Deftcon 2012 - Marco Giorgi - Acquisizione di memorie di massa con DEFT Linux

Marco Giorgi

Palazzo di Giustizia di Torino 30 marzo 2012

Post mortem (Dopo lo spegnimento del sistema) ◦ Si smonta il dispositivo e lo si collega ad un PC dedicato all'acquisizione

On the fly (Direttamente sul sistema posto ad analisi) ◦ Nel caso di sistemi RAID l'acquisizione "al volo" è quasi obbligatoria

Su network ◦ Sia nel caso di acquisizione post mortem, sia nel caso di acquisizione

on the fly è possibile salvare l'output direttamente durante la fase di acquisizione in altri PC o dischi della LAN appositamente configurati

◦ Gli strumenti utilizzati sono ◦ netcat

◦ ssh

30 marzo 2012 - Torino - DEFT Conference 2012: Acquisizione di memorie di massa con DEFT Linux - Marco Giorgi 2

Individuazione del device da acquisire

Essere certi di avere accesso in sola lettura al device

Calcolo hash del device

Acquisizione del device con creazione hash

Verifica degli hash calcolati

Copia su un altro supporto dell’immagine acquisita con relativa verifica hash

Gruppo di continuità ◦ Tutti i sistemi ed i dispositivi utilizzati per l'acquisizione vanno

collegati ad un gruppo di continuità

Write blocker hardware ◦ Un write blocker è un dispositivo hardware che viene collegato

al disco da acquisire in modo da bloccarne l'accesso in scrittura

◦ Possibilmente deve essere certificato dal Dipartimento della Giustizia U.S.A.

Adattatori di ogni genere o almeno quelli più comuni ◦ SATA, IDE, SAS, Firewire, USB

Tanto spazio su hard disk locale o su rete (PC dedicato o

NAS) per memorizzare i dati acquisiti

A causa delle limitazioni fisiche del supporto di destinazione (es. backup su DVD) oppure per motivi di compatibilità di filesystem (es. FAT32, nel caso in cui più periti debbano lavorare con sistemi eterogenei), l’immagine deve essere divisa in file più piccoli.

E’ possibile dividerla direttamente in fase di acquisizione utilizzando il comando split.

#dd if=/dev/sda | split -d -b 4500m - image.split.

Nel caso dell'utilizzo di tool di acquisizione più evoluti (es. dcfldd, ewfaquire, aimage, guymager) è possibile dividere le immagini nativamente senza l’uso di altri tools.

Garantisce che la copia del device sia inalterata ed identica all'originale

Si utilizzano funzioni hash

Gli algoritmi più utilizzati sono MD5 e SHA-1, ma ne esistono altri

E' possibile ripetere la verifica sulle copie forensi o sui supporti originali in qualsiasi momento per dimostrare che i dati non sono stati alterati

L'algoritmo restituisce una stringa di numeri e lettere (detto digest) a partire da un qualsiasi flusso di bit di qualsiasi dimensione finita

La stringa di output è univoca per ogni documento identificandolo. Perciò, l'algoritmo è utilizzabile per la firma digitale

La lunghezza del digest varia a seconda degli algoritmi utilizzati

L'algoritmo non è invertibile, cioè non si può ricavare la sequenza di bit in ingresso a partire dal digest

MD5 (RFC 1321)

Prende in input una stringa di lunghezza arbitraria e ne produce in output un'altra a 128 bit (con lunghezza fissa di 32 valori esadecimali, indipendentemente dalla stringa di input)

SHA-1 (RFC 3174)

Prende in input una stringa di lunghezza arbitraria e ne produce in output un'altra a 160 bit (con lunghezza fissa di 40 valori esadecimali, indipendentemente dalla stringa di input)

Quando due sequenze di bit differenti generano lo stesso hash si parla di collisione

La qualità di una funzione di hash è misurata direttamente in base alla difficoltà nell'individuare due testi che generino una collisione

Si è riusciti a generare una collisione negli algoritmi HAVAL, RIPEMD, MD2, MD4, MD5 e SHA-1 dimostrando che non sono sicuri

Per ovviare a problemi di collisione si devono:

Usare algoritmi più sofisticati (ma spesso la legge considera validi solo alcuni algoritmi)

Validare i risultati con due algoritmi diversi

◦ Impossibile generare una collisione per entrambi gli hash contemporaneamente

Per verificare l’integrità di un’immagine è possibile procedere in diversi modi:

#afinfo –v image.aff

# md5sum image.dd # sha1sum image.dd

#ewfverify image.E01

E’ possibile verificare l’hash delle immagini anche con Dhash importando il file contenente l’hash da verificare e indicando il file immagine o il device

Fare sempre un’ulteriore copia dell’immagine acquisita e verificarne l'integrità

I formati di acquisizione più utilizzati sono:

EWF (Expert Witness Compression)

AFF (Advanced Forensics Format)

Copia bit a bit del device da acquisire

Nessuna compressione

E' supportato da tutti i tools di analisi forense

Non supporta i metadati all'interno dell'immagine

EWF (Expert Witness Compression) Standard de facto per le analisi forensi E' supportato dai software di analisi open source (Autopsy, PyFlag) E' supportato dai software commerciali (EnCase, Ftk, ecc...) E' possibile includere metadati (anche se in modo limitato)

nell'immagine acquisita: ◦ Data/ora acquisizione ◦ Nome esaminatore ◦ Note extra ◦ Password ◦ Hash MD5 dell'intera immagine

Supporta la compressione dell'immagine Ricerca all'interno dell'immagine acquisita Immagini divisibili e "montabili" al volo Formato proprietario (la compatibilità è ottenuta tramite il reverse

engineering)

AFF (Advanced Forensics Format)

E' supportato dai software open source

Supporta la compressione dell'immagine

Supporta la cifratura dell'immagine

Dimensione immagine illimitata (non è necessario splittare)

Immagini divisibili

E' possibile includere un numero illimitato di metadati (anche in un file xml separato)

Formato open source

Riga di comando

◦ dd

◦ dcfldd

◦ dc3dd

◦ ddrescue

◦ dd_rescue

◦ ewfaquire

◦ aimage

◦ cyClone

◦ dhash

◦ guymager

dd è il padre di tutti i tools di acquisizione, consente di acquisire i dati bit a bit in formato raw.

