3 Funzionalità Forensiche

Transcript

1 3 Funzionalità Forensiche 3.1 Gestione del Caso X-Ways Forensics, l ambiente dedicato alla computer forensics integrato in WinHex, può essere utilizzato unicamente con la licenza forensic di WinHex. Offre una completa gestione del caso, log e generazione dei report automatici e varie funzionalità addizionali come la vista gallery, la vista categoria, rilevazione della discrepanza tra il nome del file e il tipo di file, rilevamento HPA e rilevamento del colore della pelle nelle immagini. Quando si avvia WinHex per la prima volta, viene chiesto se si desidera avviare il programma con l interfaccia forensica. Questo comporta la visualizzazione della finestra Dati Caso, l esecuzione di WinHex in modalità lettura e viene chiesto di assicurarsi che le cartelle per i file temporanei e per i dati del caso siano settati correttamente, in modo da prevenire una scrittura dei dati sul drive sbagliato da parte di WinHex. Prima di iniziare un caso, assicurarsi che la finestra Dati Caso sia visibile sulla sinistra della finestra principale. Se così non fosse abilitarla attraverso Visualizza Mostra Dati Caso. Dal menu file è possibile creare un nuovo caso (iniziare da zero), aprire un caso esistente, chiudere il caso attivo, salvare il caso attivo o generare automaticamente un report del caso. Un caso è salvato in un file.xcf (xcf sta per X-Wais Forenics Case) ed in una sottocartella con lo stesso nome, semplicemente senza l estensione.xcf. Questa sottocartella e le sottocartelle relative sono create automaticamente quando viene creato un file. E possibile selezionare il percorso della cartella di base nelle Opzioni Generali. Non è necessario salvare esplicitamente un caso, a meno che non si desideri avere la certezza che un file sia salvato in un momento stabilito. Un caso è salvato automaticamente come minimo alla chiusura o all uscita dal programma. Nella finestra Proprietà del caso, è possibile nominare un caso seguendo le proprie convenzioni (e.g. titolo o numero). La data e l ora in cui viene creato un caso è registrata e visualizzata. E visualizzato anche il nome interno del file. E possibile inserire una descrizione del caso (di lunghezza arbitraria) e il nome dell esaminatore, il nome e l indirizzo dell organizzazione dell esaminatore. E possibile abilitare o disabilitare la funzionalità di log automatica per l intero caso. Per eliminare completamente un caso, è necessario cancellare il file.xcf relativo e la directory corrispondente con lo stesso nome e tutte le sottodirectory. 3.2 Oggetti prova E possibile aggiungere al caso attivo ogni media correntemente connesso al computer ( un hard disk, una memory card, una chiave USB, CDROM, DVD, ), ogni file immagine o file ordinario. Questo sarà quindi associato permanentemente al caso (a meno che non venga rimosso successivamente), mostrato nella struttura ad albero e indicato come elemento o origine probatoria. All interno della directory del caso viene creata una sottocartella per ogni elemento di prova dove, di default, verranno salvati i file derivanti dall oggetto stesso, in modo che sia chiaro da quale oggetto (e da quale caso) sia stato originato il file recuperato. Nella finestra delle proprietà dell elemento di prova è possibile inserire un titolo o un numero per la prova secondo le proprie convenzioni. La data e l ora associate al caso attivo sono registrate ed indicate. E indicata la collocazione interna della prova così come la dimensione originale in bytes.

