Documente Academic
Documente Profesional
Documente Cultură
Forense
usando
Contextualizando...
Objetivos !!??
Qual o melhor p-de-cabra?
Conhecer as ferramentas
para fazer a melhor escolha
Contextualizando...
Objetivos !!??
Conhecer as ferramentas
para fazer a melhor escolha
Contextualizando...
Falando em Leis...
Lei 12.737/2012
Art. 154-A Invadir dispositivo informtico alheio, conectado ou no rede de
computadores, mediante violao indevida de mecanismo de segurana e com
o fim de obter, adulterar ou destruir dados ou informaes sem autorizao
expressa ou tcita do titular do dispositivo ou instalar vulnerabilidades para
obter vantagem ilcita:
Pena deteno, de 03 (trs) meses a 01 (um) ano, e multa.
1o Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde
dispositivo ou programa de computador com o intuito de permitir a prtica da conduta
definida no caput.
2o Aumenta-se a pena de um sexto a um tero se da invaso resulta prejuzo
econmico.
Contextualizando...
Anlise Forense
A aplicao de princpios das cincias fsicas ao direito
na busca da verdade em questes cveis, criminais
e de comportamento social
para que no se cometam injustias
contra qualquer membro da sociedade
(Manual de Patologia Forense do Colgio de Patologistas Americanos, 1990).
Quando?
Como?
Porque?
Onde?
Normas e Procedimentos
Contextualizando...
Anlise Forense Computacional
Conceitos Importantes
Evidncias
No-Volteis x Volteis
Tipos de Anlise:
In Loco
Post mortem
Recuperao
Extrao
Contextualizando...
Anlise Forense Computacional
Principais Etapas
Aquisio
Identificao
Avaliao
Apresentao
Contextualizando...
Definio do Objeto da Percia
O que Coletar/Analisar ?
Mdias
Hds, pendrives, cds, dvds...
Dispositivos no convencionais
Cmeras digitais, culos/relgios/pulseiras...
(com dispositivos de armazenamento).
Dados trafegando na rede
Em investigaes de trfego de informaes
Tambm com equipamentos ligados
Dados em memria
Em anlises com equipamentos ligados
Contextualizando...
Anlise Forense Computacional
reas Distintas
Mdias
Redes
Memria
Mdias
Captura, recuperao, extrao e
anlise (com ferramentas apropriadas)
O dcfldd possui um log de toda a operao, faz diviso da imagem (split) e permite
verificar diretamente a integridade da operao atravs de vrios algoritmos de
hash.
AntesdoProcessodeExtrao
ColetaemMdias
Oposugeridaparacorrigirfragilidadesdodd:dcfldd
ExemplodeUtilizao:
dcfldd if=/dev/sda1 hash=md5,sha256 hashwindow=1G \
md5log=md5.txt sha256log=sha256.txt hashconv=after \
conv=noerror,sync split=1G splitformat=aa of=image.dd
noerror=noparacasoencontreerros
sysc=seencontrarerropreenchecom0(zero)
Tamanhomximodecadaarquivo=1Gb
Nomes:image.dd.aa/image.dd.bb/...
AntesdoProcessodeExtrao
ColetaemMdias
Guymanager/Adepto/Air
InterfacesGrficasparaDuplicaoPericial
AntesdoProcessodeExtrao
ColetaemMdias
Guymanager/Adepto/Air
InterfacesGrficasparaDuplicaoPericial
AntesdoProcessodeExtrao
ColetaemMdias
Guymanager/Adepto/Air
InterfacesGrficasparaDuplicaoPericial
AntesdoProcessodeExtrao
ColetaemMdias
Guymanager/Adepto/Air
InterfacesGrficasparaDuplicaoPericial
DataCarving(VisoGeral)
Datacarvingistheprocessofextracting
acollectionofdatafromalargerdataset.
Datacarvingtechniquesfrequentlyoccurduringadigitalinvestigation
whentheunallocatedfilesystemspaceisanalyzedtoextractfiles.
Thefilesare"carved"fromtheunallocatedspace
usingfiletypespecificheaderandfootervalues.
Filesystemstructuresarenotusedduringtheprocess.
Digital Forensic Research Workshop
(DFRWS) http://dfrws.org
DataCarving::Contextualizando...
