Ir para conteúdo
Sistema de Servidores de Jogos ×

  • Quem está por aqui   0 membros estão online

    • Nenhum usuário registrado visualizando esta página.

Forense computacional, aquisição de imagem

☢|EXPL01T3R|☣

Por ,
em Tutoriais

 Compartilhar

Posts Recomendados

Contribuidor

☢|EXPL01T3R|☣ 50

Postado
  • Contribuidor
Postado

Tendo em vista os crescentes casos de crimes cibernéticos resolvi criar esse post para que entendam +- como funciona o processo de forense, bem vamos ao que interessa.. :

 

Para aquisição da imagem de um HDD é extremamente recomendado estar em posse dos dispositivos abaixo, uma vez que a evidência deve ser preservada para futuras ações judiciais.

“Live CD” para forense chamado CAINE na versão 2.5.1 ou superior que pode ser adquirido em

É necessário se cadastrar para acessar o conteúdo.
(de preferência ter sempre uma cópia);

Kit de cabos USB, Sata e IDE para cópia da imagem, como mostrado na figura abaixo;

Pelo menos dois HDD do mesmo tamanho ou com tamanho superior para a clonagem. Os mesmos devem estar sanitizados*.

image004.jpg

 

*Sanitização é o processo de “limpeza” do HDD, mais conhecido como WIPE (formatação completa sem recuperação de dados), existem diversas ferramentas para executar este processo, tais como:

Windows:

Eraser; (

É necessário se cadastrar para acessar o conteúdo.
)

Wipe 2.x; (

É necessário se cadastrar para acessar o conteúdo.
)

Dban (Darik's Boot And Nuke); (

É necessário se cadastrar para acessar o conteúdo.
)

Linux:

DCFLDD; (

É necessário se cadastrar para acessar o conteúdo.
)

DC3DD; (

É necessário se cadastrar para acessar o conteúdo.
)

Procedimento para Aquisição de Imagem

Antes de iniciar o procedimento de aquisição da imagem forense é necessário verificar se o processo será formal ou não, pois sendo formal haverá a necessidade da presença de um tabelião para registro da Ata Notarial. É importante que o solicitante já informe se o processo será formal iniciando o processo de solicitação de registro da Ata Notarial. Dependendo da situação será necessário decidir para onde será enviada a evidência (imagem), podendo ser para um HDD externo (conectado por USB), para um Pendrive, para um HDD colocado como “Slave” (escravo) ou para um diretório disponível na rede (netcat). Seja qual for a opção é muito importante que o dispositivo destino esteja sanitizado, para que não haja comprometimento da imagem evidencia gerada a partir do dispositivo original.

Há duas formas para se criar uma imagem evidência, via boot com um “Live CD” ou via Windows usando o FTK. Ambos dependem do cenário, caso a maquina esteja desligada é altamente recomendado retirar o HDD e utilizar o método via Windows, caso não seja possível, utilizar o boot com “Live CD”.

É muito importante a utilização de um bloqueador de escrita seja via driver (FAST BLOCK) ou via software (ACES Software Write Block Tool Test Report: Writeblocker Windows 2000 V5.02.00) para que a evidência original seu seja invalidada.

ATENÇÃO: Tomar MUITO cuidado para a estação NÃO inicializar com o Sistema Operacional instalado no HDD suspeito, para que não haja alterações nos dados a serem coletados, invalidando a evidência.

Procedimento para criação de imagem via boot com Live CD do CAINE

Se a máquina a ser periciada estiver desligada, retire o HDD evidência e conecte em outra máquina como “slave” (escravo) ou através da USB, não havendo a possibilidade de desligar a máquina suspeita então é necessário conectar um HDD através da USB ou um Pendrive onde será armazenada a imagem evidência. Após esse procedimento é necessário iniciar a maquina, caso esteja desliga, ou reiniciá-la, caso não possa ser desligada, alterando a inicialização do sistema para inicialização através do CD do CAINE entrando no setup da maquina (BIOS) e definir para o primeiro “boot” ser através do CD.

ATENÇÃO: Tomar MUITO cuidado para a estação NÃO inicializar com o Sistema Operacional instalado no HDD suspeito, para que não haja alterações nos dados a serem coletados, invalidando a evidência.

