Forensics Note

Extension Mismatch

The Sleuth Kit & Autopsy | 23:29

Extension Mismatchとは、拡張子と実データの内容が異なるデータを探す手法である。例えば、GIF拡張子を持つファイルだが、中身は画像とは異なるデータを持つファイルのような場合である。

Extension Mismatchを探す機能は、Autopsyの『File Type Sortings』を使えば一気に調査出来る。(実際は、The Sleuth Kitのsorterコマンドを利用しているはずである。)

具体的には、次の通り。

1. [File Type]を選択、[Sort Files by Type]を選択する。
2. File Type Sortingという項目からSort条件を取得できるので、[Extention and File Type Validations]を選択して、OKを押して解析をスタートさせる。
3. 解析が終了すると、Report SummaryとReport Fileの出力ファイル位置が表示される。

以下の結果をみると、Report Fileは/var/evidence/CASE001/host1/output/sorter-vol2/にすべて出力されており、Extentions Mismatchは2個あることがわかる。

当該個所に指定されている場所にあるレポート(mismatch.html)を見てみると次の通り。

C:/Image2.exe

GIF image data, version 89a, 343 x 440 (Ext: exe)

Image: /var/evidence/CASE001/host1/images/CASE001.dd Inode: 4

C:/Image1.exe

GIF image data, version 89a, 343 x 440 (Ext: exe)

Image: /var/evidence/CASE001/host1/images/CASE001.dd Inode: 7

参考文献にしたサイトでも指摘されていたように、基本的に名前部分の拡張子とファイルヘッダを比較してのみExtention Mismatchを検出しているようである。なので、ファイルヘッダを書き換えてしまうと、基本的には検出の対象外のようである。

【参考文献】

• http://d.hatena.ne.jp/hideakii/20040706

レジストリ解析ツール

TOOLS, レジストリ解析 | 01:09

レジストリを解析する際に、稼働しているPCからregeditから調べることは少ない。

なぜなら、稼働しているPCをいじるとMACtimeを書き換えてしまったり、regeditでレジストリ情報を書き換えてしまう危険性がある。

そのため、情報の改ざんを減らす観点からも、取得したイメージからRegistry Fileを取得して、専用のRegistry Viewerから閲覧することが多い。フリーで利用できるRegistry Viewerとしては、MiTeC社で公開されているWindows Registry Recoveryが便利である。

• Windows Registry Recovery : MiTeC社から公開されている最新のレジストリ解析ツール

MiTeC社から過去公開されたRegistry解析ツールには、ほかにも次の様なツールがある。

• MiTeC Windows Registry File Viewer : MiTeC社では、現在公開されていない。
• Windows Registry Analyzer : MiTeC社では公開されていない。

不可視領域を見るツールとしては、次のツールがある。

不可視領域とは、Protected Storage System Providerと呼ばれIEに保存されたパスワード格納領域で暗号化されている。そのため、複合化するためには以下のツールを利用する。

• Protected Storage Explorer

Computer Forensicに関するウェブサイト

Resource | 23:51

総合系ページは次の通り。

• SANS
  • SANS Computer Forensics
  • SANS Computer Forensics BLOG
• その他
  • the Computer Forensics Tool Testing Project
  • Open Source Digital Forensics
  • DoD Cyber Crime Center

概要系のページはこちら。

• コンピュータ・フォレンジックス

ノウハウ・解説系のページはこちら。

• @IT 系統
  • 第5回 インシデントレスポンスの位置付け
  • 第6回 証拠保全のために正規のバックドアを用意する
  • 第7回 不正アクセス情報の入手方法

• ITPro 系統
  • 「Windowsマシンへの不正アクセスを発見」---そのとき，どうする？
  • 「攻撃者の“足跡”を探せ」---Windowsレジストリの解析方法
  • 「Helix」−−ラック，調査を自動化，緊急対応の手間省く

• その他
  • デジタルフォレンジック入門
  • 第1回 ハイバネーションの危険性
  • Windows Forensics: A Case Study, Part 1
  • Windows Forensics: A Case Study: Part 2
  • NIST and the World Trade Center
• Forensic Analysis of the Windows Registry

ブログ系のページは、次の通り。

• Computer Forensics, Malware Analysis & Digital Investigations
• Forensic Incident Response
• Windows Incident Response
• Push the Red Button
• セキュリティは楽しいかね？
• CCI:Computer Crime Investigation

掲示板は次の通り。

• Forensic Focus
• せきゅりてぃのネタ