Windows Vista Forensics. - ein Überblick DFN-CERT Workshop 13./ Hamburg

Transkript

1 Windows Vista Forensics - ein Überblick DFN-CERT Workshop 13./ Hamburg Alexander Geschonneck Director Security & Risk Consutling HiSolutions AG

2 Agenda Neue Pfade Transactional File System Transactional Registry Volume Shadow Service Änderungen bei den Zeitstempeln Änderungen an der Registry Änderungen an den Event Logs Änderungen beim Papierkorb SuperFetch Bitlocker 2008, HiSolutions AG Windows Vista Forensics 2

3 Unternehmensprofil Information Security & Risk Consulting Sicherer und wirtschaftlicher IT-Betrieb

4 Eigenschaften des NTFS Dateisystems New Technologies File System (NTFS) Standard Dateisystem im Arbeitsstations- und Serverumfeld von Microsoft Systemen Von Microsoft werden kaum Details über das Layout veröffentlicht Neue Betriebssystemgenerationen brachten auch neue NTFS Versionen NTFS 1.X - Windows NT 3.51 NTFS 2.X - Windows NT 4.0 NTFS Windows 2000 (NT 5.0) NTFS Windows XP (NT 5.1) NTFS Windows Server 2003 (NT 5.2) NTFS 5.x - Windows Vista (NT 6.0) Grundlage des Konzeptes: Alles wird in Dateien gespeichert NTFS 5: Erweiterungen im Dateisystem selbst, viele Änderungen beziehen sich hauptsächlich auf die Art und Weise, wie Windows Vista mit den gespeicherten Objekten während des Lebenszyklus der Dateien umgeht. Für den Ermittler ist es wichtig, alle Änderungen am Dateisystem zu kennen, damit er an den neuen Stellen nach entsprechenden Beweisspuren suchen kann. 2008, HiSolutions AG Windows Vista Forensics 4

5 Änderungen an den Benutzerprofilen Die größte Änderung ist der neue Speicherort für die Vista-Benutzerprofile Unter Windows 2000, XP und 2003 gab es in der deutschen Version standardmäßig das Verzeichnis %Systemroot%\Documente und Einstellungen. Unter Windows Vista gibt es immer egal in welcher Sprachinstallation das Verzeichnis %Systemroot%\Users Virtuelle Verzeichnisse werden angelegt, wenn der Benutzer nicht über die ausreichenden Rechte verfügt C:\Users\<Benutzername>\AppData\Local\VirtualStore\ 2008, HiSolutions AG Windows Vista Forensics 5

6 Neue Pfade in Vista Windows XP \Documents and Settings* \Documents and Settings\<Benutzername> \Documents and Settings\<Benutzername>\Local Settings* \Documents and Settings\ <Benutzername> \Recent* \Users \Users\<Benutzername> Windows Vista \Users\<Benutzername>\AppData\Local \Users\<Benutzername>\AppData\Roaming\Microsoft\Win dows\recent \Documents and Settings\ \<Benutzername> \Start Menu* \Users\<Benutzername>\AppData\Roaming\Microsoft\Win dows\start Menu \Documents and Settings\<Benutzername> \Local Settings\History \Documents and Settings\Local Settings\ <Benutzername> \ Temporary Internet Files \Users\<Benutzername>\AppData\Local\Microsoft\Window s\history \Users\<Benutzername>\AppData\Local\Microsoft\Window s\temporary Internet Files \Documents and Settings\<Benutzername>\Application Data* \Documents and Settings\<Benutzername>\Cookies* thumbs.db \Recycled oder \Recycler\SID \Users\<Benutzername>\AppData \Users\<Benutzername>\AppData\Roaming\Microsoft\Win dows\cookies\low \Users\<Benutzername>\AppData\Local\Microsoft\Window s\explorer \$Recycle.Bin\SID * Vista NTFS Reparse Point 2008, HiSolutions AG Windows Vista Forensics 6

