Analysstrategi. Förutsättningar. Översikt. Windowsbaserade system. Initial respons Juridisk översyn Forensisk duplicering (292)

Transkript

1 Analysstrategi Windowsbaserade system Förutsättningar Initial respons Juridisk översyn Forensisk duplicering (292) Översikt Volatil data Slack Fritt/oallokerat utrymme Filsystemet Händelseloggar Registret Övriga loggar Swap Applikationsfiler Temporärfiler Papperskorgen Utskriftskön Epost Nyckelordssök Intressanta filer Användare/ grupper Processer/ tjänster Filer/ foldrar Accesspunkter Schemaläggaren Pålitliga system Säkerhetsparametrar (292) 1

2 Loggar System Applikationer Säkerhet Filaccess Systemaccess Applikationsaccess Säkerhetsrättigheter Användarrättigheter (294) Händelseloggar Exempel Problem med händelseloggar Du loggar bara det du bett om. Dåligt användargränssnitt. Överfulla loggfiler. Felaktiga tolkningar vid offline-analys. (299) 2

3 Nyckelordssök Minimera fokus Fokus på vad? (302) Relevanta filer Verifiera filtypen (303) Tidslinjen Scriptade attacker ger täta händelsekedjor Manuella attacker ger också händelsekedjor Ett tungt lastat system gör mycket annat som kan interferera ( ) 3

4 Epost Properitära format Specialkunskap om vart filerna finns Specialverktyg för datautvinning Kryptering? (308) Raderade filer och data Undelete Inte återställa på plats i ett körande system. Papperskorgen Inte alla program En papperskorg för alla användare (intern sturktur) Temporärfiler/ autosave (309) Återställning från backup Backuper Har backup gjorts? Vad har kopierats? (312) 4

5 Registret Programvara Hårdvara Registerbackuper ( ) Swapfilen pagefile.sys Gömd fil Svårtydd Kolla registret Ska swapfilen tömmas vid nedstängning? ( ) Skadade länkar Antyder att det funnits en fil en gång i tiden Ingen data (317) 5

6 Webläsaren History Cache Cookies Plugins (318) Användare User Manager usrstat Security Log event 636 (grupp), 642 (användare) \%systemroot%\profiles\... Endast använda konton SID (320) Skumma processer Kända profiler Magkänsla Flera olika saker som inte stämmer (321) 6

7 Dolda filer Filsystemspecifikt NTFS Strömmar ( ) Hashdatabaser Sortera bort kända filer Peka ut kända filer (322) Accesspunkter Gör man en attack måste man komma in i systemet någonstans Lista alla accesspunkter telnet/ssh databas/sql ftp webserver tunnlar xserver dialup inte så vanligt ( ) 7

8 Administratörsproblem Fjärradministration för administratörer öppnar upp hela diskar och partitioner (325) Schemaläggaren Perfekt för att gömma körningar off-hours Det räcker inte att döda processen en gång (326) Pålitlighetsberoenden Fungerar olika på olika system Viktigt att kartlägga Undvika? SID ( ) 8

9 Granskning För att genomföra en attack måste man förbereda sig hacka ett hål skaffa lösenord ladda upp filer Detta går att se om man gör undersökningar av filträden Det kan vara svårt att skapa bra regler för otillåtna filer ( ) Anställda som slutar Förbered med ett detaljerat avtal vid anställningens start Var öppen med vad som kommer att ske vid olika händelser Kontrollera loggar och cachar Finns misstanke kan sökningen göras fokuserad mot en viss fil Raderade filer i närtid kan vara extra intressanta Radera inte användaren, avaktivera den. Spara ett antal gamla backuper och ta en sista backup. ( ) 9