A Case Saved by Network Forensics: Charla "el día no deseado"
1 recomendación294 vistas
El III Simposio Internacional de Redes y Comunicaciones de Datos abordó la gestión de crisis en seguridad informática, enfatizando la importancia de la planificación y respuesta oportuna ante incidentes. Se discutieron lecciones aprendidas sobre cómo manejar la comunicación y la información en situaciones críticas, incluyendo la activación y desactivación de redes de información. Además, se presentó un análisis forense sobre la captura de datos de redes para la reconstrucción de eventos, destacando la complejidad del trabajo forense en el ámbito de la ciberseguridad.
![19:54:16.603234 IP 207.31.248.3.62826
0x0000: 4500 003a 0000 4000
0x0010: cf00 0804 f56a 0035
0x0020: 0001 0000 0000 0000
0x0030: 7003 636f 6d00
> 207.0.8.4.53: 61386+[|domain]
4011 9c8b cf1f f803 E..:..@.@.......
0026 48e1 efca 0100 .....j.5.&H.....
0377 7777 0465 7264 .........www.erd
p.com.
19:54:16.604755 IP 207.0.8.4.53 > 207.31.248.3.62826: 61386* 1/0/0 (46)
0x0000: 4500 004a 02a5 0000 8011 99d6 cf00 0804 E..J............
0x0010: cf1f f803 0035 f56a 0036 0c16 efca 8580 .....5.j.6......
0x0020: 0001 0001 0000 0000 0377 7777 0465 7264 .........www.erd
0x0030: 7003 636f 6d00
p.com.
Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc.
III Simposio de Comunicaciones y Redes de Datos
III Simposio Internacional de Redes y Comunicaciones de Datos
JaCkSecurity
Veamos
25](https://image.slidesharecdn.com/jack96-131212104622-phpapp02/85/A-Case-Saved-by-Network-Forensics-Charla-el-dia-no-deseado-25-320.jpg)
A Case Saved by Network Forensics: Charla "el día no deseado"
- 1. III Simposio Internacional de Redes y Comunicaciones de Datos El Día No Deseado Javier Romero JaCkSecurity
- 2. • Es inevitable • Es telemático • Es Bembos! Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity El día no deseado 2
- 3. • Gestión de continuidad de negocios nos dice: – Planifica la gestión de crisis • • • • Fase 1: Gestiona los medios / riesgo Fase 2: Gestiona los medios Fase 3: Retirada Fase 4: Revisa Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Lecciones aprendidas 3
- 4. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Meta 4
- 5. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity ¿Cómo atraer al enjambre? 5
- 6. – – – – – – – Poca información Disfraza con un halo aseverativo Un mensaje muchas interpretaciones No ofrezcas ni un ápice de lo técnico No seas profundo para nada No respaldes la denuncia, si puedes niégala Se muy lento, eterniza tu respuesta • Quizás nadie se entere Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Activando el enjambre 6
- 7. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Punto.pe 7
- 8. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Punto.pe 8
- 9. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Punto.pe 9
- 10. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Punto.pe 10
- 11. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Punto.pe 11
- 12. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Una semana después del 1er. comunicado 12
- 13. – Responder rápido (si vas a ofrecer investigar, cumple!) – Ser sincero • Ofrecer disculpas (si eres culpable) – Si/no lo eres, ofrece el mayor detalle técnico posible • Ofrece herramientas de control a los medios • Que ellos saquen el minuto a minuto de ti, y pronto • Se aburrirán, y el enjambre se disolverá Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Lección aprendida 13
- 14. • La compañía de gestión de medios • Los abogados necesitan información Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Ellos necesitan la miel del panal 14
- 15. III Simposio Internacional de Redes y Comunicaciones de Datos • En la red: La red está en todos lados 17:29:28.483854 IP 192.168.1.201 1, length 17 0x0000: 4500 0025 0000 0x0010: c80e f10b 0800 0x0020: 4367 3d3d 0a 17:29:43.504762 IP 192.168.1.201 1, length 21 0x0000: 4500 0029 0000 0x0010: c80e f10b 0800 0x0020: 6447 3979 4367 17:29:58.525749 IP 192.168.1.201 1, length 17 0x0000: 4500 0025 0000 0x0010: c80e f10b 0800 0x0020: 5951 6f3d 0a > x.y.z.1: ICMP echo request, id 2802, seq 4000 4001 bf4c c0a8 01c9 b1ad 0af2 0001 5a47 5673 E..%..@.@..L.... ............ZGVs Cg==. del > x.y.z.1: ICMP echo request, id 2820, seq 4000 4001 bf48 c0a8 01c9 E..)..@.@..H.... 0af9 0b04 0001 6332 566a ............c2Vj 3d3d 0a dG9yCg==. sector > x.y.z.1: ICMP echo request, id 2838, seq 4000 4001 bf4c c0a8 01c9 709b 0b16 0001 6347 4677 Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos JaCkSecurity Dónde está mi panal E..%..@.@..L.... ......p.....cGFw YQo=. papa 15
