computer forensic examinations with nails

 

Saludos amig@s,

Me disculpo de antemano por tener abandonado un poco el blog debido a cuestiones laborales y de cumplimiento de carga académica con una Universidad. 

Con la finalidad de revindicarme les traigo este articulo que espero sea de su agrado, cualquier comentario es bien recibido dentro del respeto que nos debemos como seres humanos :p

A que se debe el titulo del Articulo??? 

Recordando la labor que me encomendó mi amigo el "Gordito Sedsy" de la Red cuando me invito a la preparación de un proceso de certificacion forense, y me di a la tarea de resolver el caso practico forense como parte del requerimiento solicitado por la entidad certificadora. Para tal fin me dije a mi mismo:

"MI MISMO" por que no lo haces con herramientas solo windows, a ver que tal te va Ah??

Jejeje

Es decir los que me conocen saben que generalmente utilizo herramientas de software libre en especial tools sobre Linux para realizar mis casos forenses (reales).

Así me di a la tarea de recopilar un buen conjunto de herramientas Windows que conocía y me parecían practicas para el proceso a realizar y este es el resultado:

El examen práctico consiste en una imagen dd de un disco duro que sirve como evidencia de un caso práctico. Está dividido en 8 partes (CFE Hacker.001 - CCFE Hacker.008).

"Esta unidad es la imagen desde un ordenador portátil que fue descubierto en el apartamento de un sospechoso. El ordenador portátil tenía una antena casera PCMCIA conectada a este. El sospechoso es sospechoso de piratería en las redes inalámbricas distintas y la captura de información de tarjetas de crédito. Su tarea consiste en determinar si la evidencia apoya esta hipótesis."

OBJETIVOS

1. Determinar el sistema operativo, la fecha de instalación del sistema operativo, y utiliza la zona horaria.
2. Identificar al propietario del sistema registrado.
3. Identificar los alias del propietario del sistema utiliza.
4. Identificar quién fue la última sesión en el ordenador.
5. Lista de postales de la red, direcciones IP y direcciones MAC que utiliza este ordenador portátil.
6. Encontrar ninguna evidencia que se utilizó el equipo para el hacking de redes inalámbricas.
7. Encontró pruebas de que el sospechoso se estaba comunicando con otras personas en Internet a través de NNTP o IRC.
8. Buscar todas las direcciones de correo electrónico utilizada por sitios web o acceder al sospechoso.
9. Determinar si los virus están en el sistema.

METODOLOGÍA

Guía para la integración de técnicas forenses en Respuesta a Incidentes - SP 800-86 (NIST)

Esta publicación está destinada a ayudar a las organizaciones en la investigación de incidentes de seguridad informática y resolución de problemas algunas tecnologías de la información (TI) problemas de funcionamiento, proporcionando una guía práctica sobre la realización de análisis forense informático y de red. La guía presenta un análisis forense de TI, no una aplicación de la ley view.2 En concreto, la publicación se describen los procesos para la realización de las actividades forenses eficaz y proporciona asesoramiento sobre distintas fuentes de datos, incluyendo archivos, sistemas operativos (OS), el tráfico de red y aplicaciones .

La metodología tiene la siguiente estructura:

1. introducción
2. El establecimiento y organización de una capacidad forense
3. Realizar el proceso forense
4. Uso de datos de archivos de datos
5. Utilizando los datos de los sistemas operativos
6. Utilizando los datos de tráfico de red
7. Usando datos de las aplicaciones
8. Usando datos de múltiples fuentes

INVESTIGACIÓN

La imagen ha sido analizada por una combinación de las siguientes herramientas:

• Access Data Forensics ToolKit
• Allien Data Registry Viewer
• Mount Image Pro
• Sysinternals Suite
• Kaspersky Internet Security
• Immunet ClamAV
• Microsoft Word
• Event Viewer Windows Profesional
• Windows Xp Profesional
• VMWare
• Tools Windows Taylor (Cain)
• Hex Workshop

AMBIENTE DE TRABAJO

Para facilitar el análisis del sistema siempre en forma de imagen, el medio ambiente utilizada se basa en Windows 7 Ultimate, VMWare Profesional, Windows XP Profesional.

EVIDENCIA

Esta evidencia fue recibida a través de un DVD. El DVD contiene ocho piezas (CFE Hacker.001 - CCFE Hacker.008).

PROCESO DE ADQUISCION DE LA EVIDENCIA

Proceso de adquisición de las EVIDENCIA Y preparación de contenedores.

Contenedor de la Evidencia Digital

Preparando el Formato para el Contenedor de la Evidencia

Identificación de la unidad asignada en el contenedor con la utilidad dd en la consola de comandos de Windows.

 

Usando dd para identificar las unidades conectadas

Ahora, sanitizamos los medios (esterilización del contenedor) haciendo uso de la utilidad Wipe.

Sanitizando contenedor con WIPE

Contenedor con borrado seguro haciendo uso de WIPE

Realizamos la obtención de la imagen de la evidencia haciendo uso de de la utilidad dd. Y la generación de la integridad de la imagen generando los hash de correspondientes con la utilidad FCIV.exe (Microsoft).

