Análisis Forense. Análisis de logs en
Windows. Escenario de uso de intrusiones
Juan Garrido Caballero
Código: HOL-SEG05
Agenda
► Definición de análisis forense► Buenas prácticas a la hora de analizar datos► Análisis logs en aplicaciones► Análisis logs en Sistema Operativo► Análisis sintáctico de Logs► Herramientas utilizadas
Análisis forense. A qué nos ayuda
►Conocer qué ha pasado►Determinar la cuantía de daños►Determinar el alcance de daños►Nos previene de futuros acontecimientos►Mitiga el riesgo
Ciencia forense. Descripción
► Aplicada para descubrir la verdad► Personal autorizado para recolectar evidencias► Localizar e identificar las evidencias► Recolectar documentación sobre el entorno► Reconstrucción de la amenaza
Qué Por qué Quién Cómo Cuándo Dónde
► Presentación
Principio de Locard
Cada contacto deja un rastro
La importancia de los Logs
►Contiene información sobre la aplicación►Información sobre qué hace la aplicación por debajo►Registro de usuarios►Passwords►Fecha y hora de acceso a la información►Direcciones IP►Etc.…
Archivos Log importantes
►IIS (Internet Information Server)►Visor de eventos ►Windows Update►TimeLine de ficheros►Prefetch►Tablas ARP►Logs SQL Server►Logs MYSQL►Archivos de registro de Windows►SAM, SYSTEM, SOFTWARE, etc.…
Información en el sistema operativo
►Papelera de reciclaje►Archivo de paginación►Restauración del sistema►Reconstrucción de la bitácora de navegación►Archivos temporales►Documentos recientes►Etc..
Listar archivos
Si sabemos con cierta seguridad cuándo se ha realizado un ataque, podemos sacar una lista con los ficheros que hay en el sistema operativo.
DIR /t: a /a /s /o: d c:\ >Directory.txt &date /t >>Directory.txt &time /t >>Directory.txt
/t:a Nos muestra el campo del último acceso (Fecha) /a Muestra todos los ficheros /s Muestra todos los archivos del directorio especificado, incluidos los
subdirectorios /o Lista los archivos indicados d Muestra los más antiguos primero (Por fecha y hora)
Listar archivos
En ocasiones esta lista puede llegar a ser interminable. MacMatch es un parser que nos ayudará a encontrar ficheros entre dos
fechas
Macmatch.exe c:\ -a 2006-11-10:15.00 2006-11-12:15.59
Prefetching
Contiene información sobre la estadística de las aplicaciones mas usadas en XP para optimizar su tiempo de carga
Estos archivos, en su interior, contiene el path de ficheros Nos puede dar información sobre cuándo una aplicación ha sido
ejecutada Al almacenar esta caché, las aplicaciones cargan mucho más rápido Se desaconseja eliminar el contenido de esta carpeta Cada vez que se ejecuta una nueva aplicación, el prefetch es
actualizado Si una aplicación deja de ejecutarse en un tiempo determinado, el
prefetch también es actualizado
BSOD
Cuando Windows encuentra una sentencia que pueda llegar a comprometer el sistema, éste se para. Esta sentencia se llama KeBugCheckEx. Esta llamada al sistema la podríamos llamar fallo de sistema, error de kernel, STOP, etc.. , y toma 5 argumentos:
► Código de STOP► Cuatro parámetros que indican el código de STOP
Archivos dmp
Small Memory Dump.- El más pequeño de todos y el más limitado (en cuanto a investigación). Solo ocupa 64 Kb y en este archivo irá incluida la siguiente información:
► El mensaje de detención, parámetros y otros datos ► El contexto del procesador (PRCB) para el procesador que se colgó. ► La información de proceso y contexto del kernel (EPROCESS) del proceso que se colgó. ► La información de proceso y contexto del kernel (ETHREAD) del thread que se colgó. ► La pila de llamadas del modo kernel para el subproceso que se colgó. Si éste tiene un tamaño
mayor que 16 Kb, sólo los primeros 16 Kb serán almacenados. ► Una lista de controladores cargados ► Una lista de módulos cargados y no cargados ► Bloque de datos de depuración. Contiene información básica de depuración acerca del
sistema. ► Páginas adicionales de memoria. Windows también almacena estos datos para que así
podamos obtener una mayor “versión” de lo que cascó. Esto nos ayudará a identificar mucho mejor el error ya que contienen las últimas páginas de datos a las que señalaban los registros cuando el sistema se colgó.
Archivos dmp
► Kernel Memory Dump Escribe el contenido de la memoria excepto los procesos► Complete Memory Dump Escribe todo el contenido de la memoria
Firewall Windows
Log por defecto guardado en %systemroot%\pfirewall.log
Event Viewer (Visor de Eventos)
►Información detallada sobre el sistema►Auditoría de eventos altamente configurable►Informa sobre el uso de aplicaciones►Filtros específicos►Informa sobre elevación de privilegios y uso de los
mismos►Archivos de registro guardados por defecto en
directorio %systemroot%\system32\config►Eventos PowerShell, Internet Explorer, Sistema,
Seguridad, Software, etc..
Terminal Server Event
User Privilege event
Eventos en Windows Vista
► Posibilidad de guardar consultas► Creación de vistas personalizadas► Suscripción de eventos► Posibilidad de adjuntar tareas
Eventos en Windows Vista
Eventos en Windows Vista
Algunas pistas
►Documentos RecientesHKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\RunMRU
Análisis bitácora de navegación
►Archivos temporales►Index.dat►Cookies►Historial►Tipos de contenido
Index.dat
►Utilizado como índice de referencia por Internet Explorer
►Ficheros con atributos “oculto” y de “sistema”►Puede contener información sobre el historial de
navegación►Find /i “http ://” index.dat | sort > C:\HttpIndex.txt►Pasco
Pasco –d index.dat > index.txt
¿Preguntas?
Boletín quincenal TechNews
Contactos
►Informática 64
http://www.informatica64.com
+34 91 146 20 00
►Juan Garrido Caballero
Top Related