performing-disk-forensics-investigation

执行磁盘取证调查

使用场景

• 安全事件需要对系统的持久存储进行取证分析
• 为可能的法律诉讼或 HR 调查保留证据
• 需要恢复已删除的文件、浏览器历史记录或应用程序痕迹
• 需要根据文件系统元数据重建用户或攻击者活动的时间线
• 需要识别并记录存储在磁盘上的恶意软件持久化机制

不要使用于易失性证据（正在运行的进程、网络连接）；请改用 Volatility 进行内存取证。

前提条件

• 配备写阻断硬件或软件的取证工作站（Tableau T35u、Arsenal Image Mounter）
• 取证镜像软件：FTK Imager、Guymager 或带 dcfldd 的 dd
• 分析平台：Autopsy、FTK（Forensic Toolkit）或 X-Ways Forensics
• 足够的存储空间（目标驱动器大小的 2-3 倍，用于镜像及工作副本）
• 用于物理介质的证据链表格和证据袋
• 用于证据完整性验证的哈希校验工具（SHA-256）

工作流

步骤 1：保护并记录证据

在接触任何存储介质之前，建立证据链：

• 拍摄系统照片，记录序列号、标签和线缆连接
• 记录证据来源：设备类型、品牌、型号、序列号、容量
• 填写证据链表格，包括日期、时间、处理人姓名和获取原因
• 将证据驱动器连接到取证工作站时，使用硬件写阻断器

Chain of Custody Record:
━━━━━━━━━━━━━━━━━━━━━━━
Case ID:          INC-2025-1547
Evidence ID:      EVD-001
Description:      Samsung 870 EVO 500GB SSD
Serial Number:    S5XXNJ0R912345
Source Host:      WKSTN-042
Acquired By:      [Analyst Name]
Date/Time:        2025-11-15T16:30:00Z
Write Blocker:    Tableau T35u (S/N: T35U-12345)

步骤 2：创建取证镜像

生成证据驱动器的逐位副本：

使用 FTK Imager（Windows）：

1. 通过写阻断器连接证据驱动器
2. File > Create Disk Image > 选择源驱动器
3. 选择 E01（Expert Witness Format）以获得压缩和元数据
4. 设置目标路径和证据项信息
5. 启用 “Verify images after they are created”
6. 记录源和镜像的哈希值

使用 dcfldd（Linux）：

# Create raw image with hash verification
dcfldd if=/dev/sdb of=/evidence/WKSTN-042.dd \
  hash=sha256 hashlog=/evidence/WKSTN-042.sha256 \
  bs=4096 conv=noerror,sync

# Verify image integrity
sha256sum /evidence/WKSTN-042.dd

Imaging Summary:
Source Drive:    /dev/sdb (Samsung 870 EVO 500GB)
Image File:     WKSTN-042.E01
Image Format:   E01 (Expert Witness)
Source Hash:     SHA-256: a1b2c3d4e5f6...
Image Hash:      SHA-256: a1b2c3d4e5f6...  (MATCH)
Sectors Read:    976,773,168
Errors:          0
Duration:        47 minutes

步骤 3：分析文件系统结构

在 Autopsy 或 FTK 中打开取证镜像并检查文件系统：

• 识别分区布局（MBR/GPT、NTFS/ext4/APFS 分区）
• 检查 NTFS 的主文件表（MFT）或 ext4 的 inode 表
• 识别已删除的文件和目录（标记为未分配但尚未被覆盖）
• 使用文件雕刻从未分配空间中恢复文件
• 检查 NTFS ADS 备用数据流中的隐藏数据

需要检查的关键 Windows 痕迹：

User Activity:
- NTUSER.DAT (registry hive per user)
- UsrClass.dat (shellbags, file access history)
- Recent files: %AppData%\Microsoft\Windows\Recent\
- Jump lists: %AppData%\Microsoft\Windows\Recent\AutomaticDestinations\

Program Execution:
- Prefetch: C:\Windows\Prefetch\*.pf
- Amcache: C:\Windows\appcompat\Programs\Amcache.hve
- SRUM: C:\Windows\System32\SRU\SRUDB.dat
- ShimCache: SYSTEM registry hive

Persistence:
- Scheduled Tasks: C:\Windows\System32\Tasks\
- Startup folders: %AppData%\Microsoft\Windows\Start Menu\Programs\Startup\
- Services: SYSTEM registry hive

Network:
- WLAN profiles: C:\ProgramData\Microsoft\Wlansvc\Profiles\
- Browser history: Chrome, Firefox, Edge profile directories

步骤 4：重建时间线

构建全面的文件系统活动时间线：

使用 Autopsy 时间线模块：

1. 从所有可用来源生成时间线（MFT、事件日志、浏览器历史记录、预取）
2. 筛选到调查时间范围
3. 识别与事件相关的活动集群
4. 根据文件创建、修改和访问时间戳记录攻击者操作的顺序

