In una parola: Forensics”.

Computer forensics è l'arte di esaminare un sistema e determinare cosa gli è successo in precedenza. L'esame di artefatti di file e memoria, in particolare le sequenze temporali dei file, può fornire un'immagine molto chiara di ciò che ha fatto l'attaccante, quando lo ha fatto e cosa ha preso.

Proprio come un esempio, dato un dump della memoria di un sistema Windows, è possibile estrarre non solo le righe di comando digitate da un utente malintenzionato, ma anche l'output che ha visto come risultato dell'esecuzione di quei comandi. Abbastanza utile per determinare l'impatto, eh?

A seconda della freschezza del compromesso, è possibile raccontare molto di quello che è successo.

@AleksandrDubinsky ha suggerito che sarebbe essere utile per delineare i vari campi e tecniche di Computer Forensic, che sono felice di fare per te. Includono, ma non sono limitati a, quanto segue (userò i miei termini approssimativi; non sono ufficiali o completi):

Log / Monitor Forensics : L'utilizzo di dati "esterni" come log centralizzati, log del firewall, acquisizioni di pacchetti e hit IDS si trova a cavallo del confine tra "Detection" e "Forensics". Alcuni dati, come i log (anche centralizzati) non possono essere considerati completi o addirittura veritieri, poiché gli aggressori possono filtrarli o iniettarli una volta che hanno il controllo del sistema. È improbabile che gli strumenti di registrazione dei pacchetti esterni al sistema come firewall, IDS o registratori di pacchetti (come (in precedenza) NetWitness) vengano manomessi, ma contengono solo una quantità limitata di informazioni; di solito solo un record di conversazioni IP e talvolta firme (come URL HTTP) associate ad attività dannose.

A meno che non sia stata utilizzata una connessione di rete non crittografata nella compromissione, questi strumenti raramente sono in grado di dettagliare l'attività durante una compromissione, quindi (tornando alla domanda originale) non "controllare cosa è stato violato. " D'altra parte, se una connessione non crittografata (ftp) è stata utilizzata per esfiltrare i dati in uscita e sono stati registrati pacchetti completi, è possibile sapere esattamente con quali dati è scappato l'attaccante.

Live Forensics : più propriamente parte di Incident Response, la cosiddetta "Live" forensics implica l'accesso al sistema e guardarsi intorno. Gli investigatori possono enumerare i processi, cercare nelle applicazioni (ad esempio la cronologia del browser) ed esplorare il file system alla ricerca di indicazioni su ciò che è accaduto. Ancora una volta, questo di solito è progettato per verificare che sia avvenuto un compromesso e non per determinare l'entità di un compromesso, poiché un sistema compromesso è in grado di nascondere file, processi, connessioni di rete, davvero tutto ciò che vuole. Il lato positivo è che consente l'accesso a cose residenti in memoria (processi, connessioni di rete aperte) che non sono disponibili una volta spento il sistema per visualizzare il disco (ma, ancora una volta, il sistema potrebbe mentire, se è compromesso! )

Analisi forense del file system : una volta che una copia del disco è stata creata, può essere montata su un sistema pulito ed esplorata, eliminando ogni possibilità che il sistema operativo compromesso "mentisca "su quali file sono presenti. Esistono strumenti per creare timeline utilizzando la varietà di timestamp e altri metadati disponibili, incorporando dati di file, dati di registro (su Windows), anche dati di applicazioni (ad esempio cronologia del browser) Non vengono utilizzati solo i tempi di scrittura dei file; i tempi di lettura dei file possono indicare quali file sono stati visualizzati e anche quali programmi sono stati eseguiti (e quando). I file sospetti possono essere eseguiti tramite controlli antivirus puliti, firme create e inviate, eseguibili caricati nei debugger ed esplorati, "stringhe" usate per cercare parole chiave. Su Unix, i file di "cronologia", se non disattivati ​​dall'attaccante, possono dettagliare i comandi immessi dall'attaccante. Su Windows, il servizio Copia shadow può fornire istantanee di attività passate che sono state successivamente ripulite.

Questo è il passaggio più comunemente utilizzato per determinare l'ambito e l'entità di una compromissione , e per determinare quali dati potrebbero essere stati o non essere stati consultati e / o esfiltrati. Questa è la migliore risposta al modo in cui "controlliamo cosa è stato violato".

