Newsgroup: it.comp.sicurezza.varie
Titolo: Progetto F.I.R.E. [analisi e commenti]

 Pareri ?
L'ho provicchiato ieri sera sul portatile e questa mattina, giusto per 
montare una partizione NTFS.
Il nome del progetto e' autoesplicativo, FIRE = Forensic and Incident 
Response Environment. 
Si tratta di una distribuzione linux creata "from scratch" su un cdrom 
bootabile. La versione sul sito e' 0.2, quindi ad uno stato abbastanza 
prematuro. Il kernel che monta e' la versione 2.4.18, compilata con il 
supporto per i kernel modules. A quanto ho visto dovrebbe girare 
abbastanza comondamente su qualunque PC.
Sono compilati i moduli per tutte le schede di rete supportate da linux, 
sia ISA/PCI che hotplug (PCcard e USB). Tutti i filing system supportati 
sono stati caricati come moduli (tutte le varie FAT, NTFS, ext2/3, HPFS 
(mi pare) e tutte le altre). C'e' da sottolineare che su questa versione 
del kernel, il supporto di NTFS in scrittura e' segnata come "dangerous", 
quindi consiglio prima di fare una copia fisica della partizione ntfs (il 
sistema mette a disposizione i tools necessari... e poi c'e' dd oppure 
l'ottimo netcat, con supporto per criptare i dati).
All'accensione LILO presenta diverse opzioni, FIRE in console, FIRE su 
seriale, Fire con supporto grafico(X). Il Window Manager scelto dagli 
sviluppatori e' l'ottimo Black Box. Purtroppo il supporto per il touchpad 
della synaptics non c'e', e quindi sul mio portatile ho dovuto 
disabilitarlo. Ho preferito quindi lavorare da console, accoppando X 
(ctrl-alt-BS).
In console e' presente una grafica a menu (curses), tuttavia e' molto 
incompleto e non permette di avere tutta la liberta' che si avrebbe da 
command line. Per aprire delle linee di comando occorre creare dei 
Virtual Terminal (che possono essere loggati oppure no, cosa essenziale 
per l'analisi forense) e spostarsi su di essi con ALT-n (n=1..6).
Ogni terminale loggato memorizza la pressione dei tasti con relativa 
tempistica (keylog).
I menu, e cosi' gli strumenti a disposizione, sono categorizzati in 4 
gruppi: base (setup del sistema) Forensic, Virus, Pen-Testing.
su "base" si possono settare la rete (ip/dns/gateway/eccetera) e la 
macchina in generale. Tali configurazioni sono "volatili", ovviamente.
Forensic raggruppa gli strumenti per l'analisi forense del sistema, sia 
"da vivo" che "post-mortem". Tra i tools che ho trovato da una rapida 
analisi, oltre a quelli per gestire le varie partizioni (da fdisk a 
mke2fs), vi sono quelli piu' di analisi: l'ottimo (mi si dice) autopsy, 
strumenti per la copia fisica del disco, chkrootkit, nonche' dei 
programmi per l'anilisi dei files critici di windows, ovvero regedit 
(lavora in rete), reg9x (su file), pwl9x (vi lascio immaginare).
Inoltre vi sono strumenti di amministrazione per reti, quali ethereal, 
snmpwalk, hping2...
Sotto virus (e questo e' l'aspetto piu' IT con il messaggio originale) vi 
e' la possibilita' di aggiornale l'AV da disco (meglio) o da rete 
(sconsigliato). l'AV in dotazione e' F-Prot (
www.frisk.is
), ma sento che 
presto ne arriveranno degli altri.
Sotto pen-testing sono tools per il penetration testing, e troviamo 
nessus, una variante di satan, arpspoof e tanti tanti altri.
Un commento e' d'obbligo.
Marcolfa originariamente aveva proposto l'utilizzo di questo sistema per 
resuscitare una macchina windows ferma.
In effetti molti di questi tools sono utili a tal fine: regedit, f-
prot... utile soprattutto la possibilita' di aggiornare le firme da 
floppy (le firme vengono copiate su ramdisk)
Gli strumenti a disposizione danno molto, molto di piu': per questo il 
sistema in generale mi pare abbastanza al di fuori della portata di un 
niubbo, anzi, dato lo stato di avanzamento del progetto (un po' un 
ossimoro, se volete, con la 0.2) trovo molto piu' pratico utilizzarlo in 
console, piuttosto che dal menu grafico. 
Inoltre vi sarebbero molti aggiustamenti da fare sul sistema in generale, 
per cui credo che bisognera' un po' attendere prima che il prodotto sia 
maturo.
Grossa mancanza, IMHO, l'assenza di un compilatore. E' vero che in un 
sistema del genere i tools devono essere gia' pronti e linkati 
staticamente, ma talvolta puo' tornare utile. 
Io, da parte mia, lo mettero' tra i tools utili, in attesa di trovare il 
tempo di crearmi un disco di emergenza tutto mio :)
HTH
HappyCactus
-- 
HappyCactus - Registered Linux User #209744 - >>> SMSPM950 <<<
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 strateigici con il Midnight Commander e salvarli molto piu' agevolmente.
Infatti.
Il che... mi porta a fare una considerazione.
Sarebbe bello, e forse neppure tanto tecnicamente difficile, implementare 
un linux from scratch con supporto FAT e NTFS (solo in lettura) con un 
numero molto minore di strumenti (antivirus, mc e poco altro) ma con una 
interfaccia molto "amichevole"...
HappyCactus propositivo...


