Disk Görüntüleme ve Dosya Sistemi Adli İncelemesi

Adli imaj oluşturma, kanıt bütünlüğünü koruyarak depolama ortamının bit bit kopyasını oluşturur. Özgün kanıt asla değiştirilmemelidir; yazma engelli bir kopya üzerinde çalışın. Birebir aynı olduklarını doğrulamak için özgünün ve kopyanın özet değerlerini hesaplayın.

Donanım yazma engelleyicileri, yazma komutlarının kanıt sürücülerine ulaşmasını fiziksel olarak engeller. Yazılım yazma engelleyicileri (dc3dd, FTK Imager), işletim sistemi düzeyindeki yazmaları önler. Kanıt sürücülerini bağlamadan önce, kanıtın yanlışlıkla değiştirilmesini önlemek için her zaman bir yazma engelleyici kullanın.

dd ham disk imajları oluşturur. dc3dd ilerleme bildirimi, özet hesaplama ve bölünmüş çıktı özelliklerini ekler; bunlar büyük sürücüler için gereklidir. Performans için bs=4096 kullanın. Bütünlüğü göstermek üzere imaj özetinin kanıt özetiyle eşleştiğini doğrulayın.

FTK Imager, Windows disk imajı oluşturma işlemi için bir GUI sağlar. İmajı sıkıştıran ve özet değerini, edinim ayrıntılarını ve incelemeci notlarını dosya üstbilgisinde depolayan E01 (Expert Witness Format) biçimini destekler; bu, kanıtlar için adli bilişim standardıdır.

FAT32, dosya üstverilerini dizin girdilerinde, ayırma zincirini ise FAT (Dosya Ayırma Tablosu) içinde saklar. Silinmiş dosyalar dizin girdilerini 0xE5 işaretiyle bırakır; FAT zinciri sıfırlanır, ancak veri kümeleri kalabilir. Kurtarma araçları bu kalıntıları kullanır.

NTFS, tüm üstverileri Ana Dosya Tablosu'nda (MFT) saklar. Her MFT kaydı bir dosyayı tanımlar. $LogFile, sistem çökmesi sonrası kurtarma için değişiklikleri kaydeder. $UsnJrnl (değişiklik günlüğü), her dosya işlemini kaydeder; bu nedenle silme işleminden sonra bile zaman çizelgesini yeniden oluşturmak için çok değerli bir kaynaktır.

Autopsy ve Sleuth Kit, tahsisi kaldırılmış veri kümelerine sahip sağlam MFT girdilerini tarayarak ve dosya sistemi üstverisinden bağımsız olarak ham küme verilerindeki dosya sihirli baytlarını (imzalarını) belirleyen dosya ayıklama yöntemiyle silinmiş dosyaları kurtarır.

Dosya ayıklama, ayrılmamış alandaki üstbilgilere ve altbilgilere (sihirli baytlara) dayanarak dosyaları kurtarır. JPEG FF D8 FF ile başlar. PDF 25 50 44 46 ile başlar. ZIP 50 4B 03 04 ile başlar. Scalpel ve PhotoRec, başlıca dosya ayıklama araçlarıdır.

Autopsy, MAC zaman damgalarından (Değiştirilme, Erişilme, Değişiklik) ve $UsnJrnl girdilerinden bir zaman çizelgesi oluşturur. Hangi dosyaların oluşturulduğunu, değiştirildiğini veya silindiğini görmek ve saldırgan eylemlerini kronolojik olarak yeniden oluşturmak için şüpheli ihlal zamanının çevresine filtre uygulayın.

Windows Kayıt Defteri; yüklü yazılımları, USB aygıtlarını (USBSTOR), son kullanılan belgeleri, son oturum açan kullanıcıyı ve çalıştırma anahtarı kalıcılığını kaydeder. Registry Explorer ve RegRipper, bulgu analizi için disk imajlarındaki kayıt defteri kovanlarını çıkarır ve ayrıştırır.

Tarayıcı geçmişi, çerezler, önbelleğe alınmış dosyalar ve form verileri SQLite veritabanlarında depolanır. Chrome, LevelDB kullanır. Bu bulguların çıkarılması; saldırganın keşif faaliyetlerini, veri dışarı aktarma hazırlığını ve web tabanlı komut kanallarını ortaya çıkarır.

Kanıt sürücüleri incelenirken neden yazma engelleyici kullanılmalıdır?

Disk adli bilişimi, yazma engelleyiciler ve karma doğrulaması kullanılarak adli açıdan güvenilir imaj alma işlemiyle başlar. NTFS MFT, $UsnJrnl, kayıt defteri kovanları, tarayıcı veritabanları ve ayrılmamış alandan dosya kurtarma, birlikte ele geçirilmiş sistemlerdeki saldırgan faaliyetlerinin yeniden oluşturulmasını sağlar.