Sid_Vishez May 10 2016 at 12:27

Средства сбора данных в компьютерно-технической экспертизе

6 min

36K

Information Security*

+14

Comments 30

imbasoft May 10 2016 at 14:17

Создание образа — это 3/100 от расследования. Реальная проблему взывает аналитика, особенно когда не знаешь что ищет и принесли машину «посмотреть».

В случаях проведения внутреннего расследование (без необходимости передачи данных в суд) анализ делают вообще без образа, прямо на живой системе, в параллель работе пользователя, либо с даунтаймом на час или парочку.

Но опять таки — аналитика, аналитика, аналитика :) вот что нужно.

kirosvi May 10 2016 at 14:19

Конечно будет интересно. Уже столкнулся с похожим вопросом, но обошелся обычным linux livecd.

yurror May 10 2016 at 14:19

Если компьютерные криминалисты говорят что «Linux — это сложно», у меня для вас очень плохие новости.

Sid_Vishez May 10 2016 at 14:23

Почувствуйте разницу: «Это сложно» и «Это сложнее, чем...». В статье речь не только про криминалистов, но и про обычную деятельность по расследованию чего-либо в любой компании, когда этап сбора данных поручается рядовому сотруднику ИТ.

staticspb May 10 2016 at 14:23

Давно хотел подробно изучить данный инструмент, но все никак руки не доходили. Ваша статья опять подогрела мой интерес, но, к сожалению, но ссылки на загрузку Mini-WinFE уже не работают.

Sid_Vishez May 10 2016 at 14:50

Такое случается, когда пишешь статью больше месяца :) Пока авторы Mini-WinFE не починили битые ссылки, можете скачать архив по моей ссылке https://yadi.sk/d/-mf7vQz_rbfA3

staticspb May 10 2016 at 17:02

Премного благодарен!)

Protos May 10 2016 at 15:28

Ждем продолжение!

parkito May 10 2016 at 15:49

Очень интересно было бы почитать про методы, которыми пользуются криминалисты для извлечения уже удаленной информации, какой спектр устройств может быть исследован (например с айфончиками у фбр головная боль, как у нас дела?), насколько глубоко можно копнуть современными методами для отыскания правды.

imbasoft May 10 2016 at 16:04

В свое время, пытались RAID-60 массив восстановить, а точнее один файл (снапшот виртуалки), обратились в специализированную компанию, были готовы заплатить ~20k $ — они поднять не смогли.

А вообще, сейчас реально «поднять» данные только с носителей, имеющих физические дефекты (например, головка сгорела), а для данных имеющих логические повреждения (как из примера ранее) — это практически нереально.

mibori May 10 2016 at 17:38

Если Хабру будет интересно, то я расскажу о том, как можно анализировать полученные образы с помощью ПО с открытым исходным кодом.

да, было бы очень интересно.

redc0de May 10 2016 at 21:03

Чтобы гарантировать неизменность информации, а также оставить возможность проведения повторной или дополнительной экспертизы, надо оставить оригинал нетронутым.

Иногда это трудно сделать, например если:

Мы имеем дело с SSD
live acquisition
Мы имеем дело с мобильными устройствами, к которым совершенно другой подход
Битые секторы? Что с ними делать? В dd их можно заменить нулями, но это уже проблема

Кстате, про какую программу будете писать, не Autopsy ли?

Sid_Vishez May 10 2016 at 21:27

Думал рассказать про Autopsy и Timesketch/Plaso.

Про битые секторы: FTK Imager также заменяет их нулями и записывает в лог. Первый результат из гугла http://www.filesig.co.uk/ftk-imager-log-bad-sectors-read-errors.html

Остальные темы за рамками статьи, как я и написал в конце.

ogoNEKto May 10 2016 at 21:18

на сайте Mini-WinFE уже недоступно для скачивания… ссылка получилась в никуда

про продолжение / использование ЗА!

Sid_Vishez May 10 2016 at 21:28

Про битую ссылку уже обсудили: https://habrahabr.ru/post/283036/#comment_8889210

msuhanov May 10 2016 at 22:21

Некоторые проблемы режима «только чтение» у Linux дистрибутивов описаны здесь.

И еще здесь.

stopwar May 11 2016 at 11:11

На самом деле в этой теме есть прекрасная книга (по сути пошаговый мануал) со всеми необходимыми скриптами и подробным рассмотрением используемого ПО, а также технологий и порядка проведения расследования Linux Forensics — www.amazon.com/Linux-Forensics-Philip-Polstra/dp/1515037630/ref=sr_1_1?ie=UTF8&qid=1462947850&sr=8-1&keywords=linux+forensics

Aleksandr_Vedernikov May 11 2016 at 11:12

Мне кажется что использование Windows PE для этих целей не совсем честно с точки зрения EULA к WAIK куда и входит WinPE. Так же пока нет исследований режима подключения «только чтение» в Mini-WinFE.

Sid_Vishez May 11 2016 at 11:34

Можете уточнить, в чем именно нечестность? (готовый образ с WinPE не распространяется, распространяется только инструмент для сборки).

