FTimes

FTimes là một công cụ hệ thống baselining và thu thập chứng cứ. Mục đích chính của FTimes là để thu thập và / hoặc phát triển các thông tin về các thư mục được chỉ định và các tập tin một cách thuận lợi để phân tích xâm nhập.
FTimes là một công cụ gọn nhẹ trong ý nghĩa rằng nó không cần phải được "cài đặt" trên một hệ thống nhất định để làm việc trên hệ thống, nó là đủ nhỏ để vừa trên một đĩa mềm, và nó chỉ cung cấp một giao diện dòng lệnh.
Bảo quản hồ sơ của tất cả các hoạt động xảy ra trong một bản chụp là quan trọng để phân tích sự xâm nhập và bằng chứng admissibility. Vì lý do này, FTimes được thiết kế để ghi bốn loại thông tin: thiết lập cấu hình, chỉ số tiến, số liệu, và các lỗi. Sản lượng sản xuất bởi FTimes được giới hạn văn bản, và do đó, có thể dễ dàng đồng hóa bởi một loạt các công cụ hiện có.
FTimes về cơ bản thực hiện hai khả năng tổng quát: file địa hình và tìm kiếm chuỗi. Tập tin địa hình là quá trình lập bản đồ thuộc tính quan trọng của các thư mục và tập tin trên một hệ thống tập tin nhất định. Chuỗi tìm kiếm là quá trình đào qua các thư mục và tập tin trên một hệ thống tập tin được đưa ra trong khi tìm kiếm một trình tự cụ thể của byte. Tương ứng, các tính năng được gọi là chế độ bản đồ và chế độ đào.
FTimes hỗ trợ hai môi trường hoạt động: bàn làm việc và client-server. Trong môi trường bàn làm việc, nhà điều hành sử FTimes để làm những việc như kiểm tra bằng chứng (ví dụ, một hình ảnh đĩa hoặc tập tin từ một hệ thống bị xâm), phân tích các bức ảnh chụp cho sự thay đổi, tìm kiếm các tập tin có thuộc tính cụ thể, xác minh tính toàn vẹn file, vv . Trong môi trường client-server, sự chú ý chuyển từ những gì các nhà điều hành có thể làm tại địa phương để làm thế nào các nhà điều hành có hiệu quả có thể giám sát, quản lý, và các dữ liệu ảnh chụp tổng hợp cho nhiều chủ nhà. Trong môi trường client-server, mục tiêu chính là để di chuyển dữ liệu thu thập được từ các máy chủ để một hệ thống tập trung, được biết đến như một Liêm Server, một cách an toàn và xác thực. An toàn vẹn Server là một hệ thống cứng mà đã được cấu hình để xử lý FTimes GET, PING, và PUT HTTP / S yêu cầu.
Sự phân bố FTimes chứa một kịch bản gọi là nph-ftimes.cgi mà có thể được sử dụng kết hợp với một máy chủ Web để thực hiện một giao diện công cộng Liêm Server. Chủ đề sâu sắc hơn như các cơ chế xây dựng và nội bộ của một máy chủ toàn vẹn không được đề cập ở đây

Tính năng .

• FTimes là dễ dàng để sử dụng và nhanh chóng! Phần còn lại là nước thịt tinh khiết ...
• FTimes đã được viết bằng C và chuyển đến nhiều hệ điều hành phổ biến như AIX, bsdi, FreeBSD, HP-UX, Linux, Solaris, và Windows 98 / ME / NT / 2K / XP. FTimes không đòi hỏi hỗ trợ bổ sung khi chạy như một thông dịch kịch bản (ví dụ như, Perl) hoặc một máy ảo (ví dụ, JVM).
• FTimes không cần phải được cài đặt trên máy tính của khách hàng. Trong nhiều trường hợp, nó có thể chạy từ một đĩa mềm hoặc đĩa CD-ROM. Bởi vì điều này, FTimes có thể được cấu hình như vậy mà nó là ít xâm lấn vào hệ thống đích. Điều này rất quan trọng khi cố gắng để thu thập bằng chứng về một cuộc tấn công vào một hệ thống sống.
• FTimes có khai thác gỗ kỹ lưỡng. Điều này giúp tăng độ tin cậy và khả năng chấp nhận của nó như là bằng chứng bởi vì các thông tin đăng nhập có thể được sử dụng để xác định tỷ lệ lỗi đã biết hoặc tiềm năng của các công cụ trong các điều kiện khác nhau. FTimes ghi bốn loại thông tin: thiết lập cấu hình, chỉ số tiến, số liệu, và lỗi
.
• FTimes phát hiện và mã hóa các ký tự không in được (ví dụ, không gian màu trắng, trả về vận chuyển, vv) trong tên tập tin. Điều này đảm bảo rằng quan điểm của bạn về sản lượng là không giả tạo thay đổi bởi các dữ liệu bạn đang nhìn. Các chương trình mã hóa URL được sử dụng cũng giúp bạn nhanh chóng tập trung vào tên tập tin bất thường.
• FTimes phát hiện và xử lý Alternate Data Streams (ADS) khi chạy trên NT / 2K hệ thống Windows / XP. Điều này khá hữu ích trong trường hợp thủ phạm đã sử dụng Alternate Data Streams để ẩn các công cụ và thông tin.

