Cómputo Forense para un Equipo de Respuestas a Incidentes (CERT)
Cómputo Forense para un Equipo de Respuestas a Incidentes (CERT)
Cómputo Forense para un Equipo de Respuestas a Incidentes (CERT)
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
<strong>Cómputo</strong> <strong>Forense</strong><br />
<strong>para</strong> <strong>un</strong> <strong>Equipo</strong> <strong>de</strong> <strong>Respuestas</strong><br />
a Inci<strong>de</strong>ntes (<strong>CERT</strong>)<br />
Gaspar Mo<strong>de</strong>lo Howard<br />
Autoridad <strong>de</strong>l Canal <strong>de</strong> Panamá
Objetivos<br />
• Definir roles <strong>de</strong>l computo forense en<br />
respuesta a inci<strong>de</strong>ntes<br />
• Mencionar elementos necesarios en <strong>un</strong><br />
<strong>CERT</strong> <strong>para</strong> realizar misiones forenses<br />
• Compartir experiencias<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Agenda<br />
•<strong>CERT</strong><br />
• Proceso forense<br />
• Fuerza Cohercitiva<br />
• Mecanismos proactivos<br />
– Honeypots<br />
–IDS<br />
• Conclusiones<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Premisas (Temas Recurrentes)<br />
• Nadie está inm<strong>un</strong>e a los ataques<br />
• Uso <strong>de</strong> herramientas gratuitas<br />
• P<strong>un</strong>to <strong>de</strong> vista <strong>de</strong> organización no<br />
relacionada a fuerza cohercitiva<br />
• Cualquier cosa que hagas (incluso nada)<br />
cambiará el sistema<br />
• Piense como intruso y se <strong>para</strong>noico<br />
• Necesidad <strong>de</strong> conocer (need to know)<br />
NOTA: Las opiniones expresadas son mi responsabilidad<br />
y no <strong>de</strong> la Autoridad <strong>de</strong>l Canal <strong>de</strong> Panamá.<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Visión General<br />
<strong>CERT</strong><br />
Proceso<br />
<strong>Forense</strong><br />
Fuerza<br />
Cohercitiva<br />
Honeypot<br />
IDS<br />
Técnica<br />
Anti-forense<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Debemos pensar en CF?<br />
Alto<br />
Conocimiento<br />
Del Atacante<br />
Sofisticación<br />
Del Ataque<br />
Bajo<br />
1980 1985 1990 1995 2000<br />
• Mayor <strong>de</strong>pen<strong>de</strong>ncia informática<br />
• Aumento <strong>de</strong> ancho <strong>de</strong> banda<br />
• Gran<strong>de</strong>s pérdidas por <strong>de</strong>litos informáticos<br />
($455M en 2002 / CSI-FBI)<br />
Atacantes<br />
Herramientas<br />
Tomado <strong>de</strong> “The <strong>CERT</strong> Gui<strong>de</strong> to System and Network Security Practices”, J. Allen. 2001<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Agenda<br />
• <strong>CERT</strong><br />
• Proceso forense<br />
• Fuerza Cohercitiva<br />
• Mecanismos proactivos<br />
– Honeypots<br />
–IDS<br />
• Conclusiones<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Qué es <strong>un</strong> <strong>CERT</strong>?<br />
• <strong>Equipo</strong> que coordina y apoya la respuesta a<br />
inci<strong>de</strong>ntes <strong>de</strong> seguridad que involucran sitios o<br />
recursos <strong>de</strong>ntro <strong>de</strong> <strong>un</strong> dominio o distrito<br />
(constituency)<br />
• Objetivos:<br />
– Provee <strong>un</strong> medio seguro <strong>para</strong> recibir y transmitir<br />
reportes <strong>de</strong> inci<strong>de</strong>ntes<br />
– Coordina asistencia en el manejo <strong>de</strong> inci<strong>de</strong>ntes<br />
– Disemina información relacionada a inci<strong>de</strong>ntes<br />
