Analisis forense

Experiencias de análisis forense en México
Departamento de Seguridad en Cómputo / UNAM-CERT UNAM, México
Jornadas de Análisis Forense. Madrid, España. Septiembre 2005

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

UNAM-CERT
• UNAM-CERT es el equipo de respuesta a incidentes de seguridad de la Universidad Nacional Autónoma de México • Atiende incidentes del dominio.unam.mx • Al ser el único CERT de México reconocido oficialmente ante FIRST es, de hecho, el punto de contacto para los incidentes en el dominio .mx • Colabora con entidades del sector gobierno, privado y financiero del país
UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Los comienzos (1994-2000)
• El Área de Seguridad en Cómputo, se encargaba de atender incidentes quereportaban los administradores de sistemas y de redes de la universidad. • Virus/gusanos en Windows • Intrusiones en sistemas Unix.
– Se acudía y revisaba el equipo ingresando y haciendo uso de comandos del sistema (o copiados de otro similar) y de algunos scripts sencillos.

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Los comienzos (1994-2000)
• No habíacapacitación formal en el área de atención a incidentes y análisis forense • Los análisis resultaban en hallazgos en el sistema de archivos de material que los intrusos habían dejado visible • No se tenía una metodología ni se tomaban precauciones necesarias para un forense.
UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Los comienzos (1994-2000)
• Era difícil detectarintrusiones “sofisticadas” • Cosas como los LKM Rootkits (adore, knark) resultaban complejas para analizar • Empezaba un auge global del análisis forense y se tenían las limitaciones propias de un área en surgimiento y evolución constante

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Primeras experiencias
• Falta de experiencia • Análisis basados en conocimientos ymetodologías limitadas en la materia • Pocos casos con implicaciones más allá de la prevención

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Siguiente etapa: UNAM-CERT
• En 2001, se registra oficialmente UNAM-CERT ante FIRST • Los incidentes que se atienden son cada vez más importantes • Primeras experiencias con la iniciativa privada

UNAM-CERT. Equipo de respuesta aincidentes de seguridad en cómputo.

Experiencias en la UNAM
• Se observa la necesidad de capacitarse en materia de análisis forense • Se atiende una mayor cantidad de incidentes • Atención de algunos casos en secretarías de Estado (ministerios)

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Casos frecuentes en la UNAM
• Abuso de recursos para afectar a otras redes •Envío de correo spam • Sospechas de personas que acceden a archivos personales a los que no tienen permiso

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Experiencias con entidades de Gobierno
• Forense en secretaría de estado a un Solaris “crackeado”
– El sistema no había sido crackeado – Se había perdido información – Intento de ocultar omisiones de administraciónpretextando una intrusión

UNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

Experiencias con la iniciativa privada
• En una empresa privada
– – – – – Se sospecha de accesos no autorizados Se acude a atender el incidente Se realizan las primeras investigaciones La investigación es truncada por parte de la empresa La empresa va a arreglar internamente el asuntoUNAM-CERT. Equipo de respuesta a incidentes de seguridad en cómputo.

La etapa más reciente (2002-2005)
• Incidentes con implicaciones más importantes dentro de la Universidad • Colaboración con entidades gubernamentales encargadas de la investigación de delitos informáticos. • Se participa ahora de monitoreos mundiales sobre actividad maliciosa • Se trabaja de manera coordinada con instituciones...