FORENSICS 498

DAY1 : Scene Prep, Management, and Storage Interfaces

概要

演習

• DFIRワークステーションのインストール
• E01をブート可能なVMに変換する
• インターフェースの識別とBIOS/UEFI

トピックス

• Widows SIFTワークステーションの紹介
• Windows SIFTワークステーションのインストール

• 取り込み/収集に関する強い理解の必要性
• この知識の欠如がどのようにケースにダメージを与えるかを理解する
• メモリを取得しない
• BIOS情報をスキップする
• 暗号化が存在するかどうかの判断
• ISO 27037:2012 - デジタル証拠の識別、収集、取得、保存のためのガイドライン
• 今いる場所から致命的なフォレンジケーターになるには - 基礎知識
• 専門化か一般化か？すべてに精通することはできない
• 専門性を深めるための選択肢

データを理解する

• 最新の取得要件に共通するデータはどこにあるのか？
  
  • 電話
  • ネットワーク
  • 従来型
  • IoT
  • リムーバブルデバイス
  • 従来とは異なるストレージ
• トリアージや迅速な調査に必要な重要データとは？
  
  • コミュニケーションの証拠
• チャット、電子メール、電話、SMS
  
  • ブラウザ履歴の証拠
• 個人がウェブアプリを通じてどこで調べたり、読んだり、アクセスしたりしていたか
  
  • 地理的位置の証拠
• デバイスが最近どこにあったか？
• GPS、ジオタグ情報
• 写真 - EXIF内のGPS座標など
• 地図
• その他のGEOタグの成果物
• 物理的なデバイス
  
  • 回転メディア
  • フラッシュ・ストレージ
• 物理ディスクからデータストレージへ
• ファイルシステムの概要
  
  • 目的：データの整理と検索
• さまざまなファイルシステムはどのようにこれを実現しているのか？
  
  • ntfs、fat、ext、hfs、apfs
• 特殊なファイル・システム
  
  • ZFS
  • EMC
• ファイルシステムのメタデータ
  
  • タイムスタンプ
  • データの保存場所
  • セキュリティ情報
• 証拠ファイルフォーマット
  
  • デジタル・フォレンジックでよく見られるフォーマット
    
    • .E01
    • DD/RAW
    • SMART
    • .AD1/L01
• 他の誰かが証拠ファイルを作成した場合のアプローチの決定

現場管理と証拠取得

• ゴーバッグ
  
  • 現場の安全
  • 最小限の勧告とLEの対応
• 現場の文書化
  
  • スケッチ
  • 写真
  • ビデオ
  • 現場の記録
• 証拠の特定と収集
• 証拠の押収
  
  • 保管の連鎖
  • 在庫管理
• 画像化前の記憶装置の文書化
  
  • コンピュータ内部の物理的ストレージデバイス
  • エンクロージャーと実際のストレージデバイスの違い
• 証拠の保管と管理
  
  • 証拠品のロックアップ
  • 長期保管に関する考慮事項

デバイスとインターフェースの識別

• ストレージ・デバイス・インターフェースの認識
  
  • IDE、SATA、SAS、ファイバーチャネル、SCSI、USB、Firewire
• インターフェイスを変換するアダプタの使用
• BIOS/UEFIへのアクセス

DAY2 : Portable Devices and Acquisition Processes

概要

データの押収や取得に2度目のチャンスはない。初回から確実に成功させましょう。

ポータブル・デバイスは、独自の課題をもたらします。これらのデバイスはコンピュータよりもユビキタスです。今日、携帯端末が含まれていないケースはめったにありません。残念ながら、セルラーOSには標準がない。ブランド内でも、データストレージが大きく異なることがあります。このコースでは、いくつかのデバイスと、それらを取得するためのツールを紹介します。

