FTimes

FTimes система базового уровня и сбора доказательств инструмент. Основная цель FTimes является сбор и / или развивать информацию о заданных каталогов и файлов в форме, способствующей анализу вторжений.
FTimes это легкий инструмент в том смысле, что она не должны быть "установлены" в данной системе работать в этой системе, достаточно мал, чтобы поместиться на одной дискете, и это обеспечивает только интерфейс командной строки.
Сохранение записи всей деятельности, которая происходит во время снимка важно для анализа вторжений и доказательной приемлемости. По этой причине, FTimes был разработан, чтобы войти четыре типа информации: параметры конфигурации, индикаторы прогресса, показатели и ошибки. Выход производства FTimes ограничен текст, и поэтому легко усваивается широкого спектра существующих инструментов.
FTimes основном реализует две основные возможности: файл рельефа и строка поиска. Топография Файл процесс ключевых отображение атрибутов каталогов и файлов на данной файловой системе. Строка поиска процесс копания каталоги и файлы на данной файловой системе, глядя на определенной последовательности байтов. Соответственно, эти возможности именуются карте режиме и режиме раскопок.
FTimes поддерживает два операционных сред: верстак и клиент-сервер. В среде рабочего места, оператор использует FTimes делать такие вещи, как изучать доказательства (например, образ диска или файлы из взломанной системе), анализировать снимки для изменения, поиск файлов, которые имеют определенные атрибуты, проверки целостности файлов, и так далее , В среде клиент-сервер, фокус смещается от чего оператор может сделать локально, как оператор может эффективно контролировать, управлять, и совокупные данные снимков для многих хозяев. В среде клиент-сервер, основная цель заключается в переходе собранные данные от хоста к централизованной системе, известной как целостности сервера, в безопасной и проверку подлинности моды. Целостности Сервер закаленный система, которая была настроена для обработки FTimes GET, PING, HTTP PUT и / S запросов.
Распределение FTimes содержит скрипт NPH-ftimes.cgi, которые могут быть использованы в сочетании с веб-сервера, чтобы реализовать общий интерфейс целостности сервера. Более глубокие темы, такие как строительство и внутренних механики Целостности сервер не рассматриваются здесь

Особенности :.

• FTimes легко в использовании и быстро! Остальное чистый соус ...
• FTimes была написана на С и портирована на многих популярных операционных систем, таких как AIX, FreeBSD, BSDi, HP-UX, Linux, Solaris, и Windows 98 / ME / NT / 2K / XP. FTimes не требуют дополнительной поддержки выполнения таких, как интерпретатора скриптов (например, Perl) или виртуальной машины (например, JVM).
• FTimes не должны быть установлены на компьютере клиента. Во многих случаях она может быть запущена с дискеты или CD-ROM. Из-за этого, FTimes может быть сконфигурирован таким образом, что это минимально инвазивной в целевую систему. Это важно, когда пытаются собрать доказательства о нападении на живой системе.
• FTimes имеет тщательное ведение журнала. Это помогает повысить его надежность и приемлемость в качестве доказательства, так как информация журнала может быть использован для определения известных или потенциальных частоту ошибок инструмента в различных условиях. FTimes регистрирует четыре типа информации: параметры конфигурации, индикаторы прогресса, показатели и ошибки
.
• FTimes обнаруживает и кодирует непечатные символы (например, пробелы, символы возврата каретки, и т.д.) в именах файлов. Это гарантирует, что ваш взгляд на выходе не искусственно изменены с помощью данных, которые вы смотрите. Схема кодирования URL используется также поможет вам быстро сосредоточиться на аномальных файлов.
• FTimes обнаруживает и обрабатывает альтернативных потоков данных (ADS), когда работающие на Windows NT / 2K систем Windows / XP. Это очень полезно в случаях, когда преступник, используемых альтернативные потоки данных, чтобы скрыть инструменты и информацию.

Выход
• FTimes "ограничен ASCII, и поэтому, способствует анализа. Этот выход может быть приравнено по стандартной технологии баз данных, а также широкий спектр существующих инструментов. Это делает ее более гибкой, чем фирменных схем баз данных, которые в основном непрозрачным, чтобы практикующего. В конечном счете, этот формат дает лучшие результаты анализа, поскольку практикующий может свободно манипулировать данными, и коллеги могут самостоятельно проверить результаты анализа. Опять же, это способствует укреплению его авторитета и допустимость в качестве доказательств.
• FTimes могут быть развернуты как корпоративное решение со всей информацией, которая передается и сохраняется на закаленной целостности Server. Это позволяет для централизованного управления данными, и позволяет избежать проблемы оставляя данные выставляются по клиента. Данные, хранящиеся на системе клиента уязвим для вредоносного изменения или уничтожения.
• FTimes изначально поддерживает клиент инициировал HTTP / HTTPS / добавления загрузок. Это устраняет необходимость в граничных устройств, таких как брандмауэры, чтобы иметь специальные входящие правила подключения. Кроме того, есть хороший шанс, что существующие пограничные устройства уже поддерживают необходимый исходящие связи путь, потому что это то же самое, что и требуется, чтобы просмотреть в Интернете.
• FTimes обеспечивает эффективную возможность поиска строку (ака режим копать). Это особенно полезно в исследованиях, когда практикующий имеет профиль ключевых слов или байт строки, которые, скорее всего, где-то существуют в целевой системе.
• FTimes необязательно поддерживает файл устройства копать (блок / символ).

Выход
• FTimes "настраивается на душу атрибута основе. Это позволяет пользователям разрабатывать данные таким образом, что лучше всего подходит для их нужд.
• FTimes необязательно производит хэши каталогов. Это является существенным преимуществом анализ в ситуациях, когда содержание меняется редко. Преимуществом является то, что один хэш эффективно представляет содержание всех файлов и каталогов, содержащихся в данном дереве.
• FTimes необязательно производит символических ссылок хэшей.
• FTimes необязательно выполняет файл печатать с помощью XMagic. Когда есть сотни или тысячи неизвестных хэшей, трудно определить, какие файлы, возможно, изменились в результате злоумышленных действий. В этих ситуациях, информация о типе может быть использован для классифицировать файлы и приоритеты порядок, в котором они рассматриваются.
• FTimes имеет чрезвычайно быстро, перестраиваемый сравнивать возможности. Это позволяет практикующему быстро анализировать снимки и определить изменения.

Что нового В этом выпуске:

• Код был очищен и изысканный, как надо
• Несколько ошибок было исправлено.
• Этот релиз включает обновленную поддержку крючков файлов и вводит KL-EL основе XMagic.
• Следовательно, минимальная требуемая версия libklel был rasied на 1.1.0,, который имеет библиотеку версии 2: 0: 1.
• Добавлена ​​поддержка файловой системы для SquashFS.