Comment répondre à un hacker `` professionnel ''

Je pense que la petite absence en a valu la peine 🙂 Ces jours-ci, je suis plus excité que jamais de démarrer de nouveaux projets et je suppose que je vais bientôt vous donner de nouvelles nouvelles sur mes progrès dans Gentoo 🙂 Mais ce n'est pas le sujet d'aujourd'hui.

Informatique légale

Il y a quelque temps, j'ai acheté un cours d'informatique légale, je trouve super intéressant de connaître les procédures, mesures et contre-mesures nécessaires créées pour pouvoir faire face aux crimes numériques de nos jours. Les pays dotés de lois bien définies à cet égard sont devenus des référents sur le sujet et nombre de ces processus devraient être appliqués au niveau mondial pour assurer une bonne gestion de l'information.

Manque de procédures

Compte tenu de la complexité des attaques de nos jours, il est important de réfléchir aux conséquences que le manque de supervision sécuritaire de nos équipements peut entraîner. Cela vaut aussi bien pour les grandes entreprises que pour les petites et moyennes entreprises, même à un niveau personnel. Surtout les petites et moyennes entreprises où aucune là procédures définies pour la manipulation / le stockage / le transport d'informations critiques.

Le 'hacker' n'est pas stupide

Un autre motif particulièrement tentant pour un «hacker» est de petites quantités, mais pourquoi? Imaginons un instant ce scénario: si j'arrive à «pirater» un compte bancaire, quel montant est le plus frappant: un retrait de 10 mille (votre devise) ou un sur 10? Evidemment si je passe en revue mon compte et que de nulle part un retrait / expédition / paiement de 10 mille (votre devise) apparaît, les alarmes apparaissent, mais s'il s'agit de l'une des 10, peut-être qu'elle disparaît parmi les centaines de petits paiements effectués. En suivant cette logique, on peut reproduire le 'hack' dans environ 100 comptes avec un peu de patience, et avec cela on a le même effet des 10 XNUMX, sans les alarmes qui pourraient sonner pour ça.

Problèmes commerciaux

Maintenant, supposons que ce compte soit celui de notre entreprise, entre les paiements aux travailleurs, les matériaux, le loyer, ces paiements peuvent être perdus de manière simple, ils peuvent même prendre beaucoup de temps sans se rendre compte précisément où et comment l'argent va. . Mais ce n'est pas le seul problème, supposons qu'un `` hacker '' soit entré sur notre serveur, et maintenant il ait non seulement accès aux comptes qui lui sont connectés, mais à chaque fichier (public ou privé), à chaque connexion existante, contrôle sur l'heure à laquelle les applications s'exécutent ou les informations qui les traversent. C'est un monde assez dangereux quand on y pense.

Quelles sont les mesures préventives?

Eh bien, c'est un sujet assez long, et en fait la chose la plus importante est toujours empêcher toute possibilité, car il vaut mieux éviter le problème avant d’arriver à devoir payer les conséquences du manque de prévention. Et est-ce que de nombreuses entreprises pensent que la sécurité fait l'objet de 3 ou 4 audits par an. Ce n'est pas seulement irréelmais c'est même plus dangereux de ne rien faire, car il y a un faux sentiment de `` sécurité ''.

Ils m'ont déjà «piraté», et maintenant?

Eh bien, si vous venez de souffrir attaque réussie de la part d'un hacker, indépendant ou sous contrat, il est nécessaire de connaître un protocole minimum d'actions. Ceux-ci sont complètement minimes, mais ils vous permettront de répondre de manière exponentiellement plus efficace si cela est fait correctement.

Types de preuves

La première étape consiste à connaître les ordinateurs affectés et à les traiter comme tels, les preuve numérique il va des serveurs aux imprimantes disposées au sein du réseau. Un véritable «hacker» peut se balancer autour de vos réseaux en utilisant des imprimantes vulnérables, oui, vous avez bien lu. En effet, un tel firmware est très rarement mis à jour, vous pouvez donc avoir un équipement vulnérable sans même le remarquer pendant des années.

A ce titre, il est nécessaire face à une attaque de prendre en compte que plus d'artefacts du compromis peut être preuves importantes.

