Ämnesintroduktion Incidenthantering - Datautvinning Varför incidenthantering? Anledningen till att ett system ska analyseras är att en incident inträffat. Vad är en incident? Informationsstöld Systemintrång/ -försök Innehav av olaglig information Överbelastningsatacker/ resursstöld Utpressning/ -försök (12) Vårt mål? Klarlägga om en incident inträffat På ett granskningsbart sätt isolera och hantera bevis Underbygga åtal Förebygga Minimera driftstörningarna Förhindra ryktesspridning (13) 1
Översikt hela processen (15) Metodologi/ strategi Hur har systemet påverkats? Har man stulit data? Finns det misstänkta? Är incidenten känd? Vilka kostnader innebär de olika lösningarna? Vilka juridiska verktyg kan vi använda? Vilka interna verktyg kan vi använda? (20) Inhämtning Granskningsbart All tillgänglig data Etiskt korrekt Passiv inhämtning Aktiv inhämtning (26) 2
Analys Extrahera informationen Enorma mängder data måste sållas Specialistkunskaper Återskapa raderat data Skapa tidslinjer (29) Rapport Dokumentera noggrant Granskningsbar process Skriv för åklagaren, personalavdelningen, styrelsen Använd standardmallar (30) Åtgärd Vad är uppdragsgivarens huvudprioritet? Återställ system Åtgärda eventuella säkerhetshål Skapa en förberedande procedur (lär av dina misstag) Validiera (31) 3
Preventivt arbete Dokumentation och konfiguration av befintliga system Underlätta för initial respons Efter en incident inträffat vill vi ha svar på Vad har hänt? Vilka system påverkades? Vilken information påverkades? Vilka filer har modifierats? Vem kan ha orsakat incidenten? På vilket sätt ska verkstad som vanligt återupprättas? (34) Prevention - översikt Identifiera riskerna Förbered systemets noder för initial respons och återställning. Förbered nätverket genom att vidta säkerhetsåtgärder Skapa riktlinjer och styrdokument Skapa en verktygslåda Skapa ett kompetent arbetslag (34) 4
Riskanalys Affärsanalys Kritiska områden Unika kompetenser Konfidentiell information Ickepublik privat information 90-95% av attackerna kommer innifrån! (36) Förbereda enskilda noder Skapa checksummor för kritiska filer Konfigurera loggsystemet Uppdatera försvaret Virusskydd Brandväggar Systempolicys Ta backuper Utbilda användarna (36) Checksummor Ett värde baserat på en viss datamängds attribut. Exempel: Checksumman för en apelsin skulle kunna vara rund och orange Checksumman för en datafil som består av värdena 2, 7, 9, 5, 3 skulle kunna vara 6 om algoritmen för att beräkna checksumman var att ta entalsdelen av summan av de ingående elementen (2+7+9+5+3=26) Kan användas för att avgöra vilka filer som ändrats Måste beräknas och sparas undan INNAN incidenten Kryptografisk checksumma = icke trivialt att göra beräkningen baklänges eller för att nå en viss slutsumma (37) 5
Demo md5sum (37) Demo md5sum-script (38) Loggning - OS Unix/Linux syslogd /etc/syslog.conf acct lastcomm / acctcomm Windows Security policies / auditing Även filer and foldrar (39) 6
Loggning att tänka på Logga till filer som endast administratören har tillgång till Logga till en säker fjärrnod Logga så mycket som är möjligt - du kan alltid sortera senare Logga IP inte namnupplösta identiteter (43) Exempel: Sub-seven Man hade fått in en trojan i systemet. Systemet var möjligtvis infekterat. Detta upptäktes av antivirusmjukvaran. Grundinställningen i antivirusmjukvaran var att ta bort risker, vilket gjordes Nu kunde man i efterhand se att systemet hade varit utsatt men efterssom bevisen hade raderats så kunde ingen vidare undersökning göras. Hade trojanen funnits kvar men i karantän så hade man kunnat analyserat den och sett vilken konfiguration den haft vilka portar den jobbade på osv Med denna information hade det gått att analysera vilka noder som smittats (45) Se över säkerheten Var uppdaterad, både informationsmässigt och mjukvarumässigt Avaktivera onödiga tjänster Oanvända Okända Konfigurera noggrant Konfiguration kan vara komplext och motsägelsefullt Dålig konfiguration kan öppna säkerhetsluckor (46) 7
Backup Backup är alltid bra för återställning/ analys MEN Fanns trojanen/ viruset/ rootkitet innan du tog backup så finns den där efter du återställt systemet igen Exakt VAD gör backupprogrammet med filerna? Hur påverkar det analysen? (47) Utbilda användarna Användaren är en svag länk Varför hacka ett lösenord när man kan ringa och fråga? Vissa användare vill experimentera, sätta upp egna tjänster osv. Kanske inte bara påverkar säkerheten för DEN noden utan hela systemet En lösning är kanske att erbjuda en skyddad miljö för lekstuga (48) Nätverket Brandväggar Intrångsvarning Accesskontroll Skapa en topologi som tillåter monitorering Kryptera trafik Autentisera användare Använd NTP eller liknande (49) 8
nmap Demo Kryptering Använd ssh, scp Blockera osäkra protokoll Går även att föra in på en övergripande nivå (52) Policies och metoder Exempel (53) 9
Användaravtal Ta hänsyn till Affärsaspekten Lagligheten Den politiska aspekten Tekniska möjligheter Användaravtalet påverkar hur användaren hanterar systemet, även om det inte påverkas i den riktning du hoppats på. (63) Skapa din egen verktygslåda Skapa policies Skapa procedurer och metoder Hårdvara Mjukvara Nätverksmonitor (67) Hårdvara Kraftfull dator med lagringskapacitet och backupmöjligheter Möjlighet att koppla in en stor bredd av olika hårdvaror Övrigt smått och gott Verktyg för bevishantering (67) 10
Mjukvara Operativsystem Bootdiskar Forensisk mjukvara Drivrutiner Backup (68) Nätverk Nätverksanalysator kan vara Speciell hårdvara Dator med speciell mjukvara och nätverkskort i promiskuös mode (68) Team Målet Formell granskningsbar process Fördomsfri (unbiased) Snabbt kunna dra slutsats om intrång verkligen skett Kunna uppskatta skadans omfattning Kunna erbjuda 24/7-support under ärendet Kontrollera och begränsa incidenten Samla in och dokumentera bevis Kunna hämta in ytterligare resurser vid behov / top management Kunna bidra med expertutlåtanden (69) 11
Utbilda teamet Specialistkunskaper är färskvara Lagar ändras Politik ändras Ett community kan vara ett bra stöd (70) Förbered Läs Incident Response, s 1-32 Skriv max en A4 om ett verkligt fall. Relatera till incident-kedjan. Förbered Läs Incident Response, s 33-74 Läs utdrag 1 ur FörUndersökningsProtokollet (FUP) för målet Pirate Bay Fundera på vad som sägs med bakgrund av dagens föreläsning Fundera över Vilka argument finns det för att använda checksummor? Hade man inte lika gärna kunnat jämföra hela filer med filer ur backupen? Valfria fördjupningsuppgifter Läs fördjupning om hur md5 fungerar Läs fördjupning om svagheter hos md5 Läs fördjupning om hur man kan använda nmap 12