数位鉴识标准作业程序之实务及方法研究.ppt

1、1,數位鑑識標準作業程序之實務及方法研究,計畫主持人：賴溪松 教授 成功大學電機系特聘教授 崑山科技大學 資訊學院院長 報告人 ：林敬皇 博士生 2006/08/18,2,Outline,前言 數位鑑識標準作業程序 數位鑑識工具 個案分析 結論,3,前言,數位鑑識目標為建構一個在法律規範下，利用科學驗證的方式來蒐集、調查、分析數位證據以及證據的還原，包含在各種儲存媒體及網路傳輸等，可供法院採信的各種型態電腦資訊之鑑識方法與環境。提供具效率之電腦及網路犯罪防護機制、網路封包解析與截取、電腦與網路犯罪之偵查與蒐證技術，並研究防範與遏止及反擊之道。 Computer Forensic v.s Dig

2、ital Forensic,4,What is Computer Forensic?,The process of identifying, preserving, analyzing, and presenting digital evidence in a manner that is legally acceptable. (McKemmish, 1999).,5,國內學者的定義,電腦鑑識是一門有效解決電腦犯罪難題的科學。電腦鑑識定義為：以周延的方法及程序保存、識別、萃取、記載及解讀電腦媒體證據與分析其成因之科學。 (林宜隆、楊鴻正、王俊雄，2002 ),6,Investigate v.

3、s Forensic,Investigate Event To search for and arrest Crime Forensic To discover Sober Truth No determine guilt or innocent,7,What will Computer Forensic do?,8,Forensic Computing,Forensic Computing Computer Forensic Network Forensic Internet Forensic Cyber Forensic Digital Forensic Software Forensic

4、.etc,.,9,研究架構,10,數位數位鑑識原則鑑識標準作業程序,數位鑑識原則 數位鑑識程序及方法論 數位鑑識作業程序 標準作業程序,11,數位鑑識原則,Association of Chief Police Officers，ACPO 為了取得法院對於電腦證據或數位證據的認可，處理警察人員或其委託人員，必需確保電腦或其他電子媒體上的資料保持為犯罪現場原始的狀態，不得修改的任何內容。 在特殊情況下，如果需存取原始電腦證據的資料，則必須由有能力處理的人員，進行存取的動作，並對其處理的動作予以說明及適當解釋。 對於電腦證據的任何稽核資料或其它紀錄、分析的處理過程，應建立處理方法、紀錄與保留結果，

5、就算委由公正的第三者進行相同的處理程序，其所得結果應相同。 案件承辦的負責人，必須確實遵守法律的規範與以上的處理原則，並且應用於所有對於案件電腦設備的存取，不管任何人存取電腦資料或使用拷貝設備拷貝資料都必須遵守法律規範與以上原則。,12,數位鑑識原則(cont.),事件現場蒐證原則 保護第一手證據 數位證據擷取分析原則 保持最原始蒐集之證物的完整性。 數位證據保存與保護原則 實體的保護 邏輯的保護 結果呈現原則 陳述所發現的事實，而非負責鑑識人員的個人感覺、推測或主觀意見 必須對技術名詞簡要清楚的解釋,13,數位鑑識程序及方法論,王旭正、柯宏叡、楊誠育 (網站入侵安全的證據存留鑑識探討, Co

6、mmunications of the CCISA ，2002, Vol. 8 No. 4) 保存證據 檢驗證據 分析證據 結果呈現,14,數位鑑識程序及方法論(cont.),Timothy (Overview of Methodology for the Application of Computer Forensics, security focus ，2000),15,數位鑑識程序及方法論(cont.),Kuchta 電腦鑑識程序應該包含：準備工作(Preparation)、紀錄與文件化（Documentation）、收集（Collection）、驗證（Authentication）、分

7、析（Analysis）、保護（Preservation）、產出結果（Production）、報告文件（Reporting）八種程序。,16,數位鑑識程序及方法論(cont.),Thomas Rude 電腦鑑識的程序為現場鑑識準備工作(Preparation)，快照（Snapshot），移轉（Transport），實驗室鑑識準備工作(Preparation)，調查（Examination） Deniz Sinangin 認為電腦鑑識程序為：識別證據(Recognized)、取得證據（Recovered）、保護證據（Preserved）、分析證據(Analyzed)、展示證據（Presented）

