CAINE: доступные инструменты
Содержание:
1. Forensic LiveCD из Италии;
2.Доступные инструменты (Вы читаете данный раздел).
В главном меню CAINE 2.0 есть пункт «Forensic Tools» - его содержимое и интересует нас в первую очередь. Здесь вы обнаружите Autopsy 2.24 - графический интерфейс для набора утилит командной строки The Sleuth Kit, ориентированных на проведение криминалистического анализа файловых систем: ext2/ ext3, HFS+, UFS1/UFS2, FAT, NTFS; поддерживается работа с разделами (метки дисков BSD, слайсы Sun, DOS и разделы Mac). Осуществить проверку контрольной суммы (MD5 и SHA1) файлов поможет GtkHash 0.3.0. Восстановить данные с поврежденных оптических дисков - dvdisaster 0.72. Восстановить разделы и данные - TestDisk (утраченные разделы и загрузочные сектора) и PhotoRec (данные).
В арсенале есть и более специфические инструменты. Например, свободный инструмент под название ophcrack позволяет исследовать и взламывать LM- и NTLM-хэши, в виде которых в Windows хранятся пароли учетных записей. Другим интересным приложением является Caine Interface (значок для запуска представлен на рабочем столе). Эта программа позволяет сформировать итоговый отчет по результатам анализа, осуществив его вывод в форматах RTF или HTML на одном из шести языков (английский, испанский, итальянский, немецкий, португальский, французский). AIR (Automated Image & Restore; см. рис. ниже) представляет собой графическую надстройку к утилитам dd/dc3dd, ориентированную на создание образов IDE/SCSI-дисков, оптических носителей и ленточных устройств.
Интерфейс AIR 2.0.0
Примечание: утилита dd наверняка известна большинству пользователей, а dc3dd (http://dc3dd.sourceforge.net) - это пропатченная версия dd с добавлением таких возможностей, как сжатие/извлечение образов с помощью gzip/bzip2 и разделение образа на несколько частей.
Получить сведения о носителях информации (модель, емкость, файловая система и т.д.) позволяет Disk Utility. На работу с носителями информации ориентирован и MountManager, который позволяет монтировать образы и создавать общие каталоги (доступные через NFS и SMB/CIFS). Настроить точки монтирования устройств без редактирования /etc/fstab можно с помощью Storage Device Manager (PySDM). Программа Hard Disk Sentinel (HDSentinel) осуществляет поиск, тестирование, диагностику и определение проблем в работе HDD/SSD-носителей, отображение их состояния и производительности (на основе S.M.A.R.T.). Получить отчет об аппаратной части на основе информации из BIOS (в соответствии со стандартом SMBIOS/DMI: серийный номер BIOS, разъемы устройств, список портов ввода/вывода и т.д.) позволит утилита Dmidecode.
Некоторые появившиеся в CAINE 2.0 утилиты ориентированы на работу с образами. Например, получить информацию о файловой системе образа ISO позволит Fiwalk (среди дополнительных возможностей - отчет о MD5/SHA1 по каждому файлу). Bulk Extractor дает возможность осуществить сканирование образа с помощью регулярных выражений и извлечь из него необходимые файлы (команда bulk_extractor). Ряд других утилит позволяет решать более локальные задачи. Log2Timeline позволяет на основе разбора файла лога строить графики в виде временной шкалы (log2timeline). CDfs 2.6.27 - реализация файловой системы для Linux, позволяющая представить все треки и загрузочные образы на CD как обычные файлы, что бывает необходимо, например, для получения информации о предыдущих сессиях ISO. SQLJuicer выводит список CRUD-операций (INSERT, SELECT, UPDATE, DELETE) из лога транзакций SQL-сервера.
Скрипты Nautilus в CAINE 2.0
В CAINE 2.0 доступно большое количество скриптов для файлового менеджера Nautilus, разбитых по группам (см. рис. выше):
- Admin - например, скрипт «Показать переменные Nautilus», отображающий переменные файлового менеджера для выбранного файла;
- File Analysis - например, «Вычисление MD5» позволяет вычислить контрольную сумму MD5 для указанного файла (если он применяется к каталогу directory, то в текстовый файл с именем directory.md5 помещается информация о контрольных суммах все файлов каталога);
- Find Files - например, «Искать в содержимом»;
- Internet History Analysis - например, «Анализ истории Firefox» позволяет отобразить историю посещенных страниц (places.sqlite) и историю заполненных данных форм (formhistory.sqlite);
- iPod Analysis - например, «Вывод деталей о медиафайлах»;
- MS Windows Analysis - например, «Просмотр реестра».
Разработчикам CAINE удалось собрать в одном дистрибутиве большое количество специализированных инструментов (в том числе - собственной разработки), напрямую или косвенно позволяющих осуществлять те или иные виды forensic-анализа. Кроме того, операционная система CAINE 2.0 может быть использована в качестве исследовательского инструмента теми, кто хочет ознакомиться с данным направлением более подробно.
P.S. Кстати, если вам интересны проблемы Digital Forensic, рекомендую посетить сайт www.forensicswiki.org, на котором вы найдете большое количество полезных статей, описаний утилит и другой интересной информации на 680 страницах. Все материалы портала лицензированы под Creative Commons BY-SA 2.5.
Переехали в новую квартиру с неисправной проводкой и теперь просто технически не можете приступить к изучению дистрибутива CAINE? Тогда у Вас только один выход - найти опытного мастера, чья специализация, это выполнение электромонтажных работ (http://www.arkastroy.ru/electro/) быстро, качественно и по разумной цене! Свой поиск я рекомендую Вам начать с сайта www.arkastroy.ru.