捜査官や第一応答者は、最新のツール、デジタル・コンテナ・アクセス技術、膨大な種類のデバイスやリポジトリを識別し、アクセスし、証拠を保全するための企業手法で武装しなければならなりません。また、企業内の何千ものシステムにわたって、識別と収集を拡張できなければなりません。エンタープライズおよびクラウドストレージの収集技術は、多くのデバイスに意図的または非意図的に広がっている活動を追跡するための要件となっています。このような多数のシステムに対応することは、標準的な「ハードディスクを抜き取る」フォレンジック検査方法では達成できません。そのようなアプローチは、ハードディスク全体をフォレンジック的に画像化するのに時間がかかるため、機会を失うことになります。さらに、捜査官は、可能な限り迅速かつ責任を持って、実用的なインテリジェンスを必要としています。このコースでは、現場への最初の到着から、静止状態のデータを理解し、収集を成功させるために必要なデバイス、インターフェイス、ツールを適切に識別するための基礎まで、証拠収集の基礎を学びます。

また、データについて最善の判断ができるように、アダプターや識別はもちろんのこと、無数の収集ハードウェアとソフトウェアについても探求します。

演習

• ポータブル機器の収集
• ポータブル・デバイスの分析
• ハードディスクの消去とフォーマット
• 書き込みブロック方法
• アナリスト・マシンの準備
• タイムライン・エクスプローラーの使用

トピックス

スマートフォンの取得

• 適切なデバイス操作テクニック
  
  • 機内モード
  • ネットワークの分離
• アクイジション・ツール
  
  • セルブライト
  • IEF/Axiom
• SIM カード取得
  
  • データの取得方法とその理由
  • 地域に関する懸念

スマートフォンの分析

• アップルiOS
• アップルiOSの基礎と「クイックウィン」データ
• iOSのバックアップ
  
  • ローカルとクラウド

アンドロイド

• Androidの基本と "クイックウィン "データ
• Androidのバックアップ
• 一般的な分析テクニック
• アプリケーション（アプリ）
  
  • メッセージング・サービス
    
    • iMessage
    • SMS/MMS
    • Viber
    • スナップチャット
    • WhatsAPP
  • Eメール
    
    • iOSと他のデバイスの比較

買収ハードウェアとソフトウェア

• ライブ応答
  
  • FTKイメージャー/X-Ways
  • KAPE
  • Fレスポンス
• デッドボックス ソフトウェア・イメージャーによる書き込みブロック
  
  • ソフトウェアベースの書き込みブロック
    
    • レジストリ・キー/バリュー・エントリ
    • セーフブロック
    • ハードウェアベースの書き込みブロック
  • 物理イメージングデバイス（Ditto、Talonなど）
    
    • UltraDock、Tableauなど
  • 保存先メディアの準備
    
    • デスティネーションメディアのフォーマット
    • コピー先メディアのワイプ

取得方法

• コンピュータの電源は切れていますか？
• 休止状態とスリープモード
• デバイスへのアクセス： ラップトップとデスクトップなど
• 改ざんの兆候を認識する
• データの保存方法に注意する
  
  • JBOD対RAID対ネットワーク
• 取得検証
  
  • ハッシュ化元とハッシュ化先
  • 特殊なケース SSD

データの発見と操作

• WindowsとCLIの基本的なナビゲーションと使い方
• PowerShell対cmd対bash
• データレビューのテクニック
  
  • タイムライン・エクスプローラー
• 基本的な成果物
  
  • ユーザーコミュニケーションの証拠（電子メール、ソーシャルメディア、スカイプ/チャット）
  • 地理的位置の証拠
  • ウェブ閲覧履歴

DAY3 : Triage and Data Acquisition

概要

Quick Win Forensicsは、事件を前進させるために必要な1パーセントのデジタル証拠を見つけ、抽出し、処理することを優先します。

必要な証拠の99パーセントは、通常、取得したデータの1～2パーセントに存在することを考えると、今日のデジタル・フォレンジックの世界で、通常の手順に従っていかに多くの時間を無駄にすることができるかは、容易に理解できます。その代わりに、この1～2パーセントに焦点を当て、調査をより早く開始するために使用できる、非常に迅速なトリアージコレクションを実行しましょう！

