Bài thực hành 1 điều tra đĩa cứng và USB với phần mềm autopsy

phần mềm mã nguồn mở Sleuth Kit Mục tiêu: sinh viên hiểu rõ các tính năng của công cụ phần mềm Autopsy khi tiến hành điều tra và tìm kiếm thông tin trong một Filesystem.. Sử dụng Autop

Thực hành môn Pháp chứng kỹ thuật số Bài 1: Thực hành điều tra đĩa cứng và USB với phần mềm Autopsy

(phần mềm mã nguồn mở Sleuth Kit)

Mục tiêu: sinh viên hiểu rõ các tính năng của công cụ phần mềm Autopsy khi tiến

hành điều tra và tìm kiếm thông tin trong một Filesystem

Thời gian thực hành: 1 buổi

Autopsy là một công cụ phần mềm pháp chứng kỹ thuật số với giao diện đồ họa của

bộ phần mềm mã nguồn mở Sleuth Kit, Autopsy có thể được sử dụng để điều tra những gì đã xảy ra trên máy tính Autopsy cho phép phân tích sự kiện theo thời gian, trình bầy các sự kiện truy cập tới File system theo trình tự với giao diện đồ họa

1 Cài đặt Autopsy

Sinh viên sử dụng file autopsy-3.1.1-32bit.msi để cài đặt Autopsy trên Hệ điều hành

Windows File cài đặt Windows sẽ tạo một thư mục để lưu trữ thông tin và đặt tất cả các tập tin cần thiết bên trong của thư mục này File cài đặt bao gồm tất cả các file liên quan gồm Sleuth Kit và Java

2 Sử dụng Autopsy để điều tra tìm kiếm thông tin trong một Filesystem

Sinh viên khởi động Autopsy để tạo một Case mới, sử dụng lựa chọn "Create New Case" tùy chọn trên màn hình, sinh viên phải cung cấp cho Autopsy với tên của vụ án

và thư mục để lưu trữ các kết quả thu thập được

Sinh viên có thể tùy chọn cung cấp số case và các chi tiết khác, khai báo các thông tin phù hợp cho case của mình

Sau khi có các thông tin về case, sinh viên vào lựa chọn đối tượng để điều tra thông tin trong đó bao gồm File ISO, Filesystem hoặc File để điều tra dữ liệu lưu trữ

Sau khi lựa chọn xong đối tượng điều tra, sinh viên cần lựa chọn các Module để thực hiện các yêu cầu điều tra, chú ý một số Module sau:

Recent Activity tìm kiếm các hoạt động người dùng như lưu bởi các trình duyệt web

và hệ điều hành Windows

Hash Lookup sử dụng cơ sở dữ liệu băm để bỏ qua các tập tin được biết từ NIST

NSRL và cờ để tìm các tập tin xấu Sử dụng nút "Advanced" để thêm và cấu hình cơ

sở dữ liệu để sử dụng hash trong quá trình này

Keyword Search sử dụng danh sách từ khoá để xác định các tập tin với những từ cụ

thể trong đó Chúng ta có thể chọn danh sách từ khóa để tìm kiếm tự động và tạo danh sách mới bằng cách sử dụng nút "Advanced"

Yêu cầu: sinh viên lựa chọn tìm các số điện thoại và địa chỉ IP có trong Filesystem Giải thích phương pháp lựa chọn

Archive Extractor mở các file có dạng ZIP, RAR, và các định dạng lưu trữ khác và

tìm các tập tin từ các tập tin lưu trữ để phân tích thông tin

Exif Parser trích xuất thông tin EXIF từ các tập tin hình ảnh là lưu các kết quả hình

ảnh vào cây trong giao diện chính

Sinh viên thực hiện việc xem xét toàn bộ Filesystem, xem xét các lựa chọn nằm ô phía bên trái của màn hình

Data Sources: hiển thị tất cả dữ liệu trong Filesystem trong đó có cấu trúc hệ thống

tập tin của hình ảnh đĩa hoặc đĩa cục bộ

Yêu cầu: sinh viên tìm thư mục có nhiều File nhất trong Filesystem

Views: hiện thị các thông tin chi tiết thông tin của các file chứa trong Filesystem

Yêu cầu: Sinh viên chuyển xem các file hình ảnh chứa trong Filesystem bằng chế độ view Thumbnail Sinh viên tìm số lượng các files dạng doc và pdf chứa trong

Filesystem.

Result: hiển thị và phân loại các thông tin mà các Modules phân tích được trong

Filesystem

Yêu cầu: sinh viên ghi nhận các thông tin đã thu thập được liên quan đến số lượng địa chỉ IP, địa chỉ Email, số lượng số điện thoại Nhận xét về lượng thông tin thu thập được

Report: chức năng xem các báo cáo đã được tạo ra trong đó bao gồm kết quả tất cả

các phân tích

Yêu cầu: sinh viên sử dụng nút "Generate Report" để tạo ra báo cáo dạng HTML và Excel, xem nội dung báo cáo trong mục Report Nêu nhận xét, kết luận về nội dung

của báo cáo

-

Họ Và Tên: Trần Hoài Phương

MSSV: 1X520XXX

Thực hành môn Pháp chứng kỹ thuật số

Bài 1: Thực hành điều tra đĩa cứng và USB với phần mềm Autopsy

(phần mềm mã nguồn mở Sleuth Kit)

Sinh viên lựa chọn tìm các số điện thoại và địa chỉ IP có trong Filesystem Giải thích phương pháp lựa chọn

địa chỉ IP có trong Filesystem Trong đây có 2 địa chỉ IP là :

192.168.1.1

10.0.0.1

Số điện thoại có trong Filesystem.Trong đây có 2 số điện thoại:

090 909 9891

016 093 2233

Sinh viên tìm thư mục có nhiều File nhất trong Filesystem.Trong Filesystem này có nhiều thư mục nhất là 11 thư mục

Sinh viên chuyển xem các file hình ảnh chứa trong Filesystem bằng chế độ view

Thumbnail Trong Thumbnail ta tìm thấy được 1 hình ảnh

Sinh viên tìm số lượng các files dạng doc và pdf chứa trong Filesystem

Ta tìm thấy 2 File pdf

Ta tìm thấy 6 File doc

Sinh viên ghi nhận các thông tin đã thu thập được liên quan đến số lượng địa chỉ IP, địa chỉ Email, số lượng số điện thoại Nhận xét về lượng thông tin thu thập được Địa chỉ Email tìm được

Số điện thoại tìm được 2 số

Địa chỉ IP tìm được

 Nhận Xét : dựa vào số điện thoại ,địa chỉ IP và Email chúng ta có thể xác định được người cần điều tra , qua đó giúp cho việc điều tra pháp chứng

kỷ thuật số trở nên nhanh chóng về dễ dàng tìm ra kết quả

Sinh viên sử dụng nút "Generate Report" để tạo ra báo cáo dạng HTML và Excel, xem nội dung báo cáo trong mục Report Nêu nhận xét, kết luận về nội dung của báo cáo Tạo ra báo cáo dạng HTML

Tạo ra báo cáo dạng Excel

 Nhận xét Report dạng HTML xem nhanh thông tin của Case Number các

thông khác như Email,IP,điện thoại dễ dàng hơn

 Nhận xét Report dạng Excel Ta thấy thấy được Case Number,Case Number , Number of Images…