REPUBLIKA SRBIJA KRIMINALISTIČKO – POLICIJSKA POLICIJSKA AKADEMIJA
SEMINARSKI RAD TEMA: SIFT WORKSTATION
PREDMET: VISOKOTEHNOLOŠKI KRIMINAL
MENTOR:
STUDENTI:
dr Dragan Ranđelović
Dragan Stojković M-35/10 Dušan Jovanović M-4/10 Beograd, 2011
SADRŽAJ 1. SANS Investigative Forensic Toolkit (SIFT) Workstation – OPIS OPIS PROGRAMA……………3 1.1.Sleuth Kit i Autopsy……………………………………………………… ...………...3 2. SANS Investigative Forensic Toolkit (SIFT) Workstation – PRIMERI PRIMERI……………….………7 2.1. PRIMER 1 – Pronalaženje – Pronalaženje izbrisane poruke……………………………… poruke………………………………..……….. ..………..7 2.2. PRIMER 2 – Pronalaženje – Pronalaženje izbrisanog fajla sa slikom……………………… slikom………………………..…….. ..……..24
3. ZAKLJUČAK………………… ZAKLJUČAK……………………………………………… ……………………………………………………… …………………………...…….34 ...…….34 LITERATURA…………………………………………………… LITERATURA……………………… ……………………………………………………… …………………………..…35 ..…35
2
SADRŽAJ 1. SANS Investigative Forensic Toolkit (SIFT) Workstation – OPIS OPIS PROGRAMA……………3 1.1.Sleuth Kit i Autopsy……………………………………………………… ...………...3 2. SANS Investigative Forensic Toolkit (SIFT) Workstation – PRIMERI PRIMERI……………….………7 2.1. PRIMER 1 – Pronalaženje – Pronalaženje izbrisane poruke……………………………… poruke………………………………..……….. ..………..7 2.2. PRIMER 2 – Pronalaženje – Pronalaženje izbrisanog fajla sa slikom……………………… slikom………………………..…….. ..……..24
3. ZAKLJUČAK………………… ZAKLJUČAK……………………………………………… ……………………………………………………… …………………………...…….34 ...…….34 LITERATURA…………………………………………………… LITERATURA……………………… ……………………………………………………… …………………………..…35 ..…35
2
1. SANS Investigative Forensic Toolkit (SIFT) Workstation – OPIS PROGRAMA
SIFT Workstation je VMware (virtuelna mašima) uređaj koji je unapređen sa svim potrebnim alatima za obavljanje forenzičkih ispitivanja. Kompatabilan je sa „svedok ekspert
formatom“ (EO1), „formatom napredne forenzike“ (AFF), u RAW (dd) format dokaza. Uređaj je koristan i u kompjuterskoj forenzici, istrazi i u drugim stvarima. Ovaj program pomaže analitičarima da ispitaju jezgro file sistem -a i strukture metapodataka kako bi povećali njihovo razumevanje FAT/NTFS/UNIX/LINUKS fajl sistema. Kao rezultat, sposobnosti forenzičkih analitičara se neizmerno povećavaju. SIFT Workstation nam daje mogućnost da bezbedno ispitujemo napadnute diskove, višestruke fajl sisteme i dokazne materijale. On takođe postavlja stroga upustva o tome kako se dokazi ispituju i proverava da se dokazi nisu promenili.
