Alat Respons Insiden: FTK untuk Linux

NB: Ingatlah untuk tidak pertukaran sumber dan tujuan, atau Anda akan merusak bukti.

Ringkasan:

FTK (Forensik Toolkit) adalah perangkat lunak forensik komputer yang dibuat oleh AccessData. Ini memungkinkan para profesional TI untuk memulihkan, menyalin, dan melestarikan bukti digital sebagai bagian dari rencana respons insiden. Versi gratis FTK untuk Linux cukup untuk pemula di bidang forensik. FTK dapat memindai hard drive, membuat salinan dalam berbagai format, dan mengurai sistem file yang berbeda. Ini juga memiliki fitur seperti pemindaian email, pencarian string teks, dan ukiran data manual. Versi berbayar FTK menyediakan antarmuka pengguna grafis untuk semua alat forensik yang tersedia dengan FTK. Namun, profesional Linux dapat mencapai hasil yang serupa dengan menggunakan versi gratis FTK atau alat open-source.

Poin -Poin Kunci:

1. Instalasi FTK Imager di Kali Linux:

FTK Imager bukan asli Kali Linux, jadi perlu dipasang secara terpisah. Untuk menginstalnya, sambungkan ke Internet dan unduh FTK Imager dari situs web AccessData. Ekstrak file tar yang diunduh menggunakan terminal.

2. Kompatibilitas FTK dengan Linux:

Versi lengkap FTK, termasuk semua alat forensik, bekerja dengan Linux tetapi memerlukan lisensi berbayar. Versi gratis FTK untuk Linux sudah cukup untuk pekerjaan forensik dasar.

3. Menggunakan FTK Imager di Linux:

FTK Imager dapat digunakan pada sistem Linux dengan mengunduhnya dari situs web AccessData. File yang diunduh biasanya ditempatkan di folder unduhan secara default.

4. Mendapatkan FTK Imager di Windows:

Untuk mendapatkan FTK Imager di Windows, kunjungi situs web AccessData dan unduh versi yang sesuai untuk Windows. Proses instalasi dapat bervariasi tergantung pada sistem operasi.

5. Perbedaan antara FTK dan FTK Imager:

FTK adalah perangkat lunak forensik komputer yang komprehensif, sedangkan FTK Imager adalah komponen FTK yang berfokus pada pencitraan dan menyalin hard drive. FTK Imager dapat digunakan tanpa batas waktu tetapi membutuhkan lisensi.

6. FTK Imager di Mac:

FTK Imager tersedia untuk Mac, dan mendukung perintah “D” inbuilt dan opsi untuk menginstal alat lain seperti Ewftools atau DC3DD.

7. FTK Imager untuk Linux Unduh:

Untuk mengunduh FTK Imager untuk Linux, kunjungi situs web AccessData dan ikuti tautan unduhan yang disediakan. File yang diunduh akan disimpan di folder unduhan.

8. DD di Kali Linux:

Kali Linux memiliki perintah “DD” untuk forensik digital. Ini dapat digunakan untuk berbagai operasi di jalur perangkat tertentu.

9. Ketersediaan FTK Imager:

FTK Imager tersedia secara gratis, dan memungkinkan pembuatan gambar forensik dan rekonstruksi file tersegmentasi dari gambar disk.

10. Menggunakan FTK Imager untuk reproduksi forensik:

FTK Imager dapat digunakan untuk membuat bukti forensik alternatif ketika bukti asli diubah. Itu dapat mereplikasi file slack, ruang yang tidak dialokasikan, dan drive ruang kosong.

Pertanyaan:

1. Dapatkah FTK Imager diinstal di Kali Linux?

Ya, FTK Imager dapat diinstal di Kali Linux dengan mengunduhnya dari situs web AccessData dan mengekstraksi file tar yang diunduh.

2. Apakah FTK bekerja dengan Linux?

Versi lengkap FTK bekerja dengan Linux, tetapi membutuhkan lisensi berbayar. Versi gratis FTK untuk Linux juga tersedia, yang cukup untuk pekerjaan forensik dasar.