 "amichevole"...
potrebbe anche essere fatto strizzando l'occhio alle esigenze di PG in
caso di indagini informatiche.
Di fatto queste non si distanziano molto da quelle dell'amministratore di
rete. Occorrerebbero giusto un paio di tool ad hoc.
--
Parsifal
(ancora nella buca che si č scavato dopo la figura di m...a di 2 ore fa...

 rete. Occorrerebbero giusto un paio di tool ad hoc.
Beh: ho visto un finanziere in difficolta' davanti al prompt "redhat 
Login:"... "ma non c'e' windows?"


Login:"... "ma non c'e' windows?"
LOL
Più che possibile. Tuttavia vi sono alcuni ufficilai ed agenti di PG
che si sforzano di studiare per tenersi al passo. Il problema è la
cronica mancanza di tempo e gli strettissimi tempi da dedicare alla
indagini. Personalmente ho anche incontrato marescialli che
masticavano pane e Unix. Dipende solo dalla specializzazione, dalla
possibilità di studiare e, soprattutto, dalla passione pwer
l'informatica.
Certo non è affatto facile rimettersi a studiare a 30 anni, dopo aver
superato esami, di tutt'altro genere, ma se c'è la passione di base si
fanno le nottate sui libri, sui NG e sul computer.
Certo si resterà sempre indietro anni luce rispetto a gente come te,
Firebeam, Thorin, Leonardo e Marcolfa, ma credo sia logico.
Importante è cercare di "sfruttarci" reciprocamente mettendo a
disposizione degli altri le rispettive conoscenze e cercando di
venirci incontro.
In conclusione. Se il progetto di un recovery cd dovesse prendere
piede, mi piacerebbe dare una mano (solo dal punto di vista
contenutistico!)perchè potrebbe diventare l'applicazione definitiva da
fare utilizzare alla PG per evitare errori o inutili vessazioni
all'indagato o, peggio, a chi lavora con lui.
Hola
-- 
Parsifal
http://www.telefonoarcobaleno.com

 all'indagato o, peggio, a chi lavora con lui.
La cosa e' terribilmente invitante, credimi. 
Magari se ne potrebbe parlare (in via del tutto teorica, per ora) in 
altra sede...
Un HappyCactus che un linux from scratch si mette in piedi in mezz'ora, 
tutto sta poi a scegliere bene gli strumenti (e configurarli).


altra sede...
Magari Parsifal ha bisogno di un UPS, di un hard disk SCSI da 40 Mb, o
di una tupla <IP_Addr, szUsername, szPwd>. O gli garba le tigelle.
Leonardo e un'idea, anzi due
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

 
Non è proprio vero.
Alcune informazioni si possono recuperare anche se sono state 
sovrascritte (e quindi rese illeggibili in un'eventuale copia 
digitale). E' quindi necessario che chi indaga possa avere a 
disposizione il disco originale (inteso come quello su cui si suppone 
siano state memorizzate le informazioni oggetto dell'indagine).
Sarebbe comunque possibile offrire all'indagato la possibilità di 
lavorare con il clone del suo disco originale salvando così capra (il 
lavoro dell'indagato e cavoli (il lavoro dell'inquirente).
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 di una tupla <IP_Addr, szUsername, szPwd>. O gli garba le tigelle.
uhm... si, penso proprio di si. :)


tutto sta poi a scegliere bene gli strumenti (e configurarli).
Un Parsifal che per scegliere puň anche scegliere, ma configurare ...