8、。,17,專家學者們所關心的,事前的準備工作 紀錄及文件化所有鑑識的過程細節與產出 保護證據 包括現場的、原始的、分析後的證據等 技術分析與擷取證據 展示及報告所析離出來證據與嫌犯的鏈結,18,Computer Forensic Procedure(3),Need Technologies to Help with Investigation,19,My Research(1),20,My Research(2),作業系統 各類工具,磁碟處理 檔案系統分析 特定檔案分析 壓縮與加解密分析 搜尋數位證據 惡意程式分析 網路分析,21,Digital Forensic,現場的鑑識工作 維護現場完整

9、 蒐集案發現場變動性資料 Need Trust Tools 實驗室的鑑識工作 鑑識分析工作站 Need Trust O.S 組織與分析產出數位證據 Need Trust Tools,22,23,現場蒐證作業流程,現場維持,記錄系統變動資訊,磁碟副本製作,扣押運送程序,24,鑑識實驗室分析流程,25,鑑識實驗室分析流程(cont.),證物分析請領程序與製作分析複本,列出相關關鍵字程序,分析與記錄檔案系統程序,Log分析程序,26,鑑識實驗室分析流程(cont.),關鍵字搜尋程序,加密資料分析程序,隱藏資料分析程序,27,鑑識實驗室分析流程(cont.),SWAP/暫存檔分析程序,殘存檔案(Sla

10、ck File)分析程序,未使用空間（Free space）分析程序,軟體執行分析程序,數位證據驗證與保存程序,28,表格及表單,T001_現場紀錄 T002_扣押或攜回清單 T003_證物編號標籤 T004_變動資料蒐集與紀錄 T005_檔案分析記錄 T006_個案分析目標及關鍵字清單 T007_分析記錄,29,八類工具(1),磁碟處理與鏡像檔製作工具 硬體連接介面 Ex:排線、硬體等 磁碟資訊處理工具 Ex: Disk editor、partition info 鏡像複製工具 Ex: dd、ghost 其它磁碟工具 Ex: Disk wipe,30,八類工具(1),31,八類工具(2),壓

11、縮與加、解密工具 壓縮/解壓縮工具 Ex:ZIP、RAR、GZIP、CAB、BZIP2 破解密碼保護工具 破解韌體密碼保護 破解作業系統登入帳號 破解螢幕保護程式密碼 破解應用程式的密碼保護 破解網路服務密碼保護 查看密碼工具 加、解密工具 Ex:PGP、MD5sum,32,八類工具(3),隱藏資訊探勘工具 改變原有形態以達到隱藏資訊目的 Ex:Quick View Plus 利用編碼方式將資訊隱藏在多媒體檔案中 Steganogrphy. Ex: S-tools 利用作業系統特性或檔案系統特性本身所造成之資訊隱藏 Ex:NTFS stream,33,八類工具(4),惡意程式碼鑑識工具 Ant

12、i-Virus(AV) BACKDOOR detect tools 監看與檢視工具 監看網路的流量與傳輸的內容 Network sniffer 監看與檢視變動或是電力中斷就會消失的程序及資訊並將之擷取、傾印(擷取案發現場變動性資料用) Ex: ps、lsof.etc.,34,八類工具(5),資訊搜尋工具 System tools Search engine (use index DB) 安全性工具 HoneyNet (IDS、Firewall、Honeypot) 整合性工具 Special for Computer Forensic(Encase,TCT),35,Case Testing,Ho

13、neyNet Project (Scan 29, 2003.08 ) /scans/scan29/ A honeypot really case. VMware Red Hat 7.2 Brian Carrier Result OpenSSL vulnerability(gain shell) SucKIT rootkit ptrace vulnerability(gain root),36,Result(1),測試環境,37,38,Compare with Brian Carrier Results,Wipe HDD match with Carr

14、ier OpenSSL vulnerability(gain shell) SucKIT rootkit Not Find result Use ptrace Vulnerability gain root privilege,39,結論,本研究嘗試參考國內外相關數位鑑識程序及方法論建立一數位鑑識作業流程、程序，並透過相關工具的搜集與測試，利用一簡單的個案來驗證流程是否能夠順利地執行。數位鑑識的工作複雜且多樣化，在短短的計畫執行期間，僅能針對特定的個案類型，研擬可能的作業流程或實務可行的方法。雖然未臻完善，但已有初步的骨架及雛形。可供未來進一步發展相關數位鑑識標準作業程序參考之用。,40,Ref.,DFRW / CFTT / ENFSI http:/www.enf