あまりにも多くの場合、コンピュータは「オン」の状態で押収され、「それがいつものやり方だから」という理由ですぐに電源が落とされます。今日のコンピューターでは、これは何ギガバイトものデータを捨てている（実質的に破壊している）ことを意味します。コンピュータのRAMは、キー入力からネットワーク接続、実行中のサービス、そして極めて重要なパスワードや復号化キーに至るまで、データの宝庫です。ファイルレス・マルウェアの普及が著しくなっている現在、多くの場合、証拠が存在するのはメモリ上だけです。もう一つ見落とされがちなのが、フルディスクの暗号化です。このような場合、「ライブ」取得が唯一の希望となります。

演習

• 証拠のマウント
• トリアージ取得
• RAM取得と暗号化メディア
• ホスト・ベースのライブ取得
• デッドボックスの取得

トピックス

収集プロセスの開始

• ライブ対応（システムは稼働している）
• コンピュータの状態を記録する（画面と開いているアプリを撮影する）
• メモリのダンプ
• ケースに応じた収集のトリアージ
• 暗号化のチェック
• デッドボックス
• 記憶媒体へのアクセス
  
  • 書き込みブロック
  • データ取得
    
    • 迅速なトリアージの概要
    • フォレンジックイメージの作成

証拠のマウント

• イメージのマウント
  
  • Arsenal Recon イメージマウンター
  • FTKイメージャ

トリアージ取得

• トリアージ導入
• FTKイメージャーによるトリアージ取得
• オリジナル・メディアからのトリアージ取得とフォレンジック・イメージからのトリアージ取得の比較

メモリ取得と暗号化チェック

• 環境へのツールの導入
  
  • 取得ツールの保存場所
  • 画像の保存場所
  • 最大IO/書き込み速度のための外付けSSD vs. USBメモリ
  • デバイスの文書化
• コマンドラインツール
  
  • Dumpit/Belkasoft RAMキャプチャ
• GUIツール
  
  • FTKイメージャー
• 暗号化されたデバイスを扱う
• Bitlockerの紹介

ホストベースのライブ取得

• なぜライブ収集なのか？
• 何を収集するかの決定
• 論理的イメージングと物理的イメージング
• 重要な考慮事項
  
  • コンピュータがスリープ状態にならないようにすること
  • ノートパソコンの電源コードはあるか？
  • 4つのW 誰が、何を、どこで、いつ
  • セキュリティ・デバイス（ユビキー、ロック解除ドングルなど）
  • 既知の良いことを文書化する（日時など）
  • ネットワーク接続
  • ユーザーのリモートアクセス/接続

デッドボックスの取得

• メディア・デバイスの取り外しと取り扱い
• ハードウェアベースのデバイス取得
• ソフトウェアベースのデバイス取得
• Surface Proなどの特殊なケース

DAY4 : Non-Traditional and Cloud Acquisition

概要

クラウドコンピューティングとストレージはますます一般的になりつつあります。これらの重要なデータを収集する方法をご存知でしょうか。

取得というと、通常はコンピュータの側面を開け、ハードディスクを取り出し、書き込みブロッカーや画像処理装置に接続し、作業を完了させることです。これは必ずしも不正確な評価にはならないですが、今日の多くのデータを取り巻くアクセスや取得に関する多くの疑問には対処できません。もしフルディスクイメージングが必要なら、ストレージ自体から直接行う方が簡単で早いのは確かです。しかし、iPad、Surface Book、その他ネジの代わりに接着剤で固定されている機器などはどうなるのでしょう。

ボリュームシャドウコピーには、捜査当局にとって非常に有用な履歴データが豊富に含まれています。Windowsオペレーティングシステムが関係する事件では、これらのシャドーコピーにアクセスしてデータを収集する方法を知ることが重要です。

