Como é possível fazer uma cópia por bit de um disco rígido enquanto o utiliza?

Question

Eu aprendi em análise que você pode implantar um agente em um computador remoto e fazer com que ele recupere uma cópia exata do disco rígido remoto, incluindo espaço não alocado e troca, mesmo enquanto estiver sendo usado. Esta cópia é enviada para o seu PC através da Internet pelo agente e, em seguida, você pode trabalhar no seu PC.

Um exemplo de tal software é o EnCase.

No entanto, eu não entendo como isso é possível. Se o computador está sendo usado, algumas partes não são inatingíveis, como o arquivo com os hashes SAM no Windows? Ou se as alterações forem feitas nos arquivos enquanto o agente estiver copiando-os?

    

Answer 1

Você não faz isso.

Na verdade, existem duas escolas de pensamento em relação à imagem do disco forense.

O método oldschool era desconectar o PC imediatamente , e fazer imagens da unidade em esse estado , para garantir que nada fosse alterado. Também assegurou um certo grau de negação plausível ...

E isso não funcionou muito bem no momento em que as pessoas perceberam que você poderia criptografar uma unidade com uma senha.

Enquanto a captura forense live não garante que nada seja ever alterado, com o registro correto, você sabe o que o examinador tem feito. Também é útil, pois se o suspeito não tiver trancado o sistema, provavelmente você pode obter dados suficientes copiados para descobrir o que está acontecendo.

I learned in forensics you can deploy an agent to a remote computer and have it retrieve an exact copy of the remote hard drive, including unallocated space and swap, even while it is being used. This copy gets sent to your pc over the internet by the agent and then you can work on it on your pc.

Parece que você está confundindo ambos os processos - você também executará um agente e outras ferramentas em um viveiro, ou colocará o disco rígido na imagem nos métodos 'tradicionais' ou usará ao vivo ferramentas, ou bom e velho trabalho investigativo em um sistema em execução. Você não pode obter uma cópia forense adequada em um sistema em execução.

EnCase , por exemplo, permite trabalhar em um VHD ou VMDK feito com outra ferramenta - mas você não é vai executá-lo diretamente em um sistema que está sendo investigado.

    

Answer 2

O objetivo não é criar uma imagem perfeita da unidade, mas uma cópia razoável dos dados importantes, ou seja, dados do usuário. Se a unidade for acessada usando comandos de disco de baixo nível, e não comandos do sistema de arquivos, ela poderá solucionar problemas, como bloqueios de arquivos e arquivos abertos. Mas esses são provavelmente arquivos do sistema operacional que não são dados do usuário. A questão é que os dados que você está interessado geralmente estão em repouso no disco, mesmo quando o sistema está em execução.

    

Answer 3

Sim, em alguns casos, você precisa ter um link físico para o dispositivo e permissão. Se não, você precisará de conjuntos de hash e uma ordem judicial. Cuidado ... isso é escutas telefônicas