazione

LinuxDay 2009Pavia/Vigevano, 24 ottobre 2009



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Chi sono

Davide ‘Rebus’ GabriniPer chi lavoro non è un mistero.Oltre a ciò:

Consulente tecnico e Perito forense Docente di sicurezza informatica e

computer forensics per Corsisoftware srlCome vedete non sono qui in divisa



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Da Wikipedia: “computer forensics is a technological, systematic inspection of the

computer system and its contents for evidence or supportive evidence of a

crime or other computer use that is being inspected”

L’obiettivo è dunque quello di evidenziare dei fatti pertinenti l’indagine da sottoporre a giudizio

Computer Forensics



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Cosa NON è

Fantascienza televisiva: CSI, NCIS, Criminal Minds, RIS ecc. propinano solitamente boiate

…e al cinema è anche peggio!

Anche gli organi di informazione (non del settore) spesso instillano convinzioni del tutto infondate…



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Scopi di un’analisi forense

Confermare o escludere un evento Individuare tracce e informazioni utili

a circostanziarlo Acquisire e conservare le tracce in

maniera idonea, che garantisca integrità e non ripudiabilità

Interpretare e correlare le evidenze acquisite

Riferire con precisione ed efficienza, in maniera idonea



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Le fasi canoniche

Identificazione

Acquisizione / Preservazione

Analisi / Valutazione

Presentazione



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Open Source vs Closed Source

Trasparenzagli strumenti sono conosciuti, documentabili e verificabili anche dalla controparte

Disponibilitànon occorre acquistare software specifici (e costosi) per svolgere o controllare un'attività

Varietàesistono soluzioni e supporto per una miriade di situazioni, anche improbabili (ad esempio per i filesystem)

Adattabilitài sorgenti sono modificabili per ogni esigenza specifica



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione


Flessibilitàil paradigma Unix "tutto è un file" permette di gestire uniformemente anche situazioni nuove

Modalità read-onlyLinux è per natura poco invasivo e ha comunque supporto nativo per modalità di sola lettura

Loopbackl'uso di loopback device e di device mapper può rivelarsi molto utile

Aderenza agli standardspesso i software commerciali usano implementazioni arbitrarie e formati chiusi



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione


Ricerca iSEC Partners 1 agosto 2007Test eseguito tramite fuzzing casuale o indotto su file, filesystem e dischi

Obiettivi: Data hiding Code execution Evidence corruption Denial of service

Tool analizzati: The Sleuth Kit Encase



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Open Source vs Closed Source - TSK

TSK comprende(va) 23 diversi toolSono state rilevate vulnerabilità in grado di causare crash e loop infiniti in 4 di essi:

fls fsstat icat istat

La disponibilità del codice ha reso possibile l'analisi dei bug e la loro correzioneTutti i bug sono stati fixati dalla versione 2.09 (oggi siamo alla 3.0.1)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Open Source vs Closed Source - Encase

Testate le versioni 6.2 e 6.5Sono state rilevate vulnerabilità in grado di impedire l'acquisizione di dischi, generare crash e nascondere dati.L'indisponibilità del codice ha reso problematico isolare i bug e impossibile correggerliIl servizio di acquisizione remota della versione Enterprise è soggetto ad hijacking a causa di autenticazione deboleGuidance Software ha minimizzato ma risolto i problemi di Encase Forensic dalla versione 6.7, mentre ha negato il problema di Encase Enterprise



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Identificazione e Acquisizione Riconoscimenti di device e filesystem

lshw hdparm disk_stat (da Sleuthkit)

fdisk, mmls ecc. Esecuzione copie bit-level

raw=interoperabilità (e compliance con la RFC3227)

dd dd_rescue dcfldd, dc3dd ecc.



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Acquisizione

Potenza delle pipe split md5sum, sha1, 2hash, DHash… gzip netcat redirezione stderr 2>

Front-end grafici AIR Adepto Guymager



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Acquisizione

Esempi di comandi per l'acquisizione:

# dd if=/dev/hda of=hda.dd conv=noerror,sync bs=512

# dd if=/dev/hda conv=noerror,sync bs=512 | split –b 1550m – hda_image

# dd if=/dev/hda1 skip=0 conv=noerror ibs=512 | gzip -1 | dd of=hda1.raw.gz seek=0 obs=8192

# dcfldd if=/dev/hda conv=noerror,sync hashwindow=0 hashlog=hda.md5.txt of=hda.dd

Server# nc –l –p 31337 > image.ddClient# dd if=/dev/hda bs=2048 | nc {$ip_server} 3l337



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

AIR



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Adepto



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Intercettazioni

Formato pcap come standard de facto tcpdump wireshark tshark ettercap snort airodump kismet ecc. ecc.



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Intercettazioni

Ricostruzione del traffico wireshark (statistiche, flussi, filtri…) tcptrace (estrazione flussi vari protocolli) chaosreader (flussi e report HTML) tcpxtract (estrapolazione file per tipo) PyFlag Xplico



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Xplico (1)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Xplico (2)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Xplico (3)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Distribuzioni

Distribuzioni live specifiche c'erano una volta FIRE e Knoppix std… Helix DEFT FCCD BackTrack ForLex, Caine, PlainSight…

L'analista può scegliere i suoi strumenti, ma non può comunque scegliere l'obiettivo dell'analisi…



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Virtual appliance

Virtualizzare la workstation di analisi può dare alcuni vantaggi:

Ambiente ottimizzato e preconfigurato Facilità di backup, migrazione, ripristino e duplicazione Remotizzazione dei task di analisi

Distribuzioni in virtual machine: CERT Forensic Appliance SANS Investigative Forensic Toolkit (SIFT)

V-DEFT



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Sleuthkit & Autopsy fsstat analizza la struttura dei filesystem

