Enquêter ou dépanner des systèmes informatiques avec OSForensics [Windows]

Publicité

Que ce soit le FBI creusant dans un ordinateur appartenant à un pirate informatique, une entreprise effectuant un audit informatique interne ou un administrateur réseau essayant de comprendre pourquoi un virus est originaire d'un PC particulier - l'essentiel est qu'une analyse judiciaire approfondie de PC nécessite un logiciel qui peut creuser profondément et faire le travail droite.

Dans ma propre expérience, il est rare que vous puissiez trouver des logiciels gratuits qui font un bon travail avec cela. La plupart des services de police du monde entier achètent des logiciels coûteux pour leur unité de criminalistique informatique.

Cependant, sont dépannage informatique gratuit et outils de réparation, tels que le applications de récupération de données 3 remarquables outils de récupération de fichiers Lire la suite Guy a couvert et Net Tools 2008, un outil d'administration que Karl a couvert. Un autre outil gratuit qui est tout aussi puissant et capable que de nombreux logiciels payants de criminalistique informatique est connu sous le nom de OSForensics.

Réalisation d'une analyse judiciaire

La meilleure façon d'analyser et de dépanner un système informatique de haut en bas est d'une manière lente et méthodique. La grande chose à propos d'OSForensics est que c'est comme une mallette virtuelle où vous pouvez stocker tout le travail que vous faites. Si vous disposez de plusieurs ordinateurs sur lesquels vous travaillez, vous pouvez configurer ce logiciel sur votre PC de travail, puis mapper le disque dur du PC distant pour analyse. Le logiciel vous permettra de stocker un «boîtier» pour chaque ordinateur sur lequel vous travaillez.

Comme vous pouvez le voir sur l'image ci-dessus, tous les outils sont alignés dans la barre de menu de gauche. Tout ce que vous avez à faire est de vous y retrouver si vous ne savez pas vraiment par où commencer. Si vous avez un objectif plus ciblé à l'esprit, passez à la zone du PC que vous souhaitez étudier de plus près. L'un des meilleurs outils pour tout membre du personnel d'assistance cherchant à identifier un fichier de virus ou de cheval de Troie est "jeux de hachage.”

Cette zone vous permet d'analyser des applications spécifiques que vous définissez, pas seulement des fichiers. Chaque application possède un ensemble de fichiers que vous pouvez consulter lorsque vous double-cliquez sur l'application. Le Hash Set Viewer affiche tous des calculs pour chaque fichier.

Le prochain outil disponible est la possibilité de créer une «signature». Ceci est utile à long terme étude, lorsque l'on soupçonne que certaines activités ont lieu à un endroit précis sur la ordinateur.

Vous pouvez créer une signature qui prendra un instantané des fichiers et des répertoires. Ensuite, vous pouvez utiliser le "comparer la signature”Outil pour vérifier si des modifications ont été apportées dans quelques semaines ou un mois. Le logiciel est également livré avec un utilitaire de recherche de fichiers, où vous pouvez filtrer les résultats par images, documents de bureau ou fichiers compressés.

Encore mieux, vous pouvez utiliser l'unique et très utile "Recherche de fichiers incompatibles"Outil pour passer au crible les répertoires suspects et identifier tous les fichiers que le propriétaire du PC aurait pu renommer simplement pour dissimuler la véritable identité du fichier. Par exemple, renommer un fichier image avec une extension «txt» ou un document classifié avec une extension «.jpg».

Pour revenir à l'utilisation de l'approche de hachage pour l'analyse de fichiers, le "Vérifier / créer un hachage"Utilitaire vous permet de comparer une valeur de hachage connue pour un fichier devrait être) et la valeur de hachage calculée pour le fichier sur cet ordinateur.

Un autre domaine où ce logiciel excelle vraiment en analyse médico-légale est la possibilité de passer au crible des milliers de fichiers très rapidement afin d'identifier des mots-clés de texte spécifiques. La première étape pour accélérer le processus consiste à créer un index pour n'importe quel répertoire de l'ordinateur. Une fois terminé, il indiquera le nombre de mots uniques trouvés dans tous les fichiers.

Quand c'est fait, utilisez simplement le "Index de recherche"Outil pour fouiller dans les fichiers, les images et les e-mails afin de retrouver les occurrences ou contenus spécifiques que vous recherchez.

Un autre outil de criminalistique informatique que la plupart des utilisateurs de Windows reconnaîtront est le «Activité récente" outil. Bien qu'il ressemble au «Documents récents», Cet utilitaire creuse un peu plus en profondeur, en recherchant les enregistrements MRU, les enregistrements USB, les cookies, les téléchargements et plus encore. Le propriétaire a peut-être déjà essayé de nettoyer le PC, mais de nombreuses personnes ne comprennent pas tous les endroits où l'activité est enregistrée. Cet outil peut donc trouver toute trace restante de cette activité.

Une autre fonctionnalité très intéressante est le "Recherche de fichiers supprimés"Outil qui vous permet de parcourir les enregistrements pour toute indication de fichiers récemment supprimés douteux. J'ai remarqué que cette fonctionnalité particulière n'est pas infaillible. Il essaiera d'identifier les oligo-éléments des fichiers supprimés, mais il ne réussit pas toujours.

Enfin, lorsque vous êtes vraiment à la recherche de la moindre trace de preuve pour un crime, vous devrez peut-être prendre le «visionneuse de mémoire" pour un tour. Cette application informatique légale affiche toutes les adresses de mémoire dure et la quantité d'informations stockées. Vous pouvez vider le contenu de la mémoire dans un fichier CSV afin de chercher des indices ou un pistolet fumant.

Comme vous pouvez le voir, OSForensics est un logiciel assez puissant pour tous ceux qui ont parfois tâche malheureuse de devoir enquêter sur le système informatique d'une personne accusée de Quelque chose ne va pas. Parfois, une enquête médico-légale appropriée et approfondie sur l'ordinateur peut révéler des preuves convaincantes qui peuvent faire ou défaire une affaire.

Avez-vous déjà utilisé OSForensics? Qu'est-ce que tu penses? Connaissez-vous d'autres applications similaires qui sont tout aussi bonnes ou meilleures? Partagez vos pensées dans la section des commentaires ci-dessous.

Crédit d'image: Peter Hostermann