3. Bagaimana FTK Imager dapat diunduh di Linux?

Untuk mengunduh FTK Imager di Linux, kunjungi situs web AccessData dan ikuti tautan unduhan yang disediakan. File yang diunduh akan disimpan di folder unduhan.

4. Bagaimana FTK Imager dapat diperoleh di Windows?

Untuk mendapatkan FTK Imager di Windows, kunjungi situs web AccessData dan unduh versi yang sesuai untuk Windows. Proses instalasi dapat bervariasi tergantung pada sistem operasi.

5. Apa perbedaan antara FTK dan FTK Imager?

FTK adalah perangkat lunak forensik komputer yang komprehensif, sedangkan FTK Imager adalah komponen FTK yang berfokus pada pencitraan dan menyalin hard drive. FTK Imager dapat digunakan tanpa batas waktu tetapi membutuhkan lisensi.

6. Apakah FTK Imager tersedia untuk Mac?

Ya, FTK Imager tersedia untuk Mac, dan mendukung perintah “D” inbuilt dan opsi untuk menginstal alat lain seperti Ewftools atau DC3DD.

7. Di mana imager ftk dapat diunduh untuk linux?

FTK Imager dapat diunduh untuk Linux dari situs web AccessData. File yang diunduh biasanya disimpan di folder unduhan.

8. Apakah Kali Linux memiliki perintah “DD”?

Ya, Kali Linux memiliki perintah “DD”, yang digunakan untuk operasi forensik digital.

9. Adalah ftk imager gratis?

Ya, FTK Imager tersedia secara gratis. Ini memungkinkan pembuatan gambar forensik dan rekonstruksi file tersegmentasi dari gambar disk.

10. Kapan FTK Imager harus digunakan?

FTK Imager harus digunakan ketika ada kebutuhan untuk membuat bukti forensik alternatif atau mereproduksi bukti yang telah diubah. Itu dapat mereplikasi file slack, ruang yang tidak dialokasikan, dan drive ruang kosong.

11. Database apa yang dapat digunakan FTK?

FTK dapat menggunakan mesin pemrosesan terdistribusi (DPE), dan disarankan untuk menginstal pemrosesan terdistribusi sebelum menggunakan FTK dengan AWS RDS (Amazon Web Services ‘Relational Database Services).

12. Untuk apa FTK digunakan?

FTK adalah perangkat lunak forensik komputer yang digunakan untuk mengumpulkan berbagai jenis data dari hard drive. Ini dapat digunakan untuk mencegat email, mencari email yang dihapus, dan memindai disk untuk string teks tertentu.

13. Mengapa FTK Imager Lebih Disukai daripada Encase Imager di Linux?

FTK Imager lebih disukai daripada encase imager di Linux karena faktor -faktor seperti jejak RAM yang lebih kecil, kemampuan untuk memasang gambar, mempratinjau sebagian besar file, mendeteksi enkripsi EFS, dan dukungan untuk lebih banyak format gambar.

14. Can Linux Professional mencapai hasil yang sama dengan alat open-source?

Ya, profesional Linux dapat mencapai hasil yang serupa dengan menggunakan versi gratis FTK atau alat forensik open-source lainnya yang tersedia untuk Linux.

15. Mengapa versi gratis FTK untuk Linux cukup untuk pemula dalam forensik?

Versi gratis FTK untuk Linux menyediakan fitur -fitur penting seperti pemindaian hard drive, menyalin, dan parsing berbagai sistem file. Ini memungkinkan pemula untuk memulai forensik tanpa perlu versi berbayar.

Alat Respons Insiden: FTK untuk Linux

NB: Ingatlah untuk tidak pertukaran sumber dan tujuan, atau Anda akan merusak bukti.

Cara menggunakan ftk imager di kali linux?