• Pre<strong>para</strong>r Detectar Contener Erradicar <br />
Recuperar Lección aprendida<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
<strong>CERT</strong><br />
• Servicios<br />
– Reactivos y proactivos<br />
– Niveles <strong>de</strong> respuesta<br />
• Políticas y procedimientos<br />
– Proveen consistencia, confi<strong>de</strong>ncialidad<br />
y estructura<br />
• <strong>Equipo</strong> humano<br />
– Conocimiento técnico<br />
– Habilidad <strong>de</strong> com<strong>un</strong>icación (servicio al cliente)<br />
– Deseo <strong>de</strong> resolver problemas<br />
• Herramientas<br />
– Capacidad <strong>para</strong> distintos sistemas<br />
– Mecanismos <strong>de</strong> respaldo<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Clasificación <strong>de</strong> Heridos (Triage)<br />
1-3<br />
Solicitud <strong>de</strong><br />
Información<br />
Manejo <strong>de</strong><br />
Inci<strong>de</strong>ntes<br />
Manejo <strong>de</strong><br />
Vulnerabilida<strong>de</strong>s<br />
1-5<br />
5-8<br />
8-10<br />
• Necesario mantener la pista: uso <strong>de</strong> formularios, buzón<br />
central, números <strong>de</strong> referencias y firmas en correo<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Pólitica <strong>para</strong> CF<br />
• Elimina posibles problemas durante la investigación<br />
• Asignar vocero ante prensa<br />
• Desconectar o no <strong>de</strong>sconectar?<br />
• Apagar o no apagar?<br />
• Definir frecuencia <strong>de</strong> reportes Amenaza<br />
y audiencia<br />
Externa<br />
• Clasificación <strong>de</strong> sistemas<br />
– Misión crítica, <strong>de</strong>partamentales<br />
• Clasificación <strong>de</strong> inci<strong>de</strong>ntes<br />
– Internos, externos<br />
Proceso<br />
Legal<br />
Amenaza<br />
Inci<strong>de</strong>nte<br />
Interno<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Agenda<br />
•<strong>CERT</strong><br />
• Proceso forense<br />
• Fuerza Cohercitiva<br />
• Mecanismos proactivos<br />
– Honeypots<br />
–IDS<br />
• Conclusiones<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Proceso <strong>Forense</strong><br />
• Cada acción <strong>de</strong>be estar claramente<br />
documentada<br />
– A pesar que parezca meramente<br />
administrativo<br />
• Importancia <strong>de</strong> mantener la integridad <strong>de</strong>l<br />
medio involucrado<br />
• CF brinda <strong>un</strong>a oport<strong>un</strong>idad <strong>de</strong> apren<strong>de</strong>r postmortem<br />
que ocurrió en <strong>un</strong> sistema<br />
informático<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Verte<strong>de</strong>ro <strong>de</strong>l Nuevo Siglo<br />
• Reto: cómo será <strong>un</strong>a computadora<br />
y cómo analizarla?<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Proceso <strong>Forense</strong><br />
• Manejo <strong>de</strong> evi<strong>de</strong>ncia<br />
• Respuesta a inci<strong>de</strong>nte<br />
• Duplicado forense<br />
• Análisis forense<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Manejo <strong>de</strong> Evi<strong>de</strong>ncia<br />
• Consi<strong>de</strong>rar inci<strong>de</strong>ntes como si fueran a<br />
ser <strong>de</strong>batidos (en <strong>un</strong>a corte <strong>de</strong> justicia)<br />
• I<strong>de</strong>ntificación <strong>de</strong> inci<strong>de</strong>nte<br />
– Etiquetas <strong>para</strong> caso<br />
• Ca<strong>de</strong>na <strong>de</strong> custodia<br />