迅速なトリアージは、デジタル・フォレンジックの最先端と考えられています。コンピュータのどこに最も価値のあるデータが存在するのか、そしてそれらを可能な限り速く入手する方法についての深い知識が必要である。効果的な致命的フォレンジケーターは、90分以内に実用的なインテリジェンスを抽出する必要がありますが、フォレンジック・イメージングが完了した時点から時計が始まるわけではありません。むしろ、デバイスを手にした瞬間から始まるのです。

このコースでは、非伝統的な保存領域にあるデータを特定し、アクセスする方法を学びます。今日の世界では、非常に多くのデータがオフサイトで保管されており、それらのデータにアクセスし、適切に取得する方法はほとんどありません。SharePoint、Exchange、Webメール、ネットワークロケーション、クラウドストレージ、ソーシャルメディアはもちろん、Dropbox、Google Drive、Internet of Thingsなど、これらのロケーションを特定します。また、RAIDストレージや、構成に関係なくこれらのデバイスを最適に収集する方法も含まれます。ほとんどのエンタープライズ調査の最前線に移動し、vSphereと仮想マシンのコレクションも調査します！

演習

• ボリュームシャドウコピーの取得
• 戦場フォレンジックのためのKAPEツールの使用
• ネットワークの収集

トピックス

ファイルシステム再訪

• FAT
• 拡張
• NTFS
• タイムスタンプメタデータ
• 代替データ・ストリーム
• ボリューム・シャドウ・コピー
• ボリューム・シャドウ・コピーの取得

KAPEによる迅速なトリアージ

• KAPEツールの紹介
• KAPEを使用した重要なアーティファクトの迅速な収集
• KAPEを使用したデータの処理
• KAPE出力の分析

マルチドライブストレージ

• マルチドライブアレイの画像化における課題
• RAID
• JBOD (ディスクの束)
  
  • RAID取得に関する懸念
  • 論理対物理

EMC/非従来フォーマット

• RAIDボリュームへのアクセスとイメージ化方法の選択
  
  • 物理アクセス
    
    • 外部ストレージへの直接イメージ化
    • USB 2.0しか使用できない場合のネットワーク接続の使用

リモート取得

• F-Responseの使用
  
  • ネットワーク経由でストレージを取得
  • ネットワーク経由でRAMを取得
    
    • クラウドストレージの取得
    • メール（IMAP）
    • クラウドストレージ
    • ドロップボックス
    • OneDrive
    • S3
• グーグル・テイクアウト

DAY5 : Apple Acquisition and Internet of Things

概要

アップルは、従来のデバイスとは全く異なるアプローチが必要である。

このコースでは、アップル社製デバイスからデータを取得するための基本を探ります。Windowsに比べ、Apple製品のデータ取得に関して利用できるツールやテクニックは非常に少ない。存在するツールは非常に高価で、無料のツールはほとんどありません。このコースでは、メモリーを取得し、CoreStorageテクノロジーとフルディスク暗号化を実行しているシステムを特定します。また、APFSがもたらす課題も見ていきます。アップルのシステムの多くはクローズド・システムであり、ハードディスク・ドライブはマザーボードに直接はんだ付けされているため、取り外すことができません。データストレージの独自性から、別の取得方法が要求されます。

このコースでは、iPad、MacBook、その他のHFS+デバイスにアクセスし、コマンドラインを使ってフォレンジック・イメージする方法と、最新のハードウェアで最新のmacOSバージョンもイメージできる、無料の取得用ブートディスクを作成する方法を学びます。

私たちの冷蔵庫、サーモスタット、防犯カメラ、ドアロックなどを制御している「モノのインターネット」も見逃せません。それは受動的に耳を傾け、実行するための指示を辛抱強く待っています。このセクションでは、これらのデバイスがどのように通信しているのか、そしてさらに重要なのは、誰がそれらを制御しているのかを学びます。

