Windows イメージのファイル システムを分析する


◆目的
The Sleuth Kit を使用してファイル システム分析を学習し、実行できるように支援することです。Sleuth Kit (TSK) は、次の情報を取得するために使用されます。
・ファイルシステムの種類
・メタデータ情報
・コンテンツ情報

◆概要
The Sleuth Kit を使用したファイル システム分析について、使用されるファイル システムのタイプ、イメージ内のファイルとフォルダーの内容、イメージに関連するメタデータ情報などの情報をイメージ ファイルから取得する方法を理解するのに役立ちます。

１
Sleuth キットは、場所に移動し、binフォルダーを選択し、Shift キーを押しながら右クリックし、コンテキスト メニューから [ここでコマンド ウィンドウを開く]を選択してコマンド プロンプト ウィンドウを開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f257b9c0-31eb-db9a-1d34-313354a07a52.png)

２
調査に 2 つの証拠ファイルWindows_Evidence_001.ddとWindows_Evidence_002.ddを使用します( Windows_Evidence_002.ddはパーティション テーブルを表示し、Windows_Evidence_001.dd はイメージに関連付けられた情報を表示し、含まれているファイルとフォルダーを取得します)画像内）。

３
Windows_Evidence_002.ddに関連付けられたパーティション テーブルを表示するには、mmls「C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_002.dd」と入力し、 Enterを押します。次のスクリーンショットに示すように、イメージ ファイルに関連付けられたボリューム システムのパーティション レイアウト (パーティション テーブル) が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/8e570ecf-5432-61d0-6ea9-c7eb4f5eaefe.png)

４
同様に、イメージに関連するファイル システムの種類と OS を表示するには、「fsstat "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 」と入力し、 Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/4d77cc02-98b2-bb84-eefe-d7dd8f4804b0.png)

５
上のスクリーンショットから、ファイル システムはNTFSで、ソース OS はWindows XPであることがわかります。

６
img_statコマンドを使用して、選択したイメージの詳細を表示します。「img_stat "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd"」と入力し、Enter キーを押して詳細を表示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f95aa9f2-b771-e59d-3915-b5f509a40ae0.png)

７
The Sleuth Kitのistatツールを使用して、メタデータ構造の詳細を表示します。

８
MFT ファイルの概要を表示するには、istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 0と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/af87d90b-9320-7adb-b22b-980163b1454f.png)

!　マスターファイル テーブル (MFT) には、すべてのファイルとディレクトリのエントリがあります。したがって、他のすべてのファイルを検索する必要があります。MFT のレイアウトは、MFTのエントリ0を処理することによって決定されます。

９
MFTMirrファイルの概要を表示するには、istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 1と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7e94c2ca-7f59-197f-8a30-52a99d1358a4.png)
！　MFT エントリ1はMFTMirrファイル用で、最初の MFT エントリのバックアップ コピーを含む非常駐属性を持ちます。

１０
ブート ファイルの概要を表示するには、istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 7と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7c8e25d2-293f-3b49-d601-d3bd036cf7ac.png)
！　ブート ファイル システムのメタデータ ファイルは MFT エントリ7にあり、ファイル システムのブート セクタが含まれています。

１１
ボリューム ファイルシステムのメタデータ ファイルの概要を表示するには、「istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 3」と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/52d8c31b-e5a3-1eea-9e57-11e991df942f.png)
！　ボリューム ファイル システム メタデータ ファイルは MFT エントリ3にあり、ボリューム ラベルおよびその他のバージョン関連情報が含まれています。

１２
AttrDef ファイルの概要を表示するには、「istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 4」と入力し、 Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/c6f080a3-c25b-54fb-7600-c99480f77c99.png)
！　AttrDef ファイルシステム メタデータ ファイルの MFT エントリは4です。これは、属性の各タイプの名前とタイプ識別子を定義します。

１３
ビットマップ ファイルの概要を表示するには、istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 6と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/6e6e51f9-1234-038c-f90e-2ee6c370e08d.png)
！　クラスターのステータスを決定するビットマップ ファイル システム メタデータ ファイルの MFT エントリは6です。

１４
BadClus ファイルの概要を表示するには、「istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 8」と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/ffaa97cf-d335-2f43-af0b-c3d5825987cf.png)

！　NTFS は、破損したクラスタを BadClus ファイル システム メタデータ ファイルの $DATA 属性に割り当てることで、それらを追跡します。MFT エントリは8です。

１５
セキュア ファイルの概要を表示するには、istat -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 9と入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/79c8c006-8aef-dd7c-9286-89c242c610b6.png)
！　セキュア ファイル メタデータ ファイルには、ファイルまたはディレクトリのアクセス制御ポリシーを定義するセキュリティ記述子が格納されます。その MFT エントリは9です。

１６
TSK の fls コマンドライン ツールを使用して、ファイルとディレクトリ名の一覧を表示します。「fls -f ntfs "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" 」と入力し、Enter キーを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/4ec41c70-6d9d-fcac-f65d-ef8d26423b50.png)

１７
ここで、 tsk_recoverモジュールを使用してイメージからこれらのファイルを回復します。このモジュールを実行する前に、デスクトップにRetrieved Files by SleuthKitという名前のフォルダーを作成する必要があります。

１８
フォルダーを作成したら、コマンド プロンプトに戻り、コマンドtsk_recover -i raw -e "C:\CHFI-Tools\Evidence Files\Forensic Images\Windows_Evidence_001.dd" "C:\Users\Administrator\Desktop\Retrieved" を入力します。 SleuthKit によるファイル」を選択し、Enterを押します。

１９
-iスイッチはイメージのタイプを表します。ddファイルを使用しているため、コマンドで指定したイメージ タイプは「raw」です。-eスイッチを入力すると、すべてのファイル (割り当て済みおよび未割り当ての) をリカバリするようツールに指示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f7b1ee4a-2fc8-e42c-9fe1-a8a3f8bdf911.png)　

２０
ツールはフォレンジック イメージからファイルの取得を開始します。完了すると、次のスクリーンショットに示すように、回復されたファイルの数を表示するメッセージが返されます。

！　回復プロセス中に発生するエラーは無視してください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/e443d0ab-b40f-89f1-4f40-72deda4a9e4c.png)

２１
取得したファイルを表示するには、デスクトップに移動し、 「Retrieved Files by SleuthKit」フォルダーを開きます。次のスクリーンショットに示すように、取得したファイル/ディレクトリを表示できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/30881170-243f-d032-9217-f6fe8b8db90b.png)

２２
このようにして、 The Sleuth Kitを使用して、画像ファイル内に含まれるデータに関連する情報を取得し、そこからファイルとフォルダーを取得できます。

２３
開いているウィンドウをすべて閉じます。