安全漏洞通知法 資料外洩 數位鑑識 機密文件 資安

活用鑑識工具抽絲剝繭 從Registry揪出洩密內賊

Windows系統須於設定檔的協助下方能有效運作,使用者任何的操作行為都可能在系統上留下蛛絲馬跡,透過鑑識工具一系列的操作,可在確認外洩標的後,進一步查探資料外洩的途徑,還原外洩事件的原貌。
許多安全事件諸如摩根大通、Adobe以及Sony均顯示了資料外洩(Data Leakage)將對經濟及社會層面帶來高度的影響,美國及歐洲政府已經意識到這些影響,而且開始引入了安全漏洞通知法。

台灣與此相關的新聞,當屬2013年國內手機業者爆發的手機設計圖洩密案,洩密案的發生不僅影響業者的產品上市時程,更使其於大陸市場的反攻受挫,這類資安議題不僅引起大眾的關注,也揭示了企業未來在資料防護的長遠道路。

資料外洩的議題說明了電腦系統於今日各大領域的廣泛使用,網路不法份子亦趁機攻擊重要的電腦基礎設施,以獲取或是非法使用機密資訊。員工的倫理道德開始受到企業組織的重視,因為電子文件的存取、轉發以及竄改皆異於傳統的書面資料,而且甚少留下人為操作的痕跡,這讓組織機密文件的保護防不勝防。每當電腦裝置發生案件過後,就必須啟動調查流程查找證據,以揭示電腦上所發生的事件經過,幫助法院確認嫌疑人有罪與否。

任何的電腦系統皆以作業系統為基礎,其中一個為人所熟知且最常使用的是微軟的Windows,這也使其成為最常遭受攻擊的作業系統。在Windows平台裡,有許多區塊可以幫助調查人員投入案情分析,Windows設定檔(Registry)屬於其中一個有效來源,可以提供許多潛在性的證據,諸如使用者帳戶、URL網址、分享過的網路、運行過的命令等資訊皆儲存於此。

調查人員可以從中萃取一些有用資料以協助調查,例如使用者最後存取的網站、插入裝置的型號等其他相關資料,這些資料必須被萃取、分析,並且在鑑識的角度下評估,由於Windows設定檔內含大量的證據性資訊,使其成為數位鑑識裡的重要證據來源。

對於資料外洩所帶來的環境挑戰,可以假想此議題發生於最常見的Windows系統平台上,而後在鑑識工具FTK Imager的輔助下留存系統狀態,將其製成映像檔,接著使用RegRipper軟體產出使用資料報告,確認標的檔案是否在近期內曾遭存取、寫入。最後,在Registry Viewer的協助下,檢視系統設定檔所蘊藏的詳細內容,追蹤檔案外洩的可能路徑。

了解背景知識

本文將從資料外洩的現象開始談起,而後介紹Windows設定檔的基礎知識,最後再介紹與本文有關的軟體工具。

資料外洩

資料外洩意指敏感性資料揭露於不可信任的一方,此類事件的發生可能是無意或者是有意,儘管企業組織擁有著安全評估以及傳統技術方法,例如防火牆、入侵偵測系統等,資料外洩的事件依然層出不窮,伴隨著電腦系統發展至今的廣泛使用,資料外洩已經有著深遠的歷史,而且距離問題的解決還有一段長遠的發展。

組織內部人員所造成的資料外洩可歸類為幾種不同的犯罪類型,包括個體識別資訊的竊盜(可用於後續詐騙行為)、智慧財產權的竊盜,或者將敏感訊息傳送給未授權的第三方等。

資料外洩共可分為三個階段:(1)獲得存取權限、(2)下載資料、(3)資料分享。資料外洩的常見動機主要為報仇或者獲利,而且有時與組織外部人員合謀進行。學者McCormick針對此類威脅,提出幾項潛在的技術及管理控制,包括卸除式儲存媒體的加強控制、使用資料外洩防護工具,以及培訓員工如何處理敏感訊息等。

針對資料外洩的資料存取行為,另有其他學者提出不同的解決方案。學者Mathew提出了存取模式化的方法,藉此瞭解正常存取以及異常存取的不同態樣,因而減輕了資料庫訊息的內部威脅。學者Aleman-Meza則是專注在合法檔案存取的議題,也就是確保員工只能存取他們所需知道的訊息。

Windows設定檔

設定檔是一個集中階層化的資料庫,用於儲存系統配置的必要資訊,這些資訊與單一或數名使用者、應用程式以及硬體裝置相關,Windows作業系統利用設定檔來決定每一位使用者和硬體元件的存取許可,這對系統穩定及系統運作來說顯得重要。

設定檔內的登錄檔以及組態資訊,在電腦鑑識調查中顯得相當重要,因為它們可以幫助識別裝置上所發生的活動,設定檔不僅以專有的形式儲存,而且只有專屬的工具能夠有效地從中存取資訊,多數的使用者和管理人員並不直接與設定檔進行接觸、互動,而是透過某種圖形化使用者介面,例如登錄編輯程式。

當談論到設定檔時,能有一致的理解和認識是相當重要的,彼此都清楚所指的是設定檔的哪一個區塊,方可避免溝通上的混淆和誤解。如圖1所示,Keys與Subkeys是顯示於編輯器左側儀表板的資料夾,右側儀表板的數值(Value)則包含了資料(Data)及其所屬型態(Type),可能為字串值、多重字串值、二進位數值等。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!