computer forensic examinations with nails

 

Saludos amig@s,

Me disculpo de antemano por tener abandonado un poco el blog debido a cuestiones laborales y de cumplimiento de carga académica con una Universidad. 

Con la finalidad de revindicarme les traigo este articulo que espero sea de su agrado, cualquier comentario es bien recibido dentro del respeto que nos debemos como seres humanos :p

A que se debe el titulo del Articulo??? 

Recordando la labor que me encomendó mi amigo el "Gordito Sedsy" de la Red cuando me invito a la preparación de un proceso de certificacion forense, y me di a la tarea de resolver el caso practico forense como parte del requerimiento solicitado por la entidad certificadora. Para tal fin me dije a mi mismo:

"MI MISMO" por que no lo haces con herramientas solo windows, a ver que tal te va Ah??

Jejeje

Es decir los que me conocen saben que generalmente utilizo herramientas de software libre en especial tools sobre Linux para realizar mis casos forenses (reales).

Así me di a la tarea de recopilar un buen conjunto de herramientas Windows que conocía y me parecían practicas para el proceso a realizar y este es el resultado:

El examen práctico consiste en una imagen dd de un disco duro que sirve como evidencia de un caso práctico. Está dividido en 8 partes (CFE Hacker.001 - CCFE Hacker.008).

"Esta unidad es la imagen desde un ordenador portátil que fue descubierto en el apartamento de un sospechoso. El ordenador portátil tenía una antena casera PCMCIA conectada a este. El sospechoso es sospechoso de piratería en las redes inalámbricas distintas y la captura de información de tarjetas de crédito. Su tarea consiste en determinar si la evidencia apoya esta hipótesis."

OBJETIVOS

1. Determinar el sistema operativo, la fecha de instalación del sistema operativo, y utiliza la zona horaria.
2. Identificar al propietario del sistema registrado.
3. Identificar los alias del propietario del sistema utiliza.
4. Identificar quién fue la última sesión en el ordenador.
5. Lista de postales de la red, direcciones IP y direcciones MAC que utiliza este ordenador portátil.
6. Encontrar ninguna evidencia que se utilizó el equipo para el hacking de redes inalámbricas.
7. Encontró pruebas de que el sospechoso se estaba comunicando con otras personas en Internet a través de NNTP o IRC.
8. Buscar todas las direcciones de correo electrónico utilizada por sitios web o acceder al sospechoso.
9. Determinar si los virus están en el sistema.

METODOLOGÍA

Guía para la integración de técnicas forenses en Respuesta a Incidentes - SP 800-86 (NIST)

Esta publicación está destinada a ayudar a las organizaciones en la investigación de incidentes de seguridad informática y resolución de problemas algunas tecnologías de la información (TI) problemas de funcionamiento, proporcionando una guía práctica sobre la realización de análisis forense informático y de red. La guía presenta un análisis forense de TI, no una aplicación de la ley view.2 En concreto, la publicación se describen los procesos para la realización de las actividades forenses eficaz y proporciona asesoramiento sobre distintas fuentes de datos, incluyendo archivos, sistemas operativos (OS), el tráfico de red y aplicaciones .

La metodología tiene la siguiente estructura:

1. introducción
2. El establecimiento y organización de una capacidad forense
3. Realizar el proceso forense
4. Uso de datos de archivos de datos
5. Utilizando los datos de los sistemas operativos
6. Utilizando los datos de tráfico de red
7. Usando datos de las aplicaciones
8. Usando datos de múltiples fuentes

INVESTIGACIÓN

La imagen ha sido analizada por una combinación de las siguientes herramientas:

• Access Data Forensics ToolKit
• Allien Data Registry Viewer
• Mount Image Pro
• Sysinternals Suite
• Kaspersky Internet Security
• Immunet ClamAV
• Microsoft Word
• Event Viewer Windows Profesional
• Windows Xp Profesional
• VMWare
• Tools Windows Taylor (Cain)
• Hex Workshop

AMBIENTE DE TRABAJO

Para facilitar el análisis del sistema siempre en forma de imagen, el medio ambiente utilizada se basa en Windows 7 Ultimate, VMWare Profesional, Windows XP Profesional.

