「デジタルフォレンジック」の版間の差分

提供: セキュリティ
移動: 案内、 検索
 
(同じ利用者による、間の2版が非表示)
行9: 行9:
  
 
== 概要 ==
 
== 概要 ==
−
 
 
== Apple iOS ==
 
== Apple iOS ==
−
* [[iOS]] ストレージ HFSX
+
* iOS ストレージ HFSX
 
* iOS は、２つのパーティションを持つ
 
* iOS は、２つのパーティションを持つ
 
** １つ目のパーティションは、ファームウェアパーティション
 
** １つ目のパーティションは、ファームウェアパーティション
行37: 行36:
 
| %systempartition%\Users\%username%\AppData\Roaming\Apple Computer\MobileSync\Backup\
 
| %systempartition%\Users\%username%\AppData\Roaming\Apple Computer\MobileSync\Backup\
 
|-
 
|-
−
| [[MacOS]]
+
| MacOS
 
| Users/%username%/Library/Application Support/MobileSync/Backup
 
| Users/%username%/Library/Application Support/MobileSync/Backup
 
|}
 
|}
行45: 行44:
 
Keychain sqlite database バックアップファイルは、 KeychainDomain-keychain-backup.plist の [[SHA-1]] で求められる 51a4616e576dd33cd2abadfea874eb8ff246bf0e です。
 
Keychain sqlite database バックアップファイルは、 KeychainDomain-keychain-backup.plist の [[SHA-1]] で求められる 51a4616e576dd33cd2abadfea874eb8ff246bf0e です。
  
−
Crypticbit の iPhoneAnalyzerは、フリーの[[Java]] ベースのマルチプラットフォームで、[[iOS]]のバックアップからデータを取得できます。
+
Crypticbit の iPhoneAnalyzerは、フリーの[[Java]] ベースのマルチプラットフォームで、iOSのバックアップからデータを取得できます。
  
 
暗号化されたバックアップの問題。
 
暗号化されたバックアップの問題。
行55: 行54:
  
 
パスワードは、/private/var/Keychains 。
 
パスワードは、/private/var/Keychains 。
−
多くの[[iOS]]アプリケーションは、パスワードマネージメントにアップルのkeychainを使用します。
+
多くのiOSアプリケーションは、パスワードマネージメントにアップルのkeychainを使用します。
 
key-chain-2.db ファイルは、いくつものテーブル(cert, genp, inet, keys, sqlite_sequence, tversion) をもっています。
 
key-chain-2.db ファイルは、いくつものテーブル(cert, genp, inet, keys, sqlite_sequence, tversion) をもっています。
  
行65: 行64:
  
 
== フォレンジックツール ==
 
== フォレンジックツール ==
−
 
+
{{forensics}}
−
* [[EnCase]]
+
* [[Dshell]]
−
*: 商用
+
−
* [[X-Ways]]
+
−
*: フリー
+
−
* [[The Sleuth Kit]]
+
−
*: OSS ディスク調査用
+
−
* [[Autopsy]]
+
−
*: [[The Sleuth Kit]] をベースにした GUI ツール
+
−
* [[The Volatility Framework]]
+
−
*: メモリフォレンジックに特化したプラグイン拡張型ツール
+
−
* [[LiME]] - Linux Memory Extractor (lime-forensics)
+
−
*: ローダブルカーネルモジュール(LKM)です。[[Linux]]やLinuxベースのデバイスから揮発性メモリを取得します。
+
−
* [[SIFT Workstation]]
+
−
*: [[Ubuntu]] ベースのフォレンジックツール一式を収めた [[VMware]] アプライアンス
+
−
* [[TestDisk]]
+
−
*: 削除、破損したパーティション、ファイルの復元、修復ツール
+
−
* [[plaso]]
+
−
*: いろいろなデータからタイムスタンプを抽出する。タイムラインを作成するツール。 以前は、 log2timeline という名称でした。
+
−
* [[bulk_extractor]]
+
−
*: ディスクイメージから高速に情報を探索・収集する
+
−
* [[dff]]
+
−
*: ディスク調査
+
−
 
+
−
* [[metagoofil]]
+
−
*: 情報収集
+
−
* [[pev]]
+
−
*: Windows プログラムの簡易解析
+
−
* [[extundelete]]
+
−
*: ファイル復元
+
−
*: ext ファイルシステム向けのファイル復元ツールです。
+
−
*: ext3, ext4
+
−
 