1. Forensic LiveCD из Италии;
2.
В главном меню CAINE 2.0 есть пункт «Forensic Tools» - его содержимое и интересует нас в первую очередь. Здесь вы обнаружите Autopsy 2.24 - графический интерфейс для набора утилит командной строки The Sleuth Kit, ориентированных на проведение криминалистического анализа файловых систем: ext2/ ext3, HFS+, UFS1/UFS2, FAT, NTFS; поддерживается работа с разделами (метки дисков BSD, слайсы Sun, DOS и разделы Mac). Осуществить проверку контрольной суммы (MD5 и SHA1) файлов поможет GtkHash 0.3.0. Восстановить данные с поврежденных оптических дисков - dvdisaster 0.72. Восстановить разделы и данные - TestDisk (утраченные разделы и загрузочные сектора) и PhotoRec (данные).
В арсенале есть и более специфические инструменты. Например, свободный инструмент под название ophcrack позволяет исследовать и взламывать LM- и NTLM-хэши, в виде которых в Windows хранятся пароли учетных записей. Другим интересным приложением является Caine Interface (значок для запуска представлен на рабочем столе). Эта программа позволяет сформировать итоговый отчет по результатам анализа, осуществив его вывод в форматах RTF или HTML на одном из шести языков (английский, испанский, итальянский, немецкий, португальский, французский). AIR (Automated Image & Restore; см. рис. ниже) представляет собой графическую надстройку к утилитам dd/dc3dd, ориентированную на создание образов IDE/SCSI-дисков, оптических носителей и ленточных устройств.
Интерфейс AIR 2.0.0
Примечание: утилита dd наверняка известна большинству пользователей, а dc3dd (http://dc3dd.sourceforge.net) - это пропатченная версия dd с добавлением таких возможностей, как сжатие/извлечение образов с помощью gzip/bzip2 и разделение образа на несколько частей.
Получить сведения о носителях информации (модель, емкость, файловая система и т.д.) позволяет Disk Utility. На работу с носителями информации ориентирован и MountManager, который позволяет монтировать образы и создавать общие каталоги (доступные через NFS и SMB/CIFS). Настроить точки монтирования устройств без редактирования /etc/fstab можно с помощью Storage Device Manager (PySDM). Программа Hard Disk Sentinel (HDSentinel) осуществляет поиск, тестирование, диагностику и определение проблем в работе HDD/SSD-носителей, отображение их состояния и производительности (на основе S.M.A.R.T.). Получить отчет об аппаратной части на основе информации из BIOS (в соответствии со стандартом SMBIOS/DMI: серийный номер BIOS, разъемы устройств, список портов ввода/вывода и т.д.) позволит утилита Dmidecode.
Некоторые появившиеся в CAINE 2.0 утилиты ориентированы на работу с образами. Например, получить информацию о файловой системе образа ISO позволит Fiwalk (среди дополнительных возможностей - отчет о MD5/SHA1 по каждому файлу). Bulk Extractor дает возможность осуществить сканирование образа с помощью регулярных выражений и извлечь из него необходимые файлы (команда bulk_extractor). Ряд других утилит позволяет решать более локальные задачи. Log2Timeline позволяет на основе разбора файла лога строить графики в виде временной шкалы (log2timeline). CDfs 2.6.27 - реализация файловой системы для Linux, позволяющая представить все треки и загрузочные образы на CD как обычные файлы, что бывает необходимо, например, для получения информации о предыдущих сессиях ISO. SQLJuicer выводит список CRUD-операций (INSERT, SELECT, UPDATE, DELETE) из лога транзакций SQL-сервера.
Скрипты Nautilus в CAINE 2.0
В CAINE 2.0 доступно большое количество скриптов для файлового менеджера Nautilus, разбитых по группам (см. рис. выше):
- Admin - например, скрипт «Показать переменные Nautilus», отображающий переменные файлового менеджера для выбранного файла;
- File Analysis - например, «Вычисление MD5» позволяет вычислить контрольную сумму MD5 для указанного файла (если он применяется к каталогу directory, то в текстовый файл с именем directory.md5 помещается информация о контрольных суммах все файлов каталога);
- Find Files - например, «Искать в содержимом»;
- Internet History Analysis - например, «Анализ истории Firefox» позволяет отобразить историю посещенных страниц (places.sqlite) и историю заполненных данных форм (formhistory.sqlite);
- iPod Analysis - например, «Вывод деталей о медиафайлах»;
- MS Windows Analysis - например, «Просмотр реестра».
Заключение
Разработчикам CAINE удалось собрать в одном дистрибутиве большое количество специализированных инструментов (в том числе - собственной разработки), напрямую или косвенно позволяющих осуществлять те или иные виды forensic-анализа. Кроме того, операционная система CAINE 2.0 может быть использована в качестве исследовательского инструмента теми, кто хочет ознакомиться с данным направлением более подробно.
P.S. Кстати, если вам интересны проблемы Digital Forensic, рекомендую посетить сайт www.forensicswiki.org, на котором вы найдете большое количество полезных статей, описаний утилит и другой интересной информации на 680 страницах. Все материалы портала лицензированы под Creative Commons BY-SA 2.5.
Переехали в новую квартиру с неисправной проводкой и теперь просто технически не можете приступить к изучению дистрибутива CAINE? Тогда у Вас только один выход - найти опытного мастера, чья специализация, это выполнение электромонтажных работ (http://www.arkastroy.ru/electro/) быстро, качественно и по разумной цене! Свой поиск я рекомендую Вам начать с сайта www.arkastroy.ru.
