Seminario computacion forense_piura_abril_2008

Seminario Computación Forense

[object Object],[object Object],[object Object],[object Object]

Investigación de la Escena del Crimen

Definición Técnica: Computación Forense ,[object Object],PLUS data recovery

Definición para las masas ,[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

[object Object],[object Object],[object Object],[object Object],Definiciones Básicas 21/05/11 Germinal Isern Universidad Nacional de Piura

Motivación ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Motivación (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Investigación en computación forense tradicional ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Tradicional (2) ,[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Privacidad mediante la mutilación del dispositivo degausser o o Eliminación segura a nivel forense Pero este seguro que funciona o 21/05/11 Germinal Isern Universidad Nacional de Piura

¿Quién la necesita? ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Quién (2) ,[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Quién (3) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Computación Forense: Metas (1) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Computación Forense: Metas (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Restricciones: Computación Forense ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Aspectos Legales ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Aspectos Legales (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

El proceso investigativo: necesidades ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Proceso de investigación (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

El principio: Alerta por incidente ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Escena del crimen ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Ejemplos de evidencia digital ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Ejemplos (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Delitos Informáticos 21/05/11 Germinal Isern Universidad Nacional de Piura

Pornografía Infantil 21/05/11 Germinal Isern Universidad Nacional de Piura

Delitos Financieros 21/05/11 Germinal Isern Universidad Nacional de Piura

Clonadores de atrjetas de credito 21/05/11 Germinal Isern Universidad Nacional de Piura

Fuentes de Evidencia digital ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Evidencia digital en un disco ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Mas fuentes (1) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Mas fuentes (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Mas fuentes (3) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Preservación de la Evidencia ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Preservación de la escena del crimen Sala Solo jala el cable Mueve el mouse para una mirada rapida Tripwires tick…tick…tick… Computo volatil Sotano, aramario Conexion inalambrica “ Querida Susana, No es tu culpa

Documentación cuidadosa es esencial 21/05/11 Germinal Isern Universidad Nacional de Piura

Preservacion de la imagen ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Drivelock write blocker

Análisis: Arte, Ciencia, Experiencia ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Computadores Tradicionales: ¿Dónde está la evidencia? ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Análisis (1) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Análisis (2) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Análisis (3) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Proceso Forense Autorización y Preparación Identificación Documentación, Recolección y Preservación Examinación y Análisis Reconstrucción Reportes y Resultados 21/05/11 Germinal Isern Universidad Nacional de Piura

Herramientas utilizadas en el proceso 21/05/11 Germinal Isern Universidad Nacional de Piura Nombre Suministrada por Plataforma Características Flag(Forensic and Log Analysis GUI ) www.dsd.gov.au/library/software/flag/ *nix L Shadow www.nswc.navy.mil/ISSEC/CID/index.html *nix LS Sleuth9 www.deepnines.com/sleuth9.html *nix CSR Dragon IDS www.enterasys.com/products/ids/ *nix CLSR NSM Incident response www.intellitactics.com Windows CLSRW neuSecure www.guarded.net *nix CLSRW NetIntercept www.sandstorm.net Linux box CSRA NetWitness www.forensicexplorer.com Windows CLSRA OSSIM www.ossim.net *nix CLSRA SGUIL http://sguil.sourceforge.net/ *nix, Windows CSR

Herramientas utilizadas en el proceso 21/05/11 Germinal Isern Universidad Nacional de Piura Nombre Suministrada por Plataforma Características TCPDump,Windump http://windump.polito.it http://www.tcpdump.org Linux, Windows C Ngrep http://ngrep.sourceforge.net *nix C Network Stumbler http://netstumbler.com Windows C Kismet www.kismetwireless.net Windows, Linux C Argus www.qosient.com/argus7/ *nix CL Flow-tools www.splintered.net/sw/flow-tools/ *nix CL Flow extract, Flow Scripts http://security.uchicago.edu/tools/net-forensics/ *nix L Etherape http://etherape.sourceforge.net *nix C Ethereal www.ethereal.com Windows-Linux CLS Etherpeek www.wildpackets.com Windows CLS

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Herramientas utilizadas en el proceso 21/05/11 Germinal Isern Universidad Nacional de Piura

Demostración FTK 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

FTK pantallas: Caso nuevo 21/05/11 Germinal Isern Universidad Nacional de Piura

FTK : Comienza la investigación 21/05/11 Germinal Isern Universidad Nacional de Piura

FTK : Sumario del caso 21/05/11 Germinal Isern Universidad Nacional de Piura

FTK : Thumbnail 21/05/11 Germinal Isern Universidad Nacional de Piura

Una muestra de investigacion ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Acceso al Registry (en vivo Image the machine -- or – Use “Obtain Protected Files” in the FTK Imager 21/05/11 Germinal Isern Universidad Nacional de Piura

FTK Registry Viewer 21/05/11 Germinal Isern Universidad Nacional de Piura

NTUSER.dat file 21/05/11 Germinal Isern Universidad Nacional de Piura

SAM file 21/05/11 Germinal Isern Universidad Nacional de Piura

SOFTWARE file 21/05/11 Germinal Isern Universidad Nacional de Piura

** VERY IMPORTANT ** “ Select” key chooses which control set is current, which is “last known good” configuration SYSTEM file 21/05/11 Germinal Isern Universidad Nacional de Piura

SYSTEM file 21/05/11 Germinal Isern Universidad Nacional de Piura

750GB USB hard drives (same type) Two Jumpdrive Elite thumbdrives SYSTEM file 21/05/11 Germinal Isern Universidad Nacional de Piura

Mas del Registry ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Sistema de Archivos Esencial conocerlo FAT 12, 16, 32 NTFS EXT 2, 3 ………….. 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