2 E possibile inserire un commento di lunghezza arbitraria da associare alla prova ed una descrizione tecnica sarà aggiunta da WinHex automaticamente (così come riportato dal comando Medial Details Report nel menu Specialista). E possibile far calcolare un hash (checksum o digest) dell oggetto a WinHex e verificarlo successivamente, in modo da assicurarsi che l autenticità della prova non sia stata nel frattempo compromessa. Quando vengono aggiunte al caso delle immagini EnCase, gli hash MD5 sono importati automaticamente. Anche se la funzionalità di log automatico è attiva per l intero caso, è possibile disabilitarla per uno specifico oggetto. Metodi per l aggiunta di file o media ad un caso: Il comando Aggiungi nel menu file della finestra Dati Caso. Il comando Aggiungi nella finestra del menu contestuale Modifica. Il comando Aggiungi nel contesto dell istanza del menu del directory browser. Sottoelementi Tutti gli oggetti hanno ulteriori elementi associati. Esiste una lista di annotazioni/segnalibri, inizialmente vuota, dove è possibile evidenziare e commentare un illimitato numero di posizioni di interesse, specificatamente per gli oggetti prova. Vedere Position Manager. La tavola dei contenuti è collegata col comando Crea tabella dei contenuti unità nel menu Specialista. Questo mostra tutti i file di un volume da tutte le sottodirectory in una singola visualizzazione, opzionalmente raggruppati per categoria. Per finire, se si estrae lo spazio libero, lo slack space o il testo da un volume (usando i comandi del menu Specialista), anche i file risultanti verranno mostrati nella sottostante struttura del caso corrispondente. 3.3 Funzionalità di Log e di Report Log Se abilitato nelle finestre di proprietà del caso e della prova, WinHex traccia in continuazione tutte le attività svolte dall apertura del caso. Ciò permette di tenere traccia, riprodurre e documentare facilmente i passi seguiti per il raggiungimento di un determinato risultato, per propria informazione e per l aula giudiziaria. Sono registrati i seguenti dettagli: Quando viene selezionato un menu, il titolo del comando (o almeno un ID) e il nome della finestra di modifica attiva, se non oggetto di prova, preceduto dalla parola chiave Menu, Quando appare una finestra di messaggio, il testo del messaggio e il pulsante che viene premuto (OK, Sì, No o Cancella), preceduto dalla parola chiave MsgBox, Quando appare una finestra con indicatore di progressione, il titolo (come Recovering Files ) e se l operazione è stata completata o interrotta, preceduto dalla parola chiave Operation, Una schermata di ogni finestra mostrata con le relative opzioni selezionate, ad esempio nel caso di una seguente operazione complessa, preceduto dal titolo della finestra Il percorso originale di ogni file recuperato Il percorso di destinazione di ogni file recuperato, se recuperato attraverso il directory browser o il menu del pulsante Accesso, Il log esteso prodotto da Clona Disco e Recupera file per tipo.

3 Tutte le attività sono indicate internamente con la data e l ora esatta, in formato FILETIME con un intervallo di precisione di 100 nanosecondi. I log sono associati di default con il caso nella sua globalità. Tuttavia i log di attività associate ad un determinato oggetto probatorio sono direttamente associati all oggetto stesso. Ciò determina la posizione nella quale appaiono all interno del report. Le schermate sono salvate come file.png nella sottocartella log della directory(cartella) del caso. Di default vengono convertite in bianco e nero, permettendo una stampa economica unitamente al report. Report E possibile creare un report dal menu File della finestra Dati caso. Il report verrà salvato come file HTML e sarà quindi possibile visualizzarlo e aprirlo attraverso una moltitudine di applicazioni. E possibile, ad esempio, visualizzarlo nel browser preferito e successivamente aprirlo e modificarlo in MS Word. Il report inizia col titolo generale del caso e i dettagli, seguiti da una lista di collegamenti alle sezioni individuali degli oggetti di prova. Per ogni oggetto il report specifica il titolo, i dettagli e la descrizione, i commenti, le annotazioni ed i log correlati agli oggetti. Il report termina con il log generale. 