Segundo Original Generado para iniciar cadena de custodia

Generando Hash para la Integridad de la Imagen haciendo uso de la utilidad FCIV.exe

El proceso de adquisición de datos también se puede realizar utilizando la herramienta de FTK, del mismo modo generar el hash de la validación de la integridad de la imagen. Se inicia la cadena de custodia, o en este caso ya debe estar la cadena de custodia y debe ser actualizado.

Utilizando FTK (Acces Data) para la Adquisición de la Evidencia

Creando y seleccionando el archivo Imagen

 Este es el archivo con formato XLS generado por FTK con los hash (MD5 / SHA1) de integridad de la imagen.

CHECKSUMS

Tenemos que comprobar a través de pruebas de comprobación de hash (En este caso, MD5), usando md5sum y fciv.

Validando hash con md5sum sha1sum y FCIV

Validando Hash con FCIV.exe

TIPO DE EVIDENCIA DIGITAL

El primer paso es montar la imagen. Para esta actividad se utilizo Mount Image Pro. Esta actividad y este software permiten montar la evidencia sin riesgos de alterar la misma.

Aún así me queda una copia de la evidencia (DVD) como un sistema de seguridad para no alterar la evidencia.

Montando la Evidencia con Mount Image Pro

Imagen montada en Mount Image Pro

Una vez montada la Imagen (Mount Image Pro) podemos realizar exploración sobre su sistema de archivos.

Explorando Sistema de Archivos Imagen Evidencia

Estamos listos para iniciar nuestra fase de Data Analysis (Análisis de Datos).

La cual incluiré en la continuación de varios artículos consecutivos para no hacer de la lectura algo extenso y no genere cansancio o desmotivacion en el desenlace del Análisis Informático Forense que estamos desarrollando.

Les invito a leer este articulo si no tienen idea de lo que te estoy hablando o quieren ambientarse un poco del tema que estamos tratando:

Metodología de Análisis Informatica Forense 

Espero halla generado el interés o inquietud suficiente para que continúen las lecturas de los artículos siguientes y conozcas de todo el proceso, para que de una forma u otra le sirva como guia de uso de Herramientas Libres en procesos de Análisis Informatico Forense.

Nos estamos leyendo y gracias por invertir su tiempo aquí nuevamente,

Bytes

Dino

PD: Los espero en los próximo artículos que nos permitan terminar nuestra forensia  :P

F I R E W A L L S "IpTables"

Hola a todos,

Hoy les traigo un elemento vital de seguridad perimetral, inicialmente alcanzo alrededor de unas 3000 descargas en 4shared  Firewall - Dino aun estan en formato Wink para su descarga solo tienes que abrirlo en tu explorador, o si gustas simplemente visualizalo desde mi Blog, ya que me he dado a la tarea de pasarlo a un formato disponible para el Blog.  Creo que tuvo buena acogida  (hace ya mas de dos años) y fue replicado en varios sitios como Hackhispano, Dragonjar, etc.  Tal vez por que se trata el tema en un lenguaje entendible para todos y en especial se explican y presentan la aplicacion de los "Tracking de Iptables".

Sin mas preámbulo espero que sean de gran ayuda y de agrado para todos Uds.


Que nos enseña Wikipedia de los Firewall:

"Un cortafuegos (firewall en inglés) es una parte de un sistema o una red que está diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas. Se trata de un dispositivo o conjunto de dispositivos configurados para permitir, limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un conjunto de normas y otros criterios.

Los cortafuegos pueden ser implementados en hardware o software, o una combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea aquellos que no cumplen los criterios de seguridad especificados. También es frecuente conectar al cortafuegos a una tercera red, llamada Zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior. Un cortafuegos correctamente configurado añade una protección necesaria a la red, pero que en ningún caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de trabajo y protección."

Y de Iptables:

"Netfilter es un framework disponible en el núcleo Linux que permite interceptar y manipular paquetes de red. Dicho framework permite realizar el manejo de paquetes en diferentes estados del procesamiento. Netfilter es también el nombre que recibe el proyecto que se encarga de ofrecer herramientas libres para cortafuegos basados en Linux.

El componente más popular construido sobre Netfilter es iptables, una herramienta de cortafuegos que permite no solamente filtrar paquetes, sino también realizar traducción de direcciones de red (NAT) para IPv4 o mantener registros de log. El proyecto Netfilter no sólo ofrece componentes disponibles como módulos del núcleo sino que también ofrece herramientas de espacio de usuario y librerías.

iptables es el nombre de la herramienta de espacio de usuario mediante la cual el administrador puede definir políticas de filtrado del tráfico que circula por la red. El nombre iptables se utiliza frecuentemente de forma errónea para referirse a toda la infraestructura ofrecida por el proyecto Netfilter. Sin embargo, el proyecto ofrece otros subsistemas independientes de iptables tales como el connection tracking system o sistema de seguimiento de conexiones, que permite encolar paquetes para que sean tratados desde espacio de usuario. iptables es un software disponible en prácticamente todas las distribuciones de Linux actuales."

 Que nos cuenta Dino:   :P

SlideShare

Firewalls iptables

View more presentations from d7n0s4ur70.

