デジタル・データの（正しい）コピー手順とキーポイントを考える際に、過去の失敗から何か学ぶ事ができるのか？と思い整理してみています。 小ネタとしてお話するには良いかもしれませんが、こういった事に注意してください！！と手順書に書いたところで意味…

皆さんの組織では、マルウェア感染したWindows PCが（組織内の）何処と通信したか？、を追跡できるログを取っていますでしょうか？ 先日のプログラム実行履歴についてTwitterで呟いたところ「次のトピックはSysmonですねｗ」と Haruyama さんから突っ込みを…

皆さん、プログラムの実行履歴って取られてますか？ Windows が標準で搭載している監査機能を利用すると、プログラムの実行をセキュリティログに残す事ができます。 具体的にはローカルセキュリティポリシーなどで、「プロセス作成の監査」を有効にすればイ…

マルウェアへの感染が発覚した場合、該当端末を一時的にネットワークから隔離し、その後、より詳細に調査を行うという手順が一般的に取られるかと思います。 明確な対応手順が決まってない組織では、ネットワークからの隔離後に色々と操作をしてしまい、せっ…

年金機構における標的型攻撃による情報漏えい事件を受け、様々な組織で同様のウイルス、マルウェアへの感染が無いか、一斉に点検や対応が行われているようです。 報道発表によれば、一連の攻撃で使われたマルウェアは Emdivi と呼ばれているマルウェアという…

例えばトレーニングで「電子メールに添付されたマルウェアに感染」したケースを説明しなければいけないとします。 受講者が事前に学習する必要がある項目には何があるのでしょうか？、関連する技術要素として、どこまで事前に知っている必要があるのか？とい…

基本的な処理（調査を開始する前に行う下ごしらえ？と言えるのかもしれませんが）に関する項目は以下でしょうか。 主にはファイルの種類を特定したり、既知ファイルを除外する、検索を行い関連するデータを特定するといった部分になり、アーティファクトのパ…

EnCase を使い始めてかなりの年数が経過していますが、他のツールも使うようになりつつあるので、一度 EnCase に対して（自分にとって）必要な項目を棚卸ししてみたいと思います。まずは、データの取得から表示辺りまで。 ■インストール・設定・ケース作成 …

引き続き、sqlparse v.1.1 のテストを行ってみます。 昨日はページ内の削除レコードを検出する部分を試したわけですが、ページ内での上書きが発生した場合やページ再利用時にどうなるかテストしてみます。 まず、昨日と同じくサンプルのデータベースファイル…

SQLite の削除データをパースするツール sqlparse v.1.1 を試してみたいと思います。 sqlparse v.1.1https://github.com/mdegrazia/SQLite-Deleted-Records-Parser/releases/tag/v.1.1 コマンドライン、GUI、Python スクリプトが提供されていますが、今回は …

Android のバックアップについては下記 URL で説明されていますが、写真や動画、については自動バックアップの設定を行う事ができます。 データをバックアップ、消去するhttps://support.google.com/nexus/answer/2819582?hl=ja 自動バックアップのオン/オフ…

Android のマルチユーザー機能に関連して「制限付きプロフィール」というユーザーを作成する事ができます。このユーザーは、Owner と同じ Google アカウントなどを使用しつつ使えるアプリケーションを制限したりする事ができます。ぺレンタルコントロールな…

AVD 上の Android でマルチユーザーを設定し、adb install コマンドで LINE をインストールしてみました。Owner と新しいユーザーの両方から LINE アプリケーションを起動する事ができますが、それぞれアプリケーションデータの保管場所は異なっています。 …

