Digital Forensics: Forensic Acquisition Of Solid State Drives (M2 SSD)

Digital Forensics: Forensic Acquisition Of Solid State Drives (M2 SSD)

บทความนี้จะเน้นเกี่ยวกับพื้นฐานเกี่ยวกับการเก็บหลักฐานที่ใช้ในการทำ Digital Forensics 

 วันนี้ Admin จะนำเสนอ การใช้เครื่องมือในการทำสำเนาหลักฐาน Forensic Image Solid State Drives ( M2 SSD)

ในปัจจุบัน SSD มีให้เลือกใช้งานหลากหลายประเภท เเล้วเเต่ว่าเครื่องคอมพิวเตอร์นั้นจะรองรับ SSD แบบใด ตอนนี้ในตลาดเราก็มี SSD ให้เลือกใช้ดังนี้ (เฉพาะ PC เเละ Notebook )

1.SATA lll มาตรฐาน SSD ทั่วไปสามารถใช้ได้ทั้ง PC และ Notebook
2.mSATA ใช้ได้กับ MB รุ่น Z68 Z77 Z87 และ Notebook เมื่อ 1-2 ปีเเล้ว
3.M.2 2242/2260/2280 มีทั้งแบบ SATA และ PCIe มาตรฐานใหม่สำหรับ MB Z97 /H97 / Z170 / H170 และ Notebook Gaming รุ่นใหม่ๆ
4.PCI-Express ความเเรงที่เเหกกฏคอขวดของ SATA มีความเร็วที่มากกว่าแบบ SATA lll
5.M.2 NVMe เทคโนโลยีใหม่ล่าสุดที่เปลี่ยน Protocol เป็นแบบ NVMe เเทนที่ Protocol เดิมอย่าง AHCI (เเนะนำให้ใช้กับ MB Z170)

 NVMe (Non-Volatile Memory Express) เป็นอินเทอร์เฟซการรับส่งข้อมูลและไดร์เวอร์ที่อาศัยข้อดีของ PCIe ที่มีแบนด์วิธมากกว่า  ถ่ายโอนข้อมูลได้เร็วกว่า SATA
6.USB คือ SSD External ที่มีความรวดเร็วในการโอนถ่ายข้อมูล มากกว่า HDD 3-4 เท่าตัว ปัจจุบันมีทั้งแบบ USB 3.0 / USB 3.1 / USB 3.1 + USAP

ที่มา :  https://bit.ly/2CwXOeh

An mSATA SSD (left) compared side-by-side to an M.2 2242 SSD

Photo by  Arrow Electronics

Check your M.2 SSD TYPE

M.2 NVME NGFF SSD Enclosure Adapter

การส่งข้อมูล

Photo by : www.kingston.com 

วันนี้จะมาแนะนำ การใช้เครื่องมือในการทำสำเนาหลักฐาน Forensic Image Solid State Drives ( M.2 SSD)


1. สิ่งที่ต้องเตรียม  M2 SSD  ใช้ที่ทำสอบ SAMSUNG 970 EVO 250GB  รุ่นนี้ มาพร้อมกับอินเทอร์เฟส NVMe ที่เป็นแบบ PCIe

2. Adapter สำหรับแปลง  M.2 SSD    (Tableau PCIe M.2 SSD Adapter)

FEATURES

Image PCIe M.2 SSDs in a forensically-sound manner when used with the Tableau Forensic Imager, Tableau Forensic PCIe Bridge, or Tableau Forensic Universal Bridge

3.  อุปกรณ์ write-blocker Tableau Forensic PCIe Bridge T7u    

ใช้สำหรับป้องกันการเขียนทับข้อมูลต้นฉบับ

อุปกรณ์ write-blocker

4. ทำการเชื่อมต่อ  SAMSUNG 970 EVO 250GB  กับ adapter + write-blocker ดังภาพ   และเชื่อมต่อกับเครื่องคอมพิวเตอร์สำหรับตรวจสอบ

The Tableau Forensic PCIe Bridge is the first-ever portable write-blocker that enables forensic acquisition of PCIe solid-state-drives when used with a Tableau PCIe Adapter. 