Disk Forensics : i file eliminati scompaiono dal filesystem, ma non da il disco. Inoltre, gli aggressori intelligenti possono nascondere i propri file nello "spazio libero" dei file esistenti. Queste cose possono essere trovate solo esaminando i byte del disco grezzo e esistono strumenti come The Sleuth Kit per strappare quei dati grezzi e determinare cosa significa del passato. Se era presente un file .bash_history e l'autore dell'attacco lo ha eliminato come ultimo passaggio prima di disconnettersi, quel file potrebbe ancora esistere come blocchi del disco ed essere recuperabile. Allo stesso modo, gli strumenti di attacco che sono stati scaricati e i file di dati temporanei che sono stati esfiltrati possono aiutare a determinare l'entità della compromissione.

Analisi forense della memoria : se l'investigatore riesce ad arrivare abbastanza presto e ottenere un'istantanea della memoria del sistema coinvolto, allora può sondare a fondo le profondità del compromesso. Un utente malintenzionato deve compromettere il kernel per nascondersi dai programmi, ma non c'è modo di nascondere ciò che è stato fatto se è possibile creare un'immagine fedele della memoria del kernel. E proprio come i blocchi del disco contengono dati che da allora sono stati rimossi dal filesystem, il dump della memoria contiene dati che erano in memoria in passato (come la cronologia e l'output della riga di comando!) Che non sono stati ancora sovrascritti ... e la maggior parte i dati non vengono sovrascritti rapidamente.

Vuoi di più? Esistono programmi di formazione e certificazioni per apprendere la medicina legale; probabilmente la formazione pubblicamente disponibile più comune proviene da SANS. Possiedo la certificazione GCFA ("Analista forense"). Puoi anche esaminare le Sfide del progetto Honeynet, in cui le parti competono per svelare i casi a cui sono state date immagini del disco, dump della memoria e campioni di malware da compromissioni effettive: inviano i loro rapporti su ciò che hanno trovato, quindi puoi vedere il tipo di strumenti utilizzati e i risultati ottenuti in questo campo.

Anti-Forensics è un argomento caldo nei commenti - in pratica, "l'attaccante non può semplicemente nascondere le loro tracce? " Ci sono modi per eliminarlo - vedi questo elenco di tecniche - ma è tutt'altro che perfetto e non è ciò che definirei affidabile. Se si considera che "il" dio "del cyber-spionaggio" è arrivato al punto di occupare il firmware del disco rigido per mantenere l'accesso a un sistema senza lasciare traccia sul sistema stesso - e è stato ancora rilevato - sembra chiaro che, alla fine, è più facile rilevare le prove che cancellarle.

Lavorando nel settore della tecnologia, come lo farei sarebbe il seguente:

1. Trova l'hack, il buco, il punto debole.

2. Controlla syslog, dmesg, access.log e error.log per confermare la tesi. (quando si entra in una rete normalmente si ha l'interruzione del sistema, nel caso di TalkTalk si trattava di un'iniezione di MySQL, fare ciò avrebbe lasciato degli errori nel registro di mysql.err in quanto per irrompere è necessario interromperlo.)

3. Replicare l'hack, replicare l'hack ti permetterà di vedere quanto può andare in profondità l'hack e di stimare i danni.

Se trovi il buco, puoi replicare l'attacco, replicare l'attacco e vedrai cosa ha visto l'attaccante.

Oltre all'eccellente risposta su Forensics (e commenti) alcune organizzazioni utilizzano sistemi di rilevamento delle intrusioni come "Snort" (rilevamento delle intrusioni di rete) e OSSEC (sistema di rilevamento basato su host), nonché molti altri di fornitori come Cisco, ecc. . che registrano vari aspetti di comportamenti insoliti o non autorizzati.

Ad esempio, i sistemi di rilevamento delle intrusioni basati su host spesso registrano le modifiche ai file sui server in modo che un'indagine forense possa mostrare quali file sono stati modificati entro un determinato periodo e un esame forense investigatore può utilizzarlo per mettere insieme le attività di alcuni utenti o aggressori.

Gli aggressori lasceranno anche tracce nei log di tutta l'infrastruttura, dai log del firewall, ai log del server, ai log dei servizi (web, smtp ecc.) e questi possono fornire indizi vitali. Tuttavia, è possibile che gli aggressori modifichino questi registri a meno che non siano stati progettati per essere sicuri e inalterabili, ad es. centralizzando i registri su un supporto di sola scrittura.

