Bevezetés az USB elemzésébe
Az USB (Universal Serial Bus) eszközök a modern informatikai világ elengedhetetlen részei. Pendrive-ok, külső merevlemezek, billentyűzetek, egerek és számtalan más periféria csatlakozik ezen a szabványon keresztül a számítógépekhez. Az USB elemzése olyan tevékenység, amely magában foglalja az eszközök fizikai és logikai vizsgálatát, a rajtuk tárolt adatok ellenőrzését, a kommunikációs protokollok tanulmányozását, valamint a biztonsági kockázatok azonosítását. Elemzésre lehet szükség adat-helyreállítás, digitális forensics, malware vizsgálat, illetve az eszközök teljesítményének és kompatibilitásának tesztelése során.
Az USB elemzés fontossága az elmúlt években jelentősen megnőtt. A vállalatok és a magánszemélyek egyaránt ki vannak téve annak a veszélynek, hogy egy fertőzött USB eszközön keresztül kártevő kerüljön a rendszerükbe. Másrészt a bűnüldöző szervek számára az USB eszközök gyakran bizonyítékok hordozói lehetnek, amelyeket a forenzikus tudomány szigorú szabályai szerint kell elemezni. Jelen cikk bemutatja az USB elemzés fő területeit, a leggyakoribb módszereket és eszközöket, valamint gyakorlati tanácsokat ad a biztonságos és hatékony elemzéshez.
Az USB elemzés fő területei
Az USB elemzés három nagy területre osztható: forenzikus elemzés, biztonsági elemzés és protokoll elemzés. A forenzikus elemzés célja a bizonyítékok megőrzése és vizsgálata, például egy bűncselekmény során lefoglalt pendrive esetében. A biztonsági elemzés azt vizsgálja, hogy egy USB eszköz tartalmaz-e kártevőt, vagy hogy az eszközön keresztül történt-e jogosulatlan hozzáférés. A protokoll elemzés pedig az USB kommunikáció szabványosságát és hibáit ellenőrzi, ami gyártók és fejlesztők számára fontos.
Forenzikus USB elemzés lépésről lépésre
A forenzikus elemzés első és legkritikusabb lépése az eredeti adatok megváltoztatásának megakadályozása. Ehhez a szakemberek úgynevezett írásvédő eszközöket használnak, amelyek hardveresen vagy szoftveresen blokkolják a módosítási kísérleteket. Az írásvédő használata nélkülözhetetlen, mert ha a rendszer bármilyen automatikus műveletet hajt végre az eszközön (például fájlrendszer naplózás), az a bizonyítékokat sértheti.
A következő lépés a bitről bitre történető képalkotás (bit-by-bit imaging). Ez azt jelenti, hogy a teljes USB eszközről – beleértve a nem használt szektorokat, a fájlrendszer mögötti területeket és a rejtett részeket is – pontos másolat készül. Egy ilyen képfájl tökéletes mása az eredeti eszköznek. Az alkalmazott szoftver, például az FTK Imager, automatikusan kiszámítja a képfájl hash értékét (MD5 vagy SHA-256), ami később biztosítja az integritás ellenőrzését. Ha a hash értékek megegyeznek, akkor a képfájl hiteles másolatnak tekinthető.
A képfájl létrehozása után a tulajdonképpeni elemzés egy olyan számítógépen történik, amely nem kapcsolódik az eredeti USB eszközhöz. A szakemberek a képfájlt különböző eszközökkel, például az Autopsy vagy a The Sleuth Kit segítségével vizsgálják. Ezekkel a programokkal kereshetnek törölt fájlokat, metaadatokat, bejegyzéseket, és akár a fájlrendszer töredezettségét is elemezhetik. A forenzikus elemzés során a szakemberek minden lépést dokumentálnak, hogy a bíróság előtt is hiteles bizonyítékként lehessen felhasználni. A bit-by-bit képalkotásról és a hash ellenőrzésről a Digital Perito USB Forensics szakmai leírása ad részletes tájékoztatást.
Biztonságos elemzés potenciálisan kártékony USB eszközök esetén
Ha egy USB eszközről feltételezzük, hogy kártevőt tartalmaz, a legelső szabály, hogy soha ne csatlakoztassuk közvetlenül a mindennap használt számítógéphez. Ehelyett egy izolált, régebbi vagy dedikáltan erre a célra fenntartott számítógépet kell használni. Ez a gép ne legyen hálózatra kötve, és lehetőleg ne tartalmazzon érzékeny adatokat.
A gyakorlatban ehhez használhatunk egy olyan régi PC-t, amelyen elindítjuk az FTK Imager programot, és elkészítjük az USB eszköz bitről bitre másolatát. Fontos, hogy itt is használjunk írásvédő hardvert, hogy a képalkotás során ne módosuljon az eredeti eszköz. A létrejött képfájlt aztán átmásolhatjuk egy biztonságosabb gépre, ahol az Autopsy vagy más elemző szoftver segítségével vizsgáljuk meg a tartalmát anélkül, hogy az eredeti USB eszközt csatlakoztatnánk. A Reddit Cybersecurity fórumán számos gyakor
