При работе над книгой я ориентировался на определённую аудиторию. В ходе написания многих разделов я исходил из ряда ожиданий и предположений.

Книга прежде всего принесёт пользу двум группам читателей. Во-первых, она поможет опытным криминалистам усовершенствовать навыки работы в командной строке Linux при получении цифровых данных. Во-вторых, она пригодится опытным администраторам Unix и Linux, желающим освоить методы криминалистического получения данных.

Книга адресована растущему числу практикующих специалистов из самых разных областей: участникам групп реагирования на инциденты; специалистам по компьютерной криминалистике в крупных организациях; техническим специалистам по криминалистике и раскрытию электронной информации из юридических, аудиторских и консалтинговых компаний; а также экспертам-криминалистам из правоохранительных органов.

К концу книги вы должны получить всестороннее и целостное представление о наборе доступных инструментов командной строки для криминалистического получения данных с носителей и управления криминалистическими образами.

Предполагается, что вы обладаете практическими знаниями об операционных системах, прежде всего о среде оболочки Unix и Linux. В примерах книги широко применяется оболочка Bash. Вам также необходимо понимать, как запускать программы командной строки и выполнять базовые операции объединения программ в конвейер и перенаправления данных между ними.

Кроме того, вам понадобятся базовые знания принципов цифровой криминалистики, включая технологию блокировки записи, посекторное получение данных и сохранение целостности доказательств с помощью криптографического хеширования. При выполнении представленных примеров наличие этих фундаментальных знаний подразумевается.

У вас должна быть рабочая платформа Linux с уже установленными необходимыми инструментами. В книге не объясняется, как искать, загружать, компилировать или устанавливать различные средства. Если у вас сравнительно новый компьютер - выпущенный не более чем за год до даты публикации книги - и современный дистрибутив Linux, примеры должны работать без затруднений. Некоторые инструменты не входят в стандартные дистрибутивы Linux, однако их легко найти на GitHub или с помощью поисковой системы.

Здесь я расскажу о становлении современной цифровой криминалистики как научной дисциплины.

По сравнению с другими научными дисциплинами история цифровой криминалистики коротка. Первые криминалистические исследования, связанные с компьютерами, начались в 1980-е годы, когда практикующие специалисты почти исключительно представляли правоохранительные или военные организации. Распространение домашних компьютеров и коммутируемых служб BBS в 1980-е годы пробудило первый интерес к компьютерной криминалистике в правоохранительном сообществе. В 1984 году ФБР разработало новаторскую программу анализа компьютерных доказательств. Кроме того, рост числа злоупотреблений и атак через Интернет привёл в 1988 году к созданию Группы реагирования на компьютерные чрезвычайные ситуации (Computer Emergency Response Team, CERT). CERT была учреждена Управлением перспективных исследовательских проектов Министерства обороны США (Defense Advanced Research Projects Agency, DARPA) и размещается в Университете Карнеги - Меллона в Питтсбурге.

В 1990-е годы доступ к Интернету переживал бурный рост, а персональные компьютеры в домах стали обычным явлением. В то время компьютерная криминалистика превратилась в одну из главных тем для правоохранительных органов. В 1993 году ФБР провело первую из нескольких международных конференций по компьютерным доказательствам для правоохранительных органов, а в 1995 году была создана Международная организация по компьютерным доказательствам (International Organization of Computer Evidence, IOCE), которая начала разрабатывать рекомендации по стандартам. «Компьютерная преступность» стала реальностью не только в Соединённых Штатах, но и во всём мире. В 1999 году Ассоциация руководителей полиции (Association of Chief Police Officers, ACPO) подготовила руководство по надлежащей практике для сотрудников правоохранительных органов Великобритании, работавших с компьютерными доказательствами. Кроме того, в конце 1990-х годов Дэн Фармер и Витсе Венема создали первое криминалистическое программное обеспечение с открытым исходным кодом - The Coroner's Toolkit.

После наступления нового тысячелетия целый ряд факторов повысил спрос на цифровую криминалистику. Трагедия 11 сентября 2001 года оказала огромное влияние на мировое восприятие безопасности и реагирования на инциденты. Бухгалтерские скандалы вокруг Enron и Anderson привели к принятию в Соединённых Штатах закона Сарбейнса - Оксли, призванного защищать инвесторов посредством повышения точности и достоверности раскрываемых компаниями сведений. Закон потребовал от организаций формализовать процессы реагирования на инциденты и расследования, как правило включающие те или иные возможности цифровой криминалистики или сбора доказательств. Растущее внимание к интеллектуальной собственности также повлияло на гражданские организации. Мошенничество в Интернете, фишинг и другие инциденты, связанные с интеллектуальной собственностью и брендами, создали дополнительный спрос на расследования и сбор доказательств. Одноранговый обмен файлами, начавшийся с Napster, и появление законодательства об авторских правах в цифровой среде в виде Закона об авторском праве в цифровую эпоху (Digital Millennium Copyright Act, DMCA) повысили спрос на расследование нарушений цифровых авторских прав.

С 2000 года сообщество цифровой криминалистики добилось значительных успехов в превращении своей области в научную дисциплину. Конференция DFRWS 2001 года сформулировала важные определения и задачи криминалистического сообщества и дала цифровой криминалистике следующее определение:

Пока криминалистическое сообщество определяло границы своей области и стремилось стать признанным направлением научных исследований, одновременно формализовывались стандарты, руководства и процедуры передовой практики для специалистов. Научная рабочая группа по цифровым доказательствам (Scientific Working Group on Digital Evidence, SWGDE) сформулировала определения и стандарты, включая требование применять стандартные операционные процедуры (Standard Operating Procedures, SOP) в правоохранительных органах. Конференция IOCE 2000 года во Франции занималась формализацией процедур для сотрудников правоохранительных органов посредством руководств и контрольных перечней. На 13-м симпозиуме INTERPOL по криминалистике, также проходившем во Франции, были изложены требования к группам, работающим в сфере цифровой криминалистики, и сформулирован всеобъемлющий набор стандартов и принципов для государственных учреждений и правоохранительных органов. Министерство юстиции США опубликовало подробное руководство для сотрудников правоохранительных органов, первыми прибывающих на место происшествия, - US DOJ Electronic Crime Scene Investigation: A Guide for First Responders, - а проект NIST по тестированию средств компьютерной криминалистики (Computer Forensics Tool Testing, CFTT) подготовил первую спецификацию средств создания дисковых образов (Disk Imaging Tool Specification).

В течение этого десятилетия для публикации растущего массива знаний появилось несколько рецензируемых академических журналов. В 2002 году был основан The International Journal of Digital Evidence (IJDE), прекративший существование в 2007 году, а в 2004 году - Digital Investigation: The International Journal of Digital Forensics & Incident Response.

После 2010 года целый ряд событий сместил внимание к расследованию кибератак и утечек данных и к сбору связанных с ними доказательств. WikiLeaks (http://www.wikileaks.org/) начал публиковать утекшие материалы вооружённых сил США, включая видеозаписи и дипломатические телеграммы. Группа Anonymous приобрела известность благодаря распределённым атакам типа «отказ в обслуживании» (Distributed Denial of Service, DDoS) и другой хактивистской деятельности. LulzSec взломала HBGary Federal и другие компании и опубликовала похищенные у них данные.

Исследование вредоносных программ класса Advanced Persistent Threat (APT) стало одной из главных тем отрасли. Общественности стал известен масштаб государственного шпионажа, который одни правительства вели с помощью вредоносных программ против других государств и частных компаний. Был обнаружен червь Stuxnet, нацеленный на системы диспетчерского управления и сбора данных SCADA, в частности на системы управления иранской ядерной программой. Компания Mandiant опубликовала результаты своего расследования деятельности APT1 - подразделения кибервойны китайской армии. Эдвард Сноуден передал огромный архив документов, раскрывших масштабы взломов, проводившихся АНБ. Публикация данных итальянской компании HackingTeam показала существование профессионального рынка эксплойтов, продаваемых правительствам, правоохранительным органам и компаниям частного сектора.

Крупные утечки стали серьёзной проблемой для частных компаний после кражи сведений о кредитных картах и других данных у Sony, Target, JPMorgan Chase, Anthem и иных организаций. Мировая банковская отрасль столкнулась с резким ростом числа банковских вредоносных программ - Zeus, Sinowal/Torpig, SpyEye, Gozi, Dyre, Dridex и других, - которые успешно атаковали клиентов банков ради финансового мошенничества. Позднее получили распространение атаки с требованием выкупа: программы-вымогатели, DDoS за биткойны и тому подобное.

Такое разнообразие взломов, атак и злоупотреблений расширило область интересов цифровой криминалистики: в неё вошли захват и анализ сетевого трафика, а также получение содержимого оперативной памяти заражённых работающих систем.

Область цифровой криминалистики постоянно преобразуется вслед за изменениями и достижениями в технологиях и преступной деятельности. В этом разделе я рассматриваю современные проблемы, тенденции и изменения, влияющие на традиционное криминалистическое получение данных с носителей.

Самое очевидное изменение, влияющее на получение криминалистических образов, связано с ёмкостью дисков. На момент написания книги потребительские жёсткие диски способны хранить 10 Тбайт данных. Появление простых в использовании устройств RAID увеличило логическую ёмкость дисков ещё сильнее. Столь большие объёмы создают трудности для традиционных процессов получения данных в криминалистических лабораториях.

Другая проблема - множество устройств хранения, обнаруживаемых на месте преступления или связанных с инцидентом. Единственный домашний компьютер сменился пёстрым набором компьютеров, ноутбуков, планшетов, мобильных телефонов, внешних дисков, USB-накопителей, карт памяти, компакт-дисков, DVD и других устройств, хранящих значительные объёмы данных. Задача состоит в том, чтобы найти и изъять все относящиеся к делу носители, а затем получить их образы таким образом, чтобы всё содержимое одновременно оставалось доступным инструментам криминалистического анализа.

Перемещение доказательств в облако также порождает множество трудностей. Иногда на устройствах конечных пользователей остаются лишь кешированные копии, а основная часть данных хранится у поставщиков облачных услуг. Правоохранительным органам бывает сложно собрать эти данные, если они находятся за пределами соответствующей правовой юрисдикции; частным организациям трудно сделать это, когда договор с внешним облачным поставщиком не предусматривает криминалистической поддержки.

Быстрое распространение Интернета вещей также вскоре создаст трудности для криминалистического сообщества. Множество небольших электронных устройств, подключённых к Интернету, - медицинские мониторы, часы, дисплеи параметров окружающей среды, камеры наблюдения и прочие приборы - обычно не обладают большим объёмом памяти. Однако в них могут храниться полезные телеметрические данные: временные метки, сведения о местонахождении и перемещениях, параметры окружающей среды и тому подобное. Со временем выявление этих данных и получение доступа к ним станет стандартной частью сбора криминалистических доказательств.

Вероятно, самая трудная проблема, с которой сегодня сталкиваются эксперты-криминалисты, - тенденция к проприетарным, полностью закрытым устройствам. Архитектуры персональных компьютеров и дисковых устройств исторически были открыты и хорошо документированы, что позволяло создавать стандартные криминалистические инструменты доступа к данным. Однако всё более широкое применение проприетарных программ и оборудования затрудняет такие разработки. Особенно остро эта проблема проявляется в сфере мобильных устройств, где для получения низкоуровневого доступа к блокам файловой системы может потребоваться сначала выполнить джейлбрейк устройства, то есть фактически взломать его.

Международный характер преступности в Интернете создаёт ещё одну проблему для экспертов-криминалистов. Представьте компанию в стране A, атакованную злоумышленником из страны B, который использует промежуточные прокси-серверы в стране C, чтобы через внешнего подрядчика в стране D взломать инфраструктуру и вывести похищенные данные в зону сбора в стране E. В таком сценарии участвуют пять разных государств, а значит, потенциально требуется координация пяти правоохранительных органов, взаимодействующих как минимум с пятью компаниями в пяти правовых юрисдикциях. Сегодня подобный сценарий с участием нескольких стран не является необычным - напротив, он встречается довольно часто.

Всё более сложный и технически развитый характер преступной деятельности в Интернете способствует углублению сотрудничества и совместной работы по сбору разведывательных сведений и доказательств, а также по координации расследований.

Такое взаимодействие между конкурирующими компаниями одной отрасли можно рассматривать как борьбу с общим врагом: банковской отрасли - с банковскими вредоносными программами, поставщиков интернет-услуг - с DDoS и спамом и так далее. Сотрудничество пересекло и границу между частным и государственным секторами: правоохранительные органы вместе с отраслевыми партнёрами противодействуют преступности в рамках государственно-частных партнёрств (public-private partnerships, PPP). Это многостороннее взаимодействие создаёт возможности выявлять, собирать и передавать цифровые доказательства. Трудность состоит в том, чтобы частные партнёры понимали природу цифровых доказательств и могли соблюдать стандарты, выполнения которых ожидают от правоохранительных органов государственного сектора. Это повысит вероятность успешного уголовного преследования на основании доказательств, собранных частным сектором.

Третья группа, сотрудничающая с промышленностью и правоохранительными органами, - академическое исследовательское сообщество. Обычно в него входят университетские криминалистические лаборатории и исследовательские подразделения в области безопасности, которые углублённо изучают теоретические и высокотехнические аспекты компьютерной преступности и криминалистики. Эти исследователи могут посвятить время анализу проблем и получить представление о новых преступных методах и криминалистических приёмах. Иногда они способны оказать правоохранительным органам помощь там, где стандартные криминалистические инструменты не позволяют извлечь или проанализировать необходимые доказательства. Академические группы также должны понимать требования и ожидания, связанные с управлением цифровыми доказательствами и их сохранением.

На принципы цифровой криминалистики как научной дисциплины влияет ряд факторов, включая официально определённые стандарты, рецензируемые исследования, отраслевое регулирование и передовую практику.

Стандарты сбора и сохранения традиционных вещественных доказательств в значительной степени зависели от местной правовой юрисдикции. В отличие от них, сбор цифровых доказательств сформировался в международной взаимосвязанной среде, где в исследованиях и разработке стандартов участвует множество юрисдикций. Оборудование, программы, форматы файлов, сетевые протоколы и другие технологии, как правило, одинаковы во всём мире. Поэтому стандарты и процедуры сбора цифровых доказательств в разных юрисдикциях согласованы лучше. Хороший пример - использование блокираторов записи при подключении дисков к системам создания образов: эта практика признана почти повсеместно.

Существует несколько официальных органов стандартизации, которые определяют стандарты криминалистического получения данных. Национальный институт стандартов и технологий США (National Institute of Standards and Technology, NIST) ведёт программу тестирования средств компьютерной криминалистики (Computer Forensic Tool Testing, CFTT). Её цель сформулирована следующим образом:

Хотя NIST ориентирован на Соединённые Штаты, многие его стандарты принимаются на международном уровне или как минимум влияют на органы стандартизации других стран.

Международная организация по стандартизации (International Organization for Standardization, ISO) также предлагает ряд стандартов, относящихся к цифровым доказательствам. Для криминалистического получения данных имеют значение руководящие указания ISO по идентификации, сбору, получению и сохранению цифровых доказательств:

Отдельные полицейские ведомства могут иметь собственные стандарты, описывающие процесс сбора доказательств. Например, в Великобритании Ассоциация руководителей полиции (ACPO) выпускает Руководство ACPO по надлежащей практике работы с цифровыми доказательствами (ACPO Good Practice Guide for Digital Evidence). В руководстве сказано:

В этом документе упоминается ряд других стандартов и документов, выпущенных ACPO и иными организациями.

Министерство юстиции США поддерживает руководство Расследование электронных преступлений на месте происшествия: руководство для сотрудников, прибывающих первыми (Electronic Crime Scene Investigation: A Guide for First Responders). Во введении к нему сказано:

Многие другие международные организации содействуют разработке стандартов, создавая криминалистические рабочие группы, комитеты и сообщества.

Ещё одним источником стандартов и методов цифровой криминалистики служат рецензируемые исследования и научные конференции. На них представляют новейшие достижения и методы исследовательского сообщества цифровой криминалистики. Основывать криминалистическую работу на рецензируемых научных исследованиях особенно важно при использовании новых методов и технологий, поскольку они могли ещё не пройти проверку в судах.

Существует несколько международных академических исследовательских сообществ, которые пополняют совокупность знаний. Самый известный научный журнал в области криминалистики - Digital Investigation: The International Journal of Digital Forensics & Incident Response, более десяти лет публикующий академические исследования в этой сфере. Заявленные цели и область журнала описаны следующим образом:

Ведущей научной конференцией по исследованиям в области цифровой криминалистики является Digital Forensics Research WorkShop (DFRWS). Она проводится с 2001 года и всё это время проходила в США, однако в 2014 году появилось отдельное европейское мероприятие. Заявленные цели DFRWS таковы:^[2]

• привлекать новые точки зрения и содействовать обмену идеями ради развития цифровой криминалистики;

• способствовать научному обсуждению исследований в области цифровой криминалистики и их применения;

• привлекать опытных аналитиков и экспертов из правоохранительного, военного и гражданского секторов, чтобы сосредоточить исследования на потребностях практикующих специалистов, различных условиях расследований и практической применимости;

• определять основные технологии, на которых следует сосредоточить полезные исследования и разработки;

• содействовать обнаружению, объяснению и представлению убедительных, неоспоримых доказательств, способных выдержать повышенное внимание судов и других лиц, принимающих решения в гражданской и военной среде;

• создавать и расширять общий словарь, чтобы сообщество говорило на одном языке;

• регулярно участвовать в обсуждениях и совместной деятельности, обеспечивая чёткую направленность, высокий интерес и результативность;

• поддерживать динамичное сообщество экспертов из академической и практической среды;

• повышать научную строгость цифровой криминалистики;

• вдохновлять следующее поколение на создание новых решений.

Для полной прозрачности сообщу: я являюсь редактором журнала Digital Investigation и участвую в организационном комитете DFRWS Europe.

Отраслевые нормативные требования могут накладывать дополнительные условия или ограничения на сбор цифровых доказательств.

В частном секторе отраслевые стандарты и передовую практику разрабатывают различные организации и отраслевые группы. Например, Консультативный совет по обеспечению информации (Information Assurance Advisory Council, IAAC) выпускает Руководство по цифровым расследованиям и доказательствам для директоров и корпоративных консультантов (Directors and Corporate Advisors' Guide to Digital Investigations and Evidence).

Другим источником служат стандарты и процессы, предписанные законодательными и регулирующими органами, например требования американского закона Сарбейнса - Оксли к возможностям сбора доказательств.

Некоторые требования к цифровым доказательствам могут зависеть от отрасли. Например, региональные нормы здравоохранения могут устанавливать требования к защите данных и предусматривать различные процедуры криминалистического реагирования и сбора доказательств при нарушении безопасности. Для операторов связи могут действовать нормы хранения журналов и предоставления правоохранительным органам доступа к передаваемым через инфраструктуру сообщениям.

Банковские регуляторы также устанавливают требования и стандарты для цифровых доказательств. Хороший пример - Денежно-кредитное управление Сингапура (Monetary Authority of Singapore, MAS), которое предоставляет банковскому сообществу подробные стандарты в таких областях, как безопасность и реагирование на инциденты (http://www.mas.gov.sg/regulations-and-financial-stability/regulatory-and-supervisory-framework/risk-management/technology-risk.aspx).

В связи с недавним ростом числа кибератак на разные отрасли - финансовую, медицинскую и другие - регулирующие органы в будущем могут играть более значительную роль во влиянии на стандарты сбора доказательств и в их определении.

Книга посвящена криминалистическим задачам, общим для частного и государственного секторов. Примеры начинаются с упрощённого криминалистического получения данных, после чего демонстрируются дополнительные свойства и возможности этого процесса. В их число входят сохранение доказательств посредством криптографического хеширования и подписания, ведение журналов, производительность, обработка ошибок и защита полученного образа. Я также объясняю несколько методов создания образов по сети и рассматриваю специальные темы, такие как магнитные ленты и системы RAID.

Для криминалистического получения данных необходимо выполнить несколько предварительных условий:

• исследуемый накопитель подключён и распознан ядром Linux;

• установлена блокировка записи;

• исследуемый накопитель однозначно идентифицирован и документирован;

• возможен полный доступ к устройству, то есть HPA, DCO и защита ATA отключены;

• для получения данных имеется достаточно времени и ёмкости хранилища.

Процесс криминалистического получения данных и тестирование инструментов хорошо документированы в сообществе цифровой криминалистики, и к ним предъявляются определённые требования. Полезным источником служит учреждённая NIST программа CFTT.

К требованиям NIST верхнего уровня для создания криминалистических образов относятся следующие:

• инструмент должен создать потоковую побитовую копию либо образ исходного диска или раздела;

• инструмент не должен изменять исходный диск;

• инструмент должен регистрировать ошибки ввода-вывода;

• документация инструмента должна быть правильной.

Эти принципы, изложенные в опубликованной NIST статье,^[3] создают основу для остальной части книги. Они существуют для того, чтобы сохранялась целостность доказательств, а вмешательство либо предотвращалось, либо обнаруживалось.

Некоторые исследования оспаривают представление о том, что полное получение данных возможно с учётом ограничений интерфейса ATA, применяемого для доступа к физическому диску.^[4] Теоретически полное получение охватывает все секторы магнитных дисков и память под уровнем трансляции флеш-накопителей в SSD и флеш-устройствах, а теперь распространяется и на закрытые мобильные устройства, образы которых невозможно создать традиционными методами работы с блочными устройствами. Добиться «полного» получения всего физического хранилища устройства становится всё труднее. В отношении мобильных устройств криминалистическое сообщество уже разграничило физическое и логическое получение данных: последнее означает копирование файлов и данных, а не создание образа секторов накопителя.

В примерах этой книги криминалистически полным считается получение данных из областей диска, к которым можно надёжно и воспроизводимо обращаться с помощью общедоступных программных инструментов, использующих опубликованные спецификации интерфейсов. Области диска, доступные только посредством закрытых проприетарных инструментов изготовителя - внутренних средств диагностики, инструментов разработки и тому подобных - либо посредством разборки оборудования - выпаивания микросхем, замены блока головок, извлечения пластин диска и так далее, - находятся за рамками книги.

Это было краткое введение в область цифровой криминалистики. Глава 1 продолжит знакомство с технологиями носителей данных и интерфейсами, применяемыми для их подключения к основной системе получения данных.

Магнитные носители - старейшая из трёх основных технологий хранения, если не считать предшествовавшие им перфоленты и перфокарты, и в настоящее время лидируют по ёмкости. Сегодня преимущественно используются два вида магнитных носителей: жёсткие диски и ленты. Оба обеспечивают высокую ёмкость и надёжность как для оперативного хранения, так и для автономного архивирования.

Жёсткие диски неизменно обеспечивали большую ёмкость, чем другие носители, например SSD или оптические диски. На момент написания книги на потребительском рынке доступны жёсткие диски ёмкостью 10 Тбайт, и ожидается появление ещё более ёмких моделей.

Жёсткие диски состоят из вращающихся пластин, покрытых магнитным материалом, как показано на рис. 1-1. Несколько пластин закреплены друг над другом на шпинделе, а головки чтения и записи на подвижном рычаге, то есть приводе, могут считывать закодированные данные с магнитной поверхности и записывать их на неё. Сейчас к распространённым форм-факторам жёстких дисков относятся 3,5, 2,5 и 1,8 дюйма. Поскольку жёсткие диски являются механическими устройствами, они чувствительны к ударам, падениям, пыли, влаге и другим факторам окружающей среды. К типичным неисправностям относятся царапины на поверхности пластин, застрявшие или повреждённые головки, отказ двигателя и электронных схем.

Подлинная физическая геометрия диска - головки, пластины, дорожки и число секторов на дорожке - скрыта от компьютера абстракцией и доступна как последовательность секторов посредством адресации логических блоков (Logical Block Addressing, LBA). Сектор - наименьшая адресуемая единица диска для чтения и записи данных. Исторически стандартный физический сектор жёсткого диска имел размер 512 байт, однако современные диски перешли к секторам по 4 Кбайт. Большинство нынешних накопителей по-прежнему эмулируют 512-байтовые секторы, но на рынке уже представлены диски с собственными секторами по 4 Кбайт, известные как накопители 4Kn. Диски 4Kn обладают преимуществами в производительности и, вероятно, когда-нибудь вытеснят традиционные накопители с эмуляцией 512-байтовых секторов. Более подробно диски 4Kn рассматриваются в разделе «Расширенный формат 4Kn» на странице 41.

Рис. 1-1. Магнитный жёсткий диск

Традиционная компьютерная криминалистика возникла из необходимости анализировать жёсткие диски, которые и сегодня остаются важными источниками доказательств. В частности, когда операционная система «удаляет» файл, она лишь разрывает все ссылки на блоки его данных на диске, в отличие от SSD, где для очистки нераспределённых блоков применяется команда TRIM. Эти блоки не стираются с магнитных пластин и остаются на диске, откуда криминалистические инструменты могут их восстановить, пока они не будут перезаписаны.

На рынке домашних пользователей магнитные ленты почти исчезли, однако малые предприятия и корпоративные среды продолжают применять их для резервного копирования и архивирования. Ленты, показанные на рис. 1-2, относятся к ранним формам цифрового хранения и считаются зрелой технологией, надёжной для долговременного автономного хранения. В отличие от дисков, SSD, флеш-накопителей и оптических дисков, данные на ленте можно читать и записывать только последовательно. Для произвольного доступа к разным блокам пользователь должен перемотать ленту назад или вперёд до нужного места, прежде чем его можно будет прочитать или записать. Отсутствие произвольного блочного доступа не позволяет использовать ленты как обычные файловые системы. Данные хранятся на лентах в виде последовательности ленточных файлов; каждый файл обычно представляет собой архив, содержащий файловую систему либо группу файлов и каталогов и использующий такой формат, как TAR, DUMP и тому подобное. Ленточными накопителями управляют с помощью ленточных команд SCSI, предназначенных для чтения и записи данных, позиционирования или перемотки ленты и её извлечения.

Рис. 1-2. Магнитные ленты

Ниже приведены примеры накопителя LTO5 с интерфейсом Fibre Channel и накопителя DAT160 с интерфейсом USB; оба подключены к системе Linux. Вывод dmesg для этих ленточных накопителей выглядит следующим образом:

После записи файлов ленточного архива на ленту также записывается маркер конца данных (End Of Data, EOD). Он сообщает накопителю, что достигнут конец данных на ленте, и не позволяет читать дальше. Однако с криминалистической точки зрения любые данные за маркером EOD представляют интерес, поскольку там могут находиться сведения от предыдущих операций записи на ленту. Универсальных команд SCSI для получения данных за маркером EOD не существует. Для этой задачи необходимы специализированные ленточные накопители и оборудование.

Существует множество устаревших типов магнитных носителей, особенно съёмных. Дискеты прошли через несколько поколений, прежде чем устарели. В 1980-е и 1990-е годы на рынке пользовался популярностью целый ряд проприетарных устройств хранения, таких как Jaz, Zip, Syquest и другие. Больше не применяется и множество разновидностей магнитных лент, например 4-миллиметровые DAT, 8-миллиметровые Exabyte и QIC. Криминалистическое получение данных с таких носителей находится за рамками книги. Однако при наличии исправного оборудования и интерфейсов данные с большинства подобных старых устройств можно получить теми же методами, которые описаны здесь. Если ядро Linux распознаёт секторный носитель и предоставляет его как блочное устройство, данные с него можно получить. Если ядро Linux распознаёт ленточный накопитель как ленточное устройство SCSI, к нему можно обращаться стандартными ленточными командами SCSI. Для проприетарных хранилищ могут существовать драйверы ядра или инструменты пользовательского пространства, обеспечивающие доступ к устаревшим устройствам.

Энергонезависимая память, обычно основанная на технологии флеш-памяти NAND, становится всё популярнее и начинает заменять магнитные жёсткие диски там, где не требуется очень большая ёмкость. Термин NAND означает транзисторы, работающие как логический элемент И-НЕ. Этот вид памяти ставит перед экспертами-криминалистами новый круг задач, поскольку на низком уровне обладает не теми свойствами, что магнитные диски.^[1]

SSD и флеш-носители обычно представляют собой накопители на основе NAND и не имеют движущихся деталей. Данные хранятся в массиве ячеек памяти, а уровень абстракции, называемый уровнем трансляции флеш-памяти (Flash Translation Layer, FTL), заставляет накопитель вести себя подобно жёсткому диску - как линейная последовательность секторов. Поскольку диски с энергонезависимой памятью реализованы электронными схемами, а не механикой, они бесшумны, потребляют меньше энергии и не подвержены такому же риску физических повреждений, как жёсткие диски. Что касается производительности, они быстрее выполняют произвольный доступ и запись, поскольку им не приходится физически перемещать головки в нужные места диска. По этой же причине дефрагментация файловых систем не даёт преимущества в производительности. Память накопителей SSD и флеш-устройств менее долговечна, чем магнитные пластины жёстких дисков. Для продления срока службы SSD применяются такие методы, как выравнивание износа и избыточное резервирование. Выравниванием износа называется механизм распределения операций чтения и записи по накопителю, обеспечивающий равномерное использование блоков в течение срока службы устройства. По мере деградации блоков или утраты возможности записи FTL выводит их из эксплуатации и заменяет блоками из пула зарезервированных, то есть избыточно выделенных, блоков. Данные из таких «выведенных из эксплуатации» блоков можно прочитать, если снять, то есть выпаять, физические микросхемы и считать их память. Некоторые профессиональные криминалистические лаборатории выполняют эту процедуру, которую иногда называют chip-off, для различных накопителей на основе флеш-памяти. При изготовлении под избыточное резервирование может отводиться от 10 до 25 процентов объёма флеш-диска, недоступных пользователю. В настоящее время существует проект микропрограммы SSD с открытым исходным кодом, полезный для изучения и исследования базовой технологии SSD. Дополнительные сведения о нём доступны по адресу http://www.openssd-project.org/wiki/The_OpenSSD_Project.

SSD, показанный на рис. 1-3, был разработан как непосредственная замена обычным дискам SATA. SATA, или Serial AT Attachment, - стандартный интерфейс дисковых накопителей. SSD оснащены стандартными интерфейсами SATA, поддерживают технологию самоконтроля, анализа и отчётности Self-Monitoring, Analysis and Reporting Technology (SMART) и используют обычные команды ATA с некоторыми дополнениями. Даже физический форм-фактор распространённых потребительских SSD совпадает с форм-фактором магнитных жёстких дисков. Новые SSD ставят перед экспертами цифровой криминалистики несколько задач: с одной стороны, речь идёт о возможности восстановить данные из нераспределённых секторов накопителя, с другой - о невозможности доступа к областям избыточного резервирования. В устройствах SSD и операционных системах, поддерживающих команду ATA TRIM, нераспределённые блоки диска могут стираться при подготовке к следующему использованию, поскольку перед записью или изменением блок SSD необходимо стереть. Это снижает возможность восстановления данных из нераспределённых блоков, которые обычно служат ценным источником доказательств на магнитных дисках.

Рис. 1-3. SSD

Поддерживаемые SSD функции TRIM можно определить командой hdparm. Например:

Современное поколение SSD, основанное на новых стандартах SATA Express и NVM Express, взаимодействует непосредственно с шиной PCI Express.

Небольшие переносные флеш-накопители USB, показанные на рис. 1-4, называют по-разному: флешками, USB-брелоками, флеш-ключами или просто флеш-накопителями USB. Сначала флеш-накопители пришли на смену дискетам, а теперь благодаря низкой цене и высокой ёмкости вытесняют компакт-диски и DVD.

Рис. 1-4. Флеш-накопитель USB

Однако малый размер и большая ёмкость флеш-накопителей USB создают угрозу информационной безопасности. Поэтому большинство производителей предлагают решения с шифрованием. Чаще всего программное шифрование является необязательным. Владелец накопителя должен явно установить предоставленную изготовителем программу шифрования либо применить альтернативное средство, например BitLocker или TrueCrypt. Некоторые USB-накопители оснащены обязательными аппаратными системами шифрования. Однако дополнительные усилия и сложность программного шифрования, а также значительно более высокая стоимость аппаратного шифрования мешают их широкому распространению. Поэтому чаще всего по-прежнему применяются обычные незашифрованные USB-устройства.

Популярность переносных устройств - мобильных телефонов, планшетов, камер и других - создала рынок съёмных карт памяти, которые можно заменить, когда они заполнятся или когда потребуется скопировать данные на персональный компьютер либо другое устройство. Различные карты памяти показаны на рис. 1-5. Как правило, они основаны на флеш-памяти и после установки в устройство чтения представляются как линейная последовательность секторов, подобная жёсткому диску.

Рис. 1-5. Карты флеш-памяти

Наиболее распространены карты стандарта Secure Digital (SD), выпускаемые в нескольких форм-факторах и скоростных классах. Карты CompactFlash (CF) популярны в профессиональной фототехнике и по существу представляют собой интерфейс PATA/IDE в меньшем форм-факторе. Обращаться к ним можно через переходник интерфейса PATA/IDE. Устройство чтения карт, подключённое по USB, обеспечивает доступ к картам обоих типов (см. рис. 1-6).

Рис. 1-6. Устройство чтения карт USB

Многие устаревшие карты памяти исчезли, когда рынок перестала устраивать их предельная ёмкость или проприетарные интерфейсы. В качестве примеров можно назвать Sony Memory Stick, карты Panasonic P2, SmartMedia и другие носители PCMCIA/PC Card. Обычно такие карты памяти подключаются к системе Linux как блочные устройства с линейной последовательностью секторов, и при наличии физического устройства чтения их образы можно создавать теми же методами, что и для других карт памяти.

К распространённым сегодня оптическим носителям относятся CD-ROM, DVD-ROM и диски Blu-ray. Различные виды оптических носителей отличаются физическими и химическими свойствами. Их видимые различия показаны на рис. 1-7.

Рис. 1-7. Сверху вниз: DVD-ROM, Blu-ray, CD-ROM

Оптические диски обычно бывают предназначенными только для чтения, однократной записи либо многократной записи и чтения. Профессионально изготовленные диски штампуют, а не записывают. Хотя записываемые оптические диски постепенно устаревают, они по-прежнему часто служат источниками цифровых доказательств. Во многих криминалистических лабораториях их всё ещё применяют для передачи и хранения сжатых криминалистических образов.

Оптический диск содержит одну спиральную дорожку с последовательностью углублений и площадок на отражающей поверхности; лазер считывает их и интерпретирует как биты данных. Для записи лазер выжигает точки на поверхности, изменяя её отражательную способность, вследствие чего записанные области интерпретируются как биты данных. Эта последовательность битов разделена на секторы, каждый из которых после кодирования и коррекции ошибок содержит 2048 байт данных, доступных пользователю.

У оптических дисков есть одна общая черта с магнитными лентами: данные записываются как единая линейная строка байтов, а файлы не фрагментируются. В отличие от ленты, на диске легко переходить к произвольным областям, поэтому его можно подключить как файловую систему только для чтения. Тем не менее запись на оптический диск остаётся неудобной и, как на ленте, должна выполняться в последовательном порядке байтов.

Старейшие из трёх видов оптических дисков, CD-ROM/CD-R, некогда были самыми популярными оптическими носителями для домашних резервных копий, личных архивов и обмена информацией. Однако с распространением удобных флеш-накопителей USB большой ёмкости компакт-диски стали реже использоваться для хранения.

Различные спецификации компакт-дисков описывает совокупность стандартов под названием Rainbow Books; существует несколько распространённых стандартов CD. Дополнительные сведения см. на странице интеллектуальной собственности Philips: http://www.ip.philips.com/licensing/program/16/.

• Музыкальные компакт-диски, или Compact Disc-Digital Audio (CD-DA), определены Красной книгой и стандартом IEC 60908. Данные в этом формате разделены на несколько звуковых дорожек.

• Компакт-диски с данными, или Compact Disc-Read Only Memory (CD-ROM), описаны Жёлтой книгой и стандартами ISO/IEC 10149 и ECMA 130 (http://www.ecma-international.org/publications/files/ECMA-ST/Ecma-130.pdf).

• Записываемые компакт-диски, или Compact Disc-Recordable/ReWritable (CD-R/CD-RW), относятся к стандарту Оранжевой книги и позволяют записывать данные на компакт-диск (CD-R) либо многократно их перезаписывать (CD-RW).

• К менее распространённым стандартам относятся Photo-CD, Video CD (VCD), а также иные редкие варианты, расширения и усовершенствования общепринятых стандартов.

Каждый компакт-диск содержит линейный поток битов - углублений и площадок, - представленный абстракцией в виде линейной последовательности секторов. На следующем уровне абстракции над секторами находятся сессии, каждая из которых содержит вводную область и таблицу содержания (Table Of Contents, TOC). Компакт-диск может быть многосессионным, и у каждой сессии имеется собственная TOC.

В сессии компакт-диска с данными может находиться файловая система, содержащая файлы и структуру каталогов. Ниже приведены примеры файловых систем CD-ROM:

• High Sierra - исходный стандарт для персональных компьютеров: имена в формате 8.3 и верхнем регистре;

• ISO9660 - обновлённая версия High Sierra для разных платформ;

• Joliet - расширения ISO9660 от Microsoft для Windows 95 и более новых систем;

• HFS - файловая система Macintosh;

• Rock Ridge - расширения ISO9660 для POSIX;

• El Torito - стандарт загрузочных дисков.

С криминалистической точки зрения можно прочитать пользовательские данные со всего компакт-диска. На нём нет аналога маркера EOD с магнитных лент или областей DCO/HPA на жёстком диске, недоступных пользователю. Однако в файловой системе могут присутствовать специфические артефакты, для интерпретации которых потребуется особый анализ.

Криминалистические блокираторы записи - оборудование, предназначенное для предотвращения вмешательства в данные накопителя и загрязнения обнаруженных на нём доказательств, - для CD-ROM не нужны, поскольку по умолчанию такие диски предназначены только для чтения. Операционная система не обновит временные метки и не изменит данные на компакт-диске лишь из-за того, что его вставили в накопитель и обратились к нему.

У компакт-дисков есть уникальные идентификаторы, полезные в криминалистическом контексте. Уникальный идентификатор источника (Source Unique Identifier, SID) штампуется на диске и содержит сведения о предприятии, изготовившем конкретный оптический диск. Этот код начинается с IFPI и физически отштампован во внутренней области диска, где его легко прочитать невооружённым глазом. Идентификационный код устройства записи (Recorder Identification Code, RID) записывается в системные секторы диска и связывает записанный компакт-диск с создавшим его накопителем. Получить RID без специализированного оборудования непросто.

Другие физические признаки, например свидетельствующие о пиратском происхождении или подделке, находятся за рамками этой книги, однако руководство Международной федерации производителей фонограмм (International Federation of the Phonographic Industry, IFPI) доступно по адресу http://www.ifpi.org/content/library/manual-of-guidance-chap3-english.pdf.

Физические характеристики DVD отличаются от характеристик компакт-дисков, но логически эти носители похожи. DVD содержит одну спиральную дорожку битов, разделённую на секторы по 2048 байт.

DVD бывают одно- и двусторонними, а также одно- и двухслойными. Удвоение числа сторон или слоёв фактически удваивает ёмкость. Их стандарты похожи на стандарты компакт-дисков, но содержат некоторые дополнения, описанные по адресу http://www.ecma-international.org/publications/files/ECMA-ST/ECMA-382.pdf. Стандарты DVD-Video, DVD-ROM, DVD-R и DVD-RW соответствуют аналогам для компакт-дисков, однако существует и дополнительный стандарт DVD-RAM. Был создан альтернативный набор стандартов DVD+R и DVD+RW с той же ёмкостью, что у DVD-R и DVD-RW, но форматы «+» и «-» несовместимы, хотя большинство современных накопителей читают оба.

