计 证 计 证 术 顾 术 发 问题 战 2

Transcription

1 OWASP AppSec Washington DC 2009 The OWASP Foundation 计 证 术 发 Sprite Guo ISFS Information Security Forenisc Society 资讯 证 联络 Copyright The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License.

2 计 证 计 证 术 顾 术 发 问题 战 2

3 简 Sprite Guo 电 电 证 20 务 计 员 计 证 术 执 长 CCFC 计 证 术 执 ISFS 资讯 鉴证 联络 HTCIA 调查协 亚 员 电 计 证专 员 员 华 术 发 总经 /CTO

4 证软 汉 训师 X-Ways Forensics 软 Oxygen Forensics Suite 证软 FinalData/FinalForensics 软 Elcomsoft 码 软 Passware Kit 码 Nuix Desktop 综 邮 + Belkasoft 时 讯 软 MacForensicsLab 证

5 团队简 团队 约 30 庆 华 术 发 龙 东软 术 庆 ewalker Sumuri LLC, 术团队 师, 计 证产 发 训 务

6 顾

7 计 证 由于涉及计算机和互联网的犯罪行为日益增长, 计算机法证技术引起了越来越多的执法部门 调查机构和研究机构的重视 美国 FBI 1984 年成立 Computer Analysis and Response Team (CART) 处理不断增多的电子数据案件

8 计 证 计 证 对获 电 证 进 发现 检验过 为证 过 计 拟 间 ( 络 ) 为 电 证 获 术 查 发现 删 隐 证

9 较 Computer forensics 计 证 调查 计 盘 储 质 获 Network forensics 络 证 调查针对 过 络 为 为 Data recovery 删 丢 东 9

10 较 Computer forensics 计 证 隐 删 证 证 Disaster recovery 难 计 证 术 户丢 构调查员经 组 团队 证 构计 络 10

11 计 证历 纪 70, 电 领 执 员 计 询问 问题 证 纪 80 PC 计 发 现 统 DOS 现 发 电脑 证 简单 执 11

12 计 证历 80 Xtree Gold 软 现 识 删 Norton DiskEdit Pctools 紧 现 为查 删 1987 Apple Mac SE 60 MB EasyDrive 盘 12

13 13

14 14

15 计 证 术发 历 90 诞 计 证 International Association of Computer Investigative Specialists (IACIS) 专 训 证 软 ExpertWitness for Mac 图 计 证软 删 ASR Data Andraw Roson 盘 给调查带 难 软 ilook, FTK 15

16 电子证据 : PC 计算机和服务器 Mac Server

17 电子证据 移动存储类 软盘 硬盘 光盘CD ROM / DVD 磁带 USB闪寸 内存卡 录音笔 数字录像机 ipod 等mp3 mp4播放器 游戏机

18 电 证 1 ios---ipad, iphone,ipod Touch 2 Windows Mobile 3 BlackBarry 4 塞班 5 安卓

19 电 证 1 手机 SIM 卡 2 手机内存数据 3 闪存卡

20 计 证 务 计 贮 现 业 运 标 论 调查 规 议 还 诉讼 结 处 调查 运营环 渐趋 杂 诈骗 钱 电 风险 计 证 务 寻 认 电 储 这 报 诚为 户 丝 茧 观 专业 务 议 北京市富华技术开发有限公司

21 间 务 证 务团队 经验 术 员 际 务 证 务 务 务 码 务 证 务 SIM 务 邮 务 务 销毁 务

22 务 : 语 电 证 务 计 证 电 证 还 过滤 识 电 证 过 识 预计 计 术 问题 协 盘问证 图 汇报结

23 业 构 务 : 为 发 实时 应 询 进 规 检讨 电 业 审查 电 说 电 证 鉴 调查怀 诈 动 渎职 滥 计 资 销毁电 记录 违规 为 码 识产 问题 专 证 见 译 码 删 电

24 取证 与 调查? 需要什么人? 具备什么条件? 需要哪些知识? 使用什么工具? 如何操作?

25 电 证 证 规 执 经验 电 证 实战 调查 员应 执 证证

26 美国 英国 澳大利亚等国均有 电子证据操作指南

27

28 电 证 调查 : 进 调查 访问计 统 储 质 资 许 IT 计 请 询专业计 证专 议 许 计 计 为 闭 态 计 为运 态 闭 过远 访问 络 电脑

29 结 环节 骤 问题 设备 结 对 鉴 IT 证调查 侦查 脑 劳动 发挥 脑

30 数据? 保存在哪里? 现有的文件删除的文件痕迹历史记录如何获取?