Nativamente non supporta la compressione dei dati, ma è possibile comprimere il data stream tramite l’uso delle pipe.

#dd if=/dev/sda - | bzip2 > /mnt/image.dd.bz2

Evoluzione di dd

Permette di riversare il contenuto di un disco direttamente su di un’altro

Permette l'acquisizione di memorie di massa che presentano errori durante l'accesso a determinati settori del disco impostando su zero i bit non leggibili

Durante l’acquisizione della memoria l'applicazione fornisce aggiornamenti su quanti byte sono stati letti e scritti, quanti errori di lettura sono stati riscontrati e la velocità di acquisizione calcolata per byte/s.

Evoluzione di dd

Non è legato allo sviluppo di ddrescue

Non salta semplicemente il blocco danneggiato, ma tenta di leggerlo ricorrendo a tecniche diverse (es. variando dinamicamente la lunghezza dei blocchi)

Durante l’acquisizione della memoria l'applicazione fornisce informazioni sullo stato delle operazioni correnti.

dcfldd è una versione avanzata di dd sviluppata dal Dipartimento della Difesa degli U.S.A.

Calcolo al volo degli hash (MD5, SHA-1) dell’immagine

Indicatore di avanzamento sui dati acquisiti

Output simultaneo su più file (o dischi)

Output divisibile in più file

# dd if=/dev/sda of=image.dd

# dcfldd if=/dev/sda hash=md5,sha256 md5log=image.md5 sha256log=image.sha256 of=/mnt/image.dd

Su rete

Locale

#dd if=/dev/sda - | ssh user@192.168.1.20 “cat > /mnt/img/image.dd”

#nc -l -p 2525 | dd of=/mnt/store/image.dd

#dd if=/dev/sda bs=512 | nc $ip_server 2525

Server

Client

Wizard per l’acquisizione guidata che permette di effettuare l’acquisizione delle immagini rispondendo a semplici domande visualizzate a video

Acquisizione in diversi formati

(raw, ewf, aff)

Compressione (ewf, aff)

Calcolo hash

Acquisizione in formato raw (dd)

Consente compressione (bz2)

Calcolo hash ◦ MD5

◦ SHA-1

◦ SFV

Calcolo del tempo residuo di acquisizione

10% più veloce nel calcolo degli hash rispetto a gli altri tools

Acquisizione in diversi formati: ◦ raw ◦ ewf ◦ aff

Calcolo hash: ◦ MD5 ◦ SHA-256

Inserimento metadati per formato ewf

Split per formato ewf

Utile nel caso in cui si debba fare più di un’acquisizione contemporaneamente

Personalizzabile tramite file di configurazione

blackmoon.105@gmail.com

Marco Giorgi

Deftcon 2012 - Marco Giorgi - Acquisizione di memorie di massa con DEFT Linux

Documents

Transcript of Deftcon 2012 - Marco Giorgi - Acquisizione di memorie di massa con DEFT Linux

Deftcon 2012 - Paolo Dal Checco - Timeline e Supertimeline

Deftcon 2013 - Giuseppe Vaciago - Osint e prevenzione dei Crimini

Deftcon 2012 - Emanuele Gentili - Utilizzo di Deft Linux per attività di Cyber Intelligence

Giorgi - Series

Simone Grotzkyj Giorgi | unconventional rider

Deftcon 2012 - Marco Giorgi - Acquisizione di memorie di massa con DEFT Linux

Giorgi - Esercitazioni Impianti Elettrici

DEFTCON 2012 - Alessandro Rossetti - Android Forensics

Giorgi Arcangeli

deftcon 2014 - Federico Grattirio - TIMESHARK: Uno strumento per la visualizzazione e l’analisi delle supertimelines

Lib eTazione di fancixrllŒ dd deft' Inquisizione aÞ%ØZ--Z ...dspace.ceu.es/bitstream/10637/8335/1/GEV_77.pdf · Lib eTazione di fancixrllŒ dd deft' Inquisizione aÞ%ØZ--Z cz

Giorgio Giorgi: Strategie (parte 1)

Paolo Dal Checco, Alessandro Rossetti, Stefano Fratepietro - Manuale DEFT 7

Deftcon 2014 - Marco Giorgi - Metodologie di Acquisizione di Dispositivi Android

deftcon 2015 - Paolo Dal Checco - Riciclaggio e Anti riciclaggio nell’era del Bitcoin (aspetti tecnici)

Deftcon 2013 - Nicodemo Gawronski - iPBA 2.0 - Plugin Skype

Costruzioni Metalliche - Antonelli Giorgi Motta

SQLite - DEFT Linux · DEFT Conference 2012 SQLite forensics Il database Free piu' diffuso al mondo 1.0.2

Italian deft 7 manual 90

Giorgi kopadze. I