Strumenti di risposta agli incidenti: FTK per Linux

NB: Ricorda di non scambiare l’origine e la destinazione, altrimenti corromperai le prove.

Riepilogo:

FTK (Forensic Toolkit) è un software forense per computer creato da AccessData. Consente ai professionisti IT di recuperare, copiare e preservare le prove digitali come parte di un piano di risposta agli incidenti. La versione gratuita di FTK per Linux è sufficiente per i principianti nel campo della forense. FTK può scansionare i dischi rigidi, fare copie in vari formati e analizzare diversi filesystems. Ha anche funzionalità come scansione e -mail, ricerca di stringhe di testo e scultura dei dati manuali. La versione a pagamento di FTK fornisce un’interfaccia utente grafica per tutti gli strumenti forensi disponibili con FTK. Tuttavia, i professionisti Linux possono ottenere risultati simili utilizzando la versione gratuita di FTK o strumenti open source.

Punti chiave:

1. Installazione di FTK Imager in Kali Linux:

FTK Imager non è originario di Kali Linux, quindi deve essere installato separatamente. Per installarlo, connettiti a Internet e scarica FTK Imager dal sito Web AccessData. Estrai il file TAR scaricato utilizzando il terminale.

2. Compatibilità FTK con Linux:

La versione completa di FTK, inclusi tutti gli strumenti forensi, funziona con Linux ma richiede una licenza a pagamento. La versione gratuita di FTK per Linux è sufficiente per il lavoro forense di base.

3. Usando FTK Imager su Linux:

FTK Imager può essere utilizzato sui sistemi Linux scaricandolo dal sito Web AccessData. Il file scaricato viene generalmente inserito nella cartella Download per impostazione predefinita.

4. Ottenere FTK Imager su Windows:

Per ottenere FTK Imager su Windows, visitare il sito Web AccessData e scaricare la versione appropriata per Windows. Il processo di installazione può variare a seconda del sistema operativo.

5. Differenza tra FTK e FTK Imager:

FTK è un software forense per computer completo, mentre FTK Imager è un componente di FTK che si concentra sull’imaging e sulla copia dei dischi rigidi. FTK Imager può essere usato indefinitamente ma richiede una licenza.

6. FTK Imager su Mac:

FTK Imager è disponibile per Mac e supporta sia il comando “D” integrato che l’opzione per installare altri strumenti come EWFTools o DC3DD.

7. FTK Imager per Linux Download:

Per scaricare FTK Imager per Linux, visitare il sito Web AccessData e seguire il link a download fornito. Il file scaricato verrà salvato nella cartella download.

8. DD in Kali Linux:

Kali Linux ha il comando “DD” per la forense digitale. Può essere utilizzato per varie operazioni su percorsi specifici del dispositivo.

9. Disponibilità di FTK Imager:

FTK Imager è disponibile gratuitamente e consente la creazione di immagini forensi e la ricostruzione di file segmentati dalle immagini del disco.

10. Utilizzando FTK Imager per la riproduzione forense:

FTK Imager può essere utilizzato per creare prove forensi alternative quando le prove originali vengono modificate. Può replicare il gioco di file, spazio non allocato e guidare lo spazio libero.

Domande:

1. Può essere installato FTK Imager su Kali Linux?

Sì, FTK Imager può essere installato su Kali Linux scaricandolo dal sito Web AccessData ed estraendo il file TAR scaricato.

2. FTK funziona con Linux?

La versione completa di FTK funziona con Linux, ma richiede una licenza a pagamento. È disponibile anche la versione gratuita di FTK per Linux, che è sufficiente per il lavoro forense di base.

3. Come può essere scaricato FTK Imager su Linux?

Per scaricare FTK Imager su Linux, visitare il sito Web AccessData e seguire il link a download fornito. Il file scaricato verrà salvato nella cartella download.

4. Come si può ottenere FTK Imager su Windows?

Per ottenere FTK Imager su Windows, visitare il sito Web AccessData e scaricare la versione appropriata per Windows. Il processo di installazione può variare a seconda del sistema operativo.

5. Qual è la differenza tra FTK e FTK Imager?

FTK è un software forense per computer completo, mentre FTK Imager è un componente di FTK che si concentra sull’imaging e sulla copia dei dischi rigidi. FTK Imager può essere usato indefinitamente ma richiede una licenza.

