THE USB TRAIL: ANTI-FORENSICS AND ANTI-ANTI-FORENSICS BITTER ROMANCE翻译

THE USB TRAIL: ANTI-FORENSICS AND ANTI-ANTI-FORENSICS BITTER ROMANCE

By Chidi Obumneme

USB大容量存储设备由于其外形轻巧、具有能作为攻击任何团体或组织的工具的能力而越发流行。因此，以色列的Ben-Gurion大学的研究员们发现了29种可用来攻击和危害计算机hi系统的USB设备。同样地，the Insider Threat（内部威胁）是对团体和组织的极大安全隐患，这在很大程度上是因为它们有特权访问顶级敏感或专有信息。这些内部威胁可以利用自己的位置，并决定泄露公司商业机密和敏感信息，以将其出售给竞争组织。
通过USB大容量存储设备泄露专有数据证明了进行这种形式的攻击的方式。 由于每个攻击者的目标是隐藏所有形式的不当行为，因此，证明这种攻击已生效是数字取证分析的责任。本文也以此为关键，尽管攻击者试图使用反取证技术清除自己的攻击痕迹，数字取证者们也将证明使用USB设备证明了攻击的行为。

INTRODUCTION

在某些组织中，严格禁止插入USB大容量存储设备，这是由于从攻击的角度来看，USB可以用于将泄露的数据传输到公司系统，也可以窃取公司数据。尽管采取了此类“无USB”政策，心怀不满的员工使用此类设备的现象仍然很常见，这也带来了威胁。 因此，揭露内部威胁的活动（关于USB大容量存储设备的使用）是必要的，正如本文所述。
这篇文章强调了USB取证的重要性，同时强调了USB使用的事实。系统上的设备会留下足迹，普通用户通常不会注意到这些足迹。 对于精通技术的攻击者来说，需要采用反取证方法来擦除USB痕迹在系统上的使用来掩盖痕迹，其最终目的是挫败法证（取证）分析师。

CASE STUDY

我们提出了数据盗窃的典型情况。ABC公司的XYZ先生被解雇了，基于公司怀疑他有几次偷窃公司商业机密并将其出售给竞争对手的行为。确定他一直在偷窃专有权文件是有必要的。公司提出怀疑是因为他总是通过USB窃取数据，尽管有ABC公司的“禁止使用USB”政策，但存储设备仍然存在。
在本文中，作者将在新安装的Windows 8计算机上模拟数据渗漏过程，取证，反取证和反-反取证技术。查看注册表编辑器（regedit.exe），在下图中，我们可以清楚地看到USB Mass尚未使用存储设备。缺少USBSTOR密钥可以清