PTK Bootcamp, presentazione ufficiale a Roma e Crema

DFLabs è lieta di annunciare il primo seminario ufficiale di PTK, il software di investigazioni informatiche e computer forensics interamente made in Italy. Grazie alle forze congiunte del gruppo di lavoro IRItaly e della sezione di Ricerca e Sviluppo dell'azienda DFLabs, dopo più di un anno di sviluppo, PTK si rivela la novità principale nel campo dei software open source dedicati alla Digital Investigation. Il Software è completamente gratuito e viene utilizzato già a livello worldwide con referenze pubbliche.

Il seminario, completamente gratuito, si terrà nelle seguenti location:

a Roma martedì 28 ottobre dalle ore 11.00 alle 16.00, Hotel Colosseum, via Sforza 10 00184. Fermata metropolitana: Cavour

e a Crema venerdì 7 novembre dalle 10.00 alle 16.00, presso l'Università statale DTI, via Bramante 61

Il seminario rappresenta un'importante occasione per sperimentare sul campo le capacità di PTK e per effettuare delle vere e proprie sessioni di training su evidence di vario tipo, come: Ram Dump, e Disk Images (FAT, NTFS, EXT3).

Di seguito l'agenda dell'evento:

ore 10.00: Il progetto PTK, Obbiettivi e novità per il 2009

ore 11.00: PTK, Overview dello strumento

ore 12.00: PTK Installazione e configurazione

ore 13:00: Pausa pranzo

ore 14:00: PTK, gestione della multiutenza e creazione di un caso

ore 15:00: Utilizzo di PTK per la risoluzione di casi pratici

pre 16:00: Chiusura seminario


Requisiti Laptop:

Nel caso i partecipanti volessero seguire il seminario lavorando direttamente con PTK sul proprio PC, si consiglia di installare e testare preventivamente:
- Distribuzione Linux (consigliata ubuntu)
- XAMPP
- TSK 3.0

Il seminario è gratuito e aperto a tutti, previa registrazione, i posti sono limitati. Al termine del seminario verrà rilasciato un attestato di partecipazione.

Per la registrazione inviare una mail con i propri estremi a: ptk@dflabs.com.

Rilasciato AFFLIB 3.2 con supporto alla crittografia a chiave pubblica

E' di oggi l'annuncio della nuova versione delle ormai note librerie AFF che dal 2006 a oggi continuano ad evolvere grazie all'intenso lavoro di sviluppo di Simson L. Garfinkel. La nuova versione introduce numerose migliorie in campo di controllo dell'integrità delle copie e di riservatezza dei dati. E' ora infatti possibile eseguire sulle immagini prodotte, sia in formato AFF che AFD, due fondamentali operazioni:

• Firma
• Crittografia

Per quanto riguarda il processo di firma i vantaggi sono ovviamente molteplici, primo tra tutti il fatto di non dover demandare l'intero processso di integrità all'uso di algoritmi di hash quali MD5 o SHA1 ma di poter utilizzare firme digitali a chiave asimmetrica sia nei processi di generazione delle Forensic Images sia durante i processi di creazione delle copie delle evidence. L'intero processo di Chain of Custody viene conservato e firmato all'interno dei metadati che accompagnano ogni evidence.

Il supporto all'encryption invece permette di conservare in modo sicuro i dati raccolti. L'algortimo su cui si basa è AES-256 e, a differenza di alcuni meccanismi di protezione con password per evidence file, AFF garantisce che, a meno di Brute Force Attack, non è possibile accedere al contenuto in chiaro dei dati bypassando le strutture di controllo.

Riferimenti: http://www.afflib.org/affcrypto.pdf

PTK, già ora in grado di riconoscere e importare file AFF, supporterà, nelle sua versione Stable (settembre 2008), l'intero processo di gestione delle evidence AFF 3.0.