EVIDENCIA

Esta evidencia fue recibida a través de un DVD. El DVD contiene ocho piezas (CFE Hacker.001 - CCFE Hacker.008).

PROCESO DE ADQUISCION DE LA EVIDENCIA

Proceso de adquisición de las EVIDENCIA Y preparación de contenedores.

Contenedor de la Evidencia Digital

Preparando el Formato para el Contenedor de la Evidencia

Identificación de la unidad asignada en el contenedor con la utilidad dd en la consola de comandos de Windows.

 

Usando dd para identificar las unidades conectadas

Ahora, sanitizamos los medios (esterilización del contenedor) haciendo uso de la utilidad Wipe.

Sanitizando contenedor con WIPE

Contenedor con borrado seguro haciendo uso de WIPE

Realizamos la obtención de la imagen de la evidencia haciendo uso de de la utilidad dd. Y la generación de la integridad de la imagen generando los hash de correspondientes con la utilidad FCIV.exe (Microsoft).

Segundo Original Generado para iniciar cadena de custodia

Generando Hash para la Integridad de la Imagen haciendo uso de la utilidad FCIV.exe

El proceso de adquisición de datos también se puede realizar utilizando la herramienta de FTK, del mismo modo generar el hash de la validación de la integridad de la imagen. Se inicia la cadena de custodia, o en este caso ya debe estar la cadena de custodia y debe ser actualizado.

Utilizando FTK (Acces Data) para la Adquisición de la Evidencia

Creando y seleccionando el archivo Imagen

 Este es el archivo con formato XLS generado por FTK con los hash (MD5 / SHA1) de integridad de la imagen.

CHECKSUMS

Tenemos que comprobar a través de pruebas de comprobación de hash (En este caso, MD5), usando md5sum y fciv.

Validando hash con md5sum sha1sum y FCIV

Validando Hash con FCIV.exe

TIPO DE EVIDENCIA DIGITAL

El primer paso es montar la imagen. Para esta actividad se utilizo Mount Image Pro. Esta actividad y este software permiten montar la evidencia sin riesgos de alterar la misma.

Aún así me queda una copia de la evidencia (DVD) como un sistema de seguridad para no alterar la evidencia.

Montando la Evidencia con Mount Image Pro

Imagen montada en Mount Image Pro

Una vez montada la Imagen (Mount Image Pro) podemos realizar exploración sobre su sistema de archivos.

Explorando Sistema de Archivos Imagen Evidencia

Estamos listos para iniciar nuestra fase de Data Analysis (Análisis de Datos).

La cual incluiré en la continuación de varios artículos consecutivos para no hacer de la lectura algo extenso y no genere cansancio o desmotivacion en el desenlace del Análisis Informático Forense que estamos desarrollando.

Les invito a leer este articulo si no tienen idea de lo que te estoy hablando o quieren ambientarse un poco del tema que estamos tratando:

Metodología de Análisis Informatica Forense 

Espero halla generado el interés o inquietud suficiente para que continúen las lecturas de los artículos siguientes y conozcas de todo el proceso, para que de una forma u otra le sirva como guia de uso de Herramientas Libres en procesos de Análisis Informatico Forense.

Nos estamos leyendo y gracias por invertir su tiempo aquí nuevamente,

Bytes

Dino

PD: Los espero en los próximo artículos que nos permitan terminar nuestra forensia  :P

F I R E W A L L S "IpTables"

Hola a todos,

Hoy les traigo un elemento vital de seguridad perimetral, inicialmente alcanzo alrededor de unas 3000 descargas en 4shared  Firewall - Dino aun estan en formato Wink para su descarga solo tienes que abrirlo en tu explorador, o si gustas simplemente visualizalo desde mi Blog, ya que me he dado a la tarea de pasarlo a un formato disponible para el Blog.  Creo que tuvo buena acogida  (hace ya mas de dos años) y fue replicado en varios sitios como Hackhispano, Dragonjar, etc.  Tal vez por que se trata el tema en un lenguaje entendible para todos y en especial se explican y presentan la aplicacion de los "Tracking de Iptables".

Sin mas preámbulo espero que sean de gran ayuda y de agrado para todos Uds.


Que nos enseña Wikipedia de los Firewall:

"Un cortafuegos (firewall en inglés) es una parte de un sistema o una red que está diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas. Se trata de un dispositivo o conjunto de dispositivos configurados para permitir, limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un conjunto de normas y otros criterios.

