FLOSS per la Digital Forensics. Nutria LUG. Pavia, 24 ottobre Davide Gabrini. Digital Forensic Jedi

Transcript

1 FLOSS per la Digital Forensics Nutria LUG Pavia, 24 ottobre 2015

2 Chi sono (faccio cose, reverso gente) Davide Rebus Gabrini Per chi lavoro non è un mistero. Oltre a ciò: Perito informatico Collaboratore UniPV Docente di sicurezza informatica e digital forensics per aziende e P.A. Socio IISFA, DEFTA, Tech&Law fellow Socio fondatore di Italian Gr.A.P.P.A. e (se tutto va bene) Nutria LUG Digital Champion per il Comune di Travacò Siccomario Sviluppatore DEFT Linux

3 Digital Forensics: che roba è La digital forensics è la disciplina che si occupa della preservazione, dell'identificazione, dello studio, della documentazione dei computer, o dei sistemi informativi in generale, al fine di evidenziare l esistenza di prove nello svolgimento dell attività investigativa. (A.Ghirardini: Digital forensics Apogeo) L obiettivo è quello di evidenziare dei fatti pertinenti a un indagine per sottoporli a giudizio

4 Digital Forensics: che roba NON è Fantascienza televisiva: CSI, NCIS, Criminal Minds, RIS ecc. propinano solitamente boiate e al cinema è anche peggio! Anche gli organi di informazione (non del settore) spesso instillano convinzioni del tutto infondate

5 Necessità di una metodologia scientifica Pervasività delle tecnologie digitali Improbabile, oggigiorno, una scena del crimine priva di elementi digitali Loro implicazione in attività delittuose L elemento informatico come fine L elemento informatico come mezzo L elemento informatico come testimone

6 Pervasive computing Smart Smart Smart Smart Smart things watches home cars clothes

7 Necessità di una metodologia scientifica Nonostante la pervasività, il reale funzionamento della tecnologia resta ai più misterioso Le tracce digitali possono avere una natura estremamente delicata, che richiede competenze specifiche per la trattazione

8 Scopi di un analisi forense Confermare o escludere un evento Individuare tracce e informazioni utili a circostanziarlo Acquisire e conservare le tracce in maniera idonea, che garantisca integrità e non ripudiabilità Interpretare e correlare le evidenze acquisite Riferire con precisione ed efficienza, in maniera idonea

9 Le fasi canoniche Identificazione Acquisizione / Preservazione Analisi / Valutazione Presentazione

10 Open Source vs Closed Source Eterna diatriba tra filosofie opposte I flame religiosi sono infruttuosi Non esiste il tool universale, in grado di fare tutto e meglio Non esistono i tool automagici L'ideale sarebbe disporre ogni volta del tool migliore per il task specifico Con l'open source è solo un problema di know-how, col software commerciale è anche economico

11 Open Source vs Closed Source Trasparenza gli strumenti sono conosciuti, documentabili e verificabili anche dalla controparte Disponibilità non occorre acquistare software specifici (e costosi) per svolgere o controllare un'attività Varietà esistono soluzioni e supporto per una miriade di situazioni, anche improbabili (ad esempio per i filesystem) Adattabilità i sorgenti sono modificabili per ogni esigenza specifica (incluso il bug fixing)

12 Open Source vs Closed Source Flessibilità il paradigma Unix "tutto è un file" permette di gestire uniformemente anche situazioni nuove Modalità read-only Linux è per natura poco invasivo e ha comunque supporto nativo per modalità di sola lettura Loopback l'uso di loopback device e di device mapper può rivelarsi molto utile Aderenza agli standard spesso i software commerciali usano implementazioni arbitrarie e formati chiusi

13 Eccellenze dell open source Non crediate che l open source sia il rifugio dei poveri: è il bazar dei ricercatori! Ci sono progetti open source che rappresentano lo stato dell arte, meglio di qualsiasi rivale commerciale, ad esempio: The Sleuth Kit Volatility e Rekall Log2timeline

14 Identificazione e Acquisizione Riconoscimento device e filesystem Dotazione di default nelle disto Linux di comandi utili lshw, fdisk, gparted, file, mount, md5sum Accesso a basso livello all hardware /dev/sda, /dev/mem Esecuzione copie bit-level raw=interoperabilità dd, dd_rescue dcfldd, dc3dd ecc. Guymager, DHash, Quick Hash