Rilasciato PTK alpha version

E' stata rilasciata la prima release di PTK in versione alpha. Mediante questa versione sarà possibile iniziare a scoprire le nuove funzionalità dello strumento e fornire i primi feedback. Tra le funzionalità implementate in questa release segnaliamo la possibilità di creare casi e gestire gli operatori, inserire le immagini acquisite mediante le più comuni tecniche di acquisizione forense e di condurre le prime attività di analisi come: l'analisi del file system, la generazione della timeline, il file categorization, il calcolo degli hash (sono supportati gli algoritmi md5 e sha1) e l'esportazione dei file. Per coloro che vogliono far parte del programma di testing è sufficiente mandare una mail con le proprie credenziali a info (at) ptk (dot) com. Saranno ben accetti tutti i consigli tecnici nonchè nuove funzionalità, implementate in codice, che saranno discusse dal parte del team DFLabs che, dopo averne verificato l'efficacia, le inserirà all'interno del tool PTK. Si ricorda che il prossimo appuntamento con la successiva release è per il 31 Maggio in cui verranno affinate le funzionalità già presenti e ne verranno introdotte di nuove come la sezione Gallery e di Bookmarking oltre all'analisi per data sector delle evidence.

PTK, anteprima Alpha

Lo sviluppo dello strumento procede molto rapidamente e senza particolari problematiche, questo obbiettivo è stato raggiunto grazie ad una corposa fase progettuale del software che ha permesso l'idenditifcazione a priori di eventuali problematiche legate all'uso del Database. L'approccio LAMP tuttavia si stà rivelando sempre più opportuno, vogliamo proporvi alcune immagini in anteprima dell'interfaccia in Analysis Mode e Timeline Mode. Alcune funzioni dovranno essere ancora aggiunte prima del rilascio a fine mese, tuttavia rappresentano una versione quasi definitiva del layout.

File Analysis:
Timeline Analysis:

E' da ricordare che tutti i contenuti sono stati realizzati tramite tecnologia Ajax, per cui l'interazione con le finestre e le tabelle è semplicemente da provare...

PTK Test

A breve sarà inaugurata sul sito ufficiale di PTK la sezione Tutorial. In questo spazio saranno inserite brevi lezioni in merito alle capacità dello strumento.

I nostri sviluppatori stanno ad ora lavorando alle seguenti attività:

- Rilevamento automatico tipologia di partizione
- Tree browsing dell'evidence
- Rilevamente e visualizzazione file e directory cancellate
- Modalità di generazione della Timeline

Se vuoi contribuire al progetto PTK scrivi a ptk@dflabs.com.

PTK, la struttura

Meno di un mese al rilascio della prima beta. Ora possiamo cominciare a fornire maggiori dettagli in merito a quella che è destinata essere l'interfaccia che rimpiazzerà di Autopsy.La prima cosa da chiarire è che NON è solo un interfaccia. Alla base di PTK è stato realizzato un complesso motore di Indexing in grado di analizzare i contenuti delle evidence e storare i risultati su DB. L'indexing viene lanciato una sola volta, è customizzabile, si possono definire le operazioni di analisi più opportune sulla base di quello che deve essere analizzato. Una volta che un'evidence viene indicizzata più investigatori possono accedere ai contenuti e realizzare i propri bookmark personali sulla base dell'indagine. Tra le principali attività del motore di indexing di PTK troviamo:

PTK ENGINE

• Creazione della Timeline
• Categorizzazione dei file
• Analisi dei contenuti grafici
• Data Carving
• Indicizzazione delle keywords

PTK VIEWER

• File Analysis
• Dynamic Timeline
• File Categorization
• Gallery
• Keyword Search
• Bookmark

Queste sono solo alcune delle funzionalità. Il resto riguarda l'aspetto grafico e l'usabilità del programma. Alcuni screenshots sono già visibili, molti altri verranno aggiunti al sito nei prossimi giorni.

DFLabs risolve un importante caso nel settore della Pedofilia online

Il Team di DFlabs, diretto da Dario Forte ha contribuito in maniera determinante alla soluzione di un importante caso di Pedofilia on line. Nel Luglio del 2007, in Sardegna, una nota sociologa è stata accusata di detenzione e scambio di materiale pedopornografico. A seguito di complessi accertamenti tecnici di computer forensics il team di DFlabs è riuscito a scagionare l’indagata e a dimostrare un errore nel processo di identificazione. Ulteriori informazioni disponibili qui. DFLabs Computer Forensics

Presentazione PTK

Slide della presentazione di PTK alla conferenza del Department of Defense a Saint Luis svoltasi nel Gennaio 2008.