使用 The Sleuth Kit（命令行）：

# Generate body file from NTFS image
fls -r -m / WKSTN-042.dd > bodyfile.txt

# Create timeline from body file
mactime -b bodyfile.txt -d > timeline.csv

# Filter timeline to investigation period
grep "2025-11-15" timeline.csv | sort > incident_timeline.csv

步骤 5：恢复并分析痕迹

提取并分析特定的取证痕迹：

• 预取文件：使用 PECmd 解析以确定程序执行时间和加载的 DLL
• 事件日志：使用 EvtxECmd 解析 Windows XML 事件日志
• 注册表：使用 RegRipper 或 Registry Explorer 解析用户活动和系统配置
• 浏览器痕迹：使用 Hindsight（Chrome）、KAPE 或 DB Browser 解析 SQLite 数据库
• USB 设备历史记录：从 SYSTEM\CurrentControlSet\Enum\USBSTOR 注册表项中提取
• $MFT 分析：使用 MFTECmd 解析详细文件元数据，包括 $SI 和 $FN 时间戳

第 6 步：记录发现

编写一份适合法律诉讼使用的取证分析报告：

• 维护证据完整性文档（哈希链）
• 记录所使用的每一个工具及其版本
• 以可复现的方式记录所有分析步骤
• 客观陈述发现，不做推测
• 清楚区分事实（观察到的数据）与解读（分析人员的结论）

关键概念

术语	定义
取证镜像	存储介质的逐位副本，保留包括已删除文件与未分配空间在内的所有数据
写保护器	在取证获取过程中阻止对证据介质进行任何修改的硬件或软件设备
E01 格式	EnCase 与 FTK 使用的 Expert Witness Format；支持压缩、元数据以及内置哈希校验
文件雕复	一种恢复技术，通过搜索未分配磁盘空间中的文件头与文件尾来重建已删除文件
MFT（主文件表）	NTFS 元数据结构，包含每个文件与目录的条目，包括已删除条目
MAC 时间戳	文件上的修改、访问、创建时间戳，用于重建时间线（NTFS 还有条目修改时间）
Prefetch	记录程序执行元数据的 Windows 工件；包含执行次数、时间戳以及已加载的 DLL
未分配空间	未分配给任何文件的磁盘扇区；可能包含可通过雕复恢复的已删除文件残留

工具与系统

• FTK Imager：免费取证镜像工具，支持 E01、AFF 与原始格式，并内置哈希校验
• Autopsy：基于 The Sleuth Kit 构建的开源数字取证平台，用于全面的磁盘分析
• KAPE（Kroll Artifact Parser and Extractor）：用于快速工件提取的取证收集与解析工具
• X-Ways Forensics：商业取证分析工具，以处理大型数据集时的速度与效率著称
• Eric Zimmerman's Tools：一套免费取证解析器（PECmd、MFTECmd、EvtxECmd、RegRipper），用于解析 Windows 工件

常见场景

场景：员工数据窃取调查

背景：一名员工提交了辞呈，涉嫌在离职前将专有文件复制到 USB 驱动器。人力资源部门要求对该员工的工作站进行取证调查。

方法：

1. 使用 FTK Imager 配合写保护器对工作站磁盘制作镜像
2. 从 SYSTEM 注册表解析 USB 设备历史，以识别曾连接的设备
3. 检查 ShellBags 与 Jump Lists，寻找文件浏览及复制到可移动介质的证据
4. 解析 Recent 文件夹中的 LNK 文件，以识别最近访问过的文档
5. 分析浏览器历史，查找上传到个人云存储（Google Drive、Dropbox）的记录
6. 构建时间线，将 USB 连接与文件访问事件关联起来

陷阱：

• 未能在 IT 部门重新分配工作站之前对驱动器制作镜像
• 未在检查 USB 证据的同时检查云存储浏览器历史
• 忽略了卷影副本，其中可能包含已删除文件的早期版本
• 在没有支持性证据文档的情况下将分析结论作为事实呈现

输出格式

DISK FORENSICS INVESTIGATION REPORT
=====================================
Case ID:          INC-2025-1547
Evidence:         EVD-001 (Samsung 870 EVO 500GB SSD)
Examiner:         [Name]
Date of Analysis: 2025-11-16

EVIDENCE INTEGRITY
Source Hash:      SHA-256: a1b2c3d4e5f6...
Image Hash:       SHA-256: a1b2c3d4e5f6... (VERIFIED MATCH)
Write Blocker:    Tableau T35u

PARTITION LAYOUT
Partition 1:  NTFS  100 MB   (System Reserved)
Partition 2:  NTFS  465 GB   (C: - OS and Data)
Partition 3:  NTFS  500 MB   (Recovery)

KEY FINDINGS
1. [Timestamp] - Malware dropper created in %TEMP% (update.exe)
2. [Timestamp] - Scheduled task "WindowsUpdate" created for persistence
3. [Timestamp] - Prefetch shows 14 executions of update.exe
4. [Timestamp] - USB device "Kingston DataTraveler" connected
5. [Timestamp] - 847 files copied to E:\ drive (ShellBag evidence)

RECOVERED ARTIFACTS
- 3 deleted malware samples recovered from unallocated space
- Browser history showing C2 panel access
- Registry evidence of disabled security software

TIMELINE
[Chronological event listing with timestamps and evidence sources]

TOOLS USED
- FTK Imager 4.7.1 (imaging)
- Autopsy 4.21.0 (analysis)
- PECmd 1.5.0 (prefetch parsing)
- MFTECmd 1.2.2 (MFT analysis)