15 man dd I parametri sono tutti nella forma nome=valore (senza spazi) e possono essere specificati in qualunque ordine. Tra i parametri principali vi sono: if=nome_file Legge i dati dal file nome_file of=nome_file Scrive i dati sul file nome_file bs=dimensione Legge e scrive dati in blocchi di dimensione fissa ibs=dimensione Legge i dati in blocchi delle dimensioni specificate obs=dimensione Scrive i dati in blocchi delle dimensioni specificate count=numero_blocchi Copia solo il numero specificato di blocchi skip=numero_blocchi Scarta il numero di blocchi indicato prima di iniziare a copiare seek=numbero_blocchi Avanza del numero di blocchi indicato prima di iniziare a scrivere conv=conversione[,conversione ] Effettua durante la copia le conversioni elencate. Tra le principali conversioni vi sono: noerror sync Continua anche in presenza di errori In combinazione con noerror, sostituisce i dati mancanti in input con degli zeri in output

16 man dc3dd dc3dd aggiunge funzioni a quelle standard di dd wipe=nome_file sovrascrive il device nome_file con zeri split=dimensione divide l output in pezzi di dimensione byte progress=on visualizza lo stato di avanzamento della copia hash=algoritmo calcola l hash algoritmo dei dati in input algoritmo può avere uno o più valori tra md5, sha1, sha256 e sha512 hashconv=before after indica se l hash deve essere calcolato prima o dopo la conversione conv hashwindow=dimensione calcola un hash ogni dimensione byte hashlog=nome_file registra tutti gli hash in nome_file errlog=nome_file registra tutti gli errori in nome_file log=nome_file usa un solo file di log per errori e hash vf=nome_file verifica l input if con il contenuto di nome_file verifylog=nome_file registra l esito della verifica in nome_file

17 Acquisizione Esempi di comandi per l'acquisizione: # dd if=/dev/hda of=hda.dd conv=noerror,sync bs=512 # dd if=/dev/hda conv=noerror,sync bs=512 split b 1500m hda_image # dd if=/dev/hda1 skip=0 conv=noerror ibs=512 gzip -1 dd of=hda1.raw.gz seek=0 obs=8192 # dcfldd if=/dev/hda conv=noerror,sync hashwindow=0 hashlog=hda.md5.txt of=hda.dd # dc3dd if=/dev/sda progress=on hashconv=after hash=md5,sha1 hashwindow=2gb splitformat=000 split=2gb log=logfile.txt bs=512 iflag=direct conv=noerror,sync of=image Produce file da 2GB, calcola gli hash MD5 e SHA1 di ogni chunk e del totale, crea un file di log. # dc3dd if=/dev/sda progress=on hashconv=after hash=md5,sha1 hashwindow=2gb splitformat=000 split=2gb verylog=verfile.txt bs=512 iflag=direct conv=noerror,sync vfjoin=image.000 Verifica l acquisizione dell esempio precedente. Server# nc l p > image.dd Client# dd if=/dev/hda bs=2048 nc {$ip_server} 3l337

18 Copia logica di file da Linux Nell esempio seguente, il contenuto della cartella /var/log di un disco in esame (montato in /mnt/origine) viene copiato nella cartella di destinazione /mnt/evidence Prima di calcolano gli hash originali: # find /mnt/origine/var/log -type f -exec sha1sum {} + > /mnt/evidence/var_log.sha1 Poi si copiano i file all interno di un unico archivio compresso, in modo da preservarne gli attributi: # tar -czpvf /var/evidence/var_log.tgz /mnt/origine/var/log Avere come risultato dell acquisizione un unico file agevola tutti i trasferimenti e le manipolazioni successive. Consente p.e. di calcolare un unico hash da riportare a verbale # sha1sum /var/evidence/var_log.tgz > /var/evidence/var_log.tgz.sha1 Infine si possono salvare altre informazioni utili alla documentazione, come ad esempio il log dei comandi eseguiti: # history > /mnt/evidence/history.log

19 Acquisizioni per pigri e incapaci :p

20 Concetto di mount Montare un immagine forense significa rendere il sistema operativo dell analista in grado di accedere alle informazioni contenute nell immagine Linux dispone del comando mount, che permette anche di specificare la modalità di accesso in sola lettura Windows non ha un comando analogo, quindi costringe ad usare programmi di terze parti In Linux, il contenuto dell immagine forense viene montato in corrispondenza di una cartella esistente, come ad esempio /media/analisi In Windows, di regola, ad ogni partizione presente nell immagine forense deve essere invece associata una lettera, come ad esempio F: Quando l immagine forense è montata, essa è accessibile come se fosse un device reale da tutti gli applicativi che girano sul sistema operativo, anche non specifici per analisi forense

