登录 / 注册
IT168技术开发频道
IT168首页 > 技术开发 > 技术开发技术 > 正文

20大SysAdmins免费数据调查工具

2016-12-12 09:15    it168网站原创  作者: zyy 编辑: 覃里

  【IT168 技术】本文列出了20款最好的免费工具,帮助你进行数字调查。无论是案例调查,未经授权访问服务器的调查,或者你只是想学习新的技能,这些套件和实用程序都将帮你进行内存取证分析,硬盘驱动器取证分析,图像探索, 成像和移动取证,它们提供了回收系统“底层”信息的能力。

20大SysAdmins免费数据调查工具

  虽说这个名单相对较全,但如果你还需要其他工具,可参考《101种免费网络工具》的相关文章。

  01 SANS SIFT

  SANS调查工具包(SIFT)是基于Ubuntu的Live CD,其中包括进行深入取证或事故响应调查所需的所有工具。它支持专家见证格式(E01),高级取证格式(AFF)和RAW(dd)证据格式的分析。SIFT包括诸如用于从系统日志生成时间线的log2timeline,用于数据文件雕刻的Scalpel,用于检查回收站的Rifiuti等工具。

20大SysAdmins免费数据调查工具

  首次进入SIFT环境,建议在桌面上浏览文档,以帮助你快速熟悉可用的工具以及使用方法,还可以使用顶部菜单栏打开工具,或从终端窗口手动启动。

  02 ProDiscover Basic

  ProDiscover Basic是一个简单的数字取证调查工具,允许对驱动器上发现的数据进行映像,分析并给出报告。添加取证图片后,你可以按内容或通过数据保存集群来查看数据,也可以根据指定条件使用搜索节点搜索数据。

20大SysAdmins免费数据调查工具

  当启动ProDiscover Basic时,首先需要创建或加载项目,并从“添加”节点添加证据。然后,可以使用“内容视图”或“集群视图”节点分析数据,并使用“工具”菜单对数据执行操作。单击“报告”节点以查看有关项目的重要信息。

  03 Volatility

  Volatility是事件响应和恶意软件分析的内存取证框架,允许用户从易失性内存(RAM)转储中提取数字伪像。使用Volatility可提取有关的正在运行的进程,打开的网络套接字和网络连接,为每个进程加载的DLL,缓存的注册表配置单元,进程ID等信息。

20大SysAdmins免费数据调查工具

  如果你使用独立的Windows可执行版本的Volatility,只需将volatility-2.1.standalone.exe放入一个文件夹,并打开命令提示符窗口。 从命令提示符处,导航到可执行文件的位置,并键入“volatility-2.1.standalone.exe -f <FILENAME> -profile = <PROFILENAME> <PLUGINNAME>”(不带引号), - FILENAME是内存转储的你想要分析的文件名称,PROFILENAME是内存转储被采取的机器,PLUGINNAME是希望用于提取信息的插件名称。

  注意:在上面的示例中,使用“connscan”插件来搜索物理内存转储的TCP连接信息。

  04 The Sleuth Kit (+Autopsy)

  Sleuth Kit是一个开源数字取证工具包,可用于对各种文件系统进行深入分析。剖析本质上是一个GUI,它坐落在The Sleuth Kit的顶部,具有像时间轴分析,哈希过滤,文件系统分析和关键字搜索等开箱即用的功能,也能够添加其他模块的扩展功能。

  注意:如果你正在运行Linux框,则可以使用Sleuth Kit,如果运行Windows框,则可以使用自动检测。

20大SysAdmins免费数据调查工具

  启动剖析时,可以选择创建新案例或加载现有案例。如果选择创建新案例,则需要加载取证图像或本地磁盘以开始分析。分析过程完成后,使用左窗格上的节点选择要查看的结果。

  05 FTK Imager

  FTK Imager是一个数据预览和成像工具,可用来检查本地硬盘驱动器,网络驱动器,CD / DVD上的文件和文件夹,并查看图像或内存转储的内容。使用FTK Imager,还可以创建文件的SHA1或MD5哈希,将文件和文件夹从取证映像导出到磁盘,查看和恢复从回收站中删除的文件(假定其数据块尚未被覆盖),并在Windows资源管理器中查看其内容的取证映像。

  注意:有一个便携式版本的FTK Imager,允许用户直接从USB磁盘中运行。

20大SysAdmins免费数据调查工具

  当启动FTK Imager时,请转到“文件>添加证据项...”以加载一个证据供审核。要创建取证图像,请转到“文件>创建磁盘映像...”,然后选择想要成像的来源。

  06 Linux ‘dd’

  dd在大多数当今可用的Linux发行版(例如Ubuntu,Fedora)上是默认存在的。此工具可用于各种数据取证任务,例如清零驱动器和创建驱动器的原始映像。

  注意:dd是一个非常强大的工具,如果不小心使用可以有毁灭性的影响。建议在真实世界中使用此工具之前,在安全的环境中进行实验。

  提示:dd的修改版可从http://sourceforge.net/projects/dc3dd/获取--包括专门为数字取证采集任务添加的附加功能dc3dd。

20大SysAdmins免费数据调查工具

  要使用dd,只需打开一个终端窗口,输入dd,然后输入一组命令参数(命令参数显然取决于你想做什么)。清零驱动器的基本dd语法是:

  dd if=/dev/zero of=/dev/sdb1 bs=1024

  where if = input file, of = output file, bs = byte size

  注意:将/ dev / sdb1替换为想要擦除的驱动器名称,将1024字节替换为要写出的字节块大小。

  用于创建驱动器取证映像的基本dd语法是:

  dd if = / dev / sdb1 of = / home / andrew / newimage.dd bs = 512 conv = noerror,sync

  where if = input file (or in this case drive), of = output file, bs = byte size, conv = conversion options

  提示:若需要其他使用信息,请在终端窗口中直接键入“man dd”(没有引号),以显示dd命令的帮助手册。

  07 CAINE

  CAINE(计算机辅助调查环境)是包含大量数字取证工具的Linux Live CD。功能包括交互友好的GUI,半自动报告创建和移动取证,网络取证,数据恢复和更多工具。

20大SysAdmins免费数据调查工具

  当启动到CAINE Linux环境时,可以从CAINE界面(桌面上的快捷方式)或应用程序菜单栏上的“Forensic Tools”文件夹中的每个工具的快捷方式启动数字取证工具。

  08 Oxygen Forensic Suite 2013 Standard

  如果你正在调查一个案例,需要从手机收集证据支持,Oxygen Forensics Suite(标准版)是一个帮助你实现这一点的工具。 功能包括收集设备信息(制造商,操作系统平台,IMEI,序列号等),联系人,消息(电子邮件,短信,彩信等)和恢复已删除的邮件,通话记录,日历和任务信息。它还配有一个文件浏览器,允许访问和分析用户照片,视频,文档和设备数据库。

20大SysAdmins免费数据调查工具

  当启动Oxygen Forensic Suite时,点击顶部菜单栏上的“连接新设备”按钮,启动“Oxygen取证提取器”向导,指导选择要提取的设备和信息类型。

  09 Free Hex Editor Neo

  Free Hex Editor Neo是一个基本的十六进制编辑器,用于处理大型文件。虽然在Hex Editor Neo的商业版本中增加了许多附加功能,但我发现这个工具对于加载大型文件(例如数据库文件或图像)和执行诸如手动数据刻画,低级文件编辑,信息收集或搜索隐藏数据方面很有用。

20大SysAdmins免费数据调查工具

  使用“文件>打开”将文件加载到十六进制编辑器Neo。数据将显示在中间窗口,可以在其中手动导航十六进制或按CTRL + F运行搜索。

  10 Bulk Extractor

  bulk_extractor是一种计算机取证工具,用于扫描磁盘映像,文件或文件目录,并提取信用卡号,域,电子邮件地址,URL和ZIP文件等信息。提取的信息被输出到一系列文本文件(可以手动审查或使用其他取证工具或脚本来分析)。

  提示:在输出文本文件中,将找到类似于信用卡号,电子邮件地址,域名等的数据条目。你还将在文本文件的第一列中看到一个十进制值,当转换为hex可以用作磁盘上找到条目的指针(例如,如果使用十六进制编辑器手动分析磁盘,则可以跳转到此十六进制值以查看数据)。

20大SysAdmins免费数据调查工具

  Bulk_extractor作为命令行工具或GUI工具。在上面的示例中,我设置批量提取工具从早期我取得的取证图像中提取信息,并将结果输出到名为“BE_Output”的文件夹。 然后可以在批量提取查看器和上述输出文本文件中查看结果。

  11 DEFT

  DEFT是另一个Linux Live CD,捆绑了一些最受欢迎的免费开源计算机取证工具。它旨在帮助事件响应,网络智能和计算机取证方面。其中,包含移动取证,网络取证,数据恢复和散列的工具。

20大SysAdmins免费数据调查工具

  当使用DEFT向导时,会询问是要加载实时环境还是将DEFT安装到磁盘。如果加载实时环境,可以使用应用程序菜单栏上的快捷方式启动所需的工具。

  12 Xplico

  Xplico是一个开源网络取证分析工具(NFAT),旨在从互联网流量中提取应用数据(例如,Xplico可以从POP,IMAP或SMTP流量中提取电子邮件)。特征包括支持多种协议(例如HTTP,SIP,IMAP,TCP,UDP),TCP重组,以及将数据输出到MySQL或SQLite数据库等。

20大SysAdmins免费数据调查工具

  安装Xplico后,导航到http://<IPADDRESS>:9876并使用正常用户帐户登录,即可访问Web界面。你需要做的第一件事是创建一个案例并添加一个新的会话。当创建新会话时,可以加载PCAP文件(例如从Wireshark获取)或启动实时捕获。会话完成解码后,使用左侧的导航菜单栏查看结果。