7 NTFS Reparse Points NTFS Reparse Points zeigen an, dass eine Datei oder ein Verzeichnis nicht innerhalb des Dateisystems liegt, sondern von einem eigenen Dateisystemtreiber behandelt wird und von einer anderen Quelle stammt. Unter Vista sind zwei Arten von NTFS Reparse Points implementiert: Junctions und Symbolic Links Junctions werden seit Windows 2000 verwendet um Verzeichnisse in andere (Root-) Verzeichnisse einzuhängen (Die Beschränkung auf Root-Verzeichnisse ist mit Vista aufgehoben) Symbolische Links können sowohl auf Dateien und Verzeichnisse des eigenen Volumes zeigen, als auch auf Objekte in anderen Volumes oder im Netz Die aus Vista-Vorgängerversionen bekannten Hard Links gibt es ebenfalls noch. (Verlinkung von bis zu 1023 Dateinamen auf eine Datei möglich - nicht auf Verzeichnisse). 2008, HiSolutions AG Windows Vista Forensics 7

8 C:\Documents and Settings ist ein symbolischer Link Der NTFS Reparse Point verlinkt C:\Documents and Settings nach C:\Users. 2008, HiSolutions AG Windows Vista Forensics 8

9 Reparse Points im Benutzerverzeichnis von Vista <Benutzername>\Anwendungsdaten <Benutzername>\AppData\Roaming <Benutzername>\Cookies <Benutzername>\AppData\Roaming\Microsoft\Windws\Cookies <Benutzername>\Lokale Einstellungen <Benutzername>\AppData\Local <Benutzername>\Eigene Dateien <Benutzername>\Documents <Benutzername>\Netwerkumgebung <Benutzername>\AppData\Roaming\Microsof\Windows\Network Shortcuts <Benutzername>\Druckumgebung <Benutzername>\AppData\Roaming\Microsof\Windows\Printer Shortcuts <Benutzername>\Recent <Benutzername>\AppData\Roaming\Microsof\Windows\Recent <Benutzername>\SendTo <Benutzername>\AppData\Roaming\Microsof\Windows\SendTo <Benutzername>\Startmenü <Benutzername>\AppData\Roaming\Microsoft\Windows\Start Menu <Benutzername>\Vorlagen <Benutzername>\AppData\Roaming\Microsof\Windows\Templates <Benutzername>\Documents\Eigene Musik <Benutzername>\Music <Benutzername>\Documents\Eigene Bilder <Benutzername>\Pictures <Benutzername>\Documents\Eigene Videos <Benutzername>\Videos 2008, HiSolutions AG Windows Vista Forensics 9

10 2008, HiSolutions AG Windows Vista Forensics 10

11 Hintergrund: MAC Zeitstempel Repräsentieren eine der wichtigsten Quellen um Indizien bei der Systemnutzung zu belegen Dateisysteme verwenden in der Regel mindestens 3 Zeitstempel (NTFS hat 4) Gehören zu der Gruppe der fragilen Daten Vorsicht bei Live Response! Die Analyse der MAC-Times bringt Erkenntnisse über den letztmaligen Zugriff (Aufruf oder auch Ansicht), den letzten Zeitpunkt der Änderung von Dateiattributen der Dateien in einem Dateisystem sowie deren Erstellungszeitpunkt Viele Zeitstempel sind aber auch einfach manipulierbar (bis auf MFT Last Modified) 2008, HiSolutions AG Windows Vista Forensics 11