Plugin FTK Imager ISN’t asli dari Kali, jadi kami harus menginstalnya. Klik pada bilah tugas di sebelah jam di desktop Live Kali (di sudut kanan atas) untuk terhubung ke internet.

Apakah FTK bekerja dengan Linux?

Dengan versi lengkap FTK, semua alat forensik yang terkait dengan FTK dikemas ke dalam satu antarmuka pengguna grafis, menyimpan data pada analisis. Kemampuan untuk bekerja dengan profesional keamanan Linux di forensik mengharuskan Anda menggunakan versi berbayar FTK atau Encase.

Dapatkah Anda menggunakan ftk imager di linux?

Langkah selanjutnya adalah mengunduh FTK Imager untuk Linux (http: // accessData. FTK Imager untuk Linux dapat diunduh dari situs ini. com/download produk), untuk “Versi baris perintah dari versi baris perintah FTK”. Unduhan FTK secara otomatis berada di bagian unduhan secara default. Tar perlu diekstraksi dari terminal Anda.

Bagaimana cara mendapatkan ftk imager di windows?

Apa perbedaan antara FTK dan FTK Imager?

FTK Imager dapat digunakan tanpa batas waktu, tetapi hanya dengan lisensi. Tidak seperti alat pengeditan gambar lainnya, FTK hanya berfungsi untuk periode yang sangat terbatas. Akses data juga menjual versi demo.

Apakah ftk imager bekerja pada mac?

Sebaliknya, FTK Imager adalah untuk sistem langsung dengan versi Mac – ya, versi Mac berisi perintah inbuilt d tetapi akan selalu memiliki perintah dd, atau Anda dapat menginstal ewftools atau dc3dd.

Adalah ftk imager di linux?

Anda perlu mengunduh ftk imager untuk linux pertama (http: // accessdata.UKK.com). Kemudian ketik http: // www.ftk.com/download produk dan klik “Versi baris perintah”. FTK yang diunduh ditempatkan di folder unduhan secara default.

Apakah Kali memiliki DD?

Di Kali Linux, kami memiliki INDD jika dijalankan oleh FOF $/Dev/SDA2 C/SDB2 Tidak Ada Kesalahan INDCFLDD (pada dasarnya, forensik digital).

Adalah ftk imager gratis?

Menggunakan FTK Imager, satu file dapat berisi gambar atau kumpulan segmen terorganisir nantinya dapat direkonstruksi dari gambar disk.

Kapan saya harus menggunakan ftk imager?

Jika bagian asli dari bukti forensik diubah, alternatif dapat dibuat ke FTK Imager untuk reproduksi forensik. Sebagai bagian dari gambar forensik, file slack dan ruang yang tidak dialokasikan sepenuhnya identik, serta ruang bebas drive, yang juga digandakan.

Database apa yang dapat digunakan FTK?

Mesin pemrosesan terdistribusi (DPE) didukung oleh FTK. Mengikuti panduan instalasi, disarankan agar Anda menginstal pemrosesan terdistribusi sebelum melamar menggunakan Layanan Web Amazon’ Layanan Database Relasional (AWS RDS).

Untuk apa FTK digunakan?

Produk RCE Toolkit, atau FTK, adalah perangkat lunak forensik komputer yang dibuat oleh AccessData. Berbagai data dikumpulkan dari hard drive melalui proses ini. Untuk mencegat email melalui kamus kata sandi, ia dapat menggunakan data untuk mencari email yang dihapus serta pemindaian disk untuk string teks sebagai kamus kata sandi.

Alat Respons Insiden: FTK untuk Linux

Respons insiden adalah komponen penting dari tim dan rencana keamanan TI. Dalam rencana respons insiden, forensik harus memainkan peran penting untuk memulihkan, menyalin, dan menjaga bukti digital. Posting blog ini menjelaskan mengapa versi gratis FTK untuk Linux cukup untuk para profesional TI yang ingin memulai dalam karir forensik.

Apa yang dilakukan FTK gratis untuk Linux?