  13 LastActivityView

  LastActivityView允许用户查看执行操作和机器上发生的事件。将记录下所有活动,例如运行可执行文件,从Explorer打开文件/文件夹,应用程序或系统崩溃或执行软件安装的用户。该信息可以导出为CSV / XML / HTML文件。当需要证明用户(或帐户)执行他或她说他们没有执行的操作时,此工具非常有用。

  当启动LastActivityView时,它将立即开始显示正在其上运行的机器上执行的操作列表。按操作时间排序或使用搜索按钮开始调查在机器上执行的操作。

  14 DSi USB Write Blocker

  DSi USB写阻塞器是一种基于软件的写阻塞器,可防止对USB设备的写访问。这在调查中是很重要的,以防止通过修改元数据或时间戳使证据无效。

  当运行DSi USB写阻塞器时,会打开一个窗口,允许启用或禁用USB写阻止器。 一旦进行更改并退出应用程序,可以从任务栏中的挂锁图标查看状态。当对USB驱动器执行分析时,首先启用USB写阻止程序,然后插入USB驱动器。

  注意:如果你正在寻找一个命令行替代USB写阻止程序,检查“所有Windows的USB写阻止程序”:http://sourceforge.net/projects/usbwriteblockerforwindows8/

  15 Mandiant RedLine

  RedLine提供对特定主机执行内存和文件分析的能力。它从内存中收集有关正在运行的进程和驱动程序的信息,并收集文件系统元数据,注册表数据,事件日志,网络信息,服务,任务和Internet历史记录,以帮助构建整体威胁评估配置文件。

20大SysAdmins免费数据调查工具

  当启动RedLine时,将需选择收集数据或分析数据。除非你已经有了一个内存转储文件可用,否则需要创建一个收集器从机器收集数据,直至完成。一旦你有一个内存转储文件,就可以开始分析了。

  16 PlainSight

  PlainSight是一个基于Knoppix(Linux发行版)的Live CD,它允许用户执行数字取证任务,如查看互联网历史记录,数据刻画,USB设备使用信息收集,检查物理内存转储,提取哈希密码等。

20大SysAdmins免费数据调查工具

  当进入PlainSight时,会弹出一个窗口,要求选择是要执行扫描,加载文件还是运行向导,你需要输入选择以开始数据提取和分析过程。

  17 HxD

  HxD是一个交互友好的十六进制编辑器,允许执行低级编辑和修改原始磁盘或主存储器(RAM)。HxD的设计考虑了易用和性能两方面问题,可以处理大型文件。功能包括搜索和替换,导出,内置文件粉碎机,文件的连接或拆分,生成统计数据等。

20大SysAdmins免费数据调查工具

  从HxD界面开始分析,从“文件>打开”打开一个文件,从“Extras>打开磁盘...”加载磁盘或从“Extras> Open RAM ...”加载RAM进程。

  18 HELIX3 Free

  HELIX3是一个基于Linux的Live CD,用于事件响应构建,计算机取证和电子发现方案。它包含了一堆开源工具,从十六进制编辑器到数据刻画软件到密码破解工具等。

  注意:你需要的HELIX3版本是2009R1。此版本是HELIX由商业供应商接管之前可用的最后一个免费版本。HELIX3 2009R1今天仍然有效,并为数字取证工具包提供有用的补充。

20大SysAdmins免费数据调查工具

  当使用HELIX3向导时,会询问是要加载GUI环境还是将HELIX3安装到磁盘。如果选择直接加载GUI环境(推荐),将出现一个基于Linux的屏幕,你可以选择运行捆绑工具的图形化版本。

  19 Paladin Forensic Suite

  Paladin Forensic Suite是一个基于Ubuntu的Live CD,包含大量开源的工具。在Live CD上找到的80+工具被分为超过25个类别,包括成像工具,恶意软件分析,社交媒体分析,散列工具等。

20大SysAdmins免费数据调查工具

  在启动Paladin Forensic Suite后,导航到应用程序菜单或单击任务栏中的某个图标开始。

  注意:Paladin Forensic Suite的方便快速入门指南可以从Paladin网站以及Paladin本身的任务栏查看或下载。

  20 USB Historian

  USB Historian主要从Windows注册表解析USB信息,以提供插入到计算机中的所有USB驱动器的列表。它显示诸如USB驱动器的名称,序列号,以及用户帐户等信息。当需要了解数据是否被盗,移动或访问时,此信息可能非常有用。

20大SysAdmins免费数据调查工具

  启动USB Historian时,单击顶部菜单上的“+”图标以启动数据解析向导。选择要解析数据的方法(驱动器盘符,Windows和用户文件夹或单个Hive /文件),然后选择要解析的相应数据。完成后,将看到类似于上图所示的信息。

标签: 工具
相关文章
  • IT168企业级IT168企业级
  • IT168文库IT168文库

扫码送文库金币

编辑推荐
系统架构师大会
系统架构师大会
点击或扫描关注
IT168企业级微信关注送礼
IT168企业级微信关注送礼
扫描关注
首页 评论 返回顶部