Самая распространённая файловая система DVD - Universal Disk Format (UDF), разработанная для пакетной записи как замена ISO9660.

В дисках Blu-ray (BD) применяются новые процессы физического производства, позволяющие ещё больше увеличить ёмкость. При этом BD остаются похожими на CD и DVD: в них используется спиральная дорожка данных, разделённая на секторы по 2048 байт.

Их стандарты имеют близкие аналоги среди CD и DVD и включают BD-ROM (только для чтения), BD-R (однократная запись), BD-RE (многократная запись) и BD-XL (многократная запись с удвоенной ёмкостью).

DVD и BD поддерживают защиту содержимого с помощью шифрования, что способно затруднить получение данных с защищённого диска во время криминалистического расследования. Инструменты и методы расшифровки содержимого, защищённого средствами управления цифровыми правами DRM, существуют, однако находятся за рамками книги.

Существует ряд устаревших оптических накопителей, в частности картриджные устройства однократной записи и многократного чтения (Write Once, Read Many, WORM). Такие устройства чаще применялись в корпоративной среде, обычно использовали интерфейс SCSI и предоставляли доступ к данным как к линейной последовательности секторов. Если в распоряжении всё ещё имеются накопитель и совместимая плата контроллера, а ядро Linux распознаёт носитель, его можно читать и анализировать так же, как другие оптические диски.

В этом разделе я дам обзор распространённых интерфейсов накопителей с точки зрения эксперта-криминалиста. Работая в хорошо оснащённой криминалистической лаборатории, эксперт может получать и анализировать данные с носителей через самые разные интерфейсы устройств.

Общая тенденция вычислительной техники, особенно интерфейсов хранения, состоит в переходе от параллельных и совместно используемых шин к последовательным соединениям «точка - точка». Некогда популярный параллельный интерфейс PATA/IDE, в котором два диска использовали один кабель, сменился SATA с одним диском на последовательном кабеле. Параллельная общая шина SCSI поддерживала несколько дисков, а теперь её заменил SAS с отдельным последовательным разъёмом для каждого диска. Исходная шина PCI была параллельной и совместно использовалась несколькими интерфейсными платами, но её сменила PCI Express - последовательная шина с выделенными линиями для каждого интерфейса, которая также применяется для подключения накопителей SATA Express и NVM Express. Параллельный интерфейс принтера сменился USB - последовательным протоколом, который, однако, использует общую шину. С ростом скорости передачи согласовывать временные характеристики параллельных электрических сигналов стало сложно. Сериализация и десериализация данных на выделенных последовательных линиях позволили достичь более высоких скоростей, чем координация множества параллельных линий данных.

Самым популярным сегодня внутренним интерфейсом носителей является SATA. Внутри персональных компьютеров большинство жёстких дисков, SSD и оптических накопителей подключаются к интерфейсам SATA на системной плате или дополнительных адаптерах шины. Последовательная архитектура SATA заменила Parallel ATA (PATA, или IDE), который прежде был преобладающим интерфейсом потребительских дисков.

Стандартом SATA управляет международная организация Serial ATA International Organization (http://www.sata-io.org/). В текущей третьей редакции SATA обеспечивает скорость до 6 Гбит/с; первая и вторая редакции поддерживали соответственно 1,5 и 3,0 Гбит/с. Помимо внутреннего интерфейса существует внешний eSATA, позволяющий непосредственно подключать внешние диски SATA. Интерфейс SATA показан на рис. 1-8.

Рис. 1-8. Интерфейс диска SATA

Для небольших переносных устройств был разработан уменьшенный форм-фактор mini-SATA (mSATA). Показанный на рис. 1-9 интерфейс mSATA позволяет подключать небольшие твердотельные накопители SATA прямо к системной плате без отдельного кабеля SATA.

Рис. 1-9. Интерфейс диска mSATA

Системные платы обычно позволяют устанавливать диски SATA в режиме Advanced Host Controller Interface (AHCI) или IDE. Стандартный интерфейс адаптера SATA AHCI определён по адресу http://www.intel.com/content/dam/www/public/us/en/documents/technical-specifications/serial-ata-ahci-spec-rev1-3-1.pdf. Режим IDE предоставляет устаревший дисковый интерфейс для старых операционных систем, не поддерживающих стандарт AHCI, например ранних версий Windows XP. Выбранный режим не влияет на криптографический хеш криминалистического образа. Диск можно извлечь из исследуемого компьютера, работавшего в режиме IDE, подключить к машине эксперта в режиме AHCI и получить данные без потерь или изменений.

Другой интерфейс, micro SATA, который не следует путать с mSATA, показан на рис. 1-10. Он был разработан для 1,8-дюймовых дисков и тонких проигрывателей CD/DVD, но сегодня применяется реже. Для получения данных с накопителей mSATA и micro SATA можно использовать обычные блокираторы записи SATA вместе с различными переходниками.

Рис. 1-10. Интерфейс диска Micro SATA

Более совершенный и набирающий популярность форм-фактор - интерфейс M.2, показанный на рис. 4-4. Представленный в спецификации SATA 3.2 интерфейс M.2 объединяет два стандарта в одном разъёме. В зависимости от требований совместимости плата M.2 может использовать интерфейс AHCI/SATA либо NVMHCI/NVME. При работе с платами M.2 обязательно выясняйте, какой именно интерфейс использует плата; на момент написания книги большинство плат M.2 на рынке работает в режиме ACHI/SATA.

Рис. 1-11. Интерфейс диска M.2

Интерфейс дисков SATA Express, показанный на рис. 1-12, устраняет несколько уровней стека протоколов SATA, позволяя устройствам хранения, преимущественно SSD, подключаться непосредственно к шине PCI Express. Такие накопители продолжают использовать стандарт AHCI и отличаются от NVME.

Рис. 1-12. Интерфейс диска SATA Express

Спецификация SATA 3.2 поддерживает две линии PCI Express, обеспечивающие SATA Express скорость 16 Гбит/с. Для накопителей SATA Express на основе PCI и M.2 существуют блокираторы записи.

Параллельный интерфейс SCSI почти исчез как с потребительского, так и с корпоративного рынка. На потребительском рынке его заменил SATA, а на корпоративном - Serial Attached SCSI (SAS) и Fibre Channel (FC). Физический разъём интерфейса SAS, показанный на рис. 1-13, позволяет подключать как диски SAS, так и SATA и обращаться к ним через объединительную плату SAS. Физический разъём дисков SAS несколько отличается от разъёма дисков SATA; для подключения нескольких дисков к адаптеру шины выпускаются различные разветвительные кабели. Современные диски SAS-3 работают со скоростью 12 Гбит/с, вдвое быстрее SATA-3. SAS-4 обеспечит скорость 22,5 Гбит/с.

Рис. 1-13. Интерфейс диска SAS

Гнездовой разъём Mini-SAS HD 4i показан на рис. 1-14.

Рис. 1-14. Интерфейс SFF-8632/Mini-SAS HD

Стандарт SAS сопровождает технический комитет T10 Международного комитета по стандартам информационных технологий (International Committee for Information Technology Standards, INCITS). Действующий документ стандарта называется Serial Attached SCSI-3 (SAS-3) INCITS 519-2014. Дополнительные сведения, включая проекты будущих стандартов, доступны по адресу http://t10.org/.

Накопители SAS нельзя подключать к адаптерам шины SATA, а для создания образов дисков SAS требуются отдельные блокираторы записи SAS.

Интерфейс Fibre Channel часто применяется для подключения корпоративных массивов хранения. Медные и оптические разъёмы Fibre Channel показаны на рис. 1-15.

Рис. 1-15. Интерфейсы Fibre Channel

Жёсткие диски со встроенными интерфейсами Fibre Channel устаревают и в основном уже заменены накопителями SAS. На момент написания книги аппаратных блокираторов записи для дисковых интерфейсов Fibre Channel на рынке нет.

Интерфейс Non-Volatile Memory Express (NVME) был с нуля спроектирован как альтернатива дисковому интерфейсу SATA на основе AHCI. Он предназначен для непосредственного подключения к шине PCI Express, поэтому не нуждается в адаптере шины AHCI/SATA и связанных с ним физических интерфейсах и уровнях протокола SATA. Архитектура NVME ориентирована именно на твердотельные накопители, для которых создан более простой и эффективный набор команд. Устройства NVME могут подключаться прямо к системной плате через разъём PCIE, использовать режим PCIE NVMe интерфейса M.2 либо интерфейс U.2 (SFF-8639). Физический интерфейс непосредственно подключён к шине PCIE, как показано на рис. 1-16.

Рис. 1-16. SSD NVME с интерфейсом PCIE

Существует также вариант M.2, или Next Generation Form Factor (NGFF). Такие устройства вставляются непосредственно в разъёмы M.2 системной платы либо в платы-переходники для разъёмов PCIE; в обоих случаях применяется режим NVME, а не AHCI/SATA. В настоящее время большинство дисков SSD M.2 используют AHCI/SATA, а не NVME, однако это может измениться, поскольку преимущества NVME в производительности весьма убедительны. Диск NVME M.2 показан на рис. 1-17.

Рис. 1-17. SSD NVME с интерфейсом M.2

Интерфейс NVME U.2 (см. рис. 1-18) позволяет подключать по кабелю или через объединительную плату накопители в традиционном 2,5-дюймовом форм-факторе. Интерфейс и кабель U.2 (SFF-8639), механически похожие на SAS, но имеющие дополнительные контакты для линий PCIE, соединяют корпус накопителя со штекером mini-SAS HD на переходнике M.2, установленном на системной плате.

Рис. 1-18. SSD форм-фактора 2,5 дюйма с интерфейсом U.2, кабель-переходник U.2 - mini-SAS HD и переходник mini-SAS HD - M.2 для системной платы

Диски NVME не видны обычным инструментам команд SCSI или SATA, поскольку не используют команды SCSI или SATA. Инструменты Linux, предназначенные для взаимодействия с дисковыми интерфейсами ATA или SCSI, как правило, не работают с дисками NVME без дополнительной поддержки совместимости. У дисков NVME не привычные имена файлов /dev/sd*, а /dev/nvme*n*. Устройство NVME создаётся с дополнительным номером пространства имён. Пространство имён, обозначенное буквой n, представляет собой распределение пространства на накопителе NVME на уровне ниже операционной системы. Дисковые устройства /dev/nvme*n* являются блочными и должны нормально работать при обращении к файлу устройства Linux. Например, ниже показана команда mmls из Sleuth Kit, работающая с диском NVME:

На момент написания книги NVME оставался сравнительно новой технологией, а компания Tableau лишь недавно создала первый криминалистический аппаратный блокиратор записи PCI Express с поддержкой NVME. Из-за сложности перехвата команд NVME на шине PCIE блокираторы записи дороги и сложны в реализации. Дополнительные сведения см. в моей статье “NVM Express Drives and Digital Forensics”, где эта проблема рассмотрена подробнее.^[2]

Интерфейс USB был создан для объединения и замены устаревающих внешних интерфейсов периферийных устройств, таких как RS-232, параллельный интерфейс принтера, интерфейс клавиатуры и мыши PS/2 и другие проприетарные интерфейсы персональных компьютеров. Он проектировался как универсальный интерфейс для дисков, клавиатур, мышей, звуковых устройств, сетевых подключений, принтеров, сканеров и небольших подключаемых устройств, например мобильных телефонов. Всё больше устройств Интернета вещей (Internet of Things, IoT) можно подключить к персональному компьютеру по USB, и они могут содержать данные, полезные в качестве криминалистических доказательств. Поскольку эта книга посвящена криминалистическому получению данных с устройств массового хранения, я ограничу обсуждение устройствами хранения USB.

Флеш-накопители, оптические приводы, некоторые ленточные накопители и даже магнитные жёсткие диски (см. рис. 1-19) могут иметь интерфейс USB, непосредственно встроенный в электронику устройства. Чаще всего класс массовой памяти USB представлен потребительскими USB-накопителями, или флешками, и внешними корпусами для жёстких дисков.

Рис. 1-19. Магнитный жёсткий диск форм-фактора 1,8 дюйма со встроенным интерфейсом USB

Исходный протокол USB для устройств класса массовой памяти известен как Bulk-Only Transport (BOT). Сейчас BOT является наиболее распространённым транспортным протоколом USB, однако с ростом скорости дисков и появлением USB3 он превращается в узкое место и может быть заменён протоколом USB Attached SCSI Protocol (UASP). Подобно AHCI для SATA, USB также имеет определённый стандарт интерфейса контроллера основной системы. Extensible Host Controller Interface (xHCI) заменяет несколько более старых стандартов USB, в частности OHCI, UHCI и EHCI. Его спецификация доступна по адресу http://www.intel.com/content/dam/www/public/us/en/documents/technical-specifications/extensible-host-controler-interface-usb-xhci.pdf.

Новейший интерфейс USB 3.1 - Type C, показанный на рис. 1-20. Type C является многофункциональным интерфейсом: он подходит для устройств USB 3.1 и Thunderbolt 3, а также для подачи питания. Физический штекер можно вставлять любой стороной, поэтому при подключении к системе не нужно совмещать верх и низ.

Рис. 1-20. Интерфейс USB Type C

Во внешних корпусах дисков USB обычно находится один или несколько накопителей SATA. Если это осуществимо, диски SATA следует извлекать, чтобы получить прямой доступ к интерфейсу ATA. Это позволяет непосредственно опрашивать интерфейс накопителя и в некоторых случаях даёт преимущество в производительности, например для корпусов USB 2.0 с диском SATA.

Для устройств USB существуют специально предназначенные криминалистические блокираторы записи. Их можно использовать с накопителями, флеш-памятью и другими устройствами, имеющими встроенный интерфейс USB.

Thunderbolt был совместно разработан Apple и Intel как высокоскоростной внешний интерфейс для подключения дисков, видеомониторов и устройств PCI Express через единый разъём (см. рис. 1-21). Первоначально он носил кодовое название Light Peak и задумывался как оптоволоконное соединение. В Thunderbolt 1 и Thunderbolt 2 физическим интерфейсом служит Mini DisplayPort, а Thunderbolt 3 перешёл на кабель и разъём USB Type C. Популярность Thunderbolt, прежде всего среди пользователей Apple, в значительной мере объясняется компанией Apple, продвигавшей его вместе со своим оборудованием. Интерфейс Thunderbolt 3 объединяет PCI Express, DisplayPort и USB3. Thunderbolt 1, 2 и 3 обеспечивают скорость соответственно 10, 20 и 40 Гбит/с.

Рис. 1-21. Интерфейс Thunderbolt

На компьютерах Apple режим внешнего диска Target Disk Mode (TDM) можно использовать с Thunderbolt, как и с FireWire, чтобы система представлялась другому подключённому компьютеру в виде внешнего корпуса диска. TDM предписывает микропрограмме Apple предоставить внутренние диски как блочные устройства, к которым можно обращаться как к внешним накопителям SCSI, что удобно при работе с криминалистическими инструментами. Криминалистическое получение данных с компьютера Apple посредством TDM я продемонстрирую в разделе «Режим внешнего диска Apple» на странице 137.

Во внешних дисках Thunderbolt обычно находится один или несколько накопителей SATA. В крупных корпусах RAID с Thunderbolt интерфейс может использовать контроллер SAS вместе с несколькими дисками SATA или SAS.

Вывод Linux dmesg для внешнего диска, подключённого через Thunderbolt, выглядит следующим образом:

На момент написания книги ядро Linux поддерживает интерфейсы Thunderbolt на компьютерах Apple. Дополнительные платы для системных плат персональных компьютеров, например ASUS ThunderboltEX II, не поддерживают горячее подключение устройств. Однако если загрузить компьютер с уже подключённым диском Thunderbolt, BIOS или микропрограмма компьютера инициализирует адаптер Thunderbolt до загрузки операционной системы, благодаря чему внешние диски станут видны ядру.

На момент написания книги блокираторов записи для интерфейсов Thunderbolt на рынке нет. Накопителей с непосредственно встроенным интерфейсом Thunderbolt тоже пока не существует - доступны только корпуса.

Этот раздел не излагает долгую историю компьютерных дисковых интерфейсов, а лишь кратко рассматривает недавно устаревшие технологии IDE, параллельного SCSI и FireWire. Они по-прежнему могут иметь значение для криминалистического расследования, когда обнаруженное или изъятое в качестве доказательства оборудование оказывается старым.

Интерфейс IDE (см. рис. 1-22) и его усовершенствованная версия EIDE, обычно применявшиеся для 3,5-дюймовых дисков, были популярны до того, как их заменил SATA.

Рис. 1-22. Интерфейс диска IDE

Интерфейс mini IDE (см. рис. 1-23) был разработан для 2,5-дюймовых дисков ноутбуков и применялся до замены на SATA.

Рис. 1-23. Интерфейс диска Mini IDE

Интерфейс micro IDE ZIF (см. рис. 1-24) был разработан для 1,8-дюймовых жёстких дисков субноутбуков и других небольших электронных устройств и применялся до того, как его заменили интерфейсы mSATA и M.2.

Рис. 1-24. Интерфейс диска Micro IDE ZIF

Интерфейс FireWire, или IEEE1394 (см. рис. 1-25), был разработан компанией Apple как высокоскоростная внешняя шина для подключения видеооборудования и дисковых накопителей. В основном его заменили Thunderbolt и USB3.

Рис. 1-25. Интерфейсы FireWire

Параллельный интерфейс SCSI (см. рис. 1-26) почти исчез с потребительского рынка; преимущественно его заменил SATA, а в корпоративной среде - SAS.

Рис. 1-26. Интерфейсы SCSI

Криминалистические блокираторы записи для IDE, SCSI и FireWire широко распространены и работают также с переходниками для mini IDE, micro IDE ZIF и различных интерфейсов SCSI.

Обмен данными между устройствами хранения и компьютерными системами концептуально в чём-то похож на многоуровневую организацию сетей LAN/WAN.^[3] Его также можно разделить на несколько уровней абстракции. Физический уровень состоит из кабелей, проводников и электрических сигналов. Над ним расположен канальный уровень, где цифровые биты и байты передаются упорядоченным образом в кадрах или пакетах канального уровня. Поверх канального уровня отправитель и получатель обмениваются протоколами и командами для запроса и получения данных. В предыдущих разделах я описал физические соединения и дисковые интерфейсы. Здесь будут рассмотрены наборы команд более высоких уровней для ATA, SCSI и NVME. Рисунок 1-27 помогает представить разные уровни абстракции в общей системе.

Современные команды Advanced Technology Attachment (ATA) первоначально развились из стандарта Американского национального института стандартов (American National Standards Institute, ANSI), определявшего интерфейс AT Attachment для дисковых накопителей.^[4] Исходный стандарт описывал физический интерфейс - кабели, контакты и прочее, - электрические сигналы и логические команды, которые можно было подавать.

Рис. 1-27. Уровни абстракции применительно к дисковым интерфейсам

Современный стандарт^[5] описывает наборы функций, которыми могут обладать накопители, и команды ATA, доступные для управления каждым устройством. Интерфейс пакетных команд ATA (ATA Packet Interface, ATAPI) добавляет в стандарт ATA набор пакетных команд, позволяя применять дополнительные команды, не относящиеся непосредственно к функциям дискового накопителя, например извлекать носитель, инкапсулировать команды SCSI и выполнять другие действия.

Набор команд ATA (ATA Command Set, ACS) определяет команды и параметры, которые можно загрузить в регистры ATA и отправить накопителю для выполнения. Некоторые распространённые команды ATA приведены в табл. 1-1.

Таблица 1-1. Распространённые команды ATA

Многие команды ATA и ATAPI можно подавать с помощью утилит hdparm и smartctl. Комитет T13 (http://t13.org/) публикует стандарт, определяющий полный набор команд. Дополнительные материалы доступны по адресу http://sata-io.org/.

Понимание основных принципов работы команд ATA/ATAPI даёт знания, необходимые для понимания действия криминалистических блокираторов записи SATA и IDE, которые не позволяют командам ATA/ATAPI изменять диски. Знание принципов выполнения команд также помогает понять, каким образом эксперт-криминалист может запрашивать атрибуты диска и в конечном счёте успешно получать с него данные.

Обмен командами SCSI между адаптером шины и диском соответствует модели «клиент - сервер». Адаптер шины основной системы (Host Bus Adapter, HBA) выступает клиентом, или инициатором, а диск - сервером, или целью. Инициатор отправляет цели команды, возможно вместе с данными, а цель возвращает ответ, также, возможно, сопровождаемый данными. Изначально SCSI проектировался для самых разных устройств, включая сканеры, ленты, принтеры и не только жёсткие диски, поэтому обладает богатым набором команд. Команды передаются от инициатора (HBA) к цели (накопителю) в блоке дескриптора команды (Command Descriptor Block, CDB), содержащем саму команду и её параметры. Цель получает CDB, выполняет запрос и возвращает ответ. Это взаимодействие отчасти напоминает обмен запросом и ответом на основе UDP в клиент-серверной архитектуре TCP/IP.

Команды SCSI позволяют читать блоки данных с диска и записывать их на него, управлять оборудованием - извлекать компакт-диски или менять ленты, - сообщать состояние и диагностическую информацию и выполнять другие действия. Обычно эти команды скрыты от конечного пользователя, но существуют различные утилиты, позволяющие подавать команды SCSI из пользовательского пространства. С помощью инструментов пакета sg3_utils из командной строки Linux можно отправлять даже произвольные команды. Например, следующая команда подаёт низкоуровневую команду SCSI для чтения первого сектора диска SCSI:

В этом примере sg_raw получает команду CDB, которую следует отправить диску SAS /dev/sda. Первый байт, 0x08, задаёт шестибайтовую команду SCSI READ. Последующие нули указывают LUN и начальный сектор. Значение 0x01 задаёт число читаемых секторов, а параметр -r 512 сообщает sg_raw, сколько байтов вывести. Этот пример должен работать и с накопителями, подключёнными через SAS, SATA и USB.

Технические стандарты команд SCSI и SAS поддерживает технический комитет T10 организации INCITS (InterNational Committee for Information Technology Standards). Эти стандарты доступны по адресу http://t10.org/. Лучше понять протокол команд SCSI помогут книги по программированию SCSI.

Понимание основных принципов работы команд SAS/SCSI имеет значение для этой книги. Оно даёт знания, необходимые для понимания действия криминалистических блокираторов записи SAS/SCSI, которые не позволяют командам SAS/SCSI изменять диски. Знание принципов работы SAS/SCSI помогает понять, как эксперт-криминалист может запрашивать атрибуты диска и в конечном счёте выполнять криминалистическое получение данных.

Команды SCSI также применяются для управления лентами и оптическими устройствами.

Набор команд NVME был создан с нуля, без обратной совместимости с существующими наборами команд SCSI или ATA. Он предназначен для SSD, непосредственно подключённых к шине PCI Express, и использует преимущества параллельной обработки несколькими процессорами и мгновенного позиционирования SSD, которому не присуща задержка на перемещение дисковых головок. Разработчики стандарта также учли, что непосредственное подключение накопителя к шине PCIE позволяет устранить значительную часть накладных расходов протоколов ATA или SCSI. В результате появился новый минимальный набор без устаревших команд и требований обратной совместимости. Производительность и эффективность накопителей NVME значительно выше, чем SATA или SAS. Развитая система очередей команд предоставляет до 64 тысяч очередей, каждая из которых способна содержать 64 тысячи команд; для сравнения, SATA имел 32 очереди по одной команде.

Таблица соответствий между командами SCSI и NVME доступна по адресу http://nvmexpress.org/. Наиболее распространённые примеры приведены в табл. 1-2.

Таблица 1-2. Сопоставление команд SCSI и NVME

Дисковые устройства можно подключать к компьютерной системе через различные шины и мосты. Производительность повышается, если накопитель подключён как можно ближе к процессору и памяти. Сегодня минимальное расстояние до процессора и памяти обеспечивает интерфейс NVME на выделенных линиях шины PCI Express 3.0. Диски в оперативной памяти быстрее и эффективнее, однако создаются операционной системой и не являются устройствами энергонезависимого хранения. Устройство NVME можно подключить непосредственно к процессору без южного моста набора микросхем и накладных расходов традиционного дискового протокола, такого как ATA или SCSI.

ATA и SCSI - два самых распространённых протокола взаимодействия с носителями. Команды можно передавать через различные шины физического уровня или транспортные уровни и даже туннелировать либо инкапсулировать внутри других протоколов. Эта сложность скрыта от пользователя, а к подключённым устройствам можно обращаться через стандартные блочные устройства, предоставляемые ядром Linux.

В качестве примера рассмотрим жёсткий диск SATA, вставленный в автономную док-станцию USB, которая подключена к внешнему порту платы USB3 PCI Express, установленной в персональном компьютере. Обмен между интерфейсом диска и док-станцией происходит на нижнем уровне протокола SATA с помощью пакетов Frame Information Structures (FIS). Док-станция и плата USB3 взаимодействуют на нижнем уровне протокола USB посредством BOT или USAP. Обмен между платой USB3 и компьютером происходит на нижнем уровне протокола PCI Express посредством пакетов уровня транзакций PCIE (Transaction Layer Packets, TLP) и пакетов канального уровня (Data Link Layer Packets, DLLP). Наконец, обращение к диску через все эти мосты выполняется по протоколу команд SCSI. Таким образом, для подключения диска используется несколько физических и канальных уровней. Пользователю кажется, что диск доступен непосредственно, а нижние уровни протоколов скрыты от него абстракцией.

Для каждой физической шины обмен между подключёнными к ней устройствами обеспечивает компонент PHY, название которого происходит от слова physical. Работа компонентов PHY на шине отчасти напоминает взаимодействие двух модемов по кабелю WAN. PHY преобразует цифровые единицы и нули в соответствующие требованиям электрические сигналы, ожидаемые на данной шине. После того как PHY обслужит физический уровень, протокол канального уровня управляет потоком битов и байтов, передаваемым по шине в обоих направлениях. Канальный уровень организует поток данных в кадры или отдельные пакеты информации, которые могут обрабатывать верхние уровни.

Для USB, PCIE, Thunderbolt, SAS, SATA, Fibre Channel и других технологий существуют описания физического и канального уровней. Обычно стандарты позволяют универсальным драйверам операционной системы работать с физическим оборудованием независимо от конкретного устройства. Например, адаптеры USB определены стандартом xHCI, адаптеры SATA - стандартом AHCI, а устройства NVME - стандартом NVMHCI, который теперь называется просто стандартом NVME. Соответствие этим стандартам позволяет поддерживать оборудование без дополнительных проприетарных драйверов.

Хотя ATA/ATAPI и SCSI представляют собой разные наборы команд, оба в некоторой степени поддерживают туннелирование и сквозную передачу команд друг друга. ATA использует интерфейс ATAPI для инкапсуляции команд SCSI при взаимодействии с оптическими и ленточными накопителями и другими устройствами, которые понимают команды SCSI для извлечения носителей и иные команды, отсутствующие в протоколе ATA. SCSI поддерживает сквозную передачу ATA, позволяющую отправлять команды ATA по протоколу SCSI. Трансляция SAT (SCSI-ATA Translation) обеспечивает двустороннее преобразование между командами SCSI и ATA при их взаимодействии с носителями. В Linux это преобразование реализовано как программный интерфейс ядра в библиотеке libata. Библиотека libata, название которой иногда записывают как libATA, предоставляет ряд функций для взаимодействия с контроллерами и устройствами ATA.

Мосты играют важную роль в криминалистическом получении данных, поскольку лежат в основе аппаратных блокираторов записи. Обычно аппаратный блокиратор записи представляет собой мост, способный перехватывать отправляемые диску команды ATA или SCSI и не позволять командам изменять его секторы.

В этом разделе рассматривается ряд специальных тем, связанных с массовым хранением и цифровой криминалистикой. Значение некоторых областей, таких как UASP и SSHD, для цифровой криминалистики комментируется лишь кратко. Другие области, включая DCO, HPA и накопители NVME, здесь представлены впервые и подробнее рассматриваются далее в книге.

По мере развития стандартов ATA/ATAPI создавались функции, призванные помочь изготовителям систем. Защищённая область основной системы (Host Protected Area, HPA) появилась в стандарте ATA/ATAPI-4 и позволила изготовителям резервировать части диска для использования за пределами обычной операционной системы. Например, в HPA можно хранить постоянные данные, сведения для восстановления системы, данные гибернации и тому подобное. Доступ к ним контролирует микропрограмма системы, а не установленная операционная система. Функция наложения конфигурации устройства (Device Configuration Overlay, DCO) появилась в стандарте ATA/ATAPI-6 и позволила управлять сообщаемыми характеристиками и ёмкостью диска. Благодаря этому изготовители могли поставлять диски разных производителей, сохраняя одинаковое число доступных пользователю секторов и одинаковые функции. Это упрощало поддержку и замену накопителей. HPA и DCO могут сосуществовать, однако сначала необходимо создать DCO, а затем HPA.

Преступники и злоумышленники использовали HPA и DCO не по назначению, скрывая незаконные файлы и код вредоносных программ. Обнаружение и удаление HPA и DCO, открывающее секторы, скрытые от обычного пользователя, описано в разделе «Предоставление доступа к скрытым секторам» на странице 118. Более подробное криминалистическое описание HPA и DCO приведено в статье “Hidden Disk Areas: HPA and DCO”.^[6] Сведения об использовании HPA государственными структурами также доступны по адресам https://www.schneier.com/blog/archives/2014/02/swap_nsa_exploi.html и https://leaksource.files.wordpress.com/2013/12/nsa-ant-swap.jpg.

К некоторым служебным областям жёсткого диска обычно нельзя обращаться стандартными инструментами Linux. Эти области содержат списки повреждённых секторов и служебные секторы изготовителя, которые иногда называют отрицательными секторами. Для доступа к ним требуется специализированное программное и аппаратное обеспечение диагностики дисков. Пример доступа к служебной области диска и дополнительные материалы приведены в разделе «Доступ к служебной области накопителя» на странице 122. Не путайте служебную область диска с HPA или DCO. К областям HPA и DCO легко обратиться с помощью стандартных команд и методов ATA, чего нельзя сделать со служебными областями диска.

USB предоставляет два режима доступа к устройствам класса массовой памяти: более распространённый BOT и новый UASP. В связи с возросшими скоростями USB3 и USB3.1 был разработан новый, более эффективный транспортный протокол класса массовой памяти USB под названием USB Attached SCSI Protocol (UASP). Этот новый протокол также называют UAS, а в маркетинговых названиях продуктов иногда употребляются обозначения USB3 Boost, USB3 Turbo или USB3 Extreme. Дополнительные сведения доступны на сайтах http://usb.org/ и http://t10.org/ организаций, совместно разработавших стандарт. UASP повышает производительность благодаря очередям команд, асинхронной обработке и усовершенствованным возможностям управления задачами и командами.

В выводе dmesg подключённого диска USB с поддержкой UASP видно, что для работы применяется протокол uas:

Напротив, когда тот же диск подключён через традиционный интерфейс USB BOT, для работы загружается протокол usb-storage:

С криминалистической точки зрения важно отметить, что применяемый транспортный протокол не влияет на содержимое диска USB и не изменяет криптографический хеш криминалистического образа. Более того, блокираторы записи на основе UAS выгодно применять ради преимуществ в производительности; например, блокираторы записи Tableau USB3 используют UAS.

С ростом ёмкости дисков отрасль обнаружила, что эффективность можно повысить, перейдя от 512-байтовых секторов к секторам размером 4096 байт. Международная ассоциация оборудования и материалов для дисковых накопителей (International Disk Drive Equipment and Materials Association, IDEMA) разработала стандарт Advanced Format для физических секторов по 4096 байт (см. http://www.idema.org/?page_id=2369). С 2009 года изготовители жёстких дисков обязались применять Advanced Format IDEMA для выпуска дисков с секторами по 4 Кбайт. Даже при физических секторах по 4 Кбайт большинство современных дисков эмулирует 512-байтовые секторы; такие устройства называются Advanced Format 512e. Диски, предоставляющие основной системе и операционной системе собственные секторы по 4 Кбайт, называются Advanced Format 4Kn. В нижнем ценовом сегменте накопители Advanced Format 4Kn пока редки, но применяются в корпоративной среде. Для корпоративных дисков большой ёмкости большинство изготовителей предлагает две модели: 512e и 4Kn. Официальный логотип дисков 4Kn показан на рис. 1-28.

Хороший обзор Advanced Format и секторов по 4 Кбайт можно найти на YouTube: https://www.youtube.com/watch?v=TmH3iRLhZ-A/.

Рис. 1-28. Логотип Advanced Format 4Kn

Когда ядро Linux обнаруживает подключённый диск, оно выводит число секторов и размер логического сектора, а иногда явно сообщает и физический размер. В приведённом ниже фрагменте вывода dmesg показаны два диска одинаковой ёмкости: один Advanced Format 512e, другой 4Kn. Если разделить число 512-байтовых секторов на 8 или умножить число секторов по 4 Кбайт на 8, станет видно, что ёмкость дисков одинакова, но количество секторов различается.

В системе Linux размеры логического и физического секторов диска можно узнать через псевдофайловую систему /sys. Например, физический и логический размеры секторов подключённого диска /dev/sda определяются следующим образом:

Здесь показаны два метода: чтение псевдофайловой системы /sys, доступное также непривилегированному пользователю, и применение команды blockdev.

Некоторые SSD позволяют выбирать размер физического сектора с помощью средства для работы с микропрограммой. Например, в некоторых новых SSD Intel размер сектора можно переключать между 512 и 4096 с помощью предоставленного Intel инструмента командной строки (https://downloadcenter.intel.com/download/23931/).

Несколько особенностей дисков с секторами по 4 Кбайт представляют интерес для сообщества цифровой криминалистики и рассматриваются далее в этом разделе. У некоторых ранних дисков Western Digital Advanced Format 512e имелась перемычка - контакты 7 и 8, - которая внутренне сдвигала секторы, совмещая начало создаваемых по умолчанию разделов Windows XP с началом сектора размером 4 Кбайт. Такая настройка перемычки для повторного выравнивания диска значительно повышала производительность. Изменение положения перемычек выравнивания секторов повлияет на хеш криминалистического образа и потенциально на анализ диска. При криминалистическом создании или проверке образа критически важно сохранять то положение перемычек, в котором накопитель был первоначально изъят.

Применение дисков 4Kn повлияет на значение резервного пространства. Резервное пространство оперативной памяти, или memory slack, - неиспользуемая часть последнего сектора файла; не следует путать его с резервным пространством файла, то есть неиспользуемой частью последнего блока файловой системы, принадлежащего файлу. При использовании дисков 4Kn с файловыми системами, в которых размер блока равен 4 Кбайт, резервное пространство оперативной памяти совпадает с резервным пространством файла. Операционные системы, которые перед записью заполняют неиспользуемую часть 4-килобайтного сектора нулями, устраняют возможность обнаружить полезные данные в резервном пространстве файлов в файловых системах с 4-килобайтными блоками.

Криминалистические программы, предполагающие размер сектора 512 байт, могут завершиться с ошибкой или, что ещё хуже, выдать неправильный результат. При работе с дисками 4Kn важно убедиться, что криминалистическая программа распознаёт и использует секторы 4Kn. Sleuth Kit по умолчанию выбирает 512-байтовые секторы, поэтому для дисков 4Kn ему необходимо явно указать размер 4 Кбайт. В следующем примере mmls сначала выдаёт неправильный результат с настройкой по умолчанию, а затем правильный результат после указания верного размера сектора.

После указания 4096-байтового сектора параметром -b секторы раздела Linux представлены единицами по 4 Кбайт, а нераспределённая область в конце накопителя отсутствует. Пример успешного получения данных с диска с собственными секторами по 4 Кбайт приведён в разделе «Инструменты dcfldd и dc3dd» на странице 144.

Диски Advanced Format 4Kn пока применяются редко. Неясно, как секторы 4Kn повлияют на существующие криминалистические программы получения и анализа данных, представленные сегодня на рынке, особенно если такие инструменты изначально предполагают размер сектора 512 байт. Эта область требует дальнейших исследований со стороны сообщества цифровой криминалистики.

Спецификация NVME вводит понятие пространств имён, позволяющих разделять накопитель на более низком уровне, скрытом абстракцией от обычной операционной системы. Криминалистический образ накопителя с несколькими пространствами имён необходимо создавать отдельно для каждого пространства. Определить их число можно несколькими способами.

Отправив административную команду идентификации контроллера с помощью инструмента nvme-cli, можно проверить число поддерживаемых и используемых пространств имён. В следующем примере показаны различные сведения об их поддержке:

Здесь поле поддержки необязательных административных команд Optional Admin Command Support (OACS) показывает, что этот накопитель не поддерживает управление пространствами имён. Поле Number of Namespaces (nn) сообщает число пространств имён контроллера - на данном устройстве оно одно.

Размер пространства имён также можно проверить с помощью nvme-cli и сравнить со спецификациями изготовителя:

Здесь nsze обозначает размер пространства имён, ncap - его ёмкость, а nuse - используемый объём. Если эти значения совпадают с документированным изготовителем размером накопителя, они подтверждают, что используется одно пространство имён.

Третья проверка наличия нескольких устройств пространств имён состоит в простом просмотре устройств /dev/nvme0n2*, /dev/nvme0n3* и других, обнаруженных операционной системой.

На момент написания книги потребительских накопителей с поддержкой нескольких пространств имён, доступных для тестирования, не существовало. Сведения в этом разделе получены из спецификации NVME и документации инструмента.

Гибрид твердотельного и традиционного магнитного диска был разработан для того, чтобы по доступной цене предоставить большую ёмкость и производительность, сравнимую с SSD.

Такие гибридные накопители, известные как твердотельные гибридные диски (Solid State Hybrid Disks, SSHD), дополнительно кешируют часто используемые секторы в твердотельной памяти. SSHD могут работать полностью независимо от операционной системы или принимать от неё «подсказки», помогающие решить, какие блоки кешировать.

Начиная с SATA 3.2 была добавлена функция передачи сведений гибридному накопителю, позволяющая основной системе сообщать ему информацию для кеширования с помощью команд ATA.

До настоящего времени криминалистике SSHD посвящено мало исследований, поэтому последствия для получения данных неясны. SSHD содержат небольшой SSD, который должен выполнять выравнивание износа. Гибридный накопитель без поддержки команд TRIM, вероятно, не будет стирать данные в нераспределённых блоках файловой системы.

Описанные здесь гибридные системы встроены в электронику одного накопителя. Гибридная система может состоять и из двух отдельных устройств: небольшого SSD и более крупного магнитного жёсткого диска. Эквивалентное гибридное кеширование достигается посредством драйверов операционной системы или проприетарных систем, таких как Intel Smart Response Technology.

Растущая популярность программного обеспечения с открытым исходным кодом (open source software, OSS), такого как Linux, сделала его важной платформой цифровой криминалистики. Многие исследователи обсуждали преимущества OSS для выполнения критериев Дауберта, касающихся надёжности доказательств.^[1] Брайан Карриер, автор Sleuth Kit, исследовал юридические доводы в пользу открытых криминалистических инструментов и предположил, что некоторые части криминалистических программ, хотя и необязательно все, следует сделать открытыми.^[2]

Главное преимущество OSS в криминалистическом контексте - прозрачность. В отличие от проприетарных коммерческих программ, исходный код можно анализировать и открыто проверять. Кроме того, академические исследователи могут изучать его и развивать результаты работы других участников сообщества. Открытые криминалистические приложения стали инструментами и строительными блоками научных исследований в криминалистике. У OSS есть и недостатки, а в некоторых ситуациях его применение лишено смысла. В частности, открытость сообщества открытого исходного кода порой может противоречить конфиденциальному характеру продолжающихся криминалистических расследований. Преимущества и недостатки Linux и OSS обсуждаются в следующих разделах.

