Professional Documents
Culture Documents
Paulo A. Neukamp
Agenda
Apresentao
Histrico da FDTK
Definies e Fundamentos Forense
Coleta Live
Coleta Post-Mortem
Prtica
Apresentao
FDTK-UbuntuBr
Forense Digital ToolKit
28/09/08
Definio de Forense
Aplicao da cincia fsica lei na busca pela
verdade em assuntos civis, criminais e de
comportamento social, com o fim de que
nenhuma injustia seja feita nenhum
membro da sociedade.
Handbook of Forensic Pathology College of American Pathologists
Investigao Forense
Uma srie metdica de tcnicas e procedimentos para
coletar evidncias de um sistema computadorizado, de
dispositivos de armazenamento ou de mdia digital, que
podem ser apresentadas em um fro de uma forma
coerente e de formato inteligvel.
Dr. H. B. Wolf
Algumas Finalidades
A forense computacional o equivalente ao
levantamento na cena de um crime ou a
autpsia da vtima . - James Borek
Buscar e identificar dados em um computador;
Recuperao de arquivos deletados, encriptados ou corrompidos em
um sistema;
Fundamentar demisses de funcionrios que desrespeitam normas
organizacionais;
Auxiliar na quebra de contratos que no so respeitados;
Provar fatos;
Fazer cumprir as leis de privacidade.
Etapas
Coleta Live
Documentar todas as etapas do processo;
Fotografar conexes do equipamento;
Utilizar Pendrive com Kit de Ferramentas pr-compiladas;
Coletar dados volteis:
Data/Hora do sistema;
Identificao do equipamento;
Sistema operacional;
Estado da memoria;
Tempo de utilizao do equipamento;
Tempo de funcionamento;
Usurio(s) logado(s);
Configurao IP;
Estado das conexes;
Tabela de roteamento;
Utilizao do(s) disco(s);
Processos em execuo,
Lista de todos os arquivos do
equipamento;
Hash de todos os arquivos;
Coleta Post-Mortem
Dump da memria
Dump da memria nome do processo de capturar as
informaes da memria, e pode ser feito atravs do
comando dd, dcfldd entre outros.
# dd < /dev/mem > mem.dump
# dcfldd < /dev/mem > mem.dump
Dados No-Volteis
As anlises baseadas em dados armazenados em mdia
de backup, pendrives, Cds, ou memria auxiliar como
um HD, so chamadas de Anlise Post-Mortem.
Dados no volteis, so dados que podem permanecer
na mquina durante longos perodos de tempo e podem
ser recuperados mesmo aps a mesma ser desligada.
Criando imagem de disco para arquivo pela rede com dcfldd e alguns
paramentros a mais
Na estao Forense faa:
sha256log=/home/fdtk/evidencias/sha256.txt
sha512log=/home/fdtk/evidencias/sha512.txt hashconv=after conv=noerror,sync
of=/home/fdtk/evidencias/caso01/hd1-caso1.dd
Formulrio
Imagem do Pendrive
Gerar imagem de seu pendrive.
# dcfldd if=/dev/sdb hash=sha256,sha512
sha256log=/home/pneukamp/caso_teste/evidencias/sha256.txt
sha512log=/home/pneukamp/caso_teste/evidencias/sha512.txt
hashconv=after conv=noerror,sync
of=/home/pneukamp/caso_teste/evidencias/pen1GB-caso1.dd
root@iceman:/home/pneukamp/caso_teste/evidencias# ls -lh
total 962M
-rw-r--r-- 1 root root 961M 2012-04-03 00:08 pen1GB-caso1.dd
-rw-r--r-- 1 root root 81 2012-04-03 00:08 sha256.txt
-rw-r--r-- 1 root root 145 2012-04-03 00:08 sha512.txt
Montar imagem
Montando Imagens para Exame e Anlise das evidncias.
Uma imagem bit a bit de um disco chamada de imagem raw.
As imagens raw podem ser geradas de um disco inteiro com + de 1 partio chamadas
de imagens raw fsicas, pois geram uma imagem fiel do disco, no importando qual o
seu contedo.
O outro tipo de imagem raw chamado de imagem raw lgica, esta gerada a partir
de uma partio do disco fsico (HD). Neste momento surge um problema pois o
loopback do linux no monta imagens raw fsicas (HD's) somente imagens raw lgicas,
pois o loopback possui uma limitao simples, ele no interpreta a tabela de parties
que est nos setores iniciais de uma imagem raw fsica.
Para ser possvel ento contornar esta limitao do loopback necessrio executar
alguns comando a fim de descobrir qual a estrutura interna da imagem que
pretendemos montar.
Montar imagem
A sada do comando sfdisk mostra que a imagem raw fsica tem apenas uma
partio iniciando no setor 62, do tipo vfat e que cada setor tem 512 bytes.
Como o loopback no compreende a tabela de parties, para montarmos a
imagem raw, ser necessrio informar ao loopback onde ele dever comear a
ler a partio (offset).
A resposta para esta questo possvel atravs de um simples clculo de
multiplicao entre o setor inicial da partio e o nmero de bytes por setor (
62*512=31744), com este resultado possvel montar a imagem
Sites
http://fdtk.com.br/www/
http://fdtk.com.br/wiki/tiki-index.php