FTimes

FTimes ist ein System Baseline und die Sammlung von Nachweisen Werkzeug. FTimes primäre Ziel ist es, zu sammeln und / oder Entwicklung von Informationen zu angegebenen Verzeichnisse und Dateien in einer Weise zugänglich sind Intrusion-Analyse.
FTimes ist ein leichtes Werkzeug in dem Sinne, dass es nicht um "installiert" werden auf einem bestimmten System, um auf diesem System arbeiten müssen, klein genug, um auf eine Diskette passt ist es, und es gibt nur eine Befehlszeilenschnittstelle.
Bewahrung von Aufzeichnungen aller Aktivitäten, die während einer Momentaufnahme erfolgt ist wichtig für Intrusion-Analyse und Beweis Zulässigkeit. Aus diesem Grund FTimes wurde entwickelt, um vier Arten von Informationen protokolliert werden: Konfigurationseinstellungen, Statusanzeigen, Metriken und Irrtümer vorbehalten. Ausgabe durch FTimes erzeugte Text begrenzt ist und daher leicht durch eine Vielzahl von vorhandenen Werkzeugen assimiliert.
FTimes grundsätzlich implementiert zwei allgemeine Funktionen: Datei Topographie und String-Suche. Datei-Topographie ist der Prozeß des Abbildens Schlüsselattribute der Verzeichnisse und Dateien in einem Dateisystem zu. String-Suche ist der Prozess der Graben durch Verzeichnisse und Dateien auf einem bestimmten Dateisystem bei der Suche nach einer bestimmten Folge von Bytes. Beziehungsweise werden diese Fähigkeiten als Kartenmodus und dig-Modus bezeichnet.
FTimes unterstützt zwei Betriebsumgebungen: Werkbank und Client-Server. In der Workbench-Umgebung nutzt der Betreiber FTimes, Dinge zu tun, wie Beweise untersuchen (zB eine Festplatten-Image oder Dateien von einem kompromittierten System), zu analysieren Snapshots für den Wandel, die Suche nach Dateien, die bestimmte Eigenschaften haben, überprüfen Sie die Integrität der Datei und so weiter . In der Client-Server-Umgebung, der Fokus von dem, was der Bediener direkt vor Ort, wie der Bediener effizient überwachen, zu verwalten tun, und Aggregat Snapshot-Daten für viele Hosts. In der Client-Server-Umgebung, ist das primäre Ziel, um die gesammelten Daten vom Host zu einem zentralisierten System, wie einem Integrity-Server bekannt zu bewegen, in einer sicheren und authentifizierten Mode. Ein System Integrity Server ist eine gehärtete System konfiguriert wurde zu hand FTimes GET, PING und PUT HTTP / S-Requests.
Die FTimes Distribution enthält ein Skript namens NPH-ftimes.cgi, die in Verbindung mit einem Web-Server verwendet, um eine öffentliche System Integrity Server-Schnittstelle zu implementieren. Deeper Themen wie die Bau- und Innenmechanik eines Integrity Server werden hier nicht behandelt

Eigenschaften .

• FTimes ist einfach zu bedienen und schnell! Der Rest ist reine Soße ...
• FTimes wurde in C geschrieben und zu vielen beliebten Betriebssystemen wie AIX, BSDi, FreeBSD, HP-UX, Linux, Solaris und Windows 98 / ME / NT / 2K / XP unterstützt. FTimes keine zusätzlichen Runtime-Unterstützung erfordern, wie zum Beispiel ein Skript-Interpreter (zB Perl) oder einer virtuellen Maschine (zB JVM).
• FTimes muss nicht auf dem Client-Rechner installiert werden. In vielen Fällen kann es von einer Diskette oder CD-ROM gestartet werden. Dadurch kann FTimes konfiguriert werden, dass sie minimal invasive an das Zielsystem. Dies ist wichtig, wenn man versucht, Hinweise auf einen Angriff auf einem Live-System zu sammeln.
• FTimes hat umfassende Protokollierung. Dies hilft, die Glaubwürdigkeit und die Zulässigkeit als Beweismittel zu erhöhen, da die Log-Informationen können verwendet werden, um die bekannte oder potenzielle Fehlerrate des Werkzeugs unter verschiedenen Bedingungen zu bestimmen. FTimes meldet sich vier Arten von Informationen: Konfigurationseinstellungen, Statusanzeigen, Metriken und Fehler
.
• FTimes erkennt und kodiert für nicht druckbare Zeichen (zB Leerzeichen oder Zeilenumbrüche, etc.) in Dateinamen. Dies stellt sicher, dass Ihre Sicht der Ausgang ist nicht künstlich durch die Daten sind Sie bei uns verändert. Die URL-Codierungsschema auch hilft Ihnen, schnell konzentriert sich auf anomale Dateinamen.
• FTimes erkennt und verarbeitet Alternate Data Streams (ADS), wenn unter Windows NT / 2K / XP-Systemen läuft. Dies ist sehr nützlich, wenn der Täter Alternate Data Streams verwendet werden, um Werkzeuge und Informationen zu verstecken.

