フォレンジック
SANS Windows Artifact Analysis: Evidence of..ポスターの最初の項目は File Download となっており、Open/Save MRU に含まれている OpenSavePIDlMRU を確認してみました。 ファイルダウンロードカテゴリには含まれていませんが、似たカテゴリにファイルオ…
更に続きのデータとしては、Page 5 2.2.4. Users 0x00 shell item が続きます。先頭2バイトがアイテムのサイズ、クラスタイプがあり、データサイズがかなり長いことが分かります。（ファイル名などはこのデータ範囲内に入ってきています）Page 5に従ってパー…
2.2.4. Users 0x00 shell item のデータをパースしてきていますが、下記のデータ部分は extension Block という事が分かりました。 2A 00 00 00 00 00 EF BE 00 00 00 20 00 00 00 0000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 0000 00 00 00 01 00 00 0…
2.2.4. Users 0x00 shell itemのデータをパースしてみます。 先のデータ構造により、{031e4825-7b94-4dc3-b131-e946b44c8dd5}（Users Libraries） が指定されていますので、この続きのデータについては 2.2.4. Users 0x00 shell item でパースしていきます。…
昨日のレジストリキー OpenSavePidMRU ですが、バイナリデータの構造となっており、その内容は Windows Shell Item 構造となっています。 一部パースするツールがこの構造をうまく読めず、正しく結果を得られないようですので内容を確認しておきたいと思いま…
SANS Windows Artifact Analysis: Evidence of..ポスターの最初の項目は File Download となっています。このカテゴリでは Open/Save MRU、E-mail Attachments、Skype History、Index.dat/Plases.sqlite、Download.sqlite と 6個のデータがリストアップされ…
SANSが提供しているポスターの一つに、Windows Artifact Analysis: Evidence of..というものがあります。 Community: Cheat Sheets DFIR "Evidence of..." Poster http://digital-forensics.sans.org/media/poster_fall_2013_forensics_final.pdf このポスタ…
Excelでタイムラインを扱うのは簡単ですが、もう少し可視化する方法としてSplunkを使う方法について詳細が下記URLの記事で紹介されています。 Forensic timeline Splunking Fast and powerful searching of timeline data http://kleinco.com.au/thoughts-ev…
Log2timeline Ver 0.66 に含まれているパーサとして ftk_dirlisting（Parse the content of a CSV file that is exported from FTK Imager (dirlisting)）があります。 FTK Imagerでディレクトリリストを作成し、それをパースする事が出来るようですので、確…
Log2timeline Ver 0.66 に含まれているパーサとして mft（Parse the content of a NTFS MFT file）があります。NTFS のマスターファイルテーブルをパースする為のものですが、単体で使った場合の状況を確認しておきたいと思います。 サンプルとして、NTFSフ…
Log2timeline.py(Plaso）または Ver 0.66 のパーサをこれまで試してきました。 全てのパーサをテストしてはいませんが、ここまでテストした結果を整理しておきたいと思います。 なお、SIFT 3.0 環境とテストデータによる結果ですので、処理するデータや環境…
Log2timeline.py(Plaso）または Ver 0.66 で作成した CSV 形式のタイムラインは Excel などで開く事が出来ます。そのまま Excel で取り扱う事もできますが、SANS から項目により色分けし見やすくするためのExcel テンプレートファイルが提供されています。 D…
Log2timeline.py(Plaso）のパーサリストの所在を確認しておきたいと思います。 log2timeline.py --info でパーサのリストを取得できます。このリストには個別のパーサだけでなく、事前に定義されている linux や win7、winxp といったものがあります。複数の…
SIFT 3.0 に含まれている l2t_process ver 0.2 の具体的な実行結果について確認してみたいと思います。（l2t_process.pyではないので注意してください） 読み込み時の日付フォーマットをMM-DD-YYYYではなくyyyy-mm-ddで読む形式に変更する(-y) Keywordファイ…
Log2timeline（Plaso）のパーサモジュールではなく、出力結果の取り扱いについて確認しておきたいと思います。Plaso には psort.py が提供されており、Plasoストレージを対象にソート処理などを行う事ができます。これはすでに試してみていますので、以下 l2…