Filename fls naviga un'immagine forense senza montarla

Metadati icat estrae file basandosi sul primo settore ils naviga nella struttura dei metadati istat visualizza i metadati di una entry

Data unit dcat estrae il contenuto di un blocco dls estrae informazioni dallo slack space dstat visualizza informazioni su un cluster



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Sleuthkit & Autopsy disk_sreset resetta il disco tramite comandi ATA

a basso livello mactime costruisce una timeline delle attività

svolte sui file sorter verifica il matching tra l'estensione di un

file e il suo effettivo contenuto. Inoltre verifica i file di sistema utilizzando il database NIST NSRL

Autopsy, infine, è il front-end web ai tool di Sleuthkit, che consente di lavorare anche da remoto con un qualunque browser



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

PyFlag

Forensic and Log Analysis GUI interfaccia web per l'analisi di immagini forensi, di file di log, di dump pcap e di dump della RAM



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

PyFlag (1)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

PyFlag (2)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

PyFlag (3)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Supporti ottici

DVDisaster per il recupero dati da supporti parzialmente danneggiati



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Mobile Forensics

TULP2G solo per Windows, ma comunque open source, per l'acquisizione di dati da cellulari e dispositivi mobili



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Mobile Forensics

MIAT (Mobile Internal Acquisition Tool) è un progetto open source dell'Università “Tor Vergata” di Roma per la mobile forensics di dispositivi Symbian e Windows Mobile



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Analisi dei file file per riconoscere il tipo del file

dal suo contenuto retriever e catfish per

indicizzare file di vario tipo strings, grep, sort, uniq… xxd, Khexedit ecc… konqueror per browsing e anteprime Fccu-docprop, jhead, pdfinfo, hachoir ecc.

per estrarre i metadati da file e documenti stegdetect (outguess) rileva contenuti

steganografati



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Attività dell’utente: Sistema rifiuti e dumpster_dive analizzano le

informazioni relative al cestino di Windows GrokEVT per il log degli eventi di

Windows lnk-parser per i file di link di Windows Registro di Windows:

regviewer RegLookup RegRipper UserAssist.pl

SandMan (hiberfil.sys)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Attività dell’utente: RAM

Acquisizione msramdmp memimage (Princeton University) MDD Win32dd (user-space!)

Analisi Volatility keyfinder (Princeton University)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Attività dell’utente: Browser

pasco analizza i file index.dat relativi alla cronologia di Internet Explorer

galleta e cookie_cruncher analizzano i cookie di Internet Explorer

mork.pl (history.dat di Firefox) f3e (Firefox e Chrome) Safari Forensic Tools per le

evidence di Safari



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Attività dell’utente: Mail

eindeutig per archivi DBX di Outlook Express

grepmail per archivi mbox, anche compressi

libpst per il parsing degli archivi PST di Microsoft Outlook



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Macchine virtuali Può essere utile eseguire un'immagine del

sistema in analisi all'interno di una VM Virtualbox QEMU XEN LiveView

Le password sono aggirabili: chntpw cmosPwd Ophcrack



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

File carving fatback recupera file cancellati da partizioni FAT e2recover inceve su partizioni Ext2 foremost e scalpel eseguono ricerca sequenziale

e pattern matching basandosi su un set di header e footer

photorec fa altrettanto: nato per recuperare immagini, le sue potenzialità sono state estese

bmap estrae lo slack space alla fine di ogni file dls, come detto, consente di estrarre da

un'immagine forense i dati relativi ai cluster non allocati



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Rilevamento Malware

chkrootkit rkhunter zeppoo ClamAV

Possibile rilevare file sospetti anche con l'uso di apposite hash table (p.e. NSRL)



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Reverse engineering

Dissezione (buona fortuna…)

Fenris faust gdb

Analisi live del malware emulazione (Wine) sandbox (chroot, Plash) Virtual Machine



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Beginner’s guide: www.linuxleo.com

The law envorcement and forensic examiner's introduction tu Linux

Utilissima guida, rivolta a principianti, per muovere i primi passi nel mondo della computer forensics attuata con strumenti open source

Sono a disposizione anche alcune immagini forensi di esempio per esercitazioni didattiche



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Realtà associative

IISFA: International Information Systems Forensic Associationwww.iisfa.it

Unica associazione del settore presente in Italia

Mailing list nazionale, seminari, convegni, workshop, corsi di formazione

Certificazione CIFI (Certified Information Forensics Investigator)

http://www.iisfa.it/



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Mailing list e community Linux_forensics (Yahoo Groups)

Win4n6 (Yahoo Groups)

CFI (Computer Forensics Italy)www.cfitaly.net

ML forensics su Sikurezza.orgwww.sikurezza.org/lists/listinfo/forensics

http://www.cfitaly.net/

https://www.sikurezza.org/lists/listinfo/forensics

http://www.cfitaly.net/



Presentazioni

Open vs Closed

Acquisizione

Distribuzioni

Analisi

Man pages

Community

LinuxDay 2009



forense

Intercettazioni

Credits

Applicazione

Teniamoci in contatto…Davide Rebus Gabrini

e-mail:[email protected]@poliziadistato.it

GPG Public Key: (available on keyserver.linux.it)www.tipiloschi.net/rebus.ascwww.tipiloschi.net/davidegabrini.ascKeyID: 0x176560F7

Instant Messaging:MSN [email protected] 115159498Yahoo! therebusSkype therebus

Queste e altre cazzate su http://www.tipiloschi.net e http://rebus.splinder.com

http://www.tipiloschi.net/

http://rebus.splinder.com/

2009 10-24 foss-e-computer-forensics

Technology

Transcript of 2009 10-24 foss-e-computer-forensics