Digital Forensics: Belkasoft Acquisition Tool

Digital Forensics: Belkasoft Acquisition Tool 

ทดสอบการสร้าง Forensics Disk Image โดยใช้โปรแกรม Belkasoft Acquisition Tool

Belkasoft Acquisition Tool (or BelkaImager) allows you to make images of hard and removable drives, Android and iOS devices, and download Cloud data.

Belkasoft Acquisition Tool helps investigators to complete one of the most important steps of investigation: obtaining data from a data source. Four types of data sources are currently supported:

• Hard or removable drives
• Mobile devices
• Computer RAM memory
• Cloud data

The acquired image can be then analyzed with Belkasoft Evidence Center or any third-party tool.

ทดสอบโปรแกรม Belkasoft Acquisition Tool เป็นเครื่องมือที่ใช้สำหรับทำ Forensics Disk Image

กับ Kingston  DataTraveler 8 GB ผ่าน write Blocker 

1.ทำการ Download โปรแกรม ฺBelkasoft จาก https://belkasoft.com/trial

    สิ่งสำคัญในการทำ Disk Image  ต้องผ่านอุปกรณ๋ Write Blocker เพื่อป้องกันการเขียนทับหลักฐาน (Evidence)

Write Blocker

Forensic Data Acquisition - Hardware Write Blockers

Credit:DFIR.Science youtube

2. ทำการ เลือก G:Drive Kingston  DataTraveler 8 GB ที่ต้องการทำ Disk Image (\\Physicaldrive1)

 

3. ตั้งชื่อไฟลฺ์ CF-SM-FD-BA01.001 เป็น Raw ไฟล์

4.เมื่อทำเสร็จแล้วตรวจสอบ Hash Value

MD5 Hash : 0eec2711d4595b8e9a5294e50d79ee66c

ศึกษาเพิ่มเติมได้ที่ Free computer forensic tools 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud 

Digital Forensics: Email tracking for gmail

สอนทำ Email Tracking วิธีดูว่าอีเมลที่เราส่งออกไปถูกเปิดอ่านหรือยัง

มันคือAPP ที่คอย track ว่าอีเมลที่เราส่งไป นั้นถูกเปิดอ่านหรือเปล่า? หากคุณทำงานที่ต้องใช้อีเมลในการสื่อสารกับลูกค้าและทีมงานเป็นหลัก การได้รู้ว่าอีเมลถูกเปิดอ่านหรือไม่

 1. เปิด Google Chrome Browser เพื่อติดตั้ง Extension ไปที่ Install Extension
Email Tracking for Gmail - Mailtrack

Email Tracking

2. กด Sign In with Google อนุญาตให้ Mailtrack เข้าถึงบัญชีของเรา

Check Mail track Enabled

3.เลือกว่าจะใช้งานแบบ เลือก Free 

4. ทำการทดลองส่งเมล Test Track

5. ไปที่ จดหมายที่ส่งแล้ว (Sent Item)เราก็จะเห็นเครื่องหมายถูกสองอัน ถ้าขึ้นเขียวสองอันแปลว่าคนที่เราส่งไปเปิดเมลแล้ว   

 Email Tracking Software (Browser Extension)

How to Track Sent Emails on Gmail Using Chrome

ที่มา:

mailtrack

mailmaster

sysadmin.psu.ac.th

bowkraivanich

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: GUYMAGER Acquisition Tool

Digital Forensics: GUYMAGER Acquisition Tool

 บทความนี้จะเน้นเกี่ยวกับพื้นฐานเกี่ยวกับการเก็บหลักฐาน

 ทดสอบ การสร้าง Forensic Image โดยใช้โปรแกรม GUYMAGER

GUYMAGER Acquisition Tool  กับ Kingston  DataTraveler 8 GB  โดยใช้เครื่อง Macbook pro เป็นเครื่องทำสำเนาหลักฐาน

1.โปรแกรม Guymager จะอยู่รวมใน Deft  ให้ทำการ Download โปรแกรม deft   ซึ่งเป็น Linux Live ไฟล์ ISO 

 
    หมายเหตุ : การทดสอบนี้ ไม่ได้ผ่านอุปกรณ์     Hardware Write Blocker    

 

2. ทำการ  Boot คอมพิวเตอร์ จาก แผ่น DVD Deft  แล้ว เปิดโปรแกรม Guymager

 

3. เลือก  Disk ที่จะทำ Image  ใช้คำสั่ง  Acquire Imageทำการ  ตั้งชื่อไฟล์  CFSMGuy01.E01 

