LABORATÓRIO DE PERÍCIA DIGITAL

Tamanho: px

Começar a partir da página:

Download "LABORATÓRIO DE PERÍCIA DIGITAL"

Ricardo Henriques Jardim
7 Há anos
Visualizações:

1 PÓS-GRADUAÇÃO LATO SENSU EM PERÍCIA DIGITAL LABORATÓRIO DE PERÍCIA DIGITAL PROFESSOR: DIEGO AJUKAS

2 ANÁLISE DE MEMÓRIA RAM Definições Vantagens Processos: Extração Análise Tipos de Análise Análise Visual vs Análise Binária Exercícios

3 DEFINIÇÕES MEMÓRIA RAM: A memória RAM, sigla para Random Access Memory (Memória de Acesso Aleatório), é a responsável por armazenar informações para acesso rápido do processador. Como seu próprio nome já diz, a memória RAM tem como principal característica permitir o acesso direto a qualquer um dos endereços disponíveis, e é essa característica que a faz ser mais rápida do que um HD (Hard Disk), diminuindo o tempo de resposta para o processador.

Como seu próprio nome já diz, a memória RAM tem como principal característica permitir o acesso direto a

4 DEFINIÇÕES FUNCIONAMENTO: Quando um programa é executado, ele é lido da mídia de armazenamento (HD, Pen Drive, etc...), e então transferido para a memória RAM. O processador busca todas as informações necessárias para a execução daquele programa diretamente da memória. Este tipo de memória possui a desvantagem de que, por ser uma memória do tipo volátil, quando a máquina é desligada, dados contidos nela são perdidos*.

O processador busca todas as informações necessárias para a execução daquele programa diretamente da

5 DEFINIÇÕES ESTRUTURA BÁSICA DE MEMÓRIA: Similarmente aos filesystems, memórias trabalham com blocos, conhecidos como páginas. O tamanho de cada página será determinado pela arquitetura de processador. Como exemplo, a arquitetura Intel para PC de 32 e 64 bits utiliza páginas com 4 KB de tamanho. Geralmente, o conteúdo das páginas é controlado pelo processo que as utiliza.

O tamanho de cada página será determinado pela arquitetura de processador.

6 DEFINIÇÕES PORQUE É IMPORTANTE: PROFILES! Cada versão de sistema operacional tem uma organização própria dentro da memória. Ex: OSForensics...

7 DEFINIÇÕES ARQUIVOS DE SWAP E DE HIBERNAÇÃO: O swap, juntamente com a RAM, compõe a memória virtual. Processamentos só ocorrem na RAM! O swap só é utilizado quando: Não há mais RAM disponível. Há hibernação habilitada (no Linux). Um swap utilizado poderá conter informações preciosas. O arquivo de hibernação é uma cópia da RAM. No MS Windows temos os arquivos pagefile.sys (swap menos frequente), hiberfil.sys (hibernação) e o novo swapfile.sys (swap frequente).

Há hibernação habilitada (no Linux). Um swap utilizado poderá conter informações preciosas.

8 VANTAGENS Menor quantidade de dados (GB x TB) Possível obter dados sobre: Processos Arquivos abertos Conteúdo Registro do Windows Conexões de rede ativas Senhas e chaves criptográficas Códigos maliciosos (malwares, rootkits, etc)

Registro do Windows Conexões de rede ativas Senhas e

9 PROCESSOS EXTRAÇÃO OU DUMP: Processo de geração de imagem. GNU/Linux e Android: LiME, dd etc. Windows: DumpIt, Forensics Frameworks etc. MAC OS X: OSXPMem etc. ANÁLISE: Processo de Análise/Investigação da imagem. Pode ser estática ou dinâmica.

10 TIPOS DE ANÁLISE ANÁLISE ESTÁTICA DE MEMÓRIA: Processo de análise efetuada em uma fotografia da memória. GNU/Linux e Android, Windows e MAC OS X: Visualizador de arquivos binários, Volatility ANÁLISE DINÂMICA DE MEMÓRIA: Análise realizada em processos em execução para identificação de comportamento. GNU/Linux e Android, Windows e MAC OS X: Debuggers

GNU/Linux e Android, Windows e MAC OS X: Visualizador de arquivos binários, Volatility

11 ANÁLISE VISUAL VS ANÁLISE BINÁRIA ANÁLISE VISUAL: A análise visual depende da criatividade e persistência. Muitas vezes é baseada em palavras chave. Poderá ser feita a partir de qualquer dump, mesmo que este tenha sido obtido a partir de uma máquina inicialmente desligada. É possível periciar arquivos de swap e hibernação. Ferramentas como strings, egrep e mcview facilitam o processo.

Poderá ser feita a partir de qualquer dump, mesmo que este tenha sido obtido a partir de uma

12 ANÁLISE VISUAL VS ANÁLISE BINÁRIA ANÁLISE BINÁRIA: Com a análise binária é possível obter diversos dados sobre o sistema operacional, como processos ativos, conexões de rede, usuários logados, além da extração de arquivos diretamente da memória. A análise binária só será possível se o dump de memória for feito a partir da máquina ligada e tendo sido operada pelo suspeito. Também é possível analisar arquivos de hibernação.

13 EXERCÍCIO WINDOWS EXTRAÇÃO/DUMPING Instalando DumpIt: Windows: Download:

14 EXERCÍCIO WINDOWS ANÁLISE Instalando volatility: Windows: Download standalone: Releases ou Volatility 2.5 Windows Python Module Installer

15 EXERCÍCIO WINDOWS ANÁLISE Determinando Profile: Imageinfo kdbgscan Comandos: pslist cmdscan netscan clipboard

16 EXERCÍCIO LINUX EXTRAÇÃO/DUMPING Instalando lime: Linux apt-get install lime-forensics-dkms

17 EXERCÍCIO LINUX ANALISE Instalando volatility: Linux apt-get install volatility ou

18 EXERCÍCIO PLUGINS Plugins apihooks - Detect API hooks in process and kernel memory atoms - Print session and window station atom tables atomscan - Pool scanner for atom tables auditpol - Prints out the Audit Policies from HKLM\SECURITY\Policy\PolAdtEv bigpools - Dump the big page pools using BigPagePoolScanner bioskbd - Reads the keyboard buffer from Real Mode memory

$auditpol - Prints out the Audit Policies from HKLM\SECURITY\Policy\PolAdtEv bigpools - Dump$

19 PÓS-GRADUAÇÃO LATO SENSU EM PERÍCIA DIGITAL LABORATÓRIO DE PERÍCIA DIGITAL PROFESSOR: DIEGO AJUKAS

Documentos relacionados

Forense em memória com volatility, LiME e outras ferramentas

Forense em memória com volatility, LiME e outras ferramentas João Eriberto Mota Filho Foz do Iguaçu, Eriberto PR, 15 out. out. 2014 1 Sumário Modelo von Neumman Estrutura básica de memória Arquivos de