Digital Forensics:Computer Forensics Fundamentals

Digital Forensics:Computer Forensics Fundamentals

01 Introduction to Computer Forensics

02- Understanding Hash and hexadecimal

03 Understanding HW and file systems

04 Imaging software

 05 Image acquisition

06 Mounting and Exploring an image file

 07 First responder supplimental

 08 Conclusion

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: การตรวจค้นและยึดพยานหลักฐานดิจิทัล

Digital Forensics: การตรวจค้นและยึดพยานหลักฐานดิจิทัล

วิดีโอสอนพื้นฐานการเข้าตรวจค้นและยึดพยานหลักฐานดิจิทัล รวมถึงอุปกรณ์คอมพิวเตอร์

Digital Crime Scene อบรมการจัดเก็บพยานหลักฐานทางอิเล็กทรนิกส์

ขั้นตอนการปฎิบัติขณะเข้าตรวจค้น และ เก็บพยานหลักฐานทางอิเล็กทรนิกส์

1.หัวหน้าชุดมอบหมายภารกิจ

 2. ตรวจสอบเป้าหมาย แสดงหมายค้น และชี้แจงขั้นตอนการปฎิบัติ

3.ก่อนเข้าตรวจค้นต้องแสดงหมายค้นและอ่านหมายแจ้งผู้ครอบครองเคหสถาน

 4.ค้นตัวผู้เกี่ยวข้องที่เข้าข่ายกระทำความผิด

 5.มาร์คจุดที่พบอุปกรณ์อิเล็กทรอนิกส์

6. สเก็ตภาพสถานที่เกิดเหตุและ ถ่ายภาพพยานหลักฐาน

 จัดทำแผนที่พบหลักฐานตามหมายเลข

7.เก็บรวบรวมพยานหลักฐานตามลำดับที่มาร์คจุดไว้ และ ลงชื่อกำกับ

 ใส่ถุงมืิอป้องกันหลักฐานปนเปื้อน

8.หากพบโทรศัพท์มือถือให้ทำการ เปิด Flight Mode หรือโหมดเครื่องบินทันที

จดรายละเอียดของหลักฐานในแบบฟอร์ม

 ขณะตรวจสอบให้ทำการบันทึกถาพและวีดิโอ

 ในกรณีคอมพิวเตอร์  ให้ดึงปลั๊กออกจากหลังเครื่องคอมพิวเตอร์

 กรณีโน๊ตบุ๊คให้ทำการถอดแบตเตอรี่ออก เพื่อป้องกันเครื่องเปิด

 ทำการใส่ถุงเก็บหลักฐานและบันทึกรายละเอียดลงในแบบฟอร์ม

ดำเนินการบรรจุเครื่องคอมพิวเตอร์ที่ต้องการยึดลงในกล่อง หรือ ถุงพลาสติก แล้วปิดผนึกด้วยเทปกาว พร้อมลงลายมือชื่อกำกับไว้

9.ตรวจค้นแบบละเอียด

 เจ้าหน้าที่ตำรวจและผู้ต้องสงสัยจะต้องทำการเซ็นชื่อกำกับ

ขั้นตอนการปฎิบัติขณะเข้าตรวจค้น และ เก็บพยานหลักฐานทางอิเล็กทรนิกส์

อ่านเพิ่ม

• การถ่ายภาพในที่เกิดเหตุ 
• การปฎิบัติงานในสถานที่เกิดเหตุ 
• การเก็บหลักฐานอิเล็กทรอนิกส์ คดีละเมิดลิขสิทธิ์และพนันออนไลน์
• นิติวิทย์ฯ ร่วมกับ DSI เข้าร่วมตรวจค้นและจัดเก็บพยานหลักฐาน ตามกฎหมายฟอกเงินและกฏหมายปราบปรามยาเสพติด
• การตรวจค้นและยึดพยานหลักฐานดิจิทัล 
  
• การตรวจยึดพยานหลักฐานทางคอมพิวเตอร์
• วิธียึดคอมพิวเตอร์
• วิธีการปฏิบัติต่อของกลางประเภทอุปกรณ์คอมพิวเตอร์ และอุปกรณ์อิเลคทรอนิกส์ เพื่อนำส่งตรวจพิสูจน์
• Case study Forensic Acquisition DIGITAL FORENSICS:CASE STUDY FORENSIC ACQUISITION 

ที่มา:
Amornchai Leelakajonjit กองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี - บก.ปอท