– Movimiento <strong>de</strong> evi<strong>de</strong>ncia<br />
• “Fotografía” <strong>de</strong>l lugar<br />
– Estado <strong>de</strong>l sistema<br />
– Descripción <strong>de</strong>l entorno<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Respuesta a Inci<strong>de</strong>nte<br />
• Dos opciones: En vivo o post-mortem<br />
• Riesgo <strong>de</strong> análisis en vivo<br />
– datos volátiles<br />
• Unidad <strong>de</strong> arranque<br />
con herramientas:<br />
– NT/2K Resource kit<br />
– Cygwin<br />
– Fo<strong>un</strong>dstone<br />
– Sysinternals<br />
• Herramienta IRCR:<br />
Inci<strong>de</strong>nt Response<br />
Collection Report<br />
PASO COMANDO<br />
Abrir <strong>un</strong>a consola cmd<br />
Guardar hora y fecha date, time<br />
Quien está conectado loggedon<br />
Grabar conexiones a<br />
red netstat<br />
Casar procesos y<br />
respectivos puertos fport<br />
Listar procesos pslist<br />
Listar situación<br />
windows nbtstat<br />
Grabar pasos tomados doskey<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Duplicado <strong>Forense</strong><br />
• Análisis post-mortem: mayor posibilidad<br />
<strong>de</strong> éxito<br />
• Justificación:<br />
– Posible acción judicial<br />
– Pérdida económica<br />
– Necesidad <strong>de</strong> recuperar datos borrados<br />
imagen<br />
respaldo<br />
análisis<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Duplicado <strong>Forense</strong><br />
• Copia HDD <strong>de</strong>s<strong>de</strong> tu máquina<br />
– Safeback, Encase, dd<br />
• Envía imagen a través <strong>de</strong> la red<br />
– Uso <strong>de</strong> netcat o cryptcat<br />
• Sello <strong>de</strong> integridad (MD5) en HDD original<br />
y copia<br />
arranque<br />
(boot)<br />
evi<strong>de</strong>ncia<br />
imagen<br />
forense<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Herramienta dd.exe<br />
• Capacidad <strong>de</strong> copiar cada porción<br />
en HDD <strong>de</strong> evi<strong>de</strong>ncia<br />
• Disponible en http://www.inci<strong>de</strong>nt-response.org<br />
• Usa bloqueador <strong>de</strong> escritura <strong>para</strong> HDD<br />
– PDBlock (http://digitalintel.com)<br />
• F<strong>un</strong>ciona con herramienta md5sum.exe<br />
• Ejemplos:<br />
– dd if=\\.\PhysicalDrive1 of=D:\HDD-evi<strong>de</strong>ncia.img<br />
--md5sum --verifymd5<br />
--md5out=D:\HDD-evi<strong>de</strong>ncia.img.md5<br />
– dd if=\\.\PhysicalMemory of=C:\memory.img<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Análisis <strong>Forense</strong><br />
• Establecer línea <strong>de</strong> tiempo<br />
• Análizar archivos<br />
• Análizar espacio no<br />
asignado<br />
• Análizar memoria temporal<br />
(swap)<br />
• Herramientas:<br />
– The Coroner’s Toolkit (TCT)<br />
– TASK (The @stake Sleuth Kit)<br />
– Autopsy<br />
• 0.5hrs. <strong>de</strong> ataque / 48hrs <strong>de</strong><br />
investigación (Honeynet<br />
Project)<br />
Navegador<br />
Remoto<br />
SSL / ACL<br />
TASK /<br />
Autopsy<br />
<strong>Forense</strong><br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Sistema <strong>de</strong> Archivos<br />
• Depen<strong>de</strong> <strong>de</strong>l<br />
sistema <strong>de</strong> archivos<br />
(FAT16, FAT32,<br />
NTFS, EXT2FS2)<br />
ARCHIVO NUEVO<br />
SLACK<br />
CLUSTER<br />
TRACK<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
<strong>Forense</strong> a “Word”<br />
• W97: PID_GUID contiene dirección MAC<br />
• W2K: Usuarios que han guardado el documento<br />