SistemadeArquivos
conjuntodeestruturaslgicasederotinas,quepermitemao
sistemaoperacionalcontrolaroacessoaodiscorgido
SistemasdeArquivospadresWindows:FAT16,FAT32,NTFS
ReiserFS,XFS,JFS,...
DataCarving(ouFileCarving)
independedesistemadearquivos
DataCarving::Contextualizando...
MagicNumbers/FileSignatures
Funciona como uma assinatura
dotipodearquivo.
Mtodo de identificao de
Baseiase
em
informaes
inseridas/coletadasdentrodecada
arquivo
(cabealhos,
camposespecficos)
rodaps,
Carving(Extrao)emMdias
Magicrescue
Concebido(inicialmente)pararecuperaodeimagens(fotos)
apagadas
Recupera arquivos especficos (com padro definido em base
especfica)apartirdeumapartio,paraumdiretrioespecificado.
avicanoncr2elfflacgimpxcfgplgzipjpegexifjpegjfifmp3
id3v1mp3id3v2msofficenikonrawperlpngppmzip
CarvingemDispositivo(Mdia)
Magicrescue
Funcionamento
Executaraplicativocomparmetrosespecficos
magicrescue -d diretorio_destino -r base_tipos /dev/device
diretorio_destino::Diretrioondesergravadooresultado
base_tipos::Basecompadrodotipodearquivobuscado
(/usr/share/magicrescue/recipes)
/dev/device::caminhododispositivoanalisado
Exemplo:
magicrescue -d /home/forense/analisar
-r /usr/share/magicrescue/recipes/avi
/dev/sda1
CarvingemImagemdeMdia
Magicrescue
Executaraplicativocomparmetrosespecficos
magicrescue -d diretorio_destino -r base_tipos imagem
diretorio_destino::Diretrioondesergravadooresultado
base_tipos::Basecompadrodotipodearquivobuscado
(/usr/share/magicrescue/recipes)
imagem::imagemdodispositivoanalisado
Exemplo:
magicrescue -d /home/forense/analisar
-r /usr/share/magicrescue/recipes/avi
pendrive.dd
Carving(Extrao)emMdias
Magicrescue/GRescue
GRescue=InterfaceGrficadoMagicrescue(emdesenvolvimento)
CarvingemDispositivo(Mdia)
Foremost
Rpido,fcilerobusto: foremost
Tiposdearquivosreconhecidos:jpg,gif,png,bmp,avi,exe,mpg,
wav,riff,wmv,mov,pdf,ole,doc,zip,rar,htm,cpp,...
Paratodosostiposdearquivos:-t all
Ex.: foremost -i /dev/sda1 -o diretorio_destino
CarvingemImagemdeMdia
Foremost
Rpido,fcilerobusto: foremost
CarvingemImagemdeMdia
Foremost
ArquivodeConfigurao(/etc/foremost.conf)
Extenso,casesensitive(y/n),tamanhomximo,cabealho,rodap(opcional)
# PNG
png
# Word documents
doc
y
200000
12500000
\x50\x4e\x47?
\xff\xfc\xfd\xfe
\xd0\xcf\x11\xe0\xa1\xb1
CarvingemImagemdeMdia
Foremost
$ mkdir apagados
$ foremost -i pendrive.dd -o apagados/
Processing: pendrive.dd
*****|
$
$ cd apagados
$ ls
audit.txt exe htm jpg pdf png ppt
wav
xls
$ cat audit.txt
Foremost started at Fri Nov 15 16:37:00 2010
Invocation: foremost -i pendrive.dd -o apagados/
Output directory: /home/notebook/apagados
Configuration file: /etc/foremost.conf
(...)
Finish: Fri Nov 15 16:39:08 2010
1498 FILES EXTRACTED
zip
CarvingemImagemdeMdia
Scalpel
Semelhanteaoforemost: scalpel
Redes
Captura de trfego e realizao da
Extrao (com ferramentas apropriadas)
AntesdoProcessodeExtrao
ColetaemRedes
Interfaceemmodomonitor("promscuo")=Sniffer
LibPcap + TcpDump
WinPcap + WinDump
AntesdoProcessodeExtrao
ColetaemRedes
CapturadeTrfegoEspecfico::Tcpdump
TrfegodeEmails:
SMTP:[porta]=25
POP3:[porta]=110
port [porta]
src [origem]
dst [destino]
TrfegoWeb:[porta]=80
AntesdoProcessodeExtrao
ColetaemRedes(ModoGrfico:Ethereal/Wireshark)
http://www.wireshark.org
AntesdoProcessodeExtrao
ColetaemRedes(ModoGrfico:Ethereal/Wireshark)
CarvingemImagemdeTrfegodeRedes
Tcpxtract
Extrai arquivos (file carving) de trfego de redes baseado em
assinaturas/padresdearquivos.