Los cortafuegos pueden ser implementados en hardware o software, o una combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea aquellos que no cumplen los criterios de seguridad especificados. También es frecuente conectar al cortafuegos a una tercera red, llamada Zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior. Un cortafuegos correctamente configurado añade una protección necesaria a la red, pero que en ningún caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de trabajo y protección."

Y de Iptables:

"Netfilter es un framework disponible en el núcleo Linux que permite interceptar y manipular paquetes de red. Dicho framework permite realizar el manejo de paquetes en diferentes estados del procesamiento. Netfilter es también el nombre que recibe el proyecto que se encarga de ofrecer herramientas libres para cortafuegos basados en Linux.

El componente más popular construido sobre Netfilter es iptables, una herramienta de cortafuegos que permite no solamente filtrar paquetes, sino también realizar traducción de direcciones de red (NAT) para IPv4 o mantener registros de log. El proyecto Netfilter no sólo ofrece componentes disponibles como módulos del núcleo sino que también ofrece herramientas de espacio de usuario y librerías.

iptables es el nombre de la herramienta de espacio de usuario mediante la cual el administrador puede definir políticas de filtrado del tráfico que circula por la red. El nombre iptables se utiliza frecuentemente de forma errónea para referirse a toda la infraestructura ofrecida por el proyecto Netfilter. Sin embargo, el proyecto ofrece otros subsistemas independientes de iptables tales como el connection tracking system o sistema de seguimiento de conexiones, que permite encolar paquetes para que sean tratados desde espacio de usuario. iptables es un software disponible en prácticamente todas las distribuciones de Linux actuales."

 Que nos cuenta Dino:   :P

SlideShare

Firewalls iptables

View more presentations from d7n0s4ur70.

Ahora disfruta de los siguientes vídeo-tutoriales:

Instalacion Iptables from Jhon Jairo Hernandez - Dino on Vimeo.

configuracion Iptables from Jhon Jairo Hernandez - Dino on Vimeo.

revision iptables from Jhon Jairo Hernandez - Dino on Vimeo.

 Cualquier inquietud, comentario o critica constructiva sera bien recibida, siempre y cuando este dentro del marco del respeto como personas.



Enjoy!!!



Bytes



Dino.

H O NE Y P O T S

Saludos nuevamente,

Siguiendo la labor de recopilacion de mi información que esta en la Red mas no en mi Blog, esta vez les traigo HONEYPOTS.  De que se trata:

Definición Wikipedia:

"Se denomina honeypot al software o conjunto de computadores cuya intención es atraer a atacantes, simulando ser sistemas vulnerables o débiles a los ataques. Es una herramienta de seguridad informática utilizada para recoger información sobre los atacantes y sus técnicas. Los honeypots pueden distraer a los atacantes de las máquinas más importantes del sistema, y advertir rápidamente al administrador del sistema de un ataque, además de permitir un examen en profundidad del atacante, durante y después del ataque al honeypot.


Algunos honeypots son programas que se limitan a simular sistemas operativos no existentes en la realidad y se les conoce como honeypots de baja interacción y son usados fundamentalmente como medida de seguridad. Otros sin embargo trabajan sobre sistemas operativos reales y son capaces de reunir mucha más información; sus fines suelen ser de investigación y se los conoce como honeypots de alta interacción.


Un tipo especial de honeypot de baja interacción son los sticky honeypots (honeypots pegajosos) cuya misión fundamental es la de reducir la velocidad de los ataques automatizados y los rastreos.


En el grupo de los honeypot de alta interacción nos encontramos también con los honeynet."

Así que los invito a ver:


honeyd from Jhon Jairo Hernandez - Dino on Vimeo.


nepenthes from Jhon Jairo Hernandez - Dino on Vimeo.


pruebas_honeypot from Jhon Jairo Hernandez - Dino on Vimeo.

