DEFT Linux. Sviluppare una distribuzione libera per le investigazioni digitali

Transcript

1 DEFT Linux Sviluppare una distribuzione libera per le investigazioni digitali Dott. Stefano Fratepietro Creative Commons Attribuzione-Non opere derivate 2.5 Milano, 11 marzo 2010 Facoltà di Giurisprudenza 1

2 Dott. Stefano Fratepietro IT - Security specialist per il CSE Consorzio Servizi Bancari S.c.r.a.l Consulente di Informatica forense per tribunali, forze dell ordine e privati DEFT Linux project manager Docente di Informatica Forense per università e privati 2

3 Obiettivi del seminario Introduzione ai sistemi live Linux Presentazione del progetto DEFT Applicazioni pratiche utilizzando DEFT Linux e DEFT Extra Strumenti per la disk forensic Strumenti per la network forensic 3

4 Alcuni concetti fondamentali... Se accendiamo un computer appena assemblato esso non potrà fare nulla I computer fanno solo quello che l uomo chiede di fare 4

5 ...citando alcuni grandi Il calcolatore è straordinariamente veloce, accurato e stupido. Gli uomini sono incredibilmente lenti, imprecisi e creativi. L'insieme dei due costituisce una forza incalcolabile Albert Einstein Il computer non è una macchina intelligente che aiuta le persone stupide, anzi è una macchina stupida che funziona solo nelle mani delle persone intelligenti. Umberto Eco 5

6 Partiamo dalle basi... Sistema operativo: un insieme di subroutine e strutture dati responsabile del controllo e della gestione dei componenti hardware che costituiscono un computer e dei programmi che su di esso vengono eseguiti. Wikipedia 6

7 Sistemi operativi più conosciuti 7

8 Un sistema operativo generalmente va... Installato su un supporto di memoria di massa Personalizzato Configurato Mantenuto aggiornato 8

9 I sistemi live Distribuzione di un sistema operativo in grado di essere avviato ed eseguito senza richiedere l'installazione su memoria di massa o la configurazione pre-esecuzione da parte dell utente finale Come supporto di memorizzazione vengono usati CD (LiveCD) e i DVD (LiveDVD) anche se esistono distribuzioni specifiche per essere eseguite da floppy oppure da periferiche USB di archiviazione. 9

10 Storia In origine molti sistemi operativi potevano essere considerati distribuzioni Live Venivano distribuiti tramite floppy disk avviabili e in molte soluzioni non vi era nemmeno un hard disk sul quale trasferire il sistema operativo (Prime versioni di MS DOS ad esempio) Era anche pratica comune creare dei dischi di avvio personalizzati per avviare determinate applicazioni 10

11 Storia Il termine LiveCD venne coniato con la diffusione di massa dei lettori CD-ROM La prima distribuzione Live fu Yggdrasil Linux (24 novembre1992) ma le sue prestazioni erano fortemente limitate dalla velocità di trasferimento dei lettori CD- ROM 11

12 Storia I LiveCD Linux ebbero il boom nel 2003 con la nascita del progetto Knoppix, noto LiveCD creato per scopi dimostrativi Dal 2004 nascono le prime distribuzioni Linux LiveCD ottimizzate per scopi ben specifici come: Back Track Helix CentOS 12

13 Creazione di un LiveCD Linux Scelta della distribuzione Linux da cui partire Possiamo anche crearne una da zero Creazione dell ambiente del sistema, utilizzando chroot, che rispecchierà quanto sarà caricato ed eseguito dal computer una volta completato Selezione degli applicativi da installare Esportazione dell ambiente creato in un unico file utilizzato per la creazione del ramdisk 13

14 Fase di test Avviamento del LiveCD sul maggior numero di sistemi a disposizione Non solo per diversità di vendor ma soprattutto per diversità di hardware (obsoleto e moderno) In caso di boot falliti o non riusciti completamente, aggiungere driver configurati per le periferiche non riconosciute e ri-eseguire tutti i test precedentemente eseguiti 14

15 Boot di un LiveCD Linux nell architettura X86 All accensione del computer, vengono caricate in memoria le routine software per l accesso all hardware del sistema e il POST (power-on selftest) Alla fine dei controlli il POST passa alla ricerca di memorie di massa che contengano l istruzione 0xAA55 che identifica un dispositivo che contiene le istruzioni per avviare un sistema operativo 15

16 Boot di un LiveCD Linux nell architettura X86 Le istruzioni caricano in memoria il Kernel del sistema operativo e creano, utilizzando una porzione della memoria RAM, un ramdisk (in sostituzione del classico hard disk su cui è già installato il sistema operativo) utilizzato come deposito dei soli file che il sistema utilizzerà 16

17 17

18 DEFT? Acronimo di Digital Evidence & Forensic Toolkit Progetto 100% made in Italy, nato in collaborazione con il corso di Informatica Forense dell Università degli Studi di Bologna verso la fine del evolutosi nel 2007 come progetto indipendente mantenendo collaborazioni con l Università di Bologna e IISFA Italian Chapter 18

19 DEFT come forensic BAG Sistema Linux live che mantiene inalterato il contenuto delle memorie di massa del sistema ospitante + software computer forensics per Linux + + software computer forensics per Windows Interfaccia grafica veloce ed intuitiva per sistemi Windows ideale per l esecuzione di attività di pre analisi 19

20 Dove lo posso usare? DEFT Linux: su tutte le architetture x86 DEFT Extra: su tutti i computer con Microsoft Windows 20

