Dott. Stefano Fratepietro Dott. Massimiliano Dal Cero - DEFT Linux
Dott. Stefano Fratepietro Dott. Massimiliano Dal Cero - DEFT Linux
Dott. Stefano Fratepietro Dott. Massimiliano Dal Cero - DEFT Linux
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
venerdì 6 aprile 2012<br />
DART<br />
Next generation IR tool<br />
deftcon 2012<br />
Maxi aula 1 - Palazzo di Giustizia di Torino<br />
<strong>Dott</strong>. <strong>Stefano</strong> <strong>Fratepietro</strong><br />
<strong>Dott</strong>. <strong>Massimiliano</strong> <strong>Dal</strong> <strong>Cero</strong><br />
Creative Commons Attribuzione-Non opere derivate 2.5
venerdì 6 aprile 2012<br />
Incident Response<br />
Un incidente informatico è un evento<br />
identificato su un determinato sistema<br />
informatico che possa ledere alla stabilità e<br />
alla sicurezza del sistema stesso.<br />
• L’evento può essere accertato o presunto<br />
• Segnalato da un utente o dai sistemi di<br />
monitoraggio
venerdì 6 aprile 2012<br />
First responder<br />
First responder<br />
• E’ il soggetto che arriva per primo sulla<br />
scena del crimine e che accederà per<br />
primo al sistema oggetto di indagine<br />
• E’ responsabile dell’analisi e della<br />
preservazione dell’originalità del dato
venerdì 6 aprile 2012<br />
First responder<br />
• Identifica gli oggetti coinvolti<br />
• Protegge la scena del crimine da eventuali alterazioni<br />
dovute da attività invasive dei propri colleghi<br />
• Raccoglie tutte le informazioni, digitali e non, utili al<br />
caso<br />
• Crea una relazione di first response con le attività<br />
svolte<br />
• Appone, ove necessario, gli opportuni sigilli per<br />
evitare alterazioni future
First responder<br />
Joint special operation university<br />
https://jsou.socom.mil/Pages/Default.aspx<br />
https://jsou.socom.mil/Pages/2009JSOUPublications.aspx<br />
venerdì 6 aprile 2012
venerdì 6 aprile 2012<br />
Tante soluzioni ma<br />
sparse e poco note<br />
• Mancanza di uno strumento<br />
personalizzabile senza l’obbligo di<br />
ricompilare codice sorgente<br />
• Assenza di raccolte di applicativi ottimizzati<br />
per attività di Incident Response<br />
• Assenza di strumenti di controllo<br />
dell’integrità dei propri applicativi in tempo<br />
reale
venerdì 6 aprile 2012<br />
DART<br />
IR pronto all’uso<br />
• Controllo dell’integrità dell’applicativo<br />
prima dell’avvio<br />
• Alto livello di personalizzazione<br />
• Applicativi, liberamente re-distribuibili per<br />
licenza d’uso, per eseguire attività di IR e<br />
Live Forensics<br />
• Binari dei principali sistemi operativi<br />
Windows, <strong>Linux</strong> e OS X
venerdì 6 aprile 2012<br />
DART<br />
ObjectPascal (Delphi) Open Source<br />
Creazione di binari puri (no FW)<br />
Linguaggio multi piattaforma
Directory Tree<br />
venerdì 6 aprile 2012<br />
DART
XML Conf<br />
venerdì 6 aprile 2012<br />
DART
XML Conf<br />
venerdì 6 aprile 2012<br />
DART
XML Conf (empty)<br />
venerdì 6 aprile 2012<br />
DART
AUDIT LOG<br />
venerdì 6 aprile 2012<br />
DART
venerdì 6 aprile 2012<br />
•<br />
•<br />
•<br />
•<br />
•<br />
•<br />
•<br />
•<br />
•<br />
•<br />
DART - Potenzialità<br />
Acquisizione memorie di massa<br />
Dump memoria ram<br />
Calcolo di hash<br />
Analisi processi<br />
Analisi traffico di rete<br />
Analisi registro di Windows<br />
Antimalware e Antirootkit<br />
Time line degli eventi del sistema<br />
Analisi navigazione Internet e posta elettronica<br />
Password cracking<br />
E molto altro...
venerdì 6 aprile 2012<br />
Esempio Caso D’uso<br />
avvio smartSniff e indago su attività anomale di rete
venerdì 6 aprile 2012<br />
Esempio Caso D’uso<br />
indago sulle socket aperte e il relativi processi
venerdì 6 aprile 2012<br />
Esempio Caso D’uso<br />
analizzo il processo
venerdì 6 aprile 2012<br />
Esempio Caso D’uso<br />
analizzo le dll associate al processo
venerdì 6 aprile 2012<br />
Controllo degli hash<br />
dei file di interesse<br />
Calcoliamo l’hash del file sperando di trovare<br />
qualcuno che abbia la stessa release e verificare?<br />
Si se ho pochi sistemi... in alternativa:<br />
The National Software Reference Library (NSRL)<br />
http://www.nsrl.nist.gov<br />
19
Grazie per lʼattenzione.<br />
<strong>Dott</strong>. <strong>Stefano</strong> <strong>Fratepietro</strong><br />
stefano@deftlinux.net<br />
venerdì 6 aprile 2012<br />
steve.deftlinux.net<br />
Twitter: stevedeft<br />
Domande?<br />
<strong>Dott</strong>. <strong>Massimiliano</strong> <strong>Dal</strong> <strong>Cero</strong><br />
massimiliano@deftlinux.net<br />
Twitter: yattamax
Change language