Digital Forensics:Forensic Data Carving using Foremost

Digital Forensics:Forensic Data Carving using Foremost

 วันนี้ทำการตรวจสอบและกู้ข้อมูล(Data Recovery)หลักฐานจากเครื่อง Notebook asus  พบ  Harddisk ชนิด mSATA SSD

สิ่งที่ต้องเตรียม

 -  mSATA SSD
 -  External Box
 -  Deft  boot DVD
 -  Guymager
 -  Foremost on Kali linux
 -  FTK Imager
  

mSATA SSD จะมีขนาดเล็กกว่าแบบ SATA  ส่วนมากจะนำมาใช้อัพเกรด Notebook ในNotebook หลายๆรุ่นจะมีช่องให้ติดตั้งเพิ่มได้ ทำให้น้ำหนักเครื่องเบาขึ้น ปัจจุบันความนิยมของ SSD มากขึ้น

Notebook Main board

Slot mSATA SSD

Slot mSATA SSD

ทำการต่อ mSATA กับ External Box  เพื่อทำสำเนาข้อมูล

mSATA SSD

 หลังจากนั้นทำการต่ออุปกรณ์กับ forensic machine และทำการใช้  Deft  boot DVD เพื่อป้องกันการเขียนทับข้อมูล

 Deft Zero

DEFT

 เลือก DEFT-Zero Linux Live  เพื่อทำการสำเนาข้อมูล

Deft

ใช้ Guymager ทำการทำ Forensic Image หลักฐานที่อยู่ใน mSATA

Guymager

Guymager

Guymager

FTK Imager

Image File Report

Forensic Image file +  .info ที่ได้

Forensic Image File

ทำการ Mount image file เพื่อดูว่าไฟล์สำเนาหลักฐานสมบูรณ์หรือไม่

ทำการ Mount Image File

Output Report 

data-carving เป็นเทคนิคการค้นหาไฟล์จาก image ต่างๆไม่ว่าจะเป็น image ของ harddisk, memory, หรือ USB storage โดยการค้นหาดังกล่าวนี้จะอาศัยการค้นหา header ของประเภทของไฟล์ที่ต้องการหา ไม่ว่าจะเป็นไฟล์รูปภาพ (.gif, .jpg, .png) ไฟล์เสียง (.mp3, .wav) หรือไฟล์วีดีโอต่างๆ (.avi) โดยหลังจากที่เจอ header ของไฟล์ดังกล่าวแล้ว ก็จะ extract ไฟล์ต่างๆออกมา

Foremost  คือ

 เป็นโปรแกรม command line บน linux เพื่อกู้คืนไฟล์ตามส่วนหัว header  ส่วนท้าย Footer และโครงสร้างภายในข้อมูล กระบวนการนี้มักเรียกกันว่าการ data carving สำคัญที่สุดสามารถทำงานกับ Forensic image files เช่นที่สร้างขึ้นโดย dd, Safeback, Encase ฯลฯ หรือโดยตรงบนไดรฟ์ ส่วนหัวและท้าย ของไฟล์ สามารถระบุได้โดย  กำหนดค่า Config หรือ คุณสามารถใช้ Command line เพื่อระบุประเภทไฟล์ได้  เพื่อให้การกู้ข้อมูลได้รวดเร็วยิ่งขึ้น

 เราทำการใช้โปรแกรม Foremost  เพื่อหาข้อมูลในหลักฐานที่ได้สำเนาไว้แล้ว

Foremost

#foremost -t Jpeg,png,zip.pdf,avi -i CFFFESSD1.E02

 

Output File

Evidence File

สรุป การทดสอบ

    การใช้เทคนิค data-carving เป็นเทคนิคการค้นหาไฟล์จาก (File  Signature ) ชนิดของไฟล์ข้อมูล โดย มีหลัก การทำงาน คือ การใช้การค้นหาข้อมูลที่เป็นเฮดเดอร์ (Header) และ ฟุตเตอร์   (Footer) ของไฟล์ชนิดต่างๆ ในการค้นหาตำแหน่งเริ่มต้นและสิ้นสุด ตลอดจนชนิดของไฟล์  ซึ่งก็จะทำให้สามารถกู้คืนข้อมูลในส่วนนี้คืนกลับมาได้ เหมาะกับ   ข้อมูลและ  Harddisk ที่ถูก Format  , MFT  ถูกทำลาย และถูกลบข้อมูล แต่ข้อมูลที่กู้มาได้จะไม่มีข้อมูลในส่วนของ Metadata และ Timestamp ของเดิมอยู่

