מהי Cellebrite UFED?
Cellebrite UFED היא פלטפורמה כוללת המפותחת על ידי חברת Cellebrite הישראלית.
Cellebrite UFED מספקת פתרונות חומרה ותוכנה לאיסוף מידע מכל סוגי המכשירים הניידים והתקני IoT,
ומסוגלת להתמודד עם מגוון רחב של מערכות הפעלה ודגמים.
יכולות מרכזיות של Cellebrite UFED
חילוץ נתונים פיזי (Physical Extraction):
משחזרת נתונים ממערכת הקבצים הגולמית של המכשיר כולל מחיקות.
חילוץ לוגי (Logical Extraction):
מאפשרת גישה למסדי נתונים ונתוני אפליקציות במצב פעיל.
חילוץ קלאוד (Cloud Extraction):
מורידה נתונים מגיבויים ושירותי ענן כמו iCloud, Google Drive ועוד.
פירוק הצפנה (Decryption):
תומכת בפריצת סיסמאות ופתיחת קבצים מוצפנים.
שחזורים:
שחזור הודעות, תמונות, שיחות, מיקום גיאוגרפי, ועוד.
מודולים מרכזיים במערכת UFED
UFED Touch Ultimate:
מכשיר חומרה עצמאי עם ממשק מגע המיועד לחילוץ מהיר ושוטף ממגוון רחב של מכשירים.
UFED 4PC:
תוכנת שולחן עבודה המאפשרת גישה למודולי חילוץ וניתוח ברמת עומק גבוהה יותר.
Physical Analyzer:
מודול לניתוח מתקדם, כולל פיצוח הצפנה, שחזור קבצים מחוקים, וניתוח timeline.
Logical Analyzer:
כלי לחילוץ נתונים מהתקן חי, כולל גיבוי מלא והוצאת נתונים מתוכנות צד ג’.
Cloud Analyzer:
מאפשר גישה לגיבויים ושירותי ענן, כולל תהליך אימות דו-שלבי.
UFED Reader:
מאפשר שיתוף תוצאות מבלי לחשוף את הנתונים הגולמיים, בפורמט קריא.
תהליכי עבודה מומלצים
קביעת סדר עדיפויות:
החל מניתוח פיזי במכשירים בעלי חשיבות גבוהה.
אימות שרשרת אחזקה (Chain of Custody):
תיעוד מלא של תהליך החילוץ.
שימוש בכלי Decryption:
לפני החילוץ במקרים של הצפנה.
הרצת סריקות malware או Rootkit:
במידת הצורך לפני החילוץ.
שאלות ותשובות בנושא UFED
ש: מה ההבדל בין Physical לבין File System Extraction ב-UFED?
ת: Physical Extraction מושך את כל תכולת הזיכרון הגולמית של המכשיר כולל מחוקים ושאריות,
בעוד File System Extraction מקבל גישה למערכת הקבצים הפעילה בלבד ולא מאפשר שחזור מחיקות.
ש: כיצד UFED מתמודדת עם הצפנת Full-Disk Encryption באנדרואיד 11 ומעלה?
ת: UFED משתמשת במודול Decryption המבוסס על רכיבי bootloader vulnerability או root exploits
מותאמים לדגם המכשיר, במקרים בהם קיים jailbreak או root.
ש: מה הדרך היעילה לשחזור הודעות ממחיקות ב-iOS 14?
ת: Physical Extraction ב-UFED Touch Ultimate, בשילוב עם Physical Analyzer,
מאפשרת קריאת raw SQLite database ושחזור רשומות שנמחקו.
ש: האם ניתן להשתמש ב-UFED לצורך חילוץ נתונים מ-WhatsApp מוצפן?
ת: כן, UFED מאפשרת חילוץ קבצי גיבוי המוצפנים ב-WhatsApp ומפענח אותם בעזרת מפתחות מהתקן המקורי.
ש: כיצד להתמודד עם MFA (אימות דו-שלבי) בחילוץ Cloud?
ת: Cloud Analyzer מספק תהליך מובנה לבקשת קוד אימות למכשיר הנחקר,
תוך שמירה על רישום ואישור החוקרים.
ש: האם קיימת אפשרות להרצת Python Scripts בתוך Physical Analyzer?
ת: כן, Physical Analyzer תומך בפיתוח תוספים (Plugins) ב-Python לביצוע ניתוח מותאם.
ש: מה מגבלות החילוץ ממכשירי Huawei עם מערכת EMUI?
ת: Huawei חסמה חלק מהפרצות הידועות. UFED עדיין יכולה לבצע File System Extraction במכשירים חדשים,
אך Physical Extraction מוגבל ותלוי בגרסת EMUI.
ש: כיצד ניתן לייבא תוצאות UFED לכלי SIEM חיצוני?
ת: תוצאות UFED מופקות כקובצי XML/CSV/HTML שניתן לטעון ישירות לכלי SIEM תומכים.
ש: מה היתרונות של UFED Reader בהשוואה לדוחות PDF?
ת: UFED Reader מאפשרת חיפוש מתקדם, פילטרים דינמיים וניתוח Timeline
אינטראקטיבי ללא שינוי בקובץ המקורי.
ש: מה דרישות המערכת המומלצות להפעלת Physical Analyzer במהירות מיטבית?
ת: מעבד Intel i7 (דור 8 ומעלה), 32GB RAM, SSD NVMe 1TB, כרטיס גרפי עם לפחות 4GB VRAM,
וחיבור אינטרנט מהיר לאימות Cloud.