12 Hintergrund: Bisherige MAC-Time Analyse Windows Modification -Time letzte Modifikation Zeitstempel wird aktualisiert, wenn sich der Inhalt der Datei verändert Beim Kopieren oder Verschieben nicht verändert Bei Veränderung des Dateinamens oder der Dateiattribute nicht verändert Access-Time letzter Zugriff Zeitstempel wird aktualisiert, wenn Metadaten oder Dateiinhalte angezeigt werden - Anzeige von Dateieigenschaften - Öffnen von Dateien Creation -Time Erstellung Zeitstempel wird bei neuer Erstellung oder Kopie einer Datei aktualisiert Beim Verschieben wird dieser Zeitstempel nicht aktualisiert MFT modified MFT modifiziert Zusätzlicher Zeitstempel im NTFS Dateisystem Aktualisiert, wenn sich eines der Attribute der Einträge in der MFT ändert - Applikation öffnet Datei - Umbenennung oder Verschiebung innerhalb des selben Datenträgers - Bei Verschiebung auf einen anderen Datenträger nicht aktualisiert Nicht für die Standardwerkzeuge (Explorer) sichtbar Manipulationen der anderen Zeitstempel stellenweise erkennbar 2008, HiSolutions AG Windows Vista Forensics 12

13 Kein Last Access Zeitstempel unter Vista Das Schreiben des Last Access Timestamps ist bei Windows Vista in einer Standardinstallation deaktiviert! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisableLastAccess Update Ermittlungen, die auf der Analyse des Last Access Timestamp basieren, sind nun mit einem Schlag nicht mehr möglich! 2008, HiSolutions AG Windows Vista Forensics 13

14 Volumenschattenkopien (Volume Shadow Copy Service) Volumenschattenkopien (Volumesnapshots) sind seit Vista nun standardmäßig aktiviert (seit Windows 2003 benutzbar) Volumesnapshot Provider-Treiber überwacht Volumenvorgänge und erstellt Sicherungskopien von Sektoren Die ursprünglichen Daten werden in einer Datei gespeichert, die dem Snapshot im Verzeichnis %Systemroot\System Volume Information des Volumes zugeordnet ist Bis zu 64 Schattenkopien können zu einem beliebigen Zeitpunkt auf einem Volume aufbewahrt werden, vorausgesetzt der Speicherbereich für Schattenkopien verfügt über genug Speicherplatz. Wenn die maximale Speicherplatzbeschränkung erreicht ist, werden ältere Schattenkopien gelöscht, um Platz für die neuen zu schaffen. Volumesnapshots können sowohl in einer VMWare-Umgebung (Liveview) betrachtet werden, als auch direkt über die binären Shadow-Dateien eines Image im Verzeichnis %Systemroot\System Volume Information untersucht werden C:\VSSAdmin list ShadowStorage C:\vhdmount /m [Pfad zur.vhd Datei] X: 2008, HiSolutions AG Windows Vista Forensics 14

15 2008, HiSolutions AG Windows Vista Forensics 15

16 VSS in der Live Analyse 2008, HiSolutions AG Windows Vista Forensics 16

17 2008, HiSolutions AG Windows Vista Forensics 17

18 Hintergrund: NTFS Master File Table (MFT) Master File Table (MFT): Herz der NTFS-Dateistruktur Systemdatei $MFT Datenbank mit Informationen aller Dateien und Verzeichnisse des Dateisystems Für jede Datei und jedes Verzeichnis des Dateisystems existiert mindestens ein Datenbankeintrag (1.024 Byte, 42 Byte Header) Startadresse der MFT im Bootsektor Nach Formatierung fester Speicherplatz - Wird bei Bedarf erweitert -> Fragmentierung der MFT erster Eintrag in der MFT ist $MFT Nicht mit Windows Bordmitteln sichtbar Fundort nicht vollständig gelöschter Dateien 2008, HiSolutions AG Windows Vista Forensics 18

19 Transaktionen unter NTFS 5 Mit Windows Vista wurde NTFS um Transaktionsfähigkeiten erweitert Dateioperationen können nun atomar ausgeführt werden (Transactional NTFS; kurz: TxF) Dateioperationen können zu Transaktionen zusammengefasst werden Veränderungen am Dateisystem werden erst durchführt, wenn die vollständige Transaktion durchgeführt werden konnte TxF basiert auf den Funktionen des Common Log File System (CLFS) Transaktionen werden in der Datei $Extend\$RmMetadata\$USNJRNL und deren ADS (NTFS Stream) gespeichert Darin sind unter anderem Dateinamen, Zeitstempel und MFT Einträge zu finden 2008, HiSolutions AG Windows Vista Forensics 19