Общедоступность OSS означает, что оно доступно каждому, а не только тем, кто приобрёл лицензии или подписал соглашения о неразглашении. Любой заинтересованный человек может свободно загружать, применять, исследовать и изменять OSS, не уплачивая лицензионных сборов или платы за использование.

Доступ к исходному коду позволяет адаптировать программу и облегчает её интеграцию с другим программным и аппаратным обеспечением и процессами криминалистической лаборатории. Доступ на уровне исходного кода расширяет возможности автоматизации рабочих нагрузок и создания сценариев. Автоматизация уменьшает необходимое участие человека, тем самым ограничивая риск человеческой ошибки и высвобождая специалистов для другой работы.

В лабораториях с большим объёмом дел автоматизация необходима для оптимизации и упрощения процессов. Поскольку исходный код можно свободно изменять, OSS удаётся приспособить к требованиям конкретной криминалистической лаборатории. В особенности программы командной строки позволяют связывать множество задач и заданий в конвейеры посредством сценариев оболочки, выстраивая сквозной процесс.

Поддержка OSS обладает несколькими преимуществами. Неформальная помощь сообщества может быть превосходной, а ответы на просьбы о помощи в списках рассылки и чатах порой приходят за считанные минуты. В некоторых случаях быстро реализуются исправления, устраняются ошибки и выполняются запросы новых функций.

Linux и OSS идеально подходят для академической криминалистической лаборатории, поскольку используют открытые опубликованные стандарты, а не закрытые или проприетарные. Сообщества разработчиков OSS сотрудничают с конкурирующими группами, а не противодействуют им. Обучение у других, заимствование кода и идей у других с должным указанием авторства и развитие чужих результатов поощряются и служат основой обучения и накопления знаний.

Независимость от поставщика, которую даёт OSS, предотвращает привязку к продуктам одного изготовителя и способствует взаимодействию и совместимости технологий и организаций. Благодаря этому со временем проще менять программное обеспечение: отдельные компоненты можно заменять новыми или альтернативными технологиями, не затрагивая системы и процессы в целом.

Недостатки Linux и OSS одновременно служат доводами в пользу закрытых проприетарных программ. Коммерческие реализации инструментов часто обладают в этой области своими выгодами и преимуществами.

Модель поддержки сообществом открытого исходного кода не гарантирует надёжность, точность или достоверность. Качество предоставляемых сообществом ответов сильно различается: одни бывают превосходными, другие - ошибочными и даже опасными. Зачастую официальной службы поддержки вообще нет. В ситуациях, где требуется гарантированная круглосуточная поддержка, преимущество имеют коммерческие поставщики.

Поддержка в мире открытого исходного кода столь же прозрачна, как сами программы: её видят все. Однако в криминалистической лаборатории материалы дел и расследования могут быть деликатными или конфиденциальными. Обращение за помощью к общественности способно раскрыть либо скомпрометировать подробности продолжающегося расследования. Поэтому в открытой модели поддержки возникают вопросы информационной безопасности и неприкосновенности частной жизни.

Взаимодействие с проприетарными технологиями создаёт сложности для открытых интерфейсов и API. Закрытые технологии, сведения о которых не публикуются, часто не лицензируют, а исследуют методами обратной разработки. Такие попытки нередко остаются неполными, рискуют неправильно реализовать конкретную технологию и могут потребовать долгого времени.

Свободное OSS часто разрабатывается добровольцами, а программа может находиться в бесконечном состоянии разработки. Некоторые проекты забрасывают или они погибают из-за отсутствия внимания. В других возникают ответвления кода: часть разработчиков решает скопировать существующую кодовую базу и развивать её в направлении, отличном от выбранного первоначальными авторами.

Свободное OSS порой недостаточно отшлифовано. В нём могут встречаться ошибки; его бывает трудно освоить или использовать. Документация может быть плохой, а иногда единственной документацией служит исходный код. В отличие от коммерческих программ, обучение работе с продуктом обычно не предоставляется. Освоение Unix/Linux требует времени и усилий; в частности, командная строка не столь интуитивна, как полностью графическая среда. Многие, впервые попадая в мир свободного и открытого программного обеспечения, проходят период обучения, причём осваивать приходится не только программу, но и общие установки и образ мышления окружающего сообщества.

Поставщики коммерческих программ в криминалистическом сообществе обеспечивают определённую защищённость результатов и дают гарантии правильной работы своих программ. Некоторые криминалистические компании даже предлагали выступить в суде, чтобы защитить результаты, полученные их продуктами. В сообществе свободного и открытого исходного кода никто не отвечает за созданные программы и не принимает за них ответственность. Они предоставляются «как есть» и «на страх и риск пользователя».

Очевидно, что OSS подходит не для каждой ситуации, и книга не утверждает обратного. Во многих представленных далее примерах OSS полезнее для обучения и демонстрации внутренних механизмов, чем в качестве жизнеспособной альтернативы профессиональным коммерческим криминалистическим программам.

Традиционные системы Unix, философию которых наследует Linux, были спроектированы так, что всё в них является файлом. Каждый файл относится к определённому типу: обычному файлу, каталогу, блочному устройству, символьному устройству, именованному каналу, жёсткой ссылке или программной, то есть символической, ссылке, подобной файлам LNK в Windows. На рабочей станции эксперта интерес для криминалиста представляют файлы блочных устройств подключённых исследуемых дисков, потенциально содержащих доказательства. В этом разделе описываются устройства Linux, прежде всего блочные устройства носителей.

В системах Unix и Linux есть специальный каталог /dev, где хранятся особые файлы, соответствующие известным ядру устройствам. В ранних системах Unix и Linux файлы устройств в /dev требовалось создавать вручную командой mknod либо посредством сценариев MAKEDEV, создававших устройства при загрузке или по мере необходимости. С появлением оборудования plug-and-play понадобился более динамический подход, и для автоматического обнаружения нового оборудования и создания файлов устройств была разработана devfs. Необходимость лучше взаимодействовать со сценариями и программами пользовательского пространства привела к созданию udev, которая заменила devfs. Сегодня udev объединена с systemd и запускает демон systemd-udevd.

При подключении нового устройства к основной системе или его отключении прерывание уведомляет ядро об изменении оборудования. Ядро сообщает об этом системе udev, которая создаёт соответствующие устройства с надлежащими разрешениями, выполняет сценарии и программы настройки или удаления и отправляет сообщения другим демонам, например через dbus.

Наблюдать за работой udev можно с помощью инструмента udevadm в режиме мониторинга:

Здесь диск был подключён к порту USB, а udev выполнила настройку всех соответствующих файлов устройств и ссылок.

Команда udevadm позволяет также определить список связанных файлов и путей подключённых устройств. Например:

Понимание дерева устройств Linux важно при криминалистическом получении и анализе данных. При выполнении криминалистических команд и сборе сведений об устройстве критически важно знать, какие устройства относятся к локальной машине следователя, какие являются подозреваемыми накопителями, какое устройство служит блокиратором записи и так далее.

После обнаружения ядром подключённые накопители появляются в каталоге /dev как блочные устройства. Файлы необработанных дисковых устройств именуются по определённым правилам: sd* для SCSI и SATA, hd* для IDE, md* для массивов RAID, nvme*n* для накопителей NVME и другие имена для менее распространённых или проприетарных драйверов дисковых устройств.

Отдельные разделы, обнаруженные ядром, представлены нумерованными необработанными устройствами, например hda1, hda2, sda1, sda2 и так далее. Блочные устройства разделов представляют целые разделы как непрерывную последовательность секторов диска. Обычно раздел содержит файловую систему, которую ядро может смонтировать и предоставить пользователям как обычную часть дерева каталогов. Большинство криминалистических инструментов способно и должно исследовать необработанные устройства и устройства разделов без монтирования файловой системы.

Для примеров этой книги полезно знать ещё несколько устройств. «Битовая корзина» /dev/null отбрасывает все записываемые в неё данные. При обращении к /dev/zero предоставляется непрерывный поток нулей. Генератор случайных чисел /dev/random выдаёт поток случайных данных. Имена ленточных накопителей обычно начинаются с /dev/st, а к другим внешним носителям можно обращаться через /dev/cdrom или /dev/dvd; зачастую это символические ссылки на /dev/sr*. В некоторых случаях доступ к устройствам осуществляется через интерфейс универсального драйвера SCSI /dev/sg*.

К другим специальным псевдоустройствам относятся /dev/loop* и /dev/mapper/*. Они подробнее рассматриваются на протяжении книги.

Файловые системы организуют хранилище в иерархическую структуру каталогов, или папок, и файлов. Они создают уровень абстракции над блочными устройствами.

Ядро Linux поддерживает множество файловых систем; их список приведён по адресу https://en.wikipedia.org/wiki/Category:Linux_kernel-supported_file_systems. Это может быть полезно при выполнении некоторых криминалистических задач. Однако для криминалистического получения данных поддержка файловой системы не требуется, поскольку создание образа работает с блочным устройством ниже файловой системы и схемы разделов.

Чтобы предоставить единообразный интерфейс для файловых систем разных типов, ядро Linux реализует уровень абстракции виртуальной файловой системы (Virtual File System, VFS). Он позволяет монтировать обычные файловые системы носителей - EXT*, NTFS, FAT и другие, - сетевые файловые системы - nfs, sambafs/smbfs и другие, - файловые системы пользовательского пространства на основе FUSE,^[3] составные файловые системы - encryptfs, unionfs и другие, - а также специальные псевдофайловые системы, например sysfs и proc.

Диаграмма стека хранения Linux, показанная на рис. 2-1, помогает понять взаимосвязь файловых систем, устройств, драйверов и аппаратных устройств в ядре Linux.

Рис. 2-1. Диаграмма стека хранения Linux (https://www.thomas-krenn.com/en/wiki/Linux_Storage_Stack_Diagram, используется на условиях лицензии CC Attribution-ShareAlike 3.0 Unported)

Перевод служебных подписей на схеме.

Часто неправильно понимают различие между подключённым и смонтированным дисковым устройством. Для получения данных с устройства и даже для обращения к нему средствами криминалистического анализа монтирование не требуется. Криминалистические инструменты, работающие непосредственно с блочными устройствами, получают доступ к подключённым дискам без их монтирования операционной системой.

Чтобы файловая система на дисковом устройстве стала доступна в Unix и Linux как обычная структура каталогов, её необходимо явно смонтировать. Монтирование файловой системы означает лишь предоставление доступа к ней стандартным средствам работы с файлами - файловым диспетчерам, приложениям и другим программам, - подобно буквам дисков в DOS/Windows. Linux не использует буквы дисков: смонтированные диски становятся частью локальной файловой системы и присоединяются к любому выбранному месту её дерева. Это место называется точкой монтирования файловой системы. Например, следующая команда монтирует USB-накопитель в системе следователя, используя /mnt как точку монтирования:

Перед физическим отключением смонтированного диска в Linux сначала размонтируйте файловую систему, чтобы предотвратить её повреждение. Команде umount - именно umount, а не unmount - можно передать имя устройства или точку монтирования. Две следующие команды выполняют одно и то же действие по размонтированию дисковой файловой системы:

После размонтирования файловой системы необработанный диск по-прежнему виден ядру и доступен инструментам работы с блочными устройствами, хотя сама файловая система не смонтирована. Размонтированный диск можно безопасно физически отключить от системы получения данных следователя.

Не подключайте и не монтируйте подозреваемые накопители без блокиратора записи. При этом высок риск изменить, повредить или уничтожить цифровые доказательства. Современные операционные системы обновляют временные метки последнего доступа при обращении к файлам и каталогам. Любые демоны пользовательского пространства - средства индексирования поиска, генераторы миниатюр и другие - могут записать данные на диск и перезаписать доказательства; файловые системы могут попытаться выполнить восстановление; журнальные файловые системы способны записать данные журнала; возможны и другие ошибки человека. Файловую систему можно смонтировать с блокиратором записи: она будет доступна как обычная файловая система, но только для чтения, что обеспечит защиту цифровых доказательств.

При работе с такими криминалистическими средствами, как Sleuth Kit, dcfldd, foremost и другими, к файловой системе можно обратиться без монтирования, используя правильное блочное устройство, представляющее содержащий её раздел. В большинстве случаев это будет нумерованное устройство, например /dev/sda1, /dev/sda2, /dev/sdb1 и так далее, обнаруженное ядром Linux.

Если ядро Linux не обнаруживает файловую систему, может потребоваться явно указать её. Файловая система не будет правильно обнаружена по любой из следующих причин:

• файловая система не поддерживается основной системой - отсутствует модуль ядра или сама файловая система не поддерживается;

• таблица разделов повреждена или отсутствует;

• раздел удалён;

• смещение файловой системы на диске неизвестно;

• файловую систему необходимо сделать доступной, например разблокировать устройство или расшифровать раздел.

В последующих разделах книги я объясню методы применения loop-устройств для доступа к разделам и файловым системам, которые ядро Linux или различные криминалистические инструменты не обнаруживают автоматически.

При создании рабочей станции следователя для криминалистического получения или анализа цифровых данных полезно понимать основные принципы построения и состав системы Linux.

Строго говоря, термин Linux обозначает только ядро, которое и является собственно операционной системой.^[4] Графический интерфейс, инструменты и утилиты и даже оболочка командной строки относятся не к Linux, а к дистрибутиву Linux. Дистрибутив представляет собой функциональный пакет, который обычно содержит ядро Linux, программы установки и диспетчеры пакетов, как правило уникальные для дистрибутива, а также различные дополнительные программы и утилиты, включая стандартные приложения: офисные пакеты, веб-браузеры, почтовые клиенты и средства чата. Официальное ядро Linux существует только одно, но имеется множество дистрибутивов Linux, в том числе Red Hat, SUSE, Arch и Debian. Есть также немало производных дистрибутивов. Например, Ubuntu основан на Debian, CentOS - на Red Hat, а Manjaro - на Arch. Полный перечень дистрибутивов и других открытых операционных систем, не относящихся к Linux, см. на сайте http://distrowatch.com/.

Графический интерфейс разных дистрибутивов Linux состоит из нескольких компонентов, назначение которых полезно понимать. Оконная система X11 представляет собой сервер отображения, который взаимодействует с графическим оборудованием и предоставляет интерфейс к графическим примитивам X11; более новой альтернативой X11 служит Wayland. Оконный диспетчер управляет перемещением, изменением размера, размещением окон и другими операциями с ними. В качестве примеров можно назвать Compiz, Mutter и OpenBox; ими можно пользоваться без среды рабочего стола. Среда рабочего стола определяет внешний вид и поведение дистрибутива и работает поверх оконного диспетчера. К популярным рабочим столам относятся Gnome, KDE, Xfce и Mate. Графическую среду для рабочей станции эксперта-криминалиста можно выбирать по личным предпочтениям: она никак не влияет на собираемые или анализируемые доказательства. Примеры книги выполнялись в системе без графического интерфейса - Ubuntu Server.

Оболочка представляет собой командную строку, через которую люди или машины подают команды для управления операционной системой. Она запускает и останавливает программы, устанавливает программное обеспечение, выключает систему и выполняет другую работу. Можно утверждать, что командная оболочка предлагает более мощные функции и возможности, чем графические среды.

В примерах книги используется среда командной строки. Для инструментов командной строки могут существовать графические аналоги или оболочки, но в этой книге они не рассматриваются.

Самая распространённая сегодня оболочка, используемая по умолчанию в большинстве дистрибутивов Linux, - Bash. Примеры книги используют Bash, но могут работать и в других оболочках, например zsh или csh.

Оболочка - всего лишь ещё одна программа, выполняемая в системе. Люди взаимодействуют с ней, вводя команды, а машины - выполняя сценарии оболочки.

Пользователь обычно вводит команду в приглашении, а затем нажимает клавишу ENTER или RETURN. В зависимости от запущенной программы и настройки оболочки вывод может появиться или отсутствовать.

Полезная возможность командной строки Unix/Linux - передача потоков данных программам и файлам посредством конвейеров и перенаправления. Это отчасти похоже на перетаскивание и копирование со вставкой в графических средах, но обладает гораздо большей гибкостью.

Программа может получать данные из вывода других программ или из файлов в файловой системе. Она также может передавать вывод на вход другой программе либо отправлять его в файл файловой системы.

Следующие примеры показывают, как tool.sh перенаправляет вывод в file.txt, получает входные данные из file.txt и передаёт свой вывод по конвейеру на вход othertool.sh:

Механизм конвейеров и перенаправления не ограничен отдельными командами или файлами: их можно объединять в последовательность из нескольких программ:

Конвейеры и перенаправление широко применяются на протяжении книги. Они позволяют выполнять несколько задач одной строкой команд и облегчают создание сценариев и автоматизацию, устраняя необходимость участия человека. В примерах книги конвейеры и перенаправление используются для получения образов носителей, передачи данных между криминалистическими программами и сохранения представляющих интерес доказательных сведений в файлах.

Необработанные образы не являются форматом как таковым: это фрагмент необработанных данных, образ которых получен из источника доказательств. В них нет дополнительных метаданных, кроме сведений о самом файле образа - имени, размера, временных меток и другой информации в собственном индексном дескрипторе образа.

Извлечение необработанного образа технически несложно: это простая передача последовательности байтов с исходного устройства в целевой файл. Обычно она выполняется без каких-либо преобразований или трансляции.

Для извлечения необработанных образов чаще всего применяют инструменты копирования дисковых блоков, например dd и её варианты. Они рассматриваются в следующих разделах.

Самый простой и одновременно старейший инструмент создания необработанных образов - исходная утилита Unix dd. Она не была предназначена для сбора доказательств, однако простая побайтовая передача удобна для создания образов дисковых устройств, поскольку формирует полную низкоуровневую копию отдельных секторов диска, сохраняя структуру файловой системы, файлы, каталоги и метаданные. В то же время такие возможности, как ведение журнала, обработка ошибок и хеширование, в ней недостаточны или вообще отсутствуют; dd можно применять, когда лучшей альтернативы нет. Проект Computer Forensic Tool Testing (CFTT) протестировал несколько стандартных версий dd. Результаты опубликованы на сайте CFTT: http://www.cftt.nist.gov/disk_imaging.htm.

Утилита dd была создана в 1970-е годы в ранних системах UNIX для преобразования порядка байтов и копирования блоков. Изначально она предназначалась для преобразования данных в кодировке EBCDIC, применявшейся на мейнфреймах, в кодировку ASCII, предпочтительную в среде UNIX. Программа просто получает блоки данных из источника, при необходимости выполняет преобразование или трансляцию, а затем помещает блоки в заданное место назначения - на другое устройство или в файл. Современные версии dd получили усовершенствования, благодаря которым подходят для криминалистического получения данных с таких устройств, как диски и ленты.

Поскольку исходный инструмент dd не проектировался для криминалистического применения, в нём отсутствуют некоторые необходимые возможности. Поэтому позднее были разработаны основанные на dd средства со следующими желательными криминалистическими функциями:

• криптографическое хеширование;

• улучшенная обработка ошибок;

• ведение журнала;

• повышение производительности;

• контрольная проверка;

• наблюдение за ходом работы, поскольку создание криминалистического образа может занимать много часов.

Два наиболее распространённых варианта утилиты dd - dcfldd, созданная Николасом Харбором в Лаборатории компьютерной криминалистики Министерства обороны США (Defense Computer Forensics Lab, DCFL) в 2002 году, и dc3dd, созданная Джесси Корнблюмом в 2007 году во время его работы в Центре киберпреступности Министерства обороны США (Defense Cyber Crime Center, DC3).

Инструмент dcfldd основан на GNU dd и, среди прочего, получил дополнительные функции хеширования, улучшенного ведения журнала и разделения выходных файлов. Хотя он не обновлялся с 2006 года, им пользуются и сегодня. Александр Дюлануа создал исправленную версию dcfldd, включавшую некоторые исправления ошибок Debian; она доступна по адресу https://github.com/adulau/.

Более новый инструмент dc3dd реализован в виде исправления и поэтому легче следует за изменениями кода GNU dd. Он продолжает сопровождаться и недавно получал обновления. В нём имеются криминалистические функции, похожие на возможности dcfldd, а также улучшенное ведение журнала и обработка ошибок.

Оба инструмента, dcfldd и dc3dd, происходят от традиционной dd и обладают сходными возможностями. Ни один не имеет встроенной поддержки записи в криминалистические форматы FTK, EnCase или AFF, сжатия либо шифрования образа, однако эти задачи можно решить посредством конвейеров команд и перенаправления. Примеры обоих инструментов встречаются на протяжении книги. Для dcfldd и dc3dd существуют отчёты CFTT о тестировании.

Стоит упомянуть несколько инструментов восстановления данных благодаря их надёжной обработке ошибок и настойчивым методам восстановления. Эти средства создавались без расчёта на криминалистику, но могут пригодиться в ситуациях, когда все остальные криминалистические инструменты не смогли получить данные с сильно повреждённого носителя.

GNU ddrescue и dd_rescue имеют похожие названия, но являются разными, независимо разработанными инструментами. На момент написания книги оба активно развивались и обладали разными полезными возможностями. Хотя в их названиях упоминается dd, ни один не использует синтаксис команд dd.

GNU ddrescue была создана в 2004 году Антонио Диасом Диасом и включена в Debian под именем пакета gddrescue. Она применяет настойчивые и агрессивные методы, пытаясь восстановить повреждённые области диска.

Инструмент dd_rescue был создан Куртом Гарлоффом в 1999 году и обладает развитой системой модулей, поддерживающей сжатие, шифрование, хеширование и другие функции.

К похожим инструментам восстановления носителей относятся myrescue и safecopy. Некоторые из этих средств будут продемонстрированы в главах 6 и 7.

Несколько недостатков необработанных образов привели к появлению криминалистических форматов файлов. При создании образа носителя как доказательства существуют метаданные о расследовании, следователе, характеристиках накопителя, журналах и временных метках, криптографических хешах и тому подобном. Помимо метаданных, полученный образ нередко требуется сжать или зашифровать. Специализированные криминалистические форматы облегчают реализацию этих возможностей; наиболее распространённые из них описаны ниже.

Криминалистические форматы файлов иногда называют контейнерами доказательств. В некоторых исследованиях также изложено понятие цифровых пакетов доказательств.^[1] Инструменты получения данных в криминалистических форматах демонстрируются в главе 6.

Компания Guidance Software, одна из старейших фирм, выпускающих криминалистические программы, создаёт свой основной комплект EnCase, использующий Expert Witness Format (EWF). Формат EWF поддерживает метаданные, сжатие, шифрование, хеширование, разделённые файлы и другие возможности. В 2006 году Йоахим Мец создал libewf - открытую библиотеку и инструменты, разработанные методами обратной разработки; их поддержку можно включить при компиляции Sleuth Kit.

Формат FTK SMART компании AccessData непосредственно конкурирует с EnCase EWF. Это проприетарный формат, также включающий метаданные, сжатие, шифрование, хеширование, разделённые файлы и другие возможности. Инструмент командной строки ftkimager, бесплатный, но не открытый, доступен у AccessData и демонстрируется в главах 6 и 7.

Advanced Forensic Format (AFF) был создан Симсоном Гарфинкелем как открытый, рецензируемый и опубликованный формат. Он включает все ожидаемые возможности криминалистического формата, а также дополнительные функции шифрования и подписания посредством стандартных сертификатов X.509. Пакет AFFlib содержит ряд инструментов для преобразования формата AFF и управления им.

AFF версии 3 сопровождается отдельно по адресу http://github.com/sshock/AFFLIBv3/. В 2009 году была опубликована статья об AFF версии 4.^[2] Современный сайт AFF версии 4 находится по адресу http://www.aff4.org/. О создании Рабочей группы Advanced Forensic Format 4 (AFF4 Working Group, AFF4 WG) объявили летом 2016 года, а её первое совещание состоялось на конференции DFRWS в Сиэтле.

На протяжении книги я буду демонстрировать метод создания гибридного криминалистического контейнера, который сочетает простое получение необработанного образа с возможностью хранить сопроводительные сведения по делу, подобно более совершенным криминалистическим форматам. Метод использует SquashFS как контейнер криминалистических доказательств вместе с небольшим сценарием оболочки sfsimage, управляющим различными аспектами контейнера. В результате сжатый образ объединяется в одном пакете с журналами создания образа, сведениями о дисковом устройстве и любой другой информацией - фотографиями, формами цепочки хранения доказательств и так далее. Файлы находятся в доступной только для чтения файловой системе SquashFS, к которой можно обращаться без специальных криминалистических инструментов.

SquashFS - сильно сжатая файловая система только для чтения, созданная для Linux. Её разработал Филип Лоуэр в 2002 году, а в 2009 году, начиная с версии ядра 2.6.29, она вошла в дерево ядра Linux.

SquashFS проектировалась преимущественно для загрузочных компакт-дисков и встраиваемых систем, однако обладает рядом свойств, привлекательных для контейнера криминалистических доказательств:

• SquashFS является файловой системой с высокой степенью сжатия;

• она доступна только для чтения: элементы можно добавлять, но нельзя удалять или изменять;

• она сохраняет uid/gid следователя и временные метки создания;

• она поддерживает очень большие файлы, теоретически до 16 ЭиБ;

• она включена в ядро Linux и легко монтируется как файловая система только для чтения;

• файловая система представляет собой открытый стандарт, инструменты для которого существуют в Windows и OS X;

• инструмент mksquashfs использует для создания контейнера все доступные процессоры.

Применение SquashFS как контейнера криминалистических доказательств - практичная альтернатива другим криминалистическим форматам, поскольку упрощает управление сжатыми необработанными образами, полученными посредством dd. Инструмент sfsimage, описанный далее, предоставляет функции, необходимые для управления контейнерами криминалистических доказательств SquashFS.

Современные ядра Linux по умолчанию поддерживают файловые системы SquashFS. Для монтирования и доступа к SquashFS не нужны дополнительные модули или повторная компиляция ядра. Однако для создания файла SquashFS, добавления в него файла или просмотра содержимого требуется пакет squashfs-tools.^[3] В зависимости от выбранного инструмента создания образов могут понадобиться дополнительные пакеты криминалистических программ, например dcfldd, dc3dd или ewfacquire.

Мой сценарий оболочки sfsimage доступен по адресу http://digitalforensics.ch/sfsimage/. Запуск sfsimage без параметров выводит справку с описанием использования:

Для настройки sfsimage можно изменить сценарий либо создать отдельные файлы sfsimage.conf, которые он будет использовать. Файл конфигурации документирован комментариями и примерами и позволяет определить следующие параметры:

• предпочтительную команду создания или получения образа: dd, dcfldd, dc3dd и так далее;

• предпочтительную команду опроса устройства: hdparm, tableau-parm и так далее;

• каталог по умолчанию для монтирования контейнера доказательств; по умолчанию используется текущий рабочий каталог;

• способ управления привилегированными командами: sudo, su и так далее;

• разрешения и uid/gid создаваемых файлов.

Сценарий sfsimage использует шаблон имён *.sfs для контейнеров криминалистических доказательств SquashFS. Вместе со сценарием поставляется страница руководства sfsimage(1) с более подробными сведениями.

Чтобы получить образ диска в контейнер SquashFS, запустите sfsimage с параметром -i, указав дисковое устройство и имя контейнера доказательств. Будет создан контейнер с образом и исходными метаданными о только что обработанном устройстве. В этом примере sfsimage настроен на применение dc3dd как инструмента создания образа:

Здесь создаётся контейнер SquashFS, внутри которого формируется обычный необработанный образ. Также создаются дополнительные журналы и сведения; их можно добавить и отдельно.

Дополнительные доказательства добавляются в контейнер командой sfsimage с параметром -a. Например, если в ранее созданный контейнер криминалистических доказательств требуется добавить фотографию физического диска, это выполнит следующая команда:

Чтобы просмотреть содержимое контейнера криминалистических доказательств SquashFS, запустите сценарий sfsimage с параметром -l:

Этот вывод показывает содержимое контейнера *.sfs без его монтирования, а также правильное время создания или добавления файлов. Журнал ошибок, журнал хешей и журнал sfsimage документируют действия и ошибки. Файл photo.jpg - фотография, впоследствии добавленная в контейнер.

После монтирования файла *.sfs можно обращаться к полученному образу и добавленным файлам метаданных в контейнере SquashFS. Содержимое становится доступно как обычная часть файловой системы. Поскольку SquashFS доступна только для чтения, опасности изменения содержимого нет.

В следующем примере файл *.sfs монтируется параметром -m, после чего к полученному образу применяются обычные криминалистические инструменты - в данном случае mmls из Sleuth Kit:

Обратите внимание, что смонтированный контейнер *.sfs по умолчанию появляется как каталог *.sfs.d. После монтирования обращаться к файлам внутри каталога можно обычными средствами операционной системы, криминалистическими инструментами и даже путём экспорта файлов как общего сетевого диска.

Когда точка монтирования *.sfs.d больше не нужна, размонтируйте её параметром -u:

Запуск sfsimage -m без точки монтирования выводит список всех смонтированных контейнеров SquashFS. В одной системе можно одновременно смонтировать несколько контейнеров.

С файлами дисковых образов всегда было трудно работать в криминалистической среде из-за их размеров. Большие диски создают проблемы с пространством и материально-технические сложности. Практичные методы сжатия, такие как SquashFS, помогают справиться с этой проблемой. Чтобы показать практическую пользу сжатой файловой системы, sfsimage применили для получения образа исследуемого диска ёмкостью 8 Тбайт (bonkers) в системе следователя, где имелось лишь 2 Тбайт дискового пространства. Полное получение заняло более 16 часов, а полученный сжатый файл SquashFS имел размер всего 1 Тбайт. Смонтированный файл SquashFS предоставляет доступ ко всем 8 Тбайт в виде файла необработанного образа. Образ сжимается на лету без каких-либо временных файлов. Размеры файла *.sfs и файла образа показаны ниже.

Использование SquashFS - практичное и эффективное решение для работы с необработанными файлами в сжатом виде и альтернатива другим контейнерам криминалистических доказательств.

Аудиторский след или журнал хранит хронологическую запись действий, событий и задач. Он может иметь разную степень подробности и вестись вручную либо автоматически. В этом разделе рассматриваются несколько методов ручного отслеживания задач в командной строке, а также автоматизированная регистрация действий в ней.

В этом разделе объясняется настройка автоматизированного журнала команд, введённых экспертом в командной строке. В идеале такая регистрация не должна повышать сложность работы или мешать текущему криминалистическому исследованию. С помощью различных инструментов действия эксперта в командной строке можно записывать автоматическими фоновыми процессами. В ходе криминалистического расследования такой подход совершенно прозрачен для самого эксперта.

Оболочка Unix/Linux изначально не проектировалась с учётом ведения журнала или аудиторского следа. Ранее создавались исправления, расширявшие механизм истории; предпринимались попытки перехватывать команды во время работы оболочки; коммерческие продукты выполняли различные виды корпоративного журналирования. Разработка надёжной системы аудита и контроля соблюдения требований, которая записывала бы все команды с временными метками, включая встроенные команды оболочки, запускаемые программы и конвейеры, находится за рамками книги.

Историю оболочки Bash можно настроить так, чтобы она удовлетворяла следующим основным требованиям:

• записывала команду, введённую экспертом;

• записывала временную метку каждой введённой команды;

• записывала все команды, включая повторы, комментарии и команды с начальным пробелом;

• не допускала усечения или перезаписи файлов истории;

• предотвращала конфликты при использовании нескольких окон терминала в одной системе;

• включала историю команд привилегированного и непривилегированного пользователя.

Применение обычной истории Bash в качестве аудиторского следа - примитивное решение. В неё не записываются важные сведения: время завершения команды, рабочий каталог, в котором она выполнялась, и код возврата. История Bash также не защищена от вмешательства: эксперт легко может изменить или удалить её. Создание защищённой, устойчивой к вмешательству среды аудита с ограниченным доступом находится за рамками книги.

Некоторые оболочки, например zsh, обладают дополнительными функциями истории, позволяющими регистрировать затраченное время. Среди других предложенных решений по улучшению журналирования оболочки - применение PS1, PROMPT_COMMAND, trap, DEBUG и привязок клавиш для изменения команды перед выполнением. Расширить регистрацию действий в командной строке можно также посредством журналирования sudo, auditd или специальных сценариев, например preexec.sh. Полезное руководство по адресу http://www.pointsoftware.ch/en/howto-bash-audit-command-logger/ подробно рассматривает эту проблему и предлагает решение. Аудиторский след командной строки следует адаптировать к политикам и ожиданиям конкретной лаборатории.

Для базового журналирования команд можно настроить встроенную функцию истории оболочки. Bash обладает рядом полезных возможностей, в том числе позволяет включить временные метки вводимых команд. Чтобы выполнить основные требования из предыдущего списка, добавьте следующие команды в сценарии запуска Linux, например .bashrc:

Эти команды обеспечивают включение истории и режим добавления, а не перезапись при каждом новом входе. Две переменные, HISTCONTROL и HISTIGNORE, управляют тем, какие команды сохраняются в файле истории. Распространённая настройка по умолчанию игнорирует повторы и команды, начинающиеся с пробела. Чтобы гарантировать полную регистрацию всех команд, переменным HISTCONTROL и HISTIGNORE явно присваиваются пустые значения. Переменная HISTFILE явно задаётся, чтобы история команд, хранящаяся в памяти, сохранялась при завершении оболочки. Для HISTFILESIZE и HISTSIZE устанавливается значение -1, чтобы история не усекалась и не перезаписывалась. Переменная HISTTIMEFORMAT включает запись временных меток в файл истории и позволяет задать формат времени. Формат может учитывать региональные настройки и должен включать временную метку, а не только дату.

По завершении исследования историю можно сохранить в текстовый файл и включить в сопроводительные файлы данных исследования. Затем историю можно очистить и подготовить к следующему исследованию следующими командами:

Синхронизация истории между несколькими экземплярами оболочки может быть непростой, поскольку каждая оболочка хранит историю в памяти и записывает её в файл только при завершении. Настройка переменной PROMPT_COMMAND='history -a; history -r' записывает, добавляя, и считывает новые команды из файла истории Bash при каждом отображении приглашения.

Активно развиваемый регистратор команд Snoopy предоставляет ряд функций, включая запись команд в syslog. Snoopy представляет собой предварительно загружаемую библиотеку-обёртку для системных вызовов execv() и execve(). Она прозрачна для пользователей; включить и настроить её можно, добавив библиотеку Snoopy в /etc/ld.so.preload и отредактировав файл /etc/snoopy.ini.

Например, предположим, что в приглашении Bash вводится следующая последовательность команд:

Каждая из этих команд отдельно записывается в syslog вместе с различными подробностями:

Дополнительные сведения и последняя версия Snoopy доступны по адресу https://github.com/a2o/snoopy/.

Иногда полезно показать работу, выполненную в терминале, вместе с выводом команд (stdout), сообщениями об ошибках (stderr) и другими сообщениями или действиями, видимыми во время сеанса. Существует несколько инструментов для записи действий сеанса и даже их последующего воспроизведения.

Самый известный инструмент - script. В следующем примере script запускается так, чтобы вывод добавлялся в файл вместе с данными времени для воспроизведения. После запуска script можно выполнять любые обычные команды оболочки, и они будут сохранены для последующего просмотра.

По завершении записываемого сеанса введите exit или нажмите CTRL-D. Просмотреть запись можно командой scriptreplay:

К распространённым проблемам, осложняющим применение этого метода, относятся обработка управляющих символов и таких событий, как изменение размера терминала. Доступны и другие регистраторы и перехватчики TTY с похожими возможностями, например ttyrec и termrec.

Мультиплексоры терминала, такие как tmux и GNU screen, также обеспечивают некоторую степень журналирования, полезную в определённых ситуациях. В screen можно настроить регистрацию отсоединённого сеанса из самого сеанса, нажав CTRL-A, а затем H.

Мультиплексор терминала tmux теперь поддерживает журналирование посредством параметра pipe-pane, как показано ниже:

Профессиональным лабораториям может потребоваться более надёжное журналирование или аудиторский след для выполнения строгих политик организации либо нормативных требований. Один из способов добиться этого - пакет аудита Linux auditd. Обычно он предполагает работу демона auditd с pam_tty_audit.so, настроенным как модуль PAM. Действия аудиторского следа можно просматривать командой aureport.

Применение auditd даёт несколько преимуществ безопасности, особенно в сочетании с детализированным управлением доступом, например посредством sudo. Аудиторские следы, особенно записываемые на центральный узел журналирования, можно сделать сравнительно устойчивыми к вмешательству, повысив тем самым целостность записи исследовательской работы.

Всеобъемлющий аудиторский след способен записывать всю активность TTY, включая нажатия клавиш, а также отслеживать доступ к файлам и множество других системных событий. Настройка аудита и формирования аудиторских отчётов может быть сложным процессом и находится за рамками книги.

Обсуждение других решений и приёмов можно найти по адресам http://www.pointsoftware.ch/en/howto-bash-audit-command-logger/ и http://whmcr.com/2011/10/14/auditd-logging-all-commands/.

Начиная с Bash 4.1 добавлена новая возможность записывать историю команд в syslog; для её включения может потребоваться повторная компиляция.

При проведении криминалистического исследования в командной строке вывод различных инструментов и утилит часто сохраняют в файлы для последующего обращения и подготовки отчётов. Это можно сделать, перенаправив вывод команд в текстовые файлы. Затем файлы сохраняются вместе с остальными собранными данными исследования. При сборе и сохранении больших объёмов доказательных данных важно поддерживать понятную и упорядоченную структуру файлов и каталогов. В этом разделе рассматриваются разные стратегии достижения этой цели.

Чтобы уменьшить путаницу среди всех файлов, каталогов, точек монтирования, образов и других сохранённых данных, собранных при исследовании, лучше придерживаться правил именования. Имена должны быть достаточно описательными и интуитивными, но следует избегать избыточности в словах и расширениях. Самое важное - последовательно применять правила именования на протяжении всего расследования или инцидента и в разных инцидентах.

С системами, устройствами хранения и съёмными носителями связаны определённые уникальные идентификаторы. Они могут пригодиться при выборе правил именования:

• номер актива компании или инвентарный номер персонального компьютера;

• серийный номер дискового накопителя, присвоенный изготовителем;

• 64-разрядное всемирное имя (World Wide Name, WWN) дискового накопителя;

• UUID блочного устройства для файловых систем и RAID;

• значение криминалистического хеша образа дискового накопителя;

• 48-разрядный MAC-адрес сетевой интерфейсной платы (Network Interface Card, NIC);

• номер доказательства криминалистической лаборатории, возможно указанный на наклейке или бирке накопителя;

• номер пакета доказательств криминалистической лаборатории, содержащего диск.

Там, где это разумно, начинайте любую нумерацию с 1, а не с 0. Программисты и инженеры склонны начинать с 0, но люди, читающие и проверяющие отчёты об исследовании, - юристы, судьи, руководители и другие - могут не иметь технической подготовки и ожидают, что нумерация начнётся с 1.

На протяжении книги для файлов необработанных образов используется расширение *.raw. Распространённое расширение *.dd подразумевает применение инструмента dd, хотя это может быть не так. Расширение *.raw точно описывает файл, не связывая его с конкретным средством получения образа.

В идеальном случае имя файла необработанного образа должно связывать криминалистический образ с уникальным атрибутом физического объекта. При использовании криминалистического формата эти уникальные сведения можно встроить в файл образа как метаданные. Это позволяет связать отдельный физический диск с образом, а отдельный образ - с физическим диском. После этого диск и образ остаются связанными независимо от окружающего контекста: имён каталогов, полок с доказательствами и прочего. Так устанавливается звено цепочки хранения доказательств между физическим и цифровым мирами.