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #พยานหลักฐานดิจิทัล

Digital Forensics: Hash function

Digital Forensics: (Hash function) ฟังก์ชันแฮช > LAB MD5

  จุดประสงค์ของ Lab MD5

   1. อะไรบ้างที่ทำให้ค่า  Hash เปลี่ยน

 ฟังก์ชันแฮช (อังกฤษ: hash function) คือวิธีการอย่างหนึ่งซึ่งทำให้ข้อมูลส่วนหนึ่งหรือทั้งหมด ให้กลายเป็นจำนวนเล็กๆ อันหนึ่งอย่างมีปฏิสัมพันธ์ ซึ่งจำนวนดังกล่าวเปรียบได้ว่าเป็น "ลายนิ้วมือ" ของข้อมูล ขั้นตอนวิธีของฟังก์ชันแฮชส่วนใหญ่จะเป็นการแบ่งย่อยข้อมูลและการผสมข้อมูลย่อยทั้งหมดเข้าด้วยกันเพื่อให้ได้ผลลัพธ์สุดท้าย ผลลัพธ์ดังกล่าวอาจเรียกว่า   ค่าแฮช (hash value)

         การสร้าง Signature นั้นอาศัยการทำHash Functionซึ่งเป็นฟังก์ชันที่มีบทบาทอย่างมากต่อการรักษาความมั่นคงปลอดภัยในเครือข่าย จากคุณสมบัติที่สำคัญหลายๆประการของฟังก์ชันแฮชนั้นพบว่า ฟังก์ชันแฮชมี คุณสมบัติหลักในการตรวจสอบความคงสภาพของข้อมูล

ทำไมต้องมีฟังก์ชันแฮช?

1. เพื่อใช้ตรวจสอบว่าข้อมูลมีการเปลี่ยนแปลงหรือไม่
2. เพื่อใช้เก็บข้อมูลสำหรับเปรียบเทียบ โดยการเปรียบเทียบข้อมูลจะทำได้รวดเร็วขึ้น
3. หากข้อมูลที่จะใช้เปรียบเทียบมีขนาดใหญ่มาก จะช่วยย่อข้อมูลให้เล็กลงได้มาก แต่ขึ้นอยู่กับวิธีของฟังก์ชันแฮช
4. อื่นๆ 

ชนิดของฟังก์ชันแฮช

1. MD5 (128bits) คิดค้นโดย Ronald Rivests
2. SHA1 (160bits) คิดค้นโดย National Security Agency : NSA
3. SHA2 (SHA-224, SHA-256, SHA-384, SHA-512) คิดค้นโดย National Security Agency : NSA
4. อื่นๆ

SHA-256 ย่อมาจาก Secure Hash Algorithmเป็นฟังก์ชันแฮชที่ถูกพัฒนาขึ้นหลังจาก MD5 แรกเริ่มพัฒนาเป็น SHA-1 ถัดมากลายเป็น SHA-256,และ SHA-512โดยปัจจุบันได้นำมาใช้แทน MD5
เนื่องจากมีความปลอดภัยที่สูงกว่าและแม่นยำกว่าซึ่งแก้ปัญหาการชนกันของค่าแฮช(Collision)ที่ข้อมูลสองข้อมูลมีค่าแฮชตรงกัน

ทำการ download Hash Tool  Hash Tool is a utility to calculate the hash of multiple files.
 1. ทำการติดตั้งโปรแกรม  Hash Tool

 

2. ทดสอบค่า MD5  hash กับไฟล์รูป ชื่อ chain of Custody.jpg
    MD5 = 4723fd6167cf3074e36981959e2b1d8e

3. ทำการ Rename ไฟล์รูป ชื่อ chain of Custody.jpg  เป็น chain.jpg
    run Hash  MD5 = 4723fd6167cf3074e36981959e2b1d8e   ค่าไม่เปลี่ยน

 

4. ทำการเพิ่มข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = 9fd4e6c35217e30d4eaaee86a92b6939   ค่า เปลี่ยน

5. ทำการลบข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่า เปลี่ยน

6 ทำการลบข้อมูล user  Account Unknown ใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

7 ทำการเพิ่มข้อมูล user Everyoneใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

สรุป  การทดสอบ ปัจจัยที่ทำให้ค่า  Hash เปลี่ยน

       1. แก้ไข content

  

 

อ้างอิง
https://www.thaicert.or.th/papers/technical/2012/pa2012te013.html
https://blog.inslash.com/%E0%B8%9F%E0%B8%B1%E0%B8%87%E0%B8%81%E0%B9%8C%E0%B8%8A%E0%B8%B1%E0%B8%99%E0%B9%81%E0%B8%AE%E0%B8%8A-hash-function-a985ed40351d

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hash value  #MD5

Digital Forensics:National Software Reference Library (NSRL)

Digital Forensics:National Software Reference Library (NSRL)

           ท่านทราบมั้ยครับ ว่าหน่วยงาน NIST (US National Institute of Standards and Technology) ทำหน้า ที่รวบรวม Hash set ของ software สำคัญๆ ทั่วโลกเก็บไว้ เช่น ระบบปฎิบัติการต่างๆ หน่วยงานนี้มีชื่อว่า National Software Reference Library (NSRL) ซึ่งเป็นแหล่งข้อมูลที่สนับสนุนการสืบสวนทางนิติวิทยาศาสตร์แบบดิจิตอล จุดประสงค์เพื่อเก็บชุดข้อมูลซอฟท์แวร์ ในเวอร์ชันต่างๆมากมาย ในรูปแบบ hash set ไว้เพื่อเป็นประโยนชน์ ในการลดการตรวจสอบไฟล์ในระบบคอมพิวเตอร์  เพื่อแยกแยะและลดขั้นตอนการในการสืบสวนคดีอาชญากรรมไซเบอร์ และงานอื่นๆ