Ahora disfruta de los siguientes vídeo-tutoriales:

Instalacion Iptables from Jhon Jairo Hernandez - Dino on Vimeo.

configuracion Iptables from Jhon Jairo Hernandez - Dino on Vimeo.

revision iptables from Jhon Jairo Hernandez - Dino on Vimeo.

 Cualquier inquietud, comentario o critica constructiva sera bien recibida, siempre y cuando este dentro del marco del respeto como personas.



Enjoy!!!



Bytes



Dino.

H O NE Y P O T S

Saludos nuevamente,

Siguiendo la labor de recopilacion de mi información que esta en la Red mas no en mi Blog, esta vez les traigo HONEYPOTS.  De que se trata:

Definición Wikipedia:

"Se denomina honeypot al software o conjunto de computadores cuya intención es atraer a atacantes, simulando ser sistemas vulnerables o débiles a los ataques. Es una herramienta de seguridad informática utilizada para recoger información sobre los atacantes y sus técnicas. Los honeypots pueden distraer a los atacantes de las máquinas más importantes del sistema, y advertir rápidamente al administrador del sistema de un ataque, además de permitir un examen en profundidad del atacante, durante y después del ataque al honeypot.


Algunos honeypots son programas que se limitan a simular sistemas operativos no existentes en la realidad y se les conoce como honeypots de baja interacción y son usados fundamentalmente como medida de seguridad. Otros sin embargo trabajan sobre sistemas operativos reales y son capaces de reunir mucha más información; sus fines suelen ser de investigación y se los conoce como honeypots de alta interacción.


Un tipo especial de honeypot de baja interacción son los sticky honeypots (honeypots pegajosos) cuya misión fundamental es la de reducir la velocidad de los ataques automatizados y los rastreos.


En el grupo de los honeypot de alta interacción nos encontramos también con los honeynet."

Así que los invito a ver:


honeyd from Jhon Jairo Hernandez - Dino on Vimeo.


nepenthes from Jhon Jairo Hernandez - Dino on Vimeo.


pruebas_honeypot from Jhon Jairo Hernandez - Dino on Vimeo.

Good Luck

Bytes


Dino

S N I F F E R S

Cordial saludo,

Me alegra saber que aunque hace mas de un mes que no escribo en el blog tenga tan buena acogida, me llena de satisfacción y gusto saber que puede ser útil para muchos en la red. He estado un poco envolatado por cuestiones de trabajo y viajando un poco por el País que no me han permitido sentarme a escribir mucho de lo que me ronda en la cabeza y quisiera contarles, pues como habrán notado, mis artículos no son Copy&Paste si no relatos de mis vivencias y experiencias profesionales, que consumen algo de tiempo para dárselos a conocer de una manera amena, agradable, entendible y digerible para todos, como me gusta a mi "Con Plastilina".

Mientras me sentaba a organizar la información, para realizar lo mas harto de esta labor, pero al fin y al cabo razón por la cual en realidad nos pagan, por que es el producto final de todo este cuento, los benditos "Informes Finales"  ;'(    

Me encontré con algunos vídeos que había realizado con Wink hace unos dos o tres años y que he utilizado como fundamento académico en mis clases, me di a la tarea de buscar la forma de convertirlos a un formato que pudiese utilizar para subir al Blog, así que el primero de ellos trata un tema tan delicado y que hasta ahora son pocas las plataformas tecnologicas que realmente se salvan de este vector de ataque.

Inicialmente se colgaron en otros sitios, pero la labor que me he encomendado ahora es recoger ese buen material que deje en la Red y que no están en mi Blog.

Así que te invito a leer y a ver SNIFFER .

Puedes empezar por algo de fundamentacion:

Q dice Wikipedia:

"En informática, un analizador de paquetes es un programa de captura de las tramas de una red de computadoras.

Es algo común que, por topología de red y necesidad material, el medio de transmisión (cable coaxial, cable de par trenzado, fibra óptica, etc.) sea compartido por varias computadoras y dispositivos de red, lo que hace posible que un ordenador capture las tramas de información no destinadas a él. Para conseguir esto el analizador pone la tarjeta de red en un estado conocido como "modo promiscuo" en el cual en la capa de enlace de datos no son descartadas las tramas no destinadas a la dirección MAC de la tarjeta; de esta manera se puede capturar (sniff, "esnifar") todo el tráfico que viaja por la red.


Los analizadores de paquetes tienen diversos usos, como monitorear redes para detectar y analizar fallos, o para realizar ingeniería inversa en protocolos de red. También es habitual su uso para fines maliciosos, como robar contraseñas, interceptar correos electrónicos, espiar conversaciones de chat, etc."

Y Q dice Dino:   

 XD

Fundamentacion sniffer

View more presentations from d7n0s4ur70.

Ahora disfruta de estos dos video tutoriales haciendo uso de la herramienta Caín&Abel y Dsniff.

Sniffer_1 from Jhon Jairo Hernandez - Dino on Vimeo.

SNIFFER_2 from Jhon Jairo Hernandez - Dino on Vimeo.

Bytes



Dino