21 Dove non lo posso usare? Mainframe Architetture non x86 21

22 DEFT people Aziende Gov Investigatori Università 7% 25% 48% 20% 22

23 Cosa posso fare con DEFT? Acquisizione di memorie di massa Attività di analisi e pre-analisi Recupero dati Intercettazioni telematiche Recupero password Individuazione di malware e rootkit 23

24 Avviare DEFT Linux Pentium II con 64 MB ram per la modalità testuale, 128 per quella grafica Lettore cd-rom o slot usb Impostare dal bios il boot da cd-rom o da usb a seconda della versione 24

25 Mount manager 25

26 Acquisire una memoria di massa Tool sviluppato dal DEFT team: Dhash 2.0 Acquisizione di memorie di massa in formato dd Calcolo parallelo degli hash md5 e sha1 Stime temporali veritiere con produzione di report Calcolo dell hash più veloce del 8% rispetto agli attuali tool per Windows e per Linux Acquisizione più veloce del 2% rispetto agli attuali tool per Windows e per Linux Possibilità di compressione durante l acquisizione 26

27 Acquisire una memoria di massa - shell 27

28 Acquisire una memoria di massa - shell 28

29 Acquisire una memoria di massa - gui 29

30 In caso di errori nella lettura del device? Si può ricorrere a dd_rescue! E una evoluzione del dd Permette di acquisire memorie che danno errori di lettura del device dd_rescue /dev/sda disco.dd dd_rescue /dev/sda - ssh user@ "cat > /remote/disco.dd" 30

31 Ricerca contenuti 31

32 Ricerca contenuti 32

33 Ricerca contenuti 33

34 Recupero file cancellati Foremost E un carving tool che permette il recupero di file ricercando header e footer, cioè le stringhe che caratterizzano l'inizio e la fine di uno specifico file foremost -t pdf -o /home/recupero-pdf /dev/sda foremost -t jpg -o /home/recupero-jpg/ /home/memoria-80gb.dd foremost -c /etc/foremost.conf -o /home/recupero/ /home/memoria-80gb.dd 34

35 Foremost File di configurazione extension case sensitive size header footer # GIF and JPG files # gif y \x47\x49\x46\x38\x37\x61 \x00\x3b # gif y \x47\x49\x46\x38\x39\x61 \x00\x00\x3b # jpg y \xff\xd8\xff\xe0\x00\x10 \xff\xd9 I valori di header e footer sono in esadecimale Il campo size rappresenta il massimo numero di byte che foremost recupera se non trova il footer 35

36 The Sleuthkit e Autopsy Autopsy è un framework Open Source per l'analisi forense di immagini e device banalmente definito come l interfaccia grafica di The Sleuthkit The Sleuthkit è una collezione di utility di disk forensic per eseguire operazioni come recupero file cancellati, informazioni sul file system del device ecc ecc... 36

37 Autopsy 37

38 Autopsy Archiviazione di casi per investigatore Supporta file system ntfs, fat, ufs 1, ufs 2, ext2, ext3, hfs, hfs+ e iso 9660 Sfogliare l albero delle directory evidenziando file cancellati Ricerca contenuti con preview Time line 38

39 Time line Nell'informatica forense per time line si intende una fotografia di tutti gli eventi storici avvenuti in un determinato sistema fls -r -f fat -m C: -o 62 disco.dd > timeline.txt mactime -d -b timeline.txt 01/01/ /23/2010 > tml-filtro.txt 39

40 Acquisizione di traffico telematico su rete IP Interfaccia di destinazione dell intercettazione Interfaccia intercettata 40

41 Acquisizione di traffico telematico su rete IP Definizione del traffico interessante mediante l utilizzo di access-list Creazione di una capture sull intefaccia desiderata Acquisizione del file pcap generato via capture/nometraccia/pcap 41

42 Analisi traffico telematico Xplico NFAT (Network Forensic Analysis Tool) Progetto tutto italiano, nato da un idea di Gianluca Costa in collaborazione con DEFT Linux Ricostruzione completa dei contenuti intercettati usando come unica risorsa la capture eseguita Gestione di più casi (come Autopsy) 42

43 Analisi traffico telematico Xplico http, dns, tcp, udp - ipv4 e ipv6 smtp, pop3 e imap ftp, sip ricostruzione di video, immagini, pagine web ricostruzioni in formato pdf delle stampe eseguite con stampanti di rete (protocolli IPP e PJL) 43

44 Xplico 44

45 Xplico 45

46 Xplico 46

47 Xplico 47

48 Xplico 48

49 Xplico 49

50 Xplico 50

51 Cos è DEFT Extra? Interfaccia grafica per usi informatico forensi Raccolta di free software utili ad attività di analisi e pre analisi Eseguibile su tutti i sistemi Microsoft Windows a 32 bit (supporto a 64 bit non garantito al 100%) 51

52 DEFT Extra 52

53 DEFT Extra 53

54 DEFT Extra 54

55 DEFT Extra 55

56 DEFT Extra 56

57 DEFT Extra 57

58 DEFT Extra 58

59 DEFT Extra 59

60 DEFT Extra 60

61 DEFT Extra 61

62 DEFT Extra 62

63 DEFT Extra 63

64 DEFT Extra 64

65 Link utili

66 Domande? Dott. Stefano Fratepietro Creative Commons Attribuzione-Non opere derivate 2.5 Milano, 11 marzo 2010 Facoltà di Giurisprudenza 66