20 2008, HiSolutions AG Windows Vista Forensics 20

21 Transaktionen unter NTFS 5 Die Bearbeitung der Registry erfolgt jetzt auch transaktionsbasiert (TxR) Transaktionsänderungen werden unter %Systemroot%\System32\Config\Txr protokolliert 2008, HiSolutions AG Windows Vista Forensics 21

22 Transaktionen unter NTFS , HiSolutions AG Windows Vista Forensics 22

23 Papierkorb unter Vista Recycler bzw. Recycled wurde in $Recycle.bin umbenannt Wird nicht erst beim ersten Löschen einer Datei erstellt, sondern bei Userreinrichtung INFO2 Datei wurde durch die zwei System-Dateien ersetzt $R<Zufallswert>.ext: die ursprüngliche Datei $I<Zufallswert>.ext: Pfad der ursprünglichen Datei und Löschzeitpunkt 2008, HiSolutions AG Windows Vista Forensics 23

24 2008, HiSolutions AG Windows Vista Forensics 24

25 Eventlog unter Vista Neues Eventlog-Format: XML Format (.evtx) Eventlog-Dateien werden unter %SYSTMROOT%\system32\winevt\Logs\ gespeichert System, Application und Security gibt es noch Aber insgesamt gibt es fast 30 Eventlog Dateien Bisher nur Betrachtung mit Vista Event Viewer möglich Perl Skript von Andreas Schuster wandelt evtx in xml Dateien 2008, HiSolutions AG Windows Vista Forensics 25

26 2008, HiSolutions AG Windows Vista Forensics 26

27 Firewall Regeln in der Registry Logging unter C:\Windows\system32\LogFiles\Firewall\pfirewall.log 2008, HiSolutions AG Windows Vista Forensics 27

28 Prefetch Dateien XP, Windows 2003 und Vista führen Boot Prefetching durch Cache Manager überwacht Page Faults in - den ersten 2 Minuten des Bootvorgangs - oder 1 Minuten nach dem Start aller Dienste - oder 30 Sekunden nach Start der Benutzer-Shell XP und Vista zusätzlich noch Application Prefetching Cache Manager überwacht die ersten 10 Sekunden nach dem Start eines Prozesses Ergebnisse werden in.pf Dateien unter %WINDIR%\Prefetch gespeichert Dateiname: <Applikationsname>-<hexadezimaler Hashwert des Pfades>.pf Konfiguration: KEY_LOCAL_MACHINE\SYSTEM\ControlSet00x\Control\Session Manager\MemoryManagement\PrefetchParameters Prefetch Dateien ermöglichen Antworten auf die Fragen: Welche Datei wurde ausgeführt (bei Duplikaten)? Wie oft wurde sie ausgeführt? Wann wurde sie zuletzt ausgeführt? Die Existenz einer Prefetch-Datei zeigt, dass die Anwendung gestartet wurde Der Creation Timestamp der Prefetch-Datei, zeigt den ersten Start der Datei Der Modification Timestamp der Prefetch Datei, zeigt den letzten Start der Datei 2008, HiSolutions AG Windows Vista Forensics 28

29 Prefetch Dateien 2008, HiSolutions AG Windows Vista Forensics 29

30 Thumbnail Dateien unter Vista Bisher eine thumb.db pro Verzeichnis (Zwischenspeicher der Miniaturansicht ) Vista: Zentrale Speicherung der thumbnail Dateien unter C:\Users\<Benutzername>\AppData\Local\Microsoft\Windows\Explorer 2008, HiSolutions AG Windows Vista Forensics 30

