aburgh/disk-arbitratorUma utilidade forense para Mac OS X que gerencia a montagem do sistema de arquivos em apoio a procedimentos forenses.
Disk Arbitrator é um utilitário forense para Mac OS X projetado para ajudar o usuário a garantir que os procedimentos forenses corretos sejam seguidos durante a criação de imagens de um dispositivo de disco. Disk Arbitrator é essencialmente uma interface de usuário para o framework Disk Arbitration, que permite que um programa participe do gerenciamento de dispositivos de armazenamento em bloco, incluindo a montagem automática de sistemas de arquivos. Quando ativado, o Disk Arbitrator bloqueará a montagem de sistemas de arquivos para evitar a montagem como leitura-escrita e violar a integridade da evidência.
É importante notar que o Disk Arbitrator não é um bloqueador de gravação de software---ele não altera o estado dos dispositivos atualmente conectados nem afeta dispositivos recém-conectados para forçar um dispositivo a ser somente leitura. O usuário ainda deve ter cuidado para não escrever acidentalmente em um disco com um comando como "dd". Devido a isso, um bloqueador de gravação de hardware ou software ainda pode ser desejável para o procedimento mais seguro. Disk Arbitrator complementa um bloqueador de gravação com recursos adicionais úteis e elimina a recomendação forense típica de "desabilitar a arbitragem de disco".
Você pode encontrar links para executáveis compilados na página releases.
Para instalar, arraste o aplicativo Disk Arbitrator para o local desejado, por exemplo /Applications.
Você pode opcionalmente querer que o Disk Arbitrator seja executado automaticamente toda vez que você fizer login. Há duas maneiras de fazer isso:
Adicione o Disk Arbitrator aos seus Itens de Login no painel de preferências Usuários e Grupos (ou Contas em versões mais antigas do OS X) nas Preferências do Sistema.
Use o recurso incluído "Install User Launch Agent" (acessível pelo menu). Quando instalado, o launchd do sistema iniciará automaticamente o Disk Arbitrator quando você fizer login, como um Item de Login. Além disso, o plist contém uma configuração que instrui o launchd a monitorar o aplicativo e reiniciá-lo automaticamente em caso de falha ou se for encerrado de outra forma. Isso oferece a maior garantia de que o Disk Arbitrator estará em execução sempre que você estiver logado.
Quando iniciado, ele adiciona seu ícone à barra de status no lado direito da barra de menus. O ícone da barra de status indica um de três estados:
Disk Arbitrator monitora continuamente o aparecimento e desaparecimento de discos e rastreia os discos na janela principal. Quando um novo disco é anexado, o sistema notifica o Disk Arbitrator e lhe dá a chance de rejeitar a montagem de um volume de disco. Disk Arbitrator responde da seguinte forma:
Lembrete: Disk Arbitrator realiza seu trabalho participando ativamente do processo de montagem. Se o utilitário estiver desativado ou for encerrado e não estiver em execução, não há proteção contra a montagem automática de discos anexados. No entanto, uma vez que um disco aparece e o processo de montagem ou rejeição da montagem é concluído, o Disk Arbitrator pode ser encerrado sem afetar o estado do disco.
A partir da versão 0.3.0, o Disk Arbitrator oferece suporte a imagens de disco.
Usando o recurso Anexar Imagem de Disco do Disk Arbitrator, anexar a imagem de disco é efetivamente coordenado. Quando "Anexar Imagem de Disco..." é selecionado no menu, um painel de abertura aparece que inclui opções adicionais para anexar e montar a imagem de disco. O padrão é apenas anexar a imagem de disco. Quando o botão "Abrir" é clicado, o Disk Arbitrator anexa o disco usando hdiutil. Uma vez anexado, o comportamento normal do Disk Arbitrator se aplica, então se estiver ativado e o modo estiver definido como Somente Leitura, os volumes na imagem de disco serão montados como somente leitura. Se o modo estiver definido como Bloquear Montagens, os volumes serão ignorados.
O painel de abertura de imagem de disco inclui uma opção para tentar montar a imagem de disco para quando o Disk Arbitrator não está ativado e está sendo usado como um meio conveniente de anexar uma imagem de disco. Quando a opção de montagem é usada, o Disk Arbitrator passa "-mount optional" para o hdiutil, que tenta anexar e montar a imagem de disco, mas com o benefício de que, se a montagem falhar, a imagem de disco não é desanexada.
Disk Arbitrator também suporta arrastar e soltar para anexar uma imagem de disco. Basta arrastar uma ou mais imagens de disco de uma janela do Finder para a lista de discos do Disk Arbitrator para iniciar a anexação das imagens de disco. Ao usar arrastar e soltar, as opções padrão incluem "-mount optional", então a montagem também é tentada. Se a montagem falhar, a imagem de disco permanece anexada e pode ser montada manualmente.
Notas:
Tentar anexar e montar uma imagem de disco fora do Disk Arbitrator, seja clicando duas vezes nela no Finder ou usando hdiutil attach, se comportará como antes: a imagem de disco será anexada, então o sistema tentará montá-la, o Disk Arbitrator rejeitará a montagem e a imagem de disco será desanexada porque a montagem falhou.
Se uma imagem de disco com um Contrato de Licença de Software for anexada, o Disk Arbitrator responde automaticamente "Sim" ao acordo. Caveat Emptor.
Quando configurado para o modo Somente Leitura, a solicitação de montagem que o Disk Arbitrator envia inclui a opção de ignorar o journal, o que é útil quando o sistema de arquivos HFS foi desconectado pela última vez sem desmontar (por exemplo, o sistema travou ou um drive externo foi desconectado sem ejetá-lo). Se você estiver trabalhando com um disco que não foi ejetado corretamente, as tentativas de anexá-lo como somente leitura normalmente falharão porque o HFS sabe que o journal precisa ser reproduzido e não é permitido fazer as alterações, então ele falha ao montar.
Montar uma imagem de disco com um sistema de arquivos sujo pode ser alcançado usando um arquivo sombra, mas isso não é ideal. O arquivo sombra protege a imagem de disco original de alterações, mas o sistema de arquivos é montado como leitura-escrita. Uma opção melhor é executar as duas etapas manualmente, usando o Terminal:
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator fornece uma maneira conveniente de executar a segunda etapa, e uma versão futura realizará ambas as etapas em uma única operação.