Premier intervenant

Je ne trouve pas de traduction correcte du terme, mais le premier répondant il est fondamentalement la première personne à entrer en contact avec les équipes. Plusieurs fois cette personne ce ne sera pas quelqu'un de spécialisé et ça peut être un administrateur système, ingénieur manager, même un manager qui est sur les lieux en ce moment et qui n'a personne d'autre pour répondre à l'urgence. Pour cette raison, il est nécessaire de noter que ni l'un ni l'autre ne vous convient, mais vous devez savoir comment procéder.

Il y a 2 états dans lesquels une équipe peut être après un attaque réussie, et maintenant il ne reste plus qu'à souligner qu'un attaque réussie, survient généralement après beaucoup attaques infructueuses. Donc, s'ils ont déjà volé vos informations, c'est parce qu'il n'y a pas protocole de défense et de réponse. Vous souvenez-vous de la prévention? C'est maintenant là que cette partie a le plus de sens et de poids. Mais bon, je ne vais pas trop frotter ça. Continuons.

Une équipe peut être dans deux états après une attaque, connecté à internet o sans connexion. C'est très simple mais vital, si un ordinateur est connecté à Internet, il est RÉGNANT le déconnecter IMMÉDIATEMENT. Comment le déconnecter? Il est nécessaire de trouver le premier routeur d'accès Internet et de retirer le câble réseau, ne l'éteint pas.

Si l'équipe était SANS CONNEXION, nous sommes face à un attaquant qui a compromis physiquement les installations, dans ce cas tout le réseau local est compromis et il faut sceller les sorties Internet sans modifier aucun équipement.

Inspecter l'équipement

C'est simple, JAMAIS, JAMAIS, EN TOUTES CIRCONSTANCES, Le premier intervenant doit inspecter le ou les équipements concernés. Le seul cas dans lequel cela peut être omis (cela n'arrive presque jamais) est que le premier répondant est une personne ayant une formation spécialisée pour réagir à ces moments-là. Mais pour vous donner une idée de ce qui peut arriver dans ces cas.

Sous les environnements Linux

Supposons que notre attaquant Il a apporté un petit et insignifiant changement aux autorisations qu'il a obtenues lors de son attaque. Commande modifiée ls situé au /bin/ls par le script suivant:

#!/bin/bash
rm -rf /

Maintenant, si nous exécutons par inadvertance un simple ls sur l'ordinateur affecté, il commencera une autodestruction de toutes sortes de preuves, nettoyant toutes les traces possibles de l'équipement et détruisant toute possibilité de trouver un coupable.

Sous les environnements Windows

Parce que la logique suit les mêmes étapes, changer les noms de fichiers dans system32 ou les mêmes enregistrements informatiques peut rendre un système inutilisable, provoquant la corruption ou la perte des informations, seuls les dommages les plus nuisibles possibles restent pour la créativité de l'attaquant.

Ne jouez pas au héros

Cette règle simple peut éviter de nombreux problèmes, et même ouvrir la possibilité d'une enquête sérieuse et réelle en la matière. Il n'y a aucun moyen de commencer à enquêter sur un réseau ou un système si toutes les traces possibles ont été effacées, mais ces traces doivent évidemment être laissées de côté. prémédité, cela signifie que nous devons avoir des protocoles de sécurité y dos. Mais si le point est atteint où nous devons faire face à une attaque réal, il faut NE JOUEZ PAS AU HÉROS, puisqu'un seul faux mouvement peut entraîner la destruction complète de toutes sortes de preuves. Excusez-moi de le répéter autant, mais comment pourrais-je pas si ce seul facteur peut faire une différence dans de nombreux cas?

Dernières pensées

J'espère que ce petit texte vous aidera à avoir une meilleure idée de ce que c'est défenseur leurs trucs 🙂 Le cours est très intéressant et j'apprends beaucoup à ce sujet et bien d'autres sujets, mais j'écris déjà beaucoup donc nous allons le laisser pour aujourd'hui 😛 Bientôt je vous apporterai de nouvelles nouvelles sur mes dernières activités. À votre santé,