Com respondre davant d'un hacker 'professional'

Crec que la petita absència ha valgut la pena 🙂 Aquests dies estic amb més ànims que mai de començar nous projectes i suposo que ja dins de poc els donaré noves notícies sobre els meus avenços en Gentoo 🙂 Però aquest no és el tema d'avui.

computació Forense

Ja fa algun temps vaig comprar un curs de Computació Forense, em sembla super interessant conèixer els procediments requerits, mesures i contramesures creades per poder tractar crims de tipus digital en aquests dies. Països amb lleis ben definides a l'respecte s'han tornat referents del tema i molts d'aquests processos haurien d'aplicar de manera global per assegurar un adequat maneig de la informació.

Manca de procediments

Donada la complexitat dels atacs d'aquests dies, és important tenir en compte quines conseqüències pot portar la manca de supervisió de seguretat dels nostres equips. Això s'aplica tant per a grans corporacions com per a petites o mitjanes empreses, fins i tot a nivell personal. Especialment empreses petites o mitjanes on no existencial procediments definits per al maneig / emmagatzematge / transport d'informació crítica.

El 'hacker' no és tonto

Un altre motiu especialment temptador per a un 'hacker' són les petites quantitats, però això per què? Imaginem per un segon aquest escenari: Si jo amb si 'hackejar' un compte de banc, quina quantitat és més cridanera: un retir de 10 mil (la teva moneda) o un de 10 € Evidentment si jo estic revisant el meu compte i del no-res apareix un retir / enviament / pagament de 10 mil (la teva moneda) sorgeixen les alarmes, però si ha estat un 10, potser desapareix entre centenars de pagaments petits realitzats. Seguint aquesta lògica, un pot replicar el 'hackeig' en unes 100 comptes amb una mica de paciència, i amb això tenim el mateix efecte dels 10 mil, sense les alarmes que podrien sonar per això.

Els problemes empresarials

Ara, suposem que aquest compte és la de la nostra empresa, entre els pagaments als treballadors, materials, lloguer, aquests pagaments es poden perdre de manera senzilla, fins i tot poden portar força temps passant sense adonar-nos precisament on o com es van els diners. Però aquest no és l'únic problema, suposem que un 'hacker' ha entrat al nostre servidor, i ara no només té accés als comptes connectades a ell, sinó a cada arxiu (públic o privat), a cada connexió existent, control sobre el temps que corren les aplicacions o la informació que flueix per aquestes. És un món bastant perillós quan ens aturem a pensar en això.

Quines mesures preventives hi ha?

Bé, aquest és un tema bastant extens, i en realitat el més important és sempre evitar qualsevol possibilitat, Ja que és molt millor evitar el problema abans que succeeixi a haver de pagar les conseqüències de la manca de prevenció. I és que moltes empreses creuen que la seguretat és un tema de 3 o 4 auditories a l'any. Això no solament és irreal, Sinó que fins i tot és més perillós a no fer res, Ja que hi ha una falsa sensació de 'seguretat'.

Ja em 'hackearon', ara què?

Doncs si acabes de patir un atac reeixit per part d'un hacker, independent o contractat, cal conèixer un protocol mínim d'accions. Aquestes són completament mínimes, però et van a permetre respondre d'una manera exponencialment més efectiva si es fan de manera correcta.

Tipus d'evidència

El primer pas és conèixer els equips afectats, i tractar-los com a tal, la evidència digital va des dels servidors fins a les impressores disposades dins de la xarxa. Un 'hacker' real pot pivotar per les teves xarxes usant impressores vulnerables, sí, leiste bé. Això perquè dit firmware molt poques vegades és actualitzat, així que pot ser que tinguis equip vulnerable sense fins i tot haver-ho notat anys.

Com a tal, cal davant d'un atac de tenir en compte que més artefactes dels compromesos poden ser evidència important.

First respondre

No trobo una traducció correcta a terme, però el primer respon bàsicament és la primera persona que va a entrar en contacte amb els equips. Moltes vegades aquesta persona no va a ser algú especialitzat i pot ser un administrador de sistemes, un enginyer encarregat, fins fins i tot un gerent que es troba en el lloc en el moment i no compta amb algú més per respondre a l'emergència. A causa d'això, cal tenir en compte que cap d'ells és l'indicat, però ha de saber com procedir.

Existeixen 2 estats en què pot estar un equip després d'un atac reeixit, I ara només queda recalcar que un atac reeixit, Normalment ocorre després molts atacs infructuosos. Pel que si ja han arribat a robar la teva informació, és perquè no hi ha un protocol de defensa i resposta. Recorden el de prevenir? Ara és on més sentit i pes té aquesta part. Però bé, no vaig a refregar això més del compte. Seguim.

Un equip pot estar en dos estats després d'un atac, connectat a internet o sense connexió. Això és molt senzill però vital, si un equip està connectat a internet és IMPERANT desconnectar IMMEDIATAMENT. Com ho desconnecto? Cal trobar la primera router d'accés a internet i treure el cable de xarxa, no apagar.

Si l'equip es trobava SENSE CONNEXIÓ, Ens enfrontem a un ataquante que s'ha compromès físicament les instal·lacions, en aquest cas tota la xarxa local està compromesa i cal segellar les sortides a internet sense modificar cap equip.

Inspeccionar l'equip

Això és senzill, MAI, MAI, EN CAP CAS, el First Respondre ha d'inspeccionar el / s equip (s) afectats. L'únic cas en què això pot ometre (gairebé mai passa) és que el First Respondre sigui una persona amb instrucció especialitzada per reaccionar en aquests moments. Però perquè es facin una idea del que pot succeir en aquests casos.

Sota entorns Linux

Suposem que el nostre atacant ha fet un petit i insignificant canvi amb els permisos que va aconseguir en el seu atac. Va canviar la comanda ls ubicat a /bin/ls pel següent script:

#!/bin/bash
rm -rf /

Ara si per descuit executem un simple ls a l'ordinador afectada, començarà una autodestrucció de tot tipus d'evidència, netejant cada petjada possible de l'equip i destruint tot tipus de possibilitat de trobar un responsable.

Sota entorns Windows

Doncs la lògica sige els mateixos passos, canviar noms de fitxer en system32 o els mateixos registres de l'equip poden fer inutilitzable un sistema, fent que la informació es corrompi o perdi, només queda a la creativitat de l'atacant el dany més nociu possible.

No juguin a l'heroi

Aquesta simple regla pot evitar molts problemes, i fins i tot obrir la possibilitat d'una investigació seriosa i real a l'respecte. No hi ha manera de començar a investigar una xarxa o sistema si tot possible rastre ha estat esborrat, però evidentment aquests rastres han de deixar-se de manera premeditada, Això vol dir que hem de tenir protocols de seguretat y suport. Però si ja arriba el punt en el qual hem d'enfrontar un atac real, Cal NO JUGAR A L'HEROI, ja que un sol moviment en fals pot ocasionar la destrucció completa de tot tipus d'evidència. Disculpin que ho repeteixi tant, però com podria no fer-ho si aquest sol factor pot marcar la diferència en molts dels casos?

reflexions finals

Espero que aquest petit text els ajudi a tenir una millor noció del que és defensor les seves coses 🙂 El curs està molt interessant i aprenc bastant sobre aquest i molts temes més, però ja estic escrivint molt així que fins aquí el deixarem per avui 😛 Ja aviat els portaré noves notícies sobre les meves últimes activitats. Salutacions,