administrator D:\GMvita_espa.ol-corto.doc<br />
admistrator.5 C:\TEMP\AutoRecovery save of GMvita_espa.ol-corto.asd<br />
GMHoward,K:\personal\resumes\GMvita_espa.ol-corto.do.c<br />
Gaspar Mo<strong>de</strong>lo Howard E:\personal\resumes\GMvita_espa.ol-corto-011116.doc<br />
Gaspar Mo<strong>de</strong>lo Howard C:\Documents and Settings\gmhoward\Application<br />
Data\Microsoft\Word\AutoRecovery save of GMvita_espa.ol-corto-011116.asd<br />
Gaspar Mo<strong>de</strong>lo Howard E:\personal\resumes\GMvita_espa.ol-corto-020415.doc<br />
Gaspar Mo<strong>de</strong>lo Howard - \\Centauri\D\GMvita_espa.ol-corto-020415.doc<br />
Gaspar Mo<strong>de</strong>lo Howard - \\Centauri\D\GMvita_espa.ol-corto-020415.doc<br />
Gaspar Mo<strong>de</strong>lo Howard E:\personal\resumes\GMvita_espa.ol-corto-020620.doc<br />
Gaspar Mo<strong>de</strong>lo Howard - \\Centauri\D\GMvita_espa.ol-corto-020620.doc<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Técnica Anti-<strong>Forense</strong><br />
• Objetivo: mitigar calidad y cantidad<br />
<strong>de</strong> información a investigar<br />
• Ocultar datos<br />
– Crear bloques <strong>de</strong>fectuosos (bad blocks)<br />
• Destruir datos<br />
– The Defiler’s Toolkit<br />
• Criptografía (cifrar)<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Técnica Anti-forense<br />
• Cómo limpiar <strong>un</strong> HDD?<br />
• Necesario <strong>para</strong> utilizar nuevamente <strong>un</strong> HDD<br />
• Ejemplos:<br />
– Wipe, overwrite,<br />
BCWipe, PGP<br />
• Preferible que cumpla<br />
con alg<strong>un</strong>a directriz:<br />
– DOD 5220.22-M<br />
– NAVSO P5239-10<br />
– AFI31-401<br />
– AR380-19<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Agenda<br />
•<strong>CERT</strong><br />
• Proceso forense<br />
• Fuerza Cohercitiva<br />
• Mecanismos proactivos<br />
– Honeypots<br />
– IDS<br />
• Conclusiones<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Fuerzas Cohercitivas<br />
• <strong>CERT</strong> provee canal <strong>de</strong> com<strong>un</strong>icación<br />
• Ubicación <strong>de</strong> atacante probablemente<br />
proviene fuera <strong>de</strong>l país<br />
• Papel <strong>de</strong>l FBI (50% <strong>de</strong> ataques<br />
provienen <strong>de</strong> EEUU)<br />
– http://www.fbi.gov/contact/legat/legat.htm<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Qué pasa en América Latina?<br />
• 65% poseen ley <strong>de</strong> e-com<br />
• 40% poseen ley contra crimen<br />
informático<br />
• Caso Panamá<br />
– Ley <strong>de</strong> Comercio Electrónico<br />
– No hay ley <strong>de</strong> Crimen Computacional<br />
–Se han presentado casos basados<br />
en propiedad intelectual<br />
– Ley <strong>de</strong> transparencia<br />
– Depen<strong>de</strong>ncia tecnológica en aumento<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Mecanismos Proactivos<br />
• Publicaciones técnicas<br />
• Evaluaciones <strong>de</strong> Seguridad<br />
• Desarrollo <strong>de</strong> herramientas<br />
• Vigilar recursos<br />
–IDS<br />
– Keylogger<br />
• Entrenamiento<br />
– Honeypots<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Detección <strong>de</strong> Intrusos (IDS)<br />
• Pue<strong>de</strong> prevenir inci<strong>de</strong>ntes<br />
•Evita largas investigaciones forenses<br />
• Caso real:<br />
– Empresa con 45,000 computadoras<br />
– IDS evitó caso <strong>de</strong> espionaje industrial<br />
– Empleado utilizando software instalado<br />
por competidor<br />