演習

• PCAPコレクション
• PCAPグラフィカルツール
• PCAPコマンドラインツール

トピックス

Apple MacOSデバイスの概要と取得

• Appleの暗号化
  
  • ファイル保管庫
• コアストレージ
• APFSイメージング
• Fusionドライブ
• RAMの取得
• 最新のAppleセキュリティレイヤー
• T2セキュリティチップ
• ドライブのメタデータの収集
  
  • ライブまたはシングル・ユーザ・モード
• Apple MacOSデバイスのストレージへのアクセス
• 知っておきたいAppleキーボードの組み合わせ
  
  • シングル・ユーザー・モード
  • 修復モード
  • ターゲットディスクモード
  • オプションモード
• ターゲットディスクモード
• コマンドラインイメージング
• macOS GUIブートデバイスの作成
• Macquisitionを使用したフォレンジックイメージの収集

モノのインターネット（IoT）

• ネットワーク上のデバイスの特定
  
  • LAN上の内部デバイス
• ネットワーク・トラフィックを収集する方法
  
  • ネットワークタップ
  • ポート・ミラー
  • ペンレジスタ
  • ネットワーク管理者との調整の必要性
    
    • ネットワークデータ収集のためのロジスティック／手順／法的考慮事項
• 潜在的な通信先
  
  • クラウドでどの外部リソースにアクセスしているか？
  • そのデータを保有する企業はどこか？
• 携帯機器とのモノのインターネット（IoT）通信の特定
  
  • IoTアクティビティとそれを制御するデバイスの関連付け
  • カメラ、ドア、その他のIoTにアクセスする携帯機器
• PCAPを理解して共謀者を見つける
• ネットワーク・トラフィックの収集
• IoT収集の考慮事項

DAY6 : Beyond the Forensic Tools: The Deeper Dive

概要

ツールは失敗し、テクニックは古くなる。

IP、電子メール、ウェブアドレスからアーティファクトを突き止めました。さて、どうしますか？このコースでは、適切な収集から法的文書化まで、帰属を決定するための最善の方法を学びます。

ファイルやストリームのカービングの有用性は、いくら強調してもしすぎることはありません。データの中には、ビューワが容易にアクセスできる定義されたファイル・スペースに存在しないものもあります。部分的に上書きされたデータから削除されたデータまで、従来のツールでは対応できない場合のテクニックを探ります。

データの切り分けは、ますます重要なスキルです。ファイルへの参照が破壊された後、どのようにしてデータを復元できるのでしょうか？ファイル・カービング・ツールはこれを支援しますが、検査者はツールの限界を理解する必要があります。元のファイルの適切な断片がなければ、カービングは役に立ちません。

演習

• オンライン帰属
• データとストリームの切り分け
• データの再構築

トピックス

オンライン資産所有者の特定

• ホスト名やIPから法的手続きを受けられる人物になる方法
  
  • ドメインツール
  • 検索.org
• パッシブDNSの考察
• その後のデータ損失に対する保証
  
  • 保存レター
  • データ保持ポリシー
• 考慮すべき落とし穴
  
  • 法的手続きのソース： 会社は請求者の権限を認めるか？
  • 法的手続きの国内化
  • 州対州、国対国
  • 民事対刑事

ファイルとストリームの復元

• データストリーム
  
  • チャット・セッション
  • IEF/Axiom
• 削除されたデータの復元
  
  • Photorecによる切り分け
  • ExifToolによるメタデータの抽出
  • ファイルとストリームのカービング
  • カービングツールの制限と機能を理解する

高度なデータの切り分けと再構築

• 手動解析テクニックを使用して、通常は復元できないデータを見つけ、復元する
• ファイル署名、ヘッダー、フッターの理解
• MS Office ファイル形式
  
  • OLECF
  • OpenXML
• 手動によるデータの切り分け
• データの再構築
• 破損したファイルや部分的に上書きされたファイルの修復

ここからどこへ行くのか

• 現在地から致命的なフォレンジケーターになるには - 詳細
  
  • 専門化するか一般化するか：すべてに精通することはできない