Técnicas forenses para identificação da invasão e do invasor em sistemas Unix/Linux através do SSH (parte 2)

matux

Veremos neste artigo uma pequena contribuição sobre algumas das ferramentas e sua utilização na perícia forense em sistemas UNIX/Linux para comprovação da autoria de ataques e/ou invasão através do serviço de Secure Shell - SSH.

[ Hits: 66.101 ]

Por: Matuzalém Guimarães em 03/01/2009

0 0

Denuncie Favoritos Indicar Impressora

Referências

MURILO, Nelson ; STEDING-JESSEN, Klaus; MÉTODOS PARA DETECÇÃO LOCAL DE ROOTKITS E MÓDULOS DE KERNEL MALICIOSOS EM SISTEMAS UNIX. Disponível em:
http://www.chkrootkit.org/papers/chkrootkit-ssi2001.pdf
Acessado em 01 de dezembro de 2008 às 00:09.

BORCHARDT, Mauro Augusto; Uma Arquitetura para a Autenticação Dinâmica de Arquivos. Dissertação (Mestrado) - Pontifícia Universidade Católica do Paraná; 2002 disponível em:
http://www.ppgia.pucpr.br/teses/DissertacaoPPGIa-MauroBorchardt-112002.pdf
Acessado em 29 de novembro de 2008 às 21:53

NEMETH, Evi; SNYDER, Garth; SEEBASS, Scaott; HEIN, Trent R.; Manual de Administração do Sistema UNIX; 3ª Edição, Traduzida, Artmed Editora S.A: 2001.

HEISER, Jay G.; KRUSE, Warren G. II; Computer Forensics Incident Response Essentials. Addison-Wesley: New York, 2001.

CAGNANI, Caio; SANTOS, Valdecir de Deus dos; Computação Forense: Fundamentos. Universidade do Vale do Rio dos Sinos; UNISINOS; disponível em:
http://www.exatec.unisinos.br/~glaucol/arquivos/Artigo_-_Forense(Caio_e_Valdecir).pdf
Acessado em 30 de novembro de 2008.

JUNIOR, Arnaldo Candido; SAÚDE, Almir Moreira; CANSIAN, Adriano Mauro; Técnicas e Ferramentas Utilizadas em Análise Forense. Disponível em:
ftp://anonymous@ftp.registro.br/pub/gts/gts0205/05-tech-tools-forensics.pdf
Acessado em 30 de novembro de 2008, as 21:27.

CSIRT, Security Incident Response Team; RNP, Rede Nacional de Pesquisa; Analisadores de Log. Disponível em:
http://homepages.dcc.ufmg.br/~marcsg/Arquivos/apres_logs.pdf
Acessado em 30 de novembro de 2008 às 23:10.

FARMER, Dan; VENEMA, Wietse; Forensic Discovery; Addison-Wesley Professional; 1ª edição, 2005.

SOLHA, Liliana Esther Velásquez Alegre; Os Logs como Ferramenta de Detecção de Intrusão. Boletim bimestral sobre tecnologia de redes produzido e publicado pela Rede Nacional de Ensino e Pesquisa (RNP), 19 de maio de 1999, volume 3, número 3. Disponível em:
http://www.rnp.br/newsgen/9905/logs.html
Acessado em 01 de dezembro de 2008 às 00:19.

Página anterior

Páginas do artigo

   1. Indícios da invasão
   2. Ferramentas para coleta de dados
   3. Análise dos dados
   4. Identificação do invasor
   5. Referências

Outros artigos deste autor

NFS rápido e direto usando Slackware 12

Estudantes de computação e o Linux/Unix

Estatísticas para todos

Monitoramento de redes com o Zenoss

Instalando Free Pascal Compiler no Ubuntu

Leitura recomendada

Como recuperar a senha de root usando uma live distro

Melhorias generalizadas de segurança (parte 1)

ClamAV em desktop

Snort + BarnYard2 + Snorby no Slackware 14.1

Block Hosts: Bloqueando ataques de força-bruta (brute force) em FTP, SSH e outros

Comentários

[1] Comentário enviado por brevleq em 05/01/2009 - 14:47h

Muito bom!!

0 0

[2] Comentário enviado por y2h4ck em 06/01/2009 - 09:20h

Não sei se você percebeu mas eu seu texto você cai em contradição no seguinte ponto:

- Você mostra que uma das fases que um possível atacante efetuaria é de Cobrir os Rastros. Obviamente os logs seriam o primeiro alvo deste atacante.
- Em seguida no capitulo "Identificando o Invasor" você se vale dos logs para identificar o invasor.

Acredito que no seu caso, ou seja, caso de uma análise forense, os logs seriam algo não confiável. Não concorda? :)

[]s

Anderson

0 0

[3] Comentário enviado por matux em 06/01/2009 - 13:34h

Olá Anderson,

Obrigado pela leitura e atenção dispensada.
Toda crítica ou elogio sempre será bem-vinda.
Com relação à sua observação tem um outro ponto de vista, seria o seguinte:
1. Os autores que citei afirmam e demonstram o ciclo básico de um ataque. Uma das fases seria "cobrir seus rastros" ou seja, apagar os logs que permitam identificá-lo.

Minha opinião: alguns trabalhos que já realizei e em conversas com outros colegas da área de segurança, bem como em revistas especializadas fica claro que nem sempre os logs são alterados de forma a não permitir a identificação do atacante.

2. Os logs são de fato uma das melhores e mais simples formas de identificação de ações dentro de um sistema. Conseqüentemente de que forma poderíamos identificar uma invasão por SSH se para isto não fossem utilizado a análise dos Logs de acesso.

3. Sabemos que nada é 100% seguro e nem mesmo a perícia forense poderá contar com evidências que permitam a identificação do atacante de forma inequívoca. Os ataques se mostram cada vez mais sofisticados e complexos. Mas ainda sim para a grande maioria dos casos em que podemos contar com os logs servindo de base para a investigação, creio que é sem sombra de dúvidas uma das melhores formas.

Obrigado por sua contribuição e parabéns pelos seus artigos.
Um forte abraço!

0 0

[4] Comentário enviado por edipo.magrelo em 08/01/2009 - 11:25h

Ótimo artigo amigo.
Para quem quer saber mais da computação forense recomendo a leitura

0 0