31 ADS nun mit Bordmitteln sichtbar 2008, HiSolutions AG Windows Vista Forensics 31

32 RAM auslesen nicht mehr möglich Auslesen des RAM eines laufenden kompromittierten Systems mit Windows-dd war bisher eine gängige Methode Unter Windows 2000 und XP war dies einfach möglich Der Zugriff auf die \\.\PhysicalMemory Pipe ist unter Vista und Windows2003 aus dem Userland nicht mehr möglich (Security Feature!) Sicherstellungsmethoden des kompletten physikalischen RAM via Windows-dd u.ä. funktionieren nicht mehr Spezialtools wie KnTTools und KnTlist ( helfen hier aber weiter 2008, HiSolutions AG Windows Vista Forensics 32

33 Registry unter Vista Die unter %SYSTEMROOT%\System32\config\ gespeicherten Hives sind erweitert worden (neue Hives ): C:\Boot\BCD C:\Windows\System32\config\RegBack\SECURITY C:\Windows\System32\config\RegBack\SOFTWARE C:\Windows\System32\config\RegBack\DEFAULT C:\Windows\System32\config\RegBack\SAM C:\Windows\System32\config\RegBack\COMPONENTS C:\Windows\System32\config\RegBack\SYSTEM C:\Windows\System32\config\BCD-Template C:\Windows\System32\config\COMPONENTS C:\Windows\System32\config\DEFAULT C:\Windows\System32\config\SAM C:\Windows\System32\config\SECURITY C:\Windows\System32\config\SOFTWARE C:\Windows\System32\config\SYSTEM C:\Users\ntusers.dat Sicherungsdateien der Registry werden jetzt nicht mehr im Verzeichnis Repair gespeichert sondern unter Regback 2008, HiSolutions AG Windows Vista Forensics 33

34 Registry unter Vista Konzept der virtuellen Registry Zugriffe ohne ausreichende Berechtigung auf Local_Maschine_Hive werden nach HKEY_USERS\<User SID>_Classes\VirtualStore\Machine umgeleitet befindet sich im Hive usrclass.dat 2008, HiSolutions AG Windows Vista Forensics 34

35 Fazit Das Reverse Engineering hat kein Ende! In Vista sind viele bekannte Fundorte digitaler Spuren verändert worden Die wesentlichste Änderung für die Spurensuche ist der Wegfall des Last Access Timestamps Forensische Analyse von VSS und TxF bietet viele Möglichkeiten (hoffentlich wiegen diese Funktionen den fehlenden Last Access Timestamp wieder auf) Die Hersteller von Forensik-Werkzeugen stehen noch am Anfang, müssen aber mit zunehmender Verbreitung von Vista nachziehen 2008, HiSolutions AG Windows Vista Forensics 35

36 Kontakt Anschrift HiSolutions AG Bouchéstraße 12 D Berlin Fon: Fax: Information Security Alexander Geschonneck Leitender Sicherheitsberater computer-forensik.org geschonneck.com/security/forensics/ 2008, HiSolutions AG Windows Vista Forensics 36

37 Visitenkarte HiSolutions AG Gründung Vision Mission Felder Mitarbeiter Firmensitz Awards 1994 Der sichere und effiziente Umgang mit Informationen macht unsere Kunden erfolgreicher Wir schützen und optimieren die Informationsverarbeitung unserer Kunden mit Organisations- und Technologiekompetenz IT-Service Management Information Security 55 Berlin Innovationspreis Berlin/Brandenburg Fast50 Germany Fast500 Europe 2008, HiSolutions AG Windows Vista Forensics 37

38 Leistungsfelder Gestaltung zuverlässiger, sicherer und wirtschaftlicher IT-Services und Integration der dafür benötigten Prozesse und Lösungen. 2008, HiSolutions AG Windows Vista Forensics 38

39 Referenzen (Auszug) 2008, HiSolutions AG Windows Vista Forensics 39

40 Wir wenden Standards nicht nur an, wir prägen sie mit U.a. Mitautor von: , HiSolutions AG Windows Vista Forensics 40