Cellebrite Di Ltd. · NASDAQ:CLBT
Cellebrite Di — Cellebrite — Technical Presentation (May 2020)
33 slides from Cellebrite Di's technical presentation, May 26, 2020
Slide 1: 4e Rendez-vous 4n6s
4e Rendez-vous 4n6s 26 Mai 2020 Cyril Texier Ministère de l’Intérieur Jean-Philippe Noat Sr Directeur du training international chez Cellebrite
Slide 2: Format des rendez-vous
Format des rendez-vous • Votre rendez-vous d’échange • Proposer les sujets qui vous intéressent • Poser des questions techniques, si toutes ne peuvent être répondues elles le seront lors du prochain rendez-vous. • Faites vous plaisir et échangez • Mettre l’humain au coeur de la technique • N’hésitez
Slide 3: Que faire en cas de pépin ?
Que faire en cas de pépin ? En cas de perturbation technique : mon portable +33 6 08 98 08 94 Pour toute question sur le thème (et les thèmes à venir) jean-philippe.noat@cellebrite.com Rdv cet après-midi : https://www.cellebrite.com/fr/webinaires/pa-7-33-les- nouveautes/ 3
Slide 4: Le Graal de l’investigateur cyber : Le Timeline
Le Graal de l’investigateur cyber : Le Timeline • Mal supporté par les outils jusqu’à présent • X-Ways (impossible d’être exhaustif) • IEF/Axiom (dates erronées, voir les éléments effacés) • Encase : peu ou pas d’option de tri exhaustive • Impossible à faire à chaud (réponse sur incident) • Des outi
Slide 5: Quels événements prendre en compte
Quels événements prendre en compte 5
Slide 6: Installation Plaso / Log2timeline
Installation Plaso / Log2timeline https://plaso.readthedocs.io/en/latest/sources/ user/Users-Guide.html#installing-the- packaged-release Disponible uniquement en version Docker / Ubuntu / Mac / Fedora 6
Slide 7: Installation
Installation https://plaso.readthedocs.io/en/latest/sources/ user/MacOS-Source-Release.html N’a jamais fonctionné correctement pour moi La solution : https://tsurugi-linux.org/ 7
Slide 8: Log2Timeline
Log2Timeline (SINGLE OR SPLIT IMAGE (2 options): ) * mount -t ntfs -o ro,loop,show_sys_files,streams_interface=windows, or offset=#### /mnt/ewf/<image> /mnt/windows_mount/ # mount_ewf.py image.£01 /mnt/ewf ] | # ewfmount image.£01 /mnt/ewf/ Lp (MOUNT TO MOUNT POINT (SINGLE IMAGE (# mount -t ntfs -o
Slide 9: Etapes de creation du supertimeline
Etapes de creation du supertimeline Log2timeline Outil ligne de commande pour extraire les événements de fichiers individuels ou de répertoires (points de montage). Log2timeline créé un fichier plaso qui doit être ensuite analysé avec les outils pinfo ou psort Pinfo Information à d’un fichier plaso
Slide 10: Etapes de création du supertimeline
Etapes de création du supertimeline 10
Slide 11: Visualisation des résultats : timesketch
Visualisation des résultats : timesketch Outil open source Analyse de timeline et ingestion de données en provenance de Plaso Basé sur une interface web Partage d’information entre utilisateurs Annotation et partage des découvertes Basé sur Elastic Search 11
Slide 12: Analyse du supertimeline : Timesketch
Analyse du supertimeline : Timesketch 12
Slide 13: Analyse du supertimeline : Timesketch
Analyse du supertimeline : Timesketch 13
Slide 14: Analyse à chaud d’un Windows 10 pour récupérer un timeline
ANALYSE A CHAUD D’UN WINDOWS 10 POUR RECUPERER UN TIMELINE 14
Slide 15: Présentation des outils utilisés
Présentation des outils utilisés Présentation de Powershell Utilité de connaitre quelque commandes Powershell Démonstrations en local Cas particulier dans une infrastructure de type Active Directory 15
Slide 16: Powershell
Powershell Langage de script apparu pour la première en 2005 en version bêta. 2006 devient une MAJ non obligatoire de Windows Vista. Disponible de base dans toutes les versions de Windows depuis W8. Successeur des interfaces en ligne de commande DOS/Windows Compatible avec toutes les versions de win
Slide 17: Pourquoi utiliser Powershell ?
