Creazione ed utilizzo di immagini forensi con Linux ChallengerOS

Parliamo oggi di data recovery forense. Vediamo in particolare la creazione e l'utilizzo di immagini forensi con Linux ChallengerOS.

ChallengerOS e Rocket sono sistemi perfettamente performanti ed efficaci per l'acquisizione di immagini forensi di hard disk, sd card, pendrive usb, e qualsiasi altro dispositivo di memorizzazione dati.

Vi mostreremo la procedura per creare l'immagine disco con il sistema ChallengerOS e come calcolare il checksum MD5.

Calcolare l'MD5 significa calcolare l'impronta digitale di un file.
Il confronto tra MD5 di uno stesso file permette di verificarne l'eventuale alterazione del file stesso.

Acquisizione forense di una sd card

Ci soffermiamo oggi sull'acquisizione forense di una sd card e vedremo il calcolo del checksum MD5 secondo 3 modalità:

1. da  sistema operativo (con lettura diretta della sd card)
2. mixando l'immagine creata con Challenger Rocket e mappa LBA
3. dall'immagine disco che abbiamo generato dal processo di Imaging

Prima di connettere la sd card che vogliamo analizzare, andiamo a stoppare il demone UDEV (stoppare il demone UDEV significa impedire che la sd card venga montata dal sistema); verifichiamo ora le periferiche SCSI, e colleghiamo la nostra sd card con l'adattatore USB 2.

Verifichiamo l'avvenuto riconoscimento della device (in questo caso /dev/sde).
Per verificare il corretto funzionamento di Challenger Rocket andiamo a calcolare l'MD5 della periferica /dev/sde direttamente da sistema operativo (il processo di lettura potrebbe impiegare qualche minuto essendo la presa USB 2 poco performante).

Importante

Il calcolo di MD5 utilizzando il sistema operativo è puramente dimostrativo e ha il come unico obiettivo la comparazione con quello generato da Rocket.

Da Challenger Rocket andiamo a creare un nuovo task di tipo immagine disco, selezioniamo la device sorgente e premiamo il tasto Play. E' molto importante in questa fase prestare attenzione alla posizione in cui sarà salvata l'immagine disco; per l'acquisizione della sd card di oggi stiamo utilizzando una versione di ChallengerOS con modifiche persistenti; qualora dovessimo utilizzare il sistema ChallengerOS in modalità Live è opportuno munirsi di una unità esterna su cui salvare l'immagine creata.

A questo punto possiamo estrarre la nostra sd card poichè non ne avremo più bisogno, potremo calcolare l'MD5 direttamente da Rocket, mixando la mappa LBA con l'immagine creata. Possiamo vedere nel grafico offerto da Challenger Rocket la diversità tra le performance di lettura da sd card diretta e quella da immagine Rocket da hard disk. La modalità di calcolo dell'MD5 con Rocket offre prestazioni decisamente superiori. Il file generato da Challenger Rocket è di tipo dd puro non compresso.

Una volta calcolato il checksum MD5 lo andiamo a confrontare con quello di sistema operativo che abbiamo precedente calcolato in maniera diretta dalla sd card; naturalmente sono perfettamente identici.

A questo punto chiudiamo il nostro task e ne generiamo un terzo, di tipo rapido, selezionando come sorgente l'immagine disco che abbiamo generato dal processo di imaging.
La monteremo come disco virtuale in Rocket e calcoleremo di nuovo il checksum MD5.