Mejor Auditoria 21/05/11 Germinal Isern Universidad Nacional de Piura

Criminales en la computacion… 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark (….. Ethereal) Detailed packet data at various protocol levels Packet listing Raw data 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark: Siguiendo un flujo TCP 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark: control flujo FTP 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark: flujo de datos FTP 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark: Flujo de datos FTP 21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark: Sesion HTTP save, then trim away HTTP headers to retrieve image Use: e.g., WinHex 21/05/11 Germinal Isern Universidad Nacional de Piura

Psinfo ( Detección , análisis ) 21/05/11 Germinal Isern Universidad Nacional de Piura

pslist 21/05/11 Germinal Isern Universidad Nacional de Piura

handle 21/05/11 Germinal Isern Universidad Nacional de Piura

filemon 21/05/11 Germinal Isern Universidad Nacional de Piura

psfile 21/05/11 Germinal Isern Universidad Nacional de Piura

promiscdetect 21/05/11 Germinal Isern Universidad Nacional de Piura

promiscdetect (Wireshark está corriendo ) 21/05/11 Germinal Isern Universidad Nacional de Piura

psloggedon 21/05/11 Germinal Isern Universidad Nacional de Piura

netstat -a Ataque al corazon?! 21/05/11 Germinal Isern Universidad Nacional de Piura

netstat –a -b fuiiii! 21/05/11 Germinal Isern Universidad Nacional de Piura

Linux Listado de procesos Salida parcial # ps aux | less 21/05/11 Germinal Isern Universidad Nacional de Piura

Linux: lsof Salida parcial # lsof | less 21/05/11 Germinal Isern Universidad Nacional de Piura

Linux: Informacion de procesos detallada 21/05/11 Germinal Isern Universidad Nacional de Piura

Linux: 21/05/11 Germinal Isern Universidad Nacional de Piura

21/05/11 Germinal Isern Universidad Nacional de Piura

Análisis Forense en vivo 21/05/11 Germinal Isern Universidad Nacional de Piura

Crear consulta 21/05/11 Germinal Isern Universidad Nacional de Piura

Crear 21/05/11 Germinal Isern Universidad Nacional de Piura

Objetivo 21/05/11 Germinal Isern Universidad Nacional de Piura

Confirmar informacion 21/05/11 Germinal Isern Universidad Nacional de Piura

Password 21/05/11 Germinal Isern Universidad Nacional de Piura

Adquisicion inicial 21/05/11 Germinal Isern Universidad Nacional de Piura

Informacion General 21/05/11 Germinal Isern Universidad Nacional de Piura

Informacion Interfaz IP 21/05/11 Germinal Isern Universidad Nacional de Piura

Analisis de datos 21/05/11 Germinal Isern Universidad Nacional de Piura

Puertos vmware phoning home to check for updates SMB file server 21/05/11 Germinal Isern Universidad Nacional de Piura

Procesos en ejecucion 21/05/11 Germinal Isern Universidad Nacional de Piura

Conexiones 21/05/11 Germinal Isern Universidad Nacional de Piura

Archivos abiertos 21/05/11 Germinal Isern Universidad Nacional de Piura

Analisis vaciados de memoria 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

FATKIT / Volatools ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Analisis de la muerte de un computador FTK Interlude 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

Email en el computador de Daryl 21/05/11 Germinal Isern Universidad Nacional de Piura

Analisis en vivo del computador 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

Command: pslist > pslist.txt ? Nada interesante 21/05/11 Germinal Isern Universidad Nacional de Piura

Command: pmdump –list > pmdump-list.txt ? Nada interesante? 21/05/11 Germinal Isern Universidad Nacional de Piura

Command: handle > handle.txt !! 21/05/11 Germinal Isern Universidad Nacional de Piura

Command: dd if=.hysicalMemory of=PhysicalMemory.dd Command: ptfinder_w2k.pl PhysicalMemory.dd > ptfinder.txt 21/05/11 Germinal Isern Universidad Nacional de Piura

El archivo “ log.txt” en directorio c:axes en Word Para resaltar las sesiones importantes DARYL_EVIDENCEog.doc Examen c:axes directorio: turbotax97.exe era realmente un keylogger 21/05/11 Germinal Isern Universidad Nacional de Piura

¡Algo es sospechoso! ,[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Wireshark Interlude Analisis de red 21/05/11 Piura Abril 2008 Germinal Isern Universidad Nacional de Piura

Tres archivos fueron hallados en las trazas de red que se enviaron del computador de Daryl a Spare ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Historia de inserción de USB (análisis de laptop flotante ) HKEY_LOCAL_MACHINE/SYSUSBSTOR Almacenamiento USB perteneciente a Niles Boudreaux, otro empleado de TurboChef. 21/05/11 Germinal Isern Universidad Nacional de Piura

Historia USB HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Enum/USBSTOR ¡Concordo! 21/05/11 Germinal Isern Universidad Nacional de Piura

En la computadora de Niles ,[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Email original de Ignatius ( Maquina N. Boudreaux’s ) 21/05/11 Germinal Isern Universidad Nacional de Piura

A Closer Look at Email on Daryl Popper’s Computer 21/05/11 Germinal Isern Universidad Nacional de Piura

Una vista mas cerca del e-mail en el computador de Daryl ( HTML SOURCE ) 21/05/11 Germinal Isern Universidad Nacional de Piura

La historia real ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],21/05/11 Germinal Isern Universidad Nacional de Piura

Seminario computacion forense_piura_abril_2008

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Seminario computacion forense_piura_abril_2008

Similar a Seminario computacion forense_piura_abril_2008 (20)

Más de Marina Fernández Miranda

Más de Marina Fernández Miranda (18)

Último

Último (20)

Seminario computacion forense_piura_abril_2008