4.เมื่อทำเสร็จแล้วตรวจสอบ Hash Value

MD5 Hash : 0eec2711d4595b8e9a5294e50d79ee66c

 เมื่อทำเสร็จจะได้ Report  แสดงรายละเอียด Forensic Image , Flash Drive ,ค่า Hash MD5,SHA1 

DEFT Zero (2018.2) ready for download

Support for the new Apple Macbook and Macbook Pro

As promised, here the link to download the new DEFT Zero, the first Linux live distro “sugar free”
Remember that DEFT Zero is designed for the cloning machines, less than 650 megabytes in ram!
Iso: http://na.mirror.garr.it/mirrors/deft/zero/deftZ-2018-2.iso

Md5: cd410c27ac580f0efd1d7eab408b4edb
What’s new?
– Official support for the new Apple Macbook and Macbook Pro
– Guymager 0.8.8 with Afflib support
– VeraCrypt 1.22
– Resource controll panel integrated on the desktop
– Root password: “deft”

If there are problems or bugs, report them to us as well! Thank you!

Enjoy DEFT!

  

สามารถ Download CFSMGuy01.info Report

หมายเหตุ: (Acquisition Stage) สิ่งสำคัญในการทำ Disk Image  ควรผ่านอุปกรณ๋ Write Blocker เพื่อป้องกันการเขียนทับหลักฐานต้นฉบับ (Original Evidence) และเป็นผลดีต่อพยานหลักฐาน  (ACPO,2012)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

DIGITAL FORENSICS: การถ่ายภาพในที่เกิดเหตุ

DIGITAL FORENSICS:มาเป็น CSI กันเถิด ตอนที่ 3: การถ่ายภาพในที่เกิดเหตุ

หัวข้อต่อมาที่ได้เรียนคือ Photography ถ้าใครมีพื้นฐานเรื่องกล้องมาก่อนจะเข้าใจการทำงานของกล้องได้ง่ายขึ้น และมันจะดีมาก
แต่ก่อนอื่นอาจารย์ได้พูดถึงหน้าที่ของ CSI ซึ่งมีดังนี้
1. เข้าจุดเกิดเหตุ
2. รักษาสถานที่เกิดเหตุ
3. ตรวจสอบและตีความสถานที่เกิดเหตุ
4. บันทึกหลักฐาน
5. เก็บหลักฐาน
6. เตรียมเอกสาร
7. เก็บรักษาหลักฐาน (ที่จะนำไปแสดงในศาล)
8. การส่งต่อหลักฐาน
9. แสดงหลักฐานต่อศาล

(จะเห็นได้ว่าปลายทางของงานนี้คือการนำหลักฐานที่ได้จากจุดเกิดเหตุและเกี่ยวข้องกับคดีมาใช้ในศาล)
ต่อมาจะเข้าสู่เรื่องการถ่ายภาพค่ะ การถ่ายภาพที่ใช้ในที่เกิดเหตุมีทั้งจะมีทั้งแบบรูปถ่ายและวีดีโอ (ส่วนมากวีดีโอจะใช้กับเหตุใหญ่ๆ)
หลักสำคัญที่อาจารย์พูดถึงคือ
Exposure = intensity (aperture / f number) x time (shutter)
เมื่อถึงจุดเกิดเหตุแล้ว อย่างแรกที่ต้องทำคือถ่ายภาพค่ะ ถ่ายมันทุกอย่างทุกมุม

 

อ่านเพิ่มเติม

• การถ่ายภาพในที่เกิดเหตุ 
• การปฎิบัติงานในสถานที่เกิดเหตุ 
• การตรวจค้นและยึดพยานหลักฐานดิจิทัล 
  
• การตรวจยึดพยานหลักฐานทางคอมพิวเตอร์
• วิธียึดคอมพิวเตอร์
• วิธีการปฏิบัติต่อของกลางประเภทอุปกรณ์คอมพิวเตอร์ และอุปกรณ์อิเลคทรอนิกส์ เพื่อนำส่งตรวจพิสูจน์

 

ที่มา :ติ่งให้ไกล ไปเรียนให้ถึงอังกฤษ – Aki_Kaze
 Download

 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:หลักการชั่งน้ำหนักและการรับฟังพยานหลักฐานดิจิทัลในชั้นศาล

