Žiga Kern, Tim Oblak, Valentin Sojar -

Predstavitev na temo: "Žiga Kern, Tim Oblak, Valentin Sojar -"— Zapis predstavitve:

1 Žiga Kern, Tim Oblak, Valentin Sojar -
Forenzična analiza dedupliciranih datotečnih sistemov 22. September 2012 1

2 Uvod Uvod Sorodna dela Deduplikacija OpenDedup, Windows 2012 2

3 Sorodna dela Analiza spomina pametnih telefonov
Podvojene strani Veliko uporabnikov Arhiviranje digitalnih dokazov Zmanjševanje količine Do nedavnega le v produkcijskem okolju 3

4 Deduplikacija Zmanjševanje podvojenih drobcev (chunck repository)
Arhivi, omrežje Dva načina: Neposredno Po procesno Zgoščevalna vsota (SipHash, SHA256) 4

5 Deduplikacija Problem - izguba delcev Dolžina delcev:
Fiksna – enostavna organizacija Variabilna – prstni odtisi v tekstu 5

6 OpenDedup SDFS datotečni sistem Filesystem in Userspace – FUSE
Lokalno in oddaljeno hranjenje delcev Možnost kriptiranja delcev 6

7 OpenDedup - Struktura imenikov
Files – kopija strukture datotek Ddb – Seznami delcev Chunkstore – Hramba delcev 7

8 OpenDedup - Files JavaSerialization protokol Unikaten indentifikator
Velikost Metapodatki Verzija 8

9 OpenDedup - Ddb Unikaten indentifilator kot kazalec v ddb
Seznam zgoščenih vrednosti delcev Siphash (>3.5.0), Murmur3 Podatkovna baza RocksDB indeksi v strukturo delcev 9

10 OpenDedup - Chunkstore
indeks v strukturo delcev Desetiški zapis .map - seznam delcev z odmikom in dolžino Vsebina v datoteki brez končnice 10

11 OpenDedup - Analiza Najlažje na delujočem sistemu Replikacija okolja
Razbiranje nastavitev na podlagi delcev Ročna rekonstrukcija Prosto dostopna koda 11

12 Windows 2012 Razširitev za datotečni sistem NTFS
Naknadna obdelava datotek Periodičen proces Pomembna je starost datotek 12

13 Windows 2012 – Struktura imenikov
Imeniki Data, Stream in Hotspot Edinstven identifikacijski niz 13

14 Windows 2012 – Zapis v MFT Glavna datotečna tabela (angl. Master File Table) Zapis v obliki točke za vnovično razčlenjevanje (angl. Reparse point) 14

15 Windows 2012 – Struktura datotek
Vsebnik nizov 64 bajtov na zapis Pozicija delca, zgoščena vrednost in velikost delca. Vsebnik delcev Velikost delca, zgoščena vrednost in in podatki. Podatki so lahko stisnjeni 15

16 Windows 2012 – Forenzična analiza
Običajna orodja prikažejo prazne datoteke Enak operacijski sistem in nastavitev deduplikacije Rezljanje podatkov (angl. Data carving): prvotnih datotek po dedupliciranju delcev brez zapisa v MFT Obnovitev glede na niz preslikav 16