SDカードフォレンジック

自己紹介セキュリティ企業でセキュリティに関する事をしてます安全確保支援士 HN:スー

今回のフォレンジックにあたり・フォレンジック初心者・目標設定としては、データが取得できるところまで・それ以上に関しては時間があれば

発表やったことを時系列順に通していきます資料は共有します

はじめにやらかし準備段階で一つやらかした事があります

はじめにやらかし痛恨のタイトルミス SDカードに無いデータという事になっていたそもそもタイトルが日本語としておかしい... これは世の中に広めるわけにはいかない

本題

どこまでやるかデータ取得を目的としているが、フォレンジックとしてはどこまでやるか・カードリーダーで接続してできる範囲・物理的に削って直接データアクセスを試みる範囲

どこまでやるかデータ取得を目的としているが、フォレンジックとしてはどこまでやるか・カードリーダーで接続してできる範囲←今回はここまで・物理的に削って直接データアクセスを試みる範囲

どこまでやるかデータ取得を目的としているが、フォレンジックとしてはどこまでやるか・カードリーダーで接続してできる範囲←今回はここまで・物理的に削って直接データアクセスを試みる範囲理由として、中身のデータよりSDカードの方が優先度が高いため

今回フォレンジックするSDカード

今回フォレンジックするSDカードミラーレスカメラで利用していたSDカード突然エラーが発生してアクセスができなくなった

今回フォレンジックするSDカード Windowsに接続しても不可

フォレンジックフォレンジックをしていくにあたりはじめにやることとは

フォレンジックフォレンジックをしていくにあたりはじめにやることとは原本の保管ですねなので原本のコピーを作成するために仮想環境を用意します

原本のコピー１.Ubuntuを用意

原本のコピー１.Ubuntuを用意２.gddrescueをインストール参考に調べるとddでは上手くいかない場合があるようだったため

原本のコピー１.Ubuntuを用意２.gddrescueをインストール３.実際に原本をコピーを試みるホストOSに接続から仮想環境にうまく認識させることができない

原本のコピー１.Ubuntuを用意２.gddrescueをインストール３.実際に原本をコピーを試みる ↓ 仮想環境でのフォレンジックは一旦諦める

原本のコピー 1.Windowsで原本のコピーもしくは直接解析出来る方法を探す中身に重要な情報はないので、直接解析出来る方法も合わせて探すことにする

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す誤って削除してしまったファイルを復元できるソフト出典 https://forest.watch.impress.co.jp/library/software/recuva/

なんか色々便利そう

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す試すが、そもそもWindowsがSDカードをフォーマットしないと、使用不可と言ってくるため動作しない

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す３.FTK Imagerを試す

FTK Imager バイナリを表示する事ができたざっと見た感じ壊れてる下の方に行くとデータらしきものがある

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す３.FTK Imagerを試す４.FTK ImagerでSDカードの保全をする機能としてあり、Export Disk Imageで作成する

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す３.FTK Imagerを試す４.FTK ImagerでSDカードの保全をする機能としてあり、Export Disk Imageで作成する
続いて、この作成したイメージをどうやって読み込むか

Autopsy 作成したイメージを読みこめた中の画像データを普通に出してくれる右の図のように色々分類分けもある

Autopsy

Autopsy 実際に復元できた写真

Autopsy 実際に復元できた写真 16進数版

Autopsy 実際に復元できた写真復元で出てきた写真は実は、フォーマットで更新をしていたものが多かったカメラの利用しているフォーマットの種類のためそこについては仕方ない

原本のコピー１.Windowsで原本のコピーもしくは直接解析出来る方法を探す２.Recuvaを試す３.FTK Imagerを試す４.FTK ImagerでSDカードの保全をする５.Autopsyで先ほど作成したイメージを読み込む６.画像を抽出する事に成功

試さなかったこと Linuxの実機での解析 →メンテナンス中ですぐに稼働出来るものが無かったバイナリデータから無理矢理ファイル抽出 →コードを書いてバイナリ抽出して、ファイルと思われる物を抽出する案もあった →既存のツールだけで出来たから目的は達成済み、その為あまりやる理由無し

まとめ・確実にフォレンジック対策をしたい場合は、記憶媒体を物理的に破壊するべき・機密性の高い情報を保存していなかった場合は、記憶媒体の全てのビットにたいして複数回の上書きをかけた方が安心・記憶媒体はいつ死ぬか判別が難しいのでバックアップは大事参考 https://www.ipa.go.jp/security/crypto/gmcbt80000005u4j-att/SP800-88rev1.pdf

SDカードフォレンジック

SDカードフォレンジック

su3158

More Decks by su3158

Other Decks in Technology

Featured

Transcript