Bento live forensics launcher box

BentoYour forensic launcher box

Bento è una suite di programmi utili agli scopi di live forensics e incident response.
È stato assemblato per fornire uno strumento di supporto ai sopralluoghisti della Polizia Scientifica per le attività di sopralluogo informatico e per dare agli altri first responder un toolkit in grado di aiutarli ad affrontare le più comuni attività di identificazione, rilievo, acquisizione, repertazione e preservazione di evidenze digitali da sistemi operativi Windows, Linux e Mac OSX in modalità live.
Non è scopo di Bento fornire strumenti di analisi forense al di fuori degli accertamenti strettamente necessari in modalità live e delle finalità di triage.

Bento è stato presentato in anteprima ad HackInBo Winter Edition 2018 e da allora viene aggiornato con una periodicità di circa 6 mesi.

La versione attuale è la 2021.1, è scaricabile da qui e deve restituire il seguente hash:

  • MD5: 589d72a25f87030481da564ef4a21c05 *Bento-2021_public.7z

### CHANGE LOG

Dalla release precedente:

  • Aggiornato SyMenu e tutti i pacchetti
  • Aggiunto IREC for Linux
  • Aggiunto artifactcollector for Windows, Linux and OSX
  • Aggiunto Automactc
  • Creata definizione SPS per FTK Imager Lite
  • Aggiunta predisposizione per FTK Imager 4
  • Aggiunto Win10LiveInfo
  • Ripristinato SSDZ
  • Rimosso QuickHash x86 (mantenuta solo versione x64)
  • Rimossi i tool SecurityXploded
  • Rimosso Belkasoft Acquisition Tool

### COSE DA FARE

A causa di limitazioni nelle licenze d’uso, non è stato possibile ridistribuire in Bento questi software, che possono essere eventualmente integrati dall'utente finale:

1) Sysinternals Suite
La suite è interamente supportata da SyMenu, quindi per scaricare tutti i componenti è sufficiente selezionare dal menu "Tools" la voce "Get new apps", selezionare il tab "Sysinternals Suite", spuntare tutte applicazioni e premere il pulsante "Apply all".

2) Magnet Forensics
EDD and MagnetRAMCapture possono essere scaricati dal sito di Magnet Forensics, a questi indirizzi:
http://www.magnetforensics.com/free_tools/EncryptedDiskDetector
http://www.magnetforensics.com/free_tools/MagnetRAMCapture
Una volta acquisiti i due eseguibili, salvarli nella cartella
\Bento\ProgramFiles\SPSSuite\BentoSuite

3) KAPE
KAPE è supportato da SyMenu Suite, quindi per scaricarlo è sufficiente selezionare dal menu "Tools" la voce "Get new apps", selezionare il tab "SyMenu Suite", cercare "KAPE", spuntare la relativa voce in elenco e premere il pulsante "Apply all".

4) Field Search
L’uso di Field Search è riservato alle Forze dell’Ordine. Il software può essere richiesto a questo indirizzo:
https://www.justnet.org/app/fieldsearch/request.aspx
Una volta acquisito, salvare la versione per Windows nella cartella
\Bento\ProgramFiles\SPSSuite\BentoSuite\FieldSearch
e la versione per Mac OSX nella cartella
\Bento\ProgramFiles\macosx\FieldSearch

5) AccessData FTK Imager Lite, FTK Imager e FTK Imager Command Line
FTK Imager Lite è supportato da SyMenu Suite, quindi per scaricarlo è sufficiente selezionare dal menu "Tools" la voce "Get new apps", selezionare il tab "SyMenu Suite", cercare "FTK Imager Lite", spuntare la relativa voce in elenco e premere il pulsante "Apply all".

Poichè FTK Imager Lite non è più sviluppato, dalla pagina https://accessdata.com/product-download è possibile scaricare il pacchetto di installazione di FTK Imager, instrallarlo su una workstation fidata e copiare il contenuto della cartella C:\Program Files\AccessData\FTK Imager nel percorso \Bento\ProgramFiles\SPSSuite\BentoSuite\FTK Imager

Dalla pagina https://accessdata.com/product-download è inoltre possibile scaricare FTK Imager Command Line Versions:
    - per Debian/Ubuntu
    da mettere nella cartella \Bento\ProgramFiles\linux\ftkimager\debian
    - per Fedora
    da mettere nella cartella \Bento\ProgramFiles\linux\ftkimager\fedora
    - per Mac OSX
    da mettere nella cartella \Bento\ProgramFiles\macosx\ftkimager
    - per Windows
    da mettere nella cartella \Bento\ProgramFiles\windows-cli\ftkimager

6) AChoir
Avviare una volta AChoir BUILDER dal menu di Bento utilizzando una postazione Internet fidata per poter completare il toolkit.