FTimes

FTimes este un instrument baselining sistem și de colectare de probe. Scopul principal FTimes este de a aduna și / sau să dezvolte informații despre directoarele specificate și fișiere într-un mod care să conducă la analiza intruziune.
FTimes este un instrument ușor în sensul că aceasta nu are nevoie să fie "instalat" pe un sistem dat pentru a lucra la acest sistem, este suficient de mic pentru a încăpea pe o singură dischetă, și oferă doar o interfață linie de comandă.
Păstrarea înregistrărilor de orice activitate care are loc în timpul unei instantaneu este important pentru analiza intruziune și probe admisibilitate. Din acest motiv, FTimes a fost conceput pentru a vă conecta patru tipuri de informații: setări de configurare, indicatori de progres, metrici, și erori. Producția de FTimes este delimitat de text, și, prin urmare, este ușor de asimilat de o largă varietate de instrumente existente.
FTimes pune în aplicare practic două capacități generale: topografie fișier și căutare șir. Fișier topografie este procesul de atribute cheie cartografiere de directoare și fișiere de pe un sistem de fișiere dat. Căutare String este procesul de săpat prin directoarele și fișierele pe un sistem de fișiere dat în timp ce caută pentru o secvență specifică de bytes. Respectiv, aceste capacități sunt denumite în continuare modul de hartă și mijloace dig.
FTimes acceptă două medii de operare: Workbench și client-server. În mediul Workbench, operatorul folosește FTimes de a face lucruri, cum ar fi analiza probelor (de exemplu, o imagine de disc sau a fișierelor de la un sistem compromis), analiza instantanee pentru schimbare, caută fișierele care avea atribute specifice, verifica integritatea dosar, și așa mai departe . În mediul client-server, focus schimburi de ceea ce operatorul poate face la nivel local pentru modul în care operatorul poate monitoriza în mod eficient, gestiona, și datele agregate pentru instantanee multe gazde. În mediul client-server, obiectivul principal este de a muta datele colectate de la gazdă la un sistem centralizat, cunoscut ca un Integritate Server, într-un mod sigur și autentificate. Un Integritate Server este un sistem de apărare explosivă care a fost configurat să se ocupe de FTimes GET, PING, HTTP PUT și / S cereri.
Distribuția FTimes conține un script numit nph-ftimes.cgi care pot fi utilizate în conjuncție cu un server web pentru a pune în aplicare o interfață publică Integritate Server. Subiecte profunde, cum ar fi construcții și interne mecanica un Integritate Server nu sunt abordate aici

Caracteristici :.

• FTimes este ușor la ce folosește și rapid! Restul este pur sos ...
• FTimes a fost scris în C și portat pentru mai multe sisteme de operare populare, cum ar fi AIX, BSDI, FreeBSD, HP-UX, Linux, Solaris și Windows 98 / ME / NT / 2K / XP. FTimes nu are nevoie de un sprijin suplimentar de rulare cum ar fi un interpret script (de exemplu, Perl) sau un Virtual Machine (de exemplu, JVM).
• FTimes nu are nevoie să fie instalat pe mașină clientului. În multe cazuri, acesta poate fi rulat de pe un floppy sau CDROM. Din acest motiv, FTimes poate fi configurat astfel încât să fie minim invaziva la sistemul țintă. Acest lucru este important atunci când încearcă să colecteze probe de un atac asupra unui sistem viu.
• FTimes are logare aprofundat. Acest lucru ajută la creșterea credibilității și admisibilitatea ca probă, deoarece informațiile din jurnal pot fi utilizate pentru a determina rata cunoscută sau potențială eroare a sculei în diferite condiții. FTimes Busteni patru tipuri de informații: setări de configurare, indicatori de progres, metrici, și erori
.
• FTimes detectează și codifică caractere non-printabile (de exemplu, spatiu alb, se întoarce de transport, etc.), în numele de fișiere. Acest lucru asigură că punctul dumneavoastră de vedere a producției nu este modificată artificial de datele pe care se uita la. Schema de codare URL folosite, de asemenea, vă ajută să se concentreze rapid pe numele de fișiere anormale.
• FTimes detectează și procesează alternative fluxuri de date (ADS), atunci când rulează pe NT / 2K sistemele de operare Windows / XP. Acest lucru este destul de util în cazul în care făptuitorul a folosit alternative fluxuri de date pentru a ascunde instrumente și informații.

Ieșire
• FTimes 'este delimitat ASCII, și, prin urmare, este propice pentru analiză. Această ieșire poate fi asimilat folosind tehnologia de baze de date standard, precum și o gamă largă de instrumente existente. Acest lucru face mai flexibil decât sistemele de baze de date proprietare, care sunt, în esență, opac la practicianului. În cele din urmă, acest format dă rezultate mai bună analiză pentru că practicantul este capabil de a manipula datele primare, iar colegii pot verifica în mod independent, rezultatele analizelor. Din nou, acest lucru ajută la consolidarea credibilității și admisibilitatea acesteia ca mijloc de probă.
• FTimes pot fi utilizate ca o soluție întreprindere cu toate informațiile fiind transmise și păstrate pe o întărit Integritate server. Acest lucru permite gestionarea centralizată a datelor, precum și evită problema de a lăsa datelor expuse pe sistemul unui client. Datele stocate pe sistemul unui client este vulnerabil la modificarea malware sau distrugere.
• FTimes nativ sprijină client inițiat HTTP / HTTPS încarcă / descărcări. Aceasta elimină necesitatea pentru dispozitive de frontieră, cum ar fi firewall-uri pentru a avea o reguli speciale de conectare la intrare. În plus, există o șansă bună ca dispozitivele de frontieră existente sprijini deja necesar calea de comunicații în străinătate, pentru că este același cu cel necesar pentru a naviga pe Internet.
• FTimes oferă o capacitate avansată șir de eficiente (mod sape aka). Acest lucru este deosebit de util în anchete în cazul în care practicantul are un profil de cuvinte cheie sau siruri de caractere octet care sunt susceptibile de a exista undeva pe sistemul țintă.
• FTimes sprijină în mod opțional fișier dispozitiv sapat (bloc / caracter).

Ieșire
• FTimes "este configurabil pe bază de atribut. Acest lucru permite utilizatorilor să dezvolte date într-un mod care este cel mai potrivit pentru nevoile lor.
• FTimes produce eventual hash-uri director. Acesta este un avantaj semnificativ analiză în situațiile în care conținutul rareori se schimbă. Avantajul este că unul hash reprezintă în mod eficient conținutul toate directoarele și fișierele conținute într-un anumit copac.
• FTimes produce eventual hash-uri link-ul simbolic.
• FTimes efectuează eventual dosar dactilografiere prin XMagic. Atunci când există sute sau mii de hash-uri necunoscute, este dificil de a determina ce fișiere să se fi schimbat, ca urmare a unui act rău intenționat. În aceste situații, informații de tip pot fi folosite pentru a clasifica fișiere și să acorde prioritate ordinea în care acestea sunt examinate.
• FTimes are o extrem de rapid, acordabile compara capacitate. Acest lucru permite medicului sa analizeze rapid instantanee si de a determina schimbarea.

Ce este nou în această versiune:

• Codul a fost curățat și rafinat, după caz ​​
• Mai multe bug-uri au fost stabilite.
• Această versiune include suport actualizate pentru cârlige de fișiere și introduce KL-EL-based XMagic.
• consecință, versiunea minim necesar de libklel a fost rasied la 1.1.0, care are o versiune bibliotecă de 2: 0:. 1
• a adăugat suport sistem de fișiere pentru SquashFS.