Log2timeline（Plaso）には含まれていませんので脱線した話題になりますが、Ver 0.66 には jp_ntfs_change（Parse the content of a CSV output file from JP (NTFS Change log) というパーサが提供されています。 これは、NTFS のジャーナルファイル $UsnJr…
Log2timeline（Plaso）にはWindows FireWallのログファイルをパースする WinFirewallParser（Parses the Windows Firewall Log file）が、Ver 0.66 には xpfirewall（Parse the content of a XP Firewall log）が提供されています。 まずPlasoの WinFirewall…
Log2timeline（Plaso）にはタスクスケジューラのジョブファイルをパースする WinJobParser（Parse Windows Scheduled Task files for job events）が提供されています。このパーサは Ver 0.66 では提供されていないものです。 タスクスケジューラのジョブフ…
Log2timeline（Plaso）の SkyDrive（現在のOneDrive）のパーサ SkyDriveLogParser(Parse SkyDrive log files.)を試してみたいと思います。 SkyDrive（現在はOneDrive）については、データ同期用のフォルダが C:\Users\<ユーザー名>\OneDrive に作成されます…
Log2timeline（Plaso）には、クラウドストレージに対応したプラグインとして、GoogleDriveParser（Parser for Google Drive snapshot.db files）と、SkyDriveLogParser（Parse SkyDrive log files）の二つが提供されています。これら二つのパーサは Ver 0.66…
Log2timeline（Plaso）の PcapParser（Parses PCAP files）に続き、Ver 0.66 の pcap パーサについても試してみたいと思います。 root@siftworkstation:/cases# log2timeline -f pcap -r -o csv -z UTC -log out1.log -w pcaptimeline066.txt /cases/pcap/ …
Log2timeline（Plaso）と Ver0.66 には、PCAPファイルをパースする PcapParser（Parses PCAP files）、pcap が提供されています。 これまでに試したパーサはいずれもディスク上に存在しているデータがパース対象になっていましたが、これらはネットワーク上…
Log2timeline（Plaso）の WinRegistryParser 後半部分のプラグインになります。Plaso のプラグインが確認していないレジストリ内のアーティファクトについては、Regripper など別ツールでパースしていく必要があります。 MsieTypedURLsPlugin : Gathers the …
Log2timeline（Plaso）の WinRegistryParser ですが、複数のプラグインが含まれています。Registry Plugins としてリストアップされる項目について、それぞれが参照しているレジストリキーについて確認してみます。数がありますので、まずは前半部分のプラグ…
Log2timeline（Plaso）と Ver 0.66 いずれにも含まれているパーサーとしては、レジストリファイルがあります。 Plasoでは WinRegistryParser（Parses Windows NT Registry (REGF) files.）、Ver 0.66 では sam、security、system、software、ntuser が対応し…
Log2timeline（Plaso）にはゴミ箱ファイル関連のパーサとして、Windows Vista以降で使われている$Iファイル形式のパースに対応した WinRecycleParser（Parses the Windows $I recycle files）が含まれています。 Windows Vista/7 ではゴミ箱にファイルを移動…
Log2timeline（Plaso）と Ver 0.66 いずれにも含まれているパーサーとしては、Windows XPのゴミ箱ファイル（Info2）に対応したものがあります。 Plasoでは WinInfo2Parser（Parses the Windows INFO2 recycle bin file.）、Ver 0.66 では recycler が対応し…
Log2timeline（Plaso）と Ver 0.66 いずれにも含まれているパーサーとして IE のヒストリとキャッシュのパーサがあります。Plasoでは MsiecfParser（Parses MSIE Cache Files (MSIECF)）が提供されており、説明文からすればキャッシュの Index.dat をパース…
Log2timeline（Plaso）と Ver 0.66 いずれにも含まれているパーサーとして WinPrefetchParser があります。Windows が作成するプリフェッチファイル（.pf)をパースしてくれるはずですが、日本語のファイル名などの扱いがどうなっているのか確認してみたいと…
Log2timeline（Plaso）にも、0.66 にも含まれているパーサーとして WinLnkParser があります。いわゆるショートカットファイル（.LNK) をパースしてくれるはずですが、LNK ファイルは内部構造として日本語文字列が含まれている部分もあります。 まずは、Plas…
