Investigação e Tecnologias Forenses. Gustavo Korbivcher Modern Logistics - Security

Transcrição

1 Investigação e Tecnologias Forenses Gustavo Korbivcher Modern Logistics - Security

2 Investigação O PROCESSO INVESTIGATIVO É uma atividade para encontrar informação que inclui buscar, examinar, observar, recolher dados e estuda-los para determinar fatos que permitam resolver um problema. OBJETIVOS DE UMA INVESTIGAÇÃO - Quem? - O que? - Onde? - Quando? - Por que? - Como?

3 Investigação cont. AS CINCO QUALIDADES CHAVES DE UMA BOA INVESTIGAÇÃO - Objetividade - Minuciosidade - Relevância - Exatidão - Atualidade. METODOS DE INVESTIGAÇÃO - recolhimento de evidencias; - entrevistas e interrogatórios; - dispositivo de detecção de falsificação;

4 Investigação cont. TECNICAS DO INVESTIGADOR - estabelecer uma boa relação; - Manter contato visual; - Não apressar-se em tirar conclusões; manter uma mente aberta; - Ouvir com atenção; - Captar todos os comentários; - Manter o controle da entrevista.

5 Investigação de Fadiga Não é uma Caça às Bruxas Fadiga Fatores Fisiológicos e Comportamentais Recursos tecnológicos armazenam informações úteis

6

7 Etapas do trabalho investigativo armazenado em algum tipo de mídia computacional Aquisição; Preservação; Recuperação e análise de dados.

8 Procedimentos na Análise Live Analysis: processos do sistema operacional, memory dump,... Dead Analysis: análise da mídia...

9 Live Analysis, possíveis procedimentos Cópia do conteúdo da memória; Busca por senhas utilizadas no equipamento; Análise dos sites acessados; Últimos arquivos acessados; Congelamento da última atividade; Ataques, mallwares, mapeamento dos processos.

10 Uma importante ferrramenta: HELIX Criando uma imagem do disco: Aplicação: FTK Imager Ilusão: gerar imagem em todas situações Erros: manipulação em ambientes sem proteção (hardware ou software)

11 Dead Analisys Sistemas de arquivos: Cenários Forenses Metadados: timeline dos arquivos do sistema, nomes de arquivos deletados, tamanho e endereçamento (posição em disco) Arquivos de troca: informações não acessível pelo suspeito que contém suas últimas ações

12 Timeline Técnica pouco conhecida pelo mundo jurídico brasileiro A idéia é verificar a contabilidade dos acessos, modificações, destruição de informação com data e hora da ação.

13 MACtimes Uma maneira abreviada de se referir aos principais atributos de tempo: M : data da última modificação A : data de último acesso C : pode indicar criação, mudança de proprietário ou deleção Em sistemas Windows temos quatro datas/horas semelhantes: ChangeTime, CreationTime, LastAccessTime e LastWriteTime.

14 Ferramentas de Dead Analisys Encase da Guidance: leva vantagem, pois analisa file slack com qualidade, porém alto custo Autopsy & Sleuthkit: é gratuito, realiza as mesmas tarefas do Encase, mas apresenta uma apresentação mais limitada, não analisa file slack

15

16

17 PC ON/ OFF

18 Características do Autopsy Análise Timeline: exibe os eventos do sistema em uma interface gráfica para ajudar a identificar a atividade. Pesquisar palavra-chave: extração de texto e índice permitem que você encontrar arquivos que mencionam termos específicos e encontrar padrões de expressões regulares. Artefatos Web: Extrai atividade na web a partir de navegadores comuns para identificar a atividade do usuário. EXIF: Extratos geo localização e informações da câmera de arquivos JPEG. Tipo de Arquivo Sorting: Arquivos do Grupo pelo seu tipo de encontrar todas as imagens ou documentos. Mídia de reprodução: Veja os vídeos e imagens na aplicação. Visualizador de miniaturas: Exibe miniaturas de imagens para ajudar rápidas ver fotos. Robust File System Analysis: Suporte para os sistemas de arquivos comuns, incluindo NTFS, FAT12, FAT16, FAT32, HFS +, ISO9660 (CD-ROM), ext2, ext3, e UFS a partir do kit Sleuth. Hash Set Filtragem: Filtrar conhecidos bons arquivos usando NSRL e bandeira conhecidos arquivos ruins usando HashSets personalizados em HashKeeper, md5sum, e formatos EnCase. Tags: arquivos de marcas com nomes de marcas arbitrárias, tais como "marcador" ou "suspeito" e adicionar comentários. Unicode Cordas de extração: cordas Extractos de espaço não alocado e tipos de arquivos desconhecidos em muitas línguas (árabe, chinês, japonês, etc.)