6. È disponibile FTK Imager per Mac?

Sì, FTK Imager è disponibile per Mac e supporta sia il comando “D” integrato che l’opzione per installare altri strumenti come EWFTools o DC3DD.

7. Dove può essere scaricato FTK Imager per Linux?

FTK Imager può essere scaricato per Linux dal sito Web AccessData. Il file scaricato viene generalmente salvato nella cartella download.

8. Kali Linux ha il comando “DD”?

Sì, Kali Linux ha il comando “DD”, utilizzato per le operazioni forensi digitali.

9. È FTK Imager gratuito?

Sì, FTK Imager è disponibile gratuitamente. Consente la creazione di immagini forensi e la ricostruzione di file segmentati dalle immagini del disco.

10. Quando dovrebbe essere utilizzato FTK Imager?

FTK Imager dovrebbe essere usato quando è necessario creare prove forensi alternative o riprodurre prove che sono state modificate. Può replicare il gioco di file, spazio non allocato e guidare lo spazio libero.

11. Quale database può utilizzare FTK?

FTK può utilizzare un motore di elaborazione distribuito (DPE) ed è consigliabile installare l’elaborazione distribuita prima di utilizzare FTK con AWS RDS (Servizi di database relazionale di Amazon Web Services).

12. A cosa è usato FTK?

FTK è un software forense al computer utilizzato per raccogliere vari tipi di dati da dischi rigidi. Può essere utilizzato per l’intercettazione di e -mail, la ricerca di e -mail eliminate e la scansione di dischi per stringhe di testo specifiche.

13. Perché FTK Imager è preferito su Encase Imager su Linux?

FTK Imager è preferito su Encase Imager su Linux a causa di fattori come la sua piccola impronta di RAM, la capacità di montare immagini, l’anteprima della maggior parte dei file, rilevare la crittografia EFS e il supporto per più formati di immagini.

14. I professionisti Linux possono ottenere risultati simili con strumenti open source?

Sì, i professionisti Linux possono ottenere risultati simili utilizzando la versione gratuita di FTK o altri strumenti forensi open source disponibili per Linux.

15. Perché la versione gratuita di FTK per Linux è sufficiente per i principianti in forense?

La versione gratuita di FTK per Linux fornisce funzionalità essenziali come la scansione del disco rigido, la copia e l’analisi di vari filesystem. Permette ai principianti di iniziare in forense senza la necessità di una versione a pagamento.

Strumenti di risposta agli incidenti: FTK per Linux

NB: Ricorda di non scambiare l’origine e la destinazione, altrimenti corromperai le prove.

Come usare FTK Imager in Kali Linux?

Il plugin FTK Imager è’T nativo di Kali, quindi dobbiamo installarlo. Fai clic sulla barra delle applicazioni accanto all’orologio nel desktop Kali Live (nell’angolo in alto a destra) per connettersi a Internet.

FTK funziona con Linux?

Con la versione completa di FTK, tutti gli strumenti forensi associati a FTK sono confezionati in un’unica interfaccia utente grafica, salvando i dati sull’analisi. La possibilità di lavorare con i professionisti della sicurezza Linux in forense richiede l’utilizzo della versione a pagamento di FTK o Encase.

Puoi usare FTK Imager su Linux?

Il prossimo passo è scaricare FTK Imager per Linux (http: // accessData. FTK Imager per Linux può essere scaricato da questo sito. com/prodotto-download), per “Versioni della riga di comando delle versioni della riga di comando di FTK”. I download FTK risiedono automaticamente nella sezione Download per impostazione predefinita. Il catrame dovrà essere estratto dal tuo terminale.

Come posso ottenere FTK Imager su Windows?

Qual è la differenza tra FTK e FTK Imager?

L’imager FTK può essere usato indefinitamente, ma solo per licenza. A differenza di altri strumenti di modifica delle immagini, FTK funziona solo per periodi molto limitati. I dati di accesso vende anche versioni demo.

FTK Imager funziona su un Mac?

Al contrario, FTK Imager è per i sistemi live con una versione MAC – sì, la versione MAC contiene il comando D integrato ma avrà sempre il comando DD o puoi installare EWFTools o DC3DD.

È FTK Imager su Linux?

