Windows vs Linux Forensics: Διαφορά και σύγκριση

Βασικές τακτικές

1. Τα Windows είναι ένα ευρέως χρησιμοποιούμενο λειτουργικό σύστημα που αποτελεί βασικό στοιχείο στον προσωπικό υπολογισμό για δεκαετίες.
2. Το Linux είναι ένα δημοφιλές λειτουργικό σύστημα ανοιχτού κώδικα που χρησιμοποιείται συνήθως σε διάφορους τομείς, συμπεριλαμβανομένων των διακομιστών, των επιτραπέζιων υπολογιστών και των ενσωματωμένων συστημάτων.
3. Τα Windows χρησιμοποιούν Σύστημα Αρχείων Νέας Τεχνολογίας (NTFS), ενώ η εγκληματολογία του Linux χρησιμοποιεί Ext4 και XSZ.

Τι είναι το Windows Forensics;

Το Windows Forensics αναφέρεται στη διαδικασία συλλογής, ανάλυσης και ερμηνείας ψηφιακών στοιχείων από λειτουργικά συστήματα Windows στο πλαίσιο μιας έρευνας ή μιας έρευνας. Αυτή η εγκληματολογική ανάλυση στοχεύει στην κατανόηση μιας σειράς γεγονότων, στην ανάκτηση χαμένων δεδομένων, στον εντοπισμό κακόβουλων δραστηριοτήτων ή στον προσδιορισμό των ενεργειών που γίνονται σε ένα συγκεκριμένο σύστημα. Ακολουθούν ορισμένα βασικά στοιχεία και εκτιμήσεις σχετικά με τα Windows Forensics:

1. Απόκτηση δεδομένων: Πριν από οποιαδήποτε ανάλυση, πρέπει να συλλέγονται δεδομένα από το ύποπτο σύστημα. Αυτό μπορεί να γίνει με διάφορους τρόπους, όπως η δημιουργία αντιγράφου (εικόνα) bit-for-bit του σκληρού δίσκου ή η καταγραφή περιεχομένων μνήμης RAM. Είναι σημαντικό να εκτελείτε αυτές τις λειτουργίες χωρίς να τροποποιήσετε τα αρχικά δεδομένα.
2. Ανάλυση Συστήματος Αρχείων: Τα Windows χρησιμοποιούν κυρίως το σύστημα αρχείων NTFS. Το Windows Forensics περιλαμβάνει την ανάλυση του Master File Table (MFT), ο οποίος παρακολουθεί όλα τα αρχεία σε έναν τόμο NTFS, τις ιδιότητές τους και τις τοποθεσίες τους. Εξετάζονται τα διαγραμμένα αρχεία, οι χρονικές σημάνσεις πρόσβασης στα αρχεία και άλλα σχετικά μεταδεδομένα.
3. Ανάλυση Μητρώου: Το μητρώο των Windows είναι μια ιεραρχική βάση δεδομένων που αποθηκεύει ρυθμίσεις χαμηλού επιπέδου για το λειτουργικό σύστημα και τις εφαρμογές που εκτελούνται στην πλατφόρμα. Η εγκληματολογική ανάλυση μπορεί να ανακτήσει πληροφορίες σχετικά με το εγκατεστημένο λογισμικό, τη δραστηριότητα των χρηστών, τις συνδέσεις δικτύου και πολλά άλλα από το μητρώο.
4. Αρχεία καταγραφής συμβάντων: Τα Windows διατηρούν λεπτομερή αρχεία καταγραφής συμβάντων που παρακολουθούν τις δραστηριότητες του συστήματος, τα σφάλματα, τις προειδοποιήσεις και τα ενημερωτικά συμβάντα. Οι ιατροδικαστές μπορούν να αναλύσουν αυτά τα αρχεία καταγραφής για να λάβουν μια χρονολογική εικόνα των γεγονότων και να κατανοήσουν τυχόν ανωμαλίες ή ύποπτες δραστηριότητες.
5. Τεχνουργήματα Διαδικτύου: Η ανάλυση των ιστορικών του προγράμματος περιήγησης, της προσωρινής μνήμης, των cookie και άλλων αρχείων που σχετίζονται με τον ιστό μπορεί να αποκαλύψει ιστότοπους που έχετε επισκεφτεί, αρχεία λήψης και άλλες διαδικτυακές δραστηριότητες.
6. Ιατροδικαστική μνήμης: Η ανάλυση των περιεχομένων της μνήμης RAM ενός συστήματος μπορεί να αποκαλύψει τρέχουσες διεργασίες, ανοιχτά αρχεία, συνδέσεις δικτύου και πολλά άλλα. Αυτή η «πτητική μνήμη» περιέχει πολύτιμες πληροφορίες που δεν διατηρούνται μετά την απενεργοποίηση του υπολογιστή.
7. Ανάκτηση Διαγραμμένων Δεδομένων: Ακόμα κι αν τα δεδομένα έχουν διαγραφεί ή έχει γίνει προσπάθεια διαγραφής τους, τα εγκληματολογικά εργαλεία μπορούν να ανακτήσουν θραύσματα ή ολόκληρα αρχεία με βάση τον τρόπο με τον οποίο τα Windows χειρίζονται τη διαγραφή.
8. Εργαλεία ανάλυσης: Διάφορα εξειδικευμένα εργαλεία όπως το Encase, το FTK (Forensic Toolkit), το Volatility και άλλα έχουν αναπτυχθεί ειδικά για τα Windows Forensics. Αυτά τα εργαλεία βοηθούν τους ιατροδικαστές να αυτοματοποιήσουν και να απλοποιήσουν πολλές σύνθετες εργασίες.
9. Αλυσίδα Επιμέλειας: Η διατήρηση μιας σωστής αλυσίδας επιμέλειας είναι ζωτικής σημασίας σε νομικά πλαίσια. Αυτό διασφαλίζει ότι τα ψηφιακά αποδεικτικά στοιχεία παραμένουν άθικτα και μη μολυσμένα και ότι είναι ανιχνεύσιμα στην πηγή. Οποιεσδήποτε αλλαγές ή μη εξουσιοδοτημένη πρόσβαση μπορεί να θεωρήσει τα αποδεικτικά στοιχεία απαράδεκτα στο δικαστήριο.