- 16. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Demanda: Cache poisoning (12 años atrás) 16
- 17. III Simposio Internacional de Redes y Comunicaciones de Datos Gerencia legal Gerencia TI ¿Porcentaje de confiabilidad? Proveedor del servidor III Simposio de Comunicaciones y Redes de Datos JaCkSecurity La pichanguita de TI Testimonios Helpdesk Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 17
- 18. • Por el desempate Hackeados Vs. Invictos Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Abogados necesitaban estar 100% seguros 18
- 19. • Previsión = Captura – En caso de emergencia • Forense = Inicie análisis Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Pre “visión” forense de la red 19
- 20. • Cada caso es un reto (no es un doble-clic) A querty paquetes ñlkjh B III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Romper el vidrio ¿así de fácil? Poder forense Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 20
- 21. • Complejidad – Protocolos • Una red 15 protocolos vs. 2 sistemas de archivos – Decodificadores • Varían según RFC, año liberación, singularidades del fabricante. • Más retador – Ciencia forense es un trabajo “artesanal” Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Forense de red vs. sistema archivos 21
- 22. • El Sistema capturaba – 68 bytes • Una consulta promedio puede tomar – 300bytes (google, facebook) • ¿Un doble clic con 68 bytes? Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity ¿Cuál fue el reto? 22
- 23. • www.erdp.com – 200.48.33.214 • www.porki.com – 181.44.6.189 III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Lo que debió pasar vs. lo que dicen que pasó Descargo legal: Las direcciones IP y dominios públicos citadas aquí son para fines ilustrativos por su uso cognado (el rey de la papa erdp.com, y página pornográfica porki.com), no son los involucrados en el caso. Aunque están a la venta. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 23
- 24. -14 bytes ethernet-header -20 bytes ip-header -08 bytes udp-header -12 bytes dns-header 54 34 26 14 ¿puedo escribir www.erdp.com y su IP con 14 bytes? Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Matemáticas 24
- 25. 19:54:16.603234 IP 207.31.248.3.62826 0x0000: 4500 003a 0000 4000 0x0010: cf00 0804 f56a 0035 0x0020: 0001 0000 0000 0000 0x0030: 7003 636f 6d00 > 207.0.8.4.53: 61386+[|domain] 4011 9c8b cf1f f803 E..:..@.@....... 0026 48e1 efca 0100 .....j.5.&H..... 0377 7777 0465 7264 .........www.erd p.com. 19:54:16.604755 IP 207.0.8.4.53 > 207.31.248.3.62826: 61386* 1/0/0 (46) 0x0000: 4500 004a 02a5 0000 8011 99d6 cf00 0804 E..J............ 0x0010: cf1f f803 0035 f56a 0036 0c16 efca 8580 .....5.j.6...... 0x0020: 0001 0001 0000 0000 0377 7777 0465 7264 .........www.erd 0x0030: 7003 636f 6d00 p.com. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Veamos 25
- 26. III Simposio Internacional de Redes y Comunicaciones de Datos 19:54:37.129729 IP 207.31.248.3.59399 www.erdp.com. (30) 0x0000: 4500 003a 0000 4000 0x0010: cf00 0804 e807 0035 0x0020: 0001 0000 0000 0000 0x0030: 7003 636f 6d00 0001 > 207.0.8.4.53: 28196+ A? 4011 9c8b cf1f f803 0026 d7ea 6e24 0100 0377 7777 0465 7264 0001 E..:..@.@....... .......5.&..n$.. .........www.erd p.com..... 19:54:37.131008 IP 207.0.8.4.53 > 207.31.248.3.59399: 28196* 1/0/0 A 200.48.33.214 (46) 0x0000: 4500 004a 02a6 0000 8011 99d5 cf00 0804 E..J............ 0x0010: cf1f f803 0035 e807 0036 9b1f 6e24 8580 .....guatda.com/cmx.p5...6..n$.. 0x0020: 0001 0001 0000 0000 0377 7777 0465 7264 .........www.erd 0x0030: 7003 636f 6d00 0001 0001 c00c 0001 0001 p.com........... 0x0040: 0000 0e10 0004 c830 21d6 .......0!. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos JaCkSecurity Con toda la captura completa 26
- 27. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Historia dentro de la historia 27
- 28. Pckt#3 Pckt#2 Data Check sum Data Check sum Data Check sum • Integridad en secuencia de datos (transmitidos) Pckt#1 Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Checksums 28
