ハードディスクとファイル システム-1: Linux イメージのファイル システムを分析する


◆目的
 Autopsy を使用してファイル システム分析を学習し実行できるように支援することです。ファイル システム分析を実行すると、調査者は次の情報を判断できます。

・ファイルシステムの種類
・メタデータ情報
・コンテンツ情報

◆概要
Autopsy を使用したファイル システム分析について学びます。Autopsy でケースを作成し、アプリケーションを使用してファイル システムを調べる方法を理解するのに役立ちます。

Autopsyツールを使用して Linux イメージのファイルシステムを調べます。

１
デスクトップにImage File Analysisという名前のフォルダーを作成します。

２
Autopsyをインストールする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/bb9c8d42-872c-5cc5-1e86-538e9ca42f79.png)

３
インストールが完了したら、「完了」をクリックしてセットアップ・ウィザードを終了します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d8e32132-7ced-27c9-99eb-3a234e0b6e6f.png)

４
Autopsy Welcomeウィンドウが Autopsy メイン ウィンドウとともにバックグラウンドで表示されます。[ようこそ]ウィンドウで、[新しいケース]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/ca856884-9bb6-a894-9ef3-c446acfe5c5f.png)

５
[新しいケース情報]ウィンドウが開き、ケース名とベース ディレクトリを入力するように求められます。ベース ディレクトリは、ケース データが保存される場所です。識別目的に応じてケース名を入力できます。今回はケース名をLinux_Analysisとして割り当てます。

６
ベース ディレクトリを指定する前に、デスクトップ上にImage File Analysisという名前のフォルダを作成し、ベース ディレクトリのパスをこのフォルダに設定します。

７
ベース ディレクトリを設定したら、[次へ]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/0daf49bd-3103-0a0f-1754-34186c9cae2b.png)

８
新しいケース情報]ウィンドウに、審査官の名前やケース番号などの詳細を指定できる[オプション情報]セクションが表示されます。審査官の名前ケース番号(1001-125)を入力します。他のオプションのフィールドに入力することもできます。オプションのフィールドに詳細を入力したら、「完了」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d6d857d5-3453-77fd-4ca5-adccefe11743.png)

９
[データ ソースの追加]ウィンドウが表示され、 [追加するデータ ソースのタイプを選択]セクションが表示されます。ここでは、入力として提供されるデータ ソースのタイプを選択する必要があります。このラボでは、ディスク イメージを分析します。したがって、 [ディスク イメージ] または [VM ファイル]オプションを選択し、[次へ]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/fb0c2b70-b1fb-64c3-3ed9-e2489e9ecd2f.png)

１０
[データ ソースの追加]ウィンドウに[データ ソースの選択]セクションが表示され、調査するイメージの場所を選択する必要があります。[参照]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/15dbe5ce-d21a-8dee-69e8-0d9ea34b1381.png)

１１
フォレンジック イメージを指定する必要がある[開く]ウィンドウが表示されます。
Linux系の証拠(Linux_Evidence_001.img)を選択して、[開く]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/015000f1-a4d5-5906-619b-103340a0155a.png)

１２
画像ファイルのパスを設定したら、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d724128e-437b-e5a8-e7fe-e983fb32d7c9.png)

１３
「データ ソースの追加」ウィンドウに「取り込みモジュールの構成」セクションが表示されます。このセクションには、チェックされたオプションのリストが含まれています。要件に応じてオプションを選択し、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/09001b30-990e-079b-5299-73153ba18c31.png)

１４
[データ ソースの追加]ウィンドウに[データ ソースの追加]セクションが表示され、データ ソースが追加されたことが示されます。「完了」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/e5e33b41-a79f-cf2d-a625-5439e7f8319f.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/3e69b45d-e798-9d75-9529-f2a606f21b5f.png)

１５
アプリケーションはAutopsyメイン ウィンドウに結果を表示します。左側のペインで「データ ソース」ノードを展開し、イメージ ファイル ( Linux_Evidence_001.img )をクリックします。次のスクリーンショットに示すように、画像ファイルの内容が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/ca5d9d10-258b-abb5-395d-97f386b6a2ca.png)

１６
イメージ ファイル(Linux_Evidence_001.img)を展開して、その内容を確認します。イメージを展開すると、次のスクリーンショットに示すように、Autopsy によって Linux イメージのファイル システムが表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/c086ac4d-ae9c-6635-ffd5-3cf993e15de2.png)


１７
ファイルシステム分析の一環として、イメージに保存されているすべての必要なファイルを検査できます。このラボでは、 \etc の場所に保存されているpasswdファイルを表示します。したがって、左側のペインからetcフォルダーを選択します

１８
フォルダーを選択すると、 etcに存在するすべてのファイルとフォルダーがウィンドウの右側のペインに表示されます。

１９
ウィンドウを下にスクロールして、passwdファイルを選択します。

２０
「テキスト」タブをクリックします。

２１
Autopsy は、次のスクリーンショットに示すように、 passwdファイルに存在するすべてのテキスト (ユーザー アカウント情報) を[文字列]タブに表示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/98295679-4379-bdff-2362-9ca06870539d.png)

２２
同様に、[ファイル メタデータ]、[16 進数] 、および[注釈]タブをクリックして、選択したファイルに関するその他の詳細を表示します。

２３
このようにして、選択した他のすべてのファイルとフォルダーを分析して、それらに関する詳細情報を取得できます。

２４
ファイル システムの検査とは別に、検査するファイルのハッシュを計算することもできます。これは、証拠の整合性を検証するのに役立ちます。このラボでは、 /home/roger/Documents 内にあるSeatPlan.xlsという名前のファイルの MD5 ハッシュを計算します。

２５
このファイルの MD5 ハッシュ値を表示するには、左側のペインで[home] --> [roger] --> [Documents]を展開します。SeatPlan.xlsファイルが Autopsy ウィンドウの右側のペインに表示されます。ファイルをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/434fe2eb-c4da-9fa1-6269-63cd3b63a96b.png)

２６
[ファイルメタデータ]セクションには、ファイルの作成、変更、アクセス時刻とその MD5 ハッシュ値など、選択したフォルダー/ファイルのメタデータ情報が表示されます。

２７
[ファイル メタデータ]をクリックし、セクションを下にスクロールして、SeatPlan.xlsファイルの MD5 値を見つけます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f69cec05-70cc-a17e-aa29-62d94aee5253.png)

２８
削除されたデータの回復とファイル拡張子の不一致の検出のラボについては、「モジュール 05 アンチフォレンジック技術の打ち破り」で説明されています。

２９
調査に必要なAutopsyのすべてのオプションを詳細に検討します。

３０
開いているウィンドウをすべて閉じます。