FTK memindai hard drive, dapat membuat salinan hard drive, dan menyimpannya dalam beberapa format, termasuk format mentah. FTK memiliki kemampuan untuk menguraikan sejumlah sistem file, pemindaian untuk email, string teks, dan info lainnya. Toolkit ini memungkinkan Anda untuk menjalankan analisis yang cepat dan akurat untuk pemrosesan, pengindeksan, pencarian, dan penyaringan data untuk mengidentifikasi bukti yang penting dalam pelanggaran data. Anda juga memiliki kemampuan untuk melakukan ukiran data manual dengan FTK, yang tidak dimungkinkan dengan alat serupa seperti TestDisk.

Secara keseluruhan, perangkat perangkat lunak FTK memungkinkan respons insiden dan profesional forensik untuk bekerja di seluruh set data besar pada beberapa jenis perangkat, data jaringan, hard drive, dan penyimpanan internet. Versi berbayar dari grup FTK bersama -sama semua alat forensik yang tersedia dengan FTK menjadi satu antarmuka GUI yang ramah. Namun, jika Anda menyebut diri Anda seorang profesional keamanan Linux yang cakap, maka Anda menang’t membutuhkan versi ftk atau encase yang dibayar untuk pekerjaan forensik.

Mengapa FTK Imager Lebih Baik Untuk Anda daripada Encase Imager di Linux?

Brett Muir menulis posting blog yang bagus “Encase Imager vs. FTK Imager“, di mana dia menyimpulkan bahwa dia masih akan beralih ke FTK Imager Over Encase karena beberapa alasan. Kesimpulannya termasuk fakta bahwa FTK Imager memiliki jejak kaki yang lebih kecil di RAM, dapat memasang gambar, mempratinjau sebagian besar file, mendeteksi enkripsi EFS, dan mendukung lebih banyak format gambar. Analisisnya memberikan dukungan lebih lanjut untuk menggunakan FTK Imager Over Encase karena keunggulan kinerja yang disebutkan di atas.

Blogger Josh Lowery’opini, dalam posting blog berjudul “Menginstal FTK Imager Lite di baris perintah Linux“, setuju dengan Muir’s tampilan juga. Analis forensik komputer yang berbasis di NYC, mengatakan dia lebih suka FTK karena itu a “cara ringan, cepat, dan efisien untuk mengekstrak gambar dari drive tersangka Anda.”

Sistem Linux berisi atau memiliki kemampuan untuk menginstal sebagian besar alat forensik secara gratis. Ya, Anda dapat memilih GUI GUI yang ramah, all-inclusive berbayar atau Encase Imager Suite, tetapi jika Anda akrab bekerja dengan sistem Linux dan tetap berpegang pada alat sumber terbuka, maka Anda’LL baik memilih FTK Imager (unduhan gratis) untuk menyalin data, mengindeksnya, mencari, dan kemampuan ukirannya. Terus Anda’ll pelajari tentang alat gratis seperti xxd untuk dump hex, gdb untuk debugging, kit detektif dengan alat forensik lainnya.

FTK, ENCASE, dan alat lainnya dibahas dalam kursus respons insiden kami.

Perkenalan

Mengenakan’t stres! Anda dapat menggunakan alat open-source untuk mencapai tujuan Anda. Dalam tutorial ini, kami akan mengeksplorasi penggunaan AccessData’s ftk imager berjalan di kali live.

NB: Saya berasumsi bahwa Anda memiliki beberapa dasar di Linux.

Inilah alasan saya menggunakan keduanya:
1. Kali Live memiliki ‘Mode forensik’ – Manfaatnya:
* Kali Live tidak merusak; itu tidak membuat perubahan pada disk.
* ‘Mode forensik’ Melarang pemasangan otomatis drive.
2. FTK Imager mudah digunakan.

Membiarkan’s menyelam tepat.