Исследований Mini-WinFE уровня NIST мне действительно не попадалось, но есть похожий коммерческий продукт SAFE, который также сделан на WinPE и заявляется, что он прошел все тесты NIST.

Также есть Windows Triage Environment, авторы которого прямо заявляют, что их комбайн сделан на основе WinFE. Но их продукт распространяется только среди правоохранительных органов и правительственных учреждений.

msuhanov May 11 2016 at 12:58

Исследований… уровня NIST

Это довольно простой уровень, где многие ошибки остаются незамеченными, как показывает практика. И что еще хуже – те редкие ошибки, которые находят при тестировании в NIST, производители исправляют без огласки.

но есть похожий коммерческий продукт SAFE, который также сделан на WinPE и заявляется, что он прошел все тесты NIST

Там используется программный блокиратор записи. В Windows FE программного блокиратора записи нет.

Sid_Vishez May 11 2016 at 12:59

Write Protect Tool (WProtect.exe, автор Colin Ramsden) — а это не программный блокиратор?

msuhanov May 11 2016 at 13:43

Это лишь программа для заполнения структуры SET_DISK_ATTRIBUTES и вызова функции DeviceIoControl.

Sid_Vishez May 11 2016 at 14:57

Вопрос терминологии. WProtect.exe назначает букву разделу вместе с атрибутом «Только чтение». В каких случаях этого недостаточно для предотвращения записи на диск (если мы говорим про WinFE)? У SAFE Boot возможности заявляются похожие. А SAFE Block совсем другой продукт.

msuhanov May 11 2016 at 16:26

Вопрос терминологии. WProtect.exe назначает букву разделу вместе с атрибутом «Только чтение». В каких случаях этого недостаточно для предотвращения записи на диск (если мы говорим про WinFE)?

Не знаю. Это должны разработчики доказать, что все работает так, как надо. В Linux, например, на блочное устройство, переведенное в режим «только чтение», все равно возможна запись в некоторых случаях. А может ли драйвер fake RAID в Windows сделать нечто похожее? Тем более, что одним из преимуществ Windows FE называется хорошая поддержка RAID, если сравнивать с Linux.

У SAFE Boot возможности заявляются похожие. А SAFE Block совсем другой продукт.

В составе SAFE Boot Disk есть SAFE Block.

Aleksandr_Vedernikov May 11 2016 at 16:12

В EULA к WAIK 7 и Microsoft Software License Terms (Standard 8) есть такой пункт.
Windows Kits. If the software includes Windows Kits, the following additional terms apply to you.
Windows Pre-Installation Environment. You may install and use the Windows Pre-Installation Environment for purposes of diagnosing and recovering Windows operating system software. For the avoidance of doubt, you may not use the Windows Pre-Installation Environment for any other purpose, including without limitation as a general operating system, as a thin client or as a remote desktop client.
Т.е. можно использовать только для диагностики и восстановления Windows. Любое другое использование не разрешено. Хотя возможно есть и другие варианты поставки WinPE с другим лицензионным соглашением.

msuhanov May 11 2016 at 16:28

Если речь идет об использовании Windows FE при производстве судебных экспертиз, то в ГК РФ есть такая норма:

Статья 1278. Свободное воспроизведение произведения для целей правоприменения

Допускается без согласия автора или иного правообладателя и без выплаты вознаграждения воспроизведение произведения для осуществления производства по делу об административном правонарушении, для производства дознания, предварительного следствия или осуществления судопроизводства в объеме, оправданном этой целью.

А программы охраняются как произведения литературы.

Aleksandr_Vedernikov May 12 2016 at 11:20

C Гражданским кодексом Российской Федерации спорить бесполезно, по этому я и написал, что «использование не совсем честно с точки зрения EULA», а не невозможно.

Sid_Vishez May 11 2016 at 17:14

Тут конечно есть о чем подискутировать, но вот, что я думаю: 1) Снятие образа и анализ содержимого — это и есть диагностика 2) Основной смысл пункта — не использовать WinPE как основную операционную систему на постоянной основе (WinPE предполагает использование как LiveCD/USB) 3) Во всех описаниях, включая обучающие курсы, которым уже много лет, указывается Free, при наличии лицензии Windows 4) Автор первой версии — сотрудник Microsoft 5) Я нигде не встречал упоминаний о противоречии WinFE этому пункту

Aleksandr_Vedernikov May 12 2016 at 11:35

Я согласен, тут все упирается в текст EULA и его трактовку. Разрешено использование при наличии «лицензии на Windows» но лицензии приобретаются либо на личный компьютер, либо на юр. лицо, а исследуемый компьютер юридически принадлежит другому лицу и тут вопрос, «Возможно ли со своей лицензией диагностировать чужой компьютер». Но это мои мысли и моя трактовка EULA. К тому же я не слышал ни одного громкого дела по нелицензионному использованию WinPE. Ну и как написали выше ГК РФ на территории России позволяет использовать WinFE без оглядки на EULA.

2PAE May 11 2016 at 11:29

i-odd боксы? Цена заметно ниже чем 350$.