FISL 11 - Forum Internacional de Software Livre

Análise Forense de Rede utilizando Software Livre Rafael Soares Ferreira Diretor de Resposta a Incidentes e Auditorias Clavis Segurança da Informação 1 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Introdução Análise Forense de Rede • Captura e Análise de pacotes • Reprodução da sessão capturada • Reconstrução de arquivos que foram transferidos durante a sessão capturada (imagens, dados) 2 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Introdução Análise Forense de Rede • Endereço IP inválido ou suspeito (endereços reservados ou conhecidos de outros ataques) • Portas suspeitas • Pacotes contendo comandos, saídas de comandos e códigos de NOP’s; • Flood de pacotes para um determinado serviço ou máquina 3 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Introdução Análise Forense de Rede Requisições HTTP suspeitas: • Mesma URL em várias requisições • URL’s contendo referências a comandos 4 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Tcpdump - http://www.tcpdump.org • Ferramenta tradicional de captura de tráfego • Aceita filtros por expressões • Biblioteca padrão para captura de tráfego: libpcap 5 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Ngrep - http://ngrep.sourceforge.net/ ● Busca expressões regulares em payloads ● Reconhece IPv4/6, TCP, UDP, ICMPv4/6, IGMP e formato Raw ● Funciona em redes Ethernet, PPP, SLIP, FDDI, Token Ring 6 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Ntop - http://www.ntop.org ● Exibe dados sobre a utilização da rede ● Gera estatísticas de uso utilizando diversos critérios ● Identifica sistemas operacionais passivamente ● Exibe tráfego de comunicação interna 7 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Ntop - http://www.ntop.org 8 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Tcpxtract - http://tcpxtract.sourceforge.net ● Extrai arquivos contidos no tráfego de rede capturado ● Identificação através de headers e footers (“file carving”) ● Suporte aos principais tipos de arquivo 9 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Wireshark / tshark - http://www.wireshark.org ● Captura em tempo real ● Suporta vários formatos e fontes de captura ● Multi-platforma ● Análise de cabeçalhos em árvore (encapsulamento) 10 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Wireshark / tshark - http://www.wireshark.org ● Aplicação de regras e filtros ● Funcionalidades específicas para análise de tráfego de VoIP ● Reconstrução de Sessão 11 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Wireshark / tshark - http://www.wireshark.org 12 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Xplico - http://www.xplico.org ● Network Forensic Analysis Tool (NFAT) ● Análise de informações que trafegaram pela rede ● Extrai informações como: ✔ email (POP, IMAP, SMTP) ✔ Conteúdos HTTP ✔ Chamadas VoIP (SIP) ✔ FTP, TFTP, … 15 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Xplico - http://www.xplico.org ● Composto por 4 macro-componentes: * Decoder Manager * IP decoder * Um conjunto de manipuladores de dados * Sistema de visualização para os dados extraídos ● Desenvolvido utilizando as linguagens C, Python, PHP e JavaScript 16 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Xplico - http://www.xplico.org ● Distribuído sob a licença GPL versão 2 ● Algumas partes apresentam licenças específicas compatíveis com a GPL (descritas em seus respectivos arquivos fonte) 17 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Xplico - http://www.xplico.org ● A interface (Xplico Interface - XI) é distribuída sob 3 licenças distintas: * Mozilla Public License (>= 1.1) * GNU General Public License (>= 2.0) * GNU Lesser General Public License, (>= 2.1) 18 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Ferramentas Livres Xplico - http://www.xplico.org 19 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

Fim... Muito Obrigado! Rafael Soares Ferreira rafael@clavis.com.br Diretor de Resposta a Incidentes e Auditorias Clavis Segurança da Informação 29 Clavis Segurança da Informação - www.clavis.com.br - Creative Commons -BY-NC-SA 2.5

FISL 11 - Forum Internacional de Software Livre

by Clavis Segurança da Informação on Jul 26, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

Statistics

FISL 11 - Forum Internacional de Software Livre — Presentation Transcript