21 man mount mount è un comando dei sistemi operativi Unix-like che permette di agganciare un file system ad una directory, in modo da rendere accessibili i file e le directory in esso contenuti. La directory prende il nome di mountpoint, ed è l analogo che lettere usate da Windows per indicare i volumi. Sintassi: mount [opzioni] filesystem directory Il parametro filesystem è una stringa che identifica il device su cui risiede il file system da montare: generalmente è il nome del dispositivo a blocchi che lo contiene (ad es. /dev/sda3), ma può anche essere il nome di un singolo file che contiene l immagine forense di un filesystem. Il parametro directory indica il mountpoint, ovvero una directory preesistente su cui montare il file system (ad es. /mnt/disco_esterno o /media/cdrom) Le opzioni consentono, tra l altro, di specificare il tipo di filesystem e se esso va montato in sola lettura oppure in lettura e scrittura. # mount /dev/sda1 /mnt/origine o ro (monta una partizione in sola lettura) # mount /mnt/evidence/disco1_part1.dd /mnt/analisi o loop,ro (monta l immagine forense di una partizione in sola lettura)

22 Ogni esigenza di analisi è coperta Analisi dei filesystem The Sleuth Kit Autopsy 3 Digital Forensic Framework Ricerca e indicizzazione da grep a Recoll Recupero dati foremost e scalpel photorec e testdisk Bulk_extractor

23 Ogni esigenza di analisi è coperta Analisi delle fotografie Ghiro, JPEGsnoop Mobile forensics adb, libmobiledevice iphone Analyzer, IPBA2 Malware analysis Cuckoo Zero Wine REMnux OllyDbg YARA

24 Ogni esigenza di analisi è coperta Artefatti di sistema e attività utente RegRipper Log2timeline, Webscavator pasco, rifiuti, galleta, vinetto emuleforensic SkypeXtractor Gestionali e supporto Mobius Forensic Toolkit AndLink

25 Ogni esigenza di analisi è coperta Intercettazioni e analisi del traffico Formato pcap come standard de facto tcpdump Wireshark tshark netsniff-ng bettercap snort airodump-ng Xplico NetworkMiner

26 Xplico

27 Virtualizzazione Virtualizzare la workstation di analisi può dare alcuni vantaggi: Ambiente ottimizzato e preconfigurato Facilità di backup, migrazione, ripristino e duplicazione Libertà di ridistribuzione! Remotizzazione dei task di analisi Distribuzioni in virtual machine: CERT Forensic Appliance SANS Investigative Forensic Toolkit (SIFT) VirtualBox, XEN, Qemu

28 Distribuzioni forensi DEFT è una distribuzione live Linux per scopi forensi ( Consente di avviare qualsiasi PC in modo non invasivo e avere una completa workstation di analisi pronta all uso Può anche essere installata permanentemente su PC di laboratorio o eseguita come virtual machine E interamente basata su software open source, quindi è liberamente disponibile e duplicabile

29 Distribuzioni forensi DEFT Zero è una mini distribuzione pensata esclusivamente per le acquisizioni E' ridotta la minimo, di modo da consentire tempi di avvio molto rapidi E un sistema a 32 bit, così da poter garantire il boot anche su macchine obsolete

30 DART DART è la collezione di programmi portabili per live forensics inclusa in DEFT Oltre 300 programmi per ogni versione di Windows, Linux e Mac OSX Il launcher presenta i software categorizzati, descritti e indicizzati; verifica l integrità prima di avviarli; mantiene un log delle operazioni Ulteriore corposa sezione di programmi CLI Istruzioni e script per il completamento del pacchetto con i software non ridistribuibili

31 Beginner s guide: The law envorcement and forensic examiner's introduction tu Linux Guida per principianti, dal 2007 è il punto di partenza per esplorare il mondo della computer forensics attuata con strumenti open source Sono a disposizione anche alcune immagini forensi di esempio per esercitazioni didattiche

32 Approfondimenti

33 Teniamoci in contatto Davide Rebus Gabrini GPG Public Key: KeyID: 0x176560F7 Queste e altre cazzate su