【51CTO.com快譯】數(shù)字取證和事件響應(yīng)是兩種互補(bǔ)的活動(dòng)，不僅需要深入了解操作系統(tǒng)和互聯(lián)網(wǎng)，還需要大量工具，這取決于要實(shí)現(xiàn)的目標(biāo)。一位調(diào)查員可能只想從以取證手段獲取的硬驅(qū)中恢復(fù)文件，另一位調(diào)查員可能想要全面分析系統(tǒng)，檢查有關(guān)系統(tǒng)的多項(xiàng)內(nèi)容。Tsurugi Linux支持所有這些操作。

Tsurugi Linux有不同的版本：

• 用于完整實(shí)時(shí)使用或安裝的標(biāo)準(zhǔn)發(fā)行版。
• 隨時(shí)可以安裝在主機(jī)操作系統(tǒng)上的虛擬機(jī)，無(wú)論您使用Windows、Mac還是Linux。
• 更輕盈的32位版本，專用于僅進(jìn)行實(shí)時(shí)磁盤(pán)獲取。
• 便攜式取證工具包，旨在幫助執(zhí)行實(shí)時(shí)調(diào)查。

這種發(fā)行版的主要用途是用作專用于運(yùn)行所有所需調(diào)查的虛擬機(jī)。因此，本文介紹如何以這種方式使用它。

您需要什么?

除了運(yùn)行Windows、Mac或Linux操作系統(tǒng)的計(jì)算機(jī)外，還需要虛擬化軟件。我們選擇了VirtualBox，因?yàn)樗且豢罘浅Ａ餍?、易于使用的開(kāi)源軟件。

您還需要通過(guò)下載頁(yè)面上的其中一個(gè)鏡像下載Tsurugi Linux的虛擬設(shè)備。選擇頁(yè)面上的一個(gè)鏡像，開(kāi)始下載后綴名為.ova的文件(圖 A)。

圖A. 可在其中一個(gè)官方鏡像上下載的Tsurugi Linux .ova文件

如何安裝虛擬設(shè)備?

打開(kāi)VirtualBox，選擇“文件/導(dǎo)入設(shè)備”，然后選擇剛下載的本地虛擬設(shè)備文件(圖 B)。

圖B. 選擇要在VirtualBox中安裝的虛擬設(shè)備文件

點(diǎn)擊“下一步”然后點(diǎn)擊“導(dǎo)入”，閱讀并接受軟件許可協(xié)議。虛擬設(shè)備正在安裝中(圖 C)。

圖C. 導(dǎo)入虛擬設(shè)備

如何啟動(dòng)虛擬設(shè)備?

在VirtualBox中選擇Tsurugi虛擬機(jī)，然后點(diǎn)擊“開(kāi)始”。虛擬機(jī)啟動(dòng)，并顯示默認(rèn)用戶tsurugi的登錄頁(yè)面(圖 D)。

圖D. 默認(rèn)tsurugi 用戶的登錄頁(yè)面

輸入默認(rèn)密碼tsurugi。Linux發(fā)行版現(xiàn)已準(zhǔn)備就緒。

如何設(shè)置環(huán)境?

現(xiàn)在是安裝VirtualBox Guest Additions的時(shí)候了，這讓虛擬機(jī)可以全屏運(yùn)行，在主機(jī)和訪客計(jì)算機(jī)之間共享剪貼板或文件夾，并提高性能。

在VirtualBox中選擇“設(shè)備/插入Guest Additions CD映像”。

出現(xiàn)了CD圖標(biāo)，以VirtualBox Guest Additions版本命名(圖 E)。

圖E. VirtualBox Guest Additions CD 出現(xiàn)

雙擊CD，然后鼠標(biāo)右擊VBoxLinuxAdditions.run，選擇“以管理員身份運(yùn)行”(圖 F)。

圖 F. 運(yùn)行VirtualBox Guest Additions的安裝

安裝運(yùn)行后，重啟虛擬機(jī)，享受添加訪客的虛擬機(jī)所帶來(lái)的舒適(圖 G)。

圖 G. Tsurugi Linux 桌面

Tsurugi Linux的主要功能

Tsurugi Linux基于著名的Ubuntu LTS發(fā)行版(64 位)，帶有打過(guò)補(bǔ)丁的內(nèi)核，實(shí)現(xiàn)了幾項(xiàng)有意思的功能。

• 內(nèi)核寫(xiě)入攔截器

默認(rèn)情況下，連接到系統(tǒng)的所有設(shè)備都以只讀模式掛載。如果調(diào)查人員想要在他或她不想以任何方式改變的設(shè)備上進(jìn)行分析，這是一項(xiàng)必不可少的功能，因此可以保留設(shè)備上的所有證據(jù)。

• OSINT 配置文件切換器

從桌面雙擊即可激活此功能，并在兩個(gè)不同的用戶配置文件之間切換：一個(gè)配置文件用于數(shù)字取證和事件響應(yīng)，第二個(gè)用于開(kāi)源情報(bào)用途。

• 數(shù)百個(gè)DFIR工具

在Tsurugi Linux中，DFIR工具以巧妙的方式加以分類，因此任何研究人員或?qū)W者都可以輕松找到適合其目的的適當(dāng)工具(圖 H)。

圖H. 工具類別，如Tsurugi Linux中所示

對(duì)于任何想要在單一發(fā)行版中擁有所需一切功能的DFIR專業(yè)人士來(lái)說(shuō)，Tsurugi Linux發(fā)行版展示了出色的功能。對(duì)于在學(xué)習(xí)或研究期間可能想要核查多個(gè)DFIR或 OSINT工具的學(xué)者和學(xué)生來(lái)說(shuō)，它也可能是一種選擇。

除了標(biāo)準(zhǔn)的Tsurugi Linux發(fā)行版外，為實(shí)時(shí)磁盤(pán)獲取而開(kāi)發(fā)的輕量版本也可能會(huì)讓DFIR專業(yè)人士感興趣，因?yàn)樗试S以合理的方式獲取不同的設(shè)備，并在不改動(dòng)復(fù)制設(shè)備的情況下保存證據(jù)。

原文標(biāo)題：How to install the Tsurugi Linux distribution

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文譯者和出處為51CTO.com】