Pourquoi utiliser Powershell ? Il peut arriver que dans le cadre d’une réponse sur incident vous soyez amené à effectuer une première analyse à chaud et que vous ne puissiez pas: - utiliser de clef usb (ports bloqués, risque d’infection virale trop important), - arrêter la machine à auditer ( risque
Slide 18: Commandes Utiles 1/2
Commandes Utiles 1/2 #Get-Winevent ##Afficher les événements #Lister les événements classiques : Get-eventlog -list #Lister tous les événements : Get-winevent -listlog * | select logname #Lister les événements de sécurité dans les 100 dernières entrées get-eventlog -new 100 -Logname Security #"Liste
Slide 19: Commandes Utiles 2/2
Commandes Utiles 2/2 #Afficher les événements datant de 2 jours maximum $jours=(Get-Date).AddDays(-2) Get-Eventlog -LogName "security" | Where-Object {$_.TimeGenerated -ge $jours} | Format-Table TimeCreated, LogName, Level, Id, ProviderName, Message #ou Get-WinEvent -LogName "security" | Where-Objec
Slide 20: Démonstration en live
Démonstration en live Script Powershell utilisé : #on récupère le nom de la machine : [system.environment]::MachineName #on recupère l'utilisateur courant : [Environment]::UserName #on recupère l'heure système #On recupere les informations du bios Get-CimInstance -ClassName Win32_BIOS $Date = (Get-D
Slide 21: Cas particulier d’un environnement de type industriel (AD)
Cas particulier d’un environnement de type industriel (AD) La particularité de cet environnement est que généralement les journaux d’évènements sont déportés sur un serveur distant afin de décharger la machine Il faudra alors pour pouvoir utiliser powershell téléchargé certains modules spécifique à
Slide 22: Analyse à froid d’un Windows 10 pour effectuer un timeline
ANALYSE A FROID D’UN WINDOWS 10 POUR EFFECTUER UN TIMELINE 22
Slide 23: Windows 10 et le Timeline
Windows 10 et le Timeline • Nouvelle fonctionnalité introduite depuis la 1803 • Intégrée dans “Connected Device Platform Service” • Service Windows pour interconnecter Windows / PC et Smartphones • Le service fonctionne avec un compte Microsoft Azur ou un compte Active Directory mais le timeline lui
Slide 24: Windows 10 et le Timeline
Windows 10 et le Timeline • Enregistrement de l’activité Utilisateur des 30 derniers jours • Pas de documentation exhaustive sur ce qui est capturé • Au depart c’est toute la navigation Web qui est capture (Edge, mais aussi les applications associées, Photos, News, Sport, Weather etc…) • Possibilité
Slide 25: Cellebrite
” Cellebrite © Paramétres fm Accueil Rechercher un paramatre Confidentialité Autorisations de Windows G Général pp Entrée manuscrite et personnalisation de la saisie & Diagnostics et commentaires Ei Historique des activités Autorisations Windows 2) Voix Autorisations pour les applications BA Localis
Slide 26: Windows 10 et le Timeline à froid
Windows 10 et le Timeline à froid %USER%/Appdata/Local/Connected… 26
Slide 27: Windows 10 et le Timeline à froid
Windows 10 et le Timeline à froid 27
Slide 28: Structure interne des tables
Structure interne des tables 28
Slide 29: Structure interne des tables
Structure interne des tables 29
Slide 30: Explication de certains champs de table
Explication de certains champs de table • https://github.com/kacos2000/WindowsTimeline/blob/master/Wi ndowsTimeline.sql • Exemple activity type (2 notification, 3 sauvegarde mobile, 5, démarrage application, 6 focus sur l’application, 10 clipboard, 16 activité copier / coller), 11, 12 et 15 applis s
Slide 31: Références
Références https://www.youtube.com/watch?v=-vsXFrOZOtc https://www.blackbagtech.com/blog/exploring-the-windows-activity-timeline-part-1-the-high-points/ https://github.com/kacos2000/WindowsTimeline/blob/master/README.md https://github.com/kacos2000/Win10/blob/master/README.md https://digital-forensi
Slide 32: Les prochains rendez-vous…
Les prochains rendez-vous… 26 mai : https://www.cellebrite.com/fr/webinaires/pa-7-33-les-nouveautes/ 30 juin avec Sarah Edwards et Heather Mahalik investigation sur Mac (suite) https://us02web.zoom.us/meeting/register/tZAlf-uqqT8tE9TCoz1zvGv3s23RZjf59iHo 9 juin sur l’investigation sur Mac (Introduct
Slide 33: La parole est à vous !
2° Cellebrite La parole est a vous!