Análisis Forense. Prof. Reinaldo Mayol

Transcripción

1 + Análisis Forense Prof. Reinaldo Mayol

2 + Conceptos Iniciales Parte 1 2

3 + Qué es el Análisis Forense? 3 n Es un proceso, metodológicamente guiado, que involucra los siguientes elementos, referidos a los datos de un sistema computacional: n Preservación n Identificación n Extracción n Documentación n Interpretación

4 + RFC3227. Recolección y manejo de evidencias 4 Principios para la recolección de evidencias Consideracio nes relativas a la privacidad de los datos RFC 3227 Orden de volatilidad Cosas a evitar

5 + RFC3227. Recolección y manejo de evidencias 5 Procedimiento de recolección Herramientas necesarias y medios de almacenamiento de éstas Transparencia RFC3227 Como archivar una evidencia Pasos de la recolección Cadena de custodia

6 + Orden de Jerarquía 6 Registros y contenidos de la caché. Contenidos de la memoria. + Estado de las conexiones de red, tablas de rutas. Estado de los procesos en ejecución. Contenido del sistema de archivos y de los discos duros. Contenido de otros dispositivos de almacenamiento. -

7 + Equipo para Análisis Forense 7

8 + Ciclo de Vida del Análisis Forense 8 Diseño de Evidencia Determinación de Relevancia Producción de la Evidencia Reporte y Presentación Recolección de la Evidencia Análisis de la Evidencia HB171:2003 Handbook Guidelines for the management of IT Evidence.]

9 + 9 Manipulación de la Evidencia n Si no se toman las medidas adecuadas para la manipulación de la evidencia esta puede perderse o resultar inaceptable como prueba.

10 + Manipulación de la Evidencia 10 n Uno de los elementos que se utilizan son las Cadenas de Custodia n Una adecuada Cadena de Confianza debe responder, para cada evidencia, las siguientes interrogantes: n Quién colectó la evidencia? n Cómo y donde fue colectada? n Quiénes tuvieron posesión y acceso a la evidencia? n Cómo fue almacenada y protegida? n Quién la ha manipulado?

11 + Autentificación de la Evidencia 11 n El objetivo de este paso es proveer un mecanismo que garantice la evidencia colectada no pueda ser modificada o sustituida sin que el investigador pueda notarlo. n Por lo general, se recomienda utilizar algoritmos de HASH (SHA2!!!!!) capaces de crear un hash de la evidencia que garantice su integridad. n Se puede firmar digitalmente el hash de cada evidencia garantizando de esta forma que la misma no pueda ser sustituida.

12 + Características de la evidencia forense 12 digital n Si alguien intenta destruir las evidencias, podemos tener copias igual de válidas lejos del alcance del criminal. n El proceso de autenticación siempre siembra dudas sobre la veracidad de la prueba. n Adquirir una copia de la evidencia puede ser un proceso difícil y delicado. n Las pruebas pueden ser modificadas incluso durante su recolección.

13 + Características de la evidencia forense 13 digital n No solo hay que validar las copias sino incluso el momento en que se realizan. n La autentificación de la evidencia requiere mecanismos externos como: certificados digitales, autoridades de certificación y cadenas de certificación acordes a las leyes de un país o incluso de una organización.

14 + Características de la evidencia forense 14 digital Pueden ser duplicadas de forma exacta y la copia puede examinarse como si fuera el original. Con las herramientas adecuadas es muy fácil determinar si la evidencia ha sido modificada o falsificada comparándola con la original. Es relativamente difícil de destruir, incluso borrándola, la evidencia digital puede ser recuperada de un disco.