Ukratko rečeno, SIFT Workstation je program koji se koristi za forenzičku analizu kompjutera. On sadrži sve potrebne alate koji omogućavaju da se forenzička analiza izvrši na uspešan način. Razni izbrisani fajlovi se mogu vrlo lako pronaći, uz pomoć ovih alata, čime se omogućava njihova analiza. 1.1.Sleuth Kit i Autopsy The Sleuth Kit (detektivska oprema) je kolekcija alata za forenziku analizu sistema pod UNIX-
om baziranih na komandnoj liniji. Alati omogućavaju ispitivanje sistemskih fajlova na sumnjivom komjuteru na nenametljiv način. Alat nije povezan sa operativnim sistemom da bi analizirao sistemske fajlove, obrisani i sakriveni sadržaji se takođe prikazuju. The volume system (media management) alat omogućava da se ispita forma hard diskova i drugih medija.Sleuth Kit podržava DOS particije, Mac particije, Sun slices i GPT diskove. Sa ovim alatima moguće je identifikovati gde su locirane particije i kopirati ih tako da mogu biti dalje analizirani. Kada se izvodi kompletna alaniza sistema, bolje je koristiti alat sa grafičkim okruženjem a ne sa komandnom linijom. Autopsy Forensic Browser je alat u Sleuth Kit sa grafičkim interfejsom interfejsom koji omogućava lakši tok tok istrage. Autopsy daje mogućnost menadzmenta slučaja, integritet slike, pretragu po ključnim rečima i ostale automatske operacije. o peracije. Ulazni podaci mogu biti:
slike raznih formata, .raw (dd), EnCase slika, AFF fajl sistem i druge
Podržava NTFS, FAT, UFS1, UFS2, EXT2FS, EXT3FS, i ISO 9660 fajl sisteme (čak i kada ispitani operativni sistem ne podržava). Alati mogu biti pokrenuti sa „živog“ UNIX sistema tokom odgovora na incident. Ovi alati će prikazati fajlove koji su skriveni i neće modifikovati mod ifikovati vreme pristupa.
3
Tehnike pretrage:
Izlistava alocirane i obrisane ASCII i Unicode fajlove .
Prikazuje detalje i sadržaj svih NTFS atributa .
Prikazuije fajl sistem i meta-data strukturu.
Kreira raspored aktivnosti, koji može da se prebaci za kasnije kreiranje grafika i izveštaja. Pregleda heš u heš bazi podataka, kao što su NIST NSRL, Hash Keeper, i ostale baze podataka kreirane sa md5sum alatom.
Organizuje fajove prema njihovom tipu (na primer izvršni, slike i dokumenta su odvojeni). Mogu se napraviti stranice sa malim grafičkim slikama za njihovu bržu
analizu. Sleuth Kit je napisan u S i Perl a koristi i neke kodove i dizaj od Coroner's Toolkit (TCT). Sleuth Kit je testiran na:
Linux
Mac OS X
Windows (Visual Studio)
CYGWIN
Open & FreeBSD
Solaris
Softver otvorenog koda omogućava da se alati prilagode okruženju. Sleuth Kit i Autopsy su alati otvorenog koda na UNIX platformi. Kako je Autopsy baziran na
HTML, moguće ga je povezati na Autopsy server sa bilo koje platforme korišćenjem HTML čitača. Autopsy omogućava interfajes za menadzment fajlovima i prikazuje detalje o obrisanim podacima i strukturi fajl sistema. Metode analize su:
Analiza na „mrtvom“ sistemu se izvodi kada je potrebna opsežna analiza prošlog
događaja na sumnjivom sistemu. U ovom slučaju Autopsy i Sleuth Kit se pokreću u sigurnom okruženju, obično u laboratoriji. Analiza na „živom“ sistemu se izvodi na sistemu dok on još radi. U ovom slučaju Autopsy i Sleuth Kit se pokreću sa CD-a u okruženju gde se sumnjivi sistem u tom trenutku nalazi. Ova metoda se često koristi kada je potreban odgovor u trenutku dok se incident dešava. Ako se potvrdi, kreira se slika sistema a zatim se vrši analiza na „mrtvom“ sistemu.
Tehnike pretrage
Izlistavanje fajova: Analizira fajove i dikretorijume, uključujući i imena obrisanih fajova
i fajlova čija su imena bazirana na Unicode. 4
Sadržaj fajlova: Sadržaj fajova može da se vidi u raw, hex formatu ili ASCII karakerima. Kada je podatak interpretiran, Autopsy ga obezbeđuje da bi se sprečilo oštećenje. Heš Baza podataka: Traži nepoznate fajlove u heš bazi podataka da bi brzo identifikovao da li je dobar ili loš. Autopsy koristi NIST National S oftware Reference Library (NSRL) i bazu podataka kreiranu od strane korisnika za poznate dobre i loše fajlove. Sortiranje po tipu fajla: Sortira fajove na osnovu njihovih internih potpisa za identifikaciju. Autopsy može da izvuče na primer samo grafičke slike. Ekstenzija fajla se
upoređuje sa tipom fajla da bi se identifikovali fajovi kojima su eventualno promenjene ekstenzije da bi se sakrili.