Если анализируется большое число дисков, в имя файла образа можно включить серийный номер. Имя может содержать разную степень подробности. Хотя server12-slot3-seagate-3.5in-disk-500gb-SN12345ACBDEE.raw очень описательно, оно может оказаться чрезмерно подробным и неудобным. Практичные правила именования для многих простых инцидентов могут ограничиваться видом носителя и номером, например disk1, tape1, ssd1, stick1, card1, cdrom1, dvd1, bluray1, floppy1 и так далее. Иногда лучше всего подойдёт краткое описание диска с серийным номером, например crucial-ssd-15030E69A241.raw. Часто полезно выбирать имена образов, которые эксперты легко употребляют в разговоре, например: «Мы нашли файл на disk1». Термины в разговорах, необработанном выводе исследования и итоговых отчётах должны следовать единой номенклатуре.

Когда файлы извлекаются из дисковых образов, архивов или других составных образов, добавляйте к имени знак подчёркивания, чтобы обозначить извлечение. Это не позволит вам и другим людям случайно открыть вредоносную программу, HTML-страницу с отслеживающими элементами, макросы в документах Office и другие исполняемые файлы и сценарии, способные запуститься при открытии.

Ниже показано несколько примеров:

Если имя извлечённого файла уже заканчивается знаком подчёркивания, добавьте ещё один. Знак подчёркивания в конце ясно показывает, что файл извлечён как доказательство с подозреваемого накопителя.

При анализе извлечённого файла, сохранении вывода инструмента или создании ручных заметок создайте текстовый файл с исходным именем, добавив к нему _.txt. Например:

Расширение _.txt обозначает, что текстовый файл содержит заметки, вывод инструментов и результаты криминалистического анализа извлечённого файла. Имя связано с файлом, первоначально извлечённым из образа. Текстовый файл может содержать закладки и аннотации эксперта, доступные для поиска. Если иным образом не очевидно, откуда получен извлечённый файл - с какого диска, раздела и так далее, - хорошей практикой будет создавать такие сопутствующие текстовые файлы; они также могут объяснять, почему файл был выбран для извлечения.

Расширение файла всегда должно обозначать формат содержимого. Например:

• *.txt можно открыть и прочитать в текстовом редакторе;

• *.raw - необработанный дамп данных диска, памяти и тому подобного;

• *.pcap - захваченный сетевой трафик;

• *.db - база данных, возможно список файлов Sleuth Kit;

• *.sfs - контейнер доказательств SquashFS;

• *.e01 и *.aff - криминалистические форматы.

С каждым делом, инцидентом или расследованием связан физический носитель. Ему соответствует криминалистический образ и связанный вывод разных программ, например hdparm и smartctl. С каждым криминалистическим образом связан вывод различных программ, таких как mmls и fls, а с каждым извлечённым файлом может быть связан вывод exif, objdump и других средств. Правила именования помогают сохранить всё в порядке и позволяют системе организации масштабироваться по мере роста данных расследования.

Какой объём сведений следует включать в имена файлов и каталогов? Когда разумнее создать соответствующий текстовый файл с дополнительным описанием? Как связать такой файл с образом? Рассмотрим два варианта представления одного инцидента.

Пример сведений, встроенных в имена файлов:

Пример тех же сведений, встроенных в структуру каталогов:

Для вручную написанных заметок, дополнительных описаний, оговорок, проблем и других разрозненных комментариев в определённом контексте полезно хранить сведения в простых файлах notes.txt или readme.txt в рабочих каталогах. Они могут служить напоминаниями, подсказками или предупреждениями, которые вы или другие эксперты прочтёте позднее.

При записи веб-адресов, открытие которых может быть рискованным, заменяйте http на hxxp, чтобы другие люди случайно не щёлкнули ссылку. Такие ссылки могут вести к вредоносным программам, личным сайтам, за посещением которых следит подозреваемый, страницам с отслеживающими элементами или другому содержимому, к которому нельзя обращаться без понимания последствий.

У каждого инцидента, дела или расследования должен быть один уникальный каталог, например case42. Все собранные доказательства, образы и аналитическая работа должны находиться в иерархии под этим единственным корневым каталогом. Хорошо спланированная структура каталогов способна расти вместе с расследованием. Единый каталог удобен и тогда, когда над одним инцидентом работают несколько экспертов, совместно использующих структуру. Будьте готовы реорганизовать её, если сложность инцидента возрастёт. При извлечении большого числа файлов для индивидуального анализа рассмотрите возможность создать каталог экспорта, подобный используемому в EnCase.

Масштаб исследования нередко неожиданно увеличивается: криминалистическое исследование одного подозреваемого диска может превратиться в крупную работу с несколькими персональными компьютерами и множеством дисков. Предположим, кто-то сообщил о странном или подозрительном поведении компьютера либо сотрудника. Для исследования изымают один диск. Предварительные результаты показывают участие флеш-накопителя USB. Его находят и исследуют, после чего с инцидентом связывают второй компьютер. В нём два внутренних жёстких диска и устройство записи DVD. Дальнейший поиск обнаруживает спрятанную в шкафу коробку DVD, заполненных данными. Затем выясняется, что к инциденту также относятся внешний жёсткий диск USB и запасной ноутбук в другом здании. Объём собранных доказательств вырос от одного жёсткого диска до 16 носителей. Такой гипотетический инцидент не является редкостью в крупных организациях. При подготовке к исследованию следует предусматривать расширение охвата. Правила именования должны масштабироваться по мере роста расследования.

Некоторыми компьютерами пользуются несколько людей, а некоторые люди работают на нескольких компьютерах. Ноутбук необязательно привязан к физическому месту. Съёмные носители могут совместно использоваться и подключаться к разным компьютерам и ноутбукам. Со временем оборудование компьютеров меняется, офисы могут переезжать, сотрудники подразделений сменяются, а организация реструктурируется. Проектируйте имена файлов и каталогов с учётом этих изменений.

По мере исследования число выходных файлов растёт, поскольку анализируется больше собранных данных и создаётся новый вывод. Хорошая практика - создать структуру каталогов, разделяющую файлы и организующую вывод исследования. Как и имя файла, имя каталога должно обозначать содержимое, не раскрывая конфиденциальных сведений. Отдельный каталог для каждого анализируемого диска или образа разделяет файлы и позволяет масштабировать расследование.

Самое небольшое исследование обычно включает один диск. Немного более крупное может охватывать персональный компьютер с несколькими дисками; рассмотрим следующую структуру каталогов:

Другой пример - исследование целого рабочего места, состоящего из настольного компьютера, возможно с несколькими дисками, ноутбука, нескольких USB-накопителей, нескольких CD-ROM и DVD и внешнего дискового блока. Удобная структура каталогов организует каждый носитель вместе с файлами вывода команд и позволяет без труда расширять исследование дальше. Представьте более крупное расследование, охватывающее несколько рабочих мест в нескольких офисных зданиях разных стран. В больших международных организациях такие расследования возможны, поэтому продуманные правила именования сохранят порядок в процессе исследования.

Удобно полагаться на структуру каталогов для разделения вывода команд по разным дискам, компьютерам, пользователям и местам. Тогда эти сведения не придётся включать в имена выходных файлов. Например:

В этом примере два офиса, US123 и UK567, находятся соответственно в Соединённых Штатах и Великобритании. Американский офис разделён по рабочим местам пользователей, а для каждого исследуемого носителя выделен каталог. Компьютер британского офиса не связан с определённым пользователем, возможно потому, что находится в переговорной, и это отражено в структуре каталогов.

Вместо идентификатора сотрудника для носителя в структуре каталогов можно использовать инвентарный номер, присвоенный ИТ-подразделением организации. С этим уникальным идентификатором, вероятно, связаны дополнительные сведения: дата покупки, подразделение, местонахождение офиса, данные пользователя, установленное программное обеспечение, история эксплуатации и так далее. Требования конфиденциальности могут потребовать исключить сведения из имён файлов и структуры каталогов. Например, в имена не следует включать имена подозреваемых или лиц, являющихся объектом расследования. Вместо них используйте идентификатор, инициалы или номер сотрудника. Можно также применять кодовые названия расследований. Они обеспечивают минимальную защиту, если сведения будут потеряны, похищены или иным образом окажутся доступны позднее.

После создания структуры каталогов для хранения результатов анализа разных исследуемых объектов обычный вывод команд оболочки из stdout перенаправляется в файлы следующим образом:

Чтобы включить обычный вывод и сообщения об ошибках, необходимо перенаправить в файл дескрипторы stdout и stderr. Новые версии Bash предлагают легко запоминающийся способ: добавить к знаку перенаправления амперсанд; это применимо и при передаче по конвейеру другой программе:

В других оболочках и ранних версиях Bash для объединения stderr и stdin может потребоваться запись 2>&1. Например:

Если текстовый файл уже существует и в него нужно добавить сведения, операция добавления обозначается как >>. Например:

Здесь все вхождения известного имени файла добавляются в конец notes.txt.^[1] Если notes.txt не существует, он будет создан.

Многие криминалистические задачи командной строки требуют значительного времени и могут выполняться по нескольку часов, например создание образа диска или операции с очень большими файлами. Полезно иметь временную метку, показывающую продолжительность команды. Эту функцию предоставляет команда time. Существуют две распространённые реализации: встроенная команда оболочки с базовыми возможностями и утилита GNU с дополнительными функциями. Главное преимущество встроенной версии time заключается в измерении времени всего конвейера команд, тогда как GNU time измеряет только первую команду конвейера.

Ниже показано применение команды time для запуска программы создания дискового образа:

Оболочка zsh умеет записывать затраченное командой время как часть файла истории. В Bash такой возможности пока нет.

Ещё одна полезная в некоторых ситуациях команда - средство добавления временных меток ts. К каждой строке любого переданного в ts вывода будет добавлена временная метка.

В этом примере были выполнены три команды, объединённые круглыми скобками, а их вывод передан ts, в результате чего сформирована временная шкала.

При криминалистическом получении данных с носителей важны различные материально-технические вопросы. Управление крупными полученными криминалистическими образами - нетривиальная задача, требующая планирования и предусмотрительности. Необходимо учитывать такие факторы, как ёмкость диска, продолжительность, производительность и условия окружающей среды.

Криминалистические образы носителей на несколько порядков крупнее небольших файлов, с которыми обычно работает персональный компьютер. Управление дисковыми образами такого размера требует дополнительных размышлений и планирования. При подготовке системы исследования необходимо учитывать и определённые материально-технические факторы. Тщательная подготовка и планирование исследования сэкономят время и силы, а также помогут избежать проблем, способных нарушить процесс.

При создании криминалистического образа диска объёмом в сотни гигабайт или терабайты копируются не файлы, а отдельные секторы. Даже если на диске ёмкостью 1 Тбайт находится единственный документ Microsoft Word размером 20 Кбайт, несжатый криминалистический образ всё равно займёт 1 Тбайт. На момент написания книги на рынке уже появились диски объёмом 10 Тбайт, что ещё больше усложняет криминалистическое получение данных.

Главные материально-технические факторы управления дисковыми образами - время эксперта и ёмкость дисков основной системы. Перед началом криминалистического получения данных с исследуемого диска или носителя необходимо задать ряд вопросов:

• можно ли анализировать подключённое хранилище на месте без создания криминалистического образа;

• каков размер исследуемого диска;

• сколько свободного пространства имеется на машине эксперта;

• насколько хорошо образ потенциально поддаётся сжатию;

• сколько пространства требуется криминалистическим инструментам для обработки и временных файлов;

• какое предполагаемое число файлов предстоит извлечь для дальнейшего анализа;

• сколько оперативной памяти и пространства подкачки доступно на машине эксперта;

• возможно ли добавление к тому же делу или инциденту других исследуемых дисков;

• предполагается ли отдельно извлекать всё резервное или нераспределённое пространство диска;

• планируется ли извлекать отдельные разделы, возможно включая раздел подкачки;

• может ли потребоваться преобразование из одного криминалистического формата в другой;

• нужно ли готовить дисковые образы к перевозке в другое место;

• содержат ли исследуемые диски образы виртуальных машин, которые нужно извлекать и анализировать отдельно;

• содержат ли исследуемые диски большое число сжатых файлов и архивов;

• применяется ли на исследуемых дисках полнодисковое шифрование;

• потребуется ли записывать образы на другой диск или DVD для хранения либо перевозки;

• понадобится ли восстанавливать файлы из повреждённой или частично перезаписанной файловой системы;

• каким образом выполняется резервное копирование основной системы эксперта.

В некоторых ситуациях создавать образ диска необязательно. При определённых видах сортировки или беглого поиска может быть достаточно подключить диск к основной системе эксперта и работать непосредственно с активным исследуемым диском. По результатам сортировки или поиска можно решить, нужен ли криминалистический образ. В корпоративной среде такой подход способен означать простой сотрудника, которому придётся ждать проверки или анализа изъятого диска. Корпоративные среды обычно используют стандартную конфигурацию компьютера конечного пользователя, рассчитанную на отсутствие локальных пользовательских данных: вся информация сохраняется на серверах или в облаках. Экономичнее может оказаться простая замена исходного диска новым. Диски компьютеров конечных пользователей недороги, и замена исследуемого диска новым может сократить расходы, если учесть стоимость простоя сотрудника и время, необходимое для создания образа диска на месте.

Сжатие решает ряд проблем с ёмкостью, с которыми сталкивается эксперт-криминалист. Полученный образ можно хранить в сжатом криминалистическом формате, однако результативность зависит от нескольких факторов.

Выбранный алгоритм сжатия в некоторой степени повлияет на итоговый размер и время, необходимое для сжатия исследуемого диска. Более высокий коэффициент сжатия потребует больше времени на сжатие, а затем и на распаковку.

Сравнительно новый диск персонального компьютера с большим числом нетронутых секторов, содержимое которых изготовитель заполнил нулями, будет сжиматься лучше, чем старый диск со значительным объёмом остаточных данных в нераспределённых секторах.

Диски с большим объёмом уже сжатых файлов - *.mp3, *.avi и других - почти не поддаются дальнейшему сжатию, поэтому дополнительное сжатие даст криминалистическим инструментам создания образов меньше преимуществ.

Зашифрованные исследуемые диски или диски с большим числом зашифрованных файлов сжимаются хуже незашифрованного содержимого из-за более высокой энтропии данных.

Разреженные файлы заслуживают упоминания, поскольку имеют определённые преимущества, однако могут создавать проблемы при расчёте ёмкости диска. Некоторые файловые системы вместо фактической записи всей последовательности нулей на диск представляют её в файле посредством метаданных. В разреженных файлах имеются «дыры», где заведомо находится последовательность нулей. Для демонстрации образ нового накопителя, состоящего преимущественно из нулевых секторов, дважды получают посредством GNU dd:^[2] сначала как обычный необработанный файл, а затем как разреженный.

Команда GNU dd предоставляет параметр conv=sparse, создающий разреженный целевой файл. Из этих примеров dd видно, что число переданных блоков одинаково для обычного и разреженного файла. В следующем выводе размер файла и хеш MD5 также совпадают. Однако обратите внимание, насколько различается число блоков, занятых в файловой системе: 7 733 252 против 2600.

Хотя разреженному файлу требуется гораздо меньше пространства, в качестве его размера по-прежнему указывается полное число байтов. Это может привести к путанице при расчёте фактически доступной ёмкости диска. Разреженные файлы часто применяются в образах виртуальных машин и способны стать проблемой при извлечении для анализа.

Разреженные файлы можно использовать и как способ уплотнения файлов образов, однако предпочтительнее и рекомендуется применять сжатые криминалистические форматы или контейнеры SquashFS. Не все программы и утилиты правильно обрабатывают разреженные файлы; они могут создавать трудности при перемещении между файловыми системами и платформами. Некоторые программы даже способны разворачивать разреженные файлы при чтении.

Важно понимать, как сообщаются размеры данных. При работе с криминалистическими инструментами размер может обозначать байты, секторы диска, блоки файловой системы или другие единицы измерения. К обозначению байтов можно добавлять множитель - килобайты, мегабайты, гигабайты, терабайты и так далее, - причём он может означать кратность 1000 или 1024. Сектор диска может иметь размер 512 или 4096 байт. Размер блока файловой системы зависит от её типа и параметров создания. При документировании размеров в криминалистическом контексте важно всегда указывать поясняющие единицы измерения.

Многие инструменты Linux поддерживают параметр -h, сообщающий размеры файлов в понятной человеку форме. Например, команды ls -lh, df -h и du -h упрощают просмотр размеров файлов и разделов. Ниже приведён пример вывода ls для нескольких файлов:

Размеры во втором выводе команды гораздо легче читать и понимать.

Перемещение и копирование криминалистических дисковых образов из одного места в другое требует планирования и предусмотрительности. Не относитесь к файлам образов так же, как к обычным пользовательским файлам, хотя технически они ничем не отличаются.

Получение, копирование и перемещение больших дисковых образов может занимать много часов и даже дней в зависимости от размера и скорости исходного диска и других факторов производительности. Рассмотрим перечень типичных размеров файлов и дисковых образов и среднего времени, необходимого для копирования файла с одного диска на другой:^[3]

• простое текстовое электронное письмо ASCII размером 5 Кбайт - менее 1 секунды;

• типичный музыкальный файл MP3 размером 5 Мбайт - менее 1 секунды;

• ISO-образ компакт-диска размером 650 Мбайт - около 5 секунд;

• типичный DVD или загруженный из iTunes фильм размером 5-6 Гбайт - около 1 минуты;

• обычный образ мобильного телефона размером 64 Гбайт - около 10 минут;

• обычный образ диска ноутбука размером 250 Гбайт - 30-40 минут;

• типичный образ настольного компьютера размером 1 Тбайт - более 2 часов;

• типичный образ внешнего диска USB размером 2 Тбайт - более 4 часов;

• образ внутреннего диска размером 8 Тбайт - более 16 часов.

Если процесс копирования или перемещения уже начат, его прерывание может оставить данные в неполном состоянии либо потребовать дополнительного времени для возврата к исходному состоянию. Операция копирования или перемещения может создать временные файлы или привести к временному существованию двух копий образов.

В целом заранее тщательно обдумывайте копирование и перемещение крупных наборов данных и не прерывайте процесс после его начала.

Криминалистическое получение данных требует времени. Пока оно выполняется, люди и другие процессы могут ждать. Поэтому важно рассчитывать и оценивать время завершения различных процессов. Определите также, нужно ли сообщать предполагаемое время завершения другим сторонам: руководству, юридическим группам, правоохранительным органам или другим следователям. Важно управлять ожиданиями относительно необходимого времени.

Следует рассмотреть, в частности, следующие важные вопросы:

• можно ли безопасно оставить получение данных выполняться на ночь без присмотра;

• будет ли машина эксперта непригодна для другой работы во время получения данных из-за производительности или иных причин;

• можно ли выполнять другую исследовательскую работу одновременно с получением криминалистического образа;

• в каких случаях несколько задач можно выполнять параллельно;

• существуют ли задачи или процессы, которые можно выполнять только последовательно;

• есть ли задачи, блокирующие другие до своего завершения;

• можно ли совместно использовать, делегировать или распределить рабочую нагрузку между несколькими экспертами.

Предполагаемое время завершения получения данных можно рассчитать. По предыдущей работе и процессам вам должно быть известно приблизительное время первоначальной подготовки. Оно включает заполнение документов, создание необходимой структуры каталогов, документирование оборудования, подключение подозреваемых накопителей к основной системе эксперта, выбор подхода к получению данных и другие действия. Это даст оценку продолжительности этапа, предшествующего получению.

Ожидаемое время получения данных с носителя можно рассчитать по известному объёму данных, проходящих через самый медленный компонент системы, то есть узкое место.

Чтобы повысить эффективность криминалистического получения данных, можно оптимально настроить основную систему эксперта и оценить узкие места.

Узкое место производительности существует всегда: это просто самый медленный компонент системы, которого вынуждены ждать все остальные. В криминалистической среде в идеале узким местом должен быть исследуемый диск. Он является источником доказательств и единственной переменной производительности, которую нельзя или не следует изменять.

Оценить производительность разных компонентов системы можно по спецификациям изготовителей, посредством опроса системы различными инструментами или с помощью тестов производительности и измерений.

К полезным инструментам проверки скорости разных компонентов относятся dmidecode, lshw, hdparm и lsusb. Ниже показано несколько примеров командной строки.

Чтобы проверить семейство и модель процессора, текущую и максимальную частоту, число ядер и потоков, а также другие флаги и характеристики, используйте следующую команду:

Команда для просмотра кеша процессора L1, L2 и L3:

Чтобы просмотреть память, включая занятые разъёмы, объём, разрядность данных, скорость и другие подробности, используйте следующую команду:

Команда для просмотра числа разъёмов PCI, их использования, обозначений и типов:

Команда для просмотра интерфейсов хранения, их типов - SATA, NVME, SCSI и других - и скорости:

Чтобы просмотреть скорость, интерфейс, кеш, частоту вращения и другие сведения о подключённых дисках, в данном примере об устройстве /dev/sda, используйте:

Чтобы просмотреть скорость внешних интерфейсов USB и, возможно, подключённого блокиратора записи, используйте:

Чтение документации изготовителей и опрос системы позволяют определить скорости разных компонентов. Для точного измерения лучше применять инструменты тестирования оборудования и профилирования программ. Среди средств проверки производительности можно назвать mbw для памяти и bonnie++ для дискового ввода-вывода.

На производительность также влияют состояние и настройка операционной системы. Наблюдение за журналами оборудования основной системы - syslog, dmesg - может выявить сообщения об ошибках, неправильную конфигурацию и другие признаки неэффективности. Для наблюдения за производительностью и нагрузкой работающей машины эксперта используются htop, iostat, vmstat, free и nmon.

Операционную систему можно оптимизировать, обеспечив минимальное число фоновых процессов, включая запланированные посредством cron, настроив ядро с помощью sysctl -a, файловые системы основной системы эксперта посредством tunefs, а также управляя дисковой подкачкой и кешированием. Кроме того, убедитесь, что операционная система эксперта работает на физическом оборудовании, а не в виртуальной машине.

При поиске узких мест или оптимизации полезно представить поток данных от исследуемого диска к диску основной системы эксперта. Во время получения данные проходят через следующие аппаратные интерфейсы и компоненты:

• пластины или носитель исследуемого диска - какова скорость вращения и задержка;

• интерфейс исследуемого диска - какая версия SATA;

• логика блокиратора записи - добавляет ли она задержку;

• интерфейс блокиратора записи со стороны основной системы эксперта - используется ли USB3 с UASP;

• интерфейс основной системы эксперта - не разделяет ли USB3 шину с другими устройствами, не применяется ли мост;

• шина PCI - используется ли PCI Express и какова скорость;

• процессор, память и ядро операционной системы - каковы скорость, DMA и разрядность данных.

Эти компоненты будут пройдены дважды: сначала между исследуемым диском и основной системой эксперта, затем между основной системой и диском эксперта, где сохраняется получаемый образ.

Убедитесь, что поток данных между исследуемым диском и процессором или памятью проходит не по тому же пути, что поток между процессором или памятью и целевым диском основной системы эксперта. Например, если полевая система создания образов оснащена блокиратором записи и внешним диском для получаемого образа и оба устройства подключены к локальным портам USB, они могут совместно использовать одну шину. Тогда доступная пропускная способность будет разделена между двумя дисками, что приведёт к неоптимальной производительности.

При настройке сетевой производительности главным фактором становится скорость базовой сети, а к способам повышения производительности относятся крупные кадры Ethernet и аппаратное вычисление контрольных сумм TCP высокопроизводительной сетевой платой. Полезно также выяснить, когда и зачем разные программы обращаются к сети, например для автоматических обновлений или сетевого резервного копирования.

Подводя итог: подготовьте общий план или стратегию предполагаемых действий по получению данных. Заранее создайте хорошо проверенные процессы и инфраструктуру. Убедитесь, что правильно спланировали ёмкость и выполнили оптимизацию. Обеспечьте возможность наблюдать за выполняющимися действиями.

Для сравнения в табл. 4-1 приведены наиболее распространённые скорости шин, имеющие значение для основной системы криминалистического исследования, в байтах в секунду. Хороший справочник по скоростям передачи битов различных интерфейсов и шин доступен по адресу https://en.wikipedia.org/wiki/List_of_device_bit_rates.

Таблица 4-1. Распространённые скорости шин и интерфейсов

Во время криминалистического получения данных с диска каждый доступный сектор читается непрерывно, часто по многу часов. В результате рабочая температура диска может возрасти и вызвать проблемы. Перегрев увеличивает риск отказа, особенно у старых дисков. Исследователи Google подготовили содержательную статью об отказах жёстких дисков: http://research.google.com/archive/disk_failures.pdf.

Чтобы снизить риск ошибок чтения, повреждённых блоков или полного отказа диска, во время получения стоит следить за его температурой. Большинство изготовителей публикует нормальный диапазон рабочих температур накопителей, включая максимально допустимую.

Температуру накопителя можно вручную опрашивать несколькими инструментами. Простой инструмент hddtemp обращается к интерфейсу SMART за температурой диска:

hddtemp можно запустить как демон, периодически записывающий сведения в syslog, где удастся отслеживать достижение определённых порогов.

Более подробный вывод температуры диска, а иногда и её историю предоставляет smartctl. Например:

Если диск начинает перегреваться во время получения данных, примите меры для снижения температуры. В качестве немедленного действия временно приостановите процесс и продолжите, когда диск остынет. В зависимости от применяемого метода это может быть простая отправка сигнала процессу Linux посредством CTRL-Z или команды kill -SIGTSTP с последующим идентификатором процесса. Когда температура снизится до приемлемого уровня, получение можно возобновить с того же места, где оно было приостановлено.

Такое приостановление и возобновление процесса не должно влиять на криминалистическую корректность получения данных. Процесс приостанавливается с сохранением рабочего состояния: текущего сектора, целевого файла, переменных среды и так далее. Пример приостановления и возобновления процесса создания образа из оболочки нажатием CTRL-Z выглядит следующим образом:

Здесь выполняющаяся команда dcfldd приостанавливается нажатием CTRL-Z. Возобновите процесс командой fg, то есть переведите его на передний план. Процесс можно продолжить и командой kill -SIGCONT. Дополнительные сведения об управлении заданиями и сигналах см. в документации Bash и на странице руководства SIGNAL(7).

Наблюдение за температурой и предупреждения можно автоматизировать средствами Nagios, Icinga и других систем мониторинга инфраструктуры. Такие системы следят за различными параметрами среды и выдают предупреждения при приближении к критическим порогам или их превышении.

Во многих криминалистических лабораториях во время создания образов применяют радиаторы или охладители дисков, чтобы уменьшить перегрев исследуемых накопителей. Это рекомендуется при длительных сеансах получения данных, особенно со старыми дисками.

Попытка использовать для снижения температуры некоторые методы управления питанием почти ничего не даст. Они останавливают вращение диска после периода бездействия, однако при непрерывном создании образа времени простоя практически нет.

Основополагающая составляющая сбора цифровых доказательств - криминалистически корректное получение данных с носителя. Частично достичь этой цели^[4] можно, обеспечив механизм блокировки записи до подключения диска к основной системе криминалистического получения данных.

Когда диск подключают к персональному компьютеру с современной операционной системой, автоматические процессы значительно повышают риск изменения данных, а следовательно, уничтожения доказательств. Автоматические попытки смонтировать разделы, сформировать миниатюры для графических файловых диспетчеров, проиндексировать содержимое для локальных поисковых баз, выполнить антивирусное сканирование и другие действия создают риск изменения подключённого накопителя. Временные метки могут обновиться, уничтожив потенциальные доказательства. Удалённые файлы в нераспределённых частях диска могут быть перезаписаны, что также уничтожит доказательства. Обнаруженные вредоносные программы или вирусы - именно те доказательства, которые может искать следователь, - способны быть удалены. Журнальная файловая система может записать на диск изменения, ожидающие в журнале. Возможны попытки восстановить повреждённую файловую систему или собрать и синхронизировать компоненты RAID.

Помимо потенциального автоматического уничтожения доказательств, значительный риск создаёт человеческая ошибка. Люди могут случайно скопировать или удалить файлы, просматривать файловую систему с обновлением временных меток последнего доступа либо ошибочно выбрать не то устройство и выполнить разрушительное действие.

Блокираторы записи разработаны для защиты носителей от нежелательного изменения данных. Обязательное применение блокираторов в стандартных процессах и процедурах криминалистической лаборатории демонстрирует должную осмотрительность. Оно соответствует передовой отраслевой практике обращения с носителями как с доказательствами в цифровой криминалистике. Блокираторы записи гарантируют подключение носителя к рабочей станции эксперта только для чтения.

Программа NIST Computer Forensic Tool Testing (CFTT) устанавливает формальные требования к блокираторам записи. Спецификация устройства аппаратной блокировки записи Hardware Write Block (HWB) Device Specification, Version 2.0 доступна по адресу http://www.cftt.nist.gov/hardware_write_block.htm. В ней определены следующие требования верхнего уровня:

• устройство HWB не должно передавать защищённому устройству хранения команду, изменяющую находящиеся на нём данные;

• устройство HWB должно возвращать данные, запрошенные операцией чтения;

• устройство HWB должно без изменений возвращать любые запрошенные у накопителя сведения, имеющие значение для доступа;

• любое состояние ошибки, о котором устройство хранения сообщило HWB, должно передаваться основной системе.

Доступны аппаратные и программные блокираторы записи: автономное оборудование, устанавливаемые программные пакеты и загрузочные криминалистические компакт-диски. Иногда сам носитель может иметь встроенный режим только для чтения.

Предпочтительный метод блокировки записи использует аппаратные устройства, расположенные между исследуемым диском и рабочей станцией эксперта. Аппаратный блокиратор перехватывает отправленные диску команды, которые могли бы изменить данные. Переносное устройство блокировки записи, защищающее накопитель SATA, - Tableau компании Guidance Software - показано на рис. 4-1.

Рис. 4-1. Переносной блокиратор записи SATA

У аппаратного блокиратора обычно есть переключатель или светодиод, показывающий, действует ли функция блокировки записи. На рис. 4-2 показано многофункциональное устройство Tableau компании Guidance Software, предназначенное для установки непосредственно в рабочую станцию эксперта. Оно способно защищать накопители SATA, SAS, IDE, FireWire и USB.

Рис. 4-2. Многофункциональный блокиратор записи в отсеке накопителя

Блокираторы записи могут предоставлять основной системе получения данных сведения о состоянии. Примером служит инструмент tableau-parm (https://github.com/ecbftw/tableau-parm/), который способен запрашивать сведения у аппаратного блокиратора Tableau. Это открытое средство позволяет проверить состояние блокировки записи диска, подключённого через Tableau. Например:

Согласно документации Tableau, поле drive_vendor для некоторых накопителей может не содержать никаких сведений.^[5]

На заключительном этапе редактирования книги на рынке появились первые блокираторы записи PCI Express. Ниже показан пример от Tableau. При подключении накопителя NVME через блокиратор записи PCI Express вывод dmesg выглядит следующим образом:

Блокиратор работает как мост USB3 и предоставляет накопитель NVME как устройство SCSI. Этот конкретный блокиратор поддерживает накопители PCI Express со стандартами AHCI и NVME. Поддерживаются обычные разъёмы PCI Express (рис. 4-3) и M.2 (рис. 4-4). Для подключения накопителей NVME U.2 (SFF-8639) можно применять стандартные переходники mini-SAS - PCI Express или M.2. Блокираторы записи PCI с поддержкой NVME выпускает и Wiebetech.

Главное преимущество аппаратных блокираторов - независимость от операционной системы. Они работают прозрачно и отдельно от основной системы получения данных, устраняя необходимость сопровождать драйверы или совместимость с операционной системой. Благодаря этому они идеально подходят для среды получения данных на основе Linux.

Рис. 4-3. Док-станция с блокиратором записи для накопителей в разъёмах PCI Express

Рис. 4-4. Многофункциональный блокиратор записи и док-станция для накопителей PCI Express M.2

Особая благодарность швейцарской компании Arina AG за предоставленное оборудование блокировки записи, использованное для испытаний в этой книге.

У программных блокираторов записи несколько противоречивая история. С современными операционными системами их становится всё труднее разрабатывать и сопровождать. Обновления поставщика операционной системы, изменения конфигурации экспертом и дополнительно установленное программное обеспечение создают риск отключения, перезаписи, обхода или отказа реализованной программными средствами блокировки записи.

Программные блокираторы трудно реализовать. Простое монтирование диска только для чтения командой mount -o ro не гарантирует, что диск не будет изменён. Свойство «только для чтения» в данном контексте относится к файловой системе, а не к дисковому устройству. Ядро всё ещё может выполнять запись на диск по разным причинам. Программную блокировку необходимо реализовать в ядре ниже уровня виртуальной файловой системы и даже ниже других драйверов устройств, реализующих конкретный интерфейс накопителя, например AHCI. В Linux применялось несколько низкоуровневых программных методов блокировки записи, но их успех был ограниченным.

Такие инструменты, как hdparm и blockdev, могут перевести диск в режим только для чтения, установив флаг ядра. Например:

Тот же флаг можно установить посредством blockdev:

Метод установки флагов ядра зависит от правильной настройки udev, которая должна переводить вновь подключённые накопители в режим только для чтения до того, как любой другой процесс успеет их изменить.

Для специальной реализации функции криминалистической блокировки записи было создано и исправление ядра. Дополнительные сведения доступны по адресу https://github.com/msuhanov/Linux-write-blocker/. Несколько криминалистических загрузочных компакт-дисков используют исправление ядра для блокировки записи, созданное Максимом Сухановым. Следующий вспомогательный сценарий управляет программной блокировкой записи на криминалистическом загрузочном диске DEFT Linux:

Исправление реализовано в ядре и включается и отключается вспомогательными сценариями. Эти сценарии просто используют команду blockdev, чтобы пометить устройство как доступное только для чтения.

NIST CFTT выполнил испытания программных средств блокировки записи; результаты доступны по адресу http://www.cftt.nist.gov/software_write_block.htm.

Аппаратные блокираторы записи остаются самым безопасным и рекомендуемым способом защиты носителей во время криминалистического получения данных.

Необходимость реагировать на инциденты и выполнять сортировку на месте привела к разработке загрузочных дисков Linux с программами, необходимыми для таких задач. С этих дисков можно загрузить исследуемый компьютер и обращаться к локально подключённому хранилищу посредством различных криминалистических инструментов. Криминалистические загрузочные диски проектируются так, чтобы защищать обнаруженные носители от записи, если потребуется получить их криминалистический образ. Подключённый диск можно сделать записываемым командой наподобие wrtblk из предыдущего примера; это полезно при создании образа после подключения внешнего целевого диска. Криминалистические загрузочные диски обладают и сетевыми функциями, позволяя выполнять удалённый анализ и получение данных.

Криминалистические загрузочные диски полезны в следующих случаях:

• персональный компьютер исследуется без вскрытия для извлечения диска;

• блокиратор записи недоступен;

• при сортировке нужно быстро проверить компьютеры на наличие определённого доказательства, прежде чем решать, создавать ли образ;

• необходимы инструменты на основе Linux, например Sleuth Kit или Foremost, которые иначе недоступны;

• техническому специалисту-криминалисту необходимо удалённо работать через ssh.

К числу популярных криминалистических загрузочных дисков, которые сейчас продолжают сопровождаться, относятся:

• Kali Linux, ранее BackTrack, на основе Debian: https://www.kali.org/;

• Digital Evidence & Forensics Toolkit (DEFT) на основе Ubuntu Linux: http://www.deftlinux.net/;

• Pentoo, криминалистический диск на основе Gentoo Linux: http://pentoo.ch/;

• C.A.I.N.E, Computer Forensics Linux Live Distro, на основе Ubuntu Linux: http://www.caine-live.net/.

Сопровождение и тестирование криминалистических загрузочных дисков требует большой работы. Ранее существовало множество других таких дисков. Поскольку их состав постоянно меняется, обязательно исследуйте вопрос и используйте последние работоспособные и сопровождаемые версии.

Некоторые носители имеют механизм защиты от записи, полезный в криминалистическом контексте. Например, у большинства лент есть ползунок или язычок, который предписывает ленточному накопителю считать их доступными только для чтения, как показано слева на рис. 4-5. У ленты LTO-5 внизу слева закрытый язычок означает защиту от записи, а у ленты DAT160 вверху слева защиту означает открытый язычок.

У карт памяти SD имеется переключатель блокировки записи, показанный справа на рис. 4-5.

Рис. 4-5. Язычки защиты от записи на лентах и картах SD

У старых флеш-накопителей USB может иметься переключатель защиты от записи. У некоторых очень старых жёстких дисков IDE есть перемычка, которую можно установить так, чтобы электроника накопителя считала его доступным только для чтения.

Для CD-ROM, DVD и дисков Blu-ray блокиратор записи не нужен, поскольку по умолчанию они предназначены только для чтения. Простое обращение к перезаписываемому диску не изменит временные метки или другие данные на нём: изменения на такие оптические носители необходимо явно записывать.

Когда персональный компьютер или ноутбук изымают на месте либо доставляют в криминалистическую лабораторию для исследования, осмотр не должен ограничиваться внутренними дисками. Необходимо полностью проверить конфигурацию оборудования компьютера, настройки BIOS, аппаратные часы и другие параметры.

Прежде чем отсоединять кабели накопителей или выкручивать диски из отсеков, сфотографируйте исследуемый компьютер, чтобы документировать конфигурацию оборудования, число дисков и способ их подключения к системной плате.

Извлекайте диски осторожно, особенно из старых компьютеров, которые могли не вскрываться много лет. Сфотографируйте верхнюю сторону каждого накопителя, чтобы запечатлеть серийный номер и другие сведения на этикетке. Для каждого диска отметьте место подключения кабеля на системной плате. Если на плате имеется несколько портов SATA, запишите, каким портом пользовался каждый диск.

Откройте лотки оптических приводов и убедитесь, что в них нет дисков. У большинства оптических приводов есть небольшое отверстие, позволяющее вручную освободить дверцу без включения питания.

Проверьте разъёмы PCI на наличие накопителей PCI SATA Express или PCI NVME. Если на системной плате есть разъём M.2 либо mSATA, проверьте наличие плат SSD.

После извлечения всех накопителей из корпуса исследуемого компьютера включите системную плату и запишите конфигурацию BIOS, показания часов, порядок загрузки, возможные журналы BIOS, версию и другие сведения.

Если требуются дополнительные сведения об исследуемом компьютере, изучите его посредством криминалистического загрузочного диска с инструментами анализа оборудования: lshw, dmidecode, biosdecode, lspci и другими.

Некоторые сведения, специфичные для изготовителя, удастся получить специальными инструментами поставщика, например vpddecode для оборудования IBM и Lenovo или ownership для тегов владения оборудованием Compaq.

Осмотрите и документируйте также любые дополнительные компоненты оборудования, например модули памяти и платы PCI.

После физического подключения исследуемого накопителя к рабочей станции эксперта с применением механизма блокировки записи необходимо определить правильное блочное устройство, связанное с этим накопителем. Чтобы надёжно идентифицировать исследуемый диск в основной системе получения данных, перечислите устройства хранения, подтвердите уникальные идентификаторы физического накопителя и определите соответствующий файл устройства в /dev. В этом разделе действия рассматриваются подробнее.

Понимание конфигурации оборудования основной системы исследования полезно для настройки производительности, планирования ёмкости, поддержания стабильной платформы, устранения неполадок, локализации отказов и снижения риска человеческой ошибки. В этом разделе приведены примеры инструментов для перечисления и просмотра оборудования персонального компьютера.

Инструмент lshw позволяет быстро получить обзор оборудования рабочей станции эксперта:

Сведения о шинах описывают адреса конкретных устройств, например pci@domain:bus:slot.function, scsi@host.channel.target.lun и usb@bus:device.

С помощью lshw можно искать и подключённые устройства определённого типа. Например:

Обратите внимание, что scsi22 связан с scsi@22:.0.0.0, а тот - с /dev/sdp. Определение файла устройства Linux для подключённого физического накопителя подробнее рассматривается в следующих разделах.