+
−
* [[CrowdInspect]]
+
−
* [[triage-ir]]
+
  
 
== フォレンジック用Linux ==
 
== フォレンジック用Linux ==

2015年9月22日 (火) 11:39時点における最新版

デジタルフォレンジック ( Digital Forensics ) とは、不正アクセス の痕跡を調査することです。

コンピュータ・フォレンジクス (Computer Forensics)、フォレンジック (Forensics)。

読み方

デジタルフォレンジック
でじたる ふぉれんじっく
Digital Forensics 
でじたる ふぉれんじっく

概要

Apple iOS

  • iOS ストレージ HFSX
  • iOS は、２つのパーティションを持つ
    • １つ目のパーティションは、ファームウェアパーティション
      • ファームウェアのアップデート時以外は、リードオンリーです。
      • このパーティションは、通常 0.9 - 2.7 GB で、ユーザデータを持ちません。
      • このパーティションは、システムファイル、アップグレードファイル、基本アプリケーショだけを含むと考えられます。
    • ２つめのパーティションは、ユーザデータを持ちます。
      • SQL Lite Database
        • ネイティブ iOS アプリケーションであるカレンダー、テキストメッセージ、ノート、フォト、アドレスブックなどがデータを格納しています。
      • plist(Property List)
        • plist は、 iOS のさまざまなタイプのデータを格納するために使われるデータファイル(property fileと呼ばれます)です。

iOS デバイスの分析をする場合には、 iTunes で作成したバックアップを利用します。 Windows や MacOS の端末に iOS のデバイスを接続し、バックアップを作成します。 バックアップは、OSごとに異なる場所に保存されます。

バックアップの格納場所
OS 格納場所
Windows XP  %systempartition%\documents and settings\ %username%\Application Data\Apple Computer\MobileSync\Backup
Windows 7  %systempartition%\Users\%username%\AppData\Roaming\Apple Computer\MobileSync\Backup\
MacOS Users/%username%/Library/Application Support/MobileSync/Backup

バックアップフォルダのルートには、ステータス、info や manifest plist ファイルがあります。 Status.plist は、最新のバックアップに関する情報を提供します。Info.plist ファイルは、デバイスネーム、ビルドバージョン、電話番号、最新のバックアップデータ、プロダクトバージョン、プロダクトタイプ、シリアルナンバー、同期の設定、デバイスにインストールされているアプリケーションの名前のリストなどのようなデバイスの詳細を含んでいます。

Keychain sqlite database バックアップファイルは、 KeychainDomain-keychain-backup.plist の SHA-1 で求められる 51a4616e576dd33cd2abadfea874eb8ff246bf0e です。

Crypticbit の iPhoneAnalyzerは、フリーのJava ベースのマルチプラットフォームで、iOSのバックアップからデータを取得できます。

暗号化されたバックアップの問題。 iTunes には、暗号化バックアップの機能があり、簡単にデータを閲覧することができません。 有償の Elcomsoft の iPhone Password Breaker があります。

iPhone Explorer は、Windows や MacOS で使えるツールです。 通話履歴、SMS、写真、コンタクト、ブックマークなどを取り出せます。

パスワードは、/private/var/Keychains 。 多くのiOSアプリケーションは、パスワードマネージメントにアップルのkeychainを使用します。 key-chain-2.db ファイルは、いくつものテーブル(cert, genp, inet, keys, sqlite_sequence, tversion) をもっています。

ノートは、 /private/var/mobile/Library/Notes

テキストメッセージは、/private/var/mobile

ブラウザクッキーは /private/var/mobile/Library

フォレンジックツール

  • フォレンジックツール
  • EnCase
    商用
  • X-Ways
    フリー
  • The Sleuth Kit
    OSS ディスク調査用
  • Autopsy
    The Sleuth Kit をベースにした GUI ツール
  • The Volatility Framework
    メモリフォレンジックに特化したプラグイン拡張型ツール
  • LiME - Linux Memory Extractor (lime-forensics)
    ローダブルカーネルモジュール(LKM)です。LinuxやLinuxベースのデバイスから揮発性メモリを取得します。
  • SIFT Workstation
    Ubuntu ベースのフォレンジックツール一式を収めた VMware アプライアンス
  • TestDisk
    削除、破損したパーティション、ファイルの復元、修復ツール
  • plaso
    いろいろなデータからタイムスタンプを抽出する。タイムラインを作成するツール。 以前は、 log2timeline という名称でした。
  • bulk_extractor
    ディスクイメージから高速に情報を探索・収集する
  • dff
    ディスク調査
  • Metagoofil
    情報収集
  • pev
    Windows プログラムの簡易解析
  • extundelete
    ファイル復元
    ext ファイルシステム向けのファイル復元ツールです。
    ext3, ext4

フォレンジック用Linux

関連項目

「https://kaworu.jpn.org/security/index.php?title=デジタルフォレンジック&oldid=3088」から取得