Autopsia De Una Intrusion

Name of presentation C o mpany name Autopsia de una intrusión Zaragoza, 3 de Marzo 2009 conexioninversa.blogspot.com

c:gt;whoami ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],conexioninversa.blogspot.com

Name of presentation C o mpany name Autopsia de una intrusión 1.- Análisis Forense conexioninversa.blogspot.com

[object Object],[object Object],[object Object],[object Object],[object Object],conexioninversa.blogspot.com

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],conexioninversa.blogspot.com

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],conexioninversa.blogspot.com

[object Object],[object Object],conexioninversa.blogspot.com Adquisición de evidencias Obtención de imágenes de las evidencias Análisis inicial Creación y análisis de la línea de tiempo Análisis específico y recuperación de datos Análisis de datos y cadenas Generación del informe

[object Object],[object Object],conexioninversa.blogspot.com

[object Object],[object Object],conexioninversa.blogspot.com 16.000 Ataques al mes a las web's Casi el 100% de Ip's provienen de Rusia y China El 2% de Ataques de denegación de servicio El 80% Ataques de troyanos en clientes (un 4% es phising) El el 18% restante ataques de SQL Inyection, RFID, etc. Los casos forenses se han multiplicado en los dos últimos años por 10 (forensico a PC' portatiles, dispositivos,Moviles, PDA's) Las fugas de información están a la orden del día Empleados descontentos, Administradores...etc Gerentes que desconfían de los admins

[object Object],[object Object],[object Object],conexioninversa.blogspot.com

Name of presentation C o mpany name Autopsia de una intrusión 2.- Análisis Forense in Depth Un caso: Forensics inHouse AUTOPSY CASE: “Yo no hice esa transferencia de 3.000 Euros” conexioninversa.blogspot.com

[object Object],[object Object],conexioninversa.blogspot.com ,[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],conexioninversa.blogspot.com

Name of presentation C o mpany name Autopsia de una intrusión 2.- Análisis Forense in Depth Segundo Caso : Live of dead AUTOPSY CASE: “Mi web tiene un 'bujerito' sersual” conexioninversa.blogspot.com

[object Object],[object Object],conexioninversa.blogspot.com ,[object Object],[object Object],1. - El cliente hace 'click' en un vinculo sobre un falso correo 2.- El servidor maligno le hace entrega de una página falsa, que simula al banco. En esta le pide el nombre de usuario y contraseña 3.- El cliente introduce los datos y pulsa el botón enviar 4.- El servidor maligno 'pilla' los datos y los envía al servidor legitimo 1 2 3 4

[object Object],[object Object],conexioninversa.blogspot.com ,[object Object],3. - El cliente recibe la página con sus datos y un campo más en el que le piden el DNI 2.- El servidor maligno 'parsea' los datos y los maqueta dinámicamente sobre una pagina en PHP que le sera mostrada con todos los datos del cliente 4.- El cliente introduce los datos y pulsa el botón enviar 1.- El servidor legitimo valida el nombre de usuario y contraseña y muestra la posición global y se la envía al cliente 5.- El malo envia el nuevo valor (dni) e intenta hacer una trasferencia automatica 1 2 4 5

[object Object],[object Object],conexioninversa.blogspot.com ,[object Object],3. - El cliente recibe la página con sus datos y un campo más la solicitud de su token 2.- El servidor maligno 'parsea' los datos y los maqueta dinámicamente sobre una pagina en PHP que le sera mostrada con todos los datos del cliente 4.- El cliente introduce los datos y pulsa el botón enviar 1.- Dado que este cliente es VIP y dispone Token de un solo uso le solicita el uso del mismo 5.- El malo envia el nuevo valor (token) y realiza una transferencia automaticamente 1 2 4 5

[object Object],[object Object],conexioninversa.blogspot.com ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Name of presentation C o mpany name Autopsia de una intrusión 3.- Herramientas “tool and kit” conexioninversa.blogspot.com

[object Object],conexioninversa.blogspot.com ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],conexioninversa.blogspot.com Consola de Administración Control del navegador Internet explorer Rootkit 1.- Envía los comandos para las páginas a visitar 3.- Visita el website 2.- Activa el rootkit 4.- Empieza la comunicación vigia.exe mirilla.exe Sistema Windows Sistema virtualizado

Name of presentation C o mpany name Autopsia de una intrusión 4.- Conclusiones conexioninversa.blogspot.com

Name of presentation C o mpany name Gracias... conexioninversa.blogspot.com

Autopsia De Una Intrusion

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (14)

Destaque

Destaque (19)

Semelhante a Autopsia De Una Intrusion

Semelhante a Autopsia De Una Intrusion (20)

Mais de Chema Alonso

Mais de Chema Alonso (20)

Último

Último (20)

Autopsia De Una Intrusion