Если исследуемый накопитель подключён снаружи, скорее всего, применяется USB, Thunderbolt, FireWire или eSATA, а в редких случаях - Fibre Channel.

При внутреннем подключении, вероятнее всего, используется кабель SATA, разъём PCI Express, интерфейс M.2 или кабель SAS либо, возможно, устаревший интерфейс вроде параллельного SCSI или IDE.

Устройства, подключённые к шине PCI, включая параллельную PCI и PCI Express, можно перечислить инструментом lspci:

Шина PCI распределяет устройства по классам; дополнительные сведения об идентификаторах и классах PCI доступны по адресу http://pci-ids.ucw.cz/. Интерес представляют устройства класса контроллеров массовой памяти с идентификатором 01, поскольку они управляют подключёнными носителями.

Новые версии lspci, начиная с pciutils 3.30, умеют перечислять шину PCI по классам устройств, что помогает выделить интересующее оборудование. Следующая команда перечисляет все контроллеры массовой памяти SATA с идентификатором класса 01 и подкласса 06:

Эта команда перечисляет все контроллеры массовой памяти SCSI, IDE, RAID, ATA, SATA, SAS и NVME в системе:

Другой класс PCI, способный управлять подключёнными носителями, - контроллеры последовательной шины с идентификатором 0C. Следующая команда перечисляет все контроллеры последовательной шины USB с идентификатором класса 0C и подкласса 03:

Следующая команда перечисляет все контроллеры последовательных шин FireWire, USB и Fibre Channel в основной системе эксперта:

Если исследуемый накопитель подключён по USB, он не появится на шине PCI. Устройства USB можно отдельно перечислить командой lsusb. Без параметров она выводит список всех подключённых USB-устройств:

Здесь флеш-накопитель USB подключён к шине USB 1 и получил идентификатор устройства USB 5. Команда lsusb -v выведет о нём более подробные сведения.^[1]

Приведённые инструменты и примеры дают обзор контроллеров носителей и оборудования, подключённого к рабочей станции эксперта. Дополнительные параметры и возможности описаны на страницах руководства lshw(1), lspci(8) и lsusb(8); они позволяют просматривать оборудование подробнее.

Понимание оборудования рабочей станции эксперта, особенно доступных шин и контроллеров, помогает установить место подключения исследуемого диска. Следующий шаг - однозначно подтвердить его личность по отличительным сведениям: серийному номеру, уникальному номеру модели или другому уникальному свойству.

Идентифицировать исследуемое устройство можно несколькими способами. Если диск подключён через шину USB и показан инструментом lsusb, дополнительные сведения можно получить, указав идентификатор vendor:productID исследуемого диска:

Уникальные сведения из этого вывода - серийный номер и другие данные - позволяют подтвердить, что подключённое устройство является исследуемым накопителем. Если серийный номер или иные уникальные свойства совпадают с физически подключённым диском, правильное устройство идентифицировано.

Почти ко всем накопителям можно обращаться командами SCSI; заметное исключение - непосредственно подключённые диски NVME. Для опроса подключённого устройства хранения можно использовать инструмент lsscsi. Он поддерживает множество протоколов транспортного уровня, включая SATA, USB, SAS, FireWire, ATA, SCSI, Fibre Channel и другие. lsscsi также полезен для сопоставления путей устройств ядра с файлами в /dev:

Ядро выводит информационное сообщение при подключении устройств к основной системе или их отключении от нее. Эти сообщения находятся в кольцевом буфере ядра, который просматривают инструментом dmesg. При запуске dmesg с флагом -T выводятся удобочитаемые временные метки; они полезны, когда нужно определить, какое устройство было добавлено в известный момент времени:

Этот вывод позволяет идентифицировать подключенное физическое устройство, связав USB-устройство с идентификатором узла SCSI и именем блочного устройства. В данном примере usb 2-1: обозначает шину 2 и физический порт 1 (разъем). USB-накопителю присвоен номер устройства 9, и он использует драйвер xhci_hcd (поддерживающий USB3). Выводятся строки идентификаторов поставщика и продукта idVendor=0781, idProduct=5583, а за ними - информационные строки с производителем, продуктом и серийным номером (они могут отличаться от idVendor и idProduct). Драйвер usb-storage для транспорта Bulk-Only обнаруживает устройство (для устройств UASP он не нужен), а scsi host24: показывает, что устройству присвоен номер узла SCSI, соответствующий адресу SCSI 24:0:0:0:. Создаются два устройства: sg5 (универсальное SCSI) и sdf (блочное устройство), соответствующие /dev/sg5 и /dev/sdf. Запрашиваются некоторые сведения об уже установленном SCSI-устройстве и обнаруживаются таблицы разделов (sdf1).

Более простая команда для перечисления всех подключенных устройств хранения, включая описательные сведения и пути устройств, - lsblk. Новые версии lsblk предоставляют параметры вывода для поставщика, модели, редакции, серийного номера и номера WWN (World Wide Name; https://en.wikipedia.org/wiki/World_Wide_Name). Кроме того, lsblk предоставляет полезные технические сведения: имя и размер устройства, физический и логический размеры сектора, транспорт (USB, SATA, SAS и так далее), адрес SCSI и многое другое:

Большинство показанных здесь инструментов просто читает различные файлы и каталоги из каталога Linux /proc. Дополнительные сведения о подключенных накопителях и других структурах ядра находятся в дереве /proc. Более подробное описание файловой системы proc приведено на странице руководства proc(5).

В этой главе вы научились подключать исследуемый диск к машине получения данных и однозначно идентифицировать устройство для создания образа. Вы познакомились с различными аспектами аппаратного обеспечения ПК (USB, PCI, блочными устройствами и так далее), узнали, как опрашивать систему получения данных и сам накопитель для получения сведений о микропрограмме и SMART. Я продемонстрировал удаление HPA и DCO, а также различные виды защиты, встроенной в аппаратную часть некоторых накопителей. Теперь у вас есть знания, необходимые для криминалистического получения данных, которому посвящена глава 6.

Файл образа, создаваемый инструментами на основе dd, не является "форматом" в том же смысле, что и другие криминалистические форматы, например EnCase EWF или FTK SMART. Образы, созданные инструментами на основе dd, не имеют заголовка, окончания, внутренних маркеров или описательных метаданных о деле либо инциденте. Они представляют собой просто необработанную зеркальную копию участка данных - в данном случае исследуемого диска или другого устройства массовой памяти.

Чтобы снизить риск повреждения доказательств или рабочей станции эксперта, всегда дважды проверяйте следующее:

• Блокиратор записи защищает диск доказательств или исследуемый диск.

• Серийный номер устройства ввода (if=) совпадает с серийным номером на физической этикетке исследуемого диска.

• Подтверждено, что выходной файл (of=) является обычным файлом, расположенным в системе эксперта, или программой, способной обработать ожидаемые входные данные из stdin.

Синтаксис команды dd просто задает входной и выходной файлы и может включать другие параметры, изменяющие поведение команды. В следующем примере показано применение dd для копирования блочного устройства диска в файл:

Здесь if= задает входной файл, которым в данном случае является необработанное дисковое устройство, подключенное к системе получения данных. Параметр of= задает выходной файл - обычный файл, содержащий необработанные данные, скопированные с дискового устройства.

После завершения dd сообщает число переданных байтов. Число переданных байтов можно разделить на размер сектора; результат должен точно совпасть с числом секторов, определенным при подключении устройства.

При использовании dd для криминалистического создания образа диска могут возникнуть трудности. Если в середине получения образа происходят ошибки чтения, dd прерывает работу с сообщением Input/output error. Эту проблему можно устранить, добавив conv=noerror, что заставит dd пропустить нечитаемый блок и продолжить работу. Проблема пропуска нечитаемых блоков состоит в том, что смещения секторов для блоков файловой системы в оставшейся части диска меняются в файле назначения, из-за чего остальная файловая система диска выглядит поврежденной. Для иллюстрации представьте страницы книги. Допустим, страница 99 вырвана. Если оглавление указывает на главу, начинающуюся со страницы 200, найти ее все равно можно. Номера страниц книги сохранились даже при отсутствии одной страницы. Но это не так, когда сектор 99 вырван из образа диска (из-за ошибки чтения). Все последующие сектора перенумеровываются, и "оглавление" файловой системы после сектора 99 будет указывать на неправильные блоки.

Параметр sync исправляет это, заполняя нечитаемый выходной блок нулями и фактически создавая "фиктивный" сектор или блок (полный нулей), представляющий отсутствующий блок. Тогда остальная часть образа диска будет иметь правильные номера секторов (смещения), ожидаемые содержащейся в нем файловой системой.

Использование предыдущего примера, но на этот раз с защитой от нечитаемых блоков (их пропуском и заполнением нулями), дает следующий результат:

Заполнение выходных данных влияет на криминалистическое получение тем, что образ изменяется и в него добавляются новые данные (нули). Криптографические контрольные суммы диска не будут совпадать с исходными данными на диске (особенно если на диске появляются новые или изменяющиеся нечитаемые области). Этой проблемой можно управлять с помощью журналирования окон хеширования. Это обсуждается в разделе "Окна хеширования" на странице 152.

Еще одна проблема dd состоит в том, что размер блока передачи может превышать физический размер сектора носителя. При возникновении ошибки чтения это создает проблему, поскольку нулями заполняются оставшиеся сектора более крупного блока, а не только один нечитаемый сектор. Это означает, что некоторые нормальные читаемые сектора могут не попасть в криминалистический образ. Размер блока, превышающий размер сектора, также может привести к добавлению дополнительных заполняющих секторов в конец криминалистического образа (если размер образа не делится на размер блока). Потенциальный выигрыш в производительности от увеличения размера блока необходимо сопоставить с риском потери доказательств из-за большого заполненного блока.

Традиционный dd не имеет возможностей хеширования, журналирования в файл или других функций, ожидаемых от инструмента криминалистического получения данных. Поскольку необработанный образ не содержит метаданных об исходном исследуемом диске, любые сведения, описывающие диск, необходимо документировать отдельно (либо частично включать некоторые сведения в имя файла).

Два популярных производных инструмента dd, dcfldd и dc3dd, были независимо разработаны специально для применения в криминалистическом контексте.

Поскольку dcfldd и dc3dd происходят от GNU dd, они используют сходный синтаксис команд. Ни один из этих инструментов не имеет встроенной поддержки записи в криминалистические форматы (FTK, EnCase, AFF), сжатия или шифрования образа. Но эти функции можно реализовать с помощью конвейеров команд, что я продемонстрирую в последующих разделах.

В следующем примере dcfldd используется для создания образа диска с обеспечением того, что блоки, содержащие нечитаемые сектора, заполняются и не вызывают прерывания:

Ошибки записываются в отдельный файл журнала ошибок. Инструмент dcfldd не использует conv=noerror,sync по умолчанию; этот параметр необходимо добавить вручную.

Сходная команда создания образа с помощью dc3dd показана в следующем примере. По умолчанию dc3dd хорошо справляется с ошибками во время получения данных. Флаг conv=noerror,sync не требуется, поскольку его действие встроено. Вывод подробно документируется как в stdout, так и в файле журнала. Вот простой пример получения образа:

Сценарий sfsimage также можно настроить на использование dcfldd или dc3dd для создания образа в криминалистическом контейнере SquashFS. В следующем примере образ накопителя с собственными секторами 4 Кбайт (собственный размер сектора 4096 байт) создается с помощью sfsimage:

Этот пример также показывает, что физический и логический размеры сектора накопителя не влияют на получение образа при использовании инструментов создания образов в стиле dd.

У dcfldd и dc3dd имеются дополнительные функции криптографического хеширования, разделения образа и передачи данных внешним программам через конвейер. Я продемонстрирую эти функции в различных ситуациях на протяжении оставшейся части книги.

Несколько форматов образов были специально разработаны с учетом потребностей криминалистики. Некоторые из них, например FTK и EnCase, являются коммерческими закрытыми форматами, которые были исследованы методом обратной разработки, что позволило создать совместимые инструменты с открытым исходным кодом. В следующих двух разделах описаны инструменты получения данных с использованием этих закрытых форматов.

Инструмент получения данных, специализирующийся на форматах Guidance EnCase Expert Witness, - ewfacquire из libewf (https://github.com/libyal/libewf/). Этот инструмент принимает информационные параметры в командной строке или запрашивает их в интерактивном режиме. Можно выбрать один из нескольких коммерческих форматов, включая различные форматы EnCase, а также FTK. Инструмент ewfacquire создает файлы получения данных, обеспечивающие совместимость с EnCase, FTK и Sleuth Kit. Инструмент также может преобразовывать необработанные образы в другие форматы.

В этом примере ewfacquire получает данные подключенного дискового устройства (MacBook Air, подключенного к рабочей станции эксперта в режиме целевого диска через адаптер Thunderbolt - FireWire):

Получение данных с помощью ewfacquire успешно завершилось за 37 минут, а файл размером 120 Гбайт был разделен на 54 сжатых файла *.E0 общим размером 79 Гбайт.

AccessData предоставляет бесплатные предварительно скомпилированные версии FTK Imager для командной строки. Инструмент называется ftkimager; двоичные файлы (без исходного кода) доступны для Debian Linux, Fedora Linux, OS X и Windows. Их можно загрузить с сайта AccessData по адресу http://accessdata.com/product-download/digital-forensics/.

Инструмент ftkimager может получать входные данные с необработанного устройства, из файла или из stdin. Выходные данные он записывает в формат FTK SMART, формат EnCase EWF или в stdout. Потоки stdin и stdout особенно полезны для конвейерной передачи данных другим программам и от них. Поддерживается и ряд других функций, включая добавление метаданных дела в сохраняемые форматы, сжатие, разделение выходного файла ("фрагменты образа"), хеширование и зашифрованные образы.

В следующем базовом примере показано применение ftkimager для получения образа подключенного диска:

В этом примере исходным устройством был флеш-накопитель SanDisk, доступный как /dev/sdf, а именем файла назначения было sandisk. Поскольку по умолчанию используется необработанный формат, добавление флага --s01 сохраняет данные в формате FTK SMART. С помощью флага --description в метаданные были добавлены серийный номер и строка модели.

ftkimager создает файл журнала с основными метаданными и дополнительными сведениями, добавленными с помощью флагов командной строки, как показано здесь:

Те же сведения можно извлечь с помощью флага --print-info, передав вместе с ним имя файла.

Инструмент sfsimage представляет собой просто сценарий-обертку оболочки, который можно настроить на использование любого инструмента создания образов, поддерживающего корректную запись образа в stdout. Сценарий принимает этот поток байтов образа и помещает их внутрь сжатой файловой системы SquashFS.

В этом примере sfsimage был настроен на использование dc3dd в качестве инструмента создания образов путем изменения переменной DD в начале сценария оболочки:

Затем образ блочного устройства создается с помощью флага -i:

В следующем выводе показан размер сжатого файла *.sfs:

Содержимое файла-контейнера SquashFS можно перечислить командой sfsimage -l или смонтировать его (только для чтения) с помощью sfsimage -m. В процессе получения данных sfsimage сохраняет журнал ошибок, журнал хешей и собственный журнал вместе с файлом необработанного образа. Дополнительные файлы можно добавить в контейнер sfsimage с помощью sfsimage -a.

Сохранение целостности доказательств имеет основополагающее значение для процесса цифровой криминалистики. Целостность можно поддерживать с помощью криптографических хешей и дополнительно усилить криптографическими подписями технических специалистов, выполнивших получение данных. Цель хеширования или подписания образов состоит в том, чтобы проверить, что образ не изменился с момента его получения. Поскольку судебное разбирательство и представление доказательств могут занять месяцы или даже годы, полезно подтвердить, что за это время доказательства не были изменены. Это можно рассматривать как своего рода цифровую цепочку хранения.

В следующих нескольких разделах демонстрируется применение окон хеширования, подписания с помощью PGP и S/MIME и временных меток RFC-3161 для сохранения цифровых доказательств. Начнем с примеров базового криптографического хеширования.

Криптографическое хеширование криминалистических образов обычно включается в процесс создания образа. Весь образ носителя (каждый сектор по порядку) пропускается через одностороннюю хеш-функцию. На момент написания книги четыре основных инструмента создания криминалистических образов, рассматриваемые в книге, поддерживали криптографические алгоритмы хеширования, показанные в табл. 6-1.

Таблица 6-1. Поддерживаемые криптографические алгоритмы хеширования

Инструменты, использующие криминалистические форматы, обычно создают хеш по умолчанию. И ftkimager, и ewfacquire автоматически создают хеши в процессе получения данных, как вы видели в предыдущих примерах.

Чтобы создать один или несколько хешей с помощью dcfldd, укажите нужные алгоритмы хеширования в командной строке следующим образом:

В dc3dd алгоритмы хеширования указываются многократным применением hash=, как показано здесь:

Традиционная команда dd не поддерживает хеширование. Вместо этого в процессе получения данных образ необходимо передать по конвейеру отдельной программе, что можно сделать командой Unix tee:

Если для dd не указан of=, данные отправляются в stdout, откуда их можно перенаправить или передать по конвейеру другой программе. В этом примере они передаются по конвейеру команде Unix tee, которая одновременно сохраняет данные в файл и отправляет их в stdout. Затем данные передаются независимому инструменту хеширования md5sum, который создает хеш. Помимо md5sum, пакет программ Linux coreutils включает другие программы хеширования: sha1sum, sha224sum, sha256sum, sha384sum и sha512sum.

Процесс проверки созданных хешей объясняется в разделе "Проверка целостности криминалистического образа" на странице 197.

При создании образа старого или поврежденного диска могут возникать ошибки чтения блоков. Эти ошибки могут появляться в случайных местах в процессе получения, а их частота со временем может возрастать. Это создает трудность для сохранения целостности доказательств, поскольку при каждом чтении диска (повторном получении, дублировании, проверке и так далее) криптографический хеш может отличаться.

Решение этой проблемы - применение окон хеширования, или фрагментарного хеширования. Окно хеширования представляет собой отдельный криптографический хеш меньшей последовательности секторов диска. Например, размер окна хеширования 10 Мбайт во время получения образа создает отдельный хеш для каждой последовательности секторов размером 10 Мбайт и список хешей диска. Если один сектор становится нечитаемым (или по какой-либо причине изменяется), хеш этого окна будет недействительным. Но все остальные окна хеширования на диске сохранят свою целостность. Поэтому даже если хеш всего диска недействителен, совпадение окна хеширования сохранит подтверждение целостности данных внутри него.

Среди коммерческих криминалистических форматов ранние версии Expert Witness Format (EWF) использовали для отдельных блоков данных только контрольные суммы циклического избыточного кода (CRC). Более новые версии не являются открытыми форматами, а ftkimager не имеет параметров для создания или просмотра окон хеширования.

Чтобы создать окна хеширования с помощью dcfldd, необходимо добавить параметр hashwindow=, задающий размер окна. Список окон хеширования можно сохранить в файл во время получения данных с помощью параметра hashlog= с именем файла. В следующем примере задан размер окна хеширования 1 Мбайт, а хеши каждого диапазона секторов записываются в stdout:

Группы одинаковых секторов диска будут иметь одинаковое значение хеша. Это часто происходит, когда большие участки диска заполнены нулями или повторяющимся шаблоном.

В dc3dd окна хеширования называются фрагментарным хешированием, а хеши можно создавать не по диапазонам секторов, а для каждого разделенного файла. В следующем примере хеши диапазонов секторов в каждом разделенном файле записываются в журнал:

Если имеется только один файл образа (то есть он не разделен), отдельных окон хеширования нет - есть лишь один хеш всего образа. В предыдущем примере были созданы восемь файлов образа, а хеши MD5 каждого файла совпадают с указанными во время получения данных. Это легко подтвердить с помощью md5sum следующим образом:

Значение хеша полезно для сохранения целостности образа с течением времени, но любой человек может в любой момент вычислить криптографический хеш образа. Представьте диск, измененный неуполномоченным лицом, которое создало новый хеш образа диска. Если исходный хеш не был надлежащим образом защищен во время первоначального получения данных, трудно доказать, какой хеш (старый или новый) является правильным. Криптографическое подписание криминалистических образов связывает человека (или его ключ) с целостностью образа. Эксперт-криминалист, руководитель или внешняя нейтральная сторона могут подписать образ во время получения данных.

Это не означает, что многотерабайтные образы необходимо передавать людям для подписания. Достаточно подписать хеш накопителя или список окон хеширования. Лучший вариант - подписать весь журнал вывода, содержащий временные метки, число полученных байтов и все результирующие криптографические хеши.

Подобно тому как уполномоченное лицо подписывает бумажные формы ручкой, оно может подписывать цифровые формы цифровой подписью. В отличие от подписей ручкой на бумаге, цифровые подписи трудно подделать (если только закрытый ключ не был похищен). Два популярных стандарта подписания цифровых данных - Pretty Good Privacy (PGP) и Secure/Multipurpose Internet Mail Extensions (S/MIME).

Наиболее распространенная реализация стандарта OpenPGP в Linux - GnuPG (GPG).^[1] Существует три разных способа подписания: обычная двоичная подпись, подпись открытого текста и отсоединенная подпись. Наиболее полезно применять подпись открытого текста, поскольку она показывает текст вместе с подписью и может быть легко встроена в другие документы и отчеты.

В следующем примере Ш. Холмс выполнил криминалистическое получение образа диска и подписывает журнал вывода, содержащий хеш MD5 и другие сведения:

Предыдущая команда создала файл hash.log.asc, содержащий содержимое файла вместе с подписью:

Этот подписанный текст позднее может проверить любая третья сторона, располагающая копией открытого ключа GPG Холмса.

Другой стандарт шифрования, который можно применять для подписания файлов, - S/MIME. Применение S/MIME опирается на сертификаты X.509 из инфраструктуры открытых ключей (PKI), частной внутри организации или предоставляемой общедоступным центром сертификации (CA). Если у уполномоченного лица есть персональный сертификат (обычно тот же, который оно использует для подписания и шифрования электронной почты S/MIME), его можно применить для подписания файлов, содержащих сведения о получении данных.

Инструмент gpgsm входит в GnuPG2 и поддерживает управление ключами X.509, шифрование и подписи по стандарту S/MIME. После создания необходимых ключей и установки сертификатов gpgsm можно использовать для подписания файлов сходным с GPG образом. Следующая команда создает подпись указанного файла:

Флаг -a указывает использовать ASCII armor - способ кодирования двоичных данных в текстовом формате - вместо двоичного представления (поскольку такой текст легче копировать в отчеты или электронные письма). Флаг -r указывает, какой ключ получателя использовать для подписания. В этом примере команды используется адрес электронной почты, но ключ также можно задать идентификатором, отпечатком или совпадающими компонентами строк X.509. Параметр -o задает выходной файл подписи, а --sign предписывает gpgsm создать подпись указанного файла hash.log.

При использовании для подписания gpgsm создаст файл подписи PEM^[2], похожий на следующий:

После создания подписи уполномоченной стороной значения хешей и сведения об исходном криминалистическом получении данных изменить нельзя. Внести изменения и снова подписать их может только лицо, создавшее подпись.^[3] Эти подписи позволяют проверять целостность сведений о получении данных без участия подписавшего их лица. Процесс проверки подписи описан в главе 7.

Персональные сертификаты S/MIME можно приобрести подобно сертификатам SSL для сайтов. Обзор центров сертификации, предлагающих персональные сертификаты S/MIME, находится по адресу https://www.sslshopper.com/email-certificates-smime-certificates.html. С помощью персонального сертификата S/MIME сведения о получении данных можно также подписать, просто отправив подписанное электронное сообщение с содержимым журнала вывода.

Примеры в этом разделе просты и используют инструменты GNU Privacy Guard. Существуют и другие инструменты командной строки для криптографического подписания. Инструмент командной строки OpenSSL предоставляет богатый криптографический набор, включающий возможность подписывать файлы с помощью сертификатов X.509 и S/MIME. В следующем разделе OpenSSL используется для демонстрации криптографического присвоения временных меток.

Подписи PGP или S/MIME прочно связывают уполномоченное лицо (или нескольких лиц) с целостностью файла, содержащего результаты криминалистического получения данных. В некоторых случаях полезно также прочно связать результаты криминалистического получения данных с определенным моментом времени. Это можно сделать с помощью независимой службы временных меток.

Присвоение временных меток - формальный стандарт, определенный в RFC-3161, который описывает формат запроса и ответа временной метки. OpenSSL может создавать и отправлять запросы временных меток и проверять ответы. В следующем примере создается совместимый с RFC-3161 запрос временной метки для журнала получения данных, создающий файл запроса с расширением *.tsq:

Этот запрос временной метки содержит хеш файла hash.log, а не сам файл. Файл не отправляется на сервер временных меток. Это важно с точки зрения информационной безопасности. Поставщику службы временных меток доверяются только сведения о времени, а не содержимое файлов, которым присваиваются временные метки.

Созданный запрос затем можно отправить службе временных меток с помощью команды tsget, входящей в OpenSSL.^[4] В следующем примере используется служба FreeTSA:

В некоторых дистрибутивах Linux этот сценарий может отсутствовать или быть неисправным. Обойти проблему можно, вручную отправив запрос временной метки командой curl следующим образом:

Если сервер временных меток принимает запрос, он возвращает временную метку, совместимую с RFC-3161. В этом примере временная метка сохраняется в файле hash.log.tsr с расширением *.tsr. Содержимое временной метки можно просмотреть командой OpenSSL ts:

Копия файла hash.log.tsr служит доказательством того, что результаты получения данных существовали в определенный момент времени. Независимая третья сторона также может проверить действительность временной метки. Проверка временных меток будет продемонстрирована в главе 7.

В Интернете доступен ряд бесплатных и коммерческих служб временных меток. Вот несколько примеров:

• Comodo RFC-3161 Timestamping Service: http://timestamp.comodoca.com/?td=sha256

• FreeTSA: http://freetsa.org/index_en.php

• Polish CERTUM PCC - General Certification Authority: http://time.certum.pl/

• Safe Creative Timestamping Authority (TSA) server: http://tsa.safecreative.org/

• StartCom Free RFC-3161 Timestamping Service: http://tsa.startssl.com/rfc3161

• Zeitstempeldienst der DFN-PKI: http://www.pki.dfn.de/zeitstempeldienst/

Примеры в двух последних разделах прочно связывают человека и момент времени с целостностью образа. Для защиты закрытых ключей и гарантии физического владения токеном при подписании образа можно применять криптографические токены, например смарт-карты или аппаратные модули безопасности (HSM). Криптографические ключи на аппаратных токенах нельзя скопировать или похитить. Примеры аппаратных токенов, которые можно использовать для создания криптографических подписей, включают Nitrokey, Yubikey и смарт-карты GnuPG OpenPGP.

Иногда криминалистическая лаборатория получает для анализа проблемный жесткий диск. Диск может быть старым, поврежденным или отказывающим. У него могут возникать ошибки интерфейса, ошибки чтения пластин, ошибки головок, сбросы двигателя и другие ошибки. В некоторых случаях частичный криминалистический образ накопителя все же можно получить. В зависимости от размера диска, размера блока и числа нечитаемых секторов создание образа неисправного диска может занять несколько дней.

Важно понимать, что описанные здесь ошибки относятся к аппаратной части накопителя. Они не относятся к программным ошибкам, таким как поврежденные файловые системы, уничтоженные таблицы разделов и так далее.

В этом разделе на примерах показано, как разные инструменты обрабатывают состояния ошибок. Инструмент dmsetup полезен для имитации ошибок диска и проверки поведения криминалистических инструментов при различных видах отказов; он использовался в нескольких последующих примерах (дисковое устройство - /dev/mapper/errdisk). В следующем разделе приведен обзор того, как dc3dd, dcfldd, ewfacquire и ftkimager обрабатывают ошибки и сообщают о них.

В следующем примере инструмент dcfldd встречает диск с двумя ошибками. Места ошибок на диске (смещения блоков) выводятся в stdout и записываются в указанный файл следующим образом:

При испытании dcfldd в Debian Linux обнаружилось несколько ошибок программы. Размер блока для заполнения оставался равным 4 Кбайт, даже когда был указан размер блока 512 байт (dd вел себя так же). При некоторых ошибках dcfldd входил в бесконечный цикл, и его приходилось завершать вручную.

Инструмент dc3dd предоставляет очень подробный обзор встреченных ошибок. Ошибки отправляются в stdout и сохраняются в указанном файле журнала следующим образом:

Инструмент ewfacquire по умолчанию предлагает гранулярность ошибок 64 сектора; ее можно изменить на 1, чтобы уменьшить число секторов, заполняемых нулями. В этом примере ewfacquire обнаружил только две ошибки чтения (подобно dcfldd, он пропустил и заполнил блок 4 Кбайт, не проверяя остальные сектора):

ftkimager сообщает об ошибках и записывает их в журнал. В следующем примере используется реальный физически неисправный диск (оригинальный iPod первого поколения), поскольку ftkimager не работал с имитированными ошибками, созданными с помощью dmsetup:

Каждый из инструментов криминалистического получения обладал некоторыми возможностями обнаружения, обработки и журналирования ошибок. Однако для дисков со значительным числом ошибок или аппаратным повреждением более уместными могут быть специализированные инструменты. В следующем разделе описывается применение для этой цели инструментов восстановления данных.

Следует упомянуть несколько инструментов восстановления дисковых блоков благодаря надежной обработке ошибок и агрессивным методам восстановления. Хотя эти инструменты создавались не для криминалистики, они полезны в ситуациях, когда другие криминалистические инструменты потерпели неудачу.

Инструмент ddrescue (автор Antonio Diaz Diaz) разработан для восстановления блоков с поврежденных дисков. В отличие от семейства инструментов dd, он использует многоэтапный алгоритм восстановления и может запускаться для диска несколько раз, чтобы заполнить пробелы в образе. Алгоритм включает чтение проблемных участков диска в обратном направлении для увеличения числа восстановленных секторов и различные повторные операции за несколько проходов.

Завершенная операция ddrescue создает статистику, описывающую долю успешно восстановленных данных:

Файл журнала, создаваемый ddrescue, показывает время начала и окончания и подробный обзор проблемных областей диска:

Инструмент dd_rescue (обратите внимание на символ подчеркивания) был разработан Куртом Гарлоффом в конце 1990-х годов. Хотя его имя содержит dd, синтаксис команды совершенно иной, и преобразования данных он не выполняет (как и ddrescue). Но он передает блоки данных подобно dd. Несколько функций делают этот инструмент возможным вариантом для цифровой криминалистической лаборатории. При возникновении ошибок диска размер блока динамически изменяется, автоматически уменьшаясь до размера физического блока. После периода без ошибок размер блока снова изменяется для повышения производительности. Можно также создавать образ диска в обратном направлении, от конца диска к началу. Этот метод полезен, если накопителю трудно читать данные после определенной точки на диске.

Инструмент myrescue разработан так, чтобы сначала обходить нечитаемые области (без повторных попыток) и сосредоточиться на восстановлении как можно большей части читаемых областей. После копирования читаемых секторов он обрабатывает неудачные диапазоны. Документация инструмента рекомендует давать проблемным накопителям отдохнуть пару часов между повторными попытками.

Другой инструмент, recoverdm, также выполняет восстановление данных. Его особенность состоит в возможности восстанавливать данные с поврежденного диска на уровне секторов или отдельных файлов. Инструмент имеет дополнительные функции для дискет и оптических носителей.

Сведения SMART на диске могут предоставить дополнительные показатели состояния накопителя и вероятности успешного восстановления. Например:

При криминалистическом получении необходимо отмечать все сообщения об ошибках и отказах, появляющиеся в dmesg или выводе инструментов. Если секторы не удалось прочитать и было добавлено нулевое заполнение, это необходимо зафиксировать (в зависимости от используемого инструмента криминалистического получения оно будет записано в журнал).

В этом разделе приведено еще несколько советов и замечаний, помогающих получать данные с проблемных дисков.

В некоторых случаях диск может правильно работать лишь несколько минут в холодном состоянии, после чего становится недоступным или нестабильным. Если диск работает правильно несколько минут до отказа, возможно, со временем удастся создать образ, многократно возобновляя восстановление. Некоторые из инструментов, упомянутых в разделе "Инструменты восстановления данных" на странице 162, ведут файл, содержащий состояние восстановления после последней попытки. Операцию восстановления можно прервать и позднее возобновить с места остановки.

После некоторого времени попыток создать образ накопителя дайте ему остыть и повторите попытку. Иногда по мере перегрева накопителя проблемы доступа усугубляются. В этой ситуации опять же полезны функции возобновления работы инструментов восстановления дисков.

Если вы подозреваете неисправность электроники накопителя и доступен второй исправный идентичный накопитель (то есть той же марки, модели и редакции микропрограммы),^[5] возможно, удастся временно переставить электронику накопителя для восстановления данных. Для этого не требуется вскрывать диск, поэтому риск повреждения (из-за пыли и так далее) минимален.

Профессиональные компании по восстановлению данных располагают чистыми помещениями, где обученный персонал может вскрывать накопители, освобождать застрявшие головки, заменять приводы и выполнять другие тонкие операции с накопителем. Не пытайтесь выполнять эти процедуры без надлежащей среды, оборудования и подготовки. Одно лишь вскрытие накопителя вне чистого помещения подвергнет его воздействию частиц пыли и повредит диск.

Большинство упомянутых ранее инструментов должно работать и с оптическими носителями. Некоторые инструменты имеют дополнительные функции или особое поведение для оптических носителей.

Для оптических носителей ddrescue рекомендует указывать размер сектора 2048 байт. Вот пример работы ddrescue по восстановлению поврежденного диска CD-ROM:

Обратите внимание, что ddrescue читает CD-ROM в обратном направлении, пытаясь восстановить блоки.

Для частично восстанавливаемых оптических дисков с поврежденной файловой системой можно использовать инструменты карвинга для извлечения файлов. Карвер данных, разработанный для оптических дисков, - dares (ftp://ftp.heise.de/pub/ct/ctsi/dares.tgz); он поддерживает различные форматы файловых систем оптических дисков.

В этом разделе рассматривалась работа с отказами и ошибками накопителей. Отказы и ошибки накопителей действительно случаются и могут привести к частичной или полной потере данных. При возникновении проблем с накопителем обязательно документируйте характер ошибки и, где возможно, затронутый сектор.

Создание образа диска по сети может быть полезно по нескольким причинам:

• Диск может находиться удаленно, и физически изъять и отправить его в центральную криминалистическую лабораторию может быть неосуществимо (возможно, из-за нарушения работы предприятия, отсутствия ресурсов или других логистических проблем).

• Критичный по времени инцидент может потребовать как можно скорее получить образ удаленного накопителя без задержек на доставку (в зависимости от пропускной способности сети, размера диска и сроков доставки отправка диска все же может оказаться быстрее).^[6]

• На машине в локальной криминалистической лаборатории может находиться диск в ПК, который невозможно физически извлечь. Причиной могут быть конструкция ПК, отсутствие необходимых инструментов или риск причинить повреждение либо уничтожить доказательства.

В целом изъятие дисков плохо масштабируется в крупных организациях, поэтому широко развернутое корпоративное решение для удаленной сортировки и получения дисков является обычным явлением. Классический пример - EnCase Enterprise; многие новые компании выводят на рынок сходные продукты.

Как и при создании образов дисков, для криминалистического получения по сети существует множество возможностей. Большинство решений предполагает загрузку удаленной машины с криминалистического компакт-диска, установление сетевого соединения и передачу вывода dd по сети в локальный файл. Это можно сделать просто сочетанием dd и netcat. Защищенные соединения также можно устанавливать с помощью ssh или защищенных альтернатив netcat, например socat и cryptcat.

В этом разделе приведено несколько примеров с использованием ssh для защищенного сетевого соединения. Но сначала рассмотрим rdd, специально разработанный с учетом криминалистического получения данных.

Инструмент rdd, предназначенный для получения образов дисков по сети, был разработан Netherlands Forensic Institute (NFI). rdd имеет ряд полезных функций, включая хеширование, журналирование, сжатие, обработку ошибок, разделение файлов, индикаторы хода работы и статистику. Поддержку вывода EWF можно включить во время компиляции. rdd использует модель клиент-сервер, где исследуемый ПК (загруженный с криминалистического загрузочного компакт-диска) является клиентом, а ПК эксперта - сервером. Получение выполняется запуском процесса прослушивания на сервере (ПК эксперта) и команды получения на клиенте.

Встроенной защиты у rdd нет; ее необходимо добавить с помощью VPN, защищенной оболочки или эквивалентного средства. При использовании rdd в недоверенных или враждебных сетях сетевой трафик необходимо шифровать, а прослушивающие порты TCP не должны быть открыты. Это можно сделать в два этапа: установить защищенный сетевой канал и использовать его для получения данных.

Без защиты инструмент rdd все же полезен в доверенном сегменте сети в защищенной лабораторной среде, при использовании перекрестных кабелей Ethernet или при соединении двух ПК кабелем FireWire. (Интерфейсы FireWire можно использовать как сетевые интерфейсы.)

На рабочей станции эксперта запустите серверный режим rdd-copy, указав -S, как показано в следующем примере. Его необходимо запустить до запуска клиента. Убедитесь, что межсетевые экраны или фильтрация пакетов iptables не блокируют порт TCP 4832 (порт по умолчанию).

На удаленном исследуемом ПК запустите клиентский режим rdd-copy с помощью -C. Укажите устройство ввода с помощью -I. Устройством ввода может быть любое локально подключенное устройство хранения (в этом примере это был удаленный USB-накопитель). Для выходного файла -O предусмотрен дополнительный параметр, указывающий сетевое назначение. Клиент сообщает серверу, какой файл использовать для полученного образа, применяя традиционное соглашение Unix имя_узла:/путь/к/имени_файла:

И клиент, и сервер задают файлы журналов с помощью -l и алгоритм хеширования, который можно проверить в конце передачи. Ход работы клиента и сервера можно наблюдать, добавив -P 1 на одной или обеих сторонах.

Когда rdd недоступен, базовое получение можно выполнить одной командой ssh либо на удаленном ПК с исследуемым диском, либо на ПК эксперта. В следующем примере показано создание образа диска (в данном случае USB-накопителя, подключенного к удаленному ПК) по сети через сеанс защищенной оболочки, инициированный с удаленного ПК:

Команда dd выполняется локально, а ее вывод передается по конвейеру команде ssh. Защищенная оболочка передает этот поток данных программе cat на ПК эксперта. Вывод программы cat перенаправляется в файл на ПК эксперта. После завершения будет доступен необработанный образ, который можно исследовать другими криминалистическими инструментами.

Получить образ можно и через защищенную оболочку, инициированную с рабочей станции эксперта и подключающуюся к удаленному ПК с исследуемым диском. Следующий пример демонстрирует это на ПК эксперта, где снова создается образ того же USB-накопителя:

Здесь защищенной оболочке предписывается выполнить команду dd на удаленной (исследуемой) машине. Вывод удаленной команды dd становится выводом локальной команды ssh и перенаправляется в локальный файл. После завершения на ПК эксперта доступен файл необработанного образа для анализа.

Базовые команды dd, показанные в этом разделе, можно заменить на dcfldd, dc3dd или любой другой инструмент получения данных, создающий образ в stdout.

Этим способом можно собирать и другие сведения об удаленной (исследуемой) машине. Для иллюстрации приведены примеры сбора данных об удаленном ПК, запущенном с загрузочного компакт-диска DEFT Linux. В этом примере данные hdparm, smartctl и lshw собираются и сохраняются на рабочей станции эксперта:

Как и в предыдущем примере, ssh выполняет различные команды на удаленной машине, а вывод перенаправляется в файлы на локальной рабочей станции эксперта. Серийный номер диска включается в имя файла, чтобы обеспечить очевидную связь между физическим диском и собранными файлами данных.