3.4 Galleria Quando è attivo il directory browser, WinHex offre una vista galleria per i drive logici, le partizioni ed i file immagine. E possibile attivarla nel menu del pulsante Accesso. Nella visualizzazione galleria, la porzione hex/ascii di una finestra di modifica diventa invisibile ed è rimpiazzata dalla vista galleria, dove vengono mostrate le miniature delle immagini relative ai file elencati nel directory browser. Scorrendo l elenco nel directory browser, viene prodotto uno scorrimento relativo nella finestra galleria. E possibile cambiare directory anche quando le miniature sono ancora in fase di aggiornamento. Eseguendo un doppio click su una miniatura si otterrà una vista dell immagine in dimensioni reali.basta cliccare ulteriormente sull immagine per tornare alla vista galleria. Anche i file incompleti (es. recuperati parzialmente a causa di frammentazione) sono di solito mostrati parzialmente. La galleria mostra i file con le seguenti estensioni: BMP JPG/JPEG (+JPEG 2000) PNG GIF TIF TGA PCX WMF EMF MNG JBG 3.5 Tabella dei Contenuti Richiede una licenza specialist o forensic. Crea una lista delle directory e dei file esistenti e cancellati su un drive logico o partizione, con informazioni configurabili a livello utente come gli attributi, data ed ora, dimensione, cluster allocati, hash (checksum o digest), alternate data streams

4 (che contengono dati nascosti, solo in NTFS), ecc. Estremamente utile per esaminare sistematicamente il contenuto di un disco. Permette di limitare la ricerca per file di un certo tipo usando una maschera sul nome del file (es. *.jpg, *.gif). E possibile escludere file utilizzando modelli di nome che iniziano con i due punti (:).E possibile includere ad esempio tutti i file eccetto i file di sistema NTFS fornendo il seguente schema: *.*;:$*. Nella colonna contenente le informazioni sull allocazione dei cluster è possibile trovare anche i settori unici elencati nella master file table (nei quali sono conservati direttamente i file di piccole dimensioni). Gli alternate data streams (ADS) ed i non-directory index stream (INDX) sono elencati separatamente. FAT: l opzione particularly thorough file system search ricerca le sottodirectory orfane (sottodirectory che non sono più referenziate da altre directory). NTFS: l opzione particularly thorough file system search ricerca i file record che non appartengono alla MFT corrente. Tali record possono essere trovati, ad esempio, dopo che una partizione è stata ricreata, riformattata, spostata, ridimensionata o deframmentata. L opzione File header search in unallocated clusters fa sì che siano inclusi nella lista i file che continuano ad esistere nello spazio libero del drive, basandosi sulla loro header signature. Verrà chiesto di selezionare i file da ricercare, specificando un nome di output etc. così come richiesto in Recupera file per tipo. Se tali file sono rinvenuti anche attraverso la struttura del filesystem, saranno effettivamente elencati due volte, una volta con nome dimensione corretti, una volta con nome e dimensione generici così come generato dal meccanismo di Recupero File per Tipo. In ogni caso quest opzione è l unico sistema per recuperare i file che non sono più referenziati dalla struttura del filesystem. Il risultato può essere indirizzato in maniera vantaggiosa in un file di testo delimitato da virgola, così da essere importato e successivamente elaborato in database o MS Excel. Se MS Excel non è rilevato nel computer o se viene premuto il tasto Shift della tastiera, è possibile selezionare un programma differente. Ordinando per data ed ora è possibile ottenere una buona visione generale dell utilizzo del disco in un determinato periodo di tempo. L attributo NTFS encrypted può rivelare velocemente, ad esempio, quali file siano probabilmente i più importanti in un analisi forensica. Nel file della tabella dei contenuti esiste il campo aggiuntivo ID contenente un numero che identifica univocamente ogni file elencato nel volume. Nei volumi FAT rappresenta l offset del file della voce registrata nella directory. Nei volumi NTFS è l ID del file nella MFT (record number). Il risultato può anche essere indirizzato direttamente al directory browser. Questo significa che si otterrà in WinHex una vista di tutti i file di un drive logico o di una partizione, con la possibilità di ordinarli per data, estensione ecc, spostarsi sul cluster nel quale è contenuto un file, recuperare un file, cancellare occorrenze irrilevanti dalla lista ecc Tuttavia, sebbene il directory browser offra un approccio più interattivo, non mostrerà i valori hash e le incoerenze