Forensics in Office365. Christian Prickaerts 12 juni 2014, Amsterdam

Transcriptie

1 Forensics in Office365 Christian Prickaerts 12 juni 2014, Amsterdam

2 2

3

4 Vanaf Office 2007 Vóór de 2007 versie standaard het OLE formaat Object Linking and Embedding (OLE) Sinds de 2007 versie standaard het OOXML formaat Open Office Extended Markup Language (OOXML) Voordelen OOXML Open standaard (uitwisselbaarheid) 4

5 XML structuur Word Voorbeeld app.xml 5

6 app.xml XML veld Explorer veld Template Template TotalTime Total editing time Pages Pages Words Word count Characters Character count Application Program Name DocSecurity - Lines Line count Paragraphs Paragraph count ScaleCrop Scale Manager Manager Company Company LinksUpToDate Links dirty? CharactersWithSpaces - SharedDoc Shared with HyperlinksChanged - AppVersion - 6

7 XML structuur Word Voorbeeld core.xml 7

8 core.xml XML veld title subject creator keywords description lastmodifiedby revision created modified category contentstatus language version Explorer veld Title Subject Authors Tags Comments Last saved by Revision number Content created Date last saved Categories Content status Language Version number core.xml structuur is zelfde voor Word 2007, 2010,

9 Rsid identificatie in word Rsid staat voor Revision Save ID Rsid s bevinden zich in de word/documents2.xml Wijzigingen tijdens sessie worden met uniek Rsid opgeslagen Rsid s worden random gegenereerd op basis van datum en tijd 9

10 docx structuur docprops core.xml app.xml theme _rels theme1.xml Document.xml.rels.docx word document.xml settings.xml websettings.xml styles.xml fonttable.xml _rels [Content_Types].xml.rels 10

11 Zichtbare metadata Eenvoudig zichtbare metadata Description Title, subject, Origin Author, company, content created, Content Pages, template, character count, File Size, date created, date modified, 11

12 Verwijderbare metadata Eenvoudig aan te passen/verwijderen metadata: Description Title, subject, tags, categories, comments Origin Author, Last saved by, revision number, version, company, manager Content Content status, content type, language File Geen? 12

13 Metadata - advanced Last saved by aanpassen Hoe gaan we te werk? Welke sporen laat dit achter? 13

14 Metadata - advanced Hoe gaan we te werk? Open een Office document in 7-zip Ga naar docprops Rechtermuisknop op core.xml Edit 14

15 15 Metadata - advanced

16 16 Cloud wat is dat?

17 17 Cloud wat kan je ermee?

18 18 Cloud wat zijn de gevolgen?

19 19

20 20

21 21 X-originating IP

22 22

23 Office365 - introductie Microsoft Online Services Business Productivity Online Standard Suite (BPOS) Exchange 2007 SharePoint 2007 Office 365 Rolling release model altijd laatste versie Exchange Lync SharePoint Office Web Apps 23

24 Office365 permissies (1) Admin roles Office 365 Enterprise and Midsize Business: Global admin Billing admin Password admin Service admin User management admin Office 365 Small Business Eén type admin 24

25 Office365 permissies (2) Kan een admin bij de data van een user via Office365? - Niet direct - Kan wel wachtwoord opnieuw instellen.. of via één van de plekken waar de data is gesynchroniseerd 25

26 Office365 synchronisatie SkyDrive 26

27 Office365 - SkyDrive SkyDrive via website 27

28 Office365 - SkyDrive SkyDrive via Windows App 28

29 Aanwezigheid OneDrive folder

30 Office365 - SkyDrive SkyDrive via Mobile App 30

31 Office365 - SkyDrive SkyDrive via Explorer 31

32 Office365 Veiligstellen Website Explorer - Bestand timestamps download tijd - Niet mogelijk op het moment (zonder RoboCopy) SkyDrive op computer/laptop - Bestandstijden blijven gedeeltelijk behouden SkyDrive op mobile device - Hele mobile device dient te worden veiliggesteld Tip: Niet gesynchroniseerd? Veiligstellen, sync, veiligstellen = mogelijk twee versies van het document! 32

33 Office365 Word metadata docprops\app.xml Nieuw document zonder inhoud Structuur zelfde als Office 2007 <AppVersion> </AppVersion> Nieuw document met inhoud Geen TotalTime, Pages, Words, Characters, Lines, Paragraphs <ap:appversion> </ap:appversion> 33

34 Office365 Word metadata docprops\core.xml Nieuw document zonder inhoud Nieuw document met inhoud 34

35 Office365 RSID document.xml = document2.xml Indeling globaal het zelfde document.xml: document2.xml Nieuw: paraid, textid 35

36 Office365 - Herkennen customxml folder docprops\custom.xml file [trash] SharePoint/365 docprops\custom.xml <property fmtid="{*}" pid="3" name="ismydocuments"> In core.xml: Created timestamps office 365 app.xml 36

37 Office365 app.xml Opsomming AppVersion in app.xml * Leeg Bewerkt Word Excel PowerPoint * 365 Waardes kunnen elk moment verandert worden door Microsoft (rolling release model) 37

38 38 Office365 - Collaboration

39 39 Office365 - Collaboration

40 Achtergebleven sporen Sporen geïnduceerd als gevolg van surfgedrag Windows Register Ingevoerde URLs Gedownloade bestanden en/of openen/bewerken ervan Bestandsysteem Introductie van gedownloade bestanden Installatie van software Fragmenten surfgedrag in unallocated clusters 40

41 Browser onderdelen Internet geschiedenis: Historisch overzicht van bezochte websites Meestal beschikbaar voor meerdere weken Activiteit opgeslagen per gebruikersaccount Kan ook bevatten Downloads Lokaal geopende bestanden 41

42 Internet geschiedenis Login Office 365 & gebruik WordOnline

43 Recent geopende documenten Recent geopende documenten: LNK bestanden; Deze folder bevat een lijst van laatst geopende bestanden Start > My Recent Documents Wanneer eendocument wordt geopent wordt er eenlink file is aangemaakt. De aanmaakdatum van het link (LNK) bestand verwijst naar de datum van eerste keer openen van het bestand gedurende de levensduur van het LNK bestand 43

44 LNK voorbeeld Bestandstijden van het bestand waarnaar verwezen wordt (opened) Bestandstijden opgeslagen in UTC (Universal Coordinated Time) 44

45 Windows register Registersleutels aangemaakt bij: Installatie SkyDrive Installatie Lync Installatie lokale versie office

46 46

47 Bedankt! 47