Università di Crema, l'azienda DFLabs e prima DEMO di PTK

Grande successo di partecipazione all'evento realizzato in collaborazione con l'Università degli Studi di Milano - Polo di Crema, all'interno del percorso informativo "Incontri con le aziende". Oltre 100 persone, fra presenti in aula e collegati in streaming, hanno seguito ed interagito con il seminario tenuto dal prof. Forte sul tema "Le nuove professioni dell’informatica: Digital Forensics". Per chi non ha potuto seguire l'evento, trovate riportati nel seguito del post i link alle registrazioni (in versione solo audio o audio + video) del seminario stesso. Durante la seconda parte dell'incontro alcuni collaboratori del prof. Forte, hanno presentato la prima demo del progetto PTK (ptk.dflabs.com). Ricordiamo a tal proposito che Venerdì 30 Maggio, alle ore 18:00 GMT+1, si terrà il webcast di presentazione, in lingua inglese, in concomitanza con la release della versione beta del progetto. Sulla scia dell'interesse dimostrato per il progetto PTK, seguiranno altri seminari mirati sull'utilizzo dello stesso e delle varie features, all'Università degli Studi di Milano - Polo di Crema. Infine vogliamo ringraziare tutti i partecipanti e le persone intervenute per l'interesse dimostrato.

Video:
http://www.dti.unimi.it/files/seminario/allegati/20080519_dflabs.wmv

Solo audio:
http://www.dti.unimi.it/files/seminario/allegati/20080519_dflabs.mp3

Incontro con l'azienda DFLabs - Managing Infosecurity Risks

INCONTRI CON LE AZIENDE

LUNEDI' 19 MAGGIO 2008 alle 14:30,
DTI Crema, Via Bramante 61

Seminario:
Le nuove professioni dell'informatica: Digital Forensics
Relatore: Dario Forte, Amministratore Delegato di DFLabs e Docente incaricato del corso di Gestione incidenti informatici al DTI


Abstract:

Il mondo dell'informatica è ormai in continua evoluzione, e con esso il settore della sicurezza. La Digital Investigation è una disciplina ormai consolidata, la cui specializzazione è stata portata in auge anche dai media televisivi. Il DTI di Crema ha una tradizione di eccellenza nel settore, tra l'altro molto richiesto dal mondo del lavoro. L'intervento introdurrà alla materia, con numerose case histories, concludendo con una disamina attenta delle opportunità di lavoro offerte nel settore.

PARTECIPAZIONE

Il seminario è pubblico e con ingresso libero a tutti gli interessati, sia interni che esterni al Dipartimento di Tecnologie dell'Informazione. All'interno del seminario sarà presentata in anteprima nazionale in demo la versione beta di PTK il nuovo progetto italiano di Computer Forensics, destinato a costituire l'interfaccia avanzata di Sleuthkit.

Rilasciato AFFLIB 3.2 con supporto alla crittografia a chiave pubblica

E' di oggi l'annuncio della nuova versione delle ormai note librerie AFF che dal 2006 a oggi continuano ad evolvere grazie all'intenso lavoro di sviluppo di Simson L. Garfinkel. La nuova versione introduce numerose migliorie in campo di controllo dell'integrità delle copie e di riservatezza dei dati. E' ora infatti possibile eseguire sulle immagini prodotte, sia in formato AFF che AFD, due fondamentali operazioni:

• Firma
• Crittografia

Per quanto riguarda il processo di firma i vantaggi sono ovviamente molteplici, primo tra tutti il fatto di non dover demandare l'intero processso di integrità all'uso di algoritmi di hash quali MD5 o SHA1 ma di poter utilizzare firme digitali a chiave asimmetrica sia nei processi di generazione delle Forensic Images sia durante i processi di creazione delle copie delle evidence. L'intero processo di Chain of Custody viene conservato e firmato all'interno dei metadati che accompagnano ogni evidence.

Il supporto all'encryption invece permette di conservare in modo sicuro i dati raccolti. L'algortimo su cui si basa è AES-256 e, a differenza di alcuni meccanismi di protezione con password per evidence file, AFF garantisce che, a meno di Brute Force Attack, non è possibile accedere al contenuto in chiaro dei dati bypassando le strutture di controllo.

Riferimenti: http://www.afflib.org/affcrypto.pdf

PTK, già ora in grado di riconoscere e importare file AFF, supporterà, nelle sua versione Stable (settembre 2008), l'intero processo di gestione delle evidence AFF 3.0.