การทำสำเนาฮาร์ดดิสก์ M2 SSD ด้วยซอฟต์แวร์ FTK Imager โดยใช้อุปกรณ์ Write blocker

 5. ตรวจสอบฮาร์ดดิสก์พยานหลักฐานต้นฉบับ  Samsung SSD 970

 6. ตรวจสอบฮาร์ดดิสก์สำเนา  WD50 00AAKX

           ในกรณีที่ไม่มีฮาร์ดแวร์เฉพาะสำหรับทำสำเนาข้อมูล ก็สามารถใช้โปรแกรมเช่น FTK Imager อ่านข้อมูลจากฮาร์ดดิสก์พยานหลักฐานผ่าน Write blocker เพื่อป้องกันการเปลี่ยนแปลงข้อมูลพยานหลักฐานต้นฉบับ แล้วเขียนข้อมูลไปยังฮาร์ดดิสก์สำเนา ในตัวอย่างนี้ฮาร์ดดิสก์พยานหลักฐานต้นฉบับอยู่ในอุปกรณ์ Write blocker (Tableau) ด้านขวามือซึ่งมีไฟสีเขียวแสดงสถานะทำงาน เมื่อโปรแกรม FTK Imager ซึ่งติดตั้งอยู่ในเครื่องคอมพิวเตอร์แล็ปท็อป อ่านข้อมูลมาแล้วก็จะเขียนลงในฮาร์ดดิสก์สำเนาแบบ bit-to-bit จนกว่าจะอ่านข้อมูลทั้งหมดจากพยานหลักฐานต้นฉบับและเขียนไว้ในสำเนาครบถ้วนสมบูรณ์ ซึ่งสามารถตรวจสอบได้จากไฟล์ Log ที่บันทึกข้อมูลที่เกี่ยวข้องทั้งหมด

7. เริ่มขั้นตอนการสร้าง Image โดย  FTK Imager โดยเลือก ฮาร์ดดิสก์พยานหลักฐานต้นฉบับ

 Download FTK® Imager Lite 3.1.1

 8.เมื่อทำตามขั้นตอนครบแล้ว ให้รอจนกว่าโปรแกรมจะทำงานเสร็จ

Creating Image

 9. เมื่อโปรแกรมทำงานเสร็จจะแสดง รายงาน Log file แสดงข้อมูลเกี่ยวกับฮาร์ดดิสก์ วันและเวลาที่ทำสำเนา และค่าแฮชของพยานหลักฐานต้นฉบับ

 MD5 checksum:    fa6f26bdcd2e254e2f0f1af652604440
 SHA1 checksum:   637f000e73e792b7065cee6151970308d96766d8

Verify Results

Report

สรุป

 -วิธีการตรวจสอบความสมบูรณ์ของไฟล์โดยใช้ MD5 และ SHA1 Hashes อัลกอริทึมที่ใช้กันทั่วไปสองค่าสำหรับค่าแฮชคือค่า MD5 และ SHA1

คุณสามารถเปรียบเทียบค่าแฮชได้กับไฟล์ต้นฉบับของไฟล์ (Original  Evidence)เพื่อตรวจสอบว่าไฟล์ที่คุณมีนั้นไม่มีใครแตะต้องหรือไม่ ด้วย MD5 และ SHA-1  ซึ่งโดยหลักการ  ค่าแฮช  MD5 และ SHA1 ของต้นฉบับ ต้องเหมือนกัน  เพื่อยืนยันความครบถ้วนสมบูรณ์ของกระบวนการทำสำเนา

-  การใช้อุปกรณ์ป้องกันการเขียนทับ (Write Blocker) ข้อมูลต้นฉบับ จะสามารถป้องกันการเข้าถึงและการเขียนข้อมูลลงหลักฐานจากเครื่องคอมพิวเตอร์ที่ตรวจสอบได้ แต่จะไม่สามารถป้องกัน การทำงานจาก Garbage Collection ที่เกิดจากชิป controller ใน SSD ได้

Forensic Data Acquisition - Hardware Write Blockers

Credit: DFIR.Science youtube

ที่มา:
https://en.wikipedia.org/wiki/Write_amplification#Garbage_collection
https://bit.ly/2Amyqq4
https://bit.ly/2J76lFT
https://bit.ly/1CyCHhg
https://bit.ly/2rpCVM1
https://bit.ly/30jYjS6
https://bit.ly/2ZcSgBh

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: TRIM

Digital Forensics: TRIM

TRIM  เป็นคำสั่งสำหรับอินเทอร์เฟซ ATA (Advanced Technology Attachment) เมื่อระบบปฏิบัติการต้องการแจ้งให้ SSD ทราบว่าจะทำการลบไฟล์

เพื่อจะได้ทำการลบข้อมูลส่วนนั้นออกไว้ก่อนได้ เพราะว่าหน่วยความจำแฟลชที่นำมาใช้ทำโซลิตสเตตไดรฟ์ส่วนใหญ่นั้นเป็นชนิด NAND ซึ่งไม่สามารถเขียนข้อมูลทับได้ แต่ต้องลบข้อมูลเก่าก่อนแล้วจึงเขียนข้อมูลใหม่ลงไป ดังนั้นการลบข้อมูลออกไปก่อนที่จะมีการเขียนข้อมูลทำให้สามารถเขียนได้ทันทีเมื่อต้องการ ย่อมทำให้การเขียนข้อมูลในโซลิดสเตตไดรฟ์เร็วขึ้นไปด้วย (จากวิกิพีเดีย สารานุกรมเสรี)

