aburgh/disk-arbitratorEin Mac OS X Forensik-Dienstprogramm, das das Einhängen von Dateisystemen zur Unterstützung forensischer Verfahren verwaltet.
Disk Arbitrator ist ein forensisches Werkzeug für Mac OS X, das dem Benutzer helfen soll, korrekte forensische Verfahren bei der Abbildung eines Datenträgers einzuhalten.
Disk Arbitrator ist im Wesentlichen eine Benutzeroberfläche für das Disk Arbitration Framework, das es einem Programm ermöglicht, an der Verwaltung von Blockspeichergeräten teilzunehmen, einschließlich des automatischen Einhängens von Dateisystemen.
Wenn aktiviert, blockiert Disk Arbitrator das Einhängen von Dateisystemen, um ein Einhängen im Lese-/Schreibmodus und eine Verletzung der Beweismittelintegrität zu vermeiden.
Es ist wichtig zu beachten, dass Disk Arbitrator kein Software-Schreibschutz ist – es ändert weder den Zustand aktuell angeschlossener Geräte noch beeinflusst es neu angeschlossene Geräte, um ein Gerät in den Schreibschutzmodus zu zwingen. Der Benutzer muss dennoch vorsichtig sein, um nicht versehentlich mit einem Befehl wie „dd“ auf eine Festplatte zu schreiben. Aus diesem Grund kann ein Hardware- oder Software-Schreibschutz für das sicherste Verfahren immer noch wünschenswert sein. Disk Arbitrator ergänzt einen Schreibschutz um zusätzliche nützliche Funktionen und macht die typische forensische Empfehlung, die Disk-Arbitration zu deaktivieren, überflüssig.
Sie finden Links zu kompilierten ausführbaren Dateien auf der Releases-Seite.
Zum Installieren ziehen Sie die Disk Arbitrator-Anwendung an den gewünschten Ort, beispielsweise in /Applications.
Optional können Sie Disk Arbitrator so einrichten, dass es bei jeder Anmeldung automatisch startet. Es gibt zwei Möglichkeiten:
Fügen Sie Disk Arbitrator zu Ihren Anmeldeobjekten im Bereich Benutzer & Gruppen (oder Accounts in älteren OS X-Versionen) der Systemeinstellungen hinzu.
Verwenden Sie die enthaltene Funktion „Install User Launch Agent“ (über das Menü erreichbar). Nach der Installation startet das systemeigene launchd Disk Arbitrator automatisch bei der Anmeldung, ähnlich wie ein Anmeldeobjekt. Zusätzlich enthält die plist eine Einstellung, die launchd anweist, die Anwendung zu überwachen und bei einem Absturz oder anderweitigem Beenden automatisch neu zu starten. Dies bietet die größte Gewissheit, dass Disk Arbitrator bei jeder Anmeldung ausgeführt wird.
Nach dem Start wird das Symbol in der Statusleiste auf der rechten Seite der Menüleiste angezeigt. Das Statusleistensymbol zeigt einen von drei Zuständen an:
Grün: Das Dienstprogramm ist aktiviert und befindet sich im Modus „Einhängen blockieren“.
Orange: Das Dienstprogramm ist aktiviert und befindet sich im Nur-Lesen-Modus.
Grau: Das Dienstprogramm ist deaktiviert und angeschlossene Datenträger werden automatisch vom System eingehängt.
Disk Arbitrator überwacht kontinuierlich das Erscheinen und Verschwinden von Datenträgern und verfolgt diese im Hauptfenster. Wenn ein neuer Datenträger angeschlossen wird, benachrichtigt das System Disk Arbitrator und gibt ihm die Möglichkeit, das Einhängen eines Datenträgervolumens abzulehnen. Disk Arbitrator reagiert wie folgt:
Wenn deaktiviert, beobachtet es nur die Datenträgeränderungen
Wenn aktiviert und im Modus „Einhängen blockieren“, lehnt es einfach jeden neuen Systemversuch, ein Volume einzuhängen, ab.
Wenn aktiviert und im Nur-Lesen-Modus, lehnt es die ursprüngliche Einhängeaktion ab und sendet automatisch eine eigene Anfrage zum Einhängen des Volumes, stellt jedoch sicher, dass der Einhängevorgang die Option enthält, das Dateisystem schreibgeschützt zu machen. Es überprüft auch den Dateisystemtyp und fügt, wenn es sich um HFS handelt, das Flag zum Ignorieren des Journals hinzu.