Una volta che un utente malintenzionato ottiene un accesso privilegiato, i guanti vengono tolti e i registri possono essere manomessi o eliminati.

Alla fine si baserà sulla disponibilità, indipendentemente dal fatto che l'organizzazione si sia preparata per le intrusioni e l'esercizio forense che seguirà. Questo dovrebbe far parte della pianificazione della sicurezza di ogni azienda.

Non l'ho ancora visto menzionato ed è probabilmente una risorsa importante per un'indagine di questo tipo, soprattutto per quanto riguarda l'accesso ai dati:

L'audit RDBMS può essere una delle principali risorsa per determinare esattamente a quali dati si è avuto accesso, quando e da chi. Questo ovviamente dipende da come o se è stato configurato.

Ad esempio, SQL Server Audit consente il recupero di ID utente, timestamp e le query effettive inviate a il server consentendo così la completa ricostruzione del set di dati rubato.

I sistemi di controllo dovrebbero avere ridondanze incorporate per prevenire la manomissione della traccia di controllo. Alcuni di questi possono essere memorizzati nell'RDBMS e alcuni possono essere scritti su sorgenti esterne. SQL Server può registrare i controlli nel registro di protezione di Windows.

gowenfawr ha menzionato le analisi forensi del sistema, ma l'identificazione dell'asset compromesso viene quasi sempre effettuata tramite i log. I log / dovrebbero / indicare sempre la risorsa compromessa se si esegue una ricerca abbastanza approfondita. Che tu abbia un IDS che rileva accessi esterni / tentativi di bruteforce / tentativi di iniezione SQL o se cerchi manualmente nei log ciò che ho appena menzionato, ci sono diversi modi per portare una violazione alla tua attenzione.

Una volta che l'asset è stato identificato, è possibile iniziare l'esame forense dell'asset. Principalmente per informazioni aggiuntive che i registri potrebbero non riportare, soprattutto se sembra che un file sia stato eliminato per mantenere l'accesso per l'attaccante. Lo scraping della memoria e l'analisi passo dopo passo di ciò che fa il file rilasciato aiuteranno il team di sicurezza / IR a comprendere cosa sta succedendo, come si è verificato inizialmente la compromissione, la vulnerabilità utilizzata e potenzialmente la fonte dell'attacco ( la vera fonte).

Possono controllare diverse cose che posso menzionare a caso:

• Syslog
• Log del firewall
• Log di IDS e router
• File system
• Eventi
• Attività pianificate

Se qualcuno fosse entrato in casa tua usando una chiave rubata e non avesse rubato nulla, come lo sapresti? Spesso lo faresti. Pensa a come i modi in cui rileveresti l'evento. Potrebbe essere sciocco come una lettera aperta sul piano di lavoro della cucina che non ricordi di aver letto. Non c'è praticamente alcuna distinzione qui. È utile trovare segni di graffio sulla serratura dai primi dieci tentativi di accesso prima che il ladro determinasse finalmente quale chiave era effettivamente tua (leggi: registri di sicurezza).

In termini di ciò che è stato preso, piuttosto che di come, le aziende e le agenzie più grandi utilizzano l'ispezione approfondita dei pacchetti per registrare ciò che è stato trasferito in / out dalla loro rete.

I dispositivi registrano tutto il traffico e possono utilizzarlo IDS per gli avvisi. Dopo che si verifica un incidente, possono analizzare l'entità dell'attacco.

Alcuni strumenti standard del settore comuni per questo sono:

• sonde Endace
• Cisco Netflow
• Snort (per IDS)

Nel caso di Talk Talk, sappiamo che i dati rubati vengono utilizzati per prendere di mira le persone.

• Sappiamo che queste persone vengono telefonate da qualcuno che afferma di appartenere a Talk Talk e poi indotte con l'inganno a fornire le loro coordinate bancarie.
• Sappiamo che le coordinate bancarie smettono di essere utili dopo un breve periodo di tempo se si sa che sono stati violati.
• Sappiamo quindi che i dettagli bancari compromessi verrebbero utilizzati RAPIDAMENTE se presi da TalkTalk.
• Pertanto è ragionevole presumere che i dettagli bancari non erano nei dati che sono stati rilevati.

Ci sono MOLTI controlli da parte delle banche britanniche ecc. per vedere quale sia l'impatto, questo monitoraggio raccoglierà abbastanza casi, insieme a casi segnalati da clienti bancari, per dare un buon ideale dell'impatto ormai.