Good Luck

Bytes


Dino

S N I F F E R S

Cordial saludo,

Me alegra saber que aunque hace mas de un mes que no escribo en el blog tenga tan buena acogida, me llena de satisfacción y gusto saber que puede ser útil para muchos en la red. He estado un poco envolatado por cuestiones de trabajo y viajando un poco por el País que no me han permitido sentarme a escribir mucho de lo que me ronda en la cabeza y quisiera contarles, pues como habrán notado, mis artículos no son Copy&Paste si no relatos de mis vivencias y experiencias profesionales, que consumen algo de tiempo para dárselos a conocer de una manera amena, agradable, entendible y digerible para todos, como me gusta a mi "Con Plastilina".

Mientras me sentaba a organizar la información, para realizar lo mas harto de esta labor, pero al fin y al cabo razón por la cual en realidad nos pagan, por que es el producto final de todo este cuento, los benditos "Informes Finales"  ;'(    

Me encontré con algunos vídeos que había realizado con Wink hace unos dos o tres años y que he utilizado como fundamento académico en mis clases, me di a la tarea de buscar la forma de convertirlos a un formato que pudiese utilizar para subir al Blog, así que el primero de ellos trata un tema tan delicado y que hasta ahora son pocas las plataformas tecnologicas que realmente se salvan de este vector de ataque.

Inicialmente se colgaron en otros sitios, pero la labor que me he encomendado ahora es recoger ese buen material que deje en la Red y que no están en mi Blog.

Así que te invito a leer y a ver SNIFFER .

Puedes empezar por algo de fundamentacion:

Q dice Wikipedia:

"En informática, un analizador de paquetes es un programa de captura de las tramas de una red de computadoras.

Es algo común que, por topología de red y necesidad material, el medio de transmisión (cable coaxial, cable de par trenzado, fibra óptica, etc.) sea compartido por varias computadoras y dispositivos de red, lo que hace posible que un ordenador capture las tramas de información no destinadas a él. Para conseguir esto el analizador pone la tarjeta de red en un estado conocido como "modo promiscuo" en el cual en la capa de enlace de datos no son descartadas las tramas no destinadas a la dirección MAC de la tarjeta; de esta manera se puede capturar (sniff, "esnifar") todo el tráfico que viaja por la red.


Los analizadores de paquetes tienen diversos usos, como monitorear redes para detectar y analizar fallos, o para realizar ingeniería inversa en protocolos de red. También es habitual su uso para fines maliciosos, como robar contraseñas, interceptar correos electrónicos, espiar conversaciones de chat, etc."

Y Q dice Dino:   

 XD

Fundamentacion sniffer

View more presentations from d7n0s4ur70.

Ahora disfruta de estos dos video tutoriales haciendo uso de la herramienta Caín&Abel y Dsniff.

Sniffer_1 from Jhon Jairo Hernandez - Dino on Vimeo.

SNIFFER_2 from Jhon Jairo Hernandez - Dino on Vimeo.

Bytes



Dino

Metodología de Análisis Informatica Forense

Hol@ amigos,

Les cuento que he decidido subir algunos de mis artículos, los cuales considero interesantes, que inicialmente fueron titulares de portada en otras Comunidades y sitios Web.  

Que aún no se por que razón, motivo o circunstancia nunca hicieron parte de mi Blog!!!   ;'(

Pero no es tarde para incluirlos. Así que adelante e iniciamos con este articulo de  Análisis en Informática Forense.

En este articulo describiremos de forma practica, como utilizar una Metodología de Análisis forense para responder a un incidente.

Identificación:

• En esta fase, realizamos una evaluación de los recursos, alcance y objetivos necesarios para realizar la investigación interna.
• Obtener por escrito la autorización para iniciar la Forense (Investigación de equipos). Acuerdos de confidencialidad.
• Documentarse de todas las acciones y antecedentes que preceden la investigación. Los acontecimientos y decisiones que se adoptaron durante el incidente y su respuesta al incidente. La cual determinara el curso de acción a seguir en la Investigación.
• Organizar y definir el Team de Investigación, estableciendo Limites, funciones y responsabilidades.
• Realice una Investigación preliminar (documentela) que le permita describir la situación actual, hechos, las partes afectadas, posibles sospechosos, gravedad y criticidad de la situación, infraestructura afectada, para lograr una compresión total de la situación actual del incidente y definir un curso de acción acorde a la situación.
• Identificar el Impacto y la sensibilidad de la información ( de clientes, financieros, comerciales, de Investigación y Desarrollo, etc)
• Analizar el Impacto de los negocios a traves de la investigación del Incidente. Como, tiempos de inactividad, costos de equipos afectados o dañados, perdida en ingresos, costos de recuperación, perdida de información confidencial, perdida de credibilidad e imagen, etc.
• Identificar la topología de red y tipología de red, equipos afectados ( servidores, aplliance, UMT, estaciones, Sistemas Operativos, Router, Switches, IDS’s, etc)
• Identificar los dispositivos de almacenamiento o elementos informáticos (Discos Duros, Pen drive, memorias, tarjetas flash, Tapes, Zip Disk, Opticos, Disquettes, Cds, Dvd, etc) que se consideren comprometidos y sean determinados como evidencia, su marca, modelo, características, seriales, etc.
• Para nuestro caso, obviaremos los procedimientos a ejecutar sobre sistemas Vivos, por la continuidad en producción de los equipos en producción y su uso en las nuevas instalaciones, se han perdido los datos volátiles.
• Identifique los posibles implicados o funcionarios que tengan relación con la investigación y efectué entrevistas, con usuarios o administradores responsables de los sistemas, documente todo y trate de lograr un conocimiento total de la situación.
• Realiza una recuperación de los logs de los equipos de comunicación y dispositivos de red, involucrados en la topología de la red.

El producto final de esta fase, debe entregar un documento detallado con la información que permita definir un punto de inicio para la adquisición de datos y para la elaboración del documento final.

Iniciamos la cadena de Custodia, llenando el formato correspondiente, iniciando una bitácora de los procesos que se llevan a cabo y el embalaje de la Evidencia. Determinar

Quien?, Que?, Donde?, Por que? mantener una copia con la evidencia, Como?, Cuando?

• Quien es el primero en tener la evidencia?
• Donde, cuando y quien es el primero que tiene la evidencia
• Donde, cuando y quien examino la evidencia
• Quien va a tener custodia de la evidencia y por cuanto tiempo la tendrá
• Quien y como se embalo y almaceno la evidencia
• Cuando se realiza el cambio de custodia y como se realiza la transferencia

Adquisición:

En esta segunda fase, procedemos a ejecutar los 3 pasos que visualizamos en el gráfico anterior para adquirir la evidencia sin alterarla o dañarla, se autentica que la información de la evidencia sea igual a la original.

Se debe definir los equipos y herramientas determinadas para llevar a cabo la investigación. Lograr un entorno de trabajo adecuado para el análisis y la investigación.

Iniciar una Bitácora, que nos permita documentar de manera precisa identificar y autenticar los datos que se recogen, tipo:

• ¿Quién realiza la acción y por qué lo hicieron.
• ¿Qué estaban tratando de lograr?
  ¿Cómo se realiza la acción, incluidas las herramientas que utilizaban y los procedimientos que siguieron.
  Cuando se realizó la acción (fecha y hora) y los resultados.

De igual forma, se toman otras fuentes de información de los sistemas vivos, los datos volatiles como:

• Cache del Sistema
• Archivos temporales
• Registros de sucesos.
• Registros de internos y externos que los dispositivos de red, tales como firewalls, routers, servidores proxy,etc.
• Logs del sistema, Aplicaciones.
• Tablas de enrutamiento (arp, cache de Netbios, lista de procesos, información de la memoria y el kernel)
• Registros remotos e información de monitoreo relevante

Realizar copia imagen de los dispositivos (bit a bit), con una herramienta apropiada (ver anexo de herramientas), Y firmar su contenido con un hash de MD5 o SHA1, generando así el segundo original, apartir de este se generaran las copias para el Análisis de datos, cada copia debe ser comprobada con firmas digitales nuevamente de MD5 o SHA1. Documente la evidencia con el documento del embalaje (y cadena de custodia) que puedan garantizar que se incluye información acerca de sus configuraciones. Por ejemplo, anote el fabricante y modelo, configuración de los puentes, y el tamaño del dispositivo. Además, tenga en cuenta el tipo de interfaz y de la condición de la unidad.

Importante considerar las buenas practicas para conservar la información y la evidencia.