Как было показано ранее, SquashFS можно использовать как контейнер криминалистических доказательств, а sfsimage - для создания образов локальных дисков. Сценарий sfsimage также может создавать образ диска на удаленной машине непосредственно в контейнер криминалистических доказательств SquashFS. Здесь показаны два примера.

Удаленный вывод dd можно передать через ssh локальной команде sfsimage, создав контейнер криминалистических доказательств SquashFS с необработанным образом:

В этом примере доступ к удаленному ПК выполняется пользователем root (root@remote-pc), а образ удаленной карты памяти (/dev/mmcblk0) создается командой dd в stdout. Поток stdout передается по соединению ssh локальной команде sfsimage, где - (stdin) является входным файлом.

Второй способ использует тот же принцип, но с переменными сценария оболочки sfsimage. В блоке config() сценария sfsimage или в отдельном файле sfsimage.conf можно задать переменные и параметры конфигурации, управляющие поведением sfsimage. Если присвоить переменной DD команду ssh, mksquashfs будет получать входные данные с удаленной машины через ssh. Здесь показан файл конфигурации в текущем рабочем каталоге:

Двойные кавычки в переменной DD необходимо экранировать. Переменной SQSUDO присваивается пустая строка, поскольку локальные привилегии root не нужны. При запуске sfsimage с этим файлом конфигурации в локальном рабочем каталоге ваши параметры конфигурации переопределят стандартные параметры sfsimage.

Важно отметить, что входной файл по-прежнему следует указывать дефисом (-), поскольку команда ssh в переменной DD внутренне передает входные данные в stdin. Удаленное получение с помощью sfsimage в таком виде выглядит следующим образом:

Этот пример конфигурации DD был приведен прежде всего для иллюстрации возможности встраивать команды удаленного создания образов по сети в sfsimage. Встраивание сложных команд получения данных в файлы конфигурации в целом можно использовать для изменения работы сценария sfsimage.

Удаленные команды ssh можно также передавать по конвейеру другим программам для выполнения задач или преобразования в другие форматы. Полезный пример - удаленное получение необработанного образа и его преобразование в EnCase/EWF в процессе записи на диск. В этом примере образ удаленного ПК дистанционно создается на рабочей станции эксперта и сохраняется в файлы *.ewf:

В этом примере описание ПК (eepc) и серийный номер (16048539022588504422) встроены в имя файла образа. Заключительный вывод команды dd показывается после завершения, а сразу за ним следует сообщение о завершении ewfacquirestream.

Полученный образ можно криминалистически анализировать с помощью EnCase, Sleuth Kit или любого другого инструмента с поддержкой EWF.

Дополнительные флаги ewfacquirestream позволяют предоставить больше подробностей метаданных дела, увеличить сжатие и задействовать другие функции. Дополнительные сведения см. на странице руководства ewfacquirestream(1).

В общем случае создавать криминалистический образ работающей системы, когда получаемые диски содержат запущенную операционную систему, бессмысленно. Блоки работающей системы непрерывно изменяются. За время, необходимое для получения посекторного образа, файловая система существенно изменится, из-за чего ее копия в образе окажется поврежденной и несогласованной.

Иногда загрузить систему с криминалистического загрузочного компакт-диска для удаленного получения образа может быть невозможно. На работающих серверах, которые нельзя выключить, в некоторых ситуациях можно воспользоваться тем же способом замораживания файловой системы, который применяется для резервного копирования. В системах с файловыми системами Copy-on-Write (CoW) определенный объем криминалистического создания образов может быть возможен, если со снимками файловой системы связаны блочные устройства (например, Logical Volume Manager [LVM]). Это предоставит согласованный снимок блоков файловой системы в определенный момент времени. Если у снимка файловой системы CoW нет связанного блочного устройства, по крайней мере файлы будут заморожены для получения на уровне файлов.

Если исследуемая система является облачной виртуальной машиной, создание образа работающей системы по сети может быть единственным вариантом, если поставщик облака не может предоставить образы снимков.

Съемные носители уникальны тем, что устройство накопителя может быть подключено к системе и работать без какого-либо носителя. Блочные устройства, которые можно получить криминалистическим способом, становятся доступны только после установки носителя. USB-флеш-накопители можно описывать как съемные устройства, но не как съемные носители. Носитель не извлекается из USB-флеш-накопителя, если только это не адаптер карты памяти или устройство чтения карт.

В этом разделе рассматриваются основные виды съемных носителей: карты памяти, оптические диски и магнитные ленты.

Большинство карт памяти ведет себя сходно с обычными накопителями. Их хранилище представляется как линейная последовательность блоков, создавая вид обычного накопителя с секторами, к которым можно обращаться любым инструментом, работающим с блочными устройствами.

На рис. 6-1 карта Micro SD установлена в адаптер SD, адаптер SD - в устройство чтения карт SD, а устройство чтения - в ПК. Здесь несколько съемных элементов наложены друг на друга и все равно выглядят как блочное устройство, образ которого можно создать обычным способом.

Рис. 6-1. Адаптеры съемной карты памяти

В этом примере все три элемента были вставлены и подключены к основной системе получения данных. Ядро обнаружило их и создало блочное устройство /dev/sdg:

На адаптере SD включен язычок защиты от записи, что видно в выводе dmesg.

В этом примере образ карты Micro SD создается в контейнере доказательств SquashFS с помощью сценария sfsimage:

После создания образа карту памяти можно безопасно извлечь из устройства чтения карт (при условии, что она не была смонтирована).

Разные виды оптических носителей различаются физическими и химическими свойствами; однако после установки в подключенный оптический накопитель у них больше сходств, чем различий. Три наиболее распространенных диска (DVD, CD-ROM и Blu-ray) имеют размер сектора 2048 байт и выглядят как линейная последовательность секторов (подобно ленте, но расположенной по спирали). Основные различия состоят в плотности битов данных (абстрагированной аппаратной частью устройства) и емкости диска.

Создавать образы дисков данных несложно; процесс сходен с созданием образов жестких дисков или флеш-носителей. Здесь показан пример создания образа оптического диска с помощью dc3dd:

После этого файл образа datacd.raw можно анализировать обычными криминалистическими инструментами.

Восстановление Compact Disc Digital Audio (CDDA), или музыкальных компакт-дисков, отличается от восстановления дисков данных. Они содержат набор музыкальных дорожек, представляющих собой линейные потоки битов, закодированных импульсно-кодовой модуляцией (PCM). В отличие от компакт-дисков с данными, здесь допускаются некоторые ошибки. Поэтому были созданы инструменты, пытающиеся восстанавливать CDDA и устранять проблемы накопителей, такие как смещение и дрожание кадров.^[7] Большинство инструментов CDDA - простые программы копирования музыкальных компакт-дисков, преобразующие дорожки CD в аудиофайлы (с повторным кодированием в другой аудиоформат). В этом примере cdparanoia выполняет необработанное извлечение данных PCM:

Эта команда копирует весь музыкальный компакт-диск в единый файл необработанного звукового образа PCM, содержащий все звуковые дорожки. Затем этот файл можно импортировать в программу анализа звука. Поскольку звуковые данные не изменялись и не перекодировались, потери или ухудшения качества звука нет.

Диски DVD и Blu-ray с управлением цифровыми правами (DRM) и региональной защитой трудно восстанавливать. Инструменты Linux и инструкции по восстановлению зашифрованного содержимого существуют, но намеренно оставлены за рамками книги.

В домашних условиях ленты практически исчезли. Но они по-прежнему используются в малых, средних и корпоративных средах для резервного копирования и архивирования. В редких случаях может поступить запрос на восстановление данных с лент. Например, в корпоративных криминалистических лабораториях старые ленты иногда находят при реорганизации отделов компании или переезде.

Исторически популярными были ленты 4 мм DAT, 8 мм Exabyte и DLT. Сегодня наиболее распространены LTO и 8 мм DAT. Максимальная собственная и сжатая емкость этих лент составляет 160 Гбайт/320 Гбайт для DAT-320 и 6 Тбайт/15 Тбайт для LTO-7. Современные накопители LTO также поддерживают зашифрованные ленты.

Современные ленточные накопители подключаются к основным системам через интерфейс SAS или Fibre Channel. Исторически почти все ленточные накопители следовали стандартам SCSI Stream Command (SSC; последним является SSC-5).

Ленточные технологии используют собственное понятие "файлов", размещаемых на ленте последовательно. Как правило, ленточный файл состоит из архива резервной копии, созданного программой резервного копирования или архивирования. К ленточным файлам нельзя обращаться произвольно, как к дисковым накопителям и оптическим дискам. Вместо этого к ним обращаются, перемещаясь вперед или назад к началу файла с определенным номером, а затем читая логические блоки до конца файла.

На лентах имеются различные маркеры, сообщающие ленточному накопителю положение головки на ленте (см. рис. 6-2). Здесь важно понимать следующие маркеры:

BOT или BOM (Beginning of Tape или Media). Сообщает накопителю, где можно начинать чтение или запись данных.

EOF (End of File). Сообщает накопителю, что достигнут конец ленточного файла.

EOD (End of Data). Сообщает накопителю, что достигнут конец записанных данных (находится сразу после последнего ленточного файла). Это логический конец ленты.

PEOT, EOT или EOM ([Physical] End of Tape или Media). Сообщает накопителю, что достигнут конец физической длины ленты.

Рис. 6-2. Файлы и маркеры на ленте

При криминалистическом получении лент необходимо скопировать каждый файл на ленте вплоть до маркера EOD (последнего читаемого файла на ленте). Прочитать данные после EOD на ленте стандартными командами SCSI невозможно. Некоторые криминалистические компании предлагают специализированное оборудование и услуги, позволяющие восстанавливать данные после EOD.

Файлы с ленты можно извлекать с помощью вариантов dd. В следующем примере с ленты восстановлены три ленточных файла. Для доступа к ленте выбрано устройство без перемотки, обычно /dev/nst0 в Linux, чтобы накопитель не перемотал ленту до копирования всех файлов. Команда выполняется многократно, всегда с одним и тем же устройством ввода (она берет следующий файл на ленте), пока не появится 0+0 records in, указывающее, что все файлы извлечены:

После восстановления ленточных файлов можно проанализировать их тип. Часто достаточно обычной программы определения типа файла, чтобы установить использованный формат архива или резервной копии. В этом примере извлечены два файла .tar и один файл .dump:

Каждый из файлов hash*.log содержит отдельный хеш MD5 для каждого извлеченного ленточного файла. В этом примере file3.tape пуст и его можно игнорировать.

Криминалистическое получение систем Redundant Array of Independent Disks (RAID) связано с рядом трудностей и может требовать дополнительных действий. Важно планировать емкость, поскольку может потребоваться создать образы большого числа дисков.

В этом разделе предполагается, что образы отдельных дисков RAID созданы раздельно и находятся на рабочей станции получения данных. Цель состоит в сборке дисков из образов и предоставлении доступа к уровню метаустройства в виде файла или блочного устройства, что позволяет использовать инструменты криминалистического анализа.

Как правило, системы RAID создают собственные сведения заголовка в начале диска (а иногда в конце диска). Заголовок содержит уникальные идентификаторы (UUID), имена массивов, временные метки, сведения о конфигурации RAID и другую служебную информацию.

Если использовался аппаратный контроллер RAID и программ для автономной сборки RAID не существует, может потребоваться клонировать диски RAID и загрузить систему исследования с физически установленным контроллером.

Примеры этого раздела посвящены программному RAID Linux, но доступен ряд инструментов с открытым исходным кодом, способных поддерживать получение и анализ закрытых систем RAID.

Например, следующие пакеты содержат такие инструменты и доступны из репозитория программ Debian:

• dpt-i2o-raidutils - утилиты управления аппаратным RAID Adaptec I2O

• array-info - инструмент командной строки для сообщения состояния RAID нескольких типов

• cciss-vol-status - средство проверки состояния томов HP SmartArray RAID

• cpqarrayd - инструмент наблюдения за контроллерами HP (Compaq) SmartArray

• dpt-i2o-raidutils - утилиты управления аппаратным RAID Adaptec I2O

• mpt-status - инструмент получения состояния RAID из контроллеров mpt (и других аппаратных контроллеров RAID)

• varmon - монитор VA RAID

Помимо этих программных пакетов, инструмент dmraid способен идентифицировать метаданные RAID ряда закрытых форматов. Список поддерживаемых форматов можно получить с помощью флага -l следующим образом:

Инструмент dmraid использует тот же механизм отображения устройств, который показан в разделе "Работа с отказами и ошибками накопителей" на странице 159 (где инструмент dmsetup использовался для имитации ошибок). На странице руководства dmraid(8) приведен ряд примеров повторной сборки различных закрытых конфигураций RAID.^[8]

Just a Bunch Of Disks (JBOD) - термин, обозначающий объединение нескольких дисков в один логический накопитель (без конфигурации RAID для производительности или избыточности). Для сборки группы дисков в единое устройство JBOD можно использовать команду dmsetup.

При построении устройств из нескольких дисков полезно иметь отдельный файл таблицы, определяющий устройство, смещения и отображения. В этот простой текстовый файл можно также включить комментарии со сведениями о дисках.

В следующем примере имеется JBOD с тремя дисками разного размера (особенность систем JBOD состоит в возможности использовать любое сочетание размеров накопителей). Файл таблицы отображения устройства JBOD (jbod-table.txt в этом примере) определяет способ их объединения. Выполните команду dmsetup, передав таблицу как входные данные, чтобы создать устройство в /dev/mapper:

Эта таблица определяет три отображения, создающие файл устройства, который появится в /dev/mapper. Каждая строка задает смещение в устройстве отображения, число отображаемых секторов, тип цели (linear) и целевое устройство со смещением (здесь сектор ноль, поскольку требуется все устройство). Правильно вычислить смещения может быть непросто. При возникновении проблем сначала перепроверьте смещения.

Таблица передается по конвейеру команде dmsetup create с указанием имени устройства отображения. После создания устройства с ним можно работать обычными криминалистическими инструментами. В следующем примере команда fsstat из Sleuth Kit применяется к вновь созданному устройству:

Когда устройство отображения больше не нужно, удалите его командой dmsetup следующим образом:

Дополнительные сведения о различных типах отображения устройств, используемых инструментом dmsetup, см. на странице руководства dmsetup(8). Отображения устройств можно применять для шифрования, снимков, систем RAID и даже имитации ошибок и отказывающих устройств (что полезно для испытания поведения криминалистических инструментов).

Чередующиеся диски RAID-0 создаются ради производительности, а не избыточности. Группа дисков в конфигурации RAID-0 имеет суммарную емкость всех накопителей, а доступ к дискам распределяется по массиву (производительность возрастает с добавлением дисков).

Если известны смещения и размер фрагмента чередующегося массива RAID-0, инструмент dmsetup может создать устройство отображения, представляющее собранный массив.

В следующем примере к основной системе получения данных подключен RAID-0, состоящий из двух чередующихся дисков. Известно, что исследуемая система RAID имеет 2048 начальных секторов с метаданными, а размер фрагмента равен 128 секторам. После этого RAID можно собрать следующим образом:

Это устройство /dev/mapper можно анализировать обычными криминалистическими инструментами для файловых систем. Здесь показан пример применения команды fls из Sleuth Kit к вновь созданному устройству:

Не забудьте удалить устройство после выполнения задач.

Microsoft создала Logical Disk Manager (LDM) для управления логическими томами; для анализа динамических дисков Microsoft можно использовать инструмент Linux ldmtool. Цель состоит в предоставлении тома для доступа на уровне блоков криминалистическим инструментам.

В этом примере к основной системе получения данных подключены два исследуемых диска с томом, созданным Microsoft LDM. Группа дисков LDM идентифицируется глобально уникальным идентификатором (GUID). Диски можно просканировать на наличие GUID группы дисков, который позволит получить дополнительные сведения о группе дисков с помощью команды ldmtool show:

Команда show предоставляет имя и GUID группы дисков, имена томов и имена дисков. Этих сведений достаточно для создания устройства отображения.

Зная GUID и имя тома, можно создать устройство тома:

Это создает в /dev/mapper устройство, соответствующее файловой системе динамического диска (эквивалент устройству раздела наподобие /dev/sda1). После этого с устройством можно работать обычными инструментами криминалистического анализа. Ниже показан пример с командой fsstat из Sleuth Kit:

Когда устройство больше не нужно, удалите его командой dmsetup, как показано в разделе "JBOD и чередующиеся диски RAID-0" на странице 179.

Зеркальные диски просты и состоят из двух идентичных дисков (или должны быть идентичными, если они были синхронизированы). Создайте образ каждого диска в отдельный файл образа. В зависимости от программного или аппаратного обеспечения зеркалирования в начальных секторах диска может находиться заголовок, который необходимо пропускать при анализе.

В следующем примере показаны зеркальные диски с разделом EXT4. Программа зеркалирования (Linux Software RAID) использовала первые 32 768 секторов, и зеркальная файловая система начинается с этого смещения на физических дисках и без смещения для составного устройства^[9] md0:

В этом примере та же файловая система на md0 также обнаруживается со смещением 32 Кбайт на двух физических устройствах (sde и sdg). Криптографические контрольные суммы зеркальных дисков, вероятно, не совпадут друг с другом, поскольку сведения заголовка RAID могут различаться (уникальные UUID дисков и так далее), а диски могут быть синхронизированы не идеально.

Если несколько дисков входят в массив Linux RAID, их можно получить по отдельности, а затем собрать несколькими способами. Инструмент dmsetup предоставляет интерфейс к mdadm посредством таблиц. Инструмент mdadm может работать с отображенными или зацикленными устройствами. В следующем примере используются три полученных образа накопителей из конфигурации Linux MD RAID-5.

Анализ отдельных таблиц разделов с помощью mmls обнаруживает раздел Linux RAID в секторе 2048 каждого образа диска (sda.raw, sdb.raw и sdc.raw). Это смещение в секторах преобразуется (с помощью арифметического расширения Bash) в смещение в байтах для команды losetup:

Для каждого диска массива создается устройство loop только для чтения с вычисленным смещением в байтах (2048 секторов, то есть 1048576 байт):

Предыдущие команды создают устройства loop, соответствующие трем полученным файлам образов. Массив можно собрать с помощью mdadm следующим образом:

Теперь метадисковое устройство RAID /dev/md0 можно открывать и анализировать обычными криминалистическими инструментами. Здесь показан пример с командой fsstat из Sleuth Kit:

Вновь созданное устройство также можно смонтировать и обращаться к нему обычными файловыми инструментами. Стандартную команду Linux mount можно использовать следующим образом:

После завершения анализа выполните шаги в обратном порядке для очистки, включая применение команды stop системы mdadm:

В зависимости от конфигурации системы ядро Linux может автоматически пытаться повторно собрать подключенные устройства RAID при их обнаружении, возможно запуская операцию восстановления, способную уничтожить доказательства. Важно применять блокирование записи с работающими устройствами и обеспечивать создание устройств loop и массивов только для чтения.

Многие методы, описанные в этой главе, применимы к устройствам loop, отображающимся на файлы образов. Дополнительные примеры создания и использования устройств loop приведены в главе 8.

Необработанные образы дисков всегда имеют размер, равный общему объему содержащихся в них секторов. Число файлов или объем данных на накопителе не имеют значения и не влияют на размер несжатого необработанного образа. При нынешнем широком распространении многотерабайтных дисков работа с образами в условиях ограничений времени и емкости дисков может быть затруднительна. Даже простое копирование образа может занять много часов. Отчасти уменьшить эту проблему можно, храня образы в сжатом виде.

Сжатие образов в криминалистическом контексте означает посекторное сжатие всего накопителя (в отличие от сжатия каждого файла на диске). Диски с многими гигабайтами или терабайтами пространства, на которое за весь срок службы накопителя ни разу ничего не записывалось, будут сжиматься лучше, поскольку значительная часть накопителя все еще состоит из нетронутых секторов, заполненных нулями. Активно использовавшиеся диски будут сжиматься хуже, если большинство секторов накопителя выделялось на протяжении его срока службы и все еще содержит остаточные данные. Образы дисков с большим числом звуковых и видеофайлов также будут сжиматься плохо, поскольку эти файлы уже сжаты собственными алгоритмами.

Важно выбрать наиболее подходящий и эффективный инструмент и метод сжатия. У некоторых инструментов могут быть ограничения размера файла - исходного файла или сжатого файла назначения. Другие инструменты могут быть неэффективными или использовать временные файлы во время сжатия, вызывая исчерпание памяти или проблемы с дисковым пространством. Некоторые из этих проблем при выполнении сжатия можно решить с помощью конвейеров и перенаправления.

Одна из самых полезных возможностей работы со сжатым криминалистическим образом - возможность применять к нему криминалистические инструменты без распаковки всего образа. Но некоторые инструменты сжатия создают проблему, поскольку не умеют выполнять поиск внутри сжатого файла. Поиск позволяет программе произвольно обращаться к любой точке файла. Криминалистические форматы разработаны так, чтобы аналитические программы могли на лету произвольно обращаться к сжатым образам. Все популярные криминалистические форматы поддерживают сжатие образов, которое обычно выполняется во время получения, хотя не все инструменты сжимают данные по умолчанию.

Среди широко используемых сегодня в мире открытого исходного кода инструментов сжатия - zip, gzip и bzip (версии 1 или 2). В примерах этого раздела используется gzip, но можно применять и другие инструменты сжатия. Для попытки добиться лучшего сжатия ценой времени и циклов процессора можно регулировать уровень сжатия.

При наличии достаточного дискового пространства файл образа диска можно просто сжать на месте:

Эта команда создает файл image.raw.gz и после завершения удаляет исходный файл. Во время сжатия должно быть достаточно места для одновременного существования сжатого и несжатого файлов. То же относится к распаковке файлов с помощью gunzip.

Образы можно также сжимать на лету во время получения с помощью конвейеров и перенаправления. Например:

Здесь входным файлом является необработанное дисковое устройство. Если для dcfldd не указать выходной файл, поток данных образа отправляется в stdout, откуда передается по конвейеру в gzip, а затем перенаправляется в сжатый файл.

Сжатый файл можно распаковать в файл необработанного образа, с которым непосредственно работают криминалистические инструменты. В качестве альтернативы распакованный поток можно передать по конвейеру некоторым программам через stdout и stdin. Например:

Здесь zcat распаковывает образ и передает его по конвейеру программе для создания криптографического хеша SHA256. Следует отметить, что формат файла gzip содержит дополнительные метаданные, например временную метку создания, исходное имя файла и другие сведения. Хеш контейнера gzip (image.raw.gz) при каждом создании будет разным, хотя хеш находящегося внутри сжатого файла останется тем же.

Инструмент ewfacquire предоставляет флаги для управления сжатием в процессе получения данных. Например:

В этом примере флаг -c может задавать алгоритм сжатия вместе с уровнем сжатия. Здесь использован алгоритм bzip2, настроенный на наилучший возможный уровень сжатия. Поскольку bzip2 поддерживают только форматы EWFv2, параметром была указана версия формата encase7-v2. Обратите внимание, что ewftools необходимо компилировать с поддержкой bzip2.^[1]

Инструмент командной строки ftkimager поддерживает сжатые образы во время получения данных, как показано в следующем примере:

Напомним, что использование SquashFS как контейнера криминалистических доказательств описано в главе 6. При создании файла SquashFS можно настраивать несколько параметров сжатия. Доступны три алгоритма сжатия (gzip, lzo, xz), можно сжимать различные метаданные SquashFS (таблицу inode, расширенные атрибуты) и выполнять другие настройки. Дополнительные сведения см. на странице руководства squashfs(1).

В этом примере файл необработанного образа был преобразован в сжатый файл SquashFS:

Здесь флаг -comp задает алгоритм сжатия lzo (gzip используется по умолчанию), а флаг -noI предотвращает сжатие inode (контейнера SquashFS, а не образа доказательств).

Сценарий оболочки sfsimage управляет созданием контейнеров криминалистических доказательств SquashFS с несколькими дополнительными криминалистическими функциями.

Применение сжатия имеет основополагающее значение при работе с большими криминалистическими образами. Однако даже сжатые образы все равно могут быть очень большими и неудобными в управлении. Есть и другой способ облегчить процесс: криминалистические образы можно разделить на несколько меньших частей.

Управление полученными образами дисков может быть затруднено из-за большого размера файлов. Разбиение образа на меньшие, более удобные части может помочь решить эту проблему. Рассмотрим следующие примеры, когда разделенный образ может быть полезен:

• Передачу по нестабильным сетевым соединениям можно выполнять несколькими небольшими загрузками разделенного образа.

• Большой образ может превышать максимальный размер файла, поддерживаемый программным инструментом. Разделение образа позволяет обойти ограничение.

• Носители информации, например ленты, CD или DVD, имеют фиксированную максимальную емкость. Разделенные образы позволяют использовать набор таких носителей.

• У некоторых файловых систем (особенно FAT) относительно небольшой максимальный размер файла.

Наиболее распространенное применение разделенных образов в цифровой криминалистике - передача и хранение доказательств. Исторически для этого образ записывался на набор CD или DVD.

В стандартных системах Unix и Linux имеется инструмент split для разбиения большого файла на несколько меньших. В следующем примере команда split разбивает существующий образ на фрагменты размером с DVD:

Флаг -d указывает добавить числовое расширение к image.raw. (обратите внимание на точку в конце), а флаг -b задает размер фрагментов, создаваемых из файла image.raw.

Используя сочетание конвейерной передачи между несколькими инструментами, можно одновременно выполнять сжатие и разделение во время получения данных, экономя время и место. Вот пример одной команды, получающей образ с помощью dd, сжимающей его с помощью gzip и разделяющей на фрагменты размером с CD:

Входным файлом команды split является -, обозначающий stdin; команда разбивает сжатый поток байтов на части. Важно отметить, что части не сжаты gzip по отдельности и не могут распаковываться по отдельности. Перед распаковкой части необходимо собрать заново.

Создаваемый образ жесткого диска можно разделять на части непосредственно в процессе получения, а не отдельным последующим этапом. Перед получением большого диска подумайте, может ли в будущем потребоваться разделенный образ и какой размер фрагмента будет наиболее разумным. Правильный изначально разделенный образ может сэкономить время и дисковое пространство в ходе исследования.

Разделенные образы распространены в цифровой криминалистике и поэтому хорошо поддерживаются инструментами криминалистического получения и анализа. Как правило, флаги позволяют задавать размер фрагмента и настраивать расширение разделенного образа.

Инструмент dcfldd имеет встроенную функцию разделения. Например, если позднее образ будет передан третьей стороне на наборе USB-накопителей по 16 Гбайт, его можно получить с помощью dcfldd, указав флаг split=16G перед выходным файлом:

Стандартное расширение представляет собой трехзначное число, добавляемое к имени выходного файла.

С помощью инструмента dc3dd образы можно разделять во время получения, задавая размер выхода параметром ofsz=. Расширения файлов являются числовыми, как показано здесь:

Убедитесь, что в расширении файла достаточно нулей, иначе dc3dd не сможет завершить работу и создаст сообщение об ошибке, например [!!] file extensions exhausted for image.raw.0. Последний файл набора обычно меньше остальных (если только размер образа не делится без остатка на размер разделенного файла).

Инструменты EnCase обычно по умолчанию разделяют образы во время получения. Получить диск в разделенный образ EnCase с помощью ewfacquire можно, задав максимальный размер файла сегмента флагом -S:

После этого коммерческий криминалистический комплект EnCase может непосредственно использовать эти образы.

Инструмент ftkimager предоставляет флаг --frag для сохранения образа по частям во время получения, как показано в этом примере:

Здесь диск получен с максимальным размером фрагмента 20 Гбайт, а форматом является сжатый образ SMART. Обратите внимание на добавленный файл *.txt, содержащий метаданные. В отличие от некоторых криминалистических форматов, эти сведения не встроены в разделенные файлы FTK, создаваемые ftkimager.

Криминалистические инструменты, например Sleuth Kit, поддерживают непосредственную работу с набором разделенных образов без необходимости сначала собирать их. Чтобы перечислить поддерживаемые образы в Sleuth Kit, примените флаг -i list с любым инструментом Sleuth Kit для обработки образов:

В этом примере поддерживаются разделенные необработанные образы (включая файлы Unix split), разделенные образы AFF и разделенные файлы EnCase (хотя явно это не сказано, разделенные файлы EnCase поддерживаются). Некоторые из этих типов форматов образов, возможно, потребуется явно включить при компиляции Sleuth Kit.

В следующем примере образ EWF разделен на 54 части. Выполнение команды img_stat для первого файла предоставляет сведения о полном наборе файлов:

С помощью различных инструментов можно непосредственно работать с разделенными образами. Большинство команд Sleuth Kit работает с набором разделенных необработанных файлов, если указан первый файл типа разделенного образа.

Современные версии Sleuth Kit автоматически проверяют наличие наборов разделенных файлов:

В более ранних версиях Sleuth Kit может потребоваться указать тип разделенного образа:

Чтобы проверить, распознан ли набор разделенных файлов, команда img_stat покажет общее число распознанных байтов, а для необработанных типов - диапазоны смещений байтов каждой части:

Альтернативный способ определить поддержку разделенных файлов - запустить команду или инструмент с strace -e open и проверить, открывает ли он каждую часть разделенного файла.

Разделение файлов и работа с набором разделенных файлов полезны, но иногда их необходимо собрать в единый образ. Это показано в следующем разделе.

Собирать разделенные криминалистические форматы обычно не требуется, поскольку инструменты, совместимые с определенным криминалистическим форматом (EWF, SMART или AFF), должны поддерживать разделенные файлы.

Поскольку необработанный образ не содержит заголовка или метаданных, сборка сводится к объединению набора фрагментов образа в единый образ. Аккуратно выполнять это следует в два этапа, как показано здесь:

Флаг ls -1 перечисляет файлы, распознанные шаблоном подстановки оболочки. Обязательно подтвердите полноту и правильный порядок списка, прежде чем объединять файлы в единый образ. Если части разделенного образа отсутствуют или порядок файлов неверен, собранные части не образуют правильный криминалистический образ.

Если вы получили стопку DVD, каждый из которых содержит фрагмент сжатого необработанного образа, собрать их можно следующим образом:

Здесь DVD последовательно вставляются и монтируются в /dvd, а разделенные части добавляются до восстановления файла образа. Обратите внимание: > в первой команде cat создает файл образа, а >> в последующих командах добавляет данные (не перезаписывая его). После добавления всех частей в файл назначения криптографический хеш распакованного образа должен совпасть с полученным во время приобретения.

Набор разделенных файлов сжатого образа можно также распаковать и собрать, передав все разделенные файлы по конвейеру в zcat и перенаправив вывод в файл:

Полезный метод AFFlib позволяет виртуально собрать набор фрагментов с помощью файловой системы FUSE. Инструмент affuse может представить набор разделенных файлов как полностью собранный файл необработанного образа следующим образом:

Здесь каталог с необработанными файлами представлен как единый файл образа диска, находящийся в виртуальной файловой системе /mnt. С этим необработанным файлом можно непосредственно работать криминалистическими инструментами.

Проверка криптографического хеша образа имеет основополагающее значение для цифровой криминалистики и составляет основу сохранения цифровых доказательств. В этом разделе приведены примеры проверки криптографических хешей и подписей образа.

Проверка сохранности доказательств предполагает подтверждение того, что текущий криптографический хеш образа идентичен хешу, полученному ранее. Хеширование можно использовать для проверки успешности операции с диском или образом (получения, преобразования, передачи, резервного копирования и так далее). Его также можно использовать для проверки того, что диск или файл образа не подвергался вмешательству в течение более продолжительного времени (месяцев или даже лет).

Требования к хешированию (процедуры и алгоритмы) зависят от правовой юрисдикции применения и организационных правил, регулирующих криминалистическую лабораторию. Поэтому рекомендации по хешированию здесь не приводятся.

Если после получения диска необходимо проверить хеш получения, это простая (но, возможно, длительная) задача передачи содержимого диска по конвейеру программе криптографического хеширования. Использование другой программы для проверки хеша диска обеспечивает независимую проверку на уровне инструментов. Например:

Здесь вывод img_stat показывает хеш MD5 получения данных, записанный инструментом создания образов EnCase. Затем для повторного вычисления хеша необработанного дискового устройства используется второй инструмент, обычный dd. В этом примере два хеша MD5 совпадают, подтверждая сохранение целостности доказательств.

Каждый из криминалистических форматов и криминалистических инструментов на основе dd может записывать или регистрировать значение хеша образа диска. Для проверки записанного хеша можно повторно вычислить хеш образа диска. В следующем примере хеш был записан во время получения с помощью dc3dd и сохранен в hashlog.txt. Хеш можно проверить следующим образом:

Хеши совпадают, подтверждая согласованность файла доказательств и журнала хешей и тем самым указывая, что целостность доказательств сохранена.

Следующий пример проверяет образ по хешу, хранящемуся в метаданных формата EnCase. В этом примере для проверки хеша используется специализированный инструмент ewfverify:

Здесь повторно вычисленный хеш совпадает, подтверждая согласованность файла образа EWF. Этот инструмент автоматически проверяет хеш набора разделенных файлов криминалистического формата EnCase.

Инструмент affinfo выполняет сходную проверку действительности файлов AFF. В этом примере проверяется хеш SHA1:

Этот вывод подтверждает, что хеш образа внутри файла AFF совпадает с хешем, записанным в метаданных AFF.

Вычислить криптографический хеш набора необработанных разделенных файлов несложно: объединенные части можно передать по конвейеру программе хеширования. В этом примере вычисляется хеш SHA256 набора разделенных необработанных файлов:

В этом примере предполагается, что имена файлов частей можно отсортировать в правильном порядке (здесь это можно проверить командой ls -1 image.raw.*). Команда cat необходима, поскольку она объединяет (собирает) все части перед передачей по конвейеру в sha256sum.

Криптографический хеш образа, который был сжат и разделен на части, можно проверить, создав конвейер команд из нескольких программ. В следующем примере cat собирает образ и передает его по конвейеру в zcat для распаковки. Вывод zcat отправляется программе хеширования, которая после завершения создает значение хеша:

Здесь команда cat необходима, поскольку она объединяет все разделенные части перед передачей в zcat. Команда zcat image.raw.gz.* завершится неудачей, поскольку попытается распаковать каждую часть, а не собранный образ.

В сообществе Unix выражение useless use of cat (UUOC) обозначает использование команды cat для отправки файла команде в случае, когда вместо нее можно было применить <. Традиционные сообщества Unix присуждали награды UUOC, поощряя более эффективное применение перенаправления команд оболочки. Однако в примерах этого раздела cat действительно необходима, поскольку выполняет функцию объединения.

По мере старения дисков, а также их перевозки и обращения с ними существует риск повреждения, возможно приводящего к появлению поврежденных секторов. Если на исходном диске доказательств после первого создания образа возникают ошибки нечитаемых секторов, криптографическая контрольная сумма диска не совпадет. В этом случае ценны окна хеширования, поскольку они позволяют точнее определить, какая часть диска не совпала. Что еще важнее, окна хеширования могут показать, какие области диска все еще сохранены, даже если хеш всего диска не совпал.

Указанный размер окна хеширования определяет, как часто записывается новый хеш при получении диска или проверке окон хеширования диска. При сравнении двух списков хешей для проверки оба списка должны использовать одинаковый размер окна хеширования. Чтобы найти несовпадающие области, два журнала хешей можно сравнить инструментом Unix diff.

В следующем примере образ диска был создан с помощью dcfldd и сохранен журнал хешей с размером окна 10 Мбайт. Последующая проверка не смогла подтвердить MD5 всего диска и предоставила новый журнал хешей, также с размером окна 10 Мбайт:

Этот вывод показывает несовпадающие хеши всего образа и диапазона байтов между 20971520 и 31457280. Деление на размер сектора 512 байт определяет диапазон секторов от 40960 до 61440, где возникло несовпадение хешей. Хеши остальной части диска по-прежнему действительны; криминалистически не сохранены только сектора с несовпадающими хешами. Содержимое (блоки, файлы, части файлов и так далее), находящееся в диапазоне секторов с несовпадающими хешами, на более позднем этапе можно исключить из представляемых доказательств. Если два криптографических хеша полного образа совпадают, можно считать, что все окна хеширования также совпадают.

Криптографические хеши криминалистических образов сохраняют целостность собранных доказательств. Однако сами значения хешей не защищены от злоумышленного или случайного изменения. Целостность вычисленных хешей можно сохранить с помощью криптографического подписания и временных меток. Проверка действительности подписей и временных меток показана в следующем разделе.

В предыдущей главе было продемонстрировано применение GnuPG для подписания хешей диска. Подпись можно проверить, не располагая закрытым ключом подписавшего лица. Сам человек, подписавший доказательства, не нужен; требуется только его открытый ключ. В этом примере проверяется подпись GPG лица, подписавшего полученный образ диска:

Здесь содержимое подписанного сообщения (вывод получения данных и хеш) отображается вместе с сообщением GPG, указывающим, что подпись действительна.

Для сообщений, подписанных S/MIME, сходная команда проверит (или признает недействительной) подпись из файла PEM и выглядит следующим образом:

В главе 6 рассматривалось применение служб временных меток для создания временных меток RFC-3161 центром временных меток. Проверка временной метки сходна с проверкой подписи S/MIME и требует установки правильной цепочки сертификатов центра сертификации (CA), чтобы проверка прошла успешно. В этом примере проверяется созданная ранее временная метка FreeTSA (http://freetsa.org/).

Если сертификат CA службы временных меток не установлен в системе, его можно получить вручную. Сертификат TSA должен был вернуться в составе временной метки при выполнении запроса (из-за флага -cert). Для этого примера сертификат CA загружается из FreeTSA следующим образом:

Если сертификаты CA и TSA доступны OpenSSL и действительны, временную метку можно проверить следующим образом:

Команда OpenSSL ts используется для проверки временной метки. Передаются запрос временной метки (tsq) и ответ временной метки (tsr), а в этом примере указывается файл с сертификатом CA сервера временных меток. Временная метка третьей стороны действительна (Verification: OK), что указывает, что файл (и содержащиеся в нем хеши криминалистического получения) не был изменен с указанного времени. Если определенный центр временных меток предполагается использовать постоянно, сертификаты CA можно добавить в доверенное хранилище CA операционной системы.

AFFlib также предусматривает подписание и проверку подписей полученных образов с помощью сертификатов X.509.

В этом разделе не рассматривались сеть доверия или инфраструктура открытых ключей (PKI), необходимые для доверия ключам, применяемым для подписания образов и проверки временных меток. В примерах предполагается, что такое доверие уже установлено.

Преобразование между форматами криминалистических образов может быть выгодно по разным причинам. Если в лаборатории появилось новое программное обеспечение или инфраструктура, а текущий формат не поддерживается либо менее эффективен, можно рассмотреть преобразование в другой формат. Если образ будет передан третьей стороне, у нее может быть предпочтительный формат образа. Если вы получаете образ от третьей стороны, возможно, захотите преобразовать его в предпочитаемый вами формат. В этом разделе приведены примеры преобразования между форматами в командной строке. Показано преобразование из нескольких исходных форматов, включая EnCase, FTK, AFF и необработанные образы. Кроме того, примеры демонстрируют преобразование различных форматов в контейнеры доказательств SquashFS.

При преобразовании между форматами образов предпочтительно использовать конвейеры и перенаправление. Избегайте инструментов, использующих временные файлы. Во время преобразования могут одновременно существовать две копии образа (одна или обе могут быть сжаты). При подготовке к преобразованию выполните планирование емкости.

После преобразования проверьте совпадение значений хешей исходного образа и назначения.

Преобразовать необработанный образ в другой формат обычно несложно, поскольку можно использовать обычную функцию создания образа диска. Вместо имени необработанного устройства применяется имя файла необработанного образа.