– Ayuda con gusanos y virus<br />
– Localiza filtraciones antes que se repliquen<br />
– Intentos <strong>de</strong> hacking a sitio web (soborno)<br />
– Ataque no fue exitoso<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Keylogger<br />
• Capacidad <strong>de</strong> adquirir secreto o llave<br />
criptográfica<br />
• Hardware vs software<br />
– KeyGhost<br />
– BO2K, SubSeven<br />
• United States v. Scarfo,<br />
Criminal No. 00-404 (D.N.J.)<br />
http://www.keyghost.com<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Honeypots<br />
• “Recurso informático cuyo valor está en ser<br />
indagado, atacado o comprometido” Honeynet Project<br />
• Cualquier paquete que llegue es sospecho<br />
(no <strong>de</strong>bería recibir!)<br />
• Usos:<br />
– Entrenamiento <strong>de</strong> <strong>CERT</strong><br />
– Pre<strong>de</strong>cir ataques<br />
– Encontrar nuevos “exploits”<br />
– Detener a los malos<br />
• Ejemplos: Honeyd,<br />
Mantrap, Especter<br />
Auditoria<br />
Honeypot<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Conclusiones<br />
(Principios Operativos)<br />
• <strong>CERT</strong> provee estructura a equipo <strong>de</strong> análisis<br />
forense<br />
• Necesario crear fi<strong>de</strong>lidad y confianza<br />
• Establece expectativas continuamente<br />
• Sé proactivo<br />
– Una onza <strong>de</strong> prevención vale más que 100<br />
kilos <strong>de</strong> <strong>de</strong>tección (seguridad por capas)<br />
• Entrena <strong>para</strong> <strong>un</strong> largo camino<br />
• Reto más gran<strong>de</strong>: entorno cambiante, qué es<br />
<strong>un</strong>a computadora?<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Bibliografía<br />
• 2002 CSI/FBI Computer Crime and Security Survey<br />
– http://www.gocsi.com/pdfs/fbi/FBI2002.pdf<br />
• Forum of Inci<strong>de</strong>nt Response and Security Teams<br />
– http://www.first.org<br />
• Coordinación <strong>de</strong> Emergencias en Re<strong>de</strong>s<br />
Teleinformáticas<br />
– http://www.arcert.gov.ar<br />
• APSIRT (ATT Peru) / Conferencias <strong>de</strong> Seguridad<br />
– http://apsirt.attla.com.pe/e2002/<br />
• Mandia, K. Inci<strong>de</strong>nt Response: Investigating<br />
Computer Crime. Osborne/McGraw-Hill. 2001.<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Bibliografía<br />
• Searching and Seizing Computers and Obtaining<br />
Electronic Evi<strong>de</strong>nce in Criminal Investigations<br />
– http://www.usdoj.gov/criminal/cybercrime/searching.html<br />
• United States v. Scarfo, Criminal No. 00-404 (D.N.J.)<br />
– http://www.epic.org/crypto/scarfo.html<br />
• National Industrial Security Program Operating<br />
Manual (NISPOM)<br />
– http://www.dss.mil/isec/nispom.htm<br />
• TASK / Autopsy Forensic Analysis<br />
– http://www.atstake.com/research/tools/in<strong>de</strong>x.html<br />
• Defeating Forensic Analysis on Unix, Phrack No. 59<br />
– http://www.phrack.org/phrack/59/p59-0x06.txt<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Agra<strong>de</strong>cimiento<br />
• Asociación Costarricense <strong>de</strong> Auditores<br />
en Informática<br />
• Autoridad <strong>de</strong>l Canal <strong>de</strong> Panamá<br />
– Depto. <strong>de</strong> Informática y Tecnología<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard
Muchas gracias!<br />
• URL:<br />
http://www.fisc.utp.ac.pa/gmhoward<br />
• Correo electrónico:<br />
gmhoward@pancanal.com<br />
Derechos Reservados 2002. Gaspar Mo<strong>de</strong>lo Howard