A Tableau liberou no dia 20 de fevereiro deste ano o novo firmware para os bloqueadores de escrita T6es, T35es e T35es-R2 que adiciona a capacidade de realizar imagens de discos rígidos com capacidade superior a 2TiB. Por serem dispositivos largamente utilizados, é recomendável a atualização.
Visite a Tableau e baixe a atualização. Não se esqueça de registra-se no site para que o download seja liberado.
Os sistemas operacionais Linux e Windows possuem recursos próprios de bloqueio de escrita. O Linux é mais flexível, pois permite a montagem de dispositivos de mídia em modo somente leitura. Para isso é preciso utilizar uma distribuição em que o SO esteja com o automount desativado, de forma que a montagem seja realizada somente de forma manual. Assim um dispositivo em /dev/hda3, será montado em /mnt/readonly, com as seguintes linha de comando:
# mount -o ro /dev/hda3 /mnt/readonly ou # mount -r /dev/hda3 /mnt/readonly
No ambiente Windows o processo não é tão simples. Troy Larson, Senior Forensic Investigator do Microsoft’s IT Security Group, criou o Windows Forensic Environment, uma mídia de inicialização construída a partir do Windows 7, que permite anexar dispositivos de mídia protegidos de escrita. Caso queira conhecer o WinFE com mais detalhes recomendo o blog Windows Forensic Environment que contém bastante material a respeito.
O Microsoft Windows permite o bloqueio de escrita em dispositivos de mídia anexados ao SO através de portas USB. Isto pode ser realizado através do registro, conforme vemos a seguir.
Na chave HKLMSYSTEMCurrentControlSetControlStorageDevicePolicies verifique a existência do valor “WriteProtect“. Em caso positivo, edite o valor e coloque “0” (zero) nos dados do valor. Caso o valor não exista, crie um valor DWORD com o nome “WriteProtect” e com o dado do valor “1” (um) para efetuar o bloqueio. Assim se “WriteProtect” tem o dado do valor igual a “0” as portas USB estarão desbloqueadas e se o dado do valor for igual a “1” as portas USB estarão bloquedas.
Observação Importante. O dispositivo só deverá ser conectados às portas USB após o bloqueio das portas. Se for necessário desbloqueá-las para escrita em algum dispositivo, realize o desbloqueio e conecte o dispositivo desejado. Após o desbloqueio, dispositivos que estavam conectados no modo bloqueado, permanecem bloqueados até que sejam removidos e reconectados.
Abaixo o link para download de um pequeno utilitário para bloqueio de escrita em portas USB, criado através AutoPlay Media Studio 8, para uso livre e gratuito. O utilitário permite bloquear ou liberar as portas, informa o status corrente e avisa se não existe o valor “WriteProtect” oferecendo a opção de criá-lo.
Hash MD5 – [71998EBCBE02E482EA7FD993A27B2F9A]
O Live View é uma ferramenta forense baseada em Java, de grande utilidade para o perito, que permite criar uma máquina virtual VMWare a partir de imagens RAW de discos (como as realizadas com o “dd“), de discos físicos protegido por bloqueadores de escrita, ou ainda de imagens do Encase ou FTK, montadas como discos emulados, pelos próprios. Está atualmente na versão 0.7b e suporta imagens de discos com sistemas operacionais Windows Vista, 2008, XP, 2003, 2000, NT, Me, 98 e 95, além do Linux (limitado), FreeBSD e OSX. O Live View mantém a imagem forense intocada, destinando as alterações para arquivos situados fora da imagem.
Este pequeno artigo tem como propósito apresentar os pré-requisitos e mostrar a instalação, configuração e operação do Live View.
Para a instalação do Live View é necessário alguns itens:
Inicialmente instalemos o Java Runtime Environment, VMware Virtual Disk Development Kit e o VMware Server 1.x. Finalizado instalamos o Live View.
A abrir o Live View teremos a seguinte interface:
Nesta interface temos seis seções distintas empregadas na configuração e carga da máquina virtual desejada.
VM Initialization Parameters – Esta seção permite o usuário determinar a quantidade de memória a ser utilizada (RAM Size), a data e hora a ser apresentada no sistema que será carregado e o sistema operacional presente no arquivo de imagem.
Dica: Para saber qual a versão do Windows instalado na imagem, extraia o arquivo da hive software presente na pasta C:\Windows\system32\config e através de um visualizador de registro como o Mitec Windows Registry Recovery e busque o conteúdo da chave MicrosoftWindows NTCurrentVersion, onde o valor ProductName indicará o nome e o valor CurrentVersion indicará a versão do SO.
Select Your Image or Disk – Permite optar pelo local onde está instalado o sistema a ser carregado; Em um arquivo de imagem (Image File), em um disco físico bloqueado ou em uma imagem montada com o emulador (Physical Disk).
Select Output Directory For VM Config Files – Permite indicar onde serão gravados os arquivos de configuração da máquina virtual que será criada.
What do you want to do? – Esta quarta seção permite optar por carregar a imagem criada (Launch My Image) ou apenas criar os arquivos de configuração (Generate Config Only)
Actions – Escolha Iniciar a carga da máquina virtual (Start) ou limpar as configurações realizadas (Clear).
Messages – Local onde onde será mostrada o status da criação e carga dos arquivos de configuração da máquina virtual.
OBS.: Apesar de indicar na seção um a opção de auto detecção do sistema operacional, não deixe de selecionar o sistema operacional indicado. Caso o processo de geração dos arquivos de configuração e carga da máquina virtual apresente erro de “Parâmetro incorreto”, clique novamente sobre Start e clique sobre o botão Continue no pop-up que irá aparecer.