Langkah 0: Buat disk

Anda dapat mengunduh Kali Live dari sini. Setelah Anda mendownloadnya, Anda dapat menggunakan Rufus untuk membuat disk langsung Kali yang akan Anda boot. Terapkan pengaturan yang ditunjukkan di bawah ini:
* Perangkat: Ini adalah drive yang akan Anda gunakan untuk membuat disk langsung. (Saya sarankan Anda menggunakan flash drive.)
* Pilihan Boot: Gunakan gambar Kali Live yang Anda unduh.
* Skema partisi: MBR atau GPT.
Anda dapat meninggalkan sisa opsi.

Setelah mengklik ‘Awal’ Di bagian bawah jendela ini, jika Anda diminta untuk memilih antara iso Dan DD (Di jendela berikutnya), pilih DD. Memilih iso dapat menyebabkan perangkat lunak antivirus Anda mendeteksi dan memblokir beberapa modul jahat (tetapi bermanfaat) asli di Kali Linux, dan dengan demikian merusak disk tersebut.

DD Namun akan mengubah format drive Anda. Untuk mengembalikan format normal (FAT32 atau NTFS), lihat artikel ini.

Langkah 1: Ubah Pengaturan BIOS

Langkah ini penting karena beberapa PC menang’t mengizinkan Anda boot dari disk langsung.

Menu BIOS bervariasi dengan perangkat. Misalnya, untuk mengaksesnya di sebagian besar PC HP, tekan F10 segera setelah Anda menyalakan mesin Anda; Untuk sebagian besar PC Lenovo, tekan F2. Anda dapat mengkonfirmasi apa yang berhasil untuk Anda dengan pencarian Google.

Ini adalah pengaturan yang harus diwaspadai:
1. Secure Boot: Nonaktifkan.
2. UEFI/Legacy Boot: Jika memungkinkan, memiliki kedua opsi di. Ini dipatok pada preferensi Anda. Untuk UEFI, pastikan dukungan CSM menyala untuk memungkinkan boot dari disk dengan skema partisi MBR; lain, gunakan GPT (bukan MBR) saat membuat disk Anda. Legacy Boot mendukung skema partisi MBR.

Setelah mengubah pengaturan, simpan perubahan dan keluar. Ingatlah untuk mengembalikan pengaturan asli setelah Anda menyelesaikan proses pencitraan.

NB: Pengaturan BIOS disimpan pada memori flash, oleh karena itu mengubah pengaturan BIOS tidak akan merusak bukti.

Langkah 2: Boot Up

Langkah selanjutnya adalah boot dari disk. Untuk melakukannya, Anda perlu mengonfirmasi kunci fungsi spesifik yang digunakan untuk mengakses menu boot. Segera setelah Anda menyalakan perangkat, tekan tombol fungsi untuk mengakses menu boot (HP: F9, Lenovo: F12).

Setelah memilih disk untuk boot, Anda akan melihat jendela ini. Klik ‘Hidup (mode forensik)’:

Setelah proses boot-up selesai, Anda sekarang akan mengakses desktop.

Langkah 3: Proses Pencitraan

Hal pertama yang pertama, buat diri Anda root untuk menghindari lupa sudo Saat Anda mengetikkan perintah Anda. Perintah: sudo su .

FTK Imager bukan alat asli di suite kali, oleh karena itu kita perlu mengunduhnya. Hubungkan PC Anda ke Internet dengan mengklik ikon Taskbar di sebelah jam (di sudut kanan atas desktop Live Kali). Untuk mengonfirmasi bahwa PC Anda terhubung, buka terminal (dengan mengklik ikon keempat di sudut kiri atas) dan jalankan perintah ping -c 5 google.com . Anda harus mendapatkan hasil yang terlihat seperti ini: Balas dari 172.217.170.174: bytes = 32 waktu = 12ms ttl = 57 .

Ini adalah tautan untuk mengunduh versi FTK Imager, CLI (Command-Line Interface). Perintah: wget https: // ad-zip.S3.Amazonaws.com/ftkimager.3.1.1_ubuntu64.ter.GZ .