Após a inicialização com o “Live CD” será exibido a tela abaixo:

image005.gif

Escolha “Start CAINE Live CD in Graphical Mode” para iniciar o sistema operacional forense para aquisição da imagem evidencia. Após a inicialização completa será exibida a seguinte tela:

image006.gif

Clique com o botão esquerdo do “mouse” no pequeno monitor preto, que fica na barra inferior, no lado esquerdo, para abrir o “command shell”, como mostra a figura abaixo:

image007.gif

Sanitização do dispositivo destino

 

Se a imagem evidência for criada em um dispositivo externo conectado pela USB, então conecte esse dispositivo agora, espere cinco segundos antes de executar o comando abaixo, mas se for utilizado um HDD que está como escravo, não é necessário nenhum procedimento prévio, apenas execute o seguinte comando para identificar o dispositivo destino para criação da imagem evidência:

É necessário se cadastrar para acessar o conteúdo.

image008.gif

exemplificar usaremos em todo o processo um HDD conectado como escravo, representado como “/dev/sdb1”, para armazenar a imagem evidência.

Para garantir que o HDD ou Pendrive onde será armazenada a imagem evidência esteja “limpo”, ou seja, sem qualquer informação que possa comprometer as evidências a serem capturadas, deve-se sanitizar o HDD ou Pendrive destino digitando o comando:

É necessário se cadastrar para acessar o conteúdo.

image009.gif

MUITO CUIDADO PARA NÃO EXECUTAR O COMANDO NO HDD SUSPEITO PERDENDO ASSIM TODAS AS EVIDÊNCIAS.

Preparação para o dispositivo destino

Para evitar problemas na hora de efetuar a imagem, é importante que o dispositivo destino esteja formatado como FAT32, e esteja com permissão de escrita e leitura. Caso o dispositivo de destino seja um HDD escravo, pode ser que ele esteja montado como “Read Only (ro)”, como mostrado abaixo, onde não será possível copiar a imagem. Para verificar execute o comando:

É necessário se cadastrar para acessar o conteúdo.

image010.gif

Se o dispositivo destino não estiver na lista, passe para a etapa de montagem do dispositivo destino. Se o dispositivo estiver como “Ready/Write (rw)”, ignore essa etapa, senão para altera-lo basta digitar o comando abaixo:

É necessário se cadastrar para acessar o conteúdo.

image011.gif

Após o comando acima o dispositivo de destino aparecerá como RW, vide tela de exemplo abaixo:

image012.gif

Montagem do dispositivo destino

Caso o dispositivo destino não esteja montado, ou seja, não aparece na lista de dispositivos após a execução do comando “mount”, execute o comando abaixo:

É necessário se cadastrar para acessar o conteúdo.

image013.gif

Onde “/dev/sdb1”, no caso, é o dispositivo destino e “/media/sdb1” é o local onde o dispositivo será montado.

Caso após a execução do comando acima, aparecer a seguinte mensagem:

image014.gif

Então execute o comando abaixo e execute em seguida o comando para montar o dispositivo:

É necessário se cadastrar para acessar o conteúdo.

image015.gif

Após o comando acima o dispositivo de destino aparecerá montado como RW, vide tela abaixo:

image016.gif

Efetuando o Aquisição pelo Guymager

Após efetuar a preparação do dispositivo destino, devem-se seguir os passos abaixo para aquisição da imagem. Use o “Guymager”. Vá em ”Menu” -> “Forensic-Tools” -> “Guymager”

image017.gif

Na tela do “Guymager” escolha o dispositivo suspeito, no exemplo “/dev/sda”, clicando com o botão direito do “mouse” sobre o dispositivo e escolha “Acquire”.

image018.gif

Na próxima janela algumas informações devem ser preenchidas para a correta coleta da evidência.

Na opção “File Format”, escolha “Expert Witness Format, sub-format Encase5 (file extension .Exx)”.

 

Em “Case number”, coloque o número de identificação do caso, na opção “Evidence number”, coloque o número de identificação do dispositivo suspeito. Na opção “Examiner”, coloque o nome do examinador. Em “Description”, coloque uma breve descrição do caso e em “Notes” coloque a marca, o modelo e o tamanho do HDD suspeito. Na opção “Image directory” coloque o caminho do dispositivo destino que montamos no item “Montagem de dispositivo destino”.

Em “Image filename” coloque o nome da imagem evidência que será criada, sem a extesão.

Marque a opção “Calculate hashes (MD5 and SHA-256)”.

Clique em “OK”.

A figura abaixo exemplifica o preenchimento das informações solicitadas:

image019.gif

A aquisição da imagem é iniciada, como exemplificado na tela abaixo:

image020.gif

O campo “State” mostra o andamento da aquisição.

image021.gif

Após o termino da aquisição, abra o “command shell” para verificar a geração da imagem evidência e o seu respectivo relatório.

