Forensics La criminalistique informatique est l'art d'examiner un système et de déterminer ce qui lui est arrivé auparavant. L'examen des artefacts de fichiers et de mémoire, en particulier les calendriers de fichiers, peut brosser un tableau très clair de ce que l'attaquant a fait, quand il l'a fait et de ce qu'il a pris.
Juste à titre d'exemple - étant donné un vidage de mémoire d'un système Windows, il est possible d'extraire non seulement les lignes de commande tapées par un attaquant, mais également la sortie qu'il a vue à la suite de l'exécution de ces commandes. Assez utile pour déterminer l'impact, hein?
En fonction de la fraîcheur du compromis, il est possible d'en dire beaucoup sur ce qui s'est passé.
@AleksandrDubinsky a suggéré que ce serait être utile pour décrire les différents domaines et techniques de la criminalistique informatique, ce que je suis heureux de faire pour vous. Ils incluent, mais sans s'y limiter, les éléments suivants (je vais utiliser mes termes approximatifs; ils ne sont ni officiels ni complets):
Journaliser / Surveiller les Forensics : L'utilisation de données «externes» telles que les journaux centralisés, les journaux de pare-feu, les captures de paquets et les hits IDS chevauche la ligne entre «Détection» et «Forensics». Certaines données, comme les journaux (même centralisés), ne peuvent pas être considérées comme complètes ou même véridiques, car les attaquants peuvent les filtrer ou les injecter une fois qu'ils ont le contrôle du système. Les outils de journalisation de paquets hors système tels que le pare-feu, l'IDS ou les enregistreurs de paquets (comme (anciennement) NetWitness) sont peu susceptibles d'être falsifiés, mais ne contiennent qu'une quantité limitée d'informations; généralement juste un enregistrement des conversations IP et parfois des signatures (telles que des URL HTTP) associées à une activité malveillante.
Sauf si une connexion réseau non chiffrée a été utilisée dans le compromis, ces outils sont rarement capables de détailler l'activité lors d'un compromis, et donc (en revenant à la question d'origine) ne "vérifiez pas quoi A été piraté." D'un autre côté, si une connexion non chiffrée (ftp) a été utilisée pour exfiltrer des données out et que des paquets complets ont été enregistrés, il est alors possible de savoir exactement avec quelles données l'attaquant s'est enfui.
Analyse légale en direct : une partie plus appropriée de la réponse aux incidents, la criminalistique dite «en direct» consiste à se connecter au système et à regarder autour de lui. Les enquêteurs peuvent énumérer les processus, rechercher dans les applications (par exemple, l'historique du navigateur) et explorer le système de fichiers à la recherche d'indications sur ce qui s'est passé. Encore une fois, cela est généralement conçu pour vérifier qu'un compromis s'est produit, et non pour déterminer l'étendue d'un compromis, car un système compromis est capable de cacher des fichiers, des processus, des connexions réseau, vraiment tout ce qu'il veut. L'avantage est qu'il permet d'accéder à des éléments résidant en mémoire (processus, connexions réseau ouvertes) qui ne sont pas disponibles une fois que vous arrêtez le système pour créer une image du disque (mais, encore une fois, le système peut mentir, s'il est compromis! )
Forensics du système de fichiers : une fois qu'une copie du disque a été faite, il peut être monté sur un système propre et exploré, supprimant toute chance que le système d'exploitation compromis "ment "sur les fichiers en place. Des outils existent pour créer des chronologies en utilisant la variété d'horodatages et d'autres métadonnées disponibles,
incorporant des données de fichier, des données de registre (sous Windows), même des données d'application (par exemple, l'historique du navigateur). Ce ne sont pas seulement les temps d'écriture des fichiers qui sont utilisés; les temps de lecture des fichiers peuvent indiquer quels fichiers ont été consultés et quels programmes ont été exécutés (et quand). Les fichiers suspects peuvent être exécutés via des vérificateurs antivirus propres, des signatures créées et soumises, des exécutables chargés dans des débogueurs et explorés, des «chaînes» utilisées pour rechercher des mots-clés. Sous Unix, les fichiers "historique" - s'ils ne sont pas désactivés par l'attaquant - peuvent détailler les commandes saisies par l'attaquant. Sous Windows, le service de cliché instantané peut fournir des instantanés des activités passées qui ont depuis été nettoyées.
Il s'agit de l ' étape la plus couramment utilisée pour déterminer la portée et l'étendue d'un compromis , et pour déterminer quelles données peuvent ou non avoir été consultées et / ou exfiltrées. C'est la meilleure réponse à la façon dont nous "vérifions ce qui a été piraté."
Analyse des disques : les fichiers supprimés disparaissent du système de fichiers, mais pas de le disque. De plus, des attaquants intelligents peuvent cacher leurs fichiers dans «l'espace libre» des fichiers existants. Ces choses ne peuvent être trouvées qu'en examinant les octets bruts du disque, et des outils comme The Sleuth Kit existent pour déchirer ces données brutes et déterminer ce que cela signifie sur le passé. S'il y avait un fichier .bash_history et que l'attaquant l'a supprimé lors de sa dernière étape avant de se déconnecter, alors ce fichier peut toujours exister en tant que blocs de disque et être récupérable. De même, les outils d'attaque téléchargés et les fichiers de données temporaires exfiltrés peuvent aider à déterminer l'étendue du compromis.
Analyse de la mémoire : si l'enquêteur peut y arriver assez tôt et obtenir un instantané de la mémoire du système impliqué, il peut alors sonder complètement les profondeurs du compromis. Un attaquant doit compromettre le noyau pour se cacher des programmes, mais il n'y a aucun moyen de cacher ce qui a été fait si une véritable image de la mémoire du noyau peut être créée. Et tout comme les blocs de disque contiennent des données qui ont depuis été supprimées du système de fichiers, le vidage de la mémoire contient des données qui étaient en mémoire dans le passé (telles que l'historique de la ligne de commande et la sortie!) Qui n'ont pas encore été écrasées ... et la plupart les données ne sont pas écrasées rapidement.
Vous en voulez plus? Il existe des programmes de formation et des certifications pour apprendre la criminalistique; la formation publique la plus courante est probablement celle de SANS. Je suis titulaire de leur certification GCFA («Forensic Analyst»). Vous pouvez également passer en revue les défis du projet Honeynet, dans lesquels les parties se font concurrence pour démêler les cas à partir d'images disque, de vidages de mémoire et d'échantillons de logiciels malveillants à partir de compromissions réelles - ils soumettent leurs rapports sur ce qu'ils ont trouvé. vous pouvez voir les types d'outils utilisés et les résultats obtenus dans ce champ.
Anti-Forensics est un sujet brûlant dans les commentaires - en gros, "l'attaquant ne peut-il pas simplement se cacher leurs traces? " Il existe des moyens de s'en débarrasser - voir cette liste de techniques - mais c'est loin d'être parfait et pas ce que j'appellerais fiable. Quand on considère que "le" Dieu "du cyberespionnage" est allé jusqu'à occuper le firmware du disque dur pour maintenir l'accès à un système sans laisser de trace sur le système lui-même - et toujours détecté - il semble clair qu’en fin de compte, il est plus facile de détecter des preuves que de les effacer.