15 + Hasta Donde? 15 Es posible definir con exactitud el 80 % de lo que ha hecho un sospechoso el 20% del TIEMPO

16 + Conociendo el sistema de Archivos Parte 2 16

17 + Organización de los Datos 17 Los SO agrupan varios sectores consecutivos n FAT, NTFS: Clusters n EXT? (*nix): Blocks 1 sector: Aprox. 512 bytes

18 + Niveles del Sistema de Archivos 18 File Name Metadata Datos Sistema de Archivos Físico Nombre de los Archivos Información de la Estructura del F. S Clúster, Blocks Información de Particiones Disco Físico

19 + Particiones D.O.S

20 + Particiones DOS 20 Imagen tomada de: Carrier B. F.S Forensic Analysis, modificada por R.Mayol n Las particiones tipo DOS se utilizan en la mayoría de los sistemas operativos, incluyendo Linux. Sólo 4 entradas

21 + Particiones Extendidas (E. P) 21 n Con 4 entradas solamente no es posible cubrir las necesidades de los sistemas modernos. MBR ParSSon Table n Una partición extendida contiene una segunda tabla de particiones y puede describir 2 particiones. ( una para el F. S y otra para otra E.P) ExtendedParSSon Table Imagen tomada de: Carrier B. F.S Forensic Analysis, modificada por R.Mayol

22 + Tabla de Particiones 22 Posición Longitud en Bytes Contenido 0 1 Estado de la partición 00h no activa, 80h activa 1 1 Comienzo de la partición ( cabezal) 2 2 Sector y Cilindro donde comienza la partición 4 1 Tipo de Partición 5 1 Cabezal donde la partición termina 6 2 Sector y Cilindro donde la partición termina 8 4 Distancia, en sectores (por omisión 512B/ sector) desde la tabla de particiones al primer sector de la partición 12 4 Longitud ( en sectores) de la partición

23 + Ej. Partición de 40 GB Tabla de Particiones Byte

24 + Continuación 24 Termina: Sector F8(248) cilindro FF Partición activa Sector 1, Cilindro 0 Partición NTFS La partición inicia 56 sectores desde el inicio de la tabla FE F8 FF B3 FF Sectores 00 * B= 40GB AA Fin de la Tabla de Particiones

25 + Algunos Tipos de Particiones 25 Hex Valor Tipo 0C FAT Linux 82 Linux Swap 07 NTFS a8 MacOSX

26 + Metadata 26 Todos los sistemas de archivos dedican algunos archivos a contener información que describe a otros archivos. NTFS : MFT ( Master File Table) *nix :Inodos FAT: Entradas de Directorio.

27 + Metadata 27 Los archivos de Metadatos contienen información como: MAC times, permisos, propietarios, tamaño de los archivos, localización, etc.

28 + Slack Space 28 n La unidad mínima de direccionamiento son los clusters. n El S.O no puede direccionar sino clusters. n Si un archivo es menor que el tamaño del cluster el espacio sobrante se pierde. n Este espacio es interesante, desde el punto de vista forense, ya que normalmente puede contener datos de otros archivos que utilizaron anteriormente el cluster.

29 + NTFS New Technologies File System

30 + Sistema de Archivos de NTFS n Durante la creación del volumen es creado el Master File Table (MFT), además de otros archivos de control. n Existe una entrada de 1KB en la MFT por cada archivo o directorio en el volumen. n El archivo $MFT contiene la MFT. Existe una copia llamada $MFTMirr n Una entrada MFT tiene una pequeña cabecera fija (42 bytes, 12 campos) y el resto son atributos no previamente definidos.

31 + Sistema de Archivos NTFS cont.. 31 n La localización del MFT está definido en el Boot Sector del F.S n Un MFT almacena los atributos de los archivos y subdirectorios incluyendo el nombre, MAC, permisos, flags de estado, entre otros. n Si un archivo no puede contener todos sus atributos en una sóla entrada utiliza entradas consecutivas. n Adicionalmente el MFT almacena parte ( o su totalidad) de la data (dependiendo del tamaño del archivo, menor a 1500Bytes)

32 + Boot Sector Partición NTFS 32 Boot Sector Cluster: Grupo de Sectores Consecutivos.

33 + Estructura del $MFT 33 n Cada entrada al MFT es direccionada usando un valor de 48 bits, comenzando por 0. n Cada entrada MFT tiene también un número de secuencia de 16 bits que es incrementado cuando la entrada es utilizada. Este número nunca es decrementado. n Combinando ambos valores se forma una dirección de 64 bits (llamada File Reference) n El uso del File Reference permite determinar en algunas ocasiones cuando el FS está corrupto.

34 + Estructura $MFT 34 n Formalmente las primeras 16 entradas ( en la práctica 24) son para localizar los archivos de metadata del F. S n Los archivos de metadata se encuentran en la raiz del F. S y comienzan por $

35 + Metadata Files 35 Índice $MFT Nombre del Archivo Descripción 0 $MFT MFT 1 $MFTmirr Archivo de Respaldo del MFT 2 $LogFile Registro de las transacciones de metadata 3 $Volume Información sobre el volumen 4 $AttrDef Información sobre atributos 5 $Root Directorio Root del F.S 6 $Bitmap Mapa de disponibilidad de cada cluster 7 $Boot Boot Sector 8 $BadClus Mapa con clusters que contienen sectores dañados 9 $Secure Información de Seguridad 10 $Upcase Versión de cada carácter Unicode 11 $Extend Contiene file para extensiones opcionales.

36 + Metadata FILES 36

37 + Entradas MFT 37 n Cada entrada es secuencialmente numerada usando un valor de 48 bits. n Cada entrada tiene además un número de Secuencia de 16 bits que es incrementado cuando la entrada es localizada. n Ambos valores se combinan para formar un valor de 64 bits que se utiliza como reverenciador de los archivos.

38 + Entradas MFT ( Ejemplo) 38 Header MFT Atributos Entrada MFT Atribute Header: Tipo Tamaño Nombre Atribute Header Espacio no uslizado Header MFT $STANDARD_INFORMATION $FILE_NAME $DATA

39 + Formato Simplificado de una ENTRADA a la MFT n Para un archivo: n n n n Header $FILE_NAME(48) $ STANDART_INFORMATION(16) $DATA(128) n Para un subdirectorio: n n n Header $INDEX_ROOT $INDEX_ALLOCATION

40 + Atributos ( algunos, sólo algunos) 40 $STANDARD_INFORMATION: SFILE_NAME Información general, tales como flags, MAC Times, ID del propietario Nombre del Archivo en Unicode,MAC TIME del nombre $DATA: Contenido del Archivo $INDEX_ROOT Nodo Raíz del árbol de índices $INDEX_ALLOCATION Nodos del árbol de índices $BITMAT Mapa de Bits del MFT

41 + Sistemas de Archivo de Linux Ext* 41

42 + Ext 42 n El F.S comienza con un área reservada y el resto está dividido en sectores llamados grupos de bloques. n Todos los grupos de bloques, excepto el último contienen la misma cantidad de bloques. n Un bloque es un conjunto de sectores consecutivos (1024,2048,4096 bytes) n La información de la estructura del F.S es almacenada en una estructura llamada SuperBlock la cual se encuentra localizada el inicio del F.S n Los metadatos de cada archivo o directorio son almacenados en estructuras llamadas inodos

43 + Ext cont 43 n Los inodos tienen tamaño fijo, por omisión 128 bytes ( 1024 bits) n Existe un inodo por cada archivo o directorio existente n Existe una tabla de inodos para cada grupo de bloques. n Los primeros 10 inodos tienen funciones fijas y están siempre localizados. El inodo 11 se utiliza para el subd lost +found n Los nombres de archivos son almacenados en las entradas de los directorios que los contienen. n Esas entradas de directorio son estructuras simples que contienen el nombre de los archivos y un puntero al inodo correspondiente.

44 + Inodos 44 n Cada inodo tiene un número fijo de campos. n Un inodo contiene: n Tamaño de los archivos ( 64bits => tamaño máximo es 1, ) n Dueños (utilizando el UID y GDI de /etc/passwd y /etc/groups) n Información temporal ( último acceso, modificación, borrado, cambio de la metadata) n Permisos n Tipo de archivos n Los tiempos son almacenados en la cantidad de segunsos desde 1ro Enero n Los tiempos son almacenados en la cantidad de segunsos desde 1ro Enero 1970.

45 + Inodos 45 n Cada inodo puede almacenar las direcciones de los primeros 12 bloques de un archivo. (bloques directos) n Si un archivo requiere mas de 12 bloques se localiza un bloque para almacenar los punteros a otros bloques( bloques indirectos)

46 + Entradas de directorio, inodos y 46 bloques de datos archivo1 Metadata Metadata Metadata Metadata Metadata Metadata Entradas de Directorio Inodos Bloques de Contenido

47 + Inodos 47

48 + Ext cont 48 n Ext tiene un grupo de opciones organizadas en 3 categorías basadas en que debe hacer el sistema operativo si alguna de ellas no es soportada. n Las opciones compatibles son aquellas que pueden ser ignoradas por el S.O que monta un F. S incluso si no las soporta. EJ. Journals n Las opciones incompatibles si no son soportadas el F. S no será montado. Ej. Cifrado n Las compatibles de solo lectura implican que el F. S será montado pero solo en modo Read-Only. Ej. Estructuras en arbol en lugar de listas.

49 + Superblock y Descriptor de 49 Bloques n El Superblock es localizado al inicio del F. S ocupando los primeros 1024 bytes ( aunque utiliza sólo unos pocos) n Contiene la estructura del F. S ( similar al BootSector en NTFS) y de configuración. n Copias de respaldo pueden ser encontradas en el primer bloque de cada grupo de bloques. n Información contenida: n Tamaño de los bloques n Número total de bloques por grupo de bloques n Número de bloques reservados antes del primer grupo de bloques.

50 + Superblock y Descriptor de 50 Bloques n También puede incluir: n Nombre del volumen n Fechas de montaje y escritura n Sitio del último montaje n Consistencia del F. S n Número total de inodos y bloques disponibles n Opciones habilitadas.

51 + Superblock y Descriptor de 51 Bloques n En Linux una opción llamada Sparse Superblock está siempre habilitada y hace que sólo algunos grupos de bloques contengan copias del Superblock. n El Superblock tiene una firma ( 0xef53) en los bytes 56 y 57, desafortunadamente es demasiado pequeña y buscarla conduce a gran cantidad de falsos positivos

52 + Buscando la firma.. 52 sigfind -o 56 -l ef53 /dev/sda1 Block size: 512 Offset: 56 Signature: 53EF Block: 2 (-) Primera aparición de la firma Block: ( ) Otras apariciones Block: (+84361)

53 + Tabla de Descriptores de grupos 53 de bloque n En el bloque siguiente del superblock se encuentra la tabla descriptora de grupos de bloque. n Comúnmente existe copias de tabla en los bloques de grupo ( ver figura inferior) n Un F.S en linux tiene igual número de bloques por grupo que bits en un block. Por lo tanto el BlockBitmap requiere un bloque. Backup SuperB. Tabla desc. De grupos Block Bitmap Inode Bitmap Tabla de Inodos Datos Datos

54 + Estructuras Ext: SuperBlock 54 (selección de campos) Byte Descripción 0-3 Número de Inodos en el FS 4-7 Número de Bloques en el F. S 8-11 Número de bloques reservados Número de bloques disponibles ( no usados) Número de inodos disponibles ( no usados) Bloque donde el Grupo de Bloques 0 comienza Tamaño del bloque ( número de lugares para desplazar 1024 a la izquierda) Ej: , Número de bloques en cada grupo de bloques Número de inodos en cada grupo de bloques Fecha del último montaje Fecha de la última escritura

55 + Estructuras Ext: SuperBlock 55 (selección de campos) cont.. Bytes Descripción Contador de montajes Máximo número de montajes sin chequeo Firma del F.S (0xef53) Estado del F.S ( limpio, con errores, con archivos perdidos) ID del Volumen Subdirectorio donde fue montado por última vez RECUERDE QUE EL SUPERBLOCK OCUPA 1024 BYTES Recuerde que esta no es la tabla entera de los campos del Superblock. Puede ver la descripción entera en: Daniel Robbins ( ). Advannced filesystem implementor's guide, Part 8.

56 + Una mirada al SuperBlock Recuerde que los primeros 1024B está reservados al BootCode, por lo tanto el SB debe comenzar en el bit 1024 (0x400). 2- Los bytes 0-3 informan el número de inodos 0000EB00=60160 inodos 3- Los bytes del 4-7 informan el número de bloques= bloques 4- Los bytes (0x38) consenen la firma 0xef53

57 + Tabla descriptora de grupos 57 n Tiene una entrada por cada grupo de bloques existente en el F. S n Comienza en el segundo bloque byte Descripción 0-3 Dirección de inicio del bloque del bitmap del bloque 4-7 Dirección de inicio del bloque del bitmap de inodos 8-11 Dirección de inicio del bloque de la tabla de inodos Número de bloques disponibles en el grupo Número de inodos disponibles en el grupo Número de directorios en el grupo No usados

58 + Cuando se crea un archivo 58 n El SO debe utilizar un inodo para el nuevo archivo. n Trata de hacerlo en el mismo grupo de bloques del directorio que contiene el archivo n Si no es posible se busca un nuevo grupo para localizar el inodo.

59 + Cuando se crea un directorio 59 n Se trata de localizar en un grupo que no haya sido utilizado mucho ( equilibrando el uso del disco)( mucho es cantidad de inodos ocupados no veces!) n Para encontrarlo el S.O puede obtener del superblock el número de inodos y bloques libres. n Con este valor se comienza a buscar por los grupos de bloques hasta encontrar a uno que tenga un valor por debajo del valor promedio de utilización.

60 + Los inodos y la creación 60 n Cuando un inodo es localizado toda su información anterior es borrada. n Un atributo llamado link count es puesto a 1 ( en caso de archivos) y 2 para directorios n Cuando se borra un archivo el contador es decrementado, si llega a 0 el inodo es considerado libre. n Si un archivo es borrado y alguna aplicación lo tiene todavía abierto pasa a ser considerado un orphan file y es inscrito en una lista en el superblock. n Cuando la aplicación cierra el archivo o cuando el sistema se reinicia el inodo es liberado.

61 + 61 Pero recuerde Hay muchos otros sitios donde buscar Y sobre todo: LAS HERRAMIENTAS SON IMPORTANTES PERO NO SUSTITUYEN A LOS RESULTADOS OBTENIDOS POR UN INVESTIGADOR: -ENTRENADO -PACIENTE -DISCIPLINADO -CREATIVO Reinaldo Mayol Arnao

62 + Otros sitios donde buscar en *nix? /var/log/messages /var/log/secure /var/log/wmtp /var/run/utmp /var/log/btmp contiene los mensajes generales del sistema guarda los sistemas de autenticación y seguridad guarda un historial de inicio y cierres de sesión pasadas guarda una lista dinámica de quien ha iniciado la sesión guarda cualquier inicio de sesión fallido o erróneo (sólo para Linux)

63 + Sistema de Archivos # fdisk l /dev/hda Disk /dev/hda: 64 heads, 63 sectors, 789 cylinders Units = cylinders of 4032* 512 bytes Device Boot Start End Blocks Id System /dev/hda Linux Tipo Disco de IDE A SA Partición:1

64 + Permisología UNIX R: Lectura W: Escritura X: Ejecución Permiso Negado Permiso Otorgado Resto Grupo Propietario

65 + Archivos Ocultos n En UNIX los archivos ocultos se distinguen por comenzar por un. # ls a.home.stach.gnome$

66 + Casos típicos de intrusión ( ejemplos) Usuarios del Sistema con Shell Válido Más de un superusuario Usuarios con HOME incorrecto Apache :23wedjg jf:500:500:usuario General:/ home/user:/bin/csh Un usuario demonio no debe tener shell válido ( /bin/shell) User:23wedjg jf:0:0:usuario General:/home/user:/bin/csh El UID 0 está reservado SOLO para el root User:23wedjg jf:500:500:usuario General:/var/ www:/bin/csh Por qué un usuario general tiene como HOME el subdirectorio de Apache?

67 + SUID y SGID _rwsr_xr_x 1 root root Apr 4 16:00 /usr/bin/at SUID _rwxr_sr_x 1 root root Apr 7 11:12 /sbin/netport SGID

68 + Syslog

69 + Servicios Disponibles n Revisar todo el árbol /etc/ rc* n Ejecutar (si es posible) alguna herramienta de búsqueda de puertos abiertos. n Tener en cuenta que muchos servicios pueden ser manejados por Superdemonios (inetd)

70 + Ejemplo típico de Intrusión Servicios Arrancados fuera de orden Scripts de Arrancada Adulterados Bibliotecas o Binarios Alterados

71 + Cuentas de Usuarios n Revisar /etc/passwd n Si existe /etc/shadow

72 + Trabajos temporizados n Revisar los archivos relacionados con el cron del sistema

73 73 + Y en Windows?? Algunos sitios donde buscar información adicional en Windows

74 + Otras fuentes de información n Los archivos de acceso directo n Index.dat n Thumbs.db n Entradas del registro

75 + Index.dat

76 + Index.dat

77 + Análisis de Temporales

78 + Análisis de Atajos

79 El registro n Los registros se encuentran en varios archivos ocultos en: %systemroot%\system32\config y NTUSER.DAT. n Un auditor forense debe hacer copias de los archivos del registro y visualizarlos en otro editor.

80 + Cuál es la estructura del registro?

81 + Logs Los archivos Log de una máquina, son una fuente de información importantísima en un análisis forense. SysEvent.Evt. Registra los sucesos relativos al sistema SecEvent.Evt. Registra los sucesos relativos a la seguridad AppEvent.Evt. Registra los sucesos relativos a aplicaciones

82 + Log con Visor Externo

83 + Más donde buscar: Archivos Recientes

84 + Más donde buscar: SystemInfo C:\>systeminfo Nombre de host: MEFISTO Nombre del sistema operativo: Microsoft Windows XP Professional Versión del sistema operativo: Service Pack 2 Compilación Fabricante del sistema operativo: Microsoft Corporation Configuración del sistema operativo: Estación de trabajo independiente Tipo de compilación del sistema operativo: Uniprocessor Free Propiedad de: Reinaldo Mayol Arnao Organización registrada: ULA Id. del producto: Fecha de instalación original: 20/11/2007, 10:27:26 p.m. Tiempo de actividad del sistema: 0 días, 12 horas, 28 minutos, 33 segu ndos Fabricante del sistema: CLEVO Co. Modelo el sistema: M550SE/M660SE Tipo de sistema: X86-based PC

85 + Más donde buscar: SystemInfo Cont Procesador(es): 1 Procesadores instalados. [01]: x86 Family 6 Model 14 Stepping 12 GenuineIntel ~1861 Mhz Versión del BIOS: MSTEST Directorio de Windows: C:\WINDOWS Directorio de sistema: C:\WINDOWS\system32 Dispositivo de inicio: \Device\HarddiskVolume1 Configuración regional del sistema: 0c0a Idioma: A Zona horaria: N/D Cantidad total de memoria física: 894 MB Memoria física disponible: 168 MB Memoria virtual: tamaño máximo: MB Memoria virtual: disponible: MB Memoria virtual: en uso: 44 MB Ubicación(es) de archivo de paginación: C:\pagefile.sys Dominio: INICIOMS Servidor de inicio de sesión: \\MEFISTO Revisión(es): 170 revisión(es) instaladas.

86 + Estado de los servicios C:\>sc query >>sc SERVICE_NAME: ALG DISPLAY_NAME: Servicio de puerta de enlace de capa de aplicaci¾n TYPE : 10 WIN32_OWN_PROCESS STATE : 4 RUNNING (STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0 SERVICE_NAME: AudioSrv DISPLAY_NAME: Audio de Windows TYPE : 20 WIN32_SHARE_PROCESS STATE : 4 RUNNING (STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0

87 + Conexiones Establecidas C:\>netstat Conexiones activas Proto Dirección local Dirección remota Estado TCP mefisto:2852 TCP mefisto:2855 TCP mefisto:2856 TCP mefisto:2876 TCP mefisto:2879 TCP mefisto:2890 bd07f3d2.virtua.com.br:https ESTABLISHED wr-in-f189.google.com:http ESTABLISHED by1msg phx.gbl:1863 ESTABLISHED eo-in-f147.google.com:http CLOSE_WAIT by1msg phx.gbl:1863 ESTABLISHED wx-in-f83.google.com:http CLOSE_WAIT

88 + En muchos otros sitios. n Imágenes ( esteganografía ) Vaya al manual de prácscas de criptograha y encontrará una prácsca

89 + 89 Y mucho mas Prof. Reinaldo Mayol Arnao Reinaldo Mayol Arnao