31 电 证 raw, dd 专 (e01, Smart, FinalForensics) AFF (Advanced Forensics Format ) 31

32 盘 镜 优 传输较 盘 读 错误 获 读 dd 镜 获 继续 盘 间 获 32

33 专 选择 压缩 镜 为 竞 E01, Smart 获 证 33

34 AFF Advanced Forensics Format Dr. Simson L. Garfinkel 设计 发 设计 压缩 压缩 证 盘 镜 为镜 镜 设计简单 扩 针对 统 设计 进 验 扩.afd.afm 34

35 选 获 获 态 态获 线获 对 盘 镜 对 盘 盘 逻辑 盘 盘 选 获 选 35

36 选 获 对 : 盘 镜 (disk-to-image) 时 备 对 盘 对 盘 X-Ways, FTK Imager, EnCase, SMART, ProDiscover,Sleuth Kit, ilook, OSI DD E01 统 36

37 选 获 对 : 盘 盘 (disk-to-disk) 获 镜 盘 软 盘, Winhex, CopyCatX 优 : 载镜 须 护设备 现 误 错误 37

38 硬盘 制机

39 第2 3代硬盘 制工具

40 国产硬盘取证工具

41 第4-5代 制机设备 高精度 高 速度 SOLO 4拷贝机 5-7GB/分钟 Dossir 6-7GB/分钟 TD1 拷贝机 6GB/分钟 Talon E 7GB/分钟 Quest 6-7GB/分钟 DC GB/分钟 HardCopy3 6-7GB/分钟 硬盘 速率 SSD 12-17/min SATA 4-7GB/min IDE 1.5BGB-3GB

42 2012年代表 Talon E代 >7GB/min Talon 综合取证箱

43 选 获 逻辑获 选择 获 盘 过 时间 实时 线 RAID 务 阵 PST OST 邮 单 间 ( 删 ) 逻辑获 获 进 费时间 43

44 选 获 进 获 时 虑 盘 损压缩 签 验 对 盘进 获 带备 盘 44

45 获 还 虑 问题 创 证 镜 电 证 镜 设备 时 盘 HPA (host protected area) 虑 盘 BIOS 级访问 盘 虑 盘 Windows Vista Ultimate Enterprise 盘 45

46 选 获 Windows 获 优 获 盘 热 设备 时 须 经过验证 专业 护 设备获 获 HPA 46

47 2011-Paladin--- 免费 1 可以安全启动嫌疑人计算机, 内置写保护功, 保证数据的原始性 2 可以启动各种新型号笔记本和台式计算机, 兼容性强 3 u 盘比光盘启动方式速度快 2-3 倍 ; 4 可对硬盘完整复制, 与原始硬盘数据完全一致 5 可制作 3 种符合国际标准的磁盘镜像文件, 包括 e01 格式,dd 格式和苹果 dmg 格式镜像文件 6 可同时制作 2 套完全一致或格式不同的镜像文件, 节省后期数据备份时间

48 WinFE 启动盘 ( 富华制作 免费 ) n 北京富华自主制作, 可通过光盘 /U 盘引导 实现对目标计算机的获取 支持对 X86 和苹果架构计算机的取证工作 n 预置多种取证工具, 可直接获取, 或通过网线获取, 兼容性高, 支持机型多, 在大规模取证方面有较大优势 n 配合移动硬盘, 高性能雷神移动工作站 (2TB 硬盘 ), 可高速获取多个嫌疑计算机硬盘 n 免费

49 发展方向 - 启动工具套装 但随着新型计算机硬件设备不断更新, 造成光盘启动方法出现了一定的困难 1 由于新型主板和数据总线的改变, 造成过去的启动光盘对很多新型号笔记本计算机无法支持, 光盘启动计算机后无法发现计算机内置硬盘, 因而无法实施拷贝 2 随着上网本的出现且不断普及, 很多上网本没有配备光盘驱动器, 而外置光盘驱动器的兼容性问题造成光盘启动困难, 目前很多上网本很难采用光盘启动 3 光盘启动速度慢, 有时需要 2-3 分钟 4 启动光盘多为免费产品, 缺少专业的取证和数据拷贝工具, 实际使用效果较低 5 基于 Win PE 的启动光盘缺少数据写保护功能, 操作过程中会造成嫌疑计算机的数据更改

50 Fulldata Window/Mac/Linux 启动套装 1 基于 WinFE / Linux Paladin/MacOS 2 支持完整数据获取 3 支持选择数据拷贝 4 支持网络连接获取 5 光盘 U 盘 硬盘结合 6 支持在线获取 7 多系统密码突破 (Windows/MacOS) 8 支持木马捆绑自动植入 9 32 位 /64 位

51 证

52 计 证 许 结 证 实现

53 获

54 验 MD5,SHA1,SHA256

55 计 值 创 纹 ( 盘 ),, 验值, 签, 纹 MD5 (Message Digest 5) 计 计 为 进 值 ( 值 ) 1 值发 变 ( 节 ) 值 变 难发现 2 MD5 值 难发现 MD5 值

