Analisis forence

ticaAnálisis Forense de Sistemas
GNU/Linux, Unix - Contribución Congreso Hispalinux
Authors David Dittrich dittrich at cac dot washington dot edu The Grugq grugq at anti dash forensics dot com Ervin Sarkisov ervin dot sarkisov at hispalinux dot es Resumen Miles servidores corporativos están siendo comprometidos diariamente, Gbytes de información privilegiada se transfieren cada día por los loscanales de comunicación, las corporaciones informan de miles y millones de pérdidas. La mayoría de las investigaciones de casos similares, estén realizadas por parte de las empresas especializadas o por parte de las agencias gubernamentales, precisan un estudio forense previo para recoger todas las pruebas encontradas en los equipos y determinar los factores claves para reconstruir los hechostranscurridos, antes, durante y a posteriori del posible acceso no autorizado al sistema. Todo ese trabajo puede ser complicado por múltiples razones, siendo una analogía directa la ciencia forense tradicional en los casos criminales, dónde la escena del crimen es el servidor comprometido y cualquier equivocación o descuido puede causar la pérdida de información vital que podría desvelar algún hechoimportante sobre el "la víctima", el "criminal", el "objetivo" o el "móvil". Los intrusos permanentemente mejoran sus técnicas, sean de acceso, ocultación de pruebas o de eliminación de huellas, siendo difícil, o en algunos casos imposible de reconstruir el 100% de los eventos ocurridos. Los forenses de hace varios años tienen dificultades adaptándose a las nuevas técnicas ya que no solo sonnecesarios los conocimientos de la materia sino experiencia en campos que tienen bastante poco que ver con la ciencia forense - ingeniería inversa, criptografía, programación en lenguajes de bajo nivel.

Este artículo incluye descripción básica que permitirá al público general conocer el alcance y supuestos de ciencia informática forense, sus técnicas que podrán ser presentadas mejor a partir de uncaso práctico de investigación. También estarán cubiertos temas como protección / des-protección de binarios cifrados bajo GNU/Linux, técnicas de realización de copias de seguridad byte por byte, sistemas de ficheros loopback y utilización de la herramienta universal del investigador forense informático TCT.

Tabla de Contenidos
1. Resumen del Whitepaper……………………………………………………………………………………… 2.Introducción ………………………………………………………………………………………………………… a. Objetivos ………………………………………………………………………………………………… b. Alcance y Supuestos ……………………………………………………………………………… c. Indicaciones …………………………………………………………………………………………… d. Equipo Necesario …………………………………………………………………………………… 3. Objetivos Tácticos/Estratégicos ………………………………………………………………………… 4. Congelación de la Escena del Crimen ………………………………………………………………… 5. Problemascon Recolección de Información ……………………………………………………… 6. Almacenamiento de Pruebas ……………………………………………………………………………… 7. Preparación para el Análisis ……………………………………………………………………………… 8. Análisis con Herramientas Estándares de Unix ………………………………………………… 9. The Coroner's Toolkit ………………………………………………………………………………………… 10. Usando TCT ……………………………………………………………………………………………………… 11. Ejemplo de Informe de PruebasEncontradas ………………………………………………… A. 3 4 4 4 5 6 7 8 10 11 12 19 27 28 31

Apéndice A - Métodos de Protección de Binarios
a. Introducción …………………………………………………………………………………………… b. Métodos de Protección …………………………………………………………………………… 45 45 49 51 52 53 55 64 65 65 67 68 71 74 76 76

B. C.

Apéndice B - Sistema de Ficheros Loopback de Linux …………………………………… Apéndice C - Anti-Forensics: Teoría de EvasiónForense ………………………………
a. b. c. d. e. f. Introducción …………………………………………………………………………………………… Resumen Sistema de Ficheros ext2fs …………………………………………………… Organización de ext2fs …………………………………………………………………………… Técnicas de Evasión ………………………………………………………………………………… Herramientas Evasivas …………………………………………………………………………… RuneFS Tool …………………………………………………………………………………………… 1. The Defilers Toolkit ……………………………………………………………………...