di una tupla <IP_Addr, szUsername, szPwd>. O gli garba le tigelle.
Il problema sta nel fatto che non sono in grado di realizzare quello
di cui avrei bisogno. Non saprei neppure da che parte iniziare. Il mio
problema č che ogni giorno che passo di fronte al computer scopro di
non sapere nulla. Parafrasando il buon Socrate io so solo di non
sapere e, purtroppo, non posso permettermi di dedicare a linux tutto
il tempo che vorrei.
Un domani spero di poter essere io a prepare l'arrosto, ma per ora
posso solo buttarmi sulle tigelle, cercado di offrire il mio piccolo
contributo senza limitarmi a scaldarle.  
D'altra parte č meno di un anno che ho scoperto linux e meno di due
mesi che lo utilizzo, sempre troppo poco ...
-- 
Parsifal
che poi le tigelle mica son cattive ;)

digitale). 
CUT
Partivo dal presupposto della flagranza (materiale illegale trovato,
nulla che lasci supporre che l'hard disk sia stato pulito).
Non a caso ho parlato di sequestro *probatorio*, volto alla mera
conservazione dei mezzi di prova. E' evidente che in  caso di
necessità di ulteriori indagini la situazione si capovolge ed è
necessario che sia l'AG ad acquisire l'hd (come nel tuo esempio).
E' evidente che nel caso in cui si disponga un cautelare non è
possibile limitarsi alla copia dell'ard disk, ma occorre sequestrare
l'originale, ma in tale occasione (essendo scopo della misura impedire
il protrarsi del reato o la commisione di nuovi reati) risulterebbe
impossibile anche consegnare al sequestrato copia dell'HD.
-- 
Parsifal

 pulito). 
Non avevo colto bene questo aspetto.
Comunque, soprattutto nel caso di reati gravi, avere il disco 
originale può essere utile, come minimo per essere sicuri del fatto 
che non sia stato cancellato niente anche perchè credo che chi ha 
materiale "scottante" sul suo disco cerchi comunque di ridurre al 
minimo il rischio e rimuova tutto quello che non è più necessario 
alla sua attività illegale (ex vecchi e-mail etc.).
E comunque, seguendo il ragionamento, non ha molto senso (per il 
rischio di reiterazione del reato) lasciare il disco o una sua copia 
nelle mani dell'indagato. Fa forse eccezione il caso in cui il PC sia 
stato sfruttato per attività illecite all'insaputa del suo 
proprietario (ex: server bucato o PC con un trojan che ha permesso a 
qualcuno di effettuare attività illegali sfruttando il PC come 
"gateway").


 contributo senza limitarmi a scaldarle.  
Penso che Leo si riferisse al mangiarle calde appena tolte dalla pietra. 
:) magari accompagnate da un buon vino del '96 :P
HappyCactus e il watermarking (steganografia? messaggi subliminali? boh!)


>impossibile anche consegnare al sequestrato copia dell'HD.
---REPORT/---
Ciao
-- 
Parsifal

HappyCactus e il watermarking (steganografia? messaggi subliminali? boh!)
Vediamo con le tigelle... ci vedrei bene un buon rosso
-- 
Parsifal

 cifra. :)
Stavo per tirarlo giu' anche io, ma avrei finito alle 10 di stasera :(
Comunque, IMHO, quella e' una distro fatta piu' per un linux bello e 
pronto (della serie: devo scrivere una lettera, faccio boot, login, 
openoffice, fine).
Credo che sarebbe buono avere qualche cosa di intermedio (magari meno 
tools, giusto l'av e poco altro, ma guidati da menu).
Magari ci si puo' pensare...


 Vediamo con le tigelle... ci vedrei bene un buon rosso
acqua, acqua... ;)


cifra. :)
Siamo in due ;)

che lo vedo riprendere qualcheduno per i motivi che tu pensi... IMHO.
Meglio cosě mi era preso un attacco da coda di paglia? ;)
--
Parsifal 

> cifra. :)
Fatto. Tirato giù knoppix e masterizzato, ho girato tutta la mattina x
trovare un negozio aperto che avesse cd da 700, ora appena a casa lo
provo con calma.
-- 
Parsifal