56 转为 钥 为 计 值 q 录 码 为单 对 载 验 MD5 值 户 载 计 56

57 n 删除数据 n 格式化的磁盘 n 重新分区的磁盘 n 残留空间的数据

58 键词

59 过滤

60 审计 自动记录 数据获取数据分析文件拷贝

61 图 检测

62 语

63 电 邮 联络

64 动

65 查 电 邮 时 讯

66 包含记录操作窗口的分析日志

67 设备 1 数据分析工作站 2 数据分析软件 3 分析存储设备

68 雷神法证分析工作站 n 雷神数据分析工作站是针对计算机取证专家和数据分析需求而定制的高端数据分析工作站 内置硬盘只读锁 U 盘只读锁, 硬盘接口, 接口齐全, 功能全面 n Intel Core i7 四核处理器 n 12GB DDR3 内存 n 4TB 硬盘 n nvidia GeForce GPU 显卡

69 雷神移动取证分析工作站 雷神移动取证工作站专门针对取证调查员设计, 是目前市场上性能最强 存储容量最大的笔记本计算机 移动工作站采用最新英特尔 Core i7-930 处理器, 12GB DDR3 内存, 内置 3 个硬盘仓, 使笔记本计算机达到顶级容量 内置 4 个 USB2.0 接口 esata 接口 火线接口和 7 合 1 读卡器, 接口全面 充分满足了移动取证 分析 密码破解的需要

70 苹果法证分析工作站 n 针对苹果系统亦有专用取证分析工作站 n 充分利用苹果系统的优势 n 虚拟多系统 n 综合多种分析工具

71 密码破解技术 1 软件破解工具 2 彩虹表 雷表 3 GPU 破解服务器 机群

72 加密与解密 暴力破解 字典攻击 掩码攻击 彩虹表 / 雷表 分布式密码破解 GPU 加速

73 Elcomsoft 密码破解套装 ElcomSoft 公司是俄罗斯专业的密码破解公司, 其研制的口令破解软件已得到广泛的认可和奖项, 这些软件通过强大且不断改进的算法, 能够及时有效地破解各种类型数据文件的口令, 使执法部门及时得到与案件相关的数据

74 Elcomsoft 密码破解套装 Office, WordPerfect,Lotus RAR,ZIP,ACE,ARJ iphone,ipad, 黑莓手机加密备份文件 即时通讯软件 SQL Server WIFI PDF

75 Passware Kit 法证 Passware 公司是俄罗斯另外一家 版 非常优秀的密码破解公司, 其研 制的口令破解软件有其独特的优点 支持多有优化破解方式, 可智能扫描加密文件, 对于 BitLocker,RAR TrueCrypt 具有非常好的效果 破解文件类型达 180 种 与 Elcomsoft 软件配合使用, 优势 互补, 效果最佳

76 彩虹表与雷表 采用空间换时间方式, 利用预计算的表提高破解速度, 支持 Word, Excel, PDF, 文件破解速度可达 1 分钟 / 份 彩虹表对 office pdf 等加密文件解密能力强大 并可批量解密, 且操作简便 解密率 97% 雷表体积小, 解密率可达 100% 是最新的破解方法

77 雷神 GPU 密码破解服务器 国内率先推出的基于 GPU 的解密单机, 根据需要, 可内置 2-4 块 Nvidia C2050 C2070 GPU 运算卡 雷神 GPU 解密服务器具有强大的运算能力, 比单机提升几十至上百倍的解密能力

78 雷神 GPU 分布式密码破解机群 基于 GPU 的分布式解密机群, 每组机群拥有八台服务器, 内置 32 块 Nvidia C2050 GPU 运算卡 雷神 GPU 分布式解密服务器具有强大的 GPU 分布式运算能力, 通过专用解密算法大幅提升解密能力 支持对 NTLM 和 Windows 启动口令 MD5 哈希值 Microsoft Office 加密口令 PDF 口令 PGP 和 UNIX Oracle 用户口令 Wi-Fi 网络的 WPA 和 WPA2 加密算法的解密 破解速度比单机提升百倍以上

79 利用 1 组机群, 破解 office2007 速度可达到每秒 26 万次, 比单机解密速度提升 370 倍 ; 破解 RAR 可达 15 万次, 比单机解密速度提升 800 倍

80 总结

81 n 电子证据司法鉴定 计算机取证技术 围绕着高级犯 罪手段的不断变化而随之发展 n 一方面应该努力跟随国际发展步伐, 不断引入新技术为我所用 ; 同时要针对自身需求特点开发自主产权的设备和工具 n 国内主要应用机构更应加大建设, 引进 普及 创新