• Asegurar de manera física un lugar para almacenar los datos, evitando su manipulación. No olvide documentarlo.
• Proteger los equipos de almacenamiento de los campos magnéticos (estática).
• Realice mínimo el segundo original y una copia del segundo original para el análisis y almacene el segundo original en un sitio seguro
• 
  Nuevamente, no olvide actualizar el documento de Cadena de custodia (incluye información como el nombre de la persona que examina la evidencia, la fecha exacta y el tiempo que echa un vistazo a las pruebas, y la fecha exacta y hora en que lo devuelva).
• Se pretende que esta información sea:
• Autentica
• Correcta
• Completa
• Convincente

Para que en caso de un proceso sea legal, admisible.

ANÁLISIS DE DATOS:

Seguiremos los tres pasos de la anterior figura:

Análisis de Datos de la Red:

Para nuestra investigación nos centraremos en identificar los dispositivos de comunicación y de defensa perimetral (Servidores Web, Firewall, IDS’s, IPS’s, Proxys, Filtros de Contenido,Analizadores de Red, Servidores de Logs,etc) que están en la Red, con la finalidad de recuperar los logs que se han tomado como parte de la gestión de red.

Análisis de los Datos del Host:

Generalmente se logra con la información obtenida de los sistemas vivos, de la lectura de las Aplicaciones y los Sistemas Operativos. Para nuestro caso, debemos de limitarnos a tratar de recuperar estos archivos de la evidencia en procesos de Data Carving o Recuperación de Datos, y definir criterios adecuados de búsqueda, debido a que lo mas probable es que encontremos una gran cantidad de información que nos puede complicar o facilitar el análisis de datos, dependiendo de nuestros objetivos de búsqueda Posteriormente definiremos a que archivos  le realizaremos la búsqueda

Análisis de los Medios de Almacenamiento:

Igual que el punto anterior debemos definir criterios de búsqueda con objetivos claros, debido a la gran cantidad de información disponible, que nos puede desviar la atención o sencillamente complicar el proceso de análisis de la información Tengamos en cuenta las siguientes buenas practicas:

1. No olvidemos, que se debe utilizar la copia del segundo original, a su vez el segundo original preservarlo manteniendo un buen uso de la cadena de custodia.
2. Determinar si los archivos no tienen algún tipo de cifrado (varias claves del registro no lo pueden determinar).
3. Preferiblemente descomprimir los archivos con sistemas de compresión
4. Crear una estructura de Directorios y Archivos recuperados.
5. Identificar y recuperar los archivos objetivo (determinados por algunos criterios, ejemplo aquellos que han sido afectados por el incidente). Y se puede comparar su hash (archivos del sistema operativo y aplicaciones) con los hash de archivos que nos facilita la http://www.nsrl.nist.gov/,

O sitios como:

http://www.fileformat.info/resolución/web/filespecs/index.htm

http://www.wotsit.org/

http://www.processlibrary.com/

1. Analizar archivos de Booteo y configuración del sistema, el registro del sistema
2. Información de Login / Logout del sistema, nombres de usuario e información del AD (Directorio Activo)
3. Software instalado, actualizaciones y parches.
4. Buscar archivos con NTFS ADS (Alterna Data Stream)

10.  Estudio de las Metadata (en especial identificar las marcas de tiempo, creación, actualización, acceso, modificación,etc).

11.  La evidencia debe ser cargada de solo lectura, para evitar daños o alteraciones sobre las copias del segundo original.

PREPARACIÓN DEL INFORME

 

Es la fase final y la mas delicada e importante la cual sera el documento que sustentara una prueba en un proceso legal, básicamente tener en cuenta estos dos pasos:

Organización de la Información:

1. Retomemos toda la documentación generada en las fases de la metodología e igual cualquier información anexa como notas, antecedentes o informe policial.
2. Identifiquemos lo mas importante y pertinente de la investigación
3. Realizar conclusiones (tenga en cuenta los hechos) y crear una lista de las pruebas para presentar en el informe.

Escribir el Informe Final:

Debe ser claro, conciso y escrito en un lenguaje entendible para gente común (no tan técnico).