Raspored aktivnosti: U nekim slučajevima, postojenje rasporeda sa aktivnostima može
pomoći u pronalaženju oblasti fajl sistema koji potencijalno sadrži dokaze. Autopsy može kreirati raspored koji sadrži unose za vreme modifikacije, pristupa i promene (MAC) čak i za alocirane fajlove.
Pretraga po ključnoj reči: Pretraga po ključnim rečima se može izvoditi i upotrebom ASCII karaktera. Pretaga se može vršiti na celom sistemu ili samo na alociranom prostoru. Karakteri koji se najčešće traže mogu se konfigurisati u Autopsy zbog automatske pretrage.
Meta Data Analiza: Meta Data strukture sadrže detalje o fajovima i direktor ijumima.
Autopsy omogućava pregled detalja bilo koje meta data strukture na fajl sistemu. Ovo je korisno za oporavak obrisanih sadržaja. Autopsy pretažuje direktorijume da bi se pronašli delovi fajova koji imaju alociranu strukturu.
Analiza jedinica podataka: Jedinice podataka su mesta gde se čuvaju sadržaji fajova.
Autopsy omogućava pregled sadržaja bilo koje jedinice podataka u različitim formatima, uključujući ASCII, hexdump, i karakteri. Detalji slike: Detalji fajl sistema se mogu videti, uključujući strukturu diska i vreme aktivnosti. Ovo omogućava informacije koje su korisne tokom povratka podataka. Menadz ment slučaja: Istrage su organizovane po slučajevima, koji mogu sadržati
hostova. Svaki host je konfigurisan da ima svoju vremensku zonu i sat tako da vreme prikazano je isto kao na originalu koje korisnik vidi. Svaki host sadrži jednu ili više slika za analizu.
Usklađivač događaja: Događaji bazirani na vremenu mogu se dodati iz aktivnosti na fajlovima ili logovima firewall-a. Autopsy sortira događaje tako da se lakse mogu odrediti incidenti.
Beleške: Beleške se mogu sačuvati na osnovu hostova ili na osvou istražitelja. Ovo olakšava pravljenje beleški o fajovima i strukturama. Originalna lokacija se može lako opozvati klikom na dugme kada se kasnije pregleda beleška. Sve beleške se čuvaju u ASCII fajlu.
5
Integritet slike: Obavezno je osigurati da se fajovi neće modifikovati tokom analize.
Autopsy, će generisati MD5 vrednost za svaki fajl koji se uvodi ili kreira. integritet bilo kog fajla koji Autopsy koristi može se proveriti u bilo koje vreme. Izveštaji: Autopsy može da kreira ASCII izveštaje za fajlove. Ovo omogućava da se brzo napravi podloga za izveštaj tokom istrage. Logging : Logovi se kreiraju na nivou slučaja, hosta ili istražitelja, tako d a se akcije kasnije lako mogu opozvati. Tačne komande Sleuth Kit-a koje su izvršene se takođe beleže u logovima. Otvoren dizajn: Kod Autopsy je otvoren i svi fajlovi koje koristi su u raw formatu. Sve konfiguracioni fajlovi su u ASCII tekstu i slučajevi su organizovani po direktorijumima.
Ovo olakšava uzimađe podataka i arhiviranje. Takođe, ne ograničava korišćenje drugih alata koji mogu rešiti specifični problem, tačnije.
Model klinetskog servera: Autopsy je baziran na HTML i ne mora biti na istom sistemu
na kom je slika. ovim je omogućeno da više istražitelja koriste isti server i da se na njega konektuju sa svojih sistema.
