8dot8_2013_pres_lm_1.pdf

Todos los derechos reservados

SbD

Buenas prcticas forenses:Casos reales en IOS y Linux

Lorenzo Martnez R. (@lawwait)

Buenas prcticas forenses: Casos reales en IOS y Linux


[root@localhost ~]# whoami 13 aos experiencia profesional en seguridad Integradores -> Fabricantes -> Empresario && formador CTO && Founder www.securizame.com Perito Informtico Forense ANCITE (www.ancite.es) CISSP, CISA Editor de www.SecurityByDefault.com Herramientas: Securewin, amispammer, scalparser Twitter: @lawwait, @securizame, @secbydefault Email: [email protected]



Conceptos Forenses



Conceptos Forenses

Preservar la evidencia - Integridad Cadena de custodia Etiquetar && Documentar Volatilidad: de mayor a menor RAM & Swap Dumps Read Only Imgenes AFF



Distribuciones Live Forenses



Distribuciones Live Forenses

Helix CAINE Kali Linux DEFT Matriux



Helix



CAINE/NBCAINE



DEFT



Matriux



Kali Linux



Santoku(Santoku



Lo que vemos en TV



Caso real: Sistema LINUX



Caso real: Sistema LINUX Indicadores Excesiva actividad Router Carga de mquina Ancho de banda ocupado

Anlisis inicial iptraf tcpdump netstat top



Caso real: Apache + mod_proxy- Configuracin Apache -



Caso real: Apache + mod_proxy- Anlisis de logs -

Lo nico esperable

Lo que haba



Errores cometidos



Sysadmin Mala configuracin Prisas Cortar/Pegar

Forense No aislar el sistema No (Adquisicin, hashing, preservar evidencias,

etiquetado, etc,) Utilizacin de herramientas de sistema Logs no firmados

Errores cometidos



Anlisis correcto Utilizar herramientas desde unidades Read-

Only Herramientas compiladas estticamente Analizadores de Rootkits/malware para Linux:

chkrootkit + rkhunter rpm -Va Procesos/conexiones de red ocultas -> Unhide



Caso real: Malware en iPhone



Caso real: Malware en iPhoneIntento de conexin SSH

Reinstalo SSH en el Iphone



Caso real: Malware en iPhone- Conclusiones -

Malware eliminado Punto de entrada detectado Contramedidas tomadas Errores aprendidos



Buenas prcticas ayuda forense Comprobacin de integridad AFICK AIDE Tripwire

Logs detallados Remote syslog NTP (Network Time Protocol) Despliegue topologa de IDS + IPS Constante monitorizacin y notificacin



Anti-forensics



Anti-forensics Cifrado: USBs / Hard Disks Sandboxing: Virtualizacin Tarjeta Wifi externa MAC aleatoria Firefox + User Agent Switcher Free Wireless: Wardriving/Starbucks VPN a pas sin leyes TOR / Proxies annimos



Bibliografa recomendada

http://bit.ly/1eN3fzo



The Big FAIL



Email me: [email protected]: @lawwait @securizame @secbydefault

8dot8_2013_pres_lm_1.pdf

Documents