TIMESHARK: Uno strumento per la visualizzazione e l analisi delle supertimelines. Relatore: Federico Grattirio

Transcript

1 TIMESHARK: Uno strumento per la visualizzazione e l analisi delle supertimelines Relatore: Federico Grattirio

2 Indice: Timeline nelle analisi forensi A cosa servono? Dove posso trovare le informazioni? Come ottenere una timeline? Analisi e problemi Tool disponibili Timeshark

3 Timeline nelle analisi forensi Metodo rapido e intuitivo per comprendere la sequenza degli eventi avvenuti in una determinata finestra temporale Ricostruire le attività di un utente o di un intruso Ricostruire le fasi di un attacco informatico Individuare il punto di compromissione originale Individuare le cause di un incidente Evidenziare incongruenze sintomo di attività illecite o antiforensics Gli eventi provengono da una pluralità di fonti eteronegee Gli eventi di natura digitale sono registrati in quantità tali da richiedere necessariamente una trattazione automatizzata Raccogliere una ricca base dati è ormai relativamente semplice elaborarla invece no

4 Dove posso trovare le informazioni? Filesystem

5 Dove posso trovare le informazioni? Filesystem File di log (sistema e applicazioni)

6 Dove posso trovare le informazioni? Filesystem File di log (sistema e applicazioni) Cronologia e cache dei browser

7 Dove posso trovare le informazioni? Filesystem File di log (sistema e applicazioni) Cronologia e cache dei browser Metadati interni ai documenti

8 Dove posso trovare le informazioni? Filesystem File di log (sistema e applicazioni) Cronologia e cache dei browser Metadati interni ai documenti...e molti altri, anche esterni al sistema in esame log dei provider, tabulati telefonici, sistemi di videosorveglianza

9 Come ottenere una timeline?

10 Analisi e problemi Grandi moli di dati Timeline derivanti dal solo journal NTFS possono avere dai a eventi Grande varietà di formati in input I timestamp sono registrati in formati diversi, che variano da sistema operativo, filesystem, applicazioni Le timeline possono provenire dai report di diversi tool di acquisizione o carving Gli eventi possono essere stati registrati da diversi sistemi, con diversi fusi orari o time skew rilevanti Complessità di visualizzazione Complessità di analisi

11 Tool disponibili - Autopsy Open source Funzione ancora in beta Base dati limitata al filesystem Accesso diretto alla sorgente dell evento Non permette di applicare filtri alla timeline Non permette di evidenziare gli eventi Disponibile solo per Windows e DEFT

12 Tool disponibili Kibana Open source e web based Interfacciabile con Plaso/log2timeline Altamente scalabile Non disegnato specificamente per analisi forensi Nessun accesso alla sorgente

13 Tool disponibili 4n6time Non è open source Buona integrazione coi backend Interfaccia molto evoluta, ma ancora difettosa (navigazione visuale, accesso alla sorgente, gestione filtri, paginazione ) Strumento potente, ma non adattabile

14 Tool disponibili Aftertime Sorgenti chiusi Licenza d uso fortemente limitante Ottimo supporto agli artefatti, ma non estensibile Interfaccia intuitiva, ma non priva di difetti (accesso alla sorgente, bookmark ) Tempi di reazione insoddisfacenti

15 Tool disponibili - FTK Raccolta dati basata su log2timeline Accesso diretto alla sorgente Interfaccia grafica scarsamente produttiva Software proprietario Disponibile solo per Windows

16 Tool disponibili - Encase Interfaccia limitata, ma molto reattiva Accesso diretto alla sorgente dell evento Base dati limitata ai timestamp del filesystem Reportistica inadeguata Software proprietario Disponibile solo per Windows

17 Tool disponibili - Webscavator Open source Ottima interfaccia Filtri preconfigurati e report intuitivi Permette solo l analisi di timeline derivanti da navigazione web

18 Tool disponibili - IEF Lunghi tempi di caricamento Interfaccia molto reattiva Base dati ampia, ma comunque limitata ai risultati di IEF Software proprietario Disponibile solo per Windows