- 29. III Simposio de Comunicaciones y Redes de Datos 0000 0000 0000 0000 0000 JaCkSecurity III Simposio Internacional de Redes y Comunicaciones de Datos 10011100 0011 1111 Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 29
- 30. • IP – Asegura que data permaneció intacta en el viaje – Destino descarta paquete si checksum incorrecto – A nivel de routers • Se verifica en cada salto (router) • Se recalcula de nuevo con el TTL nuevo • UDP – Aún mejor Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Checksum IP / UDP 30
- 31. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos JaCkSecurity III Simposio Internacional de Redes y Comunicaciones de Datos 31
- 32. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos JaCkSecurity III Simposio Internacional de Redes y Comunicaciones de Datos 32
- 33. 0 8 16 31 Dirección IP fuente (32-bit) Pseudo Dirección IP destino (32-bit) Cabecera UDP Cabecera UDP Data UDP cero protocol (8-bit) Puerto origen (16-bit) Longitud UDP (16-bit) Puerto destino (16-bit) Longitud UDP (16-bit) Checksum (16-bit) III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity UDP Checksum datos Byte de relleno Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 33
- 34. • Reproducir consultas, analizar respuestas, comparar checksums – Pero empleando la “evidencia inicial” Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity CSI, reconstrucción de los hechos 34
- 35. • Para descartar si el testimonio del acusado o del acusador fue real – Se extrajeron los paquetes cuyas consultas fueron relacionadas al dominio en cuestión – Se reconstruyeron los hechos (similar a serie CSI Miami) con las consultas extraídas • Con paquete “fabricados artesanalmente”, siguiendo los campos únicos de la hora e instante del incidente. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Trabajo forense 35
- 36. • Aquí algunos de los campos únicos del caso: • IP – – – – – – – – Longitud Cabecera IP Longitud total del paquete IP ID IP Flags Fragment Offset TTL Checksum IP IP origen • A nivel UDP – Puerto origen – Longitud UDP – Checksum UDP III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Campos únicos • DNS – Query Identification Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 36
- 37. • La más sólida información posible – No teorías, no conjeturas, no entredichos • Certeza, para una certera defensa Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity La información es poder (caso resuelto) 37
- 38. • En el día no deseado – – – – Necesita “habilitar” el poder forense de la red Si callas, empeoras las cosas Si te informas mal, empeoras las cosas Si les documentas lo ocurrido con ciencia (lección aprendida) • con disculpa bastará, y tu team de seguridad quedará bien parado • Ciencia forense de la red – Los protocolos tiene mucho que enseñar – Cada caso es un reto III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Hemos aprendido • No plug-ins • Prepararlo requiere apoyo – Legal / técnico • No se aventure a hacerlo sin asesoría de JACKSECURITY Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 38
- 39. • • • • • • • • • • • ¿Cómo se compone una solución para el día no deseado? ¿Dónde consigo el rr.hh.? ¿Cuál es la dosis adecuada de captura? ¿Cuánto cuesta la solución? ¿Qué es primero, EH o Forense Red? ¿Son los logs útiles? ¿Qué más podría capturar/colectar? ¿Dónde, cómo habilito el poder forense en mi red? ¿Qué requisitos debo tener? ¿Qué poder legal tiene en la cadena de custodia? Nota: IMPORTANTE III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Algunas FAQ de la solución propuesta – No se aventure a hacerlo sin asesoría de JACKSECURITY Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 39
- 40. • Especialistas respondiendo incidentes, 2006 • Hermanados goblamente – Con miembros de FIRST • Creamos – Tecnología propia – Colectores de varios TiB – Capturadores remotos e inalámbricos • Practicamos el reciclaje, de nuestro KB III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity JACKSECURITY – Pentest – Consultoría Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. 40
- 41. Miembro del foro mundial de equipos de seguridad informática y respuesta a incidentes, FIRST.Org, Inc. III Simposio de Comunicaciones y Redes de Datos III Simposio Internacional de Redes y Comunicaciones de Datos JaCkSecurity Contáctenos para visita técnica / comercial 41