Introduzione

Questa guida illustra concisamente la suite The Sleuth Kit, composta dal programma Sleuthkit specificatamente progettato per l'analisi forense. Esso supporta svariati tipi di filesystem come ad esempio NTFS, FAT, exFAT, HFS+, Ext2/3/4, UFS1/2 e YAFFS2, mentre il programma Autopsy è il front-end che fornisce l'interfaccia grafica per la suite The SleuthKit.

L'uso improprio o malaccorto dei programmi distribuiti con la suite The Sleuth Kit può condurre a commettere il reato di accesso abusivo ad un sistema informatico. Pertanto si ricorda che è vietato accedere a contenuti di terzi, senza l'esplicita e preventiva autorizzazione dei medesimi.

Sleuthkit

La suite The Sleuth Kit ha un ricco corredo di funzioni per svolgere l'analisi forense, in grado di girare su qualsiasi piattaforma UNIX.

Il programma Sleuthkit è da usare tramite terminale. Se si desidera usare un'interfaccia grafica leggere questo paragrafo.

Installazione

Installare il pacchetto sleuthkit.

Utilizzo

Sleuthkit è un programma in grado di trovare, recuperare e ricostruire sia interi filesystem sia i loro singoli contenuti, come directory e file, anche se cancellati o nascosti.

Per approfondire l'uso consultare la documentazione ufficiale.

dls è in grado di estrarre i blocchi non allocati (cancellati) da un dispositivo o da un file immagine con il comando:
```
dls inputimage > outputimage
```
In seguito si dovrà usare un programma di recupero dati per cercare i file dall'immagine di output.
fls elenca i nomi dei file e delle cartelle di un'immagine ed è in grado di visualizzare i nomi dei file eliminati di recente dalle cartelle con l'inode specificato. Se il filesystem è stato recuperato in un file chiamato "loopfile", è possibile elencare il contenuto digitando il comando:
```
fls loopfile -r -f fat -i raw
```
La schermata mostrata sarà simile alla seguente:
```
r/r 3: test (Volume Label Entry)
r/r 0. 5: sample.docx
r/r 0. 7: sample.pptx
r/r 0. 9: sample.xlsx
```
icat apre l'immagine e copia i file con il numero di inode specificato sullo standard output. Se fls ha mostrato l'inode dei file presenti sull'immagine, per recuperare i file digitare il comando:
```
icat -r -f fat -i raw loopfile 5 > sample.docx
```
sorter ordina i file presenti in un'immagine per tipo di file. Per ordinare tutti i file presenti sul dispositivo /dev/sda1 e mettere il file immagine in una cartella denominata out digitare il comando:
```
sudo sorter -h -s -i raw -f fat -d out -C /usr/share/sleuthkit/windows.sort /dev/sda1
```
mmls mostra le partizioni che si trovano all'interno di un file immagine nel caso si sia salvato il contenuto dell'intero disco. Per listare le partizioni contenute nel file immagine, digitare il comando:
```
mmls nome_immagine -B
```

Autopsy

Autopsy è un front-end basato su html integrato nella suite The Sleuth Kit, che permette di usare il browser come interfaccia grafica, anche da remoto se connessi in rete.

Mostra i dettagli circa i dati cancellati e la struttura del filesystem sotto investigazione.

Installazione

Installare il pacchetto autopsy.

Utilizzo

Può essere avviato da LiveUSB o LiveDVD di Ubuntu o derivata, oppure da un sistema installato su altro drive. Bisognerà indicare un supporto di memoria sul quale salvare le informazioni estratte e un indirizzo IP verso il quale connettersi.

Ad esempio, assumendo che si disponga di un dispositivo montato in /media/disk con una cartella chiamata autopsy e che l'indirizzo IP sia 192.168.0.1, digitare in un terminale il seguente comando:

sudo autopsy -d /media/disk/autopsy 192.168.0.1

Per approfondire l'uso consultare la documentazione ufficiale.

Recupero dati

In questa pagina viene mostrato uno script che estrae i file da un'immagine usando fls e icat. Questo script invece cercherà di ricostruire le cartelle del filesystem e la struttura dei file.

Ulteriori risorse

CategoryAmministrazione