TRIM เป็นคำสั่งช่วยเหลือของระบบปฏิบัติการสามารถบอกโซลิดสเตตไดรฟ์ (SSD) ว่าบล็อกข้อมูลใดที่ไม่ต้องการอีกต่อไปและสามารถลบได้หรือทำเครื่องหมายว่าว่างสำหรับการเขียนใหม่ ในคำอื่น ๆ TRIM เป็นคำสั่งที่ช่วยให้ระบบปฏิบัติการทราบได้อย่างแม่นยำว่าข้อมูลที่คุณต้องการย้ายหรือลบถูกเก็บไว้ที่ใด ด้วยวิธีนี้ไดรฟ์โซลิดสเตตสามารถเข้าถึงได้เฉพาะบล็อกที่เก็บข้อมูล นอกจากนี้เมื่อใดก็ตามที่คำสั่งลบ  โดยผู้ใช้หรือระบบปฏิบัติการคำสั่ง TRIM จะเครียหรือลบบล็อกที่จัดเก็บไฟล์ทันที ซึ่งหมายความว่าในครั้งต่อไปที่ระบบปฏิบัติการพยายามเขียนข้อมูลใหม่ในพื้นที่นั้น ไม่จำเป็นต้องรอก่อนที่จะลบมัน

TRIM Command Sent (OSส่งคำสั่ง TRIM)

ต่างจาก Hard Disk Drive (HDD) แบบจานหมุน SSD ไม่สามารถเขียนข้อมูลทับบล็อกที่มีข้อมูลอยู่แล้วได้โดยตรง (ต้องทำการ Erase ทั้ง Block ก่อนเขียนใหม่) OS จึงส่งคำสั่ง TRIM ไปแจ้ง SSD Controller ว่าข้อมูลชุดนี้ไม่ใช้งานอีกต่อไป

SSD

โซลิดสเตทไดรฟ์  Solid State Drives ประกอบไปด้วยชิปหน่วยความจำแฟลช ระบบปฏิบัติการจะต้องสามารถอ่านและจัดการข้อมูลบนชิปเหล่านี้ได้  SSD จะต้องมีวิธีการจัดเรียงข้อมูลนี้ ข้อมูลที่เก็บไว้ใน SSD แบ่งออกเป็นกลุ่มของข้อมูล ในบล็อก

TRIM

การทำงานของ ระบบ TRIM

สีเขียว   = แสดงพื้นที่ที่ยังไม่มีข้อมูล (no data)
สีน้ำเงิน = แสดงพื้นที่ที่มีการเขียนข้อมูล (Write data)
สีแดง =  แสดงพื้นที่ที่ลบข้อมูล

1) SSD แสดงพื้นที่ที่ยังไม่มีข้อมูล   พื้นที่ว่าง ไม่มีข้อมูลอะไรเลย
2) ผู้ใช้งานเขียนข้อมูลลง (Write data)  Solid State Drives
3) ผู้ใช้งานลบข้อมูลบางอย่างในรูปคือลบข้อมูล 2 ช่องที่เป็นสีเเดง ระบบปฎิบัติการทำการใส่สถานะ Not in use ในตำแหน่งที่ถูกลบ (สีแดง)
4) TRIM  ทำการสั่งให้ Controller ทำความเครียในส่วนของข้อมูลที่ลบในช่องเซลล์นั่น คือลบข้อมูลออก
5) ตำแหน่งสีแดงที่ถูกลบออกไป เป็นพื้นที่ว่าง ไม่มีข้อมูลอะไรเลย เพื่อรองรับข้อมูล

Garbage Collection (กระบวนการเก็บขยะและล้างข้อมูล)

ในระหว่างที่เครื่องว่าง (Idle Time) หรือตามรอบการทำงาน SSD Controller จะรันกระบวนการ Garbage Collection (GC):

• อ่านข้อมูลส่วนที่เป็น Valid Data ไปยังบล็อกใหม่

• ทำการ Erase (ล้างข้อมูล) ทั้งบล็อกเดิมที่มี Invalid Data อยู่

• พื้นที่จัดเก็บจะถูกคืนกลับมาเป็น Empty Block พร้อมสำหรับการเขียนข้อมูลใหม่ด้วยความเร็วสูงสุด

Download How to check that trim is active 

Ref:
https://rivervalleygetaway.com/th/productivity/370-what-is-ssd-trim-why-is-it-useful-and-how-to-check-whether-it-is-turned-on.html
https://www.windowscentral.com/how-ensure-trim-enabled-windows-10-speed-ssd-performance


หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #DataRecovery #TRIM