Acesse o dispositivo destino montado no item “Montagem de dispositivo destino”, no exemplo montamos o dispositivo destino em “/media/sdb1”. A sintaxe do comando para acessar o dispositivo destino montado é: “cd ”.

É necessário se cadastrar para acessar o conteúdo.

Para listar os arquivos contidos, execute o comando:

É necessário se cadastrar para acessar o conteúdo.

image022.gif

Todas as informações referentes ao HDD suspeito e a imagem evidência gerada estão no arquivo com extensão .info. Para visualizar seu conteúdo, execute o comando:

É necessário se cadastrar para acessar o conteúdo.

É possível também efetuar a cópia do HDD suspeito via “command shell”, segue abaixo o comando para gerar a imagem evidência:

É necessário se cadastrar para acessar o conteúdo.

Após o preenchimento dos campos solicitados, iniciará a geração da imagem evidência no diretório corrente. Lembrando de substituir “/dev/sdb” pelo dispositivo suspeito reconhecido pelo sistema no ato da aquisição.

Procedimento criação de imagem via Windows (FTK)

Para os casos em que se é possível retirar o HDD, é recomendado utilizar outro computador para que seja possível fazer a cópia das informações. Este método é mais simples e evita carregar informações no dispositivo evidencia.

Preparação do dispositivo destino

É necessário deixar o HDD suspeito e o HDD destino conectados como dispositivos secundários no equipamento que será utilizado para criação da imagem evidência. Vide telas abaixo:

image024.png

Uma vez que os dispositivos estejam conectados corretamente, é necessário efetuar a criação da imagem utilizando o CAINE.

Efetuando a aquisição via software com o CAINE (FTK)

Insira o cd do CAINE e espere a execução do “autorun”, onde aparecerá a tela abaixo e clique na opção “WinTaylor”:

image025.gif

 

Escolha a aba “Analysis 3” e clique no botão “FTK Imager”

image026.gif

Após aberto vá no menu “File” -> “Create Disk Image...”

image027.png

Como descrito no inicio do procedimento, é preciso definir se a copia será feita através da imagem lógica ou física, selecionar “Physical Drive”, clique em “Next”.

image028.png

Escolha o HDD suspeito, e clique em “Finish”

image029.png

Para escolher o local de armazenagem, nome e o formato da imagem, clique em “Add..”.

image030.png

Escolha o tipo da imagem, conforme explicado anteriormente, sempre com preferência ao método ”Expert Witness (E01)”, pelos benefícios já citados. É importante também avaliar a situação atual do cenário e validar o melhor tipo de imagem.

image031.gif

Após clicar em ”Next >” será necessário preencher as informações abaixo, conforme solicitado.

image032.gif

Após clicar em ”Next >”, na próxima janela em “Image Destination Folder” selecione o HDD destino e em “Image Filename (Excluding Extension)” digite o nome da imagem ignorando a extensão do mesmo.

Para o caso do tipo RAW e E01 é possível criar fragmentos da imagem em tamanhos predefinidos, alterando o valor em “Image Fragment Size (MB)”, no caso deixe o padrão de 1500 e em “Compression” coloque 6 (seis).

image033.png

Após clique em ”Finish”

Na janela final é importante validar o destino da imagem evidência bem como o nome e a extensão do mesmo, conforme tela abaixo.

Para iniciar a geração da imagem evidência, clique em ”Start”

image034.gif

Aguarde o final da geração da imagem evidência e verifique os arquivos de HASH.

PS: os download não possuem scan pois os link redirecionam para o site da empresa responsável pelo desenvolvimento do software... tenha em mente

divulgação: Diego , 18 anos, técnico em informatica, webdesigner, estudante de segurança em redes, pentester

Felipe: analista de suporte no RJ.

python-doc-icon.jpg

wVNulLU.gif

ﾠﾠMural de Coleçõesﾠﾠ

Clique aqui e adquira suas medalhas
Link para o comentário
https://www.webcheats.com.br/topic/1518745-forense-computacional-aquisi%C3%A7%C3%A3o-de-imagem/
Compartilhar em outros sites
Este tópico está impedido de receber novos posts.
 Compartilhar
Ir para a lista de tópicos
×
×
  • Criar Novo...

Informação Importante

Nós fazemos uso de cookies no seu dispositivo para ajudar a tornar este site melhor. Você pode ajustar suas configurações de cookies , caso contrário, vamos supor que você está bem para continuar.