ที่มา:
https://bit.ly/2GGz8lH
https://bit.ly/2I7wvdr
https://bit.ly/2CTp9GU
https://www.peerlyst.com/posts/how-to-perform-ssd-forensics-or-part-i-sudhendu?trk=search_page_search_result

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #DataRecovery

Digital Forensics:Data Carving using Foremost

Digital Forensics:Data Carving using Foremost

Foremost  คือ

Foremost เป็นเครื่องมือตัวหนึ่งที่ใช้สำหรับงานทางด้าน Digital Forensics 

ถูกพัฒนา  Jesse Kornblum และ Kris Kendallขึ้นโดยหน่วยงาน Air Force Office of Special Investigations และ  Defense Computer Forensics Lab's carvthis program ของอเมริกา ในปัจจุบัน Foremost ได้ถูกเผยแพร่ให้บุคคลทั่วไปได้นำไปใช้งาน ถึงแม้ในขั้นต้น จะถูกพัฒนาขึ้นเพื่อให้ใช้ สำหรับหน่วยงานบังคับใช้กฎหมายเป็นหลักก็ตาม แต่ด้วยประโยชน์หลากหลาย จึงถูกนำไปใช้ในด้านอื่นๆ ด้วย

Foremost เป็นโปรแกรมที่ทำงานแบบ command line ถูกพัฒนาขึ้นเพื่อใช้บน แพลตฟอร์ม Linux 

หรือเราจะติดตั้ง ให้สามารถใช้งานบน Windows ก็ได้ สำหรับ Foremost นั้น ถูกนำมาใช้ในการกู้ไฟล์คืนกลับมา โดยดูจากลักษณะ Headers, Footers และ โครงสร้างภายในของไฟล์ประเภทนั้นๆ มันสามารถกู้คืน filetypes เฉพาะรวมทั้ง jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc, htm  โดยสามารถกำหนดค่า (โดยปกติจะอยู่ที่ /usr/local/etc/foremost.conf) ซึ่งสามารถใช้เพื่อกำหนดประเภทไฟล์เพิ่มเติม ซึ่งเราอาจเรียกการกู้ข้อมูลในลักษณะนี้ได้ว่าเป็นการทำ Data Carving

SIFT Workstation

สร้าง โฟรเดอร์ ชื่อ  Recove สำหรับเก็บไฟล์ฺ Output

Input & Output Folder

Type the following “foremost -t jpeg,doc -i Linux Financial Case.001 -o recove –v”.
พิมพ์คำสั่ง  #foremost -t jpeg,doc -i Linux Financial Case.001 -o recove –v



To break this down “-t” is setting the file types we want to carve out of the disk image, here those are .jpeg and .png.
-t คำสั่ง ชนิดของไฟล์ที่ต้องการค้นหา เช่น   jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc

“-i” is specifying the input file, the “Linux Financial Case.001” that is placed on the desktop.
-i คำสั่ง ระบุตำแหน่งของสำเนาหลักฐาน( forensic image   )  *.001 ,*.E01 ,*.raw ,*.dd

“-o” is telling Foremost where we want the carved files to be stored, for that we have the “recove” folder on the desktop that we made earlier.
-o คำสั่ง ระบุตำแหน่งโฟลเดอร์ปลายทาง (destination )ที่กู้ไฟล์มาได้  Output file


“-v” is to tell Foremost to log all the messages that appear on screen as the file is being carved into a text file in the output folder (recove) as an audit report.
-v คำสั่งให้แสดง Log report

เมื่อทำงานเสร็จจะแสดงรายละเอียดข้อมูลที่กุ้ได้

 ไฟล์ที่กู้ได้จะอยู่ในโฟรเดอร์ Recove  doc  และ JPG  และไฟล์ audit.txt

Out Put & Audit file

ไฟล์ JPEG ที่กู้ได้

 audit.txt  จะแสดงรายละเอียดของไฟล์ทั้งหมดที่กู้ได้

Foremost Report

Ref:
https://en.wikipedia.org/wiki/Foremost_(software)
https://www.forensicswiki.org/wiki/Foremost
https://bit.ly/2CTp9GU

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #DataRecovery