19

20 NTSB

21 Dispositivos Danificados Classificação: Nível 1: Pode reparar pequenos danos Nivel 2: Pode colocar subsistemas danificados em unidades substitutas Nível 3: Pode remover os chips de memória e ler os dados diretamente (em alguns casos) A colaboração com o (s) fabricante (s) e instituições acadêmicas são necessários para auxiliar no trabalho com chips e aparelhos danificados Fonte NTSB

22 Recuperação de Chip Estação de Trabalho de Ar Quente Estação de Trabalho Infravermelho Estação de Examinação Raio-X Máquina Re-bonding Cortador Laser Fonte NTSB

23 Recuperação de Hardware: Preservação e Recuperacao de Dados Antes de conectar a rede elétrica, remova o cartão SIM ou usar uma caixa de Faraday para evitar a comunicação de rede não intencional Isso: Impede que novos dados substituam ou alterem os dados existentes Evita apagamento remoto" característica de ativação Quando na caixa de Faraday, ative o modo avião para permitir o exame fora da caixa

24 Recuperação de Hardware: Reparando aparelhos danificados Componentes de memória interna, muitas vezes sobrevivem a condições severas; Tela LCD é o componente mais frágil e comumente danificado; Substituição de telas e instruções disponíveis no site Substituição da tela do iphone é simples, ipads são muito mais difícil

25 Recuperação de Hardware: Exemplo de ipad2 severamente danificado ipad2 severamente deformado por impacto PCB primária sem danos devido à direção de deformação PCB primária transferido para o dispositivo substituto e dados baixados

26

27 Dispositivos Móveis Inspeção Manual Ligar dispositivo e inspecionar dados manualmente; Vantagens: Veja as coisas como o usuário vê; não há necessidade de ferramentas adicionais; Desvantagens: podem inadvertidamente alterar dados dos dispositivos; incapaz de ver a estrutura de arquivos, itens escondidos / apagados Aplicativos Forense Comerciais Download de dados de software do aparelho para o PC / Mac Muitos pacotes de software diferentes disponíveis comercialmente Vantagens: Menos provavel que altere os dados no aparelho; pode encontrar dados apagados / ocultos; capacidade de criar relatórios resumidos Desvantagens: Custo; nem todas as versões de dispositivos / sistemas operacionais suportados Fonte NTSB

28 Celulares Data / hora de chamadas de entrada / saída; O prazo de entrega de mensagens de texto recebidas; Duração das chamadas; Uso de dados. O conteúdo da mensagem de texto é normalmente disponível apenas com ordem judicial.

29 iphones/ipads Logs de mensagens de texto, incluindo entradas apagadas; Fotos / vídeos, muitas vezes geo-marcadas; Histórico de navegação na Internet; Os s armazenados no dispositivo; Dados específicos do aplicativo (exemplo: ForeFlight, planos de voo) ; Informações sobre a localização; Ferramentas de download disponíveis comercialmente (Cellebrite, XRY, Lantern, etc).

30 Informação de Localização Algumas versões do sistema ios permitiam o acesso a informações baseadas na localização (consolidated.dbfile); Arquivo contém coordenadas GPS de pontos de acesso Wi-Fi nas proximidades e torres de telefonia celular e um timestamp de quando eles foram encontrados pelo dispositivo; Possível determinar se um telefone estava em uma área abrangente em um determinado momento.

31 Lantern IOS/ Android Forensics Tool A barra lateral mostra os tipos de dados disponíveis; O Lantern permite a navegação de dados durante o processo de download (ao contrário Cellebrite); Os campos serão preenchidos conforme os dados são baixados O Lantern é capaz de quebrar bloqueios PIN de 4 dígitos Download com dispositivo conectado diretamente a um computador Apple

32 Visão Geral do Lantern Informação do Safari Página aberta no Safari

33 Visão Geral do Lantern Marcadores do Usuário Histórico do Navegador

34 Visão Geral do Lantern Dicionário mantém registro ordenado da maioria das palavras inseridas (usado pelo telefone para digitação preditiva). Pode ser usado para reunir mensagens.

35 Visão Geral do Lantern As aplicações podem armazenar suas próprias fotos em separado Fotos marcadas geograficamente

36 Visão Geral do Lantern O Timeline mostra todos os dados e sua hora de manipulação

37 Visão Geral do Lantern Breadcrumbs agrega todos os dados de localização encontrados, em uma única tela

38 Visão Geral do Lantern Relatórios HTML podem ser criados e visualizados em qualquer computador

39

40 Responsabilidades & Ética

41 Obrigado