Ausgang
• FTimes 'abgegrenzt ASCII, und deshalb ist förderlich für Analyse. Dieser Ausgang kann mit Standard-Datenbanktechnologie sowie eine breite Palette von vorhandenen Tools aufgenommen werden können. Dies macht es flexibler als proprietäre Datenschemata, die im wesentlichen undurchlässig für den Praktiker sind. Letztlich ergibt sich Format bessere Analyse ergibt sich, weil der Arzt in der Lage, Daten frei zu manipulieren und Kollegen können unabhängig überprüfen Analyseergebnissen. Auch hilft dies, um die Glaubwürdigkeit und die Zulässigkeit als Beweismittel. Stärken
• FTimes eingesetzt werden können, wie eine Unternehmenslösung mit allen Informationen auf einer gehärteten System Integrity Server zu übertragen und zu erhalten. Dies ermöglicht die zentrale Verwaltung von Daten, und das Problem des Verlassens Daten auf dem System des Kunden ausgesetzt vermeidet. Auf dem System des Kunden gespeicherten Daten ist anfällig für böswillige Veränderung oder Zerstörung.
• FTimes nativ unterstützt Client initiiert HTTP / HTTPS-Uploads / Downloads. Dadurch entfällt die Notwendigkeit für Randgeräten wie Firewalls, um eine spezielle eingehende Verbindung Regeln. Darüber hinaus gibt es eine gute Chance, dass die bestehenden Grenz Geräte unterstützen bereits die erforderliche abgehende Kommunikationspfad, weil es die gleiche wie die erforderlich sind, um im Web zu surfen ist.
• FTimes bietet eine effiziente String-Suchfunktion (auch bekannt als dig-Modus). Dies ist besonders nützlich bei der Untersuchung, wenn der Arzt ein Profil der Schlüsselwörter oder Byte-Zeichenfolgen, die wahrscheinlich auf dem Zielsystem vorhanden sind irgendwo hat.
• FTimes unterstützt optional Gerätedatei Graben (Block / Zeichen).

Ausgang
• FTimes 'ist konfigurierbar für einzelne Attribut Basis. Dies ermöglicht Benutzern, Daten in einer Weise, die am besten auf ihre Bedürfnisse ist zu entwickeln.
• FTimes optional produziert Verzeichnis Hashes. Dies ist ein bedeutender Vorteil Analyse in Situationen, in denen Inhalte selten ändert. Der Vorteil ist, dass ein Hash des Inhalts aller in einem bestimmten Baum enthaltenen Verzeichnisse und Dateien effektiv dar.
• FTimes optional produziert Symlink-Hashes.
• FTimes führt optional Dateiklassifizierungs über XMagic. Wenn es Hunderte oder Tausende von unbekannten Hashes, ist es schwierig zu bestimmen, welche Dateien als ein Ergebnis einer zerstörerischen Aktion geändert haben kann. In diesen Situationen können Typinformationen verwendet werden, um Dateien zu kategorisieren und priorisieren Sie die Reihenfolge, in der sie geprüft werden.
• FTimes hat eine extrem schnelle, abstimmbaren vergleichen Fähigkeit. Dies ermöglicht es dem Arzt, um schnell zu analysieren und festzustellen, Schnappschüsse zu ändern.

Was ist neu in dieser Pressemitteilung:

• Der Code wurde aufgeräumt und raffiniert wie nötig.
• Mehrere Fehler wurden behoben.
• Diese Version enthält aktualisierte Unterstützung für Datei-Haken und stellt KL-EL-basierte XMagic.
• Folglich ist die mindestens erforderliche Version libklel wurde auf 1.1.0 rasied worden, die eine Bibliothek Version 2 hat: 0:. 1
• Dateisystem-Unterstützung für SquashFS hinzugefügt.