È necessario scaricare FTK Imager per Linux First (http: // AccessData.UKK.com). Quindi digitare http: // www.ftk.com/prodotto-download e fare clic su “Versioni della riga di comando”. L’FTK scaricato è inserito nella cartella Download per impostazione predefinita.

Kali ha DD?

In Kali Linux, abbiamo INDD se è gestito da FOF $/Dev/SDA2 C/SDB2 Nessun errore Indcfldd (Fondamentalmente, Digital Forensics).

È FTK Imager gratuito?

Usando FTK Imager, un file può contenere un’immagine o una raccolta organizzata di segmenti potrebbe successivamente essere ricostruita dalle immagini del disco.

Quando dovrei usare FTK Imager?

Se viene modificato un pezzo originale di evidenza forense, è possibile creare un’alternativa al FTK Imager per la riproduzione forense. Come parte dell’immagine forense, lo slack di file e lo spazio non allocato sono completamente identici, nonché lo spazio libero di guida, che è anche duplicato.

Quale database può utilizzare FTK?

Un motore di elaborazione distribuito (DPE) è supportato da FTK. Seguendo la guida di installazione, si consiglia di installare l’elaborazione distribuita prima di applicare utilizzando Amazon Web Services’ Servizi di database relazionale (AWS RDS).

A cosa è usato FTK?

Il prodotto RCE Toolkit, o FTK, è un software forense di computer realizzato da AccessData. Vari dati sono raccolti dal disco rigido attraverso questo processo. Per intercettare le e -mail attraverso i dizionari della password, può utilizzare i dati per la ricerca di e -mail eliminate e le scansioni di un disco per stringhe di testo come dizionario di password.

Strumenti di risposta agli incidenti: FTK per Linux

La risposta agli incidenti è una componente essenziale di un team di sicurezza IT e di un piano. All’interno di un piano di risposta agli incidenti, il forense dovrebbe svolgere un ruolo fondamentale per il recupero, la copia e la preservazione delle prove digitali. Questo post sul blog chiarisce il motivo per cui la versione gratuita di FTK per Linux è sufficiente per i professionisti IT che cercano di iniziare in una carriera forense.

Cosa fa l’FTK gratuito per Linux?

FTK scansiona il disco rigido, può fare una copia del disco rigido e salvarlo in diversi formati, incluso il formato grezzo. FTK ha la possibilità di analizzare un numero di filesystem, scansionare e -mail, stringhe di testo e altre informazioni. Il toolkit consente di eseguire analisi rapide e accurate per l’elaborazione, l’indicizzazione, la ricerca e il filtro dei dati per identificare l’evidenza critica all’interno di una violazione dei dati. Inoltre, hai la possibilità di eseguire sculture manuali di dati con FTK, il che non è possibile con strumenti simili come TestDisk.

Nel complesso, FTK Software Toolkit consente alla risposta agli incidenti e ai professionisti forensi di lavorare su enormi set di dati su più tipi di dispositivi, dati di rete, dischi rigidi e archiviazione Internet. La versione a pagamento dei gruppi FTK insieme tutti gli strumenti forensi disponibili con FTK in un’unica interfaccia GUI. Tuttavia, se ti definisci un professionista di sicurezza Linux capace, allora hai vinto’T ha bisogno della versione a pagamento di FTK o Encase per il lavoro forense.

Perché FTK Imager è migliore per te che encase Imager su Linux?

Brett Muir ha scritto un grande post sul blog chiamato “Encase imager vs. FTK Imager“, dove conclude che si sarebbe ancora rivolto a FTK Imager per ragioni per diversi motivi. Le sue conclusioni includono il fatto che FTK Imager ha un’impronta più piccola in RAM, può montare immagini, visualizzare in anteprima la maggior parte dei file, rilevare la crittografia EFS e supporta più formati di immagini. La sua analisi fornisce ulteriore supporto per l’uso di FTK Imager su Encase a causa dei vantaggi delle prestazioni sopra indicati.

Blogger Josh Lowery’Opinione, in un post sul blog intitolato “Installazione di FTK Imager Lite nella riga di comando Linux“, Concorda con Muir’S VISUALIZZA anche. L’analista forense del computer basato su New York, afferma di preferisce FTK poiché è un “mezzi leggeri, veloci ed efficienti per estrarre l’immagine dall’unità sospetta.”

I sistemi Linux contengono o hanno la possibilità di installare la maggior parte degli strumenti forensi gratuitamente. Sì, puoi optare per GUI Friendly, all-inclusive FTK TAY GUI o Encase Imager Suite, ma se hai familiarità lavorando con un sistema Linux e attenersi a strumenti open source, allora tu’Opt per FTK Imager (il download gratuito) per la copia dei dati, indicizzarli, cercare e le sue capacità di intaglio. Allora lei’Affrontare strumenti gratuiti come XXD per dump esadecimali, GDB per il debug, il kit Sleuth con altri strumenti forensi.

FTK, Encase e altri strumenti sono affrontati nel nostro corso di risposta agli incidenti.

introduzione

Assistente’t stress! Potresti utilizzare strumenti open source per raggiungere il tuo obiettivo. In questo tutorial, esploreremo l’uso di Accessdata’s ftk imager in esecuzione su kali live.

NB: Ho pensato che tu abbia delle basi in Linux.

Ecco i miei motivi per usare i due:
1. Kali Live ha ‘Modalità forense’ – I suoi benefici:
* Kali Live non è distruttivo; Non apporta modifiche al disco.
* ‘Modalità forense’ Disollows Montaggio automatico delle unità.
2. FTK Imager è facile da usare.

Permettere’s immergere.

Passaggio 0: crea il disco

Puoi scaricare Kali Live da qui. Una volta scaricato, puoi usare Rufus per creare il disco Kali Live da cui ti avvierai. Applicare le impostazioni mostrate di seguito:
* Dispositivo: questa è l’unità che utilizzerai per creare il disco live. (Ti consiglio di utilizzare un’unità flash.)
* Selezione dell’avvio: usa l’immagine Kali Live scaricata.
* Schema di partizione: MBR o GPT.
Puoi lasciare il resto delle opzioni come sono.

Dopo aver fatto clic su ‘Inizio’ nella parte inferiore di questa finestra, nel caso in cui ti venga richiesto di scegliere tra iso E dd (Nella finestra successiva), scegli dd. Scegliere iso può causare il rilevamento e bloccare il tuo software antivirus e bloccare alcuni dei moduli dannosi (ma utili) nativi in ​​Kali Linux, e quindi corrompere il disco.

dd Modificherà comunque il formato della tua guida. Per ripristinare il formato normale (FAT32 o NTFS), fare riferimento a questo articolo.

Passaggio 1: modificare le impostazioni del BIOS

Questo passaggio è importante quando alcuni PC hanno vinto’ti permettono di avviare dal disco dal vivo.

Il menu BIOS varia con il dispositivo. Ad esempio, per accedervi sulla maggior parte dei PC HP, premere F10 non appena si accende la macchina; Per la maggior parte dei PC Lenovo, premere F2. Puoi confermare ciò che funziona per te con una ricerca su Google.

Queste sono le impostazioni da cercare:
1. Avvio sicuro: disabilitalo.
2. Avvio UEFI/Legacy: se possibile, avere entrambe le opzioni. Questo è ancorato per le tue preferenze. Per UEFI, assicurarsi che il supporto CSM sia acceso per consentire l’avvio da un disco con uno schema di partizione MBR; Altrimenti, usa GPT (invece di MBR) durante la creazione del disco. Legacy Boot supporta lo schema di partizione MBR.

Dopo aver modificato le impostazioni, salva le modifiche ed esci. Ricorda di ripristinare le impostazioni originali dopo aver completato il processo di imaging.

NB: le impostazioni del BIOS sono archiviate sulla memoria flash, quindi la modifica delle impostazioni del BIOS non manometterà le prove.

Passaggio 2: avvio

Il prossimo passo è l’avvio dal disco. Per fare ciò, è necessario confermare il tasto funzione specifico utilizzato per accedere al menu di avvio. Non appena si accende il dispositivo, premere il tasto funzione per accedere al menu di avvio (HP: F9, Lenovo: F12).

Dopo aver selezionato il disco da cui l’avvio, dovresti vedere questa finestra. Clicca su ‘Live (Modalità forense)’:

Dopo il completamento del processo di avvio, ora accederai al desktop.

Passaggio 3: processo di imaging

Per prima cosa, fatti radici per evitare di dimenticare sudo Mentre digiti i tuoi comandi. Comando: Sudo Su .

