Forense computacional em Linux for dummies

  • View
    220

  • Download
    2

Embed Size (px)

Text of Forense computacional em Linux for dummies

  • Eribertonov.09Er ibertonov.09

    ForenseForensecomputacional computacional emLinuxfor emLinuxfor

    dummiesdummies

    umarpidavisoumarpidavisointrodutr iaintrodutr ia

    JooEribertoMotaFilhoJooEribertoMotaFilhoBraslia,DF,10denovembrode2009Braslia,DF,10denovembrode2009CISL 2009

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    Oqueforensecomputacional?Oqueforensecomputacional?ForensecomputacionalacinciavoltadaparaaForensecomputacionalacinciavoltadaparaaobteno,preservaoedocumentaodeevidnobteno,preservaoedocumentaodeevidncias,apartirdedispositivosdearmazenagemelecias,apartirdedispositivosdearmazenagemeletrnicadigital,comocomputadores,pagers,PDAs,trnicadigital,comocomputadores,pagers,PDAs,cmerasdigitais,telefonescelularesevriosoutroscmerasdigitais,telefonescelularesevriosoutrosdispositivosdearmazenamentoemmemria.Tudodispositivosdearmazenamentoemmemria.Tudodeverserfeitoparapreservarovalorcomprobadeverserfeitoparapreservarovalorcomprobatriodasevidnciaseparaassegurarqueistopossatriodasevidnciaseparaassegurarqueistopossaserutilizadoemprocedimentoslegais.serutilizadoemprocedimentoslegais.

    (An introduction to Computer Forensics,(An introduction to Computer Forensics,Information Security and Forensics Society, abr. 04,Information Security and Forensics Society, abr. 04,

    disponvel em http://www.isfs.org.hk/publications/public.htm)disponvel em http://www.isfs.org.hk/publications/public.htm)

  • Eribertonov.09Er ibertonov.09

    Oqueforensecomputacional?Oqueforensecomputacional?

    Ento...Ento...

    Aforensecomputacionalbusca,emdispositivosdeAforensecomputacionalbusca,emdispositivosdearmazenamento,evidnciasdeaesincompatveis,armazenamento,evidnciasdeaesincompatveis,danosasoucriminosas.danosasoucriminosas.

    Taisaespodemserlocaisouremotas(viarede).Taisaespodemserlocaisouremotas(viarede).

    Geralmente,ascitadasaesestorelacionadasaroubodeGeralmente,ascitadasaesestorelacionadasaroubodeinformaes,fraudes,pedofilia,defacements,intruseseinformaes,fraudes,pedofilia,defacements,intrusesecrimescibernticosemgeral.crimescibernticosemgeral.

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?EmumrazovelnmerodevezesEmumrazovelnmerodevezes,forensesso,forensessoconduzidasconduzidas

    ememvirtudevirtudededeataquesataquesremotos(viarede).remotos(viarede).

    Apsumataqueremoto:Apsumataqueremoto:

    >Desconecte,imediatamente,ocaboderede.>Desconecte,imediatamente,ocaboderede.

    >NUNCAdesligueamquina(considerandoqueoatacanteno>NUNCAdesligueamquina(considerandoqueoatacantenootenhafeitoremotamente).otenhafeitoremotamente).

    >Notoquenamquina(nemmesmofaalogin).>Notoquenamquina(nemmesmofaalogin).

    >Chame,imediatamente,umperitopararealizaraforense.>Chame,imediatamente,umperitopararealizaraforense.

    >Acompanhe,sepossvel,todootrabalhodoperito.>Acompanhe,sepossvel,todootrabalhodoperito.

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    MedidasiniciaisnasforensesMedidasiniciaisnasforensesAotomaroprimeirocontatocomamquinaatacada,casoaAotomaroprimeirocontatocomamquinaatacada,casoamesmaaindaestejaligada,operitodever:mesmaaindaestejaligada,operitodever:

    Inserir,emumaportaUSB,umpendrivedeboaInserir,emumaportaUSB,umpendrivedeboacapacidadecapacidade(16GB?)ouumHDexternoparacolherdados(nunca(16GB?)ouumHDexternoparacolherdados(nuncagravargravarnadanadanonodiscodiscodamquinaatacada).damquinaatacada).

    Logarcomorootemontarodispositivoexterno(/mnt?).Logarcomorootemontarodispositivoexterno(/mnt?).

    Gravarnodispositivoexternoosseguintesdados:Gravarnodispositivoexternoosseguintesdados:

    >Umdumpdememria,com#ddif=/dev/mem>Umdumpdememria,com#ddif=/dev/memof=/mnt/mem.(estatemqueseraprimeiraao)of=/mnt/mem.(estatemqueseraprimeiraao)

    >Asituaodememria,com#freem>/mnt/free.>Asituaodememria,com#freem>/mnt/free.

