Phenquestions
pengantar
Terakhir kali, kami membahas 14 alat forensik yang ada di Kali Linux dan menjelaskan tujuan dan kemampuan khusus mereka. Hari ini, kami akan menghadirkan 14 alat forensik, yang berasal dari perpustakaan terkenal, "The Sleuth Kit" (TSK), yang dikemas dalam pembaruan Kali Linux 2020. Anda dapat menemukan alat ini di daftar drop-down Forensik dengan nama alat Sleuth Kit Suite di Menu Kali Whisker.
blkkal
Alat blkcalc adalah alat forensik yang mengubah titik disk yang tidak terisi menjadi titik disk biasa. Program ini membuat nomor titik yang memetakan dua gambar. Salah satu gambar ini normal, dan yang lainnya berisi nomor titik yang tidak terisi dari gambar pertama. Alat ini dapat mendukung banyak jenis sistem file. Jika sistem file tidak ditentukan di awal, blkcalc memiliki fitur unik metode deteksi otomatis untuk menemukan jenis sistem file.
tsk_comparedir
Dengan bantuan alat tsk_comparedir, isi gambar dibandingkan dengan isi direktori perbandingan. Ini adalah alat terbaik dalam fase pengujian untuk mengidentifikasi rootkit (kode atau file berbahaya). Tes rootkit dilakukan dengan membandingkan isi direktori lokal dengan perangkat mentah lokal. Rootkit ini tidak disembunyikan saat diakses dan dibaca dari perangkat mentah.
tsk_gettimes
Alat forensik tsk_gettimes didasarkan pada perpustakaan kit detektif. Alat ini mengumpulkan waktu MAC (potongan metadata sistem file) dari gambar disk yang ditentukan dan mengubah waktu menjadi file tubuh. Alat tsk_gettimes memeriksa setiap sistem file di partisi disk atau gambar dan memproses data di dalamnya. Output dari alat ini adalah data image disk dalam format MAC time body, yang kemudian dapat digunakan sebagai input ke sistem untuk menghasilkan kronologi aktivitas file. Data tersebut kemudian dicetak sebagai file melalui perintah STDOUT.
blkcat
Alat blkcat adalah alat forensik cepat dan efisien yang dikemas di dalam Kali. Tujuan dari alat ini adalah untuk menampilkan isi data yang disimpan dalam citra disk sistem file. Output menampilkan jumlah unit data, dimulai dengan alamat utama unit dan cetakan, ke dalam format berbeda yang dapat ditentukan dan diurutkan. Secara default, format output adalah mentah, dan juga disebut dcat.
tsk_loaddb
Alat tsk_loaddb memuat metadata dari gambar disk ke dalam database SQLite, yang merupakan database yang dapat digunakan untuk analisis oleh alat perangkat lunak lain. Basis data disimpan di direktori gambar untuk akses mudah. Alat ini mendukung banyak sistem file dan dapat menghitung nilai hash MD5 untuk setiap file.
blkstat
Alat sleuth kit blkstat menampilkan semua informasi mengenai unit data dari sistem file. Alat ini mengembalikan data tentang status alokasi blok atau sektor sistem file file. Alat ini dapat menggunakan perintah addr, yang menunjukkan statistik dari sepotong data, dan juga disebut dstat.
temukan
Alat ffind menggunakan inode untuk mencari nama direktori atau file dalam gambar disk. File yang ditetapkan ke pengidentifikasi file inode pada partisi disk memiliki nama; secara default, alat ini hanya akan mengembalikan nama depan yang ditemukan. Alat temukan bahkan dapat menemukan nama file yang dihapus, yang merupakan kemampuan khusus alat ini. Selain itu, alat temukan juga dapat menemukan beberapa nama file.
menemukan
Alat hfind mencari nilai hash di database hash. Nilai hash dicari menggunakan algoritma pencarian biner. Tujuan penggunaan algoritma ini adalah untuk memungkinkan pengguna dengan mudah membuat database hash dan dengan cepat mengidentifikasi file, baik yang diketahui atau tidak dikenal. Alat ini menggunakan perpustakaan NSRL dan mengembalikan md5sum. Alat ini sangat efisien, karena membuat file indeks yang sudah diurutkan dan memiliki entri panjang tetap, yang membuat pencarian menjadi sangat cepat.
fls
Nama fls melibatkan istilah "ls," yang merupakan singkatan dari daftar isi folder. Alat fls mencantumkan semua nama file dan direktori dalam file gambar, dan bahkan dapat menampilkan nama file yang baru saja dihapus. Jika pengidentifikasi file atau inode tidak digunakan, maka direktori root digunakan.
mmcat
Alat mmcat adalah alat forensik yang mengembalikan konten partisi melalui fungsi cetak. Alat ini mengekstrak semua data dalam partisi menjadi file terpisah.
tandatangani
Alat ini menemukan tanda tangan biner yang ada di dalam file. Tanda tangan biner ini disebut hex_signature, yang ada di setiap file. Alat ini dapat digunakan untuk menemukan superblok, partisi atau tabel gambar yang hilang, dan sektor boot. Format heksadesimal harus digunakan untuk menemukan tanda tangan biner.
saya menemukan
Alat ini mencari struktur data mentah suatu file, yang dialokasikan dalam unit disk atau nama file tertentu specific. Terkadang salah satu dari struktur meta-data ini dapat dibatalkan alokasinya, tetapi alat ini akan tetap mendapatkan hasilnya.
tukang sortir
Alat penyortir adalah alat skrip "perl" yang melakukan penyortiran pada sistem file untuk mengaturnya menjadi file yang dialokasikan dan tidak terisi, berdasarkan jenis file. Alat ini menjalankan perintah pada setiap file dan mengurutkan file sesuai dengan file konfigurasi. Jenis file termasuk file tersembunyi, file hash untuk database hash, file yang diketahui bagus, dan yang harus diubah. File konfigurasi yang digunakan, secara default, diambil dari tempat alat diinstal, tetapi ini dapat diubah dengan keputusan run-time.
tsk_recover
Alat ini mentransfer file dari partisi disk ke direktori root lokal. File yang dipulihkan, secara default, hanya file yang tidak terisi. Melalui perintah tertentu, semua file dapat diekspor.
Kesimpulan
14 alat ini hadir dengan Kali Linux live, serta gambar penginstal, dan mereka open-source dan tersedia secara gratis. Alat-alat ini dapat ditemukan di menu kumis Kali di folder bernama Sleuth Kit Suite. Alat sering menerima pembaruan dari TSK untuk perbaikan bug kecil.