6
2. SANS Investigative Forensic Toolkit (SIFT) Workstation – PRIMERI
U narednim primerima ćemo detaljno prikazati kako ovaj program radi i kako se vrši forenzička analiza.
2.1. PRIMER 1 – Pronalaženje izbrisane poruke
Slika 1. Pokretanje SIFT-a
Da bi pokrenuli SIFT potrebno je da idemo na opciju „Power on this virtual machine“. Zatim nam se otvaraju prozori u kojima je potrebno da upišemo „username“ i „password“. U ovom slučaju to su root i forensics. Tada nam se otvara prozor u kome se nalaze osnovni alati uz pomoć kojih ćemo vršiti forenzičku analizu (slika 2.)
7
Slika 2. Prozor sa alatima
Slika 3. Slika USB-a
8
Na slici 3. se može videti izgled USB-a koji ćemo analizirati. U folderu “master” se nalizi samo jedan fajl “prazan.doc”, a drugi fajl, na kome se nalazi tajna poruka smo obrisali. Prvo što treba da uradimo je to da snimimo sliku USB-a na našu memoriju. To se radi uz pomoć alata “GRAB”. Prvi korak u ovom postupku je da odredimo izvor (source). To ćemo uraditi tako što ćemo strelicom miša kliknuti na SDC i nastaviti postupak kao što je prikazan na slikama 4. i 5.
Slika 4. Grab
Slika 5. Označavanje izvora
9
Slika 6. Određivanje lokacije
Drugi korak je da odredimo lokaciju na kojoj će biti snimljen USB. Lokacija se određuje tako što u polje “Destination” upisujemo mesto na koje želimo da se ta slika snimi. Neophodno je da ispred lokacije koju upisujemo stavimo kosu crtu “/”. Lokaciju koju smo mi odredili u ovom slučaju je “/root”.
Slika 7. Određivanje naziva snimljene slike
10
Sledeći korak je određivanje naziva slike koju snimamo. To se radi tako što u polje “image name” upišemo željeni naziv.
Slika 8. Početak snimanja
Kao što se može videti naziv naše slike je “analiza”. Nakon toga u opciji “file” startujemo proces snimanja. Na slici 9. se može videti tok ovog procesa.
Slika 9. Proces snimanja
11
Slika 10. Snimljena slika USB-a
Na slici 10. se u folderu “root” jasno vidi slika koju smo snimili i koju ćemo analizirati u AUTOPSY. Klikom na ikonicu “Autopsy” otvara se prozor koji izgleda kao na slici 11.
Slika 11. Autopsy
Prvo što je potrebno je to da otvorimo novi slučaj, klikom na “new case”.
12
Tada nam se otvara novi prozor u koji je potrebno da upišeno naziv “novog slučaja” i ime istražitelja koji radi na tom slučaju. Može se dati i neki bliži opis slučaja, koji se preporučuje kada se radi neka šira analiza. Ovaj postupak je prikazan na slici 12.
Slika 12. Davanje naziva novom slučaju
Slika 13. Dodavanje host-a
13
Slika 14. Dodavanje slike za obradu
Slika 15. Opcije Nakon dodavanja host-a, dodaje je se slika koju ćemo analizirati. To je ona slika USB -a koju smo snimili na početku uz pomoć GRAB-a.
14
Slika 17. Određivanje destinacije slike
Da bi smo vršili analizu snimljene slike USB -a, neophodno je da u polje “Location” upišemo tačnu destinaciju na kojoj se ta slika nalazi. Kao što smo na kraju snimanja sa GRAB-om pokazali, destinacija naše slike je “/root/analiza” i nju unosimo u ovo polje. Još jednom da napomenemo, jako je bitno za pravilno određivanje lokacije stavljati kosu crtu na početku i između naziva.
Slika 18. Dodavanje detalja
15
Pre nego što se izvrši dodavanje slike potredno je odrediti da li da izračuna MD5 vrednost ili se dodaje MD5 vrednost koja se zna i izvršava se verifikacija. U našem slučaju mi smo označili da ćemo da izračunamo MD5 vrednost (slika 18.)