Digital Forensics:หลักการชั่งน้ำหนักและการรับฟังพยานหลักฐานดิจิทัลในชั้นศาล

การสัมมนาเพื่อพัฒนานวัตกรรมการอำนวยความยุติธรรม หัวข้อ "หลักการชั่งน้ำหนักและการรับฟังพยานหลักฐานดิจิทัลในชั้นศาล" โดยนายธานี สิงหนาท ผู้ช่วยผู้พิพากษาศาลฎีกา และ หัวข้อ The challenges of big data in criminal procedure : how to handle digital discovery and use as digital evidence โดยนางสาวอัมภัสชา ดิษฐอำนาจ ผู้พิพากษาศาลชั้นต้นประจำสำนักประธานศาลฎีกา

how to handle digital discovery and use as digital evidence

ที่มา: การสัมมนาเพื่อพัฒนานวัตกรรมการอำนวยความยุติธรรม สำนักงานศาลยุติธรรม 14-15 สิงหาคม 2561

 

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #พยานหลักฐานดิจิทัล 

Digital Forensics: คุณลักษณะเฉพาะเครื่องมือวิทยาศาสตร์

Digital Forensics:คุณลักษณะเฉพาะเครื่องมือวิทยาศาสตร์ ปี ๒๕๖๑

๒/๒๕๖๐      ชุดอุปกรณ์ตรวจพิสูจน์หลักฐานคอมพิวเตอร์พื้นฐาน
๓/๒๕๖๐      ชุดเครื่องมือและโปรแกรมตรวจพิสูจน์หลักฐานบัตรอิเล็กทรอนิกส์ 
๑๗/๒๕๖๐    อุปกรณ์เก็บรักษาวัตถุพยานประเภทโทรศัพท์เคลื่อนที่ 
๓๒/๒๕๖๐    อุปกรณ์เก็บสำรองข้อมูลวัตถุพยานหลักฐานดิจิทัล
๙/๒๕๖๑      ชุดอุปกรณ์เครื่องมือและชุดโปรแกรมในการตรวจพิสูจน์หลักฐานทางคอมพิวเตอร์
๑๐/๒๕๖๑     เครื่องทำสำเนาข้อมูลดิจิทัล
๑๑/๒๕๖๑    อุปกรณ์ป้องกันการเขียนทีบข้อมูลดิจิทัล 
๑๓/๒๕๖๑    ชุดโปรแกรม ตรวจพิสูจน์หลักฐานทางคอมพิวเตอร์ EnCase
๑๔/๒๕๖๑    ชุดโปรแกรมสำหรับตรวจพิสูจน์กล้องวงจรปิด
๑๕/๒๕๖๑    ชุดโปรแกรมสำหรับตรวจพิสูจน์แฟ้มข้อมูลวีดีทัศน์
๑๖/๒๕๖๑    ชุดโปรแกรมสำหรับกู้ข้อมูลดิจิทัล
๑๗/๒๕๖๑    ชุดโปรแกรมตรวจพิสูจน์ข้อมูลระบบโซเซี่ยลเน็ตเวิร์ค
๑๘/๒๕๖๑    ชุดตรวจพิสูน์โทรศัพท์เคลื่อนที Cellebrite
๒๑/๒๕๖๑    เครื่องถอดรหัสลับคอมพิวเตอร์
๒๓/๒๕๖๑    ชุดโปรแกรมตรวจพิสูจน์หลักฐานคอมพิวเตอร์ ADF
๒๔/๒๕๖๑    ชุดโปรแกรมตรวจพิสูจน์หลักฐานคอมพิวเตอร์ FTK
๓๐/๒๕๖๑    คุณลักษณะเฉพาะ เครื่องตรวจพิสูจน์หลักฐานคอมพิวเตอร์
๓๑/๒๕๖๑    คุณลักษณะเฉพาะ  ชุดเครื่องมือและอุปกรณ์ตรวจพิสูจน์วัตถุพยานอิเล็กทรอนิกส์



ที่มา:สำนักงานพิสูจน์หลักฐานตำรวจ (Office of Police Forensic Science)
https://bit.ly/2Skd2eR

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#computerforensics
#digitalforensics  

Digital Forensics: Forensics 101: Acquiring an Image with FTK Imager

Digital Forensics: Digital Forensics 101: Acquiring an Image with FTK Imager

AccessData® FTK® Imager 3.4.0.1  เป็นเครื่องมือที่ใช้ในการสำเนาข้อมูลจากหลักฐานดิจิทัล แหล่งที่มา: หน้า 21 ข้อเสนอแนะมาตรฐานการจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์พยานหลักฐาน version 1.0

