File Carving. Obduktion av lagringsmedia. 17 maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

Transkript

1 File Carving Obduktion av lagringsmedia 1 17 maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

2 Vem är jag? 2002 CivIng, LiU, IT-linjen 2003-> FOI 2008 Lic, LiU NFC (SKL) 2017-> doktorand, NTNU 2 17 maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

3 Upplägg Bakgrund Cell och organnivå Kroppsuppbyggnad 3

4 Bakgrund 4 17 maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

5 File Carving Vad är det? Obduktion av lagrinsmedia Inget filsystem Nyckelfunktion o Identifiera o Återskapa 5

6 Lagringsmedia Mekanisk Flashbaserad 6

7 Dataformat Endian Blocklängd Tid 7

8 Användning Oallokerat utrymme Raderade filer Dataräddning Innehållssökning 8

9 Teknik(historia) Header/footer/ magiska nummer (Statistiska) egenskaper Optimeringsproblem 9

10 Utmaningar Kryptering Komplexa filformat Distribuerad (moln)lagring Ökande datamängd Datamanipulering 10

11 Cell och organnivå Bitar, bytar och filer maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

12 DLL 12 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

13 Exe 13 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

14 JPEG 14 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

15 Zip 15 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

16 Bakgrund Intrusion detection in overlay networks Kraschad hårddisk RAID

17 Filtyper Text vs Binära Sammansatta format JPEG (datadelen) Osorterade fragment 17

18 Identifiering Bytefrekvensfördelning Förändringsgrad Bigram Kameramärke 18

19 Sammansättning Restart Markers och DC Brute force Testade bigram 19

20 Resultat Bigram o Hög detektion, få falsklarm o Störningskänslig BFD, RoC o Sämre detektion o Störningstålig 20

21 ROC Bigram 21 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

22 Exe delar 22 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

23 Bonuseffekter GPG läcker information Samma Huffmantabell Trasig JPEG header 23

24 24 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

25 25 5 November 2013 Martin Karresand Informationssäkerhet och IT-arkitektur

26 Kroppsuppbyggnad Strukturer på lagringsytan maj 2018 Martin Karresand Informationssäkerhet och IT-arkitektur

27 Hypotes Partiell determinism mellan installationer av MS Windows p g a likartat förfarande, vilket ger upphov till statiska strukturer, d v s samma datainnehåll på samma position mellan olika datorer. 27

28 Allokeringsalgoritmer First available (Ext2/3) Next available (FAT, Ext2/3) Best fit (NTFS) 28

29 Princip SHA1 hash Unika vs statiska Karta Prioritera 29

30 Utmaningar All användar data ej unik Allt unikt ej användardata Olika partitionsstorlek Nytt koncept 30

31 Resultat 31

32 Användningsområden Planera undersökning Prioritera analysordning Detektera skadlig kod Resultatvärdering vid skadad media Hash-based carving Knäcka krypto 32

33 Litteratur R. Poisel and S. Tjoa, "A Comprehensive Literature Review of File Carving," 2013 International Conference on Availability, Reliability and Security, Regensburg, 2013, pp doi: /ARES A. Pal and N. Memon, "The evolution of file carving," in IEEE Signal Processing Magazine, vol. 26, no. 2, pp , March doi: /MSP B. Carrier, File System Forensic Analysis, 2005 * * Googla på file system forensic analysis filetype:pdf 33

34 Uppgift(er) Beskriv hur din forskning kan komma file carving-området till nytta. Intressanta idéer kan belönas med ett artikelsammarbete. eller Redovisa 32*2 separata SHA1 hashar för följande 512 byte stora sektorer på den NTFS-formatterade huvudpartitionen (C:\) på en valfri Windowsdator. Skriv även vilken version av Windows datorn har och Använd istat-verktyget från The Sleuthkit för att lista information om "inode" 0 ($MFT) på C:\ för en NTFSformaterad Windowsdator. 34

35 Slut! Frågor? Martin Karresand FOI och NTNU 35