מהי Oxygen Forensics?
Oxygen Forensics היא פלטפורמת תוכנה משולבת המיועדת לניתוח ראיות דיגיטליות (Digital Forensics).
היא פותחה על־ידי חברת Oxygen Forensics, Inc ומיועדת בעיקר לאנשי מקצוע בתחום אכיפת החוק,
אבטחת מידע וחוקרי פריצה (penetration testers).
המערכת מתממשקת למגוון רחב של מקורות מידע, כגון טלפונים חכמים (Android, iOS), טאבלטים,
התקני IoT, מדיה ניידת, חשבונות ענן, אפליקציות מסרים מידיים ורשתות חברתיות.
יכולות עיקריות של Oxygen Forensics
חילוץ מידע פיזי (Physical Extraction):
קבלת תמונת זיכרון מלאה ממכשירים תומכים, כולל מחיקות שניתנות לשחזור.
חילוץ מידע לוגי (Logical Extraction):
חילוץ נתונים דרך APIs רשמיים במכשיר, מתאים למכשירים נעולים או שאינם נתמכים פיזית.
חילוץ ענן (Cloud Extraction):
גישה ויצוא מידע מחשבונות Google, iCloud, Microsoft, Facebook, WhatsApp ועוד.
ניתוח אפליקציות (App Analysis):
פענוח וניתוח נתוני אפליקציות מובילות (WhatsApp, Telegram, Instagram, Signal ועוד)
כולל היסטוריית שיחות, קבצים מצורפים ומידע מטא.
ניתוח נתוני מדיה (Media Analysis):
זיהוי, מיון וסיווג תמונות וסרטונים לפי תוכן, EXIF metadata וזיהוי פנים.
Timeline Analysis:
יצירת קו זמן אינטראקטיבי של פעילויות המשתמש על פני מספר מכשירים ושירותים.
Report Generation:
יצוא דוחות מותאמים אישית בפורמטים שונים (PDF, HTML, CSV) עם סיכומים,
צילומי מסך והערות.
מודולים מרכזיים של Oxygen Forensics
Oxygen Forensics כוללת מספר מודולים עיקריים המאפשרים פונקציונליות ייחודית:
Oxygen Forensic Detective:
הממשק הראשי לניתוח ויזואלי ואינטגרציה מלאה של כל מקורות הנתונים, חיפוש מתקדם וייצוא דוחות.
Oxygen KeyScout:
כלי לסריקה ראשונית אוטומטית לגילוי וחיבור למכשירים רלוונטיים ואיסוף מידע בסיסי.
Oxygen Forensic Physical Analyzer:
מודול חילוץ פיזי ופענוח נתונים ברמת זיכרון נמוכה, כולל שחזור קבצים ומערכות קבצים מוצפנות.
Cloud Extractor:
כלי לחילוץ נתונים מחשבונות ענן פופולריים (Google, iCloud, Microsoft וכו’).
Mobile Analyzer:
מודול ייעודי לפענוח וניתוח נתונים מאפליקציות מובייל (שיחות, מדיה ומידע מטא).
File Carver:
מנגנון לשחזור קבצים שנמחקו, כולל תמונות, מסמכים וקבצי מדיה אחרים.
SQLite Viewer:
כלי לצפייה וניתוח טבלאות SQLite מתוך אפליקציות ומערכות הפעלה.
שאלות ותשובות בנושא Oxygen Forensics
ש: איך להתמודד עם התקן מוצפן ב־Android (File-Based Encryption)?
ת: יש לבצע Physical Extraction כאשר המכשיר במצב “rooted” או להשתמש במנגנון OEM Unlocking.
אם Physical Extraction לא אפשרי, מומלץ לנצל ADB Backup או להשתמש ב־Chip-Off על מכשירים ישנים.
לאחר החילוץ יש להשתמש בפענוח מובנה של Oxygen Physical Analyzer.
ש: כיצד אפשר לחלץ נתונים מ־WhatsApp ב־iOS אם המכשיר נעול ב־Face ID?
ת: שימוש ב־iCloud Extraction עם חשבון משתמש וסיסמת iCloud.
אם 2FA מופעל, יש להחזיק את ההתקן סמוך לכניסה ל־iCloud. אפשרות נוספת היא Jailbreak ייעודי לגרסה.
ש: כיצד לבצע פענוח של Keychain ב־iOS?
ת: בתנאי Physical Extraction,
Oxygen Analyzer תפיק אוטומטית את בסיס הנתונים
של Keychain ותפענח אותו באמצעות שימוש במפתחות המאוחסנים ב־KeyBag.
ש: האם ניתן לשחזר הודעות שהוסרו ב־Telegram?
ת: בתנאי Physical Extraction ניתן לשחזר הודעות ממסדי SQLite שלא התעדכנו או הושחתו,
תוך שימוש במודול File Carver של Oxygen.
ש: איך להתמודד עם נתוני אפליקציית Signal מוצפנים?
ת: Signal משתמש בהצפנה חזקה מאוד. Physical Extraction חיוני,
אך עדיין נדרש מפתח פענוח מקומי.
שימוש ב־KeyBag של iOS או credentials של Android חשובים.
ש: מה ההבדל בין Logical לPhysical Extraction מבחינת התאוששות מחיקות?
ת: Physical Extraction כולל תמונת זיכרון מלאה ומאפשר שחזור מחיקות באמצעות File Carver.
Logical Extraction מוגבל למה שהמערכת מציגה ולא מאפשר שחזור מחיקות.
ש: כיצד ליצור Timeline משולב ממקורות שונים?
ת: ב־Oxygen Detective יש לבחור כל מקור נתונים (מכשיר, ענן, אפליקציה) ולהשתמש בכלי Timeline View.
ניתן לסנן לפי UID, סוג פעילות וטווח תאריכים.
ש: איך לייבא נתונים ממכשיר Android שדורש Unlock Bootloader?
ת: יש להשתמש במודול ADB Extraction דרך Oxygen KeyScout לאחר הפעלת USB Debugging
והסרת הגבלת OEM.
ש: האם קיימת אפשרות scripting/API לשליטה אוטומטית?
ת: כן. Oxygen Forensics מספקת SDK ו־CLI לפעולות אוטומציה של חילוץ וניתוח.
ש: כיצד לשלב נתונים ל־SIEM לאחר חילוץ?
ת: ייצוא הדוחות ל־CSV או JSON וייבוא ישירות למערכת SIEM באמצעות API או קבצי קונפיגורציה מותאמים.