    >Osprocessosativos,com#psaux>/mnt/ps.>Osprocessosativos,com#psaux>/mnt/ps.

    continua...continua...

  • Eribertonov.09Er ibertonov.09

    MedidasiniciaisnasforensesMedidasiniciaisnasforensescontinuando...continuando...

    >Otempodevidadamquina,com#uptime>/mnt/uptime.>Otempodevidadamquina,com#uptime>/mnt/uptime.

    >Asconexeseportasabertas,com#netstattunap>>Asconexeseportasabertas,com#netstattunap>/mnt/netstat./mnt/netstat.

    >Arelaodepacotesinstalados(noDebian,podeseusar#>Arelaodepacotesinstalados(noDebian,podeseusar#COLUMNS=110dpkgl>/mnt/pacotes).COLUMNS=110dpkgl>/mnt/pacotes).

    >Dataehoradamquina,com#date>/mnt/date(anotea>Dataehoradamquina,com#date>/mnt/date(anoteahoradoseurelgionestemomento,paraumacomparaohoradoseurelgionestemomento,paraumacomparaofutura).futura).

    >Usurioslogados,com#w>/mnt/w>Usurioslogados,com#w>/mnt/w

    >Utilizaodediscos,com#dfhT>/mnt/df>Utilizaodediscos,com#dfhT>/mnt/df

    >Okernelutilizado,com#unamea>/mnt/uname>Okernelutilizado,com#unamea>/mnt/uname

    continua...continua...

  • Eribertonov.09Er ibertonov.09

    MedidasiniciaisnasforensesMedidasiniciaisnasforensescontinuando...continuando...

    Desmontareremoverodispositivoexterno.Desmontareremoverodispositivoexterno.

    Verificar,emoutramquina,serealmentefoigravadotodoVerificar,emoutramquina,serealmentefoigravadotodoocontedonecessrionodispositivoexterno.ocontedonecessrionodispositivoexterno.

    DesligaramquinasempermitirqueamesmagravedadosDesligaramquinasempermitirqueamesmagravedadosnodisco.Paraisso,apertarobotoresete,emseguida,nodisco.Paraisso,apertarobotoresete,emseguida,desligaraenergiaparaevitarumnovoboot.desligaraenergiaparaevitarumnovoboot.

  • Eribertonov.09Er ibertonov.09

    SumrioSumrioOqueforensecomputacional?Oqueforensecomputacional?

    Ataquesviarede:oquefazer?Ataquesviarede:oquefazer?

    MedidasiniciaisnasforensesMedidasiniciaisnasforenses

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacada

    UtilizaodaimagemdamdiaatacadaUtilizaodaimagemdamdiaatacada

    OquebuscarnaanliseOquebuscarnaanlise

    AlgunscomandoseferramentasAlgunscomandoseferramentas

    LaudodaperciaLaudodapercia

    ConclusoConcluso

  • Eribertonov.09Er ibertonov.09

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacadaTodootrabalhodeforensedeverserrealizadoemumaTodootrabalhodeforensedeverserrealizadoemuma

    cpiadamdiaatacada(imagem).cpiadamdiaatacada(imagem).

    Paracriaraimagem:Paracriaraimagem:

    AdicionarumHDdecapacidademaiordoqueodaAdicionarumHDdecapacidademaiordoqueodamquinaatacada.mquinaatacada.

    InicializaramquinaatacadacomumliveCDvoltadoparaInicializaramquinaatacadacomumliveCDvoltadoparaforense(sugesto:Insert)oupendrivecomLinuxforense(sugesto:Insert)oupendrivecomLinux(sugesto:http://tiny.cc/pendrive_debian).(sugesto:http://tiny.cc/pendrive_debian).

    MontarapenasapartiodoHDadicional(aqueirMontarapenasapartiodoHDadicional(aqueirreceberasimagens).receberasimagens).

    CriarumaimagemdoHDcomprometido,porinteiro,noCriarumaimagemdoHDcomprometido,porinteiro,nonovoHD.novoHD.

  • Eribertonov.09Er ibertonov.09

    CriaodaimagemdamdiaatacadaCriaodaimagemdamdiaatacadaApsacriaodaimagemdoHD,calcular,pelomenos,doisApsacriaodaimagemdoHD,calcular,pelomenos,dois

    hashesdetaisimagens(pelomenosumdeverserSHA2)hashesdetaisimagens(pelomenosumdeverserS