В следующих примерах файл необработанного образа преобразуется в форматы EnCase и FTK. В первом примере ewfacquire преобразует image.raw в формат EnCase Expert Witness:

Здесь указанным исходным файлом является необработанный образ, а -t задает базовое имя целевых файлов EnCase *.e01. Была указана версия EnCase 7, а при выполнении команда задает ряд вопросов. Поскольку необработанный файл не содержит метаданных дела, их необходимо ввести вручную.

Преобразование необработанного образа в FTK SMART сходно: необработанный образ задается как источник, а метаданные дела добавляются вручную. При использовании ftkimager метаданные дела указываются в командной строке, как показано в этом примере:

Флаг --s01 задает создание сжатого образа SMART. Базовое имя файла задается просто как image, а соответствующие расширения файлов добавляются автоматически.

Преобразование образа в контейнер криминалистических доказательств SquashFS также выполняется одной простой командой при использовании сценария sfsimage:

Здесь файл необработанного образа был указан вместе с именем файла контейнера SquashFS назначения. Сценарий sfsimage создает требуемое псевдоустройство SquashFS и добавляет сведения журнала и хешей как обычные текстовые файлы. Дополнительные метаданные дела можно вручную добавить в контейнер доказательств (с помощью sfsimage -a).

К обычному необработанному образу, сжатому gzip, нельзя обращаться напрямую типичными криминалистическими инструментами из-за невозможности выполнять поиск (произвольно обращаться к любому блоку файла) внутри файла gzip. Такие файлы лучше преобразовывать в сжатые форматы с поддержкой поиска. Тогда с ними можно работать непосредственно криминалистическими аналитическими инструментами. В этом примере необработанный файл образа, сжатый gzip, преобразуется с помощью sfsimage в сжатый файл SquashFS:

Исходный файл остается в необработанном виде, но теперь находится внутри сжатой файловой системы. Полученный файл *.sfs можно смонтировать для доступа к необработанному образу, как показано здесь:

Файл необработанного образа можно преобразовать в файл AFF простой командой affconvert:

После этого метаданные дела можно добавить отдельным инструментом, например affsegment. Инструмент affconvert предоставляет разумные стандартные параметры сжатия, а полученный файл имеет расширение *.aff и базовое имя необработанного файла.

Следующий, заключительный пример показывает преобразование необработанного образа внутри контейнера криминалистических доказательств SquashFS в файл AFF с помощью команды affconvert:

Поскольку SquashFS доступна только для чтения, необходимо указать affconvert записывать выходной файл в другой каталог, доступный для записи.

Инструмент командной строки ftkimager преобразует форматы EnCase и FTK друг в друга и позволяет использовать stdin и stdout для преобразования с файлами необработанных образов.

В следующем примере набор сжатых файлов FTK SMART *.s01 преобразуется в формат EnCase EWF *.E01:

Метаданные дела не переносятся в новый формат, но автоматически сохраняются в отдельный файл (image.E01.txt).

ftkimager может преобразовывать файлы SMART *.s01 в stdout, откуда их можно перенаправить в файлы необработанных образов или передать по конвейеру другим программам. В следующем примере набор файлов FTK SMART преобразуется в контейнер криминалистических доказательств SquashFS посредством передачи вывода ftkimager по конвейеру в sfsimage:

При преобразовании из формата FTK в необработанный образ диска метаданные дела не переносятся. Метаданные дела, обычно находящиеся в отдельном текстовом файле, необходимо сохранить вручную. Их можно добавить в контейнер SquashFS, как показано в предыдущем примере с командой sfsimage -a.

После выполнения преобразования формата любого вида следует отдельно проверить значение хеша формата назначения, чтобы убедиться в сохранении целостности доказательств.

Инструмент affconvert может преобразовывать образы AFF в необработанный образ (и необработанный образ в формат AFF). affconvert не использует stdin или stdout, а читает или создает самостоятельные файлы. Следующий простой пример показывает преобразование файла AFF в необработанный образ:

Чтобы преобразовать необработанный образ в формат AFF, просто выполните affconvert image.raw, и будет создан соответствующий файл image.aff.

Для конвейеров и перенаправления с файлами AFF можно использовать инструмент affcat. Предыдущий пример также можно выполнить с affcat, перенаправив вывод в файл (без каких-либо сведений о состоянии или завершении, что полезно для сценариев):

Чтобы преобразовать образ AFF в EnCase или FTK, инструмент affcat может передать образ через stdout или stdin соответствующему инструменту, создающему новый образ в нужном формате. Например, преобразовать AFF в сжатый образ FTK SMART можно так:

Здесь - обозначает файловый дескриптор stdin, получающий данные необработанного образа, image является базовым именем файла, а заключительный флаг --s01 задает сжатый формат.

Аналогичным образом преобразование в различные форматы EnCase можно выполнять с помощью ewfacquirestream. Например:

В предыдущих примерах преобразования AFF метаданные дела (название дела, имя эксперта, время получения, хеши и так далее) не сохраняются при преобразовании AFF в другие форматы. Но эти сведения можно экспортировать с помощью affinfo, а затем вручную добавить или сохранить в формате назначения. В зависимости от инструмента метаданные также можно включать флагами командной строки, как в предыдущем примере с -C 42 -E 1 -e "S. Holmes" -D "Data theft case".

Этот заключительный пример демонстрирует преобразование файла AFF в сжатый контейнер криминалистических доказательств SquashFS с помощью sfsimage:

Метаданные из файлов AFF можно извлечь с помощью affinfo, а затем добавить в контейнер криминалистических доказательств SquashFS следующим образом:

После преобразования образа сравните значения хешей исходного образа и назначения, чтобы убедиться в совпадении.

Важная, но часто игнорируемая составляющая цифровой криминалистики - информационная безопасность. Сведения, получаемые и извлекаемые в ходе исследования, следует считать конфиденциальными и надлежащим образом защищать.

Потеря конфиденциальности данных может иметь нежелательные последствия. Например, она может нарушить требования организационных правил, поставить под угрозу соблюдение юридических и нормативных требований, вызвать проблемы с конфиденциальностью потерпевших и повредить репутации расследующей организации. Недостаточная защита полученных доказательств может причинить ущерб любой из участвующих сторон, включая следователей и их работодателя, потерпевшего, обвиняемого и другие участвующие стороны. Утечка сведений также может помешать продолжающемуся расследованию или поставить его под угрозу.

В этом разделе основное внимание уделяется методам обеспечения защиты сведений, в частности поддержанию безопасности во время передачи и хранения данных (как долгосрочного, так и краткосрочного). Добавление защиты образов увеличивает сложность и время, необходимые для шифрования и последующего расшифрования образов, но приведенные здесь примеры стремятся сделать этот процесс как можно более простым и эффективным. Вместо более сложных систем PKI или сетей доверия используется базовое симметричное шифрование.

Помимо методов, показанных в этом разделе, для шифрования можно использовать формат архива ZIP. Современные версии с расширениями ZIP64 поддерживают размеры файлов свыше 4 Гбайт. Преимущество ZIP - высокая совместимость с другими платформами, например Windows.

С помощью симметричного шифрования можно легко шифровать образы дисков для защиты во время передачи по сети или хранения. Шифрование GNU Privacy Guard (GPG) предоставляет свободную реализацию стандарта OpenPGP, определенного RFC-4880. Это альтернатива традиционному шифрованию PGP, созданному Филом Циммерманом в начале 1990-х годов.

При использовании GPG полезно запускать агент. (При использовании gpg2 агент запускается автоматически.) Обычно это делается при входе в систему следующей командой:

Во всех последующих примерах применяется флаг -v для повышения подробности. Благодаря этому вывод полезнее для документирования (как в этой книге, так и при создании официальных криминалистических отчетов с описанием выполненных действий).

Использовать GPG для шифрования существующего образа очень просто:

Запрашивается парольная фраза, и образ шифруется стандартным алгоритмом симметричного шифрования, создавая новый файл с расширением .gpg. Размер образа уменьшается, поскольку GPG при шифровании выполняет сжатие. Это видно здесь:

В предыдущем примере показано шифрование файла на месте. Но шифрование можно также выполнять на лету во время получения:

Здесь dcfldd получает подключенный диск через /dev/sde и передает его непосредственно программе GPG. Затем зашифрованный вывод GPG перенаправляется в файл. Команда sudo повышает привилегии до root, чтобы прочитать необработанное устройство.

Расшифровать зашифрованный GPG образ так же просто, как зашифровать. Отличия состоят только в применении флага расшифрования и необходимости указать выходной файл (по умолчанию вывод отправляется в stdout). В следующем примере файл образа, зашифрованный GPG, расшифровывается в обычный (незащищенный) файл:

Этот пример демонстрирует симметричное шифрование без подписания. Для шифрования, расшифрования и подписания образов можно также использовать открытые и закрытые ключи GPG. Целостность проверяется сравнением хеша зашифрованного GPG образа с хешем файла необработанного образа следующим образом:

При расшифровании образа необходимо выполнить планирование емкости. После расшифрования будут существовать две копии образа (одна или обе могут быть сжаты).

Зашифрованный GPG файл не поддерживает поиск, поэтому непосредственно работать с его содержимым криминалистическими аналитическими инструментами нельзя.

Другие криптографические системы также могут обеспечивать защиту образов дисков. Набор инструментов OpenSSL (http://www.openssl.org/) предоставляет ряд алгоритмов для шифрования файлов. Например, чтобы зашифровать образ паролем с помощью 256-битного AES в режиме сцепления блоков шифротекста, используйте эту команду:

OpenSSL обладает гибкостью в отношении типов и режимов шифров, предоставляя десятки вариантов. Поддерживаются также конвейеры и перенаправление; можно легко выполнять шифрование во время получения, например:

Расшифрование файла, зашифрованного OpenSSL, также относительно несложно при условии, что известен алгоритм шифрования:

Добавление флага -d означает, что это операция расшифрования (enc указывает на использование симметричных шифров). Поскольку OpenSSL не предоставляет автоматического способа определить использованное симметричное шифрование, важно документировать способ шифрования файла.

Если OpenSSL не был специально скомпилирован с zlib, он не сжимает файлы. Чтобы добавить сжатие на лету во время получения, добавьте в конвейер gzip:

Чтобы проверить криптографический хеш образа, можно выполнить сходный конвейер команд:

Здесь команда расшифрования принимает как входные данные сжатый и зашифрованный файл и передает расшифрованный вывод по конвейеру в gunzip, который выводит необработанный образ программе хеширования.

Некоторые реализации ZIP также поддерживают встроенное шифрование и могут использоваться для защиты образов и других файлов доказательств.

GPG и OpenSSL - хорошо известные инструменты выполнения различных задач шифрования, обеспечивающие совместимость и взаимодействие с другими инструментами. Однако они не разработаны для цифровой криминалистики, и зашифрованные файлы образов нельзя непосредственно использовать стандартными криминалистическими инструментами (их сначала необходимо расшифровать).

Некоторые версии популярных криминалистических форматов, обсуждаемых в книге, поддерживают зашифрованные образы с произвольным доступом.

Программа ftkimager может защищать файлы образов паролем или сертификатом. Здесь показан пример шифрования паролем (monkey99) во время получения:

Попытка обратиться к зашифрованному образу без пароля или с неправильным паролем создаст следующие сообщения об ошибках:

Для работы с зашифрованным образом необходимо включить пароль в командную строку следующим образом:

Некоторые версии формата EWF поддерживают шифрование; на момент написания книги поддержка в libewf находилась на разных этапах разработки. Актуальное состояние поддержки зашифрованных форматов см. в последней версии исходного кода.

Комплект AFFlib позволяет непосредственно обращаться к зашифрованным образам через библиотеку Advanced Forensics Format (AFF). С самого начала AFFlib разрабатывалась с учетом информационной безопасности. Она имеет ряд возможностей шифрования для защиты криминалистических образов, включая шифрование на основе пароля (симметричное) и сертификата (X.509). Защиту можно добавить к существующему полученному образу с помощью инструмента affcrypto. Вот пример:

Современные версии dd_rescue реализуют интерфейс подключаемых модулей и на момент написания книги имели модули для сжатия LZO, криптографического хеширования и симметричного шифрования (AES). В следующем примере показано создание образа диска (/dev/sdc) и сохранение вывода в зашифрованном виде с помощью модуля AES:

Если эксперты криминалистической лаборатории предполагают большой объем шифрования, подписания и присвоения временных меток образам и доказательствам, стоит инвестировать в использование PKI. Это может быть внутренняя система PKI или внешний коммерческий поставщик PKI.

Примеры предыдущих разделов были сосредоточены на защите отдельных файлов или файловых контейнеров. Альтернативный вариант - защитить весь накопитель, на котором находятся файлы образов. Это можно сделать шифрованием файловой системы, аппаратно, в пользовательском пространстве или в ядре. В этом разделе приведено несколько примеров.

На рынке существуют защищенные внешние накопители большой емкости, которые можно использовать для безопасной перевозки файлов образов, например ThinkPad Secure Hard Drive компании Lenovo, один из которых показан на рис. 7-1. Эти накопители не зависят от операционной системы и шифруют содержимое с помощью PIN-кода, вводимого на физической клавиатуре устройства.

Рис. 7-1. Защищенный жесткий диск ThinkPad

TrueCrypt когда-то был самой популярной бесплатной кроссплатформенной программой для файловых систем. Но в мае 2014 года неожиданное и необъяснимое объявление разработчиков рекомендовало искать альтернативы TrueCrypt, поскольку разработка была прекращена. В результате появилось несколько ответвлений и совместимых проектов; некоторые из них перечислены здесь:

• VeraCrypt: https://veracrypt.codeplex.com/

• tc-play: https://github.com/bwalex/tc-play

• CipherShed: https://ciphershed.org/

• zuluCrypt: http://mhogomchungu.github.io/zuluCrypt/ (не реализация TrueCrypt, но заслуживающий упоминания диспетчер TrueCrypt)

В остальных примерах этого раздела используется VeraCrypt. На момент написания книги VeraCrypt активно разрабатывался и набирал популярность как альтернатива TrueCrypt.

В следующем примере полностью шифруется пустой внешний накопитель. Затем зашифрованный контейнер можно использовать для безопасной передачи или хранения данных доказательств. Инструмент veracrypt задает ряд вопросов о настройке зашифрованного контейнера. Обратите внимание, что в этом примере /dev/sda - накопитель эксперта, а не исследуемый накопитель.

Теперь накопитель инициализирован как контейнер VeraCrypt (это может занять много времени в зависимости от скорости ПК и размера накопителя). Чтобы смонтировать том VeraCrypt, используется простая команда с исходным устройством и точкой монтирования:

Для безопасного удаления устройства необходимо "размонтировать" том VeraCrypt; это также выполняется простой командой, указывающей точку монтирования:

После этого накопитель можно физически отключить от системы. Зашифрованный накопитель в этом примере является целым необработанным устройством, но можно также использовать файл-контейнер VeraCrypt. Точка монтирования в этом примере - /mnt, но она может находиться в любом месте файловой системы.

Существуют и другие системы полнодискового шифрования, которые можно использовать для защиты файлов криминалистических образов и других данных. Для создания зашифрованного накопителя для хранения и перевозки можно использовать самошифрующиеся накопители (SED), подробно рассмотренные в разделе "Идентификация и разблокирование самошифрующихся накопителей Opal" на странице 128, с командой sedutil-cli. Шифрование файловой системы, например Linux LUKS и dm-crypt, предоставляет сходные уровни защиты. Хотя эти системы шифрования защитят данные доказательств на накопителе, они могут быть несовместимы с другими операционными системами (например, Windows или OS X).

В некоторых ситуациях клон или дубликат диска предпочтительнее файла образа. Каждый дубликат представляет собой точную посекторную копию исходного диска. Криптографическая контрольная сумма нового клонированного диска совпадает с исходной. Клон диска может быть полезен по нескольким причинам:

• Для применения аналитических инструментов и методов, которым требуется запись на диск

• Для загрузки ПК с клоном диска

• Для восстановления массивов RAID с помощью закрытых контроллеров

Клонирование дисков - несложный процесс; по сути, это получение данных в обратном направлении. Обязательно соблюдайте осторожность при дублировании, поскольку можно уничтожить данные, если по ошибке использовать неправильное устройство назначения.

Размер (число секторов) диска назначения, то есть клона, должен быть равен размеру исходного диска или превышать его. Поскольку клонирование предполагает посекторное копирование, диск назначения должен иметь емкость, достаточную для всех секторов исходного диска. В некоторых случаях больший диск назначения не создает проблем, поскольку ПК и операционная система ограничатся тем, что определено в таблице разделов, и проигнорируют остальную часть диска. В других случаях важно дублировать точное число секторов диска, поскольку программы и инструменты могут ожидать определенные номера секторов. Примеры включают анализ разделов GPT (где резервная копия хранится в конце диска), систем RAID и некоторых разновидностей вредоносных программ, частично находящихся в заключительных секторах диска.

Безопасное стирание (с заполнением секторов нулями) диска назначения перед клонированием критически важно для удаления следов предыдущих данных и снижения риска загрязнения клона.

HPA можно использовать для имитации того же числа секторов на клонированном диске, что и на исходном.^[2] Установка HPA на клонированном диске полезна, если ожидается точное совпадение числа секторов с исходным диском. Это особенно важно при восстановлении системы RAID с закрытым контроллером или дублировании диска с данными, ожидаемыми в заключительных секторах.

В этом примере HPA на диске размером 500 Гбайт настраивается для дублирования накопителя размером 120 Гбайт. Исходный диск сообщает о 234441648 секторах по 512 байт, и это значение можно использовать для установки максимального числа видимых секторов на диске-клоне. Используйте следующие команды:

Первая команда hdparm -N показывает исходное состояние с 500 Гбайт доступных секторов и отключенной HPA. Вторая команда hdparm требует флага --yes-i-know-what-i-am-doing для настройки опасных параметров, например изменения числа секторов. Параметр -N p234441648 задает число секторов. Перед ним стоит буква p, чтобы изменение сохранялось после перезапуска накопителя. Заключительная команда hdparm проверяет, сообщает ли накопитель теперь новое число секторов, которое совпадает с числом секторов клона (120 Гбайт).

Чтобы записать образ на новый диск, используйте те же инструменты, что и при получении диска, но в обратном направлении.

Клон диска можно создать непосредственно с исходного диска подозреваемого или из ранее полученного файла образа с помощью стандартных утилит dd. В этом примере показана запись файла необработанного образа на диск-клон с помощью dc3dd:

Теперь криптографический хеш можно сверить с исходным. Если число секторов исходного диска и клона не совпадает, либо возникнет ошибка (если на клоне недостаточно секторов для завершения дублирования), либо значения хешей не совпадут.

Набор разделенных образов, сжатых образов или зашифрованных образов можно записать обратно на диск-клон, не создавая сначала обычный файл образа.

Для создания дисков-клонов можно также использовать необработанные форматы, например AFF, EnCase EWF или FTK SMART. Если определенный криминалистический инструмент не может записать образ обратно на устройство, он, возможно, способен передать необработанный образ по конвейеру программе dd, которая это умеет.

Безопасное и успешное управление передачей и долгосрочным хранением криминалистических образов требует обдумывания и планирования. Часто возникают ситуации, когда образ необходимо передать другой стороне, например другому отделу крупной организации, независимой сторонней криминалистической компании или правоохранительному органу.

На способ передачи влияют несколько факторов, прежде всего объем и безопасность данных. Кроме того, в зависимости от организации может потребоваться учитывать юридические и нормативные требования, а также требования организационных правил. Например, глобальный банк может не иметь возможности передавать некоторые образы дисков через государственные границы из-за банковских норм, запрещающих вывоз данных клиентов за пределы страны.

Долгосрочное хранение образов также требует обдумывания и планирования. Если образ будет вновь открыт через несколько лет, персонал, инструменты и инфраструктура могут быть уже другими. Важно документировать сохраненные данные и поддерживать обратную совместимость с программами, применявшимися в прошлом.

В прошлом для передачи полученных образов накопителей использовалась стопка CD или DVD. Благодаря сжатию и разделению применение этих носителей было дешевым и осуществимым способом передачи. Сегодня распространены диски на 4 и 6 Тбайт, а диски на 10 Тбайт уже представлены на потребительском рынке. Оптические диски больше не являются практичным носителем передачи для современных больших образов даже со сжатием. Однако для полноты здесь приведено несколько примеров.

В следующем простом примере показана запись файла SquashFS на CD-ROM. Команда mkisofs является символической ссылкой на genisoimage и используется для создания файловой системы, записываемой на диск инструментом wodim.

Вот простой пример записи образа на DVD. Инструмент growisofs начинался как интерфейс к genisoimage, а затем превратился в инструмент общего назначения для записи DVD и Blu-ray.

В следующем примере показана запись образа на диск Blu-ray с помощью команды growisofs:

Запись больших образов на оптические диски в Linux может иметь особенности. В зависимости от используемого накопителя и носителя может наблюдаться неожиданное или непоследовательное поведение. Обязательно испытайте совместимость накопителей и носителей перед применением в рабочей среде.

Создание стопки оптических дисков из набора разделенных и сжатых образов требует систематического процесса, который может занимать много времени и быть подвержен ошибкам. Максимальная емкость дисков Blu-ray в настоящее время составляет 100 Гбайт (BD-R XL). Стоимость одного гигабайта на дисках Blu-ray выше стоимости одного гигабайта на дешевых жестких дисках.

С учетом человеческих усилий, риска ошибки, времени, необходимого для записи данных на оптические диски, и стоимости гигабайта простая покупка и применение дешевых жестких дисков становится привлекательным вариантом автономного хранения и передачи криминалистических образов.

Некоторые вопросы получения образов по сети уже рассматривались в главе 6.

Передача больших полученных образов по сети может занимать много времени и насыщать внутреннюю корпоративную сеть или интернет-канал. Во время таких длительных сетевых передач могут также происходить разрывы соединения и истечения времени ожидания.

Передача больших криминалистических образов между узлами сети далеко не так быстра, как их передача между дисками локальной машины. Чтобы представить скорости пропускной способности сети в перспективе, полезно сравнить их с распространенными скоростями дисков. В табл. 7-1 сравниваются два быстрых интерфейса накопителей и два быстрых сетевых интерфейса.

Таблица 7-1. Скорости передачи распространенных интерфейсов

Более подробное сравнение различных скоростей передачи см. на странице Wikipedia https://en.wikipedia.org/wiki/List_of_device_bit_rates.

В зависимости от пропускной способности сети и размера образа физическая доставка контейнера хранения с полученными исследуемыми образами может оказаться быстрее сетевой передачи.

Но в некоторых ситуациях безопасная передача данных по сети необходима. Обеспечение безопасности во время передачи может иметь определенные побочные эффекты, например повышение сложности или снижение производительности. Для сетевой передачи данных по недоверенным или неизвестным сетям можно применять несколько стандартных защищенных протоколов, включая SSL/TLS, ssh/sftp или IPSEC.

В следующем простом примере показана передача файла криминалистического образа с помощью scp (secure copy) из пакета OpenSSH:

Здесь файл образа (image.raw) копируется по незащищенной сети в определенный каталог данных на удаленном сервере. Применение scp имеет несколько преимуществ, включая надежные алгоритмы шифрования, встроенное сжатие, состояние хода работы в реальном времени, расчетное время завершения и надежные возможности аутентификации. Что особенно важно для экспертов-криминалистов, scp поддерживает очень большие размеры файлов (при условии, что двоичный файл программы скомпилирован с 64-битной поддержкой больших файлов) и легко способен передавать большие образы дисков.

Если файл образа уже зашифрован, защита нижележащего канала может быть менее важна, и можно применять традиционные протоколы передачи файлов, например File Transfer Protocol (FTP) или Windows Server Message Block (SMB). Однако при использовании незащищенных протоколов со слабой аутентификацией для передачи зашифрованных файлов следует подтвердить целостность файла, проверив криптографический хеш после завершения передачи.

Всякий раз, когда диск выбрасывается или используется повторно либо временные файлы больше не нужны, предпринимайте тщательные меры для надлежащего стирания содержимого. Для этой цели доступно несколько способов очистки и безопасного удаления из командной строки.

В некоторых ситуациях потребуется безопасно стереть отдельные файлы, но не весь диск. Например, может потребоваться удалить временные полученные образы в основной системе получения данных. В таком сценарии разумно использовать уничтожитель или очиститель файлов, поскольку это снижает риск уничтожения других данных на рабочей станции эксперта.

Стандартный пакет Linux coreutils включает инструмент shred, который пытается безопасно удалить файлы, как показано здесь:

Пакет программ secure_deletion toolkit предоставляет набор инструментов, которые пытаются стирать пространство подкачки, кеш, память, inode и файлы. В частности, srm стирает отдельный файл. Другой инструмент командной строки, wipe, также стирает файлы.

Стирание отдельных файлов - сложный процесс, зависящий от множества переменных, связанных с операционной системой и используемой файловой системой. Нет гарантий, что все фрагменты стертого или уничтоженного файла полностью уничтожены.

Стирание целых физических накопителей предполагает запись нулей или случайных байтов в каждый доступный пользователю сектор накопителя. Это не гарантирует стирания всех скрытых или недоступных пользователю областей физического накопителя. Сектора, защищенные HPA или DCO (которые можно удалить), переназначенные поврежденные сектора, избыточные области флеш-накопителей и недоступные системные области накопителя не доступны пользователю и поэтому не могут быть стерты обычными инструментами Linux. Несмотря на это, стирание всех доступных пользователю секторов все же предоставляет разумный уровень уверенности, поэтому это тщательный способ удаления данных при повторном использовании накопителей внутри лаборатории.

В зависимости от отношения конкретной организации к риску и ее правил удаление данных может требовать одного или нескольких из следующих действий:

• Не выполнять стирание, только обычное переформатирование

• Стереть все видимые сектора одним проходом нулей

• Стереть все видимые сектора несколькими проходами случайных данных

• Физически размагнитить накопители

• Физически измельчить накопители

Требуемый способ удаления представляет собой основанное на риске решение, зависящее от конфиденциальности данных на накопителе, возможной заинтересованности в восстановлении данных, стоимости и усилий восстановления и других факторов.

В первом примере dc3dd используется для записи нулей в каждый видимый сектор диска. Инструмент dc3dd имеет встроенную функцию стирания, которую можно использовать следующим образом:

Эту задачу можно также выполнить с помощью dd, используя /dev/zero как входной файл, но dc3dd работает быстрее.

Чтобы подтвердить стирание диска нулями, можно использовать dd для чтения диска в программу шестнадцатеричного дампа:

Если весь диск заполнен нулями, инструмент шестнадцатеричного дампа (hd) выведет одну строку нулей, за которой следует звездочка (*), указывающая на повторение шаблона по всему диску.

Если результат показывает только нули, доступные пользователю сектора накопителя успешно стерты.

В следующем примере используется инструмент nwipe, ответвление Darik's Boot and Nuke (dban). nwipe позволяет задавать различные стандарты стирания, случайность и число раундов и предоставляет файл журнала действий. Здесь показан вариант стирания канадской RCMP TSSIT OPS-II:^[3]

При стирании накопителей убедитесь, что DCO и HPA удалены. Для накопителей NVME убедитесь, что стерто каждое отдельное пространство имен (у большинства потребительских накопителей NVME имеется только одно пространство имен).

Стандарт ATA определяет команду безопасного стирания, которую можно отправить непосредственно накопителю для стирания диска. Команда ATA SECURITY ERASE UNIT записывает нули во все доступные пользователю сектора диска. Команда EXTENDED SECURITY ERASE записывает вместо нулей заранее определенный шаблон (заданный производителем накопителя).

Запуск hdparm отображает возможности и состояние защиты накопителя. Также предоставляется расчетное время, необходимое для безопасного стирания накопителя:

Некоторые накопители отклоняют команду стирания, если сначала явно не задать пароль. В следующем примере использовался накопитель Western Digital, и перед принятием команды --security-erase сначала был задан пароль dummy:

Теперь накопитель безопасно стерт и может быть использован повторно. Если накопитель требует задания пароля, не забудьте отключить пароль после завершения безопасного стирания.

Зашифрованные диски и файловые системы можно безопасно уничтожить, уничтожив все известные копии ключа шифрования. Если ключ был создан на защищенном устройстве, например смарт-карте, TPM или накопителе Opal, существует только одна копия ключа. Если накопитель или файловая система были подготовлены в корпоративной среде, могут существовать резервные или депонированные копии ключа для восстановления.

Процедуры стирания ключей для зашифрованных накопителей на основе операционной системы, например Microsoft BitLocker, Apple FileVault, Linux LUKS/dm-crypt или вариантов TrueCrypt, требуют подробного знания мест хранения ключей. Ключи могут быть защищены паролем или парольной фразой и храниться в файле либо определенном блоке накопителя. Они также могут находиться в файле ключа в другом месте. Если найти и безопасно уничтожить все копии закрытого ключа невозможно, альтернативой является стирание диска полным способом, описанным в предыдущем разделе.

Как правило, защищенные внешние USB-флеш-накопители имеют функцию восстановления заводских параметров при потере пароля. Ее можно использовать для уничтожения ключа и, следовательно, содержимого накопителя. Например, флеш-накопитель Corsair Padlock2 можно сбросить, удерживая одновременно кнопки KEY и 0/1 в течение трех секунд, а затем введя 911, чтобы сбросить ключ и уничтожить содержимое накопителя. На накопителях iStorage datashur удерживайте одновременно кнопки KEY и 2 в течение трех секунд, затем введите 999 для сброса ключа.

Уничтожение содержимого накопителей Opal SED также происходит мгновенно и сводится к уничтожению ключа шифрования на накопителе путем ввода Physical Security ID (PSID). Обычно PSID имеет QR-код на физическом корпусе накопителя, который можно отсканировать вместо ручного ввода. Получить PSID, опрашивая накопитель командами ATA, нельзя; он виден только на корпусе физического накопителя.

Команда sedutil-cli имеет специальный параметр для безвозвратного сброса ключа накопителя с помощью PSID:

Ключ шифрования накопителя теперь сброшен, а данные фактически уничтожены. Диск возвращен к заводским параметрам, разблокирован и может использоваться повторно. Уничтожение данных на этом накопителе размером 120 Гбайт заняло половину секунды.

В этой главе вы изучили различные методы управления криминалистическими образами, включая применение сжатия обычными инструментами Linux и встроенного сжатия криминалистических форматов. Вы увидели дополнительные примеры сжатой файловой системы SquashFS и сценария sfsimage для управления контейнерами криминалистических доказательств. Я продемонстрировал разделение и сборку образов, дублирование накопителей и преобразование между форматами образов. Вы также узнали, как проверять хеши, подписи и временные метки и защищать образы шифрованием во время передачи по сети и хранения. Наконец, я показал безопасное удаление файлов криминалистических образов и накопителей.

Здесь флаг --s01 задает создание образа SMART со сжатием ew, а флаг --compress устанавливает наивысший уровень сжатия. Дополнительные сведения о параметрах сжатия ftkimager можно получить с помощью флага --help.

Хотя AFFv3 признан устаревшим (http://forensicswiki.org/wiki/AFF) и использование aimage не рекомендуется (http://forensicswiki.org/wiki/Aimage), применение сжатия AFFv3 в aimage упоминается здесь в иллюстративных целях.

Следующий пример демонстрирует создание образа диска с помощью aimage и указанием алгоритма сжатия LZMA (вместо стандартного zlib):

Криминалистическая программа Sleuth Kit предоставляет встроенную поддержку сжатых образов AFFlib. AFFv4 вводит инструмент aff4imager с дополнительными функциями. Его можно найти по адресу https://github.com/google/aff4/.

Основой многих методов и примеров этого раздела является устройство Linux loop (не путать с loopback-устройством, являющимся сетевым интерфейсом). Устройство loop - псевдоустройство, которое можно связать с обычным файлом, сделав файл доступным как блочное устройство в /dev.

Системы Linux обычно создают по умолчанию восемь устройств loop, чего может быть недостаточно для основной системы криминалистического получения данных; их число можно увеличить вручную или автоматически при загрузке. Чтобы создать 32 устройства loop во время загрузки, добавьте max_loop=32 в строку GRUB_CMDLINE_LINUX_DEFAULT= файла /etc/default/grub; после перезагрузки должны быть доступны 32 неиспользуемых устройства loop. Сценарий sfsimage использует устройства loop для монтирования контейнеров криминалистических доказательств SquashFS.

В этой главе будут рассмотрены разные образы VM распространенных систем виртуализации QEMU, VirtualBox, VMWare и Microsoft Virtual PC. Я также описываю доступ к зашифрованным операционной системой файловым системам, включая Microsoft BitLocker, Apple FileVault, Linux LUKS и VeraCrypt (ответвление TrueCrypt). Но начнем с самого простого вида образа: необработанного образа диска, полученного инструментом в стиле dd.

Простейшую демонстрацию устройства loop можно выполнить с помощью файла необработанного образа (возможно, полученного простой командой dd). Команда losetup подключает и отключает устройства loop в системе Linux. В этом примере создается блочное устройство для файла image.raw:

Здесь флаги задают, что loop должен быть доступен только для чтения (--read-only), следует использовать следующее доступное устройство loop (--find) и показать его после завершения (--show). После этого указанный файл (image.raw) становится доступен как подключенное блочное устройство.

Запуск команды losetup без параметров отображает состояние всех настроенных устройств loop. Здесь видно только что созданное устройство:

Устройство /dev/loop0 теперь указывает на /exam/image.raw, и к нему можно обращаться любыми инструментами, работающими с блочными устройствами. Например, здесь команда mmls из Sleuth Kit видит таблицу разделов файла image.raw через устройство loop:

Когда устройство loop больше не нужно, просто отключите его:

Устройства loop гибки и настраиваемы. В предыдущем примере mmls файловая система начинается с сектора 2048. Можно указывать смещение при каждом запуске криминалистического инструмента, но проще иметь отдельное устройство для каждого раздела (подобно /dev/sda1). Командой losetup можно создать отдельное устройство loop только для этого раздела, указав правильные флаги смещения (--offset) и размера (--sizelimit). Однако более общепринятый способ - использовать отображение устройств.

Это можно сделать вручную с помощью dmsetup и таблиц отображения, как описано в разделе "RAID и многодисковые системы" на странице 178. Однако инструмент kpartx автоматизирует создание устройств разделов для определенного файла образа. В следующем примере криминалистически полученный образ с четырьмя разделами используется для демонстрации создания инструментом kpartx устройств отображения для каждого раздела:

Здесь инструмент kpartx читает таблицу разделов диска или файла образа, создает устройство loop для всего образа, а затем устройства отображения для каждого раздела. Флаг -r обеспечивает доступ только для чтения к loop накопителя и отображениям разделов, а флаг -a предписывает kpartx отобразить все найденное. Применяйте флаг подробного вывода -v, чтобы документировать вывод команды и показывать только что выполненное отображение.

В этом примере устройство loop (/dev/loop0) создано для всего файла образа и доступно как необработанное блочное устройство. Кроме того, устройства разделов теперь доступны в каталоге /dev/mapper, и к ним можно обращаться криминалистическими инструментами, работающими с разделами, без указания смещений. Вот несколько примеров команд Sleuth Kit для некоторых разделов:

Файловую систему, отображенную на устройство из файла образа, можно безопасно смонтировать только для чтения. Это позволит обращаться к ней с помощью стандартного файлового диспетчера, приложений и других инструментов анализа файлов. Разделы loop можно монтировать и размонтировать, как показано в этом примере:

Здесь каталог p3, представляющий раздел, был создан в том же каталоге, что и необработанный образ. Затем p3 использовался как точка монтирования (выбранная точка монтирования может находиться в любом месте файловой системы основной системы эксперта). Midnight Commander (mc) - текстовый файловый диспетчер (клон Norton Commander), используемый в этом примере для просмотра файлов смонтированного раздела. Когда точка монтирования больше не нужна, команда umount (это правильное написание только с одной буквой n) размонтирует файловую систему, а rmdir удаляет каталог точки монтирования. Это традиционный способ Unix монтировать и размонтировать файловую систему в основной системе.

Когда loop накопителя и отображения разделов больше не нужны, их можно удалить все сразу с помощью флага удаления kpartx (-d) и имени файла образа:

Обратите внимание, что это "удаление" никак не влияет на содержимое образа диска. Удаляются loop и отображения, а не образ накопителя; образ накопителя не изменяется.

Если у необработанного образа повреждена или перезаписана таблица разделов, образ можно просканировать на наличие файловых систем и вручную отобразить файловые системы как устройства с помощью dmsetup (используя таблицы dmsetup).

Для создания, монтирования, размонтирования или отключения устройства loop требуются привилегии root. Они также необходимы для работы криминалистических инструментов с устройством /dev/loopX. Примеры в этом разделе выполнялись от пользователя root, чтобы уменьшить сложность командных строк и упростить их понимание. Добавление sudo перед командами позволяет выполнять привилегированные команды от имени обычного пользователя.

С ростом производительности домашних компьютеров, появлением аппаратной виртуализации в большинстве современных CPU и доступностью недорогого или бесплатного программного обеспечения виртуализации возрастает потребность в анализе содержимого образов VM. В некоторых случаях на исследуемых PC можно обнаружить множество образов VM. Этот раздел посвящен доступу к распространенным типам файлов образов VM, таким как QCOW2, VDI, VMDK и VHD.

Формат QCOW2 является распространенным типом образов VM, встречающимся в Linux и используемым эмулятором QEMU. В этом разделе я сделаю образ QCOW2 доступным как блочное устройство и безопасно смонтирую его для просмотра.

Пакет libqcow-utils (написанный Йоахимом Метцем, автором ewflib) содержит инструменты qcowinfo и qcowmount. Оба инструмента можно использовать так же, как в предыдущих примерах применялись ewfinfo и ewfmount. Однако следующий пример показывает альтернативный метод с использованием команды qemu-img, модуля ядра nbd и инструмента qemu-nbd. Этот метод дает преимущества в производительности, поскольку работает в ядре, и сокращает число шагов, так как применять kpartx не требуется.

Для файла *.qcow2 команда qemu-img может вывести сводную информацию:

Чтобы получить доступ к образу QCOW в представлении необработанного образа с помощью nbd, необходимо загрузить модуль ядра nbd:

В отличие от команды losetup, устройство не выбирается автоматически. Устройство /dev/nbd* необходимо указать следующим образом:

Здесь файл образа QCOW2 был подключен к модулю ядра в режиме только для чтения, а устройство раздела было обнаружено автоматически. Это необработанное устройство можно использовать с криминалистическими инструментами, как показано в следующем примере:

Устройства разделов (в этом примере - имя необработанного устройства с добавлением p1) также готовы к непосредственному использованию с криминалистическими инструментами. Для иллюстрации ниже команда fls работает непосредственно с файловой системой на устройстве раздела:

Локально смонтировать устройства для просмотра совсем несложно. Создается локальный каталог точки монтирования, после чего файловая система монтируется обычным образом:

Очистка здесь сходна с примерами использования устройств loop, но требует меньше шагов. Все процессы должны закрыть файлы, а вам следует покинуть смонтированный каталог, чтобы его можно было размонтировать. Команда отключения qemu-nbd с указанием имени устройства отменит регистрацию устройства в ядре:

Необязательный шаг - удалить модуль ядра командой rmmod nbd. Однако оставлять его загруженным безвредно, если планируется монтировать другие образы QCOW. Можно также автоматически загружать модуль nbd при запуске, добавив его в файл /etc/modules.

VirtualBox - проект с открытым исходным кодом, поддерживаемый Oracle (ранее Sun Microsystems). Хотя он поддерживает несколько форматов образов VM, в последующих примерах используются образы VirtualBox VDI. Применяется та же команда qemu-nbd, что и ранее, но с образом OpenSolaris.