FTK Imager non è uno strumento nativo nella suite Kali, quindi dobbiamo scaricarlo. Collega il tuo PC a Internet facendo clic sull’icona della barra delle applicazioni accanto all’orologio (nell’angolo in alto a destra del desktop Kali Live). Per confermare che il tuo PC è collegato, aprire il terminale (facendo clic sulla quarta icona nell’angolo in alto a sinistra) ed esegui il comando ping -c 5 Google.com . Dovresti ottenere un risultato che assomiglia a questo: risposta da 172.217.170.174: byte = 32 tempo = 12ms TTL = 57 .

Questo è il link per scaricare FTK Imager, CLI (Command-Line Interface) Versione. Il comando: wget https: // ad-zip.S3.Amazonaws.com/ftkimager.3.1.1_ubuntu64.catrame.Gz .

Estrai il contenuto del file compresso utilizzando il comando tar -zxvf [compressed_file] .

Quindi, collega l’unità di destinazione al PC. Qui è dove memorizzerai la tua immagine forense. Sul desktop Kali Live, apri il terminale (la quarta icona nell’angolo in alto a sinistra). Utilizzare il comando fdisk -l per restituire un elenco di dischi disponibili.

È importante notare due dischi: il disco PC e il disco rigido esterno collegati. Il disco PC fungerà da fonte e dal disco esterno come destinazione. Nel mio caso, il disco PC è /dev /nvme0n1 e il disco esterno /dev /sda .

L’unità di destinazione è inutilizzabile così com’è, io.e., /dev/sda non è scrittabile. Dobbiamo montarlo su una directory locale. Innanzitutto, crea una directory utilizzando il comando mkdir [directory_path], e.G., MKDIR /MNT /DESTRIVE . Quindi montare il disco nella directory tu’VE creato usando il monte di comando . Nel mio caso, Mount /Dev /SDA1 /MNT /DESTRive . Abbiamo usato /dev /sda1 invece di /dev /sda da noi’D essere interessato solo a una partizione all’interno del disco.

Successivamente, eseguiamo FTK Imager per immaginare il disco PC. La sintassi è la seguente: ./ftkimager [sorgente] [destinazione] [opzioni] . Ci sono diverse opzioni che puoi utilizzare per il tuo imaging. Per verificarli, eseguire il comando ./ftkimager senza parametri. Ad esempio, per creare un’immagine encase con ‘migliore’ Compressione, qui’s il comando: ./ftkimager/dev/nvme0n1/mnt/destdrive/jdoepc –e01 –compres. Rodriguez “-verify . Come avrai notato, abbiamo specificato una directory sulla destinazione. –Case-numero,-Evidenza-numero,-descrizione e-Examiner sono metadati che dovrebbero essere specificati a fini di segnalazione. –Verify è importante ai fini dell’integrità, i.e., che non ci sono cambiamenti tra il disco e l’immagine.

NB: Ricorda di non scambiare l’origine e la destinazione, altrimenti corromperai le prove.

Ecco, hai la tua immagine. Qualche altro passaggio e tu’sarà completamente fatto. Devi smontare in modo sicuro l’unità di destinazione. Per fare ciò, usa il comando umount [mount_directory] . Ora puoi spegnere il PC usando init 0 . Ricorda di cambiare le impostazioni del BIOS in quello che erano.

Per verificare se l’immagine non è corrotta, è possibile utilizzare la versione FTK Imager GUI (interfaccia utente grafica). Su un PC Windows con Imager FTK installato, collegare il disco rigido esterno e aggiungere l’immagine come elemento di evidenza. Usa l’albero sul lato sinistro della finestra per navigare attraverso il contenuto dell’immagine. Nel caso in cui si ottiene l’errore ‘File system non riconosciuto [dati]’ Nella partizione dei dati, potrebbe essere necessario ripetere il processo utilizzando un metodo diverso. Ti consiglio di fare una copia del disco usando il CD di avvio Hirens.

Conclusione

Abbiamo attraversato il processo di imaging un disco usando FTK Imager e Kali Live. Ricorda, l’obiettivo è preservare l’integrità delle prove.

Puoi anche usare il pappagallo al posto di Kali Live.

Spero ti sia piaciuto questo articolo!