Ekstrak isi file terkompresi menggunakan perintah tar -zxvf [compressed_file] .

Selanjutnya, hubungkan drive tujuan Anda ke PC. Di sinilah Anda akan menyimpan gambar forensik Anda. Di desktop Kali Live, buka terminal (ikon keempat di sudut kiri atas). Gunakan perintah fdisk -l untuk mengembalikan daftar disk yang tersedia.

Penting untuk dicatat dua disk: disk PC dan hard drive eksternal terhubung. Disk PC akan berfungsi sebagai sumber dan disk eksternal sebagai tujuan. Dalam kasus saya, disk PC adalah /dev /nvme0n1 dan disk eksternal /dev /sda .

Drive tujuan tidak dapat digunakan, saya.e., /dev/sda tidak bisa ditulis. Kita perlu memasangnya ke direktori lokal. Pertama, buat direktori menggunakan perintah mkdir [directory_path], e.G., mkdir /mnt /destdrive . Kemudian pasang disk Anda ke direktori Anda’ve dibuat menggunakan perintah command . Dalam kasus saya, mount /dev /sda1 /mnt /destdrive . Kami telah menggunakan /dev /sda1 bukan /dev /sda sejak kami’D hanya tertarik pada partisi di dalam disk.

Selanjutnya, kami menjalankan ftk imager untuk gambar disk PC. Sintaksnya adalah sebagai berikut: ./ftkimager [sumber] [tujuan] [opsi] . Ada beberapa opsi yang dapat Anda gunakan untuk pencitraan Anda. Untuk memeriksanya, jalankan perintah ./ftkimager tanpa parameter. Misalnya, untuk membuat gambar encase dengan ‘terbaik’ Kompresi, di sini’S Perintah: ./ftkimager/dev/nvme0n1/mnt/destdrive/jdoepc –e01 –compress 9–case-number “co-x-for-hdd-001”–BUMBUMENT “HDD-001”–deskripsi “John Doe’s PC”-examiner “f” hdd-001 “-deskripsi” John doe’s pc “-examininer” f “f hdd-001”. Rodriguez “–verifikasi . Seperti yang mungkin Anda perhatikan, kami menentukan direktori di tujuan. –Kasus-Number, –bumbe-Number, –Description dan –Saminer adalah metadata yang harus ditentukan untuk tujuan pelaporan. –Verifikasi penting untuk tujuan integritas, saya.e., bahwa tidak ada perubahan antara disk dan gambar.

NB: Ingatlah untuk tidak pertukaran sumber dan tujuan, atau Anda akan merusak bukti.

Itu dia, Anda memiliki gambar Anda. Beberapa langkah lagi, dan Anda’akan benar -benar selesai. Anda harus dengan aman melepas drive tujuan. Untuk melakukannya, gunakan perintah Umount [mount_directory] . Anda sekarang dapat mematikan PC menggunakan init 0 . Ingatlah untuk mengubah pengaturan BIOS kembali ke apa adanya.

Untuk memeriksa apakah gambar tidak rusak, Anda dapat menggunakan versi ftk imager gui (antarmuka pengguna grafis). Pada PC Windows dengan FTK Imager diinstal, sambungkan hard drive eksternal dan tambahkan gambar sebagai item bukti. Gunakan pohon di sisi kiri jendela untuk menavigasi melalui isi gambar. Jika Anda mendapatkan kesalahan ‘Sistem file yang tidak dikenal [Data]’ Pada partisi data, Anda mungkin harus mengulangi proses menggunakan metode yang berbeda. Saya sarankan melakukan salinan disk menggunakan CD Boot Hirens.

Kesimpulan

Kami telah melalui proses pencitraan disk menggunakan FTK Imager dan Kali Live. Ingat, tujuannya adalah untuk mempertahankan integritas bukti.

Anda juga dapat menggunakan Os Parrot sebagai pengganti Kali Live.

Saya harap Anda menikmati artikel ini!