Slika 19. MD5 vrednost slike
Slika 20. Opcije nakon dodavanja slike
16
Na slici 20. se vidi da je slika USB-a dodata. Ovde možemo pogledati njene detalje i nastaviti sa analizom.
Slika 21. Detalji slike
Na slici 21. se vide detalji slike. Može se izvršiti ekstrakcija stringova i obrisanih fajlova (sektora).
Slika 22. Opcije za analizu
17
Na slici 22. su date opcije za analizu. Može se vršiti analiza fajlova, pretraživanje po ključnoj reči, tipovi fajlova, detalji slike itd. Za početak ćemo pokazati kako se vrši analiza fajlova. Potrebno je prvo da kliknemo na „file analysis“.
Slika 23. Pronalaženje foldera Na ovoj slici jasno vidimo foldere koje se nalaze na slici USB-a, kako one koji se i dalje nalaze na njemu (plavi) tako i one koji su izbrisani (crveni). Na početku smo rekli da se u folderu
“master” nalizi samo jedan fajl “prazan.doc”, a drugi fajl, na kome se nalazi tajna poruka je obrisan. Otvorićemo folder “master” kako bi nastavili analizu. Kada otvorimo ovaj folder ukazaće nam se dva fajla, jedan obrisan i jedan koji je i dalje tu (crveni i plavi). Naš cilj je da pronađemo sadržaj obrisanog fajla, tako da ćemo njega da označimo (slika 24.)
18
Slika 24. Pronalaženje fajla
Slika 25. Čitanje fajla
Kao što se može videti na slici 25. možemo da vidimo vrednosti ASCII, HEX i ASCII Strings. Pošto nas interesuje sadržaj obrisanog fajla kliknućemo na “ASCII Strings – display”. U prostoru predviđenom za očitavanje obrisanog fajla možemo da vidimo njegov sadržaj. Kao što se može
19
videti na ovoj slici, sadržaj obrisanog fajla je: “ Na ovom fajlu se nalazi tajna poruka. Studenti KPA su pametni .”
Slika 26. Izdvajanje fajla Ovaj fajl možemo da izdvojimo (eksportujemo) kako bi ga vratili u prvobitan oblik, tj. microsoft
office document. To radimo tako što kliknemo na “Export” (slika 26.).
Slika 27. Snimanje izdvojenog fajla
20
Zatim vršimo snimanje ovog fajla tako što kliknemo na “save file”, kao na slici 27. Ovaj fajl nam je sada sačuvan kao dokument u izvornom obliku koji možemo vrlo lako da pronađemo i vidimo njegov sadržaj (slika 28, 29 i 30)
Slika 28. Pronalaženje snimljenog fajla
Slika 29. Otvaranje snimljenog fajla
21
Slika 30. Snimljeni fajl
Kao što samo napomenuli, pored analize fajlova, možemo da vršimo pretraživanje po ključnoj reči. Ova pretraga nam omogućava da na osnovu zadate reči pronađemo traženi fajl. Za početak je potrebno da kliknemo na “Keyword Search” (slika 31)
Slika 31. Pretraga po ključnoj reči
22
Slika 32. Upisivanje ključne reči
U predviđeno polje za upisivanje ključne reči, upisujemo reč koja će nam služiti kao filter u pretrazi. U našem slučaju to je reč “ tajna”. Zatim započinjemo pretragu tako što kliknemo na “search” (slika 32). Kad to uradimo pojaviće nam se fajlovi koji sadrže “zadatu reč”. Vrlo lako možemo da uočimo i očitamo traženi fajl (slike 33 i 34)
Slika 33. Hex vrednost traženog fajla
23
Slika 34. ASCII vrednost traženog fajla 2.2. PRIMER 2 – Pronalaženje izbrisanog fajla sa slikom
Postupak pronalaženja izbrisanog fajla sa slikom je isti kao i kod pronalaženja izbrisane poruke. Zbog toga ćemo se pretežno bazirati na prikaz slika samog postupka analize bez ponavljanja objašnjenja, a ukazaćemo i na još neke mogućnosti.
