Obrazowanie dysków i informatyka śledcza systemów plików

Obrazowanie śledcze tworzy kopię nośnika bit po bicie, zachowując integralność dowodów. Oryginalny materiał dowodowy nie może być nigdy modyfikowany — należy pracować z kopią zabezpieczoną przed zapisem. Należy obliczyć skrót oryginału i kopii, aby zweryfikować ich dokładną zgodność.

Sprzętowe blokery zapisu fizycznie uniemożliwiają dotarcie poleceń zapisu do nośników zawierających dowody. Programowe blokery zapisu (dc3dd, FTK Imager) blokują zapisy na poziomie systemu operacyjnego. Przed podłączeniem nośników dowodowych zawsze należy użyć blokera zapisu, aby zapobiec przypadkowej modyfikacji dowodów.

dd tworzy surowe obrazy dysków. dc3dd dodaje raportowanie postępu, obliczanie skrótów i dzielenie danych wyjściowych — funkcje niezbędne w przypadku dużych dysków. Należy użyć bs=4096 w celu zwiększenia wydajności. Należy sprawdzić, czy skrót obrazu odpowiada skrótowi materiału dowodowego, aby wykazać integralność.

FTK Imager udostępnia graficzny interfejs użytkownika do tworzenia obrazów dysków w systemie Windows. Obsługuje format E01 (Expert Witness Format), który kompresuje obraz i zapisuje w nagłówku pliku skrót, szczegóły pozyskania oraz notatki osoby badającej — jest to standard kryminalistyczny stosowany w przypadku dowodów.

FAT32 przechowuje metadane plików we wpisach katalogów, a łańcuch alokacji — w tabeli File Allocation Table. Usunięte pliki pozostawiają wpisy katalogowe ze znacznikiem 0xE5; łańcuch FAT jest zerowany, ale klastry danych mogą pozostać. Narzędzia do odzyskiwania wykorzystują te pozostałości.

NTFS przechowuje wszystkie metadane w Master File Table (MFT). Każdy rekord MFT opisuje jeden plik. $LogFile rejestruje zmiany na potrzeby odzyskiwania po awarii. $UsnJrnl (dziennik zmian) rejestruje każdą operację na plikach — jest niezwykle cennym źródłem informacji do odtwarzania osi czasu, nawet po usunięciu danych.

Narzędzia Autopsy i Sleuth Kit odzyskują usunięte pliki, skanując zachowane wpisy MFT z nieprzydzielonymi klastrami danych oraz stosując file carving — identyfikując bajty magiczne plików (sygnatury) w surowych danych klastrów, niezależnie od metadanych systemu plików.

File carving odzyskuje pliki na podstawie nagłówków i stopek (bajtów magicznych) z nieprzydzielonego obszaru. Plik JPEG zaczyna się od FF D8 FF. Plik PDF — od 25 50 44 46. Plik ZIP — od 50 4B 03 04. Scalpel i PhotoRec to podstawowe narzędzia do file carvingu.

Autopsy generuje oś czasu na podstawie czasów MAC (Modified, Accessed, Changed) i wpisów $UsnJrnl. Należy filtrować okres wokół czasu podejrzanego naruszenia, aby zobaczyć, które pliki zostały utworzone, zmodyfikowane lub usunięte, a następnie chronologicznie odtworzyć działania atakującego.

Rejestr Windows przechowuje informacje o zainstalowanym oprogramowaniu, urządzeniach USB (USBSTOR), ostatnio otwieranych dokumentach, ostatnio zalogowanym użytkowniku oraz mechanizmach trwałości opartych na kluczach run. Registry Explorer i RegRipper wyodrębniają i analizują gałęzie rejestru z obrazów dysków na potrzeby analizy artefaktów.

Historia przeglądania, pliki cookie, pliki pamięci podręcznej i dane formularzy są przechowywane w bazach danych SQLite. Chrome używa LevelDB. Wyodrębnienie tych artefaktów ujawnia działania rozpoznawcze atakującego, przygotowywanie danych do eksfiltracji oraz webowe kanały poleceń.

Analiza kryminalistyczna dysków rozpoczyna się od obrazowania wykonanego zgodnie z zasadami informatyki śledczej, z użyciem blokad zapisu i weryfikacji skrótów. MFT systemu NTFS, $UsnJrnl, ule rejestru, bazy danych przeglądarek oraz odzyskiwanie plików z nieprzydzielonej przestrzeni umożliwiają łącznie odtworzenie aktywności atakującego w zaatakowanych systemach.