Isilon: OneFS: Como identificar o fluxo de dados alternativo de um arquivo e visualizar seu conteúdo
Summary: Este artigo explica como identificar e exibir o conteúdo de um fluxo de dados alternativo (ADS). O suporte para fluxos de dados alternativos está no NTFS para oferecer suporte ao HFS (Hierarchical File System) do Mac. O HFS do Mac usa bifurcações de recursos para ícones e outras informações de arquivo. Embora esse seja o uso pretendido de fluxos de dados alternativos, o malware geralmente usa fluxos de dados alternativos para ocultar seu código. Por esse motivo, fluxos de dados alternativos são uma preocupação dos administradores de sistema e profissionais de segurança. ...
Instructions
Procedimento
Para identificar e exibir o conteúdo de um fluxo de dados alternativo, use o arquivo de streams.exe fornecido pela Microsoft ou use o isi_runat no OneFS.
Usar streams.exe para procurar fluxos de dados alternativos (Windows)
O arquivo streams.exe e as instruções para seu uso estão disponíveis no site da Microsoft TechNet .
Use isi_runat para procurar fluxos de dados alternativos (OneFS)
Execute o comando isi_runat para determinar se um arquivo tem um fluxo de dados alternativo:
- Abra uma conexão SSH com algum nó do cluster e faça login usando a conta "root".
- Execute o seguinte comando, em que <FILENAME> é o nome do arquivo a ser inspecionado:
isi_runat <FILENAME> ls
A saída será exibida se o arquivo tiver um fluxo de dados alternativo; Esse resultado pode variar. Se o arquivo não tiver um fluxo de dados alternativo, a saída ficará em branco.
- Para visualizar o conteúdo do fluxo de dados alternativo, execute o seguinte comando, em que <ALT STREAM> é a saída da etapa 2. Esse resultado pode variar.
isi_runat <FILENAME> cat <ALT STREAM>
Por exemplo, se o arquivo for chamado de sample.txt e a fonte de dados alternativa da etapa 2 for secret.txt, execute o seguinte comando:
isi_runat sample.txt cat secret.txt
A saída para o fluxo de dados alternativo é exibida. Por exemplo, o conteúdo do secret.txt de fluxo de dados alternativo pode ser
Este é o texto secreto
Comparar e validar fluxos de dados alternativos para arquivos migrados.
Execute os procedimentos acima para comparar os fluxos de dados alternativos dos arquivos migrados e de origem. Ao migrar arquivos de outro servidor NAS para um cluster do Isilon (exemplo, um servidor de dados NetApp), esse erro poderá ocorrer se os arquivos tiverem fluxos de dados alternativos diferentes.
O nome do arquivo especificado não é válido ou muito longo. Especifique um nome de arquivo diferente.
Para comparar os fluxos de dados alternativos para arquivos:
- No servidor NAS de origem, use o arquivo de streams.exe para visualizar o fluxo de dados alternativo do arquivo de origem.
- Em seguida, no cluster do Isilon, use o comando
isi_runatComando para visualizar o fluxo de dados alternativo do arquivo migrado.
A saída para os fluxos de dados alternativos deve corresponder.