SbD. Buenas prácticas forenses: Casos reales en IOS y Linux Lorenzo Martínez R. (@lawwait) Todos los derechos reservados

Transcripción

1 SbD Buenas prácticas forenses: Casos reales en IOS y Linux Lorenzo Martínez R. (@lawwait)

2 Buenas prácticas forenses: Casos reales en IOS y Linux [root@localhost ~]# whoami 13 años experiencia profesional en seguridad Integradores -> Fabricantes -> Empresario && formador CTO && Founder Perito Informático Forense ANCITE ( CISSP, CISA Editor de Herramientas: Securewin, amispammer, @secbydefault lorenzo@securizame.com

3 Buenas prácticas forenses: Casos reales en IOS y Linux

4 Conceptos Forenses

5 Conceptos Forenses Preservar la evidencia - Integridad Cadena de custodia Etiquetar && Documentar Volatilidad: de mayor a menor RAM & Swap Dumps Read Only Imágenes AFF

6 Distribuciones Live Forenses

7 Distribuciones Live Forenses Helix CAINE Kali Linux DEFT Matriux

8 Helix

9 CAINE/NBCAINE

10 DEFT

11 Matriux

12 Kali Linux

13 Santoku( Santoku

14 Lo que vemos en TV

15 Lo que vemos en TV

16 Caso real: Sistema LINUX

17 Caso real: Sistema LINUX Indicadores Excesiva actividad Router Carga de máquina Ancho de banda ocupado Análisis inicial iptraf tcpdump netstat top

18 Caso real: Apache + mod_proxy - Configuración Apache -

19 Caso real: Apache + mod_proxy Lo único esperable - Análisis de logs - Lo que había

20 Errores cometidos

21 Errores cometidos Sysadmin Mala configuración Prisas Cortar/Pegar Forense No aislar el sistema No (Adquisición, hashing, preservar evidencias, etiquetado, etc, ) Utilización de herramientas de sistema Logs no firmados

22 Análisis correcto Utilizar herramientas desde unidades Read- Only Herramientas compiladas estáticamente Analizadores de Rootkits/malware para Linux: chkrootkit + rkhunter rpm -Va Procesos/conexiones de red ocultas -> Unhide

23 Caso real: Malware en iphone

24 Caso real: Malware en iphone Intento de conexión SSH Reinstalo SSH en el Iphone

25 Caso real: Malware en iphone

26 Caso real: Malware en iphone

27

28 Caso real: Malware en iphone

29 Caso real: Malware en iphone

30 Caso real: Malware en iphone

31 Caso real: Malware en iphone

32 Caso real: Malware en iphone

33 Caso real: Malware en iphone

34 Caso real: Malware en iphone - Conclusiones - Malware eliminado Punto de entrada detectado Contramedidas tomadas Errores aprendidos

35 Buenas prácticas ayuda forense Comprobación de integridad AFICK AIDE Tripwire Logs detallados Remote syslog NTP (Network Time Protocol) Despliegue topología de IDS + IPS Constante monitorización y notificación

36 Anti-forensics

37 Anti-forensics Cifrado: USBs / Hard Disks Sandboxing: Virtualización Tarjeta Wifi externa MAC aleatoria Firefox + User Agent Switcher Free Wireless: Wardriving/Starbucks VPN a país sin leyes TOR / Proxies anónimos

38 Bibliografía recomendada

39 The Big FAIL

40 @secbydefault