Erinnerung: Disk Arbitrator arbeitet, indem es aktiv am Einhängeprozess teilnimmt. Wenn das Dienstprogramm deaktiviert oder beendet wird und nicht läuft, gibt es keinen Schutz vor dem automatischen Einhängen angeschlossener Datenträger. Sobald jedoch ein Datenträger erscheint und der Vorgang des Einhängens oder Ablehnens des Einhängens abgeschlossen ist, kann Disk Arbitrator beendet werden, ohne den Zustand des Datenträgers zu beeinflussen.
Seit Version 0.3.0 unterstützt Disk Arbitrator Datenträgerabbilder.
Mit der Funktion „Datenträgerabbild anhängen“ von Disk Arbitrator wird das Anhängen des Datenträgerabbilds effektiv koordiniert. Wenn „Datenträgerabbild anhängen...“ aus dem Menü ausgewählt wird, erscheint ein Öffnen-Dialog mit zusätzlichen Optionen zum Anhängen und Einhängen des Datenträgerabbilds. Die Standardeinstellung ist, das Datenträgerabbild nur anzuhängen. Wenn die Schaltfläche „Öffnen“ angeklickt wird, hängt Disk Arbitrator das Abbild mit hdiutil an. Sobald es angehängt ist, gilt das normale Verhalten von Disk Arbitrator; wenn es also aktiviert ist und der Modus auf „Nur Lesen“ eingestellt ist, werden die Volumes auf dem Datenträgerabbild schreibgeschützt eingehängt. Wenn der Modus auf „Einhängen blockieren“ eingestellt ist, werden die Volumes ignoriert.
Der Öffnen-Dialog für Datenträgerabbilder enthält eine Option, um das Einhängen des Datenträgerabbilds zu versuchen, falls Disk Arbitrator nicht aktiviert ist und nur als bequeme Möglichkeit zum Anhängen eines Datenträgerabbilds verwendet wird. Wenn die Einhängeoption verwendet wird, übergibt Disk Arbitrator „-mount optional“ an hdiutil, was versucht, das Datenträgerabbild anzuhängen und einzuhängen, mit dem Vorteil, dass das Datenträgerabbild nicht getrennt wird, falls das Einhängen fehlschlägt.
Disk Arbitrator unterstützt auch Drag & Drop zum Anhängen eines Datenträgerabbilds. Ziehen Sie einfach ein oder mehrere Datenträgerabbilder aus einem Finder-Fenster in die Datenträgerliste von Disk Arbitrator, um das Anhängen der Datenträgerabbilder zu starten. Bei Verwendung von Drag & Drop enthalten die Standardoptionen „-mount optional“, sodass auch ein Einhängen versucht wird. Wenn das Einhängen fehlschlägt, bleibt das Datenträgerabbild angehängt und kann manuell eingehängt werden.
Hinweise:
Der Versuch, ein Datenträgerabbild außerhalb von Disk Arbitrator anzuhängen und einzuhängen, entweder durch Doppelklick im Finder oder mit hdiutil attach, verhält sich wie zuvor: Das Datenträgerabbild wird angehängt, dann versucht das System es einzuhängen, Disk Arbitrator lehnt das Einhängen ab, und das Datenträgerabbild wird getrennt, weil das Einhängen fehlgeschlagen ist.
Wenn ein Datenträgerabbild mit einer Softwarelizenzvereinbarung angehängt wird, antwortet Disk Arbitrator automatisch mit „Ja“ auf die Vereinbarung. Caveat Emptor.
Wenn der Nur-Lesen-Modus eingestellt ist, enthält die von Disk Arbitrator gesendete Einhängeanfrage die Option, das Journal zu ignorieren. Dies ist nützlich, wenn das HFS-Dateisystem zuletzt ohne Auswerfen getrennt wurde (z. B. Systemabsturz oder ein externes Laufwerk wurde ohne Auswerfen abgezogen). Wenn Sie mit einem Datenträger arbeiten, der nicht ordnungsgemäß ausgeworfen wurde, schlagen Versuche, ihn schreibgeschützt anzuhängen, normalerweise fehl, da HFS weiß, dass das Journal wiedergegeben werden muss, und keine Änderungen vornehmen darf, sodass das Einhängen fehlschlägt.
Das Einhängen eines Datenträgerabbilds mit einem verschmutzten Dateisystem kann durch Verwendung einer Schattendatei erreicht werden, aber das ist weniger ideal. Die Schattendatei schützt das ursprüngliche Datenträgerabbild vor Änderungen, aber das Dateisystem wird im Lese-/Schreibmodus eingehängt. Eine bessere Option ist die manuelle Ausführung der beiden Schritte mit Terminal:
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator bietet eine bequeme Möglichkeit, den zweiten Schritt auszuführen, und eine zukünftige Version wird beide Schritte in einem Vorgang durchführen.