Sản lượng
• FTimes 'được giới hạn ASCII, và do đó, có lợi cho phân tích. Kết quả này có thể được đồng hóa sử dụng công nghệ cơ sở dữ liệu tiêu chuẩn cũng như một loạt các công cụ hiện có. Điều này làm cho nó linh hoạt hơn các chương trình cơ sở dữ liệu độc quyền mà chủ yếu là đục để các học viên. Cuối cùng, định dạng này mang lại kết quả phân tích tốt hơn vì các thực hành có thể thao tác dữ liệu một cách tự do, và các đồng nghiệp có thể độc lập xác nhận kết quả phân tích. Một lần nữa, điều này sẽ giúp tăng cường độ tin cậy và khả năng chấp nhận của nó làm bằng chứng.
• FTimes có thể được triển khai như là một giải pháp doanh nghiệp với tất cả các thông tin được truyền đến và bảo quản trên một máy chủ Liêm cứng. Điều này cho phép quản lý tập trung của dữ liệu, và tránh được vấn đề của dữ liệu tiếp xúc để lại trên hệ thống của khách hàng. Dữ liệu được lưu trữ trên hệ thống của khách hàng là dễ bị tổn thương để sửa đổi độc hại hoặc tiêu hủy.
• FTimes natively hỗ trợ khách hàng bắt đầu HTTP / HTTPS uploads / tải. Điều này giúp loại bỏ sự cần thiết cho các thiết bị ranh giới như tường lửa để có một quy tắc kết nối inbound đặc biệt. Hơn nữa, có một cơ hội tốt cho các thiết bị mà ranh giới hiện tại đã hỗ trợ các yêu cầu đường giao thông hướng ngoại vì nó giống như rằng cần thiết để duyệt Web.
• FTimes cung cấp khả năng tìm kiếm hiệu quả chuỗi (aka đào mode). Điều này đặc biệt hữu ích trong việc điều tra khi các học viên có một hồ sơ cá nhân của các từ khóa hoặc các chuỗi byte mà có thể tồn tại ở đâu đó trên hệ thống đích.
• FTimes tùy chọn hỗ trợ tập tin thiết bị đào (khối / nhân vật).

Sản lượng
• FTimes 'là cấu hình trên một cơ sở cho mỗi thuộc tính. Điều này cho phép người sử dụng để phát triển các dữ liệu trong một cách đó là phù hợp nhất với nhu cầu của họ.
• FTimes tùy chọn tạo thư mục băm. Đây là một lợi thế đáng kể trong phân tích các tình huống mà nội dung hiếm khi thay đổi. Ưu điểm là một hash có hiệu quả thể hiện nội dung của tất cả các thư mục và các tập tin chứa trong một cái cây nào.
• FTimes tùy chọn tạo liên kết tượng trưng băm.
• FTimes tùy chọn thực tập đánh máy qua XMagic. Khi có hàng trăm hoặc hàng ngàn băm chưa biết, rất khó để xác định những tập thể đã thay đổi như là kết quả của một hành động độc hại. Trong những tình huống này, các loại thông tin có thể được sử dụng để phân loại các tập tin và ưu tiên theo thứ tự mà chúng được kiểm tra.
• FTimes có một cực kỳ nhanh chóng, du dương so sánh khả năng. Điều này cho phép các bác sĩ nhanh chóng phân tích các bức ảnh chụp và xác định sự thay đổi.

là gì mới trong phiên bản này:

• Mã này đã được làm sạch và tinh tế khi cần thiết
• Một số lỗi đã được cố định.
• Phiên bản này bao gồm hỗ trợ cập nhật cho các tập tin hook và giới thiệu KL-EL-dựa XMagic.
• Do đó, phiên bản tối thiểu cần libklel đã được rasied đến 1.1.0, trong đó có một phiên bản thư viện của 2: 0:. 1
• hỗ trợ hệ thống tập tin cho squashfs được thêm vào.