ภาคผนวก ค ตัวอย่างเครื่องมือในงานตรวจพิสูจน์หลักฐานดิจิทัล (Forensic data acquisition tools ) สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน)
           (1.2) ชนิดซอฟต์แวร์  ได้ระบุ โปรแกรม FTK Imager  ไว้ในเอกสาร จัดทำโดย สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอสิกส์ (องค์การมหาชน)
โปรแกรม FTK® Imager  สามารถทำงานบน Flash Drive โดยไม่มีการติดตั้งโปรแกรมลงในเครื่องคอมพิวเตอร์ ( Portable  )  เป็นโปรแกรมที่นิยมใช้ในการเก็บหลักฐานในรูปแบบการทำสำเนาข้อมูล (Forensic Image)  และสามารถแสดงรายงานข้อมูลที่เก็บและทำสำเนาได้โดยระเอียด( Case Information)

 

1. From the File menu, select Create a Disk Image and choose the source of your image. In the interest of a quick demo, I am going to select a 8GB Flash Drive 

เลือก Physical Drive ที่ต้องการทำ Image

 
สิ่งสำคัญในการทำ Disk Image  ต้องผ่านอุปกรณ๋ Write Blocker เพื่อป้องกันการเขียนทับหลักฐาน (Evidence)

 Kingston  DataTraveler 3. USB Device

 

2 Click Add... to add the image destination. Check Verify images after they are created  

  3. Next, select the image type. The type you choose will usually depend on what tools you plan to use on the image. The dd format will work with more open source tool

If your version of FTK requests evidence information, you can provide it. If you select raw (dd) format
 4.  ทำการใส่รายละเอียด ชื่อคนทำ ชื่อเคส ใน Evidence Item Information

Select the Image Destination folder and file name.Click Finish to complete the wizard.

Filename CF-SM-FD_FTK01

 

5. Click Start to begin the acquisition:

 

A progress window will appear.

 

6. FTK Imager also creates a log of the acquisition process and places it in the same directory as the image.

(Test Write Blocker.001.txt)

รายละเอียด ยืนยันความครบถ้วนสมบูรณ์ของข้อมูลที่สำเนาได้ ด้วยการคานวณและเปรียบเทียบค่า แฮช ของต้นฉบับและสาเนา เช่น MD5 SHA1

 Created By AccessData® FTK® Imager 3.4.0.1

Case Information:
Acquired using: ADI3.4.0.1
Case Number: CF-SM-FD_FTK01
Evidence Number:
Unique description: CF-SM-FD_FTK01
Examiner: Smith
Notes: CF-SM-FD_FTK01+Write Blocker

--------------------------------------------------------------

Information for D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker:

Physical Evidentiary Item (Source) Information:
[Device Info]
 Source Type: Physical
[Drive Geometry]
 Cylinders: 942
 Tracks per Cylinder: 255
 Sectors per Track: 63
 Bytes per Sector: 512
 Sector Count: 15,138,816
[Physical Drive Information]
 Drive Model: Kingston  DataTraveler 3. USB Device
 Drive Serial Number: 08606E6B64AAB011D82D
 Drive Interface Type: USB
 Removable drive: True
 Source data size: 7392 MB
 Sector count:    15138816
[Computed Hashes]
 MD5 checksum:    0eec2711d4595b8e9a5294e50d79ee66
 SHA1 checksum:   e100eec8e80b9df8279f77f1bc7f09375702eab1

Image Information:
 Acquisition started:   Tue Aug 14 18:00:27 2018
 Acquisition finished:  Tue Aug 14 18:06:16 2018
 Segment list:
  D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker.001
  D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker.002
  D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker.003
  D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker.004
  D:\Test Write Blocker\CF-SM-FD_FTK01\Test Write Blocker.005

Image Verification Results:
 Verification started:  Tue Aug 14 18:06:23 2018
 Verification finished: Tue Aug 14 18:09:21 2018
 MD5 checksum:    0eec2711d4595b8e9a5294e50d79ee66 : verified
 SHA1 checksum:   e100eec8e80b9df8279f77f1bc7f09375702eab1 : verified

Forensic Data Acquisition - Hardware Write Blockers

อ้างอิง : ข้อเสนอแนะมาตรฐาน การจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์พยานหลักฐาน Version 1.0 จัดทำโดย คณะทางานจัดทาร่างมาตรฐานการปฏิบัติงานตรวจพิสูจน์พยานหลักฐานดิจิทัล
สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) Download

ที่มา:
#FTK IMAGER Step By Step
#Accessdata Certified Examiner 
#how-to-investigate-files-with-ftk-imager
#Forensics 101: Acquiring an Image with FTK Imager
#Digital Forensics Certification

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD