Análisis Forense contra Delitos Cibernéticos

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Análisis Forense contra Delitos Cibernéticos"

Esperanza Marín Piñeiro
hace 8 años
Vistas:

1 Análisis Forense contra Delitos Cibernéticos WildPackets, Inc.

2 Los ciberdelincuentes están ganando? El 43% de las compañías sufrieron sustracciones de datos en 2014 y creciendo 35% Registros de Empleados 31% Registros de Clientes 29% Registros internos 5% Otros

3 Dificultad para la detección

4 Problemática actual Los sistemas de seguridad no son suficientes Muchos ataques no son detectados en el acto Se tardan meses en ser detectados La focalización es el mayor desafío

5 Puntos clave del análisis forense Para investigar a fondo temas de seguridad, se necesitan los paquetes reales El acceso es a través de las redes Los intrusos aprovechan vulnerabilidades de la red que son difíciles de rastrear Logs y flujos de datos no son suficientes Almacenar datos de paquetes durante meses no es práctico Se pueden requerir petabytes de almacenamiento El post-análisis de cientos de billones de paquetes es problemático Capacidad par inspeccionar el tráfico tras sufrir un ataque de seguridad. Solución: herramientas forenses de alto nivel. Permiten mantener y acceder al intervalo del ataque bastante después de sufrirlo.

práctico Se pueden requerir petabytes de almacenamiento El post-análisis de cientos de billones de paquetes es problemático Capacidad par inspeccionar el

6 Situación actual TRÁFICO DE RED IDS/IPS/SIEM Eventos Un IDS/IPS genera eventos continuamente El uso típico es lanzar una investigación inmediata Cada evento incluye una cantidad de información muy limitada IDS Consola Demasiados eventos para investigar de forma individual Los sistemas IDS/IPS se intentan ajustar a las capacidades del equipo de seguridad Las brechas en seguridad se producen en

muy limitada IDS Consola Demasiados eventos para investigar de forma individual Los sistemas

Intelligence Filtering L2-L7 Decryption SSL Dedup IDS/IPS/ SIEM Balancingn Time Stamping

7 Arquitectura de red Network Network Visibility Network & App Performance Campus Security Intelligence Network Taps Customer Experience Network Packet Brokers App and Threat Intelligence Filtering L2-L7 Decryption SSL Dedup IDS/IPS/ SIEM Balancingn Time Stamping Stripping Masking Bypass Forensic Analysis Cloud Virtual Tap Flex Tap ibypass Branch Core Data Center

8 Cómo optimizar el Análisis Forense TRAFICO DE RED IDS/IPS/SIEM IDS/IPS Eventos COPIA TRAFICO DE RED IDS Consola Integración con terceros HP ArcSight, Cisco, Snort, Suricata Savvius Vigil utiliza estos eventos para determinar qué paquetes almacenar

Integración con terceros HP ArcSight, Cisco, Snort, Suricata

Cómo optimizar el Análisis Forense 5 minutes ago Now IP #1 IP #2 IP #3 IP #4 IP #5 IP #6 Savvius Vigil baferiza todo el tráfico de red (se representan 6 direcciones IP) Paso 1: Un IDS lanza un evento

9 Cómo optimizar el Análisis Forense 5 minutes ago Now IP #1 IP #2 IP #3 IP #4 IP #5 IP #6 Savvius Vigil baferiza todo el tráfico de red (se representan 6 direcciones IP) Paso 1: Un IDS lanza un evento relacionado con dos direcciones IP Paso 2: Se almacenan todos los paquetes intercambiados entre ambas direcciones, comenzando 5 minutos antes del evento hasta 5 minutos después. Paso 3: También se almacenan los paquetes desde o hacia estas direcciones ( Conversaciones asociadas ) Paso 4: Aquellos paquetes no relacionados con el evento lanzado son ignorados.

intercambiados entre ambas direcciones, comenzando 5 minutos antes del evento hasta 5 minutos después.

10 Cómo optimizar el Análisis Forense +/- 5 minutos Eventos IPS +/- 2 minutos Días Note: 64TBytes, Approximate, assuming 125 packets per second per conversation, 750 bytes per packet, multiple of 8.5 for Associated Conversations.

assuming 125 packets per second per conversation, 750

11 Análisis forense de un evento Selección por: Evento(s) Dir. IPs Filtrado por: Fuente Severidad Exportación: Por tiempo Datos Asociadas

12 Análisis forense de un evento Compañía: Retail Evento: Fraude Tarjetas de Crédito Origen: Tienda Intervalo temporal: Hace 30 días Notificado: Por entidad bancaria. LOCALIZAR EVENTOS E IPs EN EL INTERVALO TEMPORAL:

Intervalo temporal: Hace 30 días Notificado: Por

13 Análisis forense de un evento EVENTOS CON EL SERVIDOR DE TARJETAS DE CREDITO ( ) DETECTA COMUNICACION EXTERNA FTP 7/6/ :12:34

14 Análisis forense de un evento OBSERVAMOS UNA COMUNICACIÓN TCP/FTP CON ( ) VEMOS QUE SE TRATA DE INFORMACIÓN SOBRE TARJETAS DE CREDITO INVESTIGAMOS LA IP QUE REALIZÓ EL FTP Y VER QUÉ OTRAS ACTIVIDADES TIENE

137) VEMOS QUE SE TRATA DE INFORMACIÓN SOBRE TARJETAS

Análisis forense de un evento A LAS 12: 35.45.

15 Análisis forense de un evento A LAS 12: SE COMPLETAN LAS TRANSACIONES QUE GENERAN EL EVENTO MIENTRAS ArcSight LO REPORTÓ A LAS 12:36:04

16 Resumen Almacenamiento de paquetes automático e inteligente. Gestiona el acceso a los paquetes relevantes para investigaciones a medio y a largo plazo. Visualización del tráfico de interés antes y después del evento.

Documentos relacionados

Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI)

Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI) Procedimientos de Escaneo de Seguridad Versión 1.1 Publicada: Septiembre del 2006 Contenido Propósito...1 Introducción...1 Alcance