19 Timeshark Open source Multipiattaforma Tempi di risposta adeguati anche con grandi moli di dati Interfaccia punta e clicca, intuitivo, semplicità di utilizzo Possibilità di segnalare eventi sospetti Possibilità di aggregare più eventi Possibilità di filtrare e colorare gli eventi Possibilità di personalizzazione del software

20 Indice: Tecnologie Struttura generale I plugin Plugin scanner Plugin filtro Plugin visualizzazione Plugin export

21 Tecnologie Python Linguaggio di programmazione multipiattaforma Librerie Qt Librerie grafiche multipiattaforma per lo sviluppo di interfacce grafiche SqLite Libreria software per la creazione di un database relazionale

22 Struttura generale Model: Gestione dei dati presenti nel database View: Gestione della visualizzazione dei dati Controller: Gestione della elaborazione dei dati Plugin managers: Gestione dei plugin

23 Plugin scanner Caricati dinamicamente all avvio di Timeshark L utente può scegliere quale utilizzare ed impostare i relativi parametri dall interfaccia di inserimento file Ogni plugin scanner si occupa di effettuare il parsing di ogni singola riga di un dato formato di file Introduzione Timeshark Architettura Conclusioni

24 Plugin scanner Caricati dinamicamente all avvio di Timeshark L utente può scegliere quale utilizzare ed impostare i relativi parametri dall interfaccia di inserimento file Ogni plugin scanner si occupa di effettuare il parsing di ogni singola riga di un dato formato di file Introduzione Timeshark Architettura Conclusioni

25 Plugin scanner Caricati dinamicamente all avvio di Timeshark L utente può scegliere quale utilizzare ed impostare i relativi parametri dall interfaccia di inserimento file Ogni plugin scanner si occupa di effettuare il parsing di ogni singola riga di un dato formato di file Introduzione Timeshark Architettura Conclusioni

26 Plugin scanner Caricati dinamicamente all avvio di Timeshark L utente può scegliere quale utilizzare ed impostare i relativi parametri dall interfaccia di inserimento file Ogni plugin scanner si occupa di effettuare il parsing di ogni singola riga di un dato formato di file Introduzione Timeshark Architettura Conclusioni

27 Plugin filtro Caricati dinamicamente all avvio di Timeshark L utente può scegliere quale utilizzare ed impostare i relativi parametri dall interfaccia di inserimento filtro Ogni plugin filtro può essere applicato sia come filtro di colorazione che di esclusione Ogni plugin filtro avrà come output una stringa che verrà inserita nella clausola WHERE della query tramite operatore AND Introduzione Timeshark Architettura Conclusioni

28 Plugin visualizzatori Caricati dinamicamente all avvio di Timeshark Ogni plugin di visualizzazione ha a disposizione un tab della GUI di Timeshark per la visualizzazione dell output Ogni plugin di visualizzazione può decidere la query da eseguire Introduzione Timeshark Architettura Conclusioni

29 Plugin export Caricati dinamicamente all avvio di Timeshark Ogni plugin di export riceve in input la query da eseguire per la scelta dei record Ogni plugin può avere in input n parametri, a scelta dello sviluppatore Introduzione Timeshark Architettura Conclusioni

30 Indice:

31 Case of study Dati: Journal derivato da partizione NTFS Obiettivo: Ricavare eventi compresi tra le ore 07:27 e le ore 07:30 Evidenziare gli eventi di creazione file Segnalare tramite tag gli eventi che comprendono solo il tipo file_created Workflow: Creazione analisi Aggiunta file Aggiunta filtri Aggiunta tag

32 Creazione analisi

33 Creazione analisi

34 Aggiunta file

35 Aggiunta file

36 Aggiunta filtro

37 Aggiunta filtro

38 Aggiunta filtro

39 Aggiunta filtro

40 Aggiunta tag

41 Aggiunta tag

42 Export data

43 Results

44 Indice:

45 : Creazione di plugin di visualizzazione grafica delle timeline Creazione di plugin di visualizzazione di statistiche/sessioni presenti nei dati analizzati Creazione di plugin per l importazione dei più comuni file derivanti da tool di estrazione e carving Creazione di plugin per l esportazione in formato xml (con xsl) Link diretto alla sorgente dell evento

46 Timeshark v. 0.1 Contatti: Federico grattirio Acknowledgement: Antonio Barili Davide Gabrini Domande?