aburgh/disk-arbitratorUna utility forense per Mac OS X che gestisce il montaggio del file system a supporto delle procedure forensi.
Disk Arbitrator è un'utilità forense per Mac OS X progettata per aiutare l'utente a garantire che le corrette procedure forensi vengano seguite durante l'acquisizione di un dispositivo disco. Disk Arbitrator è essenzialmente un'interfaccia utente per il framework Disk Arbitration, che consente a un programma di partecipare alla gestione dei dispositivi di archiviazione a blocchi, inclusa la montatura automatica dei file system. Quando è abilitato, Disk Arbitrator blocca la montatura dei file system per evitare la montatura in lettura-scrittura e la violazione dell'integrità delle prove.
È importante notare che Disk Arbitrator non è un write blocker software---non modifica lo stato dei dispositivi attualmente collegati né influisce sui dispositivi appena collegati per forzare un dispositivo in sola lettura. L'utente deve comunque fare attenzione a non scrivere accidentalmente su un disco con un comando come "dd". Per questo motivo, un write blocker hardware o software può comunque essere desiderabile per la procedura più corretta. Disk Arbitrator completa un write blocker con funzionalità aggiuntive utili ed elimina la tipica raccomandazione forense di "disabilitare disk arbitration".
Puoi trovare i link agli eseguibili compilati nella pagina releases.
Per installare, trascina l'applicazione Disk Arbitrator nella posizione desiderata, ad esempio /Applications.
Potresti volere che Disk Arbitrator venga eseguito automaticamente a ogni accesso. Ci sono due modi per farlo:
Aggiungi Disk Arbitrator agli elementi di accesso nel pannello delle preferenze Utenti e Gruppi (o Account nelle versioni precedenti di OS X) in Preferenze di Sistema.
Usa la funzione inclusa "Install User Launch Agent" (accessibile dal menu). Quando è installato, launchd di sistema avvierà automaticamente Disk Arbitrator al tuo accesso, proprio come un elemento di accesso. Inoltre, il plist contiene un'impostazione che istruisce launchd a monitorare l'applicazione e a riavviarla automaticamente in caso di arresto anomalo o di chiusura. Questo offre la massima garanzia che Disk Arbitrator sia in esecuzione ogni volta che hai effettuato l'accesso.
Quando viene avviato, aggiunge la sua icona nella barra di stato sul lato destro della barra dei menu. L'icona della barra di stato indica uno di tre stati:
Verde: l'utilità è attivata e in modalità Blocca montature.
Arancione: l'utilità è attivata e in modalità Sola lettura.
Grigio: l'utilità è disattivata e i dischi collegati verranno montati automaticamente dal sistema.
Disk Arbitrator monitora continuamente la comparsa e la scomparsa dei dischi e li tiene traccia nella finestra principale. Quando un nuovo disco viene collegato, il sistema notifica Disk Arbitrator e gli dà la possibilità di rifiutare la montatura di un volume del disco. Disk Arbitrator risponde come segue:
Quando è disattivato, si limita a osservare le modifiche ai dischi
Quando è attivato e in modalità Blocca montature, rifiuta semplicemente ogni nuovo tentativo del sistema di montare un volume.
Quando è attivato e in modalità Sola lettura, rifiuta l'azione di montatura originale e invia automaticamente la propria richiesta di montare il volume, ma garantisce che la montatura includa l'opzione per rendere il file system in sola lettura. Controlla anche il tipo di file system e, se è HFS, include il flag per ignorare il journal.
Promemoria: Disk Arbitrator svolge il suo lavoro partecipando attivamente al processo di montatura. Se l'utilità è disattivata o viene chiusa e non è in esecuzione, non c'è protezione dalla montatura automatica dei dischi collegati. Tuttavia, una volta che un disco appare e il processo di montatura o rifiuto della montatura è terminato, Disk Arbitrator può essere chiuso senza influire sullo stato del disco.
A partire dalla versione 0.3.0, Disk Arbitrator supporta le immagini disco.
Usando la funzione Attach Disk Image di Disk Arbitrator, il collegamento dell'immagine disco è coordinato efficacemente. Quando si seleziona "Attach Disk Image..." dal menu, appare un pannello di apertura che include opzioni aggiuntive per collegare e montare l'immagine disco. L'impostazione predefinita è quella di collegare solo l'immagine disco. Quando si fa clic sul pulsante "Open", Disk Arbitrator collega il disco usando hdiutil. Una volta collegato, si applica il comportamento normale di Disk Arbitrator, quindi se è attivato e la modalità è impostata su Sola lettura, i volumi sull'immagine disco verranno montati in sola lettura. Se la modalità è impostata su Blocca montature, i volumi verranno ignorati.
Il pannello di apertura dell'immagine disco include un'opzione per tentare di montare l'immagine disco per quando Disk Arbitrator non è attivato e viene usato come mezzo comodo per collegare un'immagine disco. Quando si usa l'opzione di montatura, Disk Arbitrator passa "-mount optional" a hdiutil, che tenta di collegare e montare l'immagine disco, ma con il vantaggio che se la montatura fallisce, l'immagine disco non viene scollegata.
Disk Arbitrator supporta anche il trascinamento per collegare un'immagine disco. Basta trascinare una o più immagini disco da una finestra del Finder all'elenco dei dischi di Disk Arbitrator per avviare il collegamento delle immagini disco. Quando si usa il trascinamento, le opzioni predefinite includono "-mount optional", quindi viene tentata anche la montatura. Se la montatura fallisce, l'immagine disco rimane collegata e può essere montata manualmente.
Note:
Tentare di collegare e montare un'immagine disco al di fuori di Disk Arbitrator, facendo doppio clic nel Finder o usando hdiutil attach, si comporterà come prima: l'immagine disco verrà collegata, quindi il sistema tenterà di montarla, Disk Arbitrator rifiuterà la montatura e l'immagine disco verrà scollegata perché la montatura è fallita.
Se viene collegata un'immagine disco con un Contratto di licenza software, Disk Arbitrator risponde automaticamente "Sì" al contratto. Caveat Emptor.
Quando è impostato in modalità Sola lettura, la richiesta di montatura inviata da Disk Arbitrator include l'opzione per ignorare il journal, utile quando il file system HFS è stato scollegato l'ultima volta senza smontaggio (ad esempio, il sistema si è bloccato o un'unità esterna è stata scollegata senza espellerla). Se stai lavorando con un disco che non è stato espulso correttamente, i tentativi di collegarlo in sola lettura normalmente falliranno perché HFS sa che il journal deve essere riprodotto e non gli è consentito apportare le modifiche, quindi la montatura fallisce.
Montare un'immagine disco con un file system sporco può essere ottenuto usando un file shadow, ma questo è tutt'altro che ideale. Il file shadow protegge l'immagine disco originale dalle modifiche, ma il file system viene montato in lettura-scrittura. Un'opzione migliore è eseguire manualmente i due passaggi, usando Terminale:
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator fornisce un modo comodo per eseguire il secondo passaggio e una versione futura eseguirà entrambi i passaggi in un'unica operazione.