Typowe problemy w Computer Forensics

HTML
DOWNLOAD

Wielkość: px

Rozpocząć pokaz od strony:

Download "Typowe problemy w Computer Forensics"

Szczepan Kot
9 lat temu
Przeglądów:

1 Patryk Królikowski

2 Typowe problemy w Computer Forensics Nietechniczne Techniczne Dobre praktyki Kilka przykładów

3 Szantaż Jana K. z Krakowa Szantażysta z Belgii Zabezpieczono: tradycyjny materiał dowody 2 komputery podejrzanego (jeden zaszyfrowany) + 1 serwer Złożono wniosek do polskiego operatora Trop prowadzi do grupy szantażystów z Kamerunu

4 Międzynarodowa pomoc prawna Droga do otrzymania właściwego materiału Szyfrowanie Serwer być może RAID Błędy podczas zabezpieczenia

5 Nieznajomość krajowych regulacji prawnych: Kodeks postępowania karnego: art. 218, 218a, 218b, 236a, 237, 241, 242 etc Kodeks postępowania cywilnego: Art zabezpieczanie dowodów Ustawa o ochronie konkurencji i konsumentów Art. 66, 67 zabezpieczenie dowodów Ustawa o prawie autorskim i prawach pokrewnych art. 80 zabezpieczenie dowodów Kodeks postępowania administracyjnego Rozdział 4 dowody

310-315 zabezpieczanie dowodów Ustawa o ochronie konkurencji i konsumentów Art.

6 Nieznajomość międzynarodowych regulacji prawnych np. : Konwencja o pomocy prawnej w sprawach karnych pomiędzy państwami członkowskimi Unii Europejskiej

7 Łamanie kardynalnych zasad zabezpieczania materiału: Usunięcie osób postronnych Dokumentacja prowadzonych czynności Właściwe oznaczanie właściwych dowodów Zapewnienie obecności świadka

8 Bałagan formalny: Brak list kontrolnych Brak notatek Brak podstawowych protokołów: przeszukania oględzin Brak materiału uzupełniającego np. nagranie wideo Brak planu: Działanie ad-hoc W korporacjach: Brak IRT/CFRT Wykorzystywanie administratorów IT

9 Nieprzestrzeganie zasady utrzymania łańcucha dowodowego Gdzie, kiedy i przez kogo dowód został odkryty i znaleziony? Gdzie, kiedy i przez kogo dowód był przechowywany i badany? Kto opiekuje się dowodem? Kiedy i w jakich okolicznościach dowód zmienił opiekuna? Transport materiału dowodowego

Gdzie, kiedy i przez kogo dowód był przechowywany i badany?

10 Brak kompetencji Biegłym każdy być może prawie każdy Jakość opinii Świadomość pracowników wymiaru sprawiedliwości: Jakość pytań Przewlekłość postępowania

11 Problem włączonego komputera: Odruch odłączenia zasilania lub Odruch ciekawskiego Co na to doświadczenie? Co na to doświadczenie? Warto przeprowadzić analizę Live zautomatyzowaną lub ręczną Zawsze można wyłączyć prąd to ostateczność Dane mogą ulec zniekształceniu Brak czasu Powierzchowność działań

12 Praca na oryginale Błędy podczas kopiowania danych Po raz kolejny jak: Najprościej lokalnie: md5sum /dev/hdx > md5sum_hdx dd if=/dev/hdx of=image.hdx bs=512 conv=noerror,sync md5sum image.hdx > md5sum_image_hdx

13 RAID Dostajemy 4 dyski RAID Reconstructor EnCE PyFLAG Mmls (SleuthKit) X-Ways Serwerownie Zbieranie danych on-site

14 Szyfrowanie Nie ma obowiązku ujawniania kluczy: wyjątek np. Wielka Brytania Szansa to analiza Live Narzędzia np. Passware KIT Forensics Szyfrowanie pobranego materiału dowodowego: 80/20 Materiał dowodowy/notatki

15 Asceza unikanie metod zautomatyzowanych Identyfikacja wszystkich plików: Lista znanych plików: National Software ReferenceLibrary(NSRL) Hash Keeper( Sortowanie plików Analiza plików (logiczne/carving/smart carving): Odzyskiwanie Wyszukiwanie ciągów znaków Reverse engineering Analiza wolnej przestrzeni Analiza pamięci

16 Odtworzenie przebiegu zdarzeń Timeline Analysis: ShadowCopy (Vista/W7/W2K8) Timescanner ( FLS,mactime (Sleuthkit) Regtime.pl (SIFT Workstation)

17 Wykorzystywanie nieznanych narzędzi Sprawdzone kombajny: Darmowe: Płatne: Pakiet TCT historia EnCase SleuthKit + Autopsy X-Ways ProDiscover Basic FTK Deft/Caine HelixPro SIFT Workstation

EnCase SleuthKit + Autopsy X-Ways ProDiscover

18 Wykorzystywanie nieznanych narzędzi Kopiowanie dysków: dd( dcfldd( Kopiowanie pamięci RAM Windows Mdd( Linux dd Analiza pamięci Volatility( Uruchamianie maszyn VMware z obrazów DD LiveView(

net/) Kopiowanie pamięci RAM Windows Mdd(http://www.mantech.com/msma/MDD.

19 Cloud computing Rewolucja w Computer Forensics? Odzyskiwanie danych The Great Zero Challenge Technologie mikroskopowe

20 Laboratorium CF Wyposażenie Trzymanie standardów ISO Zarządzanie procesem obsługi spraw QA Szkolenia i certyfikacje

21 Nie posiadają ograniczeń regulacji krajowych - są bardziej uniwersalne To wytyczne, a nie przepis na ciasto Kreatywność mile widziana O niektórych rzeczach nie mówią Nadtrawiony pendrive

22 TOP RFC3227 ACPO-The Good Practice Guide for Computer Based Evidence ISO / ISO Handbook of Legal Procedures of Computer and Network Misuse in EU Countries FCPO (Foreign Corrupt Practices Act) akt obowiązujący Serie książek i broszur DoJ(Departament of Justice) Materiały Sedona Conference IAAC Załącznik 2: Preservation of Evidence Individual Procedures Draft -ISO/IEC Guidelines for identification, collection and/or acquisition and preservation of digital evidence

23 RFC dobre praktyki ulotność danych Rejestry procesora, cache procesora nanosekundy Pamięć operacyjna nanosekundy Pliki wymiany milisekundy Otoczenie sieciowe (cache ARP, routing) milisekundy Procesy sekundy System plików sekundy Przestrzeń dyskowa sekundy / minuty Topologia sieci dni/ tygodnie Dane zapisane na zewnętrznych nośnikach dni/ tygodnie Kopie bezpieczeństwa tygodnie / miesiące

25 ERROR: ioerror OFFENDING COMMAND: image STACK:

Podobne dokumenty

Live Forensics. II Ogólnopolska Konferencja Informatyki Śledczej. Przemysław Krejza, EnCE, ACE

Live Forensics. II Ogólnopolska Konferencja Informatyki Śledczej. Przemysław Krejza, EnCE, ACE Live Forensics II Ogólnopolska Konferencja Informatyki Śledczej Przemysław Krejza, EnCE, ACE Minęły już czasy kiedy wystarczyło wyłączyć maszynę i zabrać ją do badania. Technologia się zmieniła - standardowa