Пакет программного обеспечения VirtualBox включает ряд утилит; ниже показано, как инструмент VBoxManage выводит информацию об образе VDI:

Образы VirtualBox можно монтировать с помощью qemu-nbd и модуля ядра nbd (как было показано в предыдущем разделе на примере QCOW2). Представленный здесь пример OpenSolaris несколько отличается от схемы разбиения на разделы, используемой Windows и Linux. Также показаны несколько срезов диска^[1]:

В этом примере один раздел Solaris (p1) содержит несколько срезов (p5, p6, p7 и p8).

Можно использовать те же методы, что и в предыдущем примере QEMU, чтобы получить доступ к необработанному устройству и устройствам разделов, а затем смонтировать разделы как доступные только для чтения в локальной точке монтирования. И здесь применять kpartx для поиска разделов не требуется, поскольку ядро делает это автоматически. Завершив доступ к разделам (или, в данном случае, срезам), выполните шаги очистки, чтобы размонтировать файловые системы и отключить устройство nbd.

Формат Virtual Machine DisK (VMDK) используется программными продуктами VMWare для VM. В следующем примере пакет программного обеспечения libvmdk-utils применяется к образу Apple Lion VMDK, разделенному на несколько частей:

Информацию о собранном образе и каждом из "экстентов" можно получить с помощью vmdkinfo:

Создание точки монтирования и монтирование образа делают его доступным как файл необработанного образа:

Использование kpartx, как было показано ранее в этой главе, создаст соответствующие блочные устройства диска и разделов. Затем можно либо непосредственно применять к ним инструменты криминалистического анализа, либо смонтировать их на локальной машине для просмотра файловой системы.

Существует несколько способов сделать доступным формат виртуальных образов Microsoft VHD. Например, можно применить метод с qemu-nbd либо воспользоваться libvhdi-utils с инструментами vhdiinfo и vhdimount.

Третий метод предусматривает использование blktap-utils с интерфейсом Xen blktap xapi. Как и в случае метода nbd, для blktap требуется вставить модуль ядра и вручную выделить устройство. Порождается процесс tapdisk, который подключается к драйверу и получает указание открыть образ диска. Страницы руководства для blktap-utils не слишком полезны, но описание можно найти на веб-сайте Xen по адресам wiki.xen.org и lists.xen.org.

В завершение этого раздела я повторю процесс настройки устройств с помощью инструментов libvhdi. Для простоты в предыдущих примерах использовался привилегированный пользователь root. Однако следующие примеры демонстрируют непривилегированного пользователя, которому разрешено применять sudo.

Чтобы непривилегированный пользователь мог выполнять команды монтирования и размонтирования FUSE, необходимо задать user_allow_other в /etc/fuse.conf.

Информацию об образе можно получить с помощью vhdiinfo, и специальные привилегии для этого не требуются:

Образ можно смонтировать с помощью FUSE без привилегий root, но необходимо явно указать команде vhdimount разрешить доступ пользователю root, добавив флаг -X allow_root. Этот флаг также нужен, чтобы пользователь root мог выполнять дальнейшие действия через sudo (например, создавать блочные устройства с помощью kpartx):

Теперь необработанный образ доступен в каталоге ./raw, и к нему можно обращаться стандартными инструментами. Чтобы создать устройства loop и mapper, запустите kpartx с командой sudo. После создания устройств к ним можно обращаться инструментами через команду sudo. sudo требуется для любого доступа к блочному устройству. Ниже показаны примеры с kpartx и fls:

Для монтирования файловой системы также требуется sudo, а явное указание -o ro монтирует ее только для чтения. Ниже приведен пример создания точки монтирования, монтирования файловой системы из предыдущего примера и доступа к ней с помощью ls:

Для очистки этого сеанса требуется sudo, чтобы размонтировать необработанный образ и удалить устройства loop и mapper. Монтирование файла *.vhd с помощью FUSE можно удалить без привилегий root. Эти шаги показаны здесь:

Команда sudo настраивается путем редактирования файла /etc/sudoers. Во многих примерах этой книги для простоты используется пользователь root, чтобы сократить число команд в и без того сложной командной строке. Хорошей практикой является работа от имени непривилегированного пользователя с использованием таких механизмов безопасности, как sudo.

Теперь рассмотрим доступ к популярным зашифрованным файловым системам. Основное внимание уделяется не восстановлению ключа (хотя я и предлагаю пару вариантов), а доступу к файловым системам при наличии известного ключа. Предполагается, что ключи или пароли доступны из дампов памяти, систем депонирования или резервного копирования в организациях, от лиц, обязанных предоставить их по закону, от оказывающих содействие потерпевших, из коммерческих служб или программ восстановления либо из других источников.

Тип шифрования файловой системы можно определить с помощью различных инструментов анализа разделов, способных распознавать заголовки, магические числа и другие артефакты, уникальные для конкретного типа зашифрованной файловой системы. Обзор идентификации шифрования файловой системы в криминалистическом контексте можно найти по адресу encase-forensic-blog.guidancesoftware.com.

В этом разделе приведена информация, необходимая для создания из конкретного зашифрованного образа незашифрованного блочного устройства или файла, к которому можно обращаться криминалистическими инструментами или который можно безопасно смонтировать для локального просмотра.

Текущим стандартным средством шифрования файловой системы Microsoft является BitLocker. Он выполняет шифрование на уровне блоков, защищая тома целиком. Вариант BitLocker, предназначенный для съемных носителей, называется BitLocker-To-Go и использует зашифрованные файлы-контейнеры в обычной незашифрованной файловой системе. В примерах этого раздела показаны два инструмента с открытым исходным кодом: dislocker и libbde.

Пакет dislocker, написанный Роменом Кольтелем, можно найти по адресу github.com. Он предоставляет различные инструменты для работы с томами BitLocker, включая просмотр метаданных, создание файлов расшифрованных образов и монтирование томов с помощью FUSE.

Инструмент dislocker-find сканирует все подключенные устройства разделов и указанные файлы, выявляя наличие томов BitLocker. Сканирование устройств BitLocker может быть необязательным, если исследуемое устройство уже было идентифицировано в процессе его подключения к узлу получения.

Команда dislocker-metadata предоставляет общую информацию о накопителе BitLocker. Следующий пример представляет собой образ, полученный с USB-накопителя. Накопитель зашифрован целиком и не имеет таблицы разделов. К файлу образа можно обратиться следующим образом:

Вывод этой команды предоставляет большой объем подробной криптографической информации, которая здесь не показана. В целях документирования вывод dislocker-metadata можно сохранить в текстовый файл. Эта команда также способна работать непосредственно с подключенными устройствами.

Как и в предыдущих примерах с паролями и шифрованием, предполагается, что ключ у вас есть. Некоторые коммерческие инструменты позволяют попытаться восстановить ключ перебором паролей. Кроме того, для извлечения FVEK из образа памяти можно использовать подключаемый модуль volatility (github.com), в том числе совместно с инструментом получения дампов памяти inception. Использование этих инструментов здесь не рассматривается.

Можно создать виртуальный файл или блочное устройство, чтобы работать с расшифрованным представлением образа диска "на месте". Этот процесс сходен с примерами из раздела "Образы VM" на странице 237. Пакет программного обеспечения dislocker предоставляет инструмент для создания файловой системы FUSE с виртуальным представлением расшифрованного тома:

Файл, появившийся в каталоге clear, представляет расшифрованную файловую систему, и с ним можно работать обычными криминалистическими инструментами. Ниже приведен пример использования fsstat из Sleuth Kit:

Образ расшифрованной файловой системы можно безопасно смонтировать для обычного просмотра. Команда mount имеет параметр loop, позволяющий напрямую смонтировать файл образа раздела:

Очистка в этом примере сводится к размонтированию точки монтирования файлов, удалению монтирования FUSE и удалению каталогов монтирования:

Обратите внимание, что предыдущие примеры выполнялись с привилегиями root, чтобы уменьшить сложность и облегчить их понимание. Те же команды можно выполнить от имени непривилегированного пользователя:

Здесь dislocker-fuse передает драйверу FUSE параметр -o allow_root, позволяя применять sudo для монтирования и размонтирования. Параметр uid=holmes обеспечивает мистеру Холмсу доступ к смонтированным файлам без привилегий root. Предполагается, что мистер Холмс состоит в Unix-группе FUSE, а файл /etc/fuse.conf содержит строку user_allow_other.

При использовании dislocker для разблокирования контейнера BitLocker можно предоставить учетные данные трех видов. Флаг -u (примененный в предыдущем примере) указывает запросить пароль пользователя. Флаг -p предоставляет пароль восстановления (длиной 48 цифр). Флаг -f задает файл ключа (файл BEK).

При использовании пароля восстановления (-p) вместо пароля пользователя (-u) необходимо вручную ввести 48-значный пароль восстановления:

Версия этой команды для пользователя без прав root передает FUSE флаги, разрешающие монтирование с помощью sudo:

Можно также расшифровать образ BitLocker и отдельно сохранить его как обычный образ файловой системы (сохраняется только указанный том, а не таблица разделов или другие разделы). В зависимости от размера образа BitLocker это займет некоторое время, поскольку весь образ расшифровывается и записывается в новый файл образа на диске. Потребуется спланировать необходимую емкость, так как на узле получения будут занимать место два образа: зашифрованный и расшифрованный. Расшифрованную версию тома можно создать следующим образом:

Получившийся файл расшифрованного образа имеет тот же размер, что и исходный, поскольку каждый блок BitLocker был расшифрован, а блок открытого текста записан в новый образ. Для этой команды привилегии root не требуются.

Теперь файл расшифрованного образа BitLocker можно смонтировать и обратиться к нему как к разделу с помощью команды mount с параметром loop:

При использовании без прав root отличается только команда mount:

Поскольку BitLocker является стандартным средством шифрования файловой системы на преобладающей платформе ОС, стоит привести второй пример с другим пакетом программного обеспечения. Пакет libbde (написанный Йоахимом Метцем, автором ewflib) также предоставляет библиотеки и инструменты для доступа к образам BitLocker.

Следующий пример несколько сложнее предыдущего, поскольку в нем используется диск ноутбука с обычной таблицей разделов (в отличие от USB-накопителя без таблицы разделов). После вычисления смещений по выводу mmls демонстрируется инструмент bdeinfo, предоставляющий компактный обзор контейнера BitLocker.

И dislocker, и libbde можно передать байтовое смещение начала зашифрованного тома BitLocker. Однако при работе с файлами образов томов или разделов либо с устройствами без разделов это не требуется. В данном примере полученный образ содержит таблицу разделов, поэтому необходимо вычислить смещение зашифрованного тома BitLocker в байтах.

Следующий пример показывает, как определить байтовое смещение. Команда mmls из Sleuth Kit выводит таблицу разделов и смещения каждого раздела в секторах. Смещение в секторах необходимо преобразовать в байтовое смещение, которое можно использовать с инструментами расшифрования:

Показанное mmls смещение в секторах можно преобразовать в байтовое смещение, умножив его на размер сектора. В командной строке удобно использовать арифметическое расширение Bash. В этом примере смещение в секторах равно 4098048, а размер сектора - 512. Их произведение дает байтовое смещение 2098200576. Это значение можно использовать с командой bdeinfo следующим образом:

Команда bdemount работает сходно с командой dislocker и создает виртуальный файл, представляющий расшифрованный образ (здесь полный ключ сокращен):

Файл появится в каталоге ./raw, где его можно анализировать непосредственно или смонтировать на устройство loop для обычного просмотра. Команды монтирования совпадают с командами в предыдущем примере BitLocker, поэтому здесь они не повторяются.

Встроенная в OS X система шифрования файловой системы Apple называется FileVault. Она также выполняет шифрование на уровне блоков, и для ее расшифрования доступно несколько инструментов с открытым исходным кодом. Здесь я опишу два инструмента: libfvde и VFDecrypt. (Пакет программного обеспечения libfvde написан Омаром Чаудари и Йоахимом Метцем; его можно найти по адресу github.com.)

Перед использованием инструментов libfvde необходимо вычислить правильное байтовое смещение зашифрованного тома FileVault. Команда mmls предоставляет смещение тома в секторах, которое необходимо преобразовать в байты:

Умножение смещения в секторах на размер сектора с помощью простого арифметического расширения Bash дает байтовое смещение 209735680, которое можно использовать с инструментами fvdeinfo и fvdemount.

Инструмент fvdeinfo предоставляет общую информацию о зашифрованном томе FileVault:

Чтобы расшифровать том FileVault, необходимо восстановить файл EncryptedRoot.plist.wipekey и предоставить либо пароль пользователя, либо ключ восстановления. Найти и извлечь файл wipekey можно с помощью инструментов Sleuth Kit:

Рекурсивный вывод fls для раздела Recovery HD использует смещение в секторах, найденное с помощью mmls. В выводе посредством grep выполняется поиск файла EncryptedRoot.plist.wipekey. После обнаружения для его извлечения применяется инструмент icat (с использованием inode, равного в этом примере 1036). Обратите внимание: с fls и icat использовалось смещение в секторах, а не в байтах.

24-символьный ключ восстановления применяется с флагом -r и теперь уже восстановленным файлом EncryptedRoot.plist.wipekey. Затем этот ключ можно использовать для создания монтирования с помощью FUSE расшифрованного представления тома, как показано ниже (ключ восстановления сокращен):

Вместо ключа восстановления (-r) можно предоставить пароль пользователя (-p) и, также используя файл EncryptedRoot.plist.wipekey, обращаться к получившемуся образу тома обычными криминалистическими инструментами. Ниже показан пример применения fsstat из Sleuth Kit к расшифрованному тому:

Этот расшифрованный том также можно смонтировать как обычную файловую систему для просмотра:

По завершении аналитической работы потребуется выполнить очистку:

Обратите внимание, что предыдущие примеры выполнялись с привилегиями root, чтобы уменьшить сложность и облегчить их понимание. Большинство команд можно выполнить без прав root, за несколькими исключениями. Ниже приведены примеры команд, которые выглядят иначе при запуске непривилегированным пользователем:

Строка -X allow_root в команде fvdemount разрешает пользователю root обращаться к каталогу, смонтированному с помощью FUSE. Команда sudo необходима для монтирования и размонтирования файловой системы hfsplus. При просмотре файловой системы также может потребоваться команда sudo, если разрешения файловой системы ограничивают доступ к файлам или каталогам.

Существует еще несколько примечательных инструментов с открытым исходным кодом для работы с образами FileVault. Инструмент VFDecrypt также позволяет расшифровывать образы FileVault. Изначально его написали Ральф-Филипп Вайнманн, Дэвид Халтон и Джейкоб Аппельбаум, а сейчас его сопровождает Дрейк Аллегрини. Инструмент можно найти по адресу github.com. Он способен расшифровать образ в незашифрованный образ тома.

Программное обеспечение FileVault Cracking было создано некоторыми из тех же авторов, что и VFDecrypt; его можно найти по адресу openciphers.sourceforge.net.

В мире открытого исходного кода доступен ряд систем шифрования файлов. Некоторые, например eCryptfs или encfs, работают с каталогами. Другие, например GPG и различные инструменты crypt, работают с отдельными файлами.

В этом разделе основное внимание уделяется системе шифрования LUKS, но также будут затронуты обычный dm-crypt и loop-AES. Все три можно настроить с помощью инструмента cryptsetup. (Инструмент cryptsetup также можно использовать для управления томами TrueCrypt, которые я опишу в следующем разделе.)

Следующие примеры работают с полученным криминалистическим способом образом, содержащим зашифрованную файловую систему LUKS. Мы создадим блочное устройство, представляющее расшифрованное содержимое зашифрованной файловой системы, и покажем методы безопасного монтирования структуры файловой системы для просмотра обычными инструментами. У нас три цели: получить информацию о шифровании, создать устройство, доступное криминалистическим инструментам, и безопасно смонтировать файловую систему для обычного просмотра.

На первом шаге требуется байтовое смещение зашифрованного раздела LUKS. Смещение в секторах показывает команда mmls из Sleuth Kit, примененная к файлу образа. Байтовое смещение равно смещению в секторах, умноженному на размер сектора; простое арифметическое расширение Bash дает значение 1048576:

Байтовое смещение можно использовать для создания устройства loop, соответствующего зашифрованному разделу, с помощью losetup:

Теперь зашифрованный раздел LUKS доступен как блочное устройство, которое может использовать инструмент cryptsetup. Информацию о зашифрованном разделе можно получить командой luksDump инструмента cryptsetup:

С точки зрения криминалистики слоты ключей могут представлять интерес. Том LUKS может иметь до восьми ключей, а значит, потенциально существует восемь разных паролей, которые можно попытаться восстановить.

Имея пароль к зашифрованной файловой системе LUKS, можно применить команду open инструмента cryptsetup к устройству loop0, чтобы создать устройство mapper. Это устройство предоставляет расшифрованное представление зашифрованного образа. В данном примере устройство mapper называется clear:

Зашифрованное устройство loop открывается с флагом --readonly. Также указан флаг подробного вывода (-v), предоставляющий дополнительные сведения об успешности ключа расшифрования. После ввода подходящего ключа в каталоге /dev/mapper появится новое (расшифрованное) устройство раздела, с которым можно работать стандартными криминалистическими инструментами. Например, можно запустить инструмент fsstat из Sleuth Kit:

Это устройство раздела также можно смонтировать на локальной машине для обычного просмотра:

После завершения исследования можно выполнить очистку. Все шаги выполняются в обратном порядке:

Обратите внимание, что это упрощенный пример с одним разделом на одном незагрузочном диске данных. На зашифрованном диске LUKS с загрузочной ОС может присутствовать дополнительный уровень Logical Volume Manager (LVM). У таких дисков в каталоге /dev/mapper могут появиться дополнительные устройства (root, swap и так далее). К каждому из этих устройств можно обращаться или монтировать его отдельно. В процессе очистки необходимо удалить устройства разделов с помощью dmsetup, прежде чем закрывать устройство LVM с помощью cryptsetup.

Для простоты показанные в этом разделе шаги выполнялись от имени пользователя root. Чтобы выполнить примеры от имени пользователя без прав root, для запуска losetup, cryptsetup, mount и umount потребуется sudo, как и для любых инструментов, обращающихся к устройству раздела /dev/mapper. В зависимости от смонтированной файловой системы могут быть полезны дополнительные пользовательские параметры (например, uid=holmes).

Образы, зашифрованные обычным dm-crypt и loop-AES, также можно расшифровать инструментом cryptsetup. Процесс сходен с предыдущим примером LUKS. Для команды cryptsetup open необходимо указать либо plain, либо loopaes с помощью флага --type. Например:

При использовании --type loopaes также потребуется файл ключа. Можно указать и --type luks, но в этом нет необходимости, поскольку он используется по умолчанию.

Дополнительную информацию о cryptsetup и LUKS можно найти по адресу gitlab.com. Совместимую реализацию для Windows можно найти по адресу github.com.

После прекращения разработки TrueCrypt появилось несколько ответвлений. В настоящее время преобладающим ответвлением является VeraCrypt. Оно обеспечивает обратную совместимость, а также предлагает новые расширения.

Я приведу два примера VeraCrypt: обычный зашифрованный контейнер и скрытый контейнер. Я использовал стандартную версию VeraCrypt для командной строки совместно со знакомыми инструментами, чтобы сделать контейнеры доступными для дальнейшего анализа.

В первом примере показан простой файл зашифрованного контейнера TrueCrypt или VeraCrypt. Флаг --file-system=none важен, поскольку не дает VeraCrypt монтировать какие-либо файловые системы:

С помощью флага -l можно вывести список всех расшифрованных контейнеров в системе узла, упорядоченный по номерам слотов. Номер слота - важный идентификатор для последующих команд. В данном примере номер слота равен 1 и используется знакомый каталог /dev/mapper/*:

После предоставления правильных учетных данных можно запросить дополнительную информацию о контейнере, указав номер слота:

Были созданы два устройства. Устройство /dev/loop0 содержит зашифрованный необработанный образ (такой же, как файл в файловой системе). Указанное в свойствах тома устройство /dev/mapper/veracrypt1 представляет расшифрованный том, с которым можно непосредственно работать криминалистическими инструментами. Ниже приведен пример исследования файловой системы с помощью Sleuth Kit:

Устройство mapper также можно смонтировать на локальной машине и просматривать файловую систему обычными инструментами:

Очевидно, что удаленные файлы не будут видны в области, смонтированной пользователем; они будут доступны только при использовании криминалистических инструментов через устройство /dev/mapper/veracrypt1.

И снова процесс очистки выполняется в порядке, обратном процессу настройки:

Второй пример VeraCrypt показывает, как получить доступ к скрытому тому. Одна из особенностей TrueCrypt и VeraCrypt заключается в возможности иметь два пароля, открывающих два отдельных тома. Использование обоих паролей сопоставляется в двух приведенных ниже выводах команд.

Здесь hidden.raw - накопитель VeraCrypt, содержащий скрытый том. Предоставление первого пароля создает работающий стандартный контейнер TrueCrypt с файлами, заявляющий полную емкость накопителя 1 ГБ и показывающий Type: Normal:

Если размонтировать том, а затем снова смонтировать его с использованием пароля скрытого тома, появится совершенно другой набор файлов. Различается и время, необходимое для монтирования тома. Разблокирование контейнера в предыдущем примере заняло 3,5 секунды, тогда как разблокирование скрытого контейнера в том же файле потребовало 29 секунд. Причина в том, что сначала предпринимается попытка расшифровать стандартный том (с использованием всех поддерживаемых алгоритмов), а после ее неудачи наконец выполняется попытка расшифровать скрытый том. Теперь в свойствах тома показан реальный размер вместе с Type: Hidden:

Сопоставленное устройство скрытого тома предоставляет файловую систему, которую можно непосредственно анализировать криминалистическими инструментами.

Томами TrueCrypt и VeraCrypt можно также управлять с помощью новых версий cryptsetup (1.6.7 и выше), получая сходные возможности монтирования.

Существуют коммерческие инструменты и инструменты с открытым исходным кодом для взлома контейнеров TrueCrypt/VeraCrypt, но их использование выходит за рамки этой книги.

После подключения диска к системе или получения файла образа можно проанализировать схему разделов диска. В этом разделе объясняется, как идентифицировать файловые системы, таблицы разделов и широко используемые схемы разделов диска.

Компоновка диска, или схема разделов, означает метод организации разделов (или срезов) на жестком диске. Наиболее распространенные схемы разделов, встречающиеся в потребительских компьютерах, - DOS, GPT, BSD и APM (Apple Partition Map, иногда называемая mac). Начнем с идентификации схемы разделов, используемой на диске.

Каждый раздел или срез диска содержит отдельную файловую систему либо используется для какой-либо другой специальной цели. Небольшая часть диска (часто только первый сектор) определяет его компоновку, задавая начальный сектор каждого раздела, размер и тип раздела, метки и так далее.

Чтобы определить схему разделов диска, можно исследовать начальные секторы в поисках характерных признаков. Официального обозначения "Assigned Number" для схем разделов не существует (всего их около полудюжины).

Не путайте это с типами или идентификаторами разделов DOS MBR, которые перечисляют до 255 возможных файловых систем и других форматов, способных находиться внутри раздела DOS. При подключении исследуемого диска к рабочей станции ядро Linux попытается обнаружить и интерпретировать используемую схему разделов и создаст устройства для каждого найденного раздела.

Для идентификации наиболее распространенных схем разделов можно использовать команду mmstat из Sleuth Kit. Список поддерживаемых схем разделов показан здесь:

Запуск mmstat выводит название используемой схемы:

В качестве альтернативы для идентификации схемы разделов можно использовать инструмент disktype. disktype предоставляет более подробную информацию и поддерживает разделы, файловые системы, а также контейнеры файлов и архивов. В следующем примере показан вывод disktype:

Исходный пакет программного обеспечения disktype можно найти по адресу disktype.sourceforge.net. Ответвление и несколько исправлений для disktype доступны по адресам github.com, github.com и github.com.

Носителю данных не обязательно иметь таблицу разделов или даже файловую систему. Двоичные данные можно записать непосредственно на необработанный диск, а обращаться к ним может любая программа, способная их интерпретировать (например, некоторые базы данных могут напрямую использовать необработанные диски). Диски могут не иметь схем разделов. В таких случаях файловая система начинается с нулевого сектора и продолжается до конца диска (то есть разделом служит весь диск). Это характерно для некоторых старых USB-накопителей и гибких дисков. В таких случаях инструменты анализа разделов будут неэффективны и обычно сообщат о ложной или несуществующей таблице разделов. Если инструменту не удается обнаружить тип раздела, стоит проверить, не была ли файловая система записана непосредственно на необработанное устройство. В этом примере mmstat ничего не находит, но fsstat идентифицирует файловую систему:

Некоторые зашифрованные тома пытаются скрыть свое существование или информацию об используемой файловой системе и не применяют распознаваемую схему разделов.

Схема разделов содержит дисковый блок или набор блоков, описывающих ее организацию. Они называются таблицами разделов (или метками диска в системах BSD), и сведения о них можно запрашивать с помощью различных инструментов.

Команда mmls из Sleuth Kit позволяет вывести таблицы разделов диска или полученного криминалистическим способом образа. В этом примере mmls обнаруживает обычную схему разделов DOS с разделом FAT32:

Традиционная схема разделов DOS не способна работать с дисками размером более 2 ТБ. Схема разделов GPT была создана, чтобы организовывать диски большего размера с увеличенным числом разделов. GPT поддерживает 128 разделов по сравнению с 4 разделами DOS (не считая расширенных разделов). Я написал статью о криминалистическом анализе дисков GPT и таблиц разделов GUID; ее можно найти по адресу dx.doi.org.

В настоящее время большинство новых систем PC поставляются с разделами GPT. Ниже показан пример таблицы разделов системы Windows 8:

Гэри Кесслер предоставляет несколько инструментов разбора таблиц разделов, выдающих значительно более подробную информацию. Эти инструменты можно найти по адресу garykessler.net.

Чтобы продемонстрировать уровень детализации, предоставляемый инструментами разбора Кесслера, ниже приведена часть вывода для таблицы разделов из предыдущего примера, созданного с помощью инструмента gptparser.pl:

Инструмент предоставляет подробную информацию о каждом из 128 разделов GPT.

Инструмент disktype, уже представленный в разделе "Схема разделов" на странице 260, позволяет идентифицировать схемы разделов и файловые системы внутри разделов. Инструмент fsstat из Sleuth Kit предоставляет более полную информацию о файловой системе. fsstat может работать непосредственно с устройством раздела или с полученным криминалистическим способом образом, если указать смещение в секторах.

В предыдущих примерах смещение тома Windows в секторах в файле образа lenovo.raw равнялось 3868672. Это смещение можно передать инструменту fsstat с помощью флага -o, чтобы проанализировать метаданные файловой системы:

Если накопитель подключен непосредственно к рабочей станции, ядро Linux попытается разобрать таблицу разделов и сделать устройства диска и разделов доступными в /dev, где к ним можно будет обращаться напрямую.

Однако если исследуется файл необработанного образа (.raw, .ewf и так далее), файлов устройств для образа не будет. Ядро не станет интерпретировать таблицу разделов и не создаст знакомые устройства разделов (/dev/sda1, /dev/sda2 и так далее). При обращении к разделу внутри файла образа необходимо указывать смещение.

Лучше полагаться на криминалистические инструменты при определении сведений о разделах, чем доверять ядру. Если диск поврежден, ядро может отказаться создавать устройства разделов или создать их неправильно. В примерах этого раздела всегда указывалось смещение, а ядро не использовалось. В ситуациях, связанных с вредоносными программами, противодействием криминалистическому анализу или иным злонамеренным введением в заблуждение, предпочтение следует отдавать криминалистическим инструментам, а не ядру.

В этом разделе описывается извлечение отдельных разделов, промежутков между разделами и других областей диска, таких как DCO и HPA. Начнем с нескольких основных примеров извлечения обычных разделов.

Чтобы обращаться к отдельным разделам и извлекать их вместо всего жесткого диска, можно использовать несколько методов. Я продемонстрирую несколько примеров извлечения разделов с непосредственно подключенного накопителя с устройством раздела, устройства отображения раздела и файлов образов, обрабатываемых инструментами mmcat и инструментами в стиле dd из Sleuth Kit.

Если диск доступен как подключенное устройство, получение раздела сходно с полным получением данных с помощью необработанного устройства накопителя, но вместо него используется устройство раздела. В следующем примере первый раздел /dev/sda извлекается в файл:

Извлечение разделов требует некоторого планирования емкости, поскольку раздел займет дисковое пространство (возможно, наряду с полным образом накопителя). Если нужен лишь временный доступ к разделу из полученного файла образа, его можно подключить как устройство loop и обращаться к нему. Этот метод демонстрируют следующие шаги.

Сначала с помощью инструмента mmls определите раздел, который нужно подключить как loop:

Затем с помощью арифметического расширения Bash преобразуйте смещение и длину в секторах в смещение и длину в байтах:

После этого вычисленные байтовые смещение и длина передаются losetup для создания устройства loop:

К получившемуся устройству loop можно обращаться криминалистическими инструментами так же, как к устройству раздела подключенного диска. Ниже показан пример использования fls из Sleuth Kit:

Если необходимо извлечь раздел из существующего полученного образа в отдельный файл, можно использовать инструменты dd или команду mmcat из Sleuth Kit.

Первый шаг при извлечении раздела из полученного образа - определить раздел и сведения о секторах. В следующем примере таблица разделов полученного образа диска показывает раздел, который требуется извлечь:

Для извлечения раздела из уже полученного файла образа с помощью dcfldd или dd необходимо добавить параметры skip (в dc3dd применяется iskip) и count, которые заставляют команду перейти вперед к началу раздела и получить данные только в пределах его размера:

В этой команде размер блока равен 512 байтам, что соответствует размеру сектора, начало раздела находится в секторе 63, а извлечь следует 78124032 сектора. Выполнив небольшие дополнительные вычисления, можно повысить производительность этой команды, изменив размер блока с 512 байт на более крупный (но при этом не забудьте скорректировать параметры skip и count).

В Sleuth Kit версии 3.0 и выше для простого извлечения разделов можно использовать инструмент mmcat. Чтобы восстановить первый раздел из предыдущего примера с помощью mmcat, необходимо указать номер слота mmls (а не номер раздела DOS). В данном случае первый раздел находится в слоте mmls с номером два и может быть извлечен следующим образом:

Инструмент mmcat просто направляет вывод в stdout, поэтому его необходимо либо перенаправить в файл, либо передать программе по каналу.

Для исчерпывающего поиска частично перезаписанных или удаленных разделов в полученном криминалистическим способом образе можно применить несколько методов. Sleuth Kit предоставляет простой инструмент sigfind для поиска двоичных строк-сигнатур. Два полезных инструмента для всестороннего поиска разделов - gpart и testdisk. Эти инструменты реализуют алгоритмы распознавания файловых систем с более интеллектуальным подбором вариантов для идентификации потерянных разделов.

Запуск gpart без параметров начинает сканирование разделов, пропуская области, идентифицированные как распределенные. Например:

Добавление флага -f предписывает gpart выполнить исчерпывающий поиск разделов в каждом секторе всего диска, даже в областях, где разделы обнаружиться не должны. Это займет значительно больше времени, чем стандартное сканирование gpart без флагов.

Инструмент testdisk (cgsecurity.org, написан Кристофом Гренье, который также создал инструмент карвинга photorec) помимо поиска разделов предоставляет еще несколько возможностей. Testdisk предлагает интерактивный интерфейс, поддерживает разные компоновки дисков (DOS, GPT, BSD и другие), обнаруживает несколько десятков типов разделов, создает журналы действий и может извлекать обнаруженные разделы в файл. testdisk можно использовать с устройствами, файлами необработанных образов и даже файлами *.e01.

Используйте testdisk с осторожностью. Этот инструмент предназначен для исправления и восстановления разделов и легко может изменить доказательства. Перед его запуском на подключенных исследуемых дисках обязательно применяйте блокиратор записи.

Инструмент также включает всеобъемлющую интерактивную систему меню для определения параметров и действий. Ниже показан пример пакетного режима, работающего с подключенным диском:

Для поиска удаленных разделов можно выполнить некоторый объем ручного анализа. Если таблица разделов показывает на диске большую область нераспределенного пространства, проверьте ее на наличие раздела. В следующем примере mmls показывает почти 2,5 ГБ (4863378 секторов) пустого пространства в конце USB-накопителя:

Это нераспределенное пространство может оказаться удаленным разделом. В данном примере запуск fsstat со смещением пустого пространства обнаруживает действующую файловую систему:

Обнаружив действующую файловую систему, можно использовать метаинформацию о ней, чтобы определить вероятный размер раздела. Зная размер и начальное смещение, можно извлечь обнаруженный раздел или продолжить его анализ. Для извлечения можно использовать инструменты в стиле dd или, что проще, mmcat:

Здесь вывод mmcat для удаленного раздела, обнаруженного в слоте mmls 003, направляется в файл deleted_partition.raw.

В некоторых случаях между разделами могут существовать промежутки, созданные случайно либо из-за того, что соседние разделы сходятся на границах цилиндров или блоков. Возможны и намеренно созданные промежутки для сокрытия данных.

Идентифицировать и восстановить такие промежутки между разделами можно тем же способом, что и извлечь раздел. С помощью mmls определите размер и смещение промежутка в секторах, а затем извлеките его посредством dd или mmcat.

Ниже показан вывод mmls для таблицы разделов. Диск содержит два раздела, между которыми имеется промежуток:

В этом примере первый раздел заканчивается на секторе 15626236, а соседний раздел начинается с сектора 15626240, что указывает на промежуток из трех секторов. Хотя этот промежуток между разделами можно извлечь с помощью dd, проще использовать mmcat:

Получившийся файл имеет размер три сектора и содержит данные из промежутка между двумя разделами. Более крупные промежутки между разделами, содержащие частично перезаписанные, поврежденные или идентифицируемые фрагменты файловой системы, можно анализировать инструментами карвинга, например foremost.

Интерес может представлять и промежуток между последним разделом и концом диска. Он может содержать такие артефакты, как содержимое ранее перезаписанных разделов, резервные копии раздела GPT или даже сегменты двоичного кода, которые пытается скрыть вредоносная программа.

Вы уже научились идентифицировать и снимать ограничения HPA и DCO. После их снятия эти области диска можно извлечь для отдельного анализа.

В этом примере hdparm показывает наличие HPA, а вывод mmls - три слота, один из которых является разделом Linux:

После успешного снятия HPA (и указания ядру повторно сканировать шину SCSI) повторный запуск тех же команд дает другой вывод:

Теперь hdparm указывает, что HPA отключена, а в выводе mmls появилась дополнительная строка (слот 03), представляющая секторы, ранее скрытые посредством HPA.

Команда mmcat с номером слота раздела 03 извлечет данные из HPA:

В этом примере используется действующий диск, подключенный к узлу получения. Если файл образа получен с диска после снятия HPA, mmls увидит эту скрытую область.

Извлечение секторов, скрытых DCO, выполняется тем же методом, что показан здесь для HPA. Сначала с помощью hdparm откройте доступ к секторам, защищенным DCO, а затем извлеките их посредством dd или mmcat. Нет необходимости повторять эту процедуру в дополнительных примерах, специально демонстрирующих секторы из DCO.

В этом заключительном разделе я описываю различные дополнительные примеры поэтапного извлечения данных. Содержимое этого раздела (фактически, содержимое большей части этой главы) слегка пересекается с криминалистическим анализом файловых систем, который не входит в заявленные рамки книги. По этой причине примеры описаны несколько менее подробно.

Резервное пространство - традиционное понятие цифровой криминалистики, обозначающее распределенные, но неиспользуемые данные в конце секторов диска, блоков файловой системы или файловых систем (соответственно, резервное пространство RAM, файла и раздела).

Чтобы наглядно представить резервное пространство, вообразите эту книгу жестким диском, где абзацы - секторы, главы - файлы, а основной текст - раздел. Обратите внимание: абзацы не заканчиваются точно в конце строки, главы - точно в конце страницы, а в конце книги может оказаться несколько дополнительных пустых страниц. Эти пустые места и есть "резервное пространство" книги. Если в случае носителя данных ОС или физический накопитель не записали в такие области нули явно, там все еще могут находиться данные ранее записанных файлов.

Исторически извлечение и анализ резервного пространства были полезны в криминалистических исследованиях. Однако ценность резервного пространства начинает снижаться из-за нескольких факторов:

• SSD применяют команды TRIM, чтобы обнулять нераспределенные блоки.

• Современные ОС записывают нули обратно в неиспользуемые части секторов и блоков.

• Диски с собственными секторами 4 КБ выровнены по размерам блоков файловой системы.

• ОС создают разделы и файловые системы, выровненные по границам блоков.

Получение и анализ потенциальных свободных областей по-прежнему являются добросовестными этапами криминалистического процесса.

Чтобы извлечь все резервное пространство заданного образа, можно использовать команду blkls из Sleuth Kit. Резервное пространство зависит от файловой системы, поэтому его необходимо извлекать отдельно для каждой файловой системы (нельзя просто использовать весь необработанный диск). В этом примере смещения файловых систем полученного образа находятся с помощью mmls, после чего извлекается резервное пространство каждой из них:

Резервное пространство каждой распознанной файловой системы сохраняется в файл. Флаг -s команды blkls извлекает все резервное пространство (и только его).

Важно понимать, что резервное пространство не означает нераспределенные блоки или секторы. Резервное пространство - это неиспользуемая область внутри распределенных блоков и секторов файловой системы.

В следующем примере собираются все нераспределенные блоки файловых систем полученного образа. Нераспределенные блоки зависят от файловой системы, поэтому эту операцию необходимо выполнять отдельно для каждой распознанной файловой системы.

Здесь команда mmls снова используется для определения смещений каждой файловой системы, а команда blkls - для извлечения нераспределенных блоков:

Правильный флаг blkls для извлечения нераспределенных блоков - -A, но поскольку такое поведение команды используется по умолчанию, его можно не указывать.

Можно выполнить и обратное действие - извлечь все (и только) распределенные блоки с помощью команды blkls -a.

В некоторых ситуациях для просмотра, поиска или ручного анализа содержимого диска либо полученного образа диска можно использовать шестнадцатеричный редактор. Он может предоставлять байтовое смещение, смещение в секторах или оба значения.

В этом примере для анализа диска применяется консольный инструмент hexedit:

Инструмент hexedit позволяет непосредственно редактировать файлы блочных устройств и очень большие файлы образов (без загрузки в память или временных файлов), а также предоставляет секторный режим (показываются секторы целиком и смещения в секторах).

В следующем примере смещение в секторах равно 2048 (начало раздела NTFS), байтовое смещение - 0x100181, и показан весь сектор (обратите внимание: hexedit предполагает размер сектора 512 байт):

На основе байтового смещения или смещения в секторах можно составить команды dd, чтобы извлечь найденное в шестнадцатеричном редакторе.

В следующем примере для извлечения диапазона данных (четырех секторов по 512 байт) используются размер сектора 512, смещение в секторах и число секторов:

Следующий пример извлекает тот же диапазон данных с использованием байтовых смещений. Параметр skip применяет арифметическое расширение Bash, чтобы преобразовать шестнадцатеричное значение в десятичное, необходимое для dd; размер блока равен 1 байту, а count - требуемому числу байтов.

Два предыдущих примера извлекают один и тот же блок данных (четыре сектора, или 2048 байт). Обратите внимание: при извлечении областей диска разумно убедиться, что смещения выровнены по секторам или блокам (то есть кратны размеру сектора или блока).

Если требуется извлечь диапазон блоков файловой системы, используйте команду blkcat из Sleuth Kit. В следующем примере извлекаются 25 блоков файловой системы, начиная с блока 100:

Инструмент должен определить размер блока файловой системы.

Примеры в этом заключительном разделе показали, как обращаться к образам, использовать смещения и извлекать диапазон байтов, секторов или блоков. Для сопоставления секторов с блоками, а блоков - с inode и именами файлов можно также применять другие команды Sleuth Kit. Эти задачи зависят от файловой системы и относятся уже к области ее криминалистического анализа.