PTK Memory Dump Keyword Search

Continuano ad essere aggiunte nuove funzionalità a PTK. Questa settimana vogliamo proporre un'importante funzione di analisi dei contenuti di un Ram Dump. Spesso una delle attività più importanti, per quanto rigurda l'analisi della memoria, è quella di cercare di individuare la presenza di contenuti non salvati su disco oppure crittografati su HD ma non in RAM. Un esempio di questa attività può essere la ricerca di password salvate in determinate sezioni della memoria. Le password potebbero essere riferite a sessioni di autenticazione Web, sistemi di protezione o crittografia dei dati (ex. Truecrypt) o altri per altri fini. Il recupero di questa informazioni potrebbe agevolare molto il processo di analisi dei supporti di memorizzazione permanente, senza dover rallentare le attività con lunghi processi di password cracking. La nuova funzionalità fornisce quindi una sezione di keyword search sia tramite normali keyword che tramite l'utilizzo di espressioni regolari.

Certi che questa nuova funzionalità riscuoterà molto interesse vi proponiamo uno screenshotsdi PTK in azione.

PTK Memory Analysis

La sezione RAM Analysis rappresenta la prima estensione dello strumento che si inserisce all'interno della struttura a plug-in di PTK. Ogni plug-in sviluppato aggiungerà nuove funzionalità e renderà il processo di analisi delle evidence sempre più automatizzato.
La sezione RAM analysis si basa sull'utilizzo dello strumento volatility e permette di analizzare a vari livelli un RAM dump effettuato mediante l'uso del tool dd. PTK permette quindi di analizzare lo stato del sistema nel momento del dump e da esso ricavare informazioni come ad esempio:

• connessioni attive
• dll caricate dai processi
• file aperti
• moduli del kernel caricati
• processi
• sockets
• oggetti di tipo ETHREAD
• virtual Address Descriptors (VAD) di ogni processo
  

In questo momento sono supportati i dump dd-style su sistemi Windows XP SP2.

FTK 2.0 parte 2

L'architettura introdotta da FTK 2.0 è una vera rivoluzione. Nel precedente post si era scritto che FTK 2.0 adottava una archiettura client/server. Questo è vero in linea di massima ma sotto il cofano di FTK si nasconde una architettura studiata con chiaro scopo: la scalabilità. La CF non è più quella che era 10 anni fa quando gli unici tool erano per il DOS (prima ancora che arrivasse EnCase o FTK) e che la dimensione dei dati da analizzare si contava in qualche Giga di disco. Ormai chi lavora in questo settore conosce i problemi che emergono, vuoi per il corso della tecnologia (dischi da 750 Gb nei pc casalinghi ormai!), vuoi per la complessità delle reti e dei sistemi operativi. Capita quindi che una perizia debba prendere in esame un paio di PC desktop, il laptop dell'ufficio e magari uno o due dispositivi portatili come un blackberry o un PDA, senza contare i vari USB thumbdrive, i cdrom, dvd, ecc. FTK scompone lo strumento in tre distinte parti:

• L'interfaccia (user interface), che richiede poca memoria e poca potenza di calcolo.
• Il database che mantiene le informazioni del nostro caso o dei casi gestiti dall'examiner.
• Il worker, ovvero quella componente responsabile per l'indicizzazione, il recovery dei file e tutte le comuni operazioni che richiedono potenza computazionale e memoria

Nell versione attuale di FTK (la stand alone) permette di fondere queste tre componenti sullo stesso sistema oppure separare l¹interfaccia utente dalle altre due. Il vantaggio è che quindi possiamo tenere un PC, anche un laptop, per l¹analisi del nostro caso e lasciare fare il lavoro sporco ad un sistema multiprocessore e con memoria ram a volontà. Non sarebbe però una vera scalabilità si ci dovessimo fermare solo a questa scissione. Nelle versioni Professional e Lab Edition sarà possibile scindere anche il database dal worker o dai workers

Ed è qui che i vantaggi di una architettura trasparente e scalabile emergono. Facciamo un breve esempio considerando una architettura con una interfaccia utente (o magari anche due), il database e tre workers. Una volta che una immagine disco(o perché no, più immagini) viene aggiunta nel caso i workers si contendono i task da eseguire. Il primo worker potrebbe per esempio iniziare il data recovery, il secondo l'indicizzazione dell'immagine e l'ultimo iniziare il bruteforce di un file protetto da password e il tutto è trasparente all'utente. E' chiaro che se ci troviamo di fronte a un caso in cui vengono coinvolte numerose immagini disco con una serie di operazioni da eseguire su alcuni TeraByte di dati (e il trend ormai si attesta su queste dimensioni), una architettura del genere che dispone di macchine dedicate al lavoro duro non può che tornarci comoda. E le novità da parte di Accessdata non sono finite.

Nuova sessione corsi IRItaly

Vi segnaliamo le nuove date dei corsi IRItaly.

IRItaly Base: 22(opzionale Linux) -23 -24 aprile 2008. Sede: Crema
Computer Forensic Fundamentals: 21 -22 aprile 2008. Sede: Roma
Incident Management: 23 - 24 aprile 2008. Sede: Roma

Durante i corsi tecnici verrà presentato il nuovo strumento PTK e effettuate delle Demo sul campo.

Per iscrizione: info@iritaly-livecd.org