Debe contener como mínimo:

Propósito del Informe. Explicar claramente el objetivo del informe, el público objetivo, y por qué se preparó el informe.
Autor del informe. Todos los autores y co-autores del informe, incluyendo sus posiciones, las responsabilidades durante la investigación, y datos de contacto.
Resumen de Incidentes. Introducir el incidente y explicar su impacto. El resumen deberá estar escrito de manera que una persona no técnica, como un juez o jurado sería capaz de entender lo que ocurrió y cómo ocurrió.
Pruebas. Proporcionar una descripción de las pruebas de que fue adquirido durante la investigación. Cuando el estado de la evidencia que describen la forma en que fue adquirida, cuándo y quién lo adquirió.
Detalles ·. Proporcionar una descripción detallada de lo que la evidencia se analizó y los métodos de análisis que se utilizaron. Explicar los resultados del análisis. Lista de los procedimientos que se siguieron durante la investigación y de las técnicas de análisis que se utilizaron. Incluir una prueba de sus resultados, tales como los informes de servicios públicos y las entradas de registro. Justificar cada conclusión que se extrae del análisis. Sello documentos de apoyo, el número de cada página, y se refieren a ellos por el nombre de la etiqueta cuando se examinan en el análisis. Por ejemplo, “registro de Firewall de servidor, documento de apoyo D.” Además, proporcionan información sobre aquellos individuos que realizaron o participaron en la investigación. Si procede, proporcione una lista de testigos.

Conclusión. Resumir los resultados de la investigación. La conclusión debe ser específico de los resultados de la investigación. Citar pruebas concretas para demostrar la conclusión, pero no dan excesivos detalles acerca de cómo se obtuvieron las pruebas (tal información debe estar en la sección “Detalles”). Incluir una justificación para su conclusión, junto con las pruebas y la documentación. La conclusión debe ser lo más clara y sin ambigüedades como sea posible. En muchos casos, se declaró cerca del comienzo del informe, porque representa la información procesable.

Los documentos justificativos. Incluya cualquier información de antecedentes a que se refiere en todo el informe, tales como diagramas de red, los documentos que describen los procedimientos de investigación de equipos usados, y un panorama general de las tecnologías que intervienen en la investigación. Es importante que los documentos justificativos proporcionar información suficiente para que el lector del informe para comprender el incidente tan completamente como sea posible. Como se mencionó anteriormente, la etiqueta de cada documento de apoyo con las letras y el número de cada página del documento. Proporcionar una lista completa de los documentos justificativos.

Si es probable que el informe será presentado a un público variado, considerar la creación de un glosario de términos utilizados en el informe. Un glosario es especialmente valiosa si el organismo de aplicación de la ley no está bien informado sobre cuestiones técnicas o cuando un juez o jurado debe revisar los documentos.

Espero sea de su agrado, y les de luces suficientes de como responder e iniciar una forensia (análisis informático forense).

Bytes

Dino.

Este informe es preparado  y adaptado para nuestra investigación forense con base en el

fundamental computer investigation guide for windows.

De Presa a Cazador / Localiza tu atacante (Campus Party 2011)

Saludos Amig@s,

Les cuento, que igual que en Junio del año pasado (2010), para este año 2011 (27 Junio - 3 de Julio). Tuve el placer de participar en el magno evento de Campus Party 2011 en la Ciudad de Bogota participando como ponente con la charla "De Presa a Cazador / Localiza tu atacante" y en el Lanzamiento del Reto Forense apoyando a mi amigo Dragon (JAR) en el seguimiento y Evaluacion del Reto Forense.

La charla es solo una prueba de concepto de un proceso que he venido realizando con varias técnicas de Footprinting o Recolección de Información Competitiva Inteligente, mejor dicho miralo y me cuentas si te gusta.

De presa a cazador Campus Party 2011

De presa a cazador Campus Party 2011 from Jhon Jairo Hernandez

View more presentations from d7n0s4ur70.

Como ven aun tenemos pendiente la evolucion y generación de dos artículos bien interesantes, que espero separar el tiempo suficiente para documentarlos y subirlos a el Blog.

En cuanto al vídeo que tengo, buscare la forma mas practica para subirlo y compartirlo.

Agradecimientos especiales a mi amigo Alberto Gil y a Futura Networks por esta grandiosa oportunidad en este maravilloso espacio de ocio, aprendizaje y entretenimiento.

Premiacion campus party colombia 2011

Espero les sea de su agrado cualquier comentario, sugerencia, aporte, critica constructiva sera Bienvenida,

Bytes

Dino