Το Windows Forensics είναι απαραίτητο για την ασφάλεια στον κυβερνοχώρο, τις νομικές έρευνες και την αντιμετώπιση περιστατικών. Δεδομένης της επικράτησης των συστημάτων Windows παγκοσμίως, η τεχνογνωσία σε αυτόν τον τομέα παραμένει ιδιαίτερα περιζήτητη.

Τι είναι το Linux Forensics;

Η εγκληματολογία του Linux είναι ένα υποχρεωτικό πεδίο στις ψηφιακές έρευνες και την ασφάλεια στον κυβερνοχώρο. Έχει γίνει ένα ευρέως χρησιμοποιούμενο λειτουργικό σύστημα σε περιβάλλοντα διακομιστών και προσωπικούς υπολογιστές. Περιλαμβάνει την εφαρμογή εγκληματολογικών τεχνικών και εργαλείων για τη συλλογή, διατήρηση, ανάλυση και ερμηνεία ψηφιακών στοιχείων από συστήματα Linux.

Αυτό στοχεύει κυρίως στη συλλογή, εξαγωγή και ανακατασκευή ανακουφισμένων πληροφοριών από διάφορες πηγές εντός του περιβάλλοντος Linux, όπως αρχεία καταγραφής, μνήμη, δίκτυο, κίνηση και διαμορφώσεις συστήματος. Αυτή η διαδικασία βοηθά τους ερευνητές να κατανοήσουν το χρονοδιάγραμμα των γεγονότων, να εντοπίσουν πιθανούς εισβολείς ή κακόβουλες δραστηριότητες και να παράσχουν στοιχεία για νομικές διαδικασίες.

Η ανάλυση μνήμης είναι ένα ουσιαστικό μέρος της εγκληματολογίας του Linux. Οι ερευνητές καταγράφουν την πτητική μνήμη (RAM) ενός συστήματος Linux για να εξάγουν πολύτιμες πληροφορίες όπως εκτελούμενες διαδικασίες, συνδέσεις δικτύου, ανοιχτά αρχεία και υπολείμματα κακόβουλου κώδικα ή δραστηριότητας. Περιλαμβάνει επίσης την αντιμετώπιση διαφόρων αντιεγκληματολογικών τεχνικών και αντίμετρων που χρησιμοποιούνται από τους επιτιθέμενους για να εμποδίσουν ή να αποφύγουν τον εντοπισμό.

Διαφορά μεταξύ Windows και Linux Forensics

1. Το πιο συχνά χρησιμοποιούμενο σύστημα αρχείων στα Windows είναι το NTFS (New Technology File System), ενώ το διαδεδομένο σύστημα αρχείων στο Linux περιλαμβάνει Ext4 και XFS.
2. Το μητρώο των Windows είναι μια κεντρική, ιεραρχική βάση δεδομένων, ενώ τα συστήματα Linux δεν διαθέτουν ισοδύναμο κεντρικό μητρώο όπως τα Windows.
3. Τα Windows βασίζονται σε ιδιόκτητα εργαλεία και λογισμικό όπως το Encase και το FTK, ενώ το Linux, από την άλλη πλευρά, χρησιμοποιεί εργαλεία ανοιχτού κώδικα όπως το κιτ Sleuth και το Autopsy.
4. Τα Windows χρησιμοποιούν ένα σύστημα λίστας ελέγχου πρόσβασης (ACL) για τη διαχείριση συστημάτων αρχείων, ενώ το Linux χρησιμοποιεί ένα διαφορετικό μοντέλο δικαιωμάτων με βάση τα δικαιώματα κατόχου, ομάδας και άλλων δικαιωμάτων.
5. Τα Windows επικεντρώνονται σε τεχνουργήματα όπως αρχεία καταγραφής συμβάντων, Prefetch και αρχεία συνδέσμων. Ταυτόχρονα, η εγκληματολογία του Linux περιλαμβάνει την ανάλυση αρχείων καταγραφής, αρχείων καταγραφής συστήματος και άλλων τεχνουργημάτων ειδικά για το περιβάλλον Linux.

Σύγκριση μεταξύ Windows και Linux Forensics

Παράμετροι σύγκρισης	Windows	Linux Forensics
Το σύστημα αρχείων	NTFS (σύστημα αρχείων νέας τεχνολογίας)	Ext4 και XFS
μητρώου	Κεντρική ιεραρχική βάση δεδομένων	Δεν υπάρχει κεντρικό μητρώο
Εργαλεία και λογισμικό	Encase και FTK	The Sleuth Lit and Autopsy
Άδεια αρχείου	Χρησιμοποιεί τη λίστα ελέγχου πρόσβασης (ACL) για τη διαχείριση αρχείων	Διαφέρει ανάλογα με τα δικαιώματα κατόχου, ομάδας και άλλων δικαιωμάτων
Τεχνουργήματα	Αρχεία καταγραφής συμβάντων, προανάκτηση αρχείων και αρχείων συνδέσμων	Αρχεία καταγραφής και αρχεία καταγραφής συστήματος

αναφορές

1. https://commons.erau.edu/adfsl/2015/tuesday/6
2. https://www.sciencedirect.com/science/article/pii/S1742287618301944

Τελευταία ενημέρωση: 14 Αυγούστου 2023