Slika 35. Prikaz foldera u kome se nalazi izbrisan fajl sa slikom
24
Slika 36. Određivanje izvora koji snimamo, lokacije gde snimamo i naziva slike USB-a koji snimamo
Slika 37. Otvaranje novog slučaja u Autops y
25
Slika 38. Davanje naziva novom slučaju
Pošto je postupak analize isti kao i kod analize u Primeru 1, prikaz pojedinih koraka ćemo preskočiti.
Slika 39. Određivanje lokacije slike USB-a koji analiziramo
26
Slika 40. Detalji slike
Slika 41. Analiza fajlova slike USB-a
Fajl sa slikom koji smo izbrisali se nalazio u folderu “slika”, tako da ćemo označiti taj folder. U njemu ćemo moći da vidimo fajl “pismo.doc” koji nismo izbrisali (plave boje) i fajl koji smo izbrisali (crvene boje) a na kome se nalazi slika (slika 42)
27
a
Slika 42. Pronalaženje izbrisanog fajla
Slika 43. Izdvajanje fajla
28
Slika 44. Snimanje izdvojenog fajla
Slika 45. Pronalaženje izdvojenog fajla
29
Slika 46. Izbrisani fajl sa slikom u izvornom obliku
Na slici 46. se jasno može videti fajl sa slikom koji smo na početku izbrisali. U nastavku ćemo prikazati još neke mogućnosti koje postoje prilikom analize. Da bi izvršili analizu slike USB-a, nije neophodno da ga na početku analize snimamo uz pomoć opcije GRAB. Analizu možemo da izvršimo i bez snimanja, tako što ćemo u prostor gde upisujemo lokaciju slike koju analiziramo upisati lokaciju izvora USB-a (slika 47).
Slika 47. Lokacija izvora USB-a Tačnu lokaciju USB-a možemo da saznamo uz pomoć GRAB-a (slike 48 i 49) 30
Slika 48. Određivanje izvora u GRAB-u
Slika 49. Izvor USB-a
Takođe, analizu možemo da vršimo direktno tj. ne moramo da idemo prvo na detalje slike kao što smo pokazali u Primeru 1 (slike 50, 51 i 52) 31
Slika 50. Analiza slike izvora USB-a
Slika 51. Opcije za analizu
32
Slika 52. Pronalaženje foldera u kome se nalazi izbrisani fajl sa slikom
33
3. ZAKLJUČAK
Kao što se može videti iz predhodnog izlaganja, SIFT Workstation je program koji je vrlo koristan za forenzičku analizu kompjutera. Često se dešava da se izvrše određeni “napadi” na računar sa ciljem da se korisniku nanese neka šteta. Ovaj program sadrži sve potrebne alate koji omogućavaju da se forenzička analiza izvrši na uspešan način i da se ti napadi detektuju. Razni izbrisani fajlovi se vrlo lako mogu pronaći, uz pomoć ovih alata, čime se omogućava njihova analiza. Alati omogućavaju ispitivanje sistemskih fajlova na sumnjivom komjuteru na nenametljiv način. Analiza se može vršiti na “mrtvom” sistemu, kada je potrebna detaljna analiza prošlog događaja (laboratorijski uslovi) i na “živom” sistemu, tj. dok sistem još radi. Metoda analize na “živom” sistemu se često koristi kada je potreban odgovor u trenutku dok se incident dešava. Ako se potvrdi, kreira se slika sistema a zatim se vrši analiza na „mrtvom“ sistemu. Postoje razne tehnike pretrage koje se mogu koristiti, kao što su:
Izlistavanje fajova,
Sadržaj fajlova, Heš Baza podataka , Sortiranje po tipu fajla,
Raspored aktivnosti,
Pretraga po ključnoj reči ,
Meta Data Analiza,
Analiza jedinica podataka.
34