nome-file/tipo. Una licenza forensic permette di rilevare le incoerenze nome-file/tipo nei file esistenti. Se qualcuno ha nascosto, ad esempio, una immagine JPEG incriminata nominandola fattura.xls (estensione del file differente), nella colonna Mismatch del file di output viene specificato il tipo di file riconosciuto JPEG! ed il file è mostrato una seconda volta nel directory browser con la presunta estensione corretta ed un colore differente. L estensione e la signature del file utilizzati per il rilevamento dell incongruenza sono definiti nel file di testo delimitato File Type Signatures.txt, che è completamente modificabile manualmente. Una licenza forensic permette anche di mostrare i file in una vista categoria nel directory browser (disponibile solo se il media attivo è assegnato al caso). Questo significa che i file verranno

5 raggruppati per categorie come documenti, internet, immagini, multimedia, ecc. Ciò è utile ad esempio se occorre una lista (o una vista galleria) di tutte le immagini presenti in un hard disk, trascurando la struttura delle directory. I file sono assegnati ad una categoria a seconda della loro estensione. La relazione estensione-categoria è definita nel file di testo associato File Type Signatures.txt, che è possibile modificare completamente. Tutti i file che non appartengono a nessuna categoria definita vengono inseriti nella cartella Miscellaneus. Una licenza forensic permette anche di calcolare la percentuale di colore della pelle nelle immagini. Questo può essere effettuato per gli stessi tipi di file supportati anche dalla galleria, sia per l output nel directory browser o in un file. Se un investigatore è ad esempio alla ricerca di tracce di pedopornografia, una disposizione delle immagini a seconda della percentuale di colore della pelle nella vista categoria può accelerare notevolmente il lavoro. Le immagini che non possono essere esaminate correttamente per la percentuale di colore (es. immagini in bianco e nero) saranno elencate con un punto interrogativo al posto della percentuale di colore della pelle. E da tener presente che esiste la possibilità di falsi positivi, ad esempio a causa di colori simili a quello della pelle su superfici differenti. Una licenza forensic permette inoltre di confrontare con un database i valori hash calcolati. E possibile decidere quali dei file che si trovano nel database di hash debbano essere inclusi o esclusi dalla tabella dei contenuti. Questo permette di rilevare facilmente la presenza di determinati file nocivi sul media (es. malware, pornografia infantile da una risorsa nota) o escludere altrettanto facilmente i file validi conosciuti dall esame (es. file standard dell installazione di Windows). WinHex supporta i formati di database hash NSRL RDS 2.x, Ilook e HashKeeper. Il comando Crea tabella dei contenuti dell unità può essere usato anche per creare il proprio hash set personalizzato, nel formato NSRL RDS 2.x, da usare successivamente per il confronto. La cartella specificata come input del database di hash è controllata per verificarne la compatibilità. Sono supportati i formati NSRL RDS 2.x, HashKeeper e Ilook. Tutti i file nella cartella devono essere nello stesso formato. I file che non presentano il formato richiesto provocano un messaggio d errore e la cartella non è accettata. In ogni modo sono completamente ignorati i file che presentano estensioni differenti da txt, ilk e hsh. I file che presentano i record ordinati attraverso il tipo di hash usato per il confronto, possono essere ricercati in maniera particolarmente veloce. Per ragioni di efficienza, se il database hash è esteso, è vivamente consigliato l ordinamento dei record prima del confronto, ad esempio utilizzando MS Access. I file NSRL RDS 2.x sono organizzati solitamente attraverso SHA-1. Occorre prestare attenzione al fatto che quando vengono concatenati i file che presentano record ordinati internamente, il file esteso risultante non sarà ordinato. WinHex esamina solo i primi 10, 20 record in ogni file. Se sono rilevati in ordine ascendente, è necessario confermare che tutti i record siano effettivamente ordinati. Questo poiché trattando come ordinati dei record che non sono organizzati, il confronto non funziona. E possibile velocizzare il confronto anche facendo caricare e conservare a WinHex, il database di hash nella memoria principale. Tuttavia ciò non funziona, ovviamente, per i database di grandi dimensioni.