aburgh/disk-arbitratorUna utilidad forense para Mac OS X que gestiona el montaje del sistema de archivos en apoyo de los procedimientos forenses.
Disk Arbitrator es una utilidad forense para Mac OS X diseñada para ayudar al usuario a garantizar que se sigan los procedimientos forenses correctos durante la creación de imágenes de un dispositivo de disco. Disk Arbitrator es esencialmente una interfaz de usuario para el framework Disk Arbitration, que permite a un programa participar en la gestión de dispositivos de almacenamiento en bloque, incluido el montaje automático de sistemas de archivos. Cuando está habilitado, Disk Arbitrator bloqueará el montaje de sistemas de archivos para evitar montarlos en modo lectura-escritura y violar la integridad de la evidencia.
Es importante tener en cuenta que Disk Arbitrator no es un bloqueador de escritura por software—no cambia el estado de los dispositivos actualmente conectados ni afecta a los dispositivos recién conectados para forzar que un dispositivo sea de solo lectura. El usuario aún debe tener cuidado de no escribir accidentalmente en un disco con un comando como "dd". Debido a este hecho, un bloqueador de escritura por hardware o software puede seguir siendo deseable para el procedimiento más sólido. Disk Arbitrator complementa un bloqueador de escritura con funciones útiles adicionales y elimina la recomendación forense típica de "deshabilitar disk arbitration".
Puede encontrar enlaces a ejecutables compilados en la página de lanzamientos.
Para instalar, arrastre la aplicación Disk Arbitrator a la ubicación deseada, por ejemplo /Applications.
Opcionalmente, puede querer que Disk Arbitrator se ejecute automáticamente cada vez que inicie sesión. Hay dos formas de hacerlo:
Agregue Disk Arbitrator a sus Elementos de inicio en el panel de preferencias Usuarios y grupos (o Cuentas en versiones anteriores de OS X) en Preferencias del sistema.
Use la función incluida "Install User Launch Agent" (accesible desde el menú). Cuando está instalado, launchd del sistema lanzará automáticamente Disk Arbitrator cuando inicie sesión, igual que un Elemento de inicio. Además, el plist contiene un ajuste que indica a launchd que supervise la aplicación y la relance automáticamente en caso de un bloqueo o si se cierra de otro modo. Esto ofrece la mayor garantía de que Disk Arbitrator estará ejecutándose siempre que haya iniciado sesión.
Cuando se lanza, agrega su icono a la barra de estado en el lado derecho de la barra de menús. El icono de la barra de estado indica uno de tres estados:
Verde: la utilidad está activada y en modo Block Mounts.
Naranja: la utilidad está activada y en modo Read-only.
Gris: la utilidad está desactivada y los discos conectados serán montados automáticamente por el sistema.
Disk Arbitrator supervisa continuamente la aparición y desaparición de discos y realiza un seguimiento de los discos en la ventana principal. Cuando se conecta un nuevo disco, el sistema notifica a Disk Arbitrator y le da la oportunidad de rechazar el montaje de un volumen de disco. Disk Arbitrator responde de la siguiente manera:
Cuando está desactivado, solo observa los cambios de disco.
Cuando está activado y en modo Block Mounts, simplemente rechaza cada nuevo intento del sistema de montar un volumen.
Cuando está activado y en modo Read-only, rechaza la acción de montaje original y envía automáticamente su propia solicitud para montar el volumen, pero se asegura de que el montaje incluya la opción de hacer que el sistema de archivos sea de solo lectura. También comprueba el tipo de sistema de archivos y, si es HFS, incluye el indicador para ignorar el journal.
Recordatorio: Disk Arbitrator hace su trabajo participando activamente en el proceso de montaje. Si la utilidad está desactivada o se cierra y no está ejecutándose, no hay protección contra el montaje automático de discos conectados. Sin embargo, una vez que aparece un disco y finaliza el proceso de montar o rechazar el montaje, Disk Arbitrator puede cerrarse sin afectar el estado del disco.
A partir de la versión 0.3.0, Disk Arbitrator tiene soporte para imágenes de disco.
Usando la función Attach Disk Image de Disk Arbitrator, la conexión de la imagen de disco se coordina de manera efectiva. Cuando se selecciona "Attach Disk Image..." desde el menú, aparece un panel abierto que incluye opciones adicionales para conectar y montar la imagen de disco. El valor predeterminado es solo conectar la imagen de disco. Cuando se hace clic en el botón "Open", Disk Arbitrator conecta el disco usando hdiutil. Una vez conectado, se aplica el comportamiento normal de Disk Arbitrator, por lo que si está activado y el modo está establecido en Read-Only, los volúmenes de la imagen de disco se montarán en modo de solo lectura. Si el modo está establecido en Block Mounts, los volúmenes se ignorarán.
El panel abierto de imagen de disco incluye una opción para intentar montar la imagen de disco para cuando Disk Arbitrator no está activado y se usa como un medio conveniente para conectar una imagen de disco. Cuando se usa la opción de montaje, Disk Arbitrator pasa "-mount optional" a hdiutil, que intenta conectar y montar la imagen de disco, pero con la ventaja de que si el montaje falla, la imagen de disco no se desconecta.
Disk Arbitrator también admite arrastrar y soltar para conectar una imagen de disco. Simplemente arrastre una o más imágenes de disco desde una ventana del Finder a la lista de discos de Disk Arbitrator para iniciar la conexión de las imágenes de disco. Cuando se usa arrastrar y soltar, las opciones predeterminadas incluyen "-mount optional", por lo que también se intenta el montaje. Si el montaje falla, la imagen de disco permanece conectada y se puede montar manualmente.
Notas:
Intentar conectar y montar una imagen de disco fuera de Disk Arbitrator, ya sea haciendo doble clic en el Finder o usando hdiutil attach, se comportará como antes: la imagen de disco se conectará, luego el sistema intentará montarla, Disk Arbitrator rechazará el montaje y la imagen de disco se desconectará porque el montaje falló.
Si se conecta una imagen de disco con un Contrato de licencia de software, Disk Arbitrator responde automáticamente "Sí" al contrato. Caveat Emptor.
Cuando está configurado en modo Read-only, la solicitud de montaje que envía Disk Arbitrator incluye la opción de ignorar el journal, lo cual es útil cuando el sistema de archivos HFS se desconectó por última vez sin desmontar (por ejemplo, el sistema se bloqueó o un disco externo se desconectó sin expulsarlo). Si está trabajando con un disco que no fue expulsado limpiamente, los intentos de conectarlo en modo de solo lectura normalmente fallarán porque HFS sabe que el journal debe reproducirse y no se le permite hacer los cambios, por lo que no logra montar.
Montar una imagen de disco con un sistema de archivos sucio se puede lograr usando un archivo sombra, pero esto es menos que ideal. El archivo sombra protege la imagen de disco original de cambios, pero el sistema de archivos se monta en modo lectura-escritura. Una mejor opción es ejecutar los dos pasos manualmente, usando Terminal:
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator proporciona una forma conveniente de ejecutar el segundo paso, y una versión futura realizará ambos pasos en una sola operación.