行业动态
/ Industry dynamics
联系我们
/

联系人:孔经理

电话:010-82205090

邮箱:service@zhyx-tech.com
传真:010-62260782
网 址:http://www.zhyx-tech.com

地 址:北京市海淀区西直门北大街32号枫蓝国际中心B座1501-B

【行业资讯】传统服务器离线取证流程
时间:2019-10-15
来源:弘连网络
 
21世纪,随互联网+时代的到来,网络黑灰产犯罪也不断增长,尽管各个网络安全部门都有严厉的打击,但其规模仍旧不可小觑,真是道高一尺,魔高一丈!
 
黑灰产者主要通过移动终端、计算机终端、服务器等设备来实施网络犯罪。其中,涉及服务器的犯罪案件越来越普遍,并且有从线下到线上,由传统硬件到云服务转变的趋势。不得不说服务器取证将是未来取证的重要一环。
 
今天,给大家分享一下,在传统线下服务器的取证场景中,怎样才能提取到更完整的数据。希望大家在以后的取证工作中,遇到传统线下服务器的取证场景时,能够有一个清晰明了的流程思路,径直走向成功获取重要数据证据的终点。
 
在分享提取流程之前,先让我们简单梳理一下,你必须知道的有关服务器的两三点:
 
第一点:服务器操作系统。
 
服务器实际上是一个大型计算机,不同的操作系统,具有不同操作指令,相对应地取证方法也就会有所不同。当前主流的服务器操作系统有:Windows Server、Unix、Linux、NetWare这四大阵容。 
 
第二点:为什么Linux服务器操作系统最为常见?
 
Linux系统之所以会成为目前最受关注的系统之一,主要原因是它具有开放、免费、可靠以及稳定性好等特性。所以,对于取证人员来说,能够熟练掌握Linux系统操作命令,相信可以提高取证工作的效率。 
 
第三点:请把计算机和服务器的取证内容区分开来!
 
从狭义上讲,计算机取证主要是指个人计算机取证,关注点主要是浏览记录、可疑文件、聊天记录等。服务器一般没有图形化界面,服务器取证关注的重心集中在系统日志、数据库、网络流量数据、应用源代码等。
 
接下来,我们就进入今天的主题吧!
 
一、工具准备
 
工具准备作为取证前期准备的重要部分之一,不可马虎。主要包含以下几点:
 
A、外置录像设备;
 
B、不小于目标容量的存证盘(存储内存镜像、磁盘镜像);
 
C、可离线引导的取证设备(如MC110,MC110S,MC120等);
 
D、建议准备软件:FE版屏幕录像,FE版镜像工具(如弘连复制机工具、FTK,WinHex等),哈希校验工具,Raid驱动包);
 
E、取证过程确保线缆连接稳定可靠;
 
F、如无特殊说明,所有文件保存在存证盘中。
 
二、在线内存镜像(可选)
 
A、打开外置录像设备,确保取证过程清晰可见;
 
B、接入取证设备,接入存证盘,打开屏幕录像软件;
 
C、打开内存镜像工具,进行内存镜像;
 
D、结束后检查内存镜像文件的哈希值,截图并展示在录像中;
 
E、结束屏幕录像,检查录像文件哈希值,断开连接的所有外置存储;
 
F、关闭外置录像机。
 
三、离线磁盘镜像(内存镜像完成之后)
 
A、打开外置录像机;
 
(以下两种方案任选其一,优先第一种,速度快,镜像小)
 
方案一   免拆机取虚拟磁盘驱动器镜像
 
a、熟悉该型号服务器进BIOS的方法;
 
b、服务器关机;
 
c、接入取证设备;
 
d、开机,进入服务器BIOS(确保不要进到操作系统引导),设置引导第一优先级为取证设备,保存退出BIOS,重启服务器;
 
e、进入FE系统引导,打开屏幕录像,安装Raid驱动(无法识别到阵列时使用);
 
f、确认阵列正常显示后,接入存证盘;
 
g、使用镜像工具固定物理驱动器镜像(省去阵列重组);
 
h、完成后检查镜像哈希值,截图并展示在录像中;
 
i、结束屏幕录像,检查录像文件哈希值;
 
j、关闭外置录像机;
 
k、断开所有接入设备。
 
方案二   拆机取物理磁盘驱动器镜像
 
a、服务器关机;
 
b、开机进BIOS及Raid卡管理器,确认磁盘阵列配置情况(确保不要进到操作系统引导);
 
c、服务器再次关机;
 
d、标记每块磁盘在机箱内的相对位置,拍照记录;
 
e、依次将每块硬盘取下,使用取证设备制作磁盘镜像,开启屏幕录像,并按标记将每块盘区别保存,检查每块磁盘镜像哈希值,截图并展示在录像中;
 
f、所有磁盘镜像完毕后,结束屏幕录像,检查录像文件哈希值,断开所有连接设备;
 
g、将原始磁盘按标记插回服务器,或者按需处理;
 
h、关闭外置录像机。
 
四、取证结果清单
 
A、内存镜像文件及哈希值、对应的屏幕录像文件;
 
B、物理磁盘镜像文件及哈希值,对应的屏幕录像文件;
 
C、外置录像机的全局录像文件。