手元の Android 端末（Xperia Z Ultra）は、マルチユーザーに対応していませんので、マルチユーザー環境で adb backup がどの様に動作するかテストできません。 その為、SDK の Android Virtual Devie（AVD)を使い、エミュレータ上にマルチユーザー環境を作…

adb backup でバックアップしたアプリケーション（例えば LINE）のデータを、adb restore で（エミュレータ上の仮想Androidへ）リストアすると、アプリケーションがエラーで起動しなくなります。 この点について、Android_ID が異なる影響を受けるといった情…

adb backup を使えばアプリケーションのバックアップを取ることができ、バックアップしたデータは adb restore コマンドを使うことでリストアできます。 通常はバックアップを取得した実機へバックアップデータをリストアする事になりますが、いま使っている…

LINE の標準機能によるトークのバックアップですが、［すべてバックアップ］を使ってバックアップを取ってみたいと思います。 バックアップの選択で[すべてバックアップ]を選択した場合、画面上に以下のようなメッセージが表示されます。 トーク履歴ファイル…

adb backup でアプリケーションのバックアップを取るのではなく、アプリケーションが個別に持っているバックアップ機能によりバックアップを取ることも出来ます。 例えば LINE であれば、指定したトークルームのメッセージをバックアップする事が出来ます。 …

adb backup では個別のファイルを指定してバックアップを取ることはできません。adb コマンドには pull コマンドがありますので、個別ファイルは adb pull コマンドを使うことで取得できます。 しかし、コマンドラインから対象ファイルのフルパスを指定する…

Androidデバイスの内蔵ストレージとSDカードのデータをバックするのに、adb backup -shared オプションを使わずとも、PC に USB ケーブルで MTP（Media Transfer Protocol） モードで接続すれば Windows 上のエクスプローラから簡単にアクセスすることができ…

Content Provider 経由でアクセス可能な標準的なデータのバックアップを取る方法として、アプリケーションをインストールし、アプリケーション経由でデータをコピーする方法も案としてはあります。 HOWTO: Use AFLogical OSE for Logical Forensics of an An…

adb backup で取れないデータについても、Content Provider 経由でデータをバックアップする事ができる場合があります。 Facebook のほうで知ったのですが、adb shell conetnt コマンドというものがあり、このコマンド経由でアクセスする事が出来るようです…

adb backup コマンドによるバックアップでは、root を取得しているわけではありませんので、バックアップされていないデータも存在するようです。基本的な部分として、SMSやカレンダー、コンタクトが含まれてこないと下記では注記があります。 Full Backup o…

adb backup の -shared オプションですが、内蔵ストレージ、SDカード含めストレージのバックアップを取る事ができる点は便利なのですが、古いバージョンでは不具合があったり少し注意が必要なオプションです。 十分確認できていないのですが、Andrillerの作…

adb backup のオプションには -shared | -noshared があり、SDカード内データのバックアップを指定できます。 Android Backup Extractor の Readme.txt には下記記述があり、どうやら古いバージョン？のバックアップには問題があるようです。 Creating a bac…

adb backup のオプションで パッケージ名を指定する事で、個別アプリケーションのバックアップを行う事ができます。 デバイス内のアプリケーションを確認するには、adb shell pm list packages コマンドを使うことが出来ます。下記では -3オプションによりサ…

adb backup で取得したバックアップデータ内にあるパッケージフォルダと、adb shell pm list packages で取得したリストを比較してみます。 手元の Xperia Ultra Z には幾つかのアプリケーションを追加でインストールしていますが、adb shell pm list packag…

ここまでの adb backup コマンドでは、-apk は指定していませんでした。今回は -apk を指定して実行してみます。 adb backup -apk -all オプションとして apk を指定した場合、インストールされているアプリケーションの apk ファイルもバックアップ対象に含…

adb backup コマンドでバックアップを取る際、端末側の確認画面でパスワードを指定する事により、バックアップファイルを暗号化する事ができます。 Android Backup Extractor に添付されている Reame.txt には以下の記載があります。 - Android debugging br…

adb backup コマンドを使いバックアップファイルを作成しましたが、このバックアップファイルの内容を展開・確認するには環境の準備が必要になります。 ①Java 環境、②Cygwin環境 を手元の Windows 環境で設定しておく必要がありますので、それぞれ配布元のペ…