Podeserusadodiretamentecapturando/analisandootrfego
de uma rede ou analisando um arquivo .CAP (formato
tcpdump)
CarvingemImagemdeTrfegodeRedes
Tcpxtract
$ mkdir examinar
$ tcpxtract -f http.cap -o examinar
Found
Found
Found
Found
Found
file
file
file
file
file
of
of
of
of
of
type
type
type
type
type
"gif"
"png"
"png"
"png"
"gif"
$ nautilus examinar
in
in
in
in
in
session
session
session
session
session
[72.14.204.103:20480
[72.14.204.103:20480
[72.14.204.103:20480
[72.14.204.103:20480
[72.14.204.103:20480
->
->
->
->
->
192.168.2.100:15495],
192.168.2.100:15751],
192.168.2.100:15495],
192.168.2.100:15495],
192.168.2.100:15751],
exporting
exporting
exporting
exporting
exporting
to
to
to
to
to
examinar/00000000.gif
examinar/00000001.jpg
examinar/00000002.gif
examinar/00000003.gif
examinar/00000004.jpg
CarvingemImagemdeTrfegodeRedes
Chaosreader
Semelhanteaotcpxtract
Maiornveldedetalhessobretrfegos(origem/destino)
GerarelatrioHTML(maisadequadoparalaudos)
Relatriosumarizadoporprotocoloscapturados/identificados
Analisaarquivo.CAP(formatotcpdump)
CarvingemImagemdeTrfegodeRedes
Chaosreader
CarvingemImagemdeTrfegodeRedes
Chaosreader
FrameworkOpenSource
www.xplico.org
Memria
Dump (cpia de contedo de memria) e
anlise (com ferramentas apropriadas)
Mtodo manual
Recuperar evidncias
http://gmgsystemsinc.com/fau/
http://sourceforge.net/projects/memparser/
Fora de escopo :)
Carving Manual
http://code.google.com/p/volatility
Blog (alternativo):
http://www.forensicswiki.org/wiki/Volatility_Framework
Plugins:
http://www.forensicswiki.org/wiki/List_of_Volatility_Plugins
ExemplosdeparmetrosdisponveisnoVolatility:
Informaessobreosistemadaimagemanalisada:
$ volatility imageinfo -f {arquivo_dump}
Mdulos/bibliotecascarregados:
$ volatility modules -f {arquivo_dump}
Sockets(Ipseportascomdata/hora:
$ volatility sockets -f {arquivo_dump}
Processosativosc/data/hora:
$ volatility pslist -f {arquivo_dump}
Sadadoparmetropslist:
Sadadoparmetroconnscan:
kdbgscan
pslist
pstree
psscan
dlllist
dlldump
pedump
handles
getsids
cmdscan
consoles
procinfo
memmap
procexedump
vadinfo
vadwalk
vadtree
vaddump
evtlogs
modules
modscan
moddump
driverscan
filescan
mutantscan
symlinkscan
thrdscan
connections
connscan
sockets
sockscan
netscan
hivescan
hivelist
printkey
hivedump
hashdump
lsadump
userassist
shimcache
getservicesids
crashinfo
hibinfo
imagecopy
raw2dmp
malfind
yarascan
svcscan
ldrmodules
impscan
apihooks
idt
gdt
threads
callbacks
driverirp
devicetree
psxview
timers
WinPMEM
/usr/share/volatility-3.0-tp2/tools/windows/winpmem
Verso 1.1
Distribuices Especficas
Kits do Perito Forense :)
www.deftlinux.net
Distribuices Especficas
Kits do Perito Forense :)
www.kali.org
Consideraes Finais
Diversidade (e robustez) de softwares livres para computao
forense;
Perguntas
www.ricardokleber.com
Palestras:
www.ricardokleber.com/palestras
Vdeos:
www.ricardokleber.com/videos
Twitter:
www.twitter.com/ricardokleber