 

สำหรับใครที่ต้องใช้เครื่องมือในการตรวจสอบเทคโนโลยีทั้งหลาย ในนี้จะมีตัวอย่างในการหาเครื่องมือให้ตรงกับการใช้งาน

NIST Catalog

Computer Forensics Tools & Techniques Catalog

ทีมา: NIST
https://bit.ly/2r7nc3u

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud
หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics: Malware Forensics > IDA

Digital Forensics: Malware Forensics >IDA

จากเรื่อง Malware Forensics
      Static Analysis  เราจำทดสอบโดยการเอาไฟล์มัลแวร์ มาเปิดใน IDA Pro เพื่อวิเคราะห์

IDA  Pro เป็น Software ใช้สำหรับ De-compiler หรือ Disassembler ให้กลับไปเป็น Source Code หรือภาษา Assembly ความสามารถหลักของโปรแกรมคือ การท า Reverse  Engineer,  Cracking, Exploiting,  Unpacking โดยในการทำ Reverse  Engineer นั้นทำให้สามารถวิเคราะห์ตัวโปรแกรมได้ทั้งรูปแบบ Static Analysis และ Dynamic Analysis
IDA Pro นั้นครอบคลุมการทำ reversing ได้ดีกว่าโปรแกรมอื่นๆ โดยจะรองรับทั้ง 32/64 bit ทำได้ทั้ง disassembler และ debugger
ในโปรแกรมเดียว และ Support ครอบคลุมหลายแพลตฟอร์ม เช่น Android, Linux, Mac, Windows เป็นต้น

หนึ่งสิ่งสำคัญที่ IDA  Pro สามารถบอกได้คือมี DLLอะไรบ้างที่จะถูก Import เข้าไปที่เครื่องคอมพิวเตอร์หลังจากที่มีการรัน
Processของไฟล์ Malware (EXE)โดย DLL คือไลบรารีที่มีรหัสและข้อมูลที่โปรแกรมอย่างน้อยหนึ่งโปรแกรมสามารถนำไปใช้ได้ในเวลาเดียวกันรายละเอียดของ
DLLต่างๆมีดังนี้

Kernel32.dll –เป็น DLLทั่วไปที่มีอยู่ใน Core   Functionเช่น การเข้าถึงและการจัดการที่หน่วยความจำ,ไฟล์ต่างๆ,และอุปกรณ์ฮาร์ดแวร์

Advapi32.dll –เป็น DLLที่สามารถเข้าถึงวินโดว์ในส่วนของ AdvancedCore เช่น Service Manager และRegistry

ได้ User32.dll –เป็น DLLที่มีส่วนประกอบของ User-Interface ทั้งหมดเช่น ปุ่มต่างๆ แถบเลื่อนขึ้นลง (Scroll Bars) และยังรวมถึงส่วนที่ควบคุมและตอบสนองการท างานของ User

Gdi32.dll –เป็น DLLในส่วนของฟังก์ชันการแสดงผลและการปรับกราฟฟิค

Ntdll.dll -DLL นี้เป็นส่วนติดต่อกับเคอร์เนลของ Windows โดยทั่วไปการรัน Execute ไฟล์จะไม่มีการ Import มาที่ส่วนนี้โดยตรง แต่จะเป็นการ Import ทางอ้อมผ่าน

Kernel32.dll ดังนั้นหากไฟล์ exe มีการ Import มาที่ส่วนนี้หมายความว่าผู้สร้างไฟล์ตั้งใจใช้ฟังก์ชันที่ผิดไปจากปกติในการติดตั้งโปรแกรม เช่น ต้องการซ่อนฟังก์ชันหรือกระบวนการการทำงานบางอย่าง เป็นต้น

WSock32.dll and Ws2_32.dll –เป็น DLLที่เกี่ยวกับ Network โดยโปรแกรมที่เข้าถึงในส่วนนี้มักจะเกี่ยวกับการเชื่อมต่อทางด้าน Networkหรือทำงานเกี่ยวข้องกับส่วนนี้

Wininet.dll –เป็น DLL ที่มีฟังก์ชัน Network ระดับสูงที่ใช้โปรโตคอลเช่น FTP, HTTP และ NTP

https://www.hex-rays.com/products/ida
Practical Malware Analysis, March 2012, p.3,p17
Hacking & Security ฉบับ ก้าวสู่นักทดสอบและป้องกันการเจาะระบบ, September 2011

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#Malware Forensics #WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud