Latus Sensu em Perícia Digital Trabalho de Conclusão de Curso

Transcrição

1 Latus Sensu em Perícia Digital Trabalho de Conclusão de Curso VIRTUALIZAÇÃO COMO FERRAMENTA AUXILIAR NA REALIZAÇÃO DE PERÍCIAS FORENSES UTILIZANDO O SOFTWARE VIRTUALBOX Autor: Carlos Henrique de Moraes Viana Orientador: Prof. Esp. João Eriberto Mota Filho Brasília 2012

2 CARLOS HENRIQUE DE MORAES VIANA VIRTUALIZAÇÃO COMO FERRAMENTA AUXILIAR NA REALIZAÇÃO DE PERÍCIAS FORENSES UTILIZANDO O SOFTWARE VIRTUALBOX Artigo apresentado ao curso de Pós-Graduação em Perícia Digital da Universidade Católica de Brasília, como requisito parcial para a obtenção do certificado de Especialista em Perícia Digital. Orientador: Prof. Esp. João Eriberto Mota Filho Brasília 2012

3 Artigo de autoria de Carlos Henrique de Moraes Viana, intitulado VIRTUALIZAÇÃO COMO FERRAMENTA AUXILIAR NA REALIZAÇÃO DE PERÍCIAS FORENSES UTILIZANDO O SOFTWARE VIRTUALBOX, apresentado como requisito parcial para obtenção do grau de Especialista em Perícia Digital da Universidade Católica de Brasília, em 02 de Junho de 2012, defendido e aprovado pela banca examinadora abaixo assinada: Prof. Esp. João Eriberto Mota Filho Orientador Perícia Digital UCB Prof. Msc. Paulo Roberto Corrêa Leão Perícia Digital UCB Brasília 2012

4 4 VIRTUALIZAÇÃO COMO FERRAMENTA AUXILIAR NA REALIZAÇÃO DE PERÍCIAS FORENSES UTILIZANDO O SOFTWARE VIRTUALBOX CARLOS HENRIQUE DE MORAES VIANA RESUMO A virtualização surge como um paradigma em ambientes de perícia forense digital, trazendo versatilidade com suas características de isolamento e possibilidade de pausar e retomar um laboratório do ponto inicial. Torna-se cada vez mais presente no dia-a-dia de um perito o uso da virtualização na realização de perícias digitais, seja para análise do comportamento de malwares, para examinar logs de sistemas operacionais ou até mesmo para recriar e simular o tráfego de dados em uma rede. Esta pesquisa laboratorial tem como foco analisar de forma qualitativa a viabilidade do uso da virtualização como ferramenta auxiliar na realização de perícias forenses, realizando os procedimentos de conversão de máquina física em uma máquina virtual utilizando o hypervisor VirtualBox para exames forenses com o intuito de averiguar e compreender as ações dos usuários através dos logs presentes na máquina analisada. Palavras Chaves: Virtualização, Perícia Forense, máquinas virtuais, VirtualBox, SandBox, hypervisor. 1 INTRODUÇÃO A evolução tecnológica no Brasil ganhou força com a popularização da Internet na década de Novas tecnologias surgiram e consigo novos paradigmas instalaram-se no conceito de tratamento e segurança da informação. A utilização de meios computacionais para a realização de práticas criminosas tornou-se uma realidade, seja utilizando a tecnologia como meio ou como ferramenta de apoio para ações ilegais. Neste cenário, de crescimento tecnológico, também surgiram técnicas de investigações digitais para auxiliar as autoridades no combate aos crimes cibernéticos; ferramentas foram criadas com o intuito de automatizar os processos na realização de perícias forenses digitais. Entre os procedimentos mais corriqueiros na atuação de um perito em forense computacional destacam-se os exames em local de crime, no qual, busca-se a preservação e identificação dos equipamentos a serem apreendidos para análise laboratorial; exames em dispositivos de armazenamento, onde analisa-se o conteúdo de CD s, DVD s, pendrives, cartões de memória e demais dispositivos de armazenamento digital de dados com o intuito de buscar evidências da existência, exclusão ou outras ações de manipulação de arquivos realizadas no dispositivo em questão. Não mais predominante, porém tão corriqueiro quanto aos outros procedimentos citados, é a realização de investigações em sites da Internet. Onde tal procedimento possui geralmente o intuito de analisar os arquivos hospedados em um determinado domínio e a verificação das responsabilidades pela postagem e administração do site/domínio em questão. A perícia forense digital abrange desde a recuperação de arquivos, as evidências de ações suspeitas na manipulação de arquivos, a análise dos registros de eventos, conhecidos como logs, em sistemas operacionais; a análise de software mal intencionado popularmente conhecido como malware; análise em dispositivos celulares, entre outros. Logs de eventos e

5 5 demais evidências de ações criminosas em sistemas computacionais possuem a fragilidade de serem voláteis ou facilmente sobrescritos com a continuidade do uso do sistema ou equipamento; com esta característica, um dos principais desafios do perito digital é a preservação dos dados na coleta, extração e análise das informações e equipamentos questionados. Esta pesquisa tem como foco principal apresentar o uso da tecnologia de virtualização como ferramenta auxiliar na realização de perícias forenses digitais utilizando o software Virtualbox, tomando como conceito básico o isolamento dos sistemas operacionais questionados, aconselha-se o perito não inicializar os sistema presentes em discos rígidos coletados sem os devidos cuidados para a preservação dos vestígios. Sendo a virtualização uma solução que traz a premissa de possibilitar que o perito consiga utilizar uma imagem do disco rígido de um computador para analisar e compreender as ações realizadas pelos usuários no sistema operacional contido no mesmo, assim como ações de malwares e logs de eventos. 2 JUSTIFICATIVA A virtualização surgiu como uma solução tecnológica para a racionalização do uso dos equipamentos de TI gerando impactos positivos no aspecto financeiro e aspecto de disponibilidade dos serviços, mantendo assim sua presença em crescimento constante nos ambientes tecnológicos. Com o aumento do uso da virtualização o perito tem como desafio a rotina de habituar-se e adaptar-se com as diferentes ferramentas e suas peculiaridades de implementações de virtualização existentes no mercado. O perito deverá empregar seus conhecimentos não só para realizar investigações em ambientes virtualizados, como também, utilizar a tecnologia de virtualização como ferramenta do seu trabalho, devido às vantagens proporcionadas por tal tecnologia, minimizando as chances de contaminar as evidências de um caso, facilitando seu trabalho no isolamento de artefatos para análise e simulação de ambientes específicos para cada caso, sem a necessidade de um parque computacional numeroso. 2.1 DELIMITAÇÃO DO TEMA Análise do uso da tecnologia de virtualização como ferramenta auxiliar na realização de perícia digital utilizando a ferramenta Opensource Virtualbox. 2.2 CONTEXTUALIZAÇÃO DO PROBLEMA Utilização do monitor de máquinas virtuais VirtualBox como ferramenta de virtualização para realização de perícias digitais. 2.3 ENUNCIADO DO PROBLEMA Como a tecnologia de virtualização utilizando o monitor de máquinas virtuais

6 6 Virtualbox pode auxiliar na realização de perícias forenses digitais na coleta e exames de artefatos em busca da identificação, análise e compreensão das ações realizadas por usuários ou eventos ocorridos em um computador? 2.4 HIPÓTESE DA PESQUISA A necessidade de compreensão e identificação de ações realizadas em um determinado computador gera a necessidade da elaboração de estudo de caso através de pesquisa laboratorial de forma a explorar a técnica de virtualização baseada em software demonstrando qualitativamente suas características proporcionadas de isolamento e confinamento. 2.5 OBJETIVO GERAL Analisar a utilização do monitor de máquinas virtuais Virtualbox como ferramenta auxiliar na realização de perícias digitais. 2.6 OBJETIVOS ESPECÍFICOS a) b) c) d) e) Esta pesquisa possui como objetivos específicos os seguinte itens: Conceituar virtualização e perícia digital; Descrever perícia digital post mortem através do uso de técnicas de virtualização; Demonstrar vantagens e desafios do uso da tecnologia de virtualização para a prática de perícia digital; Analisar o cenário de virtualização como ferramenta para a realização de perícia digital; Apresentar a ferramenta Virtualbox como solução na elaboração de ambientes virtualizados para perícia digital. 3 REFERENCIAL TEÓRICO A seguir apresentam-se os conceitos referentes a perícia digital, computação forense, virtualização e a ferramenta VirtualBox, métodos de criação de imagens de discos, e quais os métodos de realização de perícia forense digital. 3.1 PERÍCIA FORENSE DIGITAL Ameaças à segurança da informação e crimes digitais crescem e diversificam-se desde meados da década de 1990 impulsionados pelo crescimento da acessibilidade da Internet, no Brasil o órgão responsável por tratar incidentes de segurança em computadores que envolva redes conectadas à Internet é o CERT.br Centro de Estudos, Resposta e Tratamento de

7 7 Incidentes de Segurança no Brasil. O CERT.br disponibiliza em sua página na Internet a estatística do crescimento de incidentes de segurança reportados de 1999 à 2011, como pode ser observado no gráfico 1. Gráfico 1: Incidentes reportados ao CERT.br Fonte: CERT.BR (2011) Tão importante quanto a prevenção de incidentes de segurança da informação e crimes computacionais é a análise computacional para obter informações de quando um computador foi invadido, como o mesmo foi utilizado para uma ação criminosa, se o equipamento em questão realmente foi utilizado ou não para realização de um crime computacional, entre outras informações que podem ser coletadas. O autor Sandro Melo, em seu livro intitulado Computação Forense com Software Livre, conceitua computação forense como Uma área da ciência da computação que se desenvolve gradualmente para atender à demanda oriunda da área da Criminalística, ou como também, uma parte da criminalística que se apropria de fundamentos da ciência da computação. (MELO, 2009). Perícia forense computacional ou simplesmente perícia digital é o processo de utilização do conhecimento das técnicas e metodologias criadas na computação forense, aplicado com apoio de ferramental apropriado para obter dados e artefatos e tendo como objetivo qualificá-los como vestígios, evidências ou prova no âmbito judicial. (MELO, 2009). Alguns conceitos referentes à investigação e à formalização dos exames periciais é de extrema importância para um perito, sendo eles o conceito de vestígio, evidência e prova em processos investigatórios. De acordo com o Art. 239 do Código de Processo Penal CPP, considera-se indício a circunstância conhecida e provada, que, tendo relação com o fato, autorize, por indução, concluir-se a existência de outra ou outras circunstâncias. O termo indícios é comumente utilizado como sinônimo de vestígios. Evidência é uma certeza manifesta que tem qualidade ou condição do que é evidente e que pode se tornar um fato notório, podendo a mesma ser conclusiva ou circunstancial. (MELO, 2009). Prova é aquilo que demonstra ou estabelece a verdade de um fato ou testemunho. Uma evidência validada dentro de um processo investigatório. (MELO, 2009).

8 8 Os processos ou fases do exame forense em dispositivos de armazenamento computacional definem conceitos e métodos das melhores práticas que o perito deve seguir desde o recebimento do material à ser periciado até a formulação do Laudo Pericial. Eleutério e Machado (2011), definem quatro processos na realização de exames periciais em sua obra intitulada Desvendando a Computação Forense 2011, sendo elas: preservação, extração, análise e formalização. Preservação: Consiste em garantir que as informações armazenadas no material questionado jamais sejam alteradas através da realização de cópias fiéis dos conteúdos contidos em dispositivos de armazenamento de dados para a realização da análise dos dados questionados e a realização do registro das informações através de funções conhecidas como cálculo de HASH de arquivos ou de todo o conteúdo presente no dispositivo.(eleutério; MACHADO, 2011) Extração: A recuperação de arquivos apagados e indexação dos dados são os principais procedimentos nesta fase dos exames periciais. Indexação de arquivos consiste em varrer todos os dados do dispositivo questionado, localizando ocorrências e indícios suspeitos, criando um catálogo incluindo sua localização.(eleutério; MACHADO, 2011) Análise: Consiste no exame das informações extraídas nas fases anteriores, com o intuito de identificar evidências digitais presentes no material examinado, que tenha relação com o delito investigado, através de pesquisa por palavras-chave, navegação pelo sistema de arquivos e ferramentas auxiliares, onde se enquadra a técnica de virtualização. (ELEUTÉRIO; MACHADO, 2011). Formalização: É a fase final do exame pericial, que consiste na elaboração do laudo pericial pelo perito, sendo este um documento no qual o perito aponta o resultado e apresenta as evidências digitais encontradas nos materiais examinados, devendo ser elaborado de forma a constar os principais procedimentos e as técnicas de análises adotados pelo perito. (ELEUTÉRIO; MACHADO, 2011) 3.2 IMAGENS E ESPELHAMENTO DE DISCOS RÍGIDOS. Espelhamento de dispositivos são procedimentos realizados na etapa de preservação, que consistem na cópia exata e fiel dos dados (bit a bit) contidos em um dispositivo de armazenamento computacional para outro, ver figura 1. (ELEUTÉRIO; MACHADO, 2011). O dispositivo de destino da cópia deverá ter capacidade igual ou superior ao dispositivo questionado para que não haja o risco de perda de dados, caso o equipamento de destino tenha capacidade maior que a do equipamento de origem, deve-se realizar a limpeza do espaço remanescente.(eleutério; MACHADO, 2011) Figura 1: Procedimento de espelhamento de Discos Rígidos. Fonte: ELEUTÉRIO; MACHADO (2011)

9 9 O procedimento da realização de imagens de dispositivos de armazenamento de dados consiste em copiar de forma exata e fiel o conteúdo do dispositivo questionado, tendo como destino da cópia arquivos armazenados em outro dispositivo, ver figura 2.(ELEUTÉRIO; MACHADO, 2011) Figura 2: Procedimento de criação de imagens de disco rígido em arquivos. Fonte: ELEUTERIO; MACHADO (2011) 3.3 VIRTUALIZAÇÃO A tecnologia de virtualização é capaz de permitir a execução de várias máquinas virtuais, com diferentes sistemas operacionais, em uma única máquina física. Cada máquina virtual compartilha os recursos do computador físico em diversos ambientes.(vmware) João Eriberto Mota Filho, em sua obra intitulada Descobrindo o Linux 2ª Edição 2007 conceitua virtualização completa como o processo de virtualização onde se faz necessário uma camada intermediária de comunicação entre o hardware real e o virtualizado, e que devido à esta característica consome maior quantidade de recursos físicos. (MOTA FILHO, 2007) Paravirtualização é um método de virtualização que permite virtualizar o hardware de um computador de forma parcial, tendo como uma vantagem a maior velocidade na execução de processos por acessar diretamente o hardware apenas parcialmente, assim como, maior performance devido utilização limitada de recursos computacionais. (MOTA FILHO, 2007) O software capaz de prover a virtualização hospedando sistemas operacionais em máquinas virtualizadas é conhecido como VMM Virtual Machine Monitor ou simplesmente Hypervisor, sendo este aplicativo o responsável por todo o controle dos recursos virtuais, como, processadores, memória, dispositivos de entrada, saída e armazenamento de dados, ver figura 3. (FERRAZANI, 2011) Figura 3: Relação entre Hardware, VMM e máquinas virtuais. Fonte: FERRAZANI ( 2011)

10 VIRTUALBOX O VirtualBox é um aplicativo de virtualização apropriado para instalações em computadores baseados em plataformas Intel ou AMD, podendo ser instalado e executado em sistemas operacionais Windows, Mac, GNU/Linux ou Solaris. Sendo os únicos limites a capacidade de espaço livre em disco e memória.(virtualbox, 2012) Podemos observar a interface do aplicativo VirtualBox, instalado em um sistema operacional Fedora Core 16 rodando máquinas virtuais Windows XP SP3 e Windows 7 Ultimate, na figura 4. Figura 4: Máquinas virtuais com diferentes sistemas operacionais. Com relação ao VirtualBox podemos destacar o recurso de testes e recuperações de desastres, onde uma máquina virtual pode ser considerada um "container" podendo ser arbitrariamente congelada, iniciada e copiada entre hospedeiros.(virtualbox, 2012) Outro recurso proporcionado com VirtualBox é chamado de "snapshots", onde pode-se salvar um determinado estado de uma máquina virtual e voltar a esse estado, caso necessário. Com isso pode-se facilmente voltar para um snapshot anterior evitando assim a necessidade da realização de backups e restaurações freqüentes.(virtualbox, 2012) O VirtualBox traz como características a portabilidade, sendo possível utilizá-lo em sistemas operacionais hospedeiros de 32 ou 64 bits. O VirtualBox também possui suporte completo à ACPI - Advanced Configuration and Power Interface (ACPI), também facilitando a clonagem de imagens de máquinas reais ou de terceiros em máquinas virtuais do VirtualBox.(VIRTUALBOX, 2012) Os sistemas operacionais suportados como hospedeiros do VirtualBox atualmente são: (virtualbox.org) Windows XP, Windows Server 2003 (32 bits), Windows Vista (32 bits e 64 bits), Windows Server 2008 (32-bit e 64-bit), Windows 7 (32 bits e 64 bits), Anfitriões do Mac OS X, 10.5 (Leopard, 32-bit), 10.6 (Snow Leopard, 32 bits e 64 bits), 10,7 (Leão, 32 bits e 64 bits). Hosts Linux (32 bits e 64 bits). 3.5 CONCEITO DE CONFINAMENTO ATRAVÉS DE MÁQUINAS VIRTUAIS Em determinadas situações um perito terá que realizar exames forenses para analisar ações de usuários ou de softwares maliciosos, uma série de cuidados se faz necessário para a execução de aplicativos desconhecidos e que possa trazer potenciais problemas no laboratório onde está sendo realizado o procedimento. A forma mais segura é executar programas apenas

11 11 em SandBox (Caixas de Areia). (FARMER; VENEMA, 2007) SandBox é um método de confinamento para análise forense, no qual, tem como principal característica o isolamento dos programas analisados para que os mesmos não comprometam o ambiente ou tenha comunicação externa.(farmer; VENEMA, 2007). Pode-se implementar uma SandBox através do uso de máquinas físicas completamente isoladas, ou através do uso da tecnologia de Virtualização. Dois cenários possíveis para implementação de uma SandBox através do uso de Máquinas virtuais são: Virtualização com máquinas virtuais baseadas em Hardware Exige recursos de hardware que inviabiliza fisicamente e financeiramente a implementação de laboratório para realização de exames periciais. (FARMER; VENEMA, 2007) Virtualização com máquinas virtuais baseadas em Software Tem como característica facilitar a realização repetitiva de exames periciais nas condições iniciais exatas. (FARMER; VENEMA, 2007) 3.6 CONCEITUAÇÃO DE FUNÇÃO UNIDIRECIONAL HASH Um método para garantir a integridade de um dado, informação, imagem de disco, entre outros, em uma realização de exames periciais é a realização da verificação através do uso de funções unidirecionais conhecidas como HASH. O HASH é uma função matemática que realiza o cálculo à partir de uma entrada de qualquer tamanho gerando em uma saída de tamanho fixo, pequena sequência de bits conhecida como valor do hash, de acordo com o algoritmo utilizado para o cálculo. (ELEUTÉRIO; MACHADO, 2011) Ao alterar o arquivo, por menor que seja a alteração, o valor do hash para o mesmo arquivo será diferente do valor calculado anteriormente à alteração, garantindo assim a integridade da informação à ser periciada. O hash é uma função unidirecional por não possibilitar retornar a informação original a partir do valor do hash, sendo os algoritmos utilizado para a realização do cálculo de Hash o MD5(gera valores de hash de 128bits), o SHA1(gera valores de hash de 160 bits), SHA256(gera valores de hash de 256 bits) e o SHA512(gera valores de hash de 512 bits). (ELEUTÉRIO; MACHADO, 2011) 4 ANÁLISE DE DADOS A seguir serão realizadas as atividades laboratoriais referente ao estudo de caso, constituído de coleta de imagem de disco rígido, conversão de padrão de imagens e criação de máquina virtual para exame pericial com o intuito de analisar a viabilidade da solução de virtualização como um método de realização de perícias digitais. Para a realização do estudo de caso e análise dos dados laboratoriais foram utilizados: a) Um microcomputador arquitetura PC 32Bits Possuindo como características de configuração: Processador Intel Celeron D, 2 GB de RAM e disco rígido com espaço de 80GB. b) Um notebook ASUS com processador Intel Core I5, 4GB de memória RAM e disco rígido de 500GB de espaço. c) Um conversor modular COMTAC para converter conexões IDE, Mini IDE e SATA para conexões USB2.0.

12 12 Foi instalado o sistema operacional Windows 7 Ultimate 32Bits utilizando uma partição de disco rígido com tamanho de 15GB, sendo que o sistema em questão cria uma partição reservada de disco com tamanho de 100MB. O computador utilizado foi disponibilizado para uma colaboradora utilizá-lo, com o intuito de gerar informações, tais como, troca de senhas de usuários e Log s de segurança e instalação de softwares, entre outros, por um período de 3 dias. 4.1 COLETA ATRAVÉS DE IMAGEM COM DD OU DCFLDD Para a coleta da imagem do disco rígido se fez necessário a elaboração de laboratório onde foram utilizados o disco questionado hospedeiro do sistema operacional à ser analisado, o conversor de conexões para interligar o disco rígido ao notebook configurado com o sistema operacional fedora e as ferramentas necessárias para o estudo de caso, ver figura 5. Figura 5: Laboratório para realização de imagem de Disco Rígido Os aplicativos dd ou o dcfldd foram utilizados para a realização da imagem do disco rígido questionado, onde ambos possuem como característica a cópia íntegra de arquivos bloco a bloco, não importando assim qual o sistema de arquivos utilizado no disco onde estão os arquivos questionados. Por este motivo é utilizado como ferramenta para a realização de imagens exatas de discos rígidos. Comando utilizado para realização de imagem do disco rígido, utilizando DD: [root@carlos VirtualBox VMs]# dd if=/dev/sdc2 of=analise/caso-win7artigo.dd registros de entrada registros de saída bytes (16 GB) copiados, 594,478 s, 26,3 MB/s Também foi realizada a imagem da partição reservada pelo sistema operacional por conter alguns arquivos referentes ao Boot (inicialização do sistema). [root@carlos VirtualBox VMs]# dd if=/dev/sdc1 of=analise/caso-win7artigo-reservada.dd registros de entrada registros de saída bytes (105 MB) copiados, 3,73329 s, 28,1 MB/s Os mesmos procedimentos para a criação das imagens das partições do Disco Rígido

13 13 foram realizado utilizando a ferramenta DCFLDD: [root@carlos VirtualBox VMs]# dcfldd if=/dev/sdc1 of=analise/caso-win7artigo-dcfldd.dd [root@carlos VirtualBox VMs]# dcfldd if=/dev/sdc2 of=analise/caso-win7artigo-dcfldd-dados.dd Através do comando ls -lta podemos observar que as imagens realizadas pelo DD e pelo DCFLDD possuem o mesmo tamanho em disco. 4.2 INTEGRIDADE DA INFORMAÇÃO ATRAVÉS DE HASH Com o intuito de garantir a integridade dos dados coletados utilizamos funções unidirecionais conhecidas como cálculo de HASH, aconselha-se a utilização de no mínimo dois algorítmos, onde utilizamos o MD5 e o SHA256. Cálculo utilizando MD5: [root@carlos analise]# md5sum caso-win7artigo.dd b0fe163bce3d3c5ca296d78b6d014f44 caso-win7artigo.dd [root@carlos analise]# md5sum caso-win7artigo-reservada.dd ef bdc2e3a8de685d34653b8 caso-win7artigo-reservada.dd Cálculo utilizando SHA256: [root@carlos analise]# sha256sum caso-win7artigo.dd 88ca37fc85a3f6d005c5a93bf8eb9483e87c0ad0c1cc29f6b91c f caso-win7artigo.dd [root@carlos analise]# sha256sum caso-win7artigo-reservada.dd d3dfef293cab42a736aa8639b704ae1de6c4b1dd5eab723967a2e9e289b0a9bd reservada.dd caso-win7artigo- 4.3 CONVERSÃO DE IMAGENS DO TIPO RAW PARA VDI Para converter uma imagem do tipo RAW, criada através do uso de aplicativos como o DD e o DCFLDD, o virtualbox possui seu próprio procedimento através do seguinte comando interno: [root@carlos analise]# VBoxManage convertfromraw --format VDI caso-win7artigo.dd casowin7artigo.vdi Converting from raw image file="caso-win7artigo.dd" to file="caso-win7artigo.vdi"... Creating dynamic image with size bytes (14900MB)... [root@carlos analise]# VBoxManage convertfromraw --format VDI caso-win7artigo-reservada.dd caso-win7artigo-reservada.vdi Converting from raw image file="caso-win7artigo-reservada.dd" to file="caso-win7artigoreservada.vdi"... Creating dynamic image with size bytes (100MB)... O mesmo procedimento foi realizado para as imagens geradas pelo dcfldd como opção secundária no estudo de caso.

14 CRIAÇÃO DE MÁQUINAS VIRTUAIS COM DISCOS IMUTÁVEIS O comando VboxManager responsável por converter uma imagem do tipo RAW em máquina virtual VDI para o VirtualBox requer que estejamos logado no sistema como usuário root. Para que os arquivos criados pelo VboxManager possam ser utilizados pelo VirtualBox precisamos alterar o dono dos mesmos, fazendo com que os arquivos possuam como dono o mesmo usuário que o VirtualBox usa para sua execução. Utilizamos o seguinte procedimento para alteração do dono do arquivo gerado pela conversão de imagens em máquina virtual, lembrando que o usuário utilizado pelo VirtualBox no notebook utilizado é henrique : [root@carlos analise]# chown henrique caso-win7artigo.vdi [root@carlos analise]# chown henrique caso-win7artigo-reservada.vdi Prosseguindo com o estudo de caso, criamos a máquina virtual na ferramenta VirtualBox utilizando o seguinte passo-a-passo: a) Ao abrir o aplicativo VirtualBox, escolhemos o menu Nova, onde o mesmo abre uma janela secundária para nomear a nova máquina virtual e definir qual o sistema operacional estará instalado na mesma. b) Nomeamos a nova máquina como win7-caso-artigo, definimos o sistema Windows 7 de 32bits como o sistema nativo da máquina virtual, o mesmo que estava instalado na máquina física convertida. c) Selecionamos 1GB de memória RAM para a máquina que estamos a criar. d) Ao aparecer o menu de criação de discos para a nova máquina virtual, escolhemos a opção de Utilizar Disco Rígido Existente onde podemos navegar pelos diretórios da máquina hospedeira e importar os discos convertidos. A figura 6 apresenta o procedimento citado. Figura 6: Importação de Discos Virtuais. e) Importamos inicialmente apenas o disco correspondente à partição onde estava instalado o sistema operacional, ou seja, o disco com tamanho de 15GB e confirmamos a configuração da máquina virtual ao clicar na opção criar.

15 15 f) Antecipadamente à inicialização do sistema utilizamos o gerenciador de mídias virtuais do VirtualBox para aplicar a configuração de discos imutáveis, fazendo com que ao reiniciar a máquina virtual os discos retornem ao estado inicial, facilitando a realização de testes por diversas vezes sem alteração do conteúdo presente nos discos da máquina virtual, ver figura 7. Figura 7: Configuração de Discos Virtuais Imutáveis. 4.5 PROBLEMAS OCORRIDOS O sistema não inicializou corretamente e também não surgiu nenhuma mensagem de erro, com o surgimento do problema em questão se fez necessária a verificação das configurações pós criação da máquina virtual, com o intuito de solucionar o problema, desabilitamos a aceleração de hardware presente na máquina virtual, como mostra a figura 8. Figura 8: Inicialização da máquina virtual e Configuração de aceleração de processamento. Ao problema persistir na inicialização da máquina virtual, importamos também o disco referente à partição reservada pelo sistema por ela conter arquivos necessários para a inicialização do sistema. Obtemos como retorno de nossas alterações a seguinte mensagem Ocorreu um erro de leitura do Disco, ver figura 9.

16 16 Figura 9: Erro de leitura de Disco Virtual. Como não foi possível a inicialização da máquina virtual, retornamos à máquina física para refazer a imagem do disco em questão utilizando a ferramenta FDTK-UbuntuBr, um projeto livre que objetiva produzir e manter uma distribuição para coleta e análise de dados em perícias forenses computacionais. Iniciando a máquina física pelo LiveCD FDTK-UbuntuBr, realizando o procedimento de criação das imagens através da ferramenta dd, refazendo os cálculos de hash e armazenando os arquivos gerados em disco rígido externo, posteriormente criamos a máquina virtual com a importação dos discos virtuais. Após toda a coleta de dados necessária foram realizadas as conversões das imagens para discos em formato VDI (padrão para máquinas virtuais no VirtualBox). O problema persistiu, e para uma nova tentativa utilizamos a ferramenta VMware Converter sendo o mesmo um produto de classe empresarial para gerenciamento e automação de conversões em grande escala de máquinas físicas em máquinas virtuais, criando imagens com extensão VMDK. Como o VirtualBox consegue gerenciar máquinas virtuais com discos do tipo VMDK, criamos a máquina virtual novamente e importamos os Discos VMDK, ao inicializar o sistema o problema persistiu. Foram instaladas todas as versões comercializadas do Sistema Operacional Windows 7 e realizado todos os procedimentos citados anteriormente no estudo de caso, porém em nenhuma versão obtemos sucesso na inicialização da máquina virtual. Em todos os laboratórios montados com o intuito de concluir o estudo de caso indiferentemente da configuração física ou lógica não foi possível iniciar a máquina virtual para análise do sistema operacional instalado nas imagens dos discos migrados de um microcomputador físico. 4.6 ANÁLISE DO PROBLEMA OCORRIDO O Kernel e os drivers do sistema operacional Windows 7 dependem das características do Hardware da máquina ao qual está instalado, esta característica é conhecida como HAL Hardware Abstract Layer ou Camada de abstração de Hardware, sendo este um dos motivos pelo qual em uma migração do sistema operacional de uma máquina física para uma máquina virtual o resultado do procedimento apresenta problemas na inicialização do sistema na máquina virtual.(virtualbox, 2012). O VirtualBox.org recomenda que, em um processo de uma migração de máquina física para máquina virtual, além da habilitação do suporte I/O APIC também seja realizado uma

17 17 substituição do HAL. A substituição do HAL do sistema Windows é realizado através da inicialização da máquina virtual por um CD da versão do sistema operacional instalado e seja realizado uma instalação de reparação do sistema.(virtualbox, 2012) Outro problema que causa falha na inicialização é o fato de que o Windows armazena/registra a controladora de disco IDE/ATA ao qual foi instalado, sendo necessário alterações no registro do windows para solucionar o problema de falha na inicialização. (VIRTUALBOX, 2012) Caso ao inicializar a máquina virtual ou computador físico com o CD da versão do sistema e seja realizado a reparação da inicialização e mesmo assim o sistema continuar apresentando problemas de inicialização é necessário refazer o processo, porém, ao invés de inicializar a opção de reparação da inicialização é necessário optar pelo menu de inicialização pelo prompt de comando e recriar a Mbr do disco e fixar as configurações de Boot do sistema. (MICROSOFT, 2006). A Microsoft implantou a tecnologia de discos rígidos virtuais VHD à partir do Windows 7 e Windows server 2008, com o principal intuito de facilitar ambientes de préinstalação corporativos no desenvolvimento, suporte e manutenção de grandes parques de TI. É necessário a utilização de aplicativos tais como o DiskPart e o Gerenciador HyperV(disponível apenas nos computadores com o Windows Server 2008) para a criação dos VHD s e o uso do Sysprep, um utilitário utilizado para remover dados de usuários para que a imagem possa ser replicada em outro computador. Apenas as versões do Enterprise e Ultimate do Windows 7 são inicializáveis por VHD.(MICROSOFT, 2006) 5 CONCLUSÃO Com o intuito de utilização da virtualização como laboratório complementar em uma análise forense com foco na análise das ações do usuário, logs de segurança e logs de instalação de aplicativos optamos por analisar o sistema operacional Windows 7 por sua popularidade. Realizamos a criação de imagens do disco rígido questionado e, seguindo as boas práticas recomendadas pela comunidade responsável por manter a ferramenta de gerenciamento de máquinas virtuais VirtualBox, convertemos a imagem criada do disco físico para uma máquina virtual. Independentemente da utilização de diferentes técnicas de configuração de ambientes laboratoriais, não foi possível a conclusão com sucesso do estudo de caso por problemas de inicialização do sistema operacional virtualizado, onde entre as possíveis causas do problema encontra-se, como uma das principais, a camada de abstração de hardware implantada no sistema operacional analisado. Em todas as formas laboratoriais analisadas de migração de uma máquina física para uma máquina virtual utilizando o VirtualBox como hypervisor e o sistema operacional Windows 7 como o sistema virtualizado, mesmo utilizando ferramentas proprietárias, foram necessárias alterações de registro e da camada de abstração de hardware através de ferramentas de terceiros ou o próprio CD da versão do sistema operacional analisado para a realização de instalação reparatória com a premissa de correção da inicialização do sistema. A intervenção de alteração de registros ou instalação reparatória do sistema operacional invalida a prova prejudicando a elaboração do laudo pericial por não ser possível a afirmação correta de que a alteração tenha sido realizada por um malware ou pelo procedimento adotado para reparação da inicialização do sistema. No caso da instalação reparatória do sistema, os logs de instalação de softwares, assim

18 18 como os logs das ações dos usuários cadastrados podem ser perdidos, fazendo com que não seja possível a elaboração do laudo pericial das ações realizadas pelos usuários durante a utilização do sistema questionado. A virtualização com suas características de isolamento de sistema operacional e a possibilidade de parar, pausar e retomar a execução de uma máquina virtual mostra-se como uma ferramenta auxiliar na análise de malware, onde tal procedimento ajudará ao perito a entender como tais aplicativos atuam e o modus operandi de um criminoso, desde que o malware seja analisado em uma máquina virtual não migrada de uma máquina física. Podemos concluir que o uso da tecnologia de virtualização como ferramenta auxiliar na realização de perícias forenses digitais para análise de logs e ações de usuário torna-se inviável em procedimentos que envolvem a migração de máquinas físicas em máquinas virtuais utilizando os laboratórios descritos neste artigo. Havendo a necessidade de estudos posteriores utilizando outros sistemas operacionais, tais como, GNU/linux ou MacOS como cliente virtualizado para confirmar a total inviabilidade do procedimento em análises forenses. VIRTUALIZATION AS A TOOL IN FORENSIC EXPERTISE OF THE SOFTWARE USING VIRTUALBOX ABSTRACT Virtualization emerges as a paradigm in forensic digital environments, brings versatility with their insulation characteristics and possibility to pause and resume a laboratory of the starting point. It is becoming increasingly present daily for an expert in the use of virtualization performance of digital skills for analyze the behavior of malware, to examine logs of operating systems or even to recreate and simulate traffic data over a network. This laboratory research focuses on analyzing qualitatively the availability of using virtualization as a tool in forensic skill, performing the procedures for converting physical machine to a virtual machine using VirtualBox hypervisor for forensic examinations in order to verify and understand the actions of users through the logs on that machine analyzed. Keywords: Virtualization, Forensics, virtual machines, VirtualBox, SandBox, hypervisor. REFERÊNCIAS ELEUTÉRIO, Pedro monteiro da Silva., MACHADO, Marcio Pereira. Desvendando a Computação Forense. São Paulo: Novatec Editora, FARMER, Dan., VENEMA, Wietse. Perícia Computacional Teoria e prática aplicada. São Paulo: Pearson Prentice Hall, FERRAZANI MATTOS, Diego Menezes. Virtualização: VMWare e XEN. Rio de Janeiro, MELO, Sandro. Computação Forense com Software Livre. Rio de Janeiro: Alta Books, MOTA FILHO, João Eriberto. Descobrindo o Linux Entenda o sistema operacional GNU/Linux 2ª Edição. São Paulo: Novatec Editora, SIQUEIRA, Luciano., BRENDEL, Jens-Christoph. Linux Pocket Pro - Virtualização. São

19 19 Paulo: Linux New Media, MICROSOFT. Opções de HAL após a instalação do Windows XP ou do Windows Server Disponível em: < Acesso em 13 de março de VIRTUALBOX. Manual: Capítulo 1. Primeiros Passos. Disponível em: < Acesso em 11 de março de VIRTUALBOX. How to migrate existing Windows installations to VirtualBox. Disponível em: < Acesso em 11 de março de VIRTUALBOX. Manual: Capítulo 1. Primeiros Passos Visão Geral dos Recursos. Disponível em: < Acesso